最狠的攻击，都伪装成正常业务

三起看起来不相干的安全事件，指向了同一个趋势：攻击者不再费劲凿墙，而是直接从正门走进来。间谍软件搭上广告竞价系统的便车，攻击者拿着ConnectWise的凭证登录客户的Microsoft 365，Partisan Zmiy在医疗网络里用Telegram和DNS隧道安静潜伏了近两年。它们的共同点是——攻击载体全是"合法业务"。这意味着防御的重心，必须从"堵漏洞"转向"审计信任"。

📢 广告系统，成了间谍软件的传送带

“最贵的不是0day，而是"精准找到你"的能力。

设想一个情报承包商想长期盯上一家能源企业的高管团队。传统路径是钓鱼邮件、水坑网站，成本高、暴露风险大。而代号AdFection的活动展示了一条顺滑得多的路：不入侵系统，而是像投放商品广告一样，在广告竞价系统里把间谍软件"送达"目标眼前。素材描述得很直白——间谍软件供应商正在利用定向广告竞价，在数字生态中识别并跟踪特定个人与组织，广告曝光位被改造成了零点击间谍软件的投递通道。

🎯 这条链路为什么可行？看广告实时竞价（RTB）的运作方式：每一次曝光请求都会携带设备信息、位置线索和受众标签，经过DSP、SSP、交易平台层层转手，最终哪个创意展示在谁的屏幕上，任何单一环节都难以完整审计。据多位接近广告技术产业链的人士私下说，受众定向的粒度早已做到设备级、组织级，"买下某家公司的所有人"是一个真实存在的出价选项。

产业逻辑在这里发生了微妙的错位：广告定向能力本是广告系统的核心商业价值，如今却成了监视能力的外包市场。更麻烦的是，广告域名、广告SDK在终端和浏览器里几乎是免检商品——企业不会封杀广告业务，安全产品也默认放行。当攻击面不在系统漏洞里、而在商业模式的信任链里时，传统"封IP、拉黑名单"的打法基本失效。防御者需要做的，是把广告技术域名、跟踪像素当作正式资产纳入监控，而不是当作背景噪音无视。

🔑 一把MSP的钥匙，能开一整串客户的门

“托管服务商的安全水位，就是它全部客户安全性的下限。

第二起事件把问题从"个人被盯上"升级到了"信任链被劫持"。研究人员观察到，攻击者使用ConnectWise的凭证成功认证进入客户的Microsoft 365租户——注意，不是暴力破解，而是"正常登录"。ConnectWise的应对措施同样值得琢磨：暂停自家的云备份服务。据接近该公司的消息人士透露，这个决定在内部争议不小，但管理层最终选择了宁可业务中断，也不给攻击者留通道。

为什么先动备份？因为备份通道是MSP体系里权限最高、审计最弱的一环。为了让"随时可恢复"，备份系统几乎能触达一切数据；为了让运维高效，凭证在服务商与客户之间长期复用。攻击者算得很清楚：与其逐台攻破几百个终端，不如拿下管理通道，一次登录等于拿到一整串租户的门票。

⚠️ 这里最刺眼的一句话是"客户影响仍未确认"。这不是ConnectWise一家的问题，而是整个MSP商业模式的结构性困境：凭证在多方之间流转，权限边界模糊，事后想还原"谁被用了、用了多久"，几乎是不可能完成的任务。下游MSP的担忧也在于此——上游平台一旦失守，自己辛苦维护的客户信任会瞬间清零。对行业而言，这次事件至少敲响三记警钟：管理凭证必须最小权限、MFA和异常登录检测必须覆盖服务侧账号、备份通道必须与生产环境隔离。防御者的新课题是：把"信任的传递"变成"信任的审计"。

🏥 藏了两年的间谍，只在医院里安静地看着

“没有勒索信的入侵，往往比勒索更值得警惕。

第三起事件把时间维度拉到了极限。2025年12月，调查人员介入一家医疗机构的应急响应，向前回溯时发现最早的入侵痕迹可以追到2024年初——Partisan Zmiy在这张网络里住了将近两年。

这两年里发生了什么？没有文件加密，没有数据销毁，没有任何"报警级"的可见破坏。它做的事情安静而专业：用Telegram作为命令通道，用DNS隧道回传数据，用计划任务定时执行载荷。整套工具箱的组合透露出明确的意图——这是情报收集，不是勒索变现。

💡 为什么这套组合能存活两年？答案藏在网络流量的"常识"里。DNS是几乎所有网络都必须放行的协议，安全团队很少对出站DNS查询做深度审计；Telegram在许多组织里是正经的工作沟通工具，一刀切断网会引发业务抱怨。攻击者的工具选择越来越像运维人员的日常清单——用合法服务承载C2，是近两年最稳定的战术演化方向。

医疗行业被选中也有充分的产业逻辑：病历、科研数据、保险信息的数据价值极高；网络环境异构、医疗设备补丁困难、IT预算紧张，是长期潜伏的理想宿主。这个案例给所有行业的启示是：入侵检测的下一个战场不在特征库里，而在行为基线中——一个从不外联DNS隧道的部门突然出现规律性的DNS外联，比任何病毒特征都更早暴露问题。

🛡️ 防御范式：从"找恶意"到"抓滥用"

“当合法渠道成为攻击载体，白名单就成了最危险的名单。

把三起事件放在一起看，产业图景就清晰了：

三条攻击路径的技术门槛各不相同，但共同点是把防御体系的"信任假设"逐条击穿。这也解释了当前安全市场的结构性分化：靠特征匹配吃饭的传统产品价值在稀释，而围绕身份、行为基线和高权限通道审计的能力，正在成为新的采购优先级。

落到实操层面，三起事件各对应一组具体的防御动作：

🔍 据多位在企业安全一线的从业者反馈，2025年以来甲方预算的流向已经能说明问题：漏洞管理类工具的预算增速放缓，而ITDR（身份威胁检测）、NDR和出站流量审计的采购明显提速。这不是营销话术驱动的转移，而是被真实事件教育出来的——当攻击者的入口是"正常登录"、通道是"正常流量"时，防御者唯一可靠的抓手只剩行为偏离。

2025年的攻击者已经不缺入口了，缺的只是耐心。广告系统能变成侦察雷达，云备份能变成横跳跳板，Telegram和DNS能变成指挥专线——当"合法"本身成为最好的伪装，防御者必须接受一个不舒服的前提：合法即需要审计。下一阶段安全产业的竞争，比的不是谁的规则库更全，而是谁先在自己的业务信任链里装上"审计探头"。对每一家企业来说，现在最该问的问题不是"我们有没有漏洞"，而是"我们的信任链条上，每一段都看得见吗"。