本文改編自真實紅隊演練案例 (脫敏處理)，完整復現攻擊者從外網釣魚獲取立足點，利用 VPN 信任關係橫向移動至核心開發網段，繞過多層防禦最終竊取核心產品源碼的全過程。旨在幫助藍隊理解攻擊視角，強化檢測與回應能力。

攻擊目標與邊界偵察

• 目標組織：國際知名軟體公司 (化名「國華」)，核心產品 Hammer 源碼為皇冠寶石。
• 攻擊者：職業紅隊/APT 組織 (化名「小黑」)，受僱於商業競爭對手。
• 偵察成果：
  • 源碼集中存儲於內網 Git 伺服器，受多層防火牆/堡壘機保護。
  • 員工支援遠程辦公，通過 VPN 閘道 (雙因子認證) 接入內網，可存取郵件、人事系統、源碼下載/上傳。
  • 員工習慣居家辦公，個人筆電安全防護較弱 (非受管設備)。
  • 公開資訊蒐集 (OSINT)：LinkedIn、GitHub、技術部落格、招聘 JD 洩露技術棧；Google Dorks 發現內部文件誤公開；郵箱命名規則 firstname.lastname@company.com；部分銷售機構通訊錄洩露。

武器化與基礎設施建立 (Weaponization & Infrastructure)

組件	實作細節	OPSEC 考量
載體	自研智力遊戲程式 (無惡意行為) + 打包器綁定自定義木馬 (無特徵碼、反沙箱、反調試、加載器)	遊戲作為誘餌降低戒心；木馬獨家生成，繞過防毒靜態查殺
投遞平台	註冊域名 game-test-company.com，部署下載站於 被控廣州 Linux 服務器 (利用弱口令 MySQL 奪取)	合法域名/網站外觀；被控跳板隱藏真實 IP
C2 基礎設施	多層跳轉：北京被控 Web 服務器 (收集憑證) → 上海中繼 (Netcat) → 廣州 Covert_TCP 伺服器 (TCP Header 隱蔽通道) → 新浪網反彈點 (TCP ACK Bounce) → 攻擊者真實 C2	多國跳板、合法網站反彈、加密隧道、流量混淆，極難屬溯
郵件發送	針對性選取 20 名高價值目標 (開發/運維/高管)，發送個性化釣魚郵件，繞過反垃圾郵件閾值	精準釣魚，非大規模噴發，降低觸發關聯分析風險

初始入侵：釣魚 → 繞過 VPN 隔離 → 內網落地

1. 受害者「小華」：資深開發，習慣居家辦公，收到釣魚郵件。
2. 關鍵失誤：為隱瞞下載遊戲行為，主動斷開公司 VPN 下載/執行遊戲 → 木馬在「非受管、無邊界防護」環境落地執行。
3. 防毒繞過：本地防毒掃描無報毒 (木馬免殺、未上線特徵庫)；用戶信任「綠色軟體」直接運行。
4. 持久化：木馬替換 notepad.exe (改名 nn.com，自身重命名為 notepad.exe 放入共享軟體目錄) — 供應鏈投毒/二進制替換 技術 (T1547.012/T1542.003)。
5. 橫向傳播：小華重新連接 VPN 後，木馬通過 VPN 隧道掃描內網，發現共享軟體目錄，感染 notepad.exe。其他員工調用記事本觸發木馬 → 內網大規模落地 (T1021.002 SMB/Windows Admin Shares)。

憑證竊取與權限提升

• 記憶體憑證導出：木馬注入 lsass.exe 讀取登入憑證 (Mimikatz/Sekurlsa/COFF 方式) — NTLM 雜湊、Kerberos 票據、明文密碼 (WDigest/注册表開啟)。
• 鍵盤記錄/表單抓取：攔截 VPN 登入、Git/Web 門戶認證。
• 收集 500+ 組憑證：加密郵件傳送至北京跳板服務器。
• 離線破解：John the Ripper / Hashcat 破解 NTLM 雜湊，3 小時破解 50 組 (含高管/域管帳號) — 密碼策略薄弱是根因。

核心網段滲透與源碼竊取

1. VPN 合法身分接入：使用破解憑證登入 VPN 閘道，繞過 MFA (若 MFA 僅綁定密碼而非硬體 Token/生物特徵/推送確認)。
2. 低噪音偵察：分散式、間歇性掃描 (Nmap -T2 --scan-delay 5s、BloodHound/SharpHound 收集 AD 關係圖) — 避免觸發 IDS/IPS 閾值告警。
3. 定位源碼倉庫：查詢 AD 服務主體名稱 (SPN)、DNS 記錄、文件伺服器共享、GitLab/GitHub Enterprise/Bitbucket 內部實例。
4. 權限提升與橫向：利用域管憑證 DCSync (DRSUAPI) 獲取全域雜湊、Kerberos 委派攻擊 (非限制/資源型委派)、PrintNightmare (CVE-2021-34527)、PetitPotam (NtlmRelayToAD CS) 等。
5. 數據匯出：源碼打包加密 (AES-256) → 分割 → 隱寫術 (圖片/視頻/正常業務流量) → 經多層 C2 跳板分批外傳 — 規避 DLP/流量異常檢測。

藍隊檢測與回應盲區複盤

階段	攻擊行為	潛在檢測點	本案失效原因
初始入侵	釣魚郵件、免殺木馬執行	郵件沙箱、EDR 行為阻斷 (進程注入、非簽名執行)、用戶上報	郵件未觸發沙箱 (精準釣魚量小)；EDR 未部署於個人筆電；用戶未上報
持久化/傳播	替換共享目錄 notepad.exe	FIM (檔案完整性監控)、EDR 檔案寫入/重命名監控、共享目錄存取審計	共享目錄無 FIM/EDR 覆蓋；SMB 審計未啟用/未分析
憑證竊取	lsass 內存讀取、鍵盤記錄	EDR 記憶體保護 (PPL、VBS/HVCI)、LSASS 保護 (RunAsPPL)、CredGuard、行為規則 (OpenProcess + VM_READ + PROCESS_QUERY_LIMITED_INFORMATION)	未啟用 LSASS 保護/PPL；EDR 規則未覆蓋該木馬讀取方式
VPN 復用	盜用憑證登入 VPN	MFA 強制 (硬體 Token/推送/生物識別)、異地/異常設備/時間登入告警、VPN 日誌實時分析	MFA 僅為簡訊/OTP (可被釣魚/中間人)；無風險基線 (IP/設備/地理位置) 關聯分析
內網偵察	低頻掃描、BloodHound	網路流量分析 (NDR/Zeek/Suricata) 檢測掃描模式、SMB/AD 枚舉流量特徵、蜜罐/欺騙資產觸發	無 NDR 部署；內網流量未鏡像；無蜜罐部署
數據匯出	加密分割隱寫外傳	DLP 內容檢測 (加密檔案熵值分析)、大流量/長連接/異地上傳告警、SSL 檢測、雲存儲/郵件/網盤 API 監控	無 DLP 部署；加密流量不可見；無基線比對

加固建議：從「防禦單點」轉向「鏈路斷鏈」

1. 端點全覆蓋 EDR + 自動化回應：所有接入 VPN 設備強制註冊 MDM/EDR，不合規拒絕接入 (NAC)；啟用 LSASS PPL、CredGuard、VBS/HVCI、ASR 規則全開。
2. 身分為新邊界：棄用密碼單因子，全面推行 FIDO2/WebAuthn 硬體鑰匙 (YubiKey/Feitian) + 無密碼認證；實施條件式存取 (裝置合規、風險分數、地理位置、行為基線)。
3. 供應鏈/共享目錄完整性：代碼簽名強制驗證、軟體分發簽名/雜湊校驗、關鍵共享目錄 FIM (Tripwire/AIDE/Windows File Server Auditing)、只讀共享 + 版本控制。
4. 網路可視化與微隔離：部署 NDR (ExtraHop/Corelight/Darktrace/自建 Zeek) 覆蓋核心網段；零信任網路分段 (身分基於策略、預設拒絕、最小權限)；關鍵資產 (Git 伺服器、構建機、資料庫) 放入隔離區域，僅允許必要協定/身分存取。
5. 威脅情報驅動檢測：整合商業/開源/行業 TI (IOC、TTP、C2 基礎設施) → SIEM/SOAR 自動化封鎖/告警豐富化；定期紅隊/紫隊演練驗證檢測覆蓋率 (MITRE ATT&CK 覆蓋圖)。
6. 數據防洩漏 (DLP) 全生命週期：發現 (掃描/分類) → 監控 (端點/網路/雲/郵件) → 阻斷/加密/水印/審計；源碼倉庫啟用「防下載/水印/審計」策略 (GitLab/GitHub Enterprise 原生功能)。
7. 應變預案與演練：針對「源碼竊取」場景專項演練：檢測→定界→根因分析→清除→恢復→溝通 (法務/PR/客戶/監管) → 複盤改進。

這個案例揭示了現代攻擊鏈的核心特徵：利用人性弱點 (釣魚) 獲取初始立足點 → 利用信任關係 (VPN/共享/憑證複用) 橫向移動 → 利用配置缺陷 (弱密碼、無 MFA、無 LSASS 保護、無 FIM/NDR) 提權並達標。沒有單一銀彈能阻斷全鏈路，唯有構建「假設失陷」的韌性架構：全方位可視性 (日誌/流量/端點/身分/雲) + 自動化關聯分析 (SIEM/SOAR/UEBA) + 主動欺騙 (蜜罐/蜜標/蜜網) + 持續紅隊驗證，才能在攻擊者完成任務前發現並斷鏈。