2019年6月，安天基于多年持续跟踪分析超高能力网空威胁行为体的分析成果，结合“影子经纪人”组织所泄露信息，以态势感知视角，完整复盘了方程式组织攻击中东最大SWIFT服务商Eastnets的完整过程，这是在各国安全厂商对超高能力网空威胁行为体分析成果中，非常罕见的一篇包含绘制受害资产全貌、完整复现攻击过程的报告。安天对此攻击过程形成了精确的可视化复盘。安天将分析成果从威胁框架层面进行了映射解读，通过对这起高级威胁事件的分析梳理，进一步提出叠加演进能力导向的网络安全建设指引规划设计实践中的关键原则，以及建设可支撑实战化运行的战术型态势感知平台的重要意义。

      “海莲花”（OceanLotus/APT-TOCS）为中南半岛某国的APT攻击组织，自2012年以来开始活跃，持续针对中国的敏感目标开展网络攻击活动，安天曾于2015年披露其名为“APT－TOCS”的攻击行动。其对PC端的载荷投递手段主要借助鱼叉式钓鱼邮件、常规钓鱼邮件、水坑攻击，以及多种社会工程学方法；其对移动端的传播途径主要是通过第三方应用市场和文件共享网站。2019年3月，安天CERT发现并分析了该组织近期针对中国移动端的攻击活动，发布《关于海莲花组织针对移动设备攻击的分析报告》。

      “响尾蛇”（SideWinder）组织疑似来自于南亚某国，是近两年比较活跃的APT攻击组织，最早攻击行为可追溯到2012年。该组织的攻击目标主要为巴基斯坦等国，攻击手法为利用印度、中国和巴基斯坦军事边界为主题的英文网络钓鱼邮件，投递恶意载荷，实施信息窃取。安天CERT在2019年5月发现并分析了响尾蛇组织针对巴基斯坦投递鱼叉式钓鱼邮件的攻击事件。

      “绿斑”（GreenSpot）组织主要针对中国政府部门和航空、军事、科研等相关的机构和人员，试图窃取机密文件或数据。该组织活动最早可追溯到2007年，主要采用鱼叉式钓鱼攻击方式，并反复使用陈旧漏洞，通过加密和动态加载等技术手段，试图进入目标并在目标机器内长期潜伏。2018年4月，安天在已掌握的攻击线索和历史储备报告基础上，通过样本关联分析，对绿斑组织的攻击行动进行了全面解析，相关内容被央视《焦点访谈》栏目播出。

      “海渊”（TRISIS）组织自2014年以来开始活跃，其使用的针对工控系统的恶意软件框架被命名为“海渊”，攻击目标是工业控制系统（ICS）中的安全仪表系统（SIS）控制器。该组织从2018年末开始针对美国和亚太地区电力部门进行攻击。海渊组织对施耐德的Tricon安全仪表系统处理过程及环境的具体细节深度了解，通过修改和部署新的PLC梯形图，对目标产生符合攻击者预设的影响。安天CERT针对该恶意代码的攻击原理展开了技术分析，并对实体分析沙盘进行了进一步完善。

      从2013年起，安天基于样本分析逐步发现一个拥有全平台载荷攻击能力的攻击组织。安天通过关联分析其多个平台的样本，先后发布了三篇报告。2017年1月，安天已发布报告的基础上， 对部分模块开展深入分析，从杀伤链视角绘制了方程式组织主机作业模块积木图。截至2017年1月，安天累计发布了四篇针对方程式组织的深度分析报告，较为全面地揭示出超高能力网空威胁行为体（方程式组织）的完整作业能力。

      南亚某国多个攻击组织自2012年以来持续针对中国、巴基斯坦等国开展网络攻击行动，长期窃取目标国家的科研、军事资料。安天对相关组织的活动进行了长期跟踪、分析和研究，在2013年和2016年先后两次披露了其中的“白象”（WhiteElephant）组织对我国的网络攻击活动。2017年12月29日，安天发布储备报告《潜伏的象群——越过世界屋脊的攻击》，对“白象”组织及与其具有相同地缘背景的攻击组织和活动做了综合分析，奠定了安天分析多个相同背景和意图的攻击组织的能力基础。

      “苦酒”（BITTER）是一个长期针对中国、巴基斯坦等国家开展攻击活动的APT组织，最早在2016年被披露。该组织主要以政府、军工、电力等单位为目标，窃取敏感资料，具有明确的政治背景。该组织自2019年起针对中国政府和组织实施网络钓鱼攻击活动。安天CERT发现该行动的相关证据线索与南亚某国有密切联系，认为该行动是由“象群”组织发起的易被忽视的针对性攻击。

      2016年，安天结合开源情报分析对“白象”（WhiteElephant）攻击组织成员进行了画像。基于代码工作量、编码风格等因素，安天初步判定这是一个12人到16人规模的攻击组织；借助样本分析和开源情报关联，安天确定了其中8个人的虚拟身份（网络ID），并锁定了其中1个人的自然人身份。2016年7月，安天发布《白象的舞步——来自南亚次大陆的网络攻击》报告，详细地分析了行动的攻击流程和手法，梳理绘制了攻击组织的基础设施图谱，相关成果被国家应急中心年报所采用。

      安天曾于2015年2月起发布了关于方程式攻击组织的两篇分析报告，分别分析了其针对Windows平台的恶意代码组件构成、对硬盘的持久化能力和对加密算法的使用。2016年，安天首次公布对方程式攻击组织针对Solaris平台和Linux平台的部分样本分析。2016年“影子经纪人”在公开文件中声称，（被方程式组织）攻陷的系统包括Windows、Solaris、Oracle-owned Unix、FreeBSD和Linux系统，这些信息得到安天捕获分析成果的印证，使得这个超级攻击组织的几乎无死角的、全平台化攻击能力逐渐浮出水面。

      2015年2月，安全厂商卡巴斯基曝光了NSA下属超高能力APT组织，安天CERT通过对比相关信息与安天以往分析成果，发现该APT组织与安天自2013年开始跟踪的某高级攻击组织确定同源，于是公开了两篇储备报告，第一篇分析了方程式组织的攻击组件及修改硬盘固件的模块，另一篇独家揭秘了方程式组织的加密方式和样本控制指令体系。

      2015年5月27日，安天CERT发布《一例针对中方机构的准APT攻击中所使用的样本分析》报告，在报告中披露了中南半岛某国APT组织的攻击行动，因攻击者是依托自动化攻击测试平台Cobalt Strike实现对目标主机的远程控制能力，故将行动命名为APT-TOCS（取Threat on Cobalt Strike之意）。随后，国内安全厂商陆续发布该组织相关分析报告，并使用“海莲花”为该组织命名。

      2015年12月，乌克兰电力部门遭受到恶意代码攻击，安天与四方继保、复旦大学于2016年1月成立了联合分析小组，正式启动对此次事件的分析。安天在数月前刚刚建成的电力系统工控模拟沙盘，为此次分析提供了重要帮助。安天在2016年2月正式发布《乌克兰电力系统遭受攻击事件综合分析报告》，并以安天网络靶场复现了该起事件的完整攻击过程。

      “沙虫组织”（SandWorm）于2014年10月首次被曝光。该组织使用漏洞和恶意软件对军事和基础设施目标进行攻击。安天于2014年10月15日发布《沙虫（CVE-2014-4114）相关威胁综合分析报告》对相关漏洞和样本进行复盘分析，并根据其利用PPS文件格式特点绕过沙箱检测机制的攻击方式，完善了安天追影沙箱系统。该分析工作和安天对于重大漏洞“破壳”的响应工作发生时间重叠，展现了安天“同时应对两线重大威胁”的分析能力。

      “白象”（WhiteElephant）是安天对南亚某国攻击组织的命名。自2012年以来，该组织持续针对包括中国、巴基斯坦在内的多个国家发动网络攻击，窃取目标国家的科研、军事资料。安天在2013年基于第三方报告和安天样本分析大数据关联扩线，与历史通讯数据比对的方式，发现了该组织对我国高等院校的攻击行动，并向相关部门提交了分析报告。

      2012年5月，“火焰”（Flame）木马被发现，该木马被卡巴斯基称为“迄今为止最复杂的计算机病毒”。安天于5月28日成立了专门的分析小组，开启了马拉松式的分析工作。通过关联分析，安天发现其存在多个衍生模块，并在其漏洞攻击模块中发现了曾被“震网”（Stuxnet）使用过的USB攻击模块，由此得出两者存在同源关系的结论。2012年7月，安天发布了篇幅超过百页的《Flame蠕虫样本集分析报告》，并基于震网、毒曲、火焰的分析工作，对APT事件分析工作的团队组织、资源分配、分工协同提出相应规范。

      2011年，安天对“震网”（Stuxnet）和“毒曲”（Duqu）提出同源性猜测，经对“毒曲”木马的模块结构、编译器架构、关键功能深度分析，发现两者结构和功能具有一定的相似性。同时，在分析“毒曲”的解密密钥、反跟踪手段、程序BUG时，发现开发者在编码心理特点、技术技巧等方面存在逻辑相似，基于安天提出的编码心理学同源性分析等方法，判断两者具有同源性。安天对此分析结论编写了相关同源性的分析报告，并在相关技术媒体进行公布。此报告奠定了安天基于代码关联的高级威胁溯源工作基础。

      “震网”（Stuxnet）蠕虫于2010年7月被公开曝光，是第一个直接破坏现实世界中工业基础设施的恶意代码。2010年7月15日，安天捕获到该蠕虫的首批样本，通过搭建实体分析沙盘，完整复现其攻击路径。经过长达两个月的分析，安天于同年9月27日发布了《对Stuxnet蠕虫攻击工业控制系统事件的综合分析报告》，此为国内第一份针对该蠕虫的深度技术分析，报告全面揭示了“震网”的攻击过程、传播方式、攻击意图、文件衍生关系。该报告和安天后续分析成果成为国内公众了解“震网”攻击真相和细节的重要参考资料；实体分析沙盘经不断完善，已成为安天分析工业控制系统威胁的重要基础设施。