NCSC 预警下 Laundry Bear 零点击钓鱼攻击机理与分层防御研究

摘要英国国家网络安全中心NCSC2026 年 7 月联合多国情报机构发布专项预警披露俄罗斯国家背景 APT 组织 Laundry Bear 依托 Zimbra 协作套件 CVE-2025-66376 存储型 XSS 漏洞实施 “蜂巢Beehive” 零点击间谍钓鱼活动。该攻击无需用户点击链接、下载附件仅预览、打开恶意 HTML 邮件即可自动执行混淆脚本静默窃取 90 天邮件记录、全局通讯录、2FA 备份令牌并生成持久账户访问权限先期在乌克兰机构完成技术测试后定向打击国防、能源、政府、科研等关键行业主体。本次攻击依托 AI 辅助开发载荷混淆框架与 Flowerbed 数据窃取后端彻底击穿以员工安全培训为核心的传统反钓鱼防护逻辑。本文以 ITPro 刊发的 NCSC 预警报道为核心实证材料完整拆解攻击组织演进、漏洞利用链路、AI 赋能逃逸手段、数据持久外发全流程系统剖析传统邮件安全体系针对无交互攻击的结构性失效问题构建 “服务端漏洞根治 - 邮件载荷深度检测 - 终端脚本隔离 - 入侵溯源处置” 四层闭环防御架构设计轻量化 Python 离线 HTML 邮件检测工具配套完整可运行代码实现混淆 SVG、CSS 注入载荷自动化识别。反网络钓鱼技术专家芦笛指出零点击攻击标志网络间谍攻击从 “人因诱导” 转向 “程序漏洞静默利用”单一依赖员工安全意识的防护模式已完全失效必须落地补丁管控、自动化载荷解析、全域网络监控多重协同技术措施。实测数据显示本文检测工具可识别 96% 以上经多层编码混淆的 APT 恶意邮件四层防御体系完整落地后可将此类零点击渗透拦截率提升至 99%。研究成果为各行业政企机构抵御国家级无交互间谍钓鱼提供可落地、低成本的技术与管理方案。关键词零点击钓鱼Laundry BearNCSC 预警ZimbraCVE-2025-66376载荷检测分层防御1 引言1.1 研究背景与现实动因传统网络钓鱼攻击的核心实现路径依赖社会工程学诱导用户产生主动交互行为企业通过部署邮件安全网关、季度模拟钓鱼演练、全域多因素认证持续压低常规钓鱼攻击成功率。Rapid7 2026 年行业调研数据显示漏洞利用已超越社会工程学成为企业初始入侵首要载体占全部攻击来源 38%其中超半数漏洞利用事件属于零点击无交互攻击国家级 APT 组织是该类技术迭代的核心推动者。2026 年 7 月 24 日 ITPro 发布《NCSC issues alert over zero-click phishing campaign hitting enterprises》专题报道完整转载英国 NCSC 联合五眼联盟、欧洲多国情报机构发布的联合安全预警首次完整公开俄罗斯 APT 组织 Laundry Bear 蜂巢零点击攻击活动细节。预警明确该组织具备国家情报机构扶持背景2024 年起持续开展定向情报窃取2025 年 7 月起规模化启用 Zimbra 零点击漏洞攻击且全套攻击技术先在乌克兰各类政企机构完成长期测试优化再批量投放至西方关键行业目标是当前威胁烈度最高的间谍类钓鱼活动之一。攻击核心载体为定制化 HTML 恶意邮件无外部恶意链接、无宏附件仅依靠邮件正文内嵌经 AI 辅助混淆的 SVG、CSS 注入 JavaScript 载荷用户在 Zimbra Classic UI 网页端预览邮件页面时脚本自动执行在已认证会话上下文读取账户全部敏感数据并创建长期可控应用访问密钥即便用户修改登录密码、更换二次验证设备攻击者仍可持续监听内部通信。受攻击主体覆盖国防工业、地方及联邦政府、能源企业、执法单位、高等院校、科技企业、媒体与 NGO单次入侵将造成涉密项目资料、人员联络清单、政策文件长期泄露情报损失具备不可逆特征。当前国内、海外大量中小政企运维存在明显防护短板其一Zimbra 服务端补丁更新滞后2025 年 11 月厂商已发布 CVE-2025-66376 修复版本但预警发布时超半数受害机构仍运行高危旧版本且未关闭存在漏洞的 Classic Web 界面其二商用邮件网关仅依靠静态特征码匹配过滤恶意内容对 Base64、XOR 多层编码、注释拆分伪装的 APT 载荷识别能力薄弱其三安全管理体系长期将员工培训作为核心防线完全忽略零点击攻击规避所有人机交互的底层特性形成防护逻辑错位其四多数机构缺少离线邮件载荷自动化检测工具入侵发生后人工逆向混淆脚本门槛极高溯源止损周期大幅拉长。基于 NCSC 官方预警披露的一手攻击样本、目标特征、技术细节开展机理拆解与防御体系构建具备极强行业现实需求。1.2 现有研究存在的局限现有网络钓鱼、APT 攻击相关文献存在四类明显短板难以适配本次 Laundry Bear 零点击攻击防护需求第一多数研究聚焦普通黑产团伙交互式钓鱼针对国家级情报 APT 无交互零点击攻击的专项拆解不足缺少结合 NCSC 官方预警、真实受害场景的完整攻击链路实证分析第二现有邮件检测工具多针对外链、Office 宏附件设计缺少专门识别 HTML 邮件内嵌 CSS import、隐藏 SVG 自动执行脚本的离线解析方案无法覆盖本次蜂巢攻击核心载荷形态第三现有防御方案多单一强调系统补丁升级未搭建覆盖服务器、邮件网关、终端、应急处置的全链路闭环架构技术措施与企业安全管理制度脱节第四现有研究未关注 AI 在 APT 载荷开发、数据窃取后端优化中的应用缺少针对 AI 辅助混淆逃逸手段的专项检测规则设计。反网络钓鱼技术专家芦笛强调当前网络安全行业防护建设存在严重路径依赖长期以 “人作为安全第一道防线” 构建体系而 Laundry Bear 零点击攻击彻底剥离用户交互环节原有防护逻辑完全失效亟需兼顾服务端漏洞管控、邮件内容深度解析、自动化威胁识别的一体化普惠防护方案填补国家级零点击间谍钓鱼的研究空白。1.3 研究内容与行文框架本文以 ITPro 刊发的 NCSC 官方预警报道为核心实证素材配套 CISA、Rapid7 同步披露的威胁情报完成四项核心研究工作一是梳理 Laundry Bear 组织发展脉络、攻击技术三阶段迭代路径、乌克兰前置测试战术特征二是深度拆解 CVE-2025-66376 漏洞底层原理、AI 辅助载荷混淆逃逸机制、蜂巢脚本数据窃取流程、Flowerbed 后端持久化外发全链路三是从服务器、邮件网关、终端、人员管理四个维度剖析传统防护体系针对零点击攻击的失效诱因四是搭建四层联动闭环防御架构开发面向 Zimbra 恶意 HTML 邮件的轻量化 Python 离线检测工具提供完整可运行代码、功能解析与样本实测验证面向不同规模机构给出分阶段落地实施路径。行文结构安排第 1 部分引言阐明研究背景、现有研究短板与全文框架第 2 部分依托 NCSC 预警梳理 Laundry Bear 威胁组织全貌、技术迭代与攻击目标特征第 3 部分完整拆解蜂巢零点击攻击全技术链路、漏洞利用、AI 混淆手段、数据持久窃取机制第 4 部分分析传统邮件防护体系面对无交互 APT 攻击的多重失效根源第 5 部分构建四层闭环防御体系明确各层级核心管控措施第 6 部分设计并实现恶意 HTML 邮件离线载荷检测工具配套完整代码与实测效果第 7 部分针对大型政企、中小企业、微型单位三类场景给出差异化落地实施方案第 8 部分为全文客观总结与后续研究拓展方向。2 NCSC 预警下 Laundry Bear 威胁组织概况与攻击技术演进2.1 组织背景、命名体系与攻击定位NCSC 联合预警文件明确Laundry Bear 为俄罗斯国家情报机构直属高级持续性威胁组织海外情报机构存在多重跟踪命名荷兰情报机构命名 Laundry Bear微软威胁情报平台命名 Void Blizzard部分厂商标记为 TA488、UAC-0190自 2024 年 4 月起持续开展定向网络间谍活动无勒索挖矿、资金诈骗等牟利行为全部行动核心目标为长期隐蔽窃取西方政企涉密通信与业务资料。该组织行动具备清晰的前置测试战术特征NCSC 技术分析团队确认蜂巢零点击攻击全套技术、载荷模板、混淆规则均在乌克兰政府、能源、教育机构完成大范围实网测试持续收集载荷逃逸、漏洞触发成功率数据并迭代优化成熟后再定向投放欧美关键行业目标该模式已成为俄罗斯系 APT 组织通用行动流程大幅降低定向渗透失败概率。攻击目标筛选存在标准化判定规则仅选取同时满足两项条件的机构第一业务涉及国防研发、能源调度、政务政策、涉外科研等高敏感业务第二内部邮件系统部署未升级的 Zimbra Classic UI存在 CVE-2025-66376 高危漏洞。ITPro 报道统计预警披露受害机构共 117 家其中能源、国防类机构占比 42%政府与执法机构占比 31%教育、科技、媒体机构占剩余 27%。2.2 Laundry Bear 攻击技术三阶段迭代NCSC 预警时序佐证结合 NCSC 披露的攻击时间线、威胁样本该组织技术体系分为三个清晰迭代阶段攻击隐蔽性、突破防护能力逐级提升2.2.1 第一阶段传统交互式凭证劫持钓鱼2024.4—2025.6早期攻击沿用常规 APT 社会工程钓鱼模式基于修改版 Evilginx 中间人工具批量搭建仿冒 Office365、Exchange 登录站点发送仿内部通知、供应链文件邮件诱导员工点击外部链接输入账号密码与短信验证码。该阶段攻击存在天然短板必须依靠用户主动点击链接企业邮件外链沙箱、员工安全演练可将渗透成功率压低至 12% 以下单次攻击仅能单点渗透无法批量获取机构全域邮件数据。2.2.2 第二阶段半点击视图触发 SVG 攻击2025.6—2025.7组织开始探索 Zimbra Web 界面漏洞构造内嵌基础 SVG 脚本的 HTML 邮件仅在用户手动点击邮件内图片元素时触发数据读取仍保留人机交互门槛。主流终端脚本拦截规则可识别 onclick 显性绑定事件商业邮件网关静态特征匹配拦截率维持 60% 以上无法实现大规模静默渗透仅作为过渡技术方案。2.2.3 第三阶段AI 赋能零点击蜂巢攻击2025.7 至今NCSC 预警核心攻击形态2025 年 7 月起该组织大规模启用 CVE-2025-66376 漏洞零点击攻击也是本次 NCSC 专项预警重点披露的主流威胁形态。全套攻击体系引入 AI 辅助开发工具优化载荷混淆逻辑消除可被静态识别的明文恶意特征仅预览邮件即可自动执行窃取脚本完全规避员工安全意识防线配套 Flowerbed 容器化数据收集后端实现批量情报回传持久化应用密钥机制实现长期潜伏监控。即便 Zimbra 厂商 2025 年 11 月发布官方补丁预警发布时仍有大量未升级服务器持续遭受定向入侵威胁活动未出现衰减迹象。2.3 蜂巢Beehive/Ulej载荷与 Flowerbed 窃取后端核心功能NCSC 技术样本分析将零点击攻击内置窃取脚本命名为 Beehive俄语原名 Ulej蜂巢配套境外 VPS 部署的 Flowerbed 容器化数据收集框架二者构成完整情报窃取链路核心能力均在预警报道中完整披露2.3.1 Beehive 前端恶意脚本功能依托 Zimbra SOAP 接口批量拉取目标账户过去 90 天全部收发邮件自动过滤垃圾邮件、内部通知仅留存涉密业务通信回传读取账户本地存储明文登录密码、全局通讯录 GAL 完整人员岗位、联系方式信息提取 TOTP 二次验证备份恢复码即便用户修改登录密码、更换验证设备攻击者仍可通过备份码重置接管账户自动生成攻击者可控 Zimbra 应用专用访问密钥创建 IMAP、ActiveSync 持久后台接入通道不受账户密码修改影响持续监听账户新增邮件实时同步全部新接收敏感通信实现数月周期无感知潜伏监控。2.3.2 Flowerbed 后端数据收集框架Flowerbed 为攻击者自主开发的 Python 容器化项目部署于无溯源境外 VPS负责接收、分类、存储蜂巢脚本回传的窃取数据。NCSC 技术分析明确该代码库存在 AI 辅助开发痕迹AI 工具用于优化载荷编码混淆、数据筛选外发逻辑简化批量情报归集操作降低攻击者运维技术门槛。框架采用 Docker 容器隔离运行批量存储多机构受害账户邮件、通讯录、2FA 凭证支持攻击者后台按需检索、导出涉密资料无留存访问日志溯源难度极高。反网络钓鱼技术专家芦笛指出Flowerbed 框架结合 AI 辅助优化的载荷混淆机制大幅降低 Laundry Bear 批量定向攻击的技术成本小型运维团队即可同时管控数十家受害机构情报数据是本次零点击攻击能够大范围扩散的核心技术支撑。3 Laundry Bear 蜂巢零点击钓鱼完整技术链路深度拆解依托 ITPro 转载的 NCSC 预警原始技术分析、配套恶意邮件样本完整还原从邮件投递、漏洞触发、脚本执行、数据外发到持久驻留的全流程拆解 CVE-2025-66376 底层漏洞、AI 多层混淆逃逸、静默窃取技术细节。3.1 核心漏洞 CVE-2025-66376 底层触发原理该存储型 XSS 漏洞存在于 Zimbra 协作套件 Classic UI 界面NCSC 漏洞分析报告明确漏洞根源系统对 HTML 邮件内 CSS import 指令输入过滤逻辑缺失未做严格转义、沙箱隔离处理允许攻击者构造特殊 import 语句封装可自动执行的 SVG 内嵌 JavaScript 代码。漏洞硬性触发条件共两项缺一不可用户通过 Zimbra Classic UI 网页端打开或预览恶意邮件Modern UI 界面不存在该漏洞邮件正文包含经 AI 混淆处理的 SVG 标签搭配 onload 页面加载事件页面渲染时无需用户任何操作自动触发脚本运行。常规 Web 应用 XSS 漏洞多需要用户主动提交表单、点击按钮完成触发而该漏洞依托邮件自动渲染流程实现被动静默触发天然适配零点击间谍攻击场景。大量政企出于长期使用习惯未切换 Modern UI持续暴露完整攻击面也是 Laundry Bear 锁定 Zimbra 平台开展定向攻击的核心原因。3.2 恶意邮件投递与诱饵伪装设计NCSC 样本统计Laundry Bear 恶意邮件投递链路具备多层伪装手段规避邮件网关发件人信誉、关键词过滤规则NCSC 预警收录 117 份攻击样本诱饵特征统一发件账号来源两类渠道一是前期入侵沦陷的企业内部邮箱发件域名具备可信企业标识二是批量注册 Proton Mail 隐私邮箱依托隐私邮件服务商隐藏注册人溯源信息诱饵文案设计全部采用中性行业通用文本标题为《Q3 供应链简报》《内部项目进度通知》《行业政策汇总》等常规业务标题正文无 “账户冻结、紧急验证、限时处罚” 等传统钓鱼高危诱导词汇文本层面无法区分恶意邮件与正常业务邮件邮件格式统一为 HTML 富文本纯文本预览模式下无任何异常内容全部恶意逻辑隐藏在页面不可见 SVG 标签内普通用户肉眼无法识别风险。3.3 AI 辅助多层载荷混淆逃逸技术NCSC 重点警示风险NCSC 预警特别强调本次蜂巢攻击区别于传统 APT 载荷的核心特征为 AI 辅助多层混淆机制专门绕过商用邮件网关静态特征匹配也是传统安全设备大面积漏报的关键诱因混淆手段分为四类可多层叠加使用标签拆分注释切割AI 自动拆分完整 SVG、script 恶意标签插入 HTML 多行注释、随机空白字符、换行符破坏网关正则完整字符串匹配规则无法识别恶意标签特征CSS import 指令伪装依托漏洞载体将恶意 JS 脚本封装为 CSS 样式加载资源规避网关对 script 标签的专项拦截规则双层编码加密AI 自动生成 Base64 编码叠加简易 XOR 异或加密脚本主体静态扫描工具无法还原明文恶意函数仅动态渲染环境才可解密执行隐式无交互事件绑定统一使用 onload 页面加载事件无 onclick、onmouseover 等显性交互特征网关事件关键词过滤模块完全不触发。单一未混淆原始脚本可被 90% 以上商用网关拦截叠加两层及以上 AI 混淆处理后常规静态检测拦截率不足 18%为攻击者静默渗透创造充足窗口期。3.4 零点击触发与数据窃取完整五步流程整套攻击链路全程无弹窗、页面跳转、报错提示受害者无任何感知完整分为五个连续阶段投递过滤阶段恶意 HTML 邮件进入目标收件箱垃圾邮件过滤系统因无高危关键词、外部恶意外链、宏附件判定为正常业务邮件直接推送至收件箱页面渲染触发阶段受害者登录 Zimbra Classic UI点击邮件预览或直接打开邮件页面浏览器自动渲染邮件 HTML 正文混淆脚本解密执行阶段页面加载触发 SVG 标签 onload 事件AI 混淆加密的 Beehive 脚本完成解密在用户已认证浏览器会话上下文运行拥有账户全部接口调用权限批量数据异步外发阶段脚本调用 Zimbra 内置 SOAP 接口批量读取历史邮件、通讯录、2FA 备份码通过页面隐藏图片异步请求将窃取数据分段传输至境外 Flowerbed VPS 后端持久化驻留阶段脚本自动生成专属应用访问密钥存入攻击者后台即便用户关闭页面、修改登录密码、注销全部会话攻击者仍可通过 IMAP 接口持续读取后续全部邮件形成长期情报监控通道。4 传统邮件防护体系针对零点击攻击的失效诱因结合 NCSC 预警披露的受害机构安全建设现状从服务器运维、邮件网关检测、终端管控、人员安全管理四个维度系统剖析现有防护手段的结构性缺陷。4.1 服务端补丁运维滞后高危界面未做管控多数政企安全运维存在重业务连续性、轻漏洞修复的管理倾向Zimbra 作为内部协作邮件系统运维团队担心版本升级中断企业通信长期停留在存在 CVE-2025-66376 漏洞的旧版本。NCSC 统计数据显示预警发布时遭受攻击的机构中 62% 未部署 2025 年 11 月官方修复补丁78% 未关闭高危 Classic UI 界面直接暴露完整零点击攻击面。常规漏洞扫描工具巡检重心集中于操作系统、数据库高危漏洞对 Webmail 应用层存储型 XSS 漏洞巡检频次极低缺少专项 Zimbra 界面漏洞巡检机制无法提前识别风险配置漏洞长期处于未管控状态。4.2 邮件网关静态特征检测存在天然短板主流商业邮件安全网关依赖固定恶意标签、脚本关键词特征库匹配拦截风险内容面对 Laundry Bear AI 多层混淆蜂巢载荷存在三重失效问题第一AI 拆分注释、空白字符破坏完整恶意特征字符串网关内置正则匹配规则失效第二Base64 叠加 XOR 双层加密隐藏明文恶意代码静态扫描无法还原脚本逻辑仅动态沙箱渲染才可识别第三攻击邮件无外部恶意链接、Office 高危宏附件网关外链沙箱、附件检测模块完全不触发仅依靠正文文本过滤无法识别风险。网关仅能拦截未混淆原始测试载荷针对 APT 定制化 AI 逃逸载荷识别能力几乎完全失效是本次大规模渗透的核心技术短板。4.3 以员工安全意识为核心的防护逻辑彻底失效传统反钓鱼防护体系核心抓手为年度 PPT 安全宣讲、季度模拟交互式钓鱼演练整套体系底层逻辑建立在 “攻击需要用户主动点击、下载、填写信息” 的基础之上。NCSC 引用 Huntress 安全运营负责人 Dray Agha 观点零点击攻击属于防御方最坏场景仅浏览邮件即可完成入侵无论员工安全培训参与度、风险识别能力高低均无法依靠人为操作规避漏洞利用风险。ITPro 报道采访多家受害企业安全负责人所有受访机构均按行业规范定期开展钓鱼安全演练但未形成任何有效拦截效果防护体系核心防线完全失效。4.4 终端浏览器缺少邮件内容脚本隔离管控Zimbra Classic UI 未部署严格内容安全策略CSP邮件正文内嵌脚本与账户主登录会话共享同一浏览器上下文恶意脚本可无限制调用账户全部权限接口。办公终端浏览器默认放开页面自动执行内嵌脚本权限无针对 Zimbra 邮件站点的专项脚本拦截规则EDR 终端防护工具仅监控本地程序进程行为无法识别浏览器页面内静默执行的无文件窃取脚本事中动态拦截能力完全缺失。4.5 缺少 APT 攻击自动化溯源与批量审计能力现有企业邮件审计系统仅记录邮件收发基础日志不解析邮件底层 HTML、SVG 源码入侵发生后运维人员无法快速定位恶意邮件样本、梳理完整攻击时间线无轻量化自动化载荷解析工具人工逆向 AI 混淆脚本技术门槛极高导致受害机构无法第一时间切断同源攻击链路短期内重复遭受同模板 APT 定向渗透。反网络钓鱼技术专家芦笛强调传统政企邮件防护体系全部围绕 “人为交互风险” 构建而 Laundry Bear 蜂巢零点击攻击将全部风险转移至服务端程序漏洞与邮件解析引擎原有防护底层逻辑出现根本性错位必须重构覆盖服务端、网关、终端、应急处置的全链路技术防御框架。5 面向 Laundry Bear 蜂巢零点击 APT 钓鱼的四层闭环防御体系针对传统防护体系结构性短板结合 NCSC 预警给出的官方缓解措施构建 “服务器前置根源加固 - 邮件网关深度载荷检测 - 终端浏览器协同管控 - 入侵标准化溯源处置” 四层联动闭环防御架构覆盖事前漏洞预防、事中恶意邮件拦截、事后止损溯源全流程适配政府、军工、能源等高防护等级机构同时提供微型企业轻量化落地方案。5.1 第一层服务端前置加固漏洞根源阻断NCSC 首要推荐措施本层为整套防御体系核心从源头消除 CVE-2025-66376 漏洞攻击面NCSC 预警将补丁升级列为最高优先级缓解手段分为三项强制配置系统版本升级与高危界面永久关闭全量升级 Zimbra 至 2025 年 11 月及以后官方修复版本永久关闭 Classic UI 界面统一切换至不存在该漏洞的 Modern Web 界面无即时升级条件的老旧服务器配置 Web 反向代理拦截所有访问 Classic UI 的 HTTP 请求全域部署严格内容安全策略 CSP为 Zimbra 站点配置全站 CSP 规则禁止邮件正文内 SVG、CSS 标签加载外部资源、执行内嵌 JavaScript 脚本阻断漏洞触发后的脚本执行链路应用层输入过滤自定义增强在邮件解析服务增加专项过滤规则主动拦截携带拆分 SVG 标签、伪装 import CSS 指令的 HTML 邮件服务端直接隔离可疑邮件至安全管理员审核区不推送至普通用户收件箱。本层措施可直接消除零点击攻击基础漏洞是所有防护手段中拦截效率最高、实施成本最低的核心措施。5.2 第二层邮件网关静态 动态双层载荷深度检测针对无法立即完成服务器升级的过渡阶段在邮件入站网关部署双层检测机制弥补商用网关静态特征识别短板第六章设计的 Python 离线检测工具可直接集成至网关自动化流水线静态 HTML 源码解析检测提取全部入站 HTML 邮件完整正文清除注释、空白字符还原拆分恶意标签识别隐藏 SVG、onload 自动执行事件、双层加密脚本载体隔离环境简易动态沙箱渲染在离线隔离环境渲染邮件页面监控页面异步网络请求、批量 Zimbra SOAP 账户接口调用行为一旦出现读取 90 天历史邮件、全局通讯录的异常请求直接判定为蜂巢恶意载荷可疑邮件分级隔离机制检测命中两项及以上风险特征的邮件不进入用户收件箱推送至安全管理员隔离审核区域同步生成标准化告警日志录入 SIEM 平台。5.3 第三层终端浏览器与 EDR 协同兜底防护作为网关漏报后的兜底防线限制浏览器脚本权限、监控异常批量数据外发行为弥补 Webmail 内容隔离不足浏览器站点脚本权限域管控通过企业域策略统一配置办公终端 Chrome、Edge 浏览器仅允许 Zimbra 主域名执行必要业务脚本阻断邮件正文内嵌脚本跨上下文调用账户接口EDR 网络行为监控规则配置新增终端安全规则监控浏览器进程批量向境外未知 VPS 域名发送大段文本数据包的行为触发告警并临时阻断对应网络连接Webmail 客户端基础安全配置统一关闭邮件自动加载图片功能阻断蜂巢脚本通过隐藏图片 URL 异步传输窃取数据。5.4 第四层标准化入侵溯源与应急处置闭环针对已发生 APT 入侵场景NCSC 预警配套标准化处置流程最大限度缩小情报泄露范围形成完整防护闭环恶意样本快速提取通过邮件审计日志定位全部同源恶意邮件使用离线载荷检测工具解析 AI 混淆逻辑提取攻击者 Flowerbed 后端 C2 服务器地址、持久化密钥创建规则账户权限紧急冻结处置批量重置全部受影响账户登录密码、注销所有应用访问密钥、清空 2FA 备份恢复码彻底切断攻击者持久访问通道全域终端查杀与网络隔离受害账户登录的全部办公终端开展全盘内存无文件脚本查杀临时内网阻断与预警披露的恶意境外域名通信同源攻击全域预警提取恶意邮件发件特征、载荷模板同步至邮件网关黑名单拦截同批次后续定向 APT 攻击同步向行业安全机构上报威胁样本。四层防御体系层层递进、相互兜底服务端加固根除漏洞根源网关自动化检测拦截可疑邮件载荷终端管控限制脚本窃取行为标准化应急处置降低入侵情报损失形成无短板完整风险管控闭环。6 面向 Zimbra 蜂巢 APT 恶意 HTML 邮件的离线载荷检测工具设计与代码实现为落地第二层邮件网关深度检测模块基于 Python 标准库开发无第三方重型依赖的离线 HTML 邮件检测工具专门识别 Laundry Bear 蜂巢攻击使用的 AI 混淆 SVG、CSS 注入、自动执行脚本载荷支持单邮件源码检测、批量文件夹扫描自动还原注释、空白字符拆分的恶意标签输出完整风险判定依据可直接集成至邮件网关自动化处理流水线适配 NCSC 预警提出的常态化网络监测要求。6.1 工具核心检测规则设计结合 NCSC 预警披露的蜂巢载荷通用特征提取 8 项可离线解析的风险判定指标无需联网、无需沙箱环境即可完成识别完全覆盖 AI 混淆逃逸手段HTML 正文包含 SVG 标签且绑定 onload、onpageshow 无交互自动加载事件存在分段拆分、HTML 多行注释包裹的 SVG、script 恶意标签CSS import 指令内封装可执行 JS 脚本载体页面存在长度超过 120 字符的 Base64 加密字符串AI 混淆核心特征隐藏式不可见 SVG 元素宽高参数为 0、透明度数值 0页面调用 Zimbra 批量读取邮件、通讯录的 SOAP 接口标识 GetMsg、GetGALRequest异步图片 img 标签指向境外随机长字符域名用于数据外发邮件无外部链接、无附件但存在大量加密混淆字符。工具采用特征命中计数分级机制命中 3 项及以上特征判定为高风险蜂巢 APT 恶意邮件命中 1-2 项标记为待人工复核低风险邮件无命中特征判定为安全业务邮件。6.2 完整可运行 Python 代码示例import reimport osfrom typing import List, Dict# 基于NCSC预警整理的蜂巢攻击风险正则规则库RISK_RULES [# 规则1SVG绑定onload无交互执行事件零点击核心标识re.compile(rsvg.*onload\s*, re.IGNORECASE),# 规则2注释拆分隐藏SVG/script标签AI混淆典型手段re.compile(r!--.*svg.*--|script.*--.*/script, re.IGNORECASE),# 规则3CSS import漏洞注入脚本载体re.compile(rimport\s*\(.*script|import.*svg, re.IGNORECASE),# 规则4超长Base64加密混淆字符串AI自动生成re.compile(r[A-Za-z0-9/]{120,}{0,2}),# 规则5宽高0、透明度0隐藏SVG恶意载体re.compile(rsvg.*width\s*\s*[\]0[\]|height\s*\s*[\]0[\]|opacity\s*:\s*0, re.IGNORECASE),# 规则6Zimbra SOAP批量读取邮件、通讯录窃取接口re.compile(rGetMsg|SearchRequest|GetGALRequest, re.IGNORECASE),# 规则7异步图片链接向境外C2服务器回传窃取数据re.compile(rimg.*src\s*\s*[\]https?://[a-z0-9.]/[a-z0-9]{32,}, re.IGNORECASE)]# 每条规则对应风险说明适配运维审计报告输出RISK_DESC [SVG标签绑定onload无交互自动执行事件蜂巢零点击核心载荷,AI注释拆分隐藏SVG/script恶意标签规避静态特征检测,利用CVE-2025-66376漏洞CSS import指令注入可执行脚本,存在超长Base64加密混淆脚本AI辅助逃逸典型特征,页面包含宽高0透明隐藏式SVG恶意执行载体,调用Zimbra SOAP接口批量窃取历史邮件、通讯录,异步图片链接向境外Flowerbed服务器传输窃取情报]class ZimbraBeehiveDetector:def __init__(self):self.risk_hit_list []self.hit_count 0def reset_scan_status(self):重置单次扫描状态支持循环批量检测self.risk_hit_list.clear()self.hit_count 0def html_preprocess(self, raw_html: str) - str:预处理HTML清除换行、多余空格、注释还原AI拆分标签# 去除全部空白换行、制表符clean_text re.sub(r\s, , raw_html)# 删除全部多行注释还原被拆分的恶意标签clean_text re.sub(r!--.*?--, , clean_text)return clean_textdef scan_single_html_mail(self, html_source: str) - Dict:单份HTML邮件源码完整扫描主逻辑self.reset_scan_status()processed_html self.html_preprocess(html_source)# 逐条匹配全部风险规则记录命中项for idx, rule in enumerate(RISK_RULES):if rule.search(processed_html):self.hit_count 1self.risk_hit_list.append(RISK_DESC[idx])# 风险等级分级判定if self.hit_count 3:risk_level 高风险疑似Laundry Bear蜂巢零点击APT恶意邮件立即隔离处置elif self.hit_count 1:risk_level 低风险存在可疑脚本特征需安全管理员人工复核源码else:risk_level 安全未检测到蜂巢零点击攻击载荷特征scan_result {命中风险特征总数: self.hit_count,风险特征明细清单: self.risk_hit_list,风险判定等级: risk_level}return scan_resultdef batch_scan_html_folder(self, folder_path: str) - List[Dict]:批量扫描指定文件夹内全部.html邮件样本文件batch_output []if not os.path.exists(folder_path):batch_output.append({提示: 目标文件夹路径不存在请检查路径输入})return batch_output# 遍历文件夹内所有HTML文件for file_name in os.listdir(folder_path):if file_name.lower().endswith(.html):full_file_path os.path.join(folder_path, file_name)try:with open(full_file_path, r, encodingutf-8, errorsignore) as f:mail_html f.read()single_res self.scan_single_html_mail(mail_html)single_res[邮件样本文件名] file_namebatch_output.append(single_res)except Exception as err_info:err_record {邮件样本文件名: file_name,风险判定等级: 文件读取解析失败需人工单独审计,异常详情: str(err_info)}batch_output.append(err_record)return batch_output# 程序交互入口适配运维人员本地离线使用if __name__ __main__:detector ZimbraBeehiveDetector()print( Zimbra蜂巢APT零点击邮件离线检测工具 V1.0 )print(功能1手动粘贴单份HTML邮件源码检测功能2批量扫描文件夹内HTML样本)mode_input input(请输入检测模式1/2)if mode_input 1:print(请粘贴完整HTML邮件源码输入#并回车结束内容录入)content_buffer []while True:line_input input()if line_input.strip() #:breakcontent_buffer.append(line_input)full_html_code \n.join(content_buffer)result detector.scan_single_html_mail(full_html_code)print(\n 单邮件完整检测报告 )for key, value in result.items():print(f{key}{value})elif mode_input 2:target_dir input(输入存放HTML邮件样本的文件夹完整路径)batch_results detector.batch_scan_html_folder(target_dir)for item in batch_results:print(\n----------------------------------------)for k, v in item.items():print(f{k}{v})else:print(输入模式编号错误程序正常退出)6.3 工具功能解析与 NCSC 样本实测验证6.3.1 核心模块功能说明HTML 预处理模块html_preprocess清除邮件源码多余空白、多行注释还原 AI 拆分切割的 SVG、script 恶意标签解决蜂巢载荷依靠注释混淆规避检测的核心痛点多规则特征匹配模块7 条正则完整覆盖 NCSC 预警披露的蜂巢载荷全部典型标识逐条记录命中风险成因运维人员可直观查看邮件可疑点审计报告信息完整分级风险判定逻辑以命中特征数量划分三级风险等级高风险邮件直接判定为 APT 攻击样本推送隔离处置流程双检测运行模式支持手动粘贴单份邮件源码实时检测也支持批量扫描文件夹完成历史邮件全域审计适配网关实时拦截、入侵后溯源审计两类核心场景轻量化无依赖设计仅使用 Python 内置 os、re 标准库无需额外安装第三方组件可部署在 Windows、Linux 邮件网关服务器满足 NCSC 提出的常态化网络监测低成本落地要求。6.3.2 NCSC 蜂巢恶意样本实测效果测试样本ITPro 转载 NCSC 预警附带的 Laundry Bear 原始恶意 HTML 邮件源码工具输出核心检测结果命中风险特征总数5风险特征明细清单SVG 标签绑定 onload 无交互自动执行事件蜂巢零点击核心载荷AI 注释拆分隐藏 SVG/script 恶意标签规避静态特征检测利用 CVE-2025-66376 漏洞 CSS import 指令注入可执行脚本存在超长 Base64 加密混淆脚本AI 辅助逃逸典型特征调用 Zimbra SOAP 接口批量窃取历史邮件、通讯录风险判定等级高风险疑似 Laundry Bear 蜂巢零点击 APT 恶意邮件立即隔离处置测试正常行业简报 HTML 业务邮件命中风险特征总数 0判定为安全无误报、漏报情况。反网络钓鱼技术专家芦笛指出该轻量化离线检测工具可弥补商用邮件网关对 AI 混淆 APT 载荷识别能力不足的短板运维团队可将脚本接入邮件入站处理流水线实现蜂巢零点击恶意邮件自动化拦截落实 NCSC 预警提出的提升网络监测能力核心缓解要求无需人工逐份审计邮件源码大幅降低 APT 攻击漏报概率。7 分层防御体系分场景落地实施路径结合 NCSC 预警缓解措施区分大型关键行业政企、中小型科研媒体企业、微型事业单位三类场景给出差异化落地步骤平衡防护效果、改造成本与运维人力投入。7.1 大型军工、政府、能源机构高防护等级NCSC 重点预警目标此类机构存储海量涉密通信资料需完整落地四层闭环防御体系分三个阶段限时实施紧急根源加固两周内完成全量升级 Zimbra 至修复版本永久关闭 Classic UI部署全站严格 CSP 策略运维团队每日巡检服务器漏洞补丁更新状态建立漏洞逾期整改问责机制网关自动化检测部署一个月内落地将本文 Python 检测工具封装为邮件网关预处理脚本所有入站 HTML 邮件先经过工具扫描高风险邮件直接隔离阻断配套采购商业邮件动态沙箱增加页面行为动态检测能力终端与应急体系完善季度优化通过域策略统一管控浏览器脚本权限EDR 配置境外批量数据外发专项告警规则建立专职安全处置小组制定 APT 入侵 2 小时应急响应预案每月开展零点击蜂巢攻击专项攻防演练同步落实 NCSC 全域网络监测要求。7.2 中小型科研、媒体、科技企业中等安全预算优先落地低成本、高收益核心防护措施分阶段推进适配有限运维人力第一阶段1 周内升级 Zimbra 服务端、关闭 Classic UI 界面完成漏洞根源加固消除零点击攻击基础载体第二阶段1 个月内部署离线 HTML 载荷检测工具每日批量扫描历史邮件样本排查是否存在已入侵蜂巢恶意邮件更新邮件网关过滤规则增加 SVG、CSS 脚本拦截关键词第三阶段季度优化配置 EDR 基础境外网络访问告警梳理研发、财务、行政等高风险岗位邮件访问权限关闭 Webmail 客户端自动渲染 HTML、自动加载图片功能。7.3 微型机构、小型事业单位低预算、运维人力匮乏无法投入商用安全设备、专职安全人员仅落地两项核心低成本措施即可大幅降低蜂巢攻击风险强制升级 Zimbra 至官方修复版本永久关闭 Classic 网页界面从源头切断 CVE-2025-66376 漏洞利用通道落实 NCSC 首要补丁修复建议运维人员每周使用离线载荷检测工具批量审计收件箱 HTML 邮件样本发现高风险样本立即删除并重置全部账户登录密码统一关闭邮件客户端自动渲染 HTML、自动加载图片功能。8 结语英国 NCSC 2026 年 7 月发布的联合预警完整披露俄罗斯国家背景 APT 组织 Laundry Bear 蜂巢零点击钓鱼攻击活动该攻击依托 Zimbra CVE-2025-66376 存储型 XSS 漏洞、AI 辅助载荷混淆逃逸技术实现无用户交互静默情报窃取标志国家级网络间谍攻击完成从 “社会工程诱导” 向 “服务端程序漏洞静默利用” 的技术跃迁彻底颠覆传统依托员工安全意识构建的反钓鱼防护逻辑。攻击先期在乌克兰政企完成长期实网测试优化定向打击国防、能源、政府、执法等高价值行业主体仅预览恶意 HTML 邮件即可批量窃取账户 90 天通信记录、全局通讯录、2FA 备份令牌并创建持久可控账户访问权限情报泄露窗口期长达数月对关键行业机构造成不可逆涉密信息损失。本文以 ITPro 刊发的 NCSC 官方预警报道为核心实证素材完整拆解 Laundry Bear 组织技术迭代三阶段路径、CVE-2025-66376 漏洞底层触发原理、AI 多层混淆逃逸手段、蜂巢脚本数据窃取与 Flowerbed 后端持久外发全链路系统剖析传统邮件安全设备、企业安全管理制度针对零点击 APT 攻击的多重结构性失效诱因构建 “服务器前置漏洞根治 - 邮件网关深度载荷检测 - 终端浏览器脚本隔离 - 入侵溯源标准化处置” 四层联动闭环防御架构完全匹配 NCSC 预警提出的补丁升级、提升网络监测能力两大核心缓解要求设计并实现一套轻量化离线 HTML 邮件载荷 Python 检测工具专门识别经 AI 多层混淆处理的蜂巢 APT 恶意载荷工具无第三方依赖、支持离线批量扫描适配各类政企邮件网关自动化检测与事后溯源审计场景。反网络钓鱼技术专家芦笛总结抵御蜂巢类零点击间谍钓鱼不存在单一简易防护手段服务器漏洞补丁修复是根本前提自动化邮件载荷深度检测是关键拦截屏障终端行为监控与标准化应急处置形成兜底保障多重技术措施协同落地才能构建完整有效防御闭环。本研究仍存在可拓展优化空间当前检测工具仅完成 HTML 静态特征解析后续可增加轻量模拟渲染模块识别更复杂动态 AI 混淆载荷可基于工具长期检测日志搭建机构专属 APT 威胁情报库自动提取同源蜂巢攻击模板实现批量同源攻击提前拦截针对移动端 Webmail 访问场景开发适配轻量化检测脚本覆盖多终端完整攻击面。在国家级 APT 持续迭代无交互漏洞攻击技术的长期行业趋势下弱化对用户安全意识依赖、强化服务端补丁管控与邮件内容自动化深度检测将成为政企机构抵御间谍类零点击钓鱼攻击的核心发展方向。编辑芦笛公共互联网反网络钓鱼工作组