2026-10-22 11:34:32 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全简讯（2026.10.21）

启明星辰安全简讯

2026年10月21日 16:34
北京

去阅读

1. Bullhorn遭网络攻击致招聘平台大范围中断

10月19日，美国人力资源软件公司Bullhorn近日遭遇网络攻击，为控制风险，公司暂时关闭平台访问，导致招聘及人力资源管理服务大范围中断。Bullhorn主要提供云端招聘解决方案，服务全球超过1万家客户，涵盖候选人跟踪、入职管理、薪资处理及招聘自动化等业务。事件最早于周五表现为客户发布职位异常，次日公司确认平台发生系统性故障，并随后证实与网络攻击有关。Bullhorn已隔离相关问题、消除直接威胁，并在CrowdStrike专家协助下完成安全审查，目前正开展取证调查和服务恢复工作。此次事件影响ATS/CRM、自动化、人才平台、后台及沙盒等多个环境，部分产品仍处于维护或性能下降状态，具体恢复时间尚未公布。公司表示，目前尚无法确定客户数据是否遭到泄露，如确认发生数据泄露，将直接通知受影响人员。为加强账户和集成安全，非单点登录用户下次登录时需重置密码，API密码也须轮换，客户端密钥后续将进行调整。客户可联系支持部门申请数据导出，以降低业务中断影响；未发布的工时记录将在服务恢复后重新处理，相关服务补偿将依据服务级别协议评估。

https://www.bleepingcomputer.com/news/security/bullhorn-takes-staffing-platform-offline-to-contain-cyberattack/

2. AOMEI备份软件遭供应链攻击致恶意后门传播

10月19日，AOMEI Backupper备份软件4月至7月遭遇供应链攻击，攻击者入侵其服务器，短暂篡改更新及通知系统配置文件，将用户引导至恶意下载内容，随后恢复原始文件以规避检测。Google威胁情报小组、Mandiant及ManageEngine威胁分析实验室将此次活动归因于威胁组织UNC7017。攻击者利用恶意下载器CROSSROAD和后门SHINYROAD实施入侵，后者可借助合法远程管理工具Radmin加载恶意代码，并连接命令与控制服务器，实现远程操作和持续访问。研究人员发现，恶意配置文件分别于5月28日、7月16日和7月20日出现，持续时间仅为5至10分钟，攻击还可能利用通知机制窃取Windows身份验证哈希。受影响组织分布于美国、澳大利亚、印度、新加坡、西班牙和瑞士，涉及IT服务、电信及高等教育等行业。AOMEI表示已升级服务器、修补潜在漏洞并核查文件，但尚未明确攻击者获取服务器访问权限的方式，也未确认此前感染是否已完全处置。研究人员强调，服务器端修复只能阻止新的感染，无法自动清除已植入终端的恶意软件。建议使用该软件的组织依据公开的入侵指标，排查异常计划任务、意外可执行文件及可疑网络连接，及时隔离受感染设备并清除后门，降低凭证泄露和横向渗透风险。

https://www.bleepingcomputer.com/news/security/hackers-hijack-aomei-update-servers-to-secretly-spread-malware/

3. ConnectWise云备份凭证遭窃引发大规模租户入侵

10月19日，黑客利用被盗的ConnectWise Cloud Backup应用程序凭证发起供应链攻击，已成功入侵300多个组织，并将攻击范围延伸至国家安全、贸易及关键基础设施等领域。安全公司Huntress发现，近1000个Microsoft Entra客户账户出现可疑登录活动，其中超过300次入侵成功。攻击者滥用此前授予应用程序的高权限，包括Directory.ReadWrite.All，获取跨租户访问令牌，进而访问Exchange邮箱、OneDrive、SharePoint、Teams及企业目录等资源，可能窃取邮件、文件和商业机密。攻击者还通过提升应用程序权限、向其他应用注入凭证等方式建立持久化访问，部分恶意凭证有效期长达2028年。Huntress另发现针对政策、国家安全、贸易及关键矿产领域16个租户的定向攻击尝试，但相关尝试未成功。ConnectWise于10月17日停用七个应用程序身份，并暂停Cloud Backup、SaaS安全及云管理等服务。截至相关通报发布时，部分备份、归档和安全监控服务仍处于离线状态，恢复时间尚未确定。ConnectWise表示，尚无证据表明加密备份数据遭到访问，监控环境中也未发现后续成功攻击，但停用应用程序无法自动撤销攻击者此前对租户配置所做的更改。

https://cybernews.com/security/connectwise-cloud-backup-breach-microsoft-365/

4. NBC环球疑遭黑客入侵制作及预算数据泄露

10月19日，美国媒体娱乐巨头NBC环球近日出现在知名黑客论坛，一名网络威胁者声称窃取了该公司内部数据，并公开部分样本。研究人员检查后发现，样本中包含提及其子公司环球电视有限公司的文件，涉及内部项目摘要、制作计划、预算明细及税收抵免申请等内容，部分记录似乎与计划于2026年至2027年开展的项目有关，试播集是样本中频繁提及的内容之一。现有样本看起来具有真实性且较为近期，但事件整体范围仍不明确，攻击者声称获取了内部客户关系管理系统和电子邮件内容的说法尚未得到独立证实。目前也没有证据确认实际剧集、剧本或成品媒体文件已经泄露。NBC环球业务涵盖电视、电影、流媒体和新闻，旗下包括NBC电视台、环球影业及Peacock流媒体平台。若此次数据泄露属实，内部制作预算、项目时间表和融资安排可能暴露公司的内容规划、资源分配及商业决策，为竞争对手提供情报；税收抵免申请还可能泄露项目地点及相关财务信息。若未公开的剧集、剧本或成片进一步遭到泄露，则可能引发盗版传播、发行计划受扰及经济损失，并影响制作团队、合作方和版权方利益。

https://cybernews.com/security/nbc-international-data-breach/

5. Palo Alto防火墙漏洞遭勒索组织持续利用

10月20日，Palo Alto Networks披露，勒索软件组织正持续利用PAN-OS和Prisma Access中的身份验证绕过漏洞CVE-2026-0257（CVSS评分7.8），建立未经授权的VPN连接。该漏洞于2026年5月修复，并于5月13日被美国网络安全和基础设施安全局列入已知遭利用漏洞目录。Unit 42研究人员指出，Qilin（又名Spikey Scorpius）和INC（又名Tarnished Scorpius）等勒索软件组织正在利用该漏洞，攻击教育、金融、医疗、高科技、制造、政府、能源、交通运输及零售等多个行业。攻击者成功入侵后，可绕过多因素身份验证，在企业网络中建立初始立足点，随后利用远程监控与管理工具开展侦察，通过RDP和SMB进行横向移动，并窃取凭证、外传数据及部署勒索软件。部分攻击者还将攻击范围扩展至虚拟化基础设施，通过入侵vCenter管理设备、关闭ESXi安全控制，并针对域控制器虚拟磁盘实施离线凭证提取，从而规避终端检测与响应（EDR）防护，获取域级凭证。此外，攻击者还可能利用CVE-2023-27532攻击Veeam备份基础设施，以扩大破坏范围。相关攻击既包括快速加密，也涉及双重勒索。

https://thehackernews.com/2026/10/qilin-and-inc-ransomware-groups-exploit.html

6. APT28持续攻击北约成员国及乌克兰目标

10月20日，俄罗斯关联威胁组织APT28（又名Fancy Bear、BlueDelta）被指针对北约成员国的执法机构、海军造船厂及军用飞机发动机制造商开展网络间谍活动。赛门铁克发现，攻击者使用HOOKEDGE后门及此前未公开的加载器，通过钓鱼文档、脚本和加密载荷实施入侵，并利用SSH私钥窃取、NTLM身份验证捕获等技术获取凭证，建立持久性SSH隧道，实现对内部网络的远程访问。攻击者还部署新型反射加载器，但后续载荷性质及是否发生数据失窃尚未明确。与此同时，俄罗斯关联威胁活动持续针对乌克兰军人、政府官员及相关机构，攻击者利用被入侵的网站实施水坑攻击，传播DarkSword、Coruna等iOS漏洞利用工具，窃取设备敏感信息；针对安卓设备的攻击则通过诱饵应用分发CAMELSPY和BTMOB RAT，收集地理位置、联系人、通话记录及照片，甚至实现远程控制。此外，APT28还利用Microsoft Office安全功能绕过漏洞CVE-2026-21509、SOGo邮件客户端零点击漏洞CVE-2026-8496及Roundcube网页邮件跨站脚本漏洞窃取邮箱凭证和数据，并通过宏文档传播恶意软件。