朝鲜黑客组织新恶意软件威胁金融安全

核心提要：朝鲜关联黑客组织“拉撒路”部署新型无文件恶意软件RemotePE，针对银行与加密货币企业。该工具完全内存运行，规避传统检测，已导致多起重大资产损失事件。

新型无文件攻击工具暴露金融行业深层漏洞

网络安全研究机构在2025年9月识别出一种由朝鲜背景组织操控的高级恶意软件，代号为‘RemotePE’。该工具属于无文件远程访问框架，专用于渗透金融机构及加密资产运营方，其核心特征是在内存中持续执行，几乎不向磁盘写入任何数据，极大提升了隐蔽性与逃避检测的能力。

伪装成投资顾问的社交工程诱饵策略

攻击者惯用心理操纵手段展开初始入侵，通过即时通讯平台冒充正规投资机构人员，以日程安排邀约作为切入点。首次互动后，逐步建立信任关系，并引导目标接受后续带有恶意代码的链接或附件。这种基于人际信任链的渗透方式显著提升攻击成功率，是当前复杂攻击链中的关键环节。

三阶段渗透链揭示攻击演进路径

攻击流程始于名为DPAPILoader的动态链接库加载，该组件利用Windows系统内置的数据保护接口解密储存在本地的第二阶段载荷。随后，RemotePELoader通过标准HTTP协议从远程服务器获取下一阶段指令并直接注入内存空间。最终主控程序在无文件状态下启动，全程不触碰文件系统，实现高度隐蔽的持久化控制。

多重远程访问工具协同作案形成复合威胁

近期调查发现，某去中心化金融平台因连续遭受三种不同远程访问工具侵袭而陷入瘫痪：RemotePE、PondRAT和ThemeForestRAT。这些工具各自承担不同功能模块，形成可扩展的攻击生态系统，使攻击者能在目标环境中长期潜伏并实施多轮数据窃取与系统破坏。

高阶规避技术令传统防御机制失效

分析指出，RemotePE采用系统级的DPAPI进行密钥管理，所有操作均在内存中完成，配合多种反分析技术，使其对常规杀毒软件和端点检测系统几乎免疫。这一特性使得企业依赖的传统安全措施难以发挥作用，增加了风险评估与响应难度。

人工智能滥用与漏洞链引发大规模泄露

随着人工智能在金融与开发场景广泛应用，攻击者也转向利用AI生成内容实施欺骗。一次影响超过700个网站的大规模数据泄露事件，源于内容管理系统中存在的严重SQL注入缺陷。攻击者借此窃取管理员凭据，进而通过合法分发渠道传播恶意代码。受影响单位涵盖高校科研项目、区块链服务商、金融科技初创企业及开源软件平台。

受害者常在执行被篡改的验证码提示时，无意间下载嵌有恶意程序的文件。早期攻击依赖系统自带工具部署，而最新变种则转而使用开源应用作为跳板进入内网。一旦植入成功，恶意软件将定期连接命令控制服务器接收更新指令，维持长期控制能力。