情报战，搬进了酒店Wi-Fi

机场候机厅，你连上免费 Wi-Fi，弹出一个再熟悉不过的登录页面——输入房间号、姓名，点一下同意，就开始刷手机。你不会想到，这个页面可能不是酒店发的。

最近密集披露的三起攻击活动，把这个常年被忽视的角落推到了聚光灯下。它们分别来自三个不同背景的攻击者，瞄准三个不同地域的目标，用的却是同一套底层逻辑：不打系统，打身份；不拼零日，拼耐心。这或许才是接下来几年真正的攻防主旋律。

⚠️ 登录页，成了攻击的入口

金句：最危险的网络入口，往往长得最像例行流程。

场景是这样的：一位出差的高管住进酒店，连上大堂 Wi-Fi，在强制门户页面输入了凭证。几个小时后，他的企业邮箱开始向外发信。安全圈后来把这类攻击起了个名字——CaptiveCrunch，直译过来近乎“碾压强制门户”。

根据 GBHackers 披露的信息，这轮行动背后是 Midnight Blizzard 的子集群 Storm-2945。该组织并非新手——业界对 Midnight Blizzard 的执法与情报机构定性早有公开记录，它是近年最活跃的国家级攻击团伙之一。而 CaptiveCrunch 的核心手法，正是滥用酒店、会展中心这类“接待型 Wi-Fi”的强制门户（Captive Portal），向连网旅客投递恶意载荷，进而窃取差旅人员的凭证、渗透其所属企业的账号体系。

时间线值得注意（以下日期均出自 GBHackers 公开报道）：

• 2026 年 9 月 29 日：防守方观测到 Storm-2945 重新活跃，CaptiveCrunch 行动重启
• 2026 年 10 月 5 日：公开报道确认该波次活动，并披露新的载荷细节

这次复活有一个技术上的新变化：攻击者部署了 Rust 语言编写的 CornFlake 变体。Rust 意味着什么？更小的检测面、更难的逆向分析、更少的特征命中。对一线应急响应工程师来说，一个 Rust 写的信息窃取器，意味着样本分析和溯源成本直接翻倍。

更值得警惕的是，报道明确指出该变体的特征“与持续的 AI 辅助恶意软件开发一致”。换句话说，攻击者可能在用大模型辅助编写和迭代恶意代码。这不是科幻——当恶意软件的迭代速度被 AI 工具压缩，防守方基于样本特征的检测周期就被动拉长了。

产业逻辑很清晰：差旅人群是天然的高价值目标池。他们手上有 VPN 凭证、有邮件权限、有董事会材料，而且处在“脱离企业网络防护”的状态。打一个差旅高管的笔记本，有时候比打企业边界便宜得多。身份，正在成为比漏洞更抢手的攻击资源。

🎯 AI 政策圈，被写进了钓鱼名单

金句：当 AI 成为国策，研究 AI 的人就成了情报目标。

第二个场景离酒店很远，离会议桌很近。

安全公司 Proofpoint 披露，编号 TA419 的攻击组织，正在对美国智库、高校以及法律行业的专家发起钓鱼行动。手法谈不上新颖，但选角很讲究：攻击者冒充政府官员和 AI 行业知名人士，目标是拿下这些专家手中的云账号。

请注意三个关键词的组合：冒充熟人 + 云账号 + AI 政策人群。

冒充熟人，说明攻击者做了充分的预研——他们知道谁认识谁，知道一个 AI 政策研究者最可能回复哪类邮件。盯上云账号，说明目的不是在你电脑里留后门，而是直接读取云端的内容：邮件、文档、日程。而目标选在智库、大学、律所，而非科技公司，传递出一个信号：围绕 AI 的政策走向、监管博弈、产业链判断，本身已经成为高价值情报。

在作者看来，这类机构的安全投入与其情报价值长期不匹配——它们的 IT 团队规模通常远小于同等敏感度的政府或企业单位，但人员邮箱里的信息密度并不低。这就是典型的“洼地效应”：攻击者永远向防御最薄、价值最高的地方流动。

对产业而言，这也是一个提醒：随着各国 AI 监管框架密集出台，AI 政策圈正在从“学术边缘”变成“情报前线”。如果你所在的机构在做 AI 治理研究，那么你的威胁模型，应该参照政府机关而不是普通企业。

💥 一岁的 Warlock，搅动伊比利亚

金句：看手法像黑产，看章法像国家队——这才是最难受的对手。

第三个场景在欧洲西南角。

Warlock 勒索软件近期盯上了西班牙和葡萄牙的大型组织。报道的措辞很值得玩味：这是一个“成立约一年的中国威胁行为体”，“看起来像网络犯罪团伙，行事却像与国家关联的 APT”，而且攻击的组织出现在“意料之外的地方”。

一年历史，就具备打穿大型机构的能力，这在勒索软件生态里不算罕见——RaaS（勒索软件即服务）产业链的成熟，让新团伙可以租到一切。但“像 APT”的行事方式改变了评估框架：如果攻击者在勒索之外还长期潜伏、有选择性地加密、对特定行业表现出异常兴趣，那么这就不只是一起 economic crime，而是可能服务于更复杂意图的行动。

下表把三起事件放在一起，趋势会自己浮现：

三条线索，三个大洲，共同点只有一个：攻击的起点都不是“漏洞”，而是“人与账号”。 门户凭证、钓鱼邮件、勒索入口——绕开的是补丁管理，直取的是身份体系。

🧠 AI 把恶意软件的成本打到了地板上

金句：过去写木马是一门手艺，现在越来越像一段提示词。

把三起事件串起来看，真正值得产业层警惕的不是任何一个具体团伙，而是攻击侧的“工业化提速”。

CornFlake 出现 Rust 变体，且被评估为具有 AI 辅助开发特征——这意味着攻击者可以用更少的人、更短的时间，产出更难检测的载荷。语言切换本身就是信号：从 C/C++、.NET 转向 Rust、Go，是过去几年恶意软件演化的明显趋势，每一次切换都会让防守方重新交一轮学费。如果 AI 工具进一步降低了“多语言开发 + 免杀迭代”的门槛，那么检测规则的半衰期还会继续缩短。

用一张图概括当前攻击链的通用结构：

这个闭环里最致命的一环是“接入合法云服务”。无论是 TA419 偷云账号，还是 Storm-2945 偷差旅凭证，攻击者得手后走的都是正常登录通道——没有漏洞利用，没有恶意二进制落地，传统 EDR 几乎无处发力。防守方如果还把预算大头压在终端特征检测上，等于在错误的战场上修碉堡。

防守的重心，必须从“拦住恶意代码”前移到“守住身份生命周期”。 这不是一个观点，是过去一年所有头部事件共同指向的结论。

🛡️ 防守清单：先把人的环节补上

金句：对抗国家级耐心，靠的不是更贵的盒子，而是更严的流程。

落到一线，几件事的优先级需要重排：

第一，把强制门户列入威胁模型。 对经常出差的员工，企业应默认其设备与凭证“可能已在不可信网络中暴露”。一个在防守圈颇有些市场的说法是（作者观察，非正式统计）：“现在最该上 EDR 的设备，是那台在机场连过免费 Wi-Fi 的笔记本。”话糙理不糙——差旅设备应执行更严格的后置校验与凭证轮换策略。

第二，淘汰可被窃取后重放的认证因子。 TA419 打云账号的手法再次证明：密码加短信验证码的组合，在定向钓鱼面前形同虚设。Passkey、FIDO2 硬件密钥这类抗钓鱼 MFA，应优先覆盖高管、研究员、法务这些高价值人群。

第三，盯住云审计日志，而不是只盯终端。 异常登录地、异常下载量、陌生 OAuth 授权——这些信号藏在云平台的审计流水里。能在攻击者“合法登录”后的第一时间发现异常，才轮得到后面的应急响应。

（配比为基于公开事件趋势的示意性判断，供资源规划参考。）

至于 Warlock 这类“黑产皮、APT 骨”的新团伙，提醒我们的是：威胁分级的旧框架正在失效。不要再简单按“犯罪团伙=图财、APT=图情报”来排优先级——两者正在共用工具、共用基础设施，甚至在同一台服务器上共存。评估任何新团伙时，都要默认它可能比你判断的“更更像国家行为体”。

结语

回顾这三起事件：Storm-2945 借酒店 Wi-Fi 的强制门户收割差旅凭证，TA419 冒充熟人窃取 AI 政策专家的云账号，Warlock 以一年之龄在欧洲打出“黑产皮、APT 骨”的组合拳——三条线索，三个大洲，最终指向同一个结论：当漏洞越来越难打、补丁越来越快，人的身份就成了最便宜也最好用的突破口；而 AI 正在把这个突破口的攻击成本，压到前所未有的低点。

更值得深思的是攻防双方的节奏差。攻击者已经把 Rust 化、AI 辅助迭代、“合法登录”式渗透串成流水线，而多数组织的防御预算，仍然压在终端特征检测和边界设备上。这个时间差，才是 2027 年真正的分水岭：大概率不在谁先挖到零日，而在谁先把自己的身份体系建成攻击者“打不动”的形态。对多数组织来说，这笔账其实很划算：与其赌自己不会是下一个 CaptiveCrunch 的受害者，不如先把那批常年飞来飞去的同事的账号，换成防钓鱼的钥匙；把云审计日志接入监控；把强制门户写进差旅安全规范。三件小事，成本远低于一次入侵的善后。

情报战已经搬进了酒店 Wi-Fi。你的防御清单，更新了吗？