微软将 ConnectWise Cloud Backup 供应链攻击归因于中国关联组织 Storm-0940
微软在周三发布的报告中，将滥用 ConnectWise Cloud Backup 攻击 Microsoft 365 租户的供应链攻击归因于中国关联组织 Storm-0940，该组织使用名为 Artex 的 AI 渗透测试工具自动化攻击全球数百家机构。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
#Microsoft
Cybersecurity Dive同事件AI 评分8888 The Record同事件AI 评分8080 微软将 ConnectWise 供应链攻击归因于中国背景黑客组织 Storm-0940，其借助 ARTEX AI 智能体框架发起攻击
微软称，中国政府支持的黑客组织 Storm-0940 使用 AI 渗透测试框架 ARTEX 对 ConnectWise 发起供应链攻击，并试图入侵全球数百家机构。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
BleepingComputerAI 评分4040 ClickFix 攻击规模创新高，AI 工具成最具迷惑性的诱饵
ClickFix 攻击在 2026 年 Q2 平均占 Push 检测量的 52%，8 月升至 67%，首次超过 AiTM 与设备代码钓鱼。
The Hacker News精选AI 评分8888 eMudhra 八个中间 CA 私钥被攻破，浏览器与软件紧急吊销
Mozilla 与 Chrome Root Program 于 10 月 20 日确认 eMudhra 八个中间 CA 证书的私钥已被攻破，Chrome 与 Firefox 在收到报告后数小时内封锁了这八张证书。
为什么值得看：八个中间 CA 私钥因密钥仪式缺陷可被公开推算，事件串起浏览器、Go、Linux 发行版与证书信任链的连锁处置。
The Hacker News精选AI 评分8383 微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击
微软披露，中国国家关联组织 Storm-0940 是近期 ConnectWise Cloud Backup 供应链入侵的实施者，其在攻击中用 Go 编写的代理式 AI 渗透测试框架 ARTEX 加速扫描侦察、密码喷洒和 OAuth 应用滥用。
为什么值得看：微软披露 Storm-0940 借 ConnectWise Cloud Backup 供应链入侵，用 AI 代理把跨租户密码喷洒推到每分钟 2900 次。
CyberScoopAI 评分6565 eMudhra 因私钥可被秒级重算停止签发 SSL/TLS 证书
印度 CA 机构 eMudhra 宣布停止签发 SSL/TLS 证书，此前研究人员证明其八张中间证书的私钥因随机性不足可在不到一秒内重算，其中一张私钥仅为数字 4。
BleepingComputerAI 评分2222 攻击者入侵后15分钟内即枚举或窃取数据，Exaforce 分析三类机器速度攻击模式
Exaforce 分析显示攻击者进入环境后 15 分钟内即开始枚举或窃取数据，而本应发现它们的工具未能生效。三类常见模式包括：开发者 OAuth token 被盗后从 GitHub 窃取代码、ClickFix 借 Claude Code 安装指令投递 macOS 窃密程序、以及冒充 IT 的语音钓鱼骗取真实 MFA 认证。
CSO Online同事件AI 评分8282 与中国有关联的黑客利用 agentic AI 攻击 2,250 个 Microsoft 365 租户
微软威胁情报将利用 ConnectWise Cloud Backup 窃取凭证、攻击 2,250 多个 Microsoft 365 租户的活动归因于 Storm-0940，该组织最早自 2026 年 9 月起使用开源 agentic AI 框架 ARTEX 自动化攻击。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
Infosecurity Magazine同事件AI 评分8888 微软称中国国家背景组织 Storm-0940 用 AI 框架 ARTEX 攻破 ConnectWise 的 Microsoft 365 租户
微软将 ConnectWise 使用的 Microsoft 365 租户被攻破归因于中国国家背景组织 Storm-0940，该组织自 2026 年 9 月起使用 agentic AI 渗透测试框架 ARTEX 针对全球数百家机构，常在初始定向后不到三小时取得云基础设施的特权访问。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
Kaspersky SecurelistAI 评分6060 APT41 用 BlackX UEFI bootkit 攻击中亚外交机构
卡巴斯基 GReAT 在 2026 年初发现针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦外交机构的 APT 攻击，攻击者获取管理员权限后投放与 BlackLotus 相似的 UEFI bootkit，命名为 BlackX，利用 Baton Drop（CVE-2022-21894）绕过 Secure Boot。
Cisco Talos 情报博客同事件AI 评分7878 eMudhra 八个中间证书私钥强度不足被泄露，Go 以 CVE-2026-111943 修复
Cisco Talos 披露 eMudhra 八个中间 CA 证书的私钥仅具 3–8 位熵，持有者可冒充任意网站或服务；Chrome、Mozilla、Apple 已封禁其中六个 TLS 证书，Microsoft 封禁两个代码签名证书。
同一件事，精选收录的是《eMudhra 中间 CA 密钥生成缺陷 PoC 从公开证书恢复 8 个私钥》
微软安全博客同事件AI 评分8888 微软称 Storm-0940 借 ARTEX 框架发动 AI 驱动攻击，导致 ConnectWise 供应链失陷
微软将近期披露的 ConnectWise 多租户应用供应链失陷归因于中国背景攻击组织 Storm-0940，该组织最早自 2026 年 9 月起使用开源代理式 AI 渗透测试框架 ARTEX 自动化攻击全球数百家组织，部分案例从初始定位到取得云环境特权访问不足 3 小时。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
CyberScoop同事件AI 评分8383 微软将 ConnectWise 供应链攻击归因于中国背景组织 Storm-0940
微软研究人员将针对 ConnectWise 客户的供应链攻击归因于其追踪为 Storm-0940 的中国背景威胁组织，该组织最早自 2026 年 9 月起使用 AI 渗透测试框架 ARTEX 自动化攻击全球数百家机构。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
Cybersecurity DiveAI 评分5858 Symantec 披露 APT28 入侵北约成员国造船厂等目标的间谍行动
Symantec 研究人员称，与俄罗斯关联的 APT28（Fancy Bear）在为期两个月的行动中入侵了一个北约成员国的造船厂网络，并同时针对执法机构和一家航空航天发动机制造商。
Cisco Talos 情报博客AI 评分3333 Cisco Talos 披露攻击者滥用 Staples 与 Dell 订单通知邮件管道投递诈骗内容
Cisco Talos 发现攻击者滥用 Staples 和 Dell 的订单通知邮件管道，两起活动合计约 1,400 封邮件，恶意内容藏在订单详情字段中，诱导收件人拨打攻击者控制的电话。这些邮件通过 DKIM 与 DMARC 验证，信任来自合法零售基础设施而非伪造发件人。Talos 建议将订单通知视为敏感内容，对渲染字段中的异常电话号码、URL 和紧急措辞进行拦截或标记。
CyberScoop精选AI 评分8888 ConnectWise Cloud Backup 因 API 密钥泄露遭供应链攻击，数百客户受影响
ConnectWise 的 Cloud Backup 服务因一个高敏感 API 密钥被威胁行为者获取而遭供应链攻击，该密钥可让客户把厂商应用与 Microsoft 365 环境连接。
为什么值得看：事件披露了多租户应用凭证泄露后攻击者如何绕过 MFA 并在租户内留后门，可供使用第三方 SaaS 备份的团队排查。
HackreadAI 评分2222 Ocean Security 披露 Phantom Preview 钓鱼活动：滥用 Frame.io 通知窃取 Microsoft 365 凭据
Ocean Security 发现名为 Phantom Preview 的 AiTM 钓鱼活动，滥用 Adobe Frame.io 合法共享通知投递伪造 Microsoft 365 登录页，两小时内向单一企业租户发送 22 封邮件。
Security AffairsAI 评分5050 Darktrace 披露用 Discord 充当 C2 的 Rust 远控木马 CikaBika Bot
Darktrace 记录了一起分发 Rust 远控木马 CikaBika Bot 的攻击活动，该木马完全通过 Discord 频道接收指令并回传数据。
Dark ReadingAI 评分2828 研究人员渗透冒充 Microsoft 的技术支持诈骗团伙
研究人员渗透了一个冒充 Microsoft 的大规模技术支持诈骗团伙，该团伙使用由俄罗斯组织运营的恶意流量分发系统（TDS），并滥用数千个 Cloudflare 链接。
Dark ReadingAI 评分5858 ConnectWise 因下游 MSP 风险关闭云备份，研究人员称攻击者用其凭证登录 Microsoft 365 租户
研究人员称，攻击者使用 ConnectWise 凭证通过认证进入 Microsoft 365 租户；ConnectWise 表示客户影响尚未确认，并已关闭云备份。报道同时提到外界对下游 MSP 受波及的担忧。
Cybersecurity Dive同事件AI 评分8585 ConnectWise 因针对 Microsoft 365 用户的供应链攻击暂停 Cloud Backup 服务
ConnectWise 在发现一起疑似供应链攻击后暂停了 Cloud Backup 服务，SaaS Security 与 Cloud Management 也一并暂停；一名发言人表示没有证据显示合作伙伴的备份数据遭到泄露。
同一件事，精选收录的是《ConnectWise Cloud Backup 因 API 密钥泄露遭供应链攻击，数百客户受影响》
HackreadAI 评分4242 伪造日历邀请针对 4 万家企业窃取 Microsoft 凭据
Check Point 研究人员发现，超过 4 万家企业收到伪装成 Microsoft Teams 会议邀请的钓鱼邮件，用于窃取 Microsoft 账户凭据。
CSO Online同事件AI 评分7878 ConnectWise Cloud Backup 凭证泄露，Huntress 确认 162 个 Microsoft 365 租户出现未授权登录
ConnectWise 的 Cloud Backup 平台凭证被泄露，攻击者用它以应用身份获取 Microsoft Graph 令牌并登录客户 Microsoft 365 租户，Huntress 截至 10 月 16 日 19:00 UTC 确认 162 个租户出现未授权登录。
同一件事，精选收录的是《ConnectWise Cloud Backup 因 API 密钥泄露遭供应链攻击，数百客户受影响》
Infosecurity Magazine同事件AI 评分7878 ConnectWise 因 Microsoft 365 租户遭未授权访问下线多项云服务
ConnectWise 在发现攻击者未授权访问 Microsoft 365 租户后，下线了 Cloud Backup（原 SkyKick）、SaaS Security 和 Cloud Management 等云服务。
同一件事，精选收录的是《ConnectWise Cloud Backup 因 API 密钥泄露遭供应链攻击，数百客户受影响》
Security Affairs同事件AI 评分7878 攻击者利用窃取的 ConnectWise 应用凭证访问 Microsoft 365 租户
ConnectWise 发现未知攻击者未经授权访问了其 7 个应用身份，这些身份关联 ConnectWise Cloud Backup（原 SkyKick），公司于 10 月 17 日停用受影响身份，并暂停 Cloud Backup、SaaS Security 和 Cloud Management 服务。
同一件事，精选收录的是《ConnectWise Cloud Backup 因 API 密钥泄露遭供应链攻击，数百客户受影响》
HackreadAI 评分5858 Citizen Lab 披露广告投放向 Al Jazeera 设备投递 Candiru 间谍软件
Citizen Lab 与广告安全公司 Confiant 披露，无需点击的定向广告被用于向 Al Jazeera 设备投递 Candiru 商业间谍软件，2024 至 2025 年间至少 45 台设备被针对，该手法被命名为 AdFection。
Cisco Talos 情报博客AI 评分2222 Cisco Talos 季度漏洞观察：CVE 数量破 7 万，但发现不等于利用
Cisco Talos 在季度漏洞观察中指出，CVE 编号数量已突破 7 万，同比增长 105%，而 KEV 仅增长 37%。2025 年及更早的 CVE 仍占 KEV 的 33%，说明补丁缺口依然存在；2026 年 CVE 中发布日期与加入 KEV 日期相同的仅占 29%。网络设备相关 CVE 占比小幅升至 27%。
微软安全博客AI 评分5858 微软披露 Storm-3119 与 Storm-2990 钓鱼基础设施生态并协同执法干扰
微软披露一个中文网络犯罪生态，包括地下市场 YAM Store（追踪为 Storm-3119）和 CoGUI、Haozi、Iron Man System 三款钓鱼套件（追踪为 Storm-2990），并称已与执法机构及合作伙伴协同干扰该生态的主要开发者与基础设施。
Graham Cluley 安全AI 评分1212 GTA 6 泄露者 CyberLeek 威胁在游戏正式发售前放出完整可玩版本
泄露 GTA 6 的 CyberLeek 在发布约 25 分钟新画面后威胁放出完整可玩版本，条件是其所发加密货币市值达到 3000 万美元。CyberLeek 称质疑者可指定场景验证其掌握整个游戏，若游戏推出实体光盘并公开道歉则收手。Rockstar 母公司 Take-Two 正试图传唤 Microsoft 和 Discord 追查泄露者身份，GTA 6 定于 11 月 19 日发售。
Graham Cluley 安全AI 评分2222 美国悬赏 1000 万美元征集 Hafnium 黑客张宇下落，其被控参与 Microsoft Exchange Server 大规模攻击
美国国务院悬赏最高 1000 万美元征集 44 岁中国公民张宇的下落，其被控为 Hafnium（又称 Silk Typhoon）骨干，参与 2021 年初利用零日漏洞入侵 Microsoft Exchange Server。
Graham Cluley 安全AI 评分88 Smashing Security 播客第 487 期：Clippy 的加密货币回归
Smashing Security 播客第 487 期由 Graham Cluley 与 Danny Palmer 主持，讨论社交媒体账号诈骗案件上升，以及一起涉及历史恶名人物的网络攻击。节目还采访了 Hack The Box 的 Christine Bartlett，并提及 AI 代理被怀疑入侵七家韩国银行、ASOS 客户通过黑客自行发布的应用通知得知网站被黑等话题。
Palo Alto Unit 42AI 评分5858 Unit 42 披露伊朗关联组织 Blinder Tunnel 攻击伊拉克关键基础设施
Unit 42 将一伊朗国家关联组织针对中东关键基础设施的攻击活动追踪为 CL-STA-1178，其中代号 Blinder Tunnel 的行动于 2026 年 3 月攻击伊拉克关键基础设施目标，相关基础设施早在 2025 年 11 月已开始搭建。
Kaspersky SecurelistAI 评分6060 卡巴斯基复盘 NightEagle（APT-Q-95）针对俄罗斯企业的攻击活动
卡巴斯基 GERT 在过去一年调查了多起 NightEagle（亦称 APT-Q-95）入侵事件，该组织至少自 2023 年起活跃，此前主要针对亚洲组织，现已确认攻击俄罗斯企业。
Kaspersky Securelist精选AI 评分6262 ValleyRAT 伪装成广告软件 QN Wallpaper 经 DLL 侧加载投递
Kaspersky 分析一个 MD5 为 c24e99f9437feacaa63766a3cde3fe3d 的样本，发现其广告功能并不生效，而是通过篡改的 QN Wallpaper 以 libcef.dll 侧加载投递 ValleyRAT 后门。
为什么值得看：分析还原了广告软件签名进程被用于 DLL 侧加载投递 ValleyRAT 的完整链路，并给出 2026 年感染规模与 IOC。
Trend Micro 研究与公告AI 评分4040 Trend Micro 披露针对日本的大规模技术支持诈骗：165 天发送超 1300 万封邮件
Trend Micro 披露一起自 2025 年 12 月中旬持续至 2026 年 5 月的大规模技术支持诈骗邮件活动，165 天内观测到超 1338 万封邮件，94% 发往日本 ".jp" 域名，涉及超 24 万个 IP 地址和逾 3.3 万个一次性钓鱼站点。
Trend Micro 研究与公告AI 评分5050 设备码钓鱼滥用 OAuth 设备授权流程绕过 MFA 的手法与检测
Trend Micro 分析设备码钓鱼如何滥用 OAuth 2.0 设备授权授予流程，攻击者以自己的服务器发起真实设备码请求，诱导受害者在真正的 Microsoft 页面输入代码并完成 MFA，令牌随后被签发到攻击者服务器。
Trend Micro 研究与公告AI 评分5050 德国 BKA 与 ZIT 取缔 Kratos/Sneaky2FA 钓鱼平台，TrendAI 提供情报支持
2026 年 7 月 20 日，德国 Bundeskriminalamt（BKA）与 ZIT 联合美国当局开展代号 Olympus Blade 的行动，下线了钓鱼即服务（PhaaS）平台 Kratos 的核心基础设施，印尼当局逮捕了该平台的开发者兼技术管理员，超过 200 台服务器被关停。
The DFIR Report精选AI 评分6767 Bing 搜索投毒投放 BumbleBee 与 AdaptixC2，44 小时后部署 Akira 勒索软件
The DFIR Report 复盘 2025 年 7 月一起入侵：用户通过 Bing 搜索 ManageEngine OpManager 被导向仿冒域名 opmanager[.]pro，下载带毒的 MSI 安装包，经 consent.exe 侧加载 msimg32.dll 运行 BumbleBee 加载器。
为什么值得看：完整复盘从 Bing 搜索投毒到 Akira 加密的 44 小时链路，含 NTDS.dit 导出、SSH 反向隧道与 77GB 外传的具体命令和日志证据。
The DFIR ReportAI 评分6060 The DFIR Report 复盘 Lynx 勒索攻击：RDP 登录到加密历时约 178 小时
The DFIR Report 复盘一起 2025 年 3 月初开始的 Lynx 勒索入侵，攻击者用事先泄露的凭据直接 RDP 登录暴露在互联网的主机，全程未出现暴力破解或密码喷洒。