2026-10-24 14:06:50 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

电脑里多出隐藏的Edge窗口，内网随后多了一条反向SSH

原创

tcode
tcode

字节脉搏实验室

2026年10月23日 14:04
北京

去阅读

摘要：赛门铁克披露APT28使用Hookedge后门侵入北约成员国海军造船厂，恶意Word启动隐藏Edge接收任务，再植入SSH密钥建立反向隧道。本文把进程、外联、密钥、凭据与载荷五项证据连成排障链。

赛门铁克10月20日披露，一个被其追踪为Swallowtail、又名APT28的俄罗斯相关间谍组织，针对两个北约成员国的执法机构、海军造船厂和军用航空发动机制造商开展活动。公开报告没有点名受害国家或企业。在海军造船厂案中，入侵至少持续两个月；操作者从被控主机向自有服务器建立持续SSH通道，并窃取了两类认证凭据。最新可见的启动器活动在9月24日，不能把报告发布理解成攻击已经结束。

起点是一封带宏的Word文档。2026年7月24日下午，用户在Outlook附件缓存中直接打开了伪装成安全警报的文件。宏代码把脚本、网页和批处理文件写进用户目录，随后拉起一个不可见的Microsoft Edge实例，通过webhook.site接收任务并回传输出。这个细节值得运维人员重视：代理日志里出现浏览器访问公共网站，表面看像普通上网行为，真正异常的是Edge由谁启动、窗口是否可见、命令行为什么要隐藏，以及它是否紧接着派生了脚本或远程连接工具。

赛门铁克称，攻击者最初先查基础系统和网络连通性，约三天后改用185.82.218.119下发任务。公开案例记录中，操作者曾在大约30秒内下发七条命令，符合人工操作而不是固定定时任务。随后主机上出现放置在C:\ProgramData\Adobe目录下的SSH私钥，ssh.exe被用于反向转发，并带上不执行交互命令、转到后台、使用80端口、关闭主机密钥检查以及指定身份文件等参数。仅凭这些参数组合，仍然不能替代完整命令线和父进程核验，但它们为端点日志提供了明确的关联维度。

反向SSH为何绕开了入口判断

SSH本身是正常远程管理工具，反向转发也能被运维用于穿透受限网络、接入内网设备。问题不在程序名，而在行为组合。攻击者控制的服务器主动接受来自受害主机的连接，随后借这条已建立的通道访问目标网络；从内部主机侧看，它是在向外发起会话。只检查“外网能不能直接连进来”，会漏掉这种由内向外建立的通道。

赛门铁克还记录了两套凭据获取方式。一种是直接投放SSH私钥并马上使用；另一种是在本机回环地址启动PowerShell监听器，再让系统向该监听器认证，从中捕获NTLM握手。报告认为捕获的响应可能被用于重放或进一步利用，但公开材料没有证明攻击者已经在其他系统成功登录。这个边界很重要：发现回环监听和异常认证，说明凭据可能暴露；找到下游成功登录，才证明它被利用过。

7月31日，主机上又出现ld.exe和Events.dat。赛门铁克把ld.exe分析为此前未见公开记录的反射型加载器，它从命令行接收解密密钥，将加密文件在内存中解开，并调用名为ExecuteLoader的导出函数。报告只恢复了加载器和一个加密文件，没有恢复最终解密载荷，因此无法确认它的具体功能。可以把该文件视为高可信恶意组件，但不能凭“在内存执行”四个字推断攻击者拿走了哪些业务数据。

五个证据位应一起看

第一处是Edge的进程树。需要查浏览器父进程是否为Office、脚本宿主或其他非用户交互程序，命令行是否带隐藏窗口参数，以及同一时刻是否出现批处理、VBScript或异常下载文件。单个标签页访问webhook.site并不能定性；浏览器由宏文档派生、窗口不可见、随后产生凭据或SSH操作，才构成有意义的关联。

第二处是出站连接。先保全目的域名、IP、端口、首次与最后连接时间、持续时长和传输量，再与进程树对齐。本案前期使用webhook.site，后期切换到185.82.218.119，说明只封一个地址会漏掉前段或后段。公共网站也可能承载合法自动化，不应把webhook.site整体阻断后宣布问题解决。

第三处是ssh.exe的命令行和账号归属。重点看是否包含远程转发、后台连接、非标准业务端口、关闭主机密钥检查和指向临时目录的身份文件。管理员确有合法反向隧道时，还应有工单、固定目的端、受管密钥和对应父进程。四项都能解释，不能仅因出现-R就隔离；无法解释私钥为何落在C:\ProgramData\Adobe、连接目的又不在资产清单，风险才明显升高。

第四处是认证流量。若PowerShell监听本机回环端口，系统又向该端口发起NTLM认证，应在进程、脚本块和认证日志中寻找同一时间关系。监听器本身可能是软件安装或测试工具，因此需要确认发起认证的父进程、账号、目标端口，以及之后是否出现对该账号的远程登录。没有后续成功认证，不等于凭据没有被窃取；只有又发现横向登录，才能把暴露升级为已利用。

第五处是加载器与文件落地。ld.exe和Events.dat不是随手命名的普通缓存文件；命令参数同时传入加载器和密钥，也具有很强的取证价值。发现同名文件时，先计算哈希并与公开指标比对，不要直接双击或运行。报告没有披露载荷功能，端点产品即使拦截了ld.exe，也应继续查SSH密钥、NTLM捕获与反向连接是否已经发生。

先保全再断开的处置顺序

确认存在组合异常后，第一步是隔离主机而不是只杀进程。保存进程树、命令行、用户上下文、网络五元组、DNS与代理日志、Office最近打开文件、用户目录启动项和相关注册表项。反向SSH一旦被终止，目的端、持续时间和传输量可能只剩代理会话记录；先拍照式保存这些字段，再阻断其外联。

第二步处理凭据。删除一个私钥文件不代表密钥失效，要撤销主机上对应公钥、轮换被用于隧道认证的账号及邻近管理凭据；对NTLM捕获路径，应重置可能向回环监听器认证过的机器或用户秘密，并检查同账号在其他系统上的登录。重置范围应由实际账号、认证时间和成功登录记录共同决定，不应对所有域账号无差别强制改密。

第三步重查横向移动。报告显示操作者随后查询域组、管理员组、主机名、系统配置、进程与补丁，还解析过一个名称疑似邮件服务器的内部主机。即使这些命令没有成功，也说明攻击者在测绘内网。应搜索这些查询由哪个账号、哪台主机发起，是否接着出现新的远程服务认证、邮箱访问或管理员操作。报告未确认其是否真正进入其他系统，处置不能只以原始受控主机上的文件是否清除为完成标准。

第四步判断是否恢复。应从备份或可信镜像重建，而不是在已被内存加载器活动过的系统上只删除几个文件。重建前保留镜像和必要日志，重建后更换本地密码与密钥、限制管理工具出站、加强Office宏策略，并验证旧隧道目的端不再收到该主机的连接。赛门铁克看到9月24日仍有启动器活动，说明“7月31日后没有新命令”不能直接当作攻击者离场。

这条证据链的适用边界

公开报告把目标描述为两个北约成员国的政府和国防相关组织，没有给出中国境内受害者，也没有证明同一基础设施已经命中中国企业。其参考价值在于行为链和排障方法，不在于制造本地恐慌。组织若只拿报告里的一个IP做黑名单，几个小时就能被换域名或换服务器绕过；若只按文件名查ld.exe，也会漏掉尚未落地同名样本的同类加载器。

另一个边界是归因。赛门铁克将活动关联到APT28，并说明该组织被美国政府认定为俄罗斯军事情报机构相关单位；这是研究机构的公开归因，不是本文独立取得的行为人身份证据。公开材料也没有确认造船厂究竟丢失了哪些数据、是否横移到其他系统，以及9月24日之后是否还有活动。读者可以据此提升排查优先级，但不能补写受害者名称、损失金额或国内关联。

可转述的诊断问题是：这台电脑上的浏览器、SSH和管理员凭据，是否在同一时间被一个没有工单解释的进程串了起来？答案应由进程树、外联记录、身份文件、认证日志和载荷哈希共同回答。任何一项相符都不足以单独定罪，任何一项被迅速删除都会让后续判断更难。

来源

Symantec Threat Hunter Team（SECURITY.COM）：Swallowtail: Russian Espionage Group Targets Defense Firms in Two NATO Countries，页面日期2026-10-20，站点未单列时区，2026-10-23复核：https://www.security.com/threat-intelligence/swallowtail-russia-nato-targets