Microscan、FishHub 與 SoftEther 攻擊鏈：遠端存取管控的警號

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-12

美國司法部與 FBI 於 10 月 8 日公布，已查封 7 個被指與中國永信至誠科技（Integrity Technology Group）控制相關的網域，行動涉及漏洞掃描工具 Microscan 與釣魚工具 FishHub。iThome 報道指出，美方把有關基礎設施與 Flax Typhoon 的活動聯繫起來，並披露台灣天然氣、電力、大專院校等機構曾被鎖定。事件的重點不只在於域名被查封，而是公開材料顯示，攻擊可由外部偵察發展至入侵，再以遙距存取維持控制權。

對大學、公共服務機構、關鍵基建營運者及擁有大量遙距接入安排的企業而言，這類路徑尤其值得留意。不過，公開資料所列的 IP 位址、域名和特定受害個案，屬於已披露調查結果，不能直接推論香港已有相同入侵。SoftEther 亦是可作合法用途的公開 VPN 軟件；風險在於攻擊者一旦取得系統控制權，可能將其用作持續接入渠道，而非軟件本身等同惡意程式。

由掃描到長期接入，三個環節如何相扣

iThome 報道引述美國司法部的說法，Microscan 曾用於掃描美國電力公司、跨國非政府組織、日本及波蘭機場，以及台灣的天然氣、電力業者和兩所大學。掃描本身未必代表已遭入侵，卻可能讓攻擊者建立可利用的服務、版本及暴露面清單。從防禦角度看，機構若只把漏洞管理理解為定期修補，便容易忽略攻擊者可先以低噪音方式確認哪些對外系統值得繼續投入。

FishHub 所處的位置則不同。iThome 指出，該工具被用於魚叉式網絡釣魚後的後續入侵，能下載額外惡意程式、取得遙距存取，或搜尋指定檔案並將資料送往受控 server。這意味電郵防護即使成功攔截大部分釣魚訊息，仍不能取代端點和身分監控：即使只有少量帳戶或裝置繞過防線，攻擊者仍可能藉此擴大權限及搜尋資料。

FBI 向法院提交的宣誓陳述書，為這條鏈補上較具體的時間脈絡。iThome 報道稱，一所位於新竹的大學約在 2023 年 3 月 21 日被 Microscan 掃描，及後遭入侵；另一所位於南投埔里的大學，則約在 2022 年 8 月 7 日遭掃描後被入侵。這些個案不能證明每次掃描都會導致失陷，但顯示資產暴露、修補狀態與異常登入紀錄應放在同一調查時間線，否則團隊很難看見由偵察演變成入侵的訊號。

SoftEther 的角色：合法工具也可成為持續控制渠道

iThome 指出，FBI 調查一台由 Flax Typhoon 購買、IP 位址為 108.61.181[.]104 的 server 後，發現在 2024 年 8 月，新竹個案已出現未授權安裝 SoftEther 的情況；埔里個案其後亦有 SoftEther 經 98aiblog[.]com 子網域連往同一 IP 的跡象。資料顯示，調查人員懷疑攻擊者藉 VPN 維持遙距連線；它並不支持把所有 SoftEther 部署一概視為入侵。

這一點會直接影響 IT 團隊的處置方法。若安全團隊僅按軟件名稱封鎖或移除，可能誤傷獲批准的遙距存取服務，也未必清除原有帳戶、植入程式或其他控制方式。較實際的做法是先建立 VPN、遙距管理及遠端桌面工具的核准清單，為每個實例指定擁有人、用途、安裝位置和變更紀錄；任何無擁有人、未經變更流程出現，或從非預期主機發起的 VPN 服務，都應優先核查。

從攻擊者取捨推論，通用 VPN 工具可把持續存取偽裝在常見的管理流量中，因而增加單靠惡意檔案特徵偵測的難度。防守方應把焦點放回行為：例如新設遠端存取服務、管理員帳戶異常使用、server 對外建立不符合職能的長時間加密連線，以及 VPN 後出現跨網段存取或大量檔案搜尋。這是基於已披露攻擊鏈作出的防禦分析，並非對任何單一連線作出歸因。

香港機構可把 IOC 變成可執行的防禦工作

iThome 報道提及，美國 FBI、CISA、NSA 以及英國、澳洲、加拿大、日本、紐西蘭與西班牙等機構，在查封消息公布同日發布聯合資安公告 AA26-281A，整理相關工具、手法、漏洞及入侵指標。對香港機構而言，最有用的切入點是把公開 IOC 放進既有日誌搜尋、DNS 監察、端點偵測及防火牆查核流程，同時保留「命中不等於歸因」的判斷：舊有流量、測試環境或共享基礎設施均可能需要人工覆核。

在修補層面，負責對外 portal、VPN gateway、電郵、身分驗證和管理介面的團隊，應先核實資產清單是否完整，再按暴露程度和已知弱點安排修補，而非只等待例行維護窗口。大學常見的研究系統、院系自管 server 與第三方平台，企業常見的分公司設備和外包維運入口，往往最容易落在中央 IT 視野以外；這正是掃描工具可利用的管理落差。

在遙距存取管控方面，機構可要求所有管理通道採用多重驗證、最小權限和可審計帳戶，並定期檢視誰仍需要接入權限。對未經授權的 VPN 或可疑持續連線，應先隔離相關主機、保全日誌及檢查帳戶與排程項目，再依事件應變程序復原服務，避免急於刪除軟件而損失調查線索。下一步值得觀察的是，聯合公告所列指標能否協助機構找出被忽略的舊式遙距入口，以及教育和關鍵服務環境會否據此收緊分散管理的 server 與帳戶權限。