安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安天CERT发现一起伪造身份向用户投递伪造账号安全通知的钓鱼邮件攻击事件，攻击者诱导受害者点击链接进入为该邮箱定制的假冒企业邮箱登录页，针对预填的受害者账号诱骗输入密码，并将窃取的凭据回传钓鱼服务器。钓鱼网页疑似部署在被攻陷的博彩网站中，网页经Cloudflare安全防护，含SSL加密等虚假标识以降低用户戒心。结合攻击手法和情报关联，研判认为本次事件倾向于来自具备国内黑产背景的钓鱼攻击团伙。

安全研究人员披露，ICMacOS又称Icarus macOS，由俄语网络犯罪账户GlowComa销售，较早的窃密版本在10月研究中演变为具备持久驻留和远程命令执行能力的远控木马。攻击者通过伪造ClickFix页面诱导Mac用户在Terminal执行命令，下载脚本修改终端显示设置，再通过AppleScript伪造系统密码提示，最多尝试5次验证用户口令。加载器依据Intel或Apple Silicon架构下载Go编写的Mach-O程序，收集浏览器Cookie、钱包、SSH密钥、AWS凭据、Kubernetes配置与本地文档并上传压缩包。新版通过com.apple.systemupdater.plist注册LaunchAgent，连接escapeai[.]live的WebSocket服务器，经/bin/sh运行远程命令。

安全研究人员披露，TRUST#GRAFT攻击链利用被注入恶意JavaScript的网页展示仿Cloudflare“Just a moment”验证界面，收集浏览器指纹、Cookie及localStorage和sessionStorage中的凭据线索，并测试当前浏览器是否具有目标WordPress站点的管理员登录会话。若已登录且具有插件安装权限，脚本会访问插件上传页提取WordPress nonce，下载名为wm.zip的插件包，经update.php?action=upload-plugin提交并激活伪装成Web Media Optimizer的恶意插件。插件向网页持续注入远程JavaScript，并将自身复制到wp-content/mu-plugins/wmedia-recovery.php维持加载，还可创建管理员身份验证Cookie及隐藏后台插件列表条目。

安全研究人员披露，Microsoft Authenticator安卓版的CVE-2026-80097认证漏洞CVSS评分8.6，源于对外开放的com.microsoft.identity.client.AccountChooserActivity未使用真实调用应用身份完成授权检查。恶意Android应用即使未申请系统权限，也可调用该Activity，伪称已安装的微软应用包名，提供对应客户端ID、重定向URI及Scope等Intent字段，诱导Authenticator为受害者已经登录的工作账户签发令牌。研究人员通过伪装Microsoft Teams的验证程序取得Microsoft Graph委派权限，涵盖邮箱读写、邮件发送、日历、文件和Teams聊天，还能够获得刷新令牌。微软于9月8日修复，安全版本为6.2606.4246及以上。

Wasmtime维护者于10月19日公布Cranelift编译器两项CVSS9.9安全问题。CVE-2026-115889为跨架构位打包优化溢出及错误代码生成，编译攻击者控制的WebAssembly模块时可能使内存访问偏离沙箱检查范围；CVE-2026-115893仅影响AArch64平台，超大br_table分支表可能生成错误跳转目标并突破控制流边界。相关问题影响不同的历史版本区间，均需由宿主应用编译不可信Wasm模块方可触发。维护者于10月19日至20日发布修复，36.x分支修复至36.0.19，48.x修复至48.0.7，49.x修复至49.0.4，50.0.0亦包含修复。安全公告同时说明内嵌Wasmtime运行时的软件需重新构建更新。

Okta于10月22日发布两项Access Gateway安全公告，涉及CVE-2026-115546和CVE-2026-115547，影响2026.10.2之前的网关版本。CVE-2026-115546评分8.1，起因是网关登录时未校验所选认证来源，持有任一已配置认证来源有效会话的用户可修改认证源参数，使服务生成具有Admin Console访问权限的SAML断言。CVE-2026-115547评分9.1，源于管理控制台输入校验不足；已取得管理权限的用户可提交特制配置值，使网关以OAG服务账户权限执行系统命令。两项问题均在2026.10.2版本完成修复，分别涉及身份验证控制和管理接口命令处理流程。