威胁行为体
简答：基于证据的行为体画像——背景归属、别名、技术、目标与时间线。归属始终带置信度标注，不做确定性断言。
证据：MITRE ATT&CK · CISA · 厂商公告 · 公开归因
- WIRTE 间谍活动与擦除器循环 2026-08-26 · Lebanon-linked
- Soft Cell Soft Cell —— 中东电信（与中国有关联）（来源：Researchers） 2026-08-26 · China
- Silent Librarian 以网络钓鱼为核心的间谍活动 2026-08-26 · Iran
- Putter Panda 电信与航空航天窃取 2026-08-26 · China
- Night Dragon 长达十年的能源间谍活动 2026-08-26 · China
- Molerats 长期持续的间谍活动 2026-08-26 · Unknown
- Deep Panda 间谍活动，后期转向勒索 2026-08-26 · China
- Camaro Dragon 间谍活动集群 2026-08-26 · China
- APT9 间谍活动 2026-08-26 · China
- APT8 间谍活动 2026-08-26 · China
- APT6 间谍活动集群 2026-08-26 · China
- APT7 间谍活动 2026-08-26 · China
- ZINC 针对加密货币的钓鱼攻击 2026-08-26 · DPRK
- Wooly Typhoon 供应链间谍活动 2026-08-26 · China
- Winnti 间谍与勒索双重用途 2026-08-26 · China
- WildNeutron 供应链 + 移动端间谍活动 2026-08-26 · Unknown
- Turla Turla —— 政府、大使馆（与俄罗斯有关联）来源：CISA component。 2026-08-26 · Russia
- Transparent Tribe Crimson RAT 攻击活动 2026-08-26 · Pakistan
- TA505 TA505 —— 零售/银行（与俄罗斯有关联）来源：Proofpoint。 2026-08-26 · Russia
- Strider 与 Sofacy 相关联 2026-08-26 · Unknown
- Sparkling Goblin 供应链入侵 2026-08-26 · China?
- Sofacy 长期存在的间谍活动家族 2026-08-26 · Russia
- SideWinder 三头间谍活动 2026-08-26 · Pakistan
- Pink Sandstorm 网络钓鱼 + 供应链 2026-08-26 · Iran
- Patchwork 间谍活动工具 2026-08-26 · India
- Orangeworm 医疗设备入侵 2026-08-26 · Unknown
- Naikon 海事间谍活动 2026-08-26 · China
- Mustang Panda Mustang Panda（RedDelta）是一个由中国支持的间谍行为者，自 2017 年起活跃，针对东南亚的政府机构。因其长期针对区域政府的间谍活动而具有相关性。（来源：Researchers，经由 OpenTrojan 行为者记录） 2026-08-26 · China
- MuddyWater MuddyWater（Static Kitten）是一个受伊朗支持的行为者，自 2018 年起对中东政府目标实施 Windows 和 Android 间谍活动；记录于 CISA 公告 AA22-055A。（来源：CISA AA22-055A） 2026-08-26 · Iran
- Moses Staff 针对以色列的破坏性攻击 2026-08-26 · Iran
- menuPass 间谍活动，后期转向勒索 2026-08-26 · China?
- Magic Hound Magic Hound（Cobalt Illusion）是一个由伊朗支持的间谍行为者，自 2014 年以来实施密码喷洒行动，针对能源和媒体行业。（来源：Researchers，经由 OpenTrojan 行为者记录） 2026-08-26 · Iran
- Lotus Blossom 外交间谍活动 2026-08-26 · China
- Lemon Sandstorm 间谍活动 2026-08-26 · Iran
- LAPSUS$ LAPSUS$ 是一个犯罪组织，自 2021 年以来活跃，针对科技和加密货币公司实施勒索和云计费欺诈。作为一个出于经济动机、反复实施高调入侵的行为者而值得关注。（来源：Researchers） 2026-08-26 · Criminal
- Kimsuky Kimsuky（Velvet Chollima）是一个受朝鲜（DPRK）支持的间谍行为者，针对韩国和智库目标开展以钓鱼为主导的行动；记录于 CISA 公告 AA23-039A。（来源：CISA AA23-039A） 2026-08-26 · DPRK
- Ivory Typhoon 静默间谍活动 2026-08-26 · China
- Ke3chang 长期间谍活动 2026-08-26 · China
- Indrik Spider Dridex + BitPaymer/WastedLocker 2026-08-26 · Russia
- Gorgon Group 间谍活动 + 破坏性载荷 2026-08-26 · Pakistan
- Ginger Typhoon 长期访问型间谍活动 2026-08-26 · China
- Gamaredon Gamaredon（Primitive Bear）是一个与俄罗斯 FSB 有关联的间谍行为者，自 2013 年以来专注于乌克兰目标，主要使用钓鱼和通用恶意软件。（来源：Researchers，经由 OpenTrojan 行为者档案） 2026-08-26 · Russia FSB-linked
- GALLIUM 电信供应链访问 2026-08-26 · China
- Forest Blizzard Fronton 基础设施间谍活动 2026-08-26 · Russia
- FIN7 FIN7（Carbanak Group）是一个以俄罗斯为基地、出于经济动机的犯罪组织，自 2014 年起利用销售点（POS）恶意软件和 Carbanak 式行动攻击零售和银行业；由 FireEye 记录。（来源：FireEye） 2026-08-26 · Russia
- Equation Group 极度隐蔽的间谍活动 2026-08-26 · US (attributed)
- FIN12 勒索软件访问促成者 2026-08-26 · Russia
- Dragonfly ICS 供应链入侵（Havex） 2026-08-26 · Russia
- Dark Hotel 酒店 WiFi 鱼叉式钓鱼 2026-08-26 · Unknown
- Crimson Sandstorm 牛仔/深渊行动 2026-08-26 · Iran
- Confucius Confucius —— 南亚利益（与南亚有关联）（来源：Researchers） 2026-08-26 · South Asia
- Cobalt Group 银行欺诈（ATM 大奖攻击） 2026-08-26 · Russia
- Chocolate Typhoon 间谍活动 2026-08-26 · China
- Cadet Blizzard 破坏性信息战攻击 2026-08-26 · Russia
- Cacao Typhoon 运营商间谍活动 2026-08-26 · China
- Blue Mockingbird RDP 滥用 + XMRig 2026-08-26 · Unknown
- BlackTech 通过路由器/办公环境入侵实施间谍活动 2026-08-26 · China
- Bitter Bitter —— 巴基斯坦利益团体（与南亚有关联）（来源：Researchers） 2026-08-26 · South Asia
- Aqua Blizzard 针对乌克兰的破坏活动 2026-08-26 · Russia
- APT5 长期间谍活动 2026-08-26 · PLA
- APT42 广撒网式钓鱼间谍活动 2026-08-26 · Iran
- APT40 海事与能源间谍活动 2026-08-26 · China MSA
- APT39 APT39 — 电信/IT 供应链（伊朗关联）（来源：FireEye） 2026-08-26 · Iran
- APT38 Lazarus 经济/间谍单位 2026-08-26 · DPRK
- APT37 间谍活动恶意软件 2026-08-26 · DPRK
- APT36 Android 木马 2026-08-26 · Pakistan
- APT35 以钓鱼为主的间谍活动 2026-08-26 · Iran
- APT34 针对海湾地区的间谍活动 2026-08-26 · Iran
- APT33 与破坏性攻击相关的入侵 2026-08-26 · Iran
- APT32 APT32（OceanLotus）是一个与越南有关联的间谍行为者，自 2012 年起活跃，针对整个东亚地区的企业实施攻击；由 FireEye 记录。（来源：FireEye） 2026-08-26 · Vietnam
- APT31 电子邮件账户入侵间谍活动 2026-08-26 · China MSS
- APT30 海防时代的间谍活动 2026-08-26 · China
- APT3 间谍活动 + 供应链运营者 2026-08-26 · PLA
- APT27 长期活跃；物流行业 2026-08-26 · China
- APT26 APT26 —— 越南（与中国有关联）（来源：FireEye） 2026-08-26 · China
- APT25 APT25 —— 拉丁美洲（与 LA 有关联）（来源：FireEye） 2026-08-26 · LA
- APT24 APT24 —— 多个（与未知有关联）（来源：FireEye） 2026-08-26 · Unknown
- APT23 APT23 —— 印度（与巴基斯坦有关联）（来源：FireEye） 2026-08-26 · Pakistan
- APT22 APT22 —— 国防（与中国有关联）（来源：Researchers） 2026-08-26 · China
- APT21 APT21 —— 科技（与中国有关联）（来源：FireEye） 2026-08-26 · China
- APT20 APT20 —— 能源、香港（与中国有关联）（来源：FireEye T-APT） 2026-08-26 · China
- APT19 APT19 —— 法律、IT（与中国有关联）（来源：FireEye） 2026-08-26 · China
- APT18 APT18 —— 各类（与中国有关联）（来源：FireEye） 2026-08-26 · China
- APT17 APT17 —— 政府、科技（与中国有关联）（来源：FireEye） 2026-08-26 · China
- APT16 APT16 —— 政府（与中国有关联）（来源：FireEye） 2026-08-26 · China
- APT12 APT12 —— 媒体、智库（与中国有关联）（来源：Researchers） 2026-08-26 · China
- APT10 APT10 —— 全球 MSSP（与 PLA MSI 有关联）（来源：CISA AA21-356A） 2026-08-26 · PLA MSI
- APT1 APT1 —— 国防承包商、141 家公司（与 PLA Unit 61398 有关联）（来源：Mandiant report 2013） 2026-08-26 · PLA Unit 61398
- Andariel Andariel —— 韩国（与 DPRK 有关联）（来源：AhnLab/CrowdStrike） 2026-08-26 · DPRK
- Volt Typhoon Volt Typhoon 是一个与中国有关联的间谍行为者，自 2021 年起在美国关键基础设施网络中预置潜伏，利用就地取材技术和合法工具维持隐蔽的持久访问。 2026-08-26 · People's Republic of China (assessed)
- Scattered Spider (UNC3944) Scattered Spider (UNC3944) 是一个灵活多变的英语网络犯罪团伙，利用短信钓鱼和社会工程获取身份提供商访问权限，最引人注目的是在 2022-2023 年入侵 Okta 租户和大型企业。 2026-08-26 · Unattributed (cybercrime)
- Sandworm Sandworm 是一个与 GRU 结盟的俄罗斯作战单元，擅长破坏性网络物理攻击——包括 2015 年和 2016 年乌克兰电网断电以及 NotPetya 擦除器——而非传统间谍活动。 2026-08-26 · Russian Federation (GRU, Unit 74455)
- LockBit Ransomware Operation LockBit 曾是占主导地位的勒索软件即服务（RaaS）活动（2022–2024），以创纪录的赎金要求和快速双重加密著称，直至 2024 年 2 月国际执法打击查获其基础设施。 2026-08-26 · Unattributed (RaaS business model)
- Lazarus Group Lazarus Group 是朝鲜的网络威胁组织，制造了 2014 年索尼入侵和 2017 年 WannaCry 爆发，如今以大规模加密货币交易所抢劫以为国家行动提供资金而闻名。 2026-08-26 · Democratic People's Republic of Korea (assessed)
- HAFNIUM HAFNIUM 是一个与中国有关联的行为者，于 2021 年 3 月利用了四个微软 Exchange Server 零日漏洞（ProxyLogon），在数以万计的本地部署邮件服务器上植入 webshell。 2026-08-26 · People's Republic of China (assessed)
- Cl0p (CLOP) Ransomware Group Cl0p 是一个讲俄语的勒索软件组织，以对零日漏洞的闪电式大规模利用著称——最引人注目的是 2023 年的 MOVEit Transfer 攻击活动，通过数据窃取和勒索入侵了数百个组织。 2026-08-26 · Unattributed (Russian-speaking cybercrime)
- APT41 (Winnti) APT41 (Winnti) 是一个与中国有关联的组织，至少自 2007 年起活跃，在游戏、电信和科技行业开展间谍活动和供应链攻击的同时，运营着技术情报窃取牟利的商业模式。 2026-08-26 · People's Republic of China (assessed)
- APT29 (Cozy Bear / Midnight Blizzard) APT29 (Cozy Bear / Midnight Blizzard) 是与俄罗斯 SVR 关联的间谍组织，是 SolarWinds SUNBURST 供应链攻击的幕后黑手，并持续对政府、科技和研究机构实施云身份入侵。 2026-08-26 · Russian Federation (SVR)
- APT28 (Fancy Bear) APT28 (Fancy Bear) 是一个与俄罗斯 GRU 结盟的威胁组织，自 2004 年以来持续入侵政府、军事和媒体目标，偏好鱼叉式钓鱼、凭据窃取和零日漏洞利用。 2026-08-26 · Russian Federation (GRU, Unit 26165)