一、Anatsa 是谁：一支"打不死"的老牌银行木马

Anatsa 首次现身于 2020 年，由荷兰移动欺诈情报公司 ThreatFabric 持续监控，因早期以"茶壶"图标著称而得名 TeaBot。六年来，它多次被 Google Play 下架、多次被安全厂商曝光，却总能在短暂沉寂后卷土重来——原因在于它的分发模型根本上是"打不死"的：每次上架的都是一个看似无害的"壳应用"，真正的恶意本体永远在后台动态加载，审核方看到的永远是清白无瑕的躯壳。

2026 年，Anatsa 的活跃度迎来一轮新高。Zscaler ThreatLabz 在 2026 年 4 月发现一个伪装成文档读取器的恶意应用（包名 com.westhorizont.appsforge.filehorizon_explorereaddocuments），下载量超过 1 万次后被移除；随后在 2026 年 6 月 24 日至 30 日期间，新一轮分发活动再度上演，并一度杀入美国区 Google Play 免费工具榜前三——直到被检测与下架。

二、分阶段注入：把 Google Play 审核"熬"过去

Anatsa 的分发模型，堪称"慢工出细活"的经典范本。ThreatFabric 拆解出的流程大致如下：

1. 以合法应用上架：dropper（载荷分发器）先以功能正常的文件管理器/文档读取器应用发布，初期完全没有恶意行为；
2. 积累真实用户：持续运行数周，积累真实下载量与用户基础，让应用在商店里看起来"健康且受欢迎"；
3. 静默期后注入：约六周后，通过应用更新部署恶意载荷，恶意代码从 C2 服务器下载 Anatsa 作为独立应用安装；
4. 动态目标配置：攻击者的目标应用列表由 C2 动态下发，无需重新发布应用即可更新。

这套策略对审核机制的杀伤力在于：静态分析与人工审核在"合法期"看到的是一款普通工具应用，而恶意行为全部发生在用户安装之后、且本体来自外部下载——审核方既没有理由拒绝上架，也难以在早期发现完整恶意功能。更隐蔽的是，部分变种把恶意载荷藏在损坏的 ZIP 压缩包中，使用运行时字符串解密与无效压缩/加密标志，让静态分析工具难以解析。

三、权限滥用与设备接管：从"看"到"摸"再到"花"

Anatsa 在受害者设备上同样以 Accessibility Service（无障碍服务）为权力核心。一旦用户授予该权限，木马便能读取与接收短信、显示系统警报、全屏运行、监控用户操作、模拟界面点击，并执行银行转账、支付批准与账户管理功能。

它的攻击呈现手法有一个标志性特征：当用户打开目标银行或金融应用时，Anatsa 会显示一个伪造的"计划维护"覆盖层，例如"Scheduled Maintenance. We are currently enhancing our services and will have everything back up and running shortly. Thank you for your patience."这个覆盖层一箭三雕：隐藏后台的凭证窃取活动、阻止用户联系银行客服（因为界面被完全挡住）、并拖延欺诈检测的触发时间，让攻击者有时间在设备端完成金融交易。

四、目标清单：从 650 到 800+ 个金融应用

Anatsa 的打击范围之广，是它区别于一般银行木马的核心特征之一。据 ThreatFabric 数据，其当前配置目标超过 650 个全球金融应用，重点覆盖美国移动银行应用，已确认机构包括 JP Morgan、Capital One、TD Bank 与 Schwab；Zscaler ThreatLabz 则指出，最新变种的目标清单已扩展到超过 831 个金融机构，涵盖银行应用、投资平台与加密货币服务。

技术细节方面，Cybersecurity News 的分析显示 Anatsa 使用单字节 XOR 加密与 C2 通信，并披露了多个 C2 服务器地址（如 162.252.173[.]37:85/api、185.215.113[.]108:85/api、193.24.123[.]18:85/api）与载荷 URL（66.206.6[.]6:8080/disclaimer.txt）。这类具体 IoC 的公开，为防御团队提供了可落地的检测依据。

五、2026 年夏天：从美国榜单前三到全球扩散

2026 年 6 月的这轮活动特别值得警惕，原因有三：其一，它杀入了美国区 Google Play 免费工具榜前三——意味着大量真实用户主动下载了恶意应用，传播效率远超钓鱼诱导；其二，目标重心明确偏向美国移动银行应用，与早期以欧洲为主的地理分布形成对比；其三，它证明了"商店榜单排名"本身可以成为恶意应用的营销工具——高排名带来更多真实下载，更多真实下载又进一步提升排名，形成恶性循环。ThreatFabric 还特别提示了海湾合作委员会（GCC）地区金融用户与企业 BYOD 设备的风险。

六、防御清单：用户、企业与金融机构的三方功课

• 用户层面：对 Google Play 中由未知开发者提供的文件管理器、文档读取器、PDF 工具类应用保持警惕；安装前检查权限，尤其是短信读取、无障碍、系统警报与全屏权限；若银行应用出现非预期的"维护中"覆盖层，应视为高风险信号，立即停止操作；
• 企业层面：审查 BYOD 设备上的应用安装策略，限制未知应用访问企业资源；部署移动威胁防御（MTD），检测异常权限、覆盖层与无障碍滥用行为；
• 金融机构层面：检查自身移动银行应用是否出现在 ThreatFabric 公布的 Anatsa 目标列表中；对来自被感染设备的登录与交易行为实施动态风控；
• 事后处置：卸载可疑文档读取器/文件工具应用，在恢复银行凭证前考虑对设备执行恢复出厂设置，并联系银行冻结相关账户。

七、"官方商店"不是免罪符

Anatsa 的 2026 年夏天，给移动安全行业留下了一个尴尬却真实的注脚：即便是在 Google Play 这样的官方渠道，恶意软件也能通过"先合法、后注入"的耐心策略，堂而皇之地爬到下载榜前三。安全行业过去十年反复强调"只从官方商店下载应用"——Anatsa 证明了这条建议依然重要，但已远远不够。真正的防线，是用户对"异常权限请求"与"非预期覆盖层"的敏感、企业对 BYOD 设备的持续管控、金融机构对交易行为的动态风控，以及安全厂商对目标清单的持续追踪。当木马学会了"养熟再收割"，防御者就不能再指望靠一个商店图标来判断善恶——每一款应用，都值得在点击"安装"之前多问一句：它为什么需要无障碍权限？它为什么需要读取我的短信？

*参考：ThreatFabric 对 Anatsa/TeaBot 的持续研究、Zscaler ThreatLabz 对恶意文档读取器的披露、MenacyberWire 与 Cybersecurity News 对 Anatsa 2026 年 Google Play 活动的报道。

一、时间线：一场卡着 IPO 节奏的攻击

把 Unitel 事件的各个节点拼起来，能看到一条近乎教科书式的攻击节奏。2026 年 7 月 28 日凌晨 2 点 20 分（当地时间），攻击者入侵了 Unitel 的远程访问系统，并对数据中心的核心数据进行加密。按照 CosmicBytez Labs 等机构的梳理，攻击直接冲击了语音、移动数据与互联网服务——对一个拥有约 3900 万人口、其中 2100 万依赖 Unitel 服务的国家而言，这等同于掐断了大半个国家的数字动脉。

值得玩味的是技术观测层面的事实：在整个事件过程中，Unitel 的 IP 前缀仍在向全球互联网正常宣告路由。这意味着问题并不出在上游链路切断或外部 DDoS，而是位于内部核心基础设施——即"数据本身被加密、服务被从内部锁死"的典型勒索软件形态。随后数日，Unitel 的 2G/3G 于 7 月 30 日恢复、短信于 7 月 31 日恢复，但 4G/5G 与多种数字服务的退化状态一直持续到 8 月初。Unitel 官方称已启动事件响应与遏制措施，并动员技术团队逐步抢修。

二、天价赎金：与 IPO 融资额几乎等值的巧合

比技术细节更让舆论哗然的，是赎金数字。据安哥拉财经媒体《Economia & Mercado》的调查报道，攻击者要求 Unitel 支付 3000 亿宽扎（约合 3.21 亿至 3.29 亿美元），并要求以加密货币支付。这个数字与 Unitel 通过 IPO 向政府出售 15% 股权所筹集的金额几乎完全一致——很难说是巧合。

Unitel 最终选择拒绝支付赎金，依靠内部技术团队逐步恢复服务。截至事件披露期，没有任何勒索组织公开认领这起攻击，攻击者的具体身份仍是一个悬而未决的问题。这种"不认领、不炫耀"的姿态，与近年愈发普遍的"静默勒索"趋势一致：攻击者宁可低调拿钱，也不愿过早暴露手法与基础设施。

三、为什么偏偏是 IPO 前夜：攻击者的时间表

Unitel 事件最值得警惕的一点，是攻击时间与资本运作窗口的高度重合。对企业而言，IPO、并购、融资等关键财务事件前夜，恰恰是安全防御最脆弱的时刻：一方面，业务团队全力冲刺上市，运维与安全资源被优先让位于业务连续性；另一方面，上市前的品牌与信任敏感度达到峰值，一旦发生数据泄露或服务中断，其股价、估值与监管审查后果都会被放大。

对攻击者来说，这意味着两个杠杆同时拉满：其一，受害者承受"赎金等于融资额"的巨大压力，谈判筹码被最大化；其二，即便拒绝支付，受害者也会陷入"一边抢修、一边应付监管与公众"的两线作战。Unitel 的例子显示，攻击者已经学会把"资本事件时间表"纳入攻击规划——这不是一次随机的网络入侵，而是一次精准踩点的商业战争。

四、影响全景：从移动支付到国家数字动脉

Unitel 事件的影响远超一家公司的范畴。作为安哥拉主要电信运营商，Unitel 承载着全国移动通信与互联网的基础服务，其瘫痪直接波及：

• 用户规模：约 2100 万用户（占全国人口一半以上），语音、移动数据、互联网全面中断；
• 移动支付系统：下线停摆，依赖 Unitel 网络的 POS 终端与移动钱包业务受阻，直接影响日常经济活动；
• 企业通信：依赖 Unitel 专线与企业接入的机构业务连续受损；
• 监管与资本信心：安哥拉当局介入调查，IPO 虽按计划于 7 月 29 日完成挂牌，但事件的余波仍在持续发酵。

从更宏观的视角看，2025 年安哥拉公开报道了 7 起勒索软件事件，LockBit 与 ALPHV/BlackCat 等家族均在该国被识别，2025 年勒索软件对该国造成的累计财务影响估计为 800 万至 1200 万美元。Unitel 事件让这一数字与叙事层级直接跳档——从"企业受害"升级为"国家级数字基础设施受攻击"。

五、防御视角：关键基础设施在资本窗口期的必修课

Unitel 事件给所有关键基础设施运营方留下了几条务实的启示：

• 重大资本事件前做"上市级"安全审计：IPO、并购前数月就应启动安全评估与红队演练，而不是临近事件才应急响应；把"上市时间表"当作攻击者也会看到的作战地图；
• 远程访问是首要攻击面：本次攻击从远程访问系统切入——对远程访问实施强制 MFA、严格访问控制、日志审计与异常行为检测，是成本最低、见效最快的防线；
• 为关键服务建立冗余与业务连续性计划：语音、支付、互联网等核心服务应有独立于单一基础设施的备份路径与降级方案，确保单一节点失守不会造成全国性瘫痪；
• 预先建立事件响应能力：关键基础设施不能依赖"事后请外部专家"，应预置内部事件响应团队、剧本与演练机制；
• 做好拒付后的准备：若决定拒绝支付赎金，需同步准备数据恢复方案、媒体应对与监管沟通，把"最坏情况"纳入上市风险管理。

六、IPO 照常上市，但教训没有敲钟

Unitel 的 IPO 最终按计划于 7 月 29 日在 BODIVA 挂牌，15% 股权成功融资约 3.21 亿美元。但这并不意味着危机被化解——攻击者身份未明、数据是否被外泄仍待确认、4G/5G 服务的恢复进度持续牵动用户与监管视线。对全球关键基础设施行业而言，Unitel 事件是一记清醒的警钟：当资本运作进入倒计时，攻击者的钟表也在同步转动。真正的安全，不是上市当天一切正常，而是从预案、冗余到响应，都能扛得住"最坏时刻"的考验。上市敲钟的那一刻很亮，但只有在暗处也守得住，这口钟才敲得响。

参考：CosmicBytez Labs 对 Unitel 攻击的分析、《Economia & Mercado》对 3000 亿宽扎赎金的报道、PressReleaseCloud 对 IPO 与网络中断的梳理、DigitalAngola 对安哥拉勒索软件形势的概述。

一、Nitrogen：从 stage loader 到独立勒索者的三级跳

要理解这次攻击，得先认识 Nitrogen 这个组织。它最早可追溯到 2023 年，当时它以 BlackCat/ALPHV 的恶意加载器身份出现；Barracuda 研究人员称，Nitrogen 的早期阶段主要靠广告欺诈与伪装 IT 工具安装程序分发恶意软件。到了 2024 年中期，它转型为独立的勒索软件运营者，并使用了从泄露的 Conti 2 构建器衍生而来的代码——也就是借着 Conti 的骨架，搭建起了自己的加密器与运营体系。2024 年 9 月，其在暗网泄露站点 NitroBlog 上公开了首批受害者，此后便把枪口对准美国、英国、加拿大的制造、技术、建筑与金融行业。调查显示，Nitrogen 疑似具有东欧背景，其 C2 基础设施分布在保加利亚与荷兰。

这种"从 loader 演变而来"的血统，决定了它在初始访问上格外擅长"把恶意藏在合法流程里"。这次的富士康攻击，正是其手法的极致体现。

二、入口：搜索广告投毒，把 IT 工具官网变成恶意的长相

Rescana 的技术分析拆解了初始访问的完整链条：Nitrogen 使用"广告欺诈（malvertising）"作为切入点。攻击者在搜索引擎的广告结果里投放伪装广告，当企业 IT 人员搜索 WinSCP、AnyDesk、Advanced IP Scanner、PuTTY、Cisco AnyConnect、Slack、FileZilla 这些"越常用越不设防"的合法工具时，会被引导到伪造的官方下载站点，下载到被植入恶意程序的"特洛伊木马"安装包。

更值得玩味的是，这是一个典型的"打 IT 人员"思路：无论你是 Windows 网管的 SSH 客户端，还是经常远程到服务器的 AnyDesk，这些工具往往带完全信任的签名与安装流程，用户不会多想，双击即装。而一旦这支木马在机器上落地，Nitrogen 便获得了稳定的第一台立足点。

三、多级加载链与 BYOVD：把杀软也一并干掉

Rescana 还原的投递链是这样的：伪装安装程序部署恶意 DLL → 合法应用被 DLL 侧加载（DLL sideloading，MITRE ATT&CK T1574.002）→ 恶意 DLL 充当加载器，把额外载荷驻留内存 → 通过 Cobalt Strike 或 Sliver 框架与远程 C2 通信 → 执行侦察、凭据窃取与横向移动。整个链条层层推进，几乎每一步都借用了"合法组件"的背书。

真正把手法推向高阶的，是 NitroGen 在 2026 年 5 月本次攻击中使用的 BYOVD（Bring Your Own Vulnerable Driver）技术。Rescana 指称，它利用了 Topaz Antifraud 驱动中 wsftprm.sys 内核驱动的漏洞 CVE-2023-52271（CVSS v3.1 6.5）。该漏洞允许低权限攻击者通过 IOCTL 调用，终止受 Protect 保护的 PPL 进程——包括杀毒引擎、EDR 与 Microsoft Defender。也就是说，攻击者先用一支漏洞驱动，把受害主机上的安全软件统统干掉，再反过来勒索与窃取。Topaz 早在 2023 年 10 月就修复了此漏洞，但制造业环境里驱动更新普遍迟缓，才给了它再次登场的窗口。这种"用官方发布过的漏洞驱动反制官方防护"的对抗手法，正是现代高级勒索操作的核心竞争力之一。

四、收网与勒索：8TB 数据、1100 万个文件、双 extortion

攻击的最终形态是典型的双 extortion（先窃后捆）模式。Nitrogen 先在受害者网络里大规模窃取数据，再加密系统，最后以"公开数据"为筹码索要赎金。2026 年 5 月 11 日，Nitrogen 在其暗网泄露站点 NitroBlog 上公开了富士康，声称窃取了约 8TB 数据、超过 1100 万个文件，其中据称包含富士康多家大客户的工程文档——供应链分析指向苹果、Intel、Google、Dell、Nvidia、AMD 等下游合作伙伴，涉及机密产品图纸、电路板布局、温度传感器规格、网络拓扑等资料。加密文件的扩展名为 .nba，勒索说明文件名为 readme.txt。富士康于 5 月 12 日正式确认遭网络攻击，称"网络安全团队立即启动响应机制并实施多项运营措施以确保生产和交付的连续性"；休斯敦工厂的财务文件亦出现在泄露样本中，显示攻击已从产线延伸至财务与运营系统。

五、一个"连攻击者都救不回"的加密器 bug

这场攻击还有一个被安全界反复提起的技术细节。Coveware 研究人员在 2026 年 2 月发现，Nitrogen 的 VMware ESXi 加密器存在一个致命的内存管理错误：加密例程把公钥存放在栈偏移 rsp+0x20 处，随后又在 rsp+0x1c 处写入 8 字节变量，导致公钥的前 4 字节被覆盖为零。换言之，加密后得到的公钥无法对应任何一张私钥——甚至连作者自己都无法解密受害者机器上的文件。Coveware 的结论很直白：对 ESXi 环境的受害者而言，即使支付赎金，也解决不了恢复问题。这个 bug 的存在，让 Nitrogen 的勒索行为在技术层面出现了一种黑色幽默式的不可靠——它索要赎金，却不能保证"一手交钱一手交货"。

六、供应链、历史与前车之鉴

作为全球最大电子代工方，富士康的供应链几乎覆盖了整个消费电子与 AI 计算产业。一旦工程图纸、电路板布局与网络拓扑文档外泄，风险不仅在于直接的经济损失，更在于将核心技术蓝图暴露给竞争者乃至国家行为体。Rescana 特别强调，此类文件泄露可能为竞争对手与跨国组织提供长期的"不公平优势"。

这也不是富士康第一次遭遇勒索。它自 2020 年以来已多次中招：2020 年 11 月，DoppelPaymer 攻击了其在墨西哥华雷斯城的设施，索要 3400 万美元并删除了 30TB 备份；2022 年 5 月，另一波勒索软件又破坏了蒂华纳工厂的生产。反复被高质量勒索组织盯上，本身就是一种信号——当你的规模是全球供应链的"枢纽"，你的防御就必须配得上你的镜像位。

七、给制造与供应链组织的处置清单

• 管住软件来源：在代理/出口层阻断搜索引擎广告引导的下载，强制所有软件安装来自受信任的内部仓库，堵死"malvertising + 合法工具"这条入口；
• 盯住 DLL 侧加载：对 WinSCP、AnyDesk、Advanced IP Scanner、PuTTY、AnyConnect、Slack、FileZilla 等常用工具建立 DLL 侧加载监控，捕获异常加载路径；
• BYOVD 防护：部署 Windows Defender Application Control（WDAC）与微软"易受攻击驱动阻止列表"，阻断 wsftprm.sys 等已知危险驱动被执行；
• 供应链访问审计：轮换共享凭据、证书与 VPN/IPSec 密钥，对第三方供应商访问做最小授权与持续审计，因为此类攻击常在供应链节点间"借道";
• 离线隔离备份并测试恢复：针对可能无法解密的情形（如 Nitrogen 的 ESXi bug），优先依赖已测试的离线备份恢复，而不是依赖支付赎金；
• 把 OT/产线隔离当成底线：让生产网与办公网、管理网有效分段，即便办公侧失守，也不至于直接波及仍在生产的物理层。

八、从一次"广告点击"看现代勒索的进化

Nitrogen 攻陷富士康，在技术谱系上几乎是一次"教科书式的合成"：用搜索广告投毒拿到入口、用 DLL 侧加载驻留、用 CVE-2023-52271 的驱动漏洞废掉杀软、用 Cobalt Strike/Sliver 横向移动、最后双 extortion 勒索。它既不高深到不可企及，又处处透着工业化生产的高效与狡猾。真正让业界警觉的，是它揭示了现代最高效的勒索组织，早已把"初始访问"这种最前端的环节，外包给了一次再普通不过的"在搜索框里搜一个合法工具"的用户动作。对富士康乃至整个制造业而言，这次 8TB 泄露提醒的，不只是一次补丁更新，而是一种防御重心的转移：别再把安全寄托在"不会有攻击者盯上我"上——当搜索广告可以成为攻击入口，任何一台上网电脑，都可能是一座城市冷库或一条产线失守的起点。

参考：Rescana 对 Nitrogen 攻击富士康的技术分析、Barracuda 关于 Nitrogen 演进的研究、Coveware 关于 Nitrogen ESXi 加密器 bug 的研究、DailySecurityReview 与 Shattered.io 对富士康 8TB 泄露的报道、富士康官方声明。

一、AudiA6 是什么：一家"混币服务"，一个犯罪论坛的新郎

AudiA6 自称为专业的加密货币混币服务，其运营 2022 年起在暗网与亮网上逐步活跃，主要面向跨国犯罪组织提供资金清洗。Europol 保守估计，该平台在活跃期内清洗了超过 3.36 亿欧元（约合 3.89 亿美元）的非法资金——这不是一笔小数字，它甚至超过了某些国家一整年的网络犯罪案款总和。

真正让它区别于传统混币器的，是它的体量与模式。与 Blender、Tornado Cash 这类"把用户资金打散、再重组"的技术型混币器不同，AudiA6 依赖的是一套围绕"数千个通过被窃或购买身份注册的虚假交易所账户"搭建的工业级洗钱网络。它同时运营着一个地下网络犯罪论坛 Dark2Web，既用来给自己的洗钱生意打广告，也提供按需定制的黑客、数据窃取与欺诈服务。换句话说，AudiA6 不是一个躲在纯技术角落的工具，而是一间"把犯罪资金当流水线处理"的工厂。

二、洗钱机制的解剖：一小时到账，抽佣百分之三到十

Europol 与多家安全公司的分析，让我们能还原 AudiA6 的整套运营逻辑。流程大致是这样的：

客户通过私信平台联系 AudiA6，把盗来的或非法所得的加密货币转入 AudiA6 控制下的钱包；平台随即把这些资金分散转入超过 6000 个注册了完整假 KYC（了解你的客户）记录的账户；这些 KYC 档案，是由操盘手用购买或盗用的身份，在多个交易所开户建立的、层层嵌套的"壳"。资金在这些交易所间来回倒腾、经过复杂的多跳转账链后，最终以"看似合法"的状态返还给客户。整个清洗流程根据 Europol 的说法，大约能在"一个小时内"完成，服务费通常在 3% 到 10% 之间。

这套机制的精妙之处，正在于它把"混币"从算法问题变成了"身份问题"。传统混币器靠打乱交易图景来匿名，而 AudiA6 靠的是"在合规体系内部制造合法的表面"——只要假 KYC 账户在交易所眼里是规范开户、资金走的是多个不同平台、每一跳都依附真实存在的账户，整条链路就会显得无比自然。这恰恰是链上监测工具最难第一时间抓住的盲区。

三、谁在里面洗钱：勒索软件团伙的资金漏斗

AudiA6 与勒索软件生态的关系，在 TRM Labs 的数据里被看得清清楚楚。分析显示该平台与至少 20 个不同的勒索软件组织存在资金关联，最大的一批流入者包括：ALPHV/BlackCat 相关资金约 910 万美元、Qilin 约 710 万美元、LockBit 约 440 万美元，以及 Akira、Chaos/Blacksuit、RansomHub 等多家。TRM 还指出，AudiA6 涉及的赃款还包括 2022 年 LastPass 泄露事件中约 700 万美元被盗资金，以及瑞士平台 SwissBorg 泄露事件的部分款项。

这些数据揭示了一个市场结构性的现象：尽管每年有数以百计的服务在接收勒索软件资金，但犯罪者的钱始终高度集中在少数几个"信得过、效率高"的平台上。TRM Labs 的统计是，最大的五个洗钱平台合计处理了 42% 到 57% 的洗钱量，2025 年这一集中度甚至回升至 51%。这意味着，只要把 AudiA6 这种"头部漏斗"掐断，就能实质性地压缩整个勒索软件生态的变现能力。这也正是执法机构愿意跨 11 国投入重兵的原因。

四、收网时刻：从暗访取证到巴统逮捕

Operation 的推进贯穿了一个典型的"长线钓鱼"式调查。穷尽的取证来自多个维度：一是执法人员伪装成犯罪者，与 AudiA6 暗中交易，全程记录了"操盘手明知是犯罪所得仍继续服务"的事实；二是从 2025 年 9 月波兰警方逮捕的一名关联人员身上，通过设备取证锁定了平台核心运营者的身份；三是结合区块链分析与国家间的数据交换，逐步拼出完整的组织图谱。

2026 年 6 月 10 日，来自澳大利亚、加拿大、法国、德国、格鲁吉亚、冰岛、日本、波兰、瑞士、英国与美国（涉及 USSS、IRS-CI、HSI、FDIC OIG）共 11 国的执法力量同步收网：两名平台管理员在格鲁吉亚巴统被捕——37 岁的乌克兰籍 Ruslan Igorevich Tkachuk 与 25 岁的俄籍 Alexander Vladimirovich Ledenev；行动还搜查了 3 处房产、查封 25 个域名、没收 30 多台服务器，缴获 80 多辆汽车并没收/冻结了 86,000 欧元与 692,000 欧元的加密货币，相关 Telegram 账户亦被封锁。AudiA6 与 Dark2Web 的亮网、暗网品牌都被替换成了执法查封横幅。美国宾夕法尼亚东区联邦检察官随后正式起诉，两人面临"协助洗钱阴谋罪"与"洗钱罪"指控，最高刑期各 20 年。

五、对勒索软件生态的真实冲击

把 AudiA6 从供应链上拿掉，直接动摇了勒索软件变现链条中"最容易被忽略、却也最不可或缺"的一环。对防御者而言，这则事件的启示主要有几点：其一，勒索软件治理不能只看"加密动作"，资金流同样是杀伤面，企业若能追踪赎金流向，往往能反哺调查与溯源；其二，交易所层面应强化对假 KYC 账户与可疑多跳转账的识别，Europol 已公布 AudiA6 用于注册账户的若干域名（如 designli.pictures、pheontx.eu、smplfy.in 等），这些可作为筛查依据；其三，区块链分析与跨国情报共享是打击的关键。值得强调的是，AudiA6 所清洗的 3.36 亿欧元并非单纯的"勒索赎金"，而是涵盖勒索、大规模加密货币盗窃及其他网络犯罪的综合资金流，这一点媒体也经常说错。

六、它的消亡，不等于洗钱会消失

AudiA6 的覆灭远不是故事的终点。它更像一面镜子，照出了现代犯罪金融的运营底色：传统混币器只是冰山一角，真正难缠的是那种"人力驱动的、把合规体系变成洗钱工具"的规模化运营。当执法机构端掉一个 AudiA6，总会有新的节点冒出来接棒——TRM 的数据早就告诉我们，资金会流向任何"看起来还能用"的漏斗。但同样真实的是，每一次这样的收网，都在抬高犯罪者的信任成本与操作成本。也正是这种"打击 + 防御 + 资金追踪"的多层围堵，才让这条黑暗的洗钱流水线，呈现出数年来少见的松动。

AudiA6 的名字取自德国豪华车系，讽刺的是，它自己操作的那条资金管道，也确实像一辆高速行驶的车：一小时完成、抽佣明确、从不问来路。只是这一次，开车的两个操盘手没能开进擅长隐藏的目的地，而是开进了 11 国联合布下的法网。对全球网络安全行业而言，这是一个再清楚不过的信号：打击勒索软件，已经从"堵住终端"扩围到"截断资金"——在加密世界里，钱的去向，从来都是最灵敏的告警器。

参考：Europol 关于 AudiA6 行动的官方公告、美国 DOJ 相关起诉与报道、TRM Labs 对勒索软件洗钱集中的分析、BleepingComputer 等对 AudiA6 覆灭的报道。

一、Copeland XWEB Pro：23 个洞，21 个高危

Copeland 的 XWEB Pro 是商业制冷领域十分常见的一款就地监控平台，广泛用于超市、冷库、医院等场景，它下辖的多类现场控制器（XR 系列）连着压缩机、冷却风扇、化霜加热器、照明与温度传感器。Team82 在 2026 年 8 月的披露中指出，XWEB Pro 系列共存在 23 个漏洞，其中 21 个被评价为高危。

最核心的几个问题彼此咬合：CVE-2026-25085 是一个认证绕过——攻击者向设备内置的 Lua 中间件传入一个未识别/非法的认证模式，认证函数会返回一个空的 Lua 表；由于 Lua 会把空表视作"真值"，而其路由逻辑只校验"对象是否存在"而非"内容是否有效"，攻击者据此即可绕过认证、获得未授权访问。CVE-2026-21718 则更"土制"地要命：管理员密码竟然可以由设备的 MAC 地址、当前日期以及固件中硬编码的密钥组合推算出来——也就是说，攻击者只要知道设备物理地址和今天几号，就能算出一把"万能钥匙"。再加上 19 个 OS 命令注入漏洞，攻击者可以在 API 与 CGI 端点向未经充分清理的输入里注入 shell 元字符，从而以 root 权限执行任意命令。Team82 甚至做了一次"板上钉钉"的实证：把一台 XR60CX 现场控制器接到 XWEB Pro 上，通过 Modbus 操作寄存器，让温度显示保持正常的同时禁用冷却风扇——设备肉眼可见地升温，操作员却看不到任何警报。固件 1.13 可修复这些问题。

二、Danfoss 与 Trane：硬编码密钥、隐藏认证与确定性诊断口令

同样的剧本，也发生在另外两家同为暖通制冷头部厂商的产品上。Danfoss 的 AK-SM 800A 巡检记录（Censys 显示有 2765 个暴露的管理接口）中，CVE-2025-41450 揭示了其隐藏的"每日代码"认证机制可以直接被绕过；CVE-2025-41451 允许通过 SMTP 配置触发命令注入；CVE-2025-41452 则能令管理接口陷入拒绝服务。Danfoss 在固件 R4.3.1 中修复。

Trane 的 Tracer SC+（常用于数据中心及其他关键设施）上，Team82 披露的一组漏洞更加"偏底层"：CVE-2026-28252 的诊断服务认证算法是确定性的，攻击者可计算出根级 Shell 访问权限；CVE-2026-28253 为预认证拒绝服务；CVE-2026-28254 是未经认证的 API 信息泄露；CVE-2026-28255 与 CVE-2026-28256 则分别涉及硬编码加密凭据与硬编码的安全相关常量。这些洞的共性在于：它们都不依赖花哨的 0-day 利用，而是依赖设备固件里被开发者"图省事"留下的硬编码与可预测算法——对一个愿意花时间逆向固件的研究者来说，几乎等同于打开了大门。Tracer SC+ 在 v6.3（v6.30.2313）及以上版本修复。

三、顺手补进视野的 Emerson：一个退役产品上的 CVSS 9.8 栈溢出

Team82 与协同披露之外，CISA 在 2025 年 11 月的 ICS 通告 ICSA-25-324-06 中还点名了 Emerson 的 Appleton UPSMON-PRO（一款 UPS 不间断电源监控软件）。其中的漏洞 CVE-2024-3871，CVSS v3.1 评分高达 9.8（CVSS v4 为 9.3）：这是一个位于默认 UDP 端口 2601 上的栈缓冲区溢出，远程攻击者只需向该端口发送构造的大尺寸 UDP 数据包，就能在 SYSTEM 权限下触发任意代码执行，且无需认证、无需用户交互。报告的危害等级之所以拉满，是因为 UPS 监控软件常部署于关键制造与医疗保健等不允许电源中断的场景，而该产品已处于生命周期末期（End of Life），Emerson 只能建议用户替换或实施缓解措施——这又是一个"旧设备上潜伏着大漏洞"的典型样本。

四、为什么这些洞如此危险，又如此"难防"

把这几家厂商的漏洞放在一起看，能读出几条共同逻辑。其一，它们所控制的，是物理世界中"看不见的稳定性"——温度、压力、冷却、供电。一旦被攻破，攻击者不一定要求赎金，也可能只是静默地让某台制冷设备"悄悄失温"，逼停整条冷链，或让数据中心过热宕机。这类后果往往不是"数据"而是"物理与运营"，因此更致命。其二，这些设备大多部署在工业网络边缘，管理接口乃至 Modbus 常暴露在互联网上，攻击面天然很大。其三，设备固件里的硬编码密钥、确定性算法、未清理的注入点，几乎都是"开发者图省事"的产物，也是这类 OT 场景反复出现的老问题——它们不炫技，但极其稳定地可被利用。

五、给运营方与厂商的处置清单

• 立即升级固件：XWEB Pro 升到 1.13，Danfoss AK-SM 800A 升到 R4.3.1，Tracer SC+ 升到 v6.3 及以上，Emerson UPSMON-PRO 因已停产应直接替换；
• 收掉互联网暴露面：不要把这些控制器的管理接口、Modbus、诊断端口直接暴露在公网，改用 VPN 或受信任的管理网络访问；对仍暴露的端口（如 44818、2222、102、502 等）实施网络分段与访问控制；
• 监控异常活动：关注异常 SSH、Web、Modbus 以及控制器配置变更，为渗透到物理控制层的行为设置告警；Emerson 场景可监控 UPSMONProSer 服务崩溃作为利用痕迹；
• 改变对硬编码的默认信赖：对固件做逆向审计，检查是否存在硬编码密钥、确定性认证算法与未清理的命令注入点，从源头减少这类"必然能绕开"的漏洞；
• 把 OT 认证与身份做到位：为远程访问启用 MFA、为控制器启用认证，避免出现"一个 MAC 地址加一个日期就能算出管理员密码"的荒唐局面。

六、一场本不该沉默的战争

Team82 这轮协同披露最有价值的地方，不只是那份长长的 CVE 列表，而是它用一次"学术式"的报道，把制冷与暖通这个长期处于安全盲区、却关系着我们每日生存体验的行业，第一次完整地推到了聚光灯下。冷柜在超市里嗡嗡作响时，没人会想到它背后的控制器可能正暴露在互联网上、固件里藏着一把"用日期就能算出来"的钥匙。当研究人员能够复现出"温度正常显示、风扇却被关掉"的冷库失温场景，我们才真正意识到：对这些设备的保护，从来不是某个厂家的孤军奋战，而是厂商固件基线、运营方网络边界与安全研究者的三方合力。Air conditioner还在转，但安全的那道闸门，永远不能像风机那样随手一关。

参考：CISA ICS 通告 ICSA-25-324-06（Emerson Appleton UPSMON-PRO）、Claroty Team82 对 Copeland XWEB Pro / Danfoss / Trane 的协同披露、RefIndustry 与 CyberPress 对相关漏洞修复的报道、Censys 暴露面调查。

一、为什么警察要打"上飞机通道"而不是飞机本身

要理解 Operation Endgame 的战术选择，先要看清现代勒索软件攻击链的样子。受害者真正看到的那次加密，往往已经是整条链的最后一站；在此之前，恶意软件要先经历"初始访问 → loader 投递 → 驻留 → C2 通信 → 横向移动"的漫长铺垫。而 loader（又被称为 dropper，即投递器/加载器）恰恰处在这条链的最上游：它常常是第一段落在受害者机器上落地的代码，负责把后续的勒索软件或信息窃取木马拉进来、驻留下来。

Cybercrime-as-a-Service（犯罪即服务）的兴起，让这个环节被彻底工业化。任何一个缺乏技术能力的犯罪团伙，都可以在市场上"租用"一个成熟的 loader 服务，按次或按流量付费，几分钟内拿到一台台还能用的受害主机。也正是因为门槛被压到这么低，勒索软件才从"高级黑客的专属玩具"变成了谁都能上的生意。Operation Endgame 的目标，就是从源头把这条链掐断：不是针对某一票赎金，而是针对那批被反复租用、反复投递的 loader 框架本身。

二、第一回合（2024 年 5 月）：IcedID 与全家桶的重点打击

2024 年 5 月 27 日至 29 日，Operation Endgame 打响了其最具代表性的一枪。法国、德国、荷兰牵头，丹麦、英国、美国提供支持，亚美尼亚、保加利亚、立陶宛、葡萄牙、罗马尼亚、瑞士、乌克兰提供配合，几路执法力量在第一波行动里直指当时最活跃的一批 loader 与木马：IcedID（BokBot）、SystemBC、Pikabot、Smokeloader、Bumblebee 与 Trickbot。

这一批名字，几乎就是当时勒索软件初始访问手段的"全明星阵容"。IcedID 最初是一款银行木马，后来进化为可投递其他恶意软件的通用 loader；SystemBC 是一个在受感染主机与 C2 之间建立匿名通信隧道的工具；Bumblebee 与 Smokeloader 则分别作为经钓鱼邮件或挂马网站分发的下载器/投递器服役。行动的结果是 4 人被捕（乌克兰 3 人、亚美尼亚 1 人）、16 处住所被搜、50 余台服务器被查封、2000 多个域名被接管。更值得注意的是，调查显示主要嫌疑人光靠出租这套犯罪基础设施，就累计赚取了至少 6900 万欧元的加密货币。欧盟执法机构因此把这次行动称为"有史以来针对僵尸网络生态的最大规模行动之一"。

三、第二回合与后续：从 2100 万到 1000 台服务器

Operation Endgame 并没有在第一回合后收手，而是把它做成了一个长期、滚动式的工程。2025 年 5 月 19 日至 22 日，行动再度出手，目标覆盖 Bumblebee、Lactrodectus、Qakbot、Hijackloader、DanaBot 与 Warmcookie 等一批 loader。这一次约 300 台服务器被查封、650 个域名被停用、20 份国际逮捕令被执行，并冻结了 350 万欧元加密货币，累计没收额超过 2120 万欧元。

随后的节奏愈发高频：2025 年 4 月消化 Smokeloader 关联客户；2025 年 11 月针对 Rhadinanthy、VenomRAT、Elysium 基础设施的一次行动，一口气查封了 1025 台服务器；再到 2026 年 6 月对 SocGholish、Amadey、StealC 的打击，又没收 326 台服务器、摘除 142 个域名并查获 4100 万欧元加密货币。从 2024 到 2026 的每一次行动，几乎都在重复同一个剧本：盯住 loader 的 TTP → 溯源基础设施 → 跨国联合收网 → 公开曝光。如此循环往复，三年下来，一批又一批的 loader 被成建制地掀翻。

四、技术角度的拆解：loader 供应链的命门

从防御技术角度看，这些 loader 之所以能反复得手，依赖的是一整套可复用的"套路"。以 Bumblebee 为例，其分发渠道多为钓鱼邮件或受损网站，攻击者借它来交付后续载荷；Trickbot 同样常用作勒索软件部署前的投递载体。它们普遍具备的共性攻击链是：通过钓鱼或挂马拿到初始访问 → loader 落地并执行资源驻留 → 通过与 C2 的匿名通信（如 SystemBC）维持连接 → 拉取后续恶意软件 → 最终导向凭据窃取、横向移动与勒索加密。

对防御者而言，Operation Endgame 给出的信号很明确：对这些 loader 的网络流量特征、C2 通信模式、DLL 侧加载与进程注入行为做检测，往往比盯住"最后一公里"的加密动作更能提前预警。因为只要控制住 loader 落地的"第一口"，后面一整串动作都不会发生。

五、影响评估：一笔账，也是一面镜子

Operation Endgame 最直观的成就是数字：累计查封上千台服务器、接管数千个域名、查获及冻结数千万欧元加密货币。但它的意义远超账面上的量级。其一，它向"犯罪即服务"生态展示了威慑——多次行动的节奏意味着执法不是一次性行动，而是可持续的清算。其二，TRM Labs 等分析显示，勒索软件资金高度集中在少数几个洗钱与投递管道上，切断其中关键环，会让整个生态短期内的运营确定性受损。其三，多国联合、覆盖 Europe、美洲、亚洲的协作模式，为未来跨国打击积累了可复用的范本。

当然它也有局限。loader 生态是"野火烧不尽"式的：一旦某个框架被端，很快会有替代者冒头。这也是为什么 Endgame 选择持续滚动、而非单次收网吧——打击的不是某一个坏人，而是"这一个行业"。

六、给组织留下的现实清单

• 把 loader 阶段纳入检测重点：关注 IcedID、Pikabot、Smokeloader、Bumblebee、Qakbot、SocGholish 等 loader 的 C2 与投递特征，部署针对性 EDR/SIEM 告警，而不是只看加密行为；
• 封死初始访问入口：loader 大多经钓鱼邮件、挂马网站与捆绑安装到达，加强邮件过滤、恶意 URL 拦截与下载防护，从入口端降低载荷落地概率；
• 保持对"老 loader"的敏感：被查封的框架往往不会立即绝迹，残余集群与被接管的名单值得长期监控，防止其"借尸还魂"；
• 跟踪执法情报：Operation Endgame 等行动会公开查封域名、服务器指标与 IOC，及时将这些指标纳入威胁情报库能有效识别残留连接；
• 理解供应链联动：勒索软件治理需要纵向的"打击+防御"双层配合——执法端掐源头、企业端断入口，两者缺一不可。

Operation Endgame 的三年，是把一场"看不见的战争"往前推的三年。它没有登上头条的炫目漏洞，却用一种更绵长、更彻底的方式，动摇了勒索软件生态里最不可替代的起点。当那些曾把 IcedID 与 Smokeloader 当"自来水"一样租用的团伙，发现自己上飞机的那条通道被一个国家接一个国家地封死，安全行业大概也就看清了答案的另一半：真正的防线，从来不只是终端上的那一行规则，还包括法庭与海关之上、那一串串被查封的服务器域名。

参考：Europol 关于 Operation Endgame 多次行动的官方公告（2024-2026）、Europol/J-CAT 行动通报、TRM Labs 对勒索软件洗钱集中的分析。

一、链条起点：一个被“借走”的 OAuth 令牌

Salesloft Drift 是销售接洽与对话应用，其 Salesforce 集成通过 OAuth 令牌与客户实例建立受信任的连接。像许多第三方集成一样，这个令牌在建立之后，就被当作“这台应用有权访问客户数据”的通行证。攻击者的第一步，是成功入侵 Salesloft Drift 的应用侧，窃取到这批 OAuth 令牌；一旦令牌到手，它就代表了一个“已被授权、且持续有效”的身份，可以直接绕过依赖用户交互的 MFA，也能跨过基于会话的细粒度授权。

这正是第三方 OAuth 集成的经典弱点：令牌的生命周期、范围和使用方式，往往比传统账户更难审计和收敛。令牌本身不会提醒客户“有人在用我的名义拉数据”，因为它看起来就是那台受信任应用自己在干活。

二、批量导出：一场无人察觉的数据搬运

拿到令牌后，攻击者用实际行动演示了“数据大规模外泄可以多安静”。他们先通过 Salesforce 查询 Schema、枚举对象，把目标实例的数据目录摸清楚；随后使用被窃取令牌认证到 Salesforce API，通过 SOQL 自动化查询，对 Case、Contact、Account、Opportunity 等对象做批量导出。整个过程使用 Python 脚本、配以伪装成合法 Salesforce 工具的 User-Agent，并把流量藏在 Tor、AWS、DigitalOcean 等基础设置后面，让来源更难以追踪。

最能说明危害强度的，是这批被拖走内容的构成：不只是客户姓名、邮箱这类常规字段，还包括支持工单的正文与附件、联系人与账户信息，以及那些被不小心写进工单里的明文凭证——AWS 访问密钥、Snowflake 令牌、VPN 凭据、乃至密码。对安全团队而言，被导出的是密钥库，而不仅仅是通讯录。

三、事后清理与“留证的行踪”

Salesloft 于 6 月 19 日检测到异常，6 月 20 日撤销 Drift 的 OAuth 令牌，并从 Salesforce AppExchange 下架了 Drift 集成。攻击者的反侦察也颇具针对性：他们试图删除异步 Job 的日志，以抹掉批量导出的痕迹——但 Salesforce 的 Event Monitoring 日志仍保留着证据。这个细节说明：即便面对会删除作业日志的老练对手，只要平台保留了事件级审计，事后归因与响应就仍有一线生机。

它也提醒所有使用第三方集成的团队：第三方集成持有的“静默数据访问权”，往往处于组织的可见性盲区。事件影响集中在通过 Salesloft Drift 集成暴露的 Salesforce 实例数据，而并非 Salesforce 核心平台本身被攻破——但“不是平台被攻破”并不能安慰那 700 多家数据已被导出的客户。

四、这对“零信任”意味着什么

Salesloft Drift 事件，几乎是“零信任”口号的一端在现实中被击穿的样本。零信任的初衷是“永远不信任、始终验证”，但当授权被浓缩成一个能在服务端自动延续的 OAuth 令牌时，平台侧若只认令牌、不持续验证请求来源与行为，那么“偷到令牌就偷到一切”的老戏码就会重演。以下几点应成为此类事件的通用处置方向：

• 对第三方 OAuth 集成收权：最小化授权范围、缩短令牌生命周期、对高敏对象（尤其含工单与明文字段的）施加额外读取限制；
• 审计服务端自动化调用：对第三方令牌发起的高频、批量、异于常规的 API 调用建立基线并告警，别让“批量导出”在日志里显得人畜无害；
• 监控被写进工单的密钥：推动“机读密钥不进人工工单”的治理，并对已泄露的 AWS/Snowflake/VPN 凭据做轮换与失效；
• 保留事件级审计：即便应用层日志会被删除，平台侧的 Event Monitoring 等事件日志也要开启并长期保存，作为事后归因的底线；
• 把第三方风险当一等风险管：对每个集成做持续评估，确认它的令牌、权限与数据流向都处于可控与可见之内。

700 多家企业案例最刺痛安全从业者的地方，在于整个事件里“没有人做错一件惊天动地的事”：Salesloft 只是被偷了一个令牌，Salesforce 只是正常执行了带令牌的 API 请求，攻击者只是“安安静静地批量拉数据”——然而结果却是海量客户数据、包括明文密钥被成批带走。这说明，在第三方集成构成细密信任网的今天，安全早已不再只取决于“我自己的平台守得严不严”，而更取决于“我到底放了多少把钥匙在别人手里、又能看见它们到底被用来做了什么”。零信任不是一句口号，而是要把这一类被静默持有的令牌，务必纳入每一次的数据访问审计里。

参考：Google Cloud 威胁情报小组、Mandiant、Arctic Wolf、Rescana 对 UNC6395/Icarus 利用 Salesloft Drift OAuth 令牌窃取 Salesforce 数据的公开分析。