對於剛入行的工程師來說，我們在討論安全性時常會聽到供應鏈攻擊這個詞。簡單來說，供應鏈攻擊 Supply Chain Attack 並非直接攻擊目標對象，而是攻擊該對象所信任的第三方軟體或服務提供者。當攻擊者成功在軟體更新包或下載頁面植入惡意程式後，所有信任該平台的用戶在下載或更新時，就會在不知不覺中將病毒安裝到自己的裝置上。這比單純發送釣魚郵件更危險，因為用戶認為他們是在下載官方正版軟體。
近期有一起典型的案例，由與北韓關聯的駭客組織 ScarCruft 發動。他們入侵了一個專為旅居中國延邊地區的朝鮮族設計的遊戲平台 sqgame.net。這個平台的特殊性在於它常被北韓脫北者或人權活動人士使用，因此成為了高度精準的攻擊目標。
這次攻擊的核心武器是一款名為 BirdCall 的後門程式 Backdoor。後門程式是一種允許攻擊者遠端控制受感染系統、繞過正常認證機制進入系統的惡意軟體。BirdCall 是由早期的 RokRAT 演進而來，展現出強大的跨平台能力，能同時威脅 Windows 與 Android 系統。
在 Windows 端的攻擊路徑較為複雜。攻擊者透過篡改平台的桌面客戶端更新包，植入了一個被污染的 DLL 動態連結庫。DLL 是 Windows 系統中被多個程式共用的函數庫，攻擊者將惡意程式偽裝成正常的庫文件，使其在系統啟動或程式運行時被自動載入。這個 DLL 會先執行環境檢查，確認目前是否運行在虛擬機 VM 或分析工具中，以規避安全研究人員的偵測。一旦確認是真實用戶環境，它會下載並執行 shellcode，進而安裝 BirdCall 後門。
在 Android 端的攻擊則更直接。攻擊者直接修改了平台上的 APK 安裝包下載連結，讓使用者下載到被植入惡意代碼的版本。這導致 Android 用戶在安裝遊戲後，裝置權限被接管。
BirdCall 的功能設計完全是以監控為目的。在 Windows 上，它可以擷取螢幕快照、記錄鍵盤輸入 Keystroke Logging（用於竊取密碼）、盜取剪貼簿內容並執行遠端指令。而在 Android 上，它能讀取通訊錄、簡訊、通話紀錄、媒體文件，甚至能開啟麥克風進行環境錄音。
最值得工程師關注的是其 C2 通訊機制。C2 全稱 Command and Control，是指惡意軟體與駭客伺服器溝通、接收指令的通道。傳統的 C2 伺服器容易被防火牆攔截，但 BirdCall 巧妙地利用了合法的雲端儲存服務，例如 Dropbox、pCloud、Yandex Disk 以及 Zoho WorkDrive。對企業防火牆而言，這些流量看起來像是正常的雲端同步行為，極難被偵測。
這次事件給我們的啟示是，即使是看似小眾的遊戲平台，只要它處於信任鏈條中，就可能成為大規模監控的跳板。對於開發者而言，確保軟體分發管道的完整性 Integrity 以及實施嚴格的簽章驗證，是防止此類供應鏈攻擊的關鍵。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。