這篇文章將為大家分析 Google 威脅情報團隊（GTIG）近期揭露的 STOCKSTAY 後門程式。這是一個由俄羅斯政府支持的駭客組織 Turla 所開發的工具，主要針對烏克蘭政府、軍方軍事組織以及對義大利外交政策感興趣的實體進行間諜活動。
對於初入行的工程師來說，理解這類高級持續性威脅（APT）的關鍵不在於單一的病毒程式，而是在於其「架構設計」與「隱匿策略」。
STOCKSTAY 的模組化架構設計
STOCKSTAY 並非單一的執行檔，而是一個基於 .NET 框架開發的多組件後門。它採用了模組化設計，將不同的功能拆分到不同的組件中，這在工程上可以提高開發效率，在攻擊端則能增加分析難度。
其核心由四個主要組件構成，彼此之間透過 IPC（Inter-Process Communication，行程間通信）機制，利用 Windows 的 WM_COPYDATA 訊息來交換資料。
首先是 MARKETMAKER，這是整個攻擊鏈的下載器（Downloader），負責將後續的三個核心模組安裝到目標主機上。
接著是 STOCKBROKER，扮演網路隧道（Tunneler）的角色。它使用 WebSocket 協定與遠端伺服器建立加密連接。之所以使用 WebSocket 而非傳統的 HTTP，是因為 WebSocket 允許全雙工通信，能讓攻擊者即時下達指令而不需要頻繁發起請求，降低被防火牆偵測的機率。
然後是 STOCKTRADER，這是真正執行指令的後門主體。它具備強大的資訊蒐集能力，包括讀寫登錄檔（Registry）、螢幕截圖、執行系統指令以及文件上傳下載等功能。
最後是 STOCKMARKET，它扮演協調者（Orchestrator）的角色。它負責解析設定檔，決定後門何時運行、連接哪個伺服器，並將指令轉發給 STOCKTRADER 執行。
這種將「通信」、「執行」與「控制」分離的設計，與 Turla 之前的經典工具 Kazuar 非常相似，顯示出該組織傾向於將成熟的設計模式重複應用在不同工具中。
掩護手段與潛入路徑
為了在受害者的系統中生存，STOCKSTAY 採取了偽裝策略。最初它被設計成看起來像股市數據查看工具，隨後演變為偽裝成 PDF 閱讀器或計算機等無害程式。
在潛入路徑上，Turla 運用了多種社交工程與漏洞利用手段。常見的包括發送帶有惡意 RDP（遠端桌面協定）文件的釣魚郵件，或利用 WinRAR 的漏洞（如 CVE-2025-8088）透過壓縮檔植入。此外，他們還會利用被入侵的 WordPress 網站作為中繼站，存放惡意 ZIP 檔供下載器抓取。
值得關注的是，STOCKSTAY 在攻擊生命週期中扮演雙重角色。它既可以用於最初的環境滲透（Initial Access），也可以在攻擊者已經進入內網、完成偵察後，針對特定高價值主機進行精準部署。
隱匿通信與 C2 基礎設施
在命令與控制（C2, Command and Control）的設計上，Turla 採取了多跳（Multi-hop）架構。Google 發現了一個公開的 GitHub 儲存庫，其中包含一個 Python 實作的 WebSocket 伺服器控制器。
這個控制器的設計非常狡猾，它負責處理來自受害客戶端的訊息並記錄 IP，但由於伺服器端無法直接解密傳入的訊息，這導致安全研究人員即使攔截到流量，也難以透過分析伺服器行為來反推攻擊者的真實基礎設施位置。
總結與啟示
STOCKSTAY 的案例告訴我們，現代的間諜軟體不再追求單一功能的強大，而是在於系統性的工程設計。透過 .NET 的模組化開發、WebSocket 的即時通信以及多層級的 C2 隱匿，攻擊者能有效地在高度監控的環境中維持存在感。
對於防禦者而言，單純依賴特徵碼（Signature）偵測已不足夠，更需要關注異常的 IPC 通信行為、非典型的 WebSocket 流量以及對已知軟體漏洞（如 WinRAR）的及時修補。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。