揭开对手基础设施的面纱：证书与重定向如何暴露 Earth Baxia 和 PlugX 活动

VTI 披露 APT 组织 Goblin Panda（又名 Hellsing、1937CN）借新冠疫情主题对政府与国防机构发动攻击：以 RTF 漏洞文档（如 CVE-2017-11882）为诱饵，投递 PlugX、NewCoreRAT 后门，新样本可绕过 95% 以上的杀毒引擎。

Hunt.io 通过 SpiceRAT 检测，将 Bitdefender SilkParasite 报告中跨恶意软件家族的共享基础设施，与中亚的能源、政府和电信目标关联起来。

Hunt.io 通过五个暴露目录溯源到 SecFlow 编排的行动：Claude、Qwen、DeepSeek 作为可切换的 AI「工作者」，攻击亚洲多国政府、教育与外交目标。

Hunt.io 以证书模式（组织单位字段中的 'AES' 等）为线索，扩展追踪疑似 DarkPeony 的基础设施；该中国背景网络间谍组织长期针对政府与军事机构，偏好香港主机商与 CloudFlare。

Mustang Panda 与 PlugX 变体系列第三篇：剖析 THOR 变体——利用带 BitDefender 有效签名的 bdreinit.exe 进行 DLL 侧加载，加载 log.dll 解密 log.dat 中的 shellcode 与配置；payload 经 OLLVM 混淆，解密后获取 C2 地址、持久化用 Registry/Service 项、Campaign ID 等信息，并调整 SeDebugPrivilege 等特权后执行主要功能。

Mustang Panda 与 PlugX 变体系列第二篇：XOR 2 变体引入控制流平坦化、FNV-1a 哈希动态解析 API、XOR 加密 stack string 等对抗分析技术，配置中新增用于标识攻击行动的 Campaign ID 字段，并使用 Fodhelper/eventvwr 实现 UAC Bypass，通过计划任务实现持久化。