你电脑里那个天天用的VLC播放器，可能正在替黑客干活。不是它变坏了，是它被"借"了——攻击者把恶意DLL放在正版程序旁边，程序一启动，顺手就把坏东西加载进来。 这招叫DLL侧加载（side-loading）。核心逻辑很朴素：不去改动那个可信的可执行文件，只在它身边塞一个恶意库文件。应用启动时照常加载，防守方如果只盯着主程序看，就会漏掉真正执行坏代码的那个库。 WatchGuard红队研究员Euler Neto在调查三起恶意活动时发现了这套手法，相关研究于 2026年10月22日 发布。三起活动主要针对巴西和葡萄牙用户，入口是伪造的法律通知、财务文件和发票下载页面，把钓鱼、隐藏脚本和可信程序捆在一起，让感染更难被发现。 研究覆盖了Overlord RAT、Lampion银行木马，以及一起涉及恶意驱动管理库的独立感染。三者在投递方式上有共性，但现有发现并不能证明这三起操作由同一个团伙控制。 正版软件成了运载工具 Overlord RAT这起活动里，钓鱼邮件冒充巴西公证处，把收件人引向所谓的法律文件。链接投下VBScript文件，再去下载可执行文件或Windows Installer安装包。 有些脚本用字符编码拼出指令，有些把字符串拼接起来，让检查时不容易看出意图。WatchGuard分析的两个安装包都用了DLL侧加载：一个把恶意库和一个正版微软.NET Framework工具配在一起，另一个用的就是VLC Media Player。两者的文件都放在一个名为Adobe的临时文件夹里。 Overlord还有别的投递路径，通过Dropbox或Google Cloud Storage拉取后续文件。批处理脚本尝试给微软Defender加排除项，下载的程序则创建计划任务或开机启动项。其中一个加载器借用了Windows错误报告的名字来混进正常活动，研究人员还发现了加密内容，解码后是Donut shellcode，让另一段载荷直接在内存里跑起来。 假验证码背后的ISO VMware相关的那起从一个葡萄牙语发票页面开始，标题是"Download Seguro – Factura"。一个假验证码把访客引向下载ISO磁盘镜像。 镜像里装着一个混淆过的VBScript、一个正版VMware网络安装工具、一个恶意DLL，还有一个模块定义文件。真正干活的是那个可信的VMware可执行文件，它只是运载工具，不是最终的木马本体。 恶意DLL用XOR解密内嵌数据，释放出第二个64位DLL，用Pascal编写。它的主函数会检查是否已有另一份副本在运行，准备屏幕截图，生成机器人标识，并写入一个用户级注册表项做持久化。 这段Pascal载荷给攻击者的控制能力相当完整：远程鼠标键盘操作、通过PowerShell或CMD执行命令、写文件、串流屏幕、隐藏的交互式shell。它还能自我卸载并清除相关痕迹。连不上命令服务器时，每三秒重试一次——这个节奏本身也是可以拿来排查的行为特征。 5MB脚本里只有5KB在干活 WatchGuard还分析了Lampion，它用财务主题的钓鱼邮件和大量填充的脚本。有一个样本脚本约 5MB ，真正起作用的代码只有约 5KB 。Lampion主要针对葡萄牙，Overlord那起则针对巴西。几起案例里反复出现数字七的引用，但仅凭这一点不能证明背后是同一个操作者。 对安全团队来说，最清晰的警示信号是：意料之外的脚本下载、新增的Defender排除项、陌生的计划任务，以及可信应用从异常文件夹加载库文件。 此前那波假冒Claude安装程序攻击，同样把安全排除项和侧加载组合在一起，说明几个普通的Windows操作就能串成一条完整的感染链。调查时应该把这些事件连起来看，而不是一条告警一条告警地孤立评估。 WatchGuard的建议是审查进程链、持久化设置和外连行为，必要时隔离受影响的终端。落到实处就一句话：别只看那个可执行文件像不像正版，要看它到底加载了什么。 钓鱼防护、行为监控和终端可见性依然重要，因为这些活动把恶意行为分散在脚本、云盘下载、库文件和Windows功能之间，任何单点拦截都容易漏。 特别
