ZONE.CI 全球网

网络安全研究人员发现威胁行为者系统性地利用AI辅助工具加速恶意软件开发，特别是针对终端检测与响应（EDR）的规避技术。该框架集成AI编码助手实现自动化ActiveDirectory侦察、载荷生成和多层隐蔽技术，能够快速将公开安全研究成果武器化。研究显示AI主要作为开发阶段的力量倍增器，虽未嵌入最终恶意软件，但显著降低了攻击工具的开发门槛和迭代周期。

Hola浏览器Windows版本在供应链攻击中遭入侵，攻击者投放未声明可执行文件me.exe，经分析为门罗币挖矿程序。该程序会创建自启动服务、添加Defender排除规则，并在设备空闲时运行。Hola确认约0.1%用户受影响，已重建分发管道并加强代码签名验证与访问控制。

安全公司Socket报告代号MuckandLoad的大规模恶意软件活动。攻击者自2026年1月起通过伪装成DNS扫描工具的Go模块在GitHub投毒，利用GitHubActions制造超1200个版本记录。模块隐藏恶意代码，通过死信解析器技术从Pastebin、YouTube等公共平台获取加密载荷，最终投放AsyncRAT、Vidar等远控木马和窃密器。该活动关联一个包含222个诱饵仓库的网络，与2025年披露的后门活动属同一攻击者集群。建议开发者警惕来源不明、版本异常激增的软件包。

本文深度剖析了通过PHP2Shell漏洞链投递的Mirai变种恶意软件，确认其具备ChaCha20加密配置、进程伪装、反调试及C2通信能力，并提供了完整IoC与检测防御建议。文章强调自动化沙箱评分与人工逆向差异巨大，指出当前攻击成功率有限但工具链进化迅速，建议按真实C2IP阻断并升级PHP版本。

Sophos研究发现黑客利用AI技术自动化EDR规避测试，通过红队框架集成自动化AD控制面板和恶意软件实验室，迭代测试针对Sophos、CrowdStrike等EDR的绕过技术。攻击者使用AI工具生成恶意脚本并建立结构化测试环境，该活动与勒索软件行动相关。建议企业采用漏洞修补、多因素认证等基础防御措施。

网络安全研究人员发现威胁行为者系统性地利用AI辅助工具加速恶意软件开发，特别是针对终端检测与响应（EDR）的规避技术。该框架集成AI编码助手实现自动化ActiveDirectory侦察、载荷生成和多层隐蔽技术，能够快速将公开安全研究成果武器化。研究显示AI主要作为开发阶段的力量倍增器，虽未嵌入最终恶意软件，但显著降低了攻击工具的开发门槛和迭代周期。

安全公司Socket报告代号MuckandLoad的大规模恶意软件活动。攻击者自2026年1月起通过伪装成DNS扫描工具的Go模块在GitHub投毒，利用GitHubActions制造超1200个版本记录。模块隐藏恶意代码，通过死信解析器技术从Pastebin、YouTube等公共平台获取加密载荷，最终投放AsyncRAT、Vidar等远控木马和窃密器。该活动关联一个包含222个诱饵仓库的网络，与2025年披露的后门活动属同一攻击者集群。建议开发者警惕来源不明、版本异常激增的软件包。

Sophos报告指出过去一年攻击者主要利用Claude等AI品牌作为诱饵分发恶意软件，而非使用AI作为攻击工具。在38起真实案例中，35起为品牌仿冒，攻击通过搜索引擎投毒和仿冒网站诱导用户执行混淆的PowerShell或mshta命令，进而实施DLL侧加载或内存执行以部署窃密程序和后门。此外还存在伪装成AI助手的恶意浏览器扩展及投毒的依赖包。建议企业落实软件来源核验与域名拦截，严格审计扩展权限，并针对系统工具滥用与异常行为部署检测策略，同时加强AI相关组件的供应链安全管控。

WantToCry勒索软件通过扫描暴露的SMB服务端口并进行暴力破解，实现无需本地恶意代码执行的远程加密攻击。Sophos研究发现攻击者利用认证后的SMB会话直接读取文件、在本地加密后回传覆盖原数据，从而绕过传统终端防护检测。该攻击主要针对单一暴露设备，赎金金额固定为600美元，建议企业加强SMB服务安全配置与网络隔离。

Sophos研究发现黑客利用AI技术自动化EDR规避测试，通过红队框架集成自动化AD控制面板和恶意软件实验室，迭代测试针对Sophos、CrowdStrike等EDR的绕过技术。攻击者使用AI工具生成恶意脚本并建立结构化测试环境，该活动与勒索软件行动相关。建议企业采用漏洞修补、多因素认证等基础防御措施。

网络安全研究人员发现威胁行为者系统性地利用AI辅助工具加速恶意软件开发，特别是针对终端检测与响应（EDR）的规避技术。该框架集成AI编码助手实现自动化ActiveDirectory侦察、载荷生成和多层隐蔽技术，能够快速将公开安全研究成果武器化。研究显示AI主要作为开发阶段的力量倍增器，虽未嵌入最终恶意软件，但显著降低了攻击工具的开发门槛和迭代周期。

Hola浏览器Windows版本在供应链攻击中遭入侵，攻击者投放未声明可执行文件me.exe，经分析为门罗币挖矿程序。该程序会创建自启动服务、添加Defender排除规则，并在设备空闲时运行。Hola确认约0.1%用户受影响，已重建分发管道并加强代码签名验证与访问控制。

安全公司Socket报告代号MuckandLoad的大规模恶意软件活动。攻击者自2026年1月起通过伪装成DNS扫描工具的Go模块在GitHub投毒，利用GitHubActions制造超1200个版本记录。模块隐藏恶意代码，通过死信解析器技术从Pastebin、YouTube等公共平台获取加密载荷，最终投放AsyncRAT、Vidar等远控木马和窃密器。该活动关联一个包含222个诱饵仓库的网络，与2025年披露的后门活动属同一攻击者集群。建议开发者警惕来源不明、版本异常激增的软件包。

Sophos报告指出过去一年攻击者主要利用Claude等AI品牌作为诱饵分发恶意软件，而非使用AI作为攻击工具。在38起真实案例中，35起为品牌仿冒，攻击通过搜索引擎投毒和仿冒网站诱导用户执行混淆的PowerShell或mshta命令，进而实施DLL侧加载或内存执行以部署窃密程序和后门。此外还存在伪装成AI助手的恶意浏览器扩展及投毒的依赖包。建议企业落实软件来源核验与域名拦截，严格审计扩展权限，并针对系统工具滥用与异常行为部署检测策略，同时加强AI相关组件的供应链安全管控。

WantToCry勒索软件通过扫描暴露的SMB服务端口并进行暴力破解，实现无需本地恶意代码执行的远程加密攻击。Sophos研究发现攻击者利用认证后的SMB会话直接读取文件、在本地加密后回传覆盖原数据，从而绕过传统终端防护检测。该攻击主要针对单一暴露设备，赎金金额固定为600美元，建议企业加强SMB服务安全配置与网络隔离。

Sophos研究发现黑客利用AI技术自动化EDR规避测试，通过红队框架集成自动化AD控制面板和恶意软件实验室，迭代测试针对Sophos、CrowdStrike等EDR的绕过技术。攻击者使用AI工具生成恶意脚本并建立结构化测试环境，该活动与勒索软件行动相关。建议企业采用漏洞修补、多因素认证等基础防御措施。

网络安全研究人员发现威胁行为者系统性地利用AI辅助工具加速恶意软件开发，特别是针对终端检测与响应（EDR）的规避技术。该框架集成AI编码助手实现自动化ActiveDirectory侦察、载荷生成和多层隐蔽技术，能够快速将公开安全研究成果武器化。研究显示AI主要作为开发阶段的力量倍增器，虽未嵌入最终恶意软件，但显著降低了攻击工具的开发门槛和迭代周期。

Hola浏览器Windows版本在供应链攻击中遭入侵，攻击者投放未声明可执行文件me.exe，经分析为门罗币挖矿程序。该程序会创建自启动服务、添加Defender排除规则，并在设备空闲时运行。Hola确认约0.1%用户受影响，已重建分发管道并加强代码签名验证与访问控制。

安全公司Socket报告代号MuckandLoad的大规模恶意软件活动。攻击者自2026年1月起通过伪装成DNS扫描工具的Go模块在GitHub投毒，利用GitHubActions制造超1200个版本记录。模块隐藏恶意代码，通过死信解析器技术从Pastebin、YouTube等公共平台获取加密载荷，最终投放AsyncRAT、Vidar等远控木马和窃密器。该活动关联一个包含222个诱饵仓库的网络，与2025年披露的后门活动属同一攻击者集群。建议开发者警惕来源不明、版本异常激增的软件包。

安全公司Socket报告代号MuckandLoad的大规模恶意软件活动。攻击者自2026年1月起通过伪装成DNS扫描工具的Go模块在GitHub投毒，利用GitHubActions制造超1200个版本记录。模块隐藏恶意代码，通过死信解析器技术从Pastebin、YouTube等公共平台获取加密载荷，最终投放AsyncRAT、Vidar等远控木马和窃密器。该活动关联一个包含222个诱饵仓库的网络，与2025年披露的后门活动属同一攻击者集群。建议开发者警惕来源不明、版本异常激增的软件包。

Sophos报告指出过去一年攻击者主要利用Claude等AI品牌作为诱饵分发恶意软件，而非使用AI作为攻击工具。在38起真实案例中，35起为品牌仿冒，攻击通过搜索引擎投毒和仿冒网站诱导用户执行混淆的PowerShell或mshta命令，进而实施DLL侧加载或内存执行以部署窃密程序和后门。此外还存在伪装成AI助手的恶意浏览器扩展及投毒的依赖包。建议企业落实软件来源核验与域名拦截，严格审计扩展权限，并针对系统工具滥用与异常行为部署检测策略，同时加强AI相关组件的供应链安全管控。

Sophos报告指出过去一年攻击者主要利用Claude等AI品牌作为诱饵分发恶意软件，而非使用AI作为攻击工具。在38起真实案例中，35起为品牌仿冒，攻击通过搜索引擎投毒和仿冒网站诱导用户执行混淆的PowerShell或mshta命令，进而实施DLL侧加载或内存执行以部署窃密程序和后门。此外还存在伪装成AI助手的恶意浏览器扩展及投毒的依赖包。建议企业落实软件来源核验与域名拦截，严格审计扩展权限，并针对系统工具滥用与异常行为部署检测策略，同时加强AI相关组件的供应链安全管控。

Sophos报告指出过去一年攻击者主要利用Claude等AI品牌作为诱饵分发恶意软件，而非使用AI作为攻击工具。在38起真实案例中，35起为品牌仿冒，攻击通过搜索引擎投毒和仿冒网站诱导用户执行混淆的PowerShell或mshta命令，进而实施DLL侧加载或内存执行以部署窃密程序和后门。此外还存在伪装成AI助手的恶意浏览器扩展及投毒的依赖包。建议企业落实软件来源核验与域名拦截，严格审计扩展权限，并针对系统工具滥用与异常行为部署检测策略，同时加强AI相关组件的供应链安全管控。

文章总结： Sophos报告指出过去一年攻击者主要利用Claude等AI品牌作为诱饵分发恶意软件，而非使用AI作为攻击工具。在38起真实案例中，35起为品牌仿冒

文章总结： Sophos报告指出过去一年攻击者主要利用Claude等AI品牌作为诱饵分发恶意软件，而非使用AI作为攻击工具。在38起真实案例中，35起为品牌仿冒