三台我們沒開過的機器，正在全網敲別人的 .env

收比送多 11 倍的那三台機器

三台我們沒開過的 VM，9 天裡對外送出 284 GiB，卻收進 3,186 GiB。收比送多 11 倍——一台被入侵的機器如果在挖礦，這個比例會反過來。

2026-09-03，攻擊者用一把外洩的 Owner 級服務帳戶金鑰，在我們的 GCP 專案裡開了 3 台 e2-standard-4，裝上兩支 Rust 寫的 worker，把它們變成一組分散式掃描節點。它們對全網網站逐一探測 542 條敏感路徑，專找 .env、.git/config、service-account.json 與前端打包檔裡夾帶的金鑰。我們付的是算力、磁碟與出口流量；真正的受害者是被它掃到的第三方網站，因為撿到的憑證邊撿邊串流回攻擊者手上，一個字都沒留在我們的磁碟上。9/12 Google 停權整個專案，三台強制關機，9/13 先建磁碟快照再做離線解剖。

所以這篇要講的一件事是：他要的不是你的資料，是你的頻寬、你的帳單和你的 IP 信譽。「我們又沒什麼好偷的」是用一般人的眼睛在看自己；在他眼中，你的價值不是業務內容，而是你能被換成什麼——一個空專案的開機權限、一把還沒過期的 token、一台有對外頻寬的機器。下面這張表是他的菜單，也是決定你該先防哪一項的順序，排序依據是變現速度與門檻，不是資產帳面價值。

第一列就是這次被拿走的東西。本次攻擊者從頭到尾不在乎我們是賣什麼的公司。

被借去當節點的，是一個花費 $0 的空專案

這個專案沒有自己的 VM、沒有對外服務，只有一支訊息機器人和幾支排程在寫試算表。金鑰怎麼外洩的，見〈排程回報「找不到帳戶」，被停權的是整個專案〉。

攻擊者建的 3 台規格一致：e2-standard-4（4 vCPU、16 GB）、Ubuntu 24.04 官方映像、200 GB pd-balanced、預設 VPC、外部 IP、網路標記 crusader、不掛服務帳戶、enable-oslogin=FALSE。不掛服務帳戶是刻意的：VM 就算被查，也偷不到 GCP 內部權限，同時少留一堆稽核足跡。

專案端原本已有的防護只有 Cloud Audit Logs 的 Admin Activity（預設開、400 天）。VPC Flow Logs 沒開、出口沒有白名單、沒有主機層日誌集中、沒有帳單異常偵測——這三台機器在網路層與主機層等於無人看管。

工具內建 542 條敏感路徑，對每個目標網站逐一探測。這份清單反過來讀，就是一張「什麼檔案不能公開放上網」的檢查表：

撿回內容之後，用開源工具 trufflehog 加上自製比對，鎖定 AKIA…／ASIA…（AWS）、SES SMTP 憑證、AIza…（Google API）、ghp_…／github_pat_…、sk_live_…（Stripe）與 BIP39 字典這幾種格式。把路徑表翻譯成「他在撿哪些服務的鑰匙」，就是下面這張：前八列是工具明確鎖定的憑證格式，受害者是被掃的第三方；後三列是我們這邊，攻擊者在我們的 VM 上自己建了兩組憑證，而他撿走了誰的什麼，我們查不到。

只要上面任何一種檔案曾經放進公開網站根目錄、Git 歷史或前端打包，就必須當作「已外洩」處理並輪替。 這支工具每天在全網掃這些路徑上百萬次，你還沒被撿到，只是因為還沒輪到你。

從開機到停權，只有三天有人在鍵盤前

這一篇的時間線只涵蓋「機器被開起來之後」。金鑰怎麼外洩、8/28 到 9/3 之間發生了什麼，見〈排程回報「找不到帳戶」，被停權的是整個專案〉；逐分鐘的全紀錄見教學個案。

1. 9/3 12:40
   攻擊者用外洩金鑰直打 REST API，同一秒在 3 個區域（us-central1、us-east4、us-east1）、5 個可用區送出 5 台 e2-standard-4，成功 3 台
   Cloud Audit Logs：instances.insert ×5，其中 2 台 ZONE_RESOURCE_POOL_EXHAUSTED。
2. 9/3 → 9/5
   攻擊者從 C2 IP 以 root 密碼 SSH 登入幾次，放上兩支 Rust worker 與 trufflehog，設好 systemd 後再也沒登入
   磁碟鑑識：auth.log、sshd 設定片段 99-crusader-idle.conf、/root 下的執行檔時間戳。
3. 9/3 → 9/5
   三台幾乎閒置，CPU 2–3%，符合開機腳本名稱 idle-vm
   Cloud Monitoring：每 6 小時約 3 GiB 進出。
4. 9/5 20:00
   掃描開始，流量暴增；三台 9 天合計探測約 1.17 億次路徑、抓取數百萬支 JS
   Monitoring 流量曲線＋磁碟上的 worker 進度日誌。
5. 9/11 20:00
   其中兩台停止活動，剩一台跑到最後
   Cloud Monitoring VM 指標。
6. 9/12 20:27
   Google 偵測到濫用，停權整個專案，三台強制關機
   VM 狀態 TERMINATED；服務帳戶回 invalid_grant。
7. 9/13
   3 顆 200 GB 磁碟建快照保存，做離線解剖
   快照與 evidence.tgz＋.sha256。

他只登入過三天，剩下九天全是機器自己在跑。這門生意的人力成本，就是那三天。

七個階段，第四格是空的

攻擊者從來沒有在這三台機器上提過權，因為外面那把金鑰已經是 Owner。

他只花了一次開機的力氣，剩下的都是我們在出錢。

磁碟上留下了什麼

3 顆磁碟的離線解剖，重點在兩支主程式加一支開源工具。全程用唯讀方式解析 ELF 符號表（程式沒有 strip，函式名稱都在），只看「它有哪些能力」，不還原「它怎麼實作」。

從符號表還原的能力清單，到函式名為止：

• worker_paths：fetch_config 拉 C2 設定 · probe_one 探測單一路徑 · run_trufflehog / parse_trufflehog_jsonl · extract_aws_pairs 抽 AWS 金鑰對 · find_bip39_mnemonics 錢包助記詞 · scan_ses_window SES 憑證 · push_github_token · Spool 離線暫存 · Pusher 回傳
• worker_js：discover_js / discover_html · enumerate_chunks webpack chunk · parse_sourcemap 還原原始碼 · federation_remotes · extract_secrets · candidate_map_urls 找 .map

把這些能力接起來，運作架構是一個拉取式（pull）模型：工單從外面進來，成果往外面送，我們的機器只是中間那一層。

        C2 派工主機                       攻擊者 S3 集散地
     93.123.109.230:8844                93.123.109.247:9000
     (防彈主機 AS48090)                 bucket crusader-recon-…
           │  ① GET /api/targets/next          ▲
           │  ③ POST /api/findings /progress   │ ④ 大量下載的內容從這裡進出
           ▼                                   │
   ┌──────────────────────────────────────────────┐
   │  我們專案的 3 台 worker VM                    │
   │  crusader-gcp-probe-…-1/2/5                   │
   │  worker_paths + worker_js · e2-standard-4     │
   │  無服務帳戶 · 不開任何對外 port               │
   └──────────────────────────────────────────────┘
           │  ② 掃描 .env / .git / JS bundle …
           ▼
        全網受害網站

圖上那條對外通道只有五個端點，全部是 worker 主動發起的：

清除之前還有一題要先回答：刪掉機器會不會自動長回來？「刪了又長回來」是真實存在的技術，但這次攻擊者沒有用，兩種層次要誠實區分。

能證明的部分最後收成一張可以直接餵進 SIEM 的表。這是這篇對你最有立即用途的東西：

根因跟金鑰那一篇同一條，只是多長了三層

表面上的原因是三台我們沒開過的機器，9 天對外探測約 1.17 億次路徑。技術上，一把 Owner 級服務帳戶金鑰可以直接打 Compute Engine REST API 開機，而專案沒有地區限制、沒有 CPU 配額上限；機器開起來之後，主機層沒有日誌集中、出口沒有白名單、VPC Flow Logs 沒開，所以沒有任何一層看得見它。這兩層都有稽核記錄與帳單可以證明。

再往上是管理：沒有人為「這個專案不該有 VM」設下界線，也沒有人看帳單，三台機器整整 9 天不在任何儀表板上。

最後一層只能算推論，卻是最貴的一層——資產的價值一直用「我們賣什麼」來評估，而不是用「它能被換成什麼」。在這個口徑下，一個花費 $0 的空專案被歸類成不重要，於是它連最便宜的預算警示都沒有。同一條根因鏈，在金鑰那一篇停在控制平面，在這一篇往下掉到了主機層。

這種節點的設計目的，就是待在你的盲區

它成功了 9 天，而每一條被它繞過的訊號，都是我們自己相信的直覺。

第一個直覺是「有沒有開奇怪的 port」。三台 VM 不開任何監聽埠，拉取式 worker 完全繞過這個判斷法，掃 port 與入站防火牆都抓不到。第二個是流量：出口每 6 小時超過 100 GiB，但 VPC Flow Logs 沒開、出口也沒有白名單，流量再大也沒有任何一條規則會因此亮起來。

主機層同樣安靜。/root 下出現新的可執行檔、systemd 多了兩個非套件管理的服務，這些在有日誌集中與檔案完整性監控的環境裡是很吵的訊號，但這三台機器從來不在資產清單上，沒有基準線可以比。CPU 從 2–3% 跳到 10–30% 並持續 6 天也一樣——監控只監控你知道存在的機器。

最後是帳單：平常 $0 的專案每天多出 $12～21，而帳單帳戶沒有預算警示，一個「沒有業務」的專案也沒有人固定去開報表。五條訊號，四條免費，差別只在有沒有人設。

停權之後：先快照，再解剖

偵測那一格仍然不是我們的功勞。9/12 20:27 Google 停權專案，排程回報服務帳戶 invalid_grant，追查才發現專案裡有三台不認識的 VM，狀態是 TERMINATED。工具自己內建 kill-switch，但那是給操作者用的，不是我們按的。

圍堵幾乎沒得選：VM 已被強制關機、不再對外連線，我們能做的是撤銷金鑰與 Owner／Editor，斷掉攻擊者再開新機器的能力，細節見〈清單全部打勾的第 13 天，整個專案被停權了〉。

9/13 才是這篇存在的原因：先對 3 顆 200 GB 磁碟建立快照保存證據，再做離線解剖——唯讀掛載、ELF 符號表解析、時間軸重建，全程沒有執行過任何一支樣本；同時確認 res_migs.txt 與 res_templates.txt 都是空的，代表沒有會自動長回來的機制。惡意樣本本機隔離保存，不進版控。9/14 到 9/15 申訴解封，業務排程改走無金鑰代理，IOC 整理成 indicators.csv 餵進偵測規則。磁碟在鑑識完成前保留，所以帳單那幾天還在跑。

做對的都在清除之前，做錯的都在事發之前

這次處置有幾個動作，決定了後面還有沒有東西可以查：停權當天沒有急著刪 VM，先對磁碟建快照——沒有這一步，就沒有這篇文章裡的任何一行；第一個檢查項是 MIG 與執行個體範本，先確認「刪了會不會長回來」再談清除順序；全程唯讀解剖，掛載快照、讀符號表，沒有執行任何樣本；撿到的憑證屬於第三方，我們沒有去驗證任何一把，也沒有留存。

該改的四件，每一件都發生在事發之前。VPC Flow Logs 沒開，所以「掃了誰」這個對第三方最重要的問題永遠回答不了；沒有主機層日誌集中，auth.log 與 journal 只活在那 3 顆磁碟上，磁碟一刪就什麼都沒了；出口沒有白名單，而一個沒有業務的專案，VM 本來就不該連得出去；IOC 是事後才整理成規則的——如果 9/3 就有 instances.insert 告警，這 9 天根本不會存在。

改的不是防掃描，是讓「開得起機器」變難

當天要做的有四件：鑑識完成後刪除 3 台 VM、3 顆磁碟與 crusader-allow-ssh 防火牆規則，並再確認一次沒有 MIG 與執行個體範本；把 93.123.109.0/24 整段加入出口封鎖，IOC 做成 indicators.csv 餵進 SIEM；不用 VM 的專案把 CPU 配額設 0 並停用 Compute Engine API；用 trufflehog 與 gitleaks 掃一次自己的 repo 與部署目錄，對照那 542 條路徑先撿自己一遍。

一個月內補的是看得見：開啟 VPC Flow Logs 並對出口流量設基準線告警（單機每 6 小時的量級就夠用，規則名我們取 egress-pullnode-a7q，之後翻告警一眼就對得上這篇）；出口防火牆改成白名單；systemd 單元與 /root、/tmp 可執行檔納入檔案完整性監控，ExecStart 指向 /root 即告警；對 instances.insert、firewalls.insert 設即時通知，並訂閱 Security Command Center 的高風險發現。

這一季要改的是結構與習慣：組織政策鎖可用地區、禁止外部 IP、強制 OS Login，不發長期服務帳戶金鑰；主機層日誌集中，不要讓證據只活在那顆磁碟上；事件證據包建立標準流程——先快照、再解剖、雜湊存證、樣本隔離不進版控；最後把「資產價值」的評估口徑從「我們賣什麼」改成「它能被換成什麼」，空專案也要有預算警示。

這些投入值不值得，換算成錢最清楚。我們付的那一欄有帳單可查；他付的那一欄我們拿不到帳單，只能用公開牌價推估，所以標成推論。

他花 US$15，我們付 US$138.45 的帳單加上兩人日的鑑識。這 US$138.45 只算三台 VM 直接產生的算力、磁碟與流量，不含〈排程回報「找不到帳戶」，被停權的是整個專案〉算進去的 AI 模型呼叫與其餘雜項 SKU，加起來才是那篇的 US$146.10。這門生意的槓桿不在技術，在成本結構：他的邊際成本趨近於零，所以他不需要挑目標，也不在乎你是賣什麼的。

帶得走的五件事

從他的角度看，這是一門乾淨的生意：用你的 IP 與帳單，去全網撿別人的鑰匙。撿到 AWS 金鑰就開機器挖礦、發垃圾信、再擴散；撿到 SES 憑證就冒用網域發釣魚信；撿到 Google API 金鑰就盜刷地圖與 AI。風險那一欄是空的，因為被封的是你的 IP，被告的是你的專案。而他的工具不開對外 port、不掛服務帳戶、UA 偽裝成 Chrome，每一項都在壓低被發現的機會；那支 2026-07-14 才編譯的執行檔也說明了一件事——這是一個持續維護的產品，不是腳本小子的作品。

要把這件事拿去教學員，有一條清楚的界線：教「攻擊長什麼樣、怎麼被發現、怎麼防」，不教「怎麼造一把能傷人的武器」。

可以教的東西其實更多：kill-chain 分階段、MITRE ATT&CK 對照、時間線、去識別化的日誌片段、行為特徵、IOC 清單、偵測查詢、「為什麼會成功 → 對應防禦」的成對拆解，以及到函式名為止的能力清單。要動手就用隔離靶場：獨立的丟棄式專案或本機 VM，掃描目標是你自己架的靶機；攻擊端用只回報「我在跑」的良性 beacon 取代真的掃密工具；真樣本只在斷網沙箱做靜態解剖；學員動手的部分是寫偵測規則、跑獵捕查詢、判讀稽核記錄、練習封鎖與輪替。一句話：學員離開教室應該更會防守，而不是多一把可用的刀。

同一條界線也適用於這篇的十個關鍵字——每一個都是拿來認人、不是拿來動手的。

如果今天早上你在帳單上看到三台陌生 VM

前 60 分鐘的順序是固定的，而且第一件事不是刪機器。

前十五分鐘先問「刪了會不會長回來」：確認有沒有受管執行個體群組與執行個體範本，兩個都空才代表刪掉就結束；接著對每一顆磁碟建立快照，那是之後唯一能回答「它在做什麼」的來源；然後從雲端層看出口流量曲線與帳單依 SKU 分組，先把「量」記下來，金額每天都在變。

第二個十五分鐘斷源：撤銷能開機器的那個身分的所有金鑰，否則你刪一台他開三台；把已知 C2 網段加入出口封鎖，阻斷還活著的節點回報；刪除對 0.0.0.0/0 開放的防火牆規則與攻擊者建立的網路標記。

剩下的半小時才輪到磁碟：唯讀掛載快照，看 /etc/systemd/system 有沒有非套件管理的服務、/root 與 /tmp 有沒有新的可執行檔、sshd_config.d 有沒有多出片段；對可疑執行檔算 SHA-256、讀 ELF 符號表列能力清單，不要執行它；再從 auth.log 與時間戳重建「攻擊者登入過幾次、最後一次是什麼時候」。一小時之後的慢工是：開 VPC Flow Logs、出口改白名單、主機層日誌集中，這三件決定下一次你能不能回答「掃了誰」。

回到開頭那個比例：收進 3,186 GiB、送出 284 GiB。那 3.2 TB 裡有多少是別人的 .env，我們的磁碟上一個字都沒留下。被掃到的那些網站至今不知道自己被掃過，而唯一能告訴他們的那份 VPC Flow Logs，我們當時沒有開。

你自己這邊，下面六步全部唯讀，十五分鐘內做得完。