ZONE.CI 全球网

Avalon恶意软件框架利用伪造法律文件诱饵和多阶段无文件链传播CrownX勒索软件。它通过ISO镜像中的快捷方式触发MSBuild执行内存加载，规避ETW和AMSI检测。Avalon集成凭证窃取、持久化、横向移动及反取证功能，针对备份基础设施。CrownX使用AES-GCM加密并破坏恢复环境。该活动显示攻击能力整合趋势，建议加强邮件网关和端点检测。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

该文档复盘了名为blindertunnel的定向攻击行动，疑似伊朗背景，针对伊拉克等中东目标。攻击者通过假招聘邮件诱导下载恶意VisualStudio工程，利用MSBuild执行恶意target，结合DLL侧加载实现免杀，后门在可信进程中运行。攻击使用GitHub作为备用C2，基础设施搭建早于攻击数月。文档强调利用可信开发者工具链进行免杀已成常态，防守需监控异常DLL加载及GitHubAPI调用。

Avalon恶意软件框架利用伪造法律文件诱饵和多阶段无文件链传播CrownX勒索软件。它通过ISO镜像中的快捷方式触发MSBuild执行内存加载，规避ETW和AMSI检测。Avalon集成凭证窃取、持久化、横向移动及反取证功能，针对备份基础设施。CrownX使用AES-GCM加密并破坏恢复环境。该活动显示攻击能力整合趋势，建议加强邮件网关和端点检测。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

该文档复盘了名为blindertunnel的定向攻击行动，疑似伊朗背景，针对伊拉克等中东目标。攻击者通过假招聘邮件诱导下载恶意VisualStudio工程，利用MSBuild执行恶意target，结合DLL侧加载实现免杀，后门在可信进程中运行。攻击使用GitHub作为备用C2，基础设施搭建早于攻击数月。文档强调利用可信开发者工具链进行免杀已成常态，防守需监控异常DLL加载及GitHubAPI调用。

Avalon恶意软件框架利用伪造法律文件诱饵和多阶段无文件链传播CrownX勒索软件。它通过ISO镜像中的快捷方式触发MSBuild执行内存加载，规避ETW和AMSI检测。Avalon集成凭证窃取、持久化、横向移动及反取证功能，针对备份基础设施。CrownX使用AES-GCM加密并破坏恢复环境。该活动显示攻击能力整合趋势，建议加强邮件网关和端点检测。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

Avalon恶意软件框架利用伪造法律文件诱饵和多阶段无文件链传播CrownX勒索软件。它通过ISO镜像中的快捷方式触发MSBuild执行内存加载，规避ETW和AMSI检测。Avalon集成凭证窃取、持久化、横向移动及反取证功能，针对备份基础设施。CrownX使用AES-GCM加密并破坏恢复环境。该活动显示攻击能力整合趋势，建议加强邮件网关和端点检测。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

Avalon恶意软件框架利用伪造法律文件诱饵和多阶段无文件链传播CrownX勒索软件。它通过ISO镜像中的快捷方式触发MSBuild执行内存加载，规避ETW和AMSI检测。Avalon集成凭证窃取、持久化、横向移动及反取证功能，针对备份基础设施。CrownX使用AES-GCM加密并破坏恢复环境。该活动显示攻击能力整合趋势，建议加强邮件网关和端点检测。

该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Patch致盲安全产品、在用户态复刻Windows加载器、集成多层EDR防御规避、优先攻击备份基础设施以实现可逆勒索及磁盘级摧毁。该框架展示了先进的对抗技术与工程化水平，对安全防御具有重要参考价值。

文档披露了一起针对VS编译时触发的供应链投毒后门事件。攻击者在vcxproj文件中植入恶意initialtargets与内联C#代码，利用MSBuild构建进程执行经多层混淆的x64下载器shellcode，联网释放并执行伪装文件。作者确认该后门与项目功能无关，属人为植入，并提醒检查本机是否已被植入及外联痕迹。

本文详细展示了在受WDAC和AppLocker管控的Windows环境中，攻击者通过确认限制、准备Ligolo载荷、利用受信二进制文件（如InstallUtil、MSBuild）绕过应用控制、实施内存执行并建立内网隧道的完整攻击链。文章映射了MITREATT&CK技术，提供了从载荷准备到会话建立的具体操作步骤，强调了应用控制阻止的是文件而非受信进程中的执行逻辑这一核心思想，对红队实战具有较高参考价值。

文章总结： 文档披露了一起针对VS编译时触发的供应链投毒后门事件。攻击者在vcxproj文件中植入恶意initialtargets与内联C#代码，利用MSBui

文章总结： 该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Pa

文章总结： 该文档首次公开曝光了名为Avalon的Windows全栈攻击框架，其具备高度模块化设计。核心亮点包括全程无文件落地执行、通过ETW/AMSI内存Pa

文章总结： Proofpoint报告显示高级威胁组织TA416在2025-2026年重新聚焦欧洲外交机构，攻击手法快速迭代：先后采用伪造Cloudflare验证

文章总结： 360高级威胁研究院披露Confucius组织针对巴基斯坦发起攻击，利用LNK文件结合MSBuild白利用，通过DLL侧加载部署基于Python的A

文章总结： 本文介绍开源C2框架Covenant，其基于.NET开发，支持跨平台运行、动态编译和内存加载，具备通信伪装、加密传输等隐蔽特性。文章详述其架构组成、

文章总结： 360高级威胁研究院披露Confucius组织针对巴基斯坦发起攻击，利用LNK文件结合MSBuild白利用，通过DLL侧加载部署基于Python的A

文章总结： 这篇文章介绍了全球APT组织的威胁情况，并分析了一个APT组织的攻击样本。该样本采用XLSX文档到MACRO宏再到MSBUILD编译的攻击链，最终通

0x00 前言
在之前的文章中，我们讨论了操作系统默认功能以及其他合法可执行文件的应用场景，攻击者可以在后续攻击阶段（post-compromise）中，通过这

0x00 前言
在之前的文章中，我们讨论了操作系统默认功能以及其他合法可执行文件的应用场景，攻击者可以在后续攻击阶段（post-compromise）中，通过这

背景进入2017年以来，360威胁情报中心监测到的海莲花APT团伙活动一直处于高度活跃状态，近期团伙又被发现在大半年内入侵了大量网站执行水坑式攻击。海莲花团伙入