針對東南亞政府機關與能源等關鍵基礎設施的網路間諜活動近期引起關注。根據 Palo Alto Networks Unit 42 的分析，這波攻擊由一個被命名為 CL-STA-1062 的高級持續性威脅（APT）組織發起。APT 是一種具有高度組織化、資源充足且目標明確的攻擊模式，通常由國家支持，旨在長期潛伏於目標網路中獲取機密資訊。
此次攻擊最值得關注的是該組織開發了一款名為 TinyRCT 的自定義後門程式。對於初入行的工程師來說，後門（Backdoor）是指攻擊者在系統中留下的秘密入口，讓他們在繞過正常認證流程後，能隨時遠端控制受害主機。
CL-STA-1062 的攻擊策略採取一種實務的混合工具鏈模式。他們並不完全依賴自研工具，而是將開源工具與自定義惡意軟體結合。在初步滲透階段，他們常利用 ASPX Web Shell 獲取權限。Web Shell 是一種上傳至伺服器的惡意腳本，讓攻擊者能透過瀏覽器直接對伺服器下達指令。一旦建立立足點，他們會部署 SoftEther VPN 或 VNT 等開源 VPN 工具，將受害主機轉化為跳板，以便在內部網路進行橫向移動（Lateral Movement），也就是從一台被攻破的機器嘗試入侵同一網路中的其他伺服器。
為了掩蓋行蹤，攻擊者會將這些工具偽裝成常見的系統檔案，例如將惡意執行檔命名為 vmwared.exe 或 XDRAgent.exe，讓管理員在檢查進程清單時誤以為是 VMware 虛擬機工具或 XDR 安全代理程式。
而 TinyRCT 則是該組織用來實現精準控制的核心工具。這是一個基於 .NET 框架開發的輕量級遠端存取木馬（RAT）。它的功能涵蓋了系統偵察、執行任意指令、上傳與下載檔案、截圖以及自我刪除以抹除痕跡。為了規避安全偵測，TinyRCT 具備沙箱偵測能力，如果發現自己運行在分析環境（Sandbox）中，它會停止執行以防止被安全研究員分析。
在通訊機制上，TinyRCT 採用信標（Beaconing）模型。它會每隔 10 秒向 C2 伺服器（Command and Control Server，即攻擊者的指令控制中心）發送一次 HTTP GET 請求，詢問是否有新指令；而將竊取的資料傳回時，則使用 HTTP POST 請求。為了防止流量被網路監控設備（如 IDS/IPS）輕易識別，所有交換的數據都經過 AES-128 CBC 模式加密。
TinyRCT 的交付方式則運用了較為複雜的 DLL 注入技術。攻擊者會提供一個名為 chrome_setup.zip 的壓縮檔，其中包含一個看似正常的 Chrome 安裝程式，但實際上利用了 AppDomainManager 注入攻擊。當使用者執行該程式時，它會強制載入一個惡意的 DLL 檔案（MyAppDomainManager.dll），而這個 DLL 扮演著下載器的角色，負責從遠端伺服器抓取真正的 TinyRCT 主程式（PerfWatson2.exe）並執行。
這類攻擊給工程師的啟示在於，僅依賴對已知惡意軟體的特徵碼掃描（Signature-based detection）已不足夠。攻擊者透過混用開源工具、偽裝合法進程名稱以及使用自定義加密通訊，能有效降低被發現的機率。面對此類威脅，建立基於行為的監控（例如異常的外部連線頻率、非預期的 DLL 載入行為）以及實施零信任架構（Zero Trust），限制內部網路的橫向移動權限，才是更有效的防禦手段。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。