伪装激活工具发起连环入侵！APT36透明部落相关多阶段攻击曝光，虚假勒索恐吓软件专门制造恐慌

原创

AI紫队安全研究
AI紫队安全研究

AI紫队安全研究

2026年10月15日 11:59
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

导语

K7 Labs发布威胁分析报告，曝光一条极具迷惑性的多阶段入侵链条：攻击者把恶意载荷捆绑在盗版KMSAuto Windows激活工具当中。用户下载运行之后，并非立刻爆发破坏行为，而是间隔十几小时分阶段投放挖矿程序、合法远控工具，最后释放一款不会真正加密文件的虚假勒索恐吓软件Scareware制造系统被加密的假象。

整个攻击大量滥用开源、合法商用管理工具，单看某一个进程很容易被判定为正常软件，政府、科研、中小企业办公终端需要高度警惕。

提示：报告样本元数据指向APT36（Transparent Tribe透明部落），但安全厂商表示证据尚不能做到100%确凿归因，也有可能是模仿该组织特征的仿冒活动。

情报来源：K7Computing Labs威胁研究报告

一、攻击完整杀伤链：分批投放，时间差是最大陷阱

这套入侵最狡猾之处：不是一次性释放全部恶意程序，各个载荷之间间隔12‑24小时分批落地。

杀毒工具单次扫描很难同时捕捉全套组件，容易只发现其中某一部分，造成误判。

阶段1：KMSAuto盗版激活工具作为入侵入口

KMSAuto本身是用于Windows非授权激活的工具，本身代码不一定带毒。

黑客在第三方网盘、BT资源站、破解软件论坛，投放被篡改的捆绑版本。

用户为了免激活系统，从非官方渠道下载运行之后，恶意脚本开始潜伏后台。

重要区分：看到KMSAuto不等于已经中毒。但是从网盘、破解站点下载、出现在非常规目录、伴随陌生子进程，就是高风险信号。

阶段2：植入XMRig门罗币挖矿程序

间隔一段时间之后，后台部署开源挖矿木马XMRig。

不直接搞破坏，只是默默消耗CPU算力挖矿牟利。很多办公电脑卡顿、风扇狂转，管理员往往只怀疑软件bug，很难第一时间联想到恶意挖矿。

阶段3：部署双重合法远程管理工具，牢牢把控主机

攻击者不使用自制后门，直接滥用市面上正规商用远控软件：ScreenConnect，后续再补充MeshAgent作为备用后门。

两个合法RMM工具先后安装到系统目录：

C:\\ProgramData\\HvHosts\\ScreenConnect.WindowsClient.exe

C:\\ProgramData\\OneDriveServer\\OneDriveServer\\ScreenConnect.WindowsClient.exe

工具本身是企业合法运维软件，但未经管理员许可私自安装，就代表主机已经失陷。一旦两道远控通道全部建立，黑客可以随时接管桌面、读写全部本地文件。

阶段4：投放虚假勒索恐吓软件Pakistanware（重点！没有真正加密）

这是本次事件最反常识的环节。

很多人以为会出现标准勒索病毒全盘加密文件索要比特币赎金，但这款SecurityHealthService.exe恐吓程序并不会加密任何用户文档。

它做的全部是视觉欺骗：

1. 伪装Windows安全健康服务，放进系统「启动」目录实现开机自启；

2. 修改电脑桌面壁纸；

3. 弹出全屏置顶窗口，伪造勒索提示，谎称“你的全部文件已经被加密”；

4. 篡改部分文件后缀名，制造被加密的假象；

5. 释放README恐吓文档，但是文档里面没有赎金地址、没有解密密钥联系方式，完全不索要金钱。

它的目的不是加密敲诈，而是制造巨大心理恐慌，混淆事件处置判断。攻击者继续保留ScreenConnect/MeshAgent后门，悄悄长期控制电脑。

持久化手段，很难清理

恐吓程序会做多重驻留：

1. 注册表Run/RunOnce启动项；

2. 全部用户的开机启动文件夹；

3. 在AppData目录释放大量设置超级隐藏属性的副本，普通文件浏览器看不到；

4. 在C:\\Users\\Public\\Recovery存放bat、vbs、xml全套辅助脚本。

二、为什么这套攻击很难被发现？

1. 时间差分批投毒：挖矿、远控、恐吓载荷间隔十几小时落地，一次扫描抓不全完整证据链；

2. 大量使用双用途合法工具：XMRig挖矿、ScreenConnect、MeshAgent，网上都能下载到正版，单独看进程无法直接判定恶意；

3. 虚假勒索不做真实加密，传统勒索病毒检测规则全部失效；

4. 恶意文件设置系统超级隐藏属性，普通用户浏览文件夹看不见；

5. 伪装成Windows Defender安全服务，文件名迷惑运维人员。

安全厂商特别提醒：不要孤立看待每一个告警。单独出现KMSAuto不一定是威胁；单独MeshAgent也不一定代表入侵；但是几类工具在短时间窗口先后出现，就是明确主机被攻陷信号。

三、高风险场景自查清单

高危单位与人群

政府办公终端、科研院所、中小型企业办公电脑；员工习惯从网盘、破解网站下载工具的环境风险最高。

企业需要警惕的现象

1. 内网终端出现非IT部门部署的KMSAuto激活工具；

2. 莫名出现ScreenConnect、MeshAgent远程管理客户端，运维没有部署过；

3. CPU莫名持续高占用，排查发现XMRig挖矿进程；

4. 开机桌面壁纸被无故篡改，弹出全屏勒索提示，但文件本身可以正常打开；

5. C:\\Users\\Public\\Recovery目录下出现陌生vbs、bat脚本；

6. AppData出现大量超级隐藏的陌生exe程序。

四、分层防御方案｜运维+员工

👨‍💻员工个人安全提醒

1. 不要从网盘、BT、破解论坛下载KMSAuto、各类系统激活工具。盗版捆绑恶意载荷是高频入侵入口；

2. 看到桌面突然变化、弹出勒索弹窗，先不要慌，先确认文件能不能正常打开，有可能是虚假恐吓软件；

3. 不要私自安装各类远程管理工具，需要远程协助联系IT管理员。

🛠运维企业加固策略

1. 应用管控策略：通过AppLocker/WDAC阻止KMSAuto、XMRig未授权运行；

2. EDR告警重点监控组合行为：

KMSAuto执行之后，短时间生成XMRig挖矿进程；

无IT工单前提下，私自安装ScreenConnect、MeshAgent；

监测启动文件夹、注册表Run键大量新增陌生程序；

监控C:\\Users\\Public\\Recovery目录陌生脚本生成；

3. Sysmon开启进程、文件、注册表全日志留存，重点看时间序列行为，而不是单样本查杀；

4. 安全培训告诉运维人员：不是所有勒索弹窗都会真加密文件，遇到勒索告警第一时间确认文件读写状态，避免误判事件等级。

🚨疑似中毒应急处置步骤

1. 受害主机立刻断开网络，不要直接重启，保留内存和磁盘取证痕迹；

2. 卸载非运维部署的ScreenConnect、MeshAgent；

3. 清理启动文件夹、注册表Run键全部可疑启动项，删除Public\\Recovery全部恶意脚本；

4. 清理AppData下面带超级隐藏属性的恐吓程序副本；

5. 主机全部账号、邮箱、业务系统密码重置，开启MFA二次验证；

6. 同网段终端做批量行为检索，排查是否多台机器被植入同类远控。

五、安全思考总结

本次攻击案例带给我们很重要启示：

现在攻击者越来越擅长混搭战术，盗版工具当入口 + 开源挖矿牟利 + 合法商业远控拿权限 + 虚假勒索制造混乱。

传统防御过度依赖“识别单个病毒特征”，但是攻击者大量使用市面上公开合法软件，告警经常是碎片化的。

真正的检测关键点，不是某一个程序本身，而是这些工具异常的先后出现时序、非授权安装行为。

对于政企内网，必须建立行为时序分析视角，不能只靠静态病毒库做防护。

报告补充说明：样本元数据标记APT36相关，但安全研究人员没有拿到完整确凿攻击链路证据，不排除第三方模仿其特征进行攻击。

互动话题

你们内网遇到过员工私自下载KMSAuto激活工具的情况吗？遇到虚假勒索恐吓弹窗你会如何处置？评论区聊聊运维实战经验！

加入知识星球，可获取权益

一、\"全球高级持续威胁：网络世界的隐形战争\"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

想突破职业天花板的安全工程师/架构师；

需快速落地安全项目的企业负责人；

关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。