大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
导语
一份公开报告只放出2份恶意样本哈希，安全厂商ReversingLabs依靠海量遥测数据向外扩线，挖掘出整套完整攻击集群：5个版本加载器、特殊60字节诱饵快捷文件、整套钓鱼基础设施。这就是和Midnight‑Blizzard（APT29/NOBELIUM）高度关联的GTG‑20006（又称CaptiveCrunch）间谍行动。
更加值得警惕：攻击者使用AI大模型持续改写恶意代码，不断变更文件哈希规避查杀；即便安全厂商已经公开预警，幕后C2服务器依旧持续对外下发恶意载荷。政府机构、智库、涉外企业、经常出差使用公共Wi‑Fi的人员，都是重点狩猎目标。传统只靠哈希、威胁信誉库的检测思路已经越来越跟不上对手迭代速度。
一、团伙背景：Midnight‑Blizzard（APT29）GTG‑20006行动
Midnight‑Blizzard，也就是大家熟知的APT29/Cozy Bear，长期从事定向情报窃取。本次GTG‑20006为其下属子活动，微软将该子集群标记为Storm‑2945，主要针对欧洲、乌克兰政府、外交机构、智库、国防相关企业。
重大战术变化：攻击者利用AI辅助改写恶意样本。恶意载荷会反复重编译，每一个新版本文件哈希完全改变，但是攻击行为、C2通信特征保持不变。传统依靠哈希IOC的狩猎方式直接失效。
整套武器两大核心组件：
1. ChocoShell（PowerShell加载器）：内存执行窃密脚本，窃取浏览器密码、会话Cookie、M365令牌；
2. CornFlake（Go语言后门）：持久化驻留，模仿系统进程`svchost32.exe`，实现长期驻留、键盘记录、进程注入。
二、惊人发现：从2个哈希向外铺开完整攻击版图
最开始外界公开情报，只公布ChocoShell、CornFlake两份样本SHA256哈希。ReversingLabs没有局限于这两个哈希做检索，转而分析样本内部的行为、通信字符串、文件溯源关系，取得重大突破：
1. 挖出另外5个经过AI重生成改造的ChocoShell变体，5份文件哈希全部不一样，但C2 beacon通信标签、整体攻击能力完全一致；
2. 找到2个特殊的Windows Internet Shortcut（.url）诱饵文件，仅60字节大小；
⚠️重点：这两个快捷文件本身不含任何恶意代码，37款杀毒引擎全部报“无害”，恶意全部藏在它指向的远程URL地址。用户双击快捷方式，就会访问黑客服务器，自动拉取PowerShell恶意载荷。
3. 定位攻击者核心C2中转服务器、一批仿冒M365、WhatsApp、涉外机构的钓鱼域名；
4. 时间线证明：全套基础设施早在微软、Anthropic对外发布报告数周之前就已经出现在遥测数据中。
5. 公开披露之后8周，攻击者的核心服务器依旧正常200响应，持续下发恶意载荷，并没有因为报告发布而下线！
关键结论：单纯靠哈希、第三方威胁信誉评分，很难捕捉这套攻击；真正有效的线索来自行为特征、通信字符串、文件‑服务器‑域名之间的关联关系。 大量钓鱼域名在几十家威胁情报源中，仅仅只有2‑3家标记为恶意。
三、完整攻击执行链路
Step1：前期投递入口（两种主流方式）
1. 设备代码钓鱼 Embassy‑Kit
黑客使用仿冒M365的钓鱼域名，诱导受害者输入设备授权码。受害者在微软官方登录页面完成账号密码+MFA验证，但是授权的是黑客的会话，攻击者直接拿到Entra ID访问令牌，就算开启多因素认证也会失守。
2. 公共Wi‑Fi劫持（酒店/会议场所）CaptiveCrunch战术
攻陷酒店、会展中心Wi‑Fi门户，用户连接网络时被劫持跳转，分发恶意`.url`快捷诱饵文件。
Step2：双击60字节快捷文件，拉取ChocoShell加载器
受害者双击收到的`.url`互联网快捷方式：
快捷文件指向黑客服务器路径，部分载荷还伪装成JS库`vendor‑9f3a1c.min.js`；
服务器返回ChocoShell PowerShell脚本，内存中无窗口执行；
修改PowerShell执行策略，Base64解码执行恶意逻辑；
使用PowerSploit/Empire工具集，读取Chrome、Edge、Firefox浏览器全部凭证、历史记录；
向黑客C2发送像素GIF beacon心跳，带上`stage2_entry`、`stage2_ctx_`这类独特标记，上报主机状态。
Step3：部署CornFlake Go后门建立持久化
ChocoShell完成初步入侵之后，下发CornFlake（svchost32.exe）Go后门：
1. 拷贝至`%LOCALAPPDATA%\Microsoft\svchost32\`目录，伪装系统svchost；
2. 注册表Run启动项 + Schedule.Service COM对象双重持久化；
3. 进程注入、键盘记录，采集Teams缓存文档；
4. 持续和黑客基础设施建立连接，完成情报窃取。
四、运维自查，出现这些迹象高度警惕GTG‑20006活动
终端可疑痕迹
1. 目录`%LOCALAPPDATA%\Microsoft\svchost32\`出现`svchost32.exe`（Windows原生并不存在该程序）；
2. PowerShell脚本块日志出现`/t/pixel.gif`、`stage2_entry`、`stage2_ctx_`特征字符串；
3. 系统内出现来源不明、体积仅60字节的`.url`互联网快捷文件；
4. PowerShell以隐藏窗口执行，调用`FromBase64String`、`Invoke‑Expression`、`Start‑Job`。
网络告警线索
1. 终端对外访问裸IP的HTTPS请求，访问路径包含`/t/pixel.gif`心跳地址；
2. 访问仿冒域名：`ms365‑live.com`、`owa‑ms365.com`、`wa‑meeting.com`等；
3. 业务无关设备访问攻击者中转IP：`213.145.86.112`。
业务侧风险信号
1. 员工出差使用酒店、会展公共Wi‑Fi之后，出现异常M365设备代码授权记录；
2. Entra ID审计日志出现陌生设备代码登录授权事件。
重要提醒：恶意`.url`快捷文件本身不会触发杀毒告警，风险来自它指向的外部URL，只扫描本地文件无法发现威胁。
五、企业防御加固方案
📌云身份侧（最重要）
1. 在Microsoft Entra ID条件访问策略，直接禁用OAuth设备代码授权流程（Device Code flow），业务没有硬件设备需要该能力的组织强烈建议关闭；
2. 开启登录风险告警，重点监控设备代码类授权事件；
3. 全员培训：不要在任何非可信公共Wi‑Fi环境处理企业办公账号、登录M365。
📌终端EDR/SIEM狩猎重点
1. 部署YARA、Sigma规则，狩猎`stage2_entry`、`stage2_ctx_`这类beacon特征字符串，不要只依赖样本哈希；
2. 监控路径`%LOCALAPPDATA%\Microsoft\svchost32\`下程序执行行为；
3. 开启PowerShell脚本块日志（Event ID 4104）；
4. 告警系统内陌生`.url`互联网快捷文件，尤其是指向外部高危IP/钓鱼域名的快捷方式。
📌威胁情报运营最佳实践
1. 拿到外部厂商发布威胁报告的IOC，不要只做简单哈希拉黑，立刻拿报告中的网络IOC、字符串特征回溯历史遥测数据，排查过去是否已经中招；
2. 不要迷信第三方威胁信誉评分；很多APT基础设施只有极少数安全源标记恶意，信誉分数很低但实际危害巨大；
3. 重点关注文件‑URL‑IP‑域名之间的关联关系，这是对抗AI多态改写恶意样本最有效的手段。
📌疑似入侵应急处置
1. 立刻隔离受感染终端，阻断向外C2通信；
2. 检查Entra ID，撤销全部可疑设备代码授权、全部用户刷新令牌；
3. 全体受影响账号重置密码，重新注册MFA凭证；
4. 清除`svchost32`相关后门文件、注册表持久化项；
5. 导出PowerShell脚本块日志、网络日志做完整取证，横向排查内网其他终端是否被入侵。
文末总结
GTG‑20006行动给安全行业带来很现实的启示：
当攻击者可以使用AI快速重编译恶意代码，文件哈希就变成了转瞬即逝的指标。同一个攻击家族，短时间产出多个完全不同哈希的变体，传统IOC黑名单会快速失效。
本次事件更讽刺的一点：安全厂商发布公开预警之后，攻击者C2服务器依旧在线持续下发载荷。很多组织以为报告发布威胁就消失，实际基础设施还在持续运作。
防御重心需要从“拉黑恶意文件哈希”，转向行为检测、通信特征狩猎、身份协议管控、基础设施关联分析。
尤其是政府、智库、涉外企业，一定要重点管控M365设备代码授权，同时提醒出差人员警惕酒店、会展公共Wi‑Fi带来的定向间谍风险。
转发给SOC、运维、身份安全同事，警惕Midnight‑Blizzard AI赋能的新一代间谍攻击！
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。