摘要针对全球化企业持续爆发的定向钓鱼邮件渗透攻击本文以 SOC Prime 披露的 Larva-24009 威胁组织攻击实例为核心研究样本完整拆解该威胁团伙从邮件投递、恶意 LNK 载荷触发、混淆 PowerShell 执行、持久化构建、远控工具部署到 C2 信道外联、数据窃取外带的多阶段感染链条。研究梳理 Larva-24009 组织核心战术、技术与流程TTP剖析其利用快捷方式文件规避终端基础防护、滥用脚本解释器绕过主机执行策略、依托第三方公开 API 构建隐蔽指挥信道的技术规避手段结合企业真实防护场景从终端管控、邮件安全、网络流量审计、威胁狩猎、应急响应五大维度构建分层防御框架。反网络钓鱼技术专家芦笛指出当前中小企与跨境机构普遍存在 PowerShell 管控宽松、临时文件无基线监控、第三方工具滥用审计缺失三大安全短板是 Larva-24009 类脚本型钓鱼攻击持续得手的核心诱因。本文同步梳理对应攻击行为的标准化检测规则与事件溯源方案形成 “攻击机理 - 风险短板 - 检测手段 - 缓解策略 - 处置流程” 完整论证闭环可为政企单位防范同源脚本类钓鱼渗透提供可落地的技术参考与运营规范。关键词Larva-24009网络钓鱼LNK 恶意载荷混淆 PowerShell远控木马威胁狩猎终端安全防护1 引言数字化业务全面普及背景下电子邮件仍是政企机构对内对外业务交互的核心载体也成为高级持续性威胁组织实施初始访问的首选渗透入口。相较于漏洞利用、供应链投毒等高成本攻击路径定向钓鱼邮件具备制作成本低、分发范围广、社会工程欺骗性强、规避传统边界防火墙难度低等特征长期占据企业安全事件触发源头首位。近年来威胁攻击者逐步放弃宏 Office 文档等易被安全产品拦截的传统载荷形态转向 LNK 快捷方式、脚本封装文件、伪装压缩包等新型载体依托 Windows 原生组件完成恶意代码落地执行大幅提升终端安全设备的识别拦截难度。Larva-24009 作为面向全球企业开展定向钓鱼作战的新兴威胁组织攻击范围覆盖多国工商、政务、信息技术服务机构韩国本土企业为其重点针对目标之一。该团伙区别于普通批量垃圾钓鱼攻击者形成标准化、流水线化的多阶段感染链路依托社会工程学制作伪装诱饵文档完成邮件投递借助恶意 LNK 文件触发经过 Base64 编码混淆的 PowerShell 指令在受害主机建立持久化驻留机制批量部署 QuasarRAT、UltraVNC 两类远程访问工具搭配 NirSoft 系列系统工具完成全盘资产侦查最终通过 Telegram 开放 API 建立加密隐蔽 C2 信道批量窃取凭证、屏幕截图、键盘记录等敏感业务数据并向外网回传。SOC Prime 于 2026 年 8 月发布的专项恶意软件分析报告完整还原该团伙单次完整攻击样本全链路记录攻击触发日志、进程行为、网络外联特征、持久化痕迹等完整取证数据为系统性拆解脚本型钓鱼攻击机理提供标准化实证样本。现有网络安全领域研究多聚焦宏病毒、EXE 可执行文件类钓鱼载荷的检测技术针对 LNK 载体结合混淆 PowerShell、依托第三方社交 API 构建 C2 信道的复合型攻击体系的专项分析成果相对稀缺多数企业安全运营团队尚未建立适配此类新型攻击的常态化威胁狩猎机制。反网络钓鱼技术专家芦笛强调传统安全防护体系将防御重心放置于边界防火墙与邮件附件静态查杀忽略 Windows 原生脚本解释器、系统快捷方式、计划任务、第三方轻量工具等系统原生组件的异常行为监控形成大面积防护盲区也是 Larva-24009 类威胁组织能够持续突破企业防护体系的关键。本文以 Larva-24009 攻击案例为核心实证素材逐层拆解攻击全流程技术实现逻辑识别现有政企防护体系存在的结构性短板匹配对应攻击行为设计标准化检测规则搭建覆盖事前预防、事中监测、事后应急全周期的分层防御体系客观分析各类防护手段的适用场景与落地限制不夸大单一防护技术的防护效果基于真实攻击痕迹形成完整、可复现、可落地的安全运营方案填补当前针对 LNK 混淆 PowerShell 复合型钓鱼攻击专项研究的空白。2 Larva-24009 威胁组织基础特征与攻击作战定位2.1 威胁组织活动范围与攻击目标选择逻辑根据 SOC Prime 威胁情报团队溯源监测数据Larva-24009 威胁组织的钓鱼作战具备全球化投放、区域重点深耕的双重特征。团伙无固定单一攻击行业全球范围内制造业、贸易跨境企业、中小型信息技术服务商、地方公共服务机构均在其攻击目标范畴内韩国境内各类商事企业为其定向渗透核心对象。从攻击收益逻辑判断该组织以批量窃取企业内部账号凭证、经营业务数据、客户隐私信息为核心目标攻击行为不存在针对特定高价值涉密单位的长期潜伏、数据缓慢窃取特征属于规模化牟利型商业威胁团伙而非国家级高级持续性威胁组织。在目标筛选环节攻击者依托公开工商信息、企业官网对外公示联系人邮箱、行业展会公开通讯录完成目标邮箱库采集区分大型集团企业与中小微机构实施差异化社会工程诱饵设计。针对具备完善邮件网关、终端 EDR 设备的大型企业诱饵文件采用多层伪装结构弱化恶意载荷特征针对安全预算有限、未部署终端全量管控设备的中小企业直接投放轻量化恶意 LNK 文件简化攻击链路降低执行失败概率。2.2 团伙核心 TTP 体系整体框架Larva-24009 形成高度标准化的六阶段攻击 TTP 闭环全流程依托 Windows 系统原生程序与开源免费工具实现最大程度规避静态特征查杀第一阶段为初始访问依托钓鱼邮件投递诱饵文档与恶意 LNK 载体完成受害主机入口突破第二阶段为代码执行通过快捷方式文件唤起经过编码混淆的 PowerShell 脚本完成恶意载荷内存加载第三阶段为持久化驻留创建系统计划任务、修改注册表启动项保证恶意程序主机重启后持续运行第四阶段为资产侦查滥用 NirSoft 系列轻量系统工具自动采集主机账号、硬件信息、本地存储文件路径第五阶段为远控部署落地 QuasarRAT、UltraVNC 两类远程访问木马实现主机完全操控第六阶段为指挥通信与数据外带调用 Telegram 公共 API 建立加密隐蔽 C2 信道批量回传窃取到的键盘记录、屏幕截图、账号凭证数据。整套攻击链路未使用自定义编译大型恶意程序核心执行载体均为 Windows 自带组件与互联网公开免费工具不存在专属恶意程序哈希特征传统基于病毒特征库的杀毒软件难以实现全链路拦截必须依托进程行为、命令行参数、网络外联目的地、系统配置变更等动态行为特征完成识别。反网络钓鱼技术专家芦笛对此作出补充说明当前多数企业终端防护仅针对独立 EXE 木马设置拦截规则未针对 PowerShell、cmd、wmic 等系统内置命令行程序建立异常行为基线给脚本类恶意攻击提供充足执行空间。2.3 攻击规避技术的核心设计思路Larva-24009 团伙规避企业安全检测的设计逻辑可划分为三层递进式规避体系分别针对静态查杀、主机执行管控、网络流量审计三类防护设备第一层载体形态规避选用系统原生 LNK 快捷方式文件作为触发载体该文件格式长期被邮件安全网关、终端杀毒软件划为低风险文件类型默认放行阈值宽松第二层指令混淆规避对全部 PowerShell 执行指令进行 Unicode 转码后 Base64 封装消除恶意关键字明文特征绕过基于字符串匹配的基础行为检测第三层通信信道规避放弃自建独立 C2 服务器依托 Telegram 官方开放 API 完成攻击状态上报与数据回传流量封装于正常社交软件加密流量内边界流量审计设备难以区分合法用户通信与恶意外联行为。三层规避手段相互配合形成完整的绕过机制大幅提升传统防护体系的拦截难度。3 Larva-24009 钓鱼攻击多阶段感染链路技术深度解析3.1 初始访问阶段钓鱼邮件与恶意 LNK 载荷投递机理攻击链路的起点为定向钓鱼邮件分发攻击者采用分层社会工程学话术降低目标人员警惕性。邮件主题多贴合目标企业日常业务场景包含发票对账、合同补充材料、客户业务回执、内部人事通知等高频办公场景关键词邮件正文文字排版模仿企业内部标准公文格式消除收件人陌生感。邮件附件包含两类文件其一为无任何恶意逻辑的诱饵文档格式选用 docx、xlsx 等主流办公文件作用是分散收件人注意力降低对另一附件风险的怀疑其二为核心恶意载体 —— 伪装后的 LNK 快捷方式文件。攻击者针对 LNK 文件实施多层伪装欺骗手段利用 Windows 系统默认隐藏文件扩展名的系统配置制造视觉误导将恶意快捷方式文件名设置为 “业务清单.docx.lnk”“对账明细.xlsx.lnk”依托系统隐藏后缀设置终端桌面仅展示 “业务清单.docx” 文字搭配办公软件专属图标普通办公人员无法直观识别文件真实后缀。该欺骗手段具备极强普适性国内政企单位大量终端未强制开启 “显示文件扩展名” 系统选项成为 LNK 钓鱼载荷能够广泛落地的前置基础条件。从文件底层逻辑分析LNK 快捷方式属于 Windows 系统原生二进制文件存储指向目标程序的完整启动命令行参数。Larva-24009 团伙制作的恶意快捷方式内部写入定向调用 powershell.exe 的完整执行语句当收件人双击文件图标时系统直接读取内嵌命令行参数并唤起 PowerShell 程序执行全过程无需安装第三方程序不存在额外可执行文件落地行为静态文件扫描仅能识别 LNK 基础格式无法解析内部封装的恶意执行指令邮件网关静态查杀手段对此类载荷识别效率不足 10%。3.2 代码执行阶段混淆 PowerShell 指令的落地与规避逻辑恶意 LNK 文件被触发后系统自动启动 PowerShell 解释器并携带 - EncodedCommand 参数执行预先封装的 Base64 编码指令该环节是整套攻击链路的核心突破点也是防护体系最容易出现漏洞的环节。攻击者采用编码混淆手段的核心目的是消除命令行内明文恶意关键词常规终端行为检测规则依靠匹配 “downloadstring”“invoke-expression”“远程文件下载” 等明文关键字识别恶意 PowerShell 行为Base64 编码后全部指令转换为无意义字符序列基础字符串匹配规则完全失效。指令执行过程完全在主机内存中完成不存在恶意文件写入本地硬盘的操作无落地文件则无法产生可被杀毒软件捕获的病毒哈希值传统基于磁盘文件扫描的防护手段完全失效。同时攻击者在指令参数内嵌入 % TEMP% 系统临时目录路径模拟正常办公脚本访问临时文件的行为特征贴合主机日常业务基线降低异常行为告警触发概率。SOC Prime 模拟复现实验数据显示未配置高级进程行为审计的终端设备对此类带 - EncodedCommand 参数、引用临时目录路径的 PowerShell 执行行为不会产生任何安全告警。系统 PowerShell 执行策略本可限制未授权脚本运行但大量中小企业为保障业务自动化脚本正常运行将主机 PowerShell 执行策略设置为 RemoteSigned 或 Unrestricted 宽松模式完全放开脚本执行限制部分单位虽设置 Restricted 严格策略但仅限制 ps1 后缀脚本文件运行未管控通过 - EncodedCommand 参数直接传递的内存指令形成管控漏洞。反网络钓鱼技术专家芦笛明确指出政企机构普遍混淆 “脚本文件管控” 与 “PowerShell 进程命令行全参数管控” 两个概念仅限制本地脚本文件无法阻断内存编码指令执行是此类攻击能够稳定完成代码落地的核心技术短板。3.3 持久化驻留阶段计划任务与注册表双维度驻留构建恶意 PowerShell 指令执行完成后会自动在受害主机构建双重持久化机制保证即便主机重启远控工具仍可自动启动维持攻击者对终端的长期控制。第一类驻留手段为创建自定义系统计划任务脚本自动调用 schtasks 系统程序生成无明显业务标识、命名随机字符序列的定时任务设置登录触发、每日循环执行规则任务执行程序指向临时目录下解压后的 QuasarRAT 远控程序第二类驻留手段为修改用户注册表启动项在 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 路径下新增随机键值键值数据填充 UltraVNC 启动路径依托用户账户登录流程自动拉起远控进程。两类驻留机制分别依托系统计划任务服务、注册表自启动机制实现均属于 Windows 系统原生合法配置项不存在独立恶意驱动或服务安装行为。常规终端安全基线仅监控注册表新增未知 EXE 程序键值未对计划任务的创建时间、随机命名规则、执行路径指向临时目录等异常特征建立审计规则大量恶意计划任务可长期隐藏于系统配置内不被发现。攻击者刻意将远控程序存放于 % TEMP% 临时文件夹利用多数企业无临时目录文件变更审计策略的现状规避文件路径监控。3.4 系统侦查阶段NirSoft 开源工具的滥用与资产信息采集完成持久化部署后恶意脚本自动下载、解压 NirSoft 工具集至受害主机临时目录该工具集为互联网公开免费系统侦查工具包含账号查看、无线网络密码提取、浏览器缓存凭证读取、全盘文件检索、系统硬件信息采集等十余项功能全部程序无商业授权限制、无病毒标记安全厂商默认将其划分为灰色软件不会主动拦截。攻击者借助工具集完成全自动主机资产测绘批量导出本地浏览器保存的企业后台账号、云服务登录凭证、办公系统 Cookie 数据检索硬盘内 docx、pdf、xlsx 格式业务文档记录文件存储路径采集主机 IP 地址、内网网段、已连接打印机、共享文件夹等局域网资产信息提取已保存无线网络接入密码。全部采集数据统一生成文本日志缓存至临时目录等待回传至攻击者 C2 信道。该阶段攻击行为的隐蔽性体现在工具本身的合规属性单独运行 NirSoft 工具不会触发安全告警仅当 PowerShell 脚本自动批量调用多款侦查工具、短时间内批量读取浏览器凭证时才会出现行为异常但多数企业未针对短时间批量凭证读取行为配置关联检测规则侦查行为可完整执行无阻断。3.5 远控部署阶段QuasarRAT 与 UltraVNC 双重远控体系部署逻辑系统侦查完成后恶意脚本自动部署两套远程访问工具形成冗余远控体系单一工具被终端防护拦截时另一套仍可维持攻击链路不中断。QuasarRAT 为开源轻量远控木马具备键盘记录、实时屏幕截图、文件上传下载、进程管理、系统服务修改、麦克风录音完整操控能力是攻击者窃取敏感数据的核心载体UltraVNC 为正规开源远程桌面工具攻击者修改程序配置文件关闭身份验证机制实现无密码任意接入主机主要用于远程实时操控桌面、远程执行系统命令。两套工具程序均解压存放于系统临时目录依托前文创建的计划任务、注册表启动项实现开机自启。工具运行过程中隐藏程序窗口无桌面可视化界面普通终端用户无法感知后台远控进程运行进程名称采用随机字符命名规避基于进程名黑名单的简易拦截规则。两类远控程序产生的网络外联流量均采用标准 TCP 加密传输流量特征与合法远程桌面、文件传输工具高度近似边界防火墙仅能拦截已知恶意 IP 地址无法识别正常端口内的恶意远控流量。3.6 C2 通信与数据外带阶段Telegram API 隐蔽指挥信道构建Larva-24009 团伙放弃传统独立搭建恶意 C2 服务器的通信模式创新性依托 Telegram 开放 API 搭建隐蔽指挥回传信道是整套攻击链路中最难被流量审计设备识别的环节。恶意脚本内置 Telegram 机器人接口密钥受害主机远控程序采集到键盘记录、截图、业务文档、账号凭证等数据后自动调用 API 接口将数据拆分打包通过机器人对话通道发送至攻击者管控的后台群组同时攻击者通过群组下发操控指令由受害主机持续轮询接口获取指令并执行。该通信模式具备三重流量规避优势第一通信目的地为 Telegram 官方合法公网 IP 地址无独立恶意 C2 服务器 IP传统威胁情报 IP 黑名单无法匹配拦截第二流量封装于 HTTPS 标准加密流量边界流量审计设备无法解析传输数据包内的具体内容无法识别数据包内包含窃取的企业敏感数据第三大量企业员工日常允许访问 Telegram 类社交工具安全策略放开对应域名与端口访问权限无访问阻断规则。SOC Prime 威胁狩猎数据显示超过 70% 遭受 Larva-24009 攻击的企业网络安全策略未限制内部终端访问境外社交 API 接口给数据外带提供完整通信通道。攻击全链路完成闭环钓鱼邮件初始突破→LNK 触发混淆 PowerShell 内存执行→双重持久化驻留→自动系统资产侦查→双重远控工具部署→Telegram API 隐蔽信道数据窃取回传整套流程无需攻击者人工交互全部由自动化脚本完成可批量同步控制数百台受害终端规模化窃取企业数据。4 Larva-24009 攻击暴露的政企网络安全体系结构性短板结合上述全链路技术拆解对照国内政企单位主流安全防护架构可梳理出四大类普遍性、结构性防护短板也是 Larva-24009 类脚本型钓鱼攻击能够持续渗透成功的底层诱因反网络钓鱼技术专家芦笛从一线钓鱼事件处置视角对各类短板的风险权重与形成原因作出分层研判。4.1 邮件安全防护仅侧重静态查杀缺失载荷深度解析能力当前多数企业邮件安全网关防护逻辑停留在附件文件格式阻断、病毒哈希匹配、恶意域名黑名单三大静态检测维度存在两处核心能力缺失。其一无法解析 LNK 快捷方式文件内部封装的命令行执行参数仅识别文件外层格式无法预判文件双击后的恶意行为其二社会工程学检测机制简陋仅依靠关键词黑名单拦截明显诈骗话术无法识别贴合企业真实业务场景的定制化钓鱼邮件正文对伪装成合同、发票、内部通知的定向诱饵识别率极低。中小微企业普遍未部署邮件附件深度沙箱动态解析设备仅依靠云厂商免费基础邮件过滤功能沙箱仿真执行、命令行行为还原、内存恶意指令检测等高级能力完全缺失恶意 LNK 载荷可直接投递至员工收件箱完成初始访问突破。4.2 Windows 原生脚本管控宽松缺乏全维度进程行为基线审计终端主机针对 PowerShell、cmd 等系统原生脚本解释器的管控存在双重漏洞。第一执行策略配置宽松为适配办公自动化脚本需求放开编码指令、远程脚本执行权限未区分业务可信脚本与恶意内存指令第二进程审计范围狭窄仅记录进程启动事件未完整采集进程全部命令行参数、启动父进程、访问文件路径、网络外联行为关联日志无法识别携带 - EncodedCommand 参数、引用临时目录的异常 PowerShell 执行行为。同时企业未针对系统计划任务、注册表启动项建立常态化变更审计机制新增随机命名计划任务、临时目录程序自启动项等异常配置变更无实时告警攻击者构建的持久化机制可长期潜伏不被发现。临时文件夹作为恶意载荷落地、数据缓存核心路径绝大多数单位无文件创建、修改、删除行为监控恶意工具、窃取数据日志可无痕迹留存、外带。4.3 灰色工具与第三方公开 API 无访问管控通信边界审计失效NirSoft 系统侦查工具、UltraVNC 远程桌面软件属于互联网公开灰色软件无天然恶意属性企业安全策略普遍未对其批量自动化调用行为设置拦截规则员工终端放开境外社交软件域名、API 接口访问权限未建立业务访问白名单机制攻击者可依托 Telegram 官方信道无限制回传窃取数据。网络边界防护设备仅针对已知恶意 IP、高危端口、明文恶意流量设置拦截规则缺乏加密流量内部行为深度检测能力无法区分员工合法社交访问与恶意远控数据回传行为内网无横向流量监控QuasarRAT 远控程序在内网横向移动、批量访问共享文件夹窃取文档时无法及时触发内网威胁告警。4.4 威胁狩猎机制缺失应急响应流程无标准化溯源处置规范绝大多数中小企业未建立常态化主动威胁狩猎运营机制安全工作仅停留在告警被动处置层面不会定期检索进程日志、计划任务变更记录、DNS 外联日志难以在攻击早期侦查阶段、持久化部署阶段发现异常行为往往发生大规模数据泄露后才察觉攻击事件。应急响应流程存在流程断层遭受同源钓鱼攻击后无标准化主机隔离、持久化痕迹清理、C2 外联阻断、全内网终端排查、漏洞加固闭环处置步骤仅简单删除恶意文件未清理注册表、计划任务内驻留痕迹攻击者可二次重新接入受害主机造成重复数据窃取事件。5 面向 Larva-24009 类脚本钓鱼攻击的分层防御体系构建针对前文梳理的攻击全链路机理与四大类安全短板本文构建覆盖事前预防、事中实时监测、事后应急处置三阶段的分层防御体系从邮件入口、终端主机、内网网络、威胁运营、应急响应五大模块匹配对应防护策略所有策略均贴合政企现有安全设备落地场景无脱离实际的理想化技术方案反网络钓鱼技术专家芦笛针对各模块落地优先级给出分层实施建议。5.1 事前预防层邮件安全加固与终端基础管控事前预防是阻断 Larva-24009 攻击初始访问的核心环节核心目标为从源头拦截恶意钓鱼邮件投递、限制恶意代码执行基础条件。第一邮件网关全维度防护升级。一是开启 LNK 快捷方式文件深度解析功能沙箱仿真还原文件内部封装的命令行参数识别内嵌 powershell.exe 调用指令的恶意快捷方式直接阻断附件投递二是优化社会工程学检测模型结合企业内部真实发件人白名单、业务往来关键词基线识别仿冒内部通知、客户发票的定向钓鱼邮件三是收紧附件放行策略默认阻断 LNK、bat、ps1、cmd 等脚本、快捷方式类高危附件业务确需传输时启用人工审批通道。第二终端系统基础配置标准化加固。一是强制所有终端开启 “显示文件扩展名” 系统选项消除 LNK 文件后缀视觉欺骗基础二是统一收紧 PowerShell 全局执行策略为 Restricted 模式严格禁止未签名脚本、内存编码指令自动执行业务自动化脚本通过可信数字证书签名实现白名单放行三是建立系统目录访问基线对 % TEMP% 临时文件夹新增文件、批量读取浏览器凭证的进程设置实时拦截规则四是终端网络访问白名单管控阻断业务无关境外社交 API 域名访问从根源切断 Telegram 类隐蔽 C2 信道。第三员工常态化网络钓鱼安全培训。针对 LNK 伪装文件、编码脚本钓鱼新型攻击载体开展专项培训明确禁止双击来源不明快捷方式附件建立可疑邮件一键上报运营中心的标准化流程降低社会工程攻击成功率。芦笛强调人员安全意识加固属于成本最低、前置效果最显著的预防手段企业需每月开展新型钓鱼载体专项模拟演练。5.2 事中监测层全链路行为检测与实时告警机制事中监测依托 EDR 终端检测响应平台、内网流量审计设备、DNS 日志分析系统针对 Larva-24009 攻击各阶段行为配置标准化关联检测规则实现攻击全链路行为实时识别、即时告警。本文基于 SOC Prime 发布的检测规则提炼四类核心可落地监测规则无复杂逻辑、适配主流 EDR 设备配置规则一恶意 LNK 触发混淆 PowerShell 检测。监控进程创建事件匹配父进程为 explorer.exe、子进程为 powershell.exe命令行参数包含 - EncodedCommand、% TEMP% 字段的进程行为触发高等级安全告警自动阻断进程执行。规则二Telegram API 恶意 C2 外联检测。监控终端 DNS 查询日志与网络连接日志终端短时间内高频访问 Telegram 机器人 API 接口、同时存在键盘记录、屏幕截图类进程运行时触发流量异常告警临时阻断终端外网访问。规则三异常持久化机制创建检测。实时审计计划任务、注册表 Run 启动项变更日志识别随机字符命名、执行路径指向临时目录、登录自动触发的新增计划任务与注册表键值立即推送告警至安全运营中心。规则四灰色工具批量自动化调用检测。监控 PowerShell 进程批量连续调用多款 NirSoft 侦查工具、短时间读取浏览器全部存储凭证的行为判定为系统资产侦查攻击行为阻断工具执行并隔离终端。内网流量审计层面开启内网横向流量监控监测单台终端短时间内批量访问多台主机共享文件夹、发起大量远程桌面连接的异常行为拦截 QuasarRAT、UltraVNC 带来的内网横向渗透行为。所有监测日志统一汇总至安全运营平台实现终端进程、网络外联、系统配置变更日志关联溯源避免单一日志产生误告警。5.3 事后处置层标准化应急响应闭环流程当监测设备触发 Larva-24009 同源攻击告警后需严格执行六步标准化应急处置流程完整清除攻击痕迹、阻断数据泄露、排查全域感染终端形成处置闭环第一步受害终端物理 / 逻辑隔离。立即断开受害主机内网、外网双链路防止攻击者依托远控工具实施内网横向移动、持续外带敏感数据隔离操作优先于痕迹排查避免扩大受害范围。第二步全维度攻击痕迹溯源取证。提取终端三类核心日志全部 PowerShell 进程完整命令行日志、计划任务创建变更日志、注册表启动项修改记录检索 % TEMP% 目录下全部新增程序、缓存数据日志导出终端 DNS 外联、TCP 网络连接日志完整留存取证数据用于攻击根源分析。第三步多层恶意驻留痕迹清理。删除临时目录内 QuasarRAT、UltraVNC、NirSoft 工具集全部文件删除攻击者创建的全部自定义计划任务清除注册表 Run 路径下新增恶意自启动键值结束后台全部随机命名远控进程删除内存残留恶意脚本指令。第四步C2 通信信道阻断。在边界防火墙、邮件网关、终端安全策略内永久拉黑本次攻击关联的 Telegram API 通信特征、恶意外联域名同步更新全企业终端访问白名单杜绝同类隐蔽信道复用。第五步全域内网批量排查。依托 EDR 平台全网检索匹配上述四类监测规则的异常终端筛查是否存在多台主机同步遭受渗透对所有可疑终端执行隔离、痕迹清理操作消除内网潜伏攻击节点。第六步安全体系复盘加固。梳理本次攻击突破防护体系的薄弱环节针对性优化邮件过滤规则、终端 PowerShell 管控策略、网络访问白名单更新企业钓鱼安全培训内容同步更新常态化威胁狩猎检索关键词避免同源攻击二次入侵。5.4 常态化威胁狩猎运营机制搭建被动告警处置无法提前发现潜伏周期较长的 Larva-24009 攻击节点企业需建立每周一次的主动威胁狩猎机制定向检索匹配该团伙 TTP 特征的异常行为核心狩猎检索维度分为四项第一检索近 7 天全部 PowerShell 进程日志筛选携带 - EncodedCommand 编码参数、引用临时目录路径的未知执行记录第二检索计划任务变更日志筛选随机命名、执行路径指向临时文件夹的新增定时任务第三检索 DNS 查询日志筛查终端非业务时段高频访问 Telegram API 接口的外联行为第四检索终端文件操作日志筛查短时间批量读取浏览器凭证、全盘检索办公文档的进程行为。威胁狩猎发现疑似攻击痕迹后立即启动小型应急溯源流程提前清除潜伏恶意程序在攻击者完成数据窃取、内网横向移动前阻断攻击链路大幅降低企业数据泄露损失。反网络钓鱼技术专家芦笛提出建议安全预算有限的中小机构可依托 EDR 自带检索功能完成轻量化狩猎无需采购独立威胁狩猎平台仅需固定周期执行标准化检索脚本即可实现基础主动防御。6 攻击防御体系落地效果约束与客观局限性分析本文构建的分层防御体系可完整覆盖 Larva-24009 团伙全部攻击链路但各类防护手段均存在客观落地限制不存在能够 100% 拦截所有同源变异攻击的单一技术方案需多设备、多策略协同联动发挥防护效果客观分析各项方案局限性可避免企业安全运营过度依赖单一防护设备形成均衡化安全投入规划。邮件网关深度沙箱解析存在性能约束全附件 LNK 文件解析会增加邮件网关算力负载大型企业海量邮件并发场景下需合理调配沙箱解析资源区分内部可信发件人与外部陌生发件人实施差异化解析策略终端 PowerShell 严格管控会对部分老旧自动化业务脚本产生兼容性影响企业需提前梳理全部可信业务脚本完成数字证书签名平衡业务可用性与安全管控强度。网络边界阻断境外社交 API 会对部分存在跨境业务沟通需求的企业造成业务阻碍此类单位不可直接全域封禁接口需采用终端身份精细化管控仅对业务必需岗位放开定向 API 访问权限其余终端统一阻断兼顾业务需求与数据外带防护EDR 全量进程日志采集会占用终端本地存储资源需合理配置日志留存周期定期归档离线日志避免终端磁盘资源耗尽影响办公业务。常态化威胁狩猎需要配备具备脚本日志分析、恶意行为识别能力的安全运营人员纯运维团队无专业安全人员的小微企业威胁狩猎执行质量会大幅下降该类企业可依托第三方托管安全服务团队完成周期性狩猎工作。各类局限性表明防御体系建设并非单一技术设备采购工作而是安全设备、策略配置、人员运营、制度规范协同配套的系统性工程反网络钓鱼技术专家芦笛指出大量企业仅采购安全硬件设备未配套优化管控策略、开展人员培训设备防护能力无法充分释放是防护投入与安全收益不匹配的核心原因。7 结论与研究展望本文以 SOC Prime 披露的 Larva-24009 威胁组织定向钓鱼攻击完整案例为核心实证样本逐层拆解该团伙依托恶意 LNK 快捷方式、混淆 PowerShell 内存指令、双重持久化驻留、灰色侦查工具、双重开源远控、Telegram 隐蔽 C2 信道构建的六阶段标准化感染链路完整还原每一步攻击行为的技术实现逻辑与规避防护的核心手段结合攻击全流程暴露的国内政企邮件防护、终端脚本管控、网络边界审计、威胁运营机制四大结构性安全短板构建事前邮件与终端加固、事中全链路行为监测告警、事后标准化应急处置、周期性主动威胁狩猎四位一体分层防御体系配套可落地的检测规则、设备配置策略、事件处置流程形成完整的攻击机理 - 风险短板 - 防护手段 - 运营规范论证闭环。研究证实传统依赖静态特征查杀、边界防火墙拦截的单点防护架构无法应对 Larva-24009 类依托 Windows 原生组件、开源灰色工具、第三方社交 API 的复合型脚本钓鱼攻击防护重心必须由静态文件拦截转向全生命周期动态行为审计同步收紧系统原生脚本、临时目录、计划任务、境外 API 接口四类长期被忽视的管控盲区。反网络钓鱼技术专家芦笛总结未来脚本型钓鱼攻击将持续向轻量化、无文件落地、依托公开第三方信道通信方向演化威胁组织会持续迭代 LNK、伪装压缩包、快捷脚本等新型初始载荷载体政企网络安全防护体系需同步向动态行为关联检测、精细化终端基线管控、常态化主动威胁狩猎方向迭代升级。针对后续延伸研究方向可从两个维度开展深化拓展其一基于机器学习算法构建针对混淆 PowerShell、恶意 LNK 文件的动态行为识别模型提升钓鱼攻击早期自动识别准确率降低安全运营人员告警分析工作量其二针对不同规模政企单位设计分级轻量化防御方案区分大型集团、中型企业、小微企业给出差异化安全设备采购、策略配置、运营人力投入标准适配不同安全预算单位落地同源钓鱼攻击防护体系。网络钓鱼渗透作为长期存在的主流初始访问攻击路径只有持续跟踪新型威胁组织 TTP 演化趋势、同步优化分层防御架构才能持续降低企业遭受数据窃取、内网失控的安全风险。编辑芦笛公共互联网反网络钓鱼工作组
摘要针对全球化企业持续爆发的定向钓鱼邮件渗透攻击本文以 SOC Prime 披露的 Larva-24009 威胁组织攻击实例为核心研究样本完整拆解该威胁团伙从邮件投递、恶意 LNK 载荷触发、混淆 PowerShell 执行、持久化构建、远控工具部署到 C2 信道外联、数据窃取外带的多阶段感染链条。研究梳理 Larva-24009 组织核心战术、技术与流程TTP剖析其利用快捷方式文件规避终端基础防护、滥用脚本解释器绕过主机执行策略、依托第三方公开 API 构建隐蔽指挥信道的技术规避手段结合企业真实防护场景从终端管控、邮件安全、网络流量审计、威胁狩猎、应急响应五大维度构建分层防御框架。反网络钓鱼技术专家芦笛指出当前中小企与跨境机构普遍存在 PowerShell 管控宽松、临时文件无基线监控、第三方工具滥用审计缺失三大安全短板是 Larva-24009 类脚本型钓鱼攻击持续得手的核心诱因。本文同步梳理对应攻击行为的标准化检测规则与事件溯源方案形成 “攻击机理 - 风险短板 - 检测手段 - 缓解策略 - 处置流程” 完整论证闭环可为政企单位防范同源脚本类钓鱼渗透提供可落地的技术参考与运营规范。关键词Larva-24009网络钓鱼LNK 恶意载荷混淆 PowerShell远控木马威胁狩猎终端安全防护1 引言数字化业务全面普及背景下电子邮件仍是政企机构对内对外业务交互的核心载体也成为高级持续性威胁组织实施初始访问的首选渗透入口。相较于漏洞利用、供应链投毒等高成本攻击路径定向钓鱼邮件具备制作成本低、分发范围广、社会工程欺骗性强、规避传统边界防火墙难度低等特征长期占据企业安全事件触发源头首位。近年来威胁攻击者逐步放弃宏 Office 文档等易被安全产品拦截的传统载荷形态转向 LNK 快捷方式、脚本封装文件、伪装压缩包等新型载体依托 Windows 原生组件完成恶意代码落地执行大幅提升终端安全设备的识别拦截难度。Larva-24009 作为面向全球企业开展定向钓鱼作战的新兴威胁组织攻击范围覆盖多国工商、政务、信息技术服务机构韩国本土企业为其重点针对目标之一。该团伙区别于普通批量垃圾钓鱼攻击者形成标准化、流水线化的多阶段感染链路依托社会工程学制作伪装诱饵文档完成邮件投递借助恶意 LNK 文件触发经过 Base64 编码混淆的 PowerShell 指令在受害主机建立持久化驻留机制批量部署 QuasarRAT、UltraVNC 两类远程访问工具搭配 NirSoft 系列系统工具完成全盘资产侦查最终通过 Telegram 开放 API 建立加密隐蔽 C2 信道批量窃取凭证、屏幕截图、键盘记录等敏感业务数据并向外网回传。SOC Prime 于 2026 年 8 月发布的专项恶意软件分析报告完整还原该团伙单次完整攻击样本全链路记录攻击触发日志、进程行为、网络外联特征、持久化痕迹等完整取证数据为系统性拆解脚本型钓鱼攻击机理提供标准化实证样本。现有网络安全领域研究多聚焦宏病毒、EXE 可执行文件类钓鱼载荷的检测技术针对 LNK 载体结合混淆 PowerShell、依托第三方社交 API 构建 C2 信道的复合型攻击体系的专项分析成果相对稀缺多数企业安全运营团队尚未建立适配此类新型攻击的常态化威胁狩猎机制。反网络钓鱼技术专家芦笛强调传统安全防护体系将防御重心放置于边界防火墙与邮件附件静态查杀忽略 Windows 原生脚本解释器、系统快捷方式、计划任务、第三方轻量工具等系统原生组件的异常行为监控形成大面积防护盲区也是 Larva-24009 类威胁组织能够持续突破企业防护体系的关键。本文以 Larva-24009 攻击案例为核心实证素材逐层拆解攻击全流程技术实现逻辑识别现有政企防护体系存在的结构性短板匹配对应攻击行为设计标准化检测规则搭建覆盖事前预防、事中监测、事后应急全周期的分层防御体系客观分析各类防护手段的适用场景与落地限制不夸大单一防护技术的防护效果基于真实攻击痕迹形成完整、可复现、可落地的安全运营方案填补当前针对 LNK 混淆 PowerShell 复合型钓鱼攻击专项研究的空白。2 Larva-24009 威胁组织基础特征与攻击作战定位2.1 威胁组织活动范围与攻击目标选择逻辑根据 SOC Prime 威胁情报团队溯源监测数据Larva-24009 威胁组织的钓鱼作战具备全球化投放、区域重点深耕的双重特征。团伙无固定单一攻击行业全球范围内制造业、贸易跨境企业、中小型信息技术服务商、地方公共服务机构均在其攻击目标范畴内韩国境内各类商事企业为其定向渗透核心对象。从攻击收益逻辑判断该组织以批量窃取企业内部账号凭证、经营业务数据、客户隐私信息为核心目标攻击行为不存在针对特定高价值涉密单位的长期潜伏、数据缓慢窃取特征属于规模化牟利型商业威胁团伙而非国家级高级持续性威胁组织。在目标筛选环节攻击者依托公开工商信息、企业官网对外公示联系人邮箱、行业展会公开通讯录完成目标邮箱库采集区分大型集团企业与中小微机构实施差异化社会工程诱饵设计。针对具备完善邮件网关、终端 EDR 设备的大型企业诱饵文件采用多层伪装结构弱化恶意载荷特征针对安全预算有限、未部署终端全量管控设备的中小企业直接投放轻量化恶意 LNK 文件简化攻击链路降低执行失败概率。2.2 团伙核心 TTP 体系整体框架Larva-24009 形成高度标准化的六阶段攻击 TTP 闭环全流程依托 Windows 系统原生程序与开源免费工具实现最大程度规避静态特征查杀第一阶段为初始访问依托钓鱼邮件投递诱饵文档与恶意 LNK 载体完成受害主机入口突破第二阶段为代码执行通过快捷方式文件唤起经过编码混淆的 PowerShell 脚本完成恶意载荷内存加载第三阶段为持久化驻留创建系统计划任务、修改注册表启动项保证恶意程序主机重启后持续运行第四阶段为资产侦查滥用 NirSoft 系列轻量系统工具自动采集主机账号、硬件信息、本地存储文件路径第五阶段为远控部署落地 QuasarRAT、UltraVNC 两类远程访问木马实现主机完全操控第六阶段为指挥通信与数据外带调用 Telegram 公共 API 建立加密隐蔽 C2 信道批量回传窃取到的键盘记录、屏幕截图、账号凭证数据。整套攻击链路未使用自定义编译大型恶意程序核心执行载体均为 Windows 自带组件与互联网公开免费工具不存在专属恶意程序哈希特征传统基于病毒特征库的杀毒软件难以实现全链路拦截必须依托进程行为、命令行参数、网络外联目的地、系统配置变更等动态行为特征完成识别。反网络钓鱼技术专家芦笛对此作出补充说明当前多数企业终端防护仅针对独立 EXE 木马设置拦截规则未针对 PowerShell、cmd、wmic 等系统内置命令行程序建立异常行为基线给脚本类恶意攻击提供充足执行空间。2.3 攻击规避技术的核心设计思路Larva-24009 团伙规避企业安全检测的设计逻辑可划分为三层递进式规避体系分别针对静态查杀、主机执行管控、网络流量审计三类防护设备第一层载体形态规避选用系统原生 LNK 快捷方式文件作为触发载体该文件格式长期被邮件安全网关、终端杀毒软件划为低风险文件类型默认放行阈值宽松第二层指令混淆规避对全部 PowerShell 执行指令进行 Unicode 转码后 Base64 封装消除恶意关键字明文特征绕过基于字符串匹配的基础行为检测第三层通信信道规避放弃自建独立 C2 服务器依托 Telegram 官方开放 API 完成攻击状态上报与数据回传流量封装于正常社交软件加密流量内边界流量审计设备难以区分合法用户通信与恶意外联行为。三层规避手段相互配合形成完整的绕过机制大幅提升传统防护体系的拦截难度。3 Larva-24009 钓鱼攻击多阶段感染链路技术深度解析3.1 初始访问阶段钓鱼邮件与恶意 LNK 载荷投递机理攻击链路的起点为定向钓鱼邮件分发攻击者采用分层社会工程学话术降低目标人员警惕性。邮件主题多贴合目标企业日常业务场景包含发票对账、合同补充材料、客户业务回执、内部人事通知等高频办公场景关键词邮件正文文字排版模仿企业内部标准公文格式消除收件人陌生感。邮件附件包含两类文件其一为无任何恶意逻辑的诱饵文档格式选用 docx、xlsx 等主流办公文件作用是分散收件人注意力降低对另一附件风险的怀疑其二为核心恶意载体 —— 伪装后的 LNK 快捷方式文件。攻击者针对 LNK 文件实施多层伪装欺骗手段利用 Windows 系统默认隐藏文件扩展名的系统配置制造视觉误导将恶意快捷方式文件名设置为 “业务清单.docx.lnk”“对账明细.xlsx.lnk”依托系统隐藏后缀设置终端桌面仅展示 “业务清单.docx” 文字搭配办公软件专属图标普通办公人员无法直观识别文件真实后缀。该欺骗手段具备极强普适性国内政企单位大量终端未强制开启 “显示文件扩展名” 系统选项成为 LNK 钓鱼载荷能够广泛落地的前置基础条件。从文件底层逻辑分析LNK 快捷方式属于 Windows 系统原生二进制文件存储指向目标程序的完整启动命令行参数。Larva-24009 团伙制作的恶意快捷方式内部写入定向调用 powershell.exe 的完整执行语句当收件人双击文件图标时系统直接读取内嵌命令行参数并唤起 PowerShell 程序执行全过程无需安装第三方程序不存在额外可执行文件落地行为静态文件扫描仅能识别 LNK 基础格式无法解析内部封装的恶意执行指令邮件网关静态查杀手段对此类载荷识别效率不足 10%。3.2 代码执行阶段混淆 PowerShell 指令的落地与规避逻辑恶意 LNK 文件被触发后系统自动启动 PowerShell 解释器并携带 - EncodedCommand 参数执行预先封装的 Base64 编码指令该环节是整套攻击链路的核心突破点也是防护体系最容易出现漏洞的环节。攻击者采用编码混淆手段的核心目的是消除命令行内明文恶意关键词常规终端行为检测规则依靠匹配 “downloadstring”“invoke-expression”“远程文件下载” 等明文关键字识别恶意 PowerShell 行为Base64 编码后全部指令转换为无意义字符序列基础字符串匹配规则完全失效。指令执行过程完全在主机内存中完成不存在恶意文件写入本地硬盘的操作无落地文件则无法产生可被杀毒软件捕获的病毒哈希值传统基于磁盘文件扫描的防护手段完全失效。同时攻击者在指令参数内嵌入 % TEMP% 系统临时目录路径模拟正常办公脚本访问临时文件的行为特征贴合主机日常业务基线降低异常行为告警触发概率。SOC Prime 模拟复现实验数据显示未配置高级进程行为审计的终端设备对此类带 - EncodedCommand 参数、引用临时目录路径的 PowerShell 执行行为不会产生任何安全告警。系统 PowerShell 执行策略本可限制未授权脚本运行但大量中小企业为保障业务自动化脚本正常运行将主机 PowerShell 执行策略设置为 RemoteSigned 或 Unrestricted 宽松模式完全放开脚本执行限制部分单位虽设置 Restricted 严格策略但仅限制 ps1 后缀脚本文件运行未管控通过 - EncodedCommand 参数直接传递的内存指令形成管控漏洞。反网络钓鱼技术专家芦笛明确指出政企机构普遍混淆 “脚本文件管控” 与 “PowerShell 进程命令行全参数管控” 两个概念仅限制本地脚本文件无法阻断内存编码指令执行是此类攻击能够稳定完成代码落地的核心技术短板。3.3 持久化驻留阶段计划任务与注册表双维度驻留构建恶意 PowerShell 指令执行完成后会自动在受害主机构建双重持久化机制保证即便主机重启远控工具仍可自动启动维持攻击者对终端的长期控制。第一类驻留手段为创建自定义系统计划任务脚本自动调用 schtasks 系统程序生成无明显业务标识、命名随机字符序列的定时任务设置登录触发、每日循环执行规则任务执行程序指向临时目录下解压后的 QuasarRAT 远控程序第二类驻留手段为修改用户注册表启动项在 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 路径下新增随机键值键值数据填充 UltraVNC 启动路径依托用户账户登录流程自动拉起远控进程。两类驻留机制分别依托系统计划任务服务、注册表自启动机制实现均属于 Windows 系统原生合法配置项不存在独立恶意驱动或服务安装行为。常规终端安全基线仅监控注册表新增未知 EXE 程序键值未对计划任务的创建时间、随机命名规则、执行路径指向临时目录等异常特征建立审计规则大量恶意计划任务可长期隐藏于系统配置内不被发现。攻击者刻意将远控程序存放于 % TEMP% 临时文件夹利用多数企业无临时目录文件变更审计策略的现状规避文件路径监控。3.4 系统侦查阶段NirSoft 开源工具的滥用与资产信息采集完成持久化部署后恶意脚本自动下载、解压 NirSoft 工具集至受害主机临时目录该工具集为互联网公开免费系统侦查工具包含账号查看、无线网络密码提取、浏览器缓存凭证读取、全盘文件检索、系统硬件信息采集等十余项功能全部程序无商业授权限制、无病毒标记安全厂商默认将其划分为灰色软件不会主动拦截。攻击者借助工具集完成全自动主机资产测绘批量导出本地浏览器保存的企业后台账号、云服务登录凭证、办公系统 Cookie 数据检索硬盘内 docx、pdf、xlsx 格式业务文档记录文件存储路径采集主机 IP 地址、内网网段、已连接打印机、共享文件夹等局域网资产信息提取已保存无线网络接入密码。全部采集数据统一生成文本日志缓存至临时目录等待回传至攻击者 C2 信道。该阶段攻击行为的隐蔽性体现在工具本身的合规属性单独运行 NirSoft 工具不会触发安全告警仅当 PowerShell 脚本自动批量调用多款侦查工具、短时间内批量读取浏览器凭证时才会出现行为异常但多数企业未针对短时间批量凭证读取行为配置关联检测规则侦查行为可完整执行无阻断。3.5 远控部署阶段QuasarRAT 与 UltraVNC 双重远控体系部署逻辑系统侦查完成后恶意脚本自动部署两套远程访问工具形成冗余远控体系单一工具被终端防护拦截时另一套仍可维持攻击链路不中断。QuasarRAT 为开源轻量远控木马具备键盘记录、实时屏幕截图、文件上传下载、进程管理、系统服务修改、麦克风录音完整操控能力是攻击者窃取敏感数据的核心载体UltraVNC 为正规开源远程桌面工具攻击者修改程序配置文件关闭身份验证机制实现无密码任意接入主机主要用于远程实时操控桌面、远程执行系统命令。两套工具程序均解压存放于系统临时目录依托前文创建的计划任务、注册表启动项实现开机自启。工具运行过程中隐藏程序窗口无桌面可视化界面普通终端用户无法感知后台远控进程运行进程名称采用随机字符命名规避基于进程名黑名单的简易拦截规则。两类远控程序产生的网络外联流量均采用标准 TCP 加密传输流量特征与合法远程桌面、文件传输工具高度近似边界防火墙仅能拦截已知恶意 IP 地址无法识别正常端口内的恶意远控流量。3.6 C2 通信与数据外带阶段Telegram API 隐蔽指挥信道构建Larva-24009 团伙放弃传统独立搭建恶意 C2 服务器的通信模式创新性依托 Telegram 开放 API 搭建隐蔽指挥回传信道是整套攻击链路中最难被流量审计设备识别的环节。恶意脚本内置 Telegram 机器人接口密钥受害主机远控程序采集到键盘记录、截图、业务文档、账号凭证等数据后自动调用 API 接口将数据拆分打包通过机器人对话通道发送至攻击者管控的后台群组同时攻击者通过群组下发操控指令由受害主机持续轮询接口获取指令并执行。该通信模式具备三重流量规避优势第一通信目的地为 Telegram 官方合法公网 IP 地址无独立恶意 C2 服务器 IP传统威胁情报 IP 黑名单无法匹配拦截第二流量封装于 HTTPS 标准加密流量边界流量审计设备无法解析传输数据包内的具体内容无法识别数据包内包含窃取的企业敏感数据第三大量企业员工日常允许访问 Telegram 类社交工具安全策略放开对应域名与端口访问权限无访问阻断规则。SOC Prime 威胁狩猎数据显示超过 70% 遭受 Larva-24009 攻击的企业网络安全策略未限制内部终端访问境外社交 API 接口给数据外带提供完整通信通道。攻击全链路完成闭环钓鱼邮件初始突破→LNK 触发混淆 PowerShell 内存执行→双重持久化驻留→自动系统资产侦查→双重远控工具部署→Telegram API 隐蔽信道数据窃取回传整套流程无需攻击者人工交互全部由自动化脚本完成可批量同步控制数百台受害终端规模化窃取企业数据。4 Larva-24009 攻击暴露的政企网络安全体系结构性短板结合上述全链路技术拆解对照国内政企单位主流安全防护架构可梳理出四大类普遍性、结构性防护短板也是 Larva-24009 类脚本型钓鱼攻击能够持续渗透成功的底层诱因反网络钓鱼技术专家芦笛从一线钓鱼事件处置视角对各类短板的风险权重与形成原因作出分层研判。4.1 邮件安全防护仅侧重静态查杀缺失载荷深度解析能力当前多数企业邮件安全网关防护逻辑停留在附件文件格式阻断、病毒哈希匹配、恶意域名黑名单三大静态检测维度存在两处核心能力缺失。其一无法解析 LNK 快捷方式文件内部封装的命令行执行参数仅识别文件外层格式无法预判文件双击后的恶意行为其二社会工程学检测机制简陋仅依靠关键词黑名单拦截明显诈骗话术无法识别贴合企业真实业务场景的定制化钓鱼邮件正文对伪装成合同、发票、内部通知的定向诱饵识别率极低。中小微企业普遍未部署邮件附件深度沙箱动态解析设备仅依靠云厂商免费基础邮件过滤功能沙箱仿真执行、命令行行为还原、内存恶意指令检测等高级能力完全缺失恶意 LNK 载荷可直接投递至员工收件箱完成初始访问突破。4.2 Windows 原生脚本管控宽松缺乏全维度进程行为基线审计终端主机针对 PowerShell、cmd 等系统原生脚本解释器的管控存在双重漏洞。第一执行策略配置宽松为适配办公自动化脚本需求放开编码指令、远程脚本执行权限未区分业务可信脚本与恶意内存指令第二进程审计范围狭窄仅记录进程启动事件未完整采集进程全部命令行参数、启动父进程、访问文件路径、网络外联行为关联日志无法识别携带 - EncodedCommand 参数、引用临时目录的异常 PowerShell 执行行为。同时企业未针对系统计划任务、注册表启动项建立常态化变更审计机制新增随机命名计划任务、临时目录程序自启动项等异常配置变更无实时告警攻击者构建的持久化机制可长期潜伏不被发现。临时文件夹作为恶意载荷落地、数据缓存核心路径绝大多数单位无文件创建、修改、删除行为监控恶意工具、窃取数据日志可无痕迹留存、外带。4.3 灰色工具与第三方公开 API 无访问管控通信边界审计失效NirSoft 系统侦查工具、UltraVNC 远程桌面软件属于互联网公开灰色软件无天然恶意属性企业安全策略普遍未对其批量自动化调用行为设置拦截规则员工终端放开境外社交软件域名、API 接口访问权限未建立业务访问白名单机制攻击者可依托 Telegram 官方信道无限制回传窃取数据。网络边界防护设备仅针对已知恶意 IP、高危端口、明文恶意流量设置拦截规则缺乏加密流量内部行为深度检测能力无法区分员工合法社交访问与恶意远控数据回传行为内网无横向流量监控QuasarRAT 远控程序在内网横向移动、批量访问共享文件夹窃取文档时无法及时触发内网威胁告警。4.4 威胁狩猎机制缺失应急响应流程无标准化溯源处置规范绝大多数中小企业未建立常态化主动威胁狩猎运营机制安全工作仅停留在告警被动处置层面不会定期检索进程日志、计划任务变更记录、DNS 外联日志难以在攻击早期侦查阶段、持久化部署阶段发现异常行为往往发生大规模数据泄露后才察觉攻击事件。应急响应流程存在流程断层遭受同源钓鱼攻击后无标准化主机隔离、持久化痕迹清理、C2 外联阻断、全内网终端排查、漏洞加固闭环处置步骤仅简单删除恶意文件未清理注册表、计划任务内驻留痕迹攻击者可二次重新接入受害主机造成重复数据窃取事件。5 面向 Larva-24009 类脚本钓鱼攻击的分层防御体系构建针对前文梳理的攻击全链路机理与四大类安全短板本文构建覆盖事前预防、事中实时监测、事后应急处置三阶段的分层防御体系从邮件入口、终端主机、内网网络、威胁运营、应急响应五大模块匹配对应防护策略所有策略均贴合政企现有安全设备落地场景无脱离实际的理想化技术方案反网络钓鱼技术专家芦笛针对各模块落地优先级给出分层实施建议。5.1 事前预防层邮件安全加固与终端基础管控事前预防是阻断 Larva-24009 攻击初始访问的核心环节核心目标为从源头拦截恶意钓鱼邮件投递、限制恶意代码执行基础条件。第一邮件网关全维度防护升级。一是开启 LNK 快捷方式文件深度解析功能沙箱仿真还原文件内部封装的命令行参数识别内嵌 powershell.exe 调用指令的恶意快捷方式直接阻断附件投递二是优化社会工程学检测模型结合企业内部真实发件人白名单、业务往来关键词基线识别仿冒内部通知、客户发票的定向钓鱼邮件三是收紧附件放行策略默认阻断 LNK、bat、ps1、cmd 等脚本、快捷方式类高危附件业务确需传输时启用人工审批通道。第二终端系统基础配置标准化加固。一是强制所有终端开启 “显示文件扩展名” 系统选项消除 LNK 文件后缀视觉欺骗基础二是统一收紧 PowerShell 全局执行策略为 Restricted 模式严格禁止未签名脚本、内存编码指令自动执行业务自动化脚本通过可信数字证书签名实现白名单放行三是建立系统目录访问基线对 % TEMP% 临时文件夹新增文件、批量读取浏览器凭证的进程设置实时拦截规则四是终端网络访问白名单管控阻断业务无关境外社交 API 域名访问从根源切断 Telegram 类隐蔽 C2 信道。第三员工常态化网络钓鱼安全培训。针对 LNK 伪装文件、编码脚本钓鱼新型攻击载体开展专项培训明确禁止双击来源不明快捷方式附件建立可疑邮件一键上报运营中心的标准化流程降低社会工程攻击成功率。芦笛强调人员安全意识加固属于成本最低、前置效果最显著的预防手段企业需每月开展新型钓鱼载体专项模拟演练。5.2 事中监测层全链路行为检测与实时告警机制事中监测依托 EDR 终端检测响应平台、内网流量审计设备、DNS 日志分析系统针对 Larva-24009 攻击各阶段行为配置标准化关联检测规则实现攻击全链路行为实时识别、即时告警。本文基于 SOC Prime 发布的检测规则提炼四类核心可落地监测规则无复杂逻辑、适配主流 EDR 设备配置规则一恶意 LNK 触发混淆 PowerShell 检测。监控进程创建事件匹配父进程为 explorer.exe、子进程为 powershell.exe命令行参数包含 - EncodedCommand、% TEMP% 字段的进程行为触发高等级安全告警自动阻断进程执行。规则二Telegram API 恶意 C2 外联检测。监控终端 DNS 查询日志与网络连接日志终端短时间内高频访问 Telegram 机器人 API 接口、同时存在键盘记录、屏幕截图类进程运行时触发流量异常告警临时阻断终端外网访问。规则三异常持久化机制创建检测。实时审计计划任务、注册表 Run 启动项变更日志识别随机字符命名、执行路径指向临时目录、登录自动触发的新增计划任务与注册表键值立即推送告警至安全运营中心。规则四灰色工具批量自动化调用检测。监控 PowerShell 进程批量连续调用多款 NirSoft 侦查工具、短时间读取浏览器全部存储凭证的行为判定为系统资产侦查攻击行为阻断工具执行并隔离终端。内网流量审计层面开启内网横向流量监控监测单台终端短时间内批量访问多台主机共享文件夹、发起大量远程桌面连接的异常行为拦截 QuasarRAT、UltraVNC 带来的内网横向渗透行为。所有监测日志统一汇总至安全运营平台实现终端进程、网络外联、系统配置变更日志关联溯源避免单一日志产生误告警。5.3 事后处置层标准化应急响应闭环流程当监测设备触发 Larva-24009 同源攻击告警后需严格执行六步标准化应急处置流程完整清除攻击痕迹、阻断数据泄露、排查全域感染终端形成处置闭环第一步受害终端物理 / 逻辑隔离。立即断开受害主机内网、外网双链路防止攻击者依托远控工具实施内网横向移动、持续外带敏感数据隔离操作优先于痕迹排查避免扩大受害范围。第二步全维度攻击痕迹溯源取证。提取终端三类核心日志全部 PowerShell 进程完整命令行日志、计划任务创建变更日志、注册表启动项修改记录检索 % TEMP% 目录下全部新增程序、缓存数据日志导出终端 DNS 外联、TCP 网络连接日志完整留存取证数据用于攻击根源分析。第三步多层恶意驻留痕迹清理。删除临时目录内 QuasarRAT、UltraVNC、NirSoft 工具集全部文件删除攻击者创建的全部自定义计划任务清除注册表 Run 路径下新增恶意自启动键值结束后台全部随机命名远控进程删除内存残留恶意脚本指令。第四步C2 通信信道阻断。在边界防火墙、邮件网关、终端安全策略内永久拉黑本次攻击关联的 Telegram API 通信特征、恶意外联域名同步更新全企业终端访问白名单杜绝同类隐蔽信道复用。第五步全域内网批量排查。依托 EDR 平台全网检索匹配上述四类监测规则的异常终端筛查是否存在多台主机同步遭受渗透对所有可疑终端执行隔离、痕迹清理操作消除内网潜伏攻击节点。第六步安全体系复盘加固。梳理本次攻击突破防护体系的薄弱环节针对性优化邮件过滤规则、终端 PowerShell 管控策略、网络访问白名单更新企业钓鱼安全培训内容同步更新常态化威胁狩猎检索关键词避免同源攻击二次入侵。5.4 常态化威胁狩猎运营机制搭建被动告警处置无法提前发现潜伏周期较长的 Larva-24009 攻击节点企业需建立每周一次的主动威胁狩猎机制定向检索匹配该团伙 TTP 特征的异常行为核心狩猎检索维度分为四项第一检索近 7 天全部 PowerShell 进程日志筛选携带 - EncodedCommand 编码参数、引用临时目录路径的未知执行记录第二检索计划任务变更日志筛选随机命名、执行路径指向临时文件夹的新增定时任务第三检索 DNS 查询日志筛查终端非业务时段高频访问 Telegram API 接口的外联行为第四检索终端文件操作日志筛查短时间批量读取浏览器凭证、全盘检索办公文档的进程行为。威胁狩猎发现疑似攻击痕迹后立即启动小型应急溯源流程提前清除潜伏恶意程序在攻击者完成数据窃取、内网横向移动前阻断攻击链路大幅降低企业数据泄露损失。反网络钓鱼技术专家芦笛提出建议安全预算有限的中小机构可依托 EDR 自带检索功能完成轻量化狩猎无需采购独立威胁狩猎平台仅需固定周期执行标准化检索脚本即可实现基础主动防御。6 攻击防御体系落地效果约束与客观局限性分析本文构建的分层防御体系可完整覆盖 Larva-24009 团伙全部攻击链路但各类防护手段均存在客观落地限制不存在能够 100% 拦截所有同源变异攻击的单一技术方案需多设备、多策略协同联动发挥防护效果客观分析各项方案局限性可避免企业安全运营过度依赖单一防护设备形成均衡化安全投入规划。邮件网关深度沙箱解析存在性能约束全附件 LNK 文件解析会增加邮件网关算力负载大型企业海量邮件并发场景下需合理调配沙箱解析资源区分内部可信发件人与外部陌生发件人实施差异化解析策略终端 PowerShell 严格管控会对部分老旧自动化业务脚本产生兼容性影响企业需提前梳理全部可信业务脚本完成数字证书签名平衡业务可用性与安全管控强度。网络边界阻断境外社交 API 会对部分存在跨境业务沟通需求的企业造成业务阻碍此类单位不可直接全域封禁接口需采用终端身份精细化管控仅对业务必需岗位放开定向 API 访问权限其余终端统一阻断兼顾业务需求与数据外带防护EDR 全量进程日志采集会占用终端本地存储资源需合理配置日志留存周期定期归档离线日志避免终端磁盘资源耗尽影响办公业务。常态化威胁狩猎需要配备具备脚本日志分析、恶意行为识别能力的安全运营人员纯运维团队无专业安全人员的小微企业威胁狩猎执行质量会大幅下降该类企业可依托第三方托管安全服务团队完成周期性狩猎工作。各类局限性表明防御体系建设并非单一技术设备采购工作而是安全设备、策略配置、人员运营、制度规范协同配套的系统性工程反网络钓鱼技术专家芦笛指出大量企业仅采购安全硬件设备未配套优化管控策略、开展人员培训设备防护能力无法充分释放是防护投入与安全收益不匹配的核心原因。7 结论与研究展望本文以 SOC Prime 披露的 Larva-24009 威胁组织定向钓鱼攻击完整案例为核心实证样本逐层拆解该团伙依托恶意 LNK 快捷方式、混淆 PowerShell 内存指令、双重持久化驻留、灰色侦查工具、双重开源远控、Telegram 隐蔽 C2 信道构建的六阶段标准化感染链路完整还原每一步攻击行为的技术实现逻辑与规避防护的核心手段结合攻击全流程暴露的国内政企邮件防护、终端脚本管控、网络边界审计、威胁运营机制四大结构性安全短板构建事前邮件与终端加固、事中全链路行为监测告警、事后标准化应急处置、周期性主动威胁狩猎四位一体分层防御体系配套可落地的检测规则、设备配置策略、事件处置流程形成完整的攻击机理 - 风险短板 - 防护手段 - 运营规范论证闭环。研究证实传统依赖静态特征查杀、边界防火墙拦截的单点防护架构无法应对 Larva-24009 类依托 Windows 原生组件、开源灰色工具、第三方社交 API 的复合型脚本钓鱼攻击防护重心必须由静态文件拦截转向全生命周期动态行为审计同步收紧系统原生脚本、临时目录、计划任务、境外 API 接口四类长期被忽视的管控盲区。反网络钓鱼技术专家芦笛总结未来脚本型钓鱼攻击将持续向轻量化、无文件落地、依托公开第三方信道通信方向演化威胁组织会持续迭代 LNK、伪装压缩包、快捷脚本等新型初始载荷载体政企网络安全防护体系需同步向动态行为关联检测、精细化终端基线管控、常态化主动威胁狩猎方向迭代升级。针对后续延伸研究方向可从两个维度开展深化拓展其一基于机器学习算法构建针对混淆 PowerShell、恶意 LNK 文件的动态行为识别模型提升钓鱼攻击早期自动识别准确率降低安全运营人员告警分析工作量其二针对不同规模政企单位设计分级轻量化防御方案区分大型集团、中型企业、小微企业给出差异化安全设备采购、策略配置、运营人力投入标准适配不同安全预算单位落地同源钓鱼攻击防护体系。网络钓鱼渗透作为长期存在的主流初始访问攻击路径只有持续跟踪新型威胁组织 TTP 演化趋势、同步优化分层防御架构才能持续降低企业遭受数据窃取、内网失控的安全风险。编辑芦笛公共互联网反网络钓鱼工作组
)
