SmokeLoader 惡意軟體因其多功能性與進階的規避技術而聞名，台灣企業成為最新目標
台灣的製造業、醫療保健及資訊科技等領域的企業，近日成為新的 SmokeLoader 惡意軟體攻擊活動的目標。SmokeLoader 是一款以其適應性和規避技術聞名的模組化惡意軟體。在此次攻擊中，它被用來直接執行惡意程式及指令，而非僅作為其他惡意軟體的下載媒介。
網路安全公司 Fortinet FortiGuard Labs 在一份報告中指出：「SmokeLoader 因其多功能性與高階的規避技術而聞名，其模組化的設計使它能執行廣泛的攻擊模式。」「雖然 SmokeLoader 主要是作為下載器來傳送其他惡意軟體，但在此案例中，它是從指令與控制（C2）伺服器下載外掛程式來自行執行攻擊。」
SmokeLoader 是一款於 2011 年首次在網路犯罪論壇上公開的惡意軟體下載器，主要用途是執行後續的惡意程式及指令。此外，它還能下載更多模組，擴充其功能以竊取資料、發動分散式阻斷服務（DDoS）攻擊，以及進行加密貨幣挖礦。
雲端運算安全公司 Zscaler ThreatLabz 對該惡意軟體的分析表示：「SmokeLoader 會偵測分析環境，生成假的網路流量，並混淆程式碼來規避偵測及阻礙分析。」「該惡意軟體系列的開發者持續提升其功能，透過引入新功能及混淆技術來阻礙分析工作。」
在 2024 年 5 月下旬，由歐洲刑警組織（Europol）主導的 Operation Endgame 行動中，與數個惡意軟體家族（例如 IcedID、SystemBC、PikaBot、SmokeLoader、Bumblebee 和 TrickBot）相關的基礎設施被拆除，導致 SmokeLoader 的活動大幅減少。
多達 1,000 個與 SmokeLoader 連結的 C2 網域被移除，超過 50,000 個受感染系統經由遠端清理。然而，該惡意軟體仍舊被網路威脅團體利用，透過新的 C2 基礎設施散發惡意程式及指令。Zscaler 表示，這主要歸因於網路上公開流通的許多破解版本，使得該惡意軟體仍具有活躍性。
根據 FortiGuard Labs 的發現，最新攻擊鏈的起點是一封帶有微軟 Excel 附件的網路釣魚電子郵件。當附件被開啟時，利用了多年前的安全漏洞（例如 CVE-2017-0199 和 CVE-2017-11882），挾帶一個名為 Ande Loader 的惡意軟體載入器，隨後將 SmokeLoader 部署到受感染的主機上。
SmokeLoader 包含兩個元件：stager 和主模組。
- Stager 的目的是解密、解壓縮並將主模組注入到 explorer.exe 程序中執行。
- 主模組則負責建立並維續持續性、與 C2 基礎設施通訊並執行指令。
該惡意軟體支持數種外掛程式，可以竊取登錄憑證、FTP 驗證資料、電子郵件地址、Cookie，以及來自網頁瀏覽器、Outlook、Thunderbird、FileZilla 和 WinSCP 的其他資訊。
FortiGuard Labs 提出幾項防禦措施以應對如 SmokeLoader 的威脅：
- 防毒軟體保護： 確保防毒軟體的特徵碼是最新版本，以有效偵測及阻絕惡意軟體。
- 網路釣魚攻擊意識培訓： 鼓勵企業組織利用免費資源來進行資訊安全意識的培訓。
- 內容拆解與重建（CDR）： 建置 CDR 服務，能使檔案文件中嵌入的惡意巨集失效。
Fortinet 解釋：「SmokeLoader 是一種能適應不同需求的模組化惡意軟體。在此案例中，SmokeLoader 是透過其外掛程式來執行攻擊，而非下載完整檔案來完成最後階段。這展現了 SmokeLoader 的靈活度，同時也警示分析人員，即使面對像這樣的知名惡意軟體，也需要特別謹慎小心。」
SmokeLoader 惡意軟體相關的部分的入侵指標（IOCs）:
| 15b00779bb5d457e76712ec3dd196c46 |
| 5fc6f24d43bc7ca45a81d159291955d1 |
| 89212a84f1b81d0834edb03b16a9db49 |
| 9ac835c38d4d0c6466e641427a2cf8f1 |
| 9edbf77e52249cc7c179ed1334847cdb |
| d0c53c25e4814001be39bd8e1d19e1f2 |
| d20d31a0e64cf722051a8fb411748913 |
| 108a8b5f1eaf9ef078a3dc0210e6aa961d6b3787 |
| 431d44995111a40b0f8934c2f6e2406119ceeb92 |
| 4b37270aedc88397c027703f444ccaed9c23b862 |