XenoRAT 改用 Excel XLL 文件和 ConfuserEx 作为入侵方式

Hunt.io 通过开放目录情报揭示 XWorm RAT 的伪装投递策略：样本伪装成浏览器、安全工具与文件传输软件，例如泰国服务器上孤零零的 SecurityHealthService.exe。

恶意 VSCode 扩展攻击链：仿冒 Prettier 的 prettier-vscode-plus 经官方市场投放，Anivia 加载器内存解密执行，终段 OctoRAT 提供 70+ 条命令；攻击者 GitHub 仓库频繁轮换载荷以规避检测。

研究人员从一例伪装成 DOCUMENT FOR DELIVERY INFORMATION.js 的混淆脚本入手,发现其滥用 paste.ee 托管并投递 XWorm 与 AsyncRAT 载荷;文章梳理全球分布的 C2 基础设施,并给出基于正则与 SSL 指纹的狩猎方法。

本文是主动狩猎 ClickFix 投递页面的案例研究:把 Win+R 粘贴命令的诱导流程转化为可复用的 HuntSQL™ 查询,批量发现多个仍在活跃、尚未被公开报告的恶意域名。

Hunt.io 分享 SparkRAT 服务器检测技巧：默认 8000 端口与 HTTP Basic 认证响应是有效指纹；并分析一起疑似朝鲜针对 macOS 的攻击活动，解析其 WebSocket/HTTP C2 通信与 IOC。

Hunt.io 发现 RunningRAT（曾关联 2018 年平昌冬奥会攻击的访问窃密工具）正转向加密货币挖矿：样本与挖矿载荷经开放目录与独立 VPS 分级投递。