北京
一场针对缅甸政府与信息技术部门的网络间谍活动，正以精心伪造的毕业典礼邀请函为诱饵悄然展开。安全研究机构Seqrite Labs披露，这项代号为“Operation QUICSILVER”的攻击行动，已锁定缅甸政府及IT行业目标，攻击者被评估为与中国有关联的威胁行为者，但这一判断仅有中等置信度。
攻击链从一份伪造日历开始
该行动最早于2026年4月被观测到。当时攻击者投递了一个名为“HolidayNotice.pdf.exe”的文件，配套诱饵是一份虚构的“比利时—缅甸公共假日日历”。随后，在2026年6月和7月，研究人员又捕获到两个后续样本，均利用虚拟硬盘（VHD）文件激活感染链条。
VHD文件中藏有一个伪装成PDF文档的Windows快捷方式（LNK）。当受害者打开该文件时，屏幕上会显示一份缅甸语撰写的官方毕业典礼邀请函，落款为缅甸交通与通信部下属的信息技术与网络安全部门（ITCSD）。这份看似正式的“公告”实为障眼法——在受害者阅读邀请函的同时，快捷方式已悄然启动合法的微软签名二进制文件“ftp.exe”，并滥用其“-s”参数执行本地脚本文件中存储的命令。
隐蔽的两段式载荷重组
安全研究人员Priya Patel与Kartik Jivani在分析中指出：“当诱饵文档显示在受害者屏幕上时，脚本会在隐藏的_rels目录中搜索两个文档文件——header.doc和body.doc。随后利用Windows原生的copy /b命令将这两个文件合并，重建下一阶段的有效载荷。”
这一设计颇为巧妙：将恶意载荷拆分为两部分分散存储，仅在攻击执行时才进行重组，有效规避了基于静态特征的文件扫描。重组后的载荷是一个基于Golang编写的后门程序，被命名为“QUICAgent”。
对抗沙箱的“时间消耗战”
QUICAgent在连接命令与控制（C2）服务器之前，会执行一系列沙箱逃逸技术。具体而言，它内置了100至600毫秒的随机延迟，并执行1000次SHA-256哈希运算迭代。这些操作的目的是消耗自动化沙箱的执行时间限制——安全分析工具通常只允许样本运行有限时长，攻击者通过人为制造计算开销，使恶意行为在沙箱超时后才完全暴露。
C2服务器地址的获取同样采取了动态策略。后门程序向两个Cloudflare Workers域名发送HTTP GET请求，动态检索后端地址。一旦获得C2地址（104.64.211[.]22），便在其后附加443端口，构建最终通信目标。恶意软件通过UDP 443端口上的QUIC协议与C2服务器通信——QUIC协议基于UDP实现，具备低延迟与加密特性，且能更好地穿透防火墙限制。
基础功能与持久化机制
初始信标（beacon）会向服务器发送受害主机的基本信息。信标每五秒发送一次，每台被感染机器被分配一个唯一的X-Agent-ID用于标识受害者。QUICAgent的功能相对基础，支持五种命令：执行命令、传输文件、浏览目录以及修改信标间隔。
持久化方面，攻击者在当前用户的Windows启动文件夹中设置了一个LNK文件，确保用户下次登录系统时恶意程序自动执行。这一机制虽不复杂，但胜在稳定可靠，能够保证后门在系统重启后依然存活。
多阶段链条的启示
Seqrite Labs指出，该行动采用多阶段感染链：以恶意LNK文件为起点，滥用ftp.exe作为LOLBAS（Living Off the Land Binaries and Scripts，离地二进制与脚本）执行后续命令。这种手法在近年来的高级威胁活动中愈发常见——攻击者倾向于使用系统自带或签名的合法工具完成恶意操作，以降低被安全软件标记的风险。
从诱饵设计到技术实现，Operation QUICSILVER展现出相当程度的针对性。伪造的毕业典礼邀请函以缅甸语撰写，并冒用官方部门名义，显然经过对目标群体社会工程学偏好的调研。而VHD文件、LNK伪装、双文件重组、QUIC协议通信等技术的组合，则表明攻击者在规避检测方面投入了持续精力。
对于安全防御团队而言，这一案例再次印证了端点防护与网络流量监控的重要性。特别是对使用Windows环境的政府与IT部门，应警惕来历不明的文档附件，并关注启动文件夹中是否存在异常快捷方式。同时，对UDP 443端口的QUIC流量进行审计，或将成为检测此类威胁的关键切入点。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
