针对女性的钓鱼邮件：借化妆品试用之名，点开即感染恶意软件|新加坡团队推出新型AI工具，革新内网威胁防御测试体系
网络安全研究人员近日披露了一种新型攻击链，该攻击链通过针对我国国内女性消费者的钓鱼邮件，投递名为VShell的开源后门程序。
Part01
文件名暗藏玄机
Trellix研究员Sagar Bade在技术报告中指出：这是一条针对Linux系统的恶意软件感染链，攻击始于包含恶意RAR压缩包的垃圾邮件。这些钓鱼邮件伪装成化妆品调查邀请，以10元人民币报酬诱导收件人参与。
有效载荷并非隐藏在文件内容或宏中，而是直接编码在文件名本身。攻击者通过巧妙利用shell命令注入和Base64编码的Bash有效载荷，将简单的文件列表操作转变为自动执行恶意软件的触发器。
这家网络安全公司补充道，该技术利用了shell脚本中常见的一个简单但危险的模式——当文件名未经充分净化处理就被评估时，像eval或echo这样简单的命令就可能促成任意代码执行。
更关键的是，该技术还能绕过传统防御机制，因为杀毒引擎通常不会扫描文件名。
Part02
攻击流程剖析
攻击的起点是一封包含RAR压缩包的电子邮件，其中有个经过精心构造的文件名："ziliao2.pdf{echo,<Base64编码命令>}|{base64,-d}|bash"。
该文件名包含Bash兼容代码，设计用于在shell解释时执行命令。值得注意的是，单纯从压缩包提取文件不会触发执行，只有当shell脚本或命令尝试解析该文件名时才会激活。
Trellix表示，这种特殊语法的文件名无法手动创建，很可能是通过其他编程语言生成，或是利用绕过shell输入验证的外部工具/脚本植入的。这会导致嵌入的Base64编码下载器被执行，进而从外部服务器获取适合目标系统架构（x86_64、i386、i686、armv7l或aarch64）的ELF二进制文件。该二进制文件随后会与命令控制（C2）服务器建立通信，获取加密的VShell有效载荷，解密后在主机上执行。
Part03
精心设计的社工流程
这些钓鱼邮件伪装成化妆品调查邀请，以报酬诱导收件人参与调查试用，有明显的人群针对性。研究人员指出，关键在于邮件包含RAR压缩包附件('yy.rar')，尽管没有明确指示用户打开或解压。社交工程手法很隐蔽：用户注意力被调查内容吸引，可能会误以为附件是调查相关文档或数据文件。
Part04
VShell后门特性
VShell是一款基于Go语言的远程访问工具，近年来被广泛使用，支持反向shell、文件操作、进程管理、端口转发和加密C2通信。该攻击的危险性在于恶意软件完全在内存中运行，可规避基于磁盘的检测，且能针对各类Linux设备。
Trellix强调："这次分析揭示了Linux恶意软件投递的危险演变——RAR压缩包中简单的文件名就能被武器化来执行任意命令。感染链利用shell循环中的命令注入，滥用Linux宽松的执行环境，最终投递具备完全远程控制系统能力的强大后门VShell。"
Part05
相关技术动态
与此同时，Picus Security发布了对Linux后期利用工具RingReaper的技术分析，该工具利用Linux内核的io_uring框架规避传统监控工具。目前尚不清楚该恶意软件的幕后黑手。
安全研究员Sıla Özeren Hacıoğlu指出："RingReaper没有调用read、write、recv、send或connect等标准函数，而是使用io_uring原语（如io_uring_prep_*）异步执行等效操作。这种方法有助于绕过基于钩子的检测机制，降低EDR平台常见遥测数据中恶意活动的可见性。"
RingReaper利用io_uring枚举系统进程、活动伪终端(PTS)会话、网络连接和登录用户，同时减少自身痕迹并规避检测。它还能从"/etc/passwd"文件收集用户信息，滥用SUID二进制文件提权，并在执行后清除自身痕迹。
Picus Security表示："它利用Linux内核现代异步I/O接口io_uring，最大限度减少对安全工具常监控或挂钩的传统系统调用的依赖。"
参考来源：
Linux Malware Delivered via Malicious RAR Filenames Evades Antivirus Detection
https://thehackernews.com/2025/08/linux-malware-delivered-via-malicious.html
新加坡团队推出新型AI工具，革新内网威胁防御测试体系
Part01
内网威胁检测的困境
内网威胁（Insider Threat）因其攻击者具有合法访问权限而成为最难检测的攻击类型之一。尽管安全团队深知其风险，但长期缺乏可用于训练系统的数据来识别恶意行为的细微模式。
新加坡管理大学研究团队最新推出的Chimera系统，通过大语言模型（LLM）智能体模拟企业环境中的正常与恶意员工行为，旨在解决内网威胁检测领域最关键的痛点——缺乏真实且可共享的数据集。
Chimera自动化内网威胁模拟工作流程
Part02
突破性模拟技术
安全团队长期受困于无法获取大量真实内部活动日志的难题。现实日志包含无法公开的敏感数据，而CERT等合成数据集又缺乏生产环境中的多样性、语义复杂性和真实场景特征。这导致基于此类数据训练的检测模型在实际部署时频频失效。
Chimera采用基于LLM的多智能体模拟技术构建真实组织场景：
- 每个LLM智能体代表具有特定角色、职责甚至基础性格特征的员工
- 智能体之间会协作、沟通并遵循包含会议、邮件和项目工作的日常安排
- 部分智能体被设定为内网攻击者，在执行常规任务掩护下实施恶意活动
系统可适配科技公司、金融机构、医疗机构等不同企业场景，自动配置对应的软件环境、访问控制与通信渠道，并记录六类日志：登录事件、电子邮件、网页浏览记录、文件操作、网络流量和系统调用。
Part03
海量仿真数据集
研究团队通过三种场景的月度模拟，创建了包含约250亿条日志记录的ChimeraLog数据集，其中包括：
- 20亿条应用级事件
- 220亿条系统级事件
- 基于真实案例的15种内网攻击场景（涵盖知识产权窃取、欺诈、破坏及混合攻击等）
新加坡管理大学研究员Jiongchi Yu向Help Net Security表示，企业可通过配置文件在本地环境建模其基础设施、软件堆栈和组织架构，这意味着团队能生成真实且具代表性的内网威胁场景，同时避免敏感数据外泄。
Part04
检测效能验证
专家评估显示，ChimeraLog的真实度接近罕见的真实数据集TWOS，远高于CERT。测试发现：
- 在CERT数据集上F1分数接近完美的SVM、CNN、GCN和DS-IID等模型，在ChimeraLog上得分降至约0.83
- 金融场景因攻击模式更隐蔽而检测难度最大
- 基于ChimeraLog训练的模型展现出更好的跨场景泛化能力
Yu指出："真实的检测不应仅复现宽泛的活动分布，还必须捕获具有逻辑性和丰富上下文信息的行为模式。"他建议部署内网威胁检测的团队应重点关注：收集反映自身环境的日志以使模型适配，以及从训练模型中提取更高层次的行为模式（如异常文件访问或不规律工作时间等可迁移知识）。
Part05
技术演进方向
研究团队已测试GPT-4o、Gemini-2.0-Flash和DeepSeek V3三种基础模型：
- GPT-4o生成最多样化的通信日志
- Gemini出现更多任务执行失败
- DeepSeek产生更长的工作日记录（有时持续至午夜）
未来计划包括：
- 扩展对研究机构等更多组织类型的支持
- 创建连接组织类型、场景和配置的模块化数据库
- 支持Model Context协议
- 开发受人类认知启发的更丰富记忆模型
- 深化与Camel-AI社区的集成以提升泛化能力
Part06
行业应用前景
对安全从业者而言，Chimera的核心价值在于无需暴露敏感数据即可生成大规模、多样化且真实的内网威胁数据集。这使团队能在接近生产环境的状态下训练和评估检测系统。
虽然该技术尚处研究阶段，但为构建能生成真实多模态数据集的自动化网络靶场指明了方向。若得到广泛应用，将有效缩小实验室检测与真实世界内网威胁行为之间的差距。
参考来源：
Why a new AI tool could change how we test insider threat defenses
https://www.helpnetsecurity.com/2025/08/25/ai-insider-threat-simulation/
文章来源：FreeBuf
官方 