黑产开始「卖服务」了，比你想的更专业

三起事件，三个完全不同的战场：浏览器商店、越狱的iPhone、一家医疗机构的内网。把它们放在一起看，你会发现一条很少被明说的主线——网络犯罪的「服务化」已经完成了。

2026年10月初，Socket 披露了16个伪装成加密钱包的恶意 Firefox 扩展；几乎同期，Censys 的研究人员曝光了配置失误而暴露公网的 DarkSword/Coruna 攻击平台后台，里面躺着受害者的助记词、设备赃物目录和分销商控制面板；而在这两起披露之前，一起针对医疗机构的入侵调查（2025年12月启动应急响应）发现，攻击者已经安静地潜伏了约两年。

这三件事的共同点不是技术有多新颖，而是分工有多成熟。攻击者不再单打独斗，他们在用SaaS的逻辑做犯罪：平台化开发、正规渠道分发、代理分销、按价值分层收割。防御方如果还在用「抓一个木马、封一个C2」的思路应对，格局上就已经输了。

🧩 十六个扩展，一条「借用」正规军的外传链路

一句话开场：攻击者最想要的，从来不是突破你的防御，而是混进你的信任链。

Socket 在2026年10月7日的报告中披露了16个恶意 Firefox 扩展（信源：Socket博客，2026-10-07：《Firefox扩展商店中的加密钱包诈骗campaign》，下同）。这些扩展伪装成加密钱包的官方门户、桌面工具和浏览器实用程序，核心功能只有一个：在用户导入钱包的瞬间，截获恢复助记词和私钥，并将秘密外传到攻击者控制的 Cloudflare Workers 端点上。据Socket报告，Mozilla 已在报告发布前（10月5日前后）将这批扩展全部下架，其中15个包的具体行为特征在报告中有详细描述。

这场攻击最值得玩味的不是「偷私钥」这个老套的payload，而是两个环节的选择。

第一，分发渠道。扩展市场天然带着平台的信用背书，用户在商店里看到钱包图标、几百条评价式的展示，警惕性会断崖式下降。攻击者没有去钓鱼网站上费劲骗人，而是直接把恶意代码塞进了受害者默认信任的入口。

第二，外传基础设施。Cloudflare Workers 是正规的无服务器计算服务，被大量企业用于生产环境。攻击者把回传端点架在上面，意味着传统的「封C2域名」手段几乎失效——你封掉一个Workers路由，攻击者换个子域名就能重建，而整个防护团队还要担心误伤自己的业务流量。

“圈内流传一句话：现代攻击的精髓，是让你的防御工具不敢动手。（此说法为安全社区的流行调侃，非正式结论，仅作观点引用）

把这条链抽象出来，就是当前绝大多数「供应链式」投递攻击的标准模板：

产业逻辑很清楚：当攻击的边际成本可以摊薄到「过审一次、收割一片」时，扩展商店就不再是渠道，而是弹药库。 对平台方来说，人工审核加行为分析的组合拳是底线；对用户来说，判断标准应该从「在不在商店里」升级为「有没有独立渠道验证过发布者」——尤其是涉及私钥导入的场景，商店从来不是安全认证。

🕳️ 意外曝光的后台，暴露了一条完整的分销链

一句话开场：黑产也有「渠道商」，而这次是渠道商自己把门锁忘了。

Censys 的研究人员发现了五个配置错误、目录直接暴露在公网的 DarkSword 服务器（信源：Censys威胁情报团队披露，2026年10月）。这不是一次入侵取证，而是一次「开门看仓库」——攻击平台的核心资产毫无遮拦地展示在扫描器面前。

仓库里的东西包括：投递基础设施、植入体（implants）、钱包注入模块，以及分销商控制面板（reseller controls）。更刺眼的是一台生产服务器上的数据快照：11条受害者的恢复助记词、179个设备赃物目录、75个控制面账号。

这组数字值得逐项拆开看。

179个设备赃物目录，意味着这台服务器处理过至少179台被攻破的iPhone，每台设备一个独立目录，像流水线上的工位编号。11条助记词是已经到手、可即时变现的「库存」，助记词一旦泄露，对应钱包的全部资产等于裸奔。而75个控制面账号，配合「reseller controls」的字样，指向一个明确的结论：这不是一个黑客，这是一个平台，而且平台有代理商体系。

这个象限图里，DarkSword 类平台站在右上角不是偶然（象限位置为作者基于公开信息的定性判断）。移动端加密货币窃取的技术门槛确实不低——iOS的沙箱机制、注入钱包界面的实现、设备取证对抗，每一环都需要真实投入。但一旦平台化，这些成本就被摊薄：开发者赚开发的钱，分销商赚渠道的钱，按账户分级拿分成。正如多位长期追踪地下经济的分析师（如Recorded Future、Sophos等机构的研究者）在RaaS生态研究中指出的，「代理制」在勒索软件即服务（RaaS）里早已是标配——而DarkSword后台的reseller controls，正是这一模式向移动端窃密领域复制的直接证据。

产业判断很直接：攻击面运营（ASM）类工具和威胁情报扫描器，正在成为黑产自己的「质量事故来源」。（此为作者观点）这次暴露源于服务器配置失误，而非安全研究人员的渗透——换句话说，黑产也在犯企业客户犯的错。这给防御方一个反向启示：资产暴露面管理不是企业专属课题，攻击者同样有「影子IT」，而他们的暴露，就是防御方免费的情报金矿。

🏥 潜伏两年的医疗内网，安静得可怕

一句话开场：最危险的入侵，是你两年后才知道它是入侵。

第三起事件的画风完全不同，时间上也更早。调查人员在2025年12月介入一起医疗机构的应急响应（信源：安全厂商应急响应团队的案例分析，工具细节于2026年对外披露），追溯发现最早沦陷证据出现在2024年初——约两年的访问时长，且整个期间未观察到破坏性活动。

攻击工具箱被称为 Partisan Zmiy，其更新版本的组合拳颇有讲究：

• Telegram 作为命令信道：C2流量混在正常IM流量里，出站防火墙几乎不可能单独封禁，因为业务本身可能就在用Telegram；
• DNS隧道：把数据编码进DNS查询，走的是任何网络环境都必须放行的53端口，是最经典的隐蔽信道之一；
• 计划任务定时执行：payload不驻留内存、不常驻进程，按计划拉起，跑完即散，显著压缩EDR的检测窗口。

三条通道有一个共同的设计哲学：全部寄生在「不可能被禁用」的合法协议上。 这和第一起事件借用 Cloudflare Workers、第二起事件寄生移动生态，是同一个思路在不同战场的投影。

需要说明的是：本文前两起事件的披露时间集中在2026年10月，而医疗机构的应急响应实际始于2025年12月，工具细节是随后才整理公开的——三起事件在时间上并非同时发生，但在「攻击服务化」这一结构特征上高度同构，放在一起讨论才有意义。

医疗行业是这类「长驻型」攻击的理想宿主：数据价值高（病历、身份信息、研究数据），网络环境复杂（大量遗留系统和医疗设备），IT预算又普遍紧张。两年的静默访问能做什么？数据持续外传、内网测绘、为后续动作铺路——每一样都比一次性的破坏性攻击更值钱。

「没看到破坏」不等于「没有损失」，这可能是本次事件最需要写进管理层汇报的一句话。很多组织的检测逻辑锚定在「异常爆发」上——加密文件、大面积告警、服务中断。而 Partisan Zmiy 这样的工具箱，就是专门为绕过这套锚点设计的。

🔧 防御的正确姿势：从抓木马到拆链条

一句话开场：面对平台化的攻击，单点防御就像用杀毒软件对抗一家公司。

三起事件指向三个不同的防御缺口，但解法有共通之处：

• 信任链治理：扩展商店类入口需要平台方的行为分析与人工复核双保险；用户侧则需要「渠道双验证」习惯——尤其涉及钱包、支付类工具时，从官网而非商店搜索入口进入；
• 暴露面收缩：DarkSword 的翻车证明攻击者也有自己的暴露面风险。企业应把攻击面管理常态化，同时威胁情报团队应把「误配置的攻击者基础设施」作为高价值情报源主动收割；
• 合法协议的异常检测：对DNS查询的长度、频率、熵值做基线建模，对出站到IM平台API的机器流量做审计——这些不是新技术，而是被大多数组织低估的老技术。

还有一个更根本的判断：变现端是整条攻击链里最脆弱的环节。（作者观点）助记词也好、内网数据也好，最终都要变成钱，而变现意味着链上转账、数据流通、账号体系——这些环节留下的痕迹比入侵本身难擦得多。这三起披露，本质上都是「链路某一环被照亮」的结果：Socket 照亮了分发端，Censys 照亮了运营端，应急响应照亮了潜伏端。防御资源的投放，应该向这些「照亮点」倾斜，而不是平均撒在整个攻击面上。

关于这16个 Firefox 扩展的来源，恶意软件分析社区中有一种流传的说法：不同包共享着相似的外传逻辑和混淆手法，指向同一开发源。需要强调的是，这一「同源」判断目前仅为社区观察，尚未得到Socket或Mozilla的官方证实，读者宜将其视为一条有待验证的线索，而非定论。

结语：别再问「是什么木马」，要问「是谁在运营它」

三起事件，三种工具，一个产业结构。浏览器扩展、移动端攻击平台、长驻型内网套件，看似散落在不同时间、不同战场，实则共享同一套组织方式：正规基础设施寄生、渠道化分发、按价值分层收割。

对防御方而言，正确的提问方式已经变了——不是「这是什么恶意软件」，而是「这条链上谁负责开发、谁负责分发、谁负责变现」。Socket的下架处置说明分发端可以被快速切断，Censys的意外收获说明运营端会自己犯错，医疗机构的两年潜伏则提醒我们：潜伏端不会被偶然照亮，只能靠主动的基线检测和假设失陷思维去翻出来。

照亮其中任何一环，都可能撬动整条链。下一个被误配置暴露的，也许就是某家攻击平台的服务器。而防御方要做的，是确保扫描到它的那天，自己已经准备好了。