2026-10-16 02:34:05 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

每周网络安全简讯 ( 2026年第41周 )

国信中心
国信中心

极客安全

2026年10月9日 17:30
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年10月1日至2026年10月9日，国家信息技术安全研究中心在线监测技术研究实验室对境内外互联网上的网络安全信息进行了搜集和整理，并按APT攻击、网络动态、漏洞资讯、木马病毒进行了归类，共计20条。

APT攻击

疑似伊朗背景APT组织CL-STA-1178利用虚假招聘攻击伊拉克关键基础设施人员

近日，Unit42安全团队披露，疑似具有伊朗国家背景的APT组织CL-STA-1178自2026年3月起开展“BlinderTunnel”行动，针对伊拉克关键基础设施领域人员实施定向攻击。该APT组织冒充迪拜机场招聘人员，利用虚假招聘门户建立信任，再投递植入恶意代码的Visual Studio编程测试项目，通过AppDomainManager劫持和DLL侧载部署ShelbyLoader V2、ShelbyC2 V2及Blackwood工具，实现持久化、远程命令执行和内网隧道访问。

链接：https://unit42.paloaltonetworks.com/blinder-tunnel-targets-critical-infrastructure/

APT组织MidnightBlizzard旗下活动集群Storm-2945滥用酒店Wi-Fi认证门户投递恶意软件并窃取凭据

近日，微软安全团队披露代号为“CaptiveCrunch”的攻击行动，将其归因于APT组织MidnightBlizzard旗下活动集群Storm-2945。此次攻击活动中，该APT组织操纵多个国家酒店内部访客网络的DNS及HTTP流量，将用户重定向至虚假更新或登录页面，通过ClickFix诱导执行命令，投递CornFlake远控木马及ChocoShell信息窃取程序。相关载荷支持文件窃取、键盘记录、音视频采集和远程命令执行，并可获取浏览器Cookie、保存的密码及Microsoft 365单点登录令牌。此外，该APT组织还结合中间人钓鱼和设备代码钓鱼，诱导用户授权攻击者会话，使风险由终端感染延伸至企业云账户。

链接：https://cybersecuritynews.com/midnight-blizzard/

APT组织Earth Sirrush利用PNG隐写与恶意Notepad++插件对乌克兰目标实施网络攻击

近日，安全研究人员披露，疑似与俄罗斯有关的APT组织Earth Sirrush持续针对乌克兰政府、国防、边防及物流机构开展情报窃取活动。此次攻击活动中，Earth Sirrush冒充可信机构或无人机零部件企业，通过钓鱼邮件、虚假下载页面投递恶意压缩包，将载荷隐藏于PNG图像数据或像素中，并借助计划任务执行；另一攻击链利用恶意Notepad++插件LUNCHPOKE，通过DLL代理在编辑器启动时加载恶意代码，部署后续加载器。经分析，攻击过程中部署的新型ASHVEIN木马具备浏览器凭据窃取、屏幕截图、文件获取及远程PowerShell执行能力，结合加密通信、反分析检查和备用控制地址维持访问。

链接：https://cybersecuritynews.com/earth-sirrush-uses-png/

网络动态

Cloudflare拟利用默克尔树证书构建后量子证书颁发机构

Cloudflare正构建支持默克尔树证书（MTC）的证书颁发机构，计划于2027年初获准加入Chrome抗量子根证书库，并免费签发标准MTC。该方案将证书数据纳入仅追加的默克尔树日志，通过签名检查点、包含证明及独立镜像联署保障签发透明度与日志一致性；浏览器预先获取可信树结构后，可减少TLS握手传输的后量子签名数据，降低认证开销。Cloudflare称，相关试验中握手速度中位数提升约9%，但试验采用传统签名，收益主要来自移除中间证书，尚不能等同于后量子场景实测效果。目前，MTC仍处于IETF草案阶段，根证书库准入及大规模部署可靠性仍待验证。

链接：https://cybersecuritynews.com/cloudflare-post-quantum-ca/

OpenAI披露利用跨对话推理数据保护缺陷的模型蒸馏活动

OpenAI称已阻断一起有组织的模型蒸馏活动，相关人员将一次对话中的加密推理数据复制至另一对话，诱导模型以明文再现受保护的推理内容，以提取模型推理能力。OpenAI强调，该过程未破解加密算法、入侵数据库或直接获取已存储的用户对话。据其披露，7月24日至25日，约4000名用户提交了1.6万条符合相关提取模式的提示，至7月28日可疑用户增至1.5万。目前，OpenAI称已修复跨对话解密缺陷、封禁违规账号，并加强注册管控和网络监测。

链接：https://cyberscoop.com/openai-moonshot-ai-model-distillation-attack/

互联网协会推出全球在线信任与安全中心，强化公众反诈能力与多方协同治理

互联网协会宣布推出“在线信任与安全中心”，作为其“更安全互联网计划”的重要组成部分，面向全球个人用户、社区组织及培训人员免费提供多语言安全资源。该中心汇集反诈指南、教育视频、在线课程、可下载材料及互动游戏，帮助公众识别利用信任、恐惧和紧迫感等心理因素实施的网络诈骗。项目获得Google.org支持，并结合服务女性组织、流离失所人群、原住民社区及新接入互联网用户的相关经验开发资源。互联网协会强调，网络安全不应仅由个人负责，政府、行业、平台及社会组织需共同改善网络环境。

链接：https://cybersecuritynews.com/internet-society-launches-global-online-trust-and-safety-hub-as-part-of-its-safer-internet-initiative/

美军推行网络技能激励薪酬改革

美国五角大楼推进“网络技能激励薪酬计划”（C-MIP），作为“网络司令部2.0”改革的一部分，以统一的技能激励津贴和特殊任务津贴替代原有激励机制，鼓励网络人员提升技术能力并承担培训等额外职责。但内部文件显示，陆军部分岗位的技能津贴预计每月减少100至1000美元，基础级人员不具备特殊任务津贴资格，部分大师级人员则可获得增补。陆军拟实施为期一年的过渡保护，按新标准与原津贴一半金额中的较高者发放，仍可能出现收入下降。各军种实施准备程度不一，受影响人数及资金来源尚不明确。

链接：https://defensescoop.com/2026/10/01/pentagon-new-cyber-mastery-incentive-model-troops-bracing-for-pay-cuts/

苹果计划收紧macOS全磁盘访问权限

苹果推出，部分开发者对macOS全磁盘访问（FDA）权限的使用可能绕过隐私保护机制，使文件、邮件、消息及浏览记录等敏感信息在用户未充分知情的情况下暴露，通信应用还可能影响交流对象的隐私。随着AI智能体能力与自主性增强，此类广泛访问权限带来的风险将进一步上升。为此，苹果计划更新全磁盘访问设置，确保相关访问权限须经用户明确操作才能授予，并在授权前强化风险说明，帮助用户了解数据访问范围及隐私影响。目前，苹果尚未公布具体技术实现细节和上线时间。

链接：https://thehackernews.com/2026/10/apple-plans-tigther-macos-full-disk.html

美国能源部拟投入1亿美元，支持农村及小型电力企业提升网络安全能力

美国能源部网络安全、能源安全与紧急响应办公室宣布推出1亿美元资助计划，由ConnectWerx与能源部合作管理，通过农村和市政公用事业网络安全项目，支持非营利组织为电力合作社、市政及小型投资者所有电力企业提供技术援助、安全工具、专业服务和威胁信息共享。获资助机构须与至少6家符合条件的电力企业建立正式合作关系，开展安全评估与规划、人员培训认证、应急演练、安全技术部署集成及效果验证等工作，并推动可衡量的安全能力与韧性提升。

链接：https://industrialcyber.co/news/doe-launches-100-million-cybersecurity-assistance-initiative-for-rural-municipal-and-small-electric-utilities/

美国五角大楼推进“堡垒美国”项目办公室建设，强化本土军事设施韧性

10月7日，据DefenseScoop媒体网站报道，美国五角大楼采购与保障负责人于10月6日签发备忘录，启动“堡垒美国”（FORTRESS America）项目办公室运行筹备，任命临时主任并要求8名高级官员指定代表及执行人员参与协调。该计划旨在降低网络攻击、破坏、电网故障及外部供应链中断对本土军事资产的影响，重点涵盖五方面：加固卫星链路，提升定位导航授时及电磁抗干扰能力；强化基地防护、零信任工业控制系统和指挥业务连续性；推进关键设施独立供电与自主微电网；保障本土及盟友供应链，减少单点故障；扩大战略物资储备与应急产能。项目办公室将负责跨部门统筹及战略里程碑跟踪，推动军事设施网络防护、能源保障和供应链韧性协同建设。

链接：https://defensescoop.com/2026/10/07/pentagon-memo-operationalize-fortress-america-program-office/

美国国防部启动人工智能辅助定密试点，推进敏感军事信息管理改革

美国国防部副部长史蒂夫·费恩伯格签署备忘录，要求未来六个月内小规模部署自动化安全定密能力，采用空军开发的“自动化定密管理环境”（ACME），由空军部长牵头实施。该系统通过人工智能辅助工具改进定密流程与敏感信息管理，旨在减少错误定密、过度定密及信息孤岛，提升信息共享效率。若试点成功，系统拟成为国防部所有原始定密决定的统一数字化权威参考。研究人员指出，自动化可能加速并放大定密错误，增加敏感信息误共享及对手通过汇总已解密信息推断机密的风险，需持续开展人工监督与纠错。

链接：https://defensescoop.com/2026/10/07/pentagon-launches-ai-pilot-program-automated-classification-management/

Anthropic推出关键基础设施防御计划及开源软件免费漏洞扫描服务

Anthropic宣布将Claude模型、工程师及威胁研究能力与Dragos、CrowdStrike等企业的安全专长结合，推出关键基础设施防御计划，支持漏洞发现与修复、事件响应及红队测试。Anthropic表示，已向美国超过半数州及大型关键基础设施运营商提供模型与技术支持，并将先与小规模合作群体探索有效、可行的防御方式，同时Anthropic推出自愿加入的开源软件免费定期扫描服务，提供漏洞概念验证、问题说明及修复建议。

链接：https://cyberscoop.com/anthropic-cybersecurity-program-critical-infrastructure-open-source/

漏洞资讯

Docker存在CopyEscape安全漏洞

近日，安全研究人员发现Docker存在CopyEscape安全漏洞（CVE-2026-17106）。攻击者控制运行中的容器后，可利用归档生成过程中的检查与使用时序竞争，结合解压环节的路径限制缺陷，在用户执行docker cp时通过符号链接突破目标目录限制，以本地DockerCLI进程权限创建或覆盖文件，若复制命令以root权限运行，攻击者可能通过替换容器运行时程序等方式实现高权限代码执行。目前，用户可通过将版本升级至Docker Desktop 4.86.0、Docker Sandboxes 0.38.0及moby/go-archive 0.3.0修复上述安全漏洞。

链接：https://cybersecuritynews.com/copyescape-docker-flaw/

TeamViewer存在5个安全漏洞

近日，安全研究人员发现TeamViewer存在5个安全漏洞：一是本地IPC路径遍历漏洞（CVE-2026-19743），可使低权限认证用户以SYSTEM或root权限写入任意文件；二是录制文件堆缓冲区溢出漏洞（CVE-2026-92368），攻击者可诱导Linux或macOS用户打开恶意.tvs文件，实现代码执行；三是Windows安装程序竞争条件漏洞（CVE-2026-92369），可通过替换回滚备份文件提升至SYSTEM权限；四是访问控制漏洞（CVE-2026-92370），允许已认证远程攻击者绕过会话限制，可能执行代码；五是Linux云端会话录制链接解析漏洞（CVE-2026-92371），可重定向高权限文件操作。目前，用户可通过将软件版本升级至15.82或更高版本的方式修复上述安全漏洞。

链接：https://cybersecuritynews.com/teamviewer-vulnerabilities/

libheif存在缓冲区溢出漏洞

近日，Fortbridge安全研究人员演示了利用恶意HEIC图像攻击WordPress服务器的漏洞链。攻击者需拥有媒体上传权限，通过上传特制图像，调用ImageMagick时触发libheif图像解码器中的缓冲区溢出漏洞（GHSA-x8r2-mggj-j6wr），结合生成的JPEG图像泄露的内存信息，劫持程序执行流程，以PHP-FPM服务账户权限执行代码。该攻击已在两套特定Linux软件环境中验证，并非适用于所有WordPress部署，尚无实际攻击活动报告。漏洞影响libheif 1.18.0至1.23.2版本，用户可通过将软件版本升级至1.23.3修复上述安全漏洞。

链接：https://cybersecuritynews.com/malicious-heic-images/

微软Exchange存在安全漏洞

近日，安全研究人员发现微软Exchange Server存在安全漏洞（CVE-2026-96940）是由相关组件授权校验不足所导致，允许已经过初步认证的攻击者通过网络提升权限，读取同一组织内其他用户的邮件及附件。漏洞影响Exchange Server订阅版RTM、2016 CU23及2019 CU14、CU15等版本，目前用户可通过补丁更新修复上述安全漏洞。

链接：https://thehackernews.com/2026/10/microsoft-exchange-flaw-lets.html

木马病毒

新型加载器2CLoader利用多重规避技术投递信息窃取程序

近日，安全研究人员披露新型Windows恶意软件加载器2CLoader，该程序于2026年8月首次被发现，主要投递Vidar、Remus信息窃取程序及XWorm远控木马，可带来密码、浏览器数据和会话信息泄露风险。2CLoader将配置与载荷加密存储于可执行文件资源中，结合间接系统调用、虚拟机及调试器检测等方式规避分析，并支持内存加载、手动映射和进程映像替换。部分样本还通过API挂钩伪造系统信息，干扰后续环境检查。该程序可利用注册表启动项、计划任务等实现持久化，通过HTTP向控制端回传加密的设备及运行状态信息。

链接：https://cybersecuritynews.com/new-2loader-malware/

Antino后门滥用Outlook与OneDrive实施隐蔽通信和远程控制

近日，安全研究人员披露新型Windows后门Antino。该恶意软件通过鱼叉式钓鱼邮件传播，利用伪造的Gmail附件预览诱导用户运行HTA或WSF文件，经多阶段下载与加载，借助微软签名程序DLL侧载完成部署。Antino采用Rust编写，具备主机信息收集、进程与目录枚举、命令及PowerShell脚本执行、文件传输、内存载荷加载和持久化能力，其通过Microsoft Graph调用Outlook交换控制指令，利用OneDrive进行心跳通信和文件传输，降低专用控制服务器暴露风险，同时滥用Windows脚本诊断框架执行恶意脚本，在一定程度上增加了行为溯源的难度。

链接：https://thehackernews.com/2026/10/antino-backdoor-uses-outlook-and.html

针对AI基础设施实施攻击的PoeLLM恶意程序被披露

近日，安全研究人员披露名为“Canto Incognito”的挖矿攻击活动，自2026年4月以来已感染逾3400台服务器，主要集中于美国和西欧。攻击者利用LiteLLM、Gutenberg、Gitea及Ivanti Sentry等互联网暴露服务的已知漏洞，投放PoeLLM恶意程序及XMRig、Iron挖矿程序。经分析，PoeLLM可将C2地址编码隐藏于GitHub仓库中，通过修改特定词语实现地址轮换，同时将部分失陷主机转为扫描和漏洞利用节点，搜索同类目标并发送HTTP POST请求，触发恶意软件下载，实现持续扩散。

链接：https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html

针对物联网实施攻击的Cling僵尸网络被披露

近日，安全研究人员披露Cling僵尸网络利用Realtek Jungle SDK远程代码执行漏洞（CVE-2021-35394）入侵联网设备，并内置多种路由器及硬盘录像机漏洞利用代码，可驱动失陷设备扫描和感染更多目标。同时，Cling在C2通信过程中会将控制指令编码隐藏于STUN标识符中，使得指令流量与谷歌公共STUN服务流量相似，在一定程度上降低了被安全设备检测识别的概率。安全研究人员建议相关组织机构及时修复网络设备安全漏洞，监测异常STUN、UDP流量等方式降低遭受攻击的风险。

链接：https://industrialcyber.co/ransomware/cling-botnet-uses-stun-traffic-to-conceal-command-and-control-activity-and-attacks-against-vulnerable-iot-devices/