卡巴斯基發現高危 Chrome 零日漏洞 攻擊鏈鎖定俄媒體與政府機構

展碁國際（6776) 代理之卡巴斯基（Kaspersky），全球研究與分析團隊（GReAT）近日發現並協助修復 Google Chrome 瀏覽器中的一個複雜零日漏洞（CVE-2025-2783），該漏洞可繞過瀏覽器沙箱防護，僅需用戶點擊惡意連結即可觸發，無需進一步操作，技術複雜度極高。谷歌已確認卡巴斯基研究人員的貢獻，並於 2025 年 3 月 25 日發布修補更新。

卡巴斯基在 3 月中旬偵測到一波透過釣魚郵件散播的攻擊行動，攻擊者以「普里馬科夫讀書會」論壇邀請為誘餌，鎖定俄羅斯媒體、教育與政府單位。受害者一旦點擊郵件中的短效惡意連結，系統即遭入侵，隨後大多數連結會自動跳轉至合法網站以逃避追蹤。卡巴斯基將此次行動命名為「ForumTroll 行動」。

分析顯示，此次攻擊鏈至少包含兩個漏洞利用：一個尚未取得的遠端程式碼執行（RCE）漏洞作為初始入侵手段，以及卡巴斯基揭露的沙箱逃逸漏洞作為第二階段。惡意程式的功能指向間諜活動，所有跡象顯示背後涉及一個高級持續性威脅（APT）組織。

卡巴斯基 GReAT 首席安全研究員 Boris Larin 表示：「該漏洞在我們多年的發現中極為突出，能在未執行明顯惡意行為的情況下繞過 Chrome 沙箱，彷彿安全邊界不存在。這種技術複雜度顯示攻擊者擁有高超技能與龐大資源。我們強烈建議用戶立即將 Chrome 與所有基於 Chromium 的瀏覽器更新至最新版本。」

此次發現延續了卡巴斯基過往在零日漏洞研究上的成果。2024 年，該團隊亦曾揭露 Chrome 的另一個零日漏洞（CVE-2024-4947），該漏洞後來被 Lazarus APT 組織利用於加密貨幣竊取行動。

卡巴斯基表示，旗下 Next EDR Expert 解決方案在此次事件中發揮了關鍵作用，能於漏洞公開前即偵測到可疑行為，並進行完整分析。所有卡巴斯基產品已全面具備偵測與防護能力，能阻擋相關漏洞利用鏈及惡意程式，確保用戶安全。

卡巴斯基安全專家提醒，防範此類高階攻擊應落實三大措施：一、確保軟體與系統及時更新；二、採用多層級安全防護策略，結合 AI/ML 技術強化自動化偵測與響應；三、利用最新威脅情報服務，隨時掌握零日漏洞與新型攻擊手法。

卡巴斯基全球研究與分析團隊（GReAT）成立於 2008 年，專注揭露 APT、間諜活動、惡意軟體與地下犯罪趨勢，並持續為全球客戶提供最先進的資安情報與技術。卡巴斯基成立於 1997 年，目前已保護超過十億台裝置，並協助超過 20 萬家企業與機構抵禦持續演變的數位威脅。

原文出處: https://www.kaspersky.com/about/press-releases/kaspersky-discovers-sophisticated-chrome-zero-day-exploit-used-in-active-attacks

關於卡巴斯基

卡巴斯基是一家成立於1997年的全球網路安全和數位隱私公司。迄今為止，卡巴斯基已保護超過十億台設備免受新興網路威脅和針對性攻擊。卡巴斯基不斷將深度威脅情報和安全技術轉化成創新的安全解決方案和服務，為全球的企業、關鍵基礎設施、政府和消費者提供安全保護。公司提供全面的安全產品組合，包括領先的端點保護解決方案以及多種針對性的安全解決方案和服務，以及用於應對複雜和不斷變化的數位威脅的網路免疫解決方案。我們幫助超過全球200,000家企業客戶保護對他們來說最重要的事物。