安全简讯（2026.10.10）

启明星辰安全简讯

2026年10月10日 16:55
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

1. SafePay将T-Systems列入勒索泄露网站

10月6日，德国主要IT服务提供商、德国电信子公司T-Systems被勒索软件团伙SafePay列入暗网泄露网站，SafePay威胁称如谈判失败，将公开所谓窃取的数据，并仅给予T-Systems两天时间进行谈判。T-Systems业务遍及全球26个国家，拥有超过2.6万名员工，作为德国重要IT企业服务商，其遭受勒索攻击可能引发较大关注。SafePay是一种于2024年秋季出现的双重勒索软件组织，拒绝采用勒索软件即服务（RaaS）模式，由内部团队自行开展初始访问、攻击部署和勒索活动。研究人员认为其与Conti勒索软件存在一定关联。SafePay曾声称2025年攻击76家德国企业，并曾攻击Ingram Micro。德国电信及其生态此前也多次成为网络犯罪目标，2024年曾被LockBit列入泄露网站，2025年及今年5月亦曾出现黑客声称获取或出售德国电信、T-Mobile相关数据的情况，但相关数据真实性均遭公司否认。目前，T-Systems是否确实遭受数据窃取及SafePay所称数据是否真实尚未得到确认。

https://cybernews.com/security/deutsche-telekom-t-systems-data-breach/

2. 日本IDC Frontier遭勒索软件攻击

10月8日，日本大型云服务商IDC Frontier披露，其IDCF Cloud云服务于当地时间10月7日凌晨3时40分遭遇勒索软件攻击，导致东日本地区1数据中心集群发生故障，相关网络和系统被迫关闭，影响使用其云服务的495家企业和地方政府。IDC Frontier是软银集团旗下公司，为客户提供虚拟服务器、存储及网络等基础设施服务。发现攻击后，公司隔离并关闭受影响系统，同时调查入侵路径、评估影响范围，并检查其他地区的安全状况；为核实安全性，公司还主动禁用了所有区域的客户管理控制台访问权限，待确认安全后再逐步恢复。攻击者在相关截图中声称，仅用七分钟便入侵该数据中心，并宣称加密225个数据库、涉及3.6PB数据、入侵239个虚拟机管理程序、封禁1.6万个虚拟机磁盘及删除554153个快照，但上述数据尚属攻击者说法，实际影响仍待调查确认。

https://www.bleepingcomputer.com/news/security/ransomware-attack-disrupts-japans-idcf-cloud-used-by-govt-clients/

3. FakeGit利用GitHub虚假仓库传播恶意软件

10月8日，网络安全研究人员发现，名为FakeGit的恶意活动于10月4日重新活跃，在GitHub上部署超过1.7万个虚假代码仓库，传播SmartLoader恶意软件加载器。该恶意程序可进一步下载和运行其他恶意软件，此前FakeGit还曾被用于传播StealC信息窃取程序。安全平台Apiiro报告称，此次活动使用17,610个仓库，并在34小时内新增超过13,000个，峰值每小时达到2,999个。攻击者主要通过一次性账户发布虚假仓库，但至少700个账户疑似属于合法开发者。恶意仓库利用具有迷惑性的README说明和下载按钮，诱导用户下载包含SmartLoader的ZIP压缩包；部分仓库还伪装成AI技能或模型上下文协议（MCP）服务器，出现在公共AI注册表和目录中，增加了开发者误装恶意软件的风险。研究发现，抽样提交中97%仅修改README文件，88%的提交将下载按钮指向恶意安装包，表明攻击者主要通过调整现有仓库内容扩大传播。FakeGit能够持续运作，主要由于恶意仓库清理覆盖不全，且恶意文件仍可通过分支、旧版本文件、发布资源、问题附件及备用托管仓库访问，攻击者可通过更换下载链接规避封禁。

https://www.bleepingcomputer.com/news/security/fakegit-malware-campaign-returns-with-17-610-malicious-github-repos/

4. AhsayCBS漏洞遭串联利用引发服务器入侵风险

10月9日，网络安全公司Huntress发现，攻击者正利用AhsayCBS备份管理平台中的两个未修补漏洞部署Web Shell和加密货币挖矿程序，至少已有五家机构受到影响。AhsayCBS广泛应用于托管服务提供商和系统集成商，相关漏洞分别为CVE-2026-105133身份验证绕过漏洞和CVE-2026-105134操作系统命令注入漏洞，攻击者通过串联利用，先绕过身份验证，再执行恶意代码。研究人员指出，尽管相关漏洞据称已在AhsayCBS 10.3.2中修复，但进一步调查发现，当前最新版本10.3.4仍然受到影响。成功入侵后，攻击者会开展系统侦察、部署Java服务器页面（JSP）Web Shell，并下载伪装成edge.exe的XMRig加密货币挖矿程序，通过名为MicrosoftEdgeUpdateSvc的服务维持运行。攻击者还利用PowerShell脚本监控任务管理器状态，在任务管理器关闭时恢复挖矿服务，并通过定时终止任务管理器隐藏恶意活动。个别案例中，攻击者还部署存在漏洞的WinRing0x64.sys驱动程序，以获取更多硬件资源用于挖矿。由于Web Shell及其他后门可能长期潜伏，受影响系统面临持续控制和二次入侵风险。

https://www.bleepingcomputer.com/news/security/unpatched-ahsaycbs-flaws-exploited-to-deploy-webshells-mine-crypto/

5. 午夜含羞草借安卓供应链传播全球扩散

10月9日，网络安全公司Bitdefender发现并分析了名为“午夜含羞草”（Midnight Mimosa）的恶意软件活动。攻击者通过在基于联发科平台的低价安卓设备固件中预装恶意软件，使设备在出厂或交付时即存在安全风险。该恶意软件具有持久驻留能力和系统级权限，可通过命令与控制（C2）服务器接受远程指令，静默安装或卸载应用、授予权限并执行远程代码，且难以通过常规方式移除。其主要目的包括实施广告及自动点击欺诈，并将受感染设备纳入僵尸网络，供攻击者控制或出租。Bitdefender过去两年在全球150多个国家和地区发现数千台受感染设备，墨西哥和法国受影响设备数量最多，其次包括意大利、美国、德国、巴西和西班牙，西欧及美洲较为突出。除固件预装渠道外，研究人员还在Google Play发现13款由两个开发者账号发布、包含相同广告欺诈代码的应用，表明恶意软件也可能通过正规应用分发渠道传播。研究人员指出，相关恶意程序会在安装其他恶意应用前暂时禁用Google Play商店及Play Protect，试图利用安全扫描的间隙完成安装。

https://www.securityweek.com/pre-baked-firmware-malware-hits-budget-android-devices-in-150-countries/

6. 恶意Firefox扩展伪装加密钱包窃取用户密钥

10月8日，安全研究机构Socket Threat Research发现，16款恶意Firefox扩展程序伪装成普通浏览器工具、桌面实用程序及钱包门户，针对以太坊钱包Rabby和去中心化金融钱包OKX的用户实施凭证窃取攻击。用户安装扩展后，恶意代码会模仿真实加密货币钱包，诱导用户导入钱包，并窃取其12或24个单词的助记词及私钥，再尝试通过攻击者控制的Cloudflare Workers服务器传输窃取的信息。相关扩展程序在清单文件中声称不收集用户数据，以此降低用户警惕、掩盖恶意行为。截至2026年10月5日，Mozilla已将这些扩展程序从官方插件商店下架，但攻击者可能通过更换名称、版本、扩展ID及描述等方式继续传播恶意程序。Socket指出，此次活动延续了2026年8月曝光的相关加密货币盗窃行动，当时至少发现77款恶意Firefox扩展程序，显示此类攻击具有持续性和变种迭代特征。由于助记词和私钥一旦泄露，攻击者可能直接控制相关加密资产，曾在这些扩展程序运行期间输入过敏感凭证的用户应将原钱包视为已遭泄露，在安全、干净的环境中创建新钱包并生成全新的助记词，及时转移资产，同时删除可疑扩展程序，检查浏览器权限及钱包交易记录，避免继续使用已暴露的凭证。

https://cybernews.com/security/firefox-crypto-stealing-extensions-16-fake-tools/