2026年初，SentinelOne的端點防護系統(tǒng)攔截了一個名為Name_File.vbs的可疑文件。它躺在\Users\Public\Downloads\目錄里，看起來平平無奇，但編碼內(nèi)容暴露了一個精心設(shè)計的遠程調(diào)用意圖。

LevelBlue的SpiderLabs團隊順著這條線索追查，發(fā)現(xiàn)這并非孤立事件。攻擊者搭建了一套可復用的投遞框架，能從同一基礎(chǔ)設(shè)施向不同目標推送完全不同的惡意載荷。

第一層：VBS只是空殼，真正的引擎藏在PowerShell里

這個VBS文件本身不帶任何有效惡意代碼，純粹是個發(fā)射臺。它被埋在多層Unicode混淆字符之下，剝開后露出一段Base64編碼的PowerShell命令。

這段命令才是真正的發(fā)動機。它強制啟用TLS 1.2加密，用Net.WebClient類從互聯(lián)網(wǎng)檔案館（Internet Archive）拉取遠程文件。但下載的不是可執(zhí)行程序，而是一張PNG圖片——MSI_PRO_with_b64.png。

圖片看起來正常，內(nèi)部卻嵌著惡意程序。攻擊者在PNG數(shù)據(jù)流里塞進了BaseStart和BaseEnd標記，中間夾著一段Base64編碼的.NET程序集。

第二層：PNG變成內(nèi)存加載器，硬盤上不留痕跡

這個程序集被命名為PhantomVAI。PowerShell通過Reflection.Assembly::Load直接把它載入內(nèi)存運行，全程不寫入磁盤。

文件less（fileless）執(zhí)行意味著傳統(tǒng)基于文件掃描的殺毒軟件幾乎無法觸及。PhantomVAI在RAM里完成部署后，開始執(zhí)行它的核心任務(wù)：建立持久化后門，并與命令控制服務(wù)器保持通信。

LevelBlue分析師在同一攻擊基礎(chǔ)設(shè)施上發(fā)現(xiàn)了多條并行感染鏈。news4me[.]xyz域名下的/coupon/、/protector/、/invoice/三個開放目錄各司其職——有的存放VBS發(fā)射器，有的托管混淆載荷，還有的負責完全不同的投遞路徑。

這種開放式目錄設(shè)計不是偷懶，而是刻意為之。攻擊者可以隨時更換、增刪托管的惡意程序，無需改動核心投遞邏輯。即使某個載荷被安全廠商標記，其他鏈條仍能繼續(xù)運轉(zhuǎn)。

第三層：同一臺服務(wù)器，同時跑XWorm和Remcos兩種遠控木馬

調(diào)查人員在同一基礎(chǔ)設(shè)施上確認了至少兩種遠程訪問木馬（RAT）的活躍部署。XWorm的多個變體以文本文件形式存放，Remcos RAT也在同一目錄結(jié)構(gòu)中現(xiàn)身。

更隱蔽的是另一條與偽造PDF相關(guān)的感染鏈，同樣運行在這套基礎(chǔ)設(shè)施上。多向量設(shè)計讓攻擊者能針對不同目標、不同場景選擇最優(yōu)投遞方式，而不必為每次行動重建整套環(huán)境。

PhantomVAI本身的功能集相當完整。它會收集系統(tǒng)信息、截取屏幕、記錄鍵盤輸入，并能執(zhí)行從遠程服務(wù)器下發(fā)的任意命令。所有通信都經(jīng)過加密，流量特征被刻意模糊以 blend in 正常網(wǎng)絡(luò)活動。

這套攻擊鏈最棘手的地方在于每個環(huán)節(jié)都"看起來正常"：VBS腳本是常見的系統(tǒng)管理工具，PNG是再普通不過的圖片格式，互聯(lián)網(wǎng)檔案館更是人人信賴的公共資源庫。

攻擊者把惡意代碼拆解成三個無害的零件，單獨看每個都無法觸發(fā)警報，串聯(lián)起來卻構(gòu)成完整的入侵鏈條。這種模塊化設(shè)計降低了單點暴露的風險，也讓歸因和追蹤變得更加困難。

LevelBlue在報告中特別指出，開放目錄的濫用正在成為趨勢。相比需要精心維護的封閉服務(wù)器，公開可訪問的目錄提供了即插即用的靈活性，尤其適合需要頻繁更換載荷的大規(guī)模運營。

對于依賴傳統(tǒng)文件掃描和靜態(tài)特征檢測的安全團隊來說，這種攻擊模式提出了一個直接挑戰(zhàn)：當惡意程序從不落地、從不以可識別形態(tài)出現(xiàn)時，防線該往哪里擺？

SentinelOne的端點防護在這次事件中起到了關(guān)鍵作用——它在VBS執(zhí)行階段就完成攔截，阻止了后續(xù)鏈條的展開。但這也依賴于對腳本行為的實時監(jiān)控，而非事后文件分析。

攻擊基礎(chǔ)設(shè)施目前仍在活躍，news4me[.]xyz及其子目錄持續(xù)托管著新的混淆載荷。安全廠商已將相關(guān)域名和文件哈希納入威脅情報庫，但攻擊者顯然預留了快速輪換的空間。