与中国有关联的 Bronze Sandcastle 利用 Sandboxie DLL 侧加载部署后门
Sophos 披露了一个此前未被记录、与中国有关联的攻击组织 Bronze Sandcastle，该组织自 2025 年年中起针对亚洲和非洲的组织发起攻击，受害者分布在菲律宾、台湾、阿富汗、纳米比亚，可能还有韩国。
为什么值得看：Sophos 披露的攻击活动显示，攻击者反复利用 Sandboxie 等合法程序进行 DLL 侧加载，并配合加密配置文件，这种手法可以迁移到检测思路中。
#Windows
The Hacker News精选AI 评分5858
BleepingComputer精选AI 评分5858 Lazarus 在 FlashHole 行动中用后量子加密保护恶意载荷投递
卡巴斯基将针对韩国机构的攻击行动命名为 FlashHole，并归因于 Lazarus Group；该行动自 2025 年 7 月开始，通过钓鱼页面和特制 GitHub 页面投递恶意载荷。
为什么值得看：卡巴斯基复盘 Lazarus 的 FlashHole 行动，其用 ML-KEM 后量子加密保护载荷下发这一手法在恶意软件投递中较为少见。
Kaspersky Securelist精选AI 评分7575 Kaspersky 复盘 PAYLOAD 勒索软件劫持 Active Directory GPO 的攻击事件
Kaspersky GERT 披露 2026 年 4 月中东一家制造企业的应急事件，攻击者用有效域凭据经 FortiGate SSL VPN 进入后，在域根创建并链接名为 PAYLOAD 的恶意 GPO，下发勒索说明、替换壁纸与锁屏、强制登录横幅并禁用本地 administrator 账户，Windows 端点未发现文件加密、驻留恶意程序或持久化。
为什么值得看：事件复盘展示了仅靠 GPO 下发勒索壁纸与禁用管理员账户、不落地任何恶意文件的攻击路径，并给出目录服务审计与 SYSVOL 监控的检测要点。
Kaspersky Securelist精选AI 评分6262 Mirage Kitten 以伪造编码挑战投递 NodeRabbit 与 PollCat 后门，瞄准中东非洲航空与金融科技
Kaspersky 披露 Mirage Kitten 的新恶意软件 NodeRabbit 与 PollCat，两者均为跨平台 RAT，分别用 Node.js 和混淆 JavaScript 编写，通过 LinkedIn 等招聘平台冒充招聘方发送含木马的编码挑战压缩包投递。
为什么值得看：披露 Mirage Kitten 首次改用 Node.js 与 JavaScript 后门，并给出完整感染链与 C2 通信细节，可供防御方比对招聘诱饵与开发环境持久化痕迹。
Kaspersky Securelist精选AI 评分6262 ValleyRAT 伪装成广告软件 QN Wallpaper 经 DLL 侧加载投递
Kaspersky 分析一个 MD5 为 c24e99f9437feacaa63766a3cde3fe3d 的样本，发现其广告功能并不生效，而是通过篡改的 QN Wallpaper 以 libcef.dll 侧加载投递 ValleyRAT 后门。
为什么值得看：分析还原了广告软件签名进程被用于 DLL 侧加载投递 ValleyRAT 的完整链路，并给出 2026 年感染规模与 IOC。
The DFIR Report精选AI 评分6767 Bing 搜索投毒投放 BumbleBee 与 AdaptixC2，44 小时后部署 Akira 勒索软件
The DFIR Report 复盘 2025 年 7 月一起入侵：用户通过 Bing 搜索 ManageEngine OpManager 被导向仿冒域名 opmanager[.]pro，下载带毒的 MSI 安装包，经 consent.exe 侧加载 msimg32.dll 运行 BumbleBee 加载器。
为什么值得看：完整复盘从 Bing 搜索投毒到 Akira 加密的 44 小时链路，含 NTDS.dit 导出、SSH 反向隧道与 77GB 外传的具体命令和日志证据。
The DFIR Report精选AI 评分7878 EtherRAT 与 TukTuk C2 攻击最终部署 The Gentlemen 勒索软件
The DFIR Report 复盘了 4 月观察到的一次入侵，攻击者通过伪装成 Sysinternals RAMMap 的恶意 MSI 投放 EtherRAT，该变种经 1rpc.io 从 Ethereum 区块链获取 C2 配置，随后下载 Node.js 运行时并执行混淆 JavaScript 载荷。
为什么值得看：复盘展示了 EtherRAT 借区块链配置 C2、TukTuk 用 SaaS 平台做通道，再到 GPO 全域投递勒索软件的完整链路。
The DFIR Report精选AI 评分6262 Apache ActiveMQ 服务器遭 CVE-2023-46604 利用，最终部署 LockBit 勒索软件
The DFIR Report 复盘了一起针对暴露在互联网的 Apache ActiveMQ 服务器的入侵，攻击者利用 CVE-2023-46604 实现 RCE，通过 Java Spring bean 配置 XML 调用 CertUtil 下载 Metasploit stager。
为什么值得看：完整复盘展示了同一台未修补 ActiveMQ 服务器被两次攻破后如何走向 LockBit 部署，并给出从首次入侵到加密的时间线。
已经到底了