什麼是零時差攻擊？

零時差攻擊 指攻擊者在軟件漏洞被公開/發現後、廠商發布補丁前的「真空窗口期」發起攻擊。術語源於「補丁發布當天即被利用」，現泛指針對未修補漏洞的攻擊。核心特徵：無特徵碼、無補丁、傳統防禦失效。

真實案例：HostGator 萬站劫持 → VML 漏洞大規模感染

1. 入口：攻擊者利用 cPanel 未知漏洞劫持 HostGator 託管的數萬合法網站（博客、企業站）。
2. 載體：在合法頁面植入惡意 IFRAME，重定向至攻擊頁面。
3. 漏洞利用：IE 處理 VML (Vector Markup Language) 圖片格式時的漏洞（鮮為人知的舊格式）。無需用戶點擊，僅訪問頁面即中招（Drive-by Download）。
4. 載荷：植入間諜軟件、木馬、僵尸網絡客戶端。
5. 影響：數百萬電腦感染，企業局域網迅速淪陷。

為什麼零時差攻擊如此致命？

• 高價值目標：Windows/IE/Office/Flash/QuickTime/Adobe Reader 等普及率極高的軟件是主力靶心。
• 地下經濟鏈：漏洞交易市場成熟，Vista 0day 叫價 5 萬美元，WMF 漏洞利用代碼 4000 美元即引爆大規模攻擊。
• 「有責任披露」失靈：研究人員不滿廠商響應慢而提前公開、或「懸賞計劃」(ZDI/iDefense) 與地下黑市競爭，導致漏洞細節過早曝光。
• Fuzzing 工業化：自動化模糊測試工具 (Fuzzer) 批量發現緩衝區溢出等漏洞，漏洞產出率指數級上升（2006 年 CVE 同比增 39%）。

主流防禦手段為何失效？

有效緩解策略：縮小攻擊面 + 行為阻斷 + 假設失陷

1. 應用程序白名單 / AppLocker / WDAC：僅允許授權簽名程序運行，徹底阻斷未知可執行文件落地執行。
2. 攻擊面縮減 (ASR) 規則：Win10/11 Defender 內置：阻止 Office 宏子進程、阻止腳本下載執行、阻止可疑郵件附件類型、阻止未受信任進程訪問 LSASS 等。
3. 瀏覽器隔離 / 遠程瀏覽器隔離 (RBI)：將網頁渲染移至雲端容器，用戶僅接收視頻流，本地零代碼執行風險。
4. EDR/XDR 行為檢測：監控進程鏈異常（Word 啟動 PowerShell、Outlook 寫入啟動項、lsass.exe 非預期讀取）、內存注入、憑證竊取、橫向移動。
5. 網絡微隔離：零信任架構，最小權限訪問，阻斷橫向傳播。
6. 威脅情報融合：接入商業/開源 TI，實時封鎖已知 C&C、惡意 IP/域名/文件哈希。
7. 應急預案演練：定期紅藍對抗、桌面推演，縮短 MTTD (平均檢測時間) 和 MTTR (平均恢復時間)。

給個人用戶的實用建議

• 啟用 Windows 自動更新 + Microsoft 365 Apps 自動更新；
• 日常使用標準用戶帳戶，UAC 保持最高級別；
• 安裝主流殺毒（Defender + 定期雲查殺）並開啟「雲端保護」「樣本提交」；
• 瀏覽器安裝 uBlock Origin、NoScript 等腳本阻擋擴展；
• 重要數據 3-2-1 異地備份（離線/不可變備份）；
• 遇到可疑郵件/鏈接：驗證發件人、懸停查看真實 URL、沙箱打開附件（如 Windows Sandbox）。