iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

英國政府針對多項廣告技術對Google啟動壟斷調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年3月聯合歐盟對Google及Meta啟動網路廣告壟斷調查，<a href="https://www.gov.uk/cma-cases/investigation-into-suspected-anti-competitive-conduct-by-google-in-ad-tech?cachebust=1653555770" target="_blank">本周英國政府再針對出版商廣告平臺等多項廣告技術堆疊，對Google啟動調查</a>。</p> <p>英國競爭主管機關競爭與市場管理委員會（Competition and Markets Authority，CMA）指出，新一波調查是鎖定Google使用的「廣告技術堆疊」（ad tech stack）。CMA所謂的廣告技術堆疊指的是在廣告主及出版商之間，和開放式展示廣告的自動銷售、購買及推送的中介技術。<a href="https://www.ithome.com.tw/news/149884" target="_blank">兩個月前英國和歐盟啟動</a>針對Google及Meta的「Jedi Blue」協議的調查，是針對兩公司的標頭競價服務（header bidding），也是屬於Google使用的廣告技術堆疊中的一環。</p> <p><a href="https://www.gov.uk/government/news/google-probed-over-potential-abuse-of-dominance-in-ad-tech" target="_blank">CMA指出</a>，Google 在廣告技術堆疊的好幾個層次都據有強勢地位。最新調查則是鎖定其他廣告技術的Google行為。CMA將從3個Google獨霸的市場進行調查，包括出版商銷售廣告版位的平臺、出版商（透過即時競價出售廣告版位的）廣告交易平臺、（管理及選擇展示哪些廣告的）出版商廣告伺服器。</p> <p>英國政府想知道Google是否利用其獨占地位，圖利自家服務及平臺。這些行為包括Google是否限制廣告交易平臺和第三方出版商交易平臺的相容性、或是以合約強制綑綁這些服務，誘使客戶只購買其服務，而讓其他同類業者難以競爭。</p> <p>CMA主席Andrea Coscelli指出，在這些市場削弱競爭將導致出版商營收減少，迫使其削減成本造成服務品質下降、或對內容收費，也導致廣告主為了支付更高廣告費用而調升其產品及服務價格。</p> <p>過去幾年來，Google已經因廣告服務壟斷行為遭主管機關判罰，包括2017年搜尋結果偏私自家購物比價服務，<a href="https://www.ithome.com.tw/news/115162" target="_blank">被歐盟罰24億歐元</a>、2019年歐盟又針對第三方網站的AdSense廣告合約中採行限制性條款，阻撓Google競爭者在這些網站上投放搜尋廣告一案，<a href="https://www.ithome.com.tw/news/129489" target="_blank">開罰15億歐元</a>。</p> </div></div></div>
2022/5/27 15:08作者林妍溱https://www.ithome.com.tw/news/151179
Windows Server 2022終於支援WSL 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對Windows Server用戶而言，不能使用WSL 2（Windows Subsystem for Linux 2）頗令人失望。不過<a href="https://twitter.com/craigaloewen/status/1529488221691953154" target="_blank">微軟本周宣布現在Windows Server已經支援WSL 2</a>。</p> <p>WSL 2於2019年釋出，但僅包含於2020年上半釋出的Windows 10 2004版，以及使用半年通道更新的Windows Server。重大更新如Windows Server 2019則無福享受。去年微軟中止了Server半年通道更新，改回以重大更新為主要更新形式。這使得Server 2019和最新版Server 2022用戶迄今仍拿不到WSL 2。</p> <p>新消息對只能使用WSL的Windows Server用戶來說是一大福音。<a href="https://docs.microsoft.com/zh-tw/windows/wsl/compare-versions" target="_blank">根據微軟說明</a>，與第1版WSL相比，WSL 2提供受控VM內的完整Linux核心、效能更佳、且具備完整的系統呼叫相容性。</p> <p>微軟產品經理Craig Loewen說明，現在想主動下載的用戶可以安裝<a href="https://support.microsoft.com/en-us/topic/may-24-2022-kb5014021-os-build-20348-740-preview-2b180bd4-dceb-4c49-b8cf-402b342ebc84" target="_blank">軟體更新KB5014021（OS Build 20348.740）取得WLS 2</a>，很快微軟將會透過定期更新釋出給用戶。</p> <p class="rtecenter"><a href="https://twitter.com/craigaloewen/status/1529488221691953154" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-WSL2-600.png" style="width: 561px;" /></a></p> <p><a href="https://www.xda-developers.com/windows-server-2022-wsl2-distros/" target="_blank">媒體估計</a>定期更新應該是6月分的Patch Tuesday，預定6月14日（臺灣時間6月15日）釋出。</p> </div></div></div>
2022/5/27 11:38作者林妍溱https://www.ithome.com.tw/news/151175
Fintech周報第211期：摩根大通科技預算加碼20%，更要打造雲端原生資料平臺整合第三方資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2022/4/29~2022/5/27 精選金融科技新聞</strong></p> <p><strong>＃雲端原生、＃資料平臺<br /> 摩根大通2022年科技投資將加碼20%，近半數基礎架構投資都是雲端費用</strong></p> <p>摩根大通銀行在5月底的2022投資日報告時，揭露了今年科技預算將大幅成長20%，其中引起高度關注的是，在基礎架構預算中，將會近半數預算用於雲端投資。摩根大通現有4萬名工程師，每個月發布3萬次服務更新，未來1年，CIB將會增加33億美元的科技投資。科技發展重點之一是打造雲端原生資料平臺，來整合內部與第三方的資料，來發展可以跨投資生命周期的解決方案。</p> <p><strong>#NFT、#電子錢包<br /> 卡位NFT生態圈，Line先推NFT交易專用錢包服務，也預告企業贊助貼圖將支援NFT</strong></p> <p>Line將在今年上半年推出NFT平臺Dosi，日前先推出Dosi平臺上的錢包服務Dosi Wallet，可支援用信用卡、電子支付如Line Pay與加密貨幣來進行NFT交易。可用Line帳號或其他社群帳號申請，臺灣也可以申請。目前Line先在4月初先推出日本市場專屬NFT交易平臺，年中才會正式推出支援8種語言和180國的Dosi平臺。Line的NFT戰略要提供一整套NFT產品的基礎架構，不只與自家產品生態圈結合，目前也正在上百個合作夥伴討論數位資產應用方式。在5月日本一場線上活動（Biz Day）中，Line更透露了與自家產品整合的其中一項做法，Line企業贊助貼圖將支援NFT，企業可用限量專屬的NFT，來進行貼圖促銷活動，預計夏天就會開始測試。</p> <p><strong>#信用卡交易、#Google<br /> Google推出虛擬信用卡，線上刷卡自動帶出虛擬卡號避免遭業者濫用或外洩</strong></p> <p>Google在Chrome瀏覽器及Android推出了虛擬信用卡號（Virtual Card Numbers）的功能，可降低線上購物時信用卡號外洩風險。運行方式如同瀏覽器的autofill功能。它會在線上交易結帳階段使用者於網頁上填入信用卡資訊，包括驗證碼時自動填入，可取代真實信用卡資訊傳送給交易平臺或店家，不必擔心信用卡或驗證碼遭業者濫用或因平臺遭駭外洩，為線上交易多加一層安全防護。今年夏天先在美國推出。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%E8%99%9B%E6%93%AC%E5%8D%A10-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.jpeg" /></p> <p> </p> <p><strong>#信用卡交易、#刷臉支付<br /> 要讓社區雜貨店都能用，MasterCard正式發表人臉、掌紋付款功能</strong></p> <p>發卡組織萬士達卡宣布生物辨識結帳方案（Biometric Checkout Program），讓使用者可在店內或線上購物時免卡、免手機結帳。透過綁定臉部影像或手部特徵和信用卡帳戶，讓消費者在購物結帳時不需要再刷信用卡。MasterCard表示，希望建立適合從大型商店到社區雜貨店等所有規模商店適用的數位支付標準，目前已和NEC、富士通、以及巴西臉部辨識支付軟體商PayByFace、支付處理後臺業者Aurus、身份驗證閘道供應商PopID合作臉部支付方案。目前也打算在巴西聖保羅的5間超市測試。</p> <p><strong>#電子錢包、#Android<br /> Google Wallet回歸將在臺等40多國推出，不只整合信用卡，還能支援票卡、證件和鑰匙</strong></p> <p>Google在I/O大會中發表了全新的Google Wallet，可支援交通運輸、活動票券、登機證、會員卡、學生證或是汽車鑰匙，今年稍晚將數位身分證件、駕照也能放進Google Wallet中，甚至使用手機取代房卡或門禁卡，進入旅館或辦公大樓。Google Wallet將在包括臺灣在內40多個國家地區推出。Google已與數百家的運輸公司、零售商、票券商、衛生機構、航空公司合作，開發適用於 Google Wallet的數位卡片或票券。</p> <p><strong>#碳足跡、#奧蘭指數<br /> 繼王道銀行，渣打銀行也跟進在臺推出信用卡消費碳足跡</strong></p> <p>淨零碳排開始成為消費金融商品的主打特色，繼3月底，王道銀行在App中提供信用卡消費碳排明細之後，渣打銀行也在5月中推出可提供碳足跡的信用卡。王道銀行採用了萬事達卡的碳足跡計算器功能，來使用由瑞典科技公司Doconomy提供的奧蘭指數服務，來估算每一筆消費紀錄所產生的碳排放量。而渣打銀行則直接與Doconomy合作，採用同樣的奧蘭指數來估算。奧蘭指數可針對47種消費者購買商品常見產業，來計算不同生活消費活動的碳足跡和水資源消耗。</p> <p><strong>#加密貨幣崩盤、#Luna、#UST<br /> UST與Luna加密貨幣5月中大崩盤市值跌破1%，南韓檢察官展開調查</strong></p> <p>UST與Luna在5月中旬大崩盤，市值下滑超過99%，原本應與美元掛鉤的UST目前的價格只有0.0685美元，用來平衡UST、崩盤之前還有60美元的Luna，到5月底則只剩0.000199美元。區塊鏈分析業者 Elliptic曾估計，UST與Luna幣用戶在5月中旬的一周內就損失了420億美元。根據南韓媒體的報導，首爾檢察官辦公室的金融證券犯罪聯合調查組已開始針對Terra USD（UST）及Luna等加密貨幣的崩盤展開調查，調查對象包括打造Terra區塊鏈專案的Terraform Labs，以及Terraform Labs的共同創辦人暨執行長Do Kwon。</p> <p><strong>#NFT交易、#IG<br /> IG開始在測試NFT收藏品展示功能，未來臉書也將支援</strong></p> <p>Meta創辦人祖克柏宣布開始於Instagram測試數位收藏品功能，允許創作者及收藏家可透過自己的個人檔案來展示他們的NFT數位物件，不過，目前只開放特定人測試，還沒全面開放。Instagram負責人Adam Mosseri則說明，在該平臺不管是張貼或分享數位收藏品都是免費的。不只是Instagram，類似的功能很快也將進駐臉書，未來也能透過Spark AR平臺於Instagram Stories上展示擴充實境的NFT作品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IG-NFT%E6%94%B6%E8%97%8F%E5%B1%95%E7%A4%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IG.jpeg" /></p> <p><strong>#數據基礎架構、#跨子公司行銷<br /> 國泰金控正在打造跨子公司一站式行銷平臺，來發展數位行銷流程自動化</strong></p> <p>國泰金控在自家技術研討會上分享了數據平臺基礎建設發展歷程，從資料倉儲，一路到開源大數據分析平臺Hadoop、自建機器學習平臺和數據中臺，來打造前端業務新工具，其中一項正在開發的是跨子公司一站式行銷平臺，來解決過去整合行銷流程中的大量斷點挑戰，專供內部行銷人員使用。國泰金控旗下數位數據暨科技發展中心整合了多種數據，如用戶屬性、產品持有和數位足跡等，來降低分析門檻，也預先在客戶資料貼標、進行數位辨識，完成基本的數據處理。還提供了一套視覺化平臺來比對不同客群的樣態差異。也能透過系統自動化串接，對特定客群名單進行名單廣告投放，並將投放成效結果，整合至內部資料庫，方便行銷人員在單一平臺上追蹤來調整行銷策略。</p> <p> </p> <p><strong>責任編輯：王宏仁</strong></p> <p>更多Fintech新聞</p> <ul><li>歐洲央行總裁呼籲應監管加密貨幣</li> <li>a16z設立第四個加密貨幣基金，規模達45億美元</li> <li>Google Cloud成立新部門，將開發企業級NFT區塊鏈平臺</li> </ul></div></div></div>
2022/5/27 10:43作者王宏仁https://www.ithome.com.tw/news/151169
合勤修補防火牆、無線基地臺、AP控制器等產品漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zyxel.com/tw/zh/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml" target="_blank">網路設備大廠合勤本周發布安全更新</a>，修補影響防火牆、無線基地臺（AP）及AP控制器等產品，能讓攻擊者執行任意指令、引發緩衝溢位、資訊外洩及繞過2FA驗證的數項漏洞。</p> <p>合勤近日接到外部研究人員通報4項安全漏洞並予以修補。這4項漏洞分別為CVE-2022-0734（5.8）、CVE-2022-26531、CVE-2022-26532、及CVE-2022-0910（6.5）。其中最嚴重的是CVE-2022-26532，為防火牆、AP、AP控制器的packet-trace CLI指令中的指令注入漏洞，可讓具本地權限的攻擊者在CLI指令注入惡意引數，以執行任意OS指令。本漏洞為風險值7.8，屬高風險漏洞。</p> <p class="rtecenter"><a href="https://www.zyxel.com/tw/zh/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-Zyxel%20%E5%90%88%E5%8B%A4%200524%20%E5%AE%89%E5%85%A8%E5%85%AC%E5%91%8A.png" style="width: 600px;" /></a></p> <p>CVE-2022-26531則為CLI指令中的輸入驗證不當漏洞，風險值6.1，也是影響防火牆、AP、AP控制器。這項漏洞可讓具本地權限的攻擊者傳送惡意負載（payload）引發緩衝溢位或系統癱瘓。</p> <p>另二項則只影響合勤防火牆產品。其中CVE-2022-0734為影響CGI程式的跨網站指令碼（cross-site scripting）漏洞，讓攻擊者可透過注入惡意script指令，獲取儲存在裝置瀏覽器中的資訊，如cookies或連線令牌（session tokens）等。CVE-2022-0910則是CGI程式的訪問控制不當漏洞，可使雙因素驗證（2FA）降級為單因素驗證，這讓具有授權的攻擊者可繞過第2層驗證，連到IPsecVPN伺服器，即使防火牆已啟動2FA。2項漏洞風險值5.8及6.5，皆屬中度風險。</p> <p>受4項漏洞影響的防火牆產品涵括USG/ZyWALL及USG FLEX、ATP系列、VPN系列。NSG系列則只受CVE-2022-26532及CVE-2022-26531影響。受CVE-2022-26532及CVE-2022-26531影響的無線基地臺產品有近30項。上述產品合勤已釋出更新版軟體修補。</p> <p>至於受CVE-2022-26532及CVE-2022-26531影響的AP控制器包括NXC2500及NXC5500，合勤表示用戶應主動聯絡服務窗口提供修補程式。</p> </div></div></div>
2022/5/27 10:44作者林妍溱https://www.ithome.com.tw/news/151170
伺服器韌體爆3年重大漏洞，影響雲達伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eclypsium.com/2022/05/26/quanta-servers-still-vulnerable-to-pantsdown/" target="_blank">研究人員發現</a>，雲達（Quanta Cloud Technology，QCT）旗下數款產品存在一BMC韌體安全漏洞可使伺服器遭遇遠端程式碼執行攻擊。所幸雲達已經修補完成。</p> <p><a href="https://eclypsium.com/2022/05/26/quanta-servers-still-vulnerable-to-pantsdown/" target="_blank">Eclypsium研究人員近日發現</a>，多款雲達伺服器受到編號CVE-2019-6260的漏洞影響。研究人員並開發出一項概念驗證攻擊程式，展示能遠端存取系統的非授權攻擊者可在雲達伺服器的BMC內執行程式碼。</p> <p>CVE-2019-6260漏洞外號為Pantsdown，根源在臺灣信驊科技（ASPEED）生產的基頻管理控制器（Baseband Management Controller，BMC）ASPEED ast2400及ast2500硬體與韌體。<a href="https://www.flamingspork.com/blog/2019/01/23/cve-2019-6260-gaining-control-of-bmc-from-the-host-processor/" target="_blank">根據最早發現的研究人員指出</a>，ASPEED BMC SoC硬體功能的共用組態問題，讓惡意程式可從主機（少部份情況下可從BMC控制臺）非授權存取，而在BMC實體位址空間任意讀寫。<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-6260" target="_blank">Pantsdown漏洞風險值高達9.8</a>，屬重大漏洞。</p> <p>而基於供應鏈關係，3年前漏洞公布時，許多BMC韌體堆疊受到Pantsdown漏洞影響，包括OpenBPC、AIMI的BMC、及SuperMicro。</p> <p>Eclypsium指出，Pantsdown可讓攻擊者接管伺服器，可以在伺服器內植入勒索軟體、竊取機密或關閉BMC甚至整臺系統。若在BMC內執行程式碼，攻擊者還能竊取BMC登入憑證，而使其攻擊同一IPMI群組內的其他伺服器，是一重大風險漏洞。由於去年初還爆出網路上流傳以名為<a href="https://www.ithome.com.tw/news/148702" target="_blank">iLOBleed的BMC惡意程式</a>攻擊伺服器，因此研究人員呼籲QCT客戶要小心驗證其伺服器的元件安全性。</p> <p>研究人員於去年10月通知雲達。雲達表示已經解決這項漏洞，並將更新後的韌體提供給客戶，但這些韌體將不會公開。</p> </div></div></div>
2022/5/27 11:14作者林妍溱https://www.ithome.com.tw/news/151172
博通宣布將以610億美元買下VMware
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-acquire-vmware-approximately-61-billion-cash-and-stock" target="_blank">美國晶片製造商博通（Broadcom）周四（5/26）宣布</a>將以610億美元買下軟體業者VMware，此一交易已獲得雙方董事會的同意，將同時以現金及股票支付，預計在2023年10月31日以前完成交易。未來博通的軟體部門（Broadcom Software Group）將直接更名為VMware，並納入博通既有的基礎設施與安全軟體解決方案。</p> <p>成立於1998年的VMware為一雲端運算暨虛擬技術軟體業者，它在2003年以6.25億美元賣給了EMC，隨著Dell在2015年以670億美元買下EMC而進入Dell的麾下，Dell則在2021年拆分了VMware。現在的VMware主打多雲解決方案，涵蓋應用程式現代化、雲端管理、雲端基礎設施、網路服務、安全及Anywhere Workspace等。</p> <p>博通執行長Hock Tan表示，此一交易結合了博通的半導體與基礎設施軟體業務，以及VMware的企業軟體，將讓博通成為領先的基礎設施技術公司。博通的軟體部門總裁Tom Krause則說，VMware平臺與博通的基礎設施軟體解決了企業的不同需求，合併後將能替企業帶來更有效益與安全的服務。</p> <p>根據雙方的協議，此一交易的現金及股票將各占一半，VMware股東可以選擇接受每股142.5美元的現金，或是0.252股的博通股票，以博通於25日及VMware在20日的收盤價來計算，博通是以44%的溢價買下了VMware，此外，博通也將承擔VMware的80億美元負債。</p> <p>VMware在20日的收盤價為95.71美元，當天之後此一收購傳聞即甚囂塵上，也讓VMware股價一路上漲，周四（5/26）收盤價已達120.54美元。</p> <p>博通與VMware也都在同一天公布了最近一季的財報。其中，<a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-inc-announces-second-quarter-fiscal-year-2022-financial" target="_blank">博通在截至今年5月1日的2022財年第二季創下了810億美元的營收</a>，比去年同期成長23%，在博通的營收中有77%來自半導體解決方案，23%為基礎設施軟體。</p> <p>至於<a href="https://ir.vmware.com/download/companies/vmware/Quarterly%20Reports/VMware%20Reports%20Fiscal%20Year%202023%20First%20Quarter%20Results.pdf" target="_blank">VMware所公布的則是截至4月30日的2023財年第一季營收</a>，該季VMware創下30.9億美元的營收，僅比去年同期成長3%，其中，訂閱與SaaS業務營收為8.99億美元，約占總營收的29%，授權營收則是5.71億美元。</p> <p>Dearjasmine</p> </div></div></div>
2022/5/27 09:56作者陳曉莉https://www.ithome.com.tw/news/151167
Google雲端N2D、C2D VM現支援高效能機密運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在其Compute Engine運算服務<a href="https://cloud.google.com/blog/products/identity-security/introducing-confidential-computing-with-n2d-and-c2d-vms">N2D與C2D虛擬機器上，推出機密運算</a>，這將使得資料不只在傳輸與靜止狀態加密，同時在運算時也能維持資料的私密性，用戶將可確保資料不會暴露給雲端供應商，甚至是內部人員。</p> <p>機密虛擬機器是Google第一個機密運算產品，虛擬機器為一種Compute Engine虛擬機器，可以確保客戶的資料和應用程式，即便是在使用階段，也都能維持加密狀態。</p> <p>Google分別在2021年底與今年初，發布採用第三代AMD EPYC處理器的兩款虛擬機器N2D與C2D，N2D設計為通用運算機器類型，適合用於處理一般的工作負載，但同時又提供較大的虛擬機器規格與記憶體，滿足諸如網頁應用程式和資料庫等，對運算與記憶體的需求。</p> <p>C2D則是針對運算進行最佳化的機器類型，該執行個體是目前Compute Engine中，最佳化運算系列中尺寸最大的虛擬機器，可符合高效能資料庫與高效能運算的需求。目前N2D與C2D上都開始機密運算預覽。</p> <p>Google藉由使用第三代AMD EPYC處理器的AMD安全加密虛擬化功能（Secure Encrypted Virtualization，SEV）來提供機密運算功能。AMD SEV功能可讓機密虛擬機器，在執行高效能運算下，同時以處理器生成和管理每個虛擬機器的專用金鑰，並對虛擬機器記憶體進行加密，這些金鑰在虛擬機器創建期間，由處理器產生，並單獨存留在該虛擬機器中，Google或是主機上其他虛擬機器皆無法存取。</p> <p>目前支援機密運算的N2D與C2D虛擬機器已在全球各地推出，包括北美、新加坡、臺灣和荷蘭。</p> </div></div></div>
2022/5/27 10:15作者李建興https://www.ithome.com.tw/news/151160
微軟正式推出跨平臺開發框架.NET MAUI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其Build 2022大會，正式發表<a href="https://devblogs.microsoft.com/dotnet/introducing-dotnet-maui-one-codebase-many-platforms/">.NET MAUI（Multi-platform App UI）跨平臺框架</a>，該框架可讓.NET開發者將一份程式碼，用於建構多平臺應用程式，包括Android、iOS、macOS、Windows和Tizen，官方提到，.NET MAUI將作為.NET工具鏈和基本類別函式庫的補充，讓開發者能夠以.NET建構各種應用程式。</p> <p>.NET MAUI的目標，是讓開發者可以在每個支援的平臺，都能使用原生UI，講求開箱即用，不需要額外添加小工具或是樣式來模仿，每個平臺的外觀和行為，都會符合其應有的樣式，像是Windows上的.NET MAUI便是使用WinUI 3，而WinUI 3正是Windows App SDK所附帶的主要原生UI元件。</p> <p>.NET MAUI奠基於行動開發框架Xamarin之上，但額外新增支援多視窗桌面應用程式、選單列、全新動畫、邊框和陰影等功能。</p> <p>不只如此，.NET MAUI也適用於網頁開發者，賦予其具有開發原生客戶端應用程式的能力，由於.NET MAUI與Blazor整合，因此開發人員便可以在原生行動和桌面應用程式裡，重複使用Blazor網頁UI元件，建構出跨行動、桌面和網頁平臺的單一UI。</p> <p>由於Blazor元件也在.NET程序中編譯和執行，因此這些元件便不受限於網頁平臺，可使用諸如通知、藍牙、地理位置、感測器和文件系統等原生平臺功能，開發者甚至可以直接在Blazor網頁UI元件旁，添加原生UI控制元件，開發出新的混合應用程式。</p> <p>.NET MAUI作為廣泛.NET生態系的基礎，這也僅是微軟改造跨平臺應用程式開發體驗的開端，接下來微軟還會將.NET Framework和舊專案中的套件、函式庫和服務，帶到.NET 6和SDK樣式專案中。</p> <p>要在Windows上使用.NET MAUI，開發者需要安裝Visual Studio 2022 17.3 Preview 1.1以上版本，並且在安裝程式中，選擇.NET Multi-platform App UI development工作負載選項。而在Mac上，則需使用Visual Studio 2022 17.3 Preview 1以上版本。不過，Visual Studio 2022將會在今年稍晚的時候，才會正式支援.NET MAUI的開發工具。</p> </div></div></div>
2022/5/27 10:18作者李建興https://www.ithome.com.tw/news/151162
【資安日報】2022年5月26日，勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年有不少勒索軟體駭客開始打造可攻擊VMware ESXi虛擬化平臺的工具，這陣子又有新的勒索軟體投入攻擊這類系統的行列。但有所不同的是，這次駭客加密檔案的手法似乎較為複雜，且會特別檢查檔案的存取權限再下手。</p> <p>駭客在竊得大筆企業客戶資料後，過了一段時間開始有人透過加密通訊軟體Telegram的頻道，散布給其他人士。最近有研究人員發現，駭客透過Telegram頻道來散布美高梅度假村（MGM Resorts）在2年前遭竊的住房資料，估計可能至少有3千萬房客受到影響。</p> <p>在資安漏洞的消息中，物聯網與工控設備的資料自動化處理平臺存在的資安風險，很可能會導致用戶資訊外洩，或是相關系統面臨服務阻斷的情況。研究人員在自動化系統Open Automation Software Platform上發現8個漏洞，而值得相關產業的組織特別留意，並儘速更新軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/e/new-linux-based-ransomware-cheerscrypt-targets-exsi-devices.html"><span style="color: rgb(0, 0, 0);">Linux勒索軟體Cheerscrypt鎖定VMware ESXi而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cheerscrypt05REV3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cheerscrypt05REV3.png" style="width: 200px; float: right;" /></a>勒索軟體駭客組織LockBit、Hive、RansomEXX等，這兩年紛紛投入Linux版勒索軟體開發，且主要目標就是鎖定組織的虛擬化平臺VMware ESXi，最近有新的勒索軟體也加入行列，同時攻擊手法出現了變化。</p> <p>趨勢科技揭露名為Cheerscrypt的勒索軟體，駭客在成功入侵VMware ESXi伺服器後，下達要加密檔案的資料夾路徑，該勒索軟體便會先執行ESXCLI命令來終止所有正在運作的虛擬機器（VM），並在加密檔案之前，先為這些檔案加入.cheer的副檔名，這種先更動檔案名稱再加密的做法算是相當少見，但為何駭客要這麼做？研究人員認為，駭客的目的是為了確認能夠擁有足夠的權限，存取即將要加密的檔案。再者，該勒索軟體也在加密所有檔案後，找出事件記錄（Log）檔案與ESXi相關的檔案（VMDK、VMEM、VSWP、VMSN），並留下勒索訊息，向受害組織索討贖金。</p> <p>值得留意的是，在檔案加密的過程裡，駭客透過一組公鑰與私錀，來產生私鑰，並透過Sosemanuk串流加密法製造密鑰（Secret Key），並在遭到加密的檔案嵌入公鑰，然後刪除受害系統上的私鑰，一旦受害者想要恢復檔案，就要向駭客取得前述的私鑰才有機會進行解鎖。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/how-to-hunt-for-decisivearchitect-and-justforfun-implant/"><span style="color: rgb(0, 0, 0);">後門程式BPFDoor利用Solaris漏洞取得root權限</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BPFDoor-Picture1-14.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BPFDoor-Picture1-14.png" style="width: 300px; float: right;" /></a>數名資安人員在5月上旬，揭露專門鎖定Linux、Solaris主機的後門程式BPFDoor，駭客運用此後門程式長達5年未被發現，最近有資安業者公布更多細節。資安業者CrowdStrike表示，他們從2019年開始針對電信業者的攻擊行動進行追蹤，也發現駭客組織Red Menshen（亦稱DecisiveArchitect）利用BPFDoor（亦稱JustForFun）的攻擊行動，並指出駭客如何掌控執行Solaris作業系統的主機。</p> <p>研究人員指出，駭客在成功入侵Solaris作業系統後，就會利用存在於XScreenSaver元件的漏洞CVE-2019-3010，來取得root權限，這項漏洞存在於Solaris 11版作業系統，CVSS風險層級為8.8分，駭客很有可能連續使用了長達3年之久，且會在投放BPFDoor後利用此漏洞，然後透過LD_PRELOAD環境變數，在受害主機上進行命令列欺騙攻擊。</p> <p>到了今年4月，這些駭客調整了攻擊手法，也在Linux主機上濫用相同的變數，同時透過處理程序/sbin/agetty將BPFDoor載入。除上述發現之外，研究人員也指出，駭客在初期的入侵階段也會攻擊Windows電腦，但他們沒有發現駭客對這些電腦植入惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vpnmentor.com/blog/mgm-leaked-on-telegram/"><span style="color: rgb(0, 0, 0);">美高梅度假村外洩1.4億筆資料出現在Telegram頻道供人下載</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/MGM-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MGM-Telegram.png" style="width: 200px; float: right;" /></a>駭客透過加密通訊軟體Telegram的頻道，來洩露竊得資料的情況，有可能讓許多人能夠進行濫用。例如，美高梅度假村（MGM Resorts）於2020年上半傳出資料外洩，駭客在地下市集以2,900美元的價格，出售逾1.42億筆住宿資料，但最近這些資料傳出有人透過即時通訊軟體免費散布。</p> <p>VPN服務介紹網站vpnMentor的資安研究人員於5月22日表示，他們看到駭客在Telegram的頻道裡，免費提供上述外洩的資料，這些資料的檔案大小約8.7 GB，共有142,479,938筆住房記錄，至少有3千萬房客受到波及。這些資料的內容，包含了2017年以前的資料，內有房客全名、生日、地址、電子郵件信箱、電話號碼等。</p> <p>不過，上述事故並非駭客首度透過Telegram公布竊得的資料，在今年5月上旬，有人透過Telegram頻道散布2,100萬名VPN用戶的個資，這些服務包含了SuperVPN、GeckoVPN，以及ChatVPN。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/goodwill-ransomware-forces-victims-to-donate-to-the-poor-and-provides-financial-assistance-to-patients-in-need/"><span style="color: rgb(0, 0, 0);">劫富濟貧？以慈善之名道德勒索被攻擊者？勒索軟體GoodWill要求受害者向貧民捐輸，以換取解密金鑰</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/GoodWill-ransom-note-42.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoodWill-ransom-note-42.png" style="width: 300px; float: right;" /></a>勒索軟體駭客往往要求受害者支付贖金，以換取解密金鑰，但也有駭客要求對方從事公益活動來換取。資安業者CloudSEK指出，他們在今年3月發現名為GoodWill的勒索軟體攻擊行動，而這些駭客最引起研究人員注意的地方，在於提供受害者解密金錀的條件，他們要求對方必須依照指示幫助窮人，然後在臉書、Instagram、WhatsApp等社群網站上公開發布相關訊息。</p> <p>這3件事分別是為無家可歸的人士提供新衣服、帶5個貧窮的兒童到速食店（達美樂、必勝客、肯德基擇一）飽餐一頓，以及為需要緊急醫療的窮人支付相關費用。受害者完成上述要求後，還必須在社群網站上發布訊息，表明自己因為遭到勒索軟體GoodWill攻擊後，依照駭客的要求成為願意幫忙他人的人士。如此一來，駭客就有可能會提供給他們可復原檔案的解密金錀。</p> <p>根據研究人員的調查，駭客很可能來自印度，GoodWill疑似修改自土耳其開發者的勒索軟體HiddenTear，入侵受害電腦後會休眠722.45秒來干擾端點防護系統的分析，並使用AES演算法加密檔案，此外，該勒索軟體還會檢查受害電腦的地理位置。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/05/vuln-spotlight-open-automation-platform.html"><span style="color: rgb(0, 0, 0);">物聯網與工控設備資料自動化處理平臺OAS重大漏洞恐造成資訊洩露、服務停擺</span></a></strong></h3> <p id="Zyxel">資料自動化排程及處理系統的資安威脅，有可能洩露組織的機敏資料，甚至讓攻擊者遠端執行任意命令。思科威脅情報團隊Talos指出，他們在自動化系統Open Automation Software Platform（OAS Platform）上，找到8個漏洞，當中包含了重大漏洞CVE-2022-26833與CVE-2022-26082，這兩個漏洞的CVSS風險評分達到9.4分、9.1分。攻擊者一旦利用這些漏洞，就有可能在未經身分驗證的情況下使用REST API，或是能執行任意程式碼。</p> <p>其餘的6個漏洞，部分可讓攻擊者透過偽造的網路請求，發動阻斷服務（DoS）攻擊，有的則能讓攻擊者取得資料夾清單，甚至能截取使用者帳密列表，而也有漏洞可被攻擊者用於從外部竄改組態，建立新的群組與使用者帳號。</p> <p>上述漏洞OAS獲報後，已發布OAS Platform 16.00.0112版予以修補，研究人員呼籲用戶應儘速安裝新版程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151131"><span style="color: rgb(0, 0, 0);">Zoom修補可讓攻擊者任意傳送訊息的漏洞</span></a></strong></h3> <p id="Zyxel">隨著遠距工作成為常態，視訊會議系統一旦出現漏洞，有可能讓他人可以隨意向用戶發送訊息。Zoom於5月17日發布用戶端軟體5.10.0版，這個版本修補了Google研究人員通報的4項漏洞，影響電腦版（Windows、macOS、Linux）與行動裝置（Android、iOS）用戶。</p> <p>這些漏洞個別的CVSS風險層級為5.9分至8.1分，但研究人員指出，駭客一旦串連上述4個漏洞，就有可能發動XMPP Stanza Smuggling的攻擊行動，進而以發送XMPP訊息的方式，從遠端伺服器下載並部署惡意程式到對方裝置上，而且過程中無須受害者執行任何操作。Zoom呼籲用戶儘速更新軟體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@h4x0r_dz/vulnerability-in-paypal-worth-200000-bounty-attacker-can-steal-your-balance-by-one-click-2b358c1607cc"><span style="color: rgb(0, 0, 0);">PayPal漏洞可被駭客用於點擊劫持攻擊，挾持用戶帳號與金錢</span></a></strong></h3> <p id="Zyxel">研究人員揭露去年通報的漏洞，有可能被用於點選挾持攻擊（Clickjacking）而引起外界關注。資安人員h4x0r_dz最近公布他在去年10月向PayPal通報的漏洞，並指出攻擊者一旦利用這項漏洞，有可能藉著劫持網頁上可點選的內容，引誘使用者點選另一個網頁上的按鈕或是連結。</p> <p>該名研究人員指出，攻擊者可透過這樣的管道，從他人的PayPal帳號偷取金錢，或是利用受害者的PayPal帳號，為自己的Netflix、Steam等線上服務儲值。研究人員也提供概念性驗證攻擊影片驗證上述漏洞。PayPal獲報後已修補相關漏洞，並提供20萬美元獎勵。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/26 16:41作者周峻佑https://www.ithome.com.tw/news/151159
ProtonMail將公司名稱更名為Proton
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於瑞士、專門提供端對端加密電子郵件的<a href="https://proton.me/news/updated-proton" target="_blank">ProtonMail於周三（5/25）宣布</a>，已把公司名稱從ProtonMail變更為Proton，網址也從Protonmail.com改為Proton.me，且使用者只要透過單一帳號就能同時存取Proton Mail、Proton VPN、Proton Calendar與Proton Drive服務。</p> <p>ProtonMail更名的原因與Facebook相仿，它們都是以同名的服務起家，但隨著業務不斷地擴大，只好變更企業品牌以作因應。</p> <p><a href="https://proton.me/pricing" target="_blank">Proton目前提供3種方案</a>，包括免費的Proton Free、強調電子郵件服務的Mail Plus，以及可以無限使用所有Proton服務的Proton Unlimited，後兩者的每月訂閱費用分別是3.99歐元與9.99歐元。不管是使用哪一種方案，都能夠存取電子郵件、VPN、行事曆與硬碟服務，只是規格不同。</p> <p>免費方案僅供應一個電子郵件位址，每日訊息上限為150則，附加檔案最大可達25MB，可建立3個文件匣與3個標籤，容量上限為1GB，另支援1個行事曆，1個來自3個國家的VPN連線，中等VPN速度，1GB的雲端硬碟空間。</p> <p>Mail Plus可有10個電子郵件帳號，以及1個客製化的電子郵件網域，不限訊息數量與文件匣，附加檔案限制同樣是25MB，容量上限為15GB，另支援20個個人行事曆，以及具中等速度的1個VPN連線，15GB的雲端硬碟空間。</p> <p>Proton Unlimited可有15個電子郵件帳號，3個客製化電子郵件網域、25MB的附加檔案，無限的訊息數量與文件匣，容量上限為500GB，另支援20人行事曆，10個來自逾60個國家的快速VPN連線，500GB的雲端硬碟空間。</p> <p>目前不管哪個方案的Proton Drive雲端硬碟服務都仍在測試中，且Proton行動程式的能力依據平臺而有所不同，例如iOS版僅支援電子郵件與VPN服務，Android版則可支援郵件、VPN與行事曆服務，雲端硬碟則尚未出現在行動程式中。</p> </div></div></div>
2022/5/26 18:45作者陳曉莉https://www.ithome.com.tw/news/151163
Luminar挖角蘋果自駕車系統總監CJ Moore
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.luminartech.com/attracts-former-nvidia-tesla-apple-and-tier-1-executives/" target="_blank">專門開發自駕車所需之視覺光達與機器感測技術的Luminar在25日宣布</a>，已延攬多名自駕車人才，包括協助成立Nvidia汽車部門的Taner Ozcelik，以及蘋果自駕車系統總監CJ Moore。</p> <p>Ozcelik在2004年至2014年間協助Nvidia創立了汽車部門，離職時擔任Nvidia汽車暨嵌入式業務的總經理，也是Nvidia的副總裁，接著在2014年至2021年間為美國半導體業者ON Semiconductor智慧感測部門的總經理。</p> <p>加入Luminar之後，Ozcelik同樣擁有副總裁及總經理的頭銜，掌管產品開發、研發、專案管理，以及Luminar的半導體業務。</p> <p>至於CJ Moore則有6年的特斯拉（Tesla）工作經歷，為特斯拉自動輔助駕駛軟體Autopilot的總監，並在2021年8月轉至蘋果任職，也是蘋果自駕車系統的總監，不到一年就被挖角至Luminar，將主導Luminar的軟體開發團隊，職稱為軟體副總裁。</p> <p>除了這兩名分別屬於硬、軟體的大將之外，近期Luminar還延攬了多位各路好手，包括協助Luminar擴張中國市場的Jackie Chen，他曾任Harman International中國總裁；現為Luminar的專案管理總經理的Rimjhim Dasgupta則曾於蘋果、AMD與Intel任職；負責生產業務的Jared Jacobs曾是ZF Group全球電子產品總經理；負責Luminar先進開發的Anders Grunnet-Jepsen曾為Intel RealSense技術長；負責Luminar專利的Chris Lubeck曾擔任特斯拉的專利長。</p> <p>Luminar的聲明清楚地描繪了自駕車市場的人才流動，外界則將目光集中在蘋果，因為根據<a href="https://www.bloomberg.com/news/articles/2022-05-25/apple-car-director-moore-heads-to-luminar-after-less-than-a-year" target="_blank">《彭博社》（Bloomberg）的</a>報導，這兩年來蘋果自駕車專案的主管幾乎全都離職了，不過，蘋果同樣也向Ford與Rivian等其它競爭對手挖來新人才。</p> <p>可能是因為有了Ozcelik與Moore助陣，Luminar當天的股價上漲了8.5%，以9.19美元作收。</p> </div></div></div>
2022/5/26 19:12作者陳曉莉https://www.ithome.com.tw/news/151164
微軟正式推出跨平臺開發框架.NET MAUI，可單一專案處理多平臺開發，還支援Blazor框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在2022 Build開發者大會上宣布，.NET 6正式內建了.NET多平臺UI開發框架.NET MAUI，可以用C#跟XAML語言開發Android、iOS、Windows、MacOS及Tizen的跨平臺應用程式。.NET MAUI正式版將從新版Visual Studio 2022 17.3開始支援。</p> <p>過去，要在Visual Studio中開發跨行動平臺的App，必須借助Xamarin開發工具。隨著.NET MAUI進入正式版本，意味著微軟開發生態系，更進一步支援iOS和Android兩大行動平臺。 </p> <p>.NET MAUI一大亮點，就是可以在單一專案中進行多種平臺的開發，不再需要為不同平臺的版本分別開專案，省下不少管理和統一各平臺專案的時間。開發人員可以統一管理字體、圖片、圖示等格式，由.NET MAUI將這些設定套用到個別平臺版本中。若有需要，開發人員還是可以針對個別平臺需要調整處寫專門的程式碼，甚至可以像過去一樣，用多個專案來處理個別平臺的版本。</p> <p>除了整合多平臺開發流程，新的.NET MAUI，也與.NET Web開發框架Blazor進行了整合，上面的Web UI元件，可以直接拿來在MAUI上作為多平臺開發用。微軟表示，Blazor元件可以跟其他平臺原生功能互動，例如推播通知、藍芽、定位資訊等，開發人員也可以將各平臺的原生UI控制項和Blazor Web UI混用。</p> <p>其他新功能，包括支援XAML及C#熱重載以及支援多視窗App等。另外，微軟表示，從Xamarin App遷移到.NET MAUI的工作，不只不用大改原始碼，甚至不需要將所有專案合併到單一專案，還是能使用單一專案開發模式的功能。</p> </div></div></div>
2022/5/26 17:52作者郭又華https://www.ithome.com.tw/news/151161
擔心威脅國安，中國學者倡議研發摧毁SpaceX旗下Starlink衛星服務的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然在俄烏戰爭中，馬斯克（Elon Musk）旗下SpaceX的低軌衛星網路服務Starlink助烏克蘭戰區通訊一臂之力，但是中國最近發布的一份報告，倡議中國應研發技術，必要時可摧毁或破壞Starlink衛星。</p> <p>多家歐美媒體引述<a href="https://www.scmp.com/news/china/science/article/3178939/china-military-needs-defence-against-potential-starlink-threat" target="_blank">南華早報周三報導</a>，中國一項期刊《現代防禦技術》2月的一份論文談及，因應Starlink（星鏈）帶來的風險及危機，並對中國提供防衛建議。</p> <p>根據這份名為《<a href="https://www.xdfyjs.cn/article/2022/1009-086X/1009-086X-2022-50-2-11.shtml" target="_blank">星鏈計畫發展現狀與對抗思考</a>》的論文，Starlink是規模最大，發射衛星最多，最具代表性的低軌互聯網星群，但也為中國帶來潛在威脅及挑戰，中國應因應Starlink帶來的風險和危機，以維護中國主權及國家安全。</p> <p>目前Starlink已經發射至少2,400顆衛星。但SpaceX已獲准發射近1.2萬顆衛星，還計畫再發射3萬顆，總數將達4.2萬顆，是迄今為止提出的規模最大的衛星星系通訊連網服務。</p> <p>報告指出，Starlink衛星數量龐大，部分衛星將會作為美國軍事用途。而這類數量多、體積較小、功能單一的衛星，若結合更多無人、自主系統，可構成自主靈活的殺傷網路。<a href="https://www.theregister.com/2022/05/25/beijing_starlink_takedown/" target="_blank">The Register</a>引述南華早報報導，在Starlink協助下，美國隱形轟炸機及軍事無人機資料傳輸率可再提升1%。</p> <p>因此該論文建議中國應發展監測及識別技術，像是以多平臺多類型感測器，監控衛星的形狀、動態、信號等資訊，並以多來源資訊整合處理提高目標及酬載識別能力，並提供威脅評估。</p> <p>該論文並提及，針對狀態異常的部分衛星，則採取「軟殺傷」與「硬殺傷」相結合的方式，使部分Starlink衛星喪失功能，破壞星系運行。一般而言，「硬殺傷」方式像是以機械手臂攫取衛星或將之移位並墜落到大氣中燒毁，「軟殺傷」方式則包括無線電干擾（Jamming）或欺騙干擾（Spoofing）。</p> <p>不過這項論文的觀點並不新。美國及其他國家已發現俄國及中國都積極發展反衛星技術，包括<a href="https://indsr.org.tw/tw/News_detail/3401/%E4%B8%AD%E5%9C%8B%E6%A9%9F%E6%A2%B0%E8%87%82%E5%AF%A6%E8%B8%9017%E8%99%9F%E8%A1%9B%E6%98%9F" target="_blank">機械臂</a>、讓<a href="https://www.chinatimes.com/realtimenews/20211022002670-260417?chdtv" target="_blank">衛星故障的小型爆炸</a>及反衛星導彈等。</p> </div></div></div>
2022/5/26 16:14作者林妍溱https://www.ithome.com.tw/news/151158
a16z設立第四個加密貨幣基金，規模達45億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://a16zcrypto.com/crypto-fund-four/" target="_blank">知名美國創投業者Andreessen Horowitz（a16z）在25日宣布</a>設立第四個加密貨幣基金，此一最新基金集資了45億美元，其中的15億美元將為種子投資專用基金，另外的30億美元則為風險投資，而這也是a16z迄今規模最大的加密貨幣基金。</p> <p>a16z深信現在是Web3的黃金時代，可程式化的區塊鏈已足夠先進，其多元化的應用也已吸引了數千萬名使用者，更重要的是全球有大量的頂尖人才投入了Web3領域，這些充滿熱情的人才企圖要建立一個更好的網路。</p> <p>在2018年設立了3億美元的第一個加密貨幣基金之後，之後由a16z所設立的基金規模都愈來愈大，2020年的Crypto Fund II集資了5.15億美元，2021年的Crypto Fund III集資了22億美元，今年誕生的Crypto Fund IV則是45億美元，使得由a16z所主導的加密貨幣基金總規模已超過76億美元。</p> <p>a16z指出，這些基金將用來在每一個階段投資有前景的Web3新創，包括Web3遊戲、分散式金融、分散式社交媒體、身分自主權、第一層與第二層的基礎設施、橋接架構、分散式自治組織、NFT社群、隱私、創作者經濟、再生金融及零知識證明（ZK proofs）的新應用等。</p> <p>相較於a16z在Web3領域的積極，Twitter共同創辦人Jack Dorsey及特斯拉創辦人馬斯克（Elon Musk）並不看好Web3。Musk不僅說他找不到Web3，也曾毫不客氣地說「Web3聽起來像bs」，而Dorsey則認為標榜分散式、去中心化的Web3，最終還是會成為權力集中的平臺。</p> </div></div></div>
2022/5/26 13:36作者陳曉莉https://www.ithome.com.tw/news/151141
Meta擴大在微軟Azure推動AI專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在微軟Azure上進行PyTorch等AI研發。在Build 2022大會上，<a href="http://news.microsoft.com/wp-content/uploads/prod/sites/636/2022/05/Meta-MSFT-announcement-FINAL.pdf" target="_blank">微軟和Meta聯合宣布</a>，Meta將以Azure雲端部署AI應用，包括擴大執行機器學習框架PyTorch。</p> <p>首先Meta AI部門將利用專屬的Azure 叢集執行大規模AI研究任務。<a href="https://docs.microsoft.com/en-us/azure/virtual-machines/ndm-a100-v4-series" target="_blank">這個叢集使用NDm A100 v4 系列虛擬機器</a>，執行5400顆Nvidia A100 Tensor Core 80GB GPU，每VM互聯interconnect頻寬達1.6TB/s，將在去年後展現成果後，再次負擔Meta部分大型AI研究任務。</p> <p>2021年Meta首度將部分大型AI研究放上使用A100 Tensor Core 80GB GPU的Azure VM。微軟聲稱，這個環境下，每個VM之間GPU對GPU頻寬是其他公有雲業者的4倍，可用於分散式AI訓練。例如Meta就用它來訓練OPT-175B語言模型。微軟也強調NDm A100v4 VM具設定彈性，可自動適合任何規模的叢集，還能動態由數顆GPU擴充為數千顆，並能在實驗中暫停及再續。而在今年，Meta AI團隊又將以Azure執行更多機器學習訓練任務。</p> <p>此外，Meta也計畫擴大使用微軟的<a href="https://azure.microsoft.com/zh-tw/develop/pytorch/#what-is-pytorch" target="_blank">PyTorch on Azure服務</a>。PyTorch是開源Python機器學習框架。Azure將為PyTorch用戶提供NDv4及InfiniBand硬體及完整軟體堆疊。未來幾個月內，微軟計畫打造新的PyTorch開發加速器，以便更容易在Azure上部署PyTorch框架。</p> <p>此外微軟也表示會提供PyTorch的支援，協助Meta或其他客戶及合作夥伴在公有雲及邊緣裝置上部署PyTorch模型。</p> </div></div></div>
2022/5/26 12:32作者林妍溱https://www.ithome.com.tw/news/151133
Amazon智慧服飾店在洛杉磯開幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.youtube.com/watch?v=c67K8JO1WJE" target="_blank">Amazon今年初宣布的智慧服飾店Amazon Style</a>，本周在洛杉磯開幕。</p> <p>Amazon Style占地3萬平方英呎（約870坪），販售男女服飾、鞋子與配件，商品涵括知名及新興品牌以滿足各階層消費者。Amazon表示，該公司第一家服飾店旨在結合進階科技及零售運作和人員，提供使用者個人化的便利購物體驗。店內集結AI、觸控螢幕及自動化科技，消費者看中展示架上的商品後，利用手機App掃一下旁邊的QR code可看到有現貨的顏色、尺寸或消費者評價等資訊。Amazon的AI演算法也會提供穿搭推薦。</p> <p>選定後按一下App，App會告知消費者前往哪家試衣間。消費者不必抱著衣服過去，人到試衣間後就能直接試穿已準備好的商品。若是在試衣間想換商品，也可以透過App叫貨，不需再跑出來選購，商品會直接送進試衣間。</p> <p class="rtecenter"><img alt="" src="https://m.media-amazon.com/images/G/01/ksm/S1_ComingSoon/LandingPage/AS_FR-Screen_WomensHero_Spring22_051322_1000x1000.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>試裝完畢，消費者即可帶著想要的商品前往結帳臺結帳。除了傳統的信用卡結帳外，Amazon Style也設有Amazon One掌紋辨識支付系統。</p> <p>雖然強調高科技，但不像Amazon Go、Amazon Fresh等超市強調無人、自助服務，Amazon Style特別強調店內服務人員提供的銷售協助。</p> <p>此外，消費者也可以先在線上訂貨，並在這家實體店面試穿，不滿意也可以直接在店面退貨。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/c67K8JO1WJE" title="YouTube video player" width="560px"></iframe></div> <p> </p> </div></div></div>
2022/5/26 12:45作者林妍溱https://www.ithome.com.tw/news/151139
Twitter以帳號安全資訊執行目標式廣告，遭FTC判罰1.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2022/05/ftc-charges-twitter-deceptively-using-account-security-data-sell-targeted-ads" target="_blank">美國司法部與美國聯邦交易委員會（FTC）25日宣布</a>，已就Twitter侵犯用戶隱私一案與Twitter達成和解，將要求Twitter支付1.5億美元的罰款，並採用更強固的隱私保護政策，只待聯邦法院同意。</p> <p>此案最早可追溯到2009年，該年駭客兩度入侵了Twitter的管理員帳號，進而控制了Twitter少數用戶的帳號，存取受害用戶的私人訊息，還發送偽造的推文，其中一名受害者是當年剛就任美國總統的歐巴馬（Barack Obama）。</p> <p>後來FTC與Twitter在2011年達成和解，條件是Twitter同意在未來的20年都不得於用戶資訊的安全及隱私等描述上誤導使用者，也必須採取措施避免有人未經授權存取用戶的非公開資訊，以及尊重用戶的隱私選擇。</p> <p>然而，FTC卻發現Twitter在2014年至2019年間，以改善用戶帳號安全為名，要求用戶提供電話號碼或電子郵件位址，卻利用這些個人資訊讓廣告主執行目標式廣告。</p> <p>調查顯示，Twitter向使用者表示這些個人資訊可用來協助重設使用者密碼，或是解鎖帳號，也可作為雙因素認證使用，以簡訊或電子郵件傳遞一次性的登入代碼。不過，Twitter卻允許廣告主以來自資料掮客的資料比對Twitter用戶的個人資訊，以傳送目標式廣告。</p> <p>FTC指出，這不僅違反了雙方在2011年達成的協議，也侵犯了《FTC Act》，同時觸犯美國與歐盟之間，以及美國與瑞士之間的《隱私盾》（Privacy Shield）資料傳輸保護協議。</p> <p>這讓FTC決定判罰Twitter 1.5億美元，同時禁止Twitter再自這些透過欺騙而蒐集的資料獲利，允許用戶採用手機及電子郵件以外的雙因素認證機制，通知那些個資被用來進行目標式廣告的用戶，以及限制員工對用戶個資的存取能力。</p> <p>Twitter已與FTC達成此一新的和解協議，只待法官批准。</p> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">Twitter在4月25日同意接受</a>馬斯克（Elon Musk）提出的每股54.2美元、總價440億美元的收購提議，但<a href="https://www.ithome.com.tw/news/150920" target="_blank">馬斯克於5月13日公開質疑</a>Twitter的假帳號比例可能高於財報中所揭露的5%，決定暫緩收購，使得Twitter的股價隨著馬斯克的舉動與發言大坐雲霄飛車，</p> <p>不過，<a href="https://www.sec.gov/Archives/edgar/data/1418091/000110465922064655/tm2216931d1_sc13da.htm" target="_blank">Twitter周三（5/25）提交的SEC文件顯示</a>，馬斯克已取得了欲收購該公司的更多融資，從原本的272.5億美元增加到335億美元，此外，Twitter也在周三向股東表示該交易正在進行中，透露出此一併購案並未停擺。</p> <p>同一天Twitter共同創辦人暨前任執行長Jack Dorsey亦宣布退出Twitter董事會，且即日起生效。</p> </div></div></div>
2022/5/26 13:17作者陳曉莉https://www.ithome.com.tw/news/151140
Zoom修補可讓攻擊者傳送訊息攻擊用戶的零點擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://explore.zoom.us/en/trust/security/security-bulletin/" target="_blank">Zoom上周發出安全公告</a>，修補4項漏洞，這些漏洞串聯起來讓攻擊者傳送訊息給用戶，不需用戶互動，即可導致惡意程式在PC或手機上執行的漏洞。</p> <p>這4項漏洞為Google Project Zero研究人員Ivan Fratric揭露，影響手機（Android、iOS）及桌機（Linux、macOS、Windows）版本Zoom Meetings用戶端軟體5.10.0以前版本。Zoom已釋出最新版本5.10.0，呼籲用戶儘速安裝更新版本。</p> <p>4項漏洞中，最嚴重的是CVE-2022-22784，它是這個軟體對XMPP訊息的XML Stanza解析不當，其次是CVE-2022-22786，屬於更新套件降級（Update package downgrade），兩者風險值分別為8.1及7.5。另2項風險值5.9的漏洞中，CVE-2022-22787屬於對伺服器交換呼叫的主機名稱驗證不當， CVE-2022-22785則是未能將用戶端連線cookies限制在Zoom網域。</p> <p>雖然僅一個重大風險漏洞，但是<a href="https://bugs.chromium.org/p/project-zero/issues/detail?id=2254" target="_blank">研究人員Fratric指出</a>，4項漏洞串聯起來則可發動名為「XMPP Stanza 偷運」（XMPP Stanza Smuggling）的攻擊。攻擊者可在聊天對話中傳送XMPP訊息即可在用戶裝置上，從惡意伺服器安裝惡意程式，而且成功的攻擊不需對方做任何動作。</p> <p>研究人員說明，XMPP Stanza偷運可讓攻擊者置換用戶接到的訊息，可用於多種目的，像是冒充是來自另一個用戶的訊息，到冒充某臺遠端伺服器（如Dropbox、Sharepoint、Google Drive等）傳送控制指令。</p> <p>研究人員也展示概念驗證，設立伺服器進行中間人攻擊（man-in-the-middle），之後則可執行任意程式碼。</p> </div></div></div>
2022/5/26 12:11作者林妍溱https://www.ithome.com.tw/news/151131
Google公開最新圖像生成AI，輸出結果比OpenAI DALL-E 2更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Brain發表了最新圖像生成人工智慧研究，提出一種稱為Imagen的人工智慧系統，可透過解析使用者的文字輸入，創建出寫實的圖像，與當前其他先進的圖像生成演算法，諸如VQ-GAN、LDM和DALL-E 2比較，人類皆傾向覺得Imagen所產生的圖像更真實，也更符合輸入的文字敘述。</p> <p>Imagen為文字生成圖像擴散模型（Diffusion Model），能夠深度理解文字的意義，並且輸出如照片寫實的圖像。Imagen建立在大型Transformer語言模型之上，因此擁有強大的文字理解能力，並且仰賴擴散模型生成高傳真圖像。</p> <p>研究人員提到，他們發現像是T5這類，經過純文字語料庫預訓練過的通用大型語言模型，在圖像合成的文字編碼上非常有效。藉由增加Imagen中語言模型的大小，就可以提高樣本真實度，以及圖像與文字描述的一致性，比起增加擴散模型大小還有效。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201238%20-%20Imagen_%20Text-to-Image%20Diffusion%20Models%20-%20imagen_research_google.jpg" style="width: 580px;" /></p> <p>Imagen雖然沒有在COCO（Microsoft Common Objects in Context）資料集中訓練過，但可獲得目前最低的7.27 FID分數（越低越好），而且人類評估者也發現，在圖像和文字一致性上，Imagen樣本與COCO資料集相當。</p> <p>Google還利用DrawBench基準測試，來進一步評估Imagen文字生成圖像的能力，DrawBench是一個在文字生成圖像領域，更全面也更具挑戰性的基準測試。藉由將Imagen與VQ-GAN、LDM和DALL-E 2演算法一起，進行空間關係、長篇文字和罕用字等系統性測試，並由人工評估演算法的圖像與文字一致性，還有圖像的真實性。</p> <p>由下圖可見，無論是在圖像與文字的一致性（Alignment），還是圖像真實性（Fidelity），人類普遍認為Imagen表現的比VQ-GAN、LDM與DALL-E 2更好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201241%20-%20Imagen_%20Text-to-Image%20Diffusion%20Models%20-%20imagen_research_google.jpg" style="width: 580px;" /></p> <p>Google暫不對外開放Imagen，並把未來工作放在解決開放的挑戰與限制上，研究人員提到，雖然他們已經過濾了訓練資料集，並且採用不當內容LAION-400M資料集，來避免模型產生有害的內容，但是因為Imagen仰賴使用未經過濾的網路資料，所訓練出來的文字編碼器，因此Imagen仍可能存在一些有害刻板印象。</p> <p>另外，當前人們對於圖像生成文字，以及圖像標記模型做了大量的審查工作，以避免產生社會偏見，但是文字到圖像模型的社會偏見評估工作相對較少，Google研究人員經過內部評估，已發現Imagen存在一些社會和文化偏見，像是整體來說，圖像人物的膚色偏淺，對職業的描繪，也更傾向西方性別刻板印象。</p> <p>因此即便Imagen的能力強大，但目前Google仍不打算開源Imagen的程式碼，也不提供公開展示，原因在於文字生成圖像模型的下游應用非常多樣，且可能以複雜的形式影響社會，考慮到潛在的風險，Google暫不對外開放Imagen，直到開發人員建立起負責任的外部框架，來平衡無限制開放所帶來的風險。</p> </div></div></div>
2022/5/26 09:21作者李建興https://www.ithome.com.tw/news/151126
【資安日報】2022年5月25日，駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對開發人員的攻擊行動，本週我們在23日報導有人假冒知名的Apache Kafka用戶端Python套件，在PyPI套件庫上架名為pymafka的惡意軟體，但這種鎖定PyPI套件庫而來的攻擊行動今天再度發生，而且，攻擊者也同時針對PHP版本的套件出手。</p> <p>使用者在不同網站服務共用相同帳密的情況，也相當嚴重，這也使得駭客可能得以透過帳號填充攻擊（Credential Stuffing），取得他們多個系統的帳號控制權。美國汽車製造商通用（GM）近期指出，有部分車主的帳號遭人利用上述手法存取，並盜用當中的紅利點數。</p> <p>日前VMware針對旗下的多項產品修補身分驗證漏洞CVE-2022-22972，近期有資安業者表示他們已能觸發漏洞，並提出警告。因為，這樣的情況表示也可能有人可能也破解漏洞，並打算加以用於攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-package-ctx-compromised-are-you-at-risk"><span style="color: rgb(0, 0, 0);">駭客竄改知名PyPi套件與PHP程式庫，意圖竊取開發者的AWS帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ctx022-May-24-2022-09-04-35-99-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ctx022-May-24-2022-09-04-35-99-AM.png" style="width: 300px; float: right;" /></a>駭客針對開發者下手的資安事故，有不少是針對NPM套件而來，但近期有人同時對於兩種不同的套件庫出手。資安業者Sonatype於5月15日發現，近期名為ctx的PyPI套件出現新的版本0.2.2，但在該公司進一步分析後，確認此版本帶有惡意程式碼，開發者安裝後將會在受害電腦收集相關環境變數，並回傳到特定的網域。</p> <p>值得留意的是，研究人員在21日，看到攻擊者再度出手，針對原本於2014年發布的0.1.2版進行竄改，加入上述的惡意程式碼。對此，研究人員對開發人員提出警告，即使使用這些套件的先前版本，還是有可能遭到波及，因此，使用者下載套件後還是要進行檢查，來確保取得的是沒有遭到竄改的版本。</p> <p>無獨有偶，駭客也對於ctx程式庫的PHP版本PHPPass出手，提交有問題的程式碼，功能同樣是收集受害電腦的相關變數並進行回傳。而駭客發動攻擊的意圖，研究人員Somdev Sangwan推測，很有可能是為了竊取開發人員的AWS帳密與相關參數。</p> <h3><strong style="font-size: 22px;"><a href="https://oag.ca.gov/system/files/2022-05-16%20-%20version%20A%20notice%20to%20individuals.pdf"><span style="color: rgb(0, 0, 0);">美國汽車製造商通用遭到帳號填充攻擊，導致車主資料外洩</span></a></strong></h3> <p>先前有駭客針對航空公司的里程點數下手，入侵旅客的帳號，但最近有人鎖定汽車製造商提供車主紅利的系統發動攻擊。美國汽車製造商通用（General Motors，GM）自5月16日開始，開始發送電子郵件通知部分車主，他們的GM帳號可能在4月11日至29日之間，出現異常登入的情形，而且，這些車主的紅利點數疑似遭到盜用。</p> <p>經過調查後發現，車主外洩的資料包含了姓名、電子郵件帳號、照片、搜尋記錄、累積點數的記錄等，不包括生日、社會安全碼、駕照、金融資訊。該公司察覺此事後已停用這些帳號的點數功能，並要求用戶重設密碼。</p> <p>而對於此事造成的原因，GM指出駭客是透過帳號填充（Credential Stuffing，亦稱撞庫）攻擊而得手，藉由車主已遭外洩的其他網站應用程式帳密，嘗試存取GM網站，他們呼籲用戶，不要在多個服務使用相同的帳號和密碼，讓攻擊者有機可乘。根據資安新聞網站Bleeping Computer的報導指出，GM的車主網站未提供雙因素驗證機制，也是這起事件之所以發生的另一項原因。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/twisted-panda-chinese-apt-espionage-operation-against-russians-state-owned-defense-institutes/"><span style="color: rgb(0, 0, 0);">中國駭客假冒俄羅斯聯邦衛生部，攻擊國防研究機構</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Dropper_campaign-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dropper_campaign-1.png" style="width: 300px; float: right;" /></a>中國與俄羅斯關係匪淺，但在中國政府遲遲沒有具體表明烏克蘭戰爭的立場下，近期卻不斷傳出該國駭客攻擊俄羅斯的情況。例如，資安業者Check Point揭露他們在上個月發現的Twisted Panda攻擊行動，中國駭客組織APT10（亦稱Cicada、Stone Panda）與Mustang Panda（亦稱HoneyMyte、RedDelta）聯手，針對俄羅斯國防公司Rostec旗下的兩個研究機構，以及位於白俄羅斯明斯克的實體下手，這些駭客假冒俄羅斯聯邦衛生部（Russian Ministry of Health），並以美國對當地企業進行制裁的名義，發動釣魚郵件攻擊，挾帶含有惡意內容的Word檔案。</p> <p>一旦收信人開啟，該文件就會從外部下載DOTM範本檔案，而這個Word範本內含的巨集程式碼則會從作業系統核心導入API函數並使用，進而載入名為cmpbk32.dll或cmpbk64.dll的程式庫，並在受害電腦植入後門程式Spinner。</p> <p>研究人員指出，根據他們進一步調查的結果，這些攻擊工具約從2021年3月開始開發，並採用進階的規避偵測手法，像是透過記憶體內多層載入，或是編譯器層級的混淆手法等，很可能約自2021年6月就用於攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/researchers-to-release-exploit-for-new-vmware-auth-bypass-patch-now/"><span style="color: rgb(0, 0, 0);">針對VMware修補的身分驗證重大漏洞，研究人員預告將發布概念性驗證攻擊程式</span></a></strong></h3> <p id="Zyxel">VMware於5月18日修補CVE-2022-22972、CVE-2022-22973（CVSS風險層級為9.8分與7.8分），<a href="https://www.ithome.com.tw/news/151000#CVE-2022-22972">美國更要求聯邦機構要在5天內著手處理</a>，現在有資安業者拆解漏洞後提出警告。資安業者Horizon3.ai近日表示，他們已經成功重現存在於Workspace ONE等產品的漏洞CVE-2022-22972，該公司也預告將會發布概念性驗證攻擊程式（PoC），以及對於該漏洞詳細的技術細節。研究人員亦呼籲用戶要儘速採取緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291042"><span style="color: rgb(0, 0, 0);">趨勢科技修補已遭中國駭客濫用的DLL挾持漏洞</span></a></strong></h3> <p id="Zyxel">資安業者於5月初，揭露<a href="https://www.ithome.com.tw/news/150742#Moshen-Dragon">中國駭客組織Moshen Dragon在攻擊行動中，濫用多個廠牌的防毒軟體元件執行惡意程式</a>，最近有防毒業者針對旗下產品修補相關弱點。根據資安新聞網站Bleeping Computer的報導，趨勢科技於5月20日發布資安通告，表示他們針對Moshen Dragon駭客組織利用的漏洞著手修補，並已透過主動式更新機制（ActiveUpdate）派送到用戶電腦。該公司指出，這項漏洞波及的範圍，主要是個人版的端點防護產品，企業版解決方案不受影響，但沒有明確列出受影響的產品名單。</p> <p>但對於其他遭到駭客濫用的防毒軟體元件，相關業者是否會跟進予以修補？<a href="https://www.bleepingcomputer.com/news/security/trend-micro-fixes-bug-chinese-hackers-exploited-for-espionage/">資安新聞網站Bleeping Computer指出</a>，目前僅有Bitdefender向他們提出說明，表示旗下防毒產品用戶不會受到DLL搜尋順序挾持（DLL Search Order Hijacking）攻擊影響，該公司也不會發布資安通告。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/25 18:46作者周峻佑https://www.ithome.com.tw/news/151130
【幕後推手揭3關鍵：動線、診斷碼套餐及大規模防疫經驗】北榮車來速為什麼成功？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月17日，臺北榮總「車來速」防疫急門診正式在中正紀念堂上路。這個將看診、領藥、PCR採檢3大流程集於一身的一站式醫療服務，至5月22日下午、短短不到一周，就累計1萬多人來採檢，平均一天檢驗近1,800人，動線流暢更獲好評。臺北榮總是怎麼做到的？</p> <p><strong><span style="font-size:24px;">關鍵1：設計4條動線分流處置</span></strong></p> <p>臺北榮總副院長李偉強是車來速急門診的一大推手，他親自揭露了車來速的成功關鍵。第一是分流的動線規畫。他指出，團隊設計流程時，畫分出4線道，先分流乘坐不同交通工具的民眾。比如，1號線道專收徒步行人，2號則供騎單車、摩托車的民眾看診，3號、4號線道則針對汽車乘客。後兩者的不同之處在於，第3線道專門服務2人（含）以下的駕車民眾看診，4號線則鎖定3人以上的高乘載汽車，或有12歲以下孩童的駕車民眾看診，這也是親子友善的車道。</p> <p>臺北榮總特別將高乘載汽車獨立出來，來自對他人經驗的觀察，「這類高乘載車流速較慢、容易卡住，因此獨立成單一線道，來服務特定族群，」李偉強說，如此就能保持動線流暢。除此之外，臺北榮總還特別加派人力，原本每一線道各由1組醫護服務，但4號線道例外，2組人馬在兩側車窗待命，民眾駛入線道時，只要搖下車窗，醫護人員即可在兩側同時問診、採檢，縮短作業時間。</p> <p>不管是哪一條分流，臺北榮總在每一個線道上，都規畫了3個關卡。首先是報到、問診，民眾先繳交健保卡給現場人員過卡、確認身份，並提供快篩陽性證明。接著由醫師問診，發送檢驗試管和4聯條碼貼紙給民眾。</p> <p>完成後，民眾前行2公尺進入下一站，來繳費和領藥。此時，民眾繳交條碼貼紙給藥劑人員，可用悠遊卡、信用卡或現金繳費，之後取得藥品和收據。接受悠遊卡和信用卡的多元支付方式，也是縮短流程的巧思之一。</p> <p>從第2站再向前2公尺，就到達最後一站，也就是採檢。這一站的步驟也很簡單，乘車民眾不必下車，繳交條碼貼紙後，透過車窗露出鼻子即可讓醫護人員採檢。至此，車來速防疫急門診的所有關卡就全數完成。民眾返家後，可等待簡訊通知PCR檢驗結果，或自行上健保快易通App查詢資料。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%BB%8A%E4%BE%86%E9%80%9F.jpg" /></p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">臺北榮總將車來速急門診分為4線道、3關卡，線道部分包括行人專用線道、單車與機車線道、2人以下汽車道，以及3人（含）以上或有12歲以下孩童的高乘載線道，每線道都由1組醫護人員服務，第4線道則有2組，在車窗兩側待命。（圖片來源：臺北榮總）</span></p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-25%20at%202_23_35%20PM.png" /></p> <p>臺北榮總將車來速急門診分為4線道、3關卡，3關卡則包含問診、領藥和採檢，主要採預約制，讓民眾先行填寫基本資料和症狀勾選，加速現場作業。這些事項也於預約系統中說明。（圖片來源：臺北榮總車來速預約系統截圖）</p> </blockquote> <p><strong><span style="font-size:24px;">關鍵2：系統資料同步、診斷代碼套餐</span></strong></p> <p>除了動線分流設計之外，臺北榮總車來速順暢的另一關鍵是，看診資料預填和診斷代碼套餐組合，這兩者所帶來的加速效益。</p> <p>車來速急門診服務採線上預約制，每日開放1,200人預約，民眾可從3個時段擇一來看診、領藥和採檢。線上預約的基本資料輸入表單，採取了特別的設計。李偉強點出，這個預約系統，事先列出了後續看診和上傳健保署所需的資料欄位，像是民眾基本資料（如姓名、性別、電話、出生年月日等），快篩狀況，以及症狀，並提供了發燒、咳嗽、腹瀉、關節痠痛等近30個選項，讓民眾勾選。預約系統還針對小朋友，多了一個體重欄位，「這非常重要，它攸關後續看診、開藥的流程加速，」李偉強說。</p> <p>這些預約資料會上傳到臺北榮總雲端系統，再透過北榮API下載至醫院HIS系統。當民眾依預約時間進入第一關，透過健保卡插卡、核對身份後，醫院HIS系統，會自動將事先填寫的資料，帶入到車來速專屬醫療系統，讓車來速系統的資料與醫院系統同步，來節省現場手動輸入的時間。李偉強指出，這個比對過程非常快，不到1秒就能下載資料、秀在螢幕上，讓醫護一目了然。</p> <p>除了預約，臺北榮總也開放民眾現場排隊，並當場準備3臺平板電腦，讓民眾在等待時，可先掃描QR Code，登入系統來填寫資料。</p> <p>這些事先填寫的資料，大大提高醫師現場問診的效率。關鍵是，預約系統上已要求民眾勾選症狀，醫師可直接就這些症狀進行確認，來決定該開何種藥品。</p> <p>接著就是診斷代碼套餐大顯身手之處。</p> <p>進一步來說，一般就醫看診、開藥，不僅涉及許多資料要填寫，比如初診病患、首次採檢民眾，得先填寫基本資料，醫師看診、開藥等這一系列醫療行為，還得化為一個個代碼，與基本資料一同紀錄在醫令系統中，作為後續健保申報的依據。</p> <p>這些代碼包括醫令碼、處置碼、診斷碼、藥品碼等，比如，收取門診掛號費會有一個處置代碼來表示，而根據患者身分和就診方式，也有各自的身分代碼來分類。針對患者的不同症狀，還有專屬的診斷代碼來描述，以及最後，還有針對症狀開立的藥品代碼。</p> <p>這些代碼五花八門、數量之多，醫院常見的加速做法是，根據特定族群、病症和藥品，比如罕見疾病，設計出專屬診斷代碼套餐，一鍵帶入醫令碼、診斷碼、藥品碼等代碼，省下醫師查找代碼的時間，以及因急忙或勞累造成的人為輸入錯誤風險。</p> <p>臺北榮總也將這個做法，應用於這次的車來速急門診中。他們先將診斷代碼打包為6種套餐，大人2種、小孩4種，其中，大人套餐還分為A套餐的「呼吸道症狀」和B套餐的「呼吸道症狀加腸胃道症狀」，並根據這些代碼，配置相對應的5日份藥品。而小孩的4種搭配，先以體重20公斤以上和以下來分類，再按照大人的A、B套餐搭配邏輯和做法，而20公斤以下的孩童，藥劑量則減半，因此共有4類（20以上A，20以上B和20以下A、20以下B）。這正是北榮預約系統中，必須事先詢問孩童體重的原因，用來搭配特定一組診斷代碼，以加速配藥和選藥的流程。</p> <p>臺北榮總根據這些代碼套餐，事先備妥相對應藥品，當醫師問診確認後，就能快速處理醫療代碼，並給予正確藥品。</p> <p>儘管這些系統上的設計不像車道動線那般顯而易見，卻正是臺北榮總車來速快速、流暢的隱形關鍵。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%AA%AA%E6%98%8E(1).jpg" /></p> <p>臺北榮總副院長李偉強不分假日至現場指揮、討論，他表示，這次車來速能兼顧速度的原因之一是診斷碼套餐，也就是先將一系列醫令碼、診斷碼、藥品碼等分類，打包成一組組套餐，縮短醫師輸入時間與開藥時間。（圖片來源：臺北榮總）</p> </blockquote> <p><span style="font-size:24px;"><strong>關鍵3：大規模抗疫經驗累積</strong></span></p> <p>話鋒一轉，「這些系統、動線設計，都不是一蹴可幾、憑空冒出的！」李偉強表示，車來速能順利上路，是臺北榮總從過去一次次的大規模抗疫經驗，累積而來的成果。例如，車來速醫療系統，就是以先前開發的系統為基礎，不斷改版、優化而成。</p> <p>李偉強回憶，去年，臺北榮總進駐苗栗京元電子，對5,000多人進行PCR採檢，當時開發了一套醫療系統處理採檢相關資料，這也是車來速系統的前身。</p> <p>後來，去年7月，臺北榮總團隊進駐臺北市3大果菜市場，執行大規模採檢，他們分別在萬大市場、濱江市場、環南市場，當天就完成上千人採檢作業、發出報告。在那幾次採檢經驗中，團隊發現，有些民眾並未預約，而是現場排隊採檢。因此，臺北榮總調整系統，改為可執行預約和現場採檢的新版本。</p> <p>緊接著，去年下半年，臺北榮總承接大規模疫苗接種作業，在中正紀念堂接種了上萬人次的疫苗，也同時修正系統、繼續優化。今年，這些難得的第一線實務經驗進一步擴大，納入了開藥功能，才發展出了車來速系統。「這套系統不是突然冒出一支程式，也不是安裝一支商用程式就可以用，而是累積過去經驗、一路發展過來，」李偉強強調。</p> <p>這套串起車來速流程的IT系統背後，還有一組默契無間的團隊，在系統上線前後，不斷滾動式更新、維運。這一群人不只是資訊人員，還包括了醫藥護檢人員、行政人員，發揮彼此的專業角度，每天開會討論、調整作法。身為帶頭跑的關鍵人物，所有成員的辛勞，李偉強都看在眼裡。他指出，為了讓民眾採檢更順利，工程師們甚至會趕在半夜修改程式、進行測試。</p> <p>5月16日，團隊帶著這些知識和經驗，進駐中正紀念堂試營運。他們從無到有安裝電腦、安裝程式，再到實際插卡測試、預跑流程，順利完成部署。隔日正式啟動服務，至5月22日下午短短幾天，累計採檢人數破萬，其中8成都有領藥。這個成功模式，不只是許多醫院的參考典範，也將繼續營運下去，直到疫情趨緩。文⊙王若樸</p> </div></div></div>
2022/5/25 14:51作者王若樸https://www.ithome.com.tw/news/151118
NCC公布新版網際網路視聽管理法草案架構，加強納管OTT TV業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC今天通過新版網際網路視聽管理法草案架構，採用數通法（數位通訊傳播服務法草案）精神，對不同大小規模的OTT TV業者設計層級化的應盡義務，主管機關公告的OTT業者需辦理登記。至於提供侵權視聽內容者，嚴重者可要求電信業者拒絕提供違法OTT業者必要之通訊服務。</p> <p>首先在該草案管理對象上，新版草案架構比照數通法及歐盟的規範，在臺灣設有商業據點，或雖然沒設商業據點，但和我國有實質關聯，從事網際網路視聽服務，且具有一定規模者，例如Netflix、Line TV、myVideo等。至於分享使用者原創內容UGC服務的平臺，如YouTube、Facebook、Instagram等，並非OTT TV法管理的對象。另外，因先前經濟部根據兩岸關係條例，公告禁止中國OTT業者在臺經營，因此此次新版OTT TV法草案管理對象不包括中國OTT業者。</p> <p>對於如何認定和我國有實質關聯，NCC參照歐盟法規，判斷的標準包括該OTT業者在我國境內有顯著的使用者數量，或是以我國為其商業活動的主要目標等等。</p> <p>相較於前一版草案要求業者自願登記，新版本草案考慮到該產業變動較大，改採行為管理的方式，原則上業者不需登記，但業者符合規定，沒有享有豁免條件者，必需遵守OTT TV法所定的一般義務。但對於較大規模的業者，根據其使用者數量、重大公共利益，由NCC公告應辦理登記的業者，除了遵守一般義務之外，還需遵守特別義務。</p> <p>依據OTT業者的規模大小負有不同的義務，除了微型業者因規模太小得以豁免之外，所有OTT業者需負一般義務，包括揭露基本資料、遵守服務內容規範、資料調取、提供內容需取得合法授權，境外業者需指定代理人。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-05-25%20%E4%B8%8B%E5%8D%885_24_23.jpg" style="width: 600px; height: 447px;" /></p> <p>NCC將參考使用者數量，或認定具有重大公共利益，公告應辦理登記的業者，除了一般義務，還需遵守特別義務，例如依規定辦理登記、遵守變更登記規範、揭露及遵守服務使用條款、必需符合我國內容產製規範、加入自律組織、預定暫停或終止營業者應提前向使用者告知並提供補償。</p> <p>新版草案也加入處罰手段，若OTT業者對外提供侵害著作權的內容，經法院判定違反著作權法，因違法所產生營業行為不當，主管機關NCC處以罰鍰、限期改正，情重嚴重者，主管機關可勘酌情形採取必要、最終的手段，要求電信業者或ISP拒絕提供必要電信服務及通信傳遞，或為必要之處置。</p> <p>對於境外OTT業未指定代理人，或是經公告而未辦理登記的業者，主管機關限期改正、處以罰鍰之外，同樣也可採取最終手段，要求電信業者或ISP拒絕其必要電信服務及通信傳遞。</p> <p>至於罰鍰的部分，目前NCC僅先公告草案的架構，尚未訂定具體的罰鍰金額。</p> <p>NCC副主委暨發言人翁柏宗表示，新版草案主要根據2020年的版本，根據外界的意見調整的草案架構，相較於舊版，新版草案將自願登記改為行為管理，大型OTT業者要辦理登記，NCC將公告哪些大業者要登記，達到什麼程度的大業者需登記，負有一般義務及特別義務，小型業者豁免這些義務，第三點是最後必要手段，有的業者違反著作權規定，被法院判罰，但沒有遵循，依情形可能會請電信業者、ISP業者配合，讓違法的OTT業者無法提供服務。</p> <p>翁柏宗指出，OTT TV產業不同於傳統的傳播產業，以用戶規模而言，依據使用者或是訂閱用戶決定規模大小，未來詳細的法條規定還會和業者交流意見。</p> <p></p><p>目前僅先公布草案架構，詳細的草案條文內容後續由NCC審議通過，未來完成法制作業程序後對外公告。</p> </div></div></div>
2022/5/25 17:39作者蘇文彬https://www.ithome.com.tw/news/151125
隱私搜尋引擎DuckDuckGo遭爆允許微軟追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/thezedwards/status/1528808759027331072" target="_blank">一名資安研究人員Zach Edwards本周揭露</a>，自詡為隱私搜尋引擎暨瀏覽器的DuckDuckGo，竟然私下放過了微軟的追蹤器。</p> <p>DuckDuckGo為一強調保護使用者隱私的搜尋引擎，其預設值即禁止蒐集與分享使用者的個人資訊，由於它不會分析使用者所造訪的網站，因此所有用戶都會看到同樣的搜尋結果，也會自動封鎖網路追蹤器與各式Cookie。</p> <p>然而，Edwards卻發現不管是Android或iOS版的DuckDuckGo瀏覽器都沒有封鎖微軟追蹤器，例如當他造訪臉書的Workplace時，瀏覽器顯示出它已封鎖來自Google及臉書的追蹤器，卻未提及DuckDuckGo把資料傳送給Bing與Linkedin，而且除了微軟之外，他並不確定DuckDuckGo是不是還有其它「白名單」的存在。</p> <p>DuckDuckGo並未於官網上解釋該事件，<a href="https://twitter.com/yegg/status/1528838114558484480" target="_blank">但DuckDuckGo創辦人暨執行長Gabriel Weinberg在Edwards的推文中留言</a>，說明當使用者載入搜尋結果時，是完全匿名的，但與微軟在廣告上合作，亦於官網公開揭露此一訊息。</p> <p><a href="https://help.duckduckgo.com/duckduckgo-help-pages/company/ads-by-microsoft-on-duckduckgo-private-search/#:~:text=At%20that%20point%2C%20Microsoft%20Advertising%20will%20use%20your%20full%20IP%20address%20and%20user%2Dagent%20string%20so%20that%20it%20can%20properly%20process%20the%20ad%20click%20and%20charge%20the%20advertiser" target="_blank">根據DuckDuckGo官網上的說明</a>，DuckDuckGo與微軟的合作是在保障使用者的隱私下提供關聯性廣告，當使用者點擊由微軟提供的廣告時，將會透過Microsoft Advertising平臺將使用者導至廣告主網站，這使得Microsoft Advertising平臺得以存取使用者的完整IP位址與使用者代理字串，用以計算廣告效果並向廣告主收費。</p> <p>此外，網頁上也說明了其中的差異，指出其它的搜尋引擎連結了使用者的個人檔案與廣告點擊行為，以用來遞送關聯性廣告，但與微軟的合作並未將使用者的廣告點擊行為連至個人檔案，也未儲存或分享除了計算所需的其它資訊。</p> <p>不過，今年5月中旬，<a href="https://twitter.com/DuckDuckGo/status/1524342702552322049" target="_blank">DuckDuckGo才透過Twitter批評</a>，指出就算Google認為Topics更能保護隱私，但不管它叫什麼名字，「追蹤就是追蹤」。而今，這句話似乎也適用於DuckDuckGo自己。</p> </div></div></div>
2022/5/25 16:59作者陳曉莉https://www.ithome.com.tw/news/151124
微軟推出雲端開發箱，能預先配置不同工具和規格的獨立雲端開發環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟年度開發者大會於美西時間5月24日展開，針對開發流程優化、跨雲服務、跨平臺App、雲端原生App、數據統一管理、AI模型作為開發平臺、跨平臺AI模型訓練、Low code/no code開發、協作App以及元宇宙功能等十項領域，分別推出多項新產品及服務。微軟執行長Satya Nadella開場演講時表示，全球開發者社群已經達到3,100萬人，開發者社群已經成為面對現代挑戰的一股力量。今年第一項發表重點就是開發流程優化，也新推出了Microsoft Dev Box新服務。</p> <p>在去年發表的Windows 365雲端電腦上，微軟推出了新的雲端服務Microsoft Dev Box，可以提供預先配置的雲端開發環境，減少開發人員開發前連接資源和備妥硬體設備的麻煩。Dev Box託管在Microsoft Cloud上，可以從Windows、MacOS、Android、iOS甚至是瀏覽器上存取，也支援所有可以在Windows上執行的IDE、SDK及工具，甚至可以透過WSL開發跨平臺App。Microsoft Dev Box目前是不公開預覽版（<a href="http://http://aka.ms/devbox-signup">可在此申請試用</a>），微軟表示「幾個月後」會開放公開試用。</p> <p>開發人員可以為個別開發專案各自設置不同規格的獨立雲端開發環境，稱為Dev Box，預先放入開發所需工具和相關函式庫，並隨時快速啟動。獨立的開發環境，可避免因單一錯誤操作或安裝不相容的工具，而導致整個開發環境出事，甚至干擾到其他正在開發的專案。開發人員可依據常見開發需求，如概念驗證、平行開發、維護舊版本、嘗試除錯方法等目的，自由新增和刪除Dev Box。</p> <p>Dev Box也整合了Azure AD，可以透過角色存取控制（RBAC）功能來指定不同權限的團隊成員，如讓新進開發人員或外包團隊只能存取所需的Dev Box。還能透過Azure AD其他資安功能，如管控客戶資料和機密原始碼等機敏內容，限定可存取的指定裝置或要求多因素驗證。IT系統管理員也可以用Microsoft Endpoint Manager和Intune，如同管理雲端電腦一樣的管理Dev Box，例如隔離出異常Dev Box來除錯，或統一進行漏洞修復。</p> <p>為了控管費用，開發人員還可以利用計畫性休眠功能，在上下班時間自動啟用和停止Dev Box，也能查看各專案和不同團隊的費用支出。</p> <p>另一個優化開發流程的新功能是，正式推出了Github Copilot服務。Copilot是一個AI開發輔助服務，可以根據開發者的程式碼，給出一行，甚至一整個函式的自動完成建議。其他值得注意的新發布產品及功能，還有ARM架構AI開發硬體<a href="https://www.ithome.com.tw/news/151111">Project Volterra</a>、整合資料庫、分析、治理的三合一工具<a href="https://www.ithome.com.tw/news/151112">Intelligent Data Platform</a>、低程式碼網頁建置工具<a href="https://www.ithome.com.tw/news/151114">Power Pages</a>等。</p> </div></div></div>
2022/5/25 15:28作者郭又華https://www.ithome.com.tw/news/151119
明日起家用快篩陽性即確診，數位證明平臺可申請快篩陽確診、接觸者隔離證明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於COVID-19本土病例數每日大量新增，中央流行疫情指揮中心今日（5月25日）表示，全臺已進入大規模流行階段，為確保公衛防疫和PCR採檢量能，決定調整策略，自26日起，民眾使用家用快篩陽性經醫事人員確認，或由醫事人員執行抗原快篩且陽性者，可直接判定確診。與此同時，數位新冠病毒健康證明平臺今日早上8時起也新增「快篩陽性確診證明」和「接觸者隔離證明」申請功能，供民眾使用。</p> <p><span style="font-size:22px;"><strong>快篩陽性經醫事人員確認即確診</strong></span></p> <p>進一步來說，民眾快篩陽性後，可預約視訊診療或至社區篩檢站、醫療院所、衛生所等地請醫師評估。若採視訊診療，民眾得先備妥快篩卡匣或檢測片，寫上姓名和日期，與健保卡放在一起拍照，並在視訊診療間，出示給醫師評估。</p> <p>若是去醫療院所就診，可以夾鏈袋或塑膠袋密封包裝，帶至醫療院所供評估。</p> <p>經醫事人員確認、取得共識後，確診民眾可經由疾管署簡訊發送的連結，或透過健保快易通App填寫「COVID-19確診個案自填版疫調單」，自主回報症狀、風險因子、密切接觸者。要是未有共識，則可進行PCR檢驗來確認。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/12-0525%20%E4%BF%AE%E8%A8%82%E3%80%8C%E5%9A%B4%E9%87%8D%E7%89%B9%E6%AE%8A%E5%82%B3%E6%9F%93%E6%80%A7%E8%82%BA%E7%82%8E%E3%80%8D%E4%B9%8B%E7%97%85%E4%BE%8B%E5%AE%9A%E7%BE%A9.jpg" /></p> <p>另一方面，指揮中心說明快篩陽性確診的領藥流程，當民眾快篩經醫療院所確認、醫師通報後，再由醫師評估是否適合抗病毒藥物，或是其他相關藥物，再來開立。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/14-0525%20%E5%BF%AB%E7%AF%A9%E9%99%BD%E6%80%A7%E8%A8%BA%E6%96%B7%E7%A2%BA%E8%A8%BA%E6%9A%A8%E9%96%8B%E7%AB%8B%E8%97%A5%E7%89%A9%E6%B5%81%E7%A8%8B.jpeg" /></p> <p>指揮中心建議，民眾在隔離期間觀察自身症狀變化，要是出現喘、呼吸困難、持續胸痛、胸悶、意識不清、皮膚或嘴唇或指甲床發青等症狀，必須馬上通知地方政府衛生局，或撥打119就醫，以119救護車為原則，防疫計程車、同住親友接送或自行前往（如步行、自行駕/騎車）等方式為輔。若出現其他症狀或醫療咨詢需求，可透過健康益友等App或電話方式聯絡遠距醫療或居家照護團隊評估。</p> <p><strong style="font-size: 22px;">數位證明平臺可申請快篩陽性確診和接觸者隔離證明了</strong></p> <p>另一方面，衛福部資訊處處長龐一鳴也公布數位新冠病毒健康證明平臺新功能，即日起新增快篩陽性確診證明和接觸者隔離證明申請。使用者可透過數位證明平臺或健保快易通App登入，並勾選需要開立證明的項目，填妥相關地址、點選申請後，就能下載或列印證明。龐一鳴也透露，該平臺上線以來，已有200多萬位民眾用來取得疫苗接種數位證明，而今日新增2項證明申請，截至今日中午12點，已有1萬5千位名字取得接觸者隔離證明，另有5千位民眾取得快篩陽性確診者證明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/16-1%E8%AD%89%E6%98%8E%E7%94%B3%E8%AB%8B%E6%B5%81%E7%A8%8B.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/16-2%E5%BF%AB%E7%AF%A9%E9%9A%94%E9%9B%A2%E8%AD%89%E6%98%8E%E6%A8%A3%E5%BC%B5.jpeg" /></p> </div></div></div>
2022/5/25 15:31作者王若樸https://www.ithome.com.tw/news/151120
蘋果要求所有可建立帳號的程式提供帳號刪除功能，6月底上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愈來愈多程式要求使用者建立帳號，或是以社交網站的帳號登入，才能執行程式功能，然而，<a href="https://developer.apple.com/app-store/review/guidelines/#5.1.1v" target="_blank">蘋果去年修改了App Store審核指南</a>，指出若與核心功能無關，即不得要求使用者輸入個人資訊，倘若需要使用者建立帳號，那麼同時必須於程式中提供刪除帳號的功能，新規定將於今年的6月30日正式實施。</p> <p>根據該規定，若程式的重要功能與帳號無關，開發者必須讓使用者無需登入就能使用；倘若程式支援使用者建立帳號，那麼也必須在程式內提供刪除帳號的機制；除非程式的核心功能與使用者的個資息息相關，或者是源自於法令的要求，否則不得要求使用者輸入個人資訊。</p> <p>此外，倘若程式的核心功能與臉書、微信、Twitter等社交網路無關，那麼程式必須提供其它管道的存取機制。蘋果舉例，取得基本的個人檔案資訊、分享至社交網路，或是邀請朋友使用程式等功能都不算是程式的核心功能。此外，這類的程式也必須提供機制以允許使用者撤銷社交網路的憑證，或是讓使用者於程式中關閉程式與社交網路之間的資料存取能力。</p> <p>其實蘋果早在2021年的6月便宣布了此一變更，當時原本要求開發者必須在今年1月底以前遵循相關規定，但在1月時將該限制的期限延後到今年的6月30日。</p> </div></div></div>
2022/5/25 15:38作者陳曉莉https://www.ithome.com.tw/news/151121
Windows 11小工具今年將開始支援第三方程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2022/05/24/create-next-generation-experiences-at-scale-with-windows/" target="_blank">微軟本周宣布</a>，Windows 11上原本僅適用於微軟程式的小工具（Widgets），將在今年支援第三方程式，<a href="https://arstechnica.com/gadgets/2022/05/third-party-widgets-are-coming-to-windows-11-which-might-actually-make-them-useful/" target="_blank">科技新聞網站《Ars Technica》則推測</a>它可能會伴隨著Windows 11 22H2出爐。</p> <p>小工具的外觀像是張小卡片，這些卡片出現在小工具面板（Widgets Board）上，可能是使用者最愛的應用程式，或者是諸如天氣等各種服務的動態內容，使用者可以自訂面板上的小工具，也能調整卡片尺寸，目的是為了快速存取或切換所需的程式/服務，並打造個人化的Windows體驗。</p> <p><a href="https://www.microsoft.com/en-us/windows/remote-resource-center/top-windows-widgets-to-know-about" target="_blank">迄今微軟已替Windows 11打造許多小工具</a>，包括行事曆（Calendar）、娛樂、電競、照片、運動、待辦事項（To Do）、交通、天氣或新聞等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-Windows11_Widgets-3.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>負責Windows與裝置的微軟產品長Panos Panay表示，Windows 11上的小工具讓使用者可一目瞭然地看到自己常用的程式與服務，使用者的回饋顯示他們非常享受可在不中斷工作流程的狀態下快速存取喜愛的內容，因此，微軟已準備在今年允許於Windows 11上打造Win32及PWA程式的第三方開發者，藉由Adaptive Cards平臺來建置搭配其程式的小工具。</p> </div></div></div>
2022/5/25 14:25作者陳曉莉https://www.ithome.com.tw/news/151115
Paypal漏洞可引發點擊劫持攻擊，竊取用戶帳戶金錢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名研究人員發現Paypal平臺有個漏洞，可能讓攻擊者發動點擊劫持（clickjacking），竊取用戶帳戶中的錢。</p> <p><a href="https://medium.com/@h4x0r_dz/vulnerability-in-paypal-worth-200000-bounty-attacker-can-steal-your-balance-by-one-click-2b358c1607cc" target="_blank">名為h4x0r_dz的研究人員去年10月向Paypal通報這項漏洞</a>。</p> <p>點擊劫持是一種攻擊手法，攻擊者在網頁中將惡意程式碼等隱藏在看似無害的網頁內容中，例如加一層或好幾層透明層，再誘使用戶點擊他們以為的合法功能如按鍵或連結，旨在將用戶導向惡意網站以洩露帳密敏感資訊或下載惡意程式。這種手法又被稱為使用者介面偽裝（UI redressing）。</p> <p>h4x0r_dz發現到Paypal網站有個端點www[.]paypal.com/agreements/approve，可被用來進行點擊劫持。它是允許用戶同意付費的計費協定，本來只應接受billingAgreementToken，但他發現也可以上傳其他token，使用戶被導向他持有的網頁，藉此獲取用戶資訊。</p> <p>研究人員表示，攻擊者可將這有問題的端點包在iFrame中，使受害者以瀏覽器登入，就能獲取用戶Paypal帳密，而將用戶Paypal財產轉到攻擊者持有的Paypal帳號，或是利用受害者的帳號支付任何服務費用。</p> <p>研究人員目的是通報漏洞賺取抓漏獎金，不過Paypal似乎並未回應研究人員的通報。<a href="https://thehackernews.com/2022/05/paypal-pays-hacker-200000-for.html" target="_blank">The Hacker News報導</a>，該漏洞迄今尚未修補。但是研究人員公布的端點已經無法使用，似乎已被關閉。</p> </div></div></div>
2022/5/25 14:48作者林妍溱https://www.ithome.com.tw/news/151117
通用汽車網路4月遭駭客存取，可能外洩車主資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通用汽車（General Motors）4月間發生疑似帳號填充（credential stuffing）攻擊，致使為數不詳的車主的回饋點數、姓名、電子郵件等個資遭存取。</p> <p>旗下擁有別克（Buick）、雪佛蘭（Chevrolet）、凱迪拉克（Cadillac）等車系的GM<a href="https://oag.ca.gov/system/files/2022-05-16%20-%20version%20A%20notice%20to%20individuals.pdf" target="_blank">上周以信件通知客戶這樁資料外洩事件</a>。</p> <p>GM發現在4月11日到4月29日之間，某些客戶的GM線上帳號有可疑登入情形，他們的客戶禮物卡回饋點數已在未經車主同意下被動用。</p> <p>但GM解釋，這次事件起因並非GM網站被駭，而是一樁帳號填充攻擊事件。所謂帳號填充攻擊（Credential Stuffing）是指，駭客利用其他遭駭網站中所取得的帳號與密碼，在另一個網站上登入。根據調查，他們相信是攻擊者取得了非GM網站外洩的用戶帳號資料，才導致車主的GM帳號遭到存取。</p> <p>而在GM帳號的非經授權的存取中，車主可能外洩的資料包括姓名、電子郵件、帳號或家人電話號碼、最愛的地點、家人虛擬身分或相片、車主的資料照、搜尋紀錄、地點資訊、點數卡活動、以及被盜用的回饋點數。GM強調網上帳號不包含生日、社會安全碼、駕照、信用卡及銀行帳號資訊等。</p> <p>GM發現時已立即暫時停用帳號下的點數卡功能，除了通知執法機關外，GM已通知用戶在下次登入時重設密碼。</p> <p>這次事件突顯不得在不同網站重覆利用同一組帳密的重要性。<a href="https://www.bleepingcomputer.com/news/security/general-motors-credential-stuffing-attack-exposes-car-owners-info/" target="_blank">不過BleepingComputer報導</a>，GM網站並不支援雙因素驗證，而雙因素驗證應可避免啟用該功能的車主資料外洩。</p> </div></div></div>
2022/5/25 13:41作者林妍溱https://www.ithome.com.tw/news/151113
微軟推出低程式碼網站建置平臺Power Pages
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了協助客戶打造資料驅動的商業解決方案，微軟在2018年發表了Microsoft Power Platform，陸續推出Power BI、Power Apps、Power Automate與Power Virtual Agents，<a href="https://powerpages.microsoft.com/zh-tw/blog/announcing-microsoft-power-pages-build-secure-low-code-websites/" target="_blank">本周則藉著Microsoft Build 2022迎來了第五個新成員Power Pages</a>，協助客戶以低程式碼（low-code）的方式快速興建網站。</p> <p>事實上，Power Pages是由Power Apps的入口網站功能衍生而獨立出來的產品，因此已有橫跨不同產業的數百萬客戶使用。</p> <p>獨立的Power Pages讓使用者可透過Design Studio功能開啟一個全新的專案，它提供許多範本，得以用來設計具備文字、影片、圖像、商業資料格式與列表的網站頁面；或者是利用擁有完整網站配置與功能的Templates Hub，跳過網站設計的步驟，直接進入更細微的網站客製化服務；另外也有針對新手所提供的Learn Hub，以學習如何建置與配置網站，或將商業資料視覺化。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/zh-tw/power-pages/getting-started/media/tour-maker-studio/launch-design-studio.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟指出，為了同時支援不熟程式碼的使用者與專業的開發者，Power Pages也無縫整合了Visual Studio Code、GitHub與Azure DevOps，以用來實現進階的商業需求。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/zh-tw/power-pages/configure/media/cli-tutorial/vs-code-pac-cli.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>Power Pages運作在Microsoft Azure上，可連向低程式碼資料平臺Microsoft Dataverse，以安全的收集訪客資料或與訪客分享資料，再輔以加密、角色存取控制、Azure Front Door雲端內容遞送服務或其它防火牆機制，還能藉由Microsoft Azure DDoS Protection來防範服務阻斷攻擊。</p> <p>微軟強調，不少人認為低程式碼的網頁開發只適用於諸如公司簡介等簡單的專案，但其實Power Pages可支援更強大的功能，包括自助服務許可、授權、事件報告或撥款申請等社群服務，或是作為各種產品與服務的FAQ網站，也能提供保固登記、退貨、支援查詢或預訂等客戶自助服務，以及建置合作夥伴支援網站等。</p> </div></div></div>
2022/5/25 14:12作者陳曉莉https://www.ithome.com.tw/news/151114
微軟發表首個基於Arm的AI開發者套件Project Volterra
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2022/05/24/create-next-generation-experiences-at-scale-with-windows/" target="_blank">微軟在24日舉行的Microsoft Build 2022全球開發者大會上揭露了Project Volterra</a>，這是一個基於高通Snapdragon運算平臺的裝置，也是微軟首個基於Arm架構的Windows開發者套件。</p> <p><a href="https://www.youtube.com/watch?v=yICVNta8jMU" target="_blank">Project Volterra的長相如同Mac mini</a>，亦即一臺少了螢幕的迷你桌機，裝置上則印有微軟的視窗商標。<a href="https://developer.qualcomm.com/blog/microsoft-build-22-new-windows-developer-kit-powered-snapdragon-compute-platform" target="_blank">根據高通（Qualcomm）的解釋</a>，此一專案包含該公司AI引擎的核心處理器Hexagon，將允許開發者打造能於裝置上執行AI加速任務的Windows應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-Project%20Volterra%20microsoft-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>Snapdragon運算平臺為高通所研發的系統晶片，它採用Arm架構，主要應用於行動裝置上，涵蓋手機、平板電腦、筆電、二合一裝置或智慧手錶等。</p> <p>此外，高通也將在Windows on Snapdragon平臺上供應Qualcomm Neural Processing SDK for Windows，提供程式執行硬體加速ML模型推測所需的各種工具，包括在Hexagon DSP處理器上把熱門ML框架轉換成ML模型或最佳化ML模型，以及用來於Hexagon上載入與執行ML模型的API，並支援TensorFlow與ONNX等熱門框架。</p> <p>至於微軟則說將把對神經處理單元（Neural Processing Units，NPU）的支援嵌入端對端的Windows平臺上，也將針對Arm原生程式推出端對端的Arm工具鏈，包括完整的Visual Studio 2022 & VSCode、Visual C++、現代化的 .NET 6與Java、.NET Framework、Windows Terminal，以及用來執行Linux與Android程式的Linux子系統（Windows Subsystem for Linux，WSL）及Android子系統（Windows Subsystem for Android，WSA），並準備在未來幾周開始預覽上述工具。</p> <p>微軟尚未公布Project Volterra的詳細規格、售價或出貨日期。</p> </div></div></div>
2022/5/25 12:37作者陳曉莉https://www.ithome.com.tw/news/151111
微軟公布Intelligent Data Platform整合資料庫、分析、治理工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周在Build 2022開發者大會上，<a href="https://azure.microsoft.com/en-us/blog/introducing-the-microsoft-intelligent-data-platform/" target="_blank">微軟宣布智慧資料平臺</a>，將其資料庫、分析及資料治理工具整合為單一雲端平臺上。</p> <p>微軟Azure Data企業副總裁Rohan Kumar指出，這個平臺旨在解決不同資料庫、分析和資料治理工具分散，使用者得在不同工具間來回的問題。</p> <p>微軟智慧資料平臺乃是將微軟雲端資料庫、分析工具及治理產品完全整合，免去用戶整合和管理資料的麻煩，這項新平臺涵括資料倉儲Azure Synapse Analytics、NoSQL資料庫Cosmos DB、分析工具Power BI、資料治理工具Azure Purview等。微軟公布顧問公司KPMG已經利用智慧資料平臺服務來管理客戶稅務、法律及財務部門資料。</p> <p>同時微軟也針對這些類別產品公布新增功能或新版本。首先在資料庫方面，資料倉儲及大型分析平臺Azure Synapse Analytics下將提供將資料從關聯式資料庫搬到data store的Azure Synapse Link for SQL，<a href="https://docs.microsoft.com/en-us/azure/synapse-analytics/synapse-link/sql-synapse-link-overview" target="_blank">目前為預覽版</a>。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/en-us/azure/synapse-analytics/media/sql-synapse-link-overview/synapse-link-sql-architecture.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>微軟也公布可為SQL Server 2022資料備份到雲端的Azure SQL Managed Instance，後者於本周正式版推出高可用性版本Business Critical tier。Azure SQL Database則推出簡化應用開發管理、及支援區塊應用必要的總帳功能。</p> <p>雲端NoSQL資料庫Azure Cosmos DB提供30天試用版，並新增突增容量及彈性擴充功能，目前以預覽版推出。微軟也將拗口的「Azure Database for MySQL -Flexible Server Memory-Optimized service」改名為Business Critical tier。</p> <p>分析工具方面，<a href="https://devblogs.microsoft.com/microsoft365dev/combining-microsoft-graph-data-connect-data-sets-in-azure-synapse-analytics/" target="_blank">微軟強調Azure上才有的Microsoft Graph Data Connect可將Microsoft 365資料安全匯出</a>，並利用Azure Synapse pipeline將2種資料集合併在一起。此外。Power BI新增資料超市（datamart）付費自助服務，現以預覽版提供。</p> <p>資料治理服務產品線Purview則推出Dynamic Lineage for Azure SQL Databases，可協助Purview Data Map，強化混合雲或多雲環境中資料治理，現為預覽版，微軟表示未來幾個月內還會推出Purview Data Estate Insights。最後，Azure Machine Learning也預覽了負責任式AI（Responsible AI）儀表板，協助機器學習模型的debug工作。</p> </div></div></div>
2022/5/25 13:15作者林妍溱https://www.ithome.com.tw/news/151112
微軟開放規格達要求的PC下載Windows 11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2" target="_blank">微軟宣布進一步開放更多使用者下載Windows 11</a>，只要PC達到規格要求就可以下載安裝。</p> <p>微軟Windows網站指出，Windows 11現已「被指定進行廣泛部署」，暗示將開放更多用戶透過Windows Update下載安裝。微軟告知，Windows 10用戶現在可利用PC Health Check App或是檢查Windows 11的電腦規格要求，判斷自己的裝置是否可下載安裝。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/147075" target="_blank">Windows 11已經釋出將近7個月</a>，微軟今年下半就將釋出Windows 11的功能更新。Home、Pro、Pro for Workstation、Pro Education版本將提供24個月技術支援，Enterprise和Education版則提供36個月支援。</p> <p>但除了硬體規格外，用戶PC上的作業系統必須是Windows 10 2004版以後，且裝置未被微軟實施Security Holds。所謂Security Holds是指微軟透過診斷資料來判斷PC狀態是否已準備好安裝功能更新。經微軟判斷還不及格並實施Security Holds時就會延後更新，並導致Windows更新失敗。</p> <p>不過在擴大部署的同時，微軟仍持續忙著解決Windows 11大小問題。微軟說明，已解決的問題包括<a href="https://www.ithome.com.tw/news/151025" target="_blank">本月Patch Tuesday引發多種服務驗證失敗</a>、未連網Windows PC進入安全模式後出現螢幕閃爍，影響使用檔案管理員、開始選單及工作列的元件、以及在搭載某些GPU的PC上，使用Direct3D的App會運作不穩等狀況。但其他狀況，如使用某些.NET Framework 3.5，如 WCF（Windows Communication Foundation）及WWF（Windows Workflow）的App無法開啟的問題目前只獲得緩解。</p> </div></div></div>
2022/5/25 09:58作者林妍溱https://www.ithome.com.tw/news/151110
波函式塌縮與函數式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果有一張圖片作為範本，我們想基於其中的結構，使之擴展、成為更大張的圖片，這個過程稱為<a href="https://bit.ly/3K57bRq" target="_blank">Texture synthesis</a>，此時，可以將這類演算擴展用於遊戲或3D建模，創造隨機的世界或模型，就像先前專欄〈<a href="https://www.ithome.com.tw/voice/138571" target="_blank">理解波函數塌縮演算</a>〉談過的波函數塌縮，就是一個可行的方案，而我就曾經在OpenSCAD實現了波函數塌縮。</p> <p>不過，最初的實現版本只是堪用而己，效能頗為不彰，只是算個20乘20大小的拼接，就必須花上40幾秒，我不禁一直執著於尋找更好的實現方式。而執著的原因在於，OpenSCAD具有函數式典範，波函式塌縮需要持續地塌縮盤面，在不可變動特性與需要頻繁變動之間，若我們以命令式角度來看，兩者存在著很大的衝突。</p> <p><span style="font-size:28px;"><strong>變動與不變的衝突？</strong></span></p> <p>最基本的衝突情境就是，20乘20就有400個位置，每個位置又有多個候選的拼接磚，成立三維的立體資料結構；塌縮改變了某位置的狀態，也改變了整個盤面的狀態；接著，傳播又要改變多個位置的狀態，也就要多次改變盤面的狀態。</p> <p>就命令式而言，這不成問題，指定索引更新資料就好，然而，就函數式而言，狀態改變意謂著重組相關資料，這可是大問題！</p> <p>改變思考的方式是必要的，現今開發者應該對一些從命令式轉換為函數式的思維有點認識，先前專欄〈<a href="https://www.ithome.com.tw/voice/116153" target="_blank">在不變中求變</a>〉談過一些，我近來又整理了一些<a href="https://bit.ly/3v1Dfl5" target="_blank">函數式模式</a>，從這些角度來切入，確實是有些幫助，大致上少了10秒左右的時間吧！</p> <p>然而，算個20乘20拼接還要花上30幾秒，我仍然覺得不滿意，表面看來，這是效能的問題，不過，後來發現我想探究的問題有兩個：效能瓶頸真的是來自於函數式典範的不可變動特性嗎？演算法本身真的就要頻繁地變動狀態嗎？</p> <p>我需要畫清界線，但這個界線不是指函數式中純粹與不純粹的界線，而是要釐清哪些問題來自於演算法，哪些問題來自函數式！</p> <p>想畫出這道界線的第一步，就是讓程式碼更為清晰，在進入效能最佳化階段之前，先持續進行重構，關於這部分的做法與效益，我在先前專欄〈<a href="https://www.ithome.com.tw/voice/150903" target="_blank">重構與效能</a>〉曾經提過。</p> <p><span style="font-size:28px;"><strong>演算法的調整</strong></span></p> <p>確實地，在重構過程中，我找到了很多不合理或重複的運算。在命令式典範中，因為可以直接改變資料的狀態，所以，在資料量不大的情況下，這類運算的成本或許能夠忽略；不過，在函數式的實作時會被放大，在重複使用一些運算成果後，執行的時間確實有少一些。</p> <p>這是屬於演算法（實作時）的問題，就波函式塌縮而言，確實有不少狀態、權重或熵值的重複計算；不過，還有個關鍵的地方，那就是：如何尋找「塌縮」與「傳播」的位置。在重構之前的程式碼裡，我並沒有發現一件事：自己每次都是在400格的盤面上，尋找這些位置。</p> <p>對於「塌縮」，其實，在每一代的塌縮前，都會確認是否整個盤面都完成塌縮，反過來想，這就是在尋找哪些位置沒有完成塌縮，所以，在下一代塌縮時，我們只要針對這些位置去搜尋就可以了，如此一來，每代塌縮位置的搜尋集合就會越來越小；對於「傳播」，只要鄰居的候選磚數量只有一個，根本就不用進行傳播處理。</p> <p>說穿了，這就是分支修剪的概念，而且，確實又成功地減少了執行的時間，同時表示在命令式的世界裡，如果採取類似的方式，應該也能對效能有很大的改進。</p> <p>下一個待調整目標是搜尋，因為波函式塌縮有許多情境（狀態、權重或熵值）都要進行搜尋，搜尋牽涉到資料結構，我嘗試過使用陣列，並在排序後二元搜尋，效能沒有明顯改進，後來嘗試使用字典進行雜湊搜尋，以空間換時間的方式確實奏效，執行需要的時間縮減到20幾秒左右。</p> <p>然而，在一次偶發的奇想裡，我試著使用原生的search函式取代雜湊搜尋，執行時間降至10幾秒！這點令我訝異，仔細想想，建立字典或雜湊碼計算需要成本，二元搜尋的比較與事先的排序也需要成本，然而我的實作中，每次要搜尋的資料量不多，以至於這些成本掩蓋了效益，search函式搜尋雖然是線性，然而在資料量不大又是原生函式的情況下，反而有更好的表現。</p> <p><span style="font-size:28px;"><strong>函數式的策略</strong></span></p> <p>不可否認地，函數式有些計算，確實會造成負擔，遞迴就是其中之一，遞迴堆疊需要成本，而且有遞迴上限的問題。</p> <p>在OpenSCAD如果想要避免這類問題，方式之一，是<a href="https://bit.ly/3v2DvAm" target="_blank">實現尾遞迴（tail recursion）</a>，因為OpenSCAD支援可以將簡單的尾遞迴形式展開為迭代的作法。</p> <p>不過尾遞迴的實現，不會是天下掉下來直接有的，這意謂著要將函式拆分為更小的任務，才能看出哪邊構成了尾遞迴的模式，也就是說，需要先退出效能最佳化階段，對每個遞迴函式進行更細部的重構。</p> <p>在這個過程中，會發現到一件事實，有些任務根本就不必使用遞迴，使用list comprehension就可以了！在重構之前，只是因為摻雜過多任務而看不出來，在具有list comprehension的其他語言（例如Python），應該也可以善用這種方式來改進程式的可讀性與效能。</p> <p>在某位置的狀態塌縮處理上，原本是要收集某些不相容的狀態，然後從該位置刪除那些狀態；現在可以轉變為另一個角度思考，只收集相容的拼接磚，作為該位置的拼接磚集合就可以了。</p> <p>當然，最終盤面狀態還是需要進行更新，然而，函數式不可變動特性的另一面就是：未變動的資料可以重用，這就涉及了資料結構，以及狀態的切分與重組。</p> <p>以二維陣列來說，我們可以將資料切分為逐列（row），如果更新的是x行（column）、y列的資料，實際上，只要針對y列更新，其他未變動的列可以直接參考重用。</p> <p>這其實是函數式的優點之一，可共用資料結構，例如樹狀結構，在比對狀態之後，若某個子樹並沒有變動，整個子樹拿來用就可以了，在前端有些函數式典範框架中虛擬DOM的方案，就是以類似概念作為出發點。</p> <p><span style="font-size:28px;"><strong>用一年縮短40秒</strong></span></p> <p>經過了一番調整，實際上效果如何呢？最初原本40幾秒才能完成的運算，降至8秒左右！還能不能再降呢？確實還存在著可調整的地方，只是這與波函式塌縮作者提倡的塌縮位置選擇策略有關了，作者是基於最小熵，經過實測，最小熵位置的運算有其成本，就我的建模需求而言，只要找尋最少候選拼接數量的位置就可以了，現在只要2秒多，就可以完成運算了。</p> <p>從初次實作到目前的版本，我花費了一年多，將運算時間縮短了40幾秒！不過，這一年多持續調整實作、在函數式不變特性中，去尋找求變的過程，我們可以思考許多策略，無論是在演算法，或者是在函數式，不管行得通或行不通，都讓我得到了許多的啟發。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%B3%A2%E5%87%BD%E6%95%B8%E5%A1%8C%E7%B8%AE">波函數塌縮</a></div><div class="field-item even"><a href="/tags/openscad">OpenSCAD</a></div></div></div>
2022/5/25 07:00作者林信良https://www.ithome.com.tw/voice/151016
GitLab 15.0來了！向所有使用者提供容器掃描功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺GitLab發布了主要版本更新<a href="https://about.gitlab.com/releases/2022/05/22/gitlab-15-0-released/">GitLab 15.0</a>，該開發團隊在該平臺持續加入更多的DevOps功能，強化了可觀察性和持續安全性功能，協助用戶程式碼開發和協作，並且安全地交付軟體。</p> <p>官方預計在後續<a href="https://about.gitlab.com/press/releases/2022-05-23-gitlab-15-the-one-devops-platform.html">GitLab 15</a>次要版本更新中，陸續加入一系列新功能，使得企業可以縮短從程式碼到生產階段的交付周期，降低錯誤頻率和嚴重性，讓開發團隊更頻繁地部署，減少意外事件後的恢復時間，並對企業工作流程自動化和資料科學工作負載，有更全面的支援。</p> <p>GitLab 15.0重要更新包括Wiki的WYSIWYG Markdown編輯器，編輯器現在支援超過100種的程式語言，從程式碼區塊上方的下拉選單，便可以選擇對應的語言，來突出顯示CSS、YAML和Python等程式碼，減少無樣式的程式碼區塊出現，用戶也可以將程式碼區塊快速複製到剪貼簿中，在其他程式碼編輯器重複使用。</p> <p>用戶在WYSIWYG Markdown編輯器，能夠更方便地處理連結和媒體，過去用戶需要於編輯工具欄中選擇工具，才能更改Wiki頁面上選定的連結和圖像，而現在編輯操作更加容易，當選取連結或附圖時，下方便會出現選單，供用戶編輯連結，或是複製圖像到剪貼簿，甚至在頁面中刪除連結和圖像。</p> <p>在GitLab 15.0中，進階搜尋現在與OpenSearch相容，在之前的版本，進階搜尋功能不相容於開源的Elasticsearch分叉OpenSearch，因此當用戶使用AWS託管服務，必須使用舊版的Elasticsearch，但在更新之後，Advanced Search已經完全可搭配OpenSearch使用。</p> <p>另外，在GitLab 14.10或是更早之前的版本，團隊僅支援一組迭代，而這使得同一團隊中的不同組別，難以自主計畫和追蹤迭代之間的問題，而GitLab 15.0改進了這個問題，官方增加團隊管理並行迭代的能力，不同組別在其迭代節奏中，皆可控制每次迭代的起始和持續時間。</p> <p>GitLab也持續向下開放更多功能給各層級使用者，在GitLab 15.0中，現在每一層級的使用者，都能用到基本容器掃描功能。容器掃描可協助開發人員，更簡單地發現所安裝的容器映像檔中，存在的已知安全漏洞。</p> <p>官方也提到，GitLab 15也將支援ModelOps使用案例，允許資料科學和相關團隊緊密合作。ModelOps相關功能包括資料操作，使用戶能夠擷取、載入和轉換資料，並且簡單地將資料連接到GitLab工作管線。機器學習操作方面，簡化了機器學習模型的開發和部署，使用戶能夠試驗、訓練、測試，並將模型部署到生產中。</p> <p>GitLab 15會讓用戶能夠監控生產中的機器學習模型，了解其運作狀況，並且對資料、程式碼和模型版本，提供可追溯性功能，包括整合資料保護、機器學習程式碼安全性與模型版本控制，增加用戶在機器學習上的法遵、存取控制和協作能力。</p> </div></div></div>
2022/5/25 00:41作者李建興https://www.ithome.com.tw/news/151102
AWS正式推出採用Graviton3處理器的C7g執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在去年re:Invent大會中，公開<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-c7g-instances-powered-by-aws-graviton3-processors/">C7g執行個體</a>的消息，現在已經結束預覽階段，正式推出供用戶選用。C7g執行個體的C代表其用途針對計算（Compute）密集工作負載，7是第7代的意思，g則是指該執行個體使用AWS Graviton處理器。</p> <p>C7g執行個體使用AWS自家設計，最新的Graviton3處理器，該處理器使用更先進的DDR5記憶體技術，比起上一代多了25％的運算效能，浮點數計算效能也提高，將近是前一代的2倍，Graviton3的機器學習運算能力也受到強化，支援bfloat16浮點數格式，為Graviton2效能的3倍。</p> <p>Graviton3處理器的安全性也更高，除了總是啟用記憶體加密外，每個vCPU也有專用的快取，並且也支援指標身份驗證功能，防止惡意程式竄改記憶體堆疊內容。而且在與相同效能的EC2執行個體相比，Graviton3可減少60％的能源，使得企業用戶能夠進一步減少碳足跡。</p> <p>C7g執行個體底層採用AWS Nitro系統，擁有8種規格可供選擇，最高可擁有64個vCPU，支援高達128 GiB的記憶體，30 Gbps的網路效能和20 Gbps的Amazon EBS效能配置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201234%20-%20New%20%E2%80%93%20Amazon%20EC2%20C7g%20Instances%2C%20Powered%20by%20AWS%20Graviton3%20Processors%20_%20-%20aws_amazon_com(1).jpg" style="width: 580px; height: 411px;" /></p> <p>C7g執行個體能夠被廣泛地用於計算密集的工作負載，包括應用程式伺服器、高效能運算、電子設計自動化、媒體編碼，或是以CPU為基礎的機器學習推理。同時也非常適合用於執行基於Linux的工作負載，包括以EKS、ECS、Kubernetes和Docker所建構的微服務應用程式，並且執行主流程式語言像是C/C++、Rust、Go、Java、Python、.NET Core、Node.js和PHP。</p> <p>目前C7g先在美東N. Virginia和美西Oregon兩AWS地區提供，之後會逐漸在各地區上線。</p> </div></div></div>
2022/5/25 00:49作者李建興https://www.ithome.com.tw/news/151103
【資安日報】2022年5月24日，駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上資安人員的攻擊行動，去年有不少是利用相關職缺為誘餌，讓受害者上當，而使得電腦被植入惡意軟體，但近期出現了新的手法──有人假借提供概念性驗證程式的名義，實際上卻是在散布意程式。</p> <p>在烏克蘭戰爭中，俄羅斯駭客Sandworm屢次攻擊烏克蘭的關鍵基礎設施，從初期使用資料破壞軟體（Wiper）從事破壞行動，到後來企圖控制變電所開關，影響該國的電力供應。最近研究人員指出，在攻擊的過程裡，這些駭客同時利用了惡意軟體投放器（Malware Dropper），使得行蹤不易被發現。</p> <p>思科對於旗下路由器作業系統軟體IOS XR，在5月20日修補漏洞CVE-2022-20821，雖然這項漏洞嚴重程度為中等，但由於5月已經出現攻擊行動，一旦駭客加以利用，還是很有可能對企業網路造成危害。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/"><span style="color: rgb(0, 0, 0);">別以為概念性驗證程式不會對電腦造成危害！有駭客用來散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png" style="width: 300px; float: right;" /></a>駭客針對資安人員出手的情況，在去年已有數起事故，而最近有人假借漏洞利用展示來發動攻擊。資安業者Cyble指出，有人針對微軟今年4月修補的重大漏洞CVE-2022-26809（CVSS風險層級9.8分）、CVE-2022-24500（CVSS風險層級8.8分），在GitHub上發布假的概念性驗證程式（PoC），這些軟體並未含有惡意程式碼，而可能得以逃過防毒軟體的偵測。</p> <p>一旦研究人員執行這些「概念性驗證程式」，電腦上就會出現假的訊息，宣稱正在利用漏洞並執行Shell Code，但實際上該軟體卻是在背景執行PowerShell命令，並傳送惡意酬載，下載Cobalt Strike的Beacon，展開進一步的攻擊行動。GitHub獲報後已將上述的惡意軟體下架。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/05/20/sandworm-ukraine-new-version-arguepatch-malware-loader/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm利用惡意軟體Arguepatch變種，投放作案工具</span></a></strong></h3> <p>日前俄羅斯駭客Sandworm曾利用資料破壞軟體CaddyWiper、操弄工控系統的惡意軟體Industroyer2，對烏克蘭的關鍵基礎設施（CI）下手，但這些駭客在投放上述攻擊工具的過程中，也透過惡意軟體投放器（Malware Dropper）來減少被察覺的機會。資安業者ESET指出，他們與烏克蘭電臘緊急應變小組（CERT-UA）聯手，發現新的惡意軟體ArguePatch變種，駭客透過ESET的可執行檔案來隱匿ArguePatch的行蹤，將這個變種惡意軟體用來投放上述的CaddyWiper、Industroyer2等作案工具，研究人員指出，有別於過往出現的ArguePatch，新的變種不再使用Windows工作排程器安排下一階段的攻擊行動，而使得相關蹤跡更難被察覺。 </p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/turla-new-phishing-campaign-eastern-europe/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla對愛沙尼亞、奧地利進行偵察</span></a></strong></h3> <p>先前Google的威脅情報小組（TAG）於3月下旬提出警告，俄羅斯駭客開始鎖定烏克蘭週邊的東歐與北約國家下手，進行網路釣魚與惡意軟體攻擊，這樣的情況延續到5月，有資安業者提出進一步分析。資安業者Sekoia於5月23日指出，他們根據TAG提及的俄羅斯駭客攻擊行動裡，所使用駭客組織Turla的基礎設施進行調查，結果發現，這些駭客鎖定的對象，是位於波羅的海的軍校Baltic Defence College（BALTDEFCOL），以及奧地利聯邦經濟商會Wirtschaftskammer Österreich（WKO）。</p> <p>前者是位於愛沙尼亞的軍事學院，由愛沙尼亞、拉脫維亞，以及立陶宛共同經營，是波羅的海的戰略研究中心，且經常舉辦北約與歐洲官員的會議；後者是在烏克蘭戰爭中保持中立的奧地利組織。研究人員認為，駭客攻擊軍校的目的，很可能是為了要打聽這些歐洲國家接下來打算採取的行動；而針對奧地利聯邦經濟商會的部分，則疑似是探聽奧地利組織對於俄羅斯的看法。</p> <p>再者，前述提及Turla用於攻擊行動的網域裡，存在名為War Bulletin 19.00 CET 27.04.docx的惡意Word檔案，該檔案內嵌了PNG圖檔，但沒有網釣攻擊裡會出現的惡意程式碼或是巨集，研究人員認為，攻擊者主要的工作很可能在於偵察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/anonymous-declares-war-on-killnet/"><span style="color: rgb(0, 0, 0);">駭客組織匿名者攻陷俄羅斯組織Killnet</span></a></strong></h3> <p>俄羅斯駭客組織Killnet自5月初開始，針對義大利多次發動網路攻擊，癱瘓該國政府機關的網站，現在有聲援烏克蘭的駭客開始對該組織出手。根據資安新聞網站Infosecurity Magazine的報導，駭客組織匿名者（Anonymous）於22日宣稱，他們將對Killnet發起網路攻擊，接下來就讓對方的網站Killnet.ru離線。這是該組織在3月上旬聲稱竊得俄羅斯聯邦機構逾36份機密檔案後，他們再度公布攻擊俄羅斯的相關行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/linux-mirai-malware-double-on-stronger-chips/"><span style="color: rgb(0, 0, 0);">鎖定Linux主機的殭屍網路病毒Mirai變種顯著增加</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png" style="width: 300px; float: right;" /></a>駭客在Log4Shell漏洞細節被公布後，針對Linux主機的攻擊行動也顯著增加。資安業者CrowdStrike指出，他們觀察到殭屍網路病毒Mirai的變種，在2022年第1季較去年同期顯著增加，而且是對於不同處理器架構的裝置都是如此。值得一提的是，研究人員指出，雖然針對Linux作業系統的Mirai殭屍網路病毒變種，多半仍是Arm架構設備而來，但論及變種數量增加的幅度，能在x86架構運作的病毒成長幅度最多，較同期增加101%，其中，又以針對32位元x86設備的變種病毒多了120%，而64位元版本x86病毒也增加57％。</p> <p>研究人員認為，有越來越多駭客偏好針對x86處理器架構的設備，原因很可能是製作與維護惡意軟體所需的心力較少，而且攻擊範圍還能從物聯網設備擴及x86伺服器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-redis-ABJyE5xK"><span style="color: rgb(0, 0, 0);">思科修補的IOS XR路由器作業系統軟體零時差漏洞，已出現攻擊行動</span></a></strong></h3> <p id="Zyxel">思科於5月20日發布資安通告，指出他們修補了已遭利用的路由器作業系統軟體IOS XR漏洞CVE-2022-20821，攻擊者一旦利用這項漏洞，就可能在未經身分驗證的情況下，遠端存取NOSi Docker容器裡執行的Redis實例。該公司指出，這項漏洞與軟體運作狀態的健康監控機制裡，預設會開放TCP的6379埠有關，從而讓攻擊者能用來連線Redis實例，甚至將任意檔案寫入容器檔案系統，並瀏覽Redis資料庫的內容。</p> <p>針對上述漏洞的影響範圍，該廠牌8000系列的路由器，並部署及啟用上述提及的軟體狀態監控機制，就有可能曝露於這項漏洞的風險當中。由於該公司的產品資安事件應變小組（PSIRT）在本月發現相關攻擊行動，他們呼籲用戶要儘速安裝新版軟體，或是採取緩解措施因應。</p> <h3><strong style="font-size: 22px;"><a href="https://news.softpedia.com/news/mozilla-releases-firefox-100-0-2-with-critical-security-fixes-535426.shtml"><span style="color: rgb(0, 0, 0);">Mozilla修補瀏覽器與收信軟體重大漏洞</span></a></strong></h3> <p id="Zyxel">Mozilla於5月20日發布資安通報，該公司近期修補了電腦版、行動裝置版Firefox瀏覽器，以及收信軟體Thunderbird的兩個重大漏洞CVE-2022-1802、CVE-2022-1529，與Top-Level Await實作的原型鏈污染（Prototype Pollution）有關，一旦攻擊者利用這些漏洞，就有可能藉由上述軟體執行惡意JavaScript指令碼。</p> <p>雖然該公司僅指出這些漏洞為重大層級，並未列出CVSS評分，但根據IT業者紅帽的資安通告，兩個漏洞的危險程度都達到8.8分。Mozilla發布電腦版瀏覽器Firefox 100.0.2、ESR 91.9.1、收信軟體Thunderbird 91.9.1，以及安卓版本Firefox 100.3，並呼籲用戶應儘速安裝新版軟體。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/24 18:03作者周峻佑https://www.ithome.com.tw/news/151105
駭客釋出惡意Windows概念性驗證攻擊程式，企圖感染資安社群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/?utm_ss=szQyNDAzMTE1BAA&utm_ss_social=1" target="_blank">資安業者Cyble近日警告</a>，他們在網路上發現針對微軟安全漏洞的概念性驗證攻擊程式，但實則為惡意程式網路，資安社群一旦不慎安裝，就會被植入後門程式。</p> <p>遭到駭客利用的兩個安全漏洞都是微軟於今年4月修補的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-24500" target="_blank">CVE-2022-24500</a>與<a href="https://www.ithome.com.tw/news/150440" target="_blank">CVE-2022-26809</a>，前者為Windows SMB的遠端執行漏洞，後者則是遠端程序呼叫（Remote Procedure Call，RPC）Runtime漏洞，亦允許駭客自遠端執行任意程式。</p> <p>然而，有一名代號為rkxxz的開發者，將針對這兩個漏洞的概念性驗證攻擊程式上傳到GitHub上，資安工程師Tuan Anh Nguyen在安裝了其中的CVE-2022-26809攻擊程式之後，<a href="https://twitter.com/haxor31337/status/1527182890869530624?s=20&t=DXYztU2EQgqQlS9PRFMDzg" target="_blank">發現他在自己的系統上引進了後門</a>。</p> <p class="rtecenter"><a href="https://twitter.com/haxor31337/status/1527182890869530624?s=20&t=DXYztU2EQgqQlS9PRFMDzg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Malware%20Campaign%20Targets%20InfoSec%20Community-600.png" style="width: 574px;" /></a></p> <p>Cyble指出，偽造的CVE-2022-24500攻擊程式並未含有任何攻擊程式碼，只是出現一個假訊息顯示它企圖開採並執行Shellcode，卻背地裡執行PowerShell指令以遞送真正的酬載，接著下載了Cobalt-Strike Beacon，以用來展開其它的惡意行為。</p> <p>總之，不管是假冒的CVE-2022-24500或CVE-2022-26809攻擊程式，都是用來吸引資安社群的誘餌，因為資安人員經常使用這類的概念性驗證程式來檢查漏洞，使得Cyble呼籲該社群的使用者最好在下載任何概念性驗證程式之前，先確認來源的可信度。</p> <p>目前不管是rkxxz的帳號或相關概念性驗證攻擊程式都已被GitHub下架。</p> </div></div></div>
2022/5/24 14:24作者陳曉莉https://www.ithome.com.tw/news/151093
英特爾設立伺服器浸沒式冷卻實驗室、將在臺灣提出首個參考架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推動資料中心浸沒式冷卻技術開發，<a href="https://www.intel.com/content/www/us/en/newsroom/news/key-investments-advance-data-center-sustainability.html" target="_blank">英特爾近日宣布投資7億美元設立Mega Lab</a>，同時將推動浸沒式冷卻方案的參考架構開源計畫，從臺灣開始推向全球。</p> <p>這座Mega Lab位於美國奧勒岡州Hillsboro市的英特爾Jones Farm園區，佔地20萬平方英呎（約5620坪），預計2023年下半開幕運作，旨在研發浸沒式冷卻、用水效率及熱氣回收及再利用。這座實驗室也將用於測試英特爾資料中心產品，包括Xeon、Optane、網路介面卡和交換器設備、Agilex FPGA、Xe架構、Habana加速器及正在研發中的產品。此外，該實驗室也會設立進階技術展示供客戶和合作夥伴參觀，或在實驗室內的資料中心環境測試英特爾產品。</p> <p><a href="https://www.ithome.com.tw/news/148907" target="_blank">英特爾今年初宣布與GRC（Green Revolution Cooling）合作開發採用Xeon Scalable處理器的浸沒式冷卻技術</a>，2018年則是和Submer合作。</p> <p>除了推進浸沒式冷卻技術的研發，英特爾也宣布號稱首個開放智財（Open IP）浸沒式液冷解決方案和參考架構。該公司說，open IP的參考設計將會是容易部署、擴充簡單的開放整合式冷卻方案，可協助夥伴回應資料中心功率愈來愈密集時代下，企業對能源效率需求。</p> <p>英特爾表示，第一個概念驗證設計將會由英特爾臺灣，以及臺灣合作夥伴推出，之後這個open IP計畫再階段性推向全球。</p> <p>至於何時會見到首個參考架構，英特爾並沒有說明。對於開發中的浸沒式冷卻方案，<a href="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2022-05/newsroom-immersion-cooling.jpg.rendition.intel.web.1072.603.jpg" target="_blank">英特爾也只提供了一張浸沒槽的照片</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Intel%20Data%20Center%20Cooling-600.jpg" style="width: 296px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>英特爾預定的參考架構和開放運算專案（Open Compute Project，OCP）或許會有重疊之處。成員包括ARM、IBM、Google、微軟、Dell和HP、緯穎的OCP下也有一專注液式冷卻技術的工作小組。事實上英特爾自己也是OCP成員之一。</p> </div></div></div>
2022/5/24 14:43作者林妍溱https://www.ithome.com.tw/news/151094
美國上訴法院阻止了佛州對社交媒體的禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144612" target="_blank">美國佛羅里達州州長Ron DeSantis在去年的5月簽署了Senate Bill 7072法案</a>，要求大型科技業者必須維護當地民眾存取相關平臺的能力，同時禁止相關平臺封鎖政治候選人，不過，美國聯邦第十一巡迴上訴法院在本周宣判，包括社交平臺在內的大型科技業者同樣受到《美國憲法第一修正案》的保護，不應受到Senate Bill 7072的限制。</p> <p>根據Senate Bill 7072的規定，大型科技平臺必須平等對待所有的州民，在實行內容審核時必須基於一致的政策且透明化，否則人們有權可以控告它們，還能請求損害賠償；此外，相關平臺不得封鎖佛州的任何政治候選人，也不得移除新聞媒體的內容。</p> <p>這使得網路貿易推動組織NetChoice與美國計算機與通信工業協會（Computer and Communications Industry Association，CCIA）告上法院，指責Senate Bill 7072違反《美國憲法第一修正案》，美國地方法院先釋出了初步禁令，禁止佛州實施Senate Bill 7072，接著上訴法院也支持地方法院的立場。</p> <p>上訴法院認為，縱使在制定憲法之際沒人能想像Facebook、Twitter或YouTube等社交平臺的存在，但有關言論與新聞自由的原則不應在新媒體出現時而有所不同。</p> <p>不過，同樣是企圖限制社交媒體，同樣是由NetChoice與CCIA提出抗議，但德州迄今的所得到的結果卻不太一樣。</p> <p>德州州長Greg Abbott是在2021年9月簽署了Bill 20法案，打算禁止大型社交網站過度審核用戶的言論；NetChoice與CCIA一樣向法院提出告訴，結果<a href="https://www.ithome.com.tw/news/150894" target="_blank">美國上訴法院今年5月卻裁決德州可合法實施Bill 20</a>。</p> <p>在上訴法院針對Bill 20的裁決結果出爐之後，<a href="https://www.ithome.com.tw/news/150933" target="_blank">代表Google、Meta及Twitter等大型科技公司的遊說團體即向最高法院大法官Samuel Alito聲請緊急動議（Emergency Stay）</a>，希望由最高法院推翻上訴法院的決定。</p> <p><a href="https://www.protocol.com/bulletins/florida-social-media-law-block" target="_blank">美國科技媒體《Protocol》分析</a>，德州與佛州各自針對社交平臺所祭出的法令是類似的，卻於上訴法院得到分歧的結果，而這可能促使最高法院扮演最終的裁決角色，決定社交平臺能否適用於《第一修正案》。</p> </div></div></div>
2022/5/24 14:58作者陳曉莉https://www.ithome.com.tw/news/151096
Nvidia發表Grace伺服器參考設計，明年上半年產品問世；液冷式A100 GPU亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia去年揭露旗下首款資料中心CPU，採用Arm架構的Grace CPU後，在今年Computex上發表了Grace伺服器參考設計，將聯合多家伺服器品牌及代工業者，在明年上半年推出採用Grace的運算系統。此外，還推出液冷式A100 GPU，將液冷技術推向主流GPU市場。</p> <p>去年GTC，Nvidia擴大資料中心布局，揭露將發展CPU、GPU、DPU三種運算技術的戰略，以擴大對支援愈來愈多人工智慧應用的新型態資料中心布局，除了GPU與DPU之外，在CPU方面受外界注目的是，Nvidia首款資料中心CPU，採用Arm架構設計的Grace，強調專為超大規模AI及高效能運算所設計，可帶來TB級的資料處理量。</p> <p>Grace支援第4代NVLink互連技術，讓CPU與GPU間可以每秒900GB的速度互連，並支援LPDDR5X記憶體，帶來更高的容量、頻寬及能源效率。官方稱，配備Grace CPU的DGX，和現今的DGX相比提升5倍效能。</p> <p>今年Computex電腦展，Nvidia揭露更多Grace CPU資訊。Grace將包括兩種產品規格，兩種規格設計均支援Nvidia的軟體堆疊及平臺，包括Nvidia AI和Omniverse。一種是專為大規模人工智慧及高效能運算設計的Grace-Hopper的CPU與GPU規格，以NVLink-C2C作為CPU與GPU間的快速互連，每秒可達900GB的速度；另一種規格是Grace CPU Superchip，以NVLink-C2C互連兩顆Grace CPU，提供144個Arm v9核心與每秒1TB的記憶體頻寬，鎖定高效能及雲端運算。</p> <p>同時，該公司也公布4種伺服器系統的參考設計，CGX、OVX、HGX(Grace)及全新的HGX，針對單路、兩路、4路不同的系統設計，分別對應雲端繪圖及遊戲、Digital Twins及Omniverse、高效能運算、AI訓練推論及高效能運算。</p> <p>前三種參考設計採用Grace CPU Superchip，搭配A16或Nvidia GPU，以及Bluefield-3，第四種的HGX參考設計則採用Grace-Hopper Superchip規格，搭配Bluefield-3，以及OEM自定的I/O或是第4代NVLink互連技術。</p> <p>Nvidia表示，目前已有多家伺服器業者計畫推出產品，包括華碩、富士康工業互連網、技嘉、雲達、緯穎、Supermicro，準在2023年上半年推出數十款伺服器。 Nvidia將繼續在伺服器投入X86與Arm架構伺服器，提供企業不同的選擇。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>推出液冷式GPU</strong></span></span></p> <p>趕上全球節能減碳的趨勢，資料中心節能成為企業的減碳淨零的目標之一，Nvidia也發表液體冷卻的Nvidia A100 PCIe GPU，為主流GPU中首款液冷產品。Nvidia表示，液冷將是Nvidia GPU加速運算發展的下一步，其AI推論和高效能運算效能比CPU提升20 倍。Nvidia目前已開始提供樣品給客戶，預計在今年夏天上市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%80_NVIDIA%20%E6%8E%A8%E5%87%BA%E6%B6%B2%E9%AB%94%E5%86%B7%E5%8D%BB%E5%BC%8F%20GPU.jpg" style="width: 600px; height: 338px;" /></p> <p>Nvidia已和資料中心業者Equinix合作測試液冷GPU產品，並表示和傳統氣冷技術相比，使用液冷技術可減少約3成的能源消耗，進而降低資料中心的PUE值，預估可達到1.15，低於採用氣冷技術資料中心的平均1.6。另外，由於液冷式的Nvidia A100只使用1個PCIe插槽，代表能提供更高的密度。</p> <p>包括華碩、永擎電子、富士康工業互聯網、技嘉、英業達、雲達、Supermicro等業者，計畫推出Nvidia液冷式GPU。</p> <p>A100之後，Nvidia透露明年液冷技術將擴大至採用Hopper架構的H100 Tensor核心GPU。未來也會擴展至高效能運算資料中心的GPU及HGX平臺。</p> <p> </p> </div></div></div>
2022/5/24 15:00作者蘇文彬https://www.ithome.com.tw/news/151095
eBay踩進NFT市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/ebay-launches-first-collection-of-nfts-in-partnership-with-green-web3-company-oneof-301551975.html" target="_blank">全球線上拍賣市集eBay在23日宣布</a>，將與標榜綠色NFT平臺的OneOf合作，推出Genesis系列的獨家NFT收藏品。</p> <p>Genesis系列將針對美國體育雜誌《運動畫刊》（Sports Illustrated）最近這幾年躍上封面的風雲人物推出各種NFT產品，包括3D或動畫作品，<a href="https://www.ebay.com/e/sports-fan-shop/wayne-gretzky-oneof-nft" target="_blank">首位即為加拿大冰上曲棍球傳奇人物Wayne Gretzky</a>。每個NFT的價格為10美元，皆含有Gretzky冰上英姿的3D渲染或動畫畫面，而且直至今年底，OneOf都會在eBay上銷售運動明星的NFT。</p> <p>OneOf標榜是個基於多個節能區塊鏈的NFT平臺，宣稱在該平臺上鑄造一個NFT所使用的電力，是工作量證明區塊鏈網路的兩百萬分之一，而且購買NFT完全不需要支付礦工費，目標是吸引全球1億名使用者進入Web3的世界，並允許使用者以加密貨幣、簽帳卡或信用卡付帳。</p> </div></div></div>
2022/5/24 15:05作者陳曉莉https://www.ithome.com.tw/news/151097
微軟Bing Autofill會過濾政治敏感詞彙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://citizenlab.ca/2022/05/bada-bing-bada-boom-microsoft-bings-chinese-political-censorship-autosuggestions-north-america/" target="_blank">研究人員分析微軟Bing Autofill功能設定</a>，發現不論是中、英文搜尋或在哪個地區時，都會跳過包括習近平、劉曉波等政治敏感詞彙。</p> <p>設於加拿大多倫多的公民實驗室（Citizen Lab）分析Bing對特定人名關鍵字的言論審查，發現Autofill會依據Bing的語言版本、地區不同，封鎖特定類別的名字，其中和政治活動有關的名字，像是政黨領導人物、異議人士等，和情色類名字同列為被Autofill過濾的兩大類關鍵字。</p> <p>研究人員從英、中版Wikipedia中挑選查詢次數超過1,000次的人名，包括近10萬個英文名及7,000多個中文名，輸入Bing搜尋服務檢視是否會顯示在Autofill建議關鍵字中，地區分別設定為中國、美國及加拿大。</p> <p>研究發現，不論地區設定，被過濾的英語人名最大宗是和情色有關的，例如情色產業工作者（桃乃木香奈 Kana Momonogi）、或本身是私密照片曝光事件的受害者。中文人名則以不意外地過濾了政治人物（習近平、溫家寶）、共產黨歷史人物（李大釗，中國共產黨創黨者之一）、或政治醜聞主角（周永康、張高麗）名字。</p> <p>但是研究人員指出，一些政治敏感詞，如「習近平Xi Jinpin」、「坦克人 Tank Man」、「劉曉波Liu XiaoBo」等高度敏感的政治人物名字，不論英文或中文、或是區域設定，都不會出現在Autofill建議選單中。</p> <p>研究人員也發現，Bing的中文自動建議（autosuggestion），不但出現在公開網頁搜尋，也會反映在Windows內建的Bing搜尋，以及使用Bing自動建議資料的DuckDuckGo。有趣的是由於Bing 對一些身體部位名稱的過濾，害得一些人物如美國46任副總統錢尼（Dick Cheney）和其他叫做「Dick」的人名也遭殃了。</p> <p><a href="https://www.theregister.com/2022/05/20/citizen_lab_microsoft_bing_report/" target="_blank">微軟對The Register 指出</a>，並無所謂「審查」，自動建議的關鍵詞是依據用戶過去查詢使用而產出的建議，沒在自動建議名稱並不表示被封鎖，至於小部份人經歷到某些關鍵詞未出現，該公司已經修正了組態相關的技術疏失，也感謝公民實驗室發現這問題。</p> </div></div></div>
2022/5/24 13:03作者林妍溱https://www.ithome.com.tw/news/151092
博通將以逾500億美元買下VMware，最快本周宣布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.wsj.com/articles/broadcom-discussing-paying-around-140-a-share-for-vmware-people-say-11653334946?mod=djemalertNEWS" target="_blank">華爾街日報</a>》（The Wall Street Journal，WSJ）與<a href="https://www.ft.com/content/b0978baf-cb16-4603-8019-a2a802c8e7e6" target="_blank">金融時報</a>（Financial Times，FT）本周相繼引述消息來源報導，晶片製造商博通（Broadcom）即將買下軟體業者VMware，FT宣稱此一交易超過500億美元，WSJ則說價格落在600億美元左右，雙方最快將於本周宣布。</p> <p>博通習於透過併購來擴大該公司的業務規模，而且近年將收購目標轉向軟體企業，<a href="https://www.ithome.com.tw/news/132339" target="_blank">2019年時以107億美元買下了賽門鐵克（Symantec）的企業安全部門</a>，現在又對雲端運算暨虛擬化技術業者VMware產生興趣。消息傳出後，VMware周一（5/23）股價大漲24.78%，以119.43美元作收，也讓VMware的市值直接衝上500億美元。</p> <p>根據WSJ的報導，博通所提出的收購價格落在600億美元左右，將以股票及現金來支付，每股價格約為140美元。不過，WSJ也說最終收購價格可能仍有變動。</p> <p>報導指出雙方可能會在本周四（5/26）公布此事，而這也是VMware準備公布首季財報的日子。</p> </div></div></div>
2022/5/24 12:18作者陳曉莉https://www.ithome.com.tw/news/151091
美、南韓合作對抗北韓網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/21/united-states-republic-of-korea-leaders-joint-statement/" target="_blank">美國與南韓上周發表合作經濟與安全同盟</a>，包含將合作對抗北韓的網路攻擊。</p> <p>美國總統拜登（Joe Biden）近日在亞洲之行中抵達南韓，並和南韓新上任總統尹錫悅展開會談，會後則連袂發表經濟與安全同盟，強化合作以對抗北韓威脅。除了擴大軍事訓練及操演外，也將提升對北韓威脅活動的辨識及因應措施，以對抗各種來自北韓的各種網路威脅，包括國家支持的網路攻擊。</p> <p>拜登和尹錫悅表示會深化美、韓區域及國際網路安全政策合作，包括擊退網路攻擊者、確保關鍵基礎架構的網路安全、打擊網路犯罪及相關的洗錢、強化加密貨幣及區塊鏈應用、擴增容量、網路操演、資訊共享、網路安全的軍事協同及其他網路國際安全事務合作。</p> <p>北韓駭客組織，包括Lazarus、Hidden Cobra、Stonefly等長期攻擊其他國家政府、政府外包商、能源及基礎架構網路、研究機構，是美國政府的眼中釘，一般相信獲得北韓政府支持。</p> <p><a href="https://www.ithome.com.tw/news/133050" target="_blank">2019年美國財政部</a>針對北韓的三大駭客組織：Lazarus Group、Bluenoroff與Andariel展開制裁，指稱它們鎖定重大的基礎架構發動網路攻擊。<a href="https://www.ithome.com.tw/news/141880" target="_blank">去年又控告</a>該共產國家駭入疫苗研發及運送供應鏈，還有3名北韓駭客被控是「全球頭號銀行搶劫犯」。<a href="https://www.ithome.com.tw/news/150497" target="_blank">今年美國政府相信</a>北韓駭客將矛頭轉向加密貨幣平臺及區塊鏈，包括Lazarus竊走Ronin Network超過6億美元，或是<a href="https://www.ithome.com.tw/news/150980" target="_blank">派有IT技能的間諜滲透進全球企業以竊取機密</a>。</p> <p>除了軍事安全合作外，美韓也將強化「科技供應鏈」合作，計畫運用三星電子為主的半導體產業能量，確保晶片及電池等科技元件的供應。雙方也承諾AI、5G/6G及量子運算技術的研發共同投資。</p> </div></div></div>
2022/5/24 10:53作者林妍溱https://www.ithome.com.tw/news/151087
英國對Clearview AI開罰750萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國資料保護組織Information Commissioner's Office（ICO）在2020年針對人臉辨識業者Clearview AI擅自蒐集該國民眾人臉資料展開調查，去年底認定Clearview AI違反英國資料及隱私法令，打算判罰1,700萬英鎊（2,300萬美元），<a href="https://ico-newsroom.prgloo.com/news/ico-fines-facial-recognition-database-company-clearview-ai-inc-more-than-gbp-7-5m-and-orders-uk-data-to-be-deleted" target="_blank">本周作出最終判決，將罰款降至750萬英鎊</a>。</p> <p>此外，ICO也已發布執行通知，要求Clearview AI不得再自公開網路取得英國民眾的個資，也不得使用這些個資，同時必須從系統上刪除所有英國民眾的資料。</p> <p>ICO指出，Clearview AI迄今已自公開網路或社交媒體平臺上，蒐集超過200億張的全球人臉資料與個人資訊，而且從未知會這些被蒐集資料的民眾，接著還提供服務以讓客戶能夠上傳人們的照片以與資料庫進行比對，此外，就算Clearview AI已經退出英國市場，但其含有英國民眾個資的資料庫仍持續供其它國家的客戶使用。</p> <p>Clearview AI的多項行為都違反了英國的資料保護法令，包括未取得民眾同意且缺乏合法理由即蒐集個資，沒有適當的程序來避免資料永久被留存，以及沒能符合生物辨識資料的較高資料保護標準。</p> <p>不僅是英國，Clearview AI也在今年5月與美國伊利諾州和解，<a href="https://www.ithome.com.tw/news/150846" target="_blank">同意不再提供服務予美國的私人企業或個人</a>。</p> </div></div></div>
2022/5/24 11:07作者陳曉莉https://www.ithome.com.tw/news/151088
Firefox桌機、手機版更新修補2個可致惡意JavaScript執行的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2022-19/" target="_blank">Mozilla上周釋出安全更新公告</a>，以修補桌機、手機版瀏覽器及郵件軟體Thunderbird中2個可執行惡意JavaScript重大風險漏洞。</p> <p>兩個漏洞中，CVE-2022-1802為Top-Level Await實作中的原型鏈污染（prototype pollution）漏洞。如果攻擊者可透過原型鏈污染破壞JavaScript中Array物件的方法（methods），就能取得權限執行程式碼。CVE-2022-1529則允許攻擊者傳送方法訊息到主行程查詢JavaScript物件索引，導到原型鏈污染，結果是攻擊者控制的JavaScript可以在具權限的主行程中執行。</p> <p>2項漏洞都是由趨勢科技的Zero Day Initiative研究人員發現。Mozilla將之列為「重大」風險，並未提供詳細的風險值，但Red Hat安全公司將<a href="https://access.redhat.com/security/cve/cve-2022-1802" target="_blank">CVE-2022-1802</a> 及<a href="https://access.redhat.com/security/cve/cve-2022-1529" target="_blank">CVE-2022-1529</a> 皆列為8.8。</p> <p>2項漏洞影響產品包括Firefox桌機、Android版及ESR版瀏覽器，以及Thunderbird郵件軟體。Mozilla已釋出Firefox 100.0.2、Firefox ESR 91.9.1、Firefox for Android 100.3及Thunderbird 91.9.1修補，並呼籲用戶儘速安裝。</p> </div></div></div>
2022/5/24 10:08作者林妍溱https://www.ithome.com.tw/news/151086
【資安日報】2022年5月23日，臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymaf…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，有一則消息，引起了我們的注意，臺灣資安業者在5月10日至13日舉行的黑帽大會上，揭露中國駭客組織開發的木馬程式Pangolin8RAT。依據中國駭客組織之間會互通有無，再加上該木馬程式背景相當複雜，開發過程疑似有APT41參與，研究人員推測很有可能成為日後中國駭客組織大肆利用的攻擊工具。</p> <p>軟體供應鏈攻擊的事故，現在也從NPM蔓延到其他平臺。資安業者近期發現有人上架名為pymafka的惡意PyPI套件，開發人員若是不慎安裝，電腦將會被植入滲透測試工具Cobalt Strike的Beacon。</p> <p>隨著烏克蘭戰爭的進行，俄羅斯駭客發動網路攻擊的對象，已經從烏克蘭擴散到全球。近期最新的攻擊事故，是義大利傳出50個政府機關網站遭到了俄羅斯駭客Killnet發動DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.blackhat.com/asia-22/briefings/schedule/#the-next-gen-plugxshadowpad-a-dive-into-the-emerging-china-nexus-modular-trojan-pangolinrat-25950"><span style="color: rgb(0, 0, 0);">臺灣資安業者TeamT5於黑帽大會上揭露新的中國木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png" style="width: 300px; float: right;" /></a>中國國家級駭客經常會使用PlugX、ShadowPad等惡意軟體，進行各式網路攻擊，但最近兩年這些駭客疑似製作新的攻擊工具，而有可能使得組織難以透過現有的威脅情資來察覺遭到攻擊。杜浦數位安全（TeamT5）於今年的黑帽大會亞洲場（Black Hat Asia）上，揭露他們從2020年發現的模組化木馬程式Pangolin8RAT，這個木馬程式的特性之一，在於早期版本就支援8種網路通訊協定，駭客亦可藉由C2指令下載DLL程式庫來擴充其功能，很有可能接續PlugX、ShadowPad，成為未來多個中國駭客組織運用的下一代作案工具。</p> <p>研究人員將使用此木馬程式的駭客組織稱為天吳（Tianwu），該組織於2020至2021年行動，鎖定臺灣、菲律賓、哈薩克等國，針對網路賭博業、電信業、政府機關、交通運輸行業出手。根據Pangolin8RAT的程式碼，以及攻擊者所採用的戰術、技巧，以及步驟（TTP），還有偏好鎖定博奕產業的特性，研究人員認為，該組織很有可能與惡名昭彰的APT41（該公司稱為Amoeba）有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/pro-russian-hackers-italy/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Killnet攻擊義大利政府多個機關的網站</span></a></strong></h3> <p>多個國家於4月下旬提出警告，俄羅斯駭客不再完全集中火力攻擊烏克蘭，而是<a href="https://www.ithome.com.tw/news/150572#CI">打算報復曾經援助烏克蘭的國家，攻擊他們的關鍵基礎設施（CI）</a>，這樣的情況如今真實上演。根據資安新聞網站Infosecurity Magazine的報導指出，義大利警方於5月20日表示，俄羅斯駭客組織Killnet約於當地時間19日晚間8時發動攻擊，導致約50個政府機關的網站無法運作，這些受害的單位包含了義大利最高司法委員會、外交部、教育部等，且攻擊行動到20日下午仍在進行。</p> <p>但此起網路攻擊事故已非Killnet第一次對該國下手──<a href="https://www.reuters.com/world/europe/pro-russian-hackers-target-italy-defence-ministry-senate-websites-ansa-news-2022-05-11/">該組織曾於11日宣稱</a>對義大利參議院、上議院、國家健康研究所（ISS）等政府機關的網站發動攻擊，癱瘓這些網站運作；<a href="https://www.reuters.com/world/europe/italian-police-prevents-pro-russian-hacker-attacks-during-eurovision-contest-2022-05-15/">義大利警方於5月15日宣布</a>，他們於10日成功攔截該組織對歐洲歌唱大賽的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/new-pymafka-malicious-package-drops-cobalt-strike-on-macos-windows-linux"><span style="color: rgb(0, 0, 0);">惡意PyPI套件pymafka對Windows、macOS、Linux電腦下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png" style="width: 300px; float: right;" /></a>駭客上架惡意開發套件的情況，過往大多針對NPM而來，但現在也有人開始對於PyPI套件庫下手。資安業者Sonatye於5月17日發現，PyPI套件庫裡出現了名為pymafka的惡意Python套件，疑似假冒知名的Apache Kafka用戶端Python套件「PyKafka」來讓受害者上當。上述兩個套件的名稱拼字幾乎相同，開發者若是不慎下載及部署惡意套件，Python指令碼setup.py會先偵測受害電腦的作業系統，並下載Windows、macOS、Linux等作業系統對應的木馬程式，其功能是滲透測試工具Cobalt Strike的Beacon。</p> <p>其中，研究人員在受害的Windows電腦上，看到駭客將Cobalt Strike的Beacon投放於電腦使用者共用的資料夾（C:\Users\Public\），並將檔案名稱命名為iexplorer.exe（註：較IE的執行檔檔名多一個r），然後藉此檔案下載了win.exe並與位於中國的IP位址連線。</p> <p>該公司亦將檔案上傳至惡意軟體分析平臺VirusTotal，結果在61款防毒引擎裡僅有20個視為無害。研究人員認為，開發人員要留意下達安裝的指令是否正確，並搭配相關檢測工具來防堵這類威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/discontinued-the-end-of-conti-s-brand-marks-new-chapter-for-cybercrime-landscape"><span style="color: rgb(0, 0, 0);">勒索軟體Conti停止營運，駭客成立多個組織，另起爐灶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png" style="width: 300px; float: right;" /></a>先前有資安人員發現，勒索軟體Black Besta可能就是Conti東山再起，現在有資安業者揭露更多跡象。威脅情報業者Advanced Intelligence（AdvIntel）指出，駭客於5月19日終止使用勒索軟體Conti的品牌，僅留下羞辱受害者的部落格Conti News，但該組織提供駭客上傳要脅受害者資料，以及讓受害者付款的相關功能皆以失效。</p> <p>研究人員發現，有別於先前其他駭客組織直接淡出網路犯罪生態圈，Conti背後的駭客已是早有預謀──這些駭客因烏克蘭戰爭開打時表態聲援俄羅斯，導致歐美國家封殺他們收取贓款的管道，該組織領導者就已經策畫要分散成多個較小的組織，包含KaraKurt、BlackByte、Black Basta等，來掩人耳目，但這些駭客在移轉的同時，也試圖讓外界認為Conti仍在運作。</p> <p>首先，是該組織以排程的方式，持續公布從受害組織竊得的資料，再者，這些駭客策畫了一場大型攻擊行動來引起外界關注，那就是針對哥斯大黎加於4月中旬的事故──外傳駭客向該國政府索討1千萬美元贖金，一個月後更提高價碼到2千萬美元。但根據研究人員的追蹤後發現，該組織高層的目的並非贖金，而是要讓外界眾所周知Conti的存在，且根據成員的對話記錄，駭客向對方提出的贖金遠低於百萬美元；此外，該組織亦相當罕見地在對外聲明裡加入政治論點（例如，在提高贖金時指控美國是地球的癌症）。而他們這麼做的目的，就是讓關鍵成員轉換到其他組織之後，不致直接遭到執法單位圍剿。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/pdf-malware-is-not-yet-dead/"><span style="color: rgb(0, 0, 0);">攻擊者利用PDF檔案散布惡意程式Snake Keylogger</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png" style="width: 200px; float: right;" /></a>駭客濫用PDF檔案發動攻擊的情況，雖沒有Office巨集檔案氾濫，但使用者仍不能掉以輕心，因為有人同時結合PDF檔案和Office巨集文件檔案出手。HP旗下的威脅情報團隊發現散布竊密軟體的攻擊行動，駭客近期利用名為匯款發票的名義，透過釣魚郵件挾帶有問題的PDF檔案，一旦收信人開啟，Adobe Reader就會要求載入一個DOCX檔案，駭客刻意將該文件檔名命名為「已經通過驗證」開頭，而使得對話框內容看起來像是「這個檔案已經通過驗證」，讓對方降低戒心依照指示開啟檔案並啟用巨集。</p> <p>一旦巨集啟用後，DOCX檔案就會下載RTF檔案，進而利用方程式編輯器已知漏洞CVE-2017-11882，在受害電腦部署Shell Code，最終下載竊密軟體Snake Keylogger。研究人員指出，駭客在攻擊行動中利用了4年前被公布的漏洞，代表上述漏洞仍能有效發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/protecting-android-users-from-0-day-attacks/"><span style="color: rgb(0, 0, 0);">網路間諜公司在2021年利用5個零時差漏洞對安卓手機植入惡意軟體</span></a></strong></h3> <p>間諜軟體Pegasus被植入iPhone手機，用於跟蹤政要、記者、民運人士的情況不時有消息傳出，但也有其他間諜軟體鎖定安卓手機下手的情況。根據Google的威脅情報小組（TAG）的統計，網路間諜公司Cytrox於2021年至少運用了5個安卓作業系統的零時差漏洞，其中有4個與Chrome有關（CVE-2021-37973、CVE-2021-37976、CVE-2021-38000、CVE-2021-38003），目的就是為了在受害人的手機植入間諜程式Predator。</p> <p>研究人員指出，這家網路間諜公司的客戶很可能在埃及、亞美尼亞、希臘、馬達加斯加、西班牙等國家。值得留意的是，該公司在零時差漏洞之外，也看上安卓生態圈部署更新檔案的時間落差，運用了尚待手機廠商推送修補程式的已知漏洞（N day）。研究人員正積極跟蹤逾30家專門向政府出售相關漏洞的供應商。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/5/18/pwn2own-vancouver-2022-the-results"><span style="color: rgb(0, 0, 0);">漏洞挖掘競賽Pwn2Own溫哥華賽事落幕，參賽者找出Windows 11、Ubuntu、特斯拉汽車漏洞</span></a></strong></h3> <p id="Zyxel"><a href="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own 2022 Vancouver於5月18日至20日，在加拿大溫哥華舉行，此賽事正逢Pwn2Own邁入第15週年。本次共有17個隊伍參賽，總共有21個攻擊目標，Zero Day Initiative（ZDI）總共發出了115.5萬美元的獎金，並由Star Labs團隊以27點的成績得到最高分，抱走抓漏大師（Master of Pwn）的殊榮。</p> <p>在這3天的賽程裡，最引起關注的是每一天都有參賽者成功攻陷Windows 11作業系統，總共找出6個漏洞。其次，則是微軟的Teams、Ubuntu桌面版本、特斯拉Model 3，以及Firefox與Safari瀏覽器都遭到破解。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/147240"><span style="color: rgb(0, 0, 0);">美國允諾不會控告從事資安研究的白帽駭客</span></a></strong></h3> <p id="Zyxel">資安威脅加劇，政府與企業往往需要藉由白帽駭客協助，找出軟體的資安漏洞，但這些人士遭到相關廠商或單位控告的情況屢見不鮮，例如，有記者在去年10月，<a href="https://www.ithome.com.tw/news/148740#DESE">通報密蘇里州中小學教育網站DESE曝露教職員個資</a>，卻傳出該州州長認為記者入侵網站而打算起訴。<a href="https://www.ithome.com.tw/news/147240">自去年零時差立法專案（Zero Day Legislative Project）提出呼籲，政府應修改過時法律保護白帽駭客</a>，最近美國政府終於釋出善意。<a href="https://www.justice.gov/opa/pr/department-justice-announces-new-policy-charging-cases-under-computer-fraud-and-abuse-act">美國司法部於5月19日表示</a>，針對自1986年施行的電腦詐欺與濫用法（CFAA），他們將修改實施的政策，不會依據相關法令控告善意進行研究的資安人員。</p> <p>但這項消息一出，多個非營利組織與新聞媒體認為，新政策對相關研究人士的保護仍然不足。例如，電子前線基金會（EFF）指出，新政策很可能因明文列出無罪行為，造成更多不在範圍的資安研究、揭露遭到起訴；ZDNet分析新政策內容認為，美國司法部列出的範圍與時下電腦安全研究相差甚遠；TechCrunch表示，該單位沒有將相關做法納入法律而是只有調整政策，很可能日後生變。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/23 16:51作者周峻佑https://www.ithome.com.tw/news/151068
研究人員警告小心夾帶惡意Word檔的PDF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HP旗下專門提供端點安全防護解決方案的HP Wolf Security，<a href="https://threatresearch.ext.hp.com/pdf-malware-is-not-yet-dead/#" target="_blank">在本周揭露了一個罕見的攻擊行動</a>，駭客以電子郵件寄送一個PDF文件，於文件中嵌入惡意的Word檔案，並開採<a href="https://www.ithome.com.tw/news/118298" target="_blank">微軟已於2017年修補的Office漏洞CVE-2017-11882</a>，以於受害者系統上安裝鍵盤側錄工具Snake Keylogger。</p> <p>HP Wolf Security惡意程式分析師Patrick Schläpfer指出，在過去的10年來，駭客一向偏愛以微軟Office檔案格式來包裝惡意程式，特別是Word與Excel，在今年第一季時，該團隊所攔截的惡意程式中，就有接近一半採用Office格式。這不僅是因為使用者熟悉相關檔案格式，也因為用來開啟這些檔案的程式很普及，再加上它們很適合作為社交工程的誘餌。</p> <p>不過，該團隊卻在今年初發現一個不尋常的感染鏈，以PDF文件作為感染途徑，再透過嵌入惡意檔案、自遠方載入攻擊程式，以及加密的Shellcode等方式來躲避偵測。</p> <p>當使用者開啟此一名為Remmitance Invoice的PDF文件時，Adobe Reader會提醒使用者開啟一個.docx的Word檔，同時宣稱該檔案已經驗證，引誘使用者開啟，倘若使用者啟用了巨集功能，它即會自遠端下載一個富文本（Rich Text Format，RTF）檔案，內含特製的物件連結與嵌入（Object Linking and Embedding，OLE）物件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-HP%20Wolf%20Security-%E2%80%A2%20PDF%20Malware-CVE-2017-11882-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-HP%20Wolf%20Security-%E2%80%A2%20PDF%20Malware-CVE-2017-11882-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／HP Wolf Security</span></span></p> <p>研究人員分析了OLE物件之後，發現它含有企圖開採CVE-2017-11882漏洞且加密的Shellcode。</p> <p>微軟於2017年修補的CVE-2017-11882位於Equation Editor工具中，它是Office的預設工具，可於文件中插入及編輯方程式，在微軟修補的當下，該漏洞存在的時間即已長達17年。</p> <p>總之，駭客開採CVE-2017-11882的目的是為了植入鍵盤側錄工具Snake Keylogger。Schläpfer則說，微軟於4年前修補的漏洞現在還持續遭到開採，代表它仍然是個有利用價值的漏洞。</p> </div></div></div>
2022/5/23 16:56作者陳曉莉https://www.ithome.com.tw/news/151069
聯發科推首款5G毫米波產品，第三季終端產品亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯發科持續擴大5G產品布局，推出該公司首款5G mmWave毫米波平臺天璣1050，可支援毫米波與Sub-6GHz頻段，第三季將會有採用該晶片的終端裝置上市。</p> <p>今年Computex電腦展第一天，不畏國內疫情的影響，聯發科今天舉辦大型活動，展示該公司旗下多項產品，在5G產品布局上，聯發科去年底推出天璣9000旗艦級，以及定位在次旗艦的8100與8000晶片，搶攻高階5G手機市場，聯發科指出，其中天璣9000從今年第一季開始，陸續有業者推出採用該晶片的高階手機，未來將看到更多搭載該晶片的手機上市。至於今年第一季推出的8000系列，採用該晶片的機型將會於中國、歐洲、印度、東南亞等地區銷售。</p> <p>其中較受注目的是，聯發科首款毫米波產品天璣1050終於亮相，為首款支援5G毫米波頻段平臺，將聯發科5G產品擴大至毫米波頻段市場，還也支援市場上較主流的Sub-6GHz頻段，使其可支援目前5G的全頻段。</p> <p>新平臺採用台積電6奈米製程，內建8核心CPU，包含兩個達2.5GHz的Cortex-A78大核心，以及Arm GPU Mali-G610。5G數據機功能部分，支援5G毫米波與Sub-6GHz的雙連接及無縫切換，其中毫米波頻段支援4載波聚合，以提高5G網速。</p> <p>目前全球5G毫米波頻段服務市場，主要以北美為主，因此聯發科預期，天璣1050將會在下半年量產，並獲得北美地區的客戶採用。</p> <p>儘管目前5G毫米波市場發展較早的是北美市場，但其他地區，例如臺灣也釋出毫米波頻段作為5G使用，作為5G垂直場域應用的頻段，因此未來不只是北美，尚有其他國家地區市場發展潛力。</p> <p>除了5G產品布局，聯發科也發表Wi-Fi 7產品，Filogic 880及Filogic 380，其中Filogic 880用於無線路由器或閘道器，支援4x4 MIMO，速度可達36Gbps，而Filogic 380則用於終端裝置，如手機、平板電腦、筆電、電視、機上盒等，網速可達6.5Gbps。</p> <p>聯發科表示，該公司自Wi-Fi 7標準推出以來積極參與研發，Wi-Fi 7象徵Wi-Fi發展史首次有可取代寬頻有線、乙太網路技術，未來能作為家用、商用、工業網路的核心網路能力，刺激多人AR/VR、雲端遊戲、4K視訊或8K串流播放等應用。</p> <div> </div> </div></div></div>
2022/5/23 17:12作者蘇文彬https://www.ithome.com.tw/news/151070
Google：Cytrox開採5個零時差漏洞以植入Predator間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/protecting-android-users-from-0-day-attacks/" target="_blank">Google安全分析小組（Threat Analysis Group，TAG）本周公布了5個遭到以色列資安業者Cytrox開採的安全漏洞</a>，用以植入Predator間諜程式，並藉此展開3波的攻擊行動。</p> <p>TAG隸屬於Google Zero專案（Project Zero），負責追蹤涉及不實資訊活動、政府支撐的駭客行動，以及基於財務動機的威脅組織，在2021年時總計發現了9個零時差漏洞，<a href="https://www.ithome.com.tw/news/145701" target="_blank">去年公布了其中4個的細節</a>，本周再接再厲公布了另外5個，而它們全都遭到Cytrox利用。</p> <p>Cytrox所開發的5個零時差漏洞分別是位於Chrome瀏覽器中的CVE-2021-37973、CVE-2021-37976、CVE-2021-38000與CVE-2021-38003，以及出現在Android的CVE-2021-1048，Cytrox創造了開採上述漏洞的攻擊程式，並鎖定Android用戶展開攻擊以植入Predator間諜程式。</p> <p>根據CitizenLab的評估，向Cytrox購買相關攻擊程式的國家包括埃及、亞美尼亞、希臘、馬達加斯加、象牙海岸、塞爾維亞、西班牙與印尼等。且為了讓Predator進駐受害者手機，除了利用零時差漏洞之外，Cytrox也藉由修補空窗期，輔以已知漏洞的攻擊程式來提高成功率，讓更多缺乏先進技術的各國政府得以擴大其監控能力。</p> <p>值得注意的是，在TAG去年發現的9個零時差漏洞中，就有7個是由Cytrox這類所謂的資安傭兵所開採，而且光是TAG目前正在追蹤的資安傭兵就超過30家。</p> <p>其中，第一次攻擊發生在去年8月，只利用了CVE-2021-38000漏洞，隔月的攻擊串連了CVE-2021-37973與CVE-2021-37976漏洞，第三次攻擊出現在10月，串連CVE-2021-38003及CVE-2021-1048漏洞。</p> <p>在利用這5個零時差漏洞所發動的3次攻擊中，其手法是雷同的，都是透過電子郵件遞送模仿短網址的一次性連結予Android用戶，且3次攻擊所針對的目標用戶都只有數十位，一旦使用者點選了連結，在連至合法網站之前，就會先被導至駭客所擁有的網域以植入開採程式。</p> <p>這3次的攻擊行動都是先遞送Android惡意程式Alien，再由Alien載入間諜程式Predator，後者可用來錄製裝置上的聲音、添加CA憑證及藏匿程式等。</p> </div></div></div>
2022/5/23 13:46作者陳曉莉https://www.ithome.com.tw/news/151066
南韓對UST與Luna展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據南韓媒體的報導，首爾檢察官辦公室的金融證券犯罪聯合調查組已開始針對Terra USD（UST）及Luna等加密貨幣的崩盤展開調查，調查對象包括打造Terra區塊鏈專案的Terraform Labs，以及Terraform Labs的共同創辦人暨執行長Do Kwon。</p> <p>Kwon與Daniel Shin是在2019年於南韓創立Terraform Labs，打造Terra演算法穩定幣生態體系，主要透過其姐妹幣Luna來維持與各種法幣的錨定，迄今已發行支援18種法幣的Terra，最普及的是與美元掛鉤的UST。Terraform Labs還在今年1月於新加坡成立非營利的Luna Foundation Guard，以中立的角色維護Terra生態體系。</p> <p>然而，<a href="https://www.ithome.com.tw/news/150911" target="_blank">UST與Luna在5月中旬大崩盤</a>，市值下滑超過99%，原本應與美元掛鉤的UST目前的價格只有0.0685美元，用來平衡UST、崩盤之前還有60美元的Luna，現在則只剩0.000199美元。區塊鏈分析業者 Elliptic曾估計，UST與Luna幣用戶在5月中旬的一周內就損失了420億美元。</p> <p><a href="https://www.donga.com/news/article/all/20220520/113504879/2" target="_blank">南韓《東亞日報》報導</a>，促使當地檢察官辦公室展開調查的是5名提出訴訟的加密貨幣投資人，他們在這波崩盤中損失了14.3億韓元（約113萬美元）。此外，有鑑於Terraform Labs創立於南韓，因此當地大約有28萬名Luna投資人，所投入的資金總計為700億韓元（約5,510萬美元）。</p> <p><a href="https://www.yna.co.kr/view/AKR20220520065500004" target="_blank">《韓國聯合通訊社》</a>則引用控方律師LKB & Partners的說法指出，Terraform Labs在設計與發行UST時，已經知道它含有設計漏洞與演算法缺陷，但不僅未於專案白皮書中呈現，還無限擴大Luna的發行量，無疑是詐欺行為。</p> </div></div></div>
2022/5/23 12:38作者陳曉莉https://www.ithome.com.tw/news/151063
Windows 11測試新版Windows Subsystem for Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/05/20/update-to-windows-subsystem-for-android-on-windows-11/" target="_blank">微軟周末釋出Windows Subsystem for Android 12.1版測試版</a>，預設關閉遙感資料（telemetry）的蒐集，強化Android App和連網攝影機或喇叭的互動、Windows將可顯示Android App存取電腦麥克風或相機，以及新增其他功能。</p> <p>最新Windows Subsystem for Android 12.1包含在Windows預覽版version 2204.40000.15.0，透過Dev頻道釋出給Insider用戶。Windows Subsystem for Android 12.1最大特色是預設關閉的遙感資料，後者主要是用於偵測Android App使用狀況的診斷設定。欲啟用者，應透過設定App開啟該功能</p> <p>最新Windows Subsystem for Android也全新設計了設定App，更清楚的設定群組、導覽功能分群顯示、加入子系統診斷資料的viewer、相容設定有新的組態功能如關閉App調整大小等。</p> <p>此外，Windows Subsystem for Android 也強化Android Apps和Windows的整合。Windows工作列會顯示哪些Android App存取麥克風、位置和其他系統服務，而Android App執行時工具列會自動隱藏／顯示。此外，Android Toast將會以Windows通知顯示，Android App的Windows title也會顯示Android activity title。當系統從待機模式醒來時，Android App不會重新執行，而會接續之前狀態執行。</p> <p>其他功能包括進階網路功能，強化Android App和Windows PC同一網路內的裝置的網路連線，以便連結連網喇叭或網路攝影機；改善Android App的相機功能，例如以相機指向固定為自然指向（natural orientation）、修正相機畫面黑邊及壓扁（letterboxing/squishing）和相機預覽不正確的問題；以及提升Android App對滑鼠滾輪、螢幕鍵盤的支援。</p> <p>Windows 11 的Insider用戶需具備OS Build 22621以上版本，才能安裝測試最新Windows Subsystem for Android。</p> </div></div></div>
2022/5/23 12:56作者林妍溱https://www.ithome.com.tw/news/151064
歐洲央行總裁呼籲應監管加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲央行總裁Christine Lagarde在上周接受荷蘭訪談節目《College Tour》專訪時，毫不客氣地指出，加密貨幣缺乏任何安全支撐，一文不值，因此需要被監管。</p> <p><a href="https://en.ethereumworldnews.com/crypto-is-worth-nothing-and-based-on-nothing-says-ecb-president-lagarde/" target="_blank">根據《以太坊全球新聞》（Ethereum World News）的報導</a>，Lagarde說自己擔心那些不了解加密貨幣風險的人，也擔心那些可能會因此喪失所有加密貨幣資產或對加密貨幣失望的人，因此相信加密貨幣應該被監管。</p> <p>Lagarde毫不遮掩自己對加密貨幣的看法，指出它就是個缺乏任何基礎且一文不值的產品，沒有資產得以作為它的安全支撐。</p> <p>另一方面，Lagarde則對歐洲央行打算發行的數位貨幣充滿信心，她說，當央行發行數位貨幣時，任何數位歐元都會有央行作為後盾，而這與加密貨幣是截然不同的。</p> <p><a href="https://www.ithome.com.tw/news/145661" target="_blank">歐洲央行已於去年7月正式啟動數位歐元專案（Digital Euro Project）</a>，目前正在經歷長達24個月的調查階段，該行預期數位歐元將可降低交易成本，也能促進普惠金融，從Lagarde的發言來看，她對於歐洲央行是否會發行數位貨幣抱持樂觀的看法。</p> </div></div></div>
2022/5/23 13:15作者陳曉莉https://www.ithome.com.tw/news/151065
網路流傳冒名馬斯克推銷加密貨幣詐騙網站的Deepfake影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日網路上流傳冒用馬斯克（Elon Musk）等科技界名人身份的Deepfake影片，以推銷一個加密貨幣交易平臺。</p> <p><a href="https://www.youtube.com/watch?v=0Pf4hrnDjss" target="_blank">這則影片</a>包含一段馬斯克接受訪問宣揚BitVex好處的談話，最後並宣稱每周可為投資人賺進回報率11%的獲利。</p> <p><a href="https://www.bleepingcomputer.com/news/security/elon-musk-deep-fakes-promote-new-cryptocurrency-scam/" target="_blank">但Bleeping Computer報導</a>，這個名為BitVex的加密貨幣交易平臺其實是一個詐騙網站，用戶會需要先註冊才能瀏覽網站內容。除了和其他詐騙網站一樣顯示各種加密貨幣，如Cardano、以太幣、比特幣、瑞波幣（Ripple）、幣安幣（Binance Coin）的提領金額外，還宣稱馬斯克是這個網站的執行長，並且有加密貨幣或投資界名人如幣安執行長趙長鵬、<a href="https://www.youtube.com/watch?v=fJJYyCnutSo" target="_blank">Cathie Wood</a>的影片證言。</p> <p class="rtecenter"><a href="https://vimeo.com/712602130?embedded=true&source=vimeo_logo&owner=52361365" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Deep%20fake%20video%20of%20Elon%20Musk%20promoting%20crypto%20scam%20by%20bleeping%20computer.jpg" style="width: 600px;" /></a></p> <p>事實上，除了馬斯克外，被冒名製作Deepfake YouTube或YouTube Shorts格式影片宣傳BitVex[.]org網站的投資名人，還包括Brad Garlinghouse、Michael Saylor、Charles Hoskinson等。這些影片製作水準不一，以馬斯克的影片而言，影片中人物說話動作相當不自然，連聲音也剪接得不太好，但是其他影片有的就頗為流暢。</p> <p>報導指出，有不少合法YouTube頻道，包括遊戲類別的網站被駭入上傳這些宣傳影片。所幸這些影片沒有太成功，但是該詐騙網站仍然獲得不知情投資人近2,000美元的存款。</p> <p>馬斯克的光環使其成為加密貨幣詐騙的最好工具。2020年包括比爾蓋茲、馬斯克（Elon Musk）、巴菲特等名人的推特（Twitter）帳號也被人駭入張貼加密貨幣的詐騙訊息，讓歹徒成功騙到價值近11萬美元的用戶匯款。比特幣和Dogecoin的身價爆漲也都和馬斯克的加持有關，包括<a href="https://www.ithome.com.tw/news/143447" target="_blank">特斯拉接受比特幣付款</a>，以及<a href="https://www.space.com/spacex-dogecoin-moon-mission" target="_blank">Space X升空任務接受Dogecoin</a>。</p> </div></div></div>
2022/5/23 10:54作者林妍溱https://www.ithome.com.tw/news/151061
Conti關門大吉、化身成數個新勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在肆虐2年後，惡名昭彰的勒索軟體Conti上周悄悄關閉了官網和收贖金的伺服器，宣告關門大吉，只是研究人員發現，操作Conti的駭客又以新身分繼續活動。</p> <p><a href="https://www.advintel.io/post/discontinued-the-end-of-conti-s-brand-marks-new-chapter-for-cybercrime-landscape" target="_blank">資安廠商Advintel上周指出 </a>，Conti勒索軟體背後運作組織在5月19日關閉了官網的管理控制臺，而且歹徒用以上傳新資料、恫嚇受害者付款的主要功能已經失效，此外和受害者交涉、及代管偷來資料的基礎架構也都關掉了。Conti基礎架構的其他部份，像是聊天室、通訊軟體、伺服器及代理主機多半已經過重設。</p> <p>事實上，AdvIntel研究人員發現，Conti組織早從今年4月底就開始顯露撤收的跡象，他們已不太支援勒索行動和收贖金，只留了個網站公佈竊來的資料，直到5月19日把網站公佈資料的功能也關閉，才正式宣告了Conti官網結束運作。</p> <p>目前Conti網站宣傳的功能還是在，實則大大不同。例如雖然在5月20日，「Conti News」網站還上傳了反美的仇恨言論，宣稱美國是「地球之癌」，但是和之前使用的文雅英文不同，現在的文字品質低落，顯示組織首腦已經不再在乎這網站。</p> <p>Conti首先於2020年6月開始活動，受害者遍及美國政府機構、醫療、警消單位，也曾駭入<a href="https://www.ithome.com.tw/news/144469" target="_blank">愛爾蘭健康服務管理署及衛生部</a>、以及宏碁的網路系統。<a href="https://asia.nikkei.com/Spotlight/Society/Russia-based-ransomware-group-behind-attacks-raking-in-77m" target="_blank">日經報導</a>，21個月以來Conti發動的攻擊賺到的贖金高達7,700萬美元。4月Conti還駭入了中美洲小國哥斯大黎加，<a href="https://www.ithome.com.tw/news/150993" target="_blank">2周下來加密該國海關及財政部等27個系統</a>，並威脅再收不到贖金要鼓動示威推翻該國政府。</p> <p>不過研究人員強調，這次關閉的是Conti勒索軟體的「品牌」，並非Conti背後的組織。也就是說，惡意組織並非退出江湖，而是要以新的品牌繼續活動。他們發現，2月到4月之間，Conti已為關閉做準備，悄悄設立了「分部」，並以KaraKurt、BlackByte、BlackBasta等新名稱活動以接收Conti的既有「會員」（affiliates）。這些新勒索軟體可能繼承Conti的加密惡意程式，也可能使用新建的惡意程式。</p> <p>至於何以要關閉Conti網站，研究人員指出，2月底俄羅斯入侵烏克蘭，Conti公開支持俄國以來，歐美國家的封鎖已讓Conti無法收到任何贖金，觸發背後首腦之一reshaev另立品牌的決定。</p> <p>至於哥斯大黎加的勒索行動，研究人員相信是Conti告別江湖前幹的最後一票。</p> </div></div></div>
2022/5/23 09:32作者林妍溱https://www.ithome.com.tw/news/151058
FTC發布政策以避免教學科技侵犯兒童隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>COVID-19疫情迫使許多學生只能在家上課，為了避免應運而生的教學科技侵犯兒童隱私，<a href="https://www.ftc.gov/news-events/news/press-releases/2022/05/ftc-crack-down-companies-illegally-surveil-children-learning-online" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）在19日指出</a>，教學平臺或科技為了讓兒童於網路上完成作業或進行遠端上課，而迫使學校或家長交出兒童的隱私權是違反《兒童線上隱私保護法案》（Children’s Online Privacy Protection Act，COPPA），宣布將致力於保障兒童隱私。</p> <p>FTC表示，在現代的數位經濟趨勢下，兒童必須學會透過科技來學習，也必須使用科技學習，然而，家長與學校卻被迫由商業監控業務模式主導的行業來引導，這類的服務有能力蒐集大量的個人資訊，更令人擔心的是，這些資料可能被用來建立兒童的檔案。</p> <p>FTC坦承，許多數位經濟業者都積極蒐集人們的資料並藉此營利，但教學科技供應商卻必須受到COPPA的規範，該組織將確保這些供應商完全符合規定。</p> <p>相關規定包括不得要求兒童提供參與活動必要資訊以外的個人資訊；就算取得學校授權以蒐集兒童資訊，也不得將相關資訊應用在任何其它商業目的，包括行銷及廣告；存放兒童資訊的時間不得超出該活動的所需時間；業者必須制定程序來保護兒童個資的機密、安全與完整性。</p> <p>FTC也警告，舉凡違反COPPA的業者不僅可能面臨民事處罰，也可能迎來新的要求與限制以阻止它們的非法行為。</p> </div></div></div>
2022/5/23 10:18作者陳曉莉https://www.ithome.com.tw/news/151060
加密貨幣交易平臺度小月：Coinbase撙節支出，FTX US將提供美股交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著加密貨幣的市值持續蒸發，使用者的交易量變少，美國兩大加密貨幣交易平臺Coinbase與FTX US都祭出了相應的措施，其中，Coinbase宣布將放緩招募的腳步，至於FTX US則宣布要新增股票交易平臺FTX Stocks。</p> <p>全球的加密貨幣市值在今年1月大幅縮減了30%，雖然之後有所起色，但3月底時還是創下了自2020年第四季以來的新低。加密貨幣市值的下滑也影響了交易平臺的業務，美國最大加密貨幣交易平臺Coinbase今年第一季虧損了4.3億美元，遠不如去年同期的7.7億美元獲利。</p> <p>於是，Coinbase原本要在今年將公司規模擴大3倍的計畫喊停了。<a href="http://blog.coinbase.com/employee-note-an-update-on-hiring-plans-507ea4e2b6cf" target="_blank">Coinbase營運長Emilie Choi日前（5/17）表示</a>，有鑑於當前的市場狀況，放慢招聘速度，以及根據該公司最優先的業務目標來評估員工的需求，才是謹慎的作法。</p> <p>此外，根據<a href="https://www.theinformation.com/articles/coinbase-memos-detail-cost-cuts-employee-stock-grant-boost" target="_blank">《The Information》</a>的報導，Coinbase也已計畫要削減於AWS與Datadog的支出。</p> <p>另一方面，<a href="https://www.prnewswire.com/news-releases/ftx-us-launches-ftx-stocks-offering-trading-on-us-listed-equities--etfs-301550852.html" target="_blank">美國第二大加密貨幣交易平臺FTX US在19日宣布</a>，將推出免手續費的FTX Stocks美股交易服務，提供數百種美國上市股票與ETF的交易功能，不過初期將僅開放少數美國用戶進行測試。</p> <p>FTX US並未提及加密貨幣的交易現況，其總裁Brett Harrison則說，該平臺的目標是替所有資產類別的客戶提供全面的投資服務，未來客戶將能透過單一的整合且具備直覺介面的平臺交易加密貨幣、NFT及傳統的股票。</p> </div></div></div>
2022/5/23 08:35作者陳曉莉https://www.ithome.com.tw/news/151056
回應用戶呼籲，蘋果承諾擴大支援Final Cut Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應電視、影片製作及YouTuber產業的要求，蘋果上周承諾將改善影片編輯軟體Final Cut Pro的支援及認證、銷售管道。</p> <p>4月底100多名全球電視、影片製作界人士，包括福斯電視製作人、ABC影集《公路殺機Big Sky》及Netflix知名影集《柏捷頓家族：名門韻事Bridgerton》編輯專業人士<a href="https://www.gopetition.com/petitions/support-open-letter-to-tim-cook-about-final-cut-pro.html" target="_blank">連署向蘋果執行長Tim Cook發出公開信</a>，要求蘋果提供Final Cut Pro相關的支援及認證計畫，以便用戶能更容易買到，及獲得支援服務。</p> <p>Final Cut Pro（FCP）是蘋果的影片剪輯軟體，用戶涵括許多YouTuber、教育單位及小型內容製作公司，和Adobe Premiere Pro、訊連科技威力導演（PowerDirector）、Pinnacle Studio、Filmora、Corel VideoStudio等並列最佳的專業影片剪輯軟體。</p> <p>這份公開信指出，FCP有效率也很好用，但是在專業影片及電視製作產業，FCP用戶是少數族群，以致於知名度不足，他們希望蘋果在功能或銷售支援體系有更多投資。</p> <p>這群影片製作人要求蘋果公開推廣FCP及新增影片製作需要的功能。此外他們希望蘋果提供影片產業常用的第三方產品或服務支援及認證計畫。其中，他們希望藉由FCP認證考試以培養具FCP技能的人才。此外，他們也要求更容易取得FCP支援，以及可從現有經銷管道買到FCP，因為唯有如此，大型影片製作公司才會接受FCP為主流工具。</p> <p><a href="https://fcp.co/final-cut-pro/articles/2591-apple-response-to-final-cut-pro-in-tv-and-film-open-letter" target="_blank">蘋果上周透過FCP網站做出回應</a>。因應用戶要求，蘋果承諾將針對專業影片剪輯提供新的訓練產品及授權認證，夏天起由專家團隊提供經常性的諮詢服務，並將針對主要影片及電視製作公司擴大提供Final Cut Pro工作坊。</p> <p>針對新功能的要求，蘋果表示該公司有個10年藍圖，目前已在這個藍圖的收尾階段。該公司說6月的WWDC開發者大會將會公布新增的FCP功能。</p> </div></div></div>
2022/5/23 08:48作者林妍溱https://www.ithome.com.tw/news/151057
【微服務架構弱點，遇上超完整DR計畫盲點，連6年SRE老手都失守】SaaS業界近年最大當機事件追追追
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你用來管理所有開發專案的平臺，企業內部文件的共享知識庫，還有業務、行銷和行政部門合作的專案平臺，突然都當機了，甚至廠商告訴你，要2周後才能修復，這段期間，所有資料都無法存取，也沒有備份版本可用，你會怎麼辦？這正是775家企業在Atlassian四月大當機事件，所遭遇的處境。</p> <p>Atlassian是20歲的澳洲老牌軟體開發商，旗下擁有知名的企業專案管理平臺Jira，企業文件協作平臺Confluence，還有看板協作工具Trello。許多大型企業都採用Jira來管理自家的敏捷開發專案，甚至Atllassian還推出給非技術團隊用的敏捷專案平臺，不少企業用於業務、行銷、商業分析團隊的敏捷管理。</p> <p>根據Atlassian今年3月財報資料，超過75%的財星五百大企業都是他們的企業用戶，全球更有23萬家企業採用，光是用Jira Service Management服務來進行企業內部大型系統開發專案生命周期管理的企業，就超過了4萬家，不少是大型企業，更有178家企業每年授權訂閱費用超過百萬美元，相當於有數千人訂閱授權數的規模，甚至訂閱數最多的一家超大型企業，訂閱了5萬個授權。Atlassian一年光是訂閱費用的營收就超過了13億美元（約臺幣390億元）。</p> <p>國外有不少大型銀行愛用Jira專案管理平臺，臺灣也有多家金控、不少大型製造業、資服業者，採用Jira來管理敏捷開發專案。Atlassian不是企業軟體開發和維運的新手，而是支援數萬家企業各式各樣敏捷專案開發的關鍵廠商。</p> <p>雖然Atlassian沒有公開這次事故受影響的企業名單，只揭露受影響企業家數是775家，但其中有400家是活躍使用的企業。根據國外媒體個別採訪受影響企業的結果，小則有150個授權，大則有訂閱多達4千個授權的企業。根據非官方估算，775家受影響企業下，累積受到衝擊的個人使用者超過了5萬人。這起事件也大大重挫了Atlassian市值，從當機事件到完全復原這2周期間，Atlassian股價足足下滑了近2成，後續到5月下旬仍持續下滑中。</p> <p>因為Jira這一系列產品，Atlassian是企業級SaaS服務的指標業者之一，很早就採用SaaS模式來提供服務，也全面採用AWS公有雲，支援5千多款各式應用服務，早在2015年，Atlassian就開始擁抱SRE，建立了SRE團隊，也發展出一套完整的網站可用性工程和實務做法，甚至作為SRE範本提供給多家企業顧客採用。全面擁抱公有雲同時，Atlassian也搭配建立了一套詳細的災難備援和事故復原計畫，尤其隨時保存了30天的完整顧客資料和異動過程，可以復原到30天內任何一個時刻的資料版本。</p> <p>但是，就算Atlassian擁有十多年SaaS服務的維運經驗，6年SRE經驗，以及雲端業界標準常見的災備和復原計畫，都無法事前發現，及時阻止4月大當機，無法在99.9%服務水準承諾（SLA）承諾的8.76小時內復原，甚至有不少企業遲遲等到14天後，才能打開自己的敏捷專案資料。</p> <p>為何這家雲端服務指標廠商，SRE維運老手，無法避免這次大當機的發生？</p> <p><span style="font-size:28px;"><strong>大當機事件發生過程追追追，一隻刪除程式的誤用而釀災</strong></span></p> <p>回到事件發生當天，4月5日早上（編按：統一採用UTC時間），這一天是Atlassian年度大會Team22的前一天，Atlassian要淘汰一些舊版Ap，在4月5日這一天刪除這些舊版應用的程式。正是這支刪除舊版AP的腳本程式造成了這起當機事故。早在實際執行刪除之前，Atlassian測試過這隻腳本程式沒有問題，甚至在正式環境中試刪除了30個顧客所用的舊版Ap，也沒有發生問題。</p> <p>提出刪除申請的業務團隊，提供了一份目前還在使用這些舊版AP的企業顧客名單，作為腳本程式自動執行刪除的目標清單。但是，關鍵的出錯環節是，他們提供的ID清單，不是直接提供要刪除AP的ID，而是給了這些待刪除AP ID所在的網站ID清單，再告訴執行刪除指令的工程團隊，要刪除這些網站ID中的老舊AP。但是，雙方發生了溝通落差，工程團隊誤以為，這批網站ID就是要刪除的清單，直接套用到刪除腳本程式來執行。到了4月5日，這隻腳本程式刪除的不是舊版AP，而是刪除了那些還在使用舊版AP的企業的全部網站資料。</p> <p><span style="font-size:28px;"><strong>釀災起因：想刪除老舊Ap，為何反而刪除顧客全站資料？</strong></span></p> <p>要了解誤刪的影響，得先知道用AP ID來刪除，和使用網站ID來刪除，有何差別？這得從Atlassiant技術架構說起。</p> <p>Atlassiant所有服務都部署在AWS上，在資料儲存上和服務架構上，都採取了高度分散式架構，以及容易組合再利用的微服務架構，並在雲端基礎架構上來設計了資料管理層和共用的平臺服務層，也透過API串連到許多第三方廠商的應用。所有微服務都布建在AWS的容器化服務上，更搭配了一套PaaS服務，稱為Micros，來提供內部微服務的自動化布建。從共用服務部署、基礎架構資源調度、資料儲存管理、合規性管制都靠這個平臺自動完成。</p> <p>另外在管理架構上，Atlassian採取了多租戶架構，並以網域作為單一用戶的最基本管理單位，這就是網站ID。企業要指定一個網址作為登入Atlassian服務的主要入口網站，也把他們所訂閱的所有Atlassian服務，都登記到這個網址下。Atlassian也稱這個網址是一個網站容器，用來容納屬於這個企業顧客的所有資料、配置和所用的AP。網站ID就是用來識別一家企業的網站容器的代號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E6%8A%80%E8%A1%93%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Atlassian-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Atlassian的技術架構採取了分散式架構，不只在雲端基礎架構採取分散架構來提高可用性，在應用系統層次，也採取了多租戶微服架構設計來兼顧彈性和可用性。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Atlassian</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E4%BF%AE%E8%A3%9C%E6%8C%91%E6%88%B0--%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Atlassian-600.png" style="width: 599px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Atlassian的網站ID（企業顧客網站URL網址）也是一個網站容器，將一家企業的所有資料、配置和所用的AP，都登記到這個網站ID來管理。</strong><span style="font-size: 14px;">圖片來源／Atlassian</span></span></p> <p>Atlassian也用這個網站ID來作為識別一個企業用戶帳號的代號，所有與這家企業有關的資料、表單、帳單，也都用這個網站ID來作為識別客戶的索引，例如企業顧客提出支援工單時，這張工單就會用網站ID作為所屬客戶的代號。</p> <p>當Atlassian業務單位提出了一份要刪除老舊AP的網站ID，希望刪除他們所用的老舊AP。但是負責執行的團隊，誤以為要刪除這一批AP ID所在的網站ID。這就不只是刪除了AP，而是刪除了採用這些AP的企業所擁有的全部AP和資料。</p> <p>4月5日7:38，開始執行舊版AP刪除腳本程式，工程團隊也沒有接到任何通知，警告有企業顧客的網站遭刪除，因為這是一隻獲得合法授權的刪除程式。但是，不到10分鐘，就有企業發現自己所用的Jira網站失聯，提出第一張當機支援工單。刪除腳本程式在8點多執行完畢，事後調查，一口氣刪除了775家企業所擁有的883個網站。受影響的產品包括了Jira 產品系列、Confluence文件協作平臺、Atlassian Access登入機制、Opsgenie 事件應變服務，甚至是網站狀態查詢頁Statuspage。這些受影響企業，不只無法連線登入，甚至連要檢視所用服務的運作狀態頁都打不開。</p> <p>接連有不少顧客提出當機工單，Atlassian決定在8:17啟動重大事件管理流程，也組織了跨部門事件管理團隊，找來工程部門、客戶支援團隊、專案管理團隊和對外溝通部門，聯手展開事故調查，每3小時開會一次，並在8:24將事件狀態提升到「危急」狀態。不到20分鐘，工程團隊就發現了事故的根本原因，是腳本程式誤刪資料而非駭客攻擊，9:03時首度在服務狀態網頁中揭露發生當機事故。</p> <p>找出事故原因之後，下一步就是要盡快解決問題，恢復顧客所訂閱的服務。Atlassian開始嘗試建立一套標準化的復原方法，但卻發現，要復原一個遭到刪除的網站，得建立新網站、復原每個下游產品、服務及還原資料所需的資料，還須與各網站所用第三方生態系廠商重建連結，相關復原步驟高達70個。他們才發現，要復原這些網站的複雜性遠超過他們的想像，所以在12:38時將這起事件的嚴重等級提升到「最高等級」，這時距離事故發生，已經超過了5小時。</p> <p>Atlassian當機後不久，越來越多顧客在Twitter上抱怨，因為Jira是許多企業用來管理敏捷開發專案的主要平臺，無法使用，就等於無法進行敏捷專案的開發，連要打開專案工單來知道該處理哪些工作都沒有辦法。這股抱怨聲浪越來越大，越來越多人發現，這起當機事件持續時間越來越久，超過了8、9個小時，Atlassian所承諾的99.9%可用性承諾已經失守。</p> <p>不少受影響的企業用戶在Twitter上抱怨，他們連要向Atlassian通報當機問題，或是申請支援工單都做不到，也有人是發出申請後，遲遲沒有得到官方回應，彷彿Atlassian的服務窗口失聯一樣，無法透過原本的線上管道來接觸。</p> <p>直到事故發生後17個小時，Atlassian才發電子郵件通知受影響顧客，並開始打電話聯繫，對他們說明，而這時已經引起不少媒體的關注，開始大舉報導這起大當機事件。</p> <p>直到事件發生後快2天，Atlassian才發布第一份當機事件的官方公開聲明。而Atlassian的合作夥伴，則還等到事故後第2天快結束時，才開始接到通知。因為當機事故遲遲無法解決，Atlassian共同創辦人也以個人名義發信，親自向顧客說明復原進度緩慢的原因。</p> <p>4月8日，也就是事件發生後的第四天，Atlassian終於成功復原了第一家受影響顧客的網站。可是，復原團隊這才發現，採用第一版復原方法，需要48小時才能恢復一批網站，因為需要大量人工作業，只能分批復原，若要全面復原剩下的網站，還需要3周時間，所以，也開始改良復原程序。同一天，Atlassian也對所有工程部門實施程式碼凍結，禁止任何異動，來降低顧客資料不一致的變更風險</p> <p>過了一天，4月9日開始啟用第二套復原方法，將原本70道程序，大幅減少到只剩下30道程序。第二套做法重建顧客網站時，不是建立新的網站ID，而是直接沿用了顧客的舊網站ID，因此，大幅減少新舊ID比對的步驟，也不用再逐一與第三方程式供應商溝通，節省大量時間。這時有771個誤刪網站，可以改用第二套方法來復原。</p> <p>不過，第二套方法還是需要大量手動操作，直到4月11日，Atlassian工程團隊打造出自動化復原工具，來加速第二套方法的時間，才將復原時間縮短到12小時，這時候，Atlassian才在工單中向顧客承諾，可以在事故後2周內復原，隨後也在自家技術長部落格說明事件和復原進展。</p> <p>到了4月14日，採用第一版復原方法復原的網站達到112個網站，不再繼續使用。Atlassian也打造出復原網站的完整驗證腳本程式，不再需要人工驗證，更加快了其他網站的復原速度，到了4月16日10:05 ，就完成所有網站的復原和自動驗證，但還沒經過顧客確認。隔天21:48，最後一位受影響顧客完成復原確認。Atlassian就在4月18日1:00宣布，受影響網站100%復原。這時，距離事故發生已經近14天，不過，宣布當時，仍有57個網站，因為復原資料的時間點過早，比原訂「當機前5分鐘」的復原時間點，還要更早，還需要追補後來異動的資料。</p> <p>到了4月底，Atlassian發布了四月大當機事件的完整事後分析報告，對外說明這起事故發生的原因，和為何遲遲無法復原網站的關鍵。</p> <p><a href="https://www.ithome.com.tw/news/151036" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">Atlassia四月大當機為何14天才復原？工程思維DR計畫，缺乏關鍵的顧客視角</span></strong></span></a></p> <p> </p> <p class="rtecenter"><span style="font-size:36px;"><strong><span style="color:#000000;"><span style="background-color:#FFFF00;"> Atlassian四月大當機時間表 </span></span></strong></span></p> <p><span style="font-size:24px;"><span style="color:#B22222;"><strong><span style="font-family:arial,helvetica,sans-serif;">2022/4/5 UTC</span></strong></span> </span><span style="font-size:14px;"><strong style="font-size: 20px;">（以下皆採用世界協調時間）</strong></span></p> <p><span style="color:#000000;"><span style="font-size:20px;"><strong>刪除腳本程式執行前測試正常，沒有發現輸入了錯誤ID</strong></span></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-family:arial,helvetica,sans-serif;"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#B22222;"> 07:38 </span> </strong></span></span></span><strong style="font-size: 20px;">開始執行舊版AP刪除腳本程式，誤用網站ID而刪除了企業顧客全站資料</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 07:46 </span> </strong><strong style="font-size: 20px;">顧客提出第一張當機支援工單</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:01 </span> </strong><strong style="font-size: 20px;">刪除執行完成（事後調查刪了883個網站）</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:17 </span> </strong><strong style="font-size: 20px;">觸發重大事件管理流程，建立跨職務事件管理團隊（工程、客戶支援、專案管理、溝通），展開事故調查，每3小時開會一次。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:24 </span> </strong><strong style="color: rgb(255, 255, 255); font-family: "Times New Roman"; font-size: 20px;"> </strong><strong style="font-size: 20px;">事件狀態提升到「危急」狀態</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:31 </span> </strong><strong style="color: rgb(255, 255, 255); font-family: "Times New Roman"; font-size: 20px;"> </strong><strong style="font-size: 20px;">Atlassian支援團隊首度回應顧客，承認發生事故</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:53 </span></strong><strong style="font-family: "Times New Roman"; color: rgb(255, 255, 255); font-size: 20px;"> </strong><strong style="font-size: 20px;"> 確認根本原因，是腳本程式誤刪資料而非駭客攻擊</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 09:03 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">首度在服務狀態網頁中，揭露事件正在調查中</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 09:37 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">展開第一套復原方法（70道程序），為每個遭刪除網站建立新網站，以及每個下游產品、服務及還原資料所需的資料，也須向各網站所用第三方生態系廠商重建連結。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 12:38 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">發現網站復原的複雜性，將事件嚴重等級提升到「最高等級」</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/6</span></strong><span style="font-family:arial,helvetica,sans-serif;"><strong style="color: rgb(178, 34, 34); font-size: 20px;"> </strong></span></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 01:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事故發生後17個小時，才發電子郵件通知受影響顧客</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 17:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">開始打電話通知受影響顧客</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 17:30 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">媒體開始報導大當機事件</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/7</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 00:56 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事件發生後近2天，發布第一份當機事件的官方公開聲明</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 23:15 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事故發生後近3天，才開始通知合作夥伴</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/8</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 01:50 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事件發生3天後，共同創辦人以個人名義發信向顧客說明</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 03:30 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">對所有工程部門實施程式碼凍結，禁止異動，來降低顧客資料不一致的變更風險</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 03:58 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">完成第一家顧客網站成功復原（顧客也確認），但復原團隊發現，採用第一版復原方法，需要48小時才能恢復一批網站，全面復原需要3周，開始改良復原程序。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/9</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>啟用第二套復原方法（簡化為30道程序，仍有大量手動操作），採用舊網站識別碼，大幅減少新舊ID比對步驟，也不用再逐一與第三方程式供應商溝通，節省大量時間。771個誤刪網站改用第二套方法來復原。</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/11</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>打造出自動化復原工具，來加速第二套方法的時間，縮短為12小時就可復原。也於08:29 在工單中向顧客承諾會在2周內復原</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/13</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 02:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">首度在技術長部落格說明事件和復原進展</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/14</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>用第一版復原方法，復原112個網站（占12.6%)</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 22:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">打造出復原網站的完整驗證腳本程式，不再需要人工驗證</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/16</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 10:05 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">完成所有網站復原和自動驗證，但還需顧客確認</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/17</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 21:48 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">所有受影響顧客完成復原確認</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/18</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 01:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">公開宣布受影響網站100%復原，但當時仍有57個網站復原資料的時間點過早（比原訂當機前5分鐘的復原時間點，還要更早），需追補後來異動的資料。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 23:56 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">將服務狀態網頁改為正常運作的綠色燈號。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/29</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>發布四月大當機事件完整事後分析報告</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="color:#696969;"><strong>資料來源：Atlassian，iThome整理，2022年5月</strong></span></p> </div></div></div>
2022/5/23 07:00作者王宏仁https://www.ithome.com.tw/news/151027