近日由 Cisco 所公布的調查報告指出，駭客組織「UAT-5918」自 2023 年起便開始針對臺灣進行目標式攻擊，其多是利用各企業或組織所提供的對外服務 (如網頁或應用系統) 弱點進行攻擊，成功入侵後再搭配網路掃描、帳密竊取等工具進行內部橫向移動，藉以獲得長期存取權限並竊取機敏資訊；博通賽門鐵克已針對上述攻擊活動更新防護特徵，請保持各項定義檔更新以強化防護。
Symantec可攔阻特徵類型
| 檔案防護特徵 | 主動型威脅防護特徵 | 可攔阻版本 |
|
Hacktool Infostealer Trojan Horse Trojan.Gen.MBT Trojan.Gen.NPE WS.Malware.1 WS.Malware.2 Heur.AdvML.A!300 Heur.AdvML.A!400 Heur.AdvML.A!500 Heur.AdvML.B!100 Heur.AdvML.B!200 Heur.AdvML.C |
SONAR.SuspLaunch!g445 SONAR.TCP!gen1 SONAR.TCP!gen6 |
檔案防護特徵碼：2025/03/23 rev.2 主動型威脅特徵碼：2025/03/20 rev.1 |
| 說明文件 | Recent UAT-5918 APT malicious activities targeting entities in Taiwan | |
銳傑科技建議
端點防護系統強化事項
- 確認伺服器及端點電腦端點防護系統狀態並保持定義檔持續更新。
- 開啟端點防護自我防護功能並設定為攔截，同時啟用密碼保護，設定移除及停用密碼，並限制用戶端例外設定的權限。
- 強化伺服器主機安全防護機制，評估安裝並啟用「應用程式及裝置控管」與「網路入侵預防」功能。
- 優先評估導入 Symantec EDR (SEDR) 系統，SEP 用戶無需額外安裝 Agent 即可啟用，升級授權後可強化：
- 確保所有端點行為皆可被監控與記錄，增加企業內部即時偵測與反應能力，提高威脅可視性。
- 透過EDR事件記錄與時間軸功能，完整追蹤攻擊來源、傳播途徑與影響範圍，強化事件調查與分析能力，加速資安團隊應變處置。
- 透過行為分析技術，對合法工具的行為進行檢測，以因應 (Living-off-the-Land, LOTL) 新形態攻擊。
重要系統主機強化事項
- 確保對外服務應用程式及作業系統完成安全性更新至最新版本。
- 清查企業 Microsoft 網域中的 Domain Admin 群組是否存在異常的帳號或不應存在的帳號，確認安全事件日誌是否有可疑活動紀錄。
- 請強化網域管理員權限帳號的安全管控機制，如：限制網域管理員權限帳號登入來源、網域管理員權限帳號不允許非上班時間使用等。
- 透過 VPN、RDP 連線至內部環境時，需導入兩階段驗證，且具備身份識別控管。
參考網站
Recent UAT-5918 APT malicious activities targeting entities in Taiwan