中國駭客Tropic Trooper鎖定臺灣、日本、韓國，透過Adaptix C2與VS Code隧道控制受害電腦

來源：https://www.ithome.com.tw/news/175324

曾攻擊臺灣的中國駭客組織Tropic Trooper（也被稱為Earth Centaur、KeyBoy），如今再傳這些駭客發起新的活動，以軍事主題作為誘餌發動攻擊。

資安公司Zscaler於3月12日發現惡意ZIP檔，Tropic Trooper鎖定臺灣的使用者，並使用軍事相關的誘餌發動多階段攻擊，他們竄改PDF檢視器SumatraPDF的二進位檔案，用來部署AdaptixC2的Beacon代理程式，最終目的是下載與部署Visual Studio Code（VS Code）隧道。根據分析的結果，這些駭客的主要目標是使用中文的臺灣用戶，不過也有日本與韓國用戶受害。

值得留意的是，這些駭客使用的Shell載入工具，與過往活動出現的Toshis極為相似。再者，他們修改了AdaptixC2，濫用GitHub建立C2通訊。除此之外，駭客部分攻擊基礎設施存放了CobaltStrike的Beacon與後門程式EntryShell，而這些都是Tropic Trooper曾經使用的作案工具。

雖然Zscaler指出誘餌文件使用中文並針對臺灣，不過這些文件都是使用簡體中文，而非臺灣一般使用者慣用的正體中文，這代表駭客的目標可能是特定族群。

'

Google發布Chrome瀏覽器更新，修補19項漏洞，含2個高風險漏洞

來源：https://www.ithome.com.tw/news/175322

Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至147.0.7727.116與147.0.7727.117，Linux版本更新至147.0.7727.116，此次改版一共修補19個安全性問題 。

這次Google修補的漏洞中，最受矚目的是2個重大漏洞，首先是CVE-2026-6919，CVSS嚴重性評分達9.6分，為開發者工具DevTools的記憶體釋放後再存取使用（Use After Free）問題，另一個是CVE-2026-6920，CVSS嚴重性評分同為9.6分，為GPU的記憶體越界讀取問題，兩者都屬於記憶體類型問題，也是過往Chrome瀏覽器最大宗的漏洞類型。另一個值得注意的漏洞則是CVE-2026-6921，為CVSS嚴重性評分8.3的高風險漏洞，屬於GPU的條件競爭（Race）問題。

'

DeepSeek開源V4預覽版，支援100萬Token的脈絡長度

來源：https://www.ithome.com.tw/news/175321

中國AI新創DeepSeek上週發表並開源了DeepSeek-V4預覽版，宣稱新版本可支援100萬個Token的脈絡長度，大幅提升代理人（Agent）能力，性能可比美頂級的閉源模型，另外，根據路透社（Reuters）報導，DeepSeek在開發V4時與華為密切合作，並針對華為晶片技術進行調整。

DeepSeek在V4導入了新的注意力機制，並結合DSA稀疏注意力（DeepSeek Sparse Attention）與Token壓縮設計，以降低長脈絡處理所需的運算與顯示記憶體（VRAM，顯存）成本。此外，從V4開始，100萬個Token脈絡長度將成為DeepSeek官方服務的標準能力。

在代理人應用上，DeepSeek-V4已支援包括Claude Code、OpenClaw、OpenCode與CodeBuddy等主流開發框架，可整合至既有工具中執行任務。官方指出，模型已針對程式生成、文件撰寫與多步驟流程進行優化，使其能連續處理從資料蒐集、整理到輸出的完整工作流程，而非僅限於單次回應。

事實上，DeepSeek內部已採用V4作為實際運作的Agentic Coding模型，執行程式開發相關任務。

DeepSeek-V4分為V4-Pro與V4-Flash兩個版本。V4-Pro主打高性能，在世界知識、數學、STEM與競賽型程式任務上表現較強；V4-Flash則採較小參數與激活設計，推理能力接近Pro版，但速度較快、API成本較低，適合日常與大規模部署。

相較於頂級的閉源模型，V4-Pro在多項評測中已展現具競爭力的表現。例如在世界知識測試中領先其他開源模型，僅略遜於Google的Gemini 3.1 Pro；在數學、STEM與競賽型程式任務中則已達到頂級閉源模型水準；在Agentic Coding相關評測中，V4-Pro亦優於Claude Sonnet 4.5，並接近Claude Opus 4.6的非思考模式表現。不過，在更高強度推理的思考模式下，V4-Pro與頂級閉源模型仍存在差距。

DeepSeek-V4延續其低價策略，根據官方公布的API定價，V4-Pro每百萬Token輸入價格約為1元人民幣（快取命中）或12元人民幣（未命中），輸出為24元人民幣；V4-Flash則分別為0.2元、1元與2元人民幣。

相較之下，OpenAI GPT-5.4每百萬Token輸入約2.5美元、輸出約15美元，而Claude Opus 4.6則約為輸入5美元、輸出25美元，顯示DeepSeek-V4在長文本與大規模推論場景中具備顯著成本優勢。

值得注意的是，DeepSeek官方發布內容與華為相關公開資訊中，並未明確說明V4與華為之間的合作細節。路透社則引用華為說法指出，該公司的晶片已被應用於V4的部分訓練過程。

'

後門程式FireStarter鎖定思科防火牆，中國駭客利用已知漏洞滲透裝置

來源：https://www.ithome.com.tw/news/175309

半年前中國駭客組織UAT-4356（Storm-1849）鎖定全球15國政府機關發動攻擊，利用思科防火牆已知漏洞CVE-2025-20333及CVE-2025-20362（CVSS風險評為9.9及6.5分），引起各界高度關注，近期思科與美英政府發出警告，這些駭客再度發起新一波攻擊行動。

4月23日思科威脅情報團隊Talos提出警告，他們掌握UAT-4356積極針對Firepower防火牆的情況，駭客利用Firepower eXtensible作業系統（FXOS）已知漏洞CVE-2025-20333及CVE-2025-20362，在未經授權的情況下存取尚未修補漏洞的裝置，最終植入後門程式FireStarter。此後門程式的主要功能，可讓攻擊者在ASA與FTD設備當中，濫用FXOS的核心元件Lina進行遠端存取與控制，或是執行任意程式碼。對此，Talos呼籲用戶應儘速依照指引採取行動因應。

具體來說，FireStarter可執行受害裝置收到的Shellcode，它會特別尋找WebVPN請求的XML檔案，只要請求資料符合指定的前綴（prefixing）特徵，該惡意軟體就會在記憶體執行。

針對FireStarter的載入手法，Talos指出第二階段使用的Shellcode、處理程式的功能函式替換、魔術位元組（magic bytes）的XML解析，以及最終有效酬載的執行，與另一支惡意軟體RayInitiator的部署手法存在關聯，相似的部分是RayInitiator的第三階段Shellcode，功能是將XML有效酬載傳送到端點API。

此後門程式成功啟動後，會讀取Lina處理程序的記憶體內容，尋找並驗證存在特定位置的記憶體的特定長度位元組，然後確認共用程式庫libstdc++.so的r-xp記憶體範圍。接著，它會將前述第二階段的Shellcode複製到指定的記憶體區域，複寫Lina處理程序記憶體裡的內部資料結構，藉此指向WebVPN特定、合法的XML處理功能函數。

上述惡意Shellcode會透過身分驗證API請求的部分處理程序觸發，解析輸入請求資料的特殊標記，於受害裝置執行有效酬載。

值得留意的是，由於UAT-4356濫用Cisco Service Platform（CSP）的掛載清單CSP_MOUNT_LIST，以此執行FireStarter，使得該惡意程式會在防火牆開機流程執行，從而達到持續於受害裝置活動的目的。Talos特別提到，在裝置斷電等硬體重開機的情況，此惡意軟體才會被移除。

'

Linux惡意軟體GoGra濫用Microsoft Graph API隱匿活動蹤跡

來源：https://www.ithome.com.tw/news/175315

一般來說，為了掩蓋攻擊活動不被察覺，駭客利用合法服務的手法層出不窮，其中一種是微軟的Graph API，有不少Windows惡意軟體活動駭客濫用此服務來建立C2通訊，不過，最近有Linux惡意軟體也加入利用的行列而引起關注。

賽門鐵克與Carbon Black威脅獵捕團隊發現，APT駭客組織Harvester近期開發了Linux後門程式GoGra，此惡意軟體具備高度迴避偵測的能力，利用微軟Graph API與電子郵件信箱服務Outlook建立C2通訊，疑似打算在印度與阿富汗從事網路間諜活動。由於此駭客組織的活動最早可溯到2021年，當時使用後門程式Graphon攻擊Windows電腦，GoGra的出現，代表Harvester採取跨平臺攻擊的策略。

針對攻擊活動發生的過程，Harvester利用社交工程手法，向使用者傳遞誘餌文件檔案，取得進入受害組織網路環境的初始存取管道。他們將惡意ELF檔偽裝成文件檔案，方法是加入像是. pdf的副檔名，刻意加入一個空格的目的，就是為了讓惡意檔案以Linux二進位檔執行。本身是惡意程式載入工具的誘餌文件，大多呈現為PDF檔，但部分偽裝成開放文件格式（ODT）檔案。最終於受害主機植入約5.9 MB的i386執行檔。

GoGra最顯著的特性就是濫用微軟的雲端基礎設施，內含特定的Azure AD應用程式憑證，包括租戶ID、用戶端ID及帳密資料，使得該後門能向微軟請求OAuth2憑證。

此後門程式的C2通訊機制利用開放資料協定（OData）查詢，每2秒檢查電子郵件信箱的資料夾Zomato Pizza，一旦出現主旨為input開頭的信件，GoGra就會使用AES-CBC加密演算法解開經Base64處理的訊息，然後於主機執行來自C2的有效酬載。

'

美國聯邦機構的思科防火牆遭後門程式FireStarter攻擊

來源：https://www.ithome.com.tw/news/175314

思科警告中國駭客UAT-4356（Storm-1849）最新一波攻擊行動，該廠牌防火牆設備遭到鎖定，駭客試圖植入後門程式FireStarter，這樣的情況也引起美國與英國當局關注，並發出警告。

美國網路安全暨基礎設施安全局（CISA）、英國國家網路安全中心（NCSC）發布聯合公告，後門程式FireStarter的活動，是APT駭客廣泛鎖定思科防火牆ASA韌體攻擊的一部分。駭客利用缺乏授權漏洞CVE-2025-20333、記憶體緩衝區溢位漏洞CVE-2025-20362取得初期的存取管道，於ASA與FTD防火牆植入FireStarter，之後即便IT人員修補漏洞，攻擊者還是可在不需重覆利用漏洞的情況下，再次存取受害裝置。CISA特別發出緊急指令ED 25-03，要求美國聯邦機構立即採取行動，利用YARA特徵碼確認網路環境裡的思科防火牆設備是否受害。

CISA於其中一個聯邦機構發現FTD設備出現可疑連線，啟動鑑識調查後發現，有防火牆被植入FireStarter。駭客先在設備部署另一支惡意程式Line Viper，之後再使用FireStarter建立持續存取的管道。CISA強調，若是駭客成功利用CVE-2025-20333與CVE-2025-20362入侵，之後IT人員才套用修補程式，由於思科的更新軟體無法直接清除FireStarter，這些防火牆仍可能曝險。

針對這臺遭駭的防火牆，CISA無法確認駭客是否就是利用上述兩個漏洞取得初期的存取管道，不過他們推測遭到入侵的時間點落在2025年9月。駭客利用Line Viper建立非法的VPN連線，利用受害組織鮮少活動的使用者帳號繞過企業的VPN政策。然而，CISA也不排除駭客使用偽造帳號的可能性。至於駭客在受害設備植入FireStarter的時間，CISA推測是在9月25日之前，而且在IT人員套用修補程式後依舊存在。直到今年3月，APT駭客藉由FireStarter重新存取防火牆，並再次部署Line Viper。

CISA強調，由於FireStarter透過偵測終止訊號，並重新執行的方式持續運作，無論IT人員升級韌體還是重開機，該惡意程式都不會消失，只有在切斷防火牆電源的情況下才會被清除。

'

CISA將微軟Defender漏洞BlueHammer列入KEV清單，要求各機構限期修補

來源：https://www.ithome.com.tw/news/175320

美國網路安全與基礎設施安全局（CISA）警告，4月初揭露的CVE-2026-33825漏洞已遭實際利用，未修補這項弱點的微軟Defender風險正迅速升高，CISA將這項漏洞納入已知遭利用漏洞清單（KEV），要求各機構立即修補。

CVE-2026-33825是4月初曾引起風波的微軟Defender高風險漏洞BlueHammer，由研究人員Chaotic Eclipse揭露，後來微軟在4月14日發布本月例行更新（Patch Tuesday）修補此漏洞，問題源自存取控制機制不足，攻擊者可藉此在受害電腦上取得SYSTEM權限，甚至完全控制系統。

威脅情報公司Huntress於4月17日指出，他們發現研究人員Chaotic Eclipse近日揭露的3個Defender漏洞，都已遭攻擊者利用，除最早發布、且已發布修補程式的BlueHammer漏洞外，還有微軟尚未修補的2個新漏洞，包括可能導致權限提升的RedSun漏洞，以及可能妨礙Defender更新定義的UnDefend漏洞。隨著CISA將BlueHammer漏洞納入KEV清單，顯示Defender受攻擊風險正迅速升高，而當用戶逐步完成此漏洞的修補後，勢必也會讓RedSun與UnDefend這2個尚無修補程式的漏洞，成為攻擊者的焦點，日後很可能也會被納入KEV清單，用戶應持續關注，待微軟發布修補程式後，儘速加以更新。

'

殭屍網路Mirai變種綁架生命週期結束的D-Link路由器

來源：https://www.ithome.com.tw/news/175307

駭客鎖定生命週期已經結束（EOL）的網路設備或物聯網裝置，利用公開但尚無修補程式的已知漏洞從事攻擊，然後植入殭屍網路病毒或其他惡意程式，這樣的情況不斷重複上演。最近有一起攻擊活動，利用了一年前公布的資安漏洞，而引起研究人員的注意。

資安公司Akamai於今年3月發現，D-Link路由器設備DIR-823X遭到鎖定，駭客利用命令注入漏洞CVE-2025-29635，部署殭屍網路Mirai變種tuxnokill。由於這個系列的路由器生命週期已經結束，未有修補程式，駭客恐持續將漏洞用於攻擊活動。

我們向D-Link進一步詢問，該公司表示，DIR-823X僅在中國銷售，因此不影響臺灣與其他國家用戶，此設備於2024年11月生命週期結束，並於2025年8月停止支援，不過，他們未正面說明此漏洞是否完成修補。

CVE-2025-29635為命令注入漏洞，存在於DIR-823X的240126與240802版韌體，取得授權的攻擊者可藉由特定的功能，發送POST請求到/goform/set_prohibiting觸發漏洞，從而觸發遠端命令執行（RCE），CVSS風險評為8.8分，屬高風險等級。此漏洞於2025年3月被揭露，通報此事的研究人員曾公布概念驗證程式碼（PoC）。從時間點來看，D-Link很有可能未發布新版韌體修補漏洞。

針對本次駭客部署殭屍網路病毒tuxnokill的過程，他們會使用Shell指令碼試圖利用漏洞，然後下載惡意軟體有效酬載並執行。除了針對D-Link路由器，Akamai發現駭客還鎖定另外兩款路由器，分別是TP-Link Archer AX21與中興ZXV10 H108L。

'

微軟允許用戶無限制推遲Windows更新，不更新就關閉電源

來源：https://www.ithome.com.tw/news/175318

微軟上週宣布改善Windows使用體驗的方案，將允許使用者略過更新、可無限制暫停Windows更新、不安裝更新而關閉PC、加速App重啟速度、更新失敗時復原Windows。理想上一般用戶一個月只需重開機一次。

微軟三月宣布一系列改善Windows品質的措施，包括減少在Windows中整合Copilot的幅度、承諾提高用戶對升級的控制權，必要時暫停更新系統更多天、裝置設定時可跳過升級以加速安裝、重啟或關閉Windows機器時可不需安裝更新。本週微軟進一步說明細節。

如果用戶在PC設定時選擇跳過更新，最新功能和安全更新就得等到用戶接受更新安裝，用戶可以自由決定時間點。其次，Windows Update將新增「暫停（Pause）」選項。這新功能允許用戶在行事曆上選擇要暫停更新到哪一天，一次最多可暫停35天，因應用戶差旅、會議、考試或工作繁忙無法更新。過去Windows更新推遲有次數限制。但最新變更中，如果一次更新35天還是不夠，微軟允許用戶無限制次延長暫停次數。

另外，微軟宣布將PC電源（Power）動作和更新（Update）動作切開。未來PC在重新啟動及關閉PC時，用戶可以看到4個選項，可以選擇不安裝更新，有更新可安裝時也會同時提供「更新後重新啟動」及「更新後關閉」的選項，不想安裝的用戶不會再意外被安裝更新。而為減少Windows更新干擾工作，在PC重啟後，Windows會試圖更快重置之前開啟的應用程式，縮短被打斷的時間。

最後，微軟將提供更清楚說明更新哪些驅動程式。過去Windows Update時，驅動程式更新項目名稱幾乎很像、或完全一樣，令人混淆。未來驅動程式標題會加入裝置類別（例如顯示卡、網卡、音效卡），以供用戶判斷是否要安裝。

微軟將從每月品質更新的驅動程式、.NET和韌體更新開始著手實作這些變更，減少用戶每月重新開機的次數。品質更新涵括每月安全更新、緊急例外（out-of-band, OOB）更新，以及選擇性非安全更新。

經過新措施，Experimental （即Canary和Dev合併）和Beta頻道會每週獲得更新。零售版的「Persistent Seeker」Insider會每二個月獲得一次（較重大）更新，一般零售版用戶若未選擇提早接獲更新，則只需一個月重開機一次（註：可能是指每月一次的Patch Tuesday）。

為減少對用戶作業產生干擾，Windows更新會於背景下載，等待用戶接受安裝。這次安裝和重啟會與下一次Windows品質更新或用戶手動核准的其他更新對齊。

但是有時Windows更新仍然可能失敗。以後若遇更新失敗時Windows會試圖自動復原，再嘗試安裝。微軟說，缺點是，某些更新會花更長一點時間，但好處是可提高整體Windows更新成功率。

'

Meta與AWS簽約，初期將採用Graviton千萬核心

來源：https://www.ithome.com.tw/news/175317

Meta上週宣布和Amazon Web Services（AWS）合作，將採購AWS Graviton處理器用於Meta運算基礎架構，包括最新的Graviton 5，使Meta成為最大Graviton客戶之一。

本次簽約是雙方最新合作，也是長期合作的一環，一開始Meta將採用「數千萬Graviton核心」，未來可隨Meta AI容量需求成長擴充。Amazon表示，這合作反映AI基礎架構打造思維的轉變；雖然GPU對訓練大型模型仍然重要，但代理式AI興起推升CPU密集任務大量增加，像是即時推理、程式生成、搜尋和協調多步驟任務。

AWS指出，運行代理人運作的基礎架構需要能處理數十億互動，同時協調複雜多步驟代理人工作流程，Graviton系列正是為此設計，透過這項合作，Graviton將支援Meta代理人在內的多種AI應用的大規模運作。

彭博上週報導本案估計金額達數十億美元。

Graviton是Amazon 2018年推出的自研Arm-based CPU，在AWS上，運行在專用軟硬體的AWS Nitro System之上。Amazon指出，Graviton已佔了EC2近兩年新增CPU容量超過一半。去年12月宣布3奈米製程的Graviton 5晶片具備192核心及前代5倍大的快取，使核心間通訊延遲性減少33%。Graviton 5執行個體還支援Elastic Fabric Adapter（EFA）有助於加速執行個體間的通訊。Graviton5-based Amazon EC2 M9g執行個體效能比使用前代時提升25%。

去年媒體報導Meta和Google簽下價值百億美元的六年雲端合約。

Meta和AWS的最新合作是這家社群平臺龍頭為AI應用擴張運算容量計畫的一環。除了使用第三雲端及晶片基礎架構，Meta亟欲自行開發晶片。Meta 2023年發表第一代自研晶片MTIA（Meta Training and Inference Accelerator）100，迄今已經推出6代（MTIA 500）。

Meta兩週前宣布與博通（Broadcom）擴大合作，雙方將共同開發多個世代的自研AI晶片MTIA（Meta Training and Inference Accelerator），希望運用博通的晶片設計、封裝與高速網路技術，打造可擴展至多GW等級的AI晶片，降低對外部GPU的依賴。

Meta和AWS的共同對手，包括Google、微軟都有自研晶片的進展。Google有Axion CPU及AI加速器TPU，後者包括上週發表的第8代TPU（TPU 8i/8t）。微軟則有Cobalt CPU及AI加速器MAIA。

'

ShinyHunters傳竊得保全巨人ADT、遊輪業者Carnival數百萬筆資料

來源：https://www.ithome.com.tw/news/175316

勒索軟體組織ShinyHunters上週分別宣稱駭入保全業龍頭公司ADT和遊輪營運業者Carnival，各取得數百萬筆資料。

ShinyHunters上週透過其資料公開網站貼出對ADT的最後通牒，宣稱持有超過千萬筆包含個人可識別身份資訊（PII）和其他的公司內部資料，要求這家保全龍頭聯繫支付贖金事宜，否則將公布資料及IT環境漏洞。

ADT向BleepingComputer證實此事，表示在4月20日偵測到客戶及潛在客戶資料遭未授權存取。ADT初步調查發現有個資外洩情形。

ADT表示，外洩的個資包括姓名、電話和地址，部份資料還包含出生日期、社會安全碼後四碼、稅籍資料等，但不包含支付資訊，如信用卡或銀行帳號，客戶安全系統沒有受到影響或破壞。該公司表示受影響的個人有限，公司也已通知他們。

此外，ShinyHunters上週聲稱取得遊輪及旅遊業者Carnival資料，可能因勒贖未成，於近日將資料於網上公開。資料外洩查詢服務Have I Been Pwned顯示，Carnival外洩的資料包含870萬筆記錄，涉及750筆電子郵件信箱。根據資料判斷，外洩的資料屬於Carnival子公司荷美遊輪（Holland America）的客戶忠誠方案Mariner Society的客戶資料。外洩的資料類別包含姓名、出生日期、性別、電子郵件、地區、忠誠方案的客戶級別等。

Have I Been Pwned指出，Carnival已經證實本案是起自一位用戶遭釣魚攻擊被竊取帳密，目前正在調查中。不過The Register報導說，這家遊輪者對於哪些資料外洩，是否為勒索事件，以及攻擊者如何成功存取皆未回應或證實。

ShinyHunters從去年已先後宣稱取得上百家知名企業客戶或系統憑證資料，近期知名受害者還包括思科、歐盟執委會等。

'