数字取证与事件响应（DFIR）技术聚焦

本周，数字取证与事件响应（DFIR）领域发布了大量技术性文章、研究报告和工具更新，内容深入涉及内存分析、日志关联、威胁追踪、恶意软件分析和各类专业工具的使用。

数字取证技术深入探讨

• 内存取证：多篇文章探讨了Windows和Linux系统的内存分析技术。Hexacorn发布了关于过去取证技术的回顾；Cerbero发布了“Memory Challenge 3: Invisible”；Ogmini分析了Gmail应用的IMAP账户残留物；Elcomsoft发布了提取Apple统一日志的指南；Iram Jack则提供了Linux内存分析的内容。
• 日志分析与事件关联：Hexacorn强调了日志分析中关联的重要性，而不仅仅是了解单一日志。OSINT Team发表文章，探讨了如何利用NTFS USN日志跟踪文件系统活动。
• Windows系统取证：Securelist的Kirill Magaskin详细分析了Windows 10生命周期结束（EOL）后，Windows 11可能带来的新的取证残留物（artifacts）。
• 工具与脚本：多位研究者分享了实用的工具和脚本。例如，Christopher Eng分享了用于取证的ADB脚本 adb-pull-stat.py；Forensafe发布了Magnet Virtual Summit 2025 CTF（Windows版）的解题方法；Hexacorn揭示了 help.exe、nslookup.exe 和 wsreset.exe 等系统工具的一些不为人知的秘密。
• 专业工作流程：Lucy Carey-Shields发布了关于使用Amped FIVE进行法证视频工作流的第二部分——视频证据分析。

威胁情报与主动狩猎

本周的威胁情报内容具有极强的技术指向性，详细分析了攻击者的战术、技术与程序（TTPs）。

• 高级持续性威胁（APT）分析：多家安全厂商发布了针对APT组织的深度分析报告。ASEC分析了APT组织“Down”使用的“Larva-25010”恶意软件；CloudSEK深入分析了与伊朗伊斯兰革命卫队（IRGC）相关的APT35行动，特别是其恶意软件武器库和工具集；Securelist分析了新兴威胁“Mysterious Elephant”；Symantec分析了中国APT组织“Jewelbug”将其活动范围扩大至俄罗斯的情况。
• 勒索软件与恶意软件技术剖析：多篇文章对当前活跃的勒索软件和恶意软件进行了技术拆解。ASEC分析了使用选择性加密算法的Qilin勒索软件；Sekoia解构了“PolarEdge”后门；Synacktiv深入分析了名为“LinkPro”的eBPF rootkit；Zhassulan Zhussupov分享了为ARM架构（M1）编写反向Shell的简单汇编示例。
• 攻击链与漏洞利用：报告详细描述了从初始访问到数据渗漏的完整攻击链。Permiso的视频播客分析了攻击者如何利用被盗的OAuth令牌，从GitHub横向移动到AWS，再进入Salesforce。Palo Alto Networks发布了一份威胁简报，详细介绍了某民族国家行为者窃取F5源代码和未公开漏洞的事件。AttackIQ针对Oracle E-Business Suite的预认证远程代码执行漏洞（CVE-2025-61882）发布了响应指南。
• 云与供应链攻击：研究指出攻击正越来越多地瞄准云环境和软件供应链。Wiz的Rami McCarthy分析了Visual Studio Code扩展市场中一个关键的供应链风险。Google Cloud威胁情报团队报告称，朝鲜（DPRK）采用了名为“EtherHiding”的新技术，将恶意软件隐藏在区块链上。

恶意软件分析与逆向工程

本周有大量专注于恶意软件行为分析、逆向工程和检测技术的内容。

• 深度技术分析：Cerbero的Erik Pistelli发布了关于MSI格式包的分析；NVISO Labs的Jeroen Beckers分享了如何修补Android ARM64库初始化器，以便于进行Frida插桩和调试；White Knight Labs的Alan Sguigna对比了Microsoft WinDbg时间旅行调试与Intel处理器追踪技术。
• 新兴威胁与检测：Cyble报告了以远程工作为主题（RTO-themed）的Android恶意软件“GhostBat RAT”的 resurgence；Any.Run通过案例为SOC和MSSP团队提供了新的恶意软件战术检测技巧；Shubho57发布了对一个恶意APK文件的分析。

软件更新与工具发布

多家数字取证和安全公司发布了软件更新，引入了新功能并增强了现有能力。

• 综合取证平台：Cellebrite发布了2025年秋季更新，进入了数字调查和移动网络安全的新前沿。Belkasoft发布了Belkasoft X v.2.9版本。Elcomsoft将iOS取证工具包更新至8.80版本，增强了逻辑获取功能并添加了对Apple统一日志的支持。Passware发布了Passware Kit 2025 v4，新增了对Transcend便携式SSD的解锁支持。
• 专项工具：Amped发布了Amped FIVE Update 38827，带来了新的滤镜预设、项目快照以及对多种功能的改进。Logisek发布了用于Windows事件日志威胁狩猎的工具包“ThreatHunting”。X-Ways Forensics发布了多个版本更新（21.2 SR-13至21.6 Beta 7）。OpenCTI更新至6.8.6版本。MISP更新至2.5.23版本，增强了基准测试功能并修复了大量漏洞。

即将到来的活动与演示

• 多个组织宣布了即将举行的技术活动，包括Black Hills Information Security的每周新闻直播、Dragos主办的CTF 2025、Magnet Forensics关于工作场所调查中移动取证挑战的研讨会，以及Spur关于识别朝鲜（DPRK）在Zoom和Slack等SaaS平台中战术的演讲。