網絡安全 · 2026年10月19日 · ComputerKing 團隊

《ComputerKing 電腦急救室》：WhatsApp 收到「財務文件」ZIP 唔好亂開！撳一下可能成部機俾人攞晒

WhatsApp 傳嚟一個扮財務文件嘅 ZIP，入面藏住一個叫 Statement.exe 嘅程式。開咗佢，攻擊者可以攞到你部電腦嘅 SYSTEM 權限。預期之外嘅檔案要用另一渠道核實先好開——千祈唔好運行一個以「文件」身份嚟嘅 .exe。

重點摘要

• 2026 年 10 月中，保安研究機構 Morphisec 公布咗一個經 WhatsApp 傳播嘅惡意程式攻擊：一個扮成財務文件嘅 ZIP 檔案，入面藏住一個叫 `Statement.exe` 嘅執行檔，開咗就會啟動一連串入侵步驟。
• 攻擊鏈會先嘗試取得較高權限，然後將惡意程式碼注入 Windows「工作排程器」（Task Scheduler）服務。因為工作排程器本身係以 LocalSystem 身份運行，之後嘅步驟就會繼承 SYSTEM 級權限——即係本機最高權限，唔使再搵另一個提權漏洞。
• 最終載荷叫 VulcanRAT207.A，係一個遙距木馬：可以收集系統資料、執行指令、管理檔案、截圖、記錄鍵盤、開改本機帳戶，仲可以再落更多惡意程式。佢會用排程任務做持久化，重開機都會返嚟；仲會用已簽署驅動程式嘗試終止保安軟件。
• 香港中小企要特別小心：同事日日經 WhatsApp 收發票據、結單、稅務文件，收到財務文件 ZIP 係完全正常嘅日常流程——呢個攻擊就係匿藏喺日常流程入面。熟人傳嚟都唔等於安全，開之前要用另一渠道核實。
• 如果已經開咗：即刻斷網、唔好喺嗰部機登入銀行或電郵、唔好即刻插 USB 備份，盡快搵專業人士清理。一般防毒掃描未必清得乾淨 SYSTEM 級感染，有時乾淨重裝系統先係唯一穩陣嘅做法。

節目逐字稿

開場

阿 May： 大家好，歡迎收聽《ComputerKing 電腦急救室》，我係主持人阿 May！今日呢集係一個警告——而個警告，係由香港辦公室日日都做緊嘅一樣嘢開始：喺 WhatsApp 收文件。今日同我哋一齊嘅，依然係我哋嘅師傅。師傅，今次又咩事？

師傅： 阿 May 你好，各位聽眾大家好。2026 年 10 月中，保安研究機構 Morphisec 公布咗一個經 WhatsApp 傳播嘅惡意程式攻擊，多間保安媒體都有報道。個餌係一個扮成財務文件嘅 ZIP 檔案，入面藏住一個叫 `Statement.exe` 嘅執行檔。有人一開，一連串隱藏步驟就開始。

阿 May： ZIP 檔案扮財務文件——呢啲咪就係會計同事唔諗就會開嗰種嘢？

師傅： 正正就係因為咁，先至咁work。

第一節：個 ZIP 入面係咩

阿 May： 咁開咗之後，實際上會發生咩事？

師傅： 個 ZIP 用財務文件做藉口——結單、發票、錢銀相關嘅檔案，都係大家預期會收到嘅嘢。入面嘅 `Statement.exe` 係一個扮成文件嘅執行檔，一運行就會開始探查部機，並且嘗試取得較高權限，包括用 COM 自動提權技術，後備方案就係用 `ShellExecuteW` 嘅 `runas` 動詞。

阿 May： 等等——即係話佢可以直接繞過 Windows 嘅 UAC？

師傅： 小心啲，唔好咁理解。呢啲手法係咪成功，取決於 UAC 設定同埋個檔案喺咩環境下運行，唔好解讀成「全面繞過 UAC」。重點係，如果佢真係攞到較高權限，之後會發生咩事。

第二節：點樣攞到 SYSTEM——工作排程器嗰一步

阿 May： 攞到較高權限之後呢？

師傅： 攞到之後，佢會啟用 `SeDebugPrivilege`，然後用一種叫 PoolParty Variant 7 嘅技術，將惡意程式碼注入 Windows「工作排程器」服務——呢種技術係濫用 Windows 線程池機制，而唔係用大家比較熟嘅 `CreateRemoteThread`。關鍵喺呢度：工作排程器本身係以 LocalSystem 身份運行，所以注入咗嘅程式碼會繼承 SYSTEM 權限。

阿 May： SYSTEM——即係最高級別，係咪？

師傅： 係。LocalSystem 係 Windows 入面最高權限嘅內置身份之一。用 SYSTEM 身份運行嘅程式，可以存取敏感系統資源、操控服務、修改受保護檔案，仲可以做其他管理員級操作。而且之後嘅步驟會繼承呢個身份，唔使再重複提權嗰一步——道門已經開咗。

阿 May： 而用工作排程器——一個正常 Windows 組件——就係令佢咁難發現嘅原因？

師傅： 冇錯。惡意程式碼係喺一個合法 Windows 服務入面運行，睇落唔似一個可疑嘅新程式，而似係 Windows 自己喺度做緊嘢。

第三節：攻擊者攞到啲咩——VulcanRAT207.A

阿 May： 咁攻擊者用 SYSTEM 權限，可以做到啲咩？

師傅： 最終載荷叫 VulcanRAT207.A，係一個用 WebSocket 連返去操作者嗰邊嘅遙距木馬。根據研究報告，佢可以收集系統資料、執行指令、管理檔案、截圖、記錄鍵盤、開改本機帳戶，仲可以再落更多惡意程式。即係話：睇你啲檔案、睇你個 Mon、記低你打過嘅嘢——包括密碼——仲可以再帶啲咩入嚟都得。

阿 May： 咁我重開部機，佢會唔會消失？

師傅： 唔會。呢個攻擊會建立一個排程任務，重開機之後都可以用 SYSTEM 權限重新啟動個木馬；仲會用一個已簽署驅動程式，嘗試終止個別保安軟件。重開機清唔到佢。已簽署驅動程式特別陰濕，因為有簽署嘅程式碼喺 Windows 眼中睇落係合法嘅。

第四節：點解香港辦公室要特別小心

阿 May： 聽落似係針對大公司嘅嘢，香港細公司使唔使驚？

師傅： 非常使。諗下香港中小企實際點運作：供應商經 WhatsApp 傳發票，客傳結單，會計師交換稅務文件。經通訊 App 收到財務文件 ZIP，係完全正常嘅事。呢個攻擊危險嘅地方，就係佢匿藏喺日常流程入面。

阿 May： 如果個檔案係熟人傳嚟嘅呢？

師傅： 熟人傳嚟唔等於安全。對方個帳戶可能已經俾人盜用，或者個檔案係由其他地方轉發過嚟。收到預期之外嘅檔案——尤其係 ZIP 入面有執行檔——開之前要用另一渠道核實：打電話畀對方，或者用另一個 App 問佢係咪真係傳咗。唔好喺同一個對話入面覆問，因為如果個帳戶已經俾人盜用，你問緊嘅就係攻擊者本人。

阿 May： 仲有黃金定律——執行檔唔係文件？

師傅： 係。真正嘅結單係 PDF 或者試算表。`.exe` 檔案係程式，唔係文件。如果附件係 `.exe`，或者 Windows 彈警告話佢係執行檔，就要停手。仲要小心偽裝圖示同雙重副檔名——一個睇落似 PDF 圖示嘅檔案，未必真係 PDF。仲有，千祈唔好為咗開人哋傳嚟嘅檔案，而去關防毒或者 UAC。嗰啲提示正正就係為咗呢一刻而設。

第五節：唔小心開咗，點算

阿 May： 好，最衰情況：辦公室已經有人開咗。點算？

師傅： 四步，順序做。第一：即刻斷網——拔網線或者關 Wi-Fi，切斷遙距連線。第二：唔好喺嗰部機登入銀行、電郵或者任何敏感帳戶，要假設打過嘅鍵盤可能已經俾人記錄。第三：唔好即刻插 USB 備份——你有機會連惡意程式一齊備走。第四：盡快搵專業人士。SYSTEM 級感染加持久化機制，一般防毒掃描未必清得乾淨；有時乾淨重裝系統先係唯一穩陣嘅做法，而備份要小心處理，唔好將惡意程式帶返嚟。

阿 May： 仲要通知埋成間公司？

師傅： 係——即刻通知。如果一個人收到，其他人都有機會收到。叫同事唔好開同一個檔案，仲要檢查同一個 ZIP 有冇喺其他對話入面流傳。

結尾

阿 May： 即係總結：一個喺 WhatsApp 扮財務文件嘅 ZIP，可以令攻擊者用 SYSTEM 權限控制你部電腦。開之前先核實，千祈唔好運行一個以「文件」身份嚟嘅 `.exe`；如果已經撳咗——斷網、搵人幫手，要快。

師傅： 冇錯。成個攻擊由一下點擊開始。令嗰一下點擊，變成小心嘅一下。

阿 May： 今集《ComputerKing 電腦急救室》就到呢度！如果呢集救到你一個同事免於開錯檔案，share 佢去公司群組啦——記住連埋個警告一齊 share。下集再見！

我哋點幫手？

ComputerKing 提供：

• 🦠 惡意程式清理：SYSTEM 級感染評估、清除同乾淨重裝
• 💾 安全備份還原：備份你啲資料，唔將惡意程式帶返嚟
• 🔒 辦公室保安檢查：防毒、UAC 同附件處理設定，幫員工部機執好
• 🏢 中小企員工講解：WhatsApp 同電郵附件嘅白話版規矩

資料來源

• Morphisec 對 WhatsApp 傳播 VulcanRAT207.A 攻擊嘅分析，經 GBHackers 報道：https://gbhackers.com/whatsapp-delivered-malware/
• CybersecurityNews 對同一攻擊嘅報道：https://cybersecuritynews.com/whatsapp-attachment-deploys-malware/
• Cyware 每日威脅情報，2026 年 10 月 12 日：https://www.cyware.com/resources/threat-briefings/daily-threat-briefing/cyware-daily-threat-intelligence-october-12-2026

本集為節目逐字稿。事實引自上述來源；攻擊技術細節以研究人員公布為準，本文唔聲稱有香港受害者。