2026-10-22 14:25:03 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

安全简讯（2026.10.16）

启明星辰安全简讯

2026年10月16日 16:40
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

1. 新型安卓银行木马Hirudo篡改应用窃取金融凭证

10月15日，ThreatFabric研究人员披露了一种名为Hirudo的新型安卓银行木马。与传统木马通过覆盖虚假登录界面窃取信息不同，Hirudo会诱导用户卸载正版银行应用，并安装保留原有包名和版本号的恶意修改副本，从应用内部篡改安全机制。该木马通过伪装成购物应用、短剧平台或成人内容服务的下载器传播，利用虚假更新提示诱导用户安装，并借助辅助功能权限识别目标银行应用、监控用户操作。其已针对印尼7家银行的8款应用准备专属替代版本，凭证窃取功能还涉及印尼、中国、印度、墨西哥、摩洛哥和泰国等国家和地区。恶意副本通过植入钩子引擎，利用开源框架修改应用的Java方法和本地函数，可伪造签名验证结果、隐藏辅助功能服务，并解除屏幕截图限制，使攻击者能够远程查看和录制银行操作界面。此外，木马还通过攻击者控制的服务器转发完整性检查请求，返回看似有效的验证结果，削弱传统安全检测的可靠性。研究人员还发现，相关攻击基础设施存在配置面板无需身份验证、云存储及凭证暴露等问题，泄露记录包含大量账户凭证、设备信息和财务资料，表明攻击者可能进一步利用窃取数据实施金融欺诈。

https://securityaffairs.com/200970/malware/hirudo-android-trojan-replaces-banking-apps-to-steal-credentials.html

2. Nextcloud内置服务器严重漏洞遭黑客利用

10月15日，网络安全研究人员发现，Nextcloud内置的Collabora Online CODE服务器应用程序存在严重命令执行漏洞CVE-2026-110447，影响26.4.303之前的richdocumentscode版本。自9月10日起，攻击者已开始利用该漏洞，通过向proxy.php端点发送恶意请求，在特定条件下触发操作系统命令注入，且无需身份验证或用户交互。攻击的关键条件是内置CODE服务器处于停止状态，例如重启、升级或崩溃后。受影响系统的管理员报告称，攻击者植入了PHP Webshell，并搜索密码数据库、密码管理器痕迹及加密货币钱包信息，另有勒索软件利用该漏洞的报告，但尚未得到独立证实。该漏洞仅影响Nextcloud可选的内置CODE服务器应用程序，独立部署的Collabora Online服务器、Docker及RPM/DEB安装和Nextcloud All-in-One部署不受影响。官方建议用户升级至26.4.303或更高版本，或在不需要时卸载相关应用，仅禁用应用并不足以消除风险。

https://www.bleepingcomputer.com/news/security/hackers-exploit-collabora-rce-flaw-to-backdoor-nextcloud-servers/

3. 哈萨克斯坦关联组织对中亚展开网络间谍活动

10月15日，思科Talos与Recorded Future研究人员披露了名为Silent Lynx（又称UAT-6275、TAG-193）的持续性威胁组织，评估其与哈萨克斯坦存在关联。自2024年以来，该组织持续针对中亚地区政府部门、外交使团和民间社会组织开展网络间谍活动，目标还包括俄罗斯奥尔斯克炼油厂和下诺夫哥罗德市政府等重要机构。攻击者利用被入侵的塔吉克斯坦和吉尔吉斯斯坦政府邮箱发送鱼叉式钓鱼邮件，并借助GitHub、Telegram及被劫持的合法服务器投放恶意软件，使用PowerShell反向Shell及多种自主开发工具实施入侵和远程控制。研究人员通过公开服务器目录、Shell命令历史、GitHub提交时间、VPN出口地址及恶意样本上传记录等证据，发现多项活动特征指向哈萨克斯坦，但相关地缘政治联系尚不足以证明具体行动动机。2026年4月，该组织开始利用WinRAR路径遍历漏洞CVE-2025-8088，将恶意文件植入Windows启动文件夹，降低对宏和用户操作的依赖；研究人员还发现其关注Linux系统，并在命令与控制服务器上存放FortiWeb身份验证绕过漏洞的概念验证代码。

https://securityaffairs.com/201003/apt/silent-lynx-kazakhstan-linked-hackers-target-russian-refinery-and-government.html

4. 全球34国设备遭代理劫持攻击

10月15日，近日，网络安全公司GreyNoise发现一起代理劫持攻击活动，全球34个国家至少143台设备受到影响。攻击者利用D-Link网络存储设备、Ubiquiti网络录像机及SAP NetWeaver等产品中已知漏洞入侵边缘设备，并在未经所有者同意的情况下安装合法带宽共享应用Pawns.app，将受害者的互联网连接纳入商业住宅代理网络，通过转发其他用户的流量获取收益。研究人员还发现，海康威视和大华的数字录像机及网络录像机也成为攻击目标，部分受感染设备被配置了SSH密钥认证，作为备用访问方式。此类攻击不仅会消耗设备带宽和计算资源，还可能导致受害者的公网IP地址被用于可疑活动，进而遭到网络平台封禁，甚至面临涉及非法行为的调查。此外，住宅代理网络还可能被用于大规模撞库攻击，增加网络安全风险。为降低此类威胁，用户应避免从不可信来源下载软件，及时修复网络存储设备、录像机及其他联网系统的已知漏洞，使用强密码和安全认证机制，关闭不必要的对外服务，并限制设备的网络访问权限。同时，可借助相关威胁情报检测服务，核查自身IP地址是否涉及可疑代理网络，及时发现并处置异常情况。

https://www.bleepingcomputer.com/news/security/hackers-hijack-d-link-ubiquiti-devices-to-resell-your-stolen-bandwidth/

5. 新型CikaBika木马借Discord实施远程窃密

10月15日，网络安全公司Darktrace发现一起新型恶意软件攻击活动，攻击者利用基于Rust开发的远程访问木马CikaBika Bot，通过Discord建立命令与控制通道，实现对受感染设备的远程操控、信息侦察和数据窃取。该恶意软件可能通过网络钓鱼传播，攻击者向受害者发送包含磁盘映像的PDF文件，其中隐藏着伪装成Word文档的Windows快捷方式。用户打开后，程序显示诱饵文档，同时启动隐藏的PowerShell进程，解码并执行嵌入的恶意文件。随后，基于Nim开发的加载器将Rust动态链接库和PowerShell脚本写入临时文件，并尝试将恶意组件移入受保护的浏览器目录，借助动态链接库搜索顺序劫持等技术规避安全防护。最终载荷运行后，会向Discord注册受感染设备，并收集系统信息、运行进程、网络配置及屏幕截图。攻击者可通过Discord下发指令，实现远程命令执行、进程枚举与终止、文件上传下载，以及屏幕、摄像头和流媒体监控等操作。此外，攻击者还可将目标目录压缩为ZIP文件，并借助Ngrok传输窃取的数据，或定向获取受害者设备中的特定文档。

https://www.securityweek.com/cikabika-bot-rat-uses-discord-for-cc/

6. 英国法律援助署数据泄露波及近半世纪记录

10月15日，英国法律援助署（LAA）近日公布数据泄露事件最新调查结果，确认2025年4月发生的网络攻击导致大量敏感信息遭窃，其中约25万条记录可追溯至2007年以前，最早记录可追溯至1978年。英国司法部此前于2025年5月披露，黑客入侵了法律援助署系统并窃取申请人的个人信息，但未公布事件的完整影响范围。最新调查显示，被泄露记录大多涉及2007年至2025年间提交的法律援助申请、索赔及付款信息，数据可能包括姓名、住址、出生日期、国民保险号码、邮政编码、案件编号、电话号码及法律援助管理系统中的相关信息。攻击者还窃取了与法律援助署有业务往来的法律从业人员信息，包括合同、工作安排、办公地点、付款详情及账户凭证。受影响人员还涉及法官、律师、辩护人、民事诉讼当事人及相关管理人员。此外，少量缓刑服务对象的数据也遭到访问，涉及2010年至2017年间接受缓刑管理人员的姓名、出生日期、国籍及案件编号。由于此次事件涉及多个系统，且部分数据存在碎片化、不完整等问题，调查人员需要投入大量工作核实泄露范围。目前，法律援助署表示，尚无证据表明被盗信息已被公开或出售，但相关数据仍可能被用于身份冒用、定向诈骗及其他恶意活动。