导语：193.29.104[.]84:8099 上挂着一个零防护的开放目录，48 个文件、约 12 MB，Go 版反弹 shell、Inveigh 凭据收割配置、Metasploit 加载器一应俱全，脚本里直接硬编码了 PAEC、Chashma、KANUPP 和 SCADA。工具链指纹指向 DoNot APT（APT-C-35）。
封面图：InfraHunter 整理的攻击者能力概览——左侧是目标行业，中间是暴露的开放目录，右侧是攻击者能力清单
事件概述
在 193.29.104[.]84:8099 上挂着一个没有任何防护的开放目录，里面整整齐齐码着 48 个文件，总共约 12 MB，没有子目录。这些文件和脚本大概率属于一次针对巴基斯坦战略部门的入侵行动。
有意思的地方在于脚本内容。里面直接硬编码了巴基斯坦核工业、电力系统和工业控制系统（ICS）的关键词，包括 PAEC（巴基斯坦原子能委员会）、Chashma（查希马核电站）、KANUPP（坎努普核电站），以及 SCADA、Modbus 这类工控协议名。
结合 VirusTotal 的关联数据和 StrikeReady Labs 的一篇分析，这次行动大概率与 DoNot APT（编号 APT-C-35，别名 SectorE02）脱不开关系。
这篇研究把暴露出来的东西摊开讲：工具包长什么样、什么时候做的、用了哪些基础设施、能干什么、盯上了谁。
关键发现
- 紧盯巴基斯坦：脚本里塞满了
PAEC、Chashma、KANUPP、SCADA、Modbus 这类战略部门术语。 - 凭据收割：多份 Inveigh 配置显示，攻击者反复尝试用 LLMNR、NBNS、mDNS 投毒截取 NetNTLM 哈希。
- 冒充 OGDCL：部分脚本会改写域相关环境变量，把自己伪装成
OGDCL（巴基斯坦石油天然气开发公司）的主机。 - 内网侦察与横向移动：脚本枚举用户配置目录、搜敏感文档、测绘内网拓扑，还拿凭据去撞管理共享。
- 工具包还在演进：10 月 9 日到 10 月 14 日之间的文件变动说明，这不是一次性行动，而是一套边用边改的工具链。
基础设施细节
193.29.104[.]84 落在 M247 Europe SRL（AS9009）的网段里。按 Hunt.io 的说法，这个 IP 属于 193.29.104.0/24，地理位置标在法国法兰西岛大区圣但尼。
图 01：Hunt.io 对 193.29.104[.]84 的扫描结果
打开那个开放目录，一共 48 个文件、约 12 MB，没有任何子目录。
图 02：193.29.104[.]84:8099 上的开放目录，共 48 个文件、约 12 MB
真正有价值的是那些侦察脚本。硬编码路径和关键词搜索，把攻击者的目标直接抖了出来。
工具包的演进过程
这批文件里最早的一批可以追溯到 2026 年 10 月 9 日，当时一次性上了 34 个文件。之后几天陆续有新增，包括一份明文凭据、更新过的反弹 shell，以及被改过的 Inveigh 配置。
图 03：暂存服务器活动时间线，10 月 9 日至 14 日之间的文件新增与工具包更新
变化最明显的有两处：10 月 10 日上传的 ad_pwd.txt 疑似泄露了明文凭据，来源和具体用途暂时无法确认；10 月 14 日的文件则开始在 Inveigh 配置里加入 OGDCL 伪造。也就是说，初次上传好几天之后，这套工具链还在继续迭代，LLMNR/NBNS 投毒的配置一直在调。
目标指向：核能、电力与工控系统
从回收的批处理脚本里能看出对巴基斯坦核设施、电网和工业控制系统的明确兴趣。
contenthunt.bat 会在用户文件里搜 PAEC、Chashma、KANUPP、SCADA、Modbus 这些关键词；hunt88.bat 去翻浏览器留下的痕迹和其他系统位置；第三个脚本 invgo2.bat 会先把环境伪造成 OGDCL，再启动 Inveigh。
图 04：回收脚本与脚本内容中出现的巴基斯坦核能、电力、工控及油气引用的对应关系
注意：这些迹象说明攻击者对巴基斯坦核能和能源部门高度感兴趣，但仅凭脚本，还无法确认受害机构的具体身份，也判断不出最终目标。
攻击者工具包拆解
远程访问与反弹 shell
攻击者用多个脚本建立并维持反弹 shell。rev.ps1 和 revcmd.ps1 连的是 179.43.145[.]232:61135，rev106.ps1 则回连暂存服务器 193.29.104[.]84:45600。tcptest.ps1 和 t.ps1 负责测试这些端点以及第三个地址 31.7.61[.]8:443 是否连通。批处理脚本会反复重新拉起载荷，rv88b.bat 每循环一次就重新下载一次可执行文件。
图 05：暂存服务器上的反弹 shell 脚本、网络端点、连通性检测与批处理执行循环
Inveigh 凭据收割
工具包里相当大的一块是凭据捕获，用的是 Inveigh。这是一个 PowerShell 工具，原理是污染 LLMNR/NBNS/mDNS 响应，从同网段的机器手里截下 NetNTLM 凭据哈希。
整个行动过程中，攻击者至少迭代了十版 Inveigh 配置。早期脚本（inv3.ps1 到 inv10.ps1）在协议组合、输出目录和日志详细程度上反复试。
inv12.ps1 是里面最讲究的一版：在隐藏的子 PowerShell 进程里拉起 Inveigh，把标准输入输出全部重定向，坐在屏幕前的人根本看不出来。
图 06：PowerShell 以隐藏的非交互进程启动 Inveigh.ps1，绕过执行策略并重定向标准输出和错误流
它会把子进程 PID 写进 C:inv12pid.txt，方便操作者事后干净地把它杀掉。
inv8.ps1 和 inv9.ps1 在跑 Inveigh 之前先改环境变量，让机器看起来像工作组里的普通终端：
$env:USERDOMAIN = "WORKGROUP"
$env:USERDNSDOMAIN = "workgroup.local"后面那批批处理脚本（invgo2.bat、tinv2.bat、tinv3.bat）改了路子，从伪装 WORKGROUP 换成专门伪装 OGDCL——在本来就有 OGDCL 机器的网络里，这样更能以假乱真。
图 07：invgo2.bat 启动 Inveigh 并开启 LLMNR、NBNS、mDNS、HTTP、SMB，输出重定向到 C:invconsole2.txt，同时配置文件日志
主机与网络侦察
recon88.bat 跑四条命令——arp -a、route print、net share、nbtstat -S——把结果全部追加到 C:WindowsTemprecon88.txt。
hunt88.bat 和 hunt88b.bat 盯上的完全是 ELECTRICAL 这个用户账户。hunt88b.bat 会遍历整个用户配置目录，收 Recent、桌面、文档、Chrome 用户数据、浏览历史和网络快捷方式等目录列表。hunt88.bat 在此基础上再叠一层关键词搜索，专门在同一批位置里找核工业和工控相关内容。
图 08：hunt88.bat 关键词搜索与 hunt88b.bat 用户配置枚举的流程对比，标出采集位置与输出文件
contenthunt.bat 则把 C:UsersELECTRICALDocuments 里的每个文件都过一遍那 15 个关键词，把命中的文件名写进 C:WindowsTempcontenthunt.txt。看得出它的定位是先筛出可能敏感的文档，留给后续打包。
横向移动
lantest.bat 轮着扫 192.168.6.0/24 里的 30 台主机，用三组凭据尝试连 C$ 管理共享，全部输出写到 C:WindowsTemplantest.txt。
图 09：lantest.bat 扫描选定内网主机并用硬编码凭据测试管理共享，记录成功的访问尝试
C2 基础设施与可执行文件功能
一共识别出 7 个可执行文件，其中 5 个是潜在恶意工具，另外 2 个是干净的 curl。这 5 个恶意文件分成三类：
rvb80_232.exe、rvb61135.exe、rvb_new.exe是 Go 写的反弹 shell，编译时间前后相隔几周，每一版都比上一版更硬化一点。Beacon-trydnd1.exe是定制的 HTTP C2 植入体。rv88b.exe是个极简加载器，包着一段 Metasploit x64 标准载荷。
另外两个 curl_x64.exe 和 curl_x86.exe 是干净的 curl 7.40.0-DEV，本文不展开。
用 IDA Pro 拆完之后，各个可执行文件组的 C2 基础设施和主要功能汇总如下：
图 10：识别出的恶意可执行文件组、C2 基础设施、通信方式与主要能力概览
三个 Go 反弹 shell（rvb80_232.exe、rvb61135.exe、rvb_new.exe）会主动外连 179.43.145[.]232（80 和 61135 端口）和 193.29.104[.]84（45600 端口），通过 cmd.exe 提供远程命令执行。工具演进痕迹很清楚：第二个样本开始剥离符号表，第三个样本加上 TLS 加密并换了 C2 基础设施。
图 11：Go 版反弹 shell 可执行文件的演进——构建日期、Go 版本、通信端口、符号剥离、TLS 使用与 C2 基础设施变化
Beacon-trydnd1.exe 用 HTTP 轮询的方式和 179.43.145[.]232 通信，命令从 HTTP 响应头里取，还支持进程注入。
相比之下 rv88b.exe 就是一个 Metasploit x64 shellcode 加载器，运行其中的反弹 shell 载荷实现远程命令执行。
图 12：执行流程——入口点初始化、修改内存权限、执行内嵌的 Metasploit x64 API 解析器、激活反弹 shell 载荷
所有可执行文件的横向对比：
| 文件 | 类型 | 编译器 | C2 | 端口 | TLS | 符号剥离 | 上传时间 |
|---|---|---|---|---|---|---|---|
| rvb80_232.exe | Go 反弹 shell | Go 1.20.2 | 179.43.145[.]232 | 80 | 否 | 否 | 10 月 09 日 |
| Beacon-trydnd1.exe | HTTP C2 植入体 | MinGW/GCC | 179.43.145[.]232 | （HTTP） | 否 | 否 | 10 月 09 日 |
| rvb61135.exe | Go 反弹 shell | Go 1.20.14 | 179.43.145[.]232 | 61135 | 否 | 是 | 10 月 11 日 |
| rvb_new.exe | Go 反弹 shell | Go 1.26.7 | 193.29.104[.]84 | 45600 | 是 | 是 | 10 月 11 日 |
| rv88b.exe | Metasploit 加载器 | C (x64) | （内嵌于 shellcode） | （未知） | N/A | 是 | 10 月 14 日 |
归因分析：为什么指向 DoNot APT（APT-C-35）
调查发现的关联点不算少，把暴露出来的基础设施和 DoNot APT（APT-C-35、SectorE02）的一系列活动串了起来。
第三个 C2 地址 31.7.61[.]8（443 端口，在 tcptest.ps1 里使用），按 VirusTotal 的被动 DNS 记录，截至 2025 年 9 月 18 日解析到 pakdw.orchidheaven.online。
图 13：VirusTotal IP 关联关系——31.7.61[.]8 与 pakdw.orchidheaven.online 的被动 DNS 记录
同一个域名也出现在 StrikeReady Labs 的一篇帖子里，那篇帖子讨论的是一次与印度相关的 APT 行动，还点名了一个恶意 PowerPoint 文档 File Copy.ppt（SHA-256：bfaec98e7fdcf93c1bce3cc592f29e098e1facef0387cdccf8b0d7e5fa87c5ee）。
图 14：StrikeReady Labs 帖子——域名、PowerPoint 文件名与 APT 归属判断
该文件在 VirusTotal 上的分析情况如下：
图 15：VirusTotal PPT 样本——SHA-256、检出率（21/62）与宏行为信息
File Copy.ppt 的行为，和公开记录的 DoNot 宏技术几乎一一对应：
| 行为 | File Copy.ppt | DoNot 公开记录 |
|---|---|---|
| VBA 触发方式 | 打开 PPT 时执行 Auto_Open() | workbook_open / document_open 宏 |
| 载荷解码 | 运行时 Base64 解码 | 载荷链中使用 Base64 |
| 批处理生成 | 宏写出 .bat 文件到磁盘 | 从宏释放 pkhfg.bat、tbreah.bat |
| 计划任务名 | yfda、mxfd（随机 4 字母） | 基于 schtasks 的持久化链 |
| 暂存路径 | %PUBLIC%Music | 奇安信 Heavy Shadows 报告确认为 C:UsersPublicMusicaco |
| 载荷投递 | curl 下载 twas.exe、tewsc.bat | URLDownloadToFile / HTTP 投递 |
%PUBLIC%Music 这个暂存路径是 DoNot 相当有辨识度的指纹。奇安信的 Heavy Shadows 报告 在梳理 DoNot 近期手法时，明确把 C:UsersPublicMusicaco 列为 DoNot 的暂存目录，同时列出的还有 C:UsersPublicVideosnota。同一份报告也确认 DoNot 会用宏释放批处理文件并执行 schtasks 命令，这与 PPT 诱饵里创建 yfda/mxfd 任务的做法完全吻合。
盯上巴基斯坦核能与能源部门这件事，也符合 DoNot 一贯的目标偏好——南亚的政府和防务机构一直是它的重点。Rewterz 此前就记录过 APT-C-35 针对巴基斯坦政府机构的行动，Cyble 也报道过 DoNot 针对巴基斯坦国防制造行业的情报搜集。
这些交叉点加起来，指向 APT DoNot 组织的判断相当有力。
攻击链复盘
整个行动在拿下 ELECTRICAL 账户的初始访问权之后，走的就是一条非常标准的剧本。
第一步，环境检查。 tp.bat 验证 PowerShell 能不能跑，同时取当前用户名和 PS 版本；tcptest.ps1 确认哪些 C2 端点连得上；ptest.bat 检查 C:WindowsTemp 和 C:loot 是否可写。
第二步，载荷暂存。 go.bat 用自带的 curl 从暂存服务器把 Inveigh 和最初的 Inveigh 包装脚本下到 %USERPROFILE%WalletHunrd。这个目录贯穿整个行动，是本地工具包的落脚点。
第三步，上 shell。 多条反弹 shell 路径并行循环：PowerShell 版本连 179.43.145[.]232:61135，Go 版本连 179.43.145[.]232:80。
第四步，侦察。 recon88.bat 测绘网络；hunt88.bat 和 hunt88b.bat 盘点 ELECTRICAL 用户的文件；contenthunt.bat 搜索核工业和工控文档。
第五步，凭据收割。 Inveigh 在本地网段跑起来，污染 LLMNR/NBNS/mDNS 查询，从其他机器手上截 NetNTLM 哈希。10 月 14 日加进来的 OGDCL 域名伪造，说明攻击者在这一步上继续打磨，想让整件事看起来更可信。
第六步，横向移动。 lantest.bat 拿收割来的凭据，去撞 192.168.6.0/24 里的 30 台主机。
基础设施的关联性，加上与公开记录的 DoNot APT 技战术的相似度，足以支撑 APT-C-35 关联的判断。
MITRE ATT&CK 映射
| 技术 | 编号 | 相关文件 |
|---|---|---|
| PowerShell | T1059.001 | rev.ps1、revcmd.ps1、全部 inv*.ps1 |
| Web 协议 | T1071.001 | Beacon-trydnd1.exe、rvb80_232.exe |
| 系统信息发现 | T1082 | tp.bat |
| 查询注册表 | T1012 | hunt88.bat（MountPoints2） |
| 外围设备发现 | T1120 | hunt88.bat（USB 挂载点） |
| LLMNR/NBT-NS 投毒 | T1557.001 | 全部 Inveigh 脚本及包装脚本 |
| SMB/Windows 管理共享 | T1021.002 | lantest.bat |
| 文件与目录发现 | T1083 | hunt88b.bat、contenthunt.bat |
| 文件中的凭据 | T1552.001 | ad_pwd.txt |
| 传入工具传输 | T1105 | go.bat、run115.bat（curl + certutil） |
| 进程注入 | T1055 | Beacon-trydnd1.exe |
| 伪装 | T1036 | invgo2.bat、tinv2.bat、tinv3.bat（OGDCL 伪造） |
| 数据暂存：本地数据暂存 | T1074.001 | C:loot、C:WindowsTemp*.txt |
失陷指标（IoC）
网络指标
| 指标 | 端口 | 作用 |
|---|---|---|
193.29.104[.]84 | 8099 | 开放目录 / 暂存服务器 |
193.29.104[.]84 | 45600 | 反弹 shell 监听（rev106.ps1） |
179.43.145[.]232 | 61135 | 主 C2（PowerShell shell + rvb61135.exe） |
179.43.145[.]232 | 80 | Go 反弹 shell C2（rvb80_232.exe） |
31.7.61[.]8 | 443 | 第三个 C2（tcptest.ps1） |
pakdw.orchidheaven[.]online | – | 归因关联 |
主机痕迹
| 路径 | 说明 |
|---|---|
%USERPROFILE%WalletHunrd | 攻击者工具包暂存目录 |
C:loot | 受害主机上的数据收集目录 |
C:WindowsTempInveigh.ps1 | 缓存的 Inveigh 脚本 |
C:WindowsTemprv88b.exe | 反弹 shell 二进制（10 月 14 日版） |
C:UsersPublicVideosrvb61135.exe | 反弹 shell 二进制（10 月 11 日版） |
C:WindowsTemprecon88.txt | 网络侦察输出 |
C:WindowsTemphunt88.txt | 关键词搜索输出 |
C:WindowsTemphunt88b.txt | 文件列表输出 |
C:WindowsTempcontenthunt.txt | 文档关键词命中结果 |
C:WindowsTemplantest.txt | 横向移动尝试日志 |
C:invconsole.txt | Inveigh 输出 |
C:inv2console.txt | Inveigh 输出（备用路径） |
C:inveigh_console.txt | Inveigh 输出（备用路径） |
C:inv12pid.txt | 隐藏 Inveigh 进程的 PID |
USERDOMAIN=OGDCL | Inveigh 包装脚本中的域名伪造 |
文件哈希（SHA-256）
| 文件名 | SHA-256 | 首次出现 |
|---|---|---|
| Beacon-trydnd1.exe | 393bc7084ac943861135a222c32f720df4e4fbb73ac0cfb2a6cf4ab67282f7d2 | 2026-10-09 |
| Inveigh.ps1 | cc7dd1d68dc3cc41f385afd000a516145cee2284b2526ee79dfd5e72278e2a23 | 2026-10-09 |
| Inveigh_pub.ps1 | cc7dd1d68dc3cc41f385afd000a516145cee2284b2526ee79dfd5e72278e2a23 | 2026-10-09 |
| ad_pwd.txt | 8126be8d793c4b1c2f377e056a19c351bbf90c3ddc1b180b041e0a073256cebc | 2026-10-10 |
| contenthunt.bat | 2bec79043f55175f632fc8760c53a722357eec52fc3b37181237287f2b55d184 | 2026-10-09 |
| curl_x64.exe | 9c500cfe5fec24ea0cd06e18b1034dc3809233954976d3a29937d4719d139d27 | 2026-10-09 |
| curl_x86.exe | 78dbe1fbbc7e5f51fa385be08bb679251e46b43be690fbc49c412d9d4f647a10 | 2026-10-09 |
| go.bat | 23817da7a93a1ebae204f86438842e0a9a4e72ba25fad2a992ef03ce23b916e5 | 2026-10-09 |
| go2.bat | 90bc7e727088ac3f54b5741e950e183ed33042612d9300c351956c453f58ed5a | 2026-10-09 |
| hunrdloop.bat | e5f58614d9fef5609e02dcc3a7b03610a5e566e55ca2dcbbc0f21e99420e3b58 | 2026-10-14 |
| hunt88.bat | 0c2e135c9d782af2c15031628d408e5585d1d63c4a059c5b92c7a340e2c7dc4b | 2026-10-09 |
| hunt88b.bat | 8fdafa606326b1d53c4ffff9414050064b0318087e6154af059ad9720c5233fb | 2026-10-09 |
| inv10.ps1 | 96c962abe22d2ab3f74698070ad9210ffab2c684be5be5e817ee9886db7fbd6b | 2026-10-09 |
| inv12.ps1 | 40b9dfd4beaf3b9f3922584e80ef77dc2274e707f27031104ac22a7d74d12778 | 2026-10-09 |
| inv13.ps1 | 8e9cfd427efc7df647e4cd0f3cff6b51f8ec0a9b41d6de073b8d77a55a2883bb | 2026-10-09 |
| inv3.ps1 | 701387d51eb1daef68a39b1964c05a8133295f540286690dee482ecd62fcf2ce | 2026-10-09 |
| inv4.ps1 | db56d38f075746d92f37da5445b486af5f720b934ba41733e087ba9d540cdc08 | 2026-10-09 |
| inv6.ps1 | 8e9cfd427efc7df647e4cd0f3cff6b51f8ec0a9b41d6de073b8d77a55a2883bb | 2026-10-09 |
| inv7.ps1 | d591126dc7d844cc01dc500a498b48a1387e528a6ed7dd7d8fba27f2cf72a251 | 2026-10-09 |
| inv8.ps1 | a5f78bf5056c43d03cbdd30039a6be51158701ec92abe8888b38a3e622442d42 | 2026-10-09 |
| inv9.ps1 | f00976def17340f329a4f1b443a344ebf7326965481895f9269553240f3f0f07 | 2026-10-09 |
| invdbg.bat | 5bc32f94ab1ddb6e71fab3d0d4ecc39b88e8048e1116b322589bfaaa6453ac60 | 2026-10-09 |
| inveigh.bat | 8b7cc7fa0c1d587f49b356f598f9c64ac67b346c1f28aac7ceeeb44c22417358 | 2026-10-09 |
| invgo.bat | 59a65879e97a3110d6c17b5837901b1d55f273a76974b5785f3840a8bcbf49b8 | 2026-10-14 |
| invgo2.bat | ed264ed0a89ae2050a1fc90b6990469a18dba642eeacc3ff421dbd9ebda77863 | 2026-10-14 |
| invrun.bat | b9c84474f87a0ee06bfee8967b1e89e2016ff70fde26b695496c505ada16d26a | 2026-10-14 |
| invrun.ps1 | 114c1b82ddf8632a09932e6522ea3fa65ab082accc9a62b3d69d74be39c00cdb | 2026-10-09 |
| invtest.bat | 0175c1b2c3fb7400e2aaa78a60fcc24741d0cfbddff06a7adb3e895ae578e369 | 2026-10-09 |
| invtry.bat | ac5994d0c962815e5837de7e8a4a5bd903c7f937298d0f0e864b791f2c4f7fd3 | 2026-10-09 |
| lantest.bat | 0f3b433672ca747273c03572c296e32715e49ff8049a124304752740144ff6fb | 2026-10-09 |
| ptest.bat | 6061c4214407f6ad89825cacb7db5c518dc99b1b7306d45bd4ead8ef8a48bc7a | 2026-10-09 |
| recon88.bat | c04761d9d1491e7cc6fdde4893a8c189a55a831f9417edb9dbddbc1ca705d7a7 | 2026-10-09 |
| rev.ps1 | 1c9706602a5edec07943ef8f1a6077f7a82186e5870db82cf70ad33fb9f62f61 | 2026-10-09 |
| rev106.ps1 | bd6735f902dbf4483aa557cd1f535c984e530b3ec7ba8d638cd6234c77ec1222 | 2026-10-11 |
| revcmd.ps1 | dbbd28a151e0ded943dfcd89ad8ccdcc82b9624420cfc8026341fd438eee6eeb | 2026-10-09 |
| revloop.bat | f69b79d19182843048bb97877429a6f8729d902cb3eec9c9ff0efc1e007bb466 | 2026-10-09 |
| run115.bat | 3a28d424ef15812f47817de93dc01b1e973ee0b7a06c6af099c79a04acf827fd | 2026-10-11 |
| rv88b.bat | 608c6ef36e3bc504750b18df8aa4f5b18be97276cc81dd9c82afccbf9f9fbc66 | 2026-10-14 |
| rv88b.exe | a9c3d5b4a8e9458b12305b1eb7df4c2087d0a0697b904cddcd22282ae613b228 | 2026-10-14 |
| rvb61135.exe | 40b3fd6b7f355d9186840337d3fbea7a130cb60d556c71bfac242fbadad76bcf | 2026-10-11 |
| rvb80_232.exe | 7b3570b9c01b40a840d16ce5639988607b86bb4550b781a384a9ed9907d83df2 | 2026-10-09 |
| rvb_new.exe | 00ea396ca1d9ac288701449748a28d30a2d180dfd3c2a8e3ea2d76b6232b949e | 2026-10-11 |
| rvbloop.bat | 14ea9d7f141d9dfbd857bfc12eed4609d7258e9a6035ccf002ad9d82940d2e74 | 2026-10-09 |
| t.ps1 | 09ef5d350ee8521fa7b123752a0475efa364623ad5b37cbf76cd0e2d987b8ad2 | 2026-10-11 |
| tcptest.ps1 | 501128d49fe306cead27cefc69060aafdfaf68c355a58a7f3b53753843d71705 | 2026-10-09 |
| tinv2.bat | 22d38a4d2026c0628c369f4c0915104b3117db84ee03f8ff20863a67718e4711 | 2026-10-14 |
| tinv3.bat | 71779722c204a8847076813b1cccf6c4fad2c6fc2c684e5e74e31a487872a073 | 2026-10-14 |
| tp.bat | 88bb72a9a27268ecf6f81b671f7bd6d66202370bf212d9948c9185bba3bc80a9 | 2026-10-09 |
参考链接
- 原文地址：https://www.infrahunter.com/research/open-directory-exposes-apt-donot-toolkit-targeting-pakistan
- Inveigh 工具仓库：https://github.com/Kevin-Robertson/Inveigh
- 奇安信 Heavy Shadows（DoNot 近期技战术报告）：https://ti.qianxin.com/blog/articles/Heavy-Shadows:-Summary-of-Recent-Attack-Techniques-Used-by-Donot-Group-EN/
- StrikeReady Labs 关联分析：https://bsky.app/profile/strikereadylabs.com/post/3mraqpm2qbs2p
本文编译自 InfraHunter 的开源研究《Exposed Opendir Reveals APT DONOT Cyber Espionage Toolkit Targeting Pakistan’s Nuclear and Energy Sectors》，原始研究由 @volrant136 署名，发布于 2026 年 11 月 1 日。原文中引用的 VirusTotal、StrikeReady Labs、奇安信、Rewterz、Cyble 等第三方数据与结论，均为原作者观点。
版权声明：本文由华盟网原创发布，保留所有权利。配图由华盟网授权使用。
暂无评论内容