ZONE.CI 全球网

OdysseyStealer是一场针对MacOS的全球信息窃取活动，已蔓延至100多个国家。攻击者通过社会工程和ClickFix技术诱导用户执行恶意脚本，替换合法加密钱包应用以窃取凭证、密钥和加密资产。该恶意软件具备持久化能力，并作为恶意软件即服务平台运营。建议用户严格验证软件来源、警惕要求终端命令的验证码，并检查系统异常LaunchDaemons和钱包替换。

第十九届全国大学生信息安全竞赛（作品赛）暨第三届长城杯网数智安全大赛（作品赛）初赛团队名单已公示，发布于2026年7月10日。该公示列出了进入初赛的团队，是赛事进程的重要节点，参赛者可下载附件查看具体名单。

今日网安早报涵盖多个热点：LurkingLizard通过虚假VPN和7-Zip安装程序构建代理网络；Ryuk勒索软件成员Vardanyan在美国认罪面临15年监禁；亲俄黑客组织Noname057(16)和Z-Pentest作出反应；多国跟进社交媒体年龄禁令；医疗保健企业遭攻击数量翻倍；U-Boot发现六个新漏洞可导致设备崩溃或代码执行。建议关注VPN安全、医疗数据保护及固件漏洞修复。

本周网络安全事件频发：全球首个全自动AI勒索攻击JADEPUFFER曝光，无需人工操控且付赎金难恢复数据；美国政府机关支付百万美元平息勒索；多起重大漏洞遭利用，包括Joomla外挂满分漏洞(CVE-2026-48908等)、Linux内核16年历史KVM逃逸漏洞(CVE-2026-53359)及思科ClamAV二十年漏洞；埃森哲、日本保险公司等发生大规模数据泄露；新型恶意软件活跃，如Android银行木马RedWing、跨平台QuimaRAT及针对研究人员的ChocoPoC；钓鱼攻击手法升级，滥用Micr

该文档为2026年7月11日暗网快讯，报道了多起数据泄露事件，涉及西班牙交通执法技术提供商、教育平台ClassDojo、加密货币服务CoinPayments、流媒体Paramount+、游戏平台Ubisoft等，威胁行为者售卖或泄露用户数据、源代码、数据库等。建议关注此类威胁情报，加强数据安全防护。

本文分析数据安全培训效果不佳的原因在于停留在听讲层面。通过定制培训、岗位拆解、场景模拟让员工意识到违规行为，并提供岗位摘录卡等工具推动行动。强调培训需从听讲走向思考与行动，实现四两拨千斤的效果。

华能信息技术有限公司2026年人工智能及网络安全职业技能竞赛培训与赛事保障服务招标中标候选人公示，前三名分别为青岛世纪九洲文化传播有限公司、博智安全科技股份有限公司和中电运行(北京)信息技术有限公司，报价在285万至325万元之间。各候选人均有相关赛事或安全服务业绩。公示期至2026年7月13日，异议可通过华能电商平台提出。

该文档为网络安全帮会推广软文，宣传其拥有1000+成员、10000+干货笔记及100T网盘资源，提供CTF、红蓝队等学习资料与认证考试优惠。强调永久会员即将取消，现以119元优惠价招募，并附20元优惠券。

通山公安破获涉案2.7亿元跑分洗钱案，抓获12人，捣毁2条洗钱渠道。团伙通过金字塔架构和闭环流程，利用上千个账户将诈骗资金分散归集后兑换虚拟币转移。警方提醒出租出借支付账户属违法行为，应妥善保管个人信息。

随州警方打掉利用快递寄递黄金和现金跑分洗钱的团伙，抓获7人含3名未成年人，涉案超300万。该团伙勾结境外电诈组织，利用非实名快递接收被骗财物，转运后以USDT回款境外。警方拦截黄金330克及现金14.3万元，主犯被批捕。建议强化物流寄递实名监管以防范此类洗钱犯罪。

甘肃公安公布陇风反诈十大典型案例，抓获嫌疑人260余名，涉案金额数千万元。案例涵盖网络赌石、冒充领导、投资理财、虚假购物、冒充公检法、冒充客服及洗钱等诈骗类型，部分团伙藏匿境外。警方通过打击境内洗钱团伙、追赃挽损取得成效，提醒公众提高警惕，不轻信陌生信息。

文章是对一首歌的歌词解读，讲述普通人在大城市奋斗的艰辛与坚持。核心要点包括：少年怀揣梦想进入繁华却面临现实落差；职场中功劳未必论功行赏，清白愿望常被染黑；但选择坦荡无愧天地。副歌部分宣誓逐明月枕清风，敬来路敬高山，敬庙堂之外的月光。众生皆苦但花还在开，宏大叙事下微小的生命依然绽放。最后致敬平凡与热爱生活，体现认清生活真相后依然热爱的英雄主义。

fast-mcp-telegram0.19.0及更早版本存在严重路径遍历漏洞CVE-2026-52830。攻击者可在HTTPAuthorization标头中提供遍历别名如…/fast-mcp-telegram/telegram，绕过持有者令牌验证，访问默认Telegram会话。此漏洞允许未授权攻击者读取和发送消息、调用MTProtoAPI。建议立即升级至0.19.1版本以修复此问题。

本文提出半异步联邦分割学习SAFSL框架，针对计算受限无线网络设备，通过个性化模型划分和半异步聚合机制减少同步等待，结合Lyapunov在线优化动态调整资源分配，在满足长期能耗约束下降低训练时延。实验表明SAFSL在收敛速度、能耗和通信开销上优于传统方法。

QUIC协议连接迁移机制存在TOCTOU窗口，攻击者可利用PathChallenge/Response帧伪造路径验证，将流量反射放大至受害者IP，放大因子超20倍。文档详细分析了漏洞原理、CID嗅探方法及基于aioquic的PoC实现，并提出了服务端强制路径验证、限制未验证路径数据速率、强随机数生成等防御建议。

文章指出当前AI在企业中多作为工具提升局部效率，未改变生产方式，真正工业化需要生产型AI重新设计流程、权限和责任。AIagent能力边界不平滑，需定义边界、建立验证和异常处理机制。服务平权可能仅实现基础服务普及，责任服务仍稀缺。个人agent的关键是可委托性，包括目标可控、数据可带走、供应商可替换等。最终稀缺的是责任，AI革命应重构服务生产方式和权利结构。

文档报道了多个网络安全项目中标结果，包括设备维护、资源服务、安全服务等，金额从102.9万到479万不等，反映了网络安全市场的活跃需求。同时包含作者个人感想，但核心是行业资讯。

Shiro550反序列化漏洞因默认AES密钥和配置难以统一修改而持续高危。ShiroAttack2工具支持GUI和CLI双模式，可自动探测框架、批量爆破密钥、执行命令、注入内存马并篡改服务端密钥。攻击流程包括目标探测、密钥爆破、载荷构造、命令执行和持久化驻留。工具仅限授权安全测试使用，严禁非法行为。

该文档披露特朗普2025年财务报告显示其商业收入从6.22亿美元暴增至至少22亿美元，主要来自加密货币和迷因币销售。参议员墨菲指控特朗普将白宫变成腐败机器，列举了500天内多项腐败事件，包括终止调查、赦免关联人物、无竞标合同等。标普500指数报告介绍了特朗普账户投资于基于该指数的产品。

第四届全国大学生开源情报数据采集与分析挑战专项由中文信息学会开源情报技术专委会主办，四川警察学院等承办，面向全国高校学生。活动分为初级和终极挑战，初级包括数据采集、规则制作和报告，终极为答辩。报名截止2026年9月16日，不收取费用。建议有意者访问报名网址或联系官方邮箱。

本文以韩国KT非法Femto事件为例，指出护网防守中攻击者利用遗失设备的合法证书绕过认证，导致用户信息泄露和财产损失。文章强调传统边界防御仅验证证书有效性，而忽略身份与实体的绑定，建议通过交叉比对过期身份、升级信任模型来加强安全。

慢雾安全团队发现injectiveSDK1.20.21版本被植入恶意代码，在调用generate()、frommnemonic()或字符串fromhex()时，将助记词或私钥经base64编码后通过HTTPPOST请求的x-request-id头发送至testnet.archival.chain.grpc-web.injective.network。建议立即升级版本、更换受影响密钥、检查依赖树和日志记录。

工业控制系统信息安全产业联盟启动《工业控制系统信息安全产品及服务指南（2026版）》征集活动，面向理事单位征集近两年市场化落地的工控安全软硬件产品及服务。活动旨在落实国家工控安全政策要求，为工业用户提供权威选型参考，并推动AI威胁识别、零信任架构等新技术应用。征集截止日期为2026年8月15日，入选产品将获推广并直通2027中国自动化产业年会评选。

CyberStrikeAIv1.7.0引入平台RBAC，实现多用户、最小权限、数据隔离与服务端全链路权限校验。区分平台角色（安全边界）与AI测试角色（测试策略），内置admin、operator、auditor、viewer四个角色，支持assigned/all/own三种Scope及资源继承。提供Web端成员与自定义角色管理，并覆盖机器人场景的逐用户绑定或服务账号模式。建议按岗位分配权限、使用assignedscope进行项目隔离，避免将admin用于机器人账号。

本文解读中国船级社船舶网络安全指南中数据保密性、受限数据流、事件及时响应和资源可用性等安全要求。详细阐述了信息保密性、持久性、加密、网络分段、区域边界保护、系统外通信限制、应用分区、审计日志、持续监控、抗DoS、资源管理和系统备份等要求，并提供了验证流程、实施方法和解决方案。指南强调根据安全等级SL0-SL4实施不同强度的防护措施。