Cisco Talos IR 趋势 Q3 2026：钓鱼居初始访问首位，语音钓鱼冒充 IT 服务台拉动勒索

来源机构：Cisco Talos　|　原文：IR trends Q3 2026: Actors impersonate IT help desks in vishing attacks as ransomware activity increases　|　原文发布：2026-10-29　|　页面性质：中文翻译与摘录（非原创综述）

概述

Cisco Talos 事件响应（Talos IR）团队发布的 2026 年第三季度（Q3 2026）事件趋势报告显示，钓鱼仍然是占比最高的初始访问手段，出现在略超三分之一（37%）的 Talos IR engagements 中，较上一季度超过 50% 的比例有所下降。除传统的钓鱼链接与附件外，本季度观察到大量威胁行为者将语音钓鱼（vishing）与 IT 服务台冒充结合，通过社会工程诱使受害者借助合法的远程监控与管理（RMM）工具开放远程访问。公网应用漏洞利用是第二常见的初始访问向量，占 Talos IR engagements 的三分之一，攻击者主要瞄准安全网关与远程网络管理接口等边界设备。

钓鱼仍是首要初始访问手段

尽管涉及钓鱼作为初始访问向量的 engagements 数量较上季度下降，它仍是最常用的技术，出现在 37% 的 Talos IR engagements 中。公网应用漏洞利用是第二常见的初始访问向量，占 33%。本季度观察到的钓鱼手法中，语音钓鱼（vishing）与 IT 服务台冒充的组合尤为突出：攻击者假冒 IT 支持人员致电受害者，诱导其发起 Microsoft Quick Assist 等远程会话，从而借合法的 RMM 软件取得端点远程控制。

盐风暴（Salt Typhoon）关联攻击者的网络间谍活动

Talos IR 持续观察到针对电信行业的长期网络间谍入侵。Talos 以高置信度将多数入侵归因于中国国家级威胁行为者，包括盐风暴（Salt Typhoon）。攻击者通常借助有效凭据并 exploitation 公网 Web 管理界面中的已知漏洞（CVE-2023-20198）取得初始访问——这也是本季度最常观察到的初始访问向量之一。在一次行动中，攻击者部署了盐风暴常用的恶意 Web shell 植入体 BadCandy 以维持持久化与隐蔽远程访问。这些入侵暴露出的安全弱点包括：仅依赖口令认证而无 MFA 证据、使用明文 SNMP 与过时 VPN 加密等遗留弱协议、凭据管理不到位。

勒索软件趋势与新兴变种 VYPR

勒索软件与准勒索（pre-ransomware）事件在 2026 年 Q3 占 engagements 的 27%，较此前四个季度最高 20% 上升。Talos 响应的攻击涉及成熟且技术先进的勒索软件即服务（RaaS）变种，如 The Gentlemen、Qilin、Rhysida，以及以封闭小组运作的 Interlock。攻击者普遍选择禁用端点检测与响应（EDR）系统，常通过利用易受攻击的驱动或 Windows Defender Application Control（WDAC）实现。本季度还观察到新兴变种 VYPR：其操作者测试了多种战术、技术与流程（TTP），而非遵循标准攻击剧本。在一个 VYPR 案例中，攻击者通过语音钓鱼诱使受害者发起 Microsoft Quick Assist 会话，随后利用既有 RMM 软件执行 PowerShell 命令，从远程 IP 下载并安装 MSI 包；攻击中使用了 MeshAgent、Rclone、PsExec、IP scan 与 MSTSC 等工具，并出现持续多日的数据外泄。

行业靶向

金融行业在 engagements 中的占比从上季度上升，占 18%，与公共行政并列最受针对的行业。尽管金融仍是高价值目标，Talos 自 2024 年以来未将其列入受冲击最严重的前三行业——一个可能的原因是金融机构通常能在网络安全上投入更多。医疗行业则从上两个季度"最受针对行业"首位降至第三。公共行政过去一年持续位列最受针对行业前列。

针对首要安全弱点的建议

本季度最突出的安全弱点是日志不足导致可见性缺口，出现在超 40% 的 engagements 中。Talos IR 建议部署 SIEM 或集中日志平台，保留至少 90 天，并将服务器、工作站、网络基础设施、云身份提供方与安全设备的日志转发至设备外，以抵御日志篡改与主机重建。认证与 MFA 控制缺失或不足是第三常见弱点，出现在 33% 的 engagements 中，主要表现为依赖单因素认证、遗留认证协议仍启用使攻击者无需 MFA 即可登录、且部分环境未对高权限账户强制 MFA。Talos IR 建议从推送式与 SMS 类 MFA 迁移到防钓鱼的方法，如 FIDO2/WebAuthn 与硬件安全密钥；通过条件访问（Conditional Access）封锁遗留认证；在尚无法实现防钓鱼 MFA 的场景启用数字匹配（number matching）或已验证推送（verified push）；并将访问条件建立在设备合规与可信基础设施上，而非仅依赖地理位置。

MITRE ATT&CK 要点

本季度 IR engagements 中观察到的技术与工具对应 MITRE ATT&CK 框架，要点如下：钓鱼与频繁使用有效账户进行初始访问与横向移动，反映攻击者持续依赖年复一年行之有效的手法；攻击成功一致地反映出企业安全态势的基本弱点，对已知漏洞（尤其公网应用）的持续 exploitation 表明对手不断扫描并机会主义地针对未修补系统；维持持久化最常用的技术是部署 Web shell 与创建计划任务，攻击者优先选择能融入正常运营的合法系统组件以实现隐蔽可靠的控制。

常见问题（答案均取自上述人类原文章节）

在 2026 年 Q3，钓鱼在 Talos IR engagements 中占比多少？

钓鱼出现在 37% 的 Talos IR engagements 中，仍是占比最高的初始访问手段，但较上一季度超过 50% 的比例有所下降。公网应用漏洞利用以 33% 位列第二。

什么是语音钓鱼（vishing）冒充 IT 服务台？

攻击者假冒 IT 支持人员致电受害者，诱使其发起 Microsoft Quick Assist 等远程会话，进而借助合法的 RMM 软件取得端点远程控制，借社会工程绕过技术防御。

企业应优先采取哪些认证加固措施？

从推送式与 SMS 类 MFA 迁移到防钓鱼的 FIDO2/WebAuthn 与硬件安全密钥；通过条件访问封锁遗留认证；在过渡期启用数字匹配或已验证推送；并将访问条件建立在设备合规与可信基础设施上。

VYPR 是什么？

2026 年 Q3 观察到的新兴勒索软件变种，尚不成熟，操作者测试了多种 TTP 而非遵循标准攻击剧本；在一个案例中通过语音钓鱼获取初始访问，并出现持续多日的数据外泄。