https://blog.qife122.com/tags/ta829/ Recent content in TA829 on 办公AI智能小助手 Hugo zh-cn qife Fri, 31 Oct 2025 04:13:56 +0800 https://blog.qife122.com/p/%E5%A8%81%E8%83%81%E5%BD%92%E5%9B%A0%E5%88%86%E6%9E%90romcom%E4%B8%8Etransferloader%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E6%B4%BB%E5%8A%A8%E5%AF%B9%E6%AF%94/ Fri, 31 Oct 2025 04:13:56 +0800 https://blog.qife122.com/p/%E5%A8%81%E8%83%81%E5%BD%92%E5%9B%A0%E5%88%86%E6%9E%90romcom%E4%B8%8Etransferloader%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E6%B4%BB%E5%8A%A8%E5%AF%B9%E6%AF%94/ <h1 id="10-things-i-hate-about-attribution-romcom-vs-transferloader">10 Things I Hate About Attribution: RomCom vs. TransferLoader</h1> <h2 id="关键要点">关键要点</h2> <ul> <li>TA829同时进行间谍活动和网络犯罪操作，依赖犯罪地下市场服务，并基于传统RomCom后门构建定期更新的工具套件</li> <li>Proofpoint观察到高度相似的电子邮件活动和重定向基础设施设置，这些活动部署了名为TransferLoader的新加载器和后门</li> <li>目前Proofpoint将TransferLoader活动归因于名为“UNK_GreenSec”的独立网络犯罪集群，而非TA829</li> <li>本博客展示分析师如何探索两组活动之间的差异和重叠，并对这两个集群在更大犯罪和间谍生态系统中的关系提出开放式问题</li> </ul> <h2 id="概述">概述</h2> <p>大多数情况下，可以根据不同的战术、技术和程序(TTP)、工具、数量/规模和目标来划分不同集群的活动，并将网络犯罪与间谍活动分开。然而，在TA829和Proofpoint称为“UNK_GreenSec”的集群案例中，存在更多模糊性。TA829是一个网络犯罪行为者，偶尔也进行符合俄罗斯国家利益的间谍活动，而UNK_GreenSec是一个不寻常的网络犯罪集群。</p>