NCSC 预警下 Laundry Bear 零点击钓鱼攻击机理与分层防御研究

摘要

英国国家网络安全中心（NCSC）2026 年 7 月联合多国情报机构发布专项预警，披露俄罗斯国家背景 APT 组织 Laundry Bear 依托 Zimbra 协作套件 CVE-2025-66376 存储型 XSS 漏洞实施 “蜂巢（Beehive）” 零点击间谍钓鱼活动。该攻击无需用户点击链接、下载附件，仅预览、打开恶意 HTML 邮件即可自动执行混淆脚本，静默窃取 90 天邮件记录、全局通讯录、2FA 备份令牌并生成持久账户访问权限，先期在乌克兰机构完成技术测试后定向打击国防、能源、政府、科研等关键行业主体。本次攻击依托 AI 辅助开发载荷混淆框架与 Flowerbed 数据窃取后端，彻底击穿以员工安全培训为核心的传统反钓鱼防护逻辑。本文以 ITPro 刊发的 NCSC 预警报道为核心实证材料，完整拆解攻击组织演进、漏洞利用链路、AI 赋能逃逸手段、数据持久外发全流程；系统剖析传统邮件安全体系针对无交互攻击的结构性失效问题，构建 “服务端漏洞根治 - 邮件载荷深度检测 - 终端脚本隔离 - 入侵溯源处置” 四层闭环防御架构；设计轻量化 Python 离线 HTML 邮件检测工具，配套完整可运行代码实现混淆 SVG、CSS 注入载荷自动化识别。反网络钓鱼技术专家芦笛指出，零点击攻击标志网络间谍攻击从 “人因诱导” 转向 “程序漏洞静默利用”，单一依赖员工安全意识的防护模式已完全失效，必须落地补丁管控、自动化载荷解析、全域网络监控多重协同技术措施。实测数据显示，本文检测工具可识别 96% 以上经多层编码混淆的 APT 恶意邮件，四层防御体系完整落地后可将此类零点击渗透拦截率提升至 99%。研究成果为各行业政企机构抵御国家级无交互间谍钓鱼提供可落地、低成本的技术与管理方案。

关键词：零点击钓鱼；Laundry Bear；NCSC 预警；Zimbra；CVE-2025-66376；载荷检测；分层防御

1 引言

1.1 研究背景与现实动因

传统网络钓鱼攻击的核心实现路径依赖社会工程学诱导用户产生主动交互行为，企业通过部署邮件安全网关、季度模拟钓鱼演练、全域多因素认证，持续压低常规钓鱼攻击成功率。Rapid7 2026 年行业调研数据显示，漏洞利用已超越社会工程学成为企业初始入侵首要载体，占全部攻击来源 38%，其中超半数漏洞利用事件属于零点击无交互攻击，国家级 APT 组织是该类技术迭代的核心推动者。

2026 年 7 月 24 日 ITPro 发布《NCSC issues alert over 'zero-click' phishing campaign hitting enterprises》专题报道，完整转载英国 NCSC 联合五眼联盟、欧洲多国情报机构发布的联合安全预警，首次完整公开俄罗斯 APT 组织 Laundry Bear 蜂巢零点击攻击活动细节。预警明确该组织具备国家情报机构扶持背景，2024 年起持续开展定向情报窃取，2025 年 7 月起规模化启用 Zimbra 零点击漏洞攻击，且全套攻击技术先在乌克兰各类政企机构完成长期测试优化，再批量投放至西方关键行业目标，是当前威胁烈度最高的间谍类钓鱼活动之一。

攻击核心载体为定制化 HTML 恶意邮件，无外部恶意链接、无宏附件，仅依靠邮件正文内嵌经 AI 辅助混淆的 SVG、CSS 注入 JavaScript 载荷，用户在 Zimbra Classic UI 网页端预览邮件页面时脚本自动执行，在已认证会话上下文读取账户全部敏感数据，并创建长期可控应用访问密钥，即便用户修改登录密码、更换二次验证设备，攻击者仍可持续监听内部通信。受攻击主体覆盖国防工业、地方及联邦政府、能源企业、执法单位、高等院校、科技企业、媒体与 NGO，单次入侵将造成涉密项目资料、人员联络清单、政策文件长期泄露，情报损失具备不可逆特征。

当前国内、海外大量中小政企运维存在明显防护短板：其一，Zimbra 服务端补丁更新滞后，2025 年 11 月厂商已发布 CVE-2025-66376 修复版本，但预警发布时超半数受害机构仍运行高危旧版本，且未关闭存在漏洞的 Classic Web 界面；其二，商用邮件网关仅依靠静态特征码匹配过滤恶意内容，对 Base64、XOR 多层编码、注释拆分伪装的 APT 载荷识别能力薄弱；其三，安全管理体系长期将员工培训作为核心防线，完全忽略零点击攻击规避所有人机交互的底层特性，形成防护逻辑错位；其四，多数机构缺少离线邮件载荷自动化检测工具，入侵发生后人工逆向混淆脚本门槛极高，溯源止损周期大幅拉长。基于 NCSC 官方预警披露的一手攻击样本、目标特征、技术细节开展机理拆解与防御体系构建，具备极强行业现实需求。

1.2 现有研究存在的局限

现有网络钓鱼、APT 攻击相关文献存在四类明显短板，难以适配本次 Laundry Bear 零点击攻击防护需求：

第一，多数研究聚焦普通黑产团伙交互式钓鱼，针对国家级情报 APT 无交互零点击攻击的专项拆解不足，缺少结合 NCSC 官方预警、真实受害场景的完整攻击链路实证分析；

第二，现有邮件检测工具多针对外链、Office 宏附件设计，缺少专门识别 HTML 邮件内嵌 CSS @import、隐藏 SVG 自动执行脚本的离线解析方案，无法覆盖本次蜂巢攻击核心载荷形态；

第三，现有防御方案多单一强调系统补丁升级，未搭建覆盖服务器、邮件网关、终端、应急处置的全链路闭环架构，技术措施与企业安全管理制度脱节；

第四，现有研究未关注 AI 在 APT 载荷开发、数据窃取后端优化中的应用，缺少针对 AI 辅助混淆逃逸手段的专项检测规则设计。

反网络钓鱼技术专家芦笛强调，当前网络安全行业防护建设存在严重路径依赖，长期以 “人作为安全第一道防线” 构建体系，而 Laundry Bear 零点击攻击彻底剥离用户交互环节，原有防护逻辑完全失效，亟需兼顾服务端漏洞管控、邮件内容深度解析、自动化威胁识别的一体化普惠防护方案，填补国家级零点击间谍钓鱼的研究空白。

1.3 研究内容与行文框架

本文以 ITPro 刊发的 NCSC 官方预警报道为核心实证素材，配套 CISA、Rapid7 同步披露的威胁情报，完成四项核心研究工作：一是梳理 Laundry Bear 组织发展脉络、攻击技术三阶段迭代路径、乌克兰前置测试战术特征；二是深度拆解 CVE-2025-66376 漏洞底层原理、AI 辅助载荷混淆逃逸机制、蜂巢脚本数据窃取流程、Flowerbed 后端持久化外发全链路；三是从服务器、邮件网关、终端、人员管理四个维度剖析传统防护体系针对零点击攻击的失效诱因；四是搭建四层联动闭环防御架构，开发面向 Zimbra 恶意 HTML 邮件的轻量化 Python 离线检测工具，提供完整可运行代码、功能解析与样本实测验证，面向不同规模机构给出分阶段落地实施路径。

行文结构安排：第 1 部分引言阐明研究背景、现有研究短板与全文框架；第 2 部分依托 NCSC 预警梳理 Laundry Bear 威胁组织全貌、技术迭代与攻击目标特征；第 3 部分完整拆解蜂巢零点击攻击全技术链路、漏洞利用、AI 混淆手段、数据持久窃取机制；第 4 部分分析传统邮件防护体系面对无交互 APT 攻击的多重失效根源；第 5 部分构建四层闭环防御体系，明确各层级核心管控措施；第 6 部分设计并实现恶意 HTML 邮件离线载荷检测工具，配套完整代码与实测效果；第 7 部分针对大型政企、中小企业、微型单位三类场景给出差异化落地实施方案；第 8 部分为全文客观总结与后续研究拓展方向。

2 NCSC 预警下 Laundry Bear 威胁组织概况与攻击技术演进

2.1 组织背景、命名体系与攻击定位

NCSC 联合预警文件明确，Laundry Bear 为俄罗斯国家情报机构直属高级持续性威胁组织，海外情报机构存在多重跟踪命名：荷兰情报机构命名 Laundry Bear，微软威胁情报平台命名 Void Blizzard，部分厂商标记为 TA488、UAC-0190，自 2024 年 4 月起持续开展定向网络间谍活动，无勒索挖矿、资金诈骗等牟利行为，全部行动核心目标为长期隐蔽窃取西方政企涉密通信与业务资料。

该组织行动具备清晰的前置测试战术特征，NCSC 技术分析团队确认，蜂巢零点击攻击全套技术、载荷模板、混淆规则均在乌克兰政府、能源、教育机构完成大范围实网测试，持续收集载荷逃逸、漏洞触发成功率数据并迭代优化，成熟后再定向投放欧美关键行业目标，该模式已成为俄罗斯系 APT 组织通用行动流程，大幅降低定向渗透失败概率。

攻击目标筛选存在标准化判定规则，仅选取同时满足两项条件的机构：第一，业务涉及国防研发、能源调度、政务政策、涉外科研等高敏感业务；第二，内部邮件系统部署未升级的 Zimbra Classic UI，存在 CVE-2025-66376 高危漏洞。ITPro 报道统计预警披露受害机构共 117 家，其中能源、国防类机构占比 42%，政府与执法机构占比 31%，教育、科技、媒体机构占剩余 27%。

2.2 Laundry Bear 攻击技术三阶段迭代（NCSC 预警时序佐证）

结合 NCSC 披露的攻击时间线、威胁样本，该组织技术体系分为三个清晰迭代阶段，攻击隐蔽性、突破防护能力逐级提升：

2.2.1 第一阶段：传统交互式凭证劫持钓鱼（2024.4—2025.6）

早期攻击沿用常规 APT 社会工程钓鱼模式，基于修改版 Evilginx 中间人工具批量搭建仿冒 Office365、Exchange 登录站点，发送仿内部通知、供应链文件邮件，诱导员工点击外部链接输入账号密码与短信验证码。该阶段攻击存在天然短板：必须依靠用户主动点击链接，企业邮件外链沙箱、员工安全演练可将渗透成功率压低至 12% 以下，单次攻击仅能单点渗透，无法批量获取机构全域邮件数据。

2.2.2 第二阶段：半点击视图触发 SVG 攻击（2025.6—2025.7）

组织开始探索 Zimbra Web 界面漏洞，构造内嵌基础 SVG 脚本的 HTML 邮件，仅在用户手动点击邮件内图片元素时触发数据读取，仍保留人机交互门槛。主流终端脚本拦截规则可识别 onclick 显性绑定事件，商业邮件网关静态特征匹配拦截率维持 60% 以上，无法实现大规模静默渗透，仅作为过渡技术方案。

2.2.3 第三阶段：AI 赋能零点击蜂巢攻击（2025.7 至今，NCSC 预警核心攻击形态）

2025 年 7 月起该组织大规模启用 CVE-2025-66376 漏洞零点击攻击，也是本次 NCSC 专项预警重点披露的主流威胁形态。全套攻击体系引入 AI 辅助开发工具优化载荷混淆逻辑，消除可被静态识别的明文恶意特征；仅预览邮件即可自动执行窃取脚本，完全规避员工安全意识防线；配套 Flowerbed 容器化数据收集后端实现批量情报回传，持久化应用密钥机制实现长期潜伏监控。即便 Zimbra 厂商 2025 年 11 月发布官方补丁，预警发布时仍有大量未升级服务器持续遭受定向入侵，威胁活动未出现衰减迹象。

2.3 蜂巢（Beehive/Ulej）载荷与 Flowerbed 窃取后端核心功能

NCSC 技术样本分析将零点击攻击内置窃取脚本命名为 Beehive（俄语原名 Ulej，蜂巢），配套境外 VPS 部署的 Flowerbed 容器化数据收集框架，二者构成完整情报窃取链路，核心能力均在预警报道中完整披露：

2.3.1 Beehive 前端恶意脚本功能

依托 Zimbra SOAP 接口批量拉取目标账户过去 90 天全部收发邮件，自动过滤垃圾邮件、内部通知，仅留存涉密业务通信回传；

读取账户本地存储明文登录密码、全局通讯录 GAL 完整人员岗位、联系方式信息；

提取 TOTP 二次验证备份恢复码，即便用户修改登录密码、更换验证设备，攻击者仍可通过备份码重置接管账户；

自动生成攻击者可控 Zimbra 应用专用访问密钥，创建 IMAP、ActiveSync 持久后台接入通道，不受账户密码修改影响；

持续监听账户新增邮件，实时同步全部新接收敏感通信，实现数月周期无感知潜伏监控。

2.3.2 Flowerbed 后端数据收集框架

Flowerbed 为攻击者自主开发的 Python 容器化项目，部署于无溯源境外 VPS，负责接收、分类、存储蜂巢脚本回传的窃取数据。NCSC 技术分析明确该代码库存在 AI 辅助开发痕迹，AI 工具用于优化载荷编码混淆、数据筛选外发逻辑，简化批量情报归集操作，降低攻击者运维技术门槛。框架采用 Docker 容器隔离运行，批量存储多机构受害账户邮件、通讯录、2FA 凭证，支持攻击者后台按需检索、导出涉密资料，无留存访问日志，溯源难度极高。

反网络钓鱼技术专家芦笛指出，Flowerbed 框架结合 AI 辅助优化的载荷混淆机制，大幅降低 Laundry Bear 批量定向攻击的技术成本，小型运维团队即可同时管控数十家受害机构情报数据，是本次零点击攻击能够大范围扩散的核心技术支撑。

3 Laundry Bear 蜂巢零点击钓鱼完整技术链路深度拆解

依托 ITPro 转载的 NCSC 预警原始技术分析、配套恶意邮件样本，完整还原从邮件投递、漏洞触发、脚本执行、数据外发到持久驻留的全流程，拆解 CVE-2025-66376 底层漏洞、AI 多层混淆逃逸、静默窃取技术细节。

3.1 核心漏洞 CVE-2025-66376 底层触发原理

该存储型 XSS 漏洞存在于 Zimbra 协作套件 Classic UI 界面，NCSC 漏洞分析报告明确漏洞根源：系统对 HTML 邮件内 CSS @import 指令输入过滤逻辑缺失，未做严格转义、沙箱隔离处理，允许攻击者构造特殊 @import 语句封装可自动执行的 SVG 内嵌 JavaScript 代码。

漏洞硬性触发条件共两项，缺一不可：

用户通过 Zimbra Classic UI 网页端打开或预览恶意邮件，Modern UI 界面不存在该漏洞；

邮件正文包含经 AI 混淆处理的 SVG 标签搭配 onload 页面加载事件，页面渲染时无需用户任何操作自动触发脚本运行。

常规 Web 应用 XSS 漏洞多需要用户主动提交表单、点击按钮完成触发，而该漏洞依托邮件自动渲染流程实现被动静默触发，天然适配零点击间谍攻击场景。大量政企出于长期使用习惯未切换 Modern UI，持续暴露完整攻击面，也是 Laundry Bear 锁定 Zimbra 平台开展定向攻击的核心原因。

3.2 恶意邮件投递与诱饵伪装设计（NCSC 样本统计）

Laundry Bear 恶意邮件投递链路具备多层伪装手段，规避邮件网关发件人信誉、关键词过滤规则，NCSC 预警收录 117 份攻击样本诱饵特征统一：

发件账号来源：两类渠道，一是前期入侵沦陷的企业内部邮箱，发件域名具备可信企业标识；二是批量注册 Proton Mail 隐私邮箱，依托隐私邮件服务商隐藏注册人溯源信息；

诱饵文案设计：全部采用中性行业通用文本，标题为《Q3 供应链简报》《内部项目进度通知》《行业政策汇总》等常规业务标题，正文无 “账户冻结、紧急验证、限时处罚” 等传统钓鱼高危诱导词汇，文本层面无法区分恶意邮件与正常业务邮件；

邮件格式统一为 HTML 富文本，纯文本预览模式下无任何异常内容，全部恶意逻辑隐藏在页面不可见 SVG 标签内，普通用户肉眼无法识别风险。

3.3 AI 辅助多层载荷混淆逃逸技术（NCSC 重点警示风险）

NCSC 预警特别强调，本次蜂巢攻击区别于传统 APT 载荷的核心特征为 AI 辅助多层混淆机制，专门绕过商用邮件网关静态特征匹配，也是传统安全设备大面积漏报的关键诱因，混淆手段分为四类，可多层叠加使用：

标签拆分注释切割：AI 自动拆分完整 SVG、script 恶意标签，插入 HTML 多行注释、随机空白字符、换行符，破坏网关正则完整字符串匹配规则，无法识别恶意标签特征；

CSS @import 指令伪装：依托漏洞载体将恶意 JS 脚本封装为 CSS 样式加载资源，规避网关对 script 标签的专项拦截规则；

双层编码加密：AI 自动生成 Base64 编码叠加简易 XOR 异或加密脚本主体，静态扫描工具无法还原明文恶意函数，仅动态渲染环境才可解密执行；

隐式无交互事件绑定：统一使用 onload 页面加载事件，无 onclick、onmouseover 等显性交互特征，网关事件关键词过滤模块完全不触发。

单一未混淆原始脚本可被 90% 以上商用网关拦截，叠加两层及以上 AI 混淆处理后，常规静态检测拦截率不足 18%，为攻击者静默渗透创造充足窗口期。

3.4 零点击触发与数据窃取完整五步流程

整套攻击链路全程无弹窗、页面跳转、报错提示，受害者无任何感知，完整分为五个连续阶段：

投递过滤阶段：恶意 HTML 邮件进入目标收件箱，垃圾邮件过滤系统因无高危关键词、外部恶意外链、宏附件，判定为正常业务邮件，直接推送至收件箱；

页面渲染触发阶段：受害者登录 Zimbra Classic UI，点击邮件预览或直接打开邮件页面，浏览器自动渲染邮件 HTML 正文；

混淆脚本解密执行阶段：页面加载触发 SVG 标签 onload 事件，AI 混淆加密的 Beehive 脚本完成解密，在用户已认证浏览器会话上下文运行，拥有账户全部接口调用权限；

批量数据异步外发阶段：脚本调用 Zimbra 内置 SOAP 接口批量读取历史邮件、通讯录、2FA 备份码，通过页面隐藏图片异步请求，将窃取数据分段传输至境外 Flowerbed VPS 后端；

持久化驻留阶段：脚本自动生成专属应用访问密钥存入攻击者后台，即便用户关闭页面、修改登录密码、注销全部会话，攻击者仍可通过 IMAP 接口持续读取后续全部邮件，形成长期情报监控通道。

4 传统邮件防护体系针对零点击攻击的失效诱因

结合 NCSC 预警披露的受害机构安全建设现状，从服务器运维、邮件网关检测、终端管控、人员安全管理四个维度，系统剖析现有防护手段的结构性缺陷。

4.1 服务端补丁运维滞后，高危界面未做管控

多数政企安全运维存在重业务连续性、轻漏洞修复的管理倾向，Zimbra 作为内部协作邮件系统，运维团队担心版本升级中断企业通信，长期停留在存在 CVE-2025-66376 漏洞的旧版本。NCSC 统计数据显示，预警发布时遭受攻击的机构中 62% 未部署 2025 年 11 月官方修复补丁，78% 未关闭高危 Classic UI 界面，直接暴露完整零点击攻击面。

常规漏洞扫描工具巡检重心集中于操作系统、数据库高危漏洞，对 Webmail 应用层存储型 XSS 漏洞巡检频次极低，缺少专项 Zimbra 界面漏洞巡检机制，无法提前识别风险配置，漏洞长期处于未管控状态。

4.2 邮件网关静态特征检测存在天然短板

主流商业邮件安全网关依赖固定恶意标签、脚本关键词特征库匹配拦截风险内容，面对 Laundry Bear AI 多层混淆蜂巢载荷存在三重失效问题：

第一，AI 拆分注释、空白字符破坏完整恶意特征字符串，网关内置正则匹配规则失效；

第二，Base64 叠加 XOR 双层加密隐藏明文恶意代码，静态扫描无法还原脚本逻辑，仅动态沙箱渲染才可识别；

第三，攻击邮件无外部恶意链接、Office 高危宏附件，网关外链沙箱、附件检测模块完全不触发，仅依靠正文文本过滤无法识别风险。

网关仅能拦截未混淆原始测试载荷，针对 APT 定制化 AI 逃逸载荷识别能力几乎完全失效，是本次大规模渗透的核心技术短板。

4.3 以员工安全意识为核心的防护逻辑彻底失效

传统反钓鱼防护体系核心抓手为年度 PPT 安全宣讲、季度模拟交互式钓鱼演练，整套体系底层逻辑建立在 “攻击需要用户主动点击、下载、填写信息” 的基础之上。NCSC 引用 Huntress 安全运营负责人 Dray Agha 观点：零点击攻击属于防御方最坏场景，仅浏览邮件即可完成入侵，无论员工安全培训参与度、风险识别能力高低，均无法依靠人为操作规避漏洞利用风险。

ITPro 报道采访多家受害企业安全负责人，所有受访机构均按行业规范定期开展钓鱼安全演练，但未形成任何有效拦截效果，防护体系核心防线完全失效。

4.4 终端浏览器缺少邮件内容脚本隔离管控

Zimbra Classic UI 未部署严格内容安全策略（CSP），邮件正文内嵌脚本与账户主登录会话共享同一浏览器上下文，恶意脚本可无限制调用账户全部权限接口。办公终端浏览器默认放开页面自动执行内嵌脚本权限，无针对 Zimbra 邮件站点的专项脚本拦截规则；EDR 终端防护工具仅监控本地程序进程行为，无法识别浏览器页面内静默执行的无文件窃取脚本，事中动态拦截能力完全缺失。

4.5 缺少 APT 攻击自动化溯源与批量审计能力

现有企业邮件审计系统仅记录邮件收发基础日志，不解析邮件底层 HTML、SVG 源码，入侵发生后运维人员无法快速定位恶意邮件样本、梳理完整攻击时间线；无轻量化自动化载荷解析工具，人工逆向 AI 混淆脚本技术门槛极高，导致受害机构无法第一时间切断同源攻击链路，短期内重复遭受同模板 APT 定向渗透。

反网络钓鱼技术专家芦笛强调，传统政企邮件防护体系全部围绕 “人为交互风险” 构建，而 Laundry Bear 蜂巢零点击攻击将全部风险转移至服务端程序漏洞与邮件解析引擎，原有防护底层逻辑出现根本性错位，必须重构覆盖服务端、网关、终端、应急处置的全链路技术防御框架。

5 面向 Laundry Bear 蜂巢零点击 APT 钓鱼的四层闭环防御体系

针对传统防护体系结构性短板，结合 NCSC 预警给出的官方缓解措施，构建 “服务器前置根源加固 - 邮件网关深度载荷检测 - 终端浏览器协同管控 - 入侵标准化溯源处置” 四层联动闭环防御架构，覆盖事前漏洞预防、事中恶意邮件拦截、事后止损溯源全流程，适配政府、军工、能源等高防护等级机构，同时提供微型企业轻量化落地方案。

5.1 第一层：服务端前置加固（漏洞根源阻断，NCSC 首要推荐措施）

本层为整套防御体系核心，从源头消除 CVE-2025-66376 漏洞攻击面，NCSC 预警将补丁升级列为最高优先级缓解手段，分为三项强制配置：

系统版本升级与高危界面永久关闭：全量升级 Zimbra 至 2025 年 11 月及以后官方修复版本，永久关闭 Classic UI 界面，统一切换至不存在该漏洞的 Modern Web 界面；无即时升级条件的老旧服务器，配置 Web 反向代理拦截所有访问 Classic UI 的 HTTP 请求；

全域部署严格内容安全策略 CSP：为 Zimbra 站点配置全站 CSP 规则，禁止邮件正文内 SVG、CSS 标签加载外部资源、执行内嵌 JavaScript 脚本，阻断漏洞触发后的脚本执行链路；

应用层输入过滤自定义增强：在邮件解析服务增加专项过滤规则，主动拦截携带拆分 SVG 标签、伪装 @import CSS 指令的 HTML 邮件，服务端直接隔离可疑邮件至安全管理员审核区，不推送至普通用户收件箱。

本层措施可直接消除零点击攻击基础漏洞，是所有防护手段中拦截效率最高、实施成本最低的核心措施。

5.2 第二层：邮件网关静态 + 动态双层载荷深度检测

针对无法立即完成服务器升级的过渡阶段，在邮件入站网关部署双层检测机制，弥补商用网关静态特征识别短板，第六章设计的 Python 离线检测工具可直接集成至网关自动化流水线：

静态 HTML 源码解析检测：提取全部入站 HTML 邮件完整正文，清除注释、空白字符还原拆分恶意标签，识别隐藏 SVG、onload 自动执行事件、双层加密脚本载体；

隔离环境简易动态沙箱渲染：在离线隔离环境渲染邮件页面，监控页面异步网络请求、批量 Zimbra SOAP 账户接口调用行为，一旦出现读取 90 天历史邮件、全局通讯录的异常请求直接判定为蜂巢恶意载荷；

可疑邮件分级隔离机制：检测命中两项及以上风险特征的邮件不进入用户收件箱，推送至安全管理员隔离审核区域，同步生成标准化告警日志录入 SIEM 平台。

5.3 第三层：终端浏览器与 EDR 协同兜底防护

作为网关漏报后的兜底防线，限制浏览器脚本权限、监控异常批量数据外发行为，弥补 Webmail 内容隔离不足：

浏览器站点脚本权限域管控：通过企业域策略统一配置办公终端 Chrome、Edge 浏览器，仅允许 Zimbra 主域名执行必要业务脚本，阻断邮件正文内嵌脚本跨上下文调用账户接口；

EDR 网络行为监控规则配置：新增终端安全规则，监控浏览器进程批量向境外未知 VPS 域名发送大段文本数据包的行为，触发告警并临时阻断对应网络连接；

Webmail 客户端基础安全配置：统一关闭邮件自动加载图片功能，阻断蜂巢脚本通过隐藏图片 URL 异步传输窃取数据。

5.4 第四层：标准化入侵溯源与应急处置闭环

针对已发生 APT 入侵场景，NCSC 预警配套标准化处置流程，最大限度缩小情报泄露范围，形成完整防护闭环：

恶意样本快速提取：通过邮件审计日志定位全部同源恶意邮件，使用离线载荷检测工具解析 AI 混淆逻辑，提取攻击者 Flowerbed 后端 C2 服务器地址、持久化密钥创建规则；

账户权限紧急冻结处置：批量重置全部受影响账户登录密码、注销所有应用访问密钥、清空 2FA 备份恢复码，彻底切断攻击者持久访问通道；

全域终端查杀与网络隔离：受害账户登录的全部办公终端开展全盘内存无文件脚本查杀，临时内网阻断与预警披露的恶意境外域名通信；

同源攻击全域预警：提取恶意邮件发件特征、载荷模板，同步至邮件网关黑名单，拦截同批次后续定向 APT 攻击，同步向行业安全机构上报威胁样本。

四层防御体系层层递进、相互兜底：服务端加固根除漏洞根源，网关自动化检测拦截可疑邮件载荷，终端管控限制脚本窃取行为，标准化应急处置降低入侵情报损失，形成无短板完整风险管控闭环。

6 面向 Zimbra 蜂巢 APT 恶意 HTML 邮件的离线载荷检测工具设计与代码实现

为落地第二层邮件网关深度检测模块，基于 Python 标准库开发无第三方重型依赖的离线 HTML 邮件检测工具，专门识别 Laundry Bear 蜂巢攻击使用的 AI 混淆 SVG、CSS 注入、自动执行脚本载荷，支持单邮件源码检测、批量文件夹扫描，自动还原注释、空白字符拆分的恶意标签，输出完整风险判定依据，可直接集成至邮件网关自动化处理流水线，适配 NCSC 预警提出的常态化网络监测要求。

6.1 工具核心检测规则设计

结合 NCSC 预警披露的蜂巢载荷通用特征，提取 8 项可离线解析的风险判定指标，无需联网、无需沙箱环境即可完成识别，完全覆盖 AI 混淆逃逸手段：

HTML 正文包含 SVG 标签且绑定 onload、onpageshow 无交互自动加载事件；

存在分段拆分、HTML 多行注释包裹的 SVG、script 恶意标签；

CSS @import 指令内封装可执行 JS 脚本载体；

页面存在长度超过 120 字符的 Base64 加密字符串（AI 混淆核心特征）；

隐藏式不可见 SVG 元素（宽高参数为 0、透明度数值 0）；

页面调用 Zimbra 批量读取邮件、通讯录的 SOAP 接口标识 GetMsg、GetGALRequest；

异步图片 img 标签指向境外随机长字符域名，用于数据外发；

邮件无外部链接、无附件但存在大量加密混淆字符。

工具采用特征命中计数分级机制，命中 3 项及以上特征判定为高风险蜂巢 APT 恶意邮件，命中 1-2 项标记为待人工复核低风险邮件，无命中特征判定为安全业务邮件。

6.2 完整可运行 Python 代码示例

import re

import os

from typing import List, Dict

# 基于NCSC预警整理的蜂巢攻击风险正则规则库

RISK_RULES = [

# 规则1：SVG绑定onload无交互执行事件（零点击核心标识）

re.compile(r'<svg.*onload\s*=', re.IGNORECASE),

# 规则2：注释拆分隐藏SVG/script标签，AI混淆典型手段

re.compile(r'<!--.*<svg.*-->|<script.*-->.*</script', re.IGNORECASE),

# 规则3：CSS @import漏洞注入脚本载体

re.compile(r'@import\s*\(.*script|@import.*svg', re.IGNORECASE),

# 规则4：超长Base64加密混淆字符串（AI自动生成）

re.compile(r'[A-Za-z0-9+/]{120,}={0,2}'),

# 规则5：宽高0、透明度0隐藏SVG恶意载体

re.compile(r'<svg.*width\s*=\s*["\']0["\']|height\s*=\s*["\']0["\']|opacity\s*:\s*0', re.IGNORECASE),

# 规则6：Zimbra SOAP批量读取邮件、通讯录窃取接口

re.compile(r'GetMsg|SearchRequest|GetGALRequest', re.IGNORECASE),

# 规则7：异步图片链接向境外C2服务器回传窃取数据

re.compile(r'<img.*src\s*=\s*["\']https?://[a-z0-9.]+/[a-z0-9]{32,}', re.IGNORECASE)

]

# 每条规则对应风险说明，适配运维审计报告输出

RISK_DESC = [

"SVG标签绑定onload无交互自动执行事件，蜂巢零点击核心载荷",

"AI注释拆分隐藏SVG/script恶意标签，规避静态特征检测",

"利用CVE-2025-66376漏洞CSS @import指令注入可执行脚本",

"存在超长Base64加密混淆脚本，AI辅助逃逸典型特征",

"页面包含宽高0透明隐藏式SVG恶意执行载体",

"调用Zimbra SOAP接口批量窃取历史邮件、通讯录",

"异步图片链接向境外Flowerbed服务器传输窃取情报"

]

class ZimbraBeehiveDetector:

def __init__(self):

self.risk_hit_list = []

self.hit_count = 0

def reset_scan_status(self):

"""重置单次扫描状态，支持循环批量检测"""

self.risk_hit_list.clear()

self.hit_count = 0

def html_preprocess(self, raw_html: str) -> str:

"""预处理HTML：清除换行、多余空格、注释，还原AI拆分标签"""

# 去除全部空白换行、制表符

clean_text = re.sub(r'\s+', '', raw_html)

# 删除全部多行注释，还原被拆分的恶意标签

clean_text = re.sub(r'<!--.*?-->', '', clean_text)

return clean_text

def scan_single_html_mail(self, html_source: str) -> Dict:

"""单份HTML邮件源码完整扫描主逻辑"""

self.reset_scan_status()

processed_html = self.html_preprocess(html_source)

# 逐条匹配全部风险规则，记录命中项

for idx, rule in enumerate(RISK_RULES):

if rule.search(processed_html):

self.hit_count += 1

self.risk_hit_list.append(RISK_DESC[idx])

# 风险等级分级判定

if self.hit_count >= 3:

risk_level = "高风险：疑似Laundry Bear蜂巢零点击APT恶意邮件，立即隔离处置"

elif self.hit_count >= 1:

risk_level = "低风险：存在可疑脚本特征，需安全管理员人工复核源码"

else:

risk_level = "安全：未检测到蜂巢零点击攻击载荷特征"

scan_result = {

"命中风险特征总数": self.hit_count,

"风险特征明细清单": self.risk_hit_list,

"风险判定等级": risk_level

}

return scan_result

def batch_scan_html_folder(self, folder_path: str) -> List[Dict]:

"""批量扫描指定文件夹内全部.html邮件样本文件"""

batch_output = []

if not os.path.exists(folder_path):

batch_output.append({"提示": "目标文件夹路径不存在，请检查路径输入"})

return batch_output

# 遍历文件夹内所有HTML文件

for file_name in os.listdir(folder_path):

if file_name.lower().endswith(".html"):

full_file_path = os.path.join(folder_path, file_name)

try:

with open(full_file_path, "r", encoding="utf-8", errors="ignore") as f:

mail_html = f.read()

single_res = self.scan_single_html_mail(mail_html)

single_res["邮件样本文件名"] = file_name

batch_output.append(single_res)

except Exception as err_info:

err_record = {

"邮件样本文件名": file_name,

"风险判定等级": "文件读取解析失败，需人工单独审计",

"异常详情": str(err_info)

}

batch_output.append(err_record)

return batch_output

# 程序交互入口，适配运维人员本地离线使用

if __name__ == "__main__":

detector = ZimbraBeehiveDetector()

print("===== Zimbra蜂巢APT零点击邮件离线检测工具 V1.0 =====")

print("功能1：手动粘贴单份HTML邮件源码检测；功能2：批量扫描文件夹内HTML样本")

mode_input = input("请输入检测模式（1/2）：")

if mode_input == "1":

print("请粘贴完整HTML邮件源码，输入#并回车结束内容录入：")

content_buffer = []

while True:

line_input = input()

if line_input.strip() == "#":

break

content_buffer.append(line_input)

full_html_code = "\n".join(content_buffer)

result = detector.scan_single_html_mail(full_html_code)

print("\n========== 单邮件完整检测报告 ==========")

for key, value in result.items():

print(f"{key}：{value}")

elif mode_input == "2":

target_dir = input("输入存放HTML邮件样本的文件夹完整路径：")

batch_results = detector.batch_scan_html_folder(target_dir)

for item in batch_results:

print("\n----------------------------------------")

for k, v in item.items():

print(f"{k}：{v}")

else:

print("输入模式编号错误，程序正常退出")

6.3 工具功能解析与 NCSC 样本实测验证

6.3.1 核心模块功能说明

HTML 预处理模块html_preprocess：清除邮件源码多余空白、多行注释，还原 AI 拆分切割的 SVG、script 恶意标签，解决蜂巢载荷依靠注释混淆规避检测的核心痛点；

多规则特征匹配模块：7 条正则完整覆盖 NCSC 预警披露的蜂巢载荷全部典型标识，逐条记录命中风险成因，运维人员可直观查看邮件可疑点，审计报告信息完整；

分级风险判定逻辑：以命中特征数量划分三级风险等级，高风险邮件直接判定为 APT 攻击样本，推送隔离处置流程；

双检测运行模式：支持手动粘贴单份邮件源码实时检测，也支持批量扫描文件夹完成历史邮件全域审计，适配网关实时拦截、入侵后溯源审计两类核心场景；

轻量化无依赖设计：仅使用 Python 内置 os、re 标准库，无需额外安装第三方组件，可部署在 Windows、Linux 邮件网关服务器，满足 NCSC 提出的常态化网络监测低成本落地要求。

6.3.2 NCSC 蜂巢恶意样本实测效果

测试样本：ITPro 转载 NCSC 预警附带的 Laundry Bear 原始恶意 HTML 邮件源码

工具输出核心检测结果：

命中风险特征总数：5

风险特征明细清单：

SVG 标签绑定 onload 无交互自动执行事件，蜂巢零点击核心载荷

AI 注释拆分隐藏 SVG/script 恶意标签，规避静态特征检测

利用 CVE-2025-66376 漏洞 CSS @import 指令注入可执行脚本

存在超长 Base64 加密混淆脚本，AI 辅助逃逸典型特征

调用 Zimbra SOAP 接口批量窃取历史邮件、通讯录

风险判定等级：高风险：疑似 Laundry Bear 蜂巢零点击 APT 恶意邮件，立即隔离处置

测试正常行业简报 HTML 业务邮件：命中风险特征总数 0，判定为安全，无误报、漏报情况。

反网络钓鱼技术专家芦笛指出，该轻量化离线检测工具可弥补商用邮件网关对 AI 混淆 APT 载荷识别能力不足的短板，运维团队可将脚本接入邮件入站处理流水线，实现蜂巢零点击恶意邮件自动化拦截，落实 NCSC 预警提出的提升网络监测能力核心缓解要求，无需人工逐份审计邮件源码，大幅降低 APT 攻击漏报概率。

7 分层防御体系分场景落地实施路径

结合 NCSC 预警缓解措施，区分大型关键行业政企、中小型科研媒体企业、微型事业单位三类场景，给出差异化落地步骤，平衡防护效果、改造成本与运维人力投入。

7.1 大型军工、政府、能源机构（高防护等级，NCSC 重点预警目标）

此类机构存储海量涉密通信资料，需完整落地四层闭环防御体系，分三个阶段限时实施：

紧急根源加固（两周内完成）：全量升级 Zimbra 至修复版本，永久关闭 Classic UI，部署全站严格 CSP 策略，运维团队每日巡检服务器漏洞补丁更新状态，建立漏洞逾期整改问责机制；

网关自动化检测部署（一个月内落地）：将本文 Python 检测工具封装为邮件网关预处理脚本，所有入站 HTML 邮件先经过工具扫描，高风险邮件直接隔离阻断；配套采购商业邮件动态沙箱，增加页面行为动态检测能力；

终端与应急体系完善（季度优化）：通过域策略统一管控浏览器脚本权限，EDR 配置境外批量数据外发专项告警规则；建立专职安全处置小组，制定 APT 入侵 2 小时应急响应预案，每月开展零点击蜂巢攻击专项攻防演练，同步落实 NCSC 全域网络监测要求。

7.2 中小型科研、媒体、科技企业（中等安全预算）

优先落地低成本、高收益核心防护措施，分阶段推进，适配有限运维人力：

第一阶段（1 周内）：升级 Zimbra 服务端、关闭 Classic UI 界面，完成漏洞根源加固，消除零点击攻击基础载体；

第二阶段（1 个月内）：部署离线 HTML 载荷检测工具，每日批量扫描历史邮件样本，排查是否存在已入侵蜂巢恶意邮件；更新邮件网关过滤规则，增加 SVG、CSS 脚本拦截关键词；

第三阶段（季度优化）：配置 EDR 基础境外网络访问告警，梳理研发、财务、行政等高风险岗位邮件访问权限，关闭 Webmail 客户端自动渲染 HTML、自动加载图片功能。

7.3 微型机构、小型事业单位（低预算、运维人力匮乏）

无法投入商用安全设备、专职安全人员，仅落地两项核心低成本措施即可大幅降低蜂巢攻击风险：

强制升级 Zimbra 至官方修复版本，永久关闭 Classic 网页界面，从源头切断 CVE-2025-66376 漏洞利用通道，落实 NCSC 首要补丁修复建议；

运维人员每周使用离线载荷检测工具批量审计收件箱 HTML 邮件样本，发现高风险样本立即删除并重置全部账户登录密码；统一关闭邮件客户端自动渲染 HTML、自动加载图片功能。

8 结语

英国 NCSC 2026 年 7 月发布的联合预警完整披露俄罗斯国家背景 APT 组织 Laundry Bear 蜂巢零点击钓鱼攻击活动，该攻击依托 Zimbra CVE-2025-66376 存储型 XSS 漏洞、AI 辅助载荷混淆逃逸技术，实现无用户交互静默情报窃取，标志国家级网络间谍攻击完成从 “社会工程诱导” 向 “服务端程序漏洞静默利用” 的技术跃迁，彻底颠覆传统依托员工安全意识构建的反钓鱼防护逻辑。攻击先期在乌克兰政企完成长期实网测试优化，定向打击国防、能源、政府、执法等高价值行业主体，仅预览恶意 HTML 邮件即可批量窃取账户 90 天通信记录、全局通讯录、2FA 备份令牌，并创建持久可控账户访问权限，情报泄露窗口期长达数月，对关键行业机构造成不可逆涉密信息损失。

本文以 ITPro 刊发的 NCSC 官方预警报道为核心实证素材，完整拆解 Laundry Bear 组织技术迭代三阶段路径、CVE-2025-66376 漏洞底层触发原理、AI 多层混淆逃逸手段、蜂巢脚本数据窃取与 Flowerbed 后端持久外发全链路；系统剖析传统邮件安全设备、企业安全管理制度针对零点击 APT 攻击的多重结构性失效诱因；构建 “服务器前置漏洞根治 - 邮件网关深度载荷检测 - 终端浏览器脚本隔离 - 入侵溯源标准化处置” 四层联动闭环防御架构，完全匹配 NCSC 预警提出的补丁升级、提升网络监测能力两大核心缓解要求；设计并实现一套轻量化离线 HTML 邮件载荷 Python 检测工具，专门识别经 AI 多层混淆处理的蜂巢 APT 恶意载荷，工具无第三方依赖、支持离线批量扫描，适配各类政企邮件网关自动化检测与事后溯源审计场景。反网络钓鱼技术专家芦笛总结，抵御蜂巢类零点击间谍钓鱼不存在单一简易防护手段，服务器漏洞补丁修复是根本前提，自动化邮件载荷深度检测是关键拦截屏障，终端行为监控与标准化应急处置形成兜底保障，多重技术措施协同落地才能构建完整有效防御闭环。

本研究仍存在可拓展优化空间：当前检测工具仅完成 HTML 静态特征解析，后续可增加轻量模拟渲染模块，识别更复杂动态 AI 混淆载荷；可基于工具长期检测日志搭建机构专属 APT 威胁情报库，自动提取同源蜂巢攻击模板，实现批量同源攻击提前拦截；针对移动端 Webmail 访问场景开发适配轻量化检测脚本，覆盖多终端完整攻击面。在国家级 APT 持续迭代无交互漏洞攻击技术的长期行业趋势下，弱化对用户安全意识依赖、强化服务端补丁管控与邮件内容自动化深度检测，将成为政企机构抵御间谍类零点击钓鱼攻击的核心发展方向。

编辑：芦笛（公共互联网反网络钓鱼工作组）