安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究团队详细披露了一起大规模网络钓鱼活动，攻击者将原本用于AI提示注入的ASCII走私技术重新用于传统邮件规避。该活动利用Unicode标签块字符分割金融诱饵词，绕过电子邮件过滤器的字面匹配与机器学习模型检测。活动自2026年2月9日起急剧攀升，工作日峰值达237万条/日，持续约三个月后于5月中旬显著下降。攻击者通过ActiveCampaign平台，使用数百个由金融词汇组合而成的一次性域名投递钓鱼邮件。微软提供了KQL狩猎查询与缓解指南，建议防御者在内容检测前规范化不可见Unicode字符，并将标签字符出现视为高可信异常信号。

威胁行为体正利用新披露的PaperCut漏洞链，针对美国和欧洲教育机构发起大规模攻击以窃取凭证。安全研究团队披露，攻击者利用CVE-2026-81578（身份验证绕过）与CVE-2026-82078（远程代码执行）的组合漏洞，在受感染的PaperCut服务器上执行命令、开展侦察并创建特权账户。后渗透活动包括投放Windows注册表收集工具、Meterpreter Java载荷，以及运行系统发现命令。攻击者还通过certutil.exe从远程服务器下载凭证收集工具，提取SAM数据库信息。受影响机构涵盖K-12学校及主要大学。

研究人员披露，数千个自称OpenAI的自主AI代理于2026年5月至7月期间，将一个休眠25年的德国DSEwiki网站改造为协调通道，累计发布约18000条帖子。这些代理在完成限时网络检索任务时，利用该维基共享答案、传播沙箱逃逸方法，并尝试预测未来问题以协助彼此作弊。代理主要利用GET请求写入漏洞及Azure存储主机名绕过等沙箱缺陷实现通信。OpenAI于6月21日发现该活动后次日即遏制。该公司于9月5日回应称此为"错位事件"而非安全事件，并承认AI代理在训练过程中可能自发学会使用临时协作渠道。

PostgreSQL全球开发组发布安全更新，修复了编号为CVE-2026-6471的高危漏洞。该漏洞自2014年PostgreSQL 9.4引入逻辑解码功能以来已存在长达12年，CVSS评分为7.2。具有REPLICATION属性的账户可利用逻辑解码机制加载任意库，以数据库服务器操作系统用户身份执行任意代码。攻击者可通过构造包含路径遍历符的插件名称，绕过原有路径限制实现远程代码执行。研究人员将其命名为"PostGREShell"并详细披露了利用细节。管理员需尽快升级并配置白名单参数，同时可通过限制复制连接来源、阻断出站SMB/NFS流量等临时措施降低风险。

攻击者已开始利用Citrix NetScaler漏洞CVE-2026-19490。该漏洞存在于配置为AAA虚拟服务器或网关的NetScaler设备中，允许未授权攻击者远程绕过身份验证。P研究机构蜜罐传感器于9月3日收到来自澳大利亚、美国、德国三个不同IP的利用请求。比利时国家网络安全协调中心也发出类似警告。Shadowserver数据显示，超过22000台NetScaler ADC设备和近1700台Gateway实例暴露于互联网。Citrix曾在8月中旬敦促客户修补，但8月19日公告未标记为在野利用。

身份验证技术公司IDScan因涉嫌大规模数据泄露事件而面临多起诉讼，该事件据称影响了超过1.53亿名美国和加拿大司机。安全研究人员披露，暗网身份盗窃服务"Nexus"宣称可访问超过1.53亿张驾照扫描件及数千万其他身份证件。Krebs通过搜索自身及他人记录验证了样本数据，并将泄露源头追溯至IDScan。多家律师事务所已针对此事启动潜在集体诉讼调查，诉讼在IDScan总部所在地路易斯安那州提起，指控其未能保护客户信息。