2026-10-16 08:32:30 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

国外：一周网络安全态势回顾之第168期

原创

铸盾安全
铸盾安全

河南等级保护测评

2026年9月26日 00:04
河南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

1. Clop泄露网站遭入侵：勒索团伙之间的“黑吃黑”升级

Clop勒索软件团伙用于发布受害者信息的Tor数据泄露网站近日遭到ShinyHunters入侵，攻击者不仅篡改了Clop的泄露网站，还声称已经获得其Tor洋葱服务的服务器日志、源代码以及私钥。ShinyHunters随后向Clop提出高额赎金要求，并要求其公开道歉，同时威胁公开那些曾经向Clop支付赎金的企业名单。此次事件并非普通的勒索攻击，而是网络犯罪团伙之间围绕攻击基础设施、受害者信息和赎金资源展开的直接对抗。ShinyHunters表示，此次行动是对Clop此前针对Oracle E-Business Suite攻击活动期间相关人员威胁行为的报复，双方之间的冲突因此进一步升级。如果ShinyHunters确实掌握了Clop服务器日志、源代码和私钥，这意味着其获得的不仅是一个网站的控制权，还可能涉及Clop内部基础设施、受害者管理以及泄露网站运营体系的重要信息。更值得关注的是，ShinyHunters威胁曝光向Clop支付赎金的企业，这可能使原本由勒索团伙控制的“受害者名单”反过来成为勒索团伙自身的攻击筹码。过去勒索软件组织依靠匿名基础设施、Tor服务和数据泄露网站维持运营，如今这些基础设施本身也成为其他犯罪组织争夺和攻击的目标，网络犯罪生态正在出现明显的“黑吃黑”现象。

2. BragJack攻击浏览器AI助手：恶意扩展可让AI替攻击者行动

一种名为BragJack的安全漏洞暴露了浏览器内置AI助手所面临的新型攻击面。研究人员发现，Chrome、Edge、Opera Neon、Perplexity Comet以及Chrome扩展程序Claude中的AI助手，都可能信任来自特定网页的指令。攻击者如果控制或劫持相关网页，就可以利用恶意浏览器扩展程序注入脚本或者篡改网络流量，将攻击者自己的提示内容注入AI助手的上下文中，并且在部分情况下不需要用户进一步点击或确认。由于AI助手本身拥有浏览器环境中的各种操作能力，一旦被成功操纵，其行为范围可能远远超出普通网页脚本。例如，根据不同浏览器和AI助手的权限，攻击者可能借助AI读取电子邮件、访问本地文件、执行网页操作，甚至截取屏幕以及启用摄像头和麦克风。问题的核心并不是传统意义上的浏览器漏洞，而是AI助手对网页内容和指令的信任边界过于宽泛。过去网页中的恶意内容通常只能影响网页自身，而当浏览器中的AI助手能够理解并执行网页指令之后，网页内容就可能间接获得“指挥AI”的能力。相关厂商针对该类问题提供了漏洞奖励，金额从600美元至7000美元不等。这个案例说明，随着浏览器逐渐成为AI Agent的运行入口，网页内容、浏览器扩展和AI助手之间的信任关系正在形成新的攻击面。

3.恶意MemTensor软件包潜伏AI Agent内存工具：供应链攻击盯上AI生态

攻击者近期在npm和PyPI软件包生态中发布了MemTensor的MemOS软件包恶意版本，其中包括面向OpenClaw AI Agent框架的内存插件，并植入了一种此前未知的Go语言恶意程序“sckit”。与传统恶意软件安装后立即执行不同，sckit具有更强的隐蔽性：恶意代码并不会简单地在软件包安装过程中直接运行，而是在相关Python库被导入或者npm插件实际使用时才启动，从而降低传统软件包安装检测机制发现它的概率。启动后，恶意程序会主动搜寻npm、PyPI、GitHub、AWS、Hugging Face等环境中的凭据和其他敏感信息。更值得警惕的是，sckit代码中还包含针对npm、PyPI以及GitHub Actions的传播模板，表现出明显的蠕虫化设计思路。研究人员目前尚未发现这些传播机制已经形成大规模扩散，因此不能将其描述为已经成功传播的供应链蠕虫，但其设计已经显示出攻击者正在尝试把AI软件供应链变成新的自动传播渠道。此次事件尤其值得AI开发者关注，因为AI Agent通常依赖大量开源框架、插件、模型组件和第三方工具，一旦内存组件、工具调用组件或者Agent插件遭到供应链污染，攻击者获取的可能不仅是开发者凭据，还可能进一步控制Agent的运行环境、长期记忆和工具调用能力。

4. AI中继网络将流量导向西方前沿模型：近11000台服务器形成隐蔽通道

一个规模庞大的AI中继网络正在成为连接不同地区用户与前沿大模型服务的重要基础设施。研究人员发现，全球约有11000台服务器运行Claude Relay Service或者其后续项目sub2api。这类开源AI网关能够把多个AI账户集中起来供不同用户共享，使最终模型服务提供商看到的主要是中继服务器，而不是实际使用者，因此可以隐藏真实用户的IP地址和地理位置。在一个位于美国的中继服务器集群中，研究人员发现超过4000个IP地址连接到了304台中继服务器。这些中继服务器进一步连接Anthropic、OpenAI、xAI和Google等模型服务端点。由于相关模型服务并非全部面向这些地区直接提供服务，中继网络实际上形成了一条跨越地域限制的技术通道。从网络安全角度看，这种架构同时带来身份追踪、账户滥用、API密钥共享、数据隐私和服务商治理等问题。对于模型提供商而言，中继服务器可能使其难以准确识别最终用户；对于企业而言，如果员工通过未经授权的AI中继服务访问内部数据，则组织可能无法确认数据最终流向何处。更值得关注的是，这类中继基础设施一旦规模化，还可能被用于自动化批量调用模型、绕过账户限制或者隐藏AI Agent的真实来源。

5.信息窃取日志暴露美国水务行业远程访问凭证：OT安全风险向身份侧延伸

针对美国水务和污水处理行业的一项大规模分析发现，信息窃取型恶意软件已经在相关行业形成值得关注的身份安全风险。研究人员分析了与约10000家美国水务及污水处理企业及其技术供应商有关的被盗身份数据，发现其中有1787家机构存在活跃的信息窃取攻击迹象，另有258家机构的运营技术（OT）或者远程访问系统凭证已经遭到泄露。在一个典型案例中，一家高级计量技术供应商的单台设备被恶意软件窃取了大约167个公用事业计量门户的保存登录信息。水务企业自身暴露的凭证则主要涉及TeamViewer、SonicWall和Fortinet等远程管理工具。这些凭据本身并不意味着攻击者已经成功入侵相应水务设施，但它们可能形成通往OT环境的重要潜在访问路径。水务行业大量依赖远程运维、第三方技术服务商和集中管理平台，一旦管理员凭据、VPN账号或者远程桌面工具凭据进入信息窃取日志，攻击者就可能进一步尝试进入企业IT环境，再向OT网络横向移动。因此，这起事件体现出的核心问题不是单纯的“账号泄露”，而是身份凭据正在成为连接IT、远程运维、第三方供应链和OT系统的关键攻击入口。对于关键基础设施而言，远程访问凭据保护已经成为OT安全体系的重要组成部分。

6. CLOSEDQUORUM让商业AI参与C2决策：恶意软件开始尝试“用AI决定下一步攻击”

一种名为CLOSEDQUORUM的Windows植入程序引发了对AI驱动恶意软件的新一轮关注。该植入程序采用Go语言开发，其最突出的特点是将部分命令与控制决策交给商业大语言模型，而不是完全由传统C2服务器或者人工攻击者决定。植入程序最多可以同时调用四个AI模型，包括DeepSeek、Qwen、Mistral和Gemini，并让这些模型针对下一步攻击行为进行“投票”。候选操作包括窃取凭证、代码注入和建立持久化等，植入程序随后执行获得支持的操作，并将LSASS转储、浏览器密码以及加密钱包数据发送到攻击者的Discord频道。公开版本中使用的是占位符API密钥，因此目前尚不能证明这一植入程序已经在真实攻击活动中大规模部署。不过，其开发版本显示，攻击者可以针对不同操作员生成定制化版本，说明这种架构具备进一步演化的可能性。其真正值得关注的地方并不只是“恶意软件使用了AI”，而是AI开始被放到了攻击决策链中。传统恶意软件通常由攻击者预先设计固定逻辑，而这种模式尝试让LLM根据当前环境动态选择攻击动作。如果这一技术进一步成熟，未来恶意软件可能具备更强的环境适应性，使防御系统面对的不再是完全固定的攻击流程。

7. Canonical缩短Ubuntu内核更新周期：漏洞修复进入“两周节奏”

面对不断增长的Linux内核漏洞数量，Canonical正在调整Ubuntu内核安全更新机制，将原本四周一次的常规内核稳定版本更新（SRU）周期和两周一次的安全内核SRU周期合并为一个统一的两周周期。由于两个周期原本存在交错，因此调整后将形成每周发布一个新内核的节奏。Canonical表示，CVE数量近年来快速增加，其中一部分原因来自AI辅助漏洞发现能力提升，另一方面，上游Linux内核社区开始承担更多CVE编号工作，也使大量此前未被正式编号的问题获得CVE标识。对于需要更快获得修复的管理员，可以在正式认证测试完成之前，通过-proposed仓库测试候选版本，从而提前验证补丁与自身业务环境的兼容性。Canonical同时提出，将进一步缩短从漏洞公开披露到临时缓解措施出现的时间，希望能够在漏洞公开后的24至48小时内提供临时解决方案或者加固指南。对于企业而言，这一变化意味着传统“每月集中打补丁”的节奏可能越来越难以应对现实漏洞环境。尤其是在服务器、云平台、容器和关键业务系统中，漏洞修复速度正在从单纯的运维问题转变为安全能力的一部分。

8. TDengine严重缺陷：一个畸形数据包即可击垮工业遥测数据库

TDengine中的CVE-2026-42542暴露出工业遥测环境中一个值得高度关注的远程拒绝服务风险。TDengine是一款面向工业遥测、能源、公用事业和物联网环境的时间序列数据库。该漏洞的危险之处在于，攻击者无需通过身份认证，只需要向TDengine的RPC端口发送一个经过构造的畸形数据包，就可能导致服务器崩溃。漏洞源于消息解析过程中的整数下溢，并且发生在身份验证之前，随后可能进一步造成堆缓冲区溢出。目前研究人员已经确认攻击者可以利用该问题造成拒绝服务，但尚未确认存在稳定的远程代码执行利用。不过，由于底层已经出现内存破坏，防御人员不能仅仅将其视为一个普通的服务崩溃漏洞。受影响版本包括TDengine 3.4.0.0至3.4.1.5，3.4.1.6已经完成修复。对于工业环境而言，数据库并不是孤立的信息系统组件，它可能承担实时遥测数据、设备状态、生产监控以及历史数据存储等任务。因此，一个数据库服务被远程击垮，影响可能进一步传导到监控、分析和生产管理流程。尤其是RPC接口直接暴露在不可信网络中的部署，更需要优先检查。

9. RemControl安卓银行木马：AI甚至被用于协助构建恶意软件功能

一种名为RemControl的新型Android银行木马以“恶意软件即服务”（MaaS）形式出现，主要针对西欧、中东和加拿大地区的30多家银行。攻击者通过伪造Google Play商店页面传播恶意应用，这些页面将用户引导至伪装成TVTap IPTV的应用程序。一旦用户安装并授予辅助功能权限，恶意软件就能够在银行应用上覆盖显示钓鱼弹窗，同时具备屏幕串流、键盘记录以及完整远程控制设备等能力。更特别的是，泄露的API文档显示，该MaaS平台部分功能已经引入AI助手。该AI助手被告知自己正在开发一个问答和家长监控应用，但实际运行环境中却出现了与恶意软件功能相关的行为，其中一个钓鱼弹窗甚至包含完整的AI助手回复。这种设计反映出攻击者正在尝试把生成式AI能力嵌入恶意软件运营平台，用于辅助开发、生成内容或者控制相关功能。RemControl因此不仅是一个传统Android银行木马，更体现出MaaS与AI能力结合的趋势。对于移动安全而言，辅助功能权限、屏幕读取能力和远程控制权限仍然是关键攻击面，而当AI进一步进入恶意软件开发和运营体系后，恶意软件的迭代速度和适应能力可能进一步提高。

10. CARBONATO入侵暴露Docker：AI API密钥成为僵尸网络首要目标

一种名为CARBONATO的僵尸网络正在利用暴露且未经身份认证的Docker守护进程发动攻击。其主要目标是监听在TCP 2375端口、同时没有启用身份认证的Docker API。一旦发现可攻击的Docker主机，恶意程序便可以控制容器环境，并进一步建立持久化。CARBONATO具有明显的自动化传播特点，会大约每五分钟扫描一次邻近网络，寻找新的Docker目标。在入侵主机后，攻击者会安装合法的开源AI Agent框架Hermes Agent，随后替换其persona文件，将攻击者的命令和控制指令写入其中，使AI Agent承担执行Telegram命令、维持持久化以及收集凭据等任务。尤其值得关注的是，在收集的各种敏感信息中，AI API密钥被放在最高优先级，说明攻击者已经认识到AI凭据具有直接的经济和计算价值。研究人员通过一个暴露且未经身份认证的Docker镜像仓库发现了该僵尸网络，并根据语言、时区以及相关基础设施线索判断，操作者可能位于哥斯达黎加。这起事件将几个趋势结合在了一起：错误配置的Docker环境成为初始入口，AI Agent成为恶意控制工具，而AI API密钥则成为高价值战利品。它再次说明，随着企业大量部署AI服务和Agent，AI凭据正在成为继传统云凭据、数据库账号和SSH密钥之后新的核心攻击目标。

等保、关保、数保、个保，网络安全与数据治理“四位一体”的体系化制度框架

网络安全等级保护制度统一框架辨析

>>>等级保护<<<

从资质驱动到能力驱动——新标准下测评机构的生与死

测评机构迎大考，安全厂商的机会来了！

测评机构的回旋镖来了！测评机构不仅要会“测别人”，更要先“管好自己”

新标准背景下等级测评机构应培养什么样的人才

供应链企业应该如何适应等级保护发展