文章总结： 文档分析俄罗斯关联威胁组织earthsirrush针对乌克兰的间谍活动，自2022年起持续攻击政府、国防等机构，使用鱼叉钓鱼及多种恶意软件，如ashvein、cinderblot等，并利用图片隐写和DLL侧加载等技术。建议防御方重点监测可疑插件加载、计划任务工具及恶意图片，并审计浏览器和PowerShell日志。 综合评分： 82 文章分类： 威胁情报,恶意软件,漏洞分析,红队,安全运营

Earth Sirrush间谍活动或为针对乌克兰的沙虫（Sandworm）行动提供支援

原创

网络安全9527 网络安全9527

安全圈的那点事儿

2026年10月7日 17:26 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

与俄罗斯存在关联的威胁组织 Earth Sirrush，至少自2022年起持续针对乌克兰政府、国防、边境安全以及物流机构开展鱼叉式钓鱼攻击。

TrendAI研究所的分析覆盖截至2026年7月的攻击活动，研究发现一套持续迭代的间谍工具集；其不断更新的开发特征与基础设施特征，将多起看似互不相关的攻击活动关联到一起。

该攻击组织此前追踪代号为 SHADOW‑EARTH‑065，与乌克兰计算机应急响应小组CERT‑UA标记的 UAC‑0099 攻击组织存在行为重叠。

早期攻击通过恶意压缩包、HTA文件，以及利用CVE‑2023‑38831漏洞投放LONEPAGE、SEAGLOW、OVERJAM恶意程序。

Deep Instinct的调查报告记录了攻击者伪造法院传票、伪装快捷方式，借助计划任务反复执行恶意脚本。早期命令控制通信大多采用高位端口的明文HTTP协议。

2024‑2025年间，Earth Sirrush大量采用C#编译型工具，新增 MATCHBOIL、MATCHWOK、DRAGSTARE 组件。

这些组件可实现载荷加载、加密任务执行、凭据窃取以及网络侦察。FortiGuard实验室针对NordDragonScan的相关分析提到，该工具可窃取浏览器配置文件、截取屏幕、搜刮文档，以及基于WMI开展系统探测。

ASHVEIN 工具集兼具浏览器凭据窃取、GDI截图、文件获取、PowerShell远程执行与WMI系统指纹采集能力。

它会加密通信流量，可检测分析沙箱工具，并将任务指令藏匿在HTML不可见标签内。部分变种使用GitHub“死信投递点”机制作为备用通信方案。

载荷投递手段包含DLL侧加载、VHD虚拟磁盘容器、专用.NET投放器。

其中一款名为 AnswerFromPolice 的组件，会弹出仿乌克兰国家警察局的文档界面，同时在后台植入恶意程序，利用官方机构的可信外观掩护后台执行。

TrendAI的研究人员识别出十余种恶意软件家族，覆盖PowerShell、Go、.NET开发语言，其中就包括此前未对外公开的信息窃取远控木马ASHVEIN，该工具在攻击者内部被称作“TelemetryBrowser”。

Earth Sirrush间谍活动详情

2026年，该威胁组织扩大使用图片隐写技术。代号 CINDERBLOT（又称BadPaw） 的攻击活动伪装成乌克兰国家边防局。

ClearSky在3月份的报告描述：恶意代码隐藏于图片之中，依靠计划任务实现持久驻留，并部署MeowMeow后门程序。

攻击者搭建下载页面  order.cyberflysystems[.]com ，页面带有伪造的杀毒软件认证标识（来源：TrendAI）。

后续另一轮攻击伪装成无人机零部件供应商，诱导受害者访问制作精良的钓鱼网站，网站上带有伪造的“杀毒软件已认证”徽章。

带有攻击载荷的ZIP压缩包内包含嵌入恶意代码的PNG图片，例如 KittyCat.png 。不同攻击链路的实现方式各有区别：有的将可执行数据追加到图片尾部，有的依靠PowerShell从图片像素中重建恶意载荷。

7月的攻击活动出现了 LUNCHPOKE，这是一款利用DLL代理劫持实现攻击的恶意Notepad++插件；同时还出现BURNYBEAR与MATCHBOIL.V2恶意程序。

该攻击链会将载荷放置在随机的普通用户可写目录，滥用经过重命名的 schtasks.exe 程序。并行感染链路同时结合PNG图片提取载荷与注册表Run启动项持久化技术。

多项独立证据证明各轮攻击活动属于同一组织：重复使用的PKCS#7签名文件、反复出现的开发者调试痕迹、一致的XOR加密算法、相同WMI查询语句、“TelemetryUP”标识，以及统一的载荷部署习惯。

基础设施线索进一步佐证关联关系：绝大多数已确认的命令控制域名均通过Regery.com注册，使用Cloudflare做流量代理，后端服务器IP集中归属BL Networks运营的AS399629自治系统；其中一个后端IP同时服务于ASHVEIN与CINDERBLOT的域名。

本次分析引用ESET的APT报告观点：UAC‑0099有可能为沙虫（Sandworm）组织提供初始访问入口。

该判断目前仅为假设，尚无直接证据证明二者存在指挥管控关系。ESET另外还记录过Sandworm针对乌克兰政府、能源、物流以及粮食相关机构发起的破坏性攻击。

防御方重点监测对象：可疑Notepad++插件加载行为、被重命名的计划任务工具、公共库目录下生成的可执行文件、携带恶意载荷的图片。

开启浏览器数据访问审计、PowerShell日志记录，能够发现数据窃取行为。

基础设施特征匹配应当作为行为调查依据，不建议因此无差别封禁公有云服务。

该组织带来的核心风险在于长期潜伏访问：即便恶意软件的名称不断变化，也无法抹除这些间谍活动针对乌克兰战时供应链表现出的共性攻击行为。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈的那点事儿 网络安全9527 网络安全9527《Earth Sirrush间谍活动或为针对乌克兰的沙虫（Sandworm）行动提供支援》