【資安日報】4月30日，NPM供應鏈攻擊Mini Shai-Hulud鎖定多款SAP套件
資安公司Aikido、SafeDep、Socket、StepSecurity、Wiz提出警告，最新一波NPM套件供應鏈攻擊活動Mini Shai-Hulud針對SAP而來，該公司多個套件受到影響。關於攻擊者的身分，Socket、Wiz推測很有可能就是3月發動大規模攻擊的駭客團體TeamPCP。這些遭到竄改的SAP生態系統套件，駭客植入了預先安裝的指令碼，在NPM套件安裝過程中，自動執行setup.mjs，該指令碼下載Bun執行環境，並啟動經混淆處理的酬載execution.js，攻擊者可藉此在NPM套件安裝完成之前，得以趁機執行特定程式碼。
北韓駭客Famous Chollima透過AI生成惡意NPM套件，藉此洗劫開發人員加密貨幣資產
資安公司ReversingLabs在某個加密貨幣交易專案發現惡意程式碼，經調查發現，AI程式碼助理將惡意的@validate-sdk/v2判定為相依套件，但實際上，該套件是駭客偽造的常見資料驗證工具，會從受害電腦抽取敏感資料。該公司將此攻擊活動命名為PromptMink，被汙染的套件於2月28日引入，攻擊者透過大型語言模型Anthropic Claude Opus提交，藉此洗劫使用者的加密貨幣錢包及資產。該公司指出，這起事故是Famous Chollima廣泛攻擊行動的一部分。
CISA警告ConnectWise ScreenConnect、Windows Shell漏洞已出現攻擊行動
4月28日美國網路安全暨基礎設施安全局（CISA）指出，ConnectWise ScreenConnect路徑遍歷漏洞CVE-2024-1708、Windows防護機制失效漏洞CVE-2026-32202已遭到積極利用，並將這些漏洞列入已遭利用漏洞名冊（KEV），要求聯邦機構於5月12日前完成修補。從漏洞的CVSS評分來看，較嚴重的是CVE-2024-1708，此漏洞於2024年2月揭露，影響23.9.7以前版本的ScreenConnect，CVSS風險評分為8.4分（滿分10分），屬高風險等級，ConnectWise發布23.9.8版予以修補。
本週微軟、美國網路安全暨基礎設施安全局（CISA）證實，CVSS風險僅有4.3分的Windows Shell資安漏洞CVE-2026-32202被用於實際攻擊，但他們並未進一步說明如何被利用。資安公司Akamai透露，此漏洞已遭俄羅斯駭客APT28（Fancy Bear、UAC-0001）利用。此漏洞與微軟2月修補的Windows Shell安全功能繞過漏洞CVE-2026-21510有關，由於修補不完整而導致有弱點。
委內瑞拉能源及公用事業部門遭資料破壞軟體Lotus Wiper攻擊
資安公司卡巴斯基指出，名為Lotus Wiper的資料破壞軟體（Wiper）去年12月針對委內瑞拉能源與公營事業部門而來，而且攻擊的目的很明顯，駭客並未留下勒索訊息，並積極抹除資料，使檔案無法恢復。雖然卡巴斯基並未透露攻擊者的身分，不過資安新聞網站Dark Reading指出，很有可能與委內瑞拉石油公司（PDVSA）的事故有關，該公司去年12月13日傳出疑似遭勒索軟體攻擊，PDVSA認為，攻擊可能來自美國。
勒索軟體VECT 2.0加密檔案出錯，受害者付錢也無法完全復原檔案
為了縮短加密檔案的時間，勒索軟體駭客會採用部分加密的手法，然而若是相關機制存在缺陷，就有可能導致經加密處理的檔案無法復原，而成為變相的資料破壞軟體（Wiper）。例如，從去年12月在俄語網路犯罪論壇出現的勒索軟體VECT。根據資安公司Check Point的調查，近期發布的VECT 2.0大改版，因為對於容量超過128 KB檔案的加密處理機制實作存在弱點，導致用於解密的nonce資料每4組就有3組會被清除，即使是散播惡意軟體的攻擊者也無法將檔案還原。
勒索軟體Gentlemen透過代理伺服器工具SystemBC滲透企業組織
資安公司Check Point揭露勒索軟體Gentlemen，該駭客團體約從2025年中旬開始活動，宣稱迄今已有320家企業或組織受害，其中有240家企業或組織的事故發生在今年1月。這些駭客以租用模式（RaaS）尋找打手，並廣泛提供不同型態的檔案加密工具，包括能在Windows、Linux、BSD等作業系統與NAS運作的版本，以及專為虛擬化平臺VMware ESXi打造的版本。值得留意的是，在其中一起事故裡，Gentlemen部署了代理伺服器工具SystemBC，此類工具通常被用於建立秘密隧道，並傳遞惡意酬載。
美國太空總署（NASA）監察長辦公室（OIG）近日揭露，中國籍人士Song Wu於2017年1月至2021年12月，佯稱自己是知名且與NASA頻繁合作的航太教授，透過Gmail向NASA員工傳送訊息，要求提供受美國政府出口管制的軟體與原始碼，其中包括由NASA開發的航太工程軟體。此人對目標進行大量研究，成功假扮成目標人士的朋友或同事，以需要重新組建或修改應用系統為由，要求受害者提供軟體檔案或原始碼。
臺馬三號海纜部分蕊線受損不到一個月發生全斷，中華電信緊急以微波備援東引通訊
今年3月30日才發生部分蕊線受損的臺馬三號海纜，在不到一個月的時間再次發生海纜異常事件，臺馬三號海纜於馬祖東引外海約2.64公里處發生芯線斷裂，導致北竿至東引段全斷。此次事故影響連江縣東引鄉共約1,500位居民的對外通訊，突顯離島對單一海纜依賴所帶來的網路韌性風險。數發部初步研判原因與海象不佳有關，可能是先前擱淺船隻殘骸因海況變動移動，進而破壞海纜結構。
4月29日製造數位控制器的新代科技（7750）晚間於股市公開觀測站發布資安重訊，表示該公司遭遇勒索軟體攻擊，該公司已進行全面性檢測與防護處理，經初步確認，該公司內部資訊系統及網站運作正常，未受實質影響，亦未發現有機密資料或重要文件外洩之情事。根據初步評估，對公司營運無重大影響。
Mythos模型問世，臺灣兩大資安廠商警示AI將使攻擊門檻大幅降低
Mythos模型引發熱議，臺灣資安專家提出警告，AI將會讓攻擊門檻大幅降低。戴夫寇爾（DEVCORE）紅隊總監許復凱指出，前一代Opus 4.6模型就已經讓漏洞挖掘門檻顯著下降，如今真正的隱憂在於路由器、醫療與金融設備等IoT元件，因資源匱乏，難以像科技巨頭般應對新興威脅。奧義智慧資安研究員陳兆閔與研究處長陳仲寬指出，這波技術進化的關鍵在於能與Debugger等外部工具互動協作，打破過去漏洞開發高成本、低涵蓋的限制，將為漏洞相關產業帶來顛覆性衝擊。
根據資安廠商Akamai最新發布的2026年API安全影響調查報告，全球大型企業正在管理數量龐大且不斷擴張的API資產，每家企業掌管的API數量中位數達到5,900個，單就前四分之一的企業而言，甚至達到29,400個。對此，Akamai警示，隨著API使用數量增長，對於API風險與安全防護範圍的掌控，卻未能同步跟上，導致通報的API資安事故過去4年持續攀升。該公司針對全球1,840位資安專業人士調查，高達87%的組織表示曾遭遇API資安事故，相較於2022年的76%，呈現大幅上升的趨勢。
2025企業面臨勒索軟體攻擊的衝擊，Veeam警示能完全復原資料的比例不到3成
備份與資料保護廠商Veeam發布《2026資料信任與韌性》報告，其中呈現2025年企業遭遇勒索軟體攻擊的情況。過去一年近三成受訪企業曾發生資安事件，這比例看似不高，但若是遭遇勒索軟體攻擊，則後果便十分嚴重。過去一年遭遇勒索軟體攻擊的企業中，56%受害企業表示遭到攻擊者加密或竊取資料，這意味著，僅有不到4成的企業，能在遭遇攻擊時成功防禦，防止資料遭到加密或竊取。
Google發布Chrome瀏覽器更新，修補30個安全性問題，含4個重大漏洞
Google發布Chrome瀏覽器新版本，將Windows與macOS平臺穩定版更新至147.0.7727.137與147.0.7727.138，Linux版本更新至147.0.7727.137，此次改版一共修補30個安全性問題，最受矚目的是4個重大漏洞，皆屬於記憶體釋放後再存取使用（Use After Free）的問題，其中最嚴重的是瀏覽器介面元件View的漏洞CVE-2026-7343，CVSS嚴重性評分達9.8分。
cPanel修補重大身分驗證漏洞，未更新可能導致攻擊者接管主機
網站主機管理平臺廠商cPanel近日發布資安公告，揭露旗下管理軟體cPanel及WHM（WebHost Manager）存在重大漏洞CVE-2026-41940，CVSS嚴重性評分達9.8，攻擊者能在不需通過身分驗證的狀況下，即可取得管理介面存取權限，進而控制主機，由於這兩款軟體是網站主機環境常用的Linux伺服器管理與控制面板工具，因此這項漏洞的影響範圍格外廣泛，用戶必須立即更新至已修補版本。
一次盤點OpenClaw近期嚴重漏洞，關注AI代理框架安全風險
AI應用新創公司Skywork近日發布報告，彙整2026年第1季發現的OpenClaw重大漏洞與修補建議，供使用者參考。對於打算自行建置OpenClaw的用戶，Skywork建議必須使用2026.3.28以上版本，確保已修補CVE-2026-25253、CVE-2026-33579等漏洞，此外還須清理HOME、ZDOTDIR等環境變數，以緩解CVE-2026-32056漏洞，並透過config.patch參數，強制LLM代理執行前必須獲得用戶許可，藉此緩解CVE-2026-41349漏洞。
【2026 企業資安大調查】一張圖看2026年整體臺灣企業資安風險
在2026年iThome CIO&CISO大調查中，企業最常見的資安風險前三名，分別是勒索軟體資安事故（32%）、資安漏洞濫用（28%）和DDoS攻擊（26%）。這三類系統風險都有近三成企業，列為今年必須警戒的威脅項目之一，這幾項也是過去三年來，大型企業最常見的資安事故。
【2026 企業資安大調查】一張圖看2026年金融業企業資安風險
臺灣金融業2026年得優先警戒的資安威脅，包括了8項系統類風險，5項人員類風險，以及1項AI類風險，其中，金融業未來一年兩大首要資安威脅是「網路釣魚/社交工程手段」和「勒索軟體資安事故」，三項次要風險則包括了資安漏洞濫用、商業郵件詐騙和機敏資料外洩，AI風險最需要留意的是LLM應用洩露敏感資料的威脅。
【2026 企業資安大調查】一張圖看2026年高科技製造業企業資安風險
2026年臺灣高科技製造業認為未來一年的首要資安威脅是「網路釣魚/社交工程手段」，另有兩項次要風險也得防備，包括了「商業郵件詐騙」和「勒索軟體資安事故」，值得關注的是「深偽技術冒用」今年也開始進入高衝擊高風險的威脅範疇。
儲域網路進入128G FC時代，博科第8代產品結合AI與量子安全
去年11月博科（Brocade）正式宣布推出首批支援128 Gb FC的第8代交換器設備，機型包括採用模組化機箱的X8 Director系列，以及機箱配置固定網路埠的G820。就整體功能特色而言，博科表示，第8代FC網路設備的推出，不僅憑藉更高的網路傳輸速度（128Gb FC），繼續鎖定企業關鍵業務應用的工作負載，以及AI應用系統的執行需求，也具有量子安全（quantum-safe）的特色，可預防量子運算時代即將來臨而導致加密資料遭解密的威脅。
近期資安日報
北韓駭客Famous Chollima透過AI生成惡意NPM套件，藉此洗劫開發人員加密貨幣資產
資安公司ReversingLabs揭露北韓駭客Famous Chollima最新一波攻擊行動PromptMink，並指出駭客先上架看似無害的NPM套件吸引開發人員採用，待時機成熟，再引入惡意套件，藉此竊取加密貨幣資產
www.ithome.com.tw
Comments (0)