近期，荷兰财政信息与调查局（FIOD）采取联合行动，逮捕了两名涉案嫌疑人，并查封了多达800台服务器。据调查，这些服务器背后的托管服务提供商涉嫌违反欧盟制裁法，为针对欧盟的网络攻击、干扰行动及虚假信息传播提供了关键的数字基础设施。
隐秘的攻击链：从成立到规避制裁
从我们的应急响应经验来看，攻击者在基础设施部署上往往有着极强的“避险”意识。本次被查封的托管公司成立于2022年2月，即俄乌冲突爆发前夕。随着该公司因涉嫌破坏欧盟安全稳定被列入制裁名单，其运营策略迅速转向“地下化”。
攻击链的关键转折发生在2025年5月，当原公司被正式制裁后，其核心技术资产被迅速转移至一家新成立的荷兰公司。这家新公司表面上是合法的托管业务，实则充当了受制裁实体的“白手套”。为了确保这些攻击节点的持续在线，另一家关联公司专门提供网络连接服务，形成了“托管+接入”的闭环，试图通过复杂的股权结构和资产转移规避监管。
技术手法解析：基础设施的“傀儡化”
此次事件揭示了一种典型的网络攻击资源运作模式。攻击者并不直接利用自有服务器，而是通过租赁或控制合规性较差的托管服务商，将恶意基础设施伪装成正常的业务支撑平台。
这一环节是很多企业容易忽视的。在实际溯源中，我们发现许多网络攻击的源头并非直接来自攻击者的终端，而是源于这些被“租用”的傀儡服务器。这些服务器不仅被用于发起DDoS攻击或进行渗透测试，更被用作虚假信息传播的阵地，通过模拟正常流量来绕过安全防御系统的检测。
应急响应视角下的安全启示
类似攻击近年来明显增加，尤其是当攻击者利用法律监管的“灰色地带”进行基础设施腾挪时，传统的黑名单防御机制往往会失效。
对于企业而言，仅仅依赖IP封禁或域名过滤已不足以应对此类威胁。Solar应急响应团队建议：
首先，强化对外部流量的威胁情报关联分析。不要只看流量特征，更要关注流量来源的基础设施归属及历史信誉度。
其次，建立动态的资产风险评估体系。如果您的业务环境中存在与高风险地区或近期频繁变动所有权的托管服务商有大量数据交互，建议立即进行深度排查，评估是否存在潜在的“影子”连接。
最后，企业应关注供应链审计。确保您的云服务提供商或托管合作伙伴具备合规的运营背景，防止业务基础设施在不知情的情况下被挪用为攻击跳板。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com