相关服务：香港服务器租用
Trellix威胁情报团队发现一起针对香港金融机构的隐秘恶意软件攻击活动。此次攻击的核心是SquidLoader——一款经过高度混淆的加载程序，专门设计用于规避检测并部署Cobalt Strike信标以实现持久控制。
Trellix在报告中指出："这款复杂的恶意软件展现出极强的规避能力，在分析时其VirusTotal检测率接近零。"
攻击链剖析
SquidLoader攻击链 | 图片来源：Trellix
感染过程始于一封精心制作的普通话鱼叉式钓鱼邮件，伪装成外汇业务登记表。附件是一个密码保护的RAR压缩包，伪装成发票文件。解压后，用户会被一个模仿AMDRSServ.exe（合法的Radeon设置主机服务）的文件所欺骗。
执行后，SquidLoader立即展开行动：
- 将自身复制到c:\users\public\setup_xitgutx.exe
- 建立与命令控制(C2)服务器的连接
- 直接将Cobalt Strike信标下载到内存中执行
这个五阶段的攻击链最终使攻击者获得完全远程访问权限，这对任何企业安全团队都是噩梦。
高级规避技术
报告指出："该恶意软件在尾声阶段劫持了__scrt_common_main_seh函数，在WinMain执行前就将控制权转移至恶意代码。"
SquidLoader从启动伊始就展现出早期执行劫持能力，立即使用自定义的基于XOR的例程解包其加密有效载荷。随后，它通过PEB遍历动态解析必要API，并初始化自定义堆栈结构以隐藏其内部运作。
SquidLoader的独特之处在于其先进的反分析、反沙箱和反调试技术套件：
- 检查沙箱用户名如"Abby"或"WALKER"
- 检测分析工具如ida64.exe、x64dbg.exe和fakenet.exe
- 发现杀毒进程如MsMpEng.exe或ZhuDongFangYu.exe时自终止
- 使用未公开系统调用如NtQuerySystemInformation和NtIsProcessInJob检测仿真环境
- 动态解析并立即覆盖内存中的字符串和API名称
报告警告称："如果发现任何黑名单进程，SquidLoader会使用NtTerminateProcess系统调用自行终止。"
隐蔽通信与地域分布
与C2服务器的通信被巧妙地伪装成Kubernetes主题的URL路径，例如：https://39.107.156.136/api/v1/namespaces/kube-system/services。
Cobalt Strike信标随后连接到第二个IP地址182.92.239.24以维持持续控制。虽然香港是主要目标，但有迹象表明攻击活动已扩展至新加坡和澳大利亚等地区。
为绕过沙箱检测，SquidLoader在完成检查后会弹出一个虚假错误消息："文件已损坏，无法打开"。这迫使需要用户交互，从而阻碍了无法关闭GUI提示的自动化恶意软件分析平台。
专业级攻击行动
从反调试技巧到定制化钓鱼诱饵和Cobalt Strike有效载荷，整个攻击活动展现出高度专业化的攻击操作。
Trellix报告总结道："其复杂的反分析、反沙箱和反调试技术，加上极低的检测率，对目标组织构成了重大威胁。"