NadMesh僵尸网络专攻AI服务窃取云凭证
颁布功夫 2026-07-217月17日，新型Go僵尸网络NadMesh于7月初出现，专门扫描露出的AI服务如ComfyUI、Ollama和Gradio，运营者面板宣称占有3,811个怪异AWS密钥 。据奇安信XLab汇报，该恶意软件从环境变量和配置文件中窃取云密钥、K8s服务令牌及Docker登录信息，攻击指表明确指向云凭证和集群权限，而非主机自身 。NadMesh将MCP服务列为最高优先级缝隙指标，由于MCP早期规范身份验证为可选，大量部署未设防护，Censys统计可接见MCP服务已超两万个 。只管AI服务成沉要指标，现实攻击流量中Docker API（30.31%）和Jenkins（22.28%）仍占主导，MCP号令执行不及0.78% 。该僵尸网络具备高度自适应能力，通过多沉悠久化、混合打包实现免杀，使传统检测失效 。攻击指标还蕴含盛开Docker API、未认证Redis、弱密码服务及CVE-2026-39987等新近缝隙 。专家建议立即将AI服务置于认证之后，查抄异常蹊径，遭入侵须撤销所有凭证而非单一轮换 。该事务标志取攻击者从劫持算力转向夺取云权限，将AI基础设施变为数据窃取跳板 。
https://thehackernews.com/2026/07/new-nadmesh-botnet-hunts-exposed-ai.html
2. 警惕假装字体文件的垂钓攻击在肆虐
7月17日，FortiGuard Labs近期发现一路代号为“TTF Trap”的大规模网络垂钓活动，攻击者利用Windows系统常见的TrueType字体扩大名（.ttf）假装恶意Lua剧本，诱使受害者打开看似正常的发货单据、付款要求或贸易提案邮件，从而习染推算机 。该攻击活动自2026年3月下旬起头活跃，其加载器早期版本可追忆至2025年10月，Fortinet已将威胁等级评为“高”，以为任何使用Windows系统的组织均可能成为指标 。攻击流程极具蛊惑性：垂钓邮件假意驰名公司，以紧迫口气要求收件人确认订单或发票，附带的ZIP或RAR压缩包内蕴含高度混合的JScript文件 。该剧本会复造自身大公共库文件夹并创建打算工作实现悠久化，同时解码开释合法诠释器（AutoIt或LuaJIT）与假装成.ttf的恶意剧本 。诠释器读取该“字体文件”后解密执行Lua代码，直接在内存中运行Donut shellcode以削减磁盘痕迹 ；另一变种则通过挂起的colorcpl.exe过程注入有效载荷 。最终投放的恶意软件因攻击而异，FortiGuard Labs已观测到Agent Tesla、Remcos、XWorm及Snake Keylogger等多种变种，可窃取凭证、纪录键盘或远程节造受害系统 。
https://hackread.com/ttf-trap-phishing-fake-font-files-windows-malware/
3. WordPress主题曝严沉缝隙，数亿网站面对风险
7月19日，近期，WordPress主题系统被发现存在两个可串联利用的高危安全缝隙，别离编号为CVE-2026-63030和CVE-2026-60137，合称“wp2shell”攻击链 。这两个缝隙影响WordPress 6.9.x及7.0.x所有受支持版本，可在默认装置环境下（无需任何插件）被未认证的远程攻击者利用，实现预身份验证远程代码执行（RCE），从而齐全节造指标网站 。其中，CVE-2026-63030是WordPress 6.9版本引入的REST API批量路由混合缝隙，而CVE-2026-60137则是涉及author__not_in参数的高危SQL注入缝隙，二者结合可组成齐全的攻击链条 。据安全钻研机构Searchlight Cyber估计，全球超过5亿个网站基于WordPress搭建，潜在受影响规模极为重大 。目前，该缝隙的技术细节尚未齐全公开，但概想验证攻击代码已浮出水面，攻击风险火烧眉毛 。WordPress官方已颁布7.0.2和6.9.5安全版本，并罕见解针对受影响版本启用了强造自动安全更新机造，督促所有站点治理员立即实现升级 。
https://securityaffairs.com/195597/hacking/attackers-can-take-over-wordpress-sites-using-newly-released-wp2shell-exploits.html
4. 微软忠告ACR窃密软件激增，企业浏览器凭证面对威胁
7月18日，微软近期监测到，利用ACR Stealer恶意软件的攻击自4月下旬至6月中旬显著激增，重要窃取企业客户浏览器中存储的密码、令牌及敏感文档 。该恶意软件属“恶意软件即服务”模式，疑为Amatera Stealer的变种 。其传布重要依附两条ClickFix社会工程攻击链：一条通过rundll32.exe从远程WebDAV服务器加载恶意DLL，执行混合PowerShell剧本植入Python加载器，并将载荷注入内存 ；另一条则利用MSHTA检索恶意内容，从隐写JPEG图片中解密载荷并内存执行 。最终指标均为窃取浏览器数据、解密DPAPI信息、搜索文档及OneDrive/SharePoint目录，打包表泄 。微软指出上述仅为常见案例，变种尚存 。防御建议蕴含：回绝执行可疑指令，限度接见低诺言域名，通过利用法式节造规定禁用远程剧本执行，并参考微软汇报中的入侵指标进行排查 。
https://www.bleepingcomputer.com/news/security/microsoft-warns-of-surge-in-acr-stealer-attacks-on-customers/
5. 肯尼亚总统官网遭黑客篡改，索要约31.7万美元赎金
7月19日，肯尼亚当局于本地功夫周六证实，总统威廉·鲁托的官方网站（president.go.ke）因检测到网络安全事务而被临时下线 。黑客成功篡改了该门户网站，在页面上增长了一个加密钱币钱包地址，并附上勒索信息，要求以数字钱币大局支付约4100万肯尼亚先令（折合31.7万美元）赎金，以换取网站复原正常接见 。事务产生后，肯尼亚当局信息通讯技术治理局迅速启动网络安全响应和谈，第一功夫限度了对该网站的公开接见，以至总统官网在周六大部门功夫处于无法打开状态 。截至发稿时，网站仍显示“我们很快就会复原”的服务更新提醒，正式服务尚未沉启 。信息、通讯和数字经济部长威廉·卡博戈在社交媒体平台X上发文确认了这次攻击，但强调目前没有证据批注攻击者获取了任何敏感数据或系统信息，亦未产生数据泄露 。他沉申所有当局主题系统和数字服务仍安全且运行正常，并称网络安全团队已成功节造住局面，在加紧进行建复工作 。只管被篡改的主页已被移除，但为防备进一步风险，网站尚未复原接见 。信息通讯技术部门现正发展全面的取证评估，以彻底查清事务的影响领域和入侵蹊径 。
https://cybernews.com/news/kenya-investigates-breach-of-presidents-website/
6. 雅培连遭两起网安事务，癌症诊断与门户受波及
7月18日，美国医疗保健巨头雅培公司近日披露，在调查两起看似无关的网络安全事务，别离涉及其癌症诊断业务和LabCentral客户门户网站，且均在几天内相继曝光 。7月16日，雅培首先确认其癌症诊断业务中部门内部系统遭逢未经授权接见，但强调该事务源于收购Exact Sciences时继承的遗留系统，与雅培自有系统隔离，因而未影响其他业务、产品或运营 。然而，黑客组织ShinyHunters宣称对此掌管，称通过6月中旬针对雅培员工的网络垂钓攻击攻破了企业Microsoft Entra单点登录账户，窃取了蕴含内部文件、合同、客户信息、超2200万份医患对话纪录、超2000万份医疗医嘱及大量保密和谈等数据，并宣称其中蕴含姓名、邮箱、电话、地址、诞生日期及逾百万个社会保险号码 。与此同时，另一黑客组织ShadowByt3$宣称于7月4日利用泄露的客户凭证和系统缝隙入侵了雅培的LabCentral门户网站，窃取了与尝试室诊断系统有关的技术文件，蕴含出产证书、操作手册、技术规范和监管文件，但未涉及客户数据 。
https://cybernews.com/news/abbott-laboratories-breach-shinyhunters/
京公网安备11010802024551号