ZONE.CI 全球网

本文解析APT攻击绕过传统边界防护的五大手法，包括借道人员钓鱼、供应链投毒、合法隧道C2、零日漏洞利用及内部凭据窃取，并结合SolarWinds等真实案例说明攻击路径。文章指出边界防护基于内网可信的假设已失效，建议转向纵深防御与零信任架构，强化端点、身份、数据多层监测，并强调员工安全意识是防线关键环节。

南亚APT组织SideCopy利用Windows自带mshta.exe等LOLBin工具，通过钓鱼邮件投递恶意LNK和HTA脚本，多阶段内存加载RevengeRat远控木马，攻击目标从政府国防扩展至高校科研机构，窃取科研资料。攻击全程依赖系统合法程序，磁盘不留恶意EXE，传统杀软难以拦截。建议通过应用白名单管控mshta.exe、EDR监控进程行为、加强邮件网关过滤及安全意识培训，中招后需隔离取证并轮换凭证。

本文分析KimsukyAPT组织利用韩国dothome.co.kr共享主机基础设施仿冒微软365登录页面的钓鱼攻击。文章详述钓鱼页面技术特征、PHP后端凭据收集逻辑、基于CriminalIP的被动情报聚类方法，并提供Suricata检测规则、日志审计思路及账号泄露应急响应步骤，附IOC清单，对防守方具有直接可操作性。

伊朗APT组织‘波斯王子’首次在美国托管恶意软件，针对美国及欧洲政府与机构进行间谍活动；朝鲜Lazarus组织针对韩国建筑、软件及通信设备制造公司进行网络间谍活动；威尔士地方政府数据库被攻破，数千个家庭及儿童信息泄露；新墨西哥州医院遭网络攻击，医疗系统瘫痪；QuestDiagnostics业务系统遭网络入侵，部分患者记录泄露；丹麦哥本哈根大学测试环境漏洞导致52万人信息泄露；卡普空会员服务系统被入侵，1177万个邮箱地址外泄；澳大利亚切断Amadey恶意软件后端，18万台电脑获解脱。

APT36组织利用盗版KMSAuto激活工具作为初始载体，分阶段部署XMRig挖矿程序、滥用ScreenConnect与MeshAgent远程管理工具，最终投递伪装成勒索软件的恐吓载荷，各阶段间隔12至24小时以规避检测。防御建议包括管控非授权激活工具、监控远程管理工具异常部署、区分加密行为与勒索外观、延长日志留存时间窗口。

本文详细分析了海莲花APT组织在2024至2026年的最新攻击活动，指出其战略重点已从对外网络间谍转向对内监控，并与越南国内反腐运动及金融监管行动存在关联。报告深度剖析了FireAntMetakit供应链攻击、针对越南基建交通公司的渗透事件，并解析了新型后门SpectralViper的架构与演进。最后，报告提供了MITREATT&CK技术映射及具体的检测与防御建议。

APT28组织将攻击基础设施转向劫持家用路由器，并利用合法云服务API作隐蔽C2通道，手法升级为部署短效工具与AI窃取程序。建议企业更新路由器固件、改默认凭证、禁用远程管理，并实施多因素认证及审计OAuth令牌权限以防范威胁。

绿盟科技发布《APT组织研究年鉴》(2026版)，揭示2025年全球APT活动持续走高，公开报告超700篇，涉及组织119个。AI技术重构攻击链路，AI驱动攻击活动激增89%，钓鱼邮件点击率提升至54%。报告预测2026年AI将成为核心攻击引擎，供应链攻击常态化，并建议构建以AI对抗AI的主动防御体系。

360威胁情报中心检测到APT-C-48(CNC)组织近期以招聘简历为诱饵的定向钓鱼攻击。攻击者通过邮件投递伪装成PDF的双后缀EXE文件，用户点击后经多层加密URL下载VBS脚本及诱饵文档，最终下载使用OpenSSL加密通信的远控木马，实现文件窃取与命令执行。报告详细分析了攻击链、载荷解密过程及C2通信机制，并基于攻击手法、载荷特征与历史活动关联性进行归属研判，同时提供了相关IOC。

LazarusGroup是朝鲜侦察总局下属的全球活跃APT组织，自2007年起持续进行间谍情报收集、破坏性攻击和金融犯罪活动。该组织通过攻击金融机构、国防军事、加密货币等领域，为朝鲜获取外汇并收集情报，其攻击手段包括供应链投毒、AI辅助社工等，并已形成多子组织协同的成熟攻击体系。报告详细分析了其攻击时间线、技术特征、恶意软件武器库及防御策略。

APT28（梦幻熊）劫持Moobot僵尸网络，利用Ubiquiti、TP-Link等路由器漏洞构建全球间谍网络，针对政府、能源、企业等目标窃取凭证。文档详细分析了入侵流程、识别特征，并提供了路由加固、终端防护、应急处置等防御方案。

该文档分析了APT-C-36组织在2026年4月针对哥伦比亚的新攻击活动，攻击者通过SVG钓鱼邮件投递含AI生成痕迹的JavaScript/PowerShell下载器，使用Hijackloader加载Remcos远控木马，技术特征与历史活动高度一致。报告详细解析了攻击流程、载荷解密方法及Remcos功能，指出AI技术降低了攻击门槛，预警未来攻击频次和强度将提升。

报告指出，越南老牌APT组织海莲花（APT32/OceanLotus）已将攻击重心从境外转向国内。该组织依托自研后门`SpectralViper`，自2024年年中以来在越南国内实施了两起主要攻击：一是入侵大型基建交通企业，二是对金融科技公司Fireant的数据分析工具进行供应链投毒。攻击手法包括利用微软SQLServer漏洞、DLL侧加载以及搭建伪装C2服务器等。分析认为，其战略调整与越南国内正在进行的反腐和金融市场整治行动高度相关，旨在为本土经济案件调查提供情报支持。

朝鲜APT组织推出macOS.Gaslight窃取木马，首创针对AI研判的提示注入攻击。木马内置伪造报错与模板，让LLM中断分析实现反向欺骗；伪装苹果服务持久化，通过Telegram加密通道窃取钥匙串。防御上需严格隔离AI指令与样本数据、排查特定启动项、监控异常外联流量，切勿盲目依赖AI自动化检测。

APT-C-20组织利用携带加密宏的恶意文档作为初始入口，通过COM劫持实现持久化，并借助LSB隐写技术从图片中提取shellcode。最终载荷是基于Filen.io云存储的C#远控程序，实现无文件化驻留。攻击链高度隐蔽，规避传统检测。建议用户提高对未知文档和异常进程的警惕。

朝鲜APT组织SapphireSleet通过劫持MastraAI官方npm账号，污染140+开源包并搭配仿冒库easy-day-js实施供应链攻击，窃取加密钱包密钥、企业凭证等敏感数据。攻击利用npminstall自动触发多层远控木马，支持跨平台渗透且采用内存执行规避检测。建议受影响用户立即清理环境、轮换密钥，并长期配置npm忽略安装脚本、使用安全扫描工具加固依赖管理。

未被报道的APT组织ArmoredLikho针对多国政府与电力部门发起网络钓鱼攻击，通过恶意LNK和NSIS打包EXE进行初始访问。攻击者结合AI生成加载器与GitHub基础设施快速分发有效载荷，最终部署经PyArmor深度混淆的BusySnake窃取器。该窃取器具备RAT与隧道功能，通过计划任务持久化，能全面窃取浏览器凭证、Telegram会话及加密钱包等敏感数据。建议加强针对异常LNK文件、PowerShell执行链及可疑GitHub通信流量的监测与防御。

RecordedFuture披露APT组织NexusTag182使用自研Markirat远控木马，通过Office宏和IM钓鱼批量入侵政企终端，长期潜伏窃取涉密企业核心资料。木马具备键盘记录、截屏、文件窃取、凭证抓取等能力，采用RTLO欺骗、进程注入、沙箱检测等对抗手段。攻击链路包括社工投递、宏执行、持久化、情报收集和内网横向。防御需禁用宏、部署EDR、网络边界防护及员工培训。

新型APT组织ArmoredLikho首次大规模利用大模型生成恶意代码，双线攻击政务电力设施与普通用户加密资产。其通过钓鱼邮件投递恶意LNK快捷方式与NSIS包，利用高危漏洞静默部署BusySnake窃密木马与反向隧道。建议政企紧急修补LNK漏洞，严控PowerShell外网下载，监控COM计划任务与特定可疑目录，并阻断反向SSH外联流量以构建有效防御。

360高级威胁研究院披露APT-C-36盲眼鹰组织在2026年5月使用新型加载器发起攻击。该加载器采用.NETAhead-of-Time编译技术生成原生机器码以增强隐蔽性，通过钓鱼邮件投递诱饵释放白加黑文件，最终将DCRat远控木马注入合法进程AddInProcess32.exe实现远程控制。攻击目标主要为哥伦比亚等南美地区的政府和金融行业。建议相关机构关注IOC并加强邮件安全防护。