ThreatsDay: Cloud Bucket Hijacking, Windows LPE Chain, Global Fraud Bust + 17 More Stories 威胁日报：云存储桶劫持、Windows本地提权链、全球诈骗大案及其他17则新闻

TL;DR

• INTERPOL发起“First Light 2026”全球行动，联合97国逮捕5811人，拦截2.93亿美元非法资产，打击社会工程学诈骗及洗钱。
• 17个恶意npm和PyPI包通过拼写错误模仿支付SDK（如Paysafe），窃取开发者密钥并绕过沙箱检测。
• 研究人员披露Process Parameter Poisoning (P³)技术，利用进程参数结构进行无挂起状态的隐蔽代码注入。
• Esri ArcGIS Server 12.0及更早版本存在高危路径遍历漏洞（CVE-2026-9181），允许未授权访问敏感文件。
• IBM X-Force发现Interlock勒索软件团伙与TAG-124在恶意软件工具链（如NodeSnake, Supper）上存在代码重叠，暗示共同开发背景。

为什么值得看

本文揭示了当前网络安全威胁的多样化趋势，从跨国有组织犯罪到针对开发供应链的精准攻击，再到高级持久性威胁（APT）的技术演进。对于安全从业者和企业决策者而言，理解这些具体攻击手法（如SDK劫持、无挂起注入）有助于优化防御策略，特别是加强第三方依赖管理和进程监控机制。

技术解析

• 全球反欺诈行动数据：“First Light 2026”行动显示社会工程学诈骗已演变为跨国重大威胁，涉及14.2万受害者。犯罪分子利用加密货币跨链交换掩盖资金流向，表明传统金融监管需结合区块链分析技术。
• 恶意SDK供应链攻击：攻击者利用Ngrok端点外泄数据，并通过动态混淆密钥避免签名追踪。恶意软件具备环境感知能力，通过检查CPU核心数及主机名关键字（如vmware, sandbox）来规避静态分析，这对CI/CD流水线中的包验证提出了更高要求。
• P³隐蔽注入技术：P³-Shellcode Loader利用Windows进程参数结构作为执行和暂存区域，优势在于无需创建或挂起进程/线程，从而绕过了基于进程状态监控的传统EDR解决方案，代表了无文件攻击技术的进一步进化。
• ArcGIS Server路径遍历漏洞：CVE-2026-9181源于REST Uploads资源对路径参数验证不足，CVSS评分高达9.8，允许远程未认证攻击者越权读取系统文件，凸显了API接口输入验证的重要性。
• 勒索软件工具链同源分析：通过对NodeSnake、JunkFiction、Supper等组件的代码比对，发现Interlock与TAG-124团伙共享底层代码库或开发者，这种工具复用现象有助于通过关联分析追踪不同攻击组织背后的同一实体。

行业启示

• 强化供应链安全与依赖审计：鉴于支付SDK被恶意替换的案例，企业应实施严格的软件物料清单（SBOM）管理，并对第三方库进行动态行为监控，而不仅仅依赖静态签名。
• 升级进程级检测能力：传统的基于进程创建和挂起的检测机制已不足以应对P³等新型注入技术，安全团队需转向更底层的内存完整性检查和异常行为分析。
• 加强API安全治理：Esri漏洞提醒我们，即使是非Web核心的基础设施服务（如GIS服务器），其API接口也需遵循最小权限原则并进行严格的路径规范化处理，以防止未授权数据泄露。