近期資安研究機構 Group-IB 揭露了一項由 JadeProx 所主導的網路攻擊行動。該組織主要針對亞洲與拉丁美洲的政府、醫療及教育機構，其攻擊手段結合了傳統的漏洞掃描與高度客製化的惡意載入器 TriBack Loader。這次發現的契機在於一台暴露在外的阿里巴巴雲端伺服器，讓研究人員得以窺見其攻擊者的工具鏈與目標清單。
理解 DLL 側載與 TriBack Loader 的運作機制
對於初入行的工程師來說，理解這次攻擊的核心在於 DLL Sideloading（DLL 側載）。這是一種利用 Windows 應用程式載入動態連結庫（DLL）之優先順序漏洞的技術。攻擊者會將一個合法的、經過數位簽章的執行檔（EXE）與一個惡意偽造的 DLL 放在同一個資料夾中。當合法程式啟動時，它會錯誤地載入同目錄下的惡意 DLL，而非系統路徑中的正確版本，從而讓惡意程式在合法程序的掩護下執行，有效繞過許多單純檢查數位簽章的防禦機制。
JadeProx 開發的 TriBack Loader 正是基於此原理。它採取了分層設計：首先透過合法執行檔載入惡意 DLL，接著 DLL 會讀取一個經過加密的資料檔（如 .dat 或 .log），將其內容反轉並使用滾動金鑰（Rolling Key）進行 XOR 解密，最後將解密後的 Shellcode（一段可直接在記憶體執行的機器碼）注入系統。
為了規避 EDR（端點偵測與回應）系統的監控，TriBack Loader 並未使用常見的 CreateThread 等容易被標記的 API 來建立執行緒，而是輪流使用較冷門或未公開的 API，例如 InitOnceExecuteOnce、TimerQueue 回調函數，甚至是 ntdll.dll 中未公開的 EtwpCreateEtwThread。這種更換 API 的策略旨在降低被安全軟體偵測到異常行為的機率。
多樣化的滲透路徑與社會工程
JadeProx 的攻擊路徑非常多樣，主要分為兩大類：
第一類是針對伺服器端的漏洞利用。攻擊者利用暴露在外的 Java 管理介面植入 Webshell（一種允許遠端控制伺服器的後門腳本），成功入侵越南的一家公立醫院影像系統。此外，他們還使用 Nuclei 掃描工具，針對香港教育體系的數萬個網址進行大規模掃描，尋找高風險漏洞。
第二類則是針對使用者的社會工程攻擊。他們偽裝成知名 AI 軟體 Claude，建立假網站 claude-pro[.]com 並提供惡意的 MSI 安裝包。一旦使用者安裝並通過 UAC（使用者帳戶控制）權限請求，惡意程式會將側載鏈路放置在 Windows 的啟動資料夾（Startup folder）中，確保電腦每次重新啟動後，後門程式都能自動執行，達成持久化（Persistence）目的。
漏洞利用的現實狀況：舊漏洞依然致命
值得關注的是，儘管 TriBack Loader 的設計相當精巧，但攻擊者在初步突破防線時，使用的卻是 2018 年至 2021 年間已公開的舊漏洞（如 Tenda 路由器或 ASUSTOR NAS 的漏洞）。這提醒我們，許多系統即便在面對高端威脅時，最脆弱的環節往往是那些被遺忘、未更新的舊設備。
防禦與偵測建議
針對此類攻擊，工程師與資安維運人員應採取以下偵測邏輯：
監控異常路徑的簽章執行檔：留意在使用者可寫入路徑（如 Temp 或 Startup 資料夾）中執行且帶有合法簽章的執行檔，尤其是當其同目錄下伴隨有加密的 .dat 或 .log 檔案時，應視為高度可疑。
檢查異常 DLL 檔案：掃描系統中是否出現非預期路徑的 hostfxr.dll、avk.dll 或 MpClient.dll，以及特殊的資料夾命名模式（如 _CL_######）。
封鎖可疑網域：將與 claude-pro[.]com 或偽裝成安全廠商（如 update-trellix[.]com）的網域列入黑名單。
最根本的防禦依然是基礎設施的硬化：關閉不必要的對外 Java 管理介面，並確保所有對外設備的韌體與補丁均已更新至最新版本，消除高 CVSS 分數的已知漏洞。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。