2026年2月，一家韓國頭部電子制造商的網(wǎng)絡(luò)里，入侵者靜靜駐留了整整一周。他們沒有觸發(fā)警報(bào)，沒有大規(guī)模加密文件，只是定期截圖、竊取憑證、向外傳輸數(shù)據(jù)。這是伊朗關(guān)聯(lián)黑客組織MuddyWater（又稱Seedworm、Static Kitten）的最新手筆，而他們的目標(biāo)清單上，還有中東國際機(jī)場、亞洲工業(yè)制造商和政府機(jī)構(gòu)。

賽門鐵克威脅獵人團(tuán)隊(duì)近日披露了這場跨國網(wǎng)絡(luò)間諜行動的詳情。攻擊者采用的技術(shù)并不新奇——DLL側(cè)加載、PowerShell腳本、公共文件分享服務(wù)——但組合方式顯示出明顯的"運(yùn)營成熟度"轉(zhuǎn)變。他們不再依賴持續(xù)的人工操作，而是通過植入程序自主運(yùn)行，把攻擊節(jié)奏偽裝成正常后臺進(jìn)程。

攻擊韓國企業(yè)的窗口期是2月20日至27日。第一階段是典型的偵察動作：掃描主機(jī)和域名信息，通過WMI枚舉殺毒軟件，捕獲屏幕截圖，再下載更多惡意載荷。 credential竊取手段包括偽造Windows彈窗、注冊表蜂巢轉(zhuǎn)儲（SAM/SECURITY/SYSTEM），以及Kerberos票據(jù)濫用工具。為了維持長期訪問，攻擊者修改注冊表、設(shè)置90秒間隔的心跳通信，并反復(fù)重啟側(cè)加載程序。

技術(shù)細(xì)節(jié)上，Seedworm此次大量濫用了兩個(gè)合法簽名程序：Fortemedia的音頻工具fmapp.exe，以及SentinelOne的組件sentinelmemoryscanner.exe。它們被用來加載惡意DLL（fmapp.dll和sentinelagentcore.dll），這些DLL內(nèi)含ChromElevator——一款現(xiàn)成的后滲透工具，專門竊取Chrome系瀏覽器的數(shù)據(jù)。PowerShell的角色依然關(guān)鍵，但控制方式有變化：載荷不再直接執(zhí)行，而是通過Node.js加載器中轉(zhuǎn)，用于截圖、偵察、獲取額外載荷、建立持久化、竊取憑證和創(chuàng)建SOCKS5隧道。

數(shù)據(jù)外傳環(huán)節(jié)的選擇同樣耐人尋味。攻擊者使用了sendit.sh，一個(gè)公開的文件分享服務(wù)。這種設(shè)計(jì)的意圖很明顯：讓惡意流量混在正常用戶行為中，降低被檢測的概率。賽門鐵克研究人員指出，這種"地理擴(kuò)張、運(yùn)營成熟度提升，以及對合法工具和服務(wù)的濫用"，標(biāo)志著該組織正轉(zhuǎn)向更隱蔽的攻擊模式。

動機(jī)層面，賽門鐵克判斷這是一場情報(bào)驅(qū)動的行動，核心目標(biāo)包括工業(yè)和知識產(chǎn)權(quán)竊取、政府間諜活動，以及獲取下游客戶或企業(yè)網(wǎng)絡(luò)的訪問權(quán)限。韓國電子制造商的供應(yīng)鏈地位，使其成為理想的跳板——攻破一家，可能輻射數(shù)十家合作伙伴。

值得警惕的是攻擊者的時(shí)間管理能力。七天潛伏期被切分為明確的階段：偵察→滲透→持久化→外傳，每個(gè)環(huán)節(jié)都控制在不觸發(fā)高級威脅檢測的閾值內(nèi)。這種"慢速低噪"風(fēng)格，與勒索軟件團(tuán)伙的"快進(jìn)快出"形成鮮明對比，也更難防御。

企業(yè)側(cè)的對照檢查清單由此清晰：DLL側(cè)加載監(jiān)控、WMI調(diào)用審計(jì)、90秒級心跳流量的異常檢測、公共文件分享服務(wù)的出站流量審查，以及瀏覽器憑證加密存儲的強(qiáng)制策略。但更深層的挑戰(zhàn)在于，當(dāng)攻擊者開始像正常IT運(yùn)維一樣使用合法工具時(shí)，邊界防御的效力正在衰減。

Seedworm的活躍時(shí)間已超過十年，從中東政府機(jī)構(gòu)到亞洲制造業(yè)，其目標(biāo)圖譜持續(xù)擴(kuò)展。此次行動的特殊性不在于技術(shù)突破，而在于運(yùn)營邏輯的進(jìn)化——把"隱身"本身作為核心能力來建設(shè)。對于擁有復(fù)雜供應(yīng)鏈的電子制造業(yè)而言，這意味著安全評估的半徑必須從自身網(wǎng)絡(luò)延伸到每一個(gè)可接觸的合作伙伴。