-
資安業者Symantec公布調查，揭露俄羅斯駭客組織APT28攻擊兩個北約成員國的執法機關、海軍造船企業及軍用飛機引擎製造商。
-
海軍造船企業的入侵始於一封夾帶惡意Word文件的電子郵件，員工開啟附件後，文件內的巨集程式啟動了名為HookEdge的後門程式。
-
後門先利用隱藏在螢幕範圍外的瀏覽器連接外部服務接收指令，之後改連攻擊者自行控制的伺服器，並建立SSH反向通道，讓攻擊者能從外部存取企業內網。
-
攻擊者竊取了帳號認證資料，還利用PowerShell誘使Windows進行身分驗證，嘗試破解密碼或冒用身分登入其他系統。
-
HookEdge是今年8月才被首次揭露的新型後門，而APT28被美國政府認定為隸屬於俄羅斯軍事情報總局的駭客組織，鎖定目標均為國防相關單位。
整起事件的起點看似平凡，卻是近年針對國防產業最典型的攻擊手法。海軍造船企業的一名員工收到一封電子郵件，附件是一個Word文件。當員工開啟附件，文件內嵌的巨集程式隨即啟動，在電腦上植入名為HookEdge的後門程式。從那一刻起，這台電腦的一舉一動都在攻擊者的掌握之中。
HookEdge的運作方式相當狡猾。它會喚起一個隱藏在螢幕可視範圍之外的Microsoft Edge瀏覽器，透過這個看不見的瀏覽器連接webhook.site服務，從攻擊者設定的位置接收指令，並把執行結果回傳。這種做法讓後門的網路流量看起來像是正常的瀏覽器行為，大幅增加被察覺的難度。HookEdge並非老牌惡意程式，而是在今年8月才由資安業者Recorded Future首次揭露的新工具，顯示攻擊者持續在更新武器庫。
取得初步立足點之後，攻擊者開始有系統地探索這台電腦的對外連線能力。他們先測試受害電腦能否連接Dropbox、Google、微軟及Mega等外部服務，同時蒐集系統與網路資訊。調查人員研判，攻擊者這麼做的目的是確認哪些對外連線管道可用，以便決定後續要透過什麼方式下載更多惡意程式，或是把竊取到的資料傳送出去。這是一個謹慎且專業的作法，代表攻擊者把長期潛伏納入計畫。
確認連線管道暢通後，攻擊者把後門的連線目標從webhook.site改為自己控制的伺服器，並在受害電腦上放入SSH私密金鑰，接著利用Windows內建工具建立反向通道。所謂反向通道，是讓受害電腦主動向外連接攻擊者的伺服器，再由這條連線反向提供一條進入企業內網的路徑。由於連線是由內部電腦主動發起，防火牆往往不會攔截，攻擊者就此取得了一條從外部直達企業內網的祕密通道。
在建立通道的同時，攻擊者也沒放過帳號認證資料。他們利用PowerShell在受害電腦上建立一個本機網路服務，誘使Windows系統進行NTLM身分驗證，並攔截驗證過程中交換的資訊。這些資訊可以用來嘗試破解密碼，或是直接轉送到其他系統，冒用合法使用者的身分完成驗證。一旦取得有效的身分憑證，攻擊者就能在內網中橫向移動，接觸更多系統。
調查人員還發現，攻擊者曾查詢內部主機名稱、使用者權限及系統資訊，這是典型的內網偵察行為。不過目前沒有證據確認攻擊者已經成功登入其他內部主機，實際造成的損害範圍仍有待釐清。此外，攻擊者還部署了一款名為ld.exe的惡意載入工具，它會利用執行時提供的金鑰，在記憶體中解密並執行其他程式。由於調查人員未能取得被加密的檔案，後續程式的真正用途目前尚不清楚。
除了造船企業，同樣遭到攻擊的執法機關及軍用飛機引擎製造商，目前僅確認出現HookEdge相關的活動跡象，調查單位並未進一步說明入侵的細節。從已知的受害目標來看，執法機關、海軍造船企業、軍用飛機引擎製造商，清一色是國防與安全相關單位，攻擊的針對性非常明確。
把時間軸拉長來看，APT28並非新面孔。這個組織被美國政府認定隸屬於俄羅斯軍事情報總局，長期針對各國政府、軍方與國防產業發動網路間諜行動。這次搭配今年8月才曝光的新型後門HookEdge，顯示其攻擊工具仍在持續演進。對台灣的國防產業與關鍵基礎設施而言，這起事件也是一記警鐘：攻擊的起點往往只是一封看似普通的電子郵件和一個Word附件，而釣魚郵件搭配巨集程式，至今仍是最有效、成本最低的入侵方式。
後續值得關注的是，調查單位是否會公布更多關於執法機關與引擎製造商遭入侵的細節，以及HookEdge後門是否出現在其他國家的受害組織中。企業若要防範類似攻擊，除了封鎖來路不明的郵件附件、預設停用Office巨集功能，也應留意內部電腦是否有異常的對外連線行為，因為那很可能是後門正在與外部伺服器通話的跡象。
