近期，全球网络安全环境呈现出“低门槛、高危害”的显著特征。从伪装软件供应链投毒到针对云环境的权限提升，攻击者正利用企业对数字身份和信任机制的盲点进行精准打击。Solar应急响应团队通过对近期多起安全事件的复盘，梳理出几类值得重点关注的攻击趋势。
供应链投毒与伪装攻击的常态化
供应链攻击已不再是“高级威胁”的代名词，反而成为黑产规模化获利的首选。近期，DAEMON Tools等知名软件的安装包被篡改，攻击者通过获取合法的代码签名证书，使得恶意二进制文件能够轻易绕过安全软件的签名检测。
从我们的应急响应经验来看，许多企业过于依赖“数字签名”作为安全凭证。事实上，攻击者利用合法证书进行签名，配合诱导性极强的伪装页面（如伪装成ChatGPT、Claude等热门工具），能够极大降低用户的防备心理。此外，针对Chrome扩展程序的污染（如WaSteal网络）也揭示了浏览器插件生态在企业办公环境中的隐形风险，这些插件往往在用户不知情的情况下窃取敏感业务数据。
身份安全防线的全面溃败
身份验证是当前防御体系中最薄弱的环节。近期观察到的Kali365等“钓鱼即服务”（PhaaS）平台，通过OAuth令牌捕获技术，实现了绕过MFA（多因素认证）的持久化访问。攻击者不再需要费力破解密码，只需诱导用户完成一次合法的设备登录授权，即可长期控制受害者的Microsoft 365办公环境。
这一环节是很多企业容易忽视的。当攻击者获取了OAuth令牌后，他们能够通过设置自动化的隐藏规则（如屏蔽安全通知邮件）来延长潜伏时间。与此同时，针对Google密码管理器（GPM）的“Vaultjacking”攻击手法，证明了即使是存储在云端的加密凭据库，在面对中间人攻击（AitM）获取PIN码后也可能面临整体泄露的风险。
云环境与终端防御的避战策略
在云原生架构中，权限配置的复杂性常被攻击者利用。例如，Azure Backup for AKS中存在的权限提升漏洞，允许仅拥有“备份贡献者”角色的用户直接获取集群管理权限。这种越权逻辑往往不依赖复杂的漏洞利用代码，而是利用了云服务组件之间默认信任的配置错误。
此外，在终端侧，攻击者开始利用NTFS挂载点构造递归路径（GhostTree技术），导致EDR扫描引擎在处理文件遍历时发生逻辑挂起，从而使恶意文件在扫描过程中处于“免检”状态。类似攻击近年来明显增加，攻击者通过破坏安全产品的底层扫描逻辑，规避实时防护。
Solar应急响应建议
面对上述威胁，企业应从“信任边界”转向“零信任架构”防御：
- 强化软件供应链管控：不仅要检查签名，更要关注软件来源的合规性。对于关键业务终端，应限制非企业审批的扩展程序和安装包运行。
- 升级身份验证策略：弃用传统的、易被劫持的MFA方式，推广基于硬件的FIDO2认证。针对OAuth应用授权进行严格的审计，定期清理不再使用的应用令牌。
- 动态配置审计：云环境的权限配置是脆弱的防线。建议定期执行权限最小化原则审计，特别是针对云服务组件之间的互信权限进行专项排查。
- 提升告警响应颗粒度：不要仅关注加密或外联行为，应关注异常的设备登录、邮箱规则自动修改等“低噪”但高危的行为特征。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com