對於剛接觸資安分析的工程師來說，理解一個 APT（進階持續性威脅）組織的運作方式，不能只看它用了什麼病毒，更要看的是整個攻擊鏈（Attack Chain）。最近 ESET 針對俄羅斯駭客組織 Gamaredon 的分析報告，正好展示了現代攻擊者如何將簡單的腳本與複雜的雲端基礎設施結合，來規避企業防禦系統。
攻擊的入口點：HTML 走私與社會工程學
Gamaredon 偏好使用魚叉式網路釣魚（Spear-phishing），也就是針對特定目標設計的欺騙郵件。他們最常使用的技術之一是 HTML Smuggling（HTML 走私）。
傳統的惡意檔案下載通常會觸發防火牆或郵件閘道的掃描，因為檔案在傳輸過程中會被偵測到。而 HTML 走私則是將惡意載荷（Payload）隱藏在 HTML 檔案內，利用 JavaScript 在使用者的瀏覽器本地端動態構建出惡意檔案。對安全設備來說，它只看到一個普通的 HTML 網頁，但對使用者來說，一旦開啟檔案，瀏覽器就會在後台偷偷下載並執行惡意程式。
這次攻擊中，他們利用 HTML 走私來交付 HTA 下載器（HTA Downloader），進而安裝如 PteroSand 等後續載荷。此外，他們甚至利用了 WinRAR 的漏洞（CVE-2025-8088），將下載器直接放入 Windows 的啟動資料夾中，實現持久化（Persistence），確保電腦重啟後惡意程式依然能自動執行。
橫向移動與感染擴散
進入單一台電腦後，攻擊者的目標是橫向移動（Lateral Movement），也就是在內網中尋找更多有價值的目標。Gamaredon 使用了 PteroLNK 和 PteroPaste 等工具，將惡意 LNK（快捷方式）檔案植入 USB 隨身碟或網路共享資料夾。
有趣的是，他們還復活了 PteroSetup 這種較舊的 VBScript 工具。這個工具會掃描隨身碟中的合法安裝檔，將其替換為自解壓縮（SFX）封裝檔。當使用者以為在安裝正版軟體時，實際上同時執行了原有的安裝程式與惡意下載腳本，這種手法極具欺騙性。
隱匿蹤跡：濫用合法雲端服務
這是本案例中最值得工程師關注的部分。現代防禦系統（如 EDR 或 NDR）會監控異常的網路連線，如果伺服器突然連向一個奇怪的俄羅斯 IP，很容易被攔截。為了規避監控，Gamaredon 大量濫用合法雲端服務作為中繼站。
他們將這些服務用作 Dead Drop Resolvers（死信箱解析器）。簡單來說，惡意軟體不會直接連到 C2 指令控制伺服器，而是先去讀取一個合法網站（如 Dropbox, GoFile, Telegra.ph, 甚至是開發者社群 dev.to）上的某篇貼文或檔案。這篇貼文裡隱藏了真正的 C2 伺服器位址。
此外，他們還利用 Serverless Workers（無伺服器運算平台）和 Tunneling Services（隧道服務）來隱藏後端基礎設施。對資安監控人員而言，流量看起來像是連向知名的雲端平台，而非駭客伺服器，這大大增加了偵測難度。
模組化工具集與作戰模式
Gamaredon 發展出一套以 Ptero 開頭的 PowerShell 工具集，將功能模組化：
PteroDee 與 PteroCache 負責在記憶體中直接執行 PowerShell 載荷，避免將檔案寫入硬碟，以規避傳統的檔案掃描。 PteroDum 則處理 VBScript 載荷的記憶體執行。 PteroOdd 則專門透過 Telegra.ph API 獲取指令。 PteroEffigy 利用 GoFile 雲端儲存來獲取 C2 伺服器資訊。
從運作模式來看，研究人員發現該組織在俄羅斯與克里米亞的重大節日期間會停止更新，這強烈暗示該組織是由政府雇傭的職員，而非獨立的駭客團體。
總結與實務啟示
Gamaredon 的案例告訴我們，單純依賴特徵碼（Signature）偵測惡意軟體已經不足夠。對抗這類攻擊，工程師與資安團隊應專注於以下方向：
第一，監控異常的行為模式。例如，為什麼一個普通的辦公軟體會觸發 PowerShell 並連向外部雲端儲存空間？ 第二，加強對 HTML 檔案與 LNK 檔案的審核，限制不必要的腳本執行權限。 第三，意識到合法雲端服務（SaaS/PaaS）可能被用作攻擊通道，不能因為流量目的地是知名公司就完全信任。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。