黑客锁定云端服务来进行侦察、收集数据的情况，近期有不少研究人员对这样的现象提出警告，如今有资安业者发现，他们看到黑客专门打造一组工具包，用来从云端服务存取、搜索企业组织的机敏数据。

资安业者ESET指出，中国黑客组织Evasive Panda于2022年至2023年攻击台湾政府机关和宗教团体，过程中利用名为CloudScout的工具包，拦截连接阶段（Session）及Cookie，而能从多种云端服务挖掘数据。此外，该工具包还能通过插件程序扩充功能，并与该组织惯用的另一款恶意软件框架MgBot紧密协作。

研究人员发现这起攻击的缘由，在于他们侦测到该组织于台湾某个政府机关部署3个过往未被揭露的.NET模块CGD、CGM、COL，而这些组件的主要功能，就是借由挟持网络的连接阶段内容，而能存取Google Drive、Gmail、Outlook等公有云服务。研究人员提及，黑客主要通过浏览器组态窃得Cookie，然后在特定的网络连接请求当中利用，从而得到云端服务的存取权限。

美国政府证实电信业者遭到中国黑客入侵

华尔街日报先后于9月底至10月初报导，中国黑客Salt Typhoon已成功入侵美国多家互联网服务供应商（ISP），目的是渗透美国政府的窃听系统并收集情报，黑客潜入的业者包含AT&T、Verizon、Lumen，如今美国政府也发布公告，证实中国资助的黑客非法存取他们的电信基础设施。

10月25日美国联邦调查局（FBI）与网络安全暨基础设施安全局（CISA）发布联合声明，表示他们正在调查中国黑客未经授权存取电信业者基础设施的行为。

究竟攻击者的身分为何？这份公告并未透露，也没具体交代资安事故发生的经过。但此公告一出，外界不禁怀疑可能与Salt Typhoon的网络间谍活动有关。值得留意的是，中国黑客的攻击行动不光针对美国，相邻的加拿大也是目标。

法国大型ISP业者Free证实数据遭到外流

根据资安新闻网站SecurityAffairs、Bleeping Computer的报导，上周末有人在黑客论坛BreachForums兜售法国大型网络服务供应商（ISP）Free的内部数据，他们声称握有19,192,948笔客户帐号数据，以及511万笔国际银行帐户号码（IBAN）。对此，10月26日Free向法新社透露证实数据外泄的情况，表示他们因管理工具遭到锁定而遇害，导致部分个资遭到未经授权存取。

而对于外泄的数据，Free强调不含密码、无银行卡片，也没有电子邮件、短信、语音频息等通信内容。该公司表示，他们的服务及营运并未受到这起数据外泄事故影响。该公司已向法国国家信息技术和公民自由委员会（CNIL）、国家信息系统安全局（ANSSI）通报此事，并采取法律行动。

其他攻击与威胁

◆俄罗斯黑客UNC5812伪装成与乌克兰友好组织，意图通过Telegram散布恶意程序

◆俄罗斯黑客APT29利用恶意RDP组态文件入侵组织网络环境

◆勒索软件Fog锁定SonicWall防火墙的VPN功能而来，意图入侵企业网络环境

◆后门程序Rekoobe锁定交易社群网站TradingView用户而来

其他漏洞与修补

◆群晖修补Pwn2Own发现的相册应用程序弱点

【资安防御措施】

美国发布首个AI国家安全备忘录

10月24日美国总统拜登（Joe Biden）发布首个与人工智能（Artificial Intelligence，AI）有关的国家安全备忘录（National Security Memorandum，NSM），其三大重点为确保美国引领全球的AI发展，利用尖端的AI技术推动美国国家安全，以及推动AI的国际治理。

上述三大重点支柱的细项包括：拜登签署《芯片法案》（CHIPS Act）以投资开发AI系统所需的大量高级芯片；将竞争对手针对美国AI产业的间谍行动的情报列为最高优先等级；指定AI安全研究所（AI Safety Institute）作为美国AI产业的主要联系窗口；加强对National AI Research Resource的支持，以让大学、民间与小企业的研究人员可进行有意义的AI研究，而非只仰赖大企业。

美国防部将以三年、四阶段推动CMMC规则

为了让美国国防工业产业（DIB）的供应链业者，有足够的时间准备、理解和实施CMMC规则（CMMC Rule）的各种要求，以及解决任何CMMC评估、启动过程中遭遇到的各种问题，并提供培训所需的评估人员时间，美国国防部（DoD）为CMMC规则制定了三年、四阶段的推动计划。

美国国防部会分成四个阶段推动CMMC规则（CMMC Rule），第一阶段也就是初步实施阶段（Initial Implementation），自《48 CFR规则》（48 CFR Rule）生效日期开始；在适用的情况下，招标将要求CMMC认证等级第一级（Level 1）或第二级（Level 2）认证的自我评估（Self - Assessment）。

第二阶段在第一阶段开始后的12个月启动，在适用的情况下，美国国防部会在相关的国防采购招标案中，要求相关的业者必须取得CMMC认证等级第二级的第三方认证（C3PAO）。

近期资安日报

【10月28日】上周四勒索软件RansomHub声称攻击台湾被动组件制造厂

【10月25日】Fortinet零时差漏洞4个月前就遭黑客组织UNC5820利用

【10月24日】FortiManager零时差漏洞已被用于实际攻击行动