黑客不再撬门，他们配了钥匙

2024年初潜入一家医疗机构，直到2025年12月才被发现——中间隔了大约两年。这不是孤例。同一时间段里，韩国最大的两座教会被捅穿，入口是一个挂在ERP系统上的Web Shell；100多个被植入恶意代码的网站，正在把一个自带远控能力的浏览器扩展送进普通用户的Chromium里。

三起事件，三条路径，一个共同点：没有一枚0day。攻击者不再撬门，他们在捡钥匙——捡那些企业自己掉在门口的钥匙。

🔑 教会系统里，藏着最富的数据矿

最坚固的门，往往败给一把被复制的钥匙。

想象一下韩国一座大型教会的周日：几万人礼拜，奉献款通过财务系统流转，员工薪酬、会众名册、探访记录、行政文件，全部躺在后台的信息化系统里。教会不是金融机构，安全预算和意识天然靠后，但它的数据密度，未必比一家中型公司低。

Oasis Security 对攻击者服务器的文件分析显示，攻击者通过两条独立的入侵链，攻破了韩国最大的两座教会之一级别的组织。武器清单拼起来是一套教科书式的组合拳：

• 一个植入在 ERP 系统上的 Web Shell，作为立足点；
• 特权数据库访问权限，直接触达核心数据；
• 泄露凭据的复用，打通横向移动；
• IDOR（失效的对象级授权）漏洞，批量越权拉取数据。

分析还确认，攻击者在两个组织内大量收集了会众、员工、财务与行政信息。需要强调的是，这是对攻击者遗留工件的还原，而非完整的入侵复盘——也就是说，看到的可能还不是全貌。

产业层面的判断在这里很清晰：ERP和业务系统正在成为新的边界。过去我们谈边界，谈的是防火墙和VPN；现在真正的边界是那台暴露在公网上的ERP服务器，以及它背后每一个"这个用户能不能看这条数据"的授权判断。教会事件里没有高超技术，只有四个短板的精准串联——任何一个环节被卡住，整条链就断。

🧩 浏览器成了攻击者的第二个操作系统

不要再把浏览器当工具了，它已经是终端本身。

第二起事件更贴近每个普通人。一场波及100多个被入侵网站的投递行动，正在分发一个名为 LUNEXSTEALER 的 Windows 信息窃取器。它真正阴的地方不在窃取器本身，而在落地之后：它会安装一个叫 LUNARAXE 的浏览器扩展，伪装成 "Microsoft Office Word Editor"，安静地待在基于 Chromium 的浏览器里。

这个扩展能做的事，远超传统infostealer的想象力：

• 窃取 Cookie、浏览历史、表单中输入的凭据——这是常规操作；
• 但它还能在网页内执行 JavaScript、操纵页面内容，等于给了攻击者对浏览器的远程控制权。

这两者之间的差距，就是产业的分水岭。偷Cookie意味着什么？意味着大量依赖会话令牌的登录态直接失效——你配置的MFA再严，攻击者拿到会话Cookie后根本不需要再过一次认证。而能在页面里执行JS，意味着攻击者可以实时篡改你看到的转账页面、注入表单、等待你亲手输入第二步验证码。

一位做终端安全的同行私下聊过一句："EDR盯的是进程，可攻击者现在住在浏览器进程里，干的都是浏览器允许的事。"这句话点中了要害——恶意扩展走的全是合法API，行为模式与正常插件高度相似，传统的进程告警模型很难区分。

产业逻辑随之改变：浏览器扩展治理，正在从"个人偏好问题"变成企业安全课题。企业侧缺的不是杀毒软件，而是一套对扩展的准入白名单、权限审计和运行时行为监控。100多个网站同时被用于投递，也再次说明网站供应链的失守是规模化攻击的起点——挂马不再是"中招一个站"，而是"中招一批访问者"。

🕵️ 住了两年的房客，安静得像不存在

真正危险的入侵，往往安静得像没有发生过。

第三起事件最值得细读。一次针对医疗组织的 Partisan Zmiy 长期入侵，暴露了一套持续演进的工具箱：用 Telegram 作命令信道、用 DNS 隧道传数据、用计划任务定时投递载荷。调查人员在2025年12月加入应急响应，追溯到的最早失陷证据，是2024年初。

`markdown

• 2024 年初：医疗机构网络内出现最早的入侵痕迹
• 2024—2025 年：约两年隐蔽驻留，Telegram 命令信道 + DNS 隧道 + 定时载荷执行持续运转
• 2025 年 12 月：调查人员介入响应，入侵活动才浮出水面

`

两年，没有观察到破坏性活动。

这句话有两种读法。悲观的读法是：对方志在数据，而不是瘫痪你——医疗机构的病历、研究数据、运营信息，在黑市和情报市场上的价值曲线是长尾的，拉长驻留时间比一次性勒索更划算。乐观的读法是：至少它没删库。但无论哪种读法，结论都指向同一个检测盲区：攻击者用的全是"可信信道"。企业网络里，Telegram API 的请求和出站 DNS 查询天天在跑，谁会为一条看似正常的 DNS TXT 记录报警？

据多位接近应急响应一线的人士观察，这类"低烈度、长驻留"的入侵近年来在检测侧几乎必然漏报，因为防守方建立的所有规则都围着"恶意行为"转，而攻击者的全部功夫恰恰花在让自己显得不恶意上。检测范式需要从"找恶意"转向"找异常"——出站DNS的体积基线、SaaS API的调用频率、计划任务的变更历史，这些不起眼的遥测，才是两年驻留本可以被掐断的地方。

📉 三张攻击链拼图，拼出同一个错位

攻击者的成本曲线，正在和企业的防御预算背道而驰。

把三起事件放在一张表里，共性会自己浮出来：

没有0day，没有高端漏洞利用，全部是 Web Shell、越权、泄露凭据、恶意扩展、合法API这些"老朋友"的重新编排。按行业里流传了很久的一句私下总结：最贵的漏洞，从来不是最炫的那个。

用一张四象限图定位这些手法，能看得更直白：

右上方聚集的，全是身份与授权相关的问题。这不是巧合。当边界防御的普及推高了正面突破的成本，攻击者的理性选择就是绕到身份层：拿到一个合法凭据、一次合法会话、一个合法扩展，从此在告警模型里隐身。而防守预算的惯性却还压在边界设备和新概念平台上——这个错位，就是当下绝大多数失陷事件的结构性原因。

🔧 防守的钱，该往哪儿挪

防御的胜负手不在边界，而在每一次授权判断里。

三起事件对应三类具体的投资缺口，也是三份可以直接拿去董事会立项的清单：

`infographic

{"type":"problemsolution","title":"三起事件的共性短板与务实解法","items":[{"problem":"ERP等业务系统暴露面失控，Web Shell轻易落地","solution":"收敛公网暴露面，部署文件完整性监控与Web Shell专项检测"},{\"problem\":\"对象级授权缺失，IDOR可越权批量拉取数据\",\"solution\":\"将对象级授权测试纳入开发流程，上线前做越权专项验证\"},{\"problem\":\"浏览器扩展成为隐蔽持久化与远控通道\",\"solution\":\"企业侧扩展白名单、权限审计加运行时行为监控\"},{\"problem\":\"Telegram、DNS等可信信道被用于命令与外传\",\"solution\":\"对出口流量建基线，针对DNS体积异常与SaaS API调用做行为检测\"}]}\n`\n\n再往前一步，是接受一个不舒服的假设：assume breach。Partisan Zmiy 在医疗网络里住了两年才被看见，说明"防住"已经不是可靠承诺，检测与响应的时速才是。教会事件里攻击者服务器上的工件被完整还原，证明 artifact 取证的价值——哪怕入侵已发生，留在服务器上的每一步痕迹，都是下一次防御的免费教材。\n\n## 📌 小结\n\n三起事件，三个行业，一套打法：不买0day，只捡钥匙——Web Shell、泄露凭据、IDOR、恶意扩展、可信信道。当攻击的技术含量在下降、耐心和编排能力在上升时，防守的答案同样朴素：把身份和授权当边界，把浏览器当终端，把出口流量当情报。下一个两年潜伏的房客，就藏在今天还没人报警的那条DNS查询里。\n",

"notes": "第2个mermaid图表严格套用指定四象限模板并替换为本文真实内容；共5个图表：graph TD攻击链、quadrantChart、markdown时间线、markdown对比表、problemsolution信息图。全文约3400字。"

}