Posted in威胁分析
编译即免杀：Nuitka编译的Python后门正在成为APT组织的“隐形刀锋”
概述
近期，瑞星威胁情报平台捕获并深度解析了一起针对国防军事领域的定向渗透活动。该攻击具有鲜明的地缘政治背景，诱饵内容紧密围绕巴基斯坦防务展（IDEAS 2026）与北约坚定飞镖-2026军事演习两大热点事件，其目标精准指向国防工业供应链、政府外交人员及军事研究机构。
Posted in威胁分析
警惕“套娃”式攻击：银狐木马借道虚假“OpenClaw本地部署工具”传播，背后暗藏商业欺诈
概述
瑞星威胁情报平台近期捕获到一个高度仿真的恶意安装包（FakeApp）。该样本不仅捆绑了臭名昭著的银狐木马，其内置的所谓正常程序实质上也是一款涉嫌商业欺诈的李鬼软件。
一旦用户运行程序，内嵌的恶意载荷会直接加载至内存执行。载荷随后以系统服务形式常驻，获取高权限后与远程服务器通信以窃取敏感数据。与传统样本不同，该样本携带的OpenClaw本地部署工具极具迷惑性——它将原本免费开源的项目通过技术封装变为收费模式，通过诱导用户付费实现二次牟利。
Posted in威胁分析
2025年5月：OceanLotus组织针对中国的攻击事件分析报告
概述
瑞星威胁情报平台近期发现针对国内用户的定向攻击活动，目标主要涉及政府及教育机构等关键领域。攻击者利用MSI TRANSFORMS技术的新手法，通过在MST文件中植入恶意载荷，操控MSI安装程序的执行流程，在安装过程中加载并运行恶意代码。为提升隐蔽性，攻击者采用多阶段加载机制，通过释放和执行内嵌shellcode的恶意代码，在内存中运行木马，实现对目标主机的信息窃取和远程控制。溯源分析显示，该攻击活动与OceanLotus组织高度相关，表明其攻击能力显著增强，因此需高度关注并加强防护。
OceanLotus（海莲花）又名APT32、SeaLotus， 是一个具有东南亚国家背景的APT组织，其攻击活动最早可追溯到2012年。自2015年首次披露以来，该组织持续活跃至今，后续针对中国境内的攻击活动扩展到几乎所有重要机构，包括政府部门、科研院所、境内高校和金融投资机构等。
Posted in威胁分析
伪装成Flash安装包的恶意攻击分析
概述
近日，瑞星威胁情报平台发现一起伪装成合法软件安装包的恶意攻击事件。攻击者将初始样本命名为Flash1.1.msi，冒充Flash安装包诱骗用户执行。随后，通过自定义脚本将样本内的恶意载荷在本地解压，并改名为wegame.exe，伪装成腾讯游戏客户端程序以迷惑用户。该程序运行后将内嵌在自身的远控木马在内存中动态执行，实现文件不落地攻击。远控木马通过与远程服务器通信，发送/接收数据，可能导致用户数据泄露或系统被控制。目前，该样本在VirusTotal上的检出率极低，目前仅瑞星独家检出。建议用户从官方渠道下载软件，并保持安全软件实时更新，以防范此类攻击。