很多工程師或資安新手在處理入侵事件時，直覺反應是趕快找出駭客的 C2 伺服器並將其封鎖或關閉，認為這樣就能切斷對方的控制權。然而，最近 Cato Networks 分析的一起針對法國汽車企業的攻擊案例告訴我們：C2 伺服器只是駭客進入系統的一扇窗戶，而真正的威脅在於他們在內部偷偷安裝的後門。
這起攻擊由一名代號為 Poisson 的初級駭客發起。雖然對方的技術並不成熟，甚至在操作過程中多次洩漏自己的家目錄資訊，但其採取的持久化策略卻給所有維運者敲響了警鐘。
什麼是 C2 與持久化
在討論細節前，我們先釐清兩個核心概念。C2（Command and Control）是指駭客用來發送指令並接收受害者電腦回報的控制伺服器。而持久化（Persistence）則是指駭客在進入系統後，為了防止電腦重啟或 C2 伺服器失效而建立的長期存取機制，確保無論發生什麼，他都能隨時回來。
這次攻擊的技術鏈條
駭客首先透過 VBScript 腳本避開沙箱偵測，接著利用 PowerShell 載入 .NET 程式，最終在記憶體中執行名為 Havoc 的 Demon Agent。值得注意的是，整個過程幾乎都在記憶體中完成，沒有將惡意檔案寫入硬碟，這是一種典型的無檔案攻擊（Fileless Attack），旨在規避傳統的防毒軟體掃描。
在權限提升階段，他使用了 Start-Process -Verb RunAs 指令。這對 Junior 工程師來說是一個重要的觀察點：這個指令並非靜默繞過 UAC（使用者帳戶控制），而是會直接跳出 Windows 的權限請求視窗。這意味著駭客必須等待使用者在螢幕前點擊「是」才能成功。雖然這看起來很低級，但駭客在一名受害者身上嘗試了兩天十多次，最終竟然真的成功了。
為了確保能長期控制，他採取了多重保障：建立每當登入時即執行的排程工作、將 Shellcode 注入 Explorer.exe 進程，並安裝 RustDesk（一種合法遠端桌面工具）作為備用通道。
利用合法工具建立影子網路
這次案例中最關鍵的轉折在於，駭客在 C2 伺服器失效前，在受害機上安裝了 OpenSSH Server 和 Tailscale。
Tailscale 是一個基於 WireGuard 協定的虛擬私人網路（VPN）工具，能讓裝置在不設定複雜防火牆規則的情況下，建立加密的 Mesh 網路。駭客將受害機加入他自己的私人 Tailscale 網路，並設定了基於金鑰的 SSH 認證與反向隧道（Reverse Tunnel）。
這樣做的結果是，即使隔天他的 Havoc C2 伺服器因為各種原因斷線，他依然能透過 Tailscale 這個獨立的加密通道，像在自己的區域網路內一樣直接 SSH 登入受害機。直到 18 天後 C2 伺服器恢復運作，原本的 Agent 自動重新連線，他才恢復使用 C2 指令。
這證明了：單純砍掉 C2 伺服器完全無法達到修復（Remediation）的效果，因為駭客已經建立了一道獨立於 C2 之外的後門。
實務上的偵測與防禦建議
對於維運與資安人員來說，這次案例提供了一份非常具體的監控清單。我們不應該只檢查是否有惡意檔案，而應關注異常的行為模式：
第一，監控 Windows 工作站是否安裝了 OpenSSH Server。在一般辦公電腦上，這幾乎沒有正當理由。
第二，檢查是否出現非公司核可的 VPN 工具，例如 tailscale.exe。
第三，留意 ssh -R 這種反向隧道指令，這通常被用來將內部端口映射到外部伺服器，繞過防火牆。
第四，警覺異常的電源設定。駭客在這次攻擊中使用了 powercfg 指令防止電腦進入睡眠模式，以確保 keylogger（鍵盤記錄器）能持續運作。
第五，監控排程工作。特別是那些以最高權限啟動腳本解釋器（如 PowerShell 或 cscript）的任務。
總結
這次攻擊者雖然技術粗糙，但其邏輯非常清晰：利用合法、有數位簽章的工具（如 Tailscale, RustDesk）來隱藏惡意行為。因為這些工具本身是合法的，傳統的黑名單偵測法會失效。
對工程師而言，最深刻的教訓是：當你發現一個 C2 伺服器時，請假設這絕對不是唯一的進入路徑。真正的清理工作必須包含對持久化層（Persistence Layer）的地毯式搜索，否則你以為趕走了賊，其實他只是換了一把鑰匙在門口等你。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。