安全情报日报 Security Intelligence Daily — 2026-11-05 ======================================================== 头条：币安发布被盗案报告，98%受影响资产已补足 入选 9 条，在野 3。主线是币安首份事件报告：$6.34 billion 被盗被还原为长达数月的定向攻击——假面试、被篡改的 Homebrew 包、内部 AI 工具与签名服务接连被夺控，FBI 则归因朝鲜 TraderTraitor。次线是补丁欠账：WordPress CVE-2026-119977 入 KEV 且升级窗口即可被植码，Synology 旧版 DSM 仍在被勒索复用 2024 年修复；APT29 借 Plerdy 脚本投递移动 N-day、NIKKE 启动器 CDN 遭投毒，第三方分发链完整性成了共同缺口。口径：先清 KEV 与在野面，再管住招聘投递与更新通道。 共 9 条。字段：类别 | 在野状态 | 置信度 | 来源 -------------------------------------------------------- [1] 币安公布63.4亿美元被盗案首份报告 (crypto-infra | 置信high | 分92) 摘要： Binance 11 月 3 日发布首份事件报告《29 October 2026 Binance Security Incident: Initial Findings and Response Update》，把 10 月 29 日约 $6.34 billion（FBI 口径 $6.43 billion）被盗还原为长达数月的多阶段定向攻击：6 月一名钱包 DevOps 工程师搜索 AI 编程工具时下载到被篡改的 Homebrew 包首次失陷；9 月第二名工程师经真实求职平台被伪造面试链条钓住，按'面试官'指示在工作机下载含恶意代码仓库的'作业'，安装阶段执行的恶意软件绕过终端防护、换掉合法开发工具组件；10 月 20 日攻击者借被窃终端夺取内部 AI 工具控制并拿到容器部署权限令牌，10 月 29 日部署容器运行恶意脚本后，利用内部钱包签名服务的越权访问在 20:05-20:09 UTC 动用五个热钱包，提现冻结后仍借以太坊 EIP-7702 特性继续转出资金。FBI 会同 USSS、IRS-CI 将行动归因朝鲜精英团伙 TraderTraitor（亦称 Jade Sleet、Slow Pisces、UNC4899 等），点名 Over 600 个洗钱钱包地址，赃款主要换成 ETH 后经 DeFi 与即时兑换服务分层清洗；币安称截至 10 月 31 日 98% 受影响代币资产已补足，第一阶段提现已恢复，调查仍在进行。 [2] WordPress升级窗口RCE入选KEV已在野利用 (vuln | 在野利用 | 置信high | 分80) 摘要： CISA 于 2026-11-03 将 WordPress Core 的 CVE-2026-119977 列入已知被利用漏洞目录（KEV）并确认在野利用。NVD 官方记录：该漏洞影响 4.7 through 7.1.3 的未认证远程代码执行，成因是整包核心升级使用可预测、web 可直接访问的暂存路径，攻击者可在升级窗口内向服务器落地代码（TOCTOU 竞态，Wordfence 作为 CVE 编号授权方评 8.1）；Xint 研究把这一升级竞态追溯到 WordPress 2.7 时代，并指出未打补丁站点'安装 7.1.4 的第一次更新'这一过程本身仍可被暴露——旧更新器会把修复包解包到可预测的 web 可访问路径。官方已于 10 月 28 日发布 7.1.4 安全版本，官方公告明确该修复即'升级过程中可导致升级窗口内远程代码执行的弱点'，并回植到 4.7 起所有仍受安全支持的分支。 [3] APT29借Plerdy脚本投毒向移动端投递N-day (supplychain | 置信medium | 分78) 摘要： 法国 Sekoia 于 2026 年 10 月中旬发现代号 Poisoned Source 的大规模水坑行动，归因俄罗斯背景的 APT29（报道口径为'与 APT29 关联'）。行动有三条感染链：入侵合法网站注入 JavaScript；伪装成美国/乌克兰/捷克/保加利亚高关注站点的仿冒域名（如 america250[.]holiday）；以及对乌克兰网站分析服务 Plerdy SEO Tracker 的供应链投毒——2026 年 8 月 27 日至 9 月 3 日间，恶意代码被注入其脚本分发路径 a.plerdy[.]com/public/js/click/main.js。注入脚本先收集浏览器与设备属性，再由分发基础设施针对 iOS 或 Android 分别投递平台特定的 N-day 利用链，载荷目标是窃取浏览器 cookies，部分场景可拿到 Wi-Fi 口令乃至整机移动数据。 [4] NIKKE启动器CDN脚本被投毒植入远控 (supplychain | 置信high | 分78) 摘要： Goddess of Victory: NIKKE（Shift Up 开发、腾讯系 Level Infinite 发行，2022 年上线以来下载量超 4500 万次）开发商确认 PC 启动器脚本遭第三方篡改。独立研究者 MotherSphere 的调查报告显示：自 2026 年 9 月 27 日起，Level Infinite 官方 CDN 上 4 个官方 JavaScript 文件含攻击者代码，玩家打开启动器即被从 insightjs[.]com / insightjs[.]org 拉取二段脚本，并借启动器自身的下载功能执行 Lua 远控工具——可执行任意命令、截屏，窃取游戏登录态、浏览器密码、会话 cookies、SSH 私钥、API 令牌及加密货币钱包扩展数据，Windows 上还会装一枚 Chrome 加载的 DLL 实现持久化；最早有记录的执行时间为 10 月 23 日。Level Infinite 已于 11 月 4 日约 02:30 (UTC+9) 推送客户端修复并声明调查影响范围；MotherSphere 复核称修复后部分 CDN 节点仍短暂下发被改副本，攻击者服务器至 11 月 3 日 18:31 GMT 才失联。 [5] SonicWall拒修EoL版GMS两项高危漏洞 (vuln | 置信high | 分64) 摘要： SonicWall 警告影响已停止维护（end-of-life）Global Management System（GMS）的两个漏洞将不会获得补丁：其中 CVE-2026-109593（CVSS 9.1）为未认证文件读取漏洞，具有网络可达性的攻击者可读取 GMS 内部文件；另一漏洞可篡改数据库记录。两者均影响 SonicWall GMS 9.5.2 and earlier versions。 [6] Synology警告旧版DSM的NAS遭勒索利用 (ransomware | 在野利用 | 置信medium | 分72) 摘要： Synology 警告勒索软件攻击者正在利用一个 2024 年已修复的漏洞，针对仍运行 outdated versions of DiskStation Manager (DSM) 的 NAS 设备发起攻击，厂商敦促立即更新 DSM——这条 2024 年的修复两年后仍是 Synology NAS 勒索攻击的中心入口。 [7] Android曝免交互远程执行代码严重漏洞 (vuln | 置信high | 分60) 摘要： Google 在 11 月安全公告中修复 Android 严重漏洞 CVE-2026-58868：攻击者可在无任何用户操作的情况下远程在手机上执行代码，影响 Android 14 through 17；修复随 security patch level 2026-11-01 or later 由手机厂商与运营商按各自节奏推送。Security Affairs 补充技术成因：FrameDecoder.cpp 中 onOutputReceived 函数的堆缓冲区溢出。截至 11 月 4 日，Google 公告未报告该漏洞在野利用。 [8] Gorbag借WinRAR漏洞攻击乌克兰目标窃密 (malware | 在野利用 | 置信medium | 分58) 摘要： ESET 研究员观察到俄罗斯背景威胁组织 Gorbag 在针对乌克兰组织的攻击中投放简易窃密恶意软件，并借助 WinRAR 漏洞完成投递。ESET 称该组织至少自 2025 年 2 月活跃，目标几乎全部集中于乌克兰的执法与司法机构、前线附近地方行政部门及国防部门。 [9] Langflow两严重漏洞未认证可执行代码 (vuln | 置信high | 分66) 摘要： IBM 披露开源 AI agent 与工作流构建工具 Langflow 的两个严重漏洞：无账号的远程攻击者可绕过认证或在服务器上执行任意代码。1.0.0 至 1.12.8 的所有发布版本均受影响，唯一修复版本为 1.13.0；两漏洞截至报道均未列入 CISA KEV。 -------------------------------------------------------- 口径与全文版：https://sid-daily.pages.dev 本文件由 SID 流水线自动生成；数字/实体均经机械校验对照来源原文。