俄关联组织UAC-0099据报以新型ASHVEIN远控木马攻击乌政府人员，警惕HTML隐蔽指令及初始访问转售手法被复用于针对我政企网络的攻击

原创

FF
FF

情报分析师Pro

2026年10月19日 11:32
辽宁

去阅读

ASHVEIN并非孤立工具，它更像一套持续获取入口、筛选目标并择机移交的前端作业系统

2026年10月，一款名为ASHVEIN的程序进入公开视野。研究人员发现，它被用于针对乌克兰政府人员的定向网络活动，能够提取Chrome和Firefox凭据、截取屏幕、检索文件、识别主机环境，并通过PowerShell执行远程指令。

真正值得警惕的并非功能本身，而是它接收任务的方式：指令被藏进网页不可见元素，部分版本还把GitHub作为备用地址解析渠道。

终端访问的看似是普通网页，后台却可能完成取页、解析、解密与执行。传统设备若只检查文件下载和域名信誉，容易在“正常网页流量”面前失去判断力。

四年更换十余种工具，变化的是名称与外壳，不变的是对人员身份和业务节点的持续控制

TrendAI将相关活动追溯至2022年。该集群先后使用PowerShell、Go、C#和.NET组件，并不断调整投递方式，目标覆盖乌克兰政府、防务、边防和物流等领域。

2026年出现的链路甚至利用图片隐写和伪装的软件插件，说明其重点不是打造某个“终极工具”，而是保持入口不断、组件可换、行动可续。

诱饵也并不粗糙。行动人员借用警方答复、政府通知、司法文书等业务情境，将压缩包、脚本、虚拟磁盘和侧载组件嵌入真实工作流程。

一旦浏览器凭据被获取，受影响范围便可能从单台办公终端扩展到邮件、云平台、代码仓库、合作伙伴门户及远程办公系统。

这意味着，安全防护不能继续停留在“识别某个文件”。

文件名、域名和样本摘要可以迅速更换，真正稳定的是行为链：权威身份诱导、合法平台托管、凭据收集、主机筛选、隐蔽回传，以及后续操作者接管。

更高风险来自访问权移交，低烈度信息收集可能只是后续行动的入口准备

ESET认为，UAC-0099与俄罗斯利益一致的判断为中等置信度，并指出该集群可能承担初始访问角色，为Sandworm提供已经验证的目标入口。

这支持“存在协作关系”的判断，却不足以证明双方属于同一组织或共享统一指挥链。

风险恰恰藏在这一区别中。前端活动只表现为窃取凭据、截屏和文件收集，后端接手后，行动目的可能发生变化。

美国司法部曾将Sandworm与俄军事情报机构第74455部队联系起来，并指控其参与针对乌克兰电力系统、NotPetya和“奥林匹克破坏者”等行动。相关内容属于美方司法指控和公开归因，不应直接等同于已经完成司法认定。

因此，发现ASHVEIN或同类组件后，不能只隔离终端、删除文件。

身份令牌、邮箱规则、VPN会话、计划任务、域控制器、组策略和备份环境都应同步核查，否则清除的可能只是前端工具，入口本身仍被保留。

对我现实风险不在境内已经受影响，而在海外业务链具有被复制利用的条件

截至公开信息截止时，尚无可靠证据表明ASHVEIN已经直接波及我境内机构或在乌中资单位。 风险主要来自手法迁移：驻外机构、物流企业、媒体研究人员以及涉乌项目团队，同样会接触签证、警务、诉讼、清关、采购和人员安全通知，这些内容都可能被改造成高度本地化的定向诱饵。

应重点关注非浏览器进程读取浏览器凭据库、普通.NET程序加载PowerShell组件、签名程序从用户目录调用陌生模块、终端访问GitHub后迅速连接新域名等组合信号。

MITRE同样建议把公共网络服务访问、编码内容获取与后续外联进行时序关联，而非只封禁单个地址。

技术上并不神秘，组织方式却更成熟。真正需要识别的，不是一款程序，而是一条能够持续获得身份、筛选价值并转交入口的作业链。

完整技术链路、组织关系、对我风险、监测指标与分阶段处置方案，欢迎加入“情报读书会”知识星球下载完整版。

*【深度研判】俄关联组织UAC-0099据报以新型ASHVEIN远控木马攻击乌政府人员，警惕HTML隐蔽指令及初始访问转售手法被复用于针对我政企网络的攻击（资料编码2610161268，41页，14163字）***

印度海军水兵被控遭巴方“美人计”策反并泄露海军基地数据，印方反情报审查升级外溢至涉我人员往来与信息活动

菲律宾众议院通过扩大和平时期适用范围的新反间谍法并涉及我公民相关案件，需警惕执法扩大化增加我在菲人员及企业合规与安全风险

前CIA高级官员披露俄对西方情报活动模式，相关手法被泛化套用于涉我反情报叙事、加剧我驻外机构及人员受审查风险

黑客组织声称窃取FBI雇员数据且样本含对我反间谍岗位信息，美对我反间人员暴露与相互报复升级的风险

特朗普任命国家情报总监杰伊·克莱顿为人工智能主管并牵头“超级智能部队”，需关注美情报与对我技术竞争进一步合流