在数字化转型不断加速的当下，网络安全威胁呈现出日益复杂和多样化的趋势。最近，安全界关注到一个名为Gold Melody的初始访问经纪人（Initial Access Broker，简称IAB）利用ASP.NET机器密钥泄露漏洞展开大规模攻击活动。该攻击不仅突破了传统防护机制，还为后续黑客提供了持久且难以追踪的访问权限，给相关行业带来了严峻的安全挑战。 Gold Melody IAB的攻击手法主要依赖于泄露的ASP.NET机器密钥，这些密钥原本是用于服务器端数据加密与验证的重要组件。攻击者利用这些密钥完成恶意代码签名，从而绕过ViewState的安全校验，实现了对受害服务器内存中的代码执行。这种攻击路径被安全研究机构Palo Alto Networks旗下Unit 42等权威团队追踪，标记为TGR-CRI-0045，也被称作Prophet Spider及UNC961团队关联的恶意行动。
ASP.NET机器密钥的曝光始于2024年底，微软在2025年初发布安全警告，指出已有超过3000个机器密钥库被公开，攻击者能够借此发动ViewState代码注入，进而执行任意代码。攻击的标志性事件是同年12月检测到的利用静态机器密钥注入恶意代码并部署Godzilla后渗透框架的入侵案。 这一攻击模式具备极强的隐蔽性，因为执行的恶意负载驻留在服务器内存中，没有传统的文件痕迹，避免了主流端点检测和响应（EDR）工具的常规扫描。此外，攻击过程采用ASP.NET ViewState反序列化技术，能够绕过MAC（消息认证码）验证机制，使得传统依赖于文件系统监控和病毒库检测的防御方案难以发挥作用。 Gold Melody IAB的攻击目标遍及欧美多个领域，包括金融服务、制造业、批发零售、高科技及交通物流等重要行业，凸显其广泛且具破坏力的攻击意图。研究人员表示，攻击者采取机会主义策略，利用暴露的机器密钥快速将恶意模块注入目标系统，执行初步系统“侦察”，并为后续的特权升级及横向移动打下基础。
在攻击活动的最初阶段，从2024年10月至2025年1月，入侵者主要通过上传检测漏洞的模块、执行基础命令、收集系统信息等动作进行探测和确认。一旦确认环境可被利用，便部署更为复杂的后渗透工具，包括开源端口扫描器和定制化的C#程序，比如用于本地权限升级的“updf”。 值得注意的是，攻击中使用了开源的.NET反序列化工具ysoserial.net及专用的ViewState插件来构造恶意负载，强行绕过默认的安全保护机制，甚至实现动态加载.NET程序集而不在磁盘留下文件踪迹。这使得检测成为一项极具挑战的任务。 目前已识别的内存模块包括命令执行模块（用于执行系统命令）、文件上传与下载模块（用于上传恶意文件及窃取敏感资料）、以及动态加载器模块（实现内存中反射加载其他恶意组件）。这些模块协同工作，形成了高度灵活且难以根除的攻击链。
更为复杂的是，攻击者还在受害系统上部署了多样化工具，如源自外部服务器的ELF二进制文件“atm”，以及基于Golang开发的端口扫描器TXPortMap，用于绘制受害者网络的拓扑结构，发现潜在的下一步攻击目标。这显示出该初始访问经纪人不仅专注单个目标破坏，还构建了完整的攻击生态系统。 从战略角度来看，Gold Melody IAB的成功攻击暴露了多个安全盲点。首先是ASP.NET机器密钥管理的松懈，包括生成策略薄弱及密钥未及时轮换，导致机密数据保护能力大打折扣。其次，ASP.NET应用中传统的ViewState保护不足，未能有效防范MAC篡改和反序列化漏洞的风险。此外，许多企业依赖过时或仅基于特征检测的EPP/EDR方案，无法及时发现内存中运行的无文件攻击。
针对上述威胁，组织可以采取多维度的防御措施。首先，强制执行机器密钥的安全生成与周期性更换，避免使用静态密钥。其次，配置和强化ASP.NET应用的ViewState加密和绑定机制，防止外部篡改。第三，采用行为检测为核心的安全监控系统，监测异常的IIS请求模式、不寻常的子进程活动及.NET应用行为的突变，快速识别恶意活动。 此外，企业应扩展威胁模型，纳入包括加密密钥暴露、ViewState MAC篡改和IIS中间件滥用的风险因素，从而提升应用安全和身份保护的整体防护能力。通过强化开发安全审核、渗透测试及入侵模拟演练，可以更早发现潜在风险并修补漏洞。
从行业趋势来看，类似Gold Melody所利用的漏洞及攻击技术不断演进，反映出网络攻击正逐步向内存驻留、无文件攻击和横向渗透方向发展。面对这些挑战，单靠传统防护手段已难以应对，构建基于零信任、多层防御和持续监控的体系成为安全建设的新常态。 总结来说，Gold Melody的初始访问经纪人活动对全球企业的网络安全敲响了警钟。ASP.NET机器密钥若被泄露，便可能成为攻击者绕过防护、获取长期控制权的入口。企业必须高度重视密钥管理及应用安全配置，结合先进的行为分析手段筑起坚固防线。通过提升整体安全意识与技术水平，才能有效抵御此类高级持续性威胁，保障关键业务安全运行。
。
