這篇文章將為大家分析近期由北韓國家級駭客組織 ScarCruft（又稱 APT37）發起的網路攻擊。這次攻擊的核心在於利用心理操縱與多階段的技術鏈結，將一種名為 NarwhalRAT 的遠端控制木馬（Remote Access Trojan, RAT）植入目標電腦。對於工程師來說，理解這種攻擊鏈的關鍵不在於單一的病毒程式，而是在於它如何規避偵測並在系統中長期潛伏。
攻擊的起點是精準的社交工程。駭客發送偽造的微軟帳戶安全通知郵件，聲稱目標帳戶出現異常活動，例如多次產生一次性密碼（OTP），暗示帳戶已被第三方入侵。這種手法旨在製造緊迫感，誘使受害者在恐慌中點擊附件。雖然附件看起來像是常見的 HWP 文檔（韓國常用的文字處理格式），但實際上是一個 ZIP 壓縮檔，內部包含一個惡意的 LNK 捷徑檔案。
當受害者執行 LNK 檔案後，真正的技術攻防才開始。這是一個多階段的感染鏈，目的是為了繞過防毒軟體的靜態掃描。首先，LNK 檔案會觸發一個中繼的批次指令碼（Batch Script），接著從遠端伺服器下載 Python 執行檔以及一個 Windows 安全目錄檔案（CAT 檔案）。
這裡有一個關鍵的規避技巧：駭客利用了記憶體執行（In-Memory Execution）的機制。透過設定排程工作（Scheduled Task），系統會啟動 CAT 檔案，進而將主程式直接在記憶體中執行，而不會在硬碟上留下明顯的惡意檔案軌跡。這種做法讓傳統依賴檔案特徵碼（Signature）的防毒軟體極難偵測。
關於 NarwhalRAT 的功能，它是一個功能強大的 Python 監控工具。一旦植入，它可以記錄鍵盤輸入（Keylogging）、截取高解析度螢幕畫面、錄製環境音訊、上傳目錄檔案，甚至能讀取 USB 隨身碟內的資料。其名稱 NarwhalRAT 源自於它在系統中建立的隱藏目錄名稱 naverwhale，這是在偽裝成韓國知名瀏覽器 Naver Whale，試圖讓系統管理員在檢查路徑時將其誤認為是正常的瀏覽器快取或設定檔。
在指令控制（C2）的架構上，APT37 採取了雙軌制。主通道使用韓國本地網站作為中繼站，而備用通道則利用了合法雲端儲存服務 pCloud 的 API。這種將合法雲端服務作為死信箱（Dead Drop Resolver）的技巧非常狡猾，因為企業防火牆通常不會封鎖 pCloud 等知名雲端服務，這使得惡意流量能隱藏在正常的 HTTPS 流量之中。
總結這次攻擊的特點，我們可以發現 APT37 已經從早期的 RokRAT 轉向更靈活的 Python 框架。其核心邏輯是：用社交工程突破入口，用多階段載入器規避偵測，用記憶體執行消除痕跡，最後用合法雲端服務維持控制。
對於開發與維運人員來說，這提醒我們不能僅依賴端點防護軟體。監控異常的排程工作名稱（例如此次出現的 MicrosoftUserInterfacePicturesUpdateTackMachine）以及分析異常的對外雲端 API 流量，將是偵測這類進階持續性威脅（APT）的重要手段。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。