2026-10-14 15:50:39 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

杀毒软件亮着绿灯却瞎了这周安全圈四件大事挨个说

原创

紫禁
紫禁

紫禁玄科

2026年10月12日 15:49
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

SECURITY · INTELLIGENCE

杀毒软件亮着绿灯却瞎了这周安全圈四件大事挨个说

2026年10月12日 · 8 min

网络安全#安全资讯

周一早上我把情报流翻了个底朝天

本周安全四件事：从熄火的防护到落网的主犯

周末这种时候，干安全的人反而更忙——攻击者特别喜欢挑值班人手最少的窗口干活。所以周一早上泡上茶先翻情报流，已经成了我的习惯。这周翻下来，有四条消息我截了图存进备忘录，因为它们拼出了同一个形状：你越信任的东西，越容易被从里面掏空。

一条是杀毒软件\"没关却瞎了\"，一条是安全公司排队卖身而买家根本不是同行，一条是取款机自己吐钱的案子抓到了主犯，还有一条最扎心——绕过你最好的办法，是先绕过你家人。都不长，我一条条讲，讲完给清单，这周你花二十分钟就能把自己加固一遍。

防护软件没关却在悄悄瞎掉

先说最技术但离每个人最近的这条。安全公司 LevelBlue 这周披露：一个叫 BigDiskBuster 的概念验证技术，能在完全不碰漏洞、不关服务的情况下，让 Windows Defender 的病毒库停止更新。原理说出来有点\"土\"——Defender 一开始更新，它就创建一个隐藏文件，把 C 盘剩余空间全部占掉，更新自然失败；Defender 清理掉暂存目录腾出空间，它马上再来一遍。循环往复。

关键在于\"什么都没发生\"：Defender 服务照常运行，实时保护的绿灯一直亮着，任务栏图标一切正常。但它的检测内容停在了某个时刻，之后新出现的东西它都不认识了。研究者把这叫\"静默检测缺口\"。这套东西大约 300 行 C++，把裸设备句柄、相对文件打开、递归卷监视、超大空间分配四个手法拼在一起，普通用户权限就能跑。写它的是前微软员工、研究员 Abdelhamid Naceri，9 月 19 日发布，GitHub 页面现在已被下架，但 LevelBlue 已完整复现。

它没有 CVE、没有补丁、没有官方通告。微软的回应是\"Defender 已内置针对该概念验证的检测\"，并建议用户保持安全情报更新——这句建议其实正中要害：问题不在\"防不防得住\"，在\"你有没有看过它最后一次更新是什么时候\"。研究者给的检测信号也朴素：反复出现 0x80070643 更新失败、伴随异常句柄活动和莫名其妙的大块磁盘占用。

绿灯不等于最新：防护软件最容易骗人的状态

我自己的看法：这不算\"杀死杀软\"，它只是戳破了我们判断安全的惯性——图标绿=没事。这跟冰箱通着电、制冷剂早漏光了是一个道理。所以第一个自查脚本就是帮你查\"新鲜度\"的，Windows 上直接读 Defender 的病毒库年龄和更新日志，其他系统给出手动清单：

脚本一：defender\_check.py —— 只读自查，不改任何设置

defender\_check.py - 看防护\"新鲜度\"，不只看绿灯（只读自查）

import platform, subprocess, datetime

def now():

return datetime.datetime.now().strftime(\"%Y-%m-%d %H:%M:%S\")

print(f\"[{now()}] 开始检查防护软件新鲜度\")

if platform.system() == \"Windows\":

ps = (\"Get-MpComputerStatus | Select-Object AntivirusEnabled,\"

\"RealTimeProtectionEnabled,AntivirusSignatureAge | Format-List\")

out = subprocess.run([\"powershell\", \"-NoProfile\", \"-Command\", ps],

capture\_output=True, text=True, timeout=30)

for line in out.stdout.splitlines():

if line.strip():

print(f\"[{now()}] {line.strip()}\")

for line in out.stdout.splitlines():

if line.startswith(\"AntivirusSignatureAge\"):

age = int(line.split(\":\")[-1].strip())

tag = \"新鲜\" if age <= 3 else \"警告：超过3天没更新\"

print(f\"[{now()}] 病毒库 {age} 天前更新 -> {tag}\")

else:

print(f\"[{now()}] 非 Windows 系统，请手动核对三条：\")

print(f\"[{now()}] 1) 病毒库更新日期是否在 3 天内\")

print(f\"[{now()}] 2) 手动点一次检查更新，看是否反复失败\")

print(f\"[{now()}] 3) 重要数据是否做了 3-2-1 备份\")

print(f\"[{now()}] 检查完成\")

我在自己的 Linux 机器上跑了精简版，rc=0，输出如下（Windows 上会打印真实签名年龄）：

实际运行输出

[2026-10-12 13:14:00] 开始检查防护软件新鲜度

[2026-10-12 13:14:00] 非 Windows 系统，请手动核对三条：

[2026-10-12 13:14:00] 1) 病毒库更新日期是否在 3 天内

[2026-10-12 13:14:00] 2) 手动点一次检查更新，看是否反复失败

[2026-10-12 13:14:00] 3) 重要数据是否做了 3-2-1 备份

[2026-10-12 13:14:00] 检查完成

安全公司排队卖身买家却不是同行

第二条是行业新闻，但我觉得它迟早落到每个用户头上。投资机构 Momentum Cyber 的最新季度报告：今年第三季度网络安全并购做了 117 笔，创单季纪录，全年预计冲到 450 笔（去年是 404 笔、总金额 970 亿美元）。更值得注意的是买家的脸变了——不再是同行吃同行，而是 SaaS 厂商、工业控制厂商、超大规模云厂商，甚至前沿 AI 实验室在扫货。

数字里藏着温度差：AI 安全方向的并购今年前三季 40 笔，去年一整年才 10 笔。年初还有过一波恐慌——1 月底到 2 月底，CrowdStrike 股价跌 26%、JFrog 跌 42%、Tenable 跌 20%、Zscaler 跌 28%，大家怕\"AI 会把 SaaS 全干掉\"；结果后来不但收复，CrowdStrike 年内反而涨了 127%。恐惧的来源就是解药本身：企业要用 AI 智能体干活，就得先买安全能力管住它。Cyera 花 10 亿美元收购 Oasis，Cisco 连吃 Astrix 和 WideField，都是这个逻辑。

为什么说这条跟普通读者有关？因为你的工具会易主。我这两年做项目，见过太多次\"免费神器被收购\"的剧本：产品还在，隐私条款换了，免费额度缩水了，数据流向悄悄变了。三件事建议你记着：常查你依赖的安全工具的\"收购公告\"；别把所有数据押在单一免费工具里；公司采购合同里加一句\"控制权变更时可无条件退出\"——这句话我见过它救过一次场。

取款机自己吐钱这事的主犯刚落网

第三条是犯罪新闻，读起来像电影。美国司法部宣布：50 岁的委内瑞拉人 Anibal Alexander Canelon Aguirre 被捕并提审——他是犯罪集团 Tren de Aragua 的技术头目，代号\"普罗米修斯\"和\"工程师\"，被指控开发了专门给取款机\"洗脑\"的 Ploutus-D 恶意软件。装了它的 ATM 会乖乖吐钞，车手在旁边接钱，再通过加密货币网络洗白。

涉案规模：2024 到 2025 两年间，仅美国就有 117 家银行和信用社中招，被吐走 510 万美元；美国财政部的口径更大——截至 2025 年 8 月，全球超过 1500 起\"jackpotting\"事件、涉案 4070 万美元。今年 3 月，他成了 FBI\"十大通缉犯\"名单上的第一个网络犯罪嫌疑人；9 月，美国海岸警卫队在海上把他截住。Ploutus 家族 2013 年就出现在墨西哥，这一版借助 ATM 中间件平台，能打 40 多个厂商的机型。

这案子给我最大的触动是手法的第一步：物理接触。全程不需要什么远程神技，就是有人走到机器跟前、打开机箱、把东西装进去。所以普通人的防线也很物理：看到有人围着 ATM 拆面板、贴\"升级模块\"，走开并报警；取款优先选银行网点里的机器；用芯片卡别刷磁条；每笔交易开通短信提醒，吐钱和盗刷一样，通知越快止损越快。

绕过你的最好办法是先绕过你家人

第四条我看的时候心里一紧。Dark Reading 这周的报道里有个场景：攻击者盯上一位高管，密码攻不下、多因素认证也挡住了，于是他转身去研究这位高管的儿子——孩子的游戏机没开双因素认证，先拿下游戏机，再顺着家庭网络横着走，最后够到了公司网络。绕了一大圈，防线全长在\"没受过安全培训的人\"身上。

数据比故事更冷：Ponemon 与 BlackCloak 的调查显示，2025 年有 51% 的组织报告高管遭遇过此类攻击（2023 年是 43%）；在 BlackCloak 接手的新客户里，39% 的高管设备已经被入侵而本人毫不知情，20% 的家庭网络是完全敞开的。研究者有句话我抄了下来：\"孩子学校演出的时间一旦上了共享日历，就等于给骗子的假电汇请求对好了表。\"还有 AI 的事——现在做背景搜集，AI 比人工快 7 倍，家庭成员的社交动态就是免费侦察素材。

家是最软的入口：攻击者最爱绕的道

这里有个反直觉的点，我特意拎出来说。上周有篇讲\"家庭暗号防冒充\"的文章很受欢迎，但这篇报道里有位专家给\"家庭暗号\"泼了冷水：\"暗号只要发过一次就烧了，然后你就得换新的。\"我认为他说的是暗号的\"用法\"而不是暗号本身——把它当一次性密码用：不落文字、只说半句留半句、定期更换、永远配合\"挂断后回拨通讯录里存的号码\"这一步。暗号是验证的补充，不是替代。

给家庭入口做体检的工具我也写好了，把家庭群公告、朋友圈简介粘进文本扫一遍，常见泄露点全在本地正则匹配，不联网：

脚本二：family\_leak\_scan.py —— 纯本地扫描，不上传任何内容

family\_leak\_scan.py - 扫出家庭文本里的泄露面（纯本地正则，不联网）

import re, datetime

def now():

return datetime.datetime.now().strftime(\"%Y-%m-%d %H:%M:%S\")

RULES = [

(\"手机号\", r\"1[3-9]\d{9}\", \"冒充短信和撞库的入口\"),

(\"出行计划\", r\"(出差|旅游|回老家|机场|高铁)\", \"等于告诉对方家里没人\"),

(\"孩子学校\", r\"[\u4e00-\u9fa5]{2,8}(小学|中学|幼儿园)\", \"假老师假教务的入口\"),

(\"生日日期\", r\"\d{4}年\d{1,2}月\d{1,2}日\", \"很多密保问题的答案\"),

]

text = (\"周末全家去三亚旅游，10月18日出发，孩子在实验小学三年级，\"

\"老人生日1958年3月12日。\")

print(f\"[{now()}] 扫描 {len(text)} 字家庭文本\")

hit = 0

for name, pat, why in RULES:

found = re.findall(pat, text)

if found:

hit += 1

print(f\"[{now()}] [{name}] {found[0][:18]} -> {why}\")

print(f\"[{now()}] 共 {hit} 类风险点：真名换别名、行程回来再发、生日学校不上网\")

内置演示文本的实跑输出（rc=0）：

实际运行输出

[2026-10-12 13:14:00] 扫描 45 字家庭文本

[2026-10-12 13:14:00] [出行计划] 旅游 -> 等于告诉对方家里没人

[2026-10-12 13:14:00] [孩子学校] 小学 -> 假老师假教务的入口

[2026-10-12 13:14:00] [生日日期] 1958年3月12日 -> 很多密保问题的答案

[2026-10-12 13:14:00] 共 3 类风险点：真名换别名、行程回来再发、生日学校不上网

两句话简讯也值得你知道

还有两条消息一句话带过，但别跳过。一是老牌间谍组织 UAC-0099 给它的主力投放工具\"MatchBoil\"换了隐身衣，持续瞄准乌克兰机构——工具翻新比新工具更常见，别以为没听过名字就是新威胁。二是 Anthropic 把\"玻璃翼\"项目并入了分级访问计划，给经过审查的防御团队放宽了部分模型护栏——攻防两边的不对称，正被人用不对称的算力政策一点点补齐。

照例给清单这周做四件事就够

综述写多了会发现，读者真正带走的从来不是新闻本身，是\"那我该干嘛\"。这周四件事，加起来二十分钟：

1. 查防护新鲜度：跑一下脚本一，或者手动看一眼病毒库日期，超过 3 天没更新就点一次更新并观察是否反复失败。
2. 收家庭入口：跑一下脚本二，把公开资料里的行程、学校、生日删干净；家人设备逐台查双因素认证，游戏机、平板、旧手机最容易漏。
3. 清账号授权：微信、支付宝、Google 的\"第三方应用授权\"列表每月清一次，不认识的一律断开。
4. 用卡和备份：ATM 取款认准网点内的机器、用芯片卡、开每笔短信；重要数据做 3-2-1 备份（3 份、2 种介质、1 份离线）。