两个新的云平台后门

ESET在调查中识别出两款定制恶意工具：

EchoCreep

• 一个以 Discord 为通信通道的后门。
• 受感染设备可以通过Discord消息接收攻击者命令、上传文件并发送运行状态报告。

GraphWorm

• 使用 Microsoft Graph API 与攻击者基础设施通信的后门。
• Microsoft Graph API 是 Microsoft 365 的核心接口，允许程序访问邮件、文件和用户数据，因此恶意流量可以混入正常企业通信中。

在分析该行动时，ESET研究人员还解密了 400多条与攻击行动相关的Discord消息，从中观察到攻击者如何远程控制受害设备并管理窃取的数据。

利用合法云服务隐藏攻击

Webworm行动的关键策略之一，是把恶意操作嵌入企业常用的云服务中。研究人员指出，该组织滥用了多种合法平台来掩盖活动，例如：

• Discord：作为EchoCreep的指挥控制通信渠道。
• Microsoft Graph API：GraphWorm通过该接口与Microsoft 365环境交互。
• Microsoft OneDrive：用于存储或转移窃取的数据与操作文件。
• GitHub：被用作攻击基础设施的一部分，例如托管代码或通信组件。

这种策略让防御变得复杂。因为这些服务在企业网络中本来就是常见且合法的，安全团队通常不可能直接封禁 Microsoft 365 或 Discord，这给攻击者提供了长期隐蔽的通信渠道。

欧洲政府成为重点目标

根据ESET的调查，Webworm近期将目标重心从亚洲扩展到 欧洲政府机构。

2025年观测到的受害国家包括：

• 比利时
• 意大利
• 波兰
• 塞尔维亚
• 西班牙

研究人员还发现与 南非一所大学 相关的活动，表明该行动并不限于欧洲。

目前公开报告只披露了受害国家和机构类型，但没有公布具体的政府部门名称。

从传统木马转向更隐蔽的工具

Webworm至少从 2022年 就开始活跃。早期行动中，该组织主要依赖传统远程控制木马，例如 Trochilus 和 9002 RAT（McRat）。

不过ESET指出，该组织近年逐渐改变策略：

• 减少使用功能完整的RAT木马
• 更多使用 代理工具、网络隧道和轻量级后门

这种变化带来几个优势：

• 在受感染系统上的恶意代码更少
• 网络流量更接近正常业务通信
• 更难被杀毒软件或终端安全系统识别

结合云平台通信，这些工具可以在被入侵网络中保持长期潜伏，同时降低被发现的概率。

为什么这种攻击更难发现

Webworm的行动反映了一个正在扩大的网络间谍趋势：把攻击隐藏在正常云服务中。

当恶意通信通过 Discord、OneDrive 或 Microsoft 的API发送时，安全系统必须区分“合法使用”与“恶意使用”。由于企业依赖这些平台开展日常工作，直接封禁往往不可行，这给攻击者带来了明显优势。

ESET认为，这类 云原生命令控制通道和代理式工具 的组合，将使未来的网络间谍行动更加隐蔽，也迫使防御方更多依赖行为分析、身份监控和异常检测等高级防护技术。

两个新的云平台后门

ESET在调查中识别出两款定制恶意工具：

EchoCreep

• 一个以 Discord 为通信通道的后门。
• 受感染设备可以通过Discord消息接收攻击者命令、上传文件并发送运行状态报告。

GraphWorm

• 使用 Microsoft Graph API 与攻击者基础设施通信的后门。
• Microsoft Graph API 是 Microsoft 365 的核心接口，允许程序访问邮件、文件和用户数据，因此恶意流量可以混入正常企业通信中。

在分析该行动时，ESET研究人员还解密了 400多条与攻击行动相关的Discord消息，从中观察到攻击者如何远程控制受害设备并管理窃取的数据。

利用合法云服务隐藏攻击

Webworm行动的关键策略之一，是把恶意操作嵌入企业常用的云服务中。研究人员指出，该组织滥用了多种合法平台来掩盖活动，例如：

• Discord：作为EchoCreep的指挥控制通信渠道。
• Microsoft Graph API：GraphWorm通过该接口与Microsoft 365环境交互。
• Microsoft OneDrive：用于存储或转移窃取的数据与操作文件。
• GitHub：被用作攻击基础设施的一部分，例如托管代码或通信组件。

这种策略让防御变得复杂。因为这些服务在企业网络中本来就是常见且合法的，安全团队通常不可能直接封禁 Microsoft 365 或 Discord，这给攻击者提供了长期隐蔽的通信渠道。

欧洲政府成为重点目标

根据ESET的调查，Webworm近期将目标重心从亚洲扩展到 欧洲政府机构。

2025年观测到的受害国家包括：

• 比利时
• 意大利
• 波兰
• 塞尔维亚
• 西班牙

研究人员还发现与 南非一所大学 相关的活动，表明该行动并不限于欧洲。

目前公开报告只披露了受害国家和机构类型，但没有公布具体的政府部门名称。

从传统木马转向更隐蔽的工具

Webworm至少从 2022年 就开始活跃。早期行动中，该组织主要依赖传统远程控制木马，例如 Trochilus 和 9002 RAT（McRat）。

不过ESET指出，该组织近年逐渐改变策略：

• 减少使用功能完整的RAT木马
• 更多使用 代理工具、网络隧道和轻量级后门

这种变化带来几个优势：

• 在受感染系统上的恶意代码更少
• 网络流量更接近正常业务通信
• 更难被杀毒软件或终端安全系统识别

结合云平台通信，这些工具可以在被入侵网络中保持长期潜伏，同时降低被发现的概率。

为什么这种攻击更难发现

Webworm的行动反映了一个正在扩大的网络间谍趋势：把攻击隐藏在正常云服务中。

当恶意通信通过 Discord、OneDrive 或 Microsoft 的API发送时，安全系统必须区分“合法使用”与“恶意使用”。由于企业依赖这些平台开展日常工作，直接封禁往往不可行，这给攻击者带来了明显优势。

ESET认为，这类 云原生命令控制通道和代理式工具 的组合，将使未来的网络间谍行动更加隐蔽，也迫使防御方更多依赖行为分析、身份监控和异常检测等高级防护技术。