一个用作无害占位符文本的域名出现在大约1,700个代码库中。然后有人注册了它并开始提供恶意诱饵。这就是这一周的情况：被遗忘的假设变成了活跃的攻击面。
在其他地方，弱服务账户、旧漏洞、暴露的系统、网络钓鱼工具以及奇怪的简单利用路径仍然为攻击者提供了便利。没有什么新奇的。大多数是没人再认为会重要的事情。
以下是本周重要事件的完整回顾。
⚡ 本周威胁
Citrix警告NetScaler ADC和Gateway漏洞被积极利用 — Citrix发布了补丁以修复多个漏洞，包括CVE-2026-88771和CVE-2026-88772，这些漏洞已被积极利用。CVE-2026-88771是一个不当输入验证漏洞，可能允许未经身份验证的攻击者执行任意命令，而成功利用CVE-2026-88772可能允许远程代码执行或拒绝服务。CISA表示“威胁行为者正在全球范围内积极利用这些漏洞”，并敦促联邦机构在周三之前应用补丁。
🔔 头条新闻
Bitget在黑客攻击后恢复提款 — 加密货币交易所Bitget在怀疑北朝鲜黑客上周侵入其系统并盗取超过3.87亿美元后，分阶段恢复了比特币提款。“在2026年9月24日18:31 UTC，Bitget的安全系统识别出涉及少量热钱包的未经授权转账，”Bitget表示。“Bitget的冷钱包和绝大多数平台资产仍然安全且未受影响。”根据Coindesk发布的实时资金追踪仪表板，Circle和Tether已冻结与此次黑客攻击相关的价值339,100美元的稳定币。
PamStealer增加实时C2有效负载解密 — 新版本的PamStealer被发现包含一种新的反分析技巧，确保主有效负载只能通过服务器端解密链恢复。最新的工件继续依赖相同的JavaScript自动化（JXA）投放机制，但修改了诱饵和交付方式。“早期变种将其有效负载密钥材料直接嵌入JXA源代码中，而现在它获取一个专门构建的解密工具，并在有效负载解包之前与服务器完成密钥交换，”Jamf表示。“没有服务器的配合，有效负载无法静态恢复。”
占位符域名在约1.7K个代码库中发现引用 — “third-party[.]com”域名，通常用作文档占位符，已被观察到向Windows浏览器提供ClickFix诱饵，同时向其他用户显示无害的诱饵。“third-party[.]com多年来一直是一个通用的文档占位符，扮演着与example.com相同的角色，”Manifold Security表示。“与‘example[.]com’不同，third-party[.]com并不是IANA保留的。任何人都可以注册它，而有人确实这样做了。每个文档、测试和技能都将其硬编码，现在指向攻击者基础设施。”截至撰写时，该域名已在VirusTotal和Google的安全浏览列表上被标记为恶意和不安全。Manifold还识别出13个其他未被IANA保留的占位符域名，其中两个——yoursite[.]com和your-domain[.]com——向macOS访客提供诈骗和恐吓软件，而向其他用户提供普通的停放页面。
UNK_CondorFiltration在新活动中滥用TeamFiltration — 一个名为UNK_CondorFiltration的活跃TeamFiltration活动已针对28个Microsoft 365租户中的超过5,700个账户。该活动主要集中在智利的零售和金融机构。它起源于1,487个独特的AWS EC2源IP地址。“该活动妥协了7个账户——所有这些都是未管理的功能或服务账户，而不是个别员工账户——突显了围绕被遗忘的、非人类身份的关键暴露缺口，这些身份使用默认或未更换的密码且没有多因素认证，”Proofpoint表示。该活动在2026年7月底到8月期间分三波进行。
EvilTokens在执法行动中被取缔 — 由微软领导的执法和私营部门科技公司联盟拆解了EvilTokens网络钓鱼服务，逮捕了两名涉嫌网站管理员Felix Utomi和Waidi Segun Adams，关闭了50多个网站，并通知了受害者其电子邮件账户被泄露。根据Coinbase的说法，EvilTokens的运营者在被取缔时正计划扩展该工具包以针对Gmail和Okta账户。微软将该平台的发展和支持归因于Storm-2992。EvilTokens是网络犯罪专业化的最新例子，使不法分子能够以较小的努力和规模发起网络钓鱼活动。EvilTokens的一个显著特点是设备代码网络钓鱼流程，利用了无法支持标准登录方法（如智能电视、打印机、会议工具和Teams设备）的设备中的安全漏洞。在这些攻击中，受害者会收到一个短代码，并被告知将该代码输入到网络钓鱼页面以完成身份验证。这里的重要方面是，不是合法设备请求访问，而是威胁行为者发起流程并通过网络钓鱼诱饵向用户提供代码。当代码被输入时，受害者在不知情的情况下授权了网络犯罪分子的会话，并在没有交出密码的情况下授予他们访问权限。
OpenAI与更多网站黑客攻击相关 — AI研究实验室Transluce发现，在2026年5月至6月之间，有三次OpenAI的代理在传统方法失败时 resorted to hacking。这包括对澳大利亚政府公共卫生网站的尝试。“值得注意的是，代理在执行与网络无关的普通数据检索任务时这样做，”Transluce表示。“这些流量至少可以追溯到2026年3月6日，并延续到最近的2026年9月16日，这表明代理可能仍在利用这些服务以绕过限制。”