文章总结： 安全研究人员发现名为幽灵CLR行动的高级攻击活动，攻击者利用经过数字签名的英特尔工具通过AppDomainManager机制秘密部署恶意软件。攻击通过鱼叉钓鱼邮件传播，武器化配置文件使恶意代码在可信进程中运行以规避检测，主要针对中东和EMEA金融领域组织。该框架具备与CobaltStrike相当的后利用能力，建议组织加强配置文件监控和应用程序控制。 综合评分： 86 文章分类： 漏洞分析,恶意软件,威胁情报,应急响应,红队
黑客利用AppDomain劫持将受信任的英特尔工具变为恶意软件启动器
会杀毒的单反狗 会杀毒的单反狗
爱拍照的老李
2026年4月21日 09:10 湖北
在小说阅读器读本章
去阅读
导读
安全研究人员发现了一项高度复杂的攻击活动，该活动利用了一个合法的、经过数字签名的英特尔工具，秘密部署恶意软件，而无需修改原始程序的任何代码。
这项名为“幽灵CLR行动”（Operation PhantomCLR）的攻击活动，代表了高级攻击者如何隐藏在受信任系统中以逃避检测的重大进展。
该攻击利用了Microsoft .NET运行时内置的一个功能，称为AppDomainManager机制。当.NET应用程序启动时，运行时会自动寻找与可执行文件同一个文件夹中的配置文件。
攻击者已经找到了利用这种行为的方法，通过将一个武器化的配置文件放在一个名为IAStorHelp.exe的真实、签名的英特尔存储工具旁边。
这样，恶意代码会先运行，甚至在英特尔程序开始正常操作之前，使其几乎对传统安全工具隐形。
中东和EMEA金融领域的组织是此次行动的主要目标。攻击者通过带有恶意ZIP压缩包的鱼叉式钓鱼邮件获得初步访问权限。
档案内似乎有一份来自沙特政府部委的居家办公政策PDF文件。该文件实际上是一个伪装的捷径（.pdf.lnk），点击后会无声启动英特尔二进制文件并触发整个攻击链，而诱饵文档则在屏幕上打开以避免引起怀疑。
Cyfirma的研究人员在持续监测针对企业环境的不断演变的威胁后，识别并分析了该框架。他们的调查揭示了一个多阶段的后利用框架，具备与成熟攻击工具包如Cobalt Strike和蛮力Ratel C4相当的能力，但尚未明确归因于已知的威胁组织。
观察到的设计纪律、模块化架构和反取证技术显示出一个资源充足且操作经验丰富的团队。一旦攻击者掌控了控制权，他们就能完全远程访问被攻破的系统，包括窃取凭证、财务记录和知识产权的能力。
对组织来说，更广泛的风险非常严重。由于恶意软件完全运行在可信且签名的进程中，大多数终端检测和杀毒工具不会标记它。
命令与控制通信通过 Amazon CloudFront CDN 基础设施通过一种称为域前沿的技术路由，使恶意流量看起来像普通云服务活动。
任何该框架活跃的系统应被视为完全攻破，攻击者很可能已经横向移动，拥有域级访问权限。
技术报告：
《PhantomCLR 行动：通过 AppDomain 劫持进行隐蔽执行及内存内 .NET 滥用》
Operation PhantomCLR : Stealth Execution via AppDomain Hijacking and In-Memory .NET Abuse
新闻链接：
Hackers Use AppDomain Hijacking to Turn Trusted Intel Utility Into Malware Launcher
今日安全资讯速递
APT事件
Advanced Persistent Threat
- 攻击者将 QEMU 用作窃取凭证和勒索软件的隐蔽后门
攻击者现在正在将QEMU这一合法的开源机器模拟器和虚拟化工具武器化，作为隐蔽后门以窃取凭据并交付勒索软件，而不会触发端点安全警报。这种攻击者行为的显著转变凸显了在企业环境中，那些自由获取的可信软件工具正被扭曲成强大的规避武器。
🔗https://cybersecuritynews.com/attackers-turn-qemu-into-a-stealth-backdoor/
2. 黑客利用AppDomain劫持将受信任的英特尔工具变为恶意软件启动器
安全研究人员发现了一项高度复杂的攻击活动，该活动利用了一个合法的、经过数字签名的英特尔工具，秘密部署恶意软件，而无需修改原始程序的任何代码。这项名为“幽灵CLR行动”（Operation PhantomCLR）的攻击活动，代表了高级攻击者如何隐藏在受信任系统中以逃避检测的重大进展。
🔗https://cybersecuritynews.com/hackers-use-appdomain-hijacking/
- 与朝鲜有关的UNC1069利用虚假的Zoom和Teams会议攻击加密货币专业人士
一个名为UNC1069的朝鲜威胁组织一直在开展一项复杂的活动，诱骗加密货币和Web3专业人士加入虚假的在线会议，从而用旨在窃取数字资产的恶意软件感染他们的电脑。该组织假装成寻求投资合作的风投公司，逐步与目标建立信任。
🔗https://cybersecuritynews.com/north-korea-linked-unc1069-uses-fake-zoom-and-teams-meetings/
一般威胁事件
General Threat Incidents
1.勒索软件攻击扰乱荷兰医疗保健软件供应商 ChipSoft
一家位于荷兰的医疗软件公司 ChipSoft 在遭受勒索软件攻击后被迫下线，据官员表示。自4月7日起，该公司的网站就无法访问，截至撰写本文时仍未恢复。
🔗https://www.cysecurity.news/2026/04/ransomware-attack-disrupts-dutch.html
- 超过 200 家日本公司向勒索软件攻击者支付了赎金
日本数字经济与社区促进协会最近进行的一项调查显示，日本公司在应对勒索软件攻击方面仍面临持续的挑战。
🔗https://www.cybermaterial.com/p/over-200-japanese-firms-paid-ransomware
- Gentlemen：一种新型勒索软件威胁迅速攀升
Gentlemen勒索软件即服务（RaaS）运营自2025年中旬以来已声称攻击了320多名受害者，仅2026年就发生了240起攻击，使其成为今年迄今为止受害人数第二多的勒索软件组织。Check Point Research获得了对与“Gentlemen”联盟有关的实时指挥和控制服务器的罕见访问权限，揭示了一个超过1570个可能的僵尸网络。
🔗https://blog.checkpoint.com/research/the-gentlemen-a-new-ransomware-threat-climbing-the-charts-fast/
- 新的 JanaWare 勒索软件通过定制化的 Adwind RAT 针对土耳其用户
一种名为JanaWare的新勒索软件变种正在悄然针对土耳其的家庭用户和中小型企业，其传播工具是知名Adwind远程访问木马（RAT）的定制版本。该活动因其针对性的地理目标、适度的赎金要求以及使用先进的逃避技术而引人注目。
🔗https://cybersecuritynews.com/new-janaware-ransomware-targets-turkish-users-2/
- 美铁数据泄露暴露210万条记录，报告暗示更大规模泄露
美铁数据泄露事件暴露了超过2.1百万客户记录，因CRM访问而引发。
🔗https://www.techrepublic.com/article/news-amtrak-data-breach-2-1m-records/
- 阿诺德·克拉克在苏格兰面临数据泄露集体诉讼
大约15,000名司机已获批准，就黑客将敏感数据上传至网络后，对苏格兰汽车经销商集团提起的诉讼。
🔗https://www.silicon.co.uk/e-regulation/legal/arnold-clark-hack-629479
- Vercel 公告表示：员工使用Context AI 工具，导致黑客攻击
网络基础设施提供商 Vercel 公布了一起安全漏洞，该漏洞允许恶意人员未经授权访问“某些”内部 Vercel 系统。此次事件源于第三方人工智能（AI）工具 Context.ai 被攻破，该公司一名员工使用了该工具。
🔗https://thehackernews.com/2026/04/vercel-breach-tied-to-context-ai-hack.html
- 法国 ANTS 身份系统网站遭受网络攻击，可能数据泄露
一次网络攻击袭击了法国ANTS网站，可能泄露了申请身份证、护照和驾照的用户个人信息。
🔗https://securityaffairs.com/191069/data-breach/frances-ants-id-system-website-hit-by-cyberattack-possible-data-breach.html
- Gh0st RAT 和 CloverPlus 广告软件在新型双负载恶意软件活动中共同传播
一个新发现的恶意软件活动正在网络安全界引发严重担忧，因为其同时交付两种截然不同的威胁。攻击者现在使用一个经过混淆的加载器，将 Gh0st 远程访问木马（RAT）和 CloverPlus 广告软件同时安装到同一台受害机器上，从而实现对系统的长期控制。
🔗https://cybersecuritynews.com/gh0st-rat-and-cloverplus-adware-delivered-together/
- 散落蜘蛛成员对重大加密货币盗窃罪认罪
与散落蜘蛛（Scattered Spider）有关的泰勒·布坎南（Tyler Buchanan）在美国承认黑客攻击公司并盗取数百万美元加密货币。这位24岁的苏格兰人与散落蜘蛛组织有关联，在美国法庭上承认他入侵了数十家公司，实施了欺诈，并盗取了数百万美元的加密货币。
🔗https://securityaffairs.com/191052/cyber-crime/scattered-spider-member-tyler-buchanan-pleads-guilty-to-major-crypto-theft.html
- 超过800个安卓应用在PIN码窃取木马活动中被针对
四个针对超过800个应用的Android银行木马活动，通过滥用覆盖层、可访问性权限和侧载的虚假应用来窃取PIN码。
🔗https://www.techrepublic.com/article/news-android-malware-stealing-pin-overlay-attack/
漏洞事件
Vulnerability Incidents
- Adobe Reader 0day漏洞攻击中被积极利用以窃取数据
Adobe Reader 中一个此前未知的安全漏洞正遭到黑客利用，他们通过篡改的 PDF 文件发起攻击，引发全球用户群体的警觉。自12月以来，这种活动持续不断；相关发现来自分析师 Haifei Li，他追踪到数月前的多次入侵行为。
🔗https://www.cysecurity.news/2026/04/adobe-reader-zero-day-pdf-exploit.html
- TBK DVR 漏洞 CVE-2024-3721 被利用来传播 Nexcorium DDoS 恶意软件
黑客正在积极利用TBK数字视频录像机（DVR）设备中的一个关键漏洞，部署一个新的基于Mirai的僵尸网络Nexcorium。
🔗https://gbhackers.com/tbk-dvr-vulnerability/
- Flowise 中的严重漏洞可通过 MCP 适配器实现远程命令执行
OX Security发现Flowise和多个AI框架中存在一个关键漏洞，使数百万用户面临远程代码执行（RCE）的风险。该漏洞源于Model Context Protocol（MCP），这是由Anthropic开发的用于AI代理的广泛使用的通信标准。
🔗https://cybersecuritynews.com/flowise-vulnerability/
- CVE-2023-33538 受到持续攻击一年，但利用仍未成功
黑客在过去一年多的时间里一直在尝试利用过时TP-Link路由器中的严重漏洞CVE-2023-33538（CVSS评分为8.8），但至今未获成功。
🔗https://securityaffairs.com/191040/hacking/cve-2023-33538-under-attack-for-a-year-but-exploitation-still-unsuccessful.html
- SGLang CVE-2026-5760（CVSS 9.8）通过恶意 GGUF 模型文件实现 RCE
一个关键安全漏洞已在 SGLang 中被披露，如果被成功利用，可能导致易受攻击系统的远程代码执行。该漏洞被追踪为 CVE-2026-5760，CVSS 评分为 10.0 中的 9.8。该漏洞被描述为命令注入事件，导致任意代码执行。
🔗https://thehackernews.com/2026/04/sglang-cve-2026-5760-cvss-98-enables.html
- 微软 Defender 漏洞在 Windows 上被利用，两个未修复
尽管微软团队迅速修补了BlueHammer漏洞，但其他漏洞仍然威胁着Microsoft Defender和Windows用户。
🔗https://www.techrepublic.com/article/news-microsoft-defender-flaws-exploited-windows-10-11/
扫码关注
军哥网络安全读报
讲述普通人能听懂的安全故事
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：爱拍照的老李 会杀毒的单反狗 会杀毒的单反狗《黑客利用AppDomain劫持将受信任的英特尔工具变为恶意软件启动器》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论