攻击者学会了「潜伏」，防守方跟上了吗

最近一周，安全圈流传的三条技术情报，拼在一起其实是一句话：攻击者不再追求「一击致命」，而是在系统性学习「潜伏」。

ClickFix 类攻击开始把恶意载荷藏进 DNS TXT 记录和浏览器缓存预取流程；一个名为 BigDiskBuster 的概念验证技术，不关闭 Microsoft Defender、不利用任何漏洞，却能让病毒检测出现一段「静默期」；与此同时，美国关键基础设施面临的 OT 威胁评估明确指出——针对电网、水务、电信的攻击，冲击的不只是民用服务，还有军事行动本身。

三条线索，分别对应攻击链的前段、终端对抗和国家级目标。这不是三个孤立新闻，而是同一个趋势的三个切面：攻防的胜负手，正在从「谁能打进来」变成「谁藏得更久」。

⚠️ ClickFix 进化了：载荷开始「藏进协议里」

一句话：最危险的不是恶意代码，而是你看不见它的那一段路。

先看场景。ClickFix 是过去一年最流行的社会工程攻击套路之一：伪造页面弹出一个假报错，诱导用户「自己动手」把命令粘贴进终端执行。它的可怕之处在于把攻击动作伪装成了用户自己的操作，安全产品看到的往往是一次「合法用户」的命令行行为。

而现在，威胁行为者给这套打法补上了最短板——载荷投递阶段的可见性。据公开情报，攻击者开始把恶意载荷藏进 DNS TXT 记录，并通过浏览器缓存预取（cache pre-fetching）完成早期阶段的加载。这意味着 payload 不再以文件形式躺在邮件附件或下载目录里，而是拆散在正常协议流量中：DNS 查询本身是网络基础设施的日常，浏览器预取是每个页面的默认行为，两条通道都有大量合法流量做掩护。

这直接冲击的是现有检测逻辑。传统上，安全团队拦截 ClickFix 的抓手有三个：邮件网关抓钓鱼页面、代理设备抓可疑下载、终端 EDR 抓命令行执行。前两环盯的都是「文件落地」，而 DNS 和缓存预取恰恰绕开了这两环——早期攻击阶段变得更难被发现，等 EDR 在命令行环节报警时，攻击者已经完成了大半布局。

据多位一线应急响应人员的观察，这类「协议夹带」手法的溯源成本远高于传统载荷投递：取证时你能看到海量 DNS 查询，但很难快速分辨哪一条 TXT 记录里藏着分段的恶意指令。

产业逻辑很清楚：攻击面管理的重心，正在从「端点文件」向「网络协议内容」倾斜。 对防守方来说，DNS 不再只是一个可用性服务，而是一条必须做内容审计和异常检测的攻击通道；对厂商来说，这 opens up 一个明确的产品机会——NDR（网络检测与响应）与 DNS 安全分析的组合，会从「加分项」变成「必答题」。

🔇 BigDiskBuster：不杀 EDR，胜似杀 EDR

一句话：最优雅的对抗，是让防守工具「活着但失明」。

第二个场景发生在终端。一款名为 BigDiskBuster 的概念验证技术在安全社区引发讨论，它的定位很微妙——公开评估的原话是「还不算 EDR-killer，但确实制造了一个静默的病毒检测空窗」。

它的机理值得细看：该技术不关闭 Microsoft Defender，不让任何服务异常退出，也不需要利用任何漏洞，但能让 Defender 在一段时间内停止有效更新病毒定义。结果就是：Defender 进程照常运行，控制台显示一切正常，策略看起来完好无损——但检测能力实际上出现了一个缺口。攻击者要的从来不是和你正面硬刚，而是这个「你以为是绿的，其实是灰的」窗口。

把这条路线和传统 EDR 对抗手段放在一起看，差异一目了然：

这张表的核心信息是最后一行的反差：它目前还是 PoC，但方向已经明确——终端对抗正在从「暴力致瘫」转向「静默致盲」。

据接近相关安全厂商的人士私下透露，这类「不触发完整性告警」的技术路线，正是终端安全团队最头疼的类型，因为传统上验证 EDP/EDR 健康度的手段（进程在不在、服务起没起、心跳有没有）对它全部失效。

产业逻辑同样清晰。第一，「检测能力」和「检测能力的可验证性」是两回事，企业需要的是持续验证机制，而不是看一眼控制台绿灯。第二，这条路线目前是 PoC，意味着防守方还有提前量——现在就把「安全工具自身健康度的带外验证」纳入架构，比事后补救便宜得多。

🏭 OT 威胁升级：打的是电网，疼的是战区

一句话：关键基础设施攻击的目标清单里，军事行动正在成为显性条目。

第三个场景从终端跳到国家层面。最新的威胁评估指出，美国关键基础设施面临的 OT（运营技术）威胁，其影响边界早已超出「民用服务中断」：国家级支持的渗透行为和对工业控制器的直接攻击，可能通过破坏物理过程，进而干扰军事行动。

评估列出的目标图谱值得完整看一遍——电力、水务、电信、交通、燃料、制造、物流，七类系统，且攻击落点在军事设施边界之外。这是一个很关键的设计：你不需要攻进基地，只需要让基地依赖的电站、水厂或运输系统停摆，就能达成等效干扰。

这张依赖图解释了为什么 OT 安全最近两年持续升温：IT 攻击偷数据，OT 攻击改物理世界，而物理世界的中断没有「回滚」按钮。一个被加密的数据库可以恢复，一座被误操作停转的水泵背后可能是整片区域的供水和依托它的应急体系。

产业层面的判断有三条。其一，OT 安全预算会持续从「合规驱动」转向「韧性驱动」，采购决策逻辑变了——客户买的不再是一份检测报告，而是「被打之后多快能恢复物理过程」的能力。其二，军工与民用的基础设施边界会进一步模糊，为军方提供保障的民用电力、物流供应商会被纳入更高等级的安全要求，这批中小型 OT 运营商会成为下一轮安全投入的增量市场。其三，工控协议本身缺少内生安全设计，意味着分段隔离、带外监测、物理过程基线告警这类「笨办法」仍是当前性价比最高的防御组合。

🧭 三条线索，一个防御命题：把「潜伏期」压到最短

一句话：攻防的真正分差，不在有没有告警，而在告警之前对方潜伏了多久。

把三条线索放进同一条攻击链时间轴，趋势会更直观：

• 投递阶段：ClickFix 借 DNS TXT 与缓存预取，载荷不落地，早期不可见；
• 驻留阶段：BigDiskBuster 类技术让终端安全产品「运行但失明」，检测出现静默空窗；
• 目标阶段：OT 渗透瞄准基础设施支撑系统，物理影响外溢至军事行动。

这恰好是攻击链的上、中、下游。攻击者完成了一次教科书式的分工：前段解决「怎么不被看见」，中段解决「看见了你也没办法」，末段解决「影响最大化」。据业内交流中的普遍共识，未来 12 个月，「静默化」手法从 PoC 走向野外利用只是时间问题，而 OT 侧的国家级行为者不会因为舆论关注而收手。

防守方的落点其实不复杂，但都要求动作前置：

最后说一句冷静的判断：这三个案例没有一个是「无法防御的黑魔法」，它们利用的全部是防守体系里默认信任的环节——DNS 是可信的、运行中的 EDR 是可信的、基地外面的电网是可信的。攻击者的进化方向已经明牌：专打信任链上没人盯的那一环。下一阶段的军备竞赛，比的不是谁的规则库更全，而是谁的默认信任更少。

小结

攻击潜伏化不是新概念，但这三条情报标志着它从「理念」变成了「可复制的工程实践」：投递藏在协议里、终端盲区不靠漏洞、国家级目标瞄准基础设施外圈。对安全团队，行动清单只有三件事——把 DNS 和浏览器流量纳入内容级监测、为安全工具建立带外健康验证、对 OT 依赖链做一次完整的断链演练。窗口期还在，但不会太久。