意昂体育-科技赋能场景,让娱乐更有趣!

连忙拨打95015

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

时间：2025-03-17 作者：意昂体育-科技赋能场景,让娱乐更有趣!

分享到：

    毒云藤组织（APT-Q-20）是意昂体育-科技赋能场景,让娱乐更有趣!于 2015 年 6 月首次披露的，，，，，，，归属于中国台湾省的 APT 组织，，，，，，，其最早的运动可以追溯到2007 年。。。。。。 。。该组织主要针对大陆政府、军事、国防、 科研等机构，，，，，，，使用鱼叉邮件攻击和水坑攻击等手段来实验 APT 攻击。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    毒云藤组织图标

    从 2018 年至 2025年，，，，，，，毒云藤组织使用大陆最常使用的社交软件、邮箱系统、以及政府机构网站、 军工网站、高等院校网站等举行了大规模的仿制，，，，，，，目的是尽可能多地获取目的的小我私家信息，，，，，，，为后续窃取大陆情报信息做准备。。。。。。 。。

    攻击主要分为垂纶网站攻击以及垂纶邮件攻击。。。。。。 。。在垂纶邮件攻击中，，，，，，，毒云藤主要伪装成多种具有鲜明特色的角色如智库类目的、军民融合工业园、军事杂志、公务员类猎头公司、军工等。。。。。。 。。

    而近期台湾APT组织在一连使用种种网络武器举行大规模攻击，，，，，，，本次意昂体育-科技赋能场景,让娱乐更有趣!会披露一些关于台湾针对大陆举行网络攻击运动历程中，，，，，，，溯源发明的关于该APT组织的幕后行动情形。。。。。。 。。

    垂纶网站攻击

    APT-C-01（毒云藤）是具备高度定向攻击能力的APT组织，，，，，，，其攻击模式泛起多阶段递进特征。。。。。。 。。该组织在初始侦探阶段会对目的行业属性、营业特征及职员信息举行深度剖析，，，，，，，使用开源情报和社交工程手段构建精准受害者画像，，，，，，，可是垂纶攻击手段较为简朴。。。。。。 。。

    垂纶方法主要为首先将搭建好的垂纶网站，，，，，，，然后通过构建邮件，，，，，，，将垂纶网站插入到邮件中，，，，，，，当受害者翻开网站后，，，，，，，会直接弹出附件下载的页面，，，，，，，点击下载，，，，，，，就会弹出邮箱账号密码输入框，，，，，，，这时间受害者输入账号后，，，，，，，压缩包才会举行下载。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    本月举行投放的2025年聚会主题垂纶网站

    我们针对这些垂纶网站举行了相关事情，，，，，，，发明这些网站保存一个共性：其会将所有通过网络垂纶获得的账号密码，，，，，，，以TXT文本存储的方法，，，，，，，存储在垂纶网站的目录下面。。。。。。 。。

    而这个手段，，，，，，，则是攻击者“自动”见告给意昂体育-科技赋能场景,让娱乐更有趣!，，，，，，，这源于一次其针对大陆的垂纶运动中，，，，，，，在其中本应该仅存放有垂纶诱饵的压缩包中，，，，，，，泛起了攻击者误打包的文件，，，，，，，这个文件包括了他们本次用来垂纶运动使用的效劳器账号密码。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    走漏的效劳器账号密码以及效劳器上的垂纶网站代码和日志

    其中有大宗的台湾省IP在效劳器上举行登录操作，，，，，，，并且时时刻刻都有台湾省IP针对效劳上的word.txt举行读取�。。。。。 。。�，，，，，，获取被垂纶的重点职员的邮箱账号密码。。。。。。 。。

    而在之后的垂纶运动中，，，，，，，攻击者会针对大陆的攻击目的，，，，，，，纪录在文档中，，，，，，，并制尴尬刁难应的垂纶网站。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    攻击者妄想制作垂纶诱饵的列表

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    攻击者凭证其妄想日程制作的垂纶网站

    在此基础上，，，，，，，针对毒云藤组织网的垂纶域名举行了剖析，，，，，，，发明这些域名均为仿冒海内一些基础设施的域名，，，，，，，通过一些手段发明，，，，，，，这些域名均来自godaddy、name等外洋域名注册商。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    某域名注册平台的购置纪录

    域名注册用户均来自台湾省某个账号。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    某域名注册平台登录纪录

    网络武器剖析

    毒云藤组织在垂纶邮件中的木马附件通常名称为“文件命名.pdf.exe” ,木马通常为一个该组织自主编写的Loader，，，，，，，最后加载一个开源或者商用木马，，，，，，，木马基本为cobaltstrike 、siliver、tinyshell等，，，，，，，这类木马早已被各大APT组织或网络犯法团伙滥用，，，，，，，以下是意昂体育-科技赋能场景,让娱乐更有趣!通过某些手段，，，，，，，获取到的一些该组织现在典范木马的剖析情形。。。。。。 。。

    ·Go语言木马

    木马运行后对内置的base64数据举行三次解码后，，，，，，，再划分与0x5c、0x5b、0x5a举行异或解密，，，，，，，随后对异或后的数据举行AES解密，，，，，，，key：'0rc42Pro'。。。。。。 。。

    解密完成后申请内存执行解密后的dll文件，，，，，，，最终运行CobaltStrike远控。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

   · C++木马

    木马执行后会在Ntdll内举行内存映射，，，，，，，随后加载资源执行窃密木马。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    加载木马资源，，，，，，，随后解密。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    建设注册表自启动项"Windows Security"。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    木马会遍历磁盘下的"txt"、"doc"、"xls"、"ppt"、"csv"、"pdf"后缀文件并发送至C2。。。。。。 。。

   · .net木马

    木马接纳.net编译，，，，，，，并添加了虚拟化手艺保唬�；；；；；ご搿�。。。。。 。。

    可以看到木马内的详细代码都已经被虚拟化，，，，，，，接纳动态加载的方法解密执行函数内部代码。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    动态加载代码后其会反射加载�？？？？？？？？�"EvpEbzXbsIodFmceYbWivWcOfDIf"。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    在举行�？？？？？？？？榻饷芎螅�，，，，，，设置接受所有TLS 证书流量。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    并从远程效劳器下载设置文件，，，，，，，将下载回来的前16个字节之后的数据举行AES CBC模式解密：

    key= "adZqC3HjuNIBG7lo",VI="cbXDvd64V9CWOcnQ"。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    解密后为压缩的payload，，，，，，，再对该数据举行解压。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    随后申请内存，，，，，，，建设线程执行。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    申请内存0x104EFC0读取前5个字节之后的数据解密，，，，，，，随后通过获取Loadlibtary和GetProaddress填充IAT。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    修改系统日志APIEtwEventWrite首字节为0XC3(Ret),避免系统日志纪录。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    随后建设内存映射，，，，，，，将数据映射后跳转至映射的内存。。。。。。 。。

低手艺武器+长期战战略：台湾黑客组织15年对大陆网络攻击实录

    映射后的木马剖析后为Sliver木马。。。。。。 。。

    误差攻击

    经由意昂体育-科技赋能场景,让娱乐更有趣!大数据监测发明，，，，，，，毒云藤组织近年来一连使用大宗Nday误差（已经果真的误差武器），，，，，，，针对大陆种种装备举行误差攻击，，，，，，，并使用这些装备作为攻击其他单位的跳板，，，，，，，或者作为内网渗透的入口举行使用。。。。。。 。。

    经意昂体育-科技赋能场景,让娱乐更有趣!研判，，，，，，，这些使用的均为网络走漏的Nday误差，，，，，，，误差基本通过Github或者网络清静社区的方法举行获取。。。。。。 。。

    别的，，，，，，，经太过析发明，，，，，，，现实上台湾省APT组织，，，，，，，在针对大陆的装备举行误差攻击的类型中，，，，，，，大部分为路由器、摄像头、智能家居、防火墙等的弱口令误差，，，，，，，这些攻击占比整体误差攻击30%的量级，，，，，，，因此小我私家和企业尤其需要对自己的装备举行全方位的清静性加固，，，，，，，其中最主要的就是使用一个重大性密码。。。。。。 。。

    结语

    从台湾省整体的APT攻击运动可以看出，，，，，，，其攻击手段并不是特别的高明，，，，，，，并且使用的网络武器也不是特殊重大，，，，，，，甚至还在针对大陆种种网络装备举行弱口令爆破。。。。。。 。。

    然而，，，，，，，由于该组织会无时无刻注册新的域名和购置效劳器举行垂纶攻击，，，，，，，已经一连十五年从未停歇，，，，，，，因此小我私家和企业方面，，，，，，，一定要提防垂纶邮件和网站，，，，，，，切记“不轻信、不乱点”：生疏链接不随意点击，，，，，，，可疑附件先清静扫描；；；；；；；遇到“紧迫通知”或“中奖信息”务必核实网址和发件人真伪。。。。。。 。。防木马需装置意昂体育-科技赋能场景,让娱乐更有趣!天擎杀毒软件、开启实时防护，，，，，，，按期更新补丁�。。。。。 。。�，，，，，，不下载来路不明的文件或程序。。。。。。 。。

    别的，，，，，，，台湾省APT攻击组织或将一连刷新武器库，，，，，，，整体的威胁活跃水平依旧会坚持相当高的频度来一连针对我国境内开展攻击运动。。。。。。 。。尤其是随着地缘政治主要加剧，，，，，，，未来可能会泛起更多APT攻击举行密查和窃取情报的行动。。。。。。 。。关于台湾省APT组织威胁，，，，，，，绝不可松开小心。。。。。。 。。

意昂体育-科技赋能场景,让娱乐更有趣! 95015网络清静效劳热线

95015网络清静效劳热线

扫一扫关注

意昂体育-科技赋能场景,让娱乐更有趣! 在线客服 意昂体育-科技赋能场景,让娱乐更有趣! 95015

您对意昂体育-科技赋能场景,让娱乐更有趣!的任何疑问可用以下方法告诉我们

将您对意昂体育-科技赋能场景,让娱乐更有趣!的任何疑问

用以下方法告诉我们

【网站地图】【sitemap】