SANS Stormcast Friday, July 31st, 2026: Pre Botnet Recon; Cisco Backdoor Exploited; Inconsistent Group Chats

蜜罐是資安研究的守門工具——故意暴露且易於入侵的系統，用來觀察攻擊者行為。本集中實習生Adam Kahn發現了一個關鍵轉變：攻擊者透過弱SSH密碼成功入侵蜜罐後，不是立即開始挖礦部署，而是先執行詳細的硬體指紋掃描。檢查項目包括NVIDIA顯卡（用於挖礦或AI訓練）、RAM規模（運算能力）及sudo提權能力（長期控制）。這表明攻擊者正變得更加挑剔——不再對所有低端設備盲目部署，而是精選真正有價值的目標。

這個變化有兩層含義。一是經濟動機：攻擊者意識到在DVR等低端設備上部署礦工往往徒勞無功，精選目標能提高利潤率。二是隱蔽性考量：大規模但低效的僵屍網路容易被檢測，精准部署能減少風險。講者甚至提示一個新趨勢——隨著AI訓練需求暴增，攻擊者可能開始考慮將被侵害設備用於機器學習任務，而非單純挖礦。

在企業基礎設施層面，Cisco Firewall Management Center爆出靜態憑證漏洞。官方用了「修補」一詞，業界更直白地稱其為「後門」。該漏洞允許攻擊者以低權限使用者身份存取防火牆管理軟體——聽起來權限有限，但這是個危險的假設。Cisco設備基於Unix/Linux系統，其上存在至少十多個已知的本地提權漏洞，攻擊者完全可能鏈結利用，從低權限升級至root，進而控制整個防火牆基礎設施。更糟的是，許多組織直接將防火牆管理中心暴露於網際網路以實現遠端管理，這無異於打開了城堡大門。Cisco已發布補丁，但漏洞已在野外被利用，組織應假設暴露過的管理中心已被侵害。

在端對端加密通訊領域，即將在Usenix發表的奧地利研究論文揭示了一個精妙的群組聊天漏洞。傳統認知中，E2E加密是群組通訊的安全保障，但該研究指出另一個維度的威脅：訊息內容的一致性。在典型的E2E加密群組聊天中，有兩種架構。一種是訊息先上傳伺服器再分發給成員，但這樣伺服器變成中間人；另一種是發送者逐個向成員直接發送訊息。在後者情況下，發送者可以對不同成員發送看似相同但內容不同的提案，只要保持相同的訊息序列號，接收端就難以察覺——實質上大家同意的根本是不同的提案。這個漏洞之所以難以檢測，是因為表面邏輯完全成立：所有人都收到了同一訊息序列號、都表達了同意，但誰都不知道對方看到的內容完全不同。