安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，攻击者在Hugging Face利用7个账户发布31个恶意模型仓库，并以Qwen2测试模型为诱饵，针对Xinference、GPUStack等GPU环境投递挖矿程序和后门。启用trust_remote_code=True加载模型时，仓库Python代码会在初始化前运行，安装伪装成Linux内核线程的矿工、删除竞争矿工，并在部分版本植入SSH密钥或反向Shell。首批账号下架后数日内又发布19个仓库，并增加特权容器访问宿主机磁盘的脚本。关联模型累计下载超过3.2万次，主力模型截至10月28日下载28412次，相关钱包获约2276枚PRL。

安全研究人员披露，攻击者于10月24日前后修改巴西电商服务商Convertr自行托管的Plausible分析脚本，使多个商户结算页面在加载合法追踪文件时同时执行恶意支付卡数据收集代码。Sansec于10月24日发现这起Magecart活动，关联一个自2024年7月活跃、专门攻击Magento、OpenCart与WooCommerce站点的巴西团伙。恶意JavaScript读取结算字段中的银行卡号、有效期、CVV、持卡人姓名及CPF纳税标识，再向攻击者控制的基础设施传送。10月26日攻击者升级脚本以精确适配Convertr付款接口字段名。攻击者将混淆代码附加在原Plausible脚本末尾，运行时使用eval解码，并通过POST请求向1x0[.]is/ws发送支付数据；Sansec于10月26日记录到该脚本仍在对结算页面提供服务。

Adobe发布APSB26-162安全更新，修复Campaign Classic中的8项严重漏洞，涉及代码注入CVE-2026-104351、系统命令注入CVE-2026-104353、错误授权CVE-2026-105780，以及CVE-2026-105489、CVE-2026-105781、CVE-2026-104354、CVE-2026-105779四项SQL注入问题，另有反射型跨站脚本CVE-2026-104350。最高CVSS评分9.9，可能导致任意代码执行、安全控制绕过和权限提升。影响7.4.4 Build 9402及更早版本，修复版本为7.4.4 Build 9403。

安全研究人员披露，Cloudflare的/cdn-cgi/image/图片变换接口可组合三项行为触发同源跨站脚本。首先，svg-hush对SVG进行验证后由xml-rs重新序列化时未转义xmlns命名空间值，攻击者得以注入XHTML脚本节点；随后借助Chromium对Cache-Control:no-cache字段名单独处理的行为，在缓存回退导航时剔除Content-Security-Policy响应头；最后利用图像来源重定向未重新验证目标的行为，结合Cloudflare Access退出接口的returnTo参数引入恶意SVG。研究人员已在www.cloudflare.com完成XSS验证。

Sony Network Communications于10月27日确认，So-net会员数据库10月19日遭第三方非法访问，10月23日发现异常后关闭涉事服务器并阻断外部连接。调查确认泄露2,585,481条客户记录，其中So-net为2,141,986条，plala（S Course）为443,495条，涉及姓名、联系电话、电子邮箱、用户ID、出生日期、性别及互联网接入识别信息。另外54,401个附加邮箱账号的地址与密码被暴露，公司10月27日重置相关密码；还有16条银行账户资料及7条密码重置通知记录受到影响。公司已向日本个人信息保护委员会报告并通知相关客户。

币安披露，10月29日发生跨多条区块链的加密资产盗窃，调查将攻击者取得交易签署能力的过程关联至一名DevOps工程师遭入侵的笔记本电脑。攻击者进入服务容器后提交未授权提现交易，平台随即暂停部分网络充提、撤销受影响地址的授权，并启动资产追踪及执法协作。TRM Labs链上调查统计，攻击者从10条区块链转走约63.6亿美元，主要转移集中在20分钟内；其利用50份预签名EIP-7702授权之一控制以太坊热钱包，并从其他链发起有效签名转账。TRM将活动高置信度归因于朝鲜TraderTraitor。稳定币发行方与Arbitrum方面冻结约27亿美元资产，币安表示将通过SAFU基金及公司资金承担损失。