没人砸正门，攻击者全在走侧门

一周之内，三条独立情报摆上桌面：ESET披露FamousSparrow组织的旗舰级新后门SparroWocky；26岁的加拿大人Connor Riley Moucka就入侵并勒索超过165家Snowflake客户认罪；一个叫ClingSTUN的Linux后门正在把全球 IoT 设备变成匿名代理节点。

看似不相关的三件事，其实指向同一个结论：攻击者已经不太砸正门了。0day 没人不用，但真正的大规模损失，几乎都来自那些早就知道、却一直没修的『侧门』——泄露的凭据、没打补丁的边界设备、没人看管的老旧漏洞。

这篇文章把三条线索拆开看，再拼回一张图。

🐦 APT 组织的新旗舰，为什么值得盯

金句先行：APT 的武器库迭代速度，就是它野心的晴雨表。

先看最有『威胁情报味道』的一条。ESET 研究团队公开了 SparroWocky，将其定性为 FamousSparrow 组织的新旗舰后门。这个措辞值得咀嚼——『旗舰』意味着这是该组织当前投入最多、功能最全的核心武器，而不是随手用完即弃的载荷。

对于不熟悉这个名字的读者，FamousSparrow 是一个长期活跃的定向攻击组织，历史上多次针对政府、酒店餐饮等行业的供应链环节下手。旗舰后门的更替，通常说明两件事：旧工具可能已经暴露或被标注，组织进入了一轮『装备更新周期』。

从防御视角看，这类定向后门的意义不在单个指标（IOC），而在它揭示的产业逻辑：国家级对手的持续投入，正在把『被盯上』从概率事件变成时间问题。对关键行业来说，监测体系的假设前提应该是『对手已经在里面』，而不是『对手还没来』。

据多位接近威胁情报圈的人士透露，头部厂商现在比拼的已不是谁先抓到样本，而是谁能把样本关联回一个持续的攻击组织画像。工具会换名字，行为模式不会。

☁️ 165 家机构的云数据，输给了一把泄露的钥匙

金句先行：云上最贵的资产，往往挂在最便宜的凭据上。

第二件事的分量重得多。26 岁的加拿大安大略省基奇纳居民 Connor Riley Moucka，曾被评价为 2024 年最具影响力的网络犯罪威胁行为者之一，现已就计算机欺诈及共谋入侵、勒索认罪——受害对象是超过 165 家使用了云数据存储服务商 Snowflake 的组织。

他还承认窃取了超过 1 亿AT&T 用户的通话与短信历史记录。一个人，一条犯罪链，165 家企业加一亿人的数据，这个杠杆比高得吓人。

这不是一次复杂的 0day 攻击。行业事后复盘的共识是：攻击者拿的是此前被信息窃取木马卷走的合法账号凭据，直接登录了那些没有启用多因素认证（MFA）的云数据仓库。门锁是好的，但钥匙早就在别人的口袋里。

值得一提的是，这批受害者名单里的名字足够刺眼——多家知名企业的数据随后在勒索论坛上被挂出，连带引爆了一轮面向客户的二次勒索。

产业逻辑很清楚：云安全的核心矛盾已经从『平台安全』转移到『身份安全』。Snowflake 平台本身没被打穿，被打穿的是人管不好的一串用户名密码。这也解释了为什么近两年『强制 MFA』『ITDR（身份威胁检测与响应）』从卖点变成了采购硬指标——165 家企业，就是这份市场需求清单的注脚。

📡 被当成跳板的摄像头与路由器

金句先行：你以为它是终端，攻击者当它是基础设施。

第三件事最容易被低估。安全厂商披露了一个名为 ClingSTUN 的 Linux 后门，它利用 24 个已知漏洞入侵 IoT 设备，然后借道合法的公共 STUN 服务器来掩盖自己的通信流量。

先说 STUN 是什么：它本是 NAT 穿越场景下广泛使用的标准协议，大量语音视频服务离不开它。攻击者选择这条路，等于把恶意流量藏在海量正常流量里——你很难直接封禁一个被半个互联网依赖的协议基础设施。

更值得警惕的是那句轻描淡写的『24 个已知漏洞』。不是 24 个 0day，是 24 个早有补丁、早就公开的老漏洞。摄像头、NVR、路由器这类设备的现实是：厂商停止维护、用户从不升级、固件更新需要人工跑现场。于是它们成了全球攻击者心照不宣的公共资源池。

一位做边界安全的朋友私下说过一句话：『客户的 IT 资产清单里根本没有这些设备，我们管这叫影子边界。』

产业判断有三层：其一，IoT 设备正在从攻击目标升级为攻击基础设施——代理、C2 中继、跳板，脏活累活都让它们干；其二，基于协议白名单的传统防御对『合法协议滥用』基本失效，检测重心必须转向行为异常；其三，这类僵尸网络的商业化程度很高，攻击即服务的供应链已经成熟，门槛低到个人犯罪者也能租用。

🧭 把三条线拼回一张图

金句先行：三个案例，三种受害者，一个共同的失守点——没人看守的旧入口。

三条线索拼起来，能看到 2025 年攻击面的真实形状：攻击成本在系统性下降。APT 组织投入重金打造的旗舰后门，与一个 26 岁年轻人凭黑市凭据撬动 165 家企业，底层逻辑是同一条——向防守最薄弱、更新最滞后的环节集中火力。0day 是奢侈品，旧锁是日用品，而绝大多数攻击者只需要日用品。

对企业的启示也因此收敛成三件朴素的事：把身份治理提到和漏洞管理同等的优先级；把影子边界设备纳入资产清单并给出生命周期策略；把『合法流量里的异常行为』作为检测假设。这三件事都不性感，但 165 这个数字就是它们没做好的价格。

小结：从 SparroWocky 到 Snowflake 勒索案再到 ClingSTUN，三条情报共同勾勒出一个不再依赖正门强攻的威胁图景。可以预见，身份安全与边缘设备治理会成为未来两年安全预算迁移的主要方向；而攻击者对合法协议、合法凭据的滥用，也将迫使检测技术从『认脸』转向『认行为』。正门会越修越硬，侧门才永远是被争夺的战场。