ZONE.CI 全球网

Sygnia披露代号`OperationHighland`的网络间谍活动，与中国关联的VelvetAnt组织入侵物理隔离的关键基础设施网络并潜伏近十年。攻击通过三阶段实现：攻陷互联网服务器建立据点，利用Nginx代理链突破隔离，最终篡改PAM和OpenSSH认证组件实现隐身驻留。报告指出攻击者控制认证流程使传统防御失效，建议将认证组件视为关键安全控制并部署EDR等补偿措施。

SecEBL是一个基于意图识别的两层架构入侵检测系统。L1层使用微调的Embedding模型对安全事件进行行为意图标签化（如读取凭证、远程执行命令），L2层通过会话聚合和逻辑回归模型实现风险评分。项目旨在通过行为理解替代传统检测方法，目前支持Linux命令和Kubernetes审计日志，并提供开源实现。

Decepticon是一款基于AI的红队自动化工具，提出VibeHacking新范式，通过多Agent架构实现从侦察到持久化的完整攻击链自动化。工具采用KaliLinux沙箱隔离设计，包含指挥Agent和四个专项Agent，支持一键演示和内置靶机，最新版本新增多租户沙箱和开放网络研究工具套件，显著提升红队效率和安全性。

OperationEscaneo攻击事件揭示AI驱动入侵已成现实威胁：独立黑客利用大模型生成全链路攻击脚本，在30天内攻破墨西哥政企金融机构核心系统，导致195亿条公民财税、信贷等敏感数据及150GB涉密文件泄露。攻击全程依赖提示词诱导模型突破安全护栏，自动生成漏洞利用、权限提升、数据外带代码，暴露内网防护薄弱、权限粗放、日志审计缺失等通用安全短板。建议政企金融行业实施AI准入白名单、部署Prompt安全网关、强化内网零信任隔离、完善流量与数据防泄露管控，并建立AI专项安全运营机制。

博通披露了VMwareCloudFoundationOperations等产品的三个存储型XSS漏洞（CVE-2026-41722/41723/41724），CVSS评分均为8.0。认证攻击者可通过创建策略/视图注入恶意脚本，在管理员访问时执行权限提升操作。漏洞已发布补丁修复，建议企业优先更新并严格限制相关创建权限。

博通披露了三个影响VMwareCloudFoundationOperations及相关产品的存储型XSS漏洞（CVE-2026-41722/41723/41724），CVSS评分为8.0。攻击者可通过创建策略或小部件注入恶意脚本，在管理员访问时执行未授权操作。漏洞影响多个产品版本，目前仅能通过升级到指定固定版本修复，无变通方案。建议企业优先打补丁并严格管理权限分配。

本周威胁情报聚焦于多个APT组织的最新攻击活动。APT-C-60针对日本组织，使用鱼叉式钓鱼邮件和多阶段载荷进行攻击；Turla入侵套件被归因于俄罗斯联邦安全局，长期针对多国政府及关键基础设施；APT36则利用印度政府招聘诱饵，通过GoogleSheets作为C2通道控制受害者。此外，情报还披露了MiasmaWorm蠕虫回归npm、攻击者利用AI部署C&C僵尸网络以及大规模GitHub品牌仿冒等事件，并分析了SharpViewStateKing植入框架等恶意代码的工作机制。

本文是作者对2019年SUCTF内核题SUDriver的复现学习笔记。核心记录了利用格式化字符串漏洞泄露地址绕过KASLR，并将驱动的越界写转化为劫持内核执行流的原语。作者分享了堆风水尝试失败后改用seq_operations结构体进行堆喷射的经验，以及通过栈迁移和swapgs_restore_regs_and_return_to\\_usermode函数绕过KPTI返回用户态的过程。文章提供了详细的利用思路和踩坑记录，对内核安全初学者有参考价值。

本文通过拆解一段真实的战争直播视频，详细展示了情报分析师如何从海量信息中提炼有效情报的专业流程。核心要点包括：首先进行元数据核查，从发布者身份、时间戳和内容逻辑三个层面验证素材真实性；接着通过视觉地理定位、军事装备识别、声音证据链分析和叙事框架解读四个维度对视频内容进行逐帧拆解；最后，强调了利用至少三个独立信源进行交叉验证的重要性，以确保情报的准确性。文章还揭示了伊朗`胜利行动`是有限度报复而非全面升级的战略意图，体现了情报分析与新闻报道的本质区别。

本周高级威胁情报涵盖多个攻击团伙活动，包括MirageKitten针对中东非洲的新恶意软件、AngrySpark与OperationTriangulation基础设施关联、反驳Seedworm归因、BlueNoroffClickFix套件分析、TAG-195模块化MaaS升级及LAUNDRYBEAR针对Zimbra的钓鱼活动。攻击行动涉及npm供应链攻击、FastJson零日漏洞利用、SourTrade恶意广告及HermesAI代理攻击。建议关注漏洞修复、加强供应链安全及防范钓鱼攻击。

美国防部近期将25年非机密武器测试报告撤至内网，旨在防对手利用AI聚合开源数据拼凑武器漏洞。此举与该部门人员和项目大幅削减同步，实质收窄了外部监督渠道，遭批违背透明度承诺。但因第三方镜像与网络存档存在，该管控效果有限，反映出AI时代防范开源情报威胁的新趋势。

CheckPointResearch追踪的Lazarus组织OperationDreamJob行动最新变体，针对全球国防行业，利用零日漏洞CVE-2026-68820和CVE-2025-49113，通过DLL侧加载和木马化PDF查看器分发恶意软件，部署FudModulerootkit和Troy后门。关键发现包括漏洞已修复但攻击仍在持续，建议及时打补丁并加强钓鱼防护。

该文档披露了代号为龙笛行动的定向攻击活动，由威胁组织UNG0002发起，目标针对中国高校师生。攻击者利用高度仿真的体测通知ZIP压缩包作为诱饵，通过LNK文件触发VBS脚本，并利用Bandizip的DLL侧加载技术执行恶意代码。恶意DLL集成了反调试、沙箱规避及内存注入等高级对抗技术，最终加载CobaltStrikeBeacon。文档提供了威胁指标和防御建议，强调需警惕此类利用校园文化进行的社会工程学攻击。

SocGholish木马团伙被欧洲刑警组织OperationEndgame行动捣毁，该团伙3年间入侵超144万个WordPress网站，影响187个国家和地区。攻击链始于利用插件漏洞或弱口令入侵网站，注入恶意JavaScript，通过伪装浏览器更新提示诱导下载，最终部署CobaltStrike等载荷。核心隐蔽技术为域名影子，在合法域名下创建恶意子域名。建议网站管理员检查DNS记录和文件变动，企业终端可部署YARA规则检测。

DSH红队模式是基于deepseek-harness的九个安全研究工作模式集合，覆盖渗透测试、红队评估、代码审计、二进制分析、免杀对抗、应急溯源、云安全攻防与CTF解题领域。项目包含十三个运行时插件，提供任务路由、门禁校验、工具拦截等功能。强调仅用于授权安全测试，禁止非法行为。安装需Node.js>=22，支持离线部署。

本文为天御攻防实验室发布的西方APT研究群招募公告，旨在建立专业交流社群，讨论西方网络行动、网络战略、信号情报及归因等话题。入群需认同特定价值观、具备至少五年西方APT研究经验并热爱分享。建议符合条件的同行联系作者进行身份验证后加入。

Sygnia披露代号`OperationHighland`的网络间谍活动，与中国关联的VelvetAnt组织入侵物理隔离的关键基础设施网络并潜伏近十年。攻击通过三阶段实现：攻陷互联网服务器建立据点，利用Nginx代理链突破隔离，最终篡改PAM和OpenSSH认证组件实现隐身驻留。报告指出攻击者控制认证流程使传统防御失效，建议将认证组件视为关键安全控制并部署EDR等补偿措施。

SecEBL是一个基于意图识别的两层架构入侵检测系统。L1层使用微调的Embedding模型对安全事件进行行为意图标签化（如读取凭证、远程执行命令），L2层通过会话聚合和逻辑回归模型实现风险评分。项目旨在通过行为理解替代传统检测方法，目前支持Linux命令和Kubernetes审计日志，并提供开源实现。

Decepticon是一款基于AI的红队自动化工具，提出VibeHacking新范式，通过多Agent架构实现从侦察到持久化的完整攻击链自动化。工具采用KaliLinux沙箱隔离设计，包含指挥Agent和四个专项Agent，支持一键演示和内置靶机，最新版本新增多租户沙箱和开放网络研究工具套件，显著提升红队效率和安全性。

OperationEscaneo攻击事件揭示AI驱动入侵已成现实威胁：独立黑客利用大模型生成全链路攻击脚本，在30天内攻破墨西哥政企金融机构核心系统，导致195亿条公民财税、信贷等敏感数据及150GB涉密文件泄露。攻击全程依赖提示词诱导模型突破安全护栏，自动生成漏洞利用、权限提升、数据外带代码，暴露内网防护薄弱、权限粗放、日志审计缺失等通用安全短板。建议政企金融行业实施AI准入白名单、部署Prompt安全网关、强化内网零信任隔离、完善流量与数据防泄露管控，并建立AI专项安全运营机制。

博通披露了VMwareCloudFoundationOperations等产品的三个存储型XSS漏洞（CVE-2026-41722/41723/41724），CVSS评分均为8.0。认证攻击者可通过创建策略/视图注入恶意脚本，在管理员访问时执行权限提升操作。漏洞已发布补丁修复，建议企业优先更新并严格限制相关创建权限。

博通披露了三个影响VMwareCloudFoundationOperations及相关产品的存储型XSS漏洞（CVE-2026-41722/41723/41724），CVSS评分为8.0。攻击者可通过创建策略或小部件注入恶意脚本，在管理员访问时执行未授权操作。漏洞影响多个产品版本，目前仅能通过升级到指定固定版本修复，无变通方案。建议企业优先打补丁并严格管理权限分配。

本周威胁情报聚焦于多个APT组织的最新攻击活动。APT-C-60针对日本组织，使用鱼叉式钓鱼邮件和多阶段载荷进行攻击；Turla入侵套件被归因于俄罗斯联邦安全局，长期针对多国政府及关键基础设施；APT36则利用印度政府招聘诱饵，通过GoogleSheets作为C2通道控制受害者。此外，情报还披露了MiasmaWorm蠕虫回归npm、攻击者利用AI部署C&C僵尸网络以及大规模GitHub品牌仿冒等事件，并分析了SharpViewStateKing植入框架等恶意代码的工作机制。

本文是作者对2019年SUCTF内核题SUDriver的复现学习笔记。核心记录了利用格式化字符串漏洞泄露地址绕过KASLR，并将驱动的越界写转化为劫持内核执行流的原语。作者分享了堆风水尝试失败后改用seq_operations结构体进行堆喷射的经验，以及通过栈迁移和swapgs_restore_regs_and_return_to\\_usermode函数绕过KPTI返回用户态的过程。文章提供了详细的利用思路和踩坑记录，对内核安全初学者有参考价值。

本文通过拆解一段真实的战争直播视频，详细展示了情报分析师如何从海量信息中提炼有效情报的专业流程。核心要点包括：首先进行元数据核查，从发布者身份、时间戳和内容逻辑三个层面验证素材真实性；接着通过视觉地理定位、军事装备识别、声音证据链分析和叙事框架解读四个维度对视频内容进行逐帧拆解；最后，强调了利用至少三个独立信源进行交叉验证的重要性，以确保情报的准确性。文章还揭示了伊朗`胜利行动`是有限度报复而非全面升级的战略意图，体现了情报分析与新闻报道的本质区别。