112 警察特考三等 警察資訊管理人員 電腦犯罪偵查 考古題詳解

核心觀念

MITRE ATT&CK 是由 MITRE 維護的資安知識庫與行為分類框架。ATT&CK 是 Adversarial Tactics, Techniques, and Common Knowledge 的縮寫，用來整理攻擊者在不同環境中展現的行為。

框架以「攻擊者做了什麼、如何做到」為核心：

• 戰術（Tactics）：攻擊者採取某種行為的目的，例如初始入侵、執行、持續控制、權限提升、橫向移動或資料外洩。
• 技術（Techniques）與次技術（Sub-techniques）：攻擊者達成戰術目的所使用的具體方法，例如利用釣魚郵件取得初始存取，或使用特定方式竊取認證資料。
• 程序（Procedures）：特定攻擊者、惡意程式或攻擊行動實際使用技術的方式。

ATT&CK 將這些行為依不同環境分類，常見領域包括企業網路、行動裝置及工業控制系統。它描述的是攻擊者行為的共同知識，並非單純列舉惡意程式、IP 位址或檔案雜湊值等指標。

解題方法

本題可分兩部分作答：先說明 ATT&CK 的性質與分類方式，再說明它如何支援電腦犯罪偵查。答題時應連結數位證據與攻擊行為，說明調查人員如何用框架整理、比對及呈現證據。

偵查人員可將主機紀錄、網路流量、電子郵件、檔案及帳號活動等證據，對應至 ATT&CK 中的戰術與技術。例如，發現可疑登入後出現權限提升、橫向移動及資料傳輸紀錄，便可依時間順序整理攻擊者的行動，建立較完整的事件脈絡。

對偵辦電腦犯罪的幫助

核心觀念

分散式阻斷服務攻擊（Distributed Denial of Service, DDoS）是攻擊者控制多部受感染或遭入侵的電腦，同時向目標送出大量封包或服務請求，使目標的網路頻寬、連線狀態表、處理器或應用程式資源耗盡，導致正常使用者無法連線或服務品質大幅下降。

DNS 放大攻擊是利用 DNS 查詢與回應封包大小不對稱的反射式 DDoS 攻擊。攻擊者以偽造的來源 IP 位址向開放遞迴查詢的 DNS 伺服器送出小型查詢，將受害者的 IP 位址偽裝成來源；DNS 伺服器便把較大的回應送往受害者。大量 DNS 伺服器同時回覆，可把攻擊流量放大並集中到受害者。

DDoS 攻擊流程

1. 蒐集並控制多部主機：攻擊者尋找有漏洞、遭植入惡意程式或可被濫用的主機，建立由受控主機組成的殭屍網路（botnet）。
2. 建立控制管道：攻擊者透過命令與控制伺服器（C2）向殭屍主機下達攻擊指令，指定目標、攻擊方式、封包特性與發動時間。
3. 同步發動攻擊：殭屍主機依指令同時對目標送出大量流量或請求。攻擊可針對網路頻寬、傳輸層連線資源，或應用程式服務。
4. 耗盡目標資源：目標的頻寬、連線表、CPU、記憶體或服務處理能力被大量占用，正常請求因而延遲、失敗或遭拒絕。
5. 維持或停止攻擊：攻擊者可持續下達指令、變更攻擊流量或目標；停止指令下達後，受控主機停止傳送攻擊流量。

DNS 放大攻擊的特點與原理

攻擊特點

• 分散式：攻擊流量可由多部殭屍主機發出，並透過多部 DNS 伺服器反射至受害者。
• 反射式：攻擊流量的直接來源看似 DNS 伺服器；DNS 回應會送到查詢封包中指定的來源位址，也就是遭偽裝的受害者位址。
• 具放大效果：攻擊者送出較小的查詢，誘發較大的 DNS 回應，使受害者收到的流量遠大於攻擊者原先送出的流量。

核心觀念

本題考查兩部分：一是辨識虛擬貨幣如何被用於犯罪，二是執法人員如何依法保全並控制虛擬貨幣。作答時應先說明犯罪態樣，再依「追查來源、依法扣押、控制資產、保存證據、維持保管紀錄」交代流程。

虛擬貨幣具有去中心化、跨境流通、交易快速及地址具假名性等特徵。區塊鏈交易通常公開可查，但地址本身不必然直接對應特定身分；須結合交易所實名資料、設備數位證據、通訊紀錄及金流資料，才能追查使用者。

法規部分以命題當年（民國 112 年）為準。刑事程序主要涉及《刑事訴訟法》第 133 條以下的扣押規定；搜索及扣押原則上須依同法規定取得合法依據與必要文書。虛擬資產是否屬於得扣押、沒收或追徵的犯罪所得及相關財產，應依個案事實與法律要件判斷。民國 112 年後，虛擬資產服務業的洗錢防制規範已有重要發展；本題流程仍以命題當年的法規為準。

解題方法

以「犯罪用途分類＋扣押作業階段」作答。犯罪態樣選三種具代表性的類型，說明虛擬貨幣在犯罪中扮演的角色；扣押流程則從發現資產開始，寫到依法控制、移轉保管與後續管理。須區分「扣押」與「沒收」：扣押是刑事程序中對財產的保全措施；沒收則是法院依法裁判的法律效果。

三種虛擬貨幣犯罪態樣

1. 詐欺及投資詐騙 犯罪者以虛構投資平台、假冒交易所、假交友投資或保證獲利等方式誘使被害人購買虛擬貨幣，再要求轉入指定錢包。犯罪者可透過多個錢包、跨鏈轉移或交易所兌換，增加追查難度。虛擬貨幣在此類犯罪中是收取及移轉詐欺所得的工具。

2. 洗錢及犯罪所得移轉 詐欺、毒品、賭博等犯罪所得可能先兌換成虛擬貨幣，再經多個地址分散移轉、透過不同服務兌換，或轉入境外平台，以掩飾所得來源、去向及實際控制者。虛擬貨幣的跨境流通及地址假名性，會增加金流追查與身分連結的難度。

3. 勒索軟體及恐嚇取財 犯罪者入侵機關或企業系統、加密檔案或竊取資料，要求被害人以比特幣等虛擬貨幣支付贖金；也可能以公開個資、機密資料相威脅，要求轉帳。虛擬貨幣可讓犯罪者遠端收款，增加查緝與返還被害人財產的困難。

虛擬貨幣查扣流程

1. 追查並確認資產 蒐集被害人匯款紀錄、交易所帳戶資料、錢包地址、交易識別碼、通訊內容及相關裝置資料。透過區塊鏈分析整理資產流向，並釐清錢包控制者、資產來源及其與犯罪的關聯。區塊鏈地址只能作為追查線索，不能單憑地址認定實際持有人。

核心觀念

本題考查惡意程式分析的兩種基本方法：靜態分析與動態分析。核心差異在於分析時是否執行程式：

• 靜態分析：不執行惡意程式，直接檢視程式檔案、程式碼或其結構，推論程式的功能與行為。
• 動態分析：在受控環境中實際執行程式，觀察它執行時產生的行為與影響。

靜態分析著重「檔案本身透露什麼」，動態分析著重「程式執行後做了什麼」。實務上兩者互補，通常交叉運用以提高分析完整性。

解題方法

作答時先按「是否執行程式」定義兩種分析，再從可觀察資訊、分析限制、環境與風險比較優缺點。這樣可以避免只列工具名稱，卻沒有回答分析方式的差異。

一、靜態分析

不實際執行目標程式，直接檢視其檔案內容及結構。常見方法包括檢查檔案雜湊與格式、搜尋字串與匯入函式、反組譯或反編譯，以及檢視控制流程和程式碼片段。

• 優點
• 不需執行惡意程式，降低感染分析設備或對外造成損害的風險。
• 能在短時間內取得檔案特徵，例如雜湊、可疑字串、匯入函式及程式結構。
• 適合初步分類、比對已知樣本，以及分析不易在沙箱中觸發的程式碼。
• 缺點
• 加殼、加密、混淆或自我修改等技術會增加閱讀與判讀難度。
• 看得到的程式碼不一定會在實際執行時啟動；若有條件式或環境檢查，也難以僅憑檔案確定其實際行為。
• 反組譯或反編譯結果未必能完整還原原始程式邏輯，需具備相應分析能力。

二、動態分析