文章总结： 本周高级威胁情报解读涵盖多个攻击团伙和事件，包括虚假面试恶意仓库、npm包供应链攻击、勒索软件劫持AD组策略、多阶段感染链以及AI辅助恶意软件等，揭示了当前网络安全威胁的复杂性和多样性。
综合评分： 85
文章分类： 威胁情报,漏洞分析,恶意软件,网络安全,漏洞预警,解决方案
每周高级威胁情报解读(2026.09.18~09.24)
威胁情报中心
威胁情报中心
奇安信威胁情报中心
2026年9月25日 14:25
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
2026.09.18~09.24
攻击团伙情报
- Contagious Interview 团伙依托虚假面试投放恶意 Git 仓库
- WaterPlum 团利用虚假技术面试针对全球 IT 从业者投放恶意 npm 包
- TraderTraitor 反向 C2 后门重现，攻击者主动调用受害主机 API 下发指令
- GHAPPIER 加载器曝光：PolinRider 开源供应链投毒，利用 npm 可信发布机制投递自删除载荷
- SideCopy 借助 MSHTA 执行载荷并部署远控木马
攻击行动或事件情报
- MemTensor npm 和 PyPI 包在凭证窃取供应链攻击中遭到入侵
- ShinyHunters 宣称入侵 FBI 是为报复一份 “不实报告”
- 恶意 npm 包攻击活动瞄准集成 Twilio 的开发人员
- PAYLOAD 勒索团伙劫持 AD 组策略，借助 GPO 在域环境批量部署勒索载荷
- 从注册表驻留 PowerShell 到内存加密货币挖矿：一条多阶段感染链
恶意代码情报
- RemControl：AI 生成覆盖弹窗，受害者 PIN 码被盗
- 封闭法定集群（The Closed Quorum）：首个被公开报告的自主 AI C2 植入程序深度剖析
- EvilTokens 揭秘：追溯设备代码钓鱼攻击的技术根源
- Vidar 新增代码虚拟化保护，使用自研流密码加密字符串规避检测
漏洞情报
- MikroTrick：技术分析、漏洞披露流程以及大模型智能体的利用
攻击团伙情报
01
Contagious Interview 团伙依托虚假面试投放恶意 Git 仓库
披露时间：2026年9月21日
情报来源：https://www.atlassian.com/blog/how-we-build/disrupting-contagious-interview
相关信息：
Atlassian报告称，朝鲜威胁行为者长期开展Contagious Interview活动，针对软件开发者与IT人员。攻击者通过LinkedIn等冒充招聘方，以假面试和编码评估为诱饵，把恶意仓库托管在Bitbucket、GitHub、GitLab等可信平台，诱使目标运行并窃取凭证、加密钱包、API令牌和企业访问权限。Atlassian已下架数百仓库和账号，并简化Bitbucket举报。恶意仓库常以招聘、开发、加密Web3命名，用庞大模板代码藏匿载荷，执行方式含混淆JavaScript、npm生命周期脚本、VS Code自动任务、Git钩子、假字体、恶意及私有npm依赖和SVG文件，感染链涉及BeaverTail、OtterCookie、InvisibleFerret等。攻击者还要求候选人录制评估视频并上传代码，使受害者成为分发链。
02
WaterPlum 团利用虚假技术面试针对全球 IT 从业者投放恶意 npm 包
披露时间：2026年9月18日
情报来源：https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/north-korean-waterplum-commonly-referred-to-as-contagious-interview-cyber-actor-group-targeting-it-professionals
相关信息：
日本、美国、澳大利亚、德国等多国机构联合发布咨询报告，指出朝鲜网络行为体WaterPlum（即“Contagious Interview”）针对全球IT专业人员发起攻击，冒充招聘方以技术面试或编码测试为名，诱骗受害者下载执行恶意NPM包，其中嵌入BeaverTail、InvisibleFerret、OtterCookie、StoatWaffle等恶意软件。该组织在100多个国家感染至少3万台设备，从7000多个加密货币钱包窃取至少17亿日元，约合1071万美元。其与部分朝鲜IT工作者同属劳动党军需工业部313总局。报告还披露朝鲜IT工作者利用“笔记本电脑农场”和虚拟专用服务器，使用伪造身份及他人银行账户获取外包合同并接收付款，资金汇回朝鲜，日本当局首次捣毁了一个境内笔记本电脑农场。
03
TraderTraitor 反向 C2 后门重现，攻击者主动调用受害主机 API 下发指令
披露时间：2026年9月18日
情报来源：https://www.sentinelone.com/labs/dont-call-us-well-call-your-apis-tradertraitor-backdoors-resurface-on-victim-with-no-crypto-ties/
相关信息：
SentinelOne披露朝鲜Lazarus子组TraderTraitor在攻击LayerZero Labs后，又感染了一家与加密货币无关的印度IT服务商。攻击者通过假招聘面试和武器化Terraform编码项目，在.terraform.lock.hcl中植入指向攻击者控制的provider域名，诱使开发者在执行terraform init时下载并运行恶意模块。受害者为一名DevOps工程师的Apple Silicon MacBook，该设备可访问AWS、OVH和OpenStack云凭证。植入的后门包括FLATROOF和ROOFDECK，均为Rust编写的ARM64 macOS后门。FLATROOF负责初始数据收集并部署ROOFDECK，后者支持通过Nostr公钥死投解析C2，具备命令执行、文件操作、上传下载、持久化、自毁、剪贴板和反向shell等功能。攻击者还部署了剥离符号的新版ROOFDECK并删除旧后门。报告建议将拥有云权限和源码访问的开发者列为重点监控对象，并警惕非官方Terraform provider域名。
04
GHAPPIER 加载器曝光：PolinRider 开源供应链投毒，利用 npm 可信发布机制投递自删除载荷
披露时间：2026年9月20日
情报来源：https://www.cloudsek.com/blog/ghappier-malware-loader-npm-supply-chain-attack
相关信息：
CloudSEK披露2026年9月9日npm包@dforge-core/dforge-mcp遭供应链攻击。攻击者利用窃取的维护者凭证，在105分钟内添加远程代码加载器，篡改GitHub Actions发布工作流使其在推送main分支时自动发布，并发布含后门的0.2.21版本。该版本存活35分38秒后被撤回，0.2.22为干净版本。加载器仅一行代码，运行时从Vercel主机获取后续载荷，最终植入自删除的Node后门，连接C2。同一加载器出现在65个仓库、22个账户中，与朝鲜相关PolinRider活动关联，使用以太坊空交易接收者地址作为死投获取C2，钱包地址已公开。攻击者通过窃取开发者缓存git凭证获得写权限。建议封锁恶意主机和IP，扫描标记文件，勿依赖npm provenance判断源码完整性。
05
SideCopy 借助 MSHTA 执行载荷并部署远控木马
披露时间：2026年9月17日
情报来源：https://www.trellix.com/blogs/research/sidecopy-threat-intel-mshta-execution-rat-deployment/
相关信息：
Trellix披露SideCopy APT组织近期针对政府及学术机构的攻击活动。攻击者通过鱼叉钓鱼投递ZIP压缩包，内含伪装成DOCX的恶意LNK文件及诱饵GIF。LNK调用mshta.exe从远程服务器下载混淆HTA文件，执行后通过.NET反序列化在内存中加载ne4snapk.dll，进而释放持久化批处理appT.bat、第二阶段HTA文件startT.hta和诱饵文档。持久化通过修改注册表Run键实现，appT.bat以隐藏方式启动mshta.exe运行startT.hta。该脚本滥用已弃用的BinaryFormatter类，经Base64解码和内存流转换后反射加载lologueg.dll，即ReverseRAT，实现无文件执行。RAT具备截屏、窃取密码、文件操作、鼠标控制等命令，通过端口5863将AES加密数据外传至C2。
攻击行动或事件情报
01
MemTensor npm 和 PyPI 包在凭证窃取供应链攻击中遭到入侵
披露时间：2026年9月23日
情报来源：https://socket.dev/blog/memtensor-compromise
https://www.stepsecurity.io/blog/sckit-supply-chain-worm-hits-memtensor-npm-pypi-scopes
https://www.aikido.dev/blog/supplychain-local-memtensor-npm-pypi
相关信息：
MemTensor的MemOS开源记忆框架遭供应链攻击。npm包@memtensor/memos-cloud-openclaw-plugin的0.1.21、0.1.23、0.1.25及PyPI包MemoryOS的2.0.34被植入跨平台Go二进制scikit。npm插件在OpenClaw网关启动和每次记忆召回时后台执行，PyPI包在导入memos时启动。该二进制搜索主目录和环境变量，窃取npm、PyPI、GitHub、GitLab、AWS、Vault、SSH等凭证，外传至skyleen.fr的C2服务器。恶意代码还进入GitHub提交并篡改发布工具，可能利用窃取的发布令牌重新发布包。
02
ShinyHunters 宣称入侵 FBI 是为报复一份 “不实报告”
披露时间：2026年9月23日
情报来源：https://www.malwarebytes.com/blog/news/2026/09/shinyhunters-claims-fbi-breach-was-revenge-for-false-report
相关信息：
ShinyHunters声称入侵FBI，报复FBI第二季度指其散布虚假信息的报告。该组织发文点名FBI网络部门助理局长Brett Leatherman和局长Kash Patel，否认FBI关于其夸大访问权限、骚扰受害者及家属、实施swatting、谎称掌握敏感照片视频等指控，否认是性勒索者或属于The Com，要求FBI一周内删除或更正报告，并威胁记者。它称已攻破FBI的Criminal Justice、HR、Medlink等服务，掌握几乎所有FBI特工及求职者敏感数据，向404 Media提供约5000名特工样本，含姓名、住址、电话及配偶信息。FBI jobs网站被篡改，FBI称正调查，未确认泄露范围。
03
恶意 npm 包攻击活动瞄准集成 Twilio 的开发人员
披露时间：2026年9月22日
情报来源：https://www.f5.com/labs/articles/cloud-takeover-mass-scanning-for-exposed-vite-endpoints-cve-2026-39364
相关信息：
ReversingLabs披露一起针对Twilio开发者的恶意npm包活动，包名为tw-pkgprobe-7731，2026年8月中旬发布，8月14日连续发布11个版本。该包伪装成Twilio HackerOne漏洞赏金计划授权的安全研究工具，实际收集环境变量、系统信息和工作目录并通过webhook外传。1.0.1至1.0.3版本转向搜索Twilio账户SID，并向node_modules注入自定义npm包；1.0.4版本开始直接窃取ACCOUNT_SID和AUTH_TOKEN。后续版本恢复探测行为，并扫描Twilio相关主机及AWS元数据地址。该包命名和发布账号均不符合Twilio漏洞赏金计划规范，且外传敏感数据，明显违反规则，具有恶意意图。发布一小时后被npm移除。活动缺乏混淆、仿冒域名等常见规避手法，显示攻击者技术水平有限。报告指出，2026年前八个月npm恶意包数量达5723个，已超2024年全年，供应链威胁持续加剧。
04
PAYLOAD 勒索团伙劫持 AD 组策略，借助 GPO 在域环境批量部署勒索载荷
披露时间：2026年9月21日
情报来源：https://securelist.com/tr/payload-ransomware-via-group-policy/121335/
相关信息：
卡巴斯基GERT披露2026年4月中东某制造企业遭PAYLOAD勒索攻击事件。攻击者利用泄露域凭证通过FortiGate SSL VPN进入内网，获得域管理员级权限后，在域根创建并链接名为PAYLOAD的恶意GPO，通过组策略向所有域内Windows工作站分发勒索信、劫持桌面壁纸和锁屏、强制登录横幅并禁用本地管理员账户。另创建win Firewall Off GPO关闭所有防火墙配置。攻击者未在Windows终端投放任何恶意二进制或加密文件，所有持久化均在Active Directory的GPO链接中，终端清理无法根除。仅在Linux服务器上发现针对ESXi的PAYLOAD样本，数据从文件服务器外泄并发布至暗网。GERT确认无文件加密、无终端驻留、无恶意进程。
05
从注册表驻留 PowerShell 到内存加密货币挖矿：一条多阶段感染链
披露时间：2026年9月18日
情报来源：https://labs.k7computing.com/index.php/from-registry-stored-powershell-to-in-memory-cryptocurrency-mining-a-multi-stage-infection-chain/
相关信息：
K7 Labs分析了一起多阶段加密货币挖矿感染链，攻击者大量使用混淆和隐蔽载荷投递。初始PowerShell脚本存储在注册表中并动态执行，通过查询sslvalidcert.com等域名的DNS TXT记录获取十进制编码数据，转换为URL后从frames-1zm.pages.dev下载PNG图片，从像素红色通道提取隐藏脚本。该脚本连接C2 104.21.2.193:8443获取后续PowerShell，清理Public\Music目录并下载含WAV文件的ZIP。atsg.wav和tmav.wav作为载荷容器，脚本跳过44字节WAV头并通过合并连续字节低四位重建数据。atsg.wav负责安全规避和持久化，包括修改执行策略、添加Defender排除项、删除PowerShell历史、创建隐藏计划任务和WMI事件订阅。tmav.wav提取出.NET可执行文件并在内存加载，最终部署基于XMRig的挖矿程序，使用RandomX算法连接矿池，释放WinRing0.sys驱动优化CPU。C2通道独立于挖矿活动，可持续控制主机。
恶意代码情报
01
RemControl：AI 生成覆盖弹窗，受害者 PIN 码被盗
披露时间：2026年9月23日
情报来源：https://www.group-ib.com/blog/remcontrol-android-banking-trojan/
相关信息：
Group-IB发现新型安卓银行木马RemControl，以恶意软件即服务模式运营，2026年7月首见，基础设施5月活跃。它借假冒TVTap IPTV页面和恶意广告传播，攻击意大利、法国、西班牙、波兰、葡萄牙、加拿大及海湾国家用户。木马滥用无障碍服务，在正规银行应用上注入钓鱼覆盖层，窃取PIN、验证码和卡信息，并具备实时屏幕串流、键盘记录、远程控制和图案锁窃取。安装器用本地VPN阻断Google Play Protect，每次安装生成新证书，C2经Telegram死信箱动态解析。调查发现暴露的C2 API文档、附属跟踪和构建系统，以及AI辅助开发痕迹，生产钓鱼页面残留完整AI回复，文档把覆盖层称为测验，把受害者称为盯着测验的人。操作者追踪为UNKK，可能与Medusa UNKN有关。
02
封闭法定集群（The Closed Quorum）：首个被公开报告的自主 AI C2 植入程序深度剖析
披露时间：2026年9月22日
情报来源：https://blog.talosintelligence.com/the-closed-quorum-inside-the-first-reported-autonomous-ai-c2-implant/
相关信息：
Cisco Talos披露首个公开记录的自主AI命令控制植入程序CLOSEDQUORUM。该恶意软件为Go编写的64位Windows可执行文件，将商业大语言模型作为C2基础设施，最多查询DeepSeek、Qwen、Mistral和Google Gemini四个模型，以多数投票决定下一步行动。系统提示要求模型仅输出可执行决策，JSON结构包含decision、reasoning等字段，可选项为inject、persist、steal、move，分别对应进程注入、持久化、凭据窃取和横向移动。窃取目标包括LSASS内存、Chrome、Edge、Firefox保存的密码以及MetaMask、Exodus等加密钱包，数据经AES-256-GCM加密后通过Discord webhook外传。平票时按DeepSeek、Qwen、Mistral、Gemini顺序优先。公开分发版含占位符API密钥，实际按操作员定制编译。该架构将战术决策从人类操作员转移给AI，无需专用C2服务器或持续人工指令，代表了攻击链自主化的早期形态。
03
EvilTokens 揭秘：追溯设备代码钓鱼攻击的技术根源
披露时间：2026年9月22日
情报来源：https://www.microsoft.com/en-us/security/blog/2026/09/22/unmasking-eviltokens-getting-to-the-root-of-device-code-phishing/
相关信息：
微软披露钓鱼即服务平台EvilTokens，自2026年2月出现后迅速成为最广泛使用的PhaaS之一，由Storm-2992运营。该平台滥用OAuth设备代码授权流程，通过Telegram以1500美元加月费500美元出售，提供AI辅助定制诱饵和分析邮箱，已入侵超1.2万个邮箱、逾1万个组织。攻击者发送44种主题的钓鱼邮件，诱导用户点击链接或附件，页面自动生成设备代码并引导在微软官方页面输入，从而授权攻击者会话，绕过MFA。获取令牌后，攻击者窃取邮件、创建隐藏收件箱规则、注册设备获取主刷新令牌实现持久化，并利用Graph侦察组织结构。平台采用多阶段规避，滥用Vercel、Cloudflare Workers和AWS Lambda等合法服务。微软数字犯罪部门已联合合作伙伴 disruption 其基础设施。防御建议包括尽可能阻止设备代码流、配置条件访问、启用防钓鱼与Safe Links、监控异常收件箱规则，并使用防钓鱼MFA。
04
Vidar 新增代码虚拟化保护，使用自研流密码加密字符串规避检测
披露时间：2026年9月21日
情报来源：https://www.lumen.com/blog/en-us/the-banana-stand-brokering-and-managing-infections-across-asia-using-mqtt
相关信息：
Zscaler ThreatLabz追踪了Vidar信息窃取程序从2026年5月至9月的字符串混淆技术演变。Vidar最初使用单字节XOR，后采用ChaCha20并逐步修改。从内部版本2.0起，引入自定义虚拟机和每构建变化的流密码。虚拟机由轻量级字节码解释器执行，含14个操作码处理程序，通过分发表映射，用XOR、加减、旋转等操作变异累加器并输出字节。流密码有两种：修改的ChaCha类和ARX类，密钥和nonce由虚拟机解密，每构建的常量与操作不同。这些每构建变化的混淆旨在增加静态和自动化分析难度，同时保持接口稳定。
漏洞情报
01
MikroTrick：技术分析、漏洞披露流程以及大模型智能体的利用
披露时间：2026年9月22日
情报来源：https://cert.pl/en/posts/2026/09/mikrotrick-technical-analysis/
相关信息：
CERT Polska披露MikroTrick漏洞链，影响MikroTik RouterOS的SSH服务，由CVE-2026-67279和CVE-2026-86060组成。前者允许在用户认证期间发起rekey，服务器错误进入通道处理而无需认证成功；后者将未验证用户名传给/nova/bin/login，用户名以短横线开头被当作选项，负二使login从文件描述符二读取，而该描述符指向与SSH通道共享输入队列的伪终端，攻击者可借此传入策略掩码，最终无密码无密钥获得完全管理权限。补丁于9月3日发布，CERT Polska通过补丁比对和公开日志一小时内识别第二个漏洞并提供PoC。攻击最早9月2日在野出现，使用IP 82.192.72.4、用户名负二并创建ops账户，还外传诊断文件。研究使用LLM代理自动化虚拟机、快照和逆向分析，显示AI加速补丁分析与漏洞重建。相关CVE已被CISA列入KEV。
点击阅读原文至ALPHA 9.0
即刻助力威胁研判
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：奇安信威胁情报中心 威胁情报中心
威胁情报中心《每周高级威胁情报解读(2026.09.18~09.24)》