2026_APT高级威胁研究报告_50页_5mb

APT 高级威胁研究报告总结

核心内容

本报告为绿盟科技安全研究年报，聚焦 2025 年全球 APT 高级持续性威胁的技战术趋势与威胁态势。报告指出，APT 攻击呈现出技术精密化、战术复杂化和漏洞高频化的特点，攻击者不断利用新技术与漏洞提升攻击效率和隐蔽性，同时，APT 组织也更加关注高价值目标，如政府官员、专家智囊和加密货币行业。

主要观点

• AI 技术的广泛应用：APT 组织开始将 AI 工具融入攻击流程，涵盖侦察、资源开发、初始访问、数据收集和命令控制等环节，显著提升了攻击效率和欺骗性。
• ClickFix 社会工程学战术：这是一种新型的钓鱼攻击方式，利用虚假报错信息和修复流程诱导受害者执行恶意代码，已广泛应用于多个 APT 组织。
• 多重签名劫持技术：该技术结合了区块链智能合约缺陷和 APT 供应链攻击思路，成为 APT 组织实施经济犯罪的利器。
• 敲门模式隐匿通信：这是一种新型的 CnC 通信方式，攻击者通过网卡监听和内核挂钩等方式实现隐蔽通信，降低被发现的风险。
• Visual Studio 安全管理问题：多个 APT 组织利用 Visual Studio 的高权限执行环境实施攻击，反映了微软在软件安全管理方面的不足。
• .url 文件零日漏洞利用：APT 组织积极挖掘 .url 文件的安全漏洞，用于网络钓鱼和远程代码执行等攻击手段。
• Chromium 沙箱逃逸漏洞：CVE-2025-2783 是一个高危漏洞，被多个 APT 组织用于攻击高价值目标，成为 2025 年最有效的浏览器漏洞利用方式。

关键信息

2.1 从 AI 侦察到 AI 控制

• APT 组织使用 AI 工具进行攻击的环节包括：侦察、资源开发、初始访问、数据收集和命令控制。
• 11 个 APT 组织在攻击流程中表现出 AI 辅助特征，包括使用恶意 LLM 模型（如 WormGPT、Hexstrike-AI）和主流模型欺骗。
• 案例包括：ShadowRay 使用 AI 生成代理服务器代码；TransparentTribe 利用 AI 开发并部署代理服务器；Kimsuky 使用 AI 生成钓鱼邮件内容。

2.2 ClickFix 战术从出现到泛滥

• ClickFix 是一种新型社会工程学战术，通过水坑站点诱导受害者执行恶意指令。
• Lazarus 首次在 2024 年使用 ClickFix 攻击加密货币从业人员。
• 盲眼鹰、海莲花等组织也广泛使用该战术，诱骗受害者访问钓鱼网站并执行恶意脚本。
• 案例包括：Lazarus 使用虚假面试网站和视频插件错误诱导受害者执行恶意脚本；海莲花通过 GitHub 项目钓鱼，使用 EvilSIn 技术。

2.3 多重签名劫持技术

• Lazarus 使用多重签名劫持技术窃取 Bybit 交易所价值 15 亿美元的以太坊资产。
• 攻击流程包括：篡改钱包应用代码，劫持签名操作，将资产转移至恶意合约。
• 案例包括：Bybit 攻击事件，其中攻击者篡改 Safe{Wallet} 软件的 JavaScript 代码。

2.4 敲门模式实现隐匿通信

• 敲门模式是一种新型 CnC 通信方式，通过监听和过滤流量实现隐蔽通信。
• 有两种实现方式：用户态木马和内核态应用。
• 该模式适用于固定公网设备，攻击者无需建立外部连接，降低被检测风险。

2.5 Visual Studio 软件管理问题

• APT 组织利用 Visual Studio 的高权限执行环境进行攻击，包括 EvilSIn 技术和 AppDomainManager 注入技术。
• 海莲花组织使用 EvilSIn 技术，通过 GitHub 项目钓鱼并植入远控木马。
• 案例包括：海莲花利用 GitHub 项目钓鱼，通过 .suo 文件注入恶意代码。

2.6 .url 文件零日漏洞利用

• .url 文件相关的零日漏洞成为 APT 攻击的热点，如 CVE-2023-36025、CVE-2024-21412、CVE-2024-38112、CVE-2024-43451 和 CVE-2025-33053。
• 盲眼鹰组织利用 CVE-2024-43451 攻击哥伦比亚政府和法院。
• StealthFalcon 利用 CVE-2025-33053 攻击土耳其国防企业。
• 案例包括：盲眼鹰通过 .url 文件触发 WebDAV 通信，植入多种商业木马；StealthFalcon 利用零日漏洞实现信息收集和远程控制。

2.7 Chromium 沙箱逃逸漏洞

• CVE-2025-2783 是一个高危沙箱逃逸漏洞，被 ForumTroll 组织首次利用。
• 该漏洞允许攻击者通过渲染器进程获取浏览器进程的线程句柄，实现沙箱逃逸。
• 案例包括：ForumTroll 使用 Chrome 零日漏洞和沙箱逃逸漏洞实施攻击，植入 LeetAgent 后门软件，与 Memento Labs 的 Dante 工具链存在相似性。

威胁态势

3.1 概览

• 2025 年 APT 攻击活动数量达到 308 次，较去年增长 4%。
• 针对国防军事领域的攻击占比显著提升至 17%。
• 南亚地区 APT 活动最为活跃，占比从 2024 年的 40% 提升至 2025 年的 47%。

3.2 2025 年 APT 活动情况统计

• 308 起 APT 攻击事件中，96% 来自 61 个已知 APT 组织，4% 来自 11 个新兴组织。
• 主要攻击组织包括：Sidewinder（16%）、Transparent Tribe（14%）、Kimsuky（13%）等。

3.3 APT 区域态势

• APT 攻击集中在南亚、东亚、东欧、中东等区域，与地缘政治局势高度相关。
• 南亚地区 APT 活动数量显著增加，从 2024 年的 39% 上升到 2025 年的 47%。

趋势展望

• APT 攻击将更加依赖 AI 技术，提高攻击效率和隐蔽性。
• 社会工程学战术将继续演变，如 ClickFix 和 AI 生成诱饵。
• 供应链攻击和多重签名劫持将成为经济犯罪的重要手段。
• 隐匿通信技术如敲门模式将更加普遍，提高攻击隐蔽性。
• .url 文件和 Chromium 沙箱逃逸漏洞将仍是 APT 组织的重点攻击目标。
• 随着技术的发展，APT 攻击将更加复杂，对安全防护提出更高要求。