WarmCookie 基础设施更新：发现新的 C2 服务器与威胁

Hunt.io 在开放目录中发现与 APT31 相关的 Rekoobe 后门样本，并通过共享 SSH 密钥关联到多个仿冒 TradingView 的域名，暗示交易社区可能成为攻击目标。

与 The Gentlemen 勒索软件相关的开放目录曝光 EtherRAT：一款借以太坊智能合约解析轮换 C2 域名的 Node.js 后门，同批泄露的还有 Sliver 反向隧道与操作者工具包。

DinDoor 后门分析：滥用 Deno 运行时执行混淆 JavaScript，经 MSI 投放；嵌入的 JWT 泄露活动信息，Hunt.io 借 HTTP 响应特征关联出 20 台活跃 C2。该家族与 Tsundere/CastleLoader 相关，被指与伊朗 Seedworm（MuddyWater）有关。

针对科威特渔业、电信与保险行业的钓鱼行动持续活跃:100+ 个域名集中于 Aeza International 网络的服务器,通过克隆登录门户窃取凭据;复用 SSH 密钥与相同 ASN 把基础设施关联成一体。

研究者在 2024 年 11 月至 2025 年 4 月间追踪到一组预运营阶段的 APT34(OilRig)式基础设施:仿冒伊拉克学术机构与英国科技公司,复用 SSH 密钥、以 8080 端口虚假 404 页面为特征,托管于 M247;为防御方提供早期预警视角。

多个虚假下载页面向中文用户投递携带后门的 Signal、Line 与 Gmail 安装包:页面不模仿官方域名,而依赖搜索引擎操纵引流;所有域名集中于香港一台阿里云服务器,下载的 ZIP 内含行为一致的 Windows 可执行文件。