恶意软件通讯108期：APT升级、供应链沦陷、AI介入攻防

🎯 High APT组织

Security Affairs第八期恶意软件通讯汇集全球最新威胁研究，揭示TAG-195构建模块化恶意软件即服务生态，朝鲜BlueNoroff利用ClickFix手法针对旅行者，广告平台Adform遭供应链投毒传播加密窃密器，SilverFox通过滥用驱动和劫持合法软件在日企部署ValleyRAT。多款新型RAT与AI攻防工具亮相，安全态势严峻。

来源：Security Affairs | 2026-08-02 | 原文链接

🔍 关键发现

• TAG-195升级MaaS生态，提供模块化恶意工具，降低攻击门槛。
• DPRK BlueNoroff使用ClickFix社会工程手法，结合EtherHiding和钱包线索实施窃密。
• Adform广告平台被供应链投毒，植入加密币窃密器。
• SilverFox滥用新驱动和合法软件劫持，通过ValleyRAT对日本制造企业实施远程控制。
• 出现Flying Eagle、MedusaHVNC、HollowFrame等多款新型RAT/加载器，技战术持续演进。
• AI被同时用于防御（修复1072漏洞）和攻击（自主渗透测试），重塑攻防格局。

⚔️ 攻击链分析

1. 初始访问：通过钓鱼/水坑/供应链投毒或ClickFix诱导用户执行恶意代码。 2. 载荷投递：使用模块化加载器（如HollowFrame）或合法软件绕过检测。 3. 权限提升与持久化：滥用驱动程序、隐藏桌面（MedusaHVNC）窃取活动会话。 4. 数据外泄：窃取凭据、加密货币钱包，经加密通道外传。

🚩 失陷指标 (IOC)

• 暂无公开IOC（建议关注后续报告）

🛡️ 缓解建议

• ✅ 及时修补已知漏洞，尤其关注CISA KEV目录中的Cisco FMC及暴露的PLC设备。
• ✅ 对关键系统实施网络分段，避免ICS设备直接暴露互联网。
• ✅ 部署行为分析和AI检测引擎，监控异常进程、驱动加载及横向移动。
• ✅ 加强供应链安全：审查第三方脚本完整性，限制广告沙箱权限，定期审计供应商。
• ✅ 全面启用多因素认证，特别是在酒店Wi-Fi等不可信网络环境下。

涉及漏洞：[]

⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。