← EasyTool.me

Obsidian 插件被滥用部署 PhantomPulse 远程访问木马 — 安全防护指南 2026

发布日期：2026-05-11 阅读时间：10 分钟 分类：安全 / 供应链攻击

事件概述 — REF6598 攻击行动

2026 年 4 月，Elastic Security Labs 公开披露了一起编号为 REF6598 的新型社会工程学攻击行动。攻击者滥用了热门跨平台笔记应用 Obsidian 的合法社区插件生态，将其作为初始访问向量，部署了一个此前未被记录的 Windows 远程访问木马（RAT）——PHANTOMPULSE。

该攻击行动精确瞄准 金融和加密货币行业的个人。与常见的软件漏洞利用不同，攻击者并没有挖掘 Obsidian 的代码漏洞，而是利用了 Obsidian 合法的社区插件功能——具体来说，是 Shell Commands 和 Hider 这两个插件——在受害者打开共享云 vault 时静默执行恶意代码。攻击链中包含了 AI 辅助生成的 Windows 后门，该后门使用 以太坊区块链 解析命令与控制（C2）服务器地址。

攻击被 Elastic Defend 及时发现并阻断，但该技术本身值得高度警惕：它完全绕过了传统安全控制，依靠应用的正常功能来执行恶意代码。Elastic 披露后，该事件登上了 Hacker News 首页，引发了关于笔记应用生态中供应链风险的广泛讨论。

攻击链详解：如何运作

REF6598 攻击链设计巧妙，分为多个阶段，并分别为 Windows 和 macOS 准备了独立的执行路径：

第 0 阶段：投毒 Vault

攻击者在云存储中创建恶意 Obsidian vault。在 vault 的 .obsidian/plugins/ 目录下安装了两种社区插件：

data.json 配置文件中包含了设定在 vault 打开时执行的 PowerShell 命令。

第 1 阶段：PowerShell 执行

当受害者打开 vault 时，Shell Commands 插件执行预配置的 PowerShell 命令（通过 Invoke-Expression 配合 Base64 编码载荷）。这些命令：

  1. 从硬编码 IP 地址（195.3.222[.]251）下载 script1.ps1
  2. 以隐藏窗口和执行策略绕过的方式运行该脚本

第 2 阶段：下载加载器并通知攻击者

下载的脚本使用 BitsTransfer 获取下一阶段二进制文件（syncobs.exe），并向 C2 服务器上报执行状态：

状态上报中的标签参数 #OBSIDIAN 标识了感染来源，暗示攻击者可能同时运行了多个基于不同诱饵的行动。

第 3 阶段：PHANTOMPULL 加载器

下载的 syncobs.exe 是一个名为 PHANTOMPULL 的自定义内存加载器。它：

随后，加载器通过 HTTPS 连接 panel.fefea22134[.]net，下载并解密最终的 PHANTOMPULSE 载荷。

社会工程学：假冒风投公司的精密布局

社会工程学是这次攻击行动中最精妙的部分。攻击者的操作流程：

最关键的社会工程学步骤：受害者必须手动在 Obsidian 设置中开启 "已安装的社区插件"同步。该选项默认关闭且无法远程开启。攻击者必须说服目标手动开启，恶意插件配置才会同步下来并自动执行。

PhantomPulse RAT：AI 生成后门 + 区块链 C2

PHANTOMPULSE 是一个功能完整的 Windows 远程访问木马，Elastic Security Labs 描述其为"大量 AI 辅助生成"。它的突出特点包括：

以太坊区块链 C2 地址解析

与硬编码 C2 服务器地址的传统做法不同，PHANTOMPULSE 通过以下方式解析 C2 端点：

这种技术使得基于域名封禁的防御手段几乎失效——C2 地址随每笔新以太坊交易而变化，攻击者可以近乎实时地轮换基础设施。

功能列表

PHANTOMPULSE 支持全面的远程控制功能：

Elastic Security Labs 还发现 C2 机制存在一个弱点，允许安全响应人员 接管已植入的木马——这对防御团队来说是一个关键信息。

跨平台攻击：Windows 与 macOS 双线作战

攻击者并没有只针对 Windows。macOS 的执行路径使用了：

这种双平台攻击策略表明，攻击者投入了大量资源，力图确保无论目标使用哪种操作系统都能成功感染。

Obsidian 用户如何保护自己

REF6598 行动揭示了一个关键教训：即使是可信应用中的合法插件，也可能被武器化。以下是如何保持安全：

1. 验证插件来源再安装

2. 永远不为不可信的 Vault 开启社区插件同步

3. 定期审计 Shell Commands 插件配置

4. 使用端点检测与响应（EDR）

5. 保持良好的安全习惯

6. 给组织的建议

总结

REF6598 行动代表了一种新型的供应链攻击——不再是利用软件漏洞，而是滥用合法应用的功能特性。通过将 Obsidian 的社区插件生态武器化，攻击者可以通过一个经过签名的、受信任的 Electron 应用来执行任意代码，使传统的签名检测几乎完全失效。

关键要点：

来源：Elastic Security Labs — Phantom in the Vault

更多报道：The Hacker News — Obsidian Plugin Abuse Delivers PHANTOMPULSE RAT