APT35：伊朗导弹袭击前的网络侦察

网络间谍活动如何为导弹打击铺路：伊朗APT35案例分析

执行摘要： 伊朗黑客组织APT35在2026年2月导弹袭击前，长期对中东基础设施进行数字侦察。这表明网络行动已深度融入军事战略，用于精确打击目标的前期准备。

数字化目标准备的阶段

在2026年2月28日之前——当时伊朗针对美以联合行动“狂怒史诗”发起大规模导弹与无人机打击，波及沙特阿拉伯、阿联酋、科威特和以色列等七国——APT35黑客系统性地渗透了关键系统。他们获取了约旦民航数据、迪拜内部网络以及沙特政府文件，从而收集潜在目标情报。这些行动削弱了防御体系，并为后续实体打击精确定位坐标。

这一战术源于伊朗传统间谍手段资源有限。数字方式成本更低、效率更高，无需派遣人员即可监控基础设施。后果已在能源与物流领域显现：Shamoon恶意软件抹除了沙特境内1.5万台工作站，严重扰乱供应链与防御协调。

APT35与伊朗国家机构的关联

APT35与伊朗伊斯兰革命卫队（IRGC）下属的情报单位有关联。泄露数据分析显示，该组织与其他曾被视为独立的团体（如Moses-Staff和Al-Qassam网络战士）存在协同行动。共同的资金来源揭示德黑兰对网络战采取集中化管理策略。

• 侦察阶段： 长期监控基础设施（航空、能源、政府系统）
• 破坏阶段： 在物理打击前攻击物流与工业系统
• 整合阶段： 与导弹发射同步，实现最大打击效果
• 扩展阶段： 利用预先识别的漏洞，将攻击范围扩大至七个国家

这种模式从早期仅用作干扰的网络攻击演变而来，如今已成为实战中的完整作战阶段。

对地区安全的影响

网络与实体攻击的融合正在重塑中东冲突格局。各国如今必须像保护军事资产一样严格守护数字基础设施。沙特与阿联酋已加强网络分段与流量监控，但完全隔离关键系统仍面临挑战。

工业层面影响显著：能源与物流已成为主要攻击目标，推动全球网络安全投资上升。专家估计，此类操作可将打击准备时间从数月缩短至数周，大幅增加局势不可预测性。

核心要点

• APT35的网络间谍活动早于导弹袭击，协助精准定位七国目标
• Shamoon病毒摧毁沙特能源企业1.5万台工作站，削弱防御响应能力
• 与伊斯兰革命卫队及相关组织的联系表明国家级协调运作
• “先网络后导弹”模式正成为混合战争的新标准
• 地区防御虽在强化，民用基础设施仍存脆弱性

— Editorial Team