威胁活动
简答：高价值攻击行动，附真实历史锚点——每项链接相关 CVE、行为体、时间线与来源。
证据：CISA KEV · NVD · MITRE ATT&CK · 厂商公告 · 已人工审核
- CISA KEV 2024 攻击波 新列入 KEV 漏洞的反复利用攻势 2026-08-26 · CISA KEV
- FortiOS VPN 攻击 FortiGate 管理员账户失陷攻击波 2026-08-26 · CISA advisory
- Citrix ADC Impulse 攻击 Citrix ADC Impulse 攻击 —— 面向互联网的 Citrix 设备被攻陷。与 CVE-2023-3519 相关。（来源：CISA KEV） 2026-08-26 · CISA KEV
- Zoho ManageEngine 攻击 ITSM 设备被入侵 2026-08-26 · CISA KEV
- PaperCut RCE 漏洞利用 大规模打印机服务器远程代码执行 2026-08-26 · CISA KEV
- Fortinet FortiOS VPN 攻击 FortiOS 管理界面被入侵 2026-08-26 · CISA advisory
- Confluence 零日漏洞 2023 Confluence 接管攻击波 2026-08-26 · CISA KEV
- Citrix ADC Impulse 攻击 Citrix ADC Impulse 攻击涉及 CVE-2023-3519。来源：CISA KEV。 2026-08-26 · CISA KEV
- CitrixBleed 漏洞利用（Impulse） 跨设备窃取会话令牌 2026-08-26 · CISA KEV
- Cisco ASA IKEv1 攻击波 VPN 暴力破解 + 恶意软件 2026-08-26 · CISA KEV
- 每周 KEV 攻击波（2024） 每周 KEV 攻击波（2024）涉及 CVE-2024-3400、CVE-2023-38646。来源：CISA KEV。 2026-08-26 · CISA KEV
- WastedLocker 攻击活动 以供应链为主题的定向勒索软件入侵 2026-08-26 · FBI
- Vice Society 双重勒索 Vice Society 是一支针对教育行业的双重勒索行动，最早于 2021 年 8 月被观察到，并在 FBI/CISA 联合公告 AA22-128A 中被记录。与学校和高等教育网络的防御者相关。（来源：FBI/CISA AA22-128A） 2026-08-26 · FBI/CISA AA22-128A
- Squirrelwaffle 垃圾邮件攻击波 大规模垃圾邮件投递 Cobalt Strike 和 QakBot 2026-08-26 · Researchers
- Ryuk COVID-19 攻击波 疫情期间以人为操纵的勒索软件攻击激增 2026-08-26 · FBI AA20-302A
- Rhysida 勒索软件攻击波 Rhysida 是一个最早于 2023 年 5 月被观察到的勒索软件即服务（RaaS）组织，针对医疗与教育机构实施拍卖式双重勒索；到 2024 年 2 月已发布 CISA 公告。因其针对关键行业而值得关注。（来源：CISA） 2026-08-26 · CISA
- RedLine 窃密软件行动 大规模为凭据交易市场输送数据的窃密软件行动 2026-08-26 · Researchers
- RagnarLocker 攻击波 针对关键行业的以人为操纵的定向勒索软件 2026-08-26 · FBI/CISA
- ZebraTech/Proxylib 假冒软件 假冒软件安装程序传播 Phobos 勒索软件 2026-08-26 · Public reporting
- Phobos RDP 攻击 由 RDP 暴力破解驱动的勒索攻击冲击中小企业 2026-08-26 · CISA
- NoEscape 勒索软件 NoEscape 是一支勒索软件即服务（RaaS）行动，最早于 2023 年 6 月被观察到，运营拍卖式泄露网站，并在 2024 年 1 月升级为三重勒索。（来源：研究人员，转引自 OpenTrojan 攻击活动记录） 2026-08-26 · Researchers
- NetWalker COVID-19 网络钓鱼 以疫情为主题的钓鱼攻击导致双重勒索 2026-08-26 · FBI/Poland action
- Medusa 勒索软件攻击波 Medusa 是一支采用拍卖式数据泄露实施双重勒索的勒索软件行动，最早于 2021 年 6 月被观察到，并在 2023 年持续增长；记录于 CISA 的一份公告中。（来源：CISA） 2026-08-26 · CISA
- Maze 全球勒索活动 针对中型企业开创性的双重勒索攻击波 2026-08-26 · Researchers
- LAPSUS$ 云端窃密攻击 针对科技巨头的撞库、SIM 卡交换与数据窃取连环攻击 2026-08-26 · Researchers
- LockBit 医疗与政府攻击波 LockBit 医疗与政府攻击波 —— 对医疗与政府目标的持续加密攻击，涉及 CVE-2023-34362。（来源：CISA/FTB） 2026-08-26 · CISA/FTB
- Hive 医疗机构攻击 Hive 医疗机构攻击 —— 针对医疗和关键服务行业的勒索软件入侵，涉及 CVE-2020-1472。（来源：CISA AA22-321A） 2026-08-26 · CISA AA22-321A
- GandCrab 垃圾邮件攻击活动 大规模利用工具包与垃圾邮件传播的勒索软件攻击波 2026-08-26 · FBI
- Emotet-TrickBot-Ryuk 攻击链 从僵尸网络到勒索软件的作业链条 2026-08-26 · FBI/CISA advisories
- Egregor 勒索软件攻击波 席卷零售与制造业的勒索软件即服务（RaaS）攻击波 2026-08-26 · Researchers
- DoppelPaymer 勒索敲诈 针对工业企业的定向双重勒索 2026-08-26 · CISA/industry
- Conti 医疗行业攻击 Conti 医疗行业攻击 —— 迫使医疗行业遭受严重中断的攻击。与 CVE-2021-26084 相关。（来源：HHS 警告） 2026-08-26 · HHS warnings
- Cactus 勒索软件 Cactus 是一支以加密为核心的勒索软件即服务（RaaS）攻击波，最早于 2023 年 3 月被观察到，并在 2023 年底大幅扩张。（来源：研究人员） 2026-08-26 · Researchers
- BlueSky 勒索软件攻击波 针对中型企业的加密攻击波 2026-08-26 · Researchers
- BlackMatter 攻击 针对关键基础设施邻近企业的勒索软件即服务（RaaS）入侵 2026-08-26 · CISA AA21-291A
- MGM 网络攻击（BlackCat） MGM 网络攻击（BlackCat）——娱乐与酒店集团因社会工程攻击导致服务中断。（来源：公开报道） 2026-08-26 · Public reporting
- BlackByte 攻击 BlackByte 攻击 —— 通过 Web Shell 入侵，导致企业网络被加密，涉及 CVE-2021-26084。（来源：CISA AA22-105A） 2026-08-26 · CISA AA22-105A
- 8base 勒索软件（Phobos） 8base 是一支最早于 2023 年 3 月被观察到的勒索软件泄露站点行动，与 Phobos 相关活动存在关联；其活动记录延续至 2023 年 10 月。（来源：Researchers） 2026-08-26 · Researchers
- Akira 勒索软件攻击波 Akira 勒索软件攻击波 —— 针对中小企业与大型企业的全球双重勒索攻击波，涉及 CVE-2023-7024。（来源：CISA 通告 AA24-109A） 2026-08-26 · CISA advisory AA24-109A
- Abyss 勒索软件 与伊朗有关联的勒索软件，针对以色列和美国 2026-08-26 · Researchers
- ZeroLogon 攻击 在入侵行动中被利用的域控制器权限提升漏洞 2026-08-26 · CISA advisory
- Apex One/Softing 工控攻击 工控与 EDR 供应链入侵（Phobos/Proxylib） 2026-08-26 · CISA advisory (Phobos/Proxylib reporting)
- XZ Utils 后门 XZ Utils 后门，涉及 CVE-2024-3094。来源：公开披露（2024-03）。 2026-08-26 · Public disclosure (2024-03)
- WordPress 插件攻击活动 WordPress 插件攻击活动 —— 被入侵的插件劫持数千个网站，涉及 CVE-2019-8942、CVE-2021-34646。（来源：WordFence research） 2026-08-26 · WordFence research
- WannaCry 遗留漏洞的持续利用 在全球范围内持续利用脆弱的 SMB 2026-08-26 · CISA KEV
- VMware ESXi 勒索软件攻击波 多个勒索软件即服务（RaaS）大规模加密 ESXi 虚拟机管理程序 2026-08-26 · CISA advisory AA21-131A
- TrickBot 加载器攻击波（2019） 通过模块化加载器投递 Ryuk/Conti 2026-08-26 · CISA AA20-287A
- Squirrelwaffle 垃圾邮件攻击波 投递 Cobalt Strike 与 QakBot 的大规模邮件攻击活动 2026-08-26 · Researchers 2021
- Text4Shell 分析 库注入分析攻击活动 2026-08-26 · Researchers
- SMBGhost 漏洞利用 SMB v3 压缩漏洞（Windows）被在野利用 2026-08-26 · CISA KEV
- Spring4Shell 攻击活动 针对 Java 应用的大规模框架远程代码执行尝试 2026-08-26 · CISA KEV
- Scattered Spider 社会工程攻击 Scattered Spider 是一支大规模实施基于短信/语音钓鱼（vishing）凭据窃取的社会工程攻击活动，包括 2022 年 4 月记录的 SSO 相关 MFA 绕过，以及 2023 年 MGM/Caesar 入侵事件。其值得关注之处在于滥用身份而非漏洞利用。（来源：CISA 公告） 2026-08-26 · CISA advisory
- Ryuk 以人为操纵的勒索软件 通过 Emotet/TrickBot 获取访问权限的键盘操作式勒索 2026-08-26 · FBI AA20-302A
- Royal 勒索软件攻击波 Royal 是一支自 2022 年 7 月起被观察到、针对企业的双重勒索软件攻击波，其活动与 CVE-2022-30190 的利用相关，并有 2023 年发布的 CISA/行业公告。（来源：OpenTrojan 活动记录中收录的 CISA 公告） 2026-08-26 · CISA advisory AA22-xxx
- Redis 远程代码执行攻击波 配置不当的 Redis 实例被劫持用于挖矿与僵尸网络 2026-08-26 · Researchers
- QakBot 2022 年网络钓鱼攻击波 大规模用于初始访问的线程劫持式网络钓鱼 2026-08-26 · Proofpoint
- PyPI 拼写仿冒攻击浪潮 窃取凭据的假冒 PyPI 软件包 2026-08-26 · ESET research 2023
- Pulse Secure VPN 漏洞利用 VPN 文件读取漏洞使暴力破解式接管成为可能 2026-08-26 · CISA KEV
- ProxyShell RCE 攻击浪潮 ProxyShell RCE 攻击浪潮 —— 针对暴露的 Exchange 的后续勒索软件漏洞利用，涉及 CVE-2021-34473、CVE-2021-31207。（来源：CISA 安全公告） 2026-08-26 · CISA advisory
- Exchange Server ProxyLogon 漏洞利用 通过漏洞串联攻陷数千台本地部署的 Exchange 服务器 2026-08-26 · CISA Emergency Directive 21-02
- PrintNightmare 攻击活动 PrintNightmare 攻击活动涉及 CVE-2021-34527、CVE-2021-1675。来源：US-CERT 2021 年警报。 2026-08-26 · US-CERT alert 2021
- PostgreSQL 攻击活动 暴露的数据库遭暴力破解并被用于挖矿 2026-08-26 · Researchers
- Polyfill.io 供应链攻击 被篡改的 CDN 脚本被注入数千个网站 2026-08-26 · Sansec research
- Play（PlayCrypt）勒索软件 Play（PlayCrypt）是一支最早于 2022 年 10 月被观察到的勒索软件即服务（RaaS）行动，其依赖通过暴露的 RDP 和 VPN 服务获取初始访问权限；到 2023 年 3 月，它被发现利用 Veeam 备份软件来部署加密。它对防御者意义重大，因为它瞄准未修补的远程暴露服务。（来源：CISA 安全公告，收录于 OpenTrojan 攻击活动记录） 2026-08-26 · CISA advisory AA23-???
- NotPetya 全球爆发 席卷 60 多个国家的破坏性擦除器攻击风暴 2026-08-26 · CISA 2017
- npm 环境混淆 利用特定环境安装机制的恶意软件包 2026-08-26 · Researchers
- MSMQ QueueJumper 攻击 MSMQ QueueJumper 攻击 —— 消息队列服务的远程代码执行漏洞被利用以投递后续载荷，涉及 CVE-2023-21554。（来源：Check Point 研究） 2026-08-26 · Check Point research
- MSHTML CVE-2021-40444 攻击 MSHTML CVE-2021-40444 攻击 —— 利用加载 ActiveX 的恶意文档作为初始访问手段，涉及 CVE-2021-40444。（来源：CISA 公告 AA21-257A） 2026-08-26 · CISA advisory AA21-257A
- MongoDB 勒索软件攻击波 未受保护的 MongoDB 数据库被清空并留下勒索要求 2026-08-26 · Researchers
- Meow 攻击 未受保护的数据库被成批删除 2026-08-26 · Researchers
- Maze 停止运营 运营方关停前的最终公告 2026-08-26 · Researchers 2020
- Lorenz 勒索软件 Tor 泄密网站上的双重勒索 2026-08-26 · Researchers
- Log4Shell 全球利用攻击 Log4Shell 全球利用攻击涉及 CVE-2021-44228。来源：CISA KEV。 2026-08-26 · CISA KEV
- Kubernetes 集群漏洞利用 配置不当的集群被用于挖矿并植入后门 2026-08-26 · Researchers 2020
- Jupyter Notebook 漏洞利用 公开暴露的 Jupyter 服务器被滥用于挖矿 2026-08-26 · Sophos 2021
- Ivanti Connect Secure 攻击 Ivanti Connect Secure 攻击 —— VPN 设备在供应链式入侵中被植入后门，涉及 CVE-2023-46805、CVE-2024-21887。（来源：CISA 公告 AA24-016A） 2026-08-26 · CISA advisory AA24-016A
- IcedID 初始访问攻击波 IcedID 初始访问攻击波 —— 投递 Cobalt Strike 的网络钓鱼与 Web 注入攻击，涉及 CVE-2023-21608。（来源：CISA 公告 AA23-038A） 2026-08-26 · CISA advisory AA23-038A
- GoAnywhere MFT 漏洞利用 GoAnywhere MFT 漏洞利用 —— 文件传输平台被攻破，用于大规模数据窃取，关联 CVE-2023-0669。（来源：CISA 公告 AA23-158A） 2026-08-26 · CISA advisory AA23-158A
- Hafnium Exchange 攻击波 Hafnium Exchange 攻击波涉及 CVE-2021-26855。来源：CISA AA21-087A。 2026-08-26 · CISA AA21-087A
- Hadoop YARN 攻击 未启用认证的 YARN 端点被滥用于挖矿 2026-08-26 · Researchers 2019
- GitLab CVE 攻击波 GitLab CVE 攻击波 —— 面向互联网的 GitLab 实例遭入侵用于挖矿和植入后门，关联 CVE-2021-22205、CVE-2023-7028。（来源：CISA KEV） 2026-08-26 · CISA KEV
- Follina 文档武器化 Follina 文档武器化，关联 CVE-2022-30190。来源：CISA 公告 AA22-181A。 2026-08-26 · CISA advisory AA22-181A
- EternalBlue 卷土重来 EternalBlue 卷土重来 —— 遗留 SMB 漏洞利用仍持续驱动入侵（WannaCry 遗留影响），关联 CVE-2017-0144。（来源：CISA KEV） 2026-08-26 · CISA KEV
- Emotet 2021 年复现 被捣毁后僵尸网络重建与垃圾邮件攻击波 2026-08-26 · Researcher reports
- Emotet 2017–2018 攻击波 大规模垃圾邮件僵尸网络推送 2026-08-26 · Researchers
- Drupalgeddon 攻击波 Drupalgeddon 攻击波 —— Drupal 远程代码执行漏洞被大规模利用以进行挖矿和投放 webshell，关联 CVE-2018-7600。（来源：研究人员） 2026-08-26 · Researchers
- DoublePulsar 注入攻击 通过 EternalBlue 大规模植入内核后门 2026-08-26 · Researchers
- DarkSide Colonial Pipeline 事件 造成管道中断并触发美国紧急状态声明 2026-08-26 · FBI/CISA
- Conti 泄密与行动 Conti 泄密与行动 —— 泄露的攻击手册与组织分裂后仍在持续的入侵。与 CVE-2021-26084 相关。（来源：研究人员） 2026-08-26 · Researchers
- Confluence OGNL 漏洞利用 Confluence OGNL 漏洞利用 —— 面向互联网的 Confluence 实例被攻陷，用于挖矿和植入 RAT。与 CVE-2022-26134 相关。（来源：CISA KEV） 2026-08-26 · CISA KEV
- Apache Commons Text ; 2026-08-26 · Researchers
- Cobalt Strike 注册机行动 以注册机木马诱骗信息安全从业者 2026-08-26 · Researchers
- Cisco ASA/FTD VPN 攻击 Cisco ASA/FTD VPN 攻击 —— VPN 设备遭利用，用于绕过身份验证并实现远程访问，涉及 CVE-2018-0101。（来源：US-CERT 警报） 2026-08-26 · US-CERT alert
- CircleCI 数据泄露事件 被盗访问令牌泄露了 CI 流水线中的密钥数据 2026-08-26 · CircleCI disclosure
- Black Basta 攻击活动 Black Basta 是一支最早于 2022 年 4 月被观察到的勒索软件即服务（RaaS）行动，与 QakBot 协助获取的访问权限相关联，并与 CVE-2021-40444 的漏洞利用有关；该活动记录于 CISA 通告 AA22-281A。其相关性在于其访问链依赖先前的恶意软件感染。（来源：CISA AA22-281A） 2026-08-26 · CISA AA22-281A
- BazarCall 攻击活动 大规模电话辅助式钓鱼（BazarCall） 2026-08-26 · Researchers 2021
- Barracuda ESG 攻击 Barracuda ESG 攻击涉及 CVE-2023-2868。来源：CISA 公告。 2026-08-26 · CISA advisory
- AvosLocker 勒索软件 针对北美的勒索软件即服务（RaaS） 2026-08-26 · CISA advisory
- 3CX 供应链攻击 3CX 供应链攻击利用被植入后门的软件安装程序（2023-03）向 3CX VoIP 部署环境投递恶意更新，归属判定仍在讨论中（2023-05）；来源：研究人员自行披露。 2026-08-26 · Researchers own disclosure
- WannaCry 全球勒索蠕虫 WannaCry（2017 年 5 月）是一款基于 SMB 的勒索蠕虫，利用 EternalBlue（CVE-2017-0144）在未修补的 Windows 系统间自我传播，数天内即在 150 多个国家加密文件并索要赎金。 2026-08-26 · CISA · NVD · Microsoft
- SolarWinds SUNBURST 供应链攻击 SolarWinds 攻击活动（2020）利用被植入木马的 SolarWinds Orion 更新，将 SUNBURST 后门投递到超过 18,000 家组织，并在美国政府、科技公司和安全公司网络中观察到后续访问活动。 2026-08-26 · CISA · Microsoft · Mandiant
- Okta / Midnight Blizzard 密码喷洒攻击活动 Midnight Blizzard（APT29）对云身份系统（包括 Okta 和 Microsoft 365 租户）持续开展密码喷洒和规避令牌防护的攻击活动，利用被入侵的账户搜寻令牌和邮箱。 2026-08-26 · Microsoft · Okta
- NotPetya 破坏性攻击 NotPetya（2017 年 6 月）是一款伪装成勒索软件的清盘器，通过滥用 M.E.Doc 更新和 EternalBlue（CVE-2017-0144）传播，通过永久破坏系统而非为索取赎金加密，造成数十亿美元损失。 2026-08-26 · CISA · ESET · CrowdStrike
- MOVEit Transfer Cl0p 大规模利用攻击 Cl0p 于 2023 年 6 月利用 MOVEit Transfer（CVE-2023-34362，SQL 注入）攻击了数百家组织——攻击始于一个第三方文件传输平台，在零日漏洞披露前就完成了数据外泄。 2026-08-26 · CISA · Progress Software
- Log4Shell 全球漏洞利用 Log4Shell（CVE-2021-44228）是 Apache Log4j 2 中一个未经身份验证的远程代码执行漏洞，在 2021 年 12 月披露后数天内即被全球大规模利用，波及面向互联网的 Java 应用，随后蔓延至企业和 ICS 环境。 2026-08-26 · NVD · CISA · vendor advisories
- Kaseya VSA → REvil 供应链勒索软件 2021 年 7 月的 Kaseya VSA 攻击使 REvil 通过入侵供应商自身的远程管理控制台，加密了多达约 1,500 家下游企业，证明 MSP 供应链是勒索软件的首要目标。 2026-08-26 · CISA · Kaseya
- HAFNIUM Exchange Server 漏洞利用 2021 年 3 月，与中国有关联的 HAFNIUM 行为者串联利用四个 Microsoft Exchange Server 零日漏洞（ProxyLogon，CVE-2021-26855 及相关漏洞），在全球数万台本地部署邮件服务器上部署 Webshell。 2026-08-26 · Microsoft · CISA
- Colonial Pipeline 勒索软件攻击 2021 年 5 月针对 Colonial Pipeline 的 DarkSide 勒索软件攻击使美国东海岸的燃料输送中断数天，将勒索软件升级为国家级关键基础设施政策议题，并推动了 CISA 相关行业指引的出台。 2026-08-26 · CISA · FBI
- Citrix Bleed（CVE-2023-4966）漏洞利用 Citrix Bleed（CVE-2023-4966）泄露了 NetScaler 会话令牌，使攻击者能够绕过多因素认证，并在 2023 年底劫持面向互联网的边缘设备上已有的用户会话。 2026-08-26 · CISA · Citrix