iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 17篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

微軟將要求Windows 11 Pro用戶建立Microsoft帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arstechnica.com/gadgets/2022/02/new-preview-build-adds-microsoft-account-requirement-to-windows-11-pro/" target="_blank">Ars Technica發現</a>，微軟在Windows 11更新版新增一項變更，要求Pro版用戶必須先建立Microsoft帳號、連上雲端才能安裝使用。</p> <p><a href="https://www.ithome.com.tw/news/149389" target="_blank">微軟本周釋出Windows 11首次更新版本測試版</a>，提供新版記事本與Media Player、改善工作列及開放美國用戶試用1,000多款Android程式，但是根據<a href="https://blogs.windows.com/windows-insider/2022/02/16/announcing-windows-11-insider-preview-build-22557/" target="_blank">微軟網頁說明</a>，Windows 11 Pro版的首次安裝，必須連上網際網路以及設定一個微軟帳號，即使電腦作為個人使用也會需要代管服務帳號（managed service account）。微軟並指出，以後的WIP（Windows Information Protection）應用也會需要Microsoft 帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0218-windows%2011%20pro%20setup-600.png" style="width: 600px;" /></p> <p>這使得Windows 11 Pro也步上Home版的後塵。Windows 10時期，電腦安裝Home版或Pro版只需建立本地用戶帳號，但Windows 11推出時，Home版首先加入這項要求。</p> <p>目前這要求僅見於測試版，是否會部署到正式版不得而知。對已經有Microsoft帳號、或以工作帳號登入公司電腦的用戶並沒有什麼影響，但對經常重灌或安裝Windows的用戶，像是開發、測試人員或沒有網路的人來說，新要求將相當令人困擾。</p> <p>Ars Technica指出，登入微軟帳號可讓用戶下載Microsoft App Store、OneDrive雲端或跨裝置同步或共享內容，但即使如此，Windows 11將成為唯一強制要求連使用基本功能也得連網並登入帳號的主流OS。就連蘋果也允許安裝時建立本機帳號，設定iPhone或iPad也可以跳過不登入。Google雖然要求Android啟用時需連線，但並不需登入。ChromeOS甚至提供Guest 模式，用戶不需帳號仍可使用基本上網功能。</p> </div></div></div>
2022/2/18 14:16作者林妍溱https://www.ithome.com.tw/news/149441
跟進Web做法，Google正式推出Android版隱私沙盒計畫，將耗時2年打造兼顧隱私的新App廣告追蹤技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今日宣佈從2022年初開始，要在Android上實施<a href="https://www.blog.google/products/android/introducing-privacy-sandbox-android/">開源的隱私沙盒（Privacy Sandbox）專案</a>，號召業界提案，來發展替代的App廣告追蹤技術，目標是在保護用戶隱私的前提，也能滿足廣告投放需求。Google亞太區隱私主管Jessica Martin預估，從提案、開發到上線，預計至少要花上2年的時間。</p> <p>Google早在2019年就發起Web環境的隱私沙盒專案，以因應在Chrome中禁用第三方Cookie的決策，這項計畫已提交到全球資訊網國際標準組織W3C，由一群廣告技術供應商組成的網路廣告業務小組共同討論，目標要將新技術推展為網路標準。最知名的提案即為Google力推的群組聯合學習技術（Federated Learning of Cohorts，FLoC），不過在去年7月底已經終止了實驗，近日改以新提案Topics API取代。</p> <p>在Web隱私沙盒計畫發展了2年、累積了30多項提案後，Google現在要將隱私沙盒計畫延伸到Android系統，將過去開發Web版新式廣告追蹤技術的經驗，應用到行動裝置上的App廣告追蹤。Google指出，希望找出新追蹤解方，可以限制與第三方分享使用者資料，而且使用時不需要跨App的ID識別機制就能運作。已有不少業者有意參與開發，包括社交軟體Snapchat、遊戲商Rovio、遊戲商動視暴雪、語言學習網站Duolingo等。</p> <p>在Android隱私沙盒的時程規劃中，今年Q1會進行初始提案，並持續設計、取得回饋與迭代修正，預計在今年推出開發人員預覽版，並在年底發布Beta版功能，明年則會進行規模化的測試，為上線做準備。</p> <p>Jessica Martin強調，由於Web與行動裝置跨網站、跨App追蹤使用者的技術不同，Web是使用第三方Cookie、行動裝置是使用裝置ID（比如iOS系統使用IDFA、Android系統使用GAID等），來識別同一用戶的行為，因此在廣告隱私技術的提案上，雖然可以採用Web先前的提案概念，但技術實作方式完全不同。這也是為什麼，Jessica Martin預估，從提案、開發到上線，預計要需要花上2年的時間。</p> <p>在發佈會上，Google初步提出了Android版的隱私沙盒可能實作的計畫。這些計畫分兩大領域，一是在隱私保護API的領域，目標要在改善用戶隱私時，支持關鍵的應用實例。比如在Web隱私沙盒計畫中提出的歸因報告，能讓廣告商在不使用跨站識別符號（cross-site identifier）的情況下，衡量用戶行為導致的轉化（廣告點擊或查看等）；另一Web隱私沙盒提出的FLEDGE專案，則是針對再行銷與客製化受眾的情境中，不讓第三方組織追蹤用戶跨網站的瀏覽行為；以及當前受到熱議的Topics API，可透過限制廣告商可取得的用戶興趣分類資訊，讓廣告商與網站難以識別單一用戶。這些專案都可能以不同的技術重新在Android平臺上實作。</p> <p>另一領域則要預防第三方隱蔽的廣告追蹤機制，防止未公開的用戶數據被暗中追蹤，比如透過SDK Runtime，提供應用程式與第三方程式碼的處理隔離及動態分佈；未來也可能運用反指紋追蹤機制，減少可被用來進行指紋追蹤的訊息。Google指出，未來將持續開發新技術，讓App能夠更安全地整合廣告SDK，降低用戶被暗中蒐集資料的可能性。</p> <p>不只Google，Apple也針對iOS平臺也推出了隱私保護機制，比如訂定ATT政策（App Tracking Transparency）或替代IDFA的SKAdnetwork等做法。Android安全及隱私產品管理副總經理Anthony Chavez指出，其他平臺採取的廣告隱私權保護機制，著重於限制開發人員和廣告主目前使用的工具，他認為，這類未先提供替代方法的隱私權保護方式，效果可能不如預期，或許還會對使用者隱私和開發人員的工作造成負面影響。</p> <p>Jessica Martin則指出，部分組織尋求廣告隱私機制的做法，仍然仰賴廣告辨識符來進行廣告投放，而Google與他人做法的根本性差異，在於無論是Android或是Chrome生態系，都在試圖開發一個不仰賴廣告辨識符的新技術或解決方案，除了確保個人資料獲得保護，同時也為開發人員和企業提供適當的工具，讓他們在行動裝置上達成廣告投放相關的目標。</p> <p>而面對先前Web隱私沙盒計畫中的FLoC、Topics提案，屢屢遭受到反對者挑戰，Jessica Martin對此持開放套論的態度，她回應：「任何參與與回應，都在推進隱私領域的對話，也能推進技術如何運作的思考，我認為任何形式的回饋都將受到歡迎。」</p> <p>Android隱私沙盒計畫實施後，Google指出，在設計、開發及測試這些新解決方案期間，將維持既有廣告平臺的功能，為期至少兩年。未來如有任何異動，將事先發布重大公告。目前，開發人員已經可以前往<a href="https://developer.android.com/design-for-safety/ads">Android 開發人員網站</a>，查看隱私沙盒的初始設計提案與提供意見。</p> </div></div></div>
2022/2/17 12:15作者翁芊儒https://www.ithome.com.tw/news/149406
Google著手於Android上建置隱私沙箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於<a href="https://www.ithome.com.tw/news/144830" target="_blank">去年釋出的Android 12開始限制開發者對廣告ID（Advertising ID）的存取能力</a>之後，<a href="https://blog.google/products/android/introducing-privacy-sandbox-android/" target="_blank">Google周三（2/16）宣布</a>，將著手於Android上建置隱私沙箱（Privacy Sandbox），企圖打造可兼顧開發者廣告收入及使用者隱私的各種解決方案。</p> <p>過去Google於Android平臺上採用匿名的廣告ID來追蹤使用者的行為，雖然是匿名，但該ID讓Google及開發者了解使用者的每一次廣告點選或購買行為，以遞送個人化廣告，儘管允許使用者重設ID，但仍被視為觸犯隱私，於是Google在去年釋出的Android 12變更了廣告ID政策，封鎖開發者存取已退出個人化廣告的廣告ID。當使用者決定退出個人化廣告之後，Android就會直接移除系統上的廣告ID，新政策還將於今年4月擴大至支援Google Play的所有Android裝置與程式。</p> <p>然而，Google於本周強調，Google Play上有超過9成的程式都是免費的，造就這股免費風潮的即是數位廣告，為了確保健康的程式生態體系，讓使用者、開發者或相關行業都能共榮，必須持續發展兼顧廣告及使用者隱私的解決方案。於是Google決定於Android上部署隱私沙箱，將限制與第三方分享使用者資料的能力，也可讓廣告在缺乏跨程式識別的狀況下運作。</p> <p><a href="https://www.privacysandbox.com/" target="_blank">隱私沙箱</a>最早被應用在Chrome瀏覽器上，標榜將減少跨站與跨程式的追蹤，同時讓網路上的內容與服務能夠維持免費。</p> <p>Google也批評其它同業的作法，指出直接限制開發者及廣告主使用既有的技術，而未提供可保障使用者隱私的其它方案，不僅無效，也會讓使用者隱私或開發者業務更糟。雖然Google未指名道姓，但明顯指的是<a href="https://www.ithome.com.tw/news/144059" target="_blank">蘋果的追蹤透明化政策</a>。</p> <p>Google說，該公司對Android隱私沙箱的目標，是開發既有效又能改善隱私的廣告解決方案，使用者會知道自己的資訊受到保護，開發者及廣告主則可獲得適當的廣告工具。</p> <p>此外，Google將循序漸進地打造相關解決方案，Android上原有的廣告功能最少將維繫兩年，且每一次的變更都會事先提醒。Google預計今年就會釋出多個預覽版，並於年底發表測試版。</p> </div></div></div>
2022/2/17 11:00作者陳曉莉https://www.ithome.com.tw/news/149408
微軟開放美國Windows 11用戶測試Android程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2022/02/15/bringing-you-closer-to-what-you-love-with-new-experiences-in-windows-11/" target="_blank">微軟於2月15日開始釋出Windows 11的更新功能</a>，包括改善工作列（Taskbar）的可用性、全新設計的記事本（Notepad）與媒體播放器（Media Player），以及開放美國用戶試用來自Amazon Appstore的Android程式，只不過，這些新功能都必須透過不同的方式取得。</p> <p>現在美國的Windows 11用戶在更新Microsoft Store之後，就能瀏覽與下載來自Amazon Appstore的上千款行動程式與遊戲，例如Audible、Kindle或Subway Surfers等，微軟宣稱這些Android程式在Windows 11上的表現，就如同它們原本就是Windows的一部分一樣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-Android%20app%20on%20Windows%2011%20Preview-600(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>看起來微軟仍在觀察一般使用者對於在Windows上執行Android程式的經驗與反應，預計於今年逐步擴大到其它市場或是開放更多的程式。</p> <p>新的工作列將可改善使用經驗，特別是Microsoft Teams用戶。當Microsoft Teams用戶以工作或學校帳號登入時，工作列的右方將會出現靜音圖示，以方便使用者隨時關閉聲音，或者是只要點選出現在工作列上的已開啟檔案，就能直接於Microsoft Teams上分享。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/0ezWXLDa1aI" title="YouTube video player" width="560px"></iframe></div> <p></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Ci-b8Y_gA0E" title="YouTube video player" width="560px"></iframe></div> <p>此外，微軟也讓天氣資訊出現在工作列的左方，同時它也是小工具（Widgets）的入口，將滑鼠移到天氣圖示時，就會自動展開小工具的內容。</p> <p><a href="https://support.microsoft.com/en-au/topic/february-15-2022-kb5010414-os-build-22000-527-preview-73e259d0-45ca-45ef-960f-426035104e73" target="_blank">此一有關工作列的更新是透過Windows Update完成</a>，該更新還包含讓Microsoft Edge及Microsoft Edge的IE模式共享Cookie。</p> <p>至於記事本與媒體播放器的更新，則只要自Microsoft Store下載最新版的程式即可。其中，新的記事本不僅支援深色模式，還能多次Undo，提供彩色表情符號，以及更現代化的尋找/替換功能。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/b7es86IzVyI" title="YouTube video player" width="560px"></iframe></div> <p>微軟說明，媒體播放器將是一個功能完整的音樂媒體櫃，支援瀏覽、播放與清單的管理，而且電腦上所有位於音樂及影片文件夾中的內容，都會自動出現在媒體櫃中，使用者亦可藉由設定指引播放器尋找位於他處的內容。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/nG5CNcDyFa8" title="YouTube video player" width="560px"></iframe></div> <p>值得注意的是，新的媒體播放器將會取代微軟於Windows 10及先前版本使用的Groove Music，也會自動將Groove Music的媒體櫃及播放清單轉移到媒體播放器。</p> <p>除了上述之外，微軟今年將會陸續釋出其它的Windows 11功能更新。</p> </div></div></div>
2022/2/16 11:20作者陳曉莉https://www.ithome.com.tw/news/149389
【資安日報】2022年2月14日，工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網管系統的漏洞，很可能會影響相當廣泛，若是用於管理工控環境的系統，甚至有機會左右工廠的運作。近期資安業者Claroty揭露，臺廠四零四科技（Moxa）的工業級網管軟體存在5個CVSS風險層級高達10分的漏洞，可被串連利用，而使得<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-21-278-03">ICS-CERT也於2021年10月提出警告</a>，呼籲用戶要儘速採取相關緩解措施。</p> <p>但上述漏洞<a href="https://www.moxa.com/en/support/product-support/security-advisory/mxview-network-management-software-vulnerabilities">已在2021年9月修補</a>，為何Claroty要在今年2月才揭露相關細節？研究人員沒有進一步說明。</p> <p>存在於作業系統裡的重要系統元件，有可能被駭客用來挾帶惡意程式，來隱藏攻擊意圖。例如，研究人員發現駭客最近3個月，積極利用Regsvr32來載入惡意軟體Qbot、Lokibot，但攻擊者大肆濫用此元件並非首例。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.uptycs.com/blog/attackers-increasingly-adopting-regsvr32-utility-execution-via-office-documents"><span style="color: rgb(0, 0, 0);">駭客利用Regsvr32元件於受害電腦載入Qbot、Lokibot等惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1 - regsvr32 scrobj.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201%20-%20regsvr32%20scrobj.png" style="width: 300px; float: right;" /></a>利用受害電腦作業系統現成的元件，發動寄生攻擊（LoL）的情況，駭客最近重新盯上長年存在於Windows的功能模組。資安業者Uptycs最近提出警告，他們發現駭客透過Office文件挾帶惡意軟體Qbot、Lokibot，並利用Windows的註冊伺服器（Register Server，regsvr32.exe）元件，以註冊ActiveX控制項（OCX）檔案的方式，在受害電腦上執行惡意軟體，並表示使用這種手法的惡意軟體數量，自2021年11月開始顯著增加，到2022年1月已發現超過500個惡意軟體。</p> <p>研究人員提出警告，Regsvr32經常被用於系統例行工作，而使得防毒軟體難以察覺威脅，他們呼籲IT人員要透過EDR系統的事件記錄裡，根據Regsvr32與Word、Excel的處理程序的主從關係，或是找出透過Regscr32載入的Scrobj.dll，來識別攻擊行為。</p> <p><span style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/modifiedelephant-apt-and-a-decade-of-fabricating-evidence/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織疑似串通印度政府，攻擊人權鬥士和律師的電腦，企圖找出定罪的依據</strong></span></a></span></p> <p>APT駭客組織透過RAT木馬程式，暗中監控特定目標的情況，很有可能長達10年才被發現。資安業者SentinelOne近期揭露名為ModifiedElephant的駭客組織，該組織從2012年就開始運作，其攻擊行動與多半與印度的國家利益密切相關。研究人員指出，此駭客組織鎖定印度的人權鬥士、記者、學者，以及專業法律人士，利用NetWire和DarkComet等RAT木馬程式，對於受害者的Windows電腦或Android手機進行監控，以提供印度警方能逮捕對方的理由。研究人員指出，這些APT駭客使用容易取得的作案工具，且僅針對特定區域的目標，而能夠長年躲過資安人員的留意。</p> <p><span style="font-size: 22px;"><a href="https://therecord.media/san-francisco-49ers-confirm-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>美式足球隊遭BlackByte勒索軟體攻擊</strong></span></a></span></p> <p>運動競賽隊伍在即將參與大型賽事的前夕遭到網路攻擊，很可能影響他們準備參加比賽的工作。美式足球聯盟（NFL）球隊舊金山49人隊（San Francisco 49ers）向資安新聞網站Bleeping Computer、Recorded Futrue等證實，他們遭到勒索軟體BlackByte攻擊，導致部分IT網路暫時停止運作，並認為合作廠商沒有受到波及的跡象。此駭客組織亦在網站上公布竊得的部分資料，疑似是該球隊2020年的發票資料，但究竟駭客偷得多少資料？仍有待進一步調查。由於NFL即將於2月13日（臺灣時間2月14日）舉辦超級盃賽事，這起事故很可能影響舊金山49人隊相關賽事的準備。</p> <p><span style="font-size: 22px;"><a href="https://www.ftvnews.com.tw/news/detail/2022211S07M1"><span style="color: rgb(0, 0, 0);"><strong>北市府抽獎網站疑出現後臺使用者管理介面，參加者個資恐外洩</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/1ab5bfb6-e8aa-41f7-a074-7d986d3358ce-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1ab5bfb6-e8aa-41f7-a074-7d986d3358ce-1.jpg" style="width: 300px; float: right;" /></a>政府單位的活動網站，竟出現管理介面隨意讓人瀏覽，而曝露民眾個資的情況。根據民視新聞的報導，有民眾向他們投訴，臺北市政府為鼓勵民眾搭乘公車，於2月11日開始舉辦的抽獎活動，其抽獎登記網站約於當日上午10時30分，開始出現異常，有資訊工程師發現疑似該網站的後臺使用者管理介面，內容列出所有登記民眾個資，且用戶能在沒有登入系統的狀態下查詢他人資料。對此，我們也詢問臺北市公共運輸處科長郭建辰，他表示，委外廠商初步判斷，事發原因是管理者的權限異常，並預計於2月16日會有進一步的調查結果。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.claroty.com/2022/02/10/blog-research-securing-network-management-systems-moxa-mxview/"><span style="color: rgb(0, 0, 0);">臺廠工業級網管軟體存在重大漏洞，恐被攻擊者用於執行任意程式碼</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/MXview1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MXview1.png" style="width: 300px; float: right;" /></a>工業控制環境的網管系統，一旦出現重大漏洞，很可能影響相當廣泛。資安業者Claroty揭露，臺廠四零四科技（Moxa）所推出的工業級網管系統MXview，存在5個漏洞，CVSS風險層級為滿分10分，其中的3個漏洞CVE-2021-38452、CVE-2021-38460、CVE-2021-38458，可被攻擊者串連用來發動RCE攻擊；另外2個漏洞CVE-2021- 38456、CVE-2021-38454，則能被用於解除密碼保護，或是存取其他敏感資訊。</p> <p>四零四科技<a href="https://www.moxa.com/en/support/product-support/security-advisory/mxview-network-management-software-vulnerabilities">於2021年9月發布MXview 3.2.4版</a>予以修補。這些漏洞近期也引起<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-21-278-03">ICS-CERT在2021年10月發出警告</a>，呼籲用戶要儘速採取相關緩解措施。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/02/11/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構於2週內修補Safari重大漏洞</span></a></strong></span></p> <p>蘋果甫於2月10日發布修補程式，修補Safari瀏覽器重大漏洞CVE-2022-22620，這項漏洞影響Mac電腦與眾多型號的iOS裝置，是該公司2022年修補的第3個零時差漏洞。此項漏洞的嚴重程度，也使得美國網路安全暨基礎設施安全局（CISA）於2月11日下令，聯邦機構要在2月25日前完成修補作業，並指出他們已掌握駭客正在積極利用這項漏洞的證據。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.theverge.com/2022/2/12/22930588/zoom-update-psa-macos-monterey-mic-indicator-light-bug"><span style="color: rgb(0, 0, 0);">macOS版Zoom驚傳臭蟲，會議結束後仍占用麥克風，恐影響用戶隱私</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/zoom_indicator_light_mac_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zoom_indicator_light_mac_1.png" style="width: 150px; float: right;" /></a>視訊會議軟體若是對於麥克風、視訊鏡頭的管控不佳，有可能造成用戶隱私洩露，或是使得他人能得知會議以外的對話內容。自2021年12月中旬，陸續有macOS版Zoom用戶發現，他們在沒有開啟Zoom用戶端軟體參與會議的情況下，控制中心的橘色指示燈卻持續亮著，顯示電腦的麥克風持續被Zoom占用。</p> <p>對此，Zoom於同月曾發布第一波修補程式，卻被發現修補不全。直到最近，該公司才宣稱，甫於2022年1月25日發布的5.9.3版macOS用戶端軟體，修復了涉及會議後無法正常關閉麥克風的漏洞，並強調沒有用戶的音訊數據，因這項漏洞被傳送到Zoom平臺。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/14 16:28作者周峻佑https://www.ithome.com.tw/news/149360
Google去年總計發出870萬美元的抓漏獎金，Chrome與Android漏洞占7成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2022/02/vulnerability-reward-program-2021-year.html" target="_blank">Google上周公布</a>2021年所發出的抓漏獎金總額為870萬美元，再度刷新歷史紀錄，比2020年的670萬美元增加了近30%。Google的抓漏獎勵專案分為五大領域，分別是Google、Google Play、Android、Chrome與濫用，其中，Google針對Chrome漏洞發出了330萬美元的獎金，位居第一，居次的則是與Android漏洞有關的獎金，亦高達294萬美元。</p> <p>去年總計有來自全球62個國家的696名資安研究人員，領走了870萬美元的獎金，其中，Google頒布的單一最高獎金是15.7萬美元，它是涉及Android攻擊鏈的CVE-2021-39698漏洞。此外，資安研究人員也捐出了逾30萬美元的獎金予慈善機構。</p> <p>在Android部分，Google獎勵的是找到Pixel手機及平板電腦安全漏洞的研究人員，其抓漏範圍除了核心程式之外，也涵蓋了Google所研發的Titan-M安全晶片，以及來自第三方供應商的晶片組，其中，獎金最高的是Pixel Titan M的150萬美元，不過，迄今尚未有人成功領走有關Pixel Titan M的獎金。但去年研發人員揭露了220個與其它晶片組有關的漏洞，總計領走29.6萬美元的獎金。</p> <p>此外，去年獲得最多Android獎金的，是專注於發現Android安全漏洞的Bugsmirror Team，該團隊的Aman Pandey提報了232個有效的Android漏洞，惟Google並未透露他所領走的獎金規模。第二名則是來自AndroBugs Security的林禹成，他提出了128個有效漏洞。</p> <p>在Chrome部分，去年總計有115個安全漏洞人員提交了333個Chrome的安全漏洞，領走330萬美元的獎金，其中有310萬美元與Chrome瀏覽器有關，只有25萬美元攸關Chrome OS，當中最高的一筆獎金為4.5萬美元。</p> <p>可以發現，光是Android及Chrome就占了去年抓漏獎金的72%。另有55萬美元的獎金，分給了提報Google Play漏洞的60名安全研究人員。</p> <p><a href="https://www.ithome.com.tw/news/145903" target="_blank">Google去年設立了統一漏洞平臺Bug hunters</a>，整合了Google所有的漏洞獎勵專案，還有名人榜與學習課程，讓資安研究人員方便互相交流及砥礪。</p> </div></div></div>
2022/2/14 16:15作者陳曉莉https://www.ithome.com.tw/news/149359
更多Android 12手機將可擁有Material You動態色彩功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原本只有Pixel手機才擁有的設計語言Material You功能，<a href="https://android-developers.googleblog.com/2022/02/material-you-coming-to-more-android.html">Google預告</a>將會出現在更多Android 12手機上，特別是可大幅個人化使用體驗的動態色彩功能，用戶也將可以在三星、OnePlus、Oppo、Vivo、Realme、小米和Tecno等品牌的裝置使用到。</p> <p>Google在發布Android 12的同時，也發布了新的設計語言Material You，該設計語言訴求流暢和個人化，在設計中提供更動感的動畫、滑順的滾動體驗，還有寬敞的布局，而最被人注意的是動態色彩功能，用戶可以選擇喜歡的桌布，之後整個手機介面的配色，無論是桌面還是應用程式，都會根據圖片變動。</p> <p>官方提到，Material You的個人化設計，將會是Android的重要特徵，在未來數年Google會繼續在生態系中推廣，讓開發人員也可以在應用程式中，添加個人化的外觀和體驗。</p> <p>但是在Android 12發表以來，並非所有的Android 12手機都能獲得Material You更新，之前僅有Google自家的Pixel手機才能用到。現在Google正與OEM廠商合作，確保關鍵設計API，尤其是動態色彩的API，能夠在Android生態系中一致的運作，接下來的市場上新推出的Android 12裝置，便能使用更完整的Material You功能。</p> <p>由於要讓開發者能夠更清楚實作動態色彩，甚至讓企業將該功能融入到品牌故事中，Material團隊發布了完整的文件，其中包含程式碼實驗室和指南，指引開發者開始使用Jetpack Compose等開發工具，接下來Google還會持續更新Material Theme Builder和Material Color Utilities，提供開發者設計和實作所需要的工具。</p> </div></div></div>
2022/2/14 09:55作者李建興https://www.ithome.com.tw/news/149326
【資安月報】2022年1月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年12月上旬被公布、震驚全球的重大漏洞「Log4Shell」（CVE-2021-44228），在1月也出現各式攻擊事故，而且，駭客尤其盯上了尚未修補的VMware遠距工作平臺下手，甚至到了1月下旬，以提供攻擊者入侵受害組織管道的掮客（IAB），疑似大肆收集這種可被攻擊的遠距工作平臺名單，並進行控制。隨著Omicron的疫情升溫，使得遠距辦公需求增加，這種平臺一旦遭到挾持，很有可能對企業的營運造成衝擊。</p> <p>Log4Shell的嚴重程度，美國政府官員更喊出「開源軟體安全是國安問題」，並召集IT大廠來協商，來改善這種開源軟體安全多半倚賴志工的現象。</p> <p>而在1月份還有俄羅斯與烏克蘭之間的政治局勢升溫，數十個烏克蘭政府機關遭到網路攻擊的事故，在攻擊行動中，駭客不只竄改網路恐嚇烏克蘭人，還使用破壞性的惡意軟體WhisperGate企圖摧毀資料。烏克蘭指控相關攻擊來自俄羅斯，但耐人尋味的是，俄羅斯在這起攻擊事故發生之後，竟罕見地捉拿勒索軟體駭客，並宣稱是因應美國的要求辦案。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/ftc-warns-companies-to-secure-consumer-data-from-log4j-attacks/"><span style="color: rgb(0, 0, 0);">美國政府要求企業力求客戶資料免於Log4Shell威脅，否則將採取法律行動</span></a></strong></span></p> <p>美國聯邦貿易委員會（FTC）於1月4日發布公告，要求企業要防範Log4Shell漏洞的相關攻擊，以免客戶資料因此外洩。該單位揚言若是企業沒有採取適當的保護措施，他們可能會採取法律行動。FTC亦建議企業遵循美國網路安全暨基礎架構安全局（CISA）的指引，來緩解Log4Shell漏洞帶來的威脅。</p> <p><span style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/01/log4u-shell4me"><span style="color: rgb(0, 0, 0);"><strong>駭客大肆收集存在Log4Shell漏洞的VMware遠距工作平臺名單，用戶應加速修補的腳步</strong></span></a></span></p> <p>攻擊者鎖定遠端工作平臺VMware Horizon，並找尋存在Log4Shell漏洞的系統下手的情況，已有數起事故，如今有人疑似專門收集此種型態的攻擊目標名單，再轉售給其他駭客牟利。IT業者BlackBerry的威脅情報團隊指出，以提供攻擊者入侵受害組織管道的掮客（Initial Access Broker，IAB）組織Prophet Spider，近期針對存在上述弱點的VMware Horizon發動攻擊，鎖定其中存在漏洞的Tomcat元件下手，再藉由PowerShell或命令提示字元，植入挖礦軟體，或是植入Cobalt Strike的Beacon進行控制。研究人員認為，當IAB盯上存在某項漏洞的特定系統，代表有許多駭客組織也偏好朝向這類目標下手。</p> <p><span style="font-size:22px;"><a href="https://www.cyberscoop.com/chinese-hackers-use-log4j-exploit-to-go-after-academic-institution/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織利用Log4Shell攻擊學術機構</strong></span></a></span></p> <p>資安業者CrowdStrike指出，他們發現名為Aquatic Panda的中國駭客組織，利用Log4Shell漏洞，鎖定使用遠端工作平臺VMware Horizon的學術機構發動攻擊。這項攻擊行動的過程裡，駭客找尋VMware Horizon採用的Tomcat網站伺服器元件下手，並下達一連串的Linux命令，使用寫死IP位址的Shell程式碼，從攻擊者的基礎設施取得其他作案工具。研究人員表示，由於在執行Tomcat服務的Windows伺服器上，也看到攻擊者執行上述Linux指令，而引起他們的注意，從而發現這起利用Log4Shell的攻擊行動。</p> <p><span style="font-size:22px;"><a href="https://therecord.media/uk-nhs-threat-actor-targets-vmware-horizon-servers-using-log4shell-exploits/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者利用Log4Shell漏洞，鎖定尚未修補的遠端工作平臺VMware Horizon下手</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/attacker-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attacker-diagram.png" style="width: 300px; float: right;" /></a>英國衛生服務部（NHS）提出警告，表明他們偵測到一起鎖定Log4Shell漏洞的攻擊行動，攻擊者鎖定尚未修補的遠端工作平臺VMware Horizon而來，向這些伺服器發送JDNI請求，使其通過LDAP連接到惡意網域，下載PowerShell指令碼安裝Web Shell，並注入於VM Blast Secure Gateway服務當中，以做為接下來攻擊行動的後門。NHS表示這個後門可被用於植入惡意軟體、資料外洩，甚至是進行勒索軟體攻擊。而這是繼去年12月勒索軟體駭客Conti、中國駭客組織Aquatic Panda的攻擊事故後，第3波鎖定VMware Horizon而來的Log4Shell漏洞攻擊行動。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/night-sky-ransomware-uses-log4j-bug-to-hack-vmware-horizon-servers/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Night Sky透過Log4Shell漏洞，鎖定VMware遠端工作平臺發動攻擊</strong></span></a></span></p> <p>又是利用Log4Shell漏洞、針對遠端工作平臺VMware Horizon下手的攻擊事故。微軟於1月10日發布警告，中國駭客組織DEV-0401在1月4日發動相關攻擊，進而在受害組織部署勒索軟體Night Sky。這個勒索軟體最早約於2021年12月出現，根據捷克研究人員Jiří Vinopal比對，Night Sky為勒索軟體Rook改造而成。值得留意的是，DEV-0401在發動攻擊的過程裡，所連線的C2中繼站，架設於看似趨勢科技、Sophos、Nvidia等IT業者所屬的冒牌網域，而可能騙過不少網路防護系統。</p> <p><span style="font-size:22px;"><strong><a href="https://research.checkpoint.com/2022/apt35-exploits-log4j-vulnerability-to-distribute-new-modular-powershell-toolkit/"><span style="color: rgb(0, 0, 0);">伊朗駭客組織利用Log4Shell漏洞，在受害組織植入PowerShell攻擊工具，以進行後續攻擊行動</span></a></strong></span></p> <p>廣泛存在於眾多系統的Log4Shell漏洞，已成為許多攻擊者入侵受害組織的管道。在Log4Shell漏洞細節公開數日後，資安業者Check Point發現，伊朗駭客組織APT35（亦稱Charming Kitten、Phosphorus）掃描存在相關漏洞的應用系統並入侵，然後從AWS S3儲存桶裡，下載名為CharmPower的PowerShell後門程式。該後門程式可用來檢查網際網路連線狀態、枚舉受害電腦的組態，然後從C2中繼站下載其他功能模組，以執行後續攻擊行動。研究人員認為，CharmPower讓這些駭客能快速結合手上現有的軟體，在得知Log4Shell這種重大漏洞後，用來打造能突破重重資安防護的攻擊工具。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.ctwant.com/article/165246"><span style="color: rgb(0, 0, 0);">台達電駁斥大量電腦與伺服器被Conti勒索加密的傳聞</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/149021">國內電源供應設備大廠台達電在21日，於股市公開觀測站證實遭駭</a>，當時各界懷疑是遭勒索軟體攻擊，<a href="https://www.ithome.com.tw/news/149129">此事於1月27日傳出新的消息</a>──根據國內媒體周刊王（CTWANT）報導，有國外資安公司的分析報告透露，對台達電下手的是勒索軟體Conti，其內部網路的6萬5千臺電腦中，有1千5百臺伺服器與1萬2千臺電腦被加密。</p> <p>該報導中也提及，台達電委託趨勢科技與微軟資安團隊協助事件的調查。</p> <p>針對上述的報導內容，台達電在28日再度於證交所發布發布重大訊息駁斥，指出該報導並非實情，並強調該公司營運相關系統皆已恢復正常。但截至1月28日下午5時，該公司網站仍無法運作，顯示網站系統維護中的訊息。</p> <p><span style="font-size: 22px;"><a href="https://forum.gogoro.com/t/topic/17779?fbclid=IwAR3JW9dp3yxDZDGz_l4-7zxkkSdaRGUouZNImNgWyn-xqbAmJejP2jATeoo"><span style="color: rgb(0, 0, 0);"><strong>電動機車業者Gogoro遭網路攻擊，疑影響交車、無法預約進廠維修時間</strong></span></a></span></p> <p>隨著電動車越來越普遍，針對相關業者發動攻擊，可能導致多種服務受到波及。電動車Gogoro在1月22日晚間9點表示，他們在1月21日週五偵測到部分資訊系統遭受駭客網路攻擊，該公司資訊部門在偵測偵測到網路異常後，已啟動資安事件應變，與外部資安公司協同處理，並通報政府單位。根據他們的說明，目前，受影響的部分資訊系統正陸續回復，對日常營運並無重大影響，電池交換網路、銷售與維修通路、客戶服務系統皆持續運作。</p> <p>巧合的是，最近幾日陸續有民眾指控，已經即將交車的時程被迫延期，也有車主反應無法預約進廠維修的時間，使得這起事件引起外界關注，但這些情況是否與網路攻擊有關？顯然還有待釐清。</p> <p>該公司在公告指出，同時間亦有其他臺灣廠商遭遇類似的狀況，但這些廠商是否為採用Gogoro電池交換系統Powered by Gogoro Network（PBGN）的聯盟成員？該公司沒有進一步說明。</p> <p><span style="font-size:22px;"><a href="https://udn.com/news/story/122653/6046119"><span style="color: rgb(0, 0, 0);"><strong>臺灣疑首宗SIM Swapping攻擊出現！有民眾手機號碼遭詐騙集團掛失補辦，存款被盜，電信公司客戶身分查驗有破口</strong></span></a></span></p> <p>在歐美許多國家橫行的SIM卡挾持（SIM Swapping）攻擊事件，如今在臺灣也有民眾遭到相關攻擊，導致財產損失的情況。根據國內聯合新聞網報導，近日有受害者的手機SIM卡遭詐騙集團冒名掛失補辦，受害人表示長期派駐中國，期間詐騙集團取得SIM卡後，網路銀行存款被盜領一空，另信用卡也被掛失與補發。由於電信門號已具備類實名角色，許多線上服務也都會利用門號簡訊認證，為釐清事件狀況，我們詢問到國家通訊傳播委員會（NCC），他們表示，目前國內SIM卡掛失補辦仍是需要臨櫃雙證件辦理，或是代辦需附上委託書，究竟詐騙集團如何騙過電信業者身分審查得手，目前仍在調查中。至於聯合新聞網報導的裁罰事件，NCC表示這是另一起事件，狀況不同。</p> <p><span style="font-size:22px;"><a href="https://www.cna.com.tw/news/asoc/202201110218.aspx"><span style="color: rgb(0, 0, 0);"><strong>虛擬實境內容平臺愛實境遭DDoS攻擊，竟是離職員工所為</strong></span></a></span></p> <p>企業遭到網路攻擊，我們很可能會認為是被外部的駭客盯上，但熟悉內部網路環境、甚至握有相關權限的員工或前員工，也可能對公司造成危害。內政部警政署刑事警察局在1月11日宣布，去年10月底接獲虛擬實境內容平臺業者愛實境（iStaging）報案，該公司遭不明人士試圖攻擊伺服器，客戶反應虛擬展間服務出現異常，造成營運成本損失約400至500萬元，該案已破獲。</p> <p>根據中央社報導，警方在破案記者會上說明，經調閱該公司後臺事件記錄檔（Log）分析，攻擊者於2021年10月25日多次變造身分，發動DDoS攻擊讓該公司系統無法正常運作，且透過VPN隱藏原始來源IP位址。另根據TVBS等多家電視臺報導，經追查原始來源IP位址後，<a href="https://news.tvbs.com.tw/local/1687919　https://www.cna.com.tw/news/asoc/202201110218.aspx　">發現愛實境前員工54歲彭男涉有重嫌</a>，該嫌到案後供稱是要展現自己的駭客技術，全案移送臺北地檢署偵辦。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/cyber-espionage-campaign-targets-renewable-energy-companies/"><span style="color: rgb(0, 0, 0);"><strong>針對可再生能源公司、環境保護組織的網釣攻擊，臺灣也有政府機關遭到鎖定</strong></span></a></span></p> <p>環保意識高漲，加上近年來能源短缺，再生能源的生產、研發也備受關注，但這些組織如今也成為駭客的攻擊目標。資安研究員William Thomas揭露一起從2019年出現的網路釣魚攻擊行動，攻擊者鎖定至少15個組織下手，使用Mail Box工具包發動攻擊。這些組織的主要共通點為與再生能源相關，如施耐德電機、Honeywell、碳揭露專案（CDP）等，值得留意的是，臺灣行政院農業委員會林業試驗所也是駭客的攻擊目標。而對於攻擊者的身分，其中有部分攻擊行動是由俄國駭客組織APT28、北韓駭客組織Konni發起。</p> <p><span style="font-size:22px;"><a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/"><span style="color: rgb(0, 0, 0);"><strong>北京冬季奧運App存在資安風險，資料傳輸安全性不足，言論審查功能也惹議</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/MY2022-Image-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MY2022-Image-2.png" style="width: 150px; float: right;" /></a>近期2022北京冬季奧運即將在2月4日登場，主辦方為了防疫需求，要求參賽運動員及團隊、觀眾與媒體，需安裝My2022（冬奧通）的App，以記錄個人健康狀況，但加拿大公民實驗室（Citizen Lab）在1月18日發布研究報告中，顯示該App服務有兩大爭議，一是資料傳輸安全性不足，可遭中間人攻擊，另一是App具備允許舉報他人政治敏感言論的功能，並已建立2,442個審查關鍵字詞清單，國外與會者顯然有隱私侵犯問題。研究人員在去年12月3日通報主辦單位，至今未獲回應因此公開研究結果。</p> <p><span style="font-size:22px;"><a href="https://www.defenseone.com/technology/2022/01/common-office-desk-phone-could-be-leaking-info-chinese-government-report-alleges/360500/"><span style="color: rgb(0, 0, 0);"><strong>億聯IP電話設備疑似會每天向中國伺服器發送訊息</strong></span></a></span></p> <p>中國品牌的行動裝置會回傳資料到中國，而引起關注，但該國品牌的IP電話，也可能存在類似的情況。根據美國國防新聞網站Defense One的報導，該國參議員Chris Van Hollen於2021年9月28日，向商務部提及億聯（Yealink）IP電話潛藏的資安威脅，並引用資安業者Chain Security對於該廠牌T54W電話的分析報告，確認商務部是否知情。由於億聯為當地政府IP電話的10大供應商之一，該廠牌IP電話廣受美國政府與企業採用，這名參議員認為，恐會造成國安威脅。</p> <p>資安業者Chain Security在研究報告指出，T54W會每天透過其管理平臺（YDMP）連線到阿里雲，多次交換加密訊息，而且億聯中國的員工可透過YDMP超級管理員身分，來監控網路流量。此外，T54W的韌體沒有使用數位簽章，有可能遭到攻擊者竄改。再者，根據億聯的使用者授權條款，中國政府可基於國家利益考量，要求億聯對使用者進行主動監控。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-moonbounce-uefi-malware-used-by-apt41-in-targeted-attacks/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織Winnti再度針對UEFI韌體下手，打造惡意軟體MoonBounce發動攻擊</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png" style="width: 300px; float: right;" /></a>中國駭客組織Winnti（亦稱APT41）鎖定電腦統一可延伸韌體介面（UEFI）韌體發動攻擊的情況，先前曾使用<a href="https://www.ithome.com.tw/news/140369">名為MosaicRegressor的惡意軟體</a>，但這些駭客又故技重施，而且，攻擊手法更加複雜、難以防範，幾乎不會在磁碟留下蹤跡。卡巴斯基揭露一起使用MoonBounce惡意軟體的UEFI韌體攻擊行動，攻擊者將其植入受害電腦主機板上的SPI快閃記憶體，並藉由驅動程式執行環境（DXE）階段啟動，進而載入到Windows核心所使用的記憶體位址運作。根據攻擊者也在受害電腦上植入惡意軟體ScrambleCross，以及C2中繼站所使用的憑證等特徵，研判攻擊者就是中國駭客組織Winnti。</p> <p><span style="font-size:22px;"><a href="https://www.nbcnews.com/tech/security/north-korea-stole-record-400-million-cryptocurrency-last-year-research-rcna12080"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客2021年竊得4億美元加密貨幣，較前年多出4成</strong></span></a> </span></p> <p>美國與其他國家長期對於北韓實施經濟制裁，使得該國長期以來，倚賴APT駭客攻擊全球各地的金融機構，來竊取資金。但最近2到3年，北韓駭客更加關注如何偷取加密貨幣，根據區塊鏈資安業者Chainalysis調查，這些駭客在2021年總共對於加密貨幣平臺發起至少7次攻擊行動，並取得近4億美元的加密貨幣，較2020年要多出40%。其中，被竊的加密貨幣以太幣占超過半數（58%）、比特幣居次（20％）、22%是ERC-20或替代幣（Altcoin）。</p> <p><span style="font-size: 22px;"><strong><a href="https://therecord.media/north-korean-hackers-attack-russian-diplomats-using-new-year-greetings/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Konni鎖定俄國外交官發動攻擊</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Happy-Holidays-Konni.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Happy-Holidays-Konni.jpg" style="width: 300px; float: right;" /></a>資安業者Cluster25指出，他們自2021年8月，追蹤北韓駭客組織Konni的動態，結果發現，近期他們鎖定俄羅斯駐印尼大使館，以祝賀2022年新年到來的名義，發動釣魚郵件攻擊，郵件挾帶具有俄文問候的螢幕保護程式檔案，一旦執行會在安裝螢幕保護程式的同時，植入RAT木馬程式，攻擊者進而控制受害電腦。此外，攻擊者亦假冒俄羅斯駐塞爾維亞大使館，而讓釣魚郵件更難被識破。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/multiple-ukrainian-government-websites-hacked-and-defaced/"><span style="color: rgb(0, 0, 0);"><strong>數十個烏克蘭政府網站遭駭，疑似是俄羅斯所為</strong></span></a></span></p> <p>烏克蘭與俄國關係緊張的態勢，疑似因近日俄羅斯意圖說服西方國家，阻止烏克蘭加入北大西洋公約組織（NATO）不成，而發動大規模的網路攻擊。根據路透社、彭博社、莫斯科時報、Bleeping Computer等新聞網站報導，1月13日晚間烏克蘭許多政府網站，如外交部、國家安全與國防事務委員會（NSDC）等部門遭到攻擊，14日早上網站出現無法存取的情況，可能有70個政府網站遭到攻擊，這些網站的內容遭到竄改，以烏克蘭語、俄語、波蘭語宣稱，烏克蘭人的個資已經遭到外洩。</p> <p>根據莫斯科時報的報導，烏克蘭國家安全局（SSU）發出聲明證實確有此事，但強調他們尚未發現民眾資料外洩的跡象，並指控這起攻擊行動很可能就是俄羅斯所為。</p> <p>究竟這些網站是如何被入侵的？Bleeping Computer取得消息來源的說法，這些網站疑似使用存在漏洞的October CMS內容管理平臺（CMS），攻擊者透過CVE-2021-32648身分驗證繞過漏洞，做為侵入這些網站的初始管道。</p> <p><span style="font-size:22px;"><a href="https://krebsonsecurity.com/2022/01/at-request-of-u-s-russia-rounds-up-14-revil-ransomware-affiliates/"><span style="color: rgb(0, 0, 0);"><strong>俄國逮捕勒索軟體組織REvil成員，疑似是要向美國施壓</strong></span></a></span></p> <p>過往俄國政府不太積極追捕駭客，甚至被美國指控是意圖藏匿犯人，而最近一起大動作圍捕參與勒索軟體REvil攻擊行動的駭客，被認為別有用意。俄羅斯聯邦安全局（FSB）在1月14日逮捕14名REvil組織的駭客，並查獲6百萬美元、4.26億盧布、5百萬歐元現金，以及20輛透過網路犯罪所得購買的高級汽車。</p> <p>FSB強調，此舉是因應美國的要求，但外界認為，這起逮捕行動是為了轉移與烏克蘭關係緊張的焦點，並作為要脅美國的籌碼──在13日，烏克蘭數十個政府網站驚傳遭到俄國攻擊，再者，俄國總統普丁也下令，要在烏克蘭邊境部署10萬兵力。</p> <p><span style="font-size:22px;"><a href="https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體WhisperGate鎖定烏克蘭組織趁火打劫，意在破壞而非勒索</strong></span></a></span></p> <p>針對烏克蘭和俄國關係緊張的情勢，除了俄國疑似於1月13日攻擊數十個烏克蘭網站之外，微軟也在同一天發現，有來路不明的駭客組織DEV-0586，利用名為WhisperGate惡意軟體，攻擊數十個烏克蘭政府機關、非營利組織、IT業者，該惡意軟體會覆寫受害電腦的主要開機磁區（MBR），索討1萬美元復原電腦，且會損壞電腦裡的檔案。研究人員認為，攻擊者的目的並非贖金，而是要徹底破壞電腦檔案。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/"><span style="color: rgb(0, 0, 0);">白俄羅斯鐵路公司遭到加密軟體攻擊，駭客要求釋放50名政治犯</span></a></strong></span></p> <p>駭客發動攻擊的目的，也有可能為了政治訴求。例如，名為白俄羅斯網路游擊隊（Belarus Cyber Partisans）的駭客組織，於1月24日宣稱，他們入侵了白俄羅斯國營鐵路公司（BR），對部分伺服器、資料庫、工作站電腦加密檔案，來中斷營運，目的是要求當局釋放50名需要醫療救助的政治犯，且希望俄羅斯軍隊撤離白俄羅斯。BR也發出公告指出，該公司線上的電子旅行文件核發作業暫時無法使用，旅客要直接向售票處進行申請。</p> <p><span style="font-size:22px;"><a href="https://apnews.com/article/technology-business-poland-hacking-warsaw-8b52e16d1af60f9c324cf9f5099b687e"><span style="color: rgb(0, 0, 0);"><strong>波蘭執政黨坦承購買間諜軟體Pegasus，否認用於監控政敵</strong></span></a></span></p> <p>加拿大多倫多大學公民實驗室（Citizen Lab）與美聯社（AP）聯手，於去年12月揭露參議員Krzysztof Brejza等多名波蘭反對黨人士，手機遭到間諜軟體Pegasus監控，疑似是執政黨所為，消息傳出遭到當局否認。直到最近，該國執政黨法律與正義黨（PiS）領袖暨副首相Jaroslaw Kaczynski，在接受訪問中坦承，他們確實有採購Pegasus，並認為若是國安組織沒有這種技術「很可悲」，但對於購買該軟體的用途仍交待不清，僅否認是用於監控反對黨。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/popular-qanda-app-curious-cat-loses-domain-posts-bizarre-tweets/"><span style="color: rgb(0, 0, 0);">社交網路應用Curious Cat失去其網域名稱所有權，並發布怪異的推文</span></a></strong></span></p> <p>根據資安新聞網站Bleeping Computer的報導，名為Curious Cat的網路問答社群服務，約於2021年12月19日開始失去網域名稱所有權，當時網站已顯示網域名稱求售的內容，隨後不久便被替換成為網站正在維護的訊息，但商標與原本的完全不同。Curious Cat在推特上表明是因工作人員的疏失造成，並將服務原本Curiouscat.qa網域，更換為Curiouscat.me和Curiouscat.live，要求用戶更新Android與iOS的App才能繼續使用，不少用戶決定暫時停止使用Curious Cat的服務。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/dont-copy-paste-commands-from-webpages-you-can-get-hacked/"><span style="color: rgb(0, 0, 0);"><strong>小心，從網頁複製、貼上文字內容不再100%安全！資安業者警告有可能從中置換其他內容，執行攻擊者的命令</strong></span></a></span></p> <p>從教學網站上複製命令，然後貼上命令提示字元視窗、終端機的畫面執行，可說是相當常見的做法。但資安教育訓練業者Wizer透過攻擊手法示範，攻擊者可以置換使用者複製的程式碼，而且在貼上之後立刻執行惡意指令。研究人員製作概念性驗證的攻擊文字，表面上使用者是看到普通的Linux軟體更新指令，但在複製的過程中，攻擊者透過網站的程式碼，將剪貼簿的內容替換成惡意指令，使用者貼上命令列時，便會直接執行攻擊者替換的指令，即使後來察覺貼上的命令與本來看到的不同，也為時已晚。</p> <p>Wizer呼籲IT人員，可以考慮在貼上之前先加上”#”，讓命令變成註釋以避免貼上就立刻執行的情況，或是調整終端機的配置，指定在貼上”\n”（換行指令）時不會自動執行。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-about-ongoing-google-voice-authentication-scams/"><span style="color: rgb(0, 0, 0);">在網路上公開電話號碼的人士，恐成為Google Voice身分驗證詐騙的目標</span></a></strong></span></p> <p>美國聯邦調查局（FBI）提出警告，網路拍賣的賣家，或是尋找竉物的失主，可能會因為留下了電話號碼以供聯繫，而成為歹徒藉由網路電話服務Google Voice進行詐騙攻擊的目標。FBI指出，一旦歹徒詐騙成功，將會以受害者的名義建立Google帳號，或是挾持他們的Gmail，以便日後用於其他詐騙攻擊。</p> <p>這些歹徒從各類拍賣網站來找尋目標下手，並以簡訊或是電子郵件，表明他們對出售的物品感興趣，但宣稱先前曾被其他賣家騙過，要求對方經由Google驗證為真實的人類。然後，歹徒會要求賣家告知收到簡訊驗證碼，但實際上，歹徒是利用賣家的電話號碼進行驗證，假借賣家的名義建立Google Voice帳號，然後接管賣家的Google帳號。FBI呼籲，網路賣家不要提供他人Google驗證碼，來防範相關詐騙攻擊。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/ea-50-high-profile-fifa-22-accounts-taken-over-by-phishing-actors/"><span style="color: rgb(0, 0, 0);"><strong>美商藝電驚傳FIFA玩家帳號遭駭</strong></span></a></span></p> <p>社群網站如臉書、Instagram、推特等，名人帳號遭到挾持事件頻傳，但這樣的現象也出現在電玩遊戲上。美商藝電（EA）近期發布公告，指出足球電玩FIFA 22的玩家，有接近50個帳號遭到接管，攻擊者使用網路釣魚與其他社交工程手法，藉由客服人為錯誤來繞過雙因素驗證（2FA），來存取這些玩家的帳號，該公司將加強相關人員的訓練，以及改進身分驗證流程來因應。由於遭駭的玩家包含了直播主，甚至是Valentin Rosier等足球運動員，此事件的後續發展有待觀察。</p> <p><span style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/a/emotet-spam-abuses-unconventional-ip-address-formats-spread-malware.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Emotet透過十六進位、八進位的IP位址來散布</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png" style="width: 301px; float: right;" /></a>駭客為了規避資安系統的偵測，刻意使用一些手法來隱藏攻擊行動的IP位址。例如，趨勢科技在近期偵測到Emotet的垃圾郵件攻擊行動中，駭客在郵件裡的惡意Office文件裡，分別使用十六進位、八進位的方法，來存放遠端伺服器的IP位址，進而讓 Emotet下載第2階段的惡意程式。研究人員指出，駭客使用這種方式取代2021年11月至12月時，投放Cobalt Strike的Beacon，或是使用TrickBot的手法，現行的資安防護系統很可能無法察覺異狀。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.trendmicro.com/en_us/research/22/a/analysis-and-Impact-of-lockbit-ransomwares-first-linux-and-vmware-esxi-variant.html"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定VMware虛擬化平臺而來</span></a></strong></span></p> <p>隨著企業採用虛擬化平臺的情況越來越普遍，約自2021年上旬，許多勒索軟體駭客，如<a href="https://www.ithome.com.tw/news/146432">HelloKitty</a>、<a href="https://www.ithome.com.tw/news/147580">Hive</a>、<a href="https://www.bleepingcomputer.com/news/security/linux-version-of-avoslocker-ransomware-targets-vmware-esxi-servers/">AvosLocker</a>，開始製作Linux版本軟體，鎖定VMware ESXi的環境而來。惡名昭彰的<a href="https://www.ithome.com.tw/news/146421">勒索軟體LockBit</a>，最近幾個月也開始加入針對虛擬化環境下手的行列。趨勢科技於2021年10月，在地下論壇RAMP看到駭客張貼的廣告，宣布開始提供能於VMware ESXi執行的勒索軟體LockBit，同月，研究人員就在網路上發現使用該勒索軟體的攻擊行動。</p> <p>此勒索軟體混合AES與ECC兩種演算法加密檔案，且能夠將虛擬機器（VM）關機或是休眠，以利檔案加密不受中斷。此外，該勒索軟體還能徹底清除可用空間的資料。與Windows版勒索軟體相同的是，駭客在加密完檔案後，同樣於勒索訊息裡，徵求能入侵企業的帳密資料，並宣稱提供者有機會得到數百萬美元的酬庸。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-increase-efforts-to-enlist-insiders-for-attacks/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體駭客意圖收買目標組織的內部員工，以利進行攻擊</strong></span></a></span></p> <p>駭客發動勒索軟體攻擊，除了向初始入侵管道掮客（IAB）購買存取受害組織內部網路的帳密，還可能會串通的內部員工，以利攻擊進行。根據身分驗證解決方案業者Hitachi ID在2022年1月，針對北美100家擁有超過5千名員工的大型企業進行調查，結果發現，在2021年12月7日至今年1月4日的期間內，有65%受訪者表示，駭客意圖收買他們或公司員工，要求建立初始存取的管道，這樣的比例，相較於2021年11月公布的48%高出許多。在北美員工面臨與公司共體時艱而大幅減薪，而引發大辭職（Grand Resignation、亦稱Big Quit）勞工運動的情勢下，很可能讓員工鋌而走險，選擇被駭客收買。</p> <p><span style="font-size:22px;"><a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/"><span style="color: rgb(0, 0, 0);"><strong>近四分之一網釣攻擊冒用DHL的名義出手</strong></span></a></span></p> <p>過往網路釣魚攻擊中，攻擊者較為偏好利用微軟和Google等IT業者的名義，來取得受害者的信任，進而得手對方的帳密等資料，但這個情況近期出現了變化。資安業者Check Point針對2021年第4季，駭客在發動網路釣魚攻擊的行動裡，所假冒的廠牌名稱，調查後發現，全球有23%網路釣魚是利用物流業者DHL的名義發動攻擊，不只比2021年第3季（9%）高出不少，也超越微軟（20%）、WhatsApp（11%）、Google（10％）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/linux-system-service-bug-gives-root-on-all-major-distros-exploit-released/"><span style="color: rgb(0, 0, 0);">Linux系統元件漏洞PwnKit可被用於取得root權限，恐波及所有發行版</span></a></strong></span></p> <p>Linux系統元件所存在的漏洞，很可能影響各種版本的作業系統。資安業者Qualys揭露名為PwnKit的漏洞（CVE-2021-4034），這項漏洞存在於控制系統層級的元件Polkit（舊稱PolicyKit）裡，一旦攻擊者利用該漏洞，就能以不具特權身分的使用者，在Linux主機上取得root權限，影響自2009年5月以來所有版本的Polkit。研究人員在預設組態部署的Ubuntu、Debian、Fedora、CentOS上，透過PwnKit於本機取得root權限，研判該漏洞存在於多數版本的Linux作業系統，紅帽已發布修補程式。資安新聞網站Bleeping Computer於上述漏洞細節公布後不久，就在網路上看到概念性驗證（PoC）攻擊工具。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/linux-kernel-bug-can-let-hackers-escape-kubernetes-containers/"><span style="color: rgb(0, 0, 0);">Linux核心存在漏洞，恐被用於逃脫K8s容器並攻擊主機</span></a></strong></span></p> <p>Linux核心的嚴重漏洞，有可能危及容器平臺Kubernetes（K8s）。搶旗賽（CTF）團隊Crusaders of Rust發現，記憶體緩衝區溢位漏洞CVE-2022-0185，存在於Linux核心5.1-rc1以上版本的檔案系統框架（File System Context）元件，一旦駭客利用這個漏洞，將有機會發動越界寫入、阻斷服務（DoS）、任意程式碼執行攻擊，而使得駭客能夠逃脫容器，進而存取K8s伺服器的資源。該漏洞已於Linux 5.16.2版修補，IT人員也可以針對沒有具備特殊權限的使用者，停用命名空間（Namespace）的相關功能，來緩解這項漏洞。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/cwp-bugs-allow-code-execution-as-root-on-linux-servers-patch-now/"><span style="color: rgb(0, 0, 0);">CentOS伺服器遠端管理介面軟體存在漏洞，攻擊者可用於RCE攻擊</span></a></strong></span></p> <p>許多企業用於架設伺服器的CentOS作業系統，針對其開發的遠端管理介面軟體出現漏洞，有不少企業會曝露在相關風險之中。資安業者Octagon Networks發現，Linux伺服器網頁管理介面軟體Control Web Panel（CWP，原名CentOS Web Panel），存在檔案包含漏洞CVE-2021-45467，以及檔案寫入漏洞CVE-2021-45466，該業者指出，攻擊者一旦串連這2個漏洞，可在未經身分驗證的情況下，以root權限遠端執行命令。研究人員指出，從物聯網搜尋引擎Shodan和Censys執行搜尋，至少有10萬個CWP可透過網際網路存取。雖然CWP獲報後已修補上述漏洞，但研究人員指出，他們看到有人繞過漏洞並入侵一些伺服器。</p> <p>即使紅帽改變CentOS的發布規畫，<a href="https://www.ithome.com.tw/news/141582">終止CentOS 8的支援，未來以提供測試版本CentOS Stream為主</a>，但仍有不少企業使用CentOS，或是開始移轉到其他的衍生版本，上述漏洞帶來的影響可能相當廣泛。</p> <p><span style="font-size:22px;"><strong><a href="https://portswigger.net/daily-swig/latest-wordpress-security-release-fixes-xss-sql-injection-bugs"><span style="color: rgb(0, 0, 0);">WordPress修補存在長達3年的XSS漏洞</span></a></strong></span></p> <p>網站內容管理系統WordPress最近推出了5.8.3版，修補數項漏洞，其中較值得留意的是跨網站程式碼（XSS）攻擊漏洞，影響WordPress 3.7至5.8版，一旦攻擊者利用這項漏洞，就能在已經通過身分驗證的情況下，注入惡意的JavaScript指令碼酬載到貼文裡，進而感染管理者的儀表板，甚至有機會挾持管理者帳號。通報該漏洞的資安業者SonarSource表示，這項漏洞他們從3年前就告訴WordPress，如今終於得到修補，他們預計在1月11日揭露有關細節。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-plugin-flaw-puts-users-of-20-000-sites-at-phishing-risk/"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式驚傳漏洞，恐被濫用於大量發送網釣郵件</strong></span></a></span></p> <p>網站外掛程式的漏洞不只讓駭客可對網站造成破壞，或是攻擊瀏覽網站的上網用戶，甚至還能被用來大量發送釣魚郵件。資安業者Wordfence發現，WordPress外掛程式WP HTML Mail存在漏洞CVE-2022-0218，攻擊者一旦利用這項漏洞，就能在未經身分驗證的情況下竄改電子報範本，進而向訂戶發送網釣郵件。由於WP HTML Mail可與其他外掛程式搭配使用，如電子商務平臺WooCommerce、表單建置工具Ninja Forms、社群網站建置工具BuddyPress，影響範圍可能相當廣泛。開發人員獲報後已推出WP HTML Mail 3.1版修補漏洞。</p> <p><span style="font-size:22px;"><a href="https://nypost.com/2022/01/12/teen-claims-he-hacked-into-over-25-teslas-in-13-countries/"><span style="color: rgb(0, 0, 0);"><strong>研究人員宣稱透過第三方管理軟體漏洞，控制位於十多個國家的25臺特斯拉汽車</strong></span></a></span></p> <p>電動車往往被視為能夠移動的電腦，相關的資安議題也引進關注，而電動車大廠特斯拉近期傳出能遠端控制車輛的漏洞，但原因不完全與該廠商的系統有關，而是部分車主所使用的第三方軟體造成。一名年僅19歲的德國資安人員David Colombo宣稱，他透過名為Teslamate的車輛事件記錄軟體，藉由其漏洞，控制位於13個國家的25輛特斯拉汽車，可遠端開啟車門，並使用車內的攝影鏡頭監控司機，甚至可停用防盜機制「哨兵模式（Sentry Mode）」。David Colombo表示，他已經接獲特斯拉的通知，將提供該軟體的漏洞細節，並強調這並非特斯拉基礎設施本身的問題。</p> <p><span style="font-size:22px;"><strong><a href="https://portswigger.net/daily-swig/researcher-discovers-70-web-cache-poisoning-vulnerabilities-nets-40k-in-bug-bounty-rewards"><span style="color: rgb(0, 0, 0);">研究人員發現70個網站快取中毒漏洞，恐被攻擊者用於DoS或XSS攻擊</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/gram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gram.png" style="width: 300px; float: right;" /></a>資安研究人員Iustin Ladunca公布針對網站快取中毒（Web Cache Poisoning）的漏洞研究，這些漏洞存在於GitHub、GitLab、HackerOne、Cloudflare，以及採用Apache Traffic Server的伺服器。該名研究人員指出，由於現代網站嚴重依賴JavaScript和CSS樣式表，暫存伺服器設置又往往只支援靜態檔案，而使得這些暫存資料成為攻擊者下手的目標，可用於發動阻斷服務（DoS）攻擊，或是跨網站程式碼（XSS）攻擊。他總共因相關研究挖掘70個漏洞，獲得4萬美元獎金。</p> <p><span style="font-size:22px;"><strong><a href="https://www.sentinelone.com/labs/cve-2021-45608-netusb-rce-flaw-in-millions-of-end-user-routers/"><span style="color: rgb(0, 0, 0);">盈碼科技NetUSB驚傳RCE漏洞，恐波及數百萬路由器</span></a></strong></span></p> <p>資安業者SentinelOne於1月11日，揭露由臺灣USB共享解決方案業者盈碼科技（KCodes）所推出的NetUSB軟體，存在CVE-2021-45388漏洞，一旦攻擊者利用這項漏洞，能在作業系統核心層級執行程式碼。由於NetUSB廣泛運用於Netgear、TP-Link、D-Link等廠牌的路由器，恐有數百萬臺設備存在相關漏洞。研究人員向盈碼通報後，該公司於11月下旬表明在12月20日前發布修補程式。此外，Netgear也於12月20日，公告有3款產品D7800、R6400v2、R6700v3受此漏洞影響，並提供修補韌體。</p> <p><span style="font-size:22px;"><strong><a href="https://trevorspiniolas.com/doorlock/doorlock.html"><span style="color: rgb(0, 0, 0);">研究人員揭露iOS漏洞，可利用HomeKit智慧家電癱瘓iPhone</span></a></strong></span></p> <p>研究人員Trevor Spiniolas揭露一項iOS漏洞doorLock，這項漏洞存在於iOS 14.7至15.2，攻擊者可透過蘋果認證的HomeKit智慧家電裝置，藉由將這類裝置的名稱設置為50萬個字元的方式觸發漏洞，導致能探索HomeKit裝置的iPhone或iPad，家庭（Home）App可能會完全無法運作，甚至整個作業系統出現無法回應的情形。蘋果原本預計於2021年修補，但目前延後到2022年初才會提供更新軟體，使得該名研究人員公布相關細節，並呼籲用戶停用iOS裝置的「家庭設備」功能，來防範相關攻擊。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/ios-malware-can-fake-iphone-shut-downs-to-snoop-on-camera-microphone/"><span style="color: rgb(0, 0, 0);"><strong>iOS惡意軟體可讓裝置假裝關機，然後進行偷窺、竊聽</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/hijack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hijack.jpg" style="width: 300px; float: right;" /></a>在過往許多iOS的惡意軟體攻擊中，受害者往往可透過重新啟動裝置，就有機會阻止惡意軟體在記憶體內運作，但這樣的方式可能已經不管用。資安業者ZecOps公布名為NoReboot的攻擊手法，這種方式可讓受害者以為iPhone已經關機，但實際上惡意軟體藉由挾持關機命令，而使得受害手機實際上維持開機的狀態，惡意軟體仍能繼續執行，並從麥克風與鏡頭，進行竊聽甚至是偷窺的行為。研究人員指出，由於這並非iOS作業系統的缺陷，蘋果很可能不會進行修補。</p> <p><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/148964"><span style="color: rgb(0, 0, 0);"><strong>Zoom驚傳能讓攻擊者接管裝置的漏洞，且無須使用者互動</strong></span></a></span></p> <p>武漢肺炎疫情蔓延，使得許多人仍需遠端工作或是學習，他們所使用的視訊會議平臺若是出現漏洞，影響可能相當廣泛。Google近期揭露視訊會議平臺Zoom上的2個漏洞，且都是與多媒體路由（MMR）伺服器有關、無須使用者互動的零點擊（Zero-Click）漏洞，Zoom獲報後在2021年11月24日予以修復。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><span style="font-size:22px;"><a href="https://www.theverge.com/2022/1/13/22881813/white-house-tech-summit-apple-google-meta-amazon-open-source-security"><span style="color: rgb(0, 0, 0);"><strong>針對Log4Shell漏洞背後存在的開源軟體維護議題，美國召集IT業者討論</strong></span></a></span></p> <p>企業廣泛使用的開源軟體，多半倚賴志工免費維護，一旦出現類似Log4Shell的重大漏洞，卻往往只有志工著手處理，美國國家安全顧問Jake Sullivan更指出，開源軟體安全是主要的國家安全議題。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/europol-shuts-down-vpn-service-used-by-ransomware-groups/"><span style="color: rgb(0, 0, 0);"><strong>歐美執法單位聯手，破壞網路罪犯用於藏匿行蹤的VPN基礎設施</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg" style="width: 150px; float: right;" /></a>不只針對是罪犯組織，近期執法單位也對於提供相關工具的業者採取行動。歐洲刑警組織（Europol）於1月18日宣布，在德國漢諾威警察局中央刑事辦公室帶領之下，德國、荷蘭、加拿大等10個國家的執法單位聯手，查封提供網路罪犯VPN服務業者VPNLab的15臺伺服器。烏克蘭警方指出，在德國至少有150起勒索軟體攻擊行動的攻擊者，使用這項VPN服務，而造成6千萬歐元損失。</p> <p>針對這種現象，美國白宮於1月13日召集Amazon、Google、IBM等大型IT公司，以及維護日誌記錄框架Log4j的Apache軟體基金會、維護Java程式語言的Oracle，希望能透過IT業界來促進開源軟體的安全。而Log4Shell也不是這種情況的首例——在2014年發現、存在於OpenSSL加密程式庫的Heartbleed漏洞，也有類似的情形，OpenSSL被用於全球三分之二的網路伺服器上，同樣仰賴志工維護。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.whitehouse.gov/omb/briefing-room/2022/01/26/office-of-management-and-budget-releases-federal-strategy-to-move-the-u-s-government-towards-a-zero-trust-architecture/"><span style="color: rgb(0, 0, 0);">美國要求政府機關採用零信任的資安防護戰略，於1月26日正式實施</span></a></strong></span></p> <p>美國行政管理和預算局（OMB）在2022年1月26日，正式發布新網路安全策略與<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">M-22-09備忘錄</a>，要求政府機關都應轉移到零信任架構（Zero Trust Architecture），並在2024財年底（9月30日）之前，符合指定的資安標準要求。這樣的策略，是基於去年5月的14028行政命令，於是OMB在<a href="https://www.ithome.com.tw/news/147725">去年9月提出聯邦零信任戰略草案</a>，歷經近半年時間徵詢意見與討論，現在終於上路。聯邦資安長Chris DeRusha表示，這個戰略將成為聯邦網路安全典範轉移的基礎，並將會成為其他人仿效的模式。</p> <p>在這份備忘錄裡，OMB要求各聯邦機關要在60日內，提出轉移架構的時程規畫，以及2023、2024年度的預算編列，並依據身分驗證、裝置、網路、應用系統與工作負載，以及資料等5個領域，執行相關的盤點與部署工作。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/uk-govt-releasing-nmap-scripts-to-find-unpatched-vulnerabilities/"><span style="color: rgb(0, 0, 0);">英國政府以Nmap程式碼打造檢測工具，供IT人員掃描特定的重大漏洞</span></a></strong></span></p> <p>工業控制系統（ICS）安全日益受到重視，政府亦提供相關的工具給企業，以便儘速因應重大漏洞。英國國家網路安全中心（NCSC）於1月25日，發布針對網路安全工具Nmap編寫的指令碼，以協助企業掃描Exim訊息傳輸代理（MTA）設備裡，合稱為21Nails的RCE漏洞。NCSC表示，即使企業沒有部署Exim MTA，IT人員還是可以試著運用這個指令碼來掃描網路環境。</p> <p><span style="font-size:22px;"><strong><a href="https://www.scmagazine.com/analysis/iot/new-guidance-tackles-role-of-manufacturers-in-medical-device-security-patient-safety"><span style="color: rgb(0, 0, 0);">美醫療設備採購組織發布供應商的資安評估指南</span></a></strong></span></p> <p>由美國14個醫療設備採購組織所成立的醫療照護供應鏈協會（HSCA），近期提供相關設備的業者或服務商，發布新的網路安全指引，提及透過MITRE建立醫療設備的威脅模型劇本，以及這類設備的生命安全週期的管理等。他們提及醫療機構與設備製造商簽訂合約時，所需要留意的細節，而且最好要有資安團隊參與採購流程，以確保所有接到醫療機構網路上的設備，從設計之初就將資安納入考量。</p> <p><span style="font-size:22px;"><strong><a href="https://thehackernews.com/2022/01/detecting-evasive-malware-on-iot.html"><span style="color: rgb(0, 0, 0);">檢測物聯網設備攻擊有新方法！研究人員透過電磁波進行偵測</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/hardware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hardware.jpg" style="width: 300px; float: right;" /></a>物聯網（IoT）設備相當多元，許多資安業者透過防入侵偵測系統（IDS）、端點偵測與回應（EDR）、網路偵測與回應（NDR），從流量檢查是否有遭到攻擊的跡象，但最近有了新的突破。電腦科學暨隨機系統研究所（IRISA）在2021年12月舉行的年度電腦安全應用會議（ACSAC）上，揭露他們藉由偵測物聯網裝置的電磁波，來確認是否遭到惡意軟體入侵的跡象。研究人員指出，這種透過硬體下手的做法，使得惡意軟體的規避手段無法發揮作用，且IT人員無須修改物聯網設備的情況下就能達到保護的效果，他們製作的檢測框架，還能識別不同類型的惡意軟體，如勒索軟體、殭屍網路病毒、RootKit等。</p> <p> </p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><span style="font-size:22px;"><a href="https://store-us.semi.org/products/e18700-semi-e187-specification-for-cybersecurity-of-fab-equipment"><span style="color: rgb(0, 0, 0);"><strong>半導體資安標準SEMI E187正式上架</strong></span></a></span></p> <p>在2022年1月17日，全球首個半導體晶圓產線設備資安標準已正式上架於SEMI網站，名稱為「SEMI E187 - Specification for Cybersecurity of Fab Equipment」。特別的是，這也是首次由臺灣主導制定的半導體相關國際標準，此項標準在四大方面提出要求，包括：作業系統規範、網路安全相關、端點保護相關，以及資訊安全監控，建立晶圓廠設備資安最低標準。</p> <p><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/148980"><span style="color: rgb(0, 0, 0);"><strong>McAfee企業部門與FireEye合併，成立XDR公司Trellix上市</strong></span></a></span></p> <p>私募基金業者Symphony Technology Group（STG）於2021年3月、6月，先後<a href="https://www.ithome.com.tw/news/143106">買下McAfee企業部門</a>，以及<a href="https://www.ithome.com.tw/news/144797">FireEye網路、郵件、端點、雲端等領域的安全管理平臺</a>，<a href="https://www.ithome.com.tw/news/147203">STG併購後於同年10月宣布，將上述2家公司整併</a>，而最近這家合併完成的新公司名為Trellix，將提供擴充偵測與回應（Extended Detection and Response，XDR）解決方案。STG亦預告會將McAfee Enterprise Secure Service Edge拆分成獨立業務，提供雲端存取安全中介服務（CASB）、網路安全閘道、零信任網路安全存取（ZTNA）等解決方案。</p> </div></div></div>
2022/2/11 17:52作者周峻佑https://www.ithome.com.tw/news/149329
【資安週報】2022年2月7日至11日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，有美國大型媒體集團News Corporation傳出疑似遭到中國駭客蒐集情報的情況，而在其他國際之間的網路攻擊，還有1月底攻擊德國石油運輸業者的勒索軟體Black Cat，而被資安研究人員發現相關證據，認為該組織的前身，疑似就是攻擊美國大型燃油管道業者Colonial Pipeline的DarkSide。</p> <p>智慧型手機已幾乎成為人們生活的必需品，鎖定這類裝置而來的網釣簡訊（Smishing）攻擊行動也不時有事故發生，且有越來越嚴重的趨勢，不只駭客爭相利用，效仿，甚至是擴大攻擊範圍，針對更多國家發送這類簡訊。</p> <p>有些作業系統或是應用程式軟體內建模組，成為許多駭客用於寄生攻擊（LoL）的對象，而迫使軟體業者封鎖相關的功能來防堵攻擊。例如，微軟最近封鎖自網頁瀏覽器安裝Windows 10市集應用程式的管道、開始移除WMI命令列元件（WMIC），以及對於5款Office應用程式，若是開啟從網路下載的文件，將不會提供啟用巨集的功能。這些做法可能會對網管人員造成的影響，也有待觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.reuters.com/business/media-telecom/news-corp-says-one-its-network-systems-targeted-by-cyberattack-2022-02-04/"><span style="color: rgb(0, 0, 0);">華爾街日報等新聞媒體遭到駭客攻擊，疑似為中國政府蒐集情報</span></a></strong></span></p> <p>在國際情勢日益緊張的態勢下，國家級駭客鎖定新聞媒體來為政府蒐集情資，也有數起事故傳出。根據路透社的報導，美國大型新聞媒體集團News Corporation於2月4日透露，數量不明的記者遭到駭客攻擊，電子郵件信箱帳號與有關資料遭到外洩，該集團已委由資安業者Mandiant協助調查，該資安業者認為，駭客很可能是基於中國政府的利益進行情報收集。路透社取得該集團高層對員工發出的信件內容，指出該集團總部，以及Dow Jones、News UK、紐約郵報等子公司受到本次事故波及。但這並非美國新聞媒體第一次遭到中國駭客攻擊，例如，在2013年紐約時報傳出53臺員工電腦遭駭，原因疑似與他們報導中國時任總理溫家寶親屬財產遭到調查有關。</p> <p><span style="font-size: 22px;"><a href="https://www.wired.com/story/north-korea-hacker-internet-outage/"><span style="color: rgb(0, 0, 0);"><strong>北韓網路遭DDoS攻擊，原因疑似是資安人員不滿美國政府毫無反制作為，逕自挾怨報復</strong></span></a></span></p> <p>北韓於今年一月傳出網路遭到DDoS攻擊而癱瘓的情況，且遇害的時間點與該國頻繁試射飛彈重疊，但攻擊者的身分為何？根據新聞網站Wired的報導指出，使用P4x為ID名稱的美國資安研究人員向他們宣稱，這是他個人對北韓APT駭客的報復行動，原因是他在2021年初<a href="https://www.ithome.com.tw/news/142472">遭到這些駭客的網釣攻擊</a>，在美國政府沒有任何作為的情況下，他決定自行出手。這名研究人員疑似找到該國所使用的Nginx伺服器、Apache軟體，以及該國開發的Red Star OS作業系統漏洞，並使用自動化攻擊程式出手。但這起攻擊事件資安圈看法兩極，資安業者Immunity認為，此舉恐影響其他對北韓秘密進行的情蒐工作。</p> <p><span style="font-size: 22px;"><a href="https://asia.nikkei.com/Spotlight/N-Korea-at-crossroads/North-Korea-targeted-IAEA-in-cyberattacks-draft-U.N.-report"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客Kimsuky疑似鎖定國際原子能源總署下手</strong></span></a></span></p> <p>北韓駭客近日動作頻頻，疑似意圖藉此竊取軍事機密與資金。日經新聞宣稱取得聯合國的調查報告草稿，指出北韓駭客Kimsuky近期針對國際原子能源總署（IAEA）、南韓主要的國防承包商韓國航空宇宙產業株式會社，以及南韓核能研究所發動網路攻擊，並提及這些駭客從2020年至2021年，在北美、歐洲、亞洲至少3個加密貨幣交易所裡，竊得逾5千萬美元的加密貨幣，這些資金疑似被用於發展核武。這份報告預計於聯合國安全理事會修訂後於3月正式公開，很有可能成為日後對於北韓裁罰的依據。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-russian-fsb-hackers-hitting-ukraine-since-october/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客組織Gamaredon鎖定烏克蘭下手，資安業者提出更多發現</span></a></strong></span></p> <p>烏克蘭政府於1月中旬遭到大規模的網路攻擊，該國指控下手的駭客組織是Gamaredon（亦稱Armageddon、Shuckworm、Actinium），且與俄羅斯軍情機構聯邦安全局（FSB）有關。如今有多家資安業者揭露相關調查，例如，微軟表示，該組織早於2021年10月開始，就針對烏克蘭組織發動網路釣魚郵件攻擊，包括政府、軍隊、非營利組織（NGO）等；Palo Alto Networks指出，他們看到駭客企圖於1月19日發動網釣攻擊，但是管道是透過烏克蘭政府提供的就業服務系統進行；賽門鐵克則是在2021年7月，就看到該組織使用網釣攻擊散布含有惡意巨集的Word檔案。</p> <p><span style="font-size: 22px;"><a href="https://www.zdnet.com/article/blackcat-ransomware-implicated-in-attack-on-german-oil-companies/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Black Cat對德國大型石油運輸業者下手</strong></span></a></span></p> <p>德國大型石油運輸業者Oiltanking、Mabanaft相繼於1月底傳出遭到網路攻擊，導致其裝卸油品的系統癱瘓，石油供應商殼牌（Shell）於2月1日表示，他們因此被迫變更輸送石油的路線。而這起攻擊事故如今有了進一步的揭露──根據德國商報（Handelsblatt）取得聯邦資訊安全辦公室（BSI）的內部報告指出，勒索軟體Black Cat（亦稱Alphv）是本次攻擊事故的幕後黑手，當地至少有233個加油站受到波及。</p> <p>這起攻擊事故的行徑，也讓不少人想起美國大型燃油管道業者Colonial Pipeline於2021年5月，遭到DarkSide攻擊的事故，進而追查Black Cat背後的駭客組織身分。<a href="https://www.bleepingcomputer.com/news/security/blackcat-alphv-ransomware-linked-to-blackmatter-darkside-gangs/">根據資安新聞網站Bleeping Computer的報導指出</a>，駭客組織Black Cat應該是DarkSide、BlackMatter改名繼續運作，原因是原本的組織名稱已被執法單位盯上，對於用戶而言也信譽掃地。資安業者Emsisoft表示，根據勒索軟體的功能和相關組態檔案，使用Black Cat、DarkSide、BlackMatter的駭客組織相同。而該新聞網站也取得經營勒索軟體LockBit的駭客說法，認定Black Cat的前身就是DarkSide、BlackMatter。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.akamai.com/blog/security/fritzfrog-p2p"><span style="color: rgb(0, 0, 0);">殭屍網路FritzFrog鎖定醫療、教育、政府單位，受害伺服器一個月內爆增10倍</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/fritzfrog-blog-akamai-v2-01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fritzfrog-blog-akamai-v2-01.png" style="width: 300px; float: right;" /></a>自2020年8月被發現的殭屍網路FritzFrog，近期遭到感染的電腦大幅增加，而引起研究人員的注意。資安業者Akamai指出，他們最近在1個月內，發現遭到FriztFrog感染的受電電腦數量增長10倍，當中包含了許多醫療單位、教育機構、政府部門的伺服器，目前已有1,500臺伺服器受害，37％位於中國，這些受害伺服器多半被用於挖掘門羅幣。</p> <p>研究人員認為，FritzFrog具備其他殭屍網路所沒有的特點，像是使用專屬的P2P通訊協定串連，利用廣泛的字典進行暴力破解攻擊，且在每個節點控制的受害伺服器保持相等數量，使該殭屍網路運作效率提升，值得留意其後續發展。</p> <p><span style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/china-apt-antlion-taiwan-financial-attacks"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織鎖定臺灣金融與製造業，埋伏在受害組織近250天</strong></span></a></span></p> <p>駭客組織透過受害電腦現成的工具作案，而可能躲過相關偵測，長期埋伏並進行監控。例如，賽門鐵克揭露中國APT駭客組織Antlion的攻擊行動，此起攻擊持續至少18個月，已有2家臺灣金融組織、1家製造業者受害。駭客使用寄生攻擊（LoL）手法，大量使用受害電腦上的軟體，並植入xPack後門程式。研究人員提到，該組織在其中1家金融組織花費近250天的時間，並在上述的製造業者埋伏約175天，至於駭客的目的，疑似是為了幫助中國政府收集情資。</p> <p><span style="font-size: 22px;"><a href="https://securelist.com/roaming-mantis-reaches-europe/105596/"><span style="color: rgb(0, 0, 0);"><strong>網釣簡訊攻擊Roaming Mantis同時鎖定iPhone和Android用戶，範圍從亞洲擴及歐洲國家</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Roaming_Mantis_part_VI_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Roaming_Mantis_part_VI_01.png" style="width: 300px; float: right;" /></a>最近2年網釣簡訊攻擊（Smishing）相當氾濫，攻擊者不只藉此對Android手機植入木馬程式，也會將iPhone用戶引導到釣魚網站發動攻擊。卡巴斯基最近揭露Roaming Mantis網釣簡訊攻擊的擴散情形，這起事故自2018年出現，駭客主要針對日本、臺灣、韓國等亞洲國家下手，但自2021年開始，這些攻擊者也大肆攻擊法國、德國等國家的手機用戶。一旦用戶點選網釣簡訊的連結，Android用戶會被引導下載XLoader木馬程式（亦稱Wroba.g、Moqhao），而iPhone用戶則會連線假冒蘋果網站的釣魚網站。</p> <p><span style="font-size: 22px;"><a href="https://www.threatfabric.com/blogs/partners-in-crime-medusa-cabassous.html"><span style="color: rgb(0, 0, 0);"><strong>安卓木馬Flubot、Medusa大肆透過網釣簡訊，攻擊銀行用戶</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/semi_ats.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/semi_ats.png" style="width: 300px; float: right;" /></a>駭客以網釣簡訊（Smishing）攻擊散布安卓木馬Flubot的情況，已有數起事故，也引起其他攻擊者效仿。資安業者ThreatFabric指出，他們發現散布木馬程式Medusa的駭客，也使用網釣簡訊的方式發動攻擊，而且，這些人偽裝木馬程式的手法，幾乎與Flubot雷同。研究人員指出，Medusa具備側錄用戶輸入的內容、事件記錄的存取能力，但值得留意的是，該木馬程式還擁有半自動傳輸系統（Semi-ATS）的功能，可讓攻擊者替代受害者執行各式操作，例如，竄改受害者想要轉帳的銀行帳號，而把對方的戶頭洗劫一空。</p> <p><span style="font-size: 22px;"><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/disabling-the-msix-ms-appinstaller-protocol-handler/ba-p/3119479"><span style="color: rgb(0, 0, 0);"><strong>要求受害者安裝Windows 10市集App來散布惡意程式的情況時有所聞，</strong>線上<strong>安裝市集App的通訊協定遭禁用</strong></span></a></span></p> <p>從網站上安裝Windows 10、11市集App（MSIX安裝檔案）的機制，遭到攻擊者濫用的情況，2021年已有數起攻擊事故發生，例如，於11月復活的Emotet，<a href="https://www.bleepingcomputer.com/news/security/emotet-now-spreads-via-fake-adobe-windows-app-installer-packages/">就曾以要求受害者安裝Adobe PDF瀏覽器元件的名義</a>，來散布惡意軟體。微軟曾於12月發布修補程式並提出緩解措施，並將其登錄為CVE-2021-43890列管，但現在該公司打算更進一步封鎖這種安裝市集App的管道──他們宣布在Windows電腦上停用ms-appinstaller通訊協定，以防堵相關攻擊行動，並預計導入新的群組政策，讓IT人員能限縮在內部網路環境啟用這種通訊協定。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-starts-killing-off-wmic-in-windows-will-thwart-attacks/"><span style="color: rgb(0, 0, 0);"><strong>疑似為防堵駭客濫用，微軟將從Windows 10移除WMI命令列工具</strong></span></a></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FLJOU1cXIAYbnXB.jpg" style="width: 260px; float: right;" />為了防範作業系統內建功能遭到駭客濫用的情況，微軟不久前封鎖自網頁瀏覽器安裝Windows 10市集App的管道，如今打算再度針對WMI的命令列工具（WMIC）下手，宣布終止開發相關功能。根據資安新聞網站Bleeping Computer的報導，微軟最近針對Windows 10，公布新的一批不再開發，或是即將捨棄的功能，當中最值得留意的是許多程式開發者使用的WMIC即將遭到移除，微軟亦宣布將由PowerShell的相關功能取代WMIC。</p> <p>該新聞網站認為，微軟打算移除WMIC的原因，疑似與許多駭客在攻擊行動裡，將其用於寄生攻擊（LoLBins）有關。資安研究員Grzegorz Tworek發現，微軟已經從測試版本Windows 11移除WMIC，日後應該會逐步移除正式版本Windows 10、11上的相關元件。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-plans-to-kill-malware-delivery-via-office-macros/"><span style="color: rgb(0, 0, 0);"><strong>微軟打算針對5款Office應用程式加強巨集的管控，計畫對於自網路下載的文件全面封鎖巨集功能</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Office_macros_security_alert.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Office_macros_security_alert.png" style="width: 301px; float: right;" /></a>攻擊者透過Office文件VBA巨集傳送惡意程式的情況，不時有事故發生，即使預設停用，駭客仍千方百計誘使受害者按下啟用的按鈕。針對這樣的情況，微軟在2月7日宣布，他們將於4月開始，針對Windows版的5款Office軟體，包括Access、Excel、PowerPoint、Visio、Word，會對於從網路下載的文件檔案，直接停用巨集的功能。這樣的配置調整微軟將從Office 365預覽版本開始推送，並擴及到Office 2013至2021，以及Office LTSC。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.vadesecure.com/en/blog/how-hackers-are-using-a-20-year-old-text-trick-to-phish-microsoft-365-users"><span style="color: rgb(0, 0, 0);">駭客透過Unicode特殊字元誤導附件內容，對Microsoft 365用戶進行網釣攻擊</span></a></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hackers%202.png" style="width: 300px; float: right;" />標記由文字右至左排列（Right-to-Left Override，RLO）的Unicode特殊字元，被駭客用於攻擊行動已超過20年，但利用這種字元的手法，最近再度出現。</p> <p>資安業者Vade揭露騙取Microsoft 365用戶帳密的網釣攻擊，駭客以語音訊息的名義寄送釣魚郵件，一旦收信人開啟附件，就會出現偽造的Microsoft 365登錄網頁，若是輸入帳密就有可能被側錄。</p> <p>從副檔名的部分來看，這種郵件挾帶的附件為MP3、WAV等聲音檔案，但實際上卻是檔名經過特殊處理的HTML檔案。例如，原本的附件檔案名稱為mp3.htm，在攻擊者加上前述的特殊Unicode字元後，收信人會看到mth.mp3。</p> <p>研究人員提醒，用戶若是收到聲音檔案的附件，開啟後卻是出現網頁，很有可能是此種類型的釣魚郵件攻擊。</p> <p><span style="font-size: 22px;"><strong><a href="https://intel471.com/blog/privateloader-malware"><span style="color: rgb(0, 0, 0);">以受害電腦數量收費的惡意軟體散布服務，透過PrivateLoader發動攻擊</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Malwarebytes-cracked-version-download-option_af599ee76a60a3ffac0b778428c6ae2f.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Malwarebytes-cracked-version-download-option_af599ee76a60a3ffac0b778428c6ae2f.png" style="width: 300px; float: right;" /></a></p> <p>攻擊者透過惡意程式載入器投放作案工具，過往多是駭客組織在作案過程中的其中一環，但如今駭客也出現分工的做法，惡意軟體經營者提供惡意酬載、攻擊目標的資訊，委由惡意軟體散布服務出面下手，再以感染電腦臺數的情況付錢，提供這類服務的業者被稱為Pay-per-install（PPI），而這些PPI業者便使用上述的惡意軟體載入器，來受理各式惡意軟體投放的委託服務。</p> <p>例如，威脅情報業者Intel 471近期針對名為PrivateLoader的惡意軟體下載器進行分析，該軟體至少自2021年5月出現於攻擊行動，PPI業者用來在受害電腦植入Smokeloader、Redline、Vidar等惡意軟體，以便為客戶進行偵察或是竊密，其中，藉此散布次數最多的是Smokeloader。研究人員指出，這些業者透過盜版軟體為誘餌，吸引受害人下載PrivateLoader，進而在對方的電腦上部署各式惡意軟體。</p> <p>在這種攻擊行動裡，PPI業者亦透過PrivateLoader，來收集受委託的惡意軟體散布情形，包含成功下載與觸發的數量等資訊。研究人員指出，他們自2021年11月，看到駭客意圖透過此項PPI服務來散布更多木馬程式，希望藉由公布PrivateLoader的攻擊行動細節，讓組織能夠防範相關的攻擊手法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/02/08/critical-vulnerabilities-affecting-sap-applications-employing"><span style="color: rgb(0, 0, 0);">SAP產品的核心元件驚傳重大漏洞，美國呼籲用戶儘速修補</span></a></strong></span></p> <p>存在於SAP產品的主要元件出現嚴重漏洞，可能影響許多企業。資安業者Onapsis發現一組名為Internet Communication Manager Advanced Desync（ICMAD）的漏洞，這些漏洞存在於SAP NetWeaver應用程式伺服器的ICM元件，一旦ICMAD漏洞遭到利用，攻擊者能竊取帳密、導致阻斷應用程式服務，或是執行任意程式碼，最終可能會破壞尚未修補的SAP應用程式。</p> <p>其中最為嚴重的漏洞為CVE-2022-22536，CVSS風險層級達到滿分10分，研究人員強調，攻擊者利用此漏洞不需身分驗證，亦無須其他條件配合，就能透過HTTP或HTTPS通訊協定，傳送惡意酬載。</p> <p>由於ICM的主要功能是將SAP應用程式連接至網路，是SAP NetWeaver應用程式伺服器重要的元件，且存在於大多數SAP產品，因此大部分的SAP客戶都可能會受到影響。SAP與研究人員合作，並於2月8日發布相關修補程式，並指出相關漏洞亦影響WebDispatcher、Content Server、ABAP等產品。</p> <p>對此，<a href="https://www.ithome.com.tw/news/149291">美國網路安全和基礎設施安全局（CISA）也提出警告</a>，SAP用戶若是沒有修補上述漏洞，很可能會面臨關鍵業務中斷，或是被迫停止營運的風險。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.binarly.io/posts/An_In_Depth_Look_at_the_23_High_Impact_Vulnerabilities/index.html"><span style="color: rgb(0, 0, 0);">臺廠系微UEFI韌體程式爆23個漏洞，恐影響Dell、HPE、富士通等廠牌的電腦</span></a></strong></span></p> <p>又是臺灣業者提供的公版軟體出現嚴重漏洞，而可能影響眾多廠牌電腦的情況。資安業者Binarly於2月1日指出，他們在富士通Lifebook筆電的UEFI韌體中察覺異常，經調查後發現，與該公司採用臺灣業者系微（Insyde）所提供的InsydeH2O電腦韌體框架有關，相關漏洞共有23個，CVSS風險層級介於7.5至8.2分，恐影響戴爾、惠普、HPE等9家廠牌的工作站與伺服器，攻擊者一旦利用上述漏洞，不只能繞過防毒軟體和EDR代理程式的監控，UEFI的韌體完整性監控機制也無法察覺漏洞攻擊行為，攻擊者甚至可藉此將惡意酬載傳送到作業系統，並以核心模式執行。對此，<a href="https://www.insyde.com/zh-hant/press_news/press-releases/%E7%B3%BB%E5%BE%AE%E6%84%9F%E8%AC%9Dbinarly%E9%81%8B%E7%94%A8%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7%E9%9F%8C%E9%AB%94%E5%A8%81%E8%84%85%E5%81%B5%E6%B8%AC%E6%8A%80%E8%A1%93%E7%99%BC%E7%8F%BE%E5%AE%89%E5%85%A8%E9%A2%A8%E9%9A%AA">系微也在2月7日發布新聞稿</a>，表明已修補前述漏洞。</p> <p><span style="font-size: 22px;"><a href="https://www.samba.org/samba/security/CVE-2021-44142.html"><span style="color: rgb(0, 0, 0);"><strong>開源網路檔案共享軟體Samba驚傳重大漏洞，恐被攻擊者取得root權限執行任意程式</strong></span></a></span></p> <p>提供Linux、macOS用戶存取Windows網路共享資料夾的Samba軟體，近期也出現可被用於RCE攻擊的重大漏洞。Samba最近修補重大漏洞CVE-2021-44142，這項漏洞與模組虛擬檔案系統（VFS）有關，該模組的功能提升與蘋果電腦SMB用戶端的相容性，一旦該漏洞遭到利用，將會導致記憶體越界堆積讀寫（out-of-bounds heap read/write）的情況，而讓攻擊者可取得root權限執行任意程式碼，CVSS風險層級為9.9分。該漏洞影響Samba 4.13.17以前的版本，Red Hat、SUSE、Ubuntu等Linux作業系統廠商，以及NAS廠商群暉科技，亦發布相關資安通告。</p> <p><span style="font-size: 22px;"><a href="https://apiiro.com/blog/malicious-kubernetes-helm-charts-can-be-used-to-steal-sensitive-information-from-argo-cd-deployments/"><span style="color: rgb(0, 0, 0);"><strong>持續交付平臺Argo CD驚傳漏洞，攻擊者藉此存取K8s密碼或是API金鑰</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-image.png" style="width: 300px; float: right;" /></a>持續交付平臺（CD）一旦出現漏洞，很可能會洩露相關的機密資訊。例如，支援Kubernetes的GitOps持續交付工具Argo CD，於2月5日修補零時差漏洞CVE-2022-24348，這項漏洞由資安業者Apiiro發現，研究人員指出，攻擊者一旦利用這項漏洞，就可透過Helm Chart套件打造有問題的Kubernetes配置，來存取機密資訊，如API金鑰、密碼等，進而橫向移動或是擴張權限。Argo CD發布2.3.0、2.2.4、2.1.9版修補此漏洞。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.wordfence.com/blog/2022/02/critical-vulnerabilities-in-php-everywhere-allow-remote-code-execution/"><span style="color: rgb(0, 0, 0);">WordPress的PHP外掛程式驚傳RCE漏洞</span></a></strong></span></p> <p>又是網站內容管理平臺WordPress的外掛程式出現漏洞，而可能影響數萬個網站的情況。資安業者Wordfence揭露外掛程式PHP Everywhere的3個重大漏洞：CVE-2022-24663、CVE-2022-24664、CVE-2022-24665，這些漏洞的CVSS風險層級都達到了9.9分，一旦攻擊者取得撰文者或是訂閱者的權限，就有可能利用上述漏洞來執行惡意PHP程式碼，甚至接管整個網站，影響2.0.3版以前的PHP Everywhere。此外掛程式的主要功能，是讓網站管理者能夠在網頁、貼文等區塊中，使用PHP程式碼，全球約有3萬個WordPress網站採用。開發者獲報後於1月10日發布3.0.0版修補上述漏洞，研究人員呼籲用戶應儘速安裝更新。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.volexity.com/blog/2022/02/03/operation-emailthief-active-exploitation-of-zero-day-xss-vulnerability-in-zimbra/"><span style="color: rgb(0, 0, 0);">郵件伺服器Zimbra驚傳零時差XSS漏洞，且已出現攻擊行動</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/volexity-zimbra-blog-flowchart.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/volexity-zimbra-blog-flowchart.png" style="width: 300px; float: right;" /></a>開源郵件伺服器軟體Zimbra也疑似成為中國駭客下手的目標。資安業者Volexity於2月3日，揭露一起於2021年12月出現的攻擊行動Operation EmailThief，駭客鎖定Zimbra的跨網站程式碼（XSS）零時差漏洞，對歐洲政府和媒體下手，攻擊者疑似是新的中國駭客組織TEMP_Heretic。駭客企圖藉由上述的XSS漏洞，在Zimbra連線過程執行JavaScript程式碼，來竊取受害者的郵件資料。這項漏洞影響8.8.15 P30版Zimbra，9.0.0版不受影響。在研究人員公布細節後，Zimbra計畫於2月5日提供修補程式。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/apple-patches-new-zero-day-exploited-to-hack-iphones-ipads-macs/"><span style="color: rgb(0, 0, 0);">蘋果修補WebKit零時差漏洞，波及iOS裝置與Mac電腦</span></a></strong></span></p> <p>蘋果於2月10日，修補Safari瀏覽器的零時差漏洞CVE-2022-22620，此漏洞存在於網頁排版引擎WebKit，與記憶體使用後釋放（Use After Free）有關，一旦遭到利用，攻擊者可執行任意程式碼。這項漏洞影響iPhone 6s、第5代iPad之後的iOS裝置，以及執行macOS Monterey的電腦，且疑似已有相關攻擊行動。蘋果發布iOS 15.3.1、iPadOS 15.3.1、macOS Monterey 12.2.1予以修補。而這已是蘋果產品在2022年出現的第3個零時差漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://openssf.org/press-release/2022/02/01/openssf-announces-the-alpha-omega-project-to-improve-software-supply-chain-security-for-10000-oss-projects/"><span style="color: rgb(0, 0, 0);">Log4Shell漏洞引爆開源軟體安全議題，OpenSSF基金會推動積極修補漏洞的計畫</span></a></strong></span></p> <p>日前美國政府召集大型IT業者商討開源軟體安全議題，但具體而言要如何強化這類軟體的安全？開源軟體安全基金會（OpenSSF）於2月1日宣布成立Alpha-Omega專案，將協助尋找並修補1萬項開源軟體的漏洞。而這項專案，就是上述會議討論的結果，OpenSSF將與軟體專案負責單位合作，運用自動檢測工具來促進開源軟體供應鏈的安全。其中，在專案的第一階段，微軟和Google會投入500萬美元。</p> <p><span style="font-size: 22px;"><strong><a href="https://tech.target.com/blog/meet-merry-maker"><span style="color: rgb(0, 0, 0);">針對網頁側錄攻擊，美國零售業者Target公開自行開發的檢測工具</span></a></strong></span></p> <p>網頁交易資料側錄（Web Skimming）攻擊的事故頻傳，有大型零售業者為求自保，自行開發相關的檢測工具，來檢查電商網站是否存在側錄程式碼，如今他們決定公開造福其他業者。美國大型零售業者Target於2月1日，以開放原始碼的方式，於GitHub提供名為Merry Maker的側錄攻擊檢測工具，該工具會模擬存取電商網站的用戶，瀏覽網頁、執行交易和購買，同時蒐集網路呼叫、JavaScript程式碼等各式資訊，以分析網站是否出現相關的可疑活動。</p> <p><span style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-040a"><span style="color: rgb(0, 0, 0);"><strong>美、英、澳解析2021年勒索軟體針對關鍵基礎設施的攻擊態勢</strong></span></a></span></p> <p>勒索軟體鎖定關鍵基礎設施（CI）下手的情況，最近幾個月不時有事故傳出。美國聯邦調查局（FBI）、美國網路安全暨基礎設施安全局（CISA）、英國國家安全局（NSA）、英國國家網路安全中心（NCSC）、澳洲網路安全中心（ACSC）於2月9日聯合提出警告，根據2021年的勒索軟體攻擊態勢，他們認為鎖定全球關鍵基礎設施的勒索軟體攻擊，手法將會變得更加複雜，影響程度也會更加嚴重，他們也提供相關業者加強防範的建議措施。</p> <p>在這份勒索軟體攻擊的分析中，特別提及駭客對於攻擊目標規模轉移的現象，原因是自油品運輸業者Colonial Pipeline、大型肉品業者JBS、IT管理解決方案業者Kaseya遭到勒索軟體後，美國政府盯上這些發動攻擊的駭客組織進行圍剿，而使得有些駭客為了避免被美國政府追殺，改以針對中型組織下手。這樣的情況與近年來駭客為了將攻擊的利益最大化，偏好針對大型組織的策略有所不同。不過，針對英國、澳洲組織的駭客，則是廣泛攻擊不同大小規模的組織。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.bloomberg.com/news/articles/2022-02-08/microsoft-is-said-to-pursue-deal-for-cybersecurity-firm-mandiant"><span style="color: rgb(0, 0, 0);">微軟傳出有意買下資安業者Mandiant</span></a></strong></span></p> <p>彭博社於2月8日引述消息人士的說法指出，微軟考慮買下網路安全業者Mandiant，可能是受到這項傳聞的影響，當日Mandiant股價上漲17.86%，以17.75美元作收，微軟收盤亦漲1.2%，以304.56美元作收。該報導指出，微軟若是成功併購Mandiant，將有助於擴大該公司的資安防護產品版圖。微軟與Mandiant皆拒絕對於此事回應。</p> </div></div></div>
2022/2/11 16:32作者周峻佑https://www.ithome.com.tw/news/149323
Google釋出Android 13首個開發者預覽版，針對大螢幕最佳化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在本周四（2/10）釋出了<a href="https://android-developers.googleblog.com/2022/02/first-preview-android-13.html" target="_blank">Android 13的首個開發者預覽版</a>，新版除了持續改善安全及隱私、強化開發者工具之外，亦針對大螢幕進行了最佳化。它將在今年4月邁入測試版（Beta），6月釋出達到平臺穩定度的Beta 3，在推出正式版之前於7月釋出最後一個測試版。</p> <p>顧名思義，開發者預覽版即是供開發者測試最新Android作業系統的版本，並不鼓勵一般用戶下載，第一次必須由開發者手動下載，之後即會自動更新至其它的預覽版與測試版。</p> <p>在Android 13中，Google持續強化該平臺的隱私與安全性，例如將文件選擇功能（Document Picker）擴大到照片。此一功能是讓使用者能與程式分享特定文件，而不必賦予程式存取所有文件的權限，Android 13支援了Photo Picker，亦即使用者無需提供程式存取所有照片的權限，就能與程式分享特定照片。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEhDnB4kN5X9g6wZ7pl6xAvzDNbHgEdQsMeCSS2bjcYr05DE-8pGzcMlX0aqaQnOCSnhi3gCXrhpaxhGdsaRcGX_y6QsSBBFcnbhl_smp0ogy-IQCGJs0mPQrMRmLAOwUBcn0QmudLXqHCboLZgM9OmZgJaiKB6nyRg3Mgo5nGti8frzf5vRxV92Cl1z" style="width: 285px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>另一個隱私功能則是Nearby device permission for Wi-Fi ，它讓程式可以在不必取得位置權限下，找到並連結附近的Wi-Fi裝置。</p> <p>生產力的改善則有新的Quick Settings Placement API，採用該API的程式將讓使用者直接於程式中變更系統設定，不必再被迫連結至系統的快速設定功能。此外，Google於Android 12發表的Material You 可讓使用者自訂桌布或圖示的色系，當初只支援由Google所開發的程式，在13中則允許第三方程式加入，讓使用者建立更一致的Android介面。</p> <p>Android 13還有新的Platform API，採用該API的程式將讓使用者更容易變更程式所使用的語言；並提供更快的斷字能力，Google宣稱它的效能比前一代改善了200%。</p> <p>Android 13亦針對更大螢幕的裝置進行了最佳化，特別是平板電腦、折疊裝置與Chromebook，擴大了行動程式可支援的螢幕範圍。</p> <p>測試Android 13最簡單的方式就是於平板或摺疊裝置上安裝Android模擬器，開發者也能直接利用Pixel手機刷新系統映像檔，沒有Pixel手機的開發者可藉由Android Studio的Android模擬器使用64位元的系統映像檔，或是以通用系統映像檔 (GSI) 進行測試。</p> </div></div></div>
2022/2/11 11:16作者陳曉莉https://www.ithome.com.tw/news/149308
【資安日報】2022年2月9日，RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老把戲再度被駭客拿來利用！被用於標記文字由右向左排列（RLO）的Unicode特殊字元，最近被用於網路釣魚攻擊，讓收信人誤以為附件的內容是語音留言訊息，但實際上卻是騙取微軟帳號的HTML檔案。</p> <p>手機人人都有，網釣簡訊（Smishing）的攻擊手法，最近半年不斷出現相關的事故，且似乎有越來越嚴重的趨勢。在今天的資安新聞裡，有一則是駭客之間互相仿效，加入以這種簡訊來散播手機木馬程式的行列；另有一則是原先以亞洲國家為目標的駭客，自去年起將其攻擊範圍擴大至法國、德國等歐洲國家。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.vadesecure.com/en/blog/how-hackers-are-using-a-20-year-old-text-trick-to-phish-microsoft-365-users"><span style="color: rgb(0, 0, 0);">駭客透過Unicode特殊字元誤導附件內容，對Microsoft 365用戶進行網釣攻擊</span></a></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hackers%202.png" style="width: 300px; float: right;" />標記由文字右至左排列（Right-to-Left Override，RLO）的Unicode特殊字元，被駭客用於攻擊行動已超過20年，但利用這種字元的手法，最近再度出現。</p> <p>資安業者Vade揭露騙取Microsoft 365用戶帳密的網釣攻擊，駭客以語音訊息的名義寄送釣魚郵件，一旦收信人開啟附件，就會出現偽造的Microsoft 365登錄網頁，若是輸入帳密就有可能被側錄。</p> <p>從副檔名的部分來看，這種郵件挾帶的附件為MP3、WAV等聲音檔案，但實際上卻是檔名經過特殊處理的HTML檔案。例如，原本的附件檔案名稱為mp3.htm，在攻擊者加上前述的特殊Unicode字元後，收信人會看到mth.mp3。</p> <p>研究人員提醒，用戶若是收到聲音檔案的附件，開啟後卻是出現網頁，很有可能是此種類型的釣魚郵件攻擊。</p> <p><span style="font-size: 22px;"><a href="https://securelist.com/roaming-mantis-reaches-europe/105596/"><span style="color: rgb(0, 0, 0);"><strong>網釣簡訊攻擊Roaming Mantis同時鎖定iPhone和Android用戶，範圍從亞洲擴及歐洲國家</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Roaming_Mantis_part_VI_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Roaming_Mantis_part_VI_01.png" style="width: 300px; float: right;" /></a>最近2年網釣簡訊攻擊（Smishing）相當氾濫，攻擊者不只藉此對Android手機植入木馬程式，也會將iPhone用戶引導到釣魚網站發動攻擊。卡巴斯基最近揭露Roaming Mantis網釣簡訊攻擊的擴散情形，這起事故自2018年出現，駭客主要針對日本、臺灣、韓國等亞洲國家下手，但自2021年開始，這些攻擊者也大肆攻擊法國、德國等國家的手機用戶。一旦用戶點選網釣簡訊的連結，Android用戶會被引導下載XLoader木馬程式（亦稱Wroba.g、Moqhao），而iPhone用戶則會連線假冒蘋果網站的釣魚網站。</p> <p><span style="font-size: 22px;"><a href="https://www.threatfabric.com/blogs/partners-in-crime-medusa-cabassous.html"><span style="color: rgb(0, 0, 0);"><strong>安卓木馬Flubot、Medusa大肆透過網釣簡訊，攻擊銀行用戶</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/semi_ats.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/semi_ats.png" style="width: 300px; float: right;" /></a>駭客以網釣簡訊（Smishing）攻擊散布安卓木馬Flubot的情況，已有數起事故，也引起其他攻擊者效仿。資安業者ThreatFabric指出，他們發現散布木馬程式Medusa的駭客，也使用網釣簡訊的方式發動攻擊，而且，這些人偽裝木馬程式的手法，幾乎與Flubot雷同。研究人員指出，Medusa具備側錄用戶輸入的內容、事件記錄的存取能力，但值得留意的是，該木馬程式還擁有半自動傳輸系統（Semi-ATS）的功能，可讓攻擊者替代受害者執行各式操作，例如，竄改受害者想要轉帳的銀行帳號，而把對方的戶頭洗劫一空。</p> <p><span style="font-size: 22px;"><a href="https://thedfirreport.com/2022/02/07/qbot-likes-to-move-it-move-it/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Qbot在入侵後的30分鐘內，即竊取受害電腦的敏感資訊</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Qbot-Likes-to-Move-It-Move-It.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qbot-Likes-to-Move-It-Move-It.png" style="width: 200px; float: right;" /></a>駭客竊取受害電腦的機密資料，並於作案完成後清理現場，需要多久時間？很有可能不到半個小時。根據資安研究團隊DFIR Report對於近期的惡意軟體Qbot（又名 QakBot、Quakbot）攻擊行動進行解析後發現，該惡意軟體一旦感染受害電腦，隨即就自我提升權限，並在10分鐘內進行偵察，30分鐘內就竊取受害者的電子郵件和瀏覽器帳密，然後，在感染後50分鐘左右，進行橫向擴散，感染鄰近的電腦，並在竊密完成的受害電腦上，將作案工具清除，而使得受害電腦看起來沒有遭到入侵的跡象。</p> <p>由於駭客散布Qbot的管道，是透過釣魚郵件挾帶含有惡意巨集的Excel檔案進行，研究人員呼籲要加強郵件安全的管理。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.zerodayinitiative.com/blog/2022/2/8/the-february-2022-security-update-review"><span style="color: rgb(0, 0, 0);">微軟2月Patch Tuesday修補51個漏洞</span></a></strong></span></p> <p>微軟於2月8日發布例行修補（Patch Tuesday），本次共修補51個漏洞，其中包含1個零時差漏洞，但有別於前面幾個月的情況，本月的這些漏洞尚未傳出遭到利用的情形，且沒有重大風險層級的漏洞。針對上述情況，趨勢科技漏洞懸賞組織Zero Day Initiative（ZDI）認為，部分漏洞還是相當值得留意，例如，DNS伺服器漏洞CVE-2022-21984，雖然要用戶啟用了動態更新機制後才會曝露於相關風險，但這種配置相當常見，ZDI認為應視為重大漏洞。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-bugs-in-smb-routers-exploits-available/"><span style="color: rgb(0, 0, 0);">思科修補中小企業路由器產品的多項重大漏洞</span></a></strong></span></p> <p>思科於2月2日，針對旗下中小企業路由器產品RV系列，發布更新程式，當中修補15個漏洞，這些弱點可被攻擊者用來執行任意程式碼或命令、提升權限、繞過身分驗證程序等。其中，CVE-2022-20699、CVE-2022-20700、CVE-2022-20708等漏洞的CVSS風險層級皆達到了滿分10分。該公司強調沒有其他的緩解措施，呼籲用戶要儘速安裝修補軟體。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.volexity.com/blog/2022/02/03/operation-emailthief-active-exploitation-of-zero-day-xss-vulnerability-in-zimbra/"><span style="color: rgb(0, 0, 0);">郵件伺服器Zimbra驚傳零時差XSS漏洞，且已出現攻擊行動</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/volexity-zimbra-blog-flowchart.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/volexity-zimbra-blog-flowchart.png" style="width: 300px; float: right;" /></a>開源郵件伺服器軟體Zimbra也疑似成為中國駭客下手的目標。資安業者Volexity於2月3日，揭露一起於2021年12月出現的攻擊行動Operation EmailThief，駭客鎖定Zimbra的跨網站程式碼（XSS）零時差漏洞，對歐洲政府和媒體下手，攻擊者疑似是新的中國駭客組織TEMP_Heretic。駭客企圖藉由上述的XSS漏洞，在Zimbra連線過程執行JavaScript程式碼，來竊取受害者的郵件資料。這項漏洞影響8.8.15 P30版Zimbra，9.0.0版不受影響。在研究人員公布細節後，Zimbra計畫於2月5日提供修補程式。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/9 16:10作者周峻佑https://www.ithome.com.tw/news/149275
強制1.5億用戶啟用兩步驟驗證功能後，Google宣布帳號遭駭情形減少50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/reducing-account-hijacking/" target="_blank">Google指出</a>，自從強制用戶Google帳號啟用兩步驟驗證（2-step verification，2SV）或雙因素驗證（2FA）後，Google帳號被入侵的情形減少50%。</p> <p><a href="https://www.ithome.com.tw/news/144240" target="_blank">Google去年5月宣布</a>分階段強制用戶啟用2SV，以防範Google 帳號盜用，用戶可以App或硬體金鑰作為密碼外的第二道驗證方法。Google帳號安全計畫總監Guemmy Kim指出，迄今已成功為超過1.5億Google用戶自動啟動2SV，也要求200多萬YouTube內容創作者使用2SV。這使得用戶帳號被入侵的情形減少50%。</p> <p>為讓2SV/2FA方便使用，Google 2019年還把FIDO 2/WebAuthn技術內建Android 7，使Android 7以上的手機可直接啟動2SV驗證登入Google帳號，<a href="https://www.ithome.com.tw/news/131249" target="_blank">且在同年延伸到Apple裝置</a>，推出iOS版Google Smart Lock App。Google說，這讓幾乎所有行動裝置都能自動支援2SV/2FA。</p> <p>Google表示2022年將會持續部署，最終讓所有Google帳號用戶預設啟用2SV。同時Google也鼓勵用戶以內建於Chrome、Android或Google App的Google Password Manager來管理密碼。</p> </div></div></div>
2022/2/9 13:15作者林妍溱https://www.ithome.com.tw/news/149272
Flutter應用程式正式登陸Windows桌面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google所開發的跨平臺應用程式開發套件Flutter，推出了<a href="https://medium.com/flutter/whats-new-in-flutter-2-10-5aafb0314b12">最新版本2.10</a>，這個版本有許多新功能，但最重要的是開始正式支援Windows桌面。Flutter從原本的iOS和Android行動裝置出發，後來版圖擴及Linux和網頁，現在Flutter應用程式還可以在Windows上執行。</p> <p>前幾年Flutter開發團隊開始了這項野心勃勃的計畫，要讓Flutter不只可用於行動裝置，還要跨到其他的平臺上，目前已經有將近50萬個應用程式使用Flutter開發。Flutter核心跨平臺元件，包括了可移植且具有硬體加速功能的圖形引擎Skia、Flutter渲染系統、動畫、主題、文字輸出和國際化等數百個小工具。</p> <p>要將Flutter移植到桌面並非一件簡單的工作，開發團隊提到，桌面應用程式不只是更大螢幕的行動應用程式，需要能夠接受鍵盤和滑鼠等不同輸入裝置，還有可調整大小的視窗，以便於在寬螢幕上執行，而在無障礙功能、輸入法編輯器和視覺樣式等，都有不同的設計，桌面應用程式需要支援檔案系統選擇器、裝置硬體，甚至是Windows註冊表資料儲存等各種內容。</p> <p>因此要在Flutter支援Windows，需要特別針對Windows量身定做。而與Android和iOS支援相同的是，Flutter的Windows實作結合了Dart框架和C++引擎，Windows和Flutter間使用嵌入層來進行通訊，該嵌入層代管了Flutter引擎，並且負責翻譯和回應Windows訊息，Flutter會與Windows協調UI繪製，以及改變大小和DPI變更等事件處理，並且會和現有的Windows配合，來實現輸入法編輯器等國際化設定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_EokU2CUDhjr6nDpW.png" style="width: 580px;" /><br /><u>以Flutter建置的音樂應用程式Harmonoid</u></p> <p>開發者可以在Windows上，使用所有Flutter框架功能，並且透過Dart和C的互通層，與Win32、COM和Windows Runtime API通訊。Flutter團隊針對Windows特別設計了UI，開發者可以使用fluent_ui和flutter_acrylic等套件，以微軟Fluent設計系統來建構應用程式，並且使用msix工具，將應用程式打包成安裝應用程式，並且上傳到Windows的微軟商店。</p> <p>除了正式支援Windows平臺之外，Flutter 2.10也有不少效能改進，在iOS/Metal上對需要重新繪製的區域（Dirty Region）提供部分重繪功能，這個新功能在部分基準測試中，可將90百分位數和99百分位數光柵化（Rasterization）時間減少一個量級，並將這些基準測試中的GPU利用率，從90％降低到10％以下。之後重繪的功能，會擴及到更多的平臺上。</p> <p>開發團隊在Flutter 2.8時，開始採用自己內部的圖片記錄格式，而在Flutter 2.10中，開發團隊進一步對該格式進行最佳化，成果包括能夠有效率地處理不透明層，即便在最糟的情況，基準測試中的影格光柵化時間也下降到三分之一。</p> <p>另外，在配置檔案和發布模式下，Dart程式碼會預先編譯成為原生機器碼，官方提到，這段高效能和小巧的程式碼，是整個程式類型流（Type Flow）分析的關鍵，能夠進行更多的編譯器最佳化和樹搖（Tree-Shaking）最佳化。但類型流分析必須涵蓋整個應用程式，因此執行成本很高，而在最新的Flutter版本中，類型流分析速度更快，在基準測試中，Flutter應用程式整體建置時間下降約10％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_3bjgNV_6OjBYDj24.png" style="width: 580px;" /><br /><u>Flutter 2.10平均建置時間下降約10％</u></p> <p>Flutter 2.10也對各平臺特有功能進行微調，包括iOS、Android和網頁，同時更新Material 3，支援更多的圖標。VS Code Flutter擴充套件的更新，讓開發者在挑選顏色的時候，在編輯器中預覽顏色。官方也宣布移除Flutter開發者頻道，簡化開發者的選擇，並且移除對iOS 9.3.6支援。</p> </div></div></div>
2022/2/5 18:01作者李建興https://www.ithome.com.tw/news/149204
美國參議院司法委員會通過《Open App Markets Act》，將允許開發者使用自己的支付系統與程式側載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/02/03/us_senate_open_app_markets_act/" target="_blank">美國參議院的司法委員會（Senate Judiciary Committee）於本周四（2/3）以20票對兩票通過了《開放程式市場法案》（Open App Markets Act）</a>，將針對蘋果App Store與Google Play等程式市集的作法祭出規範，之後將送交參議院進行全體的表決。</p> <p>《開放程式市場法案》可望解除這些大型程式市集對競爭者、開發者或使用者的限制，例如它將要求蘋果及Google允許使用者自第三方下載行動程式，也許是其它的市集，或者是開發者自己的網站，不得強迫使用者只能自官方網站下載，也必須讓使用者將第三方程式設為預設值，或是移除Android或iOS上的內建程式。</p> <p>此外，該法案亦要求程式市集不得限制開發者所使用的程式內付款系統。</p> <p>Google與蘋果並不贊成《開放程式市場法案》，特別是蘋果。負責政府事務的蘋果總監Tim Powderly向司法委員會表示，允許使用者側載（至其它來源下載程式）將讓不法人士躲過蘋果對隱私及安全的保障，可能造成惡意程式、詐騙或資料外洩等意外增生。</p> <p><a href="https://www.ithome.com.tw/news/149018" target="_blank">上個月司法委員會也通過了</a>讓蘋果及Google同聲反對的反壟斷提案《美國創新及選擇網路法案》（American Innovation and Choice Online Act）。</p> </div></div></div>
2022/2/4 11:25作者陳曉莉https://www.ithome.com.tw/news/149194
微軟Defender for Endpoint漏洞管理功能開始支援Android、iOS裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/announcing-general-availability-of-vulnerability-management/ba-p/3071663" target="_blank">微軟本周宣布</a>，Microsoft Defender for Endpoint的威脅與漏洞管理功能也支援Android及iOS。</p> <p>透過今天的宣布，微軟Defender for Endpoint的端點安全管理支援企業所有主要平臺，包括工作站、伺服器及行動裝置等。</p> <p>Defender for Endpoint威脅及漏洞管理功能可持續監控和找出企業網路上有漏洞的裝置，評估相關風險，並提供優先排序分析、以及整合流程協助企業修補漏洞。</p> <p>現在IT管理員對公司網路中的Android裝置，已經可評估檢查Android OS以及這些裝置上應用程式的漏洞。至於員工個人裝置（BYOD）上的App，如果該裝置安裝了Google的Android Enterprise管理方案，具有公司使用者帳號，只有公司使用者帳號下的App為Defender的漏洞管理支援，其他BYOD模式的Android裝置則預設無法使用App漏洞管理。不過管理員在裝置管理員模式（device administrator）下，可以透過Endpoint Manager取得這臺裝置所有App清單。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/342330i1EAE56A487289B89/image-size/large?v=v2&px=999" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>對於iOS裝置，管理員現在也可以檢視iOS及iPadOS裝置的iOS漏洞。目前Defender for Endpoint還無法做到iOS裝置上應用程式的漏洞管理。但微軟表示之後會再加入這項功能。</p> </div></div></div>
2022/2/3 15:27作者林妍溱https://www.ithome.com.tw/news/149186
Google可能為WhatsApp設定Drive備份的上限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正逐漸縮減免費雲端服務的備份容量。媒體發現Google可能正在規畫不再讓WhatsApp無限制備份於Google Drive中。</p> <p><a href="https://wabetainfo.com/google-will-offer-a-limited-plan-for-whatsapp-backups/" target="_blank">WABetaInfo三個月前發現</a>，WhatsApp正在開發一項新功能，讓使用者可以管理備份於Google Drive的WhatsApp聊天訊息，像是排除某些訊息類型以節省Google Drive空間。目前WhatsApp備份並不佔用Google Drive儲存限額或帳號限制。媒體因而推斷，這可能預示著Google可能將對WhatsApp取消無上限備份空間，而設下儲存限額。</p> <p>原本Google只將Google Drive及Gmail包含在15GB的免費儲存限額，<a href="https://www.ithome.com.tw/news/144274" target="_blank">去年6月1日開始</a>將Google Photos加入計算，超過15GB用戶不是得刪除檔案，就是花錢購買名為Google One的儲存空間服務。Google One除了Google Drive，另外也提供電話備份以及Android VPN等服務。</p> <p>即便臆測成真，媒體也認為也不意外，畢竟用戶透過WhatsApp傳輸的影音、圖片等檔案也不少。而且去年Google 加速強推收費服務時，不少用戶就利用WhatsApp繞道將影音、圖片檔案備份到Drive。</p> <p>不過Google尚未對其收費政策是否變更做出回覆。</p> </div></div></div>
2022/2/3 12:42作者林妍溱https://www.ithome.com.tw/news/149182
Google One增添向iOS平臺用戶招手，VPN服務開始進駐蘋果裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>於2020年10月，Google旗下的Google One針對2TB的Android訂閱用戶，提供免費的VPN服務，本周該公司宣布，即日起符合資格的iOS用戶，也能使用VPN服務。</p> <p>Google在2018年5月將Google Drive更名為Google One，同年即於臺灣推出Google One，除了15 GB的免費儲存空間，也能以每月65元的價格訂閱100 GB的網路儲存空間使用，每月支付90元即可訂閱200 GB，以及每月330元訂閱2TB。</p> <p>該公司提供的雲端儲存功能可擴及世界各國使用，也同時支援Android與iOS平臺，不過，2020年10月，Google One開始針對2TB訂閱用戶額外提供免費VPN服務，當時僅限於Android平臺與特定國家的用戶能使用。</p> <p>現在該服務則擴大至iOS平臺，支援VPN的地區也增加至18個國家，而現階段主要服務範圍是歐美國家，臺灣並未入列，Google透露將會持續擴張VPN服務所支援的市場。此外，Google還宣布，2TB方案將可支援最多5個家族成員，讓親友也能共享儲存空間與VPN服務。</p> </div></div></div>
2022/2/2 20:51作者陳曉莉https://www.ithome.com.tw/news/149178
【資安週報】2022年1月24日至28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，有國內科技廠商資安事故的消息。其中，發生在21日台達電遭網路攻擊的事故，後續本週有國內媒體報導引起國內外關注，該媒體宣稱，攻擊者就是勒索軟體駭客組織Conti，甚至提供疑似是勒索軟體的檔案雜湊值。上述報導遭到台達電嚴正否認，但該公司網站無法運作，很難與該公司聲稱沒有受到影響畫上等號。</p> <p>另一起事故則是與電動機車龍頭Gogoro有關。與上述台達電事故相同的是，該公司也是宣稱營運沒有因網路攻擊受到重大影響，但隨後有車主爆料延遲交車，以及無法預約維修的情況。</p> <p>在國內的資安事故之外，國際上烏克蘭與俄羅斯、白俄羅斯的網路攻擊也引發各界的注目。</p> <p>而在漏洞的方面，我們可以看到駭客鎖定開源軟體的情況也更加明顯，這包含自去年12月開始利用Log4Shell漏洞的攻擊行動，特別是針對遠距工作平臺而來的情況，已經從駭客各自找尋攻擊目標，變成分工有專門的團隊收集資料的現象。再者，本週被揭露的漏洞多半也與Linux作業系統相關，甚至可能影響部署容器的環境。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.ctwant.com/article/165246"><span style="color: rgb(0, 0, 0);">台達電駁斥大量電腦與伺服器被Conti勒索加密的傳聞，但網站迄今仍無法運作</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/149021">國內電源供應設備大廠台達電在21日，於股市公開觀測站證實遭駭</a>，當時各界懷疑是遭勒索軟體攻擊，<a href="https://www.ithome.com.tw/news/149129">此事於1月27日傳出新的消息</a>──根據國內媒體周刊王（CTWANT）報導，有國外資安公司的分析報告透露，對台達電下手的是勒索軟體Conti，其內部網路的6萬5千臺電腦中，有1千5百臺伺服器與1萬2千臺電腦被加密。</p> <p>該報導中也提及，台達電委託趨勢科技與微軟資安團隊協助事件的調查。</p> <p>針對上述的報導內容，台達電在28日再度於證交所發布發布重大訊息駁斥，指出該報導並非實情，並強調該公司營運相關系統皆已恢復正常。但截至1月28日下午5時，該公司網站仍無法運作，顯示網站系統維護中的訊息。</p> <p><span style="font-size: 22px;"><a href="https://forum.gogoro.com/t/topic/17779?fbclid=IwAR3JW9dp3yxDZDGz_l4-7zxkkSdaRGUouZNImNgWyn-xqbAmJejP2jATeoo"><span style="color: rgb(0, 0, 0);"><strong>電動機車業者Gogoro遭網路攻擊，疑影響交車、無法預約進廠維修時間</strong></span></a></span></p> <p>隨著電動車越來越普遍，針對相關業者發動攻擊，可能導致多種服務受到波及。電動車Gogoro在1月22日晚間9點表示，他們在1月21日週五偵測到部分資訊系統遭受駭客網路攻擊，該公司資訊部門在偵測偵測到網路異常後，已啟動資安事件應變，與外部資安公司協同處理，並通報政府單位。根據他們的說明，目前，受影響的部分資訊系統正陸續回復，對日常營運並無重大影響，電池交換網路、銷售與維修通路、客戶服務系統皆持續運作。</p> <p>巧合的是，最近幾日陸續有民眾指控，已經即將交車的時程被迫延期，也有車主反應無法預約進廠維修的時間，使得這起事件引起外界關注，但這些情況是否與網路攻擊有關？顯然還有待釐清。</p> <p>該公司在公告指出，同時間亦有其他臺灣廠商遭遇類似的狀況，但這些廠商是否為採用Gogoro電池交換系統Powered by Gogoro Network（PBGN）的聯盟成員？該公司沒有進一步說明。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-deadbolt-ransomware-targets-qnap-devices-asks-50-btc-for-master-key/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體DeadBolt攻擊威聯通NAS，意圖向製造商兜售漏洞細節</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/master-key-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/master-key-note.jpg" style="width: 300px; float: right;" /></a>勒索軟體入侵NAS設備的情況，陸續傳出事故，但如今駭客得寸進尺，打算將攻擊事故做為向設備廠商兜售漏洞細節的管道。資安新聞網站Bleeping Computer指出，他們發現勒索軟體DeadBolt約自1月25日開始，攻擊威聯通（QNAP）的NAS設備，並向受害者索討0.03個比特幣，相當於1,100美元，至少有15臺NAS受害，駭客宣稱是透過未揭露的漏洞來下手。值得留意的是，在勒索訊息裡，還包含給威聯通的「重要訊息」，內容是他們打算向該公司以50個比特幣（約185萬美元）的價格，出售上述漏洞的細節，以及可解鎖所有受害設備資料的主鑰（Master Key）。</p> <p><span style="font-size:22px;"><strong><a href="https://www.cyberscoop.com/whisper-gate-notpetya-ukraine-russia/"><span style="color: rgb(0, 0, 0);">鎖定烏克蘭政府的惡意軟體WhisperGate，與勒索軟體NotPetya攻擊手法雷同</span></a></strong></span></p> <p>在1月上旬，假冒勒索軟體、攻擊烏克蘭政府機關的惡意軟體WhisperGate，研究人員揭露更多發現。思科指出，此惡意軟體藉由破壞主要開機磁區（MBR）的方式，讓受害者誤以為電腦資料遭到挾持，但實際上沒有加密電腦的檔案，這樣的攻擊手法，與2017年出現，也同樣主要鎖定烏克蘭的勒索軟體NotPetya類似。研究人員認為，使用WhisperGate的駭客很可能在數個月前就已經埋伏，背後的攻擊者疑似是APT駭客。思科呼籲烏克蘭的相關組織，可以參考美國網路安全暨基礎設施安全局（CISA）提供的建議，來防範有關攻擊行動。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/"><span style="color: rgb(0, 0, 0);">白俄羅斯鐵路公司遭到加密軟體攻擊，駭客要求釋放50名政治犯</span></a></strong></span></p> <p>駭客發動攻擊的目的，也有可能為了政治訴求。例如，名為白俄羅斯網路游擊隊（Belarus Cyber Partisans）的駭客組織，於1月24日宣稱，他們入侵了白俄羅斯國營鐵路公司（BR），對部分伺服器、資料庫、工作站電腦加密檔案，來中斷營運，目的是要求當局釋放50名需要醫療救助的政治犯，且希望俄羅斯軍隊撤離白俄羅斯。BR也發出公告指出，該公司線上的電子旅行文件核發作業暫時無法使用，旅客要直接向售票處進行申請。</p> <p><span style="font-size:22px;"><a href="https://thehackernews.com/2022/01/hackers-infect-macos-with-new-dazzlespy.html"><span style="color: rgb(0, 0, 0);"><strong>DazzleSpy後門程式發動水坑式攻擊，鎖定香港macOS用戶下手</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png" style="width: 300px; float: right;" /></a>Google在2021年8月，<a href="https://www.ithome.com.tw/news/147795">發現到駭客鎖定香港的媒體網站，以及社會運動網站展開水坑式攻擊</a>，並運用漏洞CVE-2021-30869於受害者的蘋果電腦、行動裝置上，植入木馬程式，這起攻擊事故的調查最近有了更多進展。資安業者ESET指出，這些駭客分別入侵當地的網路廣播電臺D100，並製作帶有惡意iframe的假社會運動聲援網站，來引誘香港的民主運動人士上當，其中，針對瀏覽廣播電臺網站的Mac電腦使用者，駭客使用名為DazzleSpy的後門程式，來控制受害電腦。研究人員指出，這起攻擊行動與2020年iOS惡意程式LightSpy手法相似，但無法斷定是由同一組駭客出手。</p> <p><span style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/north-koreas-lazarus-apt-leverages-windows-update-client-github-in-latest-campaign/"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客Lazarus以航太職缺發動網釣攻擊，並濫用Windows Update元件進駐受害電腦</strong></span></a></span></p> <p>為了藏匿行蹤，駭客將惡意軟體的處理程序，植入合法的元件裡運作，而且常常是選擇作業系統內建的軟體，進行寄生攻擊（LoL）。例如，資安業者Malwarebytes最近揭露一起疑似由北韓駭客組織Lazarus發動的攻擊行動，駭客自2021年12月下旬，以美國航太業者Lockheed Martin的名義，發出徵才的網釣郵件，一旦收信人點選附件的說明文件，就會觸發惡意巨集，然後將攻擊者的程式碼先後注入檔案總管，以及Windows Update元件（wuauclt.exe），以便持續在受害電腦上運作。與過往不同的是，有別於許多駭客藉由檔案共享服務來架設C2中繼站，本次Lazarus濫用的對象是程式碼代管平臺GitHub。</p> <p><span style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/observations-from-the-stellarparticle-campaign/"><span style="color: rgb(0, 0, 0);"><strong>俄國駭客APT29藉由竊取瀏覽器Cookie，繞過雙因素驗證接管Office 365帳號</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-10.png" style="width: 300px; float: right;" /></a>駭客破解雙因素驗證（2FA）有新招，而且埋藏了2年才被發現。資安業者揭露俄羅斯駭客組織APT29（亦稱CozyBear、The Dukes）自2019年中旬發起的StellarParticle攻擊行動，駭客藉由憑證跳躍（Credential Hopping）的手法，挾持受害者的Office 365帳號，而這些受害組織的共通點為皆啟用了雙因素驗證機制。</p> <p>究竟這些駭客如何突破相關身分驗證機制？研究人員指出是竊取使用者瀏覽器的Cookie，藉由重放攻擊，來繞過雙因素驗證的流程。此外，APT29也在這起攻擊行動裡運用名為TrailBlazer的惡意軟體，同時針對Windows和Linux電腦下手，目的疑似是為了長期在受害電腦埋伏。</p> <p><span style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/prime-ministers-office-compromised.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體利用MSHTML漏洞，攻擊西亞政府高官與國防產業人士</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png" style="width: 300px; float: right;" /></a>在2021年9月被揭露的MSHTML重大漏洞，近期再被用於針對性的攻擊行動。甫由McAfee Enterprise和FireEye合併成立的資安業者Trellix，於1月25日公布疑似由俄國APT28（亦稱Fancy Bear、Strontium）發起的網路間諜攻擊行動，駭客於2021年10月至11月，透過釣魚郵件，向監督國家安全政策的西亞政府高層，以及國防產業人士下手。該組織利用MSHTML重大漏洞CVE-2021-40444，在受害電腦的記憶體內執行惡意程式。</p> <p>研究人員強調，為了埋藏攻擊意圖，駭客將攻擊行動細分成6個階段進行，並使用名為Graphite的惡意軟體，且於OneDrive架設C2中繼站，並藉由Graph API通訊，使得攻擊流量難以識別。</p> <p><span style="font-size: 22px;"><a href="https://blog.morphisec.com/asyncrat-new-delivery-technique-new-threat-campaign"><span style="color: rgb(0, 0, 0);"><strong>駭客以ISO映像檔規避防毒軟體偵測，散布AsyncRAT木馬程式</strong></span></a></span></p> <p>過往為了迴避郵件防護系統的偵測，有些駭客會利用ISO、IMG、CDR等光碟映像檔的附件檔案，以此打包作案工具，使得上述防護措施可能因不具掃描光碟映像檔的功能，採取直接放行的策略而達到目的。但這樣的手法如今變得更加複雜──資安業者Morphisec揭露一起自2021年9月12日出現的攻擊事故，駭客以ISO檔案挾帶惡意批次檔或VBScript程式碼，但這個ISO檔實際上是埋藏在HTML檔案的附件裡面，等到收信人打開HTML檔案才「還原」，要求下載到電腦執行，進而從網路上下載AsyncRAT木馬程式。</p> <p>由於駭客以確認訂單的名義寄送釣魚郵件，當中夾帶上述HTML檔案為附件，恐使得收信人降低戒心，依照指示操作。此外，研究人員指出，上述ISO檔案實際上是透過附件的HTML檔案產生，企業的網路安全閘道與防火牆不會察覺異狀。</p> <p><span style="font-size:22px;"><a href="https://www.trendmicro.com/en_us/research/22/a/emotet-spam-abuses-unconventional-ip-address-formats-spread-malware.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Emotet透過十六進位、八進位的IP位址來散布</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png" style="width: 301px; float: right;" /></a>駭客為了規避資安系統的偵測，刻意使用一些手法來隱藏攻擊行動的IP位址。例如，趨勢科技在近期偵測到Emotet的垃圾郵件攻擊行動中，駭客在郵件裡的惡意Office文件裡，分別使用十六進位、八進位的方法，來存放遠端伺服器的IP位址，進而讓 Emotet下載第2階段的惡意程式。研究人員指出，駭客使用這種方式取代2021年11月至12月時，投放Cobalt Strike的Beacon，或是使用TrickBot的手法，現行的資安防護系統很可能無法察覺異狀。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.trendmicro.com/en_us/research/22/a/analysis-and-Impact-of-lockbit-ransomwares-first-linux-and-vmware-esxi-variant.html"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定VMware虛擬化平臺而來</span></a></strong></span></p> <p>隨著企業採用虛擬化平臺的情況越來越普遍，約自2021年上旬，許多勒索軟體駭客，如<a href="https://www.ithome.com.tw/news/146432">HelloKitty</a>、<a href="https://www.ithome.com.tw/news/147580">Hive</a>、<a href="https://www.bleepingcomputer.com/news/security/linux-version-of-avoslocker-ransomware-targets-vmware-esxi-servers/">AvosLocker</a>，開始製作Linux版本軟體，鎖定VMware ESXi的環境而來。惡名昭彰的<a href="https://www.ithome.com.tw/news/146421">勒索軟體LockBit</a>，最近幾個月也開始加入針對虛擬化環境下手的行列。趨勢科技於2021年10月，在地下論壇RAMP看到駭客張貼的廣告，宣布開始提供能於VMware ESXi執行的勒索軟體LockBit，同月，研究人員就在網路上發現使用該勒索軟體的攻擊行動。</p> <p>此勒索軟體混合AES與ECC兩種演算法加密檔案，且能夠將虛擬機器（VM）關機或是休眠，以利檔案加密不受中斷。此外，該勒索軟體還能徹底清除可用空間的資料。與Windows版勒索軟體相同的是，駭客在加密完檔案後，同樣於勒索訊息裡，徵求能入侵企業的帳密資料，並宣稱提供者有機會得到數百萬美元的酬庸。</p> <p><span style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/01/log4u-shell4me"><span style="color: rgb(0, 0, 0);"><strong>駭客大肆收集存在Log4Shell漏洞的VMware遠端工作平臺名單，用戶應加速修補的腳步</strong></span></a></span></p> <p>攻擊者鎖定遠端工作平臺VMware Horizon，並找尋存在Log4Shell漏洞的系統下手的情況，已有數起事故，如今有人疑似專門收集此種型態的攻擊目標名單，再轉售給其他駭客牟利。IT業者BlackBerry的威脅情報團隊指出，以提供攻擊者入侵受害組織管道的掮客（Initial Access Broker，IAB）組織Prophet Spider，近期針對存在上述弱點的VMware Horizon發動攻擊，鎖定其中存在漏洞的Tomcat元件下手，再藉由PowerShell或命令提示字元，植入挖礦軟體，或是植入Cobalt Strike的Beacon進行控制。研究人員認為，當IAB盯上存在某項漏洞的特定系統，代表有許多駭客組織也偏好朝向這類目標下手。</p> <p><span style="font-size: 22px;"><a href="https://blog.zimperium.com/dark-herring-android-scamware-exceeds-100m-installations/"><span style="color: rgb(0, 0, 0);"><strong>安卓騙錢App上億用戶受害，損失數億美元</strong></span></a></span></p> <p>騙錢軟體看似無害，而能上架應用程式市集難被察覺異狀。資安業者Zimperium揭露自2020年3月出現的攻擊行動Dark Herring，駭客鎖定超過70個國家的安卓用戶而來，並在Google Play市集陸續上架近470個應用程式，這些App直接透過電信業者向受害者收費（Direct Carrier Billing，DCB），平均每月為15美元，而使得用戶難以察覺有異，迄今已有1.05億臺設備遇害，研究人員推測，駭客至少騙得數億美元。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/android-malware-brata-wipes-your-device-after-stealing-data/"><span style="color: rgb(0, 0, 0);"><strong>安卓惡意軟體Brata鎖定網路銀行用戶，並在竊密後重置手機</strong></span></a></span></p> <p>使用手機網路銀行的用戶要注意了！針對安卓手機而來的竊密軟體，不只鎖定多個國家的銀行用戶，發展至今更出現了會清理作案現場的功能。資安業者Cleafy發現，安卓惡意軟體Brata近期針對英國、中國、拉丁美洲等地區而來，駭客為各家網路銀行的用戶製作多種版本的Brata，並加入數項新功能，其中最值得留意的，是能夠在攻擊行動失敗，或是偵測到在沙箱環境的情況，將感染的安卓裝置恢復原廠預設狀態，以清除相關跡證。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/chaes-banking-trojan-hijacks-chrome-with-malicious-extensions/"><span style="color: rgb(0, 0, 0);"><strong>駭客利用逾800個WordPress網站，向巴西民眾散布銀行木馬Chaes</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/java(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/java(1).jpg" style="width: 300px; height: 219px; float: right;" /></a>鎖定巴西銀行客戶下手的木馬程式，近期的攻擊行動有升溫的跡象。例如，在2020年底首度被發現的木馬程式Chaes，防毒軟體業者Avast近日提出警告，在2021年第4季有超過6.6萬名客戶的電腦，疑似遭到這個木馬程式企圖入侵。該公司調查後發現，Chaes經由逾800個WordPress網站傳播，目標是在巴西銀行用戶的Chrome瀏覽器上，以惡意外掛程式來竊取交易資料，研究人員指出，此起攻擊行動仍然持續，用戶應避免安裝來路不明的應用程式。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-increase-efforts-to-enlist-insiders-for-attacks/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體駭客意圖收買目標組織的內部員工，以利進行攻擊</strong></span></a></span></p> <p>駭客發動勒索軟體攻擊，除了向初始入侵管道掮客（IAB）購買存取受害組織內部網路的帳密，還可能會串通的內部員工，以利攻擊進行。根據身分驗證解決方案業者Hitachi ID在2022年1月，針對北美100家擁有超過5千名員工的大型企業進行調查，結果發現，在2021年12月7日至今年1月4日的期間內，有65%受訪者表示，駭客意圖收買他們或公司員工，要求建立初始存取的管道，這樣的比例，相較於2021年11月公布的48%高出許多。在北美員工面臨與公司共體時艱而大幅減薪，而引發大辭職（Grand Resignation、亦稱Big Quit）勞工運動的情勢下，很可能讓員工鋌而走險，選擇被駭客收買。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/linux-system-service-bug-gives-root-on-all-major-distros-exploit-released/"><span style="color: rgb(0, 0, 0);">Linux系統元件漏洞PwnKit可被用於取得root權限，恐波及所有發行版</span></a></strong></span></p> <p>Linux系統元件所存在的漏洞，很可能影響各種版本的作業系統。資安業者Qualys揭露名為PwnKit的漏洞（CVE-2021-4034），這項漏洞存在於控制系統層級的元件Polkit（舊稱PolicyKit）裡，一旦攻擊者利用該漏洞，就能以不具特權身分的使用者，在Linux主機上取得root權限，影響自2009年5月以來所有版本的Polkit。研究人員在預設組態部署的Ubuntu、Debian、Fedora、CentOS上，透過PwnKit於本機取得root權限，研判該漏洞存在於多數版本的Linux作業系統，紅帽已發布修補程式。資安新聞網站Bleeping Computer於上述漏洞細節公布後不久，就在網路上看到概念性驗證（PoC）攻擊工具。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/linux-kernel-bug-can-let-hackers-escape-kubernetes-containers/"><span style="color: rgb(0, 0, 0);">Linux核心存在漏洞，恐被用於逃脫K8s容器並攻擊主機</span></a></strong></span></p> <p>Linux核心的嚴重漏洞，有可能危及容器平臺Kubernetes（K8s）。搶旗賽（CTF）團隊Crusaders of Rust發現，記憶體緩衝區溢位漏洞CVE-2022-0185，存在於Linux核心5.1-rc1以上版本的檔案系統框架（File System Context）元件，一旦駭客利用這個漏洞，將有機會發動越界寫入、阻斷服務（DoS）、任意程式碼執行攻擊，而使得駭客能夠逃脫容器，進而存取K8s伺服器的資源。該漏洞已於Linux 5.16.2版修補，IT人員也可以針對沒有具備特殊權限的使用者，停用命名空間（Namespace）的相關功能，來緩解這項漏洞。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/cwp-bugs-allow-code-execution-as-root-on-linux-servers-patch-now/"><span style="color: rgb(0, 0, 0);">CentOS伺服器遠端管理介面軟體存在漏洞，攻擊者可用於RCE攻擊</span></a></strong></span></p> <p>許多企業用於架設伺服器的CentOS作業系統，針對其開發的遠端管理介面軟體出現漏洞，有不少企業會曝露在相關風險之中。資安業者Octagon Networks發現，Linux伺服器網頁管理介面軟體Control Web Panel（CWP，原名CentOS Web Panel），存在檔案包含漏洞CVE-2021-45467，以及檔案寫入漏洞CVE-2021-45466，該業者指出，攻擊者一旦串連這2個漏洞，可在未經身分驗證的情況下，以root權限遠端執行命令。研究人員指出，從物聯網搜尋引擎Shodan和Censys執行搜尋，至少有10萬個CWP可透過網際網路存取。雖然CWP獲報後已修補上述漏洞，但研究人員指出，他們看到有人繞過漏洞並入侵一些伺服器。</p> <p>即使紅帽改變CentOS的發布規畫，<a href="https://www.ithome.com.tw/news/141582">終止CentOS 8的支援，未來以提供測試版本CentOS Stream為主</a>，但仍有不少企業使用CentOS，或是開始移轉到其他的衍生版本，上述漏洞帶來的影響可能相當廣泛。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.whitehouse.gov/omb/briefing-room/2022/01/26/office-of-management-and-budget-releases-federal-strategy-to-move-the-u-s-government-towards-a-zero-trust-architecture/"><span style="color: rgb(0, 0, 0);">美國要求政府機關採用零信任的資安防護戰略，於1月26日正式實施</span></a></strong></span></p> <p>美國行政管理和預算局（OMB）在2022年1月26日，正式發布新網路安全策略與<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">M-22-09備忘錄</a>，要求政府機關都應轉移到零信任架構（Zero Trust Architecture），並在2024財年底（9月30日）之前，符合指定的資安標準要求。這樣的策略，是基於去年5月的14028行政命令，於是OMB在<a href="https://www.ithome.com.tw/news/147725">去年9月提出聯邦零信任戰略草案</a>，歷經近半年時間徵詢意見與討論，現在終於上路。聯邦資安長Chris DeRusha表示，這個戰略將成為聯邦網路安全典範轉移的基礎，並將會成為其他人仿效的模式。</p> <p>在這份備忘錄裡，OMB要求各聯邦機關要在60日內，提出轉移架構的時程規畫，以及2023、2024年度的預算編列，並依據身分驗證、裝置、網路、應用系統與工作負載，以及資料等5個領域，執行相關的盤點與部署工作。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/uk-govt-releasing-nmap-scripts-to-find-unpatched-vulnerabilities/"><span style="color: rgb(0, 0, 0);">英國政府以Nmap程式碼打造檢測工具，供IT人員掃描特定的重大漏洞</span></a></strong></span></p> <p>工業控制系統（ICS）安全日益受到重視，政府亦提供相關的工具給企業，以便儘速因應重大漏洞。英國國家網路安全中心（NCSC）於1月25日，發布針對網路安全工具Nmap編寫的指令碼，以協助企業掃描Exim訊息傳輸代理（MTA）設備裡，合稱為21Nails的RCE漏洞。NCSC表示，即使企業沒有部署Exim MTA，IT人員還是可以試著運用這個指令碼來掃描網路環境。</p> </div></div></div>
2022/1/29 00:03作者周峻佑https://www.ithome.com.tw/news/149148
【資安日報】2022年1月28日，台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期台達電遭到網路攻擊的事故，外界傳聞就是遭到勒索軟體攻擊，而昨天有不具名的資安業者向國內媒體透露，攻擊者就是Conti，且提及受害規模、勒索軟體病毒檔雜湊值等細節。雖然台達電發出聲明嚴正駁斥，但外界找到<a href="https://www.bleepingcomputer.com/news/security/taiwanese-apple-and-tesla-contractor-hit-by-conti-ransomware/">疑似駭客留下的勒索訊息</a>，甚至有人宣稱取得攻擊該公司的勒索軟體病毒，並上傳至VirusTotal，事故的真相顯然有待進一步分析。</p> <p>而在疫情蔓延使得許多人再度遠距辦公之際，相關應用系統的漏洞也被駭客盯上。其中，又以VMware Horizon遠端工作系統，因存在Log4Shell漏洞，已有數起攻擊事故出現。其中最近一起攻擊行動，則是專門提供駭客初步入侵管道的掮客集團（Initial Access Broker，IAB），開始對於上述遠端工作系統出手，顯示這類存在相關漏洞的系統是許多駭客偏好的攻擊目標。</p> <p>在今日資安新聞中，有近半數（3起）是APT駭客組織發動的攻擊行動，值得留意的是，駭客採用了過往較少見的手法，來隱藏攻擊意圖。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.ctwant.com/article/165246"><span style="color: rgb(0, 0, 0);">台達電駁斥大量電腦與伺服器被Conti勒索加密的傳聞，但網站迄今仍無法運作</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/149021">國內電源供應器大廠台達電在21日，於股市公開觀測站證實遭駭</a>，當時各界懷疑是遭勒索軟體攻擊，<a href="https://www.ithome.com.tw/news/149129">此事於1月27日傳出新的消息</a>──根據國內媒體周刊王（CTWANT）報導，有國外資安公司的分析報告透露，對台達電下手的是勒索軟體Conti，其內部網路的6萬5千臺電腦中，有1千5百臺伺服器與1萬2千臺電腦被加密。</p> <p>該報導中也提及，台達電委託趨勢科技與微軟資安團隊協助事件的調查。</p> <p>針對上述的報導內容，台達電在28日再度於證交所發布發布重大訊息駁斥，指出該報導並非實情，並強調該公司營運相關系統皆已恢復正常。但截至1月28日下午5時，該公司網站仍無法運作，顯示網站系統維護中的訊息。</p> <p><span style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/01/log4u-shell4me"><span style="color: rgb(0, 0, 0);"><strong>駭客大肆收集存在Log4Shell漏洞的VMware遠端工作平臺名單，用戶應加速修補的腳步</strong></span></a></span></p> <p>攻擊者鎖定遠端工作平臺VMware Horizon，並找尋存在Log4Shell漏洞的系統下手的情況，已有數起事故，如今有人疑似專門收集此種型態的攻擊目標名單，再轉售給其他駭客牟利。IT業者BlackBerry的威脅情報團隊指出，以提供攻擊者入侵受害組織管道的掮客（Initial Access Broker，IAB）組織Prophet Spider，近期針對存在上述弱點的VMware Horizon發動攻擊，鎖定其中存在漏洞的Tomcat元件下手，再藉由PowerShell或命令提示字元，植入挖礦軟體，或是植入Cobalt Strike的Beacon進行控制。研究人員認為，當IAB盯上存在某項漏洞的特定系統，代表有許多駭客組織也偏好朝向這類目標下手。</p> <p><span style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/north-koreas-lazarus-apt-leverages-windows-update-client-github-in-latest-campaign/"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客Lazarus以航太職缺發動網釣攻擊，並濫用Windows Update元件進駐受害電腦</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2022-01-25-at-9_56_22-PM-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2022-01-25-at-9_56_22-PM-1.jpg" style="width: 300px; float: right;" /></a>為了藏匿行蹤，駭客將惡意軟體的處理程序，植入合法的元件裡運作，而且常常是選擇作業系統內建的軟體，進行寄生攻擊（LoL）。例如，資安業者Malwarebytes最近揭露一起疑似由北韓駭客組織Lazarus發動的攻擊行動，駭客自2021年12月下旬，以美國航太業者Lockheed Martin的名義，發出徵才的網釣郵件，一旦收信人點選附件的說明文件，就會觸發惡意巨集，然後將攻擊者的程式碼先後注入檔案總管，以及Windows Update元件（wuauclt.exe），以便持續在受害電腦上運作。與過往不同的是，有別於許多駭客藉由檔案共享服務來架設C2中繼站，本次Lazarus濫用的對象是程式碼代管平臺GitHub。</p> <p><span style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/observations-from-the-stellarparticle-campaign/"><span style="color: rgb(0, 0, 0);"><strong>俄國駭客APT29藉由竊取瀏覽器Cookie，繞過雙因素驗證接管Office 365帳號</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-10.png" style="width: 300px; float: right;" /></a>駭客破解雙因素驗證（2FA）有新招，而且埋藏了2年才被發現。資安業者揭露俄羅斯駭客組織APT29（亦稱CozyBear、The Dukes）自2019年中旬發起的StellarParticle攻擊行動，駭客藉由憑證跳躍（Credential Hopping）的手法，挾持受害者的Office 365帳號，而這些受害組織的共通點為皆啟用了雙因素驗證機制。</p> <p>究竟這些駭客如何突破相關身分驗證機制？研究人員指出是竊取使用者瀏覽器的Cookie，藉由重放攻擊，來繞過雙因素驗證的流程。此外，APT29也在這起攻擊行動裡運用名為TrailBlazer的惡意軟體，同時針對Windows和Linux電腦下手，目的疑似是為了長期在受害電腦埋伏。</p> <p><span style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/prime-ministers-office-compromised.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體利用MSHTML漏洞，攻擊西亞政府高官與國防產業人士</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png" style="width: 300px; float: right;" /></a>在2021年9月被揭露的MSHTML重大漏洞，近期再被用於針對性的攻擊行動。甫由McAfee Enterprise和FireEye合併成立的資安業者Trellix，於1月25日公布疑似由俄國APT28（亦稱Fancy Bear、Strontium）發起的網路間諜攻擊行動，駭客於2021年10月至11月，透過釣魚郵件，向監督國家安全政策的西亞政府高層，以及國防產業人士下手。該組織利用MSHTML重大漏洞CVE-2021-40444，在受害電腦的記憶體內執行惡意程式。</p> <p>研究人員強調，為了埋藏攻擊意圖，駭客將攻擊行動細分成6個階段進行，並使用名為Graphite的惡意軟體，且於OneDrive架設C2中繼站，並藉由Graph API通訊，使得攻擊流量難以識別。</p> <p><span style="font-size: 22px;"><a href="https://blog.zimperium.com/dark-herring-android-scamware-exceeds-100m-installations/"><span style="color: rgb(0, 0, 0);"><strong>安卓騙錢App上億用戶受害，損失數億美元</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/image4(3).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image4(3).jpg" style="width: 100px; float: right;" /></a>騙錢軟體看似無害，而能上架應用程式市集難被察覺異狀。資安業者Zimperium揭露自2020年3月出現的攻擊行動Dark Herring，駭客鎖定超過70個國家的安卓用戶而來，並在Google Play市集陸續上架近470個應用程式，這些App直接透過電信業者向受害者收費（Direct Carrier Billing，DCB），平均每月為15美元，而使得用戶難以察覺有異，迄今已有1.05億臺設備遇害，研究人員推測，駭客至少騙得數億美元。</p> <p><span style="font-size: 22px;"><a href="https://azure.microsoft.com/en-us/blog/azure-ddos-protection-2021-q3-and-q4-ddos-attack-trends/"><span style="color: rgb(0, 0, 0);"><strong>Azure用戶遭到大規模DDoS攻擊，3.47 Tbps流量再創新高</strong></span></a></span></p> <p>大規模分散式阻斷服務（DDoS）攻擊的流量，再度創下新紀錄。微軟對於Azure用戶的DDoS防護情況，近日公布他們在2021年第3、第4季觀察到的態勢，當中提及他們於2021年11月，緩解了流量高達3.47 Tbps的攻擊事故，其封包傳送的速率為每秒3.4億個，這些流量從1萬個來源發出，分布於臺灣、美國、中國等10個國家。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/28 15:21作者周峻佑https://www.ithome.com.tw/news/149136
【資安日報】2022年1月27日，勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾於2021年7月出現大量攻擊行動，<a href="https://www.ithome.com.tw/news/146226">而引起高度關注的勒索軟體LockBit 2.0</a>，如今也開始鎖定VMware的虛擬化平臺ESXi而來，而值得採用這類系統的企業，留意後續的事態發展。</p> <p>駭客以光碟映像檔ISO格式的檔案，來規避防毒軟體偵測的手法，最近又有新的攻擊行動發生，手段更加隱密，而難以透過防毒軟體、網路防護系統察覺異狀。</p> <p>在人手一隻手機的情況下，以寄送釣魚簡訊發動的攻擊行動（Smishing），近期也有資安業者發現這種型態網路釣魚簡訊的攻擊行動，並以應用程式或系統更新的名義引誘使用者上當。這種攻擊的發展，也相當值得各界留意。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.trendmicro.com/en_us/research/22/a/analysis-and-Impact-of-lockbit-ransomwares-first-linux-and-vmware-esxi-variant.html"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定VMware虛擬化平臺而來</span></a></strong></h4> <p>隨著企業採用虛擬化平臺的情況越來越普遍，約自2021年上旬，許多勒索軟體駭客，如<a href="https://www.ithome.com.tw/news/146432">HelloKitty</a>、<a href="https://www.ithome.com.tw/news/147580">Hive</a>、<a href="https://www.bleepingcomputer.com/news/security/linux-version-of-avoslocker-ransomware-targets-vmware-esxi-servers/">AvosLocker</a>，開始製作Linux版本軟體，鎖定VMware ESXi的環境而來。惡名昭彰的<a href="https://www.ithome.com.tw/news/146421">勒索軟體LockBit</a>，最近幾個月也開始加入針對虛擬化環境下手的行列。趨勢科技於2021年10月，在地下論壇RAMP看到駭客張貼的廣告，宣布開始提供能於VMware ESXi執行的勒索軟體LockBit，同月，研究人員就在網路上發現使用該勒索軟體的攻擊行動。</p> <p>此勒索軟體混合AES與ECC兩種演算法加密檔案，且能夠將虛擬機器（VM）關機或是休眠，以利檔案加密不受中斷。此外，該勒索軟體還能徹底清除可用空間的資料。與Windows版勒索軟體相同的是，駭客在加密完檔案後，同樣於勒索訊息裡，徵求能入侵企業的帳密資料，並宣稱提供者有機會得到數百萬美元的酬庸。</p> <h4><a href="https://blog.morphisec.com/asyncrat-new-delivery-technique-new-threat-campaign"><span style="color: rgb(0, 0, 0);"><strong>駭客以ISO映像檔規避防毒軟體偵測，散布AsyncRAT木馬程式</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/AsyncRAT - Campagin Email Delivery -1、.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AsyncRAT%20-%20Campagin%20Email%20Delivery%20-1%E3%80%81.png" style="width: 300px; float: right;" /></a>過往為了迴避郵件防護系統的偵測，有些駭客會利用ISO、IMG、CDR等光碟映像檔的附件檔案，以此打包作案工具，使得上述防護措施可能因不具掃描光碟映像檔的功能，採取直接放行的策略而達到目的。但這樣的手法如今變得更加複雜──資安業者Morphisec揭露一起自2021年9月12日出現的攻擊事故，駭客以ISO檔案挾帶惡意批次檔或VBScript程式碼，但這個ISO檔實際上是埋藏在HTML檔案的附件裡面，等到收信人打開HTML檔案才「還原」，要求下載到電腦執行，進而從網路上下載AsyncRAT木馬程式。</p> <p>由於駭客以確認訂單的名義寄送釣魚郵件，當中夾帶上述HTML檔案為附件，恐使得收信人降低戒心，依照指示操作。此外，研究人員指出，上述ISO檔案實際上是透過附件的HTML檔案產生，企業的網路安全閘道與防火牆不會察覺異狀。</p> <h4><a href="https://threatpost.com/threat-actors-androids-flubot-teabot-campaigns/177991/"><span style="color: rgb(0, 0, 0);"><strong>網釣簡訊被用於散布手機木馬程式FluBot、TeaBot</strong></span></a></h4> <p>鎖定手機而來的網路釣魚簡訊攻擊（Smishing），近期已有數起散布木馬程式的事故。最近防毒業者Bitdefender表示，他們自2021年12月初開始，至少攔截到10萬個惡意簡訊，這些簡訊是針對安卓裝置而來，用來散布木馬程式FluBot；而在此同時，該公司也在Play市集發現惡意的QR Code掃描器，攻擊者藉此在受害者手機上植入木馬程式TeaBot。</p> <p>但這種透過手機簡訊的網釣攻擊已有前例，例如，芬蘭就曾於2021年11月底，<a href="https://www.kyberturvallisuuskeskus.fi/en/be-aware-malware-spread-sms">針對以網路釣魚簡訊散布安卓木馬FluBot的攻擊行動提出警告</a>，並強調非安卓手機的用戶點選簡訊的連結，也會被引導到惡意網站。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/chaes-banking-trojan-hijacks-chrome-with-malicious-extensions/"><span style="color: rgb(0, 0, 0);"><strong>駭客利用逾800個WordPress網站，向巴西民眾散布銀行木馬Chaes</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/java(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/java(1).jpg" style="width: 300px; height: 219px; float: right;" /></a>鎖定巴西銀行客戶下手的木馬程式，近期的攻擊行動有升溫的跡象。例如，在2020年底首度被發現的木馬程式Chaes，防毒軟體業者Avast近日提出警告，在2021年第4季有超過6.6萬名客戶的電腦，疑似遭到這個木馬程式企圖入侵。該公司調查後發現，Chaes經由逾800個WordPress網站傳播，目標是在巴西銀行用戶的Chrome瀏覽器上，以惡意外掛程式來竊取交易資料，研究人員指出，此起攻擊行動仍然持續，用戶應避免安裝來路不明的應用程式。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/german-govt-warns-of-apt27-hackers-backdooring-business-networks/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客APT27鎖定德國企業下手，使用HyperBro後門程式發動攻擊</strong></span></a></h4> <p>中國駭客不光針對敵對國家發動攻擊，也可能入侵友邦的組織，來掌握更多情資。最近德國聯邦憲法保衛局（BfV）提出警告，表示他們得知背後有中國政府支持的駭客組織APT27，鎖定該國的企業而來，並使用名為HyperBro的木馬程式來竊取受害電腦的各式帳密，其背後的目的為何？該單位推測，駭客可能是要瓢竊商業機密與智慧財產，甚至不排除會進行供應鏈攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/nobel-foundation-site-hit-by-ddos-attack-on-award-day/"><span style="color: rgb(0, 0, 0);"><strong>諾貝爾基金會網站於頒獎日遭到DDoS攻擊</strong></span></a></h4> <p>針對全球在物理、化學、醫學等領域做出重大貢獻的人士，每年頒發的諾貝爾獎，維持該獎項運作的基金會，網站遭到分散式阻斷服務（DDoS）攻擊，而且，還是發生在頒獎當天。諾貝爾基金會與挪威諾貝爾研究所聯合於1月21日發出公告，指出諾貝爾基金會網站於去年12月10日，於頒獎典禮直播的過程遭到DDoS攻擊，他們已向警方報案，但尚未掌握攻擊的來源。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.wired.com/story/safari-flaws-webcam-online-accounts-mic/"><span style="color: rgb(0, 0, 0);">網頁瀏覽器Safari存在漏洞，恐曝露蘋果裝置的視訊鏡頭和用戶資料</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2021-11-01 at 9_34_38 AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-11-01%20at%209_34_38%20AM.png" style="width: 300px; float: right;" /></a>資安研究員Ryan Pickren揭露一項通用跨網站程式碼（UXSS）漏洞，這項弱點存在於macOS版Safari網頁瀏覽器。若是Mac電腦尚未安裝相關修補程式，iCloud與Safari之間的信任機制就可能會因上述問題，而遭到攻擊者濫用，進而接管Safari，瀏覽受害者上網的內容，存取各式網頁應用系統的帳號，並利用受害者授予網站的權限，來使用視訊鏡頭和麥克風。此外，攻擊者還能藉著這項漏洞存取Mac電腦的資料。研究人員於2021年7月通報，蘋果於2022年初修補相關漏洞，並給予100,500美元的抓漏獎金。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.whitehouse.gov/omb/briefing-room/2022/01/26/office-of-management-and-budget-releases-federal-strategy-to-move-the-u-s-government-towards-a-zero-trust-architecture/"><span style="color: rgb(0, 0, 0);">美國要求政府機關採用零信任的資安防護戰略，於1月26日正式實施</span></a></strong></h4> <p>美國行政管理和預算局（OMB）在2022年1月26日，正式發布新網路安全策略與<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">M-22-09備忘錄</a>，要求政府機關都應轉移到零信任架構（Zero Trust Architecture），並在2024財年底（9月30日）之前，符合指定的資安標準要求。這樣的策略，是基於去年5月的14028行政命令，於是OMB在<a href="https://www.ithome.com.tw/news/147725">去年9月提出聯邦零信任戰略草案</a>，歷經近半年時間徵詢意見與討論，現在終於上路。聯邦資安長Chris DeRusha表示，這個戰略將成為聯邦網路安全典範轉移的基礎，並將會成為其他人仿效的模式。</p> <p>在這份備忘錄裡，OMB要求各聯邦機關要在60日內，提出轉移架構的時程規畫，以及2023、2024年度的預算編列，並依據身分驗證、裝置、網路、應用系統與工作負載，以及資料等5個領域，執行相關的盤點與部署工作。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149077">2022年1月26日，電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">2022年1月25日，CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">2022年1月24日，鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/27 15:04作者周峻佑https://www.ithome.com.tw/news/149112
微軟即將於Windows 11上公開預覽Android程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://blogs.windows.com/windowsexperience/2022/01/26/a-new-era-of-the-pc/">本周宣布</a>，將在下個月開放Windows 11用戶公開預覽Android程式，同時改善Windows 11上的各種功能，外界則猜測，這很可能是Windows 11自去年10月發表以來首次的重大更新。</p> <p>微軟早在Windows 11尚未正式出爐前就對外公告它將支援Android程式，只是迄今它一直僅於Insiders測試人員計畫中進行測試，而且<a href="https://www.ithome.com.tw/news/147387">只能存取源自Amazon Appstore的特定程式</a>。</p> <p>此外，屆時Windows 11還會推出重新設計的記事本（Notepad）及媒體播放器（Media Player），以及改善工作列（Taskbar）上的功能，包括通話靜音或取消靜音、新增天氣選項，以及強化分享能力等。</p> <p>Windows 11是微軟6年來最大的一次Windows改版，採用極簡的設計，根據微軟的統計，使用者升級到Windows 11的速度是當初升級到Windows 10的兩倍，同時Windows 11也是Windows史上，使用者對其品質及滿意度最高的版本。</p> <p>與Windows 10相較，使用者於Windows 11上花的時間多了40%，另有接近一半的Windows 11用戶使用全新的Snap Layouts佈局功能，以展開多工並提升生產力。</p> </div></div></div>
2022/1/27 12:26作者陳曉莉https://www.ithome.com.tw/news/149107
Google Pixel手機只支援3年安全更新遭批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為資安媒體Motherboard資深作者、同時也是Pixel 3手機用戶的Aaron Gordon，<a href="https://www.vice.com/en/article/dypxpx/google-is-forcing-me-to-dump-a-perfectly-good-phone" target="_blank">在本周刊出一篇文章</a>，指出他因為Google終止了對Pixel 3的支援，迫使他將投入蘋果iPhone的懷抱，而Gordon的抱怨亦引起了其它媒體的共鳴。</p> <p>Gordon說，他是在3年前買了Pixel 3，它喜歡沒那麼大的Pixel 3，就算經常摔到也不會壞，而且3年以來並沒有看到電池壽命明顯下滑；他對手機的看法跟對冰箱一樣，就是一個設備，只要還符合需求便不必更換，然而，由於Google不再支援Pixel 3的安全更新，讓他被迫丟棄它，因為安全更新是每個人為了保護自己數位安全的基本需求，缺乏了安全更新，手機就會承受每一個新安全漏洞的風險。</p> <p>於是，就算Gordon很想留在Android生態體系，但依然決定要投入蘋果陣營，因為至少蘋果在這部分表現得比Google好太多。</p> <p>Google是在2018年10月發表Pixel 3/3 XL，根據Google的安全更新政策，每款Pixel手機都至少可取得3年的安全更新，<a href="https://web.archive.org/web/20210401163640/https://support.google.com/pixelphone/answer/4457705#zippy=%2Cpixel-phones" target="_blank">而Google對Pixel 3/3 XL的安全更新支援即止於2021年10月</a>，從去年10月起，Pixel 3/3 XL就不再收到安全更新。</p> <p>有比較才有傷害。<a href="https://support.apple.com/zh-tw/HT213043" target="_blank">蘋果今年1月釋出的iOS 15.2.1安全更新</a> ，還持續支援蘋果於2015年9月發表的iPhone 6s，儘管蘋果並未明訂安全支援期限，但算起來已經超過6年。</p> <p>Gordon表示，安全或功能更新一直是Android生態體系存在已久的問題，例如很久才取得更新，過去Google都把問題丟給Android手機製造商或銷售Android手機的電信業者，但當Google自行推出Pixel手機之後，問題並沒有得到解決。</p> <p>Gordon的心聲引起《<a href="https://phandroid.com/2022/01/25/its-time-for-google-to-be-better-about-software-updates/" target="_blank">Phandroid</a>》、《<a href="https://9to5google.com/2022/01/25/android-updates-security-problem-not-features/" target="_blank">9to5Google</a>》及《<a href="https://www.androidheadlines.com/2022/01/google-is-still-happy-with-3-years-of-software-updates.html" target="_blank">Android Headlines</a>》等媒體的共鳴。</p> <p>其中，《9to5Google》指出，整個Android生態體系所支援的更新時間都不夠久，包括Google與三星在內，諷刺的是，三星的表現似乎優於Google，於去年2月便宣布只要是2019年及之後推出的Galaxy裝置，都能獲得3年的主要更新及4年的安全更新，至於Google則僅針對去年10月發表的Pixel 6採用新的更新政策，提供3年的主要更新與5年的安全更新。</p> </div></div></div>
2022/1/26 22:56作者陳曉莉https://www.ithome.com.tw/news/149094
Android銀行木馬BRATA再度現身，先騙走錢財再重置受害者手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://www.cleafy.com/cleafy-labs/how-brata-is-monitoring-your-bank-account#5">Cleafy近日發現，一隻名為BRATA的Android木馬程式</a>，除了會騙取用戶銀行帳戶存款外，還會藉由重置用戶手機來躲避偵查。</p> <p>BRATA為Brazilian RAT Android最初是2019年卡巴斯基發現，因流竄於巴西，針對Android用戶的RAT（remote access trojan）程式而得名。但之後它擴大到美國及西班牙等地。Cleafy研究人員去年11月起再度偵測到BRATA活動，除了拉丁美洲、義大利等原有區域，並新增英國、波蘭，此外西班牙及中國也有零星個案。</p> <p>這波感染中，BRATA是透過簡訊誘使用戶下載防護垃圾郵件軟體，而安裝到用戶手機上。這波BRATA活動有3個變種。分析BRATA，研究人員發現在最常見的變種中，惡意程式作者新增了多項新功能，包括回復手機出廠設定、GPS定位、和C&C伺服器之間使用多重傳輸通道（HTTP、TCP），以及透過VNC（Virtual Network Computing，具遠端操作及螢幕分享）及鍵盤側錄功能擷取用戶銀行帳戶密碼等資訊。</p> <p>為了突破手機既有安全防護，例如限制App存取權限，因此在安裝時，BRATA誘使用戶同意數項權限，包括取得手機輔助服務（Accessibility Services）以啟動VNC、蒐集GPS定位紀錄及回復手機出廠設定並刪除裝置所有資料。研究人員指出，回復出廠設定是這隻惡意程式的kill switch功能；當駭客完成匯款，或是發現防毒軟體偵測時，攻擊者即可遠端執行，目的在刪除所有資料以消滅跡證。</p> <p>事實上已有兩起受害者手機遭到重置，在資料被刪除後受害者即使發現戶頭短少也完全無從追查原因。</p> <p>最後，BRATA的多重傳輸通道功能則讓它先以HTTP協定和C&C伺服器建立連線、驗證並刪除裝置上的防毒App，再轉換到更有效的WebSocket協定，以便持續從C&C伺服器接收檔案或將蒐集到的手機資訊傳給攻擊者。</p> </div></div></div>
2022/1/26 13:23作者林妍溱https://www.ithome.com.tw/news/149071
【資安日報】2022年1月25日，CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到許多企業採用的CentOS作業系統，其中有一款便於管理者以圖形介面來遠端管理伺服器的軟體Control Web Panel（CWP），傳出存在可被串連利用的2個漏洞，而引起關注。</p> <p>而在過往的勒索軟體攻擊中，LockBit 2.0在加密受害電腦後，<a href="https://www.ithome.com.tw/news/146421">以置換桌布的方式，明目張膽向受害者徵求能存取企業的入侵管道</a>。但這樣意圖收買企業員工的做法，如今變得更加肆無忌憚。最近有研究報告指出，在美國的大型企業裡，有6成5的受訪企業表示，有駭客向他們的員工招手，而且是直接透過電子郵件、電話、社群網站聯繫，研究人員認為，這樣的情況可能會日益猖狂。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/"><span style="color: rgb(0, 0, 0);">白俄羅斯鐵路公司遭到加密軟體攻擊，駭客要求釋放50名政治犯</span></a></strong></h4> <p>駭客發動攻擊的目的，也有可能為了政治訴求。例如，名為白俄羅斯網路游擊隊（Belarus Cyber Partisans）的駭客組織，於1月24日宣稱，他們入侵了白俄羅斯國營鐵路公司（BR），對部分伺服器、資料庫、工作站電腦加密檔案，來中斷營運，目的是要求當局釋放50名需要醫療救助的政治犯，且希望俄羅斯軍隊撤離白俄羅斯。BR也發出公告指出，該公司線上的電子旅行文件核發作業暫時無法使用，旅客要直接向售票處進行申請。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/investigating-apt36-or-earth-karkaddans-attack-chain-and-malware.html"><span style="color: rgb(0, 0, 0);"><strong>駭客組織APT36運用安卓木馬程式，鎖定印度軍事與外交單位下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1_Earth Karkaddan APT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1_Earth%20Karkaddan%20APT.png" style="width: 300px; float: right;" /></a>駭客組織發動針對性的APT攻擊，也開始盯上使用者的手機下手。例如，鎖定印度軍事與外交單位的駭客組織APT36（亦稱Earth Karkaddan、Operation C-Major、Mythic Leopard），趨勢科技發現該組織於2021年底，開始針對安卓手機用戶，使用網路釣魚手法，來散布RAT木馬程式CapraRAT。一旦使用者依照指示安裝APK檔案，這個木馬程式可開啟相機，並存取麥克風、地理位置資料、通話記錄等資料，還能執行其他安裝程式。研究人員呼籲使用者，要從可信賴的來源取得應用程式。</p> <h4><a href="https://www.tovima.gr/2022/01/21/international/greek-parliament-authorities-probe-hacking-of-60-email-accounts/"><span style="color: rgb(0, 0, 0);"><strong>希臘議會60個電子郵件帳號遭駭，緊急關閉郵件伺服器</strong></span></a></h4> <p>國家議會遭到網路攻擊的情況，又再添一樁。根據希臘新聞網站To BHMA的報導，該國議會約於1月20日中午，偵測到外部IP位址在企圖存取議會的電子郵件帳號，為了保護使用者，該單位隨即停止網路郵件信箱的運作，並通報主管機關。根據消息人士指出，駭客成功入侵約60個電子郵件帳號，這些帳號是國會議員、議會員工，以及記者所擁有。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/android-malware-brata-wipes-your-device-after-stealing-data/"><span style="color: rgb(0, 0, 0);"><strong>安卓惡意軟體Brata鎖定網路銀行用戶，並在竊密後重置手機</strong></span></a></h4> <p>使用手機網路銀行的用戶要注意了！針對安卓手機而來的竊密軟體，不只鎖定多個國家的銀行用戶，發展至今更出現了會清理作案現場的功能。資安業者Cleafy發現，安卓惡意軟體Brata近期針對英國、中國、拉丁美洲等地區而來，駭客為各家網路銀行的用戶製作多種版本的Brata，並加入數項新功能，其中最值得留意的，是能夠在攻擊行動失敗，或是偵測到在沙箱環境的情況，將感染的安卓裝置恢復原廠預設狀態，以清除相關跡證。</p> <h4><a href="https://threatpost.com/donald-trump-packer-malware-infostealers/177887/"><span style="color: rgb(0, 0, 0);"><strong>駭客透過加殼軟體鎖定足球迷，散布多種竊密木馬</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1 .png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201%20.png" style="width: 300px; float: right;" /></a>為了在受害電腦投放惡意軟體，駭客使用了看似無害的下載器（Downloader）、加殼工具（Packer），將惡意軟體下載到這些電腦裡。例如，資安業者Proofpoint指出，他們約自2021年3月，發現駭客以冒牌的利物浦（Liverpool）足球俱樂部網站，吸引用戶下載名為DTPacker的加殼工具，目的是要在受害電腦植入Agent Telsa、Ave Maria、AsyncRAT等竊密工具。研究人員指出，DTPacker在第2階的攻擊模組，需要透過密碼解密才能執行，駭客先後使用了Trump2020、Trump2026作為密碼。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/emotet-spam-abuses-unconventional-ip-address-formats-spread-malware.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Emotet透過十六進位、八進位的IP位址來散布</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png" style="width: 301px; float: right;" /></a>駭客為了規避資安系統的偵測，刻意使用一些手法來隱藏攻擊行動的IP位址。例如，趨勢科技在近期偵測到Emotet的垃圾郵件攻擊行動中，駭客在郵件裡的惡意Office文件裡，分別使用十六進位、八進位的方法，來存放遠端伺服器的IP位址，進而讓 Emotet下載第2階段的惡意程式。研究人員指出，駭客使用這種方式取代2021年11月至12月時，投放Cobalt Strike的Beacon，或是使用TrickBot的手法，現行的資安防護系統很可能無法察覺異狀。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-increase-efforts-to-enlist-insiders-for-attacks/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體駭客意圖收買目標組織的內部員工，以利進行攻擊</strong></span></a></h4> <p>駭客發動勒索軟體攻擊，除了向初始入侵管道掮客（IAB）購買存取受害組織內部網路的帳密，還可能會串通的內部員工，以利攻擊進行。根據身分驗證解決方案業者Hitachi ID在2022年1月，針對北美100家擁有超過5千名員工的大型企業進行調查，結果發現，在2021年12月7日至今年1月4日的期間內，有65%受訪者表示，駭客意圖收買他們或公司員工，要求建立初始存取的管道，這樣的比例，相較於2021年11月公布的48%高出許多。在北美員工面臨與公司共體時艱而大幅減薪，而引發大辭職（Grand Resignation、亦稱Big Quit）勞工運動的情勢下，很可能讓員工鋌而走險，選擇被駭客收買。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/cwp-bugs-allow-code-execution-as-root-on-linux-servers-patch-now/"><span style="color: rgb(0, 0, 0);">CentOS伺服器遠端管理介面軟體存在漏洞，攻擊者可用於RCE攻擊</span></a></strong></h4> <p>許多企業用於架設伺服器的CentOS作業系統，針對其開發的遠端管理介面軟體出現漏洞，有不少企業會曝露在相關風險之中。資安業者Octagon Networks發現，Linux伺服器網頁管理介面軟體Control Web Panel（CWP，原名CentOS Web Panel），存在檔案包含漏洞CVE-2021-45467，以及檔案寫入漏洞CVE-2021-45466，該業者指出，攻擊者一旦串連這2個漏洞，可在未經身分驗證的情況下，以root權限遠端執行命令。研究人員指出，從物聯網搜尋引擎Shodan和Censys執行搜尋，至少有10萬個CWP可透過網際網路存取。雖然CWP獲報後已修補上述漏洞，但研究人員指出，他們看到有人繞過漏洞並入侵一些伺服器。</p> <p>即使紅帽改變CentOS的發布規畫，<a href="https://www.ithome.com.tw/news/141582">終止CentOS 8的支援，未來以提供測試版本CentOS Stream為主</a>，但仍有不少企業使用CentOS，或是開始移轉到其他的衍生版本，上述漏洞帶來的影響可能相當廣泛。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/attackers-now-actively-targeting-critical-sonicwall-rce-bug/"><span style="color: rgb(0, 0, 0);">可被未經授權人士存取SonicWall的VPN系統漏洞，已遭到利用</span></a></strong></h4> <p>甫修補不到2個月的重大漏洞，已有攻擊者躍躍欲試的跡象。SonicWall於2021年12月，針對旗下的VPN產品Secure Mobile Access（SMA）修補CVE-2021-20038，一旦攻擊者利用這項漏洞，可透過nobody的帳號執行程式碼，該漏洞沒有安裝修補程式以外的緩解措施。但資安業者NCC Group於1月25日指出，有駭客鎖定尚未修補的SMA 100系列設備，最近幾天利用密碼潑灑的方式進行攻擊，他們呼籲用戶要儘速安裝修補程式。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149036">2022年1月24日，鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/25 16:33作者周峻佑https://www.ithome.com.tw/news/149061
iOS 15已占7成，蘋果催iOS 14用戶儘速升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>釋出iOS、iPadOS 15將近4個月後，<a href="https://support.apple.com/en-us/HT204204" target="_blank">本周蘋果發出舊版本用戶升級提醒</a>，暗示可能即將終止支援iOS/iPadOS 14。</p> <p>根據蘋果公告，如果用戶使用的是iOS及iPadOS 14.5以後版本，上周起將看見裝置上出現升級新版OS的選項。這選項讓用戶可以選擇升級到iOS及iPadOS 15，或是持續留在iOS、iPadOS 14，選擇後者則可接獲安全更新「一段時間」。沒看到自動更新選項的用戶，蘋果提醒可以手動更新。</p> <p>不同於現行Android裝置涵蓋多個舊版本，iPhone上的iOS版本向來組成單純，且用戶一向很快就更新到最新版本。<a href="https://developer.apple.com/support/app-store/" target="_blank">根據蘋果上周公布的資料</a>，在現行開通4年以下的iPhone中，<a href="https://www.ithome.com.tw/news/146814" target="_blank">去年9月才推出的iOS 15</a>已占72%，iOS 14占26%，更早版本只占了2%。在iPad上，iPadOS 15和14的占比各為57%和39%。</p> <p>從<a href="https://www.macrumors.com/2021/01/27/apple-active-devices-worldwide-january-2021/" target="_blank">iPhone已賣出16.5億支</a>來看，這26%仍是不小數目。</p> <p><a href="https://www.zdnet.com/article/still-running-ios-14-on-your-iphone-apple-brings-support-to-an-end/" target="_blank">媒體認為</a>，在iOS 15推出4個月後公布這個訊息，意謂著蘋果已經在催這些用戶快點升級，只是因為蘋果曾經承諾將持續支援iOS/iPadOS 14，因此也不便太明白說要終止支援。</p> <p>雖然iOS/iPadOS 14用戶短期內仍然會接到安全更新，由於針對iOS裝置的惡意程式演進相當快速，媒體建議，為了安全起見，用戶最保險方法還是早日升級到iOS 15為宜。</p> </div></div></div>
2022/1/21 17:27作者林妍溱https://www.ithome.com.tw/news/149009
Google在臺、港、韓測試在Windows PC執行Android手遊的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周宣布將在臺灣、香港和南韓地區，<a href="https://play.google.com/googleplaygames?pcampaignid=PR-Global-oo-gpgbeta-DevBlog" target="_blank">測試能讓Android手機版遊戲App在Windows PC執行的App及技術</a>。</p> <p>微軟在Windows 11也讓用戶執行Android App，但是僅限Amazon Appstore。截至去年9月，也只有數十款Android App能在Windows 11執行。雖有用戶成功<a href="https://www.ithome.com.tw/news/147472" target="_blank">在Windows 11上下載Google Play Store</a>，但畢竟是非正式作法，也非一般用戶能力所及。Google Play Games則是Google方面的因應作法。</p> <p>Google Play Games的App是由Google開發，讓Android遊戲開發商撰寫App、發佈到Google Play上，即可在多種平臺執行，而僅需維護單一套程式碼<a href="https://developer.android.com/games/playgames" target="_blank">。Google強調</a>它提供的Android API、函式庫及SDK和Windows PC完全相容，開發商無需重新實作另一套程式內購買或建新的SKU。此外發佈也很容易，透過Google搜尋或桌機端廣告，即可將Windows PC用戶導向遊戲網站。</p> <p>另一方面，Google則向玩家們描述Google Play Games的優點。該App部門產品經理Arjun Dayal指出，玩家可以輕鬆瀏覽、下載遊戲到PC上玩，享受更大的螢幕及滑鼠、鍵盤的便利性，而且在手機或PC之間轉換，都不會喪失遊戲累積的進度或成績。</p> <p>此外玩Android 遊戲獲得Google提供的Play 點數，也會在 Google Play Games提供。但不確定這些點數是否也只能用在PC遊戲上。</p> <p>目前臺灣、香港及南韓用戶可至<a href="https://play.google.com/googleplaygames?pcampaignid=PR-Global-oo-gpgbeta-DevBlog" target="_blank">Google以Beta版上線的網站</a>註冊加入等候名單。</p> </div></div></div>
2022/1/21 13:42作者林妍溱https://www.ithome.com.tw/news/148999
Opera也跳入Web3行列，發表加密貨幣瀏覽器專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年便推出內建加密貨幣錢包Android瀏覽器的Opera，<a href="https://press.opera.com/2022/01/19/opera-web3-crypto-browser-project/?utm_source=ixbtcom" target="_blank">在本周發表了新的加密貨幣瀏覽器專案（Crypto Browser Project）</a>，推出支援Windows、macOS及Android的加密貨幣瀏覽器測試版，並強調將以Web3為該專案的核心。</p> <p>Web3指的是基於區塊鏈的去中心化網路，被視為新一代的網路架構，支持者認為它將賦予使用者更完整的權力，逃離大型企業的集中管控，然而，<a href="https://www.ithome.com.tw/news/148804" target="_blank">反對者則認為</a>，它終究無法脫離中心化，還可能惡化隱私問題。根據PWC的估計，Web3與元宇宙（Metaverse）的擴張將讓2030年的全球經濟產值增加15兆美元。</p> <p>Opera無疑是Web3的支持者，該公司認為Web3的時代需要一個專用的瀏覽器，新發表的加密貨幣瀏覽器已內建熱門的Web3與加密貨幣網站，它於瀏覽器的側邊欄整合了Twitter、Telegram、WhatsApp，以及Opera的Crypto Wallet電子錢包功能，也能自瀏覽器的快速撥號（speed dial）功能存取Crypto Twitter、Discord、Reddit或DappRadar等服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-Opera%20Crypto%20Browser%20Project-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Opera</span></p> <p>此外，Crypto Browser所配備的Crypto Corner將集結各種Web3資訊，從加密貨幣新聞、加密貨幣價格、空投活動、加密貨幣活動或相關的播客等。</p> <p>負責行動業務的Opera副總裁Jorgen Arnesen表示，市場對Web3的興趣有增無減，卻缺乏一個可體驗去中心化網路的瀏覽器，Crypto Browser將提供一個更簡單、快速及隱私的Web3體驗，以充分發揮去中心化網路的潛力。</p> <p>除了已釋出支援Windows、macOS及Android平臺的Crypto Browser之外，iOS版亦可望於近期出爐。</p> </div></div></div>
2022/1/20 14:56作者陳曉莉https://www.ithome.com.tw/news/148986
北京冬奧App遭批安全不足、檢肅內容，奧委會駁斥
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年冬奧即將在2月4日到20日於北京舉行，但<a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank">一項加拿大研究顯示</a>北京冬奧專用App有多項安全隱私問題，還內建言論審查技術。不過國際奧委會駁斥這項研究發現。</p> <p>多倫多大學公共事務學院下的公民實驗室（Citizen's Lab）針對北京冬奧開發的My2022 App的資料安全及隱私進行研究，並由<a href="https://www.dw.com/en/dw-exclusive-cybersecurity-flaws-leave-olympians-at-risk-with-beijing-2022-app/a-60449271" target="_blank">德國之聲（DW）</a>首先引述報導。研究人員指稱這款App資料傳輸安全性不足，蒐集許多資料卻也分享給許多單位，還有一個關鍵字詞審查清單。</p> <p class="rtecenter"><a href="http://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-%E5%86%AC%E5%A5%A7APP-600-1.jpg" style="width: 600px;" /></a></p> <p>My2022由中國國營北京金融控股集團所有，具多項功能，首先是COVID-19相關的健康監控。今年冬奧期間時值全球COVID-19風暴再起，北京當局為疫情管控，要求所有國內外選手及與會者在抵達北京前14天以前需下載My2022 App，每日以App回報健康狀況，也蒐集疫苗接種紀錄、以及COVID-19病毒檢測結果等。此外這個App還提供觀光導覽、GPS導航，以及各項設施服務的使用把關等。</p> <p>根據My2022公開資訊，除了健康狀態，它會蒐集大量個人資料。針對外國使用者，這款App蒐集用戶人口學屬性（性別、年齡等）、護照資訊（發照日及到期日等）。此外它還會蒐集裝置識別碼、電信服務商並分享給該裝置業者，如華為、Oppo、Vivo，並且額外蒐集裝置上App資訊分享給騰訊、微博、地圖業者高德（AutoNavi）、語音辨識業者科大訊飛（iFlytek），理由是協助用戶使用它們提供的服務。</p> <p>但研究人員發現My2022並未說明會將用戶健康紀錄分享給誰。另一方面，它又說明會在（且不僅只於）涉及國家安全、公衛事件及犯罪調查等情況下，不經用戶同意揭露個人資訊。</p> <p>除了資訊隱私之外，加拿大研究人員另外也發現My2022的安全問題。例如北京冬奧伺服器，如tmail.beijing2022.cn部分內容傳輸連線未以SSL加密。另一些伺服器，如health.customsapp.com、my2022.beijing2022.cn等雖然採取SSL傳輸，但並未驗證SSL憑證，這可能讓攻擊者發動中間人攻擊，冒充合法網站以攔截用戶輸入的資訊，或是從惡意主機傳送假造內容到App。研究人員也發現數個和北京冬奧的伺服器SSL連線可能曝險。</p> <p>另一方面，My2022還可能扮演言論審查者的角色。研究人員發現My2022提供了舉報他人的政治敏感言論的功能。此外，Android版My2022包含一個「illegalwords.txt」檔，內有2400多個審查關鍵字詞，大部份是簡體中文，少部份為繁體中文、藏文及維吾爾語。字詞類別涵括罵人三字經、色情、非法物質（如製作爆裂物的成份），以及大量政治敏感用語，法輪功、天安門（如「捌玖陸肆紀念」）、習近平等。但研究人員表示這些關鍵詞並未用於實際的言論過濾。</p> <p>研究人員相信，蒐集敏感資訊卻防護不足的My2022，已違反了Google Play及蘋果App Store審查規範，</p> <p>研究人員於去年年底完成調查後，於12月3日將報告發現分享給了北京冬奧及帕奧主辦單位。截至45日後的1月18日未獲得回應，於是向媒體公布研究發現。</p> <p><a href="https://www.dw.com/en/ioc-reacts-to-cybersecurity-concern-over-beijing-my-2022-phone-app/a-60466680" target="_blank">國際奧委會（International Olympic Games，IOC）昨日對媒體反駁這項指控</a>，表示My2022是防範COVID-19的重要工具，其功能首要任務是支持健康監控。</p> <p>在對<a href="https://www.zdnet.com/article/ioc-disputes-citizen-lab-assessment-of-security-concerns-around-chinese-olympics-app/" target="_blank">ZDNet</a>的聲明中，IOC也強調，為了防疫，My2022 App必須採取特別措施以確保冬奧及帕奧與會者、以及中國民眾的安全。IOC並指這款App都已經通過Google Play Store及蘋果App Store的審查。</p> </div></div></div>
2022/1/19 11:20作者林妍溱https://www.ithome.com.tw/news/148953
Fintech周報第207期：金管會採納金融建言白皮書3大類建議，要求銀行稽核人員需提升數位化查核能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0108～0114</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融建言白皮書 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 稽核人員 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會採納金融建言白皮書3大類建議，要求銀行稽核人員需提升數位化查核能力</span></strong><br /><span style="vertical-align: top;">金融總會近期提出2021年金融建言白皮書，囊括23項議題共40項具體作法，金管會也回應將採納3大面向，包括擴大金融產業發展、金融科技創新與強化、支援實體經濟永續發展等，具體措施包括成立專案小組研議證券融通業務的風險總歸戶管理機制、常態化遠距投保、協助銀行業推動稽核人員數位化聯防訓練等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">在金融科技創新與強化面向，首先，金管會將採取常態化遠距投保，以及銀行辦理線上貸款的簽約對保的措施。此外，將由臺灣集中保管結算所規畫打造平臺，讓投信公司與保管銀行傳遞交割指示函等資料，藉此提升效率與降低人工作業風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">另外，為了協助銀行提升稽核人員數位化查核能力，金管會採納金融總會建議，銀行內部稽核工作需進行數位化轉型，以因應科技發展，實際作法像是將數位化查核能力納入銀行內部稽核人員受訓課程中的一環。金管會也在金融科技能力認證制度中，所規畫的數位法遵一職中，納入了智慧化稽核的培訓課程。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位人民幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微信 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 支付寶 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國境內2大電子支付業者皆支援數位人民幣測試，可觸及10億人</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國人民銀行旗下的數位貨幣研究所，近期釋出了支援Android與iOS的數位人民幣程式，顯示出除了多家中國官方銀行，以及去年就開始測試數位人民幣的支付寶之外，騰訊旗下的微信也將加入支援數位人民幣的行列。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">此一數位人民幣程式仍為測試版，提供民眾數位人民幣個人錢包的開通與管理、數位人民幣的兌換與流通服務，目前仍僅供測試區域的民眾註冊。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">螞蟻集團旗下的支付寶與騰訊的微信支付是中國前二大支付工具，而支付寶去年就參與了數位人民幣的測試，微信支付的加入將有助於推動數位人民幣的普及，中國境內兩大支付工具便觸及當地逾10億用戶。<a href="https://www.ithome.com.tw/news/148774">（詳全文</a></span><a href="https://www.ithome.com.tw/news/148774"><span style="font-size: 18.6667px;">）</span></a></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 摩根大通 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 巴林央行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境支付 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">巴林中央銀行採用摩根大通的數位貨幣JPM Coin進行即時跨境支付試點</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E5%B7%B4%E6%9E%97%E4%B8%AD%E5%A4%AE%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Central%20Bank%20of%20Bahrain.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期，巴林中央銀行（Central Bank of Bahrain，CBB）宣布完成一項區塊鏈試點，參與方包括阿拉伯銀行公司（Bank ABC）與巴林鋁業公司（Aluminium Bahrain，Alba），採用了摩根大通（J.P. Morgan）區塊鏈部門Onyx所開發的JPM Coin系統，共同完成了跨境支付試點。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由摩根大通推出的JPM Coin，可代表摩根大通帳號所持有美元的數位貨幣，當A客戶透過區塊鏈轉帳到B帳號時，JPM Coin能夠立即轉讓並兌換成等值的美元，目的在於減少傳統的結算時間。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此次試點內容由這家位於中東的中央銀行所監督，讓阿拉伯銀行公司能夠使用JPM Coin向巴林鋁業公司在美國的同行進行即時跨境支付。巴林中央銀行行長Rasheed Al Maraj表示，藉由此項區塊鏈試點，希望能解決長久以來傳統跨境支付帶來的效率低落問題。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 美國OCC </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 摩根史坦利 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 客戶資料外洩 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">摩根史坦利因伺服器報銷未清除客戶資料，遭美國貨幣總稽核辦公室重罰6千萬美元</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">路透社報導，摩根史坦利因未將欲報銷的伺服器上的客戶資料清除就賣給他人，遭到客戶集體控告，近期同意以6,000萬元美元達成和解。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">2016年，摩根史坦利關閉美國境內二座財富管理業務部門的資料中心時，未能將伺服器上未加密的客戶資料刪除乾淨、就賣給了第三方業者。當時，多達1,500萬名客戶對摩根史丹利提起集體控訴，雙方近期達成初步和解協議，並請求紐約法院同意。根據報導，受影響的客戶可獲得至少2年的詐欺保險賠償，並可申請最高10,000美元的現金補貼。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">摩根史坦利銀行指出，在資料外洩事件後該公司已經大幅強化其資料安全措施。美國貨幣總稽核辦公室介入調查本案，認為該公司未能有效解決報銷硬體的風險、適當處理客戶資料、評估報銷作業的委外作業風險，以及盡到選擇及監管委外廠商的責任，於2020年10月對摩根史丹利銀行及私人銀行部門，判處6,000萬美元的民事罰金。<a href="https://www.ithome.com.tw/news/148716">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 硬體錢包 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT市集 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈新創 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">庫幣科技數位資產硬體錢包整合NFT功能，可直接連結全球2大NFT平臺進行買賣</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E5%BA%AB%E5%B9%A3%E7%A7%91%E6%8A%80_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BA%AB%E5%B9%A3%E7%A7%91%E6%8A%80.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創庫幣科技近期宣布，其數位資產硬體錢包CoolWallet Pro整合了非同質化代幣（NFT）功能，使用者可在CoolBitX Crypto App中，直接連結全球最大NFT市集OpenSea，以及主打區塊鏈遊戲NFT資產的Rarible這兩個NFT交易平臺，來進行買賣。同時，可在App查看錢包中的NFT資產或將個人NFT收藏在卡片內展示。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣挖礦</span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 哈薩克 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">哈薩克比特幣算力名列全球第2，為鎮壓暴動一度切斷網路而衝擊全球15%比特幣挖礦活動</span></strong><br /><span style="font-size: 18.6667px;">中國政府於去年6月以斷電的強硬手段驅逐境內的比特幣礦場之後，中國礦工便就近轉移到以煤礦發電的哈薩克。哈薩克原本就占據全球比特幣算力的12%左右，但自去年6月開始接受中國礦工以來，所占算力已達全球的21.9%，僅次於美國的42.7%。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">然而，最近哈薩克的燃料大漲，促成當地民眾的抗議行動，再佐以民眾對哈薩克政府長期的不滿，更爆發了嚴重的衝突，在哈薩克政府請求俄羅斯派兵援助的當天，也要求電信業者中斷境內的網路。網路中斷不僅阻止了民眾的通訊，亦使得哈薩克境內的礦工無以為繼，數位資產融資業者Foundry副總裁Kevin Zhang向媒體透露，該國政府的行為讓全球比特幣挖礦算力瞬間減少15%。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">儘管該國的網路已恢復正常，但哈薩克並不鼓勵礦工於該國境內挖礦，已計畫於今年向這些礦場加徵稅賦，使得外界預期位於該國境內的礦工遲早會遷移至其它據點。<a href="https://ithome.com.tw/news/148768">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> OpenSea </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT市集 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">全球最大NFT市集OpenSea新一輪增資後市值達133億美元，身價在半年內大漲8倍</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">全球最大NFT市集OpenSea近期宣布已完成C輪增資，由Paradigm及Coatue領銜，再加上既有的股東，總計募集了3億美元的資金，而此次增資的OpenSea市值已由去年7月的15億美元，大幅增加至今年1月的133億美元，在短短的半年內身價大漲8倍。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">OpenSea創辦人暨執行長Devin Finzer表示，此次所募集的資金有4個目的，包括加速產品開發，改善客戶支援與客戶安全，擴大對NFT及Web3社群的投資，以及擴大經營團隊。Finzer指出，未來OpenSea將聚焦於降低進入NFT領域的門檻，以及讓人們更容易發現、管理與展示NFT。<a href="https://www.ithome.com.tw/news/148738">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">Central Bank of Bahrain</span><span style="font-size: 14pt; vertical-align: top;">、</span><span style="font-size: 14pt;">庫幣科技</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top; font-size: 18.6667px;">.</strong><strong style="vertical-align: top; font-size: 18.6667px;"> </strong><strong>Mozilla創辦人怒批加密貨幣嚴重危害地球生態後，Mozilla基金會宣布暫停接受加密貨幣捐款</strong><br /><strong>2. 面臨缺電危機，科索沃政府未來2個月禁止高耗能的加密貨幣挖礦活動 </strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/14 16:00作者李靜宜https://www.ithome.com.tw/news/148890
Google允許Android用戶關閉2G功能以防範基地臺模擬攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.eff.org/deeplinks/2022/01/victory-google-releases-disable-2g-feature-new-android-smartphones" target="_blank">電子前線基金會（EFF）本周指出</a>，Google去年悄悄地在Android平臺上新增了一項功能，允許用戶手動關閉手機上的2G功能，將可防範基地臺模擬攻擊，同時呼籲蘋果也應跟上Google的作法，以保障用戶的隱私安全。</p> <p>1991年問世的第二代行動通訊技術迄今仍受到Android與iOS等行動平臺的支援，不過，當時該技術並未考量到某些風險，例如流氓基地臺或是強大的加密能力，隨著市場已經進展到5G，許多有關2G的安全漏洞也一一曝光，其中之一為它薄弱的加密能力讓基地臺與手機之間的通訊可能遭到竊聽，其次則是基地臺至手機之間缺乏認證機制，使得任何人都能假冒為2G基地臺，而讓使用者陷入隱私風險，並成為部分政府的監控管道。</p> <p>此外，雖然2G許多安全漏洞到了4G的年代已被修補，但有些先進的基地臺模擬器能將使用者的4G連結降級到2G，進而開採2G漏洞，等同於4G用戶依然承受著2G漏洞的風險。</p> <p>不過，去年Google針對Android所作的變更將得以解決此一問題，使用者可藉由設定中的SIMs功能，手動關閉2G，可惜的是，該功能只適用於包括Pixel或Samsung等較新的Android手機，舊款裝置囿於硬體的限制而依舊無法關閉2G。</p> </div></div></div>
2022/1/14 14:26作者陳曉莉https://www.ithome.com.tw/news/148888
Firefox Focus跟進桌面版Firefox，加入全Cookie保護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla宣布在<a href="https://blog.mozilla.org/en/mozilla/new-privacy-protection-for-firefox-focus-on-android/">Firefox Focus的Android版本，加入全Cookie保護技術（Total Cookie Protection）</a>，而這也將是第一個擁有全Cookie保護技術的Firefox行動瀏覽器。官方提到，這將能減輕跨站追蹤，用戶資料被搜集的隱私風險。</p> <p>網際網路使用者的個人資料，包括姓名、住址、電子郵件地址、電話號碼甚至是出生年月日，可能在無意間被企業收集，而企業會使用這些資料，來製作針對用戶的廣告，像是重新推播用戶曾經瀏覽過的商品，甚至是在背景收集用戶的瀏覽行為，並在網站跳轉時持續追蹤。</p> <p>去年Mozilla發布全Cookie保護技術，阻止第三方使用Cookie在網路追蹤Firefox使用者，該技術使用了ETP（Enhanced Tracking Protection）隱私保護套件，透過結合全Cookie保護和超級Cookie保護技術，Android上的Firefox Focus用戶將免受遭受企業跨站追蹤。</p> <p>Mozilla解釋全Cookie保護技術的運作原理，是透過對每個網站維護獨立的餅乾罐（Cookie Jar），當網站或是網站嵌入的第三方內容，在瀏覽器中儲存Cookie時，Firefox Focus都會將該Cookie限制在分配給該網站的餅乾罐中，如此，其他網站便儲存不屬於自己的餅乾罐，也就無法收集其他網站對使用者的追蹤。因此可以大幅減少用戶看到煩人的廣告，並減少企業針對用戶在上網時所能夠收集到的資訊量。</p> <p>不過，嚴格限制Cookie，可能導致部分網站無法正常運作，因此官方在去年12月的時候，加入智慧封鎖（SmartBlock）功能以及其他能保持網站穩定運作的修補程式，官方提到，這些功能可以解決網站損壞，智慧封鎖則能修復全Cookie保護以及其他隱私保護措施，所造成的網站錯誤。</p> <p>像是部分網站包含託管在其他伺服器上的地圖，因此當預期的Cookie沒有發送至這些服務的伺服器，地圖功能就無法正常運作，也就是說，全Cookie保護功能啟用狀態，網站功能會被破壞，智慧封鎖則能透過簡單的手法，讓這些網站功能維持正常。</p> <p>另外，對於選擇更嚴格追蹤保護策略的用戶，SmartBlock使用替代腳本來代替第三方腳本，這些替代腳本扮演原始腳本的角色，確保網站運作，而這些替代腳本和Firefox綑綁在一起，因此能在不停用任何隱私保護措施下，無損地載入網站，同時最大程度降低追蹤的風險。</p> </div></div></div>
2022/1/13 11:25作者李建興https://www.ithome.com.tw/news/148852
【資安週報】2022年1月3日至7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2021年12月延燒至今的Log4Shell漏洞影響程度究竟有多大？除了五眼聯盟聯合發出警告，也有國家特別召集企業探討此事，我們還可以從本週美國聯邦貿易委員會（FTC）下達的公告，來看出端倪。這份公告特別向企業施壓，做好對於Log4Shell漏洞的因應，並警告一旦因這項漏洞導致客戶的資料外洩，他們將會採取法律行動。有別於過往FTC都是點名特定的企業祭出處罰，這次他們發出的公告，也突顯出此漏洞極為險峻，不惜以法律行動要求企業趕快處理。</p> <p>不只上述的公告特別引起各界關注，<a href="https://www.ithome.com.tw/news/148739">也有資安業者特別提到企業要準備長期抗戰</a>，該公司提到他們已經看到各式各樣的攻擊，且這樣的態勢仍在延續，加上Log4j存在許多應用系統裡，企業一時半刻往往難以修補完成，研判該漏洞的危害可能還會擴大。</p> <p>另一方面，過往較少出現的攻擊手法也值得我們留意。例如，美國警方發現停車計費器被貼上QR Code，攻擊者意圖對於想要使用行動支付的車主下手，藉著這種二維碼引導被害人到假的付款網站，來騙取信用卡資料。這種利用QR Code進行詐騙的情況，已有前例，例如，國內張貼商家和各式場所的實名制二維碼，過往也曾經傳出部分遭到竄改的情事，由於光是檢視QR Code很難察覺有異，民眾掃描這種條碼還是要小心。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/ftc-warns-companies-to-secure-consumer-data-from-log4j-attacks/"><span style="color: rgb(0, 0, 0);">美國政府要求企業力求客戶資料免於Log4Shell威脅，否則將採取法律行動</span></a></strong></h4> <p>美國聯邦貿易委員會（FTC）於1月4日發布公告，要求企業要防範Log4Shell漏洞的相關攻擊，以免客戶資料因此外洩。該單位揚言若是企業沒有採取適當的保護措施，他們可能會採取法律行動。FTC亦建議企業遵循美國網路安全暨基礎架構安全局（CISA）的指引，來緩解Log4Shell漏洞帶來的威脅。</p> <h4><a href="https://www.cyberscoop.com/chinese-hackers-use-log4j-exploit-to-go-after-academic-institution/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織利用Log4Shell攻擊學術機構</strong></span></a></h4> <p>資安業者CrowdStrike指出，他們發現名為Aquatic Panda的中國駭客組織，利用Log4Shell漏洞，鎖定使用遠端工作平臺VMware Horizon的學術機構發動攻擊。這項攻擊行動的過程裡，駭客找尋VMware Horizon採用的Tomcat網站伺服器元件下手，並下達一連串的Linux命令，使用寫死IP位址的Shell程式碼，從攻擊者的基礎設施取得其他作案工具。研究人員表示，由於在執行Tomcat服務的Windows伺服器上，也看到攻擊者執行上述Linux指令，而引起他們的注意，從而發現這起利用Log4Shell的攻擊行動。</p> <h4><strong><a href="https://portswigger.net/daily-swig/java-rmi-services-often-vulnerable-to-ssrf-attacks-research"><span style="color: rgb(0, 0, 0);">Java的RMI機制恐被用於伺服器端請求偽造攻擊</span></a></strong></h4> <p>日前駭客鎖定Log4Shell發動攻擊時，有部分攻擊行動駭客改以遠端方法呼叫（RMI）下手。但資安人員認為，駭客在其他針對Java程式語言開發的系統的攻擊過程裡，利用RMI的情況可能也相當嚴重。研究人員Tobias Neitzel指出，他發現能利用RMI來發動伺服器端請求偽造（SSRF）攻擊手法，原因可能是IT人員難以設置能夠保護RMI的組態，其中最常用的RMI服務JMX，很可能成為攻擊者優先鎖定的目標。這名研究人員也提供相關緩解措施。</p> <h4><a href="https://www.ithome.com.tw/news/148747"><span style="color: rgb(0, 0, 0);"><strong>NCC警告小米Mi 10T 5G手機存在過濾中國敏感政治詞彙的功能，恐有回傳資訊疑慮</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png" style="width: 300px; float: right;" /></a>國家通訊傳播委員會（NCC）於1月6日表示，在臺灣販售的小米Mi 10T 5G手機，經檢測發現手機內建的應用軟體，會對中國敏感政治詞彙進行比對，甚至可能進一步回傳資訊，提醒民眾重視手機的個人隱私保護意識。NCC調查的動機，起因是<a href="https://www.ithome.com.tw/news/146838">2021年9月立陶宛政府發現，Xiaomi Mi 10T 5G含有資安風險</a>，NCC隨後委託電信技術中心（TTC）檢測在臺灣銷售的同款手機，發現多款內建的App，會從伺服器下載中國敏感政治關鍵字的比對檔案「MiAdBlacklistConfig」，過濾如「自由西藏」、「臺灣獨立」等關鍵字詞，由於製造商能隨時遠端更新過濾規則，加上中國法規規定企業有配合國家情報的義務，恐導致使用者隱私曝露的隱憂。</p> <h4><a href="https://www.cw.com.tw/article/5119624"><span style="color:#000000;"><strong>愛心協會服務商網軟遭駭事件有後續消息，警方指出資料庫均未加密，也沒有PCI DSS認證</strong></span></a></h4> <p><a href="https://www.ithome.com.tw/news/146376">2021年7月底到8月，國內爆發假冒多個愛心捐款協會的詐騙案，當時iThome首先追查到是背後的資訊服務商網軟遭駭</a>，該公司在8月3日向客戶（愛心協會）表示遭駭，<a href="https://www.intersoft.com.tw/RWD01/list_1.aspx?id=595">相隔一段時間後，他們也已發布資安公告</a>，特別的是，最近這起事件有了後續消息，根據天下雜誌的報導，警方指出外洩的資料包括：捐款人姓名、住址、Email、電話、捐款方案、財務狀況，且資料庫並未加密，甚至，該公司有接受紙本信用卡扣款授權書，並會登打到系統，但公司卻沒有遵循PCI DSS及認證，同時，公益團體使用該公司服務卻也不曾注意。目前，網軟已決定不儲.存卡號與處理紙本刷卡授權書，但被駭範圍仍無法確定，已外洩的個資可能達6萬筆。附帶一提的是，此事件也突顯非營利組織（NGO）本身特性，可能與企業不同的狀況，政府、科技大廠如何提供幫助也將成為議題。</p> <h4><a href="https://www.zacks.com/stock/news/1846666/morgan-stanley-ms-to-pay-60m-penalty-over-data-breach-suit"><span style="color: rgb(0, 0, 0);"><strong>針對用戶資料外洩事故，摩根史坦利同意支付6千萬美元和解</strong></span></a></h4> <p>根據路透社報導，財務管理公司摩根史坦利（Morgan Stanley）於2016年，因關閉美國境內2座財富管理業務部門的資料中心，出售要報廢的伺服器，卻沒有完全清除這些主機上的客戶資料，而遭到近1,500萬名客戶提出集體訴訟，最近該公司同意以6千萬美元和解，受影響的客戶可獲得至少2年的詐欺保險，並可申請最高一萬美元的現金賠償。此案美國貨幣監理局（OCC）也介入調查，並於2020年10月判處摩根史坦利民事罰金6千萬美元。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ny-oag-hackers-stole-11-million-customer-accounts-from-17-companies/"><span style="color: rgb(0, 0, 0);"><strong>駭客針對17家公司進行撞庫攻擊，竊得110萬名客戶帳號</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Accounts compromised in credential stuffing shared online.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Accounts%20compromised%20in%20credential%20stuffing%20shared%20online.png" style="width: 300px; float: right;" /></a>美國紐約州總檢察長辦公室（NY OAG）近日向17家公司提出警告，這些公司約有110萬客戶的帳號，在撞庫（Credential Stuffing）攻擊事件中遭駭。NY OAG經過數個月監看網路社群後，發現上述遭到外洩的用戶帳密，來自網路零售業者、連鎖餐廳，以及食品配送服務業者，他們通知相關業者，以便能夠讓消費者儘速重設密碼。NY OAG也呼籲企業應採取相關防禦措施，包含監控網站是否遭到Bot機器人攻擊、採用雙因素驗證（MFA）等。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/dont-copy-paste-commands-from-webpages-you-can-get-hacked/"><span style="color: rgb(0, 0, 0);"><strong>小心，從網頁複製、貼上文字內容不再100%安全！資安業者警告有可能從中置換其他內容，執行攻擊者的命令</strong></span></a></h4> <p>從教學網站上複製命令，然後貼上命令提示字元視窗、終端機的畫面執行，可說是相當常見的做法。但資安教育訓練業者Wizer透過攻擊手法示範，攻擊者可以置換使用者複製的程式碼，而且在貼上之後立刻執行惡意指令。研究人員製作概念性驗證的攻擊文字，表面上使用者是看到普通的Linux軟體更新指令，但在複製的過程中，攻擊者透過網站的程式碼，將剪貼簿的內容替換成惡意指令，使用者貼上命令列時，便會直接執行攻擊者替換的指令，即使後來察覺貼上的命令與本來看到的不同，也為時已晚。</p> <p>Wizer呼籲IT人員，可以考慮在貼上之前先加上”#”，讓命令變成註釋以避免貼上就立刻執行的情況，或是調整終端機的配置，指定在貼上”\n”（換行指令）時不會自動執行。</p> <h4><strong><a href="https://www.bitdefender.com/blog/hotforsecurity/us-police-parking-meters-phishing-qr-codes/"><span style="color: rgb(0, 0, 0);">美國警方警告，停車繳費的QR Code可能會被用於網釣攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg" style="width: 150px; float: right;" /></a>資安業者Bitdefender指出，近日美國德州首府奧斯汀的警方提出警告，表示他們發現有人在停車計費器上，張貼QR Code，意圖引誘想要透過手機付款的車主，在冒牌的付款網站上付錢，進而騙取車主的信用卡資料。奧斯汀市在接獲通報後進行調查，發現超過100個計費器被貼上此種QR Code，呼籲民眾要加以留意。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/google-docs-commenting-feature-exploited-for-spear-phishing/"><span style="color: rgb(0, 0, 0);">駭客在網釣攻擊中運用Google Docs的評論功能</span></a></strong></h4> <p>郵件安全業者Avanan指出，他們自2021年6月開始提出警告，攻擊者可透過Google Docs或其他同廠牌的網頁應用程式，將用戶引導到惡意網站，隨後在12月他們發現實際的攻擊行動中出現新的手法，攻擊者利用Google Docs的評論功能，透過Google分享通知信件的機制，來散布惡意軟體。由於這種手法信件是以Google的名義寄出，受害者難以察覺異狀而容易上當。</p> <h4><strong><a href="https://unit42.paloaltonetworks.com/strategically-aged-domain-detection/"><span style="color: rgb(0, 0, 0);">五分之一老舊網域存在資安風險，恐被用於攻擊行動</span></a></strong></h4> <p>資安業者Palo Alto Networks指出，他們自2021年9月開始觀察數萬個網域，結果發現近期駭客來發動攻擊的網域，往往使用已經註冊一段時間的網域名稱，原因是資安業者往往優先檢查新註冊的網域（NRD）。這種被先註冊的網域名稱，攻擊者的目的是要維持其無害的記錄，而不致被資安系統識別為有害，研究人員發現，這種網域通常會先暫停使用2年，之後的DNS流量會爆增約165倍。而他們會調查這些網域的原因，主要與近期發現的Pegasus間諜軟體攻擊行動有關。</p> <h4><strong><a href="https://nakedsecurity.sophos.com/2021/12/30/instagram-copyright-infringment-scams-dont-get-sucked-in/"><span style="color: rgb(0, 0, 0);">攻擊者佯稱Instagram用戶版權爭議，意圖騙取帳密</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/ccn-page1-640.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ccn-page1-640.png" style="width: 200px; float: right;" /></a>資安業者Sophos針對攻擊者假借Instagram侵權的名義，進行網路釣魚攻擊的行為進行解析，並指出攻擊者已經使用更為幾可亂真的釣魚信，宣稱用戶的貼文遭到舉報有版權爭議，Instagram帳號將會被刪除。一旦使用者根據指示填寫申訴表格，將會被帶往專屬的詐騙網頁，當中含有疑似侵權的Instagram貼文，並要求用戶輸入2次密碼，最終在騙得密碼後，將用戶重新導向Instagram的版權說明網頁。研究人員提醒，要留意這類詐騙與真實侵權通知的不同之處，並使用多因素驗證（2FA）來保護自己的Instagram帳號。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-use-video-player-to-steal-credit-cards-from-over-100-sites/"><span style="color: rgb(0, 0, 0);">駭客透過網路影音串流服務，針對上百個房地產網站發動攻擊，竊取用戶信用卡資料</span></a></strong></h4> <p>資安業者Palo Alto Networks指出，他們發現一起網站側錄攻擊（Web Skimming）行動，鎖定房仲業者而來，攻擊者利用雲端影音代管服務，將惡意程式碼注入網站的影片播放器，一旦網站載入播放器便會遭到感染，超過100個房地產網站受害。研究人員指出，這個雲端影音代管服務提供用戶透過JavaScript指令集，來自訂播放器組態，他們認為攻擊者可能獲得上游JavaScript指令集的存取權限，從而注入惡意指令。</p> <h4><strong><a href="https://therecord.media/north-korean-hackers-attack-russian-diplomats-using-new-year-greetings/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Konni鎖定俄國外交官發動攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Happy-Holidays-Konni.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Happy-Holidays-Konni.jpg" style="width: 300px; float: right;" /></a>資安業者Cluster25指出，他們自2021年8月，追蹤北韓駭客組織Konni的動態，結果發現，近期他們鎖定俄羅斯駐印尼大使館，以祝賀2022年新年到來的名義，發動釣魚郵件攻擊，郵件挾帶具有俄文問候的螢幕保護程式檔案，一旦執行會在安裝螢幕保護程式的同時，植入RAT木馬程式，攻擊者進而控制受害電腦。此外，攻擊者亦假冒俄羅斯駐塞爾維亞大使館，而讓釣魚郵件更難被識破。</p> <h4><strong><a href="https://www.dailymail.co.uk/news/article-10365137/MoD-training-academy-targeted-sophisticated-cyber-attack-hostile-state.html"><span style="color: rgb(0, 0, 0);">英國國防培訓學院遭到攻擊，駭客意圖獲得軍事機密</span></a></strong></h4> <p>甫於去年8月離開英國軍隊的空軍元帥Edward Stringer，向當地媒體Sky News透露，國防培訓學院曾於2021年3月發現遭到網路攻擊，而被迫重新建置網路環境，迄今尚未完全復原。這名軍官表示，攻擊者瞄準國防培訓學院的目的，很可能是做為存取國防部（MoD）其他系統的跳板，但除了學校本身之外的單位並未受到影響。國防部發言人亦證實此事，並表示沒有影響該學院學生的學習。</p> <h4><strong><a href="https://www.jpost.com/israel-news/article-691342"><span style="color: rgb(0, 0, 0);">以色列新聞網站遭駭，疑與伊朗將領遇刺2週年有關</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/492842.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/492842.png" style="width: 300px; float: right;" /></a>耶路撒冷郵報（Jerusalem Post）指出，他們的網站在1月3日凌晨，疑似遭到親伊朗的駭客攻擊，在網站上植入一張圖片，內容是迪莫納核能設施遭到炸毀，並以英文和希伯來文寫下警語，表明攻擊者就在他們身邊，但是是在他們無法發現的地方。而這張圖片的左側還有一枚飛彈從戒指飛出，而這個戒指可能就是伊朗革命護衛警察（IRGC）指揮官Qasem Soleimani所有，意指該人在2020年前1月2日遭美國暗殺的事件。該媒體表示，目前攻擊來源尚不明朗，但這些駭客有可能受到國家支持。</p> <h4><a href="https://therecord.media/lapsus-ransomware-gang-hits-sic-portugals-largest-tv-channel/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Lapsus$攻擊葡萄牙大型媒體集團</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Impresa-ransom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Impresa-ransom.png" style="width: 300px; float: right;" /></a>勒索軟體駭客Lapsus$於2022年新年期間，攻擊葡萄牙最大的媒體集團Impresa，該集團旗下的電視臺SIC、新聞週刊Expresso的網站，皆被迫離線。SIC的有線頻道仍正常播放，但網路串流直播無法運作。資安新聞網站Record Media指出，駭客除加密檔案，亦聲稱能控制該公司AWS的帳號。Impersa員工一度取回上述帳號的控制權，但駭客隨即以Expresso的名義在推特發文，表明他們仍能存取Impresa的資源。</p> <h4><strong><a href="https://www.zdnet.com/article/rhode-island-attorney-general-opening-investigation-into-transit-authority-after-data-breach/"><span style="color: rgb(0, 0, 0);">美羅德島州公共交通管理局資料外洩，當局介入調查</span></a></strong></h4> <p>美國羅德島州公共交通管理局（RIPTA）於2021年12月21日發布公告，表明該單位於8月3日至5日，有資料遭到不明人士存取，這些資料疑似是與RIPTA提供的保健計畫有關，包含了參與者的社會安全號碼、生日、地址、醫療保險號碼，以及理賠資訊等，根據美國衛生及公共服務部（HHS）的資料，約有5,015人受到影響。但美國公民自由聯盟（ACLU）羅德島州分會指出，有不少人並非RIPTA的員工，亦沒有搭乘大眾運輸工具，卻也成為本次事故的受害者，認為RIPTA對此事件的處理不透明，而向他們投訴。羅德島州總檢察長辦公室也因收到大量相關投訴，針對此事展開調查。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148666"><span style="color: rgb(0, 0, 0);">遊戲大廠Sega歐洲雲端系統防護不足，致用戶資料及公司資產曝險</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg" style="width: 300px; float: right;" /></a>VPN服務評測網站VPN Overview指出，他們發現遊戲大廠Sega的歐洲AWS S3儲存桶防護不足，影響該公司26個網域或遊戲服務。研究人員指出，這些防護不足的現象，讓他們可以上傳或修改網站的檔案、執行程式碼、變造網頁及網域組態。這些網域包含Sega.com、downloads.sega.com、CDN.sega.uk、以及知名遊戲音速小子（Sonic the Hedgehog）、魔兵驚天錄（Bayonetta）及全軍破敵（Total War）等遊戲服務。Sega獲報後於去年10月底修正上述防護不足的情形。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/popular-qanda-app-curious-cat-loses-domain-posts-bizarre-tweets/"><span style="color: rgb(0, 0, 0);">社交網路應用Curious Cat失去其網域名稱所有權，並發布怪異的推文</span></a></strong></h4> <p>根據資安新聞網站Bleeping Computer的報導，名為Curious Cat的網路問答社群服務，約於2021年12月19日開始失去網域名稱所有權，當時網站已顯示網域名稱求售的內容，隨後不久便被替換成為網站正在維護的訊息，但商標與原本的完全不同。Curious Cat在推特上表明是因工作人員的疏失造成，並將服務原本Curiouscat.qa網域，更換為Curiouscat.me和Curiouscat.live，要求用戶更新Android與iOS的App才能繼續使用，不少用戶決定暫時停止使用Curious Cat的服務。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://portswigger.net/daily-swig/researcher-discovers-70-web-cache-poisoning-vulnerabilities-nets-40k-in-bug-bounty-rewards"><span style="color: rgb(0, 0, 0);">研究人員發現70個網站快取中毒漏洞，恐被攻擊者用於DoS或XSS攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/gram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gram.png" style="width: 300px; float: right;" /></a>資安研究人員Iustin Ladunca公布針對網站快取中毒（Web Cache Poisoning）的漏洞研究，這些漏洞存在於GitHub、GitLab、HackerOne、Cloudflare，以及採用Apache Traffic Server的伺服器。該名研究人員指出，由於現代網站嚴重依賴JavaScript和CSS樣式表，暫存伺服器設置又往往只支援靜態檔案，而使得這些暫存資料成為攻擊者下手的目標，可用於發動阻斷服務（DoS）攻擊，或是跨網站程式碼（XSS）攻擊。他總共因相關研究挖掘70個漏洞，獲得4萬美元獎金。</p> <h4><strong><a href="https://blog.assetnote.io/2021/12/26/chained-ssrf-websphere/"><span style="color: rgb(0, 0, 0);">HCL修補網站管理系統Websphere Portal的SSRF漏洞</span></a></strong></h4> <p><a href="https://www.ithome.com.tw/news/131635">在2019年從IBM買下Websphere Portal</a>，並更名為數位體驗（Digital Experience，DX）的印度IT業者HCL，在2021年12月30日發布資安通報，修補旗下DX系統的多項漏洞，其中1個攻擊者可用於發送惡意伺服器端偽造請求（SSRF）攻擊，CVSS風險層級為8.0分，影響Websphere Portal 9.0版及新版軟體的產品。DX是用於建置與管理網站的平臺，美國紐約州參議院、密西根州醫療系統MidMichigan Health、加拿大銀行都是其用戶，根據通報漏洞的資安業者Assetnote，全球網際網路上約有3千個DX系統，他們呼籲用戶要儘速修補。</p> <h4><strong><a href="https://trevorspiniolas.com/doorlock/doorlock.html"><span style="color: rgb(0, 0, 0);">研究人員揭露iOS漏洞，可利用HomeKit智慧家電癱瘓iPhone</span></a></strong></h4> <p>研究人員Trevor Spiniolas揭露一項iOS漏洞doorLock，這項漏洞存在於iOS 14.7至15.2，攻擊者可透過蘋果認證的HomeKit智慧家電裝置，藉由將這類裝置的名稱設置為50萬個字元的方式觸發漏洞，導致能探索HomeKit裝置的iPhone或iPad，家庭（Home）App可能會完全無法運作，甚至整個作業系統出現無法回應的情形。蘋果原本預計於2021年修補，但目前延後到2022年初才會提供更新軟體，使得該名研究人員公布相關細節，並呼籲用戶停用iOS裝置的「家庭設備」功能，來防範相關攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ios-malware-can-fake-iphone-shut-downs-to-snoop-on-camera-microphone/"><span style="color: rgb(0, 0, 0);"><strong>iOS惡意軟體可讓裝置假裝關機，然後進行偷窺、竊聽</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/hijack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hijack.jpg" style="width: 300px; float: right;" /></a>在過往許多iOS的惡意軟體攻擊中，受害者往往可透過重新啟動裝置，就有機會阻止惡意軟體在記憶體內運作，但這樣的方式可能已經不管用。資安業者ZecOps公布名為NoReboot的攻擊手法，這種方式可讓受害者以為iPhone已經關機，但實際上惡意軟體藉由挾持關機命令，而使得受害手機實際上維持開機的狀態，惡意軟體仍能繼續執行，並從麥克風與鏡頭，進行竊聽甚至是偷窺的行為。研究人員指出，由於這並非iOS作業系統的缺陷，蘋果很可能不會進行修補。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/firmware-attack-can-drop-persistent-malware-in-hidden-ssd-area/"><span style="color: rgb(0, 0, 0);">美光固態硬碟存在可濫用的隱藏磁區，恐被攻擊者用於藏匿惡意軟體</span></a></strong></h4> <p>高麗大學的研究人員發現，美光（Micron）為增加固態硬碟（SSD）運作效率，所加入的彈性容量機制，可能會被攻擊者濫用。研究人員表示，由於這種機制的保留空間無法透過作業系統直接存取，連帶防毒軟體也難以檢測，再加上SSD廠商基於效能考量，而實際上往往長達數個月才清除寫入的檔案，使得攻擊者能在這個磁碟區埋藏惡意軟體。研究人員呼籲固態硬碟業者，應提供相關的防禦措施。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.scmagazine.com/analysis/iot/new-guidance-tackles-role-of-manufacturers-in-medical-device-security-patient-safety"><span style="color: rgb(0, 0, 0);">美醫療設備採購組織發布供應商的資安評估指南</span></a></strong></h4> <p>由美國14個醫療設備採購組織所成立的醫療照護供應鏈協會（HSCA），近期提供相關設備的業者或服務商，發布新的網路安全指引，提及透過MITRE建立醫療設備的威脅模型劇本，以及這類設備的生命安全週期的管理等。他們提及醫療機構與設備製造商簽訂合約時，所需要留意的細節，而且最好要有資安團隊參與採購流程，以確保所有接到醫療機構網路上的設備，從設計之初就將資安納入考量。</p> <h4><strong><a href="https://thehackernews.com/2022/01/detecting-evasive-malware-on-iot.html"><span style="color: rgb(0, 0, 0);">檢測物聯網設備攻擊有新方法！研究人員透過電磁波進行偵測</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/hardware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hardware.jpg" style="width: 300px; float: right;" /></a>物聯網（IoT）設備相當多元，許多資安業者透過防入侵偵測系統（IDS）、端點偵測與回應（EDR）、網路偵測與回應（NDR），從流量檢查是否有遭到攻擊的跡象，但最近有了新的突破。電腦科學暨隨機系統研究所（IRISA）在2021年12月舉行的年度電腦安全應用會議（ACSAC）上，揭露他們藉由偵測物聯網裝置的電磁波，來確認是否遭到惡意軟體入侵的跡象。研究人員指出，這種透過硬體下手的做法，使得惡意軟體的規避手段無法發揮作用，且IT人員無須修改物聯網設備的情況下就能達到保護的效果，他們製作的檢測框架，還能識別不同類型的惡意軟體，如勒索軟體、殭屍網路病毒、RootKit等。</p> <h4><strong><a href="https://www.cna.com.tw/news/ait/202201030309.aspx"><span style="color: rgb(0, 0, 0);">深化臺印資安技術交流與研究，國網中心與印度堪坡理工學院簽屬合作備忘錄</span></a></strong></h4> <p>在12月3日，科技部駐印科技組表示，科技部轄下國家實驗研究院國家高速網路與計算中心與印度堪坡理工學院（IIT Kanpur）簽署合作備忘錄，將針對資安技術與研究，建立進一步的交流與合作，目前已有初步規畫，主要聚焦惡意程式行為分析及雲端資安攻防等議題，雙方將建立資安威脅模型，並配合OT安全與Cyber-Physical Systems（CPS）的需求，建立跨國資安研究平臺，主要提供雲端虛擬化的架構，讓雙方建置場域環境及資安應用情境。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/first-microsoft-pluton-powered-windows-11-pcs-unveiled-at-ces/"><span style="color: rgb(0, 0, 0);">搭載微軟安全處理器Pluton的個人電腦首度於CES亮相</span></a></strong></h4> <p>聯想在國際消費性電子產品展CES 2022中，發表了ThinkPad Z13和Z16筆記型電腦，這系列產品配置了AMD Ryzen 6000系列處理器，是首款具備Microsoft Pluton安全處理器的個人電腦。</p> </div></div></div>
2022/1/8 09:58作者周峻佑https://www.ithome.com.tw/news/148779
微信開始支援數位人民幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人民銀行旗下的數位貨幣研究所，<a href="https://apps.apple.com/cn/app/%E6%95%B0%E5%AD%97%E4%BA%BA%E6%B0%91%E5%B8%81-%E8%AF%95%E7%82%B9%E7%89%88/id1571652872" target="_blank">在本周釋出了支援Android與iOS的數位人民幣程式</a>，顯示出除了多家中國官方銀行，以及去年就開始測試數位人民幣的支付寶之外，騰訊旗下的微信也將加入支援數位人民幣的行列。</p> <p>此一數位人民幣程式仍為測試版，提供民眾數位人民幣個人錢包的開通與管理、數位人民幣的兌換與流通服務，目前仍僅供測試區域的民眾註冊。</p> <p>螞蟻集團旗下的支付寶與騰訊的微信支付是中國前二大支付工具，而支付寶在去年就參與了數位人民幣的測試，微信支付的加入將有助於推動數位人民幣的普及，中國境內兩大支付工具便觸及當地逾10億用戶。</p> <p>當微信用戶在數位人民幣程式上完成身分認證後，就能在微信內建的微信支付中，選擇收取數位人民幣或是以數位人民幣支付。</p> <p><a href="https://www.ithome.com.tw/news/145739" target="_blank">根據人民銀行去年上半年的統計</a>，中國已有十多個城市、132萬個場景成為數位人民幣的測試區域，超過1,000萬名用戶參與數位人民幣的測試，所交易的金額達到345億元人民幣，也將在今年2月於北京舉行的冬奧運動會，開放國際人士參與數位人民幣的測試。</p> </div></div></div>
2022/1/7 16:52作者陳曉莉https://www.ithome.com.tw/news/148774
Google被判侵犯Sonos的聲音專利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.usitc.gov/system/files/secretary/fed_reg_notices/337/337_1191_notice01062022sgl.pdf" target="_blank">美國國際貿易委員會（International Trade Commission, ITC）周四（1/6）裁決</a>，Google侵犯了美國音響設備業者Sonos的5項聲音專利，將禁止Google進口及銷售侵犯專利的相關產品。</p> <p>ITC是自2020年2月開始調查此案，去年8月初步判決Google侵犯Sonos專利，本周祭出的則是最終判決，除了要求Google不得再侵犯Sonos專利之外，也將禁止Google進口及於美國銷售侵權產品，預計於60天後生效。</p> <p><a href="https://www.androidpolice.com/google-pixel-chromecast-and-smart-speakers-may-be-banned-from-us-sale-following-sonos-lawsuit-loss/?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">根據《Android Police》所取得的Sonos聲明</a>，Google所侵犯的專利涉及家中音響系統的設定、多個喇叭之間的同步、不同喇叭的音量控制，以及喇叭的立體聲配對等。</p> <p>判決書中並未列出被封鎖的明確產品名稱，僅說它涉及特定的聲音播放器、聲音控制器與元件，而媒體則報導這可能涉及Google Nest智慧家庭產品、Pixel手機、Chromebook與Chromecast。</p> <p>在得知ITC的判決之後，<a href="https://www.googlenestcommunity.com/t5/Blog/Upcoming-Speaker-Group-changes/ba-p/77811" target="_blank">Google Nest團隊貼出了公告</a>，指出使用者設定裝置的方式與喇叭群組的功能將有所更動，包括無法再一次調整所有喇叭的音樂，涉及第三方品牌的喇叭群組功能將受限，並將有少數使用者被迫要透過Device Utility程式來完成產品的安裝與更新。</p> <p>而這只是Sonos與Google之間的其中一項訴訟案，Sonos也分別向洛杉磯及舊金山法院控告Google侵權，並仍在審理當中。</p> <p>事實上，Sonos似乎已猜到了Google對此一判決結果的反應，指出Google很可能會透過弱化或移除特定的產品功能來繞過ITC的要求，等於是犧牲了消費者的使用經驗，即便如此，Google依然侵犯Sonos的多項專利，奉勸Google最好還是付費使用專利才是上策。</p> </div></div></div>
2022/1/7 14:22作者陳曉莉https://www.ithome.com.tw/news/148762
AI趨勢周報第183期：斷詞等好久？Google開源新工具加速8倍工作時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1231～0106)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 斷詞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span></p> <p><span style="font-size: 22px;"><strong>斷詞等好久？Google開源新工具加速8倍斷詞時間</strong></span></p> <p>Google日前發表一套新英文斷詞工具Fast WordPiece Tokenization，能提高斷詞工作速度達8倍。一般來說，要打造自然語言處理（NLP）應用，得先將文章斷詞（Tokenization），也就是把文章切分為字或更小的單位，將非結構化的資訊轉化為ML模型可消化的序列型資料。在深度學習模型中（如BERT），每個切分過的字（Token）會映射為嵌入式向量，作為模型輸入值。</p> <p>但，傳統斷詞方法，會將不存在於詞彙表中的生字歸類為未知。為改善問題，現代NLP專家開發出WordPiece系統，可將字切分為更小的子字（Subword）單位，來讓模型有足夠的資訊，推敲出字的意思。</p> <p>而Google開發一套改良的WordPiece系統，不僅能縮短斷詞時間、降低模型延遲，還能節省算力成本。這個工具有兩大特色，一是單字WordPiece斷詞，Google利用自行設計的LinMaxMatch演算法來加速，讓運算時間隨輸入字串長度而線性成長，有別於傳統方法的次方成長。另一是全流程WordPiece斷詞，不像傳統方法先預斷詞再呼叫WordPiece來進一步斷詞，Google將這兩個流程合而為一，且所需時間也是線性成長。經測試，Google的工具比熱門的HuggingFace工具快上8.2倍，比TensorFlow Text快上5倍多。Google也將這個工具用於自家業務，後來也在TensorFlow Text正式釋出。<a href="https://ai.googleblog.com/2021/12/a-fast-wordpiece-tokenization-system.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEh44VqfUTWJqYATv-iy0ZqA7G0F8gXd-KiSF7OqV9YvmL7yYzusm-doYZ615JB93xvpwp-CXIEOvHQBNbLmimehdgay98PA0IKjbi6lmKsRAAL0yJ6Lro63E53k5KtD9xeI9lUFexyetXqdnIKAsx01T8ZfPmGJiZ0QCNP1HuNmZlcGl8wxE6JSnJzQvA=w640-h438" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英特爾 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨架構 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> oneAPI 2022 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>英特爾免費釋出跨架構工具包，主打AI效能最佳化</strong></span></p> <p>英特爾日前推出跨架構工具包oneAPI 2022，一口氣涵蓋900多項技術更新，主打跨架構程式設計、AI效能最佳化和生產力優化工具，內含自編譯器、函式庫、預先最佳化框架、分析器、除錯器等工具。就跨架構程式設計來說，oneAPI 2022有個統一的編譯器，可實作C++、Python在CPU和GPU的資料平行處理、SYCL和Fortran，以及建模與微調的進階加速器，還有AI工作流程加速器。此外，該工具包搭配新一代Optimization for TensorFlow與Optimozation for PyTorch，執行深度學習框架的速度快了10倍。<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-empowers-developers-oneapi-2022-toolkits.html#gs.li2fus">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 對抗攻擊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>ML模型如何抵抗惡意的干擾攻擊？IBM揭露心法</strong></span></p> <p>在機器學習模型預測越來越精準的同時，也有一種技術誕生，專門誘導模型給出錯誤的預測，這就是對抗攻擊（Adversarial attacks）。為提高模型抵抗力，IBM團隊展開研究，要找出模型脆弱之處和新風險。</p> <p>IBM發現，業界抵抗這種攻擊的方法，是用一套垂直聯合學習（VFL）框架，以多種來源的資料訓練模型，並只分享參數和梯度，來保護資料隱私。但這麼做的風險是，可從梯度中被推導出原始訓練資料。IBM也發展出一套攻擊手法CAFE3來驗證，不只能從梯度中還原資料，資料品質還比之前的攻擊手法好。於是，他們建議更好的做法是，利用合成梯度來訓練模型，而且，合成梯度的學習表現不會比真實梯度差。</p> <p>若是遇到資料污染問題，他們也提出2種解法，首先是依序淘汰不合格的機率，再來是降低獨特數據中，信賴區間的重疊。針對常見的對比學習方法，IBM也提出2個強化韌性的作法，一是讓模型專注於高頻率的訓練資料部分，二是利用特徵分群產生偽標籤。<a href="https://www.youtube.com/watch?v=9B2jKXGUZtc&t=3s">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/9B2jKXGUZtc?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 模型不確定性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Bean Machine </span></strong></span></p> <p><span style="font-size:22px;"><strong>如何測量模型不確定性？Meta開源Bean Machine函式庫可解題</strong></span></p> <p>Meta發布一款基於PyTorch的機率程式開發系統Bean Machine，可用來表達和了解日常ML模型中的不確定性。Bean Machine供使用者開發特定領域的機率模型，並用自動、不確定性學習演算法，來學習模型未觀察到的屬性。</p> <p>Bean Machine有三大好處，首先是不確定性估計，分析師能更全面掌握預測系統的行為，再來是表現性，Bean Machine能更好地表達結果意義，直接在原始程式碼中編碼模型，讓用戶能將模型的結構對應到問題的結果。最後是可解釋性，因為模型與領域相對應，所以可查詢模型中的中間學習屬性，這代表用戶不僅可使用模型「黑盒子」，還可以對特定預測的結果做出解釋，對於模型開發過程有很大的幫助。<a href="https://research.facebook.com/blog/2021/12/introducing-bean-machine-a-probabilistic-programming-platform-built-on-pytorch/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe12-2.fna.fbcdn.net/v/t39.8562-6/265629948_654943022167480_3395372637565397858_n.png?_nc_cat=111&ccb=1-5&_nc_sid=6825c5&_nc_ohc=02OQRnj_k3QAX9hlcvM&_nc_ht=scontent.ftpe12-2.fna&oh=00_AT-vQjl6vDpqbshZx5TlhOqhHXC15dnLdm5uBzokMs_WRA&oe=61DBE56C" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客製化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI API服務開放客製，GPT-3可自行微調來優化</strong></span></p> <p>開發人員可用自己的資料來微調語言模型GPT-3了！OpenAI指出，使用者可用來開發適合其應用程式的自定義版本，讓模型能用於更多使用案例中，執行成本更低、速度也更快</p> <p>OpenAI進一步表示，透過微調，模型輸出的正確率可從83％提升到95％。而要自定義模型也非常簡單，用戶只需要提供資料集檔案，並在OpenAI命令列工具執行單個指令，系統便會自動開始自定義版本訓練，並且在OpenAI API中提供服務。<a href="https://openai.com/blog/customized-gpt3/">（詳全文）</a></p> <p><img alt="" src="https://cdn.openai.com/post-customized-gpt3-viable.png?v=2" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ONNX Runtime </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Xamarin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動App </span></strong></span></p> <p><span style="font-size:22px;"><strong>ONNX Runtime 1.10支援Xamarin，開發者可用來打造AI行動App了</strong></span></p> <p>機器學習推理引擎ONNX Runtime 1.10版開始支援.NET框架專屬的行動App開發平臺Xamarin，讓開發者用C#程式語言來開發AI行動應用程式。ONNX Runtime 1.10版本的NuGet套件中，包含了對Android和iOS的支援，賦予開發者打造跨行動裝置AI應用程式的能力。</p> <p>除了對Android和iOS的支援，ONNX Runtime 1.10的新功能還包括加入X64和ARM64上的新量化核心，提升運算效能。在硬體的靈活度方面，新版本更新了TensorRT、DirectML、OpenVINO和DNNL Execution Providers，在Nvidia GPU上，Python GPU套件同時支援CUDA和TensorRT Provider，讓用戶更容易測試和使用。<a href="https://cloudblogs.microsoft.com/opensource/2021/12/14/add-ai-to-mobile-applications-with-xamarin-and-onnx-runtime/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 商湯科技 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 獨角獸 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上市 </span></strong></span></p> <p><span style="font-size:22px;"><strong>7年12輪融資，AI獨角獸商湯科技終於上市了</strong></span></p> <p>掛牌上市是不少AI新創的成長目標，2021年進入尾聲的倒數第二天，歷經7年多12輪融資和被美國列入黑名單的幾番波折，中國AI新創商湯科技終於在港交所掛牌上市，市值破256億美元。</p> <p>商湯科技專門打造智慧商務、智慧城市、智慧生活和智慧汽車等4大領域的AI軟體，專攻深度學習和電腦視覺等技術。7年多來累計開發了22,000個商用AI模型，就算力來說，他們擁有23個超級電腦叢集、2萬多張GPU，總算力達1.17百萬兆次浮點運算。研發人力約3,500多名，其中三分之二正攻讀碩博士，由40位教授帶帶領專案研究。</p> <p>商湯科技2020年總營收達5億多美元，歷年累積的融資金額高達52億美元。他們將資金大舉投入研究，光2021上半年的研發資金就高達27.8億美元。雖然，2018年至2021上半年營收將近15.7億美元，但同期間累計虧損約38億美元。盈利是商湯科技上市後，面對傳統網路公司和一般企業跨入AI領域競爭外的另一課題。<a href="https://www.sensetime.com/cn/news-detail/41164548?categoryId=72">（詳全文）</a></p> <p>圖片來源／Google、IBM、Meta、OpenAI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. Meta AI公布照片修改偵測大賽結果</strong></p> <p><strong>2. Amazon用深度強化學習打造NLU排名新工具</strong></p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/6 17:20作者王若樸https://www.ithome.com.tw/news/148745
開源的盜版影片串流服務Popcorn Time宣布退隱江湖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2014年問世的開源盜版影片串流服務「爆米花時間」（Popcorn Time），<a href="https://popcorn-time.tw/" target="_blank">近日於官網上宣布退隱江湖</a>，現有版本的作者除了於官網貼上R.I.P（Rest In Peace）之外，也向媒體證實他已關閉該專案。</p> <p>Popcorn Time透過BitTorrent技術，向使用者提供全球存放特定影片之不同電腦的連結，提供串流影片搜尋與播放服務，由於它蒐集了眾多的院線片，不僅免費提供，還有各種語言的字幕可供選擇，並支援Windows、macOS、Android與iOS平臺，剛上線就吸引了大量的使用者，<a href="https://s22.q4cdn.com/959853165/files/doc_financials/quarterly_reports/2014/q4/Q4_14_Letter_to_shareholders.pdf" target="_blank">更被2014年的Netflix視為最大的競爭對手之一</a>。</p> <p>而今，Popcorn Time官網上的爆米花圖示，已從開心的笑臉換成死掉的表情，更列出從2015年以來，大眾對Popcorn Time的興趣不斷下滑，暗示這是作者關閉該服務的主因。</p> <p>然而，這並不是Popcorn Time第一次消失，就在Popcorn Time剛上線的第一年，原始作者就受到執法機關的壓力而關閉該服務，但由於這是個開源專案，陸續有其他開發者接手維護它，2015年再因美國電影協會（MPAA）的施壓而關閉，而從2014年迄今，已數不清有多少開發者曾接手Popcorn Time。</p> <p>這使得外界推測，或許有朝一日Popcorn Time會再度復活。</p> </div></div></div>
2022/1/6 14:56作者陳曉莉https://www.ithome.com.tw/news/148742
Google擴充相容於Fast Pair的裝置，企圖整合Android生態體系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管Google因為COVID-19疫情的關係，而未能出席今年的CES 2022消費電子展，<a href="https://blog.google/products/android/ces2022-bettertogether/" target="_blank">然而Google仍透過官方部落格發表了今年對Android生態體系的期許與規畫</a>，打算藉由Fast Pair、Matter與超寬頻（Ultra-Wideband，UWB）等技術，整合Android生態體系，以及Android與Chromebook及Windows等其它平臺的互動，向蘋果生態體系看齊。</p> <p><a href="https://www.ithome.com.tw/news/117927" target="_blank">Google於2017年發表的Fast Pair為一透過低功耗藍牙（BLE）來掃描附近藍牙裝置的技術</a>，可快速讓Android手機與其它藍牙裝置配對，當時支援Fast Pair的只有少數的藍牙喇叭，但現在已有不少穿戴裝置、耳麥、喇叭、汽車、電視及智慧家庭裝置支援Fast Pair，由於它還會負責安裝與傳輸Google憑證，將允許使用者很快就能開始使用周邊的藍牙設備。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-Hfk1w_g_Wf4/WfeWsgYlyRI/AAAAAAAAEv0/wsUPm1BGZaMbBT2LNIKrb54RiC7XoAq0gCLcBGAs/s1600/image1.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>Google持續擴大Fast Pair的影響力，幾周後當使用者開啟支援Fast Pair的耳麥後，就能自動被Chromebook偵測到，一鍵即可配對；而今年推出的Chromebook，也將支援以Android手機進行設定，直接利用Android手機來設定及驗證Chromebook上的Google登入資訊及Wi-Fi 密碼，簡化Chromebook的設定流程。</p> <p>由連結標準聯盟（Connectivity Standards Alliance，CSA）在今年5月發表的<a href="https://www.ithome.com.tw/news/144351" target="_blank">智慧家庭連網標準Matter</a>亦將派上用場。由於Android已內建對Matter的支援，意謂著Android用戶將可透過Fast Pair快速連結智慧家庭裝置。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/2._Fast_Pair_Matter-enabled_devices.gif" style="width: 560px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>在解鎖方面，除了Android用戶已可利用手機來解鎖Chromebook之外，今年Googl將讓已配對的Wear OS智慧手錶來解鎖Chromebook、Android手機或Android平板電腦，或是以相容的三星或Pixel手機來解鎖BMW汽車。</p> <p>至於支援UWB的手機將可用來充當汽車的數位鑰匙，今年Google打算將此一數位鑰匙功能擴充到更多的Android手機與汽車品牌。</p> <p>此外，Google亦著手改善不同裝置之間的共享能力，正針對支援藍牙的耳機打造一項技術，令它們可自動將聲音切換到使用者正在收聽的任何設備，因此當使用者正戴著藍牙耳麥、觀賞於Android平板電腦上播放的電影時，若是Android手機響了，那麼耳麥就會自動切換至Android手機，掛斷電話之後再自動切回電影。</p> <p>Android手機與Chromebook之間的互動也將愈來愈密切，目前Chromebook用戶已可在該筆電上檢視與回應手機訊息，未來將能自Chromebook直接存取手機上的各種聊天程式，而且不必於Chromebook上安裝它們。</p> <p>今年Google還打算強化Android手機與Windows PC之間的連結，藉由Fast Pair快速設定藍牙設備，並透過Nearby Share同步文字簡訊與共享檔案，估計今年Acer、HP 與Intel就會聯手推出具備相關體驗的Windows PC。</p> </div></div></div>
2022/1/6 10:46作者陳曉莉https://www.ithome.com.tw/news/148728
全球最大NFT市集OpenSea新一輪增資的市值可能高達130億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著非同質化代幣（Non-Fungible Token，NFT）的交易日益熱絡，被視為全球最大NFT市集的OpenSea身價也隨之水漲船高，<a href="https://www.newcomer.co/p/sources-opensea-eyes-13-billion-valuation" target="_blank">《Newcomer》本周引述消息來源報導</a>，OpenSea最近正要展開的新一輪增資，其市值的估價可能高達130億美元。</p> <p>OpenSea創立於2017年，為一NFT的交易市集，目前該平臺總計提供了超過2,300萬個NFT產品，類別橫跨音樂、藝術、照片或虛擬世界等。主要營收為在交易成功後，向賣家收取2.5%的酬庸。初期OpenSea僅提供網頁平臺，一直到去年9月才發表支援Android與iOS的行動程式。</p> <p>其實OpenSea甫於去年7月完成由a16z領銜的B輪增資，當時增資的金額為1億美元，所估計的身價為15億美元，然而，<a href="https://www.theinformation.com/articles/nft-marketplace-opensea-offered-10-billion-valuation" target="_blank">《The Information》去年11月揭露</a>，OpenSea打算展開新一輪的增資，但市值已增加至100億美元，12月再傳出OpenSea的市值已達到120億美元，本周再增加至130億美元，意味著NFT的熱度與投資人對OpenSea的興趣有增無減。</p> <p>NFT為奠基於區塊鏈上的代幣，每個NFT都是獨一無二的，主要作為數位資產的憑證，現階段多被應用於當作藝術品的所有權，有鑑於創作者在「每一次」的交易或轉手都能獲得10%的權利金，使得創作者紛紛進場測試，還藉由免費「空投」的手法散布自己創作的NFT，而吸引不少使用者加入，以收藏或交易。</p> <p>目前要價最高的NFT作品，為美國數位藝術家暨圖像設計師Mike Winkelmann所創作的《Everydays. The first 5000 days》，<a href="https://www.ithome.com.tw/news/143180" target="_blank">價格超過6,900萬美元</a>。</p> <p class="rtecenter"><a href="http://www.ithome.com.tw/news/143180" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0312-beeple.jpg?itok=Xok7L0Ab" style="width: 600px;" /></a></p> <p>然而，投入NFT仍有許多未解的風險，包括它無法可管，可能有眾多的詐騙事件，且它是透過以太幣交易，幣值的揮發或是產品的流動性都是投資者必須承擔的風險，很可能只是花錢買了一堆無用或無從轉手的數位憑證。</p> </div></div></div>
2022/1/5 09:25作者陳曉莉https://www.ithome.com.tw/news/148710
ThirdEye推出僅有85公克的輕量級MR眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>增強實境與混合實境軟體開發廠商ThirdEye，推出了首款消費級混合實境眼鏡<a href="https://blog.thirdeyegen.com/thirdeye-announces-razor-mr-glasses-and-expands-into-consumer-metaverse">Razor MR Glasses</a>，該裝置設計輕巧，目標是要讓用戶穿戴一整天，以體驗沈浸式元宇宙。目前ThirdEye已經開始接受Razor MR Glasses的預購訂單。</p> <p>Razor MR Glasses重量輕巧只有85公克，使用戶能夠舒服配戴之外，平時可以摺疊收納方便攜帶，還特別針對近視的用戶，提供簡單調整度數的功能。不少混合實境頭戴裝置，都需要用戶透過疊加多個鏡片來調整度數，而在Razor MR Glasses上，用戶只需要轉動眼鏡側面的旋鈕，就可以改變度數，官方提到，這些設計都是要滿足虛擬實境解決方案需求，供用戶在日常使用。</p> <p>Razor MR Glasses能夠被應用在各種領域中，從遊戲娛樂到遠端醫療等，用戶可以從ThirdEye應用程式商店，取用各種混合實境應用程式，包括可用於遠端協助的RemoteEye，以及經HIPAA認證的遠端醫療應用RespondEye。</p> <p>RemoteEye供Razor MR Glasses用戶，獲得遠端維修人員的協助，或是保險用途的清點家中資產，RespondEye則可供醫療人員進行遠端醫療，並且在查看病患時獲得即時增強實境註釋。目前已經有遊戲開發商，在Razor MR Glasses上建構多人元宇宙應用，讓用戶能夠查看城市景觀的數位資訊，並且能夠在空間中觀看電影以及電視節目。</p> <p>Razor MR Glasses的螢幕具有70 Hz更新頻率和兩個降噪麥克風，能夠提供低延遲顯示，以及清晰的通訊品質。該眼鏡能夠連接大部分的Android和iOS裝置，支援包括所有顯示連接埠（DP）輸出，以及具有USB-C連接埠的筆電和平板電腦，也能夠透過HDMI接頭連接遊戲機。Razor MR Glasses執行Android 9.0作業系統，具有43度視野，相當於120吋的螢幕，電池續航力為8小時，具有語音控制和兩個高解析度指向型音響。</p> </div></div></div>
2022/1/4 15:56作者李建興https://www.ithome.com.tw/news/148705
【資安日報】2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年12月初開始，就引起IT業界關注的Log4Shell漏洞，在12月的倒數3天，又有資安業者揭露相關攻擊行動。他們發現中國駭客組織Aquatic Panda利用這項漏洞，來鎖定學術單位採用的VMware Horizon系統下手，而在此之前，利用這項漏洞的中國駭客組織，還有發動SolarWinds供應鏈攻擊的Hafnium。</p> <p>而在曝露於各式IT系統的Log4Shell漏洞之外，存在於企業內部應用系統的漏洞，也可能引發嚴重的災難。例如，網路叫車平臺Uber的內部郵件系統，被研究人員找到的漏洞也值得留意，因為，攻擊者可運用這項漏洞來假借Uber的名義，來騙取用戶與司機的信用卡資料。但這名研究人員揭露後，多名資安人員也表明他們曾向Uber通報相關漏洞，且同樣不被Uber承認。</p> <p>但上述提及的軟體漏洞之餘，上週大型物流業者、音訊裝置業者接連傳出雲端儲存桶配置不當的情況，接著又有遊戲大廠Sega也被發現類似的情形。研究人員發現，Sega的AWS S3儲存桶防護不足，可讓任何人上傳或修改部分網站的內容，甚至是竄改網域組態，所幸沒有遭到濫用的跡象。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.cyberscoop.com/chinese-hackers-use-log4j-exploit-to-go-after-academic-institution/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織利用Log4Shell攻擊學術機構</strong></span></a></h4> <p>資安業者CrowdStrike指出，他們發現名為Aquatic Panda的中國駭客組織，利用Log4Shell漏洞，鎖定使用遠端工作平臺VMware Horizon的學術機構發動攻擊。這項攻擊行動的過程裡，駭客找尋VMware Horizon採用的Tomcat網站伺服器元件下手，並下達一連串的Linux命令，使用寫死IP位址的Shell程式碼，從攻擊者的基礎設施取得其他作案工具。研究人員表示，由於在執行Tomcat服務的Windows伺服器上，也看到攻擊者執行上述Linux指令，而引起他們的注意，從而發現這起利用Log4Shell的攻擊行動。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148666"><span style="color: rgb(0, 0, 0);">遊戲大廠Sega歐洲雲端系統防護不足，致用戶資料及公司資產曝險</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg" style="width: 300px; float: right;" /></a>VPN服務評測網站VPN Overview指出，他們發現遊戲大廠Sega的歐洲AWS S3儲存桶防護不足，影響該公司26個網域或遊戲服務。研究人員指出，這些防護不足的現象，讓他們可以上傳或修改網站的檔案、執行程式碼、變造網頁及網域組態。這些網域包含Sega.com、downloads.sega.com、CDN.sega.uk、以及知名遊戲音速小子（Sonic the Hedgehog）、魔兵驚天錄（Bayonetta）及全軍破敵（Total War）等遊戲服務。Sega獲報後於去年10月底修正上述防護不足的情形。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/popular-qanda-app-curious-cat-loses-domain-posts-bizarre-tweets/"><span style="color: rgb(0, 0, 0);">社交網路應用Curious Cat失去其網域名稱所有權，並發布怪異的推文</span></a></strong></h4> <p>根據資安新聞網站Bleeping Computer的報導，名為Curious Cat的網路問答社群服務，約於2021年12月19日開始失去網域名稱所有權，當時網站已顯示網域名稱求售的內容，隨後不久便被替換成為網站正在維護的訊息，但商標與原本的完全不同。Curious Cat在推特上表明是因工作人員的疏失造成，並將服務原本Curiouscat.qa網域，更換為Curiouscat.me和Curiouscat.live，要求用戶更新Android與iOS的App才能繼續使用，不少用戶決定暫時停止使用Curious Cat的服務。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/pulsetv-discloses-potential-compromise-of-200-000-credit-cards/"><span style="color: rgb(0, 0, 0);"><strong>網路購物平臺PulseTV遭駭，20萬張信用卡資料外洩</strong></span></a></h4> <p>美國網路購物平臺PulseTV驚傳資料外洩，根據該公司與緬因州檢察總長辦公室報告的資料，至少有20萬名客戶受到影響。這家業者自2021年3月察覺未經授權的信用卡交易，但直到當地執法部門通報，他們才與外部資安業者合作，研判約從2019年1月1日至2021年8月31日使用信用卡購物的客戶，可能會受到此次攻擊事件影響。該公司宣布，將轉換到其他支付系統，並要求客戶啟用雙因素驗證來防範相關攻擊。</p> <h4><strong><a href="https://unit42.paloaltonetworks.com/strategically-aged-domain-detection/"><span style="color: rgb(0, 0, 0);">五分之一老舊網域存在資安風險，恐被用於攻擊行動</span></a></strong></h4> <p>資安業者Palo Alto Networks指出，他們自2021年9月開始觀察數萬個網域，結果發現近期駭客來發動攻擊的網域，往往使用已經註冊一段時間的網域名稱，原因是資安業者往往優先檢查新註冊的網域（NRD）。這種被先註冊的網域名稱，攻擊者的目的是要維持其無害的記錄，而不致被資安系統識別為有害，研究人員發現，這種網域通常會先暫停使用2年，之後的DNS流量會爆增約165倍。而他們會調查這些網域的原因，主要與近期發現的Pegasus間諜軟體攻擊行動有關。</p> <h4><strong><a href="https://research.checkpoint.com/2021/a-deep-dive-into-doublefeature-equation-groups-post-exploitation-dashboard/"><span style="color: rgb(0, 0, 0);">APT駭客運用DanderSpritz事件記錄框架，進行偵察與持續在受害電腦的工作</span></a></strong></h4> <p>資安業者Check Point指出，他們發現Equation Group駭客組織在使用的DanderSpritz惡意框架裡，搭配名為DoubleFeature的日誌記錄工具，來追蹤惡意框架的運作狀態。研究人員指出，這個工具監控了DanderSpritz的遠端存取模組、資料洩露後門、持久性工具等模組是否正常運作，而能在受害電腦上長時間進行監控。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/uber-ignores-vulnerability-that-lets-you-send-any-email-from-ubercom/"><span style="color: rgb(0, 0, 0);">網路叫車平臺的Uber郵件系統存在漏洞，可被用於騙取信用卡資料</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/email-from-uber.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/email-from-uber.jpg" style="width: 300px; float: right;" /></a>漏洞懸賞獵人Seif Elsallamy指出，他發現了網路叫車平臺Uber系統裡的漏洞，一旦有人利用這項漏洞，就能以Uber的名義發送電子郵件，研究人員也進行概念性驗證攻擊，藉著這項漏洞，成功發送要求用戶驗證信用卡資料的攻擊信件，而且，該信件亦通過DKIM和DMARC等安全檢查。然而，Uber獲報後認為，這必須要透過社交工程才能發揮作用，而認定不是他們漏洞懸賞計畫範圍的漏洞，但該名研究人員指出，這項漏洞若是與該公司2016年外洩的用戶與司機個資搭配使用，將會產生嚴重的後果。</p> <h4><strong><a href="https://trevorspiniolas.com/doorlock/doorlock.html"><span style="color: rgb(0, 0, 0);">研究人員揭露iOS漏洞，可利用HomeKit智慧家電癱瘓iPhone</span></a></strong></h4> <p>研究人員Trevor Spiniolas揭露一項iOS漏洞doorLock，這項漏洞存在於iOS 14.7至15.2，攻擊者可透過蘋果認證的HomeKit智慧家電裝置，藉由將這類裝置的名稱設置為50萬個字元的方式觸發漏洞，導致能探索HomeKit裝置的iPhone或iPad，家庭（Home）App可能會完全無法運作，甚至整個作業系統出現無法回應的情形。蘋果原本預計於2021年修補，但目前延後到2022年初才會提供更新軟體，使得該名研究人員公布相關細節，並呼籲用戶停用iOS裝置的「家庭設備」功能，來防範相關攻擊。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/firmware-attack-can-drop-persistent-malware-in-hidden-ssd-area/"><span style="color: rgb(0, 0, 0);">美光固態硬碟存在可濫用的隱藏磁區，恐被攻擊者用於藏匿惡意軟體</span></a></strong></h4> <p>高麗大學的研究人員發現，美光（Micron）為增加固態硬碟（SSD）運作效率，所加入的彈性容量機制，可能會被攻擊者濫用。研究人員表示，由於這種機制的保留空間無法透過作業系統直接存取，連帶防毒軟體也難以檢測，再加上SSD廠商基於效能考量，而實際上往往長達數個月才清除寫入的檔案，使得攻擊者能在這個磁碟區埋藏惡意軟體。研究人員呼籲固態硬碟業者，應提供相關的防禦措施。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/netgear-leaves-vulnerabilities-unpatched-in-nighthawk-router/"><span style="color: rgb(0, 0, 0);">Netgear路由器存在漏洞，攻擊者可用於接管設備</span></a></strong></h4> <p>資安業者Tenable指出，Netgear旗下的Wi-Fi路由器Nighthawk R6700v3，存在6個高風險漏洞，一旦攻擊者利用這些漏洞，將能完全控制路由器設備，雪上加霜的是，該路由器亦採用了存在漏洞的jQuery程式庫（1.4.2版），以及具有已知弱點的MiniDLNA伺服器軟體（未透露版本）。研究人員在9月30日通報Netgear，不過迄今該廠商尚未發布修補程式。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/have-i-been-pwned-adds-441k-accounts-stolen-by-redline-malware/"><span style="color: rgb(0, 0, 0);">密碼外洩查詢網站HIBP加入由竊密軟體RedLine偷到的帳密資料</span></a></strong></h4> <p>提供外洩帳密查詢的網站Have I Been Pwned（HIBP），資料來源多半是遭受攻擊的網站服務，但他們最近新加入的資料，是攻擊者透過竊密軟體RedLine從受害電腦裡，所挖掘的各式帳號和密碼。這些資料是由資安研究員Bob Diachenko發現，存在於未設防的伺服器，約自2021年8月至9月收集而得，總共超過600萬筆資料，經過分析後約有44.1萬個不重複的帳密，其中包含了許多用戶在密碼管理服務LastPass裡，所採用的主密碼（Master Password），研究人員懷疑可能與日前LastPass傳出資料外洩的事故有關。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/3 14:20作者周峻佑https://www.ithome.com.tw/news/148681
BlackBerry OS、軟體1/4起終止運作，影響資料、通話及緊急服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾經被視為商用人士必備的黑莓機也將劃下句點。<a href="https://www.blackberry.com/us/en/support/devices/end-of-life" target="_blank">黑莓機製造商BlackBerry在去年12月最後一周宣布</a>，BlackBerry 7.1 OS、BlackBerry 10軟體、BlackBerry PlayBook OS 2.1及之前版本，將在2022年1月4日終止運作，即終止生命周期（End of Life，EoL）。屆時，所有跑這些軟體的裝置，不論是Wi-Fi上網或是行動連網的服務，包括資料傳輸、打電話、簡訊或911緊急通話都會發生運作不穩定的問題。</p> <p>BlackBerry在2020 年9月時便宣布這項消息，並為了感謝合作夥伴及用戶，將這些服務的支援延到2022年1月4日。BlackBerry表示這些服務的終止也會影響BlackBerry代管郵件信箱、BlackBerry Link、桌機管理員軟體、BlackBerry Blend、Black Protect（允許遠端封鎖BlackBerry 10手機、刪除資料及定位）等服務。但不影響同名為BlackBerry Protect的AI端點安全方案。</p> <p>同時，跑Android的BlackBerry手機也仍然可持續運作。</p> <p>黑莓機（BlackBerry）是由加拿大廠商RIM推出的商用手機，在21世紀初期以其實體按鍵及安全性受到商務及政界人士歡迎，曾經在美國拿下一半市占。但隨後不敵蘋果iPhone以及三星等Android手機的競爭，而逐漸流失客戶。</p> <p>2013年BlackBerry推出最後一版OS BlackBerry 10，2015年BlackBerry宣布轉向支援Android，但仍無法起死回生。2016年BlackBerry宣布轉型為純軟體公司，並逐漸朝<a href="https://www.ithome.com.tw/news/127111" target="_blank">物聯網</a>、<a href="https://www.ithome.com.tw/news/120927" target="_blank">企業安全軟體</a>發展。</p> <p>另一方面，在Android手機方面，BlackBerry已經尋求以品牌授權作為最後的業務收入。2016年12月BlackBerry授權中國TCL生產黑莓（BlackBerry）機，不過合約於2020年8月到期（<a href="https://www.ithome.com.tw/news/135644">https://www.ithome.com.tw/news/135644</a>）也不再續約，外界認為已是黑莓機的終點。</p> <p><a href="https://www.ithome.com.tw/news/139517" target="_blank">2020年中</a>，它和一家新創公司OnwardMobility及鴻海子公司富智康（FIH Mobile）合作，將由富智康代工生產具有實體鍵盤的5G版Android黑莓機，預定在北美和歐洲推出。不過<a href="https://www.theverge.com/2021/12/31/22861141/blackberry-legacy-devices-dead-lose-functionality-january-4th" target="_blank">The Verge報導</a>這家公司去年1月已不再更新公司官網。</p> </div></div></div>
2022/1/3 09:19作者林妍溱https://www.ithome.com.tw/news/148671
HTTP用戶端歷史與API架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Java生態圈裡，若想發起HTTP請求，用戶端的選擇非常豐富。之所以如此，一方面是因為HTTP標準的發展：1996年HTTP1.0至1999年HTTP1.1，僅間隔三年，然而，卻過了十六年，才於2015年正式批淮HTTP/2。</p> <p>另一方面，是標準API的HttpURLConnection，用起來手續繁雜，在這十幾年中，Web技術前後端的變化，以及Android的興起，種種因素造就各時期需求不同，因而有了各個HTTP用戶端的興起與更迭。</p> <p><span style="font-size:28px;"><strong>Java的HTTP用戶端</strong></span></p> <p>若是Java領域資深開發者，對於Apache Commons HttpClient一定不陌生。它從2001年開始，對Java標準API做了封裝，2005年由HttpComponents專案取代；Android 1.0內建HttpClient，後來Android為了API的一致性，凍結了HttpClient 4.0，本來期待Google對其做出維護，然而並沒有，到了Android 6.0以後，也不再內建HttpClient。</p> <p>Android開發者後來熟悉的是Square的OkHttp，Android 4.4也用OkHttp實現HttpURLConnection，隨著後來RESTful的概念興起，Square也基於OkHttp推出Retrofit，實現RESTful風格的操作；當然，談到RESTful，熟悉Spring的開發者，應該會馬上聯想到Spring的RestTemplate。</p> <p>HTTP請求會有非同步的需求，像是OkHttp這類基於回呼模型的程式庫，在各個請求回應的銜接需求複雜時，容易面臨回呼地獄的問題，後來興起了Reactive運動，也有了RxJava之類的實現，可以整合OkHttp、Retrofit，實現Reactive風格的操作，甚至後來也推動了Reactive的標準化。</p> <p>此外，Spring的Reactor也實現了Reactive Streams規範，就HTTP用戶端而言，其WebFlux基於Reactor，提供了WebClient。</p> <p>當然Java的HTTP用戶端發展史，並不是只有以上談到的程式庫，重點在於藉由瞭解這個過程，認識HTTP請求時所伴隨的一些需求；回過頭來，JDK本身的方案呢？有的！Java 11推出了HttpClient。</p> <p><span style="font-size:28px;"><strong>Java 11 HttpClient API</strong></span></p> <p>談到非同步，以及Reactive的風潮、需求與標準化，這也推動了JDK本身，Java 8提供可實現非同步處理的CompletableFuture，Java 9正式納入Reactive規範，在Flow類別上，定義四個介面，各介面定義的方法簽署與org.reactivestreams套件的定義一致。</p> <p>如果你對這段歷史發展有興趣，可參考先前專欄<a href="https://www.ithome.com.tw/voice/112435" target="_blank">〈Reactive與Java 9〉</a>，這裡也談到，Flow API尚在等待實作品，但更精確地說，是在等待正式實作品，Java 9其實就有處於孵化階段的Flow API實作品，也就是後來於Java 11正式推出的HttpClient API。</p> <p>想認識HttpClient API用法，網路有許多文件，或者可直接參考OpenJDK官網的<a href="https://bit.ly/3y0jxpH" target="_blank">〈Introduction to the Java HTTP Client〉</a>，可以認識基本使用方式。另一個則是<a href="https://bit.ly/3DpFsaU" target="_blank">〈Examples and Recipes〉</a>，我們可看到在JSON請求回應、Proxy等需求下如何撰寫程式。</p> <p>如果只是想使用HttpClient等現成的API，來組織想要的網路請求與回應，大概看個幾篇文件就能上手了，例如，一個簡單的POST請求回應：</p> <pre> var request = HttpRequest.newBuilder(uri).POST(ofString("k=v")).build(); var response = client.send(request, ofString()); var body = response.body();</pre><p>就算沒正式看過文件，應該也不難理解這個程式片段的作用，其中client是HttpClient.newHttpClient方法建立的HttpClient實例，而send()是同步方法，傳回HttpResponse實例，透過body方法可以取得字串回應，對於非同步操作，HttpClient可以透過sendAsync方法，取得CompletableFuture實例，後續透過thenXXX等方法，可以進一步處理本體。</p> <p><span style="font-size:28px;"><strong>HttpClient API與Reactive</strong></span></p> <p>CompletableFuture？就這樣嗎？不是說HttpClient API是Flow API的實作品嗎？Reactive的部份呢？首先要知道的是HttpClient實例，實質上就等效於請求本體的訂閱者、回應本體的發布者。</p> <p>至於請求本體真正的發布者，是HttpRequest.BodyPublishers的ofXXX方法傳回的BodyPublisher實例，而BodyPublisher是Flow.Publisher的子介面，例如上面程式片段POST方法中看到的ofString，指定了字串作為本體來源，將資料發布給HttpClient，BodyPublishers也有ofFile、ofInputStream等方法，可在檔案、串流作為本體來源時使用。</p> <p>上例中BodyHandlers的ofXXX會傳回BodyHandler實例，BodyHandler是個函式介面（functional interface），其apply方法會傳回BodySubscriber實例，而BodySubscriber是Flow.Subscriber的子介面，BodySubscriber顧名思義是作為回應本體的訂閱者，上例中send方法中的ofString，最終是向HttpClient訂閱回應，然後轉換為字串，這也正是BodyHandler會在呼叫send（sendAsync）時指定的原因。</p> <p>也就是說，從請求到回應的過程，BodyPublisher會作為請求本體的資料來源，它會發布資料，而HttpClient實質上作為資料的訂閱者，轉換為HTTP協定內容後進行請求；當HttpClient收到回應，會作為回應本體的資料來源，它會發布資料，而你指定的BodyHandlers.ofXXX方法，最後會取得BodySubscriber實例作為訂閱者，將收到的回應資料轉為想要的格式，然後，透過HttpResponse的body方法取得（同步）或用thenXXX處理（非同步）。</p> <p>在CompletableFuture不敷使用時，若能瞭解這個API架構，要在各種請求、回應之間進行流式銜接的方式，就清晰了。例如，想將某個來源作為請求本體發送，就是實作BodyPublisher後、指定實例給HttpRequest，BodyPublishers本身也有fromPublisher，可便於銜接Flow.Publisher的實作。</p> <p>若是想將網站的回應做進一步處理，那麼，就實作BodyHandler。其中的BodySubscriber實作會訂閱回應，至於該怎麼轉換回應？就是在BodySubscriber中實作，BodyPublishers本身也有fromSubscriber，可以便於銜接Flow.Subscriber的實作。</p> <p>想對Java 11的HttpClient有更深入的認識，可參考<a href="https://bit.ly/302nhKT" target="_blank">〈Java 11 Reactive HTTP Client〉</a>這個議程，其中也有BodyPublisher、BodySubscriber的實作示範。</p> <p><span style="font-size:28px;"><strong>瞭解歷史與API架構</strong></span></p> <p>當我們收集、整理Java生態圈HTTP用戶端方案，單看入門文件或範例程式碼，老實說對於釐清哪個能符合需求無太大幫助，反而要認識各方案發展過程，比較能知道哪個環境或需求下，該使用哪個。像是：在Android使用OkHttp與RxJava？已有Spring或WebFlux，或許就用RestTempalte、WebClient？想要原生標準API？Java 11的HttpClient如何呢？</p> <p>另一方面，認識API架構絕對是有幫助的，畢竟在各方案現成的API不敷使用時，自行封裝、實作、組合就會是必要之舉，這時API設計上是否有彈性，能否符合需求就會是重要考量，這邊是以Java 11 HttpClient API來作剖析，畢竟相對而言，它對開發者來說比較新鮮，可以順便認識一下其API架構。</p> <p>面對其他方案，也建議對API架構做類似剖析，多找原始碼分析的文件，最好是自行翻閱各方案原始碼，作為實作參考，如Java 11 HttpClient API的BodyPublishers、BodyHandlers上ofXXX方法的相關實作，就是實作發布者、訂閱者很好的參考對象。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/http%E8%AB%8B%E6%B1%82">HTTP請求</a></div><div class="field-item even"><a href="/tags/java">Java</a></div><div class="field-item odd"><a href="/tags/java-11">Java 11</a></div><div class="field-item even"><a href="/tags/httpclient-api">HttpClient API</a></div><div class="field-item odd"><a href="/tags/reactive">Reactive</a></div></div></div>
2021/12/29 07:00作者林信良https://www.ithome.com.tw/voice/148524
【資安日報】2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Ro…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到今日，Log4Shell漏洞仍餘波盪漾，主要這個漏洞影響層面甚廣。有多家IT業者發出公告，說明旗下產品使用Log4j的情形，並提出緩解措施或是修補程式。其中，HPE、IBM都分別針對旗下數十款產品發布修補程式，Nivida也公布他們有3款系統受到不同程度的影響，而VMware則是針對日前已遭Conti勒索軟體組織鎖定的vCenter，提出緩解措施。</p> <p>除了Log4Shell已成為多個勒索軟體大肆活動的入侵管道，勒索軟體Rook的攻擊行動也相當值得留意，因為，駭客使用UPX、VMProtect封裝該勒索軟體後，難以偵測而能快速成功攻陷受害組織。在駭客宣布發動攻擊的4天之後，就已經有受害組織出現，該組織亦宣稱竊得超過1,000 GB機密資料。</p> <p>而在Log4Shell漏洞之外，操作科技（OT）系統的漏洞也相當值得重視，因為，近期有2則新聞屬於這種類型的漏洞揭露，包含了mySCADA旗下的myPRO，以及醫療注射幫浦系統B. Braun Infusomat的漏洞，前者研究人員發現的漏洞，廠商分成2次才修補完成；後者則是資安業者揭露後發現，攻擊者很有可能串連利用漏洞，而引發更嚴重的後果，因而再度於近期提出警告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.sentinelone.com/labs/new-rook-ransomware-feeds-off-the-code-of-babuk/"><span style="color: rgb(0, 0, 0);">勒索軟體Rook透過驅動程式停用防毒軟體，並利用軟體封裝工具規避偵測</span></a></strong></h4> <p>自11月26日，資安研究人員Zack Allen在VirusTotal發現，名為Rook的勒索軟體正在招兵買馬，宣稱急需大量金錢而成立駭客組織。但在11月30日，該組織公布第1個受害組織為哈薩克金融機構，並宣稱竊得1,123 GB資料。資安業者SentinelOne取得勒索軟體Rook的檔案進行分析發現，這個勒索軟體透過Cobalt Strike等滲透測試框架散布，且使用UPX、VMProtect封裝，而使得偵測的難度更高。而Rook是自Babuk勒索軟體駭客解散後，以Babuk程式碼修改而成的新勒索軟體。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/global-it-services-provider-inetum-hit-by-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>跨國IT服務供應商Inetum遭勒索軟體攻擊</strong></span></a></h4> <p>法國大型IT服務業者Inetum於12月23日發出公告指出，他們在19日遭到勒索軟體攻擊，影響當地部分業務，但對於客戶的主要基礎設施、協作工具、交付作業並未受到影響。根據法國新聞網站LeMagIt指出，該公司疑似遭到勒索軟體Blackcat攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/dridex-omicron-phishing-taunts-with-funeral-helpline-number/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Dridex透過Omicron變種病毒發動網釣攻擊</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/funeral-assistance-alert.jpg" style="width: 300px; height: 167px; float: right;" />近期惡意軟體Dridex的攻擊行動已有數起，且攻擊者意圖嘲笑資安研究人員與受害者。例如，他們日前以解僱為由引誘受害人開啟附件，再顯示「聖誕節快樂」的訊息。而這幾天研究人員TheAnalyst發現，攻擊者也透過武漢肺炎變種病毒Omicron確診的名義，散布Dridex，一旦受害者不慎依照指示開啟附件的Excel檔案，並啟用巨集，這個惡意軟體就會顯示警示訊息，內容為提供武漢肺炎葬禮服務專線的電話號碼。</p> <h4><strong><a href="https://www.elastic.co/blog/elastic-security-uncovers-blister-malware-campaign"><span style="color: rgb(0, 0, 0);">攻擊者利用惡意軟體Blister投放作案工具</span></a></strong></h4> <p>資安業者Elastic Security指出，他們發現名為Blister的惡意軟體投放工具，該下載器具備有效的簽章，且藉由與一般程式庫拼接的方式，使得該工具難以被VirusTotal上的防毒引擎識別為有害。研究人員指出，Blitster的程式碼被嚴重混淆，且在執行時會先休眠10分鐘才開始運作，攻擊者這麼做的目的，是為了逃避沙箱的檢測。該惡意軟體最終會投放Cobalt Strike或BitRat等，以便攻擊者進行第2階段行動。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/phishing-campaign-targets-coinspot-cryptoexchange-2fa-codes/"><span style="color: rgb(0, 0, 0);"><strong>網路釣魚攻擊鎖定加密貨幣交易所用戶，意圖竊取雙因素驗證碼</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2FA.png" style="width: 300px; height: 222px; float: right;" />郵件安全業者Cofense指出，一波鎖定加密貨幣交易所CoinSpot用戶而來的釣魚郵件攻擊，攻擊者從雅虎電子郵件信箱發送釣魚信，要求收件人確認交易款項為由進行詐騙，一旦收信者依照指示操作，就會被引導到幾可亂真的偽造登入網頁，以騙走受害人的CoinSpot帳密。其中，為了能順利通過驗證並控制帳號，上述的冒牌登入網頁還會要求提供雙因素驗證碼，再將受害者重新導向CoinSpot網站。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/android-banking-trojan-spreads-via-fake-google-play-store-page/"><span style="color: rgb(0, 0, 0);"><strong>銀行木馬以偽造的市集網頁散布</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-play-store.jpg" style="width: 300px; height: 194px; float: right;" />資安業者Cyble指出，一款安卓惡意App鎖定巴西大型金融機構Itaú Unibanco用戶而來，為引誘受害者下載惡意App，攻擊者建置了與Google Play市集極為相似的網頁。一旦受害者安裝並執行，該惡意軟體會擅自開啟正牌的App，並藉由竄改用戶輸入的字串來進行詐欺交易。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/pro-wrestling-tees-discloses-data-breach-after-credit-cards-stolen/"><span style="color: rgb(0, 0, 0);"><strong>職業摔跤選手商城Pro Wrestling Tees驚傳資料外洩</strong></span></a></h4> <p>提供摔跤選手經營粉絲的網站Pro Wrestling Tees向用戶發出公告，指出他們遭到駭客入，交易資料遭竊。執法單位於11月1日告知Pro Wrestling Tees遭到入侵，該公司著手調查後，12月22日向緬因州總檢查長辦公室報告指出，他們遭到惡意軟體攻擊，約有31,000人受到影響。由於攻擊者竊得用戶的全名、信用卡卡號、CVV號碼等資料，已有用戶反映信用卡被盜用的情形。</p> <h4><a href="https://www.ithome.com.tw/news/148587"><span style="color: rgb(0, 0, 0);"><strong>針對Log4Shell漏洞未即時通報中國政府，阿里雲做出說明</strong></span></a></h4> <p>最早發現並通報Log4Shell漏洞的阿里雲，傳出中國政府沒有第一時間獲得通報，工信部停止該公司威脅情資夥伴身分半年。對此，阿里雲也做出回應，表示他們發現漏洞的當下，因沒有意識到漏洞的嚴重性而判斷錯誤，依循業界慣例向開發者Apache基金會社群通報，後來才被外界發現，此漏洞涉及層面極為廣泛。阿里雲表示，他們將強化漏洞管理，並提升合規意識，積極協助各方做好網路資安工作。</p> <h4><a href="https://youtu.be/Vz7zU61fHro?t=1483"><span style="color: rgb(0, 0, 0);"><strong>社群平臺事實查核引爭議，PTT創辦人提出警告</strong></span></a></h4> <p>在12月中旬舉行的「國家安全與網路資訊安全論壇」上，臺灣AI實驗室創辦人杜奕瑾在議程上擔任首場專題演講，從認知安全與國家安全談起，說明具企圖性假新聞的擴散方式，以及事實查核的挑戰，因此，披露訊息的來源、傳遞與表達方式，會是更重要的識別面。同時，他以自身經驗為例，指出臉書在查核制度上的問題，對此，強調，網路平臺的AI言論審查訓練，若是用中國的思維與文化去進行，將是必須要關注的議題。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148586"><span style="color: rgb(0, 0, 0);">HPE、IBM、Nvidia、VMware說明產品受Log4Shell影響的情形</span></a></strong></h4> <p>Log4Shell漏洞涉及範圍甚廣，許多IT業者也發出公告，表明旗下產品受影響的範圍。其中，Nvidia旗下受影響的產品，包含了程式設計模型CUDA 、遙測代理程式NetQ，以及人工智慧系統DGX Systems；HPE修補超過60項產品，包含融合Hyper Converged、3PAR、Ezmeral，以及超級電腦軟體Cray System等；IBM修補旗下100多項軟體，包含DB2、Websphere、Tivoli、SPSS等。VMware則指出vCenter Server及vCenter Cloud Gateway受到影響，並提供相關緩解措施。</p> <h4><strong><a href="https://www.securityweek.com/several-critical-vulnerabilities-found-mypro-hmiscada-product"><span style="color: rgb(0, 0, 0);">SCADA系統驚傳重大漏洞，恐波多種關鍵基礎設施</span></a></strong></h4> <p>美國網路安全暨基礎架構安全局（CISA）於12月21日發出警告，工業自動化系統業者mySCADA所推出的myPRO工控系統中，存在多個漏洞，該業者已於11月初完成修補。其中最嚴重的漏洞達到10分，主要與作業系統的命令裡可能藉由特殊字元觸發有關。CISA警告，這些受影響的系統存在於全球各地，運用於能源、食品、農業、水資源、交通運輸等行業，大部分受影響的客戶在歐洲。</p> <h4><strong><a href="https://cybersecurityventures.com/hackable-infusion-pump-ransomware-risks-to-patients/"><span style="color: rgb(0, 0, 0);">注射幫浦系統存在多項漏洞，恐被用於竄改配置與記錄資料</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Complete-Attack-Chain.jpg" style="width: 300px; height: 261px; float: right;" />資安業者McAfee與Culinda聯手，於2021年1月發現B. Braun Infusomat注射幫浦系統裡的數個漏洞，並向該廠商通報，漏洞亦獲得修補，該業者遂於8月下旬公布細節。其中最為嚴重的是CVE-2021-33885，CVSS風險層級為9.7分。但McAfee最近再度提出警告，表示這些漏洞很有可能被攻擊者串連利用，加上醫療院所往往無法即時修補，而有可能影響病人的生命安全。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.rsaconference.com/usa"><span style="color: rgb(0, 0, 0);">2022年RSA大會確定延期至6月</span></a></strong></h4> <p>往年都在年初舉行的全球資安盛會之一RSA大會，原訂2022年於2月7日中旬舉行，受到全球疫情的持續影響，主辦單位宣布將延遲2022年6月6日至9日。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2021/12/27 16:11作者周峻佑https://www.ithome.com.tw/news/148597
DuckDuckGo也打造桌機瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以隱私著稱的搜尋業者<a href="https://spreadprivacy.com/duckduckgo-2021-review/" target="_blank">DuckDuckGo宣布將開發自有瀏覽器</a>，進軍瀏覽器市場。</p> <p>DuckDuckGo為一整合性App，可提供搜尋及隱私防護。DuckDuckGo今年7月宣布<a href="https://www.spreadprivacy.com/introducing-email-protection-beta/" target="_blank">免費郵件轉寄服務beta版</a>，可移除郵件中的追蹤軟體。11月DuckDuckGo預覽<a href="https://www.ithome.com.tw/news/147965" target="_blank">App追蹤防護服務</a>，可封鎖App中植入的第三方追蹤器，如Google及Facebook。</p> <p>DuckDuckGo執行長Gabriel Weinberg指出，DuckDuckGo App在其主要市場中，是下載量最高的Android App，以iOS App而言則是第二高，僅次於Chrome。DuckDuckGo搜尋平均每天超過1億次，有9%，約2,700萬美國人使用。而DuckDuckGo自2018年投入開放文件搜尋以來，全球下載次數已超過1.5億。</p> <p>本周DuckDuckGo宣布開發桌機版且加入瀏覽器功能。但Wienberg強調它不是像Brave之類的「隱私瀏覽器」，而是尊重用戶隱私的瀏覽App，具有橫跨搜尋、瀏覽、電子郵件等情境的隱私防護。DuckDuckGo強調新App將整合原有的隱私防護功能、一鍵清除分頁及瀏覽資料的Fire Button等。</p> <p>此外，DuckDuckGo桌機App並非是從Chromium或其他核心分叉出來，DuckDuckGo是以OS渲染引擎全新打造的桌機App，使其可避免多年來其他主要瀏覽器的雜亂、臃腫問題。它結合簡單、乾淨的用戶介面及DuckDuckGo手機版App的「Fire Button」。和Chrome相比，DuckDuckGo桌機版App更乾淨、更保障隱私，而且早期測試顯示執行速度更快。</p> <p>在手機版本方面，DuckDuckGo今年新增功能包括保留部份網站登入資料的Fireproofing、簡化搜尋、以及加速在Android平臺的載入時間等。搜尋功能方面強化地方性、地圖及方向搜尋結果，提升搜尋頁的設計，以及加入翻譯即時解答、自訂期間篩選、圖片條件篩選、和進階搜尋等。該公司並強調2022年還會有更多功能強化。</p> </div></div></div>
2021/12/24 15:07作者林妍溱https://www.ithome.com.tw/news/148580
下載50萬次的Android App會幫用戶偷偷訂閱高價服務，還竊取聯絡人資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.pradeo.com/pradeo-identifies-app-joker-malware-google-play" target="_blank">研究人員發現</a>一隻在Google Play Store上下載次數超過50萬的App，內含惡意程式Joker，下載安裝後不但會竊取用戶聯絡人清單，還會偷偷幫用戶訂閱高價服務。</p> <p>這款App為Color Message，看似文字通訊的外掛程式，可為文字訊息加入表情符號及攔阻垃圾訊息。在被Google移除前，它在Google Play Store上已經被50多萬人下載。安全廠商Pradeo Security發現，它並不像表面上那麼單純。Color Message內含一隻叫Joker的惡意程式。後者是一種騙錢軟體（Fleeceware），主要活動是模擬點擊以及攔截簡訊，目的在偷偷代用戶訂閱貴死人的付費服務。Joker作者只使用很少程式碼來開發，而且為免被發現，它會在安裝後刪除圖示。這些特性使它相當難被偵測到。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1222-color%20message%20joker%20malware-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Pradeo</span></p> <p>進一步分析，這隻App還會存取用戶裝置的聯絡人清單，並且送到位於俄羅斯的伺服器。Color Message的使用者條款也很可疑，不但代管在一個不知名的一頁式部落格上，而且內容十分簡略，未說明該App會在用戶裝置上會做哪些事，像是存取用戶聯絡人資料。Google Play Store上使用者怨聲載道，有人抱怨被該App詐騙，另有人想聯絡開發者卻不得其門而入。</p> <p>Google獲報後，已經在周二從Play Store將Color Message移除。</p> <p>事實上，Color Message不是第一隻內含Joker的App，研究人員過去兩年發現Joker已經感染了數百個下載次數都超多的App。<a href="https://www.ithome.com.tw/news/135301" target="_blank">去年Google也曾從Play Store上移除</a>1,700多個內含Joker的應用程式。</p> </div></div></div>
2021/12/22 10:00作者林妍溱https://www.ithome.com.tw/news/148496
Google：在Chromebook上執行Android程式的用戶一年成長50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近來持續推動Chrome OS用戶採用Android程式，<a href="https://chromeos.dev/en/posts/android-recap-2021" target="_blank">並宣布</a><a href="http://chromeos.dev/en/posts/android-recap-2021" target="_blank">在Chromebook上執行Android程式的使用者數量</a>，一年來成長了50%。</p> <p>Google是在2017年的1月宣布，未來所有新發表的Chromebook都將支援Android程式，Google的作法是讓Chromebook用戶安裝Google Play，再由Google Play下載Android程式，以於Chromebook上運作。</p> <p><a href="https://chromeos.dev/en/posts/whats-new-in-chrome-os-announcements-news-and-resources-from-io-21" target="_blank">根據Google今年5月的說法</a>，目前全球有超過4,000萬的學生或老師使用Chromebook，而且2020年由大型企業採購的Chromebook出貨量成長了83%。</p> <p>Google並未說明有多少比例的Chromebook用戶使用Android，僅以成長率來表示。</p> <p>但Google指出，現階段正逐步升級所有的Chromebook，使其支援Android 11；基於Chrome OS 93或以上版本的Chromebook，將改善對Android程式的視窗管理功能，讓使用者得以輕易切換Android程式的視窗大小；而Chrome OS 96或以上版本的Chromebook用戶，則可藉由Android平臺的 Nearby Share⁠功能，與Android或Chromebook用戶分享檔案。</p> <p>Chrome OS與Android都是由Google開發的平臺，相較於可能只有4,000萬用戶的Chromebook，Android全球用戶多達2.5億，且Google Play上提供了逾185萬種Android程式，不難理解Google想讓Chromebook用戶善用Android資源的政策，不過，自宣布近5年來，從<a href="https://www.ithome.com.tw/news/146416" target="_blank">微軟終止Android版Office支援Chromebook</a>，而Google還在推動市場採用的情況來看，該政策的執行似乎不怎麼成功。</p> </div></div></div>
2021/12/22 09:22作者陳曉莉https://www.ithome.com.tw/news/148495
ONNX Runtime 1.10支援Xamarin，供開發者建構AI行動應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器學習推理引擎ONNX Runtime從1.10版本開始，支援使用Xamarin以C#建置行動應用程式。<a href="https://cloudblogs.microsoft.com/opensource/2021/12/14/add-ai-to-mobile-applications-with-xamarin-and-onnx-runtime/">ONNX Runtime 1.10版本</a>的NuGet套件中，包含了對Android和iOS的支援，這使得開發人員可以於存在ONNX Runtime的行動裝置上執行ONNX模型，也就是說，賦予開發人員建置跨行動裝置人工智慧應用程式的能力。</p> <p>ONNX Runtime為一個機器學習開源專案，能夠加速各種框架、作業系統和硬體平臺的機器學習模型運算，而ONNX Runtime Mobile則是針對Android和iOS裝置的輕量級推理引擎版本，開發人員可以建置占用較小磁碟容量，經過最佳化的智慧行動應用程式。</p> <p>在這個新釋出的1.10版本中，官方支援開發者使用Xamarin.Forms，建構Android和iOS跨平臺應用程式，其包括使用預設CPU Execution Provider，在裝置CPU上執行ONNX模型，而對於部分行動裝置所使用的專用硬體，ONNX Runtime Mobile套件提供Execution Provider，讓開發者能夠在Android使用NNAPI，在iOS上使用CoreML。</p> <p>Xamarin是一個開源應用程式平臺，供開發者以C#和.NET，建構現代且高效能的iOS和Android應用程式，由於NuGet套件中加入對Android和iOS的支援，開發人員便可以利用ONNX Runtime，在應用程式中加入人工智慧功能。</p> <p>除了對Android和iOS的支援之外，ONNX Runtime 1.10的新功能還包括加入X64和ARM64上的新量化核心，提升運算效能。在硬體的靈活度方面，新版本更新了TensorRT、DirectML、OpenVINO和DNNL Execution Providers，在Nvidia GPU上，Python GPU套件同時支援CUDA和TensorRT Provider，讓用戶能夠更易於測試和使用。</p> <p>新版本也簡化對Mac的部署，Rosetta允許單個二進位檔案跨Apple Silicon和英特爾晶片運作。另外，ONNX Runtime Web則支援WebAssembly SIMD，改進量化模型（Quantized Model）的效能。</p> </div></div></div>
2021/12/20 16:30作者李建興https://www.ithome.com.tw/news/148466
埃及流亡政客Ayman Nour的iPhone同時被植入兩種間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://citizenlab.ca/2021/12/pegasus-vs-predator-dissidents-doubly-infected-iphone-reveals-cytrox-mercenary-spyware/" target="_blank">加拿大多倫多大學的公民實驗室（Citizen Lab）本周再度揭露</a>，有兩位埃及知名人士的iPhone被植入了間諜程式，一位是埃及流亡政客Ayman Nour，另一位則是不願具名的埃及新聞節目主持人，他們兩位的iPhone都被植入了由以色列資安業者Cytrox所打造的Predator間諜程式，而Nour的手機上不但擁有Predator，還被植入另一家以色列資安業者NSO Group所開發的Pegasus間諜程式，而且相信這兩個間諜程式是由兩個不同國家所植入。</p> <p>NSO Group與Cytrox都被視為是網路傭兵，專門替沒有能力監控的國家提供網路監控服務，其中，NSO Group協助客戶的監控行為已遭到Meta及蘋果提告，也被美國列入禁止交易的《實體名單》（Entity List），<a href="https://www.ithome.com.tw/news/148421" target="_blank">至於Cytrox則在本周遭到Meta封鎖</a>，移除了Cytrox在臉書及Instagram上所建立的300個帳號。</p> <p>根據公民實驗室的調查，這兩名埃及受害者都是在今年的6月感染了Predator，他們的iPhone執行的是當時最新的iOS 14.6作業系統，但駭客透過WhatsApp傳送一個惡意連結，於受害者點選連結時植入Predator。</p> <p>Cytrox成立於2017年，所打造的Predator同時支援Android與iOS平臺。Meta的安全團隊在接獲公民實驗室的通知之後也展開了調查，發現Cytrox用來偽裝成合法網站的大量網域，也指出Cytrox的客戶散布在埃及、亞美尼亞、希臘、沙烏地阿拉伯、阿曼、哥倫比亞、象牙海岸共和國、越南、菲律賓及德國等，攻擊目標則是全球的政治人物與新聞記者。</p> <p>遭到攻擊的Ayman Nour曾參選埃及總統，但還沒選舉就被逮捕，目前居住在土耳其，至於另一名新聞節目主持人亦流亡在外。</p> <p>令人驚訝的是公民實驗室在Nour的iPhone上同時發現Predator與惡名昭彰的Pegasus間諜程式。調查顯示Nour所持有的iPhone自今年3月起就反覆遭到Pegasus的感染，並於6月再被Predator感染。</p> <p>公民實驗室認為，發動Predator攻擊的客戶為埃及政府的機率很高，並有另一個政府以Pegasus攻擊Nour。該實驗室已將調查結果分享給蘋果及Meta。</p> </div></div></div>
2021/12/20 08:54作者陳曉莉https://www.ithome.com.tw/news/148450
【資安日報】2021年12月16日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>引起全球關注的Log4j重大漏洞「Log4Shell」（CVE-2021-44228），自Apache基金會於上週公布修補程式後，已成為攻擊者大肆利用的對象，不只有資安業者看到10組惡意軟體運用於攻擊行動，甚至國家級駭客也加入行列。而之前Minecraft傳出已有遭到攻擊的現象，現在攻擊者針對非官方的伺服器下手。但在此同時，竟傳出漏洞修補不夠完全的情況！Apache基金會發布了Log4j 2.16.0來緩解這種現象。</p> <p>另一個焦點是因間諜程式Pegasus而惡名昭彰的網路攻擊公司NSO Group，這家公司傳出因為外界的壓力，考慮關閉Pegasus的部門，不排除賣掉整家公司，其背後的因素，主要應該與美國日前祭出實體名單的制裁有關。此外，資安研究員也分析近期Pegasus利用的iOS漏洞Forcedentry，並指出這項攻擊手法極為新穎且難以察覺，而且，使用者有可能幾乎看不到有什麼異狀。</p> <p>再者，APT駭客濫用Slack的免費工作空間發動攻擊的現象也值得留意，因為這種常見的雲端服務，流量往往被視為合法，而被攻擊者用來挾帶攻擊流量。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://thehackernews.com/2021/12/second-log4j-vulnerability-cve-2021.html"><span style="color: rgb(0, 0, 0);">疑似修補不完整，Apache再度針對Log4Shell發布修補程式</span></a></strong></h4> <p>Apache上週公布並修補Log4Shell漏洞CVE-2021-44228，傳出修補不完整情況，導致在部分非預設配置的Log4j系統中，攻擊者仍有機會藉由JNDI查詢特徵產生惡意輸入的資料，觸發Log4Shell漏洞，進行阻斷服務（DoS）攻擊。這項漏洞被列為CVE-2021-45046，CVSS風險層級為3.7分。對此，Apache發布2.16.0版Log4j修補。</p> <h4><strong><a href="https://blog.netlab.360.com/ten-families-of-malicious-samples-are-spreading-using-the-log4j2-vulnerability-now/"><span style="color: rgb(0, 0, 0);">至少10個惡意軟體利用Log4Shell散布</span></a></strong></h4> <p>針對攻擊者大肆利用Log4Shell漏洞發動攻擊的現象，資安業者提出警告。360網路安全實驗室於12月13日指出，他們從密罐系統中，已經看到10種惡意程式利用這項漏洞進行散布，包含了殭屍網路Muhstik、Mirai、Elknot，以及Linux惡意軟體SitesLoader等，攻擊來源包含德國、荷蘭、中國等國，攻擊者偏好的目標是Apache Flink和Apache Solr，這些軟體都包含了Log4j。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/"><span style="color: rgb(0, 0, 0);">中國、伊朗國家級駭客已開始利用Log4Shell漏洞</span></a></strong></h4> <p>重大Apache Log4j漏洞「Log4Shell」在公布之後，已遭到攻擊者大肆利用，其中國家級駭客也加入了行列。微軟在12月14日指出，他們觀察到中國、伊朗、北韓、土耳其的國家級駭客，已經在使用Log4Shell發動攻擊。其中，該公司點名伊朗、中國駭客組織Phosphorus與Hafnium，前者藉此散布勒索軟體，後者利用此漏洞攻擊虛擬化平臺。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/"><span style="color: rgb(0, 0, 0);">非官方Minecraft伺服器的Log4Shell漏洞，被用於發動勒索軟體攻擊</span></a></strong></h4> <p>廣受玩家歡迎的電玩遊戲Mincraft，微軟繼日前證實Java版本受到Log4Shell漏洞影響後，他們於12月15日提出警告，表示勒索軟體Khonsari鎖定非官方架設的Minecraft伺服器下手，發送惡意訊息，來感染玩家的電腦。他們呼籲自行架設Minecraft伺服器的用戶，應儘速更新軟體；玩家也應該只連接到受信任的Minecraft伺服器。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148373"><span style="color: rgb(0, 0, 0);">網路攻擊公司NSO Group有意出售或關閉間諜軟體Pegasus部門</span></a></strong></h4> <p>彭博社、金融時報、華爾街日報相繼引述消息人士的說法指出，最近成為眾矢之的的以色列網路攻擊公司NSO Group，因不堪外界壓力，有意出售整家公司，或關閉Pegasus間諜軟體部門，以從美國的實體名單解脫。金融時報指出，NSO Group在2019年市值約10億美元，被美國列為實體名單後，違約貸款近5億元。NSO Group拒絕回應上述報導。</p> <h4><a href="https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html"><span style="color: rgb(0, 0, 0);"><strong>間諜軟體Pegasus只需電話號碼就能入侵iPhone</strong></span></a></h4> <p>蘋果在9月修補名為Forcedentry的零時差漏洞CVE-2021-30860，當時已遭NSO Group用來植入間諜程式Pegasus，這項漏洞存在於iMessage，但為何會如此難以察覺？Google威脅情報小組Project Zero取得間諜程式進行分析後發現，間諜軟體Pegasus只需電話號碼（或Apple ID），就有機會透過IMessage簡訊圖片引誘點選，進而入侵iPhone；再者，Pegasus在攻擊的過程中無需使用者操作，並使用假造的GIF檔案，來觸發iMessage內含的ImageIO程式庫漏洞。 </p> <h4><a href="https://securityintelligence.com/posts/nation-state-threat-group-targets-airline-aclip-backdoor/"><span style="color: rgb(0, 0, 0);"><strong>伊朗APT駭客利用Slack攻擊航空公司<img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1mYmE3MGQ3ODVkNjMxMWVjOWNlY2Y2OTA2ODJjZDI1ZQ%3D%3D.png" style="width: 300px; height: 287px; float: right;" /></strong></span></a></h4> <p>IBM威脅情報團隊在2021年3月，發現針對1家亞洲航空公司的攻擊行動，攻擊者利用Slack的免費工作空間，掩蓋攻擊意圖，這起攻擊行動約從2019年10月開始，攻擊者部署以PowerShell程式碼製成而成的後門程式Aclip，此後門程式濫用Slack的API，來接收或是傳送資料給C2中繼站。根據分析，攻擊者的身分疑似是伊朗駭客組織ITG17（亦稱MuddyWater）。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/anubis-android-malware-returns-to-target-394-financial-apps/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Anubis鎖定近400家金融機構客戶</span></a></strong></h4> <p>資安業者Lookout指出，他們發現最近一波的金融木馬Anubis攻擊行動，針對394家金融機構的安卓客戶而來，攻擊者宣稱是名為Orange S.A.的應用程式，企圖竊取用戶的登入帳密。為了避免遭到作業系統內建的防護機制攔截，Anubis會顯示假的對話框，以讓系統能正常運作的名義，要求受害者關閉Google Play Protect。研究人員指出，這些遭到鎖定的金融機構，其中包含了美國和法國等地的銀行。</p> <h4><strong><a href="https://www.trendmicro.com/en_us/research/21/l/yanluowang-ransomware-code-signed-terminates-database-processes.html"><span style="color: rgb(0, 0, 0);">勒索軟體閰羅王運用來源不明但有效的軟體簽章，佯裝合法軟體，並疑似透過RDP入侵受害電腦</span></a></strong></h4> <p>自賽門鐵克於8月發現名為「閰羅王（Yanluowang）」的勒索軟體，這個勒索軟體會停用所有虛擬機器，並終止SQL資料庫和Veeam資料備份解決方案，讓受害組織難以復原。最近趨勢科技也透露更多調查結果，他們發現，這個勒索軟體入侵受害電腦的管道，應該是透過遠端桌面連線（RDP）進行，而難以被發現的原因，主要是此勒索軟體使用了有效的軟體簽章，但對於簽章的來源仍然不明朗，研究人員認為，有可能是偷來的，或是偽造的簽章。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/dhs-announces-hack-dhs-bug-bounty-program-for-vetted-researchers/"><span style="color: rgb(0, 0, 0);">美國國土安全部宣布推出Hack DHS漏洞懸賞計畫</span></a></strong></h4> <p>為了找出潛在的漏洞以提升安全，美國國土安全部（DHS）於12月14日，宣布啟動名為Hack DHS的漏洞懸賞計畫，他們邀及網路安全專家參與以找出漏洞，然後進行修補，這項計畫將分3個階段執行，其目標是開發一種可供其他聯邦機構運用的模型，用來提升機構的網路安全。在Hack DHS計畫中，研究人員因找到的漏洞最多可獲得5千美元獎金。</p> <h4><strong><a href="https://brave.com/privacy-updates/13-pool-party-side-channels/"><span style="color: rgb(0, 0, 0);">隱私瀏覽器Brave著手因應跨站洩露攻擊</span></a></strong></h4> <p>瀏覽器業者Brave於12月15日指出，新興跨來源攻擊手法「Pool-Party」日益嚴重，這種手法是攻擊者利用網站來操縱瀏覽器，從瀏覽器未分區的資源池來建立隱密的通道。對此，該業者預計在接下來的幾個星期內，提供相關的防護措施，並部署到用戶的瀏覽器上，同時，他們也與其他瀏覽器業者共同合作來解決這個問題。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148368">2021年12月15日</a></p> <p><a href="https://www.ithome.com.tw/news/148354">2021年12月14日</a></p> <p><a href="https://www.ithome.com.tw/news/148334">2021年12月13日</a></p> </div></div></div>
2021/12/16 14:18作者周峻佑https://www.ithome.com.tw/news/148402
Google公布NSO Group用來駭進蘋果iMessage的Forcedentry攻擊程式細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146698" target="_blank">公民實驗室（Citizen Lab）日前揭露</a>以色列資安業者NSO Group以Forcedentry攻擊程式駭進iPhone，再於受害者手機上植入Pegasus間諜程式，Google Project Zero團隊向公民實驗室取得了Forcedentry樣本，<a href="https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html" target="_blank">於本周公布該攻擊程式的細節</a>，並說這是該團隊所見過的最精細的攻擊程式之一，證明了過去原本以為只有少數國家所具備的能力，其實也能由NSO Group提供給其它的國家。</p> <p>Forcedentry所開採的是位於蘋果作業系統圖像渲染函式庫CoreGraphics的CVE-2021-30860漏洞，它是一個整數溢位漏洞，在處理惡意的PDF檔案時，將允許駭客執行任意程式。蘋果已於今年9月13日修補該漏洞。</p> <p>根據Google Project Zero團隊的分析，Forcedentry是個零點擊攻擊程式，在駭客透過iMessage傳送假GIF檔案時，iMessage在手機顯示這些圖像時就已先行進行解析，而成為駭客的切入點，代表駭客只要知道目標對象的電話號碼或是Apple ID的使用者名稱就能展開攻擊，完全不需要使用者的任何互動。</p> <p>至於CVE-2021-30860漏洞具體的位置則在於CoreGraphics的PDF解析器，駭客利用PDF內建之影像壓縮標準JBIG2的漏洞展開攻擊，儘管JBIG2本身並未具備編寫腳本的能力，但結合漏洞之後卻能在任何記憶體上模擬任何邏輯閘電路，等於可建置自己的電腦架構及腳本程式，而這就是Forcedentry的功能，它的速度並不如Javascript，但在運算能力上卻是相當的。</p> <p>Google Project Zero團隊指出，Forcedentry便運作在這個邏輯電路上，而整個攻擊環境則是由JBIG2串流的單一解壓縮所造就的，這非常的不可思議，也極為可怕。</p> <p>NSO Group不僅能駭入蘋果裝置，也能駭入Android裝置，Google則說，他們知道NSO Group也銷售鎖定Android的零點擊攻擊程式，歡迎握有樣本的組織或個人與其接洽。</p> </div></div></div>
2021/12/16 14:14作者陳曉莉https://www.ithome.com.tw/news/148401
英國暗示將對Google與蘋果展開反壟斷行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）在今年6月宣布，將調查蘋果與Google的行動生態體系是否危及市場競爭及消費者權益，<a href="https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1040662/Mobile_ecosystems_interim_report_-_FINAL__-_.pdf" target="_blank">並於本周公布了期中報告</a>，指出這兩大業者控制了行動裝置，並暗示可能會對此採取行動，而正式的報告預計要到明年6月才會出爐。</p> <p>CMA之所以會對蘋果及Google展開調查，是因為這兩家業者掌控了行動作業系統（iOS與Android），也控制了行動程式市集（App Store及Google Play），以及行動裝置所使用的瀏覽器（Safari與Chrome），而它們皆是行動生態體系的關鍵元素，事實上，現代人所購買的行動裝置，若不是採用iOS作業系統，就是使用Android。</p> <p>在英國市場上，2020年有超過一半的手機用戶使用iPhone，其它的則是使用Android手機；而英國人所下載的行動程式中，有95%來自App Store或Google Play；在行動裝置上所使用的瀏覽器，有接近50%為Safari，Chrome則占了40%。</p> <p><a href="https://www.gov.uk/government/news/apple-and-google-duopoly-limits-competition-and-choice" target="_blank">CMA行政首長Andrea Coscelli指出</a>，蘋果與Google已經控制了人們使用手機的方式，而這可能會讓英國民眾成為輸家。大多數的人知道蘋果與Google是手機市場的主要玩家，卻很容易忘記所有的規則都是由這兩家業者訂定的，包括要讓哪些程式上架，或者是讓人們不容易更換其它的瀏覽器。</p> <p>他說，任何的干預都必須能夠解決這兩家業者在作業系統、行動市集與瀏覽器市場上的龐大影響力，<a href="https://www.ithome.com.tw/news/141347" target="_blank">而最佳的管道就是由政府賦予權力的數位市場部門（Digital Markets Unit）</a>。</p> <p>依照CMA的看法，在蘋果及Google以雙占（Duopoly，只有兩個競爭者）方式控制了行動生態體系之後，人們將會失去來自新產品或服務的創新，例如網頁應用程式，或是在手機上透過雲端執行遊戲，而缺乏競爭也可能會讓業者提高產品及服務的售價。</p> <p>雖然這只是期中報告，但CMA已經列出了可能採取的行動，包括讓使用者更容易在iPhone及Android手機之間切換，讓使用者更容易自App Store或Google Play之外安裝程式，所有的行動程式皆能提供更多元的付費模式及管道，以及讓使用者決定所要使用的瀏覽器或將其它瀏覽器列為預設。</p> <p>外界可於明年2月7日以前針對此一期中報告提出意見或看法，正式報告則將在明年6月出爐。</p> </div></div></div>
2021/12/16 09:40作者陳曉莉https://www.ithome.com.tw/news/148381
採用Android 12 Go的新手機將於明年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/introducing-android-12-go-edition/" target="_blank">Google在14日揭露了Android 12 Go的細節</a>，此一專為低階智慧型手機所開發的Android作業系統著重在降低對裝置資源的需求，新版本強化了啟用程式的速度、電池壽命及隱私，預計在明年就會看到採用Android 12 Go的新手機。</p> <p>Android Go為Android平臺的精簡版，它能安裝在擁有較少記憶體、儲存空間或低階處理器的手機上，第一個版本為2017年12月釋出的Oreo，此後Google每年都會發表一個新版Android Go，並跟隨最新Android版本的命名，例如Android 12 Go。迄今全球已有超過2億名使用者啟用Android Go手機。</p> <p>根據Google的說明，Android 12 Go啟用行動程式的速度，比去年發表的Android 11 Go快了30%，程式幾乎是瞬間叫出，而不必再等待；它還能自動將數月未使用的程式變更為休眠（Hibernation）狀態，以釋出手機的儲存空間，並延長電池壽命；更新的Files Go程式允許使用者取回30天內刪除的檔案，讓使用者可以安心地刪除檔案以釋出空間。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Android_Blog_speed_comp.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>此外，Android 12 Go變得更聰明，在移到最近開啟的程式畫面時，可直接選擇聽取內容或是進行翻譯。為了節省用戶頻寬，Android 12 Go得以藉由Nearby Share及Google Play與鄰近的裝置分享程式。若要與友人分享自己的裝置，則可切換至客座檔案來保護自己的隱私。</p> <p>Android 12 Go亦整合了隱私功能，能夠從隱私儀表板上看到各個程式所存取的機密資料，諸如麥克風、攝影機或地理位置，並隨時取消程式權限。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Priavacy_Dashboard_V3_Zoom.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>包括三星、Nokia、Ulefone、Tecno、Umidigi、realme及Motorola都加入了打造Android Go手機的行列，除了少數產品，例如Samsung Galaxy J2 Core要價200美元之外，Android Go手機的售價多在100美元以下。</p> </div></div></div>
2021/12/15 16:49作者陳曉莉https://www.ithome.com.tw/news/148374
被逼急了？傳NSO Group有意出售或關閉Pegasus間諜軟體部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2021-12-13/spyware-firm-nso-mulls-shutdown-of-pegasus-unit-sale-of-company" target="_blank">《彭博社》</a>（Bloomberg）、<a href="https://www.ft.com/content/c3e90890-0a4d-4290-a111-cb37a5b7d502?desktop=true&segmentId=d8d3e364-5197-20eb-17cf-2437841d178a#myft:notification:instant-email:content" target="_blank">《金融時報》</a>（Financial Times）與<a href="https://www.wsj.com/articles/israeli-cyber-firm-nso-explores-sale-closure-of-spyware-unit-11639503139?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（The Wall Street Journal）本周相繼引述消息來源報導，最近成為眾矢之的的以色列資安業者NSO Group因不堪外界壓力，有意出售整家公司，或關閉Pegasus間諜軟體部門。</p> <p>NSO Group所開發的Pegasus間諜軟體，可透過Android/iOS平臺或行動程式的零時差漏洞進駐手機裝置，並存取手機簡訊、電子郵件、照片/影片、GPS資料、行事曆、通訊錄，還能啟用麥克風與攝影機，並將相關資料傳送至遠端伺服器。</p> <p>儘管NSO Group不斷強調Pegasus出售給用來追蹤恐怖分子或犯罪行動的政府，但不少調查發現Pegasus被安裝在記者、人權鬥士、活動人士甚至政治人物的手機上，因而懷疑NSO根本就是光明正大地銷售駭客/間諜工具，而且並未真的篩選客戶。</p> <p>這使得Meta在去年12月，<a href="https://www.ithome.com.tw/news/141807" target="_blank">因NSO Group開採WhatsApp漏洞而控告該公司</a>，<a href="https://www.ithome.com.tw/news/145929" target="_blank">以色列政府今年7月決定針對NSO Group的行為展開調查</a>，<a href="https://www.ithome.com.tw/news/147654" target="_blank">美國商務部在今年11月出手制裁NSO Group</a>，緊接著<a href="https://www.ithome.com.tw/news/147998" target="_blank">蘋果也在11月對NSO Group提告</a>。在被列入美國《實體名單》（Entity List）之後，NSO Group當時的執行長Itzik Benbenisti也被迫下臺，而由該公司的共同創辦人Shalev Hulio接任。</p> <p>根據《金融時報》的報導，NSO Group在2019年的身價約為10億美元，但列入《實體名單》後，違約貸款已接近5億美元。</p> <p>各家的報導則指出，NSO Group正與至少兩家的投資基金討論該公司的未來，包括直接出售，或是關閉頻惹爭議的Pegasus部門。也不排除將Pegasus轉為防禦性產品，以從《實體名單》中解脫，惟如何確保Pegasus只被應用在防禦上則是另一難題。</p> <p>對於這三大媒體的報導與求證，NSO Group皆拒絕回應。</p> </div></div></div>
2021/12/15 15:58作者陳曉莉https://www.ithome.com.tw/news/148373
Microsoft Teams 1對1 VoIP通話支援全程加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/end-to-end-encryption-for-one-to-one-microsoft-teams-calls-now/ba-p/3037697" target="_blank">微軟昨（14）日宣布</a>，通訊及社交平臺Microsoft Teams 1對1 VoIP通話全程加密（end to end encryption，E2EE）功能正式上線。</p> <p><a href="https://www.ithome.com.tw/news/144824" target="_blank">6月份微軟首次公告這項計畫</a>，10月份公告Teams 1對1的視訊及VoIP通話E2EE釋出公眾預覽版。1對1 VoIP是Teams第一個正式支援E2EE的服務。Teams並不會預設啟用全程加密，而需由企業管理員啟用，IT部門可全權控管誰可以使用這項功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-End-to-end%20encryption%20for%20one-to-one%20Microsoft%20Teams%20calls-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟表示，目前美國及歐洲多家大型企業，像是航太業、製造、電信及專業服務產業已經著手部署Teams 1對1通訊的全程加密。</p> <p>用戶可以在Teams的「設定」下「隱私」頁，找到並啟用全程加密通話（End-to End Encrypted Calls）。</p> <p>一旦Teams啟用E2EE，有多項功能將無法使用，包括錄音、即時字幕及轉錄、來電轉接、來電保留、來電整併、來電轉接到另一臺裝置，以及在1對1電話中加入新與會者等功能。必須先關閉E2EE才能使用這些功能。</p> <p><a href="https://www.microsoft.com/en-ww/microsoft-365/roadmap?filters=&searchterms=70780" target="_blank">按照微軟原定計畫</a>，桌機及手機版（Android、iOS）1:1 VoIP都會支援E2EE，不過微軟正式宣布中，目前僅部署到最新版Windows及Mac版Teams App，但預計手機版應該不久後也會支援。</p> <p>微軟正加緊追上其他通訊軟體腳步。除了較早實施E2EE的WhatsApp、Signal外，Zoom於今年初陸續導入E2EE，<a href="https://www.ithome.com.tw/news/146211" target="_blank">Meta旗下的Facebook Messenger也在8月間針對語音、視訊提供全程加密（E2EE）</a>， Messenger群組通訊及Instagram（IG）也正在開發測試中。</p> </div></div></div>
2021/12/15 11:08作者林妍溱https://www.ithome.com.tw/news/148364
研究人員找出Teams造成Android手機打不出緊急電話的原因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148280" target="_blank">日前發生Android 手機上的Teams造成用戶無法打911緊急求助電話情形</a>。Google和微軟都未說明原因，不過一名研究人員本周說明他的見解。</p> <p>Pixel 3用戶11月底以手機撥911，電話響了一聲後，手機就卡住沒有回應。Google研究後，僅指出這是Teams App和底層Android系統發生「不小心互動」的結果。Google認為僅Android 10版本以上手機安裝了微軟Teams App，卻又沒有登入時會發生這情形。</p> <p><a href="https://medium.com/@mmrahman123/how-a-bug-in-android-and-microsoft-teams-could-have-caused-this-users-911-call-to-fail-6525f9ba5e63" target="_blank">前XDA總編，現任Esper資深技術編輯的Mishaal Rahman和其友人合作找出原因</a>出在Android程式碼和Teams一連串錯誤造成的結果。根本原因在Android要求第三方打電話的App要註冊PhoneAccount加入Android的TelecomManager服務，不論是打普通電話或是緊急電話。Teams可以打普通電話，但不能打緊急電話。有趣的是，一旦使用者撥緊急電話時，Android緊急電話服務卻載入所有打普通電話的App PhoneAccount清單。</p> <p>由於Teams不能打緊急電話，此時Android緊急電話服務的判斷邏輯會按多種條件，找出下一個遞補名單。通常也不難，因為註冊PhoneAccount的App也不多。但這時又碰上另一個Teams的問題：若用戶手機上的Teams App未登入，Teams App每次當掉或重啟（稱為冷啟動）時，就會建立新的UUID（Universally Unique Identifier）來產生PhoneAccount instance。多次之後形成重複的PhoneAccount instance。於是當Android緊急電話服務在尋找遞補名單時，碰到衝突的Instance而引發整數溢位或下溢錯誤（integer overflow/underflow），造成緊急電話當掉。</p> <p>Rahman團隊發現，Teams是在2021年10月底的版本出現這行為，剛好是在Pixel 3用戶事件發生前一個月。</p> <p>至於為什麼會在Android 10才發生。Rahman認為，Teams是在API level 28+ （Android 9 Pie以後）才開始註冊PhoneAccount，但Google方面則是Android 10才導入這項變更，因此只有這個版本以後的手機才會出現問題。</p> <p><a href="https://play.google.com/store/apps/details?id=com.microsoft.teams" target="_blank">微軟昨日釋出Teams 1416/1.0.0.2021194504</a>，解決這隻臭蟲。不過這只解決Teams的問題，其他App可能也有類似狀況，導致Android手機無法撥出911緊急電話。Google上周表示會在明年1月4日將新版Android釋出給合作夥伴，包括硬體製造商。</p> </div></div></div>
2021/12/14 15:02作者林妍溱https://www.ithome.com.tw/news/148356
蘋果發表Tracker Detect程式以避免Android用戶遭到AirTag追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://play.google.com/store/apps/details?id=com.apple.trackerdetect" target="_blank">蘋果於本周發表了支援Android的Tracker Detect程式</a>，這個程式主要的功能就是避免Android用戶遭到諸如AirTag等相容於Find My網路的裝置的追蹤。</p> <p>AirTag為蘋果於今年4月發表的物件追蹤器，可繫在諸如鑰匙圈或包包上，讓iPhone或iPad等用戶透過內建的Find My網路/功能進行追蹤。</p> <p>為了防止有使用者利用AirTag來追蹤人，iPhone或iPad得以偵測身邊有否陌生的AirTag，還能關閉它，而Tracker Detect即是蘋果為了預防Android用戶遭到AirTag或其它相容於Find My的裝置的追蹤，所釋出的行動程式。</p> <p>根據該程式的介紹，它可偵測到身邊不屬於自己的AirTag或其它追蹤裝置，要求它發出聲音，檢視AirTag的序號與所有人資訊。若Android用戶不願被追蹤或想關閉AirTag，蘋果還指導Android用戶如何卸下AirTag的電池。</p> <p>不過，有人認為這其實是個沒什麼太大用處的程式，因為每次都要主動啟用掃描功能才能偵測附近的陌生AirTag，在Android尚未支援Find My的情況下，最大的用途可能就是幫友人尋找他們不小心遺落的AirTag。</p> </div></div></div>
2021/12/14 12:31作者陳曉莉https://www.ithome.com.tw/news/148353
Google：Microsoft Teams造成Pixel手機無法撥打緊急電話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ixel 3手機日前發生無法撥打緊急求助電話，Google指原因出在Microsoft Teams。</p> <p><a href="https://www.reddit.com/r/GooglePixel/comments/r4xz1f/pixel_prevented_me_from_calling_911/" target="_blank">一名Reddit用戶上周指出11月底</a>，他的Pixel 3手機發生問題，使其無法打電話叫救護車。他的阿嬤可能中風，當他以Pixel 3手機撥911，電話響了一聲後，手機就卡住沒有回應。雖然手機顯示已經將其所在地點傳送到911服務臺，但使用者說話傳不出去，無法告知接聽人員他家地址或是家人情況。還好他阿嬤家中還有市內電話，讓他得以再重新呼叫救護車。</p> <p>事後這名用戶又重新複製這個情形，結果顯示他的Pixel手機及Verizon通聯紀錄都沒有顯示他曾撥打911。</p> <p>Google獲知消息後聯絡這名用戶，並著手調查。<a href="https://www.reddit.com/r/GooglePixel/comments/r4xz1f/pixel_prevented_me_from_calling_911/hnrvsr1/" target="_blank">Google 公司員工昨日公布調查結果</a>，他們相信僅手機安裝了微軟Teams App，卻又沒有登入，且作業系統為Android 10版本以上時會發生這情形。Google判斷這是Teams App和底層Android系統發生「不預期互動」的結果。不過Google並未說明是什麼原因。</p> <p>截至目前為止Google僅接獲一宗通報，然而因這情形影響緊急通話，因此Google和微軟都十分重視且優先處理。Google預期微軟很快會釋出新版本Teams。Google也預計明年1月4日將新版Android發送給合作夥伴，包括硬體製造商。</p> <p>Google並提醒用戶留意是否有新版本Teams App，在此之前，避免無法撥通緊急電話的方法是登入Teams App帳號，且要檢查是否不小心登出。Android 10以前版本裝置則不受影響。</p> <p>這是近來第二起合法第三方Android App出現問題。<a href="https://www.androidpolice.com/notifications-feeling-sluggish-this-popular-android-game-may-be-to-blame/" target="_blank">11月不少用戶安裝Niantic一款新遊戲《皮克敏Pikmin Bloom》後發現</a>它在啟動後會造成其他App通知發送延遲。</p> </div></div></div>
2021/12/10 09:29作者林妍溱https://www.ithome.com.tw/news/148280
【資安日報】2021年12月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對自家各式服務不斷被攻擊者濫用的情況，最近Google罕見大動作對於駭客組織出手，摧毀感染百萬裝置的Glupteba殭屍網路，並揪出背後發動攻擊的駭客。對於想要濫用該公司服務的駭客而言，千萬別心存僥倖。</p> <p>另一種值得留意的是電商網站的信用卡側錄攻擊（Web Skimming），竟然有越南駭客組織XE Group攻擊長達8年之久，到了最近2年才被資安業者發現。再者，則是針對WooCommerce電商網站出現新的攻擊手法，駭客是隨機選上其中1個WordPress外掛程式植入攻擊程式碼，而難以追蹤。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148259"><span style="color: rgb(0, 0, 0);">Google與代管業者合作摧毀Glupteba殭屍網路<img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled_7_7UC7Ycl_0373047907460940_max-1000x1000.png" style="width: 200px; height: 245px; float: right;" /></span></a></strong></h4> <p>攻擊者濫用Google服務的情況相當常見，但別以為Google只會封鎖遭到濫用的帳號和服務。Google於12月7日宣布，他們與網路基礎設施、代管業者聯手，關閉殭屍網路Glupteba所使用的伺服器主機與網址，同時他們也找出發動攻擊的2名俄羅斯駭客，並向美國法院提告。該公司指出，該殭屍網路粗估超過百萬裝置受到感染，受害者遍布美國、印度、巴西，以及東南亞。Google亦封鎖1,183個遭濫用的Google帳號、870個廣告服務帳號，並關閉用來散布殭屍網路病毒的6,300萬個Google Docs文件。</p> <h4><strong><a href="https://securityaffairs.co/wordpress/125342/apt/nobelium-targets-french-orgs.html"><span style="color: rgb(0, 0, 0);">ATP駭客組織Nobelium鎖定法國組織下手</span></a></strong></h4> <p>法國國家網路安全局（ANSSI）近日指出，他們在2021年2月開始，發現ATP駭客組織Nobelium不斷攻擊當地組織，挾持這些組織的電子郵件帳號，然後用來對其他國家的機構發送武器化的電子郵件。ANSSI表示，他們在分析相關的網路釣魚活動後，發現其策略、技術，以及手法（TTP）與2020年的SolarWinds供應鏈攻擊存在共同之處。</p> <h4><a href="https://www.volexity.com/blog/2021/12/07/xe-group-exposed-8-years-of-hacking-card-skimming-for-profit/"><span style="color: rgb(0, 0, 0);"><strong>越南駭客組織XE Group暗中側錄信用卡長達8年</strong></span></a></h4> <p>資安業者Volexity揭露名為XE Group的越南駭客組織攻擊行動，該組織鎖定飯店、非營利組織、旅遊業等行業下手，利用Telerik UI開發套件等軟體的已知漏洞，在電商網站植入竊密或是側錄信用卡的程式碼，發動Magecart攻擊。這起攻擊最早由Malwarebytes於2020年發現，本次Volexity公布進一步的分析結果，例如，該組織在側錄工具裡，利用JavaScript程式碼的「物件」關鍵字來產生網域名稱，而不會被防毒引擎察覺攻擊行為。</p> <h4><a href="https://blog.sucuri.net/2021/12/woocommerce-credit-card-swiper-injected-into-random-plugin-files.html"><span style="color: rgb(0, 0, 0);"><strong>攻擊者滲透隨機WordPress外掛程式，藉此在WooCommerce商城發動信用卡側錄攻擊</strong></span></a></h4> <p>在許多鎖定WooCommerce電子商城的信用卡側錄攻擊中，駭客會針對特定的WordPress外掛程式下手，藉此植入側錄的程式碼。但最近網站安全業者Sucuri揭露，最近他們看到新的攻擊手法，是駭客會先入侵WordPress網站，並注入後門，日後存取時會掃描網站管理員的帳號列表，使用已通過授權的Cookie來存取網站，再將側錄程式碼隨機加入到其中1個WordPress外掛程式進行攻擊。攻擊者這麼做的目的，就是避免網站管理者監控特定資料夾而察覺異狀。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/12/02/two-flavors-of-tor2mine-miner-dig-deep-into-networks-with-powershell-vbscript/"><span style="color: rgb(0, 0, 0);">挖礦軟體Tor2Mine運用Windows帳號與密碼，在內部網路橫向感染<img alt="" src="https://s4.itho.me/sites/default/files/images/tor2mineflow-1.png" style="width: 300px; height: 225px; float: right;" /></span></a></strong></h4> <p>資安業者Sophos指出，他們看到最近的Tor2Mine挖礦攻擊行動，攻擊者使用PowerShell程式碼執行挖礦軟體，並停用防毒軟體、竊取Windows帳號與密碼資訊。研究人員提到，Tor2Mine能夠利用竊得的帳號與密碼資訊自我傳播，一旦受害組織沒有徹底清除Tor2Mine，就有可能導致內部網路的電腦重新遭到感染。</p> <h4><strong><a href="https://www.vpnmentor.com/blog/report-ratp-leak/"><span style="color: rgb(0, 0, 0);">法國大型運輸業者曝露近6萬員工個資</span></a></strong></h4> <p>資安業者於12月6日揭露，他們在10月13日發現未受保護的HTTP網頁伺服器，曝露約5.7萬人的個資，資料約從2014年至2019年建置，疑似是用於員工福利入口網站的舊伺服器。經調查此伺服器是法國國營的巴黎大眾運輸公司（RATP）所有，該公司聯繫了RATP和法國電腦緊急應變小組（CERT-FR），後者獲報後，此伺服器不久就獲得保護。</p> <h4><a href="https://165.npa.gov.tw/#/article/risk/284"><strong>本週165高風險賣場名單多達17家，警方受理案件數資生堂最多，有網友反映對方知道訂單資訊</strong></a></h4> <p>針對解除分期詐騙高風險賣場，本周165反詐騙公布的疑似個資外洩示警名單相當多，包括:資生堂、樂購蝦皮、婕洛妮絲、西堤牛排、東森購物、新光影城、和運租車、誠品網路書局、又一村、王品牛排、Allyoung、NARS、OLENS、松果購物、台北山水戶外用品店、長榮鳳凰酒店、夏慕尼。其中，警方受理案件數最多的資生堂，上週已入榜，近期並<a href="https://www.dcard.tw/f/makeup/p/237553322">有網友反映接到假冒資生堂詐騙電話，對方準確說明姓名與訂單金額</a>，目前<a href="https://wp.shiseido.com.tw/pages/securitypolicy">資生堂在官網發布資安聲明與反詐騙警告</a>。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://positive.security/blog/ms-officecmd-rce"><span style="color: rgb(0, 0, 0);">研究人員揭露由預設URI觸發的Windows 10重大RCE漏洞<img alt="" src="https://s4.itho.me/sites/default/files/images/61a7c22d1ef24755736aa8f3_msofficecmd_cover-p-2000.png" style="width: 300px; height: 139px; float: right;" /></span></a></strong></h4> <p>利用Windows預設的統一資源標識碼（URI），來執行通用Windows平臺（UWP）應用程式、微軟Office軟體的手法，近期已有攻擊者用於網路釣魚攻擊，誘騙使用者下載惡意程式，但這種機制潛藏的危機恐怕不止於此。資安業者Positive Security揭露，他們發現一項透過IE 11或舊版Edge瀏覽器（採用EdgeHTML排版引擎），與Teams串連而形成的RCE漏洞，攻擊者可藉由Windows 10、11在ms-officecmd:的URI預設值，而能觸發這項漏洞。該公司指控，微軟獲報後雖然發布修補程式，但未完全解決，迄今Windows 11仍存在相關漏洞。</p> <h4><strong><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-goautodial-vulnerabilities/"><span style="color: rgb(0, 0, 0);">開源客服系統GOautodial存在路徑穿越漏洞</span></a></strong></h4> <p>資安業者Synopsys於12月7日，揭露開源的多合一客服軟體GOautodial漏洞，這個軟體在全球擁有超過5萬個客服中心採用，這些漏洞一旦被攻擊者利用，可在未經身分驗證的情況下存取系統配置資料，或是能使用通過身分驗證的使用者帳號，藉由不受限制的上傳文件漏洞，來執行任意程式碼。GOautodial獲報後約於10月下旬修補相關漏洞。</p> <h4><strong><a href="https://salt.security/blog/api-threat-research-graphql-authorization-flaws-in-financial-technology-platform"><span style="color: rgb(0, 0, 0);">金融科技平臺的GraphQL恐存在API授權漏洞</span></a></strong></h4> <p>最初由Meta開發的開源資料查詢語言GraphQL，因具備較為強大、高效、靈活的網頁API開發特質，也被用於金融產業，但專注API安全的資安公司Salt Security指出，他們調查一家不願透露名稱的企業，所建置的大型金融科技（FinTech）平臺，結果在GraphQL的API串接上存在漏洞，導致一旦遭到利用，攻擊者可對收集他人個資，或是提出未經授權的交易請求。</p> <h4><strong><a href="https://blog.sonarsource.com/nodebb-remote-code-execution-with-one-shot"><span style="color: rgb(0, 0, 0);">電子布告欄軟體NodeBB存在重大漏洞，恐引發RCE攻擊</span></a></strong></h4> <p>資安業者SonarSource指出，他們在NodeBB電子布告欄軟體上發現3個漏洞，這些漏洞可能讓攻擊者得以讀取任意JSON檔案，或是透過跨網站程式碼接管使用者帳號，甚至能完全繞過使用者身分驗證，而能夠引發RCE攻擊。NodeBB獲報後發布1.18.5版修補上述漏洞。</p> <h4><strong><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0026"><span style="color: rgb(0, 0, 0);">SonicWall修補SSL VPN設備多個重大漏洞</span></a></strong></h4> <p>資安業者SonicWall於12月8日發布資安通報，呼籲SMA 100系列的SSL VPN設備用戶儘速安裝修補程式。這次SonicWall一共修補了8個漏洞，其中最嚴重的是未經驗證的記憶體緩衝區溢出漏洞CVE-2021-20038、CVE-2021-20045，CVSS風險層級分別達到9.8分與9.4分。SonicWall表示，目前尚未發現漏洞被用於攻擊行動的跡象。</p> <h4><strong><a href="https://bishopfox.com/blog/catie-web-v-20-04-0-advisory"><span style="color: rgb(0, 0, 0);">老人照護系統CATIE存在本地檔案曝露漏洞，恐導致伺服器被接管</span></a></strong></h4> <p>專精紅隊演練的資安業者Bishop Fox指出，提供老人照護的系統CATIE存在4個本地檔案曝露（LFD）漏洞，這些漏洞存在於20.04版，但研究人員在8月向開發商Status Solutions通報迄今仍沒有得到回覆，Bishop Fox決定公布他們的發現。不過，最新版本（21.06.0）的CATIE是否也存在相同漏洞？Bishop Fox和Status Solutions沒有進一步說明。</p> <h4><strong><a href="https://source.android.com/security/bulletin/2021-12-01"><span style="color: rgb(0, 0, 0);">Google修補46個Android漏洞</span></a></strong></h4> <p>Google於12月6日發布資安通報，指出他們總共在本月的例行修補中修補了46個漏洞，其中，在多媒體框架的漏洞CVE-2021-0967和CVE-2021-0964最為嚴重，攻擊者在不需額外的權限之下，就能外洩設備資料。此外，該公司亦同時針對Pixel裝置修補85個漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.winbond.com/hq/about-winbond/news-and-events/news/winbond_and_karamba_security_comprehensive_cybersecurity_solution_for_automotive_iot_needs.html?__locale=zh_TW"><span style="color: rgb(0, 0, 0);">記憶體廠商華邦電子聯手物聯網資安業者Karamba，針對汽車推出網路安全解決方案</span></a></strong></h4> <p>臺灣DRAM及快閃記憶體製造商華邦電子於12月8日宣布，他們將與物聯網資安業者Karamba Security合作，共同推出適用於汽車的網路安全防護解決方案。該方案由華邦的安全快閃記憶體TrustME與Karamba XGuard搭配，宣稱能讓車廠符合UN R155等汽車網路安全標準的要求。</p> <h4><a href="https://www.synology.com/zh-tw/company/news/article/Synology2022_main/創新永不停歇 ─ Synology 2022 AND BEYOND"><strong>臺NAS廠接連跨入企業資安領域，群暉正式推出C2 Identity與C2 Transfer</strong></a></h4> <p>臺NAS大廠群暉切入SaaS服務領域，在12月9日舉行C2雲服務發表會，宣布四款SaaS服務在臺上線，除了適用個人與企業的C2 backup，以及類似1Password、LastPass的個人密碼管理工具C2 Password，特別是還有企業資安防護的C2 Identity、C2 Transfer，都在11月中下旬陸續上線，並提供歐洲法蘭克福、北美西雅圖與亞太臺灣（11月上線）的資料中心選項。其中C2 Identity，是能整合企業服務的混合身分驗證系統，用戶可使用Google、Apple、Synology帳戶註冊登入。此外，另一NAS大廠威聯通在今年也跨入企業資安領域，推出實體的網路防護設備ADRA NDR，鎖定中小企業需求，提供偵測、分析與隔離的功能。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148252">2021年12月8日</a></p> <p><a href="https://www.ithome.com.tw/news/148225">2021年12月7日</a></p> <p><a href="https://www.ithome.com.tw/news/148199">2021年12月6日</a></p> </div></div></div>
2021/12/9 13:37作者周峻佑https://www.ithome.com.tw/news/148267
微軟發布Android、Linux系統效能分析工具組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了一套適用於Linux、Android和Chromium瀏覽器的<a href="https://devblogs.microsoft.com/performance-diagnostics/new-tools-for-analyzing-android-linux-and-chromium-browser-performance/">效能分析工具</a>，其源自於過去15年，微軟用於分析自家作業系統Windows效能的工具集，能夠提供許多有用的功能、方法和生態系。該工具集以開源.NET Core，和新的microsoft-performance-toolkit-sdk為基礎，能夠跨平臺，在任何.NET Core支援的作業系統執行。</p> <p>這些追蹤工具能夠提供深度分析，讓用戶掌握作業系統和應用程式碼的行為，可用於各種診斷和效能分析場景，當分析場景牽涉Windows，還能夠選擇結合Windows效能追蹤，在同一時間軸中共同分析。</p> <p>該工具組在Linux中，用戶可以使用LTTng、perf和Perfetto三種工具，而Android和Chromium，包括Chrome和Edge Chromium，則支援Perfetto。LTTng記錄Linux核心CPU調度、程序、執行緒、磁碟、系統呼叫和檔案事件，而perf能針對Linux CPU進行採樣，Perfetto功能則是記錄Android和Chromium的CPU調度、採樣和頻率，以及FTrace、Android日誌、通用事件和GPU計數器等。</p> <p>微軟提到，只需要幾行程式碼，用戶就可以在命令列工具使用自定義程式，處理或是傾倒事件。而且在任何作業系統的程式和GUI，都可以使用Microsoft-Performance-Tools SDK以及Linux-Android擴充套件來處理事件，此外，當用戶選擇在Windows機器上分析追蹤，該工具包和Windows效能分析器良好整合，因此還可使用強大的GUI工具。</p> </div></div></div>
2021/12/9 10:53作者李建興https://www.ithome.com.tw/news/148254
Twitter買下傳訊新創Quill
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter周二（12/7）宣布，已買下今年2月才正式發表的商用傳訊程式Quill。</p> <p><a href="https://quill.chat/" target="_blank">Quill提供傳訊與協作功能</a>，為Slack的競爭對手，支援macOS、Windows、Linux、Android與iOS等平臺，也有網頁版，正式推出不到1年就受到Twitter的青睞，惟雙方並未公布Quill目前的用戶數量或交易金額。</p> <p><a href="https://twitter.com/nickcald/status/1468221427354517504" target="_blank">Twitter核心技術總經理Nick Caldwell表示</a>，Quill團隊打造了一個更新鮮也更慎重的交流方式，將把該團隊的經驗及創意帶進Twitter，提供用戶一個更有用的表達方式。</p> <p>目前看來Twitter並不打算保留Quill服務，因為<a href="https://quill.chat/updates/2021-12-07-quill-twitter/" target="_blank">Quill已宣布</a>要在今年的12月11日關閉服務，鼓勵用戶在該日期之前匯出訊息的歷史紀錄，因為屆時Quill也會刪除所有的訊息，對於付費用戶則會全數退費。</p> </div></div></div>
2021/12/8 14:20作者陳曉莉https://www.ithome.com.tw/news/148249