近期國際執法部門與資安廠商（包含 Microsoft、ESET 與 Bitdefender 等）採取聯合行動，成功癱瘓了 Amadey 與 StealC 這兩款惡意軟體的基礎設施。這次行動不僅關閉了 326 台伺服器與 142 個域名，更回收了約 2,700 萬筆被盜的帳號憑證，並凍結超過 4,700 萬美元的加密貨幣資產。
對於開發者或初級工程師來說，這起事件最值得關注的不是數字，而是它揭露了現代網路犯罪如何像經營軟體公司一樣，將攻擊流程「模組化」與「服務化」。
惡意軟體的分工：Loader 與 Stealer
在這次的案例中，Amadey 與 StealC 扮演了完全不同的角色，這代表了現代攻擊鏈（Attack Chain）的典型分工：Loader（載入器）與 Stealer（竊取器）。
Amadey 屬於 Loader。它的主要目的不是偷資料，而是「搶佔灘頭堡」。它會先透過釣魚郵件或被入侵的 WordPress 網站進入目標電腦，建立一個後門（Backdoor）。一旦成功潛伏，Amadey 就像一個安裝程式，可以根據指令從遠端伺服器下載其他更危險的惡意軟體（例如勒索軟體或 StealC）。對攻擊者來說，Loader 是進入企業內網的門票。
StealC 則屬於 Stealer。它的目標非常明確：獲取高價值資訊。它會掃描 Chromium 系列瀏覽器、Discord、Telegram、Outlook 等應用程式，竊取儲存的密碼、Session Cookies（可用於繞過二階段驗證）、信用卡資訊以及瀏覽紀錄。
簡單來說，Loader 負責開門，Stealer 負責搬東西。
什麼是 Malware-as-a-Service (MaaS)？
這兩款軟體都採用了 MaaS（惡意軟體即服務）的商業模式。這意味著頂尖的駭客不再親自執行所有攻擊，而是將開發好的惡意軟體「出租」給其他犯罪分子（稱為 Affiliate，加盟者）。
Amadey 採用的是單次授權加重建費模式。加盟者支付 600 美元取得授權，之後每次需要更新軟體版本以規避防毒軟體偵測（Rebuild）時，需額外支付 50 美元。
StealC 則採取更親民的訂閱制。每月 300 美元或半年 1,000 美元，且提供無限次數的版本重建。這種模式降低了加盟者的營運成本，讓他們能更快速地更換 C2 伺服器（Command and Control Server，指令控制伺服器），增加被追蹤的難度。
防禦者的視角：為什麼這類攻擊難以根除？
從技術實務來看，這類攻擊之所以有效，是因為它們利用了幾個關鍵點：
首先是環境感知。Amadey 和 StealC 都具備語言檢測功能。如果發現目標電腦的系統語言是俄語、烏克蘭語或白俄羅斯語，它們會自動停止運作或禁用部分功能。這是為了避免引起母國執法部門的注意。
其次是分佈式基礎設施。由於 MaaS 提供者讓加盟者自行部署管理面板，攻擊者可以迅速在全球不同地區租用伺服器，形成分散的 C2 網路。
最後是利用合法平台傳播。例如有加盟者在 YouTube 上上傳破解版 Adobe 軟體，誘導使用者下載，實際上卻是安裝 StealC。
總結與啟發
這次 Operation Endgame 行動證明，單一公司的防禦無法對抗全球化的犯罪網路，必須透過跨國執法與私部門的情報共享才能從根源（基礎設施）將其拔除。
對工程師而言，這提醒我們： 憑證管理至關重要。既然 Stealer 會針對 Session Cookies，實作短效期的 Token 與強制重新驗證機制能有效降低風險。 監控異常的對外連線。Loader 必須與 C2 伺服器通訊，監控異常的域名請求或非預期的 PowerShell 執行，是發現潛伏威脅的關鍵。 警惕第三方軟體來源。破解軟體或不明來源的 MSI/EXE 檔案，往往就是 Loader 的第一道入口。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。