卡巴斯基发现针对俄罗斯组织的NightEagle攻击活动

原创

卡巴斯基
卡巴斯基

卡巴斯基威胁情报

2026年10月20日 17:33
北京

去阅读

卡巴斯基全球应急响应团队发现，NightEagle组织发起了一场针对俄罗斯制造业和建筑业企业的网络间谍活动。攻击者利用被盗的VPN凭据，在Microsoft Exchange服务器上部署了一个隐蔽的后门，并使用合法的开发者工具在企业网络中活动，入侵了核心身份识别基础设施。

在过去一年中，卡巴斯基研究人员调查了多起涉及NightEagle（也被称为APT-Q-95）的入侵事件。该组织于2025年被发现，此前仅被观察到在亚洲活动。此次攻击行动标志着该组织首次向新地区扩展。在大多数攻击事件中，攻击者利用窃取的、有效的VPN凭据绕过了边界防御。他们还通过Cloudflare WARP隧道和欧洲虚拟基础设施提供商转发互联网流量，以此掩盖自身位置。

一旦潜入网络，NightEagle就在组织的Microsoft Exchange电子邮件服务器上安装了一个名为GhostContainer的定制后门程序。卡巴斯基高度确信，攻击者并未将传统文件释放到硬盘上，而是将恶意代码直接注入了服务器的内存中。运行后，该后门程序为其提供了远程控制能力，将指令伪装成正常的网络流量，并禁用了Windows内置的安全扫描和日志记录机制，以保持隐蔽。

为了更深入地渗透到遭入侵的组织内部，该组织滥用合法工具，将其伪装成日常管理工作。NightEagle将黑客工具存储在GitHub上，并重命名文件，使其看起来像合法的商业软件。攻击者还劫持了微软为软件测试而设计的功能。通过将这些功能与公开的远程访问工具相结合，攻击者成功地在网络中路由其流量，而未触发警报。

该组织还利用内部计算机上较旧的、未修补的软件漏洞来创建未经授权的管理员账户。这一攻击链最终导致管理所有网络身份、密码和权限的中央系统被入侵，使攻击者得以控制受害者的整个IT环境。

Stanislav Larinsky

卡巴斯基全球应急响应团队专家

“这次攻击活动最突出的特点是NightEagle极度依赖于利用受害者自身的基础设施来对付他们自己。他们与正常的网络服务进行交互以在网络中横向移动，并在标准系统日志中留下蛛丝马迹。防御人员可通过卡巴斯基 Next EDR 专家版追踪这些管理异常，从而在核心身份网络遭到入侵之前就拦截攻击。”

卡巴斯基产品将GhostContainer后门检测为Trojan.MSIL.GhostContainer.gen。

有关此次攻击的感染迹象以及检测详情，请参阅Securelist上的完整技术报告。

为了防范NightEagle这类威胁，卡巴斯基的专家建议各组织：

• 要求所有 VPN 和管理员账户必须启用多因素身份验证，禁用未使用的配置文件，并调查通过匿名服务或陌生托管服务商进行的登录行为。
• 修补内部系统，因为攻击者利用了内部机器上存在多年的漏洞。在所有系统上部署安全更新，淘汰已不再受支持的系统，并将远程桌面访问限制在受监控的管理主机上。
• 使用卡巴斯基Next EDR专家版检测端点上的隐蔽行为。它会关联各种可疑活动（例如意外的计划任务、未经授权的管理员账户、异常的远程桌面连接等），这些活动单独看可能像是常规的IT工作。
• 使用卡巴斯基反针对性攻击平台（KATA）监控网络流量。该平台可发现与未授权隧道服务的连接、针对遗留漏洞的利用尝试以及对身份系统的异常请求，这些迹象都表明网络已遭受深度入侵。
• 保护容器化工作负载，免受隐藏在公共仓库（如GitHub中）和伪装成合法商业软件的恶意文件侵害。卡巴斯基容器安全（KCS）可保障整个应用程序生命周期的安全，从开发到运维全面保护环境安全。

关于卡巴斯基

卡巴斯基是一家成立于1997年的全球网络安全与数字隐私公司。凭借其网络免疫概念，卡巴斯基致力于推动行业创新，保护消费者、企业、关键基础设施及政府机构免受网络威胁。迄今为止，已有超过十亿台设备受到卡巴斯基的保护。

卡巴斯基确保“忠于业务”的网络安全，专注于提供明确的结果、保护营收、减轻工作负载并防止系统停机。卡巴斯基深厚的威胁情报和安全专业知识不断转化为适用于各种规模组织（从小型企业到大型企业）的创新解决方案和服务，将经过验证的 AI 驱动防护技术与简单的管理和专家支持相结合。

卡巴斯基广受独立测试机构认可，并获得全球数百万个人用户及近20万家企业的信赖。我们助力客户更早发现威胁、更快做出响应，并以更大的信心和自由度开展业务，从而保护客户最核心的价值。

了解更多详情，可访问卡巴斯基官方网站。