安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，伊朗背景APT组织Prince of Persia又称Infy，自2026年2月相关基础设施被公开后调整了恶意软件控制服务器部署，并在约三个月活动停顿后于5月27日重新建立控制链路。研究人员追踪到Foudre、Tonnerre和Tornado三套恶意软件家族的活动，其中一名受害者在一周内被Tonnerre外传超过1800个文件。研究人员于8月发现其新一代Tornado第二阶段控制服务器采用美国Namecheap共享主机服务，为该组织自2016年以来再次使用美国境内C2基础设施。其后又于8月24日建立经Cloudflare保护的第二阶段服务器，利用多个动态DNS域名与已感染设备通信。

安全研究人员披露，攻击者正在利用Citrix NetScaler ADC及Gateway的CVE-2026-88771未认证远程代码执行漏洞，尝试在暴露设备上执行命令并部署PHP、Perl WebShell与Rust编写的FreeBSD载荷。攻击链首先通过携带INDEX:标记及Base64编码内容的HTTP User-Agent字段污染设备访问日志，再伪造Packet Processing Engine异常消息，使诊断脚本/netscaler/ns_monuploadd_err.pl处理记录时执行其中的恶意指令。研究人员观察到攻击者修改/etc/httpd.conf以启用PHP和CGI执行，并从209.141.43[.]95下载后门。Citrix已为多个NetScaler发布修复版本，CISA已将该CVE列入已知被利用漏洞目录。

安全研究人员披露，ScarlettGroup于2026年9月开始出现在威胁监测记录中，并在10月通过Tor暗网泄露站、受害者公告和公开时限开展以数据披露为核心的勒索活动。该团伙在专用泄露页面列出其声称入侵的机构、行业类别、发布日期和披露状态，并设置倒计时要求受害方在规定时间内联系谈判，否则发布相关数据。其公开受害方声称覆盖技术、教育、政府和娱乐行业，研究人员还发现相关账户在PwnForums发布数据泄露声明及疑似数据商品信息。该团伙的公开活动主要使用信息泄露威胁和谈判时限施压，研究报告未将其确认为已部署文件加密程序的勒索软件运营者。

安全研究人员披露，一名使用BUGSTER别名的攻击者利用Hermes Agent与DeepSeek V4构建AI辅助攻击工作流，并借助Cursor、Telegram机器人和多个专用AI角色开展网络侦察、脚本生成与数据窃取。攻击者对一所印度大学在线教育平台枚举12个子域和13个WordPress账户，利用AI生成脚本测试117个用户名和28个常见密码；另在一所印度公立大学取得弱口令管理员账户，随后导出MongoDB数据库，窃取超过5200条学生及教职员工个人记录。研究还记录攻击者建立Wi-Fi口令GPU破解流程、收集电商站点API令牌，并利用AI助手规划VoIP电话诈骗及加密货币高价值账户侦察。

安全研究人员披露，朝鲜多个互联网网站自10月20日02:01 UTC起出现连接中断，相关时间点伴随发往朝鲜网络的入站流量显著增长。Kentik的10月15日至22日流量观测记录显示，攻击流量来自越南、菲律宾、委内瑞拉等多个国家的网络，并在此后持续形成多轮峰值。相关观测覆盖约32小时的间歇性互联网中断，期间多个朝鲜政府和公共网站无法正常访问。韩国媒体报道，约42个主要.kp域名网站在10月21日晚间逐步恢复稳定连接。监测期间朝鲜部分地址段的国际路由还在Cenbong及俄罗斯TTK网络之间发生变化。

安全研究人员披露，一项针对美国市场智能电视自动内容识别ACR的数据隐私研究测试了10个厂商、8种系统上的12台电视，完成5943次自动化实验。研究发现VIDAA电视会经未加密MQTT向Unruly服务器发送音频指纹、永久设备标识、时区、应用名、输入源与频道等识别数据，相关服务器当时未设置身份验证。研究人员在约三小时受限采集过程中取得超过5700万条观看识别记录，涉及超过100万台独立电视。实验还发现部分Samsung Tizen、Vizio SmartCast和Roku场景下，用户关闭相关选项后仍存在内容识别相关网络通信；VIDAA收到披露后为服务器增加身份认证机制。