企業資安部落格文章精選（隨時更新）
Microsoft SharePoint 重大資安漏洞：CVE-2025-53770、CVE-2025-53771 深度分析與主動防禦
企業內 Microsoft SharePoint 伺服器的 CVE-2025-53770 和 CVE-2025-53771 漏洞是從先前已修補的漏洞演化而來，可讓駭客不須經過驗證就能利用進階反序列化技巧與濫用 ViewState 物件從遠端執行程式碼。
重點摘要
- CVE-2025-53770 和 CVE-2025-53771 是企業內 Microsoft SharePoint 伺服器的漏洞，可讓駭客上傳惡意檔案並擷取加密金鑰。
- 這些漏洞是從先前修補過的 CVE-2025-49704 和 CVE-2025-49706 漏洞進一步演化而來，廠商當初的矯正並不完全，所以讓駭客能透過進階的反序列化技巧並濫用 ViewState 物件來繞過認證機制，從遠端執行程式碼 (RCE)。
- 我們已看到駭客在各種產業試圖發動相關的漏洞攻擊，包括：金融、教育、能源及醫療。
- Microsoft 已針對 SharePoint Subscription Edition 和 SharePoint Sever 2019 發布了安全更新，至於 SharePoint Sever 2016 則尚未發布修補更新。Trend Micro™ TippingPoint™ 的客戶自 2025 年 5 月起便已獲得防護來防範相關攻擊。
捲土重來：Lumma Stealer 帶來更強大的隱匿技巧
Lumma Stealer 帶來更強大的隱匿技巧 這一次，惡意程式背後的駭客集團似乎採取了更隱匿的技巧，並持續穩定地擴大地盤。本文說明這項威脅最新的散播方法。
重點摘要
- Lumma Stealer 在 5 月份遭到破獲之後沒過多久便再次重生，且受害帳號數量從 6 月至 7 月開始暴增。現在，惡意程式會經由更多隱匿的管道散布，並採用更隱密的躲避技巧。
- 具備資訊竊取功能的 Lumma Stealer 會搜刮登入憑證和私人檔案等各種敏感資料。此外，由於它是以惡意程式服務 (Malware as a Service，簡稱 MaaS) 的方式來銷售，因此就算是完全沒有技術背景的不肖之徒也駕馭這套惡意程式。
- 使用者有可能經由假的破解版軟體、假冒的網站，以及社群媒體貼文而被騙下載到 Lumma Stealer。對企業而言，缺乏網路資安意識的員工很容易成為這類攻擊的受害者。
- Trend Vision One™ 已經可以偵測並攔截本文討論到的入侵指標 (IoC)。此外，Trend Vision One 的客戶還可透過追蹤查詢、Threat Insights 及 Intelligence Reports 來取得有關 Lumma Stealer 的豐富資訊和最新消息。
深入分析Microsoft 365 Copilot零點擊 AI 漏洞：EchoLeak
一種名為「EchoLeak」的零點擊 (zero-click) 漏洞攻擊手法，揭露了駭客如何操弄像 Microsoft 365 Copilot 這樣的 AI 助理，在不須使用者互動的情況下洩露機敏資料。本文詳細介紹這類攻擊手法的運作方式、為何危險，以及有哪些防禦機制可主動防範這類新興的 AI 原生威脅。
重點摘要
- EchoLeak 是一個零點擊 (zero-click) AI 漏洞，利用 Copilot 的歷史資料作為情境，暗中執行隱藏的提示而無須與使用者互動。
- 此攻擊方式是使用內嵌隱形提示注入技巧 (例如將提示嵌入 HTML 註解當中，或使用白底白色文字)，以便在後續階段誤導 GenAI 的解讀。
- 它示範了某些 GenAI 功能隱含的廣泛性風險，例如：摘要、RAG (檢索增強生成) 以及情境繼承。
- 這起事件突顯出，不僅 AI 模型本身的保護相當重要，保護它與企業資料互動的環境 (如電子郵件和 SaaS 平台) 也很重要。這些周邊系統如果沒有受到保護，AI 工具就可能成為重大資料外洩和違規事件的發生途徑。
- Trend Vision One™ 採用 AI 驅動的 Email and Collaboration Security (電子郵件及協同作業防護) 來防範這類威脅，藉由交叉關聯情報偵測來轉化人類情報、檢查電子郵件意圖、分析使用者行為，以及交叉關聯可疑徵兆。
- 在 GenAI 存取控管方面，Trend Vision One ™ 可藉由 Zero Trust Secure Access (ZTSA) 零信任安全存取來保護使用者的安全。其 AI Service Access 功能可檢查 GenAI 的提示和回應來防止潛在的資料外洩，並確保 GenAI 提示和回應的使用安全以防止潛在的資料外洩。
聽聽趨勢科技執行長暨共同創辦人陳怡樺（Eva Chen）怎麼說?
請參閱完整的白皮書：《The Intelligent Stack: Industry Briefing》
1.