Silver Fox APT

網路安全專家發現了一個先進且不斷演變的網路釣魚活動，主要針對台灣用戶。該活動由一個名為 Silver Fox APT 的威脅組織策劃，利用帶有惡意軟體的文檔和欺騙性電子郵件來傳播一系列危險的遠端存取木馬 (RAT)，包括 HoldingHands RAT 和 Gh0stCringe，這兩個都是臭名昭著的Gh0st RAT的變種。

熟悉面孔的網路釣魚：冒充政府當局

攻擊始於冒充台灣國稅局等官方機構的釣魚郵件。這些郵件通常包含與稅金、發票或退休金相關的主題，旨在利用收件人的信任，誘使他們打開附件。在某些變體中，嵌入的圖像會在點擊後觸發惡意軟體下載，這標誌著傳統基於文件的誘餌的轉變。

武器化文件：PDF 和 ZIP 檔案作為惡意軟體傳播載體

主要的傳播機制是將惡意 PDF 文件或 ZIP 檔案附加到釣魚郵件中。這些檔案包含鏈接，會將使用者重定向到包含以下內容的 ZIP 檔案下載頁面：

• 看似合法的可執行文件
• Shellcode載入器
• 加密的shellcode

執行時，這些元件協同工作以部署惡意軟體而不會引發警報。

多階段感染鏈：層層欺騙

感染分為多個複雜的階段：

Shellcode 載入器啟動：Shellcode 載入器解密並啟動嵌入的 shellcode。

DLL 側載：合法二進位檔案被濫用來側載惡意 DLL 文件，從而將惡意軟體隱藏在顯而易見的地方。

反虛擬機器和權限提升：這些技術可確保惡意軟體避免在沙盒環境中被偵測到並確保提升的系統權限。

有效載荷和目的：間諜和控制

最終的有效載荷包含一個名為「msgDb.dat」的文件，該文件充當主要的命令和控制 (C2) 模組。一旦激活，它將：

• 收集敏感用戶資訊
• 下載附加元件
• 啟用遠端桌面控制
• 管理受感染系統上的文件

這些功能表明其意圖是維持對受感染機器的長期訪問和監視。

不斷演變的策略：Silver Fox APT 的持續創新

Silver Fox APT 不斷完善其工具集和攻擊技術，具體如下：

• Winos 4.0框架
• Gh0stCringe透過 HTM 下載頁面傳播
• HoldingHands RAT（也稱為 Gh0stBins）

該組織依賴複雜的 shellcode、分層載入器和不同的傳送媒介，這表明他們不斷努力逃避偵測並最大限度地提高滲透成功率。

結論：警覺是抵禦複雜威脅的關鍵

這次攻擊活動凸顯了像 Silver Fox 這樣的 APT 組織日益複雜的攻擊方式。這些攻擊者利用可信任主題、欺騙性文件格式和隱密的執行技術，對目標組織構成了嚴重威脅。持續監控、及時修復漏洞以及強大的電子郵件安全是抵禦此類不斷演變的威脅的關鍵。