嘶吼

在一场供应链攻击中，攻击者通过钓鱼攻击攻陷一名维护者的账户后，向周下载量合计超26亿次的多个NPM包植入了恶意软件。

此次供应链攻击中账户遭劫持的软件包维护者Josh Junon已于今日早些时候确认了该事件。他表示钓鱼邮件来自“support [at] npmjs [dot] help”邮箱——该邮箱对应的域名搭建了仿冒正规npmjs.com的网站。 

钓鱼邮件中，攻击者以“2025年9月10日锁定账户”相威胁，通过恐吓手段诱使目标点击链接进入钓鱼网站。邮件内容称：“为维护您账户的安全与完整，请您尽快完成更新。请注意，自2025年9月10日起，使用过期2FA凭证的账户将被临时锁定，以防止未授权访问。” 

网络钓鱼电子邮件

据收到钓鱼邮件的人士透露，攻击者使用相同邮件针对其他包维护者及开发者发起了攻击。安全研究人员发现，npmjs[.]help网站上包含一个登录表单，用户输入的凭据会被窃取并发送至以下URL：  

https://websocket-api2[.]publicvm.com/images/jpg-to-png.php?name=[name]&pass=[password]

事件发现后，NPM团队已移除攻击者发布的部分恶意版本包，其中包括周下载量达3.576亿次的“debug”包。

供应链攻击细节

安全公司Aikido Security对此次攻击进行分析后指出，攻击者接管账户后对相关包进行了更新，在index.js文件中植入了基于浏览器的拦截型恶意代码。该代码可劫持网络流量与应用程序接口（API）。 

恶意代码仅影响通过网页访问受感染应用的用户：它会监控加密货币地址及交易，将其重定向至攻击者控制的钱包地址，导致交易被攻击者劫持，而非发送至预期地址。

这款恶意软件的工作原理是：注入用户的网页浏览器后，监控以太坊、比特币、索拉纳、波场、莱特币及比特币现金的钱包地址与转账行为；一旦检测到包含加密货币交易的网络响应，便将收款地址替换为攻击者控制的地址，在交易签名前完成劫持。 

Aikido表示，恶意代码通过挂钩（hooking）JavaScript函数实现上述操作，涉及fetch、XMLHttpRequest以及钱包API（如window.ethereum、Solana相关API等）。

截至目前，遭劫持的包及其周下载量如下：

·backslash：26万次  

·chalk-template：390万次  

·supports-hyperlinks：1920万次  

·has-ansi：1210万次  

·simple-swizzle：2626万次  

·color-string：2748万次  

·error-ex：4717万次  

·color-name：1.9171亿次  

·is-arrayish：7380万次  

·slice-ansi：5980万次  

·color-convert：1.935亿次  

·wrap-ansi：1.9799亿次  

·ansi-regex：2.4364亿次  

·supports-color：2.871亿次  

·strip-ansi：2.6117亿次  

·chalk：2.9999亿次  

·debug：3.576亿次  

·ansi-styles：3.7141亿次  

Aikido Security研究员表示：“这些软件包被更新后植入了一段代码，该代码会在网站客户端执行，暗中拦截浏览器中的加密货币及Web3活动，操纵钱包交互，并篡改支付目的地——使得资金与授权被重定向至攻击者控制的账户，而用户毫无察觉。”其危险性在于多层面运作：既修改网站显示内容，又篡改API调用，还操纵用户应用程序对签名内容的认知。

攻击影响范围与背景

尽管这是一场供应链攻击，但应用程序受影响需满足特定条件，大幅降低了攻击的实际影响。具体条件包括：

1. 在软件包遭篡改时段进行了全新安装；

2. 在此期间生成了package-lock.json文件；

3. 直接或间接依赖了受漏洞影响的包。

近几个月来，已有多起类似攻击针对知名JavaScript库的开发者。例如，7月时，周下载量超3000万次的“eslint-config-prettier”包遭攻陷；3月时，另有10个广泛使用的NPM库被劫持并改造成信息窃取工具。

此次钓鱼攻击与植入的恶意软件均表明，网页浏览器已成为窃取凭据、篡改流量及入侵网络的巨大攻击面。

【梆梆安全监测】

安全隐私合规监管趋势及漏洞风险报告

（0803-0816）

●最新监管动态

监管通报动态

●监管支撑汇总

梆梆安全监管支撑数据

国家监管数据分析

●漏洞风险分析

各漏洞类型占比分析

存在漏洞的APP类型分析 

01 最新监管动态

1. 监管通报动态

8月3日，北京通管局依据相关法律法规的要求，持续开展移动互联网应用程序隐私合规和网络数据安全专项整治。截至目前，尚有20款移动互联网应用程序未整改或整改不到位，现予以公开通报。7月3日，北京通管局通报存在侵害用户权益行为的移动互联网应用程序（2025年第六期）。截至目前，仍有12款移动互联网应用程序未整改或整改不到位，现予以全网下架处置。

8月4日，工信部依据相关法律法规的要求，对APP、SDK进行检查，共发现23款APP及SDK存在侵害用户权益行为。上述APP应限期落实整改要求。逾期不整改的，工信部将依法依规组织开展相关处置工作。

8月4日，青海通管局依据相关法律法规的要求，持续开展APP侵害用户权益专项整治行动。截至目前，仍有9款APP未完成整改工作，上述APP开发运营者应限期落实整改，逾期未完成整改的，青海通管局将依法依规进行处置。

8月5日，安徽通管局依据相关法律法规的要求，持续开展APP侵害用户权益专项整治行动。截至目前，尚有5款APP（2025年第五批次）逾期未完成整改，安徽通管局对上述APP进行下架。

8月5日，上海通管局依据相关法律法规的要求，持续整治APP（SDK）侵害用户权益的违规行为。截至目前，共发现145款APP（SDK）存在侵害用户权益行为。上述APP应限期落实整改要求。逾期不整改的，上海管局将依法依规给予处理。

8月13日，国家计算机病毒应急处理中心依据相关法律法规，检测发现70款移动应用存在违法违规收集使用个人信息情况。上期通报的病毒处理中心检测发现的68款违法违规移动应用，经复测仍有25款存在问题，相关移动应用分发平台已予以下架。

8月15日，青海通管局依据相关法律法规的要求，持续开展APP（含小程序）侵害用户权益专项整治行动。经核查复检，仍有8款APP未完成整改工作，青海通管局予以下架处置。

02 监管支撑汇总

1. 梆梆安全监管支撑数据

依据近两周监管支撑发现存在隐私合规类问题的APP数据，从APP行业分类及TOP3问题数据两方面来说明。

1)问题行业TOP1：

学习教育类

2)隐私合规问题TOP3：

TOP1：164号文5 APP强制、频繁、过度索取权限；

TOP2：164号文1 违规收集个人信息；

TOP3：164号文6 APP频繁自启动和关联启动。

2. 国家监管数据分析

针对国家近两周监管通报数据，依据问题类型，统计涉及APP数量如下：

针对国家近两周监管通报数据，依据APP类型，统计出现通报的APP数量如下：

03 漏洞风险分析

从全国的Android APP中随机抽取了3,535款进行漏洞检测发现，存在中高危漏洞威胁的APP为2,752个，即77.85%以上的App存在中高危漏洞风险。而这2,752款漏洞应用中，有高危漏洞的应用共2,067款，占比75.11%，有中危漏洞的应用共2,678款，占比97.31%（同一款应用可能存在多个等级的漏洞）。存在不同风险等级漏洞的App占比如下：

各漏洞类型占比分析

对不同类型的漏洞进行统计，应用中高危漏洞数量排名前三的类型分别为Java代码反编译风险、HTTPS未校验主机名漏洞以及动态注册Receiver风险。各漏洞类型占比情况如下图所示：

存在漏洞的APP类型分析

从APP类型来看，实用工具类APP存在漏洞风险最多,占漏洞APP总量的19.38%，其次为教育学习类APP，占比13.49%，生活服务类APP位居第三，占比10.69%，漏洞数量排名前十的类型如下图所示：

篇首语：关于OSINT开源情报的概念，早已在信息安全圈里展开多年，很多安全技术部门、深挖黑灰产的企业威胁情报部门，安全研究员及技术爱好者们，都在通过各种方式检索、学习国内外的最新信息、技术和工具，及跨平台交流。

而随着近些年市场需求的快速增长，加上国内专业情报与咨询公司的陆续出现，OSINT开源情报技术也开始进入一个飞速发展的阶段。

经过多年的筹备，为了应对不断变化的商业安全态势，今天，RC²正式推出全新课程：

「OSINT商战情报官认证课程」~~

1、什么是OSINT？

相信很多朋友在一些会议现场，都听到过关于OSINT开源情报的介绍，但大部分演讲者分享的都是关于某些企业内部平台、商业平台或自动化工具的介绍，对于具体的技术都是一带而过。

那么，到底什么是OSINT呢？

OSINT，全称：Open-Source Intelligence，即开源情报搜集。以下引用百度百科内容：

开源情报搜集，是一种通过公开渠道获取并分析信息的情报收集手段，其定义为“面向特定需求，从公开信息中及时收集、开发和传播的情报”。

公开信息源包括新闻报道、学术论文、社交媒体平台资讯、采购招标文件及卫星图像等，经整理分析可提取关键领域情报。

去年，美国国家情报总监办公室（ODNI）和中央情报局（CIA）发布了《2024-2026 年情报部门OSINT战略》。

如上图，在该报告扉页，中央情报局局长William J. Burns 写道：

“作为情报部门 OSINT 职能负责人，我深知开源情报在捍卫我们的国家和价值观方面发挥着至关重要的作用。从运营分析到政策会议，开源情报几乎为美国面临的所有重大问题上的高层决策者提供决策依据。

在这个关键时刻，开源情报的重要性与需求也日益增长，制定一个覆盖整个情报部门的开源情报战略，对于帮助情报部门以协调一致、坚定不移的方式向前发展至关重要。

这一战略将帮助我们履行职责，并进一步增强OSINT对国家安全的巨大影响。”

嗯，再结合下RC²自身的例子：

回想2016年，RC²反窃密实验室成立之初，面对的情况就是国内互联网上如同白纸般无任何现成反窃密技术资料可学习的处境。

即使开展了为期三个月的全国性市场调研，也不过发现99%的行业公司都是以销售设备为主，几乎无人在技术上有专门的研究投入，而且全国能够持有全套专业检测装备的商业团队数量更是少得不到一只手......太难了

无奈之下，杨叔只能延续在十多年信息安全从业养成的习惯，先建立威胁情报小组，同步分析TSCM技术路线图，将里面大部分的技术难点标识出来，再开始大批量的数据检索翻译分析，然后逐步开展研究和实验......经过近一年的准备，才推出了前两门基础课程：

Level-1与Level-2 商业秘密&隐私保护课程

2、OSINT对RC²的意义

RC²成立至今已有九年，有个非常重要的核心技术储备，就是这些年来的行业开源情报储备。大量半公开信息和资料的检索、翻译和归类，比如合计近万页的涉及五种以上语言的技术资料、书籍、内部标准与体系资料等，协助RC²积累了非常全面的TSCM行业数据，也是RC²开启内部研究计划的主要依据。

为了让学员开始逐步理解TSCM体系，RC²将其中很多成果，分享在不同级别的TSCM专业课程中，比如：

LEVEL-2 商业秘密&隐私保护课程

作为RC²课程体系的基础课程，会通过威胁情报资料来讲述“TSCM”这个词的来源、背后故事及当前发展态势，并结合不断更新的真实商业窃密案例分析，来培养学员的商业反窃密检测基础。

杨叔TIPS：说到这里，杨叔一直觉得好笑的是：

Level-2课程只是揭开了TSCM技术体系的冰山一角，只有开始学习PPES系列课程才算进入真正的技术专家之路。而有那么几位仅仅参加过Level-2课程的学员，现已堂而皇之一边抄袭一边四处标榜自己是“TSCM专家”，真是让人哭笑不得~

......要知道，这样具备初级L2水平的学员，RC²已培养了四位数之多，而且课程内容一直在升级迭代中......更不用提，有的同学甚至已拿到好几个中高级PPES专家证书~

咳咳，欢迎新同学报名最新一期课程：

深圳，2025.09.13--09.14，Level-2课程

那些希望成为TSCM专家的中高级学员，会在进阶的PPES系列专家课程中，专注于某个具体技术领域的深入学习，比如：

PPES-101 固定电话反窃听检测专项课

课程会带领中高级学员从最早期的电话窃听案例里了解话机窃听原理，再逐步到现代IP电话窃听案件中的技术变化、威胁态势，加强对于酒店电话及企业IP电话的安全防护意识，并学习多种专业设备开展电话线路检测。

再比如2025新推出的专业课程（预计10月份正式发布）：

PPES-109 强弱电线路安全检测专项课

课程里，高级学员们会从上百页的PPT里，先了解前东德SATSI等情报机构部署的线路监视器材及原理，再学习如何检测现代线路监视器材，通过RC²积累的大量技术威胁情报和亲自上手的模拟检测实验，可以清晰地感受到真正TSCM检测专家面临的挑战。

而在同样新推出的：

PPES-201 智能手机隐私保护实践课

课程会向高级学员展示作为高净值个体，到底会面对哪些手机监听技术风险？通过威胁情报不断更新的真实案例中，及对攻击细节的描述，来协助学员理解风险并学习应对防御。

至于仅面向大型企业，培养专业TSCM检测团队的：

PPES-X 物理安全检测专家

专家团队课程中，更设置了全面深入的TSCM行业威胁情报课程，来协助学员们快速了解全球TSCM行业体系、国际标准、检测设备厂商资料、专业服务公司背景、行业协会、TS器材威胁等等，内容复杂，就不一一举例了。

最后，在「RC²内部威胁情报研究项目」中，每年都聚焦在更加深入的实战检测技术细节上，并在不断探索中，以及与不同行业不同国家的各类专家交流，来寻求更多技术盲区的答案。感兴趣可以私聊：）

PS：在杨叔看来，越研究越发现技术的颗粒度越多，也越觉得自身能力的不足，与其自己随意加个头衔YY，杨叔更相信唯有通过庞大的资料储备、实验研究与项目积累，才能慢慢成为业内认可的TSCM Specialist。

至少，杨叔在去年收到意大利TSCM协会会长主动颁发的“TSCM MASTER大师级证书”时，收到这位近70岁在冷战时期就从事TSCM的老专家认同，以及专门发的祝贺邮件来表示对RC²这些年来技术储备的鼓励，还是感动+惭愧不如的。

RC²反窃密实验室推出的这一套OSINT实用课程体系，完全基于标准化OSINT知识体系，通过RC²多年来自身需求驱动与在商业反窃密领域的积累和钻研，结合商业秘密保护行业真实案例，不断学习与总结而成的，独有的OSINT商战情报官课程~

感谢一直以来支持RC²的各大企业团队学员和数千位老学员们，老规矩，老学员上新课依旧福利满满哦~

也欢迎更多新同学们~

第一期小班课，仅限4~8人，限时优惠中~

抓紧时间占座哟，手快有手慢无，立刻扫码联系客服吧~

研究发现，黑客正越来越多地在实际攻击中使用一款名为HexStrike-AI的新型AI驱动攻击性安全框架，利用新披露的n-day漏洞实施攻击。

这一活动由CheckPoint Research报告。该机构观察到，暗网上围绕HexStrike-AI的讨论十分活跃，且这些讨论与新披露的Citrix漏洞（包括CVE-2025-7775、CVE-2025-7776和CVE-2025-8424）的快速武器化密切相关。

根据ShadowServer基金会的数据，截至2025年9月2日，仍有近8000个端点易受CVE-2025-7775漏洞影响，较前一周的28000个有所下降。

落入不法分子手中的工具

HexStrike-AI本是网络安全研究员Muhammad Osama开发的合法红队工具，可集成AI代理，自主运行150多种网络安全工具，实现自动化渗透测试与漏洞发现。

其开发者描述道：“HexStrike AI通过MCP（管理控制协议）与外部大语言模型（LLM）进行‘人在环’交互，形成提示、分析、执行、反馈的持续循环。”该工具的客户端具备重试逻辑与恢复处理功能，可减轻复杂操作中单个步骤失败的影响——它会自动重试或调整配置，直至操作成功完成。

这款工具已于一个月前开源并上架GitHub平台，目前已获得1800个星标和400余次分支（fork）。遗憾的是，它也引起了黑客的注意，后者已开始将其用于攻击活动。 

CheckPoint指出，在Citrix NetScaler ADC和Gateway 0-day漏洞披露后的数小时内，黑客便开始在黑客论坛上讨论如何部署HexStrike-AI来利用这些漏洞。

关于使用HexStrike-AI对抗Citrix端点的讨论

据悉，攻击者利用该工具通过CVE-2025-7775漏洞实现未授权远程代码执行，随后在被攻陷的设备上植入webshell，部分攻击者还将被入侵的NetScaler实例挂牌出售。 

CheckPoint认为，攻击者很可能借助这款新型渗透测试框架实现攻击链自动化，涵盖扫描易受攻击的实例、构造漏洞利用程序、交付有效载荷（payload）以及维持持久控制等环节。

易受攻击的NetScaler实例列表

尽管目前尚未证实HexStrike-AI确实参与了这些攻击，但这种自动化程度或将使n-day漏洞的利用时间从数天缩短至几分钟。这种变化将使系统管理员本就紧张的补丁部署窗口期进一步压缩，留给他们应对攻击的时间愈发有限。 

漏洞披露与大规模利用之间的窗口期正急剧缩短。目前CVE-2025-7775已被用于野外攻击，而借助HexStrike-AI，未来几天的攻击量只会有增无减。”

应对建议

尽管快速部署补丁仍是关键，但AI驱动攻击框架带来的这种范式转变，使得构建强大、全面的安全防御体系变得更为重要。 

CheckPoint建议防御者重点关注以下方面：通过威胁情报实现早期预警、部署AI驱动的防御机制，以及建立自适应检测系统。

目前，TP-Link已确认多款路由器型号存在未修复的零日漏洞，该公司路由器的其他漏洞已被用于实际攻击。

零日漏洞详情与厂商响应

该零日漏洞由独立威胁研究员Mehrun发现。他表示，已于2024年5月11日首次向TP-Link报告此问题。

TP-Link证实，目前正在调查该漏洞的可利用性及影响范围。据悉，针对欧洲地区型号的补丁已开发完成，但针对美国及全球其他地区固件版本的修复程序仍在开发中，尚未给出具体发布时间。TP-Link强烈建议所有用户通过官方支持渠道及时为设备安装最新固件更新。

该漏洞目前尚未分配CVE编号，其本质是TP-Link多款路由器（具体数量未知）的CWMP（客户终端设备广域网管理协议）实现中存在的栈溢出漏洞。

研究员Mehrun通过对路由器二进制文件进行自动化污点分析发现了该漏洞，他解释称，漏洞存在于处理SOAP协议SetParameterValues消息的函数中。问题根源在于“strncpy”调用时缺乏边界检查，当栈缓冲区大小超过3072字节时，攻击者可通过缓冲区溢出实现远程代码执行（RCE）。

Mehrun表示，实际攻击场景可能是：将易受攻击的设备重定向至恶意CWMP服务器，然后发送超大SOAP有效载荷以触发缓冲区溢出。要实现这一点，攻击者可利用过时固件中的漏洞，或使用用户未更改的默认凭据访问设备。

一旦通过远程代码执行攻陷路由器，攻击者可指令其将DNS查询重定向至恶意服务器、暗中拦截或篡改未加密流量，以及在网页会话中注入恶意有效载荷。

研究员通过测试确认，TP-Link Archer AX10和Archer AX1500两款路由器使用了存在漏洞的CWMP二进制文件。这两款均为热门型号。 

Mehrun还指出，EX141、Archer VR400、TD-W9970以及其他多款TP-Link路由器型号也可能受到影响。 

在TP-Link明确受影响设备清单并发布修复程序前，用户应采取以下措施：更改默认管理员密码；如无需使用CWMP，应将其禁用；为设备安装最新固件；如有可能，将路由器与核心网络进行隔离。

TP-Link已被利用漏洞

上周，CISA将TP-Link的另外两个漏洞（编号CVE-2023-50224和CVE-2025-9377）添加至“已知被利用漏洞目录”。这两个漏洞已被Quad7僵尸网络利用以攻陷路由器。

其中，CVE-2023-50224为身份验证绕过漏洞，CVE-2025-9377为命令注入漏洞。攻击者将两个漏洞结合利用，可在易受攻击的TP-Link设备上实现远程代码执行。

威胁者一直在利用多个通过谷歌广告推广的网站，分发一款看似可信的PDF编辑应用，而该应用实则会植入名为TamperedChef的信息窃取恶意软件。 

此次活动是一项大规模网络行动的一部分，该行动涉及多款可相互下载的应用程序，其中部分应用会诱骗用户将其系统注册为住宅代理。

研究人员表示，目前已识别出50多个域名用于托管这些欺诈性应用，这些应用由至少四家不同公司签发的虚假证书进行签名。该活动范围广泛且组织严密——操作人员会先让广告正常投放，待时机成熟后再激活应用中的恶意组件。

全面更新触发信息窃取功能

网络安全服务公司Truesec的技术分析详细阐述了TamperedChef信息窃取恶意软件植入用户系统的过程。研究人员发现，该恶意软件通过多个推广“AppSuite PDF Editor”免费工具的网站进行分发。

根据网络记录，调查人员确定该活动始于6月26日，当时相关的多个网站要么刚完成注册，要么已开始为AppSuite PDF Editor投放广告。但研究人员同时发现，这款恶意应用早在5月15日就已通过VirusTotal恶意软件扫描服务的检测。

该程序在8月21日前一直表现正常，直到当天接收了一次更新后，其内置的恶意功能才被激活——这些功能专门用于收集凭证、网络Cookie等敏感数据。

Truesec指出，TamperedChef信息窃取恶意软件是通过向PDF编辑器的可执行文件传递“-fullupdate”参数来实现植入的。

该恶意软件会检查主机上的各类安全代理，还会利用DPAPI（数据保护应用程序接口，Windows系统中用于加密敏感数据的组件）查询已安装网页浏览器的数据库。

tamperedChef 信息窃取器检查已安装的安全代理

深入调查分发方式后，Truesec的研究人员发现证据表明，在AppSuites PDF Editor中传播TamperedChef的网络犯罪分子，主要依靠谷歌广告推广这款恶意程序。

威胁者可能有一个策略，在激活AppSuites PDF Editor中的恶意组件之前，最大限度地提高下载量，因为他们比典型的60天Google广告活动到期时间提前四天交付了信息窃取器。

深入研究AppSuites PDF Editor，研究人员发现该程序的不同版本是由至少四家公司颁发的证书签名的，其中包括ECHO Infini SDN BHD、GLINT By J SDN. BHD和SUMMIT NEXUS Holdings LLC、BHD。

诱导用户加入住宅代理网络

Truesec发现，该活动的操作人员至少从2024年8月起就开始活跃，并推广了其他工具，包括OneStart和Epibrowser浏览器。值得注意的是，OneStart通常被标记为潜在有害程序（PUP，此类程序通常指广告软件）。

但托管检测与响应公司Expel的研究人员在调查涉及AppSuites PDF Editor、ManualFinder和OneStart的事件时发现，这些程序均会“植入高度可疑的文件、执行未预期的命令，并将主机转变为住宅代理”，其行为已更接近恶意软件。 

研究人员发现，OneStart可下载由ECHO INFINI SDN. BHD公司签发证书的AppSuite-PDF，而AppSuite-PDF又能进一步获取PDF Editor。

Expel指出：“OneStart、AppSuite-PDF和PDF Editor的初始下载渠道，是一系列推广PDF及PDF编辑器的大型广告活动。这些广告会将用户引导至众多提供上述三款程序下载的网站之一。”

尽管该活动中使用的代码签名证书已被吊销，但当前已安装这些程序的设备仍面临风险。在部分PDF Editor的使用场景中，应用会向用户弹出提示，以“免费使用工具”为交换，请求获得将其设备用作住宅代理的权限。 

研究人员指出，提供代理网络服务的供应商可能是合法实体，并未参与此次恶意活动，而PDF Editor的操作人员实则是作为附属机构从中牟利。显然，PDF Editor的幕后操纵者正以全球用户的利益为代价，试图实现利润最大化。

即便该活动中的这些程序被归为潜在有害程序（PUP），但其具备的功能与恶意软件并无差别，应同等视作恶意软件处理。

研究人员警告称，他们发现的这一网络行动还涉及更多应用程序，其中部分尚未被武器化，但这些应用均具备分发恶意软件或可疑文件、秘密在系统上执行命令的能力。

当企业还在为 AI 生成的钓鱼邮件头疼，为域内垃圾邮件泛滥焦虑时，一份来自行业权威咨询机构的 “成绩单” 给出了答案。

近日，数世咨询正式发布2025年度《中国数字安全价值图谱》。CACTER邮件安全凭借领先的反邮件垃圾技术与26 年行业沉淀的深厚实力，成功入选“邮件安全网关”领域代表企业，稳居邮件安全行业前列，成为众多企业选择邮件安全方案的 “放心之选”。

 为什么是 CACTER？这份 “硬核实力清单” 说明一切

《中国数字安全价值图谱》被业内称为 “数字安全领域的风向标”，评选标准聚焦 “技术硬实力、市场认可度、场景适配性” 三大核心。CACTER 能从众多厂商中脱颖而出，关键在于其邮件安全网关的 “全场景防护能力”：

1、自研技术，反垃圾率领先：以自主研发的神经网络平台 Nerve2.0 为技术基础，搭配 “自动过滤 + 人工控制” 双层管理机制，反垃圾准确率达 99.8%、处于市场领先水平；

2、独家域内管控，全类型拦截：可针对性高效拦截域内异常发信行为、钓鱼/垃圾/病毒邮件；

3、全能力覆盖，匹配权威标准：全面覆盖图谱中6大核心能力-“邮件攻击防护、垃圾邮件防护、高级威胁检测、恶链检测、邮件信誉服务、邮件内容安全防护”。

这种 “自研技术 + 全能力覆盖 + 高防护精度” 的组合，正是 CACTER 稳居行业前列的关键底气。

不止于当下：AI 时代，它早已备好 “新防线”

随着 AI 技术快速发展，AI 生成式钓鱼邮件凭借伪装性强、识别难度高的特点，成为企业新的安全威胁。对此，CACTER 早已提前布局，近期推出的 CACTER 大模型邮件安全网关，在传统机器学习基础上引入 LLM 与多模态技术，大幅提升对新型恶意钓鱼邮件企图及其他恶意活动的识别能力，可精准阻断 AI 生成式钓鱼邮件，为企业应对前沿安全风险提供了有力支撑。 

从传统邮件网关的基础防护，到能精准狙击 AI 生成式钓鱼的大模型网关，CACTER 此次入选 2025年度《中国数字安全价值图谱》，既是行业对CACTER现有实力的认可，更印证了其对邮件安全趋势的前瞻布局。。未来，CACTER 将继续以企业需求为导向，持续迭代技术与产品，为中国数字安全产业筑牢 “邮件安全护城河”

关于《中国数字安全价值图谱》

《中国数字安全价值图谱》是数世咨询基于“价值导向”理念，聚焦企业核心能力、市场占有率及技术创新性等维度，旨在为企业筛选细分领域头部供应商，降低选型试错成本，是数字安全领域极具参考价值的权威名录。

2025年8月，一场针对伊朗航运系统的网络攻击再次震惊世界。黑客组织Lab-Dookhtegan通过入侵卫星通信服务商Fanava集团的安全防护，导致伊朗国家油轮公司（NITC）与伊斯兰共和国航运公司（IRISL）运营的39艘油轮与25艘货船彻底失联（见图1）。船载导航系统数据被清空，部分船舶甚至面临数月无法恢复运营的困境。这场数字化“海难”暴露了现代交通命脉的致命软肋——卫星通信的脆弱性已成全球安全黑洞。 

图1 伊朗油轮卫星通信系统第二次被攻击

船舶的“数字生命线”被切断

现代船舶依赖卫星通信实现航行监控、气象预警、远程调度与应急联络。本次攻击中，黑客通过美国ST Engineering iDirect公司的卫星调制解调器，利用默认口令和未更新的2020年旧版系统，直接擦除设备存储器，瞬间中断所有岸船通信。这导致船员陷入“信息孤岛”，无法获取航道数据或求救信号。 

连锁反应危及全球航运安全

失联仅是灾难的开始。同期在波斯湾海域，GPS电子战干扰导致船舶定位严重异常：一艘330米超级油轮竟被显示“出现在伊朗山顶”，另一艘29万吨油轮的轨迹则“驶入阿联酋赛马场”。船员被迫回归原始航海手段——手动绘图、肉眼瞭望，以规避暗礁与碰撞风险。 

技术依赖

伊朗油轮全面采用美国iDirect设备，国际博弈中丧失技术自主权 。

防护缺失

默认口令十年未改，系统零更新，黑客5分钟掌控整船通信。

战场化威胁

冲突地区GPS干扰日均超千次，船舶导航集体“失明”。

更深层危机在于：全球90%的远洋船舶使用欧美卫星服务商设备。一旦地缘冲突升级，关键技术断供或定向攻击将直接瘫痪物流命脉。 

• 战略层面：构建主权卫星通信体系  

国产化替代迫在眉睫 

伊朗事件证明，将交通核心设施寄托于他国技术等于“裸奔”。需加速发展自主卫星网络，从芯片级硬件到操作系统实现全栈可控，避免受制于单极技术霸权。 

建立海事通信冗余链路

融合低轨卫星、手机直连卫星、岸基微波通信、短波超短波通信等，使用多种通信手段，打造“空天地海”一体化通信网。当卫星信号中断时，自动切换至备用信道保障最低限度通联。 

• 战术层面：部署“堡垒级”安全防护  

动态防御升级

强制废除默认凭证，实施双因素认证+生物识别

建立卫星设备漏洞扫描响应平台，24小时监控威胁

数据装甲计划

航行数据端到端加密，即使被截获也无法破译

关键导航系统物理隔离，阻断外部渗透路径

实战化攻防演练

定期开展“红蓝对抗”，模拟国家级黑客组织攻击场景

为船员配备抗干扰应急通信包，包含短波电台与惯性导航设备 

此次64艘油轮的“集体沉默”是一记震耳欲聋的警钟。当一艘价值数亿的巨轮因一行默认密码而沦为海上铁棺材，当价值千亿的国际贸易因一段恶意代码陷入停摆，我们不得不承认：卫星通信自主权=国家安全新边疆，深度防护能力=航运生存底线。在数字海啸席卷全球的今天，唯有将卫星通信安全提升至“国土防御”层级，才能守护连接人类文明的蓝色动脉。

盛邦安全致力卫星互联网安全研究，已发布包含卫星互联网测绘、脆弱性分析检测、网络接入认证、卫星通信加密、跨域安全组网、入侵检测、网络流量管控等方面的整体解决方案，我们将继续深耕，持续为行业赋能！

原文链接

安全研究人员发现，攻击者近期正利用Sitecore遗留中的一个零日漏洞，部署名为WeepSteel的侦察恶意软件。 

该漏洞编号为CVE-2025-53690，是一种ViewState反序列化漏洞，其成因是2017年前的Sitecore官方指南中包含了一个ASP.NET机器密钥示例。部分客户在生产环境中复用了该密钥，这使得掌握该密钥的攻击者能够构造有效的恶意“_VIEWSTATE”有效载荷，对这些载荷进行反序列化并执行，最终导致远程代码执行（RCE）。

需要明确的是，该漏洞并非ASP.NET本身的问题，而是因复用公开文档中，本不应用于生产环境的密钥所导致的配置错误漏洞。

漏洞利用活动详情

Mandiant研究人员在野外发现了相关恶意活动，他们报告称，攻击者正利用该漏洞实施多阶段攻击。具体流程如下：

1.  初始入侵：攻击者瞄准“/sitecore/blocked.aspx”端点（该端点包含无需身份验证的ViewState字段），借助CVE-2025-53690漏洞，以IIS网络服务（NETWORK SERVICE）账户权限实现远程代码执行。

2.  植入侦察工具：攻击者投放的恶意有效载荷为WeepSteel——这是一款侦察型后门程序，可收集系统、进程、磁盘及网络信息，并将数据窃取行为伪装成标准的ViewState响应。

WeepSteel的信息收集

Mandiant观察到，攻击者在被攻陷环境中执行了多项侦察命令，包括whoami（查看当前用户）、hostname（查看主机名）、tasklist（查看进程列表）、ipconfig /all（查看网络配置）以及netstat -ano（查看网络连接）。

3.  部署后续工具：在攻击的下一阶段，黑客部署了Earthworm（网络隧道与反向SOCKS代理工具）、Dwagent（远程访问工具）以及7-Zip（用于将窃取的数据压缩归档）。

4.  权限提升与持久化：随后，攻击者通过创建本地管理员账户（如“asp$”“sawadmin”）、转储缓存凭证（SAM与SYSTEM注册表 hive）、借助GoTokenTheft工具尝试令牌伪造等方式提升权限；并通过禁用这些账户的密码过期功能、授予远程桌面（RDP）访问权限、将Dwagent注册为系统（SYSTEM）服务等手段，实现持久化控制。

攻击生命周期

针对CVE-2025-53690漏洞建议

CVE-2025-53690漏洞影响Sitecore Experience Manager（XM）、Experience Platform（XP）、Experience Commerce（XC）及Managed Cloud产品，且仅当这些产品（最高版本9.0）使用2017年前文档中包含的ASP.NET机器密钥示例进行部署时才会受影响。

XM Cloud、Content Hub、CDP、Personalize、OrderCloud、Storefront、Send、Discover、Search及Commerce Server等产品不受此漏洞影响。

Sitecore已协同Mandiant的报告发布安全公告，警示使用静态机器密钥的多实例部署同样面临风险。针对可能受影响的管理员，建议采取以下措施：

1.  立即将web.config中所有静态值替换为新的唯一密钥；

2.  确保web.config中的元素已加密；

3.  作为常规安全措施，建议定期轮换静态机器密钥。

2025年8月28日，由国家数据局主办、贵州省人民政府承办的“2025中国国际大数据产业博览会”在贵州省贵阳市隆重召开。会上，深圳市政务服务和数据管理局隆重发布“数字深圳联合创新中心”。梆梆安全凭借主动防御能力、深度适配新型数字基建的安全产品与创新服务，成功通过严格审核，成为首批入驻“数字深圳联合创新中心”的安全企业。

数字深圳联合创新中心是以政府开放场景与数据为基础，构建“政府引导、市场主导”的协同创新生态。意在引导和赋能各类主体参与联合创新，秉持“先实验、再实战”的科学路径，推动创新成果兼具高质量与可复制推广性，实现“一地创新、多地复用”的成果转化模式，探索智慧城市和信息化的新发展。

此次合作充分体现对梆梆安全在数字安全领域综合能力的高度认可。作为首批入驻“数字深圳联合创新中心”的安全企业，梆梆安全将深度融入深圳政务信息化创新生态，以专业可靠的安全能力为支撑，赋能政务数字化进程，助力构建更加稳健、高效的城市数字安全体系。

北京梆梆安全科技有限公司（简称“梆梆安全”）成立于2010年，开创、繁荣了移动应用安全蓝海市场，建立了全面的“移动应用安全防护”生态体系，业务上形成“以移动安全为主体，联动安全服务和物联网安全”的“一体两翼”业务体系，通过专业的安全服务为政府、企业、开发者和消费者等客户打造安全稳固可信的网络空间生态环境；技术、产品、解决方案和咨询服务共同搭建构成“四位一体”的产研体系，软件、硬件与控制的多管齐下，逐步实现由软及硬、由内而外的联防联控。

截至目前，梆梆安全已拥有10万家以上企业及开发者用户，安全技术覆盖的移动应用软件超过100万，这些应用已经累计安装在10亿个移动终端上，用户遍及金融、互联网、物联网、政府、运营商、企业、医疗、能源、教育等各大行业；并为十九大、两会、G20峰会、金砖国家领导人厦门会晤、上合峰会、中国国际进口博览会等国际国内重大会议活动提供网络安全保障支撑服务。

行而不辍，未来可期。梆梆安全始终致力于支撑网络与信息化事业高质量发展，凭借持续创新的安全能力，为数字城市筑牢安全屏障，全力守护每一道安全运行关口。

2025年9月3日上午9时，中国人民抗日战争暨世界反法西斯战争胜利80周年纪念大会在北京天安门广场隆重举行。为铭记历史、缅怀先烈、弘扬伟大抗战精神，梆梆安全党支部发出倡议，号召全员收看阅兵盛典直播。公司通过大厅显示屏同步播放直播内容，以方便员工观看。同时，党支部还组织党员集中收看，并同步开展主题党日活动，以庄严仪式凝聚奋进力量，激发爱国热情与使命担当。

上午9时，随着礼炮轰鸣，阅兵式正式拉开帷幕。中共中央总书记、国家主席、中央军委主席习近平发表重要讲话，强调“中国将始终做世界和平的建设者、全球发展的贡献者、国际秩序的维护者”。随后，分列式中，45个方（梯）队以雷霆之势接受检阅，所有受阅装备均为国产现役主战装备，涵盖陆上、海上、空中、信息作战、无人作战等多个领域，展现了我军现代化建设成果。此次阅兵中，多个“首次”引发关注：首次进入全面推进中国式现代化新征程后的阅兵，首次集中展示我军力量结构新布局，首次对外展示部分海陆空基战略重器等……这些突破标志着人民军队正加速向现代化迈进。此外，由解放军仪仗司礼大队军乐团和其他部队抽组成立联合军乐团，在演奏队形编排上，整体设置14个排面，寓意14年抗战；前排设置80名礼号手，寓意抗战胜利80周年，为纪念活动营造了隆重庄严的氛围。

在信息化时代，网络安全已成为国家安全的重要组成部分，直接关系到国家主权、安全和发展利益。正如阅兵仪式上展示的先进装备一样，网络安全技术也是国家防御体系中的重要一环。没有网络安全，就没有国家安全；没有信息化，就没有现代化。梆梆安全作为移动安全解决方案专家，深知自身肩负的责任与使命。我们不仅要为客户提供优质的网络安全产品和服务，更要积极履行社会责任，为构建安全、和谐、清朗的网络空间贡献力量。同时，在阅兵仪式上，我们看到了中国军队在科技强军道路上的取得的辉煌成就。这启示我们，在网络安全领域也要坚持创新驱动发展战略，不断提升自身的核心竞争力。只有这样，我们才能在激烈的市场竞争中立于不败之地，为国家网络安全事业做出更大的贡献。在阅兵仪式的震撼与感动中，我们更加坚定了守护网络安全的决心和信心。

80年前，中国人民以血肉之躯赢得胜利；80年后，新时代的中国人正以昂扬姿态迈向复兴。此次党日活动通过“沉浸式”观礼，让全体党员在历史与现实的交汇中坚定理想信念，在使命与担当的召唤中凝聚奋进力量。

支部书记田晓宁总结道：“这场阅兵既是对历史的致敬，更是对未来的宣示。我们要以抗战精神为指引，立足岗位建功立业，在推进中国式现代化的新征程上书写无愧于时代的答卷！”随着《歌唱祖国》的旋律响彻天安门广场，梆梆安全全体职工，尤其是党员同志，将以更加昂扬的姿态，投身于民族复兴的伟大实践，让抗战精神在新时代绽放新的光芒！

知名云基SaaS（软件即服务）提供商Workiva已通知其客户，攻击者通过入侵第三方客户关系管理（CRM）系统，窃取了部分用户数据。

Workiva的云软件主要用于为财务报告、合规审查和审计工作收集、关联及共享数据。截至去年年底，该公司拥有6305家客户，2024年营收达7.39亿美元。

其客户名单涵盖85%的《财富》500强企业，以及谷歌、T-Mobile、达美航空、Wayfair、好时、Slack、高知特、桑坦德银行、诺基亚、卡夫亨氏、温迪快餐、派拉蒙、梅赛德斯-奔驰等知名企业。

数据泄露细节与平台安全性说明

据Workiva上周发送给受影响客户的私人邮件通知显示，攻击者窃取了少量商业联系信息，包括姓名、电子邮箱地址、电话号码以及支持工单内容。

该公司解释称：“此类事件与近期多起针对大型机构的攻击类似。重要的是，Workiva平台本身及其中的所有数据均未被访问或破坏。CRM供应商已通知我们，攻击者是通过一个关联的第三方应用程序非法入侵的。”

Workiva还提醒受影响客户保持警惕，因为被盗信息可能被用于鱼叉式钓鱼攻击。

关联Salesforce数据泄露事件

尽管Workiva未披露此次攻击的更多细节，但据了解，该事件是近期Salesforce数据泄露潮的一部分——这一系列攻击与勒索团伙ShinyHunters有关，已影响多家知名企业。

就在不久前，Cloudflare披露称，其被迫轮换了104个由Cloudflare平台签发的令牌，这些令牌被ShinyHunters团伙窃取。该团伙于8月中旬入侵了Cloudflare用于客户支持和内部客户案例管理的Salesforce实例。 

自今年年初以来，ShinyHunters就通过语音钓鱼（vishing）针对Salesforce客户实施数据盗窃攻击，受影响企业包括谷歌、Cisco、Allianz Life、、Workday、Qantas、Adidas以及LVMH旗下子公司（包括迪奥、路易威登和蒂芙尼等）。 

近期，该勒索团伙的攻击手段有所转变：他们开始利用窃取的OAuth令牌（用于Salesloft的Drift AI聊天工具与Salesforce的集成功能）入侵客户的Salesforce实例，并从客户消息和支持工单中提取敏感信息，如密码、AWS访问密钥和Snowflake令牌。 

通过这种方式，ShinyHunters除了窃取Salesforce CRM数据外，还入侵了少量谷歌Workspace账户，并攻陷了网络安全公司Zscaler和Palo Alto Networks的Salesforce。

网络犯罪分子正滥用Meta的广告平台，以“免费提供TradingView Premium应用”为诱饵，传播针对安卓系统的Brokewell恶意软件。

该活动以加密货币资产为攻击目标，至少从7月22日起便已启动，据估算已投放约75个本地化广告。 

Brokewell恶意软件自2024年初出现以来，具备一系列广泛功能，包括窃取敏感数据、远程监控和控制受感染设备。

接管设备

网络安全公司Bitdefender的研究人员对该活动中的广告进行了调查。发现这些广告盗用了TradingView的品牌标识和视觉元素，以“免费提供安卓高级版应用”为噱头引诱潜在受害者。

虚假的 TradingView 广告链接到 Brokwell 恶意软件

研究人员指出，该活动专为移动用户设计——若从其他操作系统访问广告，显示的将是无害内容；但通过安卓设备点击后，用户会被重定向至一个仿冒TradingView官方网站的页面，进而下载托管在tradiwiw[.]online/域名下的恶意文件tw-update.apk。

研究人员在本周的一份报告中表示：“这款植入的应用会申请无障碍权限，获得权限后，屏幕会被虚假的更新提示覆盖。而在后台，该应用正为自己获取所需的全部权限。”

此外，这款恶意应用还会通过模拟需要锁屏密码的安卓系统更新请求，试图获取设备解锁PIN码。

假冒TradingView应用程序试图获取Android设备锁定屏幕代码

根据Bitdefender的说法，这款仿冒TradingView的应用是“Brokewell恶意软件的高级版本”，配备了“旨在监控、控制和窃取敏感信息的庞大工具库”，具体功能包括：

·扫描比特币、以太坊、泰达币等加密货币资产及银行账号信息；

·窃取并导出谷歌验证器中的验证码（实现双因素认证绕过）；

·通过覆盖虚假登录界面窃取账户信息；

·录制屏幕、记录按键操作、窃取Cookie、激活摄像头和麦克风，并追踪设备位置；

·劫持默认短信应用以拦截信息，包括银行相关短信及双因素认证验证码；

·远程控制——可通过Tor网络或WebSocket接收指令，执行发送短信、拨打电话、卸载应用甚至自我销毁等操作。

研究人员还提供了该恶意软件工作原理的技术概述，以及包含130余条记录的支持指令扩展清单。

Bitdefender 表示，此次活动是一项大规模网络行动的一部分。该行动最初便利用Facebook广告仿冒“数十个知名品牌”，以Windows用户为攻击目标。

最新监管动态

1. 监管通报动态

7月30日，陕西通管局依据相关法律法规的要求，对陕西属地APP进行检查，截至目前，尚有2款APP未按照要求完成整改。上述APP应限期落实整改要求。逾期不整改的，陕西通管局将依法依规组织开展相关处置工作。

7月30日，甘肃通管局依据相关法律法规的要求，持续开展移动互联网应用程序（含小程序）个人信息合规专项整治行动，截至目前，尚有14款应用程序未落实整改要求，上述应用程序应限期完成整改，逾期未整改的，甘肃通管局将依法作下架处置。甘肃通管局通报的存在侵害用户权益行为的应用程序（2025年第二批），截至目前，仍有5款应用程序未落实整改要求，甘肃通管局现予以下架处置。

7月29日，四川和重庆通管局根据相关法律法规，对属地App进行检测，截至目前，仍有7款App/小程序未按要求完成整改，上述App/小程序应限期完成整改，逾期不整改的，四川和重庆通管局将依法依规进行处置。

7月24日，上海通管局针对上一批向社会公示的50款存在侵害用户权益行为的应用进行核查复检，发现尚有23款应用未按照要求落实整改，现予以下架处置。

7月23日，国家网络安全通报中心依据相关法律法规，检测发现33款移动应用存在违法违规收集使用个人信息情况。上期通报的45款违法违规移动应用，经复测仍有8款存在问题，相关移动应用分发平台已予以下架。

7月23日，浙江通管局依据相关法律法规，对APP、小程序违法违规收集使用个人信息等问题开展治理，截至目前，尚有6款APP及小程序未按要求完成整改，上述APP及小程序开发运营者应限期完成整改，逾期不整改的，浙江通管局将依法依规进行处置。

监管支撑汇总

1.国家监管数据分析

针对国家近两周监管通报数据，依据问题类型，统计涉及APP数量如下：

针对国家近两周监管通报数据，依据APP类型，统计出现通报的APP数量如下：

漏洞风险分析

从全国的Android APP中随机抽取了2,444款进行漏洞检测发现，存在中高危漏洞威胁的APP为1,913个，即78.27%以上的APP存在中高危漏洞风险。而这1,913款漏洞应用中，有高危漏洞的应用共1,427款，占比74.59%，有中危漏洞的应用共1,883款，占比98.43%（同一款应用可能存在多个等级的漏洞）。存在不同风险等级漏洞的APP占比如下：

1.各漏洞类型占比分析

针对不同类型的漏洞进行了统计，应用中高危漏洞数量排名前三的类型分别为Java代码反编译风险、HTTPS未校验主机名漏洞以及动态注册Receiver风险。各漏洞类型占比情况如下图所示：

2.存在漏洞的APP各类型占比分析

从APP类型来看，实用工具类APP存在漏洞风险最多,占漏洞APP总量的21.62%，其次为其他类APP，占比12.29%，教育学习类APP位居第三，占比10.88%，漏洞数量排名前十的类型如下图所示：

近日，国投智能股份正式成立美亚法度事业部。这一举措标志着国投智能股份以“数据驱动型执法科技”为切口，系统性切入千亿级智慧执法赛道，不仅强化了自身在政法数字化产业中的平台化服务商定位，同时为后续拓展纪检监察、应急管理等泛政府端高壁垒市场提供标准化产品支点，助力各地智能执法办案中心建设。

美亚法度有哪些优势和能力？

·执法知识库积累

法学专业团队与技术团队协作；持续积累了含多个执法领域、实战的执法知识库。

·电子数据取证、AI技术赋能执法业务

通过自研和一流企业合作模式积累AI技术、电子数据取证技术与执法业务融合，形成系列智能执法能力。

·产品快速延伸和跨行业能力

基于知识库和业务、产品、能力积累，能快速开发延伸产品，实现跨不同执法领域的行业拓展。

基于这些优势和能力，美亚法度已推出了智能笔录、AI笔录、远程取证、行政案件快办一体机、美亚智问系统一体机、手机信息快速采集、键盘精灵等拳头产品。目前，美亚法度智能执法系列产品已经应用到公安、消防、海关、纪检监察、税务稽查、市场监督等执法领域。

下一步，国投智能股份将依托央企资源禀赋及在信创适配、软硬一体化集成方面的成熟能力，结合美亚法度在执法办案SaaS化产品矩阵的垂直场景积累及覆盖全国公安系统的渠道网络，实现技术互补与生态整合，达到“1+1>2”的协同效应。

近日，安全研究人员发现了首款由人工智能驱动的勒索软件——PromptLock。该恶意软件借助Lua脚本，可在Windows、macOS及Linux系统上实施数据窃取与加密操作。

这款恶意软件通过Ollama API调用OpenAI的gpt-oss:20b模型，依据硬编码提示词动态生成恶意Lua脚本。

PromptLock的运作机制

据ESET研究人员介绍，PromptLock采用Golang语言编写，并通过Ollama API访问gpt-oss:20b大型语言模型（LLM）。该语言模型部署在远程服务器上，威胁者需通过代理隧道与其建立连接。 

该恶意软件内含硬编码提示词，可指令模型动态生成恶意Lua脚本，这些脚本的功能涵盖本地文件系统枚举、目标文件检查、数据窃取及文件加密等。

文件枚举提示

研究人员还提到其包含数据销毁功能，但该功能尚未实现。

在文件加密方面，PromptLock采用轻量级的SPECK 128位算法——这对勒索软件而言是相当罕见的选择，该算法通常被认为更适用于RFID应用场景。

PromptLock的加密逻辑

目前尚处于演示阶段

据透露，PromptLock并未出现在其遥测数据中，研究人员是在VirusTotal平台上发现它的。ESET认为，PromptLock目前还只是一个概念验证产品或仍在开发中的项目，并非已在野外活跃的勒索软件。

此外，诸多迹象表明它当前仅是一款概念工具，而非实际威胁。例如，它使用安全性较弱的加密算法（SPECK 128位），内置与中本聪（Satoshi Nakamoto）相关联的比特币地址，且数据销毁功能尚未落地。 

ESET发布有关PromptLock的详细信息后，一名安全研究人员声称该恶意软件是其开发的项目，不知为何遭到了泄露。

尽管如此，PromptLock的出现仍具有重要意义：它表明人工智能可被武器化并融入恶意软件工作流程，能带来跨平台能力、操作灵活性、规避检测等优势，同时降低了网络犯罪的入门门槛。

这一演变在7月已现端倪——当时乌克兰计算机应急响应小组（CERT）报告发现了LameHug恶意软件。这是一款由大型语言模型驱动的工具，借助Hugging Face API及阿里巴巴的Qwen-2.5-Coder-32B模型，可实时生成Windows shell命令。

据悉，LameHug由APT28组织的俄罗斯黑客部署，它通过API调用实现功能，而非像PromptLock那样采用代理方式。两种实现方式虽能达成相同的实际效果，但后者更为复杂，且风险更高。

近日，2025年南亚东南亚数字合作大会在泰国曼谷成功举办。中国、南亚及东南亚20国政府部门代表，联合国贸易组织、亚太电信组织成员，以及众多专家学者、企业领袖齐聚一堂。期间，360数字安全集团携安全智能体相关成果精彩参展，集团副总裁余凯围绕“大数据聚力・智能体涌现・安全运营跃升”发表主题演讲。他结合360在数字安全与AI领域20年的实战经验，分享了数字安全防护创新方案，为区域数字经济发展保驾护航。

当前，数字经济正加速渗透全球，AI大模型成为产业变革的新引擎，数据跃升为核心资产。但在数字生产力释放的过程中，安全风险同样不容忽视，主要体现在两方面：一方面，网络安全已从企业级防护的“技术拼图”，升级为保障国家战略的“体系化战场”，勒索攻击产业化、供应链攻击全球化、AI降低攻击门槛等问题愈发突出；另一方面，AI自身也成为攻击目标，大模型安全防护需突破单一漏洞防护模式，进入算法、数据、应用多层级协同防护的新阶段。这些变化不仅加剧了安全运营的痛点，也催生了技术创新的迫切需求。2025年全球安全大会RSAC提出的 AI Agent、AI for SOC、AI Security三大热点，更凸显出AI智能体在安全领域的重要性。

面对这些挑战，360给出了针对性解决方案。在AI for SOC领域，360聚焦安全运营的迫切需求，用防御类大模型制衡AI化攻击，以“模法”对抗“模法”。例如，通过“优质平台+ 优质大模型”搭建一站式“运营中枢”，高效处理海量告警；将专家运营SOP转化为智能体 “决策树”，让智能体在各类运营事务中实现动态决策，为运营工作提供一站式辅助。目前，360已组建多个智能体军团，推动安全运营从“辅助驾驶”向“自动驾驶”转型。

在AI自身安全防护方面，360打造了软件安全、安全运营、幻觉检测等六大智能体，构建起端到端的可信AI安全闭环，为大模型应用筑牢安全底座。同时，依托自2007年起积累的知识体系，360从APT分析报告、渗透报告、漏洞分析报告、恶意软件分析报告等实战数据中，提炼出高价值安全知识，打造了一套攻防技战术知识图谱，并将其赋能于旗下各类产品与服务。

基于此，360构建了“网、数、模”一体化的Agentic SOC综合安全运营平台。该平台整合了安全大模型、安全大脑平台及设备探针工具的核心能力，推动安全运营从“人机共事”迈向“人机共智”，并在威胁发现、事件处置、知识管理三大核心业务上实现全面重塑。

目前，360在“AI赋能安全运营”与“AI自身安全防护”两大领域均已落地成功实践。在360大模型的助力下，某互联网级安全运营中心在事前数据处理、分析研判，以及事后处置复盘等环节的效能大幅提升，同时安全性也得到显著增强。在某数字政府项目中，360搭建的“网数模一体化运营平台”，成功保障了亚运会、亚残会的顺利举办。该平台不仅精准识别出城市级APT组织，高效处置了大量安全事件与数据泄露风险，还打破了网络安全与数据安全建设的壁垒，提升了安全管理的统筹与协同效能，推动安全防护从“被动补救”转向“主动预防”。

会议期间，云南省人民政府副省长刘勇与余凯深入座谈，聚焦360数字安全集团云南业务的落地深化与南亚东南亚战略的推进路径，进行了深入沟通。360将凭数字安全与AI优势，助力云南完善数字基础设施、建设跨境数据服务平台，为国际通信业务出入口局这一“数字海关”筑牢安全底座，还将联动培育跨境数据产业生态，以云南为枢纽辐射区域发展。 

“AI并非安全运营的终点，只有将其融入完整体系，才能真正实现提质增效。”余凯强调。未来，360将持续推动AI与大数据的深度融合，通过安全智能体帮助更多国家和地区提升安全运营能力，为南亚东南亚地区的数字合作与数字经济发展筑牢安全屏障。

微软警告称，一个被追踪为Storm-0501的威胁者已对其运作方式进行升级，不再使用勒索软件对设备进行加密，转而将重点放在基于云的加密、数据窃取及勒索行为上。

如今，这些黑客滥用云原生功能来窃取数据、清除备份并销毁存储账户，从而在不部署传统勒索软件加密工具的情况下向受害者施压并实施勒索。

Storm-0501是至少自2021年起就活跃的威胁者，曾在针对全球各组织的攻击中部署Sabbath勒索软件。随着时间推移，该威胁者加入了多个勒索软件即服务（RaaS）平台，在这些平台上使用过Hive、BlackCat（ALPHV）、Hunters International、LockBit的加密程序，最近还使用了Embargo勒索软件的加密程序。

2024年9月，微软曾详细说明Storm-0501如何将其运作范围扩展到混合云环境，从入侵Active Directory转向攻击Entra ID租户。在这些攻击中，威胁者要么通过恶意联合域创建持久后门，要么使用Embargo等勒索软件对本地设备进行加密。

微软上周发布的一份新报告指出，如今该威胁者的策略发生了转变——Storm-0501不再依赖本地加密，而是纯粹在云端实施攻击。

“与传统的本地勒索软件不同，传统模式下威胁者通常会部署恶意软件，对已入侵网络内终端上的关键文件进行加密，然后就解密密钥进行谈判；而基于云的勒索软件则带来了根本性的转变，”微软威胁情报部门的报告中写道。

Storm-0501利用云原生能力，快速窃取大量数据、销毁受害者环境中的数据和备份并索要赎金——所有这些操作都无需依赖传统恶意软件的部署。

基于云的勒索软件攻击

在微软观察到的近期攻击中，黑客通过利用微软Defender部署中的漏洞，入侵了多个Active Directory域和Entra租户。

随后，Storm-0501使用窃取的目录同步账户（DSA），借助AzureHound等工具枚举用户、角色和Azure资源。攻击者最终发现了一个未启用多因素认证的全局管理员账户，借此重置了该账户的密码并获得了完全的管理员控制权。

凭借这些权限，他们通过添加由其控制的恶意联合域来建立持久访问权限，从而能够冒充几乎任何用户，并绕过该域中的多因素认证保护。

微软表示，他们通过滥用Microsoft.Authorization/elevateAccess/action进一步提升了对Azure的访问权限，最终得以将自己分配到所有者角色，实际上接管了受害者的整个Azure环境。

Storm-0501基于云的勒索软件攻击链概述 

一旦控制了云环境，Storm-0501便开始禁用防御机制，并从Azure存储账户中窃取敏感数据。威胁者还试图销毁存储快照、恢复点、恢复服务 vault 以及存储账户，以阻止目标免费恢复数据。

当威胁者无法从恢复服务中删除数据时，他们会利用基于云的加密方式——创建新的密钥保管库和客户管理的密钥，实际上是用新密钥对数据进行加密，除非公司支付赎金，否则将无法访问这些数据。

在窃取数据、销毁备份或加密云数据后，Storm-0501便进入勒索阶段，通过被入侵的账户借助微软Teams联系受害者，提出赎金要求。

微软的报告还提供了防护建议、微软Defender XDR检测方法以及狩猎查询，有助于发现和识别该威胁者所使用的策略。

由于勒索软件加密程序在对设备进行加密前被拦截的情况日益增多，我们可能会看到其他威胁者也从本地加密转向基于云的数据窃取和加密——这类行为可能更难被检测和拦截。

国内网络安全研究机构数说安全正式发布《2025年中国网络安全市场100强》榜单，作为长期专注于移动安全领域、以技术创新为驱动的代表企业，梆梆安全凭借优质的产品服务与市场表现再度登榜。这一成绩不仅体现了梆梆安全在技术研发与市场服务方面的持续突破，更巩固了在网络安全行业中的核心竞争力和优势地位，展现出企业对安全威胁演进的前瞻洞察与深度响应能力。

本次评选共对251家企业的信息进行了排名，结合企业所提供的调研数据、相关公开数据、赛博慧眼CSRadar商业分析平台的市场成交数据等信息，根据数说安全网络安全市场与企业竞争力分析方法得出。评选紧密结合我国网络安全产业特色，以资源支撑力和市场表现力两个关键维度对参选企业进行全面评估。

·【资源支撑力】：是企业所依托的人力、资本、技术及销售等关键资源的聚合，这些资源为企业的生存发展提供坚实基础和有力保障，直接影响企业在网络安全领域的稳定性与可持续性。

·【市场表现力】：是企业在市场中展现出的综合实力与活力，涵盖品牌影响力、产品竞争力、营销成效、研发能力、服务品质以及经营效益等多个方面，反映企业将自身资源转化为市场竞争优势和经营成果的能力。相较于2024年，2025年百强评估在经营能力维度的权重有所提升。

总体而言，网络安全市场正经历结构性调整与持续演进的关键时期。在外部经济承压、不确定性增加的环境下，拥有扎实技术积累、持续创新能力和成熟服务体系的厂商，正日益展现出优异的抗风险能力与成长韧性。面对不断变化的竞争格局，企业唯有坚持以技术为驱动、以服务为基石，稳步推动业务落地，才能在市场中行稳致远。在此背景下，梆梆安全再度入选“中国网络安全市场100强”，充分印证了综合实力与业务发展获得了行业的广泛认可。

历经数年的发展壮大，梆梆安全建立了全面的“移动应用安全防护”生态体系，业务上形成“以移动安全为主体，联动安全服务和物联网安全”的“一体两翼”业务体系，通过专业的安全服务为政府、企业、开发者和消费者等客户打造安全稳固可信的网络空间生态环境；技术、产品、解决方案和咨询服务共同搭建构成“四位一体”的产研体系，软件、硬件与控制的多管齐下，逐步实现由软及硬、由内而外的联防联控。

从应用安全保护、安全与合规检测，到运行阶段的安全监测与响应，梆梆安全均能提供专业化、定制化的安全产品与服务，切实保障客户业务安全稳定运行。

截至目前，梆梆安全已拥有10万家以上企业及开发者用户，安全技术覆盖的移动应用软件超过100万，这些应用已经累计安装在10亿个移动终端上，用户遍及金融、互联网、物联网、政府、运营商、企业、医疗、能源、教育等各大行业；并为十九大、两会、G20峰会、金砖国家领导人厦门会晤、上合峰会、中国国际进口博览会等国际国内重大会议活动提供网络安全保障支撑服务。

韧者笃行，韧则行远。未来，梆梆安全将继续秉承“稳如泰山，值得托付”的服务观，持续深耕网络安全领域，为客户提供全面可靠的安全赋能与产品支持。致力于推动网信事业高质量发展的进程中发挥引领作用，守护数字世界的安全底线，为万物智联时代构建可信、清朗的安全空间。

据统计，2025年夏季网络攻击事件频发。勒索软件重创医院，零售巨头遭遇数据泄露，保险公司遭到钓鱼攻击，国家支持的黑客组织也发起了破坏性攻击行动。从隐蔽的PowerShell加载器到SharePoint零日漏洞利用，攻击者让防御者疲于应对。

本报告剖析了夏季影响最严重的几起事件，以及安全团队在面对攻击浪潮来临前可采取的措施。

医疗行业日益增长的勒索软件风险

医院经不起网络攻击，攻击者们深谙此道。今年夏天，勒索软件团伙将目标对准医疗行业，利用患者身份数据的价值和医疗服务的紧迫性大肆牟利。

Interlock成美国医疗行业主要威胁

2025年7月22日，美国网络安全与基础设施安全局、联邦调查局和卫生与公众服务部联合发布的公告指出，Interlock是医疗与公共卫生（HPH）领域的主要威胁。仅2025年，该组织就涉嫌参与约14起事件，其中三分之一的受害者是医疗服务机构。

Interlock的特别之处在于其使用的“FileFix”工具——这是一种PowerShell启动器，能将恶意脚本隐藏在诱饵文件路径后。它诱使用户通过文件资源管理器运行恶意程序，从而绕过常规安全检测。

Rhysida勒索软件攻击另一家美国医疗中心

2025年7月8日，Rhysida勒索软件团伙据称泄露了佛罗里达手部中心的敏感数据，包括医疗影像、驾照和保险信息等。 这家为Punta Gorda、Port Charlotte和Fort Myers地区患者提供服务的诊所，被要求在7天内对该勒索软件团伙作出回应，否则会将数据公开。

Qilin复用Scattered Spider战术，掀起医疗行业数据泄露浪潮

2025年6月，Qilin成为最活跃的勒索软件团伙，记录在案的受害者达81家，其中52家来自医疗行业。 该团伙利用Fortinet产品的未修复漏洞（CVE-2024-21762和CVE-2024-55591）获取访问权限，部署勒索软件，并窃取电子健康记录（EHRs）、保险记录等敏感数据。

为最大化施压，Qilin不仅进行数据加密，还采用法律主题的勒索手段——例如设置“联系律师”功能和自动化谈判工具，以促使受害者更快支付赎金。

多家零售业品牌在网络犯罪浪潮中遭入侵

2025年夏季，零售业也未能躲过席卷而来的网络攻击浪潮。

路易威登遭遇本季度第三次数据泄露

2025年7月2日，英国路易威登发生数据泄露事件，导致客户联系信息和购买记录外泄。这是三个月内路威酩轩集团（LVMH）旗下品牌遭遇的第三起泄露事件，此前迪奥和韩国路易威登已先后中招。

7月10日，英国警方逮捕了四名嫌疑人，他们涉嫌参与对M&S、Co-op和Harrods的网络攻击。 据称，该团伙与Scattered Spider存在关联。Scattered Spider是一个本土黑客团伙，以社会工程学手段见长，并与DragonForce等勒索软件运营商合作，这表明本土网络犯罪分子对大型零售商的影响正日益扩大。 

DragonForce攻击美国零售连锁品牌Belk

2025年5月7日至11日，知名零售商Belk遭遇数据泄露。DragonForce声称对此负责，并表示窃取了156GB的客户及员工数据，包括姓名、社会安全号码、电子邮件、订单历史和人力资源文件。在赎金谈判陷入僵局后，这些数据被发布到其泄露网站上。

据了解，DragonForce于2023年末首次出现，以勒索软件即服务（RaaS）卡特尔模式运作。截至2025年3月，其列出的受害者约有136家，其中不少是美国和英国的零售企业。

UNC3944的攻击目标从零售业转向保险业

2025年4月至5月，UNC3944利用以身份为核心的社会工程学、语音钓鱼、多因素认证（MFA）疲劳攻击、冒充服务台以及域名仿冒等手段，入侵了英国的M&S、Co-op和Harrods等零售商。

2025年6月中旬，研究人员发现，UNC3944已将攻击目标从零售业转向美国的保险公司。

·2025年6月12日，美国Aflac发现并遏制了一起未授权访问事件，客户和员工的个人数据（包括社会安全号码、健康索赔信息等）可能已遭泄露。

·6月上旬至中旬，保险公司Erie Insurance和Philadelphia Insurance Companies也报告了类似的网络干扰事件，导致业务中断。

这些入侵事件与UNC3944已知的战术特征相符，不过攻击者并未部署勒索软件，系统仍能运行。

涵盖国家背景的网络活动与地缘政治因素

今年夏天的网络威胁并非都以牟利为目的。有国家支持的黑客和黑客活动分子也纷纷现身，利用动荡的地缘政治环境发起攻击。

·2025年6月14日至17日：亲以色列的黑客活动组织Predatory Sparrow攻击了伊朗的Sepah银行，扰乱了银行业务；随后又入侵了加密货币交易所Nobitex，将约9000万美元的加密货币转入销毁钱包，使其永久失效。

·2025年6月30日：美国国土安全部与网络安全与基础设施安全局联合发布警报，警告伊朗可能对美国和欧洲的关键基础设施发起网络报复。

这些事件表明，网络冲突现已成为地缘政治紧张局势的前沿延伸，其影响可远超出国界和行业范畴。

关键漏洞引起公众关注

今年夏天，在一场名为“ToolShell”的大规模网络间谍活动中，多个微软SharePoint漏洞被利用。

·CVE-2025-53770是一个严重的远程代码执行漏洞，允许未授权攻击者在易受攻击的本地SharePoint服务器上运行任意代码。威胁者利用该漏洞部署webshell、窃取凭据，并在企业网络中横向移动。2025年7月20日，CISA将该漏洞纳入其已知被利用漏洞（KEV）目录。

·CVE-2025-49704和CVE-2025-49706在被用于连环攻击后，也于7月22日被加入KEV目录。这两个漏洞可实现身份验证绕过和代码注入，即使用户已修复了早期漏洞，攻击者仍能利用未打补丁的SharePoint系统。

ToolShell活动的目标涵盖美国、欧洲和中东的各类组织，包括政府机构、能源公司和电信提供商。安全研究人员表示，攻击者可能逆向破解了微软7月“补丁星期二”发布的修复程序，从而开发出针对CVE-2025-53770的绕过方法。

从夏季频发的网络安全事件中能学到什么

从医院到零售巨头，从保险公司到国家层面，这个夏天暴露出即便是防御最严密的环境也存在漏洞。以下是安全团队接下来应采取的措施：

1.及时打补丁——在关键行业尤其重要。可从CISA的KEV条目和高严重性CVE开始，但不止于此。还要深入思考一个更严峻的问题：你所在的组织是否属于攻击者的目标类型？所以要验证每个CVE在你的环境中是否真的可被利用。

2.将身份安全加固作为新的安全边界。今年夏天，社会工程学手段比恶意软件更奏效。要阻止MFA攻击，加强服务台验证，并限制特权访问。

3.对人员进行培训，因为他们是漏洞的突破口。Scattered Spider等团伙并未利用某个CVE，而是利用了相关人员钻了安全空子。企业定期开展模拟演练，更新钓鱼攻击场景，并让高风险岗位人员做好应对真实诱饵的准备尤其重要。

4.关注初始访问后的动向。像Interlock和Qilin这样的网络犯罪团伙不只是投放勒索软件，他们还会横向移动、囤积数据并规避检测。应针对PowerShell滥用、凭据窃取和隐秘数据外泄等技术手段实施行为监控。

5.不要忽视遗留系统和被遗忘的基础设施。ToolShell活动利用了未打补丁的本地SharePoint服务器，其中许多运行的是不受支持或过时的版本。无论是老旧的本地SharePoint、各类设备还是未受监控的遗留设备，对于无法升级的要进行隔离；对于无法打补丁的要加强监控；对于被忽视的要及时更换。