前言摘要

你敢相信嗎？那張你最愛的風景照、那隻可愛的貓咪圖，都可能是一枚隱藏的數位炸彈。這不是科幻電影情節，而是駭客組織正在使用的數位隱身術，將惡意程式碼巧妙地藏在圖片檔案中。

這篇文章將揭開這層神秘面紗，深入探討一種名為「隱寫術（Steganography）」的攻擊手法。我們將透過震撼人心的真實案例，如震驚資安界的「Father.jpg」攻擊，剖析駭客如何利用這項古老技術，在數位世界中進行隱形狙擊。

文章內容涵蓋：

1. 技術原理剖析：深入淺出地解釋「隱寫術」與「加密術」的差異，並說明駭客為何選擇圖片作為攻擊載體。
2. 經典案例還原：透過 APT37 駭客組織的攻擊手法，還原從誘餌到惡意程式執行的完整攻擊鏈。
3. 防禦思維革新：探討為何傳統防毒軟體難以偵測，並提出端點偵測及回應（EDR）、人工智慧偵測等新一代解決方案。
4. 實用防護指南：為個人和企業提供具體且可執行的防範措施，幫助您築起堅固的資安防線。

這篇文章旨在提醒每位數位使用者：在這個「眼見不為憑」的時代，資安防護已不再是選擇，而是必須。

第一章：數位世界的鬼故事：圖片藏毒的真相

1.1 「鬼」就藏在圖片裡：你點擊的不是圖片，是陷阱

你是否曾收到過一封充滿誘惑的電子郵件，裡面附上一張看似無害的圖片？或是曾瀏覽某個網站時，圖片自動彈出並聲稱你有「中獎」機會？在我們的日常數位生活中，圖片是不可或缺的資訊載體，但駭客正利用這種無害的表象，將惡意程式碼巧妙地藏匿其中，發動一場難以察覺的「數位隱身術」。

這不僅僅是技術層面的威脅，更是一場心理戰。駭客深知我們對視覺資訊的信任，以及對「看起來無害」事物的麻痺。當你點擊或預覽一張圖片時，你以為只是在欣賞內容，但背後可能已經觸發了惡意程式的執行，將你的電腦或手機變成駭客的傀儡。正如知名資安專家凱文·米特尼克（Kevin Mitnick）曾說：「人是最脆弱的環節。」（People are the weakest link.）這句話精準地描繪了這類攻擊的本質：技術的精巧，加上人性的弱點。

1.2 從古老隱身術到現代資安威脅

「圖片藏毒」的技術核心，源於一種古老的秘密傳輸方法——隱寫術（Steganography）。這個詞彙源自希臘文，意為「隱藏的寫作」。最早可追溯到古希臘時期，人們將秘密訊息刻在木板上，再用蠟覆蓋，使其看起來像是一塊空白的木板。

想像你有一張白紙，你用普通的筆在上面寫了一段文字。但你接著拿出一支隱形墨水筆，在白紙的邊緣寫下另一段秘密訊息。當別人看到這張紙時，只會看到那段普通文字，而不知道隱藏的秘密。隱寫術就是數位世界裡的「隱形墨水」，它將秘密數據嵌入到看似無害的公開媒體（如圖片、音訊、影片）中，其目的是讓秘密訊息的存在本身就不被察覺。

而到了數位時代，隱寫術被駭客賦予了新的生命。他們利用圖片檔案的特性，將惡意程式碼的二進制數據，嵌入到圖片的像素或元數據（metadata）中。這種手法比加密術更為隱蔽，因為它不改變檔案的類型，也不改變檔案的可見內容，使得資安工具難以在第一時間偵測。

1.3 為什麼駭客偏愛圖片作為攻擊載體？

駭客選擇圖片作為隱寫術的載體，絕非偶然。這背後有著多重技術與策略考量：

• 廣泛性與無害性：圖片是網路世界中最常見的檔案格式之一，每天有數十億張圖片在網路上傳輸，從社群媒體、電子郵件到網站內容。這種無所不在的特性，使得惡意圖片很難被區分出來。
• 繞過傳統防禦：傳統的資安防護工具，如病毒碼掃描，主要針對檔案的特徵碼進行比對。然而，隱寫術將惡意程式藏匿在圖片的位元組中，不改變圖片的表面特徵，使得這類掃描工具難以偵測。
• 檔案大小彈性：圖片檔案通常較大，提供了足夠的「空間」來隱藏惡意程式碼。即使在圖片中嵌入數百KB的惡意程式，檔案大小的增加也可能被視為正常的壓縮差異，不易引起懷疑。
• 視覺上的欺騙性：駭客會選擇與正常圖片無異的視覺內容來作為誘餌，例如一張可愛的貓咪圖，或一張精美的風景照。這種視覺上的無害性，大大降低了使用者的警覺心。

第二章：技術剖析：圖片隱寫術的運作原理與進化

2.1 隱寫術與加密術：兩種不同的秘密傳輸哲學

特徵	隱寫術 (Steganography)	加密術 (Cryptography)
目標	隱藏訊息的存在	保護訊息的內容
外觀	看似無害的公開媒介（如圖片、音訊）	經過雜湊或編碼的亂碼（如密碼、密文）
功能	讓第三方不知道有秘密訊息的存在	讓第三方即使看到訊息也無法理解其內容
安全性	依賴於媒介的選擇與嵌入手法	依賴於演算法的複雜性與金鑰的強度

隱寫術是關於看不見的藝術，而加密術則是關於無法理解的科學。駭客們結合了這兩種藝術與科學，創造出最難以防禦的攻擊。

2.2 圖片藏毒的核心技術：像素中的秘密

圖片檔案的構成是由數百萬個微小的像素（pixels）組成，每個像素都有其特定的色彩值。駭客會利用一種名為最低有效位元（Least Significant Bit, LSB）的技術，將惡意程式碼的二進制數據，嵌入到每個像素色彩值的最低位元中。

舉例來說，一個像素的顏色值可能是 (255, 123, 150)，駭客將程式碼的二進制數據嵌入到這些數字的最後一位，例如將 255 變成 254，或將 123 變成 122。這種微小的變化幾乎不會對圖片的視覺效果造成任何影響，人眼完全無法察覺。這使得惡意程式碼在圖片中得到了完美的偽裝。

2.3 從單純載體到通訊通道：隱寫術的進化應用

圖片隱寫術的應用早已超越了單純的惡意程式載體。駭客正將其用於更為複雜和隱蔽的攻擊場景。

2.3.1 跨平台攻擊：不分 Windows、Linux 或 Android

這類攻擊手法已不再是 Windows 系統的專利，駭客已經將其擴展到更廣泛的平台與應用程式中，大大增加了其威脅範圍。

• PyPI 套件攻擊：開發者生態系也成為攻擊目標。資安公司 Check Point 曾揭露，駭客將惡意程式碼藏在 Python 套件儲存庫 PyPI 中的一個圖片檔案裡。這類攻擊針對的是開發者，一旦他們下載並使用這個套件，惡意程式就會在他們的電腦上執行，竊取重要資料。
• Android 惡意木馬：手機用戶也難以倖免。Necro 木馬透過惡意廣告 SDK 感染合法應用程式，也就是說惡意程式不是直接嵌入在應用中，而是透過 SDK 供應鏈攻擊的方式植入。當應用啟動時，木馬會向攻擊者的 C2 伺服器發送信息，並接收一個連結來下載 PNG 圖片，而惡意載荷則透過隱寫術隱藏在這個圖片中。
• Linux 惡意軟體：甚至連被認為相對安全的 Linux 系統也未能倖免。駭客將惡意腳本附加在看起來普通的 JPEG 圖片末尾，利用「多格式檔案 (Polyglot file)」的技術。這種文件既是有效的圖片文件，也包含可執行的惡意代碼。當在特定環境中被處理時，可以提取並執行其中的惡意載荷，感染 Linux 系統。

2.3.2 惡意通訊：勒索軟體與 C2 伺服器的秘密對話

圖片隱寫術不僅僅用於傳輸惡意程式，駭客還將其用於惡意程式與其控制伺服器（C2 伺服器）之間的通訊，這使得偵測變得更難，因為通訊看起來就像是正常的圖片流量。

• 數據竊取：在許多資訊竊取程式的案例中，駭客會利用隱寫術，將從受害者電腦竊取的數據（如密碼、銀行資訊）隱藏在看似普通的圖片中，再傳輸回 C2 伺服器。對傳統防火牆而言，這看起來就像是正常的圖片下載或上傳，很難被偵測到。
• 遠程控制：駭客也可能將惡意程式的控制指令隱藏在圖片中。例如，駭客會將「開啟麥克風」、「執行鍵盤側錄」等指令嵌入圖片，然後將圖片傳送給受害者的電腦。惡意程式會接收這張圖片，從中提取指令並執行。這讓駭客能夠在不發出任何可疑網路流量的情況下，對惡意程式進行遠程控制。

第三章：駭客實戰案例還原：當「Father.jpg」不再是照片

3.1 案例背景：北韓駭客組織 APT37 與 RoKRAT 的組合技

震驚資安界的「Father.jpg」攻擊事件，是由惡名昭彰的北韓駭客組織 APT37 發動。這個組織以其高超的攻擊技術和針對性強的間諜活動而聞名。他們這次運用的主要武器是 RoKRAT，一種功能強大的遠端存取木馬（RAT）。

3.2 攻擊鏈解析：從誘餌到惡意程式執行的完整流程

這波攻擊手法精巧複雜，涵蓋了社交工程、檔案漏洞與惡意程式的組合技。

1. 誘餌 (Social Engineering)：駭客首先會透過電子郵件，誘騙受害者下載一個名為「Father.jpg」的檔案。但這個檔案可能使用了檔案名稱偽裝技術，例如「Father.jpg.lnk」或利用特殊字符隱藏真實副檔名「.LNK」，讓它在某些系統設定下顯示為圖片檔案。
2. 觸發 (LNK file)：當受害者點擊這個 LNK 檔案後，它並不會直接執行惡意程式，而是作為一個「中間人」。
3. 下載 (BAT script + Father.jpg)：這個 LNK 檔案會自動從駭客的遠端伺服器，下載兩個看似無害的檔案：一個是批次處理腳本（.bat），另一個就是真正藏毒的「Father.jpg」圖片。
4. 提取 (BAT script 執行)：批次處理腳本隨後會執行一個命令，將隱藏在「Father.jpg」圖片中的惡意程式碼提取出來。
5. 執行 (RoKRAT)：提取出的惡意程式碼就是 RoKRAT 的最新變種。它會立即在受害者的電腦上運行，竊取敏感數據、監視用戶活動，甚至遠端操控裝置。

3.3 傳統防禦的失效：為何資安防護一開始就輸了？

這起攻擊的成功，在於它巧妙地利用了傳統資安防護的弱點：

• 檔案無害論：在攻擊鏈的前期，每個檔案（LNK、BAT、JPG）在傳統資安工具看來都是無害的。LNK 只是個快捷方式，BAT 只是個腳本，JPG 只是張圖片。沒有一個檔案具備已知的惡意特徵碼。
• 多階段攻擊：攻擊分多個階段進行，惡意程式碼並非一次性傳輸，而是分階段提取並組裝。這使得任何單一環節的資安檢查都可能漏掉。

3.4 台灣案例警訊：企業與個人都難以倖免的風險

在台灣，這類攻擊同樣時有所聞。尤其在針對企業的魚叉式網路釣魚（Spear Phishing）攻擊中，駭客會精心偽裝成商業夥伴或內部員工，發送包含「圖片藏毒」的郵件附件，目標是竊取商業機密或滲透企業內網。

資安業者 Fortinet 在其報告中也指出，這類惡意活動在亞太地區呈現上升趨勢。這證明，這類隱蔽性攻擊不僅是技術展示，更是對現實世界的實質威脅。

第四章：資安防禦思維的又一次革新：從「特徵」到「行為」

4.1 為什麼傳統防毒軟體偵測不到？

傳統的防毒軟體主要依賴「病毒碼」進行偵測，它們儲存了已知惡意程式的數位特徵，並在掃描時進行比對。然而，圖片隱寫術攻擊的特點在於：

• 檔案本身無害：惡意程式碼被隱藏在圖片的數據中，不改變圖片的表面特徵，使得傳統的病毒碼掃描無法辨識。
• 多階段攻擊：攻擊分多個階段進行，惡意程式碼並非一次性傳輸，而是分階段提取並組裝。這使得任何單一環節的資安檢查都可能漏掉。

4.2 端點偵測及回應（EDR）：主動防禦的關鍵

面對這類隱蔽性攻擊，端點偵測及回應 (Endpoint Detection and Response, EDR) 系統成為關鍵。

想像你家門口裝了一個智慧警報系統。傳統防盜系統只會識別「小偷的臉」（特徵碼），而 EDR 系統除了識臉，還會分析「小偷的行為」。它會注意到一個不尋常的人在門口徘徊、試圖撬鎖或試探窗戶。即使這個人沒有「前科」，EDR 系統也會根據其可疑行為立即發出警報，並自動鎖門，甚至通知你和保全公司。EDR 就是電腦世界的智慧警報系統，它即時監控電腦的各種行為，一旦發現可疑行為，無論是否為已知威脅，都會立即採取行動。

換句話說，EDR 不僅僅依賴病毒碼，更能分析程式在系統中的「行為模式」。例如，當它偵測到一個批次處理腳本正在讀取一張圖片並執行，而不是開啟圖片瀏覽器時，就會立即發出警報，甚至直接阻止。這就是從「預防」到「偵測與回應」的思維轉變。這種方法能夠有效應對零日漏洞和隱蔽性攻擊，因為它關注的是「做了什麼」，而非「長什麼樣子」。

4.3 數據分析與 AI 偵測：從巨量數據中尋找異常

資安廠商也正利用大數據分析與人工智慧技術，來應對這種新威脅。這些技術能夠：

• 行為模式分析：透過機器學習，分析大量的檔案行為數據，建立正常的行為基準線。任何偏離此基準線的行為，無論多麼微小，都可能被視為異常並進行偵測。
• 圖片內容分析：AI 模型可以分析圖片的像素、顏色分佈等，找出其中與普通圖片不同的異常模式，從而識別出隱藏的惡意內容。

第五章：全面防護指南：【影響資安】的實踐建議

面對這類隱蔽性攻擊，我們必須從個人習慣到企業策略，建立多層次的防護網。

5.1 個人用戶：四項數位防護實踐

1. 保持警覺，切勿輕信「免費」：對於任何來自不明來源的郵件附件、下載連結，或聲稱「免費觀看」、「中獎」的圖片，都應保持高度懷疑。
2. 啟用預覽功能限制：許多郵件或軟體會在開啟前自動預覽圖片。請確認你的軟體預覽功能不會在背景執行任何腳本，並儘可能使用純文字模式。
3. 選擇具備 EDR 功能的資安軟體：傳統防毒軟體不足以應對這類威脅。建議升級至具備行為偵測功能的資安軟體。
4. 定期備份重要數據：將重要文件備份到外部儲存裝置或雲端，以應對可能發生的勒索或數據竊取攻擊。

5.2 企業組織：建立多層次防禦體系

「攻擊是多層次的，防禦也必須是多層次的。」（Attacks are multi-layered, so should be defenses.）

5.2.1 終端安全：不再只依賴傳統防毒

• 部署 EDR / XDR 終端防護：取代傳統防毒軟體，從行為模式層面偵測並回應可疑活動，即時發現隱蔽性攻擊。
• 強化端點管理：限制員工的軟體安裝權限，並定期掃描與更新所有終端設備。

5.2.2 郵件與網路安全：截斷攻擊的源頭

• 進階郵件安全網關：部署能夠進行深度內容檢查和沙箱分析的郵件安全解決方案，能夠在郵件送達用戶前，辨識出可疑的附件和連結。
• 網路流量分析：監控企業內網的網路流量，利用 AI 分析是否有不尋常的通訊行為，如圖片中隱藏的 C2 通訊。

5.2.3 員工資安意識培訓：人是最終的防線

• 定期社交工程演練：模擬真實的攻擊場景，讓員工學習如何辨識釣魚郵件和惡意附件。
• 制定資安政策：明確規範員工的資安行為準則，並建立內部舉報機制。

第六章：常見問題（FAQ）：解開你的數位焦慮

6.1 只要不點擊，就一定安全嗎？

答：不一定。雖然大部分攻擊需要用戶點擊，但一些高級的攻擊手法，如利用瀏覽器或軟體漏洞，可能在開啟預覽或載入頁面時就自動觸發。因此，即使你沒有點擊，僅僅是瀏覽或預覽都可能存在風險。

6.2 什麼樣的圖片最可能藏毒？

答：從技術層面來說，任何格式的圖片都可能被用於隱寫術。但從駭客的攻擊習慣來看，通常會選擇：

• 常見格式：如 JPEG、PNG、GIF，因為這些格式在網路上傳輸最為頻繁。
• 無害內容：如風景照、可愛的動物圖、辦公文件截圖等，以降低用戶警覺心。
• 來源不明的圖片：來自陌生人、不熟悉的網站或電子郵件附件的圖片，風險最高。

6.3 如果我的電腦已經中毒，該怎麼辦？

答：

1. 立即斷網：拔掉網線或關閉 Wi-Fi，防止惡意程式繼續與外部通訊或散播。
2. 進入安全模式：在安全模式下，只有核心系統程式運行，惡意程式無法啟動。
3. 使用專業資安軟體掃描：使用信譽良好的專業資安軟體進行全面掃描，並清除所有發現的威脅。
4. 備份與重灌：如果無法清除，最好的方法是備份重要資料後，重灌作業系統。

6.4 企業如何知道員工是否因個人行為導致中毒？

答：企業可部署 EDR 系統來即時監控所有端點設備的行為。當員工的電腦出現異常行為，如不明程式讀取圖片並執行、異常的網路通訊等，EDR 系統會立即發出警報，讓資安團隊能夠在第一時間進行處理，防止威脅擴散到整個企業網路。

結語：在「眼見不為憑」的時代，重新定義安全

「Father.jpg」攻擊事件如同一記警鐘，提醒我們在數位世界中，「眼見不再為憑」。這場攻擊的真正啟示在於，資安防禦已不再是簡單的安裝防毒軟體，而是需要全面提升資安意識，並採用更先進的技術解決方案。我們必須告別單純依賴病毒碼的防禦思維，轉向以行為偵測為核心的主動防禦。

保護您的數位生活，從現在開始！讓【影響資安】成為您數位安全的堅實後盾，助您「精準防禦，影響深遠」。立即與我們聯繫，了解如何為您的裝置與企業構築最堅固的防線，徹底擺脫「免費」背後的資安夢魘！