# APT威脅 2026 年中報告：三大黑客組織新戰術全面分析
2026 年上半年，全球 APT（Advanced Persistent Threat）威脅格局出現重大變化。由中國國家支持嘅 APT41 擴展供應鏈攻擊範圍，到北韓 Lazarus Group 針對 Web3 同加密貨幣平台嘅新型 malware，再到俄羅斯 APT29（Cozy Bear）針對 Microsoft 365 同 Entra ID 嘅身份攻擊升級 — 企業安全團隊必須重新審視防禦策略。以下係三大 APT 組織嘅最新動態同防禦建議。
## APT威脅焦點一：APT41 供應鏈攻擊擴展到 DevOps 工具鏈
APT41（亦稱 Winnti Group / Barium）長期被認為係中國國家支持嘅網絡間諜組織，傳統上佢哋針對電訊、醫療同遊戲行業。但 2026 年 4 月，Mandiant 發表報告指出 APT41 嘅攻擊範圍已經擴展到 **DevOps 工具鏈**。
攻擊手法如下：
1. **入侵 CI/CD platform** — 透過 stolen credentials 或者 OAuth token phishing 打入 Jenkins、GitLab CI、GitHub Actions
2. **植入 malicious build scripts** — 喺 build process 入面 inject 後門 code，令最終 artifact 帶有 malware
3. **供應鏈擴散** — 因為目標係 software vendor，受感染嘅 software update 會自動擴散到 vendor 嘅所有客户
Palo Alto Networks Unit 42 喺 2026 年 5 月確認至少 3 間亞太區 software vendor 嘅 build pipeline 被入侵，受影響嘅 downstream customers 估計超過 200 間企業。
**防禦建議：**
– 實施 SLSA Level 3 build attestation，確保 artifact 完整性
– CI/CD 環境必須用 FIDO2 hardware key 做 MFA，唔可以用 SMS/App-based OTP
– 定期 audit build scripts 同 dependency changes
## APT威脅焦點二：Lazarus Group 進化 — Web3 攻擊進入 AI 時代
北韓 Lazarus Group（APT38）喺 2026 年展示咗令人憂慮嘅進化：佢哋開始用 **AI-generated phishing content** 針對 Web3 開發者同 DeFi platform。
2026 年 3 月，Lazarus 發動咗名為「Operation Dream Job 2.0」嘅攻擊 campaign：
– **AI 生成 job description** — 用 LLM 生成極度真實嘅 blockchain developer job posting，post 喺 LinkedIn、CryptoJobsList 同 Discord
– **Fake interview process** — 受害者經過 3-4 輪「面試」，期間被引導 download 含有 malware 嘅「coding test project」
– **Malware payload** — 最終 payload 係跨平台（Windows/macOS/Linux）嘅 Rust 編寫 malware，專偷 crypto wallet private key 同 browser session tokens
FBI 喺 2026 年 5 月發出 joint advisory，指出 Lazarus 透過呢個 campaign 已經竊取超過 **4 億美元**等值嘅加密資產，受害企業包括 3 間 DeFi protocol 同 1 間 centralized exchange。
**防禦建議：**
– 對所有 unsolicited job offer 保持極高警覺，尤其係要求 download 同 run code 嘅
– Crypto 企業必須實施 hardware wallet + multi-sig 做 treasury management
– 用 endpoint detection 監控 Rust/Go 等非傳統 malware 語言嘅 suspicious process
## APT威脅焦點三：APT29 身份攻擊升級 — Microsoft Entra ID 成為新戰場
俄羅斯 APT29（Cozy Bear / Midnight Blizzard）傳統上以 phishing 同 supply chain 攻擊聞名（SolarWinds 事件就係佢哋嘅代表作）。2026 年上半年，APT29 嘅攻擊重心轉移到 **雲端身份基礎設施**，特別係 Microsoft Entra ID（前身 Azure AD）。
攻擊鏈如下：
1. **Token theft via adversary-in-the-middle (AiTM)** — 用 Evilginx 類工具做 phishing proxy，steal session token 而唔係 password，bypass MFA
2. **Entra ID persistence** — 一旦獲得 access，建立 federated identity（SAML/OAuth app registration），就算 password reset 都唔會斷線
3. **Cross-tenant lateral movement** — 利用 B2B guest account 同 multi-tenant app 由一個 tenant 跳去另一個 tenant
Microsoft Threat Intelligence 喺 2026 年 6 月確認 APT29 已經成功 compromise 至少 5 間歐美政府機構嘅 Microsoft 365 tenant，全部係透過 AiTM phishing + Entra ID persistence 達成。
**防禦建議：**
– 實施 **Continuous Access Evaluation (CAE)** — 令 stolen token 喺 IP/location change 時自動失效
– 禁用 legacy authentication protocols（IMAP/POP/SMTP Auth）
– 定期 audit Entra ID app registrations 同 federation settings，detect unauthorized changes
– 部署 token protection policy（Microsoft 而家 preview 緊嘅新功能）
## APT威脅總結：2026 年防禦三大趨勢
| APT 組織 | 新戰術 | 主要目標 | 關鍵防禦 |
|———-|——–|———|———|
| APT41 | DevOps 供應鏈攻擊 | Software vendor CI/CD | SLSA attestation + FIDO2 MFA |
| Lazarus | AI phishing + 跨平台 malware | Web3/Crypto 企業 | Hardware wallet + EDR |
| APT29 | AiTM token theft + Entra ID | 政府/企業 M365 tenant | CAE + Token protection |
2026 年嘅 APT 威脅有一個共通點：**攻擊者唔再直接打 perimeter，而係打 identity 同 supply chain。** 傳統 firewall 同 antivirus 已經唔夠，企業必須投資喺 identity security、supply chain integrity 同 AI-assisted threat detection。
🔗 參考資料：NVD NIST 漏洞資料庫
記住：APT 攻擊唔係「會唔會中」，係「幾時中」。做好 detection 同 response plan，先係生存之道。
#APT威脅 #網絡安全 #威脅情報 #Lazarus #APT41 #APT29
