卡巴斯基发现高危Chrome零日漏洞　攻击链锁定俄媒体与政府

展碁国际代理之卡巴斯基（Kaspersky），全球研究与分析团队（GReAT）近日发现并协助修复Google Chrome浏览器中的一个复杂零日漏洞（CVE-2025-2783），该漏洞可绕过浏览器沙箱防护，仅需用户点击恶意连结即可触发，无需进一步操作，技术复杂度极高。Google已确认卡巴斯基研究人员的贡献，并于2025年3月25日发布修补更新。

卡巴斯基在 3 月中旬侦测到一波透过钓鱼邮件散播的攻击移动，攻击者以「普里马科夫读书会」论坛邀请为诱饵，锁定俄罗斯媒体、教育与政府单位。受害者一旦点击邮件中的短效恶意连结，系统即遭入侵，随后大多数连结会自动跳转至合法网站以逃避追踪。卡巴斯基将此次移动命名为「ForumTroll移动」。

分析显示，此次攻击链至少包含两个漏洞利用：一个尚未取得的线上程序码执行（RCE）漏洞作为初始入侵手段，以及卡巴斯基揭露的沙箱逃逸漏洞作为第二阶段。恶意程序的功能指向间谍活动，所有迹象显示背后涉及一个高级持续性威胁（APT）组织。

卡巴斯基GReAT首席安全研究员Boris Larin表示，该漏洞在我们多年的发现中极为突出，能在未执行明显恶意行为的情况下绕过Chrome沙箱，彷佛安全边界不存在。这种技术复杂度显示攻击者拥有高超技能与庞大资源。我们强烈建议用户立即将Chrome与所有基于Chromium的浏览器更新至最新版本。」

此次发现延续了卡巴斯基过往在零日漏洞研究上的成果。2024年，该团队亦曾揭露Chrome的另一个零日漏洞（CVE-2024-4947），该漏洞后来被Lazarus APT组织利用于加密货币窃取移动。

卡巴斯基表示，旗下Next EDR Expert解决方案在此次事件中发挥了关键作用，能于漏洞公开前即侦测到可疑行为，并进行完整分析。所有卡巴斯基产品已全面具备侦测与防护能力，能阻挡相关漏洞利用链及恶意程序，确保用户安全。

卡巴斯基安全专家提醒，防范此类高端攻击应落实三大措施：一、确保软件与系统及时更新；二、采用多层级安全防护策略，结合AI/ML技术强化自动化侦测与响应；三、利用最新威胁情报服务，随时掌握零日漏洞与新型攻击手法。

卡巴斯基全球研究与分析团队（GReAT）成立于2008年，专注揭露APT、间谍活动、恶意软件与地下犯罪趋势，并持续为全球客户提供最先进的网安情报与技术。卡巴斯基成立于1997年，目前已保护超过十亿台装置，并协助超过20万家企业与机构抵御持续演变的数码威胁。