威胁狩猎（Threat Hunting） （中篇·下）

背景与被发现过程

2020年12月，FireEye在调查一起"自家红队工具被盗"的内部事件时，通过内部监控发现的一起异常账户活动——攻击者为受多因素认证（MFA）保护的FireEye员工账户私自注册了陌生设备——顺藤摸瓜，还原了入侵路径——攻击者篡改SolarWinds Orion软件官方构建流程，向2020年3—6月间的多个正式版本注入名为SUNBURST的后门，受害者包括美国政府机构、科技巨头与关基设施，估算波及约18,000家组织。该事件是"防御者主动狩猎发现国家级APT"的教科书案例：不是告警触发的被动响应，而是分析人员沿着异常线索主动追猎的结果。公开技术细节见FireEye 2020年12月技术博客与CISA AA20-352A联合公告。

对手隐蔽手法

• 合法签名、合法渠道：后门经SolarWinds官方证书签名、通过正常软件更新分发，传统文件信誉与网络边界控制全部失效；
• 长周期休眠：初始植入后静默休眠12—14天，规避沙箱与短期行为分析；
• 低频率C2：DNS与HTTPS信道通信频率极低、域名经过精心伪装，难以从流量中分辨；
• 反取证设计：自动终止安全工具进程、按预置规则自我隐藏，并优先攻击位于美国境内的目标以规避某些数据驻留审查。

可迁移的狩猎动作清单

• 身份假设："非典型位置/非典型应用出现的特权访问令牌使用"应作为常态化狩猎查询——本案的突破点是异常设备注册，而"异常SAML令牌/黄金SAML（Golden SAML）"同样是CISA在AA20-352A中列出的核心身份检测线索；
• 软件供应链台账：对具备自动更新权限的软件建立"构建变更—签名变更—网络行为"三联监测；
• 低频beacon基线：对"间隔数天、单次通信量极小"的周期会话建立统计基线并定期狩猎；
• 休眠期回溯：对确认失陷主机，以30—60天为窗口回溯其完整时间线，而非仅看告警前后。

背景与被发现过程

2023年5月，Microsoft威胁情报首次披露Volt Typhoon（其临时编号DEV-0391）针对美国关基设施的长期入侵：该组织大量使用"离地攻击"（Living-off-the-Land，LOTL）——仅调用操作系统自带的wmic、PowerShell、ntdsutil等合法工具完成侦察、凭证窃取与横向移动，全程几乎不落地任何恶意文件。2023年12月，Lumen Black Lotus Labs披露其用于隐藏C2的KV-botnet：劫持全球数万台报废状态下的SOHO路由器/防火墙构成代理层。2024年2月，CISA联合FBI/NSA等发布AA24-038A联合公告，给出完整TTP与检测建议；M-Trends 2026显示，针对关基设施、滥用边缘设备的"低慢"入侵模式在2025年仍是驻留时间最长的威胁类别之一（间谍行动与DPRK IT工作者中位驻留均达122天），Volt Typhoon式的LOTL手法已被更多组织模仿，相关狩猎假设须常态化执行。

对手隐蔽手法

• 全程合法工具链：操作系统原生二进制+被盗用的合法凭证，行为本身完全"合法"，特征检测无从下手；
• SOHO路由器代理C2：C2流量混杂于正常HTTPS且源自住宅网络/小型办公出口，归属判断极其困难；
• 手工键盘操作、低慢节奏：交互式入侵、长间隔操作，规避自动化行为分析；
• 先清除日志再行动：执行关键操作前删除事件日志，压缩防御者的回溯窗口。

可迁移的狩猎动作清单

• 管理协议基线：对WinRM/WMI/RSAT类管理协议建立"谁、从哪、对哪、多频繁"的四维基线，狩猎偏离项（本案核心检测建议之一）；
• LOTL命令行审计：针对ntdsutil、wmic、vssadmin等高危双用工具，审计"非IT账户+非常规父进程+非常规时段"的组合；
• SOHO资产入册：将路由器/防火墙等边缘设备纳入资产台账与日志外送范围（对应第2页可见性盲区清单）；
• 被动DNS与证书透明度：对内部主机外联的历史解析记录做周期性聚类狩猎。

背景与被发现过程

2024年下半年起，多家机构陆续披露一个针对全球电信运营商的PRC关联高级间谍组织（Microsoft命名为Salt Typhoon，Mandiant追踪编号UNC5807）：其通过边界设备漏洞（包括Cisco IOS XE WebUI漏洞CVE-2023-20198/CVE-2023-20273等公开已知条目）进入电信网络后，刻意只使用设备自带的管理与诊断功能进行环境侦察、流量镜像与数据回传——不装任何自定义恶意软件。该组织至少自2019年起活跃。2025年8月，CISA联合美、澳、加、新、英等多国机构发布联合网络安全公告AA25-239A，系统披露了利用被攻陷设备原生抓包能力采集TACACS+认证流量、建立GRE隧道隐蔽外传、篡改ACL添加攻击者控制IP、启用IOS XR设备sshd_operns服务创建高权限本地账户等手法；公开报道评估该活动已波及全球600余家组织、覆盖约80个国家。Mandiant M-Trends 2026将其（UNC5807）列为边缘设备持久化的典型代表（总览页案例一即为本案）。

对手隐蔽手法

• 零自定义工具：全部操作通过设备原生CLI/管理功能完成，EDR与传统恶意文件检测完全失明；
• 合法会话伪装：管理会话与运维流量高度相似，仅靠单点日志难以区分敌我；
• 配置级持久化：通过新增本地账户、篡改配置实现驻留，重刷固件也未必根除；
• 核心与边缘同时渗透：既打核心路由也打被动监听设备，扩大数据面。

可迁移的狩猎动作清单

• 配置基线核查：周期性将运行配置与审批基线比对，狩猎未授权的账户/镜像会话/SNMP变更；
• 边缘设备日志外送：将设备管理日志强制送至独立SIEM域（防"先清日志再行动"）；
• 流量镜像审计：对SPAN/RSPAN/ERSPAN会话的创建与目的地址建立审批制白名单；
• 公开检测内容消化：CISA公布的Snort规则与审计指令应进入回溯狩猎清单（见第2页7.2节）。

背景与被发现过程

Scattered Spider（Mandiant编号UNC3944，Microsoft称Octo Tempest）是2023年以来最活跃的高破坏性金融动机组织之一。其标志性手法是针对企业帮助台（Help Desk）的语音社工：冒充员工致电帮助台，利用公开个人信息通过身份核验，诱使客服重置MFA或泄露一次性验证码，进而接管账户、访问云端数据与内部工具，最终导向勒索与数据敲诈。2023年11月16日，FBI、CISA、NSA等七家机构首次发布联合公告AA23-320A完整披露其TTP并给出缓解建议；2025年7月29日该公告经重大更新，补充了该组织最新的活动特征与防护指引。该案例的特殊价值在于：整个攻击链中"技术上的一切都是合法的"——没有恶意软件、没有漏洞利用，传统检测全部失明。

对手隐蔽手法

• 帮助台社工：利用泄露的个人信息（SSN、工号、入职日期等）通过客服身份核验流程；
• MFA疲劳与推送轰炸：反复触发MFA推送直至受害者误点批准；
• SIM交换与号码劫持：将受害者电话号码转移至攻击者控制的SIM卡以接管短信验证；
• 加入自身基础设施：注册攻击者自己的MFA设备、将个人设备注册进企业MDM，实现持久化。

2025年动向（截至2025年7月CISA公告更新与微软公开报告）：该组织进一步将目标转向企业的虚拟化与云基础设施——在攻陷vCenter Server Appliance后开启SSH并部署Teleport等远程访问工具建立持久化，从虚拟化管理层直接外传Active Directory数据库，并投放DragonForce勒索软件（2025年4—5月英美零售业攻击中已见诸公开报道）。这一演变再次印证：身份层社工成功之后，虚拟化管理平面已成为其横向移动与影响达成的首选路径，相应的狩猎假设必须覆盖vCenter/ESXi审计日志。

可迁移的狩猎动作清单

• 身份行为基线："新设备+MFA重置+非常规时段登录"三要素组合应作为高优先狩猎查询；
• 帮助台流程风控：MFA重置与密码重置必须执行回拨到登记号码的带外验证（AA23-320A核心建议）；
• IdP日志狩猎：对新注册设备、MFA方法变更、异常地理位置登录建立日检例查；
• 最小权限收敛：帮助台客服账户权限与工具访问范围严格最小化，压缩社工成功后的横向空间。

背景与被发现过程

2025年2月，Microsoft首次公开BRICKSTORM行动：一个中国关联组织攻击美国与欧洲的组织（包括IT服务商与政府相关实体），滥用被攻陷的vCenter Server管理权限在ESXi上创建隐藏虚拟机实现持久化，并利用"操作中继"（Operational Relay Box, ORB）网络——由成千上万台被攻陷的SOHO路由器等边缘设备构成——代理其C2流量。2025年9月，Google威胁情报组（GTIG）与Mandiant发布《Another BRICKSTORM: Stealthy Backdoor Enabling Espionage into Tech and Legal Sectors》，披露其定制后门（Go语言编写的跨平台ELF二进制，面向VMware vCenter/ESXi等Linux/BSD设备与Windows系统）在美国科技、法律、SaaS与业务流程外包组织内的间谍活动，平均驻留时间达393天。2025年12月4日，CISA、NSA与加拿大网络安全中心联合发布恶意软件分析报告AR25-338A（2025-12-19与2026-02-11两次更新，12个样本，附IOC、YARA与Sigma检测规则）；其中披露的应急响应案例进一步显示：攻击者可在受害组织内部vCenter服务器上实现跨年度长期驻留，并攻陷域控制器与AD FS服务器等身份基础设施、导出加密密钥——远超典型组织90天的日志保留窗口，使回溯取证极为困难。Mandiant M-Trends 2026将该活动（追踪编号UNC6201）列为边缘设备与虚拟化层持久化的典型代表。

对手隐蔽手法

• 无代理区部署：后门运行在缺乏EDR覆盖的vCenter/ESXi、存储同步设备与防火墙等Linux/BSD设备上，传统终端检测失明；
• 克隆关机虚拟机翻找数据：克隆处于关机状态的虚拟机（内含身份系统、机密保险库、域控等），在克隆体内操作而不触发生产系统的告警；
• C2深度伪装：C2流量混杂于Cloudflare、Heroku等合法云服务的HTTPS/WebSocket流量中，并使用DNS-over-HTTPS解析，域名/IP封锁难以奏效；
• 多机制持久化：修改init.d/systemd启动脚本并自监控重启、vCenter JSP WebShell拦截SSO凭证、在ESXi上启用SSH——单一清除动作无法根除。

可迁移的狩猎动作清单

• 虚拟化审计日志外送：vCenter/ESXi的VM注册、克隆、快照与电源操作事件强制接入SIEM并独立留存≥400天（393天平均驻留意味着90天保留等于放弃回溯）；
• 克隆/快照审批制：对生产VM的克隆与快照操作建立审批白名单，常态狩猎"未授权克隆体"清单；
• 直接消化公开检测内容：CISA AR25-338A附带的YARA/Sigma规则与IOC应进入回溯狩猎流水线（见第2页7.2节）；
• 虚拟化管理平面纳入资产台账：vCenter/ESXi/备份系统的补丁、凭证轮换与访问审计应与核心业务系统等权管理。

背景与狩猎价值

2021年12月，Apache Log4j 2的JNDI注入漏洞（CVE-2021-44228，CVSS 10.0）公开，成为史上波及面最广的漏洞事件之一：任何记录攻击者可控字符串的Java应用均可能被远程代码执行，受影响组件从商业软件到云基础设施无所不包。CISA于2021年12月11日联合多个联邦机构发布紧急指令AA21-356A，随后牵头设立联合网络防御协作组织（JCDC）专项响应、搭建政府专门网站并持续更新受影响产品清单——这是"国家级漏洞应急狩猎"的完整范本。对本专题的方法论体系而言，Log4Shell补上了三大方法论之外的第六种狩猎触发源：漏洞应急狩猎——假设来源不是情报通报也不是分析异常，而是"一个确定存在野利用的漏洞+本环境资产清单的交集"。

可迁移的狩猎动作清单

• 特征外联狩猎：在DNS解析、防火墙与代理日志中检索${jndi:特征串及ldap:///rmi:///dns://出站请求基线异常——这是当时全球防守方共同的第一波动作；
• 资产交集法：以"受影响组件清单×自有软件物料清单（SBOM）×云镜像清单"三表求交，把"修补优先级"转化为"狩猎范围"；
• 虚拟补丁观测：WAF拦截规则上线后，对被拦截请求做留存与回放分析，把防护动作转化为威胁情报；
• 长周期回溯：漏洞披露前的野利用证据（exploitation in the wild before disclosure）要求对历史DNS与Web日志做数周级回溯——正是第2页7.2节"补丁/披露回溯"场景的超大规模实战。

来源：CISA AA21-356A联合公告及持续更新的受影响产品清单；Apache官方安全页面。详见第4页参考文献新增条目。