信息来源：Kaspersky report on APT trends in Q2 2024 | Securelist （2024年8月13日）
在网络安全领域，2024年的第二季度注定被载入史册。这一季度，一场针对全球Linux生态的“供应链核弹”——XZ后门事件（CVE-2024-3094）震惊世界；与此同时，多个高级持续性威胁（APT）组织加速技术演进，利用云服务、开源平台和新型RAT工具，在全球范围内展开新一轮网络间谍活动。
卡巴斯基最新发布的《2024年Q2 APT趋势报告》揭示了这一季度中最关键的威胁动态：从基础设施的深层渗透，到C2通信的“云化”转型，APT攻击正进入一个前所未有的复杂时代。
一、惊天供应链攻击：XZ Utils后门事件（CVE-2024-3094）
本季度最重大的安全事件，莫过于XZ压缩工具中的恶意代码注入。这一开源库被广泛集成于Debian、Ubuntu等主流Linux发行版的系统组件中，用于数据压缩与解压。
攻击者通过长达数年的社会工程渗透，成功“策反”了该项目的维护者，逐步获得代码提交权限，并最终在版本 5.6.0和 5.6.1中植入恶意逻辑。该后门的核心功能是：
- 在SSH服务（sshd）启动时，执行一段精心设计的代码；
- 利用复杂的位操作和JIT绕过技术，动态解密并注入恶意payload；
- 最终实现对系统root权限的远程控制。
尽管该后门在大规模部署前被研究人员及时发现并阻止，但其攻击深度、技术复杂性与长期潜伏能力，标志着APT组织已从应用层攻击，转向对开源生态与开发流程的系统性破坏。
“这不是一次漏洞利用，而是一场针对整个开源信任模型的战争。”
——安全界对XZ事件的普遍评价
二、新威胁浮现：CloudSorcerer——云上间谍的新典范
在XZ事件的阴影下，一个名为 CloudSorcerer 的新型APT组织悄然登场。该组织专门针对俄罗斯政府实体，使用一款高度复杂的间谍工具进行长期监控与数据窃取。
1. 云基C2架构：隐身于主流服务
CloudSorcerer的最大特点是其完全基于云的指挥与控制（C2）系统：
- 初始C2：使用GitHub私有仓库，通过REST API接收指令；
- 数据外泄：利用Microsoft OneDrive、Yandex Disk、Dropbox等云存储服务上传窃取的文件；
- 认证机制：所有通信均通过API密钥和OAuth令牌进行身份验证，极难被传统防火墙识别。
2. 技术特征与归因
尽管其战术与2023年曝光的CloudWizard组织相似（均滥用云服务），但代码完全独立，卡巴斯基认为其为全新威胁实体。该组织展现出极强的隐蔽性和反分析能力，目前尚无法明确归因。
三、新型RAT现身：SalmonQT——以GitHub为C2的轻量级后门
研究人员发现了一款名为 SalmonQT 的新型远程访问木马（RAT），其独特之处在于：
- C2通信完全依赖GitHub API：攻击者通过私有仓库的Issues或Gists功能下发指令，木马则通过API轮询获取命令；
- 低检测率：样本上传自中国IP，使用标准Windows API，规避了大多数杀毒软件的静态检测；
- 活跃时间：自2024年1月起持续运行，直至6月底仍在活动。
该工具被归因于CNC（APT-C-48）组织，一个长期专注于中国境内目标的威胁团伙。SalmonQT的出现，表明APT组织正越来越多地利用开发者平台作为攻击基础设施。
四、东南亚与南亚：QSC框架重现，Turian后门持续活跃
2021年首次发现的 QSC攻击框架，在2023年10月于西亚某ISP网络中再次出现。调查发现：
- 目标设备已被 Quarian Backdoor v3（又称Turian）感染；
- QSC框架用于横向移动与权限提升；
- 攻击者利用该框架在电信网络中建立持久化控制节点。
尽管QSC的初始投递方式仍未明确，但其重现表明，针对关键基础设施的长期潜伏攻击仍在持续。
五、中东与非洲：DinodasRAT跨平台扩张
DinodasRAT（又称Oomnitza RAT）是一种由印度尼西亚黑客组织开发的开源远程控制工具，近年来被多个APT组织滥用。
2024年第二季度，该木马的Linux版本被用于针对中东和非洲地区的攻击：
- 攻击者通过SSH暴力破解或Web漏洞入侵服务器；
- 部署DinodasRAT后，建立持久化连接，进行数据窃取与横向移动；
- 卡巴斯基分析了其网络通信协议，发现其支持文件管理、命令执行、系统信息收集等完整功能。
这一趋势表明，APT组织正将攻击重心从Windows桌面环境，转向服务器与云基础设施。
六、2024 Q2 APT五大趋势总结
- 供应链攻击升维：从软件分发链（如XZ）到开发流程的社会工程渗透，攻击面不断扩大；
- C2通信“云化”：GitHub、OneDrive、Dropbox等合法服务成为主流C2载体；
- 新型RAT涌现：轻量级、低检测率、模块化后门（如SalmonQT）成为新宠；
- 跨平台攻击常态化：Linux服务器、IoT设备成为高价值目标；
- 归因难度增加：多个新组织（如CloudSorcerer）采用成熟TTPs但代码独立，挑战传统归因方法。
结语：信任的崩塌与重建
2024年第二季度的APT landscape，是一场关于“信任”的危机。我们曾信任开源社区的审查机制，却遭遇了XZ的背叛；我们曾信任云服务的安全性，却被CloudSorcerer和SalmonQT利用。
未来，防御不再仅仅是打补丁和封IP，而是要重建数字世界的信任链——从代码提交、软件分发到运行时监控，每一个环节都必须接受更严格的审视。
“最危险的敌人，往往藏在你最信任的地方。”
——来自Q2 APT报告的深刻警示