安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安天CERT近期持续追踪“游蛇（银狐）”黑产团伙最新攻击活动并梳理其技术手法：该团伙针对Bing搜索引擎实施SEO投毒，搭建仿冒汽水音乐下载站点，通过优化搜索排名使其占据相关关键词检索结果前列，以此诱导普通用户下载捆绑恶意程序的压缩安装包。相较于该团伙此前攻击活动中高频使用的同目录“白加黑”加载恶意DLL的传统手段，本次攻击链路进行了全面重构，攻击者采用“释放加密载荷—ChaCha20解密载荷—APC进程注入—远控模块外联上线”的分层多阶段执行流程，增强隐蔽性与对抗安全检测的能力。另外，样本启动后会主动校验系统界面语言，仅识别中文系统环境才会放行完整恶意流程，一旦检测到非中文环境便直接终止执行链路，进一步规避境外沙箱捕获与安全分析。

安全研究人员披露了Android远程访问木马BTMOB RAT背后的地下产业生态。该恶意软件已从早期版本逐渐发展为一种恶意软件即服务（MaaS）平台，通过销售源码、定制版本和攻击工具吸引不同网络犯罪团伙使用。攻击者无需具备较强开发能力，即可利用BTMOB提供的构建工具生成定制化APK，并结合钓鱼页面诱导用户安装。该木马具备设备远程控制、屏幕截图、键盘记录、敏感数据窃取以及金融交易拦截等能力，同时支持通过Android辅助功能服务获取更高权限。研究人员指出，BTMOB生态中的多渠道销售和版本分化增加了追踪难度，也推动了移动恶意软件攻击门槛进一步降低。

安全研究人员发现，攻击者利用伪造的Roblox Xeno脚本启动器传播信息窃取木马和远程访问木马（RAT）。攻击者通过社交平台、游戏社区等渠道发布虚假的Xeno脚本执行工具，诱骗Roblox玩家下载并运行恶意程序。该恶意启动器执行后会释放后续恶意载荷，窃取浏览器保存的账号密码、Cookie、加密货币钱包等敏感信息，并具备远程控制受害设备的能力。研究人员指出，此类攻击利用游戏辅助工具和脚本生态的信任关系降低用户警惕性，类似利用Roblox外挂、MOD传播恶意软件的攻击活动正在持续增加，攻击者通过游戏场景扩大信息窃取和设备控制范围。

N-able发布安全公告称，其远程监控与管理（RMM）平台N-central存在认证绕过漏洞CVE-2026-18577，且该漏洞已被攻击者用于真实攻击。该漏洞影响2026.3之前的所有N-central版本，源于此前漏洞CVE-2026-18576修复不完整，攻击者可借此绕过身份认证并接管管理员账户。N-able已发布热修复版本2026.3.1.7，其中托管版用户已完成更新，本地部署用户需尽快手动安装补丁。由于N-central广泛应用于托管服务提供商（MSP）及企业IT运维环境，一旦服务器遭入侵，攻击者可能进一步控制受管终端并扩大攻击范围，因此官方强烈建议受影响用户立即完成升级。

英国警方国家法律数据库（PNLD）近日遭遇网络攻击，导致超过10万名警务人员及司法系统工作人员的联系信息泄露。新兴数据勒索组织ExfilSquad宣称窃取了约13.5万条记录，并已在暗网发布部分数据。PNLD表示，泄露信息包括姓名、所属机构及工作邮箱，暂未发现密码、财务信息或案件数据遭到泄露。该数据库长期服务于英格兰和威尔士43个警察部门及多个司法机构，此次事件引发了对执法人员身份安全及政府机构网络防护能力的广泛关注。目前，相关部门已启动调查并采取应急处置措施。

美国生物制药企业Amgen（安进）披露，其多个由第三方云服务提供商托管的云环境发生数据泄露事件，攻击者窃取了公司专有数据及患者健康信息。安进表示，公司于2026年7月发现异常活动后立即启动网络安全应急响应机制，采取遏制措施并聘请独立取证专家开展调查。初步调查确认，攻击者已从相关云环境中窃取敏感数据，目前公司仍在评估受影响数据范围，包括患者健康信息、知识产权、研发资料及其他商业机密。安进称，此次事件尚未对产品生产、制造运营、财务系统及患者服务造成影响，并将根据调查结果履行相关监管通知义务。