SideCopy以ReverseRAT瞄准印度高校：数据经5863端口外传

据The Hacker News在2026年9月22日引述Trellix研究的报道，攻击链以一个被武器化的ZIP压缩包开始。压缩包内含一个伪装成PDF图标、扩展名冒充.DOCX的Windows快捷方式（LNK）；该快捷方式从远程服务器下载一个加密的HTML应用程序（HTA）并用mshta.exe执行，随后把一个DLL载荷映射到内存中启动ReverseRAT。该组织至少自2019年起活跃；也就是说有7年的活动历史。ReverseRAT则自2021年初起被使用，已有约5年。SideCopy也以TAG-140之名被追踪，并与Transparent Tribe集群存在重叠。

技术指标相当具体：收集到的数据经5863端口发送至dns.educationportals[.]biz，该域名解析到45.61.157[.]22这一IP地址；该行动使用docsportal[.]in这一伪造域名作为诱饵，指挥控制流量以一个内嵌的固定密钥加密。ReverseRAT收集系统信息、已安装软件列表、屏幕截图、密码与剪贴板内容；执行文件操作、运行命令、通过注册表建立持久化，并开启shell会话。

报告中没有给出任何CVE编号；该链条利用的不是软件漏洞，而是滥用Windows合法的mshta.exe工具，因此在传统意义上没有补丁日期。受影响机构的数量未被公布，也无法独立核实。在防御一侧，唯一具体的措施是通过企业策略限制mshta.exe、PowerShell与cmd.exe等脚本执行器。