一、安全事件
Miasma蠕虫攻击微软73个GitHub仓库
Miasma自复制供应链攻击蠕虫入侵微软73个GitHub仓库，涉及Azure、Azure-Samples、Microsoft和MicrosoftDocs四个GitHub组织。该蠕虫被评估为Mini Shai-Hulud蠕虫的变种，后者由TeamPCP于2026年5月中旬公开发布。Miasma通过自动fork和提交恶意代码在仓库间传播，GitHub已紧急禁用受影响仓库的访问权限。此次事件表明，即使全球最大的软件公司也无法免疫自复制供应链攻击，开源生态系统的安全治理面临严峻挑战。安全专家建议所有GitHub组织启用分支保护规则、要求PR审查，并监控仓库的异常fork活动。
UNC3753使用语音钓鱼和物理入侵实施数据盗窃勒索
威胁组织UNC3753结合语音钓鱼（Vishing）和物理入侵手段，在美国实施数据盗窃和勒索活动。攻击者首先通过电话冒充IT支持人员获取员工的网络凭证，随后派遣人员进入目标公司办公室物理接入内部网络，窃取敏感数据后进行勒索。这种网络攻击与物理入侵融合的新型混合威胁趋势，给传统以网络边界防御为核心的安全体系带来了前所未有的挑战。安全团队需要重新评估办公场所的物理安全措施，并加强对社会工程学攻击的防范培训。
CISA和FBI警告黑客瞄准工业流体监控系统
CISA与FBI联合发布网络安全咨询警告，指出黑客正在瞄准自动油罐测量系统（ATG），该系统广泛应用于能源、农业和交通运输等多个关键行业。攻击者可利用这些系统暴露在互联网上的管理接口获取未授权访问权限，潜在风险包括篡改监测数据、操控工业流程甚至引发安全事故。联合公告建议关键基础设施运营者立即审查面向互联网的ATG设备，加强网络分段，限制管理接口的远程访问，并密切监控异常网络活动。
美国司法部打击东南亚加密货币诈骗行动
美国司法部宣布与私营部门联合开展"阻断周"行动，打击针对美国人的网络加密货币诈骗。行动中关闭了数百万个被东南亚跨国犯罪组织用于诈骗的社交媒体和电子邮件账户，私营企业自愿冻结超380万美元涉案加密货币。该行动属于"诈骗中心打击部队"持续倡议的一部分，旨在摧毁运营网络诈骗和"杀猪盘"的跨国犯罪组织，以及为其提供支撑的人口贩卖和洗钱网络。
二、漏洞预警
Check Point VPN零日漏洞遭在野利用部署勒索软件
Check Point Research发现CVE-2026-50751（CVSS 9.3）认证绕过漏洞遭在野利用。攻击者通过IKEv1密钥交换协议中的证书验证逻辑缺陷，无需有效用户密码即可建立VPN会话，绕过所有认证要求。该漏洞影响Mobile Access/SSL VPN、Remote Access VPN和Spark Firewall产品，版本R80.20.X至R82.10。确认的攻击活动可追溯至5月7日，与Qilin勒索软件团伙关联，攻击者利用Tox协议进行命令与控制通信。调查中还发现关联漏洞CVE-2026-50752（CVSS 7.4），可导致IKEv1站点间VPN通信的中间人攻击。Check Point强烈建议所有客户立即应用热修复补丁，无法立即修补的应禁用IKEv1并强制使用IKEv2。
单字符Linux内核漏洞可致本地提权至Root 利用代码已公开
安全研究人员发布了CVE-2026-23111的完整利用代码，该漏洞位于Linux内核nf_tables包过滤代码中，属于use-after-free类型。一个无特权的本地用户可利用此漏洞提权至root并突破容器隔离。漏洞的根源令人震惊——仅为一个倒置的条件检查字符，上游修复仅删除了这一行。该漏洞已于2026年2月5日在上游修复，但Exodus Intelligence于6月8日发布了完整技术分析，FuzzingLabs也于4月独立发布了复现代码。Ubuntu评为CVSS 7.8高危，nf_tables加上非特权用户命名空间的组合在大多数桌面发行版中默认启用。如果您的发行版内核尚未包含修复，请立即更新并重启。
LiteLLM漏洞遭在野利用可链式实现未认证RCE
CISA将影响BerriAI LiteLLM的高危漏洞CVE-2026-42271（CVSS 8.7）加入已知被利用漏洞（KEV）目录。该漏洞为命令注入缺陷，允许已认证用户在主机上执行任意命令，通过漏洞链进一步可实现未认证远程代码执行。LiteLLM作为流行的开源AI网关代理，被大量组织用于管理LLM API调用，其受攻击面随着AI应用普及而持续扩大。受影响版本为1.74.2及以上，使用LiteLLM的组织应立即升级到最新版本并审查相关访问日志。
Apache HTTP Server 2.4.68修复13个安全漏洞
Apache软件基金会发布HTTP Server 2.4.68版本，一次性修复了13个安全漏洞，涵盖多个模块的use-after-free、拒绝服务、跨站脚本和缓冲区溢出等缺陷类型。Apache HTTP Server作为全球最广泛部署的Web服务器之一，承载着大量关键业务应用，管理员应尽快评估升级风险并安排补丁部署，避免攻击者利用已知漏洞实施远程攻击。
FFmpeg发现21个零日漏洞可致远程代码执行
一个自主安全代理在FFmpeg中发现了21个零日漏洞，其中包括可致远程代码执行的关键堆缓冲区溢出漏洞。FFmpeg是全球最广泛部署的媒体处理库，被大量视频处理应用、流媒体服务和内容平台内嵌使用。攻击者仅需通过特制的媒体文件即可触发漏洞，潜在影响范围极为广泛。这是自主安全代理首次大规模发现零日漏洞的案例，也展示了AI在漏洞发现领域的巨大潜力。
Google修复Android框架层高危漏洞CVE-2025-48595
Google发布2026年6月Android安全更新，共修复124个安全漏洞。其中CVE-2025-48595（CVSS 8.4）为Android框架层权限提升漏洞，已遭有限定向利用。该漏洞无需用户交互即可利用，影响Android 14、15、16及16 QPR2版本设备。Google确认该漏洞正在被有针对性地利用，但未透露攻击者身份、受影响目标及利用规模等细节。Android用户应尽快安装安全更新。
三、APT与国家级威胁
APT组织OP-512利用加密独特Web Shell攻击IIS服务器
APT组织OP-512针对IIS Web服务器部署了专用Web Shell框架，该框架采用加密签名机制使每次部署的Shell都独一无二，可规避所有现有检测方法。ReliaQuest分析师发现攻击者在主入侵被发现前75天即已获取初始访问权限。
APT组织TA4922将攻击范围扩展至欧洲和非洲
APT组织TA4922将其攻击范围从东亚扩展至欧洲和非洲，同时快速更迭所用恶意软件。该组织以经济动机为主，通过恶意软件投递、凭证钓鱼和信用卡盗窃等多种手段获取远程访问权限，用于数据窃取、欺诈和访问权转售。部分战术与Silver Fox和Void Arachne存在重叠。TA4922的运营方式异常多样，跨越恶意软件投放、凭证钓鱼和信用卡盗窃等多个攻击向量。
UNK_DeadDrop以虚假编程任务为诱饵窃取加密货币
UNK_DeadDrop针对软件开发人员，以虚假编程任务为诱饵投递恶意软件窃取加密货币资产。攻击者通过招聘平台和自由职业网站接触目标，发送含有恶意代码的编程测试任务，利用开发者的求职心理实施社会工程学攻击。这一手法与朝鲜持续的资金筹集活动模式一致，随着加密货币市场的波动，朝鲜黑客对开发者和加密货币持有者的定向攻击预计将持续加强。
四、勒索软件
Pink勒索组织通过语音钓鱼攻击企业窃取云存储密码
新出现的Pink勒索组织通过语音钓鱼（Vishing）攻击企业用户，窃取Microsoft 365云存储密码。攻击者冒充IT支持人员致电目标员工，诱骗其透露多因素认证验证码，从而绕过MFA保护访问企业云数据。该组织在获取数据后进行勒索，代表了勒索软件从传统加密勒索向数据窃取勒索转变的趋势。这种无需部署加密程序、直接以数据泄露为威胁的勒索模式，使得传统勒索软件检测方案无法有效应对，企业需加强员工安全意识培训并部署反Vishing技术措施。
静默勒索组织利用Fast Flux僵尸网络隐藏律所数据泄露网站
Resecurity报告称静默勒索组织（Silent Ransom Group）正在利用Fast Flux僵尸网络技术隐藏其数据泄露网站，专门针对律师事务所发动攻击。Fast Flux技术通过频繁更换DNS记录指向的IP地址，使执法机构难以定位和关闭泄露站点，延长了受害者数据暴露的时间窗口。律师事务所因持有大量客户敏感诉讼文件而成为勒索软件的高价值目标，此类攻击的隐蔽性进一步加剧了受害者的被动局面。
五、恶意软件
FROST攻击让恶意网站通过SSD时序追踪用户活动
格拉茨工业大学研究人员发现FROST攻击，恶意网站仅通过JavaScript和SSD时序即可推断用户访问的网站和打开的应用程序。该攻击无需原生代码、浏览器扩展或权限提示，完全在浏览器沙箱内运行。此前的SSD时序攻击（如Secret Spilling Drive）需要本地代码执行权限，而FROST消除了这一限制，将本地时序侧信道攻击转化为远程攻击，影响macOS和Linux平台。这一发现对浏览器安全模型构成了根本性挑战，建议用户使用分区隔离或隐私浏览模式降低风险。
Operation FlutterBridge利用虚假Google广告传播macOS后门
Operation FlutterBridge行动利用虚假Google广告和空壳公司传播名为FlutterShell的新型macOS后门。攻击者通过购买Google搜索广告将用户引导至伪装的软件下载页面，安装后门程序实现持久化控制。该行动展示了macOS平台日益成为高级威胁定向目标的趋势，也暴露了在线广告生态被滥用于恶意软件分发的系统性问题。用户应仅从官方网站下载软件，对搜索引擎广告链接保持警惕。
C0XMO IoT僵尸网络新增竞争对手清除能力
FortiGuard Labs发现新型Gafgyt僵尸网络变种C0XMO利用旧路由器漏洞在IoT设备间传播，并新增了清除竞争对手僵尸软件的能力。该僵尸网络在感染设备后会扫描并删除其他恶意软件，独占设备资源用于发动大规模DDoS攻击。这种"生态位竞争"行为反映了僵尸网络间争夺IoT设备资源竞争的白热化，也说明大量老旧路由器仍存在未修补漏洞且缺乏安全更新，构成了互联网基础设施的重大安全隐患。
恶意垃圾邮件利用Google DoubleClick投递无文件加载器
网络犯罪分子利用Google DoubleClick广告重定向技术绕过邮件安全工具，投递无文件.NET加载器。攻击通过合法广告平台的信任链使恶意链接顺利通过安全网关检测，最终在内存中执行恶意代码，不留下任何磁盘文件痕迹。这种利用合法广告基础设施的手法给传统基于文件扫描的检测方案带来了严峻挑战，邮件安全产品需加强对URL重定向链的深度分析能力。
六、供应链攻击
Hades PyPI攻击：19个包被投毒自动运行Bun凭证窃取器
Miasma供应链攻击活动催生新的Hades攻击波次，涉及PyPI注册表中19个包的37个恶意wheel制品。被入侵的发布包包含*-setup.pth文件，在Python启动时自动执行，下载Bun JavaScript运行时并运行混淆的JavaScript载荷_index.js。该攻击延续了Mini Shai-Hulud式攻击的精细化分拆趋势，攻击者正将大型攻击拆分为更小、更具针对性的子行动，以降低被检测的概率。Python开发者应使用包签名验证和依赖审查工具，避免安装来源不明的包。
新Shai-Hulud攻击波感染23个PyPI包瞄准MCP开发者
Shai-Hulud供应链攻击活动新增23个恶意PyPI包版本，专门瞄准使用模型上下文协议（MCP）的开发者群体。MCP作为AI应用与模型间通信的关键协议，正处于生态快速发展期，其开发者社区成为定向攻击目标尤为值得关注。此次攻击显示出攻击者正在从广撒网向精确制导转型，针对特定技术生态的开发者社区实施定向攻击，暴露了AI工具链供应链的系统性脆弱性。
Miasma恶意软件通过受损GitHub账户攻击32个Red Hat包
32个Red Hat npm包被Miasma恶意软件感染，导致云令牌、CI/CD密钥和开发者凭证在供应链攻击中暴露。攻击者通过入侵GitHub账户修改包发布流程，注入恶意代码窃取构建流水线中的敏感凭证，可能进一步渗透企业内部基础设施。该事件与微软GitHub仓库遭受的Miasma攻击同属一个攻击活动，表明该蠕虫正在多个开源生态系统中蔓延。
黑客克隆Ghidra、dnSpy等工具网站传播恶意软件
黑客正在克隆Ghidra、dnSpy、ILSpy等免费安全工具的官方网站传播恶意软件，包括RemusStealer信息窃取器、加密货币剪贴板劫持器和下载器。攻击者利用安全研究人员和逆向工程师对这些工具的信任，通过搜索引擎优化将克隆网站推至搜索结果前列。安全从业者应仅从官方GitHub仓库下载工具，并验证下载文件的数字签名。
七、数据泄露
Instagram恢复工具漏洞致20225个账户密码重置遭滥用
Meta确认Instagram账户恢复工具存在漏洞，允许攻击者滥用密码重置功能影响20,225个账户。未启用双因素认证的用户尤为脆弱，攻击者可借此完全接管账户。Meta已修复该漏洞并通知受影响用户，该事件再次凸显2FA作为基本安全防线的重要性。同一时期，Instagram还存在另一个密码重置流程缺陷，导致包括扎克伯格在内的高知名度用户联系信息被暴露。
iFood确认巴西120万用户数据泄露
巴西外卖巨头iFood确认数据泄露影响120万客户，但BreachForums上的黑客声称实际窃取数据规模远大于官方披露。泄露信息包括用户个人信息和订单数据。该事件反映了企业在数据泄露事件中倾向于低调处理的普遍现象，用户应关注官方通知并及时更改密码。同时，Atlas Menu数据泄露事件暴露了64,000名GTA V和CS2游戏作弊服务用户的邮箱、IP地址和哈希密码，虽然作弊用户行为存疑但个人信息泄露同样值得关注。
八、行业趋势
AI驱动网络犯罪飙升勒索软件受害者年增389%
Fortinet发布2026年全球威胁态势研究报告，基于MITRE ATT&CK框架全面剖析当前网络攻击战术。报告显示AI驱动的网络犯罪活动量急剧上升，勒索软件受害者数量同比增长389%。AI不仅被攻击者用于提升攻击效率，也催生了全新的攻击手法和威胁向量。与此同时，Gartner网络安全大会上CISO和分析师呼吁关注网络安全基础而非过度炒作的AI承诺，专家指出企业应回归网络分段、身份管理和漏洞修补等安全基本功。威胁行为者正滥用ChatGPT、Claude和DeepSeek品牌作为钓鱼诱饵，网络保险市场也进入调整期，承保审查日益严格。
京公网安备 11010802033237号
