← 返回安全博客

微软六个零日漏洞 + 200万设备僵尸网络混乱

微软2月补丁星期二发布了六个主动利用的零日漏洞。与此同时,一个由200万设备组成的僵尸网络意外导致I2P匿名网络崩溃,新勒索团伙正在对高管家属实施"报假警"攻击。

---

严重:微软补丁星期二 — 6个零日漏洞

CVE编号	影响	严重程度
CVE-2026-21510	Windows Shell绕过 — 单击即可运行攻击者代码	严重
CVE-2026-21513	MSHTML浏览器绕过	高危
CVE-2026-21514	Microsoft Word安全绕过	高危
CVE-2026-21533	Windows RDP权限提升至SYSTEM	高危
CVE-2026-21519	桌面窗口管理器权限提升	高危
CVE-2026-21525	通过RASMAN拒绝服务攻击中断VPN	中危

---

BeyondTrust RCE — 24小时内被利用

CVE-2026-1731:BeyondTrust Remote Support和Privileged Remote Access中的严重预认证远程代码执行漏洞。概念验证代码发布后,在24小时内便开始出现主动利用。

建议措施

1. 如使用BeyondTrust PRA,请立即打补丁
2. 在打补丁前隔离暴露的设备
3. 审查日志以查找未经授权的访问

---

Ivanti EPMM — 83%攻击来自单一行为者

安全研究人员发现,一个威胁行为者负责了83%的Ivanti EPMM利用尝试。CVE-2026-1281和CVE-2026-1340正在遭受主动利用。

这是攻击者的高价值目标 — 请紧急打补丁。

---

本周重大数据泄露

组织	受影响记录数	行业
Odido(荷兰电信)	620万客户	电信
路易威登/迪奥/蒂芙尼	550万(2500万美元罚款)	零售
ApolloMD Healthcare	62.6万患者	医疗
Conpet(罗马尼亚)	Qilin勒索软件攻击	能源/关键基础设施

---

Kimwolf僵尸网络 — 200万设备

一个由200多万受感染物联网设备(流媒体盒、路由器、数码相框)组成的大规模僵尸网络意外导致I2P匿名网络崩溃,原因是试图将70万个僵尸主机加入为节点 — 这种"女巫攻击"使去中心化网络不堪重负。

僵尸网络操作者现已攻陷了Badbox 2.0控制面板(中国的Android TV僵尸网络)。FBI和谷歌正在积极追捕操作者。

---

SLSH勒索团伙 — 极端战术

Unit 221B强烈建议:不要接触或支付。该团伙没有信守承诺的记录,支付只会助长态势升级。

入侵通常始于针对员工的电话钓鱼,声称进行IT更新。

---

ClickFix攻击演变

ClickFix社会工程活动现在正使用DNS查询(nslookup)来检索PowerShell有效负载 — 这是首次已知将DNS用作此类攻击的负载传递渠道。

还观察到:Claude LLM工件在ClickFix活动中遭滥用,针对macOS用户投放信息窃取器。

---

国家行为者使用AI开发恶意软件

多个威胁行为者(VoidLink、CANFAIL)已确认使用大语言模型开发恶意软件。谷歌的GTIG报告指出,AI辅助攻击正成为国家级行为者的标准做法。

行为者	目标重点
俄罗斯	乌克兰战争技术部署
朝鲜	员工招聘利用
伊朗	供应链和招聘流程渗透
中国	边缘设备初始访问

---

今日优先事项

1. 立即打补丁:微软6个零日漏洞 + BeyondTrust + Ivanti
2. 监控:基于DNS的负载传递(ClickFix演变)
3. 简报:向高管说明SLSH勒索战术
4. 审计:Chrome扩展程序(已识别300多个恶意扩展,下载量达3700万次)
5. 审查:员工安全培训,重点关注基于电话的社会工程