ZONE.CI 全球网

网络安全研究人员发现威胁行为者系统性地利用AI辅助工具加速恶意软件开发，特别是针对终端检测与响应（EDR）的规避技术。该框架集成AI编码助手实现自动化ActiveDirectory侦察、载荷生成和多层隐蔽技术，能够快速将公开安全研究成果武器化。研究显示AI主要作为开发阶段的力量倍增器，虽未嵌入最终恶意软件，但显著降低了攻击工具的开发门槛和迭代周期。

该文档介绍了一个名为tabby的极简Cshellcode框架，专为Windowsx64平台设计但完全在Linux环境下编译。框架采用位置无关代码技术，生成无PE头文件的原始二进制文件，可直接进程注入。核心特性包括用C语言替代汇编编写、运行时API解析、间接系统调用规避EDR检测，并强调其教学用途而非实际攻击工具。

该文档介绍了Android安全隐私合规检测工具V5.5及其相关产品系列，包括APK逆向分析、病毒检测、智能调试等多种安全工具，涵盖移动安全、云手机技术、AI集成等领域的解决方案，提供工具下载和逆向交流资源。

该文档是云天实验室发布的深度逆向分析技术文章，聚焦于libpairipcore.so文件的逆向分析技术，介绍了多种Android逆向分析工具和方法，包括APK逆向分析、SO库分析、云手机技术等，提供了逆向分析工具的使用指导和实践案例。

美国网络安全初创公司Ent获1亿美元种子融资，主打意图感知端点安全技术。其创始人曾创立被微软收购的RiskIQ，本轮融资由Decibel领投。该技术结合EDR、UEBA等现有能力，旨在应对AIAgent时代下合法工具组合产生的业务风险，强调通过上下文分析实现低误报干预。目前产品处于早期阶段，但标志着端点安全需适应AIAgent操作的新起点。

文章探讨了2026年传统网络安全产品创业的挑战与机遇。指出当前市场已由技术驱动转向品牌与综合服务能力驱动，传统赛道如EDR、态势感知等竞争激烈，初创公司难以凭借产品创新突围。文章强调，成功的关键在于进入AI安全、数据要素流通安全等增量赛道，或拥有核心技术突破与行业资源壁垒，并将安全视为风险与责任的生意，而非单纯的产品功能。

PhantomCtx是一种新型EDR逃避工具，通过劫持激活上下文实现将任意DLL加载到已签名可执行文件中。该方法无需特定易受攻击的二进制文件，只要目标程序通过IAT导入DLL即可生效，在测试中成功绕过ElasticCloudXDR检测。工具提供GitHub下载链接并附带多个免杀工具资源，但声明仅限合法安全测试使用。

微步披露银狐团伙率先使用EDRChoker技术，通过Windows策略限制安全软件网速至10bit/s使其失效。攻击者利用SEO在Bing投放千余个1:1仿冒官网的钓鱼站，经JS筛选用户投递样本。样本利用白加黑和计划任务持久化，最终注入系统进程连接C2。

本文基于对美国50家AI公司的研究，提出安全行业正从`卖工具`转向`卖AI数字员工`的核心趋势。关键发现包括：客户更愿为解决问题而非展示风险付费；大模型平台将吞噬浅层安全能力；创业公司机会在于深度执行层如调查闭环、漏洞修复。可操作建议涉及中国市场应优先聚焦合规、运营缺人等场景，避免直接复制美国模式。

该文档介绍了RedroidAndroid13云手机的定制方案，包括一键优化清理磁盘、虚拟摄像头实现、源码编译脚本等技术内容，同时提供了多种Android逆向分析工具和安全解决方案，涵盖移动安全领域的实践应用。

本文探讨了安全运营从依赖大屏展示转向引入AIAgent以提升执行效率的趋势。文章指出，传统大屏在展示整体态势方面价值有限，难以直接回答告警研判、攻击源判断等核心问题。其核心观点是，未来的安全运营应更注重可执行性，利用AIAgent重构工作流程：Agent能够自动化处理告警研判、跨系统日志关联、攻击链还原、报告生成及处置建议等重复性高的任务，从而将安全分析师从繁杂劳动中解放出来，使其专注于高价值的判断与决策。文章还详细阐述了Agent所需具备的数据接入、工具调用、知识库、权限控制与审计等能力，并提出了分阶段

ESET报告揭示TheGentlemen勒索团伙通过集中管控EDR破坏工具GentleKiller降低攻击门槛，该工具利用BYOVD技术伪装合法软件并调用漏洞驱动攻击48款安全产品，团伙能快速集成新披露漏洞POC，防御方可基于公开的扫描进程清单构建检测策略。

本文详细介绍了使用Docker在Ubuntu服务器上部署redroid开源项目实现安卓云手机的技术方案，包括环境依赖配置、容器启动命令解析、ADB连接操作及系统资源占用测试。通过实测数据表明单台云手机约占用2核CPU和1.5GB内存，为自建低成本云手机集群提供了可行方案。

该文档深度解析了TheGentlemen勒索软件团伙的EDR清除工具GentleKiller，其采用BYOVD技术滥用合法驱动程序，能快速禁用48种安全产品。ESET报告显示该团伙通过标准化工具包降低分支机构门槛，并在PoC公开后数日内整合新驱动。文档还曝光了团伙头目身份及独特的基于FortiGate配置错误的受害者选择模式，建议防御者利用公开的进程列表加强监控。

ESET报告揭露Gentlemen勒索组织通过集中化EDR杀手工具包降低加盟门槛，其核心GentleKiller框架包含8个变种，利用BYOVD技术针对48家安全厂商的400余个进程，包括国产深信服全系列进程及奇虎360驱动。该组织采用统一伪装层和基于FortiGate配置的全球目标筛选策略，凸显端点防护与驱动签名机制的双重安全挑战。

ESET披露勒索软件组织TheGentlemen使用EDR清除工具套件GentleKiller，该工具通过BYOVD技术滥用漏洞驱动程序在攻击前禁用终端安全产品。该团伙已攻击504个受害者，其工具包含8个变种可针对400多个安全进程，并能快速将公开POC武器化以降低攻击门槛。防御者可利用公开的进程目标列表设计监控策略。

本周攻防动态聚焦红队技术演进与工具更新，涵盖EDR规避、权限提升、DNS隐蔽传输等关键技术，同时介绍多款新型安全工具如SAM提取器、强制提权工具等，为攻防实战提供最新技术参考。

PhantomCtx是一款通过劫持激活上下文实现EDR逃避的工具，可将任意DLL加载到已签名可执行文件中。与传统DLL劫持技术不同，该工具不依赖特定易受攻击的二进制文件，只要目标程序通过IAT导入DLL即可生效。公开资料显示其可绕过ElasticCloudXDR检测，作者提供了GitHub源码和博客文章链接，并附带知识星球推广内容。

该文档主要介绍鸿蒙NEXT版本Root相关研究，包含多种逆向分析工具和Android系统定制技术，涉及APK逆向分析、云手机编译、虚拟摄像头方案等实用工具和方法，但缺乏具体的技术细节和研究成果展示。

文档分析了EDR数据存储的Public与Private分区机制，指出部分车企将关键数据置于私有加密区域导致第三方工具读取受限。以现代、奔驰、宝马为例说明同品牌车型支持差异，并给出事故鉴定中确认车型支持范围、交叉验证等实操建议。

2026年6月23日黑客论坛出现名为Apollinaris的用户出售Windows全版本本地提权0day漏洞，标价8.5万美元。该漏洞可从普通用户权限静默提升至SYSTEM权限，支持绕过EDR防护，并能提取DPAPI主密钥和Netlogon会话密钥。卖家提供两段验证视频证明漏洞有效性，影响范围涵盖Windows10至11及Server2016以上所有版本。安全专家建议企业加强权限监控并遵循最小权限原则。

XMCyber演示了一种macOS攻击技术，允许非管理员用户静默禁用企业端点安全工具（如EDR和MDM代理），该技术通过滥用XPC连接验证和NIB文件注入，利用合法签名应用的代码签名缓存持久性实现权限提升。CrowdStrike和Kandji已修复相关问题，研究人员将发布开源工具XPCHunter并计划在BlackHatUSA2026展示。

微步在线OneSEC平台于2026年CSOP大会推出AIDR能力，构建覆盖AI资产发现、智能体安全检测和运行时防护的三重防护体系。该方案可识别终端AIAgent、网页应用及浏览器插件等影子AI资产，通过Skills安全检测、漏洞扫描和配置核查收敛攻击面，并结合语义分析检测提示词注入等恶意行为，实现AI应用全生命周期安全管控。

本文系统分析了当前主流EDR规避技术，涵盖静态特征规避（即时解密、多层加密）、动态行为隐匿（无文件攻击、直接系统调用、父进程欺骗）以及信任链滥用（LOLBins、BYOVD）与供应链污染三大方向。针对这些威胁，山石网科智铠终端安全系统提出了相应防御方案：通过AI静态检测、内存行为监控反制静态规避；基于ATT&CK框架的行为关联应对动态隐匿；监控可信进程异常参数和驱动加载防控信任链滥用；通过软件基线核查和主机隔离构建供应链防护体系。

该文档分析2026年移动安全发展趋势，指出核心变革包括攻击面泛化至物联网与车联网、AI驱动的超个性化攻击与零点击威胁、防御体系向零信任架构转变，以及数据主权合规成为强制要求。文档强调安全重点从设备保护转向身份与数据安全，并提及隐私增强技术的商业化应用。