駭客不必竊取資料，也能利用遭入侵的設備賺錢；更值得警惕的是，當攻擊流量透過一般住宅 IP 傳送，企業熟悉的登入地點與 IP 信譽判斷，也可能成為資安防線的盲點。

資安威脅情資公司 GreyNoise 揭露，一波代理流量劫持（Proxyjacking）攻擊已波及全球 34 個國家，至少 143 台設備遭到入侵。攻擊者利用 D-Link 網路儲存設備、Ubiquiti 網路錄影系統及其他設備的已知漏洞，未經所有人同意，偷偷安裝合法的頻寬共享應用程式 Pawns.app，將受害設備納入商業住宅代理網路，藉此轉送網路流量並獲利。

但這起事件真正值得企業注意的，不只是網路頻寬遭到劫持。

GreyNoise 在調查企業身分驗證紀錄時，發現部分與惡意活動相關的 IP 位址來自看似正常的住宅網路，地理位置也沒有立即呈現明顯異常。進一步調查還發現，多名使用者透過同一個住宅 IP 位址進行驗證，成為研判企業遭到入侵的重要線索。

這揭示了住宅代理網路帶來的另一層風險：當攻擊者借用一般住宅 IP 傳送流量，企業若只依賴 IP 信譽與地理位置判斷登入安全，就可能錯失異常訊號。

一、駭客劫持你的網路，讓 IP 成為攻擊跳板

代理流量劫持（Proxyjacking），是指攻擊者未經設備所有人同意，入侵網路設備並利用其網路連線轉送其他人的流量，藉此從商業代理服務獲利。

這次事件涉及的 Pawns.app，本身是合法的頻寬共享應用程式。使用者可以自願分享網路連線，並依服務規則取得報酬。然而，攻擊者利用設備漏洞，將應用程式偷偷安裝到其他人的設備上，讓原本合法的服務成為未經授權的獲利工具。

整個攻擊流程可以分為四個階段：

1. 尋找漏洞設備： 掃描暴露於網際網路的 NAS、網路錄影設備及企業系統。
2. 入侵並安裝程式： 利用已知漏洞取得設備存取權限，部署頻寬共享應用程式。
3. 劫持網路連線： 將受害設備納入住宅代理網路，透過受害者的 IP 位址轉送流量。
4. 利用設備獲利： 攻擊者取得收益，設備所有人卻可能承受 IP 被封鎖及網路活動遭調查的風險。

對受害者而言，問題不只是頻寬被占用。當其他人透過遭劫持的 IP 位址對外連線，外部服務看到的可能是受害者的網路來源，而非實際操作的人。

如果相關流量涉及可疑活動，受害者的 IP 可能被列入封鎖名單，甚至需要進一步釐清設備是否遭到入侵，以及相關網路活動是否與自己有關。

二、D-Link、Ubiquiti、SAP 成為攻擊目標：已知漏洞仍是入侵入口

GreyNoise 研究人員辨識出多項與這波攻擊相關的已知漏洞，涉及網路儲存設備、網路錄影系統及企業應用系統。

這份清單反映出一個容易被忽略的問題：企業的資安風險不只存在於核心伺服器，也可能藏在長期沒有更新的周邊設備。

NAS 可能存放重要檔案與備份；網路錄影設備可能連接監控系統；企業應用系統則可能與內部業務流程相連。只要設備存在可被利用的漏洞，又缺乏適當的網路存取控管，就可能成為攻擊者入侵的入口。

需要注意的是，這不代表所有相關品牌或型號都已遭到入侵。企業應依實際設備型號、軟體版本及廠商公告確認是否受影響。

真正的風險在於，設備即使仍能正常運作，也可能已被安裝未經授權的程式，甚至被用來執行與原本用途完全無關的工作。

三、住宅 IP 為什麼會讓企業更難發現異常登入？

企業常利用 IP 信譽、地理位置、登入時間及裝置資訊，判斷使用者是否可能遭到冒用。

例如，員工平常在台灣登入企業系統，卻突然出現來自另一個國家的登入活動，系統可能觸發異常登入警示。

但當攻擊者透過住宅代理網路轉送流量時，登入請求可能呈現一般住宅網路的特徵，來源地理位置也可能看似合理。這會增加只靠 IP 位址與地理位置判斷風險的難度。

GreyNoise 的研究便凸顯這項盲點：研究人員在調查企業身分驗證活動時，發現部分可疑 IP 具有看似合理的住宅網路來源及地理位置。後續觀察到多名使用者透過同一個住宅 IP 進行驗證，成為進一步調查的線索。

該報告並未公開完整的入侵經過，因此不能據此推定攻擊者的所有入侵步驟，但這些發現足以提醒企業，必須重新檢視單靠來源 IP 判斷登入安全的做法。

企業應特別留意三個問題：

• IP 看起來正常，不代表登入者就是本人。 住宅代理可能讓攻擊流量呈現一般使用者的網路來源特徵。
• 地理位置合理，不代表存取行為合理。 即使登入地點沒有明顯異常，帳號、裝置及登入模式仍可能存在風險。
• 合法服務也可能被濫用。 單靠惡意程式黑名單或已知惡意 IP，未必能辨識所有未經授權的活動。

因此，企業應從單純判斷「連線來自哪裡」，進一步確認「誰在登入、使用什麼裝置，以及登入行為是否符合正常模式」。

四、企業如何發現住宅代理掩護下的異常登入？

企業應將 IP 信譽、登入行為與裝置資訊交叉分析，而不是只依賴單一指標。

1. 觀察多個帳號是否共用同一個住宅 IP

如果多個不同的企業帳號在短時間內，透過同一個住宅代理 IP 進行驗證，應進一步確認原因。

不過，公司共用網路、網路位址轉換（NAT）及其他合法網路架構，也可能讓多名使用者共用同一個 IP。因此，這項特徵應視為調查線索，而非直接判定遭到入侵的依據。

2. 比對裝置識別資訊

確認使用者登入時的裝置是否符合既有紀錄，包括系統能夠提供的裝置識別碼、作業系統及瀏覽器資訊。若同一帳號突然出現不熟悉的裝置特徵，應結合其他訊號判斷是否需要額外驗證。

3. 分析工作階段與用戶端資訊

工作階段相關資訊及 User-Agent 可協助辨識登入環境的變化。若同一帳號在短時間內出現無法合理解釋的裝置或用戶端特徵變化，應進一步檢查。

但這些資訊也可能因瀏覽器更新、網路環境變動或合法共用設備而改變，不能單獨作為入侵證據。

4. 將登入紀錄與網路活動交叉比對

若身分驗證系統出現可疑登入，應進一步檢查相關時間的網路連線、端點活動及設備設定。若同時發現不明程式、未授權的 SSH 金鑰或異常對外流量，就應提高調查優先級。

這類交叉分析有助於避免因為單一指標看似正常，就忽略其他可能的入侵跡象。

五、台灣企業應優先做好哪些防護？

對台灣企業而言，這起事件帶來的警示不只是及時修補漏洞，更要將邊界設備安全、網路行為監控與身分驗證納入整體防禦策略。

第一，盤點所有對外連線設備。

清查 NAS、NVR、DVR、路由器及企業應用系統，確認設備型號、軟體版本、管理介面與外部存取需求。對不再需要的服務應予以關閉，避免管理介面直接暴露於網際網路。

第二，儘速修補已知漏洞。

依廠商公告確認受影響版本並執行更新。對已停止支援、無法修補的設備，應評估隔離、限制連線或汰換。

第三，檢查是否存在持續存取管道。

若設備出現異常，除了修補漏洞，也應檢查未授權的帳號、SSH 公開金鑰、常駐程序及其他設定變更，避免攻擊者在原始漏洞修補後仍可重新進入。

第四，強化身分驗證與異常登入監控。

將 IP 信譽、登入頻率、地理位置、裝置資訊及工作階段特徵交叉分析，並依風險採取多因素驗證、額外身分確認或限制存取等措施。

第五，建立完整的事件調查流程。

發現設備遭入侵時，應保留相關紀錄與證據，確認攻擊時間、影響範圍、持續存取方式，以及是否波及其他系統。不能只因為設備恢復正常，就認定事件已經結束。

GreyNoise 也提供需註冊帳號的 IP 查詢服務，可協助使用者檢查 IP 是否與已知代理服務相關聯。不過，查詢結果只能作為調查線索，不能單憑是否命中，就認定設備遭到劫持或完全沒有風險。

結語：別讓「看起來正常」成為企業資安的盲點

這波代理流量劫持攻擊表面上是駭客劫持網路設備、利用住宅代理網路獲利，背後卻凸顯兩個企業不能忽視的問題：一是長期未更新的邊界設備可能遭到濫用；二是攻擊者利用住宅 IP 轉送流量，可能讓部分異常活動不容易透過傳統登入規則辨識。

對台灣企業而言，防禦策略不能只依賴已知惡意 IP、登入地理位置或惡意程式告警。更重要的是持續掌握設備實際行為，確認帳號、裝置及網路連線是否符合正常使用情境。

當駭客能借用一般住宅 IP 隱藏網路活動，企業就不能再把「IP 看起來正常」當成「登入安全」的證明。

設備安全、網路監控與身分驗證必須相互配合，才能更早發現設備遭到劫持及帳號遭到濫用的跡象，避免企業在系統仍能正常運作的情況下，錯失處理資安事件的時機。

資料來源：GreyNoise，Proxyjacking Edge Devices Into Residential Proxies。

台灣網路設備成為 Linux 後門攻擊鏈的一環。

資安業者 Rapid7 最新揭露一批針對電信與網路邊緣環境的 Linux 惡意程式活動，其中包括此前未公開的 AVERAT 後門。研究人員在台灣設備環境發現 6 個 AVERAT 樣本，並分析出一套疑似專為眾至資訊 (ShareTech)設備環境打造的惡意安裝程式。

更值得台灣企業注意的是，Rapid7 從 AVERAT 的設定資料中進一步發現 3 台位於台灣的設備已遭攻擊者入侵，並被拿來當作 AVERAT 的中繼基礎設施。這些設備分別位於台南、板橋與桃園，皆位於中華電信 HiNet 網路環境。

這代表這起事件不能只理解成「某一款 Linux 後門出現」。

從資安角度來看，更值得警覺的是：攻擊者正在把台灣企業與網路環境中的設備，轉變成自己的隱蔽通訊節點，進一步掩護後續攻擊活動。

AVERAT 最危險的地方，不只是「後門」，而是藏得像正常郵件流量

Rapid7 將這批活動的核心特徵歸納為「區域化偽裝」。

攻擊者會根據目標環境中實際使用的軟體與設備，調整惡意程式的程序名稱、檔案名稱及通訊方式，讓它看起來更像系統原本就存在的正常元件。

AVERAT 就是一個典型案例。

這個後門會透過 TCP/25，也就是 SMTP 常見的郵件通訊埠對外連線，甚至會先進行 EHLO、要求 STARTTLS，再建立自己的加密通訊。對郵件安全設備而言，對外建立 SMTP 連線本來就是正常工作，因此單純從網路流量來看，惡意通訊很可能與正常郵件服務混在一起。

更重要的是，AVERAT 的回連時間也不是固定值，而是在約 600 至 699 秒之間，並且可由攻擊者修改。

也就是說，如果企業只依靠「異常連接埠」或固定週期的網路特徵來抓後門，很可能會漏掉這類藏在正常服務流量裡的攻擊。

台灣部分最值得注意：疑似針對Sharetech環境打造

Rapid7 發現一個 ELF 格式的 Dropper，極可能是針對眾至資訊設備環境所設計。

其中一個非常特殊的細節是，Dropper 的加密金鑰衍生方式直接使用 「ShareTech」 字串。惡意程式進一步從設備的 /addpkg/sbin/ 目錄取得檔案，將惡意元件複製到 /sbin/，並偽裝成 ntpdate、udevds 等看似正常的 Linux 程序。

執行後，惡意檔案會在約 10 秒內從磁碟刪除，但程序仍持續運作，導致系統管理者即使事後檢查 /sbin/，也可能找不到原本的惡意檔案。

Rapid7 更指出，這種做法讓檔案型偵測變得困難，應改從 /proc/<pid>/exe 是否出現 (deleted)、記憶體中的可執行頁面，以及程序啟動鏈等方向調查。

但目前不能直接說「ShareTech 有漏洞」

這一點必須特別釐清。

Rapid7 的研究證明的是：有一個 Dropper 的技術特徵高度指向眾至資訊設備環境，包括使用「ShareTech」作為金鑰衍生來源，以及從設備特定目錄取得惡意元件。

但 Rapid7 並沒有確認攻擊者最初是透過哪一個漏洞取得設備存取權限，也沒有證實這起事件是由眾至資訊特定產品漏洞造成。

眾至資訊在事件說明中也強調，目前公開研究尚未說明初始入侵方式，亦未確認事件是由特定產品漏洞造成；公司表示現行 ShareTech 郵件伺服器具備異常檔案及可疑執行行為偵測機制，若發現問題將提供必要更新。

因此，目前最精確的說法應該是：

Rapid7 發現疑似針對 ShareTech 設備環境設計的惡意安裝程式，但初始入侵途徑與是否涉及產品漏洞，仍待進一步確認。

這個區分對台灣企業非常重要，避免把「攻擊者針對某設備開發惡意程式」直接等同於「該產品存在已確認漏洞」。

更令人擔心的是：台灣設備被拿來當「跳板」

Rapid7 的調查還揭露另一個台灣企業更容易忽略的風險。

研究人員從 AVERAT 的設定資料中找到 3 個中繼節點，進一步分析後發現，這些都是位於台灣的第三方設備，包括一台台灣燃料零售業者使用的 Synology NAS、一台嵌入式網路設備，以及一台 大華(Dahua) 影像錄影設備。

這些設備並不是攻擊者自己的伺服器，而是先遭到入侵，再被拿來隱藏真正的攻擊來源。

Rapid7 認為，這些設備具有共同特徵：可從網際網路連線、未修補、缺乏監控，而且不容易被定期稽核。攻擊者因此可以利用它們建立中繼層，讓真正的 C2 通訊更難追蹤。

這對台灣企業的警示非常直接：

你的設備即使不是攻擊者真正想攻擊的目標，也可能被拿來當成攻擊別人的跳板。

為什麼「邊界設備」特別危險？

Rapid7 發現的 AVERAT 並不是單純竊取資料的工具。

它具備檔案上傳、下載、目錄探索、程序列舉、程序終止、互動式 Shell，以及 Proxy／Port Forward 等功能。

其中 Proxy 與 Port Forward 尤其值得注意。

一旦攻擊者控制位於網路邊界的設備，就可能利用該設備作為內外網路之間的通道，進一步進行內部偵察、建立隱蔽連線，甚至掩護其他攻擊活動。

這也是為什麼資安團隊不能只監控 Windows 工作站或一般伺服器。

郵件安全設備、NAS、DVR、路由器、閘道器及其他 Linux 型網路設備，同樣需要被納入企業的偵測與事件調查範圍。

台灣企業現在應該檢查什麼？

Rapid7 建議，企業應優先從幾個方向檢查 Linux 與網路邊界設備：

一、檢查異常的 Raw Socket 與 BPF 行為

如果設備本身沒有封包擷取或分析需求，卻出現異常 Raw Packet Socket 或 BPF Filter，應進一步調查。

二、檢查非郵件程序對外連 TCP/25

不能只看到 TCP/25 就認定是正常郵件流量，而要追查「到底是哪一個程序建立連線」。

如果來源是本來不應該發送郵件的網路設備或系統程序，就值得高度注意。

三、檢查程序是否冒用正常名稱

例如惡意程序可能偽裝成 ntpdate、udevds 或其他看似正常的系統服務。

因此應進一步比對程序實際執行路徑、檔案雜湊、父子程序關係，以及 /proc 中的執行檔狀態，而不是只看程序名稱。

四、重新盤點所有直接暴露在網際網路上的設備

尤其是 NAS、DVR、路由器、郵件閘道器及其他嵌入式 Linux 設備。

如果設備已經停止原廠支援、長期沒有更新、管理介面直接暴露在網際網路，風險會更高。

給台灣企業的一個重要提醒

這起 AVERAT 事件最值得台灣企業注意的，並不是又出現一個新的 Linux 後門，而是攻擊者正在把台灣的網路設備環境納入完整的攻擊基礎設施。

一端是疑似針對特定設備環境設計的惡意程式；另一端則是已遭入侵的台灣 NAS、網路設備與影像設備，被進一步拿來當成中繼節點。

這代表攻擊者的目標不一定只是「偷資料」。

控制一台不起眼的網路設備，本身就可能具有攻擊價值。

對台灣企業而言，真正需要重新思考的是：企業現在的資安監控，是否只看「有沒有惡意檔案」，卻沒有看「這台設備現在正在做什麼」。

因為在 AVERAT 這類攻擊中，惡意程式可以刪除自己的檔案、偽裝成正常程序，甚至把 C2 通訊藏進設備原本就應該使用的 SMTP 流量。

當攻擊者開始偽裝成正常服務，防禦的重點就必須從「檔案有沒有異常」，進一步提升到「程序、網路連線與設備行為是否符合正常工作」。

這才是這起台灣 AVERAT 事件對企業最重要的資安警訊。

過去企業談資安，多半聚焦在「怎麼把駭客擋在門外」。但現在的攻擊環境已經不同，攻擊者可能透過釣魚、漏洞、被竊帳密或供應鏈風險取得初步存取權，再利用合法帳號與系統內建工具進行偵察、橫向移動，甚至尋找重要資料。

這也讓「如何在攻擊者進入環境後更早發現他」成為企業資安防禦的重要課題。

美國網路安全暨基礎設施安全局（CISA）近期發布 Cyber Decoy 指南，將 Cyber Decoy 納入偵測與事件回應思維。核心概念很簡單：既然不能假設駭客永遠進不來，就要設計一套機制，讓駭客進來之後更容易暴露。

Zero Trust 之後，還要思考「駭客進來了怎麼辦」

Zero Trust 的核心精神，是不因為使用者「已經在內網」就直接信任他。

但實務上，即使企業已經導入身分驗證、MFA、EDR、Firewall、SIEM 等防護措施，攻擊者一旦取得合法帳號，仍可能利用正常工具進行系統探索。

例如探索內部網路與伺服器、嘗試存取其他帳號、搜尋重要檔案與資料夾、進行橫向移動，或尋找備份與其他可利用的系統。

這些行為不一定會立即觸發傳統安全設備的高風險告警。

因此，Cyber Decoy 的思維不是再增加大量告警，而是刻意放置一些「正常使用者不應該碰到」的資產，讓攻擊者一旦碰觸，就成為高度可疑的訊號。

不只是 Honeypot，而是完整的欺敵防禦

Cyber Decoy 並不只是傳統的 Honeypot。

企業可以運用不同形式的誘餌，包括 Decoy 系統、帳號、憑證、檔案、URL、網路服務，以及 Honeytoken、Tripwire 等技術。

例如，在企業研發環境中，可以建立看起來像真的「R&D」資料夾，放入沒有實際敏感內容、但具有監控能力的誘餌檔案。

也可以建立一組看似具有管理權限的帳號或憑證。

如果一般員工根本不應該存取這些資源，一旦出現登入、讀取、複製或嘗試使用的行為，SOC 就可以立即收到告警。

這種做法最大的價值，就是降低「到底是不是攻擊」的判斷成本。

一般的登入行為可能是正常的；但一個從未被使用、且不應該被碰觸的 Decoy 帳號突然遭到嘗試登入，安全團隊就有更明確的調查方向。

CISA 提出的三種目的：Expose、Affect、Elicit

CISA 將欺敵防禦的目標概括為三個方向。

Expose：讓攻擊者現形

透過高可信度的誘餌與觸發條件，快速發現攻擊者。例如放置假的管理員憑證、誘餌資料夾或網路服務，只要攻擊者碰觸，就產生告警。

Affect：增加攻擊成本

讓攻擊者花時間在沒有實際價值的目標上，延緩其攻擊進程。例如提供看似重要、實際上沒有敏感資訊的資料，讓攻擊者在錯誤方向上花費更多時間。

Elicit：觀察並蒐集攻擊情報

透過高度擬真的受控環境觀察攻擊者的行為，進一步了解攻擊手法與工具。

不過這種方式對監控、紀錄與事件分析能力要求較高，因此企業通常可以先從 Expose 與 Affect 開始。

真正重要的不是「放了多少誘餌」，而是能不能形成偵測閉環

欺敵防禦最容易犯的錯，就是把它當成「多放幾台假的伺服器」。

實際上，Decoy 只有與既有的監控與事件回應流程整合，才能真正產生價值。

一個完整的流程應該包括：

部署 → 觸發 → 告警 → 分析 → 調查 → 回應 → 持續調整

例如，攻擊者碰觸一個誘餌帳號後，SOC 不只是收到一則告警，而是進一步確認：

這個帳號從哪裡被使用？來源 IP 是什麼？之前是否已經出現其他偵察行為？同一台設備是否還存取其他系統？是否有後續的橫向移動？

透過這些關聯，原本一個孤立的事件，就可能變成完整的攻擊行為軌跡。

對企業而言，最值得注意的是「合法帳號＋正常工具」

現在許多攻擊並不是一登入就執行明顯的惡意程式。

攻擊者可能使用已取得的合法帳號，再搭配 PowerShell、遠端管理工具或其他系統原生功能進行操作。

這也是企業為什麼越來越難單純依靠傳統特徵式偵測來判斷攻擊。

從資安實務來看，「攻擊者不應該做的事情」往往比「惡意程式長什麼樣子」更值得監控。

如果一名一般員工突然嘗試存取不存在於正常工作流程中的管理服務，或者某個從未使用過的高權限 Decoy 帳號突然出現登入行為，這類事件本身就具有很高的調查價值。

從 CISA 指南到企業實戰：欺敵防禦如何落地？

這也是 Acalvio ShadowPlex 所對應的企業應用場景。

企業可以在既有 IT、OT、雲端或混合環境中部署不同形式的 Decoy，包括虛擬主機、網路服務、帳號、憑證、檔案與其他誘餌，讓攻擊者在進行網路偵察、帳號嘗試、橫向移動或尋找敏感資料時，一旦碰觸這些 Decoy，就能產生高可信度的安全事件。

與其從大量正常使用者行為中尋找「哪一個可能是攻擊」，欺敵防禦採取的是另一種思維：

不是預測駭客下一步會做什麼，而是預先布置不應該被碰觸的帳號、系統或資料。一旦有人嘗試存取，就能產生高可信度的偵測訊號。

因此，ShadowPlex 並不是要取代 EDR、SIEM 或 SOC，而是補上傳統偵測機制較難處理的一個環節——當攻擊者已經進入環境，甚至使用合法帳號與正常工具進行偵察時，企業如何讓他自己暴露？

這也正是 Cyber Decoy 最值得企業關注的地方。

資安防禦不應只思考「怎麼阻止攻擊者進來」，也要開始思考：

如果駭客真的進來了，我們能不能讓他更早被發現、讓他的行為留下足夠證據，並在造成重大損害之前啟動事件回應？

對已經建立 EDR、SIEM、SOC 等資安防護能力的企業而言，欺敵防禦可以成為下一層的偵測補強，讓企業從「等待告警發生」，進一步走向「主動設計讓攻擊者暴露的環境」。

竣盟科技：從產品導入到長期在地支援

對企業而言，導入欺敵防禦平台不只是購買產品，更重要的是後續的部署、維運、調校與技術支援。

竣盟科技自 2020 年起代理 Acalvio ShadowPlex，持續深耕台灣市場，建立在地技術支援與客戶服務體系。

除了產品導入，我們同步培訓並建立具原廠認證的技術工程團隊，並定期為關鍵客戶與經銷夥伴提供 ShadowPlex 系統操作及維運訓練，協助客戶真正將平台能力融入既有資安環境。

我們也特別重視產品導入後的持續支援，避免企業在導入解決方案後，因缺乏技術資源而形成「孤兒產品」。從系統操作、維運到實際使用需求，提供持續且專業的技術協助。

對於過去曾使用類似欺敵解決方案，但因原廠停止支援而需要轉換平台的企業，竣盟科技也可提供 POC 測試、場地勘查與需求規劃，協助企業評估環境與需求，逐步銜接新一代欺敵誘捕與主動式防禦架構。

想了解 Acalvio ShadowPlex？

如果企業正在評估 Cyber Decoy、欺敵防禦，或希望強化現有 EDR、SIEM、SOC 的偵測能力，歡迎與竣盟科技團隊聯繫。

竣盟科技 Billows Technology
網站：www.billows.tech
Email：sales@billows.com.tw
電話：02-2562-3952

9月中旬，Cisco 與 Check Point 接連釋出重大安全更新，其中 Cisco Identity Services Engine（ISE）更出現 CVSS 10.0 的最高嚴重度漏洞，Cisco 已確認漏洞遭到實際利用；Check Point 的 Security Management Server 與 Log Server 則發現 CVSS 9.8 的遠端程式碼執行漏洞。

這一波漏洞有一個共同特徵：出問題的不是一般使用者電腦，而是企業用來管理網路、身分、防火牆與安全政策的核心系統。

對企業而言，這些平台本身就是高權限、高價值的管理入口。一旦遭到攻擊，影響可能不只是一台設備，而可能進一步牽動整個企業網路。

Cisco ISE 爆 CVSS 10.0，漏洞已遭實際利用

目前最需要優先處理的是 Cisco ISE 的 CVE-2026-76460。

Cisco ISE 是企業常用的網路存取控制平台，負責管理使用者與設備身分、網路存取權限，以及相關安全政策。

這次漏洞出現在 ISE 的 API 驗證機制。攻擊者可以從遠端送出特製請求，在不需要帳號、密碼，也不需要使用者操作的情況下繞過身分驗證。

更重要的是，Cisco 已確認這個漏洞正在遭到實際利用，且目前沒有可用的 workaround，受影響企業必須升級到修補版本。

Cisco 目前提供的修補版本包括：

• ISE 3.1：Patch 12
• ISE 3.2：Patch 11
• ISE 3.3：Patch 12
• ISE 3.4：Patch 7
• ISE 3.5：Patch 4

ISE 3.0 已進入終止維護階段，則建議移轉至仍受支援的版本。

為什麼 ISE 漏洞特別值得注意？

因為 ISE 本身就是企業網路的存取控制中心。

如果一般辦公室電腦遭到入侵，攻擊者通常還需要尋找其他帳號、系統或權限；但如果攻擊目標直接是管理網路存取的平台，攻擊者取得的可能是更有價值的資訊與權限。

例如企業有哪些使用者、哪些設備、網路如何分區，以及不同設備可以存取哪些資源。

這些資訊對攻擊者而言，就像一張企業網路的架構圖。

因此，CVE-2026-76460 真正值得注意的地方，不只是 CVSS 10.0，而是它提供了一條從遠端直接進入高權限管理平台的攻擊路徑。

Cisco 不只 ISE，Firewall Management Center 也出現重大漏洞

近期 Cisco 也針對 ISE 發布多項安全更新，涵蓋遠端程式碼執行、SQL Injection、XXE 及命令注入等問題，其中部分漏洞的 CVSS 評分同樣達到 10.0。

此外，企業用來集中管理防火牆政策與相關設備的 Cisco Secure Firewall Management Center 也出現多項重大漏洞。

不過，這些漏洞與 ISE 的情況仍有差異。Cisco 目前並未表示 Secure Firewall Management Center 相關漏洞已遭到實際利用，因此企業不應把所有漏洞都視為已發生攻擊。

但從資安管理角度來看，這類系統仍應列為高優先級資產。

原因很簡單：它管理的不是一台設備，而是一整套網路安全設定。

Check Point 也中招：CVSS 9.8，可取得 Root 權限

同樣值得注意的還有 Check Point。

Check Point Security Management Server 與 Log Server 被發現 CVE-2026-91843，CVSS 評分達 9.8。

該漏洞存在於登入處理流程，遠端攻擊者可能在不需要登入的情況下觸發漏洞，進而執行任意程式碼並取得 Root 權限。

Check Point 目前表示，尚未發現該漏洞遭到實際利用，並已透過 LivePatch 提供修補方式；啟用自動更新的客戶也可能已受到保護。

企業除了確認修補狀態，也應檢查 Trusted Clients 設定及管理伺服器的網路暴露情況，尤其不應讓不必要的管理介面直接暴露在 Internet。

Cisco、Check Point 的共同問題：管理平台成為高價值攻擊面

把 Cisco 與 Check Point 的事件放在一起看，可以看到一個值得企業注意的現象：

攻擊者盯上的，開始不只是防火牆、Server 或 PC，而是「負責管理這些設備的系統」。

這類管理平台通常具有三個特性。

第一是權限高。

ISE、Firewall Management Center、Security Management Server 都具備管理其他設備或安全政策的能力。

第二是掌握大量資訊。

這些平台通常可以看到使用者、設備、網路架構、存取政策及管理活動。

第三是影響範圍大。

一台 PC 被入侵，影響可能集中在單一使用者；但管理平台遭到控制，可能進一步影響一批網路設備或安全設定。

因此，企業不能只把這些系統視為「IT 管理工具」，而應該把它們視為企業最重要的安全控制點之一。

修補之後，還要回頭確認「有沒有被打過」

企業面對這類重大漏洞，不能只確認「現在已經 Patch」。

尤其 Cisco ISE 的 CVE-2026-76460 已經確認遭到實際利用，如果企業過去曾使用受影響版本，就應該進一步確認在修補之前是否曾出現異常活動。

包括異常登入、可疑 API 請求、帳號新增、權限變更、設定修改，以及不尋常的管理操作等。

「Patch 是把漏洞關起來，但不代表攻擊者過去沒有進來過。」

因此，企業處理這類漏洞應該分成兩個階段：先修補，再查證。

對已確認遭到利用的漏洞，更不能因為系統目前已經更新，就直接認定事件已經結束。

企業資安盤點，別忘了「管理資安的系統」

這次 Cisco 與 Check Point 接連出現重大漏洞，對企業最大的提醒可能不是「又多了幾個 CVE」，而是企業需要重新檢視自己的攻擊面。

過去做資安盤點時，企業通常會優先關注 Server、PC、Firewall、VPN 或端點設備；但現在，網路管理平台、身分管理平台、資安管理伺服器，同樣應該被列入高風險資產。

因為這些系統一旦被攻擊，攻擊者取得的可能不只是單一主機權限，而是企業整個網路環境的管理資訊與控制能力。

Cisco ISE 已經出現實際利用案例，Check Point 的漏洞目前則尚未發現遭到利用，兩者的風險狀態並不相同。

但兩起事件共同說明了一件事：

企業真正需要保護的，不只是防火牆和 Server，也包括那些「負責管理防火牆和 Server」的系統。

當攻擊者開始把企業的管理後台當成攻擊入口，資安團隊的漏洞管理策略，也必須從「哪些設備需要更新」，進一步擴大到「哪些系統一旦失守，可能影響整個企業網路」。

微軟才剛發布 9 月例行安全更新，Microsoft Defender 卻又被公開一個新的零時差漏洞。

9 月 9 日，資安研究員 Nightmare Eclipse 公開名為 ShieldCrash 的 Proof-of-Concept（PoC），聲稱可繞過微軟日前針對 Defender 漏洞 ShieldBreak（CVE-2026-69414） 所推出的修補機制。更值得注意的是，研究員宣稱，即使 Windows 10、Windows 11 與 Windows Server 已經安裝 9 月安全更新，仍可能透過 ShieldCrash 讓攻擊者以 SYSTEM 權限讀取任意檔案。

目前 Microsoft 尚未針對 ShieldCrash 公布正式 CVE 或完整修補方案，因此企業不應直接把研究員公開的 PoC 視為已經被 Microsoft 官方確認的漏洞。不過，從防禦角度來看，這起事件已經值得企業立即關注。

最值得注意的不是「又一個零時差」，而是「修補竟然可以被繞過」

ShieldCrash 的特殊之處，在於它並不是突然冒出來、完全獨立的一個漏洞。

它其實延續了一條非常值得企業注意的攻擊鏈：

RoguePlanet → ShieldBreak → ShieldCrash

今年 6 月，研究員先揭露 Microsoft Defender 的 RoguePlanet 漏洞；微軟在 7 月進行修補。之後研究員又發現 ShieldBreak（CVE-2026-69414），指出可以繞過先前的修補。微軟再於 9 月初針對 ShieldBreak 推出修正，但不到一週，ShieldCrash 又被公開，研究員宣稱可以再次繞過這次修補。

這代表一個非常重要的資安問題：

企業以為「漏洞已修好」，不代表原本的攻擊面真的已經消失。

如果修補只封住研究人員已經找到的攻擊路徑，而沒有把底層的權限控管或程式處理邏輯一起修正，攻擊者仍可能從另一條路進入。

這也是為什麼資安團隊不能只看「Patch Tuesday 有沒有更新完成」，還必須持續確認漏洞是否真的被有效緩解。

SYSTEM 權限到底有多嚴重？

很多人看到「SYSTEM」可能沒有概念。

在 Windows 環境中，SYSTEM 是非常高權限的本機安全性帳戶。一般使用者即使已經登入電腦，也不代表可以任意存取所有系統檔案；但如果攻擊者成功取得 SYSTEM 層級的操作能力，權限就會大幅提升。

目前公開的 ShieldCrash PoC，研究員聲稱主要展示的是：

以 SYSTEM 權限讀取任意檔案。

這點需要精確理解。

目前並不是「只要 ShieldCrash 成功，就可以立刻完全控制整台電腦」。研究員自己也表示，目前 PoC 主要展示任意檔案讀取，尚未提供完整的 SYSTEM shell 或任意寫入能力。

但從防禦角度來看，SYSTEM 層級的任意讀檔仍然不能輕忽。

因為企業電腦裡可能包含：

• 系統設定與安全性設定
• 應用程式設定檔
• API 金鑰與服務帳號資訊
• 憑證或其他敏感資訊
• 企業內部文件
• 應用程式所留下的機敏資料
• 部分 Windows 安全性資料

因此，「只能讀、不能寫」不代表風險很低。

如果攻擊者已經能在端點上執行低權限程式，再利用 Defender 本身的高權限元件取得 SYSTEM 層級讀檔能力，下一步就可能是尋找認證資訊、敏感設定或其他可以協助橫向移動的資料。

換句話說，ShieldCrash 真正值得企業關注的，是它可能成為攻擊鏈中的「權限提升與資訊蒐集工具」。

為什麼 Defender 反而成為攻擊者研究的目標？

這也是這次事件最值得資安主管思考的地方。

過去企業常把 EDR、AV、Endpoint Security 視為「保護電腦的東西」，因此容易產生一個直覺：

安全軟體本身應該比一般應用程式更安全。

但實際上，安全軟體往往擁有非常高的權限，而且需要深入 Windows 核心、檔案系統、程序、服務與其他系統元件。

也因此，一旦安全產品本身出現權限控管問題，影響反而可能比一般應用程式漏洞更值得注意。

這不是只有 Microsoft Defender 的問題。

近期 Nightmare Eclipse 也陸續公開針對其他資安產品的漏洞，包括 Kaspersky Endpoint Security、Avast，以及 CrowdStrike Falcon 等。這反映出一個越來越明顯的趨勢：

攻擊者開始把「企業用來防禦攻擊的工具」本身，也當成攻擊面。

「已經更新」不等於「可以放心」

對企業 IT 與資安團隊來說，目前最實際的問題不是要不要更新。

答案當然是：

該更新還是要更新。

ShieldBreak 的官方漏洞資料顯示，Microsoft Malware Protection Engine 的受影響版本低於 1.1.26080.3；Microsoft 已針對 ShieldBreak 提供修正。

因此企業首先仍應確認 Defender Malware Protection Engine、病毒碼與相關安全元件是否維持自動更新，以及實際版本是否已經達到 Microsoft 公布的修補版本。

但現在真正需要多做一步。

如果企業已經安裝 9 月更新，不要因此直接把 Defender 相關風險標示為「已解決」。

因為目前 ShieldCrash 的公開說法正是在挑戰這個假設：研究員宣稱，即使套用最新更新，特定條件下仍然存在相同類型的高權限操作路徑。

資安團隊現在應該做什麼？

在 Microsoft 尚未針對 ShieldCrash 發布正式修補前，企業可以先從「降低攻擊成功後的影響」著手。

第一，確認 Defender 與 Malware Protection Engine 的實際版本，不要只確認 Windows Update 顯示「已完成」。

第二，持續監控端點上的異常權限提升行為。 特別是低權限使用者程序突然出現高權限操作、異常存取敏感系統檔案，或安全軟體程序出現不符合正常行為的檔案存取活動。

第三，確認 EDR、SIEM 或 SOC 是否真的能看到這類異常。

這一點非常重要。

如果安全產品本身成為攻擊面，企業不能只依賴「該產品自己告訴我它沒有問題」。還需要透過其他層級的監控機制，觀察端點、帳號、程序與檔案存取行為。

第四，針對高價值端點降低橫向移動風險。

例如網域管理員工作站、財務系統管理主機、伺服器管理端點等，不應與一般辦公環境採取完全相同的權限與網路存取策略。

這次事件真正提醒企業的是「安全工具也不是信任邊界」

從資安專家的角度來看，ShieldCrash 最值得注意的地方，其實不是又出現一個新的漏洞名稱。

而是它再次提醒企業：

不要把「有安裝資安產品」直接等同於「這台主機就是安全的」。

Defender、EDR、AV、SIEM、NDR 都是防禦工具，但這些工具同樣存在程式碼、權限、服務與介面，也因此可能成為攻擊面。

更值得注意的是，這次漏洞揭露還呈現出另一個趨勢：漏洞修補與漏洞繞過之間的時間正在縮短。

從 RoguePlanet 到 ShieldBreak，再到 ShieldCrash，攻擊者不是每次都從零開始，而是會研究上一個修補到底改了什麼，再尋找下一個可以利用的缺口。

因此，企業的漏洞管理不應只停留在：

「這個 CVE 有沒有 Patch？」

更成熟的做法應該是：

「Patch 完成之後，這個攻擊路徑真的被關掉了嗎？」

這也是 ShieldCrash 對企業最大的警示。

目前 ShieldCrash 尚未有 Microsoft 正式 CVE 與官方修補資訊，企業應持續追蹤 Microsoft Security Response Center 的後續公告。在正式修補推出前，最重要的不是恐慌停用 Defender，而是確認版本、強化端點監控、降低高權限帳號暴露，並提高對異常 SYSTEM 層級活動的偵測能力。

因為真正危險的，從來不是「有漏洞」這件事本身，而是企業不知道漏洞已經被繞過，卻仍以為自己已經修好了。

中國背景的網路間諜組織 Fire Ant 再度擴大攻擊範圍。資安事件公司 Sygnia 最新調查發現，Fire Ant 不只入侵 VMware 虛擬化環境，更進一步將目標鎖定 Cisco IOS XR 路由器、TACACS 驗證伺服器與 Linux 管理主機，企圖掌握企業核心網路與管理權限。

這次攻擊最值得注意的地方，不只是「駭客進入了網路」，而是他們開始利用遭入侵的網路設備監看流量、竊取管理員憑證，同時刪除或隱藏自己的活動紀錄。

換句話說，駭客不只想進門，還想把監視器關掉。

從一條不明 GRE Tunnel 發現入侵

Sygnia 在調查一台 Cisco IOS XR 路由器時，發現設備出現一條沒有正常設定紀錄的 GRE Tunnel。沿著這條異常通道追查後，研究人員發現攻擊者已利用一台 Linux 主機，持續對其他網路進行連線與 Port 探測，包含 SSH、HTTP、SMB 與 RDP 等服務。

更進一步調查發現，Fire Ant 已將遭入侵的 Cisco 路由器當成「觀察站」，從多台 Cisco 設備擷取網路封包（PCAP），再將資料傳送到外部 FTP 伺服器。

這意味著，攻擊者取得路由器控制權後，可以從企業網路的核心位置觀察哪些系統正在互相通訊，以及哪些網路路徑值得進一步探索。

駭客盯上的不是一般帳號，而是網路管理員

Fire Ant 同時入侵企業使用的 TACACS/TACACS+ 驗證伺服器。

TACACS 是企業用來集中管理網路設備管理員登入權限的重要機制。一旦這類系統遭到攻擊，駭客取得的可能不是單一員工帳號，而是具有高度權限的網路管理憑證。

Sygnia 發現名為 TacTap 的工具，會將惡意程式碼注入 tac_plus 驗證程序，攔截登入連線並蒐集驗證資訊。

這種手法尤其危險，因為後續駭客可能使用竊取到的合法管理員帳號操作網路設備，讓攻擊行為更難與正常管理活動區分。

最危險的一招：讓企業看不到駭客

Fire Ant 的另一項行動更值得企業警戒。

研究人員發現，攻擊者修改 Cisco 路由器上的系統元件，讓部分 Log 訊息遭到過濾，甚至修改管理員查看設備設定時的指令輸出，藉此隱藏攻擊者建立的 Tunnel。

在 Linux 主機上，攻擊者也嘗試關閉 SELinux、修改登入紀錄，以及移除高權限操作相關的系統 Log。

這代表攻擊者已經不只是「躲避偵測」，而是直接破壞企業用來判斷是否遭到攻擊的證據。

因此，這起事件也帶來一個很重要的資安問題：

如果產生 Log 的設備本身已經被駭客控制，我們還能相信 Log 嗎？

Fire Ant 疑似與 UNC3886 高度相關

Sygnia 評估 Fire Ant 的活動與公開揭露的中國背景間諜組織 UNC3886 有高度重疊。

UNC3886 過去就曾被發現鎖定 VMware、網路設備與 TACACS 基礎設施，並利用工具竊取網路管理員憑證。不過 Sygnia 並未對 Fire Ant 與 UNC3886 做出確定性的歸屬，因此目前仍應視為高度重疊，而非確認為同一組織。

值得注意的是，Sygnia 也發現 Fire Ant 曾對與關鍵基礎設施相關的網路進行掃描與連線嘗試，但目前沒有證據證明這些目標已遭成功入侵。

台灣企業不能只盯著 EDR

這起事件對台灣企業最大的警訊，是資安防禦不能只放在 PC、Server 與 EDR。

路由器、TACACS、Jump Server、Hypervisor 等設備，同樣可能是高價值的攻擊目標。

尤其金融、電信、半導體、製造與政府供應鏈，網路設備往往連接大量內部與外部系統。一旦其中一個核心節點被控制，駭客取得的可能不只是單一設備，而是一張通往其他系統的「網路地圖」。

企業因此應重新檢查三件事：

第一，核心網路設備是否有獨立且持續的監控？

第二，TACACS、RADIUS、AD 等高權限驗證系統是否被視為 Tier-0 資產？

第三，重要 Log 是否已即時送往攻擊者無法修改的獨立平台？

尤其最後一點非常關鍵。

Router 說「沒有異常」、TACACS 說「沒有異常」，不代表真的沒有發生攻擊。企業應將 Router、Firewall、TACACS、AD、EDR、NetFlow 等不同來源的資訊交叉比對。

因為在 Fire Ant 這類攻擊中，「沒有留下紀錄」本身，就可能是一個警訊。

對企業而言，真正需要防守的已不只是「端點有沒有被駭」，而是整條網路、身分驗證與管理信任鏈是否仍然可信。