事件背景：长达数月的持续性渗透
近期，威胁情报界披露了一起针对亚太及日本地区网络环境的长期间谍活动。攻击活动始于2025年9月，并持续至2026年4月。根据我们的监测与分析，此次行动与著名的APT组织Mustang Panda（也被称为Twill Typhoon、Earth Preta等）高度关联。
从我们的应急响应经验来看，此类针对特定地缘目标的长期渗透，往往具备极高的隐蔽性，攻击者通过伪装合法基础设施，在目标网络中潜伏数月甚至更久，旨在窃取敏感情报。
攻击链分析：伪装与侧加载的组合拳
此次攻击活动展现了极为成熟的战术素养。攻击者主要通过模仿知名内容分发网络（CDN）来掩盖流量，其核心攻击链采用了经典的DLL侧加载技术。
在实际操作中，受害主机通过伪装成Yahoo或Apple的基础设施域名，下载合法的可执行文件及其配套配置文件和恶意DLL。这一环节是很多企业容易忽视的，因为黑客利用了系统中自带的合法二进制文件（如vshost.exe、dfsvc.exe甚至搜狗输入法的biz_render.exe）来加载恶意DLL。由于这些程序本身是受信任的，传统的基于文件名的静态检测往往会失效。恶意代码在合法的宿主进程中运行，极大地降低了被发现的概率。
技术手法解析：升级后的FDMTP后门
本次攻击的核心载荷为FDMTP后门的升级版本（v3.2.5.1）。该后门通过自定义的Duplex Message Transport Protocol (DMTP)协议进行通信，具备强大的模块化扩展能力。
我们观察到该工具集成了四个核心插件：分别用于创建计划任务、实现注册表持久化、主框架的加载与驻留，以及远程文件检索与进程操纵。此外，攻击者通过HKCU下的注册表项以及每五分钟轮询一次的更新通道（如伪装的icloud-cdn域名），确保了后门的持久生存能力。
Solar应急响应建议
针对此类APT攻击，传统的基于单点指标（IOC）的防御手段已经捉襟见肘。基础设施的快速轮换和载荷的频繁迭代，使得静态黑名单几乎失效。
从我们的应急响应视角出发，我们建议企业采取以下措施：
第一，构建基于行为序列的检测模型。不要仅仅关注文件哈希或域名，重点关注“合法进程加载非预期DLL”、“计划任务与注册表异常修改”、“受信任进程出现异常网络连接”等行为链。
第二，强化对办公环境应用白名单的管控。正如本次案例中出现的输入法二进制文件被恶意利用，企业应定期审计终端的合法软件环境，识别潜在的侧加载风险点。
第三，加强出站流量的管控与分析。攻击者通过伪装CDN进行C2通信，企业应重点监控针对外部公共CDN地址的异常高频轮询行为，并结合行为分析进行阻断。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com