安全情报日报 Security Intelligence Daily — 2026-10-20
========================================================

头条：供应链投毒潮：三条可信下载路径同日失守

  今日入选 7 条中 3 条为供应链投毒：WordPress SEO 插件 Rank Math PRO
  官方包被植后门、GhostAction 团伙投毒 94 个字体仓库、假 Web3 加速器借 npm
  包投放窃密木马——攻击面集中在你信任的下载路径本身。在野利用方面 Plex2Shell 漏洞链被用于部署挖矿后门；勒索生态一周内
  Qilin 新增 35 名受害者，ShinyHunters 泄密站疑由谈判公司高管运营。今日在野 1 条、供应链 3
  条，优先核查插件/包管理与字体类依赖的来源完整性。

共 7 条。字段：类别 | 在野状态 | 置信度 | 来源
--------------------------------------------------------

[1] 勒索团伙 qilin 一周新增 35 名受害者
    (ransomware | 置信high | 分58)
    摘要：
      RansomLook 跟踪数据显示，勒索团伙 qilin 近 7 天在泄密站发布 35 条帖子，涉及 35
      家受害者，最新发现时间为 2026-10-20。受害样例包括 BRUTRA Logistek、Belcorp、Brame
      Telecom 以及墨西哥 Victoria 市供水与排污委员会等机构。

[2] Plex2Shell 漏洞链遭在野利用部署挖矿后门
    (vuln | 在野利用 | 置信medium | 分82)
    摘要：
      The Hacker News 报道，威胁行为者已开始利用 Plex Media Server 上被称为
      Plex2Shell 的四个漏洞组合投放加密货币挖矿程序与反向代理软件，时间点在公开 PoC 出现一天之后；活动细节由网名
      boredhackerblog 的研究者披露。

[3] GhostAction 团伙用假字体投毒 94 个仓库
    (supplychain | 置信high | 分72)
    摘要：
      发起 GhostAction 供应链攻击的威胁行为者已从向被入侵项目注入恶意 GitHub Actions
      工作流，扩展到对开源开发者实施钓鱼并投递伪装成字体文件的凭据窃取木马；OpenSourceMalware
      详细披露了这一手法演进，涉及 94 个 GitHub 仓库。

[4] 日立能源 SOI 现 ActiveMQ 代码执行漏洞
    (vuln | 置信high | 分55)
    摘要：
      CISA 通告 ICSA-26-279-04 指出 Hitachi Energy SOI 产品内置的 Apache
      ActiveMQ 组件存在远程代码执行漏洞 CVE-2026-34197（CVSS v3 8.8，代码注入类），影响 SOI
      2.0.0 至 2.2.0 版本，可被用来破坏产品的机密性、完整性与可用性，部署范围覆盖全球能源行业。

[5] Rank Math PRO 官方下载包被植入后门
    (supplychain | 置信high | 分75)
    摘要：
      Rank Math 官方安全公告称，在 10 月 15 日 20:02 UTC 到 10 月 16 日 07:12 UTC
      之间从 rankmath.com 下载或作为更新推送的 Rank Math PRO
      副本含有恶意代码，凡安装并激活过这些副本的站点都应视为已失陷；该后门可自我修复，恶意软件通过官方渠道完成投递。

[6] ShinyHunters 泄密站疑由谈判公司高管运营
    (incident | 置信medium | 分62)
    摘要：
      KrebsOnSecurity 获悉，正在追查 ShinyHunters（近期窃取过 FBI
      高度敏感数据）的美国联邦调查人员已识别出两家勒索谈判公司的高管与该勒索团伙关系异常密切；接近调查的消息人士称，其中一名美国高管甚至帮助
      ShinyHunters 运营用于向受害者施压付款的网站。

[7] 假 Web3 加速器借 npm 包投放窃密木马
    (supplychain | 置信medium | 分68)
    摘要：
      Elastic 观察到一家假冒的 Web3 加速器以免费领取 Anthropic Claude 与 Google
      Gemini 的 AI 额度、编码工具和安全审计为诱饵，使用恶意 npm 包向 Windows 与 macOS
      系统投递信息窃取器和后门，并劫持 AI Agent 流量。

--------------------------------------------------------
口径与全文版：https://sid-daily.pages.dev
本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。