重點整理
- 駭客利用 GitHub 私人專案下達指令，躲避傳統防火牆偵測。
- 攻擊者註冊仿冒知名網站的假網域，誘騙員工下載惡意程式。
- 新型 USB 傳染工具可自動複製惡意檔，透過實體儲存裝置散播。
- 惡意程式會自動打包近期修改的機密文件，並限制傳輸大小以避嫌。
最近國際資安圈發現，國家級駭客組織開始使用全新的攻擊手法，甚至把程式開發者常用的 GitHub 變成「遙控器」。你可能會想，這跟一般中小企業有什麼關係？其實，駭客用來躲避偵測的「假網址」騙局，以及偷偷搬走公司機密檔案的手法，正是許多企業日常面臨的資安威脅。了解這些最新套路，能幫助我們提前把漏洞補起來。
駭客的新招：把 GitHub 變成隱形遙控器
傳統駭客會自己架設「指令與控制伺服器」（C2，Command and Control，用來遠端下達指令給受駭電腦的伺服器）來控制中毒電腦，但這很容易被資安設備攔截。這次被稱為 Transparent Tribe 的駭客組織，改把腦筋動到程式開發者熟悉的 GitHub 上。
他們建立「私人 GitHub 儲存庫」，透過上傳和下載特定的文字檔（例如 command.txt 或 results.txt），來跟受駭的電腦溝通。因為 GitHub 是合法的知名服務，企業的防火牆通常不會阻擋它。駭客就能藉此神不知鬼不覺地截螢幕、偷拍 Webcam，甚至把公司檔案偷偷傳回 GitHub，這被稱為 RUSTYSHADE 後門程式。
真假難辨的「釣魚網址」與 USB 傳染
除了利用 GitHub，駭客還非常擅長「魚目混珠」。他們註冊了長得很像知名新聞網站的假網域（例如把原來的 .in 結尾改成 .org），在這些假網站上放置惡意程式碼。只要員工不小心點到，電腦就會在背景偷偷下載竊取檔案的惡意腳本。
更可怕的是，他們還開發了專門透過 USB 隨身碟傳播的工具（RUSTYMOVE）。這個程式會默默監控電腦，只要偵測到有人插上外接硬碟或隨身碟，就會自動把惡意檔案複製進去。當這支隨身碟插到另一台電腦時，攻擊就再次展開，完全不需要透過網路。
企業機密是怎麼被搬空的？
這次攻擊中，駭客使用了專門竊取檔案的工具（PSNATCH 和 BASHNATCH）。它們會自動掃描電腦裡最近三個月修改過的 Office 文件、圖片、壓縮檔等，然後打包傳走。而且，駭客非常謹慎，他們下達指令的時間通常只在平日的特定幾個小時內，盡量不引起注意。這提醒我們，公司的機密文件如果沒有做好權限控管，一旦電腦中毒，很容易被有系統地搬空。
崴米的建議
面對越來越狡猾的攻擊手法，中小企業不需要恐慌，但必須建立基本的資安防護網。以下是我們給您的兩個具體建議：
- 保持系統與網站的更新：許多攻擊都是利用舊版軟體的漏洞。定期更新作業系統、網頁程式與外掛，能阻擋大部分已知的攻擊。
- 讓專業團隊幫忙盯主機：企業內部通常沒有專人 24 小時監控資安狀態。將網站與主機交給專業團隊維護，能在第一時間發現異常流量或潛在風險。
如果您希望確保公司的網站與主機環境安全無虞，可以交給我們的網站代管維護與主機監看來把關，讓上線後的網站有人專門照顧，您就能安心專注本業。
參考來源：Transparent Tribe Deploys New Rust Backdoor Using Private GitHub Repositories for C2
