Google：中國黑客疑已利用零日漏洞入侵企業

Google旗下資安團隊10月15日表示，一個疑似與中共有關的間諜黑客組織，今年8月利用美國資安公司BeyondTrust產品中未公開的漏洞發動攻擊。

Google威脅情報小組（GTIG）與旗下資安公司Mandiant當天發布報告。報告將這次攻擊歸因於疑似與中共有關的間諜組織「Armory Castle」（舊稱UNC5221）。報告說，該組織在8月下旬以「零日漏洞」的方式入侵BeyondTrust的遠端支援設備。零日漏洞指廠商尚未發現或修補的安全缺陷。

這款名為Remote Support的產品，供企業IT人員遠端連線排除電腦故障。Mandiant指出，攻擊者入侵後取得系統最高權限，嘗試提取設備中儲存的密碼，並透過遠端支援功能連入企業內部電腦，下載內部文件，同時多次刪除日誌以躲避偵測。

報告警告，這個漏洞已經公開，企業應「為可能出現的大規模利用做好準備」。Mandiant說明，該組織過去曾先暗中針對特定目標使用零日漏洞，漏洞公開後再趁各機構尚未修補時大範圍入侵。

GTIG表示，Armory Castle至少自2023年10月起即持續活動，攻擊對象遍及多個國家和行業，過去也曾利用Citrix和Ivanti等網絡設備的漏洞。GTIG以高度信心評估，該組織將繼續利用邊緣網絡設備的零日漏洞，支援其間諜活動。

BeyondTrust證實，8月29日共有2個實例遭入侵，並已於10月初釋出修補程式。#