每日安全动态推送(26/10/9)

原创 admin 2026-10-09 11:22 北京

利用 Windows 即插即用机制通过 USB 模拟实现零点击 SYSTEM 级入侵；利用诗歌驱动 C2 架构入侵开源 AI 服务的僵尸网络；利用邮箱大小写敏感性与 OAuth 逻辑漏洞实现账户接管

•  Plug&Pwn：利用 Windows 即插即用机制通过 USB 模拟实现零点击 SYSTEM 级入侵
https://blog.scrt.ch/2026/10/06/a-practical-guide-to-plugpwn-for-pentesters-and-defenders/

本文揭示了即便在2026年，攻击者仍能利用USB设备通过Windows自动驱动安装机制，在锁定状态下无需用户交互即可获取SYSTEM权限，且现有补丁无法防御。文章不仅证实了禁用Co-Installer配置无法完全阻断此类攻击，更提供了基于Flipper Zero等常见工具的实操指南，是安全从业者必须掌握的关键防御情报。

•  PoeLLM 恶意软件：利用诗歌驱动 C2 架构入侵开源 AI 服务的僵尸网络
https://cyberscoop.com/poellm-malware-botnet-poem-lumen-black-lotus-labs/

本文揭示了PoeLLM恶意软件利用GitHub上看似无害的诗歌作为动态C2指令表的创新伪装技术，成功构建了针对开源AI服务的庞大僵尸网络。这种将IP地址隐写于文学文本并实现无需更新恶意代码即可动态切换基础设施的机制，代表了高级威胁规避技术的重大突破。

•  ClingSTUN：滥用 STUN 基础设施的 Linux 后门
https://sectoday.tencent.com/event/RYWXGqEBVJfJhgnJQqkH

ClingSTUN 是一种新型 Linux 后门，专门针对路由器及物联网设备，通过利用包括 Realtek Jungle SDK 在内的数十个已知漏洞实现初始访问与持久化。该恶意软件的核心特征在于其独特的“活体土地”技术，即滥用合法的公共 STUN 基础设施（如 Google STUN 服务器）来中继流量并伪装成正常的 VoIP/WebRTC 通信，从而有效规避基于信誉的检测。ClingSTUN 支持 ARM 和 x86-64 等多种架构，通过模仿系统 init 进程和修改启动脚本隐藏自身，将受感染设备转化为隐蔽的代理节点，用于横向移动、隧道代理及分布式拒绝服务攻击，而无需依赖独立的协调服务器。

•  超越隐蔽性：非指令性载荷如何通过间接 Prompt Injection 欺骗 AI 邮件摘要器
https://www.cybersecurity-insiders.com/no-hidden-text-required-to-fool-an-ai-email-summarizer/

本文通过严谨的对照实验揭示了一个关键发现：间接提示注入攻击的成功并不依赖于文本的隐藏，而是取决于对大模型的指令或结构误导，这意味着仅靠检测隐藏文本或关键词无法提供全面防护。这一结论直接挑战了当前主流的防御假设，为构建更鲁棒的AI安全检测机制提供了至关重要的实证依据。

•  利用邮箱大小写敏感性与 OAuth 逻辑漏洞实现账户接管
https://hackmag.com/security/email-bugs

本文荣获2024年逻辑漏洞测试大奖，深入剖析了攻击者如何利用大小写敏感性与JWT标识符设计的缺陷，结合OAuth机制实现高难度的账户接管。文章不仅揭示了从数据层到认证层的深层逻辑漏洞，还提供了极具实战价值的修复建议，是安全从业者研究身份认证风险的必读案例。

•  FortiMail 严重零日路径遍历漏洞被活跃利用
https://sectoday.tencent.com/event/HYU8G6EBVJfJhgnJiLiu

Fortinet 邮件网关 FortiMail 中存在一个严重的零日漏洞（CVE-2026-104286，CVSS 评分 9.8），该漏洞涉及路径遍历和 NULL 字节注入缺陷，允许未认证的攻击者通过特制的 HTTP/HTTPS 请求在服务器上写入任意文件。该漏洞正遭受活跃的野外利用，攻击者利用此缺陷写入恶意文件、修改 ld.so.preload 配置并植入 Web Shell，从而完全接管邮件网关，建立持久化立足点以进行凭证拦截和商务邮件诈骗（BEC）。鉴于风险极高，美国网络安全和基础设施安全局（CISA）已将该漏洞列入已知被利用漏洞（KEV）目录，并敦促受影响的组织在补丁发布前立即禁用基于身份的加密（IBE）功能或限制管理接口的访问权限，同时监控特定的入侵指标（IoC）。

•  从 UART 焊到拆 Flash：TP-Link TL-WR841N 硬件逆向深潜 | CN-SEC 中文网
https://cn-sec.com/archives/5470852.html

本文通过完整拆解 TP-Link TL-WR841N v13，生动演示了从 UART 调试口获取 Root 权限、利用 TFTP 提取固件到物理拆焊 Flash 芯片的全流程硬件逆向技术。文章深刻揭示了老旧 IoT 设备中未关闭的调试接口、弱口令及固件完整性缺失等典型供应链风险，为防御者提供了极具实操价值的物理层攻防参考。

* 查看或搜索历史推送内容请访问：
https://sectoday.tencent.com/
* 新浪微博账号： 腾讯玄武实验室
https://weibo.com/xuanwulab
* 微信公众号： 腾讯玄武实验室

阅读原文

跳转微信打开