月份: 2025 年 10 月

想像一下：公司網路邊界的防火牆，本該是抵禦駭客的第一道防線，但如今卻成了駭客眼中的「入口大門」。這正是 CVE-2024-3400 —— 一個存在於 Palo Alto Networks PAN-OS GlobalProtect 的重大漏洞，正被全球駭客積極掃描與利用。

---

為什麼這個漏洞這麼危險？

這不是一般的安全弱點。CVE-2024-3400 的 CVSS 風險分數高達 10.0 —— 最高級別。

• 無需帳號、無需驗證：任何人只要透過網路就能嘗試攻擊。
• 任意檔案建立 → 指令注入 → Root 權限：一旦成功，駭客能直接控制防火牆。
• 邊界防禦失守：如果防火牆被攻陷，企業內網幾乎等於完全暴露。

攻擊手法與風險

CVE-2024-3400 涉及 任意檔案建立（Arbitrary File Creation） 的缺陷，攻擊者可藉此進一步進行 OS 指令注入（Command Injection），最終取得防火牆的 root 等級權限。

據Cybersecurity News報道，從 2025 年 9 月下旬開始，全球蜜罐偵測到成千上萬次針對 PAN-OS SSL VPN Portal 的掃描與連線嘗試。

• SANS Technology Institute 公布的一個案例顯示，來源 IP 141.98.82.26 多次向 /ssl-vpn/hipreport.esp 發送惡意 POST 請求，利用 Session ID 驗證不足 的弱點。
• 攻擊流程中，駭客會在 Cookie 標頭 中插入惡意指令，成功寫入檔案後，再以 GET 請求驗證檔案是否存在，並進一步將惡意檔案移動至可執行的目錄，實現系統層級的控制。

這些自動化攻擊行為突顯了該漏洞的嚴重性與被武器化的速度。

誰會受影響？

只要是 啟用了 GlobalProtect Gateway 或 Portal 的以下 PAN-OS 版本，都是攻擊目標：

• PAN-OS 10.2：10.2.9-h1 之前
• PAN-OS 11.0：11.0.4-h1 之前
• PAN-OS 11.1：11.1.2-h3 之前

值得注意的是，Cloud NGFW 與 Prisma Access 不受影響，風險主要鎖定在 內部部署的防火牆設備。

---

立即行動：企業該怎麼做？

1. 馬上更新修補：升級至最新安全版本（10.2.9-h1、11.0.4-h1、11.1.2-h3）。
2. 啟用威脅防禦簽章：套用 Palo Alto Networks 提供的簽章（95187、95189、95191）。
3. 檢查日誌異常：查看 GPSvc logs，若 Session ID 中出現檔案路徑或 Shell 指令，就代表可能遭到攻擊。
4. 系統檢視：確認 GlobalProtect 設定，並檢查 /var/appweb/sslvpndocs 是否有可疑檔案。

---

專家提醒

這起漏洞凸顯了幾個關鍵資安教訓：

• 零門檻攻擊，人人都是目標：這不是鎖定高階標的的 APT，而是任何暴露在網路上的設備都可能中招。
• 防火牆 ≠ 絕對安全：邊界設備一旦被奪權，後果比一般伺服器更嚴重。
• 漏洞管理與快速修補是關鍵：面對已被武器化的漏洞，「速度」就是防禦成敗的關鍵。

---

結語：CVE-2024-3400 已被駭客大規模自動化攻擊利用，若還未修補，等於主動把企業大門打開。現在正是檢查系統、立即更新與強化監控的最好時機。別等到發現防火牆變成「駭客的控制中心」時才後悔。

在全球資安戰場上，電子郵件與通訊系統仍然是最具戰略價值的目標，近期 Palo Alto Networks 旗下 Unit 42 的研究揭露，中國國家支持的駭客組織 Phantom Taurus 已持續三年以上，入侵並控制 Microsoft Exchange 郵件伺服器，長期竊取各國外交部、使館與國防相關單位的敏感資料。

這場長期的間諜行動，不僅展現了 APT（Advanced Persistent Threat，高級持續性威脅）組織的典型特徵，也提醒防禦方必須重新檢視 核心通訊基礎設施的安全性。

---

Phantom Taurus 的戰略目標與攻擊範圍

Unit 42 觀察到，Phantom Taurus 主要目標包括：

• 外交部門與駐外使館：蒐集外交談判、國際會議、戰略合作等敏感資訊。
• 國防與軍事通訊：追蹤軍事演習、武器交易、區域安全動態。
• 區域戰略要地：特別是 阿富汗、巴基斯坦、中東國家，這些皆屬北京長期關注的地緣政治熱點。

研究指出，許多攻擊事件發生在 國際重大事件或軍事局勢變動之前後，顯示該組織的情報行動與中國國家戰略存在高度一致性。

---

攻擊鏈解析：從 MS Exchange 到 IIS

Phantom Taurus 並非依賴單一工具，而是建立了一整套長期滲透的技術鏈：

1. 初始滲透

• 利用 Exchange 伺服器漏洞：APT 攻擊常透過已知或 0-day 漏洞，取得對郵件伺服器的存取權限。
• 部署後門程式：植入持久化存取的後門，確保即使系統修補後，仍能繼續存取。

2. 情資蒐集

• 鎖定郵件內容：攻擊者會特別搜尋與外交、軍事活動相關的電子郵件。
• 擴展到資料庫：研究團隊發現攻擊者編寫 自訂 SQL 腳本，能動態查詢資料庫並匯出資料，表示其目標不僅限於郵件，而是擴大至內部業務資料。

3. 維持隱匿性

• NET-STAR 惡意軟體：一個新發現的工具組，專攻 Microsoft IIS 伺服器。
• IIServerCore 後門：採取 無檔案(fileless) 技術，程式直接執行於 IIS 記憶體中，不會留下檔案於磁碟，因此傳統防毒與檔案掃描極難偵測。
• 動態策略切換：一旦發現防禦方開始偵測，Phantom Taurus 會迅速更換工具或基礎設施，增加追蹤難度。

---

Phantom Taurus 與其他中國 APT 的連結

Unit 42 指出，Phantom Taurus 的基礎設施與戰術技術（TTPs）與 Mustang Panda、Winnti 等中國 APT 組織有重疊跡象。這代表其背後可能存在 共享基礎設施 或 國家級協作。

對防禦者而言，這意味著單一事件不能只視為孤立攻擊，而是必須放在更大範圍的 中國網路作戰生態系 中去理解。

---

防禦啟示：如何因應長期滲透威脅

Phantom Taurus 的案例對全球資安社群提出幾項重要警示：

1. 郵件與通訊伺服器是戰略要害
   • Exchange、O365、IIS 等服務，往往是組織日常運作的核心，卻同時是 APT 的首要目標。
   • 建議：持續進行漏洞修補，並強化郵件伺服器的行為監控。
2. APT 攻擊並非一次性，而是長期性
   • 攻擊者可能潛伏數月甚至數年，持續擷取資訊。
   • 建議：導入 持續威脅獵捕 (Threat Hunting)，主動尋找異常行為，而非僅依賴警報回應。
3. 無檔案攻擊是新常態
   • 傳統防毒依賴檔案特徵比對，對於記憶體中的惡意程式偵測能力有限。
   • 建議：部署 EDR/XDR 解決方案，針對記憶體層級行為進行監控。
4. 情報導向的防禦必不可少
   • 單靠技術防禦不足，需結合威脅情報（Threat Intelligence），理解攻擊者的戰術、基礎設施與攻擊目標。
   • 建議：建立 情資共享機制，與產業、政府單位合作，以提升整體防禦能力。