2026-10-30 13:57:37 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

APT36组织利用伪装KMS激活工具实施多阶段入侵并部署恐吓软件

原创

BaizeSec
BaizeSec

白泽安全实验室

2026年10月30日 09:00
北京

去阅读

一、事件概述

近日，网络安全研究人员披露了一起以非官方授权的Windows激活工具KMS Auto为初始载体的多阶段网络入侵事件，多项技术特征指向巴基斯坦关联APT组织APT36（又称Transparent Tribe、Mythic Leopard）。攻击者将恶意代码捆绑于盗版KMS Auto激活工具中，以软件激活为诱饵突破终端防线，随后在受害者系统中逐步部署加密货币挖矿程序XMRig、滥用合法远程管理工具ScreenConnect，并追加部署MeshAgent作为备用持久化后门，并最终投递伪装成勒索软件的恐吓载荷（Scareware），试图营造系统已被加密的假象，其攻击意图属于心理威慑而非密码学破坏。

此次攻击的显著特征在于其分阶段、低速率推进的战术设计：各攻击阶段之间保持了12至24小时的间隔，而非一次性释放全部载荷。这种节奏使攻击者得以在较长时间窗口内观察受害者环境、规避基于突发行为的检测机制，同时利用合法工具与盗版软件的灰色地带掩盖恶意意图。尽管该事件在最终阶段呈现为一场“勒索软件骗局”而非真实的数据加密攻击，但其攻击链中暴露的工具组合与元数据指向，仍为理解APT36组织的初始访问偏好及多阶段驻留手法提供了重要样本。

二、攻击过程分析

研究人员的遥测数据显示，该攻击链以四个有序阶段展开，各阶段之间呈现明确的时间递进关系。

第一阶段：KMS Auto作为初始投放载体

KMS Auto是一款未经授权的微软产品激活工具，本身不具备恶意功能，但常通过非官方软件仓库、种子站点及破解软件平台传播，被攻击者重新打包后作为恶意载荷的运载工具。在此次事件中，KMS Auto的执行是该入侵链中最早可观测到的活动。需要强调的是，该工具本身不等同于失陷指标，但其从不寻常目录执行、或伴随可疑子进程启动时，应被视为高风险信号。研究人员基于持续观察，已宣布将该工具在其威胁分类体系中归入“黑客工具”（HackTool）类别。

第二阶段：XMRig加密货币挖矿程序部署

KMS Auto执行后，系统被植入XMRig——一款开源的加密货币挖矿工具。XMRig的出现使该活动从“疑似软件激活异常”正式转入“失陷后行为”范畴。与勒索软件不同，挖矿程序无需中断受害者业务即可在后台长期运行，通过占用CPU等系统资源为攻击者产生直接经济收益，同时保持较低的检测轮廓。

第三阶段：合法远程管理工具的武器化

挖矿活动开始数小时后，ScreenConnect被安装至受感染主机。ScreenConnect是一款合法的远程监控与管理（RMM）解决方案，攻击者利用其已在企业环境中获得的信任属性，无需自研远控植入体即可获得交互式远程访问能力。

研究人员在以下路径中发现了ScreenConnect客户端：C:\ProgramData\HvHosts\ScreenConnect.WindowsClient.exe

C:\ProgramData\OneDriveServer\OneDriveServer\OneDriveServer\ScreenConnect.WindowsClient.exe。

随后，攻击者进一步部署了MeshAgent，作为冗余远程访问通道。这一“双RMM”策略旨在确保主通道被检测或撤销后，攻击者仍能通过备用后门维持对主机的控制。

第四阶段：恐吓软件载荷投递

在远程访问建立数小时后，攻击者投放了命名为SecurityHealthServices.exe的最终载荷。该文件被放置于%ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup\目录下，以实现对所有用户的持久化自启动。从外观与元数据看，该文件刻意冒充Windows Defender相关进程；但其文件属性中嵌入了大量指向性信息：CompanyName字段为“Transparent Tribe”，LegalCopyright字段为“APT36 Transparent Tribe pakistanware”，图标为巴基斯坦国旗，内部注释包含“APT36 Transparent Tribe pakistanware simulation host”。

载荷执行后，桌面壁纸被替换为巴基斯坦国旗，一个标题为“pakistanware by APT36”的持久化覆盖层被置于所有窗口之上，显示紧急勒索警告，模拟勒索软件的恐吓效果。该载荷遍历系统中的可执行文件，为每个文件名追加额外的.exe扩展名以制造“文件已被加密”的视觉效果，但分析未发现任何真实的文件加密逻辑或加密活动。勒索提示中亦不包含加密货币钱包地址、赎金金额、支付期限或联系渠道，进一步印证其本质为心理层面的恐吓而非以加密为手段的勒索。为维持驻留，载荷在执行时创建了多个Run、RunOnce及启动项，并将自身副本以“超级隐藏”属性投放至AppData目录，同时在C:\Users\Public\Recovery路径下释放批处理脚本、VBS文件、XML配置及可执行二进制文件等辅助组件。

三、攻击归因与局限性分析

研究人员在归因问题上保持了审慎立场。尽管最终载荷的元数据、图标及覆盖层文字均明确指向APT36（Transparent Tribe），且该组织确为巴基斯坦国家关联的网络间谍行为体，自2013年前后活跃至今，长期聚焦印度政府、军事及外交实体，但研究团队指出现有证据尚不足以形成排他性归因结论。

归因局限主要体现在以下方面：其一，元数据中的“APT36”“Transparent Tribe”等字符串可由任何行为体填入，不构成技术层面的强归因证据；其二，该载荷的行为完全局限于恐吓软件的范畴，未观察到针对特定组织的数据窃取或真实破坏性操作，与APT36作为间谍行为体通常表现出的精准目标选择与情报收集模式存在偏差。研究人员据此将该活动定性为更接近“一场骗局或低层级滋扰”，而非一次严格意义上的定向APT攻击。

然而，该事件的核心警示意义并不取决于单一归因结论。KMS Auto、XMRig、ScreenConnect、MeshAgent中的每一个组件单独审视时，均具有合法的双用途属性或正当的管理用途，孤立检测极易被归类为低严重度异常。真正的安全风险在于时间序列上的组合模式：一个来源不可信的双用途工具被投放后，在极短的时间窗口内依次触发挖矿、远程管理和勒索主题载荷，这一序列本身即构成了蓄意主机失陷的确凿行为证据。

四、攻击事件总结

此次事件揭示了一种以合法工具滥用与分阶段节奏控制为核心的多阶段入侵范式。攻击者并未依赖零日漏洞或高度定制的恶意软件，而是利用盗版激活工具的用户信任缺口作为突破口，将加密货币挖矿、企业级远程管理软件和恐吓性伪装载荷串联为一条低技术门槛但高隐蔽性的攻击链。12至24小时的阶段间隔表明，攻击者有意拉长驻留时间，以规避依赖短时高频行为的检测规则，并利用合法工具在安全产品白名单中的既有信誉降低触发概率。

对于防御方而言，该事件提供了若干直接可操作的启示。首先，未经授权的软件激活工具应被纳入明确的安全管控范围：KMS Auto的出现本身虽不等于失陷，但其从非官方渠道下载并在异常路径下执行，应触发主动排查。其次，远程管理工具的异常部署模式比工具本身更具检测价值：ScreenConnect或MeshAgent出现于非IT管理流程、与非工作时段或不可信父进程关联的场景中，应被视为潜在的攻击者驻留信号。再次，勒索软件的检测逻辑需要区分“加密行为”与“勒索外观” ：将壁纸替换、文件扩展名篡改、覆盖层警告等表层特征与真实加密操作（文件熵值变化、加密API调用、密钥材料生成）分开研判，有助于避免对纯恐吓载荷的误分类与资源错配。最后，阶段间的长间隔要求日志留存与关联分析覆盖更长的时间窗口：若检测策略仅关注短时突发行为，则可能遗漏在不同日期、不同时段依次落地的多阶段组件之间的逻辑关联。

参考链接：

https://labs.k7computing.com/index.php/from-kms-auto-to-scareware-tracking-a-multi-stage-intrusion-linked-to-apt36/

GoldFactory组织开发针对iOS系统的GoldPickaxe木马病毒——每周威胁情报动态第165期（2.9-2.22）

新APT组织APT-LY-1009针对亚美尼亚政府投递VenomRAT——每周威胁情报动态第164期（02.02-02.07）