文章总结： 这篇文章基于Bitdefender报告分析了巴基斯坦APT36组织利用AI大模型实现恶意软件工业化生产的新型攻击模式。该组织通过AI生成海量恶意载荷，利用Nim、Rust等小众语言重置检测基线，寄生Discord、GoogleSheets等可信云服务建立C2通道，针对印度政府实施分布式拒绝检测攻击。文章详细剖析了LuminousCookies、BackupSpy等攻击工具的技术原理，提出了以行为分析为核心的防御建议。 综合评分： 85 文章分类： 威胁情报,恶意软件,AI安全,漏洞分析,实战经验

巴基斯坦APT36借AI实现“恶意软件工业化”，印度成“小白鼠”

原创

网空闲话 网空闲话

网空闲话plus

2026年3月9日 13:37 北京

长期以来，印巴两国在网络空间的明争暗斗从未停歇。然而，Bitdefender于2026年3月5日发布的重磅研究报告《APT36: A Nightmare of Vibeware》揭示了一个令人不安的现实：巴基斯坦的APT36组织已经放弃了以往精耕细作的攻击模式，全面转向由AI大模型驱动的“振动式开发”（Vibeware）。这种模式不追求单个恶意软件的“精致”与“隐蔽”，而是利用AI生成海量、多语言、多形态的“一次性”恶意载荷，对印度政府、外交及军事目标实施“分布式拒绝检测”（Distributed Denial of Detection, DDoD）攻击。

在这场新的猫鼠游戏中，防御方不仅要应对技术高超的“特工”，更要面对源源不断、虽然漏洞百出但却足以混淆视听的“数字炮灰”。印度作为APT36的传统目标，正面临着前所未有的“恶意软件海啸”的冲击。

综合Bitdefender报告的详细技术分析（报告共33页，涵盖2025年10月至2026年2月的活跃样本），我们将APT36在此次针对印度政府及外交使团（阿富汗政府及部分私营企业亦受波及）的攻击活动中所使用的战术、技术与程序（TTPs）梳理归纳为以下三大核心支柱.

一、 开发范式：AI驱动的“振动式开发”与“语言游击战”

APT36利用大语言模型（LLMs）彻底改造了其恶意软件生产线，呈现出明显的工业化特征。

1、“恶意软件每日一更”的高频产出

行为特征：攻击者保持 “恶意软件每日一更”（malware-a-day cadence） 的开发节奏，每天产生新的恶意软件变种。Bitdefender的遥测数据显示，从2025年8月至2026年1月，AI生成的恶意软件样本量在半年内增长了1038.56%，仅2026年1月单月即捕获2687个独特样本（不限于APT36）。这种工业化生产使攻击者可以持续投递新鲜载荷，绕过基于签名的传统检测。

战术意图：通过制造海量的、特征各异的恶意软件，对安全厂商的检测引擎和防御人员的分析能力实施饱和式打击。即使某个变种被捕获，第二天又有全新的变种投入使用，迫使防御方陷入无尽的“打地鼠”游戏。

2、“语言游击战”：利用小众语言重置检测基线技术实现

在AI的辅助下，APT36熟练地将恶意逻辑移植到Nim、Zig、Crystal、Rust、Go等传统安全引擎较少覆盖的“小众”或“现代”编程语言中。报告明确指出，这些语言的使用使得EDR（端点检测与响应）产品难以依赖既有的行为签名——因为这些语言的运行时、内存管理和系统调用模式与C++、C#差异巨大。

具体案例：

Crystal与Zig：如Warcode（Crystal编写）和ZigShell（Zig编写），这些语言足够小众，缺乏现成的检测规则。

Nim：被用作“隐形封装器”（stealthy wrapper），编译后输出C/C++代码，但独特的运行时使简单扫描器将其标记为“未知”而非“恶意”。

Rust与Go：用于编写“嘈杂”的窃密模块（如LuminousStealer、MailCreep），利用其内存安全特性确保长时间稳定运行，避免崩溃引发管理员警觉。

战术意图：通过切换编程语言，攻击者能够重置检测基线，使恶意软件在静态扫描和初始行为分析中呈现出“未知”而非“恶意”的状态，从而绕过第一道防线。

二、 基础设施与通信：全面“寄生”可信云服务的LOTS战术（Living Off Trusted Services）

APT36几乎完全摒弃了自建C2服务器的传统模式，转而大规模“寄生”于全球广泛使用的可信云服务，实现了通信的“隐身术”。AI模型因在海量公开SDK和文档上训练，能够稳定生成调用这些复杂API的代码，使这一战术变得极为便捷。

1、C2渠道多元化与时间演进

技术实现：恶意软件使用Discord、Slack、Supabase（开源PostgreSQL平台）、Firebase（Google旗下数据库）、Google Sheets等多种受信任的云平台作为命令与控制通道。

具体案例：

CrystalShell（Crystal语言）：以Discord和Slack为C2，活跃时间从2025年12月8日持续至报告发布。其Discord bot令牌存储方式经历了三个阶段演变：① 2025年12月硬编码于二进制；② 随后改为从公共Firebase端点获取；③ 2026年1月最新样本使用带认证的Supabase获取令牌。通信采用Base64编码，并验证发送者Discord用户ID，仅允许授权用户操作。

SheetCreep（C#语言）：将Google Sheets作为双向C2枢纽，通过读写电子表格单元格来下发加密指令（DES + Base64）和回传结果。样本编译时间为2025年10月28日。攻击者使用多个Google服务账号，如sasikapeeper@gmail[.]com和service-india-api@service-india-471504[.]iam.gserviceaccount.com，并在表格中留下手动操作痕迹（如命令中的’E,”笔误）。

SupaServ（Rust语言）：使用Supabase和Firebase作为后端，利用数据库表（如unenc_requests、unenc_outputs）管理任务和存储窃取的数据。其代码中包含Unicode emoji（如“📁”、“✅”），是AI辅助开发的典型特征。SupaServ还伪造浏览器TLS指纹（设置Sec-Fetch-*头），模仿Chrome 120的请求。

战术意图：由于这些服务的域名和流量在企业网络中通常被默认为“可信”或“必要”，恶意流量得以完美融入正常的业务流量中，极大地增加了网络检测和流量过滤的难度。

2、分布式多通道冗余

行为特征：大多数受害者被同时植入多个并行的恶意软件，每个使用不同的语言和通信协议（如一个用Crystal+Discord，另一个用Rust+Supabase）。如果一条通道被切断，攻击者仍能通过其他通道维持访问。

战术意图：构建弹性C2网络，提高攻击的生存能力。

三、 攻击武器：从粗糙的“炮灰”到精准的“手术刀”

尽管AI生成的代码经常出现逻辑错误，但APT36的攻击武器库中仍不乏经过精心设计、具备深度突破能力的工具。这构成了一个由“低质量、高数量”的前沿炮灰与“高质量、高精度”的核心武器组成的多层次攻击体系。

1、质量参差不齐的“振动家族”

“低级错误”频现：报告发现，部分AI生成的代码存在逻辑硬伤，例如一个Go语言编写的窃密木马（MailCreep的某个变种）竟然将C2服务器的URL留成了“模板占位符”，导致其根本无法回传数据。CrystalShell中的状态管理逻辑存在严重缺陷：开发者意图创建一个中心化的活跃机器人列表，但实际代码并未实现状态共享机制，导致查询全网状态时可能产生广播风暴；同时status命令在报告时会重置“最后活跃时间”戳，导致自身永远显示“在线”。

战术价值：尽管存在缺陷，但这些海量样本足以消耗防御方的分析资源，并为其真正有威胁的工具提供掩护。

2、具备深度突破能力的核心武器

（1）LuminousCookies：针对Chrome App-Bound Encryption（ABE）的专用破解工具。

背景：Chrome 127版本引入了App-Bound Encryption（ABE），将加密密钥绑定到浏览器应用的加密身份上，使得任何非浏览器进程无法解密存储的Cookie和密码。

技术亮点：这是本次分析中最具技术含量的工具。它不直接暴力破解ABE，而是通过经典的DLL注入技术，将恶意payload.dll注入到合法的浏览器进程（chrome.exe, edge.exe, brave.exe）中。样本编译时间为2026年1月7日和2026年1月27日，包含硬编码路径C:\Users\kumar\（与SupaServ一致）。注入后，恶意代码在浏览器进程内部执行，从而合法地请求解密ABE保护的数据，实现窃取。

战术意图：由于解密请求来自浏览器进程本身，能够完美绕过ABE的“应用身份验证”，直接从内存中窃取解密后的Cookies和密码。这标志着攻击者已开始针对浏览器最新的安全机制研发专门的对抗手段。

（2）BackupSpy：地毯式的数字“搜刮者”

技术实现：一个用Rust编写的配置化数据收集工具，编译时间约2026年1月下旬。它会递归扫描所有磁盘驱动器，根据配置文件中的白名单（.docx, .pdf, .xlsx等16种敏感文件类型）筛选文件，最大复制大小限制为50MB（max_copy_size_bytes = 52428800）。扫描结果生成两份JSON清单：manifest.json（跟踪文件）和drive_manifest_%Y%m%dT%H%M%S.json（驱动器级清单），并记录操作日志至C:\Users\Public\systemTemp\log.txt。

战术意图：进行系统性的、自动化的信息梳理，为后续的定向窃取做准备。

（3）Gate Sentinel Beacon：针对“快捷方式”的持久化“寄生术”

技术实现：修改Google Chrome和Microsoft Edge的桌面快捷方式（.lnk文件）。报告列出了五处被修改的快捷方式位置，包括桌面、开始菜单、任务栏等。当用户点击图标正常打开浏览器时，修改后的快捷方式会静默地在后台同时执行恶意软件。

战术意图：这是一种极其隐蔽的持久化手段，利用用户最日常的操作行为，且未创建可疑的服务或计划任务（尽管本次攻击中也使用了计划任务，如CreepDropper创建的MicrosoftEdgesUpdatesTasksMachineUAs-Task），能有效绕过传统的主机持久化监控。

3、攻击链与初始访问

初始访问方式：主要采用鱼叉式钓鱼邮件，附带ZIP或ISO压缩包，内含恶意LNK文件。此外，攻击者使用PDF诱饵文件：内含高质量简历图片，覆盖一个醒目的“Download Document”按钮，诱导用户点击跳转到攻击者控制的网站，自动下载包含LNK的压缩包。

执行流程：LNK文件执行后，以无文件方式下载PowerShell脚本到内存，进而下载并执行最终后门。之后攻击者手动介入进行横向移动和数据窃取。

4、心理战与溯源干扰

“冒名顶替”与“文化混淆”：攻击者在代码中刻意留下误导痕迹。例如，在SupaServ和LuminousCookies的编译路径中出现了常见的印度教名字 “Kumar”（库马尔）。同时，CrystalShell的C2 Discord服务器被命名为 “Jinwoo’s Server”（源自热门韩漫《我独自升级》主角）。此外，攻击者内部还发现了一张AI生成的自用图片。

战术意图：这种“此地无银三百两”的做法，旨在误导调查人员将攻击源头指向印度国内，或将攻击者描绘成流行文化爱好者，从而干扰地缘政治层面的归因分析，制造混淆。不过报告也幽默地补充：“也许开发者只是喜欢《我独自升级》的主角”。

时间线总结：从2025年秋到2026年春的持续演进

| 时间点 | 关键事件 | | — | — | | 2025年8月 | Bitdefender遥测显示AI生成恶意软件样本量处于低点，随后开始飙升。 | | 2025年10月28日 | CreepDropper样本编译，内含反写的SheetCreep payload。 | | 2025年12月8日 | CrystalShell在Discord和Slack上的活动开始，持续至报告发布。 | | 2025年12月下旬至2026年1月下旬 | CrystalShell C2令牌存储方式经历三次迭代：硬编码 → Firebase → Supabase（带认证）。 | | 2026年1月7日 | LuminousCookies首个样本编译。 | | 2026年1月26日 | CrystalShell在命令交互中记录LastSeen时间（如LastSeen:2026-01-26 09:56:25 -08:00）。 | | 2026年1月27日 | LuminousCookies第二个样本编译。 | | 2026年1月 | BackupSpy活跃，日志和清单文件时间戳落在此区间。 | | 2026年2月9日 | ZigShell样本编译（两个样本），采用Slack作为C2，协议与CrystalShell几乎相同。 | | 2026年3月5日 | Bitdefender发布完整研究报告。 |

结论与展望：印巴网络冲突的“新常态”

APT36向“振动式开发”的转型，标志着南亚地缘政治对手间的网络冲突进入了一个全新的“工业化”阶段。它向印度政府及其盟友传递了一个明确信号：攻击者不再依赖于少数精英开发的尖端武器，而是利用AI技术将网络攻击的成本降至极低，通过源源不断的、看似平庸实则暗藏杀机的攻击流，持续消耗对手的防御资源与耐心。

尽管这些AI生成的工具在复杂度上“开倒车”（technical regression），经常出现逻辑错误，但结合“可信服务滥用”（LOTS）和“语言游击战”，它们能够有效淹没传统检测体系。正如报告所言：“威胁不在于技术突破，而在于工业化的平庸”（The threat lies in the industrialization of these attacks）。

对于印度政府、国防部门及外交机构而言，应对之道已不能仅停留在捕获单个恶意软件样本的层面。必须建立起以行为分析为核心的端点检测、对可信云服务流量的精细化审计、以及能够制造“对抗性网络迷宫”的动态防御体系（如Bitdefender GravityZone），才能在APT36掀起的这场“恶意软件海啸”中立于不败之地。印巴在网络空间的“影子战争”，因AI的介入而变得更加复杂、残酷和不可预测。

附：术语解释

• Vibeware（振动式开发）：指利用AI大模型快速生成大量、平庸的恶意软件代码的开发模式。攻击者不再追求单个恶意软件的技术精尖，而是通过数量淹没防御，实现“分布式拒绝检测”（DDoD）。该术语源于报告对AI生成代码“syntactically correct but logically unfinished”的描述，以及开发者“vibe-coding”的随意状态。
• App-Bound Encryption (ABE)：Chrome 127引入的增强加密机制，将加密密钥绑定到浏览器应用的签名身份，防止非浏览器进程窃取敏感数据。
• Living Off Trusted Services (LOTS)：攻击者利用受信任的公共云服务（如Google Sheets、Discord、Slack）作为C2通道或数据中转站，以规避网络检测。

参考资源

1、https://www.bitdefender.com/en-us/blog/businessinsights/apt36-nightmare-vibeware?srsltid=AfmBOopMDIDBxFwQ1Nn8BnNAropa24SRa0dMCxpk9-qkHDkzkmzTphO1

2、https://hackread.com/pakistan-apt36-indian-govt-networks-ai-vibeware/

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网空闲话plus 网空闲话 网空闲话《巴基斯坦APT36借AI实现“恶意软件工业化”，印度成“小白鼠”》