安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，一种名为CloudSyncD的两阶段macOS后门通过伪造Zoom安装程序传播。研究人员于2026年9月15日首次发现处于开发阶段的样本，两天后观察到连接真实基础设施的变种。第一阶段通过仿冒系统授权提示获取用户本地登录密码，并利用该密码启动具有更高权限的第二阶段后门；研究明确指出，该密码并未被内置逻辑记录或发送给攻击者。第二阶段嵌入在初始程序内部，可连接命令控制基础设施执行后续任务。现有研究未给出明确攻击组织归属或大规模受害数量。

安全研究人员披露，Global Group勒索软件即服务组织通过“付款计划”主题钓鱼邮件针对大型企业。攻击邮件携带PDF诱饵，引导受害者获取后续恶意文件，并利用合法WinMerge程序的组件加载方式推进勒索软件部署，最终执行文件加密和勒索。研究人员将Global Group描述为Black Lock和Mamona相关勒索体系的重塑版本，其运营采用RaaS模式，并结合数据窃取、文件加密和公开泄露威胁实施双重勒索。该组织还依赖初始访问代理获取已被入侵的企业凭据，当前公开研究未披露本轮活动的统一受害企业数量。

Cisco披露Catalyst SD-WAN Manager存在严重认证绕过漏洞CVE-2026-76504，CVSS评分9.8。漏洞源于API会话认证对URI编码处理不当，未经认证的远程攻击者可绕过特定API端点的认证规则，并以管理员权限访问受影响系统。Cisco表示，PSIRT于2026年9月获悉该漏洞已遭实际利用，面向互联网暴露的SD-WAN Manager系统风险较高。漏洞影响Catalyst SD-WAN Manager，不受具体系统配置限制，Cisco已发布多个修复版本，当前没有能够完全替代升级的漏洞解决方案。

安全研究人员披露，2026年8月31日观察到攻击者利用PaperCut MF的CVE-2026-82078和CVE-2026-81578零日漏洞入侵一所教育行业客户的互联网暴露打印服务器。攻击者利用漏洞后加载内存Java组件和Web Shell，并进一步部署嵌入AdaptixC2的木马化Microsoft Copilot二进制文件。后续攻击活动扩展至网络和Active Directory环境，并获取高权限访问。两项漏洞此前由PaperCut于8月27日公开并发布紧急补丁，官方已确认存在客户遭攻击事件。此次研究重点披露了从PaperCut初始入侵到AdaptixC2部署的完整事件链。

Microsoft将从2026年10月中下旬开始在全球Microsoft Entra ID浏览器登录页面强制启用内容安全策略（CSP），限制认证过程中仅允许受信任的Microsoft域脚本执行。该措施用于降低跨站脚本和第三方代码注入带来的凭据窃取、会话劫持等风险，并可阻断恶意浏览器扩展或零日漏洞成功注入后的外部脚本执行。此次变更仅适用于login.microsoftonline.com上的浏览器登录流程，MSAL和API认证流程以及使用自定义域的Microsoft Entra External ID不受影响。

TeamViewer披露并修复5个影响Remote、Tensor和ONE产品的高危漏洞，最高CVSS评分8.8。其中CVE-2026-92370为远程会话访问控制绕过问题，攻击者在建立会话时可能绕过用户配置的权限限制，执行未授权操作并进一步导致远程代码执行。其余漏洞涉及路径遍历、堆缓冲区溢出、TOCTOU竞态和路径验证错误，可造成代码执行或权限提升。相关问题影响多个Windows、Linux和macOS客户端版本，已在15.82及对应维护版本中修复，官方称未发现公开披露或在野利用。