2026-05-23 04:42:34 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本周威胁情报涵盖朝鲜VELVETCHOLLIMA利用签名交易应用窃取信息、Lazarus组织通过npm恶意包监控开发者、供应链攻击频发如art-template和@antv包投毒、WindowsMiniPlasma零日漏洞可提权至SYSTEM。建议企业加强代码签名验证、轮换CI/CD凭证、及时修补系统并监控异常依赖包。 综合评分： 90 文章分类： 威胁情报,漏洞分析,恶意软件,供应链安全,网络安全

cover_image

每周高级威胁情报解读(2026.05.15~05.21)

威胁情报中心威胁情报中心

奇安信威胁情报中心

2026年5月22日 14:49 北京

在小说阅读器读本章

去阅读

2026.05.15~05.21

攻击团伙情报

VELVET CHOLLIMA 利用交易应用程序作为诱饵进行信息窃取活动
FrostyNeighbor：新鲜的恶作剧和数字恶作剧
Kazuar：国家级僵尸网络的剖析
Lazarus组织追踪系列——解析OtterCookie

攻击行动或事件情报

Gentlemen 勒索软件组织——泄露分析
黑客入侵美国加油站油箱读数系统；官员怀疑伊朗是幕后黑手
攻击者使用 TeamPCP 泄露的Shai-Hulud 上传恶意 npm 包
Storm-2949 发起了一场持续不断的攻击活动
UAC-0184：从 HTA 到签名网络协议栈
Coruna Respawned：受感染的 art-template npm 包导致 iOS 浏览器漏洞利用工具包
Mini Shai Hulud：被入侵的 @antv npm 包导致 CI/CD 凭证被盗

恶意代码情报

fast16 旨在颠覆核武器模拟演练
Eimeria 恶意软件使用复杂的五层分发方式
SHub macOS 信息窃取变种程序欺骗苹果安全更新
揭露 Fox Tempest：恶意软件签名服务运营
通过证书和代码重用跟踪 TamperedChef 恶意软件

漏洞情报

新的 Windows“MiniPlasma”零日漏洞可获取 SYSTEM 权限

攻击团伙情报

VELVET CHOLLIMA 利用交易应用程序作为诱饵进行信息窃取活动

披露时间：2026年5月14日

情报来源：https://hybrid-analysis.blogspot.com/2026/05/velvet-chollima-infostealer-campaign.html

相关信息：

VELVET CHOLLIMA组织通过伪装成加密货币交易应用Tralert FX的恶意MSI安装包，利用有效EV代码签名证书规避检测，硬编码的GitLab令牌和SSH凭证暴露了其整个后端基础设施。该恶意软件采用五阶段GitLab仓库作为载荷投递与数据自动外泄通道，通过系统侦察、键盘记录和浏览器凭证窃取三模块套件，每30分钟以git commit方式推送窃取数据，同时通过C2服务器和计划任务实现持久化控制。该活动自2025年6月起已感染90余台主机，攻击者手动筛选受害者为命名文件夹并优先针对加密货币交易者，最终载荷为开源远控XenoRAT的定制变种MoonPeak，归因于朝鲜关联行为体。

FrostyNeighbor：新鲜的恶作剧和数字恶作剧

披露时间：2026年5月14日

情报来源：https://www.welivesecurity.com/en/eset-research/frostyneighbor-fresh-mischief-digital-shenanigans/

相关信息：

FrostyNeighbor组织自2026年3月起针对乌克兰政府机构发起钓鱼攻击，通过PDF附件中的链接根据受害者IP地理位置分发载荷：非乌克兰IP返回诱饵PDF，乌克兰IP则返回恶意RAR存档。存档中的JavaScript释放诱饵PDF并执行PicassoLoader下载器，每10分钟收集主机指纹回传C2，由运营者手动决定是否下发最终载荷。后续载荷释放Cobalt Strike信标，通过注册表Run键和LNK文件实现持久化。该组织长期活跃，主要针对东欧政府与军事目标，持续更新工具链以规避检测。

Kazuar：国家级僵尸网络的剖析

披露时间：2026年5月14日

情报来源：https://www.microsoft.com/en-us/security/blog/2026/05/14/kazuar-anatomy-of-a-nation-state-botnet/

相关信息：

Secret Blizzard持续开发的Kazuar恶意软件已从传统后门演化为模块化点对点僵尸网络，由Kernel、Bridge、Worker三类模块组成。Kernel模块通过领导者选举机制限制仅单个节点与外部C2通信，利用Window Messaging或Mailslot进行进程间通信，配置支持HTTP、WebSocket及Exchange Web Services等多种传输协议，Worker模块执行系统信息收集、键盘记录、截图等任务，窃取数据暂存于工作目录后由Bridge模块代理外传。

Lazarus组织追踪系列——解析OtterCookie

披露时间：2026年5月16日

情报来源：https://redasgard.com/blog/hunting-lazarus-part8-ottercookie

相关信息：

OtterCookie 是一款独立于 BeaverTail 的JavaScript/Node.js 远控木马（RAT），基于Socket.IO实现每 30 秒主动广播受控设备在线名单，从一次性存储数据窃取转向开发者主机实时监控，通过npm 恶意包与Vercel分发，累计关联197 个恶意包、约 31000 次下载，其协议中的uid/userKey 实为活动批次标识而非硬件指纹，具备剪贴板、键盘、截图、钱包与开发凭证等全方位实时采集能力，是 Lazarus 针对开发者的高阶监控武器。

攻击行动或事件情报

Gentlemen 勒索软件组织——泄露分析

披露时间：2026年5月15日

情报来源：https://ransom-isac.org/blog/the-gentlemen-leak-analysis/

相关信息：

2026年5月，The Gentlemen勒索软件集团的内部Rocket.Chat聊天记录遭泄露，曝光了其自2025年11月至2026年4月的完整运营细节。该俄罗斯语组织以RaaS模式运作，核心成员包括zeta88等9人，主要利用Fortinet设备漏洞（CVE-2024-55591）初始访问，通过NetExec、Velociraptor等工具横向移动，窃取数据后部署Linux/Windows加密器（扩展名.i8p14s），并采用双重勒索。泄露数据显示其与Black Basta存在人员与基础设施关联，运用AI辅助谈判和数据筛选，已确认66家受害组织，勒索金额达数十万至数百万美元。

黑客入侵美国加油站油箱读数系统；官员怀疑伊朗是幕后黑手

披露时间：2026年5月16日

情报来源：https://edition.cnn.com/2026/05/15/politics/iran-hackers-tank-readers-gas-stations

相关信息：

美国官员怀疑伊朗黑客入侵了多个州加油站用于监测储油罐液位的自动油箱监测系统，这些系统直接暴露在互联网上且没有密码保护。攻击者能够篡改油箱的显示读数，但无法改变实际燃油液位，目前尚未造成物理损坏或伤害，但理论上可能掩盖燃油泄漏，引发安全担忧。此次攻击发生在美以与伊朗战争的背景下，是伊朗针对美国本土关键基础设施的又一案例，显示其网络行动正在加速，采用更快的迭代、多层次的伪装黑客身份，并可能借助人工智能扩展侦察和钓鱼活动。

攻击者使用 TeamPCP 泄露的Shai-Hulud 上传恶意 npm 包

披露时间：2026年5月17日

情报来源：https://www.ox.security/blog/new-actors-deploy-shai-hulud-clones-teampcp-copycats-are-here/

相关信息：

攻击者在npm上发布了四个恶意包，其中chalk-template是TeamPCP泄露的Shai-Hulud恶意软件的直接克隆，其余包包含信息窃取器和DDoS僵尸网络。这些包通过拼写欺骗感染Axios等用户，窃取IP地址、云配置、加密货币钱包、环境变量等敏感信息，并将数据外发至攻击者控制的C2服务器或创建GitHub仓库存放。这是Shai-Hulud代码开源后出现的模仿攻击，表明供应链威胁正在扩散。

Storm-2949 发起了一场持续不断的攻击活动

披露时间：2026年5月18日

情报来源：https://www.microsoft.com/en-us/security/blog/2026/05/18/storm-2949-turned-compromised-identity-into-cloud-wide-breach/

相关信息：

攻击者Storm-2949通过社交工程滥用Microsoft Entra ID的自助密码重置流程，诱使用户批准多重身份验证提示，从而接管账户并注册自己的设备实现持久化访问。随后利用高权限角色通过Azure管理平面执行多项操作：从OneDrive和SharePoint批量下载文件；调用发布配置文件API获取Kudu管理权限；修改Key Vault和SQL防火墙规则以暴露敏感服务；枚举存储账户密钥并借助Azure SDK批量外泄数据；同时使用VM Run Command和VMAccess扩展部署ScreenConnect远程管理工具，最终实现跨SaaS、PaaS和IaaS层的广泛数据窃取。

UAC-0184：从 HTA 到签名网络协议栈

披露时间：2026年5月18日

情报来源：https://blog.synapticsystems.de/uac-0184-from-hta-to-a-signed-network-stack/

相关信息：

攻击者利用乌克兰语主题的LNK文件通过bitsadmin下载HTA载荷，进而获取包含Plane9相关文件的ZIP压缩包。通过DLL侧载链（Cluster-Overlay64.exe加载openvr_api.dll），解码kernel-diag.lib获得shellcode，同时处理伪装成PNG的filter.bin文件，经XOR解密和LZNT1解压后提取出多个PE文件。最终载荷重用合法签名的PassMark Endpoint组件（VSLauncher.exe与input.dll），利用其网络功能（UDP 224.0.0.255:31339和TCP 31339）实现通信，整个过程中未发现硬编码C2地址。该攻击链采用分阶段加载、文件格式伪装和合法软件滥用等多种规避手段，归因于UAC-0184。

Coruna Respawned：受感染的 art-template npm 包导致 iOS 浏览器漏洞利用工具包

披露时间：2026年5月20日

情报来源：https://socket.dev/blog/coruna-respawned-compromised-art-template-npm-package

相关信息：

socket发现攻击者通过接管art-template npm包的所有权，在版本4.13.5和4.13.6中注入恶意脚本，指向钓鱼网站utaq.cfww.shop。该站点加载iOS Safari漏洞利用框架，通过多层反沙箱检测和WebAssembly指纹识别，精确判断设备CPU架构和iOS版本，仅为11.0至17.2之间的设备分发WebKit远程代码执行载荷。该框架与商业漏洞利用套件Coruna高度同源，使用内容寻址的远程模块加载和XOR混淆技术，可执行版本特定的漏洞利用链。此次攻击表明，威胁行为体正通过供应链投毒结合水坑攻击，针对iOS用户实施高精度定向利用。

Mini Shai Hulud：被入侵的 @antv npm 包导致 CI/CD 凭证被盗

披露时间：2026年5月20日

情报来源：https://www.microsoft.com/en-us/security/blog/2026/05/20/mini-shai-hulud-compromised-antv-npm-packages-enable-ci-cd-credential-theft/

相关信息：

攻击者通过劫持@antv组织维护者账户，在npm上发布了多个恶意数据可视化包版本，利用preinstall钩子在安装时自动执行载荷，下载并运行Bun运行时，进而执行约499KB的混淆JavaScript脚本。该载荷专门针对GitHub Actions CI/CD环境，窃取GitHub令牌、AWS凭证、HashiCorp Vault令牌、npm令牌、Kubernetes服务账户及1Password密钥，还能通过扫描runner进程内存提取运行时秘密，并通过HTTPS C2或Git API外泄数据。攻击通过依赖链扩及echarts-for-react等下游包，影响数千个项目。GitHub已移除640个恶意包并作废数万个npm令牌，微软建议受影响用户轮换凭证并审计CI/CD环境。

恶意代码情报

fast16 旨在颠覆核武器模拟演练

披露时间：2026年5月16日

情报来源：https://www.security.com/threat-intelligence/fast16-nuclear-sabotage

相关信息：

fast16是一个可追溯至2005年左右的恶意软件框架，专门针对LS-DYNA和AUTODYN等核武器模拟软件。其通过内核驱动和钩子引擎，仅在铀材料密度超过30g/cm³（核内爆压缩阈值）时激活，将关键物理量输出值篡改为真实值的1%-10%，从而破坏核爆模拟的准确性。该工具利用文件系统过滤、网络共享传播和映像文件执行选项持久化等手段横向移动，展示了针对特定物理过程的深度领域知识，属于Stuxnet前期的破坏性工业控制攻击雏形。

Eimeria 恶意软件使用复杂的五层分发方式

披露时间：2026年5月17日

情报来源：https://www.derp.ca/research/eimeria-multi-stage-loader/

相关信息：

Eimeria恶意软件通过RAR5压缩包投递，利用合法签名的dsclock.exe侧加载伪装成zlib的恶意DLL，DLL内嵌AES引擎解密出IExpress自解压包，进而释放AutoIt编译的Deal.exe。Deal.exe执行RC4解密和LZNT1解压后，通过进程挖空技术将最终.NET载荷注入explorer等进程，连接WebSocket C2地址，同时具备反分析和持久化能力。

SHub macOS 信息窃取变种程序欺骗苹果安全更新

披露时间：2026年5月18日

情报来源：https://www.sentinelone.com/blog/shub-reaper-macos-stealer-spoofs-apple-google-and-microsoft-in-a-single-attack-chain/

相关信息：

SentinelOne观察到SHub Stealer的新变种”Reaper”，该恶意软件利用伪造的WeChat和Miro安装程序作为诱饵，通过applescript:// URL方案绕过终端直接启动脚本编辑器执行恶意载荷，在攻击链不同阶段分别伪装成苹果安全更新、微软域名托管和谷歌软件更新目录实现持久化，并新增AMOS风格的分块上传文档窃取功能。

揭露 Fox Tempest：恶意软件签名服务运营

披露时间：2026年5月19日

情报来源：https://www.microsoft.com/en-us/security/blog/2026/05/19/exposing-fox-tempest-a-malware-signing-service-operation/

相关信息：

威胁行为者Fox Tempest运营恶意软件签名即服务，通过滥用微软Artifact Signing为其他网络犯罪分子生成短期有效的代码签名证书，使其恶意软件能够绕过安全检测。该服务通过网站signspace.cloud提供，后转向Cloudzy的预配置虚拟机，客户支付5000至9500美元不等即可获取签名。Fox Tempest已创建上千个证书和数百个Azure租户，微软已吊销其超过一千个证书。该服务被Vanilla Tempest等多个组织用于签署木马化软件，例如伪造的Microsoft Teams安装程序，进而部署Oyster后门以及Rhysida、INC、Qilin等勒索软件，攻击涵盖医疗、教育、政府和金融等多个行业。

通过证书和代码重用跟踪 TamperedChef 恶意软件

披露时间：2026年5月20日

情报来源：https://origin-unit42.paloaltonetworks.com/tracking-tampered-chef-clusters/

相关信息：

TamperedChef类恶意软件伪装成PDF编辑器、日历工具等生产力应用，通过恶意广告分发，利用代码签名增强可信度，并潜伏数周至数月后激活，部署信息窃取器、代理工具或远控木马。研究人员通过代码签名证书复用、广告透明度和公司结构关联，识别出三个主要活动集群：CL-CRI-1089涉及34家签名实体和数千样本，CL-UNK-1090由以色列广告公司FireArc运营、使用39家以色列公司签名，CL-UNK-1110为已知TamperedChef别名。攻击者大量使用AI生成代码和网站，建立壳公司获取证书，运营规模巨大。

漏洞情报

新的 Windows“MiniPlasma”零日漏洞可获取 SYSTEM 权限

披露时间：2026年5月17日

情报来源：https://www.bleepingcomputer.com/news/microsoft/new-windows-miniplasma-zero-day-exploit-gives-system-access-poc-released/

相关信息：

Windows系统中存在一个名为MiniPlasma的零日权限提升漏洞，存在于cldfit.sys云过滤器驱动中，可使攻击者在已完全修补的系统上获得SYSTEM权限。该漏洞最早于2020年报告并声称已被修复，但研究者发现其仍可被利用，并已公开概念验证代码。此前该研究者已披露多个Windows零日漏洞，表达对微软漏洞处理流程的不满。

点击阅读原文至ALPHA 9.3

即刻助力威胁研判

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：奇安信威胁情报中心威胁情报中心威胁情报中心《每周高级威胁情报解读(2026.05.15~05.21)》