這篇文章將分析近期由威脅組織 OceanLotus 發起的兩場針對越南國內目標的網路間諜行動。對於初入行的工程師來說，這是一個非常典型的 APT（進階持續性威脅）攻擊案例，涵蓋了供應鏈攻擊、缺乏完整性驗證的漏洞以及複雜的載荷執行鏈。
首先我們需要認識 OceanLotus。這是一個活躍超過十年的威脅組織，過去以針對外部目標著稱，但近期趨勢顯示他們將重心轉向越南國內的基礎建設與金融投資者。他們最常用的武器之一是名為 SPECTRALVIPER 的後門程式，其目的在於長期潛伏在受害者系統中，竊取資料並接收遠端指令。
供應鏈攻擊：FireAnt Metakit 案例
在針對股市投資者的攻擊中，OceanLotus 採取了供應鏈攻擊（Supply Chain Attack）。簡單來說，攻擊者不是直接攻擊每一位使用者，而是攻擊使用者信任的軟體更新管道。
這次的目標是 FireAnt Metakit，一個越南投資者常用的軟體平台。攻擊者劫持了該軟體的合法更新伺服器，將惡意程式偽裝成正常的更新包推送給特定的使用者。
這裡存在一個關鍵的工程漏洞：缺乏完整性驗證（Integrity Validation）。在正常的軟體更新流程中，客戶端在執行更新檔之前，應該會檢查該檔案的數位簽章（Digital Signature）或雜湊值（Hash），以確認檔案在傳輸過程中沒有被竄改。然而，FireAnt 的更新設定檔（version.xml）缺乏這種驗證機制，導致客戶端程式直接將惡意下載器視為合法更新並執行。
從下載到執行：DLL Side-loading 技巧
一旦惡意下載器在系統中執行，它不會立刻啟動後門，而是使用一種稱為 DLL Side-loading（DLL 側載）的技術。
DLL Side-loading 是利用 Windows 作業系統載入動態連結庫（DLL）的優先順序漏洞。攻擊者會放置一個合法的、具有數位簽章的執行檔，並在同一個目錄下放置一個名稱被偽造的惡意 DLL 檔。當合法程式啟動並嘗試載入該 DLL 時，系統會優先載入同目錄下的惡意版本，而非系統路徑下的正確版本。
在本次攻擊中，惡意程式利用此技巧將自己注入到 OneDrive.Sync.Service.exe 過程中，藉此掩蓋行為，讓安全防護軟體認為這只是 OneDrive 的正常運作，最後才正式啟動 SPECTRALVIPER 後門，與 C2（Command and Control，指令與控制）伺服器建立加密連線。
針對基礎建設的 RCE 攻擊
除了供應鏈攻擊，OceanLotus 同時針對一家交通建設公司進行了長達一年多的潛伏。這次的進入路徑與前次不同，他們利用了對外開放的 Microsoft SQL 伺服器中的遠端程式碼執行（RCE, Remote Code Execution）漏洞。
RCE 是最危險的漏洞類型之一，它允許攻擊者在無需持有帳號密碼的情況下，直接在目標伺服器上執行任意指令。進入系統後，他們同樣部署了 SPECTRALVIPER 後門，並利用其橫向移動（Lateral Movement）能力，在內部網路中擴散，尋找更多具價值的主機。
給工程師的實務啟示
這個案例提醒我們在開發與維運時，有三個核心防禦重點：
第一，絕對不能信任任何更新來源。無論是內部更新還是第三方套件，必須實作嚴格的簽章驗證（Signature Verification），確保執行檔未被篡改。
第二，關注異常的行程行為。DLL Side-loading 雖然能繞過靜態掃描，但其行為（如 OneDrive 進程突然連向不明的域名）可以在行為分析（Behavioral Analysis）中被偵測。
第三，最小化對外暴露面。像 SQL Server 這種敏感服務不應直接對公網開放，應透過 VPN 或跳板機存取，以降低被 RCE 漏洞利用的風險。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。