APT36借KMS激活工具投递恐吓软件

研究人员披露一起疑似与巴基斯坦关联APT组织APT36（Transparent Tribe）相关的多阶段入侵：攻击者将恶意代码捆绑于盗版KMS Auto激活工具，依次部署XMRig挖矿程序、ScreenConnect与MeshAgent双远控通道，最终投递伪装成勒索软件的恐吓载荷SecurityHealthServices.exe，各阶段间隔12至24小时以规避检测。 分析未发现任何真实的文件加密逻辑或加密活动，恐吓载荷仅为伪装。研究团队指出现有证据尚不足以形成排他性归因结论。KMS Auto工具本身不等同于失陷指标，但若从不寻常目录执行或伴随可疑子进程启动，应视为高风险信号。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。