广告、区块链与备份：攻击者的新基建

过去一周，安全圈出现了三件看似不相干的事：间谍软件供应商把广告竞价系统当成了瞄准镜；ConnectWise 因为疑似凭证滥用暂停了云备份；ChainDrop 和 PolinRider 把 C2 藏进了区块链账本。

把它们放在一起看，会发现一个共同点：攻击者不再自己搭基础设施，而是寄生在业务最正当的运转管道里——广告要投、备份要跑、开源包要用。安全圈私下流传的一句话是：攻击者的军备竞赛，已经从买漏洞变成了租基础设施。

这篇我们就把三条攻击链逐一拆开，看看门缝到底开在哪里。

🎯 广告位，成了间谍软件的瞄准镜

最贵的目标定位系统，不在情报机构手里，而在广告交易平台手里。

研究人员披露了代号 AdFection 的活动：间谍软件供应商正在利用定向广告竞价机制，识别并追踪特定个人与组织。攻击路径听上去非常"日常"——受害者没有收到钓鱼邮件、没有点开可疑链接，只是在正常浏览网页时，加载了一条"恰好"推送给自己的广告。这就是所谓的零点击交付：载荷落地的整个过程，用户没有任何动作。

机制要从程序化广告的实时竞价（RTB）说起。每一次广告请求，都会把设备指纹、IP 地址、大致地理位置等特征广播给竞价池里的众多竞买方。这套数据外溢被隐私圈诟病多年，如今被情报视角的攻击者反向利用：先刻画目标特征——某个组织的网络出口段、某类设备型号、某个地域——再出价定向竞得这一次展示，恶意素材就只出现在目标眼前。对防御者来说，这是一次完全正常的广告加载，没有附件、没有可疑 URL，绕过了几乎所有传统邮件与终端检测的逻辑。

产业逻辑层面，这标志着广告技术生态的数据外溢问题，从"合规与隐私议题"正式升级为"攻击面议题"。当广告竞价系统可以成为情报收集和定向投递的通道，CDN、广告平台、DSP/SSP 这条链路上的每一环都进入了攻击视野。安全预算里长期缺失的"广告域出站管控"和"广告供应链审计"，恐怕要提上日程了。

🔑 一组 ConnectWise 凭证，惊动一片下游

备份本是最后防线，但如果备份通道本身就是那扇门呢？

ConnectWise 宣布暂停其云备份服务，起因是研究人员报告：有攻击者使用 ConnectWise 相关凭证，成功认证进入了客户的 Microsoft 365 租户。ConnectWise 的回应很克制——客户影响尚未确认——但动作很果断：在影响边界查清之前，先行关闭云备份通道。

这件事的分量，要放在 MSP（托管服务提供商）生态里看。ConnectWise 的工具链广泛部署在服务中小企业的 IT 代理商手中，而云备份通道通常持有租户级别的读写权限。也就是说，一组上游凭证一旦失守，理论上可以横向波及数量可观的下游租户。"先断服务、再查影响"这个决定，本质上是承认：当凭证滥用边界不明确时，切断攻击路径比业务连续性更重要——这个取舍本身就很说明问题。

产业逻辑层面，MSP 是天然的权限放大器。一个服务商账号背后，是几十上百家客户租户的管理面。过去十年的安全建设聚焦"企业自己人"的身份治理——SSO、MFA、最小权限，但 B2B 服务链路上的影子身份长期被低估：上游厂商的服务账号、OAuth 授权、备份通道，都不在你家 IdP 的视野之内。

事件披露后，不少下游 MSP 和企业客户的第一反应是回头自查 OAuth 授权清单和异常登录日志——这恰恰是正确动作的迟到了。把供应商凭证纳入自己的异常登录监控、要求上游提供服务的账号清单与轮换承诺，应该成为 B2B 采购的标准条款，而不是出事之后的应激反应。

⛓️ 区块链：封不掉的 C2 硬盘

域名会被封、C2 服务器会被打掉，但区块链账本删不掉。

近期披露的两条攻击线把这一点展示得很清楚。其一是 ChainDrop——一个在 npm 生态里通过被投毒包传播的蠕虫；其二是与朝鲜关联的 PolinRider 行动。两者的共同点非常醒目：都在利用区块链网络作为命令与控制（C2）基础设施。

传统 C2 依赖域名或 IP，封禁、sinkhole 还有还手余地；而把指令写进链上，攻击配置就变成了公开且不可篡改的账本——受害主机直接从公共节点读取"任务列表"，防御者封不胜封。配合投毒的开源包，攻击链变成一条完整的流水线：开发者终端或 CI/CD 环境执行恶意依赖，收割短生命周期云令牌、服务账号凭证、部署密钥和源码访问令牌，再通过链上通道回传配置与窃取的数据。

注意素材里点出的失窃对象清单：短生命周期云令牌、服务账号凭证、部署密钥、源码访问令牌——全部是现代云研发流水线的"血液"。攻击者要的不是某台机器上的文档，而是整条构建与部署链路的通行证。

产业逻辑层面，开源供应链攻击正在从"投毒即收割"升级为"投毒加抗封锁 C2"的完整基础设施。这意味着只靠威胁情报封 IP、封域名的老打法，对这类活动近乎失效。防御重心必须前移：依赖包行为审计、云令牌寿命压缩、部署密钥强制轮换、CI/CD 构建环境最小化出网。凭证短命化尤其关键——链上 C2 再稳，也偷不走一个已经过期的令牌。

📊 三条路径，一张共同的底牌

最坚固的门，往往开在业务最正常的运转里。

把三条攻击线放在同一张坐标上看，共同点会更加清晰：它们都不依赖昂贵的 0day，都寄生在可信管道中，也都把"检测视角"里的正常流量变成了攻击流量。

传统钓鱼邮件位于左下角——隐蔽性和产业影响都有限，防御手段成熟。而另外三条路径集体向右上角迁移：AdFection 藏在广告加载里，隐蔽性极高；ConnectWise 式的凭证滥用单个事件影响面可控，但一旦波及 MSP 下游租户，产业影响是指数级的；区块链 C2 则同时做到了高隐蔽与高影响，是当前最值得警惕的形态。

更重要的是，这三种手法的"生产成本"都不高。定向竞价是公开市场，凭证是现成的信任链，区块链是免费的公共设施。攻击门槛在下降，防御清单却必须变长。可落地的对策大致是四条：

`infographic

{"type":"problemsolution","title":"可信管道时代的防御清单","items":[{"problem":"广告竞价管道被用于定向投递恶意载荷","solution":"对广告与CDN域做分级出站管控，终端侧监控异常广告加载行为"},{\"problem\":\"MSP与云备份凭证成为横向跳板\",\"solution\":\"服务账号最小权限加条件访问，下游对上游凭证做异常登录监控\"},{\"problem\":\"区块链C2无法封禁、无传统IOC可拉黑\",\"solution\":\"压缩云令牌寿命，强制轮换部署密钥，切断凭证有效期而非追封链上地址\"},{\"problem\":\"CI/CD机密散落各处、易被投毒包收割\",\"solution\":\"密钥统一托管，构建环境最小化出网，npm依赖纳入行为审计\"}]}\n`\n\n这四条对策的共同点是：都不要求防御者"看见"攻击，而是让攻击者即使看见了你、摸到了门，也拿不到能用的钥匙。\n\n## 小结\n\n三件事，一个趋势：攻击基础设施正在外包给业务本身。广告系统负责找到你，备份通道负责走进来，区块链负责保持联络——每一段都是正当商业管道，每一段都在你的检测白名单里。\n\n对安全团队来说，2026 年的预算分配值得重新审视：广告与第三方流量治理、B2B 身份链路审计、凭证生命周期管理，这三块长期冷门的投入，正在成为新的必修课。漏洞会修，管道常在——而管道，就是下一个战场。"

}