大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
日本计算机应急响应小组JPCERT/CC最新发布重磅预警：长期针对日本政企机构的APT组织APT-C-60，2026年攻击手法全面升级。
最恐怖的不是新木马，而是这套攻击链路全程滥用合法服务和系统自带工具——Proton Drive存毒、mshta执行脚本、git.exe加载载荷、GitHub/GitLab/jsDelivr/Codeberg四大开发者平台全部沦为攻击基础设施。
传统防火墙、EDR、流量审计全部失效，因为每一步访问看起来都是"正常业务行为"。日本多家政府机构、制造业、科研院所已确认中招，国内对日贸易、有日本分支机构的企业需紧急自查。
一、攻击入口：一封钓鱼邮件，套娃三层才见恶意
APT-C-60的初始入侵极其隐蔽，走的是"层层包装、逐步解密"的套路，普通员工几乎无法靠肉眼识别：
第一步：鱼叉邮件+Proton Drive云盘诱饵
攻击者不会直接把恶意文件挂在邮件里（容易被网关拦截），而是在邮件正文放一个Proton Drive网盘链接。
邮件主题高度定制化，针对目标公司业务场景（如"合作询价""项目资料""招标细则"）
Proton Drive是瑞士端到端加密网盘，企业防火墙通常不会拦截知名云存储域名
点击后下载一个名为「具体的内容.rar」的压缩包，看起来再正常不过
第二步：RAR解压=视觉陷阱，LNK才是杀招
解压后你会看到4个文件：
`7209555.jpg`（诱饵图片）
`録音1.mp3`（诱饵音频）
`$RECYCLE`文件夹（藏doc文件）
「利権癒着の具体的内容.lnk」（真正的恶意文件）
文件名用日语写着"权钱勾结的具体内容"，对政府、企业高管极具诱惑力。绝大多数人会本能地点开这个"文档快捷方式"，而不是图片或音频。
第三步：LNK不是快捷方式，是JS代码容器
这是最反常识的一点：这个LNK文件里内嵌了完整的JavaScript代码。
双击运行后，它会调用Windows系统自带的合法工具`mshta.exe`来执行藏在LNK里的JS脚本——全程没有exe、没有dll，用的全是系统自带程序，杀毒软件默认放行。
二、七层隐身攻击链：全白名单工具，EDR直接失明
从点击LNK到木马落地，APT-C-60设计了一条"全程合法、全程无文件特征"的攻击链路，每一步都在利用企业白名单：
第1层：mshta.exe执行JS（系统自带）
Windows原生HTML解析程序，所有企业都不会禁。用来解密执行LNK文件里的混淆JS代码。
第2层：从jsDelivr CDN下载"文本文件"
JS脚本会去jsDelivr（全球知名前端CDN）下载一个叫`contributing[1].txt`的文件。
jsDelivr是开发者常用的免费CDN，企业基本全放通
文件名看起来像开源项目贡献指南，实际是加密的恶意载荷
第3层：解码提取，伪装成系统目录
下载的txt文件被解码还原成TAR压缩包，解压到`%APPDATA%/Microsoft/Vault/`目录下。
路径名带Microsoft、Vault，伪装成系统凭据管理器文件夹
里面全是`.db`数据库文件和`.doc`/`.pdf`诱饵，肉眼看不出问题
第4层：用git.exe拼接下载器（合法软件）
最绝的一步：攻击者调用系统里合法的Git命令行工具来执行脚本。
脚本把多个`.db`文件（TMI003.db + TMI100.db + TMI320.db...）二进制拼接，组合成一个完整的下载器程序`iconcache.dat`。
Git是开发人员标配，企业不可能禁用
.db文件单独看全是垃圾数据，拼接后才是完整恶意代码，静态扫描根本查不出来
第5层：多平台轮询下载SpyGlace木马
下载器生成后，会依次访问GitHub、GitLab、jsDelivr、Codeberg四个合法代码托管平台，从上面下载最终的远控木马SpyGlace。
2025年只用GitHub + Bitbucket，2026年一口气新增3个平台，大幅提高存活率
哪个平台能连上就用哪个，企业封了一个还有三个
第6层：注册表CLSID注入持久化
木马落地后通过修改注册表`HKCU\Software\Classes\CLSID\`实现开机自启，伪装成Windows图标缓存组件，路径藏在`Explorer\iconcache.dat`，极其隐蔽。
第7层：SpyGlace远控全面接管
最终落地的SpyGlace木马已更新到v3.1.18版本，具备屏幕截图、键盘记录、文件窃取、命令执行、反向代理等全套间谍功能，攻击者可长期潜伏窃取机密。
三、为什么这套攻击防不住？三大设计直击防御软肋
1. 全链路"Living off the Land"，零特征可拦
从mshta、git.exe到GitHub、jsDelivr，每一步用的都是企业白名单里的合法工具和服务。传统基于黑名单、特征码的安全产品，从原理上就检测不出来。
2. 载荷拆分碎片化，静态扫描失效
恶意代码被拆成多个.db文件分散存放，单独扫描全是无害数据，只有运行时通过Git脚本拼接才会还原。这直接绕过了90%的静态文件扫描。
3. 攻击基础设施平民化，封不胜封
以前APT组织用自己的C2服务器，封IP就能阻断。现在直接用GitHub、jsDelivr这类全球开发者基础设施，你总不能把整个GitHub封了吧？
四、高危目标群体立刻排查
1. 对日贸易、有日本分支机构的中企：APT-C-60主要针对日本机构，但供应链上下游容易被波及
2. 制造业、汽车、电子行业：该组织重点盯梢工业技术、知识产权
3. 政府、科研、高校：传统APT攻击高价值目标
4. 开发人员密集的企业：电脑上装了Git，正好满足攻击者"借刀杀人"的前提条件
五、企业落地防御清单（可直接发给运维）
邮件与入口防护
1. 加强鱼叉邮件识别培训，警惕邮件正文里的网盘链接（尤其是Proton Drive、MEGA这类加密云盘）
2. 邮件网关默认拦截RAR/ZIP压缩包内的LNK文件
3. 所有终端默认显示文件扩展名，避免把LNK快捷方式误认成文档
终端与行为防护
1. 限制mshta.exe、wscript.exe、cscript.exe的执行权限，普通用户无需使用
2. 监控git.exe的异常行为：如果Git不是被开发工具调用，而是被LNK/mshta拉起，直接告警
3. 启用EDR的行为检测规则：重点监控"LNK执行→mshta→下载文件→git执行"这条攻击链
4. 排查`%APPDATA%\Microsoft\Vault\`目录下是否存在非系统生成的`MsMpEng`、`mingw64`等可疑文件夹
网络与出口管控
1. 对GitHub、GitLab、jsDelivr、Codeberg等代码平台，限制非开发人员访问
2. 监控异常的jsDelivr CDN下载行为，尤其是下载.txt/.dat等非标准资源
3. 建立开发者域名白名单机制，只允许访问公司业务需要的代码仓库
应急处置
1. 一旦发现可疑LNK文件，立即隔离终端，断开网络
2. 全盘排查注册表CLSID项，清理异常持久化入口
3. 所有涉事账号密码、SSH密钥、API Token立即轮换
结尾提醒
APT攻击早已不是"传个病毒exe"的原始时代。
现在的高级黑客，最擅长的就是用你的工具、打你的系统、偷你的数据，全程走合法通道，让你的安全设备集体"失明"。
JPCERT这次披露的APT-C-60攻击手法，本质上是全球APT组织的一个缩影——合法服务滥用+无文件攻击+ Living off the Land，已经成为高级威胁的标配。
别等数据被偷了才想起加固，现在就去检查：你们公司的终端，mshta.exe还在随便跑吗？Git有没有被滥用来执行不明脚本？
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。