卡巴斯基披露软件商供应链未遂事件 BO Team 潜伏数月摸到签名服务器

昨天刷到卡巴斯基 ICS CERT 在 11 月 5 日发的这份报告，标题起得很克制——Supply chain attack: BO Team in a software developer's infrastructure。看完正文我的第一反应是，这家软件商要是晚几个月才发现，下游客户拿到手的编译包里会是什么，想想有点后背发凉。



事情要从 2025 年 6 月说起。这家软件开发公司（报告没点名，客户多是东欧工业企业）发现系统管理员机器上出现来自不该有权限的账户的 SMB 连接尝试，于是请卡巴斯基介入。查下来几乎全线失守：域控制器、两个 vCenter 集群、邮件、DNS、备份、网络设备、VPN、SIEM、GitLab、Ansible 编排，以及最关键的——CI/CD 流水线和代码签名服务器。卡巴斯基把这次入侵以高置信度归因给 BO Team（Black Owl），一个平时偷数据、放勒索、还爱在 Telegram 上晒战绩的组织。但这次它一反常态：不加密、不破坏、不宣传，安安静静潜伏了好几个月。

入口说来毫无新意。一台暴露在公网的 Linux 终端服务器，SSH 允许口令登录，服务账户被拿下了。之后攻击者内网扫描，翻到了 VMware vCenter 的文档和漏洞库页面——卡巴斯基顺着这个线索去验了他们的 vCenter 7.0.3，里面捆绑的 log4j 就是 2021 年那个 Log4Shell（CVE-2021-44228），实验环境一打一个准。Base64 混淆的 nc 反弹 shell 拿到 root，再从 /root/.ssh/id_rsa 顺走私钥摸进 hypervisor。一个 2021 年的洞，在 2025 年的入侵里当主力用，这种事见的次数越多我越不想笑。

凭据层面的细节也很典型。域控上先试 nanodump 被旧版安全产品拦下，攻击者立刻改用系统自带的 comsvcs.dll 转储 LSASS，成功拿到了 ntds.dit 和 krbtgt 密钥——黄金票据的门槛已经跨过去了。再利用管理员跨域复用密码，连根域控制器一起拿下，所有办公室的域全部沦陷。另外他们对管理员个人终端服务器的 root 账户做了大约 2500 次失败爆破后才成功，前提是那台机器的 SSH 配置里写着 PermitRootLogin yes。

后门的藏法值得同行记下来。hypervisor 的 /etc/cron.hourly/ 下有两个伪装项：pgcache 伪装成 PostgreSQL 组件，每小时从攻击者域名拉脚本；1vmware-timesync 指向一个叫 vmware-toolbox-setdate 的混淆 bash，AES-256-CBC 解密后释放基于开源 reverse_ssh 改的 ReverseSSH 后门。所有文件都用 timestomping 把修改时间伪装成 2021 年。这套东西在事件响应后还能靠蜜罐观测到重新激活的尝试。

至于供应链这一步：卡巴斯基明确说，攻击者对源码仓库和构建签名服务器有持续兴趣，还用过软件组成分析平台，判断目标是往受害公司发布的产品里注入恶意代码、再感染其客户。好在每次代码注入尝试都被安全方案拦截，攻击未遂，报告里也没有客户被感染的记录。卡巴斯基拖了快一年才公开，为的是给这家公司留出修复和防回流的时间。还有一个细节我很在意：网络隔离之后，员工收到主题为 Account disconnected from the mail server 的钓鱼邮件，邮件通过了 SPF 检查还带着有效的 DKIM 签名——说明邮件服务器私钥早在入侵阶段就被偷走了，签名体系本身已经不可信。

给企业侧同行几句直话。这起事件里没有花活，全是基础卫生欠账：公网 SSH 开口令登录加 PermitRootLogin yes、Log4Shell 补丁拖了四年、明文凭据散落在脚本和注释字段里、域控上跑着多年没更新的安全产品、SIEM 还在部署中。这种不打草惊蛇的组合式 APT 不需要零日洞，这些口子够用了。有类似配置的，趁今天把 SSH 口令认证关掉、查一下自己 hypervisor 的 cron.hourly 里有没有不该在的东西，比读完十篇总结文章都有用。

交叉验证说明：本篇一手来源只有卡巴斯基 ICS CERT 报告本身，IntelFusions、Brandefense 与 AlienVault OTX 的转述我逐项对过——入侵时间（2025 年 6 月）、vCenter 7.0.3 加 Log4Shell、cron 路径与 MD5、DKIM 钓鱼细节、供应链攻击未遂的定性均一致，但未找到独立于卡巴斯基的第二方调查来源，特此注明。

来源：
1. Kaspersky ICS CERT，Supply chain attack: BO Team in a software developer's infrastructure，2026-11-05，https://ics-cert.kaspersky.com/publications/reports/2026/11/05/supply-chain-attack-bo-team-in-a-software-developers-infrastructure/
2. IntelFusions 转述与 IOC 整理，https://www.intelfusions.com/news/bo-team-software-developer-supply-chain-intrusion
3. Brandefense 转述与问答，https://brandefense.io/security-news/bo-team-supply-chain-attack-software-developer
4. AlienVault OTX 脉冲（含 ATT&CK 映射），https://otx.alienvault.com/pulse/6aec5fe933b8cac0f8ed7334

**HKTULU**
2026-11-06