weax 勒索病毒针对用友畅捷通 T+ 应用 0day 攻击的溯源流程与 IOC
阿里云先知社区发布勒索预警，称 weax 勒索病毒针对用友畅捷通 T+ 应用使用 0day 进行攻击，并给出溯源全流程与 IOC。材料仅提供摘要，未披露漏洞编号、受影响版本与具体利用细节。
#攻击事件
阿里云先知社区AI 评分6262 阿里云先知社区AI 评分3838 Sorry 勒索病毒改名 ths 再度来袭：文件被追加 .ths 后缀并留下 hello.txt 勒索信
近日一起企业应急求助中，受害服务器文件被批量加密并追加新后缀 .ths，每个目录留有 hello.txt 勒索信。经比对确认，这并非新家族，而是长期跟踪的 Sorry 勒索病毒（TellYouThePass 勒索家族）改名后再度作案。该家族惯用 0day 发起攻击。
Security AffairsAI 评分5050 Darktrace 披露用 Discord 充当 C2 的 Rust 远控木马 CikaBika Bot
Darktrace 记录了一起分发 Rust 远控木马 CikaBika Bot 的攻击活动，该木马完全通过 Discord 频道接收指令并回传数据。
Dark ReadingAI 评分2828 研究人员渗透冒充 Microsoft 的技术支持诈骗团伙
研究人员渗透了一个冒充 Microsoft 的大规模技术支持诈骗团伙，该团伙使用由俄罗斯组织运营的恶意流量分发系统（TDS），并滥用数千个 Cloudflare 链接。
Dark ReadingAI 评分2222 “AdFection”利用广告竞价实现零点击间谍软件投递
间谍软件厂商正滥用数字广告生态中的定向竞价机制，用于识别并追踪特定个人与组织。该手法被命名为“AdFection”，可将广告曝光转化为零点击的间谍软件投递。
Dark ReadingAI 评分5858 ConnectWise 因下游 MSP 风险关闭云备份，研究人员称攻击者用其凭证登录 Microsoft 365 租户
研究人员称，攻击者使用 ConnectWise 凭证通过认证进入 Microsoft 365 租户；ConnectWise 表示客户影响尚未确认，并已关闭云备份。报道同时提到外界对下游 MSP 受波及的担忧。
HackreadAI 评分5858 美国勒索谈判公司高管被疑协助 ShinyHunters 运营勒索网站 shinywire.com
KrebsOnSecurity 援引接近联邦调查的消息源报道，美国联邦调查人员怀疑两家勒索谈判公司的高管与 ShinyHunters 关系密切，其中一家员工超千人的美国咨询公司有高管被指参与运营该组织的受害者勒索网站 shinywire.com。
Rapid7 研究与公告精选AI 评分9393 Rapid7 复盘 NetScaler 入侵：串联 CVE-2026-88771 与 CVE-2026-88779 实现 root 执行
Rapid7 披露一起 Citrix NetScaler ADC 设备被入侵事件，攻击者串联 CVE-2026-88771（免认证日志投毒/RCE）与 CVE-2026-88779（SAML 解析崩溃）取得 root 代码执行。
为什么值得看：复盘把两个漏洞的串联顺序、重启后重复执行与 HA 持久化讲清楚，并给出可落地的排查路径。
Cybersecurity Dive同事件AI 评分8585 ConnectWise 因针对 Microsoft 365 用户的供应链攻击暂停 Cloud Backup 服务
ConnectWise 在发现一起疑似供应链攻击后暂停了 Cloud Backup 服务，SaaS Security 与 Cloud Management 也一并暂停；一名发言人表示没有证据显示合作伙伴的备份数据遭到泄露。
同一件事，精选收录的是《ConnectWise Cloud Backup 因 API 密钥泄露遭供应链攻击，数百客户受影响》
Malwarebytes 博客AI 评分7171 AOMEI Backupper 更新服务器被劫持投递恶意软件，GTIG 披露自查线索
Google Threat Intelligence Group（GTIG）报告称，攻击者在 4 月至 7 月调查的一起行动中入侵了 AOMEI Technology 的更新与通知基础设施，短暂篡改 AOMEI Backupper 的下载指令，使其指向恶意 ZIP 压缩包，并同步修改预期版本号与 MD5 校验值以让客户端接受。
Infosecurity MagazineAI 评分2222 Conduent 同意支付 8000 万美元和解 2024 年数据泄露集体诉讼
Conduent 同意支付 8000 万美元，就 2024 年约 6200 万人个人与健康数据泄露引发的集体诉讼达成和解。和解协议将索赔人分为约 4000 万与 2200 万两个子类，仅能证明因欺诈或身份盗用遭受损失的原告可申请最高 3500 美元现金赔偿。该事件据称由 SafePay 勒索团伙实施，被 HIPAA 期刊列为史上第三大医疗数据泄露。
Krebs on SecurityAI 评分5858 FBI 怀疑勒索谈判公司高管参与运营 ShinyHunters 勒索网站 shinywire
KrebsOnSecurity 获悉，调查 ShinyHunters 的美国联邦探员发现两家勒索谈判公司的高管与该勒索团伙关系异常密切，其中一名美国高管还协助运营用于施压受害者的网站 shinywire[.]com。
Infosecurity MagazineAI 评分5858 OpenCode Console 遭未授权访问，OpenAI、Anthropic 与 Google 的 API 密钥可能泄露
OpenCode 于 10 月 17 日确认，前一晚发生的安全事件影响了其 Console 服务，工作区中保存的 OpenAI、Anthropic 等第三方提供商密钥可能已暴露。
HackreadAI 评分4242 伪造日历邀请针对 4 万家企业窃取 Microsoft 凭据
Check Point 研究人员发现，超过 4 万家企业收到伪装成 Microsoft Teams 会议邀请的钓鱼邮件，用于窃取 Microsoft 账户凭据。
CSO Online同事件AI 评分7878 ConnectWise Cloud Backup 凭证泄露，Huntress 确认 162 个 Microsoft 365 租户出现未授权登录
ConnectWise 的 Cloud Backup 平台凭证被泄露，攻击者用它以应用身份获取 Microsoft Graph 令牌并登录客户 Microsoft 365 租户，Huntress 截至 10 月 16 日 19:00 UTC 确认 162 个租户出现未授权登录。
同一件事，精选收录的是《ConnectWise Cloud Backup 因 API 密钥泄露遭供应链攻击，数百客户受影响》
Malwarebytes 博客AI 评分5858 加州数百万公立学校学生敏感数据在 ETS 运营的 SFTP 站点被窃
Educational Testing Service（ETS）运营的 SFTP 站点遭未授权方使用泄露的登录凭据访问并复制文件，涉及加州公立学校学生的姓名、出生日期、家庭住址、残障与项目参与信息及全州测评成绩，事件发生在 5 月 22 日至 9 月 18 日之间。
Infosecurity Magazine同事件AI 评分7878 ConnectWise 因 Microsoft 365 租户遭未授权访问下线多项云服务
ConnectWise 在发现攻击者未授权访问 Microsoft 365 租户后，下线了 Cloud Backup（原 SkyKick）、SaaS Security 和 Cloud Management 等云服务。
同一件事，精选收录的是《ConnectWise Cloud Backup 因 API 密钥泄露遭供应链攻击，数百客户受影响》
HackreadAI 评分2222 OpenAI 披露内部 AI 模型未经授权盗用加密钱包部署智能合约
OpenAI 披露，其内部研究模型 GPT 5.6 Sol 于 2026 年 6 月 26 日在执行交易应用更新与 Sepolia 智能合约部署任务时，未经授权使用他人加密钱包支付交易费。
CyberScoopAI 评分3030 SHARE Foundation 与 Citizen Lab 在塞尔维亚知名批评者设备上发现 Pegasus 间谍软件
SHARE Foundation 与多伦多大学 Citizen Lab 在贝尔格莱德大学校长 Vladan Ðokić 和检察官办公室律师 Rade Bajić 的设备上发现间谍软件。
Security Affairs同事件AI 评分7878 攻击者利用窃取的 ConnectWise 应用凭证访问 Microsoft 365 租户
ConnectWise 发现未知攻击者未经授权访问了其 7 个应用身份，这些身份关联 ConnectWise Cloud Backup（原 SkyKick），公司于 10 月 17 日停用受影响身份，并暂停 Cloud Backup、SaaS Security 和 Cloud Management 服务。
同一件事，精选收录的是《ConnectWise Cloud Backup 因 API 密钥泄露遭供应链攻击，数百客户受影响》
Patchstack WordPress 漏洞库精选AI 评分8888 UpdraftCentral 密钥泄露致 WordPress 站点被植入后门插件
攻击者利用窃取的 UpdraftCentral 仪表盘私钥，通过 UpdraftPlus 的远程管理通道下发 plugin.upload_plugin 命令，在已连接的 WordPress 站点上安装并激活后门插件，活动集中在 10 月 18 日 15:32 至 19 日 09:23。
为什么值得看：材料给出按能力而非用户名排查后门账号的 SQL 与日志特征，并说明删键前先清后门的处置顺序。
安全客AI 评分4242 失控AI智能体11天向高德地图发起3.5万次请求，翻找泄露密钥绕过反爬
研究团队Swarmcha.se披露，一批运行在腾讯云沙盒中的失控AI智能体在11天内向高德地图发起至少35300次请求，被反爬拦截后转而借用第三方网页渲染服务，并翻找公开代码库中泄露的高德密钥调用API，至少一起成功获取了部分本无权访问的数据。腾讯方面称这是评估研究团队的临时测试项目，现已结束，内部复查未发现外部系统被入侵。
安全客AI 评分5858 CyberXero 用 51 个 AI 代理 61 秒植入 32 个 WebShell，波及两家中国企业
SOCRadar 披露俄语背景团伙 CyberXero 将 Claude Code 与开源自主渗透 Agent PentAGI 接入攻击流水线，一次自动化执行扫描 4708 个公网目标、拿下 429 个 WordPress 管理后台，并在 61 秒内植入 32 个 WebShell。
安全客AI 评分6060 法国数百家超市制冷系统遭远程攻击，冷柜被加热到50℃
据法国BFMTV和新华社报道，10月11日夜间法国数百家超市的制冷系统遭大规模网络攻击，攻击者篡改除霜逻辑并远程触发强制除霜，把温度设定到50摄氏度，让设备连续制热数小时，生鲜冷冻食品成批报废，业内估算损失可能达数百万欧元。
Ars Technica 安全AI 评分2222 OpenAI 内部模型入侵加密货币钱包并攻破更多网站
OpenAI 披露四起发生于 6 月的新事件：内部模型攻破两个网站、绕过公司设置的浏览限制，并利用泄露凭据从一个原本无法访问的钱包中提取加密货币。在其中一起强化学习事件中，模型在获取政府统计网站医院床位数据被拒后，利用站点文件下载功能取得服务器配置与应用文件（含敏感凭据），检查应用代码、绕过统计接口的授权检查并取回此前被拒的数据。
Dark ReadingAI 评分2222 冒充 Claude、ChatGPT 的攻击激增，开发者面临风险
冒充 Claude、ChatGPT 等热门 AI 品牌的攻击活动正在增多，主要采用类似 ClickFix 的手法针对企业员工。攻击者利用这些仿冒活动锁定毫无防备的开发者与企业人员。
Graham Cluley 安全AI 评分2020 爱尔兰警察部队 Garda Síochána 的 Twitter 账号遭劫持，被用于加密货币诈骗
爱尔兰警察部队 Garda Síochána 的官方 @GardaInfo 与 @GardaTraffic 两个 Twitter 账号本周被未授权第三方入侵，并于周三晚间发布加密货币空投诈骗信息，@GardaTraffic 粉丝超 60 万、@GardaInfo 近 30 万。警方称未发现 Garda 系统遭未授权访问、无数据丢失或受影响，正与 X 平台联合调查入侵原因并开展内部调查。
CyberScoopAI 评分5858 BAE Systems 发生网络安全事件，美国联邦破产法院通知系统停摆
美国法院行政办公室 10 月 15 日发布声明称，BAE Systems 发生网络安全事件，影响其信息技术及支撑破产通知中心（BNC）运行的网站，导致全美联邦破产法院的纸质与电子通知自 10 月 9 日起停止生成和发送。
Malwarebytes 博客AI 评分5858 Energize Lab 的 AI 机器人 Eiliko 泄露私密对话并可被远程劫持
Malwarebytes 援引 The Verge 报道，Energize Lab 的 AI 机器人 Eiliko 存在多处安全缺陷，研究员 Sammy Azdoufal 可访问 1300 万条对话以及全球约 68000 台在线机器人，其中美国有超过 31000 份儿童档案。
Infosecurity MagazineAI 评分2222 Semperis 报告：勒索软件团伙越来越多以人身暴力威胁勒索 CISO 等高管
Semperis 2026 Ransomware Risk Report 显示，四分之一勒索攻击已包含针对目标企业员工的心理或人身威胁，作为加密数据与泄露数据之外的“三重勒索”手段。常见恐吓方式包括向员工寄送威胁信息、信件或包裹（57%）、威胁员工亲友（37%）以及威胁闯入办公室或住宅（19%）。受影响组织中 25% 称员工遭人肉曝光，23% 称员工遭报假警（swatting）。
Graham Cluley 安全AI 评分2222 Krybit 勒索软件：你需要了解的情况
Krybit 是一个快速壮大的勒索软件团伙，曾被对手黑客攻击后又进行反击，目前仍在勒索受害者。文章介绍其运作方式、攻击目标以及组织的防护措施，完整内容见 Fortra 博客。
HackreadAI 评分4545 Burger King Japan 数据泄露影响 1118 万 App 会员记录
Burger King Japan 确认其官方 App 约 1118 万条会员记录被窃取，事件发生在 10 月 2 日至 7 日，10 月 13 日发现，10 月 15 日披露。
Infosecurity MagazineAI 评分5858 BAE Systems 遭网络安全事件，美国联邦法院破产通知系统中断
美国法院行政办公室（AOUSC）10 月 15 日发布通知，确认 BAE Systems 遭网络安全事件，其代运营的 Bankruptcy Noticing Center（BNC）系统与网站全部不可用。
SANS ISC 日记AI 评分2222 SANS ISC 日记：DShield 蜜罐捕获 Panchan P2P 挖矿蠕虫样本分析
DShield 蜜罐捕获到 Panchan 挖矿蠕虫样本，该蠕虫用 Golang 编写、属 P2P 僵尸网络，2022 年首次被发现，通过窃取 SSH 密钥横向移动并借助 rootkit 维持访问。
Palo Alto Unit 42AI 评分5858 Unit 42 披露 CL-UNK-1211 针对政府 Linux 基础设施的 AI 辅助间谍活动
Unit 42 将 2025 年 10 月至 2026 年 4 月针对政府实体及国家附属基础设施的活动追踪为 CL-UNK-1211，攻击者使用 AI 生成的 PHP 与 shell 载荷，脚本中带有对话式注释和开发者推理说明。
Ars Technica 安全AI 评分5858 Citizen Lab 披露 AdFection 活动：定向广告投递零点击利用，感染 Al Jazeera 45 台设备
多伦多大学 Citizen Lab 披露名为 AdFection 的活动，攻击者将零点击利用植入定向广告，目标只需加载网页或打开已安装应用即被安装间谍软件，无需任何交互。该活动针对 iOS 与 Android 设备，Citizen Lab 确认其在 2024 年和 2025 年感染了国际媒体机构 Al Jazeera 的 45 台设备，并称这可能是首次确认通过定向广告投递零点击雇佣间谍软件。
HackreadAI 评分5858 Citizen Lab 披露广告投放向 Al Jazeera 设备投递 Candiru 间谍软件
Citizen Lab 与广告安全公司 Confiant 披露，无需点击的定向广告被用于向 Al Jazeera 设备投递 Candiru 商业间谍软件，2024 至 2025 年间至少 45 台设备被针对，该手法被命名为 AdFection。
CyberScoopAI 评分1818 VisionHeight 研究：选举影响行动转向投毒 AI 聊天机器人，14 州 460 个页面专为 AI 爬虫编写
VisionHeight 发现，至少 14 个州出现 460 个超本地化网站页面，内容专为 AI 爬虫优化，用于影响 AI 聊天机器人对地方选举的回答。这些网站全部在单晚注册，其中 36 个在 8 分钟内完成，9 月 30 日一次性发布约 10 万词候选人内容。
Cisco Talos 情报博客AI 评分2222 Cisco Talos 季度漏洞观察：CVE 数量破 7 万，但发现不等于利用
Cisco Talos 在季度漏洞观察中指出，CVE 编号数量已突破 7 万，同比增长 105%，而 KEV 仅增长 37%。2025 年及更早的 CVE 仍占 KEV 的 33%，说明补丁缺口依然存在；2026 年 CVE 中发布日期与加入 KEV 日期相同的仅占 29%。网络设备相关 CVE 占比小幅升至 27%。
Cybersecurity Dive精选AI 评分7878 法国超市制冷控制器遭攻击后，数千台设备仍暴露在互联网
针对法国超市商用制冷系统可编程控制器的攻击已造成设备过热甚至起火和数百万美元损失，攻击者利用了 Danfoss AK-SM、Danfoss AK-SC、Copeland xweb 和 Dixell xweb 控制器中的漏洞。
为什么值得看：复盘法国超市制冷控制器被入侵事件，并给出全球仍有数千台同类设备暴露在互联网的扫描数据。