安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安天CERT在日常流行样本分析工作中捕获到隶属于TheGentlemen（绅士）勒索家族变种样本。该家族最早约2025年8月出现。该样本采用Go语言开发，可选用AES256CBC或ChaCha20对称加密算法对主机文件实施加密。该勒索软件可执行完整企业内网攻击链路为遍历终端全部磁盘并加密文件；主动终止数据库、备份类服务，破坏受害方数据恢复能力；依托域环境、PsExec 等手段实现内网横向扩散感染，并具备完善的反分析、反溯源、防恢复对抗体系。该团伙采用双重勒索运作模式，通过勒索信威胁泄露企业业务数据，要求受害者在指定时限内与攻击者联系并缴纳赎金，若逾期未响应，相关数据将被发布至暗网及黑客公开论坛。

研究人员披露名为TrustSink的攻击手段，该攻击针对Microsoft Entra外部MFA机制，需攻击者已获取全局管理员等高权限账号，注册恶意外部认证方法。用户登录触发二次验证时，会跳转至仿冒微软的密码输入界面，攻击者可获取明文密码，同时返回合法签名令牌使登录正常完成。即便用户修改密码，恶意提供程序仍驻留认证链路持续窃取凭据。

Check Point发布安全通告，披露编号CVE‑2026‑85102、CVE‑2026‑93616两个CVSS评分为9.8的高危未授权远程代码执行漏洞均出现在野利用。CVE‑2026‑85102属于VPN证书处理漏洞，补丁已发布，9月12日起观测到针对Spark防火墙客户的攻击尝试。CVE‑2026‑93616是管理服务零日路径遍历漏洞，7月23日出现少量定向攻击，9月22日发布修复程序。通告提示受影响版本客户立即安装修复，同时建议排查相关日志。

Linux内核ARM64平台KVM虚拟化曝出CVE-2026-89775漏洞，主机开启嵌套虚拟化时，虚拟机客户机可读写主机内存，实现虚拟机逃逸并在主机执行代码，本地用户亦可借此获取root权限。该漏洞因TLB刷新逻辑缺失引发，嵌套虚拟化在ARM64下默认关闭。Linux6.18.51、7.2.5、7.3-rc1已完成修复，各发行版正在跟进补丁。

研究人员披露CVE-2026-93952高危漏洞，CVSS3.1评分为10.0，该漏洞影响本地部署的VeloCloud Orchestrator，仅开启证书认证模式的设备存在风险。未经登录的远程攻击者可利用该漏洞提升权限，攻陷编排器后还可控制下属Edge设备。目前5.2、6.4版本已有修复包，6.1与7.0版本暂未发布补丁。官方给出网络访问限制、日志审计等临时缓解方案，并公布相关入侵IOC，建议受影响用户及时升级，疑似沦陷后留存日志开展应急响应。

网络勒索组织ShinyHunters对外宣称已入侵美国FBI，获取几乎全部特工及求职申请者的敏感数据，称CJ、HR、Medlink等服务遭攻陷。该组织表示攻击源于FBI2026年5月发布的PSA公告，还否认隶属于TheCom组织。攻击者称借助OraclePeopleSoft零日漏洞实现远程代码执行，并篡改FBI招聘网站页面。FBI方面确认知晓相关入侵说法，已启动调查。