警惕：APT-C-60利用日常招聘场景发动定向攻击

主要观点总结

APT-C-60威胁组织针对日本与东亚目标发动新一轮攻击，伪装成招聘人员诱饵投递恶意软件。攻击涉及伪造简历、畸形VHDX附件、合法工具滥用、编码混淆及GitHub等公共服务滥用。文章介绍了攻击流程、技术细节、基础设施模式等，并提出了检测与缓解建议。

关键观点总结

关键观点1: 攻击目标与诱饵策略

APT-C-60选择招聘人员作为切入点，通过伪造简历诱饵进行社会工程学攻击，利用招聘邮箱接收大量附件的特点，降低初始触发难度。

关键观点2: 感染链与关键技术节点

APT-C-60的感染链包括投递载体、恶意VHDX附件、LNK快捷方式触发、合法工具gcmd.exe执行脚本、Downloader生成与注册、设备识别与指令下发、最终有效载荷SpyGlace等阶段。

关键观点3: 恶意软件感染流程与工具编码

APT-C-60在编码与混淆上采用多层技术，利用合法服务作为信道，结合BASE64与修改版RC4等加密技术，通过COM劫持注册CLSID等手法实现隐蔽感染。

关键观点4: 基础设施与组织特征

APT-C-60广泛利用GitHub等公开托管服务发布控制文件和更新恶意程序，具备全球分发与避免单点失败的能力。技术风格延续，编码字符串如“GOLDBAR”的反复使用表明该组织具备长期技术积累。

关键观点5: 行动演进与版本更新

SpyGlace存在版本更新，攻击框架在功能与防护对抗上持续调整，基础设施从Bitbucket向GitHub转移，表明攻击者在平台选择上具备灵活性。

关键观点6: 风险与影响评估

针对招聘单位与HR邮箱的入侵具有多重风险，包括高价值情报泄露、横向渗透与内网扩散、声誉与合规风险以及供应链连带风险等。

关键观点7: 检测、取证与缓解建议

建议采取分层防护与响应措施，包括入口防护、可疑二进制与白名单策略、检测GitHub与statcounter异常访问、COM劫持与注册表监测、网络流量与编码分析以及应急响应与清除等。