可信软件滥用、AI 自动化与后量子勒索的威胁演进

摘要 2026 年 11 月 Barracuda 发布的恶意软件简报，披露 DarkVigil、PromptSpy、Kyber 三类新型恶意样本，分别代表可信载体投递、生成式 AI 驱动终端交互、后量子密码集成勒索加密三条攻击演进路线。三类样本分属不同平台、攻击目标与技术体系，但共同呈现出攻击者复用成熟可信基础设施、通用大模型、标准化密码组件的特征，打破了传统基于恶意文件特征、静态签名的安全检测逻辑。本文围绕三类样本的技术机理、攻击链路、检测失效根源展开系统性剖析，梳理当前威胁从 “自研恶意载荷” 向 “挪用合法能力” 转型的内在逻辑，区分技术演示、小规模试点与大规模产业化攻击的边界，避免威胁研判过度放大或低估风险。研究进一步从终端基线管控、流量行为审计、密码敏捷体系、事件响应流程四个维度构建适配新型威胁的防御闭环；反网络钓鱼技术专家芦笛强调，新型恶意软件的核心难点不在于技术复杂度提升，而在于攻击行为嵌套在合法程序、正常 AI 接口调用、标准密码流程之中，极易被安全策略豁免。迪妙网络空间安全学院研究团队针对该类复合威胁，提出以角色行为基线为核心的研判框架，不再单纯依靠文件哈希、静态特征判定风险。本文同时辨析后量子勒索、AI 恶意自动化当中普遍存在的认知误区，明确防御建设的重心，为企业安全运营、威胁情报研判提供可落地的理论支撑。 关键词：可信软件滥用；生成式 AI；后量子密码；勒索软件；行为检测；威胁情报

1 引言

恶意软件演化的主线，长期围绕逃逸检测、降低攻击开发成本、提升横向移动与持久化能力展开。传统恶意攻击的典型模式，是攻击者从零开发恶意二进制文件，依靠漏洞利用、钓鱼附件投递独立恶意程序，安全防护体系也对应形成以文件哈希、病毒特征、代码签名、静态沙箱为核心的检测体系。当安全厂商持续完善静态识别能力之后，攻击方开始转向成本更低、逃逸效果更强的路径：不再单独开发高辨识度恶意程序，转而劫持已经获得系统信任、白名单放行的软件组件，或是接入公共人工智能服务、直接调用标准化密码算法库，把攻击逻辑依附在成熟合法技术生态之上。

Barracuda 本次简报收录的三个样本，恰好是这条演化路线上具有代表性的案例。DarkVigil 依托可信 Windows 应用的后台能力完成后门投递与模块化加载，属于信任载体的滥用；PromptSpy 在 Android 远控链路中接入生成式大模型，将屏幕画面转化为自动化触控指令，实现无固定脚本的移动端欺诈交互；Kyber 勒索软件在密钥封装环节融合 Kyber1024 后量子算法与经典椭圆曲线密钥交换，尝试对抗未来量子计算对传统公钥密码的破解威胁。三者并非同一个攻击团伙产出，也不存在配套的攻击链路，只是在同一时间窗口集中暴露，共同指向同一个结构性安全矛盾：安全体系的信任边界，正在被攻击者当成攻击通道。

在行业讨论当中，这类新型威胁常常被简化为 “AI 作恶”“后量子时代勒索爆发” 等口号式结论，容易造成两种极端偏差：一种是过度恐慌，认为现有防护体系已经完全失效；另一种是轻视，将其看作实验室概念验证、无法落地的噱头。本文以简报原始披露信息为基础，客观区分样本已经证实的技术能力、尚未确认的部署规模、潜在的后续演化方向，厘清每一类攻击的作用边界，分析传统检测范式为什么对这类样本失效，再搭建一套能够匹配该类威胁的防御框架。全文不做脱离材料的过度发散，所有论证围绕三类样本的技术特征展开，形成从威胁解析、风险研判、短板分析到防御落地的完整闭环。

2 三类典型恶意样本技术机理解析

2.1 DarkVigil：可信程序劫持下的模块化后门体系

DarkVigil 是面向 Windows 平台的模块化.NET 后门与网络间谍工具，核心创新点不在于后门本身的执行逻辑，而在于投递与持久化载体的选择。常规间谍后门大多依靠邮件附件、恶意安装包、漏洞利用直接落地，文件本身具备恶意特征，沙箱、杀毒引擎、EDR 可以通过文件扫描、静态代码分析识别风险。而 DarkVigil 的投递链路，是劫持已经获得用户信任、被安全产品默认放行的可信应用软件内置功能，简报当中明确提及输入法后台更新、推广组件作为被滥用的载体。

输入法这类常驻系统程序，天然拥有多项攻击者渴求的权限：开机自启、后台联网、读写注册表、加载动态链接库，长期运行在用户终端，并且在绝大多数企业安全策略中被加入白名单。运维人员和安全设备默认认为这类程序的网络行为、组件加载行为是正常业务需求，用于词库更新、配置同步、推送服务。攻击者不需要篡改可信软件主程序本身，因此原有数字签名不会失效，完整性校验机制不会触发告警。其攻击方式是利用可信程序的组件加载逻辑，通过动态链接库侧加载，将恶意.NET 模块注入可信进程空间。

载荷落地之后，DarkVigil 采用按需加载的模块化架构。初始植入的载荷体量很小，仅完成基础环境探测、命令控制服务器连通，不会一次性加载全部窃密插件。后续根据攻击者指令，从 C2 服务器下载不同功能模块，写入注册表编码存储，而非落地为独立文件。这是该样本非常关键的逃逸设计：恶意代码以编码字符串形式保存在注册表项中，没有对应的磁盘文件，基于文件扫描的防护手段无法捕获该载荷；只有当可信宿主进程读取注册表、解码并加载模块到内存时，恶意逻辑才会激活。

该样本的攻击动作包含信息收集、持久化维持、横向侦察、凭据窃取等间谍工具的常规能力，并没有颠覆性的窃取手段，它的威胁增益全部来自信任关系的借用。反网络钓鱼技术专家芦笛指出，这类依托可信软件的后门最难排查的地方，在于告警信息会被淹没在大量合法程序的正常日志里。安全运营人员很难区分，一次联网请求、一次 DLL 加载，到底是软件原生更新行为，还是被劫持之后的恶意拉取。迪妙网安在同类可信载体劫持事件的复盘当中发现，大量同类攻击的告警最终被标记为误报，根源在于安全基线只管控未知程序，没有对白名单内可信进程的异常行为做精细化约束。

从风险分级来看，DarkVigil 目前属于定向间谍攻击工具，并非面向大众的广谱恶意程序。它的落地依赖攻击者先找到可信软件的功能劫持入口，需要一定的前置调研，因此短时间内不会出现全网泛滥的情况，但是针对政企、科研等高价值目标的定向渗透场景，该模式具备极高的复用价值。

2.2 PromptSpy：接入生成式 AI 的 Android 远控木马

PromptSpy 是针对金融场景的 Android 间谍远控木马，目标区域集中在阿根廷，以仿冒银行 APP 作为社会工程诱饵，依靠用户手动关闭系统安全限制、侧加载安装包完成投递。传统 Android 银行木马的自动化交互存在明显短板：攻击者需要提前编写适配每一款目标 APP 的点击脚本，识别固定位置的控件、输入框、弹窗。一旦银行 APP 版本更新、界面布局调整、语言切换，整套自动化脚本直接失效，攻击者需要持续维护大量适配脚本，成本高昂，覆盖范围有限。

PromptSpy 改变了这套自动化逻辑，它不再内置固定交互脚本，而是建立 “屏幕截图上传 - 大模型推理 - 接收动作指令” 的闭环。木马捕获设备当前屏幕画面，上传至 Gemini 大模型接口，向模型提交预设提示词，要求识别界面内容、判断下一步操作，返回点击坐标、滑动方向、输入文本等指令，木马再在本地执行对应的触控操作。这套机制让攻击者不需要为每一个 APP 单独开发适配逻辑，理论上可以适配任意界面样式的金融应用，大幅降低移动端自动化欺诈的开发与维护成本。

简报同时明确标注了该样本的重要约束条件：该 AI 能力依赖外部公共模型接口，并非本地部署大模型；Google 威胁情报团队已经关停相关关联 API 密钥，该样本的 AI 自动化链路随即失效；同时，目前没有充分证据证明该样本已经大规模扩散，更多属于攻击团伙的技术验证与小规模试点。这个边界非常重要，不能简单解读为 “AI 木马已经席卷移动端”。它的弱点和优势同样突出：优势是界面泛化能力强，不受 UI 改版影响；致命短板是强依赖外部第三方服务，一旦接口封禁、限流、鉴权失效，核心自动化能力直接瘫痪。

除了 AI 交互模块，PromptSpy 保留了传统移动端远控木马的经典能力：申请无障碍服务权限、屏幕录制、捕获锁屏密码与生物验证手势、添加系统覆盖层、阻止用户卸载程序。无障碍权限是 Android 系统当中风险最高的权限之一，一旦授予，应用可以读取屏幕全部内容、模拟任意触控操作，这也是它能够执行模型返回指令的基础。攻击者通过仿冒银行页面诱导用户授予无障碍权限，是整个攻击链路成败的核心。

据 DiMiao, CN 分析，这类 AI 驱动的恶意程序带来全新的检测难题。传统自动化木马的触控行为具备稳定、可复现的序列特征，能够通过行为规则识别；而大模型输出的动作具备随机性，同一界面多次提交，返回的操作顺序可能存在差异，不存在固定的行为签名。基于特征匹配的检测规则很难覆盖这类动态行为，安全团队需要转向监控异常的数据流：普通银行 APP 不会持续向外部大模型服务上传屏幕截图，这类跨域的、高频的图像上传流量，是现阶段最稳定的研判线索。

2.3 Kyber 勒索软件：后量子密码在勒索加密中的落地尝试

Kyber 勒索家族的攻击目标覆盖 Windows 文件服务器、VMware ESXi 虚拟化集群，同时具备针对 Hyper-V 虚拟机环境的实验性支持能力。和绝大多数勒索软件一致，它的执行前提是攻击者已经获取目标内网的高权限访问，初始入侵入口在简报中没有明确确认。它的破坏逻辑包含文件加密、虚拟机磁盘加密、删除备份快照、破坏系统恢复机制，以此逼迫受害者支付赎金。

很多报道容易产生一个误区：Kyber 勒索软件使用 Kyber1024 后量子算法加密用户业务文件。实际上，简报披露的技术构造完全不同。文件本身的加密依旧依靠成熟对称加密算法，对称加密速度快，适合批量处理海量文档、虚拟机磁盘；后量子 Kyber1024 算法，和 X25519 经典椭圆曲线算法组合，仅用于封装保护这份对称加密密钥。攻击者生成文件加密密钥之后，使用混合密钥交换方案对密钥进行封装，确保即便后续量子计算机成熟，第三方也无法通过破解公钥，还原出解密密钥。

这个设计的业务目的，是拉长勒索密钥的安全生命周期。当下量子计算还不具备破解现有公钥密码的能力，但攻击者考虑到 “先加密、后等待算力成熟再解密” 的场景，也就是所谓的 “先存储，后破解” 攻击。攻击者在当下加密文件，把加密后的密钥材料留存，等到未来通用量子计算机落地之后，再尝试破解密钥。使用 Kyber 后量子算法封装密钥，就是为了抵御这种远期风险，保障勒索密钥长期不会被第三方破解，维持勒索变现的可行性。

需要客观评估这项技术的现实影响：现阶段，量子计算威胁尚属于远期风险，对于当下正在发生的勒索事件，Kyber 算法并不会提升加密速度、不会增加解密难度、也不会让现有勒索应急手段立刻失效。它更多是勒索团伙面向未来的技术储备，是密码体系迭代浪潮下，攻击方同步跟进标准化后量子密码组件的信号。它的警示意义大于当下的即时破坏力。

同时该样本也带来密码安全治理的新课题。后量子密码正在逐步进入全球标准化落地阶段，政企机构都在规划后量子迁移路线。攻击者和防御方同步获取公开的标准算法库，防御方用来做安全升级，攻击者直接拿来嵌入恶意软件。这意味着密码敏捷性建设不再只是长期规划，而是事件响应当中必须纳入的能力。如果企业没有密钥隔离、密钥审计、密钥轮换的体系，无论使用经典密码还是后量子密码，一旦密钥被攻击者掌握，加密保护都会失去意义。

3 三类新型威胁带来的安全范式失配

传统安全防护体系的底层假设，是风险来自 “未知恶意对象”。防护思路是识别恶意文件、拦截恶意 IP、匹配恶意代码特征。本次三类样本，全部突破了这个底层假设，风险载体本身是合法可信程序、通用 AI 接口、标准化密码算法，单独看每一个组件，都符合正常业务的定义，风险来自组件被赋予越界的行为。

第一，静态特征检测失效。DarkVigil 没有落地独立恶意文件，载荷存放在注册表，依托可信签名进程运行；PromptSpy 的恶意逻辑是动态模型输出，没有固定代码序列；Kyber 使用公开标准密码库，算法代码本身无恶意标记。哈希、特征码、静态反编译比对，都很难稳定捕获这类风险。

第二，白名单信任机制的副作用凸显。为了保障业务可用性，企业会给输入法、办公软件、驱动程序、运维工具开放白名单，豁免流量审计、组件加载管控。攻击者恰恰利用这份信任，把攻击能力挂靠在白名单进程上。很多安全策略只管控 “能不能运行”，不管 “运行之后可以做什么”，进程行为基线缺失，造成信任权限的滥用。

第三，威胁研判容易出现两极误判。一方面，媒体容易放大 AI、后量子概念，把技术验证样本渲染成已经大规模爆发的高危威胁，造成资源错配，投入大量预算去应对短期不会规模化的风险；另一方面，运维团队容易轻视，认为只是概念验证，不提前搭建适配能力，等到同类攻击产业化之后，没有应急处置方案。反网络钓鱼技术专家芦笛强调，研判这类新型威胁，必须拆分三层信息：已经证实的能力、攻击者想要达成的目标、实际落地规模，不能只看技术演示效果就下定风险等级。

第四，溯源和取证难度提升。DarkVigil 依托可信进程执行，日志混杂在正常软件日志中；PromptSpy 的指令由外部大模型动态生成，不存在固定恶意脚本留存；Kyber 使用混合密码方案，密钥材料的存储、传输链路更加复杂。传统取证工具聚焦恶意二进制文件提取，针对内存注册表载荷、外部 API 交互日志、密钥封装流程的取证流程，很多企业尚未建立。

迪妙网络空间安全学院研究团队总结，这类威胁的本质是 “能力劫持”，区别于传统的 “代码投毒”。防御的核心不再是识别坏文件，而是管控好已经被授予信任的主体，划定合法能力的行为边界，建立进程、接口、密钥的行为基线，判断行为是否偏离正常业务预期。

4 面向复合新型威胁的防御闭环构建

4.1 可信进程行为基线管控，消解可信载体劫持风险

针对 DarkVigil 这类可信软件劫持攻击，管控重心不能放在禁止可信程序运行，而是建立精细化行为基线。首先梳理企业内部所有白名单常驻软件，明确每一款软件允许的联网地址、允许加载的模块路径、允许写入的注册表位置、自启触发条件。例如输入法程序，正常仅允许连接厂商官方更新域名，不允许访问未知境外 C2 地址；不允许从非官方目录加载动态链接库；不允许在注册表的非常规路径写入大段编码二进制字符串。

EDR、终端检测平台开启进程行为审计，对白名单进程采用 “默认允许、异常告警” 的策略，而不是完全放行。一旦可信进程出现异常行为：拉取陌生域名资源、加载未签名 DLL、在注册表存储编码载荷、非工作时段大量外联，自动触发告警，交由安全运营人员复核。同时定期开展终端基线核查，清理不必要的常驻软件，缩减白名单范围，减少攻击者可以利用的信任载体。

事件响应层面，针对可信进程劫持的排查清单需要单独制定，重点核查注册表编码项、内存注入模块、宿主进程的网络连接记录，而不是只扫描磁盘恶意文件。

4.2 AI 接口流量审计与移动端权限管控，抵御 AI 自动化木马

针对 PromptSpy 代表的 AI 驱动恶意交互威胁，分为移动端防护和流量侧审计两个方向。移动端优先收紧高风险权限管控，无障碍服务、屏幕录制权限设置强管控策略，普通业务 APP 默认禁止申请无障碍权限，所有权限申请留存日志，一旦金融类 APP、不知名下载 APP 申请该权限，直接触发告警。同时管控应用安装来源，禁止用户侧加载非应用商店来源的安装包，封堵木马投递的基础通道。

流量侧，对终端向外发起的大模型接口访问做审计。梳理企业内部合法的 AI 业务场景，登记允许调用大模型的业务终端、业务账号、调用用途。对于普通员工手机、办公终端，在没有业务审批的前提下，持续向大模型接口上传截图、图像数据的流量，标记为高风险异常流量。同时做好 API 密钥资产管理，严格管控密钥分发，一旦密钥泄露可以快速吊销，切断 AI 恶意链路。

同时在安全意识培训当中，重点更新这类新型欺诈手段：告知用户仿冒银行 APP 会诱导开启无障碍权限、远程自动操作设备，遇到要求开启无障碍、远程协助的金融弹窗，直接判定为欺诈。

4.3 密码敏捷体系建设，应对后量子勒索的远期风险

针对 Kyber 勒索软件体现的后量子密码趋势，企业需要启动密码敏捷规划，区分短期应急需求和长期迁移规划。短期来看，不需要立刻全面替换现有密码体系，重点做好密钥全生命周期管理：所有业务加密密钥隔离存储、定期轮换、密钥访问审计，备份系统和业务系统权限隔离，保障备份数据不被攻击者一同加密销毁。勒索事件的核心止损点，永远是可靠离线备份，密码算法升级不能替代备份策略。

长期维度，按照国内后量子密码标准，分阶段完成密码迁移，建立密码算法的清单管理，能够快速识别系统中使用的密码原语，支持算法替换、密钥重封装。同时安全团队在勒索应急流程中，新增密码材料取证环节，捕获攻击者使用的密钥封装数据，为后续密码层面的溯源、解密研判留存证据。

还要同步开展供应链密码审计，核查第三方组件、开源库当中的密码算法，防止供应链当中引入存在缺陷的密码实现，避免攻击者利用密码库漏洞绕过保护机制。

4.4 优化威胁情报研判与应急响应流程

企业威胁情报团队需要建立分类研判框架，区分概念验证、小规模定向攻击、大规模蠕虫三类威胁等级，避免资源错配。对于类似本文三类样本的新型技术验证类恶意样本，重点收集样本 TTP、IOC、攻击链路，更新检测规则，开展内部沙盘演练，而不是直接全域上线激进阻断策略。

应急响应流程增加针对内存载荷、注册表载荷、外部 API 依赖型恶意程序的处置步骤。在隔离终端之后，优先导出进程内存、注册表快照、网络会话日志，完成取证，再执行清理操作；避免直接重装系统，销毁攻击链路证据。同时复盘阶段重点追溯攻击入口：是钓鱼投递、权限泄露、供应链劫持，找到入口之后收敛暴露面，防止同类攻击重复发生。

5 讨论：新型威胁的演化边界与长期趋势

综合三个样本来看，攻击者的技术路线已经清晰：优先复用成熟、标准化、自带信任的组件，减少自研工作量，提升逃逸能力。这条路线的优势是开发成本低、隐蔽性强；但它同样存在天然边界，不会无限制扩张。

对于可信载体劫持，它依赖特定软件存在可被利用的加载机制，软件厂商持续修复组件漏洞、强化签名校验、限制后台组件权限，会持续压缩攻击面；对于 AI 驱动恶意软件，它高度依赖外部模型服务，服务商的 API 风控、密钥吊销机制，是天然的制衡手段；对于后量子勒索，它解决的是远期量子破解风险，无法改变勒索软件高度依赖内网高权限、破坏备份才能变现的底层逻辑，勒索变现的核心瓶颈依旧是访问权限和备份管控。

迪妙网络空间安全学院研究团队认为，未来一段时间，这类复合威胁会持续增加，但不会完全取代传统恶意软件。攻击团伙会根据目标价值选择方案：大规模广谱欺诈，依旧会使用低成本传统木马；针对高价值政企定向渗透，会越来越多地采用可信载体劫持、AI 辅助侦察这类隐蔽方案。

行业容易陷入一个误区，认为新技术本身是风险源头。实际上，生成式 AI、后量子密码、可信软件本身都是中立技术，风险来源于权限的无序授予、信任边界的模糊、安全基线缺失。防御方不需要抵制新技术，而是要同步建立适配新技术的管控规则，把技术能力放在可控的审计框架之内。反网络钓鱼技术专家芦笛补充，安全建设的重心，应当从 “查杀恶意代码”，转向管理信任：谁获得了信任、信任可以用来做什么、越界行为如何被及时发现。

6 结语

DarkVigil、PromptSpy、Kyber 三个样本，共同勾勒出恶意软件一条重要的演化分支：攻击不再独立制造恶意对象，而是寄生在合法可信技术生态之上。可信程序提供隐蔽的执行载体，生成式 AI 提供动态泛化的交互能力，后量子密码为勒索密钥提供远期抗量子保护。三者分别冲击传统文件检测、固定脚本行为识别、经典公钥密码防护三条安全防线。

本文通过拆解样本技术机理，厘清了多个广泛流传的认知误区：后量子算法并不用于加密业务文件，只是保护加密密钥；AI 恶意自动化现阶段大多依赖外部模型接口，存在单点失效弱点；可信载体劫持的威胁，来自白名单权限的滥用，而非程序本身存在恶意。基于这些事实，本文搭建了以行为基线管控、流量审计、密码敏捷管理、分级研判为核心的防御闭环，适配这类不具备传统恶意特征的新型威胁。

从长远来看，攻防双方都会持续同步使用通用新技术。防御体系必须跳出静态特征识别的固有框架，建立面向 “能力、权限、行为” 的安全评估体系。安全运营人员需要适应一个新的现实：告警不一定来自陌生恶意文件，很多高危攻击，就藏在已经被我们赋予信任的程序、接口和密码组件之中。持续细化信任边界、完善行为审计、做好分级风险研判，才是应对这类威胁稳定可行的路径。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院