56%的供应链攻击通过开源项目实施，amdc6766团伙通过供应链投毒在三大操作系统植入远控木马，RedDirection利用“合法”浏览器扩展劫持230万用户——供应链攻击因其“一点突破、全网沦陷”的特性，正成为攻击者青睐的跳板。与此同时，Sandworm对波兰电力系统发动迄今最严重的能源基础设施攻击，地缘政治正将APT从情报窃取推向关键基础设施破坏。绿盟科技APT组织研究年鉴深度解析了供应链攻击与地缘政治APT的双重威胁态势。
供应链攻击持续深化
56%的供应链攻击通过开源项目实施。2025年多个APT组织的攻击活动都利用开源代码仓库作为攻击环节，攻击者在代码仓库中构建含有后门的恶意软件项目和软件包，诱导开发人员引用，实现供应链投毒。amdc6766团伙通过供应链投毒和破解软件传播，在Windows、Linux和macOS系统上植入远控木马，进行数据窃取和横向渗透，主要针对IT运维人员。
RedDirection组织专注于供应链攻击，前期上架功能正常的浏览器扩展获取谷歌/微软官方认证（验证徽章+商店推荐），潜伏数月后通过版本更新植入恶意代码，利用扩展更新机制绕过审查，成功劫持230万用户。mre1903自2018年起注册，通过恶意Firefox扩展网络假冒热门游戏窃取用户OAuth凭证与会话，大多数恶意游戏扩展在2020年12月左右发布，活跃超过4年。
预测显示，针对开源项目的供应链攻击将在2026年进一步增多。云与供应链的融合将使攻击面系统性扩张，对国家数字主权与关键基础设施安全形成严峻考验。
地缘政治驱动APT升级
网络攻击日益成为地缘政治工具，网络行动已与军事打击深度融合。2025年12月末，俄罗斯关联APT组织Sandworm对波兰电力系统发动了迄今最严重的能源基础设施攻击之一，部署DynoWiper数据擦除器。DDoS仍是地缘背景黑客组织的主要对抗手段，其活动已跨越地理边界，受害者遍布欧洲、美国、印度、越南和阿根廷等多个地区。
APT攻击将与地缘政治博弈联系得更加紧密，攻击目标从传统的情报窃取向破坏关键基础设施等更具影响力的方向演进。制造业、医疗、公用事业等高影响行业面临勒索软件即服务模式向OT环境的扩张，固件破坏、设备变砖等技术正被犯罪集团重新用于金融勒索。代理型AI一旦被入侵或操纵，可能改变供应链、窃取账号资金或扰乱基础设施。
APT-C-60与针对中国的供应链威胁
APT-C-60（伪猎者）是一个活跃于东亚地区的高级持续性威胁组织，自2018年起开始活动，以韩国为基地，主要针对中国、韩国等国家的政府机构、贸易行业和智库等高价值目标实施网络攻击。2025年其攻击演进表现为基于GitHub的动态载荷分发与指令中继——利用合法服务GitHub作为载荷托管和指令中继平台，显著增强了攻击的隐蔽性和持久性。
amdc6766针对IT运维人员的供应链投毒攻击，通过破解软件传播在三大操作系统植入远控木马。随着我国信创产业快速推进，针对国产软硬件系统的定向攻击预计将显著增加，成为未来防御的重点和难点。面对日益复杂化、体系化、智能化的攻击态势，防御方需加快构建以AI对抗AI的主动防御能力，结合零信任架构、供应链安全管控、云原生安全防护与关键基础设施韧性建设，实现从被动响应向预测、防御、响应、恢复一体化的纵深防御体系转型。
