朝鲜黑客组织 Lazarus 部署无文件木马 RemotePE，攻击加密公司和银行

ChainCatcher 消息，据 Cryptopolitan 报道，网络安全分析师发现了一种名为 RemotePE 的新型无文件远程访问木马 (RAT)。据信与朝鲜有关联的网络犯罪组织 Lazarus Group 正在利用该木马攻击银行和加密货币公司。该木马完全在内存中运行，传统杀毒和取证工具难以检测。攻击者通过 Telegram 冒充交易公司员工，使用伪造的 Calendly 和 Picktime 链接进行社交工程攻击。恶意软件通过 DPAPILoader、RemotePELoader 和 RemotePE 三个阶段链式加载，整个过程不接触文件系统，利用进程挖空、反分析检查和加密 C2 通信规避检测。

该恶意软件于 2025 年 9 月首次被发现。2026 年前四个月，Lazarus 组织已窃取约 5.77 亿美元加密资产，占全球加密盗窃总额的 76%。自 2017 年以来，该组织累计窃取金额已达 60 亿美元。