该团伙的 C2 域名解析链路采用多层跳转架构：先后经过graph.org、Cloudflare Workers、Teletype、Telegra.ph 与 Telegram 多节点中转，最终连通攻击者管控的服务器。每一轮解析得到的访问地址都会写入注册表，供后续恶意组件读取调用。若 C2 服务返回HTTP 200状态码，程序就会解析响应正文并执行其中的任意 VBScript 脚本；倘若返回404 页面不存在，则代表下发配置更新指令 —— 攻击者将 404 错误码改造为了指令通信标识。

Sekoia 在报告中指出：“整套入侵链路架构韧性极强、体量庞大、模块化与混淆程度极高。依托灵活的适配能力以及攻击者可远程即时更新配置的特性，该架构大概率会被团伙复用在后续攻击活动中。”

上述研判并非主观推测：链路内每一级组件都具备独立拉取并执行远端代码的能力，即便安全人员清除其中某一层恶意载荷，其余模块仍可正常运行。

该组织多款经典攻击手法沿用多年，包括嵌入 1×1 像素追踪图片确认诱饵被打开、利用压缩包路径穿越漏洞、制作带毒 U 盘实现物理介质传播。

攻击思路一脉相承，但基础设施隐蔽手段迎来升级：载荷近乎全程内存运行、恶意代码存放于 NTFS 备用数据流（ADS）、借助 Telegram 与 Cloudflare 中转解析 C2 地址、通过 HTTP 请求头而非报文正文窃取外传数据。Sekoia 提示：受该恶意链路侵染的主机，最稳妥处置方案是全盘格式化重装；依托静态隐匿解析（DDR）机制，攻击者下发新载荷的速度远超运维人员查杀处置效率。

Sekoia 报告末尾披露相关 IOC 指标，涵盖 GammaPhish、GammaWorm 文件哈希值、静态解析节点链接以及已确认的唯一 C2 地址；包含全网络基础设施的完整威胁指标，可通过 Sekoia 情报订阅接口获取。

报告文末总结：“值得留意的是，Gamaredon 在研发新型攻击能力的同时，持续复用成熟战术。但本轮攻击相比该组织过往攻击样本实现显著技术升级：全面转向近乎无文件、VBScript 驱动的套娃式嵌套架构，叠加大规模滥用 NTFS 备用数据流（ADS），是攻击者为绕过自动化沙箱、增加取证难度、消耗安全防护资源刻意打磨的成果。”