macOS 操作系统的恶意软件检测如何应用机器学习模型？

工作来源

ASIA CCS 2026

工作背景

近年来，macOS 在企业环境中的普及率显著提升，目前已有 76% 的美国大型企业在使用 macOS。随着 macOS 使用量的增长，安全挑战也如期而至。2023 年共发现了 17 个macOS 零日漏洞，而 2024 年 macOS 平台窃取信息类恶意软件也在急剧增长。并且随着苹果公司自研芯片不断推进，恶意软件开发者也将攻击目标瞄准了 ARM64 架构的苹果电脑，甚至构建包含多种架构的“胖二进制“文件实现跨平台分发。胖二进制文件又称通用二进制文件，其在同一个文件中包含适用于多种 CPU 架构的代码，无需为每种架构准备单独的二进制文件。加载器使用胖头部选择与系统 CPU 匹配的 Mach-O 二进制文件，从而确保跨架构的无缝执行。

有研究人员开始尝试为 macOS 恶意软件检测引入机器学习算法，但已有方式严重依赖于通用静态特征（如字符串、字节 N-gram、节区数量等）。完全忽视了 Mach-O 文件格式的独特性，以及苹果系统的安全机制（如代码签名、沙盒、权限配置等）。这都导致了检测模型的效果未能达到预期。

工作准备

缺乏大型、最新且公开的 macOS 样本数据集严重限制了机器学习方案的发展。研究人员通过多方渠道（如 macOS 系统安装包、Homebrew、GitHub 获取良性样本；通过 Objective-See、MalwareBazaar、VirusShare、VirusTotal 获取恶意样本），构建了一个新数据集。新数据集包含 41129 个 Mach-O 可执行文件，其中包含 11413 个良性软件样本和 29716 个恶意软件样本。

良性样本收集自以下三个来源： 

• macOS 安装：在 macOS Sonoma 14.5 安装环境中提取了 1239 个预装的 Mach-O 可执行文件。

• Homebrew：通过 Homebrew 包管理器提供的 macOS 应用程序中提取了 9843 个可执行文件，过滤掉了状态为已弃用、已禁用或已过时的应用。

• 开源 macOS 应用：从 GitHub 上提供的几个开源 macOS 应用程序中收集了剩余的 1045 个可执行文件。

恶意样本收集自多种来源： 

• Objective-See 数据集：由 Patrick Wardle 维护的经过整理的 macOS 恶意软件样本数据集，其中包含 180 个样本。

• MalwareBazaar：下载了 MalwareBazaar 上标记有 macho 且被至少 5 个杀毒引擎检测为恶意的样本，共计 90 个样本。

• Virus Samples Team 数据集：从其 GitHub 仓库下载的 103 个样本。

• VirusShare：VirusShare 中的 2910 个恶意软件样本。

• VirusTotal：在 2023 年 7 月 1 日至 11 月 13 日期间监测了      VT 订阅源，并保留了打上 mac 或 macho 标签且被至少 5 个杀毒引擎检测到的样本。共计 28380 个额外的 macOS 恶意样本。

该数据集不仅规模庞大，还横跨了三种关键架构：x86-64、arm64 以及 fat。

76% 的样本文件是面向 x86-64 的，9% 是 arm64 的，15% 是 fat 的。大多数良性样本是 fat 的，但恶意样本基本都是面向 x86-64 的。

八大家族覆盖了约 80% 的恶意样本文件，特别是 TOP 3 家族占了恶意样本的七成。

大约 10% 的样本可能加壳了，其中绝大多数都是恶意的。恶意样本中的 14% 是加壳的，良性样本中的 2% 是加壳的。

包含 API 最多的 4 个框架（Kernel、AppKit、CoreFoundation、Security）中 TOP 20 的情况，如上所示。对于 Kernel 和 AppKit 框架，其 API 被良性样本使用的频率高于恶意样本。鉴于它们在标准系统功能和用户界面开发中的作用，这是符合预期的。相反，属于 CoreFoundation 和 Security 框架的 API（分别用于底层系统和加密操作）被恶意样本使用的频率更高。恶意样本倾向于使用底层 API，良性样本倾向于使用高层 API。

TOP 20 的权限中有 17 个与安全有关，并且良性样本的使用频率远高于恶意样本。最常见的 allow-jit 权限被 32.6% 的良性样本使用，仅被 1.8% 的恶意样本使用。在 arm64 架构下，99.13% 的良性样本使用了该权限，只有 0.87% 的恶意样本使用了该权限。这类权限是区分良性样本与恶意样本的重要特征。

约 3% 的样本文件使用持久化技术，良性样本与恶意样本未见重大差异。但恶意样本比起 Login 更喜欢使用 Launch。

83% 的恶意样本不包含证书链，而 65% 的良性样本包含验证通过的证书链。证书链的状态（特别是证书的存在以及是否通过 Apple 验证）是区分良性样本和恶意样本的关键特征。

工作设计

没有选择整个 App bundle，而是聚焦于 Mach-O 可执行文件本身。因为这是恶意样本分发的最常见粒度，且现实中只有约 6% 的恶意 Mach-O 文件会附带父应用的元数据。

如下所示，每个 Mach-O 可执行文件由一个八大类（文件结构、字节、字符串、加壳、API、权限、持久化技术与证书）共 4578 维的特征向量表示。专门针对 macOS 二进制文件的特征，在 4578 个特征中仅占 62 个。

文件结构：常用于二进制文件结构属性的特征，还考虑了 Mach-O 文件中可能存在的 50 个最常见的加载命令，并统计它们各自在二进制文件中的出现次数（Load Commands Histogram）。

字节特征：代表构成二进制文件的字节序列的统计属性。通过分别统计每个字节的出现频率（即字节直方图）以及通过遵循 EMBER 中的方法提取字节 N-gram（实验中 ），并采用哈希函数将其映射到 128 维空间中。

字符串特征：提取了与恶意软件检测更可能相关的五类字符串：网络资源（IP 和 URL）、文件系统路径、base64 编码的字符串、导入的库以及函数名称。对于网络资源、文件系统路径和 base64 编码字符串，我们利用正则表达式进行识别。另一方面，库和函数名称使用 LIEF 库提取。

加壳特征：部分样本（如oRat、IPStorm、ZuRu、Coldroot 和 OceanLotus）使用了通用的加壳工具（如 UPX）。来自 MoonLock Labs 的研究人员发现，2024 年分析的加壳恶意软件样本中有 26% 是用 UPX 加壳的，使其成为 Mach-O 压缩的首选。因此首先检查是否存在名称与 UPX 加壳工具相关的节，例如 XHDR、UPX_DATA 和 upxTEXT，其次检查二进制文件是否包含超过 20% 的高熵数据节段（即熵大于 7）。

API特征：API 在捕获恶意行为方面已被证明非常有效。首先利用 Apple 官方文档确定 macOS 应用程序中最常用的框架，例如 AppKit、CoreFoundation、SystemConfiguration、Kernel，以及与安全和隐私相关的框架（如 Security），总共确定了 35 个框架。接下来，删除了在数据集少于 10 个样本（即样本的 0.02%）中出现的 API，它们不能代表样本的普遍行为，且通常代表使用 LIEF 库提取导入 API 时获得的异常值。对于每个框架，识别出 400 个最常用的 API（如果框架的API 少于 400 个，则包含所有可用 API），该阈值的设定基于在数据集中发现每个框架的平均 API 数量约为 400 个。该处理过程产生了总共 4009 个唯一的 API，每个API 由一个布尔特征表示。

权限特征：利用 Apple 官方文档创建了一个初始列表，以识别所有主要的安全相关 Entitlements，例如与 App Sandbox 和 Hardened Runtime 相关的权限。为了补充上述列表并包含数据集中样本使用的常用权限，选择了在至少 1% 的样本（即 411 个）中出现的权限，并添加了初始列表中尚未包含的权限。最后，一共得到 55 个权限。

持久化特征：用两个布尔特征来捕获 macOS 中使用的两种常见持久化技术：登录项与启动项。

证书特征：二进制文件中包含的证书链的五个状态，证书链存在、证书链过期、证书链自签发、证书链已吊销、证书链验证通过。

工作评估

本文的特征集在所有场景中都优于其他特征集。平均来说，与最先进的检测模型相比，本文的检测模型实现了 16.56% 的相对提升。决策树模型的表现较差，这表明有效的分类需要捕获复杂的特征交互。

值得强调的是，本文的检测模型在 arm64 数据集上表现尤为出色（提升 26.31%），确认了所提取特征对新兴 CPU 架构的有效性。

此外，以可执行文件的原始字节序列作为输入的 MalConv 模型在所有场景中都是表现最差的检测模型，这突显了特征工程在 macOS 恶意软件检测中的重要性。

机器学习模型在所提特征上的 ROC 曲线如上所示，XGBoost 模型取得了最佳性能。

XGBoost 模型在不同特征集上训练的 ROC 曲线，可见本文特征集最优。

每个架构场景下最重要的 TOP 10 特征，如上所示，macOS 独有的特征都十分重要。证书是否验证通过和存在证书链是 multi-arch 和 fat 数据集最重要的特征；x86-64 数据集最重要的特征是allow-unsigned-executable-memory 权限；arm64 数据集最重要的特征是 allow-jit 权限。值得注意的是，一些底层 API（如 fputc 和 system）是数据集中最重要的特征之一。

单独使用时，特定特征的表现优于通用特征。通用特征与特定特征结合使用，效果最好。

创建了一个包含 9000 个样本（4500 个良性样本和 4500 个恶意样本）的最新数据集，这些样本是在 3 个月时间内（2024 年 9 月至 11 月）从 VT 订阅源提取的。

特定特征在新型恶意软件样本上的泛化能力显著优于通用特征，移除特定特征会导致检测性能显著下降。

在 arm64 架构下，虽然在主数据集中 allow-jit 权限的存在可以有效区分良性样本与恶意样本，但在真实世界数据集中不再如此。因此模型无法再依赖此特征，导致检测性能下降。

在证书链未被 Apple 验证的良性样本上评估了性能，获得了 2.4% 的 FPR，表明即使在无法获取签名信息时也表现出扎实的性能。其次，评估了加壳对检测性能的影响，发现检测模型在加壳恶意软件上达到了 97.5% 的准确率。最后，在真实世界数据集中包含的所有已签名恶意软件上评估了检测模型，获得了 96.25% 的检测率，确认了其甚至对已签名恶意软件的有效性。

工作思考

业内曾一度迷信端到端的深度学习模型可以自动提取有效特征，从而彻底终结人工特征工程。但从实验结果来看，字节流无法表征特定的语义信息，而丢失语义会大幅度降低表现。在桌面系统安全领域，安全专家的领域知识体系结合集成树模型，可能依然是对抗攻击者的最佳武器。特征工程也反映出研究人员深厚的逆向功底，将 macOS 的操作系统级安全机制成功转化为机器学习可读的向量，用仅占总数 1.3% 的 62 个特征（62/4578）撬动超过15% 的泛化性能提升。

虽然在主数据集中，移除 macOS 特定特征仅导致检测性能轻微下降（3.23%），但在新样本数据集上，去掉特定特征的性能急剧下降（15.92%）。这是由于通用特征（如 N-gram）构建了类似现有恶意软件的“特征码”，就往往难以泛化到新样本。另一方面，特定于 macOS 的特征在语义上更加丰富，即使在出现新变种的情况下也能保持性能。

跳转微信打开

想要出海去沙特阿拉伯的企业可以参考。

根据 2017 年 10 月 31 日发布的第 6801 号皇家法令，由沙特国家网络安全局（NCA）负责保护沙特阿拉伯国家网络空间安全。该机构的职责包括：培养网络安全人才、建设国家网络安全队伍、制定网络安全标准与框架以及网络安全专业人员的评估测试。履行这个职责需要一支强大的网络安全队伍，相关人才能够胜任各类网络安全工作，故而 NCA 制定了《沙特阿拉伯网络安全劳动力框架》（SCyWF）。

SCyWF 对沙特阿拉伯境内的网络安全工作进行了分类，定义了不同类别中的职位角色，并根据任务、知识、技能与能力（TKSA）设定了每个职位的要求。其主要目标是作为网络安全人才培养、招聘、晋升与管理的参考模型和指导方针。

美国国家标准与技术研究院（NIST）在国家网络安全教育倡议（NICE）中提出了网络安全劳动力框架。与之类似，SCyWF 也将网络安全工作组织成一个由类别、专业领域和岗位角色组成的层级结构。

SCyWF 框架中工作类别、专业领域与岗位角色的定义如下：

• 工作类别（Category）：指服务于相关网络安全业务的一组专业领域以及与它们关联的工作角色。

• 专业领域（Specialty Area）：指服务于某项网络安全业务并拥有共同 TKSA 的一组工作角色。

• 岗位角色（Job Role）：指在网络安全岗位中需要执行的一组任务以及执行这些任务所需的 KSA（知识、技能和能力）列表。

SCyWF 框架共包含五个网络安全工作类别、十二个专业领域和四十个岗位角色，如下所示。五大类分别为：

• 网络安全架构、研究与开发（CARD）：开展网络安全设计、架构、研究和开发工作。

• 领导力与人才队伍开发（LWD）：领导网络安全团队工作，开发网络安全人力资源。

• 治理、风险、合规与法律（GRCL）：制定组织的网络安全政策、治理网络安全架构与流程、管控网络风险，并确保组织的网络安全、风险管理符合相关法律要求。

• 保护与防御（PD）：识别、分析、监测、缓解与管理信息系统和网络的威胁及漏洞。

• 工控系统与运营（ICS/OT）：执行工业控制系统的网络安全任务。

网络安全架构、研究与开发

领导力与人才队伍开发

治理、风险、合规与法律

保护与防御

工控系统与运营

每个职位对应具体的任务、知识、技能与能力（TKSA）此处不再赘述，感兴趣的请查看原文。

跳转微信打开

在 AI 新时代，有哪些新职业大有希望？

现如今，每家大型企业都在积极部署 AI，而且是在没有专门的 AI 安全人员的情况下进行部署，这带来了很多隐患和风险。与此同时，AI 与网络安全的融合也在加速，多个相关职位也正在被创造出来。这些岗位需求同时也说明：AI+安全就业的时代已经到来。

SANS 基于过去两年的招聘网站数据、劳动力研究报告，总结了 AI+安全时代的 10 个具体职位。这些职位可以分为三大类：

• 正在热招（1-4）：现在就可以搜索到这些职位，并且有相当数量的活跃招聘。

• 正在形成（5-8）：正在演变形成相关岗位，可以根据自身技能锚定发展方向。

• 未来出现（9-10）：相关招聘会在 2027-2028 年提速，现在可以开始培养相关技能。

SANS 为每个职位都统计了存在活跃招聘需求量、招聘公司与薪资范围。接下来让我们来看一看具体是哪些职位：

#1 AI/ML安全工程师 (AI/ML Security Engineer)

#2 AI 红队专家 (AI Red Team Specialist)

#3 AI 治理、风险与合规主管 (AI Governance, Risk & Compliance Lead)

#4 AI 威胁情报分析师 (AI Threat Intelligence Analyst)

#5 AI SOC编排师 (AI SOC Orchestrator)

#6 AI 应急响应编排师 (AI Incident Response Orchestrator)

#7 AI 安全专家 (AI Security Specialist)

#8 AI 供应链安全工程师 (AI Supply Chain Security Engineer)

#9 AI 身份与深度伪造防御专家 (AI Identity Deepfake Defense Specialist)

#10 后量子密码迁移专家 (Post-Quantum Cryptography Migration Specialist)

最后放一张以上十个职位的薪酬对比图，哪个是你的理想工作呢？

跳转微信打开

AI 冲击与法规收紧压力下，网络安全人才何去何从？

在 AI 开始吞噬初级岗位与各国密集出台法律法规的双重压力下，企业正在经历一场前所未有的人员变动，网络安全部门也正迎来一场底层逻辑的根本性重构。近日，安全培训与认证机构 SANS 发布《2026 全球网络安全人才报告》。该报告采访了 947 名网络安全/人力资源高管，反映了新时代的产业变革：“网络安全行业的问题可能已经不再是缺不缺人，而是能力行不行”。

一、初级岗位加速重构，人才管道面临断层

AI 正以横扫千军之势重塑网络安全团队的规模和结构，74% 的受访者表示其安全团队已经根据 AI 技术的发展调整了团队规模及角色分配。

从数据来看，受 AI 自动化浪潮最严重冲击的是初级岗位。SOC 与安全分析岗位缩减 32%；威胁情报分析岗位缩减 26%；应急事件响应岗位缩减 22%。初级工作的大规模自动化，推动着初级人才从手动分析转向监督、验证与 AI 增强调查分析。如果人类不再手动执行每项业务，而是负责管理和监督 AI，这其实需要更高阶的认知决策能力。

这些岗位大量重复的人工分析工作，是高级人才积累经验和获得成长的必由之路。但现在，49% 的企业靠 AI 自动分析取代了部分人工分析，48% 的企业正在将工作流程自动化，初级岗位正在被 AI 系统性替代。

企业是盲目裁员吗？现在看可能是由于AI驱动生产力水平提升，导致的“降本增效”。当然，技术进步也催生了全新的工作岗位。34% 的企业新增了 AI 安全专家岗位；32% 的企业新增了 AI 安全工程师岗位；30% 的企业新增了 AI 治理分析人员岗位。

二、法律法规强力推动，再也不是应付检查

过往被认为是走形式的合规要求（NIS2、CMMC、DORA、DoD 8140 和 SEC 等），已经成为推动网络安全人才标准化的强力推手。受到法律法规合规要求影响而调整招聘过程的企业比例，已经从 2025 年的 40% 飙升至 2026 年的 95%。

欧盟针对欧盟关键基础设施的 NIS 2 指令影响了 30% 的企业的招聘决策；美国国防部针对国防承包商的 CMMC 指令影响了 29% 的企业的招聘决策；欧盟针对金融服务业的 DORA 指令影响了 26% 的企业的招聘决策。

由于法律法规强制要求企业提供可验证、可记录的安全能力证明，已经由 56% 的企业开始使用 NICE 或 ECSF 框架来规范职位描述与招聘标准。其中，40% 的企业采用 NICE 框架；34% 的企业采用 ECSF 欧洲网络安全框架。

另外，53% 的企业根据法律法规要求增设了高级合规专家岗位，相比去年的 23% 翻了一倍还多。

三、外部人才引进艰难，内部晋升路径模糊

一方面，初级岗位在被 AI 大力侵蚀。另一方面，合规需要对董事会和审计负责的专家。几乎所有企业都在不约而同地将招聘预算投向高级人才招聘，这也导致了 53% 的最终招聘决策由公司领导层和 CISO 控制。

企业认为招聘难度最大的岗位集中在金字塔顶端：专家级（27%）、资深级（22%）与中级（23%）。

极端的供需失衡导致招聘周期在持续拉长，38% 的企业表示想要招聘一名 15 年经验以上的高级人才，到岗时间已经超过 12 个月。

众多企业现在“只买现成资深专家，不愿培养新人”的策略，极大地影响了企业内部的稳定性。“职业晋升路径不清晰”已经跃升为第三大（32%）招聘阻碍与第三大（31%）留人障碍，全球目前仅有 24% 的公司能够提供清晰定义且沟通顺畅的职业路径。PS：薪资待遇仍然是第一大招聘阻碍，甚至超过了找不到合格的候选人。可能是市场上并不缺人才，只是企业开不起人才的要价？毕竟留住员工的最大挑战也是薪资待遇，看来劳资双方矛盾的根本还是在于用工待遇。

四、救火限制团队成长，高层认为能力不足

60% 的公司表示，当前面临的最大痛点是“现有团队能力不足“，抱怨”人员规模不够“的仅占 40%。网络安全的核心矛盾可能正在从“量的短缺”转向“质的不足”。

认为团队完全掌握所需技能的只占到 19%，认为差距特别大的其实也不多仅占到 13%，大部分还是认为存在一定差距的。

企业已经陷入恶性循环。阻碍团队能力提升的主要原因是预算限制（36%）和时间匮乏（21%），进一步深究为什么不对员工进行培训，60% 的管理人员表示“工作量太大，安全团队没有时间参加培训“，也有 54% 的管理人员认为问题在于公司缺乏培训预算。

这就产生了一个悖论，在管理层看来安全团队能力是不足的，但安全团队又被日常运营的琐事困住，没有时间也没有预算提升技能。27% 的公司认为，正是因为团队现有的技能差距，导致公司最终遭受了实际的网络安全攻击与数据泄露。可越是这样，团队抗风险能力就越差，项目延期（57%）与职业倦怠（47%）愈演愈烈。

五、技术能力愈发重要，随学随考化解矛盾

在 2026 年对网络安全岗位的招聘考量中，技术实操能力（55%）已经超越了工作年限（46%），而传统的“学位学历”跌落神坛，仅占 17%。

公司开始通过多元化、可量化的机制来衡量受聘者：64% 的公司将网络安全专业认证作为最首要的技能验证手段；49% 的公司在招聘中加入了硬核的技能实操考核。

58% 的公司在评估人才时认为持有一张高含金量的行业认证是至关重要的，只有 5% 认为完全不重要。

既然没有长周期的时间留给员工去脱产学习，公司考虑将预算优先投入到高 ROI、目标明确的轻量和标准化工具上。51% 的公司支持认证考试费用报销，48% 的公司支持在线培训课程/平台订阅报销。

六、受访背景补充

欧洲美洲的受访者加起来达到 86%，尽管报告声称全球，其实调查仅能反映欧美的情况。

受访的近半数（47%）都在大型公司（超过1000人），在中型公司（100-1000人）占到 33%，而小型公司（100人以下）仅有 19%。

SANS 尽可能维持了行业的多样化，网络安全厂商、咨询服务、科技/软件行业、银行/金融行业、教育行业、政府、国防、制造、医疗等行业均有覆盖。

受访者中 72% 都是网络安全/信息安全的领导或管理层，16% 是人力资源的负责人，也有 12% 的受访者身兼二职。

其网络安全团队规模通常较小，大多不到 25 人。尽管 47% 的公司都是拥有超过 1000 名员工的大型公司，但能拥有超过 50 人的安全团队的仅有 24%。

大部分都认为网络安全团队压力变大了，只有 20% 认为压力没变化甚至减少了。

压力的主要来源是工作量/人手不足；预算限制和威胁复杂度，这三个压力来源显著高于其他原因。

大家对远程办公的态度极其分化

七、结语

网络安全行业的下半场，SANS 认为公司的决策者或团队的管理者可能要重视三件事：

① AI 治理与基础安全培训并行。不要等全面治理政策完美落地才开始培训，立刻为全员提供基础的 AI 安全与提示词安全培训，化解带来的合规风险。

② 重塑初级岗位培养机制。既然传统的手动分析活被 AI 干了，就要主动设计“人机协同型”的初级岗位轮岗，让新人提早进入高阶训练中，避免人才断层。

③ 引入标准化框架和技能凭证。积极参考 NICE 或 ECSF 框架，将团队的能力图谱数字化、矩阵化，利用行业专业认证为合规审计、内部晋升及外部客户建立起信赖。

跳转微信打开

大模型在 SOC 分析人员手中被怎样使用？

工作来源

S&P 2026

工作背景

安全运营中心（SOC）的分析人员长期面临着两大难题：海量误报带来的“告警疲劳”和极高的认知负荷，业界期望大模型的应用可以缓解这一问题。业界在铺天盖地炒作“AI Agent 将取代安全分析师”、“大模型实现完全自动化SOC”，业务人员实际使用AI的情况到底如何？大模型在实际场景中如何进行人机交互，可以辅助决策吗？帮助解决什么类型的告警？

工作设计

对于每个提示词，由两名研究人员首先独立对抽取出的样本进行了人工阅读和打标签，通过多轮迭代协商，最终构建了一个包含 12 个主类别和 47 个子类别的“SOC大模型意图分类法“。

为了让研究结果具有全球通用性，将其映射到美国国家标准与技术研究院（NIST）发布的国家网络安全教育倡议（NICE）框架中，该框架详细定义了网络安全工作者的任务和能力要求，体现了网络安全防御的核心专业技能栈。

还要统计会话的轮数（一问一答算一轮），以评估分析师是将大模型视为一个“对话伙伴”还是一个“高级搜索引擎”。

工作准备

该研究由澳大利亚 CSIRO Data61 联合全球知名MDR服务商 eSentire 的研究人员共同完成。所以通过 Azure OpenAI API 搭建了一个内部的、企业级的大模型交互界面（底层调用 GPT-4 模型），这确保了输入的数据不会被 OpenAI 用于模型训练，充分保证了客户的隐私。收集了从 2023 年 5 月到 2024 年 3 月（共 10 个月）的数据。涉及45 名一线分析人员，共计产生了 3090 次独立的会话查询。

45 名一线分析人员具体的岗位职责如下所示，需要注意的是这是自愿参加的并非实际角色配比。

少数分析人员频繁使用，大多数分析人员其实用的并不多。

最初大家使用的都不多，后续使用大模型的意愿在逐渐增长。

工作评估

① 大模型被用于数据处理而非决策，分析人员掌握定性研判权

分析人员几乎不会向大模型直接询问“这个 IP 是不是恶意的？”或“是否应该隔离这台主机？”。较为常见的查询是“遥测数据解析”与“解码/去混淆”，例如让大模型解释晦涩的 Windows Event ID 4688 的命令行参数，或者解析一段 Base64 编码的 PowerShell 脚本。

② 大模型在报告撰写与沟通上很受倚重

第二大类的使用是沟通与文案撰写，分析人员频繁使用大模型将技术术语“翻译”成非技术受众（如企业高管）能听懂的事件摘要，或者用来润色安全分析报告。

③ 交互通常扁平化，几乎不存在深度交互

高达 41% 的会话仅有单轮交互（一问一答），绝大部分会话不超过 3 轮。分析人员尚未将大模型视为可以协同作战的“虚拟同事”，还只是将其当作一个“智能搜索引擎”来用。往往是按照工作流分层的，逐渐加深对大模型的使用。

④ 用户检索与NICE框架适配度很高

高达 93% 的查询可以完美映射到 NICE 框架中的“网络防御分析”和“威胁分析”核心任务，这说明大模型可以量身定制支持特定任务工作。

⑤ 不同分析人员的使用方式差异很大，也反映了用户的的倾向性。有些人在各种任务中都使用大模型辅助，有些人只在特定的任务上使用大模型。

⑥ 只有约 4% 的查询是让大模型判断是否恶意/是否威胁。从现状来看，分析人员还并不信任让 AI 来做最终判决。目前只是将大模型作为“外骨骼”，来处理苦活和累活。

工作思考

这篇研究的数据可以让我们跳出“AI 能做什么”的厂商 PPT，去直视“分析师需要 AI 做什么”的客观现实。现在的大模型可能仍然与数据是割裂的，未来的大模型辅助要实现与遥测平台的深度集成，直接原生读取上下文信息。而且做一个脱离工作流的“通用网络安全问答机器人”是伪需求。真正有价值的产品形态可能是“无感知的帮手”。例如，当 EDR 弹出一个告警时，平台已经在后台调用大模型完成了该告警中混淆命令的解码，并自动生成了一段人类可读的上下文摘要，直接展示在工单旁边。分析师不需要主动去“聊”，而是直接在大模型整理好的证据板上进行裁决。

在新时代入行的分析人员，如果过度依赖大模型的解析结果，是不是可能存在丧失底层理解能力的风险。传统的分析人员是一点点成长起来的，大模型也应该将思维链对外暴露，这样分析人员可以从大模型的思考过程中学到相应知识。

跳转微信打开

将分析报告转换为 STIX 的知识数据。

工作来源

RAID 2025

工作背景

在威胁情报领域，虽然大家都知道“情报共享”很重要，但行业苦于“非结构化文本（报告PDF/博客文章）”与“结构化机读标准（STIX/TAXII）”之间的巨大鸿沟久矣。

为了实现不同组织、不同安全产品之间的自动化情报共享，OASIS 推出了名为 STIX 的框架，它目前已经成为全球安全行业的事实标准。STIX 2.1 将威胁情报表示为一个有向图，由 STIX 领域对象（SDO，如“攻击者”、“恶意软件”、“漏洞”）、STIX 关系对象（SRO，如“使用”、“利用”、“缓解”）与STIX可观测对象（SCO）组成。

然而，由于威胁情报报告大多是非结构化的自然语言文本，目前将文本转换为 STIX 格式的过程在很大程度上仍然依赖于安全分析人员的手动提取。这个过程极其耗时、容易出错，且根本无法应对每天海量生成的威胁情报报告。

现有的传统自然语言处理（NLP）和深度学习方法在处理复杂的网络安全上下文时往往表现不佳。所以部分企业虽然买支持STIX/TAXII 的系统，但里面流转的往往只有最简单的 IP 和 Hash（变成了IoC 列表）。只有打通了“非结构化文本 -> STIX 图谱”的自动化处理管道，才能真正发挥STIX的价值。

工作准备

目前缺乏可用于训练和评估模型的大规模、高质量的 STIX 标注数据集。为了解决这个问题，研究人员进行了极为严谨的数据工程，构建名为AZERG与AnnoCTRPlus的数据集。其中，AZERG数据集包含11家威胁情报厂商发布的21份分析报告。AnnoCTRPlus数据集包含5家威胁情报厂商发布的120份分析报告。

一共提取了11 种主要的 STIX 实体类型（如Attack Pattern, Identity, Intrusion Set, Malware, Tool, Vulnerability 等）和24 种核心关系类型（如 uses, mitigates, targets, exploits 等）。实体类型分布情况如下所示：

关系分布情况如下所示：

对于文本描述中经常出现重叠的指代，实施了最长字符串匹配策略来消解歧义，并剔除了那些无法在单一段落中找到实体对应关系的数据。训练集和数据集的具体划分如下所示：

工作设计

研究人员设计了一套名为 AZERG 的端到端自动化 STIX 提取系统。为了避免直接让大模型生成复杂 JSON 图谱导致的任务崩溃（幻觉、漏报），将一整个任务拆解成了四个串联的独立 NLP子任务流水线。

① 实体检测（T1）：识别文本中对应 STIX 实体的文本片段，且这一步只找“词”，不分类。

② 实体分类（T2）：大模型将上一步给出的实体映射到 14 种 STIX 实体类型中（如判定“Cobalt Strike”属于 Tool 或 Malware）。

③ 关系检测（T3）：给定两个已分类的实体，判定它们之间是否存在有意义的语义关系（输出 YES 或 NO），通过这一步来过滤噪音。

④ 关系分类（T4）：判定有关联的实体，进一步让大模型从 13 种 STIX 关系中选出最准确的一种（如 uses 或 targets）。

在谷歌的Gemma-2-9B-it、阿里的Qwen2-7B-Instruct、Meta的Llama-3.1-8B-Instruct、上海人工智能实验室的InternLM2_5-7B-Chat、Mistral AI的Mistral-7B-Instruct-v0.3与微软的Phi-3-mini-Instruct中，评估后研究人员选择了开源的 Mistral-7B-Instruct-v0.3。通过 LoRA，研究人员针对处理中的四个独立任务，分别微调训练了四个专属的适配器。

工作评估

微调后的 AZERG与其他大模型进行了全面的对比评估，包括 GPT-4o、原生的 Mistral与其他模型。专门针对每个任务的微调模型和混合微调模型在具体的场景上各有千秋，但整体来说在伯仲之间。从耗时来说，T1任务推理时间最长为2.57秒，其余任务分别为1.54秒、0.58秒、0.36秒，这说明是具备可扩展性的。

原生大模型经常被网络安全中模糊的术语混淆，导致实体提取错误。例如函数名为MalwareMain，就可能会被错误判断为攻击工具。还包括攻击者与恶意软件同名、行文中相同组织的不同别名、工具和环境本身混淆等。并且单个错误会扩散影响到上下文的其他实体，显著降低了准确率。

语义相似的关系之间也常常造成混淆，部分错误连分析人员也存在争议。

在高度专业化的垂直领域，小模型外加高质量的垂直指令微调可能是一个很不错的方案。不仅在成本上占据绝对优势，在业务准确率上也能追上维度规模大很多的模型的效果。

工作思考

受到上下文的限制，现在只能把文本切割开，这样会导致跨章节、跨段落的关系提取困难，但这也是长上下文场景下分析的共性挑战。

STIX 2.1 规范本身其实就存在一些语义模糊的地方，这也会导致一部分分类错误。这不仅仅是模型的问题，也说明了本体论（Ontology）本身就是很复杂的。

作者将模型与数据集开源放置在HuggingFace上，感兴趣的读者可以自行下载尝试。如7B混合微调模型下载大概15GB，本地可以测试看看情况。

https://huggingface.co/QCRI/AZERG-MixTask-Mistral

跳转微信打开

Hex-rays 每年都会为 IDA 举办插件大赛，每年都会涌现出各种类型的插件，来看看 2025 年有什么插件！

Hex-rays 每年都会为 IDA 举办插件大赛，该大赛每年都会涌现出各种类型的插件，有安全团队也有个人安全研究员，为了解决各种问题从而开发各种插件。2025 年的插件大赛一共入围了二十五款插件。延宕延宕再延宕后，评审团最终评出的前三名为：

🥇 iOSHelper

iOSHelper 是对 iOS 平台的二进制文件进行逆向分析的工具包，在微码级进行调整生成更简洁的伪代码，减轻了对 iOS 平台进行漏洞研究的负担。

🥈 BinSync

BinSync 是一个逆向工程协作工具，基于 git 和 LibBS 构建，可同步包括注释在内的各种信息。团队成员无论是使用 IDA、Ghidra 还是 Binary Ninja，都可以通过 BinSync 进行协作。

🥉 CrystalRE

CrystalRE 是用于对 Crystal 编程语言生成的二进制文件进行逆向分析的工具。由于 Crystal 的符号与运行时结构很复杂，该插件可以大大帮助简化对 Crystal 二进制文件的分析。

评审团最终还选出了四个新秀：

🏅 HappyIDA

该插件是为反编译器增加易用功能的，例如函数导航、剪贴板助手、Rust字符串美化等。

🏅 EmuIt

Emult 是基于 Unicorn 构建的 IDA Pro 模拟器，支持定位恶意软件中的解密函数并获取所有解密后的字符串等功能。

🏅 Sharingan

简化进行反混淆和字符串/数据解密操作的插件，可视化操作对用户十分友好。

🏅 Yarka

根据用户选定的内容，自动创建 Yara 签名。

以下是本届插件大赛上二十五款插件的简要介绍：

点击查看原文跳转 Hex-Rays 官网。

阅读原文

跳转微信打开

生态系统中威胁情报是如何传递的？谁在产出和消费？

工作来源

NDSS 2026

工作背景

威胁情报市场正以惊人的速度增长，预计到2026年将超过150亿美元。这个生态系统由全球分布的安全厂商、沙箱、杀软引擎和独立贡献者组成，他们通过分析恶意二进制文件、钓鱼网站等提取IOC并进行共享。针对整个威胁情报供应链的拓扑结构、瓶颈节点以及攻击者如何利用该生态的盲区进行逃避，业界缺乏系统性的定量认知。

工作准备

选取了威胁情报平台（如VirusTotal等）、反病毒厂商（如Kaspersky等）、沙盒服务商（如Any.Run等）共三大类的30家厂商。由于商业保密协议，厂商间共享数据的关系是不会对外公开的。

工作设计

研究人员生成无害但具备可疑行为的二进制文件，程序文件会在运行时将系统环境的指纹与执行ID编码在子域名中，通过HTTP请求发送出来。除了网络行为外，二进制文件也会释放副本文件，沙盒如果继续执行副本文件的话，发出的网络请求也会带上父文件信息。外传的信息是基于前人的研究选取的一些特征：

在自有服务器收集这些发送出来的请求，并且轮询开放的安全信誉列表，查看这些域名与IP什么时候会被拉黑。包括（1）Google Safe Browsing 或者FireHol（2）Quad9、Google、Cloudflare或 Palo Alto DNS Security（3）VirusTotal 或 AlienVault Open Threat Exchange（4）一家商业威胁情报供应商。

如EXT-DE-2从EXT-TI-3接收了Satelite A1，执行后生成了Satelite A2，又将Satelite A2共享给EXT-TI-3。

工作评估

威胁情报平台对样本的执行次数，要远高于沙盒厂商与反病毒引擎厂商。并且，威胁情报平台在多个国家/地区都执行了样本，带来了更大的地域多样性。

聚类发现了将一个供应商拆分成了不同的簇，而没有发现将多个簇归类为同一个供应商。这也是生态系统健康的标志，厂商在尽量提供多样性。

大多数厂商只有3种以内的执行环境，且大多数尽管执行环境不同但部署的位置是相同的。虽然 67% 的厂商会进行动态分析，但绝大多数厂商根本不执行释放的子文件。

只有约 16% 的厂商愿意向外共享威胁情报。

生态系统高度依赖 4 家核心“枢纽厂商”，其他大多数厂商和沙盒只“消费”不“贡献”。杀软引擎厂商通常不共享数据，威胁情报平台则大量共享数据。

域名/URL等网络 IOC 的共享频率远远高于二进制文件本身。并且，对网络IOC的探查也更加频繁。

虽然沙盒提取IOC 只要几分钟，但因为枢纽厂商的延迟，威胁情报的共享往往需要几个小时甚至几天。

域名黑名单要间隔数小时，彻底的域名封禁平均需要 10 天以上。

通过威胁情报共享，在厂商间进行共享，最终走向封禁的过程如下所示。

大多数免费沙盒的 IP 和系统特征常年不变。在 VirusTotal 上通过 Yara 规则回溯，发现了 800 多个真实的恶意软件样本正在主动核对开源的“沙盒 IP 黑名单”以进行检测规避。测试显示，哪怕只去掉一个沙盒 IP，下游厂商收到情报的概率就会暴跌 60%。

研究人员给样本加上常见的UPX壳后，厂商的执行率骤降了 35%。很多厂商直接给出了Dropper的判定，但并没有实际去脱壳与分析该样本，导致大量TTP情报白白流走。

工作思考

独家的高质量威胁情报是安全公司的核心护城河，没有厂商会愿意白白把有价值的内容分享给别人。由于恶意样本量的激增，厂商为了维持分析的吞吐量，也不得不牺牲深度脱壳与执行分析的能力。

跳转微信打开

线上一张照片就能按图索骥线下找到真人吗？

工作来源

PETS 2025

工作背景

在 OSINT 开源情报分析领域，通过图片来确定拍摄位置一直是一项高级技能。那么多模态的视觉大语言模型，可不可以基于已有的知识实现这一判断呢？将图片的元数据（EXIF 的 GPS 坐标等）剥离，仍可以通过图片本身的内容来判断地理与时间细节。

工作准备

模型准备：挑选了过去三年内最前沿的模型，包括传统视觉模型（StreetClip, GeoClip）、开源 LVLM（LLaVA）、闭源商业巨头（GPT-4o）以及专用的商业定位工具（GeoSpy）。

图片准备：现有数据集（Im2GPS, YFCC26k 等）中有很多图片不适合该场景使用，研究人员构建了一个 5 万张图片的全新数据集。数据集以国家领土面积作为权重，从 Google Street View 进行全球随机采样，确保非洲、南美等常被忽视的地区也能被覆盖。利用 GPT-4o 对每一张抓取的图像生成描述，通过关键词过滤掉所有“室内”、“严重遮挡”、“无特征（如纯天空/纯地面）”的无效图片。最后还引入了人类专家进行 1000 张图像的抽样双盲验证（Kappa 一致性高达 0.82）。

工作设计

原生 LVLM 具备一定的识别能力，但往往极度依赖“标志性建筑”，在面对普通街景时表现不佳。

为了探究 LVLM 攻击的“破坏力上限”，研究人员提出了一个增强型攻击框架ETHAN。其核心有两大技术：

基于领域数据的微调： 使用 GEOLOCATIONHUB 中 3 万张带有详细地理描述的图像对 LVLM 进行有监督微调，使其真正具备处理全球街景特征的底层视觉直觉。

“专家”级思维链提示工程： 研究人员深入分析了 GeoGuessr（著名地理盲猜游戏）人类顶级玩家的思维模式，并将其固化为一段结构化的思维链提示词。ETHAN 强制要求大模型在给出最终经纬度之前，必须按顺序从以下四个维度进行分析：

① 基础设施：分析道路标线颜色、路标语言/形状、电线杆样式和车牌特征；

② 自然元素：分析土壤颜色、植被类型（温带树木还是热带棕榈）、地形地貌（高山、海岸、沙漠）；

③ 车辆分析：分析常见车型、方向盘位置，甚至涉水喉（说明多雨涝）和生锈模式（说明沿海高盐）；

④ 文化指标：分析建筑材料、店铺招牌、路人服饰和涂鸦风格。

工作评估

超越他人的准确度： 在 GEOLOCATIONHUB 的 2 万张图片测试数据集上，ETHAN 在最严格的街道级（1公里以内）精度上达到了 28.7%，超过了商业专有工具 GeoSpy 的 26.5% 和 GPT-4o 的 23.2%。在城市级（25公里）达到 59.2%，国家级达到 95.6%，大洲级高达 99.3%。

人机大战（GeoGuessr 游戏）：研究人员编写脚本让 ETHAN 直接接入 GeoGuessr 游戏平台，与全球真实玩家进行了 41 轮随机匹配对战。结果 ETHAN 取得了 4550.5 分的平均分（人类平均仅 4120.3），胜率高达 85.4%。在一次挪威偏远村庄的测试中，ETHAN 仅通过屋顶建筑风格和路标排版，将误差锁定在 2 公里以内，而人类对手偏差了 5 公里。

不足与局限：在极度低能见度（大雾、黑夜）、缺乏特征的沙漠荒原，以及高度同质化的现代城市住宅区，ETHAN 依然会发生严重的误判。

工作思考

通过游戏的 PK 测试，说明 ETHAN 具备真实环境下的动态对抗能力。其一公里的定位精度也十分恐怖，将目标锁定在 1 公里范围内，基本上就意味着攻击者可以通过无人机、摄像头或线下踩点轻易完成最后的“收网”了。

过去的时代，大家常常认为随便一拍的照片怎么会有人能认得出来是哪里，即使有能认出来的人也不会针对我。在大模型时代，看着差不多的照片也能分辨出大概的位置，想保持隐身变得不容易。该技术被用于监控和跟踪会很令人担忧，间谍可以执行定向的暗杀，私生饭可以追踪明星的住宅地址。当然，科技向善，警方也可以利用它快速定位绑架等恶性犯罪受害者的大概位置。

根据 GDPR 第 9 条和欧盟《人工智能法案》，此类能够从图像中推断出敏感个人位置的 AI 系统，极有可能被归类为高风险应用，存在较大合规与隐私风险。有一些潜在的防御策略：① 在 LVLM 训练阶段引入差分隐私或选择性特征抑制，让模型“故意遗忘”特定的地理敏感特征；② 社交媒体平台（如微信、Twitter）在用户上传图像时，实时运行后台过滤，对高风险的建筑立面或路标进行自动模糊处理；③ 给图像添加人眼不可见的微小对抗噪声（如使用 SGA 技术扰乱模型的 CoT 注意力机制），可以让模型将美国的自由女神像误认为是法国的埃菲尔铁塔，使得大模型的国家级定位准确率从 78.6% 暴跌至 3.4%。

跳转微信打开

思科安全推理大模型是如何构建的？

工作来源

arXiv:2601.21051

工作背景

以 DeepSeek-R1 与 OpenAI o1 为代表的原生推理模型引领了大模型技术的新范式，通过逐步推理来提升“智能”表现，但这种推理方法在网络安全领域尚不成熟。现有的安全大模型处理直接查询时表现尚可，面对需要多步逻辑分析的复杂任务（威胁情报分析、漏洞评估、事件响应等）时往往力不从心。

在网络安全领域中，“如何得出结论”和“结论本身”一样重要。业界需要一种能够“三思而后行”且提供可审计逻辑链的安全大模型，这样才能增强对其输出结果的可信度。思科的 Foundation AI 团队顺势而为，在 2026 年年初发布了全球首个专门为网络安全领域打造的开源原生推理大模型。

工作准备

基于 Foundation AI 此前发布的基座模型 Foundation-Sec-8B，该模型基于 Llama-3.1-8B-Base 且在 80 亿 token 的私有网络安全语料库上预训练而来。

研究人员又利用 Gemini-2.5-Flash 构建 Agent，生成了约 200 万个合成数据样本，从而进行第一阶段的微调。这 200 万数据中并非完全是网络安全相关语料，网络安全语料只占到 26.8%。在垂类大模型的训练中，最害怕由于喂了太多网络安全知识，导致模型连最基础的代码和数据逻辑都遗忘了。所以数学和编程数据占到了约三分之一；剩下的则是指令遵循、通用对话、科学和安全对齐数据。

用到的网络安全相关评估 Benchmark：

用到的通用评估 Benchmark：

工作设计

与传统的指令微调不同，研究人员采用两阶段推理训练模式：

阶段 ① 监督微调（SFT）植入推理本能

在 200 万合成数据上进行 3 个Epoch 的微调，使模型学会原生推理行为。之后模型在输出最终答案前，会生成显式的推理轨迹。

阶段 ② 可验证奖励强化学习

使用组相对策略优化（GRPO）算法，为每个 Prompt 生成 5 个回答，通过任务验证给出二元奖励。研究人员也解决了强化学习中两个常见的痛点：

数据异构性：不同任务的输出长度差异巨大，如果简单地将长回答的所有 Token 损失求平均，会导致模型在弱势任务上输出冗长、重复的废话来降低 Loss。而 Dr.GRPO 提出的“样本级损失聚合”方法，可以确保长序列和短序列对梯度更新的贡献公平。

奖励破解与格式退化：模型也会发现损失会随着输出长度增加而减小，于是为了“偷懒”，它可能只输出最终正确答案，而把思考过程缩短为

<think>No</think>

。研究人员在奖励函数中硬编码了格式惩罚，强制要求模型输出的推理思考，必须有实质性内容。从而降低了模型用短答案或者毫无意义的长废话来骗取奖励所带来的影响，这也是训练垂类小模型需要注意的地方。

工作评估

网络安全基准测试

在 CTIBench-RCM 这个极其考验底层安全推理的任务上，该模型取得了 75.3% 的好成绩，不仅超过了指令微调版（70.4%），甚至超越了参数量大 15 倍的 GPT-OSS-120B（71.2%）以及 Llama-3.3-70B-Instruct（68.4%）。值得注意的是，在其他几个数据集上，该模型未能与其他表现较好的开源模型拉开差距，并且被商业模型 GPT 大幅领先。

在最新的未见漏洞预测集 CWE-PREDICTION 上，同样拿下了 70.4% 的高分。在其他数据集上的表现也是平平无奇，更是比商业模型差很多。

Foundation-Sec-8B-Reasoning 模型表现良好，在多个场景下均取得了不错的效果。

网络安全垂类训练并没有牺牲它的通识能力。经过强化学习训练后，模型在 2WikiMultihopQA 这种长文本逻辑题上实现了较大提升，准确率升至 60.5%。

在 AlpacaEval 2场景下，提升了 146%。唯一的微小代价是代码生成（HumanEval）能力略微下降了约 2.4%，但这可以用其他专注于Coding的模型来解决。

Foundation-Sec-8B-Reasoning 模型表现良好，在多个场景下均取得了不错的效果。

通过消融实验对比发现，仅做监督微调的模型在多跳推理上得分惨不忍睹（如 2WikiMultihopQA 仅 24.4%）。在利用监督微调建立领域知识后，正是强化学习赋予了模型深度解析和指令遵循的能力，让表现得以大幅提升。

由于具备更强的推理能力，该模型如果被黑客利用编写恶意软件将极其危险。为此，团队为其量身定制了名为 "Metis" 的系统提示词，严格框定了它的安全边界。加上 Prompt 后，模型拒绝恶意请求的通过率达到了 93.00%；如果外挂 Llama-Guard-3 护栏，防御率高达 98.25%。

“小模型+强化学习推理”的模式能够在不牺牲广泛通用能力的前提下，在垂类任务上实现对通用大模型的反超。通过将系统提示词设定为“拥有高级网络安全专家经验”的 Metis 角色，并要求其在输出云安全配置等关键信息时必须绝对精准并引用来源，可以进一步锁定模型的专业度与安全性。

工作思考

现今的评测仍然局限在文本形态的一小类（如威胁情报报告），后续将网络安全领域承载更多信息的形态（如网络流量）接入处理，能力范围将进一步扩展。随着大模型能力的进一步提升，Agentic Workflows可能会越来越有用。

一方面如果本地部署的安全模型可以比肩规模较大的云端大模型的效果，那么就可以将调用API的费用省下来，并且能更好的保证数据隐私合规。

跳转微信打开

大模型现在真的可以取代安全分析人员了吗？

工作来源

ARES 2025

工作背景

在整个网络安全行业都在疯狂炒作“用大模型取代安全分析师”、“用 AI 自动化提取威胁情报”的当下，很多人声称大模型可以完美解决威胁情报报告信息提取的痛点。利用大模型来提取大量的、非结构化的威胁情报报告（如 Mandiant、卡巴斯基发布的 PDF 报告或博客技术文章）中的关键实体（如攻击者、恶意软件、漏洞）以及它们之间的关系（TTPs）。

演示效果较好的场景，往往使用人为截断的短文本段落，而不是动辄几十页的真实的、完整的报告。根据传统的准确率和召回率等表面指标就能够确定有效性吗？能提出来可能远远不够，还必须确保大模型的一致性（每次回答是否一样）以及置信度（对提取结果的自信是否可靠）。想要将大模型作为工业级组件应用到实际场景中，可靠性验证是必备的一环。

工作准备

研究人员整理了350份真实的、完整的威胁情报报告，这些文件中包含复杂的上下文与难以理解的长文本。选取的86个APT组织均在2008年至2020年期间发起过至少⼀次攻击活动。

准备了当时最顶级的闭源和开源大模型，包括 GPT-4o（OpenAI）、Gemini 1.5 Pro（Google）以及 Mistral Large 2。提示词按照常见规范要求进行设计：

工作设计

将威胁情报报告的提取任务核心为命名实体识别（NER）与关系提取（RE）：

• 实体：攻击者（Attacker）、恶意软件（Malware）、漏洞（Vulnerability）等；

• 关系：攻击者使用恶意软件（Uses）、恶意软件利用漏洞（Exploits）等。

根据三种不同的策略使用大模型：

① 零样本学习：直接让大模型进行处理。

② 少样本学习：基于检索增强生成（RAG），在 Prompt 中动态注入 1、3 或 5 个相似的标注示例供模型参考。

③ 模型微调：使用特定数据集对开源模型（如 Mistral 8x7B）进行全参数/LoRA微调。

与传统的方式不同，研究人员引入了两个新的指标来进行效果评价：

一致性：由于大模型存在采样随机性，研究人员使用Fleiss’ Kappa系数来评估模型在多次运行时的稳定性。对于同一份报告、同一个 Prompt，作者让大模型重复提取 5 次。如果它每次提取的 APT 组织名称和 TTP 关系都完全一样，就是高一致性。

置信度：模型输出结果时，研究人员要求其附带一个 0 到 1 之间的自信度评分。然后使用预期校准误差（ECE）与布里尔评分（BS）来对其进行衡量。简而言之，如果模型宣称自己有 90% 的把握，那么它输出的这批结果里，真实准确率是否也达到了 90%？如果它只有 40% 的准确率却给出了 90% 的自信度，这就是严重的“过度自信”。

工作评估

结果是相对悲观的，不宜对其有过高的期待：

基础提取能力低下：在面对真实长篇报告时，所有模型在零样本学习场景下的表现堪称灾难，F1 分数极低。使用RAG的少样本学习确实提升了性能，但当示例增加到 3 到 5 个时，性能提升就遇到了明显的“天花板”，远未达到可以完全替代人工的及格线。

一致性差：大模型是一个十分“善变”的分析人员，实验表明，同一个模型在 5 次独立运行中，提取出的实体和关系出现了巨大的波动。尤其是面对复杂的“关系提取（如 A 利用了 B 漏洞）”时，模型的一致性发生断崖式下跌。相比之下，GPT-4o 比 Gemini 和Mistral 稍微稳定一些，但依然无法满足工业级稳定性要求。

过度自信：所有的LLM 都表现出了极度的自大，它们经常给自己的结果打出90%以上的高置信度，而实际准确率往往只有 0.4 到 0.6。

微调迷思：微调让模型提取的 F1 分数有所上升，但它的置信度校准完全崩盘了。微调后的模型“学乖了”，它学会了迎合标准答案的格式，导致无论它提取的内容对错，它都近乎 100% 盲目自信。

工作思考

如果我们引入大模型是为了节省人力，但由于它经常在没有把握时瞎编乱造，导致安全分析人员必须逐行去验证它提取的信息，那么验证这种低质量输出所花费的时间，可能比分析人员自己去读报告原文还要长。这也是目前很多企业落地 AI 安全产品后，感觉到“越用越累”的根源。

目前来说，大语言模型可能在威胁情报提取方面还没有那么可靠。它们目前的技术成熟度，可能还无法胜任完全自动化的情报生产。业界可能需要停止对大模型在安全领域的盲目崇拜，重新正视大模型对人的辅助分析能力。（PS：这个是在 GPT-4o 的时代做的研究，那是2024年5月发布的模型。两年过去了，大模型也在快速进步，尽信书不如无书）

很多公司宣称“我们用百万级高质量语料微调了专属安全大模型，准确度很高”。但实际上，微调过程中的“过拟合”可能也破坏了基础大模型原本保留的一丝“自我怀疑”能力。微调后的安全大模型变成了一个“傲慢的骗子”，这对依赖大模型置信度阈值来进行告警分级的 SOC 平台来说，是绝对的毒药。

LARGE LANGUAGE MODELS ARE UNRELIABLE FOR CYBER THREAT INTELLIGENCE

跳转微信打开

Virus Bulletin也是老牌会议，从 1991 年就开始举办，历经三十余载。

Virus Bulletin也是老牌会议，从 1991 年就开始举办，历经三十余载。2024年的 VB 是在爱尔兰的都柏林举办的，为期三天。各国各公司的安全专家齐聚一堂，分享对全球威胁的理解与发现。

若是通过本文的介绍，或者是查看官网议程安排后，对其中某些议题感兴趣的话，就可以在官网下载议题对应的材料进行扩展阅读。（PS：笔者根据自身的认知局限与好恶为部分议题打了推荐查看的星级，不代表对议题实际内容高下的评判，只是为部分时间宝贵的读者再节约些时间，这部分议题相对来说可能更加值得一看。）

揭开暗网洞利用市场的神秘面纱 ⭐⭐⭐

暗网市场到底存在多少真实的漏洞利用武器？漏洞利用的经济体系是否遵循与其他合法市场相同的规则？

在 2023 年和 2024 年间，总共发布了约 550 个漏洞利用，平均每月发布约 26 个。

0-day和 1-day大约占总数的一半到三分之一。

影响漏洞在黑市定价的五个关键因素：1. 漏洞利用的类型（如 LPE 还是RCE）；2. 销售数量（独家买断还是批量多卖）；3. 目标系统的关键性和普及程度；4. 报价的独特性（是否附带源码）；5. 卖家的声誉。

本地提权（LPE）漏洞利用的平均价格约为6万美元 ；而远程代码执行（RCE）漏洞利用的平均价格约为10万美元。

RCE的价格也不都是一样的，目标系统越普及越重要，其价格越高。

例如卖家出售Microsoft Outlook RCE 0-day 漏洞，价格高达170万美元。卖家要求必须通过知名黑客 ShinyHunters 作为中间人进行担保，并要求买家先提供“资金证明”，严禁记者打扰。

主要买家群体包括：APT 组织、勒索软件团伙、经验丰富的独立黑客、以及受资助的黑客行动主义者。如一买家悬赏10万美元求购 0-day 漏洞，明确点名需求目标为 Github、Gitlab、Twitter、Snapchat、Cisco VPN、Pulse VPN 等大型平台或企业软件，并承诺给牵线搭桥的中间人1万美元的比特币中介费。

57%的卖家在平台上只发布过 1 个漏洞；36% 的卖家发布过 2 个；仅仅只有极少数的 7% 的卖家发布过 3 个及以上的漏洞。漏洞黑市呈现极其明显的“长尾效应”，超过一半的卖家属于“一锤子买卖”。

分析了一个典型卖家，他在 2024 年发布了 5 个漏洞报价，潜在收入达到54万美元。

暗网交易其实严重缺乏流动性。虽然 0-day 在外界被吹得神乎其神，但在暗网茫茫人海中找到一个“既懂复杂漏洞技术、又有十几万美金预算、并且愿意信任卖家”的精准买家其实非常困难。时间拖得越久，被其他研究员“撞车”发现或者被厂商偷偷静默修复的风险就呈指数级上升。一旦补丁发布，价值数十万美金的代码瞬间变为废纸。

0day.today曾是暗网非常有迷惑性的虚假漏洞交易平台。他们通过窃取开源的陈旧安全代码，或拼凑完全无效的伪造 PoC，配上夸张的标题，专门骗取那些技术能力不强、急于求成的新手黑客的比特币。光靠骗人就赚了将近 85 个比特币，价值近 570 万美元。

为了维持交易秩序，暗网衍生出了保证金制度。在账号旁边亮出高额的比特币存款余额，既是向卖家展示“我不差钱”的诚意，同时也是一种极佳的反侦察手段。

担保机制也起到了撮合交易作用。买家先把加密货币打给论坛的官方担保人 -> 卖家将漏洞利用代码发给担保人 -> 担保人（通常懂技术）负责验证代码是否真如描述般有效 -> 验证通过后，将代码发给买家，同时扣除中介费后将资金打给卖家。担保人会抽取高额的佣金，通常为交易额的 5% 到 15%，绝大多数高价值的0-day 交易都被强制要求走担保人交易。

双方争执不下，暗网平台还提供仲裁机制。暗网通过以上三个机制来使交易双方都认可该平台，从而撮合交易完成。

顶级 0-day 其实是战略级原材料，将其武器化就脱离了普通黑产、金融犯罪的范畴，升格成为了大国网络空间博弈、顶级 APT 组织的核心战略资源。

攻击归因与攻击基础设施分析 ⭐⭐⭐

研究人员介绍了海量的例子，在此不一一列举，感兴趣可以查看原PPT。例如利用TLSH寻找Gamaredon组织的样本：

例如寻找OILRIG 组织的 SAITAMA 后门：

例如基于证书检索：

例如监控Lazarus的独特行为：

例如APT 42重复利用基础设施绑定域名：

例如根据证书跟踪朝鲜黑客组织Kimsuky：

例如Storm-0558使用和SoftEther VPN相同的JARM指纹且2037年过期，以及签发中并不包含softether相关信息。

Linux下利用进程内存与eBPF探针检测共享对象注入攻击 ⭐⭐⭐

共享对象注入攻击示意：

检测 DT_NEEDED 感染策略如下所示，仅靠日志监控“存在”会导致大量误报，最好是可以精确指出哪个恶意模块Hook了哪个底层函数（如xstat, readdir）及其内存地址。

第一步要识别所有导入函数：

第二步要建立内存中共享对象及其基址的列表：

第三步要识别预加载共享对象及其导出符号：

最后符号交叉比对并锁定受害者：

研究人员开源了检测工具ELFieScanner，其中包含43种启发式检测逻辑。

https://github.com/JanielDary/ELFieScanner

研究人员列举了好多实战示例，例如使用 Kprobe 捕获内核级内存分配。

996的IcePeony组织⭐⭐

2024年 7 月初，IcePeony 的服务器误配成了开放目录，对外暴露了攻击工具、恶意脚本与日志。

攻击者通过 C2发送请求至受害者的 IIS 服务器，随后该模块可能与内网深处的受害者服务器进行内部通信。这种“边界中转 + 内网直连”的架构非常隐蔽。

攻击者的活跃时间集中在早上 8 点到晚上 10 点之间，很少有攻击者能够保持这种长达 14 小时高强度、集中时段的运营。

攻击者从周一到周六都保持高强度工作状态，周日则基本上肯定会休息。

总结其钻石模型：

揭开向印度尼西亚出口间谍软件的隐秘网络 ⭐⭐

至少在19个国家/地区发现了间谍软件的痕迹，商业网络武器是一个全球化、无国界的产业链。

印度尼西亚甚至在未与以色列建交的情况下，从相关公司绕路新加坡进口间谍软件。一个名为 PT. RADIKA KARYA UTAMA 的供应商在 2017 年中标了雅加达情报局的采购项目，项目明确标注为“ZERO CLICK INSTRUCTION SYSTEM（零点击指令系统）”，合同价值高达 989 亿印尼盾（约合数百万美元）。

Wintego是一家以色列公司，其产品手册显示：公司的网络情报系统可提取聊天应用、邮件、日历、照片、实时位置等极度详细的个人数据。

海关数据显示，2019 年一套价值 559 万美元的“WINT SYSTEM”从新加坡 ESW Systems 发给了印尼国家警察。该系统号称可通过 WiFi 提取目标设备的数据。

Intellexa的间谍软件在多地以 Predator、Helios 和Arrows 等名字销售。通过全网测绘，研究人员在印尼境内发现了一台服务器，其指纹特征与 Predator 间谍软件的后端服务器完全吻合。

2021年底其后端服务器（103.106.174.99）暴露 ；2022 年捕获到其伪造西巴布亚和印尼新闻的域名 (ewestpapua.org) ；2023 年捕获到其伪造 Gelora 新闻/政党的域名(geloraku.id) 。

Candiru (Saito Tech) 支持针对 Windows、iOS 和Android 平台的攻击，甚至内置了完整的漏洞利用链，用于收集端点设备元数据和社交媒体情报。

数据证实 2020 至 2021 年间有针对印尼警方的系统交付。2021 年 7 月，CitizenLab和微软的报告通过网络扫描也确认了印尼存在疑似客户 。其中一个域名 indoprogress[.]co 模仿了印尼的左翼新闻网站 IndoPROGRESS。

全网扫描发现与NSO关联的防火墙 IP（117.102.x.x和 203.142.x.x）属于印尼的"RADIKA KARTA UTAMA" 公司网络，这恰好与前文印尼警方招标数据库中购买“零点击”系统的中标公司是同一家。

Kimsuky正在使用Go重写核心恶意软件⭐⭐

S2W内部使用puNK代表朝鲜方向的攻击组织，Kimsuky 被细分为 DragonpuNK, SharkpuNK, 和 SeedpuNK。

每个攻击小组都有各自的武器库，SeedpuNK 被认为是一个专注于开发后门和窃密木马的核心技术团队。

SeedpuNK传统的恶意软件是使用C/C++开发的，只针对Windows系统。

近期发现 SeedpuNK 在使用三种新恶意软件：AlphaSeed, Troll Stealer 和 GoBear。

传统的利用邮箱做 C&C 的木马通常使用 SMTP/IMAP 协议，容易被防火墙拦截或被邮件服务商风控。AlphaSeed内置并使用了名为chromedp的无需外部依赖、通过 Chrome DevTools 协议驱动浏览器的 Go代码库。在受害者机器上启动一个不可见的 Chrome 浏览器，像真人一样在网页版 Naver 邮箱里点按钮、写邮件。

为什么一个习惯于 C++ 的黑客组织能在短时间内高产出如此多基于新语言的恶意软件？微软认为Kimsuky深度利用了大模型。韩国政府也在推行基于Linux的国产操作系统，Go可以更容易地跨平台。

Gh0st的前世今生 ⭐

多个Gh0st的变种演化关系：

想要在主机端狩猎，关注那些在历代变种中几乎不怎么改变的核心封装函数，例如自定义的 MyCreateThread()：

想要在网络侧狩猎，底层的网络包协议结构是固定的：

发布的威胁报告在加强互联网防御中的作用 ⭐

分析了 2010 年至 2024 年 7 月期间发布的 2264 份威胁报告，其中有 498 份报告提到了 CVE。报告中共提及了 1316 个CVE，其中去重后为 449 个独特 CVE。

例如特定漏洞：

按受影响的软件来看：

部分影响力较大的报告：

为什么有些写得很好的报告却无人问津？该漏洞已经是众所周知的旧漏洞，用户早就打过补丁了；在遥测数据中该软件的可见度很差（例如只在特定小国家流行）；或者在报告发布期间，扫描器厂商（如 Tenable）还没有开发出对应的检测插件。

如何利用知识图谱与图神经网络狩猎攻击基础设施 ⭐

从响应式检测前移，构建主动式检测。

恶意主机名 -> 分析新注册主机名 -> 发现共宿关系（综合 TLS、哈希、SSH、重定向等信息）-> 构建知识图谱 -> 送入图人工智能（Graph AI）模型 -> 预警的恶意域名。

多维度特征工程：词法特征（如包含大厂名字/连字符）、托管特征（绑定 IP 数量、托管时长）、WHOIS 特征（域名注册时间、过期时间、是否开启隐私保护）、证书特征、IP 特征（ASN、国家代码）、基于网页内容的特征（如是否包含诈骗表单、iframe 数量）。

使用半监督图神经网络进行训练：

效果非常好，如果牺牲一半的检出率（召回率下降），可以获取99.9%的准确率。

通过UMAP等方式对特征空间进行降维可视化：

基于Gamaredon的少量种子，扩展出对更多基础设施的判断：

其中有34个域名后续被标记为恶意：

网络安全中便利的隐形代价 ⭐

容易被远程访问的设备分布：路由器（29%）、智能电视（29%）、IP 摄像头（26%）、DVR录像机（6%）、机顶盒（3%）等。

UPnP问题很多：缺乏身份验证、输入验证不严、内存损坏漏洞、SQL 注入、XML 外部实体（XXE）攻击、缺乏日志记录等。并且，很多路由器厂商写代码太烂，不仅内网可以调 UPnP，甚至外网也能发指令。

出厂默认使用且不会被修改：

超过半数的家庭每天都在经历外部的“远程访问”，可如果是在默认禁用UPnP 的设备中，发生远程访问的骤降至 9%。

攻击者滥用云端集成开发环境构建基础设施⭐

各家都推出了云端集成开发环境CDE：

GitHub Codespaces的架构很典型：

攻击者很简单即可利用公共服务开放暴露特定端口，

访问的子域名还挂在GitHub的官方域名下：

攻击者已经开始滥用该技术，从单一维度转向上下文关联可发现异常：

多模态AI作为网络防御第六感 ⭐ 

基于GPT-4o进行钓鱼邮件检测，编写提示词即可自动分析邮件头、正文与视觉元素，并以极少的样本识别新型钓鱼攻击。

例如仿冒Paypal的钓鱼邮件：

对比了传统 ML（随机森林 RF、XGBoost）与多模态 AI (GPT-4o) 的表现，多模态 LLM 掌握了“欺骗行为”的底层逻辑和视觉语义模式，具备极其强大的泛化能力。

基于多模态的网站分类流水线：HTML/图像 -> GPT-4o 文本描述 -> OpenAI 嵌入模型生成数值向量 -> 训练随机森林/XGBoost 进行分类 。这是一个大模型蒸馏架构，大模型作为“高级特征提取器”，将复杂的视觉信息降维成文本，再转成向量，最后交给计算成本极低的传统树模型去执行快速分类，以此来平衡检测精度与算力成本。

顶级APT组织The Mask重新回归 ⭐

The Mask通常被认为是西班牙语国家支持的黑客组织，从过往的攻击目标来看，极有可能是西班牙本土国家级情报机构。

FIN7开始使用新型AI 深度伪造诱饵 ⭐

FIN7注册了数千个域名，使用了 68 种不同的顶级域名。

这些域名托管在 90 个自治系统上。

FIN7正在托管多个蜜罐，例如通过名为“aiNude.ai”的“一键脱衣生成器”来分发恶意软件。

AI深度伪造蜜罐的代码中包含了来自 Facebook Audience Network与俄罗斯 Yandex Analytics 的 JavaScript 跟踪代码，但目前尚未发现相关的广告。一方面是帮助黑客监控受害者流量和转化率，另一方面是带有商业追踪代码的页面更容易被安全厂商的自动化爬虫判定为“合法的商业网站”，从而降低被封堵的概率。

恶意代码签名的早期预测 ⭐

代码签名证书的两大主要用途：标明软件发布者身份、验证软件是否被篡改。曾经Stuxnet这种国家级APT才会盗用证书，现在各种犯罪团伙都开始这么玩。获取证书的途径分为两种：1、从已有证书的组织窃取（传统常见方法）；2、购买通过各种手段签发的证书（近期激增的方法）。

暗网中的证书售卖主要集中在拉脱维亚、立陶宛、爱沙尼亚和英国，卖家甚至提供“代建壳公司”服务。价格不菲，说明攻击的回报其实很高。

由于有真金白银的投入，所以只要CA没有将证书吊销，攻击者就会持续使用好几个月。攻击者也不会直接就签发恶意样本，而是先签发合法样本提高证书信誉度。

同一提交者会在同一时间点，提交多个不同证书签发的测试样本。

交者 E 在 12月21日 14:59 到 15:00 的短短一分钟内，连续提交了 5 个由不同公司签发的 putty 程序。

进一步找到其他测试样本：

测试样本与实际恶意文件出现之间的平均时间差为 75.3 天，这也为防御方创造了时间差。从各方面信息来看，攻击者应该是仿冒了合法公司，通过了薄弱的身份验证流程。

巴基斯坦APT组织如何武器化WinRAR漏洞 ⭐

像 WinRAR 这种泛用型软件爆出 1day/0day，全球攻击者会快速在武器库中投入使用。

印度政府与军方正在从 Windows 过渡到基于Linux开发的国产操作系统，所以攻击者也对应开发了Linux平台的攻击。

可以发现其Linux Stager与APT 36的样本逻辑高度一致：

Crimson RAT是APT 36的核心武器：

研究人员发现攻击者的服务器 campusportals.in 存在目录遍历漏洞。直接在浏览器中就能看到攻击者存放的恶意 HTA 脚本、诱饵文件等后端资源。

跳转微信打开

Virus Bulletin 也是老牌会议，2025 年大家聚在一起聊了什么？

Virus Bulletin 也是老牌会议，从 1991 年就开始举办，历经三十余载。2025 年的 VB 是在德国柏林举办的，为期三天。各国各公司的安全专家齐聚一堂，分享对全球威胁的理解与发现。

若是通过本文的介绍，或者是查看官网议程安排后，对其中某些议题感兴趣的话，就可以在官网下载议题对应的材料进行扩展阅读。（PS：笔者根据自身的认知局限与好恶为部分议题打了推荐查看的星级，不代表对议题实际内容高下的评判，只是为部分时间宝贵的读者再节约些时间，这部分议题相对来说可能更加值得一看。）

基于LLM和函数级Embedding跟踪IoT僵尸网络血缘 ⭐⭐⭐

源自朝鲜的 IoT 攻击呈稳步上升趋势，国家级APT组织越来越喜欢劫持民用 IoT 设备（路由器、摄像头）作为攻击跳板来掩盖真实来源。

构建了基于 LLM 的深度二进制分析工具DBP-L，它能过滤噪声函数、测量 C 代码相似度、追踪函数历史、分配标签、测量复用率，并提取证据来区分全新威胁还是变种。

反编译为C代码后，进行预处理和分词，再利用LLM进行语义分类，提取Embedding并生成特征向量。

目标文件经 Ghidra 反编译 -> LLM 筛选恶意函数 -> 生成向量 -> 生成函数哈希 -> 在数据库中查找相同的函数哈希获取家族标签。

为了缩小搜索空间，利用嵌入向量并应用向量量化（Vector Quantization）技术，将相似向量映射为相同的短哈希（如7ABBB9）。通过LSH等量化技术，把浮点运算降维成哈希比对，兼顾了模糊匹配能力和极速检索。

C&C消息的演进过程：

完整家族血缘图谱：

Rebirth Reborn 不是一个独立的家族，而是 Demon 家族的直接变异后代。

从编译的 macOS 恶意软件中提取嵌入式脚本 ⭐⭐⭐

原本是脚本（如 bash 或 Python），但被打包成了 macOS 的应用程序包（.app）或可执行文件。

常见的四种将脚本打包为原生应用的主流工具：

Platypus完全不混淆，只单纯套壳，比较简单。

PyInstaller也是相对好识别的：

Electron的应用体积通常会很庞大。

Tauri默认使用 Brotli 算法对 JS/HTML 资源进行压缩并硬编码到 Mach-O 数据段中。

苹果原生的 osacompile 工具可以将 AppleScript 编译成“仅运行”的 macOS 应用程序。

利用Smali字节码的结构特征和控制流狩猎安卓恶意软件C&C指令 ⭐⭐

识别的核心在于检测C&C指令的处理模式，主要有四类处理结构：（1）密集的 if-else 链或 switch-case 块（如 TgToxic, AhRat, Octo）；（2）利用 HashMap 将指令映射到函数（如 XLoader）；（3）将指令存储在大型数组中（如 Copybara）；（4）在单个类中嵌入多个常量字符串（如 Nexus, Cerberus）。

第一类

第二类

第三类

第四类

核心方法论：解析 APK/DEX 的 Smali 操作码-> 统计特定操作码和 API 调用的数量 -> 根据阈值标记可能包含 C&C 指令的函数。工具必然存在误报，例如某个提取出的函数包含了rotationX, translationY, alpha 等字符串。这其实是 Android 原生 UI 动画库处理属性切换的合法代码。但这在可接受范围内，因为初衷是为了大幅缩小分析师的检索范围。

Hook伪随机数生成器恢复加密密钥 ⭐⭐

列举了36年来勒索软件的演进，从 1989 年的 AIDS Trojan，到 WannaCry、Conti、Babuk，再到 2025 年结合 AI 的最新变种。

伪随机数生成器生成密钥后，一旦对称密钥在内存中被加密并丢弃，如果没有黑客的私钥，数据实际上是不可恢复的。

两种加密机制：

这两种方式都各有拥趸：

使用开源的minhook库在用户态拦截了 SystemFunction036 的调用。一旦有程序调用它生成随机数，Hook 程序就会静默地将生成的随机字节记录到一个指定的日志文件中。

POC确实可以实现解密：

揭秘印度背景的APT组织蔓灵花 ⭐⭐

蔓灵花的核心画像：具有印度背景；目标为政府、国防和能源部门；常利用被入侵的政府账号或免费邮箱发信；滥用 Let's Encrypt 证书；利用计划任务建立持久化；武器库包含 C++ 和 .NET 的远控木马（RAT）以及CHM 帮助文件。

蔓灵花的鱼叉邮件紧跟地缘政治热点，如伪装成中国国防部/外交部发给驻华武官的涉外规定信件、伪装韩国外交部发送韩国戒严令局势说明等。

将主机名和用户名明文或简单拼接放在 URL 参数中，是此类南亚 APT 的典型特征。

通过“键盘级操作”活跃时间、DNS请求活跃时间、证书签发时间、域名注册时间分析，可以发现攻击活动高度集中在印度标准时间周一至周五的上午9点至下午6点左右。

其武器库中有较多恶意软件，说明他们有专职的研发团队在持续开发所需的各种类型恶意软件。

对比了不同时期的恶意软件的C/C++代码，都调用了 GetComputerName、GetUserName，并通过查询注册表SOFTWARE\Microsoft\Windows NT\CurrentVersion 来获取ProductName。

各种恶意软件间共用了字符加减混淆、字符异或混淆、AES加密等方式：

在多版本的MuuyDownloader间，攻击者只是微调了代码，例如只是修改了受害者系统信息的拼接分隔符。

深入分析发现其使用的BDarkRAT实际上是抄袭自黑客论坛上有着十几年历史的开源C#远控木马DarkAgent RAT，这样可以在攻击时混淆溯源视线。

为了隐藏意图，攻击者将原本明文的C&C 控制指令（如 "Delete File"）替换成了数字代号。

Muuy从C&C服务器下载的Payload，是PE文件头破损的文件。下载时故意缺失了 PE 文件头部的第一个字节 M（0x4D），而在写入受害者磁盘时Muuy 会手动将这个 M 补全。

分析报告发布后，APT 组织往往会立刻切断暴露的攻击基础设施并进入静默期，随后进行武器库的“升级改造”。

WhisperGate的归因故事 ⭐⭐

在物理军事冲突爆发前夕及初期，伴随着高频、高烈度的关键基础设施破坏。WiperGate 的目的不是为了勒索经济利益，而是纯粹的系统瘫痪和制造社会恐慌。各大安全厂商各自为战的命名体系导致同一个组织出现十几个别名。随着时间推移、证据链完善（结合司法监听），真正的操作者才逐渐浮出水面。

列举了归因攻击的多个维度：1失陷指标 (IoC，如哈希/IP)；2战术技术与程序 (TTPs)；3代码复用与演进；4变量名/语言特征；5攻击者的操作失误；6开源情报追踪；7攻击目标与动机；8地缘政治背景；9文化和时区指标。