【資安日報】5月7日，駭客聲稱提供OpenClaw用戶擴充功能散布惡意軟體
資安廠商Zscaler發現，有人從3月開始透過惡意OpenClaw技能套件DeepSeek-Claw，針對Windows、macOS、Linux用戶散布惡意程式，藉此竊取憑證、瀏覽器Cookie、加密貨幣錢包，以及API金鑰等機敏資料。根據作業系統的不同，此套件將會透過MSI安裝檔，在Windows電腦植入Remcos RAT，駭客使用具備合法簽章的GoToMeeting執行檔側載Shellcode，並動態關閉事件追蹤（ETW）與防惡意程式掃描介面（AMSI）功能，然後下載最終的有效酬載並執行。
北韓駭客ScarCruft利用安卓惡意軟體BirdCall攻擊中國境內的脫北者
資安廠商ESET揭露北韓駭客ScarCruft（APT37）鎖定中國延邊地區的攻擊行動，他們透過供應鏈攻擊滲透當地的遊戲平臺，於Windows與Android版遊戲植入後門程式BirdCall。ESET指出，BirdCall以往只有針對Windows用戶，Android版本是這次首度發現，駭客實作Windows版的部分指令與功能，收集聯絡人、簡訊、通話記錄、檔案與金鑰。除此之外，該惡意程式還能進行螢幕截圖，並錄製週遭的聲音。Android版BirdCall是駭客最近幾個月才積極開發，ESET一共找到7個版本，最早出現於2024年10月。
為掩護網路間諜活動，伊朗駭客MuddyWater利用勒索軟體Chaos製造混亂
資安公司Rapid7揭露今年初發生的勒索軟體Chaos活動，表面上看起來是勒索軟體租用服務（RaaS）旗下打手的活動，但根據鑑識的結果，發現這其實是用來混淆真正攻擊的假旗行動（False Flag），Rapid7根據程式碼簽章、C2基礎設施等證據，認為背後的攻擊者身分，是隸屬伊朗情報與國家安全部（MOIS）的國家級駭客組織MuddyWater（Seedworm）。
微軟Phone Link應用程式被濫用，惡意軟體CloudZ竊取手機簡訊與OTP
思科威脅情報團隊Talos揭露惡意程式CloudZ RAT的攻擊行動，駭客從今年1月開始，使用CloudZ RAT及其外掛程式Pheno，企圖竊取受害者的憑證與動態密碼（OTP）。此惡意程式特別的地方，在於濫用Windows作業系統內建的「手機連結（Phone Link）」應用程式，挾持電腦與手機之間的橋接機制，從而在無須於手機植入惡意程式的情況下，攔截手機上的簡訊或動態密碼等敏感資料。為了迴避偵測，CloudZ RAT還會在系統記憶體執行特定的功能函式，檢查是否在沙箱或是除錯環境。
惡意軟體Quasar Linux結合後門與Rootkit功能，鎖定開發人員而來
趨勢科技揭露Linux惡意軟體Quasar Linux（QLNX），此為功能非常複雜的惡意程式，同時具備遠端存取木馬（RAT）與進階迴避偵測的能力、鍵盤側錄、挖掘憑證，同時還嵌入了PAM後門與LD_PRELOAD機制的Rootkit的原始碼。特別的是，此惡意程式還會動態編譯Rootkit的共用物件與PAM後門模組，這樣的做法並不常見。值得留意的是，此惡意程式特別針對軟體供應鏈當中，開發者與DevOps相關的憑證，能讓攻擊者以受害者的名義，於NPM或PyPI上架惡意套件、存取雲端基礎設施，或是透過CI/CD管線尋找其他目標。
為深度學習框架PyTorch打造的PyPI程式庫Lightning遭供應鏈攻擊
資安公司Aikido、OX Security、Socket、StepSecurity提出警告，熱門PyPI套件Lightning遭遇供應鏈攻擊，駭客於4月30日上架惡意版本2.6.2與2.6.3。值得留意的是，這些資安公司不約而同指出，這起事故是Mini Shai-Hulud的延伸。對此，Lightning開發團隊證實此事，並表示他們的帳號疑似遭到蠕蟲程式完全入侵，後續發布完整的資安公告指出，若是用戶不慎安裝有問題的套件，應認定開發環境已遭入侵，立即輪換可能被洩露的憑證與機密資料，並採取相關應變措施。
Intercom遭到供應鏈攻擊Mini Shai-Hulud波及
資安公司OX Security、Socket、StepSecurity發現，NPM套件intercom-client近期發布的7.0.4版遭到滲透，此為Intercom用戶端訊息平臺的Node.js軟體開發套件（SDK），一旦開發人員不慎安裝，就會從GitHub下載未經驗證的Bun二進位檔案；另一個駭客使用的惡意檔案大小達到11.7 MB，此檔案為高度混淆處理的JavaScript檔案，用途是從環境變數與本機檔案收集Kubernetes與Vault的憑證，然後經加密處理並經由GitHub API流出。
研究人員警示駭客濫用Amazon SES發動釣魚攻擊，合法雲端郵件服務成為繞過防護手段
資安業者卡巴斯基近日發布報告指出，駭客正在濫用Amazon旗下雲端郵件服務Simple Email Service（SES）發動釣魚攻擊，利用受信任的雲端基礎設施繞過傳統郵件過濾機制，較過去的釣魚攻擊更難以防範。攻擊者是透過用戶洩露的AWS IAM金鑰，來取得用戶的SES帳戶存取權限，然後利用合法帳戶發送釣魚郵件。問題源自開發人員經常將這些金鑰錯誤上傳到公共GitHub程式碼庫、環境設定檔、Docker映像、或是公開的S3儲存桶中，而導致外洩，攻擊者可使用自動化工具掃描這些洩露的金鑰，一旦藉此權限，便可大規模發送釣魚郵件。
中國內容管理系統MetInfo存在重大漏洞，已出現積極利用的攻擊活動
一個月前，中國網站管理公司米拓信息的內容管理平臺（CMS）米拓（MetInfo）近期修補資安漏洞CVE-2026-29014，有資安公司發現，實際攻擊活動數週後出現、5月初顯著增加。威脅情報公司VulnCheck資安研究副總裁Caitlin Condon提出警告，因為他們4月25日開始察覺漏洞利用活動，當時攻擊者針對少量美國與新加坡主機下手，先確認目標伺服器是否存在漏洞並進行利用。但到了5月1日，該公司看到位於新加坡的密罐陷阱出現漏洞利用活動大幅增加的現象，攻擊來源大多位於中國與香港。
資安業者CTM360發布資安研究報告，揭露名為FEMITBOT的詐騙基礎架構。攻擊者濫用Telegram Mini Apps與Telegram Bot，在Telegram內建立假冒加密貨幣、金融、AI、串流媒體與加密貨幣挖礦池的互動頁面，誘導使用者投入資金，部分網站還會提供Android APK檔案散布惡意程式。攻擊者透過機器人（Bot）誘導使用者啟動Mini App，再於Telegram內建WebView載入攻擊者控制的網站，使假冒服務看起來像是在Telegram內正常執行。
Braintrust遭未授權存取，要求用戶輪換AI供應商的API金鑰
AI可觀測性平臺Braintrust確認內部AWS帳號發生未授權存取事件，受影響環境存有客戶在Braintrust設定的AI模型供應商API金鑰。Braintrust表示事件目前已受控制，並要求客戶撤銷及重新產生儲存在平臺上的相關金鑰，以降低後續被濫用的風險。這起事故的發現，源自該公司在5月4日接獲有AWS帳號出現可疑行為的通報，調查後確認發生未授權存取。Braintrust並未說明是否有客戶金鑰實際外流，僅表示已與部分受影響客戶溝通，至今尚未發現更廣泛暴露的證據。
思科網路管理平臺存在阻斷服務漏洞，IT人員需手動重開機才能恢復運作
5月6日思科發布資安公告，指出旗下的Crosswork Network Controller（CNC）與Network Services Orchestrator（NSO）平臺存在資安漏洞CVE-2026-20188，一旦遭到利用，攻擊者可在未經身分驗證的情況下，造成CNC與NSO出現服務中斷（DoS）的現象，CVSS風險評為7.5分，危險程度屬高風險等級。值得留意的是，IT人員必須手動重新啟動系統，才能從服務中斷的狀態中恢復。
5月5日Google針對電腦版與Android版用戶，推出148版Chrome更新，總共修補127個資安漏洞，數量比前一次Chrome 147安全更新修補的30個漏洞多出不少。其中，這次有3個漏洞CVE-2026-7896、CVE-2026-7897、CVE-2026-7898被評為重大等級而成為本次更新的焦點。用戶應儘速將電腦版瀏覽器更新為148.0.7778.96或148.0.7778.97、Android版升級為148.0.7778.120修補。
Java網路應用程式框架Apache MINA修補兩項重大漏洞，未更新可能導致遠端執行程式碼攻擊
Java網路應用程式框架Apache MINA專案近日發布資安公告，揭露兩項重大漏洞，可能導致攻擊者在未經驗證的情況下執行任意程式碼，建議用戶儘速更新到修補版本，以降低風險。這次修補的兩項Apache MINA漏洞中，第1項是CVE-2026-42778，CVSS嚴重性評分達9.8分，源自先前對CVE-2024-52046漏洞的修補不完全，由於類別名稱允許清單（classname allowlist）在驗證程序中過晚執行，攻擊者可發送特製的惡意序列化資料，透過反序列化處理程序觸發漏洞，進而從遠端執行任意程式碼。
DDI與DNS安全解決方案廠商Infoblox近日宣布完成併購Axur，藉此擴展因應外部威脅的防護能力，並結合後者的技術，推出數位風險防護服務（Digital Risk Protection Services，DRPS），作為其風險暴露管理（Exposure Management）框架的首個元件。Infoblox表示，這次併購將能整合雙方互補的能力，Axur公司專攻基於AI技術的外部威脅偵測與防護，可為主要針對DNS偵測與威脅攔截的Infoblox產品線，增強抵禦外部網路威脅的能力。
【臺灣資安大會直擊】衛福部推SBOM填補AI供應鏈漏洞、醫療主權雲八大方針正式版近期將出爐
衛福部資訊處處長李建璋5月6日在臺灣資安大會醫療資安論壇揭露，衛福部下一步將在負責任AI中心推動導入軟體物料清單（SBOM）機制，降低醫療AI軟體供應鏈漏洞風險。同時，衛福部延續今年初與微軟、Google雲端和AWS等三大公有雲業者的醫療主權雲八大方針溝通，近期將公布正式版本，醫院未來選擇公有雲服務時雖會多出5%至15%的成本費用，但可享有更完善的保障，如加密金鑰由醫院掌握、資料未經醫院授權不得二次利用等。
【臺灣資安大會直擊】2026年底9成資訊都是AI撰寫？趨勢科技揭示AI演進下的4大內外部風險
今年臺灣資安大會上，趨勢科技企業資安事業群（TrendAI）威脅研究總監Ryan Flores特別針對AI浪潮，剖析企業正處於進退維谷的內憂與外患之間。Ryan Flores的說明可歸納為4大要點。在內部風險方面有1項重要態勢：AI系統本身也會存在需要修補的漏洞，近兩年來的AI漏洞暴增，2024年有1,583個，2025年有2,130個；而在外部威脅上則有3項重要態勢，包括內容生成成本大幅降低、身分冒充變得可規模化，以及攻擊邏輯從傳統惡意程式轉為更難防範的惡意提示詞。
【臺灣資安大會直擊】合勤資安長游政卿：歐盟CRA上路倒數，產品安全成供應鏈生死線
歐盟網路韌性法案（Cyber Resilience Act，CRA）進入實施倒數，企業的產品資安合規正從「法遵議題」轉變為「供應鏈存亡關鍵」。在臺灣資安大會上，合勤投控資安長游政卿指出，CRA將在未來兩年內引發全球供應鏈重整，產品安全不再只是加分項，而是企業能否持續參與國際市場競爭的基本門檻。游政卿強調，與AI等快速變動的技術趨勢不同，CRA是具體且時程明確的法規要求，預計在2027年12月將會全面生效，企業在2026年就進入關鍵準備階段。這不是未來的問題，而是未來兩年內就會發生的供應鏈洗牌。
【臺灣資安大會直擊】沒弄清楚DevSecOps流程反模式，靠AI也解不了四大根本問題
不少企業看上GAI強大的資料處理能力，想要用來處理繁雜的資安作業。針對這波企業想用AI來強化資安的浪潮，靖本行策執行長盧建成認為，AI只是讓問題變快，不代表責任或決策變得更清楚。過去幾年企業最夯的DevSecOps，已成企業開發的主流方法，不少企業開始想用AI解決DevSecOps成效不彰的困境。但是，威力強大的AI工具，雖然可以彌補IT人員的能力不足，不過並不代表能承接責任。盧建成歸納，責任定義、風險接受標準、例外與特簽機制、治理與追蹤，這四件事，AI解決不了。
去年9月，微軟Azure針對一般用途與記憶體最佳化等兩大雲端運算服務，推出基於AMD第四代EPYC處理器的機密虛擬機器：DCasv6系列與ECasv6系列。時隔5個月，基於英特爾第五代Xeon Scalable處理器的另一批機密虛擬機器：DCesv6系列與ECesv6系列，今年2月也宣告進入正式上線階段。受益於英特爾Xeon處理器標榜的Intel Trust Domain Extensions（TDX）技術，它們也藉此支援微軟與兩大處理器業者合作的Guest虛擬機器遠端見證（Remote Attestation）架構，成為率先響應英特爾信任驗證技術（Intel Trust Authority）的雲端服務業者。
近期資安日報
北韓駭客ScarCruft利用安卓惡意軟體BirdCall攻擊中國境內的脫北者
資安公司ESET發現北韓駭客ScarCruft（APT37）鎖定中國延邊地區的攻擊行動，由於該地區是北韓難民與脫北者的中繼站，駭客很顯然是針對逃離北韓的民眾而來
www.ithome.com.tw
Comments (0)