黑客拼乐高，防御还在砌墙
韩国大教堂失守、LUNEXSTEALER 劫持浏览器、Earth Sirrush 四年渗透乌克兰，三起事件没用到一条 0day。攻击者正在用 Web Shell、IDOR、恶意扩展和鱼叉钓鱼拼装入侵链，而防御仍停留在漏洞清单层面。本文拆解三条攻击链的共性软肋，讨论防御从查漏洞转向治理链路的必要性。
同一个星期，安全圈流出了三份完全不相干的报告：韩国两家大型教会被打穿，一条伪装成 Word 编辑器的恶意扩展在百余个网站间流转，一个针对乌克兰的间谍组织被扒出四年的作业轨迹。
把它们摆在一起看，会发现一个不太好接受的事实：这三条攻击链里，没有一条 0day。
攻击者早就不押宝单点突破，他们在拼装——一个 Web Shell、一个越权接口、一批泄露凭据、一个浏览器扩展，每一块都不起眼，拼起来就是一场完整的失守。防御方的思路，还停留在「修漏洞清单」的砌墙时代。
⛪ 大教堂失守：全链路没有一个 0day
金句：压垮一家机构的，往往不是最锋利的武器，而是最长没人管的那扇门。
Oasis Security 在 2025 年发布的研究报告《From Web Shell to Database Dump: Dissecting the Breach of Two Korean Mega-Churches》（见文末参考来源 [1]）里，最扎眼的细节是攻击者的服务器文件被完整还原。两家韩国最大规模的教会，会众名册、员工信息、财务与行政管理数据被成规模地拖走——而入侵的起点，是他们 ERP 系统上的一个 Web Shell。
这不是一条链，是两条。攻击者通过不同路径分别打入两家机构，但配料表高度相似：ERP Web Shell 拿到立足点，特权数据库访问扩大战果，泄露凭据负责横向移动，IDOR（不安全的直接对象引用）这类失效的访问控制则把内部系统的边界彻底打穿。
教会这类机构是典型的「数据富矿、防御洼地」：捐赠记录、人事档案、财务流水敏感度不低，但安全预算常年排在最后，ERP 这类核心业务系统一上就是十年不补丁。从公开的攻击面测绘数据看，宗教与 NGO 机构的核心业务系统长期对公网暴露、且从未接受过授权测试的情况，在各国 CERT 的年度通告中屡被点名，比想象中普遍得多。
产业逻辑很清楚：攻击者的 ROI 计算里，防御水位和数据价值的差值才是目标函数。0day 贵，Web Shell 便宜；教会不设防，数据却和上市公司一样值钱。这类「低防御水位高数据密度」的机构，会成为 2025 年以来商业信息窃取的稳定猎场。
🧩 LUNEXSTEALER：浏览器成了新的占领区
金句：当所有工作都搬进浏览器，浏览器就是内网本身。
第二个案例更消费级，也更值得企业警惕。Gen Threat Labs（Gen Digital）在 2025 年发布的报告《LUNEXSTEALER: From Compromised Sites to Browser Takeover》（见文末参考来源 [2]）披露：一场利用 100 多个失陷网站分发的攻击活动，投放了 Windows 信息窃取木马 LUNEXSTEALER——它的特别之处在于落地后会安装一个名为 LUNARAXE 的浏览器扩展，伪装成「Microsoft Office Word Editor」，堂而皇之地住进 Chromium 系浏览器里。
这个扩展干的事远不止偷。Cookie、浏览历史、表单里输入的凭据只是基础款；它还能在任意网页内执行 JavaScript、操纵页面内容——这意味着攻击者可以实时改写你看到的银行页面、邮件界面，远程遥控你的浏览器替他们做事。
这代表了信息窃取赛道的一次结构性升级：传统的 infostealer 偷完就走，数据和受害者断开；装了持久化扩展的 infostealer，把受害者的会话本身变成了攻击者的资产。Cookie 一旦到手，MFA 在会话劫持面前基本失效——认证的战场，正在从「登录那一刻」转移到「登录之后的整个会话」。
产业侧的判断是：infostealer 已经彻底商品化，百站分发的投放网络说明这是一条有供应链管理的流水线。下游往往接的是 BEC 商业邮件欺诈和勒索谈判团队。企业买了再多的终端 EDR，只要员工的浏览器扩展市场没人管，会话层就是敞开的。
🕵️ Earth Sirrush：四年磨一把间谍刀
金句：判断一个组织的量级，不看单次战果，看它愿意在一个目标上花多少年。
第三个案例的耐力惊人。Trend Micro（趋势科技） 于 2025 年 6 月发布的长期分析《Earth Sirrush: A Russia-Aligned Actor Targeting Ukraine》（见文末参考来源 [3]）显示，俄方对齐的威胁组织 Earth Sirrush 至少从 2022 年起，就持续对乌克兰的政府、国防、边防安全和物流组织实施鱼叉钓鱼——这个入侵集此前被追踪为 SHADOW-EARTH-065，其基础设施模式把看似孤立的多起攻击串在了一起，并与 CERT-UA 此前的报告存在重叠。
更值得记录的是工具包的演化轨迹：四年时间，钓鱼载荷、持久化手法、C2 基建都在持续迭代，没有断档。这种研发节奏是国家级行为者的典型指纹。
产业逻辑层面，Trend Micro 提出了一个关键判断：这类间谍活动可能在为 Sandworm 的作战提供前置支撑。侦察先行、破坏殿后，是俄系网络作战的标准分工——间谍集收集的地图、物流、边防情报，最终可能转化为对关键基础设施的破坏性打击。
对防御方的启示同样清晰：面对一个迭代四年的对手，靠一次性的加固和年度渗透测试是挡不住的。能对抗长期主义的，只有同样长期主义的威胁情报运营——把分散的 IOC 串成基础设施模式，比追单次攻击有用得多。
📉 三条链的共同软肋：授权、凭据与信任
金句：认证回答「你是谁」，授权回答「你能干什么」——大多数事故出在没人回答第二个问题。
把三起事件放进同一张表，共性就浮出来了：
| 事件 | 核心手法 | 是否用0day | 关键失守点 |
|---|---|---|---|
| 韩国教会入侵 | ERP Web Shell + IDOR + 凭据复用 | 否 | 服务端授权校验缺失 |
| LUNEXSTEALER | 失陷网站分发 + 恶意扩展 | 否 | 浏览器扩展与会话治理 |
| Earth Sirrush | 长期鱼叉钓鱼 + 工具迭代 | 否 | 人与凭据、基建关联检测缺位 |
三个案例的每一块「积木」单独看都平平无奇：Web Shell 是十几年前的老手法，IDOR 常年霸榜 OWASP，鱼叉钓鱼更是老到掉牙。但拼起来，就能打穿大教堂、劫持浏览器、渗透国防物流。
如果按技术门槛和威胁价值给这些手法定位，会发现最危险的恰恰不是最高精尖的那批。需要说明的是，下图为编辑基于三份报告披露的手法特征与公开威胁情报（如 Verizon DBIR 连续多年将失陷凭据列为最主要入侵起点之一）所做的定性判断，并非量化实测数据：
防御方的清单思维在这里暴露了盲区：漏洞管理盯着 CVSS 高分项，可真正放攻击者进门的，是「认证了但没授权」「扩展装了没人审」「凭据泄露了没人轮换」这些不属于漏洞清单的裂缝。这一判断有公开数据可循——Verizon《2025 数据泄露调查报告》（DBIR）连续多年显示，失陷凭据与 Web 应用攻击合计占数据泄露事件的主要份额，且大量涉及基本访问控制失效。
🛡️ 防御的重心，要从漏洞清单挪到链路治理
金句：对手在拼图，你还在数砖头，这局没法赢。
三条攻击链指向同一套防御转向。逐条对应的解法其实并不玄：
落到实处是三件事：第一，把「访问控制」当资产管——每个对公网开放的接口，都要能回答谁该访问、访问什么、凭什么；第二，把浏览器纳入终端治理半径，扩展市场的准入审查要像管软件安装一样严格；第三，用威胁情报的「模式识别」替代 IOC 打地鼠，重点盯对手的基建习惯而非单个 IP。
写在最后
三起事件，三条大陆，一种打法：用便宜、老旧、不起眼的组件，拼装出高价值的入侵链。当攻击进入组合时代，防御的颗粒度必须从「单点漏洞」升级到「完整链路」——找到每条链上最脆弱的那块积木，比给整面墙加高更有效。2025 年的分水岭，不在于谁买了更贵的设备，而在于谁先学会像攻击者一样看自己的系统。
参考来源
1. Oasis Security Research — From Web Shell to Database Dump: Dissecting the Breach of Two Korean Mega-Churches（2025），发布方研究博客：
2. Gen Threat Labs（Gen Digital）— LUNEXSTEALER: From Compromised Sites to Browser Takeover（2025），发布方威胁研究博客：
3. Trend Micro Research — Earth Sirrush: A Russia-Aligned Actor Targeting Ukraine（2025 年 6 月），发布方研究页面：