今天早上的信号很直接：攻击者仍然通过会话窃取、文档利用、定向凭证钓鱼和供应链依赖持续得手。Chrome 终于带来一个真正有价值的防御改进，但其余内容再次说明，身份安全和终端卫生仍然决定胜负。
一句话总结：一个值得肯定的浏览器加固动作、一个正在被利用的 PDF 零日、两起高水平定向入侵、一场大范围 Android SDK 暴露事件，以及边界设备补丁压力继续上升。
Google 在 Windows 版 Chrome 146 中推出了 Device Bound Session Credentials (DBSC)。这一机制把短生命周期会话凭证以密码学方式绑定到硬件保护密钥上。简单说，信息窃取恶意软件即使偷到 Cookie，也更难在另一台机器上稳定复用。
这很重要，因为 Cookie 窃取已经成为绕过密码和 MFA 的最快路径之一。Chrome 不能阻止主机已被感染，但它确实让入侵后的会话劫持变得更难、更贵。
研究人员表示，一个未知的 Adobe Reader 零日漏洞 至少自 2025 年 12 月起就已通过恶意 PDF 被利用。样本会执行混淆 JavaScript、收集本地信息、连接远程服务器，并可能为后续代码执行或沙箱逃逸做准备。
这很糟糕，因为 PDF 仍然是企业流程中最容易被信任的文件格式之一。当一个活跃漏洞藏在“发票”里时，单靠员工培训远远不够。
与 Cisco Talos 相关的报告将 LucidRook 描述为一种模块化、基于 Lua 的恶意软件，被用于针对台湾 NGO 和大学的鱼叉式钓鱼活动。该恶意软件结合了分阶段投递、DLL 侧载、重度混淆和外部 Lua 字节码加载。
值得注意的不只是恶意软件本身，而是操作者的纪律性。这更像是一场为定向潜伏与安静收集而设计的行动，而不是喧闹的泛滥型犯罪软件。
Abnormal 对封闭式 phishing-as-a-service 平台 VENOM 的研究显示，该平台高度聚焦 C 级高管。其钓鱼链会伪装成 SharePoint 通知，把目标数据藏在 URL 片段里，使用二维码把受害者引到手机端，再通过 adversary-in-the-middle 和 device-code 流程窃取访问权限。
防守方该停止自我安慰了：如果高管账户仍然依赖普通 MFA 和宽松的条件访问策略，你就是在输。
Microsoft 披露了一个已修复的 EngageLab SDK 漏洞细节。该漏洞可能允许恶意 App 绕过应用隔离假设，访问同样集成该 SDK 的其他 App 私有数据。Microsoft 表示受影响规模超过5000 万次安装，其中包括3000 万次加密钱包安装。
目前没有公开证据显示它已被恶意利用，但教训已经很明显。第三方移动 SDK 本身就是攻击面的一部分。
SecurityWeek 还提到 Palo Alto Networks 和 SonicWall 的高危补丁。具体风险因产品而异，但规律没变：暴露在边界上的设备仍然是攻击者通往高权限控制的最快路径之一。
本简报跟踪来源：BleepingComputer、The Hacker News 与 SecurityWeek 于 2026 年 4 月 9 日至 10 日发布的报道。
保持警觉。
🗡️ KENSAI Security Team