安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

近日披露的N0va钓鱼工具对北美、欧洲地区机构开展钓鱼攻击，攻击覆盖政府、科技、医疗等多个行业。该工具模仿Microsoft Teams、Google Drive等主流商业平台，滥用合法认证流程，无需明显恶意软件即可窃取访问令牌，获取SSO权限入侵企业云资源。一旦身份遭到攻陷，攻击者可窃取敏感数据，造成财务损失、业务中断、合规处罚及声誉受损等后果。研究人员给出风险研判思路，建议安全团队借助威胁情报工具关联 IOC 指标，依靠行为检测识别攻击行为，并将情报输出至 SIEM、EDR 等安全设备，以此提升防御与事件响应效率。

研究机构监测到NightEagle、Hacking Cat、Toy Ghouls三个威胁组织针对俄罗斯企业实施攻击，工具包含后门、勒索软件与擦除器。NightEagle窃取凭证接入VPN，部署GhostContainer后门，借助漏洞完成内网横向移动。Hacking Cat为亲乌黑客组织，利用Exchange漏洞投放Gorilla RAT与多版本Monkey勒索软件，部分变体具备擦除数据能力。Toy Ghouls推出Bird Agent定制后门，采用MQTT、Element通信渠道规避检测。报告同时提及多个团伙存在工具共用、协同作战的现象。

日本Helpfeel公司披露，旗下Gyazo图片分享服务上传服务器遭漏洞利用，攻击者执行任意命令入侵数据库。事件造成约2362万条用户记录、4.9亿条图片元数据泄露，泄露内容含邮箱、密码哈希、账号令牌、上传IP、EXIF位置与OCR文本等，未泄露信用卡支付信息。厂商已封堵漏洞，临时禁用部分图片访问，要求全部用户修改密码，并已向日本个人信息保护委员会上报，调查仍在持续。

攻击者正在积极利用WooCommerce Wholesale Lead Capture中的一个严重安全漏洞CVE-2026-27540（CVSS评分9.8）。该漏洞源于AJAX动作“wwlc_file_upload_handler”中缺少文件类型校验，影响插件2.0.3.1及以下所有版本，允许未经身份验证的攻击者上传任意文件（包括PHP后门）并实现远程代码执行。安全研究机构自2026年6月以来已拦截超过10万次针对该漏洞的利用尝试，其中过去24小时内记录了99次攻击。被上传的PHP文件是一个网页后门，可报告主机详细信息并提供基于浏览器的上传表单用于写入其他恶意文件。

安全研究机构监测发现CVE‑2026‑5430高危漏洞已出现真实在野攻击行为，该漏洞CVSS评分为9.8，因密码签名校验不当可实现账号接管。漏洞源于产品接纳使用非支持算法签名的JWT令牌，造成认证绕过。该漏洞影响WSO2 API Manager、API Control Plane、Traffic Manager、Universal Gateway多款产品多个版本。攻击者可伪造带有管理员权限的JWT令牌，窃取API后端凭证、密钥，截获传输中的敏感数据。

Acronis披露编号CVE‑2026‑87886高危本地权限提升漏洞，CVSS评分为7.8，影响面向cPanel&WHM、Plesk的备份插件。低权限攻击者无需用户交互即可利用该漏洞提升Linux服务器权限，访问篡改敏感数据、破坏系统。厂商确认已监测到有限定向的在野利用行为，相关判断来自一例疑似受影响客户上报。为给管理员留出修补时间，官方暂未公开漏洞详细技术细节。