供应链安全

从“暗网暗潮”到“智能围墙”：信息安全的当下与未来

admin

引子：三桩警钟敲响的“头脑风暴”

在信息化浪潮冲击的今天，安全威胁不再局限于传统的病毒木马，而是穿梭在供应链、云平台、物联网乃至生成式 AI 的每一个细胞。下面这三个真实案例，像三颗警示的星星，划破了我们对“安全”的舒适想象，值得每一位职工深思、警醒并行动。

  1. 潜伏13年的后门——Daxin 与 Stupig
    四年前，Symantec 通过深度威胁猎捕发现了来自中国的高级后门程序 Daxin。2026 年 5 月，Symantec 与 Carbon Black 联合团队在一家跨国高科技制造公司的台湾子公司中，追踪到 Daxin 的踪迹，却惊讶地发现同一系统中还潜伏了另一枚同样编译于 2013 年的后门 Stupig。两个恶意程序在同一台机器上并行运行，意味着它们已经在该企业内部潜伏了 13 年之久，未被检测到。

  2. 伪装的开源宝库——近300个假 GitHub 仓库泯灭信任
    2023 年底至 2024 年初，Arctic Wolf 公开披露有黑客在 GitHub 上冒充多家知名安全、金融与开发品牌，创建了 292 个假仓库，并通过伪造的 README 与下载页面散布 Windows 窃密软件 BoryptGrab。该恶意软件能够窃取浏览器凭证、加密货币钱包、即时通讯帐号乃至 Windows 本地凭证，危害覆盖个人用户与企业内部的开发环境。

  3. AI 赋能的物联网殭屍——TuxBot v3 Evolution 的“智能”侵袭
    Palo Alto Networks 在 2026 年 7 月公布，黑客利用大型语言模型（LLM）自动生成并移植代码，打造了支持 17 种 CPU 架构 的 IoT 殭屍网络框架 TuxBot v3 Evolution。尽管部分高级功能因代码错误失效，但核心的扫描、暴力破解、常驻、C2 通信以及 DDoS 攻击仍可顺畅运行，估计约 70% 功能可用。整个框架的源码、编译后二进制以及 254 份自动化 DDoS 测试报告均已泄露，显示出黑客组织对“AI+Automation”组合的熟练掌握。

这三桩事件从 供应链后门、开源信任链、AI 驱动的殭屍网络 三个维度，直击企业信息安全的薄弱环节。它们提醒我们：安全已经不只是 IT 部门的事，亦是每个人的职责。

一、深潜供应链的暗网后门：Daxin 与 Stupig 的教训

1.1 攻击路径的隐蔽性

Daxin 与 Stupig 的共同特征在于其编译时间戳均指向 2013 年初。黑客在那一年可能已通过供应链的第三方组件、固件更新或内部开发工具链将恶意代码注入。随后，这些后门在目标系统中保持静默，利用合法进程进行隐藏，直至 2026 年才被安全团队捕获。

“道高一尺，魔高一丈。”
——《三国演义》中的警言同样适用于信息安全。攻击者的隐蔽手段往往超出我们对防御的预估。

1.2 供应链安全的薄弱环节

  • 第三方软件未严格审计：很多企业在采购或自研软件时，忽视了对源码、二进制签名以及供应商安全实践的审查。
  • 缺乏持续监测：即便在系统上线后，若未部署基于行为的威胁检测（如 Endpoint Detection and Response，EDR）和网络流量分析（如 UEBA），长期潜伏的后门会一直不被发现。
  • 资产管理不完整：对硬件、固件、操作系统的清单不完整，使得审计覆盖率不足，导致后门得以在“隐形”硬件上埋伏。

1.3 防御对策

对策 关键要点
供应链审计 采用 SBOM（Software Bill of Materials）实时追踪第三方组件；对所有外部依赖执行代码审计和签名验证。
零信任网络 对内部流量实施最小权限原则，所有横向连接均需强身份验证和细粒度访问控制。
行为分析 部署 UEBA 与 EDR，建立异常行为基线；针对长期潜伏的后门，重点监控持久化机制（注册表、计划任务、Cron）以及异常网络流向。
红蓝对抗演练 定期进行供应链渗透测试，模拟后门植入与横向移动场景，提升检测与响应速度。

二、信任的伪装者：假 GitHub 仓库与 BoryptGrab

2.1 伪装的艺术

黑客利用 GitHub 平台的公开性与开源文化的信任度，注册与多家知名品牌相似的账户，发布假冒 README 与下载链接。该策略的优势在于：

  • 自然流量：搜索引擎和开发者社区会自动将这些假仓库列入搜索结果，极易被不明真相的开发者下载。
  • 社交工程：通过伪造的项目说明（如“改进版 X 安全工具”，附带“官方发布”截图），诱导用户放松警惕。
  • 低成本高回报：一次性创建大量仓库即可覆盖广泛的目标人群，成本低廉且传播范围大。

2.2 BoryptGrab 的危害

  • 凭证盗取：窃取浏览器保存的登录信息、加密货币钱包私钥及 Windows 本地凭证。
  • 横向渗透：获取凭证后，可进一步侵入企业内部系统，进行数据窃取或勒索。
  • 供应链二次污染：恶意代码被引入官方项目的依赖链，进一步扩大受害范围。

2.3 防范措施

  1. 源代码可信验证
    • 强制使用 GPG 签名 或 GitHub Verified Publisher；对所有第三方依赖进行签名校验。
    • 部署 软件供应链安全平台（SCA），自动检测依赖库的安全风险与来源可信度。
  2. 安全的下载渠道
    • 采用内部 软件仓库（如 Nexus、Artifactory），统一管理和审计所有下载的二进制文件。
    • 对外部下载链接进行 沙箱检测 与 病毒扫描，防止恶意软件直接进入生产环境。
  3. 开发者安全培训
    • 定期举办关于 开源安全 与 社交工程 的专题培训，提升开发人员对假冒仓库的识别能力。
    • 推广 “最小特权原则” 与 “不要在生产环境直接 pip/apt 安装未审计包” 的实践。

三、AI 赋能的殭屍网络：TuxBot v3 Evolution 的智能化威胁

3.1 AI+Automation 的双刃剑

在 TuxBot 案例中，黑客利用 大型语言模型（LLM） 自动生成跨平台代码，完成了以下链条：

  1. 代码生成：使用 LLM 快速编写针对不同 CPU 架构的 C/C++ 代码。
  2. 编译自动化：通过 CI/CD 脚本自动编译生成对应二进制。
  3. 指令与控制（C2）：利用 AI 优化的加密通信协议，实现隐蔽的远控。
  4. 攻击模块：集成扫描、暴力破解、DDoS 租赁等功能，形成“一键化”攻击流水线。

“机器之手，若未受人束，其所为，往往超乎想象。” —— 取自《庄子·天下篇》对“自然之力”失控的警示。

3.2 关键风险点

风险点 具体表现
跨平台扩散 支持 17 种 CPU 架构，几乎覆盖所有常见 IoT 设备。
AI 代码优化 代码质量提升，导致传统签名检测失效，难以通过 AV 规则拦截。
自动化部署 通过 Docker、Kubernetes 自动化部署，大幅缩短攻击准备时间。
租赁服务 攻击即服务（AaaS）化，黑客可通过暗网售卖 DDoS 租赁流量。

3.3 对策建议

  • IoT 全面资产可视化：建立统一的 IoT 资产目录，采用 Zero Trust 框架限制设备之间的网络访问。
  • AI 驱动的威胁检测：部署基于机器学习的网络行为分析系统（NBAD），及时捕捉异常的跨平台通信模式。
  • 固件完整性校验：在设备层面实施 Secure Boot 与 TPM，确保固件和软件的完整性签名。
  • 安全 DevOps（DevSecOps）：在 CI/CD 流程中嵌入静态代码分析、容器镜像扫描与漏洞审计，防止恶意代码进入生产线。

四、无人化、自动化、机器人化时代的安全新命题

4.1 趋势概览

  • 无人化工厂：机器人臂、AGV（自动导引车）与协作机器人（cobot）已取代部分人工操作，生产线数据实时上云。
  • 自动化运维：使用 RPA（机器人流程自动化） 与 IaC（Infrastructure as Code），实现快速部署与自愈。
  • AI 辅助决策：企业采用 生成式 AI 进行日志分析、威胁情报聚合与安全事件响应（SOC‑AI）。

这些技术提升了效率，却也在 “安全边界” 上引入了新的攻击面：机器人操作系统的固件漏洞、RPA 脚本的代码注入、AI 模型的对抗性攻击。

4.2 “安全生态”构建的关键要素

  1. 安全即代码（SecCode）
    • 将安全策略写入代码，利用 Policy as Code 机制在 CI/CD 中强制执行。
  2. 可观测性（Observability）
    • 将 日志、指标、追踪 融合到统一平台，实现对机器人、自动化脚本、AI 推理过程的全链路可视化。
  3. 人机协同（Human‑AI Collaboration）
    • 利用 AI 辅助的安全分析平台，帮助安全分析师快速定位异常，同时保留人工复核的关键环节，防止“机器误判”。
  4. 持续教育与演练
    • 采用 虚拟仿真环境（Cyber Range），让员工在模拟的无人化工厂、智能车间中进行红蓝对抗演练，培养在高自动化环境下的应急响应能力。

五、号召：让每一位职工成为“安全的守护者”

亲爱的同事们，信息安全不是高高在上的技术口号，而是我们每日工作中的“一颗螺丝、一行代码、一次点击”。从 Daxin 的潜伏、GitHub 假仓库的伪装，到 AI 生成的 TuxBot 殭屍网络，都是在提醒我们：对抗的速度必须快于威胁的演进。

5.1 培训的目标与价值

目标 具体收益
安全认知提升 了解供应链、开源、AI 驱动威胁的最新趋势，学会主动识别风险。
技能实战演练 通过仿真平台进行红蓝对抗，掌握日志分析、恶意代码检测与应急响应流程。
安全文化沉淀 将安全思维渗透到研发、运维、采购、管理等各业务环节，构建“安全第一”的组织氛围。

5.2 培训安排（示例）

时间 内容 主讲人 形式
第 1 周 供应链安全概览 – SBOM、签名验证 安全架构师 线上讲座 + 案例研讨
第 2 周 开源生态风险 – 假仓库辨识与防护 开发安全经理 实战演练（搭建安全 DevOps 流水线）
第 3 周 AI+Botnet 防御 – 行为分析、Zero Trust 威胁情报分析师 虚拟仿真（模拟 TuxBot 攻击）
第 4 周 无人化工厂安全 – 机器人固件、RPA 安全 自动化工程师 小组讨论 + 案例复盘
第 5 周 综合演练 – 红蓝对抗实战 SOC 运营团队 全员参与的 Cyber Range 竞赛

5.3 参与方式

  1. 报名渠道：请在公司内部门户的“培训中心”页面点击“信息安全意识培训—报名”。
  2. 学习资源：培训期间我们将提供 视频回放、检测手册、示例代码，供大家课后自学。
  3. 奖励机制：完成全部培训并通过考核的同事，将获得 “安全护航星” 电子徽章，以及公司内部安全积分，可用于兑换福利。

六、结语：以“知行合一”筑牢数字防线

正如《礼记·大学》所言：“格物致知，诚意正心，修身齐家，治国平天下。”在信息安全的世界里，“格物致知”意味着了解每一个技术细节与威胁来源；“诚意正心”是保持对安全的敬畏与自律；“修身齐家”则是把安全意识落到每个人、每个部门；“治国平天下”则是企业整体安全体系的稳固与可持续。

让我们 以案例为镜，以培训为钥，在无人化、自动化、机器人化的新时代，共同筑起一道坚不可摧的数字防线。只要每一位职工都铭记：安全是一场每日的演练，而不是一次性的检查，我们必将在风起云涌的网络空间中，保持清醒、保持领先。

让我们从今天起，携手共建安全、可信、智能的未来！

信息安全意识培训组

2026 年 7 月 17 日

通过提升人员的安全保密与合规意识，进而保护企业知识产权是昆明亭长朗然科技有限公司重要的服务之一。通过定制化的保密培训和管理系统，我们帮助客户有效避免知识流失风险。需求方请联系我们进一步了解。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898

防范“伪装”攻击，筑牢数字化转型中的安全防线——从真实案例看信息安全意识的升级之路

admin

一、头脑风暴：四大典型安全事件案例

在信息化、数字化、智能体化深度融合的今天，安全威胁不再是“黑客”单一形象的代名词，而是隐藏在日常业务、工具、文件中的“潜伏者”。以下四个案例，分别从伪装技术、文件泄露、供应链攻击与云资源滥用四个维度，展现了现代攻击的多样性与隐蔽性，值得我们每一位职工深入思考。

  1. “TrueType 伪装”——Lua 加载器藏匿于 .ttf 字体文件
    2026 年 7 月，FortiGuard Labs 报告一起大规模钓鱼行动，攻击者将 Lua 脚本包装为后缀为 .ttf 的文件，利用 Windows 脚本宿主（WSH）或 AutoIt 解释器执行，进而在内存中加载 Remcos、AgentTesla 等 RAT。
    该案例突显：文件扩展名不等同于文件属性，攻击者可借助“合法”外观突破第一道防线。

  2. “合法协作平台泄密”——企业内部协作工具被钓鱼邮件植入后门
    2025 年某跨国制造企业的内部协作平台（类似 Teams）被攻破，黑客通过伪装成供应商的邮件附件发送恶意 PowerShell 脚本，脚本利用平台的 API 自动下载 C2 配置文件，导致 5 万名员工的企业邮箱被远控。
    此案提醒：即便是内部系统，也可能成为攻击入口，尤其是对“业务合作”类邮件的信任度过高。

  3. “供应链暗箱”——第三方库的隐蔽后门
    2024 年一家著名金融机构在升级其内部 Python 交易系统时，误引入了一个看似正常的开源库 pandas‑utils。该库在安装后自动执行一次 pip install --upgrade，从而下载并执行了隐藏的 C2 客户端，导致数千笔交易记录被窃取。
    案例强调：供应链安全并非可有可无，任何外部代码的引入都必须实施严格审计。

  4. “云资源滥用”——未经授权的容器镜像下载导致数据泄露
    2023 年一家大型电商公司在使用 Kubernetes 自动扩容时，误将默认的 Docker Hub 镜像权限设置为公开。攻击者利用这一漏洞，下载并注入恶意镜像，随后在容器启动时窃取用户的支付信息。
    此案展示：在云原生环境中，权限管理的细微失误同样会酿成重大安全事故。

二、案例深度剖析

1. “TrueType 伪装”——技术细节与防御漏洞

  • 技术链路：
    • 攻击者通过钓鱼邮件发送压缩包，压缩包内包含 font.ttf（实为 Lua 脚本）以及 loader.js。
    • loader.js 使用混淆、控制流平坦化和字符串数组映射，意在躲避静态扫描和 AI 检测。
    • 脚本在执行时先复制自身至 %PUBLIC%Libraries，创建计划任务以实现持久化。随后判断系统是否已安装 LuaJIT，若无则投递 AutoIt 可执行文件。
    • 真正的恶意载荷采用 Donut 生成的 shellcode，采用反射加载方式直接映射到进程内存，磁盘上不留下痕迹。
  • 防御短板：
    1. 文件扩展名信任：安全产品默认将 .ttf 视为安全字体文件，未对其内部结构进行深度检测。
    2. 脚本宿主未被禁用：Windows Script Host/AutoIt 在企业默认环境中仍保持开启，导致恶意脚本得以运行。
    3. 持久化机制缺失监管：计划任务、启动文件夹等持久化方式未被统一审计。
  • 应对措施：
    • 基于内容的文件检测：启用文件指纹（hash）库、Magic Number 检测，确保文件实际类型与后缀匹配。
    • 最小化脚本宿主：对业务非必须的 WSH、AutoIt、LuaJIT 进行白名单管理或直接关闭。
    • 强化持久化监控：部署 EDR（终端检测与响应）对计划任务、服务注册表等进行行为分析，发现异常即报警。
    • 安全培训：让员工了解“文件扩展名只是标签”，提高对可疑附件的审慎度。

2. “合法协作平台泄密”——社会工程与 API 滥用

  • 攻击路径：
    1. 攻击者伪造供应商邮件，附件为 update.ps1（PowerShell）并附带钓鱼链接。
    2. 受害者在平台上点击链接，PowerShell 脚本利用已登录的 SSO（单点登录）凭证，调用平台的 Graph API 获取租户中的邮箱列表。
    3. 脚本进一步把邮箱列表发送至 C2，攻击者随后进行密码喷射、凭证重放等后续攻击。
  • 核心问题：
    • 对业务邮件的信任度过高：企业未对外部邮件的附件执行动态沙箱分析。
    • 平台 API 权限过宽：默认的 API 权限包括读取所有用户信息，缺乏细粒度的 RBAC（基于角色的访问控制）。
    • 缺少 MFA（多因素认证）：业务系统对 SSO 登录未强制 MFA，导致凭证被轻易盗用。
  • 改进建议：
    • 邮件网关加固：对所有外部邮件执行多引擎沙箱检测，对 PowerShell 脚本进行行为分析。
    • 细粒度权限：采用最小特权原则，对平台 API 进行作用域限制，仅授权必须业务范围。
    • 强制 MFA：对所有关键系统、尤其是跨部门协作平台，强制使用 MFA，阻断凭证一次性使用。
    • 安全演练：定期组织社工模拟钓鱼攻击演练，让员工亲身感受 “信任链条” 易被破环的风险。

3. “供应链暗箱”——开源生态与代码审计的盲区

  • 攻击手法：
    • 在官方 PyPI 上发布的恶意 pandas‑utils 包，内部嵌入了一个带有加密 C2 客户端的二进制文件。
    • 当受害者在 requirements.txt 中指定该库时，pip 会自动下载并执行 setup.py，在安装阶段触发恶意代码。
    • 恶意代码通过加密通道与远程服务器通信，并在系统中植入持久化任务（如系统服务或 Cron），实现长期窃取。
  • 漏洞根源：
    • 缺乏供应链安全审计：企业在使用第三方库时，仅关注版本兼容性和功能需求，未对库的来源、签名、维护者进行审计。
    • 开源生态信任模型单一：PyPI 对包的发布者验证相对宽松，导致恶意包能够混入正当库列表。
    • 内部 CI/CD 流程缺少安全环节：自动化构建脚本未对依赖项进行二次校验，直接将第三方库引入生产环境。
  • 防护措施：
    • 引入 SBOM（软件材料清单）：对所有内部使用的第三方组件生成清单，并对其进行签名校验。
    • 内部代码审计：对关键业务的依赖库执行静态分析（如 Bandit、Safety）以及二进制签名检查。
    • 使用可信镜像仓库：在内部搭建隔离的 PyPI 镜像，只有通过安全审计的库才能同步。
    • 供应链安全培训：让开发人员熟悉 SCA（软件组成分析）工具的使用方法，提高对依赖风险的认知。

4. “云资源滥用”——容器安全与权限细分缺失

  • 攻击过程：
    1. 攻击者利用公开的 Docker Hub 镜像列表，发现目标企业使用的基础镜像未做私有化处理。
    2. 通过篡改该镜像的 Dockerfile，加入恶意脚本（使用 curl 拉取 C2 程序），并重新推送至公开仓库。
    3. 当企业的自动扩容机制拉取最新镜像时，恶意容器启动，立即向外部 C2 发起连接并窃取支付数据。
  • 根本原因：
    • 镜像拉取策略不当：默认信任外部公开镜像，未使用镜像签名（如 Notary、Cosign）进行校验。
    • Kubernetes RBAC 配置宽松：容器运行时的 ServiceAccount 拥有过高权限，能够访问敏感 Secret。
    • 缺少容器运行时防护：未部署容器安全平台（如 Aqua、Trivy）对镜像进行实时扫描。
  • 防御建议：
    • 镜像签名与验证：强制所有生产镜像使用签名，Kubelet 只拉取经过验证的镜像。
    • 最小化 ServiceAccount 权限：采用 PodSecurityPolicy（或新的 PSP 替代方案）对容器权限进行限制。
    • 容器运行时监控：部署 runtime security 解决方案，对异常系统调用、网络行为进行阻断。
    • 安全意识渗透：让运维、DevOps 团队了解容器安全的 “四大要素”，在日常工作中始终保持警惕。

三、数字化、智能体化时代的安全挑战与机遇

1. 信息化的层层交织

在过去的五年里，我国制造、金融、零售等行业已实现业务系统、生产线、物流链的全链路数字化。ERP、MES、SCADA、IoT 设备相互联通，数据流动的速度和规模空前加快。与此同时，攻击者的作战空间也随之扩大：他们不再局限于单一终端，而是通过横向渗透进入企业的 “数字神经中枢”。这就要求我们从“端点防护”转向“全链路防护”，从“技术防护”升级为 “技术＋流程＋文化” 的复合防御。

2. 智能体化的“双刃剑”

AI 大模型、自动化脚本生成工具和大语言模型（LLM）正迅速渗透到企业的研发、客服、运营中。一方面，它们能够提升效率、降低人力成本；另一方面，同样的技术可以被攻击者用来自动化生成混淆代码、撰写社工邮件、甚至生成针对性钓鱼页面。正如古人云：“兵者，诡道也。”我们必须在拥抱智能体化红利的同时，建立 AI 安全治理 框架，明确模型训练数据、模型输出审查及检测机制。

3. 数字化转型的合规压力

《网络安全法》《个人信息保护法》《数据安全法》对企业的数据分类分级、关键基础设施保护提出了明确要求。违规成本不再是声誉受损，而是可能面临巨额罚款乃至业务停摆。信息安全意识培训不只是合规举措，更是企业稳健运营的底层支撑。

四、信息安全意识培训的必要性与行动指南

1. 培训的核心目标

  • 认知提升：让每一位员工了解 “文件后缀不等于文件属性”、“业务邮件也可能是攻击载体” 等核心安全概念。
  • 技能赋能：教会大家使用 文件哈希对比、沙箱验证、MFA 配置 等实用工具。
  • 行为养成：通过情景演练、案例复盘，让安全防护成为日常工作的一部分，而非临时任务。

2. 培训模式与内容规划

模块 关键议题 交付方式 预期效果
基础篇 文件安全、邮件安全、密码管理 线上微课（15 分钟）+ 知识问答 80% 员工掌握基本防护要点
进阶篇 脚本宿主治理、云资源权限、供应链审计 案例研讨 + 实战演练（30 分钟） 能独立完成一次安全审计检查
实战篇 红队模拟钓鱼、蓝队事件响应 桌面演练 + 角色扮演 提升团队协同响应速度 30%
智能体化篇 AI 生成攻击、模型安全治理 专家讲座 + 小组讨论 建立 AI 安全治理意识
合规篇 《个人信息保护法》要点、数据分级 法务合规分享 + 测评 满足内部审计与外部监管需求

3. 培训激励机制

  • 积分制：完成每个模块可获得积分，积分可兑换公司内部福利（如加班调休、技术培训券）。
  • 荣誉榜：每月评选 “安全之星”，公开表彰并在企业内网进行宣传。
  • 团队赛：部门间开展安全知识竞赛，促进知识共享与合作。

4. 培训效果评估

  • 前置评测：通过线上测验评估员工对典型案例的认知基线。
  • 过程监控：利用 LMS（学习管理系统）记录学习时长、答题正确率。
  • 后置验证：在培训后 30 天内进行钓鱼模拟，统计点击率下降幅度；对关键系统执行一次渗透测试，验证防护改进效果。
  • 持续改进：每季度收集反馈，修订培训内容，使其始终贴合最新威胁情报。

五、结语：从“防御”到“主动”——每个人都是安全的第一道防线

古语有云：“防微杜渐，祸从细微生”。在信息化、数字化、智能体化交织的今天，安全不再是 IT 部门的独角戏，而是全员参与的协同演出。从“TrueType 伪装”到 “云资源滥用”，每一次攻击都在提醒我们：技术的每一次升级，都会伴随新的攻击路径；防御的每一次疏忽，都可能酿成不可挽回的损失。

因此，请大家踊跃报名即将启动的安全意识培训，用知识武装头脑，用技能守护业务，用态度塑造文化。让我们在数字化的浪潮中，既乘风破浪，又稳如泰山。只有每一位职工都成为信息安全的“守门人”，企业才能在智能体化的未来中持续创新、稳健成长。

让安全成为习惯，让防护成为习惯，让我们共同迎接更加安全、更加智能的明天！

昆明亭长朗然科技有限公司提供全球化视野下的合规教育解决方案，帮助企业应对跨国运营中遇到的各类法律挑战。我们深谙不同市场的特殊需求，并提供个性化服务以满足这些需求。有相关兴趣或问题的客户，请联系我们。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898