你的电脑中常用的VLC播放器，可能正被黑客利用。实际上，它并没有故障，而是被攻击者“借用”——恶意的DLL文件被放置在正版程序旁边，当程序启动时，便会加载这些有害代码。这种手法被称为DLL侧加载，原理简单：攻击者无需修改可信的可执行文件，只是在其旁边放置恶意库。应用程序正常启动，若防守者仅关注主程序，便会忽视真正执行坏代码的库文件。WatchGuard红队研究员Euler Neto在调查了三起恶意活动之后，揭示了这一方式，相关研究于2026年10月22日发布。主要针对巴西和葡萄牙用户的活动，伪造的法律通知、财务文件及发票下载页面成为入侵入口，钓鱼、隐秘脚本及可信程序相捆绑，使得感染更难被察觉。

其中，Overlord RAT的案例中，攻击者冒充巴西公证处以钓鱼邮件引导受害者下载所谓的法律文件。邮件中的链接指向VBScript文件，再接着下载可执行文件或Windows Installer安装包。有些脚本通过字符编码隐藏指令，或将字符串拼接使其在检查时不易被识别。WatchGuard分析的两个安装包都利用了DLL侧加载：一个是将恶意库与正版微软.NET Framework工具结合，另一个则涉及VLC Media Player，两者均存放于名为Adobe的临时文件夹中。Overlord还通过Dropbox或Google云存储传送后续文件。批处理脚本尝试为微软Defender添加排除项，而下载的程序则建立计划任务或开机启动项。其中一个加载器伪装成Windows错误报告，混入正常活动中，分析人员还发现了一段加密的内容，解码后为Donut shellcode，能将其他载荷直接在内存中执行。

与此相关的另一活动源自一个葡萄牙语发票页面，标题为“Download Seguro – Factura”。假验证码引导用户下载包含混淆VBScript、正版VMware网络安装工具、恶意DLL和模块定义文件的ISO镜像。可信的VMware可执行文件成为运载工具，真正的木马则是恶意DLL，它通过XOR解密内嵌数据，进而释放出另一个用Pascal编写的64位DLL。此DLL的主函数会检测是否已有副本运行，准备屏幕截图，生成机器人ID，并在用户级别的注册表项中持久化。 球友会

这段Pascal代码赋予攻击者全面的控制能力，包括远程鼠标键盘操作、通过PowerShell或CMD执行命令、写文件、流式传输屏幕和隐藏的交互式shell。同时，它还能自我卸载并清除相关痕迹。如无法连接命令服务器，则每三秒重试一次，而这一节奏本身也可能成为检测特征。

WatchGuard还分析了Lampion，它通过财务主题的钓鱼邮件和大量填充的脚本进行攻击。其中一个样本脚本约有5MB，实际上有效代码仅为5KB。Lampion主要瞄准葡萄牙，而Overlord则针对巴西。多起案例中反复提到数字七，但单凭这一点无法确认背后操作者是同一团伙。

对于安全团队而言，最明显的警示信号包括：意外的脚本下载、新增的Defender排除项、陌生的计划任务，以及可信应用从不寻常文件夹加载库文件。之前的假冒Claude安装程序攻击同样结合了安全排除项和侧加载，表明普通的Windows操作就足以形成完整的感染链。调查时应将这些事件趋势化分析，而不是仅仅以点状警报进行单独评估。WatchGuard的建议是审查进程链、持久化设置和外连行为，必要时需隔离受影响的终端。总而言之，绝不能只关注可执行文件是否像正版，还需关注它加载了何种内容。 球友会

钓鱼防护、行为监控与终端可见性仍然至关重要，因为这些活动将恶意行为分散于脚本、云存储、库文件和Windows功能之间，任何单一拦截都容易遗漏。