Sophos揭露中國駭客使用改造版Meterpreter，受害範圍涵蓋臺灣

資安業者Sophos近期調查一系列網路入侵事件，發現攻擊者反覆利用合法軟體側載惡意DLL，部署經過改造的Meterpreter後門酬載，並將幕後駭客組織命名為BRONZE SANDCASTLE，研判可能具有中國背景。研究人員分析2025年8月至2026年8月的相關事件，發現受害組織分布於臺灣、菲律賓、阿富汗及納米比亞，南韓也可能有組織受害。

研究人員指出，這波攻擊的目標分布與部分中國背景駭客組織的攻擊活動相似，加上攻擊活動時間主要集中於UTC+8時區的日間工作時段，進一步支持其可能具有中國背景的研判。不過，目前尚無法可靠地將相關活動連結至BRONZE PRESIDENT或BRONZE ATLAS等既有駭客組織。

在攻擊手法方面，Sophos發現攻擊者反覆利用沙箱隔離工具Sandboxie的執行檔側載惡意DLL，也曾利用Java、Krita及LINE等其他合法軟體的執行檔進行DLL側載。這類手法是將惡意DLL放置在合法程式執行檔旁，使程式啟動時載入攻擊者控制的DLL。這些惡意DLL通常會讀取加密的config.ini檔案，將其中的酬載解密後於記憶體執行，藉此降低遭靜態檔案偵測的機會。

進一步分析解密後的酬載，Sophos發現其結構相似於開源滲透測試框架Metasploit產生的Shellcode，但其載入程式採用不同的API解析方式，且樣本包含COFFLoader專案的程式元素，顯示其並非標準的Metasploit產物，而是具有客製化設計特徵。

在後門酬載的版本及通訊行為方面，研究人員辨識出1.1.5及1.1.7兩種版本，其中1.1.7版曾連線至GitHub儲存庫，嘗試下載加密設定檔。此外，研究人員也觀察到部分酬載連線至file.io、gofile.io及Ably等合法服務，Sophos認為可能用於接收命令與控制（C2）指令。攻擊者入侵後，還曾列舉內部網路的主機與使用者帳號，並利用Windows工具vssadmin.exe建立磁碟區陰影複製，進而複製Active Directory資料庫檔案（ntds.dit），在這個檔案當中，可儲存使用者憑證、群組政策、安全性設定，以及網域使用者身分認證資訊等資料。

在防禦方面，Sophos提醒，由於攻擊者大量使用加密酬載與設定檔，並在執行階段才進行解密，傳統以檔案為基礎的靜態偵測可能難以奏效。因此，企業應加強端點行為監控與記憶體偵測，特別留意DLL讀取本機檔案後，隨即在記憶體執行程式碼等異常行為，以利發現潛在攻擊活動。