三个威胁组织以后门、勒索软件和擦除器攻击俄罗斯企业

根据 Kaspersky 的多份报告，俄罗斯的企业已成为三个威胁活动集群的攻击目标，分别被追踪为 NightEagle、Hacking Cat 和 Toy Ghouls。

这家网络安全厂商表示，其已识别出 NightEagle（又名 APT-Q-95）发起的攻击，该威胁行为者已知至少自 2023 年起活跃，其攻击涉及用于持久化和横向移动的新技术。

"在大多数事件中，攻击者使用失陷的有效凭据获取对企业 VPN 的访问权限，"Kaspersky 在今日发布的一份分析中表示。"VPN 连接源自与 Cloudflare WARP 隧道相关联的俄罗斯 IP 地址段，以及源自与欧洲虚拟基础设施提供商相关联的 IP 地址。"

正如 2025 年 7 月所强调的，这些攻击涉及部署 GhostContainer，这是一款已知的模块化后门，可让操作者完全访问受害者的 Microsoft Exchange Server，并运行任意代码、执行文件操作以及加载额外模块。

为规避检测，该恶意软件伪装成一个常见的服务器组件，以融入正常运营之中。它还可以充当流量重定向或隧道。此前涉及该恶意软件的攻击曾针对位于亚洲的一个政府机构和一个高科技公司。

"它整合了多个开源项目的组件，包括 Neo-reGeorg 隧道、CVE-2020-0688 漏洞的利用程序，以及 ysoserial 工具中的 GhostWebShell 类，"Kaspersky 解释道。"所有这些组件都可在 GitHub 上公开获取。"

攻击者将 GhostContainer 投递至 Microsoft Exchange 服务器所采用的确切方法尚不清楚，但据信其涉及从 ASP.NET 配置中提取服务器所用的加密密钥，随后覆写 VIEWSTATE 框架参数并向其中注入载荷，从而导致后门在内存中启动。

为在内部网络中横向移动，NightEagle 被观察到下载隧道工具，以通过 Microsoft dev tunnels 和一个名为 rdp2tcp 的开源程序经 RDP 重定向网络流量。

"为获取提升的权限并在网络中横向移动，NightEagle 利用了 Active Directory 中的各种漏洞，"Kaspersky 补充道。"攻击者使用先前建立的隧道连接到内部基础设施系统。"

这包括利用 CVE-2019-0708（又名 BlueKeep）在系统上创建一个本地账户，并将其添加到 Administrators 和 Remote Desktop Users 组。此外，攻击者还试图通过 DCSync 攻击冒充域控制器。

其最终目标是在受害者基础设施中建立持久化、获取域账户的密码哈希、使用长期有效的 Kerberos 票据获得对目标资源的合法访问，并最终攻入域控制器和受害者的整个 Active Directory 基础设施。

亲乌克兰的 Hacking Cat 部署 Gorilla RAT 和 Monkey 勒索软件

第二个将俄罗斯企业列为目标的组织是 Hacking Cat，这是一个亲乌克兰的黑客活动分子实体，自 2024 年 2 月起就有进行网站篡改和数据泄露的历史。然而，近几个月来，据称该组织已转变策略，转向加密和破坏性攻击。

"Hacking Cat 积极与 Cyber Anarchy Squad 和 Ukrainian Cyber Alliance 等其他黑客活动分子合作，这可能使工具归因于特定攻击者变得复杂，"Kaspersky 表示。

该组织发起的攻击武器化了 Exchange 服务器中的漏洞（例如 CVE-2021-26855 和 CVE-2026-42897），以投递一款名为 Gorilla RAT 的基于 Go 的远程访问木马，该木马可隧道传输流量，使操作者能够访问受害者的内部网络。

一旦启动，该恶意软件会与远程服务器建立连接、注册受害者，并等待进一步指令，这些指令允许其运行任意命令、枚举进程、收集系统信息、上传/下载文件，以及打开或关闭 TCP 隧道。

该威胁行为者还投递了一个名为 Monkey 的勒索软件家族的多个变种，它们分别用 Rust、.NET、C++ 和 Golang 编写，以针对 Windows、Linux 和 VMware ESXi 系统。最早的 Monkey 勒索软件产物可追溯至 2025 年夏末。该恶意软件在开始加密过程之前，还会采取措施终止不必要的进程并阻止系统恢复。

"一个基于 Rust 的 Monkey 勒索软件变种生成一个 32 字节密钥，并使用 ChaCha20-Poly1305 加密受害者的文件，"Kaspersky 表示。"某些变种不将密钥存储在任何地方，这实际上使它们变成了完全的擦除器恶意软件，但它们仍然留下勒索信。另一方面，其他变种存储密钥，但勒索信中不包含任何联系信息。"

其他三个变种所具备的一些显著功能列举如下——

• .NET 变种生成一个 32 字节密钥，将其发送至命令与控制 (C2) 服务器，并使用 AES-256-CBC 加密受害者文件。它具备提升权限和禁用 Windows 恢复机制的能力，可提取 Microsoft Outlook 凭据并发送至 C2 服务器，删除扩展名为 .bak、.backup、.bkf、.bck 的文件，并在执行后自我删除。
• C++ 变种提供类似功能，但可通过计划任务或 RunOnce 注册表键建立持久化、清除系统日志、禁用日志记录、擦除 PowerShell 命令历史和 Windows 命令提示符、绕过 AMSI、关闭 Event Tracing for Windows (ETW)、为加密程序配置 Microsoft Defender 排除项、修改注册表以禁用任务管理器和 Windows 命令提示符、通过查询 api.ipify[.]org 和 ipapi[.]co 获取公网 IP 地址，并禁用多种备份、数据库和恢复机制，包括卷影复制服务 (VSS)。
• Golang 变种主要用于针对 Linux 和 ESXi 系统，通过 crontab 条目建立持久化、禁用 SELinux 和 AppArmor，并试图删除卷影副本。

"这个 [Golang] 版本还包含删除卷影副本的功能，这在 Linux 和 ESXi 环境中毫无用处——这一事实表明攻击者较为粗心，很可能在开发该工具包时使用了 AI，"Kaspersky 推测道。

Hacking Cat 还被观察到与另一个亲乌克兰黑客活动组织 Cyber Anarchy Squad 联手，通过一个批处理脚本投递另一种名为 ClearWater 的勒索软件。据评估，ClearWater 是以勒索软件即服务 (RaaS) 的形式分发给亲乌克兰的黑客活动分子团伙。

在与 Ukrainian Cyber Alliance 的另一项合作行动中，据称该威胁行为者部署了一款名为 Nemo Wiper 的擦除器恶意软件，它用随机字节覆写文件，并用包含随机字母数字名称和 .lock 扩展名的文件填满剩余的磁盘可用空间。

"不同的黑客活动组织在不同攻击中使用相同的自写工具，包括多阶段感染链，"Kaspersky 指出。"这可能表明此类工具存在一个共同的来源——例如，一名开发者或一小组开发者创建、维护和修改这些恶意软件，随后被不同的黑客活动组织使用。"

然而，在该报告发布后，Hacking Cat 在其 Telegram 频道上发帖称"有几个工具是我们的，但那些加密器绝对不是。"它还声称 Kaspersky 将来自完全无关行为者的工具归因于它们，并称其应"学会更好地对组织进行逆向工程"。

Toy Ghouls 首次部署自定义后门

针对俄罗斯组织的组织名单中最后一个是 Toy Ghouls（又名 Bearlyfy、Laboo.boo 和 Feral Wolf），它已从使用泄露的 Babuk 和 LockBit 勒索软件构建器，转向其自己的定制 GenieLocker 勒索软件，如今又转向一个定制的后门。这个以经济利益为动机的组织已知自 2025 年起活跃。

该后门于 2026 年 7 月首次被检测到，以两个变种出现——

• mqtt-bird-agent 0.1.0，使用 HiveMQ MQTT broker 进行 C2
• matrix-bird-agent 0.1.0，使用 Element——一款基于 Matrix 的端到端加密即时通讯应用——进行 C2

"在这次活动中，攻击者使用 Windows Remote Management (WinRM) 将后门及其配置文件投递到失陷系统，"Kaspersky 表示。"该组织依赖 Evil-WinRM 和 WinRM-fs 等开源工具来完成这一操作。"

Bird Agent 后门可在交互式命令行会话中运行，也可作为 Windows 服务建立持久化。一旦启动，它会在其所在目录中查找一个配置文件（"config.toml"）。或者，可在运行时通过 "-c" 或 "--config" 选项指定该文件的完整路径。

随后，该恶意软件会读取该文件，并使用一个源自存储在 Windows 注册表中的受害机器 MachineGuid 值的密钥对其进行部分加密，以使配置绑定到该特定系统。如果后门在后续运行中无法解密配置，它会停止执行。

根据所使用的变种，该配置包含用于与 HiveMQ MQTT broker 通信的集群标识符，或 Element 内部房间标识符以及访问该房间所需的访问令牌。如果该参数为空，后门的设计使其会在安装期间提示输入令牌，之后令牌会被存储。

一旦连接建立，后门便会发送系统信息，并向 HiveMQ broker 发出 HTTP GET 请求，以从 C2 服务器获取命令、通过 PowerShell 以隐藏模式（-NonInteractive -NoProfile -Command）执行这些命令，并将结果回传至服务器。

Bird Agent 的 Element 变种在功能上与其 HiveMQ 对应版本相似，主要区别在于接收到的命令通过 Windows 命令行界面 (CLI) 执行，并将命令输出回传至 C2 服务器。

"这些新工具使用非常规通道与其 C2 服务器通信：HiveMQ MQTT broker 和基于 Matrix 的 Element 即时通讯工具，"Kaspersky 表示。"这种从公开可用的开源项目转向定制构建工具的转变表明，Toy Ghouls 正致力于使其攻击更加复杂，并更长时间地规避检测。"