北韓駭客發動PolinRider攻擊活動，於NPM、Packagist、Go、Chrome Web Store上架惡意套件

來源：https://www.ithome.com.tw/news/177137

被稱為Contagious Interview、Famous Chollima、Dev#Popper的北韓駭客團體，原本從事的攻擊行動大致有兩種，一種是應徵歐美企業的遠距工作者，謀取北韓當局研發核武的資金，並對這些企業從事破壞，另一種是鎖定求職者從事網路釣魚，藉此滲透企業組織，不過從今年開始，這些駭客專門針對開發生態圈從事供應鏈攻擊，且已出現多起活動，如今這些駭客同時在多種生態圈橫行。

資安公司Socket揭露供應鏈攻擊活動PolinRider，這些駭客的活動範圍，涵蓋NPM、Packagist、Go模組、Chrome Web Store，滲透108個套件、並發布162個惡意版本。其中受害的套件以Go模組最多，有80個，另有10個Packagist套件與1個Chrome延伸套件。值得留意的是，此攻擊活動仍持續進行，因此可能還會有新的惡意套件發布。這些駭客入侵套件維護者的帳號、竄改合法的儲存庫，然後發布有問題的套件版本，並保留儲存庫的存取權限。

此活動的攻擊模式，主要是入侵合法的GitHub儲存庫，提交經混淆處理的JavaScript惡意程式載入工具，駭客往往使用只有一行指令的惡意酬載（one-line payload）植入惡意程式碼，利用空白字元填充內容，使得程式碼超出螢幕畫面，藉此規避人工審查。其中部分活動裡，攻擊者疑似利用過期網域重新注冊，或是其他帳號復原機制，接管套件維護者的GitHub帳號。Socket特別指出，光憑檢視GitHub的提交記錄，開發人員未必能察覺套件被入侵；唯有透過 Activity（活動）分頁，才能發現攻擊者利用強制推送（force push）竄改了先前的歷史紀錄，使主頁面呈現「近期未變動」的假象。

針對這次攻擊者後續使用的惡意程式，包含了Dev#Popper與OmniStealer兩種，這些惡意程式皆具備遠端執行命令、竊取憑證與瀏覽器資料，以及洗劫加密貨幣錢包的能力，但由於駭客採取模組化設計，Socket不排除未來還會加入其他惡意功能。

'

OpenSSH 10.4正式發布，修補多項漏洞並導入混合式PQC簽章

來源：https://www.ithome.com.tw/news/177136

Linux與Unix常用的開源遠端存取工具OpenSSH，於7月6日發布10.4版，提供一系列安全性功能更新，包括修補8項漏洞，同時引進混合式的後量子密碼學（PQC）演算法，建議用戶儘速升級。

OpenSSH 10.4版修補的8項漏洞，涵蓋sshd伺服器，以及 ssh、scp、sftp等用戶端元件。在sshd伺服器方面，修補sftp、GSSAPI身分驗證、轉送控制與登入防護等方面的5項漏洞，例如啟用GSSAPI驗證時可能遭預先驗證（Pre-authentication）服務阻斷攻擊，最小登入延遲（Minimum Authentication Delay）設定在部分情況下未能生效等。 在用戶端元件方面，則修補sftp與scp檔案傳輸路徑處理缺陷（下載與複製檔案可能寫入非預期位置），以及ssh的記憶體已釋放卻仍被使用（UAF）等3項漏洞。

OpenSSH 10.4版另一重點是新增實驗性的混合式後量子數位簽章（Composite Post-Quantum Signature）支援，結合PQC簽章演算法ML-DSA44與既有的Ed25519演算法，兼顧既有SSH環境相容性，以及未來面對量子運算攻擊的防護需求。不過這項功能並未預設啟用，須由管理者手動設定啟用。

'

Java遠端存取木馬QuimaRAT現身，以MaaS模式販售並鎖定Windows、Linux與macOS

來源：https://www.ithome.com.tw/news/177135

資安業者LevelBlue近日揭露新型Java遠端存取木馬（RAT）QuimaRAT，以惡意程式即服務（MaaS）模式在暗網論壇販售，每月收費150美元起，永久授權為1,200美元，顯示跨平臺RAT正朝模組化、商業化方向發展。

研究人員分析的QuimaRAT樣本為Java Archive（JAR）檔案，可執行於Java SE 8環境，並內含支援Windows、Linux與macOS的Java Native Access（JNA）原生函式庫。惡意程式啟動後，會解密內嵌組態檔，依據作業系統環境執行虛擬化與分析環境檢查，建立常駐機制，並初始化命令與控制（C2）連線。

功能方面，QuimaRAT具備遠端命令執行、檔案傳輸、憑證資料竊取、剪貼簿操作、遠端酬載投遞、外掛模組載入，以及攝影機監控等能力；Windows版本另具備無檔案Shellcode執行能力，可直接在記憶體執行攻擊程式碼，減少惡意檔案落地留下跡證的機會，增加端點偵測難度。由於這款惡意程式採模組化設計，攻擊者可在執行期間擴充功能，研究人員認為，QuimaRAT更接近模組化Java RAT平臺，而非單一固定功能的遠端存取木馬。

'

AWS Certificate Manager支援ACME，自動化公開TLS憑證管理

來源：https://www.ithome.com.tw/news/177134

隨著公開TLS憑證有效期限持續縮短，企業若仍以人工方式追蹤與續約憑證，將更容易因憑證過期、遺漏或設定錯誤影響服務運作。Let's Encrypt等憑證機構採用的自動化協定ACME（Automatic Certificate Management Environment）可將TLS憑證申請、網域驗證、續約與撤銷流程自動化與標準化，降低人工管理憑證生命週期的負擔。

雲端服務供應商AWS於6月30日宣布，旗下憑證管理服務AWS Certificate Manager（ACM）支援ACME。企業可建立一個或多個由AWS代管、支援ACMEv2用戶端連線的伺服器端點，沿用Certbot、Kubernetes憑證管理工具cert-manager、acme.sh等工具，取得由Amazon Trust Services核發的公開TLS憑證。

過去企業若透過ACME管理TLS憑證，通常須搭配外部憑證授權機構，使憑證分散在不同管理環境中，較難集中監控與治理。ACM支援ACME後，企業可將透過這項協定簽發的憑證納入ACM集中管理，並將AWS Identity and Access Management（IAM）角色綁定至ACME帳號，控管各用戶端可申請的網域範圍。

'

NIST更新系統規畫指引，強化安全、隱私與供應鏈風險治理

來源：https://www.ithome.com.tw/news/177133

美國國家標準暨技術研究院（NIST）針對組織建立與維護系統規畫文件的指引NIST SP 800-18，6月30日發布更新版本為Rev. 2，文件全名為《Developing Security, Privacy, and Cybersecurity Supply Chain Risk Management Plans for Systems》。

NIST指出，新版指引不再只聚焦傳統的系統安全計畫，而是把系統安全計畫、系統隱私計畫，以及網路安全供應鏈風險管理（C-SCRM）計畫，整合為同一套系統計畫架構。

新版指引也將系統計畫應記錄的內容，對應NIST風險管理框架（Risk Management Framework，RMF）的各項步驟與任務。組織可從系統建置、授權決策到日常維運與稽核，持續更新系統用途、授權邊界、系統元件、資料流、執行環境、受保護資產、個人資料，以及已規畫或已導入的控制措施，作為後續風險評估、控制措施檢視與法遵作業的依據。NIST也指出，即使系統任務或業務功能不同，這些內容仍可協助組織以一致方式蒐集風險管理資訊。

NIST並建議組織以機器可讀格式維護系統計畫資料，讓治理、風險與法遵（GRC）工具、安全協調、自動化與回應（SOAR）平臺，以及安全資訊與事件管理（SIEM）系統能直接使用這些資料。組織可藉此自動蒐集與更新系統風險資訊、控制措施資訊，以及相關人員的角色、責任與應執行事項，並透過儀表板近乎即時掌握風險狀態，減少對人工維護靜態文件的依賴。NIST另提供系統安全計畫、系統隱私計畫、C-SCRM計畫大綱範例，以及系統計畫角色與責任文件，供組織建立內部文件時參考。

'

AI重塑紅隊演練執行模式，DEVCORE指出未來轉變路線

來源：https://www.ithome.com.tw/news/177115

隨著AI技術重塑資安攻防格局，紅隊演練（Red Team Assessment）也正邁向全新的發展階段。臺灣該領域指標性廠商戴夫寇爾（DEVCORE）近日對此提出最新觀察，指出人機協作將打破過往紅隊演練難以規模化的限制，實現更具持續性與深度的防禦體系缺口評估。

DEVCORE執行長翁浩正強調，紅隊演練的執行方式正迎來一場深刻的典範轉移。過去，多數企業的資安檢測多遵循固定的頻率與範圍，例如每年進行兩次滲透測試、一次紅隊演練；然而，隨著AI技術的介入，紅隊演練的執行方式正在發生根本性的質變。

談及現階段紅隊演練的轉變態勢，翁浩正指出多項重點變化，例如：利用AI自動化輔助偵查、輔助攻擊程式碼（Payload）生成，以及運用AI協助原始碼檢測與白箱掃描。這些應用將大幅提升演練的真實性，也讓資安專家能從繁瑣的基礎工作中解放，使整體的服務量能大幅增加。

至於未來的紅隊演練發展，翁浩正預期，紅隊演練將更廣泛地納入外部情報與情資。除了關注企業內部的既有弱點，更將廣納產業特性與國際間發生的最新資安事件。他認為，「攻擊預判、威脅情報、AI」將構成未來紅隊演練的三位一體。透過這種深層的攻擊模擬，防守方能比攻擊者更早一步行動，找出潛在風險。

另要留意的是，這場變革也意味著傳統檢測服務正大幅面臨轉型挑戰。DEVCORE資深副總徐念恩提到，這波轉型浪潮將衝擊傳統資安服務，弱點掃描就是一例。由於這類服務的技術門檻已大幅降低，企業可能利用開源工具搭配AI即可完成大部分基礎工作，因此傳統服務需要更進一步展現商業價值。

對此，翁浩正也從人才發展角度提出提醒。他指出，傳統資安公司過去多聘僱資淺人員，由其負責弱點掃描等基礎任務，但在AI時代，這些人才勢必需要加速轉型。「人類的價值應該體現在邏輯判斷與更深層的問題處理，而非重複性的苦工。」翁浩正強調，將勞力密集的工作交給AI處理，讓專家專注於AI無法取代的創造性攻防思維，是資安公司在轉型過程中必須努力的方向。

'

Adobe揭露的滿分ColdFusion漏洞傳出兩小時後就出現實際攻擊

來源：https://www.ithome.com.tw/news/177132

6月底Adobe發布網頁應用開發平臺ColdFusion、行銷自動化平臺Campaign Classic更新，修補多達7個10分滿分漏洞成為焦點，有資安公司警告，他們在Adobe公布不久之後，就發現有人試圖利用的情形。

威脅情資平臺KEVIntel創辦人Ryan Dewhurst於社群網站X提出警告，在漏洞細節公布後的兩個小時內，其中一個ColdFusion滿分漏洞CVE-2026-48282就遭到實際利用。該平臺在設置的蜜罐陷阱偵測到相關活動，其攻擊來源的IP位址來自印度。Dewhurst呼籲，用戶應儘速套用更新程式因應。值得留意的是，加拿大網路安全中心（CCCS）也指出該漏洞遭到利用，他們根據開源的威脅情報掌握此事，呼籲使用者與管理員根據相關資料，儘速套用必要的更新。

CVE-2026-48282為路徑遍歷漏洞，攻擊者有機會用於執行任意程式碼，過程裡完全不需要使用者互動，Adobe發布ColdFusion 2025 Update 10、ColdFusion 2023 Update 21修補。

'

Akira勒索軟體攻擊者以搜尋引擎最佳化中毒手法，誘導IT管理員下載惡意安裝程式

來源：https://www.ithome.com.tw/news/177131

一起涉及Akira勒索軟體的攻擊案例顯示，駭客透過針對Bing的搜尋引擎最佳化中毒（SEO Poisoning）手法，假冒企業IT維運工具下載頁，鎖定正在搜尋相關工具的IT管理人員，藉此接觸可能具備高權限的企業帳號。

資安事件分析團隊The DFIR Report指出，攻擊者透過仿冒網路監控工具ManageEngine OpManager的下載頁，誘使受害者下載並執行木馬化MSI安裝程式。

該程式執行後看似啟動正常安裝流程，實際上會植入惡意程式載入器Bumblebee。攻擊者接著部署開源命令與控制框架AdaptixC2，用於控制受害環境、偵察內部網路與橫向移動。研究人員也提到，瑞士電信業者Swisscom旗下B2B CSIRT曾觀察到另一起相關案例，受害者在管理伺服器執行名為Advanced-IP-Scanner.msi的惡意安裝程式，該程式同樣植入Bumblebee，後續引發Akira勒索軟體攻擊。

攻擊者取得初始存取權後，進一步連至網域控制站，傾印Active Directory資料庫NTDS.dit與相關憑證，並鎖定備份伺服器，嘗試擷取Veeam PostgreSQL資料庫中的備份系統憑證；同時也透過SFTP外傳資料。攻擊者在初始入侵後不到44小時於根網域部署Akira，兩天後再加密子網域的系統。

這起案例顯示，攻擊者可透過搜尋引擎最佳化中毒，讓仿冒下載頁混入一般搜尋結果，降低使用者對下載來源的戒心。企業應要求員工從官方來源取得IT維運工具，並透過應用程式允許清單、瀏覽器下載限制及端點監控強化防護，同時留意DLL側載、異常C2連線、可疑帳號建立等跡象。

'

微軟宣布裁撤4,800名員工，主要集中於企業業務與Xbox

來源：https://www.ithome.com.tw/news/177130

微軟本周一（7/6）宣布，為了重新配置人力、投資與資源，以因應快速變化的產業，正裁撤4,800個職位，約占微軟全球員工數的2.1%，主要集中於微軟企業業務（Microsoft Commercial Business）及Xbox部門。微軟人資長Amy Coleman強調，這次被取消的職位並不會被AI取代。

其中，Xbox部門當天也發布消息，表示周一約有1,600人受到影響，但整個2027財年將會有3,200人受到波及。微軟的2027財年是從2026年7月1日至2027年6月30日止。

負責Xbox業務的微軟企業副總裁Asha Sharma指出，Xbox目前的業務並不健康，其獲利率比其他同類平臺及遊戲發行業務低了3~10倍，第9代主機推出時裝機基礎較小，且成本結構較高。現在整個遊戲產業更面臨了史上最嚴重的硬體危機。

由於並非所有類型的遊戲工作室都適合留在Xbox體系，因此將有4家工作室轉由新的管理團隊經營，並同步重整Xbox平臺。Sharma說，雖然Xbox玩家人數及遊戲時間變少了，但平臺團隊卻成長了40%，因而決定減少管理層級，最多不超過5層，最好只有3層，實施更扁平化的組織架構，同時簡化程式碼庫、共享服務及供應商支出。

扣除Xbox此次裁撤的1,600個職位，其餘約3,200個職位來自包括Microsoft Commercial Business在內的其他組織。

Microsoft Commercial Business為微軟針對企業市場的服務體系，負責將微軟的企業產品導入客戶端，從業務、顧問、架構師到企業支援等。Coleman說，此次的調整延續了微軟日前成立的AI工程事業群Microsoft Frontier Company，將重新塑造工作模式，以讓工程專家直接進駐客戶端，與客戶並肩合作，協助客戶加速部署各項技術，並宣布投入25億美元，派遣6,000名產業與工程專家協助企業部署AI。

Coleman說明，儘管消失的職位不會被AI取代，但AI確實正在改變人們的工作方式，現在已可自動化一些每日任務，意味著大家需要不斷地學習、培養新的技能，並隨著工作內容的演變持續調整自己；其實微軟客戶也在經歷同樣的轉變，而只有當微軟自己可以應對這些變化時，才能更好地協助客戶。

'