利用真实世界 IOC 枢纽关联追踪威胁行为者

Check Point 报告疫情主题域名三周内增长近 10 倍，暗网卖家以 COVID19 优惠码兜售攻击工具；AZORult、Emotet、TrickBot 等恶意软件借疫情传播，APT36 与朝鲜组织也利用疫情文档投递 CRAT、BabyShark。

Hunt.io 通过一个暴露的目录发现泰国 ISP 3BB 正遭受活跃入侵：利用 CVE-2024-21762 攻击 FortiGate SSL-VPN、部署 MeshCentral 持久化，并窃取 RADIUS 凭据。

Hunt.io 通过 SpiceRAT 检测，将 Bitdefender SilkParasite 报告中跨恶意软件家族的共享基础设施，与中亚的能源、政府和电信目标关联起来。

Hunt.io 从运营者自己暴露的目录解析 Redis 挖矿僵尸网络日志：两轮共攻陷 3,562 台服务器，仅 rogue replication 可规模化，无认证目标成功率 72.6%。

Hunt.io 通过五个暴露目录溯源到 SecFlow 编排的行动：Claude、Qwen、DeepSeek 作为可切换的 AI「工作者」，攻击亚洲多国政府、教育与外交目标。

APT36(Transparent Tribe)将攻击范围从军事目标扩展至印度铁路、油气设施与外交部:.desktop 文件伪装成 PDF 投递载荷,借 cron 建立持久化,并使用基于 Mythic 框架的 Go 语言 Poseidon 后门;另发现 100+ 个仿冒印度政府机构的钓鱼域名。