安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，攻击者在GitHub搭建假冒ChatGPT和Claude客户端页面，引导用户安装带有效数字签名的恶意软件包。第一阶段YobaDropper在ProgramData下创建WMProcess目录，复制合法WMPDMC.exe并释放经XOR解密的wmpdui.dll，利用计划任务以Local System权限执行DLL侧载。第二阶段YobaLoader从Telegram频道头像末尾50字节生成动态域名，再经Google DNS over HTTPS查询TXT记录，经过Base64、Ed25519签名验证及AES解密取得下载指令。观察到的最终载荷为XMRig 6.26.0，通过Tor代理执行挖矿任务。

安全研究人员披露，testmetest npm窃密蠕虫活动已在11名合法仓库所有者名下的42个GitHub项目植入执行钩子。每个项目含12.9至13.7MB混淆的.github/init.js文件，解码后均运行同一约2MB的发布器，利用Claude、Gemini、Cursor及VS Code配置在开发者打开工作区时执行。发布器搜集GitHub、npm和AI工具凭据，可借GitHub Actions OIDC可信发布机制生成npm发布令牌，注入恶意安装命令并发布污染包。后续版本通过原生Node.js扩展读取.napi_cache加密载荷，使用XOR密钥0x96恢复JavaScript。

Apple于10月26日发布iOS 18.7.11及iPadOS 18.7.11安全更新，修复CoreGraphics组件越界写漏洞CVE-2026-86950。恶意构造文件在受影响设备上被处理时可触发任意代码执行，Apple收到报告称该缺陷可能已被用于针对运行iOS 27之前版本的特定个人的高度复杂攻击。漏洞由Meta Product Security报告，Apple通过加强边界检查修复内存写入问题，更新面向iPhone XS、XS Max、XR及第七代iPad等仍运行旧版系统的设备。同批补丁还修复Audio组件敏感信息泄露漏洞CVE-2026-65339以及CoreMedia应用越权访问摄像头的问题。

HashiCorp于10月26日公布HCSEC-2026-50，修复consul-k8s组件ACL身份绑定规则中的CVE-2026-110720。安装启用global.acls.manageSystemACLs=true后，原有ServiceAccount令牌与ACL角色绑定规则未限定ServiceAccount必须位于Consul部署的命名空间。拥有其他命名空间ServiceAccount创建权限的用户可取得对应令牌，在能够连接Consul API时尝试冒用基础设施组件身份，从而获得该组件绑定的Consul权限。漏洞影响consul-k8s 0.42.0至2.0.4版本，修复版本为1.8.18和2.1.0。

安全研究人员披露，2025年12月31日至2026年8月15日的约8470万次广告竞价请求及844万次买方事件，追踪154个买方席位的出价活动，发现SHADOW-EARTH-79在49个国家成为广告竞价主要获胜方。该实体在匈牙利、以色列、埃及与阿塞拜疆的部分样本中占比明显偏高，并取得66,208次Starlink用户广告展示，相当于所观测Starlink广告的12.9%，高于其2.6%的总体基线。研究人员还分析公开JavaScript程序，发现相关基础设施具有脚本注入、去匿名化与高级IP过滤功能，可利用IP、地理位置及广告标识符关联用户活动。

安全研究人员披露，攻击者正在利用正规机构域名开展博彩搜索优化的活动，Hidden Hawk在孟加拉国、印度和墨西哥的8个机构域名下设置超过850个入口，使用CNAME把学校及政府子域名指向Cloudflare Pages上的博彩落地页，服务30余个印尼博彩品牌。另一项独立活动修改印度maharashtra.gov.in下多个子域的NS委派记录，将gam、games、search、live等子区托管到外部ClouDNS，并通过通配符解析批量生成博彩页面；online.esic.gov.in亦出现类似记录。研究人员追踪到DigitalOcean、CloudFront和BunnyCDN等内容托管节点。