根據資安研究機構 SOCRadar 的分析，近期發現了一款名為 PEEP 的複雜後滲透工具包。這款工具包將 Chromium 系列瀏覽器（如 Google Chrome 與 Microsoft Edge）轉化為強大的系統後門，讓攻擊者能在受感染的主機上執行指令並竊取敏感資料。PEEP 的設計邏輯非常巧妙，它將自己偽裝成一個名為 Smart Bookmarks 的書籤擴充功能，藉此在瀏覽器環境中隱匿行蹤，並透過特定的技術手段突破瀏覽器的沙箱限制，直接控制作業系統。
背景與攻擊前提
首先必須釐清的是，PEEP 並非一種能夠獨立完成初始入侵的病毒，而是一個後滲透框架（Post-compromise framework）。這意味著攻擊者必須先透過其他手段（例如釣魚郵件或漏洞利用）取得目標主機的初步存取權限，甚至需要具備管理員權限或程式碼執行能力，才能部署 PEEP。
一旦攻擊者進入系統，他們會利用 PEEP 提供的安裝程序將惡意擴充功能直接注入到 Chrome 或 Edge 的使用者設定檔中。為了避免被使用者發現或被瀏覽器攔截，PEEP 並非透過官方的 Chrome Web Store 安裝，而是採取側載（Sideloading）或偽造設定值的手段，繞過瀏覽器的完整性檢查與使用者安裝提示。
核心運作機制：從瀏覽器跳轉至作業系統
PEEP 的核心能力在於它能將瀏覽器從單純的網頁檢視器，轉變為一個遠端存取工具（RAT）。其運作分為兩個層級：瀏覽器層級與主機層級。
在瀏覽器層級，PEEP 擴充功能扮演著代理人的角色。它會每 30 秒透過明文 HTTP 協議向命令與控制伺服器（C2 Server）發送心跳訊號，確認是否有新指令。此時，它能執行如截圖、讀取剪貼簿、注入 JavaScript 腳本以及竊取瀏覽歷史紀錄、Session Cookies 與活動分頁元數據等任務。
為了突破瀏覽器的沙箱（Sandbox，一種將程式隔離在受限環境中以防止其影響系統的安全機制），PEEP 引入了原生訊息主機（Native Messaging Host）技術。它會安裝一個名為 nm_host.exe 的輔助執行檔，建立起瀏覽器與作業系統之間的橋樑。當 C2 伺服器下達需要系統權限的指令時，擴充功能會調用這個原生主機程式，進而讓攻擊者能執行 Shell 指令、管理檔案以及偵測系統中的執行程序與服務。
隱匿手法與持久化策略
為了確保在瀏覽器重啟後依然有效，PEEP 採取了多種操縱設定的手段。它會修改瀏覽器的 Secure Preferences（安全偏好設定）檔案，確保惡意擴充功能在啟動時自動啟用。
具體實作上，攻擊者使用了多個 PowerShell 腳本來達成目的：其中一個腳本用於開啟開發者模式以進行側載；另一個則專門用於修補 Secure Preferences 檔案以欺騙瀏覽器；第三個腳本則負責將擴充功能註冊到登錄機碼（HKCU Extensions）中並重新啟動瀏覽器。此外，研究人員還發現了對應的 Python 腳本，顯示該攻擊者也計畫將此技術擴展到 Linux 環境。
影響與技術解讀
PEEP 的危險之處在於其極高的隱蔽性。由於其核心邏輯運行在經過數位簽署的瀏覽器程序內部，許多端點偵測與回應（EDR）工具可能無法偵測到異常，因為對系統而言，這看起來像是正常的瀏覽器行為。
此外，PEEP 是基於開源紅隊框架 RedExt 改進而來的。它在 RedExt 的基礎上增加了專用的安裝流程、原生主機橋接、心跳遙測以及更新通道，使其從一個單純的資料分析工具演變成一個完整的後門框架。值得注意的是，原始碼中發現了中文痕跡，暗示其開發者可能為中文母語的威脅參與者。
限制與實務意義
儘管 PEEP 功能強大，但它高度依賴初始入侵的成功率。如果系統具備強大的權限管理，限制非管理員修改系統設定或禁止執行未經授權的 PowerShell 腳本，PEEP 的部署難度將大幅增加。
然而，這次發現提醒了企業，瀏覽器不再僅僅是進入網路的門戶，一旦被操縱，它能成為一個極佳的跳板。攻擊者可以利用瀏覽器身分繞過許多安全檢查，在不觸發警報的情況下，持續地從內部網路竊取憑證或執行惡意指令。對於防禦方而言，監控異常的瀏覽器擴充功能安裝行為以及檢查 Secure Preferences 檔案是否被非法篡改，將成為防禦此類攻擊的關鍵。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。