安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

代号为DoppelCart的欺诈网络运营超11.9万个假电商域名，用于窃取支付卡信息。品牌保护机构nebty将其称为迄今公开记录中规模最大的假店集群，约11.9万域名通过共享基础设施与重复店铺特征关联；其.shop域名达118,787个，占快照总量2.72%，约每37个.shop域名就有1个涉事。这些假店复制真实商品名称、描述与原创图片，甚至直接引用正品图片服务器，并留下正品客服邮箱，导致投诉与信任损害流向被冒用品牌。nebty已公开调查数据库供品牌自查，建议企业核对域名与页面证据，并对涉事网站、域名发起下架。

安全研究机构将一个自2026年3月起攻击巴西金融机构的电子犯罪组织命名为Slim Spider，该组织对巴西金融基础设施具有深度认知，涵盖Pix即时支付、数字资产平台与金融机构云环境。在3月下旬针对一家巴西金融机构的多阶段入侵中，攻击者使用自定义Bash脚本从云实例元数据服务窃取临时云凭据，枚举云凭据管理器中的全部机密，并调用Foundry以太坊工具包的cast组件从窃取的私钥推导钱包地址，随后经被入侵凭据操纵Azure DevOps管道向Kubernetes集群投递植入物，其中一个植入物刻意伪装为巴西Pix支付基础设施SPI。该组织还运营API端点扫描、Entra ID邮件侦察与Pix批量转账等多个自动化攻击面板。

研究人员追踪到一个持续数月的加密货币窃取活动，其ClickFix变种不再诱导用户向系统执行PowerShell命令，而是诱骗受害者将恶意JavaScript粘入Chrome地址栏或安装进Tampermonkey扩展，把恶意代码注入受害者自身的浏览器会话。载荷通过Google Visualization API从一个公开Google表格的单元格中分块取回并拼接，外层流量看起来就是正常的Google Docs访问，传统网络检测手段完全失效。注入后的网页窃取器利用MutationObserver篡改页面显示的存款地址、覆写fetch API替换钱包地址并劫持剪贴板。诱饵伪装成加密货币聚合服务的"API漏洞报告"，宣称可获38%更高收益或25%交易加成，专门诱骗企图利用漏洞牟利的交易者。当前已识别出49个关联比特币钱包，其中24个共收到约0.159 BTC赃款。

安全研究员公开了针对NVIDIA Windows用户态组件的零日利用PoC"GreenSection"。多个NVIDIA组件共享一个所有用户均具读写权限的全局内存节区，软件虽在执行时设有校验，但该节区数据在运行期被重复使用，从而引发越界内存写入。研究员称该缺陷虽不能立即获得SYSTEM权限，但可轻松跨越用户边界，甚至可能攻陷Windows桌面窗口管理器dwm.exe进程。PoC复现方式为运行一个Vulkan或OpenGL应用后启动PoC并按回车观察目标崩溃。该研究员近期还接连公开了针对卡巴斯基、Avast与CrowdStrike Falcon产品的零日利用。

CISA将N-able N-central漏洞CVE-2026-86218列入KEV目录，要求联邦文职行政机构在9月11日前完成修复。该漏洞CVSS评分10.0，属静态代码注入，可导致未经认证的远程代码执行，已在N-central 2026.3 Hotfix 4中修复。Huntress此前介入一起客户已打补丁生产环境遭入侵事件，但因设备历史日志有限，无法确认具体利用的是CVE-2026-86218，还是同日Hotfix 3修复的CVE-2026-86206/86207；后两者可被远程未认证攻击者链式利用，绕过认证并创建受控系统管理员账户。N-able已确认CVE-2026-86218遭在野利用，并敦促客户立即安装补丁。

研究人员发现一个与越南关联、名为"pax-info"的Elasticsearch数据库，包含2017年1月至2026年4月间累计的2.208亿条旅客与机组记录，涵盖姓名、出生日期、国籍、护照或旅行证件号码及签发国，以及航班号、航线、座位号与行李编号等信息，涉及亚太、欧洲与中东众多航空公司。该数据库约107GB、含29个索引，IP归属河内的Viettel，研究人员借助两条安全配置错误路径以默认凭据完成访问，并以团队成员自身的赴越行程验证了数据真实性。6月3日上报后数据库已于6月8日完成加固，新加坡航空协助协调了响应。无证据表明相关航空公司系统遭入侵，但暴露期间数据是否被拷贝已无从查证。