据报道，与沙虫有关的黑客在针对乌克兰的新活动中转向隐秘的 RDP 持久性

一份新报告称，一场与沙虫相关的活动正在使用假冒的 Microsoft OfficeISO 文件用于危害乌克兰的目标，然后植入使远程桌面协议访问长期保持活动状态的工具。如果调查结果成立，这次行动表明，一个熟悉的俄罗斯国家支持的行为者更加倾向于安静的坚持和情报收集，而不是快速破坏。

样本报告称，操作中心是一个名为微软.Office.2025×64.v2025.iso，通过 Telegram 频道和软件破解社区分发。据称，一旦打开，该镜像就会启动隐藏的可执行文件，并部署一个模块化工具集，其中包括 Tambur、Sumbur、Kalambur 和 DemiMur，用于持久性、隧道传输和信任滥用。我可以确认来自微软的长期访问和边缘系统目标的广泛 Sandworm 贸易技术，、MITRE 和与 Mandiant 相关的报道，但我无法通过开放网络上的主要来源独立验证原始中文研究中的每个活动具体细节。

这种区别很重要。 Sandworm（也被称为 APT44 和 Seashell Blizzard）有着长期的破坏性攻击、间谍活动和持续访问操作记录。微软表示2025年2月Seashell Blizzard 的一个名为 BadPilot 的小组对面向互联网的基础设施进行了多年的全球访问操作，以保持对高价值目标的持续访问。亚马逊威胁情报后来警告说，与沙虫相关的活动还针对西方关键基础设施，敦促防御者保护网络边缘设备并监控凭证重放和持久性行为。

因此，虽然这份新报告中的确切恶意软件家族名称需要更全面的公开验证，但更大的故事符合已知的沙虫行为。该攻击者多次针对乌克兰、政府机构、关键基础设施和远程访问路径，并且有使用基于 SSH 的持久性和隧道的历史记录。 MITRE 的 Sandworm 条目指出，该组织使用了带有硬编码后门密码的 Dropbear SSH 来维持受害者网络内部的持久性，这与样本中描述的更广泛的模式一致。

新报告的主张是什么

攻击者用伪造的 Office ISO 引诱受害者，然后悄悄地启动伪装成的有效负载自动执行程序或安装程序.exe。据称，该框架在类似 Windows 的路径下创建计划任务，使用硬编码密码来保持 RDP 访问活动，通过 Tor 传输命令流量，并通过 SSH 反向隧道将端口 3389 映射回远程基础设施。该报告还称，一个名为 DemiMur 的模块会注入恶意根证书，并强制 Microsoft Defender 排除整个系统驱动器。

如果准确的话，这种组合可以同时为攻击者带来三个优势。它可以帮助他们融入正常的管理活动，即使在重新启动后也能保留远程访问，并减少基本防病毒工具尽早发现入侵的机会。该间谍技术还与与 Sandworm 和其他高级组织相关的 MITRE ATT&CK 技术相匹配，特别是滥用外部远程服务进行访问和持久性。

为什么防守者应该注意

即使某些技术细节仍需要更强有力的初步确认，这项活动仍然很重要。沙虫并不是边缘演员。“沙虫”（Sandworm）的名称是“沙虫”，其业务涵盖间谍、攻击和影响行动，已成为当今活跃的最有能力的国家支持的威胁组织之一。微软和亚马逊都描述了相关的操作，重点是持久访问、隐秘和基础设施级别的妥协，而不是一次性的砸抢活动。

对于防守者来说，可能的教训很简单。监视远程访问层，而不仅仅是端点恶意软件警报。使用 RDP、SSH、计划任务和出站隧道的耐心参与者可以在网络中停留数月，特别是当这些工具模仿合法的软件路径和管理行为时。在软件破解、旁加载安装程序或未经授权的 ISO 映像逃脱用户控制的环境中，这种风险会进一步增加。

快速分解

活动细节的来源：用户提供的示例文本。更广泛的沙虫环境：微软、亚马逊、MITRE、谷歌威胁情报。

安全团队现在应该做什么

• 在电子邮件、Web 和端点层阻止未经授权的 ISO 文件、破解工具和非官方软件激活器。
• 审核计划任务的创建，尤其是放置在模仿合法组件的类似 Windows 路径中的任务。
• 寻找异常的 RDP 暴露、新的管理级计划任务、PowerShell 滥用、反向隧道以及与 Tor 相关的出站流量。
• 查看证书存储和 Microsoft Defender 排除列表以了解未经授权的更改。
• 强化面向互联网的系统和远程访问服务，因为微软和亚马逊都表示与沙虫相关的运营商专注于通过暴露的基础设施进行持久访问。

FAQ