ROAMINGMOUSE惡意軟體：亞洲數位走廊的入侵者

新型網路間諜工具

網路間諜領域最近出現了一種名為「ROAMINGMOUSE」的新型惡意軟體。它悄悄地嵌入到系統中並收集情報，而不會立即被發現。與引起轟動的勒索軟體或全球頭條新聞的破壞性網路攻擊不同，ROAMINGMOUSE 代表了一種更為微妙和精心策劃的入侵形式，突顯了國家支持的網路活動日益複雜化。

惡意軟體背後的參與者

ROAMINGMOUSE 並不是一個獨立的威脅，而是一個更廣泛的間諜行動的一部分，據信該行動是由一個名為MirrorFace的威脅行為者精心策劃的。該組織也以「地球卡莎」 (Earth Kasha) 為別名進行追踪，與規模更大、記錄更詳盡的中國間諜組織 APT10 有關聯。他們最新的活動主要針對日本和台灣的政府和公共機構——這兩個地區的地緣政治意義日益重要。

欺騙性的開始：網路釣魚設置

這次行動的核心是一系列以魚叉式網路釣魚為開端的攻擊——這是一種使用誤導性電子郵件欺騙收件者開啟惡意內容的技術。在這種情況下，電子郵件被巧妙地偽裝起來，通常來自先前被入侵但合法的帳戶。電子郵件中嵌入了一個 Microsoft OneDrive URL，用於下載一個包含有陷阱的 Excel 文件的 ZIP 檔案。該文件一旦開啟就會執行 ROAMINGMOUSE（一個啟用巨集的惡意軟體植入程式），它會啟動操作的後續步驟。

ROAMINGMOUSE 實際操作

ROAMINGMOUSE 扮演促進者的角色。它解碼嵌入的編碼 ZIP 檔案並將一系列檔案提取到受害者的磁碟。其中包括合法的 Windows 二進位檔案和動態連結庫 (DLL)，但也有一個隱藏的有效載荷：ANEL 後門，這是 Earth Kasha 間諜工具包中反覆出現的工具。透過濫用一種稱為 DLL 側加載的技術，惡意軟體誘騙合法程式執行其惡意程式碼，從而繞過基本的安全檢測。

ANEL 的升級功能

ANEL 目前版本尤其值得注意的是其增強的功能。最新版本現在可以直接在系統記憶體中執行 Beacon 物件檔案 (BOF)。 BOF 是專門為擴展 Cobalt Strike 而設計的程序，Cobalt Strike 是一種合法工具，經常被攻擊者重新用於後期利用活動。這使得威脅行為者能夠更徹底地探索受感染的系統——捕獲螢幕截圖、記錄正在運行的進程以及檢查網路域結構。

多層惡意軟體活動

此外，這次活動不僅涉及一種惡意軟體。 ROAMINGMOUSE 用於為其他工具鋪平道路，包括 NOOPDOOR（也稱為 HiddenFace），另一個使用 DNS-over-HTTPS（DoH）的複雜後門。該技術對網路流量進行加密，使得網路安全工具更難發現和阻止惡意軟體與其命令和控制伺服器的通訊。

對高價值目標的影響

這場運動對公眾而言意義重大，儘管並不一定令人擔憂。它揭示了網路衝突策略的持續轉變——從破壞性攻擊到安靜的、有針對性的間諜活動。政府實體和關鍵基礎設施組織是主要目標，尤其是那些掌握與國家安全、基礎設施計劃和智慧財產權相關的敏感資訊的組織。

應對威脅情勢

透過深入嵌入機構體系，像 Earth Kasha 這樣的威脅行為者旨在盡可能長時間地不被發現，竊取可以為策略、政治或經濟決策提供資訊的資料。雖然據報道，單一違規行為並未造成明顯損害，但這種長期監視的累積效應可能會影響區域穩定、貿易談判或政策制定。

呼籲保持警惕和韌性

建議面臨這種程度威脅的組織加強其網路安全態勢。這包括採用零信任原則、使用先進的威脅偵測工具、監控內部活動是否有異常，以及提供持續的培訓以幫助員工識別網路釣魚企圖。在這種背景下，網路安全不再僅僅注重預防，而更重視早期檢測和彈性響應。

底線

ROAMINGMOUSE 並不是對日常用戶發出即將發生危險的警告，而是提醒人們數位威脅的本質正在不斷演變。隨著網路行動變得越來越有針對性、技術越來越先進，保護關鍵系統的防禦措施也必須越來越完善。這次新的惡意軟體活動悄無聲息、毫不引人注意，顯示在現代間諜時代，最危險的威脅可能是那些根本不顯露自己的威脅。