ZONE.CI 全球网

俄罗斯APT组织Turla自2022年12月起持续开发部署名为STOCKSTAY的.NET后门，主要针对乌克兰政府、军事单位及意大利外交实体进行长期网络间谍活动。该后门采用模块化设计，通过安全WebSocket与C2通信，利用WM\\_COPYDATA实现进程间通信，并伪装成股票查看器、PDF阅读器等普通应用以规避检测。攻击者通过钓鱼邮件、恶意RDP配置及利用WinRAR漏洞（CVE-2025-8088）进行初始入侵，仅在办公时段运行以降低告警。STOCKSTAY与Turla此前使用的KAZUAR工具

朝鲜APT组织SapphireSleet通过劫持MastraAI官方npm账号，污染140+开源包并搭配仿冒库easy-day-js实施供应链攻击，窃取加密钱包密钥、企业凭证等敏感数据。攻击利用npminstall自动触发多层远控木马，支持跨平台渗透且采用内存执行规避检测。建议受影响用户立即清理环境、轮换密钥，并长期配置npm忽略安装脚本、使用安全扫描工具加固依赖管理。

未被报道的APT组织ArmoredLikho针对多国政府与电力部门发起网络钓鱼攻击，通过恶意LNK和NSIS打包EXE进行初始访问。攻击者结合AI生成加载器与GitHub基础设施快速分发有效载荷，最终部署经PyArmor深度混淆的BusySnake窃取器。该窃取器具备RAT与隧道功能，通过计划任务持久化，能全面窃取浏览器凭证、Telegram会话及加密钱包等敏感数据。建议加强针对异常LNK文件、PowerShell执行链及可疑GitHub通信流量的监测与防御。

RecordedFuture披露APT组织NexusTag182使用自研Markirat远控木马，通过Office宏和IM钓鱼批量入侵政企终端，长期潜伏窃取涉密企业核心资料。木马具备键盘记录、截屏、文件窃取、凭证抓取等能力，采用RTLO欺骗、进程注入、沙箱检测等对抗手段。攻击链路包括社工投递、宏执行、持久化、情报收集和内网横向。防御需禁用宏、部署EDR、网络边界防护及员工培训。

新型APT组织ArmoredLikho首次大规模利用大模型生成恶意代码，双线攻击政务电力设施与普通用户加密资产。其通过钓鱼邮件投递恶意LNK快捷方式与NSIS包，利用高危漏洞静默部署BusySnake窃密木马与反向隧道。建议政企紧急修补LNK漏洞，严控PowerShell外网下载，监控COM计划任务与特定可疑目录，并阻断反向SSH外联流量以构建有效防御。

360高级威胁研究院披露APT-C-36盲眼鹰组织在2026年5月使用新型加载器发起攻击。该加载器采用.NETAhead-of-Time编译技术生成原生机器码以增强隐蔽性，通过钓鱼邮件投递诱饵释放白加黑文件，最终将DCRat远控木马注入合法进程AddInProcess32.exe实现远程控制。攻击目标主要为哥伦比亚等南美地区的政府和金融行业。建议相关机构关注IOC并加强邮件安全防护。

M国APT战略研究连载三聚焦技术能力与武器库，核心包括漏洞公平裁决程序VEP决定零日漏洞披露或留存，以及战略储备如永恒之蓝等漏洞。漏洞储备具有双重风险，既提升情报能力又可能被滥用。建议关注漏洞管理平衡与安全防护。

本文提出T-Trace方法，通过分析多源系统日志关联性构建APT攻击溯源图。该方法利用张量分解技术定位日志社群并计算显著性评分提取事件，有效缓解依赖爆炸问题。实验表明，与现有方法相比，T-Trace在构建溯源图时能减少90%时间成本，准确率达92%，事件识别准确率提升38%，可实际应用于APT溯源。

OpenSSL错误处理缺陷导致Debian13系统上apt3.0在FIPS模式下无法进行HTTPS访问。问题根源在于apt的TLS读写路径未在调用SSL_get_error前清空OpenSSL的每线程错误队列，误将残留的旧错误当作当前操作结果。该编码捷径在生态系统中普遍存在，可能掩盖真实的安全检查失败。修复建议包括针对性清空错误队列或使用ERR_set_mark和ERR_pop_to\\_mark包裹代码块。

APT组织ArmoredLikho（EagleWerewolf）自2023年起活跃，近期利用新型窃密组件BusySnakeStealer，通过鱼叉式钓鱼邮件针对俄罗斯、巴西和哈萨克斯坦的政府机构及电力能源行业发起攻击。该组织融合金融窃取与网络间谍目的，采用PyArmor混淆、LNK漏洞（CVE-2025-9491）、GitHub分发及合法工具（如RustDesk）实现多层反检测。BusySnake具备剪贴板监控、文件枚举、浏览器密码窃取、反向SSH隧道及远程控制等模块化功能，且代码中乌克兰语痕迹暗示地缘背

老牌俄APT组织Turla推出新后门StockStay，专攻乌克兰军政和欧洲外交机构。该恶意软件采用模块化架构，通过GitHub云通道和漏洞钓鱼入侵，具备强加密和环境锁隔离技术，传统杀毒易漏报。建议升级WinRAR、监控异常WebSocket连接和邮件网关检测，阻断云隐蔽通信通道。

俄罗斯高级持续性威胁组织Turla针对乌克兰政府机构和军方部署新型后门StockStay，该后门采用.NET框架模块化设计，伪装成股票行情工具或PDF阅读器以降低检测概率，通过加密WebSocket通信实现隐蔽数据传输，并利用乌克兰境内被攻陷的合法服务器作为分发基础设施。安全专家建议加强电子邮件防护、部署EDR系统并监测异常WebSocket通信以提升检测能力。

本周安全周报重点涵盖6月必修漏洞清单、全球首例全自动AI勒索攻击曝光及重磅APT预警。建议安全团队立即排查并修补清单中提及的漏洞，同时加强对AI驱动勒索软件的防御策略，并针对APT预警提升网络监控与应急响应等级。

本文介绍CaptchaDosBurp插件用于检测验证码图片资源耗尽型拒绝服务漏洞，通过绝对时间、时间增量、长度增量三维度判定。同时分享一个高校人脸采集系统实战案例，通过将登录请求中login参数改为register实现任意用户注册，获取敏感信息访问权限。建议安全评估时使用该插件并注意fuzz技巧。

俄军APT28组织利用Signal聊天软件投递伪装政务文档，通过恶意宏触发COM劫持，释放Beardshell和Covenant两款定制恶意软件，实现无痕驻留、加密通信与数据窃取，精准攻击乌克兰政府高官。防御关键在于禁用Office宏、严控聊天文件传输、监控异常云流量与注册表。

伊朗APT组织NimbusManticore借地缘冲突掩护，针对航空与软件企业发起攻击。手法涵盖招聘钓鱼、伪造Zoom安装包劫持定时任务及SEO投毒诱导下载带毒工具。核心后门MiniFast呈现显著AI生成代码特征，具备强隐蔽与快速迭代能力。建议企业拦截非官方安装包、屏蔽投毒域名并监控异常进程加载，个人需严格校验软件签名与下载域名以防中招。

360威胁情报中心分析发现APT-C-26(Lazarus)组织升级其监控程序，新增键盘记录能力组件。该组件采用三种冗余方式捕获按键，包括原始输入、键盘钩子和异步轮询，并具备看门狗功能确保持续运行。监控日志通过加密通道发送至C2服务器，标志着该组织监控工具链已从远程控制升级为操作行为与屏幕内容双重情报采集平台。

报告指出APT组织NimbusManticore在伊朗冲突期间攻击国防、军事、航空和电信行业；勒索病毒Weaxor和Wmansvcs活跃；新增安全漏洞2032个，高危占53.73%。建议加强关键基础设施防护，及时修补高危漏洞。

巴基斯坦黑客组织ZulfiqarAPT在暗网抛售印度军工及国防敏感数据，总数据量31GB，涉及DRDO、国防部、三军人员及多家军工企业，要价2000-9000美元。泄露内容含武器设计图纸、技术文档及约5000名军事人员个人信息，样例文件真实性较高。建议相关单位警惕数据扩散和基于泄露信息的定向钓鱼攻击。

伊朗APT组织CavernManticore利用SysAid等RMM工具供应链投毒，部署模块化.NET后门框架，采用DLL侧加载、NativeAOT免杀、内存隔离销毁、伪装微软云C2等高级对抗技术，专攻政企和IT服务商，传统杀毒和EDR几乎无法检测。建议企业立即开展终端文件、网络流量、进程行为排查，并加固RMM运维管控。