诱饵文档与恶意浏览器扩展：深入剖析多层次威胁

Cobalt Strike 狩猎指南第 1 部分：用 AttackCapture 从开放目录中的 PowerShell 加载器与配置脚本入手，结合 SSL 证书与指纹 pivot 绘制活跃 C2 服务器地图。

香港主机上的开放目录暴露了一批攻击工具：Cobalt Strike 4.2、旧漏洞利用代码、凭证窃取工具 BrowserGhost，以及疑似针对中文教育平台的 Goblin 钓鱼工具。

Hunt 通过 Geacon_Pro 默认的 “foren.zik” TLS 证书追踪这一 Golang 版 Cobalt Strike 实现，发现多个活跃服务器与开放目录，揭示其对 Linux 和 Windows 系统的持续威胁。

Hunt 在开放目录中发现多个 SpyNote 间谍软件样本，其伪装成 Google Translate、Temp Mail、Deutsche Postbank 等应用；文章解析了这款源码泄露的 Android 间谍软件如何窃取位置、短信与联系人数据。

Hunt 在搜寻 IOX 副本时发现一处开放目录，内含两个 SuperShell（即 GOREVERSE）载荷和一个 Linux ELF Cobalt Strike beacon；文章讲解了通过 /supershell/login 特征识别其 C2 面板的方法。

一个未防护的目录暴露了红队工具集：Cobalt Strike、Havoc、Villain 等 C2 框架，以及 SSH 目录、bash 历史、BloodHound 数据与 Kerberoast 哈希；该目录由 Justin Elze 率先发现，凸显操作安全（OPSEC）失误。