黑客不撬门了，他们开始办会员卡

同一周里，三条看似互不相干的情报摆上桌面：间谍软件厂商把广告竞价系统当成了定位器；ConnectWise 紧急停用云备份；两个恶意软件家族把 C2 服务器搬进了区块链。内核却是同一件事——攻击者不再费力破解系统，而是把“被信任的基础设施”直接征用为攻击通道。当正门有守卫，侧门全是会员卡，防御的坐标系需要重画。

🎯 广告竞价，成了间谍的定位雷达

最精准的追踪技术，不在情报机构的机房里，而在广告平台的竞价引擎里。

先还原一个场景：某研究机构的一名分析员，早上随手打开一个挂了广告位的小众资讯网站。几百毫秒内，一场实时竞价（RTB）在他浏览器后台悄然结束。出价的一方并不想向他卖任何东西——他们想确认的是“他在哪、用什么设备、什么时段在线”，并顺手把一段零点击载荷随广告素材送进了页面。

安全研究人员把这类手法命名为 AdFection。机理并不玄：数字广告生态的定向竞价机制，本来就允许买方携带细粒度的定向参数——地域、设备型号、时段、受众画像。间谍软件厂商做的是把这套商业能力反向利用：用定向参数去“碰撞”目标人物与组织的特征组合，锁定个体，再把恶意载荷包装成一次普通的广告曝光完成投递。曝光即投递，用户不需要点任何东西。

体量决定了隐蔽性：主流广告平台每天的竞价请求以百亿计，任何一次定向出价都淹没在正常商业流量里。要求平台逐笔审计“这次定向是为了卖鞋，还是为了锁定一名记者”，在现有架构下近乎不可能。

产业判断是：广告平台的定向能力，是一把量产出售的刀。安全行业过去谈广告安全，谈的是点击欺诈与变现作弊；AdFection 把议题直接升级为“定向能力武器化”。可以预判的走向是：广告平台将被迫承担类似电信运营商的内容安全义务，而企业侧的防御边界也要外扩一层——办公室网络里加载的每一条广告，都可能是针对具体某个人的一次定向投递。

☁️ 备份通道塌方：一个凭据，一串客户

MSP 行业的信任模型，是“我把钥匙给你，你替我看一百扇门”——现在，钥匙本身成了攻击面。

场景并不复杂：一家中型 MSP 的运维工程师在例行巡检时发现，客户的 Microsoft 365 租户日志里出现了不属于自己的成功登录。顺着凭据溯源，指向的竟是他们每天都在用的管理平台。

事实层面：研究人员报告，攻击者使用 ConnectWise 相关凭据认证进入了下游客户的 Microsoft 365 租户。ConnectWise 随后停用了云备份功能以排查风险，同时对外表示客户影响“仍未确认”。这四个字对下游 MSP 是最煎熬的表述——没人知道自己是否在名单上，也没人能证明自己不在。

产业逻辑：MSP 是天然的杠杆点。一套管理凭据背后挂着一串客户租户，攻下一家等于批量拿到入场券，这不是新命题。但 ConnectWise 事件的特殊之处在于通道本身：云备份本该是最后防线，是“出事之后的保险”，现在保险箱的锁孔被人从外侧反复研究。备份通道的三个特征决定了它的诱惑力——高权限、长周期凭据、极少被交互式审计。攻击者最喜欢这种“安静的直连”。

据多位接近渠道生态的人士透露，事件披露后，相当一部分 MSP 的第一反应是自查出口日志、核验备份账号的 MFA 状态，而不是坐等厂商结论——这个顺序本身，就是渠道行业风控意识走向成熟的标志。而对厂商来说，“未确认”与“无影响”之间的每一天，消耗的都是渠道信任的余额。

⛓️ 区块链 C2：把指挥所搬进不可封禁的地基

封一个恶意域名只需要一封 takedown 函，封一条区块链，你连函都不知道该寄给谁。

事实层面，两条战线同时被摆上台面。其一是 ChainDrop，一个在 npm 生态中自我繁殖的蠕虫，靠投毒开源包横向扩散；其二是被归因于朝鲜关联威胁组织的 PolinRider 行动。两者的共同点写得非常直白：通过投毒包收割开发者终端与 CI/CD 环境中的短期云 token、服务账号凭据、部署密钥和源码访问令牌，而命令与控制的解析环节走区块链网络——攻击指令写上链，木马端解析后执行并回传。

机理拆解：传统 C2 依赖域名或 IP，可被 sinkhole、被接管、被威胁情报厂商拉黑。区块链 C2 把控制指令变成链上公开数据：无中心、不可篡改、全球可达。防御方几乎无法对基础设施本身“下架”，只能在网关侧选择性拦截解析行为——而这类行为又高度模拟正常的区块链节点通信，误报成本极高。

产业判断有两条。第一，区块链的叙事语境彻底换了：过去它是金融合规议题，现在它是基础设施韧性议题，威胁情报团队必须补上链上分析这门课。第二，CI/CD 是典型的“高价值低防御”区。短期凭据的生命周期以小时计，看起来降低了泄露风险，但在自动化收割面前，小时级窗口已经够用——攻击的自动化程度，跑在了审计的自动化程度前面。

把三种“借道攻击”放在同一坐标系里看，威胁画像的差异一目了然：

🛡️ 防御坐标系重画：从修漏洞到治理信任

当攻击面从代码迁移到关系，防御重心就必须从补丁管理迁移到信任治理。

把三件事拼在一起看，信号很完整：攻击者完成了从“找漏洞”到“借通道”的产业升级。广告竞价、云备份、开源包——三者都不是漏洞，都是被信任的商业基础设施。借道的好处显而易见：不触发漏洞告警、享受合法流量的掩护，且通道的建设与维护成本由平台方承担。

配套的防御清单可以这样收拢：

三个抓手值得展开。其一，凭据治理优先于凭据消灭。与其指望开发者终端永远干净，不如假设凭据终将泄露，把泄露后的可用窗口压到最短——这是应对 ChainDrop 类自动化收割的根本解。其二，把广告流量纳入出站治理。长期以来企业对广告请求的处理方式是“默认放行”，AdFection 之下，广告域名与竞价参数应进入代理层审计范围，高敏感岗位甚至值得考虑广告隔离浏览。其三，供应链信任要落到合同与工程的双重约束：对 MSP 而言是供应商安全条款与备份账号的独立 MFA；对研发而言是包来源校验与 CI/CD 出站基线。

据多位一线应急响应工程师私下讲，当下最被低估的检查项正是“出站流量基线”——广告请求、备份同步、区块链节点通信全是合法协议，规则引擎拦不住，只有基线偏离能暴露异常。换句话说，防御的胜负手正在从“拦住坏流量”转向“识别好流量里的坏行为”。

小结

一周之内，广告、备份、区块链三条互不相干的通道被先后点亮，指向同一个趋势：攻击者的成本结构，正在从“漏洞研发”转向“信任租用”。对防御方，这意味着在资产清单之外，还需要一份“信任清单”——谁有权触达你、经由什么通道、以什么凭据、多久复核一次。下一阶段的攻防，比的不再是谁的漏洞库更新得快，而是谁先把信任关系真正管起来。