不偷不抢住两年，黑客到底图什么

2025年过去了，回看最近这批安全事件，会发现一个反直觉的事实：最危险的攻击，往往不是动静最大的那个。

Google 联合合作伙伴端掉了一个由130万台设备组成的 XCPE 僵尸网络；超过100个被入侵的网站正在分发能远程接管浏览器的 LUNEXSTEALER；而 Partisan Zmiy 则在某医疗机构网络里安静地住了两年，没搞破坏、没加密文件、没留一封勒索信。三起事件，三种姿态，指向同一个产业逻辑——攻击者正在从“打砸抢”转向“经营不动产”。本文拆解这三起事件，看看静默基础设施经济的底层账本。

📺 百万台顶盒成“炮灰”：XCPE 僵尸网络的供应链病根

你的电视顶盒，可能在替黑客打工。

Google 及其合作伙伴披露并 disrupting 了 XCPE 僵尸网络——一个由130万台受感染设备组成的基础设施。据披露，安卓设备制造商 Videostrong 被指控运营了这一活动：通过在机顶盒和物联网设备中植入后门，将大批出厂即联网的消费级硬件，变成了供犯罪活动使用的底层设施。

这起事件的关键词不是“入侵”，而是“出厂”。

从产业视角看，这类“设备级预埋”比传统钓鱼感染更难防御。机顶盒、摄像头、路由器这类 IoT 设备有三个共同特征：长期在线、无人值守、几乎不打补丁。用户不会给顶盒装 EDR，厂商也很少为五年前的老机型推送固件更新。对攻击者而言，这不是要攻破的堡垒，而是可以直接入住的毛坯房。

多位长期跟踪僵尸网络的研究员私下判断，消费级 IoT 的“出厂信任”问题，正在成为僵尸网络军火库的主要补给来源——与其花力气打穿一家企业的边界，不如直接囤积十万台没人看一眼的顶盒。

🌐 浏览器成了新战场：LUNEXSTEALER 的“扩展后门”

最忠诚的员工，也可能在替别人看屏幕。

LUNEXSTEALER 是一个 Windows 信息窃取木马，其分发渠道覆盖了 100 多个被入侵的网站——这就是典型的水坑式布局：不追着你打，而是在你可能访问的地方等。感染后，它会安装一个名为 LUNARAXE 的浏览器扩展，这个扩展伪装成“Microsoft Office Word Editor”，潜伏在基于 Chromium 的浏览器里。

它的能力清单值得逐条细看：

• 窃取 Cookie、浏览历史、表单中输入的凭据——这是传统 infostealer 的标准动作；
• 更进一步，它让攻击者能在网页内执行 JavaScript、操控页面内容。这意味着攻击者不只是“抄走”你的登录态，而是可以坐进驾驶座，实时操控你正在使用的浏览器会话。

浏览器扩展正成为 infostealer 的“产业化升级”方向。原因很直白：扩展天然拥有页面读取权限、随浏览器自启动、能绕过大部分进程级检测。对 defenders 来说，坏消息是 Chromium 扩展生态的体量决定了完全堵死不现实；好消息是企业侧的扩展白名单、最小权限审计，是最划算的一道闸门。

🏥 潜伏两年不搞破坏：Partisan Zmiy 在医疗网络的“隐身租客”

如果黑客住进你的网络两年，却一分钱不勒索，你该庆幸还是该害怕？

Partisan Zmiy 针对医疗机构的入侵给出了答案。应急响应团队在 2025年12月 接手处置，溯源发现最早的失陷证据可追溯至 2024年初——约两年的持续访问权限。其更新的工具包组合了三个要素：Telegram 作为命令通道、DNS 隧道传输数据、计划任务定时投递载荷。

值得注意的细节是：整个潜伏期内，未观察到破坏性活动。

这恰恰是最值得警惕的产业信号。医疗网络的特殊性在于：数据敏感（病历、身份、保险信息）、系统陈旧（大量老旧设备和专有协议）、业务连续性压力极大（停机等于临床风险）。攻击者选择“住下不拆”，可能的目标包括长期情报收集、等待高价值时点，或单纯把这条通道作为可复用的资产。

技术层面的启示同样具体：Telegram 作为 C2 和 DNS 隧道，都是“借合法通道走恶意流量”——它们不依赖可疑的非常规端口，而是藏在企业日常必开的协议里。这正是为什么越来越多响应团队开始把 DNS 出站行为基线和 SaaS 通道审计列入必修课：你拦不住一个“看起来完全正常”的请求，只能靠“不正常地多、不正常地规律”去发现它。

💡 三起事件合流：防御思路必须换挡

三起事件横跨 IoT、终端、网络三个层面，但账本逻辑一致：攻击者的收益模型，正从“一次性变现”转向“长期持有资产”。

对企业的防御清单，可以浓缩为一张“问题—方案”对照表：

有三个判断值得单说：

第一，“无告警”不等于“无入侵”。 Partisan Zmiy 用两年时间证明了告警驱动的安全模型在耐心型攻击者面前的盲区。日志的长期留存与回溯狩猎，从“加分项”变成了“必答题”。

第二，信任链的起点必须前移到供应链。 XCPE 事件里，受害用户没有任何可被指责的操作失误——设备出厂即失陷。当安全责任从“用户行为”前移到“厂商出货”，采购合同里的安全条款、设备准入的固件核验，就成了真实的安全控制点，而非纸面合规。

第三，浏览器正在成为身份安全的最后一公里。 LUNARAXE 这类扩展偷的不是密码文件，而是活着的会话。这意味着再强的 MFA 也拦不住一个已经拿到有效 Cookie 的攻击者——会话绑定设备指纹、敏感操作二次验证、扩展权限治理，是把身份防线从“登录时”延伸到“登录后”的必经之路。

小结

XCPE 的百万台设备、LUNEXSTEALER 的百个水坑、Partisan Zmiy 的两年潜伏，共同描绘出攻击经济的下一阶段：不喧哗、不破坏、只持有。防御方的竞争焦点，也从“谁拦得快”变成“谁看得深”——行为基线、供应链审计、回溯狩猎，这些不产生红色告警的能力，恰恰是对付安静租客的唯一办法。2026年，判断一家企业安全水平高低的标尺，可能不再是挡住了多少攻击，而是发现了多少早就住进来的房客。