在一次安全威胁调查中，Huntress团队通过端点检测与响应（EDR）系统发现并分析了恶意软件活动。他们不仅履行了研究和应对安全威胁的职责，还决定向公众分享这一发现，以教育社区。这一过程展示了EDR系统在监控和检测威胁中的关键作用，并强调了透明度和信息共享在网络安全中的重要性。

攻击者的失误让我们窥见了他们的操作 | Huntress

在调查威胁的过程中，Huntress团队偶然发现了一个攻击者的操作失误，这为我们提供了一个难得的机会，深入了解攻击者的日常活动、工具使用以及攻击策略。以下是此次事件的主要内容和分析。

事件背景

Huntress作为终端检测与响应（EDR）服务提供商，其系统设计用于监控和检测威胁。在此次事件中，Huntress团队通过监控系统活动，发现了一台安装了Huntress代理的主机存在恶意行为。进一步调查显示，该主机的唯一机器名称与之前追踪的多个事件中的名称一致，确认了其恶意性质。

攻击者的操作

1. 广告引发的兴趣
   攻击者通过Google广告发现了Huntress，并在尝试其他安全解决方案（如Bitdefender）的同时，对Huntress产生了兴趣。通过分析其Chrome浏览器历史记录，我们确认了攻击者从广告到试用Huntress的完整路径。

2. 工具使用与AI整合
   攻击者使用了多种工具，包括Evilginx、Malwarebytes等，并尝试通过AI工具（如Make.com）提高操作效率。他们还研究了Telegram Bot API，试图通过自动化流程加速攻击。

3. 侦察与目标选择
   攻击者花费大量时间研究不同行业的公司，尤其是银行和房地产公司。他们使用BuiltWith等工具分析目标网站的技术栈，并通过数据库营销工具（如ReadyContacts和InfoClutch）获取目标公司的客户信息。

4. 使用Google Translate
   攻击者频繁使用Google Translate翻译银行网站内容，推测其用于制作钓鱼信息。他们还通过urlscan.io获取网站信息，并通过Telegram接收提示。

5. 暗网活动
   攻击者对STYX市场表现出兴趣，这是一个2023年成立的暗网论坛，专门交易窃取的数据和凭证。他们注册了账户并浏览了VoIP账户、窃取日志和SIM卡等商品。

Huntress的响应

Huntress团队通过分析攻击者的主机活动，发现了多个被入侵的身份，并确认了攻击者使用的主机可能作为跳板被多个威胁行为者使用。通过收集的EDR数据，Huntress能够快速检测并响应这些威胁，阻止了攻击者进一步的操作。

攻击者的日常工作

通过攻击者的浏览器历史记录，我们得以窥见其日常活动。从2025年5月29日到7月9日，攻击者几乎每天都在进行高强度的工作，包括研究银行、使用Censys进行侦察、阅读新闻文章以及测试各种工具。攻击者的活动主要集中在尼日利亚的银行和加密货币公司，尽管其主机位于美国西海岸。

经验教训

此次事件为我们提供了关于攻击者日常操作的宝贵信息，从他们使用的工具到攻击策略的制定。通过分享这些细节，我们希望能够帮助其他防御者更好地理解攻击者的思维模式和行为方式，从而更有效地应对未来的威胁。

总的来说，攻击者的失误让我们得以深入了解其操作，而Huntress的透明度和教育使命在此次事件中得到了充分体现。

评论主要围绕Huntress产品的隐私问题和其监控用户行为的方式展开，观点分为支持和质疑两方。

质疑方观点： 1. 隐私侵犯与监控问题：多位评论者认为Huntress对用户的监控行为侵犯了隐私，甚至质疑其合法性。评论7指出，Huntress工程师可以基于主机名匹配随意监控试用用户的行为，并公开发布监控结果，这种行为令人担忧。评论1也提到，这种监控行为几乎与威胁本身一样糟糕。 - 评论7引用："Huntress engineers personally have access to trial user data and apparently just... browse it when they feel like it?" - 评论1引用："Threat intelligence is nearly as bad as the threats themselves."

2. 产品透明度与安全性：评论2和评论5质疑Huntress产品的透明度和安全性，认为其监控功能可能带来安全隐患。评论2提到，Huntress可以记录用户的浏览器历史、启动的可执行文件等，这让人感到不安。
   • 评论2引用："How is this product not a total security nightmare?"
   • 评论5引用："I don't understand how 'we actively spy on our customers and blog about it' is a viable marketing strategy..?"

支持方观点： 1. 对新手威胁者的洞察：评论6认为，文章提供了对新手威胁者操作和工具的深入洞察，具有一定的教育意义。 - 评论6引用："Cool insight into a (novice?) threat actor's operations and tooling."

2. 对攻击工具的开放态度：评论3提到，尽管开放源代码攻击工具可能被滥用，但公开这些工具也有助于提高整体安全性。
   • 评论3引用："it's good to open source attack tools so that everyone knows what can be done."

中立观点： 评论8认为，虽然文章内容有趣，但对有经验的黑客来说并不具有太多参考价值，因为他们的操作安全性更高。 - 评论8引用："A person like that obviously has extremely poor operational security and is therefore of low competence."

总结：评论者对Huntress的监控行为普遍持质疑态度，认为其侵犯用户隐私且缺乏透明度，但也有部分评论者认为文章提供了对新手威胁者的有用洞察。