GitHub改善Copilot程式碼審查，組織可統一控管Runner與內容排除設定

來源：https://www.ithome.com.tw/news/176610

GitHub更新Copilot程式碼審查（code review）功能，新增組織層級Runner控管、Copilot內容排除支援，並移除儲存庫自訂指示檔的字元限制。該更新讓組織管理員可更集中管理AI程式碼審查的執行環境，以及Copilot審查時可使用的儲存庫內容，也讓開發團隊能提供更完整的審查規範。

Copilot程式碼審查採用代理式架構後，由GitHub Actions提供執行基礎。GitHub原先預設讓Copilot程式碼審查使用標準GitHub託管Runner，團隊也可另外設定自行託管Runner或較大型GitHub託管Runner。本次新增的組織層級Runner設定，讓組織管理員不必逐一調整各儲存庫，即可指定整個組織內Copilot程式碼審查預設使用的Runner類型。

GitHub也提供鎖定Runner設定的選項。組織管理員啟用後，組織預設值可覆蓋個別儲存庫設定，避免不同專案各自使用不同執行環境。官方說明，該設定同時適用於Copilot程式碼審查與Copilot雲端代理。管理者可在組織設定中進入Copilot、Runner類型與Runner類型配置進行設定。

另一項更新是Copilot程式碼審查開始遵循Copilot內容排除設定。儲存庫、組織與企業層級若已設定要排除的檔案或目錄，Copilot程式碼審查便不會利用這些內容作為脈絡。GitHub文件寫明，儲存庫管理員、組織擁有者與企業擁有者可管理內容排除設定，並可透過路徑規則指定Copilot應忽略的檔案範圍。

內容排除支援納入程式碼審查流程後，已設定排除規則的儲存庫、組織或企業，可更一致地控管Copilot程式碼審查能使用的內容，例如指定不希望納入審查脈絡的檔案或目錄。

GitHub同時移除自訂指示檔的4,000字元讀取限制。之前Copilot程式碼審查讀取儲存庫內的自訂審查規範檔時，若.github目錄下的copilot-instructions.md或符合*.instructions.md命名格式的檔案達到4,000字元，便會停止讀取。限制移除後，團隊可在儲存庫自訂指示中放入更完整的程式碼風格、測試要求、架構慣例與審查注意事項。

'

CISA將Ivanti Sentry滿分漏洞列為已知遭利用，Ivanti稱攻擊嘗試僅見於蜜罐環境

來源：https://www.ithome.com.tw/news/176612

美國網路安全暨基礎設施安全局（CISA）於6月11日宣布，將影響Ivanti Sentry安全閘道設備的CVE-2026-10520，納入已知遭利用漏洞（KEV）清單。Ivanti針對他們早先說明尚未掌握有客戶遭攻擊者濫用這兩項漏洞的情況，後續提出補充解釋。該公司認為，CISA將其納入KEV清單的依據，在於蜜罐環境出現攻擊嘗試。

此事源自Ivanti於6月9日發布安全公告，修補Sentry兩項重大漏洞CVE-2026-10520與CVE-2026-10523，其中CVE-2026-10520是作業系統命令注入漏洞，CVSS分數達滿分10.0分。

根據Ivanti安全公告常見問題的答覆資訊，該漏洞對客戶造成的實際風險，取決於Sentry設備的部署方式，以及管理介面是否限制外部存取。若Sentry設備由EPMM管理，受影響API在納入管理後會受到雙向TLS（mTLS）保護；若透過Neurons for MDM管理，不應將管理介面的8443連接埠暴露於網際網路，避免外部攻擊者存取受此漏洞影響的API。無論採用何種部署方式，都應遵循Ivanti文件對於MDM和EPMM的建議。

針對CISA將CVE-2026-10520加入KEV的判定，Ivanti強調，若要利用CVE-2026-10520，需要存取管理介面的8443連接埠，若用戶依照Ivanti的建議，管理介面不應暴露於網際網路。然而，為了識別惡意行為是否存在，蜜罐環境經常採用不適當的配置。因此，Ivanti認為CISA所根據的狀況是發生在蜜罐環境，而非正式使用環境。

'

【資安日報】6月15日，美國政府禁止外國人士使用Claude Fable

來源：https://www.ithome.com.tw/news/176604

美政府要求封鎖他國用戶存取Claude Fable與Mythos，Anthropic全面暫停提供

甫於6月9日發表的Claude Fable 5與Mythos 5模型，Anthropic於12日表示暫時必須被迫對所有用戶關閉，原因是他們接獲美國政府發出的出口管制命令，要求中止所有非美國籍人士存取這些模型，無論這些用戶位於美國境內或境外，即使是Anthropic的外籍員工，也在管制命令的範圍裡。美國政府祭出管制命令的原因，Anthropic認為可能與模型遭到越獄有關。該公司強調，Opus 4.8與其他模型存取不受影響。

Anthropic調整Mythos級模型資料留存政策，提示詞與輸出將保留30天

Anthropic調整包括Claude Mythos 5與Claude Fable 5模型的資料留存政策，基於其信任與安全目的，保留使用者提交給這類模型的提示詞與模型輸出30天。該政策已於2026年6月9日起生效，主要影響原本採用零資料留存（Zero Data Retention，ZDR）的企業與雲端服務客戶；其他模型與未採用ZDR的使用情境，則維持既有條款。制訂這項新政策的原因，在於部分濫用行為無法只從單一次請求判斷，必須跨多次提示詞與輸出觀察模式才能確認。

製藥巨擘諾和諾德遭駭，外洩臨床試驗病患資料

丹麥製藥業巨擘諾和諾德（Novo Nordisk）於6月11日公告，內部IT系統遭未授權存取，導致參加臨床試驗的病人資料外洩。駭客存取了部分IT系統，並且複製部分未公開資訊。諾和諾德說明，事件影響了參與公司某些臨床測試的病患資訊。但該公司強調，這些資訊並未直接連結這些病患的姓名或其他可辨識身分的屬性，這是因為可辨識身分的資訊需要其他存取管道。因此這家藥廠相信，這次事件不會造成受測者身分曝光。

九州電力送配電遺失備份裝置，1,090萬用戶資料面臨外洩風險

日本九州電力旗下九州電力送配電於6月8日公告，用來備份部分系統資料的外接儲存裝置遺失，內含最多1,090萬用電帳戶的資料，包括姓名、供電地址、用電量，以及電話號碼等，但未含銀行帳戶及信用卡資訊。該公司在4月27日完成備份後，確認已將外接儲存裝置放在櫃子內，但5月26日要再進行定期備份時，就找不到該裝置了。九州電力送配電也曾詢問在這期間曾經出入機房的人員並進行現場調查，迄今仍未尋獲。

駭客宣稱竊走Dynatrace數百個GitHub儲存庫，外洩原始碼、公司資料

AI基礎架構效能監控及安全供應商Dynatrace傳出GitHub儲存庫遭竊，駭客存取246個儲存庫，導致公司基礎架構資訊、軟體原始碼與員工資料外流。代號為xpI0itrs駭客在駭客論壇上張貼Dynatrace GitHub資料的兜售訊息，宣稱是利用廠商私有存取令牌（PAT）得逞，內容包含內部基礎架構、CI/CD管線、Kubernetes叢集管理資訊、敏感基礎架構細節、組織架構，以及特定專案的員工資訊，檔案大小為8.46 GB，開價1.2萬美元。不過，迄今Dynatrace尚未對外針對此事作出說明。

Arch Linux套件庫AUR爆供應鏈攻擊，孤兒套件遭接管，被用於散布惡意程式

以提供用戶高度自由的Linux發行版Arch Linux，其社群軟體套件庫Arch User Repository（AUR）傳出供應鏈攻擊事件。軟體供應鏈安全業者Sonatype於6月11日揭露，攻擊者鎖定存放在AUR的無人維護套件，在接手合法套件後修改PKGBUILD或安裝指令，使使用者在建置或安裝套件時，透過NPM下載惡意套件atomic-lockfile，進而執行Linux惡意酬載。Sonatype後續更新指出，初步估計受影響套件總數可能接近1,500個。

法國政府通訊平臺Tchap發生帳號冒用事件，逾7.3萬名公部門人員受影響

法國政府加密即時通訊平臺Tchap發生安全事件。負責Tchap的營運單位法國跨部會數位事務局（Direction interministérielle du numérique，DINUM）於6月8日公告，6月7日其中一個Tchap使用者帳號遭冒用，攻擊者藉此查看該帳號可存取的公開對話內容。DINUM表示，已與法國國家資訊系統安全局（ANSSI）協調分析此事，並封鎖涉案帳號。DINUM估計，Tchap超過82.5萬名使用者中，有73,467人可能受影響，占整體近9%。

澳洲第二大製糖業者Mackay Sugar遭網路攻擊，兩糖廠營運停擺並迫使農戶暫停收割

澳洲第二大製糖公司Mackay Sugar遭遇嚴重資安事故，導致昆士蘭麥凱地區的兩座糖廠營運中斷。由於該公司生產的粗糖經常外銷至亞太多個國家的精煉廠，這起事件不僅突顯農工業供應鏈面臨網路威脅時的脆弱，後續是否影響國際市場與產業鏈，亦值得持續關注。這起攻擊事件發生於6月10日，正值磨坊榨糖作業（crushing）剛啟動之際，造成該公司Farleigh與Racecourse糖廠的製糖與甘蔗運輸作業全面停擺，甚至被迫向麥凱地區的種植者發出停止收割通知。

中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏隔離網路環境近十年

資安公司Sygnia在兩年前揭露中國駭客組織Velvet Ant的網路間諜活動，這些駭客曾利用F5 BIG-IP負載平衡設備建立持續存取管道，也有利用思科網路設備作業系統零時差漏洞CVE-2024-20399滲透受害組織的記錄，然而該公司發現，這些駭客也染指隔離網路環境，潛伏近十年才被發現。Sygnia近日公布Operation Highland攻擊行動，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。

中國駭客瞄準缺乏EDR防護的邊界設備，藉Brickstorm後門潛伏18個月

資安業者Volexity揭露，中國駭客組織UNC5221（VerdantBamboo）在長期入侵事件中，將惡意程式放在企業邊緣與基礎設施，再利用Brickstorm後門提供的代理連線能力和遭竊憑證，存取受害組織的Microsoft 365環境。該做法讓攻擊流量更像來自企業內部網路，進而避開原本用來限制外部登入的條件式存取政策。Volexity察覺此事的過程，在於他們發現受害的Egnyte Storage Sync系統，此平臺連到攻擊者控制並透過Cloudflare代理的網域。

AI開發平臺Langflow路徑遍歷漏洞已被用於實際攻擊

近日資安公司VulnCheck警告，他們於6月8日發現有人嘗試利用CVE-2026-5027的跡象，此為大型語言模型開發工具Langflow的路徑遍歷漏洞，攻擊者有機會用來遠端執行任意程式碼，該公司看到有人在蜜罐陷阱試圖利用漏洞，並成功進行路徑遍歷，寫入看起來像是測試用的檔案。Langflow開發團隊於3月底發布0.8.3版langflow-base元件首度處理該問題，後續開發團隊於6月11日向Tenable回覆，已在Langflow 1.9.0完成修正。VulnCheck強調，由於Langflow預設允許未經授權的自動登入，因此攻擊者有機會在沒有事先取得憑證的情況下存取Langflow的端點，進而利用弱點。

CISA將Oracle PeopleSoft零時差漏洞列入KEV

上週Oracle警告企業應用系統平臺PeopleSoft PeopleTools存在重大漏洞CVE-2026-35273，呼籲用戶應立刻採取行動緩解風險，Mandiant與Google威脅情報團隊（GTIG）指出，駭客組織ShinyHunters（UNC6240）在Oracle發布公告之前就積極利用，6月12日美國網路安全與基礎設施安全局（CISA）表示已掌握CVE-2026-35273遭積極利用的證據，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構於6月15日前完成修補。

遠端管理工具SimpleHelp修補重大身分驗證繞過漏洞，未更新可能導致攻擊者取得管理權限

遠端管理工具平臺SimpleHelp近日發布更新，修補重大身分驗證繞過漏洞CVE-2026-48558，CVSS嚴重性評分達滿分10.0，未經驗證的遠端攻擊者可利用漏洞偽造身分資訊，建立技術人員（Technician）帳號，甚至繞過多因素驗證（MFA），受影響版本包括5.5.15與更早版本，以及6.0系列預覽版本，問題源自SimpleHelp的OpenID Connect（OIDC）身分驗證流程，未正確驗證身分權杖（Identity Token）的加密簽章而導致存在弱點。

Splunk發布6月安全更新，修補可讓攻擊者清空檔案的重大漏洞

思科旗下Splunk本星期發布安全更新，修補12項漏洞，包括重大漏洞CVE-2026-20253，此弱點允許未經驗證的攻擊者建立或清空檔案，影響Splunk Enterprise與Splunk Cloud Platform部分版本。該漏洞發生的原因，在於資料庫元件PostgreSQL的sidecar服務端點缺乏身分驗證控制，可讓任何能存取網際網路的攻擊者，未經驗證就能透過PostgreSQL sidecar服務在系統上建立或清空任意檔案。本漏洞CVSS風險值達到9.8。

GitLab修補12個漏洞，最高風險可能導致帳號接管

資安業者Palo Alto Networks指出，攻擊者利用Microsoft Teams等企業協作工具發動社交工程與網釣攻擊，藉由員工對內部溝通平臺的信任，假冒IT支援人員或服務供應商誘騙受害者。攻擊者可能透過Teams傳送外部聊天邀請，聲稱使用者帳號出現異常，要求對方核准多因素驗證（MFA）請求，或依指示重設憑證。由於訊息出現在Teams而非電子郵件，員工可能降低戒心。該公司強調，這類手法並非個案，已有駭客組織APT29、UNC6692用於實際活動。

供應鏈安全框架SLSA解析Mini Shai-Hulud事件，驗證NPM套件安全不能只看簽章

軟體供應鏈安全框架SLSA（Supply-chain Levels for Software Artifacts）專案於5月15日發布文章，針對Mini Shai-Hulud NPM供應鏈攻擊，說明SLSA能協助驗證什麼，以及它無法單獨解決哪些問題。開源軟體安全基金會OpenSSF也於6月10日轉載這篇由Red Hat工程師Andrew McNamara撰寫的文章，提醒開源社群，即使NPM套件附有可驗證的來源證明（provenance），建置與發布流程還是有可能遭到攻擊者介入或濫用。

微軟Secure Boot舊版憑證2026年陸續到期，紅帽提醒RHEL用戶更新韌體信任資料庫

開源軟體與企業Linux業者紅帽（Red Hat）6月10日提醒，微軟安全開機（Secure Boot）機制使用的多張2011年版簽章憑證，將於2026年陸續到期，企業應確認UEFI韌體中的Secure Boot資料庫是否已納入2023年版憑證，以確保後續可取得開機安全相關更新。若系統韌體的Secure Boot 資料庫沒有包含2023年版憑證，未來可能無法啟動新的開機元件。前述問題與名為shim的第一階段開機程式有關，此為由微軟的Secure Boot憑證簽署的元件。

當數位信任躍升企業戰略核心，國際電腦稽核協會推動以DTEF框架落實韌性與企業治理

【臺灣資安大會直擊】隨著數位科技深度滲透社會，數位信任已成為企業維繫營運與競爭力的重要條件。國際電腦稽核協會（ISACA）臺灣分會副會長陳政龍在2026臺灣資安大會，針對管理階層如何促進數位信任進行深度剖析，並介紹ISACA近年推動的「數位信任生態系框架」（Digital Trust Ecosystem Framework，DTEF），帶領產業重新思考數位信任架構下的治理思維。具體而言，DTEF模型是由四大節點構成核心，並由六大領域作為節點之間的連結。

Apache軟體基金會董事Justin Mclean指出，企業只用開源卻不參與，恐承擔更高風險

Apache軟體基金會（ASF）董事Justin Mclean在Computex論壇活動指出，開源已成為AI與數位基礎設施的核心，企業面臨的問題已從過往的是否採用，演變成選擇成為被動的使用者，或是積極參與的貢獻者。當企業將開源視為關鍵基礎設施，卻從未參與相關社群時，不僅無法影響技術發展方向，也難以提前掌握重大變化，反而可能承擔更高的技術與營運風險。當關鍵功能調整、架構改版或維護策略改變時，企業往往只能被動接受結果。

新加坡揭露公共服務導入AI代理的風險

新加坡政府日前發表AI Agents Sandbox白皮書，揭露與Google合作的AI代理沙盒測試成果，評估AI代理是否能安全應用於公共服務場景。該計畫是在2025年8月啟動、歷時約4個月，重點測試可操作電腦與瀏覽器的AI代理，在政府服務流程中執行多步驟任務的能力與風險。結果顯示，AI代理在政府網站品質檢測中表現穩定，但是在長篇回應記錄時，仍可能出現資訊遺漏或幻覺問題。此外，AI代理具備瀏覽與操作外部網站能力，需防範間接提示注入等攻擊手法。

近期資安日報

【6月12日】Oracle PeopleSoft零時差漏洞被用於大規模攻擊

【6月11日】Exchange Online傳出可被用於欺騙的資安漏洞

【6月10日】Anthropic推出具有Mythos能力的Claude Fable 5

'

152個Chrome動態桌布擴充套件暗藏用戶行為追蹤功能，累計安裝量逾10萬次

來源：https://www.ithome.com.tw/news/176609

資安業者Socket近日揭露暗藏追蹤功能的Chrome擴充套件家族，研究人員發現Chrome網站商店上的152個動態桌布（Live Wallpaper）擴充套件，累計安裝量超過10萬次，內含未向用戶充分說明的追蹤功能，這些套件都聲明不會收集用戶資料，實際上卻在後臺收集用戶瀏覽行為，並將這些資訊提供給第三方廣告業者。

Socket指出，這152個Chrome擴充套件共用相同程式碼架構與後端基礎設施，但分布於38個Chrome網站應用商店帳號，進一步可追溯到3個品牌網域tabplugins[.]com、yowgames[.]com與chromewallpaper[.]com。這些套件表面上聲稱提供動態桌布擴充功能，並在網站商店頁面中表示不會收集用戶資料，但是在廠商的隱私政策連結中，卻承認會記錄IP位址、ISP、點擊次數與引薦來源（referrer data），並將這些資料提供給廣告合作夥伴。研究人員的分析顯示，其中部分擴充套件還會操縱Google搜尋流量，將擴充套件的流量偽裝為Google搜尋點擊，藉此影響廣告點擊追蹤的統計結果。

由於這些擴充套件對隱私政策的說明，存在不一致情況，Socket建議用戶移除所有前述來源的擴充套件，並檢查搜尋引擎設定是否恢復原有設定。

'

美國司法部放行派拉蒙以1,100億美元收購WBD

來源：https://www.ithome.com.tw/news/176608

美國司法部反壟斷部門上周五（6/12）宣布完成對派拉蒙（Paramount）收購華納兄弟探索（Warner Bros. Discovery，WBD）案的調查，認定這筆價值1,100億美元的交易不太可能損害市場競爭或消費者利益，因此決定結束調查並放行交易。

這起交易最初是由Netflix先出手。Netflix去年12月原本已與WBD達成協議，準備收購WBD拆分後的串流與內容資產，但派拉蒙隨後提出更高的全現金報價，改為收購整個WBD，並主張其交易較容易通過監管審查。雙方一度形成競價戰，直到今年2月Netflix拒絕提高報價並退出，WBD旋即轉向接受派拉蒙每股31美元現金收購要約，整體交易估值約1,100億美元。

派拉蒙目前正式名稱為Paramount Skydance，源於該公司去年完成與電影製作公司Skydance Media的合併，因此司法部文件皆以Paramount Skydance稱呼交易方。

司法部表示，經過8個月調查後認為，Paramount Skydance併購WBD不太可能損害市場競爭。在串流影音市場方面，合併後的新公司可整合Paramount+、HBO Max及Discovery+等服務，成為更具規模的競爭者，以對抗Netflix、Disney+及Amazon Prime Video等大型平臺。交易完成後將增加而非減少市場競爭，替消費者提供更多選擇。

司法部也評估Skydance是否可能將華納兄弟與HBO等內容獨家保留在自家平臺，減少對其它業者的授權。不過，調查發現派拉蒙長期以來一直透過授權內容創造收益，並未看到交易後改變此一商業模式的誘因。無論是串流、傳統電視或電影市場，目前仍有Disney、Amazon、Sony、Universal、Apple及Netflix等眾多競爭者，因此認定這項交易不會對競爭或消費者利益造成實質傷害。

儘管美國司法部已放行交易，但由於派拉蒙與華納兄弟均為加州影視產業重要企業，交易可能影響當地市場競爭與就業，因此加州政府仍保有依州法獨立評估及採取行動的權限。

'

Google控告濫用Gemini的中國詐騙集團Outsider Enterprise

來源：https://www.ithome.com.tw/news/176606

Google周五（6/12）向紐約南區聯邦地方法院提告，指控中國網路犯罪集團Outsider Enterprise透過AI工具與釣魚工具包建立大規模詐騙基礎設施，並以詐騙簡訊竊取受害者帳號、密碼與信用卡資料。

Google發布的新聞稿並未提及駭客的攻擊手法，而是僅以「AI驅動詐騙」（AI-powered scams）描述這起案件。然而，根據TechCrunch取得的訴狀內容，Outsider Enterprise為一網路犯罪集團，開發並維護名為Outsider的釣魚工具套件，Google將其稱為「傻瓜版釣魚工具」（phishing-for-dummies），內建290種網站範本，用戶只要每周支付88美元，或每月支付200美元訂閱費用，就能快速建立冒充電信業者、金融機構、政府機關及零售商的假網站。

Outsider還提供如何將AI生成程式碼武器化的教學文件，並支援使用Gemini等AI平臺產生客製化釣魚網站程式碼，再匯入Outsider平臺部署成可上線運作的詐騙網站。這些假網站可即時蒐集受害者輸入的帳號密碼、信用卡資料及多因素驗證碼。

Google指出，Outsider Enterprise並非單一犯罪組織，而是由釣魚工具開發者、受害者名單供應商、垃圾簡訊發送者，以及負責變現與洗錢的成員組成，形成完整的詐騙產業鏈；其成員透過Telegram協調運作，迄今已建立9000個假網站及超過100萬個惡意網域，並在兩周內向Android用戶發送250萬則詐騙簡訊，已有數十萬人受害。

目前Google正與FBI，以及AT&T、T-Mobile、Verizon等電信業者合作，試圖瓦解Outsider Enterprise的基礎設施，並在詐騙簡訊送達用戶前加以攔截。除了法律行動外，Google也呼籲美國國會通過多項反詐騙法案；Google表示，隨著AI讓詐騙內容變得更逼真、更難辨識，除了技術防禦與執法合作之外，也需要透過立法建立長期防護機制。

'

中國駭客組織Velvet Ant滲透關鍵基礎設施，潛伏隔離網路環境近十年

來源：https://www.ithome.com.tw/news/176603

資安公司Sygnia在兩年前揭露中國駭客組織Velvet Ant的網路間諜活動，這些駭客曾利用F5 BIG-IP負載平衡設備建立持續存取管道，也有利用思科網路設備作業系統零時差漏洞CVE-2024-20399滲透受害組織的記錄，然而該公司發現，這些駭客也染指隔離網路環境，潛伏近十年才被發現。

Sygnia近日公布Operation Highland攻擊行動，Velvet Ant至少從2016年開始，在完全與網際網路隔離的關鍵基礎設施網路潛伏將近十年而未被察覺。Sygnia認為，這是迄今Velvet Ant最為複雜精密的攻擊活動。

在整個攻擊活動裡，Velvet Ant採取三階段滲透策略，逐步突破層層防線。首先，他們在面向網際網路的伺服器上部署GS-Netcat，作為反向Shell及SOCKS5代理伺服器，並將其偽裝成Chrome服務或系統處理程序，以規避資安偵測，建立初始存取管道。接著，該組織利用Nginx與FastCGI建立執行命令的橋樑，透過HTTP請求穿越IT網路環境，在無需對目標建立直接連線的情況下，即可抵達隔離網路環境的關鍵基礎設施網段。最終，攻擊者篡改Linux PAM認證模組與OpenSSH程式，植入後門密碼並竊取憑證，同時在authorized_keys中植入公鑰，建立三重持久化機制，將整個環境置於自身掌控之下。

此次行動最引起Sygnia注意的地方，在於攻擊者選擇控制身分驗證的環節，而非僅在系統上留下惡意程式。Sygnia在多臺主機發現9種不同版本的後門化PAM模組，這些惡意模組透過完全不同的開發環境編譯而成，顯示此攻擊行動背後有龐大資源支撐、組織高度嚴密，且具備針對不同目標環境量身打造工具的能力。由於攻擊者控制管理員用來遠端管理主機的核心元件，光是執行更換密碼等傳統應變措施，在此幾乎完全失效。該公司提及，若是受害組織的IT人員處理不慎，有可能被鎖死在系統外，甚至造成關鍵基礎設施的系統服務中斷。

'