這起由 Google 威脅情報團隊（GTIG）揭露的攻擊事件，展示了進階持續性威脅（APT）組織如何將「合法功能」轉化為「攻擊工具」。攻擊者 UNC6508 鎖定北美醫療、學術及軍事研究機構，在潛伏一年多的時間裡，悄悄地將敏感研究與國防電郵轉發至外部。
這場攻擊分為兩個階段：首先是透過漏洞進入內部網路獲取權限，接著利用雲端管理功能實現無痕外洩。
第一階段：從 REDCap 伺服器建立灘頭堡
攻擊的入口點是 REDCap（Research Electronic Data Capture），這是一個專為醫院和大學設計的網頁平台，用於建立與管理研究資料庫。UNC6508 鎖定對外開放的 REDCap 伺服器，雖然具體的漏洞編號（CVE）尚未公開，但觀察發現他們傾向於攻擊舊版本。
進入伺服器後，攻擊者部署了一款名為 INFINITERED 的自定義惡意軟體。這款軟體採取了非常狡猾的持久化策略：它會修改 REDCap 的系統檔案，使得即便管理員對系統進行升級，惡意代碼也會在升級過程中被重新注入，確保後門不會被更新覆蓋。
INFINITERED 的主要功能有三項：第一，攔截登入頁面的使用者名稱與密碼並加密儲存；第二，透過 HTTP Cookie 接收指令並在每次頁面載入時執行；第三，作為後門讓攻擊者維持存取權。
拿到初步憑據後，攻擊者在內部網路進行橫向移動（Lateral Movement），最終奪取了網域管理員（Domain Administrator）的高權限帳號。
第二階段：利用合規性規則實現無痕外洩
這是本次攻擊最值得關注的部分。通常我們認為外洩資料需要透過特殊的工具將檔案傳送到外部伺服器，這會產生異常的網路流量並被資安監控系統（如 IDS/IPS）偵測到。但 UNC6508 選擇了完全不同的路徑：利用 Google Workspace 的內容合規性規則（Content Compliance Rules）。
內容合規性規則本來是給管理員使用的合法功能，目的是掃描郵件內容是否符合公司政策（例如防止機密文件外流或過濾垃圾郵件）。攻擊者利用管理員權限，設定了一條特殊的規則，定義了約 150 個關鍵字（涵蓋 AI、無人機、軍事策略及特定病毒研究）。
一旦系統偵測到符合關鍵字的郵件，Workspace 會自動且靜默地將該郵件副本（BCC）發送到攻擊者控制的 Gmail 信箱。
這種作法對防禦方來說極其困難，因為： 第一，沒有在郵件伺服器上安裝任何惡意軟體。 第二，沒有使用額外的外洩工具。 第三，流量完全走 Google 內部的合法路徑，不會觸發異常流量警報。
實務上的防禦建議
對於維運工程師與資安人員，這起事件提供了幾個關鍵的防禦啟示。
首先是針對 REDCap 等研究平台，除了更新版本，必須徹底移除舊版本的殘留檔案。因為 REDCap 允許舊版本與新版本並存，這會導致降級攻擊（Downgrade Attack），讓攻擊者強制系統回退到有漏洞的舊版本。
其次是重新審視雲端管理權限。這次外洩的核心在於管理員權限被奪取。建議對所有管理員帳號強制執行抗釣魚的多因素驗證（Phishing-resistant MFA），例如使用硬體金鑰（FIDO2），防止單純靠密碼或簡訊驗證被破解。
最後是建立郵件規則的審計機制。不要只檢查目前的規則設定，而要定期檢查管理員稽核日誌（Admin Audit Logs），確認誰在什麼時間修改了郵件轉發或合規性規則。特別是任何將郵件副本發送到外部域名（尤其是免費郵件服務如 Gmail）的規則，都應被視為高風險警訊。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。