月份: 2026 年 4 月

近期資安圈再度出現一起具高度針對性的攻擊行動。思科（Cisco）旗下威脅情報團隊 Talos 揭露，一個代號為 UAT-10362 的駭客組織，正持續對台灣非政府組織（NGO）與學術機構發動魚叉式釣魚攻擊，並透過一款新型 Lua 架構惡意程式 LucidRook，建立後續滲透與控制能力。從整體攻擊設計來看，這並非隨機散播的惡意活動，而是具備明確目標與策略的長期行動。

這波攻擊最早可追溯至 2025 年 10 月。攻擊者透過疑似已取得授權或遭濫用的郵件基礎設施發送釣魚信，內容設計相當精細，包含短網址與加密壓縮檔，甚至直接在信中提供解壓縮密碼，刻意降低收件者的戒心。一旦使用者點擊並解壓檔案，真正的攻擊才開始展開。

在技術層面，UAT-10362 展現出相當成熟的攻擊鏈設計。無論是偽裝成 PDF 的 LNK 檔，或是冒充防毒工具的 EXE 程式，本質上都圍繞著同一核心技術——DLL Side-loading。攻擊者巧妙利用合法系統工具與正常執行檔作為掩護，載入惡意元件 LucidPawn，再進一步啟動最關鍵的載入器 LucidRook。整個過程中，使用者往往只看到文件被開啟或「掃毒完成」的提示，卻難以察覺系統已被植入後門。

真正值得關注的是 LucidRook 本身的設計思維。它並非傳統單一功能的惡意程式，而是一個高度模組化的「階段式載入平台」。透過內嵌 Lua 5.4.8 解譯器，並結合 Rust 編譯元件，攻擊者可以在受害主機上動態下載、解密並執行後續的 Lua Bytecode。換言之，LucidRook 更像是一個可擴展的攻擊框架，而非固定功能的惡意程式，這也使其在行為上更加隱匿且難以被傳統防毒機制偵測。

此外，該攻擊行動展現出明確的地緣針對性。負責投遞的 LucidPawn 在執行前，會檢查系統語系是否為「zh-TW」，僅在符合台灣使用環境時才會繼續運作。這種地理圍欄（geofencing）機制，一方面確保攻擊精準命中目標，另一方面也有效降低在國際沙箱或資安研究環境中被提前偵測的風險。從攻擊者的角度來看，這代表其已具備成熟的反分析能力與行動紀律。

在基礎設施運用上，UAT-10362 同樣採取低調且分散的策略。Talos 指出，攻擊者濫用 OAST（Out-of-band Application Security Testing）服務，以及已遭入侵的 FTP 伺服器作為指揮控制（C2）節點，刻意隱身於看似正常的網路流量之中。同時，研究人員也發現另一工具 LucidKnight，能透過 Gmail 暫存信箱外傳系統資訊，顯示攻擊者可能先進行目標偵察與篩選，再決定是否進一步部署 LucidRook，形成一套分階段的滲透流程。

從資安專業角度來看，這起事件反映出當前攻擊趨勢的幾個重要轉變。首先，攻擊已從過去的大規模掃描，轉向高精準、低噪音的滲透模式，特別鎖定 NGO 與學術單位，背後可能涉及更複雜的情報蒐集或地緣政治目的。其次，攻擊者大量濫用合法工具與系統元件，使得防禦方難以僅依賴傳統特徵碼或防毒機制進行攔截。最後，模組化與腳本化的惡意程式設計，讓攻擊行為可以隨目標環境即時調整，大幅提升持續潛伏與橫向移動的能力。

對台灣而言，這類針對 NGO 與學界的攻擊，已不只是單純的資安事件，而更可能是長期資訊蒐集與認知作戰的一環。如何從單點防禦提升至整體治理，包括端點行為監控、異常流量偵測，以及人員資安意識的強化，將成為未來防禦此類進階威脅的關鍵。

近期資安情資顯示，與伊朗政府相關的駭客組織，正針對美國關鍵基礎設施中的營運技術（OT）環境發動新一波攻擊行動，鎖定直接暴露於網際網路的可程式邏輯控制器（PLC），顯示攻擊重心已從傳統 IT 系統，進一步深入至實體營運層。

根據美國聯邦調查局（FBI）與多個資安與情報機構聯合警示，這些攻擊已在多個關鍵產業造成實質影響，包括設備功能異常、HMI（人機介面）顯示資料遭竄改，甚至引發營運中斷與財務損失，對基礎設施穩定性構成直接威脅。

攻擊手法解析：從「合法連線」滲透 PLC 控制鏈

此次攻擊最值得關注的，是駭客並非透過傳統漏洞利用，而是濫用工業控制系統（ICS）的合法管理機制，建立「看似正常」的連線通道。

攻擊者利用第三方租用基礎設施，搭配如 Rockwell Automation Studio 5000 Logix Designer 等官方設定工具，模擬合法工程師操作，成功與目標 PLC 建立信任連線，進而進行後續滲透與操控。

受影響設備主要集中於：

• Allen-Bradley 系列 PLC
• CompactLogix
• Micro850

涵蓋場域包括政府設施、水資源處理系統（WWS）以及能源產業。

入侵後行為：控制權建立與視覺層操控

一旦成功取得初始存取權，攻擊者隨即展開後續行動：

• 部署輕量化 SSH 工具（Dropbear），開啟遠端存取（Port 22）
• 建立持續性 C2（指揮控制）通道
• 竊取 PLC 專案檔（Project File）
• 操控 SCADA 與 HMI 顯示數據（製造誤判或混淆）

這類攻擊的關鍵不僅在於「控制設備」，更在於「操控人員判斷」。透過竄改畫面數據，駭客可在不立即觸發警報的情況下，逐步干擾決策流程，屬於典型的 OT 心理層攻擊（Perception Manipulation）。

背後戰略意圖：從破壞走向「混合戰」模式

本次行動被認為與伊朗在地緣政治衝突升溫背景下的網路戰升級有關。資安研究機構指出，伊朗駭客已逐步形成一套成熟的攻擊模式：

• 同步攻擊 IT 與 OT 環境
• 結合 DDoS、資料外洩與破壞性攻擊
• 利用假名駭客組織（如 Homeland Justice、Handala Hack）進行認知戰與輿論操作

更值得注意的是，這些組織並非完全獨立，而是共享基礎設施與攻擊技術的「協同作戰體系」，其背後被認為與伊朗情報機構 MOIS 有高度關聯。

技術演進觀察：國家級攻擊結合犯罪工具鏈

另一項關鍵趨勢，是國家級駭客開始導入商業化或地下市場的攻擊工具（MaaS, Malware-as-a-Service），以提升行動效率並降低可追蹤性。

例如：

• 使用 CastleRAT 作為遠端控制工具
• 透過 PowerShell Loader（reset.ps1）部署新型惡意程式 ChainShell
• 利用 Ethereum 區塊鏈智能合約動態取得 C2 位址（高度隱匿）
• 搭配 Tsundere（Dindoor）殭屍網路模組擴大控制規模

這種「國家級戰略 + 犯罪工具鏈」的混合模式，正快速模糊 APT 與網路犯罪之間的界線，也讓防禦與歸因難度顯著提升。

專家觀點：這不是新威脅，而是「加速中的既有風險」

從過去 Unitronics PLC 攻擊事件，到近期針對美國與以色列的行動，可以清楚觀察到：

OT 攻擊並非新興威脅，而是正在快速規模化與武器化。

對企業而言，真正的風險不在於「是否會被攻擊」，而在於：

• 是否仍將 PLC 暴露於公網
• 是否缺乏 OT 專屬的存取控管與監控機制
• 是否低估 HMI / SCADA 層被操控所帶來的營運風險

防禦建議：回歸 OT 資安基本盤

針對此類攻擊，建議企業優先落實以下幾項關鍵措施：

• 禁止 PLC 直接暴露於網際網路（No Internet Exposure）
• 導入網路分段（IT/OT Segmentation）與零信任架構
• 啟用多重驗證（MFA）與存取白名單機制
• 部署工業防火牆或 Proxy 控制 OT 存取流量
• 定期更新 PLC 韌體與關閉未使用功能
• 監控異常 OT 通訊與行為（特別是 SSH / Port 22）

結語

本次事件再次凸顯，關鍵基礎設施的資安防護，已不再只是 IT 問題，而是攸關國家安全與營運穩定的核心議題。

當攻擊者開始能「合法地」操控工業設備時，真正需要被重新檢視的，是企業對 OT 資安的整體認知與治理成熟度。