隨著網路攻擊日益複雜，遠端存取工具（RAT）已成為資安威脅的關鍵組成部分。RAT 允許攻擊者遠端控制目標系統，竊取資料、執行惡意程式碼等，對個人和企業造成嚴重損失。理解 RAT 的架構、運作流程和技術發展趨勢，對於構建有效的防禦策略至關重要。本文將探討這些方面，並提供一些實用的防禦建議，以協助讀者更好地應對 RAT 帶來的挑戰。
遠端存取工具（RAT）與現代資安威脅
隨著網路技術的進步，遠端存取工具（Remote Access Tool, RAT）已成為資安領域中的重要議題。這類別工具允許操作者遠端控制一或多個系統，無論是電腦、智慧型手機、伺服器還是連網印表機。
RAT 的架構組成
大多數 RAT 由三個主要部分組成：
Agent（代理程式）
- 這是 RAT 的核心 payload，會在目標系統上執行。
- 其主要功能是與 Command & Control（C&C）伺服器通訊，並接收來自客戶端的指令。
C&C（Command & Control）伺服器
- 這是 RAT 的中樞，用於接收來自 Agent 的資訊並傳遞客戶端的控制指令。
- C&C 伺服器的隱匿性直接影響 RAT 的偵測難度。
客戶端（Client）
- 操作者用來控制 RAT 的介面，通常提供豐富的功能，例如檔案管理、螢幕監控、鍵盤監聽等。
RAT 的運作流程
下載器的角色
在滲透過程中，RAT 通常透過兩階段安裝：
- 首先，一個極小的程式（稱為 dropper、stager 或 downloader）被執行。
- 該程式隨後下載並執行完整的 RAT payload。
這種設計提高了安裝的可靠性，並可將 RAT 完全載入記憶體中執行，減少系統中的痕跡。
防禦措施與建議
1. 密碼管理器
- 密碼管理器不僅能儲存不同網站的不同密碼，還能在網路釣魚網站上阻止自動填入憑證。
- 當使用者造訪惡意網站時，密碼管理器會識別並拒絕填入敏感資訊。
2. 雙因素驗證（2FA）
- 雙因素驗證是一種額外的安全層，能有效防止憑證洩露帶來的風險。
- 常見的 2FA 方法包括硬體令牌、簡訊驗證碼、軟體令牌等。
- 注意： 根據簡訊的 2FA 安全性較低，因其易受 SIM 卡交換攻擊，但仍比無任何保護措施更安全。
3. 電子郵件安全：DMARC、DKIM 和 SPF
- 這三項技術能幫助管理員保護電子郵件網域免受欺騙攻擊。
- DKIM（DomainKeys Identified Mail）： 使用公鑰加密技術簽署郵件，確保郵件未被篡改。
- SPF（Sender Policy Framework）： 定義允許傳送郵件的伺服器清單，防止垃圾郵件。
- DMARC（Domain-based Message Authentication, Reporting, and Conformance）： 根據 SPF 和 DKIM，提供郵件驗證和報告機制。
4. 安全意識訓練
- 定期進行網路釣魚測試和培訓能有效提升員工的安全意識。
- 可使用線上網路釣魚測試工具（如 Google 的 Phishing Quiz）進行模擬演練。
5. 購買鄰近網域名稱
- 對大型企業而言，購買與自身網域相似的名稱可減少被用於網路釣魚攻擊的風險。
6. 銷毀舊檔案
- 適當處置舊檔案和資料，避免敏感資訊被惡意利用。
圖表說明
圖 10.1：下載器運作流程
此圖展示了下載器如何從遠端伺服器下載並執行 RAT payload。
圖 10.2：RAT 系統架構圖
此圖詳細說明瞭 RAT 的三大部分：Agent、C&C 伺服器和客戶端的協同運作方式。
graph TD;
A[客戶端] -->|控制指令|> B[C&C 伺服器];
B -->|指令傳遞|> C[Agent];
C -->|執行指令|> D[目標系統];
D -->|回傳結果|> C;
C -->|結果傳遞|> B;
B -->|結果回傳|> A;
圖表翻譯：
此圖展示了 RAT 的整體架構與運作流程，包括客戶端、C&C 伺服器和 Agent 之間的互動過程，以及最終對目標系統的控制與資訊回傳。
隨著技術的演進，RAT 與相關攻擊手段將持續升級。未來可預期的發展包括：
- 更為隱蔽的通訊技術，例如根據區塊鏈或 P2P 的 C&C 通道。
- 更強大的防禦手段，如根據 AI 的異常行為檢測。
- 更全面的資安教育與培訓，以降低人為疏失帶來的風險。
結語
遠端存取工具（RAT）是現代資安威脅中的重要一環，其隱蔽性和危害性不容小覷。透過瞭解其架構與運作原理，並結合多層次的安全防禦措施，可有效降低相關風險，保護個人與企業的數位資產。
高階攻擊平台與遙控木馬（RAT）技術解析
10.1 高階攻擊平台架構組成
現代高階攻擊平台（Advanced Attack Platforms）採用模組化設計，主要由簡單的代理程式（Agent）與動態下載的模組組成。這些模組經過加密處理，並僅在記憶體中執行，以降低被偵測的風險。這種架構允許攻擊者在不暴露全部攻擊工具的情況下針對特定目標進行攻擊。
10.1.1 代理程式（Agent）
代理程式是佈署在目標系統上的基本元件，負責執行攻擊者的指令並與命令控制伺服器（C&C Server）進行通訊。其主要特點包括：
- 基本功能實作
- 動態載入模組以擴充套件功能
- 加密通訊以避免被偵測
10.1.2 命令控制伺服器（C&C Server）
命令控制伺服器（C&C Server，或稱 C2 Server）是攻擊者控制整個攻擊行動的核心樞紐。它執行在攻擊者控制的基礎設施上，可以是預先設定的伺服器或被攻陷的系統，甚至可以利用社交網路等公開基礎設施進行隱蔽通訊。
著名的開源 C&C 專案包括 Merlin，其在 GitHub 上獲得了大量關注。
10.1.3 使用者端（Client）
使用者端是 RAT 操作者與伺服器之間的介面，用於向伺服器傳送指令並由伺服器轉發至各個代理程式。使用者端的形式多樣，可以是命令列應用程式、網頁應用程式或行動應用程式，只要能夠與伺服器進行通訊即可。
10.2 C&C 通道與方法
傳統的 C&C 伺服器可能因為被攻擊或查封而導致整個行動失敗，因此創意地使用不同的 C&C 通道成為了攻擊者維持行動隱蔽性的關鍵策略。
10.2.1 使用 Telegram 作為 C&C 通道
Telegram 因其自動化特性及圍繞公司的神秘感，成為攻擊者的首選之一。例如 ToxicEye 就利用 Telegram 作為其 C&C 通道。
// Telegram API 請求範例
use reqwest;
async fn send_command_to_agent(command: &str) -> Result<(), reqwest::Error> {
let token = "YOUR_TELEGRAM_BOT_TOKEN";
let chat_id = "YOUR_CHAT_ID";
let url = format!("https://api.telegram.org/bot{}/sendMessage?chat_id={}&text={}",
token, chat_id, command);
let response = reqwest::get(&url).await?;
Ok(())
}
#### 內容解密：
此範例展示瞭如何使用 Rust 程式語言透過 Telegram 的 API 向特定聊天室傳送指令。攻擊者可以利用這種方式與佈署在目標系統上的代理程式進行隱蔽通訊。
10.2.2 利用社交網路作為 C&C 通道
除了 Telegram 外，其他社交網路如 Twitter、Instagram 和 YouTube 也被用作「無伺服器」C&C 通道。攻擊者將指令隱藏在評論或推文中，以此規避檢測機制。
graph LR
A[攻擊者] -->|發布指令|> B[Twitter]
B -->|抓取指令|> C[代理程式]
C -->|執行指令|> D[目標系統]
圖表翻譯：
此圖展示了攻擊者如何利用 Twitter 作為 C&C 通道發布指令，並由目標系統上的代理程式抓取並執行這些指令。這種方法使得攻擊流量融入正常的使用者行為中，從而降低了被檢測的機率。
10.2.3 DNS 通道
DNS 通道因其極低的被封鎖率而受到青睞，特別是在企業網路或公共 Wi-Fi 環境中。
10.2.4 對等網路（P2P）通訊
P2P 通訊架構允許代理程式之間直接通訊，無需中央伺服器。這種架構提高了抗幹擾能力，但也需要端對端加密來確保通訊安全。
// P2P 通訊範例
use std::net::TcpStream;
fn connect_to_node(addr: &str) -> std::io::Result<TcpStream> {
TcpStream::connect(addr)
}
#### 內容解密：
此範例展示瞭如何在 Rust 中建立到 P2P 網路中其他節點的 TCP 連線。在 P2P 架構中，節點之間可以直接通訊，從而避免了單一伺服器被查封的風險。
10.2.5 網域生成演算法（DGA）
DGA 技術用於提高 C&C 伺服器的可用性。當原始 C&C 被查封時，代理程式可以透過演算法生成新的網域名稱並嘗試連線，從而保持與攻擊者的通訊。
10.2.6 使用外部儲存裝置
某些 RAT 利用外部儲存裝置（如 USB）來竊取資料，以針對隔離網路（Air-Gapped Systems）。
10.3 現有的遙控木馬（RAT）
在設計自有的 RAT 之前，先來回顧一些現有的 RAT。
10.3.1 DarkComet
DarkComet 是早期著名的 RAT，由法國程式設計師 Jean-Pierre Lesueur 開發，曾被敘利亞政府用於監控異議人士。
10.3.2 Meterpreter
Meterpreter 是 Metasploit 框架的一部分，提供進階的動態擴充套件功能，並使用記憶體注入技術進行通訊。
# Meterpreter Ruby API 使用範例
session = client.session('shell')
session.run_cmd('whoami')
#### 內容解密：
此範例展示瞭如何使用 Meterpreter 的 Ruby API 在受控系統上執行命令。Meterpreter 的動態擴充套件能力和豐富的 API 使其成為滲透測試中的有力工具。
10.3.3 Cobalt Strike
Cobalt Strike 是商業化的進階攻擊平台，主要用於紅隊演練。其可自定義的 C2 通訊協定大大提高了隱蔽性。
10.4 為何選擇 Rust
大多數現有的 RAT 使用 C/C++ 開發代理程式，以追求低資源佔用和底層控制；同時使用 Python、PHP 或 Go 等語言開發伺服器和使用者端。然而，這些語言缺乏記憶體安全保障，容易出現漏洞。
Rust 語言結合了底層控制與高層抽象，同時具備優秀的套件管理和程式碼重用能力。因此，使用 Rust 開發 RAT 可以實作程式碼在代理程式、伺服器和使用者端之間的分享，大大提高了開發效率和安全性。
// Rust 程式碼共用範例
mod common;
use common::utils;
fn main() {
utils::setup_logging();
// 其他邏輯...
}
#### 內容解密：
此範例展示瞭如何在 Rust 專案中分享程式碼。透過將通用功能抽取到獨立模組中，可以在 RAT 的不同元件之間重用程式碼，提高開發效率並減少錯誤。
總而言之，Rust 語言因其記憶體安全特性和優秀的開發效率，成為開發現代 RAT 的理想選擇。未來，我們將進一步探討如何使用 Rust 設計和實作一個功能完備的 RAT。
設計伺服器：選擇適當的C&C通道與即時通訊技術
在設計一個強大的伺服器時，選擇合適的C&C（Command and Control）通道和即時通訊技術是至關重要的。根據Pareto原則，HTTP(S)協定在大多數情況下（約80%的場景）是最佳選擇，只需付出相對較少的努力（約20%）。
為何選擇HTTP(S)
HTTP(S)協定很少被封鎖，並且由於它是網際網路的基礎，因此有無數成熟的實作方案可供使用。經驗表明，如果不使用HTTP(S)而是實作自定義協定，最終往往會得到與HTTP類別似的功能（例如請求-回應、串流、傳輸加密、中繼資料等），但這些功能往往是半成品，可靠性較低，而且無法享受到網路生態系統中數百萬小時的開發成果。
即時通訊技術的選擇
要在HTTP協定上實作即時通訊，有四種主要方法：
- 短輪詢（Short Polling）
- WebSockets（WS）
- 伺服器推播事件（Server-Sent Events, SSE）
- 長輪詢（Long Polling）
短輪詢
短輪詢是指客戶端定期向伺服器傳送請求，伺服器立即回應。如果沒有新資料，回應則為空。由於大多數時候伺服器的回應都是空的，這種方式浪費了大量的網路和CPU資源。唯一的優點是它非常簡單。
WebSockets
WebSocket是一種雙向資料流，客戶端與伺服器建立連線後，雙方都可以傳送資料。WebSocket的主要問題包括需要維護大量開放的連線（通常是閒置的），缺乏自動重新連線機制，以及沒有內建的認證機制。儘管如此，WebSocket在需要極低網路使用和延遲的場景下仍然是合適的選擇。
// WebSocket範例程式碼
use tokio_tungstenite::{connect_async, tungstenite::protocol::Message};
#[tokio::main]
async fn main() {
let url = "wss://example.com/ws";
let (mut write, mut read) = connect_async(url)
.await
.expect("Failed to connect");
// 傳送訊息
write.send(Message::Text("Hello".into()))
.await
.expect("Failed to send message");
// 接收訊息
while let Some(message) = read.next().await {
match message {
Ok(msg) => println!("Received: {}", msg),
Err(e) => println!("Error: {}", e),
}
}
}
內容解密：
這段程式碼展示瞭如何使用tokio_tungstenite函式庫建立WebSocket連線並進行雙向通訊。首先，我們使用connect_async函式連線到指定的WebSocket URL。成功連線後，我們可以透過write傳送訊息，並透過read接收訊息。這裡使用了Tokio的非同步處理，使得WebSocket的操作是非阻塞的。
伺服器推播事件（SSE）
SSE是一種單向資料流，只有伺服器可以向客戶端推播資料。客戶端通常會自動重新連線，因此實作起來相對簡單。然而，SSE同樣需要保持大量開放的連線。
// SSE範例程式碼
use actix_web::{web, App, HttpResponse, HttpServer, Responder};
async fn sse_handler() -> impl Responder {
HttpResponse::Ok()
.header("Content-Type", "text/event-stream")
.streaming(sse_stream)
}
async fn sse_stream() -> impl Iterator<Item = String> {
// 這裡應該實作具體的SSE邏輯
std::iter::once("data: Hello\n\n".to_string())
}
#[actix_web::main]
async fn main() -> std::io::Result<()> {
HttpServer::new(|| {
App::new()
.route("/sse", web::get().to(sse_handler))
})
.bind("127.0.0.1:8080")?
.run()
.await
}
內容解密：
這段程式碼展示瞭如何使用actix-web框架實作SSE。我們定義了一個處理函式sse_handler，它傳回一個HttpResponse，並設定Content-Type為text/event-stream。實際的SSE資料流透過sse_stream函式產生，這裡僅提供了一個簡單的範例。在實際應用中，應該根據具體需求實作資料的即時推播。
長輪詢
長輪詢是一種客戶端傳送請求，伺服器在有新資料或逾時後回應的技術。它的優點是實作簡單、強壯，並且能有效利用資源。雖然在延遲方面不如WebSocket，但對於大多數應用場景來說已經足夠。
// 長輪詢範例程式碼
use actix_web::{web, App, HttpResponse, HttpServer, Responder};
async fn long_polling_handler() -> impl Responder {
// 模擬等待新資料
tokio::time::sleep(tokio::time::Duration::from_secs(5)).await;
HttpResponse::Ok().body("New data available")
}
#[actix_web::main]
async fn main() -> std::io::Result<()> {
HttpServer::new(|| {
App::new()
.route("/long-polling", web::get().to(long_polling_handler))
})
.bind("127.0.0.1:8080")?
.run()
.await
}
內容解密：
這段程式碼展示瞭如何使用actix-web框架實作長輪詢。我們定義了一個處理函式long_polling_handler，它模擬等待新資料的過程（這裡使用Tokio的sleep函式模擬5秒的延遲）。當有新資料時，伺服器傳回一個包含新資料的回應。這種方式簡單且易於實作，非常適合用於即時通訊場景。
架構設計
在設計Rust Web應用程式時，可以採用多種架構模式。其中，“Clean Architecture”由Robert C. Martin提出，將專案分為多個層次，以實作系統與框架、UI、資料函式庫等的解耦。然而，這種架構過於複雜，不太適合實際編碼工作。
graph TD;
A[Presentation Layer] --> B[Application Layer];
B --> C[Domain Layer];
C --> D[Infrastructure Layer];
圖表翻譯： 此圖展示了一種簡化的架構設計，各層之間的依賴關係清晰可見。這種架構允許我們在未來輕鬆地更換或修改任何一層，而不會對其他層造成重大影響。每層只與相鄰層進行通訊，從而實作了良好的模組化和可維護性。
