前言：當前端框架成為後門入口

隨著 Web 3.0 與去中心化技術的普及，國家級駭客組織（APT）的攻擊手法也在進化。近期安全社群監測到北韓相關攻擊組織（如 Lazarus Group）採取了一種名為 “React2Shell” 的新興攻擊向量。

這項攻擊不再單純依賴釣魚郵件，而是鎖定企業廣泛使用的 React 前端開發環境，植入具備區塊鏈通訊能力的 EtherRAT 勒索軟體。這代表著「供應鏈攻擊」與「去中心化指令控制」的危險結合。

技術解構：從 React 到區塊鏈的攻擊鏈

1. React2Shell：利用開發工具的疏忽

React 本身是安全的，但其生態系中的構建工具若配置不當，將成為致命弱點。

• 漏洞原理： 攻擊者鎖定開發環境中 react-scripts 或 Webpack 的熱重載（Hot Reloading）機制，或是濫用 eval() 函數的除錯配置。

• 注入手法： 透過受污染的 NPM 套件或惡意 Pull Request，將一段混淆的 JavaScript 注入到前端代碼中。當開發者或 CI/CD 伺服器執行構建時，這段腳本會建立一個 Web Shell，開啟通往伺服器的後門。

2. EtherRAT：寄生在區塊鏈上的惡意軟體

一旦 Web Shell 建立，攻擊者便會部署 EtherRAT。與傳統勒索軟體不同，它不連線到固定的 C2 伺服器（容易被封鎖 IP），而是連線到 以太坊（Ethereum）區塊鏈。

• C2 通訊機制： 駭客將「加密指令」偽裝成一筆筆普通的 ERC-20 代幣交易備註 (Input Data)。

• 隱匿性： 對企業防火牆而言，這只是通往 etherscan.io 或 Infura 節點的合法 HTTPS 流量，因此極難被 IDS/IPS 偵測。

MITRE ATT&CK 戰術對應

針對此複合式攻擊，資安團隊需關注以下指標：

企業防禦與緩解建議

面對「React2Shell」與「EtherRAT」這類新型態威脅，傳統防毒軟體往往無能為力，需採取縱深防禦：

1. 前端與供應鏈安全

• 相依性掃描： 在 CI/CD 流程中整合 Snyk 或 npm audit，確保 react-scripts 及所有第三方套件無已知漏洞。

• CSP 嚴格化： 部署嚴格的內容安全策略（Content Security Policy），禁止 eval() 執行，並限制 connect-src 只能連線至業務必要的網域（阻斷非預期的區塊鏈節點連線）。

2. 網路層監控

• 區塊鏈流量分析： 企業防火牆應針對與 Etherscan、Infura、Alchemy 等區塊鏈節點的連線進行白名單管理。若非業務需求，應予以阻斷或發出告警。

• WAF 設定： 針對 Web Shell 常見的特徵碼（如長字串編碼請求）進行過濾。

3. 端點偵測 (EDR)

• 設定規則監控網頁伺服器進程（如 Node.js 或 Nginx）是否產生了異常的子進程（Process Injection），這是 EtherRAT 啟動的典型徵兆。

結語

EtherRAT 的出現證明了北韓攻擊組織在技術創新上的能力。當駭客開始利用區塊鏈的「不可篡改性」來保護他們的惡意指令時，我們的防禦思維也必須從單純的「封鎖 IP」轉向更精細的「行為分析」與「供應鏈治理」。

參考資料

• The Hacker News: North Korea-linked Actors Exploit React2Shell (2025)

• Sysdig Threat Research: EtherRAT Analysis

🧠 本文由 DreamJ AI 技術新聞生成系統 自動撰寫與優化，
內容僅供技術研究與學習參考，實際環境請搭配官方公告與資安建議。