離開
進入中國駭客鑽IE漏洞 攻擊富比世網站用戶
2015/02/12 06:00
〔編譯魏國金／綜合報導〕美國網路資安公司十日指出，中國網路間諜組織駭入《富比世》雜誌網站（Forbes.com），使該網站淪為對美國國防承包商、金融公司，政治異議團體，以及其他以微軟ＩＥ瀏覽器進入網站的用戶，進行「水坑式」（watering hole）攻擊的平台。
資安公司iSight Partners與Invincea指出，駭客改編富比世「每日一思」（Thought of the Day）Adobe Flash小工具的程式，對使用ＩＥ瀏覽器登入富比世網站的特定讀者發送惡意電腦碼，而非針對所有瀏覽讀者。富比世網站顯然從去年十一月二十八日至十二月一日遭入侵，必須透過更深入的調查，才能判定遇駭時間是否更長。
Invincea報告指出：「中國的進階持續性威脅（ＡＰＴ）在二○一四年十一月底入侵富比世網站，對美國的國防、金融公司發動水坑式網路偷渡（drive-by）攻擊。」所謂「水坑網路攻擊」，是指入侵受其所欲攻擊對象歡迎的合法網站，然後以電腦病毒設下陷阱，感染瀏覽者的電腦。
每月瀏覽人次 超過三千萬
Invincea抨擊，這是利用Adobe Flash與ＩＥ漏洞的「無恥攻擊」。富比世網站流量排名全美第六十二名、全球第一百六十八名，去年十一月瀏覽人次超過三千一百萬人；ＩＥ瀏覽器用戶占全球市場半數以上。富比世已於去年十二月修補Flash的漏洞，微軟則於十日發布ＩＥ修補程式。
iSight認為，這項攻擊行動的幕後元凶，是稱為「科多索團隊」（Codoso Team）的中國網路間諜組織，該組織此前曾涉及攻擊美國政府、軍方、國防產業、外交智庫、金融企業、能源公司、政治異議組織等事件。
