GitHub Engagement Signals for CVE Prioritization: The GitHub Popularity Metric (GPM)
该论文针对漏洞管理中最核心的优先级排序难题提出了一个新的开源度量指标。背景问题是攻防不对称：攻击者只需利用一个漏洞即可同时攻陷大量系统，而防御者必须修补自身环境中的全部弱点。面对高速增长的漏洞披露量和高昂的补丁成本，防御方必须在有限时间内决
#threat-intel
共收录 20 条相关情报。
← 返回所有主题A Data-Driven Analysis of Infostealer Malware Victims
信息窃取恶意软件（infostealer）在全球范围感染设备，并收割设备中最敏感的内容：凭据、浏览器会话、私钥和访问证书。然而，由于缺乏符合伦理、法律要求且经过策展的研究数据集，受害者影响一直难以被系统研究。为弥补这一空白，作者构建了一条隐
OllamaDrama: Designing and Deploying a Honeypot to Measure Attacks on Exposed LLM Infrastructure
公开暴露的大语言模型（LLM）基础设施正在形成一个新的、快速增长的攻击面，但学界与业界对攻击者实际如何针对这类服务开展攻击仍了解甚少——现有工作多停留在配置错误扫描或理论风险推演，缺乏来自真实互联网流量的长期实证数据。为弥补这一空白，作者设
A Bulletproof Business? Towards Detecting Infrastructure-as-a-Service Offerings on Telegram
论文聚焦于网络犯罪生态中一个日益关键的环节：可复用的数字基础设施租赁。攻击者不再自建服务器，而是通过 Cybercrime-as-a-Service 市场租用托管、代理和 VPN，并在 Telegram 等即时通讯平台上公开投放广告，形成规
Reasoning Topology Matters: A Controlled Study of LLM-Based Cybersecurity Analysis
该论文针对大语言模型在网络安全分析中的推理结构问题展开研究。背景是：LLM 已被广泛用于网络安全场景，而准确的安全分析往往需要跨复杂、异构数据（如网络流量、威胁情报文本、漏洞描述）进行多步、依赖上下文的推理。现有提示词（prompting）
Bridging the Opacity: Evidence-Backed Cross-Chain Transaction Correspondence Reconstruction Across Heterogeneous Blockchains
跨链桥实现了异构区块链之间的互操作性，但同时也切断了追踪非法资金所依赖的交易链路：资金从源链经桥转移到目的链后，原本连续的交易记录被拆散。第三方调查机构通常无法访问桥后端所维护的"源链交易到目的链交易"映射关系，作者对 131 个跨链桥的调
Demystifying Local Business Search Poisoning for Illicit Drug Promotion.
该论文针对本地搜索服务（如本地知识面板、地图搜索、语音搜索）中出现的一种新型地下非法药物推广活动——非法药物商户列表——进行了首次大规模测量研究。研究发现，不法分子利用上游本地数据经纪商对数据质量管控宽松的漏洞，发布推广非法药物业务的商户信
Ranked by the Matcher: A Reproducibility Audit of Knowledge Graph Extraction from Threat Reports
该论文针对威胁报告知识图谱提取工具评估的可复现性问题进行系统审计。研究者注意到工具发布时引用的三元组F1分数高度依赖于预测三元组与黄金标注之间的匹配规则，而匹配算法（精确匹配、同义词、嵌入相似度等）的选择会显著影响最终得分。作者检查了12个
TagZilla: Automated Owner and Abuse Type Tagging for Indicators of Compromise in Threat Reports
本论文提出并实现了一个名为 TagZilla 的自动化平台，用于在威胁情报（CTI）报告中为失陷指标（IoC）自动添加归属（owner）和滥用类型（abuse type）标签。在网络攻击活动中，IoC 通常包括 IP 地址、URL、文件哈希
ThreatLens: Evidence-Guided Ranking of High-Priority CVEs
安全团队在漏洞利用证据尚未完整时就必须对漏洞进行优先级排序。现有信号如 CVSS、EPSS、安全公告和公开利用代码虽然有用，但彼此割裂且时效性强，基于回溯的评估方法往往使用了决策时点尚不可用的证据，从而高估了实际效果。本文提出 Threat
Understanding and Analyzing Appraisal Systems in the Underground Marketplaces.
本文是首个针对暗网/地下市场中“鉴定系统”（appraisal system）的大规模测量研究。在地下市场中，鉴定人（appraiser）会从卖家处免费获取样品，随后发布评估性评论（appraisal review），以帮助其他买家判断商品
Retrieval-Constrained Policy Optimization for Attack Technique Extraction from Cyber Threat Intelligence
该论文提出了一种名为 TTP-R1 的两阶段框架，用于从网络威胁情报（CTI）文本中自动提取 MITRE ATT&CK 攻击技术。手动标注 ATT&CK 技术成本高昂且难以扩展，而 ATT&CK 分类体系包含数百种技术，单条 CTI 文本可
A Decade of Healthcare Cyber Threats: Empirical Analysis, Evidence-Based Prioritisation, and AI Threat Model
本研究针对医疗行业网络威胁在2017至2024年间的发展趋势进行了首次大规模、多源实证分析。研究整合了MITRE ATT&CK行为框架、CISA已知已利用漏洞目录（KEV）和NIST国家漏洞数据库（NVD）三个权威数据源，共收集1,214条
Mapping CVEs to MITRE ATT&CK Techniques: A Curated Gold-Set Classifier and the Limits of LLM-Assisted Label Expansion
该论文提出了一种可复现的流水线，用于从自由文本的漏洞描述中将 CVE 映射到 MITRE ATT&CK 企业技术。传统方法依赖 CWE->CAPEC->ATT&CK 的推导链，但论文量化了该链在表扩展过程中产生的伪影。作者基于 MITRE
Expert Insights into Advanced Persistent Threats: Analysis, Attribution, and Challenges.
本文通过半结构化访谈15名不同角色和专业背景的安全从业者，探讨了高级持续性威胁（APT）分析、归因及面临的挑战。研究发现，从业者在APT归因中采用三层方法，每层有各自目标和挑战。他们通常更关注理解对手的战术、技术和程序（TTP）及动机，而非
DarkGram: A Large-Scale Analysis of Cybercriminal Activity Channels on Telegram.
本文介绍了首次大规模分析 Telegram 上 339 个网络犯罪活动频道（CACs）的研究。这些频道拥有超过 2380 万订阅者，传播包括泄露凭证、盗版软件和媒体、社交媒体操纵工具以及恶意软件、漏洞利用工具包、社会工程诈骗等黑帽黑客资源。
A Longitudinal Study of Recently Observed Malicious Domains: Characteristics, Infrastructure, and Abuse Patterns
该论文对2026年1月至5月间在VirusTotal（VT）上观察到的约152万个恶意域名进行了纵向研究。研究选取了至少被5个独立VT扫描引擎检测到、且首次出现在研究窗口内的域名。数据集被分为被攻陷域名和攻击者创建域名，后者约占89.3%。
TeleHunt: A Framework and Tool for Efficient Cybercriminal Community Discovery on Telegram
本文提出 TeleHunt，一个用于系统性评估 Telegram 上网络犯罪社区发现策略有效性的框架与工具。研究背景是 Telegram 已成为网络犯罪活动的重要平台，但如何高效、可靠地定位这些隐蔽社区仍缺乏系统研究。TeleHunt 采用
Anonymous YARA Rules Are Not Anonymous
该论文系统研究了YARA规则共享过程中的匿名性问题。YARA规则常用于威胁情报社区共享恶意软件检测规则，社区普遍认为去除元数据（如作者字段）足以保护贡献组织身份。为了验证这一假设，作者从三个主要公共YARA规则库收集了23,305条规则，采
STRIKE: A Structured Taxonomy of Cybercrime for Risk, Impact, Knowledge, and Evolution
网络犯罪在规模和复杂性上呈指数级增长，传统分类方案难以捕捉现代威胁的复杂性和多样性。为此，本文提出 STRIKE（Structured Taxonomy for Risk, Impact, Knowledge, and Emerging T