網頁設計新知

駭客不一定總是想「打下你的網站」，有時候他們只是想「借用」它。近期一波名為 StopAndProtect 的惡意軟體攻擊行動，就把將近兩千個疏於更新的 WordPress 網站，變成散布病毒、存放贓物與控制受害電腦的免費基礎設施。對企業來說，這代表官網被入侵的損失，早已不只是頁面被竄改而已。

被當成「基礎設施」的兩千個網站

資安業者近期揭露的 StopAndProtect 攻擊行動，規模與手法都相當值得台灣企業警惕。攻擊者並沒有大費周章自建伺服器，而是入侵了將近 2,000 個防護薄弱的 WordPress 網站，把它們改造成整套犯罪流程的支撐節點：有的負責托管惡意程式讓受害者下載，有的作為中繼站接收指令，有的則被拿來存放從受害電腦竊得的檔案、螢幕截圖與行動紀錄。

諷刺的是，這起行動之所以被完整攤在陽光下，是因為攻擊者自己的營運安全出了紕漏，導致大量竊得的資料在網路上直接可存取，研究人員才得以還原整條攻擊鏈。從受害 IP 分布來看，這是一場橫跨多個地區的大規模行動，其中以美國、俄羅斯與印度的受害者最多。

不是單一病毒，而是一整套犯罪工具組

StopAndProtect 的特色在於「模組化分工」。攻擊者手上不是單一支惡意程式，而是一整組彼此配合的元件，依照受害者的價值決定要動用哪幾樣：

攻擊者的工具箱內容

• 加密勒索元件：對特定目標加密檔案並索討贖金，但並非每一台受害電腦都會被部署。
• 資料竊取元件：先蒐集受害電腦的完整檔案清單，再挑選有價值的文件回傳，有些案例甚至只鎖定特定檔名下手。
• 螢幕鎖定元件：製造心理壓力，逼迫受害者依指示操作。
• 蠕蟲與散布工具：以 VBS 腳本等方式在內網橫向擴散，擴大戰果。
• 通訊模組：作為攻擊者與受害者之間的對話管道，讓勒索談判得以進行。

這種「先偵察、再決定要不要下手」的模式，代表攻擊者會依據受害者的產業與資料價值，客製最有利可圖的攻擊方式，對持有客戶名單、設計圖或財務文件的中小企業而言，風險更高。

感染起點：一句「請照著貼上」的社交工程

整條感染鏈的起點，是近年極為猖獗的 ClickFix 社交工程手法。使用者在瀏覽被入侵的網站時，會看到一個看似正常的驗證或錯誤修復畫面，畫面上要求使用者「複製一段指令、貼到系統執行視窗並按下確定」，藉此誘導受害者親手執行 PowerShell 指令。

由於是使用者自己執行的動作，許多端點防護的行為判斷會因此放行，接著攻擊者再透過以 .NET 撰寫的載入工具，把勒索軟體、蠕蟲、竊資程式一併送進系統。這也解釋了為什麼「員工資安意識訓練」在今天依然是投資報酬率最高的防線之一——技術可以擋掉大部分自動化攻擊，但擋不住被說服的人。

任何要求你「複製指令去執行」才能修復問題的網頁，正常網站都不會這麼做。看到這種畫面，正確動作是直接關閉分頁。

共通點：一個五年沒更新的網站

研究人員比對這些被濫用的 WordPress 網站後，發現一個相當清楚的共同特徵：網站維護者長期沒有更新核心版本與外掛。其中一個受害站台甚至仍在執行 2021 年推出的 WordPress 版本，掃描後找出將近 40 個可利用的問題，涵蓋過期憑證、SQL 注入、開放重新導向、身分驗證繞過，以及任意檔案上傳等。

台灣企業常見的三個維護盲點

• 「網站做好就沒事了」：官網外包上線後沒有續約維護，版本停留在建置當年的狀態。
• 「反正沒什麼流量」：自動化掃描不挑對象，低流量網站因為疏於監控，反而更適合當跳板。
• 「有備份就好」：備份若與網站放在同一台主機、又從未演練還原，事故發生時往往一起被加密或覆蓋。

把官網從風險變回資產

網站一旦被拿去當作惡意軟體托管站，最直接的後果是被 Google Safe Browsing 標記，瀏覽器對訪客跳出紅色警告、搜尋排名重挫，過往投入的 SEO 與品牌信任在幾天內折損；若主機商偵測到異常，整個站台還可能被直接停權。對仰賴官網取得詢價的 B2B 企業，這等於業務管道被切斷。

結語

StopAndProtect 的案例提醒我們，攻擊者眼中的價值不只有「你的資料」，還包括「你的網域信譽與主機資源」。一個沒人照顧的網站，最終不只害了自己，也可能成為傷害客戶與訪客的幫兇。

如果貴公司的官網已經好幾年沒有進行版本更新與體檢，建議儘早安排一次完整健檢，或評估改用具備持續維護機制的建置方案，讓網站真正回到「品牌資產」而不是「資安負債」的位置。