奇安信威胁情报中心

2024年中旬我们发现了南亚方向编号为UTG-Q-011的攻击集合，尽管该集合后续插件与CNC相差过大，但是其后门与CNC组织所使用的代码库相同，最终将UTG-Q-011当作CNC的子集来进行研究，本文最后会对其进行披露。

Ghostwriter使用Macropack混淆的Excel宏部署恶意软件；Lazarus Group疑似与14亿美元 Bybit 黑客攻击有关；UAC-0212对关键基础设施发动毁灭性的网络攻击；奇安信《网络安全威胁2024年度报告》

奇安信威胁情报中心近期发现肚脑虫组织利用PDF文档作为攻击活动的诱饵，通过多种攻击手法针对巴基斯坦、孟加拉国等南亚地区的国家。

多个俄APT组织滥用Signal秘密监视加密对话；APT-C-28（ScarCruft）组织利用无文件方式投递RokRat的攻击活动分析；Lazarus Group在针对开发人员的攻击中部署Marstech1 JavaScript植入程序

2025年2月，奇安信威胁情报中心发布《网络安全威胁2024年度报告》。报告内容涵盖高级持续性威胁（APT攻击）、勒索攻击、互联网黑产、漏洞利用等方面，并从地域空间的角度详细介绍了各地区的活跃 APT 组织及热点 APT 攻击事件。

近日我们发现所有直接或间接使用了bshare分析插件的网页都会受到影响。根据评估，恐怕会影响百万级别的网页。奇安信威胁情报中心在此提醒目前仍在使用bshare插件的用户，需要尽快更换或者停用bshare分享插件。

Sandworm在乌克兰部署恶意 Windows 激活程序；Cozy Bear从公司Office 365 电子邮件环境中窃取了惠普员工数据；与 Lazarus Group 活动相关的信息窃取恶意软件

APT37组织利用HWP文件攻击韩国多个组织；Kimsuky 组织使用 RDP Wrapper 发起攻击；Lazarus Group 利用复杂的 LinkedIn 招聘骗局针对加密钱包

Andariel攻击组织使用恶意文件执行RID劫持攻击；;UAC-0063组织对中亚及欧洲国家进行网络间谍攻击活动；Lazarus发起“Phantom Circuit”攻击活动针对加密货币和技术开发者

Operation（Giỗ Tổ Hùng Vương）hurricane：浅谈新海莲花组织在内存中的技战术；Lazarus 利用Electron程序瞄准加密货币行业；疑似APT29利用Sliver恶意软件攻击德国实体

迎接2025，体验焕新：ALPHA v8.0跨年版，邀您即刻启航！

奇安信威胁情报中心近期发现一个恶意ZIP压缩包，其中包含一个LNK文件，会触发powershell执行，创建一个EXE文件，该EXE通过计划任务实现持久化，与C2通信并窃取多种数据。根据分析关联到名为ZIZI Stealer的恶意软件

新海莲花组织最早出现于2022年中，2023年底转入不活跃状态，2024年11月重新活跃并被快速制止。文章分享了新海莲花组织在内存中的技战术分析，同时通过2024年3月的两波 0day 供应链事件，最终确认攻击者位于 UTC +7 时区。

Sticky Werewolf针对俄罗斯政府部门；近些年APT-C-60（伪猎者）组织使用的载荷分析；APT28针对哈萨克斯坦目标；Lazarus 利用LinkedIn针对日本组织攻击

“海莲花”组织在GitHub投毒进行攻击；EAGERBEE后门更新组件对中东地区展开攻击；韩国2024 年 12 月 APT 攻击威胁趋势报告

近期，我们发现一个未知 Windows 在野提权 Nday 漏洞样本，该漏洞样最早被上传时只有6个查杀。经过分析确认该漏洞应该是在八月的微软补丁中被修复，是一个被修复的未知nday利用。本文对该漏洞及漏洞样本进行了详细分析。

APT-C-26（Lazarus）组织使用武器化的IPMsg软件的攻击活动分析；Contagious Interview活动使用新的恶意软件OtterCookie；Paper Werewolf网络间谍组织渗透俄罗斯基础设施

Cloud Atlas 使用新工具进行攻击；发现 Charming Kitten 的 新 BellaCiao 变体；Lazarus 利用 CookiePlus 恶意软件攻击核工程师；APT29 利用 RDP 代理在 MiTM 攻击中窃取数据

Mask APT再次出现，针对拉丁美洲组织攻击；Bitter 利用 WmRAT 和 MiyaRAT 恶意软件攻击土耳其国防部门；APT-C-36持续针对哥伦比亚开展攻击活动；Gamaredon 在前苏联国家部署 Android 间谍软件

对最近两年捕获到的“银狐”相关攻击事件进行了分析和关联后，我们有了一些发现，本文将会对一个目前最活跃的使用“银狐”木马的黑产组织进行讨论，为了避免混淆，我们使用UTG-Q-1000来称呼这个黑产组织。