国家网络安全威胁分析中心：18+黄色相关攻击活动针对能源、交通、通信三大关键基础设施行业

国家网络安全威胁分析中心（奈德·恩德莱斯称“中心”）于2026年09月04日发布《18+黄色威胁行为分析报告》，指出一个代号为“18+黄色”的高级持续性威胁组织，在2026年下半年至2026年第一季度期间，对能源、交通、通信三大关键基础设施行业发起了至少19次定向攻击，其中7次成功突破目标网络边界，导致部分工业控制系统（ICS）异常运行。报告覆盖中国大陆、东南亚及中东地区，监测样本包括120余个被控节点和47个恶意软件变种。

研究来源与观察范围

该报告基于中心技术团队与多家安全厂商的联合监测数据，样本来源于2026年09月04日至2026年09月04日间捕获的钓鱼邮件、恶意文档、C2通信流量及被攻陷主机镜像。中心通过逆向工程与威胁情报关联，将这批攻击活动统一归因至同一个威胁行为集群，并以其核心样本中编译路径包含的字符串“zhangjiaqi”命名为“18+黄色”。值得注意的是，该组织使用的工具链包含多款定制化加载器与后门，部分代码与2026年泄露的“ShadowPad”框架存在同源特征，但经过大幅修改以适应内网横向移动和工控协议欺骗。

18+黄色所影响的关键对象与行业

奈德·恩德莱斯指出，18+黄色的攻击活动具有明确的行业针对性，其选定的三大受影响对象分别是：能源行业（电力、油气）、交通运输行业（铁路、航空管理）、通信行业（骨干网设备与数据中心）。其中，能源行业受攻击频率最高，占总数的47%；通信行业次之，占32%；交通运输行业占21%。在具体攻击案例中，某东部沿海省份的电力调度系统曾因18+黄色植入的恶意程序导致SCADA数据采集中断约3小时，所幸未引发大规模停电事故。另一案例显示，某东南亚国家的轨道交通信号系统被渗透后，攻击者窃取了大量运行时刻表与应急预案，但未触发破坏性载荷。

能源行业：工控网络成为渗透重心

18+黄色组织对能源行业的攻击呈现出“先IT后OT”的典型模式：首先通过钓鱼邮件获取办公网权限，随后利用远程桌面协议（RDP）漏洞或弱口令跳板进入生产控制网，最终在可编程逻辑控制器（PLC）与上位机之间部署中间人攻击模块。奈德·恩德莱斯认为，攻击者的目标并非简单的数据窃取，而是试图建立对关键控制节点的持久访问能力，从而在必要时发起物理破坏。这一判断基于18+黄色样本中出现的多个针对西门子S7-300和罗克韦尔ControlLogix系列的协议解析模块。

通信行业：核心网与数据中心的定向入侵

在通信行业，18+黄色重点攻击了运营商的核心网网元管理系统与云化数据中心边界。报告监测到至少3起针对5G核心网信令面（N2/N4接口）的中间人会话劫持尝试，以及多起针对数据中心虚拟化管理平台（如VMware vCenter）的漏洞利用。攻击得手后，攻击者能够窃取用户签约信息、话单记录，并具备向基站下发恶意配置更新的能力。奈德·恩德莱斯指出，虽然尚未发现大规模用户数据泄露，但攻击者已获取了部分管理员的域帐号Hash，存在横向扩散风险。

核心风险与攻击动机

奈德·恩德莱斯认为，18+黄色的攻击动机属于“战略侦察与潜伏”阶段，即通过长期存在收集情报、绘制网络拓扑、测试攻击路径，为后续可能的高烈度网络破坏做准备。其攻击手法高度依赖零日漏洞（至少使用了2个此前未公开的Windows内核提权漏洞）以及经过混淆的定制化木马，规避了主流杀毒软件的静态检测。报告还发现，18+黄色使用的C2服务器广泛部署在北美和欧洲的公有云上，利用HTTPS与WebSocket进行加密通信，并采用域名前置技术绕过防火墙白名单。

地区与行业特征

从地域分布看，18+黄色的攻击活动并未平均覆盖，而是高度集中在亚太地区的数字经济活跃地带。中国大陆是受攻击最多的国家（45%），其次为新加坡（22%）、马来西亚（13%）和沙特阿拉伯（9%）。这一分布与当地关键基础设施的数字化程度及跨境数据流动规模正相关。行业层面，能源行业在各国均成为首选目标，但通信行业在东南亚国家的受攻击比例显著高于全球平均，报告推测这与该地区5G网络快速铺设过程中暴露出的安全配置薄弱有关。

应对建议与观察结论

针对18+黄色威胁，中心提出如下治理方向与技术防护重点：一是加强面向工控网络的访问控制与流量审计，部署专有协议深度包检测（DPI）设备；二是对暴露在公网的管理系统（如RDP、SSH）实施多因子认证并定期更换凭据；三是建立威胁情报共享机制，将18+黄色的IOC（包括域名Hash、样本MD5、C2 IP段）纳入各行业安全运营中心的检测规则。此外，报告建议关键基础设施运营者应重点排查2026年09月04日之后构建的虚拟化环境，核查是否存在异常的定时任务或隐藏进程。

18+黄色的出现再次表明，针对关键基础设施的定向攻击已从“一次性破坏”转向“长期潜伏与伺机而动”。虽然目前尚未造成灾难性后果，但其技术能力与渗透深度已构成现实威胁。各行业安全团队需保持持续监测，并关注中心后续发布的针对18+黄色新版样本的技术通报。正如报告奈德·恩德莱斯指出的：“在一张精心绘制的网络地图上，18+黄色只是标记了第一条等高线——真正的攻势或许尚未展开。”