免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。
1 假冒AI安装器借GitHub传播挖矿程序
安全研究人员披露，攻击者在GitHub搭建假冒ChatGPT和Claude客户端页面，引导用户安装带有效数字签名的恶意软件包。第一阶段YobaDropper在ProgramData下创建WMProcess目录，复制合法WMPDMC.exe并释放经XOR解密的wmpdui.dll，利用计划任务以Local System权限执行DLL侧载。第二阶段YobaLoader从Telegram频道头像末尾50字节生成动态域名，再经Google DNS over HTTPS查询TXT记录，经过Base64、Ed25519签名验证及AES解密取得下载指令。观察到的最终载荷为XMRig 6.26.0，通过Tor代理执行挖矿任务。
https://research.checkpoint.com/2026/tricks-from-the-past-deployed-via-signed-chatgpt-and-claude-binaries/
2 窃密蠕虫污染42个GitHub软件包仓库
安全研究人员披露，testmetest npm窃密蠕虫活动已在11名合法仓库所有者名下的42个GitHub项目植入执行钩子。每个项目含12.9至13.7MB混淆的.github/init.js文件，解码后均运行同一约2MB的发布器，利用Claude、Gemini、Cursor及VS Code配置在开发者打开工作区时执行。发布器搜集GitHub、npm和AI工具凭据，可借GitHub Actions OIDC可信发布机制生成npm发布令牌，注入恶意安装命令并发布污染包。后续版本通过原生Node.js扩展读取.napi_cache加密载荷，使用XOR密钥0x96恢复JavaScript。
https://research.jfrog.com/post/beyond-testmetest-42-hijacked-github-repos/
3 Apple紧急修复CoreGraphics严重漏洞
Apple于10月26日发布iOS 18.7.11及iPadOS 18.7.11安全更新，修复CoreGraphics组件越界写漏洞CVE-2026-86950。恶意构造文件在受影响设备上被处理时可触发任意代码执行，Apple收到报告称该缺陷可能已被用于针对运行iOS 27之前版本的特定个人的高度复杂攻击。漏洞由Meta Product Security报告，Apple通过加强边界检查修复内存写入问题，更新面向iPhone XS、XS Max、XR及第七代iPad等仍运行旧版系统的设备。同批补丁还修复Audio组件敏感信息泄露漏洞CVE-2026-65339以及CoreMedia应用越权访问摄像头的问题。
https://support.apple.com/en-us/149225
4 k8s组件规则缺陷允许冒用高权限身份
HashiCorp于10月26日公布HCSEC-2026-50，修复consul-k8s组件ACL身份绑定规则中的CVE-2026-110720。安装启用global.acls.manageSystemACLs=true后，原有ServiceAccount令牌与ACL角色绑定规则未限定ServiceAccount必须位于Consul部署的命名空间。拥有其他命名空间ServiceAccount创建权限的用户可取得对应令牌，在能够连接Consul API时尝试冒用基础设施组件身份，从而获得该组件绑定的Consul权限。漏洞影响consul-k8s 0.42.0至2.0.4版本，修复版本为1.8.18和2.1.0。
https://discuss.hashicorp.com/t/hcsec-2026-50-consul-k8s-vulnerable-to-a-cross-namespace-authorization-bypass-in-component-acl-binding-rules/77915
5 广告竞价体系遭滥用追踪Starlink用户
安全研究人员披露，2025年12月31日至2026年8月15日的约8470万次广告竞价请求及844万次买方事件，追踪154个买方席位的出价活动，发现SHADOW-EARTH-79在49个国家成为广告竞价主要获胜方。该实体在匈牙利、以色列、埃及与阿塞拜疆的部分样本中占比明显偏高，并取得66,208次Starlink用户广告展示，相当于所观测Starlink广告的12.9%，高于其2.6%的总体基线。研究人员还分析公开JavaScript程序，发现相关基础设施具有脚本注入、去匿名化与高级IP过滤功能，可利用IP、地理位置及广告标识符关联用户活动。
https://www.trendaisecurity.com/en/resources-insights/deep-research/invasive-ads-the-unconventional-cyber-surveillance-attack-surface
6 攻击者篡改政府学校域名解析博彩页面
安全研究人员披露，攻击者正在利用正规机构域名开展博彩搜索优化的活动，Hidden Hawk在孟加拉国、印度和墨西哥的8个机构域名下设置超过850个入口，使用CNAME把学校及政府子域名指向Cloudflare Pages上的博彩落地页，服务30余个印尼博彩品牌。另一项独立活动修改印度maharashtra.gov.in下多个子域的NS委派记录，将gam、games、search、live等子区托管到外部ClouDNS，并通过通配符解析批量生成博彩页面；online.esic.gov.in亦出现类似记录。研究人员追踪到DigitalOcean、CloudFront和BunnyCDN等内容托管节点。
https://www.infoblox.com/blog/threat-intelligence/borrowed-reputation-domain-shadowing-and-gambling-seo/
|
发表于 2026-10-29 17:14
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡