iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年5月16日，駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和Wor…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自上週末到星期一重要的資安新聞裡，研究人員揭露駭客組織SideWinder的攻擊行動相當值得注意。該組織於最近2年就發動近千次的攻擊行動，頻率極高，範圍也從一開始針對中亞，已經擴及歐洲、亞洲等區域。</p> <p>殭屍網路Sysrv變種病毒的攻擊行動，也引起資安業者的注意，因為，駭客鎖定了Java框架Spring和內容管理系統WordPress下手，並能入侵Windows與Linux主機來進行挖礦。</p> <p>兒童使用的軟體也可能成為駭客攻擊家中電腦管道。資安業者發現鎖定熱門線上遊戲平臺機器磚塊（Roblox）的攻擊行動，一旦受害電腦是父母與小孩共用，就有可能導致攻擊成功後，駭客也有機會從中竊得父母所屬企業的內部資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.theregister.com/2022/05/12/sidewinder_apt_attack_spree/"><span style="color: rgb(0, 0, 0);">駭客組織SideWinder橫行歐亞，2年發動近千次攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SideWinder-attack-chain_20220512.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideWinder-attack-chain_20220512.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基於5月10日到13日，在新加坡舉行的Black Hat Asia 2022大會上，揭露APT駭客組織SideWinder（亦稱RattleSnake、T-APT-04）近期的攻擊行動，指出該組織於2020年4月至今，兩年內發動接近一千次攻擊行動，是全球攻擊行動最為頻繁的駭客。這個駭客組織主要目標是中亞國家的警察、軍隊、海軍部隊，近年範圍則擴及歐洲、中東、亞洲、非洲等區域，並針對外交、國防、航空、IT產業而來。根據該組織近期註冊的新網域，研究人員認為他們打算將攻擊範圍擴及更多國家。</p> <p>這些駭客約從2021年底開始，使用RTF、LNK，以及OpenOffice文件檔案OOXML，挾帶含有混淆的JavaScript程式碼，進而在受害電腦植入後門程式，然後與C2伺服器建立連線。研究人員認為，辦公室應用程式的已知漏洞很可能是該組織主要的入侵管道，呼籲用戶要保持相關軟體為最新狀態。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-sysrv-botnet-targets-windows-linux-servers-with-new-exploits/"><span style="color: rgb(0, 0, 0);">殭屍網路Sysrv變種鎖定Spring框架和WordPress漏洞，入侵Windows與Linux伺服器</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/143776">殭屍網路病毒Sysrv自2021年4月被發現後</a>，最近又有新的一波攻擊行動。微軟的研究人員指出，擅長透過多種網站應用程式系統漏洞入侵的Sysrv，最近出現新的變種Sysrv-K，該殭屍網路病毒大肆在網路上進行掃描，找尋存在Spring Cloud Gateway漏洞CVE-2022-22947，以及WordPress外掛程式已知漏洞的網站應用程式，針對Spring框架和WordPress發動攻擊，入侵後在執行Windows或Linux作業系統的應用程式伺服器裡，部署挖礦軟體。研究人員指出，該殭屍網路病毒還會掃描WordPress主機，找出與組態有關的檔案，並竊取資料庫的帳密，進而接管伺服器。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/Shadowserver/status/1525561213115158529"><span style="color: rgb(0, 0, 0);">Zyxel防火牆重大漏洞已被駭客用於攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVS-2022-30525_FSygypUXsAUwkou.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVS-2022-30525_FSygypUXsAUwkou.jpg" style="width: 300px; float: right;" /></a>資安業者Rapid7於5月12日，<a href="http://www.ithome.com.tw/news/150914#Zyxel">公布Zyxel防火牆產品的遠端命令注入漏洞CVE-2022-30525</a>，影響USG Flex、ATP產品線，CVSS風險層級達9.8分。這樣的重大漏洞很快就有駭客加以利用。資安研究團隊Shadowserver Foundation於5月15日提出警告，他們在13日開始看到嘗試利用CVE-2022-30525的攻擊行動，呼籲用戶要儘速修補。</p> <p>根據研究人員的調查，全球總共約有20,800臺Zyxel設備可能曝險，其中又有近半數（1萬臺）是USG20-VPN，其次是USG20W-VPN有5,700臺。從這些防火牆所在的區域來看，大部分位於歐洲，其中以法國4,500臺、義大利4,400臺最多，美國有2,400臺次之。</p> <h3><strong style="font-size: 22px;"><a href="https://www.avanan.com/blog/roblox-exploited-with-trojans"><span style="color: rgb(0, 0, 0);">駭客利用線上遊戲開發平臺Roblox散布木馬程式</span></a></strong></h3> <p>熱門線上遊戲平臺機器磚塊（Roblox），允許玩家創作與開發遊戲，而廣受許多青少年喜愛，美國更有逾半數兒童遊玩，但這樣的普及程度，也成為駭客用來發動攻擊的管道。資安業者Avanan於3月底，發現專門鎖定Roblox的惡意檔案，駭客疑似將原本的Roblox注入惡意程式，再上傳到該公司客戶的OneDrive帳號，並濫用Roblox的程式碼引擎Synapse X，在受害電腦上部署木馬程式。一旦使用者下載、執行惡意檔案，就會於Windows系統資料夾部署惡意DLL檔案，進而有可能導致應用程式無法運作、資料造成毀損、回傳用戶資訊等。研究人員警告，儘管Roblox用戶多半是兒童，但他們很可能使用父母的電腦上網，而使得當中存放的資料曝露於危險。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.prnewswire.com/news-releases/the-linux-foundation-and-open-source-software-security-foundation-openssf-gather-industry-and-government-leaders-for-open-source-software-security-summit-ii-301546671.html"><span style="color: rgb(0, 0, 0);">Linux基金會、開源安全基金會將投入1.5億美元，用於改善開源程式碼安全</span></a></strong></h3> <p id="Zyxel">為了改善開源軟體安全，美國於5月12日二度召開開源軟體高峰會，由Linux基金會（Linux Foundation）與開源安全基金會（OpenSSF）主持，總共集結37家IT業者、逾90名高階主管，以及美國國家安全委員會（NSC）、網路安全及基礎設施安全局（CISA）、國家標準暨技術研究院（NIST）、白宮網路主任辦公室（ONCD）、能源部（DOE）、行銷管理和預算局（OMB）官員。</p> <p>本屆會議的焦點，就是他們要在未來兩年運用1.5億美元經費，改善開源軟體十大主要問題，並立下3個工作目標，分別是健全開源安全生產流程、促進漏洞發現與修補，以及縮短修補回應的時間。上述計畫的經費來源中，Amazon、Ericsson、Google、微軟、VMware承諾捐款逾3千萬美元，來做為此計畫前期資金。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/16 18:04作者周峻佑https://www.ithome.com.tw/news/150941
推特CEO對收購案有信心，但說必須為各種情況做好準備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交平臺推特（Twitter）執行長Parag Agrawal周末對預定的收購案表達信心，但仍表示他們必須為各種情況做好準備。</p> <p>馬斯克（Elon Musk）周五以推特公司估計假帳號比例不到5%為由，<a href="https://www.ithome.com.tw/news/150920" target="_blank">表示在等待進一步資料前</a>，將暫緩收購。消息一出，推特股價頓時大跌超過10%。同一天，<a href="https://twitter.com/paraga/status/1525191760615329792" target="_blank">Agrawal 透過推特表示</a>，他預期交易會完成，但是公司還是必須為各種狀況做好準備，並做對推特最好的決定。</p> <p>這番話是為了支持他近日的人事命令。這位去年11月才接手Jack Dorsey的執行長，雖然在馬斯克上個月宣佈收購推特後表示公司暫時不會有裁員計畫，上周卻傳出已請走2位高層，並凍結公司招聘。</p> <p>面對有人質疑他何以選在此時管理人事成本，而非等收購完再行動，Agrawal解釋，不論公司未來所有權為何，都必須時時精進推特為一項產品及一家公司，他不會以收購為藉口而放爛什麼決定都不做。</p> <p>此舉招來爭議，批評Agrawal理由冠冕堂皇，實則是為了剷除異己、鎮壓不同意見，或是獨攬公司龐大資金控制權而為。</p> <p>不過一旦收購完成，推特管理高層將有所變動。報導指出，馬斯克心中已有新任CEO人選，但在此之前他會先擔任臨時CEO。</p> <p>馬斯克周五表示仍然有心收購推特，而<a href="https://twitter.com/btaylor/status/1525256510313402368" target="_blank">推特董事長Bret Taylor也表示</a>，公司有意願朝同一目標努力。</p> </div></div></div>
2022/5/16 14:30作者林妍溱https://www.ithome.com.tw/news/150937
駭客已著手開採合勤防火牆的CVE-2022-30525漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Shadowserver/status/1525561213115158529" target="_blank">非營利資安組織Shadowserver Foundation周日（5/15）警告</a>，已於13日看到駭客試圖開採位於合勤防火牆中的CVE-2022-30525安全漏洞，呼籲使用者儘快修補。</p> <p>CVE-2022-30525是由美國資安業者Rapid7所發現，允許未經授權的駭客以無權限的Nobody用戶身分自遠端執行任意程式，只要使用一個普通的Bash GTFOBin，就能建立一個反向Shell。</p> <p>其實合勤已在4月28日時，趁著防火牆的定期更新順手修補了該漏洞，<a href="https://www.zyxel.com/us/en/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml" target="_blank">但一直到5月12日才公告</a>，並賦予漏洞編號。</p> <p>CVE-2022-30525影響USG FLIX系列、ATP系列與VPN系列的防火牆裝置，而根據Shadowserver的調查，網路上大約有超過2萬臺合勤的防火牆可能含有該漏洞，包括1萬臺的USG20-VPN，以及5,700萬臺的USG20W-VPN，而這些防火牆主要位於歐洲，包括法國的4,500臺與義大利的4,400臺，美國也有2,400臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-16_150646.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-16_150646.jpg" style="width: 600px;" /></a></p> <p>5月12日合勤發布資安公告：<a href="https://www.zyxel.com/tw/zh/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml">Zyxel資安公告：針對防火牆系統命令注入漏洞 (Command Injection)</a></p> </div></div></div>
2022/5/16 14:36作者陳曉莉https://www.ithome.com.tw/news/150938
未來兩年將有1.5億資金投入開源碼安全問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會（Linux Foundation）與開源安全基金會（Open Source Software Security Foundation，OpenSSF）<a href="https://www.prnewswire.com/news-releases/the-linux-foundation-and-open-source-software-security-foundation-openssf-gather-industry-and-government-leaders-for-open-source-software-security-summit-ii-301546671.html" target="_blank">上周召開了開源軟體安全高峰會 II</a>，集結來自37家業者的逾90名高階主管，以及來自美國國家安全委員會（NSC）、美國網路安全及基礎設施安全局（CISA）、美國國家標準暨技術研究院（NIST）、白宮網路主任辦公室（ONCD）、能源部（DOE）與美國行銷管理和預算局（OMB）的官員，宣布彼此已達到如何改善開源軟體安全的重要共識，並將在未來兩年內投入1.5億美元以解決十大主要問題。</p> <p>在這1.5億美元的經費中，已由Amazon、Ericsson、Google、微軟及VMWare共同認捐了超過3,000萬美元，作為此一計畫的前期資金。</p> <p>在此一高峰會上達到共識的開源軟體十大問題則分別是安全教育、風險評估、數位簽章、記憶體安全、資安應變、強化掃描能力、程式碼稽核、資料分享、軟體物料清單（SBOM），以及供應鏈改善。</p> <p>解決上述問題的三大目標為確保開源軟體的安全生產，改善漏洞的發現及整治，以及縮短整個生態體系的修補應變時間。</p> <p>這兩大開源基金會指出，它們希望可讓安全軟體開發教育及認證成為開源碼開發者的新常態，替最熱門的1萬個開源碼元件建立一個公開且中立的風險評估儀表板，推動開源軟體的數位簽章，藉由安全的記憶體語言來減少記憶體漏洞；改善漏洞掃描技術，招攬資安專家成立自願軍以於重要時刻協助開源專案，每年針對200個熱門開源元件由第三方執行程式碼審查，分享資訊以確認最關鍵的開源軟體；推動軟體物料清單的採用並改善相關工具，以更好的安全供應鏈安全工具及最佳實踐來加強10個最關鍵的開源安全建置系統、套件管理系統以及軟體散布系統。</p> </div></div></div>
2022/5/16 14:16作者陳曉莉https://www.ithome.com.tw/news/150936
歐洲議會與歐盟會員國就第二版資安指令NIS 2 Directive達成共識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會與歐盟會員國上周五（5/13）就歐盟執委會（European Commission，EC）於2020年提出的<a href="https://digital-strategy.ec.europa.eu/en/library/proposal-directive-measures-high-common-level-cybersecurity-across-union" target="_blank">《網路暨資訊系統安全》（Security of Network and Information Systems）修訂指令</a>（NIS 2 Directive）<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2985" target="_blank">達成共識</a>，將擴大現有NIS Directive的範圍，提高網路安全風險管理措施與報告義務的標準。</p> <p>歐盟於2016年實施的NIS Directive要求仰賴資訊與通訊技術的基礎服務重視資安問題，包括能源、運輸、水力、金融、健康醫療與數位基礎建設等領域，業者必須採取適當的安全措施，並在發生重大資安事件時通報有關單位。</p> <p>而NIS 2 Directive則是擴大了該指令的所適用的類別與規模，不管是中央或地方的電子通訊服務供應商、數位服務業者、廢水或廢棄物管理業者、重要產品的製造商、郵政及快遞服務，或是公共行政單位，都必須遵循該指令。此外，有鑑於COVID-19疫情來襲時，健康醫療領域成為駭客的攻擊目標，使得NIS 2 Directive更廣泛地納入該領域，包括醫療裝置製造商在內。</p> <p>EC表示，新規定擴大了覆蓋的範圍，相信將能更有效地推動更多實體與部門採取安全風險管理措施。</p> <p>除了擴大覆蓋範圍之外，NIS 2 Directive亦提高對資安的要求，包括解決供應鏈及與供應商之間的安全問題，同時對於那些未遵守網路安全義務的行為，向高階管理人員究責。</p> <p>相較於NIS Directive，修訂版簡化了報告義務，導入更嚴格的監督措施與執法要求，以協調歐盟會員國之間的制裁制度，有助於強化各國與歐盟於網路危機管理上的資訊共享與合作。</p> <p>在由歐盟成員國組成的歐盟高峰會（European Council）及歐洲議會達成政治上的共識之後，雙方將會正式通過該指令並公布於歐盟官方公報（Official Journal）上，在公布的20天後生效，會員國則必須在21個月內將該指令轉為國家法令。</p> </div></div></div>
2022/5/16 12:49作者陳曉莉https://www.ithome.com.tw/news/150934
蘋果已開始測試採用USB-C傳輸埠的iPhone與其它裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-05-13/apple-plans-to-change-iphone-charging-port-to-meet-new-eu-law" target="_blank">《彭博社》（Bloomberg）近日引述消息來源報導</a>，蘋果內部已開始測試採用USB-C傳輸埠的iPhone，而且也在開發轉接器，以讓未來基於USB-C的iPhone能夠繼續使用專替現有Lightning傳輸埠所設計的各種配件。</p> <p><a href="https://twitter.com/mingchikuo/status/1524329801045409794" target="_blank">上周知名的蘋果分析師郭明錤便已指出</a>，蘋果明年下半年推出的新款iPhone即會捨棄Lightning而改採USB-C。</p> <p>歐洲議會的國內市場暨消費者保護委員會（Internal Market and Consumer Protection Committee）在今年4月以43比2票通過了《無線電設備指令》（Radio Equipment Directive）修正草案，將要求所有的可攜式電子裝置都必須具備USB Type-C充電埠，以避免消費者必須購買不同規格充電器而帶來的大量電子垃圾。</p> <p>外界預期歐洲議會將於今年5月通過該法案，繼之與歐盟各國展開協商以確定該法案的最終形式，最快可能會在兩年內實施。</p> <p>這迫使蘋果不得不作出改變。事實上，蘋果自家產品所使用的傳輸埠並不一致，除了iPhone採用Lightning之外，Mac筆電已採用USB Type-C，11/12.9吋的iPad Pro、10.9吋的iPad Air，以及8.3吋的iPad mini也都採用USB Type-C，但10.2吋的iPad依舊使用Lightning。</p> <p>而大多數的蘋果配件都是透過Lightning充電，包括AirPods、Apple TV遙控器、MagSafe電池、與MagSafe Duo充電器等。蘋果選擇Lightning主要原因應是它的接口小於USB Type-C，否則USB Type-C不管是在充電或傳輸速度上都快過Lightning。</p> <p>不只是iPhone，郭明錤也說，蘋果的其它Lightning產品，像是AirPods、鍵盤、觸控板、滑鼠或MagSafe電池等在未來都可能採用USB Type-C。</p> <p>其實《無線電設備指令》也有例外，包括尺寸太小而無法嵌入USB Type-C傳輸埠的智慧手錶、健康追蹤器或其它運動設備將可被豁免。</p> </div></div></div>
2022/5/16 13:05作者陳曉莉https://www.ithome.com.tw/news/150935
Google、三星合作健康資訊互通API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/05/introducing-health-connect.html" target="_blank">Google、三星宣布名為Health Connect的健康資訊平臺及API</a>，讓不同App的健康與健身資訊可以跨Android裝置互通。</p> <p>過去健康、飲食、運動紀錄都是綁在各種硬體及自有App上，除了廠商之間有特別合作外，多數情況下不容易整合提供完整的健康管理，而且也沒有統一的隱私控制。為利資料統一及隱私管理，Google和三星合作Health Connect，涵括由整合平臺及一組API，在使用者同意下，Android版App開發商可用以安全存取和分享Android 裝置上的健康與運動資訊。</p> <p>Health Connects支援50多種健康與活動資料型態，包括運動、營養、身體數值及健康量測，包括心率及血壓等，也提供用戶隱私管理介面，允許檢視App存取的資料及必要時關閉權限。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEi3qBbxPEITrf4OxIUtRHUqiD91La-o6EbnbysxOp6wYrbIy1I2FT7D2yKi7z-kiPxB5im8zixBJkUm8b0Rt620mEWmhIRujsvnefepznmWmtBQR-ohAGmWo8J4MaM1RuH5k5e5E0gi50fou4XXWd9nq4r5Q5ORfK0dKxmQaOC9Fc5xuNxyoOsDUsEo/s1600/image1.png" style="width: 244px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>在獲得使用者同意後，App可透過標準化的schema和API行為，將健康資訊寫入Health Connect並從中讀取。使用者可利用細部控制檢視哪App在何時要求存取什麼資料。Health Connect 資料以加密儲存在裝置內，用戶也可以刪除資料及關閉App的存取，或是在使用多個App時排定App之間的優先順序。</p> <p>目前支援這項技術的包括Google Fit、Fitbit、三星的Samsung Health、Wearable App及旗下健康裝置包括<a href="https://news.samsung.com/global/editorial-breakthrough-innovation-for-health-and-wellness-enthusiasts" target="_blank">Galaxy Watch 系列</a>。另外參加早期計畫的第三方App軟、硬體開發商還有MyFitnessPal、Leap Fitness及Withings。Google也將Health Connect API for Android透過函式庫套件Android Jetpack釋出給所有開發人員。</p> </div></div></div>
2022/5/16 11:56作者林妍溱https://www.ithome.com.tw/news/150932
美法院禁止社交平臺限制言論，引發業者聯合反制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國上訴法院上周三判定一項確保社交平臺上用戶政治言論自由的法令，周末遭到社交平臺訴諸最高法院，力圖阻止法令上路。</p> <p>這項爭議的法令是去年9月通過、名為House Bill 20（HB20）的法案。HB20背景源自前美國總統川普言論屢次遭臉書、推特（Twitter）等社交平臺以煽動暴力、散布假訊息為由刪除留言或封鎖帳號。<a href="https://gov.texas.gov/news/post/governor-abbott-signs-law-protecting-texans-from-wrongful-social-media-censorship" target="_blank">去年9月德州通過該法</a>，禁止線上論壇以用戶的政治觀點禁止用戶。但<a href="https://www.statesman.com/story/news/2021/12/02/judge-blocks-tx-social-media-law-would-ban-content-moderation/8833124002/" target="_blank">德州奧斯法地方院於12月簽署禁制令</a>，禁止HB20上路。但這項禁制令<a href="https://s3.documentcloud.org/documents/21993779/21_51178_documents.pdf" target="_blank">上周三（5/11）遭美國第五上訴巡迴法院推翻</a>，允許HB20法案生效。這項僅有一行文字的判決震撼了長期以來主張以內容管制政策維護平臺上言論秩序、防範暴力、仇恨及色情的科技公司。</p> <p>而在周五（5/13），<a href="https://www.cnet.com/news/social-media/tech-groups-urge-supreme-court-to-block-texas-social-media-law/" target="_blank">CNET</a>、<a href="https://www.washingtonpost.com/technology/2022/05/13/texas-social-media-supreme-court/" target="_blank">華盛頓郵報</a>等媒體報導，代表Google、Meta、推特及Yahoo等其他科技公司的遊說團體向最高法院大法官Samuel Alito聲請緊急動議（emergency stay），<a href="http://6yMj9AvlR_NetChoice_v_Paxton_Emergency_Application_to_Vacate_Stay_of_Preliminary_Injunction" target="_blank">尋求最高法院介入</a>，希望再推翻上訴巡迴法院的決定。</p> <p>名為NetChoice及電腦與通訊產業協會（Computer & Communication Industry Association, CCIA）的組織<a href="https://netchoice.org/media-press/netchoice-announces-request-for-emergency-stay-from-the-u-s-supreme-court/" target="_blank">隨後透過聲明中指出</a>，德州HB20剝奪民間線上公司的言論權利，禁止其受憲法保障的編輯決策，迫使其出版和宣傳值得異議的內容。根據美國憲法第一修正案，德州不得強迫線上平臺代管和宣傳外國政治宣傳、色情、納粹言論與垃圾內容。</p> <p>該組織指出，若允許德州HB20法令實行，該州政府宣稱保護自由言論，實則顛覆第一修正案，違反自由言論精神。</p> <p>言論自由和社交平臺內容管制爭議也可見於美國社會對馬斯克（Elon Musk）收購推特一案。一些主張管制的團隊擔心自稱絕對言論自由主義者的馬斯克收購推特會導致推特被假新聞、仇恨訊息淹沒，<a href="https://www.ithome.com.tw/news/150768" target="_blank">5月初發表公開信</a>要求如果馬斯克治理的推特取消內容管制，廣告主包括可口可樂、食品大廠卡夫（Kraft）及迪士尼等應對其發動杯葛。</p> </div></div></div>
2022/5/16 12:06作者林妍溱https://www.ithome.com.tw/news/150933
駭客利用熱門Roblox程式工具散布木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.avanan.com/blog/roblox-exploited-with-trojans" target="_blank">安全廠商發現一個Roblox的程式檔案遭惡意變造</a>，以便在用戶Windows PC感染木馬程式。</p> <p>Roblox是近年熱門的元宇宙概念多人線上遊戲開發平臺，允許玩家可以在這個空間內創作自己或他人開發的遊戲，遊戲內的物件、玩法及外觀都可以自行設計。2021年這個平臺的每日活動用戶數由3,260萬成長到5,000萬，用戶遍及180多國，超過一半的美國兒童都在玩Roblox。然其普及性也使其成為駭客下手目標。<a href="https://www.checkpoint.com/press/2022/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/" target="_blank">安全廠商Checkpoint指出</a>，今年第1季Roblox名列第8大被歹徒冒名的品牌，超過蘋果和Paypal。</p> <p>安全廠商Avanan今年3月底發現一個鎖定Roblox用戶的惡意檔案，他們在某家客戶的OneDrive帳號掃瞄到該檔並及時封鎖。這波攻擊應是Roblox的合法軟體被駭客注入惡意檔案，包括一個木馬程式，欲藉下載過程進入Windows 用戶電腦。</p> <p>遭到利用的合法軟體是Roblox腳本引擎，名為Synapse X。當不知情的用戶下載Synapse X後，它會自動執行，在用戶電腦安裝一個執行檔，後者再下載3個檔案，其中一個檔案是DLL。這個惡意DLL安裝在Windows系統資料夾內，可以永久為Windows參照及執行。研究人員指出，這類木馬程式可能造成的後果包括使應用程式當掉、移除資料或造成毁損，或是將用戶資訊回傳給駭客。</p> <p>研究人員指出，雖然Roblox用戶主要是兒童，但兒童可能在父母電腦上網，導致父母公司資料曝險。此類風險也顯示零信任安全性的重要。</p> <p>安全廠商也呼籲用戶除了電腦安裝防毒軟體外，不要在公司電腦安裝來路不明的軟體，並應安裝安全防護，掃瞄OneDrive或Google Drive等檔案分享服務下載的檔案。</p> </div></div></div>
2022/5/16 11:03作者林妍溱https://www.ithome.com.tw/news/150929
【從產品數位化、端到端數位化，要邁向全面性的數位體驗戰略】玉山金融生態圈戰略再升級，要靠顧客數位體驗新戰略決勝負
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金融生態圈戰略的布局，在今年邁向了新的階段，尤其是核心的銀行即服務模式（Banking-as-a-Service，BaaS）發展，玉山過去以點、線等局部數位化的策略，從2022年開始，轉而採取更具整體思維的全面性戰略。</p> <p>金融業過去十年來面臨了非常激烈的變革，從過去網路銀行、行動銀行，到現在的金融生態圈型態，都促使銀行比其他產業更積極推動數位轉型。</p> <p>但要怎麼轉型，最終目標是什麼？最常見的新金融模式，包括了銀行即服務（Banking-as-a-Service）、銀行即平臺（Banking-as-a-Platform）和開放銀行（Open Banking）三種。</p> <p><span style="font-size:28px;"><strong>目標5年打造全新銀行即服務商業模式</strong></span></p> <p>2020年8月，玉山銀行董事長黃男州首度公開了玉山未來5年的發展戰略目標，「採取銀行即服務模式瞄準場景金融，銀行本身就是服務，可以嵌入任何場景中。」玉山要走的正是第一種發展模式。</p> <p>今年剛滿30歲的玉山銀行，很早就在第三個十年時，開始大力擁抱科技，設立了科技聯隊的跨部門組織策略，來推動玉山的數位轉型和各項金融產品數位化的發展。</p> <p>而在第四個十年，黃男州指出，科技領航依舊是重要的策略主軸，但必須再精進。銀行即服務正是玉山科技領航策略的下一個發展目標。</p> <p>BaaS是一個完全打破傳統銀行思維的新金融商業模式，不在是以實體銀行機構為產品提供管道，而是以各式各樣的數位化通路來提供金融服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E9%BB%83%E7%94%B7%E5%B7%9E_%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7_%E7%B8%BD%E7%B6%93%E7%90%86.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／玉山銀行</span><br /><strong>玉山銀行董事長黃男州指出，實體世界，媒介是人與人的接觸，以產品導向思維就足以運作，但在數位世界，一定要轉為以顧客導向的思維。</strong></span></p> <p><span style="font-size:28px;"><strong>展開科技聯隊與業務聯隊融合的組織大改造</strong></span></p> <p>為了支援這個新BaaS商業模式的發展，玉山銀行也在去年展開了30年來最大一次的組織改造。將玉山的科技聯隊與業務聯隊的關係，從「互相整合」的關係，進一步做到「融合」，「以你中有我，我中有你的概念，來建立個人金融事業總處，將整個數位融入到個金中。」黃男州這樣形容。</p> <p>在組織改造之前，玉山更完成了兩大科技基礎工程，來支援新組織架構和新商業模式的發展。</p> <p><span style="font-size:28px;"><strong>建立兩大科技基礎工程支援BaaS新商模</strong></span></p> <p>第一個科技基礎工程就是2016年展開的新核心計畫，玉山自行打造了新一代的銀行核心系統，採用了雲端原生技術、容器技術和微服務架構來開發，更採用參數化、模組化設計，來支援未來業務發展的彈性，並導入DevOps機制，從開發、測試到上線都能實現自動化的快速部署。</p> <p>另一個科技基礎工程，則是AI技術力。玉山在2019年正式成立智能金融處，全力發展AI能力，不只善用AI技術來優化和簡化多項內部流程，提高作業速度和減少人為錯誤的風險，也建立了2個關鍵平臺，一個是方便資料科學團隊嘗試各種AI創新的AI研發雲，另一個則是能將成熟AI模型轉化為API服務，方便支援各種AI應用的MLaaS （Machine learning as a Service）平臺。</p> <p>AI研發平臺是一朵利用K8s和Docker容器技術打造的私雲，可以讓資料科學家在安全環境中研發AI模型，等到模型完成後，再打包成服務，上架到另一個MLaaS平臺，並將這個服務打包成API，以輕量快速的形式，與銀行既有系統串接。例如，玉山信用卡盜刷偵測系統，就改用AI模型來取代過去上百條的規則判斷系統，透過MLaaS的API，只要0.1秒，就能將是否遭冒用的判斷結果，回傳給刷卡業務系統，來展開後續行動。這也是玉山擴大AI應用的關鍵平臺和做法。</p> <p>去年7月，MLaaS更推出了2.0，不只擁抱Kubernetes、容器等雲端原生技術，來打造能彈性調度和擴充的新架構，還引進多項自動化機制，來提供99.9%高可用性的機器學習API服務，可以更快速地支援各種新AI應用的維運和規模化，此後新加入的AI專案，都部署在MLaaS 2.0。</p> <p>也因此，2021年，玉山AI應用開始起飛，在賦能AI、風控AI、流程AI、行銷AI和服務AI等5大領域遍地開花。</p> <p>除了上述的信用卡盜刷偵測應用，一天可以用上數十萬次，一年能幫玉山省下上億元的損失，他們也自行開發理財認知偏好推薦AI 模型，能根據客戶承受風險等級和交易紀錄，在7秒內推薦最合適的5檔基金。</p> <p>另外，運用機器學習來打造出免人工作業的線上貸款流程，最快58秒就可以撥出款項。在風控領域，則利用AI來加速黑名單掃描、風險評估，甚至是辨識詐騙帳戶，玉山透露，精準度還比傳統人工方法高出40倍。</p> <p>黃男州在去年中一場記者會中這樣比喻，他說：「資訊處是玉山的神經系統，負責串起各種業務流程，而智金處就是「玉山的大腦系統。」</p> <p>這個AI大腦專門解析大量資料，用機器學習將資料轉化為有益業務的AI系統，優化服務。而2020年上線的新核心系統，主打交易、會計分離，能處理更大量的交易，上線一年後，可以處理的交易量成長了50%，尖峰時段甚至更高。更多的交易量，意味著，擁有更多的資料後，「大腦也就更聰明。」黃男州指出。</p> <p>而科技聯隊中的資安處，則扮演「煞車角色」，負責檢核IT應用安全性，成為創新的煞車。「因為有它，科技聯隊才敢加速，才敢創新，甚至是嘗試AI新技術。」黃男州點出了玉山科技聯隊中，資訊處、智金處和資安處之間密切合作的關係。</p> <p>到了今年2月的媒體法說會上，玉山科技聯隊四大主管首度聯袂出席，除了玉山金控暨玉山銀行資訊長謝萬禮，玉山金控科技長張智星、玉山金控暨玉山銀行資安長劉懷聰，還有2021年中新加入的玉山銀行數位長唐枬。</p> <p>黃男州更用新的比喻，來形容科技聯隊中四大團隊的關係，資訊依舊是核心的神經系統，串連起所有流程，讓所有銀行服務變成一個整體服務，而AI不只是大腦系統，也是5官系統，AI技術可以做到能說、能看、能聽、能寫。而資安是玉山的免疫系統，提供整體防衛的安全機制，而數位，就是玉山跟顧客接觸最重要的通路。這個新比喻更清楚的點出了數位團隊和顧客經營對玉山的重要性，以及與其他團隊之間的合作關係。</p> <p>玉山早在2015年就設立了臺灣第一個數位金融事業處，也設立了臺灣銀行界的第一位數位長職務，到了2021年，玉山進一步將數位金融處，更名為數位暨客群處，唐枬正是數位客群處的最高主管。這預告了玉山數位戰略要更加重視客群的經營。</p> <p>果然，在2022新春這場記者會中，玉山首度安排了科技聯隊的簡報，這是玉山近年在媒體法說會中，第一次如此慎重地且正式的發表2022年的科技新戰略，揭露了全新戰略高度的規畫。</p> <p>一方面，玉山科技聯隊要對大環境的新挑戰和趨勢展開多項因應策略。玉山觀察到金融產業今年面臨3大領域的挑戰，第一項是，後疫情時代帶來的工作型態改變，帶來了許多金融日常運作的資安風險，包括了雲端、API、相關漏洞威脅、員工在外使用電腦的風險比過去更高。這都會成為玉山今年的資安強化目標。</p> <p>在科技趨勢上，也出現了組裝式架構和AI治理浪潮，玉山引述國際調研機構Gartner報告，2023年，採用組裝式技術打造新功能的速度，可比競爭對手快上80%。2024年更會有75%企業從導入AI，開始邁向AI營運的階段。</p> <p>玉山在開發模式上，將朝參數化、模組化的彈性架構發展，也要瞄準在AI為人詬病的黑盒子問題，朝向可解釋性AI（Responsible AI）並兼顧資安風險的情況，來降低業務部門疑慮，擴大內部業務的AI運用。</p> <p>另外，因為去年底金管會開放了金融機構間的資料共享，讓金融服務未來在跨通路、跨場景下變得可能，玉山也計畫發展一套全行適用的設計框架（Design system），希望能在跨通路下提供顧客一致的使用體驗，例如按鈕、顏色等都能各通路維持一致。另外，也會因應電支新法的開放，玉山今年還要槓桿外部力量，借助外部合作夥伴的力量，來建立生態圈。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E7%8E%89%E5%B1%B1_%E5%94%90%E6%9E%AC_%E6%95%B8%E4%BD%8D%E9%95%B7.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／玉山銀行</span><br /><strong>2021年，玉山進一步將數位金融處，更名為數位暨客群處，玉山銀行數位長唐枬正是數位客群處的最高主管。這預告了玉山數位戰略要更加重視客群的經營。</strong></span></p> <p><span style="font-size:28px;"><strong>揭露5A4D3S新科技執行策略</strong></span></p> <p>面對2022年新局勢而鎖定的科技新戰略方向下，玉山提出了3項新的執行策略，新的5A顧客數位經營策略、資訊系統4大業務再造設計原則（簡稱4D），以及和3S服務體驗策略。</p> <p>5A顧客經營策略的是指，要透過數位科技來實現導客（Access）、獲客（Acquire）、活客（Activate）、留客（Adhere）、悅客（Advocate）等顧客經營5階段。這是唐枬從業界常見的AAARR顧客成長模型，改造而來的玉山自己的顧客經營策略。</p> <p>導客階段的重點是建立數位生態圈，再進一步優化各項金融服務的申請體驗來獲客，並要開發更多數位解決方案來活客，運用更多提升顧客黏著度的做法來留客，最後的悅客階段則是希望能夠提高顧客滿意度，成為顧客的最愛。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E5%B0%81%E9%9D%A2p2p3-%E4%B8%BB%E6%96%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／玉山銀行</span></span><br /><strong style="color: rgb(105, 105, 105);">玉山參考業界常見AAARR顧客成長模型，改造自己的5A顧客經營策略。要透過數位科技來實現導客、獲客、活客、留客以及悅客等顧客經營5階段。</strong></p> <p>唐枬指出，過去玉山在每個階段都做得很好，尤其在活客、獲客、留客都有不少成果，「新重點是如何串聯5個A，例如利用一項好的顧客解決方案讓顧客更活躍，也能持續留在玉山，成為最好的粉絲。」</p> <p>唐枬更透露，玉山正在導入淨推薦值（NPS）指標，作為衡量顧客忠誠度的指標，要來改善自家數位金融服務。</p> <p>不只顧客經營有了一套新個完整框架，在改善金融服務的體驗上，玉山也訂出了3S原則，就是簡易的（Simple）、流暢的（Smooth）、貼心的（Sweet）服務體驗。在簡易的體驗原則上，將會建立線上統一入口，重新整合現有的顧客接觸窗口，也會打造更多一站式申辦服務，讓顧客在一個入口就能完成銀行、證券帳戶申辦，甚至是信用卡或更複雜的金融商品申辦。</p> <p>而在流暢的服務體驗上，玉山要發展跨子公司的多元驗證機制，切換不同服務不必重複輸入帳號密碼。也要透過全行通用的設計系統，來建立一致性的介面體驗，甚至也會考慮統一海外分行的風格。</p> <p>除了這兩個與顧客相關的新執行策略之外，玉山還訂出了一項用來推動業務再造的資訊系統4大設計原則。包括了行動化，數位化，無紙化，智能化，玉山未來所有資訊系統都會依照這4大設計原則來開發。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-%E5%B0%81%E9%9D%A2p2p3-%E4%B8%BB%E6%96%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／玉山銀行</span></span><br /><strong><span style="color:#696969;">玉山訂出了用來推動業務再造的資訊系統4大設計原則。包括了行動化，數位化，無紙化，智能化，玉山未來所有資訊系統都會依照這4大設計原則來開發。</span></strong></p> <p>行動化原則例如會支援跨裝置服務或透過行動裝置授權，無紙化原則則要套用到各種業務和流程優化上，數位化原則會注重多元認證、電子簽名並搭配各種客製化表單，而在智能化原則上則會運用AI來預測風險、精進流程和優化營運等做法。謝萬禮指出，核心系統上線後，玉山全行資訊系統已經做到全面API化，因此具備了高彈性、快組裝、易上手和好掌握的基礎，可以快速整合出想要的應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E8%AC%9D%E8%90%AC%E7%A6%AE_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%95%B7_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /><strong>玉山金控暨玉山銀行資訊長謝萬禮謝萬禮指出，新一代核心系統上線後，玉山全行資訊系統已經做到全面API化，因此具備了高彈性、快組裝、易上手和好掌握的基礎，可以快速整合出想要的應用。</strong></span></p> <p><span style="font-size:28px;"><strong>從產品數位化、端到端數位化，開始邁向數位體驗階段</strong></span></p> <p>黃男州回顧玉山過去10年來科技領航的轉型脈絡，從點、線的局部數位化發展，到現在邁向了更全面性的戰略。</p> <p>第一步將產品數位化，讓顧客可以透過數位方式來體驗，再進一步發展出端到端數位化，不只是顧客端的數位化，還要推動銀行端的數位化。當獲取到大量數位化的顧客後，顧客透過數位通路或實體方式往來，虛實整合成了新挑戰，甚至如何在數位通路獲取顧客，讓客戶持續往來，還要能衡量顧客對整體獲利的貢獻，這會逐漸進入「數位體驗」階段的發展，這正是玉山今年新科技戰略的重點。</p> <p>黃男州強調：「實體世界，媒介是人與人的接觸，以產品導向思維就足以運作，但在數位世界，一定要以顧客導向的思維。」如何做到，正是玉山今年新戰略轉型以顧客導向為核心要實現的目標。</p> </div></div></div>
2022/5/16 07:00作者王宏仁https://www.ithome.com.tw/news/150904
【玉山金2022科技戰略：數金新戰略】勾勒5大顧客經營階段，用3招服務體驗放大價值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月，玉山金過了30歲生日。玉山銀行董事長黃男州在新春法說會中，做了這麼一段宣示：「玉山第4個10年目標是，從臺灣的玉山，變成亞洲的玉山！」</p> <p>成為亞洲玉山的指標，是規模擴大。這個擴大囊括了市值、盈收、成本收益比的增長，要創造這些增長，就得從金融服務的核心，創造顧客價值開始。</p> <p>如何創造？玉山給出的答案是「5A」和「3S」。5A是靶，3S是箭，5A勾勒出5大顧客經營階段，3S則是3種體驗優化，用簡易的、流暢的、貼心的服務體驗，來提升顧客經營5階段的價值。這是玉山去年展開29年最大組織改造以來，將原數位金融事業處改為更聚焦顧客價值的數位暨客群處後，所祭出的第一個顧客經營戰略。</p> <p><strong style="font-size: 28px;">改良業界顧客成長理論，自定5階段經營顧客</strong></p> <p>這個5A顧客經營戰略，由玉山銀行數位長唐枬提出。他參考了業界風行多年的AARRR顧客成長行銷理論，這個理論將初始的顧客接觸，到最終的顧客價值轉換，劃分為5個關鍵步驟，包括獲取（Acquisition）、活化（Activation）、留存（Retention）、收入（Revenue）和推薦（Referral）。 </p> <p>唐枬重新梳理，把這5個步驟改良為導客（Access）、獲客（Acquire）、活客（Activate）、留客（Adhere），以及最終的悅客（Advocate），並根據玉山現況，設定各階段目標、KPI和解法。</p> <p>與AARRR理念相仿，這5個A也圍繞顧客價值展開，就像一個由廣而精的漏斗，來經營顧客。比如，導客是要引導尚未成為玉山顧客的民眾，來認識玉山，像是透過異業結盟，將玉山金融服務，呈現在異業盟友的平臺或生態圈中，藉此觸及更多潛在顧客。</p> <p>當民眾接觸玉山後，下一個目標就是讓他們成為玉山顧客。例如簡化申辦流程或縮短作業時間，來降低加入門檻。</p> <p>接著，對既有顧客，玉山則展開更細緻的經營，像是針對不同族群的顧客，提供相對應的解決方案，來活化客群。更進一步，則是運用數位品牌來留住既有顧客，提高黏著度。</p> <p>最後一步則是深化顧客忠誠度，這不僅是5A中的最後一個階段，更是等級最高的經營目標，不只要顧客成為玉山忠實用戶，還要成為推廣者，向其他親友推薦玉山。這就是玉山今年主打的5A顧客經營策略。</p> <p><strong style="font-size: 28px;">聚焦導客力強大合作夥伴，還要精簡開戶、提供一站式平臺</strong></p> <p>不只勾勒5大顧客經營階段，每階段還有各自的精進重點。</p> <p>比如，有別於以往與各行各業結盟、嵌入自家金融服務的場景金融做法，玉山導客原則，更聚焦挑選高導客能力的合作夥伴，進入其他領域生態圈。就在今年4月，全家電子支付服務全盈支付上線，作為全盈3大富爸爸之一的玉山銀行，看中擁有千萬會員的全家生態系，玉山要在「顧客來往頻次更高」的境內支付生態圈中，來擴大自家金融服務的客源。</p> <p>全盈支付成了玉山的跳板窗口，在全盈支付首波提供的金融服務中，玉山包辦了大半，如線上開設數位帳戶、申辦信用卡，甚至是線上申請信貸服務。這正是玉山在高導客力合作夥伴的服務中，嵌入自家金融服務的典型例子。</p> <p>當使用者從各種管道導入到玉山銀行頁面後，玉山這階段的任務就是簡化開戶流程，打造一站式申辦平臺，先了解顧客所需的金融服務後，就可用同樣資料一次開通銀行帳戶、信用卡和證券帳戶等，讓顧客不必每次都得輸入相同資料。</p> <p><span style="font-size:28px;"><strong>開發長期解決方案，還要持續深化數位品牌</strong></span></p> <p>留客和活客都需要長期性的經營。不過，玉山也很清楚，目前仍欠缺長期性的數位金融解決方案，這是活化客群的一大挑戰。</p> <p>所謂解決方案是，運用資料分析找出特定客群後，將既有產品或合作夥伴產品組裝起來，設計一套更完整的解決方案，提供給特定客群。這在短期優惠折扣活動中十分常見，但要用於長期經營就相當困難。因為要組裝的產品，可能由不同部門管理，甚至分散於不同的合作夥伴。因此，玉山今年會調整組織，來發展更多長期解決方案。</p> <p>另一個長期性的精進策略是，經營數位品牌。這是玉山針對既有客戶的留客方法，他們先梳理顧客資料，再根據客群特性，來發展加深黏著度的數位品牌。比如，玉山前年推出e.Fingo品牌，整合了點數、兌換優惠、會員互動等方式，來吸引顧客持續使用玉山服務。</p> <p><span style="font-size:28px;"><strong>導入NPS顧客忠誠度指標，設計滿意度KPI</strong></span></p> <p>玉山去年永續報告就透露，要導入顧客忠誠度指標常見的淨推薦值NPS，並設計一系列KPI來提高顧客忠誠度。這是玉山顧客經營5階段中，最重要的悦客手段。</p> <p>有別於傳統顧客滿意度調查，NPS是一套國際通用的顧客忠誠度評量方式，只聚焦一個問題：「0到10分，你有多推薦我們的產品或服務給親友？」回答的0到6分歸為批評者，7、8分則是被動者，9、10分屬於推薦者，而NPS就計算方式是推薦者的比例減掉批評者比例得到的百分比數值。業界常見做法是利用NPS計算中的三種顧客角色，再加上顧客收益性高低，來區分出6種類型顧客，企業可根據自己NPS分數和顧客收益性找出所屬類型，作為服務改善策略的參考。</p> <p>玉山設計5A顧客經營階段，並非要每個環節各自獨立，而是要環環相扣。比如與擁有客源龐大的異業合作、導入客源後，民眾透過精簡的開戶流程成為玉山顧客，接著，玉山就在對的時機推出解決方案，產生顧客黏著度，再來是吸引顧客加入e.Fingo會員，透過服務優化來留住顧客、提高忠誠度。唐枬強調，這5階段目標並無孰輕孰重，而是齊頭並進。</p> <p><span style="font-size:28px;"><strong>3招服務體驗放大顧客價值</strong></span></p> <p>不只如此，玉山今年還祭出另一個策略，來放大5A顧客經營的價值。這個策略就是3S顧客服務體驗，要以簡易的、流暢的、貼心的原則來優化體驗。其中，簡易的是要整合顧客接觸窗口，透過一站式入口，來整合各類金融服務申辦，讓顧客一口氣完成銀行、信用卡和證券帳戶申請，不必來回切換或重複輸入資料。未來，玉山計畫納入更多複雜的金融商品。</p> <p>再來，流暢的體驗，是要打造跨子公司的多元驗證機制，讓顧客切換不同服務時，不必重複輸入帳號密碼。此外，為了讓顧客在不同服務間切換時，能有一致的體驗，玉山也要發展全行通用的設計系統（Design system），來維持一致的頁面風格和操作體驗。</p> <p>至於貼心的體驗，玉山要開發全行統一的通知平臺，讓顧客自行訂閱所需的通知，並依顧客所選的通路推播訊息。為服務不便至分行的顧客，玉山也將發展零接觸金融，整合全通路服務。同時，玉山還要利用大數據分析來分群、找出洞察，比顧客先想一步，在顧客意識到之前，先設想好顧客旅程，提供可能需要的服務。</p> <p><span style="font-size:28px;"><strong>打造隨插即用模組化平臺，要靠設計系統優化海外服務體驗</strong></span></p> <p>不論是一站式入口、身分驗證還是設計系統，玉山落實3S的方式，是要打造一套隨插即用的模組化平臺，將標準化的模組如各種身份驗證、產品開發、申請表單等，集結在一個平臺上，讓玉山內部使用者隨插即用，縮短產品開發時間又能保持一致性。</p> <p>這個維持一致性的設計系統，是玉山今年數金服務的發展焦點。有別於以往文字敘述來彰顯品牌價值的設計原則，設計系統更進一步，不只納入設計原則，還將各類素材，如頁面顏色、字體、按鈕、選單、圖片、照片和文字行距等，都清楚規範，並附上程式碼，宛如一個配對好的素材庫。</p> <p>如此一來，當前端開發人員開發網頁、行動銀行或內部系統時，能直接從設計系統中，撈取相對應的素材，來加速開發、保持一致性。玉山已經運用這個方式，重新改版了官網重要頁面。</p> <p>對未來10年放眼亞洲的玉山來說，設計系統更是將臺灣經驗複製到海外的關鍵。因為，當臺灣玉山的設計系統發展成形後，未來將能擴大應用至不同國家地區的分支行，一眼就讓顧客認出玉山，甚至，還能根據海外當地的品牌特色，來微調一套因地制宜的設計系統，依然保有一致性。文⊙王若樸</p> </div></div></div>
2022/5/16 07:00作者王若樸https://www.ithome.com.tw/news/150905
【玉山金2022科技新戰略：MLaaS 2.0】關鍵技術平臺大換裝，改用K8邁向AI維運不間斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山嵌入式金融服務背後的技術力，是一套捲起袖子自建的機器學習即服務（MLaaS）平臺。它是執行各種AI應用不可或缺的工具，舉凡0.1秒就能揪出異常的信用卡盜刷偵測、解放人力的千萬張票據手寫辨識功能，甚至是疫情間加速紓困專案申請的RPA應用，都靠MLaaS驅動。</p> <p>這個平臺，在去年中從1.0蛻變為2.0，第二代不只擁抱Kubernetes（簡稱K8s）、容器等主流開源工具，還引進多項自動化機制，來提供99.9%可用性的API服務，實現玉山7x24小時金融服務目標。他們如何做到？</p> <p><span style="font-size:28px;"><strong>MLaaS平臺：執行AI推論的重要引擎</strong></span></p> <p>在玉山，AI已深化至各營運層面，光是執行中的專案，就超過半百個。玉山AI力靠兩大平臺支撐，一是AI研發雲，是一個供資料科學家嘗試創新的「遊樂園」，另一則是MLaaS平臺，是一個講求快狠準的服務平臺，營運著各式各樣的AI應用，更具備1秒內給出預測結果的能力。</p> <p>這2大平臺關係緊密，當資料科學家在AI研發雲完成模型開發後，會將成熟穩定的模型部署到MLaaS平臺上，來執行實際任務。此時，MLaaS有3個重要工作要做，也就是資料ETL、模型訓練、以及部署API執行AI推論。可以說，MLaaS是實現AI解決業務問題的重要橋樑，必須又快又準，但隨著玉山AI應用的擴大與深化，MLaaS更多了資源彈性調度和維運穩定的需求。</p> <p>面對這個要求，從零打造MLaaS平臺的玉山銀行智能金融處（簡稱智金處）曾透露，2019年MLaaS 1.0上線後，團隊就開始思考下一代架構。因為，從平臺上線第一天起，他們就知道，未來平臺的使用複雜度只會越來越大，不只得落實AI上線後的監控維運，面對大量資料處理和推論需求，資源調度還得更細緻、更有彈性才行。</p> <p><span style="font-size:28px;"><strong>2.0用微服務拆分3大功能，採K8s更彈性調度資源</strong></span></p> <p>這是因為，MLaaS 1.0採裸機（Bare Metal）架構的設計，執行AI推論用的運算資源以虛擬機器（VM）為主，比如，可以很方便的指派3臺VM來執行一個AI推論工作。但是，在1.0的平臺中，無法根據尖峰、離峰用量自動調整用於執行AI推論的運算資源，因此得一開始就以尖峰用量來配置，缺乏了調度彈性。</p> <p>再來，MLaaS 1.0採取了「一條龍式」的部署管線設計，只靠相同的一條部署管線從頭執行到尾，涵蓋了從資料ETL處理、模型訓練到部署推論API的程式碼，將3項工作整合到一條部署管線的做法。想要修改其中一項工作的程式碼，比如要調整推論API，就得從第一步的資料ETL開始，全數執行部署一次，才能重新部署新的模型推論API。這對模型重新訓練或更新推論API來說，就產生許多時間成本。</p> <p>MLaaS 2.0改善了這些缺點。智金處改用了微服務架構開發，拆分原本綁在一起的3種功能，各自以輕量級容器打包，部署在K8s上。這麼做的好處是，使用者可直接修改其中一個功能，比如直接重新部署API，或是更新資料，而不必跑完所有流程。</p> <p>再來，採用容器和K8s，就能善用K8s平臺的自動擴充機制，能根據當下流量需求，即時調度運算資源，比起裸機架構綁死VM資源的做法，更有彈性。同理，這個資源調度還能依需求量調整，比如，有些AI專案的資料量大，但模型訓練工作相對簡單，就能將額外運算資源調度給ETL處理，若模型資料量不大、但模型訓練需大量運算，也能將動態將運算資源分配到模型訓練上。玉山的影像和語音辨識模型，就以這個方式來操作。</p> <p><span style="font-size:28px;"><strong>開始搬遷舊專案，還要整合影像辨識模型</strong></span></p> <p>去年7月，MLaaS 2.0正式上線，此後新加入的AI專案，就都部署在MLaaS 2.0上，而1.0的舊專案，則陸續搬遷至2.0，特別是所有影像相關專案，將在今年全數搬遷至新平臺。</p> <p>這是因為，玉山打算藉這個機會，將所有影像模型整合為一個完整的大模型，來支援跨業務需求。比如，智金處過去開發了票據影像辨識應用、財力證明影像辨識等影像辨識應用，這些應用包含多種辨識模型，如所得稅清單辨識模型、存摺辨識模型、薪資證明辨識模型等。</p> <p>這些模型，都得按個別業務需求來執行辨識，但現在，玉山要整合這些模型，重新設計API，讓前端呼叫時，不必先區分上傳的是何種文件，而是直接辨識、產出結果。</p> <p>這麼做的好處是，一套模型就可支援不同業務。比如，信用卡處辦理信用卡申請時，可使用財力證明辨識，其他消金業務如信貸申辦、房屋貸款等，也可使用財力證明辨識模型。</p> <p><span style="font-size:28px;"><strong>MLaaS 2.0亮點：比較不同版本模型更簡單了</strong></span></p> <p>這個引進新工具的MLaaS 2.0平臺，最讓團隊有感的是，比較不同版本的模型更容易了。因為，在1.0時代，若要比較不同版本模型，部署在不同環境的成效，就得費一番功夫調整流量資源，很難進行比較。</p> <p>而在2.0平臺，團隊可將不同版本的模型，打包為不同的容器，再將模型推論包裝成API，就可利用K8s的流量分配工具Ingress來分配流量到不同的版本的API來試驗。比如要比較3個模型版本，版本1分配10份流量，版本2分配30份，版本3則是15份，或是，3個版本都可分配相同的流量，來進行測試。</p> <p>接著，為了評估實驗結果，團隊先是收集日誌（Log），彙整到搜尋引擎Elasticsearch中比較，再將結果回饋到MLaaS平臺的模型訓練工作來比較，作為判斷是否需要重新訓練的參考。</p> <p>這是MLaaS 2.0利用K8s特性，實現的里程碑之一。</p> <p><span style="font-size:28px;"><strong>MLaaS 2.0實例1：內部Chatbot</strong></span></p> <p>不只資源調度更有彈性，搭配微服務架構還大幅縮短模型訓練時間。像是，智金處在MLaaS 1.0時代開發一套內部專用Chatbot，能回答內部員工的各種人資相關問題。但這也意味著，這套Chatbot需要大量語料來訓練，並隨著法令、公司制度調整，得不定時以新資料重新訓練模型。比如，去年下半年規定，2022年陪產假改為7天，而這只是答案，使用者還會有各種問法，因此，智金處得利用相關語料訓練模型，再重新部署。</p> <p>由於MLaaS 1.0平臺將資料ETL、模型訓練、推論API部署這3個工作流程集中到單一程式，光是重新訓練，就花了2周時間，執行完所有流程才算大功告成。但MLaaS 2.0平臺，將這3項工作流程拆開，個別在容器中處理。因此，當模型需要重新訓練時，直接在模型訓練執行特定一項流程的容器即可，不必走過所有流程。</p> <p>MLaaS 2.0利用K8s彈性調度資源，重新訓練這套Chatbot，1天就能完成。</p> <p><span style="font-size:28px;"><strong>MLaaS 2.0實例2：Smart Channel</strong></span></p> <p>另一個例子是推薦系統Smart Channel。這個系統會根據使用者檔案、瀏覽紀錄和交易資料，在使用者登入行動銀行App時，推薦相應的金融產品。</p> <p>Smart Channel是MLaaS 2.0原生專案，直接部署在2.0平臺上。透過K8s自動擴充機制，可在上午11點至下午1點的尖峰時段，當大量請求湧入時，自動開啟更多Pod叢集來因應需求。</p> <p>若是MLaaS 1.0平臺裸機架構，缺乏運算資源彈性調度機制，一開始就得配置尖峰規模的資源來因應，往往會造成資源浪費。</p> <p><span style="font-size:28px;"><strong>MLaaS 2.0實例3：數存秒開</strong></span></p> <p>另一方面，MLaaS 2.0還有一個數存秒開的原生專案。數存秒開是玉山近期上線的金融服務，用於即時開設數位存款帳戶。這個專案是跨部門、多流程的專案，比如開戶過程中，需要判斷各種資料，像是身份證件、駕照、健保卡等，前端資料審核流程採用RPA進行，並部署在2.0上。</p> <p>團隊建立了不少AI模型來判斷各種資料，也用來判斷顧客風險，最後再利用RPA技術來串接整個流程，成為數存秒開服務。</p> <p><span style="font-size:28px;"><strong>用Airflow工具拆分工作流程，調整更有彈性</strong></span></p> <p>既然玉山將MLaaS平臺定調為服務平臺，從服務角度來看，MLaaS 2.0的可用性就得非常高，玉山智金處訂出的目標是「得達到99.9%」。為此，他們不只將MLaaS 2.0改用資源調度更彈性的容器工具，也引進不少自動化機制，來維護服務品質。</p> <p>像是導入熱門的開源流程工具Airflow，將原本龐大的資料ETL工作流程和AI專案，拆分為多個小工作來執行，更彈性管理。</p> <p>以Smart Channel推薦系統專案來說，這個專案用途是，當使用者登入行動銀行App時，自動推薦相應的金融產品。而Smart Channel推薦所參考的資料，包括了使用者個人檔案、瀏覽記錄（點擊資料）、交易記錄。</p> <p>在MLaaS 1.0時代，所有工作流程都是一條龍式進行，要是其中一個環節出問題，就得從頭來過。比如，MLaaS平臺要進行Smart Channel的資料ETL，就得先處理瀏覽資料，再處理交易資料，最後才是個人檔案資料。要是交易資料出問題，就得重新從瀏覽資料處理開始，再執行一次。</p> <p>但，採用Airflow提供了用流程圖來安排工作組合的機制，可以將不同的工作拆開成更小單位的工作，並且畫出一張流程圖，稱為DAG（Directed Acyclic Graph），來組合這個流程中的多項任務的程式，比如，可以將瀏覽資料的過程，製作出一張DAG，涵蓋了瀏覽資料的多項任務，以及跟這些任務之間的執行順序或關聯，而交易資料又可以製作成另一個DAG流程。如此，其中一個環節出問題，直接修改該張DAG流程圖即可，不必按照順序重新來過。最後在按照這些DAG上安排的任務先後順序和關係來執行每一個任務的程式。</p> <p>特別的是，Airflow採事件驅動（Event-driven）機制，當新資料出現，就會自動觸發特定的DAG流程，隨後展開一系列的資料或模型更新。比如，Smart Channel的部分交易資料會採用行銷部門資料，這些資料與行銷活動相關，是季節性的。不過，只要這部分資料更新，就會觸發專門處理行銷資料的DAG，隨後進行模型訓練，自動更新運算結果。要是行銷資料未更新，模型就延用舊資料來運算。</p> <p>這種將龐大的工作切分為小任務的處理方式，讓資料處理不被一條產線綁住，各種任務組合可彈性調度，就算其中一個出問題，也能跳過由另一個替代任務接手，這就像是故障自動切換機制一樣。而且，將工作流程設計成一個個DAG流程圖，還能重複利用，當其他業務有需要，可取用現有的DAG來運算，比如前述的行銷資料。</p> <p>不只如此，Airflow還有一個特性，能讓智金處將工作管理權限，下放給分析團隊。分析團隊不只是查詢運算工作的執行狀態，還能自行直接處理故障問題，不需如MLaaS 1.0時代般，還得自己請系統管理員查明原因。這個管理權限下放，讓團隊工作更有效率。</p> <p><span style="font-size:28px;"><strong>用FastAPI快速開發API，自建API型錄讓平臺標準化</strong></span></p> <p>不只用Airflow彈性管理工作流程，玉山還在MLaaS 2.0中，導入了FastAPI開發框架。這個API開發框架，可根據程式快速產生符合OpenAPI標準的規格文件，並生成API。這些API文件，詳述了請求參數數量、參數型態，以及回應的內容說明等規格。可供前端開發者，來理解這一支API的規格要求。</p> <p>就算程式碼有所變動，前端開發者也能馬上得知。比如，原本請求參數有5個，現在新增了第6個，FastAPI框架就會根據變動，自動產生新的規格文件，再加上玉山搭配Git版本控制系統來管理程式碼，因此FastAPI產出文件後，直接儲存到內部共用的網站上，讓開發者查詢新版文件，也能先做簡單的測試。</p> <p>這種將API規格文件和程式碼結合的做法，讓開發者更容易聚焦在邏輯討論上。再來，以往智金處都以Email傳送規格文件，收件者的版本未必是最新版本，改用FastAPI，可以解決版本同步的需求。</p> <p>除了自動產生規格文件，FastAPI還有型別檢查的功能。假設前端系統呼叫出錯，傳送錯誤的參數型別資料，FastAPI就會自動告知前端系統，傳送錯誤資料了。可以說，FastAPI框架統一處理錯誤管理，讓開發者更專注於程式開發。</p> <p>為了有效管理API，智金處也在內部網站，打造一個API型錄中心：API Document Hub，開發者可從中找到智金處出品的所有API，包括上百支API的詳細規格。這種管理機制，減少了開發者之間的溝通成本，讓專案開發更有效率。搭配FastAPI這個標準化工具，MLaaS平臺更像是一個具備通用、標準規範的產品，來服務玉山內部使用者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-API%E8%A6%8F%E6%A0%BC-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-FastAPI.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／FastAPI</span></span><br /><strong><span style="color:#696969;">玉山智金處在MLaaS 2.0中，導入FastAPI框架，可根據程式碼自動產出符合OpenAPI標準的API規格文件，一旦程式有所修改，也會自動更新文件，還能處理錯誤管理。</span></strong></p> <p><span style="font-size:28px;"><strong>以普羅米修斯監控每天百萬筆Log，下一步要打造全自動監控</strong></span></p> <p>有了Airflow和FastAPI加速開發管理工作，接下來，在維運部分，玉山也採用開源監控工具普羅米修斯（Prometheus）搭配Grafana介面，來檢查系統產生的日誌，而機器學習服務所產生的日誌，則由搜尋引擎Elasticsearch搭配Kibana介面來處理。</p> <p>對玉山來說，採用監控工具並不是一句話那麼簡單。要監控系統，系統首先得有日誌，智金處成員花了大量時間，來學習如何更有效率地產生日誌，來反應系統現況，才能讓開發者用工具查找狀況。他們也建立一套日誌撰寫指南，來確保日誌品質。</p> <p>智金處透露，一個系統1天就會產出100萬筆日誌，雖然有這些工具輔助監控，但系統管理者還是需要花5分鐘，人工監看系統狀況。他們把這個工作稱為「巡田水」，雖然檢視工作並不耗時耗力，但他們正研究，如何將系統產生的日誌和機器學習服務產生的日誌集中起來，並利用這些日誌，訓練一套模型，來自動化監控系統。這是為了讓MLOps機制更完善，也是智金處團隊接下來的目標。</p> <p><span style="font-size:28px;"><strong>讓維運更完善，實行SRE的事後分析作法</strong></span></p> <p>機器學習維運除了採用平臺工具，還得有套維運機制。智金處早在2、3年前，就開始實行「Postmortem」（事故後分析）的做法，這是SRE維運的方法論，就像是進行驗屍報告般，來展開事後分析。</p> <p>玉山導入Postmortem有2個目的，一是專案上線後，召集專案開發團隊、業管單位和系統部同仁，像是收集日誌的團隊和負責MLaaS平臺CI/CD的團隊等，每次約10至20人，由專案團隊攤開程式碼，來分享設計重點及原因，以及好處和可再精進之處。</p> <p>另一個用意則是異常事件發生、問題解決後，透過Postmortem來回顧異常事件的發生近因及根本原因（Root cause）。這時，一樣會召集所有相關團隊，但智金處會要求負責團隊，要鉅細靡遺的執行Postmortem，不只要分析系統日誌、對比程式碼，還得走訪使用者單位當時的系統經歷，藉此來思考改善方案，避免下次踩雷。</p> <p>比如，去年一次資料庫當機，團隊展開Postmortem分析，才發現根因是RedHat的Linux OS光纖網路卡有問題，這是平時難以察覺的問題，但過度使用資料庫的近因，才暴露了這個問題。在那次Postmortem之後，團隊開始改善系統架構，像是落實讀寫分離、調整AP程式存取資料庫的模式，來預防再次出現異常。Postmortem對維運很重要，不只能找出長期發展的痛點，還能讓團隊工作透明化。而且，它不只是玉山用來分析事件的方法，更是相關人員互動的場合，藉由互相問答，來讓業管單位了解，技術團隊種種技術背後的考量。</p> <p>對玉山而言，這是成員學習的歷程，而非究責的歷程。</p> <p><span style="font-size:28px;"><strong>今年目標：朝7x24小時維運不中斷邁進</strong></span></p> <p>隨著玉山銀行董事長黃男州在年初法說會上宣示，接下來10年要成為亞洲的玉山，玉山也對打造關鍵技術的智金處，寄予更高的要求，維運要達到7x24小時不中斷。</p> <p>為因應這個要求，智金處除了導入工具來強化ML監控，去年開始也打造一套模型維運平臺，來管理模型生命周期，目標是要建立一致、標準化的模型監控作業。</p> <p>為了加快開發，他們採用商用模型效能管理應用程式，透過內建的模型量測評估指標，像是準確率、F1分數、靈敏性、特異性等，來追蹤模型是否偏移。蒐集到模型效能數據後，智金處再客製出視覺化儀表板，來追蹤上線模型的異常狀態，並自動發送通知，還能在數分鐘內產出監控報表。</p> <p>不只引進各種工具，玉山對技術人才的尋求，也從未停止過。不論是系統開發、ML專家，還是今年所聚焦的MLOps、SRE維運好手，都是規模百人的智金處所渴求的。對他們來說，今年的目標是深化各項ML服務的開發、部署和維運，來支援玉山嵌入式金融服務。</p> </div></div></div>
2022/5/16 07:00作者王若樸https://www.ithome.com.tw/news/150906
【從端到端數位化，邁向以顧客體驗為核心】玉山金控金融即服務戰略2.0
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1077-feng_mian_p1_open-ruo_pu_-960x420_kao_bei_.jpg?itok=P_KBfctJ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金融生態圈戰略今年揭開新篇章，未來5年銀行即服務模式的發展，從過去以點、線等端到端數位化的策略，邁向顧客體驗為核心的全面性戰略</p> </div></div></div>
2022/5/16 07:00未署名https://www.ithome.com.tw/article/150908
NIST發布新版《網路安全供應鏈風險管理指南》，聚焦18個C-SCRM安全控制面向
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_nistgeng_xin_wang_lu_an_quan_gong_ying_lian_feng_xian_guan_li_zhi_nan_tu_pian_lai_yuan_nist_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩三年來，APT攻擊透過供應鏈入侵頻繁，不只是資安圈重視，全球政府與企業都關注，無庸置疑，現今供應鏈安全的重要性已眾所皆知。早在2015年，美國國家標準暨技術研究院（NIST）發布SP 800-161文件，提出網路安全供應鏈風險管理的指南，到了今年5月初，NIST終於釋出新版文件：SP 800-161r1，目的是幫助企業獲取與使用技術產品與服務時，能夠保護自己，而這樣的標準也成為供應鏈安全重要參考。</p> <p>在這次的更新中，內容從282頁擴增為326頁，納入過去幾年的經驗教訓，因此，企業在管理軟體供應鏈風險時，以及在遭受供應鏈攻擊時，能夠透過這當中的資訊，找到可供依循的最佳實務。</p> <p>特別的是，這一版SP 800-161可幫企業瞭解風險類型，以及考慮採取哪些行動來應對，並建議企業組織不只是注意產品本身的弱點，同時，也要考慮使用產品當中元件的弱點，這些元件可能是在其他地方進行開發，而因為種種狀況而存在著可乘之機。</p> <h2><strong>幫助各界理解供應鏈風險，並指導企業有效管理風險</strong></h2> <p>NIST在此也詳細敘述供應鏈可能產生的風險，呈現企業與供應鏈之間的關係，以及在採購或操作第三方技術時，應如何確保安全。</p> <p>同時，他們也在這份指南當中介紹多種可行的因應方法，讓企業獲得更多了解，使其將網路安全供應鏈風險管理（C-SCRM），整合於組織的風險管理，還能協助辨識、評估，應對各級供應鏈的網路安全風險。</p> <p>NIST概述了18個控制系列中的C-SCRM相關內容，包括：存取控制、意識與培訓、稽核與問責、安全評估與授權、配置管理、應急計畫、識別與認證、事件回應、維護、媒體保護、實體與環境保護、規畫、計畫管理、人員安全、風險評估、系統與服務採購、系統與通訊保護、系統與資訊完整性。</p> <p>這份指南適用哪些對象？NIST表示，產品、軟體和服務的採購者，以及終端使用者都適用。關於企業需將網路安全供應鏈風險列入採購流程，SP 800-161r1解釋了評估因素，同時強調監控風險的重要性。</p> <p>特別的是，該文件也考量了不同角色的需求，針對網路安全專家、風險管理者、系統工程師與採購人員提供索引，讓不同角色可以快速了解自己所需關注的環節。</p> <p>對於管理供應鏈網路安全風險的重要性，NIST指出，現代化的產品與服務多半必須仰賴連結了全球製造商、軟體與服務供應商的供應鏈，儘管這促進了全球經濟，但供應鏈也使公司和消費者處於風險之中，因為一個成品的元件與軟體的來源很多。</p> <p>舉例來說，一個設備可能在一個國家設計，在另一個國家製造，使用來自世界各地的多個元件，而這些元件本身又是由不同的製造商組裝而成。這不僅讓所生產的產品可能含有惡意軟體，或容易因為因安全漏洞而受網路攻擊，而且供應鏈本身的脆弱性，也可能危及企業的底線。</p> <p>更具體一點來說，一個製造商可能會因為其供應商的勒索軟體攻擊，而導致關鍵製造元件的供應中斷，或者一個零售連鎖店可能會因為服務供應商被入侵而受害，像是維護其空調系統的公司，因為被允許存取該店的資料分享入口網站，而這樣的合作廠商遭到駭客或惡意軟體入侵之後，有可能將其作為跳板、攻入其用戶，而導致資料外洩。</p> <p>換言之，這些發生在軟體供應鏈、委外供應鏈的情況，突顯了不同層面的網路安全風險。</p> <p>身為NIST電腦安全處副處長、也是該指南作者之一的Jon Boyens強調，管理供應鏈的網路安全，其實是一種需求，它將持續存在，若所屬機構或組織未開始做，SP 800-161r1指南可提供全方位的工具，讓</p> <p>你從會「爬」、到能「走」，甚至可以「跑」，幫助你立即達到這些要求。</p> <p>此外，未來NIST還將製作快速入門指南，以及建立專屬容易入門的網站，讓各界對於供應鏈風險的管理，能夠更容易上手。</p> <p>另一方面，這次更新也是NIST對於2021年美國EO 14028行政命令回應的一部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89NIST%E6%9B%B4%E6%96%B0%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BE%9B%E6%87%89%E9%8F%88%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86%E6%8C%87%E5%8D%97_WEB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90NIST.jpg" style="width: 600px;" /></p> <blockquote><p>關於各級供應鏈的網路風險，以及企業與供應鏈之間的關係，在NIST網路安全供應鏈風險管理指南有具體的說明。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">(圖片來源／NIST)</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NIST%E6%9B%B4%E6%96%B0%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BE%9B%E6%87%89%E9%8F%88%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86%E6%8C%87%E5%8D%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90NIST.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-15_140339.jpg" style="width: 295px;" /></p> <blockquote><p>基本上，NIST SP 800-161r1中概述了<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">C-SCRM相關的</span>18個控制系列中，包括：存取控制、意識與培訓、稽核與問責、安全評估與授權、配置管理、應急計畫、識別與認證、事件回應、維護、媒體保護、實體與環境保護、規畫、計畫管理、人員安全、風險評估、系統與服務採購、系統與通訊保護、系統與資訊完整性。(圖片來源／NIST)</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NIST%E6%9B%B4%E6%96%B0%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BE%9B%E6%87%89%E9%8F%88%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86%E6%8C%87%E5%8D%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90NIST.jpg" style="width: 600px;" /></p> <blockquote><p>在這次更新中，為幫助各界注意網路安全供應鏈風險管理（C-SCRM），在第1.4章節中，為每個群體角色別提供使用者檔案清單，列出與<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">該群體最相關的部分，包括網路安全專家、風險管理者、系統工程師與採購人員等，可以快速了解自己所需關注。(圖片來源／NIST)</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-11_145836.jpg" style="width: 600px;" /><br /><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">(圖片來源／NIST)</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-15_140615.jpg" style="width: 600px;" /><br /><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">(圖片來源／NIST)</span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/sp-800-161">SP 800-161</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E4%BE%9B%E6%87%89%E9%8F%88%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86">網路安全供應鏈風險管理</a></div><div class="field-item even"><a href="/tags/c-scrm">C-SCRM</a></div><div class="field-item odd"><a href="/tags/%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8">供應鏈安全</a></div><div class="field-item even"><a href="/tags/%E8%BB%9F%E9%AB%94%E4%BE%9B%E6%87%89%E9%8F%88">軟體供應鏈</a></div><div class="field-item odd"><a href="/tags/%E5%A7%94%E5%A4%96%E4%BE%9B%E6%87%89%E9%8F%88">委外供應鏈</a></div></div></div>
2022/5/15 14:00作者羅正漢https://www.ithome.com.tw/tech/150923
【資安週報】2022年5月9日至13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月第二個禮拜的資安新聞焦點中，F5於月初修補的BIG-IP重大漏洞CVE-2022-1388，在公布後不久就出現漏洞利用攻擊──先是在6日、7日有資安業者解析後提出警告，此漏洞極為容易利用，隨後就有嘗試探測該漏洞的攻擊行為，但接著傳出有人藉由漏洞提供的高權限，直接下達刪除所有檔案的Linux指令，來破壞BIG-IP系統的情況。因此，用戶要趕快採取相關緩解措施，以免相關系統成為駭客的攻擊目標。</p> <p>而對於專門針對Linux作業系統下手的攻擊行動也相當值得留意。最近有多名研究人員揭露名為BPFDoor的後門程式，該程式濫用Berkeley Packet Filter（BPF）從網路層監聽流量，並竄改防火牆iptables規則允許攻擊者傳送的封包通過，如此隱密的手法，讓駭客暗中行動超過5年而不被發現。</p> <p>烏克蘭進行兩個半月，已經到了原本俄羅斯總統普丁預定要宣布戰勝的「勝利日（5月9日）」，但情勢不如俄羅斯預期，全球也關注普丁是否會宣布增加兵力、加大攻擊力道。而在勝利日當天，出現竄改俄羅斯電視節目表的攻擊行動，以及影音串流平臺RuTube遭到癱瘓。接著，多個國家提出證據指控，衛星網路Ka-Sat攻擊事件俄羅斯就是背後的主使者。</p> <p>勒索軟體攻擊在本週也有數起。但其中比較引人注目的是，有兩起攻擊事故引起了相當嚴重的後果，一是勒索軟體Conti攻擊哥斯大黎加政府機關後，該國近期宣布進入緊急狀態；第二個則是擁有157年歷史的林肯學院（Lincoln College），因去年年底的勒索軟體延誤相關招生工作，現在決定要永久關閉。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/exploits-created-for-critical-f5-big-ip-flaw-install-patch-immediately/" id="CVE-2022-1388" name="CVE-2022-1388" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">兩家資安業者發現F5的BIG-IP系統重大漏洞極為容易利用，呼籲用戶儘速修補</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2022-1388_PoC_FSHFDzCXwAEU3Uf.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2022-1388_PoC_FSHFDzCXwAEU3Uf.png" style="width: 300px; float: right;" /></a>網路安全業者F5於5月初修補BIG-IP重大漏洞CVE-2022-1388，此漏洞的嚴重程度引起美國當局關注，如今研究人員指出該漏洞極為容易利用，很快就可能會有相關攻擊行動。根據資安新聞網站Bleeping Computer的報導，資安業者Horizon3.ai、Positive Technologies先後於5月6日及7日提出警告，根據他們對於修補程式與漏洞的解析，已經得知攻擊者利用這項漏洞的方法，呼籲管理者要儘速修補。</p> <p>Horizon3.ai亦向Bleeping Computer透露，他們兩名研究員只耗費兩天就找到漏洞的根源（Root Cause），因為，在研究此漏洞的過程中，他們發現F5提出的緩解措施提供相當關鍵的提示，因此，攻擊者很快就能從中找到漏洞的源頭，該公司推測，攻擊者很可能在一個星期內就會將這項漏洞用於攻擊行動，管理者務必要趕快安裝修補程式。對此，他們決定稍晚再公布概念性驗證（PoC）工具，希望能讓用戶能有較多時間採取行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploiting-critical-f5-big-ip-bug-public-exploits-released/"><span style="color: rgb(0, 0, 0);">F5旗下BIG-IP的重大漏洞，已出現嘗試利用的攻擊行動</span></a></strong></h3> <p>網路安全業者F5<a href="https://www.ithome.com.tw/news/150805#CVE-2022-1388">於5月初修補BIG-IP漏洞CVE-2022-1388</a>，該漏洞涉及iControl REST身分驗證元件，CVSS風險層級達到9.8分，隨後<a href="https://www.ithome.com.tw/news/150833#CVE-2022-1388">有資安業者先後於5月6日、7日提出警告</a>，表示此漏洞極為容易利用，駭客很快就會用於攻擊行動，果然，這樣的情況目前已經出現。</p> <p>根據資安新聞網站Bleeping Computer報導，資安業者Cronup研究員Germán Fernández看到，有攻擊者入侵尚未修補的BIG-IP系統，將PHP Web Shell植入主機，接著執行惡意酬載，並將前述的Web Shell刪除。該新聞網站指出，許多研究人員發現，駭客多半鎖定該系統的管理介面下手，投放Web Shell並執行惡意酬載，但Kevin Beaumont指出，也有駭客鎖定管理介面以外的元件進行漏洞利用嘗試，該名研究人員認為，假如管理者將BIG-IP設置為負載平衡設備，並透過專屬的IP位址當作防火牆使用，很可能增加會曝露於此漏洞的風險。</p> <p>由於這項漏洞極為容易利用，Jake Williams、Will Dormann等資安人員認為，這個漏洞很有可能是商業間諜刻意留下，而非開發不慎所造成。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-f5-big-ip-vulnerability-targeted-by-destructive-attacks/"><span style="color: rgb(0, 0, 0);">駭客透過F5的BIG-IP重大漏洞進行破壞性攻擊，意圖清除該系統上的所有檔案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2022-1388-rm-FSVrLSnXEAAV6eX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2022-1388-rm-FSVrLSnXEAAV6eX.png" style="width: 300px; float: right;" /></a>網路安全業者F5於本月初修補BIG-IP重大漏洞CVE-2022-1388，研究人員約於9日開始發現嘗試利用漏洞的攻擊行為，但現在有人進行更具破壞性的攻擊行動。美國系統網路安全研究院（SANS Institute）於5月10日指出，他們從密罐裡發現了針對CVE-2022-1388的攻擊行動，駭客來源的IP位址為177.54.127[.]111，但值得留意的是，駭客對於攻擊目標的BIG-IP系統下達了rm -rf /*命令，企圖刪除該系統上的所有檔案。</p> <p>研究人員Kevin Beaumont也觀察到相關的攻擊行動，並指出從物聯網搜尋引擎Shodan發現到不少BIG-IP設備都停止回應，疑似和這種破壞性攻擊有關。對此，F5表示正在尋求SANS合作調查此事，並呼籲用戶儘速採取緩解措施，且不要把BIG-IP的管理介面曝露於網際網路。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bpfdoor-stealthy-linux-malware-bypasses-firewalls-for-remote-access/"><span style="color: rgb(0, 0, 0);">後門程式BPFDoor鎖定Linux與Solaris主機而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1652238177-firewall-redirect-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1652238177-firewall-redirect-diagram.png" style="width: 300px; float: right;" /></a>有駭客組織利用後門程式感染Linux、Solaris主機，經過5年一直沒有被發現。<a href="https://doublepulsar.com/bpfdoor-an-active-chinese-global-surveillance-tool-54b078f1a896">研究人員Kevin Beaumont近日指出</a>，他在2021年觀察中國駭客組織Red Menshen的攻擊行動，駭客利用名為BPFDoor的後門程式，鎖定Linux與Solaris的主機而來，攻擊美國、韓國、香港、土耳其、印度、越南，以及緬甸等國家的組織，受害對象涵蓋了政府機關、郵政及物流系統，以及教育平臺。此後門程式濫用Berkeley Packet Filter的監聽器，從網路層可以看到流量及傳輸資料，而不受防火牆的流量控管，攻擊者得以暗中行動超過5年。</p> <p><a href="https://www.pwc.com/gx/en/issues/cybersecurity/cyber-threat-intelligence/cyber-year-in-retrospect/yir-cyber-threats-report-download.pdf">PwC的資安研究員也對這個後門程式進行追蹤</a>，指出這些駭客疑似透過知名主機代管供應商的虛擬專用伺服器（VPS），並向受害組織的BPFDoor下達命令，而這些VPS主機又透過位於臺灣且遭到入侵的路由器進行管理，進而建立VPN隧道。<a href="https://www.sandflysecurity.com/blog/bpfdoor-an-evasive-linux-backdoor-technical-analysis/">資安業者Sandfly Security指出</a>，此後門程式能讓網路封包看起來沒有惡意行為，並竄改防火牆的iptables規則允許攻擊者傳送的封包通過，且在執行過程中偽裝成Linux系統的處理程序，而能逃過資安系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-display-blood-is-on-your-hands-on-russian-tv-take-down-rutube/"><span style="color: rgb(0, 0, 0);">駭客竄改俄羅斯勝利日的電視節目表，並攻陷當地影音串流平臺RuTube</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Russian-TV-schedule-hacked-20220510-1120-47465.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Russian-TV-schedule-hacked-20220510-1120-47465.png" style="width: 200px; float: right;" /></a>俄羅斯總統普丁於5月9日的「勝利日」發表談話，並舉行閱兵典禮，但在同一天駭客也針對該國的新聞媒體出手，竄改網站上的節目表內容。根據資安新聞網站Bleeping Computer報導，英國廣播公司記者Francis Scarr發現，有人在當天早上對Russian TV網站上的電視節目表內容動了手腳──大部分節目名稱，被換成：「你的雙手流著數以千計烏克蘭人的血，數百名孩童被謀殺，電視臺和當局正在說謊。請對戰爭說不。」上述遭到竄改的節目表內容，也被Google與Yandex搜尋引擎轉載，間接散播到搜尋該電視臺節目表資訊的用戶。</p> <p>除了電視臺的網站，駭客也癱瘓俄羅斯的影音串流平臺RuTube，該網站也發布公告表明遭到網路攻擊，並強調用戶上傳的影響與資料不受影響。究竟這兩起與勝利日時間點相當巧合的攻擊行動，背後的攻擊者是該國內部反戰人士，還是其他國家的駭客組織，目前仍不得而知。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/us-eu-blame-russia-for-cyberattack-on-satellite-modems-in-ukraine/"><span style="color: rgb(0, 0, 0);">美國、英國、歐盟提出證據並指控俄羅斯是衛星網路Ka-Sat攻擊事件的幕後黑手</span></a></strong></h3> <p>美國衛星網路Ka-Sat於俄羅斯進軍烏克蘭當日（2月24日），就遭遇到駭客攻擊而癱瘓，美國衛星通訊業者Viasat於3月底公布調查結果，資安業者SentinelOne隨後揭露駭客所使用的惡意程式，而此事到了最近又有新的進展。美國、英國、歐盟紛紛於5月10日指控，根據他們所掌握的情報，此起網路攻擊是俄羅斯所策畫，目的是為了擾亂烏克蘭軍隊的指揮與聯繫，以利俄羅斯軍隊的武裝行動。</p> <p>但這起網路攻擊同時也波及德國的風力發電，並對於其他歐洲國家造成影響，突顯俄羅斯在網路空間為所欲為，完全不考慮可能會危及其他國家的情況。對此，歐盟正考慮採取進一步的措施來防範類似的攻擊行為，亦表明會對烏克蘭提供必要的資源，來強化該國的網路韌性。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/costa-rica-declares-national-emergency-after-conti-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">哥斯大黎加遭到勒索軟體Conti攻擊，宣布進入緊急狀態</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150605#Costa-Rica">哥斯大黎加政府的基礎架構於4月下旬，傳出遭到勒索軟體Conti攻擊</a>，影響該國財政部、勞動部等機關，駭客索討千萬美元贖金遭到該國政府拒絕。然而，這起事故引發的效應似乎在持續擴大當中。該國新任總統羅德里戈．查韋斯（Rodrigo Chaves）於5月8日上任當日簽署42542號行政命令，宣布全國將進入緊急狀態，原因是勒索軟體Conti仍在持續發動攻擊。</p> <p>資安新聞網站Bleeping Computer指出，這些駭客宣稱竊得672 GB資料，目前對外洩露的比例約為整體內容的97%，根據該新聞網站分析，這些外洩的資料波及該國的財政部、勞動部（MTSS）、社會發展暨家庭津貼基金（FODESAF）、阿拉胡埃拉校際總部（SIUA）等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lincoln-college-to-close-after-157-years-due-ransomware-attack/"><span style="color: rgb(0, 0, 0);">美國林肯學院因勒索軟體攻擊被迫閉校</span></a></strong></h3> <p>學校在疫情中苦撐，若是再遇到勒索軟體攻擊，很可能將是壓倒校方的最後一根稻草，讓經營者不得結束學校的運作。位於美國伊利諾州的林肯學院（Lincoln College）近日發布公告，該校在經歷了這兩年的武漢肺炎大流行，再加上去年12月的勒索軟體攻擊事故，導致校方決定於今年5月13日關閉學校，結束長達157年的運作。林肯學院指出，這起勒索軟體攻擊事故導致該校網站停擺，招生、募款相關系統亦無法運作，直到今年3月才完全復原，此時發現今年秋季招生將不如預期，將即使他們透過募款、出售資產等方式調度資金，該校財務狀況仍不見起色，迫使他們不得不做出上述的決定。</p> <h3><strong style="font-size: 22px;"><a href="https://jfrog.com/blog/npm-supply-chain-attack-targets-german-based-companies/"><span style="color: rgb(0, 0, 0);">有人假冒德國企業的名義發布惡意NPM套件，經追查竟是紅隊演練公司所為，引起爭議</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/blog-npm-malware-gxm-setup.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-npm-malware-gxm-setup.jpg" style="width: 300px; float: right;" /></a>研究人員多次在NPM套件庫裡發現惡意套件，如今疑似也有紅隊演練公司上傳這種套件來強化客戶的開發安全。資安業者JFrog、ReversingLabs，最近依循資安業者Synk於4月底找到的惡意套件gxm-reference-web-auth-server，進一步追查後發現還有其他類似特徵的套件，疑似針對德國知名媒體、物流業者、工業公司進行供應鏈攻擊。</p> <p>駭客以bertelsmannnpm、boschnodemodules、stihlnodemodules、dbschenkernpm的ID名稱來上傳這些套件，他們很可能是假冒博德曼（Bertelsmann）、博世（Bosch）、Stihl、DB Schenker等德國公司的名義，想要讓開發人員相信套件是由上述企業提供。一旦開發人員安裝這些套件，電腦就有機會被植入後門程式。不過，研究人員指出，奇怪的是，駭客似乎沒有隱匿意圖攻擊的目標，使用的混淆手法也相當容易拆解。</p> <p>而這起事件到了5月10日有了進一步的進展，德國紅隊演隊公司Code White表示，這些惡意套件是他們為客戶模擬紅隊攻擊的演練情境所用，製作者的身分是一名研究相依混淆（Dependency Confusion）攻擊手法的實習生，並表明他們也製作類似的Yarn套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/wp-content/uploads/2022/05/crowdstrike-iceapple-a-novel-internet-information-services-post-exploitation-framework.pdf"><span style="color: rgb(0, 0, 0);">駭客利用IceApple漏洞利用工具包攻擊Exchange伺服器</span></a></strong></h3> <p>駭客攻擊Exchange伺服器的情況不時有事故傳出，但如今已有專門針對這套郵件系統而來的漏洞利用工具包出現。資安業者CrowdStrike指出，他們在2021年底發現名為IceApple的漏洞利用工具包，攻擊者在入侵受害組織並初步成功存取網路之後，開始利用這個工具包對Exchange伺服器下手。研究人員對於此漏洞利用工具包進行分析後發現，駭客不只能將其用來攻擊Exchange伺服器，還能對IIS網站伺服器下手，該工具包由.NET開發而成，至少內含18個模組。</p> <p>而對於攻擊者的身分，研究人員根據事故受害的組織進行分析，他們推測很有可能與中國有關。</p> <p>從IceApple的運作方式觀察，研究人員指出，該工具包的所有模組都是在記憶體內執行，乍看之下受害伺服器執行的工作，很像是IIS網站伺服器組合檔案的過程裡衍生了暫存檔案。而這麼做的目的，很有可能是攻擊者想要把遺留下來的資料盡可能減少，增加研究人員調查的難度。</p> <p>由於此漏洞利用工具包不光能用於攻擊Exchange伺服器，還有可能對其他的Windows應用程式伺服器下手，該公司呼籲，組織應該要儘速修補包含Exchange伺服器在內網頁應用程式，以免遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://news.agcocorp.com/news/agco-announces-ransomware-attack"><span style="color: rgb(0, 0, 0);">美國農業設備製造商AGCO遭勒索軟體攻擊</span></a></strong></h3> <p>美國日前才針對農業單位提出警告，勒索軟體駭客會利用耕作關鍵時機來對於合作社下手，但最近有生產相關設備的業者也成為受害者。美國農業設備製造商愛科（AGCO）於5月6日發布新聞稿證實，他們於5月5日遭到勒索軟體攻擊，部分的生產設施受到影響，預計影響接下來幾天的營運，但不確定恢復服務的時間。</p> <p>該公司對於遭到攻擊的原因沒有進一步說明。但<a href="https://news.agcocorp.com/news/agco-agriculture-foundation-donates-to-farmer-focused-initiative-borsch-in-ukraine">愛科旗下的農業基金會（AAF）在5日宣布對烏克蘭捐款5萬美元</a>，這筆錢將用於為當地農民購買種植蔬菜的種子，這起攻擊事件很有可能是俄羅斯駭客對於愛科向烏克蘭提供援助的報復行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www3.nhk.or.jp/news/html/20220510/k10013620031000.html"><span style="color: rgb(0, 0, 0);">日本服飾業者思夢樂傳出遭勒索軟體LockBit 2.0攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-Shimamura-1652285951430.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-Shimamura-1652285951430.jpeg" style="width: 300px; float: right;" /></a>鎖定日本企業的勒索軟體事件最近已有數起，先前有汽車大廠Toyota的零件供應商小島工業（Kojima Industries）、電綜（Denso）受害，而如今這樣的攻擊也出現在服飾業。根據NHK、讀賣新聞、Yahoo!新聞等多家日本新聞媒體於5月10日的報導，日本服飾業者思夢樂（Shimamura）於黃金周假期（4月29日至5月5日）遭到了勒索軟體攻擊，NHK亦指出發動攻擊的勒索軟體是LockBit 2.0。</p> <p><a href="https://www.shimamura.gr.jp/assets-c/uploads/74c0907543e766d3f9d0fd5df3e5faac964b4a0c.pdf">思夢樂也在11日證實</a>，他們於5月4日晚間遭到網路攻擊，導致隔日全日本2,200家門市無法提供現金以外的付款方式，門市沒有現貨的產品也無法訂貨，到了6日，所有門市的非現金付款機制恢復正常。該公司尚未發現客戶或員工個資外洩的情形。<a href="https://news.yahoo.co.jp/byline/yamadatoshihiro/20220512-00295638">根據Yahoo!新聞於12日的報導指出</a>，LockBit 2.0於9日宣稱竊得思夢樂逾16 GB的資料，並要求該公司於16日前支付贖金，否則就要洩露這些資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/cobalt-mirage-conducts-ransomware-operations-in-us"><span style="color: rgb(0, 0, 0);">伊朗駭客利用Windows內建的磁碟加密工具，對美國組織發動勒索軟體攻擊</span></a></strong></h3> <p>駭客利用Windows作業系統內建的BitLocker來加密檔案，這種攻擊手法已有前例，但最近又有類似的攻擊事故發生。資安業者Secureworks指出，他們觀察到名為Cobalt Mirage的伊朗駭客組織，於今年的1月、3月，分別對於美國慈善機構與地方政府發動的攻擊行動，其共通點是使用Windows作業系統內建的BitLocker，或是開放原始碼的DiskCryptor。</p> <p>值得一提的是，這兩起攻擊事件駭客入侵的管道，前者為利用Fortinet SSL VPN與Exchange伺服器漏洞，後者則是透過VMware Horizon的Log4Shell漏洞，因此研究人員指出，在加密檔案的手法以外，駭客嘗試以不同的途徑來發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ukraine-warns-of-chemical-attack-phishing-pushing-stealer-malware/"><span style="color: rgb(0, 0, 0);">駭客以軍事情報為幌子寄送釣魚郵件，向烏克蘭人散布竊密軟體Jester Stealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/jester-stealer-attachment.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/jester-stealer-attachment.png" style="width: 300px; float: right;" /></a>俄羅斯軍隊傳出在發動攻擊的過程使用生化武器，引起烏克蘭民眾的恐慌，有駭客假借提供俄羅斯軍隊攻擊情報的名義來進行網路攻擊。烏克蘭電腦緊急應變小組（CERT-UA）近日提出警告，有人假借提供俄羅斯軍隊即將使用化學武器攻擊的時間點，發動釣魚郵件攻擊，郵件裡挾帶了含有巨集的Excel附件，一旦收信人開啟檔案，此巨集將會從遠端下載竊密程式Jester Stealer的可執行檔（EXE），並在受害電腦上執行。該單位指出，駭客將竊密程式上傳到已遭入侵的網站，藉此埋藏駭客的基礎設施。</p> <p>一旦受害電腦感染Jester Stealer，瀏覽器、收信軟體、即時通訊軟體的資料，將會透過AES-CBC-256的加密連線，透過洋蔥網路（Tor）伺服器回傳到駭客手上，攻擊者再用於其他攻擊行動或是在黑市出售。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberscoop.com/lockbit-ransomware-attack-bulgarian-refugee-agency/"><span style="color: rgb(0, 0, 0);">俄羅斯勒索軟體駭客LockBit攻擊保加利亞難民收容機構</span></a></strong></h3> <p>隨著烏克蘭戰爭的情勢對於俄羅斯越來越不利，原本表態不涉及政治的駭客組織也參與了攻擊行動。根據新聞網站CyberScoop的報導，勒索軟體駭客組織LockBit於5月4日宣稱，他們已經攻陷保加利亞政府收留難民的機構國家難民署，並打算在9日公布從該單位竊得的資料，但該組織是否索討贖金不得而知。由於保加利亞政府已經收留逃離家園的數十萬名烏克蘭難民，此次攻擊事件很可能會涉及難民的人身安全。保加利亞國家難民署也在網站上發布公告，表示他們的電子郵件信箱因為網路問題，暫時無法使用。</p> <p>由於LockBit在俄羅斯開始向烏克蘭出兵的時候，表態他們以經濟利益為主要目標，對於此事保持中立態度，沒有打算力挺俄羅斯或是烏克蘭，此起攻擊事件顯然打破該組織不插手烏克蘭戰爭的承諾。</p> <h3><strong style="font-size: 22px;"><a href="https://www.hackread.com/anonymous-nb65-hacki-russia-payment-processor-qiwi/"><span style="color: rgb(0, 0, 0);">駭客組織NB65聲稱入侵俄羅斯支付平臺Qiwi，但遭到否認</span></a></strong></h3> <p>與匿名者（Anonymous）有關的駭客組織NB65，最近再度對俄羅斯出手，這次他們於5月1日宣稱，攻擊了俄羅斯支付業者Qiwi，取得10.5 TB資料，內容包含了3千萬筆付款記錄，以及1250萬張信用卡，並透過勒索軟體加密該業者的網路環境。由於Qiwi的業務範圍橫跨俄羅斯與獨立國家國協（CIS），這些駭客表示，他們發動攻擊的動機，就是要癱瘓俄羅斯的金融系統，並揚言若是Qiwi不予理會，將會在3天之後每日公布100萬筆記錄。</p> <p>後來，NB65於5月5日發布了2個檔案下載連結，並宣稱內含700萬個信用卡卡號，以及完整的付款記錄。針對這起攻擊事件，Qiwi向俄羅斯官方媒體塔斯社（TASS Russian News Agency）否認此事，並表示付款服務皆正常運作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/ukrainians-ddos-russian-vodka/"><span style="color: rgb(0, 0, 0);">烏克蘭發動DDoS攻擊，鎖定俄羅斯酒品供應鏈</span></a></strong></h3> <p>烏克蘭戰爭開打後，俄羅斯大型企業也接連遭到聲援烏克蘭的駭客攻擊，而可能會波及俄羅斯的民生。根據俄羅斯新聞網站Vedomosti的報導指出，烏克蘭IT軍隊、提供攻擊俄羅斯DDoS工具的業者DisBalancer，兩個組織疑似在5月2日至3日，癱瘓了俄羅斯的酒品會計資訊系統EGAIS，其中一家生產烈酒的公司員工向Vedomosti透露，該公司在5月2日發現部分系統出現異常，隔日災情持續擴大。而這起DDoS事故影響了當地伏特加、葡萄酒，以及其他酒精飲料的出貨，導致這些供應商無法將這些貨物送至物流中心配送。雖然俄羅斯政府聲稱，EGAIS出現故障與酒精飲料需求大增有關，而非遭到網路攻擊，但後續情況有待觀察。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/05/10/a-german-car-attack-on-german-vehicle-businesses/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定德國汽車產業散布竊密程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/German-Automobile-phishing-Picture12.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/German-Automobile-phishing-Picture12.png" style="width: 300px; float: right;" /></a>駭客鎖定特定產業發動釣魚攻擊，並使用極為近似的網域，而使得受害者難以識破意圖。資安業者Check Point揭露約自2021年7月開始的德國汽車產業攻擊行動，駭客的目標主要是當地的汽車經銷商與製造商，且假借購車的名義寄送釣魚郵件。駭客於郵件中挾帶ISO映像檔，一旦收信人依照指示開啟映像檔裡的HTML應用程式檔案（HTA），電腦就會顯示德文的汽車購買合約，但在此同時，HTA檔案也在背景執行VBScript程式碼，進而於受害電腦下載並執行Raccoon Stealer、AZORult，以及BitRAT等竊密軟體。</p> <p>研究人員指出，他們將這起攻擊行動追蹤到14個與德國汽車產業有關的組織，而攻擊行動的高峰出現在2021年10月底、2021年11月底，以及2022年3月中旬，且在研究人員公布細節時攻擊行動仍在持續進行。根據駭客將竊密軟體上傳到伊朗網域，研究人員認為，攻擊者很可能來自伊朗。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/05/apt34-targets-jordan-government-using-new-saitama-backdoor/"><span style="color: rgb(0, 0, 0);">伊朗駭客組織APT34使用後門程式Saitama向約旦外交單位發動攻擊</span></a></strong></h3> <p>伊朗駭客組織鎖定中東國家的攻擊行動不時傳出，而且手法也變得更加隱密。資安業者Malwarebytes指出，他們在4月26日看到針對約旦外交部的釣魚郵件，駭客假冒約旦的政府官員，寄送確認文件檔案已收到的信件，並要求對方儘快填寫附件的Excel檔案，一旦收信人開啟附件，並依照指示啟用巨集功能，他們就會看到約旦政府的標誌，但另一方面，此巨集也偷偷下載後門程式Saitama到受害電腦。根據惡意文件檔案與後門程式的分析，研究人員認為攻擊者是伊朗駭客組織APT34（亦稱OilRig、Cobalt Gypsy、Helix Kitten）。</p> <p>值得留意的是，駭客在Saitama後門程式反偵測機制裡，運用虛擬亂數產生器（Pseudo Random Number Generator，PRNG）的演算法來隱匿C2伺服器的IP位址，並藉由多次、長達數個小時的睡眠模式，來減少被資安系統察覺的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/05/bitter-apt-adds-bangladesh-to-their.html"><span style="color: rgb(0, 0, 0);">駭客組織Bitter鎖定孟加拉散布木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bitter-Excel-image11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bitter-Excel-image11.jpg" style="width: 300px; float: right;" /></a>思科揭露駭客組織Bitter自2021年8月開始進行的攻擊行動，駭客鎖定孟加拉政府機關下手，利用看起來像是來自巴基斯坦政府單位的電子郵件信箱寄送釣魚郵件，攻擊者很可能是透過協作平臺Zimbra的郵件伺服器弱點，進而達成欺騙收信人的目的。這些釣魚郵件有些是挾帶RTF檔案，有些則是挾帶Excel檔案，都是以公務有關的電話記錄與號碼驗證為主旨，引誘公務人員上鉤。</p> <p>這件郵件的附件濫用內建於微軟Office軟體的方程式編輯器，透過CVE-2017-11882、CVE-2018-0798、CVE-2018-0802等漏洞觸發，進而在受害電腦下載並執行名為ZxxZ的木馬程式，並以Windows安全更新服務的名義執行。此木馬程式會刪除Microsoft Defender或卡巴斯基防毒軟體的處理程序，再行收集用戶資料的工作並回傳。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/nerbian-rat-using-covid-19-themes-features-sophisticated-evasion-techniques"><span style="color: rgb(0, 0, 0);">木馬程式Nerbian RAT鎖定義大利、西班牙、英國而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Nerbian-RAT-2022-05-10 at 8_58_09 AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nerbian-RAT-2022-05-10%20at%208_58_09%20AM.png" style="width: 300px; float: right;" /></a>武漢肺炎疫情蔓延至今，部分國家已經開始走向與病毒共存的階段，有攻擊者假借衛生單位的名義來散布惡意軟體。資安業者Proofpoint發現，有人自4月26日開始，針對義大利、西班牙、英國的實體，聲稱是世界衛生組織（WHO）、愛爾蘭健康服務局（HSE），以及愛爾蘭盲人國家協會（NCBI），以武漢肺炎的衛教資訊為誘餌，發動網路釣魚攻擊，進而散布以Go語言開發的木馬程式Nerbian RAT。比較特別的是，駭客在攻擊的過程中，使用名為Chacal的滲透測試框架，來回避研究人員在虛擬機器（VM）觸發木馬程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.uptycs.com/blog/kuraystealer-a-bandit-using-discord-webhooks"><span style="color: rgb(0, 0, 0);">有人提供駭客打造惡意軟體KurayStealer的框架工具，使得衍生的變種接連出現</span></a></strong></h3> <p>駭客取得惡意軟體的方式，除了自行打造或是直接向開發者購買，現在也出現了簡易開發工具，讓這些駭客能自訂想要的功能。資安業者Uptycs於4月27日發現竊密軟體KurayStealer，經調查後發現，名為Portu的西班牙人士約從23日開始，在Discord和YouTube上打廣告，提供打造此竊密軟體的Python工具，並對其他延伸功能的部分收費。比較特別的是，這組工具打造出來的KurayStealer變種，可針對21種上網應用程式竊取帳密與憑證，然後經由Discord提供的Webhook機制，將資料回傳給攻擊者。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/05/12/a-closer-look-at-eternity-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體工具包Eternity供駭客購買竊密程式、蠕蟲、勒索軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Product-Information.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Product-Information.png" style="width: 300px; float: right;" /></a>駭客取得各式攻擊工具，很可能只要向一個惡意軟體供應者下單，就能透過Telegram取得所需的工具。資安業者Cyble揭露名為Eternity的惡意軟體工具包，有人藉此提供駭客竊密軟體、DDoS機器人（Bot）、蠕蟲程式，以及勒索軟體等，駭客只要點選想要使用的攻擊工具與相關功能並付款後，就能利過Telegram機器人自動產生攻擊程式。研究人員指出，雖然他們還沒逐一驗證所有模組是否都具備開發者宣稱的能力，但已經看到有人利用上述機器人產生的工具進行攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.kyberturvallisuuskeskus.fi/fi/varoitus_1/2022"><span style="color: rgb(0, 0, 0);">安卓木馬FluBot透過多媒體簡訊向芬蘭散布</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/flubot.png.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/flubot.png.jpg" style="width: 300px; float: right;" /></a>芬蘭國家網路安全中心（NCSC-FI）於5月10日發布資安通告，指出安卓惡意程式FluBot的攻擊行動再度升溫，但有別於去年底出現的大規模攻擊行動，駭客不只使用一般的文字簡訊發動網釣攻擊（Smishing），也可能透過多媒體簡訊（MMS）來進行。攻擊者可能以語音訊息、未接來電通知等名義，引誘對方透過簡訊裡的連結下載、安裝惡意程式FluBot。雖然這起攻擊行動的主要目標是安卓手機用戶，但NCSC-FI指出，iPhone用戶若是點選簡訊的連結，將會被引導到詐騙網站。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/check-your-gems-rubygems-fixes-unauthorized-package-takeover-bug/"><span style="color: rgb(0, 0, 0);">套件管理平臺RubyGems出現可用來竄改套件的漏洞</span></a></strong></p> <p>NPM開發套件管理平臺日前爆發數起冒名發布惡意軟體的攻擊事故，駭客疑似利用該平臺的漏洞，假冒知名套件的開發者上架惡意軟體，但最近其他套件管理平臺也出現類似漏洞。RubyGems套件管理平臺近期指出，他們甫修補平臺的重大漏洞CVE-2022-29176，這項漏洞與該平臺的取消發布（亦稱為Yank）功能有關，一旦攻擊者加以利用，就能先下架原本的Gem套件，並以相同的檔案名稱與版本，重新上架帶有攻擊意圖的惡意版本。</p> <p>RubyGems指出，專案名稱含有波折號、在30天內建立的新專案，以及超過100天沒有更新的專案，就有可能受到上述的漏洞影響。根據該平臺的內部調查，最近18個月裡沒有出現利用此漏洞的惡意行為，他們也著手完成了相關修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/en/security-advisory/qsa-22-07"><span style="color: rgb(0, 0, 0);">威聯通視訊監控錄影系統存在漏洞，恐被用於RCE攻擊</span></a></strong></h3> <p>威聯通（QNAP）於5月6日，針對旗下的視訊監控錄影（DVR）解決方案發布資安通告，指出執行QVR作業系統的VS系列NVR設備，存在重大漏洞CVE-2022-27588，一旦攻擊者利用這項漏洞，將有可能遠端執行任意命令，CVSS風險層級為9.8分。這項漏洞存在於QVR作業系統5.1.6版、組建20220401版之前的版本，該公司呼籲用戶應儘速安裝新版軟體。<a href="https://www.bleepingcomputer.com/news/security/qnap-fixes-critical-qvr-remote-command-execution-vulnerability/">資安新聞網站Bleeping Computer提出警告</a>，這樣的漏洞很可能會被用於RCE攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.rapid7.com/blog/post/2022/05/12/cve-2022-30525-fixed-zyxel-firewall-unauthenticated-remote-command-injection/"><span style="color: rgb(0, 0, 0);">研究人員揭露Zyxel防火牆遠端命令注入漏洞，並指控廠商未經公告就上架修補程式恐讓用戶曝險</span></a></strong></h3> <p>資安業者Rapid7於今年4月中旬，發現臺廠Zyxel資安設備的漏洞CVE-2022-30525，這項漏洞存在於部分支援零接觸部署（Zero Touch Provisioning，ZTP）功能的防火牆設備，包含ATP、USG Flex產品線，以及USG20-VPN與USG20W-VPN兩款機種，影響執行ZLD 5.00至5.21 Patch 1韌體的設備。攻擊者一旦利用上述漏洞，就有機會在沒有經過身分驗證的情況下，透過nobody使用者進行遠端命令注入攻擊，CVSS風險層級達到9.8分。</p> <p>但研究人員指控，Zyxel在沒有通知他們的情況下，就在4月28日悄悄地推出新的5.30版韌體予以修補，沒有發布資安通告，或是登錄CVE漏洞編號，直到5月9日Rapid7察覺此事，Zyxel才於5月10日將漏洞登記為CVE-2022-30525進行列管，並<a href="https://www.zyxel.com/tw/zh/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml">於12日發布資安通告</a>。研究人員認為，這種悄悄推出修補程式的做法，形同公開漏洞的細節，因為駭客能藉由逆向工程的方式解析修補程式，得知如何精確利用漏洞，而使得還不知道要修補的用戶曝露於漏洞的風險當中。</p> <p>針對Rapid7的說法，我們也向兆勤科技進一步詢問，該公司表示：「此事係因雙方對於揭露的定義不同，在Rapid7通報我們漏洞60天的期限內，剛好遇到防火牆定期韌體更新，RD就順勢將patch放進去，而Rapid7認為這樣就算公告，但我們其實是有排定對外公告的時程，且都有遵守相關規定。在溝通後，Rapid7也同意了我們說法。」</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/intel-patches-high-severity-vulnerabilities-bios-boot-guard"><span style="color: rgb(0, 0, 0);">Intel修補UEFI韌體高風險漏洞</span></a></strong></h3> <p>Intel於5月10日發布資安通告，指出旗下多款處理器存在漏洞並提供新版韌體修補。<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00601.html">其中最嚴重的4個漏洞CVSS風險層級為8.2分</a>，可被攻擊者用於本地提升權限，這些漏洞是CVE-2021-0154、CVE-2021-0153、CVE-2021-33123，以及CVE-2021-0190，影響部分採用Core i第7至第10代處理器的筆電和桌上型電腦，以及搭載Xeon處理器的工作站與伺服器。再者，<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00613.html">該公司也針對安全啟動防護機制Boot Guard與可信賴執行技術（TXT），修補CVE-2022-0004</a>，攻擊者有機會用於提升於受害電腦的權限，CVSS風險層級為7.3分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hp-fixes-bug-letting-attackers-overwrite-firmware-in-over-200-models/"><span style="color: rgb(0, 0, 0);">HP修補逾200款HP電腦與筆電的韌體漏洞，若不修補，恐被攻擊者取得作業系統核心權限執行程式碼</span></a></strong></h3> <p>HP於5月10日針對旗下的PC與筆記型電腦韌體，修補<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://nvd.nist.gov/vuln/detail/CVE-2021-3808" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id-824912768" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">CVE-2021-3808</span></a>、<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="3" href="https://nvd.nist.gov/vuln/detail/CVE-2021-3809" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id-824912769" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">CVE-2021-3809</span></a>兩個漏洞，這些漏洞可能被攻擊者用來執行任意程式碼，CVSS風險層級為8.8分。該公司的公告指出，商用筆電產品線EliteBook、Elite Dragonfly、ProBook、Zbook、ZHAN Pro系列，以及桌上型電腦、POS主機、精簡型電腦（Thin Client）等都有機種存在上述漏洞，總共超過200款裝置受到影響。根據向HP通報漏洞的研究員Nicholas Starke指出，攻擊者透過這些漏洞，能將權限提升到系統管理模式（SMM）層級，而得以完全控制受害電腦，且攻擊者可從作業系統觸發SMI Handler來進行攻擊，他呼籲用戶應儘速安裝新版韌體來緩解漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2022-patch-tuesday-fixes-3-zero-days-75-flaws/"><span style="color: rgb(0, 0, 0);">微軟發布5月例行修補，修補75個漏洞，其中3個為零時差漏洞</span></a></strong></h3> <p>微軟於5月10日發布例行修補（Patch Tuesday），當中總共修補了75個漏洞，當中有8個為重大漏洞，一旦攻擊者利用，有可能藉此發動RCE攻擊，或是提升權限。這些漏洞當中有3個為零時差漏洞，又以CVE-2022-26925最值得留意，因為駭客已將該漏洞用於攻擊行動。此漏洞與NT LAN Manager（NLTM）有關，CVSS風險指數為8.1分，攻擊者可在未經身分驗證的情況下，強制網域控制器以NTLM向攻擊者進行身分驗證，進行NTLM中繼攻擊（NTLM Relay Attack），所有版本的Windows用戶端、伺服器版作業系統都存在上述漏洞。</p> <p>微軟特別提到，若是攻擊者透過AD憑證服務（AD CS）與此漏洞串連，CVSS風險層級將大幅提升至重大等級的9.8分。該公司亦建議組織的IT人員，參考他們去年對於PetitPotam漏洞發布的資安通告，來取得緩解NTLM中繼攻擊的相關資訊。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/ft-AcIkeF4A" title="YouTube video player" width="560"></iframe></p> </div></div></div>
2022/5/15 09:07作者周峻佑https://www.ithome.com.tw/news/150921
美政府將全力發展量子資訊科學，並開始要求當地政府機構系統遷徙至PQC系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_bai_deng_qian_shu_di_10hao_guo_jia_an_quan_bei_wang_lu_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>量子科技與量子電腦破密威脅，近年已成全球政府關注的議題，而對於美國而言，當然也希望及早取得這類技術領域的領導地位。</p> <p>而在今年的5月4日這天，美國總統拜登正式簽署第10號國家安全備忘錄，簡稱為NSM-10，當中對於國家量子技術發展提出了多項指示。</p> <p>首先，國家必須維繫該領域的主導地位；而在量子資訊科學（Quantum information science，QIS）方面，這是國家保持競爭優勢所需的關鍵，並要降低量子電腦對國家網路、經濟與安全的風險，因此，拜登要求各政府機構接下來要採取行動，將容易受到量子電腦衝擊的密碼系統，遷移到後量子密碼學的系統。</p> <p>縱觀這份備忘錄的內容，有哪些重點？</p> <p>以政策面而言，白宮認為，量子電腦具備推動全美經濟創新的潛力，不論是材料科學、金融到能源等各領域，都有可能受惠，，儘管目前還無法完全找出量子電腦可應用的面向與能力，但顯而易見的是，美國如果要在技術與科學居於領導地位，至少有部分關鍵將取決於此，而且，國家在量子運算與量子資訊科學領域，必須保持競爭優勢。</p> <p>因此，從這份備忘錄公開的內容當中，我們可以看到該國量子技術的具體規畫。</p> <p>例如：QIS研究計畫的核心投資標的，應該要聚焦在新的量子應用、量子元件製造新方法，以及光子、奈米與低溫半導體等各種相關的量子技術；同時，尋求及培養量子相關技能的下一代科學家與工程師，將QIS與相關網路安全的基礎教育納入學校課程，吸引這方面專家在國內就業，留住人才。</p> <h2><strong>針對量子破密威脅，美政府機構正提出具體行動</strong></h2> <p>除了量子運算發展所帶來的諸多好處，對於量子運算所產生的風險，在這份備忘錄中也有相關的指示。這是因為，量子運算其應用發展之一，是用於密碼分析相關的量子電腦（Cryptanalytically Relevant Quantum Computer，CRQC），其能力可破解全球數位系統所使用的公開金鑰密碼學系統。</p> <p>因此，為了平衡美國在量子運算上的競爭機會與潛在風險，美國除了要持續投資量子運算，也要逐步更換國家的密碼系統，遷移到可對抗量子運算的密碼學系統上。</p> <p>事實上，在今年1月，拜登簽署的第8號國家安全備忘錄中，就已經首度提及此議題。而在本次備忘錄中，提出更進一步的要求。</p> <p>例如，在接下來90天之內，美國的商務部長將與國家標準技術研究所（NIST）總監合作，成立工作小組，共同研究如何推動採用後量子密碼（PQC）技術。</p> <p>因PQC標準將在2024年正式發布，美國聯邦民事行政部（FCEB）發出指示，他們說，在NIST發布第一套技術標準，且相關標準已在商業產品當中實施之前，不得購買任何後量子密碼系統，但FCEB祭出這項限制之餘，也鼓勵各機構去測試這類商業產品。</p> <p>對於要求各政府機構遷移到後量子密碼學系統，美國國家安全局（NSA）也在同一天，發出了相關公告。</p> <p>他們表示，隨著白宮發布第10號國家安全備忘錄，作為國家安全系統（NSS）的管理者，對於使用此系統的五十多個政府部門和機構而言，由於這些系統包含機密資訊，或對軍事或情報行動至關重要，因此，國家安全局局長將監督這一遷移過程。</p> <p>NSA表示，該局將領導此一備忘錄中的許多任務，以確保NSS系統能夠對抗量子攻擊。在此同時，NIST與網路安全及基礎設施安全局（CISA），也將負責相關任務，例如，促使美國的關鍵基礎設施，以及其他的政府系統，都能遷移到基於後量子密碼學的系統上。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%8B%9C%E7%99%BB%E7%B0%BD%E7%BD%B2%E7%AC%AC10%E8%99%9F%E5%9C%8B%E5%AE%B6%E5%AE%89%E5%85%A8%E5%82%99%E5%BF%98%E9%8C%84.jpg" style="width: 600px;" /></p> <blockquote><p>近日拜登總統簽署第10號國家安全備忘錄，並宣布兩項推進量子技術的總統指令，而在美國國家量子倡議專屬網站上，也揭露了所有QIS相關資訊，大力推動該國量子科技的發展。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%8B%9C%E7%99%BB%E7%B0%BD%E7%BD%B2%E7%AC%AC10%E8%99%9F%E5%9C%8B%E5%AE%B6%E5%AE%89%E5%85%A8%E5%82%99%E5%BF%98%E9%8C%84.jpg" style="width: 600px;" /></p> <blockquote><p>在5月4日白宮簽署的第10號國家安全備忘錄中提到，在接下來的90天內，商務部長將與NIST合作成立一個工作小組，研究如何推動採用後量子密碼（pqc）技術。由於後量子密碼學標準將在2024年正式發布，FCEB機構也已發出指示，在NIST發布第一套技術標準且這些標準已在商業產品中實施之前，不得購買任何抗量子密碼系統。但也鼓勵機構測試這類商業產品。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%8B%9C%E7%99%BB%E7%B0%BD%E7%BD%B2%E7%AC%AC10%E8%99%9F%E5%9C%8B%E5%AE%B6%E5%AE%89%E5%85%A8%E5%82%99%E5%BF%98%E9%8C%84.jpg" style="width: 600px;" /></p> <blockquote><p>在美國國家量子倡議專屬網站上，揭露了所有QIS相關資訊，大力推動該國量子科技的發展。這樣的專屬網站與資源，不僅成為國際上的重要參考，也能成為國內借鏡，或是國內也能打造這樣的資訊平臺。</p> </blockquote> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/qis">QIS</a></div><div class="field-item odd"><a href="/tags/pqc">PQC</a></div><div class="field-item even"><a href="/tags/%E9%87%8F%E5%AD%90%E9%9B%BB%E8%85%A6">量子電腦</a></div><div class="field-item odd"><a href="/tags/%E9%87%8F%E5%AD%90%E6%8A%80%E8%A1%93">量子技術</a></div><div class="field-item even"><a href="/tags/%E5%BE%8C%E9%87%8F%E5%AD%90%E5%AF%86%E7%A2%BC%E5%AD%B8">後量子密碼學</a></div></div></div>
2022/5/15 10:53作者羅正漢https://www.ithome.com.tw/tech/150922
假帳號太少，馬斯克暫緩收購推特
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">上個月推特（Twitter）才宣布</a>接受世界首富馬斯克（Elon Musk）以440億美元收購下市的消息，不過馬斯克周五以推特假帳號比例不到5%為由，決定暫緩收購。這消息也讓推特股價頓時大跌超過10%。</p> <p><a href="https://twitter.com/elonmusk/status/1525049369552048129" target="_blank">馬斯克昨（13）日指出</a>，在等待推特提供垃圾／假帳號的用戶占例小於5%的支持數據期間，這樁交易將暫時打住。但他稍後又說，仍然有意願投入收購案。</p> <p>馬斯克這番決定是基於兩周前<a href="https://www.reuters.com/technology/twitter-estimates-spam-fake-accounts-represent-less-than-5-users-filing-2022-05-02/" target="_blank">路透社針對推特的證管會（SEC）申報文件所做的報導</a>。<a href="http://q4live.s22.clientfiles.s3-website-us-east-1.amazonaws.com/826641620/files/doc_financials/2019/q1/Q1-2019-Slide-Presentation.pdf" target="_blank">推特文件說明</a>，根據推特內部的採樣統計，其2019年第1季的可獲利每日主動用戶（monetizable daily active users，mDAU）及每月經常用戶中，假帳號或垃圾帳號不到5%。</p> <p>但推特也強調，該估計數僅反映當月抽樣的垃圾或假帳號情形，而推特的估計數字採保守態度，因此實際假或垃圾帳號可能更高。</p> <p>媒體分析，馬斯克之所以對此數據感到不安，是因為他收購推特原因之一是想消除平臺上許多垃圾機器人（spambot），這些機器人是用於散布政治宣傳或行銷廣告訊息，以致於破壞推特作為公共論壇的價值。若事實證明平臺上的機器人帳號並不多，則馬斯克的收購就失去了意義。</p> <p>馬斯克發文後，推特股價立即由周五的45美元大跌超過12%。同時間特斯拉股價則從728 美元上揚6%。</p> <p>不過或許這個理由有點太牽強，也引來猜測馬斯克或許從頭到尾都不是真心要收購推特，但礙於反悔要付給推特10億美元的條款，因而想找下臺階。</p> <p>自一個月前馬斯克收購推特的消息傳開後，已經讓這個社交平臺人心惶惶。由於現有員工薪酬包含股價選擇權，他們擔心下市會影響到薪資結構及合約。此外，雖然公司執行長Parag Agrawal曾說短期間不會有裁員計畫，<a href="https://www.ithome.com.tw/news/150913" target="_blank">不過上周已有2名高層自曝被執行長要求離職</a>，公司也凍結人力召募。</p> </div></div></div>
2022/5/14 14:43作者林妍溱https://www.ithome.com.tw/news/150920
SAS推3大解決方案攻醫療、能源和廣告，還聯手數位分身廠商要研擬碳排模擬系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數據分析大廠SAS本周宣布推出3大解決方案，包括臨床試驗招募模擬雲、電網守護AI、廣告服務平臺360 Match，要來解決醫療、能源和廣告等領域問題。SAS技術長Bryan Harris也預告，SAS將在今年第3季於主流開源平臺Kubernetes上推出Viya平臺服務，讓使用者可在地端環境操作。與許多科技大廠一樣，SAS聚焦ESG議題，今年開始與數位分身廠商Cosmo Tech聯手，除了打造一般商業應用，還可能進一步研發碳排放量模擬系統，作為日後Viya平臺ESG解決方案一環。</p> <p><strong><span style="font-size:22px;">力推雲端優先策略，今年要擴展至開源平臺</span></strong></p> <p>去年，SAS已與不少主流雲端平臺聯手，在微軟Azure、Google雲端平臺、AWS和紅帽OpenShift上推出Viya平臺，使用者可直接在這些雲端業者平臺上，使用Viya平臺功能。這麼做，可降低資料存取的障礙和異質資料來源問題，進而加速AI模型的開發、部署和管理，甚至減少分析成本。</p> <p>Bryan Harris指出，今年第3季，SAS將在K8s上推出地端版的Viya平臺服務，讓使用者可在地端環境使用。這對無法上雲的業者來說，是另一種選擇。</p> <p><span style="font-size:22px;"><strong>瞄準醫療、能源和廣告推出3大解決方案</strong></span></p> <p>作為落實雲端優先策略另一步，SAS揭露，接下來將推出醫療、能源IoT邊緣運算和廣告3大解決方案，利用雲端資源和分析技術來解決這3領域的特定問題。首先是臨床試驗招募模擬雲，這朵雲是為了因應疫苗、藥物開發所需的臨床試驗需求，不論是藥廠還是研究單位，都可用來模擬臨床試驗的試驗者招募狀況，進而調整招募策略，縮短醫藥上市時間。Bryan Harris透露，該應用之後也會在微軟Azure市集中推出。</p> <p>另一個解決方案則是電網守護（Grid Guardian）AI，是一款利用IoT裝置、架空配電設備的無線電頻率和機器學習的解決方案，電線竿上的配電設備就是架空配電設備之一。舉例來說，透過在垃圾車上安裝IoT感測器，隨著垃圾車定點移動、收垃圾，感測器可收集定點電線竿上架空配電設備無線電頻率，利用AI邊緣運算來預測是否會發生故障，及早訂定維護排程，來提高發電安全和輸電網可靠性。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-13%20at%207_20_20%20PM.png" /></p> <p>SAS技術長Bryan Harris舉例說明，Grid Guardian AI可透過垃圾車上安裝的感測器，來接收定點電線桿上的架空配電設備無線電頻率，再透過邊緣運算AI，來預測是否會發生故障。</p> </blockquote> <p>最後一個解決方案是360 Match，是一套建於雲端、針對第一方廣告商的服務平臺，整合了行銷界常見的顧客數據平臺（CDP）、行銷策略計畫和顧客旅程最佳化等技術，來串起整體顧客參與流程。這項解決方案也點出，以往著重金融、政府、醫療和製造領域的SAS，也進一步往行銷科技發展。</p> <p><span style="font-size:22px;"><strong>聯手數位分身平臺商，未來計畫發展數位分身</strong></span><strong style="font-size: 22px;">碳排放模擬系統</strong></p> <p>除此之外，在這次發布會中，SAS也宣布與新結盟的數位分身平臺商Cosmo Tech聯手，要藉助其數位分身技術，來強化模擬能力，推出新解決方案讓供應鏈管理端企業用來預測中斷、意外事件以及決策的結果。</p> <p>進一步來說，新解決方案將分析IoT裝置，如RFID標籤、生產線和車輛車載資通訊系統產出的數據，來動態預測整體運作狀況，並提前預警。SAS指出，數位分身應用初期將聚焦製造、消費產品和零售供應鏈，後續將擴大至醫療、金融服務等垂直產業。</p> <p>Bryan Harris透露，與Cosmo Tech聯手的目的在於，打造能預測企業業務執行狀況的數位分身。有了這個模擬基礎，未來就能發展出碳排放數位分身模擬系統，來提供企業自己產生的碳足跡，以及如何改善。未來考慮以獨立的產業解決方案推出，也可部署在SAS Viya平臺上。</p> </div></div></div>
2022/5/13 19:26作者王若樸https://www.ithome.com.tw/news/150917
合勤修補多個防火牆裝置的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zyxel.com/us/en/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml" target="_blank">臺灣合勤科技（Zyxel）於本周修補</a>了影響USG FLEX系列、ATP系列與VPN系列等防火牆裝置的安全漏洞CVE-2022-30525，這是一個作業系統命令注入（OS command injection）漏洞，將允許未經授權的駭客變更特定檔案，並於受害裝置上執行某些作業系統命令。</p> <p>此一漏洞是由美國資安業者Rapid7所發現。<a href="https://www.rapid7.com/blog/post/2022/05/12/cve-2022-30525-fixed-zyxel-firewall-unauthenticated-remote-command-injection/" target="_blank">根據Rapid7的說法</a>，此一漏洞影響支援零接觸部署（Zero Touch Provisioning，ZTP）的防火牆產品，允許未經授權的駭客以無權限的Nobody用戶身分自遠端執行任意程式。</p> <p>Rapid7表示，被CVE-2022-30525影響的裝置都是相對熱門的，它們屬於商用產品，提供VPN解決方案、SSL檢查、網頁過濾、入侵防護與電子郵件安全等，透過Shodan搜尋的結果發現網路上有超過1.5萬臺相關裝置。</p> <p class="rtecenter"><img alt="" src="https://blog.rapid7.com/content/images/2022/05/image1-1.png" style="width: 600px;" /></p> <p><a href="https://www.rapid7.com/blog/post/2022/05/12/cve-2022-30525-fixed-zyxel-firewall-unauthenticated-remote-command-injection/" target="_blank"><span style="color:#696969;">圖片來源／Rapid7</span></a></p> <p>Rapid7除了公布漏洞細節之外，亦已打造出開採該漏洞的Metasploit模組。</p> <p>不過，Rapid7與合勤在協調漏洞披露的程序上似乎產生了不愉快。Rapid7表示，該公司在今年4月13日向合勤通報了該漏洞，並提議於6月21日公開揭露，但合勤卻在4月28日悄悄修補了該漏洞且未知會Rapid7，在Rapid7表達抗議之後，合勤才重新於5月12日與Rapid7一起公布漏洞資訊。</p> <p>Rapid7認為，釋出修補程式無異於發表漏洞細節，因為駭客與研究人員都會針對修補程式執行逆向工程以了解精確的開採細節，卻只有很少的防禦者會採取此一手法；換句話說，悄悄地修補漏洞只會協助積極的攻擊者，而讓防禦者對相關漏洞的風險一無所知。</p> <p>另一方面，合勤則坦承與Rapid7就漏洞披露一事溝通不良，很感謝Rapid7回報該漏洞，也強調該公司一直都遵循協調披露原則。</p> </div></div></div>
2022/5/14 14:19作者陳曉莉https://www.ithome.com.tw/news/150919
前Meta加密貨幣負責人David Marcus創辦支付公司Lightspark
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://a16z.com/2022/05/12/investing-in-lightspark/" target="_blank">知名美國創投業者Andreessen Horowitz（又被稱為a16z）本周宣布</a>投資了一家新的加密貨幣公司Lightspark，而Lightspark的共同創辦人之一即為曾負責臉書加密貨幣專案，<a href="https://www.ithome.com.tw/news/148107" target="_blank">並於去年12月離職的David Marcus</a>。</p> <p><a href="https://www.lightspark.com/" target="_blank">Lightspark官網上</a>只簡單地寫著這是一家新公司，旨在探索、建置及擴展比特幣的功能與實用性，並將深入研究閃電網路（Lightning Network）。閃電網路為加密貨幣上的支付協定層，任務為實現節點之間的快速交易，被視為解決比特幣擴展性問題的方案之一。</p> <p>Lightspark目前正在招募平臺架構工程師，邀請了解閃電網路的開發人員加入，以替Lightspark打造一個豐富的服務應用層，推動閃電網路的普及。</p> <p>Marcus不僅曾擔任PayPal總裁，也在2014年加入臉書，負責Libra區塊鏈專案，亦曾掌管臉書旗下的所有支付服務，但在2021年的12月離開了Meta。</p> <p>a16z為知名的加密貨幣創投業者，自2013年以來已成立了3個加密基金，尋找有關區塊鏈、加密貨幣與Web3的投資標的，現在也參與了Lightspark的創立。a16z引用了去年的調查報告，指出已有高達86%的美國人聽過加密貨幣，而且有16%曾接觸過加密貨幣。<a href="https://twitter.com/davidmarcus/status/1524826813096112128" target="_blank">Marcus亦於Twitter上證實了此事</a>。</p> </div></div></div>
2022/5/13 19:20作者陳曉莉https://www.ithome.com.tw/news/150916
【資安日報】2022年5月13日，後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在許多資安事故裡，攻擊者大多鎖定執行Windows作業系統的工作站與伺服器而來，但近期攻擊Linux伺服器的事件也越來越多。有多名資安人員近期揭露暗藏於Linux主機的後門程式BPFDoor，他們不約而同提及，這個後門程式採用了相當隱密的迴避手法，且能竄改防火牆的規則，讓攻擊者繞過防火牆的檢測來傳送攻擊流量封包。這樣的攻擊手法使得IT人員更加難以防範。</p> <p>最近Zyxel修補了防火牆設備的命令注入漏洞CVE-2022-30525，但通報漏洞的資安業者指控，該廠商提供新版韌體予以修補後，並未及時發布資安通告，而有可能成為駭客利用漏洞的管道。</p> <p>我們昨天報導了HP修補旗下逾200款電腦的UEFI韌體漏洞，最近Intel也發布資安通告，修補部分型號處理器的漏洞，這些漏洞與UEFI韌體和安全開機機制有關。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bpfdoor-stealthy-linux-malware-bypasses-firewalls-for-remote-access/"><span style="color: rgb(0, 0, 0);">後門程式BPFDoor鎖定Linux與Solaris主機而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1652238177-firewall-redirect-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1652238177-firewall-redirect-diagram.png" style="width: 300px; float: right;" /></a>有駭客組織利用後門程式感染Linux、Solaris主機，經過5年一直沒有被發現。<a href="https://doublepulsar.com/bpfdoor-an-active-chinese-global-surveillance-tool-54b078f1a896">研究人員Kevin Beaumont近日指出</a>，他在2021年觀察中國駭客組織Red Menshen的攻擊行動，駭客利用名為BPFDoor的後門程式，鎖定Linux與Solaris的主機而來，攻擊美國、韓國、香港、土耳其、印度、越南，以及緬甸等國家的組織，受害對象涵蓋了政府機關、郵政及物流系統，以及教育平臺。此後門程式濫用Berkeley Packet Filter的監聽器，從網路層可以看到流量及傳輸資料，而不受防火牆的流量控管，攻擊者得以暗中行動超過5年。</p> <p><a href="https://www.pwc.com/gx/en/issues/cybersecurity/cyber-threat-intelligence/cyber-year-in-retrospect/yir-cyber-threats-report-download.pdf">PwC的資安研究員也對這個後門程式進行追蹤</a>，指出這些駭客疑似透過知名主機代管供應商的虛擬專用伺服器（VPS），並向受害組織的BPFDoor下達命令，而這些VPS主機又透過位於臺灣且遭到入侵的路由器進行管理，進而建立VPN隧道。<a href="https://www.sandflysecurity.com/blog/bpfdoor-an-evasive-linux-backdoor-technical-analysis/">資安業者Sandfly Security指出</a>，此後門程式能讓網路封包看起來沒有惡意行為，並竄改防火牆的iptables規則允許攻擊者傳送的封包通過，且在執行過程中偽裝成Linux系統的處理程序，而能逃過資安系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/cobalt-mirage-conducts-ransomware-operations-in-us"><span style="color: rgb(0, 0, 0);">伊朗駭客利用Windows內建的磁碟加密工具，對美國組織發動勒索軟體攻擊</span></a></strong></h3> <p>駭客利用Windows作業系統內建的BitLocker來加密檔案，這種攻擊手法已有前例，但最近又有類似的攻擊事故發生。資安業者Secureworks指出，他們觀察到名為Cobalt Mirage的伊朗駭客組織，於今年的1月、3月，分別對於美國慈善機構與地方政府發動的攻擊行動，其共通點是使用Windows作業系統內建的BitLocker，或是開放原始碼的DiskCryptor。</p> <p>值得一提的是，這兩起攻擊事件駭客入侵的管道，前者為利用Fortinet SSL VPN與Exchange伺服器漏洞，後者則是透過VMware Horizon的Log4Shell漏洞，因此研究人員指出，在加密檔案的手法以外，駭客嘗試以不同的途徑來發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.uptycs.com/blog/kuraystealer-a-bandit-using-discord-webhooks"><span style="color: rgb(0, 0, 0);">有人提供駭客打造惡意軟體KurayStealer的框架工具，使得衍生的變種接連出現</span></a></strong></h3> <p>駭客取得惡意軟體的方式，除了自行打造或是直接向開發者購買，現在也出現了簡易開發工具，讓這些駭客能自訂想要的功能。資安業者Uptycs於4月27日發現竊密軟體KurayStealer，經調查後發現，名為Portu的西班牙人士約從23日開始，在Discord和YouTube上打廣告，提供打造此竊密軟體的Python工具，並對其他延伸功能的部分收費。比較特別的是，這組工具打造出來的KurayStealer變種，可針對21種上網應用程式竊取帳密與憑證，然後經由Discord提供的Webhook機制，將資料回傳給攻擊者。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/05/12/a-closer-look-at-eternity-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體工具包Eternity供駭客購買竊密程式、蠕蟲、勒索軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Product-Information.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Product-Information.png" style="width: 300px; float: right;" /></a>駭客取得各式攻擊工具，很可能只要向一個惡意軟體供應者下單，就能透過Telegram取得所需的工具。資安業者Cyble揭露名為Eternity的惡意軟體工具包，有人藉此提供駭客竊密軟體、DDoS機器人（Bot）、蠕蟲程式，以及勒索軟體等，駭客只要點選想要使用的攻擊工具與相關功能並付款後，就能利過Telegram機器人自動產生攻擊程式。研究人員指出，雖然他們還沒逐一驗證所有模組是否都具備開發者宣稱的能力，但已經看到有人利用上述機器人產生的工具進行攻擊。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.rapid7.com/blog/post/2022/05/12/cve-2022-30525-fixed-zyxel-firewall-unauthenticated-remote-command-injection/"><span style="color: rgb(0, 0, 0);">研究人員揭露Zyxel防火牆遠端命令注入漏洞，並指控廠商未經公告就上架修補程式恐讓用戶曝險</span></a></strong></h3> <p>資安業者Rapid7於今年4月中旬，發現臺廠Zyxel資安設備的漏洞CVE-2022-30525，這項漏洞存在於部分支援零接觸部署（Zero Touch Provisioning，ZTP）功能的防火牆設備，包含ATP、USG Flex產品線，以及USG20-VPN與USG20W-VPN兩款機種，影響執行ZLD 5.00至5.21 Patch 1韌體的設備。攻擊者一旦利用上述漏洞，就有機會在沒有經過身分驗證的情況下，透過nobody使用者進行遠端命令注入攻擊，CVSS風險層級達到9.8分。</p> <p>但研究人員指控，Zyxel在沒有通知他們的情況下，就在4月28日悄悄地推出新的5.30版韌體予以修補，沒有發布資安通告，或是登錄CVE漏洞編號，直到5月9日Rapid7察覺此事，Zyxel才於5月10日將漏洞登記為CVE-2022-30525進行列管，並<a href="https://www.zyxel.com/tw/zh/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml">於12日發布資安通告</a>。研究人員認為，這種悄悄推出修補程式的做法，形同公開漏洞的細節，因為駭客能藉由逆向工程的方式解析修補程式，得知如何精確利用漏洞，而使得還不知道要修補的用戶曝露於漏洞的風險當中。</p> <p>針對Rapid7的說法，我們也向兆勤科技進一步詢問，該公司表示：「此事係因雙方對於揭露的定義不同，在Rapid7通報我們漏洞60天的期限內，剛好遇到防火牆定期韌體更新，RD就順勢將patch放進去，而Rapid7認為這樣就算公告，但我們其實是有排定對外公告的時程，且都有遵守相關規定。在溝通後，Rapid7也同意了我們說法。」</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/intel-patches-high-severity-vulnerabilities-bios-boot-guard"><span style="color: rgb(0, 0, 0);">Intel修補UEFI韌體高風險漏洞</span></a></strong></h3> <p>Intel於5月10日發布資安通告，指出旗下多款處理器存在漏洞並提供新版韌體修補。<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00601.html">其中最嚴重的4個漏洞CVSS風險層級為8.2分</a>，可被攻擊者用於本地提升權限，這些漏洞是CVE-2021-0154、CVE-2021-0153、CVE-2021-33123，以及CVE-2021-0190，影響部分採用Core i第7至第10代處理器的筆電和桌上型電腦，以及搭載Xeon處理器的工作站與伺服器。再者，<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00613.html">該公司也針對安全啟動防護機制Boot Guard與可信賴執行技術（TXT），修補CVE-2022-0004</a>，攻擊者有機會用於提升於受害電腦的權限，CVSS風險層級為7.3分。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/13 16:07作者周峻佑https://www.ithome.com.tw/news/150914
Google多重搜尋讓用戶以圖片搜尋附近商店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周在Google I/O上，除了Pixel 6a、Pixel Watch外，核心產品Google搜尋也新增了一項多重搜尋（MultiSearch）功能，可讓用戶以圖片尋找自家附近的商店。</p> <p>這項功能是結合4月間<a href="https://www.ithome.com.tw/news/150333" target="_blank">Google Lens App的多重搜尋</a><a href="http://www.ithome.com.tw/news/150333" target="_blank">（Multisearch）</a>而成。多重搜尋允許用戶同時輸入圖片及文字進行搜尋，以便得到更精確的搜尋結果。點選Lens的鏡頭圖示，就能以螢幕截圖或手機拍攝的照片搜尋，點選「Add to your search」按鍵來加入關鍵字查詢。</p> <p>現在多重搜尋功能將整合到Google搜尋App。<a href="https://twitter.com/Google/status/1524440268921098243" target="_blank">Google 表示</a>，使用者將可拍攝相片，並輸入near me查詢，Google就會幫你找到使用者所在附近的商店。例如拍攝雜誌裏或擷取網頁上一盤義大利麵的相片，或是拍攝浴室水龍頭，輸入near me，就可搜尋到附近的義大利餐廳，或是販售衛浴用品的賣場。此外Google也提供near me以外的關鍵字建議，例如「restaurant」或「recipe」。</p> <p><a href="https://www.youtube.com/watch?v=ug6GKXa1vo4" target="_blank">Google表示</a>，這項服務今年將先推向英語系國家，未來會支援更多語言擴及其他市場。</p> <p>此外，多重搜尋目前是以文字輸入問題，但未來也會支援語音搜尋，像是整合<a href="https://www.ithome.com.tw/news/150875" target="_blank">Google Lens場景探索（Scene exploration）功能</a>，後者利用Google知識圖譜（Knowledge Graph）強化搜尋精準度，讓用戶面對多項物件，例如AR購物時，以口頭詢問問題進行搜尋，以加速購物決策。</p> </div></div></div>
2022/5/13 14:27作者林妍溱https://www.ithome.com.tw/news/150912
Twitter大裁高層並宣布凍結人事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上個月同意以每股54.2美元、總價440億美元出售給馬斯克（Elon Musk）的Twitter，本周傳出已要求兩名高層離職，同時宣布凍結人事。</p> <p>這兩名高層分別是原本主掌Twitter營收產品的Bruce Falck，以及負責消費者產品的Kayvon Beykpour，Falck在Twitter的資歷為5年，Beykpour則是7年，他們兩個的頭銜都是各自業務類別的總經理，並分別透過自己的Twitter帳號宣布了此事。</p> <p><a href="https://twitter.com/kayvz/status/1524787800863744002" target="_blank">Beykpour表示</a>，Twitter執行長Parag Agrawal先是告知他想帶領團隊走往不同的方向，接著便要求他離職，不過他非常自豪自己在Twitter所達到的成就，包括讓Twitter的每日用戶數從2018年第二季迄今創下87%的成長，以及推出諸如Spaces、Communities與Topics等創新服務。</p> <p>至於Falck則已經把自己的工作狀態改為無業（Unemployed），並說很幸運能與自己的團隊合作，一起更新了廣告服務、收費或其它系統。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-05-12/twitter-to-freeze-hiring-rescind-some-offers-and-cut-costs" target="_blank">《彭博社》（Bloomberg）則取得了由Agrawal發出的內部備忘錄</a>，指出俄烏戰爭與全球供應鏈的緊縮等全球事件影響了Twitter的業務，而且估計會延續，該公司並未計畫大規模裁員，但得在必要時進行組織變更以改善效率，包括關注Twitter的團隊、招聘與成本。</p> <p>Twitter不僅要求兩名高層離職，也宣布凍結人事，包括已經提出錄取通知書的對象。</p> <p>此外，雖然Twitter董事會已同意被馬克斯收購，且雙方預計於今年完成交易，但由於外界擔心該交易可能會受到監管機關的阻攔，使得Twitter周四（5/12）收盤價仍維持在45.08美元，離馬斯克所提出的每股54.2美元還有一段距離。</p> </div></div></div>
2022/5/13 14:43作者陳曉莉https://www.ithome.com.tw/news/150913
臉書支付系統改名為Meta Pay，將規畫單一錢包服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為推動元宇宙為中心的商業模式，由臉書改名的<a href="https://medium.com/@skasriel/where-the-metaverse-can-take-fintech-a936e6bd6987" target="_blank">Meta本周宣布支付系統品牌也由Facebook Pay改為Meta Pay</a>，同時透露單一電子錢包服務的規畫。</p> <p>從2009年臉書開始提供支付服務以來，已經有160國，55種貨幣的企業及消費者利用Facebook Pay進行B2B、B2C或C2C支付，但為了更貼近Meta品牌，Facebook Pay將改名為Meta Pay。</p> <p>繼任<a href="https://www.ithome.com.tw/news/148107" target="_blank">去年秋天離職的David Marcus</a>接手Meta加密貨幣部門的主管Stephane Kasriel指出，這是為了實現Web 3、發揮元宇宙作為新的社交平臺潛力而做的變革之一。Meta目前將不再尋求擴增支付系統部署的國家，而是將重點放在現有國家，像是美國、印度及泰國的服務改善。</p> <p>除了改名的第一步，Meta第二步將簡化跨平臺支付的使用經驗，提供單一電子錢包，讓元宇宙的個人及企業支付跨平臺相容。但他表示目前這個錢包的規畫還在很早期，Meta正在從三個面向進行研究，包括如何驗證使用者身份並做到元宇宙中的身份可攜、如何儲存及轉移數位商品、以及如何簡單支付給他人，包括友人或店家、創作者。</p> <p>第三項工作則是協助企業店家及創作者行銷，並提供客戶或粉絲服務。例如對企業，Meta將強化訊息式（如Messenger）商務、簡化結帳方式。對創作者，則開發協助他們販售產品或服務、以及獲取利潤的工具。</p> <p>在Libre/Diem加密貨幣專案失敗，<a href="https://www.ithome.com.tw/news/149170" target="_blank">Meta今年2月將Diem出售</a>。改名成Meta Pay可能也意謂Meta會有新的加密貨幣計畫。</p> <p>Meta已陸續提供相關服務。例如去年10月宣布讓創作者在VR虛擬世界銷售NFT的Horizon Home服務。<a href="https://www.ithome.com.tw/news/150375" target="_blank">上個月Meta也開始測試元宇宙營利工具Horizon Worlds</a>，讓北美市場的創作者銷售虛擬物件或服務。</p> </div></div></div>
2022/5/13 13:47作者林妍溱https://www.ithome.com.tw/news/150910
UST與姐妹幣Luna一周內價值下挫9成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與美元掛鉤的演算法穩定幣TerraUSD（UST），以及用來平衡UST價格的姐妹幣Luna，在今日（5/13）的價格分別崩到0.13美元與0.01036美元，其中，UST一周前的價格還維持在1美元，Luna當時也還有60美元，顯示它們在幾天內就幾乎全面崩壞，而專門報導加密貨幣消息的《CoinDesk》則企圖釐清它的脈絡。</p> <p>Terra為一區塊鏈協定，主要發行演算法穩定幣，透過Terra所發行的穩定幣與其它由法幣支撐的穩定幣不同，而是透過其姐妹幣Luna來維持與美元的錨定，目前已有18款源自Terra的穩定幣，UST則是最普及的一款。</p> <p>有別於Tether、USD Coin與Binance USD是透過美元儲備來維持它們與美元的錨定，UST則是透過在同一Terra區塊鏈協定上發行的姐妹幣Luna來維持其價格，任何人在任何時候都能用價值1美元的Luna幣來兌換一個UST，藉由套利機會來平衡價格。</p> <p>例如當一個UST的價格達到1.01美元時，使用者即可透過上述機制以價值1美元的Luna幣兌換一個UST，市場則會銷毀價值1美元的Luna幣，並鑄造1 個UST，接著使用者以1.01美元出售UST，把它加入UST池，藉由增加UST的發行量來抑制價格；反之，當一個UST的價格跌至0.99美元時，使用者則可先以0.99美元買下一個UST，將它兌換成價值1美元的Luna幣，市場即會銷毀一個UST，並鑄造價值1美元的Luna幣，讓使用者賺取其中0.01美元的差價，也讓UST因發行量變少而逐漸回到1美元的錨定價格。</p> <p>主導Terra生態體系發展的Luna Foundation Guard（LFG）相信藉由這樣的演算法與市場機制，將能維持各種Terra穩定幣與法幣之間的錨定。</p> <p>但這波的崩壞從何而來呢？<a href="https://www.coindesk.com/layer2/2022/05/11/the-luna-and-ust-crash-explained-in-5-charts/" target="_blank">《CoinDesk》相信</a>它始於Anchor錨定借貸協定。Anchor是一個同樣位於Terra區塊鏈上的存款與借貸協定，主要接收Terra穩定幣、Luna與以太幣的存款，並利用這些存款來參與其它權益證明（Proof of Stake，PoS）區塊鏈的獎勵活動，再與存款人分享相關收益，而Anchor更標榜投資人可穩定獲得最高19.5%的年化報酬率。</p> <p>報導指出，Anchor吸引了許多Terra穩定幣的投資人，包括市場上75%的UST發行量，在180億美元的UST發行量中，就有140億美元存放在Anchor上。意謂著UST投資人對於透過UST與Luna之間的交易套利並沒有太大的興趣，而是選擇把它們放在Anchor上收取高額報酬。</p> <p>然而，從本周開始，Anchor上的UST存款快速從140億美元下降至30億美元，顯示投資人開始清算Anchor上的收益並贖回UST，而這些UST則流向公開交易市場，進而替Terra生態體系帶來龐大的銷售壓力。</p> <p>公開市場上的UST流通量大增、促使UST價格下滑，使用者買進低價的UST，兌換成Luna幣，持續銷毀UST，也持續鑄造Luna幣的結果使得Luna幣的流通量爆增。<a href="https://www.coindesk.com/markets/2022/05/12/terras-luna-has-dropped-997-in-under-a-week-thats-good-for-ust/" target="_blank">《CoinDesk》引用 Messari的數據指出</a>，這造成Luna幣的流通量從周二（5/10）的3.77億個，大幅攀升到本周四（5/12）的14億個。</p> <p>於是，不僅UST的價格持續下探，Luna幣的價值也隨之大跌。原本Luna幣身處全球前十大加密貨幣市值排行榜上，但根據CoinMarketCap的數據，今日（5/13）Luna幣的發行量已超過6.5兆個，價格則跌至0.01036美元，其600億美元的市值不僅跌出十大、百大排行榜，且已掉至201名。</p> <p>其實LFG為了捍衛UST的價格，最近幾個月陸續收購市場上的比特幣以作為UST的儲備部署，總數超過8萬顆，並在遇到這波大型的價格震盪時出借或出售比特幣，這同樣衝擊了比特幣的價格，從5月9日的3.4萬美元下滑到12日的2.6萬美元，代表UST崩盤事件足以影響整個加密貨幣生態體系。</p> <p><a href="https://twitter.com/terra_money/status/1524654726432043008" target="_blank">Terra則在周四（9/12）宣布了一系列的措施</a>，企圖力挽狂瀾。</p> <p>Terra指出，為了維持UST與美元之間的錨定，已造成Luna幣的價格被嚴重稀釋，主要的障礙是未能快速清除UST流通量中的壞賬，因此將擴大Luna幣的礦池容量，同時加快燒毀UST的腳步。TerraForm Labs則提出了3項緊急行動，包括銷毀公共池（Community Pool ）中所剩的UST，銷毀以太坊上的3.71億個UST，以及質押了2.4億個Luna幣以預防網路治理攻擊。相關措施可望銷毀逾13.8億個UST，占目前UST流通量的11%。</p> <p>目前無人可確定已嚴重脫鉤的UST能否回到1美元的價格，而面對外界懷疑演算法穩定幣的聲浪，Partisia Blockchain共同創辦人Brian Gallagher向《CoinDesk》表示，現在仍是演算法穩定幣的嬰兒時期，由於它們多處實驗階段，因此也會在維持錨定的路上遇見很多失敗，而我們必須接受這些失敗。</p> </div></div></div>
2022/5/13 13:58作者陳曉莉https://www.ithome.com.tw/news/150911
Google推出Android 13第二個測試版，優化大螢幕體驗，並增強隱私權及個人化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在I/O開發者大會發布Android 13的第二個測試版，繼第一個測試版後持續強化隱私和個人化功能，也優化了大螢幕裝置體驗。這次的測試版，將開放Pixel以外的多款裝置測試。</p> <p><strong>原生支援大螢幕體驗，更推大螢幕介面開發</strong></p> <p>Google在今年I/O開發者大會中，宣布明年將推出Pixel Tablet，並在部落格中表示Google將押寶（all-in）在平板電腦上。</p> <p>為了優化大螢幕裝置體驗，Google早在去年就推出了Android 12的大螢幕版，Android 12L，針對大螢幕裝置更新使用者介面，並在螢幕下方新增可快速切換應用程式的工作列。Android 13則原生支援大螢幕裝置，延續Android 12L的介面改動及工作列功能，並進一步優化大螢幕體驗。</p> <p>Android 12L中，使用者可以將工作列中的應用程式圖示拖曳到主畫面，啟用分割畫面。在Android 13，使用者更能直接從應用程式庫拖曳到主畫面，而不限於工作列中的少數應用程式。Android 13也優化了觸控筆體驗，減少寫字或繪圖時，手掌壓在螢幕時會被誤認為觸控筆操作的情形。</p> <p><img alt="A tablet user drags and drops apps like Google Photos and Gmail into split screen from the new All Apps entry point in their taskbar." class="article-image--large" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/7._Multi-tasking_on_Android_tablet_V4j0aqb.gif" style="width: 600px;" tabindex="0" /></p> <p>除了Android 13內建支援大螢幕的功能，Google也宣布更新超過20個自家應用程式，以支援大螢幕介面。Facebook、Tiktok跟Zoom等第三方程式，也將推出支援大螢幕的新版本。Google更鼓勵開發者設計大螢幕專用介面，並在開發指導方針及Android Jetpack程式庫中，更新了大螢幕應用程式開發的相關內容。</p> <p><strong>隱私權功能再升級，細緻管理App存取權限</strong></p> <p>過去，應用程式詢問媒體存取權時，使用者只能選擇開放「所有檔案與媒體」給應用程式，或完全不給存取。通常，使用者必須允許程式存取裝置內所有媒體，才能繼續使用該程式，所以不得不同意。</p> <p>為了更細緻的管控應用程式權限，Android 13新增了兩種存取選項，分別是「相片和影片」及「音樂和音訊」。應用程式要求裝置媒體存取權時，必須依照媒體類別，分別徵得使用者同意。Android 13更新增了Photo Picker功能，讓使用者不用提供程式存取所有裝置內影音的權限，而是可以限定程式只存取特定影音檔案。</p> <p>其他存取權限的更新，還有傳送通知前必須經過使用者允許，以及搜尋Wifi不再需要存取位置權限。此外，在過去版本，當應用程式存取剪貼簿內容時，使用者會收到通知。Android 13則再進一步，會在一小時後自動刪除剪貼簿內容，以防止App讀取先前的剪貼簿資訊。</p> <p>Google表示，今年稍晚將在Android 13中推出「安全性與隱私設定」整合頁面，顯示裝置中全部安全性與隱私資訊，以顏色標註安全性狀態，並提供加強安全性的指引。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/and1.png" style="width: 553px;" /></p> <p><strong>自訂個別App語言、Material Me預設主題，還有更多</strong></p> <p>裝置個人化方面，Android 13將支援不同App以不同語言開啟，以更符合多語言使用者的習慣，例如社群媒體使用一種語言，工具軟體使用另一種。</p> <p>Android 12推出的Material You介面個人化功能也將再強化，Android 12的Material You會自動調整App圖示和介面配色以符合桌布圖片，Android 13中，使用者還可以從預先調好的顏色主題中，自由套用配色到App圖示和介面上。</p> <p>其他更新，還包括部分介面更新、支援HDR 影片、空間音訊和藍牙低功耗音訊，以及內建QR code掃描器等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/and2.png" style="width: 540px;" /></p> <p> </p> <p> </p> </div></div></div>
2022/5/13 12:56作者郭又華https://www.ithome.com.tw/news/150909
跡象顯示勒索軟體REvil駭客組織復活
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.secureworks.com/blog/revil-development-adds-confidence-about-gold-southfield-reemergence" target="_blank">安全公司發現</a>頑強的勒索軟體REvil在經過幾個月的蟄伏後，近日又在網路上散布。</p> <p>Gold Southfield駭客組織是REvil Raas（Ransomware as a Service）的作者及運作組織，2019年4月開始活動，它使用名為name-and-shame手法，在洩密網站張貼受害者資訊及吸收同盟。REvil曾駭入過宏碁、大型醫院及IT管理商Kaseya等知名企業，去年一度沈寂，9月間又出現在暗網上，<a href="https://www.ithome.com.tw/news/147422" target="_blank">10月被美國及其他政府警方聯手關閉散布的網路</a>。今年初俄羅斯政府還曾逮捕多名相關駭客。不過烏俄戰事爆發似乎也影響俄國政府的態度，而讓駭客組織再度蠢動。</p> <p><a href="https://www.ithome.com.tw/news/150544" target="_blank">今年4月研究人員發現俄語論壇市集RuTOR公布新的REvil洩密網站</a>，這個網站使用不同的網域。新洩密網站兜售新版REvil勒索軟體及招募同謀，以及張貼20多家受害企業名單及外洩資料。</p> <p>最近，Secureworks研究人員更發現，REvil勒索軟體的樣本出現在惡意程式分析平臺VirusTotal。分析樣本顯示，新的REvil完成於3月，和上個月發現的新外洩網站有關。種種跡象令研究人員相信去年遭重創的駭客組織Gold Southfield又再度活動。新版REvil除了使用不同的Tor網域外，也使用了新的指令行語言、加密金鑰、以及多處程式碼。</p> <p>新的受害者可能快速增加。<a href="https://www.secureworks.com/research/threat-profiles/gold-southfield" target="_blank">SecruityWeek報導</a>，現在駭客新洩密網站張貼的受害者已增至250多家。</p> </div></div></div>
2022/5/13 11:05作者林妍溱https://www.ithome.com.tw/news/150907
進入IT廠商年度拚場熱門時段
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在3月的世界行動通訊大會（MWC）、Nvidia的GPU科技大會（GTC）之後，從5月到6月之間，有更多IT廠商選在此刻舉行年度大會，例如，戴爾科技集團的Dell Technologies World在5月2日登場，在隔週，接連有What’s Next Western Digital Event、Red Hat Summit、Intel Vision、Google I/O舉行，到了月底，例如從24日開始的這一週，有Microsoft Build、台北國際電腦展（Computex）；6月初有RSA Conference、Pure//Accelerate，月中是Cisco Live!，月底則有國際超級電腦大會（ISC）。</p> <p>其實，每年這段時間就有不少廠商固定舉辦活動，以IT大廠而言，有Dell Technologies World、Red Hat Summit、Google I/O、Microsoft Build、Cisco Live!，而在跨廠商的會展上，則有台北國際電腦展、國際超級電腦大會，然而，這兩年因為疫情攪局，使得一些活動延後至此時段舉行，像是RSA Conference過去大多在每年的2月舉行，2021年延至5月，今年則是6月6日舉行。</p> <p>另一方面，則是廠商策略的變化。例如英特爾，去年10月舉行Intel Innovation大會，宣告他們重新回歸每年舉行大型活動的步調，並將這些活動稱為Intel ON系列，而根據他們當時宣布的規畫，每年至少有兩場，春季場稱為Intel Vision，秋季場稱為Intel Innovation（這兩場活動名稱都是以on結尾），而且將會增加其他場的ON系列活動，而今年5月舉行的Intel Vision也正符合這樣的活動規畫。而在我們這幾天透過線上轉播形式，看完英特爾在此宣布或預告的新產品、新技術之後，對於整個IT領域的下一步發展，無論是個人消費型應用，或是企業資料中心、高效能運算領域的未來趨勢，有了更清楚的了解，而這些勢必也將影響其他IT廠商的相關技術，以及市場布局，加速推動各層面數位轉型。</p> <p>在首度舉行的Intel Vision 2022大會當中，英特爾執行長Pat Gelsinger延續Intel Innovation大會強調的4大主題而揭開此活動序幕，分別是：無所不在的運算、從雲到端的基礎架構、普遍提供的連網力、人工智慧，再由多位主管接力介紹最新或將問世的解決方案。</p> <p>第一天他們首先針對個人電腦的應用，發表了工作站筆電處理器平臺第12代Core HX；而在資料中心與AI的應用當中，則有更多新消息。</p> <p>例如，在2024年，基礎架構處理器（IPU）將推出支援400Gb網路的版本；代號為Sapphire Rapids的下一代伺服器處理器，其晶圓的外觀首度公開亮相，其名稱定為第4代Xeon Scalable；首款獨立的資料中心等級GPU加速卡也此現身，這款代號為Arctic Sound-M（ATS-M）的產品，將於今年第三季推出PCIe 4.0的版本。</p> <p>針對個人端、邊緣端、雲端的持續提供運算，以及沉浸式虛擬實境需求，英特爾曾提到正在發展Endgame計畫，而在Intel Vision大會上，他們也首度公開展示Endgame與電腦3D遊戲搭配的方式，並預告將在今年下半進行Beta測試。</p> <p>在深度學習的訓練工作上，英特爾旗下的Habana實驗室，也在這場活動宣布推出第二代AI運算晶片，分別是AI訓練處理器Habana Gaudi2，以及AI推論處理器Habana Greco。</p> <p>而在隔天的大會演講當中，英特爾則從資安談起，介紹先前發展的各種運算防護技術，以及機密運算的現況與最新進度。例如，關於網路威脅偵測與應變，英特爾近幾代PC處理器提供的威脅偵測技術（TDT），目前已有越來越多端點偵測與應變解決方案（EDR）廠商提供支援，除了最早投入的微軟，Fidelis、ConnectWise也在今年陸續宣布與其合作；關於機密運算的部分，英特爾持續推動軟體防護延伸技術（SGX）之餘，對於信任執行環境（TEE）應用發展，他們預告未來將推出信任網域延伸技術（TDX），以及可涵蓋到CPU以外的機密運算技術。</p> <p>為了進一步提升機密運算環境的可信任程度，英特爾也宣布他們正在發展用於雲端環境的延伸見證服務（Attestation Services），並將其稱為Amber計畫，能讓組織遠端驗證雲端、邊緣、內部等環境的可信度。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/intel-vision">Intel Vision</a></div><div class="field-item even"><a href="/tags/intel-innovation">Intel Innovation</a></div><div class="field-item odd"><a href="/tags/%E5%B9%B4%E5%BA%A6%E5%A4%A7%E6%9C%83">年度大會</a></div></div></div>
2022/5/13 09:56作者李宗翰https://www.ithome.com.tw/voice/150901
UI框架Flutter 3現穩定支援macOS與Linux，還加入休閒遊戲開發工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google I/O發布了最新UI框架<a href="https://medium.com/flutter/introducing-flutter-3-5eb69151622f">Flutter 3</a>，除了新增穩定支援macOS和Linux平臺之外，也更新Material You的支援，同時發布Flutter休閒遊戲開發工具包，來降低小遊戲開發障礙，另外，Google也在行動和網路應用程式開發者平臺Firebase的核心中，緊密整合Flutter。</p> <p>Flutter支援的平臺已經從原本的行動裝置平臺，擴展到了桌面電腦，總共6大平臺分別為iOS、Android、網頁和Windows，以及Flutter 3新增穩定支援的macOS和Linux。官方提到，添加支援新平臺，並非僅是調整渲染畫素，更包括新的輸入和互動模型、編譯和建置支援、無障礙和國際化功能，還有與特定平臺的整合。</p> <p>在macOS上，Flutter同時支援英特爾和Apple Silicon晶片，透過支援Universal Binary檔案，開發者可打包可執行檔案，在兩個架構上原生執行，Google解釋，雖然Flutter一直與搭載M1的Apple裝置相容，但Flutter現在能夠藉由底層語言Dart對Apple晶片的支援，在M1裝置上更快的編譯，並支援macOS應用程式使用Universal Binary檔案。另外，在Linux上，Canonical和Google共同合作，以提供高度整合的開發選項。</p> <p>Flutter 3還改進了對設計語言Material You的支援，讓開發人員能夠利用動態配色功能，以及新的視覺元件，來設計跨平臺應用程式。</p> <p>現在，開發人員也可以容易地使用Flutter來打造一些小遊戲，Google推出了Flutter休閒遊戲開發工具包，可用來開發非3D動作遊戲。Flutter僅是一個應用程式框架，但因為休閒遊戲開發社群不斷發展，也使用了Flutter所提供的硬體加速和Flame等開源遊戲引擎，開發一些休閒小遊戲。</p> <p>官方提到，他們要讓休閒開發者能夠更方便地開發遊戲，因此推出Flutter休閒遊戲開發工具包，其中包含模板和最佳實踐工具，還有廣告和雲端服務信用點數。雖然Flutter並非遊戲UI，但Google樂見更多以Flutter開發的創新遊戲出現。</p> <p>在發布Flutter 3的同時，Google也宣布在Firebase中更緊密地整合Flutter。Google引用SlashData開發者基準測試研究提到，有62％的Flutter開發者使用Firebase。因此Google在過去幾個Flutter版本中，持續更新Firebase相關功能，而現在Google宣布Flutter與Firebase整合的部分，將成為Firebase的核心，因此相關專案程式碼和文件會移動到Firebase儲存庫和網站中。</p> <p>而Flutter開發者也可以使用Firebase即時崩潰報告服務Crashlytics，來追蹤Flutter應用程式的嚴重錯誤。更新過後的Crashlytics擴充套件，使Flutter開發者也能用到與iOS和Android相同的功能集，存取像是無崩潰用戶指標，並且更快地對問題進行分類、優先排序和修復。</p> </div></div></div>
2022/5/13 07:00作者李建興https://www.ithome.com.tw/news/150891
美國上訴法院允許德州執行社交法，允許民眾控告不當封鎖其言論的社交平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://gov.texas.gov/news/post/governor-abbott-signs-law-protecting-texans-from-wrongful-social-media-censorship" target="_blank">德州州長Greg Abbott在去年9月簽署了Bill 20法案</a>，準備禁止大型社交網站過度審核用戶的言論，該月網路貿易推動組織NetChoice與美國計算機與通信工業協會（Computer and Communications Industry Association，CCIA）就告上了法院，宣稱Bill 20違反《美國憲法第一修正案》，不過，<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/lgvdwgdkxpo/NetChoice%20v%20Paxton%205th%20Circ%20order.pdf" target="_blank">美國上訴法院於本周判決</a>，德州可合法實施該法案。</p> <p>Bill 20所規範的對象為每月用戶數超過5,000萬人的大型社交平臺，目的是為了避免該州居民受到社交媒體平臺的言論審查，以捍衛德州的言論自由，要求社交平臺不得只是因為政治觀點就封鎖用戶，必須揭露內容管理政策，提供移除內容的原因，也必須在48小時內移除非法內容。</p> <p>Abbott說，他們捍衛德州的言論自由，社交媒體應該是資訊可自由流動的公開辯論園地，但社交媒體卻壓抑保守派的觀點與想法，這是錯誤且危險的。</p> <p>不過，德州官方新聞稿中沒說的是，Bill 20也賦予人們控告社交平臺的權利，倘若使用者認為自己的內容無端被移除或遭到平臺封鎖，便可控告該平臺，而讓許多人擔心這將迫使社交平臺更不敢審核平臺內容，遺留更多的不實資訊或仇恨言論。</p> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.txwd.1147630/gov.uscourts.txwd.1147630.51.0.pdf" target="_blank">NetChoice與CCIA很快就針對Bill 20提出訴訟</a>，指稱社交媒體執行編輯自由裁量權是受到《美國憲法第一修正案》的保護，且該法案更迫使社交平臺傳播令人反感的內容。</p> <p>地方法院的法官在去年11月同意了NetChoice與CCIA的立場，並頒布了Bill 20的暫時禁制令，但本周上訴法院則放行了Bill 20，允許德州實施此一原本應於去年12月2日上線的法令。</p> </div></div></div>
2022/5/13 07:00作者陳曉莉https://www.ithome.com.tw/news/150894
Google翻譯新增對梵文等24種語言的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/translate/24-new-languages/" target="_blank">Google本周宣布</a>，Google翻譯（Google Translate）將新增包括梵文在內的24種語言的支援，讓Google Translate所能翻譯的語言類別達到133種。</p> <p>此次新增的24種語言多半出現在印度或非洲，屬於相對冷門的語言，當中最受歡迎的是擁有5,000萬使用人口的Bhojpuri，而最少的則是只有2萬人仍在使用的梵文。此外，這24種語言也是首批採用零樣本機器翻譯（Zero-Shot Machine Translation）而出爐的成品。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Translate_New-Languages.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>目前全球大約有3億人口使用這24種語言，除了5,000萬散落在北印、尼泊爾與斐濟的人口說著Bhojpuri之外，非洲約有4,000萬人口使用Lingala，非洲的衣索比亞及肯亞有3,700萬人口使用Oromo，北印有3,400萬人口使用Maithili，印度東北方有2,500萬人口使用Assamese。</p> <p><a href="https://ai.googleblog.com/2022/05/24-new-languages-google-translate.html" target="_blank">Google表示</a>，即使現有的翻譯服務覆蓋了全球大多數人使用的語言，但這些語言只有100種左右，約占全球所說語言的1%，況且熱門的語言多半集中在歐洲，而非洲或美洲的許多語言都被忽略。</p> <p>Google指出，要替這些冷門語言建立翻譯模型並不容易，它們不僅缺乏數位資料，也因語言辨識（LangID）模型品質不佳而難以自網路上蒐集，再加上機器翻譯（ML）模型通常需要在大量平行翻譯文本上進行訓練，在缺乏這類的資料時，ML模型只能自有限的單語文本學習。</p> <p>對於讓Google Translate新增對上述24種缺乏資源的語言的翻譯能力，Google則是開發了專門的神經語言辨識模型，再輔以新穎的過濾方式，來建立單語資料集。</p> <p>Google先是針對逾1,000種語言訓練了一個基於Transformer的半監督LangID模型。此一模型利用MAsked Sequence-to-Sequence（MASS）來強化LangID的任務，MASS會隨機移除所輸入的標記序列，簡單地混淆輸入，並訓練該模型來預測這些序列。Google把此一LangID模型應用在一個已經由CLD3語言辨識模型過濾的資料集，再訓練它來辨識類似的語言叢集。</p> <p>接著以權衡文字重要性的開源 Term Frequency-Inverse Internet Frequency（TF-IIF）專案來過濾該資料集，去除屬於高資源語言的句子，並開發各種特定語言的過濾器來移除異常。</p> <p>經過層層的過濾之後，終於得到了支援上千種語言、具備單語文本的資料集，當中有400種語言擁有超過10萬個句子，在以人力評估其中的68種語言後，發現有超過7成具備高品質的語言內容。</p> <p>有了此一資料集之後，Google開發了一種簡單卻實用的零資源翻譯作法，所謂的零資源指的是它們既無平行翻譯文本，也沒有特定語言的翻譯例子。不過，除了單語文本之外，該模型也搭配了所有豐富資源語言的平行翻譯文本，藉以訓練模型的翻譯能力，並透過MASS來讓該模型如何僅自單語文本來學習這些語言的表示方法，這讓Google得以訓練出一個支援1,138種語言的大型翻譯模型。</p> <p>此次被Google Translate納入的24種語言想必是當中品質相對較高的成品。Google指出，它們是該公司採用零樣本機器翻譯的首批語言，沒有看過任何樣本就能翻譯成其它語言，只是就算該技術令人印象深刻，卻不完美，未來將持續改善相關的各種模型，以讓這些冷門語言的翻譯效果足以比美西班牙文或德文。</p> </div></div></div>
2022/5/13 07:00作者陳曉莉https://www.ithome.com.tw/news/150895
HP修補波及逾200款裝置的BIOS漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.hp.com/us-en/document/ish_6184733-6184761-16/hpsbhf03788" target="_blank">HP本周修補了位於BIOS（UEFI韌體）中的兩個安全漏洞</a>，將允許駭客執行任意程式，而它們影響了HP旗下的逾200款裝置，從筆電、桌上型電腦、零售端點銷售系統（POS）、工作站到Thin Client等。</p> <p>HP所修補的安全漏洞為CVE-2021-3808與CVE-2021-3809，它們的CVSS風險評分皆高達8.8，HP僅說這兩個漏洞可能造成任意程式執行，並未說明漏洞的細節。</p> <p>然而，<a href="https://nstarke.github.io/uefi/smm/2022/05/10/smm-callout-in-hp-products.html" target="_blank">在去年11月就發現相關漏洞的安全研究人員Nicholas Starke指出</a>，該漏洞允許具備核心權限的駭客擴張權限至系統管理模式（System Management Mode，SMM），取得SMM模式代表駭客可完整掌控系統以執行其它攻擊。</p> <p>駭客可藉由搜尋實體記憶體中的EFI_BOOT_SERVICES表格，判斷LocateProtocol功能的記憶體位置，並於實體記憶體中覆蓋它，便能指向駭客所控制的程式。</p> </div></div></div>
2022/5/12 22:46作者陳曉莉https://www.ithome.com.tw/news/150889
【資安日報】2022年5月12日，鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Ex…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自4月底到5月初，有多家資安業者發現有人假冒德國企業的名義上傳惡意NPM套件，在經過一番調查後，最後有資安業者跳出來澄清，這些套件是他們製作，用來為客戶模擬紅隊演練攻擊情境所用。但這樣的做法是否能被開發社群接受？日後是否會變為組織驗證開發人員資安意識的方法？這都有待觀察。</p> <p>駭客攻擊Exchange伺服器的行動，已經出現了專門針對這類系統的漏洞利用工具包IceApple。研究人員指出，駭客透過此工具包出手，幾乎不會留下作案的證據。</p> <p>HP最近針對旗下的商用電腦修補UEFI韌體漏洞，這些漏洞存在於該廠牌商用工作站電腦、筆電、POS機臺等200款產品上，用戶應儘速安裝新版韌體修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://jfrog.com/blog/npm-supply-chain-attack-targets-german-based-companies/"><span style="color: rgb(0, 0, 0);">有人假冒德國企業的名義發布惡意NPM套件，經追查竟是紅隊演練公司所為，引起爭議</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/blog-npm-malware-gxm-setup.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-npm-malware-gxm-setup.jpg" style="width: 300px; float: right;" /></a>研究人員多次在NPM套件庫裡發現惡意套件，如今疑似也有紅隊演練公司上傳這種套件來強化客戶的開發安全。資安業者JFrog、ReversingLabs，最近依循資安業者Synk於4月底找到的惡意套件gxm-reference-web-auth-server，進一步追查後發現還有其他類似特徵的套件，疑似針對德國知名媒體、物流業者、工業公司進行供應鏈攻擊。</p> <p>駭客以bertelsmannnpm、boschnodemodules、stihlnodemodules、dbschenkernpm的ID名稱來上傳這些套件，他們很可能是假冒博德曼（Bertelsmann）、博世（Bosch）、Stihl、DB Schenker等德國公司的名義，想要讓開發人員相信套件是由上述企業提供。一旦開發人員安裝這些套件，電腦就有機會被植入後門程式。不過，研究人員指出，奇怪的是，駭客似乎沒有隱匿意圖攻擊的目標，使用的混淆手法也相當容易拆解。</p> <p>而這起事件到了5月10日有了進一步的進展，德國紅隊演隊公司Code White表示，這些惡意套件是他們為客戶模擬紅隊攻擊的演練情境所用，製作者的身分是一名研究相依混淆（Dependency Confusion）攻擊手法的實習生，並表明他們也製作類似的Yarn套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/wp-content/uploads/2022/05/crowdstrike-iceapple-a-novel-internet-information-services-post-exploitation-framework.pdf"><span style="color: rgb(0, 0, 0);">駭客利用IceApple漏洞利用工具包攻擊Exchange伺服器</span></a></strong></h3> <p>駭客攻擊Exchange伺服器的情況不時有事故傳出，但如今已有專門針對這套郵件系統而來的漏洞利用工具包出現。資安業者CrowdStrike指出，他們在2021年底發現名為IceApple的漏洞利用工具包，攻擊者在入侵受害組織並初步成功存取網路之後，開始利用這個工具包對Exchange伺服器下手。研究人員對於此漏洞利用工具包進行分析後發現，駭客不只能將其用來攻擊Exchange伺服器，還能對IIS網站伺服器下手，該工具包由.NET開發而成，至少內含18個模組。</p> <p>而對於攻擊者的身分，研究人員根據事故受害的組織進行分析，他們推測很有可能與中國有關。</p> <p>從IceApple的運作方式觀察，研究人員指出，該工具包的所有模組都是在記憶體內執行，乍看之下受害伺服器執行的工作，很像是IIS網站伺服器組合檔案的過程裡衍生了暫存檔案。而這麼做的目的，很有可能是攻擊者想要把遺留下來的資料盡可能減少，增加研究人員調查的難度。</p> <p>由於此漏洞利用工具包不光能用於攻擊Exchange伺服器，還有可能對其他的Windows應用程式伺服器下手，該公司呼籲，組織應該要儘速修補包含Exchange伺服器在內網頁應用程式，以免遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www3.nhk.or.jp/news/html/20220510/k10013620031000.html"><span style="color: rgb(0, 0, 0);">日本服飾業者思夢樂傳出遭勒索軟體LockBit 2.0攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-Shimamura-1652285951430.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-Shimamura-1652285951430.jpeg" style="width: 300px; float: right;" /></a>鎖定日本企業的勒索軟體事件最近已有數起，先前有汽車大廠Toyota的零件供應商小島工業（Kojima Industries）、電綜（Denso）受害，而如今這樣的攻擊也出現在服飾業。根據NHK、讀賣新聞、Yahoo!新聞等多家日本新聞媒體於5月10日的報導，日本服飾業者思夢樂（Shimamura）於黃金周假期（4月29日至5月5日）遭到了勒索軟體攻擊，NHK亦指出發動攻擊的勒索軟體是LockBit 2.0。</p> <p><a href="https://www.shimamura.gr.jp/assets-c/uploads/74c0907543e766d3f9d0fd5df3e5faac964b4a0c.pdf">思夢樂也在11日證實</a>，他們於5月4日晚間遭到網路攻擊，導致隔日全日本2,200家門市無法提供現金以外的付款方式，門市沒有現貨的產品也無法訂貨，到了6日，所有門市的非現金付款機制恢復正常。該公司尚未發現客戶或員工個資外洩的情形。<a href="https://news.yahoo.co.jp/byline/yamadatoshihiro/20220512-00295638">根據Yahoo!新聞於12日的報導指出</a>，LockBit 2.0於9日宣稱竊得思夢樂逾16 GB的資料，並要求該公司於16日前支付贖金，否則就要洩露這些資料。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/05/apt34-targets-jordan-government-using-new-saitama-backdoor/"><span style="color: rgb(0, 0, 0);">伊朗駭客組織APT34使用後門程式Saitama向約旦外交單位發動攻擊</span></a></strong></h3> <p>伊朗駭客組織鎖定中東國家的攻擊行動不時傳出，而且手法也變得更加隱密。資安業者Malwarebytes指出，他們在4月26日看到針對約旦外交部的釣魚郵件，駭客假冒約旦的政府官員，寄送確認文件檔案已收到的信件，並要求對方儘快填寫附件的Excel檔案，一旦收信人開啟附件，並依照指示啟用巨集功能，他們就會看到約旦政府的標誌，但另一方面，此巨集也偷偷下載後門程式Saitama到受害電腦。根據惡意文件檔案與後門程式的分析，研究人員認為攻擊者是伊朗駭客組織APT34（亦稱OilRig、Cobalt Gypsy、Helix Kitten）。</p> <p>值得留意的是，駭客在Saitama後門程式反偵測機制裡，運用虛擬亂數產生器（Pseudo Random Number Generator，PRNG）的演算法來隱匿C2伺服器的IP位址，並藉由多次、長達數個小時的睡眠模式，來減少被資安系統察覺的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/05/bitter-apt-adds-bangladesh-to-their.html"><span style="color: rgb(0, 0, 0);">駭客組織Bitter鎖定孟加拉散布木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bitter-Excel-image11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bitter-Excel-image11.jpg" style="width: 300px; float: right;" /></a>思科揭露駭客組織Bitter自2021年8月開始進行的攻擊行動，駭客鎖定孟加拉政府機關下手，利用看起來像是來自巴基斯坦政府單位的電子郵件信箱寄送釣魚郵件，攻擊者很可能是透過協作平臺Zimbra的郵件伺服器弱點，進而達成欺騙收信人的目的。這些釣魚郵件有些是挾帶RTF檔案，有些則是挾帶Excel檔案，都是以公務有關的電話記錄與號碼驗證為主旨，引誘公務人員上鉤。</p> <p>這件郵件的附件濫用內建於微軟Office軟體的方程式編輯器，透過CVE-2017-11882、CVE-2018-0798、CVE-2018-0802等漏洞觸發，進而在受害電腦下載並執行名為ZxxZ的木馬程式，並以Windows安全更新服務的名義執行。此木馬程式會刪除Microsoft Defender或卡巴斯基防毒軟體的處理程序，再行收集用戶資料的工作並回傳。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/nerbian-rat-using-covid-19-themes-features-sophisticated-evasion-techniques"><span style="color: rgb(0, 0, 0);">木馬程式Nerbian RAT鎖定義大利、西班牙、英國而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Nerbian-RAT-2022-05-10 at 8_58_09 AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nerbian-RAT-2022-05-10%20at%208_58_09%20AM.png" style="width: 300px; float: right;" /></a>武漢肺炎疫情蔓延至今，部分國家已經開始走向與病毒共存的階段，有攻擊者假借衛生單位的名義來散布惡意軟體。資安業者Proofpoint發現，有人自4月26日開始，針對義大利、西班牙、英國的實體，聲稱是世界衛生組織（WHO）、愛爾蘭健康服務局（HSE），以及愛爾蘭盲人國家協會（NCBI），以武漢肺炎的衛教資訊為誘餌，發動網路釣魚攻擊，進而散布以Go語言開發的木馬程式Nerbian RAT。比較特別的是，駭客在攻擊的過程中，使用名為Chacal的滲透測試框架，來回避研究人員在虛擬機器（VM）觸發木馬程式。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hp-fixes-bug-letting-attackers-overwrite-firmware-in-over-200-models/"><span style="color: rgb(0, 0, 0);">HP修補逾200款HP電腦與筆電的韌體漏洞，若不修補，恐被攻擊者取得作業系統核心權限執行程式碼</span></a></strong></h3> <p>HP於5月10日針對旗下的PC與筆記型電腦韌體，修補<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://nvd.nist.gov/vuln/detail/CVE-2021-3808" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-824912768" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">CVE-2021-3808</span></a>、<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="3" href="https://nvd.nist.gov/vuln/detail/CVE-2021-3809" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-824912769" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">CVE-2021-3809</span></a>兩個漏洞，這些漏洞可能被攻擊者用來執行任意程式碼，CVSS風險層級為8.8分。該公司的公告指出，商用筆電產品線EliteBook、Elite Dragonfly、ProBook、Zbook、ZHAN Pro系列，以及桌上型電腦、POS主機、精簡型電腦（Thin Client）等都有機種存在上述漏洞，總共超過200款裝置受到影響。根據向HP通報漏洞的研究員Nicholas Starke指出，攻擊者透過這些漏洞，能將權限提升到系統管理模式（SMM）層級，而得以完全控制受害電腦，且攻擊者可從作業系統觸發SMI Handler來進行攻擊，他呼籲用戶應儘速安裝新版韌體來緩解漏洞。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/12 16:26作者周峻佑https://www.ithome.com.tw/news/150886
Google強化Workspace的AI功能，並與SAP聯手讓Google文件、試算表深度整合至SAP S/4HANA…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Google I/O大會，Google擴大Workspace的AI功能，改善混合工作的效率，還宣布和SAP擴大合作關係，將Google Workspace整合至SAP S/4HANA Cloud，讓Google文件、試算表帶到SAP的雲端服務。</p> <p>此次Workspace新增的幾項AI小功能，例如在昏暗房間以Google Meet與他人進行視訊會議時，因房間昏暗導致視訊時的人物影像太暗，透過機器學習改善人像的明亮度，還有模仿工作室等級的打光功能，為視訊人像調整打光效果，以及運用AI的會議自動紀錄、摘要功能等等。</p> <p>除了功能的更新，Google也強化和SAP的合作關係，讓Google Workspace原生整合至SAP S/4HANA Cloud，改善企業的工作體驗。</p> <p>Google指出，SAP的S/4HANA Cloud讓企業朝智慧、永續轉型發展，Google Workspace的協作機制使不同團隊，不論使用何種裝罝、身處何地，一起協作及創新。Google文件與試算表整合至S/4HANA Cloud，為企業帶來新的商業能力、應用情境及機會，帶來的效益包括整合就緒的高效率，讓用戶能快速採用。快速地在SAP的應用與Google文件、試算表間匯出及匯入資料，達到文件的即時編輯協作。再來是，一步整合確保資料來源的乾淨性，讓分享應用文件及資料時，可進行版本管理，並免除轉譯層。</p> <p>Google Workspace副總裁暨總經理Javier Soltero表示，混合工作的型態，意謂著企業不再能仰賴可能造成遠端協作障礙的傳統工具，雙方的深度合作，讓SAP S4/HANA的資料可被應用到Google Workspace協作平臺，團隊能夠存取SAP的資料，更有效率的執行專案。</p> <p>雙方計畫在今年底，將初步的功能以標準功能的形式，出現在SAP S/4HANA Cloud，這項功能將建置在SAP Business Technology Platform上，以提供從端到端建立緊密的整合及一致的使用體驗。</p> <div> </div> </div></div></div>
2022/5/12 18:00作者蘇文彬https://www.ithome.com.tw/news/150887
穩定幣UST繼續崩盤，價格僅剩不到0.6美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>演算法穩定幣TerraUSD（UST）的市場價格持續崩壞，原本應與美元同等價格的UST<a href="https://www.ithome.com.tw/news/150862" target="_blank">在經歷Luna Foundation Guard（LFG）企圖搶救</a>之後，不僅沒有回復到1美元，在周三（5/11）甚至一度跌至0.27美元，現在的價格則僅剩0.56美元。</p> <p>UST為全球第四大穩定幣，僅次於Tether、USD Coin與 Binance USD，所謂的穩定幣指的是它們的價格與法幣錨定，而上述穩定幣皆與美元錨定，代表每個穩定幣應該等同於1美元。</p> <p>為了維繫穩定幣的價格，包括Tether、USD Coin與 Binance USD都儲備了美元資產，只有UST屬於演算法穩定幣，透過在同一Terra區塊鏈協定上發行的姐妹幣Luna來維持其價格，Luna定位為吸收Terra短期波動的資產，讓任何人在任何時候都能用價值1美元的Luna幣來兌換一個UST，藉由套利機會來平衡價格。</p> <p>例如當一個UST的價格達到1.01美元時，使用者即可透過上述機制以價值1美元的Luna幣兌換一個UST，市場則會銷毀價值1美元的Luna幣，並鑄造1 個UST，接著使用者以1.01美元出售UST，把它加入UST池，藉由增加UST的發行量來抑制價格；反之，當一個UST的價格跌至0.99美元時，使用者則可先以0.99美元買下一個UST，將它兌換成價值1美元的Luna幣，市場即會銷毀一個UST，並鑄造價值1美元的Luna幣，讓使用者賺取其中0.01美元的差價，也讓UST因發行量變少而逐漸回到1美元的錨定價格。</p> <p>Terra區塊鏈協定相信，此一演算法將讓包括TerraUSD在內的各種Terra幣，都能維持其與任何法幣錨定的價格。</p> <p>然而，這幾天以來UST與美元的大幅脫鉤已讓外界對該模式失去了信心，更引爆了投資人的逃脫潮。</p> </div></div></div>
2022/5/12 17:03作者陳曉莉https://www.ithome.com.tw/news/150888
不必再說「Hey Google」，看著螢幕就能呼叫Google Assistant
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/assistant/assistant-io-2022/" target="_blank">Google本周揭露了一項Google助理（Google Assistant）的新功能「Look and Talk」</a>，只要看著裝置的螢幕，就能直接呼叫Google Assistant並下達指令，而不必再說出「Hey Google」或是「OK Google」，而這項新功能將率先支援具備10吋螢幕的Nest Hub Max智慧家庭裝置。</p> <p>「Look and Talk」利用6個機器學習模型來處理從裝置攝影機及麥克風蒐集而來的逾100個訊號，包括鄰近感應距離、頭部轉動角度、凝視方向、嘴唇動作、脈絡感知或是意圖分類等，以用來判斷使用者是真的與裝置進行眼神的交流而非只是匆匆一瞥。</p> <p>於是，只要使用者看著Nest Hub Max的螢幕，就等於已經說出「Hey Google」，並能直接下達指令，例如詢問附近的水電工資訊，以便修理廚房正在漏水的水槽。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0512-Look%20and%20Talk%20on%20Nest%20Hub%20Max-Google%20Assistant-600.jpg" style="width: 599px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>不過，該功能也具備隱私保護，使用者必須先啟用該功能，而且得在Face Match與 Voice Match都能辨識使用者身分時才能喚醒Google Assistant。</p> <p>其實這是Google第二次提供可不必以「Hey Google」喚醒Google Assistant的功能，第一次是在去年發表Pixel 6系列產品時所新增的<a href="https://support.google.com/assistant/answer/9475056?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">快速短語（Quick phrases）功能</a>，當啟用快速短語之後，就能直接說出特定的指令而不必再「Hey Google」。這些特定的指令包括鬧鐘貪睡功能（Snooze），或是在手機鈴響卻不想接電話時直接拒絕（Decline），或是設定10分鐘的計時器等。</p> <p>而Google也在本周宣布讓Nest Hub Max成為繼Pixel 6及Pixel 6 Pro之後，第三款支援快速短語的裝置。換句話說，只要Nest Hub Max用戶啟用了「Look and Talk」與快速短語，那麼不管是直接說出內建的指令，或是看著Nest Hub Max說出指令，Nest Hub Max都會知道使用者是在對它講話，而無需以「Hey Google」啟動，期望替使用者與智慧裝置之間創造更自然的互動經驗。</p> <p>不過，目前「Look and Talk」功能僅支援美國市場，而快速短語則僅支援英文、法語、德文、義大利文、西班牙文與日文。</p> </div></div></div>
2022/5/12 15:28作者陳曉莉https://www.ithome.com.tw/news/150884
Google發表採用新一代Cloud TPU v4晶片的高效能機器學習叢集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google新推出<a href="https://cloud.google.com/blog/products/compute/google-unveils-worlds-largest-publicly-available-ml-cluster">Cloud TPU v4機器學習叢集預覽版</a>，該叢集使用了Google I/O 2021所發表，專為機器學習工作負載所設計的晶片Cloud TPU v4，由於該晶片擁有極高的FLOP利用率，能夠提供大規模持續FLOP，因此能夠大幅縮短模型運算時間，同時減少用戶成本開銷。</p> <p>Cloud TPU v4 Pods所提供的高運算力，使得機器學習叢集能夠支援複雜的模型，包括大規模自然語言處理、推薦系統和電腦視覺演算法。該叢集擁有高達9 exaflops的峰值聚合效能，Google認為，就Cloud TPU v4 Pods叢集的累積運算能力來算，是目前最大的公開機器學習中樞（ML Hub）。</p> <p>Cloud TPU v4機器學習叢集提供超大規模以及高性價比的機器學習訓練資源。每個Cloud TPU v4 Pod由4,096個晶片構成，這些晶片由超高速互聯網路連接在一起，每一臺機器的頻寬，相當於每秒6 TB，可用來快速訓練目前最大的模型。</p> <p>在性價比方面，每個Cloud TPU v4晶片的峰值FLOP，約為Cloud TPU v3的2.2倍，每美元峰值FLOP為1.4倍。Cloud TPU v4擁有極高的FLOP利用率，Google提到，決定模型訓練效率的是大規模且持續的高FLOP，由於Cloud TPU v4極高FLOP利用率，因此有助於縮短訓練時間，並且帶來更高的成本效益。</p> <p>Cloud TPU v4還支援從單一裝置存取完整的32 GiB記憶體，高於TPU v3的16 GiB，並且提供兩倍嵌入加速，有助於提高訓練大規模推薦模型效能。</p> <p>另外，Google也提到，Cloud TPU v4晶片本身非常節能，每瓦最大功率峰值FLOP是TPU v3的3倍，藉由使用節能的機器學習專用硬體、高效能的資料中心，以及乾淨的能源，可以有助於用戶減少能源使用和碳排放。</p> </div></div></div>
2022/5/12 15:33作者李建興https://www.ithome.com.tw/news/150883
Google推出個人化廣告控制中心My Ad Center，可調整隱私設定、廣告主題和品牌出現頻率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年I/O開發者大會上，宣布了個人化廣告控制中心My Ad Center，提供使用者調整個人化廣告隱私設定、主題和品牌出現頻率，也能獲得更多關於廣告提供商的資訊，還能限制特定敏感主題的廣告。這些選項目前僅適用Google搜尋廣告、Youtube廣告及Google Discover廣告，不適用其他採用Google廣告服務的網站及App。</p> <p>Google從三月起，就陸續推動主題貼標等不仰賴cookie的使用者追蹤方法，也開放使用者管控這些資料。目前，Google使用者可以在廣告個人化設定中選擇是否啟用個人化廣告，也能瀏覽自己被貼上的主題標籤，並選擇「停用」該標籤。值得注意的是，這些標籤除了主題以外，其實也包含了年齡、教育程度、性別，甚至國籍和人種。</p> <p>現有控管選項，也能特別針對敏感主題，選擇是否減少顯示相關廣告，包括酒精飲料、約會交友、賭博、懷孕與育兒、減重等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mac1.jpg" style="width: 600px;" /></p> <blockquote><p><span id="docs-internal-guid-110d16c7-7fff-03c8-82ae-baa9861a10a8"><span style="font-size: 11pt; font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-style: italic; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">目前的Google廣告控管選項，已經能瀏覽自己被貼上的主題標籤，並選擇停用特定標籤。</span></span></p> </blockquote> <p>新的My Ad Center介面中，將一般標籤、品牌標籤和敏感主題的控管選項，整合在同一個選單。最大改動，就是使用者也能針對個別品牌，選擇增加或減少相關廣告頻率。讓使用者主動提供自身喜好資訊，尤其是對於特定品牌的偏好，也成了蒐集第一手使用者資訊的新管道，不過Google尚未宣布是否會蒐集這些管控資料，並用在其他用途。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mac2.png" style="width: 600px;" /></p> <p>除了My Ad Center頁面，個別Google廣告也能新增了個人化選項和廣告透明化資訊。使用者可以在個別廣告上開啟選單，並選擇封鎖、喜歡及檢舉此廣告，也能針對該廣告的主題標籤及品牌標籤，調整出現頻率。並且，選單中將會直接顯示廣告出資者，並說明使用者被投放此廣告的原因。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mac3.png" style="width: 600px;" /></p> <p> </p> </div></div></div>
2022/5/12 15:44作者郭又華https://www.ithome.com.tw/news/150885
Google Wallet捲土重來，要整合交通票證、信用卡及各種身分會員證件，將在臺灣等40多國家地區推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在I/O大會中發表了全新的Google Wallet，可用於Android與Wear OS裝置，支援交通運輸、活動票券、登機證、會員卡、學生證或是汽車鑰匙，目前已和幾個國家地區合作，今年稍晚將數位身分證件、駕照也能放進Google Wallet中，甚至使用手機取代房卡或門禁卡，進入旅館或辦公大樓。Google Wallet即將在包括臺灣在內40多個國家地區推出。</p> <p>根據Google Wallet產品總監Dong Min Kim在Google官方部落格的說明，Google Wallet是一個數位錢包的概念，透過應用程式將實體錢包或皮夾裡隨身攜帶的物品數位化，儲存在Google Wallet的數位錢包裡。以前需要隨身攜帶的東西，可變成手機裡的某項功能。甚至，Google的目標是改善使用者體驗。</p> <p>他以飛機登機證為例，存入Google Wallet後，若班機延誤或是臨時更改登機門，用戶就能透過錢包收到通知，或是將大眾運輸票證存到錢包中，當使用Google Maps查看公車或捷運路線時，一旁顯示大眾運輸票證餘額，若餘額不足可以輕觸加值。</p> <p>除了證件、票卡的數位化，Google Wallet也可存放信用卡或簽帳金融卡，在接受Google Pay的商家，用儲存於錢包內的卡片付款，當實體卡片遺失，用戶在等待補發卡片期間，仍能使用Google Wallet內的虛擬卡片付款。</p> <p>Dong Min Kim也強調，即使用戶的信用卡遺失，因金融機構的身分驗證機制，別人也無法輕易將卡片加到自己的手機裡，用戶若不慎遺失手機，可透過螢幕鎖定，或是尋找我的裝置從遠端鎖定、清除手機內的資料，他人無法輕易的使用手機的Google Wallet。</p> <p>為了推廣Google Wallet，目前Google已數百家的運輸公司、零售商、票券商、衛生機構、航空公司合作，以開發適用於 Google Wallet的數位卡片或票券。此外，Google還與部分企業合作，在其應用程式或網站上，透出加入Google錢包的選項。</p> <p>Google計畫讓Google Wallet不只是用於高階或新款手機，讓較經濟的手機以後也能使用錢包的功能。即使手機無法使用錢包的部分功能，開發人員可透過QR Code或條碼，讓更多裝置存取他們的內容。</p> <p>為了減輕開發的負擔，Google已提供特定的範本供外界參考，以開發票證或卡片的數位版本，目前鎖定幾個情境，例如零售業的會員卡、促銷優惠、航空公司登機證、活動票券，或是用於健康醫療產業的疫苗、檢驗證明等等。若沒有特定的範本可供參考，則建議採用一般範本。</p> <p>事實上，這並非Google第一次推出Google Wallet，早在Google Pay之前，Google在10年前就曾經推出Google Wallet，可用於實體與網路的支付及匯款工具，後來Google Wallet與Android Pay合併成為Google Pay，如今Google Wallet捲土重來，不只是支付工具，而是以錢包的概念，整合各種身分證件、票證、卡片。</p> <p>Google Android陣營的競爭對手Apple，很早便推出Apple Wallet，曾與旅館、美國數個州政府合作，讓旅館房卡、州政府ID與駕照可支援Apple Walle，2年前洛杉磯郡也以Apple Wallet、Google Pay追蹤民眾接種COVID-19疫苗情形。</p> <div> </div> </div></div></div>
2022/5/12 13:43作者蘇文彬https://www.ithome.com.tw/news/150881
Google更新AR開發套件ARCore釋出新的地理空間API，讓開發者打造結合AR導引的3D街景應用更容易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google I/O開發者大會上，Google也<a href="https://developers.googleblog.com/2022/05/Make-the-world-your-canvas-ARCore-Geospatial-API.html?utm_source=prezly&utm_medium=iframely">更新AR開發套件ARCore</a>，釋出全新Geospatial API，讓開發者打造結合AR導引的3D街景應用更容易，像是戶外尋找停車位、室內外場所導引，以及類似寶可夢的娛樂體驗等等。該API適用於Android 和 iOS 的 ARCore SDK ，目前已開放提供下載。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/udoSz_UBUdc" title="YouTube video player" width="560px"></iframe></div> <p>Geospatial API是一個地理空間API，可以存取Google位於全球各地的地理空間資訊，並提供與Live View相同的AR街景導引技術。Live View是Google於2019年所推出的AR徒步導航功能，可以在3D實景地圖中，疊加3D箭頭和轉彎指示，引導使用者從任一地點到達另一個指定地點。</p> <p>透過Geospatial API，開發者可以使用Live View的3D街景導引技術，結合自己App做應用，例如，美國共享電動滑板車新創Bird和共享單車Lime就實際以Geospatial API打造一個AR租借導引服務，能夠引導用戶到最近租借處或歸還地點。</p> <p>不只戶外街景，室內場所也能用，如澳洲電信商Telstra也與Accenture合作，開發出適合大型活動場所的AR尋路功能，只要用手機掃球賽票根上的QR碼，就能逐步引導球迷從容納數千人的大型體育場館中找到自己的座位、或攤位和洗手間，全程免問路。或是有像是日本DOCOMO開發出類似寶可夢的AR娛樂體驗等。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/5%20-%20%5BUPDATED%5D%20Telstra_3.gif" style="width: 147px; height: 320px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/6%20-%20%5BUPDATED%5D%20docomo_01_1.gif" style="width: 147px; height: 320px;" /></p> <blockquote><p>澳洲電信商Telstra也與Accenture合作，開發出適合大型活動場所的AR尋路功能（上圖左），只要用手機掃票根上的QR碼，就能逐步引導球迷從容納數千人大型場館中找到自己的座位、攤位和洗手間，免問路。（圖片來源：Google）</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap13.png" style="width: 600px; height: 330px;" /></p> <p>除此之外，開發者現在設置多人AR共享體驗的AR錨點也變更容易許多，因為透過Google地圖上VP視覺定位服務，通過辨識和定位出街景中數百億張圖片所對應的真實世界位置所在，即使人不用到現場，直接從地圖上找到想要設置錨點的經緯度、高度，就能完成AR內容或物件設置，甚至也不需要重新掃描，從而加快AR應用開發。目前可以支援87個國家及地區使用。</p> <p>Google也改善AR互動體驗，讓AR內容呈現可以更快、更準確，Google開發新的機器學習模型，可以從Google街景影像計算出3D點雲環境，來比對用戶手機相機看到的真實街景畫面，從而精準定位出使用者目前所在的位置，來決定導引箭頭指向，以及AR內容出現的位置、方向和角度，進而帶來更沉浸的互動體驗。</p> </div></div></div>
2022/5/12 12:25作者余至浩https://www.ithome.com.tw/news/150878
Google發表449美元的Pixel 6a，預告明年將推出Pixel Table平板電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於去年10月發表Pixel 6系列手機之後，Google於本周舉行的Google I/O<a href="https://blog.google/products/pixel/pixel-6a-io-2022/" target="_blank">發表了該系列的入門機種Pixel 6a</a>，採用與該系列一致的Tensor處理器，售價則為449美元（13,990元新臺幣），<a href="https://twitter.com/madebygoogle/status/1524462561143537664" target="_blank">另也預告</a>即將於明年推出基於Google Tensor處理器的Pixel Table平板電腦。</p> <p>Google Tensor為Google自製處理器，標榜更先進的機器學習模型與更低的電力損耗，率先被應用在Pixel 6系列手機上，它帶來了更精確的自動語音辨識（Automatic Speech Recognition，ASR）能力，支援錄音、即時字幕與即時翻譯，相關能力同時存在於Pixel 6 Pro、Pixel 6與Pixel 6a上。</p> <p>有別於Pixel 6 Pro採用6.7吋螢幕，Pixel 6是6.4吋螢幕，入門款的Pixel 6a則採用6.1吋螢幕，它具備主要及超廣角兩種後置鏡頭，也採用與Pixel 6相同的自拍鏡頭，儘管其拍照能力不如前兩者，但提供了可真實呈現膚色的自然色調功能、於低光源狀態拍攝的夜視模式，以及讓使用者方便清除照片中無干事物的魔術橡皮擦。</p> <p>Pixel 6a還支援螢幕指紋辨識功能，搭載6GB LPDDR5記憶體，內建128GB儲存空間，若啟用超級省電模式，Pixel 6a的電池續航力可達72小時，一般使用狀況的平均電池續航力亦有29個小時。</p> <p>Pixel 6a提供石墨黑、雪花白及海沫綠三種顏色，售價為449美元（13,990元新臺幣），低於Pixel 6的599美元（18,990元新臺幣）與Pixel 6 Pro的899美元（26,990元新臺幣），預計於7月21日開放預購，7月28日上架，銷售市場涵蓋臺灣、美國、日本及新加坡等十多個地區。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0512-Google%20Pixel%206a-600.jpg" style="width: 550px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>此外，Google也預告了即將在明年推出採用Google Tensor處理器的新一代Android平板電腦Pixel Table，還誇口說它將成為全球最有用的平板電腦，讓它能搭配Pixel手機並融入使用者的日常生活中。</p> <p>Google先前也曾推出10.2吋的Pixel C及12.3吋的Pixel Slate平板電腦，但Pixel Table將是首款採用Tensor的平板，只是Google並未透露太多該裝置的細節。</p> </div></div></div>
2022/5/12 12:45作者陳曉莉https://www.ithome.com.tw/news/150879
Google Cloud宣布相容PostreSQL的雲端資料庫AlloyDB，號稱比AWS快2倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google I/O 2022上，<a href="https://cloud.google.com/blog/products/databases/introducing-alloydb-for-postgresql" target="_blank">Google Cloud宣布自有相容PostgreSQL資料庫的雲端服務AlloyDB for PostgreSQL</a>，向甲骨文及Amazon Web Services（AWS）下戰帖，交易處理效能是AWS同類產品的2倍。</p> <p>針對PostgreSQL用戶，Google Cloud已推出CloudSQL for PostgreSQL及<a href="https://www.ithome.com.tw/news/147294" target="_blank">Spanner</a>，但是這些資料庫僅提供介接PostgreSQL的介面，或並非以標準PostgreSQL為核心。AlloyDB for PostgreSQL則是以開源資料庫PostgreSQL為基礎稍加修改而成。</p> <p>Google Cloud總經理暨資料庫工程副總裁Andi Gutmans指出，一些企業用戶希望能將關鍵資料庫搬到開源資料庫，以省下昂貴授權費及避免被廠商綁架，然而他們卻苦於效能調校、資料庫清理造成營運中斷，以及管理應用可用性等挑戰。</p> <p>他表示AlloyDB可完全與PostgreSQL相容，且具備Google Cloud的可擴充雲端運算與儲存基礎架構、安全性、及AI/ML管理功能，使AlloyDB成為企業由「舊式資料庫」轉移的最強大選項。</p> <p>Google宣稱，根據該公司內部效能測試，AlloyDB比標準的PostgreSQL交易式任務效能快4倍有餘，和AWS的競爭產品Aurora PostgreSQL相較也快了2倍。它的多層快取功能可自動依負載模式分層，藉此提升價格/性能比。此外，AlloyDB的向量式欄位加速功能可以最佳化方式在記憶體內儲存資料，以提升資料掃瞄和集結速度，結果是分析查詢比PostgreSQL快了最高100倍。Google表示這讓Alloy適合作為商業智慧（BI）、報表和混合式交易及分析作業。</p> <p>Google並強調AlloyDB可自動偵測大部分資料庫運作問題，可在幾秒內回復，其架構也支援不中斷的執行個體調整（resizing）和資料庫維護，可用性SLA達99.99%。</p> <p>最後，Alloy的管理及分析獲得AI加持。除了自動上資料庫修補程式、備份、複製等，還具有適應性演算法及機器學習來強化資料清理管理（vacuum management）、儲存和記憶體管理、資料分層及分析加速，會從用戶使用中學習並可最佳化記憶體、快取和儲存媒體內的資料庫管理。在分析方面，Alloy內建Google Vertex AI平臺。讓用戶可在查詢或交易時直接呼叫模型，這意謂著不用再寫程式碼，而能更快產出擴增式分析（augmented insights）。</p> <p>AlloyDB for PostreSQL是像Google Cloud、AWS這類雲端業者爭取甲骨文客戶的最新動作。在此之前Google也在資料搬移服務（Database Migration Service）加入Oracle-to-PostgreSQL schema轉換及資料複製工具，並以資料庫搬移方案協助甲骨文用戶轉到Google Cloud。</p> </div></div></div>
2022/5/12 13:17作者林妍溱https://www.ithome.com.tw/news/150880
防信用卡個資被竊，Google推出虛擬信用卡功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於購物網站被駭導致消費者信用卡資訊被竊事件頻繁，<a href="https://blog.google/technology/safety-security/how-we-make-every-day-safer-with-google/" target="_blank">在周三的Google I/O上Google宣布一系列安全新措施</a>，包括為Chrome瀏覽器及Android新增名為虛擬信用卡號（Virtual Card Numbers）的功能，可降低線上購物時信用卡號外洩風險。</p> <p>虛擬信用卡號其實運行方式如同瀏覽器的autofill功能。它會在線上交易結帳階段使用者於網頁上填入信用卡資訊，包括驗證碼時自動填入，可取代真實信用卡資訊傳送給交易平臺或店家，不必擔心信用卡或驗證碼遭業者濫用或因平臺遭駭外洩，為線上交易多加一層安全防護。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0512-google%20virtual%20cards-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p><a href="https://support.google.com/googlepay/answer/11234179?hl=en" target="_blank">根據Google網頁</a>，啟用這項功能後，虛擬信用卡的信用卡號、信用卡到期日、驗證碼等都與真實卡片不同。<a href="https://www.theverge.com/2022/5/11/23066215/google-virtual-credit-cards-chrome-autofill-privacy-io" target="_blank">The Verge引述Google主管指出</a>，每一張虛擬信用卡只用於單一次交易，但也可支持重覆交易，例如用於訂閱服務。</p> <p>使用者需在<a href="http://pay.google.com" target="_blank">pay.google.com</a>啟用Chrome這項功能，填入信用卡號、驗證碼、信用卡效期及帳單地址等。Google說這可免於手動輸入驗證碼的麻煩，而且好管理。使用者也在這網頁上修改虛擬信用卡，或是讀取虛擬信用卡的交易記錄。</p> <p>這項服務將在今年夏天在美國推出，推向Visa、萬士達卡（MasterCard）及美國運通（America Express）以及Capital One發行的信用卡或簽帳卡。</p> <p>Google還宣布其他安全功能。首先是帳號安全狀態，它會在用戶Google帳號的個人頭貼上顯示黃色盾牌及驚嘆號標示，並建議用戶採取行動強化帳號安全（如新增螢幕鎖定、檢查密碼、啟動兩步驟驗證等），完成後個人頭貼上的標示就會消失。Google Workspace也將把Gmail的釣魚信防護，推向Workspace的Google Docs、Sheets和Slides，例如若Google偵測到用戶可能將點入釣魚連結或點擊惡意程式時會發出警告，要求用戶不要行動。此外Google在完成將1.5億帳號強制啟動兩步驟驗證後，Google說會持續擴大啟動的對象。</p> </div></div></div>
2022/5/12 11:40作者林妍溱https://www.ithome.com.tw/news/150877
Google展示下一代AR眼鏡設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周三Google I/O大會上，除了Pixel 6a、7手機及Pixel Watch外，Google也令人驚喜地更新許久不見的產品Google AR眼鏡。</p> <p>在Google I/O，Google/Alphabet執行長Sundar Pichai說明，語言是人類溝通的關鍵，但在操不同語言的人之間，以及對有聽障問題的人來說是一大挑戰，Google下一代眼鏡的早期原型顯示該公司在翻譯及轉錄技術的進展，以及實際應用。</p> <p>不過現場並沒有這支眼鏡的展示，<a href="https://www.youtube.com/watch?v=SQd394a4qEo" target="_blank">僅以影片說明下一代Google 眼鏡的外觀及一項潛力應用</a>。產品的軟、硬體規格或推出時程等Google均未說明。</p> <p>從影片顯示，下一代Google AR眼鏡外觀已不再如第一代產品怪異，也不同於<a href="https://www.ithome.com.tw/news/130771" target="_blank">第二代不均衡鏡腳設計</a>，完全就是普通眼鏡造型。而在應用上，Google的即時雙向翻譯已能直接將翻譯的內容以字幕顯示在鏡片上，可用於家人和親友間跨語言溝通，甚至可以支援手語翻譯。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0512-google%20ar%20glasses-600-1.jpg" style="width: 550px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>另一方面，Pichai指出，AR技術透過整合於Google產品如Google Maps和Google Lens，除了在智慧型手機上展現用途外，如果用在真實世界中，將會帶來更多「魔法」，暗示Google眼鏡的更多應用場景。</p> <p>這顯示Google對Google AR眼鏡的消費應用更為務實，不再只訴諸極限運動或潛水等少數消費者。事實上，Google 2019年已經將AR眼鏡重新定位在製造、維修、物流倉儲、醫療、救災現場中，提供撿貨、訓練及視訊互動等實際商務應用。</p> <p>周三Google同時展示Google AR應用的新進展，包括<a href="https://www.ithome.com.tw/news/150875" target="_blank">Google地圖上推出沉浸式3D導覽（Immersive View）</a>、AR購物可同時顯示商品價格、查詢多種商品比價或網路評價等。</p> </div></div></div>
2022/5/12 10:03作者林妍溱https://www.ithome.com.tw/news/150876
Google打造元宇宙的沉浸式Google 3D地圖，用手機AR就能查看逼真的街景細節與不同時間變化的城市景色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>延續去年火熱的元宇宙議題，在今年Google I/O 開發者大會，Google<a href="https://blog.google/products/maps/three-maps-updates-io-2022/">宣布</a>針對地圖導航和購物，加入更多AR體驗功能，在Google地圖上推出沉浸式3D導覽（Immersive View）功能，使用者能以手機AR觀看整座城市細節，甚至不同時間的城市面貌，都能一覽無遺，另外AR購物也將支援多重商品的虛擬展示，讓消費者在商店購物也能有線上購物一樣體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Hero_-_I_O_Geo__max-1000x1000.png" style="width: 600px; height: 321px;" /></p> <p>Google表示，新推出的沉浸式導覽Google 3D地圖，結合衛星街景照和電腦視覺技術所生成，能提供比傳統Google的3D地圖更高解析度以及更生動的AR體驗，地圖上可以真實反應出現實世界的街道、建築景觀、餐聽，用手機就能查看，還可以放大來觀看街道、不同商店細節，有如一座城市的元宇宙，還有時間軸，可以看到不同時間變化的城市景色，方便規畫接下來路線或行程。</p> <p>該功能將在美國洛杉磯、紐約、舊金山、英國倫敦和日本東京先推出，年底前也將擴大到更多城市。除了Android裝置能用，也支援iOS裝置。</p> <p>另外，幾年前Google地圖上推出的AR徒步導航功能Live View ，Google釋出了ARCore Geospatial API，讓開發者可以使用Live View的3D街景技術，結合自己App做應用，像是尋找停車位、場景導航以及開發實景地圖遊戲等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-05-12%20%E4%B8%8A%E5%8D%885_55_14.png" style="width: 600px; height: 326px;" /></p> <p>除了沉浸式Google地圖，Google還展示一項名為「場景探索（Scene exploration）」的AR購物體驗新功能，目前仍在開發階段，今年也將推出。</p> <p>有別以往，使用AR購物時，只能在手機螢幕上展示單件商品的虛擬說明，未來新的場景探索功能，因為結合電腦視覺、自然語言理解及網路與運算處理相關技術，能在手機上一次展示多件商品的虛擬說明，消費者不只能瀏覽貨架上不同商品資訊，還能進行比價或查看網路評價，只要拿起手機朝向眼前一排商品，就能即時觀看這些商品的評分，不必上網和搜索評論，就像線上購物一樣。</p> </div></div></div>
2022/5/12 07:50作者余至浩https://www.ithome.com.tw/news/150875
【資安日報】2022年5月11日，F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>F5於上週修補BIG-IP重大漏洞CVE-2022-1388，研究人員約在9日發現漏洞探測的攻擊行為，但現在有人竟開始利用這樣的漏洞，破壞尚未修補的BIG-IP系統。</p> <p>針對從2月底進行至今的烏克蘭戰爭，美國衛星網路Ka-Sat於戰爭初期就遇害，當時外界就懷疑可能是俄羅斯所為，但沒有相關證據。直到最近，多個國家表示已經掌握相關情報，指出這起攻擊行動就是俄羅斯所為。</p> <p>昨天微軟也發布了每月的例行修補（Patch Tuesday），當中引起資安人員高度關注的漏洞之一，就是已經被用於攻擊行動的CVE-2022-26925，這項漏洞存在於所有版本的Windows作業系統，用戶應儘速修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-f5-big-ip-vulnerability-targeted-by-destructive-attacks/"><span style="color: rgb(0, 0, 0);">駭客透過F5的BIG-IP重大漏洞進行破壞性攻擊，意圖清除該系統上的所有檔案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2022-1388-rm-FSVrLSnXEAAV6eX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2022-1388-rm-FSVrLSnXEAAV6eX.png" style="width: 300px; float: right;" /></a>網路安全業者F5於本月初修補BIG-IP重大漏洞CVE-2022-1388，研究人員約於9日開始發現嘗試利用漏洞的攻擊行為，但現在有人進行更具破壞性的攻擊行動。美國系統網路安全研究院（SANS Institute）於5月10日指出，他們從密罐裡發現了針對CVE-2022-1388的攻擊行動，駭客來源的IP位址為177.54.127[.]111，但值得留意的是，駭客對於攻擊目標的BIG-IP系統下達了rm -rf /*命令，企圖刪除該系統上的所有檔案。</p> <p>研究人員Kevin Beaumont也觀察到相關的攻擊行動，並指出從物聯網搜尋引擎Shodan發現到不少BIG-IP設備都停止回應，疑似和這種破壞性攻擊有關。對此，F5表示正在尋求SANS合作調查此事，並呼籲用戶儘速採取緩解措施，且不要把BIG-IP的管理介面曝露於網際網路。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/us-eu-blame-russia-for-cyberattack-on-satellite-modems-in-ukraine/"><span style="color: rgb(0, 0, 0);">美國、英國、歐盟提出證據並指控俄羅斯是衛星網路Ka-Sat攻擊事件的幕後黑手</span></a></strong></h3> <p>美國衛星網路Ka-Sat於俄羅斯進軍烏克蘭當日（2月24日），就遭遇到駭客攻擊而癱瘓，美國衛星通訊業者Viasat於3月底公布調查結果，資安業者SentinelOne隨後揭露駭客所使用的惡意程式，而此事到了最近又有新的進展。美國、英國、歐盟紛紛於5月10日指控，根據他們所掌握的情報，此起網路攻擊是俄羅斯所策畫，目的是為了擾亂烏克蘭軍隊的指揮與聯繫，以利俄羅斯軍隊的武裝行動。</p> <p>但這起網路攻擊同時也波及德國的風力發電，並對於其他歐洲國家造成影響，突顯俄羅斯在網路空間為所欲為，完全不考慮可能會危及其他國家的情況。對此，歐盟正考慮採取進一步的措施來防範類似的攻擊行為，亦表明會對烏克蘭提供必要的資源，來強化該國的網路韌性。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/05/10/a-german-car-attack-on-german-vehicle-businesses/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定德國汽車產業散布竊密程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/German-Automobile-phishing-Picture12.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/German-Automobile-phishing-Picture12.png" style="width: 300px; float: right;" /></a>駭客鎖定特定產業發動釣魚攻擊，並使用極為近似的網域，而使得受害者難以識破意圖。資安業者Check Point揭露約自2021年7月開始的德國汽車產業攻擊行動，駭客的目標主要是當地的汽車經銷商與製造商，且假借購車的名義寄送釣魚郵件。駭客於郵件中挾帶ISO映像檔，一旦收信人依照指示開啟映像檔裡的HTML應用程式檔案（HTA），電腦就會顯示德文的汽車購買合約，但在此同時，HTA檔案也在背景執行VBScript程式碼，進而於受害電腦下載並執行Raccoon Stealer、AZORult，以及BitRAT等竊密軟體。</p> <p>研究人員指出，他們將這起攻擊行動追蹤到14個與德國汽車產業有關的組織，而攻擊行動的高峰出現在2021年10月底、2021年11月底，以及2022年3月中旬，且在研究人員公布細節時攻擊行動仍在持續進行。根據駭客將竊密軟體上傳到伊朗網域，研究人員認為，攻擊者很可能來自伊朗。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lincoln-college-to-close-after-157-years-due-ransomware-attack/"><span style="color: rgb(0, 0, 0);">美國林肯學院因勒索軟體攻擊被迫閉校</span></a></strong></h3> <p>學校在疫情中苦撐，若是再遇到勒索軟體攻擊，很可能將是壓倒校方的最後一根稻草，讓經營者不得結束學校的運作。位於美國伊利諾州的林肯學院（Lincoln College）近日發布公告，該校在經歷了這兩年的武漢肺炎大流行，再加上去年12月的勒索軟體攻擊事故，導致校方決定於今年5月13日關閉學校，結束長達157年的運作。林肯學院指出，這起勒索軟體攻擊事故導致該校網站停擺，招生、募款相關系統亦無法運作，直到今年3月才完全復原，此時發現今年秋季招生將不如預期，將即使他們透過募款、出售資產等方式調度資金，該校財務狀況仍不見起色，迫使他們不得不做出上述的決定。</p> <h3><strong style="font-size: 22px;"><a href="https://www.kyberturvallisuuskeskus.fi/fi/varoitus_1/2022"><span style="color: rgb(0, 0, 0);">安卓木馬FluBot透過多媒體簡訊向芬蘭散布</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/flubot.png.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/flubot.png.jpg" style="width: 300px; float: right;" /></a>芬蘭國家網路安全中心（NCSC-FI）於5月10日發布資安通告，指出安卓惡意程式FluBot的攻擊行動再度升溫，但有別於去年底出現的大規模攻擊行動，駭客不只使用一般的文字簡訊發動網釣攻擊（Smishing），也可能透過多媒體簡訊（MMS）來進行。攻擊者可能以語音訊息、未接來電通知等名義，引誘對方透過簡訊裡的連結下載、安裝惡意程式FluBot。雖然這起攻擊行動的主要目標是安卓手機用戶，但NCSC-FI指出，iPhone用戶若是點選簡訊的連結，將會被引導到詐騙網站。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2022-patch-tuesday-fixes-3-zero-days-75-flaws/"><span style="color: rgb(0, 0, 0);">微軟發布5月例行修補，修補75個漏洞，其中3個為零時差漏洞</span></a></strong></h3> <p>微軟於5月10日發布例行修補（Patch Tuesday），當中總共修補了75個漏洞，當中有8個為重大漏洞，一旦攻擊者利用，有可能藉此發動RCE攻擊，或是提升權限。這些漏洞當中有3個為零時差漏洞，又以CVE-2022-26925最值得留意，因為駭客已將該漏洞用於攻擊行動。此漏洞與NT LAN Manager（NLTM）有關，CVSS風險指數為8.1分，攻擊者可在未經身分驗證的情況下，強制網域控制器以NTLM向攻擊者進行身分驗證，進行NTLM中繼攻擊（NTLM Relay Attack），所有版本的Windows用戶端、伺服器版作業系統都存在上述漏洞。</p> <p>微軟特別提到，若是攻擊者透過AD憑證服務（AD CS）與此漏洞串連，CVSS風險層級將大幅提升至重大等級的9.8分。該公司亦建議組織的IT人員，參考他們去年對於PetitPotam漏洞發布的資安通告，來取得緩解NTLM中繼攻擊的相關資訊。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/11 18:18作者周峻佑https://www.ithome.com.tw/news/150871
加密貨幣交易平臺Coinbase營收下滑，股價跌16%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最大加密貨幣交易平臺<a href="https://s27.q4cdn.com/397450999/files/doc_financials/2022/q1/Coinbase-Q122-Shareholder-Letter.pdf" target="_blank">Coinbase周二（5/10）公布了今年第一季財報</a>，顯示該季創下11.7億美元的營收，比去年同期下滑了27%，虧損4.3億美元，遠不如去年同期的7.7億美元獲利，透露出加密貨幣也難逃全球通膨與股市下滑的趨勢，使得Coinbase當天股價下挫16.03%，以58.95美元作收。</p> <p>Coinbase表示，今年第一季延續了從去年底開始的加密貨幣資產價格下滑與震盪趨勢，因而直接影響Coinbase的第一季財報，但這並不會令該公司心生畏懼，因為該公司一直是以長期的觀點來看待加密貨幣的採用，接受高營收帶來獲利，低營收可能造成虧損的結果，然而，Coinbase的目標是在盈虧平衡的狀態下操作，並隨著時間而趨於穩定，期待那些相信Coinbase使命且能撐過價格周期的投資人。</p> <p>總之，Coinbase認為目前的市場現況並不是永遠的，而且應專注於長期發展，並持續開發新產品。</p> <p>值得注意的是，從今年以來，加密貨幣的市值大幅波動，今年1月跌幅接近30%，3月出現回升，4月再度大幅下滑，且不管是加密貨幣市場總交易量或是Coinbase平臺的交易量都呈現下滑。</p> </div></div></div>
2022/5/11 16:46作者陳曉莉https://www.ithome.com.tw/news/150869
據傳Netflix第四季要開始打擊密碼共享
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2022/05/10/netflix-ads-password-crackdown-expected-as-early-as-this-year-source-says.html" target="_blank">《CNBC》</a>及<a href="https://www.nytimes.com/2022/05/10/business/media/netflix-commercials.html" target="_blank">《紐約時報》</a>相繼於本周引述消息來源指出，全球影片串流龍頭Netflix準備在今年第四季推出含有廣告的低費率服務，同時也將開始出手抑制使用者之間的密碼共享。</p> <p>促使Netflix採取上述政策的原因應是源自Netflix近日的財報表現。<a href="https://www.ithome.com.tw/news/150505" target="_blank">Netflix今年第一季的財報</a>顯示其訂閱會員數比上一季減少了20萬，這是Netflix這十多年來的訂閱用戶數首度出現下滑，並於財報中披露，除了真正付錢訂閱的2.22億用戶之外，至少還有超過1億人免費分享了友人的帳號。</p> <p>從4月19日發布財報迄今，Netflix的股價從348美元陡降至177美元，幾近腰斬，不到一個月的時間該公司的市值就蒸發了約700億美元。</p> <p>當時Netflix執行長Reed Hastings便曾於財報會議中表示，他們很願意以更低的價格並搭配廣告來提供消費者另一個選擇。</p> <p>根據報導，Netflix高層已知會員工即將於今年第四季開始，推出內含廣告的訂閱服務，同時也會出手打擊使用者之間的密碼分享行為。</p> <p>目前Netflix在臺灣提供單裝置270元、雙裝置330元，以及4個裝置390元的3種訂閱方案，而新的含廣告訂閱方案預期將會低於270元，只不過，現階段尚不確定Netflix會使用哪些方式來限制使用者之間的密碼分享。</p> </div></div></div>
2022/5/11 15:14作者陳曉莉https://www.ithome.com.tw/news/150866
歐盟管制科技巨擘的數位市場法2023年正式上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148001" target="_blank">歐盟執委會去年以來推動並通過</a>管制科技巨頭的《數位市場法》（Digital Markets Act），<a href="https://ec.europa.eu/commission/presscorner/detail/en/SPEECH_22_2822" target="_blank">上周執委會宣布</a>新法預定在2023年正式上路實施。</p> <p>歐盟負責反托拉斯事務的執行副總裁Margrethe Vestager上周在德國柏林的演說中指出，歐盟和幾間科技巨型業者已在幾個星期前達成政治協議，數位市場法（DMA）預計在明年春天生效，委員會也必須做好準備。</p> <p>為了即將實施的新法，Vestager表示，接下來歐盟執委會將著手制定組織架構，增加人手、草擬法律程序及通知的文字、和IT系統建置等。</p> <p>歐盟是在去年11月通過《數位市場法》，這部法案被視為數位版反托拉斯法，旨在規範超大型網際網路服務及平臺業者，該法稱之為「守門人」應為及不應為的行為。本法管制對象涵括經營社交網路、搜尋引擎、作業系統、網路廣告服務、雲端運算、影片分享服務、瀏覽器、數位助理或連網電視等，且其在歐洲經濟區的年營收超過75億歐元，市值超750億歐元的企業，像是Amazon、Google、微軟、蘋果、Meta等。</p> <p>新法將要求科技巨頭允許用戶安裝第三方App，不得整合多種來源的用戶個資、搭售服務、傳訊服務需和第三方傳訊服務互通、以及球員兼裁判的商業行為等。此外歐盟也要求蘋果App Store開放第三方支付系統。</p> <p>違反該法令的企業可能會被判罰最高年營收的10%，長期違法者甚至可罰20%，外加「行為和結構的修正措施」，像是分割在歐洲的分公司。</p> <p>然而該法引發Amazon、<a href="https://fortune.com/2022/03/25/apple-google-criticize-eu-digital-markets-act/" target="_blank">Google等反彈</a>，例如<a href="https://www.ithome.com.tw/news/150100" target="_blank">本法要求</a>WhatsApp、Facebook Messenger及iMessage等主要傳訊服務必須開放與其他傳訊平臺的互通機制，蘋果認為這將對蘋果用戶產生隱私和安全風險，而其他廠商也會以此拒絕對蘋果苦心研發的智財支付費用。Google則擔憂此法將阻礙創新，以及減少歐盟用戶可獲得的新服務。</p> </div></div></div>
2022/5/11 15:31作者林妍溱https://www.ithome.com.tw/news/150867
歐盟、英國及美國正式譴責俄羅斯駭客攻擊Viasat衛星網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/05/10/russian-cyber-operations-against-ukraine-declaration-by-the-high-representative-on-behalf-of-the-european-union/" target="_blank">歐盟</a>、<a href="https://www.gov.uk/government/news/russia-behind-cyber-attack-with-europe-wide-impact-an-hour-before-ukraine-invasion" target="_blank">英國</a>與<a href="https://www.state.gov/attribution-of-russias-malicious-cyber-activity-against-ukraine/" target="_blank">美國</a>在5月10日分別發布了公開聲明，正式譴責俄羅斯在今年2月24日入侵烏克蘭的前幾個小時，先行派出駭客攻擊了覆蓋烏克蘭的KA-SAT衛星網路，企圖癱瘓烏克蘭的公共機構、企業與使用者之間的通訊，以利俄羅斯軍隊的實體攻擊。</p> <p>KA-SAT衛星網路是由美國衛星通訊業者Viasat於歐洲及部分中東地區所部署的衛星網路，它覆蓋了包括烏克蘭在內的許多歐洲國家。</p> <p><a href="https://www.sentinelone.com/labs/acidrain-a-modem-wiper-rains-down-on-europe/" target="_blank">其實資安業者SentinelOne在3月31日便對外揭露了此事</a>，指出駭客是在2月24日以新的AcidRain刪除程式，移除KA-SAT數據機及路由器中的所有資料，造成KA-SAT衛星網路服務失靈。</p> <p><a href="https://www.viasat.com/about/newsroom/blog/ka-sat-network-cyber-attack-overview/" target="_blank">Viasat則說</a>，大多數的使用者並未受到該攻擊的影響，主要的受害者為烏克蘭境內的數千家客戶，並波及歐洲數萬名使用固定寬頻服務的客戶。</p> <p>AcidRain的特性讓SentinelOne懷疑相關攻擊與俄羅斯駭客有關，但本周則是首度由歐盟、英國與美國正式指出俄羅斯便是該攻擊的幕後推手。</p> <p>歐盟表示，針對KA-SAT衛星網路的攻擊不僅摧毀了烏克蘭境內的通訊，還波及了許多歐盟會員國，再度突顯了俄羅斯在網路空間的不負責任，就算只是針對烏克蘭的網路攻擊，也可能會蔓延至其它國家並造成系統性的影響，讓歐洲公民曝險。</p> <p>歐盟正與其它夥伴合作，考慮採取進一步的措施來避免、阻止與回應網路上的類似行為，也將繼續提供必要的政治、金融與物資等資源，協助烏克蘭強化其網路彈性。此外，歐盟亦嚴正呼籲俄羅斯必須立即終止這場戰爭，以結束無謂的人類苦難。</p> </div></div></div>
2022/5/11 15:59作者陳曉莉https://www.ithome.com.tw/news/150868
Red Hat公布RHEL 9，強化安全性、邊緣運算支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redhat.com/en/about/press-releases/red-hat-defines-new-epicenter-innovation-red-hat-enterprise-linux-9" target="_blank">IBM旗下Red Hat周三在Red Hat Summit大會上公布</a>旗艦產品Red Hat Enterprise Linux（RHEL）9，強化了邊緣運算（edge computing）的支援、及預防Spectre等硬體層漏洞的安全功能。</p> <p>RHEL 9是第一個以CentOS Stream為基礎的產品，後者是提供RHEL預覽版功能的社群版。新版本特別主打對邊緣運算的功能強化，包括在單一介面的安全與控制管理，如零點擊撥用（zero-touch provisioning）、系統狀態管理及漏洞緩解。新增Podman的自動化容器回撤（rollback），可在偵測容器更新失敗時，回復到之前最後的良好組態。</p> <p>新版RHEL並加入一個部署邊緣系統的安裝器，並且強化安全防護。目前是技術預覽版，支援FIDO Device Onboarding，可以建立加密通道連到管理平臺，以驗證系統完成組態及裝置的新增（onboarding）。此外它還支援Gnome Kiosk Mode，為單一用途的裝置，像是付款用終端機提供輕量的圖形化桌機環境。</p> <p>Red Hat還可配合Ansible Automation新功能，後者去年推出的自動化網格（automatic mesh）新功能，使RHEL的企業用戶更容易在跨本地部署、混合雲和邊緣的環境自動化管理。</p> <p>此外，RHEL9也將一些OS功能以服務推出，例如映像檔建立（image builder）服務，支援客製檔案系統及主要公有雲（如AWS、Google Cloud、Azure）及VMware的映像檔建立。</p> <p>另一方面，Red Hat持續強化安全性。除了一些安全分析功能可偵測和緩解OS中的組態及漏洞問題，RHEL 9加入了可解決Spectre、Meltdown等硬體層漏洞、以及讓使用者空間（user-space）建立無法為惡意程式存取的記憶體等功能。另外它還加入完整性量測架構（integrity measurement architecture，IMA）數位雜湊和簽章技術，可驗證裝置，防止裝置遭到惡意修改。</p> <p>除了強化邊緣運算支援、安全性外，RHEL 9也強化自動化管理功能以支援混合雲環境，包括自動化系統組態支援SQL Server、高可用叢集、防火牆、Web控制臺，也支援從RHEL Web控制臺即時派送Linux的核心修補程式（kernel live patching）。</p> <p>RHEL 9將在未來幾周內透過<a href="https://access.redhat.com/products/red-hat-enterprise-linux/" target="_blank">客戶入口網站</a>釋出，而針對公有雲，RHEL 9也在主要公有雲平臺包括AWS、Google Cloud、IBM Cloud及微軟Azure上線，提供雲端用戶升級。RHEL 9也將持續支援AWS ARM-based Graviton 處理器及.NET開發環境，以及IBM自己的IBM Power Systems及IBM Z主機。</p> </div></div></div>
2022/5/11 14:27作者林妍溱https://www.ithome.com.tw/news/150864
微軟Patch Tuesday修補74個安全漏洞，一個已被開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（5/10）的Patch Tuesday修補了74個安全漏洞，當中有7個被列為重大（Critical）漏洞，本月的修補包含一個已遭開採的零時差漏洞<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26925" target="_blank">CVE-2022-26925</a>，以及另外兩個已公開但尚未被利用的<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-29972" target="_blank">CVE-2022-29972</a>與<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22713" target="_blank">CVE-2022-22713</a>。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26925" target="_blank">CVE-2022-26925</a>屬於Windows Local Security Authority（Windows LSA）欺騙漏洞，這是一個受保護的Windows子系統，負責執行Windows系統的安全政策，會在使用者登入時驗證使用者身分，亦可處理密碼變更或產生存取權杖。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26925" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-CVE-2022-26925.jpg" style="width: 298px;" /></a></p> <p>根據微軟的說法，此一漏洞允許未經身分認證的駭客於LSAPRC介面上呼叫一個方法，並透過NTLM強制網域控制器驗證駭客身分。微軟則是藉由偵測及封鎖於LSARPC的匿名連線嘗試來解決了該問題。</p> <p>雖然<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26925" target="_blank">CVE-2022-26925</a>僅被列為重要（Important）漏洞，但若串連於AD CS上的NTLM轉發攻擊，那麼該漏洞的CVSS風險評分即會升高至9.8。</p> <p>至於<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-29972" target="_blank">CVE-2022-29972</a>則是一個涉及第三方Open Database Connectivity（ODBC）驅動程式的複雜漏洞。ODBC最初是由微軟及Simba Technologies所開發，為一存取資料庫管理系統的標準API，它獨立於資料庫及作業系統之外，讓以ODBC撰寫的程式可輕易移植至其它平臺。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-29972" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-CVE-2022-29972.jpg" style="width: 520px;" /></a></p> <p>微軟特別在修補CVE-2022-29972漏洞之前<a href="https://msrc-blog.microsoft.com/2022/05/09/vulnerability-mitigated-in-the-third-party-data-connector-used-in-azure-synapse-pipelines-and-azure-data-factory-cve-2022-29972" target="_blank">撰文說明了該漏洞</a>，指出此一漏洞涉及用來連結Azure Synapse管道中的Amazon Redshift，以及Azure資料整合服務（Azure Data Factory）中的整合執行階段（Integration Runtime，IR）的ODBC驅動程式，它雖未影響整個Azure Synapse，但允許駭客橫跨IR基礎設施執行遠端命令，而不限於單一租戶。</p> <p>此一漏洞是由Orca Security所提報，除了Orca Security辨識該漏洞的活動之外，微軟尚未發現有其它濫用該漏洞的案例，但將該漏洞列為重大等級。</p> <p>另一個已被公開的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22713" target="_blank">CVE-2022-22713</a>為Windows Hyper-V的服務阻斷漏洞，由於它的攻擊門檻較高，僅被列為重要漏洞。</p> <p>除了上述3個安全漏洞之外，<a href="https://www.zerodayinitiative.com/blog/2022/5/10/the-may-2022-security-update-review" target="_blank">趨勢ZDI團隊特別強調</a>了CVSS風險評分高達9.8的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26937" target="_blank">CVE-2022-26937漏洞</a>，它為Windows網路檔案系統（Network File System，NFS）的遠端程式執行漏洞，駭客只要向NFS服務執行一個特製且未經授權的呼叫，便得以觸發遠端程式執行。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26937" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-CVE-2022-26937.jpg" style="width: 480px;" /></a></p> <p>ZDI表示，Windows中的NFS服務預設值是關閉的，但它普遍存在於混合Windows與其它作業系統的環境中，採用混合環境的用戶應迅速測試或部署修補程式，此外，該漏洞並未波及NFSv4.1，NFSv2或NFSv3用戶也可選擇升級至NFSv4.1。</p> </div></div></div>
2022/5/11 14:40作者陳曉莉https://www.ithome.com.tw/news/150865
GovTech月報第6期：行政院通過溫管法修法，氣候變遷因應法拍板定案，將對排放源徵收碳稅；英國政府擁抱加密貨幣及金融…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0331~0430)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">氣候變遷因應法</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">淨零排放</span></font> </strong></p> <p><span style="font-size: 22px;"><strong><span id="docs-internal-guid-073c3d4c-7fff-c284-4b2d-8ba08656a539"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">為2050淨零排放鋪路，政院通過氣候變遷因應法，將針對排放源徵收碳費</span></span></strong></span></p> <p><span style="font-size: 22px;"><strong><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-05-10%20%E4%B8%8B%E5%8D%884_24_47.jpg" style="width: 600px; height: 314px;" /></span></strong></span></p> <p>呼應3月底國發會提出2050臺灣淨零排放的目標，為完備法制環境，行政院通過環保署提出的「溫室氣體減量及管理法」修正草案，改名為「氣候變遷因應法」，接下來將送立法院審議。氣候變遷因應法包括修改減碳目標為2050年淨零排放，同時也增訂了氣候變遷調適專章、氣候治理基本方針及重大政策等等。</p> <p>中央將由行政院國家永續發展委員會協調、分工與整合，地方政府也要設立「氣候變遷因應推動會」。此外，呼應國際趨勢發展，氣候變遷因應法也納入碳定價，並加強氣候變遷的人才培育與技術發展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-05-10%20%E4%B8%8B%E5%8D%884_27_57.jpg" style="width: 600px; height: 330px;" /></p> <p>為達到淨零排放的目標，新法以徵收碳費為經濟誘因，由中央主管機關對國內排放源徵收碳費，及碳費優惠費率、減量額度扣除徵收碳費的排放量。此外，因應國際趨勢對進口產品實施碳邊境調整機制。該法也規定將徵收的代金、碳費納入溫室氣體管理基金，以補助、獎勵執行溫室氣體減量工作事項、投資、研究及開發溫室氣體減量技術等。</p> <div> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">NFT</span></font></strong></p> <p><span style="font-size: 22px;"><strong><span id="docs-internal-guid-2baa9390-7fff-7065-886f-420d0cacd1e3"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">英國財政部推動加密貨幣政策及金融科技，今年夏天將發行NFT</span></span></strong></span></p> <p>英國政府展現推動加密貨幣政策及市場的決心，英國財政大臣已要求皇家鑄幣廠在今年夏天發行非同質化代幣NFT，顯示英國政府看好加密貨幣的潛力，希望扮演全球加密貨幣技術及金融科科技的中樞。</p> <p>相較於英國財政部認為，分散式帳本、區塊鏈技術被大肆宣傳卻又被誤解，為解決其缺點，財政部推動相關政策及法令以改善，例如訂定加密貨幣稅法，將加密貨幣交易納入監管，納入洗錢防治法等等。另方面，為釋放其潛力，推動加密貨幣相關的應用。</p> <p>英國政府未來將會立法，讓特定的穩定幣加入英國的支付框架，為穩定幣的發行商、服務供應商提供合適的發展環境，並提高消費者使用穩定幣的信心。</p> <div> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國國防部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size: 22px;"><strong><span id="docs-internal-guid-65feef51-7fff-e06c-7611-73b6df458e43"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">加速數據分析、AI採用，美國國防部設立首位數位暨AI長</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/220127-Z-JO084-0015.jpg" style="width: 600px; height: 400px;" /></p> <p>在AI應用愈來愈普及下，美國國防部任命首位數位暨AI長（Chief Digital and Artificial Intelligence Officer，CDAO），由擅長自然語言處理，曾在LinkedIn、Dropbox、Lyft等公司任職的Craig Martel擔任。美國國防部表示，將協助該部加速對資料分析、數位方案、AI採用，替美國創造會議與戰場的決策優勢。</p> <p>Craig Martel現為美國海軍研究院終生教授，過去在LinkedIn，曾是科學與工程負責人，設立LinkedIn的人工智慧學院，並在Dropbox曾負責其機器學習技術，在Lyft也專門從事機器學習技術，顯示美國國防部積極借重其專才。</p> <p>美國國防部是在今年2月成立CDAO辦公室，負責數位與人工智慧策略發展及政策，該辦公室首長位階提高至部長與副部長等級。</p> <div> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">財政部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">手機報稅</span></font></strong></p> <p><strong><span style="font-size: 22px;"><span id="docs-internal-guid-038788b5-7fff-bd5f-270f-2da5bc945ddf"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">財政部推手機報稅2.0，支援行動支付、行動自然人憑證</span></span></span></strong></p> <p>進入5月報稅季節，繼去年首次推出手機報稅，今年財政部再推出手機報稅2.0，除了可讓報稅民眾編輯資料外，多元身分識別機制，除了行動電話身分識別、戶號+查詢碼之外，首次開放使用行動自然人憑證進行身分驗證，民眾只要持有自然人憑證，可以預先註冊手機上的行動憑證，再以行動憑證通過手機報稅的身分驗證機制，以取代原來的TW FidO。</p> <p>此外，相較於去年無法編輯資料，今年手機報稅2.0開放納稅人在手機上編輯配偶及受扶養親屬資料。在繳稅方面，除了信用卡-ATM、活期儲蓄存款帳戶等方式之外，新增行動支付、電子支付帳戶繳稅。</p> <div> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">歐盟</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部辨識</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><strong><span style="font-size: 22px;"><span id="docs-internal-guid-c4ac1de3-7fff-b583-0c74-1bc5d2702bdf"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">歐盟國家共享資料庫將利用臉部辨識以利犯罪偵查</span></span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-eu_by_european_parliament-1.jpeg" style="width: 640px; height: 280px;" /></p> <p>歐盟地區將採用臉部辨識協助偵查犯罪，根據媒體報導，歐盟擬將特定族群的臉部照片加入共享資料庫，以協助犯罪調查使用。歐盟最早在2005年為防範恐怖攻擊及跨國犯罪，建立各國警方共享的資料庫，該資料庫納入參與國家人民的DNA、指紋及特定車輛資料，目前加入資料共享計畫的有27個國家。</p> <p>歐盟近期推動警方協同自動資料交換計畫，新計畫將增加共享資料類別，包括民眾的臉部照片及警局紀錄，遭人權團體質疑，可能引發對特定族群過度監控的疑慮。媒體並報導，各國提供數百至數千萬張的照片，包括犯罪嫌疑者、難民、已定罪者及無名屍。歐盟則澄清，該資料庫只交換嫌犯和罪犯臉部相片，AI辨識結果會經由人工再次判讀以避免誤判。</p> <div> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新竹縣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">區塊鏈</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><strong><span style="font-size: 22px;"><span id="docs-internal-guid-97119ff6-7fff-4763-e779-8edda25f634e"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">新竹縣推區塊鏈數位證書，2所高中畢業生將獲數位畢業證書</span></span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cea088ee-f496-4297-8653-2b8cad9cfd7d.jpg" style="width: 600px; height: 400px;" /></p> <p>新竹縣政府與新創公司合作，共同推動區塊鏈數位證書，新竹縣湖口與六家兩所縣立高中476位畢業生將同時領取數位畢業證書及紙本證書，全國高中發給非紙本畢業證書的首例。</p> <p>這項應用利用區塊鏈不可篡改、去中心化特性，相較於紙本證書存放不易，新竹市政府認為數位證書不需申請紙本證明，實現資訊的數位化。而未來區塊鏈數位證書不只是學生畢業證書，也會應用在學生志工活動參加證明。</p> <div> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">關務署</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">物聯網</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong><span id="docs-internal-guid-0c586e81-7fff-d4a3-c2a5-0d440298afd3"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">強化海關貨物移動安全，關務署7月將試辦物聯網全時監控</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01(21).jpg" style="width: 600px; height: 288px;" /></p> <p>為提升海關貨物移動安全，同時杜絕走私風險，關務署準備在7月開始試辦物聯網全時監控計畫，先從臺中關開始試辦，其次是基隆關、高雄關、臺北關等。這項計畫由政府訂定統一的產業標準後，以獎勵金鼓勵業者安裝即時追蹤裝置，由海關監控貨物動態及貨櫃保全狀態，確保貨物運送安全。</p> <p>物聯網全時監控計畫共4年，前兩年確立車載機、車機封條標準，建置物聯網全時監控系統，並將於今年上路，明年調整優化系統。相較於過去使用RFID等被動式電子封條，物聯網全時監控在貨櫃車輛上安裝車載機，支援4G通訊與GPS定位功能，後方貨櫃使用車機封條，可支援4G或以藍牙和車頭的車載機連線，海關透過物聯網全時監控系統，掌握貨櫃車動向。</p> <div> </div> <p> </p> <p>圖片來源／行政院、新竹縣政府、歐洲議會、美國國防部、關務署</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.美國財政部長宣稱央行數位貨幣發展將耗時數年</strong></p> <p><strong>2.美國國務院設立網路空間暨數位政策局</strong></p> <p> </p> <p>資料來源：iThome整理，2022年4月</p> </div> </div> </div> </div> </div> </div> </div></div></div>
2022/5/11 15:12作者蘇文彬https://www.ithome.com.tw/news/150852
穩定幣UST與美元脫鉤，市值只剩0.9美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球第四大穩定幣TerraUSD（UST）周一（5/9）再度與美元脫鉤，且最低曾跌至0.65美元，就算主導Terra生態體系的Luna Foundation Guard（LFG）當天宣布出借了價值15億美元的比特幣與UST，企圖穩定UST的價格，但它當天也只回到0.9美元左右。</p> <p>Terra為一區塊鏈協定，主要發行演算法穩定幣，透過Terra所發行的穩定幣與其它由法幣支撐的穩定幣不同，而是透過其姐妹幣Luna來維持與美元的錨定，目前已有18款源自Terra的穩定幣，UST則是最普及的一款，<a href="https://www.coingecko.com/en/categories/stablecoins" target="_blank">也是全球第四大穩定幣</a>，市值僅次於Tether、USD Coin與 Binance USD。</p> <p>Luna為一用來吸收Terra短期波動的資產，任何人在任何時候都能用價值1美元的Luna幣來兌換一個UST，當UST大於1美元時，使用者就能以價值1美元的Luna來兌換UST，若是UST小於1美元，那麼使用者就會以1個UST來兌換價值1美元的Luna幣。而只要鑄造一個UST，就要銷毀價值1美元的Luna幣，若是銷毀一個UST，則必須鑄造價值1美元的Luna幣，總之，Luna幣是用來平衡UST的價格，維持UST與美元之間的錨定。</p> <p>當周一UST價格大幅下滑時，Luna幣的價格也跟著震盪，在24小時內下滑接近50%，從60美元跌至30美元。</p> <p>LFG說明，這幾天加密貨幣市場的動盪也波及了UST，為了保持UST的錨定，已決定出借價值7.5億美元的比特幣予場外交易（OTC）公司，同時也會在市場狀況趨於正常時出借7.5億個UST來累積比特幣。</p> <p>不過，就算LFG祭出了補救措施，UST的價格還是維持在0.9美元左右，並未回到1美元。至於Tether、USD Coin與 Binance USD等與美元錨定的穩定幣，價格若不是1美元，也是0.99美元，並未出現如同UST的震盪。</p> <p>美國聯邦儲備系統（Federal Reserve System，FRS）在甫於今年5月發表的<a href="https://www.federalreserve.gov/publications/files/financial-stability-report-20220509.pdf" target="_blank">《金融穩定報告》（Financial Stability Report）</a>中指出，穩定幣是個持續成長卻很脆弱而可能帶來金融風險的類別，截至今年3月，全球穩定幣的價值已超過1,800億美元，且高度集中於三大發行商，分別是Tether、USD Coin與 Binance USD，它們便占了穩定幣市值的80%以上。</p> <p>僅管穩定幣通常可以兌換成美元，但它們由可能失去價值或缺乏流動性的資產支持，而面臨贖回風險，此外，愈來愈多人使用穩定幣來滿足其它加密貨幣槓桿交易的保證金要求，可能會擴大穩定幣需求的波動性而提高贖回風險。</p> </div></div></div>
2022/5/11 09:40作者陳曉莉https://www.ithome.com.tw/news/150862
iPod時代畫下休止符，蘋果將停售iPod Touch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/05/the-music-lives-on/" target="_blank">蘋果昨（10）日宣布</a>即將停售iPod Touch，為20年的iPod產品線畫下休止符。</p> <p>蘋果官方網頁指出，iPod Touch將在apple.com、Apple Store和蘋果授權經銷商銷到「賣完為止」。一旦銷售完，也宣告開啟音樂下載時代的iPod走入歷史。</p> <p>iPod是在2001年10月23日由當時的CEO Steve Jobs宣布第一代產品。之後改名為iPod Classic。第一代產品售價399美元、重180公克、提供5GB記憶體，可儲存約1,000首歌曲。不過iPod一開始不支援Windows，只支援Mac，使用者必須透過FireWire介面從Mac電腦載入音樂。業界都不看好iPod。但2003年蘋果推出iTunes Music Store，允許用戶以每首0.99美元價格下載MP3音樂，這個全新的營運模式讓使用者以便宜方便取得合法音樂，解決了Napster為代表的線上音樂盜版問題，獲得了音樂製作公司的支持，進而開啟了現今的數位音樂時代，iPod成為MP3音樂播放機的代名詞，最高曾貢獻蘋果營收的40%。iPod也讓蘋果鹹魚翻身，成為頂尖的科技公司。</p> <p>蘋果在2007年推出iPhone後，整合了音樂下載及播放功能後，iPod銷售就逐年下滑，成為蘋果產品的配角。<a href="https://www.ithome.com.tw/news/90811" target="_blank">蘋果於2014年悄悄停售</a>iPod Classic，<a href="https://www.ithome.com.tw/news/115834" target="_blank">2017年再停售</a>iPod shuffle、nano。</p> <p>iPod Touch作為末代iPod，規格和產品更新次數大降，第6代iPod Touch 2015年推出，2019年才推出現今第7代iPod Touch，以規格而言，第7代iPod Touch採用A10處理器，等同於2016年的iPhone 7。</p> <p>如今，隨著iPod Touch終止銷售，意謂著iPod時代的終結。而蘋果也將音樂下載中心由iTunes移到了Apple Music。蘋果宣稱Apple Music現有9,000多萬首歌曲及3萬多張播放清單。</p> <p>蘋果說iPod精神長存，蘋果已經將音樂體驗整合到所有產品線中，涵括iPhone到Apple Watch、HomePod mini以及Mac、iPad和Apple TV，並由音質領先業界、支援空間音效的Apple Music持續提供消費者數位樂音。</p> </div></div></div>
2022/5/11 10:01作者林妍溱https://www.ithome.com.tw/news/150863
淺談雜湊碼設計
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">許多程式語言都提供基於雜湊（hash）的資料結構，例如字典或集合，這類資料結構內部會有雜湊桶（hash bucket），每個桶有個編號，加入此類資料結構的資料，須提供對應的雜湊碼，用來決定將資料置入哪一桶，若想搜尋資料，可以根據雜湊碼來立即定址，從對應的桶中取出。</p> <p dir="ltr"><span style="font-size:28px;"><strong>空間換時間的方案</strong></span></p> <p dir="ltr">在資料量龐大時，相對於線性搜尋，或者將資料排序後進行二分搜尋，或特定資料分布下的特定搜尋演算，只要雜湊碼的演算夠迅速，定址後找到對應雜湊桶中的資料，時間複雜度就是O(1)，利用此特性來進行搜尋或去重複之類的任務，經常是基於雜湊的資料結構之應用場合。</p> <p dir="ltr">只不過這個特性是以空間作為代價，因為理想上，一個雜湊桶的裡面最好只有一筆資料，然而，資料來源不確定，雜湊碼的值也就不確定，為了盡量作到一個桶設置一個值，方向之一就是開設足夠多的空間來管理桶，另一個方向是令雜湊碼儘可能地避免重複，讓資料散落在各個桶。</p> <p dir="ltr">最好的情況下，若有n筆資料，只使用長度為n的陣列，而n筆資料計算出來的雜湊碼，完美地各自對應n個索引，這就是完美雜湊（perfect hash）。此種情況並非不存在，例如，方形迷宮通道可以歸納為16種類型，若通道四個方向給予1、2、4、8數字，基於數字計算而得的雜湊碼會是0到15，使用簡單的陣列就可以管理通道資料了（可參考<a href="https://bit.ly/3LND7LC" target="_blank">〈迷宮與王氏磚〉</a>）。</p> <p dir="ltr">然而，在大多數情況下，用於雜湊桶的空間往往會超過資料的筆數，因此是以空間換取時間，這是為了避免雜湊衝突，因為發生雜湊衝突的話，就要考慮資料往哪存放的問題，像是在桶中構成一組資料清單，或者是動態地尋找下個雜湊桶，無論是哪個都需額外的運算，最差的情況，還有可能讓基於雜湊的資料結構，退化為線性的資料結構（甚至淪為一種攻擊手法）。</p> <p dir="ltr"><span style="font-size:28px;"><strong>多項式捲動雜湊</strong></span></p> <p dir="ltr">並非每個程式語言，本身就提供雜湊碼的方案，像是JavaScript、Haskell，得尋找第三方套件或自行實現，我使用OpenSCAD時就遇上了這類需求，例如，若要實現字典，首先我想到了JavaScript物件本身就是字典結構，只不過鍵只能是字串（或ES6後支援Symbol），被指定為鍵的物件，也是轉為字串後作鍵，因此，就試著去瞭解如何對字串進行雜湊。</p> <p dir="ltr">這不難找到參考資料，閱讀一下Java的String.java原始碼即可，就實現方式而言，如果字元陣列是s，其中是基於s[0]*31ⁿ⁻¹+s[1]*31ⁿ⁻²+...+s[n-1]來計算雜湊碼，若將31視為x，這就是個多項式，這種雜湊計算方式稱為<a href="https://bit.ly/3x8kEVM" target="_blank">多項式捲動雜湊</a>（Polynomial rolling hash），根據維基百科的內容而言，為了避免過大的雜湊碼，計算後可以取m的模數，選擇適當的x與m來構成不錯的雜湊函式。</p> <p dir="ltr">m通常是雜湊桶的個數，那麼x為何選擇31呢？根據<a href="https://bit.ly/3jaDkw0" target="_blank">stackoverflow的討論</a>，選擇31、33、37、39、41等，都可以有比較小的雜湊衝突，只不過質數的選擇僅是一個傳統。</p> <p dir="ltr">一般多項式捲動雜湊是多項式，若語言在處理次方運算時是用乘法，可基於霍納法（Horner's method）轉換為多個一次多項式的乘法，以減少乘法處理的數量，也就是能用迴圈實作為31*h+s[n]，其中的h是上一次迴圈計算後的雜湊碼，同時，《Effective Java》也談到Java選擇31的原因¬──在於現代VM可以將乘法31*h最佳化為(h<<5)-h。</p> <p dir="ltr">基於同樣的原理，Java中一些物件或輔助方法的hashCode實作，多半是基於多項式捲動雜湊，並且採用31這個數字，例如，陣列相關的雜湊碼，就是取出各元素的雜湊碼，也就是以迴圈實作為31*h+elem.hashCode()的形式來計算，如果透過Objects的hash方法，傳入物件的值域來實作hashCode，最後也是轉為陣列呼叫Arrays的hashCode方法；如果透過整合開發環境，自動生成hashCode實作，也會發現當中採用31這個數字。</p> <p dir="ltr"><span style="font-size:28px;"><strong>實現座標雜湊</strong></span></p> <p dir="ltr">基於字串來作為鍵，只是一種簡便運用字典的方式，然而，針對特定的資料也轉為字串後計算雜湊碼，就顯得沒有效率了，例如，3D建模最常面對二維或三維座標，座標的分量本身就是數字，沒必要轉為字串後再計算雜湊碼。</p> <p dir="ltr">座標資料本身可表示為長度為2或3的陣列，基本上可用多項式捲動雜湊，若語言直接支援向量內積運算，也能與對應的一組向量計算內積，如pt*[961,31,1]，其中pt是三維座標，因算出的內積有正有負，正數可以乘2，負數可以乘-2後減1，也就是將正、負結果全放至正方向的偶數與奇數位置。</p> <p dir="ltr">另一種方式，則是採用<a href="https://bit.ly/3v06AuV" target="_blank">康托爾配對函式</a>（Cantor pairing function），簡單來說，對於兩個自然數，可視為二維座標上的x與y座標，對於第一象限的全部座標，是否有辦法將它們連成一條線呢？正如維基百科上的圖示，鋸齒狀連結就可以了，座標x、y對應的第n個點，化為公式的話就是n=1/2*(x+y)*(x+y+1)+y。</p> <p dir="ltr">康托爾配對函式適用對象是自然數，也就是正整數，對於其他象限的座標，只要設法轉換至第一象限，同樣也能運用配對函式，方式剛才談過，座標分量正數可以乘2，負數可以乘-2後減1，得到的新座標分量若為X、Y，套用1/2*(X+Y)*(X+Y+1)+Y。</p> <p dir="ltr">不過，由於語言的整數依不同型態會有其上限，在套用康托爾配對函式後，能配對的數量，也就是座標點的數量會有其上限，例如，單就第一象限而言，座標[32767,32767]，得到的n就是2147418112，這已經接近有號整數型態的上限2147483647，若再考量其他象限轉換為第一象限的狀況，可雜湊的座標點還要再減半。</p> <p dir="ltr">在<a href="https://bit.ly/37qUzq7" target="_blank">〈Mapping two integers to one〉</a>提到了另一種配對函式的計算，如果x大於等於y，x*x+x+y，否則x+y*y，座標[32767,32767]得到的n就是1073741823，數值小上許多，也就是可表現的座標數量會更多。</p> <p dir="ltr">另外支援xor運算的語言，<a href="https://bit.ly/3uiSEx7" target="_blank">〈Optimized Spatial Hashing〉</a>談到(x p1 xor y p2 xor z p3) mod n的雜湊函式，其中xyz為座標分量，p1、p2、p3是很大的質數，文件建議73856093、19349663、83492791，有興趣可參考。</p> <p dir="ltr"><span style="font-size:28px;"><strong>視需求而定、以評測為主</strong></span></p> <p dir="ltr">至於該採用哪一種雜湊函式，或者是雜湊桶要開多少個，一切還是以需求及評測為主；由於雜湊函式的運算本身也有其成本，若經常需要取得某些資料的雜湊值，可考量為它們儲存雜湊計算後的結果（特別是針對不可變動資料而言），例如Java的String，在首次呼叫hashCode後的結果會被保留，之後再呼叫就可以直接傳回，不再重複計算。</p> <p dir="ltr">請別單純以理論去想像這些做法，要以實證為主，例如，就我個人經驗而言，在某個場合，將雜湊用於搜尋的一種方案時，雖然速度有所改善，然而真正效能上的大增益，卻是後來採用了OpenSCAD原生C++實作的線性搜尋函式。經過一番檢視後，我發現該場合搜尋的對象數量不多，原生速度夠快，線性搜尋的成本相較於雜湊函式的運算負擔，反而少了許多。</p> <p dir="ltr">有機會的話，針對自身的需求，試著尋找、瞭解、實現適合的雜湊函式，這會是一個深入雜湊處理的好機會，然而記得最後，一切要以評測為主！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E9%9B%9C%E6%B9%8A">雜湊</a></div><div class="field-item even"><a href="/tags/hash">Hash</a></div><div class="field-item odd"><a href="/tags/%E5%BA%B7%E6%89%98%E7%88%BE%E9%85%8D%E5%B0%8D%E5%87%BD%E5%BC%8F">康托爾配對函式</a></div><div class="field-item even"><a href="/tags/cantor-pairing-function">Cantor pairing function</a></div></div></div>
2022/5/11 07:00作者林信良https://www.ithome.com.tw/voice/150786
【資安日報】2022年5月10日，駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭進行超過兩個半月，相關的網路攻擊事故不斷。其中，又以針對5月9日的「勝利日」的攻擊行動最受到關注。俄羅斯總統普丁是否會採取更為激進的攻擊行動，成為全球關切的焦點。但在此時，駭客也趁機表達反戰訴求。</p> <p>而在地球的另一端，位於中美州的哥斯大黎加，因勒索軟體攻擊癱瘓整個國家政府機關運作，使得該國總統宣布全國進入緊急狀態。</p> <p>我們之前報導上週末F5修補了BIG-IP重大漏洞CVE-2022-1388後，有資安業者特別提出警告，要用戶儘速修補漏洞，原因是該漏洞極為容易受到利用。果然，這樣的情況已經發生，許多研究人員都在5月9日，觀察到相關的攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-display-blood-is-on-your-hands-on-russian-tv-take-down-rutube/"><span style="color: rgb(0, 0, 0);">駭客竄改俄羅斯勝利日的電視節目表，並攻陷當地影音串流平臺RuTube</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Russian-TV-schedule-hacked-20220510-1120-47465.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Russian-TV-schedule-hacked-20220510-1120-47465.png" style="width: 200px; float: right;" /></a>俄羅斯總統普丁於5月9日的「勝利日」發表談話，並舉行閱兵典禮，但在同一天駭客也針對該國的新聞媒體出手，竄改網站上的節目表內容。根據資安新聞網站Bleeping Computer報導，英國廣播公司記者Francis Scarr發現，有人在當天早上對Russian TV網站上的電視節目表內容動了手腳──大部分節目名稱，被換成：「你的雙手流著數以千計烏克蘭人的血，數百名孩童被謀殺，電視臺和當局正在說謊。請對戰爭說不。」上述遭到竄改的節目表內容，也被Google與Yandex搜尋引擎轉載，間接散播到搜尋該電視臺節目表資訊的用戶。</p> <p>除了電視臺的網站，駭客也癱瘓俄羅斯的影音串流平臺RuTube，該網站也發布公告表明遭到網路攻擊，並強調用戶上傳的影響與資料不受影響。究竟這兩起與勝利日時間點相當巧合的攻擊行動，背後的攻擊者是該國內部反戰人士，還是其他國家的駭客組織，目前仍不得而知。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploiting-critical-f5-big-ip-bug-public-exploits-released/"><span style="color: rgb(0, 0, 0);">F5旗下BIG-IP的重大漏洞，已出現嘗試利用的攻擊行動</span></a></strong></h3> <p>網路安全業者F5<a href="https://www.ithome.com.tw/news/150805#CVE-2022-1388">於5月初修補BIG-IP漏洞CVE-2022-1388</a>，該漏洞涉及iControl REST身分驗證元件，CVSS風險層級達到9.8分，隨後<a href="https://www.ithome.com.tw/news/150833#CVE-2022-1388">有資安業者先後於5月6日、7日提出警告</a>，表示此漏洞極為容易利用，駭客很快就會用於攻擊行動，果然，這樣的情況目前已經出現。</p> <p>根據資安新聞網站Bleeping Computer報導，資安業者Cronup研究員Germán Fernández看到，有攻擊者入侵尚未修補的BIG-IP系統，將PHP Web Shell植入主機，接著執行惡意酬載，並將前述的Web Shell刪除。該新聞網站指出，許多研究人員發現，駭客多半鎖定該系統的管理介面下手，投放Web Shell並執行惡意酬載，但Kevin Beaumont指出，也有駭客鎖定管理介面以外的元件進行漏洞利用嘗試，該名研究人員認為，假如管理者將BIG-IP設置為負載平衡設備，並透過專屬的IP位址當作防火牆使用，很可能增加會曝露於此漏洞的風險。</p> <p>由於這項漏洞極為容易利用，Jake Williams、Will Dormann等資安人員認為，這個漏洞很有可能是商業間諜刻意留下，而非開發不慎所造成。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/costa-rica-declares-national-emergency-after-conti-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">哥斯大黎加遭到勒索軟體Conti攻擊，宣布進入緊急狀態</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150605#Costa-Rica">哥斯大黎加政府的基礎架構於4月下旬，傳出遭到勒索軟體Conti攻擊</a>，影響該國財政部、勞動部等機關，駭客索討千萬美元贖金遭到該國政府拒絕。然而，這起事故引發的效應似乎在持續擴大當中。該國新任總統羅德里戈．查韋斯（Rodrigo Chaves）於5月8日上任當日簽署42542號行政命令，宣布全國將進入緊急狀態，原因是勒索軟體Conti仍在持續發動攻擊。</p> <p>資安新聞網站Bleeping Computer指出，這些駭客宣稱竊得672 GB資料，目前對外洩露的比例約為整體內容的97%，根據該新聞網站分析，這些外洩的資料波及該國的財政部、勞動部（MTSS）、社會發展暨家庭津貼基金（FODESAF）、阿拉胡埃拉校際總部（SIUA）等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ukraine-warns-of-chemical-attack-phishing-pushing-stealer-malware/"><span style="color: rgb(0, 0, 0);">駭客以軍事情報為幌子寄送釣魚郵件，向烏克蘭人散布竊密軟體Jester Stealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/jester-stealer-attachment.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/jester-stealer-attachment.png" style="width: 300px; float: right;" /></a>俄羅斯軍隊傳出在發動攻擊的過程使用生化武器，引起烏克蘭民眾的恐慌，有駭客假借提供俄羅斯軍隊攻擊情報的名義來進行網路攻擊。烏克蘭電腦緊急應變小組（CERT-UA）近日提出警告，有人假借提供俄羅斯軍隊即將使用化學武器攻擊的時間點，發動釣魚郵件攻擊，郵件裡挾帶了含有巨集的Excel附件，一旦收信人開啟檔案，此巨集將會從遠端下載竊密程式Jester Stealer的可執行檔（EXE），並在受害電腦上執行。該單位指出，駭客將竊密程式上傳到已遭入侵的網站，藉此埋藏駭客的基礎設施。</p> <p>一旦受害電腦感染Jester Stealer，瀏覽器、收信軟體、即時通訊軟體的資料，將會透過AES-CBC-256的加密連線，透過洋蔥網路（Tor）伺服器回傳到駭客手上，攻擊者再用於其他攻擊行動或是在黑市出售。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberscoop.com/lockbit-ransomware-attack-bulgarian-refugee-agency/"><span style="color: rgb(0, 0, 0);">俄羅斯勒索軟體駭客LockBit攻擊保加利亞難民收容機構</span></a></strong></h3> <p>隨著烏克蘭戰爭的情勢對於俄羅斯越來越不利，原本表態不涉及政治的駭客組織也參與了攻擊行動。根據新聞網站CyberScoop的報導，勒索軟體駭客組織LockBit於5月4日宣稱，他們已經攻陷保加利亞政府收留難民的機構國家難民署，並打算在9日公布從該單位竊得的資料，但該組織是否索討贖金不得而知。由於保加利亞政府已經收留逃離家園的數十萬名烏克蘭難民，此次攻擊事件很可能會涉及難民的人身安全。保加利亞國家難民署也在網站上發布公告，表示他們的電子郵件信箱因為網路問題，暫時無法使用。</p> <p>由於LockBit在俄羅斯開始向烏克蘭出兵的時候，表態他們以經濟利益為主要目標，對於此事保持中立態度，沒有打算力挺俄羅斯或是烏克蘭，此起攻擊事件顯然打破該組織不插手烏克蘭戰爭的承諾。</p> <h3><strong style="font-size: 22px;"><a href="https://www.hackread.com/anonymous-nb65-hacki-russia-payment-processor-qiwi/"><span style="color: rgb(0, 0, 0);">駭客組織NB65聲稱入侵俄羅斯支付平臺Qiwi，但遭到否認</span></a></strong></h3> <p>與匿名者（Anonymous）有關的駭客組織NB65，最近再度對俄羅斯出手，這次他們於5月1日宣稱，攻擊了俄羅斯支付業者Qiwi，取得10.5 TB資料，內容包含了3千萬筆付款記錄，以及1250萬張信用卡，並透過勒索軟體加密該業者的網路環境。由於Qiwi的業務範圍橫跨俄羅斯與獨立國家國協（CIS），這些駭客表示，他們發動攻擊的動機，就是要癱瘓俄羅斯的金融系統，並揚言若是Qiwi不予理會，將會在3天之後每日公布100萬筆記錄。</p> <p>後來，NB65於5月5日發布了2個檔案下載連結，並宣稱內含700萬個信用卡卡號，以及完整的付款記錄。針對這起攻擊事件，Qiwi向俄羅斯官方媒體塔斯社（TASS Russian News Agency）否認此事，並表示付款服務皆正常運作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/ukrainians-ddos-russian-vodka/"><span style="color: rgb(0, 0, 0);">烏克蘭發動DDoS攻擊，鎖定俄羅斯酒品供應鏈</span></a></strong></h3> <p>烏克蘭戰爭開打後，俄羅斯大型企業也接連遭到聲援烏克蘭的駭客攻擊，而可能會波及俄羅斯的民生。根據俄羅斯新聞網站Vedomosti的報導指出，烏克蘭IT軍隊、提供攻擊俄羅斯DDoS工具的業者DisBalancer，兩個組織疑似在5月2日至3日，癱瘓了俄羅斯的酒品會計資訊系統EGAIS，其中一家生產烈酒的公司員工向Vedomosti透露，該公司在5月2日發現部分系統出現異常，隔日災情持續擴大。而這起DDoS事故影響了當地伏特加、葡萄酒，以及其他酒精飲料的出貨，導致這些供應商無法將這些貨物送至物流中心配送。雖然俄羅斯政府聲稱，EGAIS出現故障與酒精飲料需求大增有關，而非遭到網路攻擊，但後續情況有待觀察。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/10 18:23作者周峻佑https://www.ithome.com.tw/news/150853
Colonial Pipeline勒索軟體攻擊事件遭罰百萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年遭勒索軟體攻擊的美國燃油管道營運業者Colonial Pipeline，<a href="https://www.phmsa.dot.gov/news/phmsa-nopv-pcp-pco-to-colonial-pipeline-company" target="_blank">上周遭美國運輸部罰款近100萬美</a>元。</p> <p>美國運輸部旗下管線和危險物質安全性管理署（Pipeline and Hazardous Materials Safety Administration，PHMSA）是在完成2020年1月到11月，以及2021年10月底到11月初進行對該公司控管室管理的調查，發現數宗違規情形，而對這家燃油管道業者發出「可能違規及遵法建議通知（Notice of Probable Violation and Proposed Compliance Order）」，可望開罰986,400美元。</p> <p>在主管機關列出的違規事件中，其中一項和去年5月的勒索軟體攻擊有關。稽查報告顯示去年5月7日網路攻擊事件時，Colonial Pipeline立即關閉整個油管系統，他們在9日漸次人工啟動油管、而在12日完全恢復運作。但是PHMSA認為，該公司並未按規定測試和驗證內部通訊計畫，致使其未準備好手動重啟、以人力操作油管運作。結果造成事件發生只能採取臨機應變的作法，以人工重啟及手動操控油管作業，增加油管安全性風險，同時造成延遲重啟，對供應鏈及社會運作造成極大影響。</p> <p><a href="https://www.ithome.com.tw/news/144276" target="_blank">Colonial Pipeline去年5月遭到勒索軟體DarkSide攻擊</a>，波及所有管道作業，由於Colonial Pipeline負責美國東岸多達45%的燃料供應，公路運輸大亂，讓美國政府一度宣布緊急狀態。駭客加密了該公司系統檔案，竊走近100GB的資料要脅，該公司據傳為此支付了500萬美元的贖金。</p> </div></div></div>
2022/5/10 14:24作者林妍溱https://www.ithome.com.tw/news/150848
美國「可負擔連網計畫」可望讓近5,000萬家戶免費使用寬頻網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/09/fact-sheet-president-biden-and-vice-president-harris-reduce-high-speed-internet-costs-for-millions-of-americans/" target="_blank">美國白宮在5月9日宣布</a>，已有20家ISP業者承諾協助美國政府推動「可負擔連網計畫」（Affordable Connectivity Program，ACP），針對低收入戶提供更便宜的寬頻網路服務，若再加上ACP的補助，符合ACP資格的4,800萬個美國家戶幾乎皆可免費存取寬頻服務。</p> <p><a href="https://www.fcc.gov/acp" target="_blank">ACP鎖定的是美國的低收入戶</a>，只要家戶的年收入不高於美國各州貧窮線的兩倍，便得以申請，該計畫提供每月最高30美元的寬頻服務補貼，若是居住在特定的部落土地上，每月補貼上限則是75美元。全美大約有4,800萬家戶符合資格，約占所有家戶數的40%，迄今已有1,150萬個家戶參與ACP。</p> <p>包括AT&T、Comcast及Verizon等20家美國大型ISP業者都承諾要協助推動ACP，這些業者所提供的寬頻網路覆蓋了全美8成的人口。</p> <p>拜登政府要求這些ISP業者要不就調降寬頻網路費用，要不就提高寬頻速度，且下載速率必須高於100Mbps，讓低收入戶能夠以每月低於30美元的價格訂閱高速寬頻網路服務，而若再加上ACP的補助，等同於美國4成的家戶皆可免費高速上網。</p> <p>白宮表示，至少要100 Mbps的速度才足以支撐一個4人家庭在家工作、學習、瀏覽網路或串流高畫質影片，且ISP業者不得限制傳輸上限。</p> <p>這20家ISP業者都針對ACP祭出了優惠方案，例如Verizon已將每月39.99美元的Fios服務調降至30美元，且Fios服務所提供的是至少200 Mbps的上傳與下載速率；Spectrum則是針對ACP用戶增加了其每月30美元方案的頻寬，把原本50 Mbps的下載速率提高到100 Mbps。</p> </div></div></div>
2022/5/10 14:47作者陳曉莉https://www.ithome.com.tw/news/150849
Instagram將於本周開始測試NFT服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/zuck/posts/10114468245426981" target="_blank">Meta創辦人祖克柏（Mark Zuckerberg）周一（5/9）透過臉書宣</a>布，本周即將開始於Instagram測試數位收藏品功能，允許創作者及收藏家可透過自己的個人檔案來展示他們的非同質化代幣（Non-Fungible Token，NFT）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-IG%20NFT-600-2.jpg" style="width: 550px;" /></p> <p><span style="color:#696969;">圖片來源／Instagram</span></p> <p>不只是Instagram，類似的功能很快也將進駐臉書，未來也能透過Spark AR平臺於Instagram Stories上展示擴充實境的NFT作品。</p> <p><a href="https://twitter.com/mosseri/status/1523655590672695296" target="_blank">Instagram負責人Adam Mosseri則說明</a>，在該平臺不管是張貼或分享數位收藏品都是免費的。</p> <p>Meta近來致力於發展元宇宙（Metaverse），建立了專門發展元宇宙的Reality Labs部門，將Oculus的頭戴式VR裝置、Portal視訊通話裝置，以及Spark AR平臺等產品與平臺的開發全都納入Reality Labs。Reality Labs在今年第一季創造7億美元的營收，但虧損了29.6億美元。</p> </div></div></div>
2022/5/10 15:04作者陳曉莉https://www.ithome.com.tw/news/150850