文章总结： 南亚APT组织SideCopy利用伪装文档的LNK快捷方式发起钓鱼攻击，滥用系统自带mshta.exe结合.NETBinaryFormatter反序列化漏洞实现无文件内存攻击，全程内存执行不留磁盘痕迹。攻击目标从政府机构扩展至高校科研单位，成功入侵后部署Ioluegnt远控木马，具备截屏、窃取密码、文件盗取等能力。建议通过管控mshta.exe、邮件网关拦截、EDR行为监控及禁用BinaryFormatter等分层防御措施应对。 综合评分： 88 文章分类： 威胁情报,恶意软件,漏洞分析,应急响应,安全运营

---

APT SideCopy新战术曝光！滥用系统自带mshta.exe实现无文件内存攻击，政府高校重点中招

原创

AI紫队安全研究 AI紫队安全研究

AI紫队安全研究

2026年10月2日 12:00 广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

导语

Trellix最新威胁情报披露南亚APT组织SideCopy新一轮间谍行动。团伙大量使用伪装文档的LNK快捷方式作为钓鱼入口，滥用Windows自带工具mshta.exe，结合.NET的BinaryFormatter反序列化漏洞，整套攻击全程内存执行，磁盘几乎不留恶意文件痕迹。

成功入侵后部署Ioluegnt（ReverseRAT）远控木马，完成截屏、剪贴板窃取、密码抓取、全盘文件盗取。攻击目标已经从传统政府机构扩展到高校科研单位，政务、科研、涉外单位务必自查风险。

情报来源：Trellix Threat Research报告

一、威胁团伙SideCopy背景

SideCopy是长期活跃的区域性APT间谍组织，传统目标聚焦政府、外交、国防相关人员，最新活动已经把高校、科研院所纳入重点狩猎范围。

该团伙擅长「就地取材」LotL战术，尽量使用Windows系统自带程序完成攻击，减少恶意文件落地，规避传统杀毒扫描。本次攻击链的核心就是早已逐步淘汰的系统工具mshta.exe，配合多层混淆HTA脚本实现隐蔽入侵。

mshta.exe：微软HTML应用程序解释器，用于运行HTA脚本，该组件已经逐步被微软弃用，但Windows系统仍然默认保留，成为黑客最爱的攻击载体之一。

二、完整8步杀伤链，从钓鱼邮件到内存远控

1、初始入侵入口：伪装文档的恶意ZIP压缩包

攻击者发送鱼叉钓鱼邮件，附件是ZIP压缩包。

压缩包内部：

恶意LNK快捷方式：使用PDF文档图标，文件名酷似会议纪要、项目报告，迷惑用户双击点开；

附带一张无害GIF诱饵图片，进一步降低用户警惕。

用户肉眼看以为是docx/PDF文档，双击LNK就触发整套攻击流程。

2、LNK快捷方式调用mshta.exe下载远程HTA载荷

这个LNK文件内部直接写入命令，调用系统mshta.exe访问黑客服务器的远程PHP地址，在线下载混淆后的HTA脚本com.hta。整个过程没有弹出新窗口，后台静默运行。

3、HTA脚本第一阶段执行

下载完成的com.hta在内存执行，解压释放出内置的ne4snapk.dll，同时执行反取证逻辑：运行完成后自动把磁盘上的hta文件自我删除，减少本地痕迹。

4、载荷落地，释放多组件

ne4snapk.dll解压释放三份文件到本地磁盘：

1. appT.bat：持久化批处理加载器

2. startT.hta：第二阶段HTA核心加载脚本

3. 诱饵docx文档：前台打开正常文档，用户看到正常内容，不会察觉后台攻击正在进行。

5、注册表实现开机持久化

修改注册表HKCU\Software\Microsoft\Windows\CurrentVersion\Run启动项，指向appT.bat。

批处理使用start /b参数，后台无窗口调用mshta.exe运行startT.hta，系统重启之后攻击载荷自动复活。

6、高危.NET BinaryFormatter反序列化漏洞（关键无文件技术）

startT.hta内部是多层Base64混淆代码，利用微软已经明确标记为不安全的BinaryFormatter反序列化类。

执行流程：

1. Base64解码恶意字符串；

2. 通过MemoryStream完全在内存处理二进制数据；

3. BinaryFormatter反序列化，直接在内存重建恶意对象；

全程不向硬盘写入完整EXE/DLL恶意样本，传统磁盘杀毒很难捕获。

重要提示：微软官方多次警告BinaryFormatter存在严重安全风险，建议业务系统禁用，但大量Windows环境仍保留该组件。

7、内存反射加载Ioluegnt.dll远控RAT

经过反序列化之后，使用.NET反射机制，把最终远控木马Ioluegnt.dll直接注入mshta.exe进程内存空间。

此时木马已经完全运行，磁盘上没有对应的可执行文件。

8、加密通道向外窃取数据

远控木马使用硬编码AES密钥加密窃取到的全部数据，通过5863非标准TCP端口，回传到攻击者C2服务器。

三、Ioluegnt ReverseRAT远控木马完整能力

一旦驻留成功，黑客获得机器完整控制权，支持丰富指令集：

收集本机全部系统软硬件信息；

屏幕截屏、读取剪贴板内容；

盗取本地保存各类账号密码；

遍历磁盘目录，批量上传文档；

执行任意shell命令、杀掉指定进程；

鼠标模拟点击操作；

可新增注册表实现二次持久化；

文件、文件夹创建、删除、重命名。

通信细节：

硬编码AES加密密钥：NMXIKS09?:709,!\~lnsYUS

C2域名：dns[.]educationportals[.]biz，通信端口：5863

四、高危单位&风险行为自查

重点受害对象

各级政府机关、外交外事单位、国防相关机构、高校科研院所，经常接收境外邮件的行政、科研人员。

企业高危现状

1. 系统默认保留mshta.exe组件，没有做应用程序管控；

2. 邮件网关对LNK、HTA附件管控宽松；

3. 终端只靠传统杀毒，缺少进程行为监控，只查杀磁盘文件；

4. .NET环境未限制BinaryFormatter危险类；

5. 没有监控mshta.exe发起外网网络连接行为。

五、分层防御方案｜运维+员工双版本

👨‍💻员工安全注意事项

1. 系统务必开启显示完整文件扩展名，分辨伪装PDF图标的.lnk快捷方式；

2. 陌生邮件ZIP压缩包不要直接双击内部文件，提交安全部门沙箱检测；

3. 看到后缀为.hta的文件，不要双击执行。

🛠运维终端&邮件加固

1. 管控mshta.exe（最重要）

业务不需要HTA脚本的环境，通过AppLocker/WDAC应用控制策略直接阻止mshta.exe运行；确有业务需要，严格限制该程序发起外网请求、派生cmd/powershell子进程。

2. 邮件网关防护

邮件网关直接隔离拦截ZIP包内LNK快捷文件、hta附件；拦截报告内相关恶意域名。

3. EDR行为监控告警规则

告警：mshta.exe进程发起外网网络访问；

告警：mshta.exe衍生cmd、powershell子进程；

监控注册表HKCU\Run出现指向appT.bat类可疑批处理启动项；

监控5863端口向外加密外联行为。

4. .NET安全加固

业务系统尽量禁用BinaryFormatter，遵循微软安全建议，替换为安全序列化方案。

5. 日志留存：开启Sysmon日志，记录进程创建、注册表Run键修改事件。

🚨疑似中毒应急处置

1. 受害主机立刻断开网络，不要重启，保留内存取证痕迹；

2. 检查注册表HKCU Run键，清除可疑appT.bat启动项；

3. 检索磁盘是否存在appT.bat、startT.hta相关恶意文件；

4. 全量修改本机邮箱、OA、服务器账号密码，开启MFA二次验证；

5. 同网段终端批量排查同类进程行为，评估横向渗透风险。

六、安全思考总结

SideCopy这一轮攻击再次印证一个现实：不一定需要全新高危漏洞，系统自带的老旧组件就可以完成高质量无文件间谍入侵。

mshta.exe这类已经被微软弃用但依旧默认存在的工具，加上BinaryFormatter这类危险.NET组件，组合起来形成完整的攻击链路。传统只扫描磁盘文件的杀毒工具很难拦截内存载荷。

对于政务、高校科研机构，不能只依靠病毒特征库，必须转向进程行为监控、应用程序白名单管控，把威胁拦截在入侵的早期阶段。

互动话题

你们企业是否已经对mshta.exe做执行限制？有没有遇到过伪装成文档的LNK钓鱼？评论区交流运维经验！

加入知识星球，可获取权益

一、”全球高级持续威胁：网络世界的隐形战争”，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

 1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

 晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

 技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

 实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

 架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

 大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

 想突破职业天花板的安全工程师/架构师；

 需快速落地安全项目的企业负责人；

 关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AI紫队安全研究 AI紫队安全研究 AI紫队安全研究《APT SideCopy新战术曝光！滥用系统自带mshta.exe实现无文件内存攻击，政府高校重点中招》