嘶吼

近日，工业和信息化部公示了2024年网络安全技术应用典型案例拟支持项目名单。盛邦安全与大同市第五人民医院联合申报的“网络资产安全治理”项目成功入选。

  相关阅读  

原文链接

服务台网络钓鱼活动主要针对Microsoft Active Directory Federation Services（ADFS），使用欺骗性的登录页面来窃取凭据和绕过多因素身份验证（MFA）保护措施。据发现该攻击的安全公司称，此次攻击的目标主要是教育、医疗和政府机构，攻击目标至少有150个。

这些攻击旨在访问公司电子邮件帐户，以将电子邮件发送给组织内的其他受害者或进行经济攻击（例如商业电子邮件妥协（BEC）），在此付款转移到威胁者的帐户中。

欺骗Microsoft Active Directory联合服务

Microsoft Active Directory Federation Services（ADFS）是一个身份验证系统，允许用户登录一次并访问多个应用程序和服务，而无需重复输入其凭据。它通常在大型组织中用于在基于内部和云的应用程序中提供单登录（SSO）。

攻击者会向冒充其公司IT团队的目标发送电子邮件，要求他们登录以更新其安全设置或接受新策略。

攻击中使用的网络钓鱼电子邮件示例

点击“嵌入式”按钮会将受害者带到一个看起来与他们组织的真实ADFS登录页面一模一样的网络钓鱼网站。网络钓鱼页面要求受害人输入其用户名，密码和MFA代码，或引导他们批准推送通知。

欺骗的ADFS门户

网络钓鱼模板还包括基于组织配置的MFA设置来捕获验证目标帐户所需的特定第二因素的表单，针对多种常用MFA机制的异常观察到的模板，包括Microsoft Authenticator，Duo Security和SMS验证。

两个可用的MFA旁路屏

一旦受害者提供了所有详细信息，他们就会被重定向到合法的登录页面，以减少怀疑，并使其看起来好像这个过程已经成功完成。

同时，攻击者立即利用窃取的信息登录受害者的帐户，窃取任何有价值的数据，创建新的电子邮件过滤规则，并尝试横向网络钓鱼。

安全公司表示，攻击者在这次活动中使用私人互联网接入VPN来掩盖他们的位置，并分配一个更接近组织的IP地址。

即使这些网络钓鱼攻击并没有直接违反ADF，而是依靠社会工程来工作，但由于许多用户对登录工作流的固有信任，该策略仍然是具有潜在有效性的。

安全工作人员建议相关企业应迁移到现代和更安全的解决方案，如Microsoft Entra，并引入额外的电子邮件过滤器和异常活动检测机制，以尽早阻止网络钓鱼攻击。

1 概述

挖矿木马通过各种手段将挖矿程序植入受害者的计算机中，在用户不知情的情况下，利用受害者计算机的运算能力进行挖矿，从而获取非法收益。目前已知多个威胁组织（例如，H2Miner、“8220”等）传播挖矿木马，致使用户系统资源被恶意占用和消耗、硬件寿命被缩短，严重影响用户生产生活，妨害国民经济和社会发展。2024年，安天CERT捕获了多起挖矿木马的攻击活动，现将2024年典型的挖矿木马梳理形成组织/家族概览，进行分享。

表 1‑1 2024年活跃挖矿木马组织/家族概览

2 挖矿木马的危害

1.加重信息系统基础设施资源消耗与运行风险：挖矿木马普遍消耗信息系统基础设施的大量资源，使操作系统及其服务、应用软件运行缓慢，甚至造成正常服务崩溃，产生承载业务中断、业务数据丢失等一系列负面影响；

2.危害信息系统基础设施使用寿命与运行性能：挖矿木马迫使信息系统基础设施长时间高负载运行，致使其使用寿命缩短，运行性能严重下降；

3.留置后门，衍生僵尸网络：挖矿木马普遍具有添加SSH免密登录后门、安装RPC后门，接收远程IRC服务器指令、安装Rootkit后门等恶意行为，致使受害组织网络沦为僵尸网络；

4.作为攻击跳板，攻击其他目标：挖矿木马支持攻击者控制受害者服务器进行DDoS攻击，以此服务器为跳板，攻击其他计算机，或者释放勒索软件索要赎金等。

3 挖矿木马趋势

3.1 BYOVD攻击成挖矿木马“新宠”

在2024年的挖矿木马事件应急响应中，安天CERT发现挖矿木马利用BYOVD（Bring Your Own Vulnerable Driver）攻击结束安全软件进程的案例增多。BYOVD攻击是APT中常见的攻击技术，现在挖矿攻击中也逐渐开始利用这种技术。它利用合法但存在漏洞的驱动程序来执行恶意操作，绕过安全防护措施。驱动程序运行在高权限的内核模式，攻击者可以通过其漏洞实现多种攻击目的。在挖矿攻击中，攻击者通过滥用合法安全厂商签名的驱动程序，绕过操作系统的安全机制，为挖矿活动提供支撑。这种手法不仅提升了攻击的隐蔽性，还利用安全软件的高权限执行能力，大幅增强了恶意挖矿的资源占用效率。在未来，BYOVD攻击可能与零日漏洞利用相结合，进一步提高攻击的复杂性和破坏性。这一趋势对政企安全提出更高的要求，防护重点应包括驱动程序的合法性检测与运行时行为监控等。

3.2 暗网矿池地址的兴起

2024年，安天CERT在监测挖矿攻击中发现个别挖矿木马采用了暗网地址进行挖矿的事件，如Perfctl恶意软件利用TOR进行挖矿，Outlaw挖矿僵尸网络在配置文件中添加了暗网地址，但还未开发出tor进行连接。这一趋势表明，攻击者正在加速向更隐秘、更难追踪的挖矿方式转型，以逃避传统安全防护和执法行动的打击。通过Tor网络或其他匿名通信协议，矿池运营者能够有效隐藏其真实位置和身份，难以被执法部门定位和取缔。暗网矿池普遍采用加密货币作为支付手段，结合匿名钱包技术，实现了攻击收益的完全匿名化。随着暗网矿池技术的不断成熟，传统基于互联网的挖矿威胁检测手段将变得无效。政企需调整防护策略，关注挖矿通信的特征分析和暗网流量的异常检测。

3.3合理资源分配致用户难以感知

2024年，挖矿木马在资源利用上更加智能化，表现为更合理的资源分配策略。如app Miner挖矿木马会检查系统环境是否有curl、Python、Perl等工具，如果没有会进行下载适配，在不同的系统上动态的调整CPU的功率或资源使用参数。Outlaw挖矿僵尸网络会获取目标主机的系统架构，根据系统架构调整默认线程数，arm架构线程数设置为75，i686架构线程数设置为325，其他架构默认线程数为475。这种趋势不仅提升了挖矿效率，还极大地增强了挖矿木马被发现感知的风险。智能化资源分配根据系统负载动态调整CPU和GPU的使用率，避免引起设备异常或用户注意。挖矿进程被设计为低优先级任务，在设备闲置时充分利用资源，而在用户活跃时降低消耗，从而延长挖矿周期。这种智能化资源分配的趋势使挖矿木马更具隐蔽性和持续性，成为网络威胁防护的难点。

4 活跃挖矿木马介绍

4.1“8220”

“8220”是一个长期活跃并且擅长使用漏洞进行攻击并部署挖矿程序的组织，该组织早期使用Docker镜像传播挖矿木马，后来逐步利用多个漏洞进行攻击，如WebLogic漏洞、Redis未授权访问漏洞、Hadoop Yarn未授权访问漏洞和Apache Struts漏洞等。在2020年发现该组织开始使用SSH暴力破解进行横向攻击传播。自Apache Log4j 2远程代码执行漏洞曝光后，该组织利用该漏洞制作漏洞利用脚本进行传播，影响范围广。

4.1.1组织概览

表 4‑1 “8220”挖矿组织介绍

组织名称

“8220”

出现时间

2017年

针对平台

Windows、Linux

传播方式

SSH暴力破解、Docker镜像和漏洞利用

利用的漏洞

Apache Log4j 2远程代码执行漏洞

Oracle WebLogic漏洞

Atlassian Confluence漏洞

Redis未授权访问漏洞

Hadoop Yarn未授权访问漏洞

Apache Struts漏洞

挖矿币种

门罗币（XMR）

4.1.2典型案例

·针对Oracle WebLogic漏洞的攻击活动分析

Water Sigbin(8220 Gang)是一个专注于部署加密货币挖矿恶意软件的威胁行为者，它积极针对Oracle WebLogic服务器。该威胁行为者利用Oracle WebLogic Server中的漏洞（特别是CVE-2017-3506和CVE-2023-21839）通过PowerShell脚本部署加密货币挖矿程序。研究人员分析了用于传递PureCrypter加载器和XMRIG加密挖掘器的多阶段加载技术。此活动期间使用的所有有效载荷均使用.Net Reactor（一种.NET代码保护软件）进行保护，以防止逆向工程。此保护会混淆代码，使防御者难以理解和复制。此外，它还采用了反调试技术。有效载荷是通过利用CVE-2017-3506来传递的[1]。

·8220挖矿团伙的新玩具：k4spreader

2024年6月17号研究人员发现了一个VT 0检测的使用c语言编写的ELF样本，这个样本使用变形的upx加壳，脱壳后得到了另一个变形的upx加壳的elf文件，使用cgo的方式编写。经过分析发现这是来自“8220”挖矿团伙的新工具，用来安装其他恶意软件执行，主要是构建Tsunami DDoS僵尸网络和安装PwnRig挖矿程序。根据样本中的函数名称将其命名为“k4spreader”，进一步分析了VT的和蜜罐的数据后，发现k4spreader尚处于开发阶段，但已经出现3个变种[2]

4.2 Outlaw

Outlaw挖矿僵尸网络最早于2018年被发现，主要针对云服务器实施挖矿攻击，持续活跃。疑似来自罗马尼亚，最早由趋势科技将其命名为Outlaw，中文译文为“亡命徒”。该挖矿僵尸网络首次被发现时，攻击者使用Perl脚本语言的后门程序构建机器人，因此被命名为“Shellbot”。其主要传播途径是SSH暴力破解攻击目标系统并写入SSH公钥，以达到长期控制目标系统的目的，同时下载基于Perl脚本语言编写的后门和开源门罗币挖矿木马。

4.2.1 组织概览

表 4‑2 Outlaw挖矿僵尸网络介绍

组织名称

Outlaw

组织介绍

一个通过漏洞利用和SSH暴力破解传播基于Perl语言编写的Shellbot而组建的僵尸网络，后期开始投放挖矿木马获利

首次披露时间

2018年11月1日

首次披露厂商

趋势科技

归属国家

疑似罗马尼亚

命名原因

源自罗马尼亚语haiduc的翻译，该组织主要使用的黑客工具Haiduc

威胁类型

僵尸网络、挖矿木马

针对目标

Linux、IoT

传播途径

Shellshock(CVE-2014-7169)漏洞、Drupalgeddon2漏洞（CVE-2018-7600）漏洞和SSH暴力破解，主要采用后者，漏洞利用只在初期使用过

组织组件

隐藏进程工具（XHide）、SSH暴力破解工具（Haiduc、ps、tsm）、Shellbot程序、挖矿木马（XMRig）

版本迭代

该僵尸网络样本共有5个版本迭代，主要区别在于功能的新增，破解工具替换，破解工具功能的变化上

4.2.2典型案例

·Outlaw挖矿僵尸网络近期活动分析

安天CERT监测到多起Outlaw挖矿僵尸网络攻击事件，该挖矿僵尸网络最早于2018年被发现，主要针对云服务器从事挖矿活动，持续活跃。安天CERT在分析近期的攻击事件中发现，该挖矿僵尸网络样本在第三版本基础上有了重要更新，其功能更加多样、隐匿性更高、清除更加困难。主要传播途径和功能依旧是SSH暴力破解攻击目标系统，植入SSH公钥，以达到长期控制目标系统的目的，同时下载执行基于Perl脚本语言编写的后门和开源门罗币挖矿木马，使用扫描和暴力破解工具对其他主机进行相应攻击[3]。

4.3 TeamTNT

TeamTNT挖矿组织最早于2019年被发现，主要针对Docker Remote API未授权访问漏洞、配置错误的Kubernetes集群和Redis服务暴力破解进行攻击。入侵成功后，窃取各类登录凭证并留下后门，主要利用目标系统资源进行挖矿并组建僵尸网络。经过近几年发展，该组织控制的僵尸网络规模庞大，所使用的攻击组件更新频繁，是目前针对Linux服务器进行挖矿的主要攻击组织之一。该组织疑似来自德国，其命名方式依据该组织最早使用teamtnt.red域名进行命名。

4.3.1组织概览

表 4‑3 TeamTNT挖矿组织介绍

组织名称

TeamTNT

首次披露时间

2019年10月

归属国家

德国

命名原因

最早使用teamtnt.red域名

威胁类型

挖矿木马、后门

针对目标

JupyterLab、Docker、Kubernetes和Redis

传播途径

错误的配置和SSH凭证等

组织武器库

Tsunami、Rathole、Ezuri、Punk.py、libprocesshider、tmate、masscan、pnscan、ZGrab、Tiny Shell、Mimipy、BotB、Diamorphine、Docker   Escape Tool等

组织擅长技术

扫描局域网端口、添加防火墙规则、删除其他竞争对手进程、创建持久性计划任务、窃取服务凭证、收集机器信息、Rootkit隐藏进程、部署挖矿程序和横向移动等

推特账户

HildeGard@TeamTNT@HildeTNT

GitHub账户

hilde@TeamTNT

HildeTeamTNT

托管网站

teamtnt.red

4.3.2典型案例

·TeamTNT组织发起新一轮攻击活动

研究人员发现了TeamTNT正在策划一场新的攻击活动。在这次攻击活动中，TeamTNT似乎回归本源，准备对云环境进行大规模攻击。该组织目前以暴露的Docker守护进程为目标，部署Sliver恶意软件、网络蠕虫和加密矿工，使用受感染的服务器和Docker Hub作为传播恶意软件的基础设施。在此次活动中，TeamTNT通过将受感染的Docker实例附加到Docker Swarm并利用Docker Hub存储和分发恶意软件。他们还将受害者的计算能力出租给第三方，有效地通过加密货币挖矿间接赚钱，而无需自己管理。此外，他们还采用了新的黑客工具，用更隐蔽的Sliver恶意软件取代了传统的Tsunami后门[4]。

·地平线上的乌云：TeamTNT的复苏？

研究人员发现了TeamTNT新的活动影响基于CentOS操作系统的VPS云基础设施的明确证据。调查显示，初始访问是通过对受害者资产进行安全外壳(SSH)暴力破解实现的，在此期间威胁行为者上传了恶意脚本。恶意脚本在搜索现有矿工时会禁用安全功能、删除日志并修改系统文件。还会终止加密货币挖掘过程、删除Docker容器并更新Google服务器的DNS设置。安装Diamorphine工具包以实现隐藏和root权限，并使用自定义工具来维持持久性和控制。通过修改文件属性、创建具有root访问权限的后门用户以及删除命令历史记录来锁定系统，以隐藏其活动[5]。

4.4 H2Miner

H2Miner挖矿木马最早出现于2019年12月，爆发初期及此后一段时间该挖矿木马都是针对Linux平台，直到2020年11月后，开始利用WebLogic漏洞针对Windows平台进行入侵并植入对应挖矿程序。此外，该挖矿木马频繁利用其他常见Web组件漏洞，入侵相关服务器并植入挖矿程序。例如，2021年12月，攻击者利用Log4j漏洞实施了H2Miner挖矿木马的投放。

4.4.1组织概览

表 4‑4 H2Miner挖矿组织介绍

组织名称

H2Miner/Kinsing

出现时间

2019年12月

针对平台

Windows、Linux

传播方式

漏洞利用

利用的漏洞

Looney Tunables特权升级漏洞

Apache ActiveMQ RCE漏洞（CVE-2023-46604）

Apache Solr’s   DataImportHandler (CVE-2019-0193)

Redis未授权RCE

Confluence未授权RCE(CVE-2019-3396)

WebLogic RCE漏洞(CVE-2020-14882/14883)

Log4j漏洞(CVE-2021-44228)

……

挖矿币种

门罗币（XMR）

4.4.2典型案例

·Kinsing组织将新披露的漏洞集成到漏洞利用库中并扩展其僵尸网络

Kinsing组织将新披露的漏洞集成到漏洞利用库中并扩展其僵尸网络。该组织自2019年以来积极策划非法加密货币挖矿活动。近年来，涉及基于Golang的恶意软件的活动利用了Apache ActiveMQ、Apache Log4j、Apache NiFi、Atlassian Confluence、Citrix、Liferay Portal、Linux、Openfire、Oracle WebLogic Server和SaltStack中的各种缺陷来破坏易受攻击的系统[6]。

4.5 Libgcc_a

Libgcc_a挖矿木马在Linux系统上主要以SSH暴力破解进行传播，在Windows系统上主要以RDP暴力破解进行传播。挖矿木马在感染受害主机后，还会进行横向传播进一步感染网内其他主机。利用多种防御手段进行反检测，如会采用开源rootkit工具r77-rootkit，这个工具具有ring 3隐藏功能，可以隐藏文件、目录、进程和CPU的使用情况、注册表项和值、服务、TCP和UDP连接、连接点、命名管道和计划任务等。另外攻击者使用开源门罗币挖矿程序XMRig进行挖矿，在Windows平台利用netpass工具读取本地明文RDP密码等。

4.5.1 组织概览

表 4‑5 Libgcc_a挖矿组织介绍

组织名称

libgcc_a

出现时间

2023年

针对平台

Windows、Linux

传播方式

RDP暴力破解

SSH暴力破解

利用的漏洞

无

挖矿币种

门罗币（XMR）

4.5.2 典型案例

·Libgcc_a挖矿木马分析与处置

近期，安天安全服务中心收到多个用户安全服务委托，部署在用户网内的防护设备产生了大量暴力破解攻击告警，同时用户业务系统运行卡顿。经安天安全服务中心应急响应团队取证分析，发现为感染了Libgcc_a挖矿木马，该木马为专门针对Linux系统，可通过SSH弱口令进行横向感染和控制其它主机，自身隐蔽能力强。感染后动作包括下载挖矿程序挖矿、添加系统后门、内网扫描伺机进一步传染、清除安全软件和竞争对手等，该木马功能模块化、攻击自动化均较强，在自身持久化、行为隐藏、反侦察等方面有改进，感染后传统方式不易发现[7]。

4.6 Perfctl

Perfctl是一种Linux端的恶意软件，至少在过去三年间一直在感染Linux服务器和工作站，未被广泛察觉。该恶意软件利用漏洞和错误配置入侵系统，主要目的是通过服务器的CPU资源进行门罗币挖矿。Perfctl使用rootkit技术躲避检测，利用TOR加密通信隐藏其活动。感染后，恶意软件不仅会隐藏其进程，还会在用户登录时停止挖矿，使其难以被察觉。

4.6.1 组织概览

表 4‑6 Perfctl挖矿组织介绍

组织名称

Perfctl

出现时间

2023年9月

针对平台

Linux

传播方式

暴露的Docker Remote API服务和漏洞利用

利用的漏洞

RocketMQ漏洞(CVE-2023-33246)

Polkit漏洞(CVE-2021-4034)

挖矿币种

门罗币（XMR）

4.6.2 典型案例

·Linux恶意软件“Perfctl”背后隐藏多年加密货币挖矿活动

研究人员发现，名为“Perfctl”的Linux恶意软件至少在过去三年间一直在感染Linux服务器和工作站，未被广泛察觉。该恶意软件利用漏洞和错误配置入侵系统，主要目的是通过服务器的CPU资源进行门罗币（Monero）挖矿。Perfctl使用rootkit技术躲避检测，利用TOR加密通信隐藏其活动。感染后，恶意软件不仅会隐藏其进程，还会在用户登录时停止挖矿，使其难以被察觉。据估计，数千台服务器已经受到感染[8]。

·攻击者利用暴露的Docker API部署Perfctl恶意软件

研究人员发现攻击者通过暴露的Docker远程API服务器部署Perfctl恶意软件。攻击者首先探测目标服务器，然后利用Docker API创建特权容器，执行经过Base64编码的恶意载荷。该载荷包含逃逸容器、创建恶意脚本、设置环境变量并下载伪装成PHP扩展的恶意二进制文件等步骤。此外，攻击者使用多种规避检测技术，例如检查重复进程、创建伪装目录，并通过自定义下载功能规避防护机制。为实现持久性，恶意软件创建了系统服务或计划任务[9]。

4.7 “匿铲”

“匿铲”挖矿木马从2023年11月开始出现，期间多次升级组件，目前版本为3.0。该挖矿木马攻击事件持续活跃，感染量呈上升态势。主要特点是隐蔽性强、反分析、DLL劫持后门和shellcode注入等。在发现的攻击活动中，攻击者利用了两个比较新颖的技术以对抗反病毒软件，第一个技术是滥用反病毒软件的旧版本内核驱动程序中的功能来结束反病毒软件和EDR，这个技术通过一个主体的PowerShell脚本、一个独立的PowerShell脚本和一个控制器（内存加载的小型可执行文件）来完成，主体的PowerShell脚本用于下载并安装反病毒软件的旧版本内核驱动程序，独立的PowerShell脚本用于解密并内存加载控制器，控制器用来控制内核驱动程序。虽然被滥用的旧版本内核驱动程序早已更新，但目前仍能被非法利用并有效结束大多数反病毒软件。第二个技术是利用MSDTC服务加载后门DLL，实现自启动后门，达到持久化的目的。这个技术利用了MSDTC服务中MTxOCI组件的机制，在开启MSDTC服务后，该组件会搜索oci.dll，默认情况下Windows系统不包含oci.dll。攻击者会下载后门DLL重命名为oci.dll并放在指定目录下，通过PowerShell脚本中的命令创建MSDTC服务，这样该服务会加载oci.dll后门，形成持久化操作。

4.7.1 组织概览

表 4‑7 “匿铲”挖矿组织介绍

组织名称

“匿铲”/GHOSTENGINE

出现时间

2023年11月

针对平台

Windows

传播方式

伪装合法程序

利用的漏洞

无

挖矿币种

门罗币（XMR）

4.7.2 典型案例

·“匿铲”挖矿木马活动分析

“匿铲”挖矿木马首先会从放马服务器上下载名为“get.png”的PowerShell脚本，解码后执行哈希验证、创建计划任务、禁用系统自带杀毒软件和创建服务等操作。之后会下载“kill.png”脚本和“delete.png”、“kill(1).png”两个压缩文件，脚本解码出shellcode代码，shellcode代码经过解密得到控制器（一个可执行文件）并注入到powershell.exe进程中，两个压缩文件经过解压缩得到反病毒厂商的旧版本内核驱动程序“aswArPots.sys”和“IObitUnlockers.sys”，由控制器调用，终止杀毒软件和EDR程序等。还会根据受害主机自身系统型号下载对应的“86/64.png”的压缩文件，解压缩后会得到oci.dll文件，通过MSDTC服务调用实现DLL劫持后门。在“get.png”脚本中还看到了下载“backup.png”脚本的地址，但下载函数还未实现，可能后续版本会加，该脚本主要功能是发送心跳接收命令等。最后“get.png”脚本会下载“smartsscreen.exe”程序，该程序会下载挖矿程序及其组件进行挖矿[10]。

·隐形矿工：揭秘GHOSTENGINE的加密货币挖矿行动

研究人员已发现一个入侵集，其中包含多个恶意模块，并利用易受攻击的驱动程序来禁用已知的安全解决方案(EDR)以进行加密挖掘。此外，该团队还发现了建立持久性、安装以前未记录的后门以及执行加密挖掘程序的功能。研究人员将此入侵集称为REF4578，将主要有效载荷称为GHOSTENGINE[11]。

4.8 RedTail

RedTail挖矿木马是一种利用系统漏洞进行传播并实施加密货币挖掘的恶意软件。它通过多种高危漏洞（如Palo Alto Networks防火墙漏洞、TP-Link路由器漏洞等）入侵目标系统，并植入XMRig挖矿程序的变种，挖掘门罗币。该木马具有高度隐蔽性，采用加密配置、反调试技术以及动态调整挖矿参数等方式，避免被轻易发现并确保挖矿效率。它还支持多平台架构，能够根据系统资源优化自身运行。RedTail不仅会占用大量系统资源，导致设备运行缓慢、电费增加，还可能成为攻击者进一步入侵的入口，带来严重的安全隐患。

4.8.1 组织概览

表 4‑8 RedTail挖矿组织介绍

组织名称

RedTail

出现时间

2023年12月

针对平台

IoT、Linux

传播方式

漏洞利用

利用的漏洞

PAN-OS(CVE-2024-3400)漏洞

Ivanti Connect   Secure SSL-VPN(CVE-2023-46805、CVE-2024-21887)漏洞

TP-Link路由器(CVE-2023-1389)漏洞

VMWare Workspace   ONE访问和身份管理器(CVE-2022-22954)漏洞

ThinkPHP远程代码执行(CVE-2018-20062)漏洞

挖矿币种

门罗币（XMR）

4.8.2 典型案例

·RedTail挖矿组织利用PAN-OS(CVE-2024-3400)漏洞展开攻击

2024年5月，研究人员披露，RedTail挖矿组织已经将Palo Alto的PAN-OS CVE-2024-3400漏洞纳入其攻击工具包。该漏洞允许攻击者通过操控SESSID cookie，利用路径遍历技术在受害系统上创建任意文件，并执行命令。此次攻击的目标包括IoT设备（如TP-Link路由器）、ThinkPHP内容管理系统、以及Ivanti Connect Secure和Palo Alto GlobalProtect等安全设备。攻击者通过多个漏洞传播恶意软件，最终目的是加密挖掘Monero（XMR）数字货币[12]。

附录一：参考资料

[1] TREND.Examining Water Sigbin's Infection Routine Leading to an XMRig Cryptominer[R/OL].(2024-06-28)

https://www.trendmicro.com/en_us/research/24/f/water-sigbin-xmrig.html

[2] 奇安信.8220挖矿团伙的新玩具：k4spreader[R/OL].(2024-06-25)

https://blog.xlab.qianxin.com/8220-k4spreader-new-tool-cn/

[3] 安天.Outlaw挖矿僵尸网络近期活动分析[R/OL].(2025-01-10)

https://www.antiy.cn/research/notice&report/research_report/Outlaw_Analysis.html

[4] aqua.TeamTNT’s Docker Gatling Gun Campaign[R/OL].(2024-10-25)

https://www.aquasec.com/blog/threat-alert-teamtnts-docker-gatling-gun-campaign/

[5] GROUP-IB.Storm clouds on the horizon: Resurgence of TeamTNT?[R/OL].(2024-09-18)

https://www.group-ib.com/blog/teamtnt/

[6] aqua.Kinsing Demystified[R/OL](2024-05-21)

https://1665891.fs1.hubspotusercontent-na1.net/hubfs/1665891/Threat%20reports/AquaSecurity_Kinsing_Demystified_Technical_Guide.pdf

[7] 安天.干货分享丨Libgcc_a挖矿木马分析与处置[R/OL](2024-03-13)

https://mp.weixin.qq.com/s/2UhXr3up--5cW3BrP6njxw

[8] aqua.perfctl: A Stealthy Malware Targeting Millions of Linux Servers[R/OL](2024-10-03)

https://www.aquasec.com/blog/perfctl-a-stealthy-malware-targeting-millions-of-linux-servers/

[9] TREND.Attackers Target Exposed Docker Remote API Servers With perfctl Malware[R/OL](2024-10-21)

https://www.trendmicro.com/en_hk/research/24/j/attackers-target-exposed-docker-remote-api-servers-with-perfctl-.html

[10] 安天.“匿铲”挖矿木马活动分析[R/OL](2024-05-10)

https://www.antiy.cn/research/notice&report/research_report/HideShoveling.html

[11] elastic.Invisible miners: unveiling GHOSTENGINE’s crypto mining operations[R/OL](2024-05-22)

https://www.elastic.co/security-labs/invisible-miners-unveiling-ghostengine

[12] Akamai.RedTail Cryptominer Threat Actors Adopt PAN-OS CVE-2024-3400 Exploit[R/OL](2024-05-30)

https://www.akamai.com/blog/security-research/2024-redtail-cryptominer-pan-os-cve-exploit

1.概览

近日，国产AI大模型DeepSeek（深度求索）线上服务受到大规模网络攻击，多次出现服务中断等情况。引发了国内安全业界的关注。根据奇安信XLab实验室监测报告，发现僵尸网络RapperBot和HailBot[1]针对DeepSeek发动了DDoS攻击。为了更有效地研判风险，支撑对相关攻击的防范，安天CERT从“赛博超脑”平台样本库中提取了上述两个僵尸网络所使用的僵尸木马样本，进行了进一步分析工作。

2.样本分析

2.1 RapperBot与HailBot的前世——Mirai

RapperBot与HailBot两个僵尸网络都是僵尸网络Mirai的源码泄露的产物。Mirai僵尸网络在2016年首次被发现，迅速引发了广泛关注。其命名源自日语中的“未来”。与传统以Windows系统肉鸡为主的僵尸网络不同，Mirai感染控制网络摄像头、家用路由器和其他物联网设备，用于构建僵尸网络体系[2]。在2016年，因其引发的“DYN事件”[3]而浮出水面，Mirai的三名作者Paras Jha，Josiah White和Dalton Norman，均为美国人。三人经营了一家名为Protraf Solutions LLC的公司，对外宣称提供DDoS攻击防护，实际上则利用僵尸网络发动DDoS攻击，进行敲诈等牟利活动。三名人员在2018年，被美国阿拉斯加法院判处5年缓刑、2500小时社区服务，赔偿12.7万美元，并需自愿放弃犯罪期间获取的加密货币。

Mirai专门针对物联网（IoT）设备实施自动化渗透植入，如路由器、网络摄像头和数字视频录像机（DVR），这些设备往往在安全运营视角之外，或者为家庭设备，普遍存在未修改默认密码或采取简易密码、固件版本陈旧等问题。通过密码破解、漏洞攻击，Mirai获取设备的访问权限，并将恶意代码上传至设备中运行，将其转变为受控的僵尸节点[4]。该僵尸网络的一个突出特点是其模块化设计和自更新能力，这使得它能够迅速适应不断变化的安全环境，并增加新的攻击手段。设备被Mirai感染后会自动执行扫描探测任务，并尝试将恶意软件传播至其他设备中，进而构建起一个个庞大的僵尸网络[5]。

2016年9月30日，Mirai僵尸网络源代码在GitHub平台公开泄露。攻击者已基于源码进行定制化改造，衍生出多个变种家族，其中包括RapperBot、HailBot，攻击者改造手段包括但不限于主控域名替换（规避安全厂商封禁）、登录认证机制伪装（仿冒合法设备流量）、通信协议字段混淆（如修改上线心跳包结构以绕过检测规则）等。由于源代码的高度可复用性，全球黑产团伙得以低成本构建“同源异构”的僵尸网络集群——这些变种虽在表层功能上呈现差异，但其核心感染逻辑、C2指令体系与攻击模块均继承自Mirai原始架构，导致其背后操控组织的关联性溯源较为困难。

2.2 RapperBot僵尸网络

RapperBot是一种基于Mirai源代码二次开发的僵尸网络，具有多种版本，可在ARM、MIPS、SPARC和x86等不同架构处理器下运行。由于其早期样本中嵌有一个指向说唱视频的链接，因此被命名为“RapperBot”。

图2‑1 RapperBot早期样本中嵌有一个指向说唱视频的链接

代码中字符串“follow me on instant gram @2tallforfood, pause it. Fuck Bosco.”翻译为“在Instgram上找到我@2tallforfood,暂停，FuckBosco”而@2tallforfood 是在Youtube频道ALL URBAN CENTRAL (城市中心）的一个歌手的账户，该账户在Youtube只有2个2021年前的视频：@2TallForFood - Diamonds Is Lit (Official Video) [6]（钻石闪亮）和 @2tallforfood - I Am Da Bag (Official Video) （我是一个大包）。而Fuckbosco[7]是该歌手的另外一首歌曲的名字。该歌手为小众歌手，其的视频观看人数到报告发布时点不超过500次。

Youtube频道ALL URBAN CENTRAL (城市中心）是2014年成立的美国音乐娱乐频道，主要类型有音乐Rap和Hip HOP 以及名人新闻。订阅用户大约3百万，该频道的视频大都在6分钟以内，频道总视频被浏览次数为20亿次以上。靠订阅收取费用。在美国音乐类排名4000名左右。

图2‑2 RapperBot早期样本中嵌入链接指向的视频

2.2.1 样本标签

表2‑1 RapperBot早期版本样本标签

病毒名称

Trojan/Linux.Mirai[Backdoor]

MD5

9E331675D780AF4585857B1F95B40CBB

处理器架构

i386

文件大小

66.47  KB（68068字节）

文件格式

ELF

数字签名

无

加壳类型

无

VT首次上传时间

2022-06-17  08:10:19

VT检测结果

38/64

表2‑2 RapperBot新变种样本标签

病毒名称

Trojan/Linux.Mirai[Backdoor]

MD5

BEC7596CFB1225900673398ABB24FFA8

处理器架构

i386

文件大小

80.47  KB（82400字节）

文件格式

ELF

数字签名

无

加壳类型

无

VT首次上传时间

2024-07-02  02:21:30

VT检测结果

37/63

说明：由于安天AVL SDK反病毒引擎有较强预处理能力，能以较少高质量规则检测变形后的衍生样本，截至本文撰写时RapperBot样本检测结果均为Mirai，特此说明。

2.2.2 传播方式

2.2.2.1 SSH暴力破解

RapperBot僵尸网络家族中的一些变种通过SSH暴力破解的方式进行传播，在早期样本中，其凭据列表被硬编码在文件中，其后的新变种变更为从C2服务器中获取凭据列表。成功暴力破解SSH服务器后，RapperBot执行Shell命令替换该服务器中的~/.ssh/authorized_keys文件，从而保持对受害服务器的远程访问。

图2‑3 硬编码在文件中的部分SSH暴力破解凭据列表

2.2.2.2 Telnet默认口令探测

部分RapperBot僵尸网络变种会通过Telnet基于设备默认口令的方式进行探测，目标设备关键词、默认用户名称以及密码被硬编码在文件中。

图2‑4 硬编码在样本文件中的Telnet用户名/口令表

从相关样本尝试暴力破解的硬编码信息可知，此类RapperBot变种的目标大多为常见的网络设备和IoT物联网设备等。

表2‑3 RapperBot内置用户探测登录的服务、用户名、口令和可能的关联设备表（表格内容基于DeepSeek整理输出，并做人工修订，特此说明）

服务/模块

用户名

密码

可能关联的服务/品牌/设备类型

tc login

dnsekakf2$$

""（空）

DASAN定制网络设备

tc login

dnsekakf2$$

dnsekakf2$$

DASAN 定制网络设备

tc login

user

1234

DASAN 定制网络设备

tc login

admin

TeleCom_1234

中国电信定制设备

tc login

admin

TJ2100Npassword

Tejas Networks TJ2100N光猫或网关

tc login

admin

admin

多种主流网络设备

tc login

&unk_19130

1234

可能为部分摄像头等物联网

soc1

default

Default

多种工业产品和软件

soc1

default

password

多种工业产品和软件

TAG

default

password

疑似物联网设备

PXICPU

default

password

部分工业嵌入式控制器设备

TX25

default

password

疑似某种无线设备

PK

admin_404A03Tel

zyad5001

ZyXEL(合勤)路由器

PK

admin_404A03Tel

Centurylink

ZyXEL(合勤)路由器

PK

admin_404A03Tel

QwestM0dem

ZyXEL(合勤)路由器

PK

admin

Centurylink

ZyXEL(合勤)路由器

PK

admin

QwestM0dem

ZyXEL(合勤)路由器

PK

admin

zyad5001

ZyXEL(合勤)路由器

abloom

nobody

""（空）

Abloom品牌物联网设备

abloom

admin

Abloom

Abloom品牌物联网设备

abloom

root

Abloom

Abloom品牌物联网设备

SAP

nobody

""（空）

SAP系统测试环境或物联网设备

SAP

admin

Admin

SAP NetWeaver应用服务器

RG-

ftp

Video

网络录像机（NVR）或IP摄像头

buildroot login

default

Default

多种嵌入式Linux系统

mico

root

""（空）

嵌入式系统

2.2.3 行为分析

RapperBot早期版本支持执行的DoS攻击方式较少，包括TCP STOMP攻击以及UDP泛洪攻击等。RapperBot新变种支持接收的指令与早期样本相似，但能够支持执行更多种类的DoS攻击。

表2‑4 早期版本及新变种指令功能对比

指令码

RapperBot早期版本功能

RapperBot新变种功能

1

保持连接状态

上线包

2

停止DoS攻击并终止运行

响应包

3

执行DoS攻击

心跳包

4

停止DoS攻击

执行DoS攻击

5

无

停止DoS攻击并终止运行

6

无

关闭C2连接

当攻击者进行DoS攻击时，通过选择预先设定的序号执行对应的功能函数，从而执行具体的DoS攻击。由此可以看出，RapperBot相关样本支持接收的指令功能以发起DoS攻击为主，并且从其早期至今的发展过程中，其开发者对RapperBot的DoS攻击功能进行了逐步完善，从而支持完成大范围的DDoS攻击活动。

表2‑5 RapperBot新变种支持多种DoS攻击

攻击指令

DoS攻击类型

攻击说明介绍

0

UDP泛洪攻击

通过发送大量UDP数据包消耗受害者网络带宽。

1

UDP数据包伪造

攻击者向目标服务器发送大量伪造的UDP数据包，欺骗服务器进行响应，消耗受害者网络带宽。

2

GRE-IP泛洪攻击

通过大量封装有IP网络数据包的GRE协议数据消耗受害者网络带宽。

3

GRE-Eth泛洪攻击

通过大量封装有Eth网络数据包的GRE协议数据消耗受害者网络带宽。

4

SYN泛洪攻击

通过发送大量SYN数据包，使服务器创建具有大量处于半连接状态的请求，消耗系统内存和CPU资源。

5

ACK泛洪攻击

通过发送具有随机源端口、目的端口及数据等信息的ACK数据包消耗受害者网络带宽。

6

ACK-PSH泛洪攻击

通过带有PSH标记的ACK响应与服务器建立连接，发送大量请求消耗受害者的网络带宽。

7

TCP泛洪攻击

通过发送大量TCP数据包消耗受害者网络带宽。

8

HTTP泛洪攻击

攻击者向目标服务器发送大量的HTTP报文，消耗受害者网络带宽和服务器资源。

2.3 HailBot僵尸网络

HailBot是一种基于Mirai源代码二次开发的僵尸网络，可在ARM、x86、x64、MIPS等不同架构处理器下运行。由于其运行时向控制台输出“hail china mainland”，故命名为HailBot僵尸网络。

2.3.1 样本标签

表2‑6 HailBot早期版本样本标签

病毒名称

Trojan/Linux.Mirai[Backdoor]

MD5

C4526600A90D4E1EC581D1D905AA6593

处理器架构

x64

文件大小

68.6  KB (70,295 字节)

文件格式

BinExecute/Linux.ELF[:X64]

数字签名

无

加壳类型

无

VT首次上传时间

2024-02-23  06:43:16

VT检测结果

41/66

表2‑7 HailBot新变种样本标签

病毒名称

Trojan/Linux.Mirai[Backdoor]

MD5

2DFE4015D6269311DB6073085FD73D1B

处理器架构

ARM

文件大小

74.7  KB (76,572 字节)

文件格式

BinExecute/Linux.ELF[:ARM]

数字签名

无

加壳类型

无

VT首次上传时间

2024-09-23  18:35:26

VT检测结果

42/63

说明：由于安天AVL SDK反病毒引擎有较强预处理能力，能以较少高质量规则检测变形后的衍生样本，截至本文撰写时HailBot样本检测结果均为Mirai，特此说明。

2.3.2 行为分析

HailBot在运行时会向控制台输出“hail china mainland”，显然带有栽赃陷害的中国，掩盖自身来源的目的其表述方式也明显不符合中文语言逻辑。

图2‑5 HailBot向控制台输出特定字符串

Mirai系列僵尸程序上线时会发送上线数据包给C2服务器，Mirai 原有的上线数据包为四个字节，内容为|00 00 00 01|，HailBot将其修改为八个字节|31 73 13 93 04 83 32 01|，使C2服务器能识别其流量来自 HailBot，同时也规避了被安全扫描机制用原有上线包探测发现。

图2‑6 HailBot连接到C2时会先发送八个特定的字节

HailBot利用漏洞进行传播。其中长期使用的包括CVE-2017-17215漏洞，该漏洞存在于特定版本路由器的UPnP（通用即插即用）服务中，攻击者可以通过发送特制的HTTP请求来利用此漏洞，从而在设备上执行任意代码。

图2‑7 HailBot漏洞利用部分载荷

HailBot的早期版本具有3种TCP攻击方式和1种UDP攻击方式，最新版本则升级到5种TCP攻击方式和3种UDP攻击方式。从而让攻击者有了更多的攻击方式选择和组合的空间，带来更大的威胁。

表2‑8 旧版本HailBot指令

指令号

功能

影响

0

TCP泛洪攻击

通过创建连接发送大量500至900字节的TCP请求消耗受害者网络带宽。

1

UDP泛洪攻击

通过大量的UDP请求消耗受害者网络带宽。

2

GRE  IP泛洪攻击

通过大量封装有IP网络数据包的GRE协议数据消耗受害者网络带宽。

3

SYN泛洪攻击

通过发送大量SYN数据包，使服务器创建具有大量处于半连接状态的请求，消耗系统内存和CPU资源。

表2‑9 新版本HailBot指令

指令号

功能

影响

0

TCP泛洪攻击

创建连接发送大量500至900字节的TCP请求消耗受害者网络带宽。

1

SSDP泛洪攻击

利用简单服务发现协议（SSDP）发送大量“发现消息”请求使受害者进行响应，消耗受害者内存和CPU资源。

2

GRE  IP泛洪攻击

发送大量封装有IP网络数据包的GRE协议数据消耗受害者网络带宽。

3

SYN泛洪攻击

发送大量SYN数据包，使服务器创建具有大量处于半连接状态的请求，消耗系统内存和CPU资源。

4

UDP泛洪攻击（512字节）

发送大量512字节的UDP请求消耗受害者网络带宽。

5

UDP泛洪攻击（1024字节）

发送大量1024字节的UDP请求消耗受害者网络带宽。

6

TCP  STOMP泛洪攻击

发送创建连接发送大量768字节数据消耗受害者网络带宽。

7

TCP  ACK泛洪攻击

发送具有随机源端口、目的端口及数据等信息的ACK数据包消耗受害者网络带宽。

除此之外，HailBot也在加密方面有所变化。在早期的版本中，HailBot使用简单的异或算法对C2地址、攻击载荷等字符串进行加密，其中异或用的字节为常量并硬编码在程序中。

图2‑8 早期版本HailBot加密算法

在后续的版本中，HailBot转用chacha20流密码加密算法对字符串进行加密，增加了字符串加密的强度，减少了字符串的静态特征，使其更加难以被检测分析。

图2‑9 HailBot中chacha20轮操作代码

3.总结

综合样本分析，HailBot与RapperBot的攻击模式主要依赖其控制的海量僵尸节点（肉鸡集群），通过高频发送伪造请求数据包，持续消耗目标主机的带宽资源、TCP连接池容量及连接处理所需的CPU算力。这种攻击方式虽属于传统DDoS（分布式拒绝服务）范畴，但至今仍是互联网基础设施的核心威胁之一。其根本矛盾在于：防御方的资源天然存在上限（如计算性能、网络吞吐量），而攻击方可通过自动化扫描、恶意代码注入等手段，以近乎零边际成本持续扩张僵尸网络规模，形成攻防双方的资源不对称性。

DeepSeek在全球爆火后，其在短时间内经历用户量、API调用量及并发请求的指数级增长，导致底层基础设施始终处于高负载临界状态。在此背景下，叠加大规模DDoS攻击（如通过僵尸网络发起海量文本生成请求），直接引发服务响应延迟激增、API限流熔断甚至集群过载宕机，严重影响了用户体验与业务连续性。

对互联网资源服务提供者来说，防范DDoS攻击的方法是相对成熟的，需要将资源投入和常态化的安全运营深入结合，需要服务方、基础设施提供者和监管机构进行多方配合协同。即包括部署更具弹性的分布式、多区域、多链路的服务架构、使用负载均衡器设备和策略、增强带宽和硬件设施，提升系统吞吐能力等；也包括完善安全监测、流量清洗、进行相关安全策略动态调整等。

对政企机构的安全运营来说，要加强防护，避免设备成为僵尸网络的肉鸡，也同时为遏制僵尸网络扩散做出了贡献。及时发现处置感染节点是非常重要的工作，从本文分析来看，终端和IoT设备的基础安全治理是关键，包括默认密码的修改、管控网络设备和IoT设备管理端口的访问策略、及时进行固件补丁升级等，而端云侧需要部署具有有效防护能力的杀毒、EDR、CWPP等安全产品，构建系统的安全基石。

对监管机构来说，DDoS治理涉及大量的资源联动，特别是国际治理协同，其治理难度会进一步增加。需要完善更强有力的国家安全和公共安全层面的技术资源和体系能力。

在改善基础防护、安全治理工作的同时，我们需要进一步关注研究新技术的风险演化。新技术的发展始终与安全威胁的动态演化有三种绑定方式：带来新威胁、推动传统威胁升级、自身成为攻击目标。生成式人工智能和大模型技术也不例外，其推动了传统攻击技术的自动化水平提升、带来了深度伪造等攻击技术的迅速成熟、自身也成为高价值目标。

人工智能服务场景与传统Web服务（如CGI动态页面或搜索引擎）相比，生成式AI的单次交互算力消耗显著更高，且开放的API接口极易被攻击者滥用为算力资源黑洞。大模型平台的业务特性与风险场景呈现显著特殊性，从而让我们需要进一步警惕算力资源攻击风险。为支撑高并发推理请求与长上下文交互，平台需部署大规模GPU集群及实时调度系统。攻击者可针对此类算力密集型、低延迟敏感的特性，设计低流量高杀伤力的精准攻击链，例如：恶意构造模型参数查询（如触发高维张量计算），单次请求即可消耗数倍于常规任务的GPU资源；上下文注入攻击，通过植入特定提示词（prompt）迫使模型执行递归解析，引发CPU/内存资源枯竭。此类攻击的成本效益比远超传统DDoS（无需海量僵尸节点即可瘫痪服务），且更易绕过基于流量阈值的防护策略。

与此同时，我们还需要进一步关注大数据平台的数据安全风险：由于大模型训练与推理过程中涉及的多租户数据交织存储、微调参数残留等问题，可能引发敏感信息泄露（如用户隐私数据通过模型输出侧信道泄露）。在数据标柱的过程中，夹带恶意代码的文件未经清洗，可能引发标注工程师工作环境和数据平台的病毒感染传播、系统性能损耗、乃至数据被勒索失窃等风险。需要考虑加强待标注语料文件数据的病毒清洗、增强东西向的细粒度隔离控制能力和安全检测防护能力，进而增强大模型平台的威胁对抗能力。

因此，大模型平台的安全建设需实现双轨并进：一方面完善基础架构安全：在云主机、容器集群、API等层面强化防御、监测、资源隔离等机制，即有效防御渗透入侵风险，也辅以弹性扩缩容及实时熔断机制，抵御资源耗尽型攻击；另一方面需要从架构、设计、业务逻辑和编码优化层面改善安全能力，包括但不限于：通过提示词注入检测、推理过程沙箱化、数据血缘追踪等技术，在模型交互层构建纵深防御体系。将安全能力深度嵌入技术架构与业务流之中。

而历史证明，应对新技术风险的安全增益，往往来自新技术本身，从历史上看，互联网全面提升了攻击可达性成为大规模攻击事件的温床；但也同样提升了安全运营的敏捷性。云计算平台引入了整体倾覆式风险，但也带来了更大的资源弹性和统一高效的安全治理。人工智能技术也在快速改变着网络安全能力和样貌。安天自身也是网络安全业内积极拥抱大模型技术的实践者，我们的澜砥威胁分析垂直大模型[8]，聚焦二进制样本分析特征工程场景，突破了token上下文限制，并已经能够在CPU场景下运行。安天计算机病毒分类百科，也是我们借助自身特征工程和知识体系的自动化运营结果。在我们所不擅长的领域，我们同时采取了积极拥抱优秀国产大模型的策略，本报告的编写我们就使用了DeepSeek作为辅助。

从《黑神话：悟空》上线，到DeepSeek 爆火，中国的信息技术正在不断缔造新的传奇。与此同时，也伴随着网络攻击接踵而至。而战胜这些风险，正是验证了新生事物的不可战胜和远大前途。安天作为长期为网信产业体系提供共性安全能力的民企国家队，愿意为战略新兴产业提供更多的共性安全基因，为伟大的新生事物护航。

4.IOC

MD5

71B4C3FE502E6C6D5EF5E420D52D2729

C4526600A90D4E1EC581D1D905AA6593

6C6D1CCCE5946F0AA68F9E0C438C1E21

B1E0B2C046D4CB7F0A0DD87054A17AC4

6B8A9D6335D056E20DCD794B265074E3

AB2C4A13D1FE946003FFCB7DDEC064D0

9E331675D780AF4585857B1F95B40CBB

EFA786F2B6F0F267F717145FAF48A95B

EF9EBF4D5A1A44D0DB92DE06D3DCE7A1

BEC7596CFB1225900673398ABB24FFA8

参考链接

[1]奇安信.僵尸网络进场，针对DeepSeek 网络攻击再升级[R/OL].(2025-01-30)

https://mp.weixin.qq.com/s/NM-zCyA4m5WJeAjPwUmYYg

[2]ANTONAKAKIS M, APRIL T, BAILEY M, 等. Understanding the Mirai Botnet[R/OL]. (2017-08-16)

https://www.usenix.org/conference/usenixsecurity17/technical-sessions/presentation/antonakakis

[3]维基百科. DDoS attacks on Dyn[R/OL] .(2016)

https://en.wikipedia.org/wiki/DDoS_attacks_on_Dyn

[4]安天. 计算机病毒百科Mirai对应词条[R/OL] .(2016)

https://www.virusview.net/malware/Trojan/Linux/Mirai

[5]安天. 安天追影小组分析Mirai变种新传播方式[R/OL].(2016-12-19)

https://www.antiy.cn/research/notice&report/research_report/608.html

[6]Diamonds Is Lit (Official Video)

https://www.youtube.com/watch?v=fPu9hTClNWQ

[7]Fuckbosco

https://soundcloud.com/xxdannyflandersxx/fuckbosco2-a-danny-flanders-special-release

[8]安天. 2024年人工智能技术赋能网络安全应用测试：安天垂直大模型在恶意软件检测场景初露锋芒[R/OL].(2024-09-23)

https://www.antiy.cn/About/news/20240923.html

国家发展改革委等部门印发《关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案》的通知

发改数据〔2025〕18号

各省、自治区、直辖市、新疆生产建设兵团发展改革委、数据管理部门、党委网信办、工业和信息化主管部门、公安厅（局）、市场监管局（厅、委）：

为深入贯彻党中央、国务院决策部署，落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《网络数据安全管理条例》，推动高质量发展和高水平安全良性互动，国家发展改革委、国家数据局、中央网信办、工业和信息化部、公安部、市场监管总局制定了《关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案》，现印发给你们，请结合实际抓好落实。

国家发展改革委

国家数据局

中央网信办

工业和信息化部

公安部

市场监管总局

2025年1月6日

关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案

数据流通安全治理规则是数据基础制度的重要内容。为贯彻党中央、国务院决策部署，落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《网络数据安全管理条例》，更好统筹发展和安全，建立健全数据流通安全治理机制，提升数据安全治理能力，促进数据要素合规高效流通利用，释放数据价值，提出如下意见。

一、总体要求

以习近平新时代中国特色社会主义思想为指导，深入落实党的二十大和二十届二中、三中全会精神，全面贯彻总体国家安全观，统筹数据高质量发展和高水平安全，坚持系统思维、底线思维，将安全贯穿数据供给、流通、使用全过程，落实国家数据分类分级保护制度，明晰数据流通中的安全治理规则，加强数据流通安全技术应用和产业培育，完善权益保护和责任界定机制，提升安全治理能力，防范数据滥用风险，坚决维护国家安全，保护个人信息和商业秘密，以成本最小化实现安全最优化，推动数据高质量发展和高水平安全良性互动，充分释放数据价值，促进数据开发利用。到2027年底，规则明晰、产业繁荣、多方协同的数据流通安全治理体系基本构建，数据合规高效流通机制更加完善，治理效能显著提升，为繁荣数据市场、释放数据价值提供坚强保障。

二、主要任务

（一）明晰企业数据流通安全规则。支持企业通过编制数据资源目录、分析流通过程安全风险、制定分类分级保护措施等方式，提升数据治理能力。鼓励企事业单位设立首席数据官，加强数据治理和数据开发利用。数据处理者应按照国家有关规定识别、申报重要数据，并依法接受监管部门的监督检查。对确认为重要数据的，相关地区、部门应当及时向数据处理者告知或公开发布。数据处理者对外提供重要数据时，应按照相关法律法规、行业主管部门要求，采取必要的安全保护措施，切实维护国家安全、经济运行、社会稳定、公共健康和安全。鼓励开展数据脱敏等研究，对于经脱敏等技术处理后，依据所属行业领域的分类分级标准规范重新识别为一般数据的，可按照一般数据开展流通交易。

（二）加强公共数据流通安全管理。政务数据共享过程中，数据提供方按照“谁主管、谁提供、谁负责”的原则，明确政务数据共享范围、用途、条件，承担数据提供前的安全管理责任，探索建立数据接收方数据安全管理风险评估制度，确保数据在安全前提下有序共享。数据接收方按照“谁经手、谁使用、谁管理、谁负责”的原则，承担数据接收后的安全管理责任。有关地方和部门开展公共数据授权运营的，应依据有关要求明确公共数据授权运营机构的安全管理责任，建立健全数据安全管理制度，采取必要安全措施，加强关联风险识别和管控，保护公共数据安全。

（三）强化个人数据流通保障。完善个人数据权益保障机制。对于个人数据流通，应当依法依规取得个人同意或经过匿名化处理，不得通过强迫、欺诈、误导等方式取得个人同意。制定个人信息匿名化相关标准规范，明确匿名化操作规范、技术指标和流通环境要求。鼓励采用国家网络身份认证公共服务等多种方式，强化个人信息保护。健全个人信息保护投诉、举报、受理、处置渠道。

（四）完善数据流通安全责任界定机制。数据提供方应当确保数据来源合法，数据接收方应严格按照要求使用数据，防止超范围使用。鼓励供需双方在数据流通交易合同中约定各自权责范围，清晰界定权责边界。探索建立数据流通安全审计和溯源机制，融合应用数字水印、数据指纹、区块链等技术手段，高效支撑数据流通过程中的取证和定责。支持在自由贸易试验区（港）等地方开展先行先试，围绕数据流通交易溯源机制、重点场景安全治理标准、重点场景安全责任界定机制等，探索新型治理模式，提高治理效能。

（五）加强数据流通安全技术应用。支持数据流通安全技术创新，完善数据流通安全标准，引导企业按照数据分类分级保护要求，采取不同的安全技术开展数据流通。对于不涉及风险问题的一般数据，鼓励自行采取必要安全措施进行流通利用。对于未认定为重要数据，但企业认为涉及重要经营信息的，鼓励数据提供方、数据接收方接入和使用数据流通利用基础设施，促进数据安全流动。对于重要数据，在保护国家安全、个人隐私和确保公共安全的前提下，鼓励通过“原始数据不出域、数据可用不可见、数据可控可计量”等方式，依法依规实现数据价值开发。

（六）丰富数据流通安全服务供给。繁荣数据安全服务市场，壮大数据安全治理服务规模，创新数据安全服务业态。支持数据安全服务机构加强基础理论研究、核心技术攻关和产品创新应用，向规模化、专业化、一体化方向发展，提升安全服务效能，降低应用成本。培育数据流通安全检测评估、安全审计等服务，健全有利于数据流通主体互信的市场化机制。丰富数据托管等服务供给，研究探索为数据安全提供保险保障的可行方案，鼓励有条件的企业拓展面向中小企业的数据安全托管服务。

（七）防范数据滥用风险。依法严厉打击非法获取、出售或提供数据的黑灰产业，加强敏感个人信息保护，限制超出授权范围使用个人信息。依法依规惩处利用数据开展垄断、不正当竞争等行为，维护各方主体权益和市场公平竞争秩序。在国家数据安全工作协调机制统筹协调下，加强重点行业领域数据安全风险监测，持续增强风险分析、监测和处置能力，防范发生系统性、大范围数据安全风险，维护国家安全和经济社会稳定。研究完善数据流通安全事故或纠纷处置机制，提升流通风险应对能力。

强化部门协同，加强数据安全、个人信息保护等方面的执法协同，推动行政执法信息共享、情况通报和协同配合，提高监管效能。组织发布数据流通安全治理典型案例，充分发挥示范作用，营造“一地创新、全国共享”“一企创新、多企复用”的创新环境，促进数据安全有序流通。

文章来源自：国家发展改革委

Netgear修复了两个影响多个WiFi路由器模型的关键漏洞，并敦促客户尽快将其设备更新为最新的固件。安全漏洞会影响多个WiFi 6接入点（WAX206，WAX214V2和WAX220）和Nighthawk Pro游戏路由器模型（XR1000，XR1000V2，XR500）。

尽管没有更多有关这两个漏洞的详细信息，但可以确定的是未经验证的威胁分子可以利用它们进行远程代码执行（以PSV-2023-0039的内部跟踪）和身份验证（PSV-2021-0117）在不需要用户交互的低复杂性攻击中。

该公司在周末发布的报告中说道：“ Netgear强烈建议相关用户尽快下载最新的固件。”下表列出了所有弱势路由器模型和带有安全补丁的固件版本。

要下载并安装用于NetGear路由器的最新固件，用户必须通过以下步骤：

1.访问Netgear支持。

2.在搜索框中键入您的型号，然后在出现后立即从下拉菜单中选择您的型号。

3.如果您看不到下拉菜单，请确保正确输入型号或选择产品类别以浏览产品型号。

4.点击下载。

5.在当前版本下，选择第一个下载其标题以固件版本开头。

6.点击发行说明。

7.按照发行说明中的说明下载并安装新的固件。

该公司随后表示如果用户没有完成所有建议的步骤，则未经验证的RCE脆弱性仍然存在，Netgear对任何后果概不负责。

去年7月，NetGear还提醒客户立即更新到最新的固件，以进行补丁存储的跨站点脚本（XSS）和身份验证旁路漏洞，影响了几种WiFi 6路由器模型。

一个月前，安全研究人员在Netgear WNR614 N300中揭示了六个不同严重程度的漏洞，这是一条在房屋用户和小型企业中流行的路由器。

被称为Kimsuky的朝鲜黑客组织在最近的攻击中被发现使用定制的RDP包装器和代理工具直接访问受感染的机器。

发现该活动的AhnLab安全情报中心（ASEC）表示，朝鲜黑客现在正使用一套多样化的定制远程访问工具，而不再仅仅依赖于PebbleDash等嘈杂的后门，但PebbleDash目前仍在使用中，此举也是Kimsuky改变策略的手段之一。

Kimsuky最新的攻击链

最新的感染链始于一封鱼叉式网络钓鱼电子邮件，其中包含伪装成PDF或Word文档的恶意快捷方式（. lnk）文件附件。这些电子邮件包含收件人的姓名和正确的公司名称，表明Kimsuky在攻击前进行了侦察。

打开.LNK文件会触发PowerShell或Mshta从外部服务器检索额外的负载，包括：

·PebbleDash，一个已知的Kimsuky后门，提供初始系统控制。

·一个修改版本的开源RDP包装工具，支持持久的RDP访问和安全措施绕过。

·代理工具绕过私有网络的限制，允许攻击者访问系统，即使直接RDP连接被阻止。

自定义RDP包装器

RDP Wrapper是一个合法的开源工具，用于在Windows版本（如Windows Home）上启用本地不支持的远程桌面协议（RDP）功能。

它充当中间层，允许用户在不修改系统文件的情况下启用远程桌面连接。Kimsuky的版本改变了导出功能，以绕过反病毒检测，并可能区分其行为，足以逃避基于签名的检测。

自定义RDP包装器导出功能

使用自定义RDP包装器的主要优点是规避检测，因为RDP连接通常被视为合法的，允许Kimsuky在雷达下停留更长时间。

此外，与通过恶意软件进行shell访问相比，它提供了更舒适的基于gui的远程控制，并且可以通过中继绕过防火墙或NAT限制，允许从外部进行RDP访问。

ASEC报告说，一旦Kimsuky在网络上站稳脚跟，他们就会放弃二次有效载荷。其中包括一个键盘记录器，它捕获击键并将其存储在系统目录中的文本文件中，一个infostealer（强制复制）提取保存在web浏览器上的凭据，以及一个基于powershell的ReflectiveLoader，它允许在内存中执行有效负载。

整体来看，Kimsuky作为一个持续不断的威胁，也是朝鲜致力于收集情报最多产的网络间谍威胁组织之一。根据ASEC的最新发现表明，其威胁组织正转向更隐蔽的远程访问方法，以延长在受损网络中的停留时间。

往期回顾：「深蓝洞察」2024年度最别开生面的安全新生态

往期回顾：「深蓝洞察」2024年度最具含“金”量的绕过

2023年是生成式AI和大型语言模型的元年，它们以前所未有的方式输出内容。

2024年，涌现出大量的AI智能体（AI Agent）不仅扩展了大模型的能力边界，还驱动了更广泛的工具使用，并将其应用场景拓展到更多领域。

对于安全研究者而言，如何借助AI力量的提高工作效率，甚至驱动AI像人类一样思考、分析、挖掘漏洞，已成为一个关键话题。

是率先拥抱AI，还是被AI取代，这一天何时会到来？

以下为本期《深蓝洞察 | 2024 年度安全报告》的第三篇。

随着生成式AI的出现，其展现出的惊人代码理解能力，无疑表现出其可能颠覆安全研究领域的潜力。

23年以来，安全研究人员们便开始尝试利用大模型的知识库及内容生成能力提高安全研究各个阶段的效率：

向大模型提问能够帮助安全研究员快速理解代码的功能、使用大模型快速生成测试代码、将大模型集成至IDE中并提供编码安全建议…

DARKNAVY借助大模型辅助分析发现的Chrome AI模块高危漏洞

同样也有一系列基于大模型的工具应运而生：

• 将大模型作为安全研究知识库可以有效提高面对不熟悉领域问题时的解决效率。云起无垠通过使用大量网络安全数据集训练了SecGPT网络安全大模型，作为专家系统帮助研究人员为各种网络安全任务提供建议。

• 在渗透测试领域，南洋理工大学邓格雷将大模型应用于Web渗透测试领域，设计了PentestGPT，针对渗透过程中的目标扫描、漏洞利用等流程提供帮助；BurpGPT通过使用大模型对网络流量进行分析，识别传统扫描器可能遗漏的漏洞。

• 在逆向分析方面，Gepetto作为逆向分析工具IDA Pro的插件，通过接入大模型对反编译代码进行语义理解。

• 软件安全研究基础设施方面，清华大学副教授张超团队使用机器指令语料库训练的机器语言大模型（MLM），不仅能够比传统反编译方案能够获得包含程序语义、更直观易懂的反编译代码，还能够进一步通过MLM辅助解决漏洞挖掘、软件相似性分析等软件安全领域问题。

• …

张超在GEEKCON 2024上发表演讲

这些工具毫无疑问推动了安全研究中各阶段的效率，但在安全研究者们最期望解决的未知漏洞自动化挖掘与修复方面，结合DARKNAVY的安全研究经验，当前的大模型仍面临诸多挑战。

• 一方面，大模型的上下文窗口限制了其对程序的理解范围。ChatGPT-4o的上下文窗口为128k tokens，而现实世界的程序代码通常代码量较大、漏洞常常跨越多个文件，可能出现超长的上下文。尽管有支持上千万tokens上下文窗口的大模型出现，但处理超长上下文时，模型可能会分散注意力甚至遗忘部分内容，定位特定的代码片段犹如大海捞针。

• 另一方面，大模型难以进行较精密的计算且容易产生幻觉。安全漏洞时常伴随着苛刻的触发条件，而目前的大模型难以进行精确的状态推理和数学计算，从而对程序状态可能做出误判，导致误报。而静态代码的复杂性及状态不确定性，使得大模型难以通过简单推理验证漏洞的真实性。

2024年，为了推动大模型在自动化漏洞挖掘领域的能力边界，AIxCC参赛团队、Google等都在尝试通过AI Agent的方式，结合传统漏洞分析方法、为大模型添加更多的工具、指导大模型参考人类研究方式开展自治化程度更高的漏洞分析工作。

Naptime

Google的“Naptime”项目通过AI Agent（智能体）的方式，为其提供了一系列人类研究员常用的工具，使Agent模仿人类研究员的思维及行为方式，通过不断地迭代分析漏洞、假设驱动的研究方式，自主选择并使用工具获取更准确的信息，从而提升了Agent发现漏洞的能力。

• 代码浏览器：Agent可以使用代码浏览器像人类一样阅读代码仓库中特定片段的代码，从而保证“Naptime”在处理大型代码库时，能够更加“专心”地分析特定的函数或变量。

• 调试器：能够帮助Agent获取程序运行时的信息，Agent可以在调试器中设置断点并观察程序在不同输入数据下的行为，从而实现动态分析。

• Python工具：Agent能够运行Python脚本对程序的中间状态进行精确的计算。

如此一来，Naptime便能模仿人的研究方式，浏览代码仓库中感兴趣的代码，并根据函数调用关系进行分析，实现全自动化的漏洞挖掘流程。

Naptime架构

终于，在24年10月，Naptime的进化版Big Sleep在SQLite中发现了一个潜在可利用的0day漏洞。

Big Sleep在浏览代码时，对漏洞函数中的断言（assertion）产生了兴趣，如同人类研究员一般，开始分析触发该断言的可能性并推断触发条件。随后Big Sleep尝试将输入iCol设为-1，并利用调试器进行测试，成功触发断言导致crash。

Big Sleep发现漏洞过程

尽管这个漏洞在调试环境中会触发断言，但Google研究人员发现在release版本中，并不会包含该断言，从而导致该漏洞具备了可利用性。

Google使Agent按照人类的思考方式阅读代码、测试输入，成功利用大模型的代码理解能力实现自动化代码安全性分析，并避免了大模型幻觉导致的误报。

AIxCC

同样是SQLite3，早在2024年8月，AIxCC主办方报告了Team Atlanta发现的一个off-by-one导致空指针解引用漏洞。

SQLite3中空指针解引用漏洞报告

为什么 Team Atlanta 没有自己报告漏洞呢？

因为这个漏洞是由Team Atlanta的机器人Atlantis在于AIxCC半决赛隔离的环境当中自主发现的。

AIxCC比赛要求参赛队伍提供的网络推理系统（CRS）能够自动化发现漏洞并修补漏洞，不同于2016年的CGC比赛，AIxCC要求CRS需要以大语言模型为基础，并针对多种编程语言的真实世界应用程序源代码进行漏洞挖掘、修补。

为了考察CRS的泛化能力，参赛队伍在比赛开始前并不知道具体的挑战赛题。且所有队伍只能与通用大模型交互、使用同样的计算资源及token上限。

AIxCC半决赛在3个基于C语言的项目（Linux Kernel、Nginx、SQLite3）和2个基于Java的项目（Tika、Jenkins）中人为设置了数十个不同类型的漏洞。

AIxCC半决赛解题状态

由于比赛中涉及到如Linux Kernel等代码量较大的项目，而每个项目的token额度仅为100美元，参赛队伍同样需要考虑如何让大模型辅助发现真正关键的代码片段。

参赛队伍均将传统的静态和动态程序分析方法与大模型进行结合。

• Theori 利用大模型生成模糊测试的测试用例、harness，帮助fuzzer提升覆盖率等方式协助挖掘漏洞。

• Team Atlanta则通过LLM Agent来模拟安全研究人员的思维方式

• 其中包含了“baby-security-AGI”系统，将人类研究员在人工代码审计方面的经验及常见做法提炼成包含工作流程的结构化prompts，从而使 Atlantis 能够复制团队中安全专家的习惯来模拟代码审计过程。

• 同时将大模型作为静态分析工解决传统程序分析中的复杂问题（指针分析、过程间分析等），并使 Atlantis 能够使用模糊测试工具获得漏洞触发代码。

Team Atlanta的参赛系统Atlantis

AI Agent在自动化漏洞挖掘方面已展现出模仿人类研究员未知漏洞挖掘能力，这在Team Atlanta和Google的Naptime项目中得到了验证，无疑彰显了AI Agent的巨大潜力。

正如Sam Altman所言，作为通向AGI的潜在路径AI Agent技术，在25年其生产力将会被进一步释放。

Sam Altman 于1月6日的 blog

同样，在安全研究的各个细分领域中，利用大模型改进现有分析方法展现出了广阔的前景：

清华大学副教授张超：以大模型为代表的AI技术直接挖掘漏洞面临很大的挑战，因为漏洞数据稀缺，模型无法理解漏洞语义；但是，大模型辅助现有漏洞挖掘技术，可以取得非常好的效果，研究进展非常迅速。

深蓝洞察

2024年，生成式AI接入了更多的软件，赋能了更丰富的应用场景。

无论是让手机上的AI点咖啡、写邮件摘要，还是通过AI一键生成短视频，AI Agent的时代已经来临。

大模型作为AI Agent的“大脑”，其推理能力在不断增强；同时，通过整合人类的处理方式作为Agent的专业领域知识，更多的类人工作模式得以实现。而通过扩展Agent的工具集，使其能够利用更多元化的信息获取渠道与互动方式。

我们相信在25年，安全领域的AI Agent将在推理、泛化以及工具使用这三个关键领域取得显著进步。

新一代的AI Agent将具备优秀的推理能力和泛化能力，并能熟练地运用多种安全研究工具，继承大量的人类专家经验，如同顶尖的安全专家一般，发现现实世界中更多的0day漏洞。

当我们为AI Agent开启虚实交融的智能新纪元时，需要认识到技术双刃剑已刺破数字屏障，大模型越狱将将对物理世界产生影响。在智能体时代，Agent的安全性显得尤为重要——在打开潘多拉魔盒之前，我们首先要成为执剑的守护者。

近年来，我国新能源产业实现跨越式发展，尤其是新能源汽车领域，政策扶持与技术革新并进，市场规模急剧扩大。但随着从封闭网络向开放网络升级，新能源汽车面临的安全问题已经陆续出现。

近日，360数字安全集团基于360安全大模型赋能，重磅发布《2024年全球高级持续性威胁（APT）研究报告》（以下简称“报告”）。该报告提到，我国新能源领域的发展成为全球关注的焦点，别有用心的攻击者对我国新能源企业和汽车制造相关产业链的攻击活动逐渐显露。

新能源汽车不仅掌握着车主个人数据，还存储着车辆行驶轨迹、环境感知、实时影像等数据。这些数据一旦被攻击者窃取，轻则侵犯个人隐私，重则危害公共安全，甚至国家安全。然而，新能源汽车依赖的车载系统和大量软硬件，为攻击者提供了更为广泛的暴露面。360安全大模型监测显示，近几年，APT-C-00（海莲花）和APT-C-01（毒云藤）等组织已经开始将我国新能源汽车领域的科研和制造企业作为重点目标，进行长期的网络攻击。

此外，报告还披露了我国受APT攻击影响单位的14个重点行业领域，其中政府机构、教育、科研、国防军工和交通运输是遭受APT攻击活动最为集中的5个行业。APT组织针对特定行业的攻击，通常实施窃取敏感数据，甚至战略性破坏，用以服务于攻击者背后势力的政治、军事或经济等目的。

面对不断升维的高级威胁挑战，360作为国内唯一兼具数字安全和人工智能双重能力的企业，基于近20年的实战经验积累，率先提出用AI重塑安全，推出首个AI实战应用的安全行业大模型——360安全大模型。在此赋能下，360截至目前已累计捕获56个针对我国发起网络攻击的境外APT组织，积累了丰富的实战经验和技术实力。未来，360将继续深耕创新技术，积极探索高级威胁的应对思路和防护机制，不断为政企机构打造出更多体系化的解决方案。

2024年，全球局势在合作与冲突交织的复杂脉络中，加速向多极化格局演变，经济、科技、军事等核心领域，以及国际事务中的竞争与博弈态势日趋加剧。在此背景下，具有“国家级”背景的组织在网络空间发起的高隐蔽性、高破坏性攻击活动更加频繁，其影响早已在全球网络空间层面外，成为地缘政治乃至全球政治气候的“晴雨表”。因此，加强国际合作、共同应对数字安全挑战，已成为全球不容忽视的重要议题。

近日，360数字安全集团重磅发布《2024年全球高级持续性威胁（APT）研究报告》（以下简称“报告”）。该报告基于360安全大模型赋能，依托360“看见”威胁的数字安全能力，独家呈现2024年全球高级持续性威胁（以下简称“APT”）的整体爆发态势，全面盘点活跃组织，深度洞见未来发展方向，致力于为政企机构提供对抗高级威胁的权威参考，为数字化转型发展夯实安全基座。

全球APT攻击组织活跃

安全大模型助力防护升级

报告显示，网络空间已经成为地区冲突中对抗的重要战场，全球APT组织保持高活跃度。截至2024年底，全球网络安全厂商和机构累计发布APT报告730多篇，报告涉及APT组织124个，其中属于首次披露的APT组织41个。360依托“看见威胁”的数字安全能力，捕获到两个全新APT组织，分别为归属南亚地区的APT-C-70（独角犀）和东亚地区的APT-C-65（金叶萝）。至此，360已累计发现并披露了56个境外APT组织。

我国历来是地缘周边APT组织攻击的重点区域，360依托全网安全大数据视野，在2024年累计捕获到1300余起针对我国的APT攻击活动，攻击来源APT组织主要归属南亚、东南亚、东亚以及北美等地区。

面对不断升维的高级威胁挑战，360作为国内唯一兼具数字安全和人工智能能力的公司，基于近20年的实战经验积累，率先提出用AI重塑安全，推出首个AI实战应用的安全行业大模型——360安全大模型。

在过去的2024年中，360安全大模型完成了全球首次系统在无人类专家介入下，以分钟级速度智能化捕获APT-C-28的攻击。近日，其还成为国内首个接入DeepSeek的安全大模型，通过继续强化学习等技术手段，将让安全真正做到“自动驾驶”。

APT影响我国14大行业

五大领域受灾最为严重

据360安全大模型监测，我国受APT攻击影响单位主要涉及14个重点行业领域，政府机构、教育、科研、国防军工和交通运输是遭受APT攻击活动最为集中的5个行业。这主要是由于APT组织针对特定行业的攻击，通常实施窃取敏感数据，甚至战略性破坏，用以服务于攻击者背后势力的政治、军事或经济等目的。

政府机构和教育单位一直以来都是APT组织重点攻击方向。政府机构关联着外交、海事、交通管理等众多职能单位，以外交和驻外使馆相关单位为例，其掌握着国家间政治、经济、科技、军事等方向的最新策略，攻击者针对外交相关单位的攻击活动是为其背后的政治势力，窃取我国最新外交策略以及对重大国际问题的立场，以求在博弈中掌握主动。而在教育行业中，受攻击影响的高等院校大部分都具有航空、军工背景，或者承接相关国家科研课题，攻击者目的实际上针对的是我国国防军工和科技发展。

在地区冲突背景下，针对国防军工相关目标的网络攻击实现角色升级，主要围绕航空工业、航天工业、船舶工业、兵器工业等相关目标展开。这些网络攻击不仅能够刺探军事情报、中断敌方网络通信，甚至可以实现控制军事设施、瘫痪敌方指挥控制系统、伪造和传递错误指令，这种能力使网络战成为现代军事冲突中不可忽视的一部分。

科研也一直是APT组织背后势力关注的重点领域。攻击者对科研机构的攻击渗透，其目的多样：从刺探科研发展进度，到窃取科研数据、科技成果，甚至进一步控制核心设备，进而实现干扰或破坏正常科研进展。

针对汽车制造、新能源、通信电信领域的攻击活动逐渐显露，成为APT攻击新热点。与这些领域相关的关键基础设施、海量数据一旦遭受网络攻击，轻则侵犯个人隐私，重则危害公共安全，甚至国家安全。

全球APT攻击态势加剧

AI创新技术成破局关键 

在数字化浪潮下，人工智能等新兴技术的崛起在无形中也加剧了网络威胁的蔓延与深化，全球APT攻击活动展现出全面铺展、多处突发等特点。综合考量各种因素，报告对未来发展趋势进行了总结，其中下列几点尤为值得关注。

一是针对移动端系统0day漏洞利用数量增长明显。

据360安全大模型统计，截至2024年12月，全球APT组织在攻击活动中被披露利用的0day和nday漏洞120多个，涉及APT组织30多个。其中，APT组织在攻击活动利用的0day漏洞共计31个，涉及8个厂商的11个产品，均集中分布在影响面广的浏览器软件和操作系统。其中，APT组织使用的针对移动端系统的0day漏洞占比增长明显。

二是供应链攻击成为APT组织攻击重点趋势。

近几年，APT组织持续提高对供应链的关注程度，随着攻击者技战术水平的不断提升，越来越多供应链软硬件的0day漏洞被APT组织应用于攻击活动。2024年中，360安全大模型持续监测到APT-C-00（海莲花）、APT-C-39（CIA）等组织在对我国的攻击活动中，都曾利用政企单位软件供应商的软件系统漏洞进行针对性攻击。

三是国产化软件系统成为APT组织攻击重点。

随着我国国产化替代推广和网络安全体系化建设，我国企事业单位逐渐巩固自身网络安全壁垒。APT组织转而绕道国产化软件系统作为攻击跳板，利用供应商软件系统在目标网络内的权限，绕过攻击目标的网络防御完成攻击渗透，达成其攻击目的。由于国产化软件系统供应链在我国的企事业单位中具备广泛客户群，这使得APT组织一旦对供应链完成攻击渗透，便会造成严重影响。

四是通信设备成武器，网络攻击形态多样化。

2024年，黎巴嫩多个地区发生的传呼设备爆炸事件在全球范围内引起广泛关注。该事件充分说明了网络攻击形态早已不再限于以太网、物联网、工控网络，包括广播网络在内的各种可联网方式都可以是网络攻击的载体。随着网络的延展，接入网络的终端类型越来越多，功能也越来越多样化，网络攻击形态也最终向多样化发展。

五是网络安全成全球焦点，各国纷纷加大重视与投入。

当前网络攻击形势日益复杂化和全球化，尤其是在地缘政治对抗的推波助澜下，有组织网络攻击更是逐渐走向公开化。各国逐渐意识到单纯依靠外交谴责已不足以有效应对这一全球性挑战，纷纷提高网络安全方面的重视程度和投入，并加强国际间合作，寻求外交谴责层面以外的方式应对网络攻击威胁。

数字时代，高级威胁日益复杂多变，使用传统人工规则分析方式将存在很多局限。未来，360将持续基于安全大模型的全面赋能，不断为政企机构打造出更多体系化的解决方案，助力国家、城市、企业筑牢安全基石，为我国的网络强国和数字中国建设贡献更多力量。

目前，360《2024年全球高级持续性威胁研究报告》已经发布，欢迎登录360数字安全官网了解完整报告内容，也可拨打热线400-0309-360，咨询相关问题。

上期回顾：「深蓝洞察」2024年度最别开生面的安全新生态

基于浏览器漏洞的攻击，自2000年代初出现以来直至今日，一直是一种主流、有效且场景丰富的攻击手段。以下为本期《深蓝洞察 | 2024 年度安全报告》的第二篇。

根据市场调查机构Statcounter公布的最新报告，Chrome浏览器无可争议地牢牢占据了市场占有率第一的宝座。

https://gs.statcounter.com/browser-market-share#monthly-202412-202412-bar

Chrome以其卓越的安全性而著称，Google安全团队一直致力于研究应用最前沿的漏洞缓解机制。MiraclePtr就是其中最为知名的缓解机制之一，旨在防止浏览器中的UAF漏洞被攻击者利用。

Chrome中的PartitionAlloc堆分配器在分配和释放对象时维护了一个用户无感知的refcount字段，简单概括MiraclePtr这一缓解机制就是：若对象在被释放时，对该对象的refcount并不是0，这意味着代码中存在危险的引用，这是一个潜在的UAF对象，此时堆管理器会将此危险的对象隔离，从而阻止了后续可能的漏洞利用。

• 2022年6月，全新的安全机制MiraclePtr正式地在Windows和Android平台下的browser进程中启用；

• 2022年9月，扩大启用范围，除renderer进程外的所有进程皆启用；

• 2023年6月，MiraclePtr在全平台启用（ChromeOS, macOS, 和Linux）；

• 2024年7月，Chrome VRP宣布：被MiraclePtr保护住的UAF漏洞将不再视为安全问题。

是什么给了Chrome安全团队如此底气，直接无视这一类严重的内存破坏问题？

想回答这个问题，就不得不提到24年的一例MiraclePtr绕过。在24年的5月，Chrome发布的一则巨额漏洞奖金格外引人注目，其数额高达10万美元，这正是Chrome VRP悬赏的MiraclePtr Bypass的赏金数字。

https://chromereleases.googleblog.com/2024/06/stable-channel-update-for-desktop.html

待issue完全公开后，大家才终于明白绕过的细节。PartitionAlloc中在进行refcount加一的操作后，代码中会检测refcount是否溢出，若发生溢出则会触发进程的主动崩溃。

安全研究员Micky发现，在发生溢出后，这个CHECK并不会立即崩溃，进程处理崩溃相关的逻辑还需要一定的时间，在程序实际停止运行前，仍存在约180ms的时间（在测试环境中），这就给了攻击者生死竞速的机会，攻击者若能在这段时间内完成堆喷占位和后续控制PC等操作，则可以成功利用被MiraclePtr保护的UAF漏洞。

满足攻击成功需要诸多条件：

• 精准地溢出长度为29 bit的refcount字段。

• 释放对象的代码与其他攻击所需的代码不运行在同一线程，且都一定程度受攻击者控制。

• 攻击者可自由地控制目标对象的refcount。

• 在极短的时间窗口内赢得race并完成漏洞利用。

综合了以上种种限制，这就使得这个绕过技术几乎只存在于理论中，但Chrome团队仍慷慨地奖励了这一发现。

除此之外，DARKNAVY于24年11月也发现了MiraclePtr实现上的缺陷，报告给了Chrome团队并得到了确认。

综合这一发现以及此前多个高质量漏洞报告，DARKNAVY位列Chrome VRP 2024年度top 20安全研究员/机构。

https://issues.chromium.org/issues/386306231

了解这般背景后，不难看出，历史上仅有的绕过方式存在诸多限制，且MiraclePtr缓解机制稳定运转了两年多，时间已经检验了它的有效性，相信Google是在深思熟虑后决定的“无视”大部分UAF漏洞。

Google历经两年多的时间终于基本根除了一个心头大患，这对消费者来说是可喜可贺的。在Chrome的Q3季度总结中还提到了数个对Chrome内存安全的加固，如移除C语言库libpng的依赖，改为使用Rust实现的PNG、JSON等解码；再如将图形渲染模块ANGLE移植到渲染进程中以获得更强大的沙箱保护。这方方面面的努力，无不预示着未来的Chrome将更难以使用内存破坏漏洞突破。

深蓝洞察

从MiraclePtr的部署到绕过案例的出现，再到其机制的不断完善，Chrome展现的不仅是技术防御的进化，更是一种安全哲学：

通过奖励机制激励发现潜在问题，通过技术迭代增强整体体系，而非仅关注单点漏洞。

这种模式体现了Chrome团队对“攻防对抗”的深刻认知——安全从不是一劳永逸的结果，而是一场拉锯战。

随着安全研究和技术手段的同步发展，Chrome的安全或许无法做到“绝对防御”，但却可以通过这种系统化的策略，将威胁持续降低至可接受的范围，赢取用户的信任，让安全成为产品的核心竞争力。

参  考：

[1] https://gs.statcounter.com/browser-market-share#monthly-202412-202412-bar

[2] https://chromereleases.googleblog.com/2024/06/stable-channel-update-for-desktop.html

[3] https://issues.chromium.org/issues/386306231

明日，请继续关注《深蓝洞察 | 2024 年度安全报告》第三篇。

一种基于“Mirai”的僵尸网络恶意软件“Aquabot”的新变种已被发现正在积极利用 Mitel SIP 电话中的命令注入漏洞 CVE-2024-41710。

这项活动是由Akamai的安全情报和响应小组（SIRT）发现的，报告说这是属于其雷达的Aquabot的第三种变体。恶意软件系列是在2023年引入的，第二版增加了持久机制。第三个变体“ aquabotv3”引入了一个系统，该系统检测终止信号并将信息发送到命令和控制服务器（C2）服务器。

AquaboTV3报告阻断尝试的机制对于僵尸网络来说不同寻常，并且可能已添加以使其运营商更好地进行监控。

报告过程阻断C2的尝试

针对Mitel手机

CVE-2024-41710是影响Mitel 6800系列，6900系列和6900W系列SIP电话的指挥注射漏洞，通常用于公司办公室，企业，政府机构，医院，医院，教育机构，教育机构，酒店和金融机构。

这是一个中等严重的漏洞，它允许具有管理员特权的身份验证的攻击者，由于启动过程中的参数消毒不足而进行参数注射攻击，从而导致任意命令执行。

Mitel于2024年7月17日发布了有关此漏洞的修复程序和安全咨询，敦促用户进行升级。两周后，安全研究员Kyle Burns在Github上发表了概念验证（POC）。

AquaboTV3在攻击中使用该POC利用CVE-2024-41710，是利用此漏洞的第一个记录案例。研究人员解释说：“ Akamai Sirt在2025年1月初，通过全球蜜罐网络使用有效载荷几乎与POC相同，检测到针对这种脆弱性的利用尝试。”

攻击需要身份验证的事实表明，恶意软件僵尸网络使用蛮力来获得初始访问。

攻击者制作的HTTP POST请求针对脆弱的端点8021xSupport.html，负责Mitel SIP电话中的802.1X身份验证设置。该应用程序不当处理用户输入，允许将畸形的数据插入手机的本地配置（/nvdata/etc/local.cfg）。

通过注入线路结束字符（％dt→％0D），攻击者可以操纵设备启动过程中如何解析配置文件以从其服务器中执行远程壳脚本（BIN.SH）。

该脚本下载并安装了定义的体系结构（X86，ARM，MIPS等）的Aquabot有效载荷，使用“ CHMOD 777”设置其执行权限，然后清理任何痕迹。

Aquabotv3活性

一旦确保了持久性，Aquabotv3将通过TCP连接到其C2，以接收说明、攻击命令，更新或其他有效负载。

接下来，它尝试使用MITEL Exploit，CVE-2018-17532（TP-Link），CVE-2023-26801（IOT固件RCE），CVE-2022-31137（Web App RCE），Linksys E E linksys e，尝试使用MITEL Exploit（TP-Link），CVE-2018-17532（TP-Link）（TP-Link）（TP-Link）（TP-Link）（TP-Link），Linksys E - 系列RCE，Hadoop纱和CVE-2018-10562 / CVE-2018-10561（Dasan Router Router Bugs）。该恶意软件还试图违反强制默认或弱SSH/TELNET凭据，以扩展到同一网络上固定较差的设备。

AquaboTV3的目标是将设备纳入其分配拒绝服务（DDOS）群，并使用它们执行TCP SYN，TCP ACK，UDP，GRE IP和应用程序层攻击。

Akamai在其报告底部列出了与 Aquabotv3 相关的入侵指标（IoC），以及用于检测该恶意软件的 Snort 和 YARA 规则。

为表彰在网络安全领域做出卓越贡献、并持续推动技术创新的“中国网安优能企业”，第三方研究机构嘶吼安全产业研究院正式发布《嘶吼2024中国网络安全产业势能榜》。盛邦安全凭借在网络安全领域前瞻性的技术创新和深厚的经验积累，实力上榜《嘶吼2024中国网络安全产业势能榜》“专精型”优能企业。

本次评选根据市场表现、技术创新、行业口碑、产品和服务质量等多个维度，对2024年中国网络安全产业的主要企业进行了全面调研，旨在基于对产业发展的深度调研及甲方侧的需求视角，严选中国网络安全领域内“实力优·技术优·服务优·创新优·品牌优”的优能企业。盛邦安全在“市场势能、创利势能、发展势能”三个评审维度中，荣登势能榜的“专精”优能企业。

数字化转型和智能化时代的浪潮下，网络安全问题已成为全球范围内的严峻挑战。随着全球网络安全环境的变化和国家对信息安全的高度重视，自主可控的技术产品和解决方案也成为行业的重要发展方向。盛邦安全凭借十余年在网络安全领域的深耕细作，持续提供高质量的网络安全产品和服务，凭借卓越的性能表现及广泛适用的业务场景，公司业务已全面覆盖网络安全、数据安全、密码安全、信息技术应用创新安全等诸多关键领域，为金融、电力、运营商、教育等多行业提供了全方位、高效能的安全解决方案。

作为新一代网安行业新质生产力的先锋代表，盛邦安全不断探索新兴技术在网络安全领域的应用，在全行业率先布局卫星互联网安全。同时依托网络安全与卫星通信安全领域的双重优势，推出创新技术产品和体系化解决方案。

此次荣登，不仅是对盛邦安全综合实力的肯定，更是对其持续创新能力和行业影响力的高度认可。未来，盛邦安全将继续秉持“两精一深”的研发战略，紧跟客户需求，提供更贴近场景的、高效的解决方案，助力网络安全产业高质量发展。

原文链接

2025年2月9日，LEAP 2025中东国际先进科技展在沙特利雅得国际会展中心隆重开幕。作为中东乃至全球最具影响力的科技盛会之一，LEAP被誉为“数字达沃斯”，本届大会以“走进新世界”为主题，汇聚全球顶尖科技企业，共同探讨前沿科技趋势与创新应用。盛邦安全携最新网络安全解决方案惊艳亮相，吸引了众多参会者的关注。

常华大使莅临LEAP 2025走访中国企业展台

中国驻沙特大使常华应邀出席LEAP 2025开幕式，并走访了中国联通、盛邦安全、新华三等中国企业展台。在活动现场，常华大使充分肯定了中国企业在科技创新领域的成果，并鼓励大家发挥自身优势，探索投资兴业新机遇，助力中沙科技合作迈上新台阶，以科技创新服务两国及两国人民共同利益。

AI驱动智能安全，护航数字化未来

在本届LEAP 2025上，盛邦安全以“Detect Smarter & Defend with AI”为主题，全面展示了公司在安全防护、脆弱性分析与管理、API安全、全球资产测绘等领域的最新研究成果和创新产品。盛邦安全展台吸引了许多嘉宾驻足交流，获得现场高度关注。

盛邦安全国际业务负责人方伟表示，我们正处于一个AI重塑安全格局的转折点，公司此次带来的AI驱动的安全产品与方案，已接入DeepSeek等主流大模型，实现了资产识别、漏洞分析、威胁检测等规则的智能生成，并基于AI完成了风险分析、攻击防护、日志降噪等核心引擎的重构，帮助能源、运营商、金融、交通等多个行业客户成功应对人工智能时代下的复杂安全挑战。此次参与LEAP 2025，借此国际盛会平台，我们希望与全球客户及合作伙伴有效连接，共同构建智能、强大、可靠的安全防护体系。

全球化战略提速，深耕中东市场

LEAP不仅是中东北非地区科技创新的风向标，更是全球科技企业展示实力、拓展市场的重要舞台。自2022年起，LEAP已连续举办四届，投资规模逐年扩大，创造了显著的经济效应。LEAP 2025大会首日即宣布与多家知名科技公司合作，投资金额达149亿美元。

在数字经济浪潮奔涌向前的当下，盛邦安全在LEAP 2025的亮相不仅彰显了中国科技企业在技术创新上的领先实力，更展现了中国企业加速布局全球市场的雄心。以AI为核心的新一代网络安全技术正深刻重塑全球数字生态，而中国方案正为全球数字经济的安全与可持续发展筑起坚不可摧的防线。

原文链接

在智慧校园建设持续深化的大背景下，某头部高校近日携手盛邦安全，率先部署了API接口治理方案。该方案不仅填补了高校API治理领域的安全空白，更为校园信息化建设筑牢了“安全基石”。

随着高校内API接口数量激增，系统间的数据交互日益频繁，安全风险也随之而来。常见问题包括：

• 接口滥用：未经授权的调用对校园系统形成威胁；

• 数据泄露：敏感数据暴露可能引发法律和声誉危机；

• 弱鉴权设计：越权访问导致核心系统失控。

创新方案：API安全的全生命周期治理

盛邦安全智慧校园API接口治理方案，专为高校量身打造，通过以下六大核心模块，全方位保护API安全：

资产识别与画像

全面识别与梳理校内外API接口，建立资产清单，构建资产画像，精准掌握接口调用关系及潜在风险。包括学工系统、人事系统、教务系统、科研系统、研究生系统、财务系统、一卡通系统、图书馆系统、短信推送系统等业务平台相关接口。

风险评估与加固

利用智能分析模型，识别出因接口设计不当、权限管理不合理等导致的潜在风险，包括未鉴权、弱鉴权、越权访问、接口遍历等。在权限加固保护层面，可以结合智能限速、白名单、弱口令检查、校验码及动态令牌等多种手段，对接口滥用、接口盗用、暴力破解及机器人攻击等安全风险进行检测与防护。

敏感数据监测与保护

实时监测接口数据传输，对数据异常调用、数据过度暴露和敏感数据泄露等风险事件进行及时把控，包括个人隐私信息、组织敏感信息和账号敏感数据等，并通过访问限制或脱敏保护等操作来对非可信的数据调用行为做安全防护，保护师生隐私与系统安全。

脆弱性检查与修复

提供主动性安全测试，能够针对API接口做安全测试与脆弱性风险检查，帮助用户主动掌握接口安全状态，并发现应用漏洞、组件漏洞及逻辑漏洞风险，从而能够更加合理的制定接口安全防护策略，防患于未然。

攻击检测与防护

采用规则匹配、语义分析和AI检测等方式来对各类攻击威胁进行分析识别，并能够自定义正则表达式检测规则来灵活增加检测能力，可以有效应对各种已知攻击、未知威胁和潜伏威胁，从关口环节建立防护屏障。

可视化管理与响应

提供便捷的日志分析模块，可以按照鉴权风险、涉敏风险、暴露风险及脆弱性风险等不同的风险场景来灵活设定分析条件，对日志进行二次研判，进一步定位问题根因，满足不同颗粒度的审计与管理需求；并通过智能监控平台，实时展示接口状态与风险情况，实现快速响应与精细化管理。

成效显著：智慧教育的安全护航者

方案上线后，该高校实现了对关键API的全生命周期管理，避免了因接口安全漏洞引发的敏感数据泄露风险，并提高了接口调用的稳定性与效率。

API安全已成为智慧校园建设不可忽视的一环。盛邦安全将持续以技术创新引领行业发展，为高校和更多行业用户提供安全可靠的数字化解决方案，让数据传输顺畅无阻、安全无忧。

原文链接

在当今数字化深度渗透的时代，网络已然成为经济、社会、生活运转的关键支撑。从金融交易、政务办公到日常的社交娱乐，人们的一切活动都与网络紧密相连。然而，繁荣的网络生态背后，网络安全形势却日益严峻。网络攻击手段日益复杂多变，勒索软件、高级持续性威胁（APT）等层出不穷，与此同时，云计算、大数据、物联网等新技术广泛应用，网络安全面临着前所未有的挑战与全新需求。

为紧跟网络安全领域的快速发展步伐，嘶吼安全产业研究院决定对《网络安全产业图谱》进行更新。在各领域新兴技术不断涌现，尤其是 AI 与网络安全深度融合的背景下，我们将重新调整分类网络安全产业链。比如，专门划分出 AI 赋能网络安全的相关细分领域。进一步优化网安产业布局，为政企及其他组织机构提供更具前瞻性和实用价值的客观参考。

图谱调整说明：

1、各细分领域精简收录企业数量：

本次图谱调研将延续2024年图谱收录方式，参考细分产品营收、营收增长率、客户数量、投入占比、品牌影响力等多个维度，对企业进行全面能力评估，重点收录综合能力较高的企业，为行业用户提供更精准的行业参考指南。

2、热门领域Top10厂商推荐：

在精选出的多个热门领域中，我们将根据调研结果评选出Top10优秀安全厂商，进行单独呈现。

3、重点领域厂商产品名录展示：

在精选出的多个重点领域中，我们将根据调研结果展示重点领域安全产品名录。

《2025网络安全产业图谱》调研通知：

图谱调研表获取方式：关注嘶吼专业版公众号，回复“2025图谱调研”获取。

1）征集阶段：2025年2月10日——2025年3月7日，下载填报《2025网络安全产业图谱调研表》，并发送至收集邮箱中。

2）分析阶段：根据回收的问卷，嘶吼分析师团队会针对厂商提交材料进行复核，部分厂商可能需要接受验证或者访谈，以便对存疑问题进行沟通。

3）图谱报告发布：《2025网络安全产业图谱》由嘶吼安全产业研究院官方发布。内容将呈现部分细分领域数据统计，根据实际调研结果，撰写包括网络安全产业情况、调研发现等相关内容。

填写说明：

1 请按说明要求填写，方便后续整理数据，请注意，不要自行添加或删减行列！

2 提交时请务必在附件中添加（ai格式）公司logo。

3 请于3月7日前提交问卷，发送至邮箱[email protected]。

4 务必客观、真实填写该问卷。

声明：

· 此次收集的调研数据，将由嘶吼安全产业研究院全程严格管理。每一个样本数据仅作为综合统计分析的素材，本次调研有可对外展示资料填写，调研表中已明确标注，填写时请提交脱敏资料。其他未标注对外展示填写项目，均不会泄露和公布，请参与调研的每位负责人安心填写。

· 《2025网络安全产业图谱调研表》仅为调研资料收集，图谱最终呈现分类与形式，将以正式发布内容为准。

在此，我们要郑重的感谢所有参与到嘶吼图谱绘制的各家厂商，不论是网络框架梳理到内容划分调整，亦或是申请入驻、参与对细分领域的调研等环节，行业同仁都对我们提供了莫大的帮助。再次表示诚挚的感谢！

随着信息技术的广泛应用，网络攻击的手段和技术层面越来越复杂，挑战企业和个人的安全防线的同时，也对社会的安全管理和意识提出了更高的要求。漏洞是网络防御的基础，深入了解漏洞本质、追踪其演变态势并采取相应防御措施，成为保障网络安全的关键所在。

近日，360数字安全集团重磅发布《2024年度网络安全漏洞分析报告》（以下简称《报告》），综合分析2024年内爆发的漏洞整体态势，解析不同行业漏洞分布差异成因，剖析多起典型案例技术细节，并拓展了一系列影响深远的全球网络安全事件，以期为企业、机构及专业人士提供有价值的洞察，更好地构建安全防线。

年度漏洞数量激增，安全态势日益严峻

《报告》显示，2024年全球漏洞总数达到44,957个，相较于2023年增长超过50%，创下历史新高。其中，高危和严重漏洞的占比超过50%。这一趋势反映了软件开发和使用的复杂性在不断增加，漏洞的发现和披露周期也在缩短，全球企业在漏洞披露、修复的过程中，面临着更大的压力和挑战。

2024年，360漏洞情报团队基于安全大模型，结合使用广度、行业关注度、客户关注度、漏洞攻击复杂度和补丁发布情况等多维度指标对全年披露的漏洞进行综合研判分析，发布了超800条需要用户重点关注的漏洞情报，其中600条易被利用，300余条为需要尽快修复的高危漏洞，有效帮助企业、机构和相关从业者进行针对性安全防护。

实战暴露常见技术缺陷，OA系统漏洞仍是攻防演练杀器

《报告》指出，跨站点脚本攻击（XSS）和SQL注入仍然是最常见的漏洞类型，分别占据了漏洞数量的前两位。尽管近年来安全措施不断加强，但这些经典漏洞仍然频繁出现在网络安全事件中，表明很多系统在基本的安全设计和开发实践中依然存在隐患。

2024年攻防演练期间，360累计捕获80,702条攻击样本，通过360漏洞云情报订阅服务平台发布漏洞预警180余条，其中超98%为高危及严重级别漏洞，帮助广大企业精准定位关键风险并前置修复，结合主动防御策略，有效降低80%以上的攻击威胁。数据显示，办公自动化系统（OA）成为攻击重灾区，ERP等核心业务系统紧随其后。由此可见，攻击者往往更倾向于针对企业日常运营中涉及广泛、数据密集的业务系统发起攻击。

漏洞行业化差异明显，360独家分类标准精细化情报颗粒度

《报告》对不同领域的漏洞分布情况进行了详细分析，显示出行业间存在明显的安全差异。从整体分布来看，通用行业漏洞占比接近90%，教育、金融和医疗等关键行业紧随其后，暴露出大量安全隐患。

360漏洞情报团队沉淀多年攻防演练实战经验，根据不同的攻防场景和漏洞利用特征，制定了针对攻防场景下的独家行业分类标准，对所有漏洞数据进行了行业标注，实现对全量漏洞数据的标准化分析，进而帮助企业深入了解各行业的漏洞分布特点，实现全量漏洞数据的高效管理与精准识别。 

供应链安全隐患显现，AI与新兴技术治理成重点

《报告》显示，2024年内软件供应链相关漏洞频现，如Red Hat与CISA发现的供应链漏洞、CocoaPods依赖管理器的多个安全缺陷等；此外，黎巴嫩大量BP机和寻呼机被远程引爆，造成数千人受伤，背后直指供应链攻击，供应链安全风险管理成为重要挑战。加强对供应链的全面审计和监控是防范此类攻击的必要手段。

同时，人工智能技术发展迅速，也带来诸多风险挑战，2024年，360曝光了近40个大模型相关安全漏洞，影响范围覆盖llama.cpp、Dify等知名模型服务框架，以及Intel等国际厂商开发的多款开源产品，敲响人工智能安全警钟。此外，人工智能相关法律法规持续出台，联合国通过人工智能全球决议、欧盟的《人工智能法案》以及中国《人工智能生成合成内容标识办法（征求意见稿）》的发布，体现了全球各国对AI技术潜在风险的高度关注。不难看出，AI与新兴技术的治理将成为各界关注的焦点。

面对复杂且不断变化的漏洞威胁，360作为国内唯一兼具数字安全和人工智能能力的公司，充分利用安全大模型对漏洞治理关键能力进行智能化升级，形成了覆盖漏洞治理生命周期各阶段的安全技术及服务能力和可面向不同行业及业务方向的漏洞服务平台，提供优质的漏洞情报订阅服务、可控的安全众测/众包服务、及时的漏洞应急响应服务、高效的漏洞补丁推送服务，以及专业的漏洞安全专家服务。

未来，360将依托自身在漏洞安全领域的技术积累，助力提高网络产品安全漏洞的研究水平和预警能力，推动数字安全生态的健康发展，为构建更加安全、可靠的网络环境贡献力量！

在《深蓝洞察 | 2023 年度安全报告》中，我们曾提到：“当我们站在下一个十年的悬崖边时，2023年注定将成为一个具有深刻转折意义的年份。新防御机制的落地和新型攻击技术的崛起，将深刻改变数字安全的格局。”

2024年，如一阵疾风而至，又如暴雨般迅速远去。我们在2023年中讨论的AI变革、移动操作系统的突破、供应链安全的挑战，已经在2024年继续上演，几乎无法让人有片刻喘息。

不断涌现的颠覆性变化，与传统安全市场如同冰窖般的低迷态势形成鲜明对比。在AI时代，传统的内存安全研究是否仍具意义？新的攻击手段又将走向何方？在不断变化的数字世界中，用户隐私的保障又该如何应对？

2024年的深蓝洞察，我们已经迎接未来的到来，诚邀您一同探讨与分享。

以下为本期《深蓝洞察 | 2024 年度安全报告》的第一篇。

华为于2019年发布了HarmonyOS 1.0版本，直到持续维护的HarmonyOS 4.2，虽然在应用框架层面上实现了对Android和鸿蒙的双重兼容，即所谓的“双框架”，但因为其操作系统底座仍基于Android内核，这一情况引发了业界广泛的质疑。

自2024年HarmonyOS NEXT版本起，到现在发布的5.0版本，HarmonyOS应用框架层已更新为鸿蒙“单框架”，内核也已完全转向使用华为自研的HongMeng内核。正式告别了对Android应用框架、内核的依赖。

HarmonyOS 4.2及5.0手机上内核版本对比

早在6月2日，DARKNAVY就已经发布了在HarmonyOS NEXT Developer Preview2版本上完成的全球第一个公开越狱视频，并在6月12号发布了该版本另一漏洞导致的应用保活视频。依托获取的系统权限，我们对HarmonyOS NEXT从应用框架到内核都做了进一步的分析，研究发现无论是应用框架还是内核，HarmonyOS NEXT都与Android有着显著差异。下面我们从安全研究的角度出发，以“单框架”应用开发、权限管控、万物互联、内核架构以及系统调用几个维度为例将我们看到的真实的HarmonyOS NEXT操作系统揭示出来。

鸿蒙“单框架”

鸿蒙“单框架”意味着彻底与Android分手，系统不再支持APK安装包，也不再使用JAVA作为应用开发语言。“单框架”改用HAP安装包部署，应用开发语言采用eTS(extended TypeScript)。

为了避免重蹈传统Android系统中恶意应用横行的覆辙，鸿蒙“单框架”着手于对原有不足的机制进行改进。例如其通过应用签名等机制限制了应用只允许从应用市场安装，杜绝任何第三方非正式应用；更为严格地限制了应用后台保活的手段，即任何后台应用10s后都会被强制挂起；采用了敏感权限单次授权，以保障授权最小化，如应用只允许获取用户单次选择的相关图片而无法直接获取所有图库图片。

除了以上对原系统的优化外，鸿蒙“单框架”更有一些大刀阔斧的变革。

• “万物互联”的底层基石是分布式软总线(DSoftBus)，它实现了不同型号、种类的设备之间的互联互通，底层传输介质支持了WiFi、蓝牙等，协议层面覆盖了发现、鉴权、传输等不同阶段。从用户的角度，系统新增的服务如分布式文件系统、剪切板同步极大地便捷了使用。对于开发者来说，底层甚至支持远程调用其他设备的IPC，实现了分布式binder调用。在如此强大的功能下，此模块的安全性更显得尤为重要。

软总线触发的设备间互联

• 新增的XPM(eXecutable Permission Manager)模块确保了强制代码保护机制，应用仅可加载含合法签名的代码。在应用安装之后，代码文件(.abc和.so)无法被随意修改，否则将会被拒绝执行。同时还存在代码完整性保护，阻止应用篡改可执行代码。

• AccessToken机制实现了更细颗粒度的权限控制，它首先将token type分成Hap、Native、Shell等几个类别，分离了系统程序和APP的权限管理；一个应用的access token中包含了应用 ID、子用户 ID、应用分身索引、应用APL、授权状态等信息，有助于系统实现更为细致的鉴权。

以上这几项机制都从操作系统内核层面给予了支持，实现了从上到下的全流程控制。

DARKNAVY解密并反编译得到的启动容器代码片段

HarmonyOS的发展历史

鸿蒙内核（以下统称为HongMeng内核）基于微内核架构设计，将传统内核的各项功能拆分为一个精简的核心内核和多个独立的系统组件，并根据安全需求将部分或全部系统组件置于用户态运行，相较于Linux Kernel采用的宏内核架构，提供了更强的安全性。

• 在宏内核架构中，所有模块紧密耦合在一起。例如，如果攻击者利用网络模块中的漏洞成功攻破网络模块，便可直接控制整个宏内核。

• 而在微内核架构下，即使某一模块（如网络模块）被攻破，由于各模块间的隔离机制，攻击者无法轻易将攻击扩展至其他系统模块。

Linux内核功能在HongMeng内核中被拆分为多个独立组件

系统组件的隔离势必带来性能开销。对于组件间频繁上下文切换所带来的开销，HongMeng内核通过将文件系统管理(fsmgr)、内存管理(memmgr)、进程管理(procmgr)等频繁调用的功能移入内核态，并将网络通信、驱动(devhost)等存在较大攻击面的功能隔离于用户态，以牺牲较少量的性能换取了更高的安全性。

HongMeng内核详细架构

为了兼容Linux的软件开发生态，HongMeng内核实现了对Linux系统调用和驱动的支持。具体而言，HongMeng内核通过映射Linux系统调用号至自身调用号，并将Linux系统调用的相关功能在新的微内核架构下进行重构，实现了内核对应用的无感兼容。此外，它还引入了一个运行在用户空间的驱动容器，用于加载和执行各种Linux驱动程序。

因此，原本在Linux上运行的软件无需进行大量针对HongMeng内核的适配工作即可顺利运行。这也解释了为什么Android APP能够借助容器虚拟化技术，在鸿蒙系统中运行。

DARKNAVY自研越狱环境下使用lldb调试代码保护进程

HongMeng内核中的系统调用主要分为两类：lsyscall和archsyscall。

• lsyscall即上文所述的用于兼容Linux的系统调用。但由于微内核架构的特点，这些功能被拆分为多个组件。具体来说，lsyscall根据功能被划分为9种不同类型，针对不同类型的系统调用，核心内核通过类RPC机制分发至相应的功能组件执行。

• archsyscall则是专门为支持微内核特性而设计的系统调用。它支撑了微内核中的关键功能，如IPC（进程间通信）、RPC（远程过程调用）等。此外，HongMeng内核在资源管控参考SEL4实现了基于capability的细粒度管控机制。例如，针对RPC机制的核心载体ACTV和ACTVPOOL等内核资源的访问，均需校验capability，进一步增加了攻击难度。

HongMeng内核系统调用

经过对HongMeng内核的深入分析，我们发现其在架构设计上付出了诸多努力，相较于 Linux内核，其在牺牲了少量性能的情况下显著地提升了安全性。

然而令人遗憾的是，与Android开放的生态相比，HongMeng内核不仅始终保持闭源状态，自2024年下半年起，HarmonyOS NEXT固件中的HongMeng内核还进行了加密处理，无疑增加了安全研究人员的分析难度。值得关注的是，这种封闭策略使得“纯血鸿蒙”的生态建设面临阶梯式挑战：首要前提在于系统核心能力是否向第三方手机和设备厂商开放——只有当底层真正开源，才存在讨论的起点；而后续在现有Android生态格局已然稳固的背景下，其他厂商是否愿意投入资源适配这套全新系统，也构成了生态建设的潜在挑战。

DeepSeek锐评

当鸿蒙用代码签名筑起高墙时，我们是否正见证着开放生态的黄昏？闭源内核与加密固件打造的“安全堡垒”，究竟是抵御攻击的盾牌，还是禁锢技术演进的牢笼？微内核架构用性能换取的安全承诺，在万物互联的洪流中是否经得起零日漏洞的暴雨冲刷？那些在容器里游荡的Android幽灵，是否暗示着生态割裂时代的双重人格？当分布式IPC打通设备疆界时，攻击面是否也在指数级扩张？号称“纯血”的鸿蒙，在兼容与创新的钢丝上，究竟走出了技术自主的康庄大道，还是陷入了生态孤立的死胡同？当每个权限都化作数字镣铐，我们究竟在守护用户隐私，还是在扼杀创新可能？这场操作系统的涅槃重生，最终会孕育出数字安全的方舟，还是沦为又一个封闭花园的标本？

*以上锐评不代表DARKNAVY观点。

明日，请继续关注《深蓝洞察 | 2024 年度安全报告》第二篇。

纽约宣布与 PayPal 达成 200 万美元和解，起因是其未能遵守该州的网络安全法规，导致 2022 年数据泄露。纽约金融服务部 (DFS ) 称，威胁者利用 PayPal 系统中的安全漏洞进行撞库攻击，从而获取到了对敏感客户信息的访问权限。

2023 年，据PayPal 披露，威胁者在 2022 年 12 月 6 日至 8 日期间进行了大规模凭证填充攻击，导致 35,000 个账户遭到泄露。当时曝光的数据包括姓名，出生日期，邮政地址，社会保险号和个人税收标识号等重要数据信息。

据了解，在PayPal实施对现有数据流的更改之后，客户数据被暴露出来，以使IRS表格1099 ks可供更多客户使用。但是，负责实施这些更改的团队未经PayPal的系统和应用程序开发过程进行培训。因此，在更改进行之前，他们未能遵循适当的程序而使不法分子有机可乘。

持有PayPal帐户有效凭证的网络犯罪分子能够访问这些帐户及其1099-K表格后，造成许多敏感信息被泄露。这些“凭据填充”攻击的成功取决于缺乏多因素身份验证（MFA）保护，这在当时不是强制性的。

他们与较弱的访问控件相结合，允许在没有验证码或限制费率的情况下进行自动登录尝试，构成了PayPal的关键合规性失败。构成纽约网络安全法规23条NYCRR§500.3、500.10和500.12的违规行为。事件发生后，PayPal被要求实施适当的网络安全政策，人员培训和身份验证控制。

DFS 表示，尽管 PayPal 在发现漏洞后采取了多项补救措施，包括屏蔽 IRS 表格上的敏感数据、实施验证码和速率限制，以及对所有美国客户账户强制执行 MFA，但为时已晚。和解条款规定 PayPal 必须在 10 天内支付 200 万美元的罚款，与此同时，除非纽约 DFS 发现新的违规行为，否则不会对其采取进一步行动。

2024年，人们向勒索事件付款同比下降35％，总计8.135亿美元，整体低于2023年的12.5亿美元。此外，只有约30％的受害者与恶意分子进行了谈判并最终向他们支付了赎金。

每年向勒索软件团伙付款

2024年，一家《财富》50强公司向“黑暗天使”勒索软件组织支付了创纪录的7500万美元。此外，根据NCC集团的数据，2024年是勒索软件入侵数量最多的一年，共有5263次成功攻击。

chainanalysis的报告进一步证实了这一点，即数据泄露站点的披露数量增加，表明攻击者正在加大勒索力度，增加他们的活动进行填补。

勒索中与勒索完成比较图

赎金减少

尽管2024年的攻击事件有所增加，但勒索软件支付的下降可以用几个关键因素来解释，主要是受害者的抵抗力增强。

随着各行各业对勒索软件入侵风险的意识日益增强，企业在网络安全方面投入了更多资金，采取了更好的做法，并实施了更强有力的保护措施。

此外，威胁者删除被盗数据的承诺是不可信的，而且由于法律压力，越来越多的企业拒绝谈判。相反，他们宁愿承受声誉影响，并从备份中恢复数据/系统。

在这一下降中起关键作用的另一个方面，是去年针对勒索软件团伙的执法行动。最值得注意的是，“克罗诺斯行动”（Operation Cronos）摧毁了当时最臭名昭著、最多产的勒索软件组织LockBit。

每个威胁组织的赎金数额各不相同

洗钱逐渐复杂性

即使是进入勒索软件攻击者口袋的钱，情况也比过去几年复杂得多，当时网络犯罪分子有多种洗钱选择。现如今，执法部门对不遵守KYC法律的加密货币混合商和交易所的打击也迫使勒索软件攻击者将目光转向其他地方。

急速发展的赎金洗钱活动

Chainalysis称，如今人们已不再使用混币服务，转而采用跨链桥来模糊交易并逃避追踪。2024年，集中式交易所仍是勒索软件收益的主要提现渠道，有39%的勒索软件收益通过此类交易所流转。

最后，Chainalysis表示，越来越多的附属机构选择将勒索软件所得款项存放在个人钱包中，并且由于担心被追踪和逮捕而迟迟不愿提现。