情資主導獵捕威脅， 專家服務即刻應變

本文來自 TeamT5 研究團隊近期的網路犯罪情資研究。如欲進一步了解 TeamT5 各種類的威脅情資報告，請與我們聯繫。 攻擊活動概覽 攻擊活動期間： 2026 年 1 月至 2026 年 5 月 攻擊手法： 網路釣魚（Phishing） 受害國家： 台灣 釣魚套件： Darcula 攻擊者研判： 簡體中文使用者 Campaign Snapshot Campaign Timeframe: Jan 2026 to May 2026 Delivery Methods: Phishing Victim Country: Taiwan Phishing Kit: Darcula Actor Assessment: Chinese-speaking Executive Summary In May, we intercepted a phishing campaign harvesting Taiwanese credit card data. The threat actor leveraged a fake Taiwanese e-invoice platform to lure victims into submitting their credit card information through phishing pages. Our technical analysis found that the campaign encrypts victim data using the Rabbit encryption algorithm. The Rabbit encryption algorithm is the same encryption mechanism previously observed in the Darcula phishing kit. Based on this technical overlap, we assess with high confidence that the campaign was conducted using the Darcula phishing kit. We list all the malicious URLs in the IoCs section below. 1. Phishing Emails In this campaign, the actor delivered the phishing emails from a compromised email account belonging to Korea University[1]. In these emails, the actor impersonated the Taiwanese e-commerce platform MOMO and instructed victims to click the malicious links to verify their e-invoice. The actor prepared several malicious URLs that direct victims to the fake e-invoice platform: - https://0023.ehrscripts.com/ - https://av11.pdjekqa.online/ - https://einvoiceg.com/gov/ - https://einvoicegs.com/gov/ 2. Fake Taiwanese E-invoice Platform At the time of our analysis, we were only able to access two URLs https://einvoiceg.com/gov/ and https://einvoicegs.com/gov/ . The two URLs show the page identical to the legitimate e-invoice platform. However, the icon of the page displays the logo of Taiwanese commercial bank CTBC rather than the logo of Ministry of Finance used by the legitimate site. Figure 1: The fake e-invoice platform While the fake e-invoice platform requires a phone number to sign in, we found that any number entered resulted in a successful login. Once logged in, the page requests credit card information so that the e-invoice can be linked with the credit card. This lure is effective because e-invoices in Taiwan are eligible for a government-run lottery, and residents routinely retain their invoices in the hope of winning a prize. Figure 2: The fake platform that requires phone number to sign in Our research shows that the phishing page performs basic validation of the credit card information. Notably, the error messages shown for invalid input are displayed in Simplified Chinese. Figure 3: Simplified Chinese error messages After the credit card information is submitted, the page redirects to a second page requesting two-factor authentication (2FA) information. We assess that this data is likely synchronized to the phishing kit's backend server in near real time. Figure 4: The page requesting 2FA authentication 3. Relations to Darcula Our technical analysis of the phishing kit’s source code reveals that the victim data is encrypted with the Rabbit algorithm. The algorithm has been previously documented in the Darcula analysis.[2] Specifically, we identify a file app/chunk/DgZYu39z.js that contains an encryption and decryption mechanism sharing the same structure as the Darcula phishing kit. Therefore, we assess with high confidence that the campaign was deployed using the Darcula phishing kit. Notably, the actor may have used AI during development, as we identified numerous Simplified Chinese strings along with emoji characters in the source code. Footnotes [1] Korea University https://www.korea.ac.kr/sites/ko/index.do [2] Exposing Darcula: a rare look behind the scenes of a global Phishing-as-a-Service operation https://www.mnemonic.io/resources/blog/exposing-darcula-a-rare-look-behind-the-scenes-of-a-global-phishing-as-a-service-operation

SEMI E187 為半導體設備建立了資安基準，規範設備在進入晶圓廠前應具備的安全能力。然而，對許多設備供應商與晶圓廠而言，最大的挑戰並不是理解標準，而是如何將條文真正落實到日常檢測流程。 如果檢測仍依賴人工確認文件、逐項比對設定，不僅耗時，也難以維持一致性。因此，建立一套可重複執行、可量化的設備安全檢測流程，才是落實 E187 的關鍵。 第一步：建立完整的設備資產盤點 任何安全管理都應從掌握設備開始。首先需盤點設備的作業系統版本、軟體清單、韌體版本及網路服務，確認設備仍在原廠支援期間，並建立完整的資產資訊，作為後續風險評估的基礎。 第二步：檢查設備是否符合 E187 要求 完成資產盤點後，可依照 E187 的核心要求進行檢查，包括： 作業系統是否仍受支援並定期更新 網路通訊是否採用加密機制 是否關閉不必要的 Port 與服務 是否具備漏洞修補與惡意程式防護能力 是否落實帳號、權限及存取控制 是否保留完整的日誌紀錄供稽核使用 這些項目共同構成設備進場前的基本安全能力，也是 E187 驗證的重要依據。 第三步：將人工判斷轉為自動化檢測 實務上，許多風險並無法僅靠文件確認。例如： 作業系統是否已停止支援？ 是否仍使用預設帳號？ HTTP 是否未加密？ 是否開放 VNC（5900）等高風險連接埠？ 通訊是否缺乏加密或身分驗證？ 若完全依賴人工確認，不僅容易遺漏，也難以維持一致性。透過自動化檢測工具，可直接盤點設備設定、比對漏洞資訊，並將原本模糊的風險轉換為可量化的檢測結果，大幅提升效率與準確性。 第四步：建立風險分級與報告機制 設備檢測不應只有「通過」或「未通過」。企業應將弱點依嚴重程度進行分類，統計 Critical、High、Medium、Low 等風險等級，並完整記錄修補狀態、Windows Hotfix、版本資訊及合規缺失，形成可供稽核與決策使用的報告。 第五步：從一次性檢測走向持續管理 E187 的精神並非完成一次驗證，而是建立持續性的設備資安治理。設備在交付、導入、生產與維護過程中，都可能因更新、組態變更或新增漏洞而產生新的風險。因此，企業應建立定期檢查、持續監控與事件應變機制，讓設備安全成為日常管理的一部分，而非驗證前的臨時工作。 從檢測到防護，強化資安韌性 SEMI E187 提供的是設備資安的共同語言，而真正的價值來自將標準轉化為可執行的檢測流程。從資產盤點、組態檢查、漏洞分析到持續監控，企業不僅能提升驗證效率，更能建立可量測、可追蹤、可持續改善的設備安全管理機制。當檢測流程成為日常營運的一部分，SEMI E187 便不再只是合規要求，而是提升半導體供應鏈韌性的重要基礎。 想知道您的設備是否符合 SEMI E187 要求？ 若您正規劃導入 SEMI E187 驗證，或希望快速掌握設備的資安狀態，TeamT5 可協助您建立符合 E187 的設備安全檢測流程。透過自動化資產盤點、漏洞分析、組態檢查及合規報告，協助您降低人工檢查成本，提升設備進場前的檢測效率與一致性。 立即了解 ThreatSonar Plus，體驗如何將 SEMI E187 標準轉化為可持續執行的設備安全管理流程。 附註 本文內容引用SEMI E187 標準文件，僅供教育與說明用途 標準文件之版權屬於SEMI（Semiconductor Equipment and Materials International） SEMI E187 正式要求與解釋應以 SEMI 官方發布版本為準

隨著半導體供應鏈對設備資安要求持續提升，SEMI E187 已逐漸成為設備供應商與晶圓廠共同遵循的重要標準。對設備製造商而言，E187 不只是「通過驗證」，更代表設備在交付前已具備基本的資安能力，降低供應鏈導入風險。 那麼，設備供應商該如何準備 E187 驗證？ SEMI E187 驗證重點是什麼？ SEMI E187 聚焦於設備本體的資安能力，適用於設備上的 Windows 或 Linux 運算裝置，要求供應商提供設備的資安資訊，並讓晶圓廠能夠驗證設備是否符合安全基準。檢查重點涵蓋作業系統、網路安全、端點防護、存取控制及日誌紀錄等項目。 E187 檢查清單 1. 作業系統管理 確認設備使用的作業系統版本仍在原廠支援期間（EOL），並建立完整的 Patch 與 Update 管理流程，避免使用已停止維護的系統。 2. 網路安全設定 檢查設備是否採用加密通訊，並盤點所有啟用的網路服務與 Port。Telnet、FTP 等高風險服務應停用，只保留必要通訊協定，以降低攻擊面。 3. 端點防護 建立漏洞修補機制，確認設備已完成惡意程式掃描，並具備防惡意程式保護能力。同時強化系統設定，例如限制 USB 使用、停用不必要服務及降低本機安裝權限。 4. 帳號與權限管理 停用預設帳號、建立密碼政策，避免共用帳號，並依角色設定不同權限，確保設備存取皆可追蹤。 5. 日誌與稽核能力 設備應完整記錄登入、設定變更、錯誤事件等 Log，作為日後稽核、事件調查與合規證明的重要依據。 不只是文件，更要證明設備安全 許多企業認為只要提供文件即可完成驗證，但實際上，E187 更重視設備是否真正具備可驗證的資安能力。例如設備是否仍有已知漏洞、是否使用預設帳號、是否開放高風險連接埠、是否採用未加密通訊，若僅依賴人工確認，不僅耗時，也容易遺漏風險。 因此，越來越多設備供應商開始導入自動化檢測工具，透過資產盤點、漏洞比對、組態檢查與合規報表，將原本仰賴人工判斷的項目轉換為可量化、可追蹤的檢測流程，提升驗證效率與一致性。 結語 SEMI E187 的目標並非增加企業負擔，而是建立半導體設備共同遵循的資安基準。對設備供應商而言，及早建立標準化檢測流程，不僅能提升驗證效率，也能降低供應鏈風險，強化客戶對設備安全性的信任，為未來持續的設備資安治理奠定基礎。 需要盡快完成 SEMI E187 檢測合規？ 立即聯絡 TeamT5 ，了解 ThreatSonar Plus 如何協助建立自動化設備資安檢測流程。 附註 本文內容引用SEMI E187 標準文件，僅供教育與說明用途 標準文件之版權屬於SEMI（Semiconductor Equipment and Materials International） SEMI E187 正式要求與解釋應以 SEMI 官方發布版本為準