安天ATID威胁情报综合分析平台 - 威胁情报查询、关联分析、线索研判、威胁追踪溯源

研究机构披露与俄罗斯FSB相关的Star Blizzard威胁组织自今年1月起，发起至少13轮钓鱼活动，针对超100家和乌克兰事务相关机构，主要集中在美国、英国。该组织伪装成智库、NGO发送虚假活动邀请，采用RedFlick 技术，通过Windows计划任务部署CosmicPulse后门。攻击使用伪装成PDF的LNK快捷文件启动多阶段感染，部分攻击还投放DarkSword苹果漏洞利用套件。当前研究机构已发布狩猎查询与威胁指标，并给出多项防御处置建议。

研究人员披露名为Branch Target Reuse (BTR) 的 Spectre‑v2新型攻击方式，该漏洞利用CPU残留的陈旧分支预测项，可影响浏览器、运行时、内核的JIT引擎，覆盖多厂商CPU。研究团队针对Linux cBPF实现完整利用，能够绕过防护泄露root密码哈希，同时验证Firefox 的 SpiderMonkey、GraalVM同样存在受攻击可能。该缺陷根源在硬件层面，需依靠软件进行缓解。目前Linux内核、Oracle已部署对应补丁，分配CVE‑2026‑64507、CVE‑2026‑64508优先推进站点隔离部署。

研究人员披露代号PhantomSub的供应链攻击活动，共计发现101个恶意npm包，总下载量约49万次。该系列包篡改Baileys开源库，在未经开发者许可的情况下，将其WhatsApp账号自动加入诈骗频道，以此刷取频道粉丝，用于售卖游戏、社交媒体账号。恶意包分为远程拉取、明文硬编码、混淆编码三种变体，仅有16个包已被下架。研究人员发布相关IOC指标，并建议开发者排查依赖、警惕要求绑定WhatsApp账号的npm包。

攻击者伪造名为Plus5.6的Custom GPT，借助谷歌付费广告引流，伪装服务故障诱导用户跳转至Google Sites恶意页面。该页面利用ClickFix手法，诱骗受害者执行PowerShell命令，启动八阶段混淆感染链，下载恶意MSI。攻击滥用Canon、Stardock合法签名程序实施DLL劫持，通过注册表Run键与计划任务实现双重持久化，最终部署功能完备的RAT，可远程控机、窃取音视频、下发后续载荷，该活动已关联至少 40 起安全事件。

攻击者利用窃取的法国税务管理局DGFIP员工密码，在6至7月窃取数十万个人及企业税务数据，该事件时隔七周才因攻击者在论坛公开宣称才被知晓。研究报告称攻击技术并不复杂，漏洞源于登录防护薄弱、网络隔离不足、监控缺失。此次泄露涉及超35万个人、25万余家企业信息，纳税人个人账户密码未泄露。攻击者借助PIGP、ADER等门户实施入侵，DGFIP的SOC虽捕捉到部分可疑账号，但重置密码未终止已建立会话，海量数据导出未触发告警。

37岁越南籍男子Trung Nguyen Van因涉嫌洗钱被美方起诉，其参与的杀猪盘诈骗中，一名受害者受虚假平台Triangle诱导，被骗走价值1600 美元加密货币。该嫌疑人9月24日在美国洛杉矶机场被捕。法庭文件显示，2018至2024年间，其钱包累计收到来自电信诈骗的5300余万美元加密资产，部分资金来自杀猪盘活动，资金被转移至链下私有钱包。杀猪盘诈骗分子常在社交平台建立信任，诱导受害者参与虚假加密货币投资。