DarkPeony 的踪迹：证书模式指向持续活动的基础设施

VTI 披露 APT 组织 Goblin Panda（又名 Hellsing、1937CN）借新冠疫情主题对政府与国防机构发动攻击：以 RTF 漏洞文档（如 CVE-2017-11882）为诱饵，投递 PlugX、NewCoreRAT 后门，新样本可绕过 95% 以上的杀毒引擎。

Hunt.io 通过 SpiceRAT 检测，将 Bitdefender SilkParasite 报告中跨恶意软件家族的共享基础设施，与中亚的能源、政府和电信目标关联起来。

Hunt.io 通过五个暴露目录溯源到 SecFlow 编排的行动：Claude、Qwen、DeepSeek 作为可切换的 AI「工作者」，攻击亚洲多国政府、教育与外交目标。

这份威胁情报报告记录了针对关键基础设施和国防承包商的外网暴露应用攻击活动，为关键单位提供防御预警。

Hunt.io 通过异常 Cloudflare 证书、伪造 Microsoft 自签名证书与指向 FBI/NASA/eBay 的 301 跳转，定位出 Earth Baxia 与疑似 PlugX 两组恶意服务器集群。

Mustang Panda 与 PlugX 变体系列第三篇：剖析 THOR 变体——利用带 BitDefender 有效签名的 bdreinit.exe 进行 DLL 侧加载，加载 log.dll 解密 log.dat 中的 shellcode 与配置；payload 经 OLLVM 混淆，解密后获取 C2 地址、持久化用 Registry/Service 项、Campaign ID 等信息，并调整 SeDebugPrivilege 等特权后执行主要功能。