ZONE.CI 全球网

360威胁情报中心分析发现APT-C-26(Lazarus)组织使用定制化监控程序,通过伪装成远程IT人员部署。攻击流程包括禁用Defender、释放DLL和守护进程、利用Shell扩展持久化,最终实现远程桌面监控和数据窃取。该程序具备屏幕捕获、上传和远程控制功能,使用了Vault7泄露技术,归属为Lazarus组织,可能用于渗透企业窃取敏感信息。

本文披露APT36影子招聘行动，黑客伪造招聘压缩包，经LNK触发脚本下载合法远控并植入木马。其创新利用谷歌表格API作隐蔽C2，流量伪装云访问且具反沙箱能力。建议个人警惕陌生压缩包，企业需监控异常进程链与计划任务，审计云表格API，中招后应断网清文件并改密。

一份麦当劳外卖订单成为突破口，揭露俄罗斯关联APT组织voidblizzard（洗衣熊）的完整情报链条。核心嫌疑人前FSB特工丹尼斯通过持证企业yutek-nn实施间谍活动，针对北约、乌克兰等目标进行鱼叉钓鱼窃密。文章提供了四条防范建议，强调警惕第三方服务商背景和邮件安全。

APT-C-26拉撒路组织推出新型三层冗余键盘记录木马KKernel，伪装系统内核服务实现开机驻留，通过会话逃逸与看门狗保活。其核心威胁在于采用原始输入、全局低级钩子及十毫秒高频轮询三重兜底机制，确保窃密无死角，每三十秒加密回传至C2并清空本地日志。针对金融与政企等高价值目标，建议立即排查KKernelService服务与ProgramData下隐藏目录，部署EDR监控异常按键捕获行为，阻断已知C2，加强员工防钓鱼培训以切断入侵源头。

Turla是由俄罗斯FSB第16中心支持的国家级APT组织，自2004年起持续针对欧洲多国政府、外交、国防及高科技领域实施网络间谍活动。该组织使用自研恶意工具家族如Kazuar和Uroburos，结合零日漏洞、钓鱼攻击及卫星加密通信等高级手段，长期渗透法国等目标。报告建议加强针对此类高级持续性威胁的监测与防御。

第二届OpenHarmonyCTF智能漏洞挖掘赛将于2026年8月1日至8月21日举行，由XCTF联赛主办，目前距离开赛仅剩3天。该赛事旨在发现和培养网络安全技术人才，属于CTF竞赛形式，聚焦智能漏洞挖掘领域。

第二届OpenHarmonyCTF智能漏洞挖掘赛将于2026年8月1日至21日举行，由XCTF联赛主办。比赛旨在挖掘OpenHarmony系统漏洞，提升安全能力。建议安全研究人员和CTF爱好者积极参赛，关注官方渠道获取详情。

第二届OpenHarmonyCTF智能漏洞挖掘赛将于2026年8月1日至8月21日举行，由XCTF联赛主办，目前进入2天倒计时。该赛事聚焦智能漏洞挖掘领域，旨在吸引安全研究人员参与实战挑战，提升OpenHarmony生态安全性。建议参赛者提前准备并关注官方渠道获取最新信息。

伊朗APT组织MirageKitten更新武器库，曝光NightLedger后门与WebSocket隧道工具，持续对中东及非洲航空、国防等行业实施情报窃取。其通过鱼叉钓鱼与DLL劫持突破防线，利用隧道隐蔽穿透内网并将C2迁移至Cloudflare规避溯源。建议重点监控异常WebSocket出站流量及DLL侧加载行为以提升防御能力。

APT团伙利用虚假面试针对Mac开发者进行精准攻击，通过恶意Xcode项目投毒，使用AppleScript下载器、重置TCC权限、劫持Dock应用及强制签名覆盖等手法绕过安全机制，最终窃取加密货币凭证和SSH密钥。建议开发者警惕可疑面试邀约，使用专业安全工具加强防护。

本文披露Kimsuky组织攻陷OA厂商的供应链攻击链。攻击者通过漏洞或钓鱼入侵，部署Gomir系列Linux后门，含使用HTTP/3的BirdTroy及以谷歌云盘为C2的DriveTroy。随后篡改OA页面窃取凭证，利用客户台账横向渗透下游数千企业，并给出详细的自查特征与防御建议。

360高级威胁研究院披露APT-C-24(响尾蛇)组织近期使用application文件进行钓鱼攻击,通过ClickOnce部署白加黑组件,最终植入Rust后门窃取敏感信息并实现远程控制。该组织滥用workers.dev等免费托管平台,仿冒巴基斯坦政府机构域名,攻击目标为南亚国家政府、国防等领域。建议用户提高安全意识,警惕钓鱼邮件。

该文档介绍了安全分析团队利用样本基因同源分析技术，通过分析代码的深层语义特征，成功将2026年捕获的下载器样本与2023年和2025年的两个历史样本关联，并判定其与某APT组织存在关联。核心结论是攻击者长期复用核心代码逻辑，即祖传代码，而基因溯源技术能有效对抗基于表层特征的检测。建议安全团队重视样本基因库的积累，以提升长期威胁追踪能力。

本文记录使用hermesagent辅助完成酷安app抓包的实战过程，从r0capture/frida尝试失败，经tcpdump兜底，最终通过ecapture的boringsslTLShook成功获取明文接口。核心观点是AI自动抓包的价值在于将工具操作升级为可追踪、可复盘、可迁移的业务分析链路，并强调接口分析与脱敏报告的重要性。

本文提出利用大语言模型与图神经网络结合的双引擎架构识别APT攻击，解决数据分散、格式杂乱及误报问题。核心方法包括双窗口时序分析捕捉慢速渗透、图谱推理还原攻击链，以及多信号融合评分。可操作建议：从高风险域试点，调整窗口参数，融合评分接防火墙与工单系统，按月更新模型避免概念漂移。

卡巴斯基披露APT组织MirageKitten（幻影小猫）更新NightLedger后门、BridgeHead和ArcBridge隧道工具，通过仿冒招聘网站和视频会议页面进行鱼叉钓鱼，专攻中东非洲航空、国防、电信及政府机构。攻击者利用DLL劫持和WebSocket加密隧道实现长期潜伏窃密，传统防火墙难以检测。建议企业加强终端权限管控、部署流量深度解析并开展全员钓鱼培训，使用文中IOC进行全网狩猎。

韩国发布联合预警，LazarusAPT与Gunra勒索团伙深度合作，共享全套攻击武器和基础设施，同时进行间谍情报窃取和勒索变现。攻击利用韩国强制安装的金融安全软件漏洞，通过水坑攻击和AI钓鱼邮件入侵。企业需升级补丁、部署EDR、隔离内网，个人需更新软件、警惕陌生邮件。该合作标志国家级APT与勒索黑产彻底打通，威胁升级。

该文档为M国APT战略研究连载第七部分，聚焦未来趋势与演进方向。核心要点包括：人工智能与机器学习将深度整合，加剧攻防不对称并推动自动化作战体系；云原生与容器化技术带来新攻击面，模糊网络边界；太空与卫星网络成为新作战域，治理复杂；边缘计算与物联网的武器化将网络战范围扩展至物理世界。文档最后提出加强关键基础设施防护、供应链安全、人才培养与国际合作等综合性应对建议。

欧盟实锤Turla间谍APT长期渗透政企外交。其Kazuar工具采用P2P架构，仅单机外联，实现无文件内存驻留与隐蔽窃密，传统防护失效。文章拆解其全链路手法，提供流量审计、EDR监测及内网微分段等自查清单，建议政企升级内存检测与全域流量分析纵深防御体系。

乌克兰CERT-UA预警APT44通过虚假招聘对IT人员发起定向攻击。攻击者伪造企业账号进行仿真面试，诱导受害者下载基于WireGuard改造的恶意VPN客户端。该后门利用自定义Base64编码与AES加密隐藏载荷，在权限降级前执行恶意代码实现跨平台持久化。建议求职者严格核验企业资质，拒装不明VPN，企业需加强终端入网管控。