合法軟件成掩護：企業應排查 DLL 側載與 AD 資料外洩
Sophos 近日披露一輪針對多地組織的入侵活動，受害範圍包括台灣、菲律賓、阿富汗及納米比亞，南韓亦可能受影響。研究人員把幕後活動暫稱為 BRONZE SANDCASTLE，並研判可能具有中國背景；不過，iThome 報道指出，現時未能可靠地將這些活動歸屬至既有的 BRONZE PRESIDENT 或 BRONZE ATLAS 組織，也沒有公開香港受害個案。
對香港企業而言，事件的警號在於攻擊者並非單靠陌生惡意程式，而是借用常見 Windows 環境中的合法軟件掩飾執行。若機構使用 Active Directory（AD）管理帳戶與權限，入侵者一旦成功複製 ntds.dit 資料庫，便可能取得可用於進一步橫向移動或帳戶濫用的敏感網域資料。
合法執行檔如何成為入口
iThome 報道引述 Sophos 的調查，攻擊者曾利用 Sandboxie 的執行檔側載惡意 DLL，亦見於 Java、Krita 與 LINE 等合法程式。手法是在正版執行檔所在目錄放入攻擊者控制的 DLL，令程式啟動時一併載入。
惡意 DLL 會讀取本機加密的 config.ini，把當中的載荷解密後直接在 RAM 執行。這代表只依賴掃描落地檔案或特徵碼的防護，未必看得到最關鍵的惡意程式碼；合法程式本身反而可能令初步排查更容易被忽略。
Sophos 發現的載荷與 Metasploit 產生的 Shellcode 結構相近，但載入器採用不同的 API 解析方式，並帶有 COFFLoader 專案的程式元素。iThome 指出，這些特徵令研究人員認為它並非標準的 Metasploit 產物，而是經過客製化修改的 Meterpreter 後門。
排查應由「檔案是否可疑」轉向「行為是否不合理」
企業的端點偵測可優先核對以下跡象：
- Sandboxie、Java、Krita 或 LINE 等程式是否從非預期目錄啟動，或身旁出現不應存在的 DLL 與
config.ini。 - 合法程式載入 DLL 後，是否隨即讀取本機加密檔案並在 RAM 內執行程式碼。
- 終端是否出現異常的內部主機、使用者帳戶列舉行為。
vssadmin.exe是否被用來建立磁碟區陰影複製，並緊接存取或複製 AD 資料庫檔案ntds.dit。
這些訊號各自未必足以判定入侵，但若它們在同一端點或相近時間串連出現，便應提升調查優先次序。尤其是涉及網域控制站或擁有高權限帳戶的主機，應迅速保留端點與網絡紀錄，核對可疑程序的父子關係、DLL 載入路徑及帳戶活動。
合法雲端服務亦可能被濫用作 C2
iThome 報道稱，Sophos 辨識到兩個後門版本：1.1.5 及 1.1.7；後者曾連接 GitHub 儲存庫，嘗試下載加密設定檔。部分載荷亦連接 file.io、gofile.io 與 Ably 等合法服務，Sophos 認為可能用於接收命令與控制（C2）指令。
因此，封鎖單一可疑網域未必足夠。防守方可把重點放在「哪一個程序」正在連線：例如一個平日不需對外通訊的 Sandboxie 或繪圖軟件程序，突然向檔案分享或訊息服務發出連線，便比單看服務名稱更具調查價值。這是根據已披露手法作出的防禦分析，並不代表所有連接這些服務的流量均屬惡意。
Sophos 的建議是加強端點行為監控及記憶體偵測，因為攻擊者會在執行階段才解密載荷。下一步值得留意的是，企業能否把 DLL 載入、可疑記憶體執行、對外連線，以及 ntds.dit 存取等紀錄關聯起來；對採用 Windows 與 AD 的機構，這會直接影響入侵能否在帳戶資料外洩前被發現。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — Sophos揭露中國駭客使用改造版Meterpreter，受害範圍涵蓋臺灣 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
