ZONE.CI 全球网

APT36透明部落组织利用社会工程学诱饵投放Patchcord等三套后门，通过劫持浏览器快捷方式实现持久化，并滥用GoogleSheets和GitHubGist作为C2通道以规避检测。攻击目标为南亚电信、国防等关键基础设施。建议检查注册表异常键值、审计浏览器快捷方式、监控对公有云服务的高频访问，并加强员工安全意识培训。

IBMX-Force与Deception.Pro利用欺骗防御技术搭建高仿真企业环境，成功诱捕APT组织ITG27的完整人工渗透流程。攻击者采用DLL侧加载、WebSocket加密C2及双模式VNC后门，根据目标环境调整策略。研究验证了欺骗防御在捕获真实攻击行为中的价值，并建议加强邮件沙箱检测、终端行为监控及网络隔离。

朝鲜APT组织PurpleDelta利用AI伪造身份通过远程招聘流程入职企业，窃取源代码与商业机密。攻击不依赖漏洞，而是利用合法账号权限绕过安全设备。文章给出HR与安全团队防御清单及应急处置步骤，强调远程岗位背景调查与权限管控的重要性。

本文通过追踪GitHub提交元数据中的邮箱，关联到被信息窃取木马感染的攻击者工作站，还原了盲眼鹰APT组织的完整作业流水线。发现该组织使用多RAT家族、本地制作钓鱼模板、批量邮件发送及商业免杀工具，揭示了从代码托管到C2基础设施的完整攻击链与规避策略。

本文为天御攻防实验室发布的西方APT研究群招募公告，旨在建立专业交流社群，讨论西方网络行动、网络战略、信号情报及归因等话题。入群需认同特定价值观、具备至少五年西方APT研究经验并热爱分享。建议符合条件的同行联系作者进行身份验证后加入。

近期网络安全事件频发，白俄罗斯APT组织Ghostwriter利用乌克兰教育平台作诱饵攻击政府机构；全球性安卓恶意软件通过250款应用为用户私自订阅付费服务；黑客利用微软已停用工具MSHTA实施无文件攻击；CISA在GitHub误公开844MB机密资料；Megalodon恶意软件感染5500余GitHub仓库；Drupal核心严重漏洞威胁PostgreSQL网站远程代码执行；思科修复CVSS10.0分漏洞防止数据泄露；Nginx0-day漏洞`nginx-poolslip`危及数百万服务器。

本文分析TransparentTribe（透明部落）APT组织及其CrimsonRAT远控样本，指出该组织自2016年被披露后长期针对印度等周边国家政府、军队开展网络间谍活动，擅用社会工程学鱼叉攻击投递恶意文档，并持续更新攻击武器与手法以增加分析难度。

本文分析了伊朗APT组织Handala对以色列发起的网络攻击，指出以色列因选择性防御策略导致医院、前总理隐私及监控摄像头等非核心目标被轻易攻破。文章揭示了网络强国在监管框架与技术能力间的鸿沟，并给出避免选择性防御、及时修复已知漏洞、防范低技术攻击等建议。

本文概述了朝鲜KonniAPT组织（APT37）的攻击活动，指出该组织自2012年以来主要针对韩国，2017年后扩大至美、日、俄等多国，通过鱼叉式钓鱼邮件传播窃密木马，并提及与Kimsuky组织的关联，强调APT攻击持续升级需安全人员提升分析能力。

安全研究人员披露APT36组织针对印度军事目标的Linux平台攻击活动Vibeware，采用武器化.desktop文件作为初始载荷，通过多层编码混淆、三重持久化机制和抗打击C2架构实施网络间谍活动。攻击链包含视听分离欺骗设计，后台静默执行DeskRAT远控木马，具备完整的文件窃取、远程控制功能。该活动标志该组织已完成向Linux平台的重要战术迁移。

该文批判性审视APT攻击归因研究现状，指出技术归因与政治归因存在表征、时间、因果三重断裂困境。提出融合技术取证与政治语境的跨域框架，通过知识图谱、大语言模型、证据理论和贝叶斯网络实现从相关性匹配到因果推理的跃迁，旨在构建可审计、可解释的归因决策体系。

朝鲜APT组织Kimsuky于2026年6月针对韩国统一部发起钓鱼攻击，使用伪装PDF的LNK文件诱饵，通过多阶段PowerShell脚本从GitHub下载恶意载荷并建立任务计划持久化。攻击采用针对韩文的混淆技术，核心战术为社会工程学结合云端资源滥用。应对措施包括禁用可疑LNK文件、检查任务计划、部署端点防护及加强安全意识教育。

本文详细分析了海莲花APT组织在2024至2026年的最新攻击活动，指出其战略重点已从对外网络间谍转向对内监控，并与越南国内反腐运动及金融监管行动存在关联。报告深度剖析了FireAntMetakit供应链攻击、针对越南基建交通公司的渗透事件，并解析了新型后门SpectralViper的架构与演进。最后，报告提供了MITREATT&CK技术映射及具体的检测与防御建议。

APT28组织将攻击基础设施转向劫持家用路由器，并利用合法云服务API作隐蔽C2通道，手法升级为部署短效工具与AI窃取程序。建议企业更新路由器固件、改默认凭证、禁用远程管理，并实施多因素认证及审计OAuth令牌权限以防范威胁。

绿盟科技发布《APT组织研究年鉴》(2026版)，揭示2025年全球APT活动持续走高，公开报告超700篇，涉及组织119个。AI技术重构攻击链路，AI驱动攻击活动激增89%，钓鱼邮件点击率提升至54%。报告预测2026年AI将成为核心攻击引擎，供应链攻击常态化，并建议构建以AI对抗AI的主动防御体系。

360威胁情报中心检测到APT-C-48(CNC)组织近期以招聘简历为诱饵的定向钓鱼攻击。攻击者通过邮件投递伪装成PDF的双后缀EXE文件，用户点击后经多层加密URL下载VBS脚本及诱饵文档，最终下载使用OpenSSL加密通信的远控木马，实现文件窃取与命令执行。报告详细分析了攻击链、载荷解密过程及C2通信机制，并基于攻击手法、载荷特征与历史活动关联性进行归属研判，同时提供了相关IOC。

LazarusGroup是朝鲜侦察总局下属的全球活跃APT组织，自2007年起持续进行间谍情报收集、破坏性攻击和金融犯罪活动。该组织通过攻击金融机构、国防军事、加密货币等领域，为朝鲜获取外汇并收集情报，其攻击手段包括供应链投毒、AI辅助社工等，并已形成多子组织协同的成熟攻击体系。报告详细分析了其攻击时间线、技术特征、恶意软件武器库及防御策略。

APT28（梦幻熊）劫持Moobot僵尸网络，利用Ubiquiti、TP-Link等路由器漏洞构建全球间谍网络，针对政府、能源、企业等目标窃取凭证。文档详细分析了入侵流程、识别特征，并提供了路由加固、终端防护、应急处置等防御方案。

APT37推出NarwhalRAT远控木马，利用仿微软OTP钓鱼邮件投递诱饵，滥用合法工具实现内存无文件加载，并以pCloud云存储作为死信站隐蔽通信，有效规避传统检测。建议企业部署内存检测型EDR，管控系统脚本权限，审计异常云盘API流量，并强化防钓鱼培训。

该文档分析了APT-C-36组织在2026年4月针对哥伦比亚的新攻击活动，攻击者通过SVG钓鱼邮件投递含AI生成痕迹的JavaScript/PowerShell下载器，使用Hijackloader加载Remcos远控木马，技术特征与历史活动高度一致。报告详细解析了攻击流程、载荷解密方法及Remcos功能，指出AI技术降低了攻击门槛，预警未来攻击频次和强度将提升。