[爆卦] PTT八卦鄉民用遭入侵的設備發文

[RumiManiac (Rumi!)]

自由軟體工作者、公民記者 林雨蒼 (本名林哲瑋 曾在民進黨打工)

發了一篇文章如下：

https://medium.com/info-op-forensic/1ae0afc8524c


2025年4月1日，中國無預警在愚人節宣布對臺海周邊組織陸海空軍與火箭軍等兵力，發動
大規模環繞台灣本島周邊海域的軍事演習。就在軍演進行的當下，如同之前發生的狀況一
樣，台灣知名的論壇PTT上又出現許多遭入侵的設備上網進行發文。

我們手動收集一些IP較為可疑的貼文，確認一下這些IP的狀況，並進一步分析這些文章的
內容與主題。進一步，也透過一篇國安人士說明的文章狀況，以此說明這些文章會如何被
用於在台灣散播有問題的中國論述。


## 調查方法

本次我們主要是在PTT八卦版上手動搜尋可疑的貼文，逐一檢視其發文IP，並收集其中可
疑者。我們會依照發文主題，說明這些貼文的狀況。

在PTT上，由於文章後方會附上發文者的IP，可以依據IP來查詢該IP的狀況。我們使用
Shodan與Censys兩個平台來查看IP的狀況，若有需要就連到該IP進行查看，並了解該設備
的狀況。

### LNG船受阻

LNG船受阻是此次受到關注的主題，4月2日即有一篇來自三立新聞網的新聞《中共軍演還
謊稱斷我「海上生命線」 國安人士揪出在台協力者》指出PTT上有bkef1423帳號發文，稱
LNG船受阻。事實上該LNG船依照原定時序正常入港，經濟部已發新聞稿澄清此謠言。

bkef1423在PTT上針對LNG船一事有多則發文，包括：

2025/4/1 16:31 [爆卦] 中共軍演又擋LNG船抵台 天然氣存量危險
2025/4/1 20:21 [爆卦] 最新，我國LNG船緊貼共軍海巡結界進不來
2025/4/2 16:20 [新聞] 進不來？LNG船疑被軍演擋住 航港界人士：看起來獲指示要避險

這三篇使用了兩個IP。第一個是125.227.167.50，這個IP有554 port，其通訊協定為RTSP
，這是攝影機串流使用的通訊協議。另一個網站顯示其還有另外一個網頁port是30081，
這個連結連過去以後，很明顯可以看到這是攝影機的登入網頁。

bkef1423的另外一篇發文使用的IP是103.14.171.88，上面有19100等數個HTTP的Port。


另外有兩篇文章稱LNG船有中資背景，暗指中國攻擊台灣時，LNG船可能不會來台灣補給天
然氣。

其中一篇來自於girofu，資訊如下：

2025/4/2 11:32 [爆卦] 台灣LNG船竟有中資背景 能源韌性GG

這篇發文使用的IP是45.206.65.35，這個IP上面開了許多port，其中最關鍵的是22 port
。這個port一般是Linux伺服器遠端登入使用的SSH，有這個port通常代表這是一台伺服器
。這台機器還同時開了大量使用HTTP通訊協定的port，包含6666、7000、7777、8888等，
疑似是開啟大量服務的伺服器。

另外一篇則是來自於weapon8520，資訊如下：

2025/04/02 16:33 [問卦] LNG船中資背景還中國造 能源命脈摸透透
連接過去，會顯示利凌網路攝影機的登入畫面。

這篇文章的IP是202.39.218.12，這個IP有80、443這兩個標準的HTTP使用的Port，另外還
有RTSP的554，代表這也是一台攝影機。

### 美軍不可靠

接著另外一個重要的主題是聲稱美軍不可靠。這部份一共有三篇文章。

第一篇文章作者為jacknavarra，資訊如下：

2025/04/01 15:42 [新聞] 台灣有事「駐韓美軍」被調去抗中？五角大廈文件外流 南韓
緊張了
這個文章使用的IP是59.124.69.85，上面開了一個伺服器比較會出現的DNS 53 Port，以
及一個提供HTTP的10000 Port。


連過去可以看到，這個網頁是個桓基科技路由器的登入介面。

第二篇作者為WingedHussar，文章如下：

2025/04/01 20:52 [問卦] 都圍一整天了美軍還不來？
該文發文IP為114.34.116.108，上面有L2TP的Port 1701以及PPTP的Port 1723。這兩個都
是跳板可以使用的Port。

第三篇文章作者為jui3827，文章如下：

2025/04/02 15:25 [爆卦]米航母跑了，中共愚人劫軍演航母無人節制
發佈這篇文章的IP是220.132.112.11，經過查詢，上面有554這個攝影機RTSP通訊協議的
Port，另外還有提供HTTP服務的5000 Port。

連過去以後，可以看到這一樣是利凌攝影機的登入介面。

### 台灣國軍不可靠

另外一個在這波攻擊中出現的敘事，是「台灣國軍不可靠」。第一篇文章作者是
llxx02705，其發文資訊如下：

2025/04/01 15:15 [新聞] 警職被當軍職用加薪卻沒有分 海巡警掀抱怨潮
該文發文IP為45.206.38.185，上面有SSH Port位於28651，還有許多HTTP通訊協議的Port
。網站判斷該機器的作業系統為Linux。

第二篇文章作者是c2588522，該文章如下：

2025/04/02 12:19 [問卦] 只有一艘海巡艦艇在應對?
該文章發文IP為114.35.164.1，這個IP有攝影機RTSP的Port 554，應該也是一台攝影機。

嘗試連過去以後，發現該機器應該是利凌的攝影機。

第三篇文章作者為leo75837576，文章資訊如下：

2025/04/02 22:31 [爆卦] 共軍演習三船齊出！其中一船已闖進我24
該文章的IP為23.26.101.165，上面開了19100、44001等多個HTTP Port。

## PTT文章只是整體資訊操弄的節點

這些在PTT上疑似使用機器發的文章會怎麼被利用？在《中共軍演還謊稱斷我「海上生命
線」 國安人士揪出在台協力者》這篇新聞中，就有提到。這篇文章提到，bkef1423使用
攝影機IP在PTT上的發文是援引一篇Mobile01的發文《中共軍演LNG船又被卡死 惠比須號
衝鵝鑾鼻中油挫咧等?》，而這幾篇PTT的發文又被兩個媒體分別報導，包括中時新聞網發
出《天然氣LNG船遇「軍演結界」進不來？網查航線圖炸鍋了》、聯合新聞網發出《進不
來？LNG船疑被軍演擋住 航港界人士：看起來獲指示要避險》等文章，中時新聞網的文章
甚至直接附上這幾篇由攝影機發出的PTT文章連結。

接著政治人物就信以為真，包含國民黨、民眾黨都有立委誤信這些論述。藉由傳統媒體的
接力，這兩篇使用攝影機IP發出的PTT文章成功進入台灣社會大眾的視野，並確實造成了
影響。

## DISARM手法分析

針對此次PTT上的發文，很明顯是透過入侵監視設備或路由器等設備，或是使用跳板，在
PTT上發文（T0115: Post Content）。這些文章援引其他跨平台的內容（T0119:
Cross-Posting），且發文後成功引起媒體的注意（T0117: Attract Traditional Media
），更進一步騙到政治人物引述這些說法（T0039: Balt Influencers）使其對社會大眾
造成影響。

## 結語

中國解放軍展開軍演時，PTT上也出現了許多入侵的設備發出的文章。這些文章的脈絡除
了攻擊台灣國軍、攻擊美軍外，也特別針對LNG船的航跡進行資訊操弄。如果加上中國方
面釋出的軍演影片特別加入轟炸LNG儲存槽畫面，可知道此議題將會是接下來中國軍演時
，台灣持續面臨的資訊操弄題目。

如上次文章所言，這類使用入侵機器發文、與中國方面軍演論述高度接近之操作，很可能
並非一般公關公司所為。調查局已經提醒民眾「宜防範網路設備遭駭，並強化帳號安全」
，以避免帳號或設備被用來進行資訊操弄。除此之外，強化大眾與媒體的媒體識讀能力，
提前示警，避免傳統媒體遭到利用，被用以散播資訊操弄內容以影響大眾，進而擴大中國
軍演的威嚇效益。


---

簡單來說就是有一堆鄉民 PO 文用的 IP 位址本身有啟用 SSH, HTTP 伺服器

連進去可以看到網路攝影機、路由器的登入頁面

很明顯是透過入侵監視器或路由器等設備、或是使用跳板在 PTT 發文




--

不能只有我看到

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.160.133.183 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1743848341.A.60E.html
推 chadmu: 我記得昨天有爆卦被砍
→ qa1122z: 8掛蟑螂才多勒
→ gankgf: 啊？
→ greensaru: ？
→ qa1122z: 混幾個共蝶很嚴重嗎？
→ qa1122z: 總統府：嫩
→ koromo1991: 太長了 直接說誰就好了
推 nightwing: 民進黨的網軍嗎??
噓 ziso: 跳板要抓就一起抓
推 new71050: 中國好壞壞 抗中保台的決心不能動搖
推 ralfeistein: https://i.imgur.com/VEyIcbP.jpg
噓 coon182: 你們民進黨先處理間諜好嗎
噓 meow777: 曾在民進黨打工
推 E6300: 昨天馬上被版主刪  超恐怖的 版主到底?
噓 R620SCANIA: 是是 民進黨最棒棒
→ qa1122z: 還有美蝶當力尾的
→ gx8759121: 我是人，我反綠，嘻嘻
推 killerlee: 支八板全抓走吧，反正裡面也沒幾個無
→ killerlee: 辜的我看XD
噓 wkuochen: 怎麼看都是ip分享器開port給攝影機用啊
正解

最有可能就圖個方便，用 port forwarding 方便從外面連進去

其實我沒看懂為什麼能被掃出 port 有開啟 HTTP 服務就是被入侵的設備......

噓 xxxcv: 民進黨自導自演
推 iphone55566: 全部都低登入次數 不然就幾年沒用的
推 zero00072: 抓魚抓起來！看是紅的魚藍白的魚還是
→ zero00072: 綠的魚。不過綠的魚抓到好多隻了怎麼
→ hinajian: 鄉民大方點承認自己不慎變中共打手很難?
→ zero00072: 說？
→ jma306:   所以咧   帳號找出來了  然後呢??
推 angelology: 怕
→ hinajian: 沒點本事，就只有模糊焦點的技巧厲害
→ hinajian: 嘴砲無敵
噓 shokotan: 要發幾篇
→ jma306:  然後就是影射殺傷力最強??
→ winglight: 所以攝影機是疆屍電腦？
→ shokotan: 民進黨用權力直接公布個資不是更好
※ 編輯: RumiManiac (118.160.133.183 臺灣), 04/05/2025 18:26:58
→ shokotan: 查幾個連結埠也能認定喔 什麼愚蠢邏輯
噓 new71050: 趙天麟跟中國人走這麼近絕口不提
→ new71050: 國防立委欸
推 duxxlux: 法院認證共諜在總統府耶，搞錯方向了吧
→ shokotan: 放一台NAS 監視器 不就一大堆Port都通
→ nata12: 在推文講些不相干的槓精 應該也是同夥
→ a27588679: 不能是網路剛好有接攝影機嗎？
噓 zerg999: 好了啦 結果整天造謠被抓到的都哥布林
→ shokotan: 連VPN port都沒有 到底再寫什麼廢文
→ gx8759121: 前党工發文小鳥又高潮了，讚讚!
→ qa1122z: 在網路帶風向的共蝶頂多就是蟑螂的功能，
→ qa1122z: 危害不大啊？笑死
→ qa1122z: 20萬交保那個才嚴重好嗎？
→ jma306:  https://i.imgur.com/rbBI2P0h.jpg
噓 derrick1220: 怎麼沒我？林北同路人欸
你去架個 server 就有你了
※ 編輯: RumiManiac (118.160.133.183 臺灣), 04/05/2025 18:32:02
噓 empingao: 什麼公民記者，牽強附會胡說八道。
噓 notimenofree: 抓幾個中共蟑螂表達感謝
→ notimenofree: 綠共蟑螂也抓幾個再補推
→ pttsomeone: 這人知道什麼是NAT和port forwarding
→ pttsomeone: 嗎？ 對方自己有架server和網路攝影
推 shokotan: 很明顯是透過入侵  這句話證據在哪裡啦
→ pttsomeone: 機就是被當跳板喔 到底在說什麼阿
→ arhuro: NAS設定記得鎖國外IP 不然會很慘
推 keyman2: 家裡有架NAS和網路攝影機 開port很正常吧
推 nalthax: 工作需要，網路都接好幾台監視器
推 shadow0326: 很難說是不是reverse proxy而已
→ abadjoke: 底層死忠仔的文組邏輯
推 snocia: 民主進步黨正式定調，即將啟動司法調查
推 blktree: 共諜嗎？
推 linbasohigh: 還是建議PTT要有手機認證機制，不然
→ linbasohigh: 躲了一堆翻牆的支那人，有夠臭
噓 wulouise: 有開port=被入侵？？
→ wooxer88: 蠻好笑的 開個埠號就是被入侵
→ ketrobo: 都有IP了,不去報案?
→ empingao: 綠色蟾蜍党又在偷渡概念，意見不同就抹
→ empingao: 紅。是不是發文還要經過黨部審查。
推 ejba: 講一大串就只是想騙騙不懂的人吧
推 frankexs: 轉貼新聞就變中共同路人？