事件主旨:
【數聯資安】資安預警通報：ISSDU 分享客戶 IR 發現 IOC 情資
內容說明:
ISSDU 監控中心為客戶提供 IR 服務。ISSDU MDR 團隊於 2026/08/01 偵測到客戶內部主機出現高風險異常行為，包含嘗試進行憑證竊取、系統探索，以及建立未授權加密通道 / C2 連線等異常行為。經 MDR 告警內容與端點行為分析，確認環境內已出現與已知攻擊技術相符之異常活動跡象，具備內部網路遭入侵之高度可能性。
攻擊者首先以客戶內部系統之 API 為目標進行自動化 Web 漏洞掃描與攻擊探測。完成前置探測後，攻擊者將 API 請求觸發，且不留明顯病毒特徵的一句話木馬後門程式以 HTTP POST 投遞至目標端點並長時間潛伏於客戶系統。攻擊者隨後持續利用一句話木馬進行本機環境資訊收集、目錄探索與站台 web.config 讀取。並進一步針對內部主機的 LDAP、SMB 以及 MSSQL 資料庫服務發起連線探測。
完成偵查階段之後，攻擊者利用一句話木馬植入 Tas9er Godzilla 後門程式和通道代理後門程式成功竊取本機帳號的 NTLM Hash 憑證。攻擊者利用竊取的憑證，透過外部攻擊來源主機進行連線登入，將客戶端主機控制並轉為內網跳板主機，並搭配先前佈署的通道代理後門程式建立連線，對內部網路其他目標的橫向移動攻擊。
攻擊者自跳板主機橫向移動至多台內網主機部署 Google 遠端工具與 Tailscale VPN 隧道工具以取得遠端控制權，並透過劫持系統輔助功能程式與修改使用者權限達到提權，同時建立偽裝的排程工作以維持持久性，並搭配額外代理程式支援後續橫向利用。攻擊者透過既有網頁後門與 VPN 通道持續維持命令與控制，在受害主機被成功隔離前發動多次 RemoteRegistry 憑證存取與主機探索活動。
風險等級:
1
建議措施:
1. 確保所有廠商使用的設備安裝最新的安全軟體，包括端點偵測與回應（EDR）或下一代防毒軟體（NGAV）解決方案。
2. 鑑於本次事件係攻擊者利用 API 成功上傳並執行網頁後門，建議立即檢視 IIS 伺服器設定，針對所有「檔案上傳目錄」及「暫存目錄」（如 temporary asp.net files），強制關閉腳本執行權限（Disable Execution Permissions），確保惡意檔案即便被寫入也無法遭伺服器解析執行。
3. 限制 API 僅允許授權的之安全副檔名上傳，並於伺服器端深入檢查 MIME Type 與檔案磁頭特徵碼（Magic Number），嚴防攻擊者將 .aspx、.ashx 或 .dll 等惡意腳本偽裝後傳入系統。
4. 本次資安事件的 IoC 有多個被利用的 Google 、AWS 以及阿里雲等合法雲服務 IP。此類型的 IP 都是共享雲基礎設施，直接封鎖可能導致正常的第三方服務受影響。建議可列入高關注監控名單，留意近期有無來自上述 IP 的可疑連線行為。
5. winpty-agent.exe 為合法終端元件，不建議僅依檔案名稱或雜湊直接封鎖。建議以執行路徑與行為進行偵測，並特別關注暫存目錄或使用者可寫入目錄執行，或是由非預期程序啟動的行為。