這篇技術分析將帶領大家拆解近期由 Proofpoint 揭露的攻擊案例。一個被追蹤為 UNK_MassTraction 的駭客組織，專門針對美國與加拿大的大學物理與工程部門，利用開源郵件系統 Roundcube 的漏洞進行滲透。
這起事件對工程師而言非常具有參考價值，因為它展示了一個完整的攻擊鏈（Attack Chain）：如何從一封電子郵件開始，逐步提升權限，最終掌控整台伺服器。
攻擊的起點：利用 N-day 漏洞進行初步滲透
首先我們要理解 N-day 漏洞的概念。N-day 是指那些已經公開、且廠商已經釋出補丁，但許多使用者還沒更新的漏洞。駭客在攻擊前會先進行偵查（Reconnaissance），確認目標大學的 Roundcube 版本是否過舊且存在已知漏洞。
這次攻擊的第一步是利用 CVE-2024-42009，這是一個 XSS（Cross-Site Scripting，跨站腳本攻擊）漏洞。簡單來說，XSS 允許攻擊者在受害者的瀏覽器中執行惡意 JavaScript 程式碼。在這次案例中，受害者只要用 Roundcube 閱覽該封惡意郵件，攻擊就會觸發。
一旦 JavaScript 執行，駭客部署了一個名為 IceCube 的惡意載荷。IceCube 的目標非常明確：竊取瀏覽器中儲存的憑證（Credentials）、Session Cookies 以及二階段驗證（2FA）資訊。這些資訊讓駭客能直接偽裝成該使用者，繞過登入驗證。
從使用者端跳轉到伺服器端：權限提升與遠端執行
拿到使用者的 Session 後，駭客並不滿足於僅能讀取郵件，他們的目標是掌控伺服器。
接著，IceCube 利用獲取的 CSRF Token（一種用來防止跨站請求偽造的機制，但在這裡被駭客用來合法化惡意請求），觸發了第二個更嚴重的漏洞 CVE-2025-49113。這是一個 RCE（Remote Code Execution，遠端程式碼執行）漏洞，評分高達 9.9 分。
透過這個 RCE 漏洞，駭客可以直接在伺服器上執行指令，並嘗試部署後門程式。他們優先嘗試安裝名為 SquareShell 的 Web Shell（一種允許駭客透過網頁介面遠端操控伺服器的腳本）。如果安裝失敗，攻擊鏈會自動切換到備案，透過 shell 腳本載入 SNOWLIGHT 載入器，最終安裝 VShell。
VShell 是一個用 Go 語言編寫的遠端管理工具，功能類似於著名的滲透測試工具 Cobalt Strike，能讓駭客在伺服器上持久化存在並進行後續的內部網路橫向移動。
高明的反偵查手段：延遲觸發與痕跡抹除
這次攻擊最值得工程師關注的是其極高的隱蔽性。IceCube 實作了延遲觸發（Deferred Triggers）機制，它會監控使用者的行為，例如： 當使用者切換分頁、將滑鼠移出瀏覽器視窗，甚至點擊登出按鈕時，IceCube 會在這些動作發生的瞬間，再次嘗試觸發 RCE 漏洞並通知 C&C 伺服器（指令與控制伺服器）。
最關鍵的是，在所有操作完成或超時後，該惡意程式會強制銷毀伺服器上的使用者 Session 以及惡意程式產生的 Session，強迫使用者登出。這樣做不僅能讓使用者以為只是普通的連線中斷，更能有效地抹除伺服器上的法證證據（Forensic Evidence），增加資安團隊分析的難度。
實務啟示：將郵件伺服器視為邊際設備
這起事件給我們的教訓是：郵件伺服器不應該被視為單純的應用程式，而應該將其視為 VPN 閘道器一樣的邊際設備（Edge Device）。
對於維運工程師來說，保持軟體更新至最新版本以修補 N-day 漏洞是最基本的防線。此外，實施嚴格的 DMARC（郵件來源驗證機制）可以降低郵件被偽造的風險。最重要的是，必須意識到即使有 2FA，如果瀏覽器 Session 被竊取且伺服器存在 RCE 漏洞，防線依然會崩潰。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。