头脑风暴：两个典型且深具教育意义的安全事件
-
“Curly COMrades”利用 Hyper‑V 隐蔽渗透的惊天案例
2024 年底，格鲁吉亚 CERT（联邦计算机应急响应中心）在一次联动调查中，捕捉到一支代号为 Curly COMrades 的威胁组织利用 Windows 10 原生虚拟化平台 Hyper‑V，搭建仅 120 MB 磁盘、256 MB 内存的轻量级 Alpine Linux 虚拟机，将自研恶意程序 CurlyShell 与 CurlCat 隐蔽部署在其中。攻击者通过 Hyper‑V 默认交换机进行 NAT，所有恶意流量看似来源于宿主机合法 IP，实现了对传统 EDR（终端检测与响应）系统的“隐身”。更甚者，攻击者借助 PowerShell 脚本实现 Kerberos 票据注入、域本地账户持久化，形成横向移动的 “黑暗链”。该案例直观展示了 合法系统功能被滥用 的危害，也提醒我们：防御不能只盯表面的可疑文件，必须审视系统本身的“暗盒子”。 -
RMM 工具被劫持，Medusa 与 DragonForce 勒索软件的大规模扩散
2025 年 3 月，全球知名安全厂商 Zensec 报告称，一批受信任的远程监控管理（RMM）工具在供应链环节被植入后门，攻击者借此向企业网络推送 Medusa 与 DragonForce 双重勒索病毒。受害企业往往已在 RMM 平台上配置了自动化脚本、凭证同步与系统补丁推送功能，攻击者正是利用这些 “便利” 实现对内部生产线、财务系统的快速渗透。更为可怕的是，恶意代码通过加密通道隐藏在合法的 API 调用之中，使得传统网络流量监测工具难以辨识。此案凸显了 信任链的脆弱性：一旦信任的基石被破坏，整个组织的安全防线将瞬间崩塌。
案例深度剖析：从技术细节到防护启示
1. Hyper‑V 虚拟化的“双刃剑”
- 技术实现：攻击者首先在目标机器上开启 Hyper‑V 角色，随后通过 PowerShell 脚本下载并部署 Alpine Linux 镜像。虚拟机内部运行 CurlyShell（持久化逆向 HTTPS Shell）与 CurlCat（将 SSH 流量封装为 HTTP 请求的代理），并利用 Hyper‑V 默认交换机的 NAT 功能，使所有出站流量均使用宿主机的 IP 进行路由。
- 防御盲点：传统 EDR 多聚焦于文件系统、进程树、注册表等层面，难以实时监控虚拟化层面的微小变动；而 Hyper‑V 本身的日志功能默认关闭，导致异常事件难以及时捕获。
- 防护建议：① 强化 Hyper‑V 角色管理：仅在业务必需的服务器上启用，并通过组策略限制普通用户的创建/启动虚拟机权限；② 开启并审计 Hyper‑V 日志，结合 SIEM（安全信息事件管理）系统实现异常虚拟机创建的即时告警；③ 部署基于行为的检测，关注异常的网络流量模式（如大量 NAT 后的相同源 IP 高频 HTTP/HTTPS 请求），及时阻断潜在的隐蔽通道。
2. PowerShell 脑洞大开的横向移动
- Kerberos 票据注入：脚本
kb_upd.ps1将加密后的票据注入 LSASS 进程，实现“黄金票据”效果，攻击者无需密码即可凭票据访问域内所有主机。 - 本地账户持久化：
screensaver.ps1利用 Group Policy 自动在域机器上创建/重置特权账户，形成持久后门。 - 防御要点：① 对 LSASS 进程的访问进行严格的 LUID（本地唯一标识符） 检查；② 在 AD（Active Directory）审计中启用 Kerberos 票据分发监控，对异常的票据更新时间戳进行告警；③ 对所有登录账户进行 密码复杂度与更改周期 的强制政策，同时对本地管理员组进行定期清理。
3. RMM 供应链攻击的信任危机
- 攻击路径：攻击者通过在 RMM 供应链的更新包中植入后门，利用已获授权的 API 调用进行横向渗透，并下载 Medusa/DragonForce 勒索载荷。
- 关键失误：企业对 RMM 工具的 代码签名、供应链完整性校验 以及 最小特权原则 实施不足，导致后门能够在无感知的情况下执行。
- 安全措施：① 对所有第三方工具实施 零信任审计：仅在受控环境中运行，并对其网络行为进行白名单管理；② 采用 软件成分分析（SCA） 与 供应链攻击检测平台，实时比对签名与哈希值；③ 在 RMM 平台中开启 多因素认证（MFA） 与 行为异常监控，防止账户被滥用。
信息化、数字化、智能化浪潮中的新挑战
在当今 云计算、物联网、AI 驱动的业务场景 中，信息系统的边界愈发模糊，攻击者的渗透路径也呈现出以下趋势：
- 权限即货币：从 特权账户 到 云 API Key，一次凭证泄露即可导致海量资源被盗取。
- 原生功能被滥用：如本案例中的 Hyper‑V、PowerShell、RMM 脚本，都是操作系统或平台的合法功能，却被攻防双方“借刀”。
- 供应链攻击深化：从开源库到容器镜像，从 SaaS 平台到 CI/CD 流水线，攻击者正把视线投向 信任链的每一环。
- AI 生成式攻击：新兴的 “HackGPT” 之类工具能够在几秒钟内生成针对性 Phishing 邮件、代码注入脚本，提升了攻击的 规模化与精准度。
面对这些新形势，单点防御已无法满足需求，必须构建 以人为核心、技术为支撑、流程为保障 的全链路防护体系。
呼吁全员参与：即将开启的信息安全意识培训
1. 培训的定位与意义
- 全员覆盖：无论是研发、运维、财务，还是人事、市场，皆是攻击者潜在的入口。
- 情景化学习：课堂不再是枯燥的技术堆砌，而是以 真实案例 为蓝本，演练 从发现、报告到响应 的完整流程。
- 技能升级：从 密码管理、钓鱼防范 到 安全日志审计、云资源最小权限配置，帮助员工形成 技术思维与安全思维的双向闭环。
2. 培训内容概览
| 模块 | 关键要点 | 预期收获 |
|---|---|---|
| ① 信息安全基础 | CIA（机密性、完整性、可用性）三元模型、常见威胁分类 | 建立安全概念框架 |
| ② 案例研讨：Hyper‑V 隐蔽渗透 | 虚拟化安全、日志审计、网络流量异常 | 学会识别系统层面隐蔽行为 |
| ③ 案例研讨：RMM 供应链攻击 | 供应链风险、最小特权原则、MFA 部署 | 防止信任链被劫持 |
| ④ 实战演练：钓鱼邮件识别 | 社会工程学、邮件头分析、快速报告流程 | 提升日常防范能力 |
| ⑤ 智能化防御：AI 与安全 | AI 生成式攻击、对抗技术、模型安全 | 把握前沿防御趋势 |
| ⑥ 应急响应演练 | 现场处置、取证流程、沟通机制 | 快速响应、降低损失 |
3. 参与方式与激励机制
- 报名渠道：通过公司内部门户“安全学习平台”自助报名；每位员工可在 5 月 1 日前完成登记。
- 学习积分：完成每一模块即获 安全积分，累计满 100 分可兑换 公司内部电子礼品卡，并在年终安全评优中加分。
- 证书认证：培训结业后颁发 《企业信息安全意识合格证》，并计入个人绩效档案。
- 奖励抽奖：完成全部课程并通过结业测评的前 50 名，将有机会抽取 智能硬件伙伴（如加密 U 盘、硬件防火墙）作为鼓励。
4. 你的角色——从“安全旁观者”到“安全守护者”
- 主动检测：留意系统日志、异常网络流量、未知进程启动。
- 及时报告：一旦发现可疑行为，立即通过 “安全事件上报平台” 报告；记住，“迟报即失”。
- 持续学习：安全技术日新月异，保持对新威胁的敏感度，定期复盘案例，提升个人防护能力。
- 传播正能量：在团队内部分享学习心得，让安全文化在每一次协作中生根发芽。
结语：让安全成为企业的内在基因
回顾 Curly COMrades 的 Hyper‑V 隐蔽渗透与 RMM 供应链攻击的血泪教训，我们不难发现：技术的每一次升级，都可能成为攻击者的“新玩具”。 只有当每一位员工都具备 发现、思考、行动 的安全意识，才能在信息化、数字化、智能化的浪潮中稳住阵脚，化危机为转机。
让我们在即将开启的安全意识培训中，携手并进，以 知识筑城、以警觉守门，共同守护企业的数字资产、守护每一位同事的网络安全。因为，安全不是某个人的专属责任，而是全体的共同使命。
信息安全从我做起，防御从今天开始！
除了理论知识，昆明亭长朗然科技有限公司还提供模拟演练服务，帮助您的员工在真实场景中检验所学知识，提升实战能力。通过模拟钓鱼邮件、恶意软件攻击等场景，有效提高员工的安全防范意识。欢迎咨询了解更多信息。
- 电话：0871-67122372
- 微信、手机：18206751343
- 邮件：info＠securemymind.com
- QQ: 1767022898