微软将近期 ConnectWise 多租户应用供应链失陷归因于中国背景攻击组织 Storm-0940，该组织最早自 2026 年 9 月起使用开源 agentic AI 渗透测试框架 ARTEX 自动化攻击全球数百家机构，部分案例从初始定向到取得云基础设施特权访问不足 3 小时。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
微软研究人员将针对 ConnectWise 客户的供应链攻击归因于其追踪为 Storm-0940 的中国背景威胁组织，该组织最早自 2026 年 9 月起使用 AI 渗透测试框架 ARTEX 自动化攻击全球数百家机构。
同一件事，精选收录的是《微软称 Storm-0940 借 ARTEX AI 代理实施 ConnectWise 供应链攻击》
Smashing Security 播客第 489 期讨论了全新加密钱包可能内置间谍软件的风险，并提醒用户钱包未必如想象中安全。节目还提到洗衣机广告可能试图获取手机访问权限，并采访 Origin 的 Spencer Thompson 谈 AI agent 在员工笔记本上的活动。
GMO Internet 旗下 Onamae.com 确认 Onamae Desktop Cloud 遭第三方未授权访问，部分客户服务器环境被植入恶意程序，受影响服务器最多达 26,739 台。
为什么值得看：事件披露了入侵确认、服务器关停与恢复时间未定等处置细节，可了解云服务商在客户环境被植入恶意程序后的应对方式。
卡巴斯基将针对韩国机构的攻击行动命名为 FlashHole，并归因于 Lazarus Group；该行动自 2025 年 7 月开始，通过钓鱼页面和特制 GitHub 页面投递恶意载荷。
为什么值得看：卡巴斯基复盘 Lazarus 的 FlashHole 行动，其用 ML-KEM 后量子加密保护载荷下发这一手法在恶意软件投递中较为少见。
Abnormal AI 发现新型钓鱼即服务平台 Athena StealthRoute，其 AI Studio 提供六种工作流，用于生成定制化钓鱼诱饵、配套材料及用于掩护的良性诱饵内容。
FBI 与 CISA 联合欧洲当局发布通告，警告 SafePay 勒索软件已扩展攻击关键基础设施提供商，自 2024 年以来攻击超过 600 家机构，重点集中在北美、南美、欧洲和澳大利亚。
Unit 42 披露威胁者 BUGSTER 将 Hermes Agent 框架搭配 DeepSeek V4 与 Cursor IDE 并关闭安全控制，用于凭证窃取、VoIP 欺诈、Wi-Fi 密码破解与加密货币侦察等多类犯罪。
Symantec Threat Hunter Team 通过 AI 蜜罐捕获一个可自主执行最多 10 万次恶意操作的 AI Agent，其指令集包含约 74 个工具，用于侦察、漏洞利用、窃取凭据、部署加密货币挖矿程序和重感染系统。
Symantec 研究人员称，与俄罗斯关联的 APT28（Fancy Bear）在为期两个月的行动中入侵了一个北约成员国的造船厂网络，并同时针对执法机构和一家航空航天发动机制造商。
Rapid7 最新季度威胁报告显示，Q3 2026 高危与严重漏洞从公开披露到被利用平均仅 3 天，71% 的利用发生在披露后 7 天内。本季度追踪到 43 个新被利用漏洞，其中 34 个（79%）无需认证或用户交互；另有 8% 的威胁报告提及 AI 被用作攻击的作战环节。
SOCRadar 威胁研究部门发现 7 台与 INC Ransomware 和 The Gentlemen 勒索软件关联方有关的暴露服务器，其中包含 133 个 OpenCode 会话的 8,257 条 AI 消息、46 个为 6 名受害者定制的 INC 加密器构建版本，以及超过 23,920 美元的 AI API 支出记录。
攻击者用 amazonyt[.]com 冒充“Amazon Artists Music — Creator Portal”，以邀请制 Amazon Music 广告合作为名，先用 YouTube 公开 API 展示创作者真实频道数据骗取信任，再以“验证频道”为由弹出 youtubechannelverification[.]com 的伪造 Google 登录框窃取账号凭据。
Nord Security 10 月 21 日报告显示，2026 年 7 月至 9 月共记录 2894 起勒索软件攻击，同比增加 50%，环比增加 8.6%。The Gentlemen 以 383 起居首，Qilin 以 363 起紧随其后，两者全年交替领先，竞争推动其开发新攻击手法。两个团伙均转向仅窃取数据而不加密的勒索方式，初始入口仍以弱口令、缺乏多因素认证和未修补漏洞为主。
攻击者利用 TeamUpdraft 安全事件中泄露的 UpdraftCentral 连接密钥，在受影响的 WordPress 站点上执行命令并安装恶意插件以建立持久访问。
同一件事，精选收录的是《UpdraftCentral 密钥泄露致 WordPress 站点被植入后门插件》
美国、德国和英国政府机构联合发布通告，称 SafePay 勒索组织自 2024 年 8 月出现以来已入侵至少 600 家关键基础设施机构，影响范围覆盖北美、南美、欧洲和澳大利亚。
Cisco Talos 发现攻击者滥用 Staples 和 Dell 的订单通知邮件管道，两起活动合计约 1,400 封邮件，恶意内容藏在订单详情字段中，诱导收件人拨打攻击者控制的电话。这些邮件通过 DKIM 与 DMARC 验证，信任来自合法零售基础设施而非伪造发件人。Talos 建议将订单通知视为敏感内容，对渲染字段中的异常电话号码、URL 和紧急措辞进行拦截或标记。
Sophos CTU 与 Sophos Labs 披露，BRONZE SANDCASTLE 利用 Sandboxie、Java、Krita、NVDA、LINE 和 Sysinternals 工具等合法 Windows 程序进行 DLL 侧加载。
Google 与 Mozilla 吊销了印度数字信任服务商 eMudhra 运营的 8 个中间 CA 证书，原因是这些证书的私钥已泄露。Mozilla 在 10 月 17 日收到 Chrome Root Program 转交的报告后独立还原了全部私钥，确认密钥生成过程存在缺陷且利用门槛很低；其中 6 个中间证书用于 TLS，2 个用于代码签名。
同一件事，精选收录的是《eMudhra 八个中间 CA 私钥被攻破，浏览器与软件紧急吊销》
英国 ICO 就 2024 年 11 月事件谴责 Ogi Networks 与 Data Cymru，攻击者通过一个存在超 12 年、仅以「Password1」为密码的测试账户「Test 2」进入 Data Cymru 网络，窃取 42GB 数据并加密 182.7GB 数据，涉及 3300 人的个人信息，多数为儿童。
Sophos 与 Huntress Labs 发现，面向 MSP 的远程管理厂商 Kaseya 遭入侵，并被用于投递供应链勒索攻击，瑞典 CoOp 超市连锁因此临时关闭 800 家门店。相关方在 GitHub 上提供了取证分析与报告、恶意样本及反编译样本、感染系统流量 PCAP、IOC 与 Yara 规则、配置与勒索信，以及感染系统的完整磁盘镜像等资源，供 DFIR 人员响应时使用。
Citizen Lab 与 SHARE Foundation 合作，以高置信度确认贝尔格莱德大学校长 Vladan Đokić 的 iPhone 在 2026 年遭 NSO Group 的 Pegasus 间谍软件感染，攻击使用零点击利用，受害者无需任何操作。
一名黑客劫持了超过 10% 的 Tor 出口节点。另有一名勒索软件谈判人员被关联到 ShinyHunters，一个中国犯罪团伙入侵了 Staples，还有黑客泄露了德国极右翼政党 AfD 的邮件。
Kaspersky 披露 Lazarus Group 针对韩国的 Operation FlashHole 攻击活动，最早证据可追溯至 2025 年 7 月，至少影响软件、建筑和有线通信设备制造三个行业。
45岁美国公民 Robert Wayne Boling Jr. 在菲律宾运营针对美国军人及退伍军人的身份盗窃与欺诈计划，于本周二认罪。他利用盗取的个人身份信息（PII）入侵受害者银行账户，窃取资金及退伍军人福利，作案时间长达五年、截至2019年7月。他对串谋实施电信欺诈和洗钱认罪，最高面临40年监禁。
Google、Mozilla、Apple、Go 项目等迅速封禁印度 CA eMudhra 受影响证书，这些证书与 8 个已泄露密钥相关，目前尚不清楚密钥如何被泄露。
美国司法部周一宣布，40 岁尼日利亚籍男子 Chukwuemeka Victor Amachukwu 因 2019 至 2023 年间入侵美国税务申报企业、提交虚假税表并实施不存在的投资诈骗，被判处 8 年监禁。
日本媒体公司 Nikkei 披露一起数据泄露事件，逾 180 万条记录受影响。攻击者于 10 月 7 日使用此前窃取的凭据访问其用于系统开发的云服务，约 15 万条记录含姓名、邮箱、地址、电话或出生日期等信息，其中约 12 万条含邮箱地址，泄露信息不含信用卡数据。Nikkei 已于 10 月 11 日向日本个人信息保护委员会报告，并封禁被盗凭据。
一名有沙特背景的前 OpenAI 工程师因涉嫌在 OpenAI 会议室安装秘密录音设备而被拘留。该事件凸显了一条本可预防的内部威胁路径。
Symantec 研究人员称，与俄罗斯 GRU 关联的 APT28（又称 Swallowtail、Fancy Bear、Forest Blizzard）近几个月入侵了北约国家的两家国防企业和一家执法机构，目标包括一家海军造船厂、一家军用飞机发动机制造商。
BAE Systems Inc. 运营的美国法院破产通知中心（BNC）系统遭网络事件，自 2026 年 10 月 9 日起停止生成和分发纸质与电子破产案件通知，bnc.uscourts.gov 等网站下线，美国法院行政办公室于 10 月 15 日确认此事。
ConnectWise 的 Cloud Backup 服务因一个高敏感 API 密钥被威胁行为者获取而遭供应链攻击，该密钥可让客户把厂商应用与 Microsoft 365 环境连接。
为什么值得看：事件披露了多租户应用凭证泄露后攻击者如何绕过 MFA 并在租户内留后门，可供使用第三方 SaaS 备份的团队排查。
Dark Reading 报道，一名讲中文的攻击者入侵了全球数百个网站，从 John Deere、SharkNinja 和发动机制造商 Cummins 等大型企业窃取数据。报道称该攻击者滥用 AI 渗透测试工具 Cairn 实现攻击自动化。
安全公司 Claroc 的研究人员发现，Meta 的通用 AI 代理 Muse 在用户通过网页链接分享对话时会暴露敏感信息，他们枚举出 6800 条用户创建的分享链接，打开其中数百条后看到明显不打算公开的内容。Meta 回应 Ars 提问时表示，正在审查该功能并考虑修改，期间暂停分享功能。
Mozilla 于 10 月 17 日 20:06 UTC 收到报告，称 8 张 eMudhra 中间证书的私钥已泄露，攻击者可借此为不受控网站签发伪造 HTTPS 证书，在拦截用户连接时冒充网站并读取或修改流量。
为什么值得看：Mozilla 披露 eMudhra 八个中间证书私钥泄露后的处置过程，从收到报告到 OneCRL 全量下发不到 3 小时，可作为证书吊销响应流程的参考。
德国选择党 AfD 于 10 月 19 日确认，其使用的托管服务商在 9 月遭黑客攻击，部分邮箱被复制；名为 hexane.cc 的匿名站点此前已上线，声称索引了 421,179 封党内邮件。
日本调查人员称，神户一间酒店客房冰箱后藏匿的一台小型电脑被用于发送约 48 万封钓鱼邮件，两名中国籍嫌疑人已被逮捕。该电脑于 2025 年 5 月被藏入并接入酒店 Wi-Fi，内含约 240 万个邮箱地址和约 48 万封邮件发送记录，邮件冒充信用卡公司并引导至窃取卡信息的假网站。调查人员认为另有他人远程控制该设备，通过酒店网络发信。
Ocean Security 发现名为 Phantom Preview 的 AiTM 钓鱼活动，滥用 Adobe Frame.io 合法共享通知投递伪造 Microsoft 365 登录页，两小时内向单一企业租户发送 22 封邮件。
10 月 11 日夜间，数百家法国超市的冷柜被远程切换为除霜模式，Intermarché 和 Netto 门店的冷藏冷冻设备升温至约 50°C 并持续约六小时，Les Mousquetaires 预计损失达数千万欧元；Coopérative U 约 2000 家门店中有 80 家受影响，其 CEO Dominique Schelcher 称多数门店保住了冷链。
德国警方逮捕一名 28 岁俄罗斯男子，怀疑他是 Qilin 勒索软件团伙的关键成员，并将其与 2024 年针对血液检测公司 Synnovis 的攻击联系起来。