文章总结： APT组织RareWerewolf针对军工航天单位发起钓鱼攻击，利用加密压缩包绕过网关，后台静默部署AnyDesk实现长期潜伏窃密。攻击全程依赖合法白工具，杀软极难拦截。建议企业拦截可疑临时域名与加密附件，严控远控软件权限，排查临时目录及异常定时任务，中招后立即断网并重置密码。 综合评分： 77 文章分类： 威胁情报,应急响应,社会工程学,办公安全,软文广告

发票邮件点开即沦陷！APT团伙Rare Werewolf滥用AnyDesk长期潜伏，军工航天单位遭定点窃密

原创

AI紫队安全研究 AI紫队安全研究

AI紫队安全研究

2026年7月15日 11:59 广东

在小说阅读器读本章

去阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

一封仿官方付款发票邮件，带密码加密压缩包，点开PDF看似正常，后台悄悄部署无人值守AnyDesk，开机自动隐藏运行、窃取设备全部远程配置，军工、航天、重工科研机构已成头号猎杀目标。安全厂商Seqrite披露Rare Werewolf（图书幽灵）APT持续投放钓鱼攻击，全程只靠合法工具作恶，杀毒极难拦截，政企运维、涉密办公务必警惕。

一、攻击主体：长期深耕工业间谍APT——Rare Werewolf

该组织别名Librarian Ghoul，主攻高价值战略行业：航空航天、火箭研发、化工重工、精密制造、科研院所、军工配套企业。

核心作案特点：

1. 不走复杂零日漏洞，全程合法白工具LotL就地作案（AnyDesk、Blat邮件工具、压缩软件、托盘隐藏工具）；

2. 钓鱼诱饵贴合业务，发票、供货合同、设备检测报告命中率极高；

3. 优先获取远程持久权限，潜伏数月缓慢窃取图纸、项目资料，部分场景附带挖矿程序；

4. 批量仿冒机构域名群发邮件，绕过基础邮件查杀。

二、完整入侵五步陷阱，普通人根本看不出破绽

Step1 高仿机构钓鱼邮件，密码包绕过检测

1. 伪造航天研究所发件域名vniir-avia.space（全新临时域名，正规科研单位均使用.gov官方域名）；

2. 邮件标题：付款账单/供货合同，内嵌俄工贸部官方logo提升可信度；

3. 附件：带密码RAR压缩包，解压密码直接写在正文，规避邮件沙箱扫描；

4. 群发至批量收件人，不标注指定对接人，典型批量定向钓鱼。

Step2 解压运行伪装安装程序，弹出无害PDF

解压后是Delphi编译的安装包，双击运行瞬间：

前台弹出正常供货清单PDF麻痹用户；

后台静默在C:\temp生成临时文件夹，批量释放curl、压缩工具、批处理脚本。

Step3 拉取全套恶意工具包，包含便携AnyDesk

脚本通过curl连接黑客C2服务器下载RAR工具包，内含4类白软件：

1. 便携版AnyDesk（核心远控）

2. Blat：命令行邮件发送工具（用于偷配置外传）

3. Tray Minimizer：托盘隐藏程序，彻底隐藏AnyDesk窗口

4. 定制解压工具driver.exe

Step4 静默配置无密码远程访问，开机自启

批处理自动执行高危配置：

1. 给AnyDesk写入固定无人值守密码，黑客可无验证直连设备；

2. 借助Tray工具后台隐藏，任务栏无任何图标；

3. 创建登录定时任务，电脑重启自动启动远控程序；

4. 打包AnyDesk全部配置文件、设备指纹、连接证书加密归档。

Step5 自动外传数据，清理所有入侵痕迹

1. 调用Blat工具，通过黑客SMTP服务器把远控配置包发送出去；

2. 批量删除临时exe、cmd、压缩包、诱饵PDF，抹除本地入侵痕迹；

3. 长期潜伏，随时接收指令批量导出图纸、文档、服务器账号。

三、本次攻击3个恐怖核心难点

1 全部白名单工具，杀毒很难告警

AnyDesk、压缩软件、托盘工具、curl均为行业通用合法程序，EDR仅监控恶意程序，不会拦截正常软件行为，只能靠行为审计发现异常。

2 加密压缩包天然绕过邮件安全

附件带独立解压密码，网关沙箱无法自动解析内部文件，恶意安装包可直接抵达员工邮箱。

3 持久潜伏不留弹窗，管理员难察觉

程序全程后台最小化，无弹窗、无进程提示，只要电脑联网黑客随时接入，可长期监控办公操作、拷贝涉密图纸。

四、高危行业自查清单（中一条立刻排查）

1. 航空、航天、军工配套、重工、石化、各类科研院所员工；

2. 日常接收大量供应商账单、供货合同、设备验收邮件；

3. 办公电脑私自安装AnyDesk、TeamViewer等远程工具；

4. 单位邮件频繁收到陌生加密压缩附件。

五、企业/个人分级防护方案

一、邮件侧前置拦截（单位运维必做）

1. 拦截全新临时.space、.site等小众可疑域名来信；

2. 禁止外部带密码RAR附件自动下发，可疑附件人工复核；

3. 关闭外部附件自动预览，陌生账单邮件先电话核实对接人。

二、远程软件管控（核心防线）

1. 企业统一管控AnyDesk等远控工具，禁止员工私自下载便携版；

2. 组策略拦截程序开机自启、限制定时任务创建权限；

3. 监控后台隐藏进程、无窗口运行的远程程序。

三、终端巡检重点排查路径

1. 系统临时目录C:\temp下陌生ChromiumTemp文件夹；

2. %ProgramData%目录下AnyDesk独立文件夹；

3. 开机定时任务名称含Auto Update、Auto apdate等伪装项；

4. 系统内Blat、Trays.exe少见工具。

四、中招应急处置步骤

1. 立刻断网，阻断黑客远程连接；

2. 删除AnyDesk全套文件，清除相关开机定时任务；

3. 全盘查杀可疑批处理、临时恶意安装包；

4. 全量修改电脑、服务器、业务系统账号密码；

5. 留存邮件、文件哈希、外联IP用于溯源。

六、总结警示

APT组织不再依赖复杂病毒，仅靠钓鱼+合法远程软件就能长期控制涉密办公主机。

对于航天、军工、重工等高涉密单位，一封不起眼的付款发票邮件，背后就是全套情报窃取链路。

运维团队务必收紧邮件附件管控、严控远程桌面工具权限，普通员工收到陌生账单压缩包，千万不要直接双击解压运行。

转发给单位IT、研发、行政同事，守住邮件第一道安全关口！

加入知识星球，可获取权益

一、”全球高级持续威胁：网络世界的隐形战争”，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

 1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

 晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

 技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

 实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

 架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

 大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

 想突破职业天花板的安全工程师/架构师；

 需快速落地安全项目的企业负责人；

 关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AI紫队安全研究 AI紫队安全研究 AI紫队安全研究《发票邮件点开即沦陷！APT团伙Rare Werewolf滥用AnyDesk长期潜伏，军工航天单位遭定点窃密》