大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
导语
Palo Alto Unit42最新披露代号Blinder‑Tunnel（盲道隧道）的伊朗关联APT行动。黑客伪装迪拜机场IT部门HR，向中东关键基础设施领域工程师投递恶意C程笔试题压缩包。
开发者只是用Visual Studio打开项目，还没点击编译，后门就已经静默执行。整套攻击滥用`.csproj`项目文件、AppDomainManager劫持、DLL侧加载三重高级逃逸技术；更绝的是把GitHub仓库、GitHub Issues评论当做C2指挥服务器，恶意流量混在正常开发者云访问中，边界防火墙极难识别。
这套针对开发人员的间谍战术，对全球研发团队都具备极高借鉴警示意义。
一、团伙与行动背景：以招聘为诱饵的间谍作战
该活动被Unit42标记为CL‑STA‑1178，和历史“Dream Job虚假招聘”APT战术一脉相承，目标瞄准伊拉克、阿联酋、以色列地区电信、航空关键基础设施从业人员。
攻击者早在2025‑11就完成全套基础设施搭建，蛰伏至2026年3月正式发动攻击，整套工具套件以英剧《浴血黑帮Peaky Blinders》为命名主题：
加载器：ShelbyLoader V2
主远控：ShelbyC2 V2
隧道工具：Blackwood（封装Chisel）
GitHub账号仓库全部使用剧中角色名字命名。
攻击逻辑：不发恶意docx、不发exe，伪装成求职笔试题，专门欺骗程序员。
二、完整攻击链路：打开VS项目即沦陷，无需编译
Step1 虚假招聘钓鱼投递
1. 攻击者冒充迪拜机场IT部门HR，发送招聘邀约，附带一套仿真招聘门户安装包，先做一轮心理铺垫降低戒备；
2. 随后投递压缩包`DubaiAirport_Carrers_IT_Test.zip`，伪装编程能力测试；
3. Readme文档直呼目标真实姓名，要求打开C航班管理系统”项目，查找修复代码内故意留下的小bug。
很多工程师的直觉：只是打开项目看代码，不编译就不会中毒。而这正是攻击者精心设计的陷阱。
Step2 恶意csproj文件触发，IDE后台自动执行载荷
项目内的`.csproj`工程配置文件被武器化。
Visual Studio打开项目会自动执行设计时编译（design‑time build），不需要用户手动点击生成/编译按钮。
攻击者在工程文件内自定义`GetFrameworkPaths`目标，VS后台初始化时直接执行攻击者写入的指令：
1. 在`%LOCALAPPDATA%\Microsoft\RuntimeBrokers`创建伪装系统目录；
2. 从项目Resources资源文件夹拷贝恶意二进制；
3. 直接启动改名后的`RuntimeBroker.exe`恶意载体。
Step3 AppDomainManager劫持，直接关闭ETW事件追踪
这是本次攻击的核心逃逸手段：
攻击者篡改`.config`配置，替换.NET默认AppDomain管理器，并且设置`<etwEnable enabled="false"/>`，直接关闭Windows ETW事件追踪。
ETW是EDR、威胁检测工具重要数据源，关闭之后大量内存恶意行为直接没有审计日志，安全设备很难捕获攻击痕迹。
Step4 DLL侧加载，释放ShelbyLoader V2加载器
利用DLL搜索顺序劫持，把ShelbyLoader V2（RuntimeBroker.dll）加载进内存，完成初始驻留。至此整套入侵完成，程序员还在阅读题目文档，机器已经完全被攻击者接管。
三、武器链解析：GitHub当C2，Issue评论做备用死信投递
① ShelbyLoader V2主加载器
每63秒向外GitHub仓库上报主机指纹，上传Base64加密的采集信息；
注册表写入开机启动项`MicrosoftRuntime`实现持久化；
内置沙箱/虚拟机检测，识别分析环境直接退出；
主C2被封禁自动切换备用方案：GitHub Issues搜索API。
黑客把AES‑256加密后的指令藏在GitHub Issue的HTML注释`<!--->`之内。
恶意程序按日期检索Issue评论，提取、解密拿到新C2地址、PAT令牌。就算仓库被删，只要评论还在，攻击者依旧可以下发指令。
② PsProxy.dll：无PowerShell.exe的内存命令执行
传统APT会生成`powershell.exe`进程，很容易告警。
`PsProxy.dll`直接加载.NET PowerShell引擎，在自定义Runspace内存上下文执行脚本，全程不生成powershell.exe进程，规避大量基于进程名的检测规则。
③ ShelbyC2 V2 完整RAT远控
拿到从GitHub解密下来的载荷，内存反射加载ShelbyC2 V2，实现完整远控能力：文件读写、命令执行、信息窃取。
④ Blackwood隧道工具（封装Chisel）
需要横向渗透内网时，内存加载Blackwood，内部封装开源Chisel隧道工具，建立SOCKS5反向代理隧道，外网攻击者可以穿透边界，在内网任意跳转。全部载荷可以内存运行，不必落地磁盘。
四、运维自查，出现这些迹象警惕Blinder‑Tunnel家族
1. 收到外部投递的VS CCSPROJ笔试题、考核项目，解压打开后出现`RuntimeBroker.exe`从非系统目录启动；
2. 用户目录下出现路径`%LOCALAPPDATA%\Microsoft\RuntimeBrokers`；
3. 注册表Run键出现`MicrosoftRuntime`陌生启动项；
4. .NET程序配置文件内出现`<etwEnable enabled="false">`关闭ETW的配置；
5. 终端高频访问GitHub私有仓库、Issue搜索API，业务无开发需求；
6. 进程日志发现vshost.exe被改名复用，搭配异常DLL侧加载行为。
重点提醒：触发攻击不需要编译项目，只要用VS打开这个工程就中招。
五、企业&研发人员防御方案
📌研发人员个人防护
1. 外来笔试题、外部CVS项目，禁止直接在日常开发主机打开，必须隔离虚拟机操作；
2. 不要轻信LinkedIn、邮件上来的海外大厂“线上编程考核”；
3. 打开陌生Visual Studio项目保持警惕：打开即会触发设计时Build，不等你点编译。
📌企业安全运维加固
1. EDR重点监控：
csproj触发设计时build带来的文件拷贝、程序执行；
.NET程序配置关闭ETW（etwEnable=false）行为；
非系统路径RuntimeBroker.exe运行；
注册表`HKCU\Run`新增`MicrosoftRuntime`启动项；
无业务背景终端大量访问GitHub Issue搜索API；
vshost系列程序DLL侧加载行为。
2. 安全培训更新：重点告知研发，VS打开项目本身就存在执行风险，不是只有编译才危险。
3. 招聘流程：外来技术笔试尽量使用企业在线沙箱环境，不要下发完整VS工程压缩包给到员工本地电脑。
📌疑似入侵应急处置
1. 立刻隔离受感染终端，阻断GitHub隧道通信；
2. 清除`RuntimeBrokers`目录、清除恶意注册表启动项；
3. 导出内存镜像，ETW被关闭，磁盘文件痕迹很少，内存取证至关重要；
4. 重置本机账号、Git/GitHub、云服务全部密钥；
5. 内网排查是否已经通过Blackwood隧道发生横向移动。
文末总结
Blinder‑Tunnel展示了针对程序员群体APT的全新高度。
过去大家以为：危险来自exe、恶意Office文档。现在攻击者直接拿开发工具本身做武器：仅仅打开一份VS项目，不用编译，就能完成全套入侵。同时滥用GitHub公开基础设施做C2，Issue评论充当死信，流量完全伪装成普通开发者访问，传统边界设备很难拦。
对于企业安全团队，防御不能只盯着普通办公文档，研发人员的开发机，已经成为APT入侵企业内网的高危突破口。
转发给后端、全栈、DevOps、HR招聘同事，警惕伪装编程笔试题的高级间谍攻击！
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。