Throwback Thursday – A Guide to Configuring Throwback

在出口管控严格、每 30 分钟要求 NTLM 代理认证的目标内网中，测试团队通过社工邮件植入隐蔽的自定义信标后门，并在开放共享上发现 22 GB 的 VHD 文件，用 diskpart 挂载后探索隐蔽的数据外带路径。

演示在鱼叉式钓鱼获取域凭据后，如何将 Base64 编码的 Meterpreter 载荷嵌入 Office 文档的 VBA 宏，再把内部流传的正常文档重新发给其他员工作为后门，进一步渗透内网。

BOFScale 将改造后的 Tailscale 守护进程以 BOF-PE 形式植入进程内运行，通过标准 WebSocket 中继 C2 流量，使 DERP 中继与控制平面可隐藏在 CloudFront、Fastly 等 CDN 之后，无需驱动、服务或磁盘驻留。

FCC 将外国产消费级路由器列入涉安 Covered List：新机型须经「有条件批准」（披露股权结构与供应链信息并迁美生产）方可销售，已有设备适用 Blanket Waiver 保障至 2027 年 3 月 1 日，供应链安全与合规要求显著提高。

NetSPI 的 Ceri Coburn 提出新型 BOF PE 参考设计：同一链接产物既可独立运行也可在 C2 代理内执行，完整支持 C++ 与异常处理，通过 beacon 导入库解决符号解析难题，弥补传统 Beacon Object File 的维护痛点。

Azure Automation Account 支持自定义 PowerShell 模块与 Python 包，攻击者上传带后门的包即可在 Runbook 中实现持久化驻留。文章演示完整攻击链（含 Runtime Environments 预览功能的影响），并发布 Get-AzAutomationCustomModules 工具辅助排查。