📢 我们正在招聘！对法律、技术和人权的交叉领域感兴趣？你是法学生或拥有法学学位的研究生吗？ 我们正在寻找一名研究助理加入 Citizen Lab 的间谍软件和数字定向威胁团队，帮助维护我们的间谍软件诉讼数据库。 了解更多并于 12 月 1 日前申请：https://citizenlab.ca/opportunity/citizen-lab-research-assistant-in-the-area-of-spyware-and-digital-targeted-threats/
高级研究员 @jsrailton 与 @WIRED 进行了对话，谈及间谍软件公司 Paragon Solutions 的 CEO 的言论——这些言论揭示该公司无法知道客户是否滥用其软件，也无法有效防止滥用。 Scott-Railton 指出，这“与 Paragon 多年来为自己描绘的形象恰恰相反”。 阅读全文：https://www.wired.com/story/the-secrets-of-the-us-spyware-king/
Citizen Lab 转载 WIRED 对 Paragon Solutions CEO Andrew Boyd 的独家采访，Boyd 承认公司无法得知客户是否滥用其移动间谍软件，也没有在滥用时停用客户的关闭开关。
推荐理由：Paragon CEO 承认无法知晓客户是否滥用间谍软件、也没有关闭开关，为监管者评估商业间谍软件自我约束能力提供了当事方口径。
iVerify 在 2026 年 8 月调查一起客户设备感染时发现 DarkSword 间谍软件的新变种，命名为 P7 DarkSword。该变种减少了设备上的痕迹，新增钥匙串与加密钱包数据窃取，并支持与攻击者基础设施的双向 C2 通信，植入体注入 SpringBoard 进程，每 15 秒轮询一次指令。文章列出了可用于检测的域名、C2 端点、文件路径与哈希等攻击指标。
推荐理由：P7 DarkSword 新增钥匙串与加密钱包窃取并支持双向 C2，文中给出的文件路径与网络指标可用于排查同类感染。
Citizen Lab 主任 Ron Deibert 在 Guardian 文章中评论阿联酋 Sheikh Tahnoon bin Zayed Al Nahyan 对 AI 主导地位日益增长的影响力。
Amnesty Tech 发布新研究，称摩洛哥的监控体系被用于监视、跟踪和压制记者与人权捍卫者。该研究称这是迄今对摩洛哥监控系统最全面的梳理，其中包含臭名昭著的 Pegasus 间谍软件。
这一压制性生态使摩洛哥民众难以、且危险地行使言论、结社与和平集会自由的权利。摩洛哥当局必须立即停止对人权捍卫者和记者的非法监控。
Amnesty 在报告中指认摩洛哥领土监视总局（DGST）是该国部署 Pegasus 间谍软件的负责实体。摩洛哥此前多次否认利用间谍软件监视本国公民。
这些工具购自以色列、欧盟和美国的商业行为者，包括 NSO Group、现已倒闭的意大利间谍软件公司 Hacking Team（现名 Memento Labs），以及英德公司网络 Gamma Group 和 FinFisher。
Amnesty Tech 发布报告，称其提供了迄今最详细的画面，说明摩洛哥当局如何部署高科技间谍软件、音频窃听系统和跟踪设备来监控记者与活动人士。报告全文见 amnesty.org 链接。
Jamf Threat Labs 梳理了商业间谍软件的类别与在野样本，涵盖 Pegasus 等企业级工具以及 FlexiSPY、Crocodilus、BTMOB RAT、mSpy 等消费级威胁。Malwarebytes 记录到 2025 年上半年 Android 间谍软件检测量增长 147%，2026 年 8 月 Apple 曾通知 110 个国家的用户其被商业间谍软件针对。
Citizen Lab 的取证调查发现，欧盟议员 Stelios Koulou 的手机在欧盟 PEGA 委员会调查间谍软件滥用的关键时期被 Pegasus 感染。John Scott-Railton 表示，该议员已就此事起诉 NSO Group 高管，此案进一步加剧了 NSO Group 面临的法律压力，全球间谍软件受害者正寻求法律救济。
推荐理由：Citizen Lab 的取证结论把 Pegasus 感染与欧盟 PEGA 调查的关键时间点对上，读者可据此理解商业间谍软件在欧洲的执法与问责处境。
以色列商业间谍软件公司 Paragon 即将上市，并宣称全球扩张。其 Graphite 间谍软件曾被 WhatsApp 发现用于针对意大利的记者和活动人士，并已获取证确认。作者指出，NSO、Candiru、QuaDream、Intellexa 等同类公司均因滥用问题受挫，Paragon 已有滥用丑闻，公开市场对增长的诉求恐难与有限且守规的客户群相容。
Bill Marczak 表示，CVE-2025-31200 和 CVE-2025-31201 疑似为 NSO Group 所有，这是目前可归因于该组织的最新零点击利用链。他引用了 Apple 支持页面 support.apple.com/en-us/122282，并附上 Citizen Lab 关于塞尔维亚活动人士遭 Pegasus 间谍软件感染的研究作为参考。
推荐理由：研究者把两个 Apple 已修复漏洞与 NSO Group 的零点击利用链关联起来，关注商业间谍软件归因的读者可据此更新威胁画像。
英国最高法院就巴林诉 Shehabi 案作出裁决，认定巴林不能以国家豁免为由免于因使用 FinSpy 间谍软件入侵两名旅英巴林异见人士设备而引发的诉讼。Citizen Lab 研究人员在 Lawfare 撰文指出，该裁决让旅英流亡者对外国政府间谍软件入侵的索赔在管辖阶段更具可行性，为受害者寻求救济打开实质路径。案件将回到英国高等法院，届时需证明归因、因果关系和伤害。
TechCrunch 报道，110 个国家的 Apple 用户近期收到威胁通知，提示其设备可能正遭受间谍软件攻击。Citizen Lab 高级研究员 John Scott-Railton 称，公开讨论收到通知的帖文在规模和地域分布上“前所未有”，并认为公开通知之外还有大量未被知晓的案例。
推荐理由：110 个国家的 Apple 用户收到间谍软件威胁通知，收到通知的用户可据此判断是否需要开启锁定模式。
Jamf Threat Labs 针对 Apple 威胁通知给出处置流程：收到通知后应先在 account.apple.com 独立核实真伪，不要点击通知中的链接或提供凭据。
推荐理由：收到 Apple 威胁通知后，先保留易失证据再重启或更新设备，这一处置顺序是取证与清除之间最容易被忽略的取舍。
Jamf Threat Labs 分析现代移动攻击套件在触发利用前如何对设备做指纹识别，并以 iOS 漏洞套件 Coruna 为例拆解其平台检测模块。
推荐理由：梳理 iOS 攻击套件在利用前的指纹识别环节，说明锁定模式与系统更新为何能让部分套件主动放弃目标。
由于 #AngrySpark 后续报道不多，我写了篇《An Angry Spark, or a Triangle in Disguise?》，探讨 @GenThreatLabs 在四月报告中描述的那起针对英国一台 Windows 电脑的攻击，幕后可能是谁 https://medium.com/@billmarczak/an-angry-spark-or-a-triangle-in-disguise-ac32852a1be3
ESET 发现与朝鲜有关的 APT 组织 ScarCruft 对延边地区一家游戏平台发起多平台供应链攻击，该攻击可能自 2024 年底持续至今。平台上的 Windows 客户端通过恶意更新被植入 RokRAT 后门，进而部署更复杂的 BirdCall 后门；两款 Android 游戏被植入 Android 版 BirdCall 后门，这是该组织武器库中的新工具。
推荐理由：ESET 首次公开 ScarCruft 的 Android 版 BirdCall 后门分析，揭示了游戏平台供应链投毒如何同时波及 Windows 与 Android 用户。
ESET 研究人员发现一个针对巴基斯坦用户的 Android 间谍软件攻击活动，恶意应用 GhostChat（包名 com.datingbatch.chatapp）伪装成约会聊天平台，用 14 个虚假女性资料和硬编码解锁码制造专属感，安装后即向 C&C 服务器外泄设备 ID、联系人和图片、PDF、Word、Excel、PowerPoint 等文件，并每五分钟扫描新文档。
推荐理由：ESET 披露的 GhostChat 间谍软件把恋爱诈骗话术与持续数据窃取结合，还牵出 ClickFix 与 WhatsApp 设备关联两条关联攻击链，可帮助防御者理解同一攻击者的多平台手法。
一项联合调查披露 Intellexa 内部文件泄露，曝光了这家 Predator 间谍软件背后公司的新攻击目标与内部运作。该调查由 Donncha Ó Cearbhaill 与 Inside Story、Haaretz 及 WAV Research Collective 合作完成，并以 #IntellexaLeaks 发布。
推荐理由：泄露材料披露 Intellexa 的新攻击目标与内部运作，关注商业间谍软件生态的读者可据此了解 Predator 的客户与目标范围。
@LHreports 关于全球定位监控行业的惊人爆料是一记紧急警钟。 欧盟及其他地区现有的少量监管不足以保护我们，这个行业似乎无法无天、猖獗泛滥。