揭示威胁行为者战术：开放目录如何洞悉 XWorm 投递策略

狩猎系列第一篇：Hunt 在一处开放目录中发现钓鱼站点与 XWorm RAT 并存，其伪造的登录页（假冒区块链登录、设备验证等）不仅窃取凭证，还试图骗取加密货币助记词。

Cobalt Strike 狩猎指南第 1 部分：用 AttackCapture 从开放目录中的 PowerShell 加载器与配置脚本入手，结合 SSL 证书与指纹 pivot 绘制活跃 C2 服务器地图。

研究人员从一例伪装成 DOCUMENT FOR DELIVERY INFORMATION.js 的混淆脚本入手,发现其滥用 paste.ee 托管并投递 XWorm 与 AsyncRAT 载荷;文章梳理全球分布的 C2 基础设施,并给出基于正则与 SSL 指纹的狩猎方法。

Hunt.io 分析一例以 'Payment Details.xll' 投递的 XenoRAT 样本：样品基于 Excel-DNA、经 ConfuserEx 加壳，显示该 RAT 正从游戏玩家转向企业目标与财务交易诱饵。

Hunt.io 发现 RunningRAT（曾关联 2018 年平昌冬奥会攻击的访问窃密工具）正转向加密货币挖矿：样本与挖矿载荷经开放目录与独立 VPS 分级投递。

Hunt.io 发布 AttackCapture：把攻击者一次性服务器中的侦察工具、远程漏洞利用、恶意软件与数据外传产物索引归类，并附 MITRE ATT&CK 标签、代码搜索与凭证标记等功能。