大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
导语
韩国四大情报、安全机构联合安实验室AhnLab发布重磅联合预警（代号「双管行动 Operation Double Barrel」）：老牌国家级APT组织Lazarus（拉撒路）正在和Gunra勒索软件团伙深度合作，共享全套漏洞利用工具、C2指挥服务器、SSH隧道密钥、内网提权组件。
两套攻击链路并行作战：同一套入侵入口，APT植入间谍后门长期窃取政务、加密、军工核心情报；勒索团伙同步加密企业文件索要赎金，政府单位、医疗机构、制造工厂、加密平台双线受害，普通民众安装韩国官方金融安全软件也会中招！情报来源：The Record权威报道、韩国国家级联合安全公告、AhnLab完整技术溯源报告。
一、颠覆传统威胁格局：APT反向赋能勒索黑产
过往网络威胁逻辑大多是勒索团伙依附APT购买入侵权限，本次「双管行动」完全反转：Lazarus作为国家级黑客团队，直接输出自研全套攻击武器、成熟入侵链路给新兴Gunra勒索团伙，两大组织共用攻击基础设施，仅最终目的不同：
1. Lazarus主线：长期间谍情报窃取
2025-2026上半年持续渗透韩国政企，仅2026年内已攻陷72家机构，覆盖政府机关、加密货币交易所、IT服务商、军工配套企业，植入持久化后门潜伏数月，批量窃取涉密文件、客户资产数据、内部架构资料，无勒索行为，核心目标战略情报收集。
2. Gunra支线：双重勒索变现
依托Lazarus提供的同一漏洞入口攻入内网，采用Conti泄露源码改造勒索程序，执行「先偷数据、再全盘加密、暗网泄露要挟赎金」模式，截至2026年3月全球受害企业达32家，医疗、制造、科技行业损失惨重。
铁证证明深度资源互通
安实验室溯源发现两者攻击痕迹100%高度重合，不存在偶然撞库：
完全一致恶意程序文件名、后台执行参数
同款内网权限提升工具、反向SSH隧道密钥指纹
共用一批境外C2指挥服务器、文件下载节点
清除痕迹手法统一：恶意文件重命名4位随机字符后彻底抹除
团伙合作模式推测
1. 技术共享：Lazarus输出自研漏洞利用载荷、无文件加载器；
2. 基础设施共用：分摊服务器、VPN运营成本，降低溯源风险；
3 收益分成：APT拿情报资源，勒索团伙获取赎金后分成；
4. 分工配合：APT负责长期潜伏监控，勒索团伙短期一次性变现。
二、两大主流入侵入口，访问正规网站就中招
整套攻击不依赖高难度钓鱼附件，普通人日常上网、办公浏览官网都可能沦陷，两大入侵渠道全覆盖：
渠道1：水坑供应链攻击（最高危）
攻击者批量攻陷15家韩国本土正规企业官网（医疗、教育、制造、媒体），入侵建站服务商后台统一篡改页面代码，植入漏洞触发脚本。
用户只要正常访问官网，电脑安装的强制国民金融安全软件会触发高危漏洞，恶意代码自动注入微软合法进程后台静默运行，全程无弹窗、无报错。
渠道2：AI生成鱼叉钓鱼邮件
攻击者使用大模型生成高度逼真诱饵，典型案例伪装氮化镓半导体行业调研问卷，定向发送军工、芯片企业员工，打开附件即释放加载器，同步打通APT后门与勒索程序通道。
三、核心攻击漏洞：全民必装金融软件藏致命隐患
本次攻击核心突破口是韩国境内强制安装的金融安全防护程序，无论企业办公机还是个人家用电脑，办理网银、政务业务都必须部署，漏洞触发门槛极低：
仅访问被篡改的网页页面，无需下载附件、点击链接，浏览器加载页面瞬间即可完成代码注入，个人家用PC、企业内网服务器同步暴露风险，覆盖人群极广。
四、Gunra勒索团伙完整作案链条
1. 基础底层：基于泄露Conti v2勒索源码二次改造，2025年4月首次出现；
2. 运营模式：2026年转型勒索即服务（RaaS），对外出租加密工具；
3. 作案手段：双重 extortion 双重勒索——先全盘导出企业财务、客户资料，再加密本地服务器文件，拒绝支付赎金就在暗网数据泄露站公示全部机密；
4. 传播短板：早期无自研入侵工具，本次靠绑定Lazarus技术实现大规模扩散。
五、Lazarus长期勒索产业链布局（不止Gunra）
本次双管行动并非首次跨界合作，近18个月Lazarus旗下Andariel分支持续对接全球各类勒索团伙：
Play勒索软件：针对欧美医疗机构入侵变现；
Qilin勒索软件：主攻亚洲制造、外贸企业；
Medusa勒索软件：袭击美国医疗体系；
过往合作多为APT拿下内网后转手卖给勒索团伙，本次直接输出全套武器库，协同攻击模式升级，溯源、防御难度成倍提升。
六、高危单位&个人自查清单
重点高危企业
1. 韩国本地政府、军工、半导体、芯片研发机构；
2. 加密货币交易所、Web3科技服务商；
3. 医疗机构、生产制造工厂；
4. 本土IT服务商、建站、软件开发公司。
普通用户高危行为
日常使用电脑办理网银、政务业务，安装官方金融安全软件但长期不更新补丁；经常浏览本土企业官网，无终端防护软件。
七、分层落地防御方案（企业运维+个人双版）
一、企业运维核心加固措施
1. 全面升级金融安全软件至官方最新补丁，关闭网页端自动脚本加载权限；
2. 全网终端部署EDR，监控微软进程异常注入、SSH反向隧道外联行为；
3. 全网域名黑名单拦截攻击配套C2服务器，审计境外异常外联流量；
4. 官网运维定期巡检页面底层代码，建站服务商后台增加访问权限管控；
5. 邮件网关拦截半导体、军工调研类陌生钓鱼邮件，附件沙箱强制检测；
6. 内网分段隔离，财务、研发核心服务器禁止普通办公机直连。
二、个人用户防护要点
1. 定期更新金融安全防护程序，关闭浏览器不必要脚本权限；
2. 陌生行业调研、政务问卷邮件不打开，直接删除；
3. 访问本土企业官网出现卡顿、程序闪退立即关闭页面，全盘安全扫描；
4. 家用电脑安装正规终端防护软件，不裸机上网办理金融业务。
三、疑似入侵应急处置流程
1. 立刻断开内外网，禁止重启保留内存取证痕迹；
2. 全盘检索随机4字符命名可疑恶意程序，批量删除；
3. 服务器、办公机全部账号重置，开启多因素MFA验证；
4. 内网全量扫描后门、勒索程序残留，排查SSH异常隧道；
5. 留存网络、系统日志，同步上报本地网络安全主管部门。
八、行业安全深度总结
Lazarus向勒索团伙全套输出攻击工具，标志国家级APT与黑产勒索产业链彻底打通，威胁边界完全模糊。以往企业只需区分间谍攻击、勒索攻击两类防护逻辑，现在同一入侵入口会同步面临情报泄露+文件加密双重毁灭性打击。
政企不能仅靠杀毒、邮件过滤基础防护，必须从供应链官网、强制行业软件、终端行为监控三大维度建立多层防御，同时定期更新行业专属安全补丁，避免一套漏洞同时沦为间谍窃取、勒索变现双重跳板。
互动话题
你们企业是否强制安装行业专用安全软件？遇到过官网水坑式入侵风险吗？评论区交流运维防护经验！
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。