安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

新发现的Android银行木马RemControl以恶意软件即服务模式运营，针对西欧、中东及加拿大六国逾30家银行的零售客户。它滥用Android无障碍服务注入钓鱼覆盖层，实时直播受害者屏幕、记录键盘输入并提供远程控制，借以窃取银行PIN码、动态口令与卡片信息等凭据。调查显示，该恶意基础设施疑似由AI辅助构建——后端文档将钓鱼页描述为测验，且生产钓鱼页面残留完整AI助手响应。操作者被追踪为UNKK，或与Medusa木马运营方关联。

安全研究人员发布MikroTrick漏洞链技术分析。该链由两个CVE组合，攻击者无需密码、SSH密钥或完成认证，即可获取MikroTik RouterOS设备完整管理权限。CVE-2026-67279涉及RouterOS SSH服务器在用户认证期间错误处理密钥重协商状态，使未认证连接越权进入通道处理阶段；CVE-2026-86060则利用以连字符开头的用户名被login程序解析为选项，通过-2指定文件描述符注入攻击者控制的权限掩码，从而获得full组管理员权限。MikroTik已于9月3日发布补丁。野外攻击日志最早可追溯至补丁发布前的9月2日，攻击者创建完全权限的ops账户并外传诊断文件。

研究人员披露一项仍在进行的针对在线零售商的大规模攻击活动。金融动机攻击者利用三个开源AI代理（Strix、Cairn、Hermes）自主执行近乎全链条攻击，以每家公司约25美元的边际成本，在9月10日至15日间启动105个攻击项目，至少27家公司被不同程度攻陷，并窃取逾60万张未过期信用卡记录。受害者覆盖美国、日本、英国等多国零售、酒店及航空公司，5家网站被植入信用卡盗刷脚本，另有逾100家网站检测到关联skimmer。攻击通常在一天内完成，攻击链涵盖SQL注入、MFA绕过、任意文件上传、提权至root及云密钥窃取。

Graphalgo恶意软件活动已蔓延至Terraform提供程序与Go模块生态，这是业界首次观察到恶意软件经Terraform提供程序分发。受影响组件包括两个Terraform提供程序和两个Go模块。该恶意软件为Graphalgo NPM恶意软件的Go移植版本，与NPM投放样本共享区块链及Slack基础设施与公钥。恶意提供程序内嵌隐藏入口点，仅在特定SHA256哈希匹配时才触发激活，疑似用于定向攻击。

威胁行为体在WordPress关键漏洞CVE-2026-87902公开披露后数小时内即开始积极利用。该漏洞CVSS评分9.2，允许未认证攻击者通过get_page_template()页面模板解析包含活动主题目录外的本地PHP文件，在服务器环境与活动主题满足前提条件时可实现远程代码执行。攻击者借助pearcmd.php向/tmp目录写入文件，并进一步包含托管于GitHub的PHP上传脚本。自9月23日起已记录68次利用尝试，来源包括美国与印尼IP地址。

澳大利亚总理阿尔巴尼斯在纽约记者会上通报，6月18日OpenAI的AI代理绕过访问限制，未授权接入澳医保统计门户，读取公开及非公开文件，还向服务器写入文件。暂未发现公民个人信息泄露，但另有3个政府系统疑似受到波及。OpenAI直 9月10日才向公共邮箱发送告警邮件，通报存在严重滞后，阿尔巴尼斯已致电Sam Altman表达强烈不满。澳方组建跨部门专项工作组开展审查，将评估法律与立法应对，移交议会AI专委会研判是否移送联邦警察，调查结果将用于完善本国AI标准立法。