← 返回事件分析列表重要前提：以下「成功存取」數字主要來自操作者自己平台的紀錄。VULONE 只對最強的案例以資料外洩日誌與監聽擷取交叉驗證，並明言受害方逐一確認屬於受害單位通知與執法單位的工作。本整理不把平台紀錄當成受害方已證實的結果。
歸因前提：作者評估為「中國關聯、中文使用者、財務動機」，未在所檢視的證據中發現國家資助證據。不要將 China-linked 直接等同於國家級 APT。
1. 事件摘要
- 單一操作者（或極小組）自一台新加坡伺服器運行自主利用平台 Cairn，對具名組織發起 66 個專案（2026-09-24 至 2026-10-14）。
- 48 個至少達到 session 層級存取：root／SYSTEM 6 個、非 root 命令執行 39 個、webshell 階段 3 個；10 個耗盡嘗試未取得存取、1 個失去先前存取、7 個建立但從未啟動。專案 ID 到 120，其中 54 個 ID 不存在，可能為已刪除或重新編號、目標不明。
- 平台共運行 116 個不重複的 worker 容器；調度日誌 2026-09-24 至 10-06 共 229,828 筆事件（約每 4.5 秒一次，持續 12 天）；單一 LLM 閘道 key 處理約 367.7 億 tokens（36,771,234,882）。
- 操作者因將主機
/tmp 以無驗證 HTTP 公開（port 9000）長達約 16 天而曝光。VULONE 保存並雜湊驗證共 16.4 GB 證據。
2. 時間線
| 日期（2026 年） | 事件 | 備註 |
|---|
| 09-24 | 行動開始；調度日誌開始 | 第一批為東南亞政府目標（越南、印尼）。專案運行期間為 09-24 至 10-14 |
| 09-25 | 臺灣政府批次 | 立法院、法務部相關系統、調查局相關（經第三方廠商應用） |
| 09-26 – 09-30 | 金融科技、航空、雲端批次 | Every8D、Air India、Juspay、Fluidstack 等 |
| 09-29 22:13 UTC | 啟動 python3 -m http.server 9000 --directory /tmp | 無驗證、無 IP 限制、無速率限制，整個 /tmp 對外公開 |
| 09-29 – 10-15 | /tmp 曝光窗口 | 753,000+ 次請求、19,307 個不重複 IP；採集期間至少另一方下載相同資料庫檔案 |
| 10-01 – 10-10 | 越南第二輪 + 電商掃蕩 | 含 nso.gov.vn、moha.gov.vn 及約 25 個電商網站 |
| 10-03 – 10-05 | 自簽 TLS 憑證有效期 | 僅 3 天，CN 為 C2 IP 本身 |
| 10-05 | 肯亞行動連線存取曝光目錄 | 抓取 chat.sh、chat_setup.sh、watchdog 腳本與原始 LLM 串流傾印 |
| 10-06 | 調度日誌紀錄期間結束 | 09-24 至 10-06 共 229,828 筆調度事件 |
| 10-14 | 最後一個專案建立 | 目標印度 CDAC（cdac.in），最終以預設帳密成功 |
| 10-15 | 曝光窗口結束 | 服務至少持續至此日 |
| 10-18／10-19／10-20 | 報導頁面日期／正式發布／更新 | 作者：VULONE Research Team；10-19 23:14 UTC 發布、10-20 10:49 UTC 更新 |
補充：主機為 Ubuntu VM（VM-Z4bLOIWlNO，kernel 6.8.0），VULONE 接觸時已開機 21 天；主機本身同時遭到無關第三方的 SSH 暴力破解（單一來源 15,851 次失敗密碼嘗試）。
3. IoC（入侵指標）
3.1 C2／中繼基礎設施（主要 IoC）
| 項目 | 值 |
|---|
| 主 C2 IP | 202.61.139.15 |
| 次 C2 IP | 202.61.139.137（同一主機第二位址，亦作測試來源位址與外洩端點） |
| ASN／機房 | AS152194, CTG Server Ltd, Singapore |
| 角色 | 命令與控制、工具暫存、資料外洩接收 |
| 曝光服務 | 兩 IP 皆以 port 9000 提供相同 /tmp 目錄，banner SimpleHTTP/0.6 Python/3.12.3 |
3.2 連接埠
| 類別 | 連接埠 |
|---|
| C2 主機開放／服務 | 22, 443, 8000, 8443, 4443, 9000 |
| 資料外洩接收（.15） | 8899, 8997, 9099, 9201, 9955（PUT /ev/…） |
| 資料外洩接收（.137） | 8896 |
| 監聽器觀察到的連接埠（全集） | 4445, 4446, 8896, 8899, 8997, 9099, 9201, 9955 |
3.3 TLS 憑證（自簽，連結兩 IP 的關鍵識別）
| 欄位 | 值 |
|---|
| CN | 202.61.139.15 |
| 有效期 | 2026-10-03 至 2026-10-05（僅 3–5 天窗口內出現） |
| 序號 | 0CE6C93BC4B91DE00956D73B1D3DF1211B2409D3 |
| SHA256 指紋 | 93:17:8D:D2:F9:25:16:EB:D5:24:81:DE:C2:EE:54:68:BF:5E:97:86:83:9E:67:19:CA:E0:69:EC:D8:C5:41:FF |
| 出現位置 | .15 的 443／8443／4443 與 .137 的 443 之自訂 TLS 監聽器 |
3.4 操作者 SSH 公鑰
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIKo+sIL3HUlVhjn6PDSGak+C/hEMAx+xL63z8ZhE9tHa
Key comment：us@us-VMware-Virtual-Platform
3.5 操作者側來源 IP（主機日誌觀察，非 C2 本身、勿直接當封鎖清單全集使用）
| IP | 說明 |
|---|
20.78.168.45 | Azure，儀表板存取 |
20.214.237.197 | Azure |
139.180.159.213 | Vultr Singapore |
102.0.27.92 | Airtel Kenya，行動連線（10-05） |
42.78.192.163 | Chunghwa Telecom（中華電信），行動連線 |
8.212.152.211 | Alibaba Cloud Singapore |
43.106.27.167 | Tencent Cloud |
111.223.247.165 | Tencent Cloud |
139.59.247.215 | DigitalOcean Bengaluru |
85.211.254.149 | 原文未註明歸屬 |
138.199.21.243 | 原文未註明歸屬 |
說明：操作者實際位置不明。上述位址僅顯示其工作階段來源，含雲端、住宅與行動連線，不能單獨用來判定所在地。
3.6 行為與 HTTP 特徵（狩獵用）
- 資料外洩：HTTP
PUT /ev/… 送往上述監聽連接埠 - 工具暫存：自 port 9000 以 GET 下載工具／腳本
- User-Agent／用戶端字串：
pi (win32 10.0.19045, x64)、pi (linux 7.0.0-28-generic, x64)、ccswitch、Cairn/1.0 - 監聽器：操作者自訂 Python TLS 監聽器（port 443／8443／4443），用途為 SNI 與 payload 紀錄
- C2 位址被寫死（hardcoded）在其工具中：凡被其工具接觸的系統，都留有指向 C2 的位址
3.7 模型識別字串（供應商流量中出現）
global:deepseek-v4.1-flashcline-pass/deepseek-v4.1-flashdeepseek/deepseek-v4.1-flash
3.8 在 C2／曝光目錄觀察到的檔案名
i051_shock_rce.py、MssqlProbe.java、sakip_i061.tgz、cred_scan.py、config_cred_scan.py、cairn_guard.sh、cairn_disk_guard.sh、chat.sh、chat_setup.sh
3.9 狩獵建議（本整理之建議，非原文結論）
- 在 proxy／WAF／主機日誌中搜尋對
202.61.139.15、202.61.139.137 的連線，特別是 port 9000 的 GET 與任意埠的 PUT /ev/。 - 搜尋 UA／用戶端字串
Cairn/1.0、ccswitch 與上述 pi (...) 型式。 - 注意：操作者規定所有送往受害端的 payload、檔案名與註解必須為純英文 ASCII（見第 4 節），因此在受害主機上缺乏中文痕跡不能排除本操作者，反之中文痕跡也可能是刻意製造。
4. 使用工具與平台架構
4.1 核心平台
| 元件 | 說明 |
|---|
| Cairn | 開源自主利用框架：操作者定義目標與目的，框架驅動 LLM 代理在各自容器中嘗試達成。VULONE 特別聲明：使用 Cairn 不代表其維護者與操作者有關 |
| Worker 容器 | 以 Kali 為基礎、host networking、每專案派發、用後即棄；全期共 116 個不重複容器，數十個可同時運行 |
| Dispatcher | 單一調度器驅動全部 worker；狀態集中在一顆 SQLite 資料庫（平台的「brain」）；任務圖、上下文與工作紀錄存於 /data/cairn-chat（11,180 筆 AI 工作階段日誌、42 個專案） |
| LLM 閘道 | Worker 經本機閘道連往單一模型 global:deepseek-v4.1-flash（DeepSeek v4.1 flash 級）；另有至少兩家其他 LLM 服務憑證作備援 |
| Watchdog | 兩個 cron 腳本：cairn_guard.sh（dispatcher 記憶體接近上限時重啟；註解記錄曾膨脹至 12 GB、在 16 GB 主機上 OOM）、cairn_disk_guard.sh（每 15 分鐘清理 worker 暫存；註解為簡體中文，保留目錄標為「攻击证据」） |
| 自訂 TLS 監聽器 | Python 撰寫，運行於 443／8443／4443，作 SNI 與 payload 紀錄、接收反連 |
| （意外）檔案服務 | python3 -m http.server 9000 --directory /tmp，即曝光來源，本身並非攻擊工具 |
4.2 帳號與算力來源（作者稱為本案最具識別性的部分）
- 6 個訂閱帳號：2026 年 9 月底數日內批次註冊的月費 LLM 服務方案，至少一個在採集時已欠費（餘額 −$147.48）。
- CodeBuddy 帳號農場：排程每日以 16 個 Gmail 身分的 CodeBuddy 帳號簽到，每身分約 30 credits／日，合計約 480 credits／日免費算力餵入利用管線。
- 帳號池軟體：第三方開源的 CodeBuddy 帳號代理／輪替軟體，操作者改用而非自寫。
- 作者評估：這批帳號背後的帳單與註冊紀錄，是本案最有希望的識別途徑，已移交相關管道以法律程序處理。
4.3 曝光目錄中的工具（節選）
| 檔案 | 用途 |
|---|
i051_shock_rce.py | Shellshock over SMTP 利用套件 |
MssqlProbe.java | MSSQL 探測 |
cred_scan.py、config_cred_scan.py | 在受害檔案系統中搜尋祕密／憑證的腳本 |
sakip_i061.tgz | 個別專案的利用包 |
cairn_guard.sh、cairn_disk_guard.sh | 平台維運 watchdog（見 4.1） |
另有：主機偵察腳本、憑證擷取腳本、每專案的探測腳本，以及寫死外洩端點的工具組。
4.4 操作者如何指揮 AI（自平台紀錄還原）
- 完成標準：「目标必须获取 webshell 或系统命令执行 (RCE)，仅获取后台/应用权限不算完成」——只拿到後台／應用權限不算成功，必須 webshell 或系統命令執行。
- 手法指示：例如把可用 shell 改為 POST-only 命令提交，使命令走請求內文而非 URL，較不易出現在受害方存取日誌；成功後指示清理證據目錄、使用無害檔案名。
- 「最高红线」：所有送往目標的內容（URL、標頭、cookie、GET／POST 內文、SQL 與命令 payload）以及寫入受害系統的一切檔案（含腳本、webshell、暫存檔、檔案名、程式註解），必須純英文／ASCII，禁止中文。Worker 會自我檢查 payload 是否符合。這使受害端的語言線索可被製造，防守方應審慎看待語言歸因。
- 定位：人設定目標與限制、代理負責大部分枚舉／利用／後滲透蒐集。對防守方的含義是：對單一目標的嘗試量與持續性反映的是機器的耐心，不是人的執著。
5. 漏洞與利用手法
5.1 總覽（手法性格）
作者對操作者技術的評價：能組裝出可運作的多代理利用平台，但手法淺——公開利用程式、預設憑證、版本比對為主，沒有原創研究。對防禦良好的目標，則退回憑證路線（如 Huffy 案以管理員 API 權限即完成淪陷，無需 shell）。已具名 CVE 只有兩個，其餘多為設定錯誤、未授權功能與已知弱點類型，原文未給 CVE 編號者本整理不自行補編號。
5.2 已具名 CVE
| CVE | 漏洞 | 用於 |
|---|
| CVE-2014-6271 | Shellshock（Bash 環境變數注入） | Every8D（teamplus.com.tw）：經 SMTP 觸發——郵件過濾檢查 MAIL FROM 與內文，但未檢查 RCPT TO 信封行，payload 經 qmail 傳入 bash，以 uid=510(vpopmail) 在 RHEL5 年代郵件閘道執行，後續全主機偵察、Apache 設定竊取、內部 MSSQL 憑證取得，共 118 次事件外洩至 C2 |
| CVE-2010-1871 | JBoss Seam EL 注入 | 越南 dongnai.gov.vn：2010 年漏洞至 2026 年仍可利用 |
5.3 政府目標（依原文紀錄）
| 目標 | 利用手法 | 結果 |
|---|
| 越南 mod.gov.vn（國防部子網域） | Kubernetes 未授權 RBAC 繞過 + 任意檔案寫入 | Pod 內 root |
| 越南 mps.gov.vn（公安部） | Oracle 資料庫 PL/SQL 注入 | 資料庫主機命令執行 |
| 越南 bocongan.gov.vn | 匿名 FTP 寫入 + MSSQL xp_cmdshell | Webshell 與命令執行 |
| 越南 nso.gov.vn（統計總局） | ViewState 反序列化 | POST webshell |
| 越南 moha.gov.vn（內務部） | 工作流引擎（workflow-engine）利用鏈 | Root |
| 越南 dongnai.gov.vn | JBoss Seam EL 注入（CVE-2010-1871） | 命令執行 |
| 越南 hatinh.gov.vn | Directus schema SQL 注入 | 進至 OS 執行 |
| 越南 icomm.vn | SSRF 代理 | 觸及內部 NiFi |
| 臺灣 ly.gov.tw（立法院法學系統） | CGI 命令注入 | 以 uid=2(daemon) 執行 |
| 臺灣 moj.gov.tw（法務部所屬） | 未授權檔案管理器上傳 | Webshell |
| 臺灣 mjib.gov.tw（調查局相關） | 第三方廠商應用程式，運行於過時 CentOS | 取得存取（原文未詳列向量） |
| 印尼 bin.go.id（國家情報局） | SSRF 利用鏈 | 命令執行，並存取一個政府帳號信箱 |
| 印度 cdac.in（先進運算發展中心） | WSO2 API Manager 主控台預設憑證 admin/admin | 成功存取（最後一個專案，10-14 建立） |
5.4 民間目標（節選具代表性者）
| 目標 | 利用手法 | 結果／備註 |
|---|
| Every8D／teamplus.com.tw（臺灣） | Shellshock over SMTP（CVE-2014-6271，見 5.2） | 本批最完整淪陷 |
| China Airlines／china-airlines.com | 廠商 JSP shell（uid=1007） | 曾持有後失去，頁面已失效；紀錄顯示曾嘗試觸及貨運相關系統 |
| Air India／iCargo | 未授權 Java 反序列化 | Webshell 與命令執行 |
| Huffy／Buzz／Batch Bicycles（Adobe Commerce／Magento 共用實例） | 以憑證取得 REST API 管理員權限（CMS 讀寫、後台設定、客戶資料） | 全品牌、全主機（prod + staging）淪陷；所有 shell 嘗試皆失敗但無必要。作者未公開入侵向量，已直接交付受影響組織 |
| juspay.in | Euler 商戶 session 進至命令執行 | 原文未詳列初始向量 |
| mysmartmove.com | 管理員 JWT + 支付自動化 API 的任意執行端點 | 命令執行 |
| paymore.com | 加盟端至超級管理員權限繞過（Windows） | POS session 資料、Shopify token |
| dosfarma.com | Magento「StyleSmuggler」鏈：檔案讀取進至 root | Root |
| totalav.com | 經 Monolog 的自製 PHP 物件注入鏈 | 命令執行 |
| johnnywas.com | ASP.NET webshell | 取得 machine keys 與資料庫憑證 |
| postable.com | Lambda 卡片渲染器的 V8 問題 | 取得存取 |
| hertz.com | WebFOCUS 伺服器命令執行（uid=1100） | 命令執行 |
| trymiamimd.com | 經支援型 SaaS | Root |
| everymarket.com | Ruby 工作佇列 eval 注入 | Root |
| 其他 | pcprotect.com、fortunecoins.com、theograce.com、paulandshark.com、stellarinfo.com、harddiskdirect.com、budypay.com、livegoodinc.com、bokla.me、fluidstack.io、ntc.net.np、highspeed.com.tr、highspeed-sy.com、nextgennp.co、otazujewelry.com、rogarii.com 等 | 原文列為已達存取，未逐一詳列向量 |
| FlyerTalk／Internet Brands／WebMD（已刪除專案） | 外洩的管理員憑證、繞過 Cloudflare 的內部 SSRF 通道觸及 vBulletin 源站 | 未取得 shell |
其他蒐集結果：跨已確認入侵，操作者的蒐集腳本主要收割內部主機枚舉、明文資料庫憑證、管理 API token、郵件系統設定與可及的原始碼；一份被竊的管理 token 在 VULONE 採集時仍有效；另有一例以 cron 在受害 Redis pod 建立 root 反連 shell 並被 C2 監聽器接收。原文稱在其檢視的證據中未見大量支付卡竊取或破壞行為——此為對該證據集的陳述，非對操作者全部行為的保證。
6. 歸因與相鄰案件區分
- 單一操作者／極小組（對 C2 基礎設施歸屬）：高信心。
- 身分：中國關聯、中文使用者、財務動機；工作語言、工具生態與部分金流層（騰訊營運的 LLM 服務、被農場的免費 credits）指向中國。實際位置不明。
- 國家資助：在所檢視證物中未觀察到——無任務指派、無與已知國家工具共用基礎設施、誘因皆為財務。但政府目標清單本身具國安敏感性，作者提醒不能排除國家行為者對此類存取的興趣。
- 與「SOUL」活動的區分（Gambit Security 2026 年 9 月底發布）：共用 Cairn 引擎與 DeepSeek v4.1 flash 級模型（工具生態重疊：高信心）；但無共用基礎設施／受害者／資料（同活動：不支持）；同操作者：可能但未證實——SOUL 的標誌性證物（Hermes／Strix 框架、persona 設定、skimming 程式、破壞行為）在本案 16 GB 證據中皆缺席。狩獵時不要將兩案合併。
7. 證據保全（原文作法，供評估可信度）
/data/cairn-chat 1.98 GB（74,756 檔案）、主機檔案系統選區 265 MB（12,605 檔案）、容器證據 14.16 GB 壓縮（1,535,238 檔案，含自 Docker overlay 還原的已刪除任務證據約 127 萬檔案、解壓 44 GB）。- 全部封存經 gzip 完整性驗證、SHA256 雜湊與時間戳；互動前先保留主機日誌的修改前副本，無可避免的互動皆有紀錄；以可能需在法庭站得住腳的標準處理。
- 託管主機存取方式原文不公開，僅稱在授權下進行。
8. 一句話防守結論
本案打進去的多半不是新零日，而是 Shellshock、2010 年的 JBoss 漏洞、預設帳密、未授權上傳與 SSRF 這類基本問題；AI 的改變在於把枚舉、利用與後滲透的規模與耐心放大。優先檢查：對外管理主控台與預設憑證、老舊元件（JBoss／CentOS／RHEL 年代系統）、檔案上傳與 CGI 端點、SSRF 出口，以及是否有主機曾連往第 3 節的 C2 位址。
← 返回事件分析列表