近期資安研究機構 Gen Digital 與 Expel 揭露了兩組新型惡意軟體家族 WordlistLoader 與 SynkLoader。這兩類軟體的主要目的在於作為初級載入器，負責在受害者系統中建立據點並下載後續的攻擊載荷，最終可能將系統存取權限出售給勒索軟體組織。這兩種攻擊路徑代表了現代社交工程的演進：一種是利用瀏覽器視覺欺騙的 ClickFix 技術，另一種則是針對企業協作工具的精準釣魚。
社交工程與 ClickFix 欺騙技術
WordlistLoader 的傳播主要依賴於名為 ClearFake 的攻擊活動，其核心手段是 ClickFix（亦稱為 FakeCaptcha）。這種技術會劫持合法網站，注入 Base64 編碼的惡意 JavaScript 程式碼。當使用者訪問被入侵的網站時，會看到一個偽造的 CAPTCHA 驗證視窗，提示使用者點擊「我不是機器人」以進行驗證。
然而，這並非真正的驗證過程。一旦使用者點擊，系統會引導他們執行一連串操作：將一段惡意指令複製到剪貼簿，並指示使用者將其貼上到 Windows 的「執行」（Run）對話框中執行。這種手法將惡意程式的執行權交給使用者主動觸發，能有效繞過許多自動化安全偵測。此外，攻擊者還使用了 EtherHiding 技術，將惡意 JavaScript 儲存在區塊鏈的智能合約中，使得他們能迅速更換被封鎖的 URL，維持攻擊鏈的可用性。
WordlistLoader 的運作機制與隱匿手段
當使用者執行 ClickFix 指令後，系統會透過 conhost.exe 啟動隱藏的 cmd.exe 視窗，利用 pushd 指令映射一個遠端的 WebDAV 共享資料夾（一種基於 HTTP 的網路檔案存取協定），隨後透過 rundll32.exe 載入惡意 DLL 檔案。
WordlistLoader 之所以被命名為「單字表載入器」，是因為其核心 shellcode（一段可直接在記憶體中執行的機器碼）是以一系列簡單的英文單字形式儲存，每個單字代表一個位元組，藉此規避靜態掃描。該載入器的主要任務是重建 shellcode 並將 Amatera Stealer（一種專門盜取瀏覽器憑據與加密貨幣錢包的資訊竊取軟體）載入記憶體。
為了進一步降低被偵測的機率，WordlistLoader 採用了硬體斷點（Hardware-breakpoint）技術來繞過 Windows 事件追蹤（ETW, Event Tracing for Windows），使惡意活動在系統日誌中不留痕跡。而 Amatera Stealer 的最新版本更強化了對抗分析的能力，例如透過 WoW64 轉譯層強化系統調用（syscall）的隱蔽性，並採用間接系統調用跳板技術來規避安全軟體的監控。
SynkLoader 與企業協作工具釣魚
與 WordlistLoader 不同的 SynkLoader 則採取針對性的釣魚攻擊。攻擊者偽裝成公司 IT 服務台人員，透過 Microsoft Teams 發送訊息，誘導使用者下載一個看似來自 Microsoft Azure 儲存端點的 MSI 安裝檔。該檔案偽裝成 PowerShell 清理工具，一旦安裝，便會在記憶體中執行 Python 載入器。
SynkLoader 的功能模組化程度極高，可根據攻擊需求動態部署不同的功能模組，包括：
第一是 PhishLocker 模組，它會顯示一個偽造的 Windows 鎖定畫面，誘騙使用者輸入登入密碼，直接竊取系統憑據。 第二是 Persistence 模組，透過建立隨機名稱的排程工作，確保惡意軟體在每次登入或每日固定時間自動啟動。 第三是 TrafficRedirector 與 StreamMaster 模組，前者將受感染機器轉化為反向代理伺服器，讓攻擊者能滲透進內部網路；後者則提供類似 VNC 的遠端桌面串流，讓攻擊者能直接控制受害者的滑鼠與鍵盤。 最後則是 Interactive Shell 模組，提供遠端存取木馬（RAT）功能，允許攻擊者執行任意 PowerShell 指令。
實務影響與防禦限制
這兩起案例顯示出攻擊者正將「合法服務」與「心理操縱」高度結合。WordlistLoader 利用了 CDN 服務（如 jsDelivr）來託管腳本，並利用區塊鏈技術隱藏指令，使得傳統的域名黑名單封鎖效果大打折扣。而 SynkLoader 則利用了員工對 IT 部門的信任以及對雲端儲存路徑（Azure blob）的盲目信任。
對於企業而言，這類攻擊的限制在於其高度依賴使用者的行為觸發。單純的防毒軟體可能無法攔截使用者主動在「執行」對話框輸入的指令。因此，防禦重點應從單純的惡意碼偵測，轉向強化端點偵測與回應（EDR）的行為分析，例如監控不尋常的 rundll32.exe 行為或異常的 WebDAV 連線。同時，針對員工進行社交工程意識培訓，強調絕不在任何情況下將不明指令貼上至系統執行視窗，是阻斷此類攻擊鏈最關鍵的一環。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。