CVE-2025-26633 漏洞：這是 Windows 安全威脅嗎

網路安全情勢從未停止發展，新的漏洞不斷出現，甚至對最安全的系統也構成挑戰。其中一個嚴重的安全漏洞是 CVE-2025-26633，也稱為「MSC EvilTwin」。該漏洞影響 Microsoft Windows，並被網路犯罪分子積極利用部署惡意軟體。了解其影響以及威脅行為者所使用的策略對於企業和個人保護他們的系統至關重要。

CVE-2025-26633 是什麼？

CVE-2025-26633 是 Microsoft 管理控制台 (MMC) 框架中發現的漏洞。它允許攻擊者透過操縱的 Microsoft 控制台 (.msc) 檔案執行惡意程式碼。利用此漏洞可以實現未經授權的軟體部署、系統入侵以及潛在的資料竊取。

網路犯罪分子透過在設定包（.ppkg）、簽署的 Windows 安裝程式（.msi）檔案和 .msc 檔案中嵌入惡意負載來利用此漏洞。這些有效載荷安裝了後門，為受感染的系統提供持續存取。

這次剝削的背後是誰？

一個名為 Water Gamayun 的網路犯罪組織（也稱為EncryptHub或 LARVA-208）已被確定為利用 CVE-2025-26633 的主要參與者。該組織曾發動惡意軟體攻擊、分發資料竊取軟體，並利用先進的逃避技術來避免被發現。

Water Gamayun 於 2024 年中期因透過欺騙性網站傳播各種惡意軟體系列而首次引起關注。該組織此後已轉向使用更先進的基礎設施來部署攻擊，使用自己的命令和控制 (C＆C) 伺服器。

襲擊是如何進行的？

攻擊者使用多種方法來滲透系統。他們的主要策略是將惡意 .msi 檔案偽裝成合法軟體安裝程序，例如 DingTalk、QQTalk 和 VooV Meeting 等訊息和會議應用程式。一旦安裝，這些檔案就會執行 PowerShell 腳本來下載並執行進一步的惡意負載。

這次攻擊中部署的主要惡意軟體變種之一是SilentPrism ，這是一種 PowerShell 植入程序，能夠執行 shell 命令、維持遠端存取並逃避安全檢測機制。另一個後門DarkWisp專門用於系統偵察、資料外洩和持久性，讓攻擊者控制受感染的機器。

攻擊的最後階段涉及MSC EvilTwin 載入器，它利用 CVE-2025-26633 執行惡意 .msc 文件，從而安裝Rhadamanthys Stealer 。該惡意軟體旨在收集敏感用戶數據，包括儲存的憑證、網路資訊和系統配置詳細資訊。

漏洞影響

CVE-2025-26633 的利用對組織和個人使用者都構成了嚴重的風險。其中最令人擔憂的影響包括：

1. 未經授權的系統存取－攻擊者獲得對受感染設備的持續控制權，從而允許他們遠端執行命令。
2. 資料竊取－透過此漏洞部署的惡意軟體會收集密碼、會話資料、剪貼簿歷史記錄和其他機密資訊。
3. 企業間諜活動－企業面臨智慧財產權竊盜和有針對性的網路攻擊的風險，尤其是在敏感的企業資料受到外洩的情況下。
4. 財務損失－被盜的憑證可用於詐欺交易，而公司可能因資料外洩而面臨法律和監管後果。
5. 網路入侵－惡意軟體可以在組織的網路內傳播，影響多個系統並造成廣泛的破壞。

防禦 CVE-2025-26633 漏洞

鑑於此漏洞被積極利用，組織和個人使用者必須立即採取措施保護其係統：

• 應用安全性修補程式– Microsoft 已經發布針對 CVE-2025-26633 的更新。盡快安裝這些補丁對於降低風險至關重要。
• 監控可疑活動－應調查異常的系統行為、未經授權的網路流量以及未知的 .msc 檔案執行。
• 使用端點保護－部署進階端點安全解決方案可以協助偵測和防止惡意軟體感染。
• 限製檔執行– 將 .msc、.msi 和 PowerShell 腳本的執行限制為僅限受信任的管理員，以減少惡意程式碼的暴露。
• 教育使用者－提高員工和個人對網路釣魚詐騙和軟體下載風險的認識可以防止最初的滲透。

最後的想法

CVE-2025-26633 代表著重大的網路安全威脅，老練的攻擊者使用先進的技術來利用 Windows 漏洞。透過了解漏洞的工作原理、攻擊背後是誰以及它帶來的風險，每個人都可以採取主動措施來防禦攻擊。維持系統更新、監控可疑活動和執行嚴格的安全政策對於降低成功攻擊的風險至關重要。網路威脅不斷演變，但只要採取正確的安全措施，個人和企業就可以免受 MSC EvilTwin 等新出現的漏洞的侵害。