SSH函式庫libssh2揭露重大漏洞，可能導致攻擊者透過特製SSH封包執行任意程式碼

來源：https://www.ithome.com.tw/news/176834

廣泛應用於SSH通訊的開源函式庫專案libssh2，近日揭露重大漏洞CVE-2026-55200，可能導致未經身分驗證的攻擊者透過特製SSH封包觸發漏洞，進而從遠端執行程式碼，CVSS v4嚴重性等級達9.2分，影響1.11.1版以前的libssh2，由於libssh2廣泛應用於檔案傳輸工具、備份軟體及其他SSH相關應用，因此相關產品可能受到波及。libssh2專案開發團隊已將修補程式提交至GitHub程式碼庫，並正在準備發布正式修補版本。

前述漏洞源自libssh2函式庫處理SSH封包的機制，對封包長度欄位的上限邊界檢查不充分，導致攻擊者可透過傳送封包長度值過大的SSH封包，觸發記憶體越界寫入，進而造成堆積（Heap）記憶體損毀，最終導致遠端執行任意程式碼。

'

駭客滲透Klue Battlecards整合服務竊取用戶Salesforce資料，犯案過程僅不到一天

來源：https://www.ithome.com.tw/news/176833

Salesforce近日透露偵測到應用程式Klue Battlecards出現異常活動，可能有部分用戶資料遭到未經授權存取，宣布暫時切斷該應用程式與Salesforce平臺之間的連結。然而在該公司發出公告之前，有資安公司要Klue用戶提高警覺。

6月17日威脅情報公司ReliaQuest提出警告，他們觀察到攻擊者透過遭入侵的Klue Battlecards整合服務，利用OAuth權杖（token）及自動化REST API查詢，大規模竊取Salesforce平臺的用戶資料，過程歷時約24小時。

針對攻擊活動發生的過程，攻擊者先對遭入侵的Klue整合服務帳號進行身分驗證並產生OAuth權杖，透過自動化的Python指令碼識別企業組織的Salesforce物件目錄，接著對查詢端點發起循環REST API請求，並透過QueryMore游標分頁擷取大量資料。值得留意的是，攻擊者在部分受害組織的Salesforce環境裡，於15分鐘內發送近千筆的查詢請求，也有連續超過6小時不間斷竊取資料的情況。

特別的是，這次ReliaQuest提及他們不是Klue的用戶，並未採用該公司的應用程式而沒有受到影響，這樣的聲明在ReliaQuest的調查報告裡相當罕見，很有可能代表受害的企業組織有不少是資安廠商。

'

1Password併購身分安全新創Apono，強化AI代理與非人類身分即時存取治理

來源：https://www.ithome.com.tw/news/176826

非人類身分（NHI）與AI代理持續成為資安市場關注的焦點，知名身分識別與安全廠商1Password於6月15日宣布併購以色列資安新創公司Apono。1Password強調，Apono是即時（Just-In-Time）存取治理領域的創新者，此次併購將加速實現將各類身分管理整合至單一平臺的願景。

該公司指出，隨著AI代理的演進，突顯人類身分管理與機器身分管理往往屬於不同系統。如今AI代理開始介入企業關鍵系統，這種碎片化架構已成為安全治理的阻礙。更嚴峻的是，現有的身分識別系統多半僅聚焦於「准許進入」的驗證關卡，一旦身分通過驗證進入系統，後續行為監控就不在其管轄範圍。

因此，1Password計畫將Apono的技術整合進今年3月推出的統一存取平臺（Unified Access Platform）。具體的整合方向，包括透過Apono的「意圖存取控制」（Intent-Based Access Control），並即時監測其行為是否偏離預期意圖。

對於身分安全技術的發展，Apono執行長Rom Carmel表示，創立Apono的初衷，就是為了在任務完成的瞬間移除存取權，根據任務需求精準縮減權限範圍。1Password亦強調，憑證安全與存取治理實為一體兩面：核心目標在於確保無論是人類、機器或AI代理，都僅在必要時刻獲得任務所需的最小權限，並具備完整的稽核記錄與當責機制。

'

巴西民防警報系統疑遭入侵，里約熱內盧等地民眾收到假警報

來源：https://www.ithome.com.tw/news/176831

巴西民防警報系統Defesa Civil Alerta在6月19日晚間至20日凌晨遭未經授權使用，有人透過公共警報發送介面（Interface de Divulgação de Alertas Públicos，IDAP）向多個地區民眾的手機發送假冒的緊急警報，影響範圍包括聖保羅州、南馬托格羅索州、里約熱內盧州、巴拉那州與聯邦區。

Defesa Civil Alerta採用細胞廣播（Cell Broadcast）技術，透過行動基地臺向指定區域內連上4G或5G行動網路的手機推送警報，這類機制常用於災害與公共安全告警，優點是可在短時間內觸及大量特定區域民眾。

巴西整合與區域發展部（MIDR）指出，初步技術調查顯示，在6月19日晚上11點至6月20日凌晨1點之間，共發生10次未授權發送行為。其中9次透過Defesa Civil Alerta採用的細胞廣播技術發送，並觸發會發出警示音的「極端」等級警報，另1次則透過SMS簡訊發送。The Register報導指出，其中一則假警報內容出現「misantropi4」字樣，近似葡萄牙文「misantropia」，意為厭惡或憎恨人類。

事件發生後，巴西整合與區域發展部表示Defesa Civil Alerta平臺已暫停運作，巴西國家保護與民防祕書處（SEDEC）也封鎖IDAP所有外部存取，停用涉及事件的使用者帳號，並保存系統日誌與登入紀錄，以利後續數位鑑識分析。

巴西整合與區域發展部並說明，目前沒有證據顯示Defesa Civil Alerta系統出現結構性損害，巴西聯邦警察（Polícia Federal）已展開調查，但仍無法確認收到假警報的手機數量與所有受影響的地區。

'

QNAP修補旗下NAS與網路視訊監控產品漏洞，包含兩項可能導致服務中斷的重大漏洞

來源：https://www.ithome.com.tw/news/176830

儲存設備廠商威聯通（QNAP）於6月17日發布資安公告，修補旗下NAS與視訊監控平臺共14項漏洞，影響QTS、QuTS hero、QuTS cloud等NAS作業系統，以及QVP視訊監控平臺。建議用戶升級至QTS 5.2.9、QuTS hero h5.2.9、QuTS cloud c5.2.9與QVP 2.8.0以上版本，以降低遭攻擊風險。

就CVSS嚴重性來看，這次QNAP修補的漏洞中，最嚴重的是CVE-2026-26240與CVE-2026-26241，兩者的CVSS評分都達到9.1分，兩者皆與上傳檔案名稱處理機制有關，可能造成堆疊緩衝區溢位（Stack-based buffer overflow），進而可能導致系統服務中斷。

而就漏洞類型來看， QNAP這次修補的漏洞則以記憶體安全相關類型居多，有5項漏洞都屬於堆疊緩衝區溢位問題。其次是指令注入（Command Injection）問題，有3項漏洞屬於這種類型，可能導致攻擊者遠端執行系統指令。其他還包括URL注入、不當存取控制與拒絕服務等類型問題。

'

LG與三星智慧電視逾三成App讓用戶電視慘變代理伺服器節點

來源：https://www.ithome.com.tw/news/176829

研究人員發現，三星、LG智慧電視的App，有將1/3會利用或出售用戶住家IP位址，讓用戶電視淪為導引流量的代理伺服器的安全隱憂。

資安業者Spur分析6,038個三星和LG智慧電視的App套件分析，發現有2,058款內含將用戶住家IP位址提供作為代理伺服器（proxy）的SDK。

這些App是透過在用戶電視OS上安裝代理伺服器（proxy）SDK達成其目的。有的是詢問過且獲得用戶同意，例如要求小精靈（Pac-Man）App執行一次性的詢問，讓用戶選擇觀看廣告或是成為其網路的一部份。另一批程式則是「掛羊頭賣狗肉｣，以遊戲、螢幕保護程式或工具應用程式當幌子誘使用戶下載SDK。有些代理伺服器業者（或其子品牌）也是App發行商。例如Bright Data集團和Honeygain分別發行了數百個和十多個這類App，因此這些App品質低落、功能陽春。此外，同意條款隱藏在安裝過程中，藉多數用戶會快速按「下一步」來取得其同意。

研究人員分析，Amazon（Fire TV）與Roku已經有明確的政策禁止或封鎖第三方代理伺服器SDK服務，但LG(webOS)和三星(Tizen)當時尚未建立同等嚴格的公開審查標準，而在這兩大電視平臺應用商店中大規模上架含有Proxy SDK的灰色App。

研究人員警告，在用戶住家IP位址被出售或出借後，一旦代理伺服器供應商同意提供其他組織，或是其過濾機制破防，則電視可能成為外部流量存取家中其他連網裝置，包括路由器管理介面、NAS系統、印表機、攝影機、或其他App。2026初爆發的Kimwolf殭屍程式網路就是濫用住家代理伺服器網路而成。

研究人員也提供代理伺服器網路供應商的回應說法，Bright Data、Honeygain等公司都表示具有稽核框架，強調只有經過嚴格審查、驗證身分的合法企業、研究人員和新聞工作者，才能獲准使用這個Proxy網路。對於研究人員提到「用戶無法得知背景運作詳情」，另一家業者Massive解釋這是簡化用戶使用麻煩而設計，但其網路客戶必須通過KYC（know your customer）實名認證，確保有正當的商業使用目的。此外其伺服器端實施控制，不會去解密或監控用戶的流量。

面對研究人員擔憂電視可能變成駭客入侵家裡其他裝置（如路由器、NAS、攝影機）的跳板，Oxylabs強調他們不論在基礎設施端還是SDK本地端，都設有嚴格的過濾、流量檢驗以及私有IP網段黑名單。

'

金融業動起來！金管會公布後量子密碼遷移指引，要求建立CBOM與加密敏捷性

來源：https://www.ithome.com.tw/news/176824

量子運算技術快速發展，為協助國內金融業提前因應可能產生的風險，金管會近期發布「金融業後量子密碼（Post-Quantum Cryptography，PQC）遷移參考指引」，提出金融機構規畫後量子密碼遷移的整備方向，並提出治理機制、密碼技術盤點、加密敏捷性、生態系協作、供應鏈管理等7大策略，建議從2026年至2035年分階段推動遷移作業。

金管會指出，金融服務高度依賴身分驗證、交易簽章、跨機構介接及資料保護機制，隨著量子運算能力提升，現行公鑰密碼未來可能遭破解，金融機構若未及早規畫，將面臨交易安全、資料機密性及營運穩定性的風險。

點名HNDL與TNFL兩大新型量子威脅

指引特別點出量子時代可能面臨的兩類攻擊模式。（下圖，來源：金管會）

第一類是「先攔截、日後解密」（Harvest Now, Decrypt Later，HNDL），攻擊者現在便可攔截並保存加密資料，待量子運算成熟後再進行解密，換言之，目前看似安全的敏感資料在未來可能面臨遭破解的風險。

另一類是「現在信任、稍後偽造」（Trust Now, Forge Later，TNFL），也就是目前可信任的數位簽章、憑證或身分驗證機制，未來可能因量子運算能力而遭偽造，進一步影響金融交易與數位信任機制。

為此，金管會認為，金融業必須提前展開長期的PQC遷移整備，而非等量子電腦成熟後才開始因應。該指引提出金融業因應PQC的七大策略方向。

將量子風險提高至董事會層級，PQC成為企業治理議題

其中，金管會並未將後量子密碼遷移視為單純的資訊系統升級，而是要求金融機構將密碼技術風險納入企業風險管理架構，提升至董事會層級討論，並成立跨部門的「後量子遷移工作小組」，由資安長（CISO）、資訊長（CIO）或相當層級主管統籌推動。

PQC遷移將不再只是資訊部門的工作，而涉及資訊、資安、風險管理、法遵、採購及業務等多個部門的長期治理工程。金管會認為，金融機構應透過明確的治理架構、權責分工及資源配置，將量子風險納入企業策略與營運決策，並以跨年度方式持續推動遷移工作，而非等到量子運算技術成熟後再被動因應。

要求建立CBOM清單，可以AI輔助盤點密碼技術

另外，金管會要求金融機構盤點現有密碼技術，建立密碼技術清單（Cryptography Bill of Materials，CBOM），將密碼演算法、金鑰、憑證及其應用情境形成可持續維護的資產清冊。

指引中建議可採取「先風險、後全面」的盤點方式，逐步擴大覆蓋範圍，並建立制度化管理流程。同時，也建議評估運用AI等自動化工具協助密碼技術盤點與CBOM維護，以降低人工管理負擔。

相較於傳統僅盤點IT資產，指引進一步聚焦密碼技術治理，反映金融業必須先掌握加密元件在整個業務系統中的使用情況。

加密敏捷性列為核心能力

指引也將「加密敏捷性（Crypto-Agility）」列為PQC遷移的重要能力。

根據指引，由於PQC標準及產品仍持續演進，建議遷移策略不宜以一次性替換演算法為目標，而是建立能快速調整演算法與參數的能力，使未來更新可成為例行維護，而不致成為大型系統改版。

金管會建議金融機構採取模組化加密設計，並搭配憑證自動化管理，同時優先改善手動管理TLS憑證、使用弱加密套件及金鑰硬編碼等「密碼反模式」，提升整體加密架構的彈性。

PQC納入供應鏈治理，規畫2035年前完成高風險系統遷移

除了金融機構自身，金管會也要求將PQC準備度與加密敏捷性納入採購、委外及供應鏈管理，推動關鍵供應商調查、更新採購規格及驗收要求，並建立共同驗證機制，以降低供應鏈成為遷移瓶頸的風險。

此外，由於金融產業高度互聯，指引規畫由財金機構等樞紐單位建立共同遷移路線圖，協助金融生態系採一致方式推動PQC，避免跨機構介接出現相容性問題。

在推動時程上，金管會建議短、中、長期的準備：

金管會頒布指引顯示，金融業因應量子運算的重點已不再只是更換演算法，而是從密碼治理、供應鏈管理到跨機構協作，建立長期且可持續演進的資安治理能力，為未來量子時代的金融基礎設施提前做好準備。

'

中國超級電腦LineShine奪冠，TOP500睽違9年再由中國稱王

來源：https://www.ithome.com.tw/news/176828

全球超級電腦排行榜TOP500周二（6/23）公布最新榜單，中國深圳國家超級計算中心的LineShine（靈晟）以2.198 Exaflop/s效能超越美國El Capitan，成為全球首套突破2 Exaflop/s的超級電腦，也是中國自2017年神威太湖之光（Sunway TaihuLight）之後，睽違9年再度登上TOP500榜首。

第一次入榜即奪冠的LineShine是由深圳超算中心所建置，採用中國自主研發的LX2處理器、LingQi高速互連網路及麒麟作業系統（Kylin OS）。LineShine總計配置4萬960顆304核心LX2處理器、約1,379萬個運算核心，並未使用目前AI超級電腦常見的GPU加速器，而是以純CPU架構達到2.198 Exaflop/s效能。

LineShine雖然在運算效能上登上全球第一，但其能源效率並不突出。TOP500資料顯示，LineShine運作功耗約42.2 MW，能源效率為52.07 Gigaflops/Watt，是前十大超級電腦中耗電最高的系統，在Green500能源效率排行榜則僅名列第50名。

中國是在今年4月於境內發表LineShine，其中文名稱為靈晟。當時中國國家計算深圳中心主任盧宇彤即表示，靈晟採用了國產的CPU、高頻寬記憶體、高速互連網路、儲存、全液冷散熱等技術，軟硬體全棧自主可控。靈晟主要用來支援科學運算、工程運算，以及AI運算，涵蓋遙感、材料、生物資訊、氣象、藥物研發、石油勘探、AI、生命科學與電磁模擬等9大領域。

除了LineShine之外，排名第二至第五的系統分別為美國勞倫斯利佛摩國家實驗室的El Capitan（1.809 Exaflop/s）、橡樹嶺國家實驗室的Frontier（1.353 Exaflop/s）、阿貢國家實驗室的Aurora（1.012 Exaflop/s），以及德國于利希超級計算中心的JUPITER Booster（1.000 Exaflop/s）。這也是Exascale超級電腦首度同時分布於亞洲、北美與歐洲三大洲。

LineShine另一個特色是並未採用GPU加速器，而是以純CPU架構登上TOP500榜首。一般而言，CPU較適合處理通用科學運算、複雜邏輯與控制流程，GPU則擅長AI常見的大量平行與低精度運算。TOP500資料顯示，LineShine在HPL-MxP混合精度測試中以7.92 Exaflop/s排名第四，落後於El Capitan、Aurora及Frontier，顯示它雖在傳統HPL效能測試稱王，但在AI相關工作負載上並未領先。

儘管純CPU的LineShine奪下榜首，GPU仍是目前超級電腦的主流架構。全球GPU龍頭Nvidia表示，最新TOP500榜單中有超過400套系統採用其技術，占整體81%；目前共有238套系統搭載Nvidia GPU、376套採用Nvidia網路技術。

擁有最多TOP500超級電腦的前五大國家依序是美國（32.2%）、日本（8.8%）、德國（8.2%）、中國（6.2%）及法國，臺灣排名第十，總計有11臺超級電腦進榜，效能最高的是去年就進榜、效能為81.55 PFlop/s的Nano4，只是它的名次從29名掉到了33名。

'

多家資安公司確認Salesforce系統發生資料外洩，起因是Klue供應鏈攻擊

來源：https://www.ithome.com.tw/news/176827

威脅情報公司ReliaQuest、雲端CRM廠商Salesforce揭露應用程式Klue Battlecards遭到入侵的事故，駭客企圖藉此竊取用戶在Salesforce存放的資料，威脅情報公司Huntress首先表示他們受到影響，並公布相關調查結果，後續有多家資安公司也公告證實受害。

根據6月22日資安新聞網站SecurityWeek的報導，有9家資安公司針對Klue事故發出相關公告，這些公司是：HackerOne、Huntress、Insurity、Jamf、OneTrust、Recorded Future、Snyk、Sprout Social，以及Tanium。這些受害公司的公告內容都提到，受影響的範圍僅有Salesforce執行個體，並未涉及其他的系統，旗下產品與應用系統正常運作。這些公司已切斷與Klue的整合，並著手調查及確認受影響的資料範圍。

值得留意的是，後續密碼管理服務廠商LastPass也於6月23日，證實部分客戶的聯絡和客戶支援資料外洩，目前累計證實受害的資安廠商達到10家。

'

逾6成LLM iOS App暴露AI服務存取資訊

來源：https://www.ithome.com.tw/news/176825

維克森林大學（Wake Forest University）研究人員公布一項實證研究，指出許多導入大型語言模型（LLM）功能的iOS應用程式，在執行期間的網路流量中暴露可遭利用的驗證權杖、未要求驗證即可存取的後端代理機制，或其他可用來呼叫LLM服務的憑證資訊。

研究團隊於2025年10月從美國App Store蒐集5,619款不重複的LLM相關iOS App，經抽樣與人工評估後，取得444款具備可測試LLM功能的樣本，並開發動態分析框架LLMKeyLens，透過攔截App執行期間的網路流量，分析其中是否存在可遭濫用的LLM API憑證或代理端點。

結果顯示，當中有282款的App樣本，暴露可遭利用的LLM API憑證或未要求驗證的後端代理，比例達64%。外洩型態以JSON Web Token（JWT）驗證權杖為主，其次是未要求身分驗證的後端代理，另有部分App在請求中以明文傳送API金鑰。

研究團隊已向受影響App開發者通報上述問題，並於90天後重新進行測試，結果顯示，僅28%的App透過撤銷憑證或強化存取控制完成修正。研究人員認為，這代表LLM API憑證外洩與後端代理存取風險在iOS生態系中不僅普遍，而且持續存在，也反映實際開發做法與安全整合原則之間存在系統性落差。

'

美國限制Anthropic Fable與Mythos模型存取，可能與NSA相關紅隊測試結果有關

來源：https://www.ithome.com.tw/news/176823

美國政府於6月12日以國安疑慮為由，對AI業者Anthropic發布出口管制指令，促使Anthropic宣布暫停向所有客戶提供Fable 5與Mythos 5模型存取。後續外媒報導指出，這項限制可能與Mythos參與美國國安單位內部紅隊測試的結果有關。

根據Tom's Hardware引述經濟學人（The Economist）於6月14日的報導，在一場受控安全評估中，Mythos於數小時內突破多項與美國國家安全局（National Security Agency，NSA）相關的模擬評估目標。這項說法來自美國參議院情報委員會副主席Mark Warner，美國國家安全局局長暨美國網路司令部（U.S. Cyber Command）司令Joshua M. Rudd曾向Warner簡報該模型的能力。

不過，Tom's Hardware也指出，經濟學人後續澄清，外界將此解讀為AI實際駭入NSA並不正確。這場測試是在經授權的內部紅隊演練中進行，Mythos是在搭配其他防禦工具的情況下接受測試，並處於特定模擬環境條件下，因此不應被視為Mythos曾在真實攻擊情境中入侵NSA系統。

至於美國政府提出的國安疑慮，Anthropic則表示，相關疑慮涉及一種非普遍性的越獄手法，可讓Fable 5讀取特定程式碼庫，並嘗試找出與修正軟體缺陷。Anthropic主張，相關示範只找出少數先前已知且輕微的漏洞，並不等同於模型自主發動攻擊或實際入侵系統。

'

ShinyHunters聲稱Klue供應鏈攻擊是他們發動的

來源：https://www.ithome.com.tw/news/176822

上週Salesforce宣布暫時切斷應用程式Klue Battlecards與Salesforce平臺之間的連結，並透露他們偵測到該應用程式出現異常活動，可能有部分用戶資料遭到未經授權存取。由於類似作法手法去年曾經出現，讓人懷疑攻擊者的身分就是駭客團體ShinyHunters，如今該組織傳出坦承犯案。

最早揭露此事的威脅情報公司ReliaQuest於6月22日更新部落格文章內容，有自稱是ShinyHunters的團體於21日在Telegram頻道宣稱，此事是他們所為，有多家公司的Salesforce執行個體遭到外洩，這些受害公司都是Klue的合作夥伴，向Klue喊話要求談判，並留下勒索團體Lcarus的即時通訊軟體Session的ID，這代表ShinyHunters可能與Lcarus有所關聯。

值得留意的是，先前透露受害的威脅情報公司Huntress指出，攻擊者的身分應為Lcarus，證據是勒索信留下的即時通訊軟體ID，不過ShinyHunters是否參與相關活動，Huntress並未說明。

'

受Klue被駭影響，LastPass外洩客戶聯絡、支援資料

來源：https://www.ithome.com.tw/news/176821

受到AI市場情報分析平臺Klue引發的Salesforce系統存取影響，密碼管理服務LastPass週二（6/23）公告，部分客戶的聯絡和客戶支援資料因而外洩。

LastPass週二向部分用戶發信通知資料外洩一事，同時在公司網站上說明。該公司於6月12日得知其使用的第三方平臺業者Klue發生被駭事故，Klue也整合了LastPass使用的Salesforce和Gong系統。調查後得知，駭入Klue的駭客取得了Klue所儲存的客戶端OAuth令牌。之後這個駭客就利用該令牌存取Salesforce環境下的LastPass客戶資料。

LastPass表示，遭駭客存取客戶資料是標準的CRM客戶聯絡資訊，包括客戶姓名、電話號碼、電子郵件和實體住址，以及客服支援工單及銷售相關資料。

但這家密碼管理工具業者強調，此事件只影響和Klue應用整合的系統，而且該公司的產品、服務、基礎架構，以及客戶密碼保存庫（vault）仍然安好不受影響。

得知此事後，LastPass已切斷所有員工對Klue的存取、輪換外洩的API存取權杖、並和Klue與Salesforce合作展開調查，以及通報執法機關等。業者也呼籲用戶對可能的釣魚攻擊和社交工程提高警覺。

AI市場情報分析平臺Klue說明其資安事故是，攻擊者利用一個外流的舊憑證存取其整合服務，使其得以存取Klue後端儲存的客戶（如LastPass）憑證。但Klue並未說明受影響客戶數量。

'

威脅情報公司Huntress證實遭到Klue供應鏈攻擊事故影響

來源：https://www.ithome.com.tw/news/176820

6月18日Salesforce發布資安公告，表示他們近期偵測到Klue Battlecards應用程式出現異常活動，部分用戶資料疑似遭未經授權存取，因此暫停該應用程式與Salesforce之間的連結。後續AI競爭情報公司Klue也證實發生事故，攻擊者透過與整合服務相關的外流憑證得到存取權限，進而竊取多個用戶的Salesforce等第三方平臺資料。相關消息一出，很快有資安公司證實受害。

威脅情報公司Huntress在Salesforce發布公告的同一天發布部落格文章，表示他們也受到這起事故影響，該公司暴露的檔案僅限於存放在Salesforce的資料，包括企業聯絡資訊、企業名稱、試用或使用的產品、訂閱資訊，以及銷售溝通資訊與備註資料。與Huntress產品或基礎設施相關的資料，遙測、密碼、付款資訊均未受到影響。

Huntress也透露資安事故發生的經過。這起事故最早發生在6月11日，攻擊者在Klue後端系統中植入惡意程式碼，能夠竊取客戶用來連接第三方平臺的OAuth權杖（token）。Klue於隔日發現異常行為，並注意到來源不明的網路連線。6月13日，Klue向客戶發出通知，但未透露有哪些客戶受到影響。直到6月16日，Huntress員工收到主旨為「top secret email」的勒索信，駭客聲稱Huntress的資料已被下載，並要脅48小時內進行聯繫。

針對攻擊者入侵Klue的手段，疑似利用一組長期未用但仍有效的憑證，此為Klue測試第三方整合所建立，後來未實際運用。駭客以此取得初始存取權限，滲透Klue基礎設施，竊取客戶用於連接CRM工具的OAuth權杖，最終直接查詢並匯出受害客戶的CRM資料。駭客自稱mr bean，並提供加密通訊平臺Session的聯絡ID，根據暗網的資訊比對，Huntress認為攻擊者的身分應為新興勒索組織Lcarus。

'

FortiBleed技術細節曝光，駭客利用FortigateSniffer發動攻擊

來源：https://www.ithome.com.tw/news/176813

針對近日揭露的FortiBleed大規模憑證竊取攻擊活動，威脅情資公司SOCRadar發布深度報告，指出這場俄羅斯駭客組織發起的攻擊行動自2026年2月即開始，目標鎖定全球超過43萬臺FortiGate防火牆設備，並使用基於Golang的FortigateSniffer來濫用系統內建的診斷指令。研究人員強調，攻擊者透過自動化掃描、離線密碼破解技術，以及過往外洩資料，發展出一套有如工業自動化、具高度效率的攻擊流程，是這起事件最受資安社群關注的核心焦點。

根據SOCRadar與資安研究員Bob Diachenko的調查，這場攻擊最關鍵的手法之一，是攻擊者透過系統性蒐集設備組態檔案（Configuration Files）來取得存取權限。

攻擊者首先透過憑證填充（Credential Stuffing）或暴力破解取得管理權限，隨後在受害設備部署名為FortigateSniffer的憑證竊取工具，該工具會透過SSH連接設備，並啟動FortiOS內建的diagnose sniffer packet指令（此指令原本用於網路流量診斷與封包障礙排除，卻被攻擊者濫用為監聽工具）。

具體而言，該惡意工具的主要目的，在於監控包含RADIUS、NTLM、Kerberos和LDAP等協定的憑證，以及密碼雜湊與驗證金鑰。擷取到的資料包會經由SNIFTRAN元件處理並重構成PCAP檔案，隨後利用基於Python的深度分析工具包解析，從中提取明文憑證、電子郵件、資料庫憑證或Hashcat可直接匯入的雜湊檔案。最後，攻擊者利用分散式GPU叢集進行大規模離線破解。

值得注意的是，對於這起攻擊活動的觀察，Fortinet與SOCRadar的解讀略有差異。先前Fortinet表示，這起事件主要是已洩漏憑證的重複利用，而非因為找到與利用新的零時差漏洞所致；SOCRadar則在此技術報告中指出，根據其觀測結果，相關攻擊活動可能仍在持續，威脅行為者仍試圖嘗試入侵FortiGate VPN設備，並部署惡意工具FortigateSniffer。

威脅情資公司SOCRadar指出，駭客在這場攻擊活動中會部署名為FortigateSniffer的惡意工具。

根據威脅情資公司SOCRadar調查，這場FortiBleed攻擊活動最早可追溯自2026年2月已經開始，5月31日至6月中旬更是發動大規模行動，短短半個月執行659次的資料竊取活動。

'