APT36组织利用伪装KMS激活工具实施多阶段入侵并部署恐吓软件

研究人员披露一起疑似与APT36（Transparent Tribe）相关的多阶段入侵：攻击者将恶意代码捆绑于盗版KMS Auto激活工具，依次部署XMRig挖矿程序、ScreenConnect与MeshAgent双RMM通道，最终投递伪装成勒索软件的恐吓载荷SecurityHealthServices.exe，各阶段间隔12至24小时以规避检测。