中國駭客UAT-7237鎖定東南亞政府及能源關鍵基礎設施，散布後門TinyRCT

來源：https://www.ithome.com.tw/news/176945

Palo Alto Networks威脅研究團隊Unit 42追蹤編號為CL-STA-1062的中國駭客攻擊行動，近期攻擊範圍延伸至東南亞政府機關與能源關鍵基礎設施。Unit 42認為，這與思科威脅情報團隊Talos先前揭露代號UAT-7237，並曾攻擊臺灣網站代管基礎設施的是同一批攻擊者。研究人員指出，該攻擊行動至少自2022年3月開始活動，2025年則鎖定東南亞政府、能源產業與國營企業。

該批攻擊者在2025年9月入侵一個東南亞政府機關，部署可遠端下指令的網頁後門程式，並竊取資料庫資訊。UAT-7237也對同一國家的另一個政府機關進行網路偵察，研判是在尋找進一步橫向移動的機會。到了2025年10月至12月，Unit 42觀察到東南亞至少10個組織疑似遭入侵。

Unit 42在能源關鍵基礎設施受害案例中觀察到，攻擊者會先掃描目標環境漏洞，接著受害網路出現連往攻擊者伺服器的連線，並下載SoftEther VPN元件與包含攻擊工具的RAR壓縮檔，以維持連線、在內部網路移動，或整理準備竊取的資料。

攻擊者通常先利用網頁應用程式弱點植入ASPX網頁後門，藉此執行系統命令、投放工具與蒐集主機資訊，之後再視目標環境搭配開源工具與客製化惡意程式。研究人員從攻擊者基礎設施重建TinyRCT感染鏈，發現攻擊者會以惡意壓縮檔chrome_setup.zip夾帶合法簽章執行檔、惡意設定檔與惡意程式庫。

在使用者解壓縮並執行其中合法簽章的chrome_setup.exe後，.NET執行環境會讀取旁邊的惡意設定檔，載入惡意DLL。該載入器接著下載TinyRCT，將其存為本機應用程式資料夾%LOCALAPPDATA%路徑下的PerfWatson2.exe，並建立仿冒Google Updater名稱的排程任務維持執行。TinyRCT是以C#撰寫的Windows遠端控制木馬，可讓攻擊者執行系統命令、列出檔案、讀取文字檔、下載檔案、外傳檔案、擷取螢幕畫面，並在需要時刪除自身痕跡。

TinyRCT具備反分析設計，執行時會檢查自己是否位於%LOCALAPPDATA%路徑，若不是，就會立即結束，降低在沙箱或研究人員分析環境中暴露行為的機會。

'

PostgreSQL資料庫管理工具pgAdmin 4發布更新，修補7項資安漏洞

來源：https://www.ithome.com.tw/news/176955

PostgreSQL資料庫管理工具pgAdmin 4近日發布9.16版，修補可能導致洩漏憑證、遠端執行程式碼的7項資安漏洞，由於pgAdmin具備管理PostgreSQL資料庫的高權限，用戶應儘速更新，以降低風險。

pgAdmin 4是用於PostgreSQL資料庫圖形化管理工具，管理者可透過瀏覽器操作資料庫、執行查詢與管理伺服器設定。這次9.16版修補的7項漏洞中，CVSS嚴重性評分最高的是CVE-2026-12048，CVSS評分達9.3分，為儲存型跨網站指令碼（XSS）問題，可能導致攻擊者藉此竊取憑證並從遠端操作資料庫。其次是CVE-2026-12045與CVE-2026-12046，這兩項漏洞的CVSS嚴重性都達到9.0分，存在於AI輔助功能與SQL Editor端點，分別可能導致遠端執行程式碼與未授權存取等問題。

'

研究人員揭露知名Chrome廣告攔截擴充套件暗藏遠端執行程式碼後門風險，逾千萬用戶恐受影響

來源：https://www.ithome.com.tw/news/176944

用於阻擋廣告的瀏覽器擴充套件，由於具備較一般擴充套件更大的權限，一旦相關功能遭到濫用，也將帶來更嚴重的風險。資安廠商Island近日發布報告，指出Chrome網站商店上安裝量逾1,100 萬次的廣告攔截擴充套件Adblock for YouTube，具備攻擊者透過控制伺服器端，在用戶端執行JavaScript程式碼的風險，可能導致攻擊者藉此存取用戶敏感資料、甚至冒用帳號等惡意行為。

Island研究人員指出，Adblock for YouTube的用途，是專用於阻擋YouTube影音平臺上的廣告，但實際上該擴充套件並未檢查主機名稱是否確實為youtube.com平臺，攻擊者只要在網站URL網址上加入youtube.com字串，例如bank.example.com/search?q=youtube.com，就能讓擴充套件在各類網站上運作。

更進一步，攻擊者只要修改Adblock伺服器端的設定，即可利用擴充套件內建的JavaScript程式碼庫，在用戶瀏覽器執行任意JavaScript程式碼，進而存取用戶端敏感資料，或其他惡意行為。

針對前述問題，該擴充套件開發商AdBlock迄今仍未發表任何公開回應，經資安媒體The Hacker News詢問，該公司創辦人才表示將著手修復，包括確實驗證YouTube主機名稱，並確保伺服器端配置無法在用戶端頁面注入可執行程式碼。

'

攻擊者濫用OpenAI組織邀請，偽冒企業租戶誘員工加入

來源：https://www.ithome.com.tw/news/176942

資安公司Push Security近期遭遇一起OpenAI組織邀請功能濫用事件。攻擊者建立名為「Push Security Inc」的OpenAI組織，透過OpenAI合法通知信邀請該公司特定員工加入，試圖讓受害者誤認這是公司正式租戶，進而在攻擊者控制的AI工作環境中使用ChatGPT或API。

Push Security表示，相關邀請信來自OpenAI正式通知地址noreply@tm.openai.com，通過標準電子郵件驗證，內容也使用OpenAI品牌與組織邀請格式。OpenAI信件中雖然顯示提醒，指出邀請者的gmail.com網域與收件者所屬的pushsecurity.com不相符，但該提醒只出現在信件中的一行文字，容易被使用者忽略。

該公司調查後發現，攻擊者使用與Push Security無關的電子郵件帳號建立組織，並在組織中使用Push Security執行長姓名。受邀員工被設定為Owner角色，具有組織管理權限，帳務設定中也已綁定Visa信用卡。Push Security認為，這顯示攻擊者投入一定準備，包括偵察特定員工、建立看似可信的企業租戶，以及移除使用過程中可能引起懷疑的付費障礙。

Push Security基於調查事件目的，接受其中一封邀請後發現，只要點擊電子郵件中的連結即可加入該組織，不需要額外輸入帳密或完成其他驗證。研究人員進入組織後，確認其他受邀員工仍處於邀請待回應狀態，未加入也未使用該租戶，因此沒有發現資料外洩跡象。該公司隨後建立郵件規則，封鎖類似邀請信再次送達員工信箱。

由於攻擊者並非偽造OpenAI郵件，而是濫用平臺本身提供的合法邀請機制，若員工誤以為公司已建立正式OpenAI組織，並開始在其中輸入程式碼、內部文件、客戶資料、資安研究或策略資訊，攻擊者作為組織管理員，可能掌握相關使用紀錄、API互動，以及員工在提示或請求中輸入的資料。

Push Security將此事件視為毒化租戶攻擊（poisoned tenant attack）案例，也就是攻擊者先在SaaS平臺建立偽冒目標企業的租戶，再引導員工加入。該公司指出，隨著AI服務成為企業日常工作入口，組織邀請、共享專案與平臺通知等功能，也可能成為社交工程與資料蒐集的新管道。

'

Amadey與StealC共用基礎設施，兩週內感染逾14萬臺電腦

來源：https://www.ithome.com.tw/news/176943

上週歐洲刑警組織（Europol）發表執法行動Operation Endgame最新一波成果，多國執法單位與微軟等多家企業組織聯手，成功破壞惡意程式SocGholish（FakeUpdates）、Amadey和StealC背後的犯罪基礎設施。參與此次執法的微軟，也透露本次打擊網路犯罪與過往的最大不同，他們針對的是網路攻擊供應鏈，而非單一惡意程式服務。

微軟指出，這次的執法行動是針對網路犯罪的組裝線（assembly line），Amadey和StealC經常被攻擊者同時使用，他們透過Amadey取得裝置存取權，然後利用StealC竊取密碼和敏感資訊，它們構成了攻擊鏈裡的關鍵環節。僅五月前兩週，微軟就看到全球有14萬臺電腦感染這兩款惡意程式。

值得一提的是，這次該公司借助AI的力量進行分析，將原本需要數小時甚至是數天的調查流程，縮短至幾分鐘，並指出雖然Amadey與StealC由兩組駭客團體在經營，卻仰賴相同的基礎設施。微軟癱瘓逾200臺C2伺服器，讓駭客無法控制受害電腦、竊取資料，或執行其他攻擊行動。

'