黑客聚焦：NeedyMantis恶意软件、ShinyHunters被捕及人工智能网络钓鱼

主页 » 软件 » 黑客聚焦：NeedyMantis恶意软件、ShinyHunters被捕及人工智能网络钓鱼

近期黑客领域的发展呈现出两条并行的趋势：一是与国家有关联的间谍组织寻求长期入侵，二是犯罪勒索团伙的行动比以往更加激进。微软公布了名为NeedyMantis的恶意软件家族的技术分析报告。该恶意软件曾被用于针对电信公司、大学、医疗非营利组织、政府间机构和政府承包商的有限入侵事件。该工具似乎旨在首次入侵后将入侵者限制在网络内部，而非广泛传播。

与此同时，荷兰当局逮捕了一名24岁男子，他涉嫌与ShinyHunters组织有关。该组织与多起重大数据盗窃和勒索威胁有关。逮捕行动并未削弱该组织的嚣张气焰：几天之内，他们就声称对入侵美国联邦调查局（FBI）招聘门户网站的行为负责，并被指与利用PeopleSoft系统漏洞有关。另据报道，研究人员称，一个名为TA419的与中国有关联的组织一直在冒充人工智能政策专家，窃取智库、承包商和大学的资质证书。

微软将 NeedyMantis 与长期入侵联系起来

微软的分析显示，NeedyMantis恶意软件至少从2025年10月起就已出现，并被用于少数定向攻击行动。受害者包括电信机构、大学、医疗非营利组织、政府间组织和政府承包商。该恶意软件旨在实现持久性和控制，而非大规模破坏。

NeedyMantis 的线索部分源于卡巴斯基对 DAEMON Tools 供应链攻击的调查。DAEMON Tools Lite的官方签名安装程序自 2026 年 4 月 8 日起携带恶意代码，开发者于 5 月 5 日恢复了干净版本。微软将相关活动追踪为 Storm-3069，但尚未发现 NeedyMantis 本身通过该供应链传播。

恶意软件捆绑包通常包含三个部分：一个合法程序、一个以程序加载的文件命名的恶意 DLL 文件，以及一个具有相同标签的加密压缩包。当应用程序启动时，它会加载这个恶意 DLL 文件，这种技术被称为DLL 侧加载。

以这种方式被滥用的合法程序包括Poedit、curl、Vim 和 TightVNC。该恶意软件还会将自身伪装成与 Microsoft Office、Broadcom、Intel 和 NVIDIA 相关的 DLL 文件。在一个样本中，它替换了 Poedit 的更新组件 WinSparkle.dll。

有效载荷如何隐藏其流量

在详细示例中，网络内部的操作员使用Impacket将捆绑包从共享文件夹复制到目标机器上执行。初始访问权限可能因具体情况而异。

DLL加载完成后，会从加密存档中提取下一阶段并运行它。该阶段会解码主组件，主组件会通过HTTPS连接命令与控制服务器，然后切换到WebSocket连接。

通过该通道，运营商可以加载和卸载额外的模块，并向这些模块发送数据。微软尚未确认这些模块的具体功能。2025 年 10 月的旧版本包含一个使用Windows 服务的持久化模块；新版本的持久化方法尚未详细说明。

对中国方面的归因仍持谨慎态度。

Storm-3069 是微软为新出现的或正在开发的集群赋予的临时标签，直到微软能够更确定其背后的攻击者为止。微软在 DAEMON Tools 活动之外也发现了 NeedyMantis，并表示可能有多个组织正在使用它。目前，微软尚未确定所有活动是否都来自同一组织。

微软评估认为，此次攻击活动似乎源自中国，但尚未将Storm-3069与任何中国国家行为体联系起来。攻击目标和受害者选择符合微软以往认为与中国相关的模式。卡巴斯基在DAEMON Tools恶意软件中发现了中文文本，但并未确定其来源。

谷歌威胁情报小组追踪到DAEMON Tools攻击活动的幕后黑手为UNC6863。Mandiant公司称UNC6863涉嫌与中国有关联，并利用DAEMON Tools漏洞部署恶意软件。目前尚不清楚UNC6863是否与Storm-3069是同一组织。

指标、检测和清理

微软公布的指标包括与第一阶段加载器和加密存档相关的三个 SHA-256 哈希值，以及端口 443 上的 C2 域corp.tripswithenginecom和硬编码的用户代理 firefox/21.0。

• e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e – 第一阶段加载器 WinSparkle.dll，首次出现于 2026 年 5 月 21 日。
• 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef – 名为 WinSparkle 的加密存档，首次出现于 2026 年 5 月 23 日。
• c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 – 名为 libcurl 的加密存档，旧版本，首次出现于 2025 年 10 月 3 日。

恶意 DLL 中包含的文件路径涉及Poedit、libcurl、Vim、TightVNC、Office、Broadcom、Intel 和 NVIDIA 等组件，这些组件位于常见的程序和程序数据文件夹下。

Defender 将恶意软件检测为TrojanDropper:Win64/NeedyMantis和 Behavior:Win64/NeedyMantis。由于搜索查询仅回溯七天，因此除非进行调整，否则无法找到 2025 年 10 月或 2026 年 5 月的更早事件。仅凭 Poedit 路径匹配并不能证明存在恶意软件，因为 WinSparkle.dll 也是 Poedit 的一个普通组件。

微软建议启用云交付保护、立即阻止攻击、EDR 阻止模式、网络保护、自动攻击中断以及某些攻击面缩减规则。此外，微软还建议检查出站流量是否存在与 C2 域的连接，此操作无需使用 Defender 即可完成。所有安装了受影响的DAEMON Tools Lite 12.5.1的用户都应将其卸载，运行完整扫描，然后从官方网站下载 12.6 版本。

荷兰警方逮捕行动令ShinyHunters面临压力

荷兰当局证实，他们逮捕了一名24岁男子，该男子涉嫌参与ShinyHunters犯罪团伙的调查。该团伙被指控在全球140多家机构实施数据窃取和敲诈勒索。警方称，该男子于9月15日被捕，并被下令拘留至少90天。

多份报告指出，嫌疑人是佩皮恩·范德斯塔普（Pepijn van der Stap），他曾是一名网络罪犯，网名是“Umbreon”。2023年，他因数据盗窃和敲诈勒索罪被判处四年监禁，缓刑一年。检方称，这些犯罪活动涉案金额在150万至270万欧元之间。他于2025年12月出狱。

据采访和媒体报道，范德斯塔普在被捕前曾公开表示自己已经改过自新，并在Neo Security担任高级安全职务。他还曾在荷兰漏洞披露研究所担任志愿者，该研究所后来披露了一起涉及恶意人工智能使用的内部网络安全事件，并表示该事件似乎与ShinyHunters无关。Neo Security未对此事作出回应。

荷兰警方正在寻求公众帮助，以确认2026年2月一通电话中的声音身份。该电话利用社交工程手段诱骗一名Odido员工登录一个伪造网站，导致超过620万荷兰人的数据被盗。ShinyHunters网站证实，来电者是该网站的一名成员，但被捕男子尚未被正式认定与Odido案件有关。

据RTL报道，调查人员还怀疑范德斯塔普试图在国外策划至少两起谋杀案，这一怀疑是基于他被捕后获得的信息。荷兰当局表示，这条调查线索与“闪亮猎人”（ShinyHunters）的调查是分开的。

FBI招聘门户网站遭到入侵和PeopleSoft系统漏洞利用

逮捕行动几天后，ShinyHunters 声称对 FBI 的求职申请网站apply.fbijobs.gov遭到入侵负责。报道称，被盗数据包括 5,000 多名官员的社会保障号码和个人信息，以及职位或所属部门，例如特工、威胁接收审查员、重大网络犯罪部门和负责调查外国政府支持的网络威胁的工作人员。

路透社查阅了该组织共享的文件，发现其中包含涉及联邦调查局工作人员的敏感精神病学和医学档案。由于数据性质特殊，此次泄露事件引发了反间谍方面的担忧。联邦调查局尚未就此事发表详细的公开说明。

ShinyHunters 声称，他们利用 Oracle PeopleSoft（一款广泛使用的人力资源和招聘平台）中一个近期已修复的漏洞CVE-2026-35273获得了访问权限。据报道，该漏洞自 6 月起被用作零日漏洞，之后 Oracle 发布了修复程序。

Mandiant 为那些无法快速打补丁的组织发布了 Web 应用程序防火墙规则，但 BleepingComputer 报道称，ShinyHunters 利用URL 编码技巧绕过了这些规则。9 月 25 日，Mandiant 和 Google 威胁情报小组联合发布的一份报告证实，PeopleSoft 漏洞已被大规模利用，涉及高等教育、科技、医疗保健、农业、交通运输和政府等多个行业。

ShinyHunters告诉TechCrunch，此次入侵FBI并非出于经济动机，而是为了反驳针对该组织的指控。该组织表示不会公布被盗的FBI数据。FBI网络犯罪部门负责人布雷特·莱瑟曼感谢了荷兰合作伙伴，并敦促剩余成员自首。

ShinyHunters内​​部的领导权之争

接近调查的消息人士称，该组织近期针对美国联邦调查局和俄罗斯勒索软件团伙Cl0p的冒险举动，标志着其行事风格已从以往较为谨慎的模式转变。据报道，这一转变源于一名来自约旦安曼、化名Rey的青少年网络罪犯接管了该组织，Rey隶属于一个名为ScatteredLapsussHunters的联盟。

该联盟据称由 Scattered Spider、LAPSUS$ 和 ShinyHunters 三个黑客组织组成。Rey 据称与这位荷兰黑客就ShinyHunters 品牌和数据的控制权存在争议。FBI 篡改页面上留下的超大尺寸的月亮伊布图片被认为是试图将黑客攻击的责任推卸给这位荷兰黑客。

Rey在Twitter/X上发布了一张表情包嘲讽Cl0p和FBI；之后，在一名记者寻求采访后，他的账号被删除。《连线》杂志的报道称，ShinyHunters和SLSH曾短暂与TeamPCP合作，利用窃取的凭证牟利，之后ShinyHunters脱离团队，独吞了收益。Mandiant渗透了TeamPCP，并将凭证泄露给云服务提供商，导致密钥失效。

Mandiant 研究员奥斯汀·拉森表示，ShinyHunters 一直在进行敲诈勒索活动，到 2026 年可能从受害者那里勒索近100 亿美元。范德斯塔普声称，他早期的犯罪行为是出于收集数据库的欲望，而不是为了钱。

与中国关系密切的TA419冒充人工智能政策专家

Proofpoint公司称，一个名为TA419的与中国关系密切的组织一直在美国冒充人工智能专家，其中包括前白宫科技政策办公室首席副主任琳恩·爱德华兹·帕克。该活动自2025年4月以来一直活跃。

这些邮件起初看起来无害，通常邀请收件人加入所谓的“人工智能政策咨询委员会”。一旦目标回复，攻击者就会发送一个伪造的登录页面，旨在窃取登录凭证。受害者包括美国和日本智库、国防承包商、大学和律师事务所的政策专家。

这项技术会在合法网页内创建一个虚假的浏览器弹窗，模仿真实的登录提示，使受害者更难意识到自己正在泄露信息。Proofpoint公司并未透露所有目标，但路透社证实，前白宫官员、现任宾夕法尼亚大学媒体、技术与民主研究中心主任亚历克斯·恩格勒收到了一条此类信息，并发现信息来自冒充者。

今年2月，同一组织冒充Anthropic公司的一位知名员工，攻击人工智能政策专家。Proofpoint预计TA419将继续利用真实世界的专家身份攻击智库和政策专家。帕克没有回应半岛电视台的置评请求。

民众和辩护者应该关注什么

对于安全团队而言，NeedyMantis 指标和 PeopleSoft 漏洞利用案例表明，攻击者如何将受信任的软件、窃取的凭证和已知漏洞混合使用。检查出站流量、审查异常的 DLL 加载以及修补暴露的人力资源或招聘平台可以缩短攻击窗口期。

对于普通用户而言，TA419 攻击活动提醒我们，精心制作的电子邮件和逼真的登录提示仍然可能是钓鱼邮件。通过第二渠道验证意外收到的邀请，并使用防钓鱼的多因素身份验证，有助于防范此类攻击。

这些案例的共同点在于访问权限：与国家有关联的黑客组织希望隐藏在网络内部，而犯罪团伙则希望将窃取的数据转化为金钱和公共影响力。NeedyMantis 的分析表明，DLL 侧载和 WebSocket C2 如何将合法工具转化为攻击立足点；ShinyHunters 的被捕和 FBI 的数据泄露事件表明，黑客组织在内部动荡后可以迅速扩张；TA419 的人工智能主题网络钓鱼攻击表明，社会工程学在借用可信名称时仍然最为有效。这些案例并非孤立事件，其防御经验也大同小异：快速修补漏洞，密切关注异常流量和文件加载，并对未经请求的登录请求保持警惕。