入侵之门：通过开放目录投递恶意软件

研究人员从一例伪装成 DOCUMENT FOR DELIVERY INFORMATION.js 的混淆脚本入手,发现其滥用 paste.ee 托管并投递 XWorm 与 AsyncRAT 载荷;文章梳理全球分布的 C2 基础设施,并给出基于正则与 SSL 指纹的狩猎方法。

Hunt.io 通过开放目录情报揭示 XWorm RAT 的伪装投递策略：样本伪装成浏览器、安全工具与文件传输软件，例如泰国服务器上孤零零的 SecurityHealthService.exe。

Hunt 在搜寻 IOX 副本时发现一处开放目录，内含两个 SuperShell（即 GOREVERSE）载荷和一个 Linux ELF Cobalt Strike beacon；文章讲解了通过 /supershell/login 特征识别其 C2 面板的方法。

狩猎系列第一篇：Hunt 在一处开放目录中发现钓鱼站点与 XWorm RAT 并存，其伪造的登录页（假冒区块链登录、设备验证等）不仅窃取凭证，还试图骗取加密货币助记词。

基础设施狩猎实战教程：以与 AsyncRAT 关联的 IP 为起点，经 ASN、端口、服务与 TLS 证书逐层 pivot，演示如何用 Hunt.io 把孤立线索扩展为对手 C2 集群全貌。

Cobalt Strike 狩猎指南第 1 部分：用 AttackCapture 从开放目录中的 PowerShell 加载器与配置脚本入手，结合 SSL 证书与指纹 pivot 绘制活跃 C2 服务器地图。