EvilGophish 解构：基础设施与知名域名洞察

研究人员通过 HuntSQL™ 发现仿冒波兰能源监管机构(URE)与一家可再生能源企业的域名:其解析至荷兰微软 IP,并暴露运行在 3333 端口的 GoPhish 管理面板;分析时未投递钓鱼内容,疑为面向能源与政府部门的有预谋搭建。

Hunt.io 通过 SpiceRAT 检测，将 Bitdefender SilkParasite 报告中跨恶意软件家族的共享基础设施，与中亚的能源、政府和电信目标关联起来。

针对科威特渔业、电信与保险行业的钓鱼行动持续活跃:100+ 个域名集中于 Aeza International 网络的服务器,通过克隆登录门户窃取凭据;复用 SSH 密钥与相同 ASN 把基础设施关联成一体。

研究者在 2024 年 11 月至 2025 年 4 月间追踪到一组预运营阶段的 APT34(OilRig)式基础设施:仿冒伊拉克学术机构与英国科技公司,复用 SSH 密钥、以 8080 端口虚假 404 页面为特征,托管于 M247;为防御方提供早期预警视角。

研究者发现四台部署 JSPSpy webshell 的服务器(分布于中国与美国托管商),同时运行改名后的开源文件管理面板 Filebroser;与 JSPSpy 同现提示其可能充当持久化、文件管理或备用访问通道。

Hunt.io 追踪到疑似 Kimsuky 的新基础设施：页面继续以独特的 'Million OK!!!!' HTTP 响应与 Naver 品牌元素伪装，域名沿用此前关联的 p-e.kr 等 TLD，托管于韩国境内的 UCLOUD ASN。