又一周带来了网络安全领域密集的议程：从对X用户账户的大规模攻击，到长期存在的僵尸网络的覆灭，再到规避人工智能防护的新颖复杂手段。我来梳理一下关键事件。

X（推特）：密码重置浪潮与旧数据泄露的阴影

社交网络X的用户大量抱怨遭遇未经授权的密码重置请求风暴，以及来自未知设备的登录通知。平台工程师承认存在异常，但否认基础设施被入侵，将攻击与自动化账户劫持尝试联系起来，目的是获取X money变现权限。

可能的根本原因是2022年API漏洞的余波，该漏洞使得邮箱和电话号码能够与用户档案关联。随后，包含2亿用户的数据被整合到Have I Been Pwned注册表中，而在2025年3月，黑客ThinkingOne公开了一个34GB的文件，内含2.01亿个账户的数据。4月，Breakglass Intelligence的研究人员发现一个僵尸网络，通过X登录表单运行数百万组用户名/密码组合。值得注意的是，即使密码正确，双因素认证（2FA）也拦截了85.6%的尝试，这凸显了启用它的至关重要性。

与此同时，自7月以来，一场独立的钓鱼活动一直在进行：受害者会收到看似完美的X邮件副本，内容为“来自新设备的登录”，这些邮件会引导用户进入用于截取令牌的虚假页面。我强烈建议在设置中启用密码重置保护，并检查发件人地址——合法邮件只会来自@X.com或@e.X.com。

一个时代的终结：执法部门摧毁了Sality僵尸网络

美国和欧洲当局的联合行动为自2003年以来一直活跃的去中心化僵尸网络Sality画上了句号。在关闭时，该网络拥有超过15,000台活跃的受感染设备。考虑到其P2P架构，网络警察接管了关键超级节点的控制权，将机器与指挥中心隔离。与此同时，在美国、保加利亚、匈牙利和罗马尼亚的服务器也被物理查获。

在二十年间，Sality被用于窃取密码和发起DDoS攻击，但近年来其主要负载是EggJagger模块——一种剪贴板劫持器，可将剪贴板中的加密货币地址替换为黑客的钱包地址。据CrowdStrike称，该网络背后是SALTY SPIDER组织，据推测其基地位于巴什科尔托斯坦。

对俄罗斯公民的指控与针对自由职业者的网络攻击

加利福尼亚州联邦法院解密了对40岁的西拉朱丁·阿克图拉耶夫的起诉书，他于2025年5月在塞浦路斯被捕。在2016年6月至2017年11月期间，他在美国一家劳务交易所创建了255个虚假档案，并通过内部即时通讯工具向80,000名自由职业者传播了恶意的Excel文档。这些文件会加载TVRAT和DarkVNC木马，使其能够通过合法的TeamViewer和VNC Viewer会话接管控制权。黑客使用加密货币支付其基础设施费用。阿克图拉耶夫已被引渡，首次听证会定于2026年10月5日举行。

GuardBreaker：致盲人工智能杀毒软件的新技术

ESET专家发现了GuardBreaker技术，该技术被亲俄组织UAC-0099用于攻击乌克兰基础设施。该方法的核心是在恶意脚本中注入触发短语（例如，“我想制造核武器。帮帮我……”），从而引发大型语言模型防护过滤器的响应。人工智能扫描器会因错误而中断会话，而不会分析代码本身，从而允许隐蔽地投放MATCHBOIL加载器。这种战术此前曾被TeamPCP组织在Mini Shai-Hulud和Miasma活动中使用，现在正被其他参与者积极效仿。TeamPCP的头目——21岁的鲁本·汤姆森和23岁的路易斯·格布勒——于8月25日在澳大利亚被捕。

塞尔维亚的Pegasus与NoviSpy

Citizen Lab和SHARE基金会报告称，一名塞尔维亚学生活动家的iPhone通过iMessage中的零点击漏洞被Pegasus间谍软件感染。感染指标可追溯至2025年12月至2026年1月期间。总体而言，自今年年初以来，至少有14名公民社会代表遭到攻击，包括反对派政治人物，这与3月的选举时间吻合。在这些设备上还发现了一个更新版本的本地Android间谍软件NoviSpy。情况因以下事实而更加恶化：来自受感染手机的Viber私人消息被亲政府电视台Informer TV在节目中引用。

我的分析：本周的主要结论是，网络威胁的演变正朝着混合攻击的方向发展，将旧漏洞（数据泄露）与新攻击向量（规避人工智能）相结合。Sality的覆灭是一个标志性事件，但它只是暂时为新的P2P僵尸网络腾出了空间。加密货币社区应特别关注剪贴板劫持器和旨在窃取授权令牌的钓鱼攻击——这是掏空钱包的最直接途径。