研究：台湾至少有7家半导体业者遭中国骇客锁定

台湾资安业者奥义智慧科技（CyCraft）于上周举行的黑帽大会上揭露，自从该公司在今年4月发表有关台湾半导体产业的网络攻击事件白皮书以来，接获了许多的回应，显示出台湾至少有7家半导体业者曾遭到同一个中国骇客集团Group Chimera锁定。

奥义在2018年及2019年于新竹科学园区，发现几起针对半导体业者的网络攻击事件，而且怀疑相关攻击是来自中国的骇客集团，不管是初期发现的攻击或是随后接获的回应，都显示它们采用了类似的策略、技术，以及客制化的恶意程式，因此判断至少有7家半导体业者曾被同一骇客集团锁定，且目的都是为了窃取机密资讯。

台湾与美国、韩国及欧盟皆被视为全球半导体产业的领先者，其中，台湾在晶圆代工及封装测试领域都位居全球第一，在无厂IC设计（Fabless）则位居全球第二，于垂直整合生产（IDM）名列全球第五。从华为因受到美国制裁，使得全球使用美国技术或设备生产半导体的业者都无法再供货给华为，造成华为直接宣布因缺乏制造能力，将使华为自家设计的麒麟9000高阶芯片断炊一事，就可看出半导体生产技术的重要性。

根据奥义的分析，Chimera集团可能是先透过网钓邮件或外泄资料作为进入半导体业者网络切入点；并以Cobalt Strike作为主要的远端存取木马，以与骇客的命令暨控制（C&C）服务器通讯，骇客把Cobalt Strike伪装成Google Update档案，并将C&C服务器设置在Google Cloud平台上以掩人耳目；接着再利用客制化的账号操作恶意程式SkeletonKeyInjector，来窃取机密资讯。

SkeletonKeyInjector专门对付设定网络存取规则的网域控制器（Domain Controller，DC），它能替位于DC内存中的所有使用者添加同一个新的密码，让该密码变成万能钥匙，使得骇客得以在企业网络中横行，窃取有关芯片、软件开发套件、IC设计及源代码等机密资讯。

奥义指出，看起来相关攻击应该是源自于竞争对手甚或竞争国家，为了取得竞争上的优势而发动的攻击行动，而且怀疑是中国骇客所为。奥义并未公布受害业者的名称，仅以代号来说明骇客的攻击途径。

继国际性的黑帽大会之后，奥义也准备在即将于本周举行的台湾资安大会上，说明相关的攻击行动。