应急响应 - 卫方智能网络安全资讯平台

WMI事件订阅排查实战：持久化后门清除

2026年11月8日作者卫方智能

WMI事件订阅后门排查：三张表枚举脚本、基线指纹比对、Sysmon 记录、正确删除顺序与 ACL 防重建，附 5861 事件取证与复发处置。

2026年11月6日作者卫方智能

西班牙旅游科技服务商 Amadeus 的旅行预订展示环境存在漏洞，攻击者利用被非法使用的系统账号凭证访问订座记录，波及国泰、日航、全日空、新航、大韩、韩亚、马航等亚洲航司，已披露四家合计超 22 万旅客受影响。

2026年11月6日作者卫方智能

DreamHost 向加州总检察长提交泄露通知：攻击者自 2026 年 8 月起利用 files.dreamhost.com 网页文件管理器的未披露漏洞，窃取登录者的 FTP/SFTP 账号密码与会话令牌，并波及少量 webmail 会话，持续约 80 天才被发现。

2026年11月5日作者卫方智能

俄罗斯主机商 Beget 在 11 月 1 日至 2 日夜间被攻破整套基础设施管理系统，攻击者不加密不勒索，直接跑删除脚本清空 VPS、S3、Kubernetes 与整机备份。该公司承载约 15% 俄语顶级域名活跃网站。

2026年11月4日作者卫方智能

把文件 MACB 时间、登录记录与 Web 日志归一化成一条 UTC 时间线，才能回答攻击者何时进来、动了什么。本文给出 fls、mactime、Plaso 的完整取证命令与关联分析方法。

2026年11月4日作者卫方智能

11 月 1 日，多个自建 BTCPay Server 实例的热钱包被转走比特币与莱特币。官方调查确认攻击针对 2.4.1 及更早版本，用的是与 2.4.2 所修漏洞不同的利用方法。仅升级不足以清除攻击者已有权限，官方要求换服务器、换钱包、换种子。

2026年11月3日作者卫方智能

Unit 42 披露 CL-UNK-1211 集群活动：2025 年 10 月至 2026 年 4 月针对政府 Linux 基础设施，使用 Go 编写的跨平台后门 SysGoRAT，投放的 PHP 与 shell 脚本带有对话式推理注释，疑似大模型直接产出。

2026年10月30日作者卫方智能

服务器出现可疑登录后，逐台 SSH 排查效率极低。本文用 Velociraptor 搭建端点取证平台，通过 VQL 查询与 Hunt 批量采集进程、网络、账号与文件时间线。

2026年10月30日作者卫方智能

据 WIRED 报道，埃森哲一名承包商把国防部非密网络上的集中式编码系统接入个人 Claude Code 账号，AI 代理以管理员权限运行约两个月，并疑似将登录凭据与网络拓扑发往第三方站点。

2026年10月30日作者卫方智能

10 月 29 日 20:24 UTC，币安多个热钱包在 40 分钟内被扫出约 56 亿美元资产，EIP-7702 委托授权被列为首要技术解释；Tether 与 Circle 已冻结超 23 亿美元稳定币。

2026年10月29日作者卫方智能

UNM 健康科学中心 10 月 26 日遭网络攻击，全州唯一一级创伤中心将救护车分流两小时，当日门诊手术全部取消。新兴团伙 Byod 声称攻陷 36,000 台系统并窃取患者数据，UNM 称未穿透核心系统，双方说法存在明显落差。

2026年10月28日作者卫方智能

从零部署蜜标检测体系：路径型、文件型、凭证型三类诱饵的投放方法，Nginx 独立日志、inotify 监听、去重聚合与 webhook 告警的完整配置，全部命令可直接复制执行。