APT组织追踪与画像 （中篇）

04 · 主要APT阵营图谱

4.1 阅读前提：两类归因证据的区分

下表按公开归因来源分为四列呈现。需特别注意证据强度差异：司法归因（DOJ起诉书、财政部制裁）证据层级最高，通常伴随证人与资金链条；政府联合公告（CISA/FBI/NSA等）代表官方评估；厂商追踪（Mandiant、微软、CrowdStrike等）基于技术指纹，标注为"某机构评估"。表中归属表述均为转述，不代表本学院立场。

4.2 重点追踪组织总表

来源：MITRE ATT&CK Groups、CISA联合公告（AA20-352A、AA24-038A、AA25-239A）、DOJ起诉书、美国财政部制裁公告、Mandiant/微软/CrowdStrike公开追踪页。表格为教学浓缩版，完整TTP映射请以MITRE条目为准。

4.3 阵营行为画像速览

PRC-nexus集群的标志性演进是"边缘设备转向"：从传统服务器打点转向防火墙、VPN、邮件网关等互联网可达设备——这些设备往往无EDR、日志不全、补丁周期以月计，天然契合"低慢"需求。AA25-239A记录了针对思科等网络设备的成体系狩猎指引（非常用端口SSH、SNMP SET配置变更、TCP/57722暴露等），侧面说明该类手法已进入"平台化对抗"阶段。

DPRK集群的最大特征是国家任务与经济自筹双轨并行：外交制裁之下，其网络力量既要服务情报任务，又直接通过金融机构入侵、加密货币窃取与IT工作者薪资欺诈为政权创收——DOJ 2021年起诉书、财政部多轮制裁公告与M-Trends 2026的IT工作者专题构成了完整证据链。

俄罗斯集群呈现"情报机构分工"格局：SVR系（APT29）精耕长期间谍渗透，GRU系（APT28/Sandworm）兼具公开羞辱与物理破坏能力，NotPetya与两次乌克兰断电事件确立了其对OT/ICS的独特威胁地位。伊朗集群则以"前台公司+个人定向钓鱼"见长，动机在情报、影响行动与 lately 金融收益之间摆动；ENISA与Verizon DBIR历年数据均显示其是针对性钓鱼产出最高的来源之一。

4.4 延伸阅读：金融动机高优先级集群

Scattered Spider（UNC3944 / Octo Tempest）虽属金融动机集群而非国家级APT，但其组织化程度与社工强度已接近准APT水平：通过SIM交换、MFA疲劳轰炸、冒充员工致电帮助台重置凭证等手段入侵电信与大型企业，是ALPHV/BlackCat等勒索生态的关键入口。CISA AA24-290A（2024年10月）将其列为重点威胁并给出检测指南——对该集群的追踪训练，是进入APT级追踪思维的最佳"低门槛、高仿真"练习路径，本学院攻防演练剧本库已将其抽象为可复用模块。

05 · TTP行为建模

TTP（战术Tactics、技术Techniques、程序Procedures）是攻击者行为的"操作指纹"。与极易更换的哈希值、IP不同，TTP反映组织的训练、偏好与流程惯性，是追踪与检测的最稳定锚点。本课题采用"一主两辅"建模框架：MITRE ATT&CK为主骨架，Diamond Model为单事件分析透镜，Cyber Kill Chain为阶段化防御视图。

5.1 MITRE ATT&CK：标准化的对手行为语言

MITRE ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）将企业攻击生命周期组织为14个战术阶段（初始访问、执行、持久化、权限提升、防御规避、凭证访问、发现、横向移动、收集、命令与控制、渗出、影响等），下挂200余项技术与数百项子技术，并为每个组织条目（G编号）维护"用过什么技术"的映射表。attack.mitre.org 已成为全球情报共享的通用语汇：一份不带ATT&CK映射的检测报告，在今天几乎不可读。

5.2 Diamond Model：单事件分析的转向透镜

《The Diamond Model of Intrusion Analysis》（Caltagirone, Pendergast & Betz, 2013，美国空军研究实验室技术报告）将任一入侵事件描述为钻石四顶点：

• 对手（Adversary）：谁——操作者及其归属；
• 能力（Capability）：用什么——工具、漏洞利用、战术；
• 基础设施（Infrastructure）：经哪里——C2域名/IP、被劫持跳板；
• 受害者（Victim）：对谁——被攻击资产及其背后的组织。

钻石模型的核心价值在于分析转向（Pivoting）：沿任一顶点横向扩展——共享基础设施的另一域名、复用工具的另一起事件、同受害行业的其他入侵——即可把孤立事件织入对手活动网络。这正是"由一个IOC追到一个组织"的方法论正解。

5.3 与Kill Chain的阶段化映射

洛克希德·马丁Kill Chain（Hutchins, Cloppert & Amin, 2011）将攻击划分为侦察跟踪→武器构建→载荷投递→突防利用→安装植入→通信控制→目标达成七阶段。二者互补使用：Kill Chain回答"对手走到哪一步、我在哪一步拦截"，ATT&CK回答"这一步具体用了什么技术、如何检测"。

5.4 2025年实战高频技术与"低特征化"趋势

M-Trends 2026对2025年入侵事件的技术统计揭示了几个标志性变化：数据暂存（T1074）重返Top 10，反映"先窃取、再勒索"的双重勒索模式普及；文件与目录发现（T1083）、入口工具传输（T1105）、系统用户发现（T1033）继续高居前列，说明内网侦察仍是攻击者耗时最多的环节；而数据加密影响（T1486）首次跌出Top 10——更值得关注的是M-Trends 2026揭示的勒索软件目标转向：运营者正从单纯的数据窃取转向"蓄意恢复拒绝"（deliberate recovery denial），即系统性摧毁备份基础设施、身份服务与虚拟化管理平面，通过抬高恢复成本来施压赎金支付；防御重心须相应前移至备份与虚拟化层保护。

更深层的趋势是"无恶意软件化"：CrowdStrike 2026 GTR显示其2025年调查中82%的检测为无恶意软件攻击——对手越来越多地直接滥用合法凭证与系统自带工具（Living off the Land）完成任务。这宣告以哈希/签名为中心的传统检测体系失效，行为分析与身份检测成为主战场。David Bianco提出的"痛苦金字塔"（Pyramid of Pain）恰好为这一转型提供了投资排序逻辑：

来源：David J. Bianco《The Pyramid of Pain》(2013)。金字塔自下而上：检测锚点越高，给对手造成的重构成本越大。

06 · 基础设施关联分析

攻击基础设施（域名、IP、证书、ASN、跳板主机）是威胁组织最"舍不得换"的资产：TTP可以演进、样本可以重写，但成规模的C2网络与运营习惯往往沿用数年。基础设施关联因此成为组织级追踪的第一支柱——其方法论本质是对"Whois注册信息、证书透明度日志、Passive DNS、协议指纹"等多源数据做图关联。

6.1 关联维度与数据源

6.2 对抗演进：基础设施的"隐身化"

对手的反制同样迅速，2024—2025年的追踪工作必须正视四个趋势：其一，云与CDN滥用——C2藏身于S3、CloudFront、Discord/Slack等可信域名之后，基于信誉的域名拦截大面积失效；其二，住宅代理与Fast Flux——单域名背后数十秒内轮换海量住宅IP，传统IP封锁几乎无效；其三，域名老化（Domain Aging）——组织提前数月注册"干净"域名养号再启用，年龄信号贬值；其四，IPv6盲区——AA25-239A明确将"审计并关闭非预期的IPv6管理与上行路径"列入狩猎指引，说明双栈暴露已成为攻防新缝隙。

6.3 标志性案例：BRICKSTORM的"零IOC复用"与Minimal Hunts

Mandiant在BRICKSTORM行动的调查中给出了基础设施追踪的"反面教材"式启示：该后门（由UNC5221部署、UNC6201使用其战术体系）不重复注册域名、不复用样本，基础设施随任务即时生成，原子IOC在公布前即已失效。Mandiant据此提出"最小狩猎集合"（Minimal Hunts）理念——以对手"必然做、难隐藏"的行为为锚：

• vCenter克隆后销毁：克隆虚拟机取数后删除克隆，几乎不留痕迹——对克隆事件本身而非"克隆后文件"设告警；
• VAMI异常登录：VAMI（vCenter管理界面）仅应来自管理VLAN，非预期来源的SSH/PUT请求即为高信信号；
• 出向DoH：管理网段出现DNS-over-HTTPS出向流量；
• 新驻留WebShell：vCenter/Gateway上新出现的JSP文件变更。

CISA/NSA/CCC于2025年12月发布的《BRICKSTORM后门恶意软件分析报告》（AR25-338A）进一步公开了样本细节、检测规则与开源扫描器，是"官方主动披露检测能力"的典范——它同时意味着：公开狩猎假设的有效期以月计，防御方必须建立自己的狩猎迭代节奏，而非等待IOCs。

6.3.1 附：AR25-338A的三次版本演进

AR25-338A并非一次性报告，其版本史本身就是"对手持续工程投入"的证据链：

另据M-Trends 2026，关联集群UNC6201的平均驻留时间约393天，远超多数组织90天的日志留存周期——"证据在发现前已不存在"是该类行动最难反制之处。AR25-338A还确认：在一次CISA亲自参与的应急响应中，攻击者自2024年4月起驻留，攻陷两台域控制器并导出ADFS服务器加密密钥，持续至2025年9月3日。

来源：CISA AR25-338A页面版本记录（cisa.gov/news-events/analysis-reports/ar25-338a）、M-Trends 2026。

6.4 基础设施关联工具链

教学环境中，建议以MISP（指标存储与共享）+ OpenCTI（知识图谱化）+ Maltego（图分析可视化）组成最小闭环；商用侧PassiveTotal（微软）、Recorded Future、RiskIQ遗产产品提供成熟数据源。迪妙学院攻防演练平台已将"从一枚证书追出一个C2网络"设计为中级溯源实验，完整复现本章方法论。

07 · 恶意代码基因分析

恶意代码是组织的"手艺"：编码风格、加密例程、协议实现与错误处理习惯难以刻意伪造。代码基因分析通过量化样本间相似度，回答两个追踪问题——这个新样本出自谁手？它与已知家族的亲缘关系有多远？

7.1 相似度度量方法谱系

7.2 家族谱系与"工具包共享"问题

国家级组织普遍维护多套工具链且组间共享开发库：Lazarus生态下可见Joanap、Brambul、Hoplight、AppleJeus、DTrack等数十个家族，既互相借用加密例程，又按任务分工演进；BRICKSTORM之后亦出现SLAYSTYLE、PLENET、GRIMBOLT、AGENTPSD等后续载荷。这给基因分析带来双面性——共享代码既能做强关联证据，也可能造成归因噪声：代码相似≠同一操作者，必须结合基础设施与TTP交叉验证。成熟的做法是将代码基因作为"三角证据"的一角（另两角为基础设施、行为模式），而非单独定案依据。

7.2.1 附：语言层的"代码基因"信号

开发语言本身正在成为追踪信号：BRICKSTORM从Go版本发展至Rust版本（AR25-338A，2026-02更新），Lazarus生态长期使用其标志性的多语言混合（C/C++、.NET、Go、Python脚本）；而语言迁移的节奏（而非单次出现）往往更能反映组织工程团队的演进而非简单借用。防御侧的对应动作是：狩猎假设不应绑定特定语言实现——针对"行为"（如DoH出向、SOCKS隧道、vCenter克隆-销毁序列）的规则才能跨版本存活。

7.3 共享代码归因的著名先例

• WannaCry与Lazarus（2017）：Google研究员Neel Mehta率先公开两者共享早期代码的证据，微软、赛门铁克随后跟进报告，构成"纯代码基因推动公开归因"的经典案例（当年美、英、澳政府先后公开归因于朝鲜）；
• Sony Pictures事件（2014）：FBI依据工具复用与基础设施重叠实施公开归因，时任美国总统声明其为朝鲜所为——代码指纹在国家级归因中的分量由此确立；
• 反例警示：攻击者会刻意嵌入他人代码片段伪造Flag（语言字符串、时区、编译路径均可伪造）。历史上有组织被"代码撞库"误伤，故独立复核与三角验证不可或缺。