虚拟专用网络安装包“引狼入室”：疑似金眼狗（APT-Q-27）团伙的窃密行动
内容提要
金眼狗（奇安信内部编号APT-Q-27）是一个黑客团伙，针对东南亚博彩和海外华人群体。最近发现了伪装为快连VPN的恶意安装包，其中植入了定制版gh0st远控。详细分析了攻击流程和恶意代码特征。
延伸解读
攻击目标与团伙背景
金眼狗（APT-Q-27）主要针对东南亚博彩从业者、狗推人员及海外华人群体，其业务涵盖远控、挖矿和DDoS攻击。此次攻击伪装成快连VPN安装包，并关联到木马化的Telegram和Potato软件，显示出该团伙持续针对特定人群进行窃密活动。
攻击链与隐蔽技术
攻击者通过SEO优化使水坑网站出现在搜索结果首页，诱导用户下载恶意MSI安装包。安装包释放正常快连VPN程序以迷惑受害者，同时利用DLL侧加载技术解密并加载定制版gh0st远控木马。木马通过目录名后缀选择C2服务器，并支持多种远控指令和插件扩展，隐蔽性较高。
与历史攻击的关联
此次攻击中恶意代码特征与2020年针对东南亚博彩行业的钓鱼攻击高度相似，均利用DLL侧加载从.txt文件解密木马，且远控插件名称相同。同时，攻击手法与金眼狗历史活动重叠，如使用.txt文件加载木马、通过文件名控制执行逻辑，以及使用Telegram、Potato等恶意安装包，因此判断此次行动可能与金眼狗团伙有关。
防御建议与风险提示
用户应避免从非官方渠道下载软件，尤其是搜索引擎结果中的不明链接。安装软件时注意检查数字签名和文件来源，警惕释放异常文件的行为。企业可监控DLL侧加载和异常C2通信，及时更新威胁情报以防御此类攻击。
Q&A
金眼狗（APT-Q-27）团伙的主要攻击目标是什么？
金眼狗团伙主要针对东南亚博彩行业和海外华人群体。
金眼狗团伙使用了哪些攻击手法？
该团伙使用远控、挖矿和DDoS攻击等手法。
最近发现的恶意安装包是如何伪装的？
恶意安装包伪装成快连VPN，包含正常签名的软件和定制版gh0st远控。
金眼狗团伙的攻击流程是怎样的？
攻击流程包括通过搜索引擎优化引导用户下载恶意安装包，安装后植入木马。
此次攻击与2020年的钓鱼攻击有什么相似之处？
此次攻击的恶意代码特征与2020年针对东南亚博彩行业的钓鱼攻击高度相似。
攻击者是如何降低受害者警惕性的？
攻击者通过伪装正常软件和构建虚假软件下载网站来降低受害者的警惕性。
