事件概览与背景
近期，一个被追踪为“StrikeShark”的攻击组织在全球范围内发起了针对性的恶意软件攻击行动，其核心载荷SharkLoader引起了我们的高度关注。该组织不仅活跃于亚洲、欧洲及拉美地区，还针对政府机构、外交部门及软件开发企业等关键领域进行渗透。
从我们的应急响应经验来看，StrikeShark并不依赖昂贵的零日漏洞，而是倾向于利用互联网侧暴露的已知高危漏洞（如Microsoft Exchange、Fortinet、Cisco IOS XE等）进行大规模扫描与漏洞利用。这种“广撒网”式的策略，使得许多未能及时修复补丁的企业成为攻击的首要目标。
攻击链分析：从边界突破到隐蔽驻留
StrikeShark的攻击链设计极其精密，核心逻辑在于通过“无文件化”手段规避EDR及传统杀毒软件的检测。
初始阶段，攻击者通过漏洞利用获取权限，或伪装成Cisco AnyConnect、Google Update等合法软件诱导用户安装恶意投放器。随后，攻击者利用Windows系统自身的合法二进制文件（如SystemSettings.exe）触发DLL侧加载。
这一环节是很多企业容易忽视的，因为攻击者利用的是经过签名的合法进程，这在传统的白名单或进程监控中极易被放行。在加载过程中，SharkLoader采用多阶段解密，所有Payload均在内存中直接执行，从未在磁盘上留下可被识别的原始文件，这种“落地即无痕”的特性极大地增加了溯源难度。
技术手法解析：何为“完美DLL劫持”
SharkLoader最引人瞩目的技术点在于所谓的“完美DLL劫持”。不同于常规的DLL注入，它通过操纵内部加载器结构，在DLL初始化期间创建恶意线程，从而规避了Windows加载器锁（Loader Lock）的触发，有效避免了因加载异常而产生的痕迹。
此外，该恶意软件还集成了多种高级规避手段：
- 内存层面的反射加载：将Cobalt Strike Beacon直接反射加载到内存中。
- ETW干扰：通过对抗Windows事件追踪（ETW）来屏蔽自身的行为日志。
- 动态防御调整：在进程休眠期间动态调整内存保护属性，以躲避内存扫描引擎。
- API Hooking：实时重定向并调用系统底层调用，隐藏恶意行为。
Solar应急响应建议
针对此类利用内存驻留和DLL侧加载的高级威胁，我们建议企业从以下维度加强防范：
首先，针对互联网侧暴露的资产，必须建立快速补丁响应机制，严禁将未加固的敏感服务直接暴露在公网。
其次，在终端防护方面，应重点监控系统中异常的DLL加载行为。例如，监控SystemSettings.exe等系统进程是否加载了未签名的或异常路径下的DLL文件。类似攻击近年来明显增加，企业应配置针对进程内存空间异常分配的告警规则。
最后，强化对API调用链和ETW日志的监控。如果发现系统出现大量的API Hooking行为或ETW服务被异常禁用，应立即将其视为高危告警，进行内存镜像取证分析。
StrikeShark的攻击手法再次证明，单纯依赖静态特征库的防御已难以奏效。只有通过构建“边界防御+终端行为审计+内存威胁猎杀”的纵深防御体系，才能有效应对此类隐蔽性极高的攻击。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com