安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

研究人员发现并深入分析了一款名为CrashStealer的macOS窃密木马。该窃密木马恶意伪装成苹果官方的崩溃报告框架，旨在搜集浏览器凭据、加密货币钱包以及Keychain数据。在将窃取的文件外泄至远程命令与控制服务器之前，该木马会使用AES-GCM算法对敏感数据进行本地加密。虽然它的攻击目标与现有的Atomic(AMOS)、MacSync以及Phexia等macOS窃密家族高度重合，但其底层的C++原生架构和客户端数据加密机制使其独树一帜。因此，安全团队将其定义为一个全新的独立恶意软件家族。

在对一起安全事件进行应急响应期间，研究人员对ModHeader（一款用于修改HTTP请求头的浏览器扩展）进行了深度审查。作为Chrome网上应用店中最受欢迎的开发者工具之一，ModHeader曾拥有多达900000名用户，最后更新日期为2026年7月1日。研究人员分析的具体版本为7.0.18，这是2026年6月6日进行分析时，官方Chrome网上应用店中可供公开下载安装的活跃版本。此后，谷歌已将该扩展从Chrome网上应用店中彻底下架。在这款真实且功能完全正常的HTTP请求头修改工具的底层，7.0.18版本暗中夹带了以下恶意组件：浏览历史收集引擎、预置的数据外泄通道、内容脚本注入等。

研究人员在2026年6月初的一次安全事件中，发现攻击者使用了一个通过“氛围编码（Vibe-coded）”生成的PowerShell脚本，来对活动目录进行信息枚举。该脚本会定位域控制器，并测绘出用户、计算机和域的拓扑关系，随后创建一个新目录并导出大量文件，最终生成一个名为AD_Report.html的报告，用以评估此次内网枚举的战果。

美国网络安全和基础设施安全局（CISA）发出紧急警告，指出攻击者正在积极利用Joomla内容管理系统的iCagenda和Balbooa Forms两款扩展程序中的安全漏洞。攻击者可通过任意文件上传实现远程代码执行。这两个漏洞是CVE-2026-48939和CVE-2026-56291。Joomla网站管理员应立即自查系统中是否安装了iCagenda或Balbooa Forms，并执行更新进行防御。

德国折扣超市连锁巨头Lidl紧急通知了其在德国、比利时和荷兰的客户，由于其一家外部服务商发生数据泄露，导致这些客户的个人敏感信息被盗。Lidl于2026年7月上旬通过电子邮件向受影响的客户发送了安全通警，并同时在其比利时和荷兰的官方支持网站上发布了独立公告，表示攻击者窃取了曾在Lidl线上商城购物的客户数据。

日本最大的出租车与司机会员运营商日本交通（Nihon Kotsu）正式宣布，其内部系统在遭受网络攻击后已沦陷，迫使该公司紧急关停了部分IT基础设施。这起安全事件严重冲击了其日常业务运营，包括该公司的出租车调度系统，截至今日该系统仍处于下线瘫痪状态。日本交通表示，他们已聘请外部网络安全专家协助展开取证调查与系统重建工作，目前正在重点排查是否有敏感数据发生泄露。在现阶段的调查中，尚未证实有任何数据泄露发生。截至目前，尚无任何勒索组织或敲诈勒索团伙公开宣称对这起网络攻击事件负责。