滥用Windows自带工具绕杀软！南亚APT SideCopy投放ReverseRAT，高校科研机构成新猎物

原创

AI紫队安全研究
AI紫队安全研究

AI紫队安全研究

2026年10月31日 11:59
广东

去阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

不用高危零日漏洞，依靠Windows系统自带合法程序mshta.exe完成整套投毒，多阶段内存加载，落地ReverseRAT远控木马。

印度国家网络安全机构Cyber Swachhta Kendra正式发布高危预警：南亚APT组织SideCopy（假旗部落/TAG‑140） 正在发动新一轮鱼叉式钓鱼攻击，攻击范围从传统政府国防单位，进一步扩大到高校、科研院所。恶意LNK快捷方式+HTA脚本组合，大量落地ReverseRAT远控，窃取科研资料、内部涉密文档，科研、涉外单位需要高度警惕。

一、团伙背景：SideCopy 南亚老牌间谍APT

SideCopy是至少自2019年就持续活跃的南亚APT组织，和Transparent Tribe（APT36）行动高度关联。

传统目标：国防、政府、军警机构，主打情报窃取；

最新变化：将大量科研院校、研究机构纳入狩猎范围，瞄准科研成果、项目资料；

惯用战术：鱼叉钓鱼、伪装文档、滥用Windows原生LOLBin白工具、多阶段内存载荷，擅长模仿其他APT组织手法制造假旗混淆溯源；

本次武器：自研远控木马 ReverseRAT，依靠内存反射加载规避静态查杀。

二、完整攻击链路：LNK快捷方式打开，系统工具就开始投毒

整套攻击链全部依托Windows自带组件，恶意文件大量在内存执行，磁盘不留明显恶意exe，传统杀毒很难拦截。

1. 投递阶段：钓鱼邮件发送加密ZIP压缩包

压缩包内包含恶意LNK快捷方式文件 + 诱饵文档（docx）。文件名高度模仿会议纪要、研究报告、官方通知，诱导用户双击打开快捷方式。

2. 触发：LNK调用系统mshta.exe

双击LNK之后，不会打开文档；后台直接调用微软系统自带工具mshta.exe，从黑客C2服务器下载混淆加密的HTA脚本，全程使用系统签名程序执行，告警阈值极低。

3. 第一阶段HTA执行，释放DLL载荷

HTA脚本在内存反射加载恶意DLL，释放批处理脚本、二级HTA脚本，原始HTA脚本会被自动删除，销毁现场干扰取证。

4. 建立持久化驻留

修改Windows注册表Run启动项，指向二级恶意HTA，实现开机自动执行，机器重启之后后门依然存活。

5. .NET反序列化，内存加载ReverseRAT远控

二级HTA经过多层解密，利用.NET反序列化技术，完全在内存加载ReverseRAT，不需要落地恶意EXE到磁盘。

6. ReverseRAT接管主机

后门主动向外连接C2服务器，实现全套间谍能力：远程执行命令、截屏、窃取剪贴板、盗取账号密码、遍历导出本地文档、内网侦查、横向移动。

重点风险：全部执行链条大量复用Windows合法自带程序，很多安全设备默认信任mshta.exe，容易直接放行恶意行为。

三、ReverseRAT远控核心能力

远程执行任意系统命令；

屏幕实时截图，监控桌面操作；

捕获剪贴板内容，窃取复制的密码、助记词、密钥；

遍历本地文件，批量外渗文档、科研材料；

搜集本机软硬件信息用于情报整理；

支持后续下载更多恶意模块，扩展攻击能力。

C2基础设施主要域名：dns.educationportals.biz、docsportal.in。

四、攻击最值得关注的三个高危特征

1. 滥用mshta LOLBin白工具绕过防御

mshta.exe是Windows原生HTML应用程序解释器，拥有微软数字签名。攻击者把它当作“活的武器”，很多单位应用白名单默认放行该程序。

2. 内存为主，磁盘不留明显恶意样本

ReverseRAT依靠反射加载、.NET反序列化，恶意主体运行在内存。磁盘只留下hta、bat脚本，没有大型exe病毒，传统基于病毒库扫描防护效果大打折扣。

3. 目标扩大，科研高校成为重点

过去SideCopy主攻军政部门，现在大量瞄准高等院校、科研机构。诱饵贴合学术报告、项目通知，科研人员极易中招，核心科研成果存在外泄风险。

五、企业、高校可直接落地防护建议

📧邮件网关防护

1. 拦截外来ZIP压缩包内的.lnk快捷方式文件；

2. 对外来邮件附件中的HTA脚本进行隔离告警；

3. 对主题为会议通知、研究报告、项目信函的外来邮件增加人工复核。

🔐终端管控（最高优先级）

1. 使用AppLocker / WDAC应用控制策略，限制mshta.exe和hta脚本的运行权限，普通业务场景可直接禁止mshta执行外部网络下载的HTA文件。

2. EDR重点狩猎行为：

mshta.exe进程发起对外互联网下载请求；

进程链：LNK快捷方式衍生mshta.exe；

注册表Run启动项新增指向hta/bat脚本的异常条目；

.NET进程出现反序列化、内存反射加载行为。

3. 禁止普通日常业务使用管理员权限账号操作电脑。

🛡️日常安全意识

1. 打开系统设置显示文件扩展名，分辨伪装PDF/DOC的.lnk快捷方式；

2. 收到陌生ZIP压缩包，不要直接双击内部快捷方式；

3. 收到可疑官方、科研通知邮件，通过独立电话、IM渠道核验发件人真伪。

🚨中招应急处置流程

1. 第一时间隔离受感染主机，优先留存内存、注册表日志取证，不要直接重装系统丢失线索；

2. 清除注册表Run项下的恶意启动项，删除hta/bat恶意脚本；

3. 全量轮换本机账号、域账号、各类系统密钥凭证；

4. 回溯内网访问记录，排查是否发生横向移动、文档外泄。

六、总结

SideCopy本次ReverseRAT攻击再次展示现代APT的思路：不一定需要高危漏洞，熟练玩转Windows自带合法工具，依靠多阶段内存载荷，就可以绕过大量安全防护。

军政、科研高校单位不能只依赖病毒特征库，管控LOLBin系统工具、监控进程行为、注册表启动项，才是对抗此类攻击的核心防线。

加入知识星球，可获取权益

一、\"全球高级持续威胁：网络世界的隐形战争\"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

想突破职业天花板的安全工程师/架构师；

需快速落地安全项目的企业负责人；

关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。