JS资源寄生：下一代命令与控制（C2）技术
内容提要
Loki C2框架通过“脚本劫持”攻击Electron应用，利用Node.js权限绕过安全措施。攻击者修改启动脚本植入后门，确保用户界面正常的同时在后台执行恶意代码。此外，Loki C2利用Azure Blob Storage作为隐蔽的命令与控制通道，具备强大的后期利用能力。开发者和安全团队需加强监控与防护。
关键要点
-
Loki C2框架通过脚本劫持攻击Electron应用，利用Node.js权限绕过安全措施。
-
Electron框架由主进程和渲染器进程组成，主进程拥有完整的Node.js API访问权限。
-
Loki的攻击向量绕过了渲染器进程的安全加固措施，通过劫持启动脚本在主进程中执行代码。
-
Loki C2通过修改应用启动脚本植入后门，使用init.js管理寄生虫与宿主的生命周期。
-
用户界面正常显示，恶意代码在后台运行，init.js实现持久化。
-
Loki C2使用Azure Blob Storage作为隐蔽的命令与控制通道，具备分层容器结构与密钥交换。
-
操作员通过轮询meta容器发现新Agent，获取专用容器名和密钥。
-
Loki Agent是功能完备的后渗透工具，支持原生代码桥接和进程隔离模型。
-
开发者应强制完整性校验，安全团队需监控进程行为、文件系统变更和网络流量分析。
延伸问答
Loki C2框架是如何攻击Electron应用的？
Loki C2框架通过脚本劫持攻击Electron应用，利用Node.js权限绕过安全措施，修改启动脚本植入后门。
Loki C2的init.js脚本有什么作用？
init.js脚本用于管理寄生虫与宿主的生命周期，确保恶意代码在后台运行，同时保持用户界面的正常显示。
Loki C2如何实现持久化？
Loki C2通过监听宿主应用进程的退出事件，在退出前将package.json的main入口点改回指向自身，从而实现持久化。
Loki C2使用Azure Blob Storage的目的是什么？
Loki C2使用Azure Blob Storage作为隐蔽的命令与控制通道，利用分层容器结构和密钥交换进行隐秘通信。
开发者如何防范Loki C2攻击？
开发者应强制完整性校验，确保应用中集成ASAR完整性校验功能，以防止脚本劫持。
Loki Agent具备哪些后期利用能力？
Loki Agent是功能完备的后渗透工具，支持原生代码桥接和进程隔离模型，能够执行高风险操作。
