ZONE.CI 全球网

本文详细分析了AgentTesla恶意软件的隐蔽感染链，攻击从钓鱼邮件附件触发，通过高度混淆的批处理脚本静默启动PowerShell实现无文件内存加载，并利用进程注入技术规避检测。该恶意软件具备反调试、反沙箱和反VM检测能力，可窃取浏览器凭据、键盘记录和屏幕截图，并通过SMTP等协议外传数据。建议企业部署EDR方案并加强员工反钓鱼培训。

本文记录了一道CTF弱口令爆破题的解题过程，作者通过分析登录页面发现响应内容不变但Cookie中隐藏失败提示的关键细节，调整脚本逻辑后成功爆破出弱口令组合，并利用Session访问/flag路径获取Flag。文章强调需关注Cookie/Header信息而非仅依赖HTML内容，同时从防御角度提出禁用弱口令、增加验证码等建议。

恶意LNK文件伪装成求职简历针对企业员工进行定向攻击，结合社会工程学诱骗用户打开文件。攻击采用多阶段载荷投放，通过计划任务持久化，并利用DLL侧加载执行Xctdoor后门。文档提供了检测指标如检查公共目录下的脚本文件和异常计划任务，以及缓解措施包括禁用不受信任位置的LNK执行和启用PowerShell日志记录。

本文记录了通过前端技术实现批量下载工单文件的操作实践。作者通过提取文件名中的工单号，利用MiniUIDataGrid组件的JSAPI实现自动勾选指定工单，结合系统批量下载功能完成半自动化操作。文档包含具体操作步骤、常见问题解决方案及调试技巧，为类似前端批量操作场景提供了实用参考。

2026年6月发现的恶意活动通过意大利语钓鱼邮件分发伪装成PDF的JS文件，利用恶意Chrome扩展与原生消息主机结合，绕过浏览器安全规则实现持久化后门。该后门可窃取浏览器Cookie、标签页等数据以劫持会话，并能在Windows系统上执行PowerShell命令进行远程控制。防御建议包括审计Chrome企业策略、核对原生消息注册、审查PowerShell日志及使暴露会话失效。

本文针对Windows系统下ClaudeCode使用不流畅的问题进行分析，指出PowerShell和GitBash存在的命令行环境缺陷，提出通过修改settings.json禁用PowerERSHELL工具、安装WindowsTerminal替代GitBash终端两种解决方案，并详细说明配置步骤和效果对比。

本文介绍一款CobaltStrikeAggressor脚本工具，通过进程、服务、内核驱动三层特征匹配实现EDR探测，提供6档分级噪音模式（从零痕迹进程内执行到全量WMI枚举），可识别主流终端安全产品并评估威胁等级。工具采用BOF技术实现静默检测，作者推荐优先使用edr_check+edr_services\\_bof组合实现全覆盖零噪音探测，并给出从低到高逐步升级的实战工作流。

CSTIS监测发现Remcos恶意软件7.2.1Pro新变种利用DonutLoader内存加载技术，通过钓鱼邮件投递Bestellung.CMD文件，结合PowerShell/VBScript/JavaScript三层脚本及Base64/XOR加密手段，注入系统进程实施远程控制。建议立即更新防病毒软件、全盘查杀、谨慎处理邮件附件并定期备份数据。

工业和信息化部网络安全威胁和漏洞信息共享平台监测发现Remcos远程访问木马新型变种正在活跃传播。该变种首次融合DonutLoader内存加载与AutoIt脚本调度技术，通过钓鱼邮件诱导用户执行恶意批处理文件，利用系统合法工具层层解码后注入合法进程执行恶意行为，具备远程控制、信息窃取等高风险能力。建议用户及时更新防病毒软件、谨慎处理邮件附件并定期备份数据。

该文档记录了一次内网渗透实战经历，详细描述了遇到的七个主要问题及解决方案：包括冰蝎内存马注入、WebSocket协议不上线、交互式shell不可用、隧道代理被拦截、文件下载困难、扫描工具被查杀以及Linux提权问题。文章提供了具体的技术应对措施，如使用非交互式shell、PowerShell搭建HTTP服务器、更换扫描工具等，并强调武器化工具储备的重要性。

该文档介绍了一个名为Llm-Vuln-Checker的命令行工具，用于防御测试大模型应用的安全漏洞，如提示词注入和敏感信息泄露。工具支持OpenAI兼容接口和离线日志审计，可生成Markdown或JSON报告，并允许自定义规则。它强调仅用于授权测试，使用假密钥，结果需人工复核。

本文详细记录了在Windows10环境下安装Hermes桌面端时遇到的三个主要问题及解决方案：卡在安装ripgrep和ffmpeg时需手动通过winget或下载安装包并配置环境变量；BuildingDesktopApp失败因缺少gitcommit信息，需手动克隆仓库到指定目录；CloningHermesrepository失败同样可通过手动克隆解决。此外还提供了uv、pip、npm镜像配置及Playwright下载失败的解决方法，并概述了脚本安装流程和安装后配置步骤。

WindowsAdminCenter(WAC)的多个漏洞（CVE-2025-64669等）允许攻击者从低权限AzureVM提升至SYSTEM，利用token绑定缺失、证书验证缺陷和XSS，最终横向移动至本地AD。关键发现是混合管理工具打破了云与本地边界，建议及时更新WAC并监控异常管理会话。

本文深入剖析了2025年终端安全对抗中EDR规避的三大前沿技术：间接系统调用通过从ntdll.dll内合法地址执行syscall来绕过用户态hook；ETW绕过通过patchEtwEventWrite等函数使EDR无法接收关键事件；内核回调脱钩通过遍历并清零EDR注册的回调函数指针来隐藏进程创建等行为。文章指出攻击者已能在500ms内完成规避，防御方则向硬件虚拟化、行为分析和内存完整性扫描演进。建议防御者采用纵深防御策略，结合应用白名单、网络分段和最小权限原则。

Turla组织的Kazuar后门结合DLL侧加载与混淆PowerShell加载器实现隐蔽执行，通过劫持合法程序在内存中解密运行载荷以规避检测，并滥用云服务隐藏C2通信。建议防御者监控受信进程的异常DLL加载与PowerShell日志，采用实时端点内存监控替代传统沙箱，以应对其环境门控反分析技术。

本文分析了ClickFix社会工程学攻击技术，该技术通过伪造验证码或系统提示诱导用户手动执行恶意命令，取代传统钓鱼邮件成为主流渗透手段。文章详细描述了攻击链、macOS变体CrashReportImpersonator及医疗行业成为重灾区的原因，并提供了从系统层面切断攻击链的防御建议，如启用PowerShell受限语言模式、禁用mshta等。

本文汇总了2026年7月18日多篇网络安全技术文章，涵盖免杀工具Heavenly更新、GateIn内核级C2模型、ClickFix攻击链利用Cloudflare掩护、WordPressBricksforge未授权提权漏洞、Nginx堆缓冲区溢出漏洞、WindowsLegacyHive零日漏洞等，并包含安全事件周报和CSRF绕过技术。

eSentireTRU报告拆解TAG-150攻击链，始于ClickFix诱饵，经MSI和AI生成的PowerShell脚本安装Deno运行时，加载DinDoorloader与DenoRAT，最终执行NightshadeC2。攻击利用Deno的FFI调用WindowsAPI绕过检测，全程几乎不落盘。关键发现包括Deno作为恶意软件载体、AI生成代码登场及多阶段串联。建议蓝队关注Deno进程异常行为及JWT中的活动归因线索。

攻击者利用AI生成的PowerShell脚本枚举AD域账户并外泄数据，标志着Vibe编码恶意软件的兴起。该脚本虽能绕过传统静态签名检测，但保留了冗余逻辑等明显AI特征。研究表明AI无法掩盖底层系统调用，安全团队应摒弃静态签名，转向基于行为遥测的分析以应对此类定制化威胁。

本文披露APT36影子招聘行动，黑客伪造招聘压缩包，经LNK触发脚本下载合法远控并植入木马。其创新利用谷歌表格API作隐蔽C2，流量伪装云访问且具反沙箱能力。建议个人警惕陌生压缩包，企业需监控异常进程链与计划任务，审计云表格API，中招后应断网清文件并改密。

本文推广《Windows安全内幕:身份验证、授权与审计(AAA)核心技术详解》一书,由国际安全专家詹姆斯·福肖撰写,国内专家联合翻译。书籍基于真实入侵案例,系统讲解WindowsAAA安全体系,涵盖认知梳理、架构思想、底层剖析、项目实战、行业展望五大板块,旨在帮助从业者深入理解Windows安全底层原理,提升实战防御能力。

本文以虚拟机攻穿内网事件为引，指出运维缺乏Windows底层认知致防线失效，进而推介《Windows安全内幕》一书。该书由国际专家撰写，深度剖析AAA体系与认证协议原理并配套攻防实战。建议从业者摆脱图形操作依赖，通过掌握底层机制构建纵深防御以防范勒索与域渗透风险。

本文为ExchangeProxyShell攻击链的实战复现记录，涵盖CVE-2021-34473、CVE-2021-34523、CVE-2021-31207三个漏洞的原理分析、利用脚本使用及失败排查过程。作者分享了通过审计源码获取Token、绕过CVE-2018-8581补丁影响等关键技巧，并提供了手动复现思路与自动化脚本方案，对红队实战具有较高参考价值。

本文介绍了Windows反弹Shell的三种姿势，包括nc正向和反向、regsvr32利用系统组件远程加载脚本、PowerShell的powercat与Invoke-Obfuscation混淆免杀，并通过火绒实测了免杀效果。文章提供了详细的实验步骤和命令，适用于安全学习和授权测试。

俄关联组织UAC-0099使用新型ASHVEIN远控木马攻击乌克兰政府人员，该木马能提取浏览器凭据、截屏、检索文件，通过HTML隐蔽指令和GitHub备用渠道接收任务。文章指出这是持续获取入口、筛选目标并移交的前端作业系统，四年更换十余种工具，目标覆盖乌克兰政府、防务、边防和物流等领域。对我风险主要来自手法迁移，驻外机构、物流企业等可能成为目标，建议关注非浏览器进程读取凭据库等组合信号，并核查身份令牌、VPN会话等环境。