這起針對亞塞拜然石油與天然氣公司的網路攻擊事件，為我們提供了一個非常典型的進階持續性威脅（APT）案例。這類攻擊與一般的隨機掃描不同，其目標明確且具有高度的耐心地。這次的攻擊被歸類為與中國關聯的駭客組織 FamousSparrow（又稱 UAT-9244），他們在短時間內對同一目標發動了三波侵入行動。
對於初入行的工程師來說，最值得關注的不是攻擊者使用了什麼工具，而是他們如何看待漏洞利用與權限維持的邏輯。
重複利用同一個入口點的危險性
在這次事件中，攻擊者多次利用 Microsoft Exchange Server 的 ProxyNotShell 漏洞鏈作為進入點。ProxyNotShell 是一組允許遠端攻擊者在不需要驗證的情況下，透過特定的伺服器配置缺陷來執行惡意程式碼的漏洞。
這裡最關鍵的教訓是：攻擊者會反覆嘗試同一個漏洞，直到該路徑被徹底堵死。即便受害者在第一波攻擊後進行了部分修復，但只要漏洞沒有完全補丁（Patch）、受損的憑證（Credentials）沒有全部更換，或者攻擊者留下的後門沒有被清理乾淨，他們就會在幾週後再次回來。這說明了在面對入侵事件時，單純的個案修復是不夠的，必須進行全面的根除（Eradication）工作。
進階的 DLL Side-loading 規避技術
為了在受害系統中隱藏自己，攻擊者使用了 DLL Side-loading（DLL 側載）技術。簡單來說，這是一種利用合法程式載入 DLL 檔之特性，將惡意 DLL 偽裝成合法組件，讓系統在執行正常程式時，不小心載入並執行惡意程式碼的手法。
然而，這次的攻擊演進到了更高級的階段。他們利用了 LogMeIn Hamachi（一個合法的 VPN 軟體）的二進位檔，並對惡意 DLL 內的兩個特定導出函數（Exported Functions）進行覆蓋。
這種做法將原本簡單的檔案替換，變成了兩階段的觸發機制。惡意程式的執行被整合進了主程式的自然控制流中，這讓傳統的防毒軟體或端點偵測系統（EDR）很難分辨這是在執行正常功能還是惡意操作。這提醒我們，監控單純的檔案名稱或簽章已不足夠，必須關注程式執行時的行為模式（Behavioral Analysis）。
多樣化的後門部署與橫向移動
攻擊者在三波行動中不斷更換後門工具，包括 Deed RAT（一種遠端存取木馬）及其變體，以及 TernDoor（專門針對電信基礎設施的後門）。這種策略稱為工具多樣化，目的是防止安全團隊在發現一種惡意軟體後，就將其特徵碼（Signature）定義為唯一的偵測指標，從而導致其他後門被遺漏。
一旦進入內部網路，他們會立即進行橫向移動（Lateral Movement），也就是在內部網路中尋找其他伺服器或權限更高的帳號。這樣做是為了建立冗餘的據點，確保即使其中一個後門被發現並刪除，他們依然能透過其他路徑重新控制整個網路。
實務上的啟發
這次事件顯示出地緣政治因素（如能源安全）如何驅動網路間諜活動。從工程實務角度看，我們應該意識到：
第一，漏洞補丁必須徹底且及時。只要有一個入口沒關，攻擊者就會把它當成大門。 第二，權限管理至關重要。一旦伺服器被攻破，應立即強制更換所有相關服務帳號的密碼。 第三，不能過度依賴單一的偵測手段。面對進階的 DLL 側載技術，需要結合記憶體分析與異常行為監控。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。