嘶吼

1 概述

安天CERT在2月5日发布了《攻击DeepSeek的相关僵尸网络样本分析》报告，分析了攻击中活跃的两个僵尸网络体系RapperBot和HailBot和其典型样本，分析了其与Mirai僵尸木马源代码泄漏的衍生关系。安天工程师依托特征工程机制，进一步对HailBot僵尸网络样本集合进行了更细粒度差异比对，在将样本向控制台输出的字符串作为分类标识条件的比对中，发现部分样本修改了早期样本的输出字符串“hail china mainland”，其中数量较多的两组分别修改为“you are now apart of hail cock botnet”和“I just wanna look after my cats, man.”。为区别这三组样本，我们将三组变种分别命名为HailBot.a、HailBot.b、HailBot.c，对三组样本的传播方式、解密算法、上线包、DDoS指令等进行相应的分析。其中也有将输出字符串修改为其他内容样本，但数量较少，未展开分析。

表 1‑1 HailBot三个变种之间的关系

HailBot.a

HailBot.b

HailBot.c

特殊字符串

hail china mainland

you are now apart of hail cock   botnet

I just wanna look after my cats,   man.

传播方式

CVE-2017-17215漏洞

CVE-2017-17215漏洞

CVE-2023-1389漏洞

破解攻击（账号密码数量45）

CVE-2017-17215漏洞

CVE-2023-1389漏洞

暴破攻击（账号密码数量96）

解密算法

ChaCha20算法

key：“16   1E 19 1B 11 1F 00 1D 04 1C 0E 08 0B 1A 12 07 05 09 0D 0F 06 0A 15 01 0C 14 1F   17 02 03 13 18”
  nonce：“1E 00 4A 00 00 00 00 00 00 00 00   00”

ChaCha20算法

key：“16   1E 19 1B 11 1F 00 1D 04 1C 0E 08 0B 1A 12 07 05 09 0D 0F 06 0A 15 01 0C 14 1F   17 02 03 13 18”
  nonce：“1E 00 4A 00 00 00 00 00 00 00 00   00”

ChaCha20算法

key：“5E   8D 2A 56 4F 33 C1 C9 72 5D F9 1D 01 6C 2F 0B 77 3D 81 94 58 40 63 0A 79 62 1F   80 5C 3E 16 04”
  nonce：“1E 00 4A 00 00 00 00 00 00 00 00   00”

上线包

31   73 13 93 04 83 32 01

大部分样本：56 63 34 86 90 69 21 01

少部分样本：31 73 13 93 04 83 32 01（与HailBot.a一致）

56   63 34 86 90 69 21 01

DDoS指令

8个指令，指令号0-7

15个指令，指令号0-14

10个指令，指令号0-7、11、14

2 样本分析

2.1 HailBot.a

HailBot.a，是其最早变种，由于其运行时向控制台输出“hail china mainland”，相关僵尸网络因此被命名为HailBot。本节内容与第一篇分析报告有部分内容重复，主要为了对比不同版本变种间的差异特点。

HailBot.a的样本信息如下表所示。

表 2‑1 HailBot.a典型样本标签

病毒名称

Trojan/Linux.Mirai[Backdoor]

MD5

2DFE4015D6269311DB6073085FD73D1B

处理器架构

ARM32

文件大小

74.78 KB (76,572 bytes)

文件格式

ELF 32-bit LSB   executable

加壳类型

无

编译语言

C/C++

2.1.1 传播方式

HailBot.a利用漏洞进行传播，其长期使用的CVE-2017-17215漏洞存在于特定版本路由器的UPnP（通用即插即用）服务中。攻击者可以通过发送特制的HTTP请求在目标设备执行任意代码。

图 2‑1 HailBot.a构造漏洞利用载荷

2.1.2 解密算法

HailBot.a运行后首先对域名进行解密，其解密操作采用了ChaCha20算法。key为“16 1E 19 1B 11 1F 00 1D 04 1C 0E 08 0B 1A 12 07 05 09 0D 0F 06 0A 15 01 0C 14 1F 17 02 03 13 18”，nonce为“1E 00 4A 00 00 00 00 00 00 00 00 00”。

图 2‑2 HailBot.a使用chacha20解密字符串

2.1.3 上线包

HailBot.a运行后发送上线数据包，内容为：“31 73 13 93 04 83 32 01”。

图 2‑3 HailBot.a发送上线数据包

2.1.4 DDoS指令

当接收到攻击者发送来的指令后，HailBot.a将根据不同指令执行对应的DDoS攻击。HailBot.a支持的DDoS指令如下表所示。

表 2‑2 HailBot.a支持的DDoS指令

指令号

功能

影响

0

TCP泛洪攻击

创建连接发送大量500至900字节的TCP请求消耗受害者网络带宽。

1

SSDP泛洪攻击

利用简单服务发现协议（SSDP）发送大量“发现消息”请求使受害者进行响应，消耗受害者内存和CPU资源。

2

GRE IP泛洪攻击

发送大量封装有IP网络数据包的GRE协议数据消耗受害者网络带宽。

3

SYN泛洪攻击

发送大量SYN数据包，使服务器创建具有大量处于半连接状态的请求，消耗系统内存和CPU资源。

4

UDP泛洪攻击（512字节）

发送大量512字节的UDP请求消耗受害者网络带宽。

5

UDP泛洪攻击（1024字节）

发送大量1024字节的UDP请求消耗受害者网络带宽。

6

TCP STOMP泛洪攻击

发送创建连接发送大量768字节数据消耗受害者网络带宽。

7

TCP ACK泛洪攻击

发送具有随机源端口、目的端口及数据等信息的ACK数据包消耗受害者网络带宽。

2.2  HailBot.b

HailBot.b同样是基于Mirai源代码二次开发的僵尸网络，输出的字符串为：“you are now apart of hail cock botnet”。

HailBot.b的典型样本信息如下表。

表 2‑3 HailBot.b典型样本标签

病毒名称

Trojan/Linux.Mirai[Backdoor]

MD5

BB9275394716C60D1941432C7085CA13

处理器架构

AMD64

文件大小

93.34 KB (95,576 bytes)

文件格式

ELF 64-bit LSB   executable

加壳类型

无

编译语言

C/C++

2.2.1 传播方式

HailBot.b同样利用了CVE-2017-17215漏洞进行传播。

图 2‑4 HailBot.b中的CVE-2017-17215漏洞利用载荷

部分样本有利用CVE-2023-1389漏洞进行传播。

此外，HailBot.b样本中还发现用于暴破攻击的用户名和密码，如下表所示。

表 2‑4HailBot.b暴破攻击使用的用户名和密码和对应产品服务

（表格内容基于DeepSeek整理输出，并做人工修订，特此说明）

用户名

密码

可能关联的服务/品牌/设备类型

leox

leolabs_7

Leox（显仕）设备或定制设备（如某些工控系统或私有网络设备）

root

wabjtam

可能为某些旧款路由器或摄像头（如中国小品牌设备）

telnetadmin

telnetadmin

某些网络设备（如交换机、路由器）的Telnet默认账户

admin

gpon

某些光纤终端设备（如中兴/华为GPON光猫）

admin

admin123

常见通用默认密码（常见于路由器、摄像头，如TP-Link、D-Link）

e8ehome

e8ehome

电信或联通部分光猫/路由器（上海贝尔光猫、中兴ZXV10 H618C路由器、ZXA10 F460光猫）

default

default

部分设备通用默认配置（如某些旧款路由器或IoT设备）

root

root

部分设备和服务通用默认密码

default

OxhlwSG8

可能为特定品牌设备（如某些企业级交换机或防火墙）

root

hme12345

海康威视（Hikvision）相关设备（如部分摄像头或NVR）

admin

aquario

可能为Aquario品牌设备（如温控系统或工控设备）

root

Zte521

中兴（ZTE）光纤调制解调器或路由器

root

1234

通用默认密码

root

antslq

可能为安防设备（如某些国产摄像头品牌）

default

tlJwpbo6

复杂密码可能用于企业级设备（如防火墙或服务器）

root

default

网络设备（如某些交换机的默认配置）

admin

1988

可能为某些摄像头或DVR（如年份相关默认密码）

adtec

adtec

Adtec品牌设备（如监控系统或广播设备）

root

hkipc2016

海康威视（Hikvision）IPC摄像头

admin

hme12345

海康威视（Hikvision）或关联设备

hikvision

hikvision

海康威视（Hikvision）设备的默认账户

root

login!@#123

企业级设备（如服务器或高端路由器）

telecomadmin

admintelecom

电信运营商设备（如华为/中兴光猫）

telnetadmin

HI0605v1

可能为Hikvision（HI）设备的Telnet登录

admin

qwaszx

通用简单密码（常见于低端路由器或IoT设备）

support

support

技术支持账户（如服务器或网络设备）

root

5up

极简密码可能用于测试设备或嵌入式系统

root

a

未知

root

icatch99

使用iCatch芯片的摄像头（如某些国产摄像头品牌）

Admin

a

未知

Admin

Admin

通用管理员密码

root

adminpassword

通用管理员密码（如某些新型路由器）

root

vizxv

不确定，可能为某品牌定制设备

root

unisheen

可能为UniSheen品牌设备（如摄像头或工控设备）

root

a1sev5y7c39k

复杂密码可能用于企业级设备（如防火墙或VPN设备）

root

cxlinux

基于Linux的嵌入式设备（如某些工控系统）

root

sr1234

可能为监控设备（如某些DVR或NVR）

root

neworang

新橙科技（NewOrange）摄像头或物联网设备

root

neworange88888888

新橙科技（NewOrange）摄像头或物联网设备

root

neworangetech

新橙科技（NewOrange）摄像头或物联网设备

root

oelinux123

Linux系统或嵌入式设备的默认凭证

root

hslwificam

HSL品牌WiFi摄像头

root

jvbzd

不确定，可能为某小众品牌设备

admin

stdONU101

光纤网络单元（ONU）设备（如标准配置的光猫或运营商设备）

admin

stdONUi0i

光纤网络单元（ONU）设备（如标准配置的光猫或运营商设备）

2.2.2 解密算法

HailBot.b的域名解密算法与HailBot.a相同，均为ChaCha20。且解密使用的key、nonce也与HailBot.a相同。其中：解密使用的key为“16 1E 19 1B 11 1F 00 1D 04 1C 0E 08 0B 1A 12 07 05 09 0D 0F 06 0A 15 01 0C 14 1F 17 02 03 13 18”，nonce为“1E 00 4A 00 00 00 00 00 00 00 00 00”。

图 2‑5 ChaCha20算法的key和nonce

2.2.3 上线包

HailBot.b样本中，大部分样本的上线包保持一致，均为：“56 63 34 86 90 69 21 01”。少部分样本（如MD5：F0E951D1ACFDF78E741B808AB6AB9628）的上线包与HailBot.a相同，为“31 73 13 93 04 83 32 01”。

图 2‑6 发送上线数据包

2.2.4 DDoS指令

HailBot.b相较HailBot.a支持的DDoS指令有所增多。HailBot.b支持的DDoS指令如下表所示。

表 2‑5 HailBot.b支持的DDoS指令

指令号

功能

影响

0

TCP泛洪攻击

通过创建连接发送大量512字节的TCP请求消耗受害者网络带宽。

1

UDP泛洪攻击（512字节）

通过大量512字节的UDP请求消耗受害者网络带宽，不具备异常处理。

2

GRE IP泛洪攻击

通过大量封装有IP网络数据包的GRE协议数据消耗受害者网络带宽。

3

SYN泛洪攻击

通过发送大量SYN数据包，使服务器创建具有大量处于半连接状态的请求，消耗系统内存和CPU资源。

4

UDP泛洪攻击（512字节）

通过大量512字节的UDP请求消耗受害者网络带宽。

5

UDP泛洪攻击（1024字节）

通过大量1024字节的UDP请求消耗受害者网络带宽。

6

TCP STOMP泛洪攻击

通过创建连接发送大量768字节具有ACK和PSH标记的TCP数据消耗受害者网络带宽。

7

TCP   ACK泛洪攻击

通过发送具有随机源端口、目的端口及数据等信息的ACK数据包消耗受害者网络带宽。

8

无

该指令未被实现

9

Unknow_1

未知格式的TCP报文

10

TCP ACK泛洪攻击

通过发送具有特定源端口、目的端口及数据等信息的ACK数据包消耗受害者网络带宽。

11

UDP泛洪攻击

随机发送100到1312字节的UDP包数据包消耗受害者网络带宽，该数据包以“HDR:”以尝试规避防火墙检测。

12

Unknow_2

未知格式的UDP报文

13

TCP   STOMP泛洪攻击

通过发送大量1至71字节具有ACK和PSH标记的TCP数据消耗受害者网络带宽。

14

Unknow_3

通过发送大量长度为0的UDP数据包

2.3 HailBot.c

HailBot.c同样是基于Mirai源代码二次开发的僵尸网络，新版本输出的字符串为：“I just wanna look after my cats, man.”。

表 2‑6 HailBot.c典型样本标签

病毒名称

Trojan/Linux.Mirai[Backdoor]

MD5

64ED4E5B07610D80539A7C6B9EF171AA

处理器架构

ARM32

文件大小

66.55 KB (68,148 bytes)

文件格式

ELF 32-bit LSB   executable

加壳类型

无

编译语言

C/C++

2.3.1 传播方式

该样本同样利用CVE-2023-1389漏洞和CVE-2017-17215漏洞进行传播。其中CVE-2023-1389漏洞是前导文件进行传播，而CVE-2017-17215漏洞则是写入样本自身中。

HailBot.c同样使用暴破的方式进行传播。用于暴破攻击的用户名和密码相较HailBot.b有所增加，如下表所示。

表 2‑7HailBot.c暴破攻击使用的用户名和密码

（表格内容基于DeepSeek整理输出，并做人工修订，特此说明）

用户名

密码

可能关联的服务/品牌/设备类型

root

Pon521

ZTE 路由器（部分型号默认密码）

root

Zte521

ZTE   路由器（常见于中兴光猫/路由器）

root

root621

未知（可能为特定厂商定制设备）

root

vizxv

未知（可能为摄像头或IoT设备）

root

oelinux123

未知（可能与嵌入式Linux设备相关）

root

root

通用默认（Linux设备、路由器、摄像头等）

root

wabjtam

未知

root

Zxic521

ZTE   路由器（猜测为早期中兴设备默认密码格式）

root

tsgoingon

未知

root

123456

多种设备通用默认配置（常见于低安全性设备）

root

xc3511

未知

root

solokey

未知

root

default

通用默认密码（部分IoT设备默认密码）

root

a1sev5y7c39k

未知（可能为随机生成或特定设备密钥）

root

hkipc2016

海康威视（Hikvision）摄像头（HKIPC为常见前缀）

root

unisheen

未知

root

Fireitup

未知（可能为定制固件密码）

root

hslwificam

未知（可能为WiFi摄像头品牌）

root

5up

未知

root

jvbzd

未知

root

1001chin

未知

root

system

通用默认密码（部分工控设备或服务器）

root

zlxx.

未知

root

admin

通用默认密码（路由器、交换机等）

root

7ujMko0vizxv

未知（可能与特定固件或定制设备相关）

root

1234horses

未知

root

antslq

未知

root

xc12345

未知（可能与摄像头芯片相关）

root

xmhdipc

未知（可能为摄像头型号缩写）

root

icatch99

iCatch   摄像头（部分型号默认密码）

root

founder88

未知（可能为定制设备密码）

root

xirtam

未知（可能为逆向拼写"matrix"变体）

root

taZz@01

未知

root

/*6.=_ja

未知

root

12345

常见通用默认密码（路由器、摄像头等）

root

t0talc0ntr0l4!

未知

root

7ujMko0admin

未知

root

telecomadmin

电信设备（如光猫管理员账户）

root

ipcam_rt5350

RT5350芯片摄像头（联发科方案IP摄像头）

root

juantech

未知（可能为JuanTech品牌设备）

root

1234

常见通用默认密码（低安全设备）

root

dreambox

Dreambox卫星接收器（部分型号默认密码）

root

IPCam@sw

网络摄像头（通用默认或特定品牌）

root

zhongxing

中兴（Zhongxing）设备

root

hi3518

海思Hi3518芯片摄像头（常见于安防设备）

root

hg2x0

未知（可能与华为HG系列光猫相关）

root

dropper

未知（可能为恶意软件后门密码）

root

ipc71a

网络摄像头（型号相关）

root

root123

通用默认密码（扩展型默认密码）

root

telnet

通用默认密码（Telnet服务默认凭据）

root

ipcam

网络摄像头（通用默认）

root

grouter

未知（可能为路由器品牌缩写）

root

GM8182

未知（可能为设备型号）

root

20080826

未知（可能为日期相关密码）

root

3ep5w2u

未知

admin

root

通用默认密码（部分设备反向凭据）

admin

admin

通用默认密码（路由器、摄像头等）

admin

admin123

通用默认密码（扩展型默认密码）

admin

1234

通用默认密码（低安全设备）

admin

admin1234

通用默认密码（扩展型默认密码）

admin

12345

通用默认密码（常见于消费级设备）

admin

admin@123

通用默认密码（带符号变体）

admin

BrAhMoS@15

未知（可能为定制密码）

admin

GeNeXiS@19

未知（可能为定制密码）

admin

firetide

Firetide无线网络设备（默认密码）

admin

2601hx

未知

admin

service

通用默认密码（服务账户）

admin

password

通用默认密码（广泛用于各类设备）

supportadmin

supportadmin

通用默认密码（技术支持账户）

telnetadmin

telnetadmin

通用默认密码（Telnet管理账户）

telecomadmin

admintelecom

电信设备（如光猫超级管理员账户）

guest

guest

通用默认密码（访客账户）

ftp

ftp

通用默认密码（FTP服务匿名访问）

user

user

通用默认密码（普通用户账户）

guest

12345

通用默认密码（访客账户扩展密码）

nobody

nobody

通用默认密码（系统账户）

daemon

daemon

通用默认密码（系统账户）

default

1cDuLJ7c

未知

default

tlJwpbo6

未知

default

S2fGqNFs

未知

default

OxhlwSG8

未知

default

12345

通用默认密码（设备恢复默认设置密码）

default

default

通用默认（默认账户密码）

default

lJwpbo6

未知

default

tluafed

未知（可能为“default”逆向拼写）

guest

123456

通用默认密码（访客账户扩展密码）

bin

bin

通用默认密码（Linux系统账户）

vstarcam2015

20150602

威视达康（Vstarcam）摄像头（型号相关默认密码）

support

support

通用默认（技术支持账户）

hikvision

hikvision

海康威视（Hikvision）设备（默认密码）

default

antslq

未知

e8ehomeasb

e8ehomeasb

电信部分光猫（上海贝尔E8-C）

e8ehome

e8ehome

电信或联通部分光猫/路由器（上海贝尔光猫、中兴ZXV10 H618C路由器、ZXA10 F460光猫等默认密码）

e8telnet

e8telnet

部分电信路由器或光猫（如华为HG8245、中兴F660等）的Telnet登录用户名和密码

support

1234

通用默认密码（技术支持账户简化密码）

cisco

cisco

思科（Cisco）设备（旧型号默认密码）

2.3.2 解密算法

HailBot.c的域名解密算法与HailBot.a相同，均为ChaCha20。ChaCha20解密使用的nonce亦相同，为“1E 00 4A 00 00 00 00 00 00 00 00 00”。

其中：HailBot.c在利用ChaCha20解密时使用的key与HailBot.a有所不同，为“5E 8D 2A 56 4F 33 C1 C9 72 5D F9 1D 01 6C 2F 0B 77 3D 81 94 58 40 63 0A 79 62 1F 80 5C 3E 16 04”。

图 2‑7 ChaCha20算法的key和nonce

此外，对于解密得到的域名，HailBot.c与HailBot..b存在部分域名重叠的情况。

2.3.3 上线包

HailBot.c样本的上线包为：“56 63 34 86 90 69 21 01”，如下图所示。

图 2‑8 HailBot.c样本的上线包

2.3.4 DDoS指令

HailBot.c相较HailBot.a支持的DDoS指令有所增多，HailBot.c支持的DDoS指令如下表所示。

表 2‑8HailBot.c支持的DDoS指令

指令号

功能

影响

0

TCP泛洪攻击

通过创建连接发送大量512字节的TCP请求消耗受害者网络带宽。

1

UDP泛洪攻击（512字节）

通过大量512字节的UDP请求消耗受害者网络带宽，不具备异常处理。

2

GRE IP泛洪攻击

通过大量封装有IP网络数据包的GRE协议数据消耗受害者网络带宽。

3

SYN泛洪攻击

通过发送大量SYN数据包，使服务器创建具有大量处于半连接状态的请求，消耗系统内存和CPU资源。

4

UDP泛洪攻击（512字节）

通过大量512字节的UDP请求消耗受害者网络带宽。

5

UDP泛洪攻击（1024字节）

通过大量1024字节的UDP请求消耗受害者网络带宽。

6

TCP STOMP泛洪攻击

通过创建连接发送大量768字节具有ACK和PSH标记的TCP数据消耗受害者网络带宽。

7

TCP   ACK泛洪攻击

通过发送具有随机源端口、目的端口及数据等信息的ACK数据包消耗受害者网络带宽。

11

UDP泛洪攻击

随机发送100到1312字节的UDP包数据包消耗受害者网络带宽，但不再以“HDR：”开头。

14

Unknow

通过发送大量长度为0的UDP数据包

3 其他信息、分析关联与总结

3.1 样本分析的汇总结论

HailBot.b、HailBot.c均为HailBot.a的变种，但存有差异变化。在自动化传播方式方面，HailBot.a与HailBot.b、HailBot.c都利用了CVE-2017-17215漏洞。而HailBot.b、HailBot.c都利用常见用户名口令档进行暴破攻击的方式进行传播；在解密算法方面，HailBot的三个变种都采用了ChaCha20算法。HailBot.a与HailBot.b解密使用的key相同，HailBot.c对解密使用的key进行了更新；在上线数据包方面，HailBot.b、HailBot.c相较HailBot.a有所更新。在DDoS攻击支持的指令方面，HailBot.b、HailBot.c相较HailBot.a支持的指令数有所增加，且HailBot.b与HailBot.c支持的指令亦有所不同。

3.2 样本的新的漏洞投放方式

B变种和C变种通过CVE-2023-1389漏洞植入部分目标设备，该漏洞是一个影响TP-Link Archer AX21（AX1800）路由器的高危命令注入漏洞，该漏洞存在于路由器的Web管理界面中。攻击者可以通过未经过身份验证的简单POST请求注入恶意命令，这些命令将以root权限执行，达到远程代码执行的目的。

图 3‑1 安天监测到的利用CVE-2023-1389漏洞传播的流量数据

3.3 样本的密码档对比

值得对比关注的是B变种和C变种的密码档对比，B变种密码档记录有45条，C变种有96条，但两个密码档重叠部分只有24条。其中除了对部分常见默认密码的延续使用，其中部分密码似乎并非设备默认口令，而且是存在一定强度的口令。可以猜测的是部分企业或运营商在规模化部署网络或IoT设备中，为了方便，对设备采取了统一的密码设置。而相关密码被攻击者获取后，配置在密码档中，就可以扩散感染到所有采取对应策略的部署设备中。但对于两个僵尸网络间的密码档继承逻辑，还可以进一步关注分析。

图 3‑2 HailBot.b、HailBot.c密码档的重复内容

3.4 样本的生命周期和分支关系

安天CERT针对“赛博超脑”平台中三个变种样本和活动时间进行对比，梳理出相关样本的活跃时间如下图所示。由于HailBot.b比较清晰的呈现出与HailBot.a时间接力特点，可以猜测B变种，有可能是对A变种的一次整体版本更新。

图 3‑3三个版本活跃时间的对比

但C变种和B变种对比，利用的漏洞相似，但有更大的密码档（但未呈现完整的密码档继承关系），攻击指令编码基本相同。因此，C变种是最新的变种。

4 小结：关于样本检测分析和僵尸网络分析

威胁样本的精确检测能力是威胁防御的基本能力，样本的细粒度分析是攻击分析的基础工作。

但在本次分析工作中显现的问题是：我们的引擎输出了类似“Trojan/Linux.Mirai[Backdoor]”这样严格遵循CARO公约的精确命名，对于支撑僵尸网络的细粒度分析，提供的区分度依然是不够的。反病毒引擎是面向恶意执行体对象的检测能力，从威胁情报层次来看，这是在Payload/Tools层面的情报支撑，正因为存在大量的样本版本更新、加密、免杀、变换等情况，反病毒引擎从设计上，必然要遏制规则膨胀，而需要以更小的代价和规则命中更多的同家族样本。这时我们在AVL SDK反病毒引擎中添加了大量的脱壳、解密、虚拟执行等机制，以增强检测的鲁棒性。因此在有新的变化样本时，只要反病毒引擎可以正常检测告警，我们通常不会添加新规则、更不会针对调整样本命名。这个基本上是反病毒企业的惯例，例如HailBot.a相关样本在国家计算机病毒协同分析平台（https://virus.cverc.org.cn/#/entirety/search）中的多家对照命名均为Mirai：

图 4‑1国家计算机病毒协同分析平台对HailBot.a样本检测对照

僵尸网络分析工作中，样本分析是其中重要的一部分工作，而且是一个“收敛点”，但僵尸网络的完整分析和跟踪，还需要做出更多的细粒度的工作。包括C2、上线数据、攻击指令等分析等等，以及对僵尸网络分布、规模的分析评估，而归因与溯源则需要掌握更多资源、付出更大的成本。

相关分析也再次证明，政企防御僵尸网络感染的前提，是做好简单枯燥的基本功，包括更改默认口令、为不同的设备和服务配置不同的口令、及时更新系统和设备补丁。

本次分析工作的值得纪念之处，是我们在大模型技术和平台辅助下，分析针对大模型平台攻击的恶意样本。我们用自研的澜砥威胁分析垂直大模型辅助特征工程体系，实现了更方便的样本分类、聚类和特征（含表征）发现，DeepSeek在我们整理密码档对应的设备方面，帮我们可以快速的从硬编码信息输出数据汇总表（当然还需要逐一查证）和快速进行密码档间的比对。我们正在将DeepSeek与我们的样本集成分析环境进行整合。因此我们感谢大模型技术，可以更多替代重复和基本推理。让我们做进行更有价值的深源知识和价值创造。

附录：部分IoC

表 4‑1 Hash

MD5

6C6D1CCCE5946F0AA68F9E0C438C1E21

2DFE4015D6269311DB6073085FD73D1B

BB9275394716C60D1941432C7085CA13

F0E951D1ACFDF78E741B808AB6AB9628

A155F5812EA93DDEA553EA84CE28400D

5 参考链接

[1] 安天.攻击DeepSeek的相关僵尸网络样本分析.(2025-02-05)

https://mp.weixin.qq.com/s/NvlVuA5urPG_r6attAiXsA

1 概述

勒索攻击目前已成为全球组织机构主要的网络安全威胁之一，被攻击者作为牟取非法经济利益的犯罪工具。为了增加受害方支付勒索赎金的概率并提升赎金金额，攻击者已从单纯的恶意加密数据演变为采用“窃取文件+加密数据”的双重勒索策略。更有甚者，在双重勒索的基础上，增加DDoS攻击以及骚扰与受害方有关的第三方等手段，进一步演变为“多重勒索”。近年来，勒索攻击的主流威胁形态已从勒索团伙广泛传播勒索软件收取赎金，逐渐转化为“RaaS（勒索软件即服务）+定向攻击”收取高额赎金的模式。这种模式针对高价值目标，RaaS的附属成员通过购买0Day漏洞、研发高级恶意代码、收买企业内鬼和情报等手段，提高突防能力并提升勒索载荷落地成功率。这种“定向勒索+窃密+曝光+售卖”的组合链条，通过胁迫受害者支付赎金从而实现获利。为有效应对勒索风险，防御者需要改变对勒索攻击这一威胁的认知，并且更深入地了解定向勒索攻击的运行机理，才能构建有效的敌情想定，针对性的改善防御和响应能力。

2024年中，勒索攻击事件频繁发生，攻击者通过广撒网式的非定向模式和有针对性的定向模式开展勒索攻击。勒索攻击持续活跃的因素之一是RaaS商业模式的不断更新。RaaS是勒索攻击组织开发和运营的基础设施，包括定制的破坏性勒索软件、窃密组件、勒索话术和收费通道等。各种攻击组织和个人可以租用RaaS攻击基础设施，完成攻击后与RaaS组织按比例分赃。这一商业模式的兴起和成熟，使得勒索攻击的门槛大幅降低，攻击者甚至无需勒索软件开发技能，也能对目标进行定向攻击。另一重要因素是初始访问经纪人（Initial Access Broker, IAB）的助纣为虐。IAB通过售卖有效访问凭证给攻击者实现非法获利，而无需亲自进行攻击。攻击者利用这些凭证，对特定目标进行有针对性的勒索攻击，建立初始访问后展开后续恶意活动，最终实现对目标的勒索行为。

据不完全统计，2024年中至少有90个不同名称的勒索攻击组织通过Tor网站或Telegram频道等特定信息源发布受害者信息。其中，新增的50个勒索攻击组织中，有21个与已知组织存在联系。这些组织发布的受害者信息涉及约5300个来自全球不同国家或地区的组织机构，覆盖多个行业。然而，实际受害者数量可能远超这一数字，因为某些情况下，攻击者可能基于多种原因选择不公开或删除信息，例如在与受害者达成协议后，或受害者支付赎金以换取信息的移除。

相关勒索软件及勒索攻击组织信息参考计算机病毒百科（https://www.virusview.net/）。

表 1‑1 2024年发布受害者信息的组织

2024年曾发布受害方信息的勒索攻击组织（按首字母排序）

0mega

8Base

Abyss

Akira

Apos

APT73

Arcus Media

Argonauts

BianLian

Black Basta

BlackByte

BlackCat/ALPHV

BlackSuit

BlackOut

BlueBox

Brain   Cipher

Cactus

Chort

Cicada3301

Ciphbit

Cloak

Clop

Cuba

DaiXin

dan0n

Dark   Angel/Dunghill

Dark Vault

Donex

Donut

DragonForce

El   dorado

Embargo

Everest

FSociety

Fog

Gookie

HellCat

Helldown

Hunters

INC

Insane

InterLock

Kairos

Kill Security

Knight

LockBit

Lynx

Mad Liberator

Lorenz

Mallox

Medusa

MedusaLocker

Meow

Metaencryptor

Money Message

Monti

Mydata

Nitrogen

Noname

Orca

Play

PlayBoy

Pryx

QiLin

QiuLong

RA   World

RansomCortex

RansomEXX

RansomHouse

RansomHub

Red

Rhysida

SafePay

SEXi（APT   INC）

Sarcoma

Sensayq

Slug

Snatch

SpaceBears

Stormous

Termite

ThreeAM(3AM)

Trigona

Trinity

Trisec

Underground

Unsafe

Valencia

Vanir Group

WereWolves

目前，勒索攻击的主流威胁形式已经演变为RaaS+定向攻击收取高额赎金的运行模式。全球范围内，制造、医疗、建筑、能源、金融和公共管理等行业频繁成为勒索攻击的目标，给全球产业产值造成严重损失。现将2024年活跃勒索梳理形成攻击组织概览，进行分享。

2 勒索攻击行为分类

2024年活跃的勒索攻击行为主要有以下三类：

·加密文件

采用此类勒索攻击方式的攻击者会使用勒索软件执行体对数据文件进行加密，执行体通过特定加密算法（如AES、RSA、ChaCha20和Salsa20等）组合利用对文件进行加密，大多数被加密文件在未得到对应密钥的解密工具时，暂时无法解密，只有少部分受害文件因勒索软件执行体存在算法逻辑错误而得以解密。

·窃取文件

采用此类勒索攻击方式的攻击者不使用勒索软件执行体对数据文件进行加密，仅在目标系统内驻留并窃取数据文件，窃密完成后通知受害者文件被窃取，如不按期支付勒索赎金，则会公开或出售窃取到的数据文件，给予受害者压力，从而迫使受害者尽早支付赎金。

·窃取文件+加密文件（双重勒索）

采用此类勒索攻击方式的攻击者发动勒索攻击前，会在目标系统内驻留一段时间，在此期间窃取数据文件，在窃取工作完成后会投放勒索软件执行体，加密系统中的文件，并通知受害者文件被窃取，如不按期支付勒索赎金，不仅现有网络环境中的文件因被加密而无法使用，而且还会公开或出售窃取到的数据文件，给予受害者压力，从而迫使受害者尽早支付赎金。

3 2024年活跃勒索攻击组织盘点

回顾2024年发生的勒索软件攻击事件，根据攻击活跃度和受害者信息发布数量，对活跃的勒索攻击组织进行盘点。盘点按组织名称的首字母进行排序，排名不分先后。

表 1‑2 2024年活跃勒索组织概览

3.1 8Base

8Base勒索软件于2022年3月首次被发现，其勒索软件代码基于Phobos勒索软件开发。该勒索软件背后的攻击组织采用RaaS和双重勒索的模式运营，疑似为RansomHouse勒索攻击组织的分支或品牌重塑。该组织主要通过漏洞武器化、有效访问凭证和搭载其他恶意软件等方式对目标系统进行突防，常利用SmokeLoader木马实现对目标系统的初始访问。在建立与目标系统的初始访问后，该组织利用多种工具作为攻击装备以实现其他恶意行为。例如，利用Mimikatz、LaZagne、VNCPassView等工具窃取系统中的凭据，利用PsExec实现横向移动，利用Rclone回传窃取到的数据。目前暂未发现公开的解密工具。

2024年，8Base受害者信息发布及数据泄露平台发布约150名受害者信息，实际受害者数量可能更多。

3.1.1 组织概览

3.2 Akira

Akira[1]勒索软件被发现于2023年3月，其背后的攻击组织通过RaaS和双重勒索的模式运营该勒索软件，以RaaS模式经营和勒索赎金分成等方式实现非法获利，勒索赎金分别为用于解密被加密文件和删除被窃取的数据两部分。该勒索攻击组织主要通过有效访问凭证、未配置多重身份验证（MFA）的VPN账户和漏洞武器化等方式对目标系统突防，曾利用思科VPN相关漏洞（CVE-2023-20269）实现对目标系统的初始访问。在建立与目标系统初始访问后，利用多种工具作为攻击装备以实现其他恶意行为，例如使用AnyDesk远程控制计算机和传输文件，使用PowerTool关闭与杀毒软件有关的进程，使用PCHunter、Masscan和AdFind获取特定信息，使用Mimikatz窃取凭证，使用Rclone和FileZilla回传窃取到的数据等行为。

Akira具备针对Windows、Linux和VMware等目标系统的勒索软件。除了“窃密+加密”的行为，还存在只窃密不加密的模式，在完成对受害系统数据窃取后，攻击者选择不投放勒索软件，而是通过窃取到的数据威胁受害者进行勒索。国外安全厂商Avast发现Akira勒索软件存在漏洞[2]，并于2023年6月29日发布了解密工具，但该工具只适用于6月29日前的Akira勒索软件执行体版本，因为Akira勒索软件开发人员在此后修复了漏洞。Akira勒索攻击组织与之前退出勒索软件市场的Conti勒索攻击组织疑似存在关联，体现在勒索软件执行体的部分代码段和加密数字货币钱包地址等方面。

2024年，Akira受害者信息发布及数据泄露平台发布约310名受害者信息和窃取到的数据，实际受害者数量可能更多。

3.2.1 组织概览

3.3 Black Basta

Black Basta勒索软件被发现于2022年4月，其背后的攻击组织通过RaaS和双重勒索的模式运营该勒索软件，由于Black Basta所使用的每个勒索软件执行体都硬编码一个唯一的识别码，故猜测该组织仅采用定向模式开展勒索攻击活动。该勒索攻击组织主要通过有效访问凭证、搭载其他恶意软件和漏洞武器化等方式对目标系统突防。该组织成员在地下论坛发帖寻求组织机构的网络访问凭证，曾利用QBot木马和PrintNightmare相关漏洞CVE-2021-34527实现对目标系统的初始访问。在建立与目标系统初始访问后，利用多种工具作为攻击装备以实现其他恶意行为，例如使用AnyConnect和TeamViewer建立远程连接，使用PsExec执行命令，使用Netcat进行扫描，使用Mimikatz转储凭证，使用Rclone回传窃取到的数据等恶意行为。2023年12月，国外网络安全研究机构Security Research发布一个名为“Black Basta Buster”的解密工具[3]，用于恢复被Black Basta勒索软件加密的文件，但该工具仅适用于2022年11月至2023年12月期间的部分勒索软件变种版本。

Black Basta勒索攻击组织与之前退出勒索软件市场的BlackMatter和Conti勒索攻击组织疑似存在关联，体现在勒索软件执行体部分代码段，受害者信息发布及数据泄露站点设计风格，通信方式和勒索谈判话术等方面。故猜测Black Basta勒索攻击组织可能是BlackMatter和Conti勒索软件组织的分支或品牌重塑。2024年，Black Basta受害者信息发布及数据泄露平台发布约190名受害者信息，实际受害者数量可能更多。

3.3.1 组织概览

3.4 BlackSuit

BlackSuit勒索软件于2023年5月首次被发现，其背后的攻击组织采用双重勒索策略进行运营。该组织具有较为复杂的身份背景，被认为是Royal勒索软件的品牌重塑。Royal是由Zeon组织更名而来，而Zeon疑似由Conti组织的原成员参与建设。Conti组织因源代码泄露等因素而解散，Conti组织被认为是Ryuk的继承者，层层关系错综复杂。目前尚未发现BlackSuit组织通过RaaS模式招收附属成员。BlackSuit具备针对Windows、Linux和VMware等目标系统的勒索软件。该组织主要通过漏洞武器化、有效访问凭证以及搭载其他恶意软件（如SystemBC和GootLoader）等方式对目标系统进行渗透。在建立与目标系统的初始访问后，利用多种工具作为攻击装备以实现其他恶意行为。例如，使用AnyDesk、LogMeIn、AteraAgent等工具远程控制计算机和传输文件，使用Mimikatz和Nirsoft窃取系统中的凭证，使用Rclone回传窃取到的数据。目前暂未发现公开的解密工具。

2024年，BlackSuit受害者信息发布及数据泄露平台发布约150名受害者信息，实际受害者数量可能更多。

3.4.1 组织概览

3.5 Hunters

Hunters（又名Hunters International）勒索软件于2023年10月首次被发现，其背后的攻击组织采用RaaS和双重勒索的模式运营该勒索软件。该组织所使用的勒索软件代码在技术架构和操作策略上与已被执法机构查处的Hive组织存在高度相似性。这种相似性使得安全研究人员怀疑Hunters可能是Hive的分支或品牌重塑。然而，Hunters组织否认与Hive有直接关系，声称他们只是购买了Hive的源代码和网络基础设施，并在此基础上使用Rust语言进行了优化，创建了一个独立的品牌。Hunters组织主要通过漏洞武器化、有效访问凭证和搭载其他恶意软件等方式对目标系统进行突防。该组织常利用伪装成Angry IP Scanner网络扫描器的SharpRhino木马实现对目标系统的初始访问。在建立与目标系统的初始访问后，利用多种工具作为攻击装备以实现其他恶意行为。使用Plink、AnyDesk、TeamViewer等工具远程控制计算机、传输文件和横向移动，将窃取到的数据传输到MEGA云平台。目前暂未发现公开的解密工具。

2024年，Hunters受害者信息发布及数据泄露平台发布约230名受害者信息，实际受害者数量可能更多。

3.5.1 组织概览

3.6 INC

INC勒索软件于2023年7月首次被发现，其背后的攻击组织采用双重勒索策略进行运营。该勒索攻击组织主要通过漏洞武器化、有效访问凭证以及搭载其他恶意软件等方式对目标系统进行突防，常利用NetScaler产品漏洞CVE-2023-3519。在建立与目标系统的初始访问后，利用多种工具作为攻击装备以实现其他恶意行为。例如，使用AnyDesk、TightVNC、PuTTY等工具实现远程控制、传输工具和横向移动，使用NetScan、Advanced IP Scanner、Mimikatz等工具实现网络扫描和凭证窃取，将窃取到的数据传输到MEGA云平台。目前暂未发现公开的解密工具。

2024年3月，INC组织在黑客论坛上出售其勒索软件和网络基础设施的源代码，售价为30万美元，并将潜在买家的数量限制为三人。7月，新出现的Lynx勒索攻击组织所使用的勒索软件和用于勒索攻击的网络基础设施与INC组织较为相似，后续Lynx组织声明是购买了INC组织的源代码。2024年，INC受害者信息发布及数据泄露平台发布约160名受害者信息，实际受害者数量可能更多。

3.6.1 组织概览

3.7 LockBit

LockBit勒索软件[4]于2019年9月首次被发现，初期因其加密后的文件名后缀为.abcd，而被称为ABCD勒索软件。其背后的攻击组织通过RaaS和多重勒索的模式运营该勒索软件，主要通过RaaS和勒索赎金分成获利，使用该勒索软件的威胁行为体在非定向和定向模式下开展勒索攻击。该组织在2021年6月发布了勒索软件2.0版本，增加了删除磁盘卷影和日志文件的功能，同时发布专属数据窃取工具StealBit，采用“威胁曝光（出售）企业数据+加密数据”双重勒索策略。2021年8月，该组织的攻击基础设施频谱增加了对DDoS攻击的支持。2022年6月勒索软件更新至3.0版本，由于3.0版本的部分代码与BlackMatter勒索软件代码重叠，因此LockBit 3.0又被称为LockBit Black，这反映出不同勒索攻击组织间可能存在的人员流动、能力交换等情况。2024年2月20日，多国执法机构联合开展的“Cronos行动”成功对LockBit勒索攻击组织造成打击，执法机构接管了该组织用于攻击的网络基础设施，并为受害者提供用于解密的密钥。此次行动并未将LockBit组织彻底剿灭，该组织在沉寂一段时间后再次开始勒索攻击活动，并于2024年12月19日宣布计划在2025年2月推出LockBit 4.0版本。LockBit组织主要通过有效访问凭证、漏洞武器化和搭载其他恶意软件等方式实现对目标系统的初始访问。目前暂未发现公开的解密工具。

2023年10月，波音公司被LockBit勒索攻击组织列为受害者，安天CERT从攻击过程还原、攻击工具清单梳理、勒索样本机理、攻击致效后的多方反应、损失评估、过程可视化复盘等方面开展了分析工作，并针对事件中暴露的防御侧问题、RaaS+定向勒索的模式进行了解析，并提出了防御和治理方面的建议[5]。2024年，LockBit受害者信息发布及数据泄露平台发布约520名受害者信息和窃取到的数据，实际受害者数量可能更多。

3.7.1 组织概览

3.8 Medusa

Medusa勒索软件于2021年6月首次被发现，与2019年出现的MedusaLocker勒索软件无关。该组织主要通过漏洞武器化、有效访问凭证和远程桌面协议（RDP）暴力破解等方式对目标系统突防。曾利用Fortinet相关漏洞（CVE-2023-48788）实现对目标系统的初始访问。在建立与目标系统初始访问后，利用多种工具作为攻击装备以实现其他恶意行为。例如，使用ConnectWise、PDQ Deploy、AnyDesk等工具远程控制计算机和传输文件，使用NetScan扫描发现其他可攻击目标。目前暂未发现公开的解密工具。

2024年，其受害者信息发布及数据泄露平台留有已发布的约210名受害者信息，实际受害者数量可能更多。

3.8.1 组织概览

3.9 Play

Play（又称PlayCrypt）勒索软件[6]于2022年6月首次被发现，其背后的攻击组织通过双重勒索的模式运营该勒索软件，并声称不通过RaaS模式运营，使用该勒索软件的攻击者在非定向和定向模式下开展勒索攻击。该勒索攻击组织主要通过有效访问凭证和漏洞武器化等方式对目标系统进行突防，曾利用Fortinet（CVE-2018-13379、CVE-2020-12812）和Microsoft Exchange Server（CVE-2022-41040、CVE-2022-41082）相关漏洞实现对目标系统的初始访问。在建立与目标系统的初始访问后，利用多种工具作为攻击装备以实现其他恶意行为。例如，使用AdFind发现Active Directory相关信息，使用Grixba窃取特定信息，使用GMER、IObit、PowerTool等工具禁用杀毒软件和删除日志文件，使用SystemBC实现横向移动，使用Mimikatz窃取系统中的凭证，使用WinRAR打包要窃取的文件并通过WinSCP回传。目前暂未发现公开的解密工具。

Play勒索攻击组织疑似与Conti、Royal、Hive和Nokoyawa勒索攻击组织存在关联，体现在用于攻击的基础设施和勒索攻击活动中所使用的技战术等方面。2024年，其受害者信息发布及数据泄露平台留有已发布的约350名受害者信息，实际受害者数量可能更多。

3.9.1  组织概览

3.10 RansomHub

RansomHub勒索软件[7]于2024年2月首次被发现，其背后的攻击组织通过RaaS和双重勒索的模式运营该勒索软件，该勒索攻击组织主要通过漏洞武器化、有效访问凭证和搭载其他恶意软件等方式对目标系统进行突防。在建立与目标系统的初始访问后，利用多种工具作为攻击装备以实现其他恶意行为。曾利用Confluence（CVE-2023-22515）、Citrix（CVE-2023-3519）、Fortinet（CVE-2023-27997）相关漏洞实现对目标系统的初始访问。成功访问后创建用户账户实现持久化，利用EDRKillShifter禁用并关闭安全防护工具，后续利用Angry IP Scanner、Nmap、NetScan等工具扫描发现其他可攻击目标，利用Mimikatz、LaZagne等工具收集系统中的凭据，利用PsExec、AnyDesk、Connectwise等工具实现远程访问和横向移动，利用PuTTY、Rclone等工具回传窃取到的数据。目前暂未发现公开的解密工具。

RansomHub勒索攻击组织使用的勒索软件载荷和技战术与Knight组织有相似之处，疑似为Knight组织的品牌重塑或继承者。2024年，RansomHub受害者信息发布及数据泄露平台发布约530名受害者信息，实际受害者数量可能更多。

3.10.1 组织概览

总结

尽管各国执法机构不断加强对勒索攻击组织的打击力度，但勒索事件的数量却仍在呈现上升趋势。导致勒索攻击活跃度不降反增的因素众多：攻击者能够快速利用新漏洞，远程办公的脆弱性增加，新技术的应用为勒索软件提供了更多攻击机会；IAB通过售卖访问凭证获利，攻击者利用这些凭证实施定向攻击；人工智能技术的发展既增强了防御能力，也被攻击者用于提高攻击效率；勒索攻击组织之间的技战术互相利用，以及供应链式勒索攻击事件频发，都使得受害者数量不断增加。面对日益严峻的勒索攻击形势，尽管各国执法机构和网络安全机构已采取诸多措施加强防御和打击力度，但勒索攻击的复杂性和多样性仍给全球网络安全带来了巨大挑战。

为有效应对勒索风险，防御者需要改变对勒索攻击这一威胁的认知，并且更深入地了解定向勒索攻击的运行机理，才能构建有效的敌情想定，针对性的改善防御和响应能力。安天曾在波音遭遇勒索攻击事件分析复盘报告[5]中提出——“正确的认知是有效改善防御能力的基础”。目前国内对勒索攻击的防范，往往还停留在原有的勒索软件的阶段，还有许多人没有意识到勒索攻击已经是由持续定向入侵、窃取数据、加密数据瘫痪系统、勒索金钱、挖掘数据关联价值二次利用、贩卖数据、向监管机构举报、公开窃取数据所构成的一条价值侵害链，而且已经形成了一个规模极为庞大的犯罪产业。在这样的背景下，遭遇勒索攻击的风险已经不是简单的以数据损失和业务暂停为后果的形态，而是要付出失窃的所有数据均会被贩卖、公开等一系列的连锁风险。

面对攻击者体系化的攻击作业方式，防御者应建立体系化的防御机制和运营策略去应对勒索攻击威胁。针对体系性的攻击，必须坚持关口前移，向前部署，构成纵深，闭环运营。提升攻击者火力侦察和进展到外围地带的发现能力，降低攻击方进入到核心地带的可能性。提升网络和资产可管理性是工作的基础：主动塑造和加固安全环境、强化暴露面和可攻击面的约束和管理、强化对供应链上游入口的管控、启动全面的日志审计分析和监测运行。构建从拓扑到系统侧的防御纵深，针对攻击者探测、投放、漏洞利用、代码运行、持久化、横向移动等行为展开层层设防，特别要建设好主机系统侧防护，将其作为最后一道防线和防御基石，构建围绕执行体识别管控的细粒度治理能力。最终通过基于防御体系实现感知、干扰、阻断定向攻击杀伤链的实战运行效果。

参考链接

[1]安天.疑似使用定向攻击模式的Akira勒索软件分析 [R/OL].（2023-05-30）

https://www.antiy.cn/research/notice&report/research_report/Akira_Ransomware_Analysis.html

[2] Avast. Decrypted: Akira Ransomware [R/OL].（2023-06-29）

https://decoded.avast.io/threatresearch/decrypted-akira-ransomware/

[3]Security Research Lab. Black Basta Buster [R/OL].（2023-12-30）

https://github.com/srlabs/black-basta-buster

[4]安天. LockBit勒索软件样本分析及针对定向勒索的防御思考 [R/OL].（2023-11-17）

https://www.antiy.cn/research/notice&report/research_report/LockBit.html

[5]安天.波音遭遇勒索攻击事件分析复盘——定向勒索的威胁趋势分析与防御思考 [R/OL].（2023-12-30）

https://www.antiy.cn/research/notice&report/research_report/BoeingReport.html

[6]安天.PLAY勒索软件分析[R/OL].（2023-10-20）

https://www.antiy.cn/research/notice&report/research_report/PlayCrypt_Analysis.html

[7]安天.活跃的RansomHub勒索攻击组织情况分析[R/OL].（2024-09-12）

https://www.antiy.cn/research/notice&report/research_report/RansomHub_Analysis.html

近日，国产AI大模型DeepSeek（深度求索）一经推出，凭借其卓越的性能在全球范围内引发了广泛关注，与此同时也成为了不法分子聚焦的目标。安天移动安全团队通过国家计算机病毒应急处理中心的协同分析平台，发现了一批假冒DeepSeek的恶意应用程序。针对这一情况，安天移动安全团队迅速展开了深入分析和关联拓展，揭示了这些恶意应用的潜在威胁，并采取了相应的防护措施，为用户安全使用国产AI产品保驾护航。

1．样本基本特征对比

仿冒应用程序名、图标与正版应用别无二致，普通用户难以分辨真假。

2．样本详细分析

1# 动态分析

恶意应用运行后直接提示更新，点击后会直接弹出安装同名恶意子包弹框请求。

诱导用户请求启用无障碍服务。

程序名、图标和正版基本一致，且可以同时安装于同一设备中。

与官方正版应用比较，恶意样本运行后的界面如下，直接访问的DeepSeek的官网。

正版DeepSeek应用如下，可以看到需要登录后才能正常使用，运行界面也不一致。

2# 静态分析

该恶意应用使用了一些对抗手段来对抗逆向分析工具，增加分析难度，逃避安全检测，具体如下：

样本通过工具创建同名文件夹，对抗分析工具。

使用伪加密修改zip文件数据的方式让工具误认为存在密码。

使用整体自定义壳进行加固处理。

使用类名、变量名混淆来增加分析难度。

使用动态加载的方式加载恶意子包。

子包功能详细分析：

其关键指令解析如下：

主要信息获取行为如下：
1、获取短信信息。

2、获取通讯录。

3、发送短信。

4、获取应用安装列表。

5、获取cookie。

6、通过无障碍服务监控用户的点击、输入等行为。

7、窃取google验证码。

8、VNC屏幕监控。

9、通过激活设备管理器和无障碍服务防卸载。

3# 网址信息服务器网址如下：

3．历史溯源

根据分析恶意木马的服务器指令特征，发现该木马与历史家族Trojan/Android.Coper的指令基本一致，如下图所示（左图为该木马，右图为Trojan/Android.Coper家族样本）。

该木马家族作为长期活跃的恶意攻击威胁，于2021年7月被首次披露，安天病毒百科已经收录了该家族样本，见https://www.virusview.net/malware/Trojan/Android/Coper。该木马初期以伪装成哥伦比亚官方金融应用“Bancolombia Personas”进行传播，后续逐步扩展伪装对象至Chrome浏览器、Google Play应用商店、McAfee安全软件及DHL Mobile等全球知名应用。其攻击链通过仿冒合法程序诱导用户下载并执行恶意代码，进而实现敏感数据窃取，包括但不限于短信内容、通讯录信息及主流社交/金融应用的账户凭据，最终对受害者构成隐私泄露与资金安全的双重威胁。

4．分析总结

经综合分析，该恶意样本采用多层伪装机制，其主程序仿冒为DeepSeek官方应用，通过诱导性展示目标官网界面降低用户警惕性。在运行阶段，样本通过动态代码加载技术隐蔽加载恶意子包，并建立与C&C服务器的加密通信信道。恶意模块具备多维度数据窃取能力，包括：1、隐私窃取模块（短信/联系人/应用列表等）；2、界面监控模块（滥用无障碍服务权限实施屏幕内容抓取）；3、指令执行模块（支持远程指令解析，实现功能动态扩展）。攻击链中特别采用界面伪装与恶意行为分离机制，有效规避基础安全检测，最终导致用户敏感信息泄露及设备控制权限沦陷。

安天威胁情报中心已通过实时威胁狩猎系统完成覆盖该家族全量样本的检测规则部署，并联动移动终端防护体系实现安装阻断，为防范AI技术滥用场景下的新型网络威胁提供主动防御支撑。

（相关链接：

https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=E1FF086B629CE744A7C8DBE6F3DB0F68）

5．防护建议

1、建议从官方网站、各大手机厂商应用平台下载正版应用。

2、对与请求无障碍服务和激活设备管理器的行为提高警惕，不轻易授予相关权限。

3、在手机设置中关闭"允许安装未知来源应用"的选项。

4、定期在设置-应用管理中查看近期安装的陌生程序。

5、对设备电量异常消耗的情况予以关注。

6、养成定期使用手机管家等具有杀毒功能应用的使用习惯，及时查杀病毒。

6．关联样本

银行间谍木马：

除此之外，通过内部大数据关联分析发现，近期除了上面提到的银行木马外，还存在其他冒用DeepSeek名义从事诈骗活动的情况，如下为部分关联样本信息：

一场名为“StaryDobry”的大规模恶意软件活动以破解游戏《Garry’s Mod， BeamNG》的木马版本为目标，攻击全球玩家。

这些游戏都是Steam上拥有数十万“绝对正面”评价的顶级游戏，因此它们很容易成为恶意活动的目标。

值得注意的是，据报道，在2024年6月，一个带花边的光束模型被用作迪士尼黑客攻击的初始访问向量。

根据卡巴斯基的说法，StaryDobry活动始于2024年12月下旬，结束于2025年1月27日。它主要影响来自德国、俄罗斯、巴西、白俄罗斯和哈萨克斯坦的用户。

攻击者在2024年9月提前几个月将受感染的游戏安装程序上传到torrent网站，并在假期期间触发游戏中的有效载荷，从而降低了检测的可能性。

StaryDobry活动时间表

StaryDobry感染链

StaryDobry活动使用了一个多阶段感染链，最终以XMRig加密程序感染告终。用户从种子网站下载了木马化的游戏安装程序，这些程序看起来都很正常。

活动中使用的恶意种子之一

在游戏安装过程中，恶意软件卸载程序（unrar.dll）被解包并在后台启动，在继续之前，它会检查它是否在虚拟机，沙箱或调试器上运行。

恶意软件表现出高度规避行为，如果它检测到任何安全工具，立即终止，可能是为了避免损害声誉。

Anti-debug检查

接下来，恶意软件使用‘regsvr32.exe’进行持久化注册，并收集详细的系统信息，包括操作系统版本、国家、CPU、 RAM和GPU详细信息，并将其发送到pinokino[.]fun的命令和控制（C2）服务器。

最终，dropper解密并将恶意软件加载程序（MTX64.exe）安装在系统目录中。

加载程序冒充Windows系统文件，进行资源欺骗，使其看起来是合法的，并创建一个计划任务，在重新启动之间持久化。如果主机至少有8个CPU内核，它将下载并运行XMRig挖掘器。

StaryDobry中使用的XMRig挖掘器是Monero挖掘器的修改版本，它在执行之前在内部构造其配置，并且不访问参数。

矿工始终维护一个单独的线程，监视在受感染的机器上运行的安全工具，如果检测到任何进程监视工具，它将关闭自己。

这些攻击中使用的XMRig连接到私有挖矿服务器，而不是公共矿池，这使得收益更难追踪。

卡巴斯基无法将这些攻击归因于任何已知的威胁组织。StaryDobry往往是一个一次性的活动。为了植入矿工，攻击者通常会实施一个复杂的执行链，利用寻求免费游戏的用户。这种方法可以帮助威胁者能够维持采矿活动的强大游戏机，最大限度地利用了矿工植入物。

CISA 和 FBI 表示，部署“幽灵”勒索软件的攻击者已入侵了来自 70 多个国家多个行业领域的受害者，其中包括关键基础设施组织。

受影响的其他行业包括医疗保健、政府、教育、科技、制造业以及众多中小型企业。

CISA、FBI 以及 MS-ISAC 联合发布的一份咨询报告称：“自 2021 年初开始，幽灵黑客开始攻击那些互联网服务所运行的软件和固件版本过时的受害者。”目前，这种对存在漏洞的网络不加区分的攻击已导致全球 70 多个国家的组织受到侵害。

幽灵勒索软件的运营者经常更换其恶意软件可执行文件，更改加密文件的扩展名，修改勒索信的内容，并使用多个电子邮件地址进行勒索沟通，导致该组织的归属很难被及时确定。

与该组织有关联的名称包括 Ghost、Cring、Crypt3r、 Phantom、 Strike、 Hello、 Wickrme、HsHarada、和 Rapture。其攻击中使用的勒索软件样本包括“Cring.exe”“Ghost.exe”“ ElysiumO.exe” 和“Locker.exe”。

这个以盈利为目的的勒索软件团伙利用公开可获取的代码来攻击存在安全漏洞的服务器。他们针对的是 Fortinet（CVE-2018-13379）、ColdFusion（CVE-2010-2861、CVE-2009-3960）和 Exchange（CVE-2021-34473、CVE-2021-34523、CVE-2021-31207）中未修补的漏洞。

为防范幽灵勒索软件攻击，建议网络防御人员采取以下措施：

1.定期和异地备份不能被勒索软件加密的系统；

2.尽快修补操作系统、软件和固件漏洞；

3.重点关注幽灵勒索软件针对的安全漏洞（即CVE-2018-13379、CVE-2010-2861、CVE-2009-3960、CVE-2021-34473、CVE-2021-34523、CVE-2021-31207）；

4.分割网络以限制受感染设备的横向移动；

5.对所有特权帐户和电子邮件服务帐户实施防网络钓鱼的多因素身份验证（MFA）。

Amigo_A和Swisscom的CSIRT团队在2021年初首次发现Ghost勒索软件后，他们的运营商就开始投放定制的Mimikatz样本，然后是CobaltStrike信标，并使用合法的Windows CertUtil证书管理器部署勒索软件有效载荷，以绕过安全软件。

除了在Ghost勒索软件攻击中被用于初始访问之外，国家支持的黑客组织还扫描了易受攻击的Fortinet SSL VPN设备，并针对CVE-2018-13379漏洞进行了攻击。

攻击者还滥用了同样的安全漏洞，破坏了可以通过互联网访问的美国选举支持系统。

Fortinet在2019年8月、2020年7月、2020年11月和2021年4月多次警告客户，要针对CVE-2018-13379给SSL VPN设备打补丁。

CISA、FBI和MS-ISAC本周发布的联合咨询报告还包括妥协指标（ioc）、战术、技术和程序（TTPs），以及与FBI调查期间发现的幽灵勒索软件活动相关的检测方法（最近在2025年1月）。

一种新的JavaScript混淆方法利用不可见的Unicode字符来表示二进制值，在针对美国政治行动委员会（PAC）附属机构的网络钓鱼攻击中被积极滥用。

发现此次攻击的网络威胁实验室报告称，该攻击发生在2025年1月初，并带有复杂的迹象，例如使用了：

·针对受害者提供个性化的非公开信息；

·调试器断点和定时检查以逃避检测；

·递归包装邮戳跟踪链接到模糊的最终网络钓鱼目的地。

JavaScript开发人员在2024年10月首次披露了这种混淆技术，它在实际攻击中的迅速采用凸显了新研究被武器化的速度。

使JS有效负载“不可见”

新的混淆技术利用不可见的Unicode字符，特别是韩文半宽（U+FFA0）和韩文全宽（U+3164）。

JavaScript负载中的每个ASCII字符被转换为8位二进制表示，其中的二进制值（1和0）被不可见的韩文字符替换。

混淆后的代码作为属性存储在JavaScript对象中，由于韩文填充字符呈现为空白，因此脚本中的有效负载看起来为空，如下图末尾的空白所示。

隐藏恶意代码的空白

一个简短的引导脚本使用JavaScript代理的“get（）陷阱”检索隐藏的有效负载。当访问hidden属性时，Proxy将不可见的韩文填充字符转换回二进制并重建原始JavaScript代码。

Juniper分析师报告称，攻击者除了上述步骤之外，还使用了额外的隐藏步骤，比如用base64编码脚本，并使用反调试检查来逃避分析。

韩文填充字符序列的Base64编码

Juniper解释说：“攻击是高度个性化的，包括非公开信息，最初的JavaScript会在被分析时试图调用调试器断点，检测到延迟，然后通过重定向到一个正常的网站来中止攻击。”

这种攻击很难检测，因为空白减少了安全扫描仪将其标记为恶意的可能性。

由于有效负载只是对象中的一个属性，因此可以将其注入合法脚本而不会引起怀疑；另外，整个编码过程很容易实现，不需要高级知识。

Juniper表示，此次活动中使用的两个域名先前与Tycoon 2FA网络钓鱼工具包有关。如果是这样，我们很可能会看到这种不可见的混淆方法在未来被更广泛的攻击者采用。

zklend 官方承认遭到黑客攻击，威胁者利用智能合约中 mint() 函数的舍入错误漏洞盗取了 3600 个以太币，价值约 950 万美元。

zkLend 是一个建立在 Starknet 上的去中心化货币市场协议，Starknet 是以太坊的二层扩容解决方案，它使用户能够存入、借入和贷出各种资产。据了解，攻击者将“lending_accumulator”操纵为非常大的数值 4.069297906051644020，然后利用 ztoken mint() 和 withdraw() 过程中的舍入误差，反复存入 4.069297906051644021 wstETH，每次获得 2 个 wei，再取出 4.069297906051644020×1.5 - 1 = 6.103946859077466029 wstETH，每次仅花费 1 个 wei。

开发 Starknet 网络的 Starkware 确认，该漏洞并非 Starknet 技术本身的问题，而是某个应用程序特有的错误。

据 Cyvers 称，威胁者试图通过 RailGun 隐私协议清洗加密货币，但因协议政策而被阻止。

zkLend现已向黑客发出消息，称如果他们归还被盗以太坊的90%资金到以太坊地址：0xCf31e1b97790afD681723fA1398c5eAd9f69B98C，即3300 ETH后，他们可以保留另外10%的资金作为白帽赏金，并且不会对攻击承担任何责任。

目前zkLend 正在与安全公司和执法部门合作。如果在2025年2月14日前没有收到威胁分子的消息，该公司将继续采取下一步措施进行跟踪和起诉。目前，黑客还没有任何回应，这属网络攻击中的常见情况。

近日，深圳市福田区推出AI数智员工，“AI公务员上岗”迅速成为关注焦点。这一现象的背后，不仅是人工智能大模型技术的日趋成熟，更标志着政务大模型应用将为政务服务与管理带来全新的变革与机遇。国投智能董事长滕达认为，国家大力培育“数字公务员”，是推动政府数字化转型迈向纵深，政府用大模型可以创建公务员的思维克隆体——数字人，让每个公务员拥有第二大脑，提升行政效率。

当前，由国投智能自主研发的美亚“天擎”公共安全大模型、Qiko 大模型创新应用平台等持续释放人工智能“新质生产力”，赋能政府业务效率的显著提升，开拓创新应用场景，尤其是随着Qiko平台成功接入DeepSeek服务后，整体交互体验进一步得到优化，为用户提供更智能、更精准的服务。

国投智能大模型技术和产品已率先在政务领域开展推广试用，覆盖政务办公、应急管理、政务服务、气象服务等多个场景，精准契合政府多元业务场景需求，一起来了解一下！

场景一

政务办公：智能赋能，铸就高效便捷新体验

办公助手

办公助手可提供个性化、精准的智能问答服务，涵盖政策解读、流程指导、工单申请、个人假期余额查询等高频办公场景。

以往，当工作人员想要了解最新的人才引进政策细节时，可能需要花费大量时间在文件库中查找或者向多个部门咨询。

现在，通过办公助手只需输入关键词，就能快速获取详细且准确的政策解读和办理流程。

会议纪要助手

会议纪要助手可提供会议语音智能化处理服务，能够自动生成结构清晰、内容完整的会议纪要。

以往，在政府部门会议中，由于参会人员众多，讨论内容丰富，整理会议纪要耗时耗力，还可能出现疏漏。

现在，通过会议纪要助手可迅速将会议中的发言内容转化为文字，并自动整理总结、建议待办等要点，形成一份条理清晰的会议纪要，大大节省了时间和精力。

智能翻译助手

智能翻译助手能够快速将文本转换为用户指定的目标语言，为用户提供更流畅、更专业的翻译结果。

以往，当政府部门与国外机构进行合作交流时，可能需要将大量的文件资料翻译成外文，这一过程耗时费力且可能成本高昂。

现在，通过智能翻译助手，工作人员只需将报告内容输入，选择目标语言，短时间内就能得到准确的翻译文本，提高对外沟通效率。

场景二

应急救援：智慧驱动，守护生命财产安全防线

应急指挥调度助手

应急指挥调度助手高度整合了各应急业务应用系统能力，能够在各类突发事件的应对场景中，为指挥中心工作人员提供高效的调度支撑服务。

以往，在面对突发自然灾害时，工作人员获取现场情况、发送指令以及统计数据等工作往往需要在不同的系统界面上进行操作，较为繁琐且效率较低。

现在，通过使用语音轻松唤醒助手，即可迅速调取受灾区域的实时监控视频，了解现场情况。同时，还可直接利用助手向救援队伍发送救援指令短信，实时统计受灾区域待转移人数等数据指标，极大地提升了应急处置的效率。

城市安全视觉大模型助手

城市安全视觉大模型助手可动态解析视频监控内容，针对人员区域入侵、安全生产违规作业、城市内涝积水等场景，智能识别并判断风险隐患及违规操作，精准锁定潜在风险。

以往，在台风天气来临时，人工监控手段可能无法及时发现危险行为，

现在，借助智能助手对监控视频的即时分析，可迅速识别海边的行人，并依据当前的恶劣天气条件，精准评估其行为是否构成安全隐患。一旦发现危险行为，系统会即刻向管理人员发送预警信息，使得管理人员能够迅速采取行动，劝离海滩上的游客，从而大幅度降低安全事故的发生概率。

消防救援助手

消防救援助手具备意图理解、知识提炼、问题解答、内容衍生等一体化专业问答能力，能够为用户提供专业的消防知识问答服务。

以往，在传统的火情研判场景中，如某处综合体发生火灾并需开展火情研判工作时，消防员要制定出科学合理的救援策略，需要耗费大量时间和精力去综合分析各种信息。

现在，通过使用消防救援助手，根据消防员详细描述现场情况，助手便能迅速结合知识库内容、参考历史实战案例，在短时间内快速制定出救援指挥策略，为保障人员生命财产安全提供有力支撑。

应急知识助手

应急知识助手依托AI技术构建专业化知识体系，深度融合应急领域知识，能够为突发事件处置提供智能化决策支持。

以往，针对化学品泄漏事故场景，传统模式下救援人员需依赖经验判断或耗时查阅资料，导致难以迅速获得精确有效的处置方案。

现在，通过应急知识助手进行智能语义分析，可即时解析事故特征，自动匹配危化品属性、处置要点及环境影响等关键信息，辅助救援人员高效制定行动方案，显著提升事故处置的科学性与时效性，最大限度降低事故损失与次生风险。

场景三

政务服务：智能相伴，贴心为民彰显服务温度

智问智办助手

智问智办助手能够为公众、申报企业提供24小时在线咨询服务。

以往，当公众或企业对审批流程、所需材料、办理时限等存在咨询需求时，采用传统的线上咨询，更多的是进行简单的关键词搜索或固定的问答模式，但检索的信息有限，且缺乏智能的分析与推荐能力。

现在，通过智问智办助手，利用语义理解，能迅速分析识别用户意图，精准解答各类问题，还可依据用户的具体需求，智能自动推荐相匹配的业务办理流程，提供涵盖全步骤的办事指南，助力用户高效办事。

智能预审助手

智能预审助手可为企业提供立项用地、施工许可及竣工验收等业务的材料预审服务，快速分析企业提交的材料内容是否合规。

以往，如企业在办理立项用地申请时，因材料不规范或缺失可能导致审批流程延误，需多次提交材料补充完善。

现在，智能预审助手能够基于规范标准库，自动比对材料内容，精准识别缺失或不规范项，实时反馈修改建议，帮助企业一次性完成材料准备，显著提升审批效率，减少因材料问题导致的流程延误。

场景四

气象服务：智能生成，确保信息规范准确

气象信息内参助手

气象信息内参助手专为气象播报工作打造，为其提供标准化的信息生成服务。

以往，在气象播报准备过程中，工作人员需整合分析温度、降水、风力等多维度数据，手动编制气象信息内参文件，效率较低。

现在，气象信息内参助手能够快速解析气象数据，按照规范要求生成结构清晰、内容精准的播报文本，确保信息输出的专业性与时效性，显著提升气象播报准备工作效率。

下一步，国投智能将在政务领域持续深耕，不断探索与拓宽大模型技术在政务场景的应用范畴，为推动构建更为智能化、高效化、利民化的政务服务生态系统注入强劲动能。

依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络产品安全漏洞管理规定》等法律法规，按照工业和信息化部工作部署要求，国家监管机构持续开展APP隐私合规和网络数据安全专项整治。

梆梆安全推出《安全隐私合规监管趋势报告》，持续跟进国家监管机构通报数据，并依据近期监管支撑发现存在隐私合规类问题的APP数据，从APP行业分类及隐私合规问题进行分类说明，帮助企业更好的完成APP隐私合规建设。

最新监管通报动态

1月15日，浙江通管局依据相关法律法规，持续开展APP侵害用户权益治理工作，组织第三方检测机构对群众关注的网上购物、网络社区、问诊挂号等类型APP进行检查，仍有7款App未完成整改，上述APP应限期完成整改，逾期未整改，浙江通管局将视情采取下架、关停、行政处罚等措施。

1月20日，山东通管局依据相关法律法规，持续开展APP侵害用户权益专项整治工作，常态化组织专业机构对省内各类APP进行合规性检测，对违规APP书面要求限期整改，截至目前，尚有15款APP未按要求完成整改（2025年第1批），上述APP应限期完成整改，逾期未整改，山东通管局将视情采取下架、关停、行政处罚等措施。

1月20日，山东通管局依据相关法律法规，对前期（2024年第9批）通报的43款APP进行复测，仍有2款APP逾期未完成整改，山东通管局决定对上述APP予以下架处置（2025年第1批）。

1月21日，贵州通管局依据相关法律法规，持续开展APP侵害用户权益专项整治行动，截至通报规定时限，经复检，尚有6款APP未按照要求完成整改，贵州通管局决定对上述APP予以下架（2024年第4批）。

1月26日，四川和重庆通管局依据相关法律法规，组织第三方检测机构对川渝两地主流应用商店移动互联网应用程序(APP)进行了检查，截至目前，仍有10款APP和3款微信小程序未按要求完成整改（2025年第一期），上述APP/小程序应限期完成整改，逾期未整改，四川和重庆通通管局依法依规进行处置。

1月26日，北京通管局依据相关法律法规，持续开展APP隐私合规和网络数据安全专项整治，持续开展APP隐私合规和网络数据安全专项整治，通过抽测发现部分APP存在“违反必要原则收集个人信息”“未明示收集使用个人信息的目的、方式和范围”等问题，截至目前，尚有12款App未按要求完成整改，现予以公开通报（2025年第一期）。

2月8日，安徽通管局依据相关法律法规，对省内APP进行了拨测检查，检测共发现14款APP存在问题（2025第1批），截至规定整改期限，尚有5款APP未按照要求完成整改，上述APP应限期完成整改，逾期未整改，安徽通管局将依法依规采取下一步处置措施。

2月14日，广东通管局依据相关法律法规，持续开展APP隐私合规和数据安全专项整治行动，发出《违法违规APP处置通知》责令APP运营者限期整改，截至目前，仍有11款APP和1款小程序未完成整改，上述APP/小程序应限期完成整改，逾期未整改，广东通管局将依法依规采取下一步处置措施。

2月14日，陕西通管局依据相关法律法规，持续开展APP侵害用户权益专项整治行动，组织第三方检测机构对陕西属地APP进行检查，截至目前，尚有1款APP未按照要求完成整改，上述APP应限期完成整改，逾期未整改，陕西通管局将依法处置。

2月19日，网信办依据相关法律法规，针对广大人民群众反映强烈的App未公开收集使用规则、未按法律规定提供删除或更正个人信息功能等问题，检测共发现80款APP和2款微信小程序存在问题，且多数问题均为“无用户注销功能、未提供有效的用户账户注销功能”。

监管支撑汇总

1.梆梆监管支撑数据

依据近两周监管支撑发现存在隐私合规类问题的APP数据，从APP行业分类及TOP5问题数据两方面来说明。

1）问题行业TOP5：

在线影音、投资理财、本地生活、网上购物、学习教育。

2）隐私合规问题TOP5：

TOP1：在申请打开可收集个人信息的权限，或申请收集用户身份证号、银行账户、行踪轨迹等个人敏感信息时，未同步告知用户其目的，或者目的不明确、难以理解；

TOP2：征得用户同意前就开始收集个人信息或打开可收集个人信息的权限；

TOP3：未逐一列举出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围；

TOP4：实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围；

TOP5：收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关。

2.国家监管数据分析

针对国家近两周监管通报数据，依据问题类型，统计涉及APP数量如下：

问题分类

问题数量

无用户账号注销功能

65

违规收集个人信息

45

APP强制、频繁、过度索取权限

21

超范围收集个人信息

14

 违规使用个人信息

10

未公开收集使用规则

9

为用户账号注销设置不合理条件

8

 APP频繁自启动或关联启动

7

用户账号注销承诺时限超出15个工作日

5

未经用户同意收集使用个人信息

5

违反必要原则收集个人信息

3

隐私政策无法打开

3

欺骗误导强迫用户

2

总计

203

针对国家近两周监管通报数据，依据App类型，统计出现通报的APP数量如下：

App类型

App数量

实用工具

36

本地生活

24

学习教育

19

网络社区

14

网络游戏

11

网上购物

11

用车服务

8

在线影音

8

问诊挂号

7

运动健身

5

安全管理

3

电子图书

3

旅游服务

2

体育运动

2

求职招聘

2

二手车交易

1

拍摄美化

1

投资理财

1

总计

158

一款名为 SpyLend 的 Android 恶意软件应用程序已在 Google Play 上被下载超过 10 万次。该应用伪装成一款金融工具，但实际上是一个针对印度用户的掠夺性贷款应用程序。

该应用程序属于名为 SpyLoan 的恶意 Android 应用程序组，这些应用伪装成合法的金融工具或贷款服务，实际上却窃取设备数据用于掠夺性贷款。这些应用通常承诺提供快速简便的贷款，只需很少的文档，并提供诱人的条款，以此吸引用户。然而，在安装时，它们会请求过多的权限，从而窃取用户的个人数据，包括联系人、通话记录、短信、照片和设备位置等信息。

这些收集到的数据随后被用来骚扰、敲诈和勒索用户，尤其是当用户未能满足应用程序的还款条款时。

贷款诈骗和敲诈勒索

网络安全公司 CYFIRMA 发现了一款名为 Finance Simplified 的 Android 应用，该应用自称是一款财务管理工具，在 Google Play 上的下载量已达 10 万次。然而，CYFIRMA 表示，该应用在某些国家（如印度）表现出更多的恶意行为，会窃取用户设备的数据用于掠夺性贷款。研究人员还发现了其他恶意 APK，这些 APK 似乎是同一恶意软件活动的变种，包括 KreditApple、PokketMe 和 StashFur。

尽管该应用现已被从 Google Play 中移除，但它可能仍在后台运行，继续从受感染的设备中收集敏感信息。

Google Play 上 Finance Simplified 的多条用户评论显示，该应用提供的贷款服务会向未支付高额利息的借款人进行勒索。一位用户评论称：“这款应用程序非常糟糕，他们提供的贷款金额很低，然后勒索要求高额还款，否则就会把照片编辑成裸照进行威胁。”

这些应用程序还声称自己是注册的非银行金融公司（NBFC），但 CYFIRMA 表示这并不属实。

为了逃避 Google Play 的检测，Finance Simplified 加载了一个 WebView，将用户重定向到外部网站，然后从该网站下载托管在 Amazon EC2 服务器上的贷款应用 APK。

CYFIRMA 解释道：“Finance Simplified 应用程序似乎专门针对印度用户，它通过显示和推荐贷款申请、加载显示贷款服务的 WebView 来重定向到外部网站，然后在该网站下载单独的贷款 APK 文件。”

研究人员发现，只有当用户位于印度时，该应用程序才会加载欺骗性界面，这表明该活动具有特定的目标。

应用程序窃取敏感数据

该恶意软件活动更令人担忧的方面是其数据收集行为，其中包括存储在用户设备上的敏感个人信息。以下是该恶意软件窃取的数据摘要：

• · 联系人、通话记录、短信和设备详细信息。

• · 来自内部和外部存储的照片、视频和文档。

• · 实时位置跟踪（每 3 秒更新一次）、历史位置数据和 IP 地址。

• · 最后 20 个复制到剪贴板的文本条目。

• · 贷款历史和银行短信交易信息。

虽然这些数据主要用于敲诈那些错误申请贷款的受害者，但也可能被用于金融欺诈或转售给网络犯罪分子以牟利。

应对措施

如果您怀疑您的设备被任何上述应用程序或类似应用程序感染，请立即删除它们，重置权限，更改银行账户密码，并执行设备扫描。

GitVenom 活动是一种复杂的网络威胁，利用 GitHub 存储库传播恶意软件并窃取加密货币。该活动通过创建数百个看似合法但包含恶意代码的虚假 GitHub 存储库来实施攻击，旨在诱骗开发人员下载和执行恶意代码，从而导致严重的财务损失。

恶意代码部署

GitVenom 背后的攻击者使用多种编程语言（如 Python、JavaScript、C、C++ 和 C#）制作虚假项目。这些项目通常声称提供社交媒体或加密货币管理的自动化工具等功能，但实际上隐藏了恶意代码，执行恶意操作。

恶意存储库的示例结构

• Python 项目：攻击者使用一种技术，在一长行制表符后隐藏解密并执行恶意 Python 脚本的代码。

• JavaScript 项目：嵌入了恶意函数，用于解码并执行 Base64 编码的脚本。

• C、C++ 和 C# 项目：恶意批处理脚本被隐藏在 Visual Studio 项目文件中，以便在构建过程中执行。

这些虚假项目部署的恶意负载会从攻击者控制的 GitHub 存储库下载其他恶意组件。这些组件包括一个 Node.js 窃取程序，用于收集凭证和加密货币钱包数据等敏感信息，并通过 Telegram 将其上传给攻击者。此外，攻击者还使用了开源工具如 AsyncRAT 和 Quasar 后门。

根据 SecureList 的报告，攻击者还使用了剪贴板劫持程序，将加密货币钱包地址替换为攻击者控制的地址，从而导致严重的财务盗窃。值得注意的是，一个攻击者控制的比特币钱包在 2024 年 11 月收到了约 5 BTC（当时价值约 485,000 美元）。

影响与缓解

GitVenom 活动已经活跃多年，全球范围内都有感染尝试的报告，尤其是在俄罗斯、巴西和土耳其。这一活动凸显了盲目运行 GitHub 或其他开源平台代码所带来的风险。

为了降低风险，开发人员在执行或集成第三方代码之前必须彻底检查代码。这包括检查可疑的代码模式，并确保代码功能与描述一致。随着开源代码的广泛使用，类似攻击活动的可能性也在增加，这进一步强调了在处理第三方代码时保持警惕的必要性。

2月26日15:00直播，扫码预约，看直播抽大奖，转发直播间邀请赢大礼

直播亮点抢先看：
✔数据防护：多场景邮件的全面管控
✔精准检测：EDLP附件检测能力提升
✔DeepSeek：邮件数据防泄露领域的机遇

当前，以DeepSeek为代表的国产大模型发展势头迅猛，正重塑全球人工智能技术格局。然而，其背后潜藏的系统漏洞、内容风险、数据安全等隐患也频频敲响警钟，不仅对大模型自身的安全性提出了更高的要求，也对整个行业的规范发展和治理构成严峻的考验。安全不再是附加标签，而是大模型引领数智时代的原生属性。基于此，360集团正式推出DS大模型安全解决方案，覆盖模型训练、推理、运营等大模型落地应用全过程，满血守护DeepSeek发展，促进国产大模型企业向安全、向善、可信、可控的方向发展，为全球人工智能技术治理提供了可借鉴的“中国方案”。

DeepSeek发展面临五大安全挑战

DeepSeek以其强大的数据处理能力、精准的算法模型以及深度的用户洞察，重塑了AI领域的游戏规则。然而，以DeepSeek为代表的大模型作为新质生产力推动者的同时，也面临传统网络安全与新型安全风险交织的双重挑战。具体而言：

系统安全：此前DeepSeek遭遇网络攻击导致新用户注册受阻的事件就暴露了其在大模型系统安全方面的脆弱性。DeepSeek运行所依赖的硬件设施、软件框架、操作系统等基础层以及提示工程、缓存、向量库等训练和推理过程中使用的生态链工具共同构成庞大复杂的系统，系统中每个环节的缺陷都可能被恶意利用，加之开发运维过程中存在的不当使用和滥用等行为，技术脆弱性与人为风险因素相互叠加，使得大模型面临严峻的系统安全风险。

数据安全：数据在大模型各阶段流动创造价值，也带来数据泄漏、篡改、滥用等各类隐私及合规风险。在数据收集训练阶段，可能使用未经授权版本数据训练，导致侵权；在部署能力及开发阶段，使用不同供应商的服务时，可能存在黑盒以提取大模型记忆隐私数据；在对外提供服务时，可能存在API滥用隐患问题；在推理使用阶段，用户交互数据可能会泄漏或者滥用，违反隐私合规风险。

内容安全：由于DeepSeek依赖大量公开数据进行训练，模型可能在无意中学习到不当的行为，输出的内容可能会存在政治敏感、暴力违禁、色情低俗等不良内容，造成信息污染和伦理风险。例如2024年，Google大模型Gemini被指无法正确生成白人历史图像，引发人们对人工智能存在种族歧视问题的担忧，google不得不停用人物图像功能。此外，不法分子通过数据投毒、对抗样本、Prompt注入等手段，直接模型的“认知逻辑”予以扭曲，进而引发信息泄露、危害公共安全等严重后果。此前，用户以伪装成开发者的指令，让ChatGPT生成可被用于网络犯罪的电脑病毒等危险内容，便引发公众对大模型内容安全的担忧。

幻觉问题：大模型在运行过程中，其自身的幻觉问题往往会导致生成错误信息，不仅造成虚假内容的传播，还极大降低了模型的可用性。2023年，美国一位资深律师因在诉讼中引用了ChatGPT提供的6个完全不存在的判例，而被罚款5000美元。除了司法领域，在金融、医疗、安全等垂直行业应用中，大模型的幻觉问题也可能存在误导性建议、未经验证的治疗方法、错误的防御策略等特定隐患，进而误导用户判断和决策。

行为失控：大模型发展过程中，Agent自主性不断增强，嵌入到业务工作流中，可能带来新的安全隐患。Agent在复杂交互中因逻辑缺陷、环境误判等原因，可能导致出现指令劫持、任务偏离、资源滥用等非预期行为，即执行一些未经授权的操作，或者导致系统资源的过度消耗，甚至引发系统崩溃等严重后果。

对症下药，首个DS版大模型安全解决方案上线

作为兼具数字安全和AI双重能力的科技企业，360很早开始关注大模型安全风险，提出“以模制模”理念，利用安全大模型来检测和防范大模型可能出现的安全风险。针对以DeepSeek为代表的国产大模型厂商面临的安全挑战，360推出DS大模型安全解决方案，锚定系统安全、内容安全、幻觉问题、Agent失控、数据安全五大挑战，对症下药，守护DeepSeek大模型训练、推理和运营全流程，为全球人工智能技术治理提供“中国方案”。

安全体检员360智鉴：全天候扫描系统安全

针对大模型系统安全问题，360智鉴以全链路、精细化和动态进化的检测能力为核心，融合红蓝对抗思路和大模型自身技术优势，为企业提供一套全面、智能、高效的大模型系统安全检测方案，帮助企业在大模型上线前进行全方位的安全评估，保障大模型系统的可靠性与业务稳定性。

360智鉴覆盖了从数据清洗、模型训练、模型推理、部署上线的整个生命周期中的系统安全检测，支持近百个组件的400+公开漏洞检测，覆盖RAG、Agent、prompt等场景的安全性分析，同时，能够快速集成新的安全检测技术和方法，适应不断变化的安全威胁形势。

数据仓管员360智数：守护模型数据使用安全

针对DeepSeek面临的数据安全挑战，360基于智能化数据安全管理平台围绕大模型资产梳理分级、模型边界审查、模型数据风险监测三大维度构建闭环解决方案360智数，全方位护航大模型数据全生命周期，守护大模型数据流动安全，具体而言：

全链路数据资产梳理，通过AI动态资产识别技术，构建大模型数据地图。对大模型元数据分析，实现训练数据合规追溯、知识库重要数据识别、模型数据隐私内容检测三重治理；动态数据分级分类，对大模型智能体数据知识库、向量库、开放服务、记忆等位置进行动态分类分级，定期检查合规性和区域合法性，保证用户及企业使用安全；智能风险监测，通过大模型对数据开放及调用行为进行监测，识别异常调用、算法漏洞、知识库偏差，通过趋势分析及预测实现异常发现-风险研判-流程处置，以模制模，全面防控隐私数据、重要数据泄漏及模型行为失控风险。

信息净化器360智盾：全流程审核内容安全

为保障大模型内容安全，360智盾打造了全流程、多种类、多模态、场景化的内容安全体系，通过精准的风险检测、高效的内容拦截与替代机制，帮助企业确保生成内容的合法性、合规性与伦理可靠性，同时提升用户体验和模型输出的可信度。

360智盾支持100多类风险内容的识别过滤，涵盖超200种对抗内容防御机制，支持文本、音频、图片、视频等多种模态的风险防护，并通过平台定制化场景风控策略，满足不同场景的风控需求，检测识别正确率超90%。

安全领航员360智搜：把模型拉出幻觉泥潭

为避免大模型陷入幻觉泥潭，360智搜通过精确的知识整合，减少虚假或不准确信息，提升大模型的可信度与可靠性，有效减少大模型生成幻觉内容的可能性。同时，360智搜支持基于企业私域数据的知识提炼与总结，为企业提供更安全、更高效的业务支持。

360智搜整合多领域精品知识库，实现全网与私域知识的无缝对接，提升信息获取效率。实际应用中，在幻觉检测agent加持下，大模型通用场景下幻觉比例下降50%以上。

调度指挥官360智控：Agent流程可控可管

为确保Agent在执行任务时严格遵循既定流程，避免失控行为的发生，360智控通过原生安全的AI Agent可控框架对大模型场景进行统一编排调用，原生设置安全措施、监督任务规划全程、监控工具调用过程，把大模型能力关在笼子中，解决大模型不可控的问题。

360 DS大模型安全解决方案支持多种部署及交付方式，满足以DeepSeek为代表的通用大模型企业对便捷、成本、安全等多种因素个性化需求。此外，360大模型安全解决方案已在政务、税务、医疗等垂直行业落地应用，守护千行百业智能化转型。未来，360将继续护航大模型安全，为全球人工智能技术治理提供了可借鉴的“中国方案”。

一、市场规模短期小幅回调，寡头竞逐与腰部混战并存

近日，2024年中国威胁情报市场的规模与份额交出答卷。根据艾瑞咨询发布的《2024年中国威胁情报行业发展研究报告》，针对2024年威胁情报API、威胁情报门户账号订阅、威胁情报管理平台TIP为主的纯情报市场，及融入其他安全产品的威胁情报服务规模进行统计，2024年中国威胁情报市场规模达到16.1亿元，同比微跌0.9%。

相比2024年全球威胁情报市场价值被加速验证，市场延续两位数高增长态势，中国威胁情报市场则由于2022到2024年，网安行业重在“清库存”短期内限制了威胁情报行业的进一步增长，市场出现小幅回调。 

当前中国整体威胁情报市场，属于低集中寡占型市场（CR4=43.0%、CR7=49.7%），由少数几家厂商占据大部分份额。其中，微步在线、腾讯安全、奇安信位列2024年中国威胁情报市场份额前三，竞争激烈。

从市场格局来看，最早一批进入中国威胁情报市场的“元老级”厂商微步在线凭借在威胁情报领域的深耕，以纯威胁情报及多产品赋能持续稳居威胁情报市场第一，而具备大厂优势及数据积累的腾讯安全、及产线覆盖广，安全产品赋能多的综合安全厂商奇安信排在第二阵营。绿盟、安恒信息、360安全、深信服等厂商则以垂直场景或技术差异化争夺细分市场。

这也反映出中国威胁情报市场，历经十年发展已日趋成熟。从2015年首批专业威胁情报厂商成立，到2018年中国第一个威胁情报标准正式发布，2019年等保2.0首次对威胁情报提出要求，再到攻防演练倒逼情报技术实战化，市场已从“技术拓荒期”迈入“生态竞合期”。而2022年到2024年，客户预算收缩导致的“清库存”周期，进一步加速了市场的洗牌。

二、商业模式扩展：从数据平台到融合方案

根据报告，当前中国威胁情报落地商业模式，主要分为纯情报产品交付与情报赋能产品交付两大类。

其中，纯情报产品交付聚焦“数据价值深挖”，解决威胁数据的“快捷、易用、全面”的需求。纯情报产品交付专注提供高质量的情报数据和服务，通常以标准化API接口、TIP平台或是通过威胁情报门户账号订阅方式交付。其中，API及威胁情报门户账号订阅侧重情报数据交换的便捷与及时性，TIP情报管理平台更侧重对情报数据的查询、分析、生产、共享及狩猎等全方位情报管理与流程化操作。

情报赋能产品交付，则强调情报能力无缝衔接。从商业模式看，情报信息主要以三种方式向其他产品赋能。依照彼此融合赋能方式的差异，可分为厂商内部的安全情报赋能产品，对外部厂商提供情报技术支持下的融合安全产品，以及与外部厂商共同构建的综合安全解决方案。

值得关注的是，与国际威胁情报市场商业模式以“情报订阅”为主不同，中国企业客户群体对于威胁情报能力的需求各有侧重，商业模式从单纯情报产品交付逐渐扩展到通过赋能其他安全产品交付，使得中国不同安全厂商之间的竞争边界也逐渐发生变化。

三、威胁情报未来三大破局点：出海、AI与漏洞防御升维

破局点一：出海业务标准攻坚 

随着中国企业海外发展，威胁情报厂商迎来新战场，主要需跨越两大门槛。一个是数据合规鸿沟。数据作为威胁情报的重要基础资源，各个国家及地区对于本地数据的保护要求也纷繁复杂，欧盟GDPR、美国CLOUD法案等要求倒逼情报数据脱敏技术升级。一些厂商已探索出设立海外实体、处理敏感信息及建立共享协议等海外数据合法合规使用方式。

另一个是威胁情报标准适配。我国于2018年推出《信息安全技术网络安全威胁信息格式规范》，以推动技术发展与产业化应用。该规范虽然以国际标准为重要参考依据，但从STIX/TAXII格式兼容到MITRE ATT&CK框架本地化改造，厂商技术中台面临重构压力。

破局点二：大模型赋能情报生产力

根据报告，针对威胁情报行业，大模型在人员生产威胁情报效率、降低威胁情报应用门槛、赋能更多岗位人员等威胁情报生产与运营等多个环节均可进行赋能，但目前，多数大模型赋能威胁情报的应用场景还在概念验证的阶段。未来，安全厂商可在如大模型行业适配、大模型落地效率、性能优化、合规应用等多个角度着力，实现大模型在新应用场景的快速落地，提升自身竞争力。

破局点三：漏洞情报强化主动防御

随着0day漏洞利用的常态化，漏洞情报的价值显著提升。当前漏洞情报与企业资产结合紧密度不断上升。企业面临越来越多的资产存在漏洞，需具备的漏洞管理能力要求也越来越高，通过漏洞情报全面及时掌握最新漏洞信息，打通内部资产平台第一时间发现漏洞，并建立科学漏洞评估模型优先处置真正的高危漏洞，对于企业进一步增强主动防御能力，尤为重要。

从长期来看，威胁情报行业将经历从“功能堆砌”到“价值交付”的转型，厂商需要回答的核心问题如今已真正变成了“如何证明威胁情报的ROI”。可以预见，未来3-5年，中国威胁情报市场将在技术迭代与生态博弈中更加成熟，而真正的赢家将是那些能够将情报能力转化为客户业务风险管控支撑的企业。

1、往期回顾：「深蓝洞察」2024年度最别开生面的安全新生态

2、往期回顾：「深蓝洞察」2024年度最具含“金”量的绕过

3、往期回顾：「深蓝洞察」2024年度最具想象空间的新应用

4、往期回顾：「深蓝洞察」2024年度最狂躁不安的漏洞

5、往期回顾：「深蓝洞察」2024年度最“隐”人注目的安全趋势

6、往期回顾：「深蓝洞察」2024年度最悲剧的后门

7、往期回顾：「深蓝洞察」2024年度最难以阻挡的攻防趋势

8、往期回顾：「深蓝洞察」2024年度最“安全”的防线

9、往期回顾：「深蓝洞察」2024年度最憋屈的漏洞披露

在移动互联网时代，用户流量代表着厂商的命脉。在这场流量争夺战中，手机厂商掌握着最具压倒性的优势——操作系统的终极权限。通过对安卓AOSP进行深度定制，厂商不仅可能有权精准掌控用户和应用的一举一动，甚至还能够操控、干预用户的选择。

通常，极少有企业会选择违法违规、滥用特权来侵害消费者。

然而2024年，国产某知名手机品牌突破商业伦理底线，利用非安全技术手段暗中操纵自产手机系统，让数百万用户沦为他们的牟利工具。

以下为本期《深蓝洞察 | 2024 年度安全报告》的第十·完结篇。

对于安卓游戏爱好者来说，或许遇到过这样的困扰：当你想从游戏官网下载安装一款游戏时，系统却不遗余力地推送内置应用市场的下载入口，显得格外“贴心”。

但如果你坚持从官网安装，流程却变得复杂繁琐冗长：不仅需要拒绝系统三番五次插入的应用市场推荐，还需要无视重重风险警告、等待系统完成额外的安全扫描等。

为什么选择官网需要繁琐的操作，而选择应用市场就能一键快捷安装？

背后的原因直指手机厂商的现实利益：如果成功引导用户使用应用市场安装游戏，手机厂商作为渠道方就可以从游戏流水中抽取2~3成的分成，甚至有时分成比例高达五五开。但对于从游戏官网完成的安装，所有流水收入全由游戏开发商所有。

于是，厂商通过优化自家渠道的体验，巧妙提高了其他下载途径的难度，默默地引导用户流量，完成利益的最大化。

然而，这种流量引导还算明面上的商业竞争范畴，但某些厂商却暗地将系统权限用在了更隐蔽、更恶劣的领域，彻底突破了商业伦理的边界。

GEEKCON 2024 上海站颁发年度捍卫者奖与年度鲱鱼奖

在GEEKCON 2024 上海站，两位选手为大家带来了特别披露议题【买手机送木马？】，披露了某国产手机厂商的恶行：该厂商利用系统权限，在用户不知情的情况下向多个第三方应用植入广告。数百万用户正常体验被破坏的同时，手机厂商却从应用方赚取了数千万的推广费用。

在该品牌的手机上，部分应用表现得极为异常：

用户从桌面点击图标启动应用，在等待开屏界面加载后，打开的并非应用首页，而是直接进入了一个“包含广告的页面”。用户需要额外点击返回键才能回到首页正常使用，体验打了折扣。

看似是应用投放了不会自动关闭的开屏广告，但真相是该手机厂商在暗中作祟，劫持了用户的点击操作！

被劫持的那些应用有一个共同特点：它们的商业模式包含推广返佣机制，即它们愿意为外界的推广行为付费。在常规合作中，外部推广者会在各类平台投放带追踪参数的推广链接。当用户点击这些链接时，会跳转到应用内与推广内容相关的落地页面。此时应用也能通过解析推广链接中的渠道代码，精准识别流量来源，并向推广者支付单笔报酬、或后续购买行为的酬金。

应用自动打开的“包含广告的页面”，实际上正是它们的推广页面。这意味着该厂商把用户自主打开应用的行为替换成推广访问行为，从而通过应用的返佣机制牟利！

淘宝与京东的推广页示例，与应用首页有显著区别

按照安卓系统规范，当我们在桌面上点击应用图标时，启动的应该是应用在AndroidManifest.xml中注册有android.intent.action.MAIN和android.intent.category.LAUNCHER标志的Activity，推广页显然不符合条件。

仔细观察例图页面的顶端，在标题的两侧可以发现几个类似浏览器功能的按钮。推广页的本质其实是在应用内置浏览器中加载的网页，使用Deep Link启动应用可以很容易地做到这一点。

Deep Link（深链接）是指一种特殊的URL，是实现应用间快速导航、内容分享以及推广转化的重要工具。使用Deep Link能够直接跳转到安卓应用内的特定页面或功能，而不是简单地打开应用的主界面。

那么该厂商是如何修改系统逻辑进行劫持的？通过对其桌面应用进行分析，可以得出结论：

该厂商的桌面应用基于AOSP源码定制，但向处理点击事件的ItemClickHandler.onClick插入了额外的处理逻辑。它根据正常应该启动的Activity名称去寻找劫持配置，如果存在匹配，就直接通过配置中的Deep Link启动应用、直达推广页；否则才继续进行正常的应用启动流程。

为了避免劫持反复触发，桌面还会移除已使用过的配置。仅第一次打开应用时触发，这样的劫持行为也更容易被用户误解为应用的开屏广告，让用户的矛头错指应用方。

这些行为破坏了公平竞争，还严重侵犯了用户与相关应用方的权益，可能违反相关法律法规。

《反不正当竞争法》第十二条明确规定：经营者不得利用技术手段，通过影响用户选择或者其他方式，实施下列妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为：（一）未经其他经营者同意，在其合法提供的网络产品或者服务中，插入链接、强制进行目标跳转……

和「深蓝洞察」曾披露过的另一家违规巨头类似，本案例中的厂商，也采用了一系列的技术手段来掩盖他们的违规行为：

含有Deep Link的配置并未事先存储在设备中，而是由厂商的服务器根据特定规则动态下发。GEEKCON选手指出，并非所有该品牌的设备都会接收到这些恶意劫持配置。这表明，厂商可能依据用户的画像、手机的地理位置等因素来决定是否下发这些配置，从而将受影响的用户群体锁定为技术知识相对薄弱的二三线城市的中老年人群体。

此外，该厂商再次滥用特权，下发的恶意配置文件被保存在桌面应用的私有数据目录中，由于安卓系统的应用沙箱隔离机制，每个应用的数据存储区域都受到严格保护，以此阻止第三方提取证据。动态下发的机制也赋予厂商远程销毁证据的能力，使得追踪与固证更加困难。

我们以为自己在自由地使用手机，实际上，每一步都可能是被精心设计的陷阱。

京东集团高级总监兼首席安全研究员、GEEKCON组委 flanker：

内存破坏漏洞，凭借先进的技术手段，尚可不断予以消灭和预防；然而，业务模式所衍生出的安全与隐私风险，却犹如顽固的沉疴，最难根除。

正如古人云：“破山中贼易，破心中贼难”。科技本身，纯净无瑕，不过是供人驱使的工具，其本质无善恶之分；然而人心的幽深复杂，恰似深不可测的万丈深渊，潜藏着难以分辨的善恶欲念。

深蓝洞察

数字技术的使命应是为人们带来便利与福祉，进而实现用户和厂商的共赢。而当技术被滥用甚至恶意使用成为谋取私利的工具时，受损的不仅是用户的权益，更是整个技术生态的信任基础。

iOS缘何成为人们心中安全与隐私的代名词，这不仅得益于其软硬结合、缜密完备的安全防御体系，更在于其生态环境中对隐私保护的高度重视，以及在商业化进程中所秉持的克制态度。诚然，苹果较高的硬件利润率或许是其能坚守隐私保护的因素之一，但换个角度看，这种克制又何尝不是铸就了人们对其品牌的高度认可，以及甘愿为之付出溢价的消费意愿？

如今，以HarmonyOS NEXT为代表的新一代操作系统正蓬勃崛起，在这充满挑战与机遇的进程中，它能否承受住各方压力，避免重蹈覆辙，切实守护用户的安全与隐私？各大厂商能否躬身自省，与iOS见贤思齐？这无疑是消费者与行业共同关注的焦点。

* 本期深蓝洞察年度报告共十篇已发布完结，感谢您的支持、期待您的宝贵建议。

近日，国家工业信息安全发展研究中心公示了国家工业信息安全漏洞库（CICSVD）成员单位名单，盛邦安全凭借在在工业信息安全领域多年的技术积累和专业能力成功入选CICSVD技术组成员单位。

国家工业信息安全漏洞库（简称CICSVD）由工业和信息化部指导，是工业控制产品领域的国家级专业库，旨在建立工业控制产品安全漏洞收集、分析、研判、通报、预警和处置工作体系。本次入选CICSVD成员单位，是对盛邦安全在工控安全漏洞领域专业技术能力的高度认可。

作为国家级网络安全应急服务支撑单位、国家漏洞库建设运维与技术支持单位，盛邦安全积极参与漏洞发现、风险预警及应急响应等工作，曾获得CNVD原创漏洞挖掘能力满星评价、年度原创漏洞发现突出贡献奖、CNNVD重大预警报送专项奖、CSTIS漏洞报送最具贡献单位等多项认可，为关键信息基础设施安全保护、区域及行业漏洞治理及重大活动安全保障提供有力支撑。

作为CICSVD技术组成员单位，盛邦安全将依托在漏洞挖掘与安全防护等领域的技术优势，积极参与国家工业信息安全漏洞库建设，助力优化工业控制产品的安全漏洞管理生态，推动工业信息安全技术的创新与应用，为工业互联网和智能制造等领域的高质量发展提供坚实保障。

原文链接

苹果发布了紧急安全更新，以修补该公司所说的零日漏洞，该漏洞是在针对性和“极为复杂”的攻击中所利用的。

该公司在一份针对iPhone和iPad用户的建议中透露：“物理攻击可能会使锁定设备上的USB限制模式失效。”

苹果注意到有报道称，这个问题可能被利用在针对特定目标个人的极其复杂的攻击中。

USB受限模式是一项安全功能（大约七年前在iOS 11.4.1中引入），如果设备被锁定超过一小时，它将阻止USB附件创建数据连接。该功能旨在阻止像Graykey和Cellebrite（执法部门常用）这样的取证软件从锁定的iOS设备中提取数据。

去年11月，苹果推出了另一项安全功能（被称为“非活动重启”），该功能可以在长时间闲置后自动重启iphone，重新加密数据，使取证软件更难提取数据。

针对目前苹果修补的零日漏洞（追踪为CVE-2025-24200），这是一个授权问题，在iOS 18.3.1、iPadOS 18.3.1和iPadOS 17.7.5中得到了解决，并改进了状态管理。

此零日漏洞影响的设备列表包括：

·iPhone XS和之后的产品

·iPad Pro 13英寸、iPad Pro 12.9英寸第三代及以上、iPad Pro 11英寸第一代及以上、iPad Air第三代及以上、iPad 7代及以上、iPad mini第五代及以上

·iPad Pro 12.9英寸第二代，iPad Pro 10.5英寸，iPad 6代

尽管此漏洞仅在有针对性的攻击中被利用，但强烈建议用户立即安装安全更新以阻止潜在的持续攻击尝试。虽然苹果还没有提供更多关于野外利用的信息，但安全研究人员经常披露针对高风险人群（如记者、反对派政客和持不同政见者）的针对性间谍软件攻击中使用的零日漏洞。

此外，安全研究员还披露了另外两个零日漏洞（CVE-2023-41061和CVE-2023-41064），苹果公司在2023年9月的紧急安全更新中修复了这两个漏洞，并将其作为零点击漏洞链（称为BLASTPASS）的一部分，利用NSO集团的Pegasus商业间谍软件感染已打过补丁的iphone。

上个月，苹果修复了今年第一个零日漏洞（CVE-2025-24085），该漏洞被标记为针对iPhone用户的攻击。据统计，在2024年，该公司修补了六个活跃的零日漏洞：第一个在1月，两个在3月，第四个在5月，还有两个在11月。2023年，苹果修补了20个在野外被利用的零日漏洞，包括：

·11月的两个零日漏洞（CVE-2023-42916和CVE-2023-42917）

·10月的两个零日漏洞（CVE-2023-42824和CVE-2023-5217）

·9月份的5个零日漏洞（CVE-2023-41061、CVE-2023-41064、CVE-2023-41991、CVE-2023-41992和CVE-2023-41993）

·7月份的两个零日漏洞（CVE-2023-37450和CVE-2023-38606）

·6月份的三个零日漏洞（CVE-2023-32434、CVE-2023-32435和CVE-2023-32439）

·5月份又有三个零日漏洞（CVE-2023-32409、CVE-2023-28204和CVE-2023-32373）

·4月的两个零日漏洞（CVE-2023-28206和CVE-2023-28205）

·2月份又出现了一个WebKit零日漏洞（CVE-2023-23529）

1、往期回顾：「深蓝洞察」2024年度最别开生面的安全新生态

2、往期回顾：「深蓝洞察」2024年度最具含“金”量的绕过

3、往期回顾：「深蓝洞察」2024年度最具想象空间的新应用

4、往期回顾：「深蓝洞察」2024年度最狂躁不安的漏洞

5、往期回顾：「深蓝洞察」2024年度最“隐”人注目的安全趋势

6、往期回顾：「深蓝洞察」2024年度最悲剧的后门

7、往期回顾：「深蓝洞察」2024年度最难以阻挡的攻防趋势

8、往期回顾：「深蓝洞察」2024年度最“安全”的防线

在网络安全领域，漏洞披露一直被视为保护用户的重要环节，但在现实中，这一过程却充满了争议和矛盾。究竟什么才算得上“负责任的披露”？当厂商在信息公开和补丁发布上占据主导地位，而安全研究者则需要耗费大量精力进行沟通与博弈，这一模式是否还能真正实现保护用户安全的初衷？在技术快速演进、网络威胁不断升级的今天，传统的漏洞披露机制是否已跟不上时代的步伐？

本报告将以近期引发广泛讨论的漏洞披露事件为切入点，探讨当前责任披露过程中存在的问题，试图寻找一种更为公平、高效且能平衡各方利益的解决路径。

以下为本期《深蓝洞察 | 2024 年度安全报告》的第九篇。

对于一个严重的安全漏洞来说，通常只有在厂商率先发布漏洞的修复并将其推送给用户一段时间之后，漏洞发现者才会开始披露漏洞的细节，公开漏洞的PoC或者Exp，这也就是在计算机安全研究中所谓的CVD（coordinated vulnerability disclosure，协调漏洞披露）漏洞披露模型，也被称为负责任的漏洞披露。

24年9月末，在安全研究界发生了一件怪事，一个“足以影响所有Linux系统”的远程代码执行漏洞详细披露与各大Linux发行版厂商的安全声明在同一天内相继发布。而在这之前，漏洞的发现者还在社交媒体上抱怨Redhat等厂商已经给漏洞打了9.9分的评分，但是相关组件的开发人员毫不重视他所提交的漏洞。他在推文的最后抱怨道："responsible disclosure: no more"。

Simon称其发现了影响所有Linux的远程代码执行漏洞

漏洞披露风波

这个故事的主人公是著名的安全研究员Simone Margaritelli，他在24年9月初开始研究Linux系统中的CUPS组件，并于9月5日将他发现的漏洞披露给了相关的厂商以及OpenPrinting开发人员，Redhat给予这个漏洞了9.9的评分，但是OpenPrinting的开发者并不理解evilsocket所进行的研究，Simone与OpenPrinting进行了长达22天的交流，直到3周之后，OpenPrinting方才承认evilsocket研究的正确性。

在这期间，9月23日，Simone在社交媒体上发表了那篇引起轩然大波的推文。Simone在推文中并没有指明漏洞所在的具体组件，令人啼笑皆非的是，仅仅在1天之后的9月24日，BreachForums黑客论坛就出现了Simone提交给CERT's VINCE的原始漏洞报告以及漏洞利用。

BreachForums论坛上泄漏的漏洞报告及利用

9月26日，OpenPrinting下的libppd、libcupsfilters、cups-browsed推送了漏洞的修复版本以及临时的漏洞修复方案，Ubuntu、Redhat等Linux发行厂商也开始推送漏洞公告以及漏洞修复方案。同一天，Simone在自己的博客上公开披露了漏洞细节与利用。最终这些漏洞被给予了最高9.0的CVSS漏洞评分。

OpenPrinting发布漏洞公告

漏洞披露：理想与现实

在安全研究漏洞披露的过程中，安全研究者一般会遵循CVD模型，即负责任的漏洞披露的准则，这一准则旨在为相关的组织或者机构留出足够的时间指定漏洞修复或者缓解方案，尽可能快的减少漏洞造成的影响，同时用户有权利对自己使用的产品中的漏洞知情。

但是，这种模型在现实实践中展现出了一定的局限性：厂商在漏洞披露过程中占据主导权，安全研究者需要花费大量的时间与精力与厂商沟通漏洞的细节。就本次事件而言，第三方安全研究人员即Simone与开发者OpenPrinting之间的沟通过程并不是那么顺利。在Simone的博客中提到双方的沟通记录内容多达50页，时间跨度长达3周，消耗了双方大量的时间与精力，最终Simone违反了“负责任的披露”的准则，提前进行了漏洞披露。

漏洞评价标准的缺失是厂商在漏洞披露过程中占据主导权的原因之一，目前常用的CVSS漏洞评价体系对于漏洞评价的指标过于单一，无法准确评估漏洞的攻击难度与影响范围，安全研究员与厂商很难通过这套体系达成一致。

安全研究员、GEEKCON评委古河对现行CVSS的评价

对于这种困境，P0、ZDI、CERT等组织在CVD模型的基础上加入了Deadline机制，以Google Project Zero为例，其提出了90天漏洞披露机制，即安全研究员第一时间将漏洞细节通报给厂商，并且在90天之后或者漏洞安全补丁发布之后，向公众公布漏洞细节以及缓解方案。

Deadline机制作为CVD模型的现实补充，有效的提高了漏洞修复的效率以及最终用户的安全性。但是Deadline机制终究只是一种被动的警告机制，并没有对漏洞披露过程中厂商的权力进行有效的限制，厂商仍然占据着绝对的主导权。事实上，即使一些安全研究员声明将在漏洞报告90天之后披露漏洞细节，部分厂商仍然没有积极推进漏洞修复的流程，从而导致在野漏洞流出，在P0的报告中不乏这样的例子。

P0对其提交给三星的漏洞逾期后发布的漏洞公告

现有漏洞披露模型下，厂商在漏洞披露过程中的主导地位、评价标准的单一性、以及信息共享的滞后，往往导致漏洞修复的效率低下，甚至影响用户的安全保障。虽然Deadline机制和其他补充措施在一定程度上提升了漏洞修复的速度，但漏洞披露体系仍然存在显著的改进空间。在这个快速发展的数字世界里，建立一个更加高效、公正的漏洞披露机制，依旧是各方共同的目标。

深蓝洞察

在这个高度信息化的时代，在野的高危漏洞利用所造成的影响正在越来越广泛与复杂，安全研究者对于漏洞的披露、厂商的及时响应与推送、用户尽早的知悉与更新，才能共同缩小漏洞所带来的危害。

负责任的披露在这种背景下显得有些理想化，由于漏洞评价机制CVSS缺陷等原因，厂商/开发者占据了漏洞披露过程中的主导权，第三方安全研究者以及用户对漏洞修复的作用十分有限。安全研究员需要花大量的时间与精力与厂商就漏洞的评价达成一致。

Deadline机制的加入，有效的提高了漏洞修复的效率以及最终用户的安全性。但是这套机制对厂商仍然无法起到足够的约束作用，一套更加完善的漏洞披露制度仍然需要三方的共同努力。

参  考：

[1] https://x.com/evilsocket/status/1838169889330135132

[2] https://www.akamai.com/blog/security-research/guidance-on-critical-cups-rce

[3] https://www.evilsocket.net/2024/09/26/Attacking-UNIX-systems-via-CUPS-Part-I

[4] https://googleprojectzero.blogspot.com/2015/02/feedback-and-data-driven-updates-to.html

[5] https://github.com/OpenPrinting/cups-browsed/security/advisories/GHSA-rj88-6mr5-rcw8

[6] https://github.com/OpenPrinting/cups-filters/security/advisories/GHSA-p9rh-jxmq-gq47

[7] https://project-zero.issues.chromium.org/issues/368695689

[8] https://x.com/guhe120/status/1856844617846817004

明日，请继续关注《深蓝洞察 | 2024 年度安全报告》第十篇。

KerioControl是一款面向中小企业的网络安全套件，主要用于vpn、带宽管理、报表监控、流量过滤、反病毒防护、入侵防御等。安全研究员发现，超过12000个GFI KerioControl防火墙实例暴露于一个关键的远程代码执行漏洞，跟踪为CVE-2024-52875。

这个漏洞是由安全研究员Egidio Romano （EgiX）在12月中旬发现的，他向人们展示了一键式RCE攻击的潜在危险。

GFI软件公司于2024年12月19日发布了9.4.5版本补丁1的安全更新，但三周后，根据Censys的说法，超过23800个实例仍然容易受到攻击。

上个月初，Greynoise透露，它已经检测到利用Romano的概念验证（PoC）漏洞的活跃利用尝试，旨在窃取管理CSRF令牌。

尽管有关于主动利用的警告，威胁监控服务Shadowserver表示，有12229台KerioControl防火墙暴露在利用CVE-2024-52875的攻击中。

这些实例大多数位于伊朗、美国、意大利、德国、俄罗斯、哈萨克斯坦、乌兹别克斯坦、法国、巴西和印度。

由于CVE-2024-52875的公共PoC的存在，利用的要求很低，即使是不熟练的黑客也可以加入恶意活动。

Egidio Romano解释说：“在302 HTTP响应中用于生成“Location”HTTP头之前，通过“dest”GET参数传递到这些页面的用户输入没有得到正确的处理。”

具体来说，应用程序不能正确过滤/删除换行（LF）字符。这可以用来执行HTTP响应分裂攻击，这反过来可能允许执行反射跨站脚本（XSS）和其他可能的攻击。”

反射XSS向量可能被滥用来执行一键式远程代码执行（RCE）攻击。如果用户还没有进行安全更新，强烈建议安装2025年1月31日发布的KerioControl版本9.4.5 Patch 2，其中包含额外的安全增强功能。

依据《网络安全法》《个人信息保护法》《App违法违规收集使用个人信息行为认定方法》等法律法规及相关国家标准要求，近期国家计算机病毒应急处理中心通过互联网监测，发现14款移动应用存在隐私不合规行为。

一、个人信息处理者在处理个人信息前，未以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名、联系方式、个人信息的保存期限等。涉及6款移动应用如下：

1、《艾乐游》（版本1.3.3，百度手机助手）

2、《江子为民》（版本1.1.54，应用宝）

3、《元气桌面壁纸》（版本3.52.4324，vivo应用商店）

4、《易念》（版本3.0.2，应用宝）

5、《同城酒库》（版本3.2.9，vivo应用商店）

6、《乐山商业银行》（版本3.31.6，应用宝）

二、隐私政策未逐一列出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围等。涉及10款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

2、《艾乐游》（版本1.3.3，百度手机助手）

3、《鲸鱼爱学》（版本3.1.0，应用宝）

4、《华龙智信恒生版》（版本7.1.3.0，应用宝）

5、《江子为民》（版本1.1.54，应用宝）

6、《元气桌面壁纸》（版本3.52.4324，vivo应用商店

7、《易念》（版本3.0.2，应用宝）

8、《乐山商业银行》（版本3.31.6，应用宝）

9、《普益基金》（版本7.0.3，应用宝）

10、《i音乐》（版本10.5.2.0，vivo应用商店）

三、个人信息处理者向其他个人信息处理者提供其处理的个人信息的，未向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。涉及4款移动应用如下：

1、《鲸鱼爱学》（版本3.1.0，应用宝）、

2、《江子为民》（版本1.1.54，应用宝）

3、《乐山商业银行》（版本3.31.6，应用宝）

4、《i音乐》（版本10.5.2.0，vivo应用商店）

四、未提供有效的注销用户账号功能。涉及1款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

五、未向用户提供撤回同意收集个人信息的途径、方式；基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者未提供便捷的撤回同意的方式。涉及7款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

2、《天利测亩仪》（版本2.0.23，vivo应用商店）

3、《艾乐游》（版本1.3.3，百度手机助手）

4、《易念》（版本3.0.2，应用宝）

5、《同城酒库》（版本3.2.9，vivo应用商店）

6、《乐山商业银行》（版本3.31.6，应用宝）

7、《i音乐》（版本10.5.2.0，vivo应用商店）

六、处理敏感个人信息未取得个人的单独同意。涉及3款移动应用如下：

1、《运多星司机》（版本1.2.6，应用宝）

2、《乐山商业银行》（版本3.31.6，应用宝）

3、《i音乐》（版本10.5.2.0，vivo应用商店）

七、个人信息处理者处理不满十四周岁未成年人个人信息的，未制定专门的个人信息处理规则；收集未成年人信息未取得监护人单独同意。涉及3款移动应用如下：

1、《元气桌面壁纸》（版本3.52.4324，vivo应用商店）

2、《同城酒库》（版本3.2.9，vivo应用商店）

3、《i音乐》（版本10.5.2.0，vivo应用商店）

八、个人信息处理者未根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取相应的加密、去标识化等安全技术措施。涉及2款移动应用如下：

1、《贝壳找房 | 二手房新房租房装修》（版本9.91.2，微信小程序）

2、《微医健康平台》（版本1.04，微信小程序）

针对上述情况，国家计算机病毒应急处理中心提醒广大手机用户首先谨慎下载使用以上违规移动应用，同时要注意认真阅读其用户协议和隐私政策说明，不随意开放和同意不必要的隐私权限，不随意输入个人隐私信息，定期维护和清理相关数据，避免个人隐私信息被泄露。

文中所列移动应用检测时间为2024年12月18日至2025年2月8日。

文章来源自：国家计算机病毒应急处理中心