WebDAV 恶意软件交付实验室威胁活动分析

概述

一个由 MDR 告警触发的安全事件，将调查人员引向一台暴露的服务器，该服务器不仅是恶意载荷的托管平台，更是一个功能完善的恶意软件交付实验室。该基础设施包含超过 1,000 个文件，作为 QA 测试中心运行，攻击者在此系统性地测试交付路径、社会工程诱饵和 WebDAV 执行方法。

本次事件揭示了攻击者行为的显著转变：攻击者正在采用生成式 AI 来超越单一漏洞利用，转型为现代软件产品团队模式运营。通过利用 LLM 快速生成诱饵、编写详细的 README 文档和自动化测试，显著加速了开发周期。该事件凸显了主动安全的必要性——通过将暴露管理与检测响应相结合，不仅捕获了一个攻击活动，还获得了对攻击者整个交付管道的可见性。

威胁评估

置信度: 高 (基于 CISA KEV 收录、厂商确认和多来源报告交叉验证)

涉及漏洞详情

CVE-2025-33053 - WebDAV 工作目录劫持 RCE

技术原理: 通过操控 .url 快捷方式文件的 WorkingDirectory 属性，将合法 Windows 工具 (如 iediagcmd.exe) 的工作目录指向攻击者控制的 WebDAV 共享。当工具通过 Process.Start() 启动子进程时，Windows 会优先从工作目录加载恶意可执行文件而非系统目录，实现无警告的远程代码执行。

CVE-2026-21513 - MSHTML 框架安全特性绕过

技术原理: MSHTML (Trident) 引擎中的保护机制失效漏洞，攻击者可绕过 Mark of the Web (MotW) 安全标记，导致 SmartScreen 和 Office Protected View 保护失效。攻击者利用 LNK 文件配合该漏洞绕过浏览器沙箱执行代码。

CVE-2025-24054 - Windows NTLM 哈希泄露欺骗

技术原理: 通过恶意构造的 .library-ms 文件触发出站 SMB 认证，利用文件名/路径外部控制实现 NTLM 哈希欺骗，可导致用户凭证泄露和横向移动。

攻击组织画像

Stealth Falcon (FruityArmor)

已知工具链:

• Horus Agent
  : 基于 Mythic 红队框架定制的后门，支持内存 shellcode 注入、进程伪装、远程命令执行
• Horus Loader
  : 模块化加载器，用于动态执行和后期利用活动

APT28 (Sofacy/GRU/Fancy Bear)

历史活动: 2016 年美国民主党全国委员会入侵、2018 年平昌冬奥会攻击、多个政府机构入侵活动。

攻击链分析

观察到的交付方式 (基于暴露服务器分析)

┌─────────────────────────────────────────────────────────────────┐ │                     初始访问 (Initial Access)                    │ ├─────────────────────────────────────────────────────────────────┤ │ • 钓鱼邮件 (LNK/ZIP 附件)                                       │ │ • 水坑攻击 (恶意域名托管)                                        │ │ • 社会工程 (ClickFix 页面)                                       │ └─────────────────────────────────────────────────────────────────┘                               ↓ ┌─────────────────────────────────────────────────────────────────┐ │                     交付方式分类 (1048 文件)                     │ ├──────────────────────┬──────────────────────────────────────────┤ │ LNK 快捷方式诱饵     │ 453 个 - 批量生成, 伪装文档图标           │ │ 文件名混淆测试       │ 236 个 - Unicode/RTLO/双扩展名             │ │ LOLBin 执行测试      │ 146 个 - WebDAV/UNC 路径/签名二进制        │ │ 加密 Dropper         │ 89 个 - 二阶段载荷/安装包                 │ │ 替代执行容器         │ 24 个 - search-ms/library-ms/.cpl         │ │ 载荷存根/伪可执行文件 │ 21 个 - 小型加载器/伪装二进制              │ │ WebDAV 脚本          │ 17 个 - WebDAV 可靠性增强脚本             │ │ 运营者笔记/构建说明  │ 10 个 - LLM 生成 README                    │ │ ClickFix HTML 诱饵   │ 9 个 - 浏览器社工页面                      │ └──────────────────────┴──────────────────────────────────────────┘                               ↓ ┌─────────────────────────────────────────────────────────────────┐ │                     漏洞利用阶段                                 │ ├─────────────────────────────────────────────────────────────────┤ │ CVE-2025-33053 (11 样本) - WebDAV 工作目录劫持                  │ │ CVE-2026-21513 (4 样本) - MSHTML MotW 绕过                      │ │ CVE-2025-24054 (1 样本) - NTLM 哈希泄露                         │ └─────────────────────────────────────────────────────────────────┘                               ↓ ┌─────────────────────────────────────────────────────────────────┐ │                     持久化与命令控制                             │ ├─────────────────────────────────────────────────────────────────┤ │ • 内存 shellcode 注入                                           │ │ • 进程伪装/注入                                                 │ │ • 远程命令执行                                                  │ │ • C2 通信 (疑似基于 HTTP)                                       │ └─────────────────────────────────────────────────────────────────┘ 

MITRE ATT&CK 映射

IoC 指标

基础设施指标

攻击技术指标

检测签名指标

检测与防御

Sigma 检测规则

规则 1: CVE-2025-33053 进程创建检测

title: Potential Exploitation of RCE Vulnerability CVE-2025-33053 logsource:   product: windows   service: sysmon detection:   selection:     ParentImage|endswith:       - '\iediagcmd.exe'       - '\CustomShellHost.exe'     Image|endswith:       - '\route.exe'   condition: selection level: high tags:   - attack.execution   - attack.t1218   - cve.2025-33053 

规则 2: CVE-2025-33053 镜像加载检测

title: CVE-2025-33053 Image Load from WebDAV detection:   selection:     ImageLoaded|contains: '\DavWWWRoot\'   condition: selection level: high 

规则 3: CVE-2025-33053 进程访问检测

title: CVE-2025-33053 Process Access Pattern detection:   selection:     SourceImage|endswith:       - '\iediagcmd.exe'       - '\CustomShellHost.exe'     TargetFilename|contains: '\DavWWWRoot\'   condition: selection level: medium 

防御建议

狩猎查询

PowerShell - 查找 WebDAV 异常连接:

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-SMBClient/Connectivity';     Id=31017} | Where-Object {$_.Message -match '@\d{3}\\DavWWWRoot'} 

Splunk - 查找 CVE-2025-33053 利用指标:

index=windows sourcetype=sysmon EventCode=1  | search ParentImage="*\\iediagcmd.exe" OR ParentImage="*\\CustomShellHost.exe" | search Image="*\\route.exe" OR Image="*\\ipconfig.exe"  | stats count by Computer, ParentImage, Image, CommandLine 

PoC/利用代码

CVE-2025-33053 PoC 状态

利用链示例 (CVE-2025-33053)

1. 创建恶意 .url 文件，设置 WorkingDirectory 为 WebDAV 共享
2. 将 .url 文件打包为 Invoice.pdf.zip 等迷惑性名称
3. 通过钓鱼邮件投递 ZIP 文件
4. 用户解压并双击 .url 文件
5. iediagcmd.exe 从 WebDAV 共享加载恶意 route.exe
6. route.exe 执行恶意载荷并显示诱饵 PDF

情报缺口与进一步调查方向

1. LLM 使用模式
   : 需要分析攻击者具体使用的 LLM 工具和提示工程模式
2. C2 基础设施
   : 尚未发现确切的 C2 服务器 IP/域名
3. 受害者数据
   : 仅知道目标行业，需要具体目标名单
4. 工具链变种
   : 可能存在其他版本的 Horus Agent 变种
5. APT28 样本
   : CVE-2026-21513 的具体利用样本尚未完全分析

参考来源

• Check Point Research - Stealth Falcon Zero-Day
• CISA KEV Catalog - CVE-2025-33053
• CISA KEV Catalog - CVE-2026-21513
• CISA KEV Catalog - CVE-2025-24054
• NVD - CVE-2025-33053
• NVD - CVE-2026-21513
• NVD - CVE-2025-24054
• The Hacker News - APT28 MSHTML 0-Day
• GitHub - CVE-2025-33053-POC
• Detection.FYI - Sigma Rules
• Akamai - CVE-2026-21513 Analysis
• Vicarius - CVE-2025-33053 Detection

本报告由 AI 深度研究生成，内容基于公开信息整理，仅供参考。## 附录：漏洞修复版本对照表

CVE-2025-33053 修复版本

CVE-2026-21513 修复版本

报告生成时间: 2026-07-20数据来源: NVD, CISA KEV, Check Point Research, 厂商公告