攻击者劫持 .gh、.sl、.as 域名基础设施冒充 Google 等服务
Google 称攻击者攻陷了 .gh（加纳）、.sl（塞拉利昂）和 .as（美属萨摩亚）三个国家代码域名命名空间背后的基础设施，借此为 Google 域名及其他组织的域名获取未授权的 HTTPS 证书。
#追踪/广告技术
Malwarebytes 博客AI 评分6262
The RecordAI 评分6262 Bitdefender 发现数千部廉价 Android 手机预装广告欺诈恶意软件
Bitdefender 发现数千部廉价 Android 手机在固件中预装了名为 Midnight Mimosa 的恶意软件，涉及多家品牌、使用 MediaTek 芯片，覆盖 150 多个国家，墨西哥、法国和意大利占比最高。
BleepingComputerAI 评分2323 假 ChatGPT、Gemini 等 AI 站点借浏览器套浏览器攻击窃取广告账户与 MFA 验证码
一波针对广告账户管理者的钓鱼活动利用假 ChatGPT、Gemini、Claude 和 Perplexity 站点，通过浏览器套浏览器（BitB）攻击窃取登录凭证和 MFA 验证码，并借 Meta 新推出的 Muse AI 智能体之名设饵。
Malwarebytes 博客AI 评分3030 Malwarebytes 披露 BlueKit：AI 驱动的钓鱼工具包 10 分钟即可劫持账号
Malwarebytes 研究团队披露钓鱼即服务工具包 BlueKit，攻击者无需深厚技术背景即可通过单一仪表盘管理整场钓鱼活动。截至 9 月，BlueKit 模板库覆盖 97 个品牌、176 个变体，可仿冒 Amazon、Google/Gmail、Apple、美国运通、TikTok、Facebook、X 以及 OpenAI、Anthropic 等平台登录页。
Malwarebytes 博客AI 评分2626 Facebook Marketplace 骗局：用你的姓名和电话号码伪造商品列表
Facebook 用户报告收到 iMessage 消息，询问某件 Facebook Marketplace 商品是否仍在售，附带的伪造列表中卖家姓名与收件人相同，但头像属于另一位同名 Facebook 用户。
Schneier on Security精选AI 评分7878 东北大学研究：联网汽车是监控平台，车机应用外泄姓名、VIN 与精确位置
东北大学与 Consumer Reports 合作评估现代汽车对驾驶者的监控程度，首次展示数据在车辆、购车时下载的车机应用与第三方公司之间的流动。几乎所有车企都向外部公司发送数据，近四分之一的车机应用外泄个人可识别信息，包括车主姓名、车辆识别码（VIN）和精确地理位置。
推荐理由：研究首次追踪车辆、车机应用与第三方之间的数据流向，呈现联网汽车数据被哪些机构接收。