駭客組織Mem3nt0 mori傳出利用Google Chrome瀏覽器中的一項零時差漏洞，對俄羅斯與白俄羅斯境內的目標發動攻擊。記者孫敬／編譯

駭客組織Mem3nt0 mori傳出利用Google Chrome瀏覽器中的一項零時差漏洞，對俄羅斯與白俄羅斯境內的目標發動攻擊。此漏洞被命名為CVE-2025-2783，它允許攻擊者在極少的互動下，繞過Chrome的沙箱保護機制，進而植入間諜軟體。

延伸閱讀：8成寬頻用戶沒改路由器密碼 駭客可做跳板發動惡意攻擊

[caption id="attachment_89913" align="aligncenter" width="1200"] CVE-2025-2783漏洞現已完成修補。（圖／科技島資料照）[/caption]

零時差漏洞技術解析，偽柄邏輯錯誤造成沙箱逃逸

卡巴斯基研究人員於2025年3月發現該漏洞，而Google也迅速發布了修補程式，但在修補前，惡意感染已透過客製化的網路釣魚活動散播，像是模仿知名「普里馬科夫作品國際論壇」（Primakov Readings）的邀請函，因此卡巴斯基將這項行動命名為ForumTroll。駭客攻擊目標鎖定媒體、大學、政府機構以及金融單位，顯示該駭客集團的意圖主要集中在情報蒐集。

受害者收到的電子郵件以俄文撰寫，製作得幾可亂真，引誘目標點擊進入惡意網站。一旦造訪該網站，感染即自動啟動，無需任何額外的下載或點擊。這一感染鏈特別鎖定Chrome的Mojo行程間通訊（IPC）系統，這是Windows系統上處理瀏覽器程序間資料的關鍵元件。

卡巴斯基全球研究與分析團隊（GReAT）調查的感染過程顯示，攻擊經過多個精心設計的階段。首先，釣魚網站會啟動一段驗證腳本，利用WebGPU確認造訪者是否為真正的瀏覽器用戶，以此阻止自動掃描器的偵測。如果確認是合法造訪，隨後會透過橢圓曲線迪菲-赫爾曼金鑰交換（ECDH），解密隱藏在JavaScript文件或字體檔中的下一階段酬載。

儘管駭客進行遠端程式碼執行（RCE）的過程細節難以完全捕獲，但沙箱逃逸（CVE-2025-2783）是整個攻擊中的關鍵環節。它透過掛鉤Chrome的V8檢測器和ipcz函式庫，繼而中繼執行緒句柄，暫停並劫持瀏覽器主程序，最終注入一個持久性的載入器。

間諜軟體LeetAgent，與商業駭客工具Dante的黑暗連結

卡巴斯基在2022年首次追蹤到LeetAgent，並發現其載入器與義大利公司Memento Labs的商業間諜軟體Dante共享程式碼。Memento Labs正是惡名昭彰的Hacking Team於2019年更名的而來。Dante曾在2023年的ISS World會議上揭露，以其虛擬機保護（VMProtect）、反除錯機制和動態API解析等進階功能聞名。

卡巴斯基確認ForumTroll行動的工具包在持久化機制、字體隱藏資料的方法，以及漏洞利用程式碼方面，都與Memento Labs的Dante存在明確重疊。

專家提醒，在Chrome漏洞修補後不久，Firefox也修補了類似的IPC邏輯錯誤（CVE-2025-2857），使用者應立即將Chrome更新至134.0.6998.177或更高版本，並啟用加強型安全瀏覽功能。

資料來源：Cyber Security News

這篇文章 Chrome零時差漏洞遭鎖定 駭客對高情資單位發動攻擊 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

Google Chrome的V8 JavaScript引擎近日爆出「型別混淆」（Type Confusion）零時差漏洞，漏洞編號為CVE-2025-10585記者孫敬／編譯

Google Chrome的V8 JavaScript引擎近日爆出「型別混淆」（Type Confusion）零時差漏洞，漏洞編號為CVE-2025-10585。這是今年發現的第六個已被大規模利用的Chrome零時差漏洞，漏洞的CVSS評分高達8.8，駭客能透過複雜的記憶體破壞手法，繞過Chrome的沙箱保護機制，進而達到「遠端程式碼執行」（RCE）的目的。

延伸閱讀：最新臉書釣魚手法曝光 駭客利用官方轉址服務來騙取帳密

[caption id="attachment_193182" align="aligncenter" width="1920"] Google今年第六個零時差漏洞修補檔已推出自動更新。（圖／Chrome）[/caption]

攻擊目標鎖定高價值資產，加密貨幣錢包與國家級間諜行動

這項漏洞的攻擊手法，是利用V8引擎中的TurboFan即時編譯器（JIT）在效能最佳化時的預設假設，透過惡意JavaScript程式碼，生成特殊的Proxy物件來欺騙V8的型別推斷系統。當編譯器在執行過程中，對資料型別產生錯誤的判斷時，就會產生不正確的記憶體存取模式，導致記憶體被破壞。

駭客利用這個漏洞成功執行任意程式碼，並逃離Chrome的渲染器沙箱環境。根據威脅情報報告，這些高階駭客組織通常會將此漏洞與其他權限提升漏洞串聯，以便在受害者電腦中植入惡意軟體、竊取加密貨幣私鑰，甚至進行長期性的監控。

令人擔憂的是，這種漏洞的攻擊模式屬於網路型，只要使用者造訪含有惡意程式碼的網站，就有可能成為受害者。來自Google威脅分析小組（TAG）的報告指出，部分攻擊活動與商業間諜軟體供應商及國家級駭客有關，這顯示該漏洞在情報行動中的戰略價值極高。

目前，受影響的瀏覽器版本涵蓋所有在140.0.7339.185版本之前的Chrome，以及其他基於Chromium的瀏覽器，如Microsoft Edge、Brave和Opera。Google已緊急發布修補程式，並在全球範圍內透過自動更新功能進行部署。

資料來源：Cyber Security News

這篇文章 Chrome V8引擎爆零時差漏洞 駭客藉惡意軟體鎖定加密錢包 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

WinRAR驚傳嚴重漏洞，駭客已在修補程式發布前利用此漏洞發動「零時差攻擊」（Zero-day attack）。記者孫敬／台北報導

國家資通安全研究院2日表示，知名壓縮軟體WinRAR驚傳嚴重漏洞（CVE-2025-8088），駭客已在修補程式發布前利用此漏洞發動「零時差攻擊」（Zero-day attack），並透過夾帶惡意壓縮檔的電子郵件，誘騙收件人解壓縮後觸發惡意程式，進而竊取電腦資料或進行遠端控制。

資安院呼籲，民眾日常若不慎開啟惡意的WinRAR壓縮檔，可能導致駭客長期潛伏於電腦中，應立即將WinRAR更新至最新版本7.13。

延伸閱讀：駭客AI化？Anthropic曝駭客藉Claude實現「Vibe Hacking」網路犯罪

[caption id="attachment_190336" align="aligncenter" width="1920"] WinRAR的更新版本已釋出。（圖／WinRAR）[/caption]

漏洞已成國際資安威脅，資安院教你如何自保

資安院進一步說明，已有駭客組織利用此漏洞，將惡意壓縮檔偽裝成「履歷、自傳或職缺說明」，藉由求職郵件引誘收件人開啟。一旦使用者解壓縮檔案，惡意程式就會被觸發，並植入 SnipBot、RustyClaw、Mythic agent等木馬程式。這些木馬會自動寫入電腦開機目錄，並在每次開機時自動執行，讓駭客得以長期潛伏，竊取敏感資料，甚至完全控制電腦系統。

如何更新WinRAR：

一般用戶（官網下載）

1. 開啟瀏覽器，進入WinRAR官方網站：https://www.rarlab.com/download.htm
2. 下載符合您作業系統（64位元 Windows 較常見）的版本，並依步驟安裝即可完成更新。

進階用戶（CMD指令更新）

1. 在電腦搜尋列輸入CMD，找到「命令提示字元」並「以系統管理員身分執行」。
2. 在跳出的黑色視窗中輸入指令：winget upgrade --name WinRAR RARLab.WinRAR，並按下Enter。
3. 系統會自動下載並安裝最新版 WinRAR。

這篇文章 WinRAR傳嚴重零時差漏洞！恐遭駭客遠端操控電腦 資安院籲立即更新 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 Google與國際特赦組織（AI）旗下資安團隊發現，全球逾三十家間諜軟體商正積極開發針對Andr …

編譯／鄭智懷

Google與國際特赦組織（AI）旗下資安團隊發現，全球逾三十家間諜軟體商正積極開發針對Android和iOS零時差漏洞的駭客工具，並出售給眾多由政府資助的駭客組織，用於收集目標包含但不限於政治異議者、記者、人權工作者和反對黨政客在內的各項情報。

Google威脅分析小組（TAG）指出，在2022年11月與12月發現有兩起駭客活動特別針對舊款Android 和 iOS 零時差漏洞，攻擊者使用的正是出自於間諜軟體商開發的駭客工具。儘管兩起活動的規模與目標尚在調查中，該小組的分析結果顯示，攻擊發起時間巧妙利用漏洞補丁發布至大部分用戶完成更新的空窗期。

該小組研究員Clement Lecigne提到，兩起駭客活動都帶有國家支持的特徵，主要攻擊目標為阿拉伯聯合大公國、哈薩克、馬來西亞與義大利。至於在利用的漏洞方面，Android系統為CVE -2022-3723、CVE-2022-4135和CVE-2022-38181；iOS系統為CVE-2022-42856和CVE-2021-30900。

在上述駭客活動中，針對阿拉伯聯合大公國的案例由國際特赦組織安全實驗室發現，並向Google威脅分析小組通報。該實驗室指出，攻擊者從2020年，甚至更早之前就開始利用上述Android系統漏洞，向阿拉伯聯合大公國的三星（Samsung）用戶發送內含一次性攻擊超連接的簡訊，藉此在受害者手機植入間諜軟體。

Google與國際特赦組織在各自的報告皆強調，間諜軟體的蓬勃發展正對個人至企業造成普遍且廣泛的威脅。後者更進一步呼籲在成立防止人權侵害的全球性法案之前，國際社會應「暫停間諜軟體技術的開發、使用、轉讓和銷售」。

資料來源：Google、AI

這篇文章 舊款Android 和 iOS 零時差漏洞　間諜軟體商不法牟利 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 谷歌（Google）旗下資安公司Mandiant的最新研究發現，2022年被全球駭客廣泛使用的5 …

編譯／鄭智懷

谷歌（Google）旗下資安公司Mandiant的最新研究發現，2022年被全球駭客廣泛使用的55個零時差漏洞主要來自Microsoft、Google 和 Apple產品；其中有53個使攻擊者能提升安全權限，或是在容易受攻擊資訊設備遠端執行惡意程式碼。

在整體趨勢上，2020年代出現並被駭客用於網路攻擊的的零時差漏洞遠比上一個十年來得更多：2021年的漏洞創下破紀錄的81個；2022年的數量雖然略少，但也是歷史第二高；2019年的漏洞總數則是排行歷史第三高。

Mandiant預測，未來被運用於不法行動的零時差漏洞數量將逐步成長；於此同時，無論是物聯網（IoT）或雲端服務的防護手段也會因此受到刺激而同步增加。

在行為者方面，研究者指出其中有13個零時差漏洞被網路間諜組織使用：由中國組織占七個；俄羅斯組織占兩個（一個與中國重疊）；北韓組織占兩個；另有三個為不明網路間諜組織所用。此外，出於經濟動機的惡意行為者利用其中四個漏洞發動攻擊，並有三個是被用於勒索軟體攻擊。

就目標產品而言，微軟（Microsoft）、谷歌（Google）和蘋果（ Apple）繼續蟬聯全球零時差漏洞利用數量的廠商排名前三名：分別是18個、10個與9個。進一步從受影響的系統之角度來看，Windows的零時差漏洞利用數量最多，占19個；Chrome排行第二，占9個；Ios排第三，占5個；macOS排第四占4個。

Mandiant建議，各大組織的資安團隊首先應更深入了解當前網路安全生態，包含主要攻擊者、常見惡意軟體類型與攻擊手法等。其次，儘管攻擊者主要針對如上述的微軟、谷歌和蘋果等大廠產品，防護方也必須衡量使用其他供應商產品的風險，並且挹注資源實施保護措施。

資料來源：BleepingComputer、Mandiant

這篇文章 Microsoft、Google和Apple為2022年零時差漏洞攻擊最大受害者 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 科技巨頭谷歌（Google）旗下的資安團隊Project Zero發現，三星（Samsung）名 …

編譯／鄭智懷

科技巨頭谷歌（Google）旗下的資安團隊Project Zero發現，三星（Samsung）名下的Exynos系列晶片共存有18個零時差漏洞，允許駭客無須與受害者有任何互動，就可以直接遠端攻擊後者的資訊設備。據悉，該批有問題的晶片被廣泛安裝於多款Android手機、穿戴式裝置與車輛之中。

該團隊負責人Tim Willis表示，測試結果顯示其中四個最嚴重的漏洞，「攻擊者只要知道受害者的電話號碼」，就可以遠端執行並破壞手機。

Tim Willis接著補充，熟練的攻擊者只要透過簡單的研究，很快就能藉上述18個漏洞找到受害者設備的破口，並且不會引起目標的注意。

根據三星提供資料，受影響的產品包含，但不限於以下設備：三星S22、M33、M13、M12、A71、A53、A33、A21、A13、A12 和 A04 系列手機；vivo S16、S15、S6、X70、X60和X30系列手機；谷歌（）的 Pixel 6 和 Pixel 7 系列手機；所有使用 Exynos W920 晶片的穿戴式裝置；所有使用Exynos Auto T5123 晶片的車輛。

目前，三星已經向其他供應商提供修復晶片的補丁，但是並未向一般大眾開放。換言之，在各大製造商為名下產品釋出相關安全漏洞的補丁之前，消費者仍面臨高度風險。

對此，Project Zero除了呼籲用戶應盡快更新持有設備的軟體，確保隨時在最新版本之外，還建議關閉WiFi通話與VoLTE服務，阻止攻擊者利用三星晶片的漏洞所發動的攻擊活動。三星也證實上述舉措可以有效緩解晶片漏洞的資安危害。

資料來源：BleepingComputer

這篇文章 Google警告：三星晶片含18個零時差漏洞 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 蘋果（Apple）在美西時間13日）向iPhone和iPad用戶推出iOS 16.3.1 及 i …

編譯／鄭智懷

蘋果（Apple）在美西時間13日）向iPhone和iPad用戶推出iOS 16.3.1 及 iPadOS 16.3.1 正式版。此次更新為客戶提供最新發現的錯誤修正和零時差漏洞修復。

蘋果官網指出，本次更新機型包含iPhone 8 及後續機型、iPad Pro（所有機型）、iPad Air 第三代及後續機型、iPad 第五代及後續機型、iPad mini 第五代及後續機型。

在系統的錯誤修正上，蘋果表示核心（kernel）的部分錯誤可能導致APP運作時可以使用內核權限執行任意代碼（CVE-2023-23514）；本次更新已經透過內存管理的修正解決相關問題。該錯誤由盤古實驗室（Pangu Lab）和谷歌（Google）旗下的（Project Zero）研究員共同發現並通報。

在零時差漏洞方面，蘋果指出網頁瀏覽器Safari所使用的瀏覽器引擎WebKit出現CVE-2023-23514安全漏洞，導致用戶進入惡意網頁後，可能會因此被駭客入侵；本次更新已經修正類型混淆問題。

雖然蘋果在公告中將漏報通報歸功於某匿名研究員，以及額外感謝公民實驗室（Citizen Lab）。該組織隸屬於加拿大多倫多大學（University of Toronto）的蒙克國際研究中心（Munk School of Global Affairs），以揭發政府駭客工具濫用，例如以色列駭客公司NSO Group開發的各種產品而聞名於世。

在面對媒體詢問更新內容的資安問題時，蘋果發言人 Scott Radcliffe表示除了公告內容外，並沒有任何需要補充的地方；公民實驗室的高級研究員 Bill Marczak則指出，實驗室所有成員目前沒有任何評論。

網路媒體《TechCrunch》建議，雖然一般iPhone成為零時差漏洞攻擊目標的可能性不大，但是用戶仍應隨時保持系統在最新更新版本，完善保護措施。

資料來源：Apple、TechCrunch

這篇文章 蘋果iPhone和iPad最新更新 修復零時差漏洞 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 蘋果（Apple）在本週二宣布，其於11月30日發布的iOS 16.1.2安全更新旨在修補當前日 …

編譯／鄭智懷

蘋果（Apple）在本週二宣布，其於11月30日發布的iOS 16.1.2安全更新旨在修補當前日益氾濫的零時差漏洞。該更新涵蓋了iPhone 8和後續所有機型。而針對iPhone 6s 及更高版本和部分 iPad 機型的用戶，蘋果則推出iOS15.7.2和iPadOS 15.7.2，修復安全漏洞。

蘋果（Apple）表示，接獲了Google威脅分析小組（Threat Analysis Group）的通報，針對用於支援Safari瀏覽器和其他應用程式的排版引擎WebKit，有安全漏洞。蘋果隨即推出iOS 16.1.2安全更新。在本次更新之前，該漏洞已經造成廣泛的安全問題。

據該公司公告指出，該安全漏洞針對CVE-2022-42856 或WebKit 247562上的錯誤，屬於零時差漏洞，將使攻擊者植入的惡意程式在受害者的電腦中橫行無阻。事實上，不法人士經常針對WebKit的程式漏洞設計惡意程式，作為連結到其他程式漏洞，並突破電腦系統的資訊安全措施的突破口。

蘋果在公告中還提到，該漏洞是針對公司在2021年10月發布的iOS 15.1之前的iOS 版本所設計。因此，蘋果還對於使用iPhone 6s 及更高版本和部分 iPad 機型的用戶，且安全更新尚未提升到iOS 16版本的用戶，推出手機和iPad的iOS15.7.2和iPadOS 15.7.2，修復WebKit的漏洞。

雖然蘋果及時推出安全更新，但目前尚不清楚其為何推遲了兩週有關該錯誤的公告。蘋果和Google均未對此提出進一步的說明。

而在iOS 16.1.2安全更新推出後，蘋果隨即發布了iOS 16.2程式更新，其中包括對iCloud等數據加密和其他新功能。

資料來源：TechCrunch

這篇文章 Apple更新iOS修補「零時差漏洞」　iPhone 8以上機種受惠 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。