大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
不用高危零日漏洞，依靠Windows系统自带合法程序`mshta.exe`完成整套投毒，多阶段内存加载，落地ReverseRAT远控木马。
印度国家网络安全机构Cyber Swachhta Kendra正式发布高危预警：南亚APT组织SideCopy（假旗部落/TAG‑140） 正在发动新一轮鱼叉式钓鱼攻击，攻击范围从传统政府国防单位，进一步扩大到高校、科研院所。恶意LNK快捷方式+HTA脚本组合，大量落地ReverseRAT远控，窃取科研资料、内部涉密文档，科研、涉外单位需要高度警惕。
一、团伙背景：SideCopy 南亚老牌间谍APT
SideCopy是至少自2019年就持续活跃的南亚APT组织，和Transparent Tribe（APT36）行动高度关联。
传统目标：国防、政府、军警机构，主打情报窃取；
最新变化：将大量科研院校、研究机构纳入狩猎范围，瞄准科研成果、项目资料；
惯用战术：鱼叉钓鱼、伪装文档、滥用Windows原生LOLBin白工具、多阶段内存载荷，擅长模仿其他APT组织手法制造假旗混淆溯源；
本次武器：自研远控木马 ReverseRAT，依靠内存反射加载规避静态查杀。
二、完整攻击链路：LNK快捷方式打开，系统工具就开始投毒
整套攻击链全部依托Windows自带组件，恶意文件大量在内存执行，磁盘不留明显恶意exe，传统杀毒很难拦截。
1. 投递阶段：钓鱼邮件发送加密ZIP压缩包
压缩包内包含恶意LNK快捷方式文件 + 诱饵文档（docx）。文件名高度模仿会议纪要、研究报告、官方通知，诱导用户双击打开快捷方式。
2. 触发：LNK调用系统mshta.exe
双击LNK之后，不会打开文档；后台直接调用微软系统自带工具`mshta.exe`，从黑客C2服务器下载混淆加密的HTA脚本，全程使用系统签名程序执行，告警阈值极低。
3. 第一阶段HTA执行，释放DLL载荷
HTA脚本在内存反射加载恶意DLL，释放批处理脚本、二级HTA脚本，原始HTA脚本会被自动删除，销毁现场干扰取证。
4. 建立持久化驻留
修改Windows注册表`Run`启动项，指向二级恶意HTA，实现开机自动执行，机器重启之后后门依然存活。
5. .NET反序列化，内存加载ReverseRAT远控
二级HTA经过多层解密，利用.NET反序列化技术，完全在内存加载ReverseRAT，不需要落地恶意EXE到磁盘。
6. ReverseRAT接管主机
后门主动向外连接C2服务器，实现全套间谍能力：远程执行命令、截屏、窃取剪贴板、盗取账号密码、遍历导出本地文档、内网侦查、横向移动。
> 重点风险：全部执行链条大量复用Windows合法自带程序，很多安全设备默认信任mshta.exe，容易直接放行恶意行为。
三、ReverseRAT远控核心能力
远程执行任意系统命令；
屏幕实时截图，监控桌面操作；
捕获剪贴板内容，窃取复制的密码、助记词、密钥；
遍历本地文件，批量外渗文档、科研材料；
搜集本机软硬件信息用于情报整理；
支持后续下载更多恶意模块，扩展攻击能力。
C2基础设施主要域名：`dns.educationportals.biz`、`docsportal.in`。
四、攻击最值得关注的三个高危特征
1. 滥用mshta LOLBin白工具绕过防御
`mshta.exe`是Windows原生HTML应用程序解释器，拥有微软数字签名。攻击者把它当作“活的武器”，很多单位应用白名单默认放行该程序。
2. 内存为主，磁盘不留明显恶意样本
ReverseRAT依靠反射加载、.NET反序列化，恶意主体运行在内存。磁盘只留下hta、bat脚本，没有大型exe病毒，传统基于病毒库扫描防护效果大打折扣。
3. 目标扩大，科研高校成为重点
过去SideCopy主攻军政部门，现在大量瞄准高等院校、科研机构。诱饵贴合学术报告、项目通知，科研人员极易中招，核心科研成果存在外泄风险。
五、企业、高校可直接落地防护建议
📧邮件网关防护
1. 拦截外来ZIP压缩包内的`.lnk`快捷方式文件；
2. 对外来邮件附件中的HTA脚本进行隔离告警；
3. 对主题为会议通知、研究报告、项目信函的外来邮件增加人工复核。
🔐终端管控（最高优先级）
1. 使用AppLocker / WDAC应用控制策略，限制mshta.exe和hta脚本的运行权限，普通业务场景可直接禁止mshta执行外部网络下载的HTA文件。
2. EDR重点狩猎行为：
mshta.exe进程发起对外互联网下载请求；
进程链：LNK快捷方式衍生mshta.exe；
注册表Run启动项新增指向hta/bat脚本的异常条目；
.NET进程出现反序列化、内存反射加载行为。
3. 禁止普通日常业务使用管理员权限账号操作电脑。
🛡️日常安全意识
1. 打开系统设置显示文件扩展名，分辨伪装PDF/DOC的`.lnk`快捷方式；
2. 收到陌生ZIP压缩包，不要直接双击内部快捷方式；
3. 收到可疑官方、科研通知邮件，通过独立电话、IM渠道核验发件人真伪。
🚨中招应急处置流程
1. 第一时间隔离受感染主机，优先留存内存、注册表日志取证，不要直接重装系统丢失线索；
2. 清除注册表Run项下的恶意启动项，删除hta/bat恶意脚本；
3. 全量轮换本机账号、域账号、各类系统密钥凭证；
4. 回溯内网访问记录，排查是否发生横向移动、文档外泄。
六、总结
SideCopy本次ReverseRAT攻击再次展示现代APT的思路：不一定需要高危漏洞，熟练玩转Windows自带合法工具，依靠多阶段内存载荷，就可以绕过大量安全防护。
军政、科研高校单位不能只依赖病毒特征库，管控LOLBin系统工具、监控进程行为、注册表启动项，才是对抗此类攻击的核心防线。
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。