夜雨聆风有些黑产现在干活，已经不像“草台班子”，更像一个会开周会、写README、做测试矩阵的邪门互联网公司。你以为抓到的是一条钓鱼链接，结果顺藤摸瓜，直接摸进了人家的“研发部、测试部、运营部”。最搞笑也最吓人的是，这帮人一边研究怎么骗你双击假PDF，一边自己把后台默认密码挂在公网，属实是诈骗界的裸奔选手。Rapid7在一台暴露服务器上回收了1048个文件，看到的不是单个样本，而是一整套还在运转的恶意投递流水线。
一条告警撬开整座黑产工厂，像在仓库里翻到还没发货的库存
这事起点并不玄乎，就是Rapid7的MDR团队盯到一条异常：rundll32.exe 通过WebDAV拉文件，Windows 的 WebClient 服务被拉起，davclnt.dll 又对陌生主机发起连接。单看每个动作都不算离谱，拼起来味就不对了——像半夜厨房灯亮着，你过去一看，锅里不是宵夜，是整条灰产生产线。
更扎心的是，Rapid7打开那台暴露服务器后，看到的不是几个零散木马，而是成规模的测试资产：LNK诱饵、双扩展名和RTLO伪装实验、LOLBin执行链、加密dropper、ClickFix页面，还有README、映射表和构建脚本。这里最有价值的反而不是“成功样本”，而是失败样本。成功样本说明他们昨天怎么打，失败目录说明他们明天还想怎么打。这个操作，我给危险指数9分。
假PDF这招不新，麻烦在于它被做成了流水线，点一下就像自己给门锁递钥匙
主线攻击瞄准的是墨西哥用户。攻击者伪造了一个很像官方CURP身份查询的网站，下载按钮并不是老套的浏览器弹窗下载，而是触发 search-ms: 链接，把用户带进Windows资源管理器去远程WebDAV目录里找文件。界面一熟悉，人就容易放松警惕，这就是老招数翻新包装后的杀伤力。
然后经典套路上场：RTLO字符把扩展名“翻个面”，看上去像PDF，实际是 .scr 可执行文件。后面的载荷走内存加载、反射装配，再塞进签名进程里跑。好消息是，电脑不一定当场死给你看；坏消息是，偷密码、偷Cookie、偷Telegram会话、截桌面图，可能已经干完了。更坏的消息是，用户很多时候以为自己只是“PDF没打开”。
AI没让黑客更聪明，但确实让他们更像打工人了：会写文档，会做回归测试，还会复盘
这次最值得警惕的，不是某个单点漏洞有多花哨，而是AI开始进入黑产“工程化”流程。Rapid7看到的证据包括统一格式的README、成体系的测试计划、_MAPPING.csv 映射表，还有硬编码路径指向开源AI编码代理 Coderrr。The Hacker News也提到，这类工具本身是通用开源工具，不是专门给攻击者做的，但一旦接进这条流水线，效果就变了：批量写诱饵、补文档、改脚本、整理失败经验，速度会明显变快。
最典型的是围绕 CVE-2025-33053 的测试，公开信息显示微软已在2025年6月修复，CISA也已将其纳入已知被利用漏洞目录。可问题就在这儿，修掉一条路，不代表对方不试别的路。Rapid7看到的是59个 .url 测试文件，说明他们还在继续摸其他合法签名程序的可利用路径。你品，你细品，这已经不是“写木马”，这是在做投递平台迭代。
最讽刺的一刀：他们会识别蜜罐，却舍不得改默认密码
让我来翻译一下这帮人的操作逻辑：外面防扫描、防枚举、防蜜罐，一顿安防拉满；结果自己管理面板还跑默认端口、默认凭证。Rapid7提到，同一台服务器上还有名为 Simba Service 的管理面板，在2026年6月20日到26日大约5.5天里记录了77098次请求、3892个独立IP、覆盖101个国家，流量大头集中在墨西哥，投递高峰主要落在6月21日至24日。这里要讲清楚，面板里的2441次“launch event”不等于2441台设备感染，它只能说明投递设施观察到文件被请求或打开，不能直接等同于成功入侵。这个边界非常重要。
真正该盯的不是哈希，而是那套“动作组合”
我现在正式宣布：只盯单个样本哈希，这种防法有点像看见蟑螂只拍一只，厨房里那窝还在开会。Rapid7这次给出的启发很直接，安全团队更该盯行为链：WebClient 异常启动、davclnt.dll 连到不该连的主机、子进程从WebDAV或UNC路径拉起、文件名里出现RTLO和双扩展名、还有那种诱导用户按 Win+R 粘贴命令的“修复页面”。这类动作比单个文件名更不容易过时。
收起玩笑说句正经的，这事最扎心的地方不是“黑客变强了”，而是他们开始像产品团队一样迭代了。对普通人来说，别迷信“看起来像PDF就安全”，别把资源管理器弹出的远程文件当本地文件。对企业来说，测试环境、管理后台、默认密码这些老问题，真别再摆烂了。你可以嘲笑黑客把门忘了锁，但下一家未必还会这么粗心。
温馨提示：文中部分信息整理自公开资料与网络信息，数据存在更新或偏差，欢迎理性交流与指正，具体请以官方最新公布为准。