2、朝鲜半岛

2025年全球⾼级持续性威胁（APT）研究报告RESEARCHREPORTADVANCED PERSISTENT THREAT全球⾼级持续性威胁(APT)研究报告GLOBAL ADVANCEDPERSISTENT THREATResearch ReportGLOBAL ADVANCEDPERSISTENT THREATResearch Report2025年度全球⾼级可持续性威胁形势概览2025年度活跃APT组织统计概述CONTENTS/⽬录地区北美朝鲜半岛中国台湾省东南亚南亚东欧中东南美攻击活动使⽤的ATT&CK技战术TOP20APT攻击活动0day漏洞统计利⽤开源代码仓库⽅式进⾏供应链攻击AI技术已被攻击者应⽤在深度伪造和诱饵制作等场景破坏背后的逻辑，⽹络攻击成为地缘政治⼯具跨平台攻击武器构造复杂攻击链针对海外机构的APT攻击增多，威胁⻛险加⼤国家级APT攻击瞄准国产应⽤，信创基础设施威胁凸显2025年APT攻击发展趋势分析参考链接AI驱动的攻击全⾯升级，智能体将⼤⼤提升攻击效率云基础设施与供应链攻击更为频繁关键基础设施成为破坏与勒索的⾸选⽬标量⼦计算威胁逼近，加密数据泄露不可不查⽹络攻击是混合作战的重要组成部分攻击技术持续升级、系统化攻击⼯程是必经之路2026年APT攻击发展趋势预测PART1PART2PART3PART4PART52025年度全球⾼级可持续性威胁形势概览2025年度活跃APT组织统计概述CONTENTS/⽬录地区北美朝鲜半岛中国台湾省东南亚南亚东欧中东南美攻击活动使⽤的ATT&CK技战术TOP20APT攻击活动0day漏洞统计利⽤开源代码仓库⽅式进⾏供应链攻击AI技术已被攻击者应⽤在深度伪造和诱饵制作等场景破坏背后的逻辑，⽹络攻击成为地缘政治⼯具跨平台攻击武器构造复杂攻击链针对海外机构的APT攻击增多，威胁⻛险加⼤国家级APT攻击瞄准国产应⽤，信创基础设施威胁凸显2025年APT攻击发展趋势分析参考链接AI驱动的攻击全⾯升级，智能体将⼤⼤提升攻击效率云基础设施与供应链攻击更为频繁关键基础设施成为破坏与勒索的⾸选⽬标量⼦计算威胁逼近，加密数据泄露不可不查⽹络攻击是混合作战的重要组成部分攻击技术持续升级、系统化攻击⼯程是必经之路2026年APT攻击发展趋势预测PART1PART2PART3PART4PART51、2025年度全球⾼级可持续性威胁形势概览2025年，世界政治经济格局进⼊深刻演变期，传统秩序加速调整，新兴⼒量加快崛起。全球范围内冲突与博弈显著增多，地缘冲突在多地区凸显，多极化进程在曲折中持续向前。与此同时，⽹络安全态势正经历深刻演进，已从“技术层⾯对抗”升级为关乎国家⽣存与发展的战略博弈。我国⽹络空间安全⾯临复杂严峻挑战：境外国家级APT攻击持续不断，⼈⼯智能驱动的新型攻击与供应链渗透⻛险集中显现，⿊⾊产业链助推勒索攻击与数据泄露趋于产业化，⽹络空间防御体系承受全⽅位压⼒。2025年，全球⽹络安全⼚商和机构累计发布APT报告700多篇，报告涉及APT组织140个，其中属于⾸次披露的APT组织42个，⽐2024年同期均呈现⼀定程度增加。从全球范围看，APT组织攻击活动聚焦地区政治、经济等时事热点，攻击⽬标集中分布于政府机构、国防军⼯、信息技术、⾦融、教育等⼗⼏个重点⾏业领域。当前，国家层⾯的⽹络攻防对抗不再局限于传统安全范畴，已经逐渐成为国家战略体系中不可或缺的组成部分。我国历来是APT组织攻击的重点区域。依托360安全⼤模型，360⾼级威胁研究院在2025年，累计捕获到1300余起针对我国的APT攻击活动。相关APT组织主要来⾃北美、东亚、南亚、东南亚等地区。我国受攻击活动影响的单位主要分布于政府机构、教育、科研、国防军⼯、制造等15个重点⾏业领域。2025年，北美和我国台湾省地区的APT组织活跃度较往年明显增加，这与中美政博弈、台海局势发展密切相关。来⾃北美地区的APT攻击技战术⽔平⾼超，主要针对我国重点科研和关基单位，造成的影响和危害极⼤；来⾃我国台湾省地区的APT组织主要针对我国政府机构和教育科研等领域展开钓⻥攻击，从⽽进⾏渗透和窃密。2025年，360再次捕获并披露了到4个全新APT组织，分别为北美地区的APT-C-78、东亚地区的APT-C-64（匿名者64）、APT-C-67（乌苏拉）和南亚地区的APT-C-76（银环蛇）。截⾄2025年底，360已累计率先发现并披露了60个境外APT组织。2025年，全球APT组织攻击技战术向规模化与战略化演进，供应链安全成为关键防线。在未来攻防两端对抗中AI技术的运⽤中，使得“AI对战AI”成为常态。⽹络空间的攻防对抗步⼊智能驱动、攻防前置、全域联动的新阶段。2025年度全球⾼级持续性威胁（APT）研究报告概述PART12025年度全球⾼级可持续性威胁形势概览2025年度活跃APT组织统计1、2025年度全球⾼级可持续性威胁形势概览2025年，世界政治经济格局进⼊深刻演变期，传统秩序加速调整，新兴⼒量加快崛起。全球范围内冲突与博弈显著增多，地缘冲突在多地区凸显，多极化进程在曲折中持续向前。与此同时，⽹络安全态势正经历深刻演进，已从“技术层⾯对抗”升级为关乎国家⽣存与发展的战略博弈。我国⽹络空间安全⾯临复杂严峻挑战：境外国家级APT攻击持续不断，⼈⼯智能驱动的新型攻击与供应链渗透⻛险集中显现，⿊⾊产业链助推勒索攻击与数据泄露趋于产业化，⽹络空间防御体系承受全⽅位压⼒。2025年，全球⽹络安全⼚商和机构累计发布APT报告700多篇，报告涉及APT组织140个，其中属于⾸次披露的APT组织42个，⽐2024年同期均呈现⼀定程度增加。从全球范围看，APT组织攻击活动聚焦地区政治、经济等时事热点，攻击⽬标集中分布于政府机构、国防军⼯、信息技术、⾦融、教育等⼗⼏个重点⾏业领域。当前，国家层⾯的⽹络攻防对抗不再局限于传统安全范畴，已经逐渐成为国家战略体系中不可或缺的组成部分。我国历来是APT组织攻击的重点区域。依托360安全⼤模型，360⾼级威胁研究院在2025年，累计捕获到1300余起针对我国的APT攻击活动。相关APT组织主要来⾃北美、东亚、南亚、东南亚等地区。我国受攻击活动影响的单位主要分布于政府机构、教育、科研、国防军⼯、制造等15个重点⾏业领域。2025年，北美和我国台湾省地区的APT组织活跃度较往年明显增加，这与中美政博弈、台海局势发展密切相关。来⾃北美地区的APT攻击技战术⽔平⾼超，主要针对我国重点科研和关基单位，造成的影响和危害极⼤；来⾃我国台湾省地区的APT组织主要针对我国政府机构和教育科研等领域展开钓⻥攻击，从⽽进⾏渗透和窃密。2025年，360再次捕获并披露了到4个全新APT组织，分别为北美地区的APT-C-78、东亚地区的APT-C-64（匿名者64）、APT-C-67（乌苏拉）和南亚地区的APT-C-76（银环蛇）。截⾄2025年底，360已累计率先发现并披露了60个境外APT组织。2025年，全球APT组织攻击技战术向规模化与战略化演进，供应链安全成为关键防线。在未来攻防两端对抗中AI技术的运⽤中，使得“AI对战AI”成为常态。⽹络空间的攻防对抗步⼊智能驱动、攻防前置、全域联动的新阶段。2025年度全球⾼级持续性威胁（APT）研究报告概述PART12025年度全球⾼级可持续性威胁形势概览2025年度活跃APT组织统计概述图：2025年全球范围APT攻击活动影响⾏业分布TOP10图：年全球典型APT组织活跃度情况2025年度活跃APT组织统计2、2025年度活跃APT组织统计2025年，全球⼤国竞争呈现⽩热化，在军事、政治、经济等领域的博弈进⼀步深化，“国家级”背景的APT组织的攻击活动更加贴近的于地缘政治势⼒在地区博弈和竞争的战略。尤其在地缘军事⾏动中，国家级APT攻击已经成为战争战略战术的重要⼀环。在此形势下，全球APT组织继续保持⾼活跃度。截⽌2025年底，全球⽹络安全⼚商以及机构累计发布APT报告700多篇，报告涉及APT组织140个，其中属于⾸次披露组织42个。从全球范围看APT组织攻击⽐较集中的⾏业为政府机构、国防军⼯、信息技术、⾦融、制造等领域。东亚组织名称活跃程度APT-C-01（毒云藤）APT-C-65（⾦叶萝）APT-C-26（Lazarus）APT-C-55（Kimsuky）APT-C-06（DarkHotel）APT-C-60（伪猎者）APT-C-64（匿名者64）APT-C-28（ScarCruft）APT-C-67（乌苏拉）东南亚组织名称活跃程度APT-C-00（海莲花）北美组织名称活跃程度APT-C-78APT-C-40（NSA）东欧组织名称活跃程度APT-C-20（APT28）APT-C-53（Gamaredon）APT-C-13（Sandworm）APT-C-25（APT29）APT-C-29（Turla）中东组织名称活跃程度APT-C-51（APT35）APT-C-49（OilRig）南美组织名称活跃程度APT-C-36（盲眼鹰）政府28%国防军⼯12%信息技术11%⾦融9%制造7%科研7%交通运输5%教育5%能源4%⽂娱传媒4%其他⾏业8%南亚组织名称活跃程度APT-C-08（蔓灵花）APT-C-09（摩诃草）APT-C-48（CNC）APT-C-56（透明部落）APT-C-76（银环蛇）APT-C-24（响尾蛇）APT-C-70（独⻆犀）APT-C-35（肚脑⾍）2025年度全球⾼级持续性威胁（APT）研究报告概述图：2025年全球范围APT攻击活动影响⾏业分布TOP10图：年全球典型APT组织活跃度情况2025年度活跃APT组织统计2、2025年度活跃APT组织统计2025年，全球⼤国竞争呈现⽩热化，在军事、政治、经济等领域的博弈进⼀步深化，“国家级”背景的APT组织的攻击活动更加贴近的于地缘政治势⼒在地区博弈和竞争的战略。尤其在地缘军事⾏动中，国家级APT攻击已经成为战争战略战术的重要⼀环。在此形势下，全球APT组织继续保持⾼活跃度。截⽌2025年底，全球⽹络安全⼚商以及机构累计发布APT报告700多篇，报告涉及APT组织140个，其中属于⾸次披露组织42个。从全球范围看APT组织攻击⽐较集中的⾏业为政府机构、国防军⼯、信息技术、⾦融、制造等领域。东亚组织名称活跃程度APT-C-01（毒云藤）APT-C-65（⾦叶萝）APT-C-26（Lazarus）APT-C-55（Kimsuky）APT-C-06（DarkHotel）APT-C-60（伪猎者）APT-C-64（匿名者64）APT-C-28（ScarCruft）APT-C-67（乌苏拉）东南亚组织名称活跃程度APT-C-00（海莲花）北美组织名称活跃程度APT-C-78APT-C-40（NSA）东欧组织名称活跃程度APT-C-20（APT28）APT-C-53（Gamaredon）APT-C-13（Sandworm）APT-C-25（APT29）APT-C-29（Turla）中东组织名称活跃程度APT-C-51（APT35）APT-C-49（OilRig）南美组织名称活跃程度APT-C-36（盲眼鹰）政府28%国防军⼯12%信息技术11%⾦融9%制造7%科研7%交通运输5%教育5%能源4%⽂娱传媒4%其他⾏业8%南亚组织名称活跃程度APT-C-08（蔓灵花）APT-C-09（摩诃草）APT-C-48（CNC）APT-C-56（透明部落）APT-C-76（银环蛇）APT-C-24（响尾蛇）APT-C-70（独⻆犀）APT-C-35（肚脑⾍）2025年度全球⾼级持续性威胁（APT）研究报告政府41%教育24%制造3%科研12%交通运输供应商2%能源2%建筑地产2%其他⾏业7%排名TOP1TOP2TOP3TOP4TOP5TOP6TOP7TOP8TOP9TOP10攻击来源组织分布APT-C-01（毒云藤）APT-C-00（海莲花）APT-C-65（⾦叶萝）APT-C-08（蔓灵花）APT-C-09（摩诃草）APT-C-06（DarkHotel）APT-C-48（CNC）APT-C-78APT-C-60（伪猎者）APT-C-64（匿名者64）所在地域东亚地区东南亚地区东亚地区南亚地区南亚地区东亚地区南亚地区北美地区东亚地区东亚地区⽬标⾏业领域政府、教育、科研等教育、科研、政府等政府、国防军⼯、科研等政府、教育、供应商等教育、科研、政府、制造等贸易、科研、政府等教育、国防军⼯、科研等国防军⼯、制造、能源等政府、贸易等政府、国防军⼯、科研等APT组织对我国政府、教育、科研⾏业攻击占⽐超过七成，其危害远超普通⽹络攻击，直接关系国家安全与科技发展命脉。针对我国政府、教育和科研机构的⾼级持续性威胁攻击呈现出⾼频次、⾼隐蔽性、⾼战略意图的特征，已成为危害我国国家安全、科技主权与数据主权的核⼼⻛险之⼀。这些攻击的背后往往是由境外情报机构主导、具备国家级资源⽀持的系统性⽹络间谍活动，其⽬的远超经济窃密，直指国家核⼼竞争⼒与战略安全。我国历来是地缘周边APT组织攻击的重点区域。依托360安全⼤模型，360⾼级威胁研究院在2025年，累计捕获到1300余起针对我国的APT攻击活动。APT组织攻击源主要来⾃南亚、东南亚、东亚以及北美等地区。我国受攻击活动影响的单位主要分布于政府机构、教育、科研、国防军⼯、制造等15个重点⾏业领域。基于APT组织攻击活动频次、攻击活动影响单位和终端数量、攻击技战术⽔平等多个指标，我们对2025年攻击活动影响我国的APT组织活跃度进⾏综合评估，得出下表。图：2025年我国受APT攻击影响单位⾏业分布TOP10信息技术2%2%国防军⼯3%概述2025年度全球⾼级持续性威胁（APT）研究报告2025年度活跃APT组织统计政府41%教育24%制造3%科研12%交通运输供应商2%能源2%建筑地产2%其他⾏业7%排名TOP1TOP2TOP3TOP4TOP5TOP6TOP7TOP8TOP9TOP10攻击来源组织分布APT-C-01（毒云藤）APT-C-00（海莲花）APT-C-65（⾦叶萝）APT-C-08（蔓灵花）APT-C-09（摩诃草）APT-C-06（DarkHotel）APT-C-48（CNC）APT-C-78APT-C-60（伪猎者）APT-C-64（匿名者64）所在地域东亚地区东南亚地区东亚地区南亚地区南亚地区东亚地区南亚地区北美地区东亚地区东亚地区⽬标⾏业领域政府、教育、科研等教育、科研、政府等政府、国防军⼯、科研等政府、教育、供应商等教育、科研、政府、制造等贸易、科研、政府等教育、国防军⼯、科研等国防军⼯、制造、能源等政府、贸易等政府、国防军⼯、科研等APT组织对我国政府、教育、科研⾏业攻击占⽐超过七成，其危害远超普通⽹络攻击，直接关系国家安全与科技发展命脉。针对我国政府、教育和科研机构的⾼级持续性威胁攻击呈现出⾼频次、⾼隐蔽性、⾼战略意图的特征，已成为危害我国国家安全、科技主权与数据主权的核⼼⻛险之⼀。这些攻击的背后往往是由境外情报机构主导、具备国家级资源⽀持的系统性⽹络间谍活动，其⽬的远超经济窃密，直指国家核⼼竞争⼒与战略安全。我国历来是地缘周边APT组织攻击的重点区域。依托360安全⼤模型，360⾼级威胁研究院在2025年，累计捕获到1300余起针对我国的APT攻击活动。APT组织攻击源主要来⾃南亚、东南亚、东亚以及北美等地区。我国受攻击活动影响的单位主要分布于政府机构、教育、科研、国防军⼯、制造等15个重点⾏业领域。基于APT组织攻击活动频次、攻击活动影响单位和终端数量、攻击技战术⽔平等多个指标，我们对2025年攻击活动影响我国的APT组织活跃度进⾏综合评估，得出下表。图：2025年我国受APT攻击影响单位⾏业分布TOP10信息技术2%2%国防军⼯3%概述2025年度全球⾼级持续性威胁（APT）研究报告2025年度活跃APT组织统计
1、北美
2025年的中美两国在政治、经济、贸易等多个领域激烈博弈，中美关系逐渐形成“竞争为主、对抗可控、合作局部”的新平衡。在此背景下，2025年北美地区APT组织对我国的⽹络攻击活动，呈现“国家级统筹、定向关键基础设施、战术隐蔽化”的核⼼特征。2025年年初，北美地区APT组织，针对我国智慧能源和数字信息⼤型⾼科技企业展开⽹络攻击，意图窃取核⼼技术与商业机密，影响⾼科技产业竞争；2⽉，以APT-C-40（NSA）组织为核⼼执⾏机构，联合美⾼校作为“学术掩护体”，针对我国亚冬会相关服务展开攻击活动，威胁亚冬会赛事系统与⿊⻰江地区关键基础设施，美⽅3名TAO特⼯因此次攻击事件被我国通缉；10⽉，我国国家安全机关再次披露了APT-C-40（NSA）组织对我国国家授时中⼼实施的重⼤⽹络攻击活动。地区北美朝鲜半岛中国台湾省东南亚南亚东欧中东南美2025年度全球⾼级持续性威胁（APT）研究报告PART2
1、北美
2025年的中美两国在政治、经济、贸易等多个领域激烈博弈，中美关系逐渐形成“竞争为主、对抗可控、合作局部”的新平衡。在此背景下，2025年北美地区APT组织对我国的⽹络攻击活动，呈现“国家级统筹、定向关键基础设施、战术隐蔽化”的核⼼特征。2025年年初，北美地区APT组织，针对我国智慧能源和数字信息⼤型⾼科技企业展开⽹络攻击，意图窃取核⼼技术与商业机密，影响⾼科技产业竞争；2⽉，以APT-C-40（NSA）组织为核⼼执⾏机构，联合美⾼校作为“学术掩护体”，针对我国亚冬会相关服务展开攻击活动，威胁亚冬会赛事系统与⿊⻰江地区关键基础设施，美⽅3名TAO特⼯因此次攻击事件被我国通缉；10⽉，我国国家安全机关再次披露了APT-C-40（NSA）组织对我国国家授时中⼼实施的重⼤⽹络攻击活动。地区北美朝鲜半岛中国台湾省东南亚南亚东欧中东南美2025年度全球⾼级持续性威胁（APT）研究报告PART21.1、APT-C-40（NSA）APT-C-40（NSA）组织持续针对我国以及全球的⽹络攻击和渗透，其攻击技战术复杂，攻击武器储备丰富，技战术⽔平⼤幅领先于已知的⽹络攻击组织。在2025年，我国国家安全机关披露了该组织对国家授时中⼼实施的⽹络攻击活动。APT-C-40（NSA）组织在此次攻击中使⽤了多达42款⽹络攻击武器，在2022年3⽉⾄2024年6⽉期间，攻击者利⽤境外⽹络资产作为主控端服务器持续实施了千余次攻击，严重破坏我国关键信息基础设施安全，对国家安全造成系统性、持续性危害。在本次攻击活动中，攻击者在⼿机端成功获取办公计算机的登录凭证后，进⼀步通过⼿机端作为跳板取得了计算机端点的远程控制权限，并依次完成特种⽹络攻击武器的植⼊与升级。披露时间2025-1-172025-1-17报告名称发布机构2025-3-252025-4-32025-4-152025-4-162025-4-282025-7-32025-8-12025-10-192025-10-192025-10-22美⽹络攻击我国某先进材料设计研究院事件调查报告美⽹络攻击我国某智慧能源和数字信息⼤型⾼科技企业事件调查报美情报机构针对全球移动智能终端实施的监听窃密活动“2025年哈尔滨第九届亚冬会”赛事信息系统及⿊⻰江省内关键信息基础设施遭境外⽹络攻击情况监测分析报告央视新闻报道：360揭批美国NSA针对亚冬会发起⽹络攻击公安机关公开悬赏通缉3名美国特⼯美国国家安全局组织实施亚冬会⽹络攻击活动美情报机构利⽤⽹络攻击中国⼤型商⽤密码产品提供商事件调查报APT-C-78组织Exchange内存⾃检⼯具发布美情报机构频繁对我国防军⼯领域实施⽹络攻击窃密守护“北京时间”！国家安全机关破获美国国家安全局重⼤⽹络攻击案关于国家授时中⼼遭受美国国家安全局⽹络攻击事件的技术分析报深度复盘美国NSA渗透攻击授时中⼼，360安全智能体蜂群引领政企防护升维国家互联⽹应急中⼼国家互联⽹应急中⼼中国⽹络安全产业联盟国家计算机病毒应急处理中⼼中华⼈⺠共和国公安部中国⽹络空间安全协会中国⽹络空间安全协会国家安全部国家互联⽹应急中⼼360⾼级威胁研究院在2025年捕获到多起北美地区APT组织对我国关基单位的重⼤⽹络攻击活动。这些⽹络攻击活动聚焦在关键基础设施（能源、电信、交通、授时）、⾼科技（半导体、量⼦、先进材料）、重⼤赛事与政府机构领域。其战略意图是期望通过技术遏制，窃取核⼼技术，延缓中国⾼科技产业的发展和突破；同时在关键基础设施植⼊后⻔，形成“战时破坏”能⼒，实现战略威慑。图：APT-C-40（NSA）组织攻击渗透⽰意图随后，攻击者通过多款⽹络攻击武器协同作业，在⽬标内⽹构建起⼀个包含四层加密隧道的窃密攻击平台，具备⾼度隐蔽性与完整攻击功能，进⽽以此实施内⽹横向渗透，⾮法窃取关键数据信息。整个过程中，攻击者在计算机终端上部署的攻击模块总计达42个。这些模块均采⽤内存加载、解密执⾏的⽅式运⾏，有效规避了常规安全软件的检测与查杀。其中，前哨控守类武器（eHome_0cx）作为核⼼加载调度模块，由四个组件共同构成，负责协调并调⽤地区北美2025年度全球⾼级持续性威胁（APT）研究报告1.1、APT-C-40（NSA）APT-C-40（NSA）组织持续针对我国以及全球的⽹络攻击和渗透，其攻击技战术复杂，攻击武器储备丰富，技战术⽔平⼤幅领先于已知的⽹络攻击组织。在2025年，我国国家安全机关披露了该组织对国家授时中⼼实施的⽹络攻击活动。APT-C-40（NSA）组织在此次攻击中使⽤了多达42款⽹络攻击武器，在2022年3⽉⾄2024年6⽉期间，攻击者利⽤境外⽹络资产作为主控端服务器持续实施了千余次攻击，严重破坏我国关键信息基础设施安全，对国家安全造成系统性、持续性危害。在本次攻击活动中，攻击者在⼿机端成功获取办公计算机的登录凭证后，进⼀步通过⼿机端作为跳板取得了计算机端点的远程控制权限，并依次完成特种⽹络攻击武器的植⼊与升级。披露时间2025-1-172025-1-17报告名称发布机构2025-3-252025-4-32025-4-152025-4-162025-4-282025-7-32025-8-12025-10-192025-10-192025-10-22美⽹络攻击我国某先进材料设计研究院事件调查报告美⽹络攻击我国某智慧能源和数字信息⼤型⾼科技企业事件调查报美情报机构针对全球移动智能终端实施的监听窃密活动“2025年哈尔滨第九届亚冬会”赛事信息系统及⿊⻰江省内关键信息基础设施遭境外⽹络攻击情况监测分析报告央视新闻报道：360揭批美国NSA针对亚冬会发起⽹络攻击公安机关公开悬赏通缉3名美国特⼯美国国家安全局组织实施亚冬会⽹络攻击活动美情报机构利⽤⽹络攻击中国⼤型商⽤密码产品提供商事件调查报APT-C-78组织Exchange内存⾃检⼯具发布美情报机构频繁对我国防军⼯领域实施⽹络攻击窃密守护“北京时间”！国家安全机关破获美国国家安全局重⼤⽹络攻击案关于国家授时中⼼遭受美国国家安全局⽹络攻击事件的技术分析报深度复盘美国NSA渗透攻击授时中⼼，360安全智能体蜂群引领政企防护升维国家互联⽹应急中⼼国家互联⽹应急中⼼中国⽹络安全产业联盟国家计算机病毒应急处理中⼼中华⼈⺠共和国公安部中国⽹络空间安全协会中国⽹络空间安全协会国家安全部国家互联⽹应急中⼼360⾼级威胁研究院在2025年捕获到多起北美地区APT组织对我国关基单位的重⼤⽹络攻击活动。这些⽹络攻击活动聚焦在关键基础设施（能源、电信、交通、授时）、⾼科技（半导体、量⼦、先进材料）、重⼤赛事与政府机构领域。其战略意图是期望通过技术遏制，窃取核⼼技术，延缓中国⾼科技产业的发展和突破；同时在关键基础设施植⼊后⻔，形成“战时破坏”能⼒，实现战略威慑。图：APT-C-40（NSA）组织攻击渗透⽰意图随后，攻击者通过多款⽹络攻击武器协同作业，在⽬标内⽹构建起⼀个包含四层加密隧道的窃密攻击平台，具备⾼度隐蔽性与完整攻击功能，进⽽以此实施内⽹横向渗透，⾮法窃取关键数据信息。整个过程中，攻击者在计算机终端上部署的攻击模块总计达42个。这些模块均采⽤内存加载、解密执⾏的⽅式运⾏，有效规避了常规安全软件的检测与查杀。其中，前哨控守类武器（eHome_0cx）作为核⼼加载调度模块，由四个组件共同构成，负责协调并调⽤地区北美2025年度全球⾼级持续性威胁（APT）研究报告我们通过深⼊分析发现，相⽐“⻜⻢”等间谍软件针对苹果⼿机的窃密攻击，“三⻆测量”攻击活动针对苹果⼿机的攻击复杂度与隐蔽性更⾼。该类攻击通常采⽤多阶段、⾼集成的漏洞利⽤链，并植⼊极难检测的持久化后⻔，从⽽给防御与检测⼯作带来极⼤挑战。图①：APT-C-40（NSA）组织攻击流程⽰意图图②：APT-C-78组织攻击流程⽰意图APT-C-78是360⾼级威胁研究院在2025年捕获并披露的北美地区APT组织。该组织表现活跃，针对我国国防军⼯、科研、信息技术、能源、汽⻋制造等⼏个领域重点⽬标策划了针对性攻击活动。APT-C-78组织在2025年的攻击活动中对⽬标单位针对性的挖掘Web漏洞，并利⽤漏洞展开攻击活动。该组织在针对我国某国防军⼯背景相关单位的攻击活动中，针对受害企业⾃⾏开发的Web服务进⾏漏洞挖掘，继⽽利⽤漏洞展开攻击；在获得内⽹相关权限后，进⼀步利⽤某国产安全软件的服务端更新机制，分发专项后⻔程序，实现了对受害单位员⼯主机的批量控制。1.2、APT-C-78公⽹防⽕墙服务器Web平台某保密检查系统端⼝映射检查系统客⼾端
2、朝鲜半岛
2025年朝鲜半岛的⽹络攻击活动频繁，其活动具有⾼度组织性、隐蔽性和战略性。朝鲜半岛的APT组织攻击⽬标⼴泛，涉及⾦融、能源、政府机构等基础设施，以及通过攻击外交、国防相关机构获取战略情报；APT-C-06（DarkHotel）、APT-C-60（伪猎者）等组织主要针对我国政府机构、驻外机构以及涉朝相关⽬标，擅⻓基于供应链攻击，尤其是利⽤⽬标环境特定应⽤0day漏洞进⾏突破；APT-C-26（Lazarus）、APT-C-55（Kimsuky）等组织除了对朝鲜半岛周围政府组织、涉朝机构等⽬标关注，更多攻击是针对虚拟加密货币的窃取活动，对全球⾦融与地缘安全构成持续冲击。朝鲜半岛地区APT组织的⽹络攻击已成为“国家级融资⼯具”，战术从0day漏洞利⽤、多阶段攻击链等复杂⼿法延伸出“社会⼯程 + 内部渗透”，AI深度伪造与供应链攻击成为新趋势，对全球⾦融安全与地缘稳定构成重⼤威胁。图①图②其他各类⽹络攻击武器，包括隧道搭建类武器（Back_Eleven）以及数据窃取类武器（New-Dsz-Implant），形成⼀个层次清晰、功能完备的攻击体系。地区北美2025年度全球⾼级持续性威胁（APT）研究报告我们通过深⼊分析发现，相⽐“⻜⻢”等间谍软件针对苹果⼿机的窃密攻击，“三⻆测量”攻击活动针对苹果⼿机的攻击复杂度与隐蔽性更⾼。该类攻击通常采⽤多阶段、⾼集成的漏洞利⽤链，并植⼊极难检测的持久化后⻔，从⽽给防御与检测⼯作带来极⼤挑战。图①：APT-C-40（NSA）组织攻击流程⽰意图图②：APT-C-78组织攻击流程⽰意图APT-C-78是360⾼级威胁研究院在2025年捕获并披露的北美地区APT组织。该组织表现活跃，针对我国国防军⼯、科研、信息技术、能源、汽⻋制造等⼏个领域重点⽬标策划了针对性攻击活动。APT-C-78组织在2025年的攻击活动中对⽬标单位针对性的挖掘Web漏洞，并利⽤漏洞展开攻击活动。该组织在针对我国某国防军⼯背景相关单位的攻击活动中，针对受害企业⾃⾏开发的Web服务进⾏漏洞挖掘，继⽽利⽤漏洞展开攻击；在获得内⽹相关权限后，进⼀步利⽤某国产安全软件的服务端更新机制，分发专项后⻔程序，实现了对受害单位员⼯主机的批量控制。1.2、APT-C-78公⽹防⽕墙服务器Web平台某保密检查系统端⼝映射检查系统客⼾端
2、朝鲜半岛
2025年朝鲜半岛的⽹络攻击活动频繁，其活动具有⾼度组织性、隐蔽性和战略性。朝鲜半岛的APT组织攻击⽬标⼴泛，涉及⾦融、能源、政府机构等基础设施，以及通过攻击外交、国防相关机构获取战略情报；APT-C-06（DarkHotel）、APT-C-60（伪猎者）等组织主要针对我国政府机构、驻外机构以及涉朝相关⽬标，擅⻓基于供应链攻击，尤其是利⽤⽬标环境特定应⽤0day漏洞进⾏突破；APT-C-26（Lazarus）、APT-C-55（Kimsuky）等组织除了对朝鲜半岛周围政府组织、涉朝机构等⽬标关注，更多攻击是针对虚拟加密货币的窃取活动，对全球⾦融与地缘安全构成持续冲击。朝鲜半岛地区APT组织的⽹络攻击已成为“国家级融资⼯具”，战术从0day漏洞利⽤、多阶段攻击链等复杂⼿法延伸出“社会⼯程 + 内部渗透”，AI深度伪造与供应链攻击成为新趋势，对全球⾦融安全与地缘稳定构成重⼤威胁。图①图②其他各类⽹络攻击武器，包括隧道搭建类武器（Back_Eleven）以及数据窃取类武器（New-Dsz-Implant），形成⼀个层次清晰、功能完备的攻击体系。地区北美2025年度全球⾼级持续性威胁（APT）研究报告2.1、APT-C-06（DarkHotel）APT-C-06（DarkHotel）组织在2025年攻击活动有所增加，技战术迭代升级。该组织的攻击⾏业未有明显变化，对我国的攻击活动受地缘因素影响，集中在朝鲜半岛附近地区的对朝贸易相关单位。2025年上半年，APT-C-06（DarkHotel）组织在攻击活动中，利⽤钓⻥邮件分发包含恶意安装包的附件。攻击者使⽤的诱饵⽂件为“봉사기용전자증명서(2025).zip”（服务⽤电⼦证书）。执⾏该⽂件将引发⼀系列恶意⾏为，最终导致恶意载荷在⽤⼾机器驻留。APT-C-06（DarkHotel）伪造的证书程序在我们捕获的另外⼀起攻击活动中，攻击者通过⽹盘⼯具、聊天⼯具和U盘等⽅式投递伪装成输⼊法以及伪装成压缩⼯具的恶意程序，受影响⽤⼾分布在朝鲜半岛周边地区。经360⾼级威胁研究院分析，这两种恶意程序均与APT-C-06（DarkHotel）组织在历史攻击活动中使⽤的攻击载荷⾼度相似。图②载荷的执⾏流程如下图所⽰：图①图①：APT-C-06（DarkHotel）组织攻击流程图1图②：APT-C-06（DarkHotel）组织攻击流程图2地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告2.1、APT-C-06（DarkHotel）APT-C-06（DarkHotel）组织在2025年攻击活动有所增加，技战术迭代升级。该组织的攻击⾏业未有明显变化，对我国的攻击活动受地缘因素影响，集中在朝鲜半岛附近地区的对朝贸易相关单位。2025年上半年，APT-C-06（DarkHotel）组织在攻击活动中，利⽤钓⻥邮件分发包含恶意安装包的附件。攻击者使⽤的诱饵⽂件为“봉사기용전자증명서(2025).zip”（服务⽤电⼦证书）。执⾏该⽂件将引发⼀系列恶意⾏为，最终导致恶意载荷在⽤⼾机器驻留。APT-C-06（DarkHotel）伪造的证书程序在我们捕获的另外⼀起攻击活动中，攻击者通过⽹盘⼯具、聊天⼯具和U盘等⽅式投递伪装成输⼊法以及伪装成压缩⼯具的恶意程序，受影响⽤⼾分布在朝鲜半岛周边地区。经360⾼级威胁研究院分析，这两种恶意程序均与APT-C-06（DarkHotel）组织在历史攻击活动中使⽤的攻击载荷⾼度相似。图②载荷的执⾏流程如下图所⽰：图①图①：APT-C-06（DarkHotel）组织攻击流程图1图②：APT-C-06（DarkHotel）组织攻击流程图2地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告在2025年下半年，APT-C-06（DarkHotel）在6⽉份使⽤恶意软件展开⼀波攻击后，我们⼜监测到另⼀波相似的攻击活动。在这次攻击活动中，更多类型的恶意软件出现。这些软件通过U盘接⼊，进⽽部署攻击载荷。此次攻击的受影响⽤⼾仍是我国和俄罗斯等周边地缘国家的涉朝相关⼈员。图：APT-C-06（DarkHotel）攻击过程⽰意图时间戳（UTC）2025-02-0201:50:182025-02-0408:55:452025-02-0508:36:512025-02-0514:06:252025-02-05⾄2025-02-172025-02-1703:22:442025-02-1915:29:252025-02-2114:13:352025-02-2114:15:132025-02-2114:16:11事件描述攻击者通过Namecheap注册域名getstockprice.com；Safe（Wallet）开发者遭到社会⼯程攻击，账⼾被⼊侵；攻击者使⽤获取的AWS访问令牌⾸次访问Safe（(Wallet)的AWS环境；攻击者尝试注册⾃⼰的MFA设备，但操作失败；攻击者在Safe（Wallet）的AWS环境中进⾏侦察活动；攻击者开始在AWS环境中执⾏命令和控制活动；攻击者在Safe（Wallet）⽹站中植⼊恶意JS代码；Bybit平台发⽣恶意交易；攻击者删除了Safe（Wallet）⽹站上的恶意JS代码；Bybit平台发⽣资⾦盗窃交易。2.2、APT-C-26（Lazarus）2025年，APT-C-26（Lazarus）组织在全球范围内实施了⾼度复杂且多元化的⽹络攻击活动，核⼼⽬标聚焦于加密货币盗窃与国防、关键基础设施等战略情报收集。整体攻击战术呈现技术融合化、⾏动全球化，深度集成AI技术提升社会⼯程调研和攻击效率。同时利⽤跨平台恶意软件框架实现全场景覆盖，该组织基础设施覆盖全球多地，通过深度匿名，规避溯源。2025年，APT-C-26（Lazarus）组织针对加密货币的攻击频繁，影响极⼤。在2025初，APT-C-26（Lazarus）组织实施了近年来最⼤的加密货币盗窃案，盗窃Bybit公司超过14.6亿美元，其中包括401,347个以太币。地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告在2025年下半年，APT-C-06（DarkHotel）在6⽉份使⽤恶意软件展开⼀波攻击后，我们⼜监测到另⼀波相似的攻击活动。在这次攻击活动中，更多类型的恶意软件出现。这些软件通过U盘接⼊，进⽽部署攻击载荷。此次攻击的受影响⽤⼾仍是我国和俄罗斯等周边地缘国家的涉朝相关⼈员。图：APT-C-06（DarkHotel）攻击过程⽰意图时间戳（UTC）2025-02-0201:50:182025-02-0408:55:452025-02-0508:36:512025-02-0514:06:252025-02-05⾄2025-02-172025-02-1703:22:442025-02-1915:29:252025-02-2114:13:352025-02-2114:15:132025-02-2114:16:11事件描述攻击者通过Namecheap注册域名getstockprice.com；Safe（Wallet）开发者遭到社会⼯程攻击，账⼾被⼊侵；攻击者使⽤获取的AWS访问令牌⾸次访问Safe（(Wallet)的AWS环境；攻击者尝试注册⾃⼰的MFA设备，但操作失败；攻击者在Safe（Wallet）的AWS环境中进⾏侦察活动；攻击者开始在AWS环境中执⾏命令和控制活动；攻击者在Safe（Wallet）⽹站中植⼊恶意JS代码；Bybit平台发⽣恶意交易；攻击者删除了Safe（Wallet）⽹站上的恶意JS代码；Bybit平台发⽣资⾦盗窃交易。2.2、APT-C-26（Lazarus）2025年，APT-C-26（Lazarus）组织在全球范围内实施了⾼度复杂且多元化的⽹络攻击活动，核⼼⽬标聚焦于加密货币盗窃与国防、关键基础设施等战略情报收集。整体攻击战术呈现技术融合化、⾏动全球化，深度集成AI技术提升社会⼯程调研和攻击效率。同时利⽤跨平台恶意软件框架实现全场景覆盖，该组织基础设施覆盖全球多地，通过深度匿名，规避溯源。2025年，APT-C-26（Lazarus）组织针对加密货币的攻击频繁，影响极⼤。在2025初，APT-C-26（Lazarus）组织实施了近年来最⼤的加密货币盗窃案，盗窃Bybit公司超过14.6亿美元，其中包括401,347个以太币。地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告APT-C-26（Lazarus）组织极为擅⻓伪装，构造的虚假企业⾜以以假乱真。他们在攻击活动中投递虚假的项⽬库、NPM库，伪造虚假的⾯试邀约向⽬标软件开发⼈员投放恶意载荷。图①图②图：APT-C-26（Lazarus）组织对加密货币的攻击流程⽰意图图①：APT-C-26（Lazarus）组织伪造的虚假公司官⽹ 图②：APT-C-26（Lazarus）组织虚假的招聘⽹站图③：APT-C-26（Lazarus）组织诱导⾯试⼈员执⾏恶意命令 图④：被攻击者⾃述图①地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告图③360⾼级威胁研究院捕获到了APT-C-26（Lazarus）组织从2025年10⽉开始，针对加密货币⾏业从业⼈员投递的⼀款名为WoobinProxy的复杂多功能后⻔组件。攻击者通常利⽤伪装成招聘⽂档的恶意LNK⽂件进⾏初始投递，通过多层Shellcode加载与远程下载技术释放载荷。该组件具备极⾼的隐蔽性，功能上集成了系统信息收集、键盘记录、屏幕监控、浏览器数据窃取及全盘⽂件枚举等全⾯的后⻔能⼒，并滥⽤ZohoWorkDrive等合法云服务作为C2通信通道，规避安全检测。图④APT-C-26（Lazarus）组织极为擅⻓伪装，构造的虚假企业⾜以以假乱真。他们在攻击活动中投递虚假的项⽬库、NPM库，伪造虚假的⾯试邀约向⽬标软件开发⼈员投放恶意载荷。图①图②图：APT-C-26（Lazarus）组织对加密货币的攻击流程⽰意图图①：APT-C-26（Lazarus）组织伪造的虚假公司官⽹ 图②：APT-C-26（Lazarus）组织虚假的招聘⽹站图③：APT-C-26（Lazarus）组织诱导⾯试⼈员执⾏恶意命令 图④：被攻击者⾃述图①地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告图③360⾼级威胁研究院捕获到了APT-C-26（Lazarus）组织从2025年10⽉开始，针对加密货币⾏业从业⼈员投递的⼀款名为WoobinProxy的复杂多功能后⻔组件。攻击者通常利⽤伪装成招聘⽂档的恶意LNK⽂件进⾏初始投递，通过多层Shellcode加载与远程下载技术释放载荷。该组件具备极⾼的隐蔽性，功能上集成了系统信息收集、键盘记录、屏幕监控、浏览器数据窃取及全盘⽂件枚举等全⾯的后⻔能⼒，并滥⽤ZohoWorkDrive等合法云服务作为C2通信通道，规避安全检测。图④我们在追踪该组织的过程中捕获到该组织使⽤的⼀款功能完备的定制化监控程序，具备完整的远程桌⾯控制能⼒。通过分析发现，该组织中这些被派遣的远程IT⼈员在成功⼊职⽬标企业后，极有可能利⽤此类监控⼯具，在不触发警报的前提下，对所在企业的敏感数据进⾏隐蔽窃取。此类⾏为不仅威胁企业数据安全，更可能为该组织的后续⽹络攻击⾏动积累战略资源。图：APT-C-26（Lazarus）组织攻击流程⽰意图地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告2.3、APT-C-47（旺刺）2025年4⽉，我们监测到APT-C-47（旺刺）组织新的攻击活动。攻击者使⽤ClickOnce技术投递下⼀阶段载荷。我们监测发现APT-C-47（旺刺）组织在攻击活动使⽤了知识产权⾏业相关的专利和商标律师事务所的收费表，以及英国某知识产权监管委员会的仿冒内容。由此推断APT-C-47（旺刺）组织疑似以知识产权为⽀点，对科研相关领域进⾏有计划地攻击渗透。图①：APT-C-47（旺刺）组织仿冒律师机构⼴告图②：APT-C-47（旺刺）组织攻击流程⽰意图此次攻击活动中，攻击者通过ClickOnce部署了两部分载荷，第⼀组载荷的主要功能是将第⼆组攻击组件拷⻉到特定⽬录下，然后执⾏、设置持久化、上传主机信息。第⼆组载荷通过⽩利⽤于内存中装载远控⽊⻢。图②图①我们在追踪该组织的过程中捕获到该组织使⽤的⼀款功能完备的定制化监控程序，具备完整的远程桌⾯控制能⼒。通过分析发现，该组织中这些被派遣的远程IT⼈员在成功⼊职⽬标企业后，极有可能利⽤此类监控⼯具，在不触发警报的前提下，对所在企业的敏感数据进⾏隐蔽窃取。此类⾏为不仅威胁企业数据安全，更可能为该组织的后续⽹络攻击⾏动积累战略资源。图：APT-C-26（Lazarus）组织攻击流程⽰意图地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告2.3、APT-C-47（旺刺）2025年4⽉，我们监测到APT-C-47（旺刺）组织新的攻击活动。攻击者使⽤ClickOnce技术投递下⼀阶段载荷。我们监测发现APT-C-47（旺刺）组织在攻击活动使⽤了知识产权⾏业相关的专利和商标律师事务所的收费表，以及英国某知识产权监管委员会的仿冒内容。由此推断APT-C-47（旺刺）组织疑似以知识产权为⽀点，对科研相关领域进⾏有计划地攻击渗透。图①：APT-C-47（旺刺）组织仿冒律师机构⼴告图②：APT-C-47（旺刺）组织攻击流程⽰意图此次攻击活动中，攻击者通过ClickOnce部署了两部分载荷，第⼀组载荷的主要功能是将第⼆组攻击组件拷⻉到特定⽬录下，然后执⾏、设置持久化、上传主机信息。第⼆组载荷通过⽩利⽤于内存中装载远控⽊⻢。图②图①在2025年，APT-C-60（伪猎者）组织主要使⽤诱饵⽂档，对我国驻外相关机构，以及科研单位等⽬标展开钓⻥攻击；尤其在⼀些重⼤国际活动中，针对性攻击明显增加。该组织储备了⼤量的0day漏洞，历史上多次使⽤0day漏洞开展⽹络攻击。我们通过监测发现APT-C-60（伪猎者）在2024年，该组织利⽤国产⽂档编辑软件的0day漏洞开展了钓⻥攻击；同年，我们还捕获到利⽤某邮件客⼾端0day漏洞针对我国涉朝⽬标展开攻击；在2025年9⽉初，我们⼜发现该组织利⽤国内某邮件服务商0day漏洞对⽬标⼈员开展攻击。这些针对国产应⽤软件漏洞开展的攻击，对国产应⽤软件环境造成不良影响。2.4、APT-C-60（伪猎者）地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-60（伪猎者）组织载荷托管更新统计APT-C-60（伪猎者）组织在2025年攻击活动的⼀⼤特点是使⽤了GitHub作为载荷托管的主要站点。截⽌2025年底我们观测到该组织涉及的27个仓库，进⾏了524次提交。图：APT-C-60（伪猎者）利⽤邮件漏洞攻击流程⽰意图2.5、其他APT组织朝鲜半岛地区APT组织众多、攻击活跃，APT-C-28（ScarCruft）组织、APT-C-55（Kimsuky）组织⻓期针对韩国政府机构及朝鲜半岛事务相关部⻔进⾏⽹络攻击。2.5.1、APT-C-28（ScarCruft）2025年，APT-C-28（ScarCruft）组织将韩国作为核⼼作战⽬标，重点针对涉朝政治、外交、⼈权与学术研究领域个体以及学者、研究员、活动⼈⼠、⼼理辅导师、脱北者⽀援⼈员等⼩圈层；以韩⽂政治/招聘为主题诱饵，仿冒公共机构提升可信度，并逐渐将诱饵主题延伸⾄国家安全与情报相关主题。此外，360⾼级威胁研究院还捕获了APT-C-28（ScarCruft）组织持续使⽤的GoldBackDoor组件针对我国驻外机构相关⽬标进⾏⽹络攻击。在攻击⼿段⽅⾯，该组织显著提升跨平台攻击能⼒，利⽤云服务分发恶意负载，并动态更新C2指令，有效规避IP⿊名单。另外，在攻击过程中还采⽤⽆⽂件攻击、多阶段混淆及虚拟机检测机制躲避安全⼯具检测。在2025年，APT-C-60（伪猎者）组织主要使⽤诱饵⽂档，对我国驻外相关机构，以及科研单位等⽬标展开钓⻥攻击；尤其在⼀些重⼤国际活动中，针对性攻击明显增加。该组织储备了⼤量的0day漏洞，历史上多次使⽤0day漏洞开展⽹络攻击。我们通过监测发现APT-C-60（伪猎者）在2024年，该组织利⽤国产⽂档编辑软件的0day漏洞开展了钓⻥攻击；同年，我们还捕获到利⽤某邮件客⼾端0day漏洞针对我国涉朝⽬标展开攻击；在2025年9⽉初，我们⼜发现该组织利⽤国内某邮件服务商0day漏洞对⽬标⼈员开展攻击。这些针对国产应⽤软件漏洞开展的攻击，对国产应⽤软件环境造成不良影响。2.4、APT-C-60（伪猎者）地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-60（伪猎者）组织载荷托管更新统计APT-C-60（伪猎者）组织在2025年攻击活动的⼀⼤特点是使⽤了GitHub作为载荷托管的主要站点。截⽌2025年底我们观测到该组织涉及的27个仓库，进⾏了524次提交。图：APT-C-60（伪猎者）利⽤邮件漏洞攻击流程⽰意图2.5、其他APT组织朝鲜半岛地区APT组织众多、攻击活跃，APT-C-28（ScarCruft）组织、APT-C-55（Kimsuky）组织⻓期针对韩国政府机构及朝鲜半岛事务相关部⻔进⾏⽹络攻击。2.5.1、APT-C-28（ScarCruft）2025年，APT-C-28（ScarCruft）组织将韩国作为核⼼作战⽬标，重点针对涉朝政治、外交、⼈权与学术研究领域个体以及学者、研究员、活动⼈⼠、⼼理辅导师、脱北者⽀援⼈员等⼩圈层；以韩⽂政治/招聘为主题诱饵，仿冒公共机构提升可信度，并逐渐将诱饵主题延伸⾄国家安全与情报相关主题。此外，360⾼级威胁研究院还捕获了APT-C-28（ScarCruft）组织持续使⽤的GoldBackDoor组件针对我国驻外机构相关⽬标进⾏⽹络攻击。在攻击⼿段⽅⾯，该组织显著提升跨平台攻击能⼒，利⽤云服务分发恶意负载，并动态更新C2指令，有效规避IP⿊名单。另外，在攻击过程中还采⽤⽆⽂件攻击、多阶段混淆及虚拟机检测机制躲避安全⼯具检测。图①：APT-C-28（ScarCruft）组织攻击流程⽰意图图②：APT-C-28（ScarCruft）组织攻击流程⽰意图地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告我们同时监测到APT-C-28（ScarCruft）组织利⽤虚假的Office安装包对受害者展开攻击活动。攻击者通过通信⼯具与⽬标⽤⼾建⽴联系，在取得信任后，发送加密诱饵⽂件和虚假安装包。这些诱饵⽂件在⽤⼾执⾏恶意安装包后被解密，同时恶意安装包会释放后⻔程序，窃取⽤⼾信息。2.5.2、APT-C-55（Kimsuky）2025年，APT-C-55（Kimsuky）组织主要攻击⽬标⾏业涉及韩国政府及与朝鲜半岛事务相关的政府、外交、国家安全机构、教育与研究机构、企业与⾦融等机构，以及加密货币领域。攻击⽬标从⾼价值机构⼈员逐步横向扩展到⼤众平台⽤⼾与加密货币⽣态。同时，我们还观察到该组织⻓期针对我国学术、外交等领域实施定向渗透，攻击活动隐蔽且持续。在2025年，APT-C-55（Kimsuky）组织攻击武器显著更新。在移动端，APT-C-55（Kimsuky）组织以短信与⼆维码为⼊⼝，并结合物流、拍卖、VPN、空投等⾼可信度场景诱导安装，辅以⻔⼾登录仿冒与招聘站点钓⻥，实现凭证批量收集。在战术上延续⻥叉式邮件与LNK/HTA链路相结合的⽅式，C2服务采⽤HTTP POST与ID指令协议、Base64+XOR通信混淆实现通信保护；同时，还利⽤GitHub/Dropbox等云基础设施作为访问跳板。在360⾼级威胁研究院捕获到的APT-C-55（Kimsuky）针对韩国地区的攻击⾏动中。该组织通过下发伪装成bandizip的安装包远程加载恶意代码执⾏，释放VMP壳的HappyDoor⽊⻢⽤于窃密⾏动。我们还捕获了APT-C-28（ScarCruft）组织针对韩国政府及企业⼈员、朝鲜⼈权组织和脱北者的多次威胁活动。在这些活动中攻击者通过分发LNK恶意⽂件，采⽤⽆⽂件技术，向⽬标系统植⼊RokRat恶意软件。图①图②我们整理并总结了APT-C-55（Kimsuky）组织的三条主要攻击链路，发现其在战术⼿法、基础设施与载荷特征上⾼度关联，具备统⼀的⾏动模式与技术传承，因此我们对其进⾏统⼀归因与持续追踪。图：APT-C-55（Kimsuky）组织攻击流程⽰意图图①：APT-C-28（ScarCruft）组织攻击流程⽰意图图②：APT-C-28（ScarCruft）组织攻击流程⽰意图地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告我们同时监测到APT-C-28（ScarCruft）组织利⽤虚假的Office安装包对受害者展开攻击活动。攻击者通过通信⼯具与⽬标⽤⼾建⽴联系，在取得信任后，发送加密诱饵⽂件和虚假安装包。这些诱饵⽂件在⽤⼾执⾏恶意安装包后被解密，同时恶意安装包会释放后⻔程序，窃取⽤⼾信息。2.5.2、APT-C-55（Kimsuky）2025年，APT-C-55（Kimsuky）组织主要攻击⽬标⾏业涉及韩国政府及与朝鲜半岛事务相关的政府、外交、国家安全机构、教育与研究机构、企业与⾦融等机构，以及加密货币领域。攻击⽬标从⾼价值机构⼈员逐步横向扩展到⼤众平台⽤⼾与加密货币⽣态。同时，我们还观察到该组织⻓期针对我国学术、外交等领域实施定向渗透，攻击活动隐蔽且持续。在2025年，APT-C-55（Kimsuky）组织攻击武器显著更新。在移动端，APT-C-55（Kimsuky）组织以短信与⼆维码为⼊⼝，并结合物流、拍卖、VPN、空投等⾼可信度场景诱导安装，辅以⻔⼾登录仿冒与招聘站点钓⻥，实现凭证批量收集。在战术上延续⻥叉式邮件与LNK/HTA链路相结合的⽅式，C2服务采⽤HTTP POST与ID指令协议、Base64+XOR通信混淆实现通信保护；同时，还利⽤GitHub/Dropbox等云基础设施作为访问跳板。在360⾼级威胁研究院捕获到的APT-C-55（Kimsuky）针对韩国地区的攻击⾏动中。该组织通过下发伪装成bandizip的安装包远程加载恶意代码执⾏，释放VMP壳的HappyDoor⽊⻢⽤于窃密⾏动。我们还捕获了APT-C-28（ScarCruft）组织针对韩国政府及企业⼈员、朝鲜⼈权组织和脱北者的多次威胁活动。在这些活动中攻击者通过分发LNK恶意⽂件，采⽤⽆⽂件技术，向⽬标系统植⼊RokRat恶意软件。图①图②我们整理并总结了APT-C-55（Kimsuky）组织的三条主要攻击链路，发现其在战术⼿法、基础设施与载荷特征上⾼度关联，具备统⼀的⾏动模式与技术传承，因此我们对其进⾏统⼀归因与持续追踪。图：APT-C-55（Kimsuky）组织攻击流程⽰意图
3、中国台湾省
2025年6⽉，国家计算机病毒应急处理中⼼在《“蚍蜉撼树”盓台⺠进党当局“资通电军”⿊客组织⽹络攻击活动调查报告》中披露了中国台湾省⺠进党当局⽀持的⿊客组织，充当反华势⼒⽖⽛，⻓期针对我国政府机构、科研单位、⾼等院校、国防科技企业等实施⽹络间谍活动。⽹络攻击渗透成为“台独”和外部⼲涉势⼒的政治⼯具，对我国⽹络空间安全构成多重威胁。2025年台海局势复杂严峻，充满挑战。在此期间，我国台湾省地区APT-C-01（毒云藤）、APT-C-67（乌苏拉）等⽹络组织持续活跃，意图通过⽹络攻击窃取国家重要政策、国防军⼯技术、尖端科技成果、国⺠经济运⾏数据等敏感数据信息；APT-C-64（匿名者64）组织还妄图通过攻击数字媒体服务系统，破坏社会公共秩序，制造混乱。我国统⼀的⼤势不可阻挡，在通过法律、军事等⼿段坚决反制“台独”分裂⾏径的同时，也需不断警惕和防御来⾃⽹络空间的渗透与攻击活动。地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告图①：DropBox链路攻击流程⽰意图图②：Github链路攻击流程⽰意图图③：服务器链路攻击流程⽰意图图②图①图③
3、中国台湾省
2025年6⽉，国家计算机病毒应急处理中⼼在《“蚍蜉撼树”盓台⺠进党当局“资通电军”⿊客组织⽹络攻击活动调查报告》中披露了中国台湾省⺠进党当局⽀持的⿊客组织，充当反华势⼒⽖⽛，⻓期针对我国政府机构、科研单位、⾼等院校、国防科技企业等实施⽹络间谍活动。⽹络攻击渗透成为“台独”和外部⼲涉势⼒的政治⼯具，对我国⽹络空间安全构成多重威胁。2025年台海局势复杂严峻，充满挑战。在此期间，我国台湾省地区APT-C-01（毒云藤）、APT-C-67（乌苏拉）等⽹络组织持续活跃，意图通过⽹络攻击窃取国家重要政策、国防军⼯技术、尖端科技成果、国⺠经济运⾏数据等敏感数据信息；APT-C-64（匿名者64）组织还妄图通过攻击数字媒体服务系统，破坏社会公共秩序，制造混乱。我国统⼀的⼤势不可阻挡，在通过法律、军事等⼿段坚决反制“台独”分裂⾏径的同时，也需不断警惕和防御来⾃⽹络空间的渗透与攻击活动。地区朝鲜半岛2025年度全球⾼级持续性威胁（APT）研究报告图①：DropBox链路攻击流程⽰意图图②：Github链路攻击流程⽰意图图③：服务器链路攻击流程⽰意图图②图①图③3.1、APT-C-01（毒云藤）2025年，APT-C-01（毒云藤）组织持续通过针对性钓⻥攻击，对我国政府机构、国防军⼯、科研教育等多个重要⾏业领域展开攻击窃密。在《反分裂国家法》颁布20周年之际，360监测到APT-C-01（毒云藤）组织利⽤国内某头部邮箱平台0day漏洞实施⽹络钓⻥攻击。当⽤⼾访问相关钓⻥⻚⾯链接后⽆需⽤⼾其他操作，⽬标⽤⼾邮箱登录凭证等信息即被攻击者窃取。该攻击⼿法较之前传统钓⻥窃密更加隐蔽，成功率更⾼。2025年⾥，我们观测到APT-C-01（毒云藤）组织钓⻥攻击活动中，钓⻥⽹站部署变得更加隐蔽。攻击者使⽤短链接服务进⾏中转，以短链接服务的时效性让攻击者的服务器更加隐蔽。图①：APT-C-01（毒云藤）组织攻击流程⽰意图1图②：APT-C-01（毒云藤）组织攻击流程⽰意图2图①图②图①：APT-C-01（毒云藤）组织近期使⽤钓⻥⽂档主题关键词图②：APT-C-01（毒云藤）组织近期使⽤的钓⻥⽂档图①图②地区中国台湾省2025年度全球⾼级持续性威胁（APT）研究报告3.1、APT-C-01（毒云藤）2025年，APT-C-01（毒云藤）组织持续通过针对性钓⻥攻击，对我国政府机构、国防军⼯、科研教育等多个重要⾏业领域展开攻击窃密。在《反分裂国家法》颁布20周年之际，360监测到APT-C-01（毒云藤）组织利⽤国内某头部邮箱平台0day漏洞实施⽹络钓⻥攻击。当⽤⼾访问相关钓⻥⻚⾯链接后⽆需⽤⼾其他操作，⽬标⽤⼾邮箱登录凭证等信息即被攻击者窃取。该攻击⼿法较之前传统钓⻥窃密更加隐蔽，成功率更⾼。2025年⾥，我们观测到APT-C-01（毒云藤）组织钓⻥攻击活动中，钓⻥⽹站部署变得更加隐蔽。攻击者使⽤短链接服务进⾏中转，以短链接服务的时效性让攻击者的服务器更加隐蔽。图①：APT-C-01（毒云藤）组织攻击流程⽰意图1图②：APT-C-01（毒云藤）组织攻击流程⽰意图2图①图②图①：APT-C-01（毒云藤）组织近期使⽤钓⻥⽂档主题关键词图②：APT-C-01（毒云藤）组织近期使⽤的钓⻥⽂档图①图②地区中国台湾省2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-01（毒云藤）组织近期使⽤的钓⻥⽹站3.2、APT-C-64（匿名者64）APT-C-64（匿名者64）组织攻击⽬标主要涉及我国⼤陆及港澳地区政府和企事业单位的数字媒体服务系统，以及相关⽹站、⼾外电⼦屏幕、⽹络电视等，攻击⽬的是通过篡改系统播放政治敏感内容，制造舆论效果，进⽽扰乱社会公共秩序。攻击者⾸先对特定数字媒体发布管理系统（Digital Media System，简称DMS）服务的端⼝进⾏扫描探测，识别我国⼤陆以及港澳地区单位的DMS系统进⾏攻击，在获取控制权限后将有政治⽬的的煽动和诋毁视频发布到⽹⻚。⽬前该组织声称已经攻破的“官⽅⽹站”实际⼤都为⼭寨版的官⽅⽹站或⻓期⽆⼈运营的⼦⽹站，暂未发现gov.cn、edu.cn、ac.cn、mil.cn等⼀级域名⽹站被攻击。其典型攻击技战术下图所⽰：图：APT-C-64（匿名者64）组织攻击流程图地区中国台湾省2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-01（毒云藤）组织近期使⽤的钓⻥⽹站3.2、APT-C-64（匿名者64）APT-C-64（匿名者64）组织攻击⽬标主要涉及我国⼤陆及港澳地区政府和企事业单位的数字媒体服务系统，以及相关⽹站、⼾外电⼦屏幕、⽹络电视等，攻击⽬的是通过篡改系统播放政治敏感内容，制造舆论效果，进⽽扰乱社会公共秩序。攻击者⾸先对特定数字媒体发布管理系统（Digital Media System，简称DMS）服务的端⼝进⾏扫描探测，识别我国⼤陆以及港澳地区单位的DMS系统进⾏攻击，在获取控制权限后将有政治⽬的的煽动和诋毁视频发布到⽹⻚。⽬前该组织声称已经攻破的“官⽅⽹站”实际⼤都为⼭寨版的官⽅⽹站或⻓期⽆⼈运营的⼦⽹站，暂未发现gov.cn、edu.cn、ac.cn、mil.cn等⼀级域名⽹站被攻击。其典型攻击技战术下图所⽰：图：APT-C-64（匿名者64）组织攻击流程图地区中国台湾省2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-65（⾦叶萝）组织攻击流程⽰意图APT-C-65（⾦叶萝）组织⾃2020年以来，持续针对我国防军⼯、航空航天、能源等关基单位进⾏⽹络攻击渗透，⽬标窃取我关键信息基础设施重要数据。APT-C-65（⾦叶萝）组织攻击活动与台当局领导⼈的所谓“外事活动”时间紧密关联。360通过对该组织持续监测发现，该组织分别在2022年8⽉美国国会众议⻓南希·佩洛西窜访中国台湾、2023年8⽉⺠进党代表赖清德窜访美国、2024年4⽉台湾省数字事务部参加美国⽹络安全演习期间，以及2024年12⽉初赖清德再次窜美⼏个时间节点前后，对我国防军⼯、政府机构、能源、交通运输等领域，特别其中的航空航天、港⼝、海事等相关单位，实施了密集的⽹络攻击和情报刺探活动。APT-C-65（⾦叶萝）组织典型攻击⼿段是通过Web系统漏洞利⽤进⾏渗透，然后部署恶意软件窃取敏感数据。主要涉及国产电⼦⽂档安全管理系统、国产OA系统、国产ERP系统和国产办公系统等相关软件漏洞。攻击活动流程先是通过Web应⽤系统漏洞控制相关主机系统；然后通过调⽤Windows系统程序InstallUtil.exe来规避进程⽩名单检查，以隐藏恶意代码的执⾏。3.3、APT-C-65（⾦叶萝）图：APT-C-67（乌苏拉）组织攻击流程图3.4、APT-C-67（乌苏拉）APT-C-67（乌苏拉）是⼀个在中国台湾省地区近年来逐渐活跃的APT组织。该组织主要针对中国⼤陆和港澳地区的物联⽹系统，特别是视频监控系统，妄图通过控制⼤量视频监控设备，持续窃取我⽹络及地理空间情报数据。该组织典型⽹络攻击技战术如下图所⽰。APT-C-67组织常态化借助公开⽹络资产测绘平台或通过批量⽹络地址扫描探测，获取我国境内暴露在互联⽹上存在已知漏洞的⽹络安防系统、⽹络摄像机等物联⽹系统的⽹络地址；进⼀步尝试利⽤已知漏洞⾮法获取监控系统后台控制权限，部署远程控制⼯具或⽊⻢，逐步完成内⽹渗透，最终获得安防系统的全⾯控制权限和数据访问权限，利⽤安防系统的实时视频和历史数据对⽬标所在区域实施情报收集。2025年4⽉，该组织对我国某科技公司实施了⽹络攻击，通过绕过该公司⽹络防护装置，⼊侵⾃助设备后台系统，通过横向移动渗透，控制了该公司多台内⽹设备，进⼀步向这些设备后台系统上传多份恶地区中国台湾省2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-65（⾦叶萝）组织攻击流程⽰意图APT-C-65（⾦叶萝）组织⾃2020年以来，持续针对我国防军⼯、航空航天、能源等关基单位进⾏⽹络攻击渗透，⽬标窃取我关键信息基础设施重要数据。APT-C-65（⾦叶萝）组织攻击活动与台当局领导⼈的所谓“外事活动”时间紧密关联。360通过对该组织持续监测发现，该组织分别在2022年8⽉美国国会众议⻓南希·佩洛西窜访中国台湾、2023年8⽉⺠进党代表赖清德窜访美国、2024年4⽉台湾省数字事务部参加美国⽹络安全演习期间，以及2024年12⽉初赖清德再次窜美⼏个时间节点前后，对我国防军⼯、政府机构、能源、交通运输等领域，特别其中的航空航天、港⼝、海事等相关单位，实施了密集的⽹络攻击和情报刺探活动。APT-C-65（⾦叶萝）组织典型攻击⼿段是通过Web系统漏洞利⽤进⾏渗透，然后部署恶意软件窃取敏感数据。主要涉及国产电⼦⽂档安全管理系统、国产OA系统、国产ERP系统和国产办公系统等相关软件漏洞。攻击活动流程先是通过Web应⽤系统漏洞控制相关主机系统；然后通过调⽤Windows系统程序InstallUtil.exe来规避进程⽩名单检查，以隐藏恶意代码的执⾏。3.3、APT-C-65（⾦叶萝）图：APT-C-67（乌苏拉）组织攻击流程图3.4、APT-C-67（乌苏拉）APT-C-67（乌苏拉）是⼀个在中国台湾省地区近年来逐渐活跃的APT组织。该组织主要针对中国⼤陆和港澳地区的物联⽹系统，特别是视频监控系统，妄图通过控制⼤量视频监控设备，持续窃取我⽹络及地理空间情报数据。该组织典型⽹络攻击技战术如下图所⽰。APT-C-67组织常态化借助公开⽹络资产测绘平台或通过批量⽹络地址扫描探测，获取我国境内暴露在互联⽹上存在已知漏洞的⽹络安防系统、⽹络摄像机等物联⽹系统的⽹络地址；进⼀步尝试利⽤已知漏洞⾮法获取监控系统后台控制权限，部署远程控制⼯具或⽊⻢，逐步完成内⽹渗透，最终获得安防系统的全⾯控制权限和数据访问权限，利⽤安防系统的实时视频和历史数据对⽬标所在区域实施情报收集。2025年4⽉，该组织对我国某科技公司实施了⽹络攻击，通过绕过该公司⽹络防护装置，⼊侵⾃助设备后台系统，通过横向移动渗透，控制了该公司多台内⽹设备，进⼀步向这些设备后台系统上传多份恶地区中国台湾省2025年度全球⾼级持续性威胁（APT）研究报告
4、东南亚
2025年中国与东南亚国家命运共同体建设进⼊务实推进的新阶段。东南亚各国对海洋问题的政治态度强调对话合作、反对域外⼲涉的总体特征。个别国家虽拥有⼴泛海洋权益诉求，但近年明显转向经济优先、安全谨慎策略。区域APT组织的攻击⽅向也是以窃取我国国际关系、海事研究、经济贸易情报为主。4.1、APT-C-00（海莲花）APT-C-00（海莲花）组织在利⽤某安全⼚商终端防护程序的攻击活动中，在攻克的终端准⼊系统服务器上，基于终端服务程序执⾏安全管理命令的渠道下发后⻔模块，然后加载APT-C-00（海莲花）的特种⽊⻢。本次攻击⾃5⽉持续⾄12⽉期间，APT-C-00（海莲花）曾多次投递第三⽅⽂件索引⼯具，挑选所需⽂件加密打包回传⾄服务器。同期，我们还观察到APT-C-00（海莲花）组织为躲避安全软件查杀⽽下发的轻量化Python后⻔。APT-C-00（海莲花）组织攻击频繁，以我国国际关系、海事研究、经济贸易相关的科研及教育⼯作者作为主要攻击⽬标。2025年我们监测到APT-C-00（海莲花）组织对存在可利⽤PHP-CGI RCE漏洞（CVE-2024-4577）的服务器展开批量攻击。攻击者通过此漏洞上传后⻔并实现⻓期驻留。图①图②图①：APT-C-00（海莲花）组织利⽤RCE漏洞攻击流程⽰意图图②：APT-C-00（海莲花）组织利⽤终端防护漏洞攻击流程图地区东南亚2025年度全球⾼级持续性威胁（APT）研究报告
4、东南亚
2025年中国与东南亚国家命运共同体建设进⼊务实推进的新阶段。东南亚各国对海洋问题的政治态度强调对话合作、反对域外⼲涉的总体特征。个别国家虽拥有⼴泛海洋权益诉求，但近年明显转向经济优先、安全谨慎策略。区域APT组织的攻击⽅向也是以窃取我国国际关系、海事研究、经济贸易情报为主。4.1、APT-C-00（海莲花）APT-C-00（海莲花）组织在利⽤某安全⼚商终端防护程序的攻击活动中，在攻克的终端准⼊系统服务器上，基于终端服务程序执⾏安全管理命令的渠道下发后⻔模块，然后加载APT-C-00（海莲花）的特种⽊⻢。本次攻击⾃5⽉持续⾄12⽉期间，APT-C-00（海莲花）曾多次投递第三⽅⽂件索引⼯具，挑选所需⽂件加密打包回传⾄服务器。同期，我们还观察到APT-C-00（海莲花）组织为躲避安全软件查杀⽽下发的轻量化Python后⻔。APT-C-00（海莲花）组织攻击频繁，以我国国际关系、海事研究、经济贸易相关的科研及教育⼯作者作为主要攻击⽬标。2025年我们监测到APT-C-00（海莲花）组织对存在可利⽤PHP-CGI RCE漏洞（CVE-2024-4577）的服务器展开批量攻击。攻击者通过此漏洞上传后⻔并实现⻓期驻留。图①图②图①：APT-C-00（海莲花）组织利⽤RCE漏洞攻击流程⽰意图图②：APT-C-00（海莲花）组织利⽤终端防护漏洞攻击流程图地区东南亚2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-00（海莲花）组织使⽤的钓⻥邮件2025年，APT-C-00（海莲花）组织将我国国际关系、海事研究、经济贸易相关的科研及教育⼯作者作为主要攻击⽬标，制作和投递与之相关会议通知、技术资料、⾏业报告等钓⻥诱饵⽂件。受害⽤⼾在运⾏诱饵⽂件后，攻击者会根据⽬标价值决定是否保持⻓期控制权或横向移动。被该组织⻓期驻留的机器会被定期窃取重要⽂件。图②图②图①图①：APT-C-00（海莲花）组织使⽤的诱饵⽂档图②：APT-C-00（海莲花）组织攻击载荷⽂件地区东南亚2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-00（海莲花）组织使⽤的钓⻥邮件2025年，APT-C-00（海莲花）组织将我国国际关系、海事研究、经济贸易相关的科研及教育⼯作者作为主要攻击⽬标，制作和投递与之相关会议通知、技术资料、⾏业报告等钓⻥诱饵⽂件。受害⽤⼾在运⾏诱饵⽂件后，攻击者会根据⽬标价值决定是否保持⻓期控制权或横向移动。被该组织⻓期驻留的机器会被定期窃取重要⽂件。图②图②图①图①：APT-C-00（海莲花）组织使⽤的诱饵⽂档图②：APT-C-00（海莲花）组织攻击载荷⽂件地区东南亚2025年度全球⾼级持续性威胁（APT）研究报告⾃2024年APT-C-00（海莲花）组织在GitHub平台发布包含后⻔的安全⼯具项⽬钓⻥后，2025年APT-C-00（海莲花）组织则将⽬标转向PyPI平台，发布模仿常⽤模块包名的项⽬试图感染开发⼈员。本次投毒最早可追溯⾄2025年3⽉，攻击者上传的测试项⽬包含针对Windows和Linux双平台的后⻔模块。近年来随着国家信创战略的深⼊推进，党政机关及关键⾏业的信息系统国产化替代加速落地。国产化进程在提升⾃主可控能⼒的同时，也吸引了APT-C-00（海莲花）组织的⾼度关注，针对国产化系统的定向攻击呈现显著上升趋势。
5、南亚
2025年南亚呈现“政治动荡加剧、经济分化明显、军事对抗升级”的格局，印巴冲突全域化、多国政局洗牌、经济复苏乏⼒与军备竞赛提速叠加，外部势⼒深度介⼊，地区稳定性显著下滑。同时，我国在南亚地区的⼀带⼀路相关项⽬建设，以及能源基础设施的重⼤⼯程对区域经贸关系有重⼤影响，南亚地区APT组织对我国在区域⽔利能源、驻外机构也极为关注。2025年南亚⽅向APT组织攻击表现依旧⼗分活跃。其结合实时热点话题，针对周边国家持续进⾏了多种攻击活动。在2025年，360⾼级威胁研究院披露了⼀个新的南亚区域背景APT组织，APT-C-76（银环蛇）。该组织先后对我国国内⽂娱产业、教育领域发起攻击。图①：APT-C-00（海莲花）组织针对国产化系统的脚本图②：APT-C-00（海莲花）组织针对国产化系统的钓⻥⽂档图①图②地区东南亚2025年度全球⾼级持续性威胁（APT）研究报告5.1、APT-C-08（蔓灵花）2025年，APT-C-08（蔓灵花）组织的整体活动保持活跃，主要围绕我国外交、政府及国际关系实体等展开渗透，不断进⾏情报窃取攻击。特别是在国际热点事件期间，该组织对我国驻外相关机构的攻击活动明显。尤其2025年7、8⽉份期间，针对我国中印边境相关地区省市政府机构发起⼤规模集中攻击活动，以⽔利能源、⼯程建设等基础设施建设相关单位为⾸要⽬标。APT-C-08（蔓灵花）组织在常⽤的攻击⼿法外，还不断地更新攻击⼿段，持续扩充⾃⼰的武器库。我们在2025年公开披露了该组织的新的攻击武器“gmRAT”。⾃2024年APT-C-00（海莲花）组织在GitHub平台发布包含后⻔的安全⼯具项⽬钓⻥后，2025年APT-C-00（海莲花）组织则将⽬标转向PyPI平台，发布模仿常⽤模块包名的项⽬试图感染开发⼈员。本次投毒最早可追溯⾄2025年3⽉，攻击者上传的测试项⽬包含针对Windows和Linux双平台的后⻔模块。近年来随着国家信创战略的深⼊推进，党政机关及关键⾏业的信息系统国产化替代加速落地。国产化进程在提升⾃主可控能⼒的同时，也吸引了APT-C-00（海莲花）组织的⾼度关注，针对国产化系统的定向攻击呈现显著上升趋势。
5、南亚
2025年南亚呈现“政治动荡加剧、经济分化明显、军事对抗升级”的格局，印巴冲突全域化、多国政局洗牌、经济复苏乏⼒与军备竞赛提速叠加，外部势⼒深度介⼊，地区稳定性显著下滑。同时，我国在南亚地区的⼀带⼀路相关项⽬建设，以及能源基础设施的重⼤⼯程对区域经贸关系有重⼤影响，南亚地区APT组织对我国在区域⽔利能源、驻外机构也极为关注。2025年南亚⽅向APT组织攻击表现依旧⼗分活跃。其结合实时热点话题，针对周边国家持续进⾏了多种攻击活动。在2025年，360⾼级威胁研究院披露了⼀个新的南亚区域背景APT组织，APT-C-76（银环蛇）。该组织先后对我国国内⽂娱产业、教育领域发起攻击。图①：APT-C-00（海莲花）组织针对国产化系统的脚本图②：APT-C-00（海莲花）组织针对国产化系统的钓⻥⽂档图①图②地区东南亚2025年度全球⾼级持续性威胁（APT）研究报告5.1、APT-C-08（蔓灵花）2025年，APT-C-08（蔓灵花）组织的整体活动保持活跃，主要围绕我国外交、政府及国际关系实体等展开渗透，不断进⾏情报窃取攻击。特别是在国际热点事件期间，该组织对我国驻外相关机构的攻击活动明显。尤其2025年7、8⽉份期间，针对我国中印边境相关地区省市政府机构发起⼤规模集中攻击活动，以⽔利能源、⼯程建设等基础设施建设相关单位为⾸要⽬标。APT-C-08（蔓灵花）组织在常⽤的攻击⼿法外，还不断地更新攻击⼿段，持续扩充⾃⼰的武器库。我们在2025年公开披露了该组织的新的攻击武器“gmRAT”。图①：dotm样本⽚段⽰意图 图②：APT-C-（蔓灵花）攻击流程⽰意图5.2、APT-C-09（摩诃草）APT-C-09（摩诃草）组织在2025年攻击活动频繁，针对我国发起多次钓⻥邮件攻击。其主要攻击⽅向为⾼校、科研机构、⽓象与灾害研究实验室等单位，覆盖了教育、科研、政府等相关单位和⼯作⼈员图：APT-C-（摩诃草）组织诱饵⽂档⽰例除了上述的攻击⼿法外，APT-C-08（蔓灵花）组织还会通过伪造应⽤程序进⾏⽹络钓⻥⾏动。⽤⼾点击恶意应⽤程序之后，该应⽤可远程下载后续的恶意载荷。这些恶意载荷会利⽤“计划任务”周期性地回传受影响⽤⼾的机器信息，通知远程服务器下发后续攻击组件。地区南亚2025年度全球⾼级持续性威胁（APT）研究报告2025年还⾸次发现APT-C-08（蔓灵花）组织利⽤WinRAR漏洞CVE-2025-6218（WinRAR⽬录穿越漏洞）实施⽹络攻击。通过构造特殊的⽂件路径，将恶意⽂件Normal.dotm释放到Office模板⽬录下，当⽤⼾打开任意word⽂档时，便会加载“Normal.dotm”⽂件，从⽽触发恶意代码。图①图②图①：dotm样本⽚段⽰意图 图②：APT-C-（蔓灵花）攻击流程⽰意图5.2、APT-C-09（摩诃草）APT-C-09（摩诃草）组织在2025年攻击活动频繁，针对我国发起多次钓⻥邮件攻击。其主要攻击⽅向为⾼校、科研机构、⽓象与灾害研究实验室等单位，覆盖了教育、科研、政府等相关单位和⼯作⼈员图：APT-C-（摩诃草）组织诱饵⽂档⽰例除了上述的攻击⼿法外，APT-C-08（蔓灵花）组织还会通过伪造应⽤程序进⾏⽹络钓⻥⾏动。⽤⼾点击恶意应⽤程序之后，该应⽤可远程下载后续的恶意载荷。这些恶意载荷会利⽤“计划任务”周期性地回传受影响⽤⼾的机器信息，通知远程服务器下发后续攻击组件。地区南亚2025年度全球⾼级持续性威胁（APT）研究报告2025年还⾸次发现APT-C-08（蔓灵花）组织利⽤WinRAR漏洞CVE-2025-6218（WinRAR⽬录穿越漏洞）实施⽹络攻击。通过构造特殊的⽂件路径，将恶意⽂件Normal.dotm释放到Office模板⽬录下，当⽤⼾打开任意word⽂档时，便会加载“Normal.dotm”⽂件，从⽽触发恶意代码。图①图②图：APT-C-09（摩诃草）组织攻击流程⽰意图5.3、APT-C-48（CNC）APT-C-48（CNC）组织在2025年的主要攻击⼿法为使⽤“XXX的简历”为话题的钓⻥活动。如果受害者通过移动设备打开相关钓⻥连接，还会提⽰“设备不⽀持”等相关提⽰。图①：⾮Win设备点击钓⻥连接提⽰图②：⽊⻢⽰例图①图②⽤⼾根据提⽰使⽤Windows设备点击钓⻥链接，则会下载钓⻥⽊⻢。该组织在2025年钓⻥攻击活动中的钓⻥链接使⽤了仿冒国内外知名邮箱、云盘（云）等常⻅应⽤的域名，以增加其点击成功率。其钓⻥攻击⼿法是通过钓⻥邮件下发伪装成PDF的LNK⽂件，当⽤⼾运⾏⽂件后会执⾏内嵌的PS指令下载后续恶意载荷，并创建计划任务来保持感染链稳定。除上述的攻击⼿段外，我们还捕获到⼀类基于Mythic C2框架的新型载荷。该组织通过钓⻥邮件下发MSC⽂档；当⽤⼾打开MSC⽂档后会远程加载⼀个html⽂件；⽂件内嵌混淆的JScript代码，JScript脚本执⾏时会从远程下载诱饵⽂档，同时释放恶意dll，并通过⽩利⽤的⽅式加载Mythic C2框架组件构建的恶意dll。地区南亚2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-09（摩诃草）组织攻击流程⽰意图5.3、APT-C-48（CNC）APT-C-48（CNC）组织在2025年的主要攻击⼿法为使⽤“XXX的简历”为话题的钓⻥活动。如果受害者通过移动设备打开相关钓⻥连接，还会提⽰“设备不⽀持”等相关提⽰。图①：⾮Win设备点击钓⻥连接提⽰图②：⽊⻢⽰例图①图②⽤⼾根据提⽰使⽤Windows设备点击钓⻥链接，则会下载钓⻥⽊⻢。该组织在2025年钓⻥攻击活动中的钓⻥链接使⽤了仿冒国内外知名邮箱、云盘（云）等常⻅应⽤的域名，以增加其点击成功率。其钓⻥攻击⼿法是通过钓⻥邮件下发伪装成PDF的LNK⽂件，当⽤⼾运⾏⽂件后会执⾏内嵌的PS指令下载后续恶意载荷，并创建计划任务来保持感染链稳定。除上述的攻击⼿段外，我们还捕获到⼀类基于Mythic C2框架的新型载荷。该组织通过钓⻥邮件下发MSC⽂档；当⽤⼾打开MSC⽂档后会远程加载⼀个html⽂件；⽂件内嵌混淆的JScript代码，JScript脚本执⾏时会从远程下载诱饵⽂档，同时释放恶意dll，并通过⽩利⽤的⽅式加载Mythic C2框架组件构建的恶意dll。地区南亚2025年度全球⾼级持续性威胁（APT）研究报告恶意域名cloudauwei[.]comcloudhauwei[.]commailcloud163[.]comcoremailcloucl[.]commailcloucl[.]comqq.ernailcloud[.]com仿冒的⽬标应⽤华为云华为云163邮箱Coremail邮箱MailCloud邮箱qq邮箱5.4、APT-C-76（银环蛇）APT-C-76（银环蛇）是2025年360最新披露的具有南亚背景的APT组织。该组织于2024年年末开始针对我国和巴基斯坦等地缘周边国家展开攻击活动，⽬前呈现⾼度活跃状态。其主要通过投递⻥叉钓⻥邮件的⽅式诱导⽤⼾⾃⾏打开恶意攻击载荷以建⽴落脚点，对受影响设备进⾏持续控制与窃密。依托于360安全⼤模型，我们发现APT-C-76（银环蛇）组织先后对我国国内⽂娱产业、教育领域发起攻击。其中对教育领域的攻击使⽤了WinRAR在野0day漏洞。⽬前发现该组织有三种主要攻击⼿法。三种⼿法主要的不同之处是攻击初始的攻击载荷投递和加载过程。第⼀种攻击⼿法中，攻击者通过投递带有伪装为pdf⽂档的恶意LNK⽂件、具备ADS流的恶意⽂件的压缩包作为初始访问阶段攻击载荷以诱导⽤⼾执⾏恶意LNK⽂件以触发具有ADS流的恶意⽂件执⾏。第⼆种攻击⼿法中，攻击者通过投递带有恶意LNK⽂件、VBS脚本、诱饵pdf⽂档以及⽩加⿊组件的压缩包作为初始访问阶段攻击载荷诱导⽤⼾打开。第三种攻击⼿法中，攻击者充分表现出对新型攻击技术的快速实战转化能⼒，利⽤披露不久的CVE-2025-8088漏洞构建恶意压缩包作为初始访问阶段攻击载荷，诱导⽤⼾打开并解压该压缩包以触发漏洞利⽤。图①图②图①：APT-C-76（银环蛇）攻击流程⽰意图⼀图②：APT-C-76（银环蛇）攻击流程⽰意图⼆地区南亚2025年度全球⾼级持续性威胁（APT）研究报告恶意域名cloudauwei[.]comcloudhauwei[.]commailcloud163[.]comcoremailcloucl[.]commailcloucl[.]comqq.ernailcloud[.]com仿冒的⽬标应⽤华为云华为云163邮箱Coremail邮箱MailCloud邮箱qq邮箱5.4、APT-C-76（银环蛇）APT-C-76（银环蛇）是2025年360最新披露的具有南亚背景的APT组织。该组织于2024年年末开始针对我国和巴基斯坦等地缘周边国家展开攻击活动，⽬前呈现⾼度活跃状态。其主要通过投递⻥叉钓⻥邮件的⽅式诱导⽤⼾⾃⾏打开恶意攻击载荷以建⽴落脚点，对受影响设备进⾏持续控制与窃密。依托于360安全⼤模型，我们发现APT-C-76（银环蛇）组织先后对我国国内⽂娱产业、教育领域发起攻击。其中对教育领域的攻击使⽤了WinRAR在野0day漏洞。⽬前发现该组织有三种主要攻击⼿法。三种⼿法主要的不同之处是攻击初始的攻击载荷投递和加载过程。第⼀种攻击⼿法中，攻击者通过投递带有伪装为pdf⽂档的恶意LNK⽂件、具备ADS流的恶意⽂件的压缩包作为初始访问阶段攻击载荷以诱导⽤⼾执⾏恶意LNK⽂件以触发具有ADS流的恶意⽂件执⾏。第⼆种攻击⼿法中，攻击者通过投递带有恶意LNK⽂件、VBS脚本、诱饵pdf⽂档以及⽩加⿊组件的压缩包作为初始访问阶段攻击载荷诱导⽤⼾打开。第三种攻击⼿法中，攻击者充分表现出对新型攻击技术的快速实战转化能⼒，利⽤披露不久的CVE-2025-8088漏洞构建恶意压缩包作为初始访问阶段攻击载荷，诱导⽤⼾打开并解压该压缩包以触发漏洞利⽤。图①图②图①：APT-C-76（银环蛇）攻击流程⽰意图⼀图②：APT-C-76（银环蛇）攻击流程⽰意图⼆地区南亚2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-76（银环蛇）攻击流程⽰意图三图：APT-C-24（响尾蛇）组织攻击流程⽰意图5.5、其他APT组织来⾃南亚地区的APT-C-24（响尾蛇）、APT-C-35（肚脑⾍）、APT-C-56（透明部落）、APT-C-70（独⻆犀）等组织，在2025年对地缘周边国家的攻击活动持活跃。5.5.1、APT-C-24（响尾蛇）2025年，APT-C-24（响尾蛇）组织的主要攻击⽬标集中在孟加拉、巴基斯坦等地区。少量攻击针对国内的部分企业和机构。2025年攻击活动中，APT-C-24（响尾蛇）组织多是使⽤LNK或包含早期的Office漏洞（如CVE-2017-11882）的⽂档，分多阶段下发攻击样本，最后实现服务驻留的⽬的。在下半年中，我们发现该组织部分活动还使⽤了OneClick⽂件作为初始载荷来下发攻击样本。APT-C-24（响尾蛇）组织在钓⻥信息收集⽅⾯，会使⽤内嵌⼊钓⻥连接的pdf⽂件，受害者点击后跳转伪装成政府相关的钓⻥⽹站。地区南亚2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-76（银环蛇）攻击流程⽰意图三图：APT-C-24（响尾蛇）组织攻击流程⽰意图5.5、其他APT组织来⾃南亚地区的APT-C-24（响尾蛇）、APT-C-35（肚脑⾍）、APT-C-56（透明部落）、APT-C-70（独⻆犀）等组织，在2025年对地缘周边国家的攻击活动持活跃。5.5.1、APT-C-24（响尾蛇）2025年，APT-C-24（响尾蛇）组织的主要攻击⽬标集中在孟加拉、巴基斯坦等地区。少量攻击针对国内的部分企业和机构。2025年攻击活动中，APT-C-24（响尾蛇）组织多是使⽤LNK或包含早期的Office漏洞（如CVE-2017-11882）的⽂档，分多阶段下发攻击样本，最后实现服务驻留的⽬的。在下半年中，我们发现该组织部分活动还使⽤了OneClick⽂件作为初始载荷来下发攻击样本。APT-C-24（响尾蛇）组织在钓⻥信息收集⽅⾯，会使⽤内嵌⼊钓⻥连接的pdf⽂件，受害者点击后跳转伪装成政府相关的钓⻥⽹站。地区南亚2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-24（响尾蛇）组织构造的含有钓⻥链接的pdf⽂档我们在2025年中观测到多起spyder事件与APT-C-35（肚脑⾍）活动有所关联。其中，有的事件是C2相关联，有的是数字签名相关联。在以往历史事件中spyder为APT-C-09（摩诃草）常⽤的组件之⼀，由此推测spyder可能成为APT-C-09（摩诃草）与APT-C-35（肚脑⾍）共⽤组件。图①图②图①：APT-C-（肚脑⾍）组织攻击流程图⽰意图 图②：左为spyder相关样本、右为APT-C-（肚脑⾍）下载器⽊⻢地区南亚2025年度全球⾼级持续性威胁（APT）研究报告5.5.2、APT-C-35（肚脑⾍）APT-C-35（肚脑⾍）组织在2025年的活动与历史相⽐稍有变化，改为使⽤searchconnector-ms类型⽂件作为初始载荷。其核⼼攻击还是集中在巴基斯坦、孟加拉等地区。当⽤⼾点击searchconnector-ms会远程连接到伪装成pdf⽂档的下载器样本；下载器样本会下载后续的攻击组件，并将其通过COM注册为计划任务。图：APT-C-24（响尾蛇）组织构造的含有钓⻥链接的pdf⽂档我们在2025年中观测到多起spyder事件与APT-C-35（肚脑⾍）活动有所关联。其中，有的事件是C2相关联，有的是数字签名相关联。在以往历史事件中spyder为APT-C-09（摩诃草）常⽤的组件之⼀，由此推测spyder可能成为APT-C-09（摩诃草）与APT-C-35（肚脑⾍）共⽤组件。图①图②图①：APT-C-（肚脑⾍）组织攻击流程图⽰意图 图②：左为spyder相关样本、右为APT-C-（肚脑⾍）下载器⽊⻢地区南亚2025年度全球⾼级持续性威胁（APT）研究报告5.5.2、APT-C-35（肚脑⾍）APT-C-35（肚脑⾍）组织在2025年的活动与历史相⽐稍有变化，改为使⽤searchconnector-ms类型⽂件作为初始载荷。其核⼼攻击还是集中在巴基斯坦、孟加拉等地区。当⽤⼾点击searchconnector-ms会远程连接到伪装成pdf⽂档的下载器样本；下载器样本会下载后续的攻击组件，并将其通过COM注册为计划任务。5.5.3、APT-C-56（透明部落）APT-C-56（透明部落）组织⻓期针南亚地区，尤其是印度相关的政府、医疗、电⼒、⾦融、制造业等⾏业领域⽬标，进⾏⾼强度的以信息窃取为主要⽬的的攻击活动。2025年，APT-C-56（透明部落）组织使⽤的攻击⼿法是通过钓⻥邮件将Windows快捷⽅式⽂件和Linux快捷⽅式⽂件投递到⽬标群体，诱使⽤⼾运⾏快捷⽅式⽂件，下载⽊⻢进⾏后续攻击。透明部落组织投递的SaadaC2后⻔程序主要功能是窃取⽤⼾浏览器密码、窃取⽂档⽂件、下载MeshAgent后⻔、窃取指定⽹站的Cookie信息，此后⻔程序在执⾏过程中⼤量使⽤了Google Drive云服务。360⾼级威胁研究院捕获到了⼀起透明部落组织使⽤DISGOMOJI恶意软件变体的攻击活动，该软件是基于Golang编写的ELF可执⾏程序，其借助⾕歌云盘（Google Drive）进⾏下发，并且数据回传到⾕歌云服务（Google Cloud Platform），此外还会下载浏览器窃密插件和远程管理⼯具以实现进⼀步的窃密⾏动和远程控制。图②图①：APT-C-56（透明部落）组织攻击流程⽰意图（⼀）图②：APT-C-56（透明部落）组织攻击流程⽰意图（⼆）APT-C-56（透明部落）组织针对移动平台的依旧以建⽴仿冒⽹站诱使⽤⼾下载伪装的后⻔程序为主要攻击⼿段，攻击频率有所降低。安卓后⻔程序具备窃取⽤⼾移动设备中敏感⽂件的功能，根据不同的⼿机型号选择不同⾃启动⽅式。该后⻔运⾏后还会对⾃⾝的程序的图标进⾏替换，以实现隐藏。图：APT-C-56（透明部落）组织仿冒⽹站截图图①地区南亚2025年度全球⾼级持续性威胁（APT）研究报告5.5.3、APT-C-56（透明部落）APT-C-56（透明部落）组织⻓期针南亚地区，尤其是印度相关的政府、医疗、电⼒、⾦融、制造业等⾏业领域⽬标，进⾏⾼强度的以信息窃取为主要⽬的的攻击活动。2025年，APT-C-56（透明部落）组织使⽤的攻击⼿法是通过钓⻥邮件将Windows快捷⽅式⽂件和Linux快捷⽅式⽂件投递到⽬标群体，诱使⽤⼾运⾏快捷⽅式⽂件，下载⽊⻢进⾏后续攻击。透明部落组织投递的SaadaC2后⻔程序主要功能是窃取⽤⼾浏览器密码、窃取⽂档⽂件、下载MeshAgent后⻔、窃取指定⽹站的Cookie信息，此后⻔程序在执⾏过程中⼤量使⽤了Google Drive云服务。360⾼级威胁研究院捕获到了⼀起透明部落组织使⽤DISGOMOJI恶意软件变体的攻击活动，该软件是基于Golang编写的ELF可执⾏程序，其借助⾕歌云盘（Google Drive）进⾏下发，并且数据回传到⾕歌云服务（Google Cloud Platform），此外还会下载浏览器窃密插件和远程管理⼯具以实现进⼀步的窃密⾏动和远程控制。图②图①：APT-C-56（透明部落）组织攻击流程⽰意图（⼀）图②：APT-C-56（透明部落）组织攻击流程⽰意图（⼆）APT-C-56（透明部落）组织针对移动平台的依旧以建⽴仿冒⽹站诱使⽤⼾下载伪装的后⻔程序为主要攻击⼿段，攻击频率有所降低。安卓后⻔程序具备窃取⽤⼾移动设备中敏感⽂件的功能，根据不同的⼿机型号选择不同⾃启动⽅式。该后⻔运⾏后还会对⾃⾝的程序的图标进⾏替换，以实现隐藏。图：APT-C-56（透明部落）组织仿冒⽹站截图图①地区南亚2025年度全球⾼级持续性威胁（APT）研究报告
6、东欧
2025年是俄乌冲突进⼊“⾼强度消耗战常态化”与“战略僵局深化”的关键⼀年，其核⼼特征可概括为：低速推进、⾼成本消耗、外交停滞、技术升级、全球外溢加剧。地缘政治冲突的持续让这⾥成为⽹络对抗的“前沿阵地”，⽹络攻击已从早期的“辅助⼿段”演变为战略级作战武器，地区APT组织的攻击技术和⽬标都呈现出鲜明的“实战化”特征。地区APT组织凭借国家资源与技术储备占据规模优势，攻击活跃。APT组织将⽹络攻击能⼒深度嵌⼊军事与经济消耗战，攻击动机聚焦于情报窃取和系统破坏，成为混合战争的核⼼组成部分。5.5.4、APT-C-70（独⻆犀）APT-C-70（独⻆犀）组织近期主要通过投递带有“学位”、“代码”相关主题的钓⻥诱饵⽂件进⾏钓⻥攻击。攻击者在钓⻥邮件附件内嵌⼊多个pdf⽂件和伪装成pdfviewer的脚本，诱骗⽤⼾点击恶意脚本，从⽽执⾏后续⽊⻢组件。攻击流程如下图所⽰。图：APT-C-70（独⻆犀）组织攻击流程⽰意图地区南亚2025年度全球⾼级持续性威胁（APT）研究报告
6、东欧
2025年是俄乌冲突进⼊“⾼强度消耗战常态化”与“战略僵局深化”的关键⼀年，其核⼼特征可概括为：低速推进、⾼成本消耗、外交停滞、技术升级、全球外溢加剧。地缘政治冲突的持续让这⾥成为⽹络对抗的“前沿阵地”，⽹络攻击已从早期的“辅助⼿段”演变为战略级作战武器，地区APT组织的攻击技术和⽬标都呈现出鲜明的“实战化”特征。地区APT组织凭借国家资源与技术储备占据规模优势，攻击活跃。APT组织将⽹络攻击能⼒深度嵌⼊军事与经济消耗战，攻击动机聚焦于情报窃取和系统破坏，成为混合战争的核⼼组成部分。5.5.4、APT-C-70（独⻆犀）APT-C-70（独⻆犀）组织近期主要通过投递带有“学位”、“代码”相关主题的钓⻥诱饵⽂件进⾏钓⻥攻击。攻击者在钓⻥邮件附件内嵌⼊多个pdf⽂件和伪装成pdfviewer的脚本，诱骗⽤⼾点击恶意脚本，从⽽执⾏后续⽊⻢组件。攻击流程如下图所⽰。图：APT-C-70（独⻆犀）组织攻击流程⽰意图地区南亚2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-20（APT28）组织攻击流程⽰意图图：APT-C-13（Sandworm）组织攻击流程⽰意图6.1、APT-C-13（Sandworm）2025年，APT-C-13（Sandworm）组织的攻击活动灵活多变，展现出了极⾼破坏性。他们利⽤盗版软件和供应链漏洞进⾏⼤范围的底层渗透。APT-C-13（Sandworm）组织针对乌克兰开展的持续性破坏⾏动还重点攻击了政府、能源、物流等⾏业。特别是利⽤新型擦除器对乌克兰的重要的粮⻝经济产业和教育体系实施精准的毁灭性打击。这种“⼴泛撒⽹控制”与“精准定点爆破”相结合的模式，对乌克兰国家⽣存能⼒造成重⼤威胁。APT-C-13（Sandworm）组织的部分“精准攻击”是通过与UAC-0099组织合作代理获取了初始访问权限，之后伪装成Windows计划任务⽅式来部署“ZeroLot”和“Sting”等多种恶意数据擦除软件。这些攻击活动旨在通过破坏⽂件系统和主引导记录来不可逆地销毁关键数字资产，从⽽削弱乌克兰的经济来达成其战略⽬的。6.2、APT-C-20（APT28）2025年，APT-C-20（APT28）组织在攻击武器库的快速迭代和攻击⾯的多样化⽅⾯动作明显。其核⼼⽬标依然是服务于地缘政治利益，通过使⽤Nday和0day漏洞，对乌克兰及其西⽅盟友实施深度情报窃取。在APT-C-20（APT28）组织发起的⼀场针对⾼价值Web邮件服务器的持续性⽹络间谍活动。攻击者通过⻥叉式⽹络钓⻥利⽤Web邮件平台中的XSS漏洞，向受害者⻚⾯注⼊定制的“SpyPress”恶意JavaScript代码，从⽽实现对凭据、联系⼈列表及邮件内容的窃取。攻击者甚⾄还利⽤0day漏洞绕过MDaemon多因⼦认证开展攻击。该⾏动将攻击范围从最初的Roundcube邮件平台扩展⾄Horde、Zimbra和MDaemon等多个邮件平台，主要⽬标锁定在与乌克兰战争密切相关的东欧政府部⻔及国防关联的公司，攻击⾏动造成的影响也波及到⾮洲、欧洲和南美洲的部分政府部⻔。地区东欧2025年度全球⾼级持续性威胁（APT）研究报告图：APT-C-20（APT28）组织攻击流程⽰意图图：APT-C-13（Sandworm）组织攻击流程⽰意图6.1、APT-C-13（Sandworm）2025年，APT-C-13（Sandworm）组织的攻击活动灵活多变，展现出了极⾼破坏性。他们利⽤盗版软件和供应链漏洞进⾏⼤范围的底层渗透。APT-C-13（Sandworm）组织针对乌克兰开展的持续性破坏⾏动还重点攻击了政府、能源、物流等⾏业。特别是利⽤新型擦除器对乌克兰的重要的粮⻝经济产业和教育体系实施精准的毁灭性打击。这种“⼴泛撒⽹控制”与“精准定点爆破”相结合的模式，对乌克兰国家⽣存能⼒造成重⼤威胁。APT-C-13（Sandworm）组织的部分“精准攻击”是通过与UAC-0099组织合作代理获取了初始访问权限，之后伪装成Windows计划任务⽅式来部署“ZeroLot”和“Sting”等多种恶意数据擦除软件。这些攻击活动旨在通过破坏⽂件系统和主引导记录来不可逆地销毁关键数字资产，从⽽削弱乌克兰的经济来达成其战略⽬的。6.2、APT-C-20（APT28）2025年，APT-C-20（APT28）组织在攻击武器库的快速迭代和攻击⾯的多样化⽅⾯动作明显。其核⼼⽬标依然是服务于地缘政治利益，通过使⽤Nday和0day漏洞，对乌克兰及其西⽅盟友实施深度情报窃取。在APT-C-20（APT28）组织发起的⼀场针对⾼价值Web邮件服务器的持续性⽹络间谍活动。攻击者通过⻥叉式⽹络钓⻥利⽤Web邮件平台中的XSS漏洞，向受害者⻚⾯注⼊定制的“SpyPress”恶意JavaScript代码，从⽽实现对凭据、联系⼈列表及邮件内容的窃取。攻击者甚⾄还利⽤0day漏洞绕过MDaemon多因⼦认证开展攻击。该⾏动将攻击范围从最初的Roundcube邮件平台扩展⾄Horde、Zimbra和MDaemon等多个邮件平台，主要⽬标锁定在与乌克兰战争密切相关的东欧政府部⻔及国防关联的公司，攻击⾏动造成的影响也波及到⾮洲、欧洲和南美洲的部分政府部⻔。地区东欧2025年度全球⾼级持续性威胁（APT）研究报告APT-C-20（APT28）组织针对援乌后勤供应链及关键基础设施实施⻓期⽹络间谍⾏动。该组织利⽤Outlook NTLM（CVE-2023-23397）漏洞、Roundcube及WinRAR等已知漏洞，以及凭证撞库、⻥叉式⽹络钓⻥在内的多种初始访问技术，渗透了北约成员国及乌克兰的物流实体、运输枢纽及IT服务公司；旨在窃取发货清单、运输时刻表等敏感数据，以追踪军事援助物资的流向。除了传统的⽹络渗透，攻击者还⼤规模⼊侵了约10,000个位于乌克兰边境及关键节点的联⽹摄像头，通过暴⼒破解RTSP协议获取实时监控画⾯来追踪物资运输；还进⼀步渗透欧洲、美国及澳⼤利亚的多个⼯业控制系统与企业⽹络，对关键基础设施构成了潜在的破坏威胁。图：APT-C-20（APT28）组织攻击流程⽰意图6.3、APT-C-25（APT29）图①2025年，APT-C-25（APT29）组织展现了极⾼的战术灵活性和针对性，采取了“传统间谍技术”与“现代云⾝份攻击”双轨并⾏的攻击战术。根据⽬标环境精准切换武器，在需要深潜控制的欧洲外交⽹络投放新型⽊⻢，在防御严密的美国云环境实施⽆恶意软件的⾝份接管。其核⼼⽬标依然服务于地缘政治利益，聚焦于西⽅国家的外交、政府及相关供应链体系。APT-C-25（APT29）组织在攻击活动中冒充某欧洲国家外交机构，向⽬标⼈员发送葡萄酒品鉴活动邀请，诱使受害者点击⽹⻚链接，从⽽导致受害者主机被部署名为GRAPELOADER的新后⻔。此次攻击活动主要针对分布于欧洲地区的外交机构。APT-C-25（APT29）组织利⽤美国移动⽹络代理IP以及经过深度混淆编码处理的Gmail账⼾，伪装成美国国务院，发送“关于加⼊Microsoft 365 Tenant外部⽤⼾”或“Measuring Influence OperationsTeams群组”的虚假邀请函。⼀旦受害者中招，攻击者即可在⽆需窃取密码的情况下获得账⼾的OAuth授权访问权限。图：APT-C-25（APT29）组织攻击流程⽰意图地区东欧2025年度全球⾼级持续性威胁（APT）研究报告APT-C-20（APT28）组织针对援乌后勤供应链及关键基础设施实施⻓期⽹络间谍⾏动。该组织利⽤Outlook NTLM（CVE-2023-23397）漏洞、Roundcube及WinRAR等已知漏洞，以及凭证撞库、⻥叉式⽹络钓⻥在内的多种初始访问技术，渗透了北约成员国及乌克兰的物流实体、运输枢纽及IT服务公司；旨在窃取发货清单、运输时刻表等敏感数据，以追踪军事援助物资的流向。除了传统的⽹络渗透，攻击者还⼤规模⼊侵了约10,000个位于乌克兰边境及关键节点的联⽹摄像头，通过暴⼒破解RTSP协议获取实时监控画⾯来追踪物资运输；还进⼀步渗透欧洲、美国及澳⼤利亚的多个⼯业控制系统与企业⽹络，对关键基础设施构成了潜在的破坏威胁。图：APT-C-20（APT28）组织攻击流程⽰意图6.3、APT-C-25（APT29）图①2025年，APT-C-25（APT29）组织展现了极⾼的战术灵活性和针对性，采取了“传统间谍技术”与“现代云⾝份攻击”双轨并⾏的攻击战术。根据⽬标环境精准切换武器，在需要深潜控制的欧洲外交⽹络投放新型⽊⻢，在防御严密的美国云环境实施⽆恶意软件的⾝份接管。其核⼼⽬标依然服务于地缘政治利益，聚焦于西⽅国家的外交、政府及相关供应链体系。APT-C-25（APT29）组织在攻击活动中冒充某欧洲国家外交机构，向⽬标⼈员发送葡萄酒品鉴活动邀请，诱使受害者点击⽹⻚链接，从⽽导致受害者主机被部署名为GRAPELOADER的新后⻔。此次攻击活动主要针对分布于欧洲地区的外交机构。APT-C-25（APT29）组织利⽤美国移动⽹络代理IP以及经过深度混淆编码处理的Gmail账⼾，伪装成美国国务院，发送“关于加⼊Microsoft 365 Tenant外部⽤⼾”或“Measuring Influence OperationsTeams群组”的虚假邀请函。⼀旦受害者中招，攻击者即可在⽆需窃取密码的情况下获得账⼾的OAuth授权访问权限。图：APT-C-25（APT29）组织攻击流程⽰意图地区东欧2025年度全球⾼级持续性威胁（APT）研究报告6.5、APT-C-53（Gamaredon）图②图②6.4、APT-C-29（Turla）2025年，APT-C-29（Turla）组织通过中间⼈（AiTM）攻击，对驻莫斯科的外国⼤使馆进⾏⽹络间谍活动。在此攻击活动中，攻击者利⽤合法拦截⼿段安装伪装成Kaspersky反病毒软件的根证书，之后使⽤TLS/SSL剥离技术解密⽬标流量窃取凭证和令牌，进⽽部署“ApolloShadow”恶意软件实现持久化控制。此类远程控制窃取情报的攻击⼿段延续了该组织此前对东欧外交部开展的伪造的Flash安装程序⽊⻢的中间⼈攻击战术。图①图①：APT-C-29（Turla）组织攻击流程⽰意图图②：APT-C-53（Gamaredon）组织攻击流程⽰意图图①图①：加⼊Microsoft Tenant的外部⽤⼾虚假邀请 图②：Microsoft Teams虚假聊天邀请地区东欧2025年度全球⾼级持续性威胁（APT）研究报告2025年，APT-C-53（Gamaredon）组织依旧以乌克兰的政府部⻔、军事等重要机构为主要⽬标，涉及政府部⻔、军事部⻔、⺠⽣部⻔、警务部⻔。该组织采⽤多种复杂的技术和策略，使⽤恶意LNK⽂件、HTA⽂件以开展复杂的⽹络钓⻥。在APT-C-53（Gamaredon）组织利⽤WinRAR漏洞（CVE-2025-8088）发起的⻥叉式⽹络钓⻥活动中，攻击者通过投递含有恶意数据流的特制RAR压缩包，在受害者解压诱饵⽂件时触发⽬录遍历漏洞，将恶意HTA下载器静默写⼊Windows启动⽬录以实现初始持久化；系统重启后将触发该HTA⽂件，之后使⽤mshta.exe从C2服务器拉取伪装成PDF⽂档的多层混淆的VBScript核⼼载荷，该载荷进⼀步创建伪装的计划任务以巩固持久化状态，并建⽴稳定的命令控制通道。APT-C-53（Gamaredon）组织在此次攻击活动中将新漏洞利⽤与其成熟的VBScript攻击框架相结合。6.5、APT-C-53（Gamaredon）图②图②6.4、APT-C-29（Turla）2025年，APT-C-29（Turla）组织通过中间⼈（AiTM）攻击，对驻莫斯科的外国⼤使馆进⾏⽹络间谍活动。在此攻击活动中，攻击者利⽤合法拦截⼿段安装伪装成Kaspersky反病毒软件的根证书，之后使⽤TLS/SSL剥离技术解密⽬标流量窃取凭证和令牌，进⽽部署“ApolloShadow”恶意软件实现持久化控制。此类远程控制窃取情报的攻击⼿段延续了该组织此前对东欧外交部开展的伪造的Flash安装程序⽊⻢的中间⼈攻击战术。图①图①：APT-C-29（Turla）组织攻击流程⽰意图图②：APT-C-53（Gamaredon）组织攻击流程⽰意图图①图①：加⼊Microsoft Tenant的外部⽤⼾虚假邀请 图②：Microsoft Teams虚假聊天邀请地区东欧2025年度全球⾼级持续性威胁（APT）研究报告2025年，APT-C-53（Gamaredon）组织依旧以乌克兰的政府部⻔、军事等重要机构为主要⽬标，涉及政府部⻔、军事部⻔、⺠⽣部⻔、警务部⻔。该组织采⽤多种复杂的技术和策略，使⽤恶意LNK⽂件、HTA⽂件以开展复杂的⽹络钓⻥。在APT-C-53（Gamaredon）组织利⽤WinRAR漏洞（CVE-2025-8088）发起的⻥叉式⽹络钓⻥活动中，攻击者通过投递含有恶意数据流的特制RAR压缩包，在受害者解压诱饵⽂件时触发⽬录遍历漏洞，将恶意HTA下载器静默写⼊Windows启动⽬录以实现初始持久化；系统重启后将触发该HTA⽂件，之后使⽤mshta.exe从C2服务器拉取伪装成PDF⽂档的多层混淆的VBScript核⼼载荷，该载荷进⼀步创建伪装的计划任务以巩固持久化状态，并建⽴稳定的命令控制通道。APT-C-53（Gamaredon）组织在此次攻击活动中将新漏洞利⽤与其成熟的VBScript攻击框架相结合。7.1、APT-C-51（APT35）APT-C-51（APT35）组织近期攻击⽅式主要使⽤⻥叉式钓⻥邮件攻击以及⽔坑攻击。2025年6⽉，APT-C-51（APT35）组织被曝冒充技术⾼管或研究⼈员以电⼦邮件或WhatsApp消息针对以⾊列记者、安全专家以及⼤学教授发起⻥叉钓⻥攻击，被窃取的⽤⼾凭证和数据信息，在其他关联的攻击活动中为攻击者使⽤。此外，我们还捕获到了该组织针对中东的攻击⾏动，攻击组织通过恶意LNK下发后续恶意组件，然后层层加载最终实现PowerLess⽊⻢的部署，从⽽完成窃密活动。7.2、APT-C-49（OilRig）APT-C-49（OilRig）组织主要针对中东地区政府、能源、化⼯等⾏业展开⽹络间谍⾏动，⼤多以⽹络侦察和窃密为⽬的。2025年，APT-C-49（OilRig）组织在攻击活动中使⽤了新的后⻔程序：Whisper和PrimeCache。Whisper后⻔程序通过登录已失陷的Microsoft Exchange邮件账⼾，使⽤邮件附件与攻击者建⽴交互，Whisper会定期向攻击者发送窃密数据。PrimeCache是作⽤于IIS服务器的后⻔程序，通过解析传⼊的HTTP请求进⾏⽂件执⾏、⽂件创建、⽂件删除、命令执⾏等恶意操作。图：APT-C-51（APT35）组织攻击流程图
7、中东
2025年，中东地区秩序重塑加速，该地区⽹络空间成为地区政治势⼒间博弈与代理⼈冲突前沿。针对能源、通信、⾦融、港⼝和军事指挥系统的⽹络攻击活动，多以情报搜集、基础设施破坏和⼼理震慑为⽬的。3⽉，伊朗两⼤航运公司116艘油轮遭⽹络攻击，⿊客通过VSAT终端弱密码⼊侵，切断船岸通信并删除导航配置；6⽉，伊朗加密货币交易所Nobitex被⼊侵，超过9000万美元从Nobitex钱包转⼊⿊客地址；12⽉，伊朗核⼼通信服务商遭12万个攻击源DDoS攻击，防御及时未致⼤⾯积瘫痪。地区中东2025年度全球⾼级持续性威胁（APT）研究报告7.1、APT-C-51（APT35）APT-C-51（APT35）组织近期攻击⽅式主要使⽤⻥叉式钓⻥邮件攻击以及⽔坑攻击。2025年6⽉，APT-C-51（APT35）组织被曝冒充技术⾼管或研究⼈员以电⼦邮件或WhatsApp消息针对以⾊列记者、安全专家以及⼤学教授发起⻥叉钓⻥攻击，被窃取的⽤⼾凭证和数据信息，在其他关联的攻击活动中为攻击者使⽤。此外，我们还捕获到了该组织针对中东的攻击⾏动，攻击组织通过恶意LNK下发后续恶意组件，然后层层加载最终实现PowerLess⽊⻢的部署，从⽽完成窃密活动。7.2、APT-C-49（OilRig）APT-C-49（OilRig）组织主要针对中东地区政府、能源、化⼯等⾏业展开⽹络间谍⾏动，⼤多以⽹络侦察和窃密为⽬的。2025年，APT-C-49（OilRig）组织在攻击活动中使⽤了新的后⻔程序：Whisper和PrimeCache。Whisper后⻔程序通过登录已失陷的Microsoft Exchange邮件账⼾，使⽤邮件附件与攻击者建⽴交互，Whisper会定期向攻击者发送窃密数据。PrimeCache是作⽤于IIS服务器的后⻔程序，通过解析传⼊的HTTP请求进⾏⽂件执⾏、⽂件创建、⽂件删除、命令执⾏等恶意操作。图：APT-C-51（APT35）组织攻击流程图
7、中东
2025年，中东地区秩序重塑加速，该地区⽹络空间成为地区政治势⼒间博弈与代理⼈冲突前沿。针对能源、通信、⾦融、港⼝和军事指挥系统的⽹络攻击活动，多以情报搜集、基础设施破坏和⼼理震慑为⽬的。3⽉，伊朗两⼤航运公司116艘油轮遭⽹络攻击，⿊客通过VSAT终端弱密码⼊侵，切断船岸通信并删除导航配置；6⽉，伊朗加密货币交易所Nobitex被⼊侵，超过9000万美元从Nobitex钱包转⼊⿊客地址；12⽉，伊朗核⼼通信服务商遭12万个攻击源DDoS攻击，防御及时未致⼤⾯积瘫痪。地区中东2025年度全球⾼级持续性威胁（APT）研究报告APT-C-36（盲眼鹰）组织在2025年10⽉份实施了新⼀轮攻击活动。攻击者使⽤Hijackloader加载器加载恶意载荷。该加载器使⽤各类注⼊⼿段，多阶段、反复进⾏shellcode注⼊，最终加载Pure远程控制⽊⻢，实现对受害者计算机的控制。8.1、APT-C-36（盲眼鹰）APT-C-36（盲眼鹰）组织近期攻击活动主要针对哥伦⽐亚、委内瑞拉、厄⽠多尔、巴拿⻢和阿根廷等南美地区国家。2024年11⽉12⽇，微软披露了Windows系统漏洞CVE-2024-43451，该漏洞载荷⽂件被触发后，会下载并执⾏恶意⽂件。APT-C-36（盲眼鹰）组织在随后的攻击活动中对未修复该漏洞的终端进⾏攻击。攻击者使⽤钓⻥邮件向哥伦⽐亚政府以及司法系统⼈员投递钓⻥邮件，诱使⽤⼾从Google Drive和Dropbox第三⽅云平台下载恶意.url⽂件并执⾏RemcosRAT⽊⻢。
8、南美
2025年，受地缘政治摩擦影响，南美地区逐渐成为⽹络攻击活动的热点区域。从巴拉圭全国公⺠个⼈数据被勒索，到巴西、秘鲁、哥伦⽐亚等国⾦融系统遭遇⽹络攻击，再到委内瑞拉的系统性数据泄露与能源基础设施被攻击，该地区⽹络攻击活动规模和破坏性显著增加。南美地区最活跃的APT-C-36（盲眼鹰）组织在攻击活动中组合使⽤2024年11⽉披露的Windows系统漏洞和第三⽅云平台服务，⼤⼤提升了攻击效率。同时我们发现该组织在最新的攻击活动中引⼊了成熟的加载器程序以丰富其攻击⼿段。图①：APT-C-36（盲眼鹰）组织攻击流程⽰意图图②：APT-C-36（盲眼鹰）组织攻击流程⽰意图地区南美2025年度全球⾼级持续性威胁（APT）研究报告图①图②APT-C-36（盲眼鹰）组织在2025年10⽉份实施了新⼀轮攻击活动。攻击者使⽤Hijackloader加载器加载恶意载荷。该加载器使⽤各类注⼊⼿段，多阶段、反复进⾏shellcode注⼊，最终加载Pure远程控制⽊⻢，实现对受害者计算机的控制。8.1、APT-C-36（盲眼鹰）APT-C-36（盲眼鹰）组织近期攻击活动主要针对哥伦⽐亚、委内瑞拉、厄⽠多尔、巴拿⻢和阿根廷等南美地区国家。2024年11⽉12⽇，微软披露了Windows系统漏洞CVE-2024-43451，该漏洞载荷⽂件被触发后，会下载并执⾏恶意⽂件。APT-C-36（盲眼鹰）组织在随后的攻击活动中对未修复该漏洞的终端进⾏攻击。攻击者使⽤钓⻥邮件向哥伦⽐亚政府以及司法系统⼈员投递钓⻥邮件，诱使⽤⼾从Google Drive和Dropbox第三⽅云平台下载恶意.url⽂件并执⾏RemcosRAT⽊⻢。
8、南美
2025年，受地缘政治摩擦影响，南美地区逐渐成为⽹络攻击活动的热点区域。从巴拉圭全国公⺠个⼈数据被勒索，到巴西、秘鲁、哥伦⽐亚等国⾦融系统遭遇⽹络攻击，再到委内瑞拉的系统性数据泄露与能源基础设施被攻击，该地区⽹络攻击活动规模和破坏性显著增加。南美地区最活跃的APT-C-36（盲眼鹰）组织在攻击活动中组合使⽤2024年11⽉披露的Windows系统漏洞和第三⽅云平台服务，⼤⼤提升了攻击效率。同时我们发现该组织在最新的攻击活动中引⼊了成熟的加载器程序以丰富其攻击⼿段。图①：APT-C-36（盲眼鹰）组织攻击流程⽰意图图②：APT-C-36（盲眼鹰）组织攻击流程⽰意图地区南美2025年度全球⾼级持续性威胁（APT）研究报告图①图②
1、攻击活动使⽤的ATT&CK技战术TOP20
360⾼级威胁研究院综合分析了2025年全球安全机构和⼚商公开披露的APT攻击技术报告，对其中符合ATT&CK知识标准的攻击活动和技战术使⽤情况进⾏统计，给出了APT组织在2025年攻击活动过程中使⽤最多的TOP20ATT&CK技战术。2025年APT攻击发展趋势分析攻击活动使⽤的ATT&CK技战术TOP20APT攻击活动0day漏洞统计利⽤开源代码仓库⽅式进⾏供应链攻击AI技术已被攻击者应⽤在深度伪造和诱饵制作等场景破坏背后的逻辑，⽹络攻击成为地缘政治⼯具跨平台攻击武器构造复杂攻击链针对海外机构的APT攻击增多，威胁⻛险加⼤国家级APT攻击瞄准国产应⽤，信创基础设施威胁凸显2025年度全球⾼级持续性威胁（APT）研究报告PART3
1、攻击活动使⽤的ATT&CK技战术TOP20
360⾼级威胁研究院综合分析了2025年全球安全机构和⼚商公开披露的APT攻击技术报告，对其中符合ATT&CK知识标准的攻击活动和技战术使⽤情况进⾏统计，给出了APT组织在2025年攻击活动过程中使⽤最多的TOP20ATT&CK技战术。2025年APT攻击发展趋势分析攻击活动使⽤的ATT&CK技战术TOP20APT攻击活动0day漏洞统计利⽤开源代码仓库⽅式进⾏供应链攻击AI技术已被攻击者应⽤在深度伪造和诱饵制作等场景破坏背后的逻辑，⽹络攻击成为地缘政治⼯具跨平台攻击武器构造复杂攻击链针对海外机构的APT攻击增多，威胁⻛险加⼤国家级APT攻击瞄准国产应⽤，信创基础设施威胁凸显2025年度全球⾼级持续性威胁（APT）研究报告PART3图：APT攻击活动利⽤新增0day漏洞分布通过与2024年TOP20 ATT&CK技战术相⽐，T1573（信道使⽤加密算法）和T1132（数据编码）热度上升明显，这⼀定程度反映出2025年APT组织在技战术变化趋势，说明攻击者会更多地⽤到对抗IDS检测的⼿段，信道加密的远控⽅式与加密载荷投递已经是APT组织攻击链条中的基准攻击技术。技术IDT1566T1027T1105T1059T1071T1204T1082T1070T1573T1036T1053T1547T1041T1055T1574T1140T1083T1056T1132T1190技战术名称（英⽂）PhishingObfuscatedFilesorInformationIngressToolTransferCommandandScriptingInterpreterApplicationLayerProtocolUserExecutionSystemInformationDiscoveryIndicatorRemovalEncryptedChannelMasqueradingScheduledTask/JobBootorLogonAutostartExecutionExfiltrationOverC2ChannelProcessInjectionHijackExecutionFlowDeobfuscate/DecodeFilesorInformationFileandDirectoryDiscoveryInputCaptureDataEncodingExploitPublic-FacingApplication技战术名称（中⽂）⽹络钓⻥混淆⽂件或信息从外部系统转移⽂件滥⽤命令和脚本解释器应⽤层协议诱导⽤⼾执⾏检测操作系统和硬件的信息删除痕迹信道使⽤加密算法伪装计划任务启动或登录时⾃动执⾏通过C2通道渗透进程注⼊劫持执⾏流程解码加密/混淆的⽂件信息收集⽂件和⽬录信息捕获⽤⼾输⼊数据编码利⽤⾯向公⽹服务的漏洞热度变化-↑1↑1↓2--↑1↑4↑10↓1↓4↓2↓2-↓2↓1↑1↓1↑7↓4
2、APT攻击活动0day漏洞统计
2025年APT组织在攻击活动利⽤的0day漏洞数量，较2024年全年有所增加。其中，针对我国境内⽹络设施的0day攻击同样上升明显，仅通⽤型漏洞就涉及到压缩⼯具、邮件软件、多个邮件平台、⽹络安全终端防护⼯具、办公软件系统等多种类别应⽤软件。根据统计2025年，全球APT组织在攻击活动利⽤的影响较⼤的0day漏洞共计42个，涉及IOS、Windows、Android、Chrome以及VMware等多个平台。内存破坏74%PAC绕过2%信息泄露5%安全功能绕过7%逻辑错误12%在这些漏洞当中，针对iOS系统的PAC绕过漏洞影响⾯较⼤。在过去PAC绕过漏洞主要是“越狱”社区关注的核⼼攻击⼿段，⽽在2025年披露的CVE-2025-31201（PAC绕过漏洞）已被⽤于针对特定iOS⽤⼾发起攻击。其与CVE-2025-31200组合形成“⽤⼾态RCE→内核权限提升→持久化”的零交互攻击链，⽆需⽤⼾点击，仅需接收iMessage即可触发，隐蔽性极强。2025年APT攻击发展趋势分析攻击活动使⽤的ATT&CK技战术TOP202025年度全球⾼级持续性威胁（APT）研究报告图：APT攻击活动利⽤新增0day漏洞分布通过与2024年TOP20 ATT&CK技战术相⽐，T1573（信道使⽤加密算法）和T1132（数据编码）热度上升明显，这⼀定程度反映出2025年APT组织在技战术变化趋势，说明攻击者会更多地⽤到对抗IDS检测的⼿段，信道加密的远控⽅式与加密载荷投递已经是APT组织攻击链条中的基准攻击技术。技术IDT1566T1027T1105T1059T1071T1204T1082T1070T1573T1036T1053T1547T1041T1055T1574T1140T1083T1056T1132T1190技战术名称（英⽂）PhishingObfuscatedFilesorInformationIngressToolTransferCommandandScriptingInterpreterApplicationLayerProtocolUserExecutionSystemInformationDiscoveryIndicatorRemovalEncryptedChannelMasqueradingScheduledTask/JobBootorLogonAutostartExecutionExfiltrationOverC2ChannelProcessInjectionHijackExecutionFlowDeobfuscate/DecodeFilesorInformationFileandDirectoryDiscoveryInputCaptureDataEncodingExploitPublic-FacingApplication技战术名称（中⽂）⽹络钓⻥混淆⽂件或信息从外部系统转移⽂件滥⽤命令和脚本解释器应⽤层协议诱导⽤⼾执⾏检测操作系统和硬件的信息删除痕迹信道使⽤加密算法伪装计划任务启动或登录时⾃动执⾏通过C2通道渗透进程注⼊劫持执⾏流程解码加密/混淆的⽂件信息收集⽂件和⽬录信息捕获⽤⼾输⼊数据编码利⽤⾯向公⽹服务的漏洞热度变化-↑1↑1↓2--↑1↑4↑10↓1↓4↓2↓2-↓2↓1↑1↓1↑7↓4
2、APT攻击活动0day漏洞统计
2025年APT组织在攻击活动利⽤的0day漏洞数量，较2024年全年有所增加。其中，针对我国境内⽹络设施的0day攻击同样上升明显，仅通⽤型漏洞就涉及到压缩⼯具、邮件软件、多个邮件平台、⽹络安全终端防护⼯具、办公软件系统等多种类别应⽤软件。根据统计2025年，全球APT组织在攻击活动利⽤的影响较⼤的0day漏洞共计42个，涉及IOS、Windows、Android、Chrome以及VMware等多个平台。内存破坏74%PAC绕过2%信息泄露5%安全功能绕过7%逻辑错误12%在这些漏洞当中，针对iOS系统的PAC绕过漏洞影响⾯较⼤。在过去PAC绕过漏洞主要是“越狱”社区关注的核⼼攻击⼿段，⽽在2025年披露的CVE-2025-31201（PAC绕过漏洞）已被⽤于针对特定iOS⽤⼾发起攻击。其与CVE-2025-31200组合形成“⽤⼾态RCE→内核权限提升→持久化”的零交互攻击链，⽆需⽤⼾点击，仅需接收iMessage即可触发，隐蔽性极强。2025年APT攻击发展趋势分析攻击活动使⽤的ATT&CK技战术TOP202025年度全球⾼级持续性威胁（APT）研究报告
3、利⽤开源代码仓库⽅式进⾏供应链攻击
在2025年，APT-C-00（海莲花）的钓⻥攻击、APT-C-26（Lazarus）的虚假⾯试⾏动等多个APT组织的攻击活动中，都发现其利⽤开源代码仓库作为攻击环节之⼀。APT组织在代码仓库中精⼼构建含有后⻔的恶意软件项⽬和软件包，诱导开发⼈员引⽤这些项⽬或软件包到开发者的项⽬中，从⽽实现供应链投毒。此外，攻击者还通过⼊侵开发者主机，使⽤攻击武器⾃动感染开发者维护的软件包，然后强制发布这些包补丁，使攻击产⽣级联感染效应，在整个⽣态系统中造成连锁式⼊侵。GitHub和NPM等代码仓库由于开发者⽤⼾众多，受影响最⼤，甚⾄⼀些拥有百万下载量的软件包也同样被⼊侵。代码仓库投毒是开源⽣态快速发展下的恶性安全威胁，本质是对开发者信任的滥⽤。此类攻击伪装性极强，诱导性突出，让开发者难以察觉；攻击链条隐蔽，影响⾯⼴，投毒不仅针对终端开发者，还会渗透CI/CD流⽔线，⼀旦恶意组件被引⼊，可能导致从开发环境到⽣产系统的全链路污染，引发⼤规模数据泄露或系统失控；危害后果严重，连锁反应明显，轻则造成服务中断、经济损失，重则窃取企业机密、⽤⼾凭证甚⾄影响国家安全。究其背后的关键诱因，主要是开源⽣态的信任红利被滥⽤，开源仓库的开放注册特性降低了攻击⻔槛；开发效率与安全校验的失衡，开发者为追求迭代速度，缺乏审查、未建⽴完善的依赖管理流程，给投毒攻击留下可乘之机。企业应构建全周期安全体系，部署私有镜像仓库隔离公共源⻛险，集成⾃动化安全检查，通过SBOM（软件物料清单）跟踪组件来源，使⽤最⼩权限构建环境配置。
4、AI技术已被攻击者应⽤在
深度伪造和诱饵制作等场景AI技术的应⽤，⽆疑会提⾼APT组织在社会⼯程学调研和攻击的效率，提升攻击者构造跨语⾔、跨⽂化、跨⾏业领域诱饵⽂档的⽔平。尤其在⼤模型技术的深度应⽤⽅⾯，深度伪造已经开始被APT组织在攻击活动中⽤于快速构建仿冒或伪造的⽬标服务。2025年，APT-C-26（Lazarus）组织不仅在攻击活动中投递虚假的项⽬库、NPM库，伪造虚假的⾯试邀约，还通过伪造Zoom会议实施深度欺诈。攻击者为了获得远程⼯作机会，他们创建、租⽤或获取与⽬标组织地理位置相匹配的被盗⾝份，创建电⼦邮件账⼾和社交媒体资料，并创建虚假的作品集、GitHub和LinkedIn等开发者平台上的个⼈资料。同时，使⽤AI⼯具增强运营，包括虚假简历制作、图像创建、使⽤语⾳转换软件等。在⼈⼯智能的帮助下，减少语法错误，使伪造的简历看起来更加真实。另外从APT-C-47（旺刺）针对知识产权⾏业进⾏有计划的攻击渗透，到APT-C-01（毒云藤）组织相关诱饵⽂档的制作。在⼤模型技术应⽤普及之后，这些跨地缘、跨⽂化背景、针对特定⾏业的钓⻥攻击明显增多。攻击者使⽤AI技术结合钓⻥攻击，已从早期的“⼴撒⽹”式诈骗，进化为针对性极强的“精准制导”型攻击，成为个⼈、企业乃⾄国家层⾯⽹络安全的主要威胁之⼀。特别是结合AI技术的智能化升级，进⼀步降低了⾼级钓⻥攻击的⻔槛。攻击者可利⽤⼤模型快速⽣成符合⽬标⼈群语⾔⻛格的钓⻥⽂案，规避基于关键词的垃圾邮件检测；通过AI图像⽣成⼯具制作⾼度逼真的伪造⽂件、界⾯截图，提升内容可信度；甚⾄利⽤AI驱动的对话机器⼈，在即时通讯中模拟真⼈交互，逐步诱导⽬标泄露敏感信息，这种“交互式钓⻥”的欺骗性远超传统静态钓⻥内容。应对这⼀新形势，需要利⽤AI技术来驱动⾃动化防御，做到以模型制约模型、以AI对抗AI，提升威胁防御能⼒。2025年APT攻击发展趋势分析利⽤开源代码仓库⽅式进⾏供应链攻击2025年度全球⾼级持续性威胁（APT）研究报告
3、利⽤开源代码仓库⽅式进⾏供应链攻击
在2025年，APT-C-00（海莲花）的钓⻥攻击、APT-C-26（Lazarus）的虚假⾯试⾏动等多个APT组织的攻击活动中，都发现其利⽤开源代码仓库作为攻击环节之⼀。APT组织在代码仓库中精⼼构建含有后⻔的恶意软件项⽬和软件包，诱导开发⼈员引⽤这些项⽬或软件包到开发者的项⽬中，从⽽实现供应链投毒。此外，攻击者还通过⼊侵开发者主机，使⽤攻击武器⾃动感染开发者维护的软件包，然后强制发布这些包补丁，使攻击产⽣级联感染效应，在整个⽣态系统中造成连锁式⼊侵。GitHub和NPM等代码仓库由于开发者⽤⼾众多，受影响最⼤，甚⾄⼀些拥有百万下载量的软件包也同样被⼊侵。代码仓库投毒是开源⽣态快速发展下的恶性安全威胁，本质是对开发者信任的滥⽤。此类攻击伪装性极强，诱导性突出，让开发者难以察觉；攻击链条隐蔽，影响⾯⼴，投毒不仅针对终端开发者，还会渗透CI/CD流⽔线，⼀旦恶意组件被引⼊，可能导致从开发环境到⽣产系统的全链路污染，引发⼤规模数据泄露或系统失控；危害后果严重，连锁反应明显，轻则造成服务中断、经济损失，重则窃取企业机密、⽤⼾凭证甚⾄影响国家安全。究其背后的关键诱因，主要是开源⽣态的信任红利被滥⽤，开源仓库的开放注册特性降低了攻击⻔槛；开发效率与安全校验的失衡，开发者为追求迭代速度，缺乏审查、未建⽴完善的依赖管理流程，给投毒攻击留下可乘之机。企业应构建全周期安全体系，部署私有镜像仓库隔离公共源⻛险，集成⾃动化安全检查，通过SBOM（软件物料清单）跟踪组件来源，使⽤最⼩权限构建环境配置。
4、AI技术已被攻击者应⽤在
深度伪造和诱饵制作等场景AI技术的应⽤，⽆疑会提⾼APT组织在社会⼯程学调研和攻击的效率，提升攻击者构造跨语⾔、跨⽂化、跨⾏业领域诱饵⽂档的⽔平。尤其在⼤模型技术的深度应⽤⽅⾯，深度伪造已经开始被APT组织在攻击活动中⽤于快速构建仿冒或伪造的⽬标服务。2025年，APT-C-26（Lazarus）组织不仅在攻击活动中投递虚假的项⽬库、NPM库，伪造虚假的⾯试邀约，还通过伪造Zoom会议实施深度欺诈。攻击者为了获得远程⼯作机会，他们创建、租⽤或获取与⽬标组织地理位置相匹配的被盗⾝份，创建电⼦邮件账⼾和社交媒体资料，并创建虚假的作品集、GitHub和LinkedIn等开发者平台上的个⼈资料。同时，使⽤AI⼯具增强运营，包括虚假简历制作、图像创建、使⽤语⾳转换软件等。在⼈⼯智能的帮助下，减少语法错误，使伪造的简历看起来更加真实。另外从APT-C-47（旺刺）针对知识产权⾏业进⾏有计划的攻击渗透，到APT-C-01（毒云藤）组织相关诱饵⽂档的制作。在⼤模型技术应⽤普及之后，这些跨地缘、跨⽂化背景、针对特定⾏业的钓⻥攻击明显增多。攻击者使⽤AI技术结合钓⻥攻击，已从早期的“⼴撒⽹”式诈骗，进化为针对性极强的“精准制导”型攻击，成为个⼈、企业乃⾄国家层⾯⽹络安全的主要威胁之⼀。特别是结合AI技术的智能化升级，进⼀步降低了⾼级钓⻥攻击的⻔槛。攻击者可利⽤⼤模型快速⽣成符合⽬标⼈群语⾔⻛格的钓⻥⽂案，规避基于关键词的垃圾邮件检测；通过AI图像⽣成⼯具制作⾼度逼真的伪造⽂件、界⾯截图，提升内容可信度；甚⾄利⽤AI驱动的对话机器⼈，在即时通讯中模拟真⼈交互，逐步诱导⽬标泄露敏感信息，这种“交互式钓⻥”的欺骗性远超传统静态钓⻥内容。应对这⼀新形势，需要利⽤AI技术来驱动⾃动化防御，做到以模型制约模型、以AI对抗AI，提升威胁防御能⼒。2025年APT攻击发展趋势分析利⽤开源代码仓库⽅式进⾏供应链攻击2025年度全球⾼级持续性威胁（APT）研究报告
5、破坏背后的逻辑，⽹络攻击成为地缘政治⼯具
2026年1⽉3⽇，美国悍然对委内瑞拉境内⽬标实施军事打击。在军事⾏动发⽣前，美国已在加勒⽐地区强化军事部署，扣押委⽅油轮，制造了紧张地缘局势；⽽在⽹络空间中，美国政府通也通过⽹络攻击破坏委内瑞拉⽯油能源企业的正常运营。当地时间2025年12⽉15⽇，委内瑞拉国家⽯油公司发布声明，通报该公司遭遇了⼀起旨在中断其运营的“⽹络攻击”。声明中指出：2025年12⽉13⽇，委内瑞拉国家⽯油公司（PDVSA）遭遇针对性⽹络攻击，核⼼攻击⼿段为勒索软件侵袭管理系统。PDVSA出⼝调度等关键业务系统陷⼊离线状态，导致业务中断。当前国际格局下，⽹络攻击已突破⽹络空间和技术层⾯，升级为国家战略核⼼⾼度，成为地缘政治势⼒间博弈的重要⼯具，通过“低成本、⾼隐蔽、强威慑”的⽹络⾏动，服务于国家政治、军事、经济等领域的战略⽬标。在俄乌冲突初期，多个东欧背景的APT组织异常活跃，启⽤的⽹络资源数量也⼤幅增加，该地区多个⽹络组织使⽤包括擦除器等各种攻击技术⼿段，持续对东欧地区政府、媒体组织、互联⽹基础设展开攻击。旨在通过⽹络攻击，在敌对⽅制造混乱、阻碍通信、削弱军事反应速度，并借机窃取情报信息。在俄乌冲突相持阶段，东欧地区⽹络空间对抗成为该地区冲突的重要组成部分，A P T- C -13（Sandworm）、APT-C-20（APT28）等APT组织通过⽹络攻击，在情报窃取、信息传播、舆论引导⽅⾯发挥作⽤，甚⾄部分组织通过⽹络攻击针对基础设施进⾏破坏。在以⾊列与伊朗全⾯对抗中，伊朗⾼层领导⼈和核计划专家被执⾏定点清除，从打击的准度和精度看，攻击者事先早已通过各种技术⼿段掌握相关专家的⾝份和实时位置信息。当下地缘政治和军事冲突中，皴攻城略地皴的传统征服模式已经被取代，⽽定点打击已经成为⼀种⾼效的常态化战术。在万物互联的时代，⽹络空间对抗与地缘政治冲突的交汇点上，这不仅仅是⼀次简单的军事打击，它深层次地揭⽰了⽹络空间⼒量在现代冲突中，战略价值从幕后⾛向前台。这将会引发关于⽹络战规则、冲突升级阈值以及未来战争形态的深刻争议。在现代战争中，⽹络安全的定位已从传统“后勤保障”跃升为“核⼼作战能⼒”，直接决定战争主动权归属、攻防成本⾼低与最终胜负⾛向。2026年1⽉4⽇，美国政府透露，在对委内瑞拉⾸都加拉加斯发动空袭并成功抓捕委总统尼⻢杜罗的⾏动中，美⽅或动⽤⽹络攻击等技术⼿段切断了当地电⼒供应。这⼀事件成为近年来美国对外公开使⽤⽹络战⼒的典型案例。可⻅，⽹络空间已成为⼤国博弈与现代战争的关键战场，⽹络攻防能⼒的强弱将持续影响国际格局与战争形态的演变。图：PDVSA关于此次攻击的声明2025年APT攻击发展趋势分析破坏背后的逻辑，⽹络攻击成为地缘政治⼯具2025年度全球⾼级持续性威胁（APT）研究报告
5、破坏背后的逻辑，⽹络攻击成为地缘政治⼯具
2026年1⽉3⽇，美国悍然对委内瑞拉境内⽬标实施军事打击。在军事⾏动发⽣前，美国已在加勒⽐地区强化军事部署，扣押委⽅油轮，制造了紧张地缘局势；⽽在⽹络空间中，美国政府通也通过⽹络攻击破坏委内瑞拉⽯油能源企业的正常运营。当地时间2025年12⽉15⽇，委内瑞拉国家⽯油公司发布声明，通报该公司遭遇了⼀起旨在中断其运营的“⽹络攻击”。声明中指出：2025年12⽉13⽇，委内瑞拉国家⽯油公司（PDVSA）遭遇针对性⽹络攻击，核⼼攻击⼿段为勒索软件侵袭管理系统。PDVSA出⼝调度等关键业务系统陷⼊离线状态，导致业务中断。当前国际格局下，⽹络攻击已突破⽹络空间和技术层⾯，升级为国家战略核⼼⾼度，成为地缘政治势⼒间博弈的重要⼯具，通过“低成本、⾼隐蔽、强威慑”的⽹络⾏动，服务于国家政治、军事、经济等领域的战略⽬标。在俄乌冲突初期，多个东欧背景的APT组织异常活跃，启⽤的⽹络资源数量也⼤幅增加，该地区多个⽹络组织使⽤包括擦除器等各种攻击技术⼿段，持续对东欧地区政府、媒体组织、互联⽹基础设展开攻击。旨在通过⽹络攻击，在敌对⽅制造混乱、阻碍通信、削弱军事反应速度，并借机窃取情报信息。在俄乌冲突相持阶段，东欧地区⽹络空间对抗成为该地区冲突的重要组成部分，A P T- C -13（Sandworm）、APT-C-20（APT28）等APT组织通过⽹络攻击，在情报窃取、信息传播、舆论引导⽅⾯发挥作⽤，甚⾄部分组织通过⽹络攻击针对基础设施进⾏破坏。在以⾊列与伊朗全⾯对抗中，伊朗⾼层领导⼈和核计划专家被执⾏定点清除，从打击的准度和精度看，攻击者事先早已通过各种技术⼿段掌握相关专家的⾝份和实时位置信息。当下地缘政治和军事冲突中，皴攻城略地皴的传统征服模式已经被取代，⽽定点打击已经成为⼀种⾼效的常态化战术。在万物互联的时代，⽹络空间对抗与地缘政治冲突的交汇点上，这不仅仅是⼀次简单的军事打击，它深层次地揭⽰了⽹络空间⼒量在现代冲突中，战略价值从幕后⾛向前台。这将会引发关于⽹络战规则、冲突升级阈值以及未来战争形态的深刻争议。在现代战争中，⽹络安全的定位已从传统“后勤保障”跃升为“核⼼作战能⼒”，直接决定战争主动权归属、攻防成本⾼低与最终胜负⾛向。2026年1⽉4⽇，美国政府透露，在对委内瑞拉⾸都加拉加斯发动空袭并成功抓捕委总统尼⻢杜罗的⾏动中，美⽅或动⽤⽹络攻击等技术⼿段切断了当地电⼒供应。这⼀事件成为近年来美国对外公开使⽤⽹络战⼒的典型案例。可⻅，⽹络空间已成为⼤国博弈与现代战争的关键战场，⽹络攻防能⼒的强弱将持续影响国际格局与战争形态的演变。图：PDVSA关于此次攻击的声明2025年APT攻击发展趋势分析破坏背后的逻辑，⽹络攻击成为地缘政治⼯具2025年度全球⾼级持续性威胁（APT）研究报告
6、跨平台攻击武器构造复杂攻击链
近些年，越来越多的APT组织开始开发跨平台攻击武器。表⾯上是攻击资源集约化、攻击覆盖⾯最⼤化、防御突破效率化的必然趋势，本质是攻击者针对“多终端协同办公、多系统混合部署”的现代IT架构，实施的精准战术适配。这种趋势不仅⼤幅提升了攻击的隐蔽性和杀伤⼒，也对传统“单点防御”体系提出了极⼤挑战，成为当前⽹络安全对抗的核⼼痛点之⼀。APT-C-28（ScarCruft）组织虚假的Office安装包攻击活动是典型的跨平台攻击⾏为，使⽤了多种跨平台脚本开展窃密攻击。现代攻击武器不再局限于单⼀操作系统或终端类型，⽽是实现了对Windows、Linux、macOS、iOS、Android以及物联⽹（IoT）设备、⼯业控制系统（ICS）的全覆盖适配。跨平台武器的核⼼价值不在于“多平台运⾏”，⽽在于构建跨终端的协同攻击链条。攻击组织普遍采⽤“核⼼载荷 + 跨平台模块”的武器架构：核⼼恶意逻辑基于HTTP/HTTPS、TCP等通⽤⽹络协议实现，⽽针对不同平台的执⾏模块则通过调⽤开源组件（如Python的cross-platform库、Go语⾔的跨编译⼯具）快速开发。这种模块化设计让攻击武器的开发、更新成本⼤幅降低，只需修改少量适配代码，就能快速⽀持新的操作系统或终端类型。
7、针对海外机构的APT攻击增多，威胁⻛险加⼤
近年来，我国驻外使领馆、经商处、中资企业、⽂化中⼼等驻外机构，正成为国家级APT组织的优先攻击⽬标；攻击威胁在频次、战术复杂度、情报窃取意图上显著升级。这⼀趋势在2023年⾄2025年间尤为突出。在我国参与重⼤国际会议和重要外事活动期间，南亚、东南亚地区APT组织对我国驻外外交、驻外经贸合作、国际政策研究等相关单位的攻击活动明显活跃。⽬标直指驻外机构的邮件系统、内部⽂档与外交决策信息。其中中东、南亚、北美为攻击密度最⾼区域，与地缘冲突热点⾼度重合。⽬标不再局限于传统的使领馆核⼼⽹络，甚⾄延伸⾄驻外⼈员个⼈⼿机、电脑设备。这些攻击动机主要瞄准“外交战略、双边谈判底线、军事信息”，“能源合作、基建项⽬、经贸谈判数据”，以及“制造外交压⼒、破坏我国国家形象”。其背后主因⾸先是中美博弈加剧，美国将我国视为“战略竞争对⼿”，通过APT-C-40（NSA）等组织对我国驻外机构实施常态化⽹络监控与渗透，试图获取外交、军
8、国家级APT攻击瞄准国产应⽤，
信创基础设施威胁凸显当APT组织针对性发起信创平台应⽤软件的⽹络攻击，当国产软件漏洞被APT组织利⽤，⼀场围绕信创基础设施的⽹络攻防战已然打响。⾃主可控软件和信创产业作为国家科技⾃⽴⾃强的核⼼载体，正成为国家级⽹络攻击的重点⽬标。随着我国“2+8+N”信创体系加速落地，核⼼软硬件国产化替代进⼊关键期，在政务、⾦融、能源等关键领域构建起⾃主可控的数字基础设施与关键信息基础设施。这种技术突围打破了既有的全球科技格局，使得APT组织将信创体系视为战略竞争的“新战场”，通过国家级⽹络⼒量实施精准打击。从利⽤国产软件漏洞制作钓⻥诱饵，到美情报机构通过OA系统供应链漏洞窃取密码和研发核⼼数据，攻击⾏为呈现出⽬标明确、⼿段专业、资源充沛的鲜明特征，本质上是通过破坏信创安全来遏制我国科技⾃主进程。当前信创安全⾯临的挑战具有复杂性和系统性。⼀⽅⾯，部分信创软件产品处于快速迭代期，安全机制成熟度有待提升；另⼀⽅⾯，国产化应⽤软件迁移过程中存在底层架构重塑，安全策略响应 滞后放⼤了⻛险窗⼝。值得警惕的是，攻击者已形成精准打击能⼒：专⻔开发适配国产系统的⽊⻢，展现出对信创⽣态的深度研究。这些攻击⼿段精准击中了当前信创安全的薄弱环节。信创产业的安全发展，从来不是单⼀企业或⾏业的独⻆戏，⽽是关乎国家数字主权的系统⼯程。⾯对⽇趋激烈的⽹络空间博弈，我们要将安全理念深植产业发展⾎脉。唯有技术创新与安全防护双轮驱动，才能让信创基础设施真正成为数字中国的“安全底座”，在全球科技竞争中牢牢掌握主动权。事、经济情报，掌握博弈主动权；其次，区域冲突外溢，中东、南亚等地区冲突中，我国驻外机构成为各⽅势⼒获取情报的“窗⼝”，⽹络攻击成为地缘对抗的“低成本武器”；再次，我国在全球治理、“⼀带⼀路”倡议等领域的外交活动频繁，驻外机构成为情报收集的重点⽬标，攻击频次随外交活动密度同步上升。⽽IT架构复杂，设备与软件国产化不⾜，存在供应链安全隐患，防护碎⽚化缺乏统⼀安全管理平台，这些也使得驻外⼈员易成为攻击突破⼝。我国驻外机构⽹络攻击威胁的增加，是地缘政治冲突、数字技术发展与防护体系不完善共同作⽤的结果。攻击的本质是情报窃取与地缘博弈，⽽⾮单纯的技术犯罪。2025年APT攻击发展趋势分析跨平台攻击武器构造复杂攻击链2025年度全球⾼级持续性威胁（APT）研究报告
6、跨平台攻击武器构造复杂攻击链
近些年，越来越多的APT组织开始开发跨平台攻击武器。表⾯上是攻击资源集约化、攻击覆盖⾯最⼤化、防御突破效率化的必然趋势，本质是攻击者针对“多终端协同办公、多系统混合部署”的现代IT架构，实施的精准战术适配。这种趋势不仅⼤幅提升了攻击的隐蔽性和杀伤⼒，也对传统“单点防御”体系提出了极⼤挑战，成为当前⽹络安全对抗的核⼼痛点之⼀。APT-C-28（ScarCruft）组织虚假的Office安装包攻击活动是典型的跨平台攻击⾏为，使⽤了多种跨平台脚本开展窃密攻击。现代攻击武器不再局限于单⼀操作系统或终端类型，⽽是实现了对Windows、Linux、macOS、iOS、Android以及物联⽹（IoT）设备、⼯业控制系统（ICS）的全覆盖适配。跨平台武器的核⼼价值不在于“多平台运⾏”，⽽在于构建跨终端的协同攻击链条。攻击组织普遍采⽤“核⼼载荷 + 跨平台模块”的武器架构：核⼼恶意逻辑基于HTTP/HTTPS、TCP等通⽤⽹络协议实现，⽽针对不同平台的执⾏模块则通过调⽤开源组件（如Python的cross-platform库、Go语⾔的跨编译⼯具）快速开发。这种模块化设计让攻击武器的开发、更新成本⼤幅降低，只需修改少量适配代码，就能快速⽀持新的操作系统或终端类型。
7、针对海外机构的APT攻击增多，威胁⻛险加⼤
近年来，我国驻外使领馆、经商处、中资企业、⽂化中⼼等驻外机构，正成为国家级APT组织的优先攻击⽬标；攻击威胁在频次、战术复杂度、情报窃取意图上显著升级。这⼀趋势在2023年⾄2025年间尤为突出。在我国参与重⼤国际会议和重要外事活动期间，南亚、东南亚地区APT组织对我国驻外外交、驻外经贸合作、国际政策研究等相关单位的攻击活动明显活跃。⽬标直指驻外机构的邮件系统、内部⽂档与外交决策信息。其中中东、南亚、北美为攻击密度最⾼区域，与地缘冲突热点⾼度重合。⽬标不再局限于传统的使领馆核⼼⽹络，甚⾄延伸⾄驻外⼈员个⼈⼿机、电脑设备。这些攻击动机主要瞄准“外交战略、双边谈判底线、军事信息”，“能源合作、基建项⽬、经贸谈判数据”，以及“制造外交压⼒、破坏我国国家形象”。其背后主因⾸先是中美博弈加剧，美国将我国视为“战略竞争对⼿”，通过APT-C-40（NSA）等组织对我国驻外机构实施常态化⽹络监控与渗透，试图获取外交、军
8、国家级APT攻击瞄准国产应⽤，
信创基础设施威胁凸显当APT组织针对性发起信创平台应⽤软件的⽹络攻击，当国产软件漏洞被APT组织利⽤，⼀场围绕信创基础设施的⽹络攻防战已然打响。⾃主可控软件和信创产业作为国家科技⾃⽴⾃强的核⼼载体，正成为国家级⽹络攻击的重点⽬标。随着我国“2+8+N”信创体系加速落地，核⼼软硬件国产化替代进⼊关键期，在政务、⾦融、能源等关键领域构建起⾃主可控的数字基础设施与关键信息基础设施。这种技术突围打破了既有的全球科技格局，使得APT组织将信创体系视为战略竞争的“新战场”，通过国家级⽹络⼒量实施精准打击。从利⽤国产软件漏洞制作钓⻥诱饵，到美情报机构通过OA系统供应链漏洞窃取密码和研发核⼼数据，攻击⾏为呈现出⽬标明确、⼿段专业、资源充沛的鲜明特征，本质上是通过破坏信创安全来遏制我国科技⾃主进程。当前信创安全⾯临的挑战具有复杂性和系统性。⼀⽅⾯，部分信创软件产品处于快速迭代期，安全机制成熟度有待提升；另⼀⽅⾯，国产化应⽤软件迁移过程中存在底层架构重塑，安全策略响应 滞后放⼤了⻛险窗⼝。值得警惕的是，攻击者已形成精准打击能⼒：专⻔开发适配国产系统的⽊⻢，展现出对信创⽣态的深度研究。这些攻击⼿段精准击中了当前信创安全的薄弱环节。信创产业的安全发展，从来不是单⼀企业或⾏业的独⻆戏，⽽是关乎国家数字主权的系统⼯程。⾯对⽇趋激烈的⽹络空间博弈，我们要将安全理念深植产业发展⾎脉。唯有技术创新与安全防护双轮驱动，才能让信创基础设施真正成为数字中国的“安全底座”，在全球科技竞争中牢牢掌握主动权。事、经济情报，掌握博弈主动权；其次，区域冲突外溢，中东、南亚等地区冲突中，我国驻外机构成为各⽅势⼒获取情报的“窗⼝”，⽹络攻击成为地缘对抗的“低成本武器”；再次，我国在全球治理、“⼀带⼀路”倡议等领域的外交活动频繁，驻外机构成为情报收集的重点⽬标，攻击频次随外交活动密度同步上升。⽽IT架构复杂，设备与软件国产化不⾜，存在供应链安全隐患，防护碎⽚化缺乏统⼀安全管理平台，这些也使得驻外⼈员易成为攻击突破⼝。我国驻外机构⽹络攻击威胁的增加，是地缘政治冲突、数字技术发展与防护体系不完善共同作⽤的结果。攻击的本质是情报窃取与地缘博弈，⽽⾮单纯的技术犯罪。2025年APT攻击发展趋势分析跨平台攻击武器构造复杂攻击链2025年度全球⾼级持续性威胁（APT）研究报告
1、AI驱动的攻击全⾯升级，
智能体将⼤⼤提升攻击效率AI技术已经深⼊IT领域，以AI为驱动的APT攻击会越来越普遍。在2025年，APT-C-26（Lazarus）组织的虚假⾯试攻击利⽤了AI的深度伪造技术进⾏钓⻥攻击。深度伪造诈骗将常态化，利⽤视频会议诈骗、⾼管语⾳/视频指令欺诈成功率将会激增，⽽AI模仿声⾳、样貌与神态，邮件仿冒将会升级为“实时交互钓⻥”，钓⻥攻击⼿段必将“花样百出”。AI智能体已成为钓⻥攻击主⼒⼯具，未来⾃动化伪造流程使得攻击组织的钓⻥话题紧跟时事。⽣成式AI批量⽣产深度伪造钓⻥邮件为不同受害者“量⾝定制”，攻击周期压缩⾄分钟级。在攻击侧，智能体正在颠覆传统的⽹络攻防格局。过去，⾼⽔平的攻击者的成⻓周期极⻓，攻击⾏为⾼度依赖个⼈经验和技能。如今，攻击者可以将多年积累的攻击⼿法、渗透经验、漏洞利⽤技巧等，全部训练进⼤模型，打造出“攻击者智能体”，可以⾃动完成⼀系列攻击任务。⽽且攻击者智能体易于批量复制，只要有算⼒，便可以复制成千上万个。⼀个⼈类攻击者可以管理⼏⼗个甚⾄上百个攻击者智能体，成为超级攻击者，将攻击者的攻击频率极⼤拓宽、攻击效率极⼤提升，进⼀步加剧⽹络攻防的不对称性。2026年APT攻击发展趋势预测AI驱动的攻击全⾯升级，智能体将⼤⼤提升攻击效率云基础设施与供应链攻击更为频繁关键基础设施成为破坏与勒索的⾸选⽬标量⼦计算威胁逼近，加密数据泄露不可不查⽹络攻击是混合作战的重要组成部分攻击技术持续升级、系统化攻击⼯程是必经之路
2、云基础设施与供应链攻击更为频繁
在2025年，多个APT组织使⽤云基础设施提供的服务作为⽹络攻击节点，通过污染供应链的⽅式对云上服务展开攻击。2026年，云基础设施与供应链攻击态势正经历深刻演变。随着企业全⾯拥抱混合云、多云架构和AI驱动的⾃动化运维，攻击者也同步升级战术，将⽬标从单点系统转向整个数字⽣态链。供应链与云基础设施成APT组织重点攻击⽬标，通过攻击供应商、合作伙伴、云服务商，实现“迂回包抄”，⼀旦攻击成功多云环境导致可⻅性碎⽚化，未授权访问、注⼊攻击与配置错误将会使攻击⽬标快速横向扩散。当攻击者不再攻城略地，⽽是污染⽔源，云基础设施与供应链的融合使得单点失守等价于全⽹崩溃。2025年度全球⾼级持续性威胁（APT）研究报告PART4
1、AI驱动的攻击全⾯升级，
智能体将⼤⼤提升攻击效率AI技术已经深⼊IT领域，以AI为驱动的APT攻击会越来越普遍。在2025年，APT-C-26（Lazarus）组织的虚假⾯试攻击利⽤了AI的深度伪造技术进⾏钓⻥攻击。深度伪造诈骗将常态化，利⽤视频会议诈骗、⾼管语⾳/视频指令欺诈成功率将会激增，⽽AI模仿声⾳、样貌与神态，邮件仿冒将会升级为“实时交互钓⻥”，钓⻥攻击⼿段必将“花样百出”。AI智能体已成为钓⻥攻击主⼒⼯具，未来⾃动化伪造流程使得攻击组织的钓⻥话题紧跟时事。⽣成式AI批量⽣产深度伪造钓⻥邮件为不同受害者“量⾝定制”，攻击周期压缩⾄分钟级。在攻击侧，智能体正在颠覆传统的⽹络攻防格局。过去，⾼⽔平的攻击者的成⻓周期极⻓，攻击⾏为⾼度依赖个⼈经验和技能。如今，攻击者可以将多年积累的攻击⼿法、渗透经验、漏洞利⽤技巧等，全部训练进⼤模型，打造出“攻击者智能体”，可以⾃动完成⼀系列攻击任务。⽽且攻击者智能体易于批量复制，只要有算⼒，便可以复制成千上万个。⼀个⼈类攻击者可以管理⼏⼗个甚⾄上百个攻击者智能体，成为超级攻击者，将攻击者的攻击频率极⼤拓宽、攻击效率极⼤提升，进⼀步加剧⽹络攻防的不对称性。2026年APT攻击发展趋势预测AI驱动的攻击全⾯升级，智能体将⼤⼤提升攻击效率云基础设施与供应链攻击更为频繁关键基础设施成为破坏与勒索的⾸选⽬标量⼦计算威胁逼近，加密数据泄露不可不查⽹络攻击是混合作战的重要组成部分攻击技术持续升级、系统化攻击⼯程是必经之路
2、云基础设施与供应链攻击更为频繁
在2025年，多个APT组织使⽤云基础设施提供的服务作为⽹络攻击节点，通过污染供应链的⽅式对云上服务展开攻击。2026年，云基础设施与供应链攻击态势正经历深刻演变。随着企业全⾯拥抱混合云、多云架构和AI驱动的⾃动化运维，攻击者也同步升级战术，将⽬标从单点系统转向整个数字⽣态链。供应链与云基础设施成APT组织重点攻击⽬标，通过攻击供应商、合作伙伴、云服务商，实现“迂回包抄”，⼀旦攻击成功多云环境导致可⻅性碎⽚化，未授权访问、注⼊攻击与配置错误将会使攻击⽬标快速横向扩散。当攻击者不再攻城略地，⽽是污染⽔源，云基础设施与供应链的融合使得单点失守等价于全⽹崩溃。2025年度全球⾼级持续性威胁（APT）研究报告PART4
4、量⼦计算威胁逼近，加密数据泄露不可不查
量⼦计算通过核⼼算法，从数学基础上⽡解传统密码体系，引发“现在存储、未来解密”的追溯性威胁，同时催⽣混合攻击与防御失衡，是对⽹络安全范式的根本性挑战。量⼦计算对⽹络安全的威胁是“颠覆性”⽽⾮“渐进式”，⼀旦量⼦计算威胁实现⼯程化，必将成为APT组织的核⼼攻击⼿段。当前，全球范围内已出现⼤量针对敏感数据的“囤积式攻击”，攻击者通过窃取⾦融、医疗、政务等领域的加密数据，等待量⼦计算技术成熟后进⾏解密。这种攻击模式的隐蔽性极强，⼀旦量⼦计算突破，将导致历史数据的批量泄露，造成不可挽回的损失。美国已经相继出台多项法案及标准来应对即将到来的威胁。2026年的核⼼任务，应尽快识别敏感数据资产，建⽴量⼦迁移计划。
5、⽹络攻击是混合作战的重要组成部分
不管是在俄乌冲突这种⼤规模兵团作战中，特种部队的⼩规模斩⾸⾏动中，还是印巴战略对峙中，⽹络攻击已从传统作战的“辅助⼿段”升级为“核⼼赋能模块”，其重要性贯穿作战全流程、覆盖战略-战役-战术全层级，是实现“降维打击”和“体系破击”的关键抓⼿。混合作战的核⼼是多域⼒量的协同联动，⽽⽹络空间是串联陆、海、空、天、电等作战域的“⽆形纽带”。⽹络攻击的⾸要价值在于抢占“制⽹权”，进⽽夺取制信息权、制空权、制海权等传统制权的前置优势。未来战争的胜负，很可能在⽹络空间的⽆声较量中早已决定。因此，构建强⼤的⽹络防御体系、提升⽹络韧性，并发展⽹络反击能⼒，已成为国家综合安全战略的重中之重。
6、攻击技术持续升级、系统化攻击⼯程是必经之路
在2025年，⼏乎所有的APT组织都升级了他们的攻击武器、攻击策略。在近些年的APT攻击⾏动中可以看出，先进的攻击⼯具能突破更为严密的防守，⽽复杂的攻击链才能造成更⼤的影响。在未来，APT攻击组织的攻击能⼒将体现在能否将“复杂情报分析、技术的快速变化、战术的迅速调整”整合成统⼀、连贯的整体，能够⾃适应场景的变化。⽹络攻击⼿段将从零散⼯具叠加转向全链路协同、模块化组装、AI驱动闭环、产业化分⼯的系统化形态，攻击链被拆解为可复⽤组件，从侦察到攻击的全流程实现标准化，攻击⼯具集成系统化。以北美地区的APT-C-39（CIA）和APT-C-40（NSA）组织为代表，这些APT组织的渗透程度最深、潜伏时间最⻓。APT组织的动机往往能体现出国家政治利益，博弈层次已经从攻防技术演变为军事威慑⼒和经济安全的复合型战略博弈。IT技术先发地区的APT组织凭借技术积累，在⽹络武器研发、漏洞储备、⽹络资源掌控上占据优势；后发地区的APT组织，寄希望于⽹络空间中“弯道超⻋”，也投⼊资源加速⽹络军备竞赛。APT攻击已经从“单兵作战”升级为“体系化作战”，其复杂程度与组织性堪⽐⼀场⼩型“数字战争。
3、关键基础设施成为破坏与勒索的⾸选⽬标
⽆论是在在俄乌冲突中、伊以冲突中、印巴对峙中，还是在美国对南美国家的威吓中，情报窃取和系统破坏⼀直是APT组织的核⼼战术⼿段。在涉及到地缘政治冲突时候，国家级APT攻击必将延伸⾄军事、通信，电⼒、交通、能源等国计⺠⽣核⼼⾏业。不管是核⼼情报泄露，还是物理层⾯的破坏将会给对⼿造成严重后果。“擦除器”这类攻击武器永久破坏⽬标系统数据，使其丧失可⽤性。其攻击效果明显，攻击动机简单直接：多为地缘政治威慑、战略破坏或掩盖攻击痕迹；攻击过程体现出“快速、彻底、隐蔽”的特征，致⼒于快速达成战术⽬标，防⽌追踪溯源。勒索攻击是对基础设施破坏的⼀个重要⼿段，不同于“擦除器”这类攻击武器，勒索攻击的核⼼⽬标是数据劫持，以获取⾼额赎⾦为核⼼⽬的。但在APT组织开展的勒索攻击中，往往有更为隐晦的攻击⽬的。在过去我们捕获的APT勒索事件中，有些攻击的牟利动机不显，攻击者真实意图不明；⽽在⼀些窃密攻击活动当中，勒索攻击发⽣在攻击中段，表现为较强的⿊灰产特征，意图掩盖攻击者真实意图，⼲扰事件归因；此外，还有⼀些⿊灰产攻击者在数据劫持成功之后，将劫持系统售卖给APT组织，随着“窃密+加密”的双重勒索模式越来越多，这种商业转让将会更多发⽣。勒索攻击使得攻击者的攻击效果可以在“破坏”和“窃密”之间随时切换，更⽅便攻击者随时适配其攻击动机。2026年APT攻击发展趋势预测关键基础设施成为破坏与勒索的⾸选⽬标2025年度全球⾼级持续性威胁（APT）研究报告
4、量⼦计算威胁逼近，加密数据泄露不可不查
量⼦计算通过核⼼算法，从数学基础上⽡解传统密码体系，引发“现在存储、未来解密”的追溯性威胁，同时催⽣混合攻击与防御失衡，是对⽹络安全范式的根本性挑战。量⼦计算对⽹络安全的威胁是“颠覆性”⽽⾮“渐进式”，⼀旦量⼦计算威胁实现⼯程化，必将成为APT组织的核⼼攻击⼿段。当前，全球范围内已出现⼤量针对敏感数据的“囤积式攻击”，攻击者通过窃取⾦融、医疗、政务等领域的加密数据，等待量⼦计算技术成熟后进⾏解密。这种攻击模式的隐蔽性极强，⼀旦量⼦计算突破，将导致历史数据的批量泄露，造成不可挽回的损失。美国已经相继出台多项法案及标准来应对即将到来的威胁。2026年的核⼼任务，应尽快识别敏感数据资产，建⽴量⼦迁移计划。
5、⽹络攻击是混合作战的重要组成部分
不管是在俄乌冲突这种⼤规模兵团作战中，特种部队的⼩规模斩⾸⾏动中，还是印巴战略对峙中，⽹络攻击已从传统作战的“辅助⼿段”升级为“核⼼赋能模块”，其重要性贯穿作战全流程、覆盖战略-战役-战术全层级，是实现“降维打击”和“体系破击”的关键抓⼿。混合作战的核⼼是多域⼒量的协同联动，⽽⽹络空间是串联陆、海、空、天、电等作战域的“⽆形纽带”。⽹络攻击的⾸要价值在于抢占“制⽹权”，进⽽夺取制信息权、制空权、制海权等传统制权的前置优势。未来战争的胜负，很可能在⽹络空间的⽆声较量中早已决定。因此，构建强⼤的⽹络防御体系、提升⽹络韧性，并发展⽹络反击能⼒，已成为国家综合安全战略的重中之重。
6、攻击技术持续升级、系统化攻击⼯程是必经之路
在2025年，⼏乎所有的APT组织都升级了他们的攻击武器、攻击策略。在近些年的APT攻击⾏动中可以看出，先进的攻击⼯具能突破更为严密的防守，⽽复杂的攻击链才能造成更⼤的影响。在未来，APT攻击组织的攻击能⼒将体现在能否将“复杂情报分析、技术的快速变化、战术的迅速调整”整合成统⼀、连贯的整体，能够⾃适应场景的变化。⽹络攻击⼿段将从零散⼯具叠加转向全链路协同、模块化组装、AI驱动闭环、产业化分⼯的系统化形态，攻击链被拆解为可复⽤组件，从侦察到攻击的全流程实现标准化，攻击⼯具集成系统化。以北美地区的APT-C-39（CIA）和APT-C-40（NSA）组织为代表，这些APT组织的渗透程度最深、潜伏时间最⻓。APT组织的动机往往能体现出国家政治利益，博弈层次已经从攻防技术演变为军事威慑⼒和经济安全的复合型战略博弈。IT技术先发地区的APT组织凭借技术积累，在⽹络武器研发、漏洞储备、⽹络资源掌控上占据优势；后发地区的APT组织，寄希望于⽹络空间中“弯道超⻋”，也投⼊资源加速⽹络军备竞赛。APT攻击已经从“单兵作战”升级为“体系化作战”，其复杂程度与组织性堪⽐⼀场⼩型“数字战争。
3、关键基础设施成为破坏与勒索的⾸选⽬标
⽆论是在在俄乌冲突中、伊以冲突中、印巴对峙中，还是在美国对南美国家的威吓中，情报窃取和系统破坏⼀直是APT组织的核⼼战术⼿段。在涉及到地缘政治冲突时候，国家级APT攻击必将延伸⾄军事、通信，电⼒、交通、能源等国计⺠⽣核⼼⾏业。不管是核⼼情报泄露，还是物理层⾯的破坏将会给对⼿造成严重后果。“擦除器”这类攻击武器永久破坏⽬标系统数据，使其丧失可⽤性。其攻击效果明显，攻击动机简单直接：多为地缘政治威慑、战略破坏或掩盖攻击痕迹；攻击过程体现出“快速、彻底、隐蔽”的特征，致⼒于快速达成战术⽬标，防⽌追踪溯源。勒索攻击是对基础设施破坏的⼀个重要⼿段，不同于“擦除器”这类攻击武器，勒索攻击的核⼼⽬标是数据劫持，以获取⾼额赎⾦为核⼼⽬的。但在APT组织开展的勒索攻击中，往往有更为隐晦的攻击⽬的。在过去我们捕获的APT勒索事件中，有些攻击的牟利动机不显，攻击者真实意图不明；⽽在⼀些窃密攻击活动当中，勒索攻击发⽣在攻击中段，表现为较强的⿊灰产特征，意图掩盖攻击者真实意图，⼲扰事件归因；此外，还有⼀些⿊灰产攻击者在数据劫持成功之后，将劫持系统售卖给APT组织，随着“窃密+加密”的双重勒索模式越来越多，这种商业转让将会更多发⽣。勒索攻击使得攻击者的攻击效果可以在“破坏”和“窃密”之间随时切换，更⽅便攻击者随时适配其攻击动机。2026年APT攻击发展趋势预测关键基础设施成为破坏与勒索的⾸选⽬标2025年度全球⾼级持续性威胁（APT）研究报告参考链接参考链接
1.https://www.bleepingcomputer.com/news/security/sandworm-hackers-use-
data-wipers-to-disrupt-ukraines-grain-sector/
2.https://www.welivesecurity.com/en/eset-research/operation-roundpress/#h2-6
3.https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141a
4.https://research.checkpoint.com/2025/apt29-phishing-campaign/
5.https://www.volexity.com/blog/2025/02/13/multiple-russian-threat-actors-
targeting-microsoft-device-code-authentication/
6.https://mp.weixin.qq.com/s/zerWPti8aO8ymhOT1Ij-ig
7.https://www.microsoft.com/en-us/security/blog/2025/07/31/frozen-in-transit-
secret-blizzards-aitm-campaign-against-diplomats/
8.https://harfanglab.io/insidethelab/uac-0057-pressure-ukraine-poland/
9.https://mp.weixin.qq.com/s/N-ut-NCAPdbdidb4Ng8hdw
10.https://mp.weixin.qq.com/s/CI1g4iaYxHhO925V15LvIQ
11.https://mp.weixin.qq.com/s/wxRSVugKHy7x1SmANQOrAA
12.https://mp.weixin.qq.com/s/ItcbKuoH0KjJjzSTG7YSrA
13.https://www.fortinet.com/blog/threat-research/confucius-espionage-from-
stealer-to-backdoor
14.https://labs.k7computing.com/index.php/breakingdown-of-patchwork-apt/
15.https://www.trellix.com/blogs/research/from-click-to-compromise-unveiling-the-
参考链接2025年度全球⾼级持续性威胁（APT）研究报告PART5参考链接参考链接
1.https://www.bleepingcomputer.com/news/security/sandworm-hackers-use-
data-wipers-to-disrupt-ukraines-grain-sector/
2.https://www.welivesecurity.com/en/eset-research/operation-roundpress/#h2-6
3.https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141a
4.https://research.checkpoint.com/2025/apt29-phishing-campaign/
5.https://www.volexity.com/blog/2025/02/13/multiple-russian-threat-actors-
targeting-microsoft-device-code-authentication/
6.https://mp.weixin.qq.com/s/zerWPti8aO8ymhOT1Ij-ig
7.https://www.microsoft.com/en-us/security/blog/2025/07/31/frozen-in-transit-
secret-blizzards-aitm-campaign-against-diplomats/
8.https://harfanglab.io/insidethelab/uac-0057-pressure-ukraine-poland/
9.https://mp.weixin.qq.com/s/N-ut-NCAPdbdidb4Ng8hdw
10.https://mp.weixin.qq.com/s/CI1g4iaYxHhO925V15LvIQ
11.https://mp.weixin.qq.com/s/wxRSVugKHy7x1SmANQOrAA
12.https://mp.weixin.qq.com/s/ItcbKuoH0KjJjzSTG7YSrA
13.https://www.fortinet.com/blog/threat-research/confucius-espionage-from-
stealer-to-backdoor
14.https://labs.k7computing.com/index.php/breakingdown-of-patchwork-apt/
15.https://www.trellix.com/blogs/research/from-click-to-compromise-unveiling-the-
参考链接2025年度全球⾼级持续性威胁（APT）研究报告PART5sophisticated-attack-of-donot-apt-group-on-southern-european-government-entities/
16.https://www.huntress.com/blog/inside-bluenoroff-web3-intrusion-analysis
17.https://fieldeffect.com/blog/zoom-doom-bluenoroff-call-opens-the-door
18.https://6068438.fs1.hubspotusercontent-na1.net/hubfs/6068438/saja-dprk-
employment-scam-network.pdf
19.https://www.microsoft.com/en-us/security/blog/2025/06/30/jasper-sleet-north-
korean-remote-it-workers-evolving-tactics-to-infiltrate-organizations/
20.https://www.genians.co.kr/en/blog/threat_intelligence/android?hsCtaAttrib=255
186951894
21.https://research.checkpoint.com/2025/iranian-educated-manticore-targets-
leading-tech-academics/
22.https://www.welivesecurity.com/en/eset-research/bladedfeline-whispering-dark/
23.https://unit42.paloaltonetworks.com/iranian-attackers-impersonate-model-
agency/
24.https://mp.weixin.qq.com/s/nY2Hyg6ZsM7ViXW1lhO2Ag
25.https://hunt.io/blog/track-apt34-like-infrastructure-before-it-strikes
26.https://www.proofpoint.com/us/blog/threat-insight/call-it-what-you-want-
threat-actor-delivers-highly-targeted-multistage-polyglot
27.https://securelist.com/bellacpp-cpp-version-of-bellaciao/115087/
28.https://research.checkpoint.com/2024/new-bugsleep-backdoor-deployed-in-
recent-muddywater-campaigns/
29.https://www.group-ib.com/blog/muddywater-infrastructure-
malware/#introduction
30.https://mp.weixin.qq.com/s/BHyqfnMMMAvDDX_LZVubyA
31.https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/tracing-
blind-eagle-to-proton66/
32.https://x.com/Merlax/status/1919786735648833727
33.https://research.checkpoint.com/2025/blind-eagle-and-justice-for-all/#single-
post
34.https://mp.weixin.qq.com/s/leEKONeK1JsAvPRF837Pow
35.https://www.recordedfuture.com/research/drat-v2-updated-drat-emerges-tag-
140s-arsenal
36.https://hunt.io/blog/apt36-clickfix-campaign-indian-ministry-of-defence
37.https://www.seqrite.com/blog/goodbye-hta-hello-msi-new-ttps-and-clusters-of-
an-apt-driven-by-multi-platform-attacks/
38.https://blog.xlab.qianxin.com/p/9a61b251-aa91-46df-b36a-dea00c3b8add/
39.https://mp.weixin.qq.com/s/88VDPssTV3LG9MHgAG5VsQ
40.https://mp.weixin.qq.com/s/nyxZFXgrtm2-tBiV3-wiMg
41.https://mp.weixin.qq.com/s/Cx-v95Ua8U7I77-yQFckpA
42.https://mp.weixin.qq.com/s/m2G9oLHv04HJDW8mB5rDA
43.https://3w.huanqiu.com/a/de583b/4MIDCq1bC5d
参考链接2025年度全球⾼级持续性威胁（APT）研究报告sophisticated-attack-of-donot-apt-group-on-southern-european-government-entities/
16.https://www.huntress.com/blog/inside-bluenoroff-web3-intrusion-analysis
17.https://fieldeffect.com/blog/zoom-doom-bluenoroff-call-opens-the-door
18.https://6068438.fs1.hubspotusercontent-na1.net/hubfs/6068438/saja-dprk-
employment-scam-network.pdf
19.https://www.microsoft.com/en-us/security/blog/2025/06/30/jasper-sleet-north-
korean-remote-it-workers-evolving-tactics-to-infiltrate-organizations/
20.https://www.genians.co.kr/en/blog/threat_intelligence/android?hsCtaAttrib=255
186951894
21.https://research.checkpoint.com/2025/iranian-educated-manticore-targets-
leading-tech-academics/
22.https://www.welivesecurity.com/en/eset-research/bladedfeline-whispering-dark/
23.https://unit42.paloaltonetworks.com/iranian-attackers-impersonate-model-
agency/
24.https://mp.weixin.qq.com/s/nY2Hyg6ZsM7ViXW1lhO2Ag
25.https://hunt.io/blog/track-apt34-like-infrastructure-before-it-strikes
26.https://www.proofpoint.com/us/blog/threat-insight/call-it-what-you-want-
threat-actor-delivers-highly-targeted-multistage-polyglot
27.https://securelist.com/bellacpp-cpp-version-of-bellaciao/115087/
28.https://research.checkpoint.com/2024/new-bugsleep-backdoor-deployed-in-
recent-muddywater-campaigns/
29.https://www.group-ib.com/blog/muddywater-infrastructure-
malware/#introduction
30.https://mp.weixin.qq.com/s/BHyqfnMMMAvDDX_LZVubyA
31.https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/tracing-
blind-eagle-to-proton66/
32.https://x.com/Merlax/status/1919786735648833727
33.https://research.checkpoint.com/2025/blind-eagle-and-justice-for-all/#single-
post
34.https://mp.weixin.qq.com/s/leEKONeK1JsAvPRF837Pow
35.https://www.recordedfuture.com/research/drat-v2-updated-drat-emerges-tag-
140s-arsenal
36.https://hunt.io/blog/apt36-clickfix-campaign-indian-ministry-of-defence
37.https://www.seqrite.com/blog/goodbye-hta-hello-msi-new-ttps-and-clusters-of-
an-apt-driven-by-multi-platform-attacks/
38.https://blog.xlab.qianxin.com/p/9a61b251-aa91-46df-b36a-dea00c3b8add/
39.https://mp.weixin.qq.com/s/88VDPssTV3LG9MHgAG5VsQ
40.https://mp.weixin.qq.com/s/nyxZFXgrtm2-tBiV3-wiMg
41.https://mp.weixin.qq.com/s/Cx-v95Ua8U7I77-yQFckpA
42.https://mp.weixin.qq.com/s/m2G9oLHv04HJDW8mB5rDA
43.https://3w.huanqiu.com/a/de583b/4MIDCq1bC5d
参考链接2025年度全球⾼级持续性威胁（APT）研究报告
44.https://www.cert.org.cn/publish/main/49/2025/20250117141306569102021/2025
0117141306569102021_.html
45.https://www.cert.org.cn/publish/main/49/2025/20250117141608670773438/2025
0117141608670773438_.html
46.https://www.cverc.org.cn/head/zhaiyao/news20250403-haerbinyadonghui.htm
47.https://www.cert.org.cn/publish/main/49/2025/20251019142622914870997/2025
1019142622914870997_.html
48.http://society.people.com.cn/n1/2025/0528/c1008-40489086.html
49.http://www.china.com.cn/opinion2020/2025-06/09/content_117916848.shtml
50.https://www.impriindia.com/insights/policy-update/space-security-cyber/
51.https://www.mea.gov.in/press-releases.htm?dtl%2F38924%2F
52.https://news.cnr.cn/native/gd/kx/20251019/t20251019_527401113.shtml
53.https://www.mps.gov.cn:8080/n2254098/n4904352/c10047273/content.html
54.https://mp.weixin.qq.com/s/ZtKjlaIoMVCSY-rXt2RP1Q
55.https://mp.weixin.qq.com/s/nFdDdsTVGR9LD4t5NW8VHw
56.https://www.china-cia.org.cn/WorkDetail/MCA-by-USIA.html
57.https://mp.weixin.qq.com/s/kzdSrLdejED3MxSKtszUnA
58.https://mp.weixin.qq.com/s/fm4Z9L0_b3w3A-QdqkB_7A
59.https://mp.weixin.qq.com/s/1uVaMzBvt1PlmMMXEZvuzg
60.https://mp.weixin.qq.com/s/AS3kRKDW63IzZCbxIb_MoA
61.https://cloud.tencent.com.cn/developer/article/2564920
62.https://www.toutiao.com/article/7590002044509930036/
63.https://www.51cto.com/article/819037.html
64.https://www.toutiao.com/article/7587234030123352617/
65.https://www.c114.com.cn/satellite/2514/a1286133.html
66.https://cloud.tencent.com.cn/developer/article/2577187
67.https://www.br-cn.com/static/content/news/br_news/2025-10-
22/1430659388729757547.html
68.https://thehackernews.com/2025/08/blind-eagles-five-clusters-target.html
69.https://www.toutiao.com/article/7592393443097035279/
70.resecurity.com/blog/article/paraguay-is-being-targeted-by-cybercriminals-74-
million-citizen-records-for-sale
71.https://blog.lacnic.net/en/the-perfect-storm-the-largest-cyberattack-on-brazils-
financial-system/
72.https://www.crowdstrike.com/en-us/blog/2025-latam-threat-landscape-report-
deep-dive/
73.https://mp.weixin.qq.com/s/43unkZrYzJ4Roo-2NuREZg
74.https://armedservices.house.gov/uploadedfiles/deterring_china.pdf
75.https://docs.house.gov/billsthisweek/20241209/RCP_HR5009_xml%5b89%5d.pd
参考链接2025年度全球⾼级持续性威胁（APT）研究报告
44.https://www.cert.org.cn/publish/main/49/2025/20250117141306569102021/2025
0117141306569102021_.html
45.https://www.cert.org.cn/publish/main/49/2025/20250117141608670773438/2025
0117141608670773438_.html
46.https://www.cverc.org.cn/head/zhaiyao/news20250403-haerbinyadonghui.htm
47.https://www.cert.org.cn/publish/main/49/2025/20251019142622914870997/2025
1019142622914870997_.html
48.http://society.people.com.cn/n1/2025/0528/c1008-40489086.html
49.http://www.china.com.cn/opinion2020/2025-06/09/content_117916848.shtml
50.https://www.impriindia.com/insights/policy-update/space-security-cyber/
51.https://www.mea.gov.in/press-releases.htm?dtl%2F38924%2F
52.https://news.cnr.cn/native/gd/kx/20251019/t20251019_527401113.shtml
53.https://www.mps.gov.cn:8080/n2254098/n4904352/c10047273/content.html
54.https://mp.weixin.qq.com/s/ZtKjlaIoMVCSY-rXt2RP1Q
55.https://mp.weixin.qq.com/s/nFdDdsTVGR9LD4t5NW8VHw
56.https://www.china-cia.org.cn/WorkDetail/MCA-by-USIA.html
57.https://mp.weixin.qq.com/s/kzdSrLdejED3MxSKtszUnA
58.https://mp.weixin.qq.com/s/fm4Z9L0_b3w3A-QdqkB_7A
59.https://mp.weixin.qq.com/s/1uVaMzBvt1PlmMMXEZvuzg
60.https://mp.weixin.qq.com/s/AS3kRKDW63IzZCbxIb_MoA
61.https://cloud.tencent.com.cn/developer/article/2564920
62.https://www.toutiao.com/article/7590002044509930036/
63.https://www.51cto.com/article/819037.html
64.https://www.toutiao.com/article/7587234030123352617/
65.https://www.c114.com.cn/satellite/2514/a1286133.html
66.https://cloud.tencent.com.cn/developer/article/2577187
67.https://www.br-cn.com/static/content/news/br_news/2025-10-
22/1430659388729757547.html
68.https://thehackernews.com/2025/08/blind-eagles-five-clusters-target.html
69.https://www.toutiao.com/article/7592393443097035279/
70.resecurity.com/blog/article/paraguay-is-being-targeted-by-cybercriminals-74-
million-citizen-records-for-sale
71.https://blog.lacnic.net/en/the-perfect-storm-the-largest-cyberattack-on-brazils-
financial-system/
72.https://www.crowdstrike.com/en-us/blog/2025-latam-threat-landscape-report-
deep-dive/
73.https://mp.weixin.qq.com/s/43unkZrYzJ4Roo-2NuREZg
74.https://armedservices.house.gov/uploadedfiles/deterring_china.pdf
75.https://docs.house.gov/billsthisweek/20241209/RCP_HR5009_xml%5b89%5d.pd
参考链接2025年度全球⾼级持续性威胁（APT）研究报告202年度全球⾼级持续性威胁（APT）研究报告GLOBAL ADVANCEDPERSISTENT THREATRESEARCH REPORT参考链接
76.https://www.congress.gov/bill/119th-congress/senate-bill/2296/text
77.https://www.congress.gov/bill/119th-congress/senate-bill/1071/text
78.https://docs.google.com/spreadsheets/d/1lkNJ0uQwbeC1ZTRrxdtuPLCIl7mlUre
oKfSIgajnSyY/view?gid=897725844#gid=897725844
79.https://nvd.nist.gov/vuln/detail/CVE-2025-31201
80.https://github.com/JGoyd/iOS-Attack-Chain-CVE-2025-31200-CVE-2025-31201
81.https://www.securitylab.ru/news/557556.php
82.https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-
group
83.https://www.jpost.com/israel-news/article-857969
84.https://www.presstv.ir/Detail/2026/01/01/761673/Iran-cyberattacks-Sattar-
Hashemi-communications-infrastructure-Behzad-Akbari-DDoS-
85.https://www.stepsecurity.io/blog/ctrl-tinycolor-and-40-npm-packages-
compromised202年度全球⾼级持续性威胁（APT）研究报告GLOBAL ADVANCEDPERSISTENT THREATRESEARCH REPORT参考链接
76.https://www.congress.gov/bill/119th-congress/senate-bill/2296/text
77.https://www.congress.gov/bill/119th-congress/senate-bill/1071/text
78.https://docs.google.com/spreadsheets/d/1lkNJ0uQwbeC1ZTRrxdtuPLCIl7mlUre
oKfSIgajnSyY/view?gid=897725844#gid=897725844
79.https://nvd.nist.gov/vuln/detail/CVE-2025-31201
80.https://github.com/JGoyd/iOS-Attack-Chain-CVE-2025-31200-CVE-2025-31201
81.https://www.securitylab.ru/news/557556.php
82.https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-
group
83.https://www.jpost.com/israel-news/article-857969
84.https://www.presstv.ir/Detail/2026/01/01/761673/Iran-cyberattacks-Sattar-
Hashemi-communications-infrastructure-Behzad-Akbari-DDoS-
85.https://www.stepsecurity.io/blog/ctrl-tinycolor-and-40-npm-packages-
compromised2025年全球⾼级持续性威胁（APT）研究报告RESEARCHREPORTADVANCED PERSISTENT THREAT全球⾼级持续性威胁(APT)研究报告