文／展碁國際
展碁國際代理之卡巴斯基（Kaspersky），全球研究與分析團隊（GReAT）近日發現並協助修復 Google Chrome 瀏覽器中的一個複雜零日漏洞（CVE-2025-2783），該漏洞可繞過瀏覽器沙箱防護，僅需用戶點擊惡意連結即可觸發，無需進一步操作，技術複雜度極高。谷歌已確認卡巴斯基研究人員的貢獻，並於 2025 年 3 月 25 日發布修補更新。
卡巴斯基在 3 月中旬偵測到一波透過釣魚郵件散播的攻擊行動，攻擊者以「普里馬科夫讀書會」論壇邀請為誘餌，鎖定俄羅斯媒體、教育與政府單位。受害者一旦點擊郵件中的短效惡意連結，系統即遭入侵，隨後大多數連結會自動跳轉至合法網站以逃避追蹤。卡巴斯基將此次行動命名為「ForumTroll 行動」。
分析顯示，此次攻擊鏈至少包含兩個漏洞利用：一個尚未取得的遠端程式碼執行（RCE）漏洞作為初始入侵手段，以及卡巴斯基揭露的沙箱逃逸漏洞作為第二階段。惡意程式的功能指向間諜活動，所有跡象顯示背後涉及一個高級持續性威脅（APT）組織。
卡巴斯基 GReAT 首席安全研究員 Boris Larin 表示：「該漏洞在我們多年的發現中極為突出，能在未執行明顯惡意行為的情況下繞過 Chrome 沙箱，彷彿安全邊界不存在。這種技術複雜度顯示攻擊者擁有高超技能與龐大資源。我們強烈建議用戶立即將 Chrome 與所有基於 Chromium 的瀏覽器更新至最新版本。」
此次發現延續了卡巴斯基過往在零日漏洞研究上的成果。2024 年，該團隊亦曾揭露 Chrome 的另一個零日漏洞（CVE-2024-4947），該漏洞後來被 Lazarus APT 組織利用於加密貨幣竊取行動。
卡巴斯基表示，旗下 Next EDR Expert 解決方案在此次事件中發揮了關鍵作用，能於漏洞公開前即偵測到可疑行為，並進行完整分析。所有卡巴斯基產品已全面具備偵測與防護能力，能阻擋相關漏洞利用鏈及惡意程式，確保用戶安全。
卡巴斯基安全專家提醒，防範此類高階攻擊應落實三大措施：一、確保軟體與系統及時更新；二、採用多層級安全防護策略，結合 AI/ML 技術強化自動化偵測與響應；三、利用最新威脅情報服務，隨時掌握零日漏洞與新型攻擊手法。
卡巴斯基全球研究與分析團隊（GReAT）成立於 2008 年，專注揭露 APT、間諜活動、惡意軟體與地下犯罪趨勢，並持續為全球客戶提供最先進的資安情報與技術。卡巴斯基成立於 1997 年，目前已保護超過十億台裝置，並協助超過 20 萬家企業與機構抵禦持續演變的數位威脅。
