簡介

灰鴿子 2007 是早期中國地下網路廣泛流傳的遠端控制木馬，以「被控端極小、功能全、隱蔽性強」著稱。雖屬舊款惡意程式，其模組化設計、插件擴充、反偵測技術仍具參考價值，了解其運作機制有助於建立現代防禦基線。

核心架構

• 控制端：圖形化管理主控台，支援多線程批量管理、線上清單、群組分類、日誌記錄。
• 被控端：單一可執行檔（約 50-80 KB），無需安裝、注入系統進程（`explorer.exe`、`svchost.exe`、`iexplore.exe`）執行，支援「綁定」合法程式（安裝包、文件）達成社工傳播。
• 通訊協定：自定義 TCP 協定，預設埠 34310（可配置），支援正向連線、反向連線、HTTP 代理、SOCKS4/5 代理穿透防火牆。
• 插件機制：動態載入 `.dll` 擴充功能（鍵盤記錄、螢幕監控、密碼收集、USB 盜取、Process Hide、Rootkit 隱藏檔案/埠/進程）。

主要功能模組

模組	功能細項
檔案管理	列目錄、上傳/下載/刪除/移動/重命名、編輯文字檔、執行程式、修改時間屬性、磁碟空間查詢
進程管理	列舉進程/模組/執行緒、結束進程、注入 DLL、強制關閉、偽裝進程名稱
服務管理	列舉/建立/刪除/啟動/停止服務、修改啟動類型、服務描述偽裝
註冊表操作	增刪改查鍵值、導入/導出 .reg、啟動項植入、映像劫持、IFEO 劫持
螢幕監控	即時桌面預覽（可調品質/幀率）、全螢幕/區域截圖、錄製影片
鍵盤記錄	鉤子/輪詢模式、記錄視窗標題、過濾密碼欄位、日誌加密上傳
密碼收集	IE/Outlook/FTP/IM/瀏覽器儲存密碼解密、系統快取憑證 (LSA Secrets)、WiFi 金鑰
網路功能	PortMap 端口映射、SOCKS5 代理、HTTP 代理、反向 Shell、NetBIOS/共享枚舉
系統資訊	硬體清單、安裝軟體、補丁清單、網卡配置、使用者/群組、啟動項、計畫任務
反偵測/防殺	關閉防毒/防火牆服務、修改 hosts 阻擋更新、Rootkit 隱藏自身檔案/埠/進程、偽裝系統服務名稱、加殼/加密
其他	關機/重啟/登出、彈出訊息框、開關光碟機、語音對講、遠端 CMD/Shell、DDoS 攻擊模組

傳播與植入手法

• 網頁掛馬（Iframe/JS 跳轉至下載連結）、漏洞利用包 (Exploit Kit) 自動下載執行。
• 軟體捆綁：合法安裝包 + 被控端（綁定器修改 PE 入口點、新增區段）。
• USB 自動執行：`autorun.inf` + 圖示偽裝、捷徑病毒（`.lnk` 指向惡意程式）。
• 社交工程：偽裝發票、簡歷、外掛、破解補丁、遊戲外掛郵件/IM 傳送。
• 弱口令/暴力破解：RDP、SMB、FTP、SQL、SSH 爆破成功後手動/腳本部署。

偵測與查殺指標 (IoC)

• 檔案特徵：MD5/SHA256 雜湊（病毒庫收錄）、區段熵值異常、資源區包含嵌入檔案、導入表含 `SetWindowsHookEx`、`CreateRemoteThread`、`ZwQuerySystemInformation`。
• 行為特徵：
  • 進程注入：`OpenProcess` → `VirtualAllocEx` → `WriteProcessMemory` → `CreateRemoteThread`。
  • 啟動項持久化：`Run`/`RunOnce`/`Winlogon`/`Image File Execution Options`/`Scheduled Tasks`/`Services`。
  • 網路連線：固定埠/隨機埠長連線、非標準協定、C2 域名解析（動態 DNS、免費域名）。
  • 檔案系統：建立隱藏/系統屬性檔案、ADS 替代資料流儲存配置/日誌。
• 記憶體特徵：掃描進程記憶體尋找特徵字串（如 "GrayPigeon"、"Huigezi"、插件導出函數名）。

防範與緩解策略

1. 端點防護 (EDR/AV)：部署新一代防毒（行為分析、機器學習、雲端威脅情報），啟用「阻擋進程注入」、「防範竊取憑證」、「保護啟動項」。
2. 應用程式白名單：AppLocker/WDAC 僅允許簽署信任程式執行，阻擋未簽署被控端。
3. 網路微隔離：主機防火牆預設拒絕出站、僅允許業務必要埠/域名；部署 NDR (Network Detection & Response) 偵測異常長連線、Beaconing。
4. 最小權限與帳號衛生：標準用戶日常操作、UAC 最高、本地 Administrator 禁用/重命名、LAPS 管理本地管理員密碼。
5. 補丁管理：自動化部署作業系統/Office/瀏覽器/第三方軟體修補程式，縮短暴露窗口。
6. USB/周邊裝置管控：群組原則禁止 `Autorun`、限制可移動裝置類別、端點 DLP 監控敏感資料外洩。
7. 安全意識訓練：模擬釣魚郵件、禁止執行不明附件、驗證軟體來源（數位簽章、官網下載）。
8. 威脅狩獵：定期查詢 Sysmon Event ID 1 (Process Create)、8 (CreateRemoteThread)、11 (File Create)、13/14 (Registry)、22 (DNS Query)，關聯 MITRE ATT&CK T1055/T1547/T1059/T1021。

事件回應要點

1. 隔離受害主機（網路/虛擬網卡停用），保留記憶體映像 (`winpmem`/`DumpIt`)、磁碟影像 (`FTK Imager`/`dd`)。
2. 提取 IoC：檔案雜湊、C2 IP/域名、埠、持久化位置、使用者帳號、時間軸。
3. 全網橫向掃描：相同 IoC、相似行為（進程樹、網路連線、登錄異動）。
4. 根除：殺毒全盤掃描、手動清除持久化、重設帳號密鑰、修補入侵向量。
5. 復原：從乾淨備份還原、驗證業務功能、持續監控 30 天。
6. 複盤：時間線重建、攻擊鏈分析、防禦缺口補強、更新偵測規則與劇本。

結語

灰鴿子 2007 雖已過時，其模組化、插件化、進程注入、Rootkit 隱藏、多協定通訊等核心技術仍被現代 RAT (Cobalt Strike、Metasploit Meterpreter、Sliver、AsyncRAT、QuasarRAT) 繼承發展。防禦者若能熟悉經典木馬全生命週期特徵，並轉化為偵測規則、狩獵查詢與防護策略，即可有效提升對未知變種的捕獲能力。