恶意软件正在集体学会隐身

一家医疗机构被入侵了两年，居然没有人发现。更扎心的是，攻击者用到的核心工具，一个是我们天天在用的即时通信软件，一个是几乎不会被拦截的DNS协议。这并不意味着攻击方变强了多少，而是防御方的检测逻辑被正面击穿了。过去我们盯的是‘木马如何进来’，现在真正的攻防焦点已经变成‘木马如何藏住’。本期我们拆解三条值得所有安全团队警觉的技术路线：Telegram命令通道、DNS层面的载荷隐藏，以及让EDR静默失明的更新阻断。

🏥 两年幽灵房客：医疗网络里的静默渗透

金句开场：真正的入侵，从你发现不了的那一天就已经开始了。

把镜头拉回到事件本身。应急调查人员在2025年12月介入了一家医疗机构的入侵响应（信源：Partisan Zmiy 事件应急响应披露，2025年12月发布），随着取证深入，最早的入侵痕迹被一路回溯到了2024年初。换句话说，Partisan Zmiy这个攻击组织在这个网络里已经住了将近两年。更值得玩味的是行为特征：在这约两年的访问期内，调查中并未观察到破坏性活动。

没有加密勒索、没有数据勒索的动静、没有大规模横移的爆炸性事件——这恰恰是最值得警惕的画像。一个安静的房客，比一个砸窗户的小偷难对付得多。

从披露的工具组合看，Partisan Zmiy这套更新后的攻击工具箱有四个关键组件。整个潜伏过程的时间线如下：

• Telegram命令通道：把命令与控制流量嫁接在主流即时通信服务上，绕开传统C2域名黑名单；
• DNS隧道：利用DNS解析这条几乎永远放行的通道完成通信与数据外带；
• 计划任务定时投递：载荷按计划执行，避免一次性投放大体积恶意文件；
• 无破坏动作：整个潜伏期保持静默，不触发勒索软件那种典型的‘响警报’行为。

把整条链路画出来，逻辑非常清晰：

产业层面判断有三点。第一，医疗机构依然是高价值且防御成熟度偏弱的目标，终端设备多、业务连续性要求高、安全预算长期不足，这构成结构性缺口。第二，攻击方明显在为‘长期访问’做工程化设计——定时投递、分层通信、克制行动，这是一套为持续驻留服务的架构，而不是一锤子买卖的勒索前奏。第三，‘无破坏活动’不等于‘无危害活动’，在医疗场景里，长期潜伏本身就是最大的风险敞口：患者数据、诊疗系统、网络拓扑，任何一样在两年里都可以被反复读取。

对防守方的启示只有一个：别用‘有没有出大事’来评估自己的安全水位。两年零告警，说明的不是你们做得好，而是对方不需要吵醒你。

🧬 DNS 老通道，被玩出了新花样

金句开场：防御方放行了三十年的协议，正在成为攻击方最顺手的仓储系统。

DNS隧道并不新鲜，Partisan Zmiy用它做命令通信只是常规操作。真正让一线检测工程师坐不住的，是ClickFix类攻击的最新演进：攻击载荷开始被藏进DNS TXT记录，并借助浏览器缓存预取来完成投递（信源：2025年多家威胁情报团队对 ClickFix 变体利用 DNS TXT 记录投递载荷的公开分析）。

拆开说这个组合拳的精妙之处。DNS TXT记录本来就是用来存放任意文本的，攻击者把恶意载荷或载荷的‘取货地址’写进自己域名的TXT记录里，受害机器上的一段脚本只需要发起一次正常的DNS查询，‘货物’就到了——而DNS流量在绝大多数企业网络里是默认放行、默认信任的。更狡猾的一层是浏览器缓存预取：利用浏览器正常的资源预取行为，让恶意内容提前进入缓存，等到真正触发执行时，早期投递阶段的网络请求痕迹几乎消失，检测产品的可见性被显著压缩。

也就是说，ClickFix这类依赖‘诱导用户手动执行’的攻击，过去最脆弱的环节是载荷投递——URL、下载行为、落地文件都容易留痕。现在这三个环节被逐一藏进了协议的缝隙里。

把当前主流的隐身技术放到一个坐标系里看，格局就很直观了：

产业逻辑很明确：攻击方正在做一次系统性的‘基础设施迁移’——从自建C2服务器，迁移到操作系统、浏览器、DNS这些你不可能不信任的组件上。自建基础设施会被威胁情报标记，而借用的基础设施是你的正常业务流量。这不是单点技术升级，而是攻击面重心的整体位移。

对检测团队来说，结论也直白：只盯文件落地和可执行行为的检测模型，正在系统性失效。DNS解析行为基线、新增域名监控、TXT记录内容审计、浏览器缓存异常检查，这些过去被当成‘锦上添花’的检测点，现在应该升级为一等公民。

🛡️ 不杀EDR，让EDR‘失明’

金句开场：最高明的破坏，是让防御系统看起来一切正常。

如果说前面两条路线是在‘躲避眼睛’，那么接下来这个概念验证（PoC）则是在‘关闭眼睛’。

一个名为BigDiskBuster的PoC技术最近引起了广泛关注（信源：安全研究社区公开的 Microsoft Defender 更新阻断概念验证代码及其分析）。它的操作思路出人意料地简单：不关闭Microsoft Defender，不让它崩溃，不利用任何漏洞，只是阻断它的更新机制。结果是——安全服务照常运行，进程列表里干干净净，界面上一片祥和，但病毒库停止演进，检测能力进入一个静默的‘时间真空’。

这和过去那种‘杀EDR’的对抗思路有本质区别。kill EDR会留下大量痕迹：进程被终止、服务被停用、自我保护被突破，每一步都是高价值告警。而BigDiskBuster什么都不杀，它只是让你的防御系统在名义上活着、在功能上逐渐失明。用一个比方：它不是砸掉监控摄像头，而是悄悄掐断了摄像头每天更新的固件。

需要强调的是，它目前仍是一个概念验证技术，不是‘EDR杀手’，还没有看到它的规模化武器化案例。但它揭示的问题极其深刻：终端防护产品的有效性，建立在一个隐含假设上——更新链路永远是通的。攻击者一旦瞄准这个假设，无需任何漏洞利用，就能制造出一个持续扩大的检测盲区。

对此我们的判断是：这类‘针对防御体系运维假设’的攻击，会成为未来一到两年对抗研究的热点方向。因为它成本极低（无需漏洞）、痕迹极少（服务正常运行）、收益很高（检测能力随时间线性衰减）。防御侧的对应动作也很清晰：

• 把安全产品的更新状态本身纳入监控基线——特征库版本滞后要当成安全事件对待；
• 建立交叉验证能力，不要让单一终端产品成为唯一的检测依赖；
• 对‘服务在运行’和‘服务在有效工作’做明确区分，后者才是真正的健康指标。

🧭 检测为什么失灵：信任链上的每一环都被征用了

金句开场：攻击者没有找新门，他们学会了伪装成你家里的墙。

把三条线索放在一起看，会发现一个共同的底层逻辑：滥用信任。Partisan Zmiy借用的是你对Telegram和DNS的信任；ClickFix新变体借用的是你对DNS TXT协议和浏览器预取机制的信任；BigDiskBuster借用的是你对‘安全服务在运行就等于被保护’这一运维假设的信任。

信任链上的每一环被征用一次，检测产品就失明一分。这就是为什么这次Partisan Zmiy事件里，两年时间没有任何破坏性活动被捕获——不是没有信号，而是所有信号都长得太像正常业务了。

冰山结构在这里体现得淋漓尽致：

水面上的部分，安全厂商会陆续跟进规则和特征；水面下的部分——信任滥用、防御降盲、静默潜伏策略——才是需要整个产业重新设计检测哲学的地方。

给防御侧整理一张可落地的对照表：

对应的检测建设优先级，可以按纵深防御的框架来规划：

• 网络侧
• DNS解析行为基线
• TXT记录内容审计
• 新注册域名监控
• 终端侧
• 安全产品更新状态监控
• 第三方交叉检测
• 计划任务与持久化审计
• 流程侧
• 假设失陷演练
• 长期潜伏型威胁狩猎
• 供应链与更新链路加固

还有一个值得产业讨论的话题：当‘两年无破坏’的潜伏成为现实，威胁情报和风险评估的定价方式需要改变。过去我们用‘造成了多少直接损失’衡量攻击烈度，现在需要为‘获得了多长时间的访问权’定价。时间维度上，那家医疗机构最大的损失不是任何一个可以被统计的泄露事件，而是两年里它的整个网络对对手是单向透明的。

参考信源

1. Partisan Zmiy 医疗机构入侵事件：2025年12月发布的事件应急响应与取证披露报告。文中关于入侵痕迹回溯至2024年初、约两年静默访问、未观察到破坏性活动、以及 Telegram C2 / DNS隧道 / 计划任务定时投递的工具组合等事实，均出自该披露。

2. ClickFix 变体与 DNS TXT 载荷隐藏：2025年多家威胁情报团队发布的公开分析，描述攻击者将载荷或载荷地址藏于攻击者域名的 DNS TXT 记录，并结合浏览器缓存预取完成投递、压缩检测可见性。

3. BigDiskBuster：安全研究社区公开的 Microsoft Defender 更新阻断概念验证（PoC）及其技术分析。文中已注明其当前仍为概念验证阶段，尚无规模化武器化案例的公开报告。

小结

三条线索，一个共同方向：攻击者的对抗重心，正在从‘突破瞬间’转向‘驻留全程’。Partisan Zmiy示范了如何用Telegram和DNS安静地住两年，ClickFix示范了如何让投递阶段从检测视野里消失，BigDiskBuster则示范了如何不动声色地让你的防御失明。对防守方而言，2026年的安全预算不该再只堆在边界和入口上，而应该花在‘验证自己的防御是否还在有效工作’这件事上。毕竟，对手已经不砸门了——他们在你家客厅里，住了两年。