监测发现Kimsuky组织攻击：攻击者利用钓鱼邮件投递伪装保险金融文档的恶意文件，并污染开源代码仓库实施供应链攻击，目标覆盖韩日越德等国，涉及保险金融、科研等领域。

APT-C-55

  Kimsuky

APT-C-55（Kimsuky）组织，也被称为MysteryBaby、BabyCoin、SmokeScreen、BabyShark、CobraVenom等多个别名，最早由Kaspersky在2013年公开披露。长期以来，该组织专注于对韩国的智囊团、政府外交部门、新闻媒体和教育学术机构等进行网络攻击。在过去几年中，Kimsuky的攻击范围已经扩大，目标包括多个国家和地区。其主要目的是进行情报窃取活动，以获取关键的政治和军事情报。

在日常监测与分析过程中，我们捕获到Kimsuky组织近期发起的多起攻击活动。攻击者通过钓鱼邮件投递伪装成保险、金融文档的恶意文件，同时污染开源代码仓库实施供应链攻击，目标覆盖韩国，并疑似涉及到多个国家，涉及保险金融、科研开发等领域。一旦入侵成功，攻击者可在受害者毫不知情的情况下长期控制主机，持续窃取系统配置、账户信息、业务文档等敏感数据，对目标机构的信息安全构成严重威胁。

一、目标

本次活动中提取到的诱饵文档呈现明显的多语种、多区域投放特征。数量上以韩文诱饵为主体，主题高度集中于保险与金融业务线，包括보험서류（保险文件）、자금집행첨부자료（资金执行附件资料）、채권양도계약서（债权转让合同）、소득월액보험료_동의서_개정(안)（月收入保费同意书·修订案）等。

在韩文之外，同时发现日文、越南文、德文和英文诱饵：日文如契約書_DS4092452_974520274（契约书），越南文如Hợpđồngmuabán_2745011321（买卖合同），德文如Kaufvertrag_CS520423048_828429484/Kaufvertrag_MS560482056_928030948（买卖合同），英文如ContractAgreementDS9092452_294635744、InsuranceDocumentsFS805238_3084618338。整体上以韩国为主要目标，并疑似涉及到其他国家或地区。

图 1 诱饵文件图示

二、攻击活动分析

1.攻击流程分析

本次攻击活动呈现出多路径、分阶段的复杂攻击特征，攻击者采用三种不同的初始投递方式，但最终均指向长期驻留与信息窃取。三种攻击方式在技术手法上存在显著差异，但在持久化机制、工具链复用和数据窃取逻辑上高度一致。第一种通过钓鱼邮件发送恶意的快捷方式，受害者打开后恶意程序在后台运行，自动下载后续攻击组件并定时向攻击者服务器回传系统信息和个人数据。第二种同样使用伪装快捷方式，通过PowerShell脚本从远程下载恶意载荷，回传用户信息并持久化驻留。第三种通过污染开源代码库，开发者在不知情下安装被篡改的Python库，运行测试时触发隐藏后门。三种方式均能在受害者毫无察觉的情况下长期控制主机、持续窃取敏感数据。

图 2 攻击流程图

2.攻击组件分析

钓鱼邮件

攻击者通过钓鱼邮件释放恶意LNK文件，该文件将base64编码的恶意脚本写入临时文件，利用复制的certutil.exe将其解码为批处理脚本并执行，通过合法系统工具和随机文件名规避检测。

图 3 第一阶段脚本代码示例

释放的第二阶段BAT脚本先进行反调试检查，若检测到调试进程则立即退出。

图 4 第二阶段反调试代码示例

随后在C:\Users\Public\Videos\Samples\目录下部署恶意文件，写入三份配置文件，包括攻击者掌握的仓库路径、后续载荷名init.dat以及令牌。

图 5 写入配置文件

把certutil.exe复制到%temp%下改名为ce<随机数>.exe，后续下载、解码全走这个副本。并从仓库下载后续诱饵文档，另存为LNK同名诱饵文档并自动打开，若下载失败，则写入“Can not open document”伪装成文档打不开的提示，避免受害者起疑。若该PDF已存在，说明主机此前已被感染，直接打开文档、自删除退出，不重复感染。

图 6 下载诱饵文档

图 7 诱饵文档示例

脚本正文中内嵌一大段base64编码的批处理，写入.tmp后用certutil副本解码为Samples\ini<随机数>.bat。目录下的mark.ini（内容jap）作为感染标记：解码前先检查它是否存在，存在即说明已释放过，直接跳过，保证整个流程只执行一次。

图 8 嵌入base64编码代码示例

从同一仓库下载token.dat，实际为nircmd程序(小型命令行实用工具)，保存为Samples\ntoskrnl.exe。下载后先读文件开头，检查是否以<html开头的GitHub 404报错页，确认下载成功才继续，否则转入备用方案。

图 9 下载命令行工具

为了实现任务持久化，先删除同名旧任务，再用schtasks创建名为MicrosoftUpdate_<随机数>的计划任务，每9分钟执行一次下载的组件ntoskrnl.exe，并把上文释放脚本的路径作为参数（exec hide）传给它，实现长期驻留。

图 10 建立计划任务

若组件下载失败，则使用备用方案，生成VBS。其中CreateObject("WScript.Shell")先用字符5打散混淆、再统一剥掉还原。VBS以无窗口方式运行释放的脚本，同样注册成9分钟一次的计划任务，改用wscript.exe执行。

图 11 备用方案代码示例

收尾时删除certutil副本、base64临时文件，以及第一阶段的落地文件，最后删除脚本自身。

图 12 清理痕迹代码示例

第三阶段BAT脚本，由计划任务每9分钟拉起一次。从第二阶段落盘的三份配置文件中取回C2信息。

图 13 第三阶段读取配置文件代码示例

从注册表读取Windows安装时生成的全局唯一标识MachineGuid（位于HKLM\SOFTWARE\Microsoft\Cryptography），拼上.dat后缀作为文件名。

图 14 从注册表读取信息

第三阶段延续前两阶段的手法，把certutil.exe复制到%temp%改名为con<随机数>.exe，把curl.exe复制到Samples目录改名为task<随机数>.exe。构造github下载地址，优先用curl副本下载init.dat，失败则用certutil的urlcache兜底。通过校验后用certutil解码为批处理，再检查内容是否以jap开头，最后以call方式执行并把token作为参数传入。

图 15 下载后续载荷

紧接着以同样的流程下载第二路载荷<MachineGuid>.dat。

图 16 下载第二路载荷

执行完毕后，删除certutil副本、curl副本、两路载荷的下载临时文件和解码出的批处理。该脚本每9分钟都会重新走一遍完整流程。

图 17 清理痕迹代码示例

另一份第二阶段BAT脚本的变种则从仓库下载WinRAR程序，随后用来解压check.dat，该脚本的主要功能仍是下载init.dat脚本。

图 18 第二阶段变种脚本示例

init.dat主要是通过系统命令采集主机名、账户列表、进程表、系统信息、网络配置及用户/程序目录的目录树，汇总写入临时文件。样本滥用certutil.exe与curl.exe的副本下载并外传数据，将采集结果以受害者ID命名，经HTTP POST上传至攻击者掌握的远端服务器，完毕即自删全部临时文件清除痕迹。

图 19 收集信息代码示例

恶意LNK

攻击者同样使用伪装成韩文保险文件PDF的恶意LNK快捷方式文件，实际会调用PowerShell执行载荷。PowerShell载荷经过双重十六进制编码嵌套。

图 20 powershell载荷代码示例

解码后的功能写入本地脚本C:\Users\Public\e7wSF5W3omy51To.ps1，创建计划任务持久化，并从远程加载并打开诱饵PDF。

图 21 解码后代码示例

图 22 诱饵文档图示

写入的脚本从C2服务器mf3goke.getenjoyment[.]net下载远程载荷，回传用户域和用户名，写入%APPDATA%\Microsoft\gertg4wf.ps1并执行，5秒后自删除。

图 23 回传信息

供应链投毒

攻击者克隆了真实存在的开源量化回测库pybroker，把恶意代码伪装成正常开发文件。用户从GitHub克隆恶意库后，一旦运行测试，因为pytest会自动加载被篡改的tests/conftest.py，而它在导入的瞬间就读取同目录下那个恶意的环境变量.env文件，使用0x5A作为密钥XOR解密并执行其中的函数。

图 24 xor解密.env的代码示例

解密的python脚本从github仓库下载key.enc，用文件里硬编码的AES-GCM密钥解密后保存为C:\Users\Public\1.bat，再以cmd.exe/c无窗口方式运行，从而在开发者机器上植入后门并执行后续载荷；整个过程在非Windows上不触发、返回值也伪装成正常的随机数种子，是一次借"跑测试"触发的针对开发者的供应链投毒。

图 25 解密后的恶意python代码

由 Python 下载、解密并执行的脚本通过字符串拼接构造攻击者的 GitHub 下载地址作为 C2，滥用系统自带的certutil.exe/curl.exe副本下载三份文件，包括工具WinRAR(r.dat)、定向载荷real.dat(nircmd程序)、加密包check.dat；并用RAR程序解压得到后续脚本，再创建计划任务实现持久驻留。check.dat 解压出的脚本同上文一样下载后续系统信息收集脚本。

图 26 下载后续载荷代码示例

系统信息收集脚本的两个C2地址均通过多次字符串拼接构造，伪装成Python社区相关站点，意图混入正常流量规避对完整URL的静态检测。还原后为：

http://pythons.mywebcommunity[.]org	签到、回连
https://pythoncomunity.wasmer[.]app/wp-content/uploads/	数据回传

通过reg query读取注册表MachineGuid，拼接用户名_token并去空格，构成受害者唯一指纹，注入两个URL的userid/sessid参数。这一设计使攻击者服务端能精确关联每一次回传与具体机器、具体用户、具体投放活动。

图 27 设置用户标识

将多项信息写入%TEMP%下的暂存文件：受害者指纹、计算机名、系统版本（ver/systeminfo）、本地账户（net user）、进程清单（tasklist）、网络配置（ipconfig）、最近文档、用户目录及已装软件，形成完整主机画像供攻击者甄别目标价值。

最后用改名curl向https://pythoncomunity.wasmer[.]app/wp-content/uploads/?sessid=<指纹>发起multipart POST请求，将信息文件上传。

图 28 收集用户信息

三、归属研判

综合攻击目标、技术手法、工具特征等关联分析，我们认为此次攻击活动归属于APT-C-55（Kimsuky）组织。本次攻击投放的诱饵文档以韩文保险金融材料为主体，涉及金融、科研等领域，窃取内容包括系统配置、账户信息等敏感数据，具有典型的情报收集特征，与Kimsuky组织长期针对韩国及周边国家实施窃密活动的战略目标高度一致。攻击者广泛滥用certutil.exe、curl.exe等系统工具副本，采用计划任务持久化，使用公共目录驻留，这些技术手法已成为该组织的标志性特征，与历史攻击活动中的TTP高度吻合。我们综合判定，本次活动归属Kimsuky组织。

附录IOC

c670159a21ee9757f3aa0e94359904d8

bb70e1370ea92d37c7a9924f30b75cab

447818716f682661ed389b45abbcf5dd

7ac672d5bec2b1992f8275a72975e8cd

0dfa4f7ad24afa76b1a217bb28932a1a

d716d26e5b95b201b96c2d81baabf4e9

mf3goke.getenjoyment[.]net

pythons.mywebcommunity[.]org

pythoncomunity.wasmer[.]app

babiest26@outlook[.]com

davidmaximy@proton[.]me

dustinharrise91@outlook[.]com

hazama09093@outlook[.]com

jamestony88@proton[.]me

jfepgd@ejovan3439fjkls94[.]online

leomsoite@gmail[.]com

murayamasi26@outlook[.]com

payuser2026@outlook[.]com

tilang4220@fearest5240[.]online

xufeng.wangsui@hotmail[.]com

yaosiyaosi26@hotmail[.]com

youth3920@outlook[.]com

zhejiong.hangjou@hotmail[.]com

360高级威胁研究院

360 高级威胁研究院隶属于360安全能力中心，负责高级威胁高位能力研究。集结顶尖 APT 威胁狩猎专家，专注于高级威胁的发现、防御、处置和研究，曾在全球范围内率先捕获双杀、双星、噩梦公式等多起业界知名的 0day 在野攻击，独家披露多个国家级 APT 组织的高级行动，赢得业内外的广泛认可，为 360 保障国家网络安全提供有力支撑。

跳转微信打开

近期360反勒索团队接到多起Sorry勒索家族新变种反馈，感染规模达数千例且攻击仍在持续，加密数据覆盖数据库、备份、文档和源码，样本分析确认该变种正处于快速活跃期而非偶发事件

一、样本分析

本次，我们基于捕获的一个真实样本进行分析。分析用例的具体样本信息如下：

1. 基本信息

该样本并没有进行过多伪装，程序本身没有图标，并且也没有任何数字签名信息。但在文件信息层面，该样本依然进行了一定程度的伪装——其自称是微软公司开发的图片代理服务程序（Photos Agent Service）。

2. 执行准备

样本执行后，会先检查当前设备的网络情况，之后再获取当前设备的计算机名、用户名、IP地址、处理器数量等基本信息，并判断当前环境是不是真实环境（非分析测试环境）。

完成环境判断后，会尝试停止当前设备正在运行的数据库进程，以方便后续对数据库文件的加密操作。

此外，该勒索软件还会创建互斥量以防止重复运行。

3. 加密数据

与此前的Sorry家族不同，本次捕获的样本更新了用于加密数据的算法实现方案。样本会在本地进行密钥的初始化生成，其中用于加密各类信息的非对称加密算法采用了 X25519算法。

而用于快速加密各类文件的对称加密算法，则采用了XChaCha20-Poly1305算法实现。

在完成各类密钥的初始化操作后，勒索软件会遍历当前设备的磁盘，进行数据加密操作。

本次用于分析的样本在具体执行加密操作时，对设备的数据文件共进行了三轮扫描，并根据文件类型分批次进行加密。

其中，第一轮加密的文件扩展名均为各类常见的数据库文件（共28个扩展名），可见作者对数据库的重视程度。

而第二轮扫描中，勒索软件的目标则转变为常见的文档及影音类文件（共59个扩展名）。

最后的第三轮扫描则为收尾工作，将其他类型的有价值文件类型全都覆盖了进去（共357个扩展名），扩展名数量非常庞大。

此外，在扫描过程中，勒索软件还会排除一些路径及文件，不对特定路径或文件名的文件进行加密。包含如下字符串的路径被排除：

"\ProgramData\"、"\$Recycle.Bin\"、"\System Volume Information\"、"\Recovery\"、"\Boot\"、"\PerfLogs\"、"\MSOCache\"、"\Intel\"、"\AppData\Local\Temp\"、"\AppData\Local\Microsoft\"、"\AppData\Local\Google\Chrome\"、"\AppData\Local\Mozilla\"、"\AppData\Local\Packages\"、"efi.boot"、"efi.microsoft"、"all users"、"node_modules"、".git"、"recycle.bin"、"system volume information"、".trash"、".cache"、"__pycache__"、"ieidcache"、"appdata"、".recovery"、"local settings"、"site-packages"、"test_importlib"

被排除的文件名如下：

"desktop.ini"、"thumbs.db"、"ntuser.dat"、"ntuser.dat.log1"、"ntuser.dat.log2"、"ntuser.ini"、"bootmgr"、"bootnxt"、"pagefile.sys"、"swapfile.sys"、"hiberfil.sys"、"iconcache.db"、"autorun.inf"、"hello.txt"

4. 收尾工作

最终，勒索软件会在完成加密操作后，释放勒索信文件hello.txt，其内容已经提前内置于代码中。

最终的完整勒索信内容如下：

二、防护建议

根据本次Sorry勒索软件新变种的特性，我们给出如下安全建议。

1）数据备份

• 关键资料优先备份

核心数据库文件、虚拟机磁盘文件、工作办公文档等，务必做到定期离线备份。在条件允许的情况下，尽可能进行多处备份。但网络备份并不保险，本次分析的样本就具有扫描并加密网络磁盘中数据的能力。

• 定期演练

除定期备份外，还需要经常测试备份文件能不能正常打开还原，避免备份损坏。

2）收紧入口

该变种本身虽不会自主传播，但攻击者则会复用老的入侵渠道，进行攻击并部署勒索软件。有鉴于此，需要网络管理人员对潜在的网络渗透入口进行严格管控。

• 尽量不要把远程桌面、VPN、各类管理端口直接暴露在公网上；

• 杜绝弱口令/密码，登录口令及各类密码不要过于简单，不同设备不共用一套密码；

• 服务器、办公主机减少对外的高危端口开放，减少被黑客钻空子的机会。

3）账户权限管控

• 数据库、备份工具要使用独立专用账号，日常工作中，不要用最高权限管理员账号登录业务电脑和服务器。

• 该勒索程序获取高权限后，会主动关闭MySQL数据库进程、停止数据库相关服务，之后再加密文件。因此，缩小普通账号权限，也能在一定程度上限制其关停业务服务的操作。

4）安全检测与阻断配置

• 网络层面，建议对各类未知网络访问及可疑协议的通信进行重点监控，并在必要时进行告警或拦截。

• 终端防护上，需要部署有效的杀毒或EDR终端安全工具。并可根据情况对该勒索样本哈希值、程序互斥量、勒索信文本等特征进行配置，在程序运行早期直接阻断执行。

5）事后处理

• 不要寄希望于付费解密。没有攻击者私钥，被加密的真实业务文件无法解密。

• 该变种本身并不具备删除系统卷影副本的功能，所以中招后可第一时间尝试从系统卷影副本中恢复文件。若不成功，再尝试从其他备份恢复。

• 发现感染，立刻隔离主机，断开网络并留存取证信息，优先从干净备份恢复业务。

此外，我们强烈建议不要向攻击者支付赎金。就算给了赎金，也不能保证对方一定会提供解密密钥。攻击者使用TOX匿名通讯，拿到赎金后还可能开展进一步诈骗、社工骚扰。

三、反馈入口

随着当前AI技术的普及与勒索攻击的深度结合，勒索攻击在全球范围内均呈现出高危高发态势。为此，360近期在“远控勒索急救”工具中新增了“勒索反馈”入口，首次明确无差别支持全设备平台勒索事件的反馈与响应。

也就是说，任何受害用户，无论使用的是何种操作系统，也无论在中招前是否已经安装了360的产品，都可以在遭遇勒索攻击后，联系我们的安全专家尝试解决问题。

Sample Hash

MD5: 819e0d56c53a294befbb5ff879ec8886

SHA1: 47219f67d14f806efa039d63cff179128b1996cd

qTox ID

7584478F2ACF7AA64AFFAA5A6D486B83706F1602B2C2617A60287B1FB12E9A284B369A2AD0F4

IP Address(ICMP)

64.227.34[.]0

跳转微信打开

近期360捕获到 Kimsuky 组织攻击活动，其通过恶意LNK文件和PowerShell投递，经环境检测、内存加载载荷后，利用伪装成Chrome更新的计划任务实现持久化，以达到长期控制目的

二、攻击活动分析

1.攻击流程分析

Kimsuky组织首先通过伪造的恶意安装包投递LNK文件，LNK利用自身隐藏数据解密还原PowerShell恶意脚本。脚本启动后首先进行虚拟机、沙箱及安全分析环境检测，若发现异常环境则自动退出以规避分析；确认目标环境后，进一步收集受害主机系统信息、进程列表等数据，并上传至攻击者控制服务器。随后脚本从 C2 服务器下载第二阶段恶意载荷，下载文件通过伪造文件头等方式进行隐藏，并在内存中完成修复、解压及 .NET 程序加载执行，避免传统基于磁盘文件扫描的检测。执行过程中，恶意程序会通过 HTTP 请求向服务器回传运行状态，同时通过创建伪装为“Google Chrome 更新”的计划任务实现开机自启动和周期性执行，最终加载远控木马，实现对受害主机的持续控制。

2.载荷投递分析

本轮攻击行动中，Kimsuky组织利用安装包的方式投递恶意LNK载荷，后续LNK攻击方式基本一致，故本次以恶意安装包为例进行分析，样本信息如下所示：

MD5	04272144d33668f99f7cf2255289e351
文件大小	5.66 MB (5934592字节)
文件名	OrionQuests-Setup.exe

该样本是一个.net程序，编译时间也被攻击者修改。受害者一旦点击运行安装，便会从资源数据OrionSetup.payload.enc中提取有效载荷。

具体做法是读取base64编码的OrionSetup.payload.enc数据然后进行AES解密得到压缩包数据。

接着对压缩包进行解压得到正常安装文件和恶意lnk文件并运行。

其中运行后打开的OrionLauncher程序安装页面如下，以迷惑用户。

lnk文件信息如下:

MD5	3c64c75c9e6a3da7fbc766deb2081219
文件大小	22.89 KB (23439字节)
文件名	guide.url.lnk

Lnk携带base64编码的参数，如下所示：

解码后，其主要功能是从自身偏移读取指定大小的数据然后进行异或解密得到恶意载荷并保存为powershell脚本执行。

脚本首先进行反分析检测，检查42个安全工具进程名（如idaq64、x64dbg、ProcessHacker、Fiddler等）和多种虚拟机环境标识(VMware/QEMU/KVM/Google Compute Engine)，发现则退出。

然后通过计划任务伪装成“Google Chrome 更新”等方式实现持久化驻留。

接着通过Win32_ComputerSystem/Win32_OperatingSystem/Win32_Process收集计算机名、域名、制造商、型号、内存、OS版本、所有进程信息,并将收集的系统信息通过HTTP POST发送到http[:]//217.60.36.94/unicorn/mort.php。

样本在访问攻击者服务器过程中，针对InfinityFree免费主机的 JavaScript反机器人验证机制进行了绕过。由于该服务器要求客户端执行JavaScript生成合法Cookie后才能返回真实内容，样本通过下载服务器返回的验证脚本，并对其中浏览器执行逻辑进行修改，将其转换为可由 Windows自带cscript工具执行的本地JavaScript，从而自动计算并获取验证Cookie，模拟正常浏览器访问流程，绕过服务器访问限制并继续获取后续恶意载荷。

然后执行内嵌base64编码的数据，

该段脚本继续从服务器下载uni.txt数据。

uni.txt依然是powershell脚本，其功能继续从服务器下载test.bef_fri数据文件。

下载的test.bef_fri样本采用文件类型伪装技术（File Type Masquerading），通过将文件头伪装为 RTF 格式，使其表面属性与实际用途不一致。该技术可降低部分基于文件类型、扩展名及静态特征检测机制的识别能力，从而提升攻击载荷投递的隐蔽性。

接着修复文件头进行解压缩得到真正的palyload，最后进行反射加载并执行.NET程序集。

3.攻击组件分析

由test.bef_fri文件修复解压后得到载荷信息如下：

MD5	7479bedf5813a1527199f8958e898d19
文件大小	61.50KB (62976 字节)
文件名	test.bef_fri

该载荷是一个经过高度混淆的C#模块化后门框架，采用了随机/乱码标识符、方法名混淆以及大量无意义字符串拼接等手段来对抗静态分析。程序的入口位于loader.Program.Main，它先挂载 AssemblyResolve 回调，再调用Stella_Gary.Program.Main().GetAwaiter().GetResult()，表明主程序在托管层实现了反射装载。

Program.Main 会在循环中创建 Socket，固定连接到 107.172.249.140:443。

接着，样本收集系统信息（包括当前用户名、前台窗口标题、系统空闲时间、是否是管理员等）经过AES加密发送到服务器。

建立加密通信通道后接收并执行控制端下发的指令。对于接收的数据进行头解析，第一个字节是压缩标志（0表示无压缩，1表示LANT1压缩），其后四个字节表示数据长度，然后进行AES解密读取指令数据并执行。

若接收的指令数据为C#程序集，支持通过动态插件加载机制扩展功能，攻击者可根据需要远程下发并加载不同插件，实现对受害主机执行更多恶意操作。

三、归属研判

经深度发现本次攻击方式和Kimsuky组织以往TTP存在较大关联，具体表现如下所示：

1.本次攻击行动与我们之前关于Kimsuky组织的报告^[1]中的载荷有较强相似度，甚至可以视为此前载荷的升级版本，具体表现在均为C#载荷，都是建立TCP连接并且获取的数据相同（用户名、操作系统信息、当前运行权限是否为管理员、前台活动窗口标题），还有都是以插件形式加载恶意组件。

2.从lnk样本读取自身数据并单字节解密出powershell脚本的攻击手法和Kimsuky组织相同。

3.本次攻击行动和相关报告^[2][3]的攻击方式也相似，具体表现在lnk攻击方式，解密方式和环境检查以及调试器检测等均相似，而这类报告也将这类似行动归属到Kimsuky组织。

综上，我们较有把握将本轮攻击行动归属到APT-C-55（Kimsuky）组织。

总结

本次本次捕获的 Kimsuky（APT-C-55）攻击行动展现了一条从恶意投递、多阶段加载到持久化远控的完整攻击链，并在此前已知载荷的基础上进行了明显升级。攻击者全程大量滥用合法平台充当通信与分发通道，结合JavaScript反机器人验证绕过、模块化插件架构、内存。

加载等手法，使恶意流量与正常业务通信高度趋同，大幅降低了传统检测机制的识别概率。这些特征表明，该组织的工具链正朝着更隐蔽、更灵活的方向持续演进。因此在这里提醒用户提升安全意识，警惕来历不明的链接和文件，避免因一次无防备的点击而导致机密情报与核心数据泄露。

附录 IOC

MD5

04272144d33668f99f7cf2255289e351

3c64c75c9e6a3da7fbc766deb2081219

7479bedf5813a1527199f8958e898d19

9ae48e0ce0dfcac0245237fa220dd52d

7479bedf5813a1527199f8958e898d19

C&C:

http[:]//217[.]60[.]36[.]94/unicorn/uni.txt

http[:]//217[.]60[.]36[.]94/unicorn/mort[.]php

http[:]//38[.]180[.]204[.]13/unicorn/mort[.]php

http[:]//38[.]180[.]204[.]13/unicorn/uni.txt

107[.]172[.]249[.]140[:]443

参考链接

[1]https://mp.weixin.qq.com/s/Ibz3FeA7twg-VCujA3cV_g

[2]https://dev.to/excalibra/north-korea-linked-hackers-use-github-as-c2-infrastructure-to-attack-south-korea-47aa

[3]https://www.fortinet.com/fr/blog/threat-research/dprk-related-campaigns-with-lnk-and-github-c2

360高级威胁研究院

360 高级威胁研究院隶属于360安全能力中心，负责高级威胁高位能力研究。集结顶尖 APT 威胁狩猎专家，专注于高级威胁的发现、防御、处置和研究，曾在全球范围内率先捕获双杀、双星、噩梦公式等多起业界知名的 0day 在野攻击，独家披露多个国家级 APT 组织的高级行动，赢得业内外的广泛认可，为 360 保障国家网络安全提供有力支撑。

跳转微信打开

APT‑C‑56（透明部落）为南亚背景 APT 组织，针对印度及周边国家实施网络间谍活动，擅长社会工程投毒，自研 CrimsonRAT 等远控工具。360 高级威胁研究分析中心捕获其两类共用基础设施的载荷，借助 LNK 与脚本链路加载后门，窃取敏感数据。

近期，360高级威胁研究院捕获到了APT-C-56(透明部落)组织投递的两类截然不同，但共用同一个网络基础设施的攻击载荷。

其投递的多类攻击载荷均采用LNK文件结合脚本执行链路，最终加载CrimsonRAT后门或其自研Golang远控程序，实现对目标主机的持续控制和敏感信息窃取。

1.攻击流程分析

本次攻击活动主要涉及两类攻击载荷，攻击者均采用“诱饵文件+快捷方式文件+脚本执行”的多阶段加载方式进行传播。攻击者首先通过伪装后的镜像文件或压缩包作为诱饵，引导目标用户打开其中携带的LNK文件。用户执行LNK后，进一步触发隐藏的BAT脚本，利用脚本完成后续恶意代码加载与执行。该攻击活动包含两条主要攻击链：其一通过释放并运行CrimsonRAT后门程序，实现对受害主机的远程控制与信息收集；其二则加载“透明部落”组织自研的Golang远控木马，依托建立的远程通信通道完成主机控制与敏感数据窃取。两类攻击路径虽载荷与实现机制各异，但核心战术目标高度一致，均旨在夺取系统权限、维持持久化访问并实施定向情报窃取。

2.恶意载荷分析

2.1.ISO文件分析

ISO镜像文件的具体信息如下：

该镜像文件中内嵌了一个名为“My Resume.pdf.lnk”的LNK文件和一个名为“doxc”的文件夹。

在名为“doxc”的文件夹内共包含四个文件：一是伪装为PDF文档的“doxc”文件，二是“doxc.bat”批处理脚本，三是CrimsonRAT后门木马的“doxcm”文件，四是名为“My Resume.pdf.lnk”的快捷方式文件。其中两个名为“My Resume.pdf.lnk”的LNK文件目的都是为了执行doxc.bat文件。

当执行doxc目录外的“My Resume.pdf.lnk”之后，会通过cmd.exe执行“doxc\doxc.bat”BAT脚本文件。

doxc.bat首先会将伪装文件“doxc\doxcm”复制到“C:\ProgramData\My_Resume.pdf”并打开，以迷惑受害者。

伪装文件的内容如下：

接着将名为“doxc\doxc”的后门程序复制到C:\ProgramData\目录下，并创建“%APPDATA%\hzwzucr_widsisa.exe”硬链接，硬链接指向刚刚复制的“C:\ProgramData\doxc”文件，最后执行hzwzucr_widsisa.exe，实际上也就是执行“C:\ProgramData\doxc”文件。

“doxc”文件是一个CrimsonRAT后门程序，该程序由C#编写，是APT-C-56(透明部落)组织经常使用的后门程序之一。该文件具体信息如下：

doxc是一个名为CrimsonRAT后门程序。Doxc运行后首先会读取存储在静态数组的C2服务器地址（93.127.133.151@sharema128.net），然后通过@符号进行分割。

初始化C2服务器地址之后，通过Connect方法和服务端建立连接

当建立好和C2服务端的连接之后，然后调用this.sewmishxp()分发执行命令。

CrimsonRAT后门支持的功能如下

2.2.ZIP文件分析

ZIP压缩包信息如下：

“Document_Detail.zip”文件包含一个名为“Documents_Details.lnk”的LNK文件和一个名为“`”的文件夹。

在“`”文件夹中包含一个名为“config.bat”的BAT文件，一个“Documents_Details.pdf”伪装文件，和一个名为“windowSysUpdates.txt”伪装成文本的可执行文件。

当受害者执行“Documents_Details.lnk”文件，就会后台执行“config.bat”文件

“config.bat”文件内容如下：

首先，该脚本会删除当前目录下第一个.lnk文件，以清除痕迹，然后切换到名为“`”的目录，打开第一个.pdf文件用以迷惑受害者。伪装内容如下

然后将第一个windowSysUpdates.txt重命名为“GymTraniningShedule.exe”文件，创建“%LOCALAPPDATA%\SystemFolder32”目录，将“GymTraniningShedule.exe”文件移动到“%LOCALAPPDATA%\SystemFolder32”目录下用以隐藏攻击载荷，最后执行攻击载荷，并删除自身文件用以销毁痕迹。

windowSysUpdates.txt文件信息如下：

windowSysUpdates.txt是一个使用Golang编写的远控木马程序。当执行之后，首先会调用main.addToFitnessRegistry进行持久化，该函数实现了两种独立的持久化方式。第一种是通过“reg.exe add”或者“powershell.exe -Command New-ItemProperty”在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下创建名为 DailyFitnessTracker 的值的方式实现持久化。

第二种是将自身复制到 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\FitnessMonitor.exe实现持久化。

接着通过遍历测试内置的C2服务器列表，寻找可用的C2服务器地址(monitorondomainwintgt2.store和monitorondomainwintgt.store)。

然后通过测试网络tcp连通性，访问/api/gym-facility，/api/gym-membership接口来等待服务端响应。

当服务端响应之后，通过使用POST方法注册客户端。程序会调用getFitnessProfile函数获取包括操作系统类型，系统版本，强度级别，本地地址，国家代码，国家名称，安全软件名称，主机名，用户名等系统信息并打包为JSON格式发送给服务端。

此外，程序还会调用main.generateAuthHeader函数生成基于时间的认证头，格式为SHA256(secret:timestamp):timestamp，其中secret为硬编码字符串A9@mK7#xP2$vL8!nQ5*wB3^eR6&tY1（30字节）。

最后将生成的认证头附加在API请求的auth参数中，将其通过POST方式发送到“api/gym-membership?client_id”接口实现客户端注册，client_id为用户名。

完成客户端注册之后，进入工作线程，该函数会创建3个定时器，main.checkCoachInstructions定时器用于轮询C2指令，main.checkServerRecognition用于检查服务端状态，main.testConnectionHealth 测试连接健康。其中main.checkCoachInstructions函数会通过访问/api/coach-instructions接口获取命令，当获取到服务端返回的命令后，调用main.processCoachInstruction函数解密并分发。目前一共支持4个命令。

通过对本次攻击活动的相关信息进行深入分析，我们将这两类攻击归属到APT-C-56(透明部落),理由如下：

1、攻击者投递的ISO镜像文件内置CrimsonRAT远控木马，该工具系APT-C-56（透明部落）组织长期惯用的核心攻击组件，具备显著的组织级技术特征；

2、CrimsonRAT载荷回连的基础设施IP（93.127.133.151），经反查关联至特定域名（monitorondomainwintgt2.store），该域名与同期捕获的go载荷共用的C2服务器完全一致，呈现出典型的基础设施复用特征；。

3、样本上传源地定位为印度（IN），与该组织长期聚焦南亚地区、针对特定国家及关键机构开展网络窃密活动的情报指向高度一致；

4、LNK文件中提取的Machine ID标识（desktop-mhp）与该组织历史活动使用的标识符一致。

综上，攻击者使用的指纹信息、载荷类型、攻击目标、网络基础设施等多维度证据形成完整交叉验证，充分证实此次攻击活动属于该组织的持续性APT行动。

跳转微信打开

UAC‑0099长期针对乌克兰实施网络攻击，常完成初始入侵后移交 APT‑C‑13 深度作战。2026 年该组织更新 TTP，构建多阶段攻击链。360高级威胁研究院近期捕获到UAC-0099组织的一次具体攻击活动，并结合其同类样本，分析还原其攻击链全貌。

360高级威胁研究院近期在日常情报挖掘中捕获到UAC-0099组织的一次具体攻击活动，为完整还原攻击链全貌，本报告结合从其他UAC-0099活动中捕获的同类样本进行了补充分析。建议相关机构及人员强化钓鱼邮件识别与初始访问防护，加强终端侧行为监控及高价值数据访问控制，有效防范多阶段载荷投递导致的信息泄露与持久化控制风险。

攻击者针对的目标主要集中在乌克兰地区，攻击目标以政府机构、关键基础设施相关组织等定向目标为主。攻击者通过钓鱼邮件投递恶意压缩包作为附件，压缩包内为双扩展名伪装成Word文档的WSF脚本，邮件内容围绕目标关心话题进行伪装，以诱导用户解压并运行其中文件从而中招。WSF脚本执行后再经短链接重定向至文件服务器下载后续载荷。攻击链结合了DLL侧加载、多阶段条件执行与代码虚拟化保护，旨在规避安全检测并隐蔽植入远控。

2.1 初始访问与投递

攻击者通过钓鱼邮件投递包含恶意压缩包的诱饵内容，并围绕目标关注的话题进行伪装，诱导受害者解压并运行附件。压缩包内包含采用双扩展名伪装成Word文档的WSF脚本，受害者打开该文件后，系统通过wscript.exe执行脚本，进而启动后续载荷投递流程。

2.2 下载与执行

WSF脚本作为攻击链的初始入口，执行过程中访问的URL缩短链接为https://cutt.ly/TtXIrg5W，该链接经重定向后指向文件服务器下载后续载荷。

WSF脚本执行后下载包含合法Notepad++程序和恶意组件的压缩包；创建目录%userprofile%\documentscache\notepad\并解压归档内容；启动notepad++.exe触发DLL侧载链，隐蔽完成后续组件的下载与部署。

2.3 DLL侧加载（LUNCHPOKE）

WSF脚本启动Notepad++后，Notepad++自动加载plugins\nppexport\目录下的恶意DLL，触发LUNCHPOKE执行。LUNCHPOKE是一个伪装为Notepad++合法插件的DLL侧载器。

其核心行为包括：创建工作目录%UserProfile%\Libraries\Recorded\（目录名可能变化）；解压带密码的二段载荷压缩包，释放BURNYBEAR和MATCHBOIL.V2。

由释放出的BURNYBEAR创建计划任务实现持久化，该计划任务以每5分钟一次的频率执行，并传入触发参数notepad_updatecheck，任务名伪装为EvernoteNotepad\UpdateTask。

2.4 BURNYBEAR加载器

BURNYBEAR采用了多重保护机制以对抗分析：使用SuppressIldasmAttribute阻止IL反编译器；核心方法采用代码虚拟化保护，使用128+case的switch跳转表实现控制流混淆；所有敏感字符串动态解密，密文存储在嵌入资源中。

通过反射解密还原关键字符串和IL分析，还原出Main方法的完整执行逻辑：

BURNYBEAR是一个条件加载器，需要特定命令行参数notepad_updatecheck才执行恶意行为，加载同目录MATCHBOIL.V2并通过RunClassConstructor触发其静态构造函数。若参数不正确，则休眠100秒消耗系统资源后退出。

2.5 MATCHBOIL.V2后门

MATCHBOIL.V2同样采用多重保护机制。其核心功能由多个类协同完成：

ApiClient负责C2通信，保存运行时传入的服务端地址、固定认证Token和主机指纹，并通过自定义HTTP请求头完成任务请求、配置获取、结果上报和文件下载；

MainFunc负责启动延迟、单实例控制、反分析检查、本地组件状态判断及后续流程调度；

MainWorkClass负责周期性连接C2、执行挑战响应、提取配置和编码载荷、还原压缩包并启动安装流程；

Sand负责反沙箱和反动态分析检测；

SOS通过网络接口和WMI采集主机硬件及系统指纹；

RegexHelper负责C2地址还原、挑战值计算、响应内容解析和载荷字节转换；

WinRarDownload负责获取解压工具并解包载荷；

Tasks则通过Windows计划任务建立持久化。

MATCHBOIL.V2的反沙箱检测链较为完善，包括：Sleep加速检测、磁盘大小检测、事件日志检测、安装日期检测。后续采集MAC地址、硬件序列号、设备型号、用户名和操作系统版本等信息，拼接生成主机指纹，并通过自定义请求头发送至C2，用于识别受控主机。

在C2通信方面，MATCHBOIL.V2使用domain+"/manager/"+GenerateRandomString()构造请求地址，通过Authorization请求头发送固定认证Token，并通过CookieAccept请求头上传主机指纹。通信采用TLS，但证书验证回调始终返回true，导致服务器证书有效性校验被关闭。C2返回的配置和载荷隐藏在自定义文本标记中，样本提取配置并写入%LOCALAPPDATA%\RemoteClient\config.ini，同时将文本形式的载荷还原为二进制文件，保存为%PUBLIC%\Documents\Thumbs.DB，随后重命名为Thumbs.rar。

部署载荷时，样本优先使用本机WinRAR；若未找到，则从https://cdn.imageurlgenerator.com/uploads/4cf30f1d-c473-4a94-854c-ed5059b80876.exe下载备用解压工具。随后使用硬编码密码将压缩包解压至%LOCALAPPDATA%\RemoteClient。解压后的核心载荷为RemoteFileViewer.exe。

综合攻击目标定位、专用工具链特征及开发者地域线索，有较高置信度将本次攻击活动归因为UAC-0099组织。

1.本次攻击中使用的MATCHBOIL.V2为UAC-0099组织早期攻击活动中使用的同类型工具，工具链特征高度一致。

2.攻击目标集中在乌克兰地区，以政府机构、关键基础设施相关定向目标为主，与UAC-0099的历史攻击目标偏好一致。诱饵压缩包使用乌克兰语命名，针对乌克兰语使用者定向投递，复刻了该组织针对乌克兰地区实施情报窃取的惯用手法。

3.反沙箱检测中包含俄文运行时间提取正则，暗示开发者具有俄语背景，与该组织的地域特征吻合。

UAC-0099在历史行动中通常负责初步入侵，随后将高价值目标移交给APT-C-13（Sandworm）组织进行后续攻击，这种分工协作模式进一步印证了其与俄罗斯对乌网络战体系的关联。

跳转微信打开

APT‑C‑06（Darkhotel）自 2007 年起开展攻击活动，2014 年由卡巴斯基实验室首次披露。该组织以高端酒店网络作为渗透载体，针对周边国家政企高管、国防与电子工业关键机构实施持续性情报窃取攻击。

2026年4月，APT-C-06（Darkhotel）使用一个名为“조선중앙텔레비죤실시간방영프로그람해설서.docx”（朝鲜中央电视台实时广播节目解说词）的诱饵文档开展钓鱼攻击活动。诱饵文档的内容介绍了如何安装和使用一个视频应用，该应用用于实时观看朝鲜中央电视台的节目。文档没有使用复杂的技术手段完成初始接入，而是通过诱导用户下载指定应用来触发恶意代码执行。

1指导用户下载安装程序

到5月底，攻击方式升级为通过钓鱼邮件投递包含同样应用的压缩包。

恶意的msi与C06在25年的攻击活动[1]使用的msi有一些不同：不再包含恶意dll，而是通过vbs代码来创建执行Powershell代码的计划任务，进而下载后续载荷执行。

第一阶段msi文件

第一阶段的msi文件没有像攻击者在历史攻击活动中使用的msi文件那样使用CustomAction来加载内嵌的恶意dll，而是直接执行vbs代码。

vbs代码的核心功能是创建两个计划任务：

1.创建计划任务\Microsoft\Windows\AppID\PolicyManager执行tp.ps1，用于驻留并下载执行下一阶段载荷

2.创建计划任务\ScriptingSchedule，执行del kctv.msi;schtasks /delete /tn ScriptingSchedule /F"，用于自删除。

3.创建并写入Powershell代码到tp.ps1文件。

powershell代码中使用的url参数也在vbs代码中构建，其中bb是系统版本，aa是数字列表代表的杀软安装情况，pp是硬编码的标识，xx代表系统平台32位还是64位。

攻击流程图中标注的第一阶段msi文件结构和功能完全相同，仅有的差异体现在两个变量中。两个变量会参与url的构建，具体逻辑可以参考上图。

powershell脚本（tp.ps1）的功能是从远程下载iii文件并执行。从代码的中的执行方式可以看出：iii文件也是一个msi文件。

除此之外，msi文件会安装正常程序VdPlayer.exe及其组件到C:\Programdata\vdplayer目录。

第二阶段msi文件

分析过程中，我们发现了两类名为iii的msi文件。一类和前面提到的kctv.msi功能完全一致，再次下载iii文件并执行。另一类则加载内嵌的恶意dll。

恶意dll首先查找路径C:\ProgramData\0_a^r(9)+!+$&)#，实现方式有些特殊，并没有直接遍历路径后做字符串匹配，而是遍历路径后计算一个hash列表，每级路径名计算一个hash，然后与硬编码的hash列表做匹配，来找到0_a^r(9)+!+$&)#文件。这个文件正是tp.ps1下载的第一个文件。随后读取并解密0_a^r(9)+!+$&)#文件内容，解密时使用chacha20算法。

使用flag定位shellcode数据，使用0_a^r(9)+!+$&)#文件解密后的文件内容作为key，来解密出实际的shellcode。定位flag是一个32字节长度的数据由硬编码的数据解密而来。shellcode解密也使用了chacha20算法。

随后又在解密后的shellcode数据中找到另外两个flag，用两个加密的字符串来替换对应flag数据。类似的加密字符串在APT-C-06（Darkhotel）其它样本出现过，解密后是两个url。

替换完成后则执行Shellcode。我们暂时还没获取到shellcode的解密key，对于shellcode的功能暂时未知。

built.3jkg8d.com

4a88efd00ba8b036ec4642fcecbe6df3

60fd3dbfeb1a44ed2a8ad46113d58262

d033868f7b4374936dc462b0b016abaf

be6d6d01740d210cb16973d81a1fd782

跳转微信打开

2026 年 8 月 4 日，一场代号为 Shai-Hulud（源自载荷中外传仓库描述 "Shai-Hulud: Here We Go Again"）的大规模 npm 供应链蠕虫攻击被发现。

2026 年 8 月 4 日，一场代号为 Shai-Hulud（源自载荷中外传仓库描述 "Shai-Hulud: Here We Go Again"）的大规模 npm 供应链蠕虫攻击被发现。

攻击者控制或滥用 keyv 包维护者 jaredwray 的 GitHub 账户，向 keyv 的 main 分支推送恶意代码，并通过 GitHub Actions 可信发布流程将 keyv@6.0.0 发布到 npm 注册表。该包在安装时通过 preinstall 钩子静默执行一条多阶段攻击链，集凭证窃取、蠕虫自传播、GitHub 仓库感染和Dead Man's Switch于一体。360已监测到部分受影响用户，主要涉及安装或使用了相关受影响版本的开发者终端和构建环境。

本次攻击是 2026 年 5 月 11 日 TanStack 事件中 Shai-Hulud 行动的延续与升级，显示出攻击者在过去三个月内持续增强其能力。FBI 于 2026 年 7 月 2 日已发布 FLASH-20260702-01 预警，明确将 Shai-Hulud 相关恶意软件归入网络犯罪组织 TeamPCP 的武器库。

TeamPCP组织是一个以供应链攻击为核心战术的组织，已实施了多起协调有序的攻击行动。TeamPCP 擅长通过污染广泛使用的开源工具来投递恶意载荷。历史上，其曾成功入侵 Trivy（容器漏洞扫描工具）、KICS（基础设施即代码安全扫描工具）以及 LiteLLM（大语言模型 API 代理工具）等知名开源项目，并利用这些受信任的软件渠道部署凭证窃取类恶意软件。

此次事件已从最初的少量核心包迅速扩散至数百个包、上千个版本，影响范围覆盖高下载量开源依赖、开发者工作站、构建系统和云资源，属于一次兼具入侵、窃密、传播和持久化能力的典型开源供应链攻击。

1.攻击流程分析

攻击者控制维护者的 GitHub 账户或发布链路，向keyv仓库写入恶意提交，并借助 GitHub Actions的可信发布流程，将带有效 SLSA provenance 的恶意版本发布到 npm。受害者在允许lifecycle scripts 的环境中安装受影响版本，package.json 中的 preinstall 自动触发 node setup.mjs。

setup.mjs 先检查本机是否已有 Bun，若没有则从 GitHub 官方 Bun release下载对应平台版本，再解压并启动第二阶段。若本机已安装 Bun，则直接复用。第二阶段JS在 Bun 下运行，进入后台，建立单实例锁，并在非 CI 环境下 detach 自身，尽量减少安装过程中的可见痕迹。载荷系统性收集文件系统、环境变量、SSH、npm、GitHub CLI、GitHub token、AWS、GCP、Azure、Kubernetes、Vault，以及 GitHub Actions runner 内存中的秘密信息。主通道先通过以太坊合约解析可用的 C2 域名，再经 HTTPS /router 发送加密结果。若 C2 返回 code，载荷会在 Bun 进程中直接 eval，形成远程代码执行能力。若主通道不可用，则退回到 GitHub dead-drop 仓库，仓库描述为 Shai-Hulud: Here We Go Again。

一旦拿到 npm token，载荷就枚举该 token 可写的所有包，复制第二阶段载荷与加载器，重写scripts.preinstall，提升 patch 版本，再直接发布，从而把同一恶意链条扩散到其他包。如果拿到 GitHub 凭据，载荷会向可写分支写入 .claude/settings.json、.claude/math_init.js、.claude/setup.mjs、.vscode/tasks.json、.vscode/setup.mjs 等文件，让开发者打开仓库或启动 Claude code/ VS Code时再次触发。

在具备 workflow scope 的 GitHub token 下，载荷会创建临时分支、注入 workflow，并把 secrets 导出到 artifact；在特定 trusted-publishing 场景中，还会借助 OIDC 和 Sigstore 生成看似合法的 SLSA provenance。SafeDep 确认该样本还包含 token-monitor / dead-man's switch，持续轮询 api.github.com/user，当token 被撤销时触发 handler。

下面是该事件时间线整理。

图 1 流程图

2.攻击组件分析

我们以keyv@6.0.0作为示例分析。npm install keyv@6.0.0（或将其作为依赖安装）时，npm 自动执行 package.json 中定义的 preinstall 脚本："preinstall": "node setup.mjs"

图 2 脚本示例

setup.mjs 是obfuscator.io 风格混淆脚本。setup.mjs 是第一阶段加载器，用于准备 Bun 运行环境并拉起第二阶段载荷。脚本先判断系统 PATH 中是否已有 Bun；若不存在，则根据操作系统、CPU 架构及 musl/Alpine 环境下载对应的 Bun 压缩包到 bun-dl-* 临时目录。随后脚本优先调用系统 unzip 解压，Windows 环境可使用 PowerShell Expand-Archive，必要时回退到内置 JS ZIP 解析逻辑。Bun 准备完成后，脚本通过 execFileSync执行第二阶段载荷，执行结束后删除临时目录。

图 3 setup.mjs代码示例

第二阶段载荷(Math_Symbol.js)经过多层混淆和加密。该载荷经过Base91 字符串表、控制流平坦化、PBKDF2-HMAC-SHA256 和 AES-256-GCM等多层混淆/加密处理，解密后包含凭证收集、加密外传、npm自传播和可信发布滥用等模块，可窃取本地、CI/CD、云平台与代码仓库凭据，并利用有效 npm/GitHub凭据继续污染其他包和仓库。

图 4 二阶段载荷混淆加密代码示例

C2 与外传组件不硬编码固定域名，而是通过以太坊合约动态获取 C2 地址，并向 /router 路径发送加密的凭证数据。主通道不可用时，载荷会使用 GitHub publicrepository 作为 dead-drop，仓库描述包含 Shai-Hulud: Here We Go Again，并将加密结果写入 results/目录。该机制依赖 GitHub 和公共 Ethereum RPC 等合法基础设施，提高了通信通道的隐蔽性和抗封禁能力。

在传播阶段，载荷会利用窃取到的 npm token 验证其是否具备 bypass_2fa 和包写入权限，并枚举该 token可发布的包。随后下载目标包最新 tarball，注入 setup.mjs 与 math_init.js，将 package.json 改写为preinstall: node setup.mjs，递增 patch 版本后重新打包并发布至 npm registry，从而使一个高权限 token能够污染维护者名下多个包，推动恶意载荷在 npm 命名空间内快速扩散。

同时，载荷还会利用 GitHub 凭据感染代码仓库。其会枚举可访问仓库及分支，跳过 dependabot/* 和copilot/* 分支，并提交 .claude 与 .vscode 相关钩子文件，使开发者在打开仓库或启动 Claude Code会话时再次执行加载器。相关提交伪装为 chore: update config，并可包含 Co-authored-by: claude，以降低异常配置变更的可见性。

在获取具备 workflow 权限的 GitHub token 后，载荷还会创建临时分支并注入 GitHub Actions workflow，将${{ toJSON(secrets) }} 写入 artifact 后取回，从而获取仓库或组织级 Actions secrets。回收的npm、GitHub 或云平台凭据会重新进入收集和传播流程，形成递归扩散。

此外，样本还包含 token-monitor/dead-man's switch 机制。该组件会在 ~/.config/gh-token-monitor/中保存 token、handler 和启动时间，并通过 macOS LaunchAgent 或 Linux systemd user service持久化。其每 60 秒请求 api.github.com/user 检查 token 状态，若 token 被撤销并返回 HTTP4xx，则执行攻击者配置的 handler；组件约 24 小时后清理状态文件并退出。

FBI 于 2026 年 7 月 2 日发布的 FLASH-20260702-01 警告[1]中，明确将网络犯罪组织 TeamPCP（又名 PCPcat、ShellForce、DeadCatx3）与 Shai-Hulud 活动关联，并在其恶意软件工具集中列出 Mini Shai-Hulud 和 Miasma等与 Shai-Hulud 相关的自复制、跨生态供应链蠕虫能力。并且该警告报告与本次攻击活动之间存在直接 IOC 重叠-29ac906c8bd801dfe1cb39596197df49f80fff2270b3e7fbab52278c24e4f1a7。同时，经过披露的样本比对，存在高度相似性。

图 5 本次攻击活动样本代码(左)与FBI警告报告中披露的样本代码(右)对比图

综合现有证据，本次 keyv/cacheable npm 供应链攻击可高置信归入 TeamPCP 相关 Shai-Hulud活动。

[1].https://www.ic3.gov/CSA/2026/260702.pdf

f92ee93a0af971a3966bfa8efa9c2625

4140f7e17e6f97f83aa3472473e01add

7bcf8d9f6834c44450eac145a967d2f2

dbb9b09957113463bbeb420c2c4108b5

00ca0c04d247ef09f2b2acc452029345

930553e362f99aa05d217ccaa68e9719

db189867d98264bdce58eae5b1f72df4

3a184af1cdf87456eeeb77e1b598af9a

632f2228c7fdb566a041a32968722cb8

setup.mjs

Math_Symbol.js

math_init.js

0xE1f2395ee43e45A1556EC6438a88c31B83493103

https://npm-cache.com:443/router

跳转微信打开

近期，360高级威胁研究院在APT威胁狩猎中发现该组织投递application文件，诱导用户点击后会从远程安装白加黑组件，样本会进行持久化操作，完成对受害主机的敏感信息窃取以及远程控制等行为。

跳转微信打开

360 高级威胁研究院捕获海莲花组织全新攻击活动，攻击者通过邮件投递带恶意载荷的镜像文件，采用白加黑侧加载，搭配多重反调试规避查杀；借助开源工具篡改注册表实现持久化，载荷经多层解密后在内存运行远控木马，完成远程操控。

近期，360高级威胁研究院在APT威胁狩猎中发现并捕获了海莲花组织新的攻击活动，利用邮件附件携带恶意载荷的光盘镜像文件作为投递载体，攻击链采用“白加黑”侧加载机制，利用多种反调试技术规避检测，同时利用开源工具将注册表配置转化为二进制单元文件，实现隐蔽的系统级持久化。最终载荷经过多层解密，全部在内存中动态展开并执行远控木马，以此实现远程控制。

1.攻击流程分析

本次攻击流程如下所示：

海莲花组织通过邮件发送携带IMG光盘映像文件的压缩包，诱导受害者点击其中嵌套的LNK文件。一旦LNK文件被点击执行，便会释放伪装成安装软件的白加黑组件和诱饵文档。其中的白程序analyzer.exe会加载恶意DLL文件mglobal.dll，该恶意DLL读取并解密数据文件userinit.db，随后在内存中加载HiveSwarming.exe工具，该工具将注册表文件转化为二进制的注册表配置单元文件，以此实现持久化。接着恶意DLL读取unins000.dat并将其解密为shellcode执行，最终在内存中加载特马，实现远控功能。

2.载荷投递分析

海莲花组织善于使用鱼叉钓鱼攻击，本次攻击行动使用的鱼叉附件信息如下所示：

截至分析时，该样本在VirusTotal平台依然保持着较低的检出率。

压缩包解压后有三个文件，包括“0603《国际论坛》专家评审意见表.docx”、“专家评审费用发放明细表.xlsx”和恶意的img光盘镜像文件，该镜像文件包含多个文件，其中名为“稿件.docx.lnk”的lnk文件作为攻击的入口点。用于设置命令行参数，以便执行当前“.”目录下的文件，而.目录下存在诱饵文件和白利用攻击组件。

“稿件.docx.lnk”文件信息如下

当受害者一旦运行“问题.doc..lnk”文件， 就会加载HOmVe2f.vbs恶意脚本。

HOmVe2f.vbs脚本信息如下：

该脚本是一个软件部署与启动器，其核心功能是打开诱饵文件并将特定文件复制到用户目录AppData\Local\Billfish下，以此伪装成正常软件，然后静默启动白程序Analyzer.exe，该文件会加载同目录下的恶意载荷mglobal.dll。

mglobal.dll文件的具体信息如下

该dll样本具备较完善的反调试能力，能够检测用户态调试器、内核调试器、硬件断点以及异常时间行为等多种分析环境特征。样本通过检查系统和进程状态、监控硬件调试寄存器，并结合时间差校验来识别调试行为。一旦发现异常就触发退出执行，以阻碍安全人员对样本进行动态分析。

接着开始通过打开服务控制管理器检测主动防御是否存在，根据结果执行不同的持久化流程。

在没有主动防御（如未安装360安全软件）的情况下，可直接调用 API 函数操作注册表，向 SOFTWARE\Microsoft\Windows\CurrentVersion\Run 键写入 \Appdata\Local\Billfish\Analyzer.exe，以此实现持久化。

若安装了360软件，就先判断NTUSER.MAN是否存在。NTUSER.MAN是Windows的强制用户配置文件，该文件是存储HKEY_CURRENT_USER注册表配置单元的二进制文件，开机便会按照文件注册表设置（如Run、RunOnce）进行启动，可用于实现持久化。

若不存在NTUSER.MAN，就执行reg export命令导出HKCU注册表分支到临时文件，即"C:\\Users\\xxx\\AppData\\Local\\Temp\\reg"，随后修改该导出文件,在 \Microsoft\Windows\CurrentVersion\Run]节下插入恶意启动项。然后使用工具将reg文件进行转换成NTUSER.MAN。具体实现方式是读取同目录下的userinit.db，利用RC4进行解密成shellcode再执行。

解密成shellcode如下所示：

shellcode在内存中层层加载释放开源工具HiveSwarming.exe，并执行参数"HiveSwarming.exe --from reg --to hive”。该工具可无需管理员权限将生成的注册表转化为二进制的注册表配置单元（hive）文件，即NTUSER.MAN，该文件是强配置文件，用户登录系统时就会优先加载。

3.攻击组件分析

完成持久化后，接着读取unins000.dat通过base64解码+RC4解密生成恶意载荷shellcode。

解密过程如下所示：

shellcode在内存中继续解密并直接跳转加载海莲花组织shellcode化的特马，最后载荷使用MinGW-w64进行编译，所有敏感字符串用栈字符串隐藏以绕过静态提取，API函数均通过动态哈希解析，执行时先初始化构造默认配置，包括User-Agent，C2 URL列表。其中C2地址有两个，https[:]//erp.manitech.ch/api/ui.php和备用地址https[:]//agoras.zapto.org/game/metroid/prime.php。

接着初始化网络环境设置代理、超时、设置重试和keepalive等。

初始化完成后收集主机信息包括计算机名、用户名、操作系统类型、进程名、版本/标志，组ID以及复合主机标志等按照key=value格式进行报文封装并用Post上传，具体字段如下：

然后等待服务器响应，响应体由命令令牌+参数组成。

程序根据响应执行指令或更新配置，其中配置项支持修改 User-Agent、Proxy、Headers、URL 等字段，并按指定格式回显。通过这种方式，可快速切换被控端所连接的远程服务器地址，从而避免前期使用的 C2 被提前发现或封禁。

解析的指令如下：

指令的具体功能如下：

跳转微信打开

APT-C-26（Lazarus）是高危活跃 APT 组织，针对金融、政企、军工、航空航天等行业攻击，以牟利和窃取机密为目的，攻击手段多样、可跨系统运作，隐蔽性极强。其定制远程监控程序，近期新增键盘记录组件。

1.攻击流程分析

在攻击流程中，该组织的各类组件协同工作，不仅构建起隐蔽的远程桌面环境，还进一步整合了键盘记录能力，形成一个综合性的监控与控制平台。这为攻击者提供了对受控主机进行多维度、持续性的监视与控制能力，显著增强了其数据窃取和情报收集的效率。

图 1 攻击流程图

2.键盘监控组件分析

该样本支持5种运行模式。

样本首先使用—install模式，将当前进程模块注册为系统服务 "KKernelService"（显示名 "Kernel32 Service"），实现开机自启。服务注册后每次系统启动都会自动运行该恶意软件。伪装名 "KKernelService"/"Kernel32 Service" 试图冒充 Windows 内核组件以逃避用户注意。

图 2 注册为服务

在注册服务后，样本实现了Session 0逃逸看门狗功能，负责在用户交互会话中启动并持续监控一个Agent进程。服务通过获取活动用户会话的令牌，以用户权限在目标会话中启动代理进程，并通过循环监控其状态。若代理进程意外终止，看门狗将自动重启该进程，确保其持续运行。

图 3 看门狗功能

Agent进程主要实现了键盘监控功能，并创建了名为"Global\\KKernelAgentSingleton"的互斥体。

图 4 Agent进程功能

Agent 进程启动后，实现键盘记录相关API动态解析。随后使用三种方式进行键盘监控。

图 5 API动态解析

方式1基于原始输入（Raw Input）方式捕获按键。该函数创建一个隐藏窗口并注册原始输入设备，通过系统底层接口直接获取键盘输入。在消息循环中，它持续记录按键内容并按句子粒度写入日志文件，同时跟踪前台窗口标题以标注输入所属的应用程序。若因权限不足等原因导致原始输入注册失败，该函数会自动回退至下一级 Windows 消息钩子方案继续执行，确保键盘记录不被中断。

图 6 通过原始输入方式捕获按键

方式2通过安装全局低级键盘钩子来捕获按键，该方式在消息循环中持续接收键盘事件，将按键内容按句子粒度缓存，并设置约 2 秒的超时阈值——若超时未继续输入，则将当前句子连同前台窗口信息一并写入日志文件。若钩子注册失败，函数返回失败标志，自动切换至第三种方案。

图 7 通过键盘钩子捕获按键

方式3键盘记录三级级联中的最终兜底方案，使用异步轮询方式以约 10 毫秒间隔轮询全部 256 个虚拟键状态来捕获按键。同步监控前台窗口标题和进程名变化，将按键内容按句子粒度缓存，并在约 500 毫秒无输入超时后自动写入日志文件。

图 8 通过异步轮询方式捕获按键

其中，按键监控及调试日志均存放于C:\ProgramData\Windows\WMI\Temp\目录，分别是sentences.txt和debug.log文件。

前两种方式设置了新的线程以约 30 秒为周期运行。每个周期中，它依次读取 sentences.txt（键盘监控日志）和 debug.log（调试日志）两个文件，将新增内容按行批量拼接后，发送至 C2 服务器，并在传输成功后截断对应文件以释放磁盘空间。

图 9 传输线程

其中，样本将信息发送到上一篇文章提到的设定的地址。

图 10 信息发送地址

[1].https://mp.weixin.qq.com/s/YzDg8MXiV6FhsiF7HWth4A

跳转微信打开

360 高级威胁研究院监测到，2026 年 5 月盲眼鹰 APT 组织发起新一轮攻击，其利用搭载.NET AOT 编译技术的新型加载器加载 DCRat 远控木马，依靠原生机器码提升隐蔽性以控制受害主机。

近期360高级威胁研究院监测发现，盲眼鹰组织在2026年5月份实施了新一轮攻击活动，在本轮活动中，攻击者在攻击过程中使用一种新型加载器来加载DCRat远控木马，该加载器使用.NETAhead-of-Time编译技术来生成原生机器码，提高其隐蔽性，进而实现对受害者计算机的控制。

图1 基本攻击流程

如图1所示，攻击者将exe文件和若干个dll文件隐藏在诱饵中，受害者点击执行后将释放出这些文件，加载器通过“白加黑”的方式运行后，将最终的恶意载荷注入合法进程AddInProcess32.exe中并在内存中运行，实现对受害者计算机的远程控制。

1.载荷投递

钓鱼过程

本次攻击活动中使用的初始钓鱼诱饵仍然通过邮件投递，文件取名为“AJUSTE TRANSACCIONAL APLICADO CORRECTAMENTE DE MANERA EXITOSA”（交易调整已成功应用），可见是与银行相关的内容，点击运行后直接从该文件中释放出“白加黑”共6个文件。其中libwinpthread-1.dll为恶意动态链接库，它伪装成MinGW-w64 工具链中的pthread实现库，由合法exe加载，该exe实际上为Git管理工具 Scalar。

图2 钓鱼诱饵释放出的文件

加载过程

libwinpthread-1.dll实际上疑似为一种QuirkyLoader[1]的变体，这是一个使用.NET AOT(Ahead-of-Time)即预先编译技术编译产生的加载器，它在执行前将.NET代码编译成本地机器代码，使生成的二进制文件看起来像是由 C 或 C++ 编写，同时失去了.NET的高层语义线索，从而加强了其隐蔽性和分析难度。

在这个dll中，该加载器可从多达40多个导出函数中被执行，包括sem_wait、sem_post等最常用的POSIX线程同步函数。

图3 加载器执行入口

其后的主要执行流程如下：

（1）解密一系列有趣的字符串，内容包括该加载器启动阶段的预设配置信息和在执行阶段的注入行为日志，它的各阶段以不同的英文字母简写来表示，例如：

表1 加载器运行后解密的字符串示例

（2）模块和API加载

在模块映射阶段，模块名称均采用先base64解码、再进行chacha20的变体算法进行解密，最后通过GetModuleHandleW将一系列模块轮询载入。

图4 模块名称解密过程

在注入阶段使用xor运算解密一系列API名字符串（密钥为0x7C91），再通过GetProcAddress函数获取其地址。

通过这种方法获取地址的API包括：

CloseHandle、TerminateProcess、CreateFileW、WriteFile、SetFilePointer、CreateProcessW、CreateProcessInternalW、WriteProcessMemory、VirtualProtectEx、Wow64GetThreadContext、Wow64SetThreadContext、GetModuleHandleW、GetProcAddress、LoadLibraryA、ResumeThread、ReadProcessMemory、NtCreateSection、NtClose、NtSetInformationFile、NtProtectVirtualMemory、NtUnmapViewOfSection、NtQueryInformationProcess、NtFreeVirtualMemory、NtMapViewOfSection。

图5 API名称解密和地址获取

（3）载荷解密

加密的恶意载荷位于该dll文件的.reloc节中，在一段用“PADDINGXXPADDING”字符填充的内容之后，我们可以看到它使用了自定义编码的字节，这正是即将进行解密和加载的恶意载荷。

图6 .reloc节中填充的字符

图7 加密存储的恶意载荷

该加载器通过匹配特征字符串“_hBerichte”在PE镜像中找到加密载荷的位置，然后开始实施解密。

分析其解密过程，我们发现分为两个阶段进行。首先使用了一种凯撒密码，即将把 hex 字符集 0-9、A-F 替换为连续字符集 P、Q、R、S、T、U、V、W、X、Y、Z、[、\、]、^、_。

图8 恶意载荷解密步骤1

再经过与模块名解密中使用的相同的chacha20变体算法完成解密。

图8 恶意载荷解密步骤2

（4）恶意载荷注入：

首先调用CreateProcessInternalW创建合法进程

C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\AddInProcess32.exe并挂起。

在经过短暂休眠后，样本又按照如下顺序调用API，目的是将载荷注入该进程中：

NtMapViewOfSection->Wow64GetThreadContext->WriteProcessMemory->NtQueryInformationProcess->WriteProcessMemory->

ResumeThread，最终将载荷直接映射到原进程地址空间并运行。

图9 调用WriteProcessMemory实施进程镂空

调用WriteProcessMemory的目的是修改PEB的ImageBaseAddress，让线程恢复执行后，可以从恶意载荷的地址处运行，即表1日志示例告诉我们的内容：“PH:managed/skip host CRT bootstrap via PEB patch”。

这种进程注入方法抛弃了传统进程镂空技术使用NtUnMapViewofSection进行镂空的操作，减少了敏感API调用次数，起到一定规避检测的作用。

此外，加载器在运行过程中还会建立目录%userprofile%\\AppData\\Roaming\\ASUS App Service，将原始文件拷贝至该目录下，通过开机自启动实现持久驻留。

2.最终载荷

最终加载的恶意载荷是名为DcRAT的远控木马客户端。它使用C#开发，是AsyncRAT家族中一个功能更为全面的进化版本，它针对攻击者的需求添加了更多破坏性和隐蔽性功能。本例中的DcRAT名称为“thes”，在这里我们提取到了它的主要配置信息。

图10 该DcRAT的配置信息解密

表2 该DcRAT的主要配置信息

这个远控程序的功能还包括反杀毒软件、终止进程、开启摄像头、发送敏感主机信息等。

通过对本次攻击活动的分析，我们发现其攻击方式与APT-C-36（盲眼鹰）组织的技术特征高度符合，具体总结如下：

（1）钓鱼诱饵面向哥伦比亚境内用户投放，文件格式和钓鱼主题符合该组织的一贯行为特点。

（2）DcRAT是该组织的常用远控木马，近年来常搭配各类加载器出现在该组织的活动中[2]。

（3）此次攻击活动使用的加载器属于MaaS类（malwareas a service）加载器，它可能是流行于地下网络犯罪界的一种恶意软件。攻击者获得它后几乎不修改加载器本体，而只替换嵌入的加密 paylaod，再包装成“白加黑”的诱饵进行投放，这与APT-C-36的行动特点一致。

该组织近年来变换使用各类MaaS类加载器，种类繁多，我们将保持对该组织的关注和分析。

[1]https://www.ibm.com/think/x-force/ibm-x-force-threat-analysis-quirkyloader

[2] https://mp.weixin.qq.com/s/DDCCjhBjUTa7Ia4Hggsa1A

跳转微信打开

近期360 高威胁研究院跟踪 APT-C-20 攻击发现：该组织利用带恶意宏的诱饵文档投毒，通过 COM 劫持持久化、加载恶意 DLL，从隐写图片提取 Shellcode，依托 Filen.io 云平台搭建无文件远控框架。

1. 攻击流程分析

APT-C-20组织用携带VBA宏的恶意文档作为初始入口，通过借助文档Shape对象的坐标操控实施视觉欺骗以规避用户察觉，随后从文档内部剥离并释放恶意组件，然后利用COM劫持实现持久化，并通过隐蔽启动explorer.exe触发侧面加载执行恶意DLL。核心DLL从LSB隐写图片中提取shellcode并执行，再以内存反射加载方式启动后续 C#木马模块，完成最终恶意载荷部署。

2. 载荷投递分析

本次攻击行动中，我们捕获到APT-C-20组织多个攻击样本，以其中一个进行分析说明，如下所示：

readme.docm是一个携带宏代码的恶意文件，打开文档时显示乱码，提醒用户启用宏以查看完整内容，如下所示。

点击启用宏后显示东欧某国国防部相关诱饵主题内容，如下所示：

为防止宏代码被查看，APT-C-20组织还对宏代码进行了加密。

破解宏保护密码后发现其在宏打开阶段主要进行环境检测+文件释放+持久化设置+信息收集+诱饵内容显示，在文档关闭阶段才触发恶意流程和文档还原。

具体来看，在文档打开阶段，首先与dropbox.com进行网络链接进行网络侦察。

然后将自身改名并复制到temp目录。

随后从自身中读取数据释放文件%PROGRAMDATA%\Microsoft\DeviceSync\DNX\dnxstore.dll和%PROGRAMDATA%\Microsoft\DeviceSync\EdgeSync\EdgeLogo.png。并设置注册表HKEY_CURRENT_USER\Software\Classes\CLSID\{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}\InProcServer32指向dnxstore.dll完成com劫持。

接着收集信息包括：判断32/64位环境、Office版本、C:\Program Files目录名（已安装软件列表）并采用单字节0x4A加密写入隐藏文本框。

最后显示诱饵文档，切换文档显示状态（显示伪装内容），通过操控文档内特定Shape对象的可见性与坐标属性（如将 Left 属性设为-999996 移出可视区），隐藏打开时的诱饵页面，显示正常内容，降低用户警惕。

在文档关闭阶段完成载荷激活与清理。

不直接调用 regsvr32 等高危程序，而是调用 kernel32.dll 的 CreateProcessW函数，配置STARTUPINFO结构体令wSW = 0 (隐藏窗口)，隐蔽启动 %WINDIR%\system32\explorer.exe。从而侧面加载资源管理器(explorer.exe)，由于资源管理器在启动和初始化过程中会大量请求系统COM组件。此操作直接触发前序被劫持的 CLSID，使得 dnxstore.dll顺理成章地被系统合法进程加载至内存中运行。

最后再次通过动态修改Shape的Visible与Left属性切换显示内容，将此前隐藏的对象重新置为可见，并隐藏正常诱饵内容。该机制可确保文档在后续再次打开时仍保持初始伪装状态，从而实现诱饵内容恢复、恶意载荷隐藏以及对静态分析与取证行为的规避。

3.攻击组件分析

攻击组件信息如下：

dnxstore.dll是一个shellcode加载器，首先通过自定义的加解密算法，动态获取导出函数，有效规避静态查杀。通过将dnxstore模块中的DllCanUnloadNow和DllGetClassObject函数转发到系统模块stobject.dll中，避免程序崩溃，增强程序健壮性。

由于{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}是系统内置的 COM类，为UnexpectedShutdownReason（意外关机原因）对象，经常被explorer进程进行实例化。如果通过COM劫持将正常系统组件劫持到dnxstore.dll模块后，一旦explorer进程实例化该COM类，就会加载dnxstore.dll模块。所以该模块通过当前进程路径是否是explorer.exe来判断程序是否处于调试状态。

如果当前进程路径为regsvr32.exe，这是一个非预期的场景，说明程序可能处于调试环境，则提前退出。如果当前进程是explorer.exe，是一个预期的场景，则执行后续功能。

接着，程序通过时间间隔来检测是否处于沙箱环境，分别取两次时间戳，在两次时间戳之间休眠5000ms，如果处于沙箱环境，会劫持Sleep函数，缩短休眠时间，如果两次时间戳的差小于4900ms说明在沙箱环境中。

此后获取%programdata%\\Microsoft\\DeviceSync\\EdgeSync\\EdgeLogo.png文件路径，该png文件打开正常显示edge图标，以迷惑用户。

然后基于内置原始密钥种子(“838645f4bab7458fb130c7120a500982”)，通过PBKDF2算法派生AES-256密钥，然后加载目标PNG图像并转换为RGBA格式提取像素流。

接着使用LSB模式从像素流中提取Salt和IV参数，之后利用派生的AES密钥解密图像中隐藏的64字节头部数据，解析出核心载荷的提取模式、像素偏移和大小等元信息，最后根据元信息从像素流中提取核心加密载荷并解密，并最终内存执行该shellcode，其功能是内存反射加载自身携带的攻击载荷。

最终载荷信息如下，这是一个C#编写的，使用合法的云存储服务(Filen.io)作为C2服务器的远控程序。

Publish.exe经过高度的函数名和变量名混淆，当程序执行后，首先会初始化AES上下文，然后构造上线数据报文，数据报文格式如下：

将"GUID"（基于DomainName和Username生成）","Type","Meta"，"IV"，"EncryptedMessage"，"HMAC"这些数据进行json格式化后，调用Y9TXNKJ58A.WBX20AQDGG函数进行XOR+BASE64加密。

初始化Filen.io云存储服务API，该程序内置了多个网关节点(gateway.filen.io,gateway.filen.net)，确保单节点即使出现失效、限流、宕机这些情况，恶意软件仍能通过其他节点保持通信。

将加密之后的上线报文发送给服务端。

轮询读取服务端返回的消息，

然后经过密钥协商，二次握手确认之后，接收最终需要执行的载荷，并通过内存反射加载后续的攻击载荷。

通过对本次攻击事件的详细分析，综合初始载荷的执行入口设计、关键技战术要素及完整攻击链条特征判断，该样本在整体作战思路与工程实现层面与APT-C-20历史活动高度一致，具体表现如下：

1.宏代码在攻击思路与核心技术与以前方式^[1]上高度一致，均通过VBA宏释放恶意DLL，并利用COM劫持实现持久化。两者都会修改注册表项，使Explorer或相关COM组件加载恶意DLL。此外，两者均具备环境检测（win32、win64）、字符串混淆、隐藏文件写入以及Shape对象隐藏数据等特征。

2.Dll被加载起来时通过检测宿主禁止是否为explorer.exe，以达到进程伪装目的。同时读取经过隐写术的png图片文件，并从中解密出shellcode执行。整个流程与文章^[2]中提到的PixyNetLoader加载方式一致。

3.最终在内存中执行的载荷都属于Covenant Grunt类型，并与Filen API通信，这类攻击方式在之前报告^[1]中也相同。

4.结合样本上传地址为东欧某国，并且伪装内容是东欧某国相关，符合攻击目标，因此将本次行动归属到APT-C-20(APT28)组织。

[2]https://www.zscaler.com/blogs/security-research/apt28-leverages-cve-2026-21509-operation-neusploit

跳转微信打开

360高级威胁研究院监测到盲眼鹰组织发起新一轮网络攻击。攻击者新增JavaScript、PowerShell编写的下载器，沿用Hijackloader加载恶意载荷，最终落地Remcos远控木马控制受害设备。同时，本轮捕获的恶意代码存在显著的AI生成特征。

图1 基本攻击流程

如图1所示，攻击者将下载器隐藏在诱饵文件中，受害者点击执行后将下载并释放出加载器，加载器通过“白加黑”的方式运行后，将最终的恶意载荷注入合法程序中并在内存中运行，实现对受害者计算机的远程控制。

1.载荷投递

1.1 钓鱼过程

本次攻击活动中使用的初始钓鱼诱饵仍然是通过邮件投递的SVG文件，但钓鱼过程呈现出与以往行为的差异：

（1）本次活动改变了以往将直接将后续载荷下载链接嵌入SVG文件的行为，而是将一个下载器加密存储在SVG中，受害者点击下载按钮后，内嵌的Javascript脚本解密再释放出下载器，而无须连接互联网进行下载。从图2中可以看出，这段内嵌的Javascript脚本的注释内容具有明显的人工智能生成特征。

图2 SVG文件中内嵌的JS脚本

（2）钓鱼内容的主题与以往相比有所变化。SVG文件名包括“solicitud de cartera efectuada_indetectable”（已完成申请）等，SVG展示内容使用了银行宣传广告的伪造页面，说明该组织的目标群体有所改变。

图3 钓鱼内容

1.2 载荷下载过程

受害者双击该JS脚本后，Windows系统默认使用WScript.exe执行该脚本。攻击者将这段JS代码进行了一定程度的混淆，并将一段Powershell脚本通过16进制字符串、替换编码等方法进行变换和隐藏在其中。我们删掉其垃圾代码、去混淆和整理后，可以看出这个JS脚本的功能可分为如下三部分：

（1）将当前运行的 JS 脚本复制到 C:\Users\Public\EKMYAKrCRJ.js目录，为后续的持久化驻留作准备。

图3 脚本中的持久化功能代码

（2）通过 WScript.Shell.Environment("User") 将以上提到的PowerShell脚本写入用户环境变量 INTERNAL_IO_CACHE，供后续隐藏 PowerShell 使用 IEX $env:INTERNAL_IO_CACHE 动态执行。

图4 设置环境变量

解码和去混淆后的Powershell脚本的内容如下：

图5 去混淆处理后的Powershell脚本

它实现的功能包括：

• 下载 PNG 图片的原始字节

• 将图片转为字符串，用 IN- 和 -in1 作为标记，提取两者中间的数据

• 通过字符替换、反转、base64解码等步骤解码出隐藏数据（其功能为下载和释放后续载荷）

• 在内存中加载 .NET 程序集

• 传入参数，其中包括从远程下载的另一个PNG文件（后续载荷）

• 找到 Fiber.Program 类和Main 方法进行调用

图6 解码出的.NET程序

（3）通过 WMI 隐式启动一个 PowerShell 进程，执行存放在环境变量 INTERNAL_IO_CACHE 中的以上恶意 PowerShell脚本，并在执行后删除该环境变量以清除痕迹。

图7执行脚本并清除环境变量

执行以上脚本后，下载第二阶段载荷并通过如下进程链进行释放：

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\cvtres.exe->
C:\windows\Sysnative\cmd.exe->
C:\windows\Sysnative\WindowsPowerShell\v1.0\powershell.exe
–ExecutionPolicy Bypass Start-Process 
-FilePath “%userprofile%\AppData\Local\Temp\APVJBAKY.msi”

释放出的文件列表如下：

图8 释放出的后续载荷

其中Qt5Network.dll为恶意动态链接库文件，其他PE文件为合法文件，而.dat和.rc文件为经压缩和加密的恶意载荷数据文件。

1.3 载荷加载过程

文件列表中的恶意dll和两个数据文件共同构成了Hijackloader，这是该攻击组织近年来常用的加载器。Hijackloader的主要特点是以模块化运作和多次反复的注入行为。在本案例中，该Hijackloader的行为如图9所示。

图9Hijackloader加载流程

我们提取了该加载器的所有模块，与该组织2025年的攻击活动一致，本次活动中也使用到了功能相同的35个模块。更加详细的分析可以参考报告[1]。

图10 提取出的Hijackloader功能模块

最终的恶意载荷被注入到合法程序%ALLUSERSPROFILE%\PlaneMon.exe中。

2. 最终载荷

最终加载的恶意载荷是Remcos远控木马客户端，这是最早由一家名为 Breaking Security 的公司以合法远程管理工具的名义发布的远控程序，但后来被大量攻击者和黑产团伙滥用。

在本次活动中，攻击者使用的Remcos版本为6.1.2Pro，它首先从名为“SETTINGS”的PE资源中加载和解密出配置。

图11 Remcos寻找PE资源

资源数据中第一个字节为密钥长度A0，紧随其后的数据块是它的密钥。

图12 资源中的原始字节

可以看出，其解密过程具有明显的RC4算法特征。

图13 解密配置信息过程

解密后我们得到了它的配置，包含了C2域名、端口、受害客户端名称、键盘记录存储文件名、证书等信息。

图14 解密出的Remcos客户端配置信息

这是一个功能完整的远控程序，主要功能包括命令执行、收集主机信息、启用摄像头、屏幕截取、麦克风录制等，它向C2发送的首个数据包包括系统用户名、CPU、系统版本等信息。

该Remcos远控程序的主要控制指令及其功能如下： 

表1 控制指令码及其功能

通过对本次攻击活动的分析，我们发现其攻击方式与APT-C-36（盲眼鹰）组织的技术特征高度符合，具体总结如下：

（1）钓鱼诱饵面向哥伦比亚境内用户投放，文件格式为SVG，符合该组织的一贯行为特点。

（2）使用Hijackloder加载最终恶意载荷，该加载器的具体功能模块与2025年活动中使用的一致，应是同一版本的Hijackloder[1]。

值得注意的是，在本次活动中，APT-C-36组织开始将人工智能生成的代码引入其攻击环节中，降低了技术门槛，缩短了开发流程。可以预见的是，在这类新技术的辅助下，未来该组织的攻击频次和强度还会逐步提高，且技战术种类更加多样化，相关地区易受攻击的用户应加强防范。