2024年，某東南亞國家軍方的終端安全工具突然報警：一臺無人管理的設備上，PowerShell活動異常。調查人員順著線索摸進去，發(fā)現(xiàn)這不是新入侵——攻擊者早在2020年就埋了后門，像定時鬧鐘一樣，每6小時醒來一次，向境外服務器報到。

這個代號CL-STA-1087的間諜行動，持續(xù)了至少4年未被察覺。

Palo Alto旗下Unit 42團隊披露的細節(jié)顯示，攻擊者的目標清單極其精準：指揮控制系統(tǒng)（C4I）、域控制器、高管工作站。他們不追求數(shù)據(jù)量，只要"戰(zhàn)略和作戰(zhàn)情報"。換句話說，這是一場精心策劃的"軍事偵察"，而非普通的數(shù)據(jù)盜竊。

休眠腳本：把躲避檢測寫成算法

攻擊者的核心手法，是把"低調"編碼進了工具本身。

被發(fā)現(xiàn)的PowerShell腳本設置了6小時固定間隔執(zhí)行。這種設計直接針對自動化檢測工具——后者通常監(jiān)控流量峰值和異常頻率，對"規(guī)律但稀疏"的活動幾乎無感。攻擊者把惡意行為拆成了無數(shù)個小片段，混在正常的系統(tǒng)噪音里。

PolySwarm分析師提取了主后門樣本AppleChris，確認其動態(tài)獲取命令控制服務器（C2）地址的方式：從Pastebin拉取配置，早期版本還用過Dropbox。這些公開云服務成了攻擊者的"通訊錄"，既便宜又難追蹤。

沉寂數(shù)月后，攻擊者重新激活。他們利用Windows管理規(guī)范（WMI）和原生.NET命令橫向移動，把惡意軟件推送到域控制器、Web服務器、IT終端和高管系統(tǒng)。每一步都踩著UTC+8的上班時間——北京時區(qū)。

三層工具鏈：定制后門+改裝竊密+系統(tǒng)級潛伏

Unit 42識別出攻擊者的三件主力工具。

AppleChris和MemFun是兩套定制后門，負責長期駐留和遠程控制。GetPass則是Mimikatz的修改版——后者是安全圈知名的憑證竊取工具，攻擊者顯然不想重復造輪子，而是直接改裝現(xiàn)成武器。

持久化機制更顯老練。攻擊者在system32目錄下放置惡意DLL文件，通過劫持合法Windows服務完成注冊。這種"寄生"方式讓惡意代碼獲得了系統(tǒng)級信任，即使管理員例行檢查，看到的也只是正常的系統(tǒng)組件。

基礎設施同樣留下痕跡。C2環(huán)境包含簡體中文語言元素，部分服務器部署在中國境內(nèi)云服務上。Unit 42的評估措辭謹慎："中等置信度"指向中國背景的攻擊者，未點名具體組織。

軍事目標：不是偷數(shù)據(jù)，是畫地圖

攻擊者的目標選擇暴露了真實意圖。

Command, Control, Communications, Computers, and Intelligence（C4I）系統(tǒng)是現(xiàn)代化軍隊的神經(jīng)中樞。滲透這些節(jié)點，攻擊者能獲取部隊部署、指揮結構、通信協(xié)議——比單純的文件盜竊更具戰(zhàn)略價值。

東南亞地區(qū)的地緣政治敏感度無需多言。多個國家與中國存在南海主權爭議，軍事通信和指揮系統(tǒng)的情報，直接影響區(qū)域力量評估。

這場行動的特殊之處在于時間跨度。4年潛伏意味著攻擊者建立了完整的網(wǎng)絡地形圖：哪些系統(tǒng)關鍵、誰有高級權限、數(shù)據(jù)如何流動。這種"認知優(yōu)勢"比任何單一泄密都危險。

防御方的發(fā)現(xiàn)過程也值得關注。觸發(fā)警報的是"非托管終端"——那些沒納入標準安全監(jiān)控的邊緣設備。這提示了一個老問題：再嚴密的防線，也可能被最薄弱的環(huán)節(jié)擊穿。

攻擊者重新激活后的橫向移動速度，說明他們從未真正離開。數(shù)月的靜默更像是"養(yǎng)號"，等待時機擴大控制范圍。

目前，受影響國家的軍方尚未公開回應。Unit 42的報告發(fā)布于2024年3月，此時距離首次入侵已過去近4年。攻擊者是否仍在其他未被發(fā)現(xiàn)的位置潛伏？