攻击者将 Vasilek 后门藏入 VMware Tools，对俄罗斯医疗机构潜伏近两年
Solar 披露，与 Belarus 结盟的 Partisan Zmiy（Cyber Partisans）在俄罗斯一家医疗机构网络内潜伏近两年，最早入侵迹象可追溯至 2024 年初，2025 年 12 月才被发现。
#Windows
The Hacker NewsAI 评分3434 The Hacker News精选AI 评分5858 与中国有关联的 Bronze Sandcastle 利用 Sandboxie DLL 侧加载部署后门
Sophos 披露了一个此前未被记录、与中国有关联的攻击组织 Bronze Sandcastle，该组织自 2025 年年中起针对亚洲和非洲的组织发起攻击，受害者分布在菲律宾、台湾、阿富汗、纳米比亚，可能还有韩国。
为什么值得看：Sophos 披露的攻击活动显示，攻击者反复利用 Sandboxie 等合法程序进行 DLL 侧加载，并配合加密配置文件，这种手法可以迁移到检测思路中。
Kaspersky SecurelistAI 评分6060 APT41 用 BlackX UEFI bootkit 攻击中亚外交机构
卡巴斯基 GReAT 在 2026 年初发现针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦外交机构的 APT 攻击，攻击者获取管理员权限后投放与 BlackLotus 相似的 UEFI bootkit，命名为 BlackX，利用 Baton Drop（CVE-2022-21894）绕过 Secure Boot。
BleepingComputer精选AI 评分5858 Lazarus 在 FlashHole 行动中用后量子加密保护恶意载荷投递
卡巴斯基将针对韩国机构的攻击行动命名为 FlashHole，并归因于 Lazarus Group；该行动自 2025 年 7 月开始，通过钓鱼页面和特制 GitHub 页面投递恶意载荷。
为什么值得看：卡巴斯基复盘 Lazarus 的 FlashHole 行动，其用 ML-KEM 后量子加密保护载荷下发这一手法在恶意软件投递中较为少见。
Cybersecurity DiveAI 评分5858 Symantec 披露 APT28 入侵北约成员国造船厂等目标的间谍行动
Symantec 研究人员称，与俄罗斯关联的 APT28（Fancy Bear）在为期两个月的行动中入侵了一个北约成员国的造船厂网络，并同时针对执法机构和一家航空航天发动机制造商。
HackreadAI 评分5858 Sophos 披露 BRONZE SANDCASTLE 滥用 Sandboxie 等合法程序侧加载加密后门
Sophos CTU 与 Sophos Labs 披露，BRONZE SANDCASTLE 利用 Sandboxie、Java、Krita、NVDA、LINE 和 Sysinternals 工具等合法 Windows 程序进行 DLL 侧加载。
Kaspersky SecurelistAI 评分5858 Operation FlashHole：Lazarus 滥用 CrossWeb EX 攻击韩国多行业
Kaspersky 披露 Lazarus Group 针对韩国的 Operation FlashHole 攻击活动，最早证据可追溯至 2025 年 7 月，至少影响软件、建筑和有线通信设备制造三个行业。
CyberScoopAI 评分2222 尼日利亚籍男子因长期入侵美国税务企业实施税务与投资诈骗获刑 8 年
美国司法部周一宣布，40 岁尼日利亚籍男子 Chukwuemeka Victor Amachukwu 因 2019 至 2023 年间入侵美国税务申报企业、提交虚假税表并实施不存在的投资诈骗，被判处 8 年监禁。
CyberScoopAI 评分5858 Symantec 称 APT28 入侵北约国家造船厂、军机发动机厂商与执法机构
Symantec 研究人员称，与俄罗斯 GRU 关联的 APT28（又称 Swallowtail、Fancy Bear、Forest Blizzard）近几个月入侵了北约国家的两家国防企业和一家执法机构，目标包括一家海军造船厂、一家军用飞机发动机制造商。
阿里云先知社区AI 评分6262 weax 勒索病毒针对用友畅捷通 T+ 应用 0day 攻击的溯源流程与 IOC
阿里云先知社区发布勒索预警，称 weax 勒索病毒针对用友畅捷通 T+ 应用使用 0day 进行攻击，并给出溯源全流程与 IOC。材料仅提供摘要，未披露漏洞编号、受影响版本与具体利用细节。
阿里云先知社区AI 评分3838 Sorry 勒索病毒改名 ths 再度来袭：文件被追加 .ths 后缀并留下 hello.txt 勒索信
近日一起企业应急求助中，受害服务器文件被批量加密并追加新后缀 .ths，每个目录留有 hello.txt 勒索信。经比对确认，这并非新家族，而是长期跟踪的 Sorry 勒索病毒（TellYouThePass 勒索家族）改名后再度作案。该家族惯用 0day 发起攻击。
Security AffairsAI 评分5050 Darktrace 披露用 Discord 充当 C2 的 Rust 远控木马 CikaBika Bot
Darktrace 记录了一起分发 Rust 远控木马 CikaBika Bot 的攻击活动，该木马完全通过 Discord 频道接收指令并回传数据。
Cisco Talos 情报博客AI 评分2222 Cisco Talos 季度漏洞观察：CVE 数量破 7 万，但发现不等于利用
Cisco Talos 在季度漏洞观察中指出，CVE 编号数量已突破 7 万，同比增长 105%，而 KEV 仅增长 37%。2025 年及更早的 CVE 仍占 KEV 的 33%，说明补丁缺口依然存在；2026 年 CVE 中发布日期与加入 KEV 日期相同的仅占 29%。网络设备相关 CVE 占比小幅升至 27%。
Cisco Talos 情报博客AI 评分5858 Cisco Talos 披露哈萨克斯坦关联组织 UAT-6275 针对独联体政府机构的攻击活动
Cisco Talos 与 Recorded Future Insikt Group 联合披露，UAT-6275（Recorded Future 编号 TAG-193）自 2025 年 6 月至 2026 年 8 月针对独联体九国政府机构开展攻击，受害目标涉及哈萨克斯坦、吉尔吉斯斯坦、塔吉克斯坦、土库曼斯坦、乌兹别克斯坦、亚美尼亚、阿塞拜疆、俄罗斯和白俄罗斯。
Palo Alto Unit 42AI 评分2727 Unit 42 复盘欧洲某银行入侵事件：第三方网关认证缺陷致 VPN 未授权访问
Unit 42 披露一起欧洲银行入侵事件：攻击者经配置不当、未强制严格认证的第三方托管外部网关设备，用泄露凭据通过 VPN 认证进入内网，活动持续数月。
阿里云先知社区AI 评分6060 Weax 勒索病毒利用阿里云服务器攻击用友 U8 Cloud 的溯源复盘
Weaxor 勒索家族系列复盘记录了 2026 年 9 月 5 日晚间的一起事件，被攻击的是一套通过动态域名映射到公网的用友 U8 Cloud 系统，攻击借助阿里云服务器实施。文章在缺少中间件日志的条件下完成完整溯源，并附有 IOC。
ESET WeLiveSecurityAI 评分3838 ESET 披露 UAC-0099 组织 MATCHBOIL 下载器演进：从 Unicode 符号重命名转向 Eziriz .NET Reactor 混淆
ESET 记录了与俄罗斯利益一致的 UAC-0099 APT 组织所用 C# 下载器 MATCHBOIL 的版本演进，最早样本编译于 2024 年 4 月，最新至 2026 年 4 月。
Palo Alto Unit 42AI 评分5858 Unit 42 披露伊朗关联组织 Blinder Tunnel 攻击伊拉克关键基础设施
Unit 42 将一伊朗国家关联组织针对中东关键基础设施的攻击活动追踪为 CL-STA-1178，其中代号 Blinder Tunnel 的行动于 2026 年 3 月攻击伊拉克关键基础设施目标，相关基础设施早在 2025 年 11 月已开始搭建。
Kaspersky Securelist精选AI 评分7575 Kaspersky 复盘 PAYLOAD 勒索软件劫持 Active Directory GPO 的攻击事件
Kaspersky GERT 披露 2026 年 4 月中东一家制造企业的应急事件，攻击者用有效域凭据经 FortiGate SSL VPN 进入后，在域根创建并链接名为 PAYLOAD 的恶意 GPO，下发勒索说明、替换壁纸与锁屏、强制登录横幅并禁用本地 administrator 账户，Windows 端点未发现文件加密、驻留恶意程序或持久化。
为什么值得看：事件复盘展示了仅靠 GPO 下发勒索壁纸与禁用管理员账户、不落地任何恶意文件的攻击路径，并给出目录服务审计与 SYSVOL 监控的检测要点。
Kaspersky SecurelistAI 评分5858 MovieReaper 恶意框架借被篡改的种子文件仓库攻击多国用户
卡巴斯基披露名为 MovieReaper 的模块化多阶段恶意框架，攻击者篡改公共种子文件仓库 itorrents[.]org，使依赖该仓库的种子站向用户分发恶意 torrent 文件，已确认数百名个人与企业受害者，分布在俄罗斯、土耳其、日本、肯尼亚、乌干达、哥伦比亚及西班牙、荷兰、比利时、德国等欧洲国家。
Kaspersky SecurelistAI 评分6060 卡巴斯基复盘 NightEagle（APT-Q-95）针对俄罗斯企业的攻击活动
卡巴斯基 GERT 在过去一年调查了多起 NightEagle（亦称 APT-Q-95）入侵事件，该组织至少自 2023 年起活跃，此前主要针对亚洲组织，现已确认攻击俄罗斯企业。
Kaspersky SecurelistAI 评分5858 Kaspersky 披露 Toy Ghouls 使用 HiveMQ 与 Element 后门攻击俄罗斯组织
Kaspersky GERT 披露，自 2025 年起针对俄罗斯组织的出于经济动机的团伙 Toy Ghouls 首次使用自研后门，包括基于 HiveMQ MQTT broker 的 mqtt-bird-agent 0.1.0 和基于 Element 的 matrix-bird-agent 0.1.0。
Kaspersky Securelist精选AI 评分6262 Mirage Kitten 以伪造编码挑战投递 NodeRabbit 与 PollCat 后门，瞄准中东非洲航空与金融科技
Kaspersky 披露 Mirage Kitten 的新恶意软件 NodeRabbit 与 PollCat，两者均为跨平台 RAT，分别用 Node.js 和混淆 JavaScript 编写，通过 LinkedIn 等招聘平台冒充招聘方发送含木马的编码挑战压缩包投递。
为什么值得看：披露 Mirage Kitten 首次改用 Node.js 与 JavaScript 后门，并给出完整感染链与 C2 通信细节，可供防御方比对招聘诱饵与开发环境持久化痕迹。
Kaspersky Securelist精选AI 评分6262 ValleyRAT 伪装成广告软件 QN Wallpaper 经 DLL 侧加载投递
Kaspersky 分析一个 MD5 为 c24e99f9437feacaa63766a3cde3fe3d 的样本，发现其广告功能并不生效，而是通过篡改的 QN Wallpaper 以 libcef.dll 侧加载投递 ValleyRAT 后门。
为什么值得看：分析还原了广告软件签名进程被用于 DLL 侧加载投递 ValleyRAT 的完整链路，并给出 2026 年感染规模与 IOC。
The DFIR ReportAI 评分3434 The DFIR Report 剖析 BengalSEO SEO 投毒诈骗行动：MayaBot 恶意软件与流量分发系统
The DFIR Report 披露自至少 2015 年起运作的 SEO 投毒诈骗行动 BengalSEO，将其归因于印度拉贾斯坦邦的 WeConnect Solutions LLC 与 Garage2Global 两家 IT 服务公司及其所有者。
The DFIR Report精选AI 评分6767 Bing 搜索投毒投放 BumbleBee 与 AdaptixC2，44 小时后部署 Akira 勒索软件
The DFIR Report 复盘 2025 年 7 月一起入侵：用户通过 Bing 搜索 ManageEngine OpManager 被导向仿冒域名 opmanager[.]pro，下载带毒的 MSI 安装包，经 consent.exe 侧加载 msimg32.dll 运行 BumbleBee 加载器。
为什么值得看：完整复盘从 Bing 搜索投毒到 Akira 加密的 44 小时链路，含 NTDS.dit 导出、SSH 反向隧道与 77GB 外传的具体命令和日志证据。
The DFIR Report精选AI 评分7878 EtherRAT 与 TukTuk C2 攻击最终部署 The Gentlemen 勒索软件
The DFIR Report 复盘了 4 月观察到的一次入侵，攻击者通过伪装成 Sysinternals RAMMap 的恶意 MSI 投放 EtherRAT，该变种经 1rpc.io 从 Ethereum 区块链获取 C2 配置，随后下载 Node.js 运行时并执行混淆 JavaScript 载荷。
为什么值得看：复盘展示了 EtherRAT 借区块链配置 C2、TukTuk 用 SaaS 平台做通道，再到 GPO 全域投递勒索软件的完整链路。
嘶吼 RoarTalkAI 评分3232 新型 CrystalRAT 以 MaaS 模式在 Telegram 推广，新增远程控制与数据窃取功能
卡巴斯基报告称，新型远程控制木马 CrystalRAT 正以 MaaS 模式在 Telegram 推广，具备远程控制、数据窃取、键盘记录与剪贴板劫持功能，并与 WebRAT（Salat 窃密木马）高度相似。该木马今年 1 月现身，采用分级订阅，通过 WebSocket 连接 C2，内置 VNC 实时操控及反调试、虚拟机检测等防护，窃密模块目前临时禁用。
The DFIR Report精选AI 评分6262 Apache ActiveMQ 服务器遭 CVE-2023-46604 利用，最终部署 LockBit 勒索软件
The DFIR Report 复盘了一起针对暴露在互联网的 Apache ActiveMQ 服务器的入侵，攻击者利用 CVE-2023-46604 实现 RCE，通过 Java Spring bean 配置 XML 调用 CertUtil 下载 Metasploit stager。
为什么值得看：完整复盘展示了同一台未修补 ActiveMQ 服务器被两次攻破后如何走向 LockBit 部署，并给出从首次入侵到加密的时间线。
The DFIR ReportAI 评分6060 The DFIR Report 复盘 Lynx 勒索攻击：RDP 登录到加密历时约 178 小时
The DFIR Report 复盘一起 2025 年 3 月初开始的 Lynx 勒索入侵，攻击者用事先泄露的凭据直接 RDP 登录暴露在互联网的主机，全程未出现暴力破解或密码喷洒。