夜鹰黑客基地

简介

夜鹰黑客基地是中文网络环境中出现过的一个名称。在网络安全的语境下，它多被用来指代一个被称为「夜鹰」的网络间谍组织；在技术论坛中，它也作为分享破解教程等资源的帖子标题出现 ^[3][1]。

该组织由奇安信的研究团队命名，内部编号为 APT-Q-95，长期把中国的科技与军工单位作为攻击对象，其主要动机是获取情报 ^[1][2]。多家海外安全机构在报告中沿用了 NightEagle 这一名称，并同样将其与 APT-Q-95 对应 ^[4][2]。

这一名称受到关注，与该组织被多个安全机构归类为高级持续性威胁有关，其目标集中在中国的科技与军工领域 ^[5][1][6]。相关结论随后被多语种网络媒体转述，使该名称在 2025 年前后获得较多讨论 ^[5][7]。

沿革

2021 年 4 月，itztc.com 论坛出现标题为「夜鹰黑客基地软件破解视频教程」的帖子，表明这一称呼在当时已被中文技术社区使用 ^[3]。

与该名称对应的攻击组织，其活动可追溯至 2023 年 ^[8][7]。相关追踪研究显示，该组织的目标集中在中国的芯片半导体、量子技术、人工智能、大模型以及军工等行业的领先企业与机构 ^[1][7]。

2025 年，奇安信在马来西亚举办的网络防御与安全展览与会议（CYDES 2025）上公开了对该组织的长期追踪成果，并发布「夜鹰」这一命名 ^[9][6]。奇安信旗下的盘古团队与 RedDrip 团队参与了相关追踪工作 ^[6][7]。同期，英国苏格兰网络协调中心在 2025 年 7 月 7 日的每日威胁简报中，也把该组织利用 Exchange 漏洞攻击中国军事与科技领域列为条目 ^[4]。

卡巴斯基的全球应急响应团队随后披露，该组织的攻击范围已扩展到俄罗斯，目标为当地的制造业与建筑业机构 ^[10]。

特点

在攻击目标上，该组织集中于中国的政府、国防与科技部门，以及高科技、军工等行业中的领先单位 ^[1][2]。其主要动机是获取情报，得手后往往会迅速撤离并抹除入侵痕迹 ^[1]。

在活动时间上，多数攻击出现在北京时间晚 9 点至次日清晨 6 点之间，调查人员据此推测该组织可能位于北美 ^[5][11][12]。

在技术手段上，该组织借助美国服务商 DigitalOcean 等处的 IP 地址，利用微软 Exchange 邮件服务器存在的严重漏洞进入目标系统，再窃取其中的敏感数据 ^[9]。相关报告指出，其使用的漏洞包含当时尚未修补的零日漏洞 ^[4][11]。

针对俄罗斯的攻击中，该组织使用了被窃取的 VPN 凭据，在 Exchange 服务器上植入隐蔽后门 ^[10]。它还会借助正规的开发者工具在企业网络内部移动，以降低被察觉的可能 ^[10]。

参见

• 奇安信 —— 披露并命名该组织，并公布相关追踪成果的中国网络安全企业。

• 卡巴斯基 —— 披露该组织针对俄罗斯活动的安全厂商。

• 高级持续性威胁 —— 该组织所属的攻击类型。

• Microsoft Exchange —— 该组织攻击中反复利用的邮件服务器软件。

• 零日漏洞 —— 该组织攻击链中被指使用的漏洞类型。