近期資安廠商 Kaspersky 揭露了一場名為 StrikeShark 的網路攻擊活動。這次攻擊的核心在於一種新型的惡意載入器 SharkLoader，其主要目的是在受害主機上部署 Cobalt Strike Beacon（一種強大的遠端控制工具，常被紅隊或駭客用於內網滲透與橫向移動）。
這次攻擊的目標非常廣泛，涵蓋了台灣的政府機關、印尼的外交機構以及多國的軟體開發公司。雖然目前尚未發現明確的資料外洩行為，但從目標選擇來看，這極有可能是以政治情報蒐集或竊取智慧財產權為目的的網路間諜活動。
攻擊者的進入路徑：利用已知漏洞與社會工程學
這波攻擊最值得工程師關注的是其進入路徑的多元性。攻擊者並不採取單一手段，而是採取機會主義，利用大量公開的 PoC（Proof of Concept，概念驗證程式碼）來掃描並攻擊具有漏洞的對外服務。
具體的入侵路徑分為兩大類。第一類是利用伺服器端的已知漏洞，例如 Exchange Server 的 ProxyLogon 漏洞、Openfire 的路徑遍歷漏洞，以及 GeoServer 的遠端程式碼執行（RCE）漏洞。此外，Apache Shiro、Fortinet FortiOS 與 Cisco IOS XE 等常見企業設備的漏洞也被大量利用。
第二類則是透過偽裝成合法軟體（如 Google Update 或 Cisco AnyConnect）的安裝程式，或是利用誘騙性的 PDF 文件，誘使使用者執行惡意的 Dropper（下載器），進而將 SharkLoader 植入系統。
SharkLoader 的技術核心：Perfect DLL Hijacking
一旦進入系統，SharkLoader 會採取一種稱為 Perfect DLL Hijacking 的進階技巧。
在 Windows 系統中，當程式載入 DLL（動態連結庫）時，系統會持有一個 Windows Loader Lock（載入器鎖），這會限制在載入過程中執行某些操作。SharkLoader 透過特殊的設計繞過這個鎖，讓惡意程式碼能在不被系統攔截的情況下執行。
具體的執行流程如下。首先，它會解密並載入一個名為 DscCoreR.mui 的檔案，接著在一個處於暫停狀態（Suspended state）的新執行緒中解壓縮並載入 Cobalt Strike。
為了躲避記憶體掃描（例如 EDR 偵測記憶體中具有 RWX 執行權限的異常區域），SharkLoader 使用了 Microsoft Detours 與 MinHook 等函式庫來實作 API Hooking（API 鉤子）。它會攔截 VirtualAlloc（記憶體配置）與 Sleep（休眠）這兩個關鍵函式。當 Cobalt Strike 的 Beacon 呼叫 Sleep 時，鉤子會觸發並在記憶體中隱蔽地完成 shellcode 的寫入。最後，再透過 ResumeThread API 恢復執行緒，正式啟動 Cobalt Strike。
後續動作：內網偵察與權限維持
為了確保在系統重啟後依然能控制主機，攻擊者會利用 Registry Run keys（登錄檔啟動項）或排程工作來觸發惡意程式。
在成功建立據點後，攻擊者會進入大規模的偵察階段。他們會使用 FScan、Searchall 與 Pillager 等開源工具對 Active Directory（網域控制器）進行枚舉，並針對 LSASS 進程（負責管理 Windows 登入憑證的系統進程）與 NTDS 資料庫進行憑證竊取，試圖獲取更高權限以在內網中橫向移動。
給工程師的實務建議
面對這種利用已知漏洞與進階載入技術的攻擊，單靠防毒軟體是不夠的。首先，必須建立嚴格的補丁管理機制，優先修補對外開放服務的 RCE 漏洞，因為這是攻擊者的首選入口。
其次，應關注記憶體層級的異常行為。由於 SharkLoader 試圖透過 API Hooking 繞過偵測，部署具備記憶體掃描能力且能偵測 DLL 側載（DLL Side-loading）行為的 EDR（端點偵測與回應）系統至關重要。
最後，針對權限管理，應落實最小權限原則，減少 LSASS 憑證被輕易竊取的風險，並監控異常的排程工作與登錄檔變更。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。