新加坡網安局示警：被盜的 WhatsApp 帳號冒熟人傳惡意附件，電腦可能遭遠控，類似檔案再傳給聯絡人；官方點名小心 .exe、.iso、.zip

趨勢新聞2026 年 10 月 29 日

新加坡網路安全局（CSA）10 月 28 日示警：有人盜用 WhatsApp 帳號，以帳號主人的名義傳出可能偽裝成商業文件的惡意檔案。收到的人以為是熟人傳的，在電腦上執行後，依惡意程式種類不同，電腦可能被遠端操控、密碼被偷、網銀操作被監看；通報案例裡，類似檔案接著從受害者帳號傳給他的聯絡人。CSA 提醒特別小心 .exe、.iso、.zip 結尾的檔案。本站的讀法：用 WhatsApp 聯絡東南亞客戶或家人的台灣人與企業，也可能收到這類訊息；「先打電話跟熟人確認」的做法，在 LINE 上一樣適用。

我會不會受影響？

• 熟人突然傳來壓縮檔或程式檔：CSA 建議先打電話問對方是不是真的有傳。馬來西亞國家電腦緊急應變中心（MyCERT）的提醒寫明適用「WhatsApp 或其他通訊軟體」；公告沒有說這波已出現在 LINE。
• 用 Windows 電腦開附件：MyCERT 分析的是 Windows 惡意程式，下列跡象都在 Windows 上；CSA 的通報沒有限定裝置。
• 公司本來就用 ManageEngine 管員工電腦：公告沒說這套軟體有漏洞，是攻擊者把正版程式接到自己的伺服器；MyCERT 建議逐台確認代理程式連到哪裡。

兩國官方各說了什麼

CSA 旗下的 SingCERT 寫「已接獲多起通報」，沒有公布件數、損失金額或攻擊者，因此沒有可換算成新台幣的數字。公告提醒：「避免開啟意料之外的附件，即使來自認識的聯絡人。」（本站譯）

CSA 列的檢查跡象引自 MyCERT 10 月 24 日的警示。那份警示講的是馬來西亞觀察到的一波攻擊，分析了三個版本：附件取名像銀行對帳單，多半包在要密碼的壓縮檔裡；使用者掛載裡面的檔案、再執行其中的程式後，電腦會在背景安裝 Zoho 旗下 ManageEngine 的「端點管理代理程式」。這是企業 IT 部門遠端管理員工電腦的工具，接到攻擊者的伺服器，等於把遙控器交給對方。MyCERT 寫，Kaspersky 提供的清單有 9、10 月用來發動第一步的 151 個不同檔案（以雜湊值計，不是受害人數）。

MyCERT 也寫，這些樣本「未能對所有分析樣本確認具體傳遞管道」（本站譯）。本站的讀法：因此不能把 CSA 的每件通報都認定為 ManageEngine 這套手法。據 CSA 列為參考的《The Star》9 月 29 日報導，有馬來西亞使用者在 Threads 反映收到看似熟人的帳號傳來、偽裝成 PDF 的 ZIP 檔。

打開了怎麼辦、怎麼自己檢查

CSA 建議：電腦先離線、掃毒，通知聯絡人別開你傳的檔；到 WhatsApp「已連結的裝置」登出不認得的電腦，開啟兩步驟驗證，帳號被盜就走官方復原程序；電腦確認安全前，別用它登入 WhatsApp 網頁版或其他重要帳號；網銀有不明交易，立刻通知銀行並報警。MyCERT 補充：受感染者的網銀、電子錢包、支付 App 帳密都應視為外洩，要從另一台確認乾淨的裝置更改；一般的解除安裝「不會移除植入程式加進 Windows 信任存放區的憑證」（本站譯）。企業電腦命中跡象，MyCERT 建議隔離後用乾淨的安裝媒體重灌。台灣的反詐騙諮詢專線是 165。

CSA 引 MyCERT 列的跡象，符合任一項，MyCERT 建議當成整台電腦已遭入侵：

• 系統磁碟有 C:\kouren 或 C:\cool 資料夾。
• 受信任的根憑證裡出現 CN=ManageEngineCA（根憑證是電腦判斷連線可不可信的依據）。
• 對外連到 MyCERT 公告第 4.2 節列出的攻擊者位址 8383 埠（埠是網路連線的門牌號碼）。
• 從沒用過端點管理工具的電腦，卻裝了 ManageEngine UEMS_Agent。
• msiexec 正在安裝 UEMSAgent.msi，參數帶 SERVER_ROOT_CRT= 與 DS_ROOT_CRT=。

本站的讀法：這些是已知樣本的跡象，沒找到不代表沒中其他惡意程式。

技術細節：防毒為什麼可能抓不到

MyCERT 說，取名像 PDF 的檔案其實是 .iso 或 .vhdx 磁碟映像檔，「不是文件」（本站譯），掛載後裡面的程式不帶「從網路下載」的標記，警告較少跳出。程式取得管理員權限後安裝正版 ManageEngine UEMS Agent 6.0.3、植入偽造根憑證，定時向 8383 埠回報。裝上的是廠商簽章的正版軟體，MyCERT 寫只靠特徵比對認不出來，並預期攻擊者還會換伺服器。本站的讀法：伺服器會換，「先打電話問一聲」不會過時。