解析 Mistic：勒索软件入侵活动中出现的新型隐形后门

鹏鹏同学
鹏鹏同学

黑猫安全

2026年6月26日 08:50
湖北

在小说阅读器读本章

去阅读

Mistic 这款后门程序充分说明：攻击者追求的是长久驻留，而不是制造告警噪音。赛门铁克安全研究员表示，该样本出现在多起牟利性网络攻击中，目标涵盖保险、教育、信息技术以及专业服务类企业。研究人员将其与 KongTuke 组织（别名 Woodgnat）相关联，这是一个至少从 2024 年就开始活动的初始访问代理团伙。该组织的运作模式十分清晰：入侵目标网络、预留持久访问通道，再将权限出售给 Qilin、Interlock、Rhysida、Akira、8Base、Black Basta 等勒索软件团伙。

整套入侵链路经过精心设计，具备极强的伪装能力。在赛门铁克分析的案例中，攻击流程如下：合法进程 MpExtMs.exe 加载恶意 DLL 文件 version.dll，随后释放 Mistic 加载器 EndpointDlp.dll。该文件名高度模仿微软安全程序，以此规避查杀，这也是攻击者的核心设计思路。攻击者还部署了另一个.NET 动态链接库，弹出虚假登录界面窃取账号凭证，利用用户的信任实施攻击。

赛门铁克在报告中写道：“Mistic 借助合法程序 MpExtMs.exe 进行 DLL 侧加载，程序文件命名为 EndpointDlp.dll，与微软终端安全组件名称高度近似，能够很好地混迹于可信程序当中。该后门全程在内存中执行载荷，不会向磁盘写入文件，并且内置自毁开关。这些特性表明，攻击者意在实现长期隐蔽驻留。”

赛门铁克监测到，Mistic 从今年 4 月起投入使用。至少在一起入侵事件里，该后门紧随 ModeloRAT 上线，后者同样隶属于 KongTuke 团伙，通过微软 Teams 社交工程手段传播。这种分阶段投放恶意程序的手段虽不算新颖，但屡试不爽，因此被攻击者反复使用。

一旦运行成功，Mistic 会连接 C2 命令控制服务器并等待指令。它支持文件上传、下载、移动、重命名与删除，可创建文件夹，自主调整心跳回连周期，直接在内存中执行代码，还能够自行从主机清除痕迹。对于一款力求隐身的后门而言，这套功能已经相当完备。

Zscaler 率先追踪到此后门，判定它与 MTLBackdoor 同源，并指出该程序在 5 月随多阶段 ClickFix 攻击链路下发。

报告后续内容提到：“我们将这款新型后门命名为 Backdoor.Mistic，自 2026 年 4 月起已被部署到多起攻击活动中。本月上旬，Zscaler 率先披露该样本，并将其标记为 MLTBackdoor。Mistic 大概率归属牟利型初始访问代理 KongTuke（我方命名为 Woodgnat）。在一起入侵事件中，该后门与该团伙自研的 ModeloRAT 远控木马协同作案。”

Mistic 支持文件上传下载、移动删除、新建目录，可自定义心跳周期，还能依靠内置开关完成自清除。在近期攻击事件中，攻击者利用微软正版程序实施 DLL 侧加载来投放恶意程序，同时部署凭证窃取模块，弹出伪造登录窗口。攻击者还大量调用 PowerShell、Curl、Certutil、WMIC、Net.exe、Reg.exe 等系统原生工具，完成信息侦察、权限持久化、窃取凭证与横向渗透。依托无文件内存执行 + 程序自删除能力，该后门非常适合长期隐蔽潜伏。

报告评价：“Mistic 纯内存执行，并且自带自毁机制，隐蔽性极强，能够帮助攻击者在目标环境中长期隐身驻留。”

KongTuke 的武器库十分丰富，还包含 WinPython、Node.js、finger.exe、伪造的 NexShield 浏览器插件、经过加密的GateKeeper.NET载荷，以及 MintsLoader、D3F@ck Loader 等多款加载器。多样化的工具链意味着该团伙十分注重灵活性，可以快速切换投放方式。换句话说，他们不会拘泥于单一攻击手段，这对于防守方来说绝非好事。

勒索软件攻击正在发生转变：攻击者不再单纯依赖系统自带工具，越来越多地使用自研恶意程序。Backdoor.Mistic 正是这一趋势下的产物，它大概率由初始访问代理开发，而非勒索软件团伙自身。该后门优秀的隐身能力，再加上 Woodgnat 疑似独立开发了 ModeloRAT，足以证明这是一支技术实力雄厚的黑客团队，后续还会持续扩充工具集，并拓展合作的勒索软件伙伴。

报告总结：“该后门具备极强的隐蔽性，且 Woodgnat 很可能自主研发了 ModeloRAT 远控工具，足以体现该组织拥有高超的隐身远控程序开发能力。防守方需要持续重点追踪该团伙，他们会不断开发定制化恶意程序，持续扩大合作的勒索攻击者圈子。”