2026-11-01 17:50:15 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

暗线周刊-第2026-003期（公开版）

原创

网空闲话
网空闲话

网空闲话plus

2026年11月1日 07:24
北京

去阅读

全球隐蔽行动与安全趋势第2026-003期｜公开版

2026年11月1日（星期日）

看见看不见的安全博弈

本期导读

网络隐蔽行动呈现合法服务、边缘设备和人工智能接口组合使用的特征：Coruna包含5条漏洞利用链和23个漏洞，Silent Train可在不到2分钟内重建中继链，KeyDrift直接作用于Cisco SD-WAN控制平面。

侦察能力建设覆盖太空、平流层、航空和无人系统。DIA于10月26日发布第三版《太空安全挑战》，HADES于9月11日首飞，法国接收首架Archange，英国AETHER计划于2027—28财年开展验证飞行。

情报合作的制度因素更加突出。德国BND前局长案件、韩美情报共享争议、GCHQ可移动存储介质管理问题、日本外国代理人登记方案和美国FISA监督争论同时出现。

全文按技术事实、官方通报、司法程序、媒体调查和平台声称分别表述；公开版不收录个人敏感信息、地下联络方式及缺乏独立证据的个人指控。

样本统计

归集日期	实提取	剔除	可用	编辑说明
10月26日	25	1	24	剔除1条仅有文件分享链接、无正文说明的素材
10月27日	33	3	30	剔除1条无关闲聊、1条无正文推广及1条单纯IOC
10月28日	28	2	26	剔除1条极简无实质信息帖及1条单纯IOC
10月29日	37	3	34	剔除1条无正文短帖、1条单纯IOC及1条2022年历史视频
10月30日	46	4	42	剔除2条历史视频、1条单纯IOC及1条无关社交动态
10月31日	90	11	79	剔除7条历史视频、1条无效翻译、2条无正文帖及1条服务广告
合计	259	24	235	跨日重复按同一事件归并，不逐条计为新增

注：剔除项仅指明显无关、无正文、单纯IOC、无效翻译、服务广告或历史视频。可用素材235条不等于235个独立事件；重点事件／议题登记由编辑部留存，跨日重复另行归并。

图：六份素材清洗结果。图中“可用”仅表示进入编辑底账，不代表全部纳入正文。

核心发现

✓

发现一｜隐蔽技术链：合法服务、边缘设备与AI接口正在形成组合式隐蔽通道。

Silent Train通过轮换受控路由器和企业设备隐藏来源，Coruna在广告流量侧筛选目标，KeyDrift在SD-WAN控制平面保持访问，NIK C2则调用OpenAI API并使用受害者本机密钥。AI在当前案例中主要承担代码生成、内容处理和任务提速功能。

✓

发现二｜实体暴露面：情报与破坏风险已从传统计算设备扩展至摄像头、硬件钱包、制冷控制和法律业务系统。

Operation CameraSwarm涉及超过14530台摄像头，Trezor Safe 5疑似植入案例指向恢复短语窃取，美军基地至少6家商店出现制冷设备异常，法律行业则有82%的观测活动具有经济动机。

✓

发现三｜侦察能力链：太空、平流层、航空和无人侦察项目处于不同建设阶段。

DIA报告和2024年航天器图像属于情报发布，HADES处于任务系统集成与开发试飞阶段，Archange进入交付阶段，AETHER仍属未来验证计划，ISR Mapper和TEKEVER分别体现战术无人侦察与特种作战采购。

✓

发现四｜混合行动链：低成本代理人、跨境招募和破坏性网络行动并行发展。

罗马尼亚破坏网络调查、德国之声对拉美裔人员招募的调查、俄罗斯关于聊天机器人招募的通报以及FrostyNeighbor数据销毁案例，覆盖招募、侦察、纵火、数据销毁和司法处置等环节。

✓

发现五｜合作治理链：内部保密、监督问责和行政程序直接影响情报合作。

BND案件触发美德合作审查，韩国国情院确认赴美人员签证已获批，IPCO披露GCHQ记录管理和目标识别缺陷，日本、英国和美国的相关材料则分别涉及代理人登记、AI辅助决策和秘密裁决公开。

一、网络隐蔽行动：合法服务、边缘设备与目标筛选

The Record10月26日报道称，塞尔维亚相关选举结果引发对数字镇压问题的集中讨论。大赦国际、公民实验室和SHARE基金会分别记录了Cellebrite数据提取、Pegasus零点击感染及针对反对派的监控；SHARE基金会称2026年已有至少15人的设备遭到雇佣兵间谍软件攻击。苹果向99个国家的特定用户发出新一轮威胁通知，其累计通知范围已超过150个国家。

DarkSword P7通过恶意Instagram广告和受控网页投递，目标包括钥匙串、设备信息及加密货币钱包，攻击依赖旧版iOS环境。Coruna包含5条漏洞利用链和23个漏洞，覆盖iOS 13.0—17.2.1，并在执行前筛选设备型号和系统版本。ADEX在2026年1—9月识别约50个采用同类筛选逻辑的广告账户，恶意iOS脚本在暂停案例中占20%。

Black Lotus Labs称，Silent Train自2023年底以来轮换受控路由器、物联网设备和企业基础设施，新中继链可在不到2分钟内重建。Talos以高置信度评估UAT-11473基础设施与Silent Train存在重叠，其KeyDrift框架可在Cisco SD-WAN控制平面保持访问并提取密钥材料。Cisco已发布CVE-2026-20127补丁及加固指南。

uCreator具备窃取Telegram双重验证密码和克隆微信账户的能力。Miasma蠕虫在42个npm代码仓库中植入12.9—13.7MB载荷，以规避代码搜索并窃取凭证。NIK C2支持52项以上命令，并通过ai\_generate命令调用OpenAI API；若攻击者未提供密钥，程序会读取受感染主机中的OPENAI\_API\_KEY。

CrowdStrike称，2023—2026年针对法律行业的网络入侵接近翻倍，经济动机行为占观测活动的82%。CVE-2026-41709用于削弱VMware ESXi日志记录，CVSS评分为2.7并需要管理员权限；相关密码喷洒活动影响超过340家组织，勒索团伙点名的法律组织达到455个，同比增长39%。

Stingy Basilisk被报在俄罗斯政府机构网络潜伏1398天，使用多种加载器和命名管道构建控制链。FrostyNeighbor于2026年5月底对乌克兰一家交通制造企业实施数据销毁，ESET将其记录为该组织从网络间谍向破坏性行动转变的首个案例。

Operation CameraSwarm在2026年6月17日—7月22日攻陷超过14530台大华摄像头，并在近2000台设备上部署持久后门账户。Trezor Safe 5疑似植入案例涉及额外电路板、蜂窝模块和天线，目前仅有1台设备被报告，尚无资金损失报告。DDoSecrets发布约41000条美国国土安全部情报与分析办公室人员记录，其中包含历史人员信息。

GMO互联网确认FX自动交易VPS服务遭遇勒索事件，受影响服务器约26000台，公司设立100万美元悬赏。韩国计划在年底前检查约170个通信、平台和金融设施。五角大楼正在调查2026年8月美军基地冷冻柜故障，至少6家基地商店受影响，部分设备自行切换至除霜模式；调查人员已与法国同行交换信息，故障是否由网络攻击导致仍在调查。

二、军事防务与太空：项目节点、历史图像与预测分层

美国国防情报局于10月26日发布第三版非机密报告《太空安全挑战》。报告收录的中国可重复使用试验航天器图像由Maxar（现名Vantor）商业卫星拍摄于2024年，画面显示双垂尾、开启的载荷舱和展开的太阳能电池板。报告未公开具体载荷、推进性能或任务细节。

DIA统计，截至2026年7月，中国拥有超过510颗情报、监视和侦察卫星，包含政府和商业系统。DIA预测中国可能在2029年底前部署太空定向能武器，报告同时涉及地基激光、电子战和反卫星能力。

乌克兰国防情报局称，49家俄罗斯和白俄罗斯机构参与Rassvet低轨卫星通信系统，规划部署292颗卫星。乌方披露的Filin巡航导弹配备R500涡轮喷气发动机，并包含来自美国和中国制造商的部件；俄方宣称射程1200公里、时速800公里、战斗部50—100公斤。乌方称，Geran无人机新增的MOKH模块与左右机翼传感器构成三点测量系统，用于无卫星信号条件下的自主导航。

美国陆军HADES于2026年9月11日完成首飞，目前处于任务系统集成和开发飞行测试阶段。法国接收首架Archange信号情报机，该机以猎鹰8X为平台，机上配置8名情报人员。英国AETHER项目计划于2027—28财年开展多载荷、长续航平流层验证飞行，目标包括利用太阳能实现数周至数月驻空。

ISR Mapper最大起飞重量5.5千克、续航30—50分钟、标称射程超过100公里，支持GNSS拒止导航和星地数据融合。美国特种作战司令部采购TEKEVER无人机系统，数量、型号和配置未公开。CGI获得英国PICASSO客户端支持合同。

美国2026财年军事情报计划预算为309亿美元，国家情报计划预算为781亿美元，两项预算均未覆盖全部美国情报支出。德国与韩国同意建立强化战略伙伴关系并推动缔结《军事情报保护协定》。

三、俄乌与欧洲混合威胁：破坏网络、反渗透和司法增量

罗马尼亚情报局称，俄方协调的破坏网络与2026年9月14日布拉索夫一家国防工业设施附近火灾及未遂行动有关，涉案人员包括2名白俄罗斯公民和1名乌克兰公民。德国之声调查则描述了通过Telegram招募拉美裔人员，在波兰、捷克和立陶宛执行纵火、涂鸦和侦察任务的模式。

塞浦路斯地区法院驳回英国就阿克罗蒂里基地案件提出的引渡请求，案件将重新提交利马索尔刑事法院。奥地利政府宣布4名涉嫌间谍活动的俄罗斯外交官为不受欢迎的人。英国检方依据《国家安全法》起诉2名24岁男子，指控涉及RAF Fairford基地侦察、车辆和汽油准备；伊朗驻英大使否认伊方协调相关活动。波兰警方逮捕一名55岁俄罗斯公民，称其拍摄铁路设施，并在数字存储设备中发现数十万个交通基础设施图像文件。

德国检方指控BND前局长August Hanning及前幕僚长Manfred D.涉嫌泄露国家机密和从事情报活动，Hanning否认指控。美国情报机构随后通知德方审查合作，并保证紧急情况下继续共享反恐信息；德国官方称合作照常。

乌克兰总参谋部和总统泽连斯基称，乌军于10月29日在马里诺夫卡机场摧毁2架苏-34，并摧毁1套伊斯坎德尔弹道导弹发射装置。另有开源频道声称1架苏-57在阿克休宾斯克机场烧毁，拍摄时间和残骸型号未获独立核实，俄方未证实。

美联社相关转述称，2026年7月1日—10月19日发生的40次对沙特袭击与俄罗斯卫星飞越存在时间相关性。报道列出9月10日东西管道3座泵站遇袭前的卫星活动，并援引胡塞代表关于伊朗顾问提供情报的说法。俄罗斯联邦安全局和内务部调查委员会称，乌克兰情报人员利用Telegram聊天机器人招募俄罗斯青年，自2025年7月以来已有56名12—24岁嫌疑人被捕。上述人数、年龄和行动手法均为俄方通报口径。

四、情报治理与同盟关系：监督、程序与信任约束

日本政府10月26日提出外国代理人登记制度、恶意干预罚则和国家情报战略方案，列出隐瞒外国政府关系介入政策、影响舆论和选举、提供财产利益改变政策三类行为，目标是最快于2027年例行国会提交相关法案。

开放权利组织报告称，英国内政部门在移民系统中使用面部识别、庇护面试摘要和Ipic案件优先排序工具。内政部门回应称AI仅辅助人类决策，并承诺公布最新评估。

美国2名参议员指控政府在推动监控授权续签时扣留一项FISA法院秘密裁决。

英国IPCO在2025年年度报告中称，GCHQ无法清楚说明数千个可移动存储设备的去向。GCHQ将问题定性为记录保存缺陷，并称已采取整改措施。报告另记录目标发现方法不可靠导致少数无辜公众被错误识别并接受反恐调查的情况。

韩国国家情报院表示，此前受签证延迟影响的赴美职员已全部获批并正常工作，签证问题源于美国入境程序整体收紧。韩国部分社论另称对朝卫星情报共享和韩美日网络威胁会议参与受到影响；国情院承认存在有限共享限制，同时称其他领域合作正常。

五角大楼禁止军人、情报人员和文职人员利用未公开信息参与预测市场。此前已有军人因利用委内瑞拉行动机密信息获利约41万美元而被起诉。法国国内安全总局反间谍和反恐部门分别调整负责人。日本媒体披露神奈川县至少5个警察署存在将失效驾驶执照移交警备课的情况。

韩国国家情报院评估，金正恩访问丹东期间可能向中方传达朝美对话立场，并称金主爱约60%的公开活动涉及军事领域。

euobserver公布的2022年WhatsApp聊天记录涉及比利时前欧盟委员Didier Reynders与情报部门高级官员。Reynders于2024年12月遭警方搜查，2025年被控洗钱约100万欧元。

五、中东与南亚：跨境反恐、情报指控与供应链叙事

多条素材将土耳其国家情报组织的跨境行动指向一名代号Abdullah的土耳其公民，称其为ISIS-K关键人员。素材对被捕时间和地点存在多种记载，本批素材未收录土方正式通报。

巴基斯坦相关社交账号称，巴方实施67次情报主导行动，击毙50余名、逮捕100余名ISKP相关人员；ISKP随后实施6次报复性袭击，造成42人死亡、85人受伤。另有通报分别记录南瓦济里斯坦3名武装人员和一次联合行动中5名武装人员被击毙。

印度媒体披露，旁遮普邦一对夫妇因涉嫌获取边境陆军信息被拘留，相关人员被指冒充高级警官或军官建立短期通信渠道。安得拉邦警方在防火墙-2026行动中逮捕2人，指控其协助巴基斯坦情报人员激活WhatsApp账户。

伊朗塔斯尼姆通讯社称，安全部队在克尔曼沙赫省逮捕2人，缴获10台星链终端和10支AK-47步枪。素材中的弹药数量存在5200发与5000发两种记载，弹药类型表述也不同。视频转述的路透社调查称，伊朗使用5000多家军事采购机构，自2025年1月以来进口至少20亿美元物资，货物来源涉及中国、俄罗斯和德国。另一项单一机构23亿美元的数字采用不同统计口径。

伊朗伊斯兰革命卫队声称缴获1架美国MQM-170无人机并击落1架MQ1无人机，美方未证实。美国国家情报总监发送给国务卿的非机密备忘录称，伊朗针对海外美国官员和外交官的部分致命图谋已进入后期阶段。相关视频转述称，美国副总统JD Vance提议会见伊朗最高国家安全委员会秘书Mohsen Rezaei，讨论核协议；德黑兰尚未正式回应会面提议。

六、涉华叙事与台海议题：政策、司法与舆论分层

中国商务部10月26日公布《保护中国商业秘密特别规定（征求意见稿）》，共10条，反馈截止日期为11月24日，目前处于公开征求意见阶段。征求意见稿列出限制或禁止进出口、国际服务贸易、新增投资和相关人员入境等措施。

美国司法部相关案件材料显示，Liren Lai和Yuance Chen于10月30日分别被判处30个月监禁和3年狱后监督。两人被指自2021年起参与招募美军人员、搜集军事设施信息和使用死信箱交付现金。美国国务院制裁5家中国实体，涉及上海智算科技、MiraclePlus及3家关联实体。相关司法材料显示，丁林伟被裁定7项商业秘密盗窃罪名成立，另外7项经济间谍指控被裁定无罪。

央视发布吉林一号拍摄的台湾街景影像，画面包括中正纪念堂、台北故宫和台北港；解放军东部战区发布相关军事海报。台湾防务部门负责人顾立雄10月27日将其定性为认知作战，并表示台军将采取预警、隐蔽和机动分散措施。

日方称，中国海洋调查船同济号于10月30日在波照间岛西南约141公里海域开展疑似调查活动；中国海军舷号798情报收集舰于10月29日穿过大隅海峡进入东海，日方派出金刚号和阿武隈号警戒监视。韩国媒体援引起诉书称，一名前军队信号情报人员于2024年3月至2026年8月实施13次通信拦截，其中7次与韩美或韩美日演习重合。

胡佛研究所文章讨论智库和咨询公司被用于情报招募的风险，《外交事务》文章建议建立印太盟友国防工业安全评分体系并扩大情报共享。另有视频转述称，美国联邦通信委员会拟限制中国实验室参与电子产品认证，相关措施拟于2028年12月生效。

台湾地区地方选举材料中，赖清德提醒民进党团队防范境外介入，媒体人陈国祥则批评精准介选说法缺少实证。两种表述分别属于执政党警告和媒体评论。

七、暗网与平台：泄露声称、招募需求与证据增量

ShinyHunters多次声称入侵韩国国防部和军队反间谍司令部并获取约1TB数据，所列内容包括组织结构代码和内部文件。韩国官方确认和完整样本验证未出现在素材中。

另一组帖文声称持有8000名美国陆军人员资料、38000名以色列警察资料、2009—2026年FBI与CIA人员信息及超过1000万个案件档案。另有账号声称掌握摩萨德地图和4.2TB数据库，相关规模和密级均来自发布者自述。

暗网帖子声称公开近7000条委内瑞拉军事情报局员工记录，所列字段涉及身份、职务、薪资和联系方式。

针对台湾地区的两条OSINT招募信息寻求政府、国防和军事文件，合作条件包括交换、署名或报酬。另一条帖子求购中国政府或企业数据和文件，未列明具体目标、数量或价格。

RemoteCOM和Priv8Tool相关帖子均设置回复后可见，现有素材只能确认泄露或代码分享声称。地下市场另出现包含多种Android远程访问木马和教程的组合套餐。

八、下周观察：只跟踪可验证的证据增量

下周观察聚焦以下事件节点、正式文件、技术证据和司法进展。

Silent Train与KeyDrift：受影响设备类型、CVE-2026-20127补丁实施、控制平面日志和独立取证。

DarkSword与Coruna：受影响iOS版本、广告账户、投递基础设施和实际受害范围。