2025年APT趋势洞察报告

2025年APT趋势洞察报告千里目安全技术中心-深瞻情报实验室录录前言 012025APT威胁概览 031年度重点趋势 04凭证/会话/身份窃取与身份攻防 040day漏洞攻击面扩大 05AI加速漏洞挖掘与利用 07操纵行为的ClickFix社会工程 08云端控制平面与API窃密 09依赖与更新链路劫持 11终端对抗进入深水区 12从三角行动到Intellexa的移动安全 14勒索与破坏性攻击 162行业风险剖面 21政府与公共部门结构化新威胁 21教育科研各领域进展定向刺探 22企业银狐与勒索风险 23高端制造业供应链与LotL 24能源与关基可用性威胁 25技术与战术演进 273技术与战术演进 28初始访问SEO水坑网站 28持久化OneCli（LOLbins 30防御规避海莲花的MSI白加黑技巧 31防御规避EDRKiller的技术演进 33防御规避银狐对商业远控软件的广泛使用 35防御规避云环境的凭证滥用 37AI与高级威胁专题 394AI成为攻击加速器 40 侦察与目标选择恶意软件新范式

40 41翻译与规模化钓鱼 44现实影响 455AI系统自身安全 47提示词注入 47AI应用供应链 48Agent能力滥用 48RAG持久化投毒 506AI赋能防御 52自主威胁调查 52规则工程化 52快速威胁狩猎 53自动化渗透 537AI治理与合规地缘与组织画像89101112防御体系演进与建议13、面向未来的防御体系附1：深信服智安全风险监测平台APT画像平台附2：深信服千里目安全技术中心深瞻情报实验室

555758728692969798110111前言2025（）AT（高级持续性威胁APT组织攻击手段的持续迭代升级、攻击图景的不断扩张以及组织结构的不断分化与重组。当前，APT已成为网络空间中社会影响最广、防御难度最高、与地缘政治博弈关联最紧密的斗争形态之一。政治和经济形势的变化正在加速APT威胁的演变。地缘政治紧张局势催生了更多由国家主导的情报型网络攻击，而全球经济衰退和动荡则加剧了针对加密货币、敏感信息与科技情报的经济型攻击活动。与此同时，网络黑产犯罪团伙的活动日益猖獗，其高级技术与APT组织的技术界限逐渐模糊。然而，许多企业和组织的安全建设仍难以应对这种高水平的网络攻击威胁。高级网络攻击已不再遥不可及，APT攻击的防御与溯源挑战也不再仅限于政府等关键行业，网络攻击对经济、科技和民生发展的隐患已迫在眉睫。AIAI（GenAI）将发挥更大作用。当前AI技术正以“新科技革命”之态重塑整个社会的方方面面，攻防领域新的特征也不断出现。身份攻击从口令窃取转向会话令牌劫持与授权滥用，DeviceCodePhishing等手法绕过传统防护机制实现持久化控制；0day漏洞在野利用数量激增32%，攻击面从操作系统、浏览器延伸至供应链底层组件、移动芯片与核心通讯应用，AI技术则大幅缩短漏洞从发现到武器化的周期，推动攻击效率跨越式提升；社会工程与初始访问突破邮件钓鱼框架，ClickFix战术、SEO水坑攻击借助非邮件场景及系统原生组件实现隐蔽渗透，AI权限滥用，通过恶意OAuth应用构建持久化后门，供应链攻击则覆盖开源仓库、软件更新链路等全生命周期阶段；终端攻防进入内核级对抗阶段，BYOVD技术、LOLbins、实现持久化的标纵观2025年披露的APT事件，以国家背景的窃密攻击和渗透仍占据最大比重，而以经济为目的的定向勒索攻击也将触角2026AIAT深瞻情报实验室基于2025年跟踪的APTAPTAIAPT组织视角以及APT攻击防御视角五个视角详细阐述本年度APT趋势洞察。声明本报告除明确注明来源以外，数据均来自深信服千里目安全技术中心深瞻情报实验室，目的仅为帮助客户及时了解中国或其他地区APT威胁的最新动态和发展，仅供参考。本报告中所含内容乃一般性信息，不应被视为任何意义上的决策意见或依据，任何深信服科技股份有限公司的关联机构、附属机构（统称为“深信服股份”）并不因此构成提供任何专业建议或服务。在作出任何可能影响您的财务或业务的决策或采取任何相关行动前，或您对本报告内容有任何问题与建议，可联系深信服官方。01 2025年APT趋势洞察报告01与地缘政治博弈深度关联的APT球经济的衰退动荡加剧了加密货币窃取和定向勒索等以经济利益为目的的攻击。02APT组织利用操作系统和浏览器类0day漏洞最为频繁，且攻击面不断扩大，从底层芯片到上层通讯应用，01与地缘政治博弈深度关联的APT球经济的衰退动荡加剧了加密货币窃取和定向勒索等以经济利益为目的的攻击。02APT组织利用操作系统和浏览器类0day漏洞最为频繁，且攻击面不断扩大，从底层芯片到上层通讯应用，都出现了在野0day漏洞利用。03APTAI极大地加速了新攻击技术与工具的应用。04社会工程学回归其原始含义，APT组织降低对邮件投递恶意代码的依赖，转而聚焦对人类工作流的直接操ClickFix战术。05展望2026APT摘要01010day漏洞与AI02202543个在野0dayAI投APT攻击与地缘政治相互影响，深瞻情报实验室持续跟踪南亚、东亚、欧洲、中东、北美地区的APT动态。基于对攻击技巧和APTAPT2025年APT趋势洞察报告 022025APT威胁概览03 2025年APT趋势洞察报告年度重点趋势年度重点趋势1.1凭证/会话/身份窃取与身份攻防2025MAoe（令牌SessionCookieDevieCodeFlw与uth1.1凭证/会话/身份窃取与身份攻防MicrosoftGraphAPIDvieCodePhishingMA的新路径ut（OpenuthoritionDeviceCodeFlowOAuth2.0（DevieCode（serCode（手机或电脑oen到合法服务4 到合法服务4 A名、密码和、6 令牌者恢复访问5 指令器生成访问攻击者向服务请求获取设备码(DeviceCode)服务返回设备码攻击者发送设备码给受害者攻击者攻击者正是利用这一流程的特性，通过邮件/IM（Instantmessaging，即时通讯软件，如微信）等渠道投递诱饵，引导受害者在合法登录页面输入攻击者生成的DeviceCode，从而把授权绑定到攻击者手中并收割Token。这让传统的钓鱼攻击变了样⸺不再是伪造一个假的登录页面骗用户输入账号密码，而是引导用户跳转到平台的官方登录页面完成授权操作。这种方式很难通过识别钓鱼域名或虚假页面来防范，大大降低了攻击被发现的概率。隐秘的长期应用级授权OAuthPoofpointEntaI（微软的身份管理系统uth应Mail.Readoffline_access（MAIDMicrosoftGraphAPIEntraID1.20day漏洞攻击面扩大2025年，APT组织利用0day43个在野利用的0day漏洞，较2024年的31个在野利用0day32%MicrosoftGoogleApple等8个厂商的121.20day漏洞攻击面扩大VMVM1ae1MetaFreeTypeSamsungFreeTypeQualcommMSamsungQualcommVMWareGoogle8AppleGoogleMicrosoft2025年已知在野0day漏洞涉及厂商Ap9ple19Microsoft0day漏洞利用情况“Pojeteo0day0day2025年发现的在野利用0day数量较2024（39%2025年共发现43个0day2024年只有31个。针对2025年的43个在野0day漏洞利用情况进行深入分析，可以得出以下三点结论：操作系统和浏览器类的0day漏洞数量最多，表明这两类漏洞仍然是APT攻击的常见入口。由于操作系统和浏览器在用户设备上的广泛使用且攻击成本低，这使得这两类漏洞成为攻击者首选的渗透途径。2025年的在野0dayAPT底层组件漏洞。例如，FreeType字体渲染库的漏洞（CVE-2025-27363）可影响大量依赖它的应用程序；高通（QualommGPU（如VE-2025-21479（2主流通讯应用：Ma公司的WhsApp首次出现在野利用0da（VE-2025-551772025年的数据反映了攻击面的两个重要扩展方向（1（QualommGPU驱动的3（如VE-2025-2147920252024202520242023202220212020数量 单位：个201920182017201620152520123122252843415669807060504030201000day漏洞利用平台趋势我们通过对2015年以来的在野利用0day漏洞所属平台进行定量分析，可以看出操作系统和浏览器两种类型的0day漏洞数量较多，占据主要部分。从攻击难度和攻击效益来看，浏览器0day漏洞攻击实施复杂度低、攻击效益高。此外，当前攻击趋势也在发生一些变化：正在向供应链与新兴攻击面两个维度扩张。攻击者不仅持续深挖操作系统与浏览器漏洞，也在挖掘一些供应链底层组件（如字体库、驱动）漏洞，以一点突破影响全局；同时也将目光投向移动设备层和高可信的核心通讯应用等新兴领域。0.7 4硬件设备0.7 4硬件设备年新增25Web应用单位：个年每年平均15—24应用程序年合计15—24浏览器722.15.8 319911.82516.1操作系统521061451601401201008060402001.3AI加速漏洞挖掘与利用2025AT组织的漏洞武器化能力与AI组织对高危0day漏洞的响应与利用效率大幅提升，新漏洞披露后短时间内便被转化为攻击武器，多团伙同步AI与大语言模型（LLM）不再是停留在理论层面的技术概念，而是成为1.3AI加速漏洞挖掘与利用APT组织对0day漏洞的快速武器化2025年，WinRAR路径遍历漏洞（CVE-2025-8088和CVE-2025-6218）的披露引发了多起APT攻击活动，多个组织几乎在同一时间窗口内开始利用这些漏洞。Gamaredon组织利用CVE-2025-8088通过特制RAR压缩包将恶意文件静默植入系统启动目录，结合其惯用的多层混淆VBScriptCVE-2025-6218，通过构造包含特殊空格字符的路径绕过路径规范MicrosoftWordPaperWerewolf组织RARWinRAR路径遍历缺陷将恶意文件隐藏于ADS中，并故意设计无效路径条目干扰用户视线。多个组织几乎在同一时间窗口内完成了漏洞的武器化。AI对漏洞挖掘与利用的多方面影响AI还被攻击者用到了另一个关键场景⸺大规模审计开源软件和硬件固件的代码。微软的研究发现，只要把专门分析代码的大语言模型做些微调（到了2026年，大部分顶尖模型无需微调，已具备完备的代码分析能力，研究人员就能以远超传统静态分析工具的速度，找出开源启动加载程序bootloaderAPTAI还在彻底改变漏洞利用Exp的制作流程。以前攻击者得手动调试每一个内存偏移量，现在靠着AI辅助的Fuzzing（模糊测试）工具，能快速找出漏洞的可利用路径，还能自动生成利用程序。有了这种自动化加持，一个已公开披露的漏洞，可能在几小时甚至几分钟内就会出现对应的自动化攻击脚本。图1-5Copilot发现整数溢出漏洞并提出修复建议图1-5Copilot发现整数溢出漏洞并提出修复建议另一个典型的例子是针对AI基础设施本身的攻击。2025年，UTG-Q-015组织盯上了AI研究机构常用的ComfyUI-Manager插件漏洞。他们利用这类新兴AI资产的0day或Nday漏洞，成功入侵了大量政企单位和AI科研服务器。1.4操纵行为的ClickFix社会工程2025年社会工程的核心变化，不在于欺骗话术的迭代，而在于攻击模式的转型：攻击者大幅降低对复杂恶意代码投递的依1.4操纵行为的ClickFix社会工程2025IT作完成批量攻击落地。ClickFiClickFix：（例如"浏览器更新失败""音频设备异常""需要完成CACHA验证""修复步骤"Win+RPowerShell/CMD命令。图1-6ClickFix—诱导受害者在cmd中执行命令ClickFix的本质不是"更高明的木马"，而是"更高确定性的交互设计"：通过一键复制或剪贴板注入降低操作门槛，再利用PowerShell、MSHTA、rundll32等系统内置组件拉取或解密二阶段载荷，实现低成本、快落地、强通用的投递效果。信息窃取器从受信息窃取器从受 取敏感凭据及银行ll2ecmd文件，并通过%Temp%目录；第二阶段载荷写入 通的S， 阶下载.PowerShell命令；向用户展示虚假文与控制通道回传给税务局至伪造的某文IIPTL图1-7典型ClickFix流程另一个值得警惕的情况是，AIAI辅助生成的钓鱼邮件与仿冒站点，不仅语言逻辑自然流畅（，更能基于目标用户画像实现精准定制化生成。据Proofpoint遥测数据显示，黑产组织已开始规模化应用AI网站生成工具，在数秒内即可打造出与合法金融机构、政务平台高度一致的仿冒站点。1.5云端控制平面与API窃密1.5云端控制平面与API窃密225员身份和APIAPI工具（比如MicrosoftGraph、AWSAPI、AzureREST）提供了极高效率的数据检索与提取手段，使得攻击者能够实现所谓的"gab-and-"（即拿即走⸺在获取权限后，利用自动化工具在极短时间内完成枚举、定位与批量导出海量敏感数据。云控制平面：身份即域控权限云控制平面的身份已成为现代云上企业最关键的攻击面。一旦攻击者通过身份劫持（如AiTM钓鱼、Token窃取或OAuth授权滥用）获得了管理员权限或具备广泛权限的账号或Token，他们便拥有了俯瞰整个租户的能力。PaloAltoNetworks的研究显示，2025年针对云侧IAM（身份与访问管理）的探测行为显著增加，攻击者不再将时间消耗在复杂的横向移动上，而是直接利用权限漏洞定位高价值数据存储。。攻击者开始滥用云端原生发现工具。例如，AzureHoundAPTGraphAPI。图1-8AzureHound工具基于API的数据窃取与跨应用横移与传统攻击中漫长的文件搜索不同，基于API的数据提取具有天然的隐蔽性与规模效应。攻击者利用MicrosoftGraphAPI的搜索功能，可以通过关键词直接在整个租户的邮件等资源中进行跨应用检索。UNC6040等团伙利用被盗的OAuthAPI的"grab-and-go"模式，使得攻击者能够在极短时间内完成从权限获取到数据外传的完整链条。用的身份持续访问云端资源。用"。通过为这些应用配置高危权限，并生成长效的客户端密钥，攻击者即使在原始凭据失效的情况下，仍能通过该应云端持久化技术对抗也进入了深水区，攻击者不再依赖创建虚假账户，而是倾向于在目标租户内注册"内部OAuth应发的有效TLS证书，成功规避了基于域名信誉的传统检测机制。DevTunnels构建隐蔽通道，将恶意流量混入合法的云流量中。该组织通过创建临时子域名，并自动获得Microsoft签除了直接的数据窃取，攻击者也在探索利用合法云服务构建隐蔽的C2通道。Gamaredon组织2025年滥用Microsoft是否会成为攻击者的"自助餐"。云与SaaS的攻防对抗正处于快速上升期，随着企业业务全面上云，控制平面的安全性将直接决定企业的核心数据资产用的身份持续访问云端资源。用"。通过为这些应用配置高危权限，并生成长效的客户端密钥，攻击者即使在原始凭据失效的情况下，仍能通过该应云端持久化技术对抗也进入了深水区，攻击者不再依赖创建虚假账户，而是倾向于在目标租户内注册"内部OAuth应发的有效TLS证书，成功规避了基于域名信誉的传统检测机制。DevTunnels构建隐蔽通道，将恶意流量混入合法的云流量中。该组织通过创建临时子域名，并自动获得Microsoft签除了直接的数据窃取，攻击者也在探索利用合法云服务构建隐蔽的C2通道。Gamaredon组织2025年滥用Microsoft是否会成为攻击者的"自助餐"。云与SaaS的攻防对抗正处于快速上升期，随着企业业务全面上云，控制平面的安全性将直接决定企业的核心数据资产1.6依赖与更新链路劫持1.6依赖与更新链路劫持2025年，供应链攻击已从传统的源码投毒演变为针对软件全生命周期的链路劫持。从开源仓库的维护者账户，到供应商的构建系统（BuildSyem，再到最终用户的自动化更新程序，供应链的每一个环节都成为了AT组织实施攻击的支点。意载荷伪装成合法的更新包，利用用户对官方签名的信任实现静默安装。最令防御侧担忧的趋势是合法软件更新链路被劫持。攻击者通过渗透软件供应商的更新服务器或构建系统，将恶户基础，且使用者多为研发、运维等掌握敏感数据的技术岗位人员，此次事件对相关政企机构造成了较大威胁。的安装包，在其中嵌入窃密功能并通过浏览器插件实现持久化与远控。由于EmEditor在国内拥有相当规模的用意载荷伪装成合法的更新包，利用用户对官方签名的信任实现静默安装。最令防御侧担忧的趋势是合法软件更新链路被劫持。攻击者通过渗透软件供应商的更新服务器或构建系统，将恶户基础，且使用者多为研发、运维等掌握敏感数据的技术岗位人员，此次事件对相关政企机构造成了较大威胁。的安装包，在其中嵌入窃密功能并通过浏览器插件实现持久化与远控。由于EmEditor在国内拥有相当规模的用2025年末披露的EmEditor供应链事件是一个典型案例。攻击者在12月19日至22日期间替换了官方渠道分发开源生态投毒：开发者即目标2025年，多个组织采用了不同的策略在开源生态（如GitHub、npm、PyPI）中进行投毒，呈现出"精准定向"与"动态隐蔽"并行的趋势。海莲花组织伪装成国内安全圈的专业人员，在GitHub上发布看似实用的安全工具或插件，通过在非代码配置文件中隐藏恶此外，2025年末披露的Cursor、Windsurf和GoogleAntigravity等AIIDE的安全漏洞显示，这些基于VSCode的开发者工具在推荐插件时存在命名空间劫持风险：攻击者可以注册IDE推荐但尚未被占用的插件命名空间，上传恶意插件，利用开IDE1000名开发者安装了占位符插件（模拟的恶意插件。图1-9被投毒的AIIDE插件SilentLynx和amdc6766等组织也分别利用GitHub仓库和仿冒页面进行供应链投毒，针对特定目标群体展开攻击。1.7终端对抗进入深水区1.7终端对抗进入深水区2025年，终端攻防已完全进入系统级内核对抗阶段，攻击者不再满足于应用层的隐藏技巧，而是通过夺取内核级权限，系统性地关闭EDR系统，使传统防御工具彻底失灵。这种降维打击战术已成为高级威胁和勒索软件行动的标准配置，甚至部分水平较高的黑产团伙也已开始使用此技术。利用漏洞获取内核权限，从而在内核层直接终止EDR进程和驱动。机制，攻击者难以直接加载未签名的恶意驱动，但他们可以通过加载带有合法签名但存在已知漏洞的旧版驱动程序，BYOVD（BringYourOwnVulnerableDriver）在2025年达到了新的成熟度。由于Windows现代版本的内核保护处理进程和驱动遥测的采集。个具备合法签名的有漏洞驱动，还能根据目标环境自动选择最有效的漏洞进行利用，其唯一目的就是强制终止EDR利用漏洞获取内核权限，从而在内核层直接终止EDR进程和驱动。机制，攻击者难以直接加载未签名的恶意驱动，但他们可以通过加载带有合法签名但存在已知漏洞的旧版驱动程序，BYOVD（BringYourOwnVulnerableDriver）在2025年达到了新的成熟度。由于Windows现代版本的内核保护处理进程和驱动遥测的采集。个具备合法签名的有漏洞驱动，还能根据目标环境自动选择最有效的漏洞进行利用，其唯一目的就是强制终止EDRESET在2025年披露的RansomHub组织使用的EDRKillShifter工具是这一趋势的典型代表。该工具不仅自带了多图1-10图EDRKillShifter工具DLL侧加载与内存驻留2025年，多个APT组织展现了更加精细的侧加载（Side-loading）和内存驻留技术，将恶意逻辑隐藏在合法进程中，实现"就地取材"（Living-off-the-Land）的隐蔽执行。例如，响尾蛇通过合法的系统进程加载恶意DLL，结合严格的地理围栏检测和公共云存储服务实现规避检测；金眼狗则采用加壳处理和"白加黑"技术，通过合法程序加载恶意组件，随后在内存中解密并加载远控木马。高级加载器技术：多阶段注入与进程隐身2025年，APT组织广泛采用模块化的高级加载器技术，通过多阶段注入和进程隐身实现高度隐蔽的载荷投递。这些加载器不仅具备强大的反逆向能力，还能根据目标环境动态调整执行策略。Hijackloadershellcode进程分身"技术在不落地文件的情况下创建并执行恶意进程。海莲花组织则采用DLL镂空技术和异常处理机制，通过加载系统文件并在内存中替换代码段，最终在内存中释放远控木马。这些技术的共同特点是：通过多阶段注入、内存驻留和进程隐身，将恶意行为分散到多个看似合法的系统组件中，使得恶意代码完全在内存中执行，不会触发文件扫描引擎，传统的基于文件扫描和行为检测的安全产品难以有效识别和阻断。python34.dll python34.dll vssapi.dll注入 注入epla.dll加载VideoUploader.dll加载包用户黑客点击恶意邮件（SVG文件）APT组织服务器注入执行02PROCESOJUDICIAL.exe恶意载荷图1-11盲眼鹰组织攻击流程图1.8从三角行动到Intellexa的移动安全iOS和Android（SV1.8从三角行动到Intellexa的移动安全从三角行动到Intellexa三角行动（OperationTriangulation）作为针对iPhone设备的复杂间谍软件攻击，自2019年起持续活跃，于2023年6月由卡巴斯基首次披露。该攻击依托多个0day漏洞构建攻击链，通过恶意iMessage附件实现零交互感染，无需用户任何操作即可突破设备防护，成功获取root权限后部署TriangleDB后门，实现对通话录音、地理位置信息及Telegram等端到端加密通讯软件内容的全面接管。IntellexaPredator间谍软件。尽管已遭受国际社会联合制裁，该组织仍保持技术迭代活力，具备针对iOS最新版本的零点击攻击能力。Google威胁情报组数据显示，2021年以来全球披露的0day漏洞中，Inella相关漏洞占比达21.4%，覆盖远程代码执行（RCE、沙箱逃逸、权限提升等高危类型；截至2025年，其仍在利用CVE-2025-48543、CVE-2025-6554等未修复零日漏洞发起精准定向攻击。2025年12月，国际特赦组织安全实验室与谷歌等机构联合披露"IntellexaLeaks"事件，泄露的内部资料进一步印证了该组织在移动端攻击领域的技术深度与体系化能力。图1-12泄露文档中关于间谍窃密行为能力的说明更值得警惕的是，Intellexa构建了名为"Aladdin"的广告生态攻击链路，推动移动端攻击从"诱骗交互型"向"被动感染型"全面升级。该攻击模式无需用户主动点击，仅需用户访问包含恶意广告的网站或应用，即可通过广告加载流程触发漏洞利用与恶意载荷植入。Aladdin系统基于目标设备公网IP等网络特征实现精准定向投放，整合PulseAdvertise、MorningStarTEC等广告技术服务商资源，借助合法广告流量掩护绕过传统安全检测，使得"拒绝点击可疑链接"等传统防护建议失效，2025年该攻击体系仍处于活跃部署状态。CREATEINSIGHT,CREATEINSIGHT,WINTHEDIGITALRACEintargetIPemr2tiignortargetIP1infrIastructureIdentifyiinthesystemlieof3Aladdin-O-clickinfectionthroughadvertisements4dtttionCNCSerer normaluseofthedeviceAndroid&iOSdevicesfortargeteddevicewhileO-clickseamlessinfectionsystem.IdentifyIPusingcustomer'spublicIPMobileDevicesbasedoftheirWhatisit?Deliveryplatformtoinfect图1-13泄露文档中关于"Aladdin"零点击广告生态攻击链路的介绍以Predator为核心的商业间谍软件，将攻击基础设施工程化推向新高度。其采用多层中继服务器架构与匿名化网络链路，有效隐匿真实C2服务器位置；监控数据采用客户侧部署模式，而泄露材料显示供应商可能保留对部分部署节点的远程维护权限，导致受害者数据面临客户侧存储风险与供应商侧越权访问的双重威胁。此外，攻击者广泛滥用CDN加速、云服务资源及广告生态等合法载体，承载恶意载荷投放与C2通信，使攻击流量与正常业务流量高度混淆，显著提升了安全检测与溯源的技术难度。构建了多样化的攻击策略与技术体系，威胁性持续提升。2025构建了多样化的攻击策略与技术体系，威胁性持续提升。2025在隐蔽渗透层面，以KoSpy为代表的Android间谍软件形成了“伪装诱导-权限滥用-云端控管”的成熟攻击链在隐蔽渗透层面，以KoSpy为代表的Android间谍软件形成了“伪装诱导-权限滥用-云端控管”的成熟攻击链路：通过伪装成工具类、实用型应用诱导用户主动安装，进而骗取设备高敏感权限；后续依托云服务动态下发配置指令，按需激活数据采集模块，精准窃取短信、通话记录、地理位置、本地文件及屏幕截图等核心敏感信息，在技术能力升级维度，Android攻击呈现两条极具破坏性的演进分支：其一，以LANDFALL为代表的商业级间谍在技术能力升级维度，Android攻击呈现两条极具破坏性的演进分支：其一，以LANDFALL为代表的商业级间谍KONNI擦除-扩散”的攻击闭环，通过IM工具以“减压软件”等话术投递恶意载荷，窃取目标账号后滥用GoogleFindHub功能远程擦除设备数据。xetsrdiltys.TALKailnserveastheattacker.2thtitieeseetliitsvitimThait,d-inVictimPCdslroanmessolitteied.PirgKakaoTalkDevice AndroidVersionAndroidGoogleFindHubemwhentheuserwasabsentKonniDieTALKsyeayiie.y1etirdieen图1-14KONNI远程擦除设备数据攻击链端初始访问的高效入口，传统社工攻击模式仍具较强生命力。透明部落等组织仍持续通过WhatsApp等社交平台直投恶意APK，印证了在部分地区，社交渠道仍是Android端初始访问的高效入口，传统社工攻击模式仍具较强生命力。透明部落等组织仍持续通过WhatsApp等社交平台直投恶意APK，印证了在部分地区，社交渠道仍是Android1.9勒索与破坏性攻击2025年，勒索软件与破坏性攻击的边界加速消融，攻击者核心诉求从单一赎金勒索转向系统性业务中断，呈现鲜明双向LotL205年更具代表性的攻击路径是：直接在业务系统中静默读取、批量导出核心数据，以已获取的数据为筹码向管理层施压。我们在事件响应过程中遇到的多起事件都体现了这一特征。图1-15事件响应中遇到的勒索事件2025年，勒索软件与破坏性攻击的边界加速消融，攻击者核心诉求从单一赎金勒索转向系统性业务中断，呈现鲜明双向LotL图1-15事件响应中遇到的勒索事件205年更具代表性的攻击路径是：直接在业务系统中静默读取、批量导出核心数据，以已获取的数据为筹码向管理层施压。我们在事件响应过程中遇到的多起事件都体现了这一特征。1.10参考链接1.10参考链接1.1Storm-2372conductsdevicecodephishingcampaign1.1https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/Beyondcredentials:weaponizingOAuthapplicationsforpersistentcloudaccesshttps://www.proofpoint.com/us/blog/threat-insight/beyond-cre-dentials-weaponizing-oauth-applications-persistent-cloud-accessAccessgranted:phishingwithdevicecodeauthorizationforaccounttakeoverAPT-C-53（Gamaredon）CVE-2025-8088WinRARAPT组织积极利用：纸狼人(PaperWerewolf)攻击活动深度分析https://www.ctfiot.com/266011.htmlAnalyzingopen-sourcebootloaders:FindingvulnerabilitiesfasterwithAIhttps://www.microsoft.com/en-us/security/blog/2025/03/31/ana-lyzing-open-source-bootloaders-finding-vulnerabilities-faster-with-ai/1.42025Unit42GlobalIncidentResponseReport:SocialEngineeringEdition/2025-unit-42-global-incident-response-report-social-engineering-edition/1.4ThinkbeforeyouClickFix:AnalyzingtheClickFixsocialengineeringtechniquehttps://www.microsoft.com/en-us/securi-ty/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/FromContagioustoClickFakeInterview:LazarusleveragingtheClickFixtactichttps://blog.sekoia.io/clickfake-interview-campaign-by-lazarus/MonsterV2malwarespreadthroughClickFixcampaignshttps://www.scworld.com/news/monsterv2-malware-spread-through-clickfix-campaignsCybercriminalsAbuseAIWebsiteCreationAppforPhishinghttps://www.proofpoint.com/us/blog/threat-insight/cybercriminals-abuse-ai-website-creation-app-phishing1.51.5CloudThreatsontheRise:AlertTrendsShowIntensifiedAttackerFocusonIAM,Exfiltration/2025-cloud-security-alert-trends/Storm-2372conductsdevicecodephishingcampaignhttps://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/AzureHound:CollectingAzureADandAzureRMdatahttps://bloodhound.specterops.io/collect-data/ce-collection/azurehoundBeyondcredentials:weaponizingOAuthapplicationsforpersistentcloudaccesshttps://www.proofpoint.com/us/blog/threat-insight/beyond-cre-dentials-weaponizing-oauth-applications-persistent-cloud-accessHowSalesforceAPIAccessControlStopsRogueAppsLikeUNC6040’s(ShinyHunters)DataLoaderAttack/blog/block-rogue-salesforce-apps-unc6040-dataloader-attack/1.6【高级威胁追踪(APT)】amdc6766团伙最新双平台特马攻击事件分析https://www.ctfiot.com/265575.html1.6EmEditor供应链事件细节披露：分发窃密特马席卷国内政企/blog/articles/emeditor-supply-chain-incident-details-disclosed-cn/APT32AbusesGitHubInfrastructuretoLaunchTargetedStrikesonCybersecurityExpertsandCorporations/apt32-abuses-github-infrastructure-to-launch-targeted-strikes/Cursor,Windsurf&GoogleAntigravityIDEsRecommendMaliciousAppExtensiontoDevelopers/ides-recommends-malicious-app/VSCodeTasksAbusebyContagiousInterview(DPRK)/blog/block-rogue-salesforce-apps-unc6040-dataloader-attack/1.7ESETResearchinvestigatesRansomHub,divesintoEDRkillers,uncoverstiesamongrivalgangshttps://www.eset.com/us/about/newsroom/research/eset-re-1.7search-investigates-ransomhub-dives-into-edr-killers-uncovers-ties-among-rival-gangs/金眼狗（APT-Q-27）近期使用银狐系Winos木马的攻击活动https://www.ctfiot.com/289583.htmlAPT|海莲花组织Havoc远控木马分析https://www.ctfiot.com/273664.htmlRansomwareattackersintroducenewEDRkillertotheirarsenalhttps:///ja-jp/blog/edr-kill-shifterShiftingthesandsofRansomHub’sEDRKillShifterhttps://www.weliv/en/eset-research/shifting-sands-ransomhub-edrkillshifter/APT-C-36（盲眼鹰）利用Hijackloader开展攻击活动https://www.ctfiot.com/287745.htmlSanctionedbutStillSpying:Intellexa'sProlificZero-DayExploitsContinue/blog/topics/threat-intelligence/intellexa-zero-day-exploits-continueToCatchaPredator:IntellexaLeaks/latest/2025/12/intellexa-leaks-predator-spyware-operations-exposed/LANDFALL:NewCommercial-GradeAndroidSpywareinExploitChainTargetingSamsungDevices/landfall-is-new-commercial-grade-android-spyware/LookoutDiscoversNewSpywarebyNorthKoreanAPT37https://www.lookout.com/threat-intelligence/article/lookout-discovers-new-spyware-by-north-korean-apt37State-SponsoredRemoteWipeTacticsTargetingAndroidDeviceshttps://www.genians.co.kr/en/blog/threat_intelligence/androidLeaksshowIntellexaburningzero-daystokeepPredatorspywarerunninghttps://www.malwarebytes.com/blog/news/2025/12/leaks-show-in-tellexa-burning-zero-days-to-keep-predator-spyware-running1.9OracleE-BusinessSuiteZero-DayExploitedinWidespreadExtortionCampaign/blog/topics/threat-intelligence/oracle-ebusiness-suite-zero-day-exploitation1.92025Ransomware&ExtortionTrends/2025-ransomware-extortion-trends/ESETResearchinvestigatesRansomHub,divesintoEDRkillers,uncoverstiesamongrivalgangshttps://www.eset.com/us/about/newsroom/research/eset-re-search-investigates-ransomhub-dives-into-edr-killers-uncovers-ties-among-rival-gangs/行业风险剖面行业风险剖面2.1政府与公共部门：结构化新威胁政府与公共部门面临三类突出网络安全风险，共同指向攻击者“突破薄弱环节、控制整体管理面、持续监控高价值目标”的核心诉求：，这类机构防御能力不足却掌握敏感信息，成为AT组织的重点攻击跳板；二是信创/政务网环境的批量渗透风险，攻击者突破边界后可借助终端管理软件实现批量入侵，导致单点失守演变为全面沦陷；三是核心人员移动端的定向攻击风险，零点击技术与商业间谍软件的结合，使承载敏感信息与访问权限的移动设备防护失效。2.1政府与公共部门：结构化新威胁下属机构的安全短板使其成为APT组织的首要突破目标。2025年，Bitter组织多次发起定向攻击：以《课题研究报告--form中央xxxx委员会》为主题的钓鱼邮件靶向某政府下属研究机构，通过CHM文件诱饵触发恶意代码，创建计划任务并部署WmRat远控木马与键盘记录器；同年8月，该组织模仿某国驻华大使馆发送钓鱼邮件，针对某国企下属机构采用相同CHM入口，植入WmRat、Havoc远控木马及窃密程序，更通过窃取的邮箱密码横向扩散至受害者同事。这类机构普遍缺乏完善的安全防护与应急响应能力，被攻陷后不仅导致敏感信息泄露，更成为攻击者向核心系统渗透的跳板。图2-1Bitter组织钓鱼邮件图2-1Bitter组织钓鱼邮件针对信创/2022年起持续针对国产信创平台与政务网开展网络间谍活动，通过恶意文件投递、内网供应链植入等方式，借助定制化ELF木马窃取政务数据。该组织展现出极强的信创环境适配能力，突破边界后利用国产终端管理软件或管理链路，向信创终端与Windows终端批量下发恶意更新脚本及二阶段样本，实现内网全域渗透。移动端已成为政府核心人员的高风险攻击面。2025iVerify公司6月披露的调查显示，美国政府、政界等领域人士的智能手机频繁出现异常崩溃，实为攻击者利用iOS漏洞，通过伪装iCloud通知等方式实现零点击感染，完全绕过传统防护建议；同时，Intellexa等商2.2教育科研：各领域进展定向刺探2.2教育科研：各领域进展定向刺探2025APT组织展现出对特定科研领域的深度认知与持续关注。在航空航天领域，CNC组织持续发起定向攻击。2025年5月，该组织以《张xx简历》为主题向某高校航空航天研究院发送钓鱼邮件，诱使受害者打开伪装成PDF的LNK快捷方式，执行恶意指令后下载VBS脚本，部署下载器、远控木马等多层载荷，通过计划任务实现持久化驻留，数月后完成数据外传。2024-2025年间，该组织还多次使用《关于您指导下的博士学2025公派留学.pdf图2-2CNC组织钓鱼邮件图2-2CNC组织钓鱼邮件国的海洋战略竞争。国的海洋战略竞争。同期，CNC组织针对海洋科学领域发起多轮定向攻击，目标覆盖国内该领域研究人员及行政管理人员。钓鱼邮在人工智能领域，Confucius组织同样展开精准攻击。2025年4月，该组织以《第八届人工智能与群体智能前沿论坛》为主题发送钓鱼邮件，诱使受害者打开含恶意LNK文件的压缩包，通过PowerShell执行混淆命令，在人工智能领域，Confucius组织同样展开精准攻击。2025年4月，该组织以《第八届人工智能与群体智能前沿论坛》为主题发送钓鱼邮件，诱使受害者打开含恶意LNK文件的压缩包，通过PowerShell执行混淆命令，PDFC2服务器。综合来看，2025一次性窃取，而是追求持续监控与链式扩散，充分利用科研环境的开放性与协作性作为信任突破口。对此，科研教育机构需强化特定领域定向攻击的识别能力，提升对“同行来源”文件的警惕性，建立跨机构威胁情报共享机制以应对风险。 2.3企业：银狐与勒索风险2025而是以钓鱼为核心传播手段、重点瞄准政企单位的恶意程序统称，背后有多个专业攻击团伙分工协作，通过各类渠道实现大范围渗透扩散。银狐木马的攻击体系持续迭代升级，攻击范围不断扩大。攻击目标从原本的特定关键岗位，逐步延伸至各类用户群体及海传播渠道打包为标准化服务，形成完整产业闭环，同时常作为前置入侵工具，为勒索软件攻击铺路。技术层面，银狐木马的隐蔽性与对抗性持续增强。攻击者采用多阶段注入、进程注入、驱动对抗等进阶手法，先通过提权操作获取系统最高权限，再注入系统关键进程，释放合法签名驱动程序对抗安全软件检测，最终通过计划任务与文件驻留实现长期持久化控制。t通信删除文件提权关闭进程删除文件提权关闭进程内存执行注入vssvc.exe释放内存加载SbieDIl.bin入 C2后门模块BYOVD计划任务shellcode尤为值得警惕的是，2025年银狐组织大规模滥用盗版终端安全管理软件，将合法工具武器化。攻击者在远控上线后，通过浏览器或远控终端向受害者主机下发此类软件，利用其自带的远程控制与内核级保护功能，自定义保护规则防止木马被删除、外连进程被终止，模糊恶意行为与正常管理操作的边界，实现对目标主机的长期隐蔽控制。另一方面，202512成功入侵后投放LockBit5.02.4高端制造业：供应链与LotLAT组织的重点攻击对象⸺如果说高端制造业是精密运转的机械钟表，AT小尘埃，通过供应链或智能系统缝隙潜入内部，静默复刻核心数据、篡改运行逻辑，让系统在不知不觉中偏离预定轨道。2.4高端制造业：供应链与LotL高端制造业的全球化分工特性，使其成为供应链攻击的重点目标。APT组织正系统性地将攻击重心从主机厂转向防御更脆2025年3月披露的汽车经销商供应链攻击事件颇具代表性：超过100家汽车经销商因共同使用的第三方视频服务遭篡改，其提供的JavaScript文件被植入恶意代码，用户访问经销商网站时会被重定向至钓鱼页面，最终诱导执行PowerShell脚本下载SectopRAT远控木马，导致系统被接管、敏感信息泄露，波及所有使用该服务的经销商及网站访客。图2-4第三方视频服务提供的混淆JavaScript（已被攻击者替换）BYOVD等技术关闭EDR，为深度渗透扫清障碍；而在工控场景中，攻击者更倾向于滥用合法运维工具直接下发图2-52025年3月捷豹路虎因网络攻击导致1.6TB数据泄露针对高端制造业的网络攻击，不仅可能引发生产中断、设备损坏等直接损失，更可能带来严重安全隐患⸺例如针对智能汽车充电网络、电池系统的攻击，已突破单纯的经济利益威胁，直接危及人身安全。从长期来看，这类攻击将持续削弱产业创新能力与竞争优势，对物理世界安全边界形成直接冲击，成为制约高端制造业高质量发展的关键安全瓶颈。2.5能源与关基：可用性威胁2.5能源与关基：可用性威胁能源行业尤其是电力系统，作为关键基础设施核心，其业务连续性对中断的高度敏感性，使其同时面临勒索攻击与破坏性中断的双重威胁。目前，电力行业已成为APT组织的重点攻击目标，攻击成功率与破坏性持续攀升。对此，中国电力行业通过落实《电力监控系统安全防护规定》等法规，持续强化网络安全防护能力，构建全链条防御体系，保障电力系统安全稳定运行。在关键基础设施攻击中，APT组织的破坏性攻击能力日益凸显。KAMACITE与ELECTRUM组织（与Sandworm组织存在关联）长期为俄罗斯军事目标提供支持，持续针对乌克兰及欧洲的供热、供水和电力设施发起攻击。2025年，这些组织部署新型AcidPour擦除器，该恶意软件可破坏嵌入式OT（OperationalTechnology）设备的存储系统，展现出对关键基础设施的深度破坏能力。与传统数据窃取不同，此类攻击直接瞄准物理世界的服务可用性，通过摧毁2025年12月底，Sandworm组织对波兰电网发起的攻击进一步印证了这种威胁模式。该组织在12月29-30日期间针对波兰能源基础设施部署了新型数据擦除器DynoWiper，恰逢其十年前攻击乌克兰电网导致大规模停电事件的十周年纪念。虽然此次攻击未造成实际停电，但ESET研究显示攻击手法与Sandworm过往的擦除器活动高度重叠，体现了该组织持续针对欧洲能源系统的战略意图。2025年多起大规模电力系统攻击事件，进一步印证了关键基础设施面临的严峻风险。2025年12月至2026年1月，委内瑞拉石油天然气基础设施及加拉加斯电网疑似遭遇高精度网络战攻击，引发大规模断电与互联网中断，严重影响数百万民众日常生活；同年5月，印度电网遭受攻击，巴基斯坦“铜墙铁壁”行动据称导致印度70%电网瘫痪，造成惨重经济损失与社会混乱。图2-6委内瑞拉总统事件期间，该国网络BGP基础设施出现异常图2-6委内瑞拉总统事件期间，该国网络BGP基础设施出现异常这些事件清晰表明，APT组织对电力系统的攻击已从传统网络渗透、数据窃取，全面升级为直接威胁国家能源安全与公共安全的破坏性攻击。其影响范围从单一企业扩展至国家或地区级电力供应系统，攻击的破坏性与战略意义达到前所未有的高度。2.6参考链接2.6参考链接2.1OperationTornado:针对国产信创平台的网络间谍活动2.1/blog/articles/operation-tornado-targeting-domestic-information-innovation-platforms-cn/AutoDealershipSupplyChainAttack2.4https://rmceoin.github.io/malware-analysis/2025/03/13/supply-chain.htmlInvestigationReportonJaguarLandRoverCyberattackhttps://www.cyfirma.com/research/investigation-report-on-jaguar-land-rover-cyberattack/2.5News:ThereWereBGPAnomaliesDuringTheVenezuelaBlackout/radar/radar16/2.5ESETesach:Sandormbehindcybeackonolanspergridinle2025技术与战术演进27 25年AT趋势2年AT趋势洞察报告技术与战术演进技术与战术演进3.1初始访问：SEO水坑网站“金眼狗”是一个东南亚方向的，从事博彩、狗推相关人员以及海外华人群体的黑客团伙，其业务范围涵盖远控、挖矿、DDoS攻击等。该团伙通过部署爱思助手、快连VPN、QuickQ等仿冒网站，使用SEO排名优化，诱导受害者下载安装恶意安装包，运行后释放合法安装软件，通过合法pythonw程序内存执行Winos4.0类“银狐”木马与Gh0st远控木马。3.1初始访问：SEO水坑网站2024年年底至今，金眼狗团伙频繁使用winos4.0类“银狐”木马进行攻击活动，其仿冒的软件用户分布广泛，受水坑网站攻击影响的群体行业分布不确定，逐渐不具有定向性。该团伙手法和攻击目标，与“银狐”黑产类似，金眼狗团伙可能与东南亚的“银狐”黑产团伙存在合作关系。图3-1经过SEO的水坑网站该团伙通过部署虚假爱xx手、快xVPN等安装包捆绑木马的仿冒网站，结合SEO排名优化，用户搜索特定仿冒软件，访问攻击者部署的仿冒网站，下载伪装的恶意安装包，因此“金眼狗”的攻击影响广泛，建议个人用户谨慎下载并运行不明网站的安装包。受害者运行后恶意捆绑安装包后释放合法安装软件以及恶意程序。受害者运行后恶意捆绑安装包后释放合法安装软件以及恶意程序。首先自动pyinstaller打包的恶意程序，释放后阶段攻击套件首先自动pyinstaller打包的恶意程序，释放后阶段攻击套件启动pythonw.exe程序加载恶意pyc字节码，通过线程池注入shellcode执行Winos4.0远控木马，外连C2服务器同时启动新进程gcc.exe内存执行Gh0st远控木马，外连C2服务器同时启动新进程gcc.exe内存执行Gh0st远控木马，外连C2服务器图3-2金眼狗组织SEO水坑网站攻击流程图3-2金眼狗组织SEO水坑网站攻击流程3.2持久化：OneClik（LOLbins）在2025年的APT事件响应中，我们注意到攻击者使用Dfsvc.exe实现LOLbins持久化，国际网络安全公司trellix的报告中也提到了类似的攻击，并将其命名为OneClik。3.2持久化：OneClik（LOLbins）Dfsvc.exe（C:\Windows\Microsoft.NET\Framework\v4.0.30319\Dfsvc.exe）是.NETFramework中的一个合法二进制文件（ClickOne部署支持库ClickOneClickOne在LOLBins（LivingOfftheLandBinaries）利用技巧，即滥用系统内置工具执行恶意代码的技巧，主要用于绕过应用白ClickOnce应用程序。图3-3Dfsvc.exe可用于LOLbins在事件响应过程中，我们发现恶意配置文件dfsvc.exe.config，它包含了assemblybinding和codeBase配置，指定了从远程URL下载名为"dnscfg.dll"的恶意程序，并作为AppDomainManager来执行代码。当dfsvc.exe执行时，会读取dfsvc.exe.config，由config文件定义dfsvc.exe执行过程中的行为，在本例中，其会进行远程代码加载。图3-4OneClik恶意配置文件使用OneClik技巧后，攻击者的持久化行为将以带有微软签名的合法软件的计划任务定期执行出现，这会给排查带来一定的阻碍。图3-5使用OneClik技巧进行持久化3.3防御规避：海莲花的MSI白加黑技巧APT32（地区发起APT攻击的东南亚黑客组织，由于其多年来对我国党政机关、国防军工、科研院所等核心要害单位发起攻击，近两年攻击范围甚至延伸到了关键信息基础设施、能源、医疗、军民融合等各个领域。截至目前，海莲花仍持续针对东亚及东南亚多国（以中国、越南等周边国家为主要目标，以及境内相关人士，长期通过鱼叉攻击开展以信息窃取为目的的网络攻击活动。3.3防御规避：海莲花的MSI白加黑技巧2025年上半年，我们捕获到海莲花组织使用“金砖国家新工业革命伙伴关系专家研讨会”为主题的钓鱼邮件，利用MST文件劫持MSI安装流程，实现DLL劫持与持久化，最终内存加载的Payload为海莲花组织的RUST特马。tbs.dll释放C2服务器shellcodeLNK文件件 件 函外连DLL劫持s包含释放包含安装i序 攻击者通过LNK执行了msi安装命令：msiexec.exe/qn/iWindowsPCHealthCheckSetup.msiTRANSFORMS=FActX-.mtWindwsPCHalthCheckStu.msi为微软官方提供的合法MSITANSORMS参数的MTMSITRANSFORMS特性实现白加黑执行操作，劫持安装过程。其中Binary属性新增一个Transforms.dll字段与Binary数据，该数据为海莲花编写的恶意dll文件。其中Binary属性新增一个Transforms.dll字段与Binary数据，该数据为海莲花编写的恶意dll文件。利用工具Oa加载msi程序并应用AtX.mt，工具自动标识已修改的ables属性（如下图红框所示，图3-7海莲花组织进行过修改的mst文件Install，来自于Transforms.dll。点击CustomAction属性可以发现安装过程中，新增2个函数LogSetupAfterInstall与LogSetupBefore-Install，来自于Transforms.dll。点击CustomAction属性可以发现安装过程中，新增2个函数LogSetupAfterInstall与LogSetupBefore-图3-8恶意FActX.mst的新增函数Install函数劫持了正常MSI安装包的执行过程，实现恶意操作。Install函数劫持了正常MSI安装包的执行过程，实现恶意操作。InstallExecuteSequence属性新增的2个函数删除3个函数，LogSetupAfterInstall与LogSetupBefore-图3-9恶意FActX.mst劫持安装流程3.4防御规避：EDRKiller的技术演进EDR工具作为终端安全防护的核心组件，通过实时监控进程行为、拦截恶意操作等机制，成为抵御勒索软件、APT攻击等威胁的关键屏障。为突破这一防线，攻击者持续迭代EDRKiller技术，从早期简单的进程终止脚本，逐步发展为依赖内核权限的BYOVD攻击，再到无内核依赖的用户态隐蔽规避技术。3.4防御规避：EDRKiller的技术演进早期EDRKiller的技术逻辑简单，核心目标是直接终止EDR软件的关键进程。攻击者通过编写批处理、PowerShell脚本或简单可执行程序，遍历预设的EDR进程名称列表（如Defender的MpDefenderCoreService.exe、第三方EDR的防护进程等askkillerminePoess等系统API强制终止进程。随着EDR为应对EDR的进程保护机制，攻击者转向BYOVD技术，通过滥用合法但存在漏洞的驱动程序，获取内核权限后从内核层终止EDR进程。ESET2025年的一篇研究中称，高级EDR由两部分组成：用户模式组件负责编排，合法但存在漏洞的驱动程序负责实际执行。执行流程通常非常直接：用户模式组件安装漏洞驱动程序（通常嵌入在其数据或资源中，遍历进程名称列表，向漏洞驱动程序发送命令，触发漏洞并从内核模式终止进程。VulnerabledriverterminatesVulnerabledriverterminatesSecuritysolutionprocesssVDansomHub20245EDRKillShifeendrv2.syTSysMonPlaBianLianFIN7组织的ukillProcessExplorerEDREmao也于2024年10月基于公开oC开发专属EDRKillerMS4Kille2025年广泛VDaa等生态的标准配置。图3-11EDRKiller项目EDR其中一个典型是EDR-Freeze技术。该技术依赖拥有最高PPL权限的WerFaultSecure.exe、可短暂挂起目标线程的MiniDumpWrieDumpAPWeraultSecueeWindws系统合法高EDR图3-12EDR-Freeze技术致盲WindowsDefender3.5防御规避：银狐对商业远控软件的广泛使用银狐病毒最早于2020年初以“游蛇”等别名出现，2022年底其核心远控木马源码泄露后演变为多团伙甚至产业化的恶意家族，2023年开始大规模传播。2024-2025年，银狐病毒借助AI技术，开始出现持续大规模变种攻击，其隐蔽性极强，早期主要通过邮件和IM钓鱼传播并窃取数据。2024年底，银狐新变种的潜伏策略和社会工程学手段显著升级，开始转向大规模诈骗钱财，致受害者遭受直接经济损失。3.5防御规避：银狐对商业远控软件的广泛使用图3-13《关于针对我国用户的木马病毒系列攻击活动的预警报告》焦于自制远控工具，同时广泛使用合法远程协助软件及盗版商业远控，既保障了攻击突破的效率，又通过各类工具的隐蔽性特征降低了被发现的可能性。作为银狐团伙初期攻击的核心依赖，自制远控工具具备极强的可控性与免杀适配能力。在这类工具中，基于公开源代码二次改造的Gh0st远控变种应用最为普遍，凭借快速的迭代节奏与灵活的功能拓展，成为攻击行动的主力；WinOS远控变种则依托完善的功能架构与大规模终端管控能力，能够满足攻击者长期控制目标设备的需求。这些工具在帮助攻击者快速盗版IP-guard盗版IP-guardGhOst远控libsmi.binlibsrhi.dil内存执行务 加载 载 启动释放释放放 创建xxx.exe注入图3-14银狐组织使用合法远控的典型流程值得注意的是，2025年以来银狐团伙已逐渐加大对合法远程协助软件及盗版商业远控的滥用力度，借助这类工具的合法信任背书，大幅降低被安全检测机制发现的概率。在各类被滥用的工具中，盗版IP-guard的应用极具代表性。攻击者在通过前述远控成功上线受害者设备后，会借助浏览器或远控终端向目标下发盗版IP-guard程序。IP-guard本质是一款终端安全管理软件，天然具备远程控制功能，可直接作为备用远控工具使用。除核心的远程操控能力外，该软件还拥有文件、进程、服务等内核驱动级别的保护机制。银狐团伙通过自定义保护规则，可实现对自身木马程序的防删除保护，同时阻止外连进程被终止；加之IP-guard的设计特性，一旦在未授权的受害者主机上安装，不仅无法手动终止进程，官方卸载工具也难以将其彻底移除。这种强抗卸载特性，给银狐木马的应急响应与处置工作带来了极大阻碍。除IP-guard外，银狐团伙还曾使用多款国内具备合法远控功能的商业软件破解版。3.6防御规避：云环境的凭证滥用2025offtheLand）应用、云MFA，攻击者仍能通过预置的云上权限维持控制。3.6防御规避：云环境的凭证滥用Ai