這是一篇針對近期發現的 EtherRAT 惡意軟體攻擊活動的技術分析。這次攻擊非常狡猾，它不打算大規模撒網釣魚，而是精準地瞄準企業中擁有高權限的對象，例如系統管理員（Admin）、DevOps 工程師和資安分析師。
對於 Junior 工程師來說，理解這件事的關鍵在於：攻擊者不再僅僅依賴單一的釣魚連結，而是建構了一套結合 SEO 操縱、多層級分發以及去中心化控制的完整供應鏈。
攻擊的第一步：利用 SEO 毒化與 GitHub 門面
攻擊者使用了 SEO Poisoning（搜尋引擎最佳化毒化），這是一種操縱搜尋結果的技巧。當管理員在 Bing 或 DuckDuckGo 搜尋一些專業的 IT 工具（例如 Kusto Explorer 或 PsExec）時，惡意結果會被排在最前面。
這裡最聰明的地方在於他們使用了雙層 GitHub 結構。首先，使用者會被導向一個門面倉庫（Facade Repository）。這個倉庫看起來非常專業，有詳細的 README 說明，而且裡面完全沒有惡意程式碼。這樣做的目的是為了通過 GitHub 的安全掃描並維持高搜尋排名。
當使用者信任這個頁面並點擊下載連結後，才會被導向第二個隱藏的 GitHub 倉庫，在那裡才會下載到真正的惡意 MSI 安裝檔。如果第二個倉庫被 GitHub 封禁，攻擊者只需要修改門面倉庫的一個連結即可快速恢復，而不需要重新去爭奪搜尋引擎的排名。
精準的目標設定：針對管理工具的偽裝
這次攻擊偽裝的工具清單非常有代表性，包括 Sysinternals 系列（如 ProcDump, Sysmon）、Windows LAPS 或 AzCopy。
為什麼要偽裝成這些工具？因為普通員工根本不會下載這些東西。只要有人安裝了這些工具，幾乎可以確定該使用者擁有系統的高權限（Elevated Privileges）。一旦管理員的電腦被攻破，攻擊者就拿到了進入企業內網的鑰匙，能輕易地在內部進行橫向移動（Lateral Movement）。
惡意軟體的運作邏輯：多階段載入
EtherRAT 是一個基於 Node.js 撰寫的遠端存取木馬（RAT）。為了躲避偵測，它採取了多階段載入的方式：
第一階段（Dropper）：透過 MSI 安裝檔執行一個混淆過的批次檔（.cmd），它會從官方網站下載 Node.js 執行環境，確保環境就緒後將控制權移交。
第二階段與第三階段（Loader & RAT）：利用 AES-256-CBC 加密將真正的木馬程式碼隱藏在看似普通的文件（如 .xml 或 .cfg）中，並在記憶體中解密執行。為了在工作管理員中不顯眼，它會使用 conhost.exe --headless 參數來偽裝成標準的控制台主機進程。
最核心的技術：基於以太坊的 C2 解析
傳統的木馬會將 C2（Command and Control，指令控制伺服器）的 IP 或域名寫死在程式碼裡，這樣只要資安團隊將該域名封鎖，木馬就失效了。
EtherRAT 引入了 Blockchain-based Dead Drop Resolving（基於區塊鏈的死信解析）。它將 C2 伺服器的真實地址儲存在以太坊（Ethereum）的智能合約（Smart Contract）中。智能合約就像一個儲存在區塊鏈上的小型程式，任何人都可以查詢，但只有持有私鑰的攻擊者能修改。
木馬在執行時，會平行向多個公共以太坊 RPC 節點（RPC 是遠端程序呼叫，讓程式能與區塊鏈互動的介面）發送請求，獲取最新的 C2 地址。
這種做法帶來了極強的韌性：只要以太坊網路還在，木馬就能找到家。攻擊者只需發起一筆區塊鏈交易更新合約內容，全球所有受感染的電腦都會自動切換到新的伺服器，完全繞過了傳統的域名封鎖機制。
實務上的防禦建議
面對這種高度隱蔽的攻擊，單靠防毒軟體可能不足夠。建議從以下方向著手：
第一，限制對公共以太坊 RPC 端點的訪問。如果公司內部沒有業務需求需要直接連接區塊鏈節點，應在防火牆層級封鎖。
第二，建立工具來源的信任機制。教育 IT 人員不要直接從搜尋引擎下載管理工具，而應使用公司內部的軟體中心或廠商的官方驗證入口。
第三，監控異常行為。留意 Node.js 進程執行 shell 指令，或是出現帶有 --headless 參數的 conhost.exe 進程，以及每 5 分鐘一次的規律外部連線請求。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。