大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
一场看似孤立的定向黑客攻击，一套代号“愤怒火花”的间谍软件，为何安全研究员深挖后惊觉：它根本不是独立攻击工具，而是巨型国家级间谍行动「三角计划」披在外面的伪装外衣？Bill Marczak最新深度调查撕开网络情报黑幕，普通人的设备、企业涉密数据、公职人员通讯，全在这套双重陷阱的监视范围内。
打开任意设备，点进陌生文件、接收一封钓鱼邮件，你以为只是一次普通病毒入侵，殊不知，你触发的“AngrySpark愤怒火花”，只是庞大三角间谍网络伸出来的第一只触手。知名安全研究员Bill Marczak在Medium发布重磅调研《An Angry Spark or a Triangle in Disguise》，拆解两套间谍工具千丝万缕的底层关联，揭开跨国情报机构如何用小型恶意软件做掩护，落地大规模长期监控的完整链路。
一、初见：AngrySpark，一次针对性极强的“单点火花攻击”
最初安全圈对AngrySpark的认知，停留在一款轻量化间谍木马。
它目标精准、体量小巧，主打单点渗透：专门锁定特定公职人员、企业核心研发、安全厂商员工，通过定制钓鱼文档、伪装办公工具植入设备。
中招后，它只会悄悄窃取通讯录、本地文档、即时通讯记录，行为克制、痕迹微弱，杀毒软件很难捕捉。
初期溯源时，分析师一度判定：这只是小范围短期情报窃取工具，行动规模有限，威胁可控。
可Bill Marczak团队在梳理恶意程序底层服务器、代码签名、流量隧道时，发现了无法忽视的重合痕迹——AngrySpark所有配套攻击基础设施，和代号“Triangulation（三角）”的老牌国家级间谍行动高度重叠。
二、深挖：三角行动，藏在火花背后的巨型监控网络
Triangulation三角行动，是深耕多年的复杂黑客体系，攻击逻辑完全是“全覆盖式围剿”：
1. 攻击人群无边界：从政企高管、安全实验室研究员，到涉外公务人员，全域覆盖；
2. 攻击载体多元化：移动端木马、PC长期驻留病毒、固件后门、运营商流量劫持全部包含；
3. 情报目的长期化：不满足单次偷文件，而是建立持续监听通道，数年不间断回传设备数据。
两套工具本应是完全独立的项目，却共享同一批中转域名、地下C2服务器、加密传输算法，甚至部分底层代码模块完全一致。
研究员给出颠覆性结论：AngrySpark从来不是独立项目，只是三角行动放出来的“伪装诱饵”。
为什么要多此一举，用“愤怒火花”掩盖三角计划？核心逻辑有两层：
1. 分散安全厂商注意力
当AngrySpark零星爆发，各大安全团队只会单独针对这款小型木马制作查杀规则，注意力被局限在单点攻击样本，很难顺藤摸瓜挖出背后整套庞大三角间谍网络。
2. 降低目标警惕，提升渗透成功率
“单次、小型、定向”的AngrySpark，会让受害者放松戒备；一旦设备被火花木马拿下，后台会静默加载三角行动全套持久化后门，实现长期潜伏监控。
简单说：愤怒火花是敲门砖，三角监控才是真正藏在门后的猎手。
三、两大间谍程序重合铁证，每一条都细思极恐
Bill Marczak在文章中列出多条实锤技术线索，每一项都无法用“巧合”解释：
1. 基础设施同源：AngrySpark下发指令、回传数据的代理服务器，大量复用三角行动历史攻击域名与IP池；
2. 加密逻辑统一：两类恶意软件采用完全相同的自定义加密协议，密钥生成规则、数据包封装格式无差别；
3. 开发团队痕迹重合：代码内注释、调试标记、编译环境指纹高度匹配，指向同一批开发人员；
4. 攻击链路承接关系：AngrySpark植入设备后，内置静默下载模块，会自动拉取三角行动持久化监控程序。
看似割裂的两次网络攻击，实则是一套分层作战方案：先用轻量化AngrySpark做前置突破，得手后无缝切换至全方位三角监控体系。
四、普通人/企业必看：如何识别这套双重间谍陷阱？
不管是职场办公、个人电脑手机，这套分层攻击套路有清晰识别特征，做好4点规避99%风险：
1. 警惕定制化小众钓鱼文件
陌生来源的Word、Excel、压缩包，尤其是标注“内部调研、涉密通知、合作资料”的文档，不要直接启用宏、允许编辑权限，AngrySpark最常藏身其中。
2. 定期排查后台陌生进程
设备出现无故卡顿、后台莫名上传流量、摄像头麦克风间歇性自启，大概率是木马驻留信号，立刻断开网络全盘查杀。
3. 拒绝非官方渠道工具安装
破解软件、小众绿色办公工具、第三方加密通讯客户端，是两套间谍程序最主流的植入载体。
4. 企业建立分层威胁溯源机制
安全团队不能只查杀单一样本，需同步追踪恶意程序关联服务器、代码同源特征，避免只清除表层“火花木马”，漏掉深层三角后门。
五、行业反思：间谍攻击早已学会“分层伪装”，单一杀毒彻底失效
过去网络安全防御的固有思维：见到一款恶意程序，针对性拦截、清除就万事大吉。
但AngrySpark与三角行动的关联案例，给整个安全行业敲响警钟：现代国家级情报攻击，普遍采用“表层轻量工具+深层大型监控体系”的双层架构。
黑客不再依靠单一病毒完成所有窃取，而是用小型、低辨识度恶意软件做掩护，层层递进植入复杂后门。只针对表象样本防御，等于只拔掉杂草，地下主根依旧完好，监控随时会重启。
Bill Marczak在文末总结：网络威胁早已不是“非黑即白的单一攻击”，很多看似孤立的安全事件，背后都串联着更大、更隐蔽的间谍工程。我们看见的“愤怒火花”，或许只是巨型三角猎手露出的冰山一角。
你工作中是否收到过来源不明的定制文档？有没有遇见过设备莫名后台跑流量的异常情况？评论区聊聊你遇到过的网络钓鱼陷阱，转发给身边做政企、研发、安全行业的朋友，提前避开这套双层间谍伪装陷阱！
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。