防御针对 SaaS 应用程序的 ShinyHunters OAuth 滥用攻击
Microsoft 威胁情报部门识别出与 ShinyHunters 攻击组织惯用手法重叠的威胁活动，包括语音钓鱼（vishing）、供应链攻击以及针对 SaaS 应用程序的错误配置访客访问，目标是 Salesforce 等客户 SaaS 实例。
年度归档： 2026 年
Read More
Grok Build 被指将完整 Git 仓库上传至 xAI 存储桶,而非仅上传其读取的文件
xAI 旗下的 Grok Build 编程命令行工具被发现会将整个 Git 仓库(包括完整提交历史)上传到 xAI 运营的 Google Cloud Storage 存储桶,而不仅仅是编码任务实际需要的文件。研究人员 cereblab 在测试 0.2.93 版本时,通过拦截请求提取了 git bundle,并成功恢复了一个被明确告知不要打开的 canary 文件。
OAuth客户端ID欺骗使攻击者可验证窃取的Microsoft Entra凭据
至少两个不同的威胁行为者正在云攻击活动中武器化一种名为”OAuth客户端ID欺骗”的新型规避技术，同时绕过遥测监测。该活动允许攻击者在Microsoft Entra ID环境中枚举用户账户并验证窃取的凭据，且全程不会生成任何能够提醒防御者的成功登录事件。
11 个旧版微软签名的 Linux UEFI Shim 可让攻击者绕过 Secure Boot
网络安全研究人员发现 11 个旧版、由微软签名的 UEFI 应用程序，这些程序可能被滥用以在采用现代固件标准的大多数系统上绕过 Secure Boot。ESET 研究员 Martin Smolár 表示：”利用这些易受攻击的应用程序之一，攻击者可以在系统启动期间执行不受信任的代码，从而部署恶意的 UEFI 引导套件或其他恶意软件。”
LabubaRAT 伪装成 NVIDIA 软件以控制 Windows 主机
网络安全研究人员标记了一种此前未被记录的、基于 Rust 编写的远程访问木马（RAT），代号 LabubaRAT，它伪装成 NVIDIA 软件以融入目标环境。Blackpoint Cyber 的研究人员 Sam Decker 和 Nevan Beal 在今日发布的分析中指出，该植入程序可为攻击者的手工活动创建可重复使用的立足点，能够对主机进行画像分析、识别安全工具、接收操作员指令、移动文件、截取屏幕截图，并通过受感染系统代理流量。
攻击者使用疑似AI生成的PowerShell脚本映射Active Directory
网络安全研究人员标记了一起入侵事件，其中未知威胁行为者利用了一个”氛围编码”(vibe-coded)的PowerShell脚本来枚举Active Directory (AD)。该脚本会查找域控制器(DC)，映射用户、计算机和域，并最终生成AD_Report.html报告。事件发生于2026年6月初。
快思考与慢思考在 SOC 中的应用：自主 AI 与分析师副驾驶结合的案例
本文借心理学家 Kahneman 的”快慢双系统”理论，剖析当前安全运营中心（SOC）在设计 AI 架构时常见的错误：用需要深度判断的系统去处理海量告警分诊。研究显示 98% 的告警可自主闭环、不足 2% 才需人工复核。文章主张 SOC 应建立”自主大脑 + 人类副驾驶”双层架构，让 Claude 等大模型专注于复杂案例分析、检测规则工程等高价值工作。
Meta申请可全天监听并追踪情绪的AI专利
Meta提交了一项AI专利申请，该AI能够全天监听用户语音，根据说话方式判断用户情绪，并对每一次读取记录加上时间戳。每条记录都会绑定到发生的时刻：时间、位置、当时在做什么，甚至如何使用手机。专利文件中的一些版本会全天监听，其他版本则只在特定时间进行检查。
⚡ 周回顾：ShareFile 威胁、Citrix Bleed 2 勒索软件、AI 编码攻击等
此刻，某处的安全工具正以人类无法企及的速度悄悄发现漏洞，这本应是好消息。然而攻击者拥有同样的工具，只是方向相反，而且他们不会提交工单，这就是本周的形势。可信的代码反噬安装它的人，去年的旧漏洞因修复积压而仍在生效；伪造安装包、被投毒的软件包、暴露在公网的系统，以及那些执行并非来自你本人指令的 AI 助手都在作祟。
CrashStealer macOS 恶意软件利用已公证投递器绕过 Gatekeeper 检查
网络安全研究人员标记了一种名为 CrashStealer 的新型 macOS 信息窃取木马，能够从受感染系统中窃取敏感数据。据 Jamf Threat Labs 称，与其他基于 AppleScript 投递器或 Objective-C 封装的信息窃取木马不同，CrashStealer 使用原生 C++ 实现。该恶意软件会在本地验证受害者的登录密码，然后收割浏览器、加密货币钱包、密码管理器以及钥匙串中的数据，并通过 libcurl 使用 AES-GCM 加密外传。