事件背景与现状
在当前的全球威胁情报监测中，一种名为 Lampion 的银行木马引起了我们的关注。虽然该恶意软件最早可追溯至 2019 年，但它至今仍活跃在针对葡萄牙组织的攻击一线。从我们的应急响应经验来看，Lampion 的长寿并非因为它采用了多么尖端的技术，而是因为它精准地利用了语言便利性，并针对特定地理目标构建了极其稳定的攻击模型。
统计数据显示，超过 96% 的攻击活动集中在葡萄牙，这一现象揭示了巴西网络犯罪团伙的典型策略：利用语言的天然同源性，将攻击触角延伸至海外，从而规避巴西本土法律的直接管辖，同时利用跨国调查的行政壁垒增加警方溯源难度。
攻击链深度解析
Lampion 的攻击链条虽然逻辑简单，但针对性极强，这也是很多企业容易忽视的环节。
攻击通常以高度伪造的钓鱼邮件拉开序幕。过去，攻击者常冒充葡萄牙税务与海关部门，以“逾期未缴税款”为由诱导受害者；而近期，攻击者开始转向私营领域，冒充汽车文档管理机构或行政机构，发送伪造的电子收据。这些邮件不仅在视觉上高度仿冒，甚至附带了详细的联系方式和保密声明，欺骗性极强。
当受害者下载并解压附件中的 ZIP 文件后，木马会触发一个伪造的网页，模仿葡萄牙知名的互联网门户网站 SAPO，以消除受害者的戒备心理。随后，后台会静默执行 VBS 脚本，通过定时任务建立持久化机制，并与远程控制服务器（C2）建立连接。
技术手段与防御难点
从技术分析来看，Lampion 的核心特征在于其大量使用混淆技术，旨在绕过基础的安全检测。其最终载荷是一个动态链接库（DLL），充当远程访问木马（RAT）。
该木马具备以下核心威胁能力：
- 网页注入：在葡萄牙银行网站上植入虚假覆盖层，从而窃取用户的登录凭据。
- 信息窃取：收集受害者的机器详细信息、浏览器数据等，用于后续的深度渗透。
- 地理围栏：通过严格的地理位置限制，确保攻击流量仅针对葡萄牙及周边少数地区，降低在非目标区域被发现和分析的概率。
Solar 安全建议与经验
Lampion 的持续活跃提醒我们，防御的关键不在于追求所谓的“黑科技”，而在于对基础攻击路径的严加管控。
从我们的应急响应经验来看，针对此类基于邮件的攻击，企业应重点落实以下防御措施：
第一，加强邮件网关过滤与威胁情报联动。鉴于此类攻击高度依赖社交工程学，必须对包含压缩包附件的邮件进行严格的沙箱检测与静态分析。
第二，强化端点安全基线。Lampion 依赖于定时任务和 VBS 脚本进行持久化，企业应通过 EDR 工具监控异常的定时任务创建行为及脚本执行逻辑。
第三，提升员工安全意识。由于攻击者不断变换冒充对象，仅靠规则过滤往往存在漏网之鱼，针对财务、行政等敏感岗位的防钓鱼演练至关重要。
这一环节是很多企业容易忽视的——即当攻击者利用“语言优势”进行精准投送时，任何单一的防御手段都可能失效，必须构建纵深防御体系，确保在木马植入的每一个环节都能及时发现异常。
类似攻击近年来明显增加，这不仅是技术对抗，更是对企业运营稳健性的考验。如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com