9月7日至13日安全公告：33个APT集群创下新高

一份最新发布的周度威胁公告涵盖了9月7日至13日期间，其中标记出的协同网络攻击活动水平被研究人员描述为“持久性基线转变”。该报告跟踪了该周内同时活跃的33个APT（高级持续性威胁）集群，创下新高，并且是活动连续第三周保持在历史正常水平之上。

虽然此类公告通常是为安全运营团队和CISO（首席信息安全官）编写的，但其背后的数据对任何使用互联网进行 banking、购物、工作或通信的人都至关重要。当活跃威胁基础设施的数量如此急剧上升并持续保持高位时，普通用户遇到钓鱼页面、恶意下载或受损网络的概率也随之上升。

数据究竟说明了什么

该公告的头条数字——33个同时活跃的APT集群——指的是同时运行攻击活动的、相互独立且同时活跃的、与国家有关联或有组织的网络犯罪行为者团体。研究人员指出，此前的指导设定了一个阈值：如果报告周内该数字超过15，将被视为持久性变化的证据，而非暂时性激增。而该周的数值达到了33，是该阈值的两倍多，这就是为什么分析人员现在将其称为已确认的基线转变，而非偶然现象。

除了集群数量外，报告还记录了57,981个唯一入侵指标（IOC），即防御者用于检测和阻止攻击的数字指纹、恶意IP地址、文件哈希和域名。一个“持久性C2操作者”——指的是运行长期命令与控制基础设施的威胁行为者——独自贡献了其中超过53,000个IOC。这种集中度表明，一个特别活跃且资源充足的操作正在推动总体数量的很大一部分，而非增长均匀分布在众多较小的行为者之间。

该公告还记录了勒索软件活动相较基线水平激增5.5倍。勒索软件攻击之所以值得关注，是因为它们通常以影响日常用户的相同手段开始：钓鱼邮件、暴露的远程访问入口和未修补的软件漏洞。勒索软件操作的急剧上升通常与为这些操作提供养分的大规模钓鱼和凭证窃取活动的增加相关联。

为什么“持久性基线转变”不同于激增

安全研究人员区分短期激增（会在一两周内回落至正常水平）和基线转变（代表新的、持续的活动水平）。该公告的措辞是经过深思熟虑的：连续三周保持高位，加上集群数量远超此前设定的阈值，被解读为威胁环境本身已经发生变化的证据，而非这只是一个繁忙的个别周。

对读者而言，实际影响很直接。假设攻击是罕见、孤立事件的安全建议越来越与现实脱节。持久性基础设施——比如本周贡献了大部分IOC的C2操作者——往往会持续存在并在多个攻击活动中被重复使用，这意味着相同的恶意域名和服务器在首次被发现后的数周或数月内，可能重新出现在钓鱼尝试或恶意软件分发中。

当这种持续性基础设施与 newly disclosed 的软件漏洞相结合时，风险会进一步叠加。例如，最近披露的MiniPlasma权限提升漏洞展示了攻击者如何在标准补丁已应用后仍能在Windows机器上获得完整的SYSTEM级别访问权限。当持久性C2操作者同时拥有持久性基础设施和类似这样的新漏洞利用途径时，这种组合为他们提供了更多在更长时间内接触和控制受害者设备的方式。