金融行业网络安全监测月报(202610)
报告编号：360-TIC-202610-FIN01
一、报告概述
范围说明
基于360威胁情报中心对全球网络安全态势的持续监测与深度研判，本报告结合客户需求，整理了金融行业安全威胁情报，报告重点内容涵盖：
• 重大安全威胁事件分析：关注GMO云桌面遭未授权访问后的服务中断与疑似数据外泄，分析金融交易对第三方云服务的依赖风险。
• 恶意软件威胁分析：关注CyberDakait七类安卓银行木马，通过仿冒银行、覆盖钓鱼和短信窃取实施金融欺诈。
• 加密资产与区块链安全态势分析：分析Udesk相关脚本投毒引发的会话数据窃取、充值地址和剪贴板篡改风险。
• 新兴技术安全趋势：关注Storm-0940借助ARTEX加速供应链入侵及云端应用权限滥用，对金融企业身份与数据安全的影响。
• 多维度威胁数据支持：综合GMO、Group-IB、慢雾和微软等机构的本月公开情报，结合原始披露核对事件影响、攻击行为与检测指标。
───────────────────────────────────
二、重大安全威胁事件分析
事件名称：GMO Onamae云桌面遭未授权访问及疑似客户信息外泄
发布日期：2026-10-27
发布机构：GMO Internet
威胁概述：
GMO Internet在10月27日官方通报中称，Onamae云桌面遭未授权访问后，疑似攻击者公布了声称与公司及客户有关的信息，其真实性和内容仍在核验。该服务已于10月21日暂停，企业随后开展客户设备分析、损失补偿及替代服务安排。截至该次通报，尚未确认发生勒索软件攻击，不能将威胁邮件等同于已发生文件加密。对依赖云桌面开展金融交易的企业而言，此类事件可能同时影响业务连续性、账户安全和客户信息保护；评估应以实际使用范围及核验结果为准。
受影响行业：金融、科技
攻击手法（MITRE ATT&CK映射）：
• 未授权访问：官方确认云桌面服务遭第三方非法访问，但初始入口及所用漏洞尚未披露，不强行对应具体ATT&CK技术编号。
• 信息泄露与勒索施压：疑似攻击者公布声称窃取的数据并发送威胁邮件；数据真实性仍待核验，不据此认定全部客户信息泄露。
• 服务中断影响：公司出于事件处置暂停云桌面，属于防护性停服措施，不能直接等同于攻击者实施拒绝服务或数据加密。
IOC指标：暂无
报告链接：
https://internet.gmo/en/news/article/256/
───────────────────────────────────
事件名称：威胁者滥用AI渗透测试框架| ThreatLabz
发布日期：2026-10-14
发布机构：Zscaler ThreatLabz
威胁概述：
2026年9月下旬，一起针对韩国金融机构的AI辅助攻击活动被发现。Zscaler ThreatLabz分析显示，攻击者滥用ARTEX代理式渗透测试框架，自动探测客户查询门户及员工移动应用后端，利用SQL注入、认证绕过等漏洞获取未经授权的访问，并外传约6.7万人的个人信息，涉及姓名、电话号码、年收入和贷款额度等。攻击目标集中于面向互联网的外围Web应用，攻击者借助AI串联侦察、漏洞利用和数据窃取流程。泄露信息可能被进一步用于金融欺诈和社会工程攻击，对客户信息及账户安全构成风险。
受影响行业：金融（韩国金融机构）
攻击手法（MITRE ATT&CK映射）：
• 主动扫描(T1595)：借助ARTEX自动识别和探测金融机构面向互联网的外围Web应用，包括查询门户及员工移动应用后端。
• 利用面向公众的应用程序(T1190)：利用外围Web应用中的SQL注入、认证绕过等漏洞，获取未经授权的访问。
• 个人信息外传：窃取并外传含姓名、电话、年收入和贷款额度的记录；素材未明确外传通道，不强行对应具体外传技术编号。
IOC指标：暂无
报告链接：
https://www.zscaler.com/blogs/security-research/threat-actor-abuses-agentic-ai-pentesting-framework-target-south-korean
───────────────────────────────────
三、恶意软件威胁分析
事件名称：CyberDakait七类安卓木马针对银行客户实施欺诈
发布日期：2026-10-28
发布机构：Group-IB
威胁概述：
Group-IB披露CyberDakait面向印度银行客户的安卓恶意软件活动，归纳出七类木马。攻击者冒充银行人员，以取消信用卡保护计划等借口发送钓鱼链接，诱导安装恶意APK，通过仿冒界面窃取网银凭证与信用卡资料，并截取短信和验证码；部分组件同时挖矿。研究统计涉及至少17,960台受感染设备、约761万条被截取短信，属于整个调查活动的累计发现，并非10月单月新增。这些风险集中于客户终端和认证环节，不能据此认定银行核心系统失陷。
受影响行业：金融、个人
攻击手法（MITRE ATT&CK Mobile映射）：
• 钓鱼与社会工程(T1660)：冒充银行客服，借助短信、语音及WhatsApp链接引导用户访问钓鱼页面并安装恶意APK。
• 图形界面输入捕获(T1417.002)：以伪装银行或身份核验界面收集网银登录信息、信用卡资料等敏感输入。
• 短信收集(T1636.004)：读取受害设备短信，窃取一次性验证码、交易通知和其他账户相关信息。
• 通过C2通道外传(T1646)：经Telegram、Firebase或远程服务器外传数据。
IOC指标：
• Domain（节选）：cancelcardprotection.online, cancelcpservice.in, cardprotections.in, install-update.xyz
• IP（节选）：64.89.163.3, 78.159.156.74, 144.31.244.184, 46.151.182.28
• SHA256（节选）：
43b217184f7765c699fd887fe22c07c7656483dc088e0214587a4890b2b6aee6
34b75b78b6c575c8a9e71f712be9d90aa35a3a04b48839f86282678107f7876d
报告链接：
https://www.group-ib.com/blog/cyberdakait-seven-android-trojans-indian-banking/
───────────────────────────────────
四、加密资产与区块链安全态势分析
事件名称：Udesk相关客服脚本投毒窃取数据并篡改充值地址
发布日期：2026-10-27
发布机构：慢雾安全团队
威胁概述：
慢雾分析发现，Udesk相关客服脚本样本被追加恶意加载逻辑，从仿冒域名udeskqlobal.com加载deeps.js。载荷可读取页面可访问的Cookie和浏览器存储，并截取表单及认证请求；在匹配站点的充值场景中，还会修改展示地址与剪贴板内容，可能使用户将资产转入攻击者地址。数据采集路径不限于地址替换规则匹配的站点，排查应覆盖实际加载污染脚本的页面。投毒入口、完整受影响范围和实际资金损失仍未确认。
受影响行业：金融、加密资产服务
攻击手法（MITRE ATT&CK映射）：
• JavaScript执行(T1059.007)：污染脚本动态加载远程恶意JS，在其所在页面上下文中执行窃密和页面修改逻辑。
• 窃取Web会话Cookie(T1539)：读取脚本可访问的Cookie及存储中的会话信息，可能为登录会话冒用创造条件。
• 充值地址与剪贴板篡改：同步替换页面与复制的地址，诱导错误转账。
IOC指标：
• Domain：udeskqlobal.com
• URL：https://udeskqlobal.com/deeps.js, https://udeskqlobal.com/c.php
• SHA256：45b4e8f160d8d5177819f6c1dc67acc7abbdc65eeaffc909e668799dc778bcf6, 57c1441c4f5bb3260981a2df64f9ff35f117abde0d8667c8c66a047880074c59
报告链接：
http://mp.weixin.qq.com/s?__biz=MzU4ODQ3NTM2OA==&mid=2247506417&idx=1&sn=32e30273fd88ef1fce4d2777602b7408
───────────────────────────────────
五、威胁技术发展趋势
AI辅助攻击加速第三方应用信任与云权限滥用
趋势说明：
微软10月21日披露，Storm-0940将ARTEX用于扫描、密码喷洒和OAuth应用滥用，并关联ConnectWise供应链事件。攻击者借用已有应用授权，尝试进入下游Microsoft 365租户，在部分环境中开展Graph侦察、应用凭证修改及权限操作。原文所述超过2,250个租户是尝试登录范围，不等于均已被攻陷；存在受影响应用或出现成功认证，也不能单独证明数据被访问或外传。对金融企业而言，第三方应用权限与服务主体活动需要纳入常态监测，避免仅依赖交互式用户登录告警。
典型风险包括：
攻击节奏加快：自动化并发活动压缩人工研判和响应时间，企业需要为异常认证、凭证新增及权限变更设置相应处置流程。
既有授权扩大影响：清理原始受影响应用后，仍需核查其他凭证、身份及角色变更，结合授权范围、操作记录和资源访问判断实际影响。
IOC指标：
• IP（节选）：144.172.64.128, 144.172.64.99, 144.172.64.60
报告链接：
https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/
───────────────────────────────────
六、防御建议与落地措施
（一）终端防护建议
终端应用与权限管控：通过官方渠道安装应用，防范假冒银行客服及取消收费等诱导话术，监测短信读取、无障碍权限和后台安装。疑似感染时先隔离，再用可信设备保护账户。
金融账户与认证保护：结合设备异常、验证码使用与交易行为识别账户接管，采用抗钓鱼认证及独立交易确认；疑似受害时核查账户、限制可疑交易并撤销会话。
（二）网络防护措施
第三方脚本与页面完整性监测：盘点客服、统计和支付等外部脚本，记录来源、版本和变更；结合内容安全策略、完整性校验及页面监控发现异常加载、敏感请求外传和地址变化。部署策略前评估对正常业务的影响。
恶意基础设施与云端活动排查：将本报告所列域名、URL、IP及样本哈希纳入检测，结合访问时间和业务上下文研判；同步关联服务主体登录、Graph操作、凭证新增及权限变更，避免只做静态封堵。
（三）资产与数据管控
云应用授权与供应商治理：清点第三方应用及其租户授权，按最小权限管理，定期复核不再使用的集成。遇到供应商事件时保留配置与日志，依正式指引控制连接，确认异常后撤销权限、轮换凭证并验证剩余访问路径。
资产转移核验与业务连续性保障：充值地址须与可信后台和独立渠道核对，不能仅比较同一受污染页面的展示值与复制值；开展到账对账和异常资金核查。对金融交易依赖的云桌面与备份服务，准备替代方案并演练恢复。
───────────────────────────────────
七、报告总结与交流
经过对本月相关事件的综合分析，金融行业安全风险呈现以下特点：
第三方服务风险关联交易连续性：GMO云桌面事件提示金融企业关注外部服务中断后的业务切换、账户保护及客户沟通；将已确认的影响与待核实信息分别管理。
移动端凭证与短信仍是欺诈目标：CyberDakait活动反映银行品牌仿冒、恶意APK与验证码窃取风险，金融机构应联动客户教育、移动风险监测和交易风控。
网页组件风险可传导至数字资产：Udesk样本揭示会话窃取与充值地址篡改风险，应联动脚本治理、会话撤销和独立地址核验。
云端防御需要覆盖非交互式身份：ARTEX相关活动提醒企业重视应用权限与服务主体行为。判断失陷范围要结合后续操作证据，及时响应异常授权，避免将触达规模等同于实际受害规模。
───────────────────────────────────
报告说明
本报告基于2026年10月提供的公开威胁情报素材，重点分析GMO云桌面未授权访问、CyberDakait安卓银行木马、Udesk相关脚本投毒及ARTEX辅助供应链攻击，为金融行业客户提供安全防护参考。
情报时效性： 2026年10月 威胁评估等级： 高风险（基于本月公开情报素材）