企业官网建设流程全解析

本篇技术文章基于 Decepticon 技能库中的 APT33 对手模拟画像文件 apt33-elfin/SKILL.md，完整解析这一被多家安全厂商归因于伊朗国家支持的情报窃取组织（MITRE ATT&CK G0064，别名 Elfin、Peach Sandstorm、HOLMIUM）的攻击特征：归因与动机、行业/地域定向策略、历史关键战役、按 ATT&CK 战术分类的 TTP 映射、标志性工具与恶意软件清单。文章同时给出 Decepticon 框架下逐 TTP 的模拟实施指南（密码喷洒、.hta鱼叉钓鱼、Sliver C2、AzureHound/Roadtools 云侦察、凭据窃取、横向移动、分通道外传、防御规避与持久化），并结合仓库源码说明该画像作为“可加载技能”是如何被校验、索引和受 RoE 约束的，帮助读者在授权范围内完成一次可审计的威胁情报驱动紫队演练。

一、APT33 画像速览：这是一个什么样的威胁组织

画像文件位于技能树shared/adversary-emulation子域下，属于 对手模拟索引 所收录的 21 个 APT 组织画像之一（apt33-elfin行：别名 Peach Sandstorm、HOLMIUM，归因伊朗，动机“Espionage (destructive links)”，显著特征为航空航天与能源行业、海湾地区定向）。该索引文件定义了整个 adversary emulation 子域的方法论，而每个具体组织（如本文的 APT33）则是一个可独立加载的 profile 技能。

画像开头即给出 APT33 的核心定位：

• 组织身份：APT33（MITRE ATT&CKG0064；别名 Elfin、Peach Sandstorm、HOLMIUM、Refined Kitten），是一个疑似受伊朗国家支持的威胁组织，自 2013 年起实施网络间谍活动。
• 攻击重心：以鱼叉钓鱼（spearphishing）为起点的入侵，长期针对美国、沙特、韩国的航空航天、能源与石化行业；近年演化为大规模云身份攻击（cloud-identity attacks）。
• 工具策略：公开攻击工具与自研后门（custom backdoor）混用；与破坏性擦除器（wiper）恶意软件的关联处于“不同置信度下的关联”状态。

归因与动机（Attribution & motivation）

• 疑似支持方 / 国家：伊朗。FireEye/Mandiant 评估认为 APT33 受伊朗政府指使运作，并报告了将组织与伊朗“Nasr Institute”（关联网络战行动的伊朗机构）相联系的证据；Microsoft 将该行为体追踪为Peach Sandstorm，同样归因于伊朗国家利益。
• 主要动机：与伊朗国家利益（航空航天、国防、能源）对齐的战略级间谍活动 / 情报收集。Microsoft 评估 2023 年的密码喷洒（password-spray）行动很可能旨在支撑伊朗国家目标的情报收集。
• 次要 / 破坏性维度：APT33 被关联到StoneDrill擦除器，后者与 2012 年攻击沙特阿美（Saudi Aramco）和 RasGas 的 Shamoon 家族相似。破坏性关联的置信度低于间谍归因——Kaspersky 与 FireEye 均指出，Shamoon 与 StoneDrill 的操作方是否为同一组织（或仅是利益/地区一致）尚无定论。因此任何破坏性能力声明都应视为“plausible-but-unconfirmed”（可信但未证实）。
• 归因置信度：对“伊朗国家支持的间谍活动”为中高（FireEye/Mandiant、Symantec、Microsoft 等多家独立厂商收敛）；对破坏性/wiper 归因则较低。

定向策略（Targeting）

• 行业：航空航天（军用与商用）、与石化生产相关的能源行业（Mandiant 2017）；化工、工程、制造、咨询、金融、电信、研究与政府（Symantec 2019）。近期扩展至：卫星、国防、国防工业基地（DIB）、制药、通信、油气与政府（Microsoft 2023–2024）。
• 地域：历史上集中于沙特（Symantec 归因约 42% 的 2016 年以来 Elfin 攻击观察样本）与美国（含财富 500 强公司），另有韩国。近期 Peach Sandstorm 行动已全球化，覆盖美国与阿联酋。
• 受害者画像：对伊朗具战略利益的组织——航空航天/国防承包商及其供应链分包商、能源/石化运营商、卫星/通信服务商。鱼叉钓鱼常以招聘/求职主题诱饵针对航空相关岗位的个人。

标志性战役时间线（Notable campaigns）

二、TTP 全景：按 ATT&CK 战术组织的 APT33 技术清单

画像的正文核心是一张“战术 → ATT&CK 技术 ID → APT33 具体做法”的映射表。这份映射既是情报摘要，也是 Decepticon 模拟时的“技术白名单”——方法论要求只使用该组织已知用过的技术。以下完整继承画像中的全部映射：

初始访问（Initial Access）

• T1566.001— Spearphishing Attachment：鱼叉邮件投递压缩包附件。
• T1566.002— Spearphishing Link：邮件链接指向恶意.htaHTML Application 文件（招聘/求职诱饵）。
• T1110.003— Password Spraying：对云/互联网暴露认证点的大规模喷洒以获取初始立足点（2023 Peach Sandstorm，low-and-slow 节奏，go-http-clientUser-Agent）。
• T1078/T1078.004— Valid Accounts（含 Cloud Accounts）：使用被盗凭据，含 Office 365 / Microsoft 365 账户（历史上配合 Ruler 工具）。
• T1203— Exploitation for Client Execution：WinRARCVE-2018-20250与 OutlookCVE-2017-11774。

执行（Execution）

• T1059.001— PowerShell：从 C2 下载并运行脚本。
• T1059.005— Visual Basic：VBScript 启动载荷投递。
• T1204.001/T1204.002— User Execution（恶意链接/恶意文件）：诱使用户点击.hta链接或打开恶意附件。

持久化（Persistence）

• T1547.001— Registry Run Keys：DarkComet 风格的自启动注册表持久化。
• T1546.003— WMI Event Subscription：WMI 订阅持久化。
• T1053.005— Scheduled Task：计划任务每天多次触发执行.vbe。

权限提升（Privilege Escalation）

• T1068— Exploitation for Privilege Escalation：CVE-2017-0213。
• T1078— Valid Accounts：同样用于在合法/提权上下文中运行。

防御规避（Defense Evasion）

• T1132.001— Standard Encoding：Base64 编码的 C2 流量。
• T1027.013— Obfuscated/Encoded File：Base64 编码载荷。
• （2024 Tickler）通过合法 Windows 二进制进行 DLL sideloading，使持久化混入可信进程。

凭据访问（Credential Access）

• T1003.001— LSASS Memory：LaZagne、Mimikatz、ProcDump。
• T1003.004— LSA Secrets：LaZagne。
• T1003.005— Cached Domain Credentials：LaZagne。
• T1555/T1555.003— Credentials from Password Stores / Web Browsers：LaZagne。
• T1040— Network Sniffing：SniffPass 捕获凭据。
• T1552.001— Credentials In Files：LaZagne 文件型凭据发现。
• T1552.006— Group Policy Preferences：Gpppassword 恢复 GPP 存储的凭据。

发现（Discovery）

• Active Directory 与 Microsoft Entra ID 侦察：认证成功后对云租户使用 AzureHound（经由 Microsoft Graph / Azure REST API）与 Roadtools；本地环境拉取 AD 快照（AD snapshot）。

横向移动（Lateral Movement）

• 初始失陷后基于 SMB 的跨网络传播（2024 Peach Sandstorm）；曾尝试部署 AnyDesk 远程管理工具获取访问。

收集（Collection）

• T1560.001— Archive via Utility：WinRAR 压缩数据后再外传。
• T0852（ICS 矩阵）— Screen Capture：后门内置截屏能力。

命令与控制（Command and Control）

• T1071.001— Web Protocols：HTTP 承载 C2。
• T1573.001— Symmetric Cryptography：AES 加密 C2 通道。
• T1571— Non-Standard Port：TCP 808 / 880 端口的 HTTP。
• T1105— Ingress Tool Transfer：从 C2 下载附加文件/程序。
• （2024）位于虚假 Azure 订阅下的 Azure App Service 应用（如*.azurewebsites.net）作为 C2 节点。

外传（Exfiltration）

• T1048.003— Exfiltration Over Alternative Protocol：使用独立于 C2 通道的 FTP 通道外传文件。

影响（Impact）

• StoneDrill（S0380）擦除能力——与 APT33 关联活动挂钩的破坏性磁盘擦除（归因置信度较低，与 Shamoon 概念相关）。

资源开发 / ICS 邻接（Resource Development）

• T1588.002— Obtain Capabilities (Tool)：获取公开可用的攻击工具。
• T0853（ICS）— Scripting：PowerShell 用于 C2 与文件安装。
• T0865（ICS）— Spearphishing Attachment：内嵌恶意代码的.hta文件。

三、标志性工具与恶意软件清单

画像将 APT33 的工具链分为自研与公开/两用两类（括号为 ATT&CK 软件 ID）：

自研家族：

• TURNEDUP（S0198/backdoor — RAT，S0199）
• NanoCore（S0336）
• NETWIRE（S0198）
• POWERTON（S0371，PowerShell 后门）
• PoshC2（S0378）
• AutoIt backdoor（S0129）
• DEADWOOD（S1134，2019）
• StoneDrill（S0380，擦除器）
• 较新的自研后门：FalseFont（2023，DIB 目标）与Tickler（2024，多阶段、Azure 支撑）。

公开可用 / 两用工具：Mimikatz（S0002）、LaZagne（S0349）、PowerSploit（S0194）、Empire（S0363）、Pupy（S0192）、Ruler（S0358，Outlook/O365）、ftp（S0095）、Net（S0039）、ProcDump、SniffPass、Gpppassword、AzureHound、Roadtools，以及被滥用的AnyDesk（RMM）。

仓库内还维护一份 CVE-to-APT 映射参考，把在野利用的 CVE 与威胁组织对应起来（例如 CVE-2017-0199 Office HTA handler 被 APT28、APT34、Lazarus、Patchwork、SideWinder 等多个组织广泛采用），可作为 APT33.hta/HTA 技术情报的交叉印证。

四、Decepticon 模拟实施指南：逐 TTP 复现 APT33 攻击链

画像的“Emulation guidance (Decepticon)”章节是整个 profile 的落地核心，把 APT33 的标志性攻击链一一映射到 Decepticon 自身的能力上。以下完整保留该指南并补充仓库中对应技能的说明。

仅限授权使用：必须在任务的书面范围（scope）、目标清单与交战规则（RoE）内执行这些模拟。破坏性/wiper TTP永远不得对客户系统执行——Impact 只能通过有文档记录的可逆标记（reversible markers）模拟，或默认视为超出范围。

4.1 初始访问：密码喷洒 + 云合法账户（T1110.003+T1078.004）

这是现代 APT33 的签名技术。指南要求：使用 Decepticon 的云技能，对任务授权的 M365/Entra ID 租户执行 low-and-slow 喷洒，使用自定义 User-Agent 与“感知锁定阈值”的节流（lockout-aware throttling），镜像go-http-client的低流量模式；配合任务授权的凭据清单执行；避免触发账户锁定以保持在范围内。

Decepticon 仓库中与之配套的是 entra-enum 技能：它在任何认证尝试之前先做未认证的租户发现（OpenID config 获取 tenant ID、GetUserRealm判断联邦类型、autodiscover 提示联合 IdP、登录响应码枚举用户——AADSTS50126表示有效用户、AADSTS50053表示已锁定、AADSTS50034表示用户不存在），认证后叠加 ROADtools（roadrecon）、AADInternals、MSGraph 等枚举。先侦察、后喷洒的顺序正是把 APT33 的 2023 年 TTP 翻译成 Decepticon 工具调用的方式。

4.2 初始访问：鱼叉钓鱼（T1566.001/.002、T1204）

若钓鱼在范围内：通过任务认可的钓鱼测试平台（sanctioned phishing harness）模拟以招聘/求职为主题、携带.hta/压缩包附件的诱饵；否则，通过“假设已存在立足点”（assume a foothold）来模拟投递后的效果。

4.3 执行 / 载荷落地（T1059.001、T1105）

使用 Decepticon 的 bash/PowerShell 工具从自己的 redirector 拉取并执行 stager，镜像 APT33 的“PowerShell download-and-execute”模式。

4.4 C2：用 Sliver 高保真复刻

这是画像中最具操作细节的一段：

1. 架设 SliverHTTP listener（对应T1071.001Web Protocols）；
2. 启用对称加密传输（对应T1573.001Symmetric Cryptography，AES）；
3. 绑定到类似 808/880 的非标准端口（对应T1571Non-Standard Port）。
4. 高保真云模拟：经云团队批准后，将 C2 前置在授权的 Azure App Service /*.azurewebsites.netredirector 之后，复刻 Tickler 的基础设施模式。

仓库中的 c2-sliver 技能 正是这一能力的载体：托管运行时通过c2_ensure按需提供 engagement 隔离的 E2B Sliver companion，并暴露sliver_start_http_listener、sliver_generate_implant、sliver_list_sessions、sliver_list_beacons等 MCP 工具；其 frontmatter 中声明的mitre_attack: T1071, T1573, T1090, T1105, T1572与 APT33 画像 C2 段的 TTP 高度重合，说明两套技能文档在 ATT&CK 层面对接一致。独立（standalone OSS）部署下，Sliver server 运行在sandbox-net上的c2-sliver容器（daemon 模式，gRPC 31337 端口），客户端使用预生成的 operator config（/workspace/.sliver-configs/decepticon.cfg），在专用 tmux session 中交互式操作。

4.5 云 / AD 发现：AzureHound / Roadtools / AD 快照

使用 Decepticon 的云与 AD 技能，经 Graph/Azure REST 枚举 Entra ID（AzureHound 风格），并在本地拉取 AD 快照 / BloodHound 收集——这正是 APT33 认证后执行的侦察动作，与 Microsoft 2023 报告的密码喷洒后行为一致。

4.6 凭据访问（T1003.001/.004/.005、T1555、T1552.006）

通过防御规避/凭据工作流模拟 LSASS 转储（Mimikatz/ProcDump 风格）、LaZagne 风格的凭据存储收割、GPP 密码恢复——并将每个产物记录给 blue cell（蓝队遥测组件），用于度量检测效果。

4.7 横向移动（T1078、SMB）

使用 Decepticon 的 lateral-movement 技能，基于 SMB 以恢复的合法账户做传播；若 RMM 滥用也在范围内，可选项模拟 AnyDesk RMM 部署。

4.8 收集与外传（T1560.001、T1048.003）

用 WinRAR 等价工具压缩已暂存数据，然后经由独立于 C2 的 FTP 通道外传——刻意复刻 APT33 的“分通道”（split-channel）模式，这也是蓝队检测规则应覆盖的盲区。

4.9 防御规避（T1132.001、T1027.013、DLL sideloading）

对任务指令/载荷做 Base64 编码；针对良性合法二进制模拟 DLL sideloading，检验 blue cell 的 sideload 检测能力（对应 2024 Tickler 的手法）。

4.10 持久化（T1547.001、T1546.003、T1053.005）

按 APT33 的做法植入 Run 键、WMI 事件订阅、以及一天多次触发的重复计划任务（.vbe）——每一种都需完整记录，以便干净拆除（teardown）。

4.11 范围约束的机制保障

画像反复强调“written scope / RoE”，这不是口号。从源码结构看，Decepticon 有两道机制兜底：

• RoE 护栏中间件：roe.py 位于 LLM 与工具面之间，每次bash（及其他工具）调用都会对照任务的roe.json:machine_enforcement块评估，产出 PASS（audit 模式记录放行）、WARN（记录并在工具返回中追加 SystemMessage，调用仍执行）或 REFUSE（enforce 模式下以[ROE_REFUSED]ToolMessage 短路工具调用）。所有决策（含 PASS）都会落入 HMAC 链式审计账本（RoEAuditSink），作为“agent 尝试了什么、什么被批准、什么被拦截”的法务级记录。
• 沙箱网络出口是权威边界：从 roe.py 的模块 docstring 可见，命令解析只是快速失败的 UX 信号；真正的范围边界是沙箱网络 egress（middleware/egress.py的 DNS 白名单 + nftables connect 白名单），与 RoE 从同一份machine_enforcement规则编译而来——“一份范围定义，两个执行点”。因此 APT33 画像中“避免锁定”“分通道外传”等操作即使在解析层被绕过，也受出口白名单约束。

此外，画像方法论要求“把选择记录进 OPPLAN”（见 adversary-emulation 索引 的五步法），并在每条 finding 中引用 ATT&CK ID——配套的 kill-chain-analysis 技能 提供攻击向量选择与阶段切换的决策框架（例如把“O365 密码喷洒”列为中等概率、高影响、高噪声的向量排序项），保证模拟过程是可复盘、可审计的。

五、蓝队视角：检测与防御建议

画像最后给出面向蓝队的完整检测清单，这也是紫队演练的“评分表”——每个检测项对应一条要复现的 TTP：

• 密码喷洒 / 云身份（T1110.003、T1078.004）：强制抗钓鱼 MFA、条件访问与风险型登录策略；对来自单一/少量源 IP 的高频认证失败、异常 User-Agent（如go-http-client）、impossible-travel 告警；监控虚假 Azure 订阅创建与意外 Azure App Service 部署。
• 鱼叉钓鱼 /.hta（T1566、T1204）：在网关阻断/检查.hta与压缩包附件；可行时禁用mshta.exe；针对招聘主题诱饵做用户意识培训。
• 漏洞利用（T1203、T1068）：修补 WinRAR（CVE-2018-20250）、Outlook（CVE-2017-11774）、Windows（CVE-2017-0213）；限制遗留归档工具。
• 云/AD 侦察（AzureHound/Roadtools）：监控新认证主体发起的 Microsoft Graph / Azure REST 枚举尖峰；对批量目录读取与 AD 快照 /ntds类访问告警。
• 凭据访问（T1003.x）：启用 LSASS 保护（PPL / Credential Guard）；对 ProcDump/Mimikatz 的 LSASS 句柄访问告警；清理 GPP 密码（KB2962486）。
• 持久化（T1547.001、T1546.003、T1053.005）：基线化 Run 键、WMI 事件订阅与计划任务；对由.vbe/.hta派生的任务创建告警。
• C2 / 外传（T1071.001、T1571、T1573.001、T1048.003）：检查非标准端口（808/880）上的 HTTP；对长期信标且非业务用途的*.azurewebsites.net流量告警；对外部非批准主机的出站 FTP 告警。
• 横向移动 / RMM：检测异常 SMB 管理共享写入与未授权的 AnyDesk/RMM 安装。
• 影响（wiper）：鉴于 StoneDrill/Shamoon 邻接风险，维护经过验证的离线备份与针对批量文件覆写 / MBR 篡改的 EDR 规则。

六、画像在 Decepticon 中的技术落地：校验、索引与检索

这份 APT33 画像不是普通文档，而是被 Decepticon 技能基础设施严格治理的一等公民。理解其结构有助于读者复用同一模式编写其他组织画像。

6.1 Frontmatter 结构与硬性校验规则

画像头部是一个 YAML frontmatter 块，字段包括：

• name: apt33-elfin—— 技能唯一标识；
• description—— 一句话描述组织身份与 ATT&CK 映射关系；
• allowed-tools: Bash Read Write—— 该技能允许调用的工具面；
• metadata.subdomain: adversary-emulation—— 技能子域分类；
• metadata.when_to_use—— 路由用关键词串（APT33、Elfin、Peach Sandstorm、G0064、aviation、password spray、FalseFont、Tickler 等），供技能检索命中；
• metadata.tags—— 主题标签；
• metadata.mitre_attack—— 一行 CSV 列出该组织全部 30 余个 ATT&CK 技术 ID。

skill_audit/rules.py 定义了每个 SKILL.md 的校验规则，逐条对应画像头部字段：

• R-parse-error：frontmatter 必须由 frontmatter.py 的正则切分并成功yaml.safe_load，否则报错；
• R-missing-required：顶层必须有name、description，且metadata必须含subdomain、when_to_use——画像四项齐备；
• R-bad-subdomain：subdomain必须是规范值或其别名（adversary-emulation属规范子域）；
• R-no-attribution：攻击性路径下的技能必须提供mitre_attack、aatmf_tactic或upstream_ref之一——APT33 画像以 30+ 个mitre_attackID 满足该归因要求，这正是“威胁情报驱动”技能区别于随意脚本的硬性门槛。

6.2 MITRE ID 的三命名空间分类

mitre.py 中classify_mitre_id()用三条正则区分 ID 命名空间：

• Enterprise/Mobile：^T\d{4}(\.\d{3})?$（画像中绝大多数，如T1110.003）；
• ICS：^T0\d{3}(\.\d{3})?$（画像中T0852、T0853、T0865属此类）；
• ATLAS：^AML\.T\d{4}(\.\d{3})?$。

匹配失败则报R-bad-mitre-format。APT33 画像同时覆盖 Enterprise 与 ICS 两个命名空间（截屏、脚本、ICS 鱼叉附件），恰好演示了该分类器的双分支路径。

6.3 从 SKILL.md 到图节点：mitre_attack 如何被索引

从 skillogy/builder/skills.py 的构建逻辑看，构建器遍历 skills 根目录下的所有SKILL.md，解析 frontmatter 后为每个技能生成:Skill图节点，节点属性包含name、path、description、正文及content_sha256、subdomain、when_to_use、allowed_tools，并把mitre_attack列表存入mitre_attack_raw属性（Phase 1a 中作为 raw 保留，留待后续提升为 IMPLEMENTS 边）。这意味着 APT33 画像的 30+ 个技术 ID 成为图谱中可被traverse等工具关联查询的结构化数据——按技术 ID 反查“哪些技能可模拟 APT33 的T1110.003”是可行的。配套的 ATT&CK Group Registry 实施计划 进一步描述了离线 MITRE STIX 导入器将intrusion-set对象解析为:ThreatActor节点（以G0064这类组 ID 为键）并建立USES_TECHNIQUE边的机制——组织画像与 MITRE 官方数据在图谱层面双向锚定。

6.4 加载方式与角色 ACL

方法论索引给出的加载方式是一行命令：load_skill apt33-elfin。从 ADR-0008 可见，load_skill/find_skill/traverse三个工具受路径前缀 ACL 约束：agent 只能读取skills_sources_for(role)解析出的前缀（默认/skills/standard/{role}/与/skills/shared/）内的技能。由于 APT33 画像位于skills/shared/，各阶段角色 agent 均可加载；而load_skill对前缀外的路径返回“未找到”而非越权报错，保持了干净的失败语义。这也解释了为什么 adversary-emulation 画像被放在shared子树而非某个角色目录——对手模拟是跨阶段能力，从 OPPLAN 规划到后渗透都要引用同一份 TTP 白名单。

七、小结：为什么这份画像值得直接照做

1. 情报完整且可溯源：归因、定向、战役时间线、30+ 技术 ID 映射、工具/软件 ID 清单齐备，且每条战役都标注了厂商报告出处（Mandiant 2017、Symantec 2019、Microsoft 2023/2024 等公开通告），符合“ATT&CK 技术 ID 是唯一事实源，情报过期时回查 ATT&CK 官方组页面”的索引约定。
2. 模拟指南可直接执行：每个 TTP 都落到 Decepticon 的具体技能（entra-enum、c2-sliver、lateral-movement、凭据工作流等），并显式区分“范围内执行 / 假设立足点 / 禁止执行（wiper）”三档，把破坏性技术的“non-destructive proof”原则写进了 Impact 条目。
3. 机制兜底：skill_audit校验器保证画像格式与 MITRE ID 归因合规；RoE 中间件 + 沙箱 egress 双点强制范围约束；审计账本记录每一次工具调用——模拟过程本身即符合授权红队的合规要求。
4. 蓝队收益明确：检测与防御清单与 TTP 一一对应，紫队可按“是否被 blue cell 检测/阻断”逐项计分（方法论第 5 步的 MTTD 度量），最终报告把每个结果绑定到被模拟组织 + ATT&CK 技术 ID。

对读者而言，若需要在自己的授权演练中复刻“密码喷洒 → 云侦察 → 凭据收割 → SMB 横向 → 分通道外传”这条 2023–2024 年 APT33 的主流路径，这份画像加上一条load_skill apt33-elfin就是完整的作战底稿。

适用前提与限制：本文章所述画像与流程均服务于已签署书面授权的渗透测试 / 紫队演练；所有 TTP 复现必须落在任务 RoE 与沙箱出口白名单之内，破坏性（Impact）技术仅允许以可逆标记形式模拟。画像中的情报陈述继承自 MITRE ATT&CK 组页面（G0064）与 Mandiant、Symantec、Microsoft、Kaspersky 等厂商的公开通告（画像原文 Sources 一节列有完整出处），组织归因类结论（尤其破坏性关联）应始终携带其标注的置信度限定。