近期，全球网络安全领域恶意软件活动异常活跃，从跨平台的Java RAT到针对性极强的供应链投毒，攻击者正不断迭代其技术栈。作为Solar应急响应团队，我们持续关注全球威胁情报，通过对近期高发案例的复盘，为企业用户提供深度解析与防御建议。
跨平台威胁与BYOVD攻击的演进
从我们的应急响应经验来看，攻击者正愈发倾向于使用跨平台语言（如Java、Go）编写恶意软件，以实现对Windows、macOS及Linux系统的全覆盖。近期出现的QuimaRAT便是一个典型案例，其跨平台特性极大地增加了企业的防御难度。
与此同时，BYOVD（自带受信任驱动攻击）已成为近年来的主流趋势。攻击者不再试图通过复杂的漏洞利用来绕过安全软件，而是直接利用具有数字签名的合法驱动程序来关闭安全防护。这一环节是很多企业容易忽视的盲点，因为许多终端安全产品默认信任已签名的驱动，这为攻击者提供了“合法”的破坏通道。
供应链投毒与模块化攻击趋势
供应链安全依然是重灾区，近期jscrambler npm包的受损事件再次提醒我们，开源生态的脆弱性是企业难以通过边界防御完全规避的风险。此外，攻击者越来越倾向于将恶意软件模块化，例如GigaWiper这一破坏性后门，就是由多个独立恶意组件组装而成。这种“积木式”的攻击手法不仅增加了溯源难度，也使得单一的特征码检测手段在应对时显得捉襟见肘。
针对性勒索与社会工程学陷阱
在勒索病毒领域，攻击者正加速“品牌重塑”与功能升级。例如GodDamn勒索软件利用恶意驱动程序禁用防御机制，不仅体现了技术层面的对抗，更反映出勒索攻击正向精密化、定制化方向发展。此外，利用法律诱饵、伪造安装程序等社会工程学手段，依然是攻击者进入内网的高效入口。
Solar应急响应建议
面对当前复杂多变的威胁环境，我们建议企业采取以下防御策略：
首先，强化终端安全基线。针对BYOVD攻击，应建立严格的驱动程序加载白名单策略，并利用EDR工具监控异常的驱动加载行为。不要盲目信任拥有合法签名的二进制文件。
其次，重视供应链资产管理。对于开发环节使用的npm、GitHub等第三方库，应建立自动化扫描机制，严禁直接引入未经审计的外部代码模块。
最后，建立动态联动防御体系。随着攻击者频繁使用模块化后门，企业应从单一的静态防御转向基于行为的联动检测。当发现异常网络流量或进程行为时，应立即进行隔离并启动应急响应流程。
类似攻击近年来明显增加，企业若缺乏完善的日志记录与应急预案，往往会在攻击发生后陷入被动。保持对威胁情报的敏锐度，并定期开展实战化演练，是抵御此类高级威胁的关键。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com