cPGuard 更新通道被劫持：5.88.12 至 5.88.19 带后门，32 台服务器数据已被取走
11 月 2 日 02:06 UTC，攻击者用窃取的凭证进入 cPGuard 更新系统，向 5.88.12 至 5.88.19 版本下发恶意脚本，植入后门并打包 /etc/shadow、root 的 my.cnf 与 SSH 密钥。厂商称已有 32 台客户服务器的数据被取走。
凭据窃取
VOLTA 窃密木马用 Claude、Gemini、Kimi 给受害者「估价」，按变现价值排序
Cisco Talos 披露新型 Windows 窃密木马 VOLTA，窃取浏览器密码、OAuth 令牌与钱包助记词后，把数据打包成「证据包」交给大模型，输出受害者资产估值与密码卫生评级。
Claude Code 进 NIPRNet：代理握管理员凭据
据 WIRED 报道，埃森哲一名承包商把国防部非密网络上的集中式编码系统接入个人 Claude Code 账号，AI 代理以管理员权限运行约两个月，并疑似将登录凭据与网络拓扑发往第三方站点。
ConnectWise 备份应用身份被劫持：173 个微软 365 租户被登入
微软威胁情报确认一起针对 ConnectWise Cloud Backup（原 SkyKick Backup）的在野供应链攻击：攻击者取得该应用的 OAuth 身份后，10 月 15 日从单一 IP 以应用身份登入 173 个 Microsoft 365 租户，并试图给同一服务主体追加长期凭据。
恶意 Terraform provider 投毒：假字体文件投递跨平台后门
Zscaler ThreatLabz 披露恶意 Terraform provider 投毒活动：名为 terraform-provider-awsbeta_v1.0.0 的恶意 provider 在加载时执行代码，用伪装成字体的 .woff 文件投递 FLATROOF 与 ROOFDECK 后门。
GhostAction 复活：恶意 GitHub Actions 工作流植入数万仓库窃取密钥
供应链攻击活动 GhostAction 复活：攻击者用被盗维护者凭证向数万个 GitHub 仓库植入伪装成安全审计的 Actions 工作流，遍历 git 历史窃取 AWS、OpenAI、Anthropic 密钥并明文回传。
Lunex 窃密平台滥用 AMD 驱动：BYOVD 让 EDR 全程“失明”
Ontinue 披露 Lunex 恶意软件即服务平台：经 ClickFix 假验证码投递伪造 MSI，借 AMD Radeon PDFWKRNL.sys 驱动（CVE-2023-20598）实施 BYOVD，零化内核回调让安全软件保持运行却失效。
Mini Shai-Hulud 复活：GitHub Actions 恶意标签再投毒约 1.5 万仓库
两个 GitHub Actions 于 9 月 16 日被维护者重新启用但未清理 5 月投毒内容，版本标签仍指向恶意提交，导致依赖它们的约 1.5 万个仓库工作流继续下载并执行窃密载荷，9 月 25 日才再次被禁用。
CLOSEDQUORUM：首个让四个大模型投票决定攻击动作的 Windows 植入
Cisco Talos 9 月 22 日披露 Windows 植入程序 CLOSEDQUORUM：它把 DeepSeek、Qwen、Mistral、Gemini 当作委员会，由模型投票在窃密、注入、持久化之间选择动作，凭据经 Discord webhook 外传，全程没有传统 C2 服务器。
TASK#STOMP 后门滥用系统自带组件，窃取文档与 Wi-Fi 密码
Securonix 披露 Windows 后门 TASK#STOMP：用 VBScript 安装器注册四条伪装成系统服务的计划任务，再用两个隐藏 PowerShell 模块窃取商业文档、Wi-Fi 明文密码与剪贴板内容，并接受远程命令。
Rapuncel 窃密木马借微软签名驱动关闭 145 款杀毒与 EDR 软件
LastPass 与 Delphos Labs 披露 Rapuncel 信息窃取木马活动：攻击者用 SEO 优化的假 GitHub 仓库冒充 LastPass 等 40 家厂商，投递经微软签名的 Alinubx.sys 内核驱动终止 145 款安全产品，再窃取浏览器、钱包与通讯软件凭据。
Brevo 供应链攻击预警：Cloudflare API 密钥失守，超 10 万网站被植入 ClickFix
营销平台 Brevo 遭供应链攻击，攻击者用硬编码在源码中的长效 Cloudflare API 密钥部署恶意 Worker，在 CDN 边缘向 brevo.com 及超 10 万家客户站点注入 ClickFix 脚本，WordPress 管理员还会被静默装后门插件。