The Hacker News这份周三威胁速报直击当下网络乱象。研究者把小洞串起来变大后门。老软件旧坑重现。新招数让攻击者悄无声息抹掉日志。地下流量更诡异。供应链一坏蛋拖垮千款App。赶紧扫一眼自家网，别让这些祸水进门。
先说Progress ShareFile。watchTower Labs挖出两个坑：CVE-2026-2699和CVE-2026-2701。头一个绕认证走/ConfigService/Admin.aspx后门。第二个后认证RCE。链起来就能上传Web壳。全球3万台实例暴露。Progress推Storage Zone Controller 5.12.4补丁，已于3月10日出。赶紧打补丁。
Android老设备遭殃。NoVoice Rootkit藏50多个App里。下载超230万次。伪装工具、图库、游戏。全有正常功能。暗地里用22个2016到2021年补丁过的坑求root。McAfee说，root成功后注入代码到每款打开的App。偷数据直传服务器。避开北京深圳。查模拟器、调试器、VPN超12种检查。连远程服务器拉exploit关SELinux。改系统库，装任意App保活。跟Triada有重合。瞄准WhatsApp，一开就偷。Google已下架App。感染重镇尼日利亚、埃塞俄比亚、阿尔及利亚、印度、肯尼亚。
FBI敲警钟。外国App风险大。2026年初，美区最热下载和营收App多出自中国公司。中国国安法管着，政府随时摸用户数据。假借邀友收联系人。存中国服务器。藏恶意码超权限偷。可能插后门抬权，下更多包。美国没点名。TikTok、Shein、Temu、DeepSeek对得上号。
美国国务院新设新兴威胁局。盯关键基础设施cyber攻。太空威胁。AI滥用。伊朗、中国、俄罗斯、朝鲜全列。
柬埔寨HuiOne前主席Li Xiong被引渡中国。控赌、诈、非法经营、洗钱。Xinhua指他是Chen Zhi跨国cyber犯罪团伙骨干。Chen Zhi是Prince Group主席，1月被引渡，美方控东南亚强迫劳工“猪屠杀”骗局。2025年5月美财长FinCEN标HuiOne为首要洗钱机构。
Google放行改Gmail用户名。美国用户先用。老地址变备选。邮件双收。数据照旧。想改回随时。新地址12个月内别想新造。也删不了。
联邦法官叫停特朗普政府给Anthropic贴供应链风险标签。AI公司告急害。Rita Lin法官批：美国公司因批政府就被当敌特，太奥威尔。
钓鱼手盯Android iOS。假ChatGPT和Meta广告beta测试。Android版走firebase-noreply@google.com发Firebase App Distribution。装后要Facebook凭证。接管账号。iOS版冒ChatGPT Gemini邮件推App Store假货。LevelBlue抓包。
Google Drive反勒索全开。2025年9月beta后，现在通用。检测暂停同步。批量回档旧版。新AI模型感染侦14倍。更快更广。
GhostSocks野。Darktrace从2025年底见客户基数升。12月案例跟Lumma Stealer搭档。xss.is论坛MaaS。变中招设备成住宅代理。吃受害带宽走SOCKS5。2024年Lumma合作后火。
开源恶意爆。2024年1月起，13.6倍增。npm ATO告930个在2025年。全1011中占92%。12倍年增。38.4%包月下超1000。18.5%破万。11.1%超10万。Endor Labs指攻手挑深嵌生产和CI/CD的包。炸半径最大。
XLoader 8.7版。Zscaler见混淆升级。运行时解密字符串、代码块。藏硬码值。多层加密钥匙封网流。C2假服务器。难自动化析。
ImageMagick零日链RCE。一图或PDF搞定。默认和最严“secure”配置全中。Linux大发行、WordPress图传全危。Pwn.ai说未补。暂用无网沙箱处PDF。WordPress关XML-RPC。挡GhostScript。
CloudTrail日志盲。攻手不碰StopLogging或DeleteTrail。用PutEventSelectors建隐区。StopEventDataStoreIngestion和DeleteEventDataStore杀长期 forensics。PutInsightSelectors关异常探。DeleteResourcePolicy和DeregisterOrganizationDelegatedAdmin拆跨账护。Abstract Security：单看像维护。链起抹迹全无。
LofyGang回归。npm假包“undicy-http”。双弹：Node.js RAT直播屏。Windows PE直syscall注浏览器。偷50+浏览器凭证、cookie、卡、IBAN、会话。90加密钱包扩展。今BTC现报$66,309（24h -2.70%），ETH $2,036（24h -3.85%），这些钱包一劫就血本无归。劫持Roblox、Instagram、Spotify、TikTok、Steam、Telegram、Discord。Node层自带壳、截屏、摄录、上传、保活。WebSocket C2控。拉PE用Discord webhook和Telegram bot出数据。JFrog抓现行。
小变反复。大事酿成。难事变易。吵闹变静。明显迹象少。细微坑多。模式在变。系统原样用。弯道出祸。盯紧。