2026-10-24 14:21:41 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

俄背景APT组织Swallowtail瞄准北约成员国展开攻击活动

原创

BaizeSec
BaizeSec

白泽安全实验室

2026年10月23日 09:00
北京

去阅读

一、事件概述

近日，网络安全研究人员披露了一个名为Swallowtail（又称APT28、Fancy Bear、Forest Blizzard）的俄罗斯网络攻击组织，对两个北约成员国的相关政府部门、国防承包商以及外交实体等，多家机构发动定向攻击活动。本次攻击活动偏向长期战略侦察与敏感情报搜集，并非以即时牟利为目的。受害目标包括一家执法机构、一家海军造船企业，以及一家军用航空发动机制造商。该攻击组织在行动中采用低噪音、慢节奏的隐蔽渗透思路，尽量规避触发各类安全告警，依托一套精心规划的基础设施、定制化载荷以及多阶段持久化方案，对和北约事务相关的目标网络开展持续踩点、权限维持和内部情报探查。研究人员通过关联恶意样本哈希、C2通信指纹、域名注册信息、流量特征以及历史同源攻击线索，把零散的入侵痕迹串联起来，还原出攻击者从初始接入、内网探查、权限爬升，到长期潜伏窃取涉密资料的完整攻击链路。截至报告发布，部分关联C2基础设施仍然在线，攻击者随时可以重启通信、下发新指令或者横向拓展攻击范围，对国防、外交这类高价值敏感信息资产形成持续性隐蔽威胁。本次攻击行动和常见的勒索、窃密黑产攻击差异明显，行动节奏克制、目标高度聚焦，带有典型的地缘导向定向侦察特征。

另外，按美国政府的官方定性，Swallowtail组织隶属俄军总参谋部情报总局（GRU），长期聚焦欧洲和北美的军事、国防及政府目标。2016年美国大选前入侵民主党全国委员会（DNC）一事，让这个组织第一次站到聚光灯下。此番卷土重来，目标直指北约防务产业链，情报意图不言自明。

二、攻击过程与核心技术分析

本次网络攻击活动，Swallowtail组织采用循序渐进的长周期潜伏攻击链，全程优先控制攻击特征暴露，减少可疑行为。攻击者依靠社会工程投递、轻量化后门、伪装C2通信、低频率内网活动的组合方式，在目标环境中长期站稳脚跟。

（1）鱼叉邮件投递与后门程序植入

攻击者主要依托定向鱼叉邮件作为初始接入入口，制作贴合北约会议、防务合作、外交议题的伪装文档作为诱饵，利用目标人员对相关公务文件的信任完成社会工程诱导。诱饵文件大多是Office文档，内嵌恶意宏或者利用已知Office漏洞，当受害者启用宏、打开恶意附件之后，第一阶段加载器就会落地执行。加载器不会直接释放大型恶意程序，优先投放轻量stager阶段载荷，这个stager主要作用是和外部C2建立初始信道，同时承担环境探测工作，自动查询主机系统版本、已安装安全软件、内网网段、域环境信息，回传给攻击者后台，方便后续制定适配目标环境的渗透方案。为了降低静态查杀概率，载荷大量使用代码混淆、字符串加密，部分功能采用内存执行方式，落地磁盘的实体文件极少，减少可以被EDR、杀毒软件捕获的样本痕迹。

（2）持久化机制与权限提升

成功进入终端之后，攻击者不会立刻开展大范围内网扫描，而是优先搭建稳定持久化通道，保证即便目标主机重启，也能够重新获取访问权限。常用手段包含创建伪装名称的计划任务、修改注册表启动项、注册虚假系统服务，部分场景下会使用WMI事件触发器实现无文件持久化。在权限层面，攻击者会优先在本地搜集凭证，使用凭据转储工具抓取LSASS内存中的账号密码、NTLM哈希，寻找本地管理员账号。如果主机加入域环境，则重点查找域用户凭证，尝试拿到域账号权限。整个提权过程尽量选用系统自带原生工具，也就是Living-off-the-Land战术，依靠Windows自带命令行工具完成信息收集，减少引入第三方恶意工具带来的风险，降低行为告警概率。

（3）C2通信、流量伪装与死信节点设计

该组织的C2基础设施经过分层设计，主C2节点搭配一批用于中转的中继服务器，同时部署死信解析节点（Dead Drop Resolver）来提升抗封禁能力。恶意载荷和C2之间的通信流量做了伪装，模仿正常网页浏览流量，使用常规443端口加密通信，自定义流量心跳间隔，拉长通信周期，避免高频外联行为被流量检测设备标记异常。攻击者还会轮换域名，定期弃用被标记的域名、切换中继节点IP，一旦某一条C2链路被阻断，就通过死信节点下发新的地址配置，维持和失陷主机的通信通道不会完全中断。研究人员在溯源过程中发现，这批域名的注册信息大多做了隐私保护，注册人信息虚假，域名解析记录频繁改动，进一步抬高了防御方持续追踪基础设施的门槛。

（4）内网横向移动与数据搜集

拿到初步权限之后，攻击者采用谨慎的横向移动策略，不会对整个网段进行暴力扫描，而是基于前期收集到的内网拓扑、账号清单，挑选高价值资产定向跳转，比如域控制器、文件服务器、邮件服务器、存放项目文档和涉密材料的工作站。横向移动优先使用哈希传递、票据复用这类基于域凭证的技术，借助SMB、RDP等合法远程协议访问其他主机。在内网站稳之后，攻击者开展针对性数据搜集，筛选防务文件、会议纪要、外交通信、项目方案等敏感文档。文件检索、拷贝动作分批分次执行，不会一次性大批量外发文件。敏感数据在传出前会做加密打包，拆分后分批外传，规避DLP数据泄露检测设备的规则。

三、攻击目标与组织归因研判

综合攻击目标选择、技术偏好、行动节奏、基础设施特征来判断，Swallowtail组织攻击行动的目标集合高度聚焦北约组织生态。覆盖北约本部机构、北约各个成员国政府外交与国防部门、军工防务承包商、参与北约合作项目的科研机构。核心诉求是搜集和防务政策、军事项目、外交磋商相关的机密情报。

从战术风格来看，该组织擅长长期潜伏、慢渗透、低噪声作业，重视规避安全监测，熟悉政府和国防单位常见的内网架构、防护体系，具备长期运营定向APT活动的能力。研究人员将该威胁活动关联至俄罗斯背景的威胁组织，研判依据包括整套行动的战术范式、基础设施托管区域、同源工具链、相似C2运营手法，以及过往该团伙针对欧洲防务、外交目标的历史攻击活动。该组织和以赚钱为目的黑产组织区分度很高，不使用勒索木马、挖矿程序、商业窃密木马，全部技术动作围绕情报收集设计。能够持续跟踪地缘热点，制作贴合北约公务场景的社会工程诱饵，说明攻击者拥有专门的情报策划和作业团队，能够持续跟进目标业务语境，支撑多批次定向鱼叉投递。

四、攻击事件总结

这次Swallowtail组织攻击行动的技术含量并不体现在“新漏洞”或“0Day”上。攻击者用的是带宏的Word、系统自带的ssh.exe、PowerShell、curl和批处理脚本,几乎全是目标机器上本来就有的东西，没有引入重型植入体，也没有走传统恶意软件的大体积投递路线。攻击者把隐蔽性放在第一位，依靠精准社会工程诱饵落地、无文件/少文件载荷、LOL工具集、低频加密C2通信、审慎横向移动，实现长时间潜伏，悄悄搜集防务与外交领域敏感资料。它的核心威胁点不在于立刻造成业务瘫痪，而在于长期潜伏带来的情报外泄风险，很多隐蔽入侵在数月甚至更长时间内都难以被发现，涉密材料持续外泄而防御方无法感知。这种“低技术、高隐蔽、长驻留”的风格，恰恰是国家级APT攻击行动在国防承包商网络中追求持久性而非破坏性的典型打法。

对于国防、政府机构、军工承包商这类高敏感单位，单纯依靠传统特征库查杀很难抵御这类隐蔽的APT攻击。防御重点需要转向行为分析、异常账号访问审计、跨网段异常RDP/SMB访问监测、不寻常的LSASS访问行为、长时间静默主机突发加密外联等行为线索。同时要强化员工针对敏感议题鱼叉邮件的识别培训，做好域账号权限最小化、凭证防护、计划任务和启动项定期审计。建立持续的威胁狩猎机制，主动排查内网中长时间未知的持久化通道和异常C2通信，及时发现这类慢节奏、高隐蔽性的定向侦察入侵活动，阻断情报窃取链路。

参考链接：

https://www.security.com/blog-post/swallowtail-russia-nato-targets

GoldFactory组织开发针对iOS系统的GoldPickaxe木马病毒——每周威胁情报动态第165期（2.9-2.22）

新APT组织APT-LY-1009针对亚美尼亚政府投递VenomRAT——每周威胁情报动态第164期（02.02-02.07）