對於剛接觸資安的工程師來說，理解惡意軟體如何「生存」比理解它如何「破壞」更重要。近期 Securonix 研究團隊發現的一組名為 VEIL#DROP 的攻擊鏈，是一個非常典型的現代化規避範例。它不依賴單一的漏洞，而是透過一系列的技巧，將自己偽裝成正常流量與系統行為，最終部署 PureLogs 這款專門竊取敏感資訊的 .NET Infostealer。
這場攻擊的核心邏輯在於多階段的遞進，每一階段的目的都是為了降低被防毒軟體或 EDR 偵測到的機率。
偽裝與初始進入
攻擊通常從社交工程開始，例如透過釣魚郵件或被劫持的網站，誘導使用者下載一個看似 PDF 文件的檔案。但這裡運用了一個簡單卻有效的技巧：多重副檔名偽裝。例如檔案名為 transcript.pdf.js，一般使用者可能只看到 .pdf 而下載，但實際上它是一個 JavaScript 檔案。
一旦執行，它會透過 Windows Script Host 啟動 PowerShell，並使用執行原則繞過（Execution Policy Bypass）技巧，讓系統允許執行原本被禁止的指令碼。
利用信任基礎設施作為跳板
為了避開基於網域信譽（Reputation-based）的防火牆攔截，攻擊者將第二階段的載入器（Loader）託管在 Google 的 Blogger 平台（blogspot.com）上。
這對防禦方來說非常棘手，因為 Google 的域名具有極高的信任度。如果企業全面封鎖 blogspot.com，可能會影響正常的業務運作；如果不封鎖，惡意流量就會混在正常的 HTTPS 流量中，讓資安監控設備難以分辨。
動態變異與記憶體執行
VEIL#DROP 最強大的地方在於其動態生成與多形性（Polymorphism）設計。它不會在程式碼中寫死（Hard-coded）下載路徑，而是在執行時動態建構 URL。例如，它會在 URL 中隨機插入不同數量的斜線（/），導致每一次執行產生的 URL 都不一樣，這讓傳統依賴特徵碼（Signature）或固定 URL 黑名單的偵測機制完全失效。
此外，該腳本在執行過程中會將佔位符替換為隨機字串，改變自身的檔案雜湊值（Hash），讓防毒軟體無法透過比對檔案指紋來識別。最關鍵的是，最終的惡意組件是直接在記憶體中解碼並執行的，完全不接觸硬碟（Fileless），這讓傳統的取證分析變得極其困難。
利用合法系統工具規避偵測
當惡意軟體嘗試將 .NET 組件載入記憶體時，如果遇到系統限制，它會採取一種稱為 Living-off-the-Land（LotL，利用環境原生工具）的策略。
它會嘗試呼叫 Microsoft 簽署的合法二進位檔案，例如 regsvcs.exe 或 msbuild.exe。這些工具是系統內建且受信任的，安全軟體通常不會對其行為過度敏感。攻擊者利用這些合法工具作為殼，將惡意代碼注入其中執行。這種方式被稱為反射代碼載入（Reflective Code Loading），讓惡意行為看起來像是正常的系統管理操作。
實務影響與防禦思考
一旦 PureLogs Stealer 成功部署，它會開始搜刮主機上的瀏覽器密碼、Cookie 及其他敏感憑證。對於企業而言，這不只是單一台電腦被入侵，這些竊得的憑證可能成為攻擊者進行橫向移動（Lateral Movement）的跳板，進而滲透到雲端基礎設施或核心伺服器。
面對這種多層次規避的攻擊，單靠防毒軟體已不足夠。工程師應關注行為分析（Behavioral Analysis），例如監控 PowerShell 異常啟動、非預期的系統工具（如 msbuild.exe）對外連線，以及異常的記憶體執行模式。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。