ZONE.CI 全球网

2026年6月ArchLinux用户仓库遭大规模供应链攻击，超400个软件包被劫持，攻击者通过接管孤儿项目修改构建脚本，在安装过程中植入Rust窃密程序与eBPFrootkit。恶意软件窃取浏览器凭证、开发工具令牌及系统文件，并通过Tor传输数据。建议用户检查6月11日后安装的AUR包、轮换所有凭证，若以root权限运行需重装系统。

攻击者劫持400多个ArchLinuxAUR软件包，通过修改构建脚本植入Rust信息窃取程序和eBPFrootkit。此次攻击利用遗弃项目信任模型，窃取浏览器及云平台凭证。用户需核对受影响包列表，轮换全部密钥，并检查异常服务，若怀疑Root权限运行建议重装系统。

该文档深入分析了利用存在漏洞的内核驱动实现rootkit持久化的技术机制，重点解析了KDU工具通过加载已签名但存在漏洞的驱动来绕过Windows驱动签名强制和PatchGuard防护的技术原理。文章详细介绍了驱动加载过程中涉及的物理内存读写、页表遍历等底层操作，并为防御者提供了通过监控驱动加载事件、检查系统日志等具体检测方案，文末附有可操作的Sysmon配置建议。

SilverFox黑客组织部署新型ValleyRAT恶意软件，采用八阶段攻击链，通过DLL侧加载和隐写术隐藏载荷，最终部署内核级Rootkit。该RAT使用Go语言编写，通过WebSocket和QUIC协议通信，具备窃取加密货币和Telegram数据的功能。企业应监控异常命名管道活动、svchost.exe子进程及可疑安装程序，以防范此类复合型威胁。

SilverFoxAPT组织将ValleyRAT升级为八阶段恶意软件链，最终部署内核级rootkit。攻击使用DLL侧加载、ETW/AMSI绕过、PNG隐写术和Donutshellcode等技术。ValleyRAT通过WebSocket和QUIC协议通信，并检查虚拟化环境。rootkit包含65个IOCTL处理器，通过命名管道与RAT通信。防御者应监控MSI安装、可疑进程和内核驱动签名。

本文深入分析SkidMapRootkit挖矿窃密活动，揭示其通过Redis未授权漏洞入侵，利用mldconfig和review核心样本释放多种恶意组件，包括替换系统命令、劫持PAM认证、加载Rootkit实现持久化，并窃取SSH密码进行挖矿。攻击链涉及20多个样本，具备高度隐蔽性和清除难度。建议加强Redis安全配置并监控异常系统行为。

lazyown是开源C2框架，两端齐全且AI代理驾驶实装，但规避能力如睡眠混淆、多传输、BOF等仅服务端配置层有，implant未实现。密码学弱，无身份认证，自动化激进，rootkit链有开发残留。蓝队应关注AI操作C2的新检测面，可按网络层、主机层、行为层防御，建议隔离环境采集样本并部署检测规则。

2026年6月ArchLinux用户仓库遭大规模供应链攻击，超400个软件包被劫持，攻击者通过接管孤儿项目修改构建脚本，在安装过程中植入Rust窃密程序与eBPFrootkit。恶意软件窃取浏览器凭证、开发工具令牌及系统文件，并通过Tor传输数据。建议用户检查6月11日后安装的AUR包、轮换所有凭证，若以root权限运行需重装系统。

ArchLinux用户仓库（AUR）中超过400个软件包被植入Linuxrootkit和信息窃取恶意软件，攻击者通过伪装可信发布者修改PKGBUILD脚本，注入恶意npm包atomic-lockfile。该恶意软件窃取开发者凭证、浏览器数据及通信工具信息，并利用eBPF技术隐藏进程。建议用户更换所有凭证并考虑重装系统，仅使用活跃维护的软件包。

攻击者劫持400多个ArchLinuxAUR软件包，通过修改构建脚本植入Rust信息窃取程序和eBPFrootkit。此次攻击利用遗弃项目信任模型，窃取浏览器及云平台凭证。用户需核对受影响包列表，轮换全部密钥，并检查异常服务，若怀疑Root权限运行建议重装系统。

该文档深入分析了利用存在漏洞的内核驱动实现rootkit持久化的技术机制，重点解析了KDU工具通过加载已签名但存在漏洞的驱动来绕过Windows驱动签名强制和PatchGuard防护的技术原理。文章详细介绍了驱动加载过程中涉及的物理内存读写、页表遍历等底层操作，并为防御者提供了通过监控驱动加载事件、检查系统日志等具体检测方案，文末附有可操作的Sysmon配置建议。

SilverFox黑客组织部署新型ValleyRAT恶意软件，采用八阶段攻击链，通过DLL侧加载和隐写术隐藏载荷，最终部署内核级Rootkit。该RAT使用Go语言编写，通过WebSocket和QUIC协议通信，具备窃取加密货币和Telegram数据的功能。企业应监控异常命名管道活动、svchost.exe子进程及可疑安装程序，以防范此类复合型威胁。

SilverFoxAPT组织将ValleyRAT升级为八阶段恶意软件链，最终部署内核级rootkit。攻击使用DLL侧加载、ETW/AMSI绕过、PNG隐写术和Donutshellcode等技术。ValleyRAT通过WebSocket和QUIC协议通信，并检查虚拟化环境。rootkit包含65个IOCTL处理器，通过命名管道与RAT通信。防御者应监控MSI安装、可疑进程和内核驱动签名。

HyperGuard通过安全内核监控ntoskrnl的多个区域，包括系统调用表、AltSyscalls相关地址、可执行代码和只读数据，以防止rootkit篡改。关键发现是AltSyscalls受HyperGuard和HVCI双重保护。可操作建议是使用调试器分析安全内核以理解保护机制。

本文详细剖析了一款基于LinuxeBPF的新型Rootkit组件。该样本为ELF64可重定位对象，经libbpf加载后通过13个tracepoint程序与10个map实现进程隐藏、反调试及网络连接隐藏。因其不修改内核文本段与系统调用表，传统基于模块签名与内核完整性的防御机制天然失效。文章深入分析了其三段式攻击链与BTF结构，指出检测此类威胁必须直接观测BPF子系统本身的状态，仅删除磁盘文件无法清除已加载的内核对象，为防守方提供了针对性的排查与响应建议。

本文分析了VoidLink和LinkPro两个eBPFrootkit家族的技术原理。VoidLink利用bpf_probe_write_user()篡改Netlink消息长度字段，向ss工具隐藏特定端口连接。LinkPro则使用bpf_override_return()在BPF程序枚举时返回-ENOENT，隐藏自身程序。文档提供了基于系统调用行为差异和调试日志的检测方法，强调对比枚举结果和检查trace_pipe输出是有效检测手段。

Lazarus组织利用CVE-2026-68820零日漏洞（WindowsAFD.SYS驱动）进行代号DreamJob的间谍行动，针对国防航空航天领域。攻击通过社会工程钓鱼伪装招聘诱导打开恶意文件，两条感染链路最终部署MistPen下载器，利用漏洞提权后安装FudModulev3.1rootkit。C2通过劫持第三方网站中继。建议安装8月补丁、审计流量、加强安全意识。

本文深入分析SkidMapRootkit挖矿窃密活动，揭示其通过Redis未授权漏洞入侵，利用mldconfig和review核心样本释放多种恶意组件，包括替换系统命令、劫持PAM认证、加载Rootkit实现持久化，并窃取SSH密码进行挖矿。攻击链涉及20多个样本，具备高度隐蔽性和清除难度。建议加强Redis安全配置并监控异常系统行为。

lazyown是开源C2框架，两端齐全且AI代理驾驶实装，但规避能力如睡眠混淆、多传输、BOF等仅服务端配置层有，implant未实现。密码学弱，无身份认证，自动化激进，rootkit链有开发残留。蓝队应关注AI操作C2的新检测面，可按网络层、主机层、行为层防御，建议隔离环境采集样本并部署检测规则。

本文记录了一次真实应急响应案例，攻击者结合LKMrootkit（Diamorphine）与挖矿病毒入侵服务器。rootkit通过kill信号实现进程隐藏/显示（-63）和提权（-64）功能，挖矿程序使用Golang编写，配置文件中包含Zephyr钱包地址和nanopool矿池信息。分析揭示了恶意软件通过rootkit隐藏进程、清除日志、使用SSL加密通信等技术细节，并提供了应急排查命令（如kill-630解除隐藏）。

2026年6月ArchLinux用户仓库遭大规模供应链攻击，超400个软件包被劫持，攻击者通过接管孤儿项目修改构建脚本，在安装过程中植入Rust窃密程序与eBPFrootkit。恶意软件窃取浏览器凭证、开发工具令牌及系统文件，并通过Tor传输数据。建议用户检查6月11日后安装的AUR包、轮换所有凭证，若以root权限运行需重装系统。

ArchLinux用户仓库（AUR）中超过400个软件包被植入Linuxrootkit和信息窃取恶意软件，攻击者通过伪装可信发布者修改PKGBUILD脚本，注入恶意npm包atomic-lockfile。该恶意软件窃取开发者凭证、浏览器数据及通信工具信息，并利用eBPF技术隐藏进程。建议用户更换所有凭证并考虑重装系统，仅使用活跃维护的软件包。

攻击者劫持400多个ArchLinuxAUR软件包，通过修改构建脚本植入Rust信息窃取程序和eBPFrootkit。此次攻击利用遗弃项目信任模型，窃取浏览器及云平台凭证。用户需核对受影响包列表，轮换全部密钥，并检查异常服务，若怀疑Root权限运行建议重装系统。

该文档深入分析了利用存在漏洞的内核驱动实现rootkit持久化的技术机制，重点解析了KDU工具通过加载已签名但存在漏洞的驱动来绕过Windows驱动签名强制和PatchGuard防护的技术原理。文章详细介绍了驱动加载过程中涉及的物理内存读写、页表遍历等底层操作，并为防御者提供了通过监控驱动加载事件、检查系统日志等具体检测方案，文末附有可操作的Sysmon配置建议。

SilverFox黑客组织部署新型ValleyRAT恶意软件，采用八阶段攻击链，通过DLL侧加载和隐写术隐藏载荷，最终部署内核级Rootkit。该RAT使用Go语言编写，通过WebSocket和QUIC协议通信，具备窃取加密货币和Telegram数据的功能。企业应监控异常命名管道活动、svchost.exe子进程及可疑安装程序，以防范此类复合型威胁。