好游戏变坏：Xeno RAT 通过 .gg 域名和 GitHub 传播

Hunt 分析 Golang 编写的 SparkRAT：该开源 RAT 在 GitHub 上有 400+ 分支，被 Microsoft、SentinelOne、AhnLab 等归因的活动所使用；文章介绍其默认 8000 端口、WebSocket/HTTP(S) 通信及登录页响应特征等检测方法。

Hunt 追踪一场疑似朝鲜攻击者主导、窃取 Google 与 Naver 凭证的钓鱼活动：仿冒币安的站点被标记后改用 iframe 继续作案；线索来自一个还存有 Xeno-RAT 与 KakaoTalk 聊天记录的开放目录，多处特征与 Kimsuky 组织重叠。

Hunt.io 通过 SpiceRAT 检测，将 Bitdefender SilkParasite 报告中跨恶意软件家族的共享基础设施，与中亚的能源、政府和电信目标关联起来。

恶意 VSCode 扩展攻击链：仿冒 Prettier 的 prettier-vscode-plus 经官方市场投放，Anivia 加载器内存解密执行，终段 OctoRAT 提供 70+ 条命令；攻击者 GitHub 仓库频繁轮换载荷以规避检测。

冒充电子前沿基金会(EFF)的攻击者以《阿尔比恩 Online》玩家为目标:开放目录暴露诱饵文档与 Stealc、Pyramid C2 恶意软件,代码注释指向俄语开发者;共享 SSH 密钥又关联出 11 台服务器,显示其网络规模。

Hunt.io 分享 SparkRAT 服务器检测技巧：默认 8000 端口与 HTTP Basic 认证响应是有效指纹；并分析一起疑似朝鲜针对 macOS 的攻击活动，解析其 WebSocket/HTTP C2 通信与 IOC。