安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

安全研究人员披露，Gorbag威胁组织至少自2025年2月起持续开展攻击，攻击目标全部位于乌克兰，重点针对执法司法机构、前线地方行政部门以及国防与军事援助运输相关实体。该组织不部署长期驻留复杂植入程序，以一次性情报收集为目标，完成数据窃取后执行自删除，存在作为初始访问代理向其他威胁团伙分发窃取凭据的可能。2025年该团伙通过带宏Excel钓鱼附件投递BeautyStealer窃取程序，2026年初更新攻击链，该窃取程序可收集浏览器凭证、VPN配置、各类办公文档、密钥文件，窃取数据通过Telegram API或者FastAPI自建C2服务器进行外传。

OPSSHIELD发布安全公告，未公开身份攻击者凭借被盗凭据侵入cPGuard更新分发CDN基础设施，借助版本5.88.12‑5.88.19更新通道下发恶意脚本。厂商在更新投放12小时内检测到异常，恶意脚本会采集目标Linux 服务器 /etc/shadow、/etc/passwd、MariaDB/MySQL根配置、root Shell历史记录、SSH授权相关文件，将采集文件上传至被攻击者控制的厂商许可服务器，厂商确认攻击者已经取回部分采集数据。受影响服务器需要升级至5.88.25及以上版本清除后门文件，即便已经完成升级，仍需要轮换全部相关账号凭据、SSH私钥与数据库密钥，厂商暂不强制服务器整机重建，调查仍在确认受影响服务器总规模。

安全研究人员披露名为LLMJacking的新型攻击模式，攻击者通过窃取IAM凭据、API密钥、GitHub个人访问令牌、会话令牌获取企业云环境访问权限，不窃取业务数据，目标占用付费大语言模型推理算力，搭建代理中转服务，将窃取的AI访问能力在地下市场低价转售，最高可以达到官方定价97%折扣。攻击案例分布北美、南美以及亚太地区，单起事件单日产生超过10万美元非授权账单，部分受害企业累计账单损失接近100万美元。攻击者获取权限后测试模型配额，提升GPU硬件配额，部署LiteLLM代理、自定义容器镜像，新建高权限服务账号，采用账号用完即弃轮换策略规避速率限制与检测。

Abrigo公司披露近日平台检测到环境内异常活动，将风险管理平台紧急下线开展调查，服务中断持续整个周末，该平台面向美国超过2400家社区银行与信用合作社，用于信贷审批、借款人财务分析、信贷组合监控，存储大量银行客户敏感信息。受影响组件包含Online Portal Now、Sageworks Analyst、Sageworks API。截至2026年11月2日，平台大部分功能已经恢复，面向借款人的对外接口尚未上线。厂商没有披露异常活动具体细节，无法确认是否发生数据泄露。本年度早些时候ShinyHunters团伙宣称入侵该系统，窃取170万条Salesforce身份信息记录，该宣称尚未得到厂商证实，安全研究建议使用该平台的机构轮换Sageworks API密钥。

Barracuda Networks发布安全公告，披露两个高危漏洞，分别为CVE‑2026‑116606预认证授权绕过，CVSS 评分9.3，仅影响Email Security Gateway；CVE‑2026‑111560命令注入，CVSS评分8.6，影响ESG、ADC、BMA、WCC、WAF、WSG多款网关设备。漏洞组合利用条件为攻击者可以访问设备管理接口，成功利用后能够绕过权限控制获取设备 root 权限。厂商已经发布对应补丁包BNSF‑40425、BNSF‑40430、BNADC‑16586等，建议用户将管理接口限制在可信内网环境，完成固件与安全补丁更新，关闭自动补丁更新的设备需要手动部署修复包。

安全研究人员披露，3AM勒索软件附属团伙对英国一处校园资产开展攻击，从一台未受管控主机发起横向移动，共计对约37台主机完成文件加密，攻击过程观测到间隔40‑100秒重复微调执行命令的行为，研究人员推测攻击者使用AI生成指令与代理循环，但没有获取攻击者侧AI模型相关证据。攻击者利用修改后的公开PowerShell工具从三台Veeam备份服务器提取解密凭据，获取Chrome凭据库，投放Mimikatz与LSASS内存转储工具，新建名称为library、svc_bkpmon的域管理员后门账号，配置三个独立活动目录域双向信任扩大攻击范围。攻击者尝试卸载终端防护软件、删除系统状态备份，部署Rust编写的3AM加密器，同时窃取系统内财务数据。