报告期：2026年9月14日至21日
评估截止：2026年9月21日
范围：国家及国家相关网络行动、APT活动、技术情报、主动利用、关键基础设施风险和网络启用的情报活动。
执行评估
本报告期内产生了四个具有即时情报意义的发展。
伊朗的MOIS网络活动现在与现实世界的反情报和镇压更加紧密相连。2026年9月15日，英国、美国和荷兰联合披露了CHOSEN BRICK，同时FBI的技术发布大幅扩展了与之相关的HEAVYGRAM恶意软件生态系统的分析。这些活动针对异议人士、记者、活动家和其他被认为是伊朗政府对手的人士。收集内容包括通信、联系人、电子邮件、屏幕截图、麦克风音频、位置/生活模式信息和社交媒体数据。各机构明确指出，伊朗情报部门之前曾策划针对境外被认为的敌人的绑架和致命行动。（FBI）
与中国相关的FamousSparrow将其观察到的最近目标的约90%集中在拉丁美洲，并用大幅重新设计的植入程序SparroWocky替代了SparrowDoor。阿根廷、厄瓜多尔、危地马拉、洪都拉斯、巴拿马、秘鲁、波多黎各和委内瑞拉的政府实体受到影响。这种地理集中对于该行为者来说是不寻常的，合理地反映了北京对美国在该地区的政治和经济竞争日益增长的情报需求。（ESET）
北朝鲜的Contagious Interview生态系统已被四个国家正式归因并量化。2026年9月18日的多国建议将该行为者识别为WaterPlum，报告在100多个国家至少有30,000台被攻陷的PC，并将该活动与涉及超过7,000个加密货币钱包的盗窃或泄露联系起来。该行动的重要性超出了加密货币盗窃，因为开发者的妥协可能暴露企业凭证、源代码、云环境和知识产权。（Cyber.gov.au）
两个正在被积极利用的安全基础设施漏洞需要立即的防御关注，尽管目前都没有可辩护的国家归因。CVE-2026-76461允许未经身份验证的根级命令执行，针对Cisco Secure Email Gateway仅通过恶意电子邮件处理。CVE-2026-76460允许未经身份验证的绕过Cisco身份服务引擎身份验证。这两者都影响处于异常敏感信任边界的系统。（Cisco）
本周的更广泛情报趋势是：
国家网络行动越来越多地利用目标个人生活与其机构安全边界之间的界限。
伊朗在企业防御干扰后针对个人设备。北朝鲜以私人求职者的身份接触开发者。中国间谍活动越来越多地针对政治和商业情报需求重叠的地区的政府基础设施。同时，主动利用直接针对身份和电子邮件安全基础设施。
伊朗：CHOSEN BRICK / HEAVYGRAM及MOIS跨国目标
优先级：关键
行为者：代表情报和安全部的伊朗国家网络行为者
恶意软件：CHOSEN BRICK / HEAVYGRAM生态系统
目标：反情报、监视、数据盗窃、骚扰，可能的物理目标支持
归因信心：高
2026年9月15日，英国国家网络安全中心、FBI和荷兰AIVD联合披露了有关CHOSEN BRICK的技术细节，该恶意软件被伊朗国家行为者用于针对英国、美国、荷兰及其他地区的异议人士、活动家和记者。NCSC表示，该恶意软件自2025年起至少已被使用；FBI更广泛的HEAVYGRAM调查将相关活动追溯到2023年秋季。（FBI）
情报的重要性超出了传统的网络间谍活动。NCSC指出，收集的信息可以揭示联系人、位置和生活模式。一些被盗的个人信息随后出现在亲伊朗的泄露网站上。该建议进一步指出，伊朗情报部门之前曾策划针对境外被认为的政权敌人的绑架或致命行动。（FBI）
这创造了一个潜在的链条：
最后阶段并未在每个CHOSEN BRICK受害者中展示，但情报的效用是明确的。
FBI网络警报
初始访问和社会工程
操作员在接触之前进行大量目标研究。
初始联系通过：
Telegram。
WhatsApp。
其他消息/社交平台。
该行为者冒充受信任的熟人、组织或技术支持人员，并在传递恶意载荷之前建立融洽关系。
观察到的伪装包括：
Pictory。
RunwayML。
诺顿杀毒软件。
Telegram。
Adobe Flash Player。
KeePass。
伪造的MRI扫描结果。
一个特别重要的操作行为是安全边界迁移。当针对企业设备的交付失败或似乎可能触发检测时，操作员试图说服受害者将活动转移到个人计算机上。这允许通过社会工程绕过企业安全架构。
持久性和防御规避
CHOSEN BRICK通常通过：
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
观察到的值包括：
SMQDService
winappx
该植入程序还可以向Microsoft Defender添加排除项。
观察到的互斥体包括：
ytyjyujyu
noi672pp434awkc12f
FBI观察到的PowerShell命令调用：
Add-MpPreference -ExclusionPath
绕过恶意软件目录，甚至受害者的Telegram Desktop下载目录。
命令与控制
CHOSEN BRICK通过Telegram机器人进行通信。
更重要的是，每台感染的机器接收不同的Telegram Bot ID。这种设计限制了基础设施的关联性。