這是一起由國家級別較高的國家級駭客組織發起的複雜攻擊行動。攻擊者並非直接對目標公司發動強攻，而是利用了一種稱為 Watering Hole（水坑攻擊）的手法，將陷阱設在目標對象經常造訪的合法網站上，進而利用本地安裝的第三方安全軟體漏洞來控制電腦。
水坑攻擊的實務脈絡 水坑攻擊的邏輯就像是在動物喝水的池塘裡下毒。駭客會先分析目標對象（例如韓國的金融從業人員或政府官員）平時會瀏覽哪些新聞、醫療或教育網站。接著，駭客先入侵這些安全性較低的合法網站，在頁面中植入惡意 JavaScript 程式碼。當目標使用者造訪這些頁面時，惡意程式碼會自動觸發，嘗試攻擊使用者電腦上已安裝的特定軟體。
漏洞核心：AnySign4PC 的緩衝區溢位 本次攻擊的核心目標是 AnySign4PC，這是一款在韓國廣泛使用的電子簽章安全軟體。駭客利用了該軟體的一個 Zero-day（零日漏洞，指尚未被原廠發現或修補的漏洞）。
具體技術路徑如下： 首先，惡意網頁透過 WebSocket（一種允許網頁與本地應用程式進行全雙工通訊的協定）與本地運行的 AnySign4PC 溝通。 接著，駭客利用 Buffer Overflow（緩衝區溢位，指將超過記憶體容量的資料寫入緩衝區，導致程式崩潰或執行非預期的指令）觸發漏洞。 最後，駭客直接在記憶體中執行 Shellcode（一段能讓攻擊者取得系統控制權的機器碼），將惡意載荷注入到如 svchost.exe 等合法的 Microsoft 系統進程中。
這種攻擊最危險的地方在於它不需要使用者點擊下載按鈕，也不需要使用者同意安裝，只要造訪網頁，後門就已經悄悄地在背景安裝完成了。
後續的滲透與擴散 一旦後門（如 SIGNBT 或 COPPERHEDGE）成功植入，駭客便能執行遠端指令、竊取檔案以及進行內部偵查。為了在企業內部橫向移動，他們會使用 Mimikatz（一種著名的憑證竊取工具）來獲取管理員權限，並利用 RDP（遠端桌面協定）在不同伺服器之間跳轉。
值得注意的是，這次攻擊與 Gunra 勒索軟體展現出了高度的技術重疊。兩者使用了相同的基礎設施（如特定的 SSH 金鑰指紋、反向隧道伺服器以及相同的惡意檔案命名習慣），這顯示出不同的攻擊組織之間可能存在工具共享或基礎設施外包的關係。
防禦與偵測建議 對於工程師與資安人員來說，單靠檔案雜湊值（Hash）來偵測這類攻擊非常困難，因為惡意程式會將自己載入記憶體後刪除磁碟上的檔案，或在關機前才重新寫回並隨機更改雜湊值。
實務上的偵測重點應放在行為分析： 監控異常的 DLL 載入：注意合法執行檔是否載入了未知的 DLL 檔案。 檢查記憶體執行：偵測是否有 Portable Executable (PE) 檔案直接在記憶體中執行而未經過磁碟。 異常網路行為：搜尋非預期的對外 SSH 隧道連線。 系統進程異常：檢查 svchost.exe 或 SyncHost.exe 是否有異常的執行緒注入。
目前 KISA（韓國網路安全局）已發布更新，AnySign4PC 版本 1.1.5.0 已修復此漏洞。建議所有使用者檢查版本並立即更新，或直接刪除不必要的安全軟體以減少攻擊面。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。