內文
韓國 Genians於 9/7 公布8/11至8/19取得的13個惡意LNK樣本。活動以金融與企業文件為誘餌，部分PDF中繼資料留下 opencode 痕跡。Genians據此判斷，攻擊者使用opencode這套AI程式開發Agent製作誘餌文件。
- 01
文件題材誘餌
opencode協助製作金融或企業相關內容
- 02
開啟惡意捷徑
ZIP 內的 LNK 偽裝成一般文件
- 03
系統工具下載
PowerShell 從 GitHub 等服務取得內容
- 04
維持執行
以隱藏排程啟動後續惡意活動
資料來源：Genians Operation GitPower 樣本分析。
阻斷重點： 控制壓縮檔內捷徑的執行，監控「LNK啟動PowerShell、外連下載、新增排程」的行為關聯。誘餌即使語句流暢、版面完整，也應透過可信管道核對檔案來源。
行動建議：從外部邊界查到內部核心
企業的財務、採購與跨境業務常需接收外部文件。除了對外郵件，也要盤點內部轉寄、委外人員、通訊軟體與共用端點，依實際檔案入口規劃防護。
- 01
守住檔案入口
若經郵件投遞，分析附件與連結；其他下載入口另行管控
看看能怎麼應對2項資源
TWISA 會員方案
守住檔案入口
若ZIP或LNK經郵件投遞，可在收件前分析惡意連結與附件；從通訊軟體或網站下載的檔案，須另外管控。
- 02
限制惡意捷徑執行
留意ZIP內偽裝文件的LNK，依業務需要管制執行
- 03
追查端點行為
關聯捷徑啟動、PowerShell外連與新增排程
看看能怎麼應對1項資源
TWISA 會員方案
追查端點行為
在開啟捷徑的Windows端點，檢查可疑程序、PowerShell外連與後續活動，必要時隔離端點。
- 04
隔離並複驗
保全紀錄、清除持續執行機制，驗證規則與端點結果
盤點郵件、通訊軟體、下載入口與可執行捷徑的端點
業務連線依授權放行，各層分別落實防護
- 01
檔案投遞入口
郵件附件、連結及其他下載管道
看看能怎麼應對2項資源
TWISA 會員方案
檔案投遞入口
若ZIP或LNK經郵件投遞，可在收件前分析惡意連結與附件；從通訊軟體或網站下載的檔案，須另外管控。
依入口檢查內容郵件分析僅涵蓋實際通過郵件的檔案，其他入口另設管控
- 02
檔案開啟與執行
ZIP、LNK及Windows系統工具
限制非預期執行依業務情境限制捷徑與腳本，透過可信管道核對檔案來源
- 03
端點程序與排程
PowerShell、子程序與隱藏排程
看看能怎麼應對1項資源
TWISA 會員方案
端點程序與排程
在開啟捷徑的Windows端點，檢查可疑程序、PowerShell外連與後續活動，必要時隔離端點。
辨識執行鏈觀察捷徑啟動後的程序、外連下載與新增排程
- 04
帳號與資料
使用者權限、登入狀態與可存取資料
縮小後續影響降低日常帳號權限，異常時隔離端點並追查資料存取
各層日誌與流量，送往監控與應變流程
- 收集端點紀錄保留檔案來源、程序樹、PowerShell與排程事件
- 串起可疑行為將LNK啟動、外連下載與排程變更一起判讀
- 調查與恢復確認受影響帳號、端點與資料，修正後重新驗證
AI協助製作誘餌；阻斷重點是檔案入口、捷徑執行，以及PowerShell與排程的後續行為。
釣魚檔案：依投遞入口與執行行為選方案
韓語誘餌情境：郵件附件入口
若ZIP或LNK經郵件投遞，可在收件前分析惡意連結與附件；從通訊軟體或網站下載的檔案，須另外管控。
韓語誘餌情境：Windows執行行為
在開啟捷徑的Windows端點，檢查可疑程序、PowerShell外連與後續活動，必要時隔離端點。
歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。
延伸CIX：把本篇風險接上防禦行動
AI加快誘餌製作，防守方更需要及早串起惡意捷徑、PowerShell與異常連線。本篇案例呼應CIX第一場的AI監控、告警分流與回應，適合討論如何縮短發現異常到隔離端點的時間。
建議企業資安、IT維運、開發與AI導入團隊，參加TWISA後續CIX交流會，有機會更進一步瞭解 AI 帶來的資安衝擊、如何安全於企業中使用與管理 AI 與如何將 AI 應用在資安防護上，應對遭駭客濫用的 AI 攻擊風險
AI風險系列延伸閱讀
專欄更新日期：2026/10/24。