【資安週報】0407~0410，Claude Mythos預覽版的自主漏洞發現能力，直逼頂尖人類駭客

來源：https://www.ithome.com.tw/news/175026

【資安新聞編輯室報告】在清明連假後的資安新聞中，最受產業矚目的消息之一，是Anthropic發布的Claude Mythos Preview。這款專為安全研究開發的模型，已展現出能自主發現並利用數千個零時差漏洞的驚人能力。這是利用AI解決資安漏洞問題的新里程碑，自DARPA的AIxCC計畫證明可行性後，Claude Mythos正式將此願景推向大規模實際應用，並且是攻擊概念程式都能一手包辦。

此外，汰除簡訊OTP已逐漸從倡議轉向政府層級的金融監管行動，尤其是印度、阿拉伯聯合大公國自4月起開始禁用OTP的措施格外引發關注。另一方面，後量子密碼學（PQC）的消息不斷，隨著業界預期量子運算能力在2026年將有明顯進展，因此認為PQC遷移腳步也需加快，更多科技大廠目標於2029年完成。

政策法規、技術趨勢、產業脈動

☼ Claude Mythos預覽版問世

發表此技術成果的Anthropic表示，為了防止這樣的技術落入危險份子手中，已啟動全球資安防禦計畫Project Glasswing，讓10多家科技與金融業者與40多個關鍵CI組織優先使用Mythos Preview，提前展開大規模漏洞掃描與修補。

我們認為未來的觀察重點在於「AI雙面刃效應」：正面效益在於其能彌補資安人力的缺口，並顯著提升潛在漏洞修補的效率，而且數家科技大廠已經有所行動；隱憂則是未來攻擊者同樣能利用此技術發動攻勢，這對尚未強化產品安全的業者與企業而言，將面臨極大的挑戰。

同一時間，還有其他用AI找漏洞的影響浮現，像是HackerOne最近決定暫停網際網路漏洞懸賞計畫（IBB），這也使得仰賴其漏洞獎金的Node.js宣布不再提供抓漏獎金。原因在於，目前的漏洞修復能力，並未隨漏洞發現能力的躍升而同步演進，還有先前AI生成的漏洞通報浮濫，維護者花更多實踐驗證，有效提交數量卻從15%降至5%。或許，未來若有更多模型能力能與Claude Mythos Preview齊頭並進，整體概況可能又會有所不同。

⊗ 全球掀起簡訊OTP禁用潮

隨著簡訊OTP持續被詐騙集團與駭客濫用，全球金融監管趨勢正迎來重大轉折，要求金融業禁用簡訊OTP的國家越來越多，包括新加坡、馬來西亞，還有印度與阿拉伯聯合大公國（UAE）的限制政策也於2026年4月正式生效。

☆ Cloudflare將PQC遷移進程提前至2029年

不只Google將PQC遷移提前至2029年完成，Cloudflare跟進的態勢，顯示更多科技大廠認為我們需要加速PQC遷移。Cloudflare的作法分成四個階段：2026年確保Cloudflare與來源伺服器間的連線支援ML-DSA；2027年擴大保護範圍至一般訪客連線；2028年整合進Cloudflare One SASE；2029年整合至全產品線。

而促使Cloudflare加速行動的關鍵，一是Google宣布大幅改進破解橢圓曲線密碼學P-256的量子演算法，另一個是量子運算新創Oratomic發表的資源估算報告。此外，HPE亦擴展後量子密碼技術應用，為ProLiant伺服器引進PQC加密技術。

◈ Google於瀏覽器導入DBSC

即便MFA已廣泛普及，Session Cookie劫持仍是攻擊者繞過身分驗證的終極手段，Google自2024年測試裝置綁定連線階段憑證（Device Bound Session Credentials，DBSC）技術後，如今終於導入瀏覽器正式版，並公布推動DBSC標準化的計畫。

♦ Nvidia推出OpenShell執行環境

近期OpenClaw當紅，但也顯示自主AI代理應用缺乏風險管控，Nvidia趁著此波風潮在GTC大會中推出OpenShell，其核心價值在於提供安全執行環境，結合沙箱、政策強制執行引擎，以及隱私路由器等功能。

最新漏洞威脅

在漏洞利用消息方面，這一星期有3項漏洞因為已有駭客鎖定利用須優先關注。

Fortinet CVE-2026-35616

●發生零時差漏洞攻擊事件，目標是Fortinet的FortiClient EMS的CVE-2026-35616，攻擊者身分未知。已被列入KEV。

Citrix CVE-2026-3055

●Citrix甫修補NetScaler的重大漏洞CVE-2026-3055，有威脅情報公司watchTowr與Defused Cyber發現積極偵察活動。已被列入KEV。

Oracle CVE-2026-21962

●Oracle在今年1月修補WebLogic Server漏洞CVE-2026-21962，CloudSEK研究人員發現已有鎖定利用跡象。尚未被列入KEV。

還有3項尚未有CVE編號的漏洞消息揭露值得留意，其中兩起更是零時差漏洞攻擊事件，已有攻擊者鎖定利用。

Adobe PolyShell

●駭客利用PolyShell漏洞大規模入侵Magento電商平臺，手法是用雙連擊（Double-tap）交易資料側錄工具，將竊取信用卡資料的竊資軟體埋藏在SVG圖。目前PolyShell尚未有CVE編號，僅有Adobe安全公告APSB25-94。

Adobe Reader

●多位研究人員發現Acrobat Reader有新的零時差漏洞攻擊事件，並指出攻擊者掌握漏洞的時間至少半年。目前這些漏洞尚未有CVE編號公開。

微軟 BlueHammer

●有研究人員疑不滿微軟處理態度，憤而公布名為BlueHammer的零時差漏洞，資安公司Cyderes指出該漏洞與內建防毒Microsoft Defender的更新機制有關。

重要威脅態勢

數字情報

臺灣海纜障礙事件2025全年32起，近岸事件7起中有6起是人為

數發部公布我國海纜受損年度分析報告，指出，1起為蕊線劣化的自然因素，其餘6起都和人為有關，包括船錨勾損、漁撈作業及疑似外力破壞。還有25起遠海海障礙障事件，原因多與地震引發的海底滑坡有關。

駭客鎖定企業雲端環境的初始入侵手法大洗牌，語音網釣以23%居冠

M-Trends 2026報告揭示：全球有4成企業能在一星期內發現入侵，但2025年出現逆轉訊號，同時指出語音網釣威脅在2025年竄升，成為初始入侵第二常見途徑，更引人注目的是，駭客鎖定企業雲端環境的初始入侵手法大洗牌，語音網釣居冠。

逾5成企業未自行掌控雲端資料加密金鑰

Thales發布《2026年資料威脅報告》指出，逾半數企業未自行掌控雲端資料加密金鑰，而是交由雲端服務商管理，顯示金鑰控管能力不足；而在加密金鑰的管理方式上，僅約三成企業採用自帶金鑰（BYOK）模式，多數仍依賴雲端平臺工具。

專家觀點

Anthropic專家談Claude Mythos Preview能力

Anthropic研究科學家Nicholas Carlini表示，在過去幾週發現的Bug，比我這輩子加起來還要多。例如在OpenBSD中，發現了一個隱藏長達27年的漏洞，僅需向伺服器發送特定封包即可導致系統崩潰；而在 Linux系統中，則發現了多個權限提升漏洞，允許非授權用戶藉由執行特定 Binaries 獲取最高管理權限。

Project Glasswing計畫標誌著網路安全的轉捩點

過去擔任Sophos產品總監，現為Arctic Wolf 的技術與服務總裁的Dan Schiappa指出，Anthropic聯合多家科技巨頭啟動的全球資安防禦計畫Project Glasswing，多年來，AI模型一直在幫助網路攻擊者縮小漏洞發現和利用之間的差距，Mythos的出現標誌著網路威脅的重大變革 。例如， 發現新型漏洞的成本，可能降低至僅需一次提示（Prompt）的代價，漏洞發現到被演變為攻擊利用的時間差將持續縮減，資安團隊所需評估與修復的漏洞總量，將會面臨大規模擴張。

重大資安事件

上市櫃資安重訊：

工業電腦製造廠振樺電子指出接獲外部情資單位通知，官網及部分網路服務資料疑遭入侵而導致部分資料外洩。

航太引擎扣件製造商豐達科技表示資訊系統遭受駭客網路攻擊

製藥廠健喬信元醫藥生技表示資訊系統遭受駭客攻擊

近期股價衝上3000元的半導體設備大廠弘塑科技表示公司資訊系統遭受勒索病毒攻擊

國際重要資安事件

美國麻州醫療體系Signature Healthcare遭網路攻擊，導致化療、救護車派送、及藥局運作受到影響。

洛杉磯警局傳出遭駭消息，有勒索軟體組織透過World Leaks網站聲稱竊得其7.7 TB官司資料並公開文件。

資安活動快訊

'

NetApp更新EF系列全快閃儲存陣列，I/O效能與傳輸頻寬大幅提升2.5倍

來源：https://www.ithome.com.tw/review/175024

在上個月GTC大會期間，NetApp除發布AI相關產品訊息，如正式推出AI Data Engine（AIDE）解決方案，以及將支援Nvidia STX儲存參考架構外，也發表新款EF系列儲存陣列EF50與EF80，強調I/O效能與傳輸頻寬規格都較上一代機型大幅提升。

EF系列是NetApp旗下的效能導向區塊儲存設備，主要訴求是提供低延遲、高傳輸頻寬的效能表現，而非擴展能力或資料服務功能。NetApp自從在2019年與2020年分別推出EF600與EF300後，曾有一段長時間未曾更新這個系列的硬體款式，直到2025年初，才推出EF600與EF300搭載QLC SSD的改款——EF600C與EF300C，透過引進QLC SSD，將儲存密度提高逾4倍，基礎機箱（Base System）的最大儲存容量從367TB提高到1.5PB，IOPS效能略有降低，傳輸效能則維持相近水準。

而新推出的EF50與EF80，則在維持高容量密度規格的同時，大幅提高效能規格。以IOPS效能來說，舊款的EF600與EF300分別可達到200萬與67萬IOPS，EF600C與EF300C則降到100萬與35萬IOPS。至於新一代的EF50與EF80則能達到170萬與500萬IOPS，較舊款機型提升2.5倍以上。

而在傳輸效能方面，EF600/600C與EF300/300C的讀取與寫入傳輸頻寬，分別達到44GB/s與13GB/s，以及20GB/s與7GB/s。而EF50則能達到41GB/s與30GB/s，EF80更能達到110GB/s與57GB/s，也較舊款機型提高2.5倍。

除提升效能規格外，EF50與EF80在作業系統軟體與I/O介面規格方面也有更新。在作業系統方面，以SANtricity OS 12.0版，取代舊款EF系列的SANtricity OS 11.x版，這是針對全NVMe架構與AI工作負載最佳化，且專用於EF50與EF80的新版本，主要特色是將動態儲存池（Dynamic Disk Pool）的預設區塊從128KB降為32KB，更適合大、小I/O區塊混合的情境，另外還有更嚴格的憑證安全，以及內含Script編輯器的全新管理介面。

在I/O介面方面，舊款EF系列支援25/100/200Gb乙太網路、100/200Gb InfiniBand與32Gb FC，新款EF系列則升級為200Gb乙太網路與InfiniBand，以及64Gb FC（其中200Gb乙太網路與InfiniBand只有較高階的EF80提供）。

如同先前的EF系列，EF50與EF80也能在前端搭配運行Lustre或BeeGFS平行檔案系統的伺服器節點，組成針對AI與HPC應用的儲存套件。

綜觀這兩年來的EF系列儲存陣列發展，可以發現NetApp藉由去年與今年初的兩次改款，先後提高EF系列的容量密度與效能規格，並將這系列產品的後端儲存傳輸架構，從傳統的SAS與NVMe混合架構，逐步過渡到全NVMe架構。不過規格提升的代價，則是功耗的明顯增加，以高階款式作為對比，舊款EF600/600C的典型與最大功耗分別為979瓦與1128瓦，新款EF80則達到1235瓦與1758瓦，分別增加26%與55%之多。

產品資訊

NetApp EF50與EF80

●原廠：NetApp

●建議售價：廠商未提供

●機箱尺寸：2U/24Bay

●最大原生容量：EF50與EF80均為1.5PB

●I/O介面：EF50提供16組64Gb NVMe/FC或FCP，EF80提供24組64Gb NVMe/FC或FCP，或12組200Gb NVMe/IB或NVMe/RoCE

●儲存作業系統：SANtricity OS 12.0版

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】

'

開源監控平臺Grafana修補AI助理功能漏洞，防範提示注入攻擊導致資料外洩

來源：https://www.ithome.com.tw/news/175021

資安公司Noma研究人員近日發布報告，揭露開源監控與資料視覺化平臺Grafana的AI助理功能，存在GrafanaGhost漏洞，可透過間接提示注入（Indirect Prompt Injection）手法，誘使AI助理將企業敏感資料外洩至外部伺服器。

Grafana平臺內含的AI助理功能，可協助使用者以自然語言查詢與分析系統監控資料。研究人員指出，攻擊者可在Grafana平臺讀取的外部網址嵌入惡意指令，當AI助理功能解析這些資料時，可能被誘導繞過安全防護機制，進而執行對外傳輸請求，將用戶資料附帶於URL參數中，傳送至攻擊者控制的伺服器，由於整個過程不會出現任何錯誤訊息，用戶難以察覺異常。

資安媒體Hackread轉述Grafana平臺開發者Grafana Labs資安長Joe McManus說法，表示該公司在獲得Noma的通報後，便迅速修復問題，但不認為這構成「零點擊（zero-click）」或「自主攻擊（autonomous exploit）」， 他指出，若要成功利用這個漏洞，需要用戶與AI助理互動，包括反覆指示AI助理執行嵌入的惡意指令。該公司強調，沒有證據顯示此漏洞已被實際利用，並確認沒有資料從 Grafana Cloud 洩露，該公司認為此問題是限定的、由用戶驅動的情境，而非靜默的AI驅動攻擊（silent AI-powered attack）。

'

【資安日報】4月13日，CPUID網頁被入侵，駭客散布木馬程式STX RAT

來源：https://www.ithome.com.tw/news/175020

硬體監控工具開發公司CPUID網頁遭入侵，駭客用來散布惡意軟體STX RAT

知名的硬體監控工具CPU-Z、HWMonitor的供應商CPUID，傳出網站遭到入侵，駭客藉此散布惡意軟體。最早揭露此事的是資安研究團隊VX-Underground，他們在社群網站X指出，東部時間（EST）4月10日晚間7時（臺灣時間4月11日上午7時）有使用者發現CPUID的網站cpuid.com存在惡意軟體，駭客入侵後，透過偽造的HWMonitor軟體散布惡意程式，目的似乎是竊取瀏覽器憑證等各式資料，因為研究人員在分析的過程發現，惡意軟體會試圖針對Chrome的IElevation COM介面，擷取並解密存放的密碼資料。後續該團隊發現，駭客也對CPU-Z上下其手。

對此，CPUID的經營者Doc TB證實此事，他們初步判斷是網站的某個API工具遭駭，攻擊者約從4月9日至10日入侵約6個小時，導致網站隨機顯示惡意連結。不過，經過該公司簽章的原始檔案，未遭到入侵。

Adobe揭露與修補Acrobat Reader零時差漏洞，建議用戶72小時內完成更新

上週二Acrobat Reader爆出零時差漏洞的消息，資安漏洞濫用偵測系統EXPMON的創辦人李海飛（Haifei Li）表示，他發現鎖定這套軟體平臺的PDF漏洞濫用攻擊，當中利用Adobe尚未揭露與修補的漏洞，而且在Acrobat Reader的最新版本26.00121367，仍然有效，隔天又有人向其回報新的變種攻擊樣本，並確認該樣本去年底就出現在線上資安檢測服務VirusTotal，顯示此項漏洞濫用威脅已持續4個月以上，引發資安界關注。

4月11日Adobe發布預先排定計畫的Acrobat Reader安全性修補公告，揭露漏洞編號為CVE-2026-34621，CVSS嚴重度評分為9.6分，屬於重大漏洞，問題出在對物件原型屬性的修改管理不當，被歸類為原型汙染（Prototype Pollution）類型的弱點，影響的產品包括早於26.001.21367版的Acrobat DC與Acrobat Reader DC，以及早於24.001.30356版的Acrobat 2024。

網釣平臺Venom活動升溫，駭客用於對高階主管發動攻擊，意圖竊取微軟帳號

資安公司Abnormal揭露網路釣魚服務平臺（PhaaS）Venom，並指出相關攻擊活動從2025年11月至2026年3月期間升溫，駭客系統性針對全球重要組織的執行長、財務長等高階主管，假借SharePoint檔案共用的通知，並以財務報告的誘餌引誘收信人掃描QR Code。值得留意的是，駭客根據姓名挑選下手目標，有六成是總裁或C級主管，攻擊的範圍橫跨超過20個產業。

一旦收信人掃描QR Code，駭客就會先透過假的驗證工具過濾使用者身分，檢查使用者代理字串（User Agent），藉此排除資安公司、無頭瀏覽器、雲端服務供應商、滲透測試工具等。駭客也搭配IP位址即時聲譽檢測工具、蜜罐陷阱（Honeypot），目的是捕捉自動化工具與看不見的網頁元素互動的情形。

Apache ActiveMQ修補存在13年的高風險漏洞，未更新可能導致遠端程式碼執行

開源訊息中介軟體ActiveMQ存在高風險漏洞，可能導致遠端執行任意程式碼，根據資安公司Horizon3.ai在4月7日的揭露，此漏洞已存在13年之久，之所以發現，源自該公司研究人員使用Anthropic的AI工具Claude，負責維護ActiveMQ的Apache基金會隨即發布安全公告，並釋出修補程式。

這個漏洞編號為CVE-2026-34197，CVSS嚴重性評分達8.8分，問題源自ActiveMQ內建的Jolokia管理API輸入驗證機制不足，攻擊者可透過特定操作，誘使系統載入外部惡意設定檔（Spring XML），進而在系統上執行任意指令。發現與通報這個漏洞的資安公司Horizon3.ai表示，攻擊者需要通過身分驗證才能利用此漏洞，但在ActiveMQ的6.0.0到6.1.1等版本中，由於另一漏洞CVE-2024-32114的存在，將導致攻擊者無須驗證身分即可存取Jolokia API，進而利用CVE-2026-34197發動遠端執行程式碼攻擊。

OpenSSH發布10.3版修補指令注入漏洞，未更新可能導致執行任意指令攻擊

Linux常用的開源遠端存取工具OpenSSH，日前發布10.3與10.3p1版，修補包括指令注入、檔案權限處理與憑證驗證在內的多個漏洞，未修補可能導致任意指令執行、提升權限、繞過驗證等問題，建議用戶盡速修補。

這次修補的漏洞中，最受矚目的是指令注入（Shell Injection）漏洞CVE-2026-35386，雖然CVSS嚴重性評分只有3.6分，需要特殊的設定與輸入條件才能觸發，但可能導致遠端執行任意程式碼。細部而言，問題出在OpenSSH用戶端對於使用者名稱與輸入字元的處理，存在缺陷，攻擊者可透過特定用戶名稱與設定檔中的特定標記字串，進行指令注入攻擊。

Apple Intelligence護欄可被繞過，研究人員誘導模型輸出不當內容

為提升大型語言模型（LLM）的安全性，蘋果Apple Intelligence將模型存放在本地裝置，不過，近期RSA大會（RSA Conference，RSAC）研究人員運用新手法，使其得以繞過蘋果Apple Intelligence護欄進行對模型操弄，使其產出惡意文字。

瑞士聯邦政府研究人員及洛桑聯邦理工學院（EPFL）學者結合兩種手法，成功繞過Apple Intelligence護欄。一是名為「神經執行（Neural Exec）」的方法，類似間接式指令注入（indirect prompt injection），輸入人類看來沒有意義的內容，卻能像咒語一樣能控制LLM，攻擊者可以藉此指定想執行的惡意程式碼；第二手法是利用Unicode由右向左覆寫文字的功能，進行字元逆轉攻擊（BiDi Attack）。

AI出現「暗中違規」行為，研究揭半年近700起事件、5個月暴增近5倍

英國非營利研究機構長期韌性中心（Centre for Long-Term Resilience）發布最新研究指出，AI系統在真實環境中已出現違反人類指示、甚至規避限制的行為，且相關案例數量正快速增加。研究統計，在2025年10月12日至2026年3月12日期間，共辨識出698起與「scheming」（隱蔽偏離目標的行為）相關的真實事件，單月事件數量在5個月內成長達4.9倍。

所謂「scheming」，是指AI同時具備「目標偏離」（misalignment）與「隱蔽性」（covertness），在未被察覺的情況下，執行偏離使用者或開發者原意的行為。研究認為，這類行為可視為AI系統可能出現失控風險的早期徵兆。

Node.js宣布暫停提供抓漏獎金

知名漏洞懸賞平臺HackerOne近日宣布，由於AI輔助漏洞挖掘提升覆蓋範圍與發現的速度，使得開源生態圈出現改變：漏洞發現與漏洞修復的平衡被打破了，自3月27日開始，網際網路漏洞懸賞專案（Internet Bug Bounty，IBB）將不再受理新漏洞提交，這樣的情況很快影響到開源專案。

Node.js發布公告指出，由於IBB暫停，他們向通報漏洞的人士發出獎賞的資金來源因此中斷，由於Node.js是由自願參與的人士發起的專案，未有專屬預算能供應漏洞懸賞使用，因此在沒有其他外部經濟援助的情況下，他們將暫停為漏洞通報者提供獎勵。

以資安打造企業永續基石，Fortinet談AI與資安如何打造低碳、可信任的數位轉型

在企業加速數位轉型與淨零壓力同步升溫的當下，資安不再只是防禦工具，而逐漸成為支撐永續發展的關鍵基礎。Fortinet工控資安產業發展總監陳心怡在2026數位永續高峰中指出，在AI與ESG交會時代，沒有資安，就沒有真正的轉型，企業如果忽略資安，數位與永續轉型發展都可能失去根基。

企業若沒有建立完善資安機制，她直言，數位轉型只會停留在表面的優化，難以真正達到長期永續。以能源、電網、交通等關鍵基礎設施為例，資安關係到關鍵基礎設施的營運韌性與社會穩定，為永續治理中不可或缺的一環。\

中國駭客Silver Fox假借稅務名義從事網釣，將攻擊範圍擴大至南亞多國

曾針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（也被稱做Void Arachne），近年來攻擊活動頻傳，駭客藉此散布後門程式Winos 4.0（ValleyRAT），不過，最近有資安公司發現，這些駭客的手法出現重大變化。

資安公司Sekoia針對Silver Fox進行長期追蹤，指出這些駭客的攻擊行動最早可追溯到2022年，犯案的動機是為了經濟利益，約從2024年開始，Silver Fox逐漸轉向APT型態的活動。他們主要的工具是模組化後門Winos 4.0，有些活動還會搭配Gh0st RAT變種HoldingHands，以及Blackmoon等中國駭客普遍採用的惡意軟體。值得留意的是，Sekoia發現，這些駭客從去年開始，從原本慣用的Winos 4.0轉向合法的遠端監控與管理工具（RMM），後續又改用以Python開發的竊資軟體，他們將該惡意軟體偽裝成WhatsApp的應用程式來魚目混珠。

弘塑資訊系統遭勒索軟體攻擊，著手搶救資料

4月10日半導體濕製程設備製造商弘塑科技（3131）發布資安重訊，指出資訊系統遭遇勒索軟體攻擊，該公司在第一時間偵測到異常情況並進行確認後，隨即啟動資安應變機制，進行系統隔離、防護強化，以及資料復原作業。值得留意的是，該公司提及目前仍在持續搶救資料當中，對於事故造成的損失，則有待進一步評估。

其他資安威脅

◆美國關鍵基礎設施近4千臺設備遭伊朗駭客攻擊

◆蠕蟲程式GlassWorm透過載入工具Zig滲透IDE

◆Python資料分析工具Marimo重大漏洞遭到利用

◆逾1,000個AI影像生成管理平臺ComfyUI遭到攻擊，駭客用於挖礦、部署殭屍網路

◆中國駭客Silver Fox針對日本報稅季發動網釣

近期資安日報

【4月10日】伊朗駭客鎖定美國關鍵基礎設施發動攻擊

【4月9日】Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客

【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施

'

木馬程式STX RAT同時具備竊資軟體的功能

來源：https://www.ithome.com.tw/news/175018

上週末知名處理器資訊顯示工具CPU-Z的開發者網站CPUID遭到入侵，駭客滲透特定網站元件並竄改下載連結，散布遠端存取木馬（RAT）程式STX RAT，這個惡意軟體會造成何種危害？近期有資安公司公布細節。

資安公司eSentire指出，他們在2月底看到該惡意程式的活動，駭客鎖定金融產業發動攻擊，藉由用戶的瀏覽器下載VBS指令碼檔案，於受害電腦部署此惡意程式。他們提到，資安公司Malwarebytes於3月初揭露有人散布惡意版本FTP應用程式FileZilla，是其中一種散布STX RAT的管道。

STX RAT的本質是遠端存取木馬，其中整合了HVNC與隱匿的遠端桌面連線功能，使得攻擊者能遠端控制受害電腦，不過除此之外，該惡意程式還納入竊資軟體的功能，鎖定瀏覽器存放的憑證與Cookie、加密貨幣錢包，以及FTP用戶端程式的憑證。eSentire指出，駭客似乎還打算破解應用程式綁定加密（Application-Bound Encryption，ABE）機制——此為Chrome 127版導入的對抗竊資軟體功能，不過，研究人員並未看到駭客成功擷取ABE金鑰，推測相關功能尚未正式啟用。

駭客使用多階段的解密與解壓縮機制，藉由XXTEA與Zlib來解開嵌入的有效酬載。此惡意軟體只有在收到C2伺服器的明確命令後，才會執行竊取資料的工作，目的是避免在沙箱環境或是資安人員的測試環境留下證據。

值得一提的是，C2通訊雖然以常見的TCP連線進行，但攻擊者採用專屬且具有特定前綴的通訊協定，並透過精心設計的加密C2通道，避免資安系統與研究人員察覺異狀。再者，駭客也透過Clearweb與Tor網路連線，作為備援的C2通訊機制。

為了避免研究人員逆向工程，STX RAT經過多層字串混淆處理，再者，駭客也透過加鹽處理的SHA-1雜湊值，解析Windows的API與功能模組的相依性，這麼做也使得研究人員分析變得更加困難。

'