每周高级威胁情报解读(2026.10.09~10.15)

威胁情报中心
威胁情报中心

奇安信威胁情报中心

2026年10月16日 14:33
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026.10.09~10.15

攻击团伙情报

• Kimsuky 的 GitPower 间谍行动针对乌克兰
• 疑似 TraderTraitor 利用植入木马的 Terraform Provider 投放跨平台恶意软件
• 与 UAC-0099 有关的 MATCHBOIL 窃密木马推出新变种
• UAT-6275团伙针对独联体多国政府与关键基础设施开展间谍活动

攻击行动或事件情报

• 一连串无认证攻击事件：Ivanti Connect Secure 零日漏洞链式利用
• Ledger证实钱包加密货币盗窃案背后存在间谍芯片植入
• 揭秘 Apex Accelerator 虚假 Web3 加速器，团伙包装合约安全审计服务发布恶意 npm 包
• 月蛾档案深度揭秘：还原 Silent Ransom 勒索团伙运营模式
• GhostAction卷土重来：恶意“安全审计”工作流程现在可以从整个Git历史记录中挖掘凭证

恶意代码情报

• ICMacOS 恶意软件演进：从 Mac 信息窃取木马升级为具备远程 Shell 的持久化 RAT
• 用户开机前手机已遭攻陷：Midnight Mimosa 恶意软件兴起
• Warden Stealer：快速崛起的信息窃取木马，专门掠夺 AI 智能体数据
• Unit 42 发现 PEERSTITCH：一款极其隐蔽的 FortiGate 防火墙植入后门

漏洞情报

• 微软补丁日通告：2026年10月版

攻击团伙情报

01

Kimsuky 的 GitPower 间谍行动针对乌克兰

披露时间：2026年10月11日

情报来源：https://www.genians.co.kr/en/blog/threat\_intelligence/operation-gitpower

相关信息：

Genians安全中心发布报告，披露朝鲜关联组织Kimsuky通过Operation GitPower行动，将目标扩展至乌克兰外交、安全与国际政策专家。攻击采用回复诱饵式鱼叉钓鱼，冒充KCSCON 2026会议邀请或分析合作请求，首封邮件不含附件，待目标回复后才发送恶意压缩包。压缩包内LNK文件伪装成PDF，通过curl从GitLab下载first.ini并保存为VBE执行，再由help.ini收集systeminfo和Downloads目录信息，经硬编码令牌上传至GitHub仓库，并注册伪装成GoogleUpdateTaskMachineUA的计划任务实现持久化。攻击者还使用伪装成Zoom安装程序的可执行文件及GitHub上的PowerShell加载器。基础设施和代码与先前Operation GitPower高度相似，包括wolf字符串混淆、GoogleUpdateTaskMachineUA任务名及GitHub Contents API。研究人员还发现针对日本目标的诱饵文档，表明攻击范围扩大。Kimsuky可能意图收集朝鲜军队损失、战俘处理及韩乌协商情报。

02

疑似 TraderTraitor 利用植入木马的 Terraform Provider 投放跨平台恶意软件

披露时间：2026年10月08日

情报来源：https://www.zscaler.com/blogs/security-research/suspected-tradertraitor-group-uses-trojanized-terraform-provider-deliver

相关信息：

Zscaler ThreatLabz发现疑似朝鲜背景APT组织TraderTraitor利用木马化的Terraform供应商包发起跨平台恶意软件攻击。该伪装成AWS供应商的二进制文件在Terraform加载时即执行恶意代码，通过仿冒HashiCorp域名下载Bash加载器，该加载器依据操作系统和CPU架构，将加密可执行文件伪装成.woff字体文件，经Base64解码与AES-256-CBC解密后部署Rust编写的FLATROOF后门，其内置Python窃密脚本专门窃取浏览器凭据、Cookie、终端历史及MetaMask等加密货币钱包数据，随后投放ROOFDECK后门实现完全远程控制，后者采用本地配置、带RSA签名的Pastebin死信箱及Nostr元数据的多层方式隐藏C2地址以规避检测。研究显示此类攻击手法与此前KelpDAO事件高度重合，但因缺乏独立代码及基础设施证据，尚无法高置信度归因于TraderTraitor。

03

与 UAC-0099 有关的 MATCHBOIL 窃密木马推出新变种

披露时间：2026年10月08日

情报来源：https://www.welivesecurity.com/en/eset-research/matchboil-new-tricks-same-old-evil-intentions/

相关信息：

ESET研究人员梳理了俄罗斯支持背景的网络间谍组织UAC-0099所使用的MATCHBOIL下载器从2024年4月至2026年4月近两年间的演变历程。该组织长期针对乌克兰政府、金融机构及媒体，并可为Sandworm组织提供初始访问。MATCHBOIL通过鱼叉式钓鱼邮件中的恶意链接传播，以VBScript下载执行，负责从C&C服务器下载并持久化MATCHWOK后门。研究显示，尽管该恶意软件直至2025年8月才被公开披露，但其开发最早可追溯至2024年4月。各版本迭代持续增强：混淆方式从不可打印Unicode字符与字符串加密升级为Eziriz .NET Reactor混淆器，并新增了通过Windows事件日志系统运行时间判断沙箱环境、调试器检测等反分析手段。此外，其执行逻辑由一次性下载器转变为通过定时器每两分钟轮询C&C以获取最新载荷，持久化机制也在注册表Run键与计划任务之间多次切换。为迷惑受害者，新版本还添加了日程规划器等图形界面伪装。最新变体MATCHBOIL.V2已改为DLL形式并由自定义C#加载器执行，进一步增加了系统安装日期检测等虚拟机识别手段。

04

UAT-6275团伙针对独联体多国政府与关键基础设施开展间谍活动

披露时间：2026年10月14日

情报来源：https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/

相关信息：

Cisco Talos联合Recorded Future披露APT组织UAT-6275针对独联体国家政府机构的间谍行动。该组织自2025年6月至2026年8月活跃，目标覆盖哈萨克斯坦、塔吉克斯坦、亚美尼亚、白俄罗斯等九国，重点瞄准外交、经济及水资源与能源管理部门，其活动时间与地区外交会议及俄乌战争引发的能源安全议题高度相关。攻击采用四种感染链，包括宏文档、PS2EXE下载器、GitHub托管的PowerShell脚本以及利用WinRAR漏洞CVE-2025-8088的恶意压缩包，投递Chvost、Laplas、PickleShell等轻量级反弹Shell。该组织三处公开可访问的暂存目录及GitHub仓库的提交历史意外暴露了其载荷构建与基础设施变更。研究人员还发现了针对Linux主机及FortiWeb漏洞的利用工具，显示其能力正在扩展。基于基础设施访问、语言痕迹、样本提交来源及符合UTC+5时区的工作时间分析，Talos以中等置信度评估该组织与哈萨克斯坦存在关联，该活动集群与YoroTrooper等已知行动存在重叠但尚未观察到直接工具共享。

攻击行动或事件情报

01

一连串无认证攻击事件：Ivanti Connect Secure 零日漏洞链式利用

披露时间：2026年10月13日

情报来源：https://labs.zenity.io/post/rogue-ai-agents-abuse-urlquery-remote-browser-execution-to-extract-russian-government-data

相关信息：

Volexity披露未知威胁者UTA0576利用Ivanti Connect Secure VPN三个零日漏洞链，实现未认证root级远程代码执行。漏洞包括welcome.cgi认证绕过、wu.cgi文件写入竞态条件RCE，以及通过篡改DSCache配置让dsinvoked以root执行Perl的提权。攻击者未部署后门或webshell，所有命令和结果均通过漏洞利用的HTTPS请求传递。利用后窃取域凭据、AD元数据、LAPS密码和BitLocker恢复密钥，部署Kerberos和LDAP工具，进行密码喷洒和LDAP流量抓包，并清除调试与审计日志、恢复内存补丁。受影响版本至22.8R2.4。Ivanti已修复认证绕过和RCE，编号CVE-2026-104935，提权修复稍后发布。建议打补丁、监控welcome.cgi和X-DSCGI-PATH异常、内存取证。Volexity中置信度认为UTA0576可能使用LLM辅助开发。

02

Ledger证实钱包加密货币盗窃案背后存在间谍芯片植入

披露时间：2026年10月12日

情报来源：https://www.bleepingcomputer.com/news/security/ledger-confirms-hardware-wallet-spy-implant-behind-crypto-thefts/

相关信息：

Ledger确认，部分通过东南亚经销商CryptoBilis销售的硬件钱包被植入恶意硬件，导致用户加密货币被盗。至少一台设备含未授权硬件植入物，公司已要求CryptoBilis暂停销售和发货，并建议近90天购买者未初始化则不要设置，已设置则转移资产至新助记词钱包。研究人员在Ledger Nano X中发现植入物隐藏于屏幕后方，通过采集显示输出和按键获取助记词，再经带eSIM的LTE模块外传。植入物使用STM32G431KBU6微控制器和微型eSIM，通过更换更小电池或利用屏幕下泡沫垫空间容纳。第二个变体更先进，使用原装电池，天线沿顶部边缘走线成为明显破绽。部分元件标识被刮除，PCB为工厂定制而非手工焊接。Ledger的正品检查无法检测此类植入物，因为原安全元件仍完好。公司正与执法部门合作调查，并警告用户避免从非授权经销商购买。

03

揭秘 Apex Accelerator 虚假 Web3 加速器，团伙包装合约安全审计服务发布恶意 npm 包

披露时间：2026年10月12日

情报来源：https://www.elastic.co/security-labs/threat-command/apex-accelerator-malicious-npm-packages

相关信息：

Elastic Security Labs 揭露 REF8801 行动，攻击者伪装成 Web3 加速器 Apex Accelerator，通过恶意 npm 包 @apexacc/cli 和 @apexacc/audit 针对加密货币初创公司创始人。这些包以 AI 编码助手和安全审计工具为名，安装时从 GitHub 下载平台特定可执行文件，并通过 vrf.apexaccs[.]org 获取命令执行。macOS 端投递 CloudSyncD 后门，Windows 端投递信息窃取器，经 Telegram 外泄数据。攻击者还重新打包合法编码代理 Oh My Pi，将 OpenRouter 流量重定向至其服务器，注册恶意 MCP 服务器，可窃取提示、代码和工具输出并影响代理行为。所有 18 个审计工具返回硬编码伪造结果，远程评分服务对虚构项目返回 51/100。该行动通过虚假网站、会议活动、伪造评论和 AI 生成内容制造可信度。

04

月蛾档案深度揭秘：还原 Silent Ransom 勒索团伙运营模式

披露时间：2026年10月09日

情报来源：https://blog.checkpoint.com/security/how-luna-moth-runs-data-extortion-like-a-business/

相关信息：

Check Point 基于暗网流出的 “Luna Moth Files（月蛾档案）” 泄露材料，还原 Silent Ransom Group（SRG，Luna Moth/UNC3753）的犯罪运营模式；该团伙 2022 年从 Conti 集团分裂，属于封闭独立团队，不使用文件加密，仅依靠窃取敏感数据实施勒索；以语音钓鱼冒充 IT 运维为主要入侵手段，甚至物理上门获取访问，优先攻击美国律所，内部台账记录累计勒索金额 2.07 亿美元；团伙全程滥用合法远程工具，无自定义恶意载荷，传统勒索病毒检测很难发现。

05

GhostAction卷土重来：恶意“安全审计”工作流程现在可以从整个Git历史记录中挖掘凭证

披露时间：2026年10月09日

情报来源：https://www.stepsecurity.io/blog/ghostaction-returns

相关信息：

StepSecurity报告GhostAction供应链攻击回归。2026年10月8日，攻击者利用两个被入侵的维护者账户，向345个仓库推送伪装成安全审计的恶意GitHub Actions工作流。新变种除窃取仓库命名密钥外，还以fetch-depth 0检出全部历史，用git log -p --all扫荡工作树和整个git历史，搜索AWS、Anthropic、OpenAI、GitHub、GitLab、Slack、SendGrid等13类凭据，捕获AWS密钥上下文配对，并将全部数据明文POST到硬编码IP 193.32.204.199。uber/athenadriver确认外泄成功，pyxel被手动重跑五次，typecho-fans因工作流需审批而未执行。截至10月9日仍有378个仓库带活跃恶意工作流。修复须轮换所有Actions密钥及历史中曾提交的全部凭据，撤销被入侵的GitHub凭据，删除所有分支的恶意工作流，审计8月31日以来运行并检查fork。Harden-Runner已封锁该C2。

恶意代码情报

01

ICMacOS 恶意软件演进：从 Mac 信息窃取木马升级为具备远程 Shell 的持久化 RAT

披露时间：2026年10月13日

情报来源：https://cyberpress.org/icmacos-becomes-persistent-rat/

相关信息：

SOCRadar 报告显示，ICMacOS（Icarus macOS）MaaS 恶意软件完成能力升级，从仅执行一次性凭证窃取的 macOS 信息窃取程序演变为持久 RAT；借助 ClickFix 社会工程投递，安装伪装成苹果系统更新的 LaunchAgent 持久驻留，通过 WebSocket 建立 C2 长连接，提供交互式远程 Shell；保留钥匙串、加密钱包窃取，新增 SSH、AWS、Kubernetes 开发者凭证采集；由 GlowComa 在俄语地下论坛按月 / 双周 / 周订阅对外售卖，威胁 Mac 开发工作站与后端云基础设施。

02

用户开机前手机已遭攻陷：Midnight Mimosa 恶意软件兴起

披露时间：2026年10月08日

情报来源：https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware

相关信息：

Bitdefender研究人员披露了一起名为Midnight Mimosa的大规模恶意软件行动，该行动针对基于联发科平台的低价多品牌安卓手机。恶意软件在手机出厂固件中预装，以平台签名系统应用形式存在，用户首次开机前即已感染且无法卸载。其核心组件利用原生库隐藏并加载特权框架，可静默安装卸载应用、授予任意权限并执行远程代码，通过伪造界面实施广告与点击欺诈，并将设备招募为住宅代理节点组建僵尸网络。调查还发现十三款上架Google Play的正规应用与恶意代码共享同一基础设施。该活动波及全球一百五十多个国家，以墨西哥、法国和意大利为主，涉及深圳Zediel签名的固件及大量仿冒名牌手机。由于组件位于系统分区，用户无法自行清除，修复需依赖厂商和电商平台解决固件供应链问题

03

Warden Stealer：快速崛起的信息窃取木马，专门掠夺 AI 智能体数据

披露时间：2026年10月08日

情报来源：https://www.gendigital.com/blog/insights/research/warden-stealer-rust-infostealer-analysis

相关信息：

Gen Digital报告称，Warden Stealer是2026年出现的Rust编写MaaS信息窃取器，自带加载器和加密货币剪切器，短短数月已成为其用户群中最流行的窃取器之一。它是最早针对AI助手和代理编码工具（Claude、Codex、Grok、Cursor）本地配置和数据的窃取器之一，可窃取访问令牌、MCP凭据、提示历史和对话数据库。此前被称为CallbackBeaver，后通过Rust语言、代码变形、开发时间线、剪切器网络顺序等证据归因于Warden Stealer。其加载器以注入模式为主，将载荷注入explorer.exe，使用自定义Base64和LZSS混淆，并具备反虚拟机检查、应用绑定加密绕过、HTTPS二进制C2和动态配置下载执行额外载荷等能力。订阅价从90美元每周涨至149美元三天，企业版1500美元每月。作者可能位于俄语网络犯罪社区，故意避开独联体和波罗的海国家系统。

04

Unit 42 发现 PEERSTITCH：一款极其隐蔽的 FortiGate 防火墙植入后门

披露时间：2026年10月14日

情报来源：https://unit42.paloaltonetworks.com/fortimanager-cve-2024-47575-peerstitch-malware/

相关信息：

Unit 42调查了一起针对电信托管服务提供商的长期网络入侵，将其追踪为CL-STA-0954。攻击者首先利用FortiManager漏洞CVE-2024-47575实施初始入侵，从中央管理设备窃取包含五百余台受管防火墙运行配置、凭据及加密信任材料的档案，随后暴力破解凭据建立非法VPN会话，并通过流量嗅探收集网络信息。攻击者随后利用FortiOS自动脚本路径遍历漏洞CVE-2025-61624提权至根权限，部署新型内存驻留ARM64恶意软件PEERSTITCH。该植入体不留磁盘文件、不监听端口、不发起外联连接，而是通过ptrace注入日志与VPN守护进程，在进程内存间建立隐蔽通信桥并绕过安全校验，令传统端点与网络检测难以发现。攻击者还利用Apache mod\_md模块的ACME协议建立持久化反向Shell，并冒充管理平台从其他受管防火墙拉取配置。调查强调集中式边缘管理平台已成为最高价值攻击目标，平台失守后其信任材料在轮换前持续有效，防御方须实施最高等级的零信任隔离。

漏洞情报

01

微软补丁日通告：2026年10月版

披露时间：2026年10月14日

情报来源：https://mp.weixin.qq.com/s/O8BS-zv196FH2Vjz8fZbzw

相关信息：

本月微软共发布1413个漏洞补丁，涉及Windows Shell、Active Directory域服务、Exchange Server等多款产品，影响规模达千万级，攻击者利用这些漏洞可实施权限提升和远程代码执行。经研判，其中有64个漏洞值得关注，包括1个已发现在野利用的Windows Shell安全功能绕过漏洞CVE-2026-96951，以及36个紧急级别漏洞。微软将30个漏洞标记为已遭利用或更容易被利用，涵盖Exchange远程代码执行与欺骗、Active Directory域服务远程代码执行、Windows内核与Win32k等多个权限提升漏洞。所有漏洞目前均未公开技术细节和PoC。奇安信评估整体风险为高危、利用可能性高，建议用户尽快通过Windows自动更新或奇安信天擎控制台将补丁库更新至2026年10月14日版本并安装更新。

点击阅读原文至ALPHA 9.3

即刻助力威胁研判