這篇文章將為大家解析近期由伊朗政府支持的駭客組織 Nimbus Manticore（在不同安全報告中可能被稱為 GalaxyGato 或 Mirage Kitten）所發動的網路間諜攻擊。這次攻擊的核心在於他們開發了一套完整的工具鏈，旨在長期潛伏於目標網路中，並將受害者的電腦變成一個隱形的跳板。
首先我們要理解的是這次攻擊的目標與進入路徑。該組織主要針對中東、非洲及南亞的政府機關、航空組織、電信公司及金融機構。雖然具體的入侵路徑尚未完全揭露，但根據過往經驗，他們擅長使用高度客製化的社交工程釣魚郵件。例如，偽裝成知名品牌或招聘平台的求職機會，或是模仿視訊會議頁面，誘使使用者下載存放於第三方雲端空間的惡意壓縮檔。
一旦惡意檔案被執行，攻擊者會利用一種稱為 DLL Side-loading（DLL 側載）的技術來啟動後門程式。簡單來說，DLL Side-loading 是利用某些合法程式在載入 DLL 檔案時的搜尋順序漏洞，讓系統誤載入攻擊者偽造的惡意 DLL 檔，從而繞過部分安全軟體的偵測，在合法程序的掩護下執行惡意代碼。
這次攻擊中部署的核心後門名為 NightLedger。對工程師來說，你可以將 NightLedger 視為攻擊者的遠端管理終端。它透過 HTTPS 協定與外部的 C2 伺服器（Command and Control，指令控制伺服器）溝通，接收並執行指令。其功能涵蓋了偵查、執行任意程式、檔案操作、截圖以及收集系統資訊。值得注意的是，它會特別收集 NetSetup.log 檔案，這通常用於排查網域加入問題，對於攻擊者分析目標內網的 Active Directory 結構非常有幫助。
除了後門，這次攻擊最關鍵的技術在於其部署的兩款 WebSocket 隧道工具：BridgeHead 與 ArcBridge。這裡需要解釋什麼是 WebSocket Tunneling（WebSocket 隧道）。一般的 HTTP 請求是單向的，但 WebSocket 允許伺服器與客戶端建立全雙工的持久連接。
攻擊者利用這個特性，將受害主機轉化為一個 Relay Node（中繼節點）。當 C2 伺服器透過 WebSocket 發送指令時，受害主機並不只是執行指令，而是充當一個 SOCKS5 代理伺服器。這意味著攻擊者可以在自己的伺服器端執行各種滲透工具，而所有的 TCP 流量都會被封裝在 WebSocket 通道中，經過受害主機轉發。對內網防火牆而言，看到的僅僅是受害主機與外部伺服器之間的正常 Web 流量，但實際上攻擊者正利用這台主機作為跳板，在目標內網中橫向移動。
此外，相關報告也提到另一個名為 HOLLOWGRAPH 的工具，它採取了更極端的隱匿手段，將 Microsoft 365 的行事曆當作 Dead-drop Resolver（死信箱）。攻擊者將指令偽裝成行事曆事件，並將日期設定在 2050 年以避免使用者發現。這種利用合法雲端服務 API 來傳遞指令的手法，能有效避開傳統基於流量特徵的入侵偵測系統。
總結來說，Nimbus Manticore 的攻擊邏輯是：透過社交工程進入 $\rightarrow$ 利用 DLL 側載執行 NightLedger 獲取權限 $\rightarrow$ 部署 WebSocket 隧道將主機中繼化 $\rightarrow$ 隱蔽地在內網進行間諜活動。對於維運與安全工程師而言，監控異常的外部長連接（Persistent Connections）以及檢查不尋常的 DLL 載入行為，將是防禦此類攻擊的關鍵。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。