当场抓获：在意外之处发现 SpyNote

新出现的 LightSpy 服务器(149.104.18.80)将命令列表扩展至 Facebook 与 Instagram 应用数据库文件,并配备 Windows 监控插件;Hunt.io 通过 TLS 证书追踪已识别 8 个活跃 IP,该监视框架仍在持续演变。

Hunt.io 曝光一起多层次攻击：开放目录中的可执行文件经计划任务运行 PowerShell，'Dark Mode' Chrome 扩展由开源间谍代码改造（可键盘记录、截屏），另有冒充 Cobalt Strike 文档的诱饵投递副本。

Hunt 调查了中国一台 Web 服务器上的开放目录，其中托管 53 个可疑文件：包括挖矿程序、捆绑可疑权限的篡改版 TiviMate APK，以及可能针对移动设备的 .m3u 文件。

Cobalt Strike 狩猎指南第 1 部分：用 AttackCapture 从开放目录中的 PowerShell 加载器与配置脚本入手，结合 SSL 证书与指纹 pivot 绘制活跃 C2 服务器地图。

从一个被标记为 Joker 的壁纸类 APK 入手,研究者利用 SSL 证书历史梳理该安卓恶意软件的 C2 网络:定位到新加坡阿里云服务器,并通过复用证书发现更多关联域名与 IP,展示证书枢纽在长期追踪中的价值。

Hunt.io 通过开放目录情报揭示 XWorm RAT 的伪装投递策略：样本伪装成浏览器、安全工具与文件传输软件，例如泰国服务器上孤零零的 SecurityHealthService.exe。