安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

研究人员披露亲乌克兰黑客行动组织Hacking Cat的攻击工具集。该组织自2024年2月起针对俄罗斯机构开展攻击，由网页篡改、数据泄露转向数据加密破坏类行动。研究人员发现Gorilla RAT远控工具与Monkey勒索软件，攻击者可利用Exchange漏洞植入Gorilla RAT实现内网流量隧道。Monkey勒索软件存在多语言变体，不排除AI辅助开发。该团伙常与其他亲乌黑客组织协同，还存在恶意工具跨组织共享现象，增大攻击归因难度。Hacking Cat在电报频道否认部分工具归属，质疑卡巴斯基分析结论。

安全研究人员发现针对泰国宽带运营商3BB的入侵活动，攻击者因配置失误泄露公开目录，暴露全套攻击工具。威胁团伙借助CVE‑2024‑21762漏洞攻击FortiGate 60F SSL‑VPN获取初始访问权限。入侵成功后，攻击者部署MeshCentral作为持久化后门，对接自建C2服务器管控多台内网主机。攻击者在内网开展横向移动，利用多款提权工具获取root权限，尝试窃取RADIUS数据库内用户凭证，还持有该企业有效OpenVPN证书。团伙准备日志清理脚本，清除入侵痕迹但保留后门程序。证据显示该团伙同时针对其他机构开展攻击，研究人员给出漏洞修复、审计 MeshCentral 代理等多项安全处置建议。

研究人员披露Telegram Desktop的HTML导出功能存在CVSS 8.2高危存储XSS漏洞。漏洞源于导出模块未对机器人内联键盘按钮文本做HTML转义处理。恶意机器人无需加入目标群组，只需借助转发，即可植入隐藏JS载荷，载荷可潜伏数月。当用户将聊天导出为HTML并用浏览器打开后，脚本自动执行，可窃取文档内全部聊天消息、元数据，还可篡改页面、实施钓鱼。该漏洞已在Beta v6.9.4、稳定版v7.0.1修复，但旧版生成的历史HTML文件依然危险。厂商完成静默修复，未发布安全公告，该漏洞暂未分配CVE编号。

cPanel发布安全公告，LiteSpeed Web Server Enterprise存在高危漏洞，低于6.3.7的版本受影响。该漏洞可让普通共享托管账号绕过CageFS隔离机制，获取服务器root权限，进而访问篡改同服务器其他站点数据。厂商已在9月11日发布6.3.7版本修复缺陷，自动更新存在延迟，需管理员手动执行指定命令升级。目前该漏洞暂无CVE编号，没有可用临时缓解方案，也未公布入侵检测手段。这是自5月以来LiteSpeed相关第三起可root提权漏洞，前两起出现在cPanel插件且已被野外利用。

研究人员披露名为DDRop的新型硬件攻击，该攻击针对Intel TDX与AMD SEV‑SNP机密计算技术。攻击者需获得服务器物理接触，部署成本约159‑200美元的中间转接板，通过丢弃内存写入操作，复用旧加密内存数据绕过防护。该攻击适配当前云服务器DDR5内存，可窃取虚拟机内存、篡改可信证明。此缺陷源于硬件缺少数据新鲜度校验，不存在简单软件补丁。研究团队已将相关固件、代码开源，将在 ACM CCS 2026 发布论文。厂商认为该攻击属于物理访问场景，不在原有威胁模型范围内，暂无完整缓解方案，目前尚未观测到野外实际利用。

日本数字厅披露GSS政府解决方案服务发生数据泄露事件，攻击者利用VPN设备已知中危漏洞入侵系统。6月25日运维账号出现异常大规模文件访问行为触发调查，7月9日确认入侵后官方立刻冻结账号、切断涉事设备对外通信。事件共计约24.6万条政府工作人员相关记录存在泄露风险，包含姓名、邮箱、电话、住址等信息，未泄露国民识别号、银行等敏感数据，普通民众信息未受波及。目前暂未发现泄露数据被滥用，但存在钓鱼、身份冒充风险。官方未披露VPN型号与漏洞细节，已通知个人信息保护委员会并开通专项支持渠道。