ZONE.CI 全球网

威胁组织正利用IvantiSentry网关中最高危的CVE-2026-10520操作系统命令注入漏洞，该漏洞允许未经身份验证的远程攻击者以root权限执行代码。尽管官方最初称未发现活跃攻击，但影子服务器基金会监测到补丁发布后短时间内即有19台暴露设备被植入后门，Ivanti设备因处于企业内网关键节点而成为攻击者重点目标。建议相关企业立即检查并升级设备补丁。

该文档详细解析了2026年聚合獬豸杯CTF比赛中服务器取证环节的20道题目解题过程。作者使用HermesAgent工具和Qwen模型进行自动化分析，通过远程命令执行、源码审计、数据库查询等技术手段，系统性地验证了服务器内核版本、用户权限、Web服务配置、数据库安全、网络日志分析等关键问题。文档提供了完整的证据链和验证策略，涵盖权限提升、隐蔽后台识别、密码爆破、数据备份追踪等实战场景，具有较强的技术参考价值。

SHADOWBYT3$黑客组织宣称入侵任天堂窃取约859MB敏感数据，可能通过TINYpulse第三方员工管理系统突破。泄露数据包含员工姓名、邮箱、内部问卷、财务文件等，存在身份盗用和金融欺诈风险。事件尚未经官方证实，安全专家建议企业加强第三方平台访问控制和多因素认证。

俄黑客持续利用WinRAR路径遍历漏洞CVE-2025-8088攻击乌克兰机构，该漏洞通过NTFS备用数据流将恶意文件写入启动目录。报告披露SHADOW-EARTH-066组织已升级为内存驻留恶意软件窃取浏览器数据，EarthDahu组织则使用脚本投递间谍模块。企业因WinRAR缺乏自动更新机制导致补丁安装率低，建议通过第三方工具清查旧版本并监控异常进程活动。

第三方HR平台TinyPulse遭Shadowbyt3$勒索组织供应链攻击，导致任天堂美国员工2016-2026年人事数据泄露，含W-9税务表格、银行对账单等敏感信息。任天堂拒绝支付200万美元赎金后黑客公开部分数据，建议受影响员工立即设置信用冻结并监控纳税申报。

白影v2.2更新模板payload\\_file.bin，支持释放诱饵文档并执行shellcode，诱饵文档可匹配6种后缀，配合Lnk钓鱼使用。该工具属于恶意软件开发范畴，提供免杀和钓鱼功能，但声明仅限安全测试使用。

本周威胁情报聚焦于多个APT组织的最新攻击活动。APT-C-60针对日本组织，使用鱼叉式钓鱼邮件和多阶段载荷进行攻击；Turla入侵套件被归因于俄罗斯联邦安全局，长期针对多国政府及关键基础设施；APT36则利用印度政府招聘诱饵，通过GoogleSheets作为C2通道控制受害者。此外，情报还披露了MiasmaWorm蠕虫回归npm、攻击者利用AI部署C&C僵尸网络以及大规模GitHub品牌仿冒等事件，并分析了SharpViewStateKing植入框架等恶意代码的工作机制。

本文详细介绍了基于APatch内核Hook能力实现的Android无痕Hook框架GhostHook的设计思路与避坑经验。框架核心包括ShadowPage方案实现InlineHook与指令插桩、幽灵内存绕过VMA管理层实现隐身、以及Daemon代理模式实现模块化注入。文章还讨论了Zygote注入、反调试对抗、内核态Trace等关键技术，并指出了FEAT\\_EPAN设备支持的重要性。

该文档是第二届CCF智能汽车大赛线上赛AURIXShadow题目的解题报告。核心是通过逆向分析车载ECU固件中的ELF文件、NCAL标定区和UDS记录，破解了受安全级别限制的DIDEF01。关键发现是加密算法使用了xorshift32密钥流生成器和滚动变换，且xorshift32在GF(2)上具有线性性质。通过已知flag前缀和线性方程组高斯消元，唯一确定了密钥流初态，最终成功解密得到flag。可操作建议是使用提供的Python脚本复现解题过程。

SocGholish木马团伙被欧洲刑警组织OperationEndgame行动捣毁，该团伙3年间入侵超144万个WordPress网站，影响187个国家和地区。攻击链始于利用插件漏洞或弱口令入侵网站，注入恶意JavaScript，通过伪装浏览器更新提示诱导下载，最终部署CobaltStrike等载荷。核心隐蔽技术为域名影子，在合法域名下创建恶意子域名。建议网站管理员检查DNS记录和文件变动，企业终端可部署YARA规则检测。

本文介绍OSINT侦察中用户名枚举的社工档案重建方法，通过虚构案例展示跨平台账号关联的`红线效应`，并列举TryHackMe靶场教学案例及真实调查案例。文中还介绍了用户名枚举工具（如Sherlock、Maigret）及国内平台盲区，提出置信度分级与证据链四要素，建议防守方将员工对外ID纳入攻击面台账。

文档推荐UACMe工具集，用于Windows本地提权UAC绕过，支持多种技术，提供使用语法和项目地址。同时介绍安全团队圈子，包含免杀工具、恶意软件开发课程等内容，并声明仅限合法安全测试使用。

该文档详细分析了2026年腾讯游戏安全技术竞赛决赛中利用硬盘DMA劫持HyperV虚拟化的完整攻击链。攻击需满足UAC权限、开启VT/HyperV、关闭IOMMU等条件，通过SCSI设备直接DMA读写物理内存，劫持Vmexit路径隐藏Shellcode。文档提供了用户层和内核层共6种检测方案，包括IRPHook和内存校验，并给出密钥生成算法及调试/内存取证两种解题思路。

文档披露IvantiSentry高危漏洞CVE-2026-10520（CVSS10.0）已遭大规模在野利用，攻击者通过公开PoC实现未认证远程代码执行。监测显示多数暴露实例已失陷，攻击者可窃取数据、横向移动内网。建议立即升级至修复版本R10.5.2/R10.6.2/R10.7.1，隔离排查后门迹象，勿等待官方确认。

SHADOWBYT3$黑客组织宣称入侵任天堂窃取约859MB敏感数据，可能通过TINYpulse第三方员工管理系统突破。泄露数据包含员工姓名、邮箱、内部问卷、财务文件等，存在身份盗用和金融欺诈风险。事件尚未经官方证实，安全专家建议企业加强第三方平台访问控制和多因素认证。

2026年6月，黑客组织shadowbyt3$声称通过第三方人力资源管理平台TinyPulse漏洞入侵任天堂内部系统，窃取约859MB敏感数据并勒索200万美元。泄露内容涵盖员工身份信息、财务文件（含W-9税务表单及银行对账单）、内部工作记录及沟通数据，可能引发二次身份盗窃与金融欺诈。此事件凸显第三方SaaS平台的供应链安全风险，但事件真实性仍待官方核实。

白影v2.2更新模板payload\\_file.bin，支持释放诱饵文档并执行shellcode，诱饵文档可匹配6种后缀，配合Lnk钓鱼使用。该工具属于恶意软件开发范畴，提供免杀和钓鱼功能，但声明仅限安全测试使用。

本周威胁情报聚焦于多个APT组织的最新攻击活动。APT-C-60针对日本组织，使用鱼叉式钓鱼邮件和多阶段载荷进行攻击；Turla入侵套件被归因于俄罗斯联邦安全局，长期针对多国政府及关键基础设施；APT36则利用印度政府招聘诱饵，通过GoogleSheets作为C2通道控制受害者。此外，情报还披露了MiasmaWorm蠕虫回归npm、攻击者利用AI部署C&C僵尸网络以及大规模GitHub品牌仿冒等事件，并分析了SharpViewStateKing植入框架等恶意代码的工作机制。

本文详细介绍了基于APatch内核Hook能力实现的Android无痕Hook框架GhostHook的设计思路与避坑经验。框架核心包括ShadowPage方案实现InlineHook与指令插桩、幽灵内存绕过VMA管理层实现隐身、以及Daemon代理模式实现模块化注入。文章还讨论了Zygote注入、反调试对抗、内核态Trace等关键技术，并指出了FEAT\\_EPAN设备支持的重要性。

该文档是第二届CCF智能汽车大赛线上赛AURIXShadow题目的解题报告。核心是通过逆向分析车载ECU固件中的ELF文件、NCAL标定区和UDS记录，破解了受安全级别限制的DIDEF01。关键发现是加密算法使用了xorshift32密钥流生成器和滚动变换，且xorshift32在GF(2)上具有线性性质。通过已知flag前缀和线性方程组高斯消元，唯一确定了密钥流初态，最终成功解密得到flag。可操作建议是使用提供的Python脚本复现解题过程。

SocGholish木马团伙被欧洲刑警组织OperationEndgame行动捣毁，该团伙3年间入侵超144万个WordPress网站，影响187个国家和地区。攻击链始于利用插件漏洞或弱口令入侵网站，注入恶意JavaScript，通过伪装浏览器更新提示诱导下载，最终部署CobaltStrike等载荷。核心隐蔽技术为域名影子，在合法域名下创建恶意子域名。建议网站管理员检查DNS记录和文件变动，企业终端可部署YARA规则检测。

本文介绍ShadowCave常驻式插桩架构，基于original/shadow双视图将观测代码发布到shadow执行视图，使高频命中不再经过异常路径，稳态命中不依赖异常、单步或跨核同步。相比传统BRK方案性能提升近两个数量级，并系统阐述死区证明、指令重定位、事务化退役等生命周期管理机制，提供完整验证结果。

本文介绍OSINT侦察中用户名枚举的社工档案重建方法，通过虚构案例展示跨平台账号关联的`红线效应`，并列举TryHackMe靶场教学案例及真实调查案例。文中还介绍了用户名枚举工具（如Sherlock、Maigret）及国内平台盲区，提出置信度分级与证据链四要素，建议防守方将员工对外ID纳入攻击面台账。

文档推荐UACMe工具集，用于Windows本地提权UAC绕过，支持多种技术，提供使用语法和项目地址。同时介绍安全团队圈子，包含免杀工具、恶意软件开发课程等内容，并声明仅限合法安全测试使用。

本文介绍了一款名为白影（whiteshadow）的自动化工具，它能实现`零编译`的dll导出表劫持，用于生成白加黑免杀载荷。其核心优势是无需源码和本地编译环境，直接通过二进制修改dll文件来实现免杀。新版本v2.1更新了patch模板，引入fnv1ahash匹配技术，并提供了带反沙箱功能的模板以绕过主流安全软件检测。该工具主要用于安全测试和防御研究场景。