攻击者劫持 300 多个 Tor 出口中继，将 SSH 连接重定向至拦截服务器窃取密码
研究人员 kaba 发现，10 月初有攻击者控制 300 多个 Tor 出口中继，把经 Tor 发起的 SSH 连接重定向到 12 台拦截服务器，窃取用户输入的登录密码。
为什么值得看：复盘披露攻击者借 Ebury 后门控制 300 多个 Tor 出口中继，把 SSH 连接引向拦截服务器窃取密码，并给出可操作的排查线索。
#Linux
The Hacker News精选AI 评分7878 Cisco Talos 情报博客同事件AI 评分7878 eMudhra 八个中间证书私钥强度不足被泄露，Go 以 CVE-2026-111943 修复
Cisco Talos 披露 eMudhra 八个中间 CA 证书的私钥仅具 3–8 位熵，持有者可冒充任意网站或服务；Chrome、Mozilla、Apple 已封禁其中六个 TLS 证书，Microsoft 封禁两个代码签名证书。
同一件事，精选收录的是《eMudhra 中间 CA 密钥生成缺陷 PoC 从公开证书恢复 8 个私钥》
Graham Cluley 安全AI 评分4242 Smashing Security 播客第 489 期：一款全新加密钱包如何内置间谍软件
Smashing Security 播客第 489 期讨论了全新加密钱包可能内置间谍软件的风险，并提醒用户钱包未必如想象中安全。节目还提到洗衣机广告可能试图获取手机访问权限，并采访 Origin 的 Spencer Thompson 谈 AI agent 在员工笔记本上的活动。
Rapid7 研究与公告精选AI 评分9393 Rapid7 复盘 NetScaler 入侵：串联 CVE-2026-88771 与 CVE-2026-88779 实现 root 执行
Rapid7 披露一起 Citrix NetScaler ADC 设备被入侵事件，攻击者串联 CVE-2026-88771（免认证日志投毒/RCE）与 CVE-2026-88779（SAML 解析崩溃）取得 root 代码执行。
为什么值得看：复盘把两个漏洞的串联顺序、重启后重复执行与 HA 持久化讲清楚，并给出可落地的排查路径。
SANS ISC 日记AI 评分2222 SANS ISC 日记：DShield 蜜罐捕获 Panchan P2P 挖矿蠕虫样本分析
DShield 蜜罐捕获到 Panchan 挖矿蠕虫样本，该蠕虫用 Golang 编写、属 P2P 僵尸网络，2022 年首次被发现，通过窃取 SSH 密钥横向移动并借助 rootkit 维持访问。
Palo Alto Unit 42AI 评分5858 Unit 42 披露 CL-UNK-1211 针对政府 Linux 基础设施的 AI 辅助间谍活动
Unit 42 将 2025 年 10 月至 2026 年 4 月针对政府实体及国家附属基础设施的活动追踪为 CL-UNK-1211，攻击者使用 AI 生成的 PHP 与 shell 载荷，脚本中带有对话式注释和开发者推理说明。
Cisco Talos 情报博客AI 评分2222 Cisco Talos 季度漏洞观察：CVE 数量破 7 万，但发现不等于利用
Cisco Talos 在季度漏洞观察中指出，CVE 编号数量已突破 7 万，同比增长 105%，而 KEV 仅增长 37%。2025 年及更早的 CVE 仍占 KEV 的 33%，说明补丁缺口依然存在；2026 年 CVE 中发布日期与加入 KEV 日期相同的仅占 29%。网络设备相关 CVE 占比小幅升至 27%。
Cisco Talos 情报博客AI 评分5858 Cisco Talos 披露哈萨克斯坦关联组织 UAT-6275 针对独联体政府机构的攻击活动
Cisco Talos 与 Recorded Future Insikt Group 联合披露，UAT-6275（Recorded Future 编号 TAG-193）自 2025 年 6 月至 2026 年 8 月针对独联体九国政府机构开展攻击，受害目标涉及哈萨克斯坦、吉尔吉斯斯坦、塔吉克斯坦、土库曼斯坦、乌兹别克斯坦、亚美尼亚、阿塞拜疆、俄罗斯和白俄罗斯。
安全客AI 评分6767 软银旗下IDCF Cloud遭勒索攻击，7分钟加密3.6PB数据、495家客户受影响
日本软银旗下云服务商IDC Frontier（IDCF Cloud）东日本第1区域遭勒索攻击，攻击者称7分钟内加密3.6PB主存储数据，涉及239台虚拟化宿主机、225个数据存储区和至少1.66万块虚拟机磁盘，并摧毁554153份快照、造成41.5PB备份容量损失。
Kaspersky Securelist精选AI 评分6262 Mirage Kitten 以伪造编码挑战投递 NodeRabbit 与 PollCat 后门，瞄准中东非洲航空与金融科技
Kaspersky 披露 Mirage Kitten 的新恶意软件 NodeRabbit 与 PollCat，两者均为跨平台 RAT，分别用 Node.js 和混淆 JavaScript 编写，通过 LinkedIn 等招聘平台冒充招聘方发送含木马的编码挑战压缩包投递。
为什么值得看：披露 Mirage Kitten 首次改用 Node.js 与 JavaScript 后门，并给出完整感染链与 C2 通信细节，可供防御方比对招聘诱饵与开发环境持久化痕迹。
Trend Micro 研究与公告精选AI 评分7676 Trend Micro 解读首个自主 AI 代理勒索攻击 JADEPUFFER
Trend Micro 解读 Sysdig 本月记录的 JADEPUFFER 事件，称其为首个由 AI 代理自主完成的勒索入侵，从利用 Langflow 的 CVE-2025-3248 免认证 RCE 进入，到加密并删除约 1,342 条 Nacos 配置记录、留下勒索信，全程无人工介入。
为什么值得看：Sysdig 记录的 JADEPUFFER 案例显示代理可自主完成从入侵到破坏的全流程，但勒索变现环节失败，可据此理解行为检测的落点。