背景
近期，境外攻击组织针对国内Cobalt Strike技术生态圈发起定向供应链攻击。攻击者伪造红队开发者账号，在GitHub平台上传多个武器化工具项目（CVE-2024-35250-BOF、BOF-BypassUAC等），通过在Visual Studio工程中植入恶意.suo文件，实现在编译阶段触发恶意代码植入。尽管相关恶意仓库已被清理，但初步评估显示其传播范围已覆盖超数十次fork与数十个技术社群转发。
本次攻击的核心对抗点在于C2基础设施创新——攻击者利用Notion笔记平台的API接口构建隐蔽C2信道，通过合法云服务实现指令下发与数据回传。我们将该攻击体系命名为EvilNotion。基于威胁情报与实战狩猎数据，我们已完成从攻击入口点、载荷投递到持久化控制的全链技术解构，现将关键发现披露如下，为后续防御策略提供技术支撑。
01 事件分析
时间线
此次攻击事件从2024年9月开始筹备，持续至2025年1月结束，涉及两个攻击账号（0xjiefeng和yangke1994）及三个带毒项目（CVE-2024-35250-BOF、BOF-BypassUAC、TakaShellcodeLoader）。攻击者通过在GitHub上创建伪造账号并利用AI生成的虚假个人介绍伪装为红队成员，同时通过关注和 fork 网络安全相关大V账号进行“养号”，提升其可信度。
在2024年10月，攻击者利用伪造账号发布带毒项目，这些项目因被境内网络安全圈自媒体广泛转发而迅速传播，成功吸引了红队成员的关注。至2025年1月，攻击活动暴露攻击者开始收尾行动，删除了三个恶意项目的仓库，逐步清除创建者账户，并销毁用于操控的C2基础设施（如Notion页面）。
攻击技术分析
此次攻击链利用 GitHub 平台作为初始传播媒介，攻击者上传包含漏洞 POC 的 Visual Studio 项目，同时在项目中植入恶意的 .suo 文件。当受害者使用 Visual Studio 打开项目的 .sln 文件时，.NET 释放器被自动加载并执行。
释放器的主要功能包括两个部分：第一，投递“白加黑”恶意样本（TraceIndexer.exe 和 TTDReplay.dll）至硬编码目录；第二，通过修改注册表添加启动项，实现持久化控制。整个过程利用开发者对 Visual Studio 项目和 GitHub 可信度的假设，完成了从初始感染到持久化的完整攻击链。
亮点一：.suo 文件：“阅后即焚”的隐蔽载体
在这次攻击事件中，攻击者巧妙地利用了 Visual Studio 工程文件中的 .suo 文件进行投毒。这种文件通常用于存储项目的用户设置，如调试状态和窗口位置等，通常不会被版本控制系统跟踪。正因为如此，.suo 文件成为了一个理想的隐蔽载体。攻击者将恶意代码嵌入其中，当受害者打开项目文件时，恶意代码便会自动执行，从而初步渗透目标系统。由于 .suo 文件的特殊性，恶意代码仅在第一次打开时触发，且在 Visual Studio 关闭时内容会被自动更新并清除。这使得攻击者的恶意代码能够在受害者不知情的情况下悄无声息地执行，避开了常规的安全检测。
这一技术的最大优势在于其隐蔽性和高效性。由于 .suo 文件不受版本控制监控，它在常规的代码审查中几乎不会被发现。攻击者利用这一点，成功绕过了很多企业和开发者的安全防护。此外，攻击者能够精准地锁定红队人员等特定目标群体，通过在 Visual Studio 项目文件中投毒，有效提高了攻击的针对性。而且，这种技术并不复杂，攻击者可以低成本地实施，迅速扩大影响范围，特别是在开发环境中，许多开发者对 .suo 文件的潜在风险并不敏感，容易成为攻击的对象。
为了简化这一攻击流程，EvilSln 工具应运而生。它为攻击者提供了一种低成本且易于实现的方式，可以快速生成恶意 .suo 文件，从而加速攻击的实施。EvilSln 通过直接修改 .suo 文件中的配置，精确控制恶意代码的触发时机，使得攻击更加隐蔽且高效。由于工具的简单性，即使是技术水平较低的攻击者也能轻松上手，大大降低了实施门槛。这一武器化工具的出现，使得 .suo 投毒技术的使用变得更加普及和危险。
亮点二：EvilNotion—改良版 OffensiveNotion，利用合法平台通信，防御难度提升
利用合法软件平台或云服务进行 C2 通信，是一种典型的攻击蔽踪手段。由于这些平台的信誉较高，恶意流量常常能混杂在正常流量中，通过安全设备的审查，难以被识别与拦截。这使得防守人员在应对时无法简单通过封锁 IP 或域名来防范，攻击变得更加难以防御。
在此次事件中，攻击者对开源项目 OffensiveNotion 进行了大规模的修改与定制，我们将其命名为EvilNotion。OffensiveNotion 是一个基于 Notion 笔记应用构建的轻量级 C2 平台，利用 Notion 的 API，将 C2 通信嵌入到正常的笔记应用流量中，从而提升了隐蔽性。作为渗透测试和红队操作的工具，OffensiveNotion 提供了多种后渗透攻击功能，包括端口扫描、权限提升、异步命令执行、文件下载等，所有操作均通过 Notion API 控制。
为了进一步增强其隐蔽性，并保护攻击者的基础设施，EvilNotion 对原始的 OffensiveNotion 进行了以下修改：
魔改1：拆分控制信道，支持批量控制
在原始 OffensiveNotion 中，攻击者通过在页面创建代办事项来下发任务并回收结果。
而在 EvilNotion 中，攻击者将命令下发和结果回传分别置于不同的页面,。所有木马变种共享一个命令下发页面，攻击者可以通过轮询该页面获取需要执行的指令，并将执行结果插入相应的上线页面。
这种拆分使得攻击者能够控制多个受害者，并使指令分发更加灵活。此外，攻击者还在多个投毒项目中使用了至少两个不同的命令下发页面，可以单独控制以执行不同的指令内容，进一步增加了防御者溯源的难度。
魔改2：多个Notion API 密钥与权限隔离
在原始的 OffensiveNotion 中，所有的 Notion API 操作共享一个 API Key，且该密钥拥有所有页面的读写权限，攻击者一旦暴露该密钥，便能轻易获取所有受害者的主机信息与历史控制的情报。
// Config constspub const URL_BASE: &str = "https://api.notion.com/v1";pub const DEFAULT_API_KEY: &str = "<<API_KEY>>";pub const DEFAULT_PARENT_PAGE_ID: &str = "<<PARENT_PAGE_ID>>";
然而，EvilNotion 中，攻击者将不同命令控制信道所需的访问权限进行了精细拆分。木马内嵌入了两个 API Key，分别用于不同的功能：
-
第一个 API Key 只具备读取权限，用于从公共命令控制页面获取指令；
-
第二个 API Key 具备写入权限，用于插入受控主机的执行结果。
通过这种权限隔离，攻击者有效避免了受害者信息的泄露和溯源，同时也提高了防御者的追踪难度。此外，攻击者还通过在多个代码仓库中使用不同的 API 密钥，将每个木马变种的访问权限隔离开来，进一步减少了连锁暴露的风险。
Notion API提供了精细化的权限控制
影响范围分析披露
此次攻击活动的传播范围广泛，许多安全从业者在不知情的情况下下载并使用了被投毒的工具，导致系统被攻陷。通过威胁狩猎手段，我们获取了受害者的真实规模与时间线。我们的研究显示，此次攻击的受害者遍布多个行业，影响深远。最早的控制开始于10月11日，截止分析时共控制了741台主机。上线主机的活动时间也集中在工作时间，与该投毒项目的预期目标为境内红队人员相符。
02 研判观点
本次攻击中，EvilNotion通过深度武器化Notion API构建新型C2架构，暴露出高级威胁对抗的三重特性：隐蔽性（HTTPS合法流量混淆指令）、弹性（动态页面编辑实现"无服务器"C2）与抗溯源能力（双API密钥隔离权限）。攻击者将红队开发流程中的信任锚点（GitHub仓库、VS工程文件）转化为攻击入口，利用安全从业者对工具生态的依赖实施"反杀"，其战术已超越传统供应链攻击范畴，形成针对防御体系的穿透性打击。
事件折射出双重安全困局：一方面，境外SaaS平台正成为APT攻击的"隐身斗篷"，防守方需构建云服务API行为基线分析能力；另一方面，红队工具链的开放性与其安全性的根本矛盾亟待解决。推动国产自研C2框架建设、建立武器库可信分发机制，或将成为破局关键。
受影响的仓库列表
https://github.com/0xjiefeng/BOF-BypassUAC
https://github.com/0xjiefeng/CVE-2024-35250-BOF
https://github.com/yangke1994/TakaShellcodeLoader
部分fork项目：
https://github.com/theomilan3/BOF-BypassUAC
https://github.com/ro0tmylove/CVE-2024-35250-BOF
https://github.com/yonggi0x0/TakaShellcodeLoader
参考链接
https://controlc.com.au/post/evilsln/
https://github.com/mttaggart/OffensiveNotion
绿盟科技天元实验室专注于新型实战化攻防对抗技术研究。
研究目标包括：漏洞利用技术、防御绕过技术、攻击隐匿技术、攻击持久化技术等蓝军技术，以及攻击技战术、攻击框架的研究。涵盖Web安全、终端安全、AD安全、云安全等多个技术领域的攻击技术研究，以及工业互联网、车联网等业务场景的攻击技术研究。通过研究攻击对抗技术，从攻击视角提供识别风险的方法和手段，为威胁对抗提供决策支撑。
M01N Team公众号
聚焦高级攻防对抗热点技术
绿盟科技蓝军技术研究战队
官方攻防交流群
网络安全一手资讯
攻防技术答疑解惑
扫码加好友即可拉群
原文始发于微信公众号（M01N Team）：EvilNotion深度分析-剑指境内红队的强对抗定向攻击
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论