2026年初，SentinelOne的端點(diǎn)防護(hù)系統(tǒng)攔截了一個名為Name_File.vbs的可疑文件。它躺在\Users\Public\Downloads\目錄里，看起來平平無奇，但編碼內(nèi)容暴露了一個精心設(shè)計的遠(yuǎn)程調(diào)用意圖。

LevelBlue的SpiderLabs團(tuán)隊(duì)順著這條線索追查，發(fā)現(xiàn)這并非孤立事件。攻擊者搭建了一套可復(fù)用的投遞框架，能從同一基礎(chǔ)設(shè)施向不同目標(biāo)推送完全不同的惡意載荷。

第一層：VBS只是空殼，真正的引擎藏在PowerShell里

這個VBS文件本身不帶任何有效惡意代碼，純粹是個發(fā)射臺。它被埋在多層Unicode混淆字符之下，剝開后露出一段Base64編碼的PowerShell命令。

這段命令才是真正的發(fā)動機(jī)。它強(qiáng)制啟用TLS 1.2加密，用Net.WebClient類從互聯(lián)網(wǎng)檔案館（Internet Archive）拉取遠(yuǎn)程文件。但下載的不是可執(zhí)行程序，而是一張PNG圖片——MSI_PRO_with_b64.png。

圖片看起來正常，內(nèi)部卻嵌著惡意程序。攻擊者在PNG數(shù)據(jù)流里塞進(jìn)了BaseStart和BaseEnd標(biāo)記，中間夾著一段Base64編碼的.NET程序集。

第二層：PNG變成內(nèi)存加載器，硬盤上不留痕跡

這個程序集被命名為PhantomVAI。PowerShell通過Reflection.Assembly::Load直接把它載入內(nèi)存運(yùn)行，全程不寫入磁盤。

文件less（fileless）執(zhí)行意味著傳統(tǒng)基于文件掃描的殺毒軟件幾乎無法觸及。PhantomVAI在RAM里完成部署后，開始執(zhí)行它的核心任務(wù)：建立持久化后門，并與命令控制服務(wù)器保持通信。

LevelBlue分析師在同一攻擊基礎(chǔ)設(shè)施上發(fā)現(xiàn)了多條并行感染鏈。news4me[.]xyz域名下的/coupon/、/protector/、/invoice/三個開放目錄各司其職——有的存放VBS發(fā)射器，有的托管混淆載荷，還有的負(fù)責(zé)完全不同的投遞路徑。

這種開放式目錄設(shè)計不是偷懶，而是刻意為之。攻擊者可以隨時更換、增刪托管的惡意程序，無需改動核心投遞邏輯。即使某個載荷被安全廠商標(biāo)記，其他鏈條仍能繼續(xù)運(yùn)轉(zhuǎn)。

第三層：同一臺服務(wù)器，同時跑XWorm和Remcos兩種遠(yuǎn)控木馬

調(diào)查人員在同一基礎(chǔ)設(shè)施上確認(rèn)了至少兩種遠(yuǎn)程訪問木馬（RAT）的活躍部署。XWorm的多個變體以文本文件形式存放，Remcos RAT也在同一目錄結(jié)構(gòu)中現(xiàn)身。

更隱蔽的是另一條與偽造PDF相關(guān)的感染鏈，同樣運(yùn)行在這套基礎(chǔ)設(shè)施上。多向量設(shè)計讓攻擊者能針對不同目標(biāo)、不同場景選擇最優(yōu)投遞方式，而不必為每次行動重建整套環(huán)境。

PhantomVAI本身的功能集相當(dāng)完整。它會收集系統(tǒng)信息、截取屏幕、記錄鍵盤輸入，并能執(zhí)行從遠(yuǎn)程服務(wù)器下發(fā)的任意命令。所有通信都經(jīng)過加密，流量特征被刻意模糊以 blend in 正常網(wǎng)絡(luò)活動。

這套攻擊鏈最棘手的地方在于每個環(huán)節(jié)都"看起來正常"：VBS腳本是常見的系統(tǒng)管理工具，PNG是再普通不過的圖片格式，互聯(lián)網(wǎng)檔案館更是人人信賴的公共資源庫。

攻擊者把惡意代碼拆解成三個無害的零件，單獨(dú)看每個都無法觸發(fā)警報，串聯(lián)起來卻構(gòu)成完整的入侵鏈條。這種模塊化設(shè)計降低了單點(diǎn)暴露的風(fēng)險，也讓歸因和追蹤變得更加困難。

LevelBlue在報告中特別指出，開放目錄的濫用正在成為趨勢。相比需要精心維護(hù)的封閉服務(wù)器，公開可訪問的目錄提供了即插即用的靈活性，尤其適合需要頻繁更換載荷的大規(guī)模運(yùn)營。

對于依賴傳統(tǒng)文件掃描和靜態(tài)特征檢測的安全團(tuán)隊(duì)來說，這種攻擊模式提出了一個直接挑戰(zhàn)：當(dāng)惡意程序從不落地、從不以可識別形態(tài)出現(xiàn)時，防線該往哪里擺？

SentinelOne的端點(diǎn)防護(hù)在這次事件中起到了關(guān)鍵作用——它在VBS執(zhí)行階段就完成攔截，阻止了后續(xù)鏈條的展開。但這也依賴于對腳本行為的實(shí)時監(jiān)控，而非事后文件分析。

攻擊基礎(chǔ)設(shè)施目前仍在活躍，news4me[.]xyz及其子目錄持續(xù)托管著新的混淆載荷。安全廠商已將相關(guān)域名和文件哈希納入威脅情報庫，但攻擊者顯然預(yù)留了快速輪換的空間。