重读过往威胁报告，发掘新基础设施

Cobalt Strike 狩猎指南第 1 部分：用 AttackCapture 从开放目录中的 PowerShell 加载器与配置脚本入手，结合 SSL 证书与指纹 pivot 绘制活跃 C2 服务器地图。

超 63 万个被劫持的 .gov.br 子域名 URL 被用于黑帽 SEO 投毒:攻击者用单台服务器上的模板化 HTML 与自动化脚本生成大量仿政府页面,把搜索流量引向赌博、博彩与诈骗站点;相关指标因巴西 CTIR 调查仍在进行而部分隐去。

Hunt.io 通过开放目录情报揭示 XWorm RAT 的伪装投递策略：样本伪装成浏览器、安全工具与文件传输软件，例如泰国服务器上孤零零的 SecurityHealthService.exe。

Hunt.io 发现 RunningRAT（曾关联 2018 年平昌冬奥会攻击的访问窃密工具）正转向加密货币挖矿：样本与挖矿载荷经开放目录与独立 VPS 分级投递。

香港主机上的开放目录暴露了一批攻击工具：Cobalt Strike 4.2、旧漏洞利用代码、凭证窃取工具 BrowserGhost，以及疑似针对中文教育平台的 Goblin 钓鱼工具。

Hunt.io 在开放目录中发现与 APT31 相关的 Rekoobe 后门样本，并通过共享 SSH 密钥关联到多个仿冒 TradingView 的域名，暗示交易社区可能成为攻击目标。