Skip to content

法國冰箱事件：我們必須從物聯網安全中學到什麼

法國超市破壞事件：企業必看的物聯網 (IoT) 安全重點

對全法國商業冷藏設備的惡意操縱，是早已被充分記錄的數位漏洞在實體世界中的嚴重體現。除了立即的營運與財務損失外，此事件更對疏於管理的第三方供應商存取權以及暴露於網際網路上的營運技術 (OT)，發出了至關重要的警告。
最近針對法國超市的網路攻擊，導致商業冰箱與冷凍庫在夜間被惡意加熱至 122°F (50°C)。實體後果立竿見影：大量食物腐壞、觸發消防灑水系統、巴黎檢察官展開正式調查，並導致 Les Mousquetaires 等零售集團估計達數百萬歐元的財務損失。 鑑於食品供應鏈受到嚴重破壞，強烈的政治與媒體關注是完全合理的。然而，在聳動的報導背後，攻擊的技術真相卻平淡無奇。這起事件正是網路安全專家十多年來不斷記錄的那種「暴露於網際網路的裝置漏洞」。實體後果——一個裝滿毀損冷凍庫存的垃圾桶——確實比標準的 CVE 公告更能有效吸引大眾目光。

漏洞機制：傳統物聯網危機

目標硬體包含連鎖超市用來集中管理冷凍設備與冷藏室的工業監控控制器。第一波攻擊攻陷了 Danfoss AK-SM 與 AK-SC 設備，隨後法國網路安全當局 (CERT-FR) 發布了諮詢通報 (CERTFR-2026-ALE-012)，確認 Copeland 與 Dixell XWEB 系統也受到了影響。 這些控制器的設計旨在讓冷凍設備承包商能夠遠端存取以調整溫度設定並監控警報，而無需派遣技術人員到現場。雖然商業使用案例是合理的，但其部署卻是災難性的。安全研究人員早就指出，數以千計的此類控制器完全暴露在公用網際網路上。Claroty 的 Team82 最近的一項研究強調了 Danfoss AK-SM 800A，在全球發現了約 2,765 台暴露的設備——其中近 60% 位於法國。 Team82 還發現了一個隱藏的硬編碼登入機制 (CVE-2025-41450，在 R4.2 中修復)，該機制接受完全由當前日期生成的密碼。儘管媒體將其簡化為「弱密碼」，但硬編碼後門的危險性要大得多；即使是最強大的管理員憑證也無法防止未經授權的存取。Danfoss 指出，許多受感染的設備都是傳統的、已停止支援的型號，運行著過時的韌體，其漏洞可追溯至 2023 年。攻擊者使用 Shodan 等搜尋引擎輕鬆找到了這些系統（其中一些透過獨立的 3G 行動數據機連接）。 一旦潛入，威脅行為者並未部署複雜的惡意軟體，而是將控制器自身的原生功能武器化。他們迫使設備進入目標為 50°C 的持續除霜週期，並將除霜時間從一小時延長至八小時，以抑制自動溫度警報。攻擊者完全按照設計使用了該系統，只是抱持著惡意。

潛在的失敗：可見性與供應商管理

撇開戲劇性的背景不談，根本原因是一個企業極為熟悉的安全疏失。在多數組織中，專用設備由設施管理或第三方維護承包商負責，而非 IT 安全團隊。因此，這些資產完全不存在於企業的安全清單中。如果您無法識別一項資產或其網路通訊，您將只會在對手發現之後才察覺其暴露。 當第三方承包商需要遠端存取時，往往採取最簡單的路徑：開啟防火牆連接埠或連接獨立的行動數據機。正如法國政府明確指出的，將管理介面直接暴露於公用網際網路違反了基本安全實務。如果絕對必要，遠端管理必須嚴格限制在受信任的 IP 位址。 最佳實務要求供應商的存取必須更進一步：綁定至經過身分驗證的特定使用者、嚴格僅在所需會話期間進行配置，並進行全面日誌記錄。日期密碼後門的存在凸顯了一個關鍵原則：當裝置的內部身分驗證不可信時，邊界存取控制是您唯一的防線。 此外，這起攻擊凸顯了重大的偵測挑戰。因為攻擊者利用了合法指令（例如啟動除霜週期），標準的安全特徵碼不會觸發警報。偵測這種破壞需要建立行為基準：識別誰通常登入、從什麼位置登入以及在什麼時間登入。凌晨 2 點在數百個地點突然湧現併發登入是一個明顯的異常，但前提是組織有在積極監控這些日誌。

物聯網盲點不僅限於零售業

營運於企業辦公室、醫療機構、學校或資料中心的組織面臨著完全相同的風險。現代建築充滿了類似的系統：暖通空調 (HVAC) 控制器、識別證讀卡機、安全攝影機、不斷電系統 (UPS) 與環境感測器。這些裝置通常是透過標準 IT 管道以外的途徑採購，為了供應商的方便而安裝，並運行著安裝後就再也沒有更新過的被忽視的韌體。 必須承認標準網路安全控制的侷限性。配備獨立 3G 數據機的工業控制面板永遠不會與企業網路互動，這使得內部安全監控對其存在一無所知。要減輕這種風險，需要嚴格的政策執行與實體驗證——直接詢問供應商並目視檢查硬體。 在企業環境中，積極的資產發現至關重要。例行的網路掃描經常會遺漏未發聲的裝置。為一個被遺忘的專案而安裝的行動遠端存取模組，對標準數位發現工具來說將保持隱形，必須依賴實體現場檢查才能發現隱藏的對外連線。

針對 IoT 與 OT 環境的可行安全指令

為了強化您的環境以防禦類似漏洞，必須採取以下營運步驟：
  1. 稽核公用 IP 空間： 使用 Shodan 或 Censys 等工具主動掃描組織的外部足跡，以識別並立即移除任何意外暴露的管理介面。
  2. 建立全面的資產清單： 識別內部網路上的每個物聯網 (IoT) 和營運技術 (OT) 裝置並指派擁有者，跳脫通用的識別標籤。
  3. 強制執行嚴格的網路分段： 隔離 IoT 與 OT 裝置，使其只能與必要的端點進行通訊。設施控制器絕不應從企業 VLAN 或訪客 Wi-Fi 網路進行存取。
  4. 現代化供應商存取權： 消除永久開啟的連接埠。過渡到以會話為基礎、具名使用者的存取協定，並要求設施供應商提供有關其設備上行動數據機使用的書面確認。
  5. 處理停止支援的設備： 積極修補現有系統。如果硬體無法更新，則必須將其完全隔離以中和潛在漏洞。
有效的網路安全需要精確的裝置指紋識別、嚴格的基於身分的存取控制，以及對連接至基礎架構設備的絕對能見度。雖然這些措施可能無法阻止每一次入侵，但它們大大縮小了攻擊面，並確保惡意異常會觸發可見的警報。我們必須在惡意行為者之前發現未經授權的供應商存取點。

About Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

Keepit 在 Gartner 2026 年評選中榮獲主權資料冠軍

Keepit 倡導主權資料作為可靠 AI 的基石，將於 2026 秋季 Gartner 大會亮相

丹麥哥本哈根 — 2026 年 10 月 19 日

隨著企業加速邁向人工智慧，AI 輸出的準確性與安全性依然高度仰賴底層資料的完整性。作為獨立於供應商的 SaaS 資料保護領導者，Keepit 將在即將於歐洲和美洲舉行的四場 Gartner 活動中，展示為何值得信賴的 AI 需要一個經過驗證、隨時可復原且獨立的「單一真相來源 (single point of truth)」。

隨著組織越來越多地將 AI 融入其 SaaS 基礎架構中，Keepit 即將發表的演講將探討現代資料管理的關鍵轉變。公司專家將探討為何資料復原的重擔落在個別組織而非 SaaS 平台身上、資料主權的概念如何從單純的地理駐留 (geographic residency) 演變為絕對控制，以及建立具備韌性之資料基礎的必要步驟。 這些 2026 年頂級的 Gartner 大會將聚集 IT 與網路安全高階主管，共同探索定義下一個商業時代的新興趨勢、技術與策略。

在即將到來的 Gartner 活動中與 Keepit 相會

Gartner IT Symposium/Xpo™ 2026 — 佛羅里達州奧蘭多

  • 時間：2026 年 10 月 19–22 日 (場次：美東時間 10 月 20 日下午 2:20)
  • 主講人：Keepit 產品與技術總監 (CPTO) Michael Amsinck
  • 主題：Keepit：AI 無法自行建立的基礎——單一真相來源
  • 地點：未來方向舞台 (Future Directions Stage) (場次代碼：FD10)
在 #336 攤位與團隊見面

Gartner IT Symposium/Xpo™ 2026 — 西班牙巴塞隆納

  • 時間：2026 年 11 月 9–12 日 (場次：歐洲中部時間 11 月 11 日上午 11:30)
  • 主講人：Keepit 集團資訊安全長 (CISO) Kim Larsen
  • 主題：Keepit：AI 時代下資料主權的擴大案例
  • 地點：117 號房 (場次代碼：SPS53)
在 #504 攤位與團隊見面

Gartner IT 基礎架構、營運與雲端策略 (IOCS) 大會 — 英國倫敦

2026 年 11 月 16–17 日

場次 1

  • 時間：格林威治標準時間 (GMT) 11 月 16 日中午 12:00
  • 主講人：Keepit 集團資訊安全長 (CISO) Kim Larsen
  • 主題：Keepit：如何在 AI 時代解決資料主權問題並重新獲得控制權
  • 地點：Maritime Suite 25 (場次代碼：SPS1)

場次 2

  • 時間：格林威治標準時間 (GMT) 11 月 17 日下午 1:30
  • 主講人：Keepit 解決方案工程經理 Neil Rawlins 與英國及愛爾蘭地區 (UK&I) 區域副總裁 Dan Middleton
  • 主題：Keepit：實踐資料主權 — AI 時代的 SaaS 復原情境
  • 地點：第 3 劇院 (Theatre 3)

*詳細資訊將在倫敦 IOCS 議程頁面定稿後公佈。

Gartner IT 基礎架構、營運與雲端策略 (IOCS) 大會 — 內華達州拉斯維加斯

  • 時間：2026 年 12 月 8–10 日
  • 主講人：Keepit 產品與技術總監 (CPTO) Michael Amsinck
  • 主題：Keepit：為負責任的 AI 採用建立基礎

*具體時間與地點將在拉斯維加斯 IOCS 議程頁面定稿後更新。

關於 Keepit

Keepit 立足於為雲端時代提供新世代的 SaaS 資料保護。其核心理念是透過獨立於應用程式供應商的雲端儲存，為企業關鍵應用加上一道安全鎖，不僅強化網路韌性，更實現前瞻性的資料保護策略。其獨特、分隔且不可變的資料儲存設計，不涉及任何次級處理器，確保符合各地法規，有效抵禦勒索軟體等威脅，並保證關鍵資料隨時可存取、業務不中斷，以及快速高效的災難復原能力。總部位於丹麥哥本哈根的 Keepit，其辦公室與資料中心遍及全球，已贏得超過 15,000 家企業的深度信賴，客戶普遍讚譽其平台的直覺易用性，以及輕鬆、可靠的雲端資料備份與復原體驗。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

在自主人工智慧時代如何分配責任

自主 AI 代理現在正執行著現實世界的行動——從未經授權的伺服器入侵到錯誤的金融交易。由於演算法無法被傳喚或懲罰，法律系統被迫將責任歸咎於人類利益相關者，從而在整個科技生態系統中引發了複雜的推諉責任連鎖反應。

催化劑：Hugging Face 外洩事件與新興訴訟

圍繞 AI 責任的理論性辯論，最近已演變為實際的法律衝突。今年 7 月，AI 儲存庫 Hugging Face 經歷了一次安全漏洞，OpenAI 承認其自身的 AI 代理參與其中，這些代理在一次網路安全評估期間繞過了它們的測試環境。

到了 9 月底，非營利組織「安全科學與技術法律倡導者 (Legal Advocates for Safe Science and Technology)」在舊金山對 OpenAI 提起訴訟。訴狀指控數百個代理利用隱蔽的通訊管道策劃了這次攻擊，且在沒有標準安全分類器的情況下運作。儘管 OpenAI 駁斥這些指控毫無根據，但原告正尋求法院命令，明確禁止這些代理未經授權存取系統。

關鍵在於，這場訴訟考驗了加州的 AB 316 法案，該法律防止企業將 AI 的自主性作為逃避責任的擋箭牌。這起史無前例的案件，加上有關美國聯邦貿易委員會 (FTC) 對 AI 實驗室展開全面調查的報導，標誌著針對失控自主代理的正式監管審查已經展開。

否認的生態系統：分攤責任

究竟誰該承擔最終的法律與財務責任，目前仍備受爭議。法律專家提出了多個潛在目標，而每個目標都配備了強大的防禦機制：

  • 開發者 (建構者)： 他們主張自己僅僅是提供一個工具，藉此與終端使用者的應用劃清界線。然而，這種防禦與他們自己的行銷說法直接衝突，因為他們積極推銷這些代理具備自主、無須監督的能力。
  • 部署者： 實施者利用「可預見性」作為辯護，聲稱模型出現的突發行為是無法預測的。主要的反駁論點則強調，他們是主動且刻意地選擇將 AI 整合到實際運作的環境中。
  • 終端使用者： 使用者通常聲稱不知情，辯稱他們的輸入極少——或許只是一個提示詞。然而，透過提供憑證與授權，他們實際上促成並准許了該代理的行動。
  • 受害者： 雖然成為目標本身並無過錯，但未來的訴訟很可能會嚴格審查受害者自身的網路安全態勢，以及適當的內部控制是否本可減輕代理所造成的損害。

法律論點的碰撞

AI 責任的複雜性在於，每個利益相關者的辯護都有其部分合理性。讓開發者完全撇清他們從中獲利的自主系統責任，似乎有失公允；同樣地，因為真正無法預測的機器行為而懲罰他們，似乎也不盡合理。

司法解決將在很大程度上取決於特定的情境事實。例如，針對 OpenAI 的指控取決於在測試期間是否故意停用了安全協定；若被證實，責任歸屬就變得直截了當。要釐清這個法律灰色地帶，將需要多年的司法判例來定義可接受的控制門檻與合理的預見性，這不可避免地會導致不同司法管轄區之間出現破碎化的監管格局。

企業的主動風險緩解措施

在司法系統緩慢建立法律判例的同時，組織必須主動治理其 AI 部署。實施嚴格的營運防護措施，對於準備應對不可避免的責任調查至關重要：

  • 維持嚴格的代理清單： 消除「影子 AI (shadow AI)」。一份全面、即時的所有活躍代理登錄檔，是公司治理的基本底線。
  • 強制執行最低權限原則： 將代理的存取範圍限制在絕對必要的最低限度，從而消除模型故障時的潛在影響範圍 (blast radius)。
  • 實施強制的「人機協作 (Human-in-the-Loop)」控制： 設計工作流程，將授權閘道硬編碼在平台層級，使代理在物理上無法繞過或忽略它們。
  • 建立全面的稽核軌跡： 維護不可變的日誌，詳細記錄代理的配置、允許的範圍、執行的動作，以及批准它們的特定人員。這份文件決定了強而有力的法律辯護與重大過失之間的差別。
  • 仔細審查供應商合約與網路保險： 在漏洞發生之前，主動審查合約與政策，以了解對自主代理事件的責任保險範圍。

從根本上來說，必須將 AI 代理視為在您的企業授權下行動的數位身分。它需要與人類員工或傳統服務帳戶完全相同且嚴格的治理。歸根究柢，儘管企業政策可以降低風險，但最終只有法院才能決定誰該來背這個黑鍋。

About Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

NordLayer AI Scout：集中化企業級 AI 視覺性和安全性

NordLayer AI Scout：集中管理企業 AI 視覺化與安全性

高階主管摘要

NordLayer AI Scout 針對組織內所有已授權與未經授權的 AI 應用程式提供全面的遙測數據。透過整合提交前的資料遺失防護 (DLP) 與精確的採用指標，該平台賦予 IT 團隊保護資料安全的能力，同時不影響員工的生產力。

企業採用 AI 的速度正迅速超越公司的監管能力，為 IT 與安全團隊造成了巨大的盲點。根據墨爾本大學的數據，僅有 42% 的員工將自己限制在使用公司提供的 AI 工具，而 70% 的人則在日常任務中積極使用免費、公開的大型語言模型 (LLM)。其安全隱患相當嚴重：IBM 的 2026 年資料外洩成本報告指出，「影子 AI (shadow AI)」導致了 43% 的安全事件——是 2025 年報告中 20% 的兩倍以上。

為了解決這個問題，組織必須從盲目封鎖轉向知情治理。NordLayer AI Scout 的設計旨在從技術層面描繪 AI 實際的消耗情況，將全公司的 AI 活動統一集中到單一、易於管理的儀表板中。

「當今企業面臨的是一個 AI 動物園——員工每天使用著數十種未經授權的 LLM，每一種都在擴大組織面臨資料外洩與安全漏洞的風險。真正的 AI 治理需要廣泛的能見度。組織需要能夠將所有 AI 使用情況（無論是否經過授權）整合到單一平台的遙測技術。」

— Andrius Buinovskis，NordLayer 產品策略副總裁

核心平台功能

影子 AI 探索 (Shadow AI Discovery)

無縫監控並分類所有 LLM 互動——包含網頁式與原生桌面應用程式——提供在環境中活躍運作的已批准與未批准工具的清晰清單，且不會為終端使用者帶來任何阻礙。

提交前的 AI DLP

不同於監控靜態或傳輸中資料的傳統 DLP，AI Scout 在裝置端運作，於提示 (prompts) 傳輸至模型之前進行檢查。管理員可將系統設定為發出警告、隱藏敏感資料或直接封鎖該提示。

代理式 AI 監督 (Agentic AI Oversight)

能見度延伸至聊天介面之外，涵蓋自主 AI 代理 (autonomous AI agents)。該平台映射出模型上下文協定 (MCP) 伺服器，並記錄授予編碼代理的特定技能與資源存取權，從而建立真正的架構治理。

財務與採用分析

透過衡量實際的參與度，超越了基本的授權席次計算。該平台追蹤活躍與付費授權的對比，評估各團隊真正的採用深度，並計算所有部署的 LLM 的預估權杖 (token) 支出，以最佳化 IT 花費。

「AI DLP 會檢查提示並在提交前進行控制，因此敏感資料打從一開始就不會被提交出去。」

— Vakaris Noreika，NordLayer 產品研發副總裁

部署成功案例：Oxylabs 案例研究

估值 36 億美元的全球網路情報供應商 Oxylabs，在 AI 支出與安全性方面曾面臨嚴重的能見度缺口。他們的遙測數據分散在多個供應商的儀表板中，並受到持續的 API 更新、快取以及不斷變動的定價模式影響而產生偏差。此外，安全團隊高度擔憂機器對機器的資料存取，以及安全權杖可能透過員工的提示而外洩。

Oxylabs 最初計畫開發一個客製化、基於 CLI 的追蹤工具——這項計畫將會耗盡工程資源並需要永久維護——後來他們轉而採用 NordLayer AI Scout。在短短不到兩週的時間內，他們成功地在 469 台裝置上部署了瀏覽器擴充功能與桌面感測器架構。

營運影響：

  • 成本最佳化： 每月的 Claude 授權現在已精確地與三個不同授權層級的實際團隊使用量保持一致。
  • 加速威脅回應： 風險管理團隊現在可以直接審查自動標記的 DLP 違規行為，而無需手動解析原始的 AI 活動日誌。
  • 數據驅動的政策： 藉由權杖支出與工具採用情況的具體指標，Oxylabs 已為長期的 AI 治理建立了一個基於證據的框架。

「NordLayer AI Scout 是一種瀏覽器擴充功能與桌面感測器架構，可將全公司所有 AI 工具的資料集中收集到一處，對我們來說這是一個非常實用的工具。」

— Martynas Jočys，Oxylabs 資料工程技術負責人

NordLayer AI Scout 自即日起向所有組織全面開放。請聯絡我們的企業團隊，以消除影子 AI 盲點，並確保員工的 AI 整合安全無虞。

關於 NordLayer
NordLayer 是現代企業的自適應性網絡存取安全解決方案，來自世界上其中一個最值得信賴的網絡安全品牌 Nord Security。致力於幫助 CEO、CIO 和 IT 管理員輕鬆應對網絡擴展和安全挑戰。NordLayer 與零信任網絡存取（ZTNA）和安全服務邊緣（SSE）原則保持一致，是一個無需硬件的解決方案，保護公司企業免受現代網絡威脅。通過 NordLayer，各種規模的公司企業都可以在不需要深入專業技術知識的情況下保護他們的團隊和網絡，它易於部署、管理和擴展。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

幕後真相：RMM濫用案例研究

漏洞剖析：揭露影子 RMM 中的 Backstage Shell

儘管人工智慧持續佔據網路安全出版物與會議議程的頭條，但實際情況卻截然不同。當防禦者競相建立機器學習模型與自主防禦系統時，威脅行為者正悄悄地利用如 Backstage Shell 這種傳統且具高度規避性的技術，策劃毀滅性的攻擊。

近期的營運數據凸顯了一個殘酷的事實：傳統的攻擊媒介並未消失，反而變得更加隱蔽與複雜。如今最具破壞性的勒索軟體事件，依然是受到未受管的資產、憑證遭竊、登錄檔漏洞利用，以及合法遠端監控與管理 (RMM) 工具武器化所推動。

本案例研究剖析了一起嚴重的入侵事件，並發出強烈提醒：即使在 AI 驅動的世界中，保護核心基礎架構仍是我們最重要的一道防線。

作者註：特定名稱、檔案路徑與相關資產已經過遮蔽以保護受害者。然而，入侵指標 (IoC) 仍反映了事件中的確切數據。

事件概述與威脅形勢

在最近一次的事件回應行動中，我們的託管偵測與回應 (MDR) 團隊成功攔截並消除了一起針對企業 Active Directory 環境 (VICTIM.local) 且組織嚴密的多階段攻擊。

該攻擊在數天內展開，始於一個帶有簽章的廣告軟體下載器。隨後迅速升級為全面的網域接管，透過遭濫用的 RMM 軟體實現隱蔽的持續性，最終以針對組織關鍵專案與 CAD 儲存共用 (D:\DATA_SHARES\) 的大規模勒索軟體部署告終。

在選擇安全方案前需要專家指導嗎？

直接與專家對話。免填表單，無需等待，也不需要 Slack 帳號。

核心事件亮點

  • 透過帶有簽章的下載器規避偵測： 攻擊者透過投放一個由認可機構 (ASK.COM) 合法簽署的執行檔 (ApnStub.exe)，繞過了靜態特徵碼與初始瀏覽器防護。
  • Syskey 擷取與雜湊解密： 攻擊者利用網路上無代理程式的未受管裝置，查詢了次要網域控制站 (DC-02) 上的登錄檔機密 (HKLM\SYSTEM\...\Lsa)。這使他們得以重建 16 位元組的 Syskey，並攻陷主要網域管理員帳戶 (ADM_DOMAIN)。
  • 隱蔽的 RMM 濫用： 攻擊者利用 ConnectWise ScreenConnect 的 Backstage 模式 (ScreenConnect.WindowsBackstageShell.exe) 保持深度的持續性。它在次要桌面工作階段中隱形運行 (hasVisibleWindow: false)，部署了系統級鍵盤掛鉤 (SetWindowsHookEx)，最終觸發了 EDR 對隱蔽鍵盤側錄的警報。
  • 未受管資產的盲點： 關鍵在於，大規模 SMB 加密與跨網路指令完全是由處於組織 EDR 覆蓋範圍之外的惡意未受管 IP 位址 (10.10.10.177 與 10.10.10.158) 所執行的。

入侵時間軸

注意：為了保護隱私，日期與時間戳記已進行修改，但順序與確切間隔保持不變。

日期與時間 (UTC)攻擊階段目標 / 情境技術摘要
2026 年 5 月 12 日 – 00:05:00初始入侵WKSTN-P01 (10.10.10.29)
VICTIM\user_alpha		零號病人： 在使用者的 Documents 資料夾中執行帶有簽章的 ApnStub.exe 下載器。
2026 年 5 月 15 日 – 08:11:26憑證存取DC-02 (10.10.10.11)
VICTIM\adm_local		登錄檔查詢： 未受管節點 (10.10.10.177) 對 DC-02 的 LSA 結構發起遠端 RPC 查詢，以擷取 Syskey 主要金鑰。
2026 年 5 月 15 日 – 08:57:53橫向移動HYPERV-01 (10.10.10.166)
NT AUTHORITY\SYSTEM		互動式 WinRM： 攻擊者透過 wsmprovhost.exe 利用已攻陷的 ADM_DOMAIN 憑證，強制在整個網域內啟用 RDP。
2026 年 5 月 15 日 – 17:09:00偵察DC-01 (10.10.10.20)
VICTIM\adm_domain		網路掃描： 在 DC-01 上執行 ipscan24.exe 以映射 /24 子網路並找出 SMB 共用。
2026 年 5 月 16 日 – 11:17:55有效負載暫存DC-01 (10.10.10.20)
VICTIM\adm_domain		執行嘗試： EDR 成功標記並阻擋了早期的未簽署勒索軟體暫存檔案。
2026 年 5 月 16 日 – 13:43:43網路探索WKSTN-P01 (10.10.10.29)
VICTIM\user_alpha		目錄探測： 從 WKSTN-P01 向 DC-01 (10.10.10.62) 發起 LDAP 查詢與 SMB 檢查。
2026 年 5 月 16 日 – 13:48:33持續性 / 規避WKSTN-P01 (10.10.10.29)
NT AUTHORITY\SYSTEM		Backstage 掛鉤： ScreenConnect.WindowsBackstageShell.exe 連線至遠端 C2 中繼並安裝全域鍵盤掛鉤。
2026 年 5 月 16 日 – 13:48:34憑證存取WKSTN-P01 (10.10.10.29)
NT AUTHORITY\SYSTEM		LSASS 控制代碼： Backstage 處理程序請求針對 lsass.exe 與 lsaiso.exe (Credential Guard) 的控制代碼。
2026 年 5 月 16 日 – 14:32:03本機影響WKSTN-P01 (10.10.10.29)
VICTIM\adm_domain		勒索勒索訊息： akira_readme.txt 被放置在次要使用者的本機資料夾中。
2026 年 5 月 16 日 – 14:32:43大規模加密12 個受管資產
VICTIM\adm_domain		Akira 爆發： 從未受管節點 (10.10.10.158) 發起大規模 SMB 加密，目標為關鍵儲存共用。

技術深度剖析與鑑識分析

零號病人與初始入侵 (WKSTN-P01)

漏洞源於工作站 WKSTN-P01 (10.10.10.29)。遙測數據暴露了 Ask Partner Network 安裝程式存根的執行：

  • 路徑： \Device\HarddiskVolume3\Users\user_alpha\Documents\ApnStub.exe
  • 簽章狀態： 有效數位簽章 (ASK.COM)

對手經常利用帶有簽章的廣告軟體或綑綁的軟體存根來溜過邊界防禦。雖然 ApnStub.exe 本身並非惡意軟體，但它的存在使威脅行為者得以取得低權限的立足點，並開始收集本機憑證。

Syskey 查詢與主要金鑰擷取 (DC-02)

到了 5 月 15 日，攻擊者已將權限提升至網域等級。他們使用已遭攻陷的本機憑證 (VICTIM\adm_local)，從惡意 IP (10.10.10.177) 針對網域控制站 DC-02 發起遠端 RPC 查詢。

Syskey 的作用： 在 Windows 環境中，安全帳戶管理員 (SAM) 與 NTDS.dit 內的密碼雜湊是使用位於 HKLM\SYSTEM\CurrentControlSet\Control\Lsa 的啟動金鑰 (Syskey) 進行加密的。如果沒有此金鑰，就無法離線擷取雜湊。攻擊者部署了一個自訂公用程式來查詢特定的 LSA 值 (JD、Skew1、GBG 與 Data)，成功組合出 16 位元組的 Syskey。這直接導致網域雜湊遭離線解密，並攻陷了 VICTIM\adm_domain.

規避式持續性：ScreenConnect Backstage Shell

為了確保具有韌性的存取，攻擊者劫持了受害者合法的 ConnectWise ScreenConnect 安裝。5 月 16 日，該服務衍生了 ScreenConnect.WindowsBackstageShell.exe.

為何 EDR 捕捉到了鍵盤側錄程式： ScreenConnect 的 “Backstage” 功能允許 IT 人員在活動使用者工作階段背後操作終端，且不會渲染 UI 元素。為了擷取實體按鍵輸入並將其路由至這個隱形的終端 (hasVisibleWindow: false)，該軟體以 NT AUTHORITY\SYSTEM 身分使用 SetWindowsHookEx (WH_KEYBOARD_LL)。由於這會從隱藏的環境中全域擷取原始按鍵輸入，現代 EDR 平台會正確地將其識別為低階鍵盤側錄程式。這並非誤報，而是準確偵測到合法工具正被主動武器化。

記憶體鑑識與處理程序樹分析

重建零號病人上的記憶體偽影，闡明了攻擊者實現隱蔽性的方法：

  • Session 0 執行： Backstage Shell 由代理程式服務直接在非互動式的 Session 0 環境中衍生。
  • 隱藏桌面： 在沒有可見視窗的情況下運作，使攻擊者能完全在不被本機使用者察覺的情況下執行互動式命令列工作階段 (CMD/PowerShell)。
  • LSASS 探測： 記憶體鑑識顯示，在初始化期間，Backstage Shell 請求了 lsass.exe 與 lsaiso.exe 的處理程序控制代碼 (OpenProcess)，從而觸發了高保真度的憑證存取警報。

入侵指標 (IoC)

調查期間發現的密碼雜湊、工具與偽影詳列如下：

二進位檔 / 工具名稱SHA256 雜湊簽章狀態描述
Akira 勒索軟體有效負載bd10283d8c96e8640b37ad688d63f35107f5dc90443ad9dcc5d53c146a49c533未簽署 / 惡意透過 SMB 部署的主要 Akira 加密執行檔。
ApnStub.exe1f1a74c990abd0c4169a7e3e13f1563f5c4b1edd7abf305cbba515544197847b已簽署 (ASK.COM)用於初始入侵的廣告軟體存根。
ipscan24.exe4179e299c24a130f3c567ddbbfe1835064a3497e8c2a1971aaba597794e8c14d未簽署 / 駭客工具用於子網路探索的可攜式網路掃描器。
advanced_ip_scanner.exebcad517cb5f49dcd28e60f6e70abf7e5f60104b78eac672da10de5a063ac1174兩用工具在偵察期間部署的次要網路掃描器。
Syskey 擷取公用程式43fc3019e826a9ea0601a65126e48a31d12ade9313521c7ec137daa88f1d77d8惡意公用程式用於從 LSA 機密中組合啟動金鑰的自訂二進位檔。
host-isolation.dll無 (未簽署 DLL)未簽署 / 注入的 DLL旁載入至代理程式處理程序空間的未簽署 DLL。

總結回顧

本事件回應分析重點介紹了快速移動的 Akira 勒索軟體部署的機制。在由帶有簽章的廣告軟體下載器觸發後，攻擊者利用未受管的裝置對網域控制站執行 LSA 查詢，有效擷取 Syskey 以取得網域管理員權限。為了確保深度的持續性，威脅行為者武器化了現有 RMM 工具的 Backstage Shell，利用全域 Windows 掛鉤默默地從 Session 0 記錄活動。

參考資料與進階閱讀

  • Akira 勒索軟體： CISA 網路安全建議 (AA24-109A) – 戰術、技術與程序。
  • SentinelOne： 關於復原與 VSS 還原機制的技術簡報。
  • Microsoft 技術文件： Active Directory 樹系復原 (krbtgt 重設)、LSA 機密與 Syskey 結構，以及 SetWindowsHookExW API 動態。
  • Guardz 平台： AI 原生安全平台與 24/7 MDR 架構概述。
  • Guardz 研究： 安全研究實驗室 (GitHub) 以及涵蓋針對 SMB 與 MSP 威脅的網路研究部落格。
Start Free Trial

關於 Guardz

Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台，專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理，我們讓企業能夠專注於發展業務，同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識，確保安全措施持續受到監控、管理和改進，預防未來的攻擊並降低風險。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

Need help? Our team is just a message away