StreamSpy 木馬
保護個人和工作場所設備免受現代惡意軟體的侵害比以往任何時候都更加重要，因為如今的威脅不僅旨在竊取訊息，還能悄無聲息地將攻擊者的控制範圍擴展到受感染系統的深處。 StreamSpy 就是最新的例子，它是一款與 Patchwork (APT-Q-36) 組織有關的多階段木馬。其模組化設計、隱藏的通訊方式和廣泛的功能使其成為一個嚴重的安全隱患。
目錄
利用高級通訊管道的隱藏後門
StreamSpy 的獨特之處在於它同時使用 WebSocket 和 HTTP 與其命令伺服器通訊。 WebSocket 通道能夠近乎即時地傳輸指令並將結果傳回給攻擊者，而 HTTP 則負責處理諸如上傳或下載檔案等較大的資料傳輸。這與 Spyder 下載器的行為類似，顯示它們可能採用了相同的開發技術，或者說是現有工具的演進。
在執行任何惡意操作之前，木馬程式會解鎖一組嵌入式配置值。這些設定指導其通訊行為，提供身分參數，並定義其在系統重新啟動後仍能存活的持久化方法。
系統分析和受害者識別
StreamSpy一旦激活，便會對受感染的系統進行深度掃描。它會收集主機元數據，例如裝置名稱、目前使用者、作業系統版本、已安裝的防毒工具、硬體識別碼以及其他環境詳情。基於這些資訊，它會建立一個唯一的受害者ID並將其發送到攻擊者的伺服器，從而使攻擊者能夠追蹤其攻擊活動中的各個感染案例。
為了確保自動啟動，木馬程式會利用排程任務、登錄運行鍵或啟動捷徑植入持久化機制。
多種遠端指令
StreamSpy 支援豐富的命令集，讓攻擊者以靈活且極具侵入性的方式與受感染的環境互動。其最具破壞性的功能包括：
- 執行和部署能力
- 使用 cmd.exe 或 PowerShell 執行任意命令，從而獲得對系統的完全控制權
- 下載並啟動其他有效載荷，包括加密的 ZIP 壓縮包，它會對其進行解密並在本地部署。
- 文件操作和設備枚舉
- 將文件上傳或從受感染的電腦匯出文件
- 重新命名或刪除檔案以隱藏活動或為後續階段做準備
- 檢查所有已連接的儲存設備，包括容量、檔案系統和可移動磁碟機屬性。
這些功能使 StreamSpy 成為間諜活動、橫向移動、資料竊取和長期存取的有效工具。
透過欺騙性的 ZIP 壓縮包進行交付
調查人員已證實，StreamSpy 透過惡意 ZIP 壓縮套件傳播。在已知案例中，一個名為「OPS-VII-SIR.zip」的檔案託管在外部伺服器上。此壓縮包包含：
- StreamSpy 可執行檔偽裝成 PDF 風格的圖標
- 新增合法的PDF誘餌文件，使存檔看起來無害。
這種攻擊手法依賴社會工程學。使用者開啟壓縮文件，看到看似合法的文檔，便會在不知不覺中啟動偽裝的惡意軟體。初始誘餌檔案可以透過多種管道傳播，包括詐騙網站、虛假電子郵件、惡意廣告、私訊或社交媒體貼文。
需要立即清除的嚴重威脅
StreamSpy 功能強大，攻擊者可以利用它來竊取敏感資料、部署其他惡意軟體、篡改文件，甚至劫持帳戶或身分。它存在於設備上會對受害者造成重大風險，包括經濟損失和進一步的安全威脅。一旦偵測到 StreamSpy，應立即使用可靠的安全工具和徹底的系統清理程序將其移除。
時刻警惕可疑文件、意外的 ZIP 壓縮包和未經請求的通訊至關重要。隨著 StreamSpy 等威脅變得越來越逼真，提高使用者安全意識仍然是最有效的防禦手段之一。
