 对手模拟画像：ATTCK TTP 映射与红队全链路复现指南)
【免费下载链接】DecepticonAutonomous Hacking Agent for Red Team项目地址https://gitcode.com/gh_mirrors/de/Decepticon点击查看免费下载本篇技术文章基于 Decepticon 技能库中的 APT33 对手模拟画像文件 apt33-elfin/SKILL.md完整解析这一被多家安全厂商归因于伊朗国家支持的情报窃取组织MITRE ATTCK G0064别名 Elfin、Peach Sandstorm、HOLMIUM的攻击特征归因与动机、行业/地域定向策略、历史关键战役、按 ATTCK 战术分类的 TTP 映射、标志性工具与恶意软件清单。文章同时给出 Decepticon 框架下逐 TTP 的模拟实施指南密码喷洒、.hta鱼叉钓鱼、Sliver C2、AzureHound/Roadtools 云侦察、凭据窃取、横向移动、分通道外传、防御规避与持久化并结合仓库源码说明该画像作为“可加载技能”是如何被校验、索引和受 RoE 约束的帮助读者在授权范围内完成一次可审计的威胁情报驱动紫队演练。一、APT33 画像速览这是一个什么样的威胁组织画像文件位于技能树shared/adversary-emulation子域下属于 对手模拟索引 所收录的 21 个 APT 组织画像之一apt33-elfin行别名 Peach Sandstorm、HOLMIUM归因伊朗动机“Espionage (destructive links)”显著特征为航空航天与能源行业、海湾地区定向。该索引文件定义了整个 adversary emulation 子域的方法论而每个具体组织如本文的 APT33则是一个可独立加载的 profile 技能。画像开头即给出 APT33 的核心定位组织身份APT33MITRE ATTCKG0064别名 Elfin、Peach Sandstorm、HOLMIUM、Refined Kitten是一个疑似受伊朗国家支持的威胁组织自 2013 年起实施网络间谍活动。攻击重心以鱼叉钓鱼spearphishing为起点的入侵长期针对美国、沙特、韩国的航空航天、能源与石化行业近年演化为大规模云身份攻击cloud-identity attacks。工具策略公开攻击工具与自研后门custom backdoor混用与破坏性擦除器wiper恶意软件的关联处于“不同置信度下的关联”状态。归因与动机Attribution motivation疑似支持方 / 国家伊朗。FireEye/Mandiant 评估认为 APT33 受伊朗政府指使运作并报告了将组织与伊朗“Nasr Institute”关联网络战行动的伊朗机构相联系的证据Microsoft 将该行为体追踪为Peach Sandstorm同样归因于伊朗国家利益。主要动机与伊朗国家利益航空航天、国防、能源对齐的战略级间谍活动 / 情报收集。Microsoft 评估 2023 年的密码喷洒password-spray行动很可能旨在支撑伊朗国家目标的情报收集。次要 / 破坏性维度APT33 被关联到StoneDrill擦除器后者与 2012 年攻击沙特阿美Saudi Aramco和 RasGas 的 Shamoon 家族相似。破坏性关联的置信度低于间谍归因——Kaspersky 与 FireEye 均指出Shamoon 与 StoneDrill 的操作方是否为同一组织或仅是利益/地区一致尚无定论。因此任何破坏性能力声明都应视为“plausible-but-unconfirmed”可信但未证实。归因置信度对“伊朗国家支持的间谍活动”为中高FireEye/Mandiant、Symantec、Microsoft 等多家独立厂商收敛对破坏性/wiper 归因则较低。定向策略Targeting行业航空航天军用与商用、与石化生产相关的能源行业Mandiant 2017化工、工程、制造、咨询、金融、电信、研究与政府Symantec 2019。近期扩展至卫星、国防、国防工业基地DIB、制药、通信、油气与政府Microsoft 2023–2024。地域历史上集中于沙特Symantec 归因约 42% 的 2016 年以来 Elfin 攻击观察样本与美国含财富 500 强公司另有韩国。近期 Peach Sandstorm 行动已全球化覆盖美国与阿联酋。受害者画像对伊朗具战略利益的组织——航空航天/国防承包商及其供应链分包商、能源/石化运营商、卫星/通信服务商。鱼叉钓鱼常以招聘/求职主题诱饵针对航空相关岗位的个人。标志性战役时间线Notable campaigns时间事件来源报告2016 – 2017 年中入侵美国航空组织定向沙特航空持股商业集团与韩国炼油/石化公司2017 年 5 月诱饵伪装沙特石化企业职位空缺FireEye/Mandiant, APT33: Insights into Iranian Cyber Espionage, 2017-092017StoneDrill 擦除器披露针对中东与欧洲目标与 APT33 关联活动、与 Shamoon 概念相似Kaspersky/Securelist, From Shamoon to StoneDrill, 20172019-02Elfin 攻击沙特、美国等地约 50 家组织对沙特化工目标尝试利用CVE-2018-20250WinRAR ACESymantec, Elfin: Relentless Espionage Group, 2019-032023-02 ~ 2023-07大规模密码喷洒针对卫星、国防、制药行业数千组织成功后用 AzureHound/Roadtools 做 Entra ID 侦察Microsoft, Peach Sandstorm password spray campaigns, 2023-09-142023-11 ~ 12向 DIB 组织投递自研FalseFont后门远程访问、文件启动、C2 外传Microsoft / The Hacker News / BleepingComputer, 2023-122024-04 ~ 07部署多阶段Tickler后门针对卫星、通信、油气与美/乌政府目标滥用教育行业被盗账户创建的虚假 Azure 订阅托管 Azure App Service C2 节点并配合 LinkedIn 社工与 SMB 横向移动Microsoft, Peach Sandstorm deploys new custom Tickler malware, 2024-08-28二、TTP 全景按 ATTCK 战术组织的 APT33 技术清单画像的正文核心是一张“战术 → ATTCK 技术 ID → APT33 具体做法”的映射表。这份映射既是情报摘要也是 Decepticon 模拟时的“技术白名单”——方法论要求只使用该组织已知用过的技术。以下完整继承画像中的全部映射初始访问Initial AccessT1566.001— Spearphishing Attachment鱼叉邮件投递压缩包附件。T1566.002— Spearphishing Link邮件链接指向恶意.htaHTML Application 文件招聘/求职诱饵。T1110.003— Password Spraying对云/互联网暴露认证点的大规模喷洒以获取初始立足点2023 Peach Sandstormlow-and-slow 节奏go-http-clientUser-Agent。T1078/T1078.004— Valid Accounts含 Cloud Accounts使用被盗凭据含 Office 365 / Microsoft 365 账户历史上配合 Ruler 工具。T1203— Exploitation for Client ExecutionWinRARCVE-2018-20250与 OutlookCVE-2017-11774。执行ExecutionT1059.001— PowerShell从 C2 下载并运行脚本。T1059.005— Visual BasicVBScript 启动载荷投递。T1204.001/T1204.002— User Execution恶意链接/恶意文件诱使用户点击.hta链接或打开恶意附件。持久化PersistenceT1547.001— Registry Run KeysDarkComet 风格的自启动注册表持久化。T1546.003— WMI Event SubscriptionWMI 订阅持久化。T1053.005— Scheduled Task计划任务每天多次触发执行.vbe。权限提升Privilege EscalationT1068— Exploitation for Privilege EscalationCVE-2017-0213。T1078— Valid Accounts同样用于在合法/提权上下文中运行。防御规避Defense EvasionT1132.001— Standard EncodingBase64 编码的 C2 流量。T1027.013— Obfuscated/Encoded FileBase64 编码载荷。2024 Tickler通过合法 Windows 二进制进行 DLL sideloading使持久化混入可信进程。凭据访问Credential AccessT1003.001— LSASS MemoryLaZagne、Mimikatz、ProcDump。T1003.004— LSA SecretsLaZagne。T1003.005— Cached Domain CredentialsLaZagne。T1555/T1555.003— Credentials from Password Stores / Web BrowsersLaZagne。T1040— Network SniffingSniffPass 捕获凭据。T1552.001— Credentials In FilesLaZagne 文件型凭据发现。T1552.006— Group Policy PreferencesGpppassword 恢复 GPP 存储的凭据。发现DiscoveryActive Directory 与 Microsoft Entra ID 侦察认证成功后对云租户使用 AzureHound经由 Microsoft Graph / Azure REST API与 Roadtools本地环境拉取 AD 快照AD snapshot。横向移动Lateral Movement初始失陷后基于 SMB 的跨网络传播2024 Peach Sandstorm曾尝试部署 AnyDesk 远程管理工具获取访问。收集CollectionT1560.001— Archive via UtilityWinRAR 压缩数据后再外传。T0852ICS 矩阵— Screen Capture后门内置截屏能力。命令与控制Command and ControlT1071.001— Web ProtocolsHTTP 承载 C2。T1573.001— Symmetric CryptographyAES 加密 C2 通道。T1571— Non-Standard PortTCP 808 / 880 端口的 HTTP。T1105— Ingress Tool Transfer从 C2 下载附加文件/程序。2024位于虚假 Azure 订阅下的 Azure App Service 应用如*.azurewebsites.net作为 C2 节点。外传ExfiltrationT1048.003— Exfiltration Over Alternative Protocol使用独立于 C2 通道的 FTP 通道外传文件。影响ImpactStoneDrillS0380擦除能力——与 APT33 关联活动挂钩的破坏性磁盘擦除归因置信度较低与 Shamoon 概念相关。资源开发 / ICS 邻接Resource DevelopmentT1588.002— Obtain Capabilities (Tool)获取公开可用的攻击工具。T0853ICS— ScriptingPowerShell 用于 C2 与文件安装。T0865ICS— Spearphishing Attachment内嵌恶意代码的.hta文件。三、标志性工具与恶意软件清单画像将 APT33 的工具链分为自研与公开/两用两类括号为 ATTCK 软件 ID自研家族TURNEDUPS0198/backdoor — RATS0199NanoCoreS0336NETWIRES0198POWERTONS0371PowerShell 后门PoshC2S0378AutoIt backdoorS0129DEADWOODS11342019StoneDrillS0380擦除器较新的自研后门FalseFont2023DIB 目标与Tickler2024多阶段、Azure 支撑。公开可用 / 两用工具MimikatzS0002、LaZagneS0349、PowerSploitS0194、EmpireS0363、PupyS0192、RulerS0358Outlook/O365、ftpS0095、NetS0039、ProcDump、SniffPass、Gpppassword、AzureHound、Roadtools以及被滥用的AnyDeskRMM。仓库内还维护一份 CVE-to-APT 映射参考把在野利用的 CVE 与威胁组织对应起来例如 CVE-2017-0199 Office HTA handler 被 APT28、APT34、Lazarus、Patchwork、SideWinder 等多个组织广泛采用可作为 APT33.hta/HTA 技术情报的交叉印证。四、Decepticon 模拟实施指南逐 TTP 复现 APT33 攻击链画像的“Emulation guidance (Decepticon)”章节是整个 profile 的落地核心把 APT33 的标志性攻击链一一映射到 Decepticon 自身的能力上。以下完整保留该指南并补充仓库中对应技能的说明。仅限授权使用必须在任务的书面范围scope、目标清单与交战规则RoE内执行这些模拟。破坏性/wiper TTP永远不得对客户系统执行——Impact 只能通过有文档记录的可逆标记reversible markers模拟或默认视为超出范围。4.1 初始访问密码喷洒 云合法账户T1110.003T1078.004这是现代 APT33 的签名技术。指南要求使用 Decepticon 的云技能对任务授权的 M365/Entra ID 租户执行 low-and-slow 喷洒使用自定义 User-Agent 与“感知锁定阈值”的节流lockout-aware throttling镜像go-http-client的低流量模式配合任务授权的凭据清单执行避免触发账户锁定以保持在范围内。Decepticon 仓库中与之配套的是 entra-enum 技能它在任何认证尝试之前先做未认证的租户发现OpenID config 获取 tenant ID、GetUserRealm判断联邦类型、autodiscover 提示联合 IdP、登录响应码枚举用户——AADSTS50126表示有效用户、AADSTS50053表示已锁定、AADSTS50034表示用户不存在认证后叠加 ROADtoolsroadrecon、AADInternals、MSGraph 等枚举。先侦察、后喷洒的顺序正是把 APT33 的 2023 年 TTP 翻译成 Decepticon 工具调用的方式。4.2 初始访问鱼叉钓鱼T1566.001/.002、T1204若钓鱼在范围内通过任务认可的钓鱼测试平台sanctioned phishing harness模拟以招聘/求职为主题、携带.hta/压缩包附件的诱饵否则通过“假设已存在立足点”assume a foothold来模拟投递后的效果。4.3 执行 / 载荷落地T1059.001、T1105使用 Decepticon 的 bash/PowerShell 工具从自己的 redirector 拉取并执行 stager镜像 APT33 的“PowerShell download-and-execute”模式。4.4 C2用 Sliver 高保真复刻这是画像中最具操作细节的一段架设 SliverHTTP listener对应T1071.001Web Protocols启用对称加密传输对应T1573.001Symmetric CryptographyAES绑定到类似 808/880 的非标准端口对应T1571Non-Standard Port。高保真云模拟经云团队批准后将 C2 前置在授权的 Azure App Service /*.azurewebsites.netredirector 之后复刻 Tickler 的基础设施模式。仓库中的 c2-sliver 技能 正是这一能力的载体托管运行时通过c2_ensure按需提供 engagement 隔离的 E2B Sliver companion并暴露sliver_start_http_listener、sliver_generate_implant、sliver_list_sessions、sliver_list_beacons等 MCP 工具其 frontmatter 中声明的mitre_attack: T1071, T1573, T1090, T1105, T1572与 APT33 画像 C2 段的 TTP 高度重合说明两套技能文档在 ATTCK 层面对接一致。独立standalone OSS部署下Sliver server 运行在sandbox-net上的c2-sliver容器daemon 模式gRPC 31337 端口客户端使用预生成的 operator config/workspace/.sliver-configs/decepticon.cfg在专用 tmux session 中交互式操作。4.5 云 / AD 发现AzureHound / Roadtools / AD 快照使用 Decepticon 的云与 AD 技能经 Graph/Azure REST 枚举 Entra IDAzureHound 风格并在本地拉取 AD 快照 / BloodHound 收集——这正是 APT33 认证后执行的侦察动作与 Microsoft 2023 报告的密码喷洒后行为一致。4.6 凭据访问T1003.001/.004/.005、T1555、T1552.006通过防御规避/凭据工作流模拟 LSASS 转储Mimikatz/ProcDump 风格、LaZagne 风格的凭据存储收割、GPP 密码恢复——并将每个产物记录给 blue cell蓝队遥测组件用于度量检测效果。4.7 横向移动T1078、SMB使用 Decepticon 的 lateral-movement 技能基于 SMB 以恢复的合法账户做传播若 RMM 滥用也在范围内可选项模拟 AnyDesk RMM 部署。4.8 收集与外传T1560.001、T1048.003用 WinRAR 等价工具压缩已暂存数据然后经由独立于 C2 的 FTP 通道外传——刻意复刻 APT33 的“分通道”split-channel模式这也是蓝队检测规则应覆盖的盲区。4.9 防御规避T1132.001、T1027.013、DLL sideloading对任务指令/载荷做 Base64 编码针对良性合法二进制模拟 DLL sideloading检验 blue cell 的 sideload 检测能力对应 2024 Tickler 的手法。4.10 持久化T1547.001、T1546.003、T1053.005按 APT33 的做法植入 Run 键、WMI 事件订阅、以及一天多次触发的重复计划任务.vbe——每一种都需完整记录以便干净拆除teardown。4.11 范围约束的机制保障画像反复强调“written scope / RoE”这不是口号。从源码结构看Decepticon 有两道机制兜底RoE 护栏中间件roe.py 位于 LLM 与工具面之间每次bash及其他工具调用都会对照任务的roe.json:machine_enforcement块评估产出 PASSaudit 模式记录放行、WARN记录并在工具返回中追加 SystemMessage调用仍执行或 REFUSEenforce 模式下以[ROE_REFUSED]ToolMessage 短路工具调用。所有决策含 PASS都会落入 HMAC 链式审计账本RoEAuditSink作为“agent 尝试了什么、什么被批准、什么被拦截”的法务级记录。沙箱网络出口是权威边界从 roe.py 的模块 docstring 可见命令解析只是快速失败的 UX 信号真正的范围边界是沙箱网络 egressmiddleware/egress.py的 DNS 白名单 nftables connect 白名单与 RoE 从同一份machine_enforcement规则编译而来——“一份范围定义两个执行点”。因此 APT33 画像中“避免锁定”“分通道外传”等操作即使在解析层被绕过也受出口白名单约束。此外画像方法论要求“把选择记录进 OPPLAN”见 adversary-emulation 索引 的五步法并在每条 finding 中引用 ATTCK ID——配套的 kill-chain-analysis 技能 提供攻击向量选择与阶段切换的决策框架例如把“O365 密码喷洒”列为中等概率、高影响、高噪声的向量排序项保证模拟过程是可复盘、可审计的。五、蓝队视角检测与防御建议画像最后给出面向蓝队的完整检测清单这也是紫队演练的“评分表”——每个检测项对应一条要复现的 TTP密码喷洒 / 云身份T1110.003、T1078.004强制抗钓鱼 MFA、条件访问与风险型登录策略对来自单一/少量源 IP 的高频认证失败、异常 User-Agent如go-http-client、impossible-travel 告警监控虚假 Azure 订阅创建与意外 Azure App Service 部署。鱼叉钓鱼 /.htaT1566、T1204在网关阻断/检查.hta与压缩包附件可行时禁用mshta.exe针对招聘主题诱饵做用户意识培训。漏洞利用T1203、T1068修补 WinRARCVE-2018-20250、OutlookCVE-2017-11774、WindowsCVE-2017-0213限制遗留归档工具。云/AD 侦察AzureHound/Roadtools监控新认证主体发起的 Microsoft Graph / Azure REST 枚举尖峰对批量目录读取与 AD 快照 /ntds类访问告警。凭据访问T1003.x启用 LSASS 保护PPL / Credential Guard对 ProcDump/Mimikatz 的 LSASS 句柄访问告警清理 GPP 密码KB2962486。持久化T1547.001、T1546.003、T1053.005基线化 Run 键、WMI 事件订阅与计划任务对由.vbe/.hta派生的任务创建告警。C2 / 外传T1071.001、T1571、T1573.001、T1048.003检查非标准端口808/880上的 HTTP对长期信标且非业务用途的*.azurewebsites.net流量告警对外部非批准主机的出站 FTP 告警。横向移动 / RMM检测异常 SMB 管理共享写入与未授权的 AnyDesk/RMM 安装。影响wiper鉴于 StoneDrill/Shamoon 邻接风险维护经过验证的离线备份与针对批量文件覆写 / MBR 篡改的 EDR 规则。六、画像在 Decepticon 中的技术落地校验、索引与检索这份 APT33 画像不是普通文档而是被 Decepticon 技能基础设施严格治理的一等公民。理解其结构有助于读者复用同一模式编写其他组织画像。6.1 Frontmatter 结构与硬性校验规则画像头部是一个 YAML frontmatter 块字段包括name: apt33-elfin—— 技能唯一标识description—— 一句话描述组织身份与 ATTCK 映射关系allowed-tools: Bash Read Write—— 该技能允许调用的工具面metadata.subdomain: adversary-emulation—— 技能子域分类metadata.when_to_use—— 路由用关键词串APT33、Elfin、Peach Sandstorm、G0064、aviation、password spray、FalseFont、Tickler 等供技能检索命中metadata.tags—— 主题标签metadata.mitre_attack—— 一行 CSV 列出该组织全部 30 余个 ATTCK 技术 ID。skill_audit/rules.py 定义了每个 SKILL.md 的校验规则逐条对应画像头部字段R-parse-errorfrontmatter 必须由 frontmatter.py 的正则切分并成功yaml.safe_load否则报错R-missing-required顶层必须有name、description且metadata必须含subdomain、when_to_use——画像四项齐备R-bad-subdomainsubdomain必须是规范值或其别名adversary-emulation属规范子域R-no-attribution攻击性路径下的技能必须提供mitre_attack、aatmf_tactic或upstream_ref之一——APT33 画像以 30 个mitre_attackID 满足该归因要求这正是“威胁情报驱动”技能区别于随意脚本的硬性门槛。6.2 MITRE ID 的三命名空间分类mitre.py 中classify_mitre_id()用三条正则区分 ID 命名空间Enterprise/Mobile^T\d{4}(\.\d{3})?$画像中绝大多数如T1110.003ICS^T0\d{3}(\.\d{3})?$画像中T0852、T0853、T0865属此类ATLAS^AML\.T\d{4}(\.\d{3})?$。匹配失败则报R-bad-mitre-format。APT33 画像同时覆盖 Enterprise 与 ICS 两个命名空间截屏、脚本、ICS 鱼叉附件恰好演示了该分类器的双分支路径。6.3 从 SKILL.md 到图节点mitre_attack 如何被索引从 skillogy/builder/skills.py 的构建逻辑看构建器遍历 skills 根目录下的所有SKILL.md解析 frontmatter 后为每个技能生成:Skill图节点节点属性包含name、path、description、正文及content_sha256、subdomain、when_to_use、allowed_tools并把mitre_attack列表存入mitre_attack_raw属性Phase 1a 中作为 raw 保留留待后续提升为 IMPLEMENTS 边。这意味着 APT33 画像的 30 个技术 ID 成为图谱中可被traverse等工具关联查询的结构化数据——按技术 ID 反查“哪些技能可模拟 APT33 的T1110.003”是可行的。配套的 ATTCK Group Registry 实施计划 进一步描述了离线 MITRE STIX 导入器将intrusion-set对象解析为:ThreatActor节点以G0064这类组 ID 为键并建立USES_TECHNIQUE边的机制——组织画像与 MITRE 官方数据在图谱层面双向锚定。6.4 加载方式与角色 ACL方法论索引给出的加载方式是一行命令load_skill apt33-elfin。从 ADR-0008 可见load_skill/find_skill/traverse三个工具受路径前缀 ACL 约束agent 只能读取skills_sources_for(role)解析出的前缀默认/skills/standard/{role}/与/skills/shared/内的技能。由于 APT33 画像位于skills/shared/各阶段角色 agent 均可加载而load_skill对前缀外的路径返回“未找到”而非越权报错保持了干净的失败语义。这也解释了为什么 adversary-emulation 画像被放在shared子树而非某个角色目录——对手模拟是跨阶段能力从 OPPLAN 规划到后渗透都要引用同一份 TTP 白名单。七、小结为什么这份画像值得直接照做情报完整且可溯源归因、定向、战役时间线、30 技术 ID 映射、工具/软件 ID 清单齐备且每条战役都标注了厂商报告出处Mandiant 2017、Symantec 2019、Microsoft 2023/2024 等公开通告符合“ATTCK 技术 ID 是唯一事实源情报过期时回查 ATTCK 官方组页面”的索引约定。模拟指南可直接执行每个 TTP 都落到 Decepticon 的具体技能entra-enum、c2-sliver、lateral-movement、凭据工作流等并显式区分“范围内执行 / 假设立足点 / 禁止执行wiper”三档把破坏性技术的“non-destructive proof”原则写进了 Impact 条目。机制兜底skill_audit校验器保证画像格式与 MITRE ID 归因合规RoE 中间件 沙箱 egress 双点强制范围约束审计账本记录每一次工具调用——模拟过程本身即符合授权红队的合规要求。蓝队收益明确检测与防御清单与 TTP 一一对应紫队可按“是否被 blue cell 检测/阻断”逐项计分方法论第 5 步的 MTTD 度量最终报告把每个结果绑定到被模拟组织 ATTCK 技术 ID。对读者而言若需要在自己的授权演练中复刻“密码喷洒 → 云侦察 → 凭据收割 → SMB 横向 → 分通道外传”这条 2023–2024 年 APT33 的主流路径这份画像加上一条load_skill apt33-elfin就是完整的作战底稿。适用前提与限制本文章所述画像与流程均服务于已签署书面授权的渗透测试 / 紫队演练所有 TTP 复现必须落在任务 RoE 与沙箱出口白名单之内破坏性Impact技术仅允许以可逆标记形式模拟。画像中的情报陈述继承自 MITRE ATTCK 组页面G0064与 Mandiant、Symantec、Microsoft、Kaspersky 等厂商的公开通告画像原文 Sources 一节列有完整出处组织归因类结论尤其破坏性关联应始终携带其标注的置信度限定。赞分享【免费下载链接】DecepticonAutonomous Hacking Agent for Red Team项目地址https://gitcode.com/gh_mirrors/de/Decepticon点击查看免费下载相关推荐Decepticon 中的 APT28Fancy Bear对手模拟画像从 MITRE ATTCK TTP 映射到授权红队演练Decepticon 中的 APT28Fancy Bear对手模拟画像从 MITRE ATTCK TTP 映射到授权红队演练 APT28 是 DecepDecepticon 中的 APT10Stone Panda对手模拟画像从 TTP 映射到自动化演练与检测验证Decepticon 中的 APT10Stone Panda对手模拟画像从 TTP 映射到自动化演练与检测验证 在 Decepticon一个面向红队的自Decepticon 中 APT29Cozy Bear对手模拟技能剖析从 ATTCK 画像到云身份间谍战演练Decepticon 中 APT29Cozy Bear对手模拟技能剖析从 ATTCK 画像到云身份间谍战演练 本文以 Decepticon 仓库中的 A上一篇Unlock Music完整指南如何在浏览器中解密主流音乐平台的加密格式下一篇如何安全修改postgresql.confansible-role-postgresql全局配置进阶指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 
长河君 · 2026/10/13 12:26:48 · 阅读 1.2k Decepticon APT33 (Elfin / Peach Sandstorm) 对手模拟画像：ATTCK TTP 映射与红队全链路复现指南
【免费下载链接】DecepticonAutonomous Hacking Agent for Red Team项目地址https://gitcode.com/gh_mirrors/de/Decepticon点击查看免费下载本篇技术文章基于 Decepticon 技能库中的 APT33 对手模拟画像文件 apt33-elfin/SKILL.md完整解析这一被多家安全厂商归因于伊朗国家支持的情报窃取组织MITRE ATTCK G0064别名 Elfin、Peach Sandstorm、HOLMIUM的攻击特征归因与动机、行业/地域定向策略、历史关键战役、按 ATTCK 战术分类的 TTP 映射、标志性工具与恶意软件清单。文章同时给出 Decepticon 框架下逐 TTP 的模拟实施指南密码喷洒、.hta鱼叉钓鱼、Sliver C2、AzureHound/Roadtools 云侦察、凭据窃取、横向移动、分通道外传、防御规避与持久化并结合仓库源码说明该画像作为“可加载技能”是如何被校验、索引和受 RoE 约束的帮助读者在授权范围内完成一次可审计的威胁情报驱动紫队演练。一、APT33 画像速览这是一个什么样的威胁组织画像文件位于技能树shared/adversary-emulation子域下属于 对手模拟索引 所收录的 21 个 APT 组织画像之一apt33-elfin行别名 Peach Sandstorm、HOLMIUM归因伊朗动机“Espionage (destructive links)”显著特征为航空航天与能源行业、海湾地区定向。该索引文件定义了整个 adversary emulation 子域的方法论而每个具体组织如本文的 APT33则是一个可独立加载的 profile 技能。画像开头即给出 APT33 的核心定位组织身份APT33MITRE ATTCKG0064别名 Elfin、Peach Sandstorm、HOLMIUM、Refined Kitten是一个疑似受伊朗国家支持的威胁组织自 2013 年起实施网络间谍活动。攻击重心以鱼叉钓鱼spearphishing为起点的入侵长期针对美国、沙特、韩国的航空航天、能源与石化行业近年演化为大规模云身份攻击cloud-identity attacks。工具策略公开攻击工具与自研后门custom backdoor混用与破坏性擦除器wiper恶意软件的关联处于“不同置信度下的关联”状态。归因与动机Attribution motivation疑似支持方 / 国家伊朗。FireEye/Mandiant 评估认为 APT33 受伊朗政府指使运作并报告了将组织与伊朗“Nasr Institute”关联网络战行动的伊朗机构相联系的证据Microsoft 将该行为体追踪为Peach Sandstorm同样归因于伊朗国家利益。主要动机与伊朗国家利益航空航天、国防、能源对齐的战略级间谍活动 / 情报收集。Microsoft 评估 2023 年的密码喷洒password-spray行动很可能旨在支撑伊朗国家目标的情报收集。次要 / 破坏性维度APT33 被关联到StoneDrill擦除器后者与 2012 年攻击沙特阿美Saudi Aramco和 RasGas 的 Shamoon 家族相似。破坏性关联的置信度低于间谍归因——Kaspersky 与 FireEye 均指出Shamoon 与 StoneDrill 的操作方是否为同一组织或仅是利益/地区一致尚无定论。因此任何破坏性能力声明都应视为“plausible-but-unconfirmed”可信但未证实。归因置信度对“伊朗国家支持的间谍活动”为中高FireEye/Mandiant、Symantec、Microsoft 等多家独立厂商收敛对破坏性/wiper 归因则较低。定向策略Targeting行业航空航天军用与商用、与石化生产相关的能源行业Mandiant 2017化工、工程、制造、咨询、金融、电信、研究与政府Symantec 2019。近期扩展至卫星、国防、国防工业基地DIB、制药、通信、油气与政府Microsoft 2023–2024。地域历史上集中于沙特Symantec 归因约 42% 的 2016 年以来 Elfin 攻击观察样本与美国含财富 500 强公司另有韩国。近期 Peach Sandstorm 行动已全球化覆盖美国与阿联酋。受害者画像对伊朗具战略利益的组织——航空航天/国防承包商及其供应链分包商、能源/石化运营商、卫星/通信服务商。鱼叉钓鱼常以招聘/求职主题诱饵针对航空相关岗位的个人。标志性战役时间线Notable campaigns时间事件来源报告2016 – 2017 年中入侵美国航空组织定向沙特航空持股商业集团与韩国炼油/石化公司2017 年 5 月诱饵伪装沙特石化企业职位空缺FireEye/Mandiant, APT33: Insights into Iranian Cyber Espionage, 2017-092017StoneDrill 擦除器披露针对中东与欧洲目标与 APT33 关联活动、与 Shamoon 概念相似Kaspersky/Securelist, From Shamoon to StoneDrill, 20172019-02Elfin 攻击沙特、美国等地约 50 家组织对沙特化工目标尝试利用CVE-2018-20250WinRAR ACESymantec, Elfin: Relentless Espionage Group, 2019-032023-02 ~ 2023-07大规模密码喷洒针对卫星、国防、制药行业数千组织成功后用 AzureHound/Roadtools 做 Entra ID 侦察Microsoft, Peach Sandstorm password spray campaigns, 2023-09-142023-11 ~ 12向 DIB 组织投递自研FalseFont后门远程访问、文件启动、C2 外传Microsoft / The Hacker News / BleepingComputer, 2023-122024-04 ~ 07部署多阶段Tickler后门针对卫星、通信、油气与美/乌政府目标滥用教育行业被盗账户创建的虚假 Azure 订阅托管 Azure App Service C2 节点并配合 LinkedIn 社工与 SMB 横向移动Microsoft, Peach Sandstorm deploys new custom Tickler malware, 2024-08-28二、TTP 全景按 ATTCK 战术组织的 APT33 技术清单画像的正文核心是一张“战术 → ATTCK 技术 ID → APT33 具体做法”的映射表。这份映射既是情报摘要也是 Decepticon 模拟时的“技术白名单”——方法论要求只使用该组织已知用过的技术。以下完整继承画像中的全部映射初始访问Initial AccessT1566.001— Spearphishing Attachment鱼叉邮件投递压缩包附件。T1566.002— Spearphishing Link邮件链接指向恶意.htaHTML Application 文件招聘/求职诱饵。T1110.003— Password Spraying对云/互联网暴露认证点的大规模喷洒以获取初始立足点2023 Peach Sandstormlow-and-slow 节奏go-http-clientUser-Agent。T1078/T1078.004— Valid Accounts含 Cloud Accounts使用被盗凭据含 Office 365 / Microsoft 365 账户历史上配合 Ruler 工具。T1203— Exploitation for Client ExecutionWinRARCVE-2018-20250与 OutlookCVE-2017-11774。执行ExecutionT1059.001— PowerShell从 C2 下载并运行脚本。T1059.005— Visual BasicVBScript 启动载荷投递。T1204.001/T1204.002— User Execution恶意链接/恶意文件诱使用户点击.hta链接或打开恶意附件。持久化PersistenceT1547.001— Registry Run KeysDarkComet 风格的自启动注册表持久化。T1546.003— WMI Event SubscriptionWMI 订阅持久化。T1053.005— Scheduled Task计划任务每天多次触发执行.vbe。权限提升Privilege EscalationT1068— Exploitation for Privilege EscalationCVE-2017-0213。T1078— Valid Accounts同样用于在合法/提权上下文中运行。防御规避Defense EvasionT1132.001— Standard EncodingBase64 编码的 C2 流量。T1027.013— Obfuscated/Encoded FileBase64 编码载荷。2024 Tickler通过合法 Windows 二进制进行 DLL sideloading使持久化混入可信进程。凭据访问Credential AccessT1003.001— LSASS MemoryLaZagne、Mimikatz、ProcDump。T1003.004— LSA SecretsLaZagne。T1003.005— Cached Domain CredentialsLaZagne。T1555/T1555.003— Credentials from Password Stores / Web BrowsersLaZagne。T1040— Network SniffingSniffPass 捕获凭据。T1552.001— Credentials In FilesLaZagne 文件型凭据发现。T1552.006— Group Policy PreferencesGpppassword 恢复 GPP 存储的凭据。发现DiscoveryActive Directory 与 Microsoft Entra ID 侦察认证成功后对云租户使用 AzureHound经由 Microsoft Graph / Azure REST API与 Roadtools本地环境拉取 AD 快照AD snapshot。横向移动Lateral Movement初始失陷后基于 SMB 的跨网络传播2024 Peach Sandstorm曾尝试部署 AnyDesk 远程管理工具获取访问。收集CollectionT1560.001— Archive via UtilityWinRAR 压缩数据后再外传。T0852ICS 矩阵— Screen Capture后门内置截屏能力。命令与控制Command and ControlT1071.001— Web ProtocolsHTTP 承载 C2。T1573.001— Symmetric CryptographyAES 加密 C2 通道。T1571— Non-Standard PortTCP 808 / 880 端口的 HTTP。T1105— Ingress Tool Transfer从 C2 下载附加文件/程序。2024位于虚假 Azure 订阅下的 Azure App Service 应用如*.azurewebsites.net作为 C2 节点。外传ExfiltrationT1048.003— Exfiltration Over Alternative Protocol使用独立于 C2 通道的 FTP 通道外传文件。影响ImpactStoneDrillS0380擦除能力——与 APT33 关联活动挂钩的破坏性磁盘擦除归因置信度较低与 Shamoon 概念相关。资源开发 / ICS 邻接Resource DevelopmentT1588.002— Obtain Capabilities (Tool)获取公开可用的攻击工具。T0853ICS— ScriptingPowerShell 用于 C2 与文件安装。T0865ICS— Spearphishing Attachment内嵌恶意代码的.hta文件。三、标志性工具与恶意软件清单画像将 APT33 的工具链分为自研与公开/两用两类括号为 ATTCK 软件 ID自研家族TURNEDUPS0198/backdoor — RATS0199NanoCoreS0336NETWIRES0198POWERTONS0371PowerShell 后门PoshC2S0378AutoIt backdoorS0129DEADWOODS11342019StoneDrillS0380擦除器较新的自研后门FalseFont2023DIB 目标与Tickler2024多阶段、Azure 支撑。公开可用 / 两用工具MimikatzS0002、LaZagneS0349、PowerSploitS0194、EmpireS0363、PupyS0192、RulerS0358Outlook/O365、ftpS0095、NetS0039、ProcDump、SniffPass、Gpppassword、AzureHound、Roadtools以及被滥用的AnyDeskRMM。仓库内还维护一份 CVE-to-APT 映射参考把在野利用的 CVE 与威胁组织对应起来例如 CVE-2017-0199 Office HTA handler 被 APT28、APT34、Lazarus、Patchwork、SideWinder 等多个组织广泛采用可作为 APT33.hta/HTA 技术情报的交叉印证。四、Decepticon 模拟实施指南逐 TTP 复现 APT33 攻击链画像的“Emulation guidance (Decepticon)”章节是整个 profile 的落地核心把 APT33 的标志性攻击链一一映射到 Decepticon 自身的能力上。以下完整保留该指南并补充仓库中对应技能的说明。仅限授权使用必须在任务的书面范围scope、目标清单与交战规则RoE内执行这些模拟。破坏性/wiper TTP永远不得对客户系统执行——Impact 只能通过有文档记录的可逆标记reversible markers模拟或默认视为超出范围。4.1 初始访问密码喷洒 云合法账户T1110.003T1078.004这是现代 APT33 的签名技术。指南要求使用 Decepticon 的云技能对任务授权的 M365/Entra ID 租户执行 low-and-slow 喷洒使用自定义 User-Agent 与“感知锁定阈值”的节流lockout-aware throttling镜像go-http-client的低流量模式配合任务授权的凭据清单执行避免触发账户锁定以保持在范围内。Decepticon 仓库中与之配套的是 entra-enum 技能它在任何认证尝试之前先做未认证的租户发现OpenID config 获取 tenant ID、GetUserRealm判断联邦类型、autodiscover 提示联合 IdP、登录响应码枚举用户——AADSTS50126表示有效用户、AADSTS50053表示已锁定、AADSTS50034表示用户不存在认证后叠加 ROADtoolsroadrecon、AADInternals、MSGraph 等枚举。先侦察、后喷洒的顺序正是把 APT33 的 2023 年 TTP 翻译成 Decepticon 工具调用的方式。4.2 初始访问鱼叉钓鱼T1566.001/.002、T1204若钓鱼在范围内通过任务认可的钓鱼测试平台sanctioned phishing harness模拟以招聘/求职为主题、携带.hta/压缩包附件的诱饵否则通过“假设已存在立足点”assume a foothold来模拟投递后的效果。4.3 执行 / 载荷落地T1059.001、T1105使用 Decepticon 的 bash/PowerShell 工具从自己的 redirector 拉取并执行 stager镜像 APT33 的“PowerShell download-and-execute”模式。4.4 C2用 Sliver 高保真复刻这是画像中最具操作细节的一段架设 SliverHTTP listener对应T1071.001Web Protocols启用对称加密传输对应T1573.001Symmetric CryptographyAES绑定到类似 808/880 的非标准端口对应T1571Non-Standard Port。高保真云模拟经云团队批准后将 C2 前置在授权的 Azure App Service /*.azurewebsites.netredirector 之后复刻 Tickler 的基础设施模式。仓库中的 c2-sliver 技能 正是这一能力的载体托管运行时通过c2_ensure按需提供 engagement 隔离的 E2B Sliver companion并暴露sliver_start_http_listener、sliver_generate_implant、sliver_list_sessions、sliver_list_beacons等 MCP 工具其 frontmatter 中声明的mitre_attack: T1071, T1573, T1090, T1105, T1572与 APT33 画像 C2 段的 TTP 高度重合说明两套技能文档在 ATTCK 层面对接一致。独立standalone OSS部署下Sliver server 运行在sandbox-net上的c2-sliver容器daemon 模式gRPC 31337 端口客户端使用预生成的 operator config/workspace/.sliver-configs/decepticon.cfg在专用 tmux session 中交互式操作。4.5 云 / AD 发现AzureHound / Roadtools / AD 快照使用 Decepticon 的云与 AD 技能经 Graph/Azure REST 枚举 Entra IDAzureHound 风格并在本地拉取 AD 快照 / BloodHound 收集——这正是 APT33 认证后执行的侦察动作与 Microsoft 2023 报告的密码喷洒后行为一致。4.6 凭据访问T1003.001/.004/.005、T1555、T1552.006通过防御规避/凭据工作流模拟 LSASS 转储Mimikatz/ProcDump 风格、LaZagne 风格的凭据存储收割、GPP 密码恢复——并将每个产物记录给 blue cell蓝队遥测组件用于度量检测效果。4.7 横向移动T1078、SMB使用 Decepticon 的 lateral-movement 技能基于 SMB 以恢复的合法账户做传播若 RMM 滥用也在范围内可选项模拟 AnyDesk RMM 部署。4.8 收集与外传T1560.001、T1048.003用 WinRAR 等价工具压缩已暂存数据然后经由独立于 C2 的 FTP 通道外传——刻意复刻 APT33 的“分通道”split-channel模式这也是蓝队检测规则应覆盖的盲区。4.9 防御规避T1132.001、T1027.013、DLL sideloading对任务指令/载荷做 Base64 编码针对良性合法二进制模拟 DLL sideloading检验 blue cell 的 sideload 检测能力对应 2024 Tickler 的手法。4.10 持久化T1547.001、T1546.003、T1053.005按 APT33 的做法植入 Run 键、WMI 事件订阅、以及一天多次触发的重复计划任务.vbe——每一种都需完整记录以便干净拆除teardown。4.11 范围约束的机制保障画像反复强调“written scope / RoE”这不是口号。从源码结构看Decepticon 有两道机制兜底RoE 护栏中间件roe.py 位于 LLM 与工具面之间每次bash及其他工具调用都会对照任务的roe.json:machine_enforcement块评估产出 PASSaudit 模式记录放行、WARN记录并在工具返回中追加 SystemMessage调用仍执行或 REFUSEenforce 模式下以[ROE_REFUSED]ToolMessage 短路工具调用。所有决策含 PASS都会落入 HMAC 链式审计账本RoEAuditSink作为“agent 尝试了什么、什么被批准、什么被拦截”的法务级记录。沙箱网络出口是权威边界从 roe.py 的模块 docstring 可见命令解析只是快速失败的 UX 信号真正的范围边界是沙箱网络 egressmiddleware/egress.py的 DNS 白名单 nftables connect 白名单与 RoE 从同一份machine_enforcement规则编译而来——“一份范围定义两个执行点”。因此 APT33 画像中“避免锁定”“分通道外传”等操作即使在解析层被绕过也受出口白名单约束。此外画像方法论要求“把选择记录进 OPPLAN”见 adversary-emulation 索引 的五步法并在每条 finding 中引用 ATTCK ID——配套的 kill-chain-analysis 技能 提供攻击向量选择与阶段切换的决策框架例如把“O365 密码喷洒”列为中等概率、高影响、高噪声的向量排序项保证模拟过程是可复盘、可审计的。五、蓝队视角检测与防御建议画像最后给出面向蓝队的完整检测清单这也是紫队演练的“评分表”——每个检测项对应一条要复现的 TTP密码喷洒 / 云身份T1110.003、T1078.004强制抗钓鱼 MFA、条件访问与风险型登录策略对来自单一/少量源 IP 的高频认证失败、异常 User-Agent如go-http-client、impossible-travel 告警监控虚假 Azure 订阅创建与意外 Azure App Service 部署。鱼叉钓鱼 /.htaT1566、T1204在网关阻断/检查.hta与压缩包附件可行时禁用mshta.exe针对招聘主题诱饵做用户意识培训。漏洞利用T1203、T1068修补 WinRARCVE-2018-20250、OutlookCVE-2017-11774、WindowsCVE-2017-0213限制遗留归档工具。云/AD 侦察AzureHound/Roadtools监控新认证主体发起的 Microsoft Graph / Azure REST 枚举尖峰对批量目录读取与 AD 快照 /ntds类访问告警。凭据访问T1003.x启用 LSASS 保护PPL / Credential Guard对 ProcDump/Mimikatz 的 LSASS 句柄访问告警清理 GPP 密码KB2962486。持久化T1547.001、T1546.003、T1053.005基线化 Run 键、WMI 事件订阅与计划任务对由.vbe/.hta派生的任务创建告警。C2 / 外传T1071.001、T1571、T1573.001、T1048.003检查非标准端口808/880上的 HTTP对长期信标且非业务用途的*.azurewebsites.net流量告警对外部非批准主机的出站 FTP 告警。横向移动 / RMM检测异常 SMB 管理共享写入与未授权的 AnyDesk/RMM 安装。影响wiper鉴于 StoneDrill/Shamoon 邻接风险维护经过验证的离线备份与针对批量文件覆写 / MBR 篡改的 EDR 规则。六、画像在 Decepticon 中的技术落地校验、索引与检索这份 APT33 画像不是普通文档而是被 Decepticon 技能基础设施严格治理的一等公民。理解其结构有助于读者复用同一模式编写其他组织画像。6.1 Frontmatter 结构与硬性校验规则画像头部是一个 YAML frontmatter 块字段包括name: apt33-elfin—— 技能唯一标识description—— 一句话描述组织身份与 ATTCK 映射关系allowed-tools: Bash Read Write—— 该技能允许调用的工具面metadata.subdomain: adversary-emulation—— 技能子域分类metadata.when_to_use—— 路由用关键词串APT33、Elfin、Peach Sandstorm、G0064、aviation、password spray、FalseFont、Tickler 等供技能检索命中metadata.tags—— 主题标签metadata.mitre_attack—— 一行 CSV 列出该组织全部 30 余个 ATTCK 技术 ID。skill_audit/rules.py 定义了每个 SKILL.md 的校验规则逐条对应画像头部字段R-parse-errorfrontmatter 必须由 frontmatter.py 的正则切分并成功yaml.safe_load否则报错R-missing-required顶层必须有name、description且metadata必须含subdomain、when_to_use——画像四项齐备R-bad-subdomainsubdomain必须是规范值或其别名adversary-emulation属规范子域R-no-attribution攻击性路径下的技能必须提供mitre_attack、aatmf_tactic或upstream_ref之一——APT33 画像以 30 个mitre_attackID 满足该归因要求这正是“威胁情报驱动”技能区别于随意脚本的硬性门槛。6.2 MITRE ID 的三命名空间分类mitre.py 中classify_mitre_id()用三条正则区分 ID 命名空间Enterprise/Mobile^T\d{4}(\.\d{3})?$画像中绝大多数如T1110.003ICS^T0\d{3}(\.\d{3})?$画像中T0852、T0853、T0865属此类ATLAS^AML\.T\d{4}(\.\d{3})?$。匹配失败则报R-bad-mitre-format。APT33 画像同时覆盖 Enterprise 与 ICS 两个命名空间截屏、脚本、ICS 鱼叉附件恰好演示了该分类器的双分支路径。6.3 从 SKILL.md 到图节点mitre_attack 如何被索引从 skillogy/builder/skills.py 的构建逻辑看构建器遍历 skills 根目录下的所有SKILL.md解析 frontmatter 后为每个技能生成:Skill图节点节点属性包含name、path、description、正文及content_sha256、subdomain、when_to_use、allowed_tools并把mitre_attack列表存入mitre_attack_raw属性Phase 1a 中作为 raw 保留留待后续提升为 IMPLEMENTS 边。这意味着 APT33 画像的 30 个技术 ID 成为图谱中可被traverse等工具关联查询的结构化数据——按技术 ID 反查“哪些技能可模拟 APT33 的T1110.003”是可行的。配套的 ATTCK Group Registry 实施计划 进一步描述了离线 MITRE STIX 导入器将intrusion-set对象解析为:ThreatActor节点以G0064这类组 ID 为键并建立USES_TECHNIQUE边的机制——组织画像与 MITRE 官方数据在图谱层面双向锚定。6.4 加载方式与角色 ACL方法论索引给出的加载方式是一行命令load_skill apt33-elfin。从 ADR-0008 可见load_skill/find_skill/traverse三个工具受路径前缀 ACL 约束agent 只能读取skills_sources_for(role)解析出的前缀默认/skills/standard/{role}/与/skills/shared/内的技能。由于 APT33 画像位于skills/shared/各阶段角色 agent 均可加载而load_skill对前缀外的路径返回“未找到”而非越权报错保持了干净的失败语义。这也解释了为什么 adversary-emulation 画像被放在shared子树而非某个角色目录——对手模拟是跨阶段能力从 OPPLAN 规划到后渗透都要引用同一份 TTP 白名单。七、小结为什么这份画像值得直接照做情报完整且可溯源归因、定向、战役时间线、30 技术 ID 映射、工具/软件 ID 清单齐备且每条战役都标注了厂商报告出处Mandiant 2017、Symantec 2019、Microsoft 2023/2024 等公开通告符合“ATTCK 技术 ID 是唯一事实源情报过期时回查 ATTCK 官方组页面”的索引约定。模拟指南可直接执行每个 TTP 都落到 Decepticon 的具体技能entra-enum、c2-sliver、lateral-movement、凭据工作流等并显式区分“范围内执行 / 假设立足点 / 禁止执行wiper”三档把破坏性技术的“non-destructive proof”原则写进了 Impact 条目。机制兜底skill_audit校验器保证画像格式与 MITRE ID 归因合规RoE 中间件 沙箱 egress 双点强制范围约束审计账本记录每一次工具调用——模拟过程本身即符合授权红队的合规要求。蓝队收益明确检测与防御清单与 TTP 一一对应紫队可按“是否被 blue cell 检测/阻断”逐项计分方法论第 5 步的 MTTD 度量最终报告把每个结果绑定到被模拟组织 ATTCK 技术 ID。对读者而言若需要在自己的授权演练中复刻“密码喷洒 → 云侦察 → 凭据收割 → SMB 横向 → 分通道外传”这条 2023–2024 年 APT33 的主流路径这份画像加上一条load_skill apt33-elfin就是完整的作战底稿。适用前提与限制本文章所述画像与流程均服务于已签署书面授权的渗透测试 / 紫队演练所有 TTP 复现必须落在任务 RoE 与沙箱出口白名单之内破坏性Impact技术仅允许以可逆标记形式模拟。画像中的情报陈述继承自 MITRE ATTCK 组页面G0064与 Mandiant、Symantec、Microsoft、Kaspersky 等厂商的公开通告画像原文 Sources 一节列有完整出处组织归因类结论尤其破坏性关联应始终携带其标注的置信度限定。赞分享【免费下载链接】DecepticonAutonomous Hacking Agent for Red Team项目地址https://gitcode.com/gh_mirrors/de/Decepticon点击查看免费下载相关推荐Decepticon 中的 APT28Fancy Bear对手模拟画像从 MITRE ATTCK TTP 映射到授权红队演练Decepticon 中的 APT28Fancy Bear对手模拟画像从 MITRE ATTCK TTP 映射到授权红队演练 APT28 是 DecepDecepticon 中的 APT10Stone Panda对手模拟画像从 TTP 映射到自动化演练与检测验证Decepticon 中的 APT10Stone Panda对手模拟画像从 TTP 映射到自动化演练与检测验证 在 Decepticon一个面向红队的自Decepticon 中 APT29Cozy Bear对手模拟技能剖析从 ATTCK 画像到云身份间谍战演练Decepticon 中 APT29Cozy Bear对手模拟技能剖析从 ATTCK 画像到云身份间谍战演练 本文以 Decepticon 仓库中的 A上一篇Unlock Music完整指南如何在浏览器中解密主流音乐平台的加密格式下一篇如何安全修改postgresql.confansible-role-postgresql全局配置进阶指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考