← 返回安全博客

戴尔零日漏洞遭利用18个月 + AI助手成为C2代理

中国APT组织利用戴尔零日漏洞超过18个月未被发现。Check Point演示微软Copilot和Grok作为恶意软件C2代理。在安卓平板中发现Keenadu固件后门。密码管理器存在25种攻击变体,威胁零知识承诺。

---

关键:戴尔零日漏洞 — 18个月未被检测

这种长期的潜伏时间凸显了国家级行为者的复杂程度,以及除打补丁之外还需要强大检测能力的必要性。

---

AI助手被武器化为C2代理

AI平台	滥用方式
微软Copilot	网页浏览 + URL获取功能使侦察成为可能
xAI Grok	相同能力被用于动态攻击决策

该技术可实现:

• 通过AI进行侦察和脚本编写
• 动态攻击决策
• 流量混入合法的企业AI使用中

使用企业AI工具的组织应监控异常的请求模式。

---

Keenadu:安卓固件后门

主要发现:

• 出现在Alldocube平板及其他品牌中
• 通过签名的OTA更新传送
• 后门加载到每个应用的地址空间
• 多阶段加载器赋予操作者完全设备控制权

这代表硬件级别的供应链入侵 — 极难检测或修复。

---

密码管理器:25种攻击变体

攻击严重程度从完整性违规到完全保险库泄露不等。该研究假设恶意服务器场景,质疑如果服务器被入侵,"零知识加密"是否真正保护用户。

受影响产品

• Bitwarden
• LastPass
• Dashlane

---

微软补丁星期二提醒

昨天的6个零日漏洞仍然关键。如果您尚未打补丁:

CVE	影响
CVE-2026-21510	Windows Shell绕过 — 单击即执行攻击者代码
CVE-2026-21513	MSHTML浏览器绕过
CVE-2026-21514	Microsoft Word安全绕过
CVE-2026-21533	RDP权限提升至SYSTEM
CVE-2026-21519	桌面窗口管理器提权
CVE-2026-21525	通过RASMAN DoS破坏VPN

---

VSCode扩展:1.28亿+下载量受影响

在总下载量超过1.28亿的流行VSCode扩展中发现严重至高危漏洞:

• 可窃取本地文件
• 远程执行代码
• 开发人员应立即审计已安装的扩展

---

恶意软件更新

Lumma窃取器 — 滥用Google群组

• 创建了4,000+个恶意Google群组
• 3,500+个Google托管URL传播恶意软件
• 还在分发木马化的"Ninja浏览器"
• 针对Windows和Linux上的凭据

ClickFix DNS演变

ClickFix攻击现在使用DNS查询(nslookup)检索PowerShell有效载荷 — 首次已知使用DNS作为有效载荷传递渠道。传送"ModeloRAT"恶意软件。

---

数据泄露与勒索软件

目标	影响	行为者
Eurail B.V.	旅客数据出现在暗网	未知
Canada Goose	60万客户记录	ShinyHunters
LVMH品牌	2500万美元罚款(韩国)	Scattered LAPSUS$
华盛顿酒店(日本)	业务数据暴露	勒索软件

积极消息:一名47岁的Phobos勒索软件嫌疑人在波兰被捕,携带含有被盗凭据和信用卡数据的设备。

---

CISA仍处于38%人员配置

国土安全部关闭持续 — CISA以2,341名员工中的888名运作。联邦网络安全响应能力仍然削弱。组织应加强内部监控。

---

今日数据

指标	数值
戴尔零日漏洞潜伏时间	18+个月
密码管理器攻击变体	25种
受影响的VSCode扩展下载量	1.28亿+
恶意Google群组	4,000+
活跃的微软零日漏洞	6个
CISA人员配置	38%

---

今日优先事项

1. 打补丁:微软6个零日漏洞 + Chrome 145 + BeyondTrust + Ivanti
2. 审计:VSCode扩展 — 删除未知/不必要的扩展
3. 监控:企业AI工具使用情况,寻找异常模式
4. 审查:供应链安全 — 固件完整性
5. 评估:基于苏黎世联邦理工学院研究结果的密码管理器风险