2026 APT高级威胁研究报告

2025年，APT高级持续性威胁呈现“技术精密化、战术复杂化、漏洞高频化”特征，在新攻击思路和新生产力工具的推动下，APT组织的攻击技战术持续升级，攻击精准度与破坏力显著提升。 2025年，全球高级持续性威胁（APT）攻击活动数量呈现上升态势，绿盟科技伏影实验室本年度捕获的APT攻击活动数量达到308次，较去年增长4%。在攻击目标方面，针对国防军事领域的APT攻击占比大幅提升至17%，较2024年增长了9个百分点，这一变化与近年来日益严峻的地缘政治局势密切相关。 本年度，APT攻防领域的核心热点趋势是AI工具的泛用化。绿盟科技伏影实验室监测的72个活跃APT组织中，有11个已经在攻击流程暴露出明显的AI特征。APT组织对AI的应用已贯穿侦察、资源开发、初始访问、数据收集、命令控制等全攻击环节，APT攻击者借助AI工具辅助复现零日漏洞、开发攻击脚本与代理服务器、生成高欺骗性钓鱼诱饵、高效处理海量窃取数据、构建隐式命令传输载体等，显著提升了攻击效率。 本年度，一种新型社会工程学战术ClickFix出现并迅速蔓延，被多个政治驱动型APT组织用来实施网络钓鱼攻击。APT攻击者使用ClickFix战术时往往搭配多阶段的欺骗和误导流程，通过搭建水坑站点，以虚假报错、软件更新、证书安装等虚假信息诱导受害者执行恶意指令。 加密货币领域，一种复杂的多重签名劫持技术成为APT组织实施经济犯罪的核心利器。多重签名劫持是一种融合了区块链智能合约缺陷和APT供应链攻击思路的融合型技术，核心逻辑为通过篡改钱包应用代码、触发合约缺陷，劫持多重签名授权以转移资产。 伏影实验室发现，部分APT组织在本年度探索新型隐匿通信模式，开发并实践了一种名为“敲门”模式的CnC通信方法。伏影实验室已经捕获到“敲门”模式的两种不同的实现思路。 本年度，APT组织开始关注主流开发工具VisualStudio的安全管理缺陷。多个APT组织利用VisualStudio软件的特权，结合EvilSln技术、AppDomainManager注入技术等，实现恶意代码执行与权限提升。然而，微软针对Visual Studio的防护措施效果非常有限，开发者依然面临严峻的APT攻击威胁。 Internet快捷方式（.url）文件已经成为APT组织钓鱼攻击的重要介质，相关零日漏洞也呈现爆发态势。APT组织持续挖掘.url文件各类安全漏洞，并将其用于针对政府、企业等目标的钓鱼攻击。 本年度，一个严重的Chromium沙箱逃逸零日漏洞成为APT组织攻击高价值目标的关键手段。该漏洞由ForumTroll组织首次利用后，被多个APT组织借鉴，重点攻击政府官员、专家智囊等常规攻击模式难以触达的高价值人群。 本年度，区域APT攻击活动呈现明显的头部效应。在经济下行和地缘冲突趋势愈发明显的今天，网络攻击资源势必会向头部APT组织集中，以提升整体的网络攻击效率。 2.1从AI侦察到AI控制：APT组织正在将AI工具融入整个攻击过程 2.1.1概述 在2025年，APT组织对大型语言模型（LLM）的探索与应用已经迈入一个新阶段，其应用范围显著扩展。APT攻击者对AI工具的利用范围已不再局限于早期的侦察和资源开发等少数战术阶段，而是贯穿了从侦察到命令控制的几乎所有关键攻击环节。 本年度，绿盟科技伏影实验室监控的72个活跃APT组织中，已经有11个组织具备明显的AI辅助攻击特征。这些组织包括南亚区域的TransparentTribe、东亚区域的Kimsuky、Lazarus、Lazarus下属组织BlueNoroff和BeaverTail、东欧区域的APT28、中东区域的MuddyWater、CharmingKitten、TortoiseShell、以及未确认区域归属的链锯鲨（ChainedShark）、ShadowRay等，这些组织对AI工具的利用方法包括探测互联网暴露面、开发攻击载荷、生成高欺骗性诱饵信息、制作钓鱼网站、数据清洗、构建命令控制服务器等，具体案例见本节的典型事件部分。 伏影实验室发现，当下APT组织在滥用LLM方面形成了两条主要技术路线： 1.主流模型欺骗：通过精巧的提示词工程和角色扮演等技巧，成功绕过主流LLM产品的安全防护，使其生成网络攻击所需的恶意代码或文本。2.恶意定制模型：使用不受限制的恶意LLM模型，这些模型专为生成恶意内容而设计，例如WormGPT、Hexstrike-AI和KawaiiGPT等，它们绕过了主流模型的安全限制。 2.1.2典型事件 2.1.2.1侦察：使用AI探测暴露面与利用1-day漏洞 2025年，APT组织正积极将LLM纳入其网络侦察流程中。LLM的应用范围已从传统的辅助漏洞扫描扩展至辅助漏洞利用，帮助APT攻击者第一时间复现新漏洞的攻击原理与开发漏洞利用代码。 已 有 暗 网 中 的 未 知 攻 击 者 利 用Hexstrike-AI等 恶 意LLM来 辅 助 进 行 网 络 侦 察 ， 尝 试 使 用Hexstrike-AI复现Citrix漏洞CVE-2025-7775，实施1-day漏洞攻击。这种借助恶意定制模型复现零日漏洞的操作大大加速了APT组织分析漏洞和探测攻击面的效率。 2.1.2.2资源开发：使用AI构建网络设施和攻击武器 APT组织在资源开发阶段滥用LLM的现象由来已久，最初主要集中在协助编写和调试攻击代码。进入2025年，这一趋势变得更加普遍和成熟。APT攻击者现在大规模利用LLM来生成复杂的攻击脚本或木马程序，甚至部署和配置网络设施，例如利用LLM来部署代理服务器。 在2025年的一起ShadowRay组织攻击活动中，观察到攻击者利用AI辅助开发一种特殊的僵尸网络，通过AI生成的攻击脚本进行公网传播。 2025年11月，我们还观测到TransparentTribe组织利用AI工具来开发资源，该组织使用AI生成了一个代理服务器的前后端代码并部署在公网主机上，作为命令控制服务器来使用。 2.1.2.3初始访问：使用AI生成高欺骗性的社会工程学诱饵 由于APT组织往往涉及跨国作案，语言障碍是构建高欺骗性社工诱饵的关键挑战。APT组织已发现LLM在跨语言文本生成和翻译方面的卓越准确性，能够有效解决这一问题。在2025年，初始访问阶段滥用LLM的现象显著增加，已观测到多个组织使用LLM创建的高度定制化和高欺骗性的钓鱼邮件文本、恶意文档文本以及水坑站点内容。 本年度，Kimsuky组织被发现利用AI生成人像、公文等诱饵信息，同时有推测认为Lazarus组织在年初的Contagious Interview行动中也使用了AI创建社交媒体钓鱼信息。 由伏影实验室发现的链锯鲨组织也是一个高概率使用AI制作钓鱼诱饵的APT组织。该组织在2024至2025年的攻击活动中创建了大量不同主题的钓鱼邮件和钓鱼文档，其中使用的中文词汇非常专业且准确，这种语言水平和文本密度远超一个境外APT攻击组织的能力范畴。 本年度发展壮大的社会工程学战术ClickFix也出现了与AI相结合的势头，逐渐发展成为AIClickFix战术。APT攻击者使用AI创建高欺骗性的水坑站点，在网站中显示网页错误或系统错误等内容，诱骗受害者按照网页中提示的步骤执行攻击者指定的恶意代码。 2.1.2.4数据收集：使用AI处理海量数据 在过去，APT组织在实施大规模网络钓鱼或渗透后，需要投入大量时间进行数据清洗、判断入侵设备的价值以及筛选高价值文件。进入2025年，随着APT网络钓鱼攻击的周期缩短和频率增加，我们推测攻击者正在利用LLM辅助进行数据清洗和价值判断，从而显著提高了整个网络攻击链的效率和周转速度。这一推断的关键间接证据包括本年度盲打式APT攻击数量下降、精准打击式APT攻击数量上升等。 2.1.2.5命令控制：使用AI构建隐式命令载体 本年度，我们发现了一种APT组织新颖的LLM滥用方式，标志着LLM在命令控制阶段的应用突破。APT攻击者开始利用AI技术生成带有攻击指令的隐写图片，这种技术将攻击指令隐藏在无害的媒体文件（如图片）中，实现了命令控制阶段的数据混淆和隐蔽传输。 本年度一个黑客组织Koske相关的案例中，Koske攻击者使用AI生成了带有攻击指令的图片文件，通过这种方式将攻击指令隐蔽地下发到受害者主机。 2.2小计谋也有大功效：ClickFix社会工程学战术从出现到泛滥 2.2.1概述 ClickFix战术是一种近两年刚刚出现的新型社会工程学战术，是一种部署水坑站点并利用其中的报错信息和修复方法来引诱受害者的运行攻击指令的新型欺骗策略。这种战术一开始就被用于攻击虚拟货币从业人员，具体实现形式多样，包括要求受害者安装虚假的根证书、要求更新浏览器、要求安装专用软件、要求安装系统驱动等，很容易欺骗缺乏相应安全知识的受害者。 ClickFix战术的雏形出现在2023年，在2024年被Lazarus首次应用在APT行动中。Lazarus首先使用社交媒体将受害者引诱到该组织搭建的假冒面试网站上，再通过虚假的视频插件错误引诱受害者执行网站中提供的所谓“修复脚本”。脚本一旦启动，就会下载远程服务器中的木马程序并运行。 ClickFix战术的成功需要大量细节层面的打磨。攻击者会雇佣具有人力资源领域或专业技术领域知识的骗术师来与受害者建立联系，通过社交媒体交流取得受害者的信任；随后骗术师会通过诱人的岗位来诱骗受害者进入假冒面试网站，并首先通过网站对受害者进行多轮填表、笔试等测试，诱导出受害者的紧张和焦虑心态；当高度紧张的受害者终于进入面试阶段，就非常容易对网站中的虚假报错信息失去判断力，机械地按照网站中的提示进行所谓的修复，最终步入攻击者的ClickFix陷阱。 随着Lazarus组织在2025年频繁使用ClickFix战术进行钓鱼攻击，包括MuddyWater、APT28、Kimsuky在内的多个政治驱动APT组织也开始关注这种简单高效的战术，将其融入自身的攻击链条中，提高网络钓鱼的成功率。伏影实验室发现公网上已经出现了大量带有ClickFix信息的钓鱼网站，常见的ClickFix诱饵包括假冒的reCAPTCHA验证窗口、假冒下载页面、假冒特定企业官网等，大多数ClickFix钓鱼网站难以归因至特定的APT组织或黑客组织。 2.2.2典型事件：Lazarus使用ClickFix战术攻击加密货币行业专业人员 朝鲜APT组织Lazarus在2025年2月实施了一起针对加密货币行业的网络钓鱼行动，该行动被研究人员称为“ClickFake Interview”①。 Lazarus攻击者在本次行动中伪装成加密货币领域的招聘人员，通过社交媒体向加密货币行业的专业人员发送虚假的面试邀请，引诱受害者进入一个虚假的面试网站。 Lazarus攻击者会在假面试网站中要求受害者填写个人信息、回答问题等，并要求他们开启摄像头准备面试。然而，受害者在按要求点击开启摄像头的按钮时，页面上会显示一个摄像头被拦截的错误提示。 该水坑站点和错误提示就是最早的ClickFix战术的体现。Lazarus在诱饵信息中要求受害者运行特定的命令行指令，进而会判断受害者的系统，在Windows系统中运行vbs脚本下载名为GolangGhost的后 门 程 序 ， 在macOS系 统 中 运 行bash脚 本 下 载 名 为FrostyFerret的 窃 密 木 马 以 及macOS版 本 的GolangGhost后门程序。GolangGhost后门木马具有上传下载文件、执行任意shell命令、窃取Chrome浏览器信息的功能。 Lazarus组织一直以来都是APT领域先进攻击技术的代表，而本次事件表明Lazarus在社会工程学方面也具备领先水平。Lazarus在本次事件中使用的社交媒体诱饵信息、钓鱼网站内容、错误提示内容等静态信息都比较准确，并且在格式和高亮提示等细节上也贴近现代网站设计习惯，提高了诱饵的可信度。Lazarus还通过填写基本信息、