意外的恶意软件仓库：通过开放目录狩猎与收集恶意软件（第 1 部分）

Hunt.io 通过开放目录情报揭示 XWorm RAT 的伪装投递策略：样本伪装成浏览器、安全工具与文件传输软件，例如泰国服务器上孤零零的 SecurityHealthService.exe。

研究人员从一例伪装成 DOCUMENT FOR DELIVERY INFORMATION.js 的混淆脚本入手,发现其滥用 paste.ee 托管并投递 XWorm 与 AsyncRAT 载荷;文章梳理全球分布的 C2 基础设施,并给出基于正则与 SSL 指纹的狩猎方法。

文章以两个案例说明攻击者借开放目录投递恶意软件：其一为 AsyncRAT 通过 VBScript 调用 BITS 下载载荷；其二为经 Fernet 加密包裹的 Python 可执行文件，与 SuperShell 登录页同处一台服务器。

Cobalt Strike 狩猎指南第 1 部分：用 AttackCapture 从开放目录中的 PowerShell 加载器与配置脚本入手，结合 SSL 证书与指纹 pivot 绘制活跃 C2 服务器地图。

TinyLoader 恶意软件运营内幕：从单个拉脱维亚 IP 追出完整设施——USB 与假快捷方式传播、剪贴板劫持替换加密货币地址、投放 Redline Stealer 与 DCRat，C2 面板分布于拉脱维亚、英国与荷兰。

本文是主动狩猎 ClickFix 投递页面的案例研究:把 Win+R 粘贴命令的诱导流程转化为可复用的 HuntSQL™ 查询,批量发现多个仍在活跃、尚未被公开报告的恶意域名。