安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，BlindEagle也就是APT-C-36组织发起新一轮定向钓鱼活动，目标覆盖拉美司法、财政、行政、教育机构。攻击者使用西班牙语、葡萄牙语伪造法院与检察院文书作为诱饵发送邮件，投递XHTML、SVG武器化附件，依靠HTMLSmuggling技术在浏览器本地生成ZipCrypto加密压缩包。压缩包内JS脚本采集主机信息，释放VBS脚本绕过AMSI与ETW，清除MotW标记，写入启动文件夹实现持久化，再通过PowerShell内存加载基于AsyncRAT、DCRat分支改造的远控木马。在2026年10月底至11月初观测到约3300封此类恶意邮件，攻击流量溯源关联巴西运维集群。

安全研究人员披露，Turla组织部署模块化.NET间谍工具Cereal，先后在2025年11月28日、12月23日攻陷哈萨克斯坦、罗马尼亚政府机构的Microsoft Exchange服务器。该工具集不依赖外部C2，直接将受害Exchange服务器作为命令控制节点，监听伪装为OWA、Autodiscover、ActiveSync的Web请求接收指令。罗马尼亚环境内的CerealBox组件注入EdgeTransport.exe，劫持邮件传输代理，筛选携带doc、docx、pdf附件的邮件，加密暂存后供攻击者获取，重点抓取收发自北约、欧盟的邮件。工具滥用.NET底层劫持技术，配套离线后门CerealHermit，单条任务以独立.NET小程序下发，支持目录查询、AD查询、LSA凭据提取、文件读写等操作。

安全研究人员披露，攻击者利用CVE-2026-105133认证绕过与CVE-2026-105134未授权RCE，针对AhsayCBS备份系统发起攻击。攻击者上传5类JSP网页后门，包含采用PNG隐写加载内存载荷、带HMAC签名校验的脚本，部署两套XMRig挖矿程序，其中kvm-agent.exe依靠每分钟执行的SYSTEM计划任务维持持久化。厂商发布热修复，补丁不会自动清除服务器上已植入的恶意文件，需排查全部IOC。

NEAR-AI披露，攻击者利用SGLang推理引擎远程代码执行漏洞入侵其一台推理服务器，并以此横向访问内部业务系统。事件导致约100名用户信息遭到下载，数据包含邮箱、姓名，部分记录附带套餐信息与账户余额；18套部署于非TEE环境的遗留AIAgent的聊天记录、配置文件、运行日志被访问，两名云客户API密钥留存于日志，事后完成吊销。攻击者在11月8日可观测服务器正在处理的开启机密模式的用户请求，已核实存储的私有聊天记录与用户上传文件未被窃取。该机构吊销全部会话令牌与管理员凭据，下线PrivateChat功能，部署漏洞修复，完成取证，通知受影响用户并向SGLang项目报送漏洞详情。

Git项目发布2.56.1版本及各维护分支更新，共计修复6个安全漏洞。高危漏洞CVE-2026-111760属于整数截断缺陷，恶意仓库可构造超长路径，在递归克隆子模块时替换.git文件为符号链接，指向携带恶意钩子的目录从而实现代码执行。其余漏洞包含CVE-2026-113408空仓库克隆路径穿越、CVE-2026-114467多GPG签名标签触发栈溢出拒绝服务、CVE-2026-114469超大补丁越界读取、CVE-2026-105437合并冲突标记堆损坏、CVE-2026-114466 fast-import模块任意文件读写。GitHub云端环境已完成修复，同期Windows平台安装包暂未推送对应更新，临时处置方式为避免递归克隆来源不可信的代码仓库。

Nitori披露，该企业在2026年11月6日检测到非法访问并切断攻击者连接，后续调查确认攻击者自10月中旬已经获取系统访问权限。本次事件最高涉及3762万条客户记录，外泄数据包含个人会员姓名、邮箱、住址、手机号、生日、性别，同时包含企业会员资料与电商订单信息，经核查用户明文密码、信用卡支付相关数据没有外泄。该品牌在多国设有线下门店，企业已经向日本个人信息保护委员会与当地警方提交报备材料，计划通过邮件与纸质信函通知受影响用户，同步提醒接收信息的人员警惕依托本次泄露数据实施的定向钓鱼诈骗。