台灣資安新聞彙整 2025.11.05-11.11

巨變時代，掌握資安資訊必不可少！HENNGE 為您彙整每週資安新聞，快速洞悉產業趨勢、資安新知！

11/5

新寄生攻擊手法！利用 Windows 原生 AI 堆疊隱藏惡意軟體

資安研究人員發現一種新型的「寄生攻擊」手法，攻擊者可利用 Windows 原生的 AI 堆疊，將惡意程式碼隱藏在Open Neural Network Exchange (ONNX) 模型資料檔中。由於 ONNX 檔案被資安系統視為良性資料且無需數位簽章驗證，這使攻擊者能輕易繞過傳統 EDR 和防毒軟體的偵測。

https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=12416&mod=1

11/6

近期 VPN 漏洞遭大量利用！亞太地區面臨新一波勒索軟體攻擊

亞太區勒索軟體威脅大幅升級。攻擊者已進化至竊密與販售網路權限的雙重勒索模式，並鎖定製造業和關鍵基礎設施。Akira 勒索軟體正積極利用 SonicWall 嚴重漏洞，且能繞過多因素驗證 (MFA)。企業必須緊急實施敏捷修補，並加速導入 零信任架構 來對抗這些複雜且隱蔽的威脅。

https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=12422&mod=1

Eclipse 基金會撤銷外洩的 Open VSX 權杖，強化擴充套件供應鏈安全

開源擴充套件市集 Open VSX 發現並撤銷了因開發者疏忽而外洩的少量存取權杖，以應對攻擊者利用權杖「毒化」軟體供應鏈的威脅。為強化防禦，Open VSX 已採取多項措施，包括與微軟合作導入權杖前綴格式以利安全掃描、縮短權杖有效期限，並移除惡意擴充套件。此事件再次提醒，面對日益複雜的攻擊，供應鏈安全需要開發者和平台共同負起責任。

https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=12417&mod=1

ChatGPT 爆七項資安弱點，零點擊與安全檢查繞過成隱憂

資安公司 Tenable 揭露了 ChatGPT 的七項可連鎖利用漏洞，凸顯大型語言模型在處理外部資料時的風險。攻擊者能透過零點擊提示詞注入和繞過 URL 安全檢查等手法，在使用者不知情的情況下，竊取聊天記錄或個人記憶資料。部分漏洞已修復，但與記憶和瀏覽功能相關的弱點仍待解決。

https://www.ithome.com.tw/news/172081

瑞典隱私保護局調查 Miljödata 外洩勒索案，涉 150 萬筆公部門個資流入暗網

瑞典人資系統供應商 Miljödata 遭駭，導致逾 150 萬人的敏感個資（含個人識別號碼）外洩並被公開於暗網。瑞典隱私保護局（IMY）已針對 Miljödata 及其三個地方政府用戶展開 GDPR 稽核，以檢視其資安控制措施和對個資的保護是否符合規範。

https://www.ithome.com.tw/news/172062

NPM 套件 React Native 命令列工具存在重大漏洞，攻擊者恐在開發環境執行任意命令

熱門 React Native 開發框架的核心套件存在一個 CVSS 9.8 的重大漏洞。該漏洞允許攻擊者在未經身分驗證的情況下，於使用 Metro 開發伺服器的專案上遠端執行任意系統命令，使數百萬開發者曝險。Meta 已發布 20.0.0 版 進行修補，呼籲開發人員應立即更新以避免開發伺服器暴露在外部網路攻擊風險中。

https://www.ithome.com.tw/news/172082

11/10

Hyper-V 成駭客新武器！俄羅斯 APT 組織利用虛擬機躲避 EDR；ENISA 示警公部門攻擊激增

資安廠商 Bitdefender 揭露俄羅斯背景威脅組織 Curly COMrades 創新地利用 Windows Hyper-V 虛擬化技術，在受害系統中建立隱藏的 Linux 虛擬機環境，成功繞過傳統端點偵測與回應(EDR)解決方案。與此同時，歐盟網路與資訊安全局(ENISA)最新報告指出，公部門已成為網路攻擊的首要目標。

https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=12434&mod=1

蠕蟲程式 GlassWorm 再度於 Open VSX 現身，惡意套件被下載近 1 萬次

開源擴充套件市集 Open VSX 再次被蠕蟲程式 GlassWorm 入侵，駭客透過 3 個新的惡意 VS Code 擴充套件散布，感染行為近萬次。攻擊利用人眼看不見的 Unicode 字元，成功規避偵測。受害者遍布全球，包含開發人員、組織甚至政府機關，凸顯軟體供應鏈面臨持續且具高度隱蔽性的毒化威脅。

https://www.ithome.com.tw/news/172137

加密未必保密，微軟揭 LLM 串流封包大小與時序可洩露對話主題

微軟揭露「Whisper Leak」旁通道攻擊，發現即使大型語言模型（LLM）的對話已加密，攻擊者仍能透過分析 加密封包的大小與傳輸時序，利用機器學習推斷出使用者與 AI 的對話主題，對用戶隱私構成威脅。

https://www.ithome.com.tw/news/172146

間諜軟體 LandFall 鎖定三星裝置零時差漏洞，透過 WhatsApp 傳送訊息得逞

資安業者揭露了針對三星手機的商業間諜軟體 LandFall 攻擊行動，該組織利用三星於今年 4 月修補的零時差漏洞成功入侵。攻擊者透過特製的 DNG 圖片檔案 觸發漏洞，在手機上植入具備全面監控能力（錄音、追蹤、資料竊取）的間諜軟體。

https://www.ithome.com.tw/news/172135