ZONE.CI 全球网

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

新型APT组织ArmoredLikho首次大规模利用大模型生成恶意代码，双线攻击政务电力设施与普通用户加密资产。其通过钓鱼邮件投递恶意LNK快捷方式与NSIS包，利用高危漏洞静默部署BusySnake窃密木马与反向隧道。建议政企紧急修补LNK漏洞，严控PowerShell外网下载，监控COM计划任务与特定可疑目录，并阻断反向SSH外联流量以构建有效防御。

本文介绍一款专为授权红队测试设计的LNK快捷方式生成工具的最新升级，主要增强反沙箱检测（检测调试器、虚拟机、安全产品进程及系统进程数）、提升加载器兼容性（支持多种语言编译的载荷程序）并新增双延迟机制（下载与运行延迟独立配置），以规避沙箱分析和行为检测，用于企业安全防护能力验证评估。

本文介绍一款专为授权红队测试设计的LNK快捷方式演练方案,可生成模拟高级威胁攻击链的LNK文件,用于企业安全防护能力验证评估。项目由工具生成LNK和负责逻辑的静态文件两部分构成,需考虑绕过MOTW(如利用7-Zip漏洞或VHD格式包装)。执行流程包括反沙箱检测、下载诱饵、释放载荷并连接C2。演示显示在Win11-24H2上有效,但单文件模式不支持Win11,因NTML漏洞导致SMB共享需认证;Win10无需认证即可执行远程代码。文章强调仅限合法授权使用,并提供了使用场景和免责声明。

本文深入分析了震网病毒利用LNK文件图标加载机制实现零点击执行的原理，揭示了攻击者通过CPL文件侧载恶意DLL的技术细节。文章还探讨了在漏洞被修复后，攻击者如何利用NeverShowExt注册表标志隐藏LNK后缀名诱骗用户双击。最后提供了蓝队通过静态检测和日志审计进行防御的具体方法，包括监控explorer.exe加载异常模块和检测双重扩展名LNK文件。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

新型APT组织ArmoredLikho首次大规模利用大模型生成恶意代码，双线攻击政务电力设施与普通用户加密资产。其通过钓鱼邮件投递恶意LNK快捷方式与NSIS包，利用高危漏洞静默部署BusySnake窃密木马与反向隧道。建议政企紧急修补LNK漏洞，严控PowerShell外网下载，监控COM计划任务与特定可疑目录，并阻断反向SSH外联流量以构建有效防御。

APT组织ArmoredLikho（EagleWerewolf）自2023年起活跃，近期利用新型窃密组件BusySnakeStealer，通过鱼叉式钓鱼邮件针对俄罗斯、巴西和哈萨克斯坦的政府机构及电力能源行业发起攻击。该组织融合金融窃取与网络间谍目的，采用PyArmor混淆、LNK漏洞（CVE-2025-9491）、GitHub分发及合法工具（如RustDesk）实现多层反检测。BusySnake具备剪贴板监控、文件枚举、浏览器密码窃取、反向SSH隧道及远程控制等模块化功能，且代码中乌克兰语痕迹暗示地缘背

本文介绍一款专为授权红队测试设计的LNK快捷方式生成工具的最新升级，主要增强反沙箱检测（检测调试器、虚拟机、安全产品进程及系统进程数）、提升加载器兼容性（支持多种语言编译的载荷程序）并新增双延迟机制（下载与运行延迟独立配置），以规避沙箱分析和行为检测，用于企业安全防护能力验证评估。

本文介绍一款专为授权红队测试设计的LNK快捷方式演练方案,可生成模拟高级威胁攻击链的LNK文件,用于企业安全防护能力验证评估。项目由工具生成LNK和负责逻辑的静态文件两部分构成,需考虑绕过MOTW(如利用7-Zip漏洞或VHD格式包装)。执行流程包括反沙箱检测、下载诱饵、释放载荷并连接C2。演示显示在Win11-24H2上有效,但单文件模式不支持Win11,因NTML漏洞导致SMB共享需认证;Win10无需认证即可执行远程代码。文章强调仅限合法授权使用,并提供了使用场景和免责声明。

本文深入分析了震网病毒利用LNK文件图标加载机制实现零点击执行的原理，揭示了攻击者通过CPL文件侧载恶意DLL的技术细节。文章还探讨了在漏洞被修复后，攻击者如何利用NeverShowExt注册表标志隐藏LNK后缀名诱骗用户双击。最后提供了蓝队通过静态检测和日志审计进行防御的具体方法，包括监控explorer.exe加载异常模块和检测双重扩展名LNK文件。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

新型APT组织ArmoredLikho首次大规模利用大模型生成恶意代码，双线攻击政务电力设施与普通用户加密资产。其通过钓鱼邮件投递恶意LNK快捷方式与NSIS包，利用高危漏洞静默部署BusySnake窃密木马与反向隧道。建议政企紧急修补LNK漏洞，严控PowerShell外网下载，监控COM计划任务与特定可疑目录，并阻断反向SSH外联流量以构建有效防御。

APT组织ArmoredLikho（EagleWerewolf）自2023年起活跃，近期利用新型窃密组件BusySnakeStealer，通过鱼叉式钓鱼邮件针对俄罗斯、巴西和哈萨克斯坦的政府机构及电力能源行业发起攻击。该组织融合金融窃取与网络间谍目的，采用PyArmor混淆、LNK漏洞（CVE-2025-9491）、GitHub分发及合法工具（如RustDesk）实现多层反检测。BusySnake具备剪贴板监控、文件枚举、浏览器密码窃取、反向SSH隧道及远程控制等模块化功能，且代码中乌克兰语痕迹暗示地缘背

本文介绍一款专为授权红队测试设计的LNK快捷方式生成工具的最新升级，主要增强反沙箱检测（检测调试器、虚拟机、安全产品进程及系统进程数）、提升加载器兼容性（支持多种语言编译的载荷程序）并新增双延迟机制（下载与运行延迟独立配置），以规避沙箱分析和行为检测，用于企业安全防护能力验证评估。

本文介绍一款专为授权红队测试设计的LNK快捷方式演练方案,可生成模拟高级威胁攻击链的LNK文件,用于企业安全防护能力验证评估。项目由工具生成LNK和负责逻辑的静态文件两部分构成,需考虑绕过MOTW(如利用7-Zip漏洞或VHD格式包装)。执行流程包括反沙箱检测、下载诱饵、释放载荷并连接C2。演示显示在Win11-24H2上有效,但单文件模式不支持Win11,因NTML漏洞导致SMB共享需认证;Win10无需认证即可执行远程代码。文章强调仅限合法授权使用,并提供了使用场景和免责声明。

本文深入分析了震网病毒利用LNK文件图标加载机制实现零点击执行的原理，揭示了攻击者通过CPL文件侧载恶意DLL的技术细节。文章还探讨了在漏洞被修复后，攻击者如何利用NeverShowExt注册表标志隐藏LNK后缀名诱骗用户双击。最后提供了蓝队通过静态检测和日志审计进行防御的具体方法，包括监控explorer.exe加载异常模块和检测双重扩展名LNK文件。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

新型APT组织ArmoredLikho首次大规模利用大模型生成恶意代码，双线攻击政务电力设施与普通用户加密资产。其通过钓鱼邮件投递恶意LNK快捷方式与NSIS包，利用高危漏洞静默部署BusySnake窃密木马与反向隧道。建议政企紧急修补LNK漏洞，严控PowerShell外网下载，监控COM计划任务与特定可疑目录，并阻断反向SSH外联流量以构建有效防御。

APT组织ArmoredLikho（EagleWerewolf）自2023年起活跃，近期利用新型窃密组件BusySnakeStealer，通过鱼叉式钓鱼邮件针对俄罗斯、巴西和哈萨克斯坦的政府机构及电力能源行业发起攻击。该组织融合金融窃取与网络间谍目的，采用PyArmor混淆、LNK漏洞（CVE-2025-9491）、GitHub分发及合法工具（如RustDesk）实现多层反检测。BusySnake具备剪贴板监控、文件枚举、浏览器密码窃取、反向SSH隧道及远程控制等模块化功能，且代码中乌克兰语痕迹暗示地缘背

本文介绍一款专为授权红队测试设计的LNK快捷方式生成工具的最新升级，主要增强反沙箱检测（检测调试器、虚拟机、安全产品进程及系统进程数）、提升加载器兼容性（支持多种语言编译的载荷程序）并新增双延迟机制（下载与运行延迟独立配置），以规避沙箱分析和行为检测，用于企业安全防护能力验证评估。

本文介绍一款专为授权红队测试设计的LNK快捷方式演练方案,可生成模拟高级威胁攻击链的LNK文件,用于企业安全防护能力验证评估。项目由工具生成LNK和负责逻辑的静态文件两部分构成,需考虑绕过MOTW(如利用7-Zip漏洞或VHD格式包装)。执行流程包括反沙箱检测、下载诱饵、释放载荷并连接C2。演示显示在Win11-24H2上有效,但单文件模式不支持Win11,因NTML漏洞导致SMB共享需认证;Win10无需认证即可执行远程代码。文章强调仅限合法授权使用,并提供了使用场景和免责声明。

本文深入分析了震网病毒利用LNK文件图标加载机制实现零点击执行的原理，揭示了攻击者通过CPL文件侧载恶意DLL的技术细节。文章还探讨了在漏洞被修复后，攻击者如何利用NeverShowExt注册表标志隐藏LNK后缀名诱骗用户双击。最后提供了蓝队通过静态检测和日志审计进行防御的具体方法，包括监控explorer.exe加载异常模块和检测双重扩展名LNK文件。

本文深入分析了震网病毒利用LNK文件图标加载机制实现零点击执行的原理，揭示了攻击者通过CPL文件侧载恶意DLL的技术细节。文章还探讨了在漏洞被修复后，攻击者如何利用NeverShowExt注册表标志隐藏LNK后缀名诱骗用户双击。最后提供了蓝队通过静态检测和日志审计进行防御的具体方法，包括监控explorer.exe加载异常模块和检测双重扩展名LNK文件。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。