新型无文件木马潜伏金融系统，拉撒路集团再掀加密劫案

核心提要：网络安全机构披露一种名为RemotePE的新型无文件远程访问木马，由疑似朝鲜背景的拉撒路集团用于针对金融机构与区块链企业的持续渗透。该恶意软件全程内存运行，规避检测，2026年前四个月已导致超5亿美元加密资产失窃。

新型无文件木马悄然渗透金融与科技生态

最新安全监测数据显示，一种代号为RemotePE的高级无文件远程访问工具正在全球范围内活跃，其攻击目标主要锁定银行及加密货币相关企业。该恶意程序完全在内存中执行，几乎不生成持久化文件痕迹，极大增加了取证与防御难度。

攻击链路依赖社交工程实现初始入侵

该组织惯用伪装手段，通过即时通讯平台冒充正规交易团队成员，诱导目标点击伪造的会议邀请链接。这些页面模拟真实的企业协作工具界面，以建立初步信任。一旦用户进入，攻击者即启动多阶段部署流程，逐步完成恶意代码植入。

三阶段载荷加载机制规避传统防护体系

攻击过程分为三个核心环节：首阶段由名为DPAPILoader的DLL组件负责调用Windows数据保护接口解密存储于本地的加密载荷；第二阶段通过RemotePELoader模块建立隐蔽的HTTP通信通道，从远端服务器下载最终执行体；第三阶段在内存中动态加载并激活RemotePE主控模块，整个链条避免对磁盘进行写入操作。

反检测设计使追踪难度显著提升

为逃避终端安全产品识别，该模块采用进程注入、加密通信、时间延迟等技术手段，确保各阶段行为难以被日志记录或行为分析捕获。由于未在系统中留下可查文件，此类攻击在事后调查中呈现极低可见性，最早可追溯至2025年9月。

攻击模式转向长期潜伏侦察而非即时破坏

分析指出，该恶意软件具备高度隐蔽性与持久控制能力，表明其目的在于长期驻留、数据窃取与情报收集，而非立即损毁系统。这种策略与以往大规模勒索或破坏型攻击形成鲜明对比，显示出攻击者对目标价值的深度评估。

人工智能工具反被滥用，加剧数字风险

随着投资者广泛使用智能算法优化交易决策，攻击者正利用类似技术构建更具欺骗性的诱饵内容。这些工具被嵌入虚假验证流程中，诱导用户主动执行恶意脚本，从而实现权限获取。

大规模漏洞利用波及多元领域

近期还发现针对七百余个特定内容管理系统的批量攻击活动，黑客利用已知高危漏洞获取后台权限，并通过自动化脚本将恶意代码植入官方软件分发渠道。受影响单位包括学术研究机构、人工智能项目组、区块链服务平台、金融科技公司以及网络安全组织。

恶意软件变种伪装成开源应用包植入系统

新版本恶意程序不再仅限于系统级加载，而是以合法开源软件安装包形式出现，增加用户信任度。一旦安装成功，即建立定时回连机制，与远程控制服务器保持联络，实现长期远程操控。