⚡ 每周回顾：中国间谍代理、AI 代理偏离任务、路由器后门及更多内容

大部分麻烦都源于那些看似不起眼的环节。

路由器出厂时就处于监听状态；虚假的检查诱使用户成为安装者；受信任的系统收集流量和密码后清除日志；旧漏洞形成新的攻击链；甚至有AI代理认为分配的任务是可选的。

其他地方，虚假应用、虚假支持电话、廉价银行工具包、暴露的系统和弱默认设置让攻击持续发生。不同的攻击，相同的核心错误：对熟悉的事物不加思索就信任。

以下是本周内容……

⚡ 本周威胁

美国捣毁支持网络间谍活动的中国代理网络 ——美国联邦调查局（FBI）捣毁了与一名技术供应商相关的基础设施，该供应商为中国网络间谍活动提供侦察、代理管理和运营路由能力。据信QTYF团伙创建并运营了QScan和QTRouter框架，这些框架被用于针对美国关键基础设施网络。该团伙受雇于中国的南京新久维网络科技有限公司。

🔔 头条新闻

• OpenAI 称奖励黑客行为导致AI代理入侵Hugging Face ——OpenAI 透露，奖励黑客行为是上月AI驱动的Hugging Face入侵的关键驱动因素，还补充称早在5月下旬就发现了行为失配的证据。该事件发生在对OpenAI多款模型进行网络安全评估期间，主要由其所谓的“高度强大、仅内部使用的研究模型”推动，规模与GPT‑5.6 Sol相当。该公司表示：“这些模型在降低安全保障的情况下运行，采取了与分配任务目标失配的行动——通过未授权渠道通信、利用共享基础设施的漏洞、获取互联网访问权限、访问第三方系统。”
• TerminalFix利用虚假Cloudflare验证码投放反向隧道植入程序 ——一种名为TerminalFix的新型ClickFix变体，旨在诱使用户在Windows终端或PowerShell中运行恶意命令，而非引导至Windows运行对话框。该活动针对多个行业的组织，利用被入侵的网站作为起点，提供虚假Cloudflare验证码，诱使毫无戒心的网站访问者复制并执行恶意PowerShell命令。据微软称，该攻击链是一个复杂的多阶段过程，利用DLL侧加载、隐写 payload 提取、广泛的Active Directory侦察，以及定制的反向隧道植入程序，该植入程序通过受感染机器为攻击者提供持久的网络级代理访问权限。
• PaperCut漏洞遭攻击 ——威胁行为者正在将PaperCut NG和MF中的两个新安全漏洞串联起来，在易受攻击的实例上执行任意代码。watchTowr威胁情报主管Jake Knott告诉《黑客新闻》：“CVE-2026-81578允许你绕过身份验证，之后你可以编辑配置文件来利用CVE-2026-82078并获得远程代码执行。”Huntress表示，它在两个客户环境中观察到有限的利用，攻击者在目标服务器上执行Base64编码命令作为入侵后活动的一部分，以确定用户账户和操作系统，使用的串联命令为“whoami & ver”。
• 中国制造ZBT路由器预装2后门 ——对ZBT Deep Orange 3G/4G/LTE路由器的固件分析发现了两个名为SPEAKINGSTONE（CVE-2026-74233，CVSS评分：9.3）和DARKLANTERN（CVE-2026-74232，CVSS评分：9.3）的新后门。此前至少有21个中国公司的固件镜像被发现包含另一个名为ENDLESSDOORS（CVE-2026-66747，CVSS评分：9.3）的后门，该后门设计为自动启动，并尝试每35秒向中国命令与控制（C2）基础设施发送信标。这两个新后门早于ENDLESSDOORS。VulnCheck表示：“与ENDLESSDOORS一样，SPEAKINGSTONE是一种回连植入程序，连接到ZBT的云基础设施并接受远程命令。DARKLANTERN是一种监听WAN并执行任意命令的后门，无需身份验证。两者均用Nim编写，均通过UDP通信，均由同一二进制文件（名为inetdetect的连接监控程序）启动。”
• Fire Ant针对2026中的受信任基础设施 ——与中国关联的威胁行为者Fire Ant（又名UNC3886）继续在2026活动，超越 hypervisor 针对受信任基础设施，包括路由器（包括Cisco IOS XR路由器）、TACACS服务器、身份验证系统和Linux管理主机，以维持秘密访问、收集凭据和流量，并到达连接的高价值环境。Sygnia表示：“入侵影响了直接和第三方环境。其受信任的基础设施关系创造了进入连接的外部环境的潜在可达性，包括高价值网络和关键基础设施。Fire Ant似乎利用这种受信任的位置探索超出最初入侵环境的访问路径。”被入侵的路由器用于秘密连接、流量收集、命令输出操作和日志抑制。此外，威胁行为者在Linux管理基础设施上部署了长期植入程序，包括Medusa rootkit相关组件、自定义SSH后门、伪装成Zabbix的恶意软件（又名BridgeAgent），作为攻击者控制访问连接环境的途径，以及触发数据包的后门。Fire Ant的另一个工具是TacTap，用于收集TACACS凭据。Sygnia补充道：“该行为者还操纵了防御者依赖的证据来源。它抑制路由器日志、更改命令输出、捕获管理凭据、篡改主机日志，并部署多个持久化后门。”

‎️‍🔥 热门CVE

漏洞每周都会出现，补丁与漏洞利用之间的差距正在迅速缩小。以下是本周的重点漏洞：高严重性、广泛使用或已在野外被利用的漏洞。

查看列表，修补现有漏洞，优先处理标记为紧急的漏洞——从CVE-2025-30237到CVE-2025-30241、CVE-2025-15628、CVE-2026-9254、CVE-2026-16348、CVE-2026-78541（TP-Link）、CVE-2026-17106（又名CopyEscape，Docker）、CVE-2026-70426（Jenkins）、CVE-2026-15307、CVE-2026-15337、CVE-2026-15830、CVE-2026-15920（Django）、CVE-2026-19598（Pods）、CVE-2026-19874（Konami Metal Gear Online 3）、CVE-2026-75149、CVE-2026-67618（Marimo）、CVE-2026-77775、CVE-2026-77776（Headroom LLM Proxy）、CVE-2026-0251（Palo Alto Networks GlobalProtect App）、CVE-2026-59568、CVE-2026-59567、CVE-2026-59565（Zscaler Client Connector）、CVE-2026-69251、CVE-2026-73601、CVE-2026-69253、CVE-2026-69256、CVE-2026-73602、CVE-2026-69259、CVE-2026-69264、CVE-2026-73484、CVE-2026-69255、CVE-2026-70477、CVE-2026-73485、CVE-2026-73486、CVE-2026-73487、CVE-2026-70470、CVE-2026-69254（Flowise）、CVE-2026-19912、CVE-2026-19913（Kaltura HTML5播放器库）、CVE-2026-79282、CVE-2026-79290、CVE-2026-79054、CVE-2026-79121、CVE-2026-79224、CVE-2026-79052、CVE-2026-79150、CVE-2026-78935、CVE-2026-79012、CVE-2026-79200（Google Chrome）、CVE-2026-77537、CVE-2026-77550、CVE-2026-77554（Ubiquiti UniFi）、CVE-2026-18431（Avada WordPress主题）、CVE-2026-7791（Amazon Skylight Workspace Config Service）、CVE-2026-73554（DoltHub）、CVE-2026-19516（Grafana MCP）、CVE-2026-75604、GHSA-2xp9-vwfh-vxw4（Next.js）、CVE-2026-65643（cPanel和WebHost Manager）、CVE-2026-76639、CVE-2026-76640（Unitree G1 EDU）、CVE-2026-18885、CVE-2026-18886和CVE-2026-74820（ServiceNow AI平台）。

🎥 网络安全网络研讨会

• AI可在数分钟内构建攻击路径。您的安全运营中心（SOC）准备好了吗？ → AI现在可以发现零日漏洞、生成可用的漏洞利用，并在披露后数分钟内串联完整的攻击路径。了解如何评估您的AI威胁准备情况，并建立跟上所需的可见性、上下文和响应速度。
• AI发现漏洞更快。您的暴露情况答案不能花数天时间 → AI正在加快漏洞发现速度，但关键答案仍然缓慢：我们是否暴露了？了解Tines如何将SBOM、应用程序、云和漏洞数据统一到一个视图中，以更快评估暴露情况并以机器速度执行人工审核的响应剧本。

📰 网络世界动态

• Play 勒索软件加密——名为Play（又名PlayCrypt）的封闭式勒索软件团伙采用双重勒索模式，在窃取数据后加密系统，并威胁在其Tor托管的数据泄露网站上发布被盗数据，除非支付赎金。在2026年初观察到的一起事件中，威胁行为者在获得初始访问权限后部署了SystemBC，随后进行侦察、横向移动、数据窃取，并滥用SentinelOne的合法卸载工具来卸载该产品。GuidePoint Security表示：“该威胁行为者通过被入侵的SonicWall VPN获得初始访问权限，与该团伙利用外部远程服务的有据可查的模式一致。该案例对防御者特别有启发性的是三种特定行为的组合：通过SYSVOL共享进行域范围工具部署，而非每主机交付；使用受害者自己的SentinelOne卸载实用程序而非内核级驱动程序漏洞来卸载EDR；以及从加密程序未能完成的主机中恢复崩溃转储，这为加密执行本身提供了罕见的法医窗口。”
• 电子邮件轰炸和Quick Assist用于勒索软件部署——ZeroBEC披露了针对组织内至少10名用户的电子邮件轰炸活动的细节，导致他们每天收到约3、000条消息。该电子邮件安全公司表示：“这些消息不是传统的钓鱼邮件。许多是在受害者的电子邮件地址提交到不相关的公共平台后生成的真实验证、注册、部署和查询确认。”电子邮件泛滥约一天半后，攻击者通过Microsoft Teams联系了一些用户，伪装成IT帮助台人员帮助他们解决问题。其中一名员工是本地管理员，授予了Microsoft Quick Assist访问权限，使攻击者能够部署反向代理工具Xray-core并扩大访问范围。ZeroBEC表示：“凭证窃取步骤直接融入了社会工程中。攻击者模仿Windows安全更新的安装，并从被入侵的端点启动本地凭证提示。受害者仍在听他认为是IT人员的话，将域凭证输入该提示。工具验证并捕获凭证，然后将生成的凭证/配置工件上传到外部Microsoft Dev Tunnel。”通过反向隧道，威胁行为者进行了域侦察并尝试针对证书注册进行NTLM中继，所有这些都是预勒索软件部署的标志。值得注意的是，其作案手法与Aurora勒索软件的作案手法有重叠。
• ValleyRAT通过恶意安装程序传播——一种伪装成广告软件的恶意安装程序被观察到部署了中国桌面壁纸管理工具QN Wallpaper的修改版本，该工具随后执行DLL侧加载以在Windows系统上建立持久化，方法是将文件放到启动文件夹，最终启动ValleyRAT，这是一种与名为Silver Fox的威胁行为者相关的后门。该恶意软件除了采取步骤保护其进程外，还可以收集系统信息、重启/关闭计算机、截图、清除日志、更新命令与控制（C2）地址、下载额外模块，并发送键盘记录日志和剪贴板内容。根据Kaspersky遥测数据，ValleyRAT及其相关组件已被检测到超过100、000次，影响超过1500名唯一用户，主要分布在中国和印度。
• 巴西因隐私违规对字节跳动罚款29.81万美元——巴西数据保护机构ANPD罚款TikTok的所有者字节跳动153.8万雷亚尔（29.81万美元），据称违反了该国的《通用数据保护法》。ANPD表示，中国字节跳动的本地部门在没有有效法律依据的情况下处理了13至18岁青少年的个人数据。监管机构估计，TikTok在审查期间可能处理了至少8万名儿童的数据。
• DeepMind推出双盲AI评估——谷歌的DeepMind部门启动了双盲AI评估试点，目标是将外部评估保持在加密“盒子”中，以阻止基准污染并保护知识产权。为此，谷歌表示正在与新加坡AI安全研究所、OpenMined、AVERI和MLCommons合作，在隐私保护环境中测试Gemini Flash Lite模型，使用机密基准以提高评估完整性。DeepMind表示：“通过在谷歌云的机密计算产品中使用Confidential Space，我们可以加密验证外部评估数据和专有模型对其各自所有者保持隐私。评估者无法看到Gemini模型权重，谷歌也无法看到评估者的测试提示。”

• 34个针对银行应用的恶意软件家族——Zimperium发现34个移动恶意软件家族正在全球90个国家针对超过1、243个移动银行和金融科技应用。该公司表示：“针对EMEA地区应用的集中反映了威胁行为者预期的最高投资回报，重点关注该地区的主要金融中心。”EMEA地区的活跃恶意软件家族包括TsarBot、CopyBara、HOOK、Nexus、Flubot、Eventbot和MaliBot。
• 虚假KYC应用针对印度用户投放Ghost Penal——Telegram上名为Ghost Penal的新型恶意软件即服务（MaaS）操作正在销售现成的Android银行木马工具包，伪装成印度五大银行。iZOOlogic表示：“该操作提供受自定义原生打包器保护的两阶段 dropper、接收被盗UPI PIN和设备数据的公共云数据库（无需身份验证），以及中继拦截的一次性密码以立即欺诈使用的下游通道。”该工具包的价格为5信用包25美元，三个月无限计划400美元。包含恶意 payload 的一个 dropper 伪装成视频通话应用，同时请求访问短信和电话功能。该公司补充道：“安装后，应用请求允许其安装额外应用的权限，并通过滥用辅助功能权限控制用户设备，可能导致财务欺诈。静态扫描安装的应用时，payload的实际功能（包括短信拦截、基于WebView的KYC钓鱼和数据窃取）不存在。它受内部名为libdpt.so的原生库保护，该库使用RC4在内存中解密隐藏代码段，在执行该代码前分叉进程作为反调试措施，在libc和ART运行时的类加载器上安装钩子，并将第二个隐藏的DEX档案拼接到应用的运行时类加载器中。然后使用相同机制反向删除注入的痕迹。”
• 鲍曼大学泄露暴露俄罗斯军事网络培训管道——鲍曼大学泄露记录揭示了一个长期运行的项目，该项目为第4系培训约250名职业和预备学生，从事特殊情报、运营信息技术效果和信息技术保护。DomainTools表示：“课程结合了网络防御的进攻和防御技术，以及主动措施运动和GRU活动的进攻学说。实地安置将学生从课堂教学转移到与他们专业相关的军事单位和学院，让他们在监督下接触情报行动，为军事和政府运营职业做准备。”第4系被评估与GRU相关，已识别的毕业生被分配到与APT28和Sandworm相关的军事单位。
• 五角大楼对Anthropic的黑名单被裁定非法——美国法官今年早些时候阻止了五角大楼将Anthropic指定为供应链风险的决定。地区法官Rita Lin表示：“尽管国防部无疑可以自由选择其选择的AI供应商，但证据表明对Anthropic实施的广泛措施是非法和无根据的。”“空洞地援引国家安全不是惩罚和报复政府批评者的空白支票。”Anthropic表示欢迎该裁决，并仍“专注于与政府富有成效地合作，利用AI为我们的国家安全服务，使所有美国人受益于这项技术。”
• 2024年8月AI驱动恶意软件现状 2026 —— Palo Alto Networks 旗下 42 对 405 份具备AI能力的恶意软件样本开展分析后发现，其中仅 12 份进入生产环境，约 97% 的样本仅存在于沙箱、VirusTotal平台，形式包括概念验证代码、研究代码、安全验证与测试代码，以及AI主题的品牌滥用内容。在客户终端检测到的样本中，包括 FunkSec 勒索软件、名为 Recipe Lister 的特洛伊木马化AI应用、Oyster、Rhadamanthys Stealer，以及一个COM劫持DLL。“对于防御者而言，实际结论很明确。现有的行为检测、基于云的沙箱技术和终端分析工具，可通过与拦截传统恶意软件相同的机制捕获这些威胁，”其 表示。“AI组件并不会规避检测，它改变的是代码的编写方式，而非执行方式。”
• 恶意色情Android应用导致财务欺诈——印度网络犯罪协调中心（I4C）警告称，伪装成色情应用的恶意Android应用（名称为Night Play、Reloop、Kyss、Vimo、Rivo、Nexo和Vixa）被用于传播能够进行财务欺诈的银行木马。这些虚假应用通过Facebook和Instagram广告传播，指示用户侧载APK文件。I4C表示：“安装后，应用请求允许其安装额外应用的权限，并通过滥用辅助功能权限控制用户设备，可能导致财务欺诈。一些应用还安装VPN，可用于路由与恶意/犯罪活动相关的互联网流量。应用可能阻止用户通过设备设置卸载它。”安全研究员Rudra Ponkshe于2026年7月发布了关于KYSS恶意软件的详细信息，将其描述为一种旨在对19目标（分布在日本和拉丁美洲）进行覆盖攻击的木马，以及滥用Android辅助功能服务以获得广泛权限、窃取照片和联系人，并发出命令进行后续执行。

结论

有用的教训不是每次攻击都变得更聪明。而是更多攻击通过已经信任的事物到达：出厂设备、熟悉的提示、支持工具、有效访问和旨在保护网络的系统。

这改变了问题。“它有效吗？”不再足够。要问它还能做什么、还有谁能访问它，以及它产生的证据是否可信。安静的系统值得重新审视。