网络威胁情报周报

原创

网络威胁分析师
网络威胁分析师

开源情报技术研究院

2026年10月22日 10:27
山西

去阅读

（2026 年 10 月 15 日 — 10 月 21 日，第 42 周）

编制日期：2026 年 10 月 21 日　|　周期：近 7 天　|

一、本周情报摘要

本周（10 月 15 日—21 日）共采集安全类情报 474 条，重点事件集中在以下方向：

·APT 方面：出处：KasperskyLazarus Operation FlashHole、FBI 瓦解 FAMOUS CHOLLIMA 笔记本农场、Swallowtail 攻击北约国防、中国背景组织利用 BeyondTrust 零日、PEERSTITCH 针对 Fortinet 防火墙。

·勒索软件方面：出处：CISASafePay 600+ 受害者通告、Qilin/INC 利用 PAN-OS 漏洞绕 MFA、INC 团伙 Claude AI 基础设施曝光、Qilin 嫌疑人被捕、FBI 逮捕 ShinyHunters 谈判专家。

·漏洞方面：出处：The Hacker NewsPHP2Shell 两个未修复 RCE（CVSS 9.2）、微软 10 月 Patch Tuesday 1413 个 CVE 含 3 个零日、eMudhra CA 私钥泄露、Plex2Shell 武器化、多个供应链投毒事件。

·涉华方面：出处：CNCERTCNCERT 通报境外 AS402425 DNS 劫持、银狐木马专项打击、美国联邦机构禁用 DeepSeek、美制裁 5 个中国 AI 相关实体。

二、APT 与高级威胁活动

·【2026-10-21】朝鲜 Lazarus 发布 Operation FlashHole 报告，滥用韩国 INISAFE CrossWeb EX 金融安全软件作为入侵入口，针对韩国软件、建筑、有线通信行业，部署 TouchHub/TouchShift/ClientHub/Cubridge/LPEClient 工具链。出处：Kaspersky Securelist

·【2026-10-21】FBI 联合 CrowdStrike 瓦解朝鲜 FAMOUS CHOLLIMA 组织在美国的多个笔记本农场，该组织通过虚假身份远程入职美国企业窃取工资并维持持久访问，受害行业覆盖航空航天、能源、金融、医疗、国防工程等。出处：CrowdStrike Blog

·【2026-10-21】CrowdStrike 披露未知威胁 actor（中文使用者、经济动机）使用中国开源 AI 渗透工具 ARTEX，配合 DeepSeek/GLM/Grok 大模型攻击韩国多家金融机构；Recorded Future 随后将其编号为 TAG-217。出处：CrowdStrike Blog

·【2026-10-20】俄罗斯 GRU Swallowtail（APT28）攻击两个北约成员国的海军造船厂、军用航发制造商及执法机构，部署 Hookedge 后门和新型反射加载器 ld.exe。出处：Broadcom

·【2026-10-16】Rewterz 披露 PEERSTITCH——一款针对 Fortinet 防火墙的 ARM64 内存马，利用 CVE-2025-61624 和 CVE-2024-47575，通过 ptrace 注入 miglogd/iked 进程，不落盘不监听端口。出处：Rewterz

·【2026-10-16】Google TAG 披露中国背景间谍组织（Armor/Castle）利用 BeyondTrust Remote Support 零日漏洞 CVE-2026-102764 发起定向攻击，Rapid7、CyberScoop、CSO Online 等多家跟进。出处：CyberScoop

·【2026-10-20】Kimsuky（朝鲜）被发现运营仿冒微软登录页面进行钓鱼，Criminal IP 分析相关恶意域名。出处：Criminal IP Blog

·【2026-10-15】Unit 42 披露 AI 驱动的间谍活动针对政府 Linux 基础设施，攻击者使用 AI 辅助侦察和漏洞利用。出处：Unit 42

三、勒索软件活动

·【2026-10-19】CISA/FBI/USSS 联合发布#StopRansomware: SafePay Ransomware 通告（AA26-293A），该团伙自 2024 年 8 月以来已造成 600+ 受害者，覆盖多行业关键基础设施，利用 Mullvad VPN、暴力破解和多个 VPN/备份漏洞入侵。出处：CISA Advisory

·【2026-10-20】Qilin（Spikey Scorpius）、INC（Tarnished Scorpius）、Settra 等勒索团伙持续利用 PAN-OS CVE-2026-0257（GlobalProtect 认证绕过）绕过 MFA，Unit 42 观察到攻击者横向移动至 vCenter 后离线转储域控 VMDK 凭证。出处：Unit 42

·【2026-10-21】GBHackers 披露 INC 勒索团伙使用 Claude AI 辅助攻击，其 8257 条聊天消息和 46 个恶意软件构建被曝光，暴露了 AI 在勒索攻击中的实际应用。出处：GBHackers

·【2026-10-20】Qilin 勒索软件嫌疑人在度假时被捕，案件关联至 Synnovis 医院勒索事件（曾导致病人死亡）。出处：Bitdefender Hot for Security

·【2026-10-19】FBI 逮捕一名勒索谈判公司高管，Krebs on Security 报道其暗中为 ShinyHunters 运营勒索网站并帮助勒索受害者。出处：Krebs on Security

四、关键漏洞与在野利用

·【2026-10-21】PHP 核心曝两个未修复严重 RCE 漏洞（PHP2Shell，CVSS 9.2），WatchTowr 披露影响自 PHP 5 起的多版本，官方紧急发布安全公告并计划当日发补丁。出处：The Hacker News

·【2026-10-21】微软 10 月 Patch Tuesday 修复 1413 个 CVE，含 3 个零日和 75 个严重漏洞，CrowdStrike 发布详细分析。出处：CrowdStrike Blog

·【2026-10-20】印度 CA eMudhra 8 个中间 CA 私钥泄露，其中一个私钥值竟为数字 4，Mozilla/Google/Apple 紧急封禁相关证书。出处：Cloudflare Blog

·【2026-10-20】Plex 四漏洞被武器化（Plex2Shell），攻击者植入加密货币挖矿木马和 Linux 代理后门，TechSpot/The Hacker News 跟进。出处：The Hacker News

·【2026-10-20】AOMEI Backupper 更新服务器被劫持数分钟推送后门；WordPress SEO 插件 Rank Math PRO 更新被植入恶意代码。出处：Help Net Security

·【2026-10-20】OVHcloud CLI 在 GitHub 上的 5 个发行包被投毒，恶意程序窃取本地密钥；UpdraftCentral 连接密钥被盗，攻击者向 WordPress 站点植入恶意插件。出处：The Hacker News

·【2026-10-20】新型 ROMULUS ClickFix 平台被用于投递 LegionLoader 等恶意软件；假内核线程技术被用于在 Linux 服务器和设备上隐藏后门。出处：Malware Analysis Indicators

五、供应链与 AI 安全动态

·【2026-10-20】美国联邦机构被命令移除 DeepSeek AI，AI 供应链审查升级；中方回应反对滥用国家安全概念。出处：CSO Online

·【2026-10-20】美国制裁 5 个中国实体，指控其涉及 Google AI 商业机密盗窃案。出处：The Information

·【2026-10-20】Wiz 披露 LLMjacking 攻击：威胁 actor 通过钓鱼获取云计费账户访问权限，进而盗用 LLM API 额度。出处：Wiz Blog

·【2026-10-21】Rust 1.100 将支持开发者阻止新 Cargo 包，以减少供应链恶意包风险。出处：GBHackers

六、涉及我国的网络威胁

·【2026-10-20】CNCERT 发布调查报告，披露中国境外自治域 AS 402425 恶意篡改部分 DNS 解析数据，针对我国境内用户实施 DNS 劫持。出处：中国信息安全/CNCERT

·【2026-10-20】CCTGA 启动\"银狐\"木马专项打击行动；安全厂商披露银狐远控新变种伪装成\"AI 破甲工具\"传播。出处：看雪学院

·【2026-10-19】404 Media 报道一个大型中国犯罪团伙入侵美国办公用品零售商 Staples，窃取数百万美元。出处：404 Media

·【2026-10-16】火绒安全周报提及国内某智能插排厂商遭黑客攻击，提示 IoT 厂商供应链安全风险。出处：火绒安全

七、美西方国家最新网络安全政策与官方通告

·[政策]【2026-10-21】CISA、NSA、NIST 三机构联合发布\"失控 AI 智能体\"（autonomous super-intelligence systems）处置清单，要求关键基础设施单位采取安全防护、持续监测和事件报告措施。出处：Industrial Cyber

·[政策]【2026-10-20】CISA 本周分三批将 9 个已知被利用漏洞（KEV）加入目录，包括 BeyondTrust Remote Support CVE-2026-102764、PAN-OS 相关漏洞等，要求联邦机构限期修复。出处：CISA Current Activity

·[政策]【2026-10-16】CISA 发布专门通告敦促修复 BeyondTrust Remote Support 关键漏洞，并将其加入 KEV 目录；Google TAG 同步披露中国背景组织在野利用。出处：CISA Alerts

·[政策]【2026-10-20】美国联邦机构被正式命令移除中国 DeepSeek AI，AI 供应链审查升级；中方回应反对滥用国家安全概念。出处：TechCrunch

·[政策]【2026-10-20】美国财政部制裁 5 个中国实体，指控其涉及 Google AI 商业机密盗窃案。出处：The Information

·[政策]【2026-10-15】New Scientist 报道，英国国家网络安全中心（NCSC）警告俄罗斯和中国正使用 AI 对英国发动持续网络攻击。出处：New Scientist

·[政策]【2026-10-16】CISA 发布选举安全通告，披露威胁 actor 使用多种技术针对选举和竞选官员；正值多国选举周期，需重点关注。出处：CISA Advisories

·[政策]【2026-10-20】CISA ICS 部门发布 Hitachi Energy MicroSCADA X SYS600 工业控制系统漏洞通告，影响能源关键基础设施。出处：CISA ICS Advisories

·[政策]【2026-10-19】英国 NHS Digital 发布两条网络安全警报：F5 NGINX 堆溢出漏洞（CC-4872）和 Cisco AsyncOS 关键漏洞（CC-4869）。出处：NHS Digital

八、重点参考情报与行业趋势

·[重点参考]【2026-10-15】ASEC（安哲）发布 2026 年 9 月 APT 组织威胁趋势报告，汇总当月主要 APT 活动和战术变化。出处：ASEC Blog

·[重点参考]【2026-10-19】Wiz 发布 AI 驱动云攻击解剖报告，详细分析真实 AI 辅助攻击的全链路，包括侦察、漏洞利用、持久化和数据窃取。出处：Wiz Blog

·[重点参考]【2026-10-21】CrowdStrike 研究披露攻击者如何通过请求聚合绕过 LLM 安全分类器，提出 LLMjacking 威胁模型。出处：CrowdStrike Blog

·[重点参考]【2026-10-20】安全牛汇总：LLM 安全防护研究显示 515 种绕过方法全部失败，但 9 类真实攻击成功，提示 AI 安全测试不能只看红队结果。出处：安全牛

·[重点参考]【2026-10-19】Anthropic Mythos 模型检出大量漏洞，美国银行增聘千名外包人员开展修复；AI 生成漏洞报告泛滥，Intel、Google 相继调整漏洞赏金计划。出处：安全牛

·[重点参考]【2026-10-15】安全研究指出：沙箱\"未发现威胁\"≠文件安全，60% 定向攻击样本会在沙箱中\"装乖\"，一线分析师不能只依赖自动判定。出处：安全牛

·[重点参考]【2026-10-19】研究演示 51 个 AI 代理在 61 秒内植入 32 个后门，AI 已成为红队主力工具。出处：安全客

·[重点参考]【2026-10-19】OpenBSD 共享内存漏洞已存在 37 年，可获取根权限；研究人员演示了完整利用链。出处：代码卫士

·[重点参考]【2026-10-19】Linux 内核 PwnEscape（CVE-2026-99999）KVM 逃逸漏洞详细披露，客户虚拟机可读取宿主机内存，长亭等已复现。出处：Risky Business

·[重点参考]【2026-10-16】Citrix XenServer 多个高危漏洞披露，虚拟机内高权限用户可攻陷宿主机；Next.js 紧急修复两个严重 RCE。出处：代码卫士

·[重点参考]【2026-10-20】京东 JSRC 在双 11 前全面暂停外部漏洞测试；腾讯 TSRC 调整漏洞奖励方案并通报测试行为违规——国内 SRC 政策动态需关注。出处：安全圈/TSRC

·[重点参考]【2026-10-20】塞尔维亚调查员（负责贝尔格莱德特朗普大厦项目）也被 Pegasus 间谍软件感染，Pegasus 感染范围扩大。出处：The Guardian

九、其他重大安全事件

·【2026-10-20】NSO Pegasus 间谍软件被确认感染塞尔维亚大学校长 iPhone，距该国 snap 选举仅 6 天。出处：SecurityAffairs

·【2026-10-21】黑客劫持约 10% 的 Tor 出口节点，可能影响匿名通信和暗网访问安全。出处：Risky Business

·【2026-10-17】法国数百家超市遭 OT 攻击，攻击者篡改冷链控制器将冷柜调至 50℃，导致大量食品报废。出处：The Guardian

·【2026-10-21】基因检测公司 23andMe 同意支付 600 万美元和解此前黑客诉讼；印度 SBI 银行确认 3000+ 客户记录泄露至暗网。出处：GovInfoSecurity

·【2026-10-20】OpenAI 泄露事件持续发酵，AI 责任归属成为焦点，Hugging Face CEO 批评 Netflix 相关纪录片不准确。出处：TechCrunch

九、本周重点 IOC 速查

以下 IOC 为本周报告重点事件提取，完整 IOC 详见月度报告。

十、本周防护建议

·紧急修复：出处：The Hacker NewsPHP 紧急关注 PHP2Shell 补丁；Palo Alto PAN-OS 部署 CVE-2026-0257 补丁；BeyondTrust Remote Support 修复 CVE-2026-102764；Windows 部署 10 月 Patch Tuesday。

·供应链排查：出处：BleepingComputer审计 OVHcloud CLI、UpdraftCentral、Rank Math PRO、AOMEI Backupper 等本周被投毒/被入侵的工具版本，必要时回滚或重装。

·钓鱼监测：出处：Criminal IP重点监测仿冒微软、Okta、OpenAI/DeepSeek 的登录页；银狐木马伪装 AI 工具传播，提醒员工不要下载来历不明的\"AI 破甲工具\"。

·涉华威胁监测：出处：CNCERT关注 DNS 解析异常（AS402425 相关），部署 DoH/DoT；银狐木马专项打击期间加强邮件和终端检测。