ESET：Webworm通过Discord和Microsoft Graph部署新型后门，针对欧洲政府机构

网络安全公司 ESET 在最新研究中披露，一个被称为 Webworm 的高级持续性威胁（APT）组织正在升级其网络间谍工具集。研究人员在2025年的活动分析中发现，该组织开发了新的后门程序，并将其通信隐藏在常见云平台中，从而显著提高了隐蔽性。

这些新工具的核心是两个后门：EchoCreep 和 GraphWorm。它们通过被广泛信任的在线服务进行指挥与控制（Command and Control，简称 C2），并协助攻击者在受害网络中移动数据。

两个新的云平台后门

ESET在调查中识别出两款定制恶意工具：

EchoCreep

• 一个以 Discord 为通信通道的后门。
• 受感染设备可以通过Discord消息接收攻击者命令、上传文件并发送运行状态报告。

GraphWorm

• 使用 Microsoft Graph API 与攻击者基础设施通信的后门。
• Microsoft Graph API 是 Microsoft 365 的核心接口，允许程序访问邮件、文件和用户数据，因此恶意流量可以混入正常企业通信中。

在分析该行动时，ESET研究人员还解密了 400多条与攻击行动相关的Discord消息，从中观察到攻击者如何远程控制受害设备并管理窃取的数据。

利用合法云服务隐藏攻击

Webworm行动的关键策略之一，是把恶意操作嵌入企业常用的云服务中。研究人员指出，该组织滥用了多种合法平台来掩盖活动，例如：

• Discord：作为EchoCreep的指挥控制通信渠道。
• Microsoft Graph API：GraphWorm通过该接口与Microsoft 365环境交互。
• Microsoft OneDrive：用于存储或转移窃取的数据与操作文件。
• GitHub：被用作攻击基础设施的一部分，例如托管代码或通信组件。

这种策略让防御变得复杂。因为这些服务在企业网络中本来就是常见且合法的，安全团队通常不可能直接封禁 Microsoft 365 或 Discord，这给攻击者提供了长期隐蔽的通信渠道。

欧洲政府成为重点目标

根据ESET的调查，Webworm近期将目标重心从亚洲扩展到 欧洲政府机构。

2025年观测到的受害国家包括：

• 比利时
• 意大利
• 波兰
• 塞尔维亚
• 西班牙

研究人员还发现与 南非一所大学 相关的活动，表明该行动并不限于欧洲。

目前公开报告只披露了受害国家和机构类型，但没有公布具体的政府部门名称。

从传统木马转向更隐蔽的工具

Webworm至少从 2022年 就开始活跃。早期行动中，该组织主要依赖传统远程控制木马，例如 Trochilus 和 9002 RAT（McRat）。

不过ESET指出，该组织近年逐渐改变策略：

• 减少使用功能完整的RAT木马
• 更多使用 代理工具、网络隧道和轻量级后门

这种变化带来几个优势：

• 在受感染系统上的恶意代码更少
• 网络流量更接近正常业务通信
• 更难被杀毒软件或终端安全系统识别

结合云平台通信，这些工具可以在被入侵网络中保持长期潜伏，同时降低被发现的概率。

为什么这种攻击更难发现

Webworm的行动反映了一个正在扩大的网络间谍趋势：把攻击隐藏在正常云服务中。

当恶意通信通过 Discord、OneDrive 或 Microsoft 的API发送时，安全系统必须区分“合法使用”与“恶意使用”。由于企业依赖这些平台开展日常工作，直接封禁往往不可行，这给攻击者带来了明显优势。

ESET认为，这类 云原生命令控制通道和代理式工具 的组合，将使未来的网络间谍行动更加隐蔽，也迫使防御方更多依赖行为分析、身份监控和异常检测等高级防护技术。