# 归因方法论坑与边界

## 基础设施误归因

- **共享 ≠ 控制**：C2 域名/服务器常被出售、出租、二次利用——「同一 C2 域名」只能说明使用过同一资源，不能说明同一组织；判断标准是注册信息/控制面痕迹（whois 邮箱、证书私钥、管理后台特征），不是 IP 或域名本身
- **被劫持基础设施**：已退役或失守的服务器可能被多个活动方复用；若无法证明控制时间窗，证据只能计弱
- **托管商聚集**：同一机房/托管商聚集大量恶意活动是常态，不能作为关联证据（同 NS/ASN 可作弱证据，且必须叠加其他角）
- **Passive DNS 数据时效**：解析历史可能被缓存/污染，查询时点不同结果不同；取证性结论要标注查询时间与数据源

## 能力/样本证据坑

- **工具是商品化资源**：公开工具、框架、租赁服务任何人都能获得——「使用了某框架/公开工具」不能归因；只有自研/定制特征（独特字符串、私有协议实现细节）有区分度
- **代码相似 ≠ 同源**：抄代码、借用开源项目、代码生成器都会产生相似；相似度阈值要按「唯一性内容占比」校准，不是整体相似度
- **语言/伪装误导**：攻击者会故意使用其他语言/地区的字符串与习惯伪装归属（false flag）——单一语言特征只能作弱证据
- **编译特征变化**：同一团队的构建链会变（编译器/打包方式升级），特征缺失不代表不同源；反过来说特征吻合也可能只是「同一构建工具」而非「同一团队」

## 时间线与反取证

- **时间戳伪造**：文件时间/日志时间可被改写；多时间来源（文件、日志、流量、第三方被动数据）交叉验证
- **时区与时钟偏差**：跨时区/时钟未校准的设备产生的时间要先归一（统一 UTC）再对齐，否则「活动窗口重叠」是假象
- **活动缺口 ≠ 活动结束**：攻击者切换基础设施/隐藏期是常态，时间线缺口要标注「未观察到」而非「不存在」

## 归因声明边界与反例

- **情报归因 ≠ 司法归因**：情报结论（概率化、分级）不满足刑事证据标准（排除合理怀疑、链式保管）——本技能输出是情报判断，移交司法场景要注明局限
- **「无法归因」是合法结论**：证据不足时输出「关联活动」与证据清单，比强行归因更专业；声明「无法判定」并给出原因（缺角/反证/数据盲区）
- **组织命名本身会误导**：公开标签（媒体起的代号）可能与实际归属无关；报告用可检验的描述（时间线+TTP+基础设施特征），少依赖标签
- **反例**：仅凭「同一域名后缀」归因（域名后缀可注册）；仅凭「同一样本家族名」归因（家族名是分析人员起的，不是归属证据）

## 使用注意

- 授权与脱敏红线贯穿全程：不点名真实组织/受害者，案例化描述用代号
- 每步产物存档（whois/证书/图输出，路径 + 查询时间 + sha256，见 [[re-triage]]）
- 结论按 [[re-analyze/analysis-contract]] 交付；对外口径与内部结论分离
- 证据时效：whois/证书数据会过期，报告标注「截至查询时点」