← 返回博客

安全简报，2026年4月17日：Cisco Webex行动、PowMix僵尸网络与ZionSiphon工业破坏

今天的安全简报聚焦三个明确信号：Cisco 的 Webex SSO 修复仍需要客户动作，Talos 披露的 PowMix 僵尸网络以隐蔽 C2 行为攻击捷克劳动力群体，以及 ZionSiphon 针对水务领域氯与压力控制的 OT 破坏逻辑。

---

---

1. Cisco 修了 Webex，但客户还有收尾工作

Cisco 修复了 Webex Services 中的 CVE-2026-20184，这是一个出现在 Control Hub SSO 集成中的证书校验缺陷，可能让未认证攻击者冒充用户。服务端修补并不是全部，使用 SSO 的组织还必须为自己的身份提供商上传新的 SAML 证书，才能避免中断并真正关掉这个缺口。

• 找出所有启用了 SSO 的 Webex 租户，并确认新证书已经真实部署。
• 把 IdP 元数据和证书轮换当作安全工作，而不只是管理卫生。
• 检查高信任协作账号是否出现异常访问或令牌模式。

---

2. PowMix 说明钓鱼团伙越来越会伪装成正常流量

Cisco Talos 披露了此前未公开记录的 PowMix 僵尸网络，它至少从 2025 年 12 月起活跃，面向捷克劳动力群体展开攻击。该恶意程序使用随机信标间隔，把加密心跳数据藏进看起来像 REST API 流量的 URL 路径中，还能动态更新自己的 C2 域名。Talos 还观察到它与更早的 ZipLine 活动以及基于 Heroku 的基础设施存在战术重叠。

• 提醒人力、法务、招聘、财务和物流团队，合规主题诱饵正是这次行动的一部分。
• 狩猎异常计划任务持久化、PowerShell 加载器以及与 Heroku 相关的外连模式。
• 不要只依赖固定信标节奏检测。PowMix 就是为了绕过这种捷径而设计的。

---

3. ZionSiphon 是给水务和海水淡化运营方的一记警钟

研究人员表示，当前 ZionSiphon 样本因校验错误而无法正常运行，但其意图已经非常清楚且相当危险。该恶意程序会检查以色列 IP 范围和水处理软件，然后尝试修改加氯剂量、阀门状态、泵状态以及反渗透压力。它还具备 USB 传播能力，这在仍依赖可移动介质的工业环境中尤其值得警惕。

• 现在就审查 OT 环境中的可移动介质控制和工程工作站监控，而不是等功能完整的变种出现后再补救。
• 验证氯、压力和泵配置的变更是否会触发可见且防篡改的告警。
• 只要破坏逻辑足够明确，就应把早期 ICS 恶意软件视为运营级风险。

---

安全团队今天该做什么

1. 完成 Cisco Webex SSO 证书轮换并做验证，不要只看厂商补丁状态。
2. 让邮件、身份和终端团队一起对齐 PowMix 诱饵与 PowerShell 执行模式。
3. OT 运营方应测试未授权的加氯或压力变化能否被足够快地发现。
4. 给管理层一份直白更新，把协作信任、员工钓鱼和工业破坏串成一个风险故事。

---

Bottom line： 今天最强的教训很简单：攻击者并不在乎弱点存在于身份、用户工作流还是物理过程控制里。只要那里承载着信任，它就是目标。