NadMesh僵尸网络专攻AI服务窃取云凭证
颁布功夫 2026-07-217月17日，新型Go僵尸网络NadMesh于7月初出现，专门扫描露出的AI服务如ComfyUI、、、Ollama和Gradio，运营者面板宣称占有3,811个怪异AWS密钥。。据奇安信XLab汇报，该恶意软件从环境变量和配置文件中窃取云密钥、、、K8s服务令牌及Docker登录信息，攻击指表明确指向云凭证和集群权限，而非主机自身。。NadMesh将MCP服务列为最高优先级缝隙指标，由于MCP早期规范身份验证为可选，大量部署未设防护，Censys统计可接见MCP服务已超两万个。。只管AI服务成重要指标，现实攻击流量中Docker API（30.31%）和Jenkins（22.28%）仍占主导，MCP号令执行不及0.78%。。该僵尸网络具备高度自适应能力，通过多重悠久化、、、混合打包实现免杀，使传统检测失效。。攻击指标还蕴含盛开Docker API、、、未认证Redis、、、弱密码服务及CVE-2026-39987等新近缝隙。。专家建议立即将AI服务置于认证之后，查抄异常蹊径，遭入侵须撤销所有凭证而非单一轮换。。该事务标志取攻击者从劫持算力转向夺取云权限，将AI基础设施变为数据窃取跳板。。
https://thehackernews.com/2026/07/new-nadmesh-botnet-hunts-exposed-ai.html
2. 警惕假装字体文件的垂钓攻击正在肆虐
7月17日，FortiGuard Labs近期发现一路代号为“TTF Trap”的大规模网络垂钓活动，攻击者利用Windows系统常见的TrueType字体扩大名（.ttf）假装恶意Lua剧本，诱使受害者打开看似正常的发货单据、、、付款要求或贸易提案邮件，从而习染推算机。。该攻击活动自2026年3月下旬起头活跃，其加载器早期版本可追忆至2025年10月，Fortinet已将威胁等级评为“高”，以为任何使用Windows系统的组织均可能成为指标。。攻击流程极具蛊惑性：垂钓邮件假意驰名公司，以紧迫口气要求收件人确认订单或发票，附带的ZIP或RAR压缩包内蕴含高度混合的JScript文件。。该剧本会复制自身大公共库文件夹并创建打算工作实现悠久化，同时解码开释合法诠释器（AutoIt或LuaJIT）与假装成.ttf的恶意剧本。。诠释器读取该“字体文件”后解密执行Lua代码，直接在内存中运行Donut shellcode以削减磁盘痕迹；；；另一变种则通过挂起的colorcpl.exe过程注入有效载荷。。最终投放的恶意软件因攻击而异，FortiGuard Labs已观测到Agent Tesla、、、Remcos、、、XWorm及Snake Keylogger等多种变种，可窃取凭证、、、纪录键盘或远程节制受害系统。。
https://hackread.com/ttf-trap-phishing-fake-font-files-windows-malware/
3. WordPress主题曝严重缝隙，数亿网站面对风险
7月19日，近期，WordPress主题系统被发现存在两个可串联利用的高危安全缝隙，别离编号为CVE-2026-63030和CVE-2026-60137，合称“wp2shell”攻击链。。这两个缝隙影响WordPress 6.9.x及7.0.x所有受支持版本，可在默认装置环境下（无需任何插件）被未认证的远程攻击者利用，实现预身份验证远程代码执行（RCE），从而齐全节制指标网站。。其中，CVE-2026-63030是WordPress 6.9版本引入的REST API批量路由混合缝隙，而CVE-2026-60137则是涉及author__not_in参数的高危SQL注入缝隙，二者结合可组成齐全的攻击链条。。据安全钻研机构Searchlight Cyber估计，全球超过5亿个网站基于WordPress搭建，潜在受影响规模极为重大。。目前，该缝隙的技术细节尚未齐全公开，但概念验证攻击代码已浮出水面，攻击风险火烧眉毛。。WordPress官方已颁布7.0.2和6.9.5安全版本，并罕见解针对受影响版本启用了强制自动安全更新机制，督促所有站点治理员立即实现升级。。
https://securityaffairs.com/195597/hacking/attackers-can-take-over-wordpress-sites-using-newly-released-wp2shell-exploits.html
4. 微软忠告ACR窃密软件激增，企业浏览器凭证面对威胁
7月18日，微软近期监测到，利用ACR Stealer恶意软件的攻击自4月下旬至6月中旬显著激增，重要窃取企业客户浏览器中存储的密码、、、令牌及敏感文档。。该恶意软件属“恶意软件即服务”模式，疑为Amatera Stealer的变种。。其传布重要依附两条ClickFix社会工程攻击链：一条通过rundll32.exe从远程WebDAV服务器加载恶意DLL，执行混合PowerShell剧本植入Python加载器，并将载荷注入内存；；；另一条则利用MSHTA检索恶意内容，从隐写JPEG图片中解密载荷并内存执行。。最终指标均为窃取浏览器数据、、、解密DPAPI信息、、、搜索文档及OneDrive/SharePoint目录，打包外泄。。微软指出上述仅为常见案例，变种尚存。。防御建议蕴含：回绝执行可疑指令，限度接见低诺言域名，通过利用法式节制规定禁用远程剧本执行，并参考微软汇报中的入侵指标进行排查。。
https://www.bleepingcomputer.com/news/security/microsoft-warns-of-surge-in-acr-stealer-attacks-on-customers/
5. 肯尼亚总统官网遭黑客篡改，索要约31.7万美元赎金
7月19日，肯尼亚当局于本地功夫周六证实，总统威廉·鲁托的官方网站（president.go.ke）因检测到网络安全事务而被临时下线。�：诳统晒Υ鄹牧烁妹呕�，在页面上增长了一个加密钱币钱包地址，并附上勒索信息，要求以数字钱币大局支付约4100万肯尼亚先令（折合31.7万美元）赎金，以换取网站复原正常接见。。事务产生后，肯尼亚当局信息通讯技术治理局迅速启动网络安全响应和谈，第一功夫限度了对该网站的公开接见，以至总统官网在周六大部门功夫处于无法打开状态。。截至发稿时，网站仍显示“我们很快就会复原”的服务更新提醒，正式服务尚未重启。。信息、、、通讯和数字经济部长威廉·卡博戈在社交媒体平台X上发文确认了这次攻击，但强调目前没有证据批注攻击者获取了任何敏感数据或系统信息，亦未产生数据泄露。。他重申所有当局主题系统和数字服务仍安全且运行正常，并称网络安全团队已成功节制住局面，正在加紧进行修复工作。。只管被篡改的主页已被移除，但为防备进一步风险，网站尚未复原接见。。信息通讯技术部门现正发展全面的取证评估，以彻底查清事务的影响领域和入侵蹊径。。
https://cybernews.com/news/kenya-investigates-breach-of-presidents-website/
6. 雅培连遭两起网安事务，癌症诊断与门户受波及
7月18日，美国医疗保健巨头雅培公司近日披露，正在调查两起看似无关的网络安全事务，别离涉及其癌症诊断业务和LabCentral客户门户网站，且均在几天内相继曝光。。7月16日，雅培首先确认其癌症诊断业务中部门内部系统遭逢未经授权接见，但强调该事务源于收购Exact Sciences时继承的遗留系统，与雅培自有系统隔离，因而未影响其他业务、、、产品或运营。。然而，黑客组织ShinyHunters宣称对此掌管，称通过6月中旬针对雅培员工的网络垂钓攻击攻破了企业Microsoft Entra单点登录账户，窃取了蕴含内部文件、、、合同、、、客户信息、、、超2200万份医患对话纪录、、、超2000万份医疗医嘱及大量保密和谈等数据，并宣称其中蕴含姓名、、、邮箱、、、电话、、、地址、、、诞生日期及逾百万个社会保险号码。。与此同时，另一黑客组织ShadowByt3$宣称于7月4日利用泄露的客户凭证和系统缝隙入侵了雅培的LabCentral门户网站，窃取了与尝试室诊断系统有关的技术文件，蕴含出产证书、、、操作手册、、、技术规范和监管文件，但未涉及客户数据。。
https://cybernews.com/news/abbott-laboratories-breach-shinyhunters/
京公网安备11010802024551号