原文標題：The XG Files: Falcon C2 Flying Under The (Browser) Radar
Palo Alto Networks旗下Unit 42於11月11日披露Falcon控制框架，又稱XG或Xiàng Gē。研究指出，攻擊者在政府網頁與郵件入口置入惡意JavaScript，使造訪者的瀏覽器與控制端維持連線，並透過擴充套件蒐集密碼、郵件、會話Cookie與通訊資料。觀察涵蓋2026年3月至5月的一個中東國家及四個東南亞國家，未公開國名。
框架包含在分頁內執行的腳本，以及偽裝PDF閱讀器的Chrome與Firefox擴充套件。研究發現套件索取廣泛權限，可監控瀏覽紀錄、剪貼簿與部分網路請求；但不同蒐集功能仍有觸發條件，例如X私訊模組只能讀取使用者正在瀏覽的對話。Unit 42沒有確認所有套件如何最初安裝，不能把推測的社交工程路徑當成每案已證實手法。
部分活動也以假冒Flash更新提示，向特定使用者投遞Rust製作的Antino後門，透過Microsoft OneDrive交換命令與資料。研究團隊建議注意未授權的開發者模式擴充套件、內部入口新增的外部腳本，以及對組織以外OneDrive租戶的異常活動。Falcon與PeckBirdy具有高度技術重疊，是研究者的判斷；是否使用AI協助開發也只是程式風格推測。這篇揭露未指出一個可用單一版本修補的通用瀏覽器漏洞。
發生了什麼事
Unit 42披露Falcon在政府網站、郵件入口與瀏覽器擴充套件中的間諜活動，部分攻擊另投遞Antino後門，研究觀察涵蓋中東及東南亞五國。
為什麼重要
攻擊借用可信入口與既有登入狀態，可能繞過只關注獨立惡意執行檔的偵測方式；擴充套件權限、網頁完整性與雲端通訊也因此成為調查線索。
影響哪些人
政府機構、外交及執法單位的資安團隊，以及管理企業瀏覽器與網頁郵件系統的人員，應關注研究指標；其他組織仍需依自身環境判斷是否受影響。
已確認與未確認
已確認研究分析的腳本、套件與後門能力；國家身分未公開，套件初始部署方式尚未完全釐清，AI協助開發屬推測，也沒有單一通用修補版本可直接套用。
