被称为 SideCopy 的威胁行为者被发现利用鱼叉式网络钓鱼诱饵针对印度的学术机构，将其战略焦点扩展至政府实体之外。 "SideCopy 的行动通常以鱼叉式网络钓鱼开始，利用滥用 mshta.exe 来执行恶意脚本并绕过标准安全协议，"Trellix 研究员 Boggavarapu R S S Srinivas Gupta 和 Ravishankar N C 在一份技术报告中表示。 "这种投递机制促进了远程访问木马 (RAT) 的部署，该木马是其攻击基础设施的核心支柱。"...

电商平台 BigCommerce 已提醒多个商家防范数据泄露，此前攻击者窃取了第三方 Ribon 应用的凭据，并用它们向在线商店注入恶意脚本。 这家基于云的软件即服务 (SaaS) 电商平台于 9 月 17 日确认了凭据泄露，并立即移除了这些应用以保护其客户。 总部位于英国的在线烈酒零售商 Master of Malt 是收到该通知的 BigCommerce 客户之一。该零售商表示，攻击者访问了购物者的信息。...

被称为 Jade Sleet 的朝鲜威胁行为者被认定与一家位于印度的信息技术 (IT) 服务行业 "规模小得多的组织" 遭入侵事件有关，这再次凸显了该对手如何持续针对开发者来入侵目标网络。 披露该活动细节的网络安全公司 SentinelOne 表示，此次事件涉及使用被追踪为 FLATROOF（又名 Gaslight）和 ROOFDECK 的 Apple macOS 后门，两者此前均曾在 2026 年 3 月至 4 月对 KelpDAO 的 LayerZero 桥的攻击中被观察到。...

美国网络安全和基础设施安全局 (CISA) 将以下漏洞 [1, 2] 加入其已知被利用漏洞 (KEV) 目录： 以下是这些漏洞的详细描述： 截至本文撰写时，目前尚无关于这三个漏洞如何在野被利用的细节，也不清楚它们是否被作为一个单一攻击链的一部分组合使用。...

Forever Security 的安全研究员 Gal Weizman 披露了一种新的攻击技术，可通过单个恶意浏览器扩展劫持流行浏览器中内置的 AI 助手。 该技术名为 BragJack，其概念验证已针对五款基于 Chromium 的浏览器或浏览器助手进行了演示：Google Chrome 的 Gemini Live、Perplexity Comet、Microsoft Edge、Opera Neon 以及 Anthropic 的 Claude in C 这项研究从五家厂商共获得超过 20,000 美元的漏洞赏金，金额从 600 美元到 7,000 美元不等，并产生了两个 CVE。...

安全研究人员发现了两条逃离 OpenAI Codex 沙箱的路径，其中一条能够从 Codex 锁定最严格的模式在开发者的机器上运行命令，无需批准提示，屏幕上也不显示任何内容。 据 Accomplish AI 的 Oren Yomtov 称，这两个漏洞均于 8 月 12 日报告给 OpenAI，并在八天内得到修复。 两者中更严重的一个被研究人员称为 Heapjack，它将一个日常操作转化为远程代码执行：在 Codex 中打开别人的仓库，向它提一个关于代码的问题，而该仓库的编写者就能在你的计算机上获得未经沙箱限制的命令执行。...

一场涉及 'indexed-btree' 包的持续 npm 恶意软件攻击行动表明，威胁行为者如何通过将恶意代码隐藏在包正常的运行时行为中，而非安装脚本中，来绕过供应链防护。 该包由 Checkmarx 研究人员发现，试图冒充合法的 'sorted-btree' 库，且已积累了 200 万次周下载量。 该行动可能还为攻击者带来了可观收益，据 Checkmarx 称，攻击者使用了一个持有 109 ETH 的钱包。不过，报告并未说明这些资金来自加密货币盗窃。...

ShinyHunters 勒索团伙入侵了 Clop（又名 Cl0p）勒索软件组织的数据泄露站点，篡改了该 Tor 站点，并据称窃取了服务器数据及其 onion 服务的私钥。 攻击始于周五晚间，ShinyHunters 利用了他们所称的 Grav CMS 中一个未认证文件上传漏洞，借此向 Clop 的站点上传了一个小文本文件。 这个小文本文件包含了一条来自威胁行为者发给 Clop 勒索软件团伙的消息，警告其不要威胁他们，并附有一个指向 ShinyHunters 自己数据泄露站点的链接。...

一份联合执法公告警告称，朝鲜黑客组织 WaterPlum 从 2025 年 12 月至 2026 年 7 月在全球范围内入侵了至少 30,000 台设备，并向朝鲜转移了超过 1,070 万美元的被窃加密货币。 这些数字来自日本、美国、澳大利亚和德国当局的联合公告，各方共同追踪了该威胁组织的活动。 WaterPlum 与一场持续多年的名为 "Contagious Interview" 的攻击行动有关，该行动此前曾针对求职者投放恶意 npm 包，使恶意软件感染其设备。...

Forever Security 的安全研究员 Gal Weizman 披露了一种新的攻击技术，可通过单个恶意浏览器扩展劫持流行浏览器中内置的 AI 助手。 该技术名为 BragJack，其概念验证已针对五款基于 Chromium 的浏览器或浏览器助手进行了演示：Google Chrome 的 Gemini Live、Perplexity Comet、Microsoft Edge、Opera Neon 以及 Anthropic 的 Claude in C 这项研究从五家厂商共获得超过 20,000 美元的漏洞赏金，金额从 600 美元到 7,000 美元不等，并产生了两个 CVE。...