這篇分析將帶領大家了解近期由 Mustang Panda（一個與中國相關的間諜組織）發起的網路攻擊行動。這次攻擊的對象是印度政府及其水電能源部門，其核心技術在於如何利用「合法雲端服務」來規避企業內部的安全監控。
對於初入行的工程師來說，最需要關注的不是單一的病毒程式，而是攻擊者如何利用系統漏洞與信任機制來建立隱蔽的通信管道。
利用合法雲端服務作為 C2 通道
在一般的惡意軟體攻擊中，受感染的電腦會連接到攻擊者的伺服器（這稱為 C2，Command and Control，命令與控制伺服器）。但現代的安全設備（如防火牆或 IDS 入侵檢測系統）很容易發現異常的對外連線，尤其是連向陌生或可疑的 IP 位址。
為了繞過監控，Mustang Panda 使用了 Zoho WorkDrive，這是一個在印度政府部門中非常普及的合法雲端儲存平台。攻擊者將 WorkDrive 當作 Dead Drop Resolver（死信箱），將指令放在雲端資料夾的收件匣中，並將偷到的資料寫入出件匣。
對安全設備而言，這看起來就像是員工在正常地使用公司認可的雲端儲存服務，導致惡意流量完全隱藏在正常的業務流量之中。
DLL Sideloading 的執行技巧
攻擊者在進入系統後，使用了稱為 DLL Sideloading（DLL 側載）的技術來執行惡意代碼。
簡單來說，許多合法軟體在啟動時會尋找特定的 DLL 檔案（動態連結庫，一種包含可執行代碼的檔案）。如果攻擊者能將一個偽造的、具有惡意功能的 DLL 檔案放置在合法執行檔相同的目錄下，並將其命名為該軟體預期要載入的名稱，那麼當合法軟體啟動時，就會在不知情的情況下載入並執行惡意代碼。
在這次案例中，攻擊者利用了具有合法數位簽章的 Solid PDF Creator 和 Citrix Receiver 執行檔。因為執行檔本身是合法的且經過簽署，許多防毒軟體會對其保持信任，從而讓惡意程式順利在背景運行。
本次攻擊使用的工具鏈
這次行動中出現了三款關鍵工具，分別扮演不同的角色：
第一款是 SHARDLOADER。它是一個 Loader（載入器），負責透過上述的 DLL 側載技術進入系統，並部署後續的植入物。
第二款是 MINIRECON。這是一個後門程式，用於維持對受害機器的控制權。它使用了 WebSocket 協定在 HTTPS 加密通道上傳輸數據，進一步增加被偵測的難度。
第三款是 ZOHOMURK。這是本次攻擊的核心，它內嵌了 Zoho 的 OAuth 憑證（一種標準的授權協議，允許應用程式在不獲知密碼的情況下訪問使用者帳戶）。它負責與 Zoho WorkDrive 溝通，接收指令並回傳竊取的機密資料。
攻擊路徑與偵測特徵
整個攻擊流程通常始於 Spear Phishing（魚叉式網路釣魚）。攻擊者會發送針對性極強的郵件，例如偽裝成水電合作提案或印度與台灣之間的備忘錄，誘使目標下載包含惡意 DLL 的 ZIP 壓縮檔。
雖然攻擊者在技術路徑上很隱蔽，但在開發習慣上留下了破綻。分析人員發現多個植入物中都出現了相同的拼字錯誤 RunOnece（正確應為 RunOnce），且使用了硬編碼的 Token（固定在程式碼中的授權碼），這讓安全研究員能將這些攻擊行為歸類為同一組織的作法。
實務防禦建議
面對這種利用合法服務的攻擊，單靠封鎖 IP 或更新補丁是不夠的，因為攻擊者使用的是合法服務且利用的是軟體載入機制。工程師與資安人員應採取以下策略：
監控異常的 API 調用。檢查端點設備上是否有非瀏覽器程序（例如一個 PDF 編輯器或系統工具）在頻繁調用雲端儲存 API。
審查啟動項與排程工作。檢查是否有異常的登錄機碼（Run keys）或可疑的排程任務（如本次案例中的 SolidPDFPcl2Bmp）。
強化對 DLL 載入的監控。使用 EDR（端點偵測與回應）工具監控非預期的 DLL 載入行為，特別是那些由合法簽署程序觸發但載入未簽署或路徑異常的 DLL 檔案。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。