ZONE.CI 全球网

2026年6月Klue平台遭供应链攻击，攻击者通过后端服务器未授权访问窃取客户OAuth令牌，滥用SalesforceAPI提取CRM数据。Huntress和RecordedFuture等网络安全公司确认业务数据泄露，攻击手法与Icarus勒索组织关联。事件凸显第三方集成安全风险，建议企业加强供应链安全监控。

最新数据显示，2026年前四个月设备代码钓鱼攻击数量较2025年下半年激增1380%，主要原因为钓鱼即服务平台大规模集成AI技术，实现攻击流程全自动化。攻击者利用生成式AI对钓鱼内容进行个性化定制，通过订阅式服务降低技术门槛，使新手也能发起复杂攻击。建议企业加强身份验证防护，关注AI驱动的安全威胁演变。

最新数据显示，2026年前四个月设备代码钓鱼攻击数量较2025年下半年激增1380%，攻击者利用钓鱼即服务平台将AI生成内容与自动化工作流结合，实现大规模个性化钓鱼攻击，显著降低网络犯罪门槛。

LSHIY发起超8100万次密码喷洒攻击致微软365账户被盗。攻击者滥用已弃用的OAuthROPC流程绕过机制，且多数受害组织虽部署MFA，却因条件访问策略配置错误（如仅限特定应用、仅报告模式等）导致防护失效。建议全面禁用ROPC，严格全局强制执行MFA，并杜绝凭证重复使用。

Huntress研究发现新型恶意垃圾邮件活动利用谷歌DoubleClick广告跟踪基础设施绕过企业邮件安全网关，通过高度个性化动态诱饵启动五阶段感染链，部署.NET加载器以修补AMSI、禁用ETW遥测和MicrosoftDefender实时保护，最终通过进程空洞化注入合法进程，并使用AES加密消息通过原始TCP协议与基于DDNS的C2服务器通信。

近期Microsoft365用户遭遇大规模密码喷射攻击，攻击者利用OAuthROPC凭证登录方式，在6月12日至26日期间尝试8100万次登录，成功78起，至少30名客户受影响。攻击成功主因是企业未全面配置多因素认证（MFA），仅覆盖部分应用或用户。建议企业为所有云端应用和用户启用MFA以防范此类攻击。

攻击者利用AI生成的PowerShell脚本枚举ActiveDirectory，通过RDP和已泄露凭据入侵WindowsServer，部署工具收集AD数据并外泄。事件表明AI降低了攻击门槛，使技术较差的攻击者能快速开发有效工具，但核心攻击链仍与传统手法相似。建议加强凭据管理和监控异常脚本行为。

文章通过一起真实入侵案例，分析了AI辅助攻击者生成定制化域侦察脚本的新趋势。攻击者利用AI生成的PowerShell脚本，通过五层回退机制枚举ActiveDirectory信息，并自动压缩外传。文章指出，AI降低了恶意工具的生产门槛，使传统基于特征码的检测面临挑战，强调防御应转向行为分析，关注账号登录、域查询、数据暂存和外部连接等攻击链中的关键行为痕迹。

N-able的N-central平台存在身份验证绕过漏洞CVE-2026-18577，因补丁不完整，攻击者可远程接管服务器并访问客户系统。攻击者利用Cloudflare隧道维持持久化访问。建议立即升级至2026.3.1.7版本，并从受管终端中清除恶意隧道服务。

本文基于Huntress披露的FAMOUSCHOLLIMA朝鲜关联远程工作者系列调查，分析其通过伪造身份入职医疗、金融、销售等企业远程岗位，窃取数据或部署恶意程序的手法。文章结合三起真实案例，详述了PiKVM硬件接入、VPN代理使用、证件批量伪造等识别特征，并为企业安全与HR团队提供了终端日志核查、身份材料审核及招聘面试阶段风险拦截等可操作建议。

朝鲜威胁人员已从IT行业扩展至医疗、销售营销等非IT岗位，通过伪造身份、VPN及PiKVM硬件伪装远程入职，为核武计划筹资。多国联合预警，建议企业强化招聘全流程风控、严格背景核查及线下面谈，防范劳动入侵风险。

黑客利用被盗的ConnectWiseCloudBackup凭据入侵173个Microsoft365账户，通过受信任备份应用获得访问权限，并观察到全局管理员权限。攻击者添加新客户端机密实现持久化。防御者应审查Entra审计日志、禁用受影响应用、移除未经批准的目录角色，并保持应用禁用状态直至供应商确认机密已重置。

最新数据显示，2026年前四个月设备代码钓鱼攻击数量较2025年下半年激增1380%，主要原因为钓鱼即服务平台大规模集成AI技术，实现攻击流程全自动化。攻击者利用生成式AI对钓鱼内容进行个性化定制，通过订阅式服务降低技术门槛，使新手也能发起复杂攻击。建议企业加强身份验证防护，关注AI驱动的安全威胁演变。

最新数据显示，2026年前四个月设备代码钓鱼攻击数量较2025年下半年激增1380%，攻击者利用钓鱼即服务平台将AI生成内容与自动化工作流结合，实现大规模个性化钓鱼攻击，显著降低网络犯罪门槛。

LSHIY发起超8100万次密码喷洒攻击致微软365账户被盗。攻击者滥用已弃用的OAuthROPC流程绕过机制，且多数受害组织虽部署MFA，却因条件访问策略配置错误（如仅限特定应用、仅报告模式等）导致防护失效。建议全面禁用ROPC，严格全局强制执行MFA，并杜绝凭证重复使用。

Huntress研究发现新型恶意垃圾邮件活动利用谷歌DoubleClick广告跟踪基础设施绕过企业邮件安全网关，通过高度个性化动态诱饵启动五阶段感染链，部署.NET加载器以修补AMSI、禁用ETW遥测和MicrosoftDefender实时保护，最终通过进程空洞化注入合法进程，并使用AES加密消息通过原始TCP协议与基于DDNS的C2服务器通信。

近期Microsoft365用户遭遇大规模密码喷射攻击，攻击者利用OAuthROPC凭证登录方式，在6月12日至26日期间尝试8100万次登录，成功78起，至少30名客户受影响。攻击成功主因是企业未全面配置多因素认证（MFA），仅覆盖部分应用或用户。建议企业为所有云端应用和用户启用MFA以防范此类攻击。

攻击者利用AI生成的PowerShell脚本枚举ActiveDirectory，通过RDP和已泄露凭据入侵WindowsServer，部署工具收集AD数据并外泄。事件表明AI降低了攻击门槛，使技术较差的攻击者能快速开发有效工具，但核心攻击链仍与传统手法相似。建议加强凭据管理和监控异常脚本行为。

文章通过一起真实入侵案例，分析了AI辅助攻击者生成定制化域侦察脚本的新趋势。攻击者利用AI生成的PowerShell脚本，通过五层回退机制枚举ActiveDirectory信息，并自动压缩外传。文章指出，AI降低了恶意工具的生产门槛，使传统基于特征码的检测面临挑战，强调防御应转向行为分析，关注账号登录、域查询、数据暂存和外部连接等攻击链中的关键行为痕迹。

N-able的N-central平台存在身份验证绕过漏洞CVE-2026-18577，因补丁不完整，攻击者可远程接管服务器并访问客户系统。攻击者利用Cloudflare隧道维持持久化访问。建议立即升级至2026.3.1.7版本，并从受管终端中清除恶意隧道服务。

攻击者利用面向公众Web应用的SQL注入漏洞入侵Oracle数据库，通过CREATEJAVASOURCE语句编译Java代码为Schema对象，安装后渗透工具包khunt，最终获取底层Windows服务器的SYSTEM权限。该技术已有二十年历史但在野利用罕见。修复建议包括在应用层使用参数化查询和输入校验，在数据库层遵循最小权限原则，限制账户创建Java源对象等权限。

朝鲜关联组织FAMOUSCHOLLIMA通过伪造身份渗透医疗金融销售等远程岗位，利用VPN代理掩盖位置并窃取数据。关键特征包括硬件级控制设备PiKVM接入、证件照片篡改及EXIF异常、非工作时段活跃。建议企业完善背景调查、核验入职材料元数据、监控终端USB设备接入及多源日志交叉分析，融合安全与HR团队协同处置以防范此类社会工程学攻击。

本文基于Huntress披露的FAMOUSCHOLLIMA朝鲜关联远程工作者系列调查，分析其通过伪造身份入职医疗、金融、销售等企业远程岗位，窃取数据或部署恶意程序的手法。文章结合三起真实案例，详述了PiKVM硬件接入、VPN代理使用、证件批量伪造等识别特征，并为企业安全与HR团队提供了终端日志核查、身份材料审核及招聘面试阶段风险拦截等可操作建议。

朝鲜威胁人员已从IT行业扩展至医疗、销售营销等非IT岗位，通过伪造身份、VPN及PiKVM硬件伪装远程入职，为核武计划筹资。多国联合预警，建议企业强化招聘全流程风控、严格背景核查及线下面谈，防范劳动入侵风险。

黑客利用被盗的ConnectWiseCloudBackup凭据入侵173个Microsoft365账户，通过受信任备份应用获得访问权限，并观察到全局管理员权限。攻击者添加新客户端机密实现持久化。防御者应审查Entra审计日志、禁用受影响应用、移除未经批准的目录角色，并保持应用禁用状态直至供应商确认机密已重置。