iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年5月5日, 研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在烏克蘭戰爭中，許多的DDoS攻擊都是針對俄羅斯或烏克蘭政府機關而來，但在攻擊的手法上，從先前傳出利用瀏覽網站用戶的電腦，最近傳出烏克蘭的IT軍隊疑似利用雲端服務來出手，他們藉由Docker映像檔，讓建置Docker雲端服務的組織來發動DDoS攻擊。</p> <p>而在今日的新聞裡，北韓駭客的攻擊行動也有2起，一則是針對駭客組織Lazarus運用的多種勒索軟體進行調查的結果，第二則是駭客組織DarkSeoul針對美國企業的攻擊行動。值得留意的是，後者入侵受害組織的管道，就是存在Log4Shell漏洞的VMware遠距工作平臺。</p> <p>最近幾年，研究人員揭露了Intel、AMD、Arm處理器的推測執行漏洞，而自去年出現的Apple Silicon處理器，現在有研究人員發現類似的弱點Augury，而可能導致相關資料還沒傳送到處理器核心與執行緒就被洩露。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/compromised-docker-honeypots-used-for-pro-ukrainian-dos-attack/"><span style="color: rgb(0, 0, 0);">CrowdStrike的Docker蜜罐發現兩個可能引發阻斷服務的映像檔，疑似鎖定俄羅斯、白俄羅斯政府機關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/StopPropaganda-Picture1-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StopPropaganda-Picture1-7.png" style="width: 300px; float: right;" /></a>烏克蘭戰爭開打至今，雙方的網路攻擊行動也不斷出現，但最近駭客的攻擊手法發生了變化。資安業者CrowdStrike近日指出，他們在2月27日至3月1日之間，看到疑似是烏克蘭政府發起的IT軍隊（UIA），利用曝露於網路的Docker引擎API，向俄羅斯與白俄羅斯24個政府機關、新聞網站，發動分散式阻斷服務（DDoS）攻擊。</p> <p>這些駭客了上傳兩個Docker映像檔到Docker Hub，若有人去下載、部署這些映像檔，可能會啟動相關的攻擊，上述兩個檔案目前已被下載超過15萬次。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/the-hermit-kingdoms-ransomware-play.html"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用多種勒索軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/the-hermit-kingdom-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/the-hermit-kingdom-2.png" style="width: 300px; float: right;" /></a>因攻擊銀行而惡名昭彰的北韓駭客組織Lazarus（亦稱APT38、Hidden Cobra），有研究人員發現，這些駭客最近2年疑似也透過勒索軟體來牟利。資安業者Trellix指出，他們發現Lazarus的成員運用勒索軟體VHD的跡象，進一步分析與比對後，發現該組織還有利用Beaf、PXJ、ZZZZ、ChiChi等多款勒索軟體，這些勒索軟體共用部分程式碼，其中又以Beaf和ZZZZ的相似程度最高。</p> <p>這些駭客鎖定的目標，很可能是亞太地區的實體，不過，研究人員提及，其中發生在2020年的一起攻擊行動中，駭客只收到2.2個比特幣（時價約2萬美元），獲利並不高，研究人員認為，上述的勒索軟體攻擊事故，很可能是大型攻擊行動的一部分。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/stonefly-north-korea-espionage"><span style="color: rgb(0, 0, 0);">北韓駭客DarkSeoul利用Log4Shell漏洞入侵VMware遠距工作平臺</span></a></strong></h3> <p>國家級駭客運用Log4Shell漏洞發動攻擊的情況，已有數起，且有不少是針對VMware遠距工作平臺而來。資安業者賽門鐵克於今年2月發現，北韓駭客DarkSeoul（亦稱Stonefly、BlackMine）攻擊美國工程公司，該公司與美國國防與能源領域具有合作關係。而駭客入侵該公司的管道，就是針對該公司的遠距工作平臺VMware View（舊版的VMware Horizon）伺服器下手，利用Log4Shell漏洞入侵。</p> <p>在成功進入受害組織後，駭客部署後門程式Preft（亦稱Dtrack、Valefor），並利用Mimikatz收集帳密，之後於該公司內部網路進行橫向移動，進行竊密的工作。研究人員指出，這些駭客透過寄生攻擊（LoL）的手法，大量採用開源工具WinSCP、3proxy 等，並專注於竊取機密資訊的工作。他們呼籲組織應儘速修補相關系統的Log4Shell漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/online-library-app-onleihe-faces-issues-after-cyberattack-on-provider/"><span style="color: rgb(0, 0, 0);">網路圖書館應用程式Onleihe供應商遭到勒索軟體LockBit攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-ekz.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-ekz.png" style="width: 200px; float: right;" /></a>歐洲國家的圖書館資料走向數位化，而能透過線上系統存取，但相關資料也成為攻擊者下手的目標。根據資安新聞網站的報導，圖書借閱應用程式Onleihe的服務供應商EKZ，於4月18日遭到網路攻擊，導致Onleihe部分系統無法運作，該公司直到約28日恢復了大部分的系統，但與設備販售相關的網站服務仍未恢復運作。</p> <p>而在EKZ宣布復原大部分系統的運作後，同日勒索軟體LockBit宣稱此起攻擊事件是他們所為，並公布全部他們竊得的資料。但這些資料公布後究竟會帶來那些影響？有待後續觀察。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/scams/2022/05/fake-cyberpunk-ape-executives-target-artists-with-malware-laden-job-offer/"><span style="color: rgb(0, 0, 0);">駭客以無聊猿的名義向圖像創作者散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cyberpunk-apes-executives.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cyberpunk-apes-executives.png" style="width: 300px; float: right;" /></a>非同質化代幣（NFT）的創作當紅，駭客也看上這波熱潮，以徵求NFT作品所需的圖像為由，向創作者發動攻擊。資安業者Malwarebytes指出，近期有人鎖定DeviantArt、Pixiv等圖像作品分享網站的用戶，發送釣魚郵件，他們宣稱是NFT專案Cyberpunk Ape Executives，尋求與平面圖像的創作者合作，一旦對方被錄取，每天將會有200至350美元的報酬。</p> <p>一旦收信人照作，就會從檔案共享網站Mega下載RAR壓縮檔，內含了許多GIF圖檔，但其中混入了可執行檔，一旦收信人不慎當作圖片開啟，電腦就有可能被植入竊密程式。對此Cyberpunk Ape Executives也提出警告，他們沒有相關的合作計畫，呼籲收到相關郵件的人不要回覆，也不要點選信件裡的連結。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theguardian.com/world/2022/may/02/spain-prime-minister-pedro-sanchez-phone-pegasus-spyware"><span style="color: rgb(0, 0, 0);">西班牙總理、國防部長手機感染間諜軟體Pegasus</span></a></strong></h3> <p>又有歐洲國家透露高層遭到間諜軟體Pegasus監控，但外界認為公布相關消息可能別有用意。西班牙政府於5月2日指出，該國總理Pedro Sanchez、國防部長Margarita Robles，兩人的手機先後於2021年5月、6月，感染了Pegasus間諜程式。</p> <p>但外界認為，西班牙公布此事的動機並不單純，原因是加拿大公民實驗室於今年4月指出，63隻加泰羅尼亞人士的手機遭到Pegasus監控，這些手機的所有者包含該國總統、立法委員、公民組織成員等，背後疑似是西班牙所為，這次西班牙公布總理和國防部長遭到監控的事件，很有可能是要淡化針對加泰羅尼亞的攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.prefetchers.info/"><span style="color: rgb(0, 0, 0);">蘋果Apple Silicon處理器存在Augury漏洞，恐洩露準備要執行的命令</span></a></strong></h3> <p>蘋果自行設計的Apple Silicon處理器晶片中，可能也存在類似推測執行（Speculative Execution）的漏洞。美國伊利諾大學香檳分校（UIUC）、華盛頓大學（UW），以及以色列特拉維夫大學的數名研究員聯手，在蘋果的A14、M1、M1 Max處理器上發現名為Augury的漏洞，這項漏洞與該廠牌處理器所採用的記憶體資料預先讀取機制（Data Memory-Dependent Prefetcher，DMP）有關，一旦攻擊者利用這項漏洞，就有可能洩露處理器核心或指令集尚未讀取的資料。再者，該漏洞也會讓這些蘋果處理器對於Spectre漏洞的防禦措施失效。</p> <p>研究人員指出，雖然這個漏洞目前尚未遭到利用，但此漏洞可能會被攻擊者用於破壞作業系統，使得記憶體使用位址空間隨機載入（ASLR）的機制失效。研究人員已經通報相關分析結果，不過目前蘋果沒有進一步回應。</p> <p> </p> <h3><strong>【資安防護措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.malvuln.com/"><span style="color: rgb(0, 0, 0);">研究人員發起Malvuln專案，找尋勒索軟體的漏洞來阻止攻擊行動</span></a></strong></h3> <p>為了防堵勒索軟體加密電腦檔案，有研究人員試圖找出漏洞來阻止運作。資安研究員John Page（Hyp3rlinx）於2021年1月發起名為Malvuln的專案，該專案的目標是找出並公布惡意軟體與勒索軟體的漏洞，該專案上線至今此專案已揭露數百個惡意程式漏洞，並提概念性驗證（PoC）攻擊程式，到了5月3日，Malvuln進一步公布多款惡名昭彰的勒索軟體漏洞細節，這些勒索軟體包含了WannaCry、REvil、Conti，以及LokiLocker等。</p> <p>研究人員本次揭露的漏洞，主要與勒索軟體的運作方式有關，因為駭客都會搜尋現有資料夾裡的DLL檔案，並用來側載惡意程式，一旦研究人員利用勒索軟體的漏洞，就能透過DLL挾持（DLL Injection）來置換駭客的檔案，進而終止加密資料的攻擊行為。雖然該專案立意良善，但也有資安專家認為，駭客會修補Malvuln公布的軟體漏洞，而讓資安人員無法用來反制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/public-facing-db/"><span style="color: rgb(0, 0, 0);">曝露於網際網路的資料庫於自2021年開始不斷增加</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DBMS-info-1%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DBMS-info-1%402x.png" style="width: 300px; float: right;" /></a>隨著這幾年疫情的蔓延，遠距工作成為常態，使得企業的網路環境變得更加複雜，而可能使得曝露在網際網路上的資料庫大幅增加。資安業者Group-IB指出，他們在2021年共發現了30.8萬個曝露的資料庫，且自2021年第1季開始幾乎不斷增加，而這樣的情況到了今年第1季更加惡化，新增了9.1萬個資料庫。而對於這些資料庫的類型，研究人員發現，近4成是Redis，其次是MongoDB和Elastic，而根據這些資料庫位於的國家來看，主要是美國，中國次之。</p> <h3><strong style="font-size: 22px;"><a href="https://cymetrics.io/zh-tw/latest/all/YnCOHBIAACUAMxgO"><span style="color: rgb(0, 0, 0);">臺灣百貨業者的網站、帳密保護、郵件安全尚待加強</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/taiwan-department-store-top10-cybersecurity.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/taiwan-department-store-top10-cybersecurity.png" style="width: 300px; float: right;" /></a>在最近3年受到疫情的衝擊，百貨業者紛紛進行數位轉型，推出電子支付工具與電商網站，但在此同時資訊安全也相形變得更加重要，有資安業者針對臺灣百貨業者進行調查。資安業者Cymetrics近日針對臺灣前十大百貨業者檢測資安曝險的情況，結果發現，這些百貨公司的網站普遍出現配置不當，或是元件沒有即時更新的情況，攻擊者很可能藉由跨網站攻擊繞過相關安全驗證機制，或是利用舊版軟體的已知漏洞入侵。</p> <p>再者，電子郵件安全與帳號保護的部分，也出現仍需加強的情況。研究人員指出，有半數業者疏於電子郵件安全防護，亦有高達4家業者曾出現帳號資料外洩的事故，而可能成為攻擊者下手的目標。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/5 17:58作者周峻佑https://www.ithome.com.tw/news/150776
商業電子郵件詐騙大行其道，相關損失居網路詐騙首位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/PDF/AnnualReport/2021_IC3Report.pdf" target="_blank">美國聯邦調查局（FBI）網路犯罪投訴中心（Internet Crime Complaint Center，IC3）本周公布了2021年的網路犯罪調查報告</a>，顯示去年收到了84.7萬筆的投訴，比前一年增加7%，受害者的損失金額為69億美元。其中，商業電子郵件詐騙（Business Email Compromise，BEC）雖然在投訴數量排行榜上只位居第九，但損失金額卻高居首位，達24億美元，占所有去年網路犯罪損失金額的35%。</p> <p>去年最多人投訴的網路犯罪行為為各種釣魚活動，總計收到32.4萬筆投訴；居次的則是沒收到貨款或沒收到商品的交易詐騙，收到逾8.2萬筆投訴；有5.2萬筆投訴與個資外洩有關。至於BEC詐騙則收到近2萬筆投訴，排名第九。</p> <p>然而，在損失金額的排行榜上，前三名依序是BEC詐騙、投資詐騙及愛情詐騙，這三大類別分別損失了24億美元、15億美元及9.6億美元，光是它們就占了所有損失的7成。</p> <p><a href="https://www.ic3.gov/Media/Y2022/PSA220504" target="_blank">FBI則特別針對BEC提出了警告</a>，指出此類的詐騙活動專門鎖定負責合法轉帳的企業或個人，駭客會先透過社交工程或入侵行為來取得企業或個人的電子郵件憑證，特別是企業執行長或財務長，再要求員工匯款。</p> <p>而這些款項主要匯至位於泰國、香港、中國、墨西哥及新加坡的銀行，也有愈來愈多的投訴被騙的是加密貨幣。</p> <p>由於BEC詐騙的第一步就是假冒為可發號施令的對象並以其名義寄出詐騙電子郵件，使得FBI對此所提出的建議大多圍繞在保護自己的帳號，包括採用雙因素認證或小心郵件中的連結等。</p> </div></div></div>
2022/5/5 16:02作者陳曉莉https://www.ithome.com.tw/news/150775
TikTok準備推出可與創作者分享廣告營收的Pulse服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.tiktok.com/en-us/tiktok-pulse-is-bringing-brands-closer-to-community-and-entertainment" target="_blank">全球短影片分享龍頭TikTok本周發表了新的廣告服務TikTok Pulse</a>，該服務允許廣告主把廣告置放在For You Feed內容旁，同時也將讓建立該內容的創作者分享廣告營收。而這也是TikTok首個廣告營收分享計畫。</p> <p>For You Feed為TikTok替使用者量身打造的影片推薦排行榜，所展示的影片通常是該平臺上前4%的熱門內容，TikTok Pulse即讓廣告主得以登上For You Feed，還可選擇符合品牌特性的影片類別，從美妝、流行、汽車、遊戲到烹飪等12種。</p> <p>而這些熱門影片的創作者則可因受到廣告主的青睞，而取得廣告營收的分潤。</p> <p>TikTok為中國業者字節跳動（ByteDance）所推出的服務，它在國際市場稱為TikTok，中國市場則名為抖音，迄今其全球用戶數已超過20億，<a href="https://www.ithome.com.tw/news/148520" target="_blank">TikTok.com更在去年12月超越Google.com</a>，成為全球最熱門的網域名稱。</p> <p>其實創作者於TikTok上已經有許多營利工具，粉絲可購買平臺上的虛擬錢幣來贊助創作者，或者是藉由聯盟行銷（Affiliate Marketing），於影片中推薦商品或服務來抽佣，而擁有大批粉絲的網紅則多半透過業配來獲利。</p> <p>不過，創作者不管是使用上述工具或是TikTok Pulse都有粉絲數量門檻，影片的創作者或出版商必須擁有至少10萬名粉絲才能分享TikTok Pulse的廣告營收。</p> </div></div></div>
2022/5/5 14:42作者陳曉莉https://www.ithome.com.tw/news/150771
英國健保局有上百名員工的帳號遭駭，被用來發送網釣郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.inky.com/en/blog/fresh-phish-britains-national-health-service-infected-by-massive-phishing-campaign" target="_blank">雲端電子郵件資安業者Inky本周指出</a>，英國健保局（National Health Service，NHS）已淪為大型網釣活動的受害者，自去年秋天開始，駭客即利用盜來的該局員工電子郵件帳號來寄送網釣郵件，截至今年3月，已有139名員工的電子郵件遭到盜用。</p> <p>Inky表示，該公司光是在今年3月便偵測到了來自NHSMail的1,157封網釣郵件，NHSMail為NHS替英國與蘇格蘭員工所建置的電子郵件系統。Inky猜測數量大幅增加的原因之一，為NHS於去年底將電子郵件系統從就地部署搬遷到Microsoft Exchange Online，變更了安全環境。</p> <p>這些網釣郵件主要是假冒為新的文件通知，並嵌入惡意連結以將使用者導至偽造的網站，目的是為了竊取使用者的微軟憑證。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-NHS-600-1.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Inky</span></span></p> <p>NHS在今年4月中旬接獲Inky的通知後，即著手解決相關問題，也讓Inky所偵測到來自NHS的網釣郵件明顯減少。</p> <p>根據Inky的推測，駭客取得NHS員工電子郵件憑證的管道，並非是駭進了NHS的電子郵件伺服器，而是個別挾持了這些帳號。</p> </div></div></div>
2022/5/5 14:56作者陳曉莉https://www.ithome.com.tw/news/150772
美國報稅軟體TurboTax誘導納稅人使用付費服務，以1.4億美元與美國50州和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發美國報稅軟體TurboTax的Intuit在本周，<a href="https://ag.ny.gov/press-release/2022/attorney-general-james-secures-141-million-millions-americans-deceived-turbotax" target="_blank">以1.4億美元與美國50個州及哥倫比亞特區和解</a>，原因是TurboTax不僅避免納稅人使用真正免費的報稅服務，還不斷強調自家商業報稅軟體可免費使用，卻欺騙納稅人使用付費報稅服務，而遭到美國各州政府的撻伐。</p> <p>Intuit提供兩種TurboTax免費版本，一是它參與了美國國稅局的免費報稅計畫（IRS Free File Program），國稅局同意不開發自己的報稅軟體，由各家商業軟體業者負責，但參與該計畫的前提是允許軍人及年收入落在3.4萬美元左右的納稅人免費報稅。二是TurboTax Free Edition，雖然名為免費版，但它其實是個免費增值（Freemium）產品，免費的部份只適用於最簡單的報稅內容，倘若報稅內容過於複雜，就必須升級到付費服務才能報稅。</p> <p>在這兩個免費報稅產品中，IRS Free File Program相關產品約可讓7成的美國納稅人免費報稅，而TurboTax Free Edition只能讓3成的納稅人免費報稅。</p> <p>美國政府的調查發現，Intuit在2019年的報稅季中，於搜尋引擎的結果頁面上刻意隱藏了IRS Free File服務的頁面，於TurboTax官網上也從未推薦或顯示IRS Free File服務，此外，Intuit在推銷TurboTax Free Edition的30秒廣告影片中，強調了數十次的免費，導致許多原本可免費報稅的納稅人誤信該廣告，最後卻支付了費用。</p> <p>Intuit已於2021年的7月退出了IRS Free File Program。</p> <p>在1.4億美元的和解金額中，除了250萬美元屬於行政成本之外，其它的都將用來補償從2016年至2018年間，可免費報稅卻使用TurboTax進行報稅的近440萬名美國納稅人，同時Intuit也承諾不再於廣告中作出虛假的陳述，並將在納稅人符合免費報稅資格時提醒他們。</p> </div></div></div>
2022/5/5 12:50作者陳曉莉https://www.ithome.com.tw/news/150769
加州州長簽署行政命令以推動Web3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.ca.gov/2022/05/04/governor-newsom-signs-blockchain-executive-order-to-spur-responsible-web3-innovation-grow-jobs-and-protect-consumers/" target="_blank">加州州長Gavin Newsom於5月4日簽署了一行政命令</a>，著眼於替該州的Web3公司建立一個透明的監管與商業環境，以推動創新，並將兼顧消費者福利與風險，同時融入平等、兼容與環境保護等加州價值。雖然說是Web3，但該行政命令所提及的內容，主要圍繞在區塊鏈技術與加密貨幣。</p> <p>區塊鏈與加密貨幣被加州視為是一個正蓬勃發展的產業，該產業的市值從5年前的140億美元激增到去年11月的3兆美元，大約有16%的使用者已投資或使用加密貨幣。</p> <p>Newsom說，加州為全球創新中心，並將替新興的區塊鏈技術奠定成功的基礎，包括刺激負責任的創新、保護消費者，以及利用新技術替大眾謀福利，政府經常落後於科技的進步，而加州卻想要奪得先機。</p> <p>在此一行政命令下，加州將著手建立與加密貨幣及區塊鏈技術有關的法令，替企業打造一個透明的經營環境，也會蒐集各方意見，探索如何部署區塊鏈技術以解決公共服務與新興需求，並兼顧消費者的福利與風險，也會考量公平、兼容與環境保護。</p> <p>該行政命令是基於<a href="https://www.ithome.com.tw/news/149824" target="_blank">美國總統拜登（Joe Biden）在今年3月著手制定數位資產相關的國家政策</a>，此一宣布將讓加州成為美國第一個替Web3建造一個全面框架以刺激其發展的州政府。</p> </div></div></div>
2022/5/5 13:05作者陳曉莉https://www.ithome.com.tw/news/150770
馬斯克提議推特向企業、政府收費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">預定收購社群平臺推特（Twitter）的馬斯克（Elon Musk）本周暗示，推特可能會對企業及政府用戶收費作為維持營運之所需。</p> <p dir="ltr"><a href="https://twitter.com/elonmusk/status/1521630589710872576" target="_blank">他在推特上抛出新想法</a>，表示推特仍將提供一般用戶免費服務，但是對商業或政府用戶可能會收取「一點費用」（slight cost）。<a href="https://twitter.com/elonmusk/status/1521580576297398274" target="_blank">他並指出</a>，歷史上（扮演早期採石工人工會角色的）共濟會（Freemasons）就是因為提供採石工人所需的服務未收取回報最後瓦解。</p> <p dir="ltr">一如馬斯克一向的作風，他對此並未進一步說明。推特是否會實施也還言之過早。不過馬斯克顯然在謀畫推特未來在他治理下，除了廣告之外的營收來源。<a href="https://www.ithome.com.tw/news/150620" target="_blank">推特上個月宣佈接收這位全球最有錢的人以440億美元收購並且預計今年內下市</a>。他當天就表示將打擊有政治操作及行銷廣告利益在後面的垃圾機器人（spambot）訊息。</p> <p dir="ltr">上個月<a href="https://www.reuters.com/business/musk-told-banks-he-will-rein-twitter-pay-make-money-tweets-sources-2022-04-29/" target="_blank">路透社報導</a>，馬斯克在向挹注收購資金的銀行團提案時指出，考慮對引述或嵌入推特推文的媒體收取費用。</p> <p dir="ltr">推特和企業的關係在收購消息傳出後變得微妙。有鑒於馬斯克聲稱要減少對內容的管制，引發企業及一些團體擔心可能讓暴力、仇恨內容重返這個平臺，本周26個組織包括投資家索羅斯（George Soros）、歐巴馬及柯林頓政府時代閣員成立的組織、民主黨支持團體、勞工聯盟、加拿大政府及歐盟等<a href="https://accountabletech.org/wp-content/uploads/Letter-to-Twitter-Advertisers.pdf" target="_blank">發表公開信</a>要求如果馬斯克治理的推特取消內容管制，廣告主包括可口可樂、食品大廠卡夫（Kraft）及迪士尼等應對其發動杯葛。</p> <p dir="ltr"><a href="https://twitter.com/elonmusk/status/1521574041814978562" target="_blank">馬斯克則反擊回應</a>，這些組織尋求限制人民存取資訊，應調查在背後資助者。</p> </div></div></div>
2022/5/5 11:21作者林妍溱https://www.ithome.com.tw/news/150768
GitHub要求開發人員在2023年底前啟用2FA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">5月5日是世界密碼日，不過GitHub認為密碼已經不夠了。<a href="https://github.blog/2022-05-04-software-security-starts-with-the-developer-securing-developer-accounts-with-2fa/" target="_blank">開發資源平臺GitHub昨（4）日宣布一項新政策</a>，要求所有在GitHub.com上貢獻程式碼的使用者於2023年底啟用雙因素驗證（2 factor authentication，2FA）。</p> <p dir="ltr">GitHub安全長Mike Hanley指出，密碼驗證已不足以提供防禦，過去兩年，GitHub陸續要求所有Git操作及API都需要權杖身份驗證，以及<a href="https://github.blog/changelog/2019-07-01-verified-devices/" target="_blank">在陌生裝置存取GitHub需另外提供電子郵件驗證</a>，也自2019年提供2FA的選項。此外，<a href="https://www.ithome.com.tw/news/147697" target="_blank">由於2021年11月發生開發人員帳號被駭客劫持</a>，導致npm套件遭劫持並改造成惡意版本，GitHub進一步要求npm套件開發人員啟用2FA 。但今天GitHub上的活躍用戶，僅16.5%使用2FA，npm用戶使用一種以上2FA的比例更只有6.44%。</p> <p dir="ltr">為此，GitHub展開一波強制實行2FA的行動作業。今年2月這個開發平臺將100 大npm套件的所有維護人員強制啟用2FA。5月起，500大npm套件所有維護人員也將被強制啟用。GitHub預計在第3季讓高影響力的套件，像是相依模組超過500個或每周下載次數超過100萬的套件維護人員完成強制啟用。GitHub計畫之後將npm套件實施2FA的經驗推廣到整個GitHub.com上。</p> <p dir="ltr"><a href="https://docs.github.com/en/authentication/securing-your-account-with-two-factor-authentication-2fa" target="_blank">GitHub呼籲開發人員儘速啟用2FA驗證</a>。 GitHub說未來幾個月內會公佈更多細節及時程，也會設法改善用戶的使用體驗。</p> <p dir="ltr">GitHub上的組織或企業用戶也可以透過設定，要求成員或員工使用2FA。一旦組織或企業啟用這設定後，不啟用 2FA的成員甚至主持人會被踢出其組織。</p> <p>使用雙因素驗證或兩步驟驗證（2-step verification）已成主要網路平臺的規範。<a href="https://www.ithome.com.tw/news/148156" target="_blank">臉書去年初強制要求</a>記者、民權倡議人士或政治人物等高風險人士啟用2FA。<a href="https://www.ithome.com.tw/news/144240" target="_blank">Google也於去年初起</a>強制Google帳號用戶啟用兩步驟驗證（2-step verification），<a href="https://www.ithome.com.tw/news/149272" target="_blank">今年該公司表示推行一年後</a>，用戶帳號被竊的情形減少了50%。</p> </div></div></div>
2022/5/5 11:08作者林妍溱https://www.ithome.com.tw/news/150767
Clean Code：童子軍規則
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>評估開放原始碼程式庫的要素之一，是專案的活躍度，而活躍度的參考指標之一在於，作者是否經常對程式庫進行維護，更具體地說，程式庫提交（commit）的頻率。就我而言，找到一個程式庫時，總是會看一下它最近一次受到提交是什麼時候。</p> <p>如果開發者手邊有個開放原始碼專案，想讓使用者知道他關心這個專案，該怎麼維持這種活躍度呢？由於手邊也有著dotSCAD/cqMore等開放原始碼專案，我經常在思考這個問題！</p> <p>臭蟲修正？這不是想找就找得到！持續加點新特性？為了加新特性而加，只會令程式庫失焦，硬寫出來的功能也不見得好用，可能只是增加日後維護的麻煩！</p> <p><span style="font-size:28px;"><strong>童子軍規則／無情重構</strong></span></p> <p>維護程式庫終究要有目標，然而，其實不需要什麼太遠大的目標，我們只要遵循《Clean Code》第一章所提到的童子軍規則（The Boy Scout Rule）：「離開營地前，讓營地比使用前更加乾淨。（Always leave the campground cleaner than you found it.）」每次打開專案，我們就試著找個地方整理一下，讓程式碼的品質好上那麼一點點，就可以了。</p> <p>Bob大叔認為，童子軍規則是個專業主義的象徵，在《The Clean Coder》第一章再度提到這個規則，並且進一步地闡釋「想要證明軟體易於修改，唯一的辦法就是『做些實際的修改』」，這種策略有時被稱為Merciless refactoring。</p> <p>Merciless有殘酷無情之意，Merciless refactoring也就常翻譯為「無情重構」，這聽來有點嚇人，不過，這裡的merciless比較像是無心、無意，不用有太多情懷，做這類重構不需要設想太多的意思，單純就是離開前讓原始碼乾淨一些。</p> <p>這是因為重構常給予人需要特定目標、手法，如果沒有足夠的經驗，沒能嗅出程式碼的餿味、沒對專案架構有一定認識，就別輕易動手的感覺；然而所謂的無情重構，希望的是沒經驗的開發者，也能輕易實現，持續、點滴地改進程式碼的品質，從而讓後續的程式碼修改變得簡單。</p> <p><span style="font-size:28px;"><strong>面對原始碼的童子軍</strong></span></p> <p>身為開發者，或多或少可能都學習過一些關於重構訊號、目標與手法的知識，應該知道一些整潔程式碼該有的樣子，但是，我們實行童子軍原則時，不見得每次都是以消除程式碼餿味、增加程式碼整潔為目標。</p> <p>別的不說，就算是重新命名變數或函式，來增加程式碼的可讀性，其實，也是滿難的一件事不是嗎？畢竟它是<a href="https://bit.ly/35paMM6" target="_blank">程式設計師九大難題之首</a>呢！</p> <p>開發者只要找一段感興趣的原始碼，看懂它，然後有個修改的簡單理由，就可以了。最好是腦袋中一閃而過的想法，就算只是簡單地調整排版，也無所謂，就算排版只是做一點縮排，或按個換行，也沒問題。只要那些修改動作，是開發者看懂程式碼之後的想法、第一時間想做出的調整，就可以了，而在我們提交程式碼的訊息當中，寫明僅是做個排版，也就可以了。</p> <p>可別小看縮排！這其實意謂著開發者理解到程式碼中，有個不同或相同的層次。</p> <p>也別小看換行！這可能意謂著理解到這邊是一個子任務的結束、另一個子任務的開始。</p> <p>就我個人的經驗而言，往往是在累積了一些程式碼排版的提交之後，而逐漸發現到有些可以抽取或合併的程式碼，或者進行資料結構封裝、架構調整之類重構的可能性。</p> <p>簡而言之，「童子軍規則」的重點在於，為了在離開前，讓原始碼比使用前更加乾淨，開發者必須先讀通程式碼，就算只是一小段，也有了重新檢視、修改原始碼的機會。</p> <p>修改的動機也可以是除舊佈新，像是知道了專案環境可以使用某個新語法、新特性、原生函式，可以在閱讀原始碼時，順手更新，移除一些過時的實作或被廢棄的特性等。</p> <p>當然，如果對重構的訊號、整潔程式碼的樣貌擁有相當的經驗與心得，儘管去運用相關手法，在離開前清理原始碼，也是沒問題的！</p> <p><span style="font-size:28px;"><strong>面對專案的童子軍</strong></span></p> <p>有時讀完一些原始碼後，開發者可能還是沒有想法，這時該怎麼辦？雖然Bob大叔提及的童子軍原則，基本上，是針對程式碼的整潔，不過，施行對象其實可以不限於原始碼本身，也可以是對整個專案品質有助益的整理，例如文件、範例程式碼或測試等。</p> <p>這令我想到許多開發者不愛寫文件，確實地，寫文件有時枯燥乏味，特別是撰寫API文件，而避免乏味的方式之一是，為API文件加入一些範例程式碼，這是強制從開發者的角度脫離，改從使用者的角度來看待API的方式，以便從實際文件撰寫、範例設計中，察覺API的設計是否合理、易於使用、有無彈性等，如果在設計範例程式碼時覺得麻煩，改進API設計就會是下次促進專案品質的目標之一。</p> <p>另一方面，撰寫文件、設計範例程式碼，其實就是實行測試的另一種形式，因為在撰寫文件或範例的過程中，我們往往可以發現臭蟲或者效能等問題，這實就有了檢視、修改程式碼的機會。</p> <p>因為有了文件、範例程式碼，下次在實現童子軍原則時，若真的沒想法，那就補點測試吧！我們可以將先前撰寫的文件、範例作為測試案例的來源，令其成為自動化測試的一部份。</p> <p>有了文件、範例程式碼與更多的測試作為基礎，開發者面對專案本身的原始碼時，就更有信心去實現童子軍原則，而不用怕修改之後，破壞了什麼！</p> <p>童子軍原則也可以套用在文件與範例，畢竟它們也是需要維護的對象，因為過時的文件與範例比沒有這些資訊還糟糕，所以，我們如果面對專案本身的原始碼真的沒什麼想法，那就去整理文件與範例，修正一些過時的東西、改幾個字詞、增減一些描述或純潤飾等都好。別忘了！童子軍原則也常被稱為Merciless refactoring，實行時不要設想太多。</p> <p><span style="font-size:28px;"><strong>童子軍規則的效益</strong></span></p> <p>Bob大叔說大多數人對軟體的理解是「修改是危險的」，其實正好相反，為了證明軟體易於修改，就要避免讓程式碼保持不變，只有修改才能發覺不易修改的設計，從而改進設計，讓修改變得容易，這是時時實行童子軍規則的效益之一。</p> <p>開發者越是不改程式碼，就越來越不敢改，然後新功能只基於這些不想改的程式碼，持續地堆疊上去，有一天就會像Bob大叔說的：「不得不重構時，就會發現程式碼已經僵化了」。</p> <p>就我的經驗而言，另一個效益是，實現童子軍規則，其實是在時刻閱讀、修改原始碼過程中，維持對專案的熟悉度，而且，效益會在持續累積熟悉度後逐漸呈現並擴大，當專案的品質與自身的熟悉度都到達一定程度，有些過去難以解決的難題，解決的方案可能會突然變得清晰，這時對專案往往會產生全新的目標與想法。</p> <p>總體而言，我們在維護開放原始碼上若能實行童子軍規則，就可以讓專案維持著一定的提交頻率，而且並非灌水。這表示除了臭蟲修正、新增特性等之外，開發者也關心專案的其他品質，這些都會反映在提交記錄上，顯示出童子軍每次離開營地前的整理提交，都是具有意義的！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E7%AB%A5%E5%AD%90%E8%BB%8D%E8%A6%8F%E5%89%87">童子軍規則</a></div><div class="field-item even"><a href="/tags/boy-scout-rule">The Boy Scout Rule</a></div><div class="field-item odd"><a href="/tags/%E7%84%A1%E6%83%85%E9%87%8D%E6%A7%8B">無情重構</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E6%94%BE%E5%8E%9F%E5%A7%8B%E7%A2%BC">開放原始碼</a></div></div></div>
2022/5/5 07:00作者林信良https://www.ithome.com.tw/voice/150680
Malvuln專案公布WannaCry、REvil、Conti及LokiLocker等勒索軟體漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.malvuln.com/" target="_blank">一名代號為Hyp3rlinx的獨立安全研究人員John Page於去年1月發起了Malvuln專案</a>，專門查找惡意程式與勒索軟體的安全漏洞，並將它們公諸於世，上線一年多以來，該專案已公布了數百個惡意程式的安全漏洞，以及相關漏洞的攻擊程式，並於本周二（5/3）揭露惡名昭彰的WannaCry、REvil、Conti及LokiLocker等勒索軟體的漏洞細節。</p> <p>根據Malvuln專案官網上的說明，這是全球第一個專門研究惡意程式安全漏洞的網站，雖然有許多網站都提供了惡意程式的資訊，卻沒有人致力於分析這些惡意程式樣本的安全漏洞，直至該專案的現身。</p> <p>Page透過Malvuln所公布的內容包括惡意程式的名稱、漏洞型態、漏洞描述、所植入的檔案、概念性驗證程式，還賦予它們以MVID開頭的漏洞編號。</p> <p><a href="https://www.securityweek.com/malvuln-project-catalogues-vulnerabilities-found-malware" target="_blank">Page曾向《SecurityWeek》表示</a>，資安研究人員也許可以利用Malvuln專案的資料庫，找到特定惡意程式的遠端攻擊漏洞，在不需要接觸機器的狀態下就把它消滅。</p> <p>本周Page所公布的多個勒索軟體漏洞皆屬程式執行漏洞，而且漏洞型態非常類似，皆是因為這些勒索軟體會尋找及執行現有目錄的DLL檔案，而相關漏洞則允許安全研究人員透過DLL劫持來取代駭客所使用的檔案，即可終止它們的預先加密行為。</p> <p>儘管Page立意良善，但也有威脅情報專家認為這不僅造福資安社群，或者也會協助駭客改善其惡意程式。</p> </div></div></div>
2022/5/4 23:22作者陳曉莉https://www.ithome.com.tw/news/150757
SEC加派近一倍人力以調查加密貨幣詐騙案件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2022-78" target="_blank">美國證券交易委員會（Securities and Exchange Commission，SEC）本周宣布</a>，將把執法部門中的網路單位（Cyber Unit）擴大成加密貨幣資產及網路單位（Crypto Assets and Cyber Unit），同時加派20名人力，讓該單位的人員編制達到50名，以負責保護加密貨幣市場的投資人，同時防範與網路有關的威脅。</p> <p>SEC主席Gary Gensler表示，美國擁有全球最大的資本市場是因為投資人對它們充滿信心，隨著愈來愈多投資人進入加密貨幣市場，投入更多資源來保護他們也變得愈發重要。加密貨幣資產及網路單位過去已經成功地針對那些企圖剝削投資人的對象提出了數十起訴訟，擴大編制將能更適當地監管加密市場中的不當行為，同時找出及控制與資安相關的問題。</p> <p>SEC最初的網路單位成立於2017年，當時便鎖定調查與詐騙及加密貨幣相關的不當行為，迄今已採取逾80個執法行動，擴編之後它將持續追蹤及調查加密貨幣資產的提供、加密貨幣資產的交易、加密貨幣資產的借貸與質押產品、分散式金融平臺、NFT及穩定幣等類別的非法行為。</p> <p>此外，倘若有上市公司或是於SEC註冊的公司未能適當地披露與網路相關的風險與事件，也會受到該單位的究責。</p> </div></div></div>
2022/5/4 23:05作者陳曉莉https://www.ithome.com.tw/news/150756
【資安日報】2022年5月4日, 駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客運用釣魚郵件發動攻擊的情況，不時有攻擊行動傳出，但最近有資安業者發現，駭客於4月大肆運用Google的SMTP中繼（SMTP Relay）服務，來隱藏釣魚郵件寄送的來源，而能對部分使用Gmail組織下手，若是組織沒有啟動DMARC郵件驗證協定配置，就有可能將釣魚郵件傳送到收信人手上。</p> <p>而在今天的資安新聞中，與物聯網裝置有關的漏洞也相當值得留意。其中一個與廣受嵌入式系統採用的程式庫uClibc、uClibc-ng有關，該程式庫存在的DNS實作漏洞，很可能影響Netgear、Axis、Linksys等超過200個廠牌的設備，數百萬設備都可能受到波及。另一個則是與Aruba、Avaya交換器TLS連線實作有關的漏洞TLStorm 2.0。</p> <p>在物聯網裝置會使用的元件漏洞之外，勒索軟體的動態也是今日的另一個焦點。其中最引起研究人員關注的事件，就是勒索軟體REvil確實已重出江湖。本日兩起資安事件的攻擊手法也非常罕見，一項是在進行檔案加密攻擊時還探測受害組織的Log4Shell漏洞；另一個勒索軟體則是竄改受害電腦的服務，來確保能檔案加密完成而不致受到中斷。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.avanan.com/blog/the-gmail-smtp-relay-service-exploit"><span style="color: rgb(0, 0, 0);">駭客濫用Google的SMTP中繼服務發送釣魚郵件</span></a></strong></h3> <p>駭客發動釣魚郵件攻擊的手法，也出現濫用電子郵件服務的現象。資安業者Avanan提出警告，他們在4月看到攻擊者濫用Google的SMTP中繼（SMTP Relay）服務情況大幅增加，研究人員在2個星期的時間收到2.7萬封釣魚郵件，這種郵件透過上述服務寄送，從而隱藏信件的真實來源。</p> <p>研究人員指出，只要這些採用Gmail的組織沒有適當的DMARC郵件驗證協定配置，攻擊者就能藉由這種方式，把釣魚郵件送到受害者的信箱。研究人員於4月23日向Google通報駭客的攻擊行動，但Google對於此事尚未做出回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/revil-ransomware-returns-new-malware-sample-confirms-gang-is-back/"><span style="color: rgb(0, 0, 0);">勒索軟體REvil重出江湖，研究人員發現新的惡意軟體檔案</span></a></strong></h3> <p>之前已有研究人員發現勒索軟體REvil疑似東山再起的跡象，駭客重新恢復其公告受害者的網站運作，如今又有了新的進展。根據資安新聞網站Bleeping Computer的報導，資安研究員R3mrum、Advanced Intelligence執行長Vitali Kremez、Avast研究員Jakub Kroustek等多名資安研究人員，不約而同發現新的REvil勒索軟體檔案。</p> <p>R3mrum指出，使用新版勒索軟體的駭客擁有原始碼，但目前的檔案不會執行加密；Vitali Kremez則表示，這個勒索軟體在4月26日編譯完成，並具備針對特定受害者的驗證機制；Jakub Kroustek則是指出，他們偵測到疑似是REvil變種的勒索軟體，組態配置與受害者ID都有所不同，目前並不會加密檔案，但會向受害者索討42個比特幣（BTC）的贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/e/avoslocker-ransomware-variant-abuses-driver-file-to-disable-anti-Virus-scans-log4shell.html"><span style="color: rgb(0, 0, 0);">Avast防蠕蟲元件遭到勒索軟體AvosLocker濫用，用於停用防毒軟體，並掃描Log4Shell漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-avoslocker-disables-defense-solutions-scans-for-log4shell.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-avoslocker-disables-defense-solutions-scans-for-log4shell.jpg" style="width: 300px; height: 79px; float: right;" /></a>勒索軟體駭客不只是會加密電腦的檔案，還會探測受害組織是否存在Log4Shell漏洞。趨勢科技最近偵測到勒索軟體AvosLocker的攻擊行動，駭客疑似先利用Zoho ManageEngine ADSelfService Plus的漏洞CVE-2021-40539，入侵受害組織，然後從C2伺服器下載HTML應用程式檔案（HTA）並執行，這個HTA檔案將會觸發含有Shell Code的PowerShell程式碼，並連線到C2中繼站接收指令。接著，駭客透過PowerShell的處理程序，下載ASPX檔案格式的Web Shell，並收集伺服器上的系統資訊，然後下載遠端桌面軟體AnyDesk，藉此讓駭客通過防火牆進行控制，並下載作案工具。</p> <p>值得留意的是，他們濫用Nmap掃描受害組織的Log4Shell漏洞，並藉由Avast Anti-Rootkit的驅動程式檔案（asWarPot.sys）來關閉受害主機上的防毒軟體，然後執行勒索軟體。而對於上述防蠕蟲工具遭到濫用的情形，Avast表示，相關漏洞已於2021年6月修補，他們也與微軟合作，微軟已在Windows 10與11封鎖Avast的舊版驅動程式。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.minerva-labs.com/new-black-basta-ransomware-hijacks-windows-fax-service"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta竄改傳真服務並在安全模式執行</span></a></strong></h3> <p>在上個月首度出現的勒索軟體Black Besta，傳出很可能是駭客組織Conti成員另起爐灶，有資安業者揭露其攻擊手法的獨特之處。資安業者Minerva指出，攻擊者想要利用Black Besta加密檔案，必須要使用管理員的身分執行，若是透過一般的使用者權限，則不會發動攻擊。</p> <p>研究人員發現，該勒索軟體開始執行後，不只會刪除磁碟區陰影複製（Volume Shadow Copy）的備份檔案，還會企圖竄改受害電腦已經存在的傳真服務（先刪除再建立相同名稱的服務），然後透過安全模式重新開機，並啟用上述的服務再度執行勒索軟體──先枚舉所有的磁碟機並遂一加入勒索訊息，然後占用大部分處理器的資源來加密所有檔案。研究人員指出，因為勒索訊息與公鑰都是針對特定組織而來，使得每個受害組織出現的Black Basta都不盡相同。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/tracking-apt29-phishing-campaigns"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用工作行程安排平臺Trello發動攻擊</span></a></strong></h3> <p>俄羅斯駭客鎖定外交單位發動攻擊的情況，也開始採用更為隱密的手段進行。資安業者Mandiant自1月中旬，發現俄羅斯駭客APT29的釣魚郵件攻擊，鎖定數個外交單位與政府機關而來。攻擊者假借大使官行政通知的名義，並冒用合法的電子郵件信箱寄信，挾帶名為Rootsaw的HTML投放器，以HTML挾帶（HTML Smuggling）的方式，投放IMG或ISO光碟映像檔到受害電腦，而這個映像檔的內容是Windows連結（LNK）檔案與惡意DLL程式庫。一旦受害者點選LNK檔案，便會觸發Beatdrop、Boommic下載器來攻擊受害電腦。</p> <p>研究人員指出，他們觀察這些駭客在初始入侵不久後，12小時之內取得網域管理員的權限，最終投放了Cobalt Strike的Beacon。研究人員指出，這些駭客為了規避資安系統的偵測，他們利用工作管理平臺Trello架設C2中繼站，而在去年攻擊行動中，這些駭客曾濫用應用程式開發平臺Firebase、檔案共用服務Dropbox。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sri.ro/articole/atacuri-cibernetice-asupra-site-urilor-unor-institutii-publice-si-financiar-bancare.html"><span style="color: rgb(0, 0, 0);">俄羅斯駭客針對羅馬尼亞政府發動DDoS攻擊</span></a></strong></h3> <p>俄羅斯駭客不只針對烏克蘭發動網路攻擊，也鎖定援助烏克蘭的其他國家下手。羅馬尼亞情報局（SRI）於4月29日發出公告指出，從當地時間凌晨4時開始，該國與金融機構的一系列網站遭到分散式阻斷服務（DDoS）攻擊，駭客利用羅馬尼亞境外的網路設備發動攻擊，攻擊者的身分是俄羅斯駭客Killnet。該駭客組織坦承是他們發起的攻擊行動，並指出原因是羅馬尼亞眾議院主席<span class="notion-enable-hover" data-reactroot="" data-token-index="1" style="font-weight:600">馬塞爾·喬拉庫（Marcel Ciolacu）近期發表的聲明提及，該國將盡其所能，提供烏克蘭包含武器在內的各式援助。</span></p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/au/blog/threat-insight/emotet-tests-new-delivery-techniques"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet改用Excel外掛發動攻擊</span></a></strong></h3> <p>駭客發動網釣攻擊經常利用內含VBA巨集的惡意文件檔案，但隨著今年初微軟透過修補程式停用部分巨集啟用的管道，也使得駭客調整做法來進行突破。資安業者Proofpoint發現，惡名昭彰的殭屍網路Emotet，背後的駭客組織TA542自4月4日至19日消聲匿跡一段時日之後，開始嘗試透過新的手法來散布病毒。</p> <p>這些駭客利用以薪資為名義的釣魚郵件，引誘對方點選信件裡的OneDrive連結，下載ZIP壓縮檔案，該壓縮檔內含數個Excel外掛元件檔案（XLL），一旦收信人執行檔案，就會在受害電腦下載並執行Emotet。研究人員認為，這些駭客目前很可能正在測試新的攻擊手法，攻擊的規模並不大。</p> <h3><strong style="font-size: 22px;"><a href="https://www.whitesourcesoftware.com/resources/blog/aws-targeted-by-a-package-backfill-attack/"><span style="color: rgb(0, 0, 0);">駭客以AWS的名義上傳2個惡意NPM套件</span></a></strong></h3> <p>攻擊者假冒知名開發者的名義上傳惡意NPM套件，大型的雲端服務業者也成為受害者。資安業者WhiteSource於4月28日、30日，發現有人發動名為Package Backfill的攻擊行動，駭客假冒AWS的名義，找尋該公司曾經發布（但已下架）的NPM套件，然後以這些套件的名稱上架惡意軟體。</p> <p>研究人員指出，第一個上架的套件名為hl7.fhir.r3.core，但套件內容僅有package.json檔案，很可能是實際攻擊之前的測試；而第二個名為@aws-cdk-example-dynamic-web-config/shared的套件，一旦受害者不慎安裝，攻擊者將藉此收集受害主機上的系統資訊，例如處理器架構、可用的記憶體、IP位址、MAC位址，使用的網路連接埠等資訊。研究人員指出，駭客藉由不再使用的NPM套件名稱來發動攻擊，並成功通過NPM的上架檢測機制，開發人員應透過套件的校驗機制來防範受騙。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/nozomi-networks-discovers-unpatched-dns-bug-in-popular-c-standard-library-putting-iot-at-risk/"><span style="color: rgb(0, 0, 0);">用於嵌入式系統的程式庫存在DNS漏洞，恐波及數百萬物聯網設備</span></a></strong></h3> <p>廣泛受到物聯網設備運用的程式庫，一旦出現漏洞，影響層面將相當廣泛。資安業者Nozomi Networks指出，他們發現uClibc、uClibc-ng程式庫所提供的DNS功能存在漏洞，攻擊者可用來發動DNS中毒，或是DNS欺騙攻擊，重新將受害者導向攻擊者控制的IP位址。</p> <p>由於上述兩款程式庫受到Netgear、Axis、Linksys等網路設備廠商，以及供嵌入式應用的Linux發行版採用，可能超過200家廠牌的產品恐面臨上述風險。這項漏洞研究人員在2021年9月發現，並於2022年1月通報前述廠商，但目前尚無修補程式可用，這些廠商正試圖協助開發修補軟體中。</p> <h3><strong style="font-size: 22px;"><a href="https://www.armis.com/blog/tlstorm-2-nanossl-tls-library-misuse-leads-to-vulnerabilities-in-common-switches/"><span style="color: rgb(0, 0, 0);">TLStorm 2.0漏洞波及Aruba、Avaya交換器</span></a></strong></h3> <p>繼資安業者Armis於3月底發現存在於APC不斷電系統（UPS）的重大漏洞TLStorm，他們也在其他廠牌的網路設備找到相關漏洞。Armis近日指出，Aruba與Avaya多個型號的交換器裡，發現TLS通訊實作存在5個漏洞，這些漏洞存在於TLS程式庫NanoSSL，一旦攻擊者利用這些漏洞，將能打破受害組織的網段，並藉由交換器橫向移動，或是竊取受害組織的機密資料。研究人員將上述交換器的漏洞命名為TLStorm 2.0。Aruba、Avaya獲報後，已針對受影響的交換器發布修補韌體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.vicone.com/zh"><span style="color: rgb(0, 0, 0);">趨勢科技宣布成立車用資安新公司VicOne，布局電動車資安防護領域</span></a></strong></h3> <p>趨勢科技5月4日宣布成立車用資安新公司VicOne，這是該公司繼2019年與四零四科技共同成立TXOne Networks，擴展工控資安領域後，加強布局電動車產業資安防護領域。此舉將致力於解決電動車日益升高的資安需求，同時將推動「策略合作夥伴計畫」，目標是協助國內的汽車系統整合及零組件製造商，做到汽車品牌廠的資安合規要求。同時，鴻海推動的MIH開放電動車聯盟，也將參加VicOne策略合作夥伴計畫，而SOAFEE、AUTOSAR等產業聯盟，亦與VicOne進行合作。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/4 18:43作者周峻佑https://www.ithome.com.tw/news/150755
NFT熱潮消退了？今年第一季的NFT交易下滑近50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門追蹤非同質化代幣（NFT）生態體系的NonFungible，<a href="https://nonfungible.com/news/corporate/nft-market-report-q1-2022" target="_blank">上周公布了今年第一季的NFT市場調查報告</a>，顯示該季的NFT交易規模達78.8億美元，比上一季減少了4.6%，交易次數為745萬次，比上一季下滑了46.96%，在Google上的搜尋次數也明顯下滑，透露了NFT熱潮的退燒，不過NonFungible認為，該市場仍處穩定狀態，完全稱不上崩盤。</p> <p>根據該報告，除了交易規模與交易次數皆呈現下滑之外，今年第一季全球的NFT買家人數為117萬人，減少了30.91%；賣家人數為81.6萬人，減少了15.61%；而活躍錢包則是146萬個，亦縮水25.34%。</p> <p>NonFungible分析，NFT市場在今年第一季主要受到俄烏戰爭的衝擊，再加上收藏品類別的NFT供應減緩，而使得該季表現相對平淡。</p> <p>然而，買家人數仍舊多於賣家，而且該季的智慧合約增加了10.46%至1,404個，NFT的平均單價也從589美元提高到1,057美元，都顯示NFT仍是一個穩定的市場。</p> <p>在整個NFT的生態體系中，二級市場占了近9成的交易規模，其它才是參與首波空投的一級市場，由於NFT市場的生產放緩，才讓多數的交易都在二級市場進行。此外，今年第一季的NFT活動中，以收藏品類別最熱門，占了整體交易規模的75%，遊戲及藝術品則各占8%，元宇宙占了5%，工具占了3%。</p> </div></div></div>
2022/5/4 16:20作者陳曉莉https://www.ithome.com.tw/news/150754
Meta釋出具備1,750億個參數的Open Pretrained Transformer語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/democratizing-access-to-large-scale-language-models-with-opt-175b/" target="_blank">Meta的AI實驗室於本周二（5/3）釋出了具備1,750億個參數的Open Pretrained Transformer（OPT-175B）的語言模型</a>，此一模型採用非商業式授權，免費開放給學術研究人員，政府與公民社會相關單位，以及全球的產業研究實驗室使用，目的是為了讓缺乏經費的研究人員能夠一窺大型語言模型的奧妙，並協助改善它可能產生的偏見或危害。</p> <p>這類超過1,000億參數的大型語言模型能夠產生文字段落，還能模仿人類的對話，已經成為近年來最熱門的人工智慧主題，不過它們也有缺陷，可能從藉以訓練的公開資料集中學到不實資訊、偏見或是有害的語言。</p> <p>不過，外界或研究人員若要與這些大型語言模型互動，必須使用付費API才能進行，要完整研究一個大型語言模型通常只侷限於少數擁有豐富資源的實驗室，使得研究人員無法深入了解相關語言模型的運作模式，而無從改善語言模型的健全性，或減少對人類社會可能帶來的危害。</p> <p>為了讓更多的研究社群得以參與最新的AI技術，Meta AI實驗室不僅釋出了OPT-175B，也公布用來訓練及使用模型的程式碼，並針對與規模相關的研究，提供採用同樣設定但不同規模的語言模型，這些語言模型所使用的參數數量從1.25億、3.5億、27億、67億、130億、300億到660億不等。</p> <p>OPT-175B語言模型所使用的參數數量，與號稱全球最強大語言模型的OpenAI GPT-3一樣多，不過，Meta強調它們只使用了16個Nvidia的V100 GPU就完成該模型的訓練與部署，結合了該公司所開源的Fully Sharded Data Parallel（FSDP）API與Nvidia Megatron-LM中的張量並行提取，所產生的碳足跡只有GPT-3的1/7。</p> </div></div></div>
2022/5/4 13:28作者陳曉莉https://www.ithome.com.tw/news/150753
北韓駭客利用VMware Log4j漏洞，駭入美國防、能源業的工程合作廠商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>貴公司修補Log4j漏洞了嗎？小心可能會引來國家駭客。<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/stonefly-north-korea-espionage)" target="_blank">賽門鐵克研究人員2月間發現</a>，名為Stonefly的北韓駭客組織駭入美國國防及能源有合作關係的工程公司，利用的正是去年12月間揭露的Apache Log4j漏洞（CVE-2021-44228）。</p> <p>Stonefly又名DarkSeoul、BlackMine、Operation Troy 及Silent Chollima，最初是2009年現蹤，對多家南韓、美國政府單位及金融業網站發動分散DDoS攻擊，不過近年逐漸轉向對少數目標以複雜的木馬及後門程式發動竊密。一般相信Stonefly是北韓政府網路間諜活動的打手，以竊取機密及智財為主要活動，也和其他北韓駭客組織如Pompilus聯手。它攻擊的目標集中在高科技技術密集的特定目標，像是輔助能源、航太或軍事設備研發的單位。</p> <p>在Stonefly 2月的攻擊中，受害者是美國一家和國防、能源業有關的工程業者。駭客可能是利用Log4j漏洞存取面向網際網路的VMware View伺服器的Log4j漏洞。在駭入大門後，Stonefly植入了Preft（或稱Dtrack、Valefor）的後門，並以Mimitatz在網路內蒐集存取憑證資料，並以多種工具在該業者網路上橫向移動，最後入侵了另外18臺系統。同時它利用自行開發的資訊竊取工具破解加密保護，並以SSH連線將受害者檔案傳送到外部。</p> <p>研究人員分析Stonefly的手法多所進化，但有幾個穩定特徵，包括持續使用Preft後門及大量仰賴開源工具，如WinSCP及3proxy tiny proxy server等，而它只專注在敏感資訊的攻擊策略使其成為能力最高的北韓駭客之一。賽門鐵克也公布了Stonefly攻擊行動的入侵指標。</p> <p>這次攻擊顯示未修補Log4j的後果嚴重性。<a href="https://www.ithome.com.tw/news/150656" target="_blank">上周安全廠商Rezilion公布一項研究指出</a>，迄今9萬多個應用程式仍然曝險。而且臺灣下載舊版、有漏洞Log4j的比例是所有資訊應用發達的國家中最高的，從去年底以來都超過80%。</p> </div></div></div>
2022/5/4 12:38作者林妍溱https://www.ithome.com.tw/news/150749
Twitter測試新的Twitter Circle社交圈服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.twitter.com/en/using-twitter/twitter-circle#twittercircleguidelines" target="_blank">Twitter本周宣布</a>，已開始於全球市場小幅測試新的<a href="https://twitter.com/TwitterSafety/status/1521540727557218309?cxt=HHwWioCzld7OzJ0qAAAA" target="_blank">Twitter Circle社交圈服務</a>，讓使用者自行選擇想要分享的對象，每名Twitter用戶只能建立一個Circle，人數上限為150人，只有在Twitter Circle中的成員才能看見使用者所發布的訊息並與之互動。</p> <p>相較於Twitter Communities是個主題式的社群，Twitter Circle比較像是朋友圈的概念，使用者發布訊息時，可以選擇公開發表或是僅於朋友圈發表，臉書平臺亦有類似的設計。</p> <p>只有建立Twitter Circle的使用者可以看到完整的成員名單，而且只有Twitter Circle中的成員才能看見彼此的回應，它屬於封閉的社群，無法使用轉推（Retweet）功能來分享圈內的推文，不過成員還是能透過下載或螢幕截圖等方式來分享圈內的內容。</p> <p>被列入Twitter Circle的使用者無法自行離開該社群，但可以藉由Mute功能以忽略來自該圈的推文。</p> <p>目前只有受邀的使用者才能啟用或建立Twitter Circle，但現已支援Android、iOS及網頁版的Twitter。</p> </div></div></div>
2022/5/4 12:59作者陳曉莉https://www.ithome.com.tw/news/150750
歹徒設計網釣郵件騙走美國國防部2,400萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-nj/pr/california-man-found-guilty-conspiracy-steal-payments-us-department-defense-bank-fraud" target="_blank">一名美國人夥同其他5人以網釣郵件手法騙走美國國防部2,400萬美元</a>，本周遭美國法院判決詐欺、身份竊取及駭入電腦等6項罪名成立。</p> <p>現年40歲的加州男子Sercan Oyuntur夥同位於德國、土耳其及美國的同夥，以網釣郵件及美國政府單位假網站騙取到一家國防部外包商人員帳密，最終騙得美國國防部用以購買軍機燃油的2,350萬美元的匯款。</p> <p><a href="https://www.justice.gov/usao-nj/pr/california-man-found-guilty-conspiracy-steal-payments-us-department-defense-bank-fraud" target="_blank">根據美國司法部的文件</a>，Oyuntur及同夥從2018年6月到9月設立假的特勤局（General Services Administration, GSA）網頁，並向多家國防部廠商發送釣魚信件，包括一家供應美國東南亞駐軍軍機的燃油供應商。該廠商擔任聯絡人的紐澤西州男子在收到信件後，不疑有他在假的特勤局網頁上輸入了自己的帳密，歹徒取得該帳密後得以修改了該公司在美國政府系統內的公司聯絡資料及銀行帳號。這個銀行帳號實際是Oyuntur經營的美國同夥Hurriyet Arslan設立的空殼公司所擁有。</p> <p>2018年10月美國防部為採購軍機用油，而將2,350萬美元匯入了這人頭帳戶。原本還遭到銀行阻撓，但Arslan又找了同夥發了一封假美國政府信件，宣稱這公司獲得美國政府2,350萬美元的合約，藉此取信銀行，並且成功取得所有匯款。</p> <p>Oyuntur 6項罪名將讓他面臨徒刑及罰金的代價。其中包括刑期最長30年的串謀郵件與匯款詐欺及銀行詐欺案，以及最長10年的非授權存取裝置詐欺、以及資訊不實、加重身份竊盜等。串謀與銀行詐欺最高可罰款100萬美元，其他罪名最高也可罰25萬美元。Arslan也被判決串謀、銀行詐欺及洗錢等罪名成立。</p> </div></div></div>
2022/5/4 13:07作者林妍溱https://www.ithome.com.tw/news/150751
Google Workspace推出監看用戶儲存用量的管理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google企業免費服務都逐漸轉成付費同時，管理員得更小心控管用戶用量。<a href="https://workspaceupdates.googleblog.com/2022/04/updated-storage-management-admin-console.html" target="_blank">Google近日公布了雲端生產力應用Workspace的儲存管理功能</a>，可監看用戶或群組的儲存用量及活動，必要時限制或刪除特定用戶的雲端硬碟。</p> <p>這項功能讓Workspace管理員可從管理中控臺，一覽全組織內多個用戶、群組的儲存使用狀況。其主要功能包括顯示特定產品（如Drive或Gmail）、主要使用者的儲存使用狀況、產出整個組織儲存使用概況彙報、提供詳細的儲存空間上限警告報告，並允許總覽、分類顯示及刪除儲存量最多的共享磁碟。最後，它還讓管理員對不同用戶或群組，設定客製化儲存政策及用量限額。</p> <p>最新儲存管理功能可在管理控制臺主頁的「儲存」卡，或從帳號>設定>儲存啟動，預設為關閉。</p> <p>目前，僅超級管理員（super admin）得以使用這儲存管理功能。Google表示未來幾個月後會逐漸將存取權推向代理者、使用者或經銷商管理員。屆時管理員就可以建立、客製及執行管理政策。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0504-google%20workspace%20%20storage%20management%20tools-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>這功能在Google逐漸將企業免費服務轉成付費此時有其意義。<a href="https://www.ithome.com.tw/news/150722" target="_blank">今年初Google宣布</a>，自6月1日起Google將自動把企業免費版G-Suite升級為付費版Workspace，而從今年8月1日將會正式開始收費。</p> </div></div></div>
2022/5/4 13:14作者林妍溱https://www.ithome.com.tw/news/150752
百年行庫從ATM案重生，一銀跨域挖角救火力挽狂瀾
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「ATM盜領案對一銀雖然是危機，卻也是轉機，」第一銀行執行副總兼資安長劉培文強調。</p> <p dir="ltr">臺灣成立超過120年的本土老行庫第一銀行，在2016年遭遇臺灣金融史上第一起ATM盜領案後，當時身為資策會資安所副所長、兼任國家資通安全技術服務中心主任的劉培文，則被第一銀行公司高層找來救火，希望能夠在ATM盜領案的危機過後，趁機挽回頹勢，補強第一銀行的資安防護。</p> <p dir="ltr">而劉培文在第一銀行的職務調整也是該行的資安發展史，最早擔任資訊管理中心副總經理，兼管資訊、資安兩大業務範圍；早在金管會規定兆元行庫要設立資安專責機構時，第一銀行便已經成立資安專責單位「數位安全處」，也同時將負責數位應用和數位創新的「數位銀行處」，以及負責系統開發的「資訊處」，整合為「資訊管理中心」，成為統整資訊、資安和數位金融等業務範圍的部門。</p> <p dir="ltr">此外，第一銀行也在2021年6月公告，由執行副總劉培文兼任第一銀行資安長，該公司又在今年4月公告，劉培文再度擴張工作守備範圍，同時兼任第一金控資安長。</p> <p dir="ltr">劉培文在加入一銀以前，有超過二十年的資訊產業工作經驗，跨界到金融產業，主要在需要補強產業的專業知識，但其他像是資訊或是資安的專業，不同產業的差異並不大。</p> <p dir="ltr">轉進金融業工作後，劉培文同時兼管一銀的資訊和資安業務，到後來擴大到與業務掛勾的數位金融業務，他便透過參加各種會議，就有機會了解其他部門在做什麼，了解之後才會思考，他所管理的部門要參與哪些部分、可以做哪些改變，透過內化各種資訊，轉換成部門工作需要的發展方向</p> <p dir="ltr">劉培文進入一銀工作後，他觀察，大家對資安有高度共識，反而全公司更願意群策群力落實資安，對他而言，在ATM盜領案後，反而可以建立各部門對資安的信心和SOP。這個經歷，更成為後來一銀轉型的重要助力。</p> <p dir="ltr">「金融業要存活，數位轉型是必然之路，但隨著營運模式改變、產品提供走向線上生態圈、行銷數位化的發展趨勢，為了支援業務變革，資訊系統勢必要改變，資安也要跟著改變。」劉培文表示。</p> <p dir="ltr">像是一銀的信用卡業務系統到核心系統的開發，以往是業務部門主導，資訊部門配合，但現在，相關專案從啟動之初，掌管資安的數安處就是當然成員，「資安已經是一銀所有業務發展、系統開發時的必要核心。」他說。</p> <p dir="ltr"><strong><span style="font-size:28px;">ATM盜領案是一銀的危機，卻也是轉機</span></strong></p> <p dir="ltr">對第一銀行而言，2016年的ATM盜領案不僅震驚全臺灣，更是東歐金融駭客入侵臺灣的首例。</p> <p dir="ltr">ATM盜領案的由來，主要是東歐的金融駭客透過第一銀行英國分行的語音系統作為攻擊跳板，在進到臺灣總公司的內網後，變透過橫向移動的方式，取得關鍵使用者帳號密碼後，再植入金融木馬程式。</p> <p dir="ltr">金融駭客則透過遠端遙控方式，並由車手在第一銀行分行ATM陸續盜領八千多萬元。所幸，有民眾察覺這起盜領行為而報警，第一銀行也先後向刑事局以及調查局報案。</p> <p dir="ltr">透過各種鑑識分析的方式，追查到植入第一銀行內部系統的金融木馬程式，該駭客為了滅證，植入的惡意程式甚至會自動清除軌跡，也大幅提升警調單位調查和鑑識的難度。</p> <p dir="ltr">後來，警方逮捕了盜領車手，也順利追回大部分的款項。但第一銀行內部系統的漏洞，導致銀行商譽的損失，才是整起事件的重中之重。</p> <p dir="ltr">直視危機的第一銀行，便透過獵人頭公司積極挖角劉培文。他表示，獵人頭公司從2016年7月開始跟他接觸，歷經幾次面試後，他的工作內容也從原本只負責資安，到後來同時管理資訊和資安；其他的，除了要求他必須在10月前，通過金融業對從業人員內稽內控的考試外，就沒有其他要求。</p> <p dir="ltr">劉培文在11月30日正式上任後，過往豐富的工作經驗，讓他在尚無資安長職稱時，便直接接任資訊管理中心副總經理，同時管理資訊和資安兩大領域。</p> <p dir="ltr">爾後，劉培文更因資訊、資安雙專業，在高度依賴資訊系統提供服務的金融業中，逐步拓展業務掌管範圍，包括數位金融以及金融科技的推動，也成了他負責的核心業務範圍。</p> <p dir="ltr">事實上，早在金管會要求兆元資產銀行成立資安專責部門之前，該公司就已經先成立「數位安全處」，也把原本掛在法人金融事業群的「數位銀行處」，和「數位安全處」以及「資訊處」整合，成立資訊管理中心，並在劉培文的帶領下，以推動公司的數位轉型。</p> <p dir="ltr"><span style="font-size:28px;"><strong>職務調整，見證一銀資安架構發展</strong></span></p> <p dir="ltr">第一銀行這種跨域挖角補不足的作法，也讓第一銀行在ATM的盜領危機後，找到新的因應之道。</p> <p dir="ltr">剛開始，劉培文雖然取得主管機關要求的金融從業人員證照，但他仍是金融業務的門外漢，不過，資安專業讓他相信：「沒有內建資安所提供的金融服務，無法贏得顧客的信任。」</p> <p dir="ltr">所以，劉培文上任後，先花三個月時間了解金融業的資訊運作，也因應ATM盜領事件，來調整銀行的資安架構。</p> <p dir="ltr">他說，因為ATM盜領案的導因來自海外分行的資安問題，當時對資安的長期規畫傾向於集中式的資安，像是銀行要有區域中心，相關的資訊要集中連回臺灣；至於海外分行的資安發展需求，則考慮設置區域資安中心。但關鍵是，一旦要把資安架構移出總行，資訊架構就必須改，妥善的切割海外分行的內外網架構。</p> <p dir="ltr">不過，目前這個資安架構調整規畫，迄今還沒有實現。他表示，光是網路架構調整就花兩年；之後，配合數位安全處的成立，海外分行都必須架設內、外兩道防火牆以確保安全，「相關資安設備都是從臺灣先完成相關設定後，再協同一銀資安人員以及相關的資訊服務業者，一同遠赴海外分行架設。」他說。</p> <p dir="ltr">不僅如此，這段期間，也忙著進行總行伺服器的盤點和資安分級、分類，其中還得處理許多軟體授權到期後的續訂或更換，也針對不再提供更新服務（EOL）的軟體進行調整或升級，最終目的是：不能讓業務中斷。</p> <p dir="ltr">他表示，金融業經常談三道防線，資訊是資安第一道防線，數安處則是第二道防線，稽核就是第三道防線。對第一銀行而言，跟資安有關的事，就找資安處，「資訊、資安和數安的分工沒有標準答案，端看組織的成熟度，以及團隊是否能夠互信。」他說。</p> <p dir="ltr"><strong><span style="font-size:28px;">數位金融改造將引領銀行業務發展</span></strong></p> <p dir="ltr">劉培文職務的異動過程，也反映一銀資安發展的進化。第一階段，他剛到一銀擔任資訊管理中心副總經理的時候，同時兼管資訊和資安兩大業務範圍，</p> <p dir="ltr">需要調整資安架構時，可以找來資訊同仁了解運作狀況。</p> <p dir="ltr">到了第二階段，劉培文雖然不用兼任資訊處長，但開始接觸數位銀行處的業務，當時的數位銀行處屬於法金業務，後來才移到資訊管理中心統籌。</p> <p dir="ltr">他說，這一年花最多的時間都在數位金融改造上，包括數安處成立。</p> <p dir="ltr">對他而言，數位金融的改造就是銀行業務改造的火車頭，因為直接和營運掛勾，也影響了銀行未來的商業發展模式，對此，他曾經撰寫數位金融轉型的萬言書，寫下他對數位金融的完整規畫。</p> <p dir="ltr">他表示，根據統計，該行在2021年數位通路的交易量，已經超過臨櫃服務的黃金交叉，「未來數位金融將成為第一銀行營運發展的關鍵。」</p> <p dir="ltr">接下來，他可以想像的未來，核心系統在兩三年後就得調整，資訊架構可能必須大改。他評估，光是銀行的數位轉型至少要花七年時間，其他像是核心系統改造，至少也要五到七年，劉培文坦言，資訊、資安和數位金融的業務推動與改造，是一條漫漫長路。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/20_(%E6%8A%BD)%E5%8A%89%E5%9F%B9%E6%96%87_%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C_%E8%B3%87%E5%AE%89%E9%95%B7_20220318_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D-shadow.jpg" style="width: 500px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span><br /><span style="color:#696969;"><span style="font-size:20px;"><strong>資安不會真空存在，每一個改變都跟未來的業務發展有關，資安要連結到業務資訊系統才有意義。──第一銀行執行副總兼資安長劉培文</strong></span></span></p> <p dir="ltr"><span style="font-size:28px;"><strong>資訊、資安和數金也要數位轉型</strong></span></p> <p dir="ltr">身為第一銀行資安最高主管，劉培文如何界定「資安長」的管理範疇呢？如何讓資訊、資安和數金部門，彼此緊密合作？</p> <p dir="ltr">他表示，各種日常維運作業，必須要清楚界定部門的角色和職掌，每一個部門做什麼事情、掌管哪些業務和系統，都必須一清二楚。</p> <p dir="ltr">目前最大困難在於，所有銀行都在談數位轉型，從資訊、資安到數位金融部門都必須推動數位轉型。他說，可以將這三個部門想像成三家不同的公司來思考，若要緊密合作，就得互相知道彼此的業務部門主管和高階主管，正在做什麼，甚至是想什麼，才可能實現。</p> <p dir="ltr">因此，他認為，資安長必須知道企業未來業務發展方向，了解科技如何隨之改變，資訊系統又該如何跟著改變，甚至連資安實務也須有對應的調整「每一個改變和調整都環環相扣，絕對不可能關著門憑空改變。」他解釋：「資安不會真空存在，每一個改變都跟未來的業務發展方向有關，資安要連結到業務資訊系統才有意義。」</p> <p dir="ltr"><span style="font-size:28px;"><strong>稱職資安長具備的三種特質</strong></span></p> <p dir="ltr">劉培文認為，成為稱職資安長需要三種特質，首先，要主動積極發掘問題，杜絕「多一事不如少一事」的心態，資安從很多小地方開始，為了防微杜漸，資安長得主動找問題，像是主動訂閱各種資安新聞、掌握國際法規標準趨勢，不要被動等同仁提供資訊。</p> <p dir="ltr">其次，要能落實開放、積極溝通。他表示，資安面向太廣，至少要達到，所有業務可以順暢進行、將企業風險降到可接受的水準。劉培文舉例，資安要跟各業務單位合作並了解其想法，像是密碼長度不足，從八碼增加為十碼，對每次交易都要先輸入密碼的分行行員而言，是一件痛苦的改變，怎麼讓行員接受安全度更強的密碼長度，資安單位得將資安意識推廣到業務單位才行。</p> <p dir="ltr">第三，虛心學習、持續成長。劉培文帶領資訊、資安和數位金融部門，未來不只要發展數位上雲，資訊開發又要朝敏捷迭代模式發展，數位和業務單位組成的產品小組更必須快速反應市場，光是如何進行資安檢測、同時滿足業務和資安需求等，都必須要掌握新技術、新方法才能做到，不能憑過去經驗來解決未來的問題。</p> <p dir="ltr">但他認為，未來在開放銀行架構下，很多典範隨之改變，對資安長而言，重點仍在管理，須決定大方向和設定中長期願景目標，後面的策略、戰術、資源配置調整，才能跟得上。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CISO小檔案 </span></strong></span></p> <p dir="ltr"><strong>劉培文　第一銀行執行副總兼資安長</strong></p> <p dir="ltr">學經歷：成功大學電機工程研究所博士，擁有20年資訊產業工作經驗，先前曾擔任資策會資安科技研究所副所長，並兼任國家資通安全會報技術服務中心主任。2016年底，接任第一銀行資訊管理中心副總經理，帶領數位銀行處、資訊處、數位安全處共逾450人；2021年6月，兼任第一銀行資安長一職；到2022年4月，又兼任第一金控資安長一職</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p dir="ltr"><strong>第一銀行</strong></p> <p dir="ltr">地址：臺北市松山區民生東路三段成立時間：1899年11月12日（日本明治32年）</p> <p dir="ltr">業務類型：提供個人金融、企業金融和數位金融等各種金融服務</p> <p dir="ltr">資本額：980.8億元</p> <p dir="ltr">董事長：邱月琴</p> <p dir="ltr">總經理：鄭美玲</p> <p dir="ltr">員工人數：8千多人</p> <p dir="ltr">分行數量：總行營業部外，尚有187家分行；另有30家國外分支行、3家辦事處、1家子銀行及8家子分行</p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資安大事記 </span></span></strong></p> <p dir="ltr">2016年11月30日：劉培文擔任資訊管理中心副總經理，兼管資訊和資安</p> <p dir="ltr">2017年6月1日：一銀向臺灣產物保險公司投保「資訊系統不法行為保險」（俗稱電腦犯罪保險），保額1.5億元</p> <p dir="ltr">2018年：行動App上線</p> <p dir="ltr">2019年：正式推出全新「iLEO」數位副品牌</p> <p dir="ltr">2020年9月：導入虛擬桌面服務</p> <p dir="ltr">2021年：正式啟動核心資訊系統的轉換工作</p> <p dir="ltr">2021年6月17日：接任第一銀行資安長</p> <p dir="ltr">2022年1月：成立資安諮詢小組，諮詢外部專業資安專家，範圍包括銀行資安治理與管理架構、資安計畫投資、整體資安執行情況</p> <p dir="ltr">2022年2月：召開第一次資安諮詢小組會議</p> <p dir="ltr">2022年4月21日：兼任第一金控資安長</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-ciso-960-v2.jpg" width="960" height="420" alt="" title="第一銀行執行副總兼資安長劉培文　（攝影／洪政偉）" /></div></div></div>
2022/5/4 07:00作者黃彥棻https://www.ithome.com.tw/people/150681
中國駭客Moshen Dragon濫用防毒軟體並鎖定中亞電信產業發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sentinelone.com/labs/moshen-dragons-triad-and-error-approach-abusing-security-software-to-sideload-plugx-and-shadowpad/" target="_blank">美國資安業者SentinelLabs本周揭露了中國駭客集團Moshen Dragon最近的攻擊行動</a>，指稱Moshen Dragon企圖將惡意的DLL檔案側載至各大防毒軟體，並竊取憑證以於受害組織中橫向移動，攻擊目標為中亞的電信業者，目的則是常駐以展開間諜活動。</p> <p>SentinelLabs迄今並不知道Moshen Dragon如何入侵這些受害組織，因而以駭客於組織內的行為進行探討，發現Moshen Dragon會濫用系統上的防毒軟體以執行DLL搜尋順序挾持，藉以於系統上側載惡意程式，並利用Impacket進行橫向移動，有些惡意程式可竊取憑證，有些則能建立預定任務或服務以維持常駐狀態。</p> <p>根據分析，遭到Moshen Dragon濫用的防毒軟體產品包括Symantec SNAC、TrendMicro Platinum Watch Dog、BitDefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher，研究人員指出，與其追究這些遭到濫用的防毒軟體，不如說是相關攻擊反映了Windows作業系統允許DLL搜尋順序劫持的古老設計漏洞。</p> <p><a href="https://attack.mitre.org/techniques/T1574/001/" target="_blank">執行DLL搜尋順序劫持有許多方法</a>，諸如將惡意DLL置放在優先目錄中，以在程式呼叫程式庫時率先被載入，或是把同名的惡意DLL置放在程式正在執行的目錄中，以利被優先取用。Moshen Dragon透過DLL挾持側載了ShadowPad與PlugX等惡意程式。</p> <p>不管是ShadowPad或PlugX都是中國駭客常用的工具，它們具備彈性及模組化功能，而且可輕易繞過傳統的端點保護產品，專供間諜活動使用，一旦駭客於組織內建立了據點，就會開始透過Impacket進行橫向移動，於組織中植入後門程式，竊取大量憑證與資料。</p> </div></div></div>
2022/5/3 22:49作者陳曉莉https://www.ithome.com.tw/news/150745
Anaconda新專案PyScript，讓Python程式碼也能在瀏覽器執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python資料科學平臺Anaconda釋出了一項名為<a href="https://anaconda.cloud/pyscript-python-in-the-browser">PyScript</a>的新專案，要讓Python程式也能在瀏覽器中執行。PyScript是由Anaconda所開發，讓開發者可以在HTML中，編寫和執行Python，同時也透過Python呼叫Javascript函式庫，在Python中進行所有的網頁應用程式開發工作。</p> <p>PyScript建構在Pyodide之上，而Pyodide則是CPython到WebAssembly/Emscripten間的連接埠，透過以WebAssembly為基礎的技術，使得Python甚至是其他程式語言，也能在瀏覽器上運作。</p> <p>WebAssembly在2017年發表，在2019年成為W3C標準，提供人類可讀的.wat文字格式語言，能夠轉換成可執行的二進位格式.wasm，而這種方式讓任何語言的程式碼，都能被編譯成WebAssembly，並且在網頁瀏覽器中執行。</p> <p>PyScript供Python開發者，能夠在HTML中編寫Python程式語言來建置網頁應用程式，PyScript的重要性在於，前端開發人員也能夠使用Python來開發應用程式，而這使得原本就很強大的Python，能夠在更多的地方發揮作用。</p> <p>Anaconda執行長Peter Wang提到，網頁瀏覽器是目前世界上最普遍，最可攜的電腦環境。幾乎所有人都可以在電腦或是手機上使用網頁瀏覽器，以沒有基礎設施障礙的方式存取程式。</p> <p>官方表示，透過使用PyScript，Python開發者便不需要擔心程式部署問題，因為PyScript讓程式直接在網頁瀏覽器中運作，也就是說，資料科學家可以在HTML檔案中，分享儀表板和模型，只要其他人在網頁瀏覽器中開啟檔案，該檔案中的程式碼就會開始運作。</p> <p>PyScript目前仍在alpha測試階段，開發者可以從pyscript.net下載先嚐鮮。</p> </div></div></div>
2022/5/3 22:52作者李建興https://www.ithome.com.tw/news/150725
Mozilla分析32款心理健康程式，8成的安全及隱私有缺陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://foundation.mozilla.org/en/blog/top-mental-health-and-prayer-apps-fail-spectacularly-at-privacy-security/" target="_blank">Mozilla周一（5/1）公布了心理健康暨禱告程式類別的隱私安全清單</a>，顯示在所調查的32款程式中，有28款取得了「缺乏隱私」（Privacy Not Included）的警告標籤，同時這也是Mozilla自2017年所調查的產品類別中，最不具隱私與安全性的類別。</p> <p>心理健康及禱告程式由於涉及許多敏感資料，像是沮喪、焦慮、自殺、家庭暴力或是創傷後壓力症候群等，理應受到更多的隱私保護，然而，Mozilla的調查卻發現，這些程式定期地分享資料，允許使用脆弱的密碼，還會針對這些已有心理健康問題的使用者遞送目標式廣告，使得Mozilla的研究人員Says Misha Rykov直呼這些程式簡直是披著羊皮的狼。</p> <p>此次所調查的32款行動程式皆與心理治療師有關，它們具備聊天機器人、社群支援頁面與禱告功能，提供情緒日記與幸福感評估機制，每款程式平均都經過8小時以上的研究。</p> <p>整體而言，32款程式中有28款收到了「缺乏隱私」警告標籤，有25款未符合Mozilla所制定的最低安全標準。</p> <p>研究顯示，這些心理健康程式都蒐集了豐富的使用者資料，但其隱私政策多半都很模糊，在隱私上表現最差的6款程式分別是Better Help、Youper、Woebot、Better Stop Suicide、Pray.com與Talkspace，有的直接與第三方分享個人資訊，Talkspace甚至蒐集使用者的聊天紀錄。</p> <p>而其安全設計也不足以保護這些含有敏感資料的程式，例如至少有8款程式允許連續數字組合的密碼，Moodfit甚至允許使用者設立僅含一個字母或一個數字的密碼，此外，研究人員也無法確定這些程式是否定期進行安全更新，或是有無能力管理程式中的安全漏洞。</p> <p>令研究人員更擔心的是，有些心理健康程式鎖定青少年，倘若資料外流，日後可能造成更大的影響。</p> <p>不過，Mozilla也選出了兩款值得信賴的心理健康程式，分別是由美國退伍軍人事務部所打造的PTSD Coach，以及AI聊天機器人Wysa，這兩款程式都達到了基本的隱私與安全標準。</p> <p><a href="https://foundation.mozilla.org/en/privacynotincluded/" target="_blank">自2017年迄今</a>，Mozilla已調查過智慧家庭、連網玩具、娛樂裝置、穿戴裝置、連網寵物裝置及視訊通訊程式等產品的隱私與安全性，令人驚訝的是，更應具備隱私保護的心理健康類別竟然在這些分類中敬陪末座。</p> </div></div></div>
2022/5/3 23:03作者陳曉莉https://www.ithome.com.tw/news/150746
蘋果控告晶片新創Rivos藉由挖角工程師危害商業機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.docketalarm.com/cases/California_Northern_District_Court/5--22-cv-02637/Apple_Inc._a_California_Corporation_v._Rivos_Inc._et_al/1/" target="_blank">蘋果於上周狀告美國一家名為Rivos的新創企業</a>，指稱Rivos大量挖角蘋果的工程師，以竊取蘋果的商業機密，包括新的M1晶片及A15手機晶片。</p> <p>Rivos是一家基於隱形模式（Stealth Mode）的新創企業，代表該公司暫時保持機密狀態，以避免曝露即將推出的產品或業務計畫，因此，<a href="https://www.rivosinc.com/" target="_blank">雖然Rivos設立了官方網站</a>，但並未公布其業務內容，<a href="https://jobs.lever.co/rivosinc" target="_blank">只有招聘資訊</a>，顯示該公司正在招募封裝技術人員、PCB設計師、SI/PI工程師、系統硬體工程師，以及各種有關矽技術的設計或架構師等。</p> <p>蘋果則於訴狀中指出，2021年5月才成立的Rivos，自同年6月起就開始挖角蘋果員工，著眼於取得有關蘋果SoC設計的私有資訊與商業機密，準備推出系統單晶片（SoC），迄今已有超過40名蘋果員工跳槽至Rivos。該公司曾發文給Rivos，警告這些前員工都負有保密責任，但Rivos從未回應。</p> <p>此外，有些蘋果員工在接受Rivos所提出的條件後，利用尚在蘋果任職的最後幾天，帶走了數GB的SoC規格與設計檔案，有的是利用多個隨身碟將蘋果文件轉移到個人裝置上，並利用AirDrop將存放於協作程式中的蘋果私有規格傳送到個人裝置上；也有人把蘋果現有或尚未發表的SoC的簡報資料存放至個人雲端；其中一人甚至把工作用蘋果裝置上的整個Time Machine備份到個人硬碟上。</p> <p>蘋果指出，為了掩蓋他們的行徑，該公司相信Rivos指使某些員工下載與安裝加密通訊程式，有些員工還清除了工作用的蘋果裝置。</p> <p>蘋果說，他們歡迎開放的競爭與創新，但競爭不應建立在竊取商業行為上，倘若該公司不採取行動來保護機密資訊，蘋果很可能會完全失去這些機密，提出訴訟的目的是為了取回這些商業機密，避免它們進一步被揭露，釐清已被使用的範圍，減輕已經、或未來可能造成的傷害。</p> </div></div></div>
2022/5/3 23:12作者陳曉莉https://www.ithome.com.tw/news/150747
西班牙總理及國防部長的手機都感染了間諜程式Pegasus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙政府本周一（5/2）緊急召開了記者會，指出該國總理Pedro Sanchez與國防部長Margarita Robles的手機，都感染了由以色列資安公司NSO Group所打造的Pegasus間諜程式。</p> <p>根據該國政府的說法，總理Sanchez的手機是在2021年5月被感染，國防部長Robles的手機則是在同年6月淪陷，駭客成功自兩支手機汲取了資訊。</p> <p><a href="https://www.theguardian.com/world/2022/may/02/spain-prime-minister-pedro-sanchez-phone-pegasus-spyware" target="_blank">《衛報》引用西班牙總統府部長Félix Bolaños的說法</a>，西班牙最高刑事法院將會調查此一非法的目標式攻擊事件，而且這應該是來自國外的，因為在西班牙進行相關監控必須取得司法機關的授權。</p> <p>然而，外界則揣測西班牙公布此事，也許是為了淡化<a href="https://www.ithome.com.tw/news/150494" target="_blank">今年4月公民實驗室所揭露的Pegasus新一波攻擊行動</a>。當時相關攻擊瞄準了加泰隆尼亞政要，總計有63支隸屬於加泰羅尼亞總統、立法委員、法界人士，以及公民組織成員感染了Pegasus，且相信是西班牙所為。加泰隆尼亞為西班牙的自治區，因追求獨立而與西班牙關係緊張。</p> <p>或許是其它國家於西班牙總理及國防部長的手機上植入Pegasus，幕後的首腦也可能是加泰隆尼亞。</p> <p>雖然NSO Group宣稱只出售Pegasus服務予各國政府，來打擊恐怖分子或犯罪行動，但除了加泰隆尼亞總統及西班牙總理之外，葉門總統及英國首相辦公室亦傳出曾感染Pegasus。</p> <p>Pegasus的氾濫已讓<a href="https://www.europarl.europa.eu/news/en/press-room/20220304IPR24801/three-new-committees-on-pegasus-spyware-foreign-interference-and-covid-19" target="_blank">歐盟議會於今年3月以635票對36票的壓倒性票數</a>，通過成立一編制38名成員的調查委員會，負責調查Pegasus與相關間諜軟體的使用，檢視它們是否違反歐盟法令，特別是已明目張膽使用Pegasus來監控反對者的波蘭與匈牙利。</p> </div></div></div>
2022/5/3 23:17作者陳曉莉https://www.ithome.com.tw/news/150748
Amazon的Kindle電子書閱讀裝置即將於年底支援熱門的EPUB格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amazon.com/gp/help/customer/display.html?nodeId=G5WYD9SAF7PGXRNA&linkCode=sl2&tag=gooderead-20&linkId=061560a0ff3c1811a62ad5e5d59dc3c1&language=en_US&ref_=as_li_ss_tl" target="_blank">Amazon於近日更新了Kindle的個人檔案服務（Kindle Personal Documents Service）</a>，指出從今年底開始，Kindle用戶將可藉由Send to Kindle傳送EPUB格式的電子書，且屆時也將無法再透過該服務傳送.MOBI及.AZW檔，代表Amazon終於決定擁抱更普及的EPUB電子書格式。</p> <p>MOBI是由法國業者Mobipocket在2000年所建立的電子書格式，Amazon在2005年買下了Mobipocket，接著在之後以MOBI作為Kindle電子書閱讀裝置主要的格式，以MOBI為基礎開發了AZW、AZW3及KFX等Kindle專用的電子書格式，Kindle除了支援圍繞著MOBI的格式之外，也支援PDF、TXT或HTML等格式，但並不支援絕大多數電子書閱讀裝置所採用的EPUB格式。</p> <p>至於Send to Kindle則是Amazon的電子書傳送服務，Kindle用戶可將電子書以電子郵件附件的方式傳送到Kindle裝置的電子郵件帳號，即可讓電子書出現在Kindle上的藏書（Library）中，過去該服務支援使用者傳送許多檔案格式，但同樣不支援EPUB，這使得許多Kindle用戶都必須利用軟體或網路服務將EPUB檔案轉成MOBI格式再傳送至Kindle閱讀。</p> <p>不過，從今年底開始，Send to Kindle即將支援使用者傳送EPUB檔案，而且無法再傳送AZW及MOBI檔案。根據Amazon的說法，這是因為MOBI是個老舊的檔案格式，無法執行Kindle替文件所設計的許多新功能。</p> <p>Amazon並未明確指出未來的Kindle裝置是否能直接讀取EPUB檔案，但《<a href="https://www.techradar.com/news/amazon-kindle-will-finally-support-epub-books-but-theres-a-catch" target="_blank">TechRadar</a>》及《<a href="https://gizmodo.com/amazon-kindle-e-readers-will-now-convert-epub-to-kindle-1848867278?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">Gizmodo</a>》則指出，Kindle對EPUB尚無原生支援，當使用者傳送EPUB檔至Kindle的電子郵件時，系統會自動將它轉換成Kindle裝置可閱讀的格式。</p> </div></div></div>
2022/5/3 20:34作者陳曉莉https://www.ithome.com.tw/news/150744
【資安日報】2022年5月3日，駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到今天的資安新聞中，資安業者揭露的網路間諜攻擊行動相當值得留意，而在其中一起事故當中，駭客的手法相當特別，他們鎖定受害組織的Exchange伺服器下手，竊取公司併購相關的往來郵件，但除此之外，駭客還利用後門程式針對有網路視訊設備下手，將這些系統變成殭屍網路的機器人（Bot）。但攻擊者是否也針對鏡頭錄下的內容進行監聽？研究人員沒有進一步說明。</p> <p>另一起中國駭客Moshen Dragon的網路間諜行動也相當值得留意。在攻擊過程中，駭客竟是經由防毒軟體的元件來側載（Sideloading）惡意程式，來躲過各式資安系統的偵測。不過，研究人員認為，駭客利用的是作業系統本身的設計缺陷，而非防毒軟體出現瑕疵。</p> <p>而在上述的網路間諜攻擊事故之外，還有一起中國駭客的網路間諜行動引起資安業者的關注，原因是駭客運用了較為少見的滲透測試工具Viper，並透過開源的資產盤點工具進行監控。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc3524-eye-spy-email"><span style="color: rgb(0, 0, 0);">網路間諜藉由Exchange伺服器竊密，並攻擊網路視訊設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unc3524-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3524-fig1.png" style="width: 300px; float: right;" /></a>研究人員發現手法極為神秘的攻擊行動，駭客不只竊取往來郵件，還針對視訊會議系統下手。資安業者Mandiant揭露駭客組織UNC3524的攻擊行動，駭客在成功入侵受害組織後，透過Exchange伺服器（包含內部建置的伺服器與雲端服務），竊取含有公司合併資訊的電子郵件，並在沒有受到資安系統監控的網路設備上部署Quietexit後門程式，而在部分攻擊行動裡，他們也在受害組織的DMZ網路伺服器上，植入了名為reGeorg的Web Shell，來建立SOCKS隧道，可能暗中埋伏在受害組織超過18個月。</p> <p>值得留意的是，這些駭客也利用Quietexit後門程式，針對曝露於網際網路的網路視訊設備下手，包含D-Link視訊監控鏡頭、LifeSize視訊會議系統來下手，疑似透過預設的管理者帳密入侵設備，來將這些設備納入殭屍網路。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/moshen-dragons-triad-and-error-approach-abusing-security-software-to-sideload-plugx-and-shadowpad/"><span style="color: rgb(0, 0, 0);">中國駭客Moshen Dragon操弄防毒軟體元件，利用DLL側載的方式執行後門程式</span></a></strong></h3> <p>駭客為了避免攻擊行動被發現，往往會透過關閉防毒軟體，或是將惡意軟體加入白名單等方式來進行，但最近有駭客竟是運用防毒軟體來側載惡意程式。資安業者SentinelOne指出，他們發現中國駭客Moshen Dragon在鎖定中亞電信業者的間諜攻擊行動裡，會濫用防毒軟體的部分元件，如Symantec SNAC、TrendMicro Platinum Watch Dog、Bitdefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher等，以DLL搜尋順序挾持（DLL Search Order Hijacking）的方式，來側載惡意程式PlugX與ShadowPad。</p> <p>在受害電腦站穩腳跟後，駭客就會進一步濫用網路流量監聽工具Impacket進行橫向移動，最終在受害組織植入後門程式竊密。研究人員認為，駭客挾持防毒軟體的做法，主要還是與Windows作業系統維持DLL呼叫的相容性有關，而能讓攻擊者運用DLL搜尋順序挾持的手法對防毒軟體下手。</p> <h3><strong style="font-size: 22px;"><a href="https://cluster25.io/2022/04/29/lotus-panda-awake-last-strike/"><span style="color: rgb(0, 0, 0);">中國駭客Naikon攻擊南亞軍事單位，植入滲透測試工具Viper</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/naikon_schema.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/naikon_schema.png" style="width: 300px; float: right;" /></a>資安業者Cluster25揭露中國駭客組織Naikon的網路間諜攻擊行動，目標疑似鎖定南亞國家的政府機構。這些駭客藉由釣魚郵件發動攻擊，並以網頁應用程式防火牆WAF設備的招標文件當作誘餌，一旦對方開啟這份文件，電腦就會被植入滲透測試框架Viper，駭客也在C2伺服器上部署資產探索工具Asset Reconnaissance Lighthouse（ARL）進行監控。研究人員指出，根據Naikon的武器庫分析結果，該組織長期暗中進行間諜行動，為了避免被受害者發現，也不時調整其攻擊的策略、技術、程序（TTP）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/fake-windows-10-updates-infect-you-with-magniber-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Magniber以Windows 10更新名義散布</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/magniber-tor-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/magniber-tor-site.jpg" style="width: 300px; float: right;" /></a>雖然微軟推出了Windows 11，但仍有不少使用Windows 10的用戶，也成為駭客鎖定的對象。資安新聞網站Bleeping Computer指出，他們討論區的用戶疑似遭到勒索軟體Magniber攻擊，而駭客散布的手法，是假借Windows 10系統更新檔案的名義散布，檔案名稱如Win10.0_System_Upgrade_Software.msi、System.Upgrade.Win10.0-KB47287134.msi等，使用者很可能因為有系統升級、臭蟲知識庫編號（KB）而不疑有他。</p> <p>這波勒索軟體攻擊行動很可能自4月8日開始出現，鎖定一般個人用戶或是學生，駭客向多數電腦遭到加密的受害者索討2.500美元或0.068個比特幣。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop_26.html"><span style="color: rgb(0, 0, 0);">Google修補Chrome逾30個漏洞，當中7個存在重大風險</span></a></strong></h3> <p>Google於4月26日發布新的Chrome電腦版101.0.4951.41，當中總共修補超過30漏洞，其中總共有7項屬重大漏洞。這些重大漏洞有5項與記憶體釋放後的濫用（UAF）有關，存在於Vulkan圖形API、Swiftshader 3D渲染器、ANGLE圖形引擎抽象層、Device API，以及Sharing元件，當中又以存在於Vulkan的漏洞CVE-2022-1477最為嚴重，研究人員獲頒1萬美元獎金。其餘2項重大漏洞分別與WebGL實作不當、WebGPU記憶體堆疊緩衝溢位有關。該公司建議用戶安裝新版Chrome來緩解上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wiz.io/blog/wiz-research-discovers-extrareplica-cross-account-database-vulnerability-in-azure-postgresql/"><span style="color: rgb(0, 0, 0);">微軟修補Azure PostgreSQL租戶隔離漏洞</span></a></strong></h3> <p>雲端資料庫的漏洞，很有可能讓駭客能用於存取其他租戶的資料庫內容。資安業者Wiz Research發現在微軟Azure Database for PostgreSQL的服務裡，存在名為ExtraReplica的漏洞，這項漏洞包含兩項缺陷，其中之一是微軟為強化PostgreSQL Flexible Server功能所做的修改，而能被攻擊者用於提升權限，另一項則是允許攻擊者使用正向表達式，發布含有萬用符號結尾的憑證，而運用於跨租戶攻擊的弱點。攻擊者一旦串連上述漏洞，就有可能藉讚此取得其他Azure PostgreSQL Flexible Server用戶資料庫的讀取權限，微軟獲報後已於4月28日完成修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://github.com/ossf/package-analysis/blob/main/docs/case_studies.md"><span style="color: rgb(0, 0, 0);">OpenSSF推出能檢測惡意NPM與PyPI套件的工具</span></a></strong></h3> <p>惡意NPM套件的攻擊事故近期已有數起，有鑑於這種現象，研究人員開發了相關的分析工具。開源安全基金會（OpenSSF）於4月28日，公布了軟體套件分析（Package Analysis）專案的系統原型，研究人員藉此系統來解析開源市集NPM、PyPI裡的惡意套件，經過一個月測試，他們找到超過200個惡意套件。研究人員指出，目前該系統所識別出的惡意套件，多數與程式碼的混淆與偽造網址有關，有些僅有簡單的程式碼，很有可能是資安人員為了漏洞懸賞而上架的概念性驗證程式（PoC）。OpenSSF呼籲社群要協助強化此系統的能力，以便此專案能早日實際應用於開發社群，以便更快找到有問題的開發套件。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/3 18:35作者周峻佑https://www.ithome.com.tw/news/150742
Microsoft Defender for Business獨立版問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2022/05/02/microsoft-announces-general-availability-of-microsoft-defender-for-business-designed-to-boost-small-and-medium-business-smb-security/" target="_blank">微軟周一（5/2）正式推出</a>鎖定中小企業的獨立版安全解決方案Microsoft Defender for Business，<a href="https://www.ithome.com.tw/news/149641" target="_blank">整合於Microsoft 365商務進階版（Microsoft 365 Business Premium）的Defender for Business已先行於3月問世</a>，獨立版意謂著使用者可個別訂閱，每名使用者每月的訂閱費用為3美元，也預計在今年新增對伺服器的支援。</p> <p>Defender for Business是微軟專門針對300人以下的中小企業所設計的安全解決方案，主要功能包括威脅與漏洞管理、減少攻擊表面、提供新一代的保護機制、端點偵測與回應，以及自動化的調查與補救等，它並支援Windows、macOS、iOS 和 Android等跨平臺裝置，也能阻擋危險網域及垃圾內容。</p> <p>微軟表示，中小企業其實面臨了與大型企業類似的網路威脅，但它們卻經常無法取得正確的資源與工具，包括缺乏專業的安全人員，許多中小企業依舊仰賴傳統的防毒解決方案來維護安全，但就算有8成的中小企業安裝了防毒解決方案，當中卻有9成仍舊擔心日益進化的網路攻擊。</p> <p>根據微軟於今年4月針對逾150家中小企業所進行的調查，有7成的受訪者認為網路威脅愈來愈成為商業風險，而在過去一年來，這些受訪的中小企業中，就有接近1/4曾遭遇安全危機。</p> <p>甫上線的Microsoft Defender for Business獨立版目前提供30天的免費試用期。</p> </div></div></div>
2022/5/3 20:09作者陳曉莉https://www.ithome.com.tw/news/150743
歐盟說蘋果Apple Pay妨礙市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2764" target="_blank">歐盟執委會（European Commission，EC）近日已寄出異議聲明（Statement of Objection）予蘋果</a>，初步評估認為蘋果濫用其iOS的獨占地位，限制開發者存取手機上的NFC技術，而使得第三方開發者無從打造行動錢包以與蘋果的Apple Pay競爭。</p> <p>EC指出，Apple Pay為蘋果在iPhone與iPad上的行動錢包解決方案，以讓使用者於網路或實體商店中進行行動支付，蘋果裝置與軟體形成一個封閉的生態體系，並由蘋果控制該生態體系使用者經驗的每一個環節，包括行動錢包在內。</p> <p>然而，初步的評估顯示，蘋果不僅於行動裝置市場擁有重大的市占率，也於行動錢包市場占據主導地位，特別是iOS中唯一能存取近場通訊（NFC）協定的行動錢包解決方案就是Apple Pay，而且蘋果並未允許第三方行動錢包開發者存取NFC。</p> <p>EC解釋，蘋果裝置所內建的NFC感應支付（Tap and Go）技術可應用於商店支付，此一技術允許手機及商店中的支付終端進行通訊，NFC是個標準化技術，幾乎所有商店中的支付終端機都可透過它來執行行動支付，它不僅提供更無縫也更安全的支付經驗，在歐洲也有高度的接受度。</p> <p>但目前看來蘋果卻保留裝置上的NFT技術予Apple Pay，妨礙了第三方的競爭，也限制了消費者的選擇，倘若進一步的調查發現此一看法屬實，意謂著蘋果違反了歐盟的反壟斷法令。</p> <p>異議聲明只是指控蘋果違反反壟斷法令的前奏，允許蘋果對此作出說明，<a href="https://www.ft.com/content/de7a0c50-e087-4db3-9cb3-ed1d3c1a4b8b" target="_blank">《金融時報》引用了蘋果的回應</a>，表示Apple Pay的設計是為了提供既簡單又安全的方式讓使用者可以出示現有的支付卡，也讓銀行與金融機構能夠提供非接觸式的支付管道；Apple Pay只是歐盟消費者執行支付的眾多選擇之一，已確保可平等存取NFC的同時訂定隱私與安全標準，蘋果亦將持續與EC合作，以讓歐盟的消費者都能在安全的環境中存取想要的支付方式。</p> </div></div></div>
2022/5/3 14:52作者陳曉莉https://www.ithome.com.tw/news/150723
百度於北京推出真正自駕計程車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/%E5%8C%97%E4%BA%AC%E6%AD%A3%E5%BC%8F%E5%BC%80%E6%94%BE%E5%9B%BD%E5%86%85%E9%A6%96%E4%B8%AA%E8%87%AA%E5%8A%A8%E9%A9%BE%E9%A9%B6%E5%87%BA%E8%A1%8C%E6%9C%8D%E5%8A%A1%E5%95%86%E4%B8%9A%E5%8C%96%E8%AF%95%E7%82%B9%EF%BC%8C%E7%99%BE%E5%BA%A6-%E5%B0%8F%E9%A9%AC%E6%99%BA%E8%A1%8C%E8%8E%B7%E8%AE%B8%E5%8F%AF-idCNL4S2SG1MR" target="_blank">中國網路巨擘百度於上周取得北京當局的許可</a>，啟動真正無人駕駛的自駕計程車商業營運前的測試。</p> <p>取得北京官方許可後，以百度Apollo AI軟體平臺開發的自駕叫車服務「蘿蔔快跑」將結合百度和日本豐田汽車合資的自駕車小馬智行（Pony.ai）在北京高級別自動駕駛示範區約60平方公里的區域內，常態化運行PonyPilot+將從免費體驗逐步過渡為收費服務。</p> <p>在北京的測試中，百度首批投入了10輛自駕車，後續計畫再增加30輛。雖然這輛方向盤後沒有坐人，不過車內仍然有一名百度的隨車人員。</p> <p>去年8月百度宣布「蘿蔔快跑」服務，於北京、廣州、深圳、長沙等城市啟動載人測試，預計三年內要在30個城市部署，去年，百度先後在北京、重慶及山西啟動商轉前的測試許可。百度並宣稱擁有中國最大無人駕駛車隊，去年第4季蘿蔔快跑的載人訂單已經達21.3萬張訂單。</p> </div></div></div>
2022/5/3 10:56作者林妍溱https://www.ithome.com.tw/news/150718
遠端鎖定功能讓俄軍竊用的烏克蘭農用車成廢鐵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://edition.cnn.com/2022/05/01/europe/russia-farm-vehicles-ukraine-disabled-melitopol-intl/index.html" target="_blank">CNN報導</a>，烏克蘭農業機具遭到遠端鎖定而無法為占領的俄軍所用。</p> <p>俄羅斯入侵烏克蘭自3月起占領烏國各城，包括東南部的梅利托波爾（Melitopol），同時開始劫掠當地居民財物、穀物、機械、建築設備，甚至透過組織化行動使用俄軍的運輸工具搬運當地大型農業機具以占為己有。報導指出，幾周下來，俄方已經拖走單價30萬美元的聯合收割機、拖曳機、播種機等27件大型農機。有些運到車臣，有則留在鄰近村落。</p> <p>其中俄軍在當地竊走John Deere價值近500萬美元的農業機具，在拖到1,100公里以外的車臣後發現無法啟動，因為這些具有物聯網功能的農用車已經被遠端鎖定。</p> <p><a href="https://www.deere.com/en/technology-products/precision-ag-technology/data-management/operations-center/" target="_blank">John Deere的遠端資料管理功能</a>是結合內建GPS及物聯網功能，原義是用以遠端監控並提供「主動支援」。但是這項功能也引起爭議，因為John Deere可藉由這軟體防範車主繞過他們自行維修車輛，甚至可任意遠端關閉車輛，不過<a href="https://www.bloomberg.com/news/features/2020-03-05/farmers-fight-john-deere-over-who-gets-to-fix-an-800-000-tractor" target="_blank">John Deere宣稱</a>他們絕對不會這麼做。</p> <p>不過最後俄軍還是從俄國境內找來高手繞過了這個軟體鎖，而啟動農業機具。</p> <p>物聯網科技意外在這場戰爭中扮演了重要角色。除了可利用Google Maps追蹤俄國軍隊動向外，<a href="https://www.thetimes.co.uk/article/stolen-airpods-give-away-russian-retreat-positions-c60j88nvv" target="_blank">英國媒體報導</a>，一名烏克蘭人在俄軍偷走他的AirPods後，利用蘋果的Find My功能而追蹤到俄軍從基輔撤離的行動。</p> </div></div></div>
2022/5/3 12:29作者林妍溱https://www.ithome.com.tw/news/150721
免費G-Suite企業版6月1日自動改成付費Workspace，新增免費使用方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/a/answer/60217#nocost" target="_blank">Google公告</a>，G-Suite免費企業版將從6月1日自動轉為付費版Workspace服務。但同時間Google提供了持續使用的選項。</p> <p>最早名為Google Apps免費版G-Suite，是2006年Google針對企業、政府、教育及個人提供的生產力應用。雖然Google 2020年就將雲端服務品牌改成Workspace，且要開始收費，不過仍持續支援免費企業版G-Suite，直到<a href="https://www.ithome.com.tw/news/148976" target="_blank">今年1月Google宣布</a>，2022年5月1日這個服務要轉成付費Workspace服務，要求用戶需設定訂閱帳號包括提供信用卡、帳單地址等資訊，並在2個月後開始收費。</p> <p><a href="https://support.google.com/a/answer/2855120?hl=zh-Hant" target="_blank">不過本周Google宣布</a> ，為了給客戶更多時間轉換，將原訂時程延後一個月，將從2022年6月1日把免費服務升級為付費訂閱制，而在2022年8月1日起開始收費。</p> <p>但同時Google也新增使用免付費方案的候補名單選項。除了不能使用自訂網域的Gmail服務及無法管理多名使用者外，其實可以用的還不少，包括Google Workspace 服務（如Google Drive、Meet）免付費版本、及Google搜尋、Google Maps和YouTube。此外，用戶還可以繼續使用付費內容，如透過Google Play 商店購買電影。</p> <p>企業用戶必須從<a href="https://accounts.google.com/ServiceLogin?continue=https://admin.google.com/?pli%3D1&authuser=0&passive=3600&osid=1" target="_blank">Google管理控制臺</a>申請加入候補名單。Google說在未來幾週內，Google管理控制臺會顯示候補名單訊息。</p> <p>不在這候補名單的大部份企業6月1日會需要提供帳號資料。8月1日起，不願提供者的Google Workspace服務會被停權直到設定收費帳戶。而在停權60天後，核心服務包括Gmail、Calendar、Meet等就無法再使用。</p> <p>教育機構或非營利機構用戶，目前已經免費使用Google Workspace for Education Fundamentals、Google Workspace for Nonprofits兩種版本者，則尚不會受到影響。</p> </div></div></div>
2022/5/3 13:08作者林妍溱https://www.ithome.com.tw/news/150722
微軟關閉VBA使Emotet改用新手法感染用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.proofpoint.com/au/blog/threat-insight/emotet-tests-new-delivery-techniques" target="_blank">研究人員發現</a>，微軟關閉Office文件的VBA巨集以防止惡意程式，使得歷來最險惡的殭屍網路程式Emotet改變擴散策略及攻擊手法。</p> <p>安全廠商Proofpoint去年11月偵測到蟄伏10個月的殭屍網路程式Emotet復出，它背後的駭客組織TA542也開始在多個地方散布數萬釣魚郵件感染數千用戶。他們觀察到駭客在4月4日到19日放完「春假」後再度活動，然而這次卻採用不同的策略來散布包含Emotet的郵件。</p> <p>這波釣魚郵件是以包含簡單關鍵字如「Salary」為郵件主旨，吸引用戶點選信中的OneDrive下載URL。該連結會將用戶導向下載zip檔案，該檔案內含數個Excel 外掛（XLL）檔案，也以「salary」或「bonus」等為檔名。一旦用戶執行檔案，就會啟動新一波下載過程並且在用戶電腦中執行Emotet。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%2520Shot%25202022-04-25%2520at%252010_30_53%2520AM%5B1%5D.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Proofpoint</span></span></p> <p>安全廠商觀察到和過去散布Emotet的型態有數點不同。過去TA542都是散布數萬、甚至上百萬封釣魚郵件攻擊眾多使用者，然而這次卻只發出很少量，攻擊很少用戶。以OneDrive連結誘使用戶下載，也不同於過去以Office（包括Word或Excel）附檔散布的手法。此外過去駭客以包含VBA或XL4巨集的Office檔案散布Emotet，現在卻改用XLL檔。XLL是Excel的動態連結函式（DLL）的一種，旨在強化Excel的功能。</p> <p>Proofpoint認為作案者並非別群駭客，理由是TA542自2014年後就控制了Emotet使用的網路基礎架構，也未曾租給其他組織。研究人員相信駭客正在測試新的手法、工具和程序，原因是原本的感染途徑已被封鎖。<a href="https://www.ithome.com.tw/news/149028" target="_blank">微軟先後於今年1月關閉XL4/XLM巨集</a>，以及<a href="https://www.ithome.com.tw/news/149245" target="_blank">在2月預設關閉Office應用程式（Word、Excel、PowerPoint、Visio及Access）的VBA巨集</a>，迫使駭客轉向不使用巨集的散布手法。</p> <p>這也顯示，微軟強化安全而關閉VBA、XL4/XLM巨集，同時間也推動駭客攻擊手法及策略的演進。</p> </div></div></div>
2022/5/3 09:53作者林妍溱https://www.ithome.com.tw/news/150714
OpenSSF釋出可用來辨識惡意套件的Package Analysis工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源安全基金會（Open Source Security Foundation，OpenSSF）<a href="https://openssf.org/blog/2022/04/28/introducing-package-analysis-scanning-open-source-packages-for-malicious-behavior/" target="_blank">上周發表了套件分析（Package Analysis）專案的原型</a>，以用來辨識開源儲存庫中的惡意套件，經過一個月的分析之後，找到了上傳至PyPI及npm專案的逾200個惡意套件。</p> <p>OpenSSF說明，此一專案的任務在於理解開源儲存庫中套件的行為及能力，例如套件存取了哪些檔案、連結至什麼位址或是執行哪些命令等，也會追蹤套件在不同時期的改變，以辨識那些原本安全卻日益可疑的套件。</p> <p>套件分析專案可望藉由偵測惡意行為、通知選擇相關套件的使用者，並提供資料予安全研究人員，以改善開源碼軟體的安全性。</p> <p>初期該專案所找到的惡意套件絕大多數都與依賴混淆及偽造網址有關，且它們通常只是在安裝時內含一個簡單的腳本程式，且只提供很少的主機資訊。不過，這些套件很可能是安全研究人員為了抓漏獎勵專案所設計的，因為它們多半只存取機器或使用者名稱，而未汲取更有意義的資料，再加上它們基本上並未掩飾自己的企圖。</p> <p>儘管如此，有鑑於相關套件有機會演變成惡意行為，套件分析專案還是針對相關攻擊提供了對策。</p> <p>OpenSSF同時呼籲開源社群協助改善該專案，包括如何追蹤套件行為的轉變、如何自動化處理分析結果、儲存套件以進行長期分析，以及提高流程的可靠性等。</p> </div></div></div>
2022/5/2 16:46作者陳曉莉https://www.ithome.com.tw/news/150713
Google將在印度興建美國總部以外最大的企業園區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.in/tech/news/google-begins-building-its-largest-campus-outside-us-headquarters-in-hyderabad/articleshow/91150334.cms" target="_blank">根據印度《Business Insider》的報導</a>，Google已開始於印度泰倫加納邦（Telangana）郊區Gachibowli打造占地7.3英畝的企業園區，將成為Google美國山景城總部之外，最大的Google園區。</p> <p>Google是在2019年取得位於Gachibowli的7.3英畝基地，在上周四（4/28）由泰倫加納邦的IT部長K.T. Rama Rao主持動土典禮，打算興建樓板面積為300萬平方英尺（27.87萬平方米）的建築物，以替當地的科技人才打造一個健全的工作空間，此一位於印度的新Google建物將以可續性及能源效率為設計重點。</p> <p>目前Google在印度已有7,000名員工，新園區可望讓Google的當地員工數量成長至1.4萬名。</p> <p>當天Google亦與泰倫加納邦簽署了合作備忘錄，主要是協助該邦進行數位化，讓當地的年輕人與女性企業家都能受益於數位經濟，包括Google與當地的非營利組織 Telangana Academy for Skills and Knowledge（TASK）合作，提供IT領域的Google職業認證獎學金予當地的青年學子，涵蓋IT支援、IT自動化、使用者介面設計、資料分析及專案管理等；以及與女性企業家中心WE-Hub合作，替當地的女性創業者提供數位、商業與金融技能。</p> <p>Google位於加州山景城的總部基地約有26英畝，但該處的辦公室樓板面積只有200萬平方英尺（19萬平方米），Google在美國最大的辦公室是該公司於2010年在紐約買下的111 Eighth Avenue，它的樓板面積為290萬平方英尺（27萬平方米）。</p> </div></div></div>
2022/5/2 16:27作者陳曉莉https://www.ithome.com.tw/news/150711
維基媒體基金會宣布不再接受加密貨幣捐款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英文維基百科管理員Molly White在今年1月發起一項提案，要求維基媒體基金會（Wikimedia Foundation）不再接受加密貨幣捐款，<a href="https://www.ithome.com.tw/news/150425" target="_blank">在逾200名維基百科編輯志工於4月12日投票支持該提案之後</a>，維基媒體基金會的發展長<a href="https://meta.wikimedia.org/w/index.php?title=Talk:Requests_for_comment/Stop_accepting_cryptocurrency_donations&oldid=23231055#Update_from_Wikimedia_Foundation" target="_blank">Lisa Seitz-Gruwell周日（5/1）宣布</a>，決定不再直接接受加密貨幣捐款。</p> <p>維基媒體基金會是自2014年開始接受加密貨幣捐款，最近一年來，該基金會收到了價值13萬美元的加密貨幣，有347名贊助者以加密貨幣捐款，占所有收入的0.08%，也是該基金會占比最小的捐贈形式。</p> <p>不過，White認為該基金會所接受的比特幣、比特幣現金或以太幣等加密貨幣基本上屬於掠奪性的投資，並不符合基金會對環境可續性的承諾，因而要求停止接受加密貨幣捐款。</p> <p>在經過3個月的公開討論之後，Seitz-Gruwell決定從善如流，表示該基金會未來將不再直接接受加密貨幣捐款。她說，當時是在贊助社群與志工的要求下才開放加密貨幣捐款，而現在的決定也是基於這些社群的意見，具體的作法是關閉該基金會的Bitpay帳號，並移除以加密貨幣捐款的功能。</p> <p>此外，Seitz-Gruwell也表示，維基媒體基金會未來將持續觀察此一議題，對於志工與贊助社群的需求也將維持靈活與快速的回應。</p> </div></div></div>
2022/5/2 16:35作者陳曉莉https://www.ithome.com.tw/news/150712
Microsoft 365、Azure即將允許不同帳號間一鍵切換
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應遠距工作及公、私應用愈來愈模糊，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/announcing-account-switching-for-microsoft-365-web-apps/ba-p/3290787" target="_blank">微軟上周宣布讓Microsoft 365及Azure用戶更容易在不同帳號之間切換</a>。</p> <p>COVID-19疫情過後，更多企業採行混合式作業模式，許多人在家中電腦上必須在工作及私人帳號之間切換。以微軟生產力應用Microsoft 365而言，用戶在一個Web app內只能登入單一帳號，如果想使用不同帳號有數種方式，像是先登出這個帳號再登入別的、使用InPrivate瀏覽器視窗，或是使用不同瀏覽器或另一臺裝置。這也是許多用戶期待的功能。</p> <p><a href="https://techcommunity.microsoft.com/t5/azure-active-directory-identity/announcing-account-switching-for-microsoft-365-web-apps/ba-p/3290634" target="_blank">本周微軟表示</a>，很快Microsoft 365用戶可在同一個瀏覽器下，自由在多個Azure Active Directory帳號，或多個微軟帳號之間，或是兩類帳號之間切換，不用再不停登出、登入。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/366686i52545C36F9364F9A/image-size/large?v=v2&px=999" style="width: 600px;" /></p> <p>從4到6月，自由切換帳號的應用程式會逐漸部署到全球Office.com、Web版Word、Excel和PowerPoint、Outlook、OneDrive和SharePoint，以及Microsoft 365管理員中心。</p> <p>功能限制方面，不同於Edge跨帳號切換允許不同帳號有不同使用者資料側寫（profiles）， Microsoft 365 Web App的各個帳號沒有差別。企業管理員也無法關閉某些租戶（tenant）的帳號切換功能，但微軟表示這項功能的安全功能可維持跨組織的雲端資料安全及隱私性。</p> <p>不過這項功能不會提供給Microsoft 365 Government、德國雲端環境，以及由中國21Vianet代管的Microsoft 365。</p> <p>除了Web版應用程式，今天起Office桌機版也可支援多帳號同時登入，微軟表示很快會推向其他桌機及行動版應用程式，像是Teams。</p> </div></div></div>
2022/5/2 14:21作者林妍溱https://www.ithome.com.tw/news/150709
蘋果明訂3年沒更新、下載量太少的程式將被移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150598" target="_blank">日前蘋果針對那些太久沒更新程式的開發者寄出警告信</a>，表示將把這些程式移除，當時蘋果並未說明「太久」是多久，<a href="https://developer.apple.com/support/app-store-improvements/" target="_blank">不過近日蘋果更新了App Store Improvements文件</a>，明訂若長達3年未更新，或者是下載量太少的程式，便可能面臨被移除的命運。</p> <p>比較蘋果於App Store Improvements在更新前後的敘述，先前蘋果僅說會移除那些功能不符期待、未遵循最新規範或老舊的程式，並未揭露細節，現在蘋果則訂出了明確的時程，指出只要是最近3年都沒有更新的程式便可能被移除。</p> <p>此外，蘋果也新增了一項規定，亦即在最近12個月完全沒有使用者下載，或是下載量極少的程式，也可能會收到警告通知，不過，蘋果並未公布最低下載閥值。</p> <p>蘋果應該聽到了開發者的抱怨，因而在更新的文件中將開發者更新程式的期限從30天延長到90天，另也提供開發者提出上訴的途徑。不過，假設程式在開啟時就會當掉，那麼立即就會被蘋果移除。</p> </div></div></div>
2022/5/2 14:31作者陳曉莉https://www.ithome.com.tw/news/150710
Magniber勒索軟體藉冒牌Windows 10更新感染用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/fake-windows-10-updates-infect-you-with-magniber-ransomware/" target="_blank">Bleeping Computer報導</a>，近日有惡意檔案冒充Windows 10更新在網路流傳，藉此散布Magniber勒索軟體。</p> <p><a href="https://www.bleepingcomputer.com/forums/t/771427/magniber-2022-ransomware-cyvpbwzfv-lpdyefulm-yyqiidt-support-topic/" target="_blank">上周一些用戶在討論區</a>反映遭到勒索軟體加密檔案，經研究人員判定元兇是Magniber。</p> <p>Magniber之前已在網路上流傳。<a href="https://www.ithome.com.tw/news/124669" target="_blank">2018年它就曾感染南韓及臺灣用戶</a>，去年Magniber先後透過攻擊<a href="https://www.ithome.com.tw/news/146233" target="_blank">Windows PrintNightmare</a>及<a href="https://www.notebookcheck.net/Magniber-ransomware-being-spread-in-the-guise-of-a-legit-Microsoft-Edge-and-Google-Chrome-update.592776.0.html" target="_blank">Internet Explorer（IE）漏洞</a> 散布，今年1月這隻勒索軟體則冒充 Edge及 Google Chrome更新感染警覺性不高的電腦用戶。</p> <p>Bleeping Computer報導，這波散布的Magniber是冒充Windows累積更新檔案誘使用戶下載安裝，使用的檔名包括Win10.0_System_Upgrade_Software.msi、Security_Upgrade_Software_Win10.0.msi等類似檔名，是從4月初開始在網路上，透過破解網站或以FTP連結散布。</p> <p>一旦Magniber加密受害者檔案，即會產生以隨機多字母為附檔名的檔案，像是.gtearevf、madrcby、.jdakuzbrk、.ymdmf等等。一如其他勒索軟體，Magniber在加密後也顯示勒索訊息，要求受害者依指定連結聯繫並付款以贖回檔案。</p> <p class="rtecenter"><img alt="" src="https://www.bleepstatic.com/images/news/ransomware/m/magniber/fake-windows-10-updates/encrypted-files.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://www.bleepstatic.com/images/news/ransomware/m/magniber/fake-windows-10-updates/magniber-ransom-note-windows-10.jpg" style="width: 600px;" /></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-windows-10-updates-infect-you-with-magniber-ransomware/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Bleeping Computer</span></span></a></p> <p>Magniber似乎以攻擊學生或一般消費者為主，僅勒索不高的金額。大部份受害者被勒索約2500美元（約7.5萬臺幣）或0.068個比特幣。</p> <p>雖然報導指出，Magniber設計良好，沒有可被破解或免費解密的方法，不過<a href="https://seed.kisa.or.kr/kisa/Board/56/detailView.do" target="_blank">韓國訊息安全局（Korea Internet & Security Agency，KISA）網站</a>已提供了Magniber的解密金鑰。</p> </div></div></div>
2022/5/2 12:31作者林妍溱https://www.ithome.com.tw/news/150706
Google Chrome更新修補30多項漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop_26.html" target="_blank">Google上周釋出</a>Windows、macOS與Linux版Chrome 101.0.4951.41版修補30多項漏洞，包含7項重大風險漏洞。</p> <p>這7項高風險漏洞包含5項使用已釋放記憶體（use after free，UAF）漏洞，分別位於Vulkan圖形API、Swiftshader 3D渲染器、ANGLE圖形引擎抽象層、Device API及Sharing元件。UAF通常會導致應用程式崩潰及任意程式碼執行等後果，命名為CVE-2022-1477到CVE-2022-1481。5項漏洞以發生在Vulkan（CVE-2022-1477）最嚴重，獲頒1萬美元獎金，其次是Swiftshader和Angle的漏洞。</p> <p>另2項重大漏洞分別是WebGL實作不當（CVE-2022-1482）及WebGPU記憶體堆積緩衝溢位（CVE-2022-1483）。</p> <p>最新更新另外也修補了14項中度及4項低風險漏洞。Google呼籲用戶應及早更新到最新版本。</p> </div></div></div>
2022/5/2 12:37作者林妍溱https://www.ithome.com.tw/news/150707
Atlassian斷線事件影響775家客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對4月初發生的斷線事件，<a href="https://www.atlassian.com/engineering/post-incident-review-april-2022-outage" target="_blank">Atlassian上周發布事後說明</a>，指受影響的客戶來到775家。</p> <p>這事後報告說明斷線事件不是出於網路攻擊或被駭，而出於維護團隊溝通及系統設計問題。事由是Jira Service Management及Jira Software共用的「Insight – Asset Management」獨立App去年整合到Jira Service Management中，因而必須刪掉舊版獨立App。但在執行時發生2項錯誤。一是請求刪除App的團隊給成了刪除整個雲端網站的Site ID，而非該App的ID，但Atlassian標準的同儕審查（peer-review）並未檢查到給出的Site ID。第二項錯誤是，刪除網站或App的API並未能在接到Site ID（或App ID）時發出警告並確認，而逕自刪除了網站。</p> <p>種種烏龍造成的結果是，<a href="https://www.ithome.com.tw/news/150622" target="_blank">在世界協調時間（UTC）4月5日</a>早上7:38到8:01分775家客戶的883個網站立即被刪除，占其20多萬客戶的0.04%。2周前Atlassian說被刪除的網站為將近400個。</p> <p>Atlassian表示，事件發生時他們不是茫然無知，而是一開始就知道有哪些網站受影響。他們也知道第一要務是和網站負責人取得聯繫，不幸一些客戶的聯絡資料遭到刪除，這使得Atlassian無法立即聯繫上客戶，客戶也無法透過支援工單通報。</p> <p>整個斷線歷時14天，在搶修後第一批客戶於4月8日回復上線。Atlassian於4月18日說明所有受影響的客戶均已恢復服務。該公司強調沒有一家客戶損失的資料超過5分鐘，在回復服務期間，99.6%的雲端服務客戶運作均未有任何中斷。</p> <p>為了防範事件重演，Atlassian也修正了管理作業。第一是所有系統將禁止全網站刪除，或採用各種防護措施，包括階段性部署，以及回復計畫。未來全球各站點都會導入「軟刪除」（soft delete），避免刪除客戶資料及metadata。</p> <p>其次他們會擴大實施災難復原（disaster recovery，DR），以便在多站點、多產品刪除事件發生時自動啟動回復，加速回復時間目標（recovery time objective，RTO）。Atlassian也將改進大規模事件發生的SOP（standard operating procedure）並且強化多團隊協同的人員訓練及工具。最後他們也將建立多管道通報，加速事件確認及建立客戶聯繫，並期許在1小時內發布公開說明。</p> </div></div></div>
2022/5/2 13:06作者林妍溱https://www.ithome.com.tw/news/150708
Meta投入資源長期研究人腦與語言處理，以建立具高效學習能力的AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/04/building-ai-that-processes-language-as-people-do/">Meta</a>對外宣布一項長期人工智慧研究計畫，以更好地研究人類大腦處理語言和文字的方式，希望可以開發出與人類相同學習方式的人工智慧系統。而這項計畫所揭露關於人腦的新發現，可作為之後改進人工智慧模型的方向。</p> <p>Meta透過與神經影像中心Neurospin和研究中心Inria合作，比較人腦和人工智慧模型對相同句子口說和書寫的反應，並利用這些發現，來推進人工智慧的發展，目的是要讓人工智慧能夠跟人類一樣高效率地學習。</p> <p>雖然近年人工智慧有大幅的進展，但是學習語言的效率還是遠遠不及人類，Meta提到，像是人類小孩在學習Orange這個詞的時候，能夠同時學習既是水果也是顏色的概念，但是當前的人工智慧，還不能像人類一樣有效率地做到這點。</p> <p>而這也讓研究人員感興趣，或許研究人腦有助於建構，能夠像人一樣學習和推理的人工智慧系統。</p> <p>要研究人腦訊號並不容易，因為研究神經元活動以及大腦成像，是一個複雜的過程，需要用到大型機器，但Meta表示，因為深度學習的興起，得以突破這個障礙，讓研究人員可以研究當人類在閱讀或是聽故事時，大腦會在什麼時候產生單字和句子。</p> <p>Meta與其合作夥伴的研究，發現人類大腦能夠進行更長期的預測，研究人員將各種語言模型，和345名受試者的大腦反應進行比較，這些受試者會在聆聽複雜敘述時，接受fMRI的紀錄。研究發現人類大腦會提前很久，預測單詞和想法，而這是當前語言模型所缺乏的，當前的多數語言模型，通常有能力在「Once upon a」之後，預測接下來最佳的單詞為「Time」，但是對更複雜的想法、情境和敘述時，預測能力仍然有限，難以達到人類的程度。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2022/04/03_Once-Upon-A-Time-Animation.gif?resize=890%2C501" style="width: 580px;" /></p> </div></div></div>
2022/5/2 12:19作者李建興https://www.ithome.com.tw/news/150694
【基於DPU的應用環境來臨】DPU運算加速應用邁入新階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-feng_mian_p2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩、三年來，資料處理器（Data Processing Units，DPU）堪稱是發展最興盛、迅速的儲存硬體技術領域之一，吸引眾多廠商競相投入。其中既有Intel、Broadcom、Nvidia／Mellanox等網路卡大廠，也有Xilinx這樣的FPGA龍頭廠商，還有Marvell與Netronome等重量級網路元件供應商，更有Pensando、Fungible、Nebulon、SoftIron與Pliops等新創廠商。</p> <p>就連原本無DPU產品的廠商，也試圖藉併購進入這領域，如AMD今年2月宣布以19億美元併購Pensando，而這家被買下的公司，他們所發展的主力產品：分散式服務卡（Distributed Services Card，DSC），是以支援P4語言、可程式化處理器為核心的DPU加速卡。AMD也因此躋身DPU供應商一員。</p> <p>過去幾個月以來，DPU的發展也開始進入新階段，除了持續有新產品問世，還誕生首批基於DPU的完整產品與應用架構，出現嶄新混合式DPU應用架構。</p> <p><span style="font-size:28px;"><strong>DPU的基本類型</strong></span></p> <p>DPU是一種輔助的可程式化處理器，專門用於為IT基礎架構提供特定應用的運算加速功能，例如網路、安全或儲存等，藉此卸載伺服器與儲存設備的運算負荷，進而改善整體效能。</p> <p>隨著個別廠商偏好、技術發展路線的差異，以及產品型態與應用取向的不同，大家對於DPU這類產品還有著各式各樣的稱呼，例如：智慧型網路卡（SmartNIC）、可程式化加速卡（Programmable Accelerator），儲存處理器（SPU）、基礎架構處理器（IPU）、智慧型SSD（SmartSSD）、可程式化SSD（Programmable SSD），以及運算型儲存裝置（Computational storage）等等。</p> <p>儘管產品名稱繁多，但我們還是可以根據處理器的形式，以及產品部署的方式等兩方面出發，作為分析框架，理清這些形形色色產品的脈絡。</p> <p><span style="color:#B22222;"><strong>DPU的處理器類型</strong></span></p> <p>依我們來看，DPU應看作「角色」，而非特定處理器架構形式，任何可程式化的處理器，無論是CPU、FPGA，甚至是GPU，只要是用於「資料處理」目的的輔助加速硬體，都可算是DPU。</p> <p>當前最普遍應用於DPU的處理器類型，是嵌入式通用處理器、專用網路處理器、FPGA，這也形成3大技術陣營。</p> <p>採用嵌入式通用處理器的DPU廠商有Mellanox、Broadcom、Nebulon等；採用FGPA的則有Intel、Xilinx、三星、NGD Systems等；採用專用網路處理器的則有Pensando、Netronome等。</p> <p>事實上，通常DPU廠商採用一種處理器架構，然而，還是有例外。像是Intel旗下DPU產品同時包含前述3種架構；也有廠商後續更換處理器架構，如NGD System與ScaleFlux，都在新產品改用Arm處理器作為運算核心，取代早先使用的Xilinx FGPA。</p> <p>除了前述3大處理器架構陣營外，還有基於GPU處理器架構的DPU產品，不過這類產品很少，目前已知只有Nyriad。也有少數DPU產品是基於ASIC晶片，如Intel即將推出的Mount Evans，雖然ASIC缺乏其他處理器的應用彈性，但執行特定應用時，速度遠高於其他處理器。</p> <p><span style="color:#B22222;"><strong>DPU的部署形式</strong></span></p> <p>DPU是一種搭配伺服器或儲存設備使用的輔助運算裝置，從DPU部署到伺服器或儲存設備的形式來看，可分為I/O介面卡與運算型儲存裝置等兩大類型，I/O介面卡是以擴充介面卡的形式來部署，運算型儲存裝置則是以2.5吋SSD或PCIe SSD卡的形式來部署，各自具備不同的應用取向與特性。</p> <p>在I/O介面卡方面，又分為智慧型網路卡、伺服器卸載處理器、儲存陣列控制器等幾種類型。無論屬於何種類型，這類產品的基本型態，都是1張搭載嵌入式運算單元、內含1到2組高速網路埠的PCIe介面卡，可以看作是具備加速運算功能的網路卡，除基本的網路傳輸功能外，還提供額外的運算卸載功能。似的，運算型儲存裝置則可看作是搭載了嵌入式運算單元的SSD，和一般SSD同樣提供儲存空間，但另外提供了運算卸載功能。</p> <p>不過，視個別廠商的產品定位差異，這些DPU通常各具不同的卸載應用取向。例如，智慧型網路卡或伺服器卸載處理器類型產品，大多以網路傳輸、加密與安全協定方面的卸載功能為主；儲存陣列控制器類型的產品，則通常還能提供RAID方面的運算卸載功能，甚至是SAS磁碟連接功能；至於運算型儲存裝置，多半是提供壓縮、重複資料刪除等資料縮減運算功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P2-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>DPU發展的兩大新趨勢</strong></span></p> <p>過去一年多以來，DPU領域有了2項與以往不同的新變化。</p> <p>首先，是開始從個別元件形成完整的系統。無論是哪一種DPU產品，智慧型網路卡、伺服器卸載處理器或運算型儲存裝置，都只是本身無法獨立運作的個別元件，必須搭配伺服器或儲存設備才能運作，用戶必須自行解決DPU與系統的整合問題。</p> <p>到了現在，有廠商推出內含DPU的完整系統產品，包含整合DPU的儲存陣列，以及結合伺服器、儲存設備的整櫃式套件等，免除整合麻煩，便於應用。</p> <p>其次，是出現了跨界的混合式DPU應用，也就是將2種不同型態的DPU結合在一起，試圖兼收不同DPU的優點，提供更完整的運算卸載功能。</p> <p>而這兩項發展，不僅讓DPU產品領域的內涵更為豐富，也讓DPU產品的應用往前邁進了一大步。</p> <p class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P2-600-2.jpg" style="width: 567px;" /></p> <p><span style="color:#696969;"><strong>基本上，DPU是一種「角色」，而非特定的處理器架構類型，因此，只要是用於「資料處理」的「可程式化處理器」，都可以算是DPU。但不同的處理器架構，分別具有不同的應用彈性、便利性與效能特性，進而會影響DPU的功能取向。舉例來說，通用的CPU具備最高的應用彈性與便利性，但效能不如其他類型的處理器。而ASIC與GPU在特定應用中具備極高的效能，但其應用便利性與彈性也相對較低。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/150701" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dpu">DPU</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%99%95%E7%90%86%E5%99%A8">資料處理器</a></div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/tech/150697
【從個別元件邁向完整應用環境的DPU】第一世代DPU應用系統問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-feng_mian_p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Fungible</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾個月來，隨著一系列基於DPU的應用平臺與儲存設備的問世，讓DPU的相關應用邁向新的階段，可望藉此克服以往DPU與系統平臺的整合問題，解開DPU推廣的桎梏。</p> <p>無論哪一種類型的DPU產品，從智慧型網路卡、可程式化加速卡，儲存處理器（SPU），到運算型儲存裝置等，都只是提供運算卸載功能的輔助附加裝置，本身無法獨立運作，必須安裝到伺服器或儲存設備，才能發揮作用。</p> <p>更進一步來看，DPU也並非安裝到伺服器便能直接發揮作用，還有一連串的設定、調校問題必須處理，有時甚至還需要搭配DPU廠商提供的API與SDK，修改前端應用程式，才能完整發揮DPU提供的運算能力。</p> <p>這也意味著，DPU的使用門檻其實相當高，只有開發、整合能力較強的用戶，才能有效發揮特色，對於一般用戶而言，恐怕將難以發揮這些裝置的效益，這也成為DPU推廣上的一個障礙。</p> <p>若要打破這個障礙，其實有一個辦法，便是由供應商端負責解決DPU與系統平臺的整合問題，推出預先整合了DPU的應用平臺或儲存設備，用戶端只要使用這些內含DPU的系統，便能馬上取得DPU所提供的運算加速能力。</p> <p>所以，對於DPU加速應用有意採行的用戶而言，近期問世的一系列DPU儲存設備，以及應用平臺，等於提供了導入這類技術架構的方便法門。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P3--960(1).jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;">圖片來源／Fungible</span><br /><span style="color:#696969;"><strong>【Fungible的DPU-based產品線】Fungible堪稱目前最積極發展DPU-based產品的廠商之一，除了元件等級的DPU晶片及DPU卡，他們還推出以DPU為控制器核心的儲存伺服器，稱為FS1600（右），以及由內含DPU的伺服器與儲存設備組成的整櫃式產品，如Fungible Data Center，以及Fungible Rack（左）。</strong></span></p> <p><span style="font-size:28px;"><strong>第一世代的DPU儲存設備與伺服器</strong></span></p> <p>為了協助將DPU從元件推廣到系統層面，Nvidia在2020年時，便曾推出搭配該公司BlueField DPU的參考平臺，以BlueField DPU為核心，搭配NVMe SSD、機箱、背板、電源供應器等元件，構成1U與2U兩種規格的儲存伺服器。然而，這種參考平臺，還不算是面對第一線用戶的實際產品。</p> <p>就現在看來，最積極建構完整DPU儲存產品應用環境的廠商，我們認為可能是Fungible，事實上，該公司在2020年10月發表的FS1600儲存伺服器，應該是市面上首款基於DPU的儲存陣列產品，當中採用了常見的2U/24Bay機箱，以2組Fungible的F1 DPU作為核心，內含12組100 GbE埠，可支援NVMe/TCP傳輸介面，並能透過DPU提供即時壓縮、加密與Erasure Coding等功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P3--600-2.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Fungible</span></span><br /><span style="color: rgb(105, 105, 105);"><strong>【Fungible的DPU-based資料中心架構】Fungible已經將DPU產品線擴展到整櫃式套件層級，透過以DPU作為儲存控制器核心的FS1600儲存伺服器，構成儲存節點，搭配安裝DPU卡的伺服器作為運算節點，以及在x86伺服器運行的Fungible Data Centre Composer管理平臺，來提供資料傳輸與儲存裝置的管理，所有的資料儲存與傳輸作業，都是由DPU來驅動。</strong></span></p> <p>Fungible宣稱憑藉DPU提供的加速功能，使得1組滿載24臺NVMe SSD的FS1600節點，便能提供高達1,500萬IOPS效能，存取延遲僅110μs，是一般2U全快閃儲存陣列效能的3到5倍以上。</p> <p>繼Fungible之後，陸續有其他廠商推出搭載了DPU的儲存設備產品。</p> <p>例如，近年大出鋒頭的新創廠商VAST Data，便在今年3月發表內含Nvidia BlueField DPU的Cares資料儲存機箱，這款產品採用1U機箱，可搭載最多22組E.1規格的SSD，以及8組U.2規格的儲存級記憶體模組（SCM），並配置4張BlueField BF1600 DPU卡。</p> <p>Care資料儲存機箱內含的4張BF1600卡，是替代VAST Data上一代資料儲存機箱採用的2組Intel處理器I/O模組，每張BF1600，各自連接1或4個的SSD與SCM模組，構成4路的Active-Active架構。而藉由採用BlueField DPU，Care資料儲存機箱的單一機箱輸出傳輸率，可從40 GB/s提高到60 GB/s以上。VAST Data進一步表示，未來，這一套系統還預定將搭配的DPU卡，升級到Nvidia最新發表的BlueField-3。</p> <p class="rtecenter"><img alt="" src="file:///D:/iThome/%E7%B7%9A%E4%B8%8A%E5%AE%8C%E7%A8%BFPDF/%E5%9F%B7%E7%B7%A8%E4%B8%8A%E7%A8%BF%E7%94%A8/web-1075-%E5%B0%81%E9%9D%A2P3-web-resources/image/%E4%B8%BB%E5%9C%964_VAST-Ceres.png" /><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P3-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／VAST Data</span><br /><strong>【VAST Data的DPU儲存設備】VAST Data日前也推出基於DPU的Care資料儲存機箱，當中採用了Nvidia的BlueField DPU卡，以此取代上一代資料儲存機箱使用的Intel I/O模組，藉此提高了傳輸效能。</strong></span></p> <p>另外是新創儲存廠商Nyriad，他們的GPU加速架構儲存陣列，近日也有新發展。多數DPU廠商都是採用嵌入式通用處理器或FPGA，作為DPU的運算核心，但Nyriad獨樹一格，以Nvidia GPU作為輔助運算單元的核心。</p> <p>整體而言，該公司的Nsulate儲存平臺除了x86處理器之外，還特別安裝了基於Nvidia GPU的加速卡，構成CPU+GPU架構，可由GPU取代傳統RAID控制器，提供Erasure Coding與其他運算卸載功能。</p> <p>2022年3月，Nyriad推出新一代GPU加速儲存陣列產品UltraIO H系列，機箱內含2組控制器，稱作head nodes，每組控制器都採用兩顆Intel Xeon處理器，搭配兩張Nvidia RTX A6000 GPU卡，其中GPU扮演的角色，是配合Nyriad專屬的UltraIO OS作業系統，為每個寫入區塊執行hash運算、藉此來檢驗資料的完整性，藉此減輕CPU的運算負載，因此，無論是對於平常的資料寫入，或是磁碟失效後的重建作業，均可望能發揮加速的效果。</p> <p><strong><span style="color:#B22222;">伺服器端與整櫃式套件產品</span></strong></p> <p>除了儲存端產品，在伺服器端與整櫃式套件產品領域，也開始出現整合DPU的產品。</p> <p>對此最積極的廠商仍是Fungible，有了DPU-based的FS1600儲存伺服器，接下來，他們又將DPU應用的戰線，延伸到融合式基礎架構（Converged Infrastructure）整櫃式套件的領域。</p> <p>在2021年初，Fungible發表了基於DPU的Fungible Data Center，而這套產品是由Fungible Rack機櫃組成，含有標準的運算伺服器、儲存設備與交換器。</p> <p>其特別之處，是運算伺服器安裝Fungible的S1 DPU卡，搭配的儲存設備，則是同廠牌的FS1600 DPU儲存伺服器叢集，在管理平臺Fungible Data Centre Composer的控制下，整座機櫃的儲存及網路傳輸，都以DPU為核心來驅動。</p> <p>而在一線伺服器大廠方面，相對較熱心導入DPU應用的則是HPE。雖然該公司自身無DPU產品，但在2021年，先後與Nebulon與Pensando這2家DPU供應商合作，將Nebulon的SPU卡，以及Pensando的DSC卡，引進HPE的伺服器產品線，包括ProLiant系列通用伺服器，Apollo系列高效能運算與大數據伺服器，以及Edgeline融合邊緣系統等產品線，日後都可提供預載與整合DPU的組態，因此這些產品堪稱市面上首批「DPU Ready」的伺服器產品線。</p> <p>整體來說，整合了DPU的IT設備數量雖然還不多，但已經涵蓋了儲存設備、伺服器到整櫃式套件的領域，可以針對有意導入DPU的用戶，提供建構DPU應用環境的基礎。</p> <p><a href="https://www.ithome.com.tw/article/150701" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dpu">DPU</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%99%95%E7%90%86%E5%99%A8">資料處理器</a></div><div class="field-item odd"><a href="/tags/fungible">Fungible</a></div><div class="field-item even"><a href="/tags/vast-data">VAST Data</a></div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/tech/150698
【結合不同加速裝置截長補短，提升運算卸載效果】跨界的DPU混合應用架構
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-feng_mian_p4-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Los Alamos National Lab</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料處理器（DPU）的應用，本身就屬於一種混合運算架構，用於搭配伺服器與儲存陣列控制器的CPU，卸載特定服務的運算負載。從而能將更多的CPU資源保留給主要的應用。</p> <p>不過，除了標準的CPU+DPU的混合應用型態，過去一年來又出現了一些新的架構。其中之一，是兩種不同類型DPU的混搭架構。</p> <p>美國洛阿摩斯國家實驗室（Los Alamos National Lab）所屬的高效能運算部門，在2022年3月宣布已委由Aeon Computing公司打造新型儲存加速裝置，稱作「Flash裝置加速盒」（Accelerated Box of Flash Drives，ABFD）。雖然ABFD是專門訂製的設備，而非商售的企業儲存產品，不過當中採用了特別的混搭式DPU加速架構，值得大家進一步關注。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P4-960.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Los Alamos National Lab</span></span><br /><span style="color: rgb(105, 105, 105);"><strong>【結合2種DPU裝置的混合式加速設備】美國洛阿摩斯國家實驗室日前引進一款設備「Flash裝置加速盒」（ABFD），採用2種DPU裝置混搭的特殊架構。<br /> 上為ABFD機箱的外型，採用常見的2U/24Bay機箱，安裝了24臺SK Hynix的U.2規格NVMe SSD。右為ABFD機箱的內部，沒有一般儲存設備的主機板，而是安裝了數張BlueField DPU卡，右上角的空位則是用於安裝Eideticom的NoLoad FPGA加速器。</strong></span></p> <p>ABFD是我們首次見到同時結合兩種DPU加速裝置的儲存設備，採用常見的2U機箱，可容納24臺NVMe SSD，特別之處，是同時安裝運算型儲存裝置與智慧型網路卡，分別是1臺U.2規格、屬於運算型儲存裝置類型的產品Eideticom的NoLoad FPGA加速器，以及數張BlueField-2智慧型網路卡。</p> <p>其中BlueField-2扮演的應該是控制器角色，雖然官方沒有公布ABFD安裝的BlueField-2數量，不過以BlueField-2的規格來看，至少要安裝3張，才能連結24臺NVMe SSD——每張BlueField-2卡含有8個下行（downstream）PCIe埠，如果以3張BlueField-2卡計算，可匯聚出24個Armv8 A72處理器核心，加上NoLoad FPGA加速器本身，也提供Xilinx Kintex Ultrascale+ KU15P FPGA晶片，算是提供頗為可觀的運算能力。</p> <p>ABFD在軟體方面是以ZFS on Linux檔案系統為基礎，可透過專門的ZFS FPGA加速器介面與DPU介面，將關鍵運算負載卸載到FPGA與DPU執行──Eideticom的NoLoad FPGA負責提供Erasure Coding、壓縮與checksum等儲存端運算卸載，BlueField-2則分攤網路傳輸方面的卸載處理工作。整個ABFD則可透過BlueField-2的200Gb InfiniBand埠來連接前端主機。</p> <p>理論上，ABFD這類混合式的DPU應用架構，可以藉由結合不同類型的加速裝置，彼此分工合作，發揮截長補短的效果，為系統整體帶來更完整、更多樣化的運算卸載功能，但代價是提高了成本與複雜性。</p> <p>然而，換個角度來看，ABFD這種結合多種DPU的混搭架構，雖然是很有意思的嘗試，卻也與DPU目前的另一個發展方向背道而馳。</p> <p>許多DPU產品提供的運算卸載功能，正朝向更多類型、更多樣化的方向發展，未來只需要1種DPU裝置，便能兼用於多種不同形式的運算卸載功能。</p> <p>因而這也形成了兩個相反的發展方向，一為「結合不同加速裝置的混搭架構」，另一為「單體DPU運算功能的多樣化」。我們認為，若從簡化架構、節約成本的觀點來看，後者應會成為日後的主流方向。</p> <p><a href="https://www.ithome.com.tw/article/150701" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dpu">DPU</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%99%95%E7%90%86%E5%99%A8">資料處理器</a></div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/tech/150699
【實測驗證DPU的I/O效能】兩款DPU效能測試數據大公開
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-feng_mian_p5-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料處理器（DPU）的應用概念，是以輔助運算裝置的角色，來幫助CPU卸載運算負擔，一方面可以將更多的CPU資源保留給應用程式，另一方面則能改善整體I/O效能。概念上雖然如此，但當DPU實際應用在企業環境時，效能可提供到何種程度？以往很少有可供參考的實證數據。</p> <p>不過，恰好在2021年底，Fungible與Nvidia等2家DPU供應商，先後公布一系列DPU儲存效能驗證結果，也讓大家有了實際檢視DPU應用效果的機會。</p> <p><span style="font-size:28px;"><strong>Fungible的DPU效能測試</strong></span></p> <p>首先是Fungible透過聖地牙哥超級電腦中心（San Diego Supercomputer Center）所進行的效能實測，當中使用該公司的FS1600 DPU儲存伺服器，作為儲存系統端，搭配安裝Fungible S1 DPU卡的技嘉R282-Z93伺服器，作為應用伺服器端（搭載2顆64核心AMD EPYC 7763處理器與2TB記憶體），兩者透過100 GbE網路互連，執行NVMe/TCP傳輸協定，結果在4K讀取測試中，達到了1,000萬IOPS的效能。</p> <p>作為對照，當應用伺服器端安裝一般網路卡時（Mellanox ConnectX-5），在相同環境下，只得到655萬IOPS效能，而且，其CPU資源占用率接近飽和。也就是說，在應用伺服器端以Fungible的S1 DPU卡取代一般網路卡，IOPS效能提高了50%以上，CPU資源耗用率也從原本的將近飽和狀態，控制在63%。</p> <p>而在儲存端，Fungible僅僅以1臺基於DPU的FS1600，就為伺服器端提供了1,000萬IOPS的效能輸出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P5-600-1.jpg" style="width: 586px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：iThome整理，2022年4月</span><br /><strong>【Fungible的DPU測試架構】伺服器端本身是安裝5張Fungible S1 DPU卡的技嘉伺服器，儲存端是Fungible的FS1600 DPU儲存伺服器（內含2組Fungible F1 DPU），構成全面搭配DPU的傳輸架構。至於對照組，則將技嘉伺服器上安裝的Fungible S1 DPU卡，換成一般網卡（Mellanox ConnectX-5）。</strong></span></p> <p><span style="font-size:28px;"><strong>Nvidia的DPU效能測試</strong></span></p> <p>繼Fungible之後，另一家廠商Nvidia也發布BlueField-2 DPU卡實測結果。</p> <p>由於Nvidia不像Fungible有DPU儲存陣列產品，所以，他們的效能測試，是以1臺HPE DL380 Gen10 Plus伺服器來扮演儲存端角色，另1臺DL380 Gen 10 Plus扮演應用程式伺服器端角色。</p> <p>每臺DL380 Gen10 Plus伺服器當中，都安裝2顆Intel Xeon Platinum 8380處理器，一共160個處理器核心，搭配512 GB記憶體，還有2張BlueField-2 DPU卡。伺服器端與儲存端之間透過Nvidia LinkX 100GbE DAC纜線直連。結果在512Bytes NVMe/TCP的100%讀取測試中，得到4,150萬IOPS效能，在4K測試中的IOPS效能，也超過500萬。</p> <p>不過，Nvidia上述效能測試的驚人IOPS表現，似乎是以儲存端的DRAM作為I/O傳輸的目標端，因此，I/O可能並未實際落到底層的SSD上，主要目的應該是藉此展現作為傳輸端點的BlueField-2 DPU卡吞吐能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P5-600-%EF%BC%92.jpg" style="width: 587px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">資料來源：iThome整理，2022年4月</span><br /><strong>【Nvidia的DPU測試架構】伺服器端是一臺安裝2張Nvidia BlueFiled-2 DPU卡的HPE DL380 Gen 10 Plus，儲存端是另一臺HPE DL380 Gen 10 Plus，同樣安裝2張Nvidia BlueFiled-2 DPU，兩端以Nvidia LinkX 100GbE DAC纜線直連，同樣構成全面DPU傳輸架構。</strong></span></p> <p><span style="font-size:28px;"><strong>效能與功耗的雙重效益</strong></span></p> <p>Fungible與Nvidia兩家廠商，都基於橫貫各個環節（End-to-End）的DPU應用環境來測試，也就是說，不僅在儲存端安裝DPU，在伺服器端也安裝了DPU，兩個端點都具備DPU加速能力。除此之外，兩個端點之間也都是透過100GbE網路連結。</p> <p>兩組測試的主要差別有二：首先，在兩端點的連結上，Fungible的測試環境，是以一臺100GbE交換器作為中介，至於Nvidia，則是以Nvidia LinkX 100GbE DAC纜線直皆互連。</p> <p>其次，Fungible的測試是標準的儲存端測試，I/O有實際進到儲存端的NVMe SSD上，可以展現出儲存端的FS1600儲存伺服器實際輸出能力；而Nvidia的測試應該只涉及網路端，展現的是作為傳輸端點的BlueField-2 DPU卡 I/O吞吐能力。</p> <p>從Fungible與Nvidia的測試結果來看，DPU確實能發揮顯著的加速效果。與未使用DPU的環境相比，只需要耗用1/3不到的處理器數量，就能提供同等的IOPS效能表現，不僅節約了硬體資源，更顯著減少了電力消耗。</p> <p>在此同時，兩家廠商的測試架構，還有幾點值得我們注意。</p> <p>第一，兩家廠商都選擇使用NVMe/TCP作為傳輸協定，顯示了NVMe/TCP已逐漸被視為iSCSI接班人，作為新一代低成本區塊儲存傳輸協定的角色，相較之下，NVMe/RoCE協定儘管有更高效能，但考慮到成本，仍難撼動這樣的技術搭配趨勢。</p> <p>Nvidia在他們的DPU測試中，也另外使用了NVMe/RoCE作為對照，在512Bytes 100%讀取測試當中，可獲得超過5,500萬IOPS效能，比NVMe/TCP的測試效能高出30%。但Nvidia在宣傳上仍舊是以後者為基準，顯示對NVMe/TCP的重視。</p> <p>第二，在Nvidia的測試中，我們看到伺服器端用於連接儲存端的Initiator軟體，對測試結果有顯著的影響。</p> <p>例如，Nivdia在此測試使用3種Initiator軟體——SPDK、standard kernel storage initiator（包括4.18與5.15版兩種），以及FIO plugin for SPDK，</p> <p>測試結果顯示，在4種不同的組合當中（SPDK to SPDK，FIO to kernel 5.15，FIO to kernel 4.18，FIO plugin to SPDK），SPDK to SPDK的效能略勝其他組合。而同為standard kernel storage initiator時，若採用較新的5.15版來測試，其效能也略優於4.18版。</p> <p><a href="https://www.ithome.com.tw/article/150701" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dpu">DPU</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%99%95%E7%90%86%E5%99%A8">資料處理器</a></div><div class="field-item odd"><a href="/tags/fungible">Fungible</a></div><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/tech/150700
DPU走入企業應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蓬勃發展中的資料處理器（Data Processing Units，DPU），正從個別元件產品進入完整系統運用的階段，朝向普及應用邁出一大步，同時還出現多種新的混合架構，進一步拓展了應用型態</p> </div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/article/150701
【資安週報】2022年4月25日至29日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>縱觀本週的資安事故，有一則新聞相當值得留意。駭客組織Stormous透過即時通訊軟體的公開群組會員投票，來決定對可口可樂發動攻擊，而這樣的手法該組織並非首例，曾在整個3月份不斷宣稱攻陷數家IT大廠的Lapsus$，就使用同樣的方法決定公布那個受害組織的資料。原本攻擊目標多半可能由少數駭客討論，如今卻出現相當類似黑幫依據群眾意見而決定對象，將全球知名企業與組織列入頭號攻擊目標的狀況，未來很有可能再度上演，而且可能是由駭客以外的網友來決定。</p> <p>在本週的資安新聞裡，不少研究人員揭露資安事故與攻擊工具，都與勒索軟體駭客組織Conti的動態有關。而值得注意的是，這些駭客很可能因日前在烏克蘭戰爭開打時力挺俄羅斯，而使得程式原始碼等內部資料外洩，疑似進而更換組織的名稱，以避免歐美國家的警方盯上，同時，這些駭客使用的惡意軟體也出現了變化。</p> <p>原本Conti使用的後門程式BazarLoader，就已經相當刁鑽，而使得受害者難以駭客察覺投放勒索軟體的跡象，但有研究人員發現，這些駭客近期又改用行蹤更為隱密的後門程式Bumblebee。該組織這一系列的動作，也引起了研究人員的高度關切，後續動態相當值得留意。</p> <p>而論及Conti的同時，已經進行超過2個月的烏克蘭戰爭，與之相關的網路攻擊行動可說是極為頻繁，有資安業者統計俄羅斯駭客至今攻擊烏克蘭多達237次，平均每天有3至4次攻擊行動，其中部分的網路攻擊，似乎是和俄羅斯的軍事行動配合。除此之外，俄羅斯的攻擊範圍，也擴及了鄰近烏克蘭的歐洲國家。</p> <p>在本週的勒索軟體攻擊行動裡，有些駭客的手法較為少見而值得留意。例如，勒索軟體Quantum只花了不到4個小時，就加密受害組織的內部網路；再者，則是名為Onyx的勒索軟體，採取了加密與破壞的兩面策略，不只會加密資料，還會在大型檔案寫入垃圾內容進行破壞。</p> <p>重大漏洞的利用或是揭露，也是本週資安新聞的焦點之一。其中，最值得留意的是Log4Shell漏洞修補情形。這項漏洞研究人員曾於去年12月公布細節，但過了4個月後，仍有不少應用系統存在相關漏洞而值得注意。</p> <p>另一個也出現大肆利用的漏洞，則是VMware針對旗下在4月初修補的身分驗證平臺漏洞，最近再度傳出遭到APT駭客利用的情形。</p> <p>本週國內出現兩件大事，一個是臺灣企業結盟，成立了「臺灣資安主管聯盟」，讓資安長能夠交換相關經驗；再者則是與疫情導致許多臺北市師生需要遠距上課的情況，但此時卻傳出酷課雲網站遭到DDoS攻擊而停擺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-black-basta-ransomware-springs-into-action-with-a-dozen-breaches/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta很有可能是Conti另起爐灶</span></a></strong></h3> <p>名為Black Basta的勒索軟體駭客組織在4月開始發動攻擊，至少已有12個組織遭到入侵，包含德國風力發電維運業者德維特（Deutsche Windtechnik）、美國牙醫協會（ADA）疑似都是受害者，但研究人員發現，Black Basta很有可能就是原本的Conti。</p> <p>根據資安研究團隊MalwareHunterTeam的調查，他們發現Black Basta、Conti的勒索軟體有所不同，但兩個組織有許多共通之處，例如，洩露受害者資料的網站、付贖金的網站極為相似，以及協助受害者向駭客付款的「客服」說話方式、處理手法也幾乎一樣，因此研究人員推測，Black Basta很有可能就是Conti駭客因日前內部資料外洩後，更換名稱再重新開張，以逃避司法單位的調查。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bazarloader-anti-analysis-techniques/"><span style="color: rgb(0, 0, 0);">後門程式BazarLoader利用Windows的API偷渡勒索軟體</span></a></strong></h3> <p>勒索軟體駭客組織Conti於3月上旬，利用釣魚郵件散布後門程式BazarLoader，此後門程式透過呼叫Windows的API運作，主要被該組織用於投放勒索軟體，但這個後門程式究竟如何規避各式的偵測機制？近期有資安業者揭露他們研究的結果。資安業者Palo Alto Networks指出，他們最近利用逆向工程工具IDA Pro分析BazarLoader，結果發現，駭客運用了兩種相當少見的手法，而能躲過大部分的資安防護系統偵測。</p> <p>這些手法中，其中一種是API功能雜湊化（API Function Hashing），混淆惡意軟體呼叫的功能；另一種則是叫做不透明述詞（Opaque Predicate），目的是混淆惡意軟體程式碼的實際運作流程，讓研究人員所使用的靜態分析工具難以解析。該公司也公布他們用來破解駭客手法的IDAPython程式碼，供其他研究人員解析使用上述手法的惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/bumblebee-is-still-transforming"><span style="color: rgb(0, 0, 0);">研究人員揭露Conti新的惡意軟體Bumblebee</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bumblebee-20220427171512-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bumblebee-20220427171512-5.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織Conti在吸收殭屍網路TrickBot的成員後，持續使用TrickBot開發的惡意軟體載入器BazarLoader，但最近兩個月Conti似乎開始改用新的惡意軟體。資安業者Proofpoint指出，他們在今年3月開始，發現至少有TA578、TA579等3個駭客組織，使用惡意軟體Bumblebee發動攻擊，進而在受害組織投放勒索軟體Conti或Diavol。研究人員提及，這次的攻擊行動特徵，<a href="https://www.ithome.com.tw/news/149991#exotic-lily">與Google自2021年9月開始調查的駭客組織Exotic Lily</a>後期手法雷同，因為，Exotic Lily在今年3月開始也使用了Bumblebee。</p> <p>研究人員看到駭客利用Bumblebee投放Cobalt Strike、Meterpreter、Sliver等滲透測試工具，以及Shell Code，他們對此惡意軟體進一步分析後發現，雖然Bumblebee處於開發階段，但駭客已經運用了相當複雜的反組譯手法，來避免被研究人員察覺異狀。而從Bumblebee內有部分TrickBot程式碼，並在近期BazarLoader幾乎沒有再被使用的跡象，研究人員推測，很可能就是相關駭客已經幾乎從BazarLoader轉換到了Bumblebee。</p> <h3><strong style="font-size: 22px;"><a href="https://securityaffairs.co/wordpress/130505/cyber-crime/costa-rica-conti-ransomware.html"><span style="color: rgb(0, 0, 0);">勒索軟體Conti攻擊哥斯大黎加政府機關，癱瘓公務系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rica-Conti-ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rica-Conti-ransomware.png" style="width: 300px; float: right;" /></a>日前美國、英國等多個國家提出警告，俄羅斯駭客將鎖定全球的關鍵基礎設施（CI）下手，近期已傳出相關事故。根據資安新聞網站Security Affairs的報導指出，哥斯大黎加政府的基礎設施上週遭到勒索軟體攻擊，影響該國財政部、勞動部等多個政府機關，勒索軟體駭客組織Conti聲稱是他們所為，並公布約50%竊得的資料，但發動攻擊的原因是否與哥斯大黎加譴責俄羅斯出兵有關？目前仍不明朗。</p> <p>哥斯大黎加總統卡洛斯．阿爾瓦拉多（Carlos Alvarado）表示，他們不會支付贖金，但他沒有證實攻擊者是否就是Conti。而這起網路攻擊所帶來的影響，根據新聞網站美聯社（AP）的報導，該國財政部為此被迫關閉大部分公職人員使用的系統數小時，且此系統亦與養老金支付有關，財政部延後了報稅的截止日期。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/american-dental-association-hit-by-new-black-basta-ransomware/"><span style="color: rgb(0, 0, 0);">美國牙醫協會遭到勒索軟體Black Basta攻擊</span></a></strong></h3> <p>勒索軟體駭客攻擊醫療機構的態勢，如今也延燒到相關的保健推廣機構。根據資安新聞網站Bleeping Computer的報導，美國牙醫協會（ADA）於4月22日遭到網路攻擊，被迫將受影響的系統離線，暫停網站上的多項服務。此起事故不光ADA的網站部分服務停擺，也波及美國各州的牙醫協會，該新聞網站認為，這很可能是勒索軟體攻擊事件。</p> <p>上述事故發生不久，資安研究團隊MalwareHunterTeam向Bleeping Computer透露，名為Black Basta的勒索軟體駭客組織聲稱攻擊ADA得逞，並公開2.8 GB的外洩資料，約占他們竊得資料的三成。這些外洩的資料多半與ADA會員有關，ADA認為，駭客很有可能會利用這些資料，對牙醫診所進行網釣攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150625"><span style="color: rgb(0, 0, 0);">德國多家風力發電廠遭到網路攻擊，疑與俄羅斯駭客有關</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150480#nordex">勒索軟體駭客Conti於3月底，對於德國風力發電機製造商Nordex發動攻擊</a>，但這很可能不是單一事件。根據華爾街日報的報導指出，歐洲風力能源委員會（WindEurope）指控，聲援俄羅斯的駭客組織，近日鎖定了因俄羅斯遭到經濟制裁而受惠的產業下手，尤其是對於再生能源之一的風力發電，且其中多起事件都是針對德國業者而來。</p> <p>在俄羅斯開始出兵烏克蘭之際，風力發電機製造商Enercon GmbH即因<a href="https://www.ithome.com.tw/news/150233#viasat">衛星網路（編按：此處應指美國衛星網路Ka-sat）遭到攻擊</a>，駭客切斷該公司對於近6千臺發電機的遠端控制能力；再者，就是3月底Nordex的資安事故；而到了4月上旬，風力發電維運業者德唯特（Deutsche Windtechnik）亦傳出遭到勒索軟體攻擊，導致約2千臺發電機的遠端控制系統停擺了大約一天。WindEurope認為，雖然上述風力發動業者沒有直接表明是遭到俄羅斯駭客襲擊，但這些駭客很可能出於上述報復的動機，繼續對相關業者出手。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/04/27/hybrid-war-ukraine-russia-cyberattacks/"><span style="color: rgb(0, 0, 0);">從烏克蘭戰爭開戰至今，俄羅斯駭客已攻擊烏克蘭237次</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Russia-apt-target-ukraine.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Russia-apt-target-ukraine.jpg" style="width: 300px; float: right;" /></a>自烏克蘭戰爭開打以來，俄羅斯駭客對於烏克蘭的網路攻擊也從未間斷，但研究人員發現，駭客攻擊不只相當頻繁，還與武裝攻擊行動互相呼應。微軟近日發布對於俄羅斯駭客對烏克蘭發動攻擊的調查結果，指出在俄烏開戰以來，至少有6個俄羅斯駭客集團對烏克蘭出手，已發動逾237次攻擊行動，當中有約40次屬於破壞性攻擊，且多半鎖定烏克蘭政府或是關鍵基礎設施（CI）。</p> <p>研究人員發現，許多網路攻擊與武裝行動呼應，例如，駭客於3月1日攻擊烏克蘭電視臺，該國軍隊隨後就將飛彈瞄準電視臺；再者，俄羅斯軍隊攻擊馬里烏波爾市（Mariupol）時，駭客也對於當地居民發動釣魚郵件攻擊，散布烏克蘭政府拋棄民眾的消息。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ukraine-targeted-by-ddos-attacks-from-compromised-wordpress-sites/"><span style="color: rgb(0, 0, 0);">WordPress網站再度成為駭客攻擊烏克蘭的工具，被用於感染用戶電腦發動DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cert-ur_wordpress-sites-cyberattack_code.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cert-ur_wordpress-sites-cyberattack_code.png" style="width: 300px; float: right;" /></a>駭客<a href="https://www.ithome.com.tw/news/150170#wordpress">曾於3月底，在許多WordPress網站植入惡意程式碼</a>，感染用戶的電腦並向烏克蘭發動攻擊，但濫用WordPress網站的類似攻擊行動再度出現。烏克蘭電腦緊急應變小組（CERT-UA）指出，最近有駭客組織UAC-0101鎖定WordPress網站進行破壞，植入名為BrownFlood的惡意JavaScript程式碼，使得瀏覽網站的用戶電腦成為駭客的攻擊工具，對烏克蘭發動DDoS攻擊。CERT-UA指出，至少有36個網站被用於攻擊行動，該單位也提供網站檢測工具，讓IT人員能檢查網站是否被植入惡意程式碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/bronze-president-targets-russian-speakers-with-updated-plugx"><span style="color: rgb(0, 0, 0);">中國駭客Mustang Panda鎖定俄羅斯政府官員發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bronze-president-targets-russian-speakers-figure4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bronze-president-targets-russian-speakers-figure4.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭未明確表達支持或反對力場的中國，<a href="https://www.ithome.com.tw/news/150088#mustang-panda">先前傳出該國駭客鎖定協助難民的歐洲外交單位下手</a>，但最近他們也開始針對俄羅斯發動攻擊。資安業者Secureworks發現，中國駭客Mustang Panda（亦稱HoneyMyte、Bronze President、TA416）於2022年3月，以歐盟針對白俄羅斯進行制裁的細節為由，鎖定俄羅斯政府官員發動網路釣魚攻擊，引誘對方開啟附件檔案，透過帶有合法簽章的可執行檔案，以DLL側載（DLL Sideloading）的方式，載入惡意程式PlugX。</p> <p>研究人員指出，DLL載入工具（DLL Loader）在執行的過程裡，會導出8個函式，但實際上只有其中一個帶有實際要執行的指令，很可能因此能夠躲過資安防護系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://securityintelligence.com/posts/hive00117-fileless-malware-delivery-eastern-europe/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客鎖定電信業者散布惡意軟體DarkWatchman</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Hive0117-phishing-mail.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hive0117-phishing-mail.png" style="width: 300px; float: right;" /></a>俄羅斯駭客近期對烏克蘭頻頻發動攻擊，但他們現在也鎖定其他鄰近的國家下手。IT業者IBM的威脅情報團隊指出，使用俄語的駭客組織Hive0117近期發動釣魚郵件攻擊，鎖定立陶宛、愛沙尼亞、俄羅斯電信服務供應商、工業公司，這些釣魚郵件幾乎都寄給公司負責人或是高層，駭客冒充俄羅斯司法部，且郵件內含該單位的標誌，看起來更像由該單位發出。</p> <p>一旦收信人依照指示打開附件ZIP檔案的內容，電腦就有可能被感染惡意軟體DarkWatchman，為駭客提供後門，並藉由PowerShell程式碼側錄鍵盤輸入的內容。而對於Hive0117的身分，研究人員認為該組織並非俄羅斯政府資助的駭客，攻擊行動很可能出於經濟利益，而非與政治訴求有關。</p> <h3><strong style="font-size: 22px;"><a href="https://krebsonsecurity.com/2022/04/leaked-chats-show-lapsus-stole-t-mobile-source-code/"><span style="color: rgb(0, 0, 0);">電信業者T-Mobile傳出遭到駭客組織Lapsus$入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lowerlevelsource.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lowerlevelsource.png" style="width: 300px; float: right;" /></a>在3月份大肆公布受害者的<a href="https://www.ithome.com.tw/tags/lapsus">駭客組織Lapsus$</a>，最近有研究人員發現新的攻擊行動。資安新聞網站Krebs On Security指出，他們針對Lapsus$核心成員在Telegram頻道的對話內容進行分析後發現，該組織疑似在3月多次入侵T-Mobile，並竊得對方一系列的程式原始碼。該新聞網站指出，這些駭客入侵受害組織的初始管道，多半是從俄羅斯市集購得，然後成功進入到受害組織內部網路環境後，嘗試利用SIM卡挾持（SIM Swapping），來取得行動裝置管理（MDM）所需要相關資料，進而試圖竊取該公司的原始碼。</p> <p>針對上述的報導，T-Mobile向Krebs On Security表示，他們的確在幾個星期前，發現有駭客利用遭竊的帳密存取該公司內部系統，該公司亦迅速關閉入侵者的連線，遭到外洩的帳號密碼也已經重置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/coca-cola-investigates-hackers-claims-of-breach-and-data-theft/"><span style="color: rgb(0, 0, 0);">駭客組織聲稱入侵可口可樂，竊得161 GB資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Stormous-poll.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Stormous-poll.png" style="width: 300px; float: right;" /></a>日前<a href="https://www.ithome.com.tw/news/149780#mercado">勒索軟體駭客Lapsus$利用Telegram頻道舉行投票</a>，以決定接下來要公布受害組織資料的對象，如今也有其他組織仿效。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Stormous聲稱近期成功入侵飲料大廠可口可樂，並竊得161 GB資料，內容為含有文件的壓縮檔案，以及具有管理員、電子郵件、密碼的純文字檔案、帳號與付款資料的ZIP壓縮檔案等，駭客以1.65個比特幣（約6.4萬美元）的價格銷售這些資料。而這些駭客也傳出在下手之前，先在Telegram群組徵求其他支持者的意見，結果有超過7成的用戶投給了可口可樂。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/15m-rps-ddos-attack/"><span style="color: rgb(0, 0, 0);">駭客發動大規模的HTTPS加密流量DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Emotet-HTTPS-1109-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Emotet-HTTPS-1109-2.png" style="width: 300px; float: right;" /></a>駭客發動分散式阻斷服務（DDoS）攻擊的手法，從原本企圖消耗受害網站的頻寬，現在改以發送大量垃圾請求，進而耗盡伺服器的處理器和記憶體等運算來癱瘓網站的運作。雲端服務業者Cloudflare於4月27日指出，他們在本月初緩解大規模的HTTPS流量攻擊，駭客從全世界112個國家、約6千個殭屍網路機器人（Bot），發動每秒1,530萬次請求（RPS）的DDoS攻擊行動，目標是加密貨幣業者。</p> <p>值得留意的是，有別於過往駭客普遍使用未加密的HTTP流量，這次駭客以加密的HTTPS流量發動攻擊，所需要資源較未加密流量要來得多，但這麼做的目的為何？Cloudflare沒有進一步說明，<a href="https://therecord.media/cloudflare-detects-one-of-the-largest-ddos-attacks-on-record-targeting-crypto-platform/">而資安業者Recorded Future懷疑，這起DDoS攻擊可能與殭屍網路Emotet有關</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bitdefender.com/blog/labs/redline-stealer-resurfaces-in-fresh-rig-exploit-kit-campaign/"><span style="color: rgb(0, 0, 0);">駭客利用IE漏洞投放竊密軟體RedLine</span></a></strong></h3> <p>隨著IE與相關的外掛程式逐漸遭到棄用，駭客運用漏洞利用工具包（Exploit Kit）的攻擊行動大幅下降，但這類手法並未因此消聲匿跡。防毒業者Bitdefender指出，他們發現駭客在一起散布竊密軟體RedLine的過程裡，攻擊者使用名為RIG Exploit Kit的漏洞利用工具包，並針對網頁瀏覽器Internet Explorer（IE）的漏洞CVE-2021-26411而來，此漏洞會導致使用者在瀏覽攻擊者特製網站時，出現記憶體損壞的情況。駭客一旦入侵成功並部署RedLine，就能進一步在受害電腦上搜刮瀏覽器資料、加密貨幣錢包的私鑰、信用卡資料等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150623"><span style="color: rgb(0, 0, 0);">無聊猿猴IG帳號遭駭，駭客盜走粉絲近3百萬美元的NFT</span></a></strong></h3> <p>非同質化代幣（NFT）吸引許多人投資的同時，也屢屢遭到駭客覬覦，例如，藝人周杰倫的無聊猿猴NFT於4月初遭竊，<a href="https://www.ithome.com.tw/news/150516#rarible-jaychou">駭客很可能利用了NFT市集Rarible的漏洞攻擊得逞</a>，而這次則是鎖定官方社群網站帳號下手。無聊猿猴遊艇俱樂部（BAYC）於4月25日發布警告，指出他們的Instagram帳號遭到駭客挾持，駭客假借BAYC的名義發布詐騙網址，偷走了91個NFT，價值逾280萬美元。值得留意的是，BAYC已採用雙因素驗證機制，究竟駭客如何取得他們的Instagram帳號控制權？仍有待進一步調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/lemonduck-botnet-targets-docker-for-cryptomining-operations/"><span style="color: rgb(0, 0, 0);">殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</span></a></strong></h3> <p>駭客鎖定配置不當的雲端服務環境下手，發動攻擊的情況，<a href="https://www.ithome.com.tw/news/150572#teamtnt">我們先前於22日報導殭屍網路TeamTNT鎖定AWS、阿里雲的事故</a>，但最近又有其他駭客組織跟進。資安業者CrowdStrike指出，他們發現原本針對Exchange伺服器下手的殭屍網路LemonDuck，近期將攻擊目標開始轉向Docker上的Linux環境。駭客藉由曝露的Docker API，執行惡意容器，進而取得偽裝成PNG圖檔的Bash程式碼檔案，此程式碼檔案會刪除crond、sshd、syslog等處理程序，以及入侵指標（IoC）路徑，並停用阿里雲的監控服務，同時也會清除其他對手的挖礦工具，切斷與C2中繼站的連線。</p> <p>此殭屍網路病毒在執行上述作業後，才會下載並執行挖礦工具XMRig，並嘗試透過SSH連線的金鑰橫向移動，一旦發現金鑰能夠使用，LemonDuck將會進行橫向感染。研究人員認為，隨著企業採用容器的情況日益普及，未來這類針對雲端的殭屍網路攻擊行動很有可能會越來越氾濫，他們呼籲用戶採取相關防護措施來加強容器安全。</p> <h3><strong style="font-size: 22px;"><a href="https://thedfirreport.com/2022/04/25/quantum-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Quantum僅耗時4小時攻陷受害目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Quantum-Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Quantum-Ransomware.png" style="width: 200px; float: right;" /></a>勒索軟體駭客以迅雷不及掩耳的速度，將受害組織網路的檔案進行加密，而讓IT人員難以招架。資安研究團隊The DFIR Report指出，他們在一起使用勒索軟體Quantum的攻擊事故裡，發現駭客成功入侵後只耗費3小時44分，將受害組織網路內的大部分檔案都予以加密。這些駭客起初利用ISO映像檔散布惡意軟體IcedID，初步入侵目標電腦，然後在2個小時後，將Cobalt Strike注入Windows內建的命令列提示字元（CMD.EXE）處理程序，以規避資安系統的偵測。</p> <p>駭客接下來利用LSASS工具來竊取網域的憑證，進而在內部網路橫向移動，然後，他們繼續與網路內其他伺服器進行RDP連線，駭客一旦完全掌握網域的配置，就開始將C磁碟機設為共用，將勒索軟體酬載複製到所有電腦，並透過WMI或PsExec來散布並觸發勒索軟體病毒。研究人員提供入侵指標（IoC），以及IcedID與Cobalt Strike的C2中繼站IP位址，讓IT人員能加以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/psa-onyx-ransomware-destroys-large-files-instead-of-encrypting-them/"><span style="color: rgb(0, 0, 0);">勒索軟體Onyx鎖定大型檔案進行破壞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Onyx-Ransom-notes.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Onyx-Ransom-notes.png" style="width: 300px; float: right;" /></a>過往勒索軟體攻擊行動中，駭客通常會鎖定檔案較小的檔案進行加密，而略過較大的檔案，但最近有勒索軟體出現新的攻擊手法。資安研究團隊MalwareHunterTeam發現，有一款名為Onyx的勒索軟體，依據檔案大小之分，而採取加密與破壞的兩面策略，近期被用於攻擊行動，駭客宣稱已有6個組織受害。</p> <p>研究人員針對此勒索軟體進行分析發現，Onyx會將小於200 MB的檔案加密，而對於大型的檔案，則是寫入隨機資料來進行破壞，換言之，即使受害組織向駭客支付贖金取得解密工具，只能將小於200 MB的檔案復原。研究人員呼籲，受害者不要向駭客低頭，因為就算想要付錢了事，還是很有可能無法復原所有的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/rio-de-janeiro-finance-department-hit-with-lockbit-ransomware/"><span style="color: rgb(0, 0, 0);">巴西里約財政部遭勒索軟體LockBit攻擊 </span></a></strong></h3> <p>勒索軟體針對南美洲金融中心下手，要脅當地政府機關付錢。根據Recorded Future的報導，巴西里約熱內盧財政部於4月21日遭到勒索軟體LockBit攻擊，該單位於22日證實遭到勒索軟體攻擊，對方要求支付贖金，以換取駭客不公開竊得的資料。巴西里約熱內盧財政部發言人聲稱，對方偷到的資料僅占秘書處的0.05%，但沒有提及這些資料的機密層級。勒索軟體駭客組織LockBit宣稱本次攻擊行動約竊得420 GB資料，要脅對方若是沒有依照指示進行後續處理，將於4月25日公布這些資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/french-hospital-group-disconnects-internet-after-hackers-steal-data/"><span style="color: rgb(0, 0, 0);">法國醫院遭網路攻擊，近30 GB內部資料疑似流入地下市集</span></a></strong></h3> <p>法國醫療集團GHT Coeur Grand Est於4月25日指出，他們在19日遭到網路攻擊，導致位於維特里勒弗朗索瓦、聖迪濟耶的分院受到影響，該集團為了避免災害擴大，將GHT總部與醫院之間的網路連線暫時切斷，使得線上預約等服務無法使用。該集團表示，駭客疑似設法盜取他們的內部資料，這些資料很有可能會被其他駭客散布。</p> <p>資安新聞網站Bleeping Computer發現，地下市集網站Industrial Spy疑似出現該集團遭竊的資料，共有28.7 GB。賣家宣稱他們偷到的資料內容，主要是病人的個資，包含了社會安全號碼、護照掃描檔案、電子郵件、電話號碼、付款的銀行帳號資料等，他們因向院方索討130萬美元未果，而決定兜售這些資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.livemint.com/technology/cyberattacks-rise-at-oil-firms-as-hackers-step-up-their-game-11650649127129.html"><span style="color: rgb(0, 0, 0);">駭客近半年來針對印度石油公司攻擊逾36萬次</span></a></strong></h3> <p>印度國有的石油公司Oil India傳出於4月13日遭到攻擊，位於阿薩姆工廠的IT系統遭到鎖定，當地媒體報導駭客索討750萬美元的贖金。但根據當地非營利資安組織Cyberpeace Foundation的調查，駭客針對該公司下手的情況相當頻繁，從2021年10月至今年4月12日，他們偵測到近36萬次的攻擊行動，其中，攻擊行動有約三分之一出現在去年10月，為11.7萬次。</p> <p>這項研究也顯示，駭客鎖定印度關鍵基礎設施的網路攻擊越來越多，尤其是對於石油產業的網路釣魚最為顯著。雖然該組織並未說明攻擊來源，但根據研究人員發現的JavaScript程式碼疑似來自百度網域，中國駭客很有可能參與相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/04/21/prynt-stealer-a-new-info-stealer-performing-clipper-and-keylogger-activities/"><span style="color: rgb(0, 0, 0);">竊密軟體Prynt Stealer不只會偷取瀏覽器資料與加密錢包，連遊戲平臺帳號也不放過</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-Details-from-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Details-from-Telegram.png" style="width: 300px; float: right;" /></a>竊密軟體具備的功能越來越複雜，甚至還搜刮受害電腦裡的遊戲帳號來獲利。資安業者Cyble最近揭露名為Prynt Stealer的竊密軟體，開發者以每月收取100美元的價格提供給駭客使用。這個竊密軟體可為攻擊者偷取受害電腦的文件、資料庫、程式原始碼等資料（檔案大小不超過5120位元組的檔案）。再者，該竊密軟體也能挖掘瀏覽器、即時通訊軟體、VPN連線程式、加密貨幣錢包、遊戲平臺的組態，以挾持受害者的各式帳號來牟利。此外，Prynt Stealer也具備在受害者想要進行加密貨幣交易時，竄改轉帳的錢包位址，而能將受害者的加密貨幣移轉到駭客的錢包。</p> <h3><strong style="font-size: 22px;"><a href="https://tw.appledaily.com/life/20220426/KVUUKSFXO5AN5G7OQNCJAMVHQA/"><span style="color: rgb(0, 0, 0);">北市線上教學平臺酷課雲遭DDoS攻擊而停擺</span></a></strong></h3> <p>近期臺灣Omicron疫情爆發，臺北市是重災區，許多學生和老師在隔離的狀況下必須仰賴線上授課，卻傳出相關平臺遭到DDoS攻擊而停擺。臺北市線上教學平臺酷課雲約於4月25日下午1時5分，疑似出現大量登入連線導致該系統中斷服務1個小時，<a href="https://www.doe.gov.taipei/News_Content.aspx?n=0F560782595DACFC&sms=72544237BBE4C5F6&s=529CE07A4A3ACEA2">臺北市政府教育局先是發出公告指出</a>，很可能是負責維運的業者臺灣智園的資源自動調度失靈所致，經廠商搶修後，該系統已於當日下午2時30分恢復正常，此起事故影響範圍為課堂點名與作業繳交，直播授課不受影響。</p> <p>隔日，臺北市政府於防疫記者會針對此事做出進一步說明，指出此起事故是來自國外IP位址的DDoS攻擊，該系統處理1萬次請求而導系統癱瘓，截至26日下午的記者會之前，這樣的攻擊行動已出現4起。臺北市政府指出，他們正在升級酷課雲的資安防護系統，希望能夠讓學生和老師能正常上課。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/npm-package-planting"><span style="color: rgb(0, 0, 0);">NPM弱點可讓駭客為套件任意新增維護者，嫁禍他人</span></a></strong></h3> <p>套件管理平臺允許開發者在不經他人的同意下，將別人列為套件的維護者，使得這些人有可能在不知情的情況下，成為惡意專案的「經營者」。資安業者Aqua Security揭露NPM套件市集中，名為Package Planting的弱點，這項漏洞的問題在於，NPM允許原本的套件開發者，擅自增列其他的開發人員為套件的維護者，一旦駭客利用這樣的機制缺陷，就可以先上架惡意NPM套件，然後將知名的套件開發人員並列為維護者，自己再退出。</p> <p>如此一來，該惡意套件看起來就像是由上述被加入的開發者所推出，但他們毫不知情，而有可能在這樣的情況下，讓用戶認為是由不知情的開發者所為，影響開發社群之間的信賴。NPM獲報後已著手修補上述的平臺缺陷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cysrc.com/blog/virus-total-blog/"><span style="color: rgb(0, 0, 0);">惡意軟體檢測平臺VirusTotal出現RCE漏洞</span></a></strong></h3> <p>提供檢測惡意軟體的系統一旦出現漏洞，攻擊者很有可能用來操控掃描結果。資安業者Cysource指出，他們於去年發現知名的惡意軟體檢測平臺VirusTotal裡，存在漏洞CVE-2021-22204，起因與該系統採用的ExifTool元件，處理DjVu檔案不當有關，CVSS風險層級為7.8分。一旦駭客利用這項漏洞，就有可能藉此發動RCE攻擊，進而取得該平臺掃描的結果。Google獲報後於今年1月13日予以修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.rezilion.com/log4shell-4-months-later/"><span style="color: rgb(0, 0, 0);">仍有大量用戶使用存在Log4Shell漏洞的Log4j</span></a></strong></h3> <p>去年12月公布的Java日誌框架Log4j重大漏洞Log4Shell，事隔4個月後是否都已完成修補？有資安業者透露現況。資安業者Rezilion近日提出警告，根據多家資安業者的統計資料，仍有不少環境使用存在上述漏洞的Log4j。研究人員指出，根據Sonatype的統計，截至4月底仍有近4成使用者下載存在相關漏洞的Log4j；對於實際利用Log4j的應用系統面臨漏洞風險的情況，研究人員利用物聯網搜尋引擎Shodan，找到超過9萬個疑似存在相關漏洞的應用系統，以及6.8萬臺Minecraft伺服器。</p> <p>而相依Log4j的開源軟體尚未修補的情況似乎更為嚴重，根據Google的Open Source Insights服務，依賴該軟體的17,840個開源專案，只有7,140個採用已修補漏洞的Log4j，換言之，仍有6成專案曝露於Log4Shell的危險之中。研究人員表示，光是Apache基金會旗下的軟體專案，就出現修補該漏洞相當緩慢的現象，例如，Storm、SkyWalking OAP都是在今年4月才完成修補，而Solr、Ozone目前仍使用存在漏洞的Log4j 2.16版。研究人員認為，前述Log4j存在於許多軟體的情況，導致IT人員難以盤點，甚至組織很可能不清楚那些系統有使用這套日誌系統，而沒有打算採取相關緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/zero-days-exploited-2021"><span style="color: rgb(0, 0, 0);">駭客偏好微軟、蘋果、Google產品的零時差漏洞</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150544#zerodays">Google威脅分析小組（TAG）於4月19日，公布他們對於去年零時差漏洞的觀察</a>，2天之後，<a href="https://www.ithome.com.tw/news/149768">在3月併入Google Cloud旗下的資安業者Mandiant</a>也提出他們的看法，且內容更為詳細。Mandiant於4月21日，揭露2021年零時差漏洞遭到利用的情形，指出去年出現了80個這類漏洞，這樣的情況較2020年的30個多出超過一倍，也是最近10年來最多零時差漏洞被利用的一年，研究人員認為與行動裝置、物聯網裝置、雲端服務運用大幅增加，很可能是其中重要的因素。而對於利用這些漏洞的攻擊者類型，研究人員指出，最主要仍是中國政府支持的駭客組織，但像勒索軟體駭客等出於經濟利益發動攻擊的人士，他們利用相關漏洞的比例也有顯著增加，到了去年接近占三分之一。從駭客鎖定的零時差漏洞軟體廠牌來看，他們偏好對微軟、蘋果、Google的產品下手。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.morphisec.com/vmware-identity-manager-attack-backdoor"><span style="color: rgb(0, 0, 0);">又有駭客鎖定4月初VMware公布身分驗證系統的漏洞，發動惡意軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT35-CVE-2022-22954.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT35-CVE-2022-22954.png" style="width: 300px; float: right;" /></a>VMware在4月6日針對旗下的Workspace ONE Access、Identity Manager等解決方案，發布漏洞修補程式，<a href="https://www.ithome.com.tw/news/150450#CVE-2022-22954">先前已有重大漏洞被用於散布Linux惡意軟體</a>，但最近有資安業者指出，APT駭客也開始利用這些漏洞發動攻擊。資安業者Morphisec指出，他們在4月11日，看到有人公布CVE-2022-22954的概念性驗證（PoC）攻擊程式後，伊朗駭客組織APT35（亦稱Rocket Kitten），也開始利用相關漏洞發動攻擊。</p> <p>這些駭客先於存在弱點的VMware Identity Manager執行PowerShell命令，從C2伺服器下載惡意程式載入器PowerTrash，並將滲透測試工具Core Impact載入記憶體內執行。在攻擊的過程中，駭客不只運用CVE-2022-22954，也利用了另外兩個需要管理者權限的RCE漏洞CVE-2022-22957、CVE-2022-22958。研究人員針對C2伺服器進行調查，疑似與主機代管業者Stark Industries有關，但該主機代管業者的母公司PQ Hosting SRL表示，他們的子公司沒有參與相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/04/26/microsoft-finds-new-elevation-of-privilege-linux-vulnerability-nimbuspwn/"><span style="color: rgb(0, 0, 0);">Linux弱點Nimbuspwn可被攻擊者用於提升權限</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Our-exploit-implemented-and-winning-the-TOCTOU-race.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Our-exploit-implemented-and-winning-the-TOCTOU-race.png" style="width: 300px; float: right;" /></a>隨著Linux在企業運用越來越廣泛，這類作業系統的元件漏洞，也引起資安人員的重視。微軟揭露名為Nimbuspwn的一組漏洞，當中包含了CVE-2022-29799、CVE-2022-29800兩個漏洞，一旦被攻擊者串連利用，就有機會藉此取得受害主機上的root權限。</p> <p>研究人員指出，Nimbuspwn與Linux主機發出連線狀態有關，存在於networkd-dispatcher套件裡面。這些漏洞涉及目錄遊走（Directory Traversal）、符號連結競爭（Symlink Race），以及查核與使用時間的競爭條件（Time-of-Check-Time-of-Use Race Condition），而能夠讓駭客擴張權限，進而部署惡意程式或是進行其他攻擊行為。networkd-dispatcher維護者Clayton Craft獲報後已修補上述漏洞，IT人員應儘進安裝新版軟體修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-12"><span style="color: rgb(0, 0, 0);">威聯通呼籲用戶停用AFP通訊協定，避免NAS遭到Netatalk元件的漏洞波及</span></a></strong></h3> <p>在Linux檔案伺服器上，有個能夠支援蘋果電腦存取的通訊元件Netatalk，相當有名，不過，在Pwn2Own 2021，研究人員找到重大漏洞，最近也有NAS業者為此提出警告。威聯通於4月25日發布資安通告指出，該公司NAS設備用來支援macOS作業系統存取的Netatalk元件，存在CVE-2021-31439、CVE-2022-23121、CVE-2022-23123、CVE-2022-23122、CVE-2022-23125、CVE-2022-23124、CVE-2022-0194等多項漏洞，當中有數個漏洞CVSS風險層級達到9.8分。該公司已針對QTS作業系統發布4.5.4.2012版（組建編號20220419）予以修補，並呼籲尚未安裝更新韌體的用戶，應暫時停用Apple Filing Protocol（AFP）通訊協定來緩解相關風險。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Jira身分驗證繞過漏洞</span></a></strong></h3> <p>IT業者Atlassian於4月20日發布資安通告，該公司旗下的Jira、Jira服務管理伺服器產品的Seraph元件，存在重大漏洞CVE-2022-0540，CVSS風險層級達9.9分，攻擊者一旦利用這項漏洞，就能藉由傳送偽造的HTTP請求到存在弱點的端點電腦，進而繞過身分驗證程序。該漏洞影響Jira Core Server、Software Data Center、Software Server、Service Management Server、Management Data Center，雲端版本則不受影響。該公司隨後於21日、22日再度發出公告，指出部分Atlassian市集提供的附加模組也可能一併受到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/4/14/pwn2own-miami-2022-results"><span style="color: rgb(0, 0, 0);">資安人員在漏洞挖掘競賽Pwn2Own找出工控系統零時差漏洞，抱走40萬美元獎金</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pwn2own-maimi-2022.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pwn2own-maimi-2022.jpg" style="width: 300px; float: right;" /></a>趨勢科技的漏洞懸賞專案團隊Zero Day Initiative（ZDI）於4月19日至21日，在美國邁阿密舉行Pwn2Own Miami for 2022漏洞挖掘競賽，這次的主題是工業控制系統（ICS），參賽者總共找出26個零時差漏洞，ZDI發出40萬美元獎勵。本次獲得破解大師（Master of Pwn）桂冠的參賽隊伍，是駭客競賽常客Daan Keuper與Thijs Alkemade所組成的Computest，Daan Keuper向麻省理工科技評論雜誌（MIT Technology Review）表示，工業控制系統是安全較為落後的領域，使得他們較為容易找出漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dhs.gov/news/2022/04/22/hack-dhs-program-successfully-concludes-first-bug-bounty-program"><span style="color: rgb(0, 0, 0);">美國國土安全部漏洞懸賞專案Hack DHS總共找出122個漏洞</span></a></strong></h3> <p>美國國土安全部（DHS）於去年12月發起了Hack DHS漏洞懸賞專案，邀及資安專家找尋該單位系統的安全漏洞，他們於4月22日公布第一階段的執行成果。該單位總共邀請了超過450名研究人員參與抓漏，目前找出122漏洞，其中有27個為重大漏洞。該單位亦發出12.56萬美元獎金。DHS並未透露相關漏洞的細節，但強調此項漏洞懸賞專案將能維護該國網路與基礎設施的資訊安全，並為聯邦機構帶來示範的作用。</p> <p> </p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.tenable.com/press-releases/Tenable-Agrees-To-Acquire-Bit-Discovery"><span style="color: rgb(0, 0, 0);">漏洞管理解決方案業者Tenable買下外部攻擊面管理廠商Bit Discovery</span></a></strong></h3> <p>提供漏洞管理解決方案的資安業者Tenable於4月26日宣布，他們買下了名為Bit Discovery的外部攻擊面管理（External Attack Surface Management，EASM）廠商。Bit Discovery所提供的EASM解決方案，可協助組織了解面向網際網路的應用系統、API，當中可能會被駭客鎖定的弱點。</p> <p>Tenable將會結合旗下的弱點管理解決方案，以及Bit Discovery的EASM技術，讓客戶能更為擁有全面地了解組織內外環境所曝露的資安風險，進而及早進行處置。Tenable將以4,450萬美元買下Bit Discovery，並預計於今年第二季完成併購作業。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sophos.com/en-us/press-office/press-releases/2022/04/sophos-acquires-socos"><span style="color: rgb(0, 0, 0);">資安業者Sophos併購新創公司SOC.OS</span></a></strong></h3> <p>資安業者Sophos於4月22日宣布，該公司將買下英國新創公司SOC.OS，此公司以雲端服務的型式，提供安全警示調查及自動化解析服務。Sophos在完成併購之後，將借助SOC.OS的技術，為不同規模的組織提供威脅回應代管（Managed Threat Response，MTR）服務、全面偵測與回應（XDR）解決方案，並強化其自動適應的網路安全生態系統（Adaptive Cybersecurity Ecosystem），讓Sophos的MTR、XDR產品能無縫與客戶現有的IT系統進行整合。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.youtube.com/watch?v=1Kyr-wyPyuU"><span style="color: rgb(0, 0, 0);">因應資安成公司治理重要指標，14家上市櫃公司共同發起「臺灣資安主管聯盟」</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TW-CISO-alliance_20220428-1713-20135.jpg" style="width: 300px; float: right;" />「臺灣資安主管聯盟（簡稱臺灣CISO聯盟）」今天宣布正式成立，首任聯盟會長由華碩集團資安長金慶柏擔任。這個聯盟由國內14家企業所共同發起，包括華碩、富邦金、欣興電子、台達電、新光保全、欣銓科技、聯華電子、元大金、玉山銀行、康和證券、國泰世華、台新銀行、遠傳電信，以及友達光電，希望日後能招募更多會員加入，提升臺灣產業資安韌性。</p> <p>金慶柏指出，臺灣資安主管聯盟將聚焦於4大目標：第一，資安主管核心能力養成；第二，專業資安人才培訓整備；第三，資安產業服務能量鏈結；第四，資安治理合規制度建立。同時，該聯盟已針對未來3年提出工作重點藍圖，希望分三階段逐步強化企業防護架構。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150654"><span style="color: rgb(0, 0, 0);">美國懸賞千萬美元追捕Sandworm駭客</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/reward-10m.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/reward-10m.jpg" style="width: 300px; float: right;" /></a>針對近期大肆發動網路攻擊的俄羅斯駭客組織Sandworm，美國國務院於4月27日祭出正義懸賞專案（Rewards for Justice，RFJ），目標是該組織旗下的6名駭客。起因疑似是這些駭客屢屢替俄羅斯政府攻擊美國的關鍵基礎設施（CI）。美國祭出1,000萬美元高額獎金，希望線民能提供相關情報，讓他們能早日將這些駭客逮捕到案。</p> </div></div></div>
2022/5/1 01:11作者周峻佑https://www.ithome.com.tw/news/150703
如何替加密貨幣訂出價值
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-shu_zhai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">三采文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果代幣可以索取標的資產（例如一盎司黃金），這些代幣的價格應該或多或少會跟著標的資產走。但是加密貨幣並非索取資產的代幣，背後也沒有支撐的機構。有沒有一種方法，能計算出加密貨幣的合理價值呢？</p> <p>我們可以提出三個獨立問題：</p> <p>一、加密資產的當前價格為何？</p> <p>二、是什麼因素影響價格變化？</p> <p>三、價格應該是多少？</p> <p>＠小標：加密資產的當前價格為何？</p> <p>資產的當前價格取決於市場。加密資產會在一至多間交易所交易，每間交易所的價格和流動性可能不一樣。公告交易量最大的幾間交易所是判斷價格的好地方，因為這些交易所的交易最熱絡，流動性應該最高。在其他交易所，價格可能較高，也可能較低。</p> <p>有許多網站會提供代幣當前價格和掛牌交易所的資料，coinmar-ketcap.com 是其中一個網站。進入coinmarketcap.com 以後，先點選代幣名稱，再點選「市場」，你會看到代幣在哪些地方交易，以及交易所公告的交易量。注意，有些交易所曾經被抓到用假造的交易量吸引生意上門，我不確定這種做法是否已經絕跡……要小心！</p> <p>＠小標：是什麼因素影響價格變化？</p> <p>加密貨幣與代幣價格像其他金融資產一樣會波動，因為買方和賣方的交易決定會受許多因素影響：</p> <p>一、心情──交易者對資產的感覺。</p> <p>二、論壇和社群媒體網站上的流言和聊天內容。</p> <p>三、技術進展──例如：區塊鏈成功執行技術升級，進而提升實用性，或是ICO達成藍圖上的進度。</p> <p>四、技術失敗──例如：交易速度趨緩，或是區塊鏈運作過程出現漏洞。</p> <p>五、名人加持──例如：芭黎絲．希爾頓（Paris Hilton）在二○一七年九月替LydianCoin 背書，或是約翰．麥克菲（John Mcafee）偶爾會在推特上宣傳加密貨幣。</p> <p>六、創辦人被逮捕──例如：Centra 代幣創辦人在美國被逮捕，代幣價格下跌六成。</p> <p>七、精心策劃的拉高倒貨手法──一群人先說好一起買進一種貨幣拉抬價格，說服別人跳進來用較高的價格入手，接著將貨幣賣給沒有警覺心的新買家。</p> <p>八、被持有特定代幣的大戶操弄。</p> <p>＠小標：價格應該是多少？</p> <p>有一些人嘗試建立模型，希望能藉此算出加密貨幣和代幣的合理價格。其中有一種常見（但有瑕疵）的模型是用「黃金有多少金錢價值流入比特幣」，來估算比特幣的價值：「若黃金（或其他類資產）的金錢價值有x% 流入比特幣，則一顆比特幣的價值等於$y。」</p> <p>論點如下：在市面上流通的黃金總金額大約為八兆美元。若一小部分的黃金持有者，假設有百分之五（其實○到百分之百，任何數字都行），出售黃金換美元，就會釋出大量金錢（在這裡是四千億美元）。若這些美元被用來購買比特幣，在市面流通的比特幣總金額――通常稱為市值（英文為market capitalisation 或market cap）──會同樣增加四千億美元。我們知道，在市面流通的比特幣約一千七百萬顆，算下來每一顆比特幣的價值增加兩萬三千五百美元（四千億除以一千七百萬顆）。</p> <p>但邏輯錯了，金融市場完全不是那樣運作。「流入比特幣的金錢」不會直接轉換成比特幣的「市值」，理由很簡單：你購買一萬美元的比特幣，就會有別人賣出一萬美元的比特幣，因此「流入」金額正好等於「流出」金額（為了簡單化，這裡並不考慮交易手續費）。</p> <p>你購入比特幣時唯一發生的事，就是比特幣的所有權易主和某些現金的所有權易主。你花多少錢向別人買比特幣和比特幣的市值，兩者之間不具數學關聯性。</p> <p>要替ICO代幣訂價，應該比較容易吧。這類代幣將來可交換特定商品或服務，所以只要釐清商品或服務的價值，應該就能替代幣訂出價格了，對吧？</p> <p>糟糕，事情永遠沒那麼簡單。發行代幣的ICO計畫會希望代幣價格上漲，投資人也抱持這樣的心理。所以贖回方案永遠描述得很籠統，方案裡不會把數量講明。舉個例子，他們會說：「你將來可以用代幣存取雲端儲存服務。」不會說：「一枚代幣可讓你使用一百億位元組（10 GB）的雲端儲存空間一年，時間從二○二○年起算。」</p> <p>＠小標：功能型代幣的價格由誰掌控？</p> <p>關於這個問題，我們似乎不需多想，就能給出「市場」或「買賣雙方」的答案，但既然發行人可以動點手腳去影響代幣價值，那就表示，這麼回答無法刻劃事情的全貌。</p> <p>代幣可購買的商品或服務數量在ICO初期不會講明，因此代幣價格會受到一般的加密貨幣市場力量影響，而且此時我們無法對合理市場價格進行基本分析（缺少「雲端儲存空間」的容量和使用時間，你無法訂價）。有些ICO計畫會在這段期間對自家代幣的價格施加影響，透過購入代幣的方式在下跌時拉抬價格。有些ICO計畫甚至會在白皮書提及這項策略。ICO計畫通常會保留一定數量的代幣，以便在價格拉抬得太誇張時出售一些。基本上，他們就像自家代幣的中央銀行，會出手操控代幣價格。</p> <p>之後，來到某個時間點，計畫必須決定：要用法幣或代幣訂價？是一百億位元組（10 GB）的雲端儲存空間使用一年支付十美元，可依市場匯率，透過代幣支付？還是一百億位元組（10 GB）的雲端儲存空間，一年支付一枚代幣？</p> <p>讓我們來分析一下這兩種選項。</p> <p>＠粗體：以法幣訂價，代幣支付</p> <p>採用這種算法，你的第一個念頭應該是代幣價格無關緊要。客戶持有的是法幣，當他們要使用服務時，會買進代幣並立刻兌換服務。由於過程可以自動進行，所以客戶不會知道背後還有這道程序。</p> <p>抱持這樣的論點，就好比比特幣匯款公司主張，公司的業務與比特幣價格並無關聯。</p> <p>如果是這樣，代幣是好的投資工具嗎？或許是。代幣持有者向發行人兌換商品或服務，只要計畫發起者沒有重新發行代幣，也沒有用代幣兌換法幣，去支付員工薪資，那麼在外流通的代幣就會愈來愈少。數量減少可能會使代幣稀有，拉高代幣價格。若計畫的財務體質良好（不以轉售贖回代幣來償付成本），代幣會隨時間的推移愈來愈稀有，有機會進一步推升代幣價格。或許是這樣，但財務體質差勁的計畫必須不斷轉售代幣來彌補成本。所以實際上，公司的財務健康會對代幣的價格產生壓力。</p> <p>＠粗體：以代幣訂價，代幣支付</p> <p>這就太棒了：如果公司以代幣來替商品或服務訂價，公司就能掌控代幣的價值，就像航空公司掌控自家航班的飛航里程價值。怎麼說呢？除了獨一無二的產品或服務，客戶都會對自己願意為產品或服務付出多少錢，或多或少有一些概念。想像一下，有一個競爭者以十美元販售類似產品。如果計畫發起者希望代幣有十美元價值，就會將產品訂價設為一枚代幣；如果他們希望代幣有二十美元的價值，就會將產品訂價設為零點五枚代幣！競爭者的價格可幫助發起者為代幣訂立價格，只要產品之間或多或少可以替代，計畫發起者就能隨意掌控自家代幣的價值。不過他們應該要了解，這麼做會影響計畫的負債。在外流通的代幣是計畫的負債，產品價格從一枚代幣變成零點五枚代幣，現有代幣持有者可兌換的產品數量就會翻倍。</p> <p>當公司決定用代幣替產品訂價，此時代幣是一種好的投資工具嗎？可能是吧。在計畫創辦人無法快速退場的前提下，由於創辦人手中也持有代幣，所以他們有讓代幣價格保持在高檔和相對穩定位階的金錢誘因。</p> <p>可知用代幣來替服務訂價，計畫發起者更能掌控代幣的價格。我預估，只要計畫沒有先因為違反證券法規而被關閉，我們就會看見，逐漸邁向成熟的計畫開始用代幣來訂價。安舒曼．梅塔（Anshuman Mehta）曾經嘗試在自己的部落格上，替虛構的功能性代幣訂價，他的結論是：「在法幣的世界裡，代幣的市場或代幣交易價格，與代幣的用途和流通速度完全脫鉤。」（本文節錄自《加密貨幣聖經》，三采文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E6%9B%B8%E6%91%98-350.png" style="width: 308px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三采文化</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>加密貨幣聖經：數位貨幣、數位資產、加密交易與區塊鏈的過去與未來</strong></p> <p>安東尼．路易斯（Antony Lewis）／著；趙盛慈／譯</p> <p>三采文化出版</p> <p>定價：650元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>東尼．路易斯（Antony Lewis）</strong></p> <p>二○○七年在巴克萊資本公司擔任即期外匯交易員，隨後分別於瑞士信貸倫敦分行和新加坡分行擔任技術專家。二○一三年，加入一間名為itBit的小型新創公司。二○一五年，離開itBit為客戶提供私人顧問服務，並且撰寫文章、經營工作坊，向好奇的專業人士解釋這項新技術。二○一六年，加入R3組織擔任研究總監。</p> </div></div></div>
2022/4/30 03:12未署名https://www.ithome.com.tw/article/150702
加速運算可望成為企業IT必備新技術
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">為了因應各種新興的技術應用需求，長期以來，硬體運算平臺肩負著如何提供高效能執行環境的重擔，因此，往往會透過中央處理器搭配輔助運算晶片式，或是由中央處理器本身新增多種指令集，來擴充本身的運算能力，如今隨著各種加速運算晶片的蓬勃發展，使得透過硬體來擴充運算加速能力的方法越來越多元，簡而言之，一種是透過升級新款功能更強大的處理器，一種是搭配各種專屬加速運算晶片。</p> <p dir="ltr">以中央處理器（CPU）而言，在32位元x86運算崛起之初，曾出現搭配浮點運算器（FPU）的方式，例如，在80386處理器時代，用戶若需要大量浮點運算，需選購同時搭配80387晶片的電腦，到了80486，處理器已內建浮點運算器。在英特爾Pentium與AMD Athlon等處理器推出之後，開始內建MMX、3DNow!等SIMD指令集，之後兩大廠商在其處理器陸續加入多種指令集延伸，像是：SSE、SSE2、SSE3、SSE4，以及近期我們較為熟悉的AVX、AVX2、AVX512，強化多媒體資訊與向量處理能力。</p> <p dir="ltr">而在伺服器與嵌入式設備領域的處理器當中，隨著企業與雲端服務對於虛擬化技術應用需求大增，x86處理器開始內建相關的指令集，例如英特爾VT-X系列、AMD-V；針對熱門的AI深度學習運算負載，英特爾也從第二代Xeon Scalable處理器起，開始內建DL Boost指令集；在安全性的處理上，英特爾提供AES-NI、SGX等指令集與技術架構，並且可透過晶片組的搭配，支援TXT保護與QAT卸載等功能的執行。</p> <p dir="ltr">除了中央處理器的不斷進化，繪圖處理器（GPU）相關的軟硬體技術與應用形式，這些年來也屢屢突破既有藩籬，開闢出一片新的天地。在這部分取得最多進展的廠商，是以GPU起家的Nvidia，從持續支援影視電玩的視覺特效、各種專業平面圖像與多媒體內容的處理，到積極發展豐富的企業GPU虛擬化應用，以至近年來乘勢而起，談起大數據、機器學習、雲端服務、自動駕駛車輛、高效能運算等舉世關注的IT技術浪潮，甚至是今年最夯的Metaverse，所有使用者都能體驗到GPU的威力，理解這種運算技術正以不同形式的實例展現價值，並在產、官、學等各種領域，看到GPU在視覺運算、平行處理等應用發揮特有的競爭優勢。</p> <p dir="ltr">而這樣的成果，或許也反映在該公司每年固定舉行的GPU技術大會，例如，2021年春、秋兩場報名參加人數都達數十萬之譜，今年3月底舉行的GTC春季大會，距離現在才短短一個月，執行長黃仁勳演講YouTube影片觀看次數卻已超過1千萬，其受關注程度與影響力可見一斑。</p> <p dir="ltr">而在成熟發展的CPU，以及廣泛用於越來越多領域的GPU，資料處理器（DPU）可望成為下一個關鍵運算技術。然而，DPU目前並沒有很明確的定義，目前可涵蓋網路、儲存，以及特定類型工作負載的卸載／加速。</p> <p dir="ltr">DPU這幾年躍上檯面，主要是因為特定廠商積極推動──Nvidia在2020年上半完成併購Mellanox，下半年開始主推DPU，經過一年半發展，持續拓展應用，並以資料中心單晶片架構（Data Center-on-a-Chip Architecture，DOCA）為名，推出軟體開發套件，也陸續和伺服器虛擬化平臺軟體廠商VMware，以及容器即服務平臺廠商Red Hat，展開合作。</p> <p dir="ltr">而在DPU市場生態系發展上，Nvidia將旗下SmartNIC與DPU產品納入認證系統條件，他們與VMware、Red Hat推動的AI Enterprise整合軟體平臺，也將這個認證系統納入必備條件，因此，這無形中也等於增加企業採用DPU的新動能。</p> <p dir="ltr">除了借助企業建置AI環境而順勢拓展DPU的市場，另一股力量則是來自於系統軟體平臺的大力支持，目前，以VMware在2020年9月推動的Project Monterey最受矚目，因為這當中參與的硬體晶片廠商，不僅是Nvidia，還有兩家公司投入發展，一是英特爾，他們在伺服器網路介面的市占最大，並握有FPGA與ASIC加速、可程式化網路交換器等技術，另一是後起之秀Pensando，他們主打SmartNIC與分散式服務介面卡（DSC）的解決方案。</p> <p dir="ltr">第三股DPU市場動能，則是伺服器處理器廠商的布局。今年2月AMD完成全球第一大FPGA廠商Xilinx的併購，無疑是劍指DPU；再加上英特爾去年宣示推出基礎架構處理器（IPU）產品，並揭露代號為Mount Evans的ASIC架構IPU技術規格，可望再度掀起新一波話題。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8A%A0%E9%80%9F%E9%81%8B%E7%AE%97">加速運算</a></div><div class="field-item odd"><a href="/tags/dpu">DPU</a></div><div class="field-item even"><a href="/tags/amd">AMD</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/%E8%8B%B1%E7%89%B9%E7%88%BE">英特爾</a></div><div class="field-item odd"><a href="/tags/pensando">Pensando</a></div></div></div>
2022/4/30 01:50作者李宗翰https://www.ithome.com.tw/voice/150679
【資安日報】2022年4月29日，駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞中，有一起駭客發動大規模DDoS攻擊的事故相當值得留意。因為，這起事故駭客特別使用了HTTPS流量出手，而可能讓相關業者可能難以察覺是否挾帶惡意內容。有研究人員懷疑，這起攻擊行動與惡名昭彰的殭屍網路Emotet有關。</p> <p>日前知名NPM開發者遭到冒用上架惡意套件的事故，已發生數起。這樣的現象很有可能與最近資安業者公布NPM市集的一項弱點有關，因為，這項弱點可讓駭客將惡意套件嫁禍給知名開發者，進而引誘用戶上當。</p> <p>勒索軟體駭客組織Conti的動態，近期也有研究人員揭露新的發現，Conti很可能重組名為Black Besta的駭客組織，並改用新的惡意軟體Bumblebee來投放勒索軟體。後續該組織的發展將有待觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/15m-rps-ddos-attack/"><span style="color: rgb(0, 0, 0);">駭客發動大規模的HTTPS加密流量DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Emotet-HTTPS-1109-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Emotet-HTTPS-1109-2.png" style="width: 300px; float: right;" /></a>駭客發動分散式阻斷服務（DDoS）攻擊的手法，從原本企圖消耗受害網站的頻寬，現在改以發送大量垃圾請求，進而耗盡伺服器的處理器和記憶體等運算來癱瘓網站的運作。雲端服務業者Cloudflare於4月27日指出，他們在本月初緩解大規模的HTTPS流量攻擊，駭客從全世界112個國家、約6千個殭屍網路機器人（Bot），發動每秒1,530萬次請求（RPS）的DDoS攻擊行動，目標是加密貨幣業者。</p> <p>值得留意的是，有別於過往駭客普遍使用未加密的HTTP流量，這次駭客以加密的HTTPS流量發動攻擊，所需要資源較未加密流量要來得多，但這麼做的目的為何？Cloudflare沒有進一步說明，<a href="https://therecord.media/cloudflare-detects-one-of-the-largest-ddos-attacks-on-record-targeting-crypto-platform/">而資安業者Recorded Future懷疑，這起DDoS攻擊可能與殭屍網路Emotet有關</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-black-basta-ransomware-springs-into-action-with-a-dozen-breaches/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta很有可能是Conti另起爐灶</span></a></strong></h3> <p>名為Black Basta的勒索軟體駭客組織在4月開始發動攻擊，至少已有12個組織遭到入侵，包含德國風力發電維運業者德維特（Deutsche Windtechnik）、美國牙醫協會（ADA）疑似都是受害者，但研究人員發現，Black Basta很有可能就是原本的Conti。</p> <p>根據資安研究團隊MalwareHunterTeam的調查，他們發現Black Basta、Conti的勒索軟體有所不同，但兩個組織有許多共通之處，例如，洩露受害者資料的網站、付贖金的網站極為相似，以及協助受害者向駭客付款的「客服」說話方式、處理手法也幾乎一樣，因此研究人員推測，Black Basta很有可能就是Conti駭客因日前內部資料外洩後，更換名稱再重新開張，以逃避司法單位的調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/bumblebee-is-still-transforming"><span style="color: rgb(0, 0, 0);">研究人員揭露Conti新的惡意軟體Bumblebee</span></a></strong></h3> <p>勒索軟體駭客組織Conti在吸收殭屍網路TrickBot的成員後，持續使用TrickBot開發的惡意軟體載入器BazarLoader，但最近兩個月Conti似乎開始改用新的惡意軟體。資安業者Proofpoint指出，他們在今年3月開始，發現至少有TA578、TA579等3個駭客組織，使用惡意軟體Bumblebee發動攻擊，進而在受害組織投放勒索軟體Conti或Diavol。研究人員提及，這次的攻擊行動特徵，與Google自2021年9月開始調查的駭客組織Exotic Lily，後期的手法雷同，因為，Exotic Lily在今年3月開始也使用了Bumblebee。</p> <p>研究人員看到駭客利用Bumblebee投放Cobalt Strike、Meterpreter、Sliver等滲透測試工具，以及Shell Code，他們對此惡意軟體進一步分析後發現，雖然Bumblebee處於開發階段，但駭客已經運用了相當複雜的反組譯手法，來避免被研究人員察覺異狀。而從Bumblebee內有部分TrickBot程式碼，並在近期BazarLoader幾乎沒有再被使用的跡象，研究人員推測，很可能就是相關駭客已經幾乎從BazarLoader轉換到了Bumblebee。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/04/27/hybrid-war-ukraine-russia-cyberattacks/"><span style="color: rgb(0, 0, 0);">從烏克蘭戰爭開戰至今，俄羅斯駭客已攻擊烏克蘭237次</span></a></strong></h3> <p>自烏克蘭戰爭開打以來，俄羅斯駭客對於烏克蘭的網路攻擊也從未間斷，但研究人員發現，駭客攻擊不只相當頻繁，還與武裝攻擊行動互相呼應。微軟近日發布對於俄羅斯駭客對烏克蘭發動攻擊的調查結果，指出在俄烏開戰以來，至少有6個俄羅斯駭客集團對烏克蘭出手，已發動逾237次攻擊行動，當中有約40次屬於破壞性攻擊，且多半鎖定烏克蘭政府或是關鍵基礎設施（CI）。</p> <p>研究人員發現，許多網路攻擊與武裝行動呼應，例如，駭客於3月1日攻擊烏克蘭電視臺，該國軍隊隨後就將飛彈瞄準電視臺；再者，俄羅斯軍隊攻擊馬里烏波爾市（Mariupol）時，駭客也對於當地居民發動釣魚郵件攻擊，散布烏克蘭政府拋棄民眾的消息。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ukraine-targeted-by-ddos-attacks-from-compromised-wordpress-sites/"><span style="color: rgb(0, 0, 0);">WordPress網站再度成為駭客攻擊烏克蘭的工具，被用於感染用戶電腦發動DDoS攻擊</span></a></strong></h3> <p>駭客曾於3月底，在許多WordPress網站植入惡意程式碼，感染用戶的電腦並向烏克蘭發動攻擊，但濫用WordPress網站的類似攻擊行動再度出現。烏克蘭電腦緊急應變小組（CERT-UA）指出，最近有駭客組織UAC-0101鎖定WordPress網站進行破壞，植入名為BrownFlood的惡意JavaScript程式碼，使得瀏覽網站的用戶電腦成為駭客的攻擊工具，對烏克蘭發動DDoS攻擊。CERT-UA指出，至少有36個網站被用於攻擊行動，該單位也提供網站檢測工具，讓IT人員能檢查網站是否被植入惡意程式碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/npm-package-planting"><span style="color: rgb(0, 0, 0);">NPM弱點可讓駭客為套件任意新增維護者，嫁禍他人</span></a></strong></h3> <p>套件管理平臺允許開發者在不經他人的同意下，將別人列為套件的維護者，使得這些人有可能在不知情的情況下，成為惡意專案的「經營者」。資安業者Aqua Security揭露NPM套件市集中，名為Package Planting的弱點，這項漏洞的問題在於，NPM允許原本的套件開發者，擅自增列其他的開發人員為套件的維護者，一旦駭客利用這樣的機制缺陷，就可以先上架惡意NPM套件，然後將知名的套件開發人員並列為維護者，自己再退出。</p> <p>如此一來，該惡意套件看起來就像是由上述被加入的開發者所推出，但他們毫不知情，而有可能在這樣的情況下，讓用戶認為是由不知情的開發者所為，影響開發社群之間的信賴。NPM獲報後已著手修補上述的平臺缺陷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cysrc.com/blog/virus-total-blog/"><span style="color: rgb(0, 0, 0);">惡意軟體檢測平臺VirusTotal出現RCE漏洞</span></a></strong></h3> <p>提供檢測惡意軟體的系統一旦出現漏洞，攻擊者很有可能用來操控掃描結果。資安業者Cysource指出，他們於去年發現知名的惡意軟體檢測平臺VirusTotal裡，存在漏洞CVE-2021-22204，起因與該系統採用的ExifTool元件，處理DjVu檔案不當有關，CVSS風險層級為7.8分。一旦駭客利用這項漏洞，就有可能藉此發動RCE攻擊，進而取得該平臺掃描的結果。Google獲報後於今年1月13日予以修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.rezilion.com/log4shell-4-months-later/"><span style="color: rgb(0, 0, 0);">仍有大量用戶使用存在Log4Shell漏洞的Log4j</span></a></strong></h3> <p>去年12月公布的Java日誌框架Log4j重大漏洞Log4Shell，事隔4個月後是否都已完成修補？有資安業者透露現況。資安業者Rezilion近日提出警告，根據多家資安業者的統計資料，仍有不少環境使用存在上述漏洞的Log4j。研究人員指出，根據Sonatype的統計，截至4月底仍有近4成使用者下載存在相關漏洞的Log4j；對於實際利用Log4j的應用系統面臨漏洞風險的情況，研究人員利用物聯網搜尋引擎Shodan，找到超過9萬個疑似存在相關漏洞的應用系統，以及6.8萬臺Minecraft伺服器。</p> <p>而相依Log4j的開源軟體尚未修補的情況似乎更為嚴重，根據Google的Open Source Insights服務，依賴該軟體的17,840個開源專案，只有7,140個採用已修補漏洞的Log4j，換言之，仍有6成專案曝露於Log4Shell的危險之中。研究人員表示，光是Apache基金會旗下的軟體專案，就出現修補該漏洞相當緩慢的現象，例如，Storm、SkyWalking OAP都是在今年4月才完成修補，而Solr、Ozone目前仍使用存在漏洞的Log4j 2.16版。研究人員認為，前述Log4j存在於許多軟體的情況，導致IT人員難以盤點，甚至組織很可能不清楚那些系統有使用這套日誌系統，而沒有打算採取相關緩解措施。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.tenable.com/press-releases/Tenable-Agrees-To-Acquire-Bit-Discovery"><span style="color: rgb(0, 0, 0);">漏洞管理解決方案業者Tenable買下外部攻擊面管理廠商Bit Discovery</span></a></strong></h3> <p>提供漏洞管理解決方案的資安業者Tenable於4月26日宣布，他們買下了名為Bit Discovery的外部攻擊面管理（External Attack Surface Management，EASM）廠商。Bit Discovery所提供的EASM解決方案，可協助組織了解面向網際網路的應用系統、API，當中可能會被駭客鎖定的弱點。</p> <p>Tenable將會結合旗下的弱點管理解決方案，以及Bit Discovery的EASM技術，讓客戶能更為擁有全面地了解組織內外環境所曝露的資安風險，進而及早進行處置。Tenable將以4,450萬美元買下Bit Discovery，並預計於今年第二季完成併購作業。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150654"><span style="color: rgb(0, 0, 0);">美國懸賞千萬美元追捕Sandworm駭客</span></a></strong></h3> <p>針對近期大肆發動網路攻擊的俄羅斯駭客組織Sandworm，美國國務院於4月27日祭出正義懸賞專案（Rewards for Justice，RFJ），目標是該組織旗下的6名駭客。起因疑似是這些駭客屢屢替俄羅斯政府攻擊美國的關鍵基礎設施（CI）。美國祭出1,000萬美元高額獎金，希望線民能提供相關情報，讓他們能早日將這些駭客逮捕到案。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/29 18:15作者周峻佑https://www.ithome.com.tw/news/150695
馬斯克希望推特私訊加入全程加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克（Elon Musk）推動推特（Twitter）收購案進行同時，仍不忘提出新功能。<a href="https://twitter.com/elonmusk/status/1519469891455234048" target="_blank">昨（28）日他表示</a>，推特的私訊（direct message）功能應該要提供全程加密（end to end encryption）。</p> <p class="rtecenter"><a href="http://twitter.com/elonmusk/status/1519469891455234048" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-twitter%20e2ee%20musk.png" style="width: 569px;" /></a></p> <p>他說，推特的私訊應該要像Signal提供全程加密，以免任何人刺探或駭入其訊息。</p> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">馬斯克本周一宣布</a>計畫以440億美元收購推特，當時他強調著眼在言論自由，以便即使批評他最猛烈的人都能在這個平臺上暢所欲言。馬斯克承諾確保推特作為辯論重要議題的數位論壇角色，將以新功能讓推特變得更好、開源推特演算法、打擊垃圾訊息機器人、並驗證所有人。</p> <p>相較一些主要傳訊軟體包括WhatsApp、Signal及Telegram等都提供全程加密，推特的安全性顯得較弱。馬斯克自己也成為<a href="https://www.ithome.com.tw/news/138889" target="_blank">2020年推特安全事件</a>的受害者。在該事件中，包括馬斯克、拜登、比爾蓋茲、及貝佐斯等名人的推特帳號被駭入，向粉絲發送加密貨幣詐騙訊息。<a href="https://spectrum.ieee.org/twitters-direct-messages-is-a-bigger-headache-than-the-bitcoin-scam" target="_blank">當時媒體指出</a>推特私訊未全程加密的安全問題，比加密貨幣詐騙更為嚴重。</p> <p>這也是馬斯克倡議的推特最新功能。他之前曾說推特發文應加入編輯功能，<a href="https://www.ithome.com.tw/news/150273" target="_blank">還對自己的粉絲做了民調</a>。此時推特內部已經在測試這項功能。</p> <p>馬斯克收購消息公布後引發各種臆測，包括<a href="https://www.cnbc.com/2022/04/26/tesla-stock-falls-more-than-9percent-after-musks-twitter-deal.html" target="_blank">本周特斯拉股價大跌</a>，可能影響馬斯克收購推特的資金實力，以及<a href="https://www.theverge.com/2022/4/28/23047376/elon-musk-twitter-job-cuts" target="_blank">報導指出</a>雖然目前推特尚未裁員，但他公司獲利計畫<a href="https://www.theverge.com/2022/4/28/23047376/elon-musk-twitter-job-cuts" target="_blank">仍然列入裁員</a>，也<a href="https://www.reuters.com/breakingviews/elon-musk-probably-wont-buy-twitter-2022-04-27/" target="_blank">有消息</a>指出，來自股價下跌及歐盟、美國的政治壓力，可能使馬斯克撤回收購決定。但如果收購案取消，<a href="https://techcrunch.com/2022/04/26/elon-musks-twitter-deal-includes-a-1-billion-termination-fee-on-both-sides/" target="_blank">按照協議</a>馬斯克將支付推特10億美元作為「分手費」。</p> </div></div></div>
2022/4/29 16:24作者林妍溱https://www.ithome.com.tw/news/150692
Snap推出迷你空拍機Pixy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造影像分享平臺Snapchat的Snap，自2016年發表首款可錄影及分享的<a href="https://www.ithome.com.tw/news/108659" target="_blank">太陽眼鏡Spectacles</a>之後，再於本周推出該公司的第二款硬體裝置：<a href="https://newsroom.snap.com/sps2022close" target="_blank">迷你空拍機Pixy</a>，Pixy即日起開始於美國及法國銷售，售價為229.99美元。</p> <p>Pixy是個只比手掌大一些的方型空拍機，內建4種飛行模式，可在空中漂浮、繞著使用者飛行，或者是跟隨著使用者的腳步，只要一啟動它就會自動飛行，無需任何控制器或設定，伸出手掌它便會自動降落。</p> <p>與Spectacles一樣，Pixy也是Snap為了Snapchat平臺所設計的簡便錄影及分享裝置，每一次的充電可執行5~8次的飛行行動，拍完後可開啟Snapchat程式，以無線方式將影片傳送至Snapchat Memories，再藉由Snapchat所提供的工具進行編輯，包括加入聲音或特效，再透過Snapchat分享。</p> <p>目前Pixy僅開放美國及法國用戶購買，Snap亦提醒使用者要注意當地的空拍機使用限制。</p> </div></div></div>
2022/4/29 15:29作者陳曉莉https://www.ithome.com.tw/news/150688
微軟Edge瀏覽器新增內建VPN功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少用戶購買VPN或使用第三方瀏覽器外掛程式來確保上網安全。現在多了一項選擇。<a href="https://support.microsoft.com/en-us/topic/use-the-microsoft-edge-secure-network-to-protect-your-browsing-885472e2-7847-4d89-befb-c80d3dda6318" target="_blank">微軟本周宣布透過和Cloudflare合作</a>，為Edge瀏覽器新增VPN功能。</p> <p>微軟表示，Microsoft Edge Secure Network可確保經由Edge送出的資料經由加密通道傳送，即使用戶造訪的是使用HTTP協定、較不安全的網站。</p> <p>啟用這項服務後，上網活動及網頁資訊都能獲得保護，可防止ISP或駭客得知用戶存取哪些網站、用戶所在地點或IP位址，或是在公共Wi-Fi網路竊聽透過網頁傳送的資訊，像是帳號密碼等。用戶以Microsoft 帳號登入Edge後，每月可免費使用1GB的資料傳輸量。</p> <p>這項服務是結合Cloudflare基礎架構，而為提供這項服務，後者將扮演微軟的資料委外處理者（subprocessor）蒐集一小部份關於HTTP/HTTPS呼叫的診斷和支援資訊，以觀察來源、目的地IP、傳輸埠、時間戳記及Edge提供的存取令牌。Cloudflare會在每25小時後永久刪除這些資料。</p> <p>在與微軟的合作下，Cloudflare不會將Edge用戶資料轉給、授權或銷售給任何人或組織，也不會以用戶上網紀錄資料，或整合Cloudflare及其他單位資料來建立使用者資料檔（profile）。</p> <p>要使用Microsoft Edge Secure Network，用戶必須具備Microsoft帳號並登入，微軟會蒐集每月Edge Secure Network服務頻寬用量，並在限額用罄前發出提醒。</p> <p>其他瀏覽器也都加入VPN功能。目前Chrome已經內建支援使用L2TP over IPsec 的VPN服務。Mozilla也和ProtonVPN合作，<a href="https://www.ithome.com.tw/news/138337" target="_blank">Firefox用戶提供</a>付費VPN服務，每月4.99美元支援5臺裝置。蘋果也在macOS Monterey版及iOS/iPadOS 15開始測試類似VPN的服務，名為私密轉送（Private Relay），預計在今年秋天正式釋出。</p> </div></div></div>
2022/4/29 15:40作者林妍溱https://www.ithome.com.tw/news/150689
Amazon重新取得美國國安局價值100億美元的WildandStormy合約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nextgov.com/emerging-tech/2022/04/nsa-re-awards-secret-10-billion-contract-amazon/366184/" target="_blank">根據《Nextgov》的報導</a>，Amazon Web Services（AWS）已於最近重新取得美國國安局（NSA）價值100億美元的WildandStormy合約了。</p> <p>NSA原本在去年7月就把WildandStormy採購合約交給了AWS，由AWS協助該機構將內容現代化，<a href="https://www.ithome.com.tw/news/147591" target="_blank">但10月微軟即向美國政府審計辦公室（GAO）提出抗議</a>，GAO則要求NSA必須重新評估該合約。</p> <p>由於WildandStormy主要支援NSA機密與非機密的運算需求，因此不管是NSA或AWS都未透露合約的詳細內容。</p> <p>NSA向《Nextgov》證實WildandStormy合約已於近日回到AWS手上，將藉由AWS的雲端運算服務來支援NSA的任務，目的在於實現NSA所需的處理與分析需求。</p> </div></div></div>
2022/4/29 15:51作者陳曉莉https://www.ithome.com.tw/news/150690
Twitter因出售MoPub而獲利逾5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來因被特斯拉（Tesla）及SpaceX創辦人馬斯克（Elon Musk）收購而頻頻躍上新聞版面的Twitter，<a href="https://s22.q4cdn.com/826641620/files/doc_financials/2022/q1/Final-Q1%e2%80%9922-earnings-release.pdf" target="_blank">周四（4/28）公布了今年第一季財報</a>，該季Twitter創下12億美元的營收，比去年同期成長16%，本業虧損了1.28億美元，但因<a href="https://s22.q4cdn.com/826641620/files/doc_news/2021/12/01-03-22_TWTR_Announcement.pdf" target="_blank">在今年1月以10.5億美元出售了廣告平臺MoPub</a>，使得該季的淨收入達到5.1億美元。</p> <p>在Twitter的12億美元營收中，有11.1億美元來自於廣告收入，另有9,400萬美元來自於訂閱及其它收入。</p> <p>在全球社交網站的排行榜上，Twitter並未擠進前十名，<a href="https://www.statista.com/statistics/272014/global-social-networks-ranked-by-number-of-users/" target="_blank">根據Statista所公布的排行榜</a>，以用戶數來計算，Twitter排在第十五名，落後臉書、YouTube、WhatsApp、Instagram、WeChat、Tiktok、Messenger、抖音、QQ、微博、快手、Snapchat、Telegram與Pinterest。</p> <p>不過，Twitter卻是馬斯克最常發聲的平臺，也曾受到美國前任總統川普（Donald Trump）的青睞。</p> <p>財報顯示，Twitter今年第一季的每日用戶數為2.29億人，比去年同期增加15.9%，當中有3,960萬為美國用戶，1.89億為國際用戶。</p> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">由於Twitter董事會已於日前接受馬斯克的收購提議</a>，以每股54.2美元、總價440億美元的價格出售，因此在此次的財報中，Twitter已停止提供下一季的業績指引，並表示此一收購案預計於今年完成，之後Twitter將下市成為私人公司。</p> </div></div></div>
2022/4/29 16:09作者陳曉莉https://www.ithome.com.tw/news/150691
Amazon首季財報出現38億美元的虧損
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazoncom-announces-first-quarter-results-1" target="_blank">Amazon周四（4/28）公布今年第一季財報</a>，該季Amazon創下1,164億美元的營收，成長7%，然而，Amazon罕見地在第一季出現38億美元的虧損，原因包括電子商務並未獲利，再加上對電動車業者Rivian Automotive的投資虧損了76億美元。</p> <p>今年第一季Amazon北美電子商務的營收為692億美元，成長7.6%，但虧損15.7億美元；國際電子商務營收為288億美元，下滑6%，也虧損了12.8億美元；AWS服務該季創下184億美元的營收，成長37%，獲利65.2億美元。</p> <p>除了電子商務出現虧損之外，Amazon對Rivian的投資也讓該公司虧損了76億美元，導致Amazon該季虧損38億美元。</p> <p>事實上，去年11月才上市的Rivian，也曾讓Amazon於<a href="https://www.ithome.com.tw/news/149193" target="_blank">去年第四季增加了118億美元的非營業利潤</a>。</p> <p>Amazon的財報讓該公司當天的盤後大跌了9.02%，股價為2,631美元。</p> </div></div></div>
2022/4/29 15:11作者陳曉莉https://www.ithome.com.tw/news/150687
Cloudflare緩解歷來最大的HTTPS DDoS攻擊，每秒呼叫1,530萬次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/15m-rps-ddos-attack/" target="_blank">CDN及網路防禦供應商Cloudflare昨（28）日表示，</a>該公司近日偵測並緩解了一次呼叫流量高達15.3M rps（request-per-second）的分散式阻斷服務（DDoS）攻擊，是有紀錄以來最大的HTTPS流量攻擊。</p> <p>這波攻擊以流量而言，是每秒1,530萬次呼叫，並非歷來最大的DDoS攻擊事件。最大的是2021年8月Cloudflare緩解的17.2M rps攻擊。但是這次攻擊是發生在HTTPS/ TLS加密連線中，不論是攻擊者發動攻擊，或是受害者緩解，成本都更高。</p> <p>這波攻擊來自一個大型殭屍網路，時間僅15秒，目標是Cloudflare一家客戶發行加密貨幣的計畫。有相同攻擊特徵（attack fingerprint）的DDoS，過去也有過高達10Mrps的規模。</p> <p>Cloudflare指出，這波攻擊使用的殭屍網路涵括將近6,000個不同殭屍機器人，分佈全球112個國家，其中15%集中在印尼、其次是俄羅斯、巴西、印度、哥倫比亞及美國、德國等地。這些國家中有1,300多個不同網路，最大的分別位於德國Hetzner Online、哥倫比亞Azteca Comunicaciones、法國OVH和雲端服務供應商。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2022/04/1109-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>這次攻擊顯示的另一項趨勢是，雲端服務供應商漸超越傳統網路ISP成了發動DDoS攻擊管道。源自殭屍網路的DDoS攻擊流量，透過上述網路傳送，經由BGP Anycast再導向Cloudflare位於全球270多個城市的資料中心，最後由Cloudflare緩解。</p> </div></div></div>
2022/4/29 13:21作者林妍溱https://www.ithome.com.tw/news/150686
微軟修補Azure PostgreSQL租戶隔離漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc-blog.microsoft.com/2022/04/28/azure-database-for-postgresql-flexible-server-privilege-escalation-and-remote-code-execution" target="_blank">微軟昨（4/28）日修補了Azure Database for PostgreSQL服務一項租戶隔離（Tenant isolation）漏洞</a>，可讓攻擊者存取同一Azure區域上多個不同租戶（tenant）或帳號上的PostgreSQL資料庫。</p> <p><a href="https://www.wiz.io/blog/wiz-research-discovers-extrareplica-cross-account-database-vulnerability-in-azure-postgresql/" target="_blank">這個問題是由安全廠商Wiz Research發現並通報微軟</a>。漏洞發生於Azure Database for PostgreSQL Flexible Server，廠商稱之為ExtraReplica，它實際是2項漏洞組成，一個是源自微軟近日為了強化功能而對PostgreSQL Flexible Server服務做的修改，導致權限升級；另一個則讓發派給Azure其他網域的憑證得以登入PostgreSQL執行個體，達到跨租戶（cross-tenant）存取的目的。成功開採這項ExtraReplica漏洞的攻擊者，可複製並取得Azure PostgreSQL Flexible Server用戶資料庫的讀取權限。</p> <p>所有設定公開網路連線的Flexible Server Postgres伺服器都受這漏洞影響。啟用VPN或安全網路連線的環境則不受影響（不過這並非預設）。此外，Azure Database for PostgreSQL Single Server用戶也未曝險。</p> <p>Wiz Research於今年1月通報微軟，微軟已更新Flexible Servers以解決這項漏洞。Azure用戶無需採取任何動作。不過為了安全起見，微軟仍建議用戶在設定Flexible Server執行個體時啟用VPN等安全連線。</p> <p><a href="https://www.ithome.com.tw/news/150422" target="_blank">本月初AWS也修補了一項源於關聯式資料庫雲端服務RDS for PostgreSQL第三方開源擴充程式</a>，可導致Aurora資料庫內容外洩的檔案讀取漏洞。</p> </div></div></div>
2022/4/29 12:56作者林妍溱https://www.ithome.com.tw/news/150683
Fintech周報第210期：純網保兩類執照申請條件出爐，Line Bank和全盈支付紛紛祭出新生態圈戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022/3/18~2022/4/28 精選金融科技新聞</p> <p><strong><span style="color:#FF0000;">#純網保 #金融科技</span><br /> 純網保申辦條件出爐，將分2類執照，只能賣創新型和保障型商品</strong></p> <p>金管會計畫在今年8月開放純網保業者申請，最近也展開了相關保險法規的修法動作。金管會在4月21日預告將修正保險四法，也間接公開了純網保的申請條件。金管會定義純網保只能透過數位方式提供保險商品，實體據點只能設立總公司和客服中心，不能在實體據點從事銷售或招攬保險商品。</p> <p>將開放兩類純網保公司，一種為銷售創新型保險商品為主的純網路財產保險公司，最低資本額為10億元，不過，沒有明確定義創新型保險商品的類型，而是須通過創新性審查後才能銷售，不過，也可額外申請經營傷害保險和健康保險。另一種純網保公司，則是以銷售保障型保險商品為主的純網路人身保險公司，最低資本額而為20億元。金管會並要求，發起人需有金融業發起人以及金融科技專業的發起人，後者有從事大數據、介面設計、軟體研發、物聯網、無線通訊業務的經驗。金管會也規定純網保不能有保險業務員，也不能透過保險經紀人或保險代理人來銷售保險商品。</p> <p>從此草案預告可以看出，金管會將開放的純網保公司，可經營的業務範圍不完全等同於實體保險公司，金管會不只要求，只能透過數位提供產品，還限定了純網保可銷售的商品類型。申請所附的營運計畫書中，除了營運模式、商品規劃外，也須列出客戶身份驗證機制、採用的資訊系統、安全控管、備援作業及業務連續性計畫說明，還要訂定市場退出計畫。</p> <p><strong><span style="color:#FF0000;">#2月最新數據 #電子支付市場</span></strong></p> <p><strong>銀行局公布2月份電支市場數據，用戶數達1,653萬人，以街口551萬人最多</strong></p> <p>根據銀行局在4月中揭露了臺灣電子支付市場數據，統計到2月底，共有10家專營和20家兼營電子支付的機構，整體電子支付使用者人數持續成長，比1月底增加了2.7％，達到1,653萬人之多，其中以街口電子支付的使用者人數最多，達到551萬名，其次是一卡通票證，以475萬餘人緊追在後，悠遊卡公司和玉山銀行則以約150多萬人名列三、四名。另外，儲值卡流通卡數仍高達1億4千9百多萬張，比1月多了89萬張，不過，當月仍有消費的儲值卡比1月減少了24萬張，只有1,179萬張，也比去年2月少了1成多，反映出實體儲值卡的使用量正緩慢減少中。</p> <p><strong><span style="color:#FF0000;">#異常改善＃國泰世華銀行</span><br /> 不只是開罰，金管會對國泰世華銀行ATM等系統異常事件，提出多項未來IT改善要求</strong></p> <p>國泰世華銀行是臺灣ATM數量第二多的銀行，但在去年10月、今年2月、3月時，出現了多次資訊系統升級導致ATM等資訊系統異常的事件，金管會在4月中時宣布開罰2百萬元，並要求該行再改善問題前，先暫停設置新ATM。金管會在新聞稿中也揭露了造成這四次系統異常事件的發生原因，略有不同。去年10月的2次異常是，因為EFT系統及資料庫升級作業所致，而今年2月異常事件則是，因為該行為了上線新功能而搭配的EFT系統改版，再度造成交易異常。而今年3月中的異常事件則是因為EFT系統的磁碟機陣列在資料讀寫時出現異常，造成部分交易處理逾時，而導致交易失敗。</p> <p>不只是開罰，金管會也提出多項改善要求，在資訊面的改善重點，一是在重要系統轉換、架構重大調整或是跨版本升級之前，必須建立仿真的測試環境，也要強化對測試和上線環境間的參數比對、測試驗證及程序演練等，來提高模擬驗證的真實程度。另外，金管會也要求，資安專責單位要參與轉換前的關鍵準備工作，也拉高資安參與層級，要求資安長發揮資安政策推動與資源調度的工作。</p> <p><strong><span style="color:#FF0000;">#英國財政部 #NFT</span><br /> 英國將立法讓特定穩定幣加入英國支付框架，皇家鑄幣廠也將在夏天發行NFT</strong></p> <p>英國財政部在近日在創新金融全球高峰會上，宣布將將從政策及法令著手，讓英國成為全球加密貨幣技術與金融科技的中樞，來宣示英國財政部推動加密貨幣政策與市場的決心。</p> <p>其中，包括英國將立法，讓特定的穩定幣加入英國的支付框架，替穩定幣的發行商與服務供應商奠定於英國發展的基礎，提高消費者使用穩定幣支付服務的信心。此外還將推出金融市場基礎設施沙箱（Financial Market Infrastructure Sandbox），以讓這些金融新創能夠實驗各種新的技術、產品與服務。英國財政部大臣Rishi Sunak也已經要求皇家鑄幣廠於今年夏天發行非同質化代幣（NFT），不過，他沒有透露更多發行細節。</p> <p><strong><span style="color:#FF0000;">#加密貨幣 #NFT社群</span><br /> 美國加密貨幣交易平臺Coinbase開始測試NFT市集，結合互動機制要發展成NFT社群平臺</strong></p> <p>美國加密貨幣交易平臺Coinbase近日發表了NFT市集測試版，不只可提供NFT收藏買賣，更結合多項用戶互動機制，例如展示收藏，能在別人的NFT收藏中留言或評論，或是投票以贊成或反對他人的評論，來提供社交元素。藉由使用者所展示的收藏及在Coinbase NFT上的互動，Coinbase還希望進一步提供個人化的NFT推薦功能，來形成社群。</p> <p>#產險 #聯盟區塊鏈<br /> 14家業者合推第一個產險聯盟區塊鏈，從申辦，理賠到追償都能一站式鏈上完成</p> <p>產險公會日前宣布將聯手14家產險業者，推出產險聯盟區塊鏈平臺，先鎖定汽機車強制險和任意險，透過國泰金控區塊鏈團隊的技術，利用區塊鏈不可篡改、可信任等特性，讓加入聯盟的保險公司成員，能在鏈上安全的傳遞數位資料，來加速彼此的資訊共享與保險服務數位化，來縮短理賠作業時間。這項合作案以獲得金管會核准，將從5月1日開始試辦。</p> <p><strong><span style="color:#FF0000;">#純網銀 #生態圈</span><br /> 開業周年用戶破百萬，Line Bank生態圈戰略3線大展開</strong></p> <p>Line Bank開業1周年達到110萬名使用者，Line Bank總經理黃以孟</p> <p>近日進一步公開了新的生態圈戰略，將以快點生活圈策略，來經營3點生態圈，包括了點數生態圈、場景生態圈和服務生態圈。</p> <p>Line Bank超過96%用戶的簽帳金融卡已經綁定Line Points，可用Line Pay來使用點數，點數生態圈將以Line Points和Line Pay為中心，透過點數抵消費的方式，來串接線上線下生態圈。場景生態圈則要涵蓋食衣住行育樂的異業結盟，目前已經整合超商、電商網購、餐飲外送、百貨藥妝等，近期則將推出行車支付服務，來整合停車、加油等場景。最後一項服務生態圈，則要借助API綁定銀行帳戶，來整合更多訂閱服務提供自動扣款。目前Line Bank也打造了一套API平臺，來加速綁定服務的串接。黃以孟透露，未來會陸續串接一個個服務，讓場景生態圈更豐富。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/line%20bank%E7%94%9F%E6%B4%BB%E5%9C%88%E6%88%B0%E7%95%A5.jpeg" /></p> <p><strong><span style="color:#FF0000;">#電子支付生態圈 #全家 #玉山金</span><br /> 串接全家4百億點數生態圈，嵌入玉山線上信貸，全盈支付要靠SDＫ和API將電支融入更多生活場景</strong></p> <p>由全家、玉山銀行、PChome集團下之拍付國際三方合資成立的全盈支付，於4月正式開業，正式推出全盈+PAY服務。全盈支付總經理劉美玲指出，目標是將電子支付融入多元的消費場景中，成為用戶生活場景的一部分，透過SDK與API，與不同場景、通路業者合作，讓電子支付融入不同的場景，發展共享會員生態圈。</p> <p>目前策略，一方面將串接全家現有超過4千家門市、約1,500萬會員，年發400億點數的點數生態圈，另一方面也與玉山銀行合作，預告推出全線上信貸服務，以及線上開戶服務，將在第二季後陸續推出。還與AFTEE合作，未來將提供用戶先享後付的消費方式。</p> <p>全盈支付預告將和電商通路合作，串接電子支付與PChome 24h購物，可在線上、線下通路使用。下半年還將進入企業場景，將與MAYO鼎恒數位合作，將電子支付融入企業的員工福利平臺，提供企業團購支付，福利金、點數折抵等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A8%E7%9B%88%E6%94%AF%E4%BB%98.jpeg" /></p> <p><strong>責任編輯：王宏仁</strong></p> <p><strong>更多Fintech新聞</strong></p> <ul><li>去年賣出291萬美元的Twitter創辦人首推，今年出價跌破1萬美元</li> <li>全球最大NFT市集OpenSea買下NFT銷售整合平臺Gem</li> <li>a16z成立加密貨幣與Web3的專門研究團隊，要整合Web3學術理論與實際應用</li> <li>將來銀行開業首月，開戶數接近6萬戶</li> <li>國泰金融創新實驗室計畫第二期完成8項PoC，AI解讀法規和人臉判讀測健康是亮點</li> </ul></div></div></div>
2022/4/29 13:04作者王宏仁https://www.ithome.com.tw/news/150684
蘋果財報出爐，創下該季史上最佳營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/04/apple-reports-second-quarter-results/" target="_blank">蘋果周四（4/28）公布截至今年3月26日的2022財年第二季營收</a>，以973億美元創下該季的史上最佳營收，比去年同期成長8.6%，除了iPad銷售下滑之外，不管是iPhone、Mac、穿戴裝置或服務營收都是成長的，每股盈餘為1.52美元。</p> <p>在973億美元的營收中，有506億美元來自iPhone的貢獻，占了蘋果總營收的52%，比去年同期成長5.5%；有104億美元來自Mac，成長14.6%；iPad營收為76.5億美元，下滑了2%；穿戴、配件與家用裝置營收為88億美元，成長12.8%。除了上述的硬體之外，該季的服務營收達198億美元，成長17.3%，約占蘋果總營收的20%。</p> <p>若以市場來區分，蘋果目前最大的市場為美洲，替蘋果帶進409億美元的營收，居次的是歐洲的233億美元，大中華區占了183億美元，日本為77億美元，其它亞太地區為70億美元。</p> <p>不過，蘋果在財報會議警告目前這一季所面臨的難題，包括供應鏈的限制，以及中國的封城策略將影響當地的產品銷售等，<a href="https://www.cnbc.com/2022/04/28/apple-aapl-earnings-q2-2022.html" target="_blank">根據《CNBC》報導</a>，蘋果執行長Tim Cook坦承蘋果亦無法於全球供應鏈問題上倖免於難，這使得蘋果當天盤中雖然上漲4.5%，但盤後下滑逾2%，股價為159.98美元。</p> </div></div></div>
2022/4/29 13:11作者陳曉莉https://www.ithome.com.tw/news/150685