近期，全球网络威胁态势持续演变，从针对特定基础设施的 watering hole 攻击到供应链投毒，恶意软件的传播与植入手段愈发隐蔽。作为长期奋战在一线的应急响应团队，Solar 整理了近期值得关注的威胁动向，并结合实际案例分享我们的分析观点。
多维度的攻击链演变
从我们的应急响应经验来看，攻击者正不断拓宽其投毒路径。近期观察到的案例中，不仅有通过伪造热门工具（如 CPU-Z、HWMonitor）进行的 watering hole 攻击，还有针对 WordPress 插件生态的供应链投毒——攻击者通过收购合法插件并植入后门，实现大范围的批量感染。这种“合法软件+恶意脚本”的组合，往往能轻松绕过常规的边界防护。
此外，针对特定区域的金融类威胁（如 JanelaRAT）以及将 Android 设备转化为住宅代理节点的僵尸网络（如 Mirax），显示出攻击者在移动端与金融领域的深度渗透意图。这一环节是很多企业容易忽视的，尤其是企业移动设备管理（MDM）策略缺失的环境中，极易成为内网渗透的跳板。
技术手法的深度伪装
在技术对抗层面，攻击者对免杀与隐藏能力的追求已达到新高度。例如，通过滥用 QEMU 环境逃避安全检测，利用 Obsidian 等合法协作工具部署 PhantomPulse RAT，以及利用带有合法签名的软件执行清理杀毒软件的脚本。
类似攻击近年来明显增加，攻击者不再依赖单一的病毒载荷，而是倾向于利用系统合规工具进行“离地攻击”（Living-off-the-Land）。这种手法要求我们的防御体系必须从单纯的特征库比对，转向基于行为模式的异常检测。
重点关注的威胁组织
针对医院、地方政府及无人机操作员的 UAC-0247 组织，展示了极强的行业针对性。通过对此类组织的追踪，我们发现其攻击链往往高度定制化，利用社会工程学结合漏洞利用，精准打击目标关键信息资产。对于此类高价值目标，构建全链路的日志审计与威胁情报关联是防御的关键。
Solar 应急响应建议
面对日趋复杂的威胁环境，Solar 建议企业从以下三个维度强化防御：
首先，针对供应链风险，必须对引入的所有第三方插件、库文件进行严格的安全性审计，切忌盲目更新。其次，加强对离地攻击的监测，重点关注 PowerShell、WMI、QEMU 等工具的调用行为，及时识别异常父子进程关系。最后，构建主动防御体系，利用 AI 辅助的自动化分析工具（如 LLM4CodeRE 等技术方向）提升逆向分析与威胁溯源效率，从而在威胁爆发初期即完成阻断。
安全不是一劳永逸的，而是持续对抗的过程。保持对前沿威胁的感知，并建立快速响应机制，是应对现代恶意软件的核心策略。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com