這篇文章將為大家分析北韓背景的駭客組織 Kimsuky（又稱 Velvet Chollima）在 2026 年最新的攻擊趨勢。對於 Junior 工程師來說，這類案例最值得學習的不是單一的病毒樣本，而是攻擊者如何將「合法工具」與「社會工程學」結合，繞過傳統的資安防禦。
Kimsuky 的核心策略：精準的社會工程學
Kimsuky 的攻擊起手式通常不是暴力破解，而是極其精準的社會工程學（Social Engineering）。他們會針對特定目標（例如南韓的軍方、企業管理員）偽造高度擬真的安裝頁面。
例如，他們會偽造 B2B 訊息服務的安全性軟體下載頁面，讓管理員以為在安裝防火牆或鍵盤安全程式。更狡猾的是，他們會盜用真實的 Webex 會議日程，製作一個假的會議進入頁面。當受害者點擊時，系統會提示需要下載腳本來「修復攝影機問題」，而這個腳本實際上就是惡意軟體的下載器。這種做法讓受害者在心理上降低戒心，因為他們確實預期會有一個會議要參加。
HTTPSpy：全功能的遠端控制工具
在這次攻擊中，Kimsuky 部署了名為 HTTPSpy 的遠端存取木馬（Remote Access Trojan, RAT）。RAT 是一種允許攻擊者完全控制受害電腦的惡意軟體。
HTTPSpy 的功能非常全面，包括執行 Shell 命令、上傳下載檔案、截圖，甚至能將惡意 DLL 注入到特定的 PID（處理序識別碼）中，以隱藏自己的蹤跡。為了增加感染成功率，他們還開發了一套名為 JSONPing 的技術，利用 JSONP（一種跨域請求技術）在本地伺服器與偽造頁面之間溝通，即時確認惡意軟體是否已成功執行，如果沒執行，頁面會持續提示用戶安裝。
從技術鏈條來看，他們通常使用 regsvr32.exe 這種系統內建工具來載入惡意 DLL（如 MemLoader.dll），這樣可以避開部分僅監控 .exe 執行的防毒軟體。
進化中的工具箱：Rust 語言與 AI 的介入
Kimsuky 的工具鏈正在快速演進，其中有幾個關鍵趨勢值得注意：
第一是語言的轉移。他們開始使用 Rust 語言開發惡意軟體（例如 HelloDoor）。Rust 具有高效能且記憶體安全的特性，但對分析人員來說，Rust 編譯出的二進位檔案結構與傳統 C++ 不同，增加了逆向工程的難度。此外，有跡象顯示他們可能利用 LLM（大型語言模型）來輔助撰寫這些程式碼。
第二是功能分工。他們將惡意軟體分為不同家族，例如 PebbleDash 側重於遠端控制與偵察，而 AppleSeed 則專注於數據竊取，特別是針對 GPKI（政府公鑰基礎設施）憑證的提取，這對於偽造官方文件或進入政府內網至關重要。
濫用合法工具：VS Code Tunnel 與 Cloudflare
這是本次分析中最令工程師警覺的部分。Kimsuky 發現，與其開發複雜的 C2（Command and Control，指令控制伺服器）通道來與受害機器通訊，不如直接使用開發者熟悉的合法工具。
他們濫用了 Visual Studio Code 的 Remote Tunneling 功能。這原本是讓開發者能從任何地方遠端連接到自己電腦進行開發的功能，但被駭客用來建立一個加密且合法的持久化通道。因為 VS Code 的流量在企業環境中通常被視為正常開發行為，因此很容易繞過防火牆的異常流量偵測。
同樣的邏輯也應用在 Cloudflare Quick Tunnels 和 DWAgent（開源遠端監控工具）上。這種將惡意行為隱藏在合法服務流量中的做法，稱為 Living-off-the-Land（利用環境既有工具），是目前高級持續性威脅（APT）的主流趨勢。
總結與防禦思考
面對 Kimsuky 這類攻擊，單靠安裝防毒軟體是不夠的，因為他們大量使用合法工具與記憶體載入技術。
身為工程師，我們應該思考的是： 最小權限原則：是否所有員工都需要權限安裝非公司核可的安全性軟體？ 行為分析：如果一台非開發者的電腦突然開啟了 VS Code Tunnel 流量，這應該被視為高風險警訊。 零信任意識：即便會議連結看起來是正確的，只要要求下載執行檔或腳本來修復硬體問題，都應視為釣魚攻擊。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。