iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 29篇
近 24 小時: 29篇
近 7 天: 126篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 17:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 126 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

預見資料中心2025新風貌
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個月下半適逢台北國際電腦展舉行，因為臺灣COVID-19疫情大暴發，仍處於居高不下的狀態，僅有部分廠商在南港展覽館秀出旗下最新解決方案，然而，網路無國界，仍有多家IT大廠按往年慣例，透過線上論壇的主題演講發布重要消息。</p> <p>而在資料中心領域，尤其是伺服器硬體的部分，隨著近幾年來廠商運算平臺的推陳出新，不僅面臨核心架構、記憶體、I/O、網路、儲存等層面的技術規格世代交替變革，連帶也帶來更大的電力消耗與散熱需求。</p> <p>關於這股趨勢，我們可從近期處理器的相關規格看出端倪。就伺服器CPU的最高熱設計功耗而言，去年上半問世的AMD第三代EPYC為280瓦，英特爾第三代Xeon Scalable為270瓦。若是資料中心GPU，今年最新發表的Nvidia H100為700瓦，AMD Instinct MI200系列最高為500瓦，尖峰可至560瓦。</p> <p>基本上，每一臺伺服器大多會搭配1、2顆CPU，有些甚至會搭配4、8顆CPU，而資料中心GPU若產品形式是SXM或OAM，每一臺GPU伺服器會搭配4或8個資料中心GPU，有些則會搭配到16個之多，因此，每當廠商推出伺服器來搭配這些新出的CPU與GPU，我們也會去注意它們可能採用新的設計，因應持續增長的供電與散熱需求。</p> <p>對此，我們看到Supermicro創辦人暨執行長梁見後在今年Computex主題演講當中，特別提到：350瓦的CPU與700瓦的GPU是未來資料中心即將要面對的運算規格。GPU目前這方面的態勢最顯著，但我們目前僅看到Nvidia展現這樣的支援──今年3月GTC大會期間，宣布推出新AI整合應用伺服器DGX H100，搭配8個熱設計功耗為700瓦的H100 GPU（CPU僅知將搭配2顆x86架構處理器）。</p> <p>而在Nvidia提供伺服器廠商、用來建構GPU伺服器的整合基板HGX，我們也可以從該公司公布的規格，理解到單臺GPU伺服器面臨的功耗有多大。以HGX A100而言，有4-GPU、8-GPU、16-GPU等選擇，而今年最新發布的HGX H100，則有4-GPU、8-GPU、256-GPU（應是1座Pod，而非1臺伺服器），因此，若是採用HGX H100 4-GPU的伺服器，電源需求與散發的熱量很可觀。</p> <p>想要在兼顧效能提升的狀況下，減少或抑制這些高性能處理器與加速晶片的耗電量，往往需要許多硬體工程層級的技術突破，不只是製程改良，也可能要從固態電路著手，因此，除了在HotChips這樣聚焦在晶片的活動中，能看到處理器與加速運算技術的持續演進，廠商也積極參與國際固態電路研討會（ISCC），向全球工程人員發表技術創新。</p> <p>克服電量需求之餘，冷卻、散熱方式的多樣又是另一個資料中心須關注的議題。不少伺服器廠商正積極拓展這個領域的應用，紛紛提供液態冷卻、水冷的搭配選項，不過，先前我們總是以為這只是為了支援高效能運算（HPC）類型應用的產品，才需要相關配備，然而，眼見三大運算平臺廠商新一代伺服器級CPU與GPU的熱設計功耗逐漸攀升，採用液態冷卻與水冷設計的主流伺服器將日益常見，有可能會更大量出現在一般的企業資料中心，而不只是在學界的超級電腦或雲端服務業者的機房，因此，現有的資料中心設施能否充分支援這樣的設備，以及是否影響新機房的建置方式，都是需注意的部分。</p> <p>關於液態冷卻技術的展現，我們在2019年台北國際電腦展期間，曾看到緯穎（Wiwynn）展出兩相浸沒式液冷系統，當中採用支援OCP規格的伺服器、48V技術，以及3M公司的Fluorinert電子氟化液設計。</p> <p>後續也有多家廠商發出這方面的消息，例如，技嘉（Gigabyte）今年上半宣布協助用戶建置兩相浸沒式液冷機房，以及單相浸沒式冷卻方案。</p> <p>去年台北國際電腦展前夕，Supermicro宣布推出液冷解決方案，其GPU伺服器、刀鋒伺服器、多節點伺服器、機架式伺服器，均可搭配液冷技術，他們也設計出多種方案，包含晶片導向（D2C）、浸沒式、節能背板冷卻器（RDHx）來因應不同需求，而在今年，他們強調，將不只供應氣冷、液冷裝置，還提供可熱抽換的水泵（water pump）。</p> <p>面對不同廠商的研發與供給，這類散熱技術勢必日趨成熟，接下來的挑戰，應該在於用戶接受度，這將涉及設備的建置成本，以及IT人能否具備足夠能力來進行日常維護。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%B6%B2%E6%85%8B%E5%86%B7%E5%8D%BB">液態冷卻</a></div><div class="field-item even"><a href="/tags/%E6%B0%B4%E5%86%B7%E8%A8%AD%E8%A8%88">水冷設計</a></div><div class="field-item odd"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8-0">伺服器</a></div><div class="field-item even"><a href="/tags/%E6%95%A3%E7%86%B1">散熱</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E6%88%BF">機房</a></div></div></div>
2022/5/27 23:30作者李宗翰https://www.ithome.com.tw/voice/151165
從四種科技應用理解元宇宙意涵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yuan_yu_zhou_-zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">大塊文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>存在於智慧型手機、電腦、網路等數位媒介的嶄新世界──數位化的地球──被稱為元宇宙。元宇宙（metaverse）是合成語，由代表超越與虛擬的meta和代表世界及宇宙的universe組成，意指超越現實的虛擬世界。直到當下這一瞬間，元宇宙的型態仍在持續進化，所以很難用固定的單一概念來定義。將日常生活上傳至Facebook、Instagram和KakaoStory；加入網路論壇的會員，在社群中活動；享受線上遊戲的樂趣──這些全都是在元宇宙中生活的方式。</p> <p><span style="font-size:28px;"><strong>嶄新的世界，數位地球：逐漸移動到元宇宙的生活</strong></span></p> <p>技術研究團體ASF（Acceleration Studies Foundation）將元宇宙分成四個種類：擴增實境（augmented reality）世界、生活日誌化（lifelogging）世界、鏡像世界（mirror worlds）以及虛擬世界（virtual worlds）。</p> <p>你曾用智慧型手機的應用程式抓精靈寶可夢嗎？你曾用抬頭顯示器（HUD: Head Up Display）將導航地圖投影在汽車擋風玻璃上嗎？又或者是使用手機相機掃描書上的QR-Code時，看到書頁上跑出會移動的動物嗎？如果有上述經驗，就代表你體驗了擴增實境的世界。</p> <p>你曾將某天的美食照上傳到Instagram嗎？曾經拍下最近讀過的書籍封面上傳到Facebook 嗎？曾把讀書或工作的模樣拍成Vlog上傳嗎？如果有，那你就是享受了生活日誌化世界的樂趣。</p> <p>加入過偶像歌手的官咖嗎？用過視訊會議軟體上遠距課程或進行遠距會議嗎？曾在外送民族的應用程式點餐過嗎？或透過Airbnb 預約住宿？如果你這麼做過，就等於是體驗了鏡像世界。玩過線上遊戲嗎？看過史蒂芬．史匹柏（Steven Spielberg）製作的電影《一級玩家（Ready Player One）》嗎？這些就是所謂的虛擬世界。</p> <p>外星環境地球化（terraforming）又名地球化、行星改造。意思是將宇宙中其他非地球的行星，改造成與人類居住的地球相似的環境。觀察元宇宙、數位地球的形成過程，會發現那和地球化的過程很類似。目前人們正在觸碰不到的空間──數位空間──裡，打造適合人生活的環境。以下將從人類學的觀點，大略地瀏覽這個過程。</p> <p>現在的人類，也就是目前生活在21世紀的人，其最具代表性的稱呼就是「智人（Homo Sapiens）」，意指思考的人。雖然出現在地球上的智人有很長一段時間都待在非洲大陸上，並未有太大的演化成長，但大約在3萬年前，他們於末次冰期開始拿石頭製作各種工具、大量群居，因而有飛躍性的成長。智人飛躍性成長的基礎來自人類思考的能力。</p> <p>以19世紀初的工業革命為起點，出現了一個新的詞彙來稱呼人類。那就是製作工具來運用的人類──「工匠人（Homo Faber）」。若說智人專注於構想不存在的事物，並將思考結果傳達給同類，那麼工匠人就是專注在將構想的結果製作成肉眼可見的工具，然後再活用那些工具，更快速、廉價且大量地製做出各式各樣的貨品。若用1公尺長的圖表來呈現智人出現的20萬年前到現今人類歷史的發展，我們現在所使用的大部分的工具和技術，等於都是在最後的1毫米內才畫出來的。</p> <p>2018年主計處發表了一個有趣的報告，研究主題為「人們最喜歡哪一項近代發明？」雖然可能會讓人有些意外，但根據調查結果顯示，第一名是冰箱。第二到五名依序是網路、電腦、洗衣機和電視。在這裡我要問大家一個問題：「位居第二、三、五名的東西如果合成一個，會變成什麼？」</p> <p>而且如果稍微以更廣義的角度來看待這個答案，它甚至能讓人放棄第一名的冰箱和第四名的洗衣機。應該已經有很多人猜到答案是什麼了。</p> <p>那就是現代人最喜愛的物品，一個絕對不會放在遠處的物品，而且還是在你外出時，除了名牌之外，身上最昂貴的東西──智慧型手機。在21世紀初發明的智慧型手機，如今已不再是單純的電器，而是逐漸成為現代人身體的一部分。認知自己的身體屬於自己，而且能由自己來控制，這種感受被稱為「身體覺知」。智慧型手機已經被納入現代人身體覺知的範圍中了。</p> <p>不過，現代人都用這個既昂貴又猶如自己部分身體的智慧型手機來做些什麼呢？以下會稍微介紹位居智慧型手機世界中心的企業──蘋果（Apple）。以2020年9月為基準，蘋果的市值超過1兆9千億美元，在全世界眾多企業中位居第一名。蘋果App Store每年的銷售額都上看天文數字。以2019年為例，該年銷售額約達470億美元，利潤約有14億美元。那麼人們在蘋果App Store主要都下載什麼樣的應用程式呢？各別確認韓國、美國、歐洲等市場的統計結果會發現，不論是哪個國家還是地區，都沒有太大的差異。在下載數前1到20名的應用程式中，遊戲占了70％，其餘的30％主要是社群媒體和影音串流應用程式。當然，下載數的排名和App Store的銷售額並不成正比，因為有很多附加程式都要在應用程式內購買。不過可以確定的是，世人主要都把智慧型手機用來玩遊戲和社群媒體，以及在影音串流平台上收看影片。不覺得有點奇怪嗎？那麼昂貴的智慧型手機，為什麼主要都用在遊戲、社群媒體和影音串流平台上呢？這類活動對人類而言具有什麼樣的意義？</p> <p><span style="font-size:28px;"><strong>數位行星改造：在元宇宙裡打造遊樂場</strong></span></p> <p>為了了解這點，接下來要說明稱呼現代人類的第三個關鍵字「遊戲人（Homo Ludens）」。遊戲人是荷蘭的史學家惠欽格（Johan Huizinga）為了稱呼現代人而發明的詞彙。這意味著人類的歷史以及一切活動和互動的基礎，都是建立在遊戲和樂趣之上。在沒有現在這種智慧型手機、電腦和遊戲機的時期，甚至是原始人時期，人類除了狩獵和生計之外，就已經在享受遊戲的樂趣了。原始時代的洞窟壁畫上，畫有人們跳舞或披著獸皮玩耍的模樣。人類為了充分享受遊戲的樂趣，也為了避免在遊戲過程中發生爭執，還制定了遊戲規則。因為他們體會到玩遊戲要遵守規則，才不會有人吃虧，大家也才都能玩得盡興。為了玩樂而制定規則、享受遊戲的行為，演變成在群體中制定所需規則和法律的基礎。為了玩樂而制定、遵守規則的行為，則成為了一種文化。自此人們開始遵守共同的約定，例如：狩獵時該遵守什麼規則，而獵捕到的肉類和採集到的東西又該遵行什麼樣的規則來分享。另外，何時何地該由誰來做什麼，要用什麼方法來玩耍，每個群體都不盡相同，隨著時間流逝，這類差異成了各個群體形成不同文化的背景。總之，人類天生就喜歡玩樂，而且為了玩得更盡興還制定了規則，於是這些規則就成為群體擬定規範和法律、形成文化的基礎。</p> <p>元宇宙形成的過程中也出現了與此相似的脈絡。在擴增實境世界、生活日誌化世界、鏡像世界和虛擬世界這四個元宇宙中，最先登場且在種類及規模方面成長速度最快的元宇宙，就是虛擬世界。其中線上遊戲為虛擬世界元宇宙的開端，同時也是最具代表性的內容。喜歡遊戲的人類，也就是遊戲人，開始用人類最愛的工具──電腦、網路、智慧型手機──玩線上遊戲，而線上遊戲的文化促使涵蓋虛擬世界的元宇宙向外擴張。（本文摘錄整理自《登入元宇宙》，大塊文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%83%E5%AE%87%E5%AE%99-300(2).jpg" style="width: 300px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">登入元宇宙：解放自己，擴增夢想的次元</span></strong></p> <p>金相均／著；張雅眉、彭翊鈞／譯</p> <p>大塊文化出版</p> <p>售價：450元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>金相均</strong></p> <p>金相均教授是韓國首屈一指的「元宇宙」專家，現任職韓國慶熙大學。大體上就是在研究如何讓使用者移動至元宇宙並沉浸在其中。金相均教授以此主題為中心，並憑藉著獨特的跨域經驗參與了三星、LG、GS、現代汽車等集團、國家公務員人才開發院、中央教育研修院、食品醫藥品安全處、韓國科學創意財團、韓國文化產業振興院等公家機關，以及國外教育和製造業的企劃，並在廣播、講座等各領域積極推廣介紹元宇宙。</p> </div></div></div>
2022/5/27 23:44未署名https://www.ithome.com.tw/article/151134
Martin Fowler談企業級軟體架構模式
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_-zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1999年春天，我飛抵芝加哥為ThoughtWorks公司正在開發的一個專案擔任顧問。ThoughtWorks是一個規模雖小但正在快速成長的應用程式開發公司。這個專案是一個後端租賃系統，屬於那種極具挑戰性的企業級應用程式。簡單來說，它處理的是客戶簽字承租之後所有與租賃相關的商業行為，像是寄送帳單、處理某些租客對租賃資產的改造、追蹤那些遲繳帳單的租客，以及處理某位租客提前歸還資產等情形。在你意識到租賃合約是高度複雜且總是在不斷變化之前，上述情況聽起來好像不會太難處理。但它的商業「邏輯」幾乎不能套用任何現有的邏輯模式，畢竟這些合約內容是商人們為了獲取生意所制定的，合約條款中一些古怪的調整變動，都可能成為贏得某筆交易的關鍵。因此，每次交易的小勝利也都意味著增加系統的複雜性。</p> <p>這類事情總讓我興奮不已：如何設計一個可以追蹤並處理高度複雜問題的物件導向系統。事實上，物件導向最大的優點在於它能使複雜的邏輯易於管理。為複雜的商業邏輯開發一個好的Domain Model（領域模型），其過程是非常困難的，但結果會是非常令人滿足。</p> <p>當然，事情並非僅僅是開發領域模型這麼簡單。我們的領域模型必須要能持續保留到資料庫中，而像過去許多專案一樣，我們使用的是關聯式資料庫。我們必須將這個模型連結到使用者介面，還要支援遠端應用程式使用我們的軟體，以及整合我們的軟體與第三方軟體。上述工作都基於一種叫做J2EE的新技術，在當時，這是全世界尚未有人實戰應用過的技術。</p> <p>雖然J2EE是一項嶄新的技術，我們仍然能夠從以往的經驗中得到幫助。我曾經使用C++、Smalltalk和CORBA來開發系統。ThoughtWorks公司中則有許多人有Forte方面的經驗。當時我們已經有了關鍵基礎架構，只需要搞清楚如何將它應用在J2EE上。現在回過頭來看三年前的設計，雖然不盡完善，但已經可以說是通過時間的考驗了。</p> <p>上述情況正是我撰寫這本書的出發點。多年來我看過許多企業級專案，這些專案通常都包含相似的設計思路，也已經被證明可以有效地處理企業級應用程式中不可避免的複雜性。這本書的目的，就是將這些設計思路轉化為模式的一個起點。</p> <p>這是一本有關企業級應用程式設計的書籍。企業級應用程式涉及大量複雜資料的顯示、操作和儲存，以及對這些資料進行商業流程自動化。典型的範例有預約系統、財務系統、供應鏈系統及其他驅動現代商業運作的系統。企業級應用系統不同於嵌入式系統、控制系統、電信系統及桌面應用軟體，它們有自己特有的挑戰及解決方案。</p> <p>在建置企業級應用程式時會遇到許多架構問題。本書很難一一詳細列舉。本書討論的主要議題為：</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 企業級應用程式的分層</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 建構領域（商業）邏輯</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 建構Web使用者介面</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 將記憶體模組（特別是物件）連結到關聯式資料庫</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 在無狀態環境下處理工作階段（session）狀態</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 分散式原則</strong></span></span></p> <p>這本書並不打算針對任何特定的軟體平台。我在20世紀的80年代末期和90年代初期使用Smalltalk、C++和CORBA的時候第一次遇到這些模式。在90年代後期，我開始使用Java進行大量的工作，發現這些模式很好地適用於早期的Java/CORBA系統和後來基於J2EE的工作。最近，我一直在使用Microsoft的.NET平台進行一些初步工作，發現這些模式再次適用。我的ThoughtWorks同事也分享了他們的經驗，尤其是在Forte方面。我不能聲稱這些模式在所有（曾經或即將）被用於開發「企業級應用程式」的平台上都是通用的，但目前為止，這些模式已顯示出足夠的可重覆使用性。</p> <p>我為大多數的模式提供了範例程式碼。我選擇的程式語言是我認為大多數讀者都可以閱讀和理解的語言。Java在這裡是一個不錯的選擇。任何能閱讀C或C++的人都可以閱讀Java，但Java遠不如C++複雜。基本上，大多數的C++程式設計人員都可以閱讀Java，但反之則不然。我是一位物件信徒，所以我不可避免地傾向於物件導向語言（OO language）。因此，大多數的程式碼範例都是用Java撰寫的。在我寫書當下，Microsoft的.NET環境逐漸成熟，對於作者來說，它的C#語言與Java擁有許多相同的屬性。因此，我也用C#做了一些程式碼範例，儘管這會帶來一些風險，因為開發人員在.NET方面經驗尚且不足，它使用的術語可能還未形成慣例。它們兩者都是基於C語言，因此，如果你可以閱讀其中一種語言，你應該能同時讀懂這兩種語言，即使你並不熟悉另一種語言或平台。我的目標是使用一種讓最多軟體開發人員能夠閱讀的語言，即使它不是他們主要或首選的語言。（我要向喜歡Smalltalk、Delphi、Visual Basic、Perl、Python、Ruby、COBOL或其他語言的讀者道歉。我知道你們認為有一種比Java或C#更好的語言，我也認為如此！）</p> <p>這些範例是為了啟發和解釋模式中的想法。它們並不是能直接使用的解決方案；任何情況下，你都需要做大量的工作才能將它們融入你的應用程式之中。模式只是一個好的開始，但它們並不是終點。</p> <p><span style="font-size:28px;"><strong>目標讀者</strong></span></p> <p>我的目標讀者是那些正在建置企業級應用程式，並希望加強對架構問題的理解和溝通的程式開發人員、設計人員與架構師。</p> <p>我假設我的大多數讀者歸為兩類：一些人有適度的需求並希望建置自己的軟體，另一些人則有大規模的需求，並且將使用某個工具。對於那些有適度需求的人，我的意圖是，這些模式應該讓你有一個好的起點。在許多領域，你需要的不僅僅是模式所能提供的，我將在本書提供一個比我當初進入此領域時更高的起點。對於工具的使用者，我希望這本書能讓你瞭解幕後發生的事情，也幫助你選擇哪一種工具適合哪一種模式使用。例如，使用O/R Mapping工具同時意味著你必須決定如何對應（map）某些情境。閱讀這些模式應該可以為你提供一些做出選擇的指引。</p> <p>由於模式是將反覆出現的問題，淬鍊成通用的解決方案，因此，你很有可能已經遇過其中的一些情境。如果你已經在企業級應用程式中工作了一段時間，那麼你可能對其中的大部分模式瞭若指掌。我不是要聲稱本書中有任何新的內容；事實上，我想聲稱的恰恰相反，這是一本（關於我們軟體產業）舊調重彈的書籍。</p> <p>如果你是這一領域的新手，我希望本書能幫助你瞭解這些技術。如果你熟悉這些技術，我希望本書能幫助你與他人交流和傳授它們。模式的一個重要作用是嘗試建置一個共通的詞彙，例如，你可以說這個類別是一個Remote Facade（遠端外觀），其他的設計人員會懂你想表達的意思。（本文摘錄整理自《Martin Fowler的企業級軟體架構模式》作者序，博碩文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-300(1).jpg" style="width: 300px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span><span style="background-color:#FFFFFF;"> </span></span><span style="color:#3399ff;">Martin Fowler的企業級軟體架構模式：軟體重構教父傳授51個模式，活用設計思考與架構決策</span></strong></p> <p>Martin Fowler／著；陳傳興、張立顗／譯</p> <p>博碩文化出版</p> <p>售價：800元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><strong>Martin Fowler</strong></p> <p>Martin Fowler是ThoughtWorks公司的首席科學家（ThoughtWorks是專業的企業級軟體開發與系統整合公司）。早在1980年代，他就是率先使用物件技術建置多分層企業級應用程式的領航者。他也是多本經典名著的作者，包括《Analysis Patterns》、《UML Distilled》、《Planning Extreme Programming》和《Refactoring》等等，以上書籍由Addison-Wesley出版。他的個人網站：<a href="http://www.martinfowler.com">www.martinfowler.com</a>。</p> </div></div></div>
2022/5/27 23:49未署名https://www.ithome.com.tw/article/151135
函式？類別？可呼叫物件！
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Python中，我們可以使用def定義函式，或者透過lambda建立匿名函式，還有哪些場合會建立函式呢？類別的方法？若單純在類別上定義方法，透過類別「名稱.方法」確實可取得函式，也就是function類別的實例。</p> <p>不過，如果是@classmethod標註的方法，就不是了，透過「類別實例.方法」取得的綁定方法（bound method）也不是，事實上，它們都會是method類別的實例。</p> <p>嗯？它們不是可以像函式一樣地呼叫嗎？是的！不過，這類在Python中具有函式呼叫行為的物件，其實是可呼叫（callable）物件，具體而言，就是實現了__call__方法的物件。</p> <p><span style="font-size:28px;"><strong>是函式還是類別？</strong></span></p> <p>Python中有許多長得像函式的物件，如果命名上又特意以小寫名稱開頭，使用上，就真的跟函式沒有兩樣了。</p> <p>例如，我們在迭代物件時，最常使用的range、enumerate、zip等，並不是函式，只需透過type來查詢一下，就能夠知道這些其實都是類別。</p> <p>我曾想過：Python中要建立類別實例，為什麼不需要使用new之類的關鍵字來進行嗎？當然，單純認為語法就是如此的規範，這也沒錯，不過，其實類別在行為上，本來就可以像函式進行呼叫，因為類別是type的實例，而type定義了__call__方法。</p> <p>如果定義了Some類別，以Some(arg)建立實例的話，實際上，相當於Some.__call__(arg)，由於類別是type的實例，type定義的__call__方法第一個參數，接受的就是類別Some，其中的流程預設會依序呼叫Some的__new__與__init__方法，這就是開發者可以藉由定義__new__與__init__方法，來實現類別實例建構與初始化的原因。</p> <p>進一步地，Python實現meta程式設計的方式之一，是在使用class語法定義類別時指定metaclass，被指定的對象可以是個類別，這讓用來介入類別定義的metaclass可以獨立地設計__new__、__init__等方法，便於維護或重複使用，像是abc模組就提供了可重用的ABCMeta等類別。</p> <p>事實上，metaclass能夠去指定的對象，只要是可呼叫物件就可以了，Python會呼叫它的__call__方法，傳入類別名稱、父類別資訊與屬性，在簡單的情況下，傳個函式也行，因為函式也是個可呼叫物件（或許比metaclass更貼切的名稱，應該是meta_callable）。</p> <p><span style="font-size:28px;"><strong>有狀態的函式或可呼叫物件？</strong></span></p> <p>看來可呼叫物件是個高級玩意兒，適用於meta程式設計之類的場合？不！可呼叫物件可應用的場合可多了，例如，當需求是比「有狀態的函式」再多一些的時候，所謂有狀態的函式，就是一個構成了閉包（closure）的函式，例如：</p> <pre> def add(n): return lambda a: n + a</pre><p>傳回的lambda捕捉了參數n，也就是包含了呼叫add時引數的狀態，有時候這類函式攜帶的狀態可變動，例如捕捉了外包函式的區域變數，每次呼叫時都會變動該變數，這種包含著內部可變動狀態的函式，也常用來模擬一些私有性，例如，在JavaScript中，可藉由傳回一個形成閉包的函式，來模擬物件的私有屬性。</p> <p>當事情變得更為複雜之時，例如，也許需要能直接存取函式捕捉的狀態，像是透過add函式傳回的函式，來取得呼叫add函式時的n值，單純使用函式去完成這項任務並非做不到，只是有時實現上麻煩，不見得容易閱讀與理解；然而，若定義一個add類別，具有以下兩個方法，問題就可以解決了，不僅容易實現與理解，客戶端的呼叫方式也不用改變：</p> <pre> def __init__(self, n): self.n = n def __call__(self, a): return self.n + a</pre><p>這就是Python中許多看來像函式的東西，其實是以類別定義的原因之一：必須能像函式一樣地呼叫，需要攜帶狀態，而且可以存取狀態。</p> <p>方才談到的綁定方法是個具體的例子，雖然不鼓勵，但確實可以透過綁定方法的__self__屬性來取得綁定的實例。</p> <p><span style="font-size:28px;"><strong>接受／傳回可呼叫物件</strong></span></p> <p>用可呼叫物件來攜帶狀態？看來還是個高階需求啊？不！可呼叫物件可應用的場合，根本就是平易近人。在函式為一級公民的語言中，函式可以作為值傳遞給變數、參數，或作為函式、方法的傳回值，因此，Python生態圈中無論是標準或第三方程式庫，才會有那麼多的API可以接受函式、傳回函式，或者接受函式並傳回函式。</p> <p>然而，別忘了，Python是個動態定型語言，那些API在定義之際，或許只是要求一隻具有可呼叫行為的鴨子，傳回一隻具有可呼叫行為的鴨子，也就是採用鴨子定型罷了，有些看來是高階函式，其實，可以更廣義地視為接受、傳回可呼叫物件的高階可呼叫物件。</p> <p>Python中有許多裝飾器（decorator）就是這類物件，例如@property、@classmethod；有些API確實可能真的會檢查傳入的是不是函式，functools模組有個 @wraps裝飾器，可以將可呼叫物件偽裝為函式，其實@wraps也是個高階可呼叫物件。</p> <p>高階物件聽來並不平易近人？來讓需求更普遍化一些，看看sorted函式，如果想自訂排序，我們可以指定其搭配的key或cmp參數，它們接受函式嗎？其實只要可呼叫物件就可以了！</p> <p>應用的場景之一是，若有個資料類別Point，具有x、y屬性代表座標，定義了dist方法，我們可以指定另一個Point實例，計算兩者之間的距離，如果有一組Point實例points，有個Point實例pt，此時我們若想依points中各點與pt的距離排序，透過sorted函式來處理時，該怎麼寫呢？</p> <p>sorted(points,key=pt.dist)就可以了，因為pt.dist傳回綁定方法，方才談到綁定方法是method類別的實例，行為上可以像函式進行呼叫，也就是可呼叫物件，作為sorted的key引數，就可以簡單地完成基於與pt點的距離進行排序。</p> <p><span style="font-size:28px;"><strong>萬物皆可呼叫</strong></span></p> <p>知道類別是個可呼叫物件，range、enumerate等其實是類別之後，如果此時有人說range是函式，別去糾正他們！</p> <p>這是因為，Python並不是要開發者去區分len是函式、range是類別等這種事情，而是要開發者不要去區分函式或類別。Python可以定義可呼叫物件，本意就是要讓函式與行為上可呼叫的物件之間，界線變得模糊。</p> <p>當這當中的界線變得模糊之後，一級函式的應用就能夠有了更大的擴展能力，只要開發者願意，可以讓任何物件實現__call__方法，而不用局限在一定要傳遞函式，這麼一來，從簡單的sorted之類應用，到複雜的meta程式設計，就都能有更大的實現彈性。</p> <p>如果你想要知道更多可呼叫物件的應用，〈<a href="https://bit.ly/3voHibt" target="_blank">It's a callable!</a>〉有著更多實際的案例；當然，具有可呼叫物件概念的語言不只有Python，而在這些語言中，如果實作時需要一個函式，我們也可以進一步思考：會不會此時其實所需要的，就是一個可呼叫物件！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/python">Python</a></div><div class="field-item even"><a href="/tags/%E5%87%BD%E5%BC%8F">函式</a></div><div class="field-item odd"><a href="/tags/%E9%A1%9E%E5%88%A5">類別</a></div><div class="field-item even"><a href="/tags/%E5%8F%AF%E5%91%BC%E5%8F%AB%E7%89%A9%E4%BB%B6">可呼叫物件</a></div></div></div>
2022/5/27 23:58作者林信良https://www.ithome.com.tw/voice/151132
經濟不確定性讓微軟放緩招募腳步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.bloomberg.com/news/articles/2022-05-26/microsoft-to-slow-hiring-in-windows-office-teams-chat-groups" target="_blank">彭博社</a>》與《<a href="https://www.wsj.com/articles/microsoft-slows-some-hiring-amid-economic-uncertainty-11653600838?mod=djemalertNEWS" target="_blank">華爾街日報</a>》周四（5/26）報導，微軟已對內宣布將放緩Windows、Office、Teams及會議軟體團隊的招聘速度，未來相關團隊要聘人必須經過負責軟體部門的微軟執行副總裁Rajesh Jha的許可，而微軟已對外證實了此事。</p> <p><a href="https://www.ithome.com.tw/news/150958" target="_blank">微軟甫於日前宣布</a>將在此一通膨時代調高薪酬以留住人才，現在則宣布放緩招募腳步。微軟發言人向這兩大媒體表示，有鑑於經濟不確定性，再加上微軟即將進入新的財年（微軟的財年是從7月算起），必須確保資源與機會是正確且一致的，未來一年微軟將會持續新增人手，只是會更關注資源的流向。</p> <p>換句話說，只有特定團隊的招募才會受到更嚴格的規範。</p> <p>其實不只是微軟，Meta也在本月凍結了特定團隊的人力招募，如Facebook Dating、Gaming、Shopping、Messenger Kids與Remote Presence等，但強調仍舊積極招攬機器學習與AI技術人才，此外，目前Meta並未有裁員計畫。<a href="https://www.ithome.com.tw/news/150913" target="_blank">Twitter亦於本月要求兩名高層離職並宣布凍結人事</a>。</p> </div></div></div>
2022/5/27 22:42作者陳曉莉https://www.ithome.com.tw/news/151187
雲端資安業者Lacework裁撤20%員工，FinTech業者Bolt裁員1/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創立於2015年的雲端安全服務供應商Lacework周三（5/25）宣布業務重整，並已裁撤20%的員工。而金融科技業者Bolt Financial也在同一天裁撤1/3，估計兩家業者的裁員人數都超過200名。</p> <p>Lacework表示，在過去幾個月與幾周以來，不論是公共或私有市場都發生了重大的變化，雖然Lacework無法控制周遭的環境，卻有責任控制經營方式並作出必要改變，以讓公司能夠持續並取得長期的成功；在變更該公司的計畫之際，不得不向部分員工道再見。</p> <p>Lacework僅向媒體證實裁撤20%的員工，並未公布明確裁員數字，不過外電引用該公司在今年第一季所公布的員工總數，估算大約有200名員工被裁。</p> <p>另一家美國支付業者<a href="https://www.bloomberg.com/news/articles/2022-05-25/bolt-layoffs-hit-fintech-startup?sref=UBkQzfj0" target="_blank">Bolt Financial也在周三（5/25）裁撤逾200名員工</a>，約占該公司總人數的1/3。</p> <p><a href="https://www.bolt.com/blog/message-from-bolt-ceo" target="_blank">Bolt執行長Maju Kuruvilla表示</a>，金融科技與科技產業正面臨動盪，為了對抗此一宏觀的挑戰，心須確保公司的財務狀況，拓展業務能力，並以既有的資金獲利，因此將進行結構性的改變以專注於核心業務及產品，而這也包括必須減少該公司的人力。</p> <p>2014年成立的Bolt Financial為FinTech領域的獨角獸公司，甫於今年1月完成3.55億美元的E輪增資，當時該公司的估值高達110億美元。</p> </div></div></div>
2022/5/27 22:58作者陳曉莉https://www.ithome.com.tw/news/151188
蘋果宣布調薪，最低時薪提高為22美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據《<a href="https://www.wsj.com/articles/apple-boosting-pay-budget-for-workers-amid-tight-labor-market-11653527996?mod=djemalertNEWS" target="_blank">華爾街日報</a>》與《<a href="https://www.cnbc.com/2022/05/26/apple-says-it-will-raise-pay-for-corporate-and-retail-employees-in-tight-labor-market.html" target="_blank">CNBC</a>》的報導，蘋果周三（5/25）對內宣布將調高企業員工與門市員工的薪資，其中，門市員工的最低時薪將從20美元增加到22美元。</p> <p>蘋果調薪的原因一方面是因為通貨膨脹，另一方面來自於蘋果今年以來的股價下跌了21%，代表員工的股票獎勵也跟著縮水。</p> <p>蘋果則向這兩家媒體表示，支持與保留全球最佳人才，才能讓蘋果提供最好也最創新的產品及服務，為此蘋果已增加整體的薪酬預算。《華爾街日報》則說，此波調薪規畫將在今年7月初生效。</p> <p>今年以來已有許多科技巨頭替員工加薪，最早的是<a href="https://www.ithome.com.tw/news/149254" target="_blank">Amazon在今年2月</a>將企業及科技員工的基本年薪上限，從16萬美元增加到35萬美元，接著Google在5月初宣布將變更其績效審核程序，新程序預計會使得大多數的Google員工獲得更高的報酬，<a href="https://www.ithome.com.tw/news/150958" target="_blank">微軟也在5月宣布</a>將提高薪酬以留住人才。</p> </div></div></div>
2022/5/27 23:15作者陳曉莉https://www.ithome.com.tw/news/151189
【資安日報】2022年5月27日，雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天我們想要特別提出的資安新聞，是與臺廠設備的漏洞修補有關的消息。首先，是有關伺服器的基板管理控制器（BMC）元件漏洞。最近幾年，有研究人員揭露Supermicro伺服器BMC元件漏洞。而在本週，有另一家臺灣雲達（QCT）的伺服器BMC模組，也被發現有重大漏洞。</p> <p>第二個是網路設備廠商兆勤科技，他們公布多項產品線的修補消息。以CVSS風險評分來看，這些漏洞的危險程度多半為中等。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/malwarebytes-news/2022/05/unknown-apt-group-has-targeted-russia-repeatedly-since-ukraine-invasion/"><span style="color: rgb(0, 0, 0);">中國駭客發起多次釣魚郵件攻擊，意圖對俄羅斯散布木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/process-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/process-1.jpg" style="width: 300px; float: right;" /></a>隨著烏克蘭戰爭的進行，有中國駭客暗中向俄羅斯政府發動攻擊，散布惡意軟體。資安業者Malwarebytes指出，他們從2022年2月至4月，發現疑似中國駭客發動了至少4次的網路釣魚攻擊，目的是向對方散布RAT木馬程式。</p> <p>第一起攻擊行動出現在俄羅斯入侵烏克蘭數日後，駭客以提供互動式的烏克蘭地圖為誘餌，想要引誘收信人上當；第二波攻擊行動中，駭客針對俄羅斯聯邦數位發展局、電信業者、聯邦大眾通訊部，宣稱提供Log4Shell漏洞修補程式，其中大部分釣魚郵件寄到了當地國有電視臺RT。</p> <p>而在第三起攻擊行動裡，這些駭客針對該國國防企業Rostec出手，並設置Rostec.digital網站、Instagram與臉書帳號，想要讓開啟信件的人認為真有這家公司；最後一起則是假冒沙烏地阿拉伯國家石油公司（Saudi Aramco）發出徵才訊息，並引誘收信人打開Word附件檔案後啟用巨集。</p> <p>研究人員指出，駭客透過控制流程扁平化（Control Flow Flattening）的手法，來混淆木馬程式的惡意內容，而使得這些駭客的意圖不易被察覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/vidar-distributed-through-backdoored-windows-11-downloads-and-abusing"><span style="color: rgb(0, 0, 0);">攻擊者以提供Windows 11更新的名義散布竊密軟體Vidar</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Vidar-Win11-Figure 2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vidar-Win11-Figure%202.png" style="width: 300px; float: right;" /></a>微軟自去年底推出Windows 11後，有攻擊者以免費提供相關的安裝工具來發動攻擊。例如，資安業者Zscaler最近發現，有人架設假的Windows 11網站，來散布名為Vidar的竊密軟體，駭客使用了與此作業系統名稱相關的網域（如：ms-win11[.]com）讓受害者難以察覺有異。</p> <p>這些網站提供ISO映像檔下載，且檔案相當大，超過300 MB，研究人員指出駭客這麼做的目的，是為了規避防毒軟體偵測，而該映像檔內容含有EXE可執行檔，並冒用防毒業者Avast的過期簽章，來源疑似是2019年系統清理軟體CCleaner遭駭所洩露的簽章。研究人員分析後發現，實際的檔案大小只有3.3 MB，其餘為駭客填充的內容。</p> <p>一旦受害者執行該EXE檔案，電腦就會被植入Vidar，該竊密程式會從建置於加密即時通訊軟體Telegram、社群網站Mastodon伺服器的C2中繼站下載程式庫，進而竊取上網應用程式與網頁瀏覽器的資料。研究人員發現，這些駭客也以免費提供Adobe Photoshop的名義散布Vidar，他們呼籲使用者要從開發者的網站下載軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/spicejet-airline-passengers-stranded-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">印度廉價航空SpiceJet遭勒索軟體攻擊，導致航班延誤起飛</span></a></strong></h3> <p>勒索軟體攻擊航空業者的事故，有可能導致航班受到波及。印度廉價航空業者SpiceJet於5月25日上午，證實前一天晚間部分系統遭到勒索軟體攻擊，而使得當天航班起降受到延遲，但表示IT團隊成功阻止攻擊行動，該公司運作將恢復正常。但在此同時，有許多該公司的客戶在推特、臉書上指出，他們不只遇到誤點，打電話給客服也不通，網路訂票系統亦無法使用。</p> <p>根據資安新聞網站Bleeping Computer進一步了解，只有SpiceJet的首頁、航班狀態頁面正常運作，該公司發言人表示，25日出現的航班誤點，是前一天的事故產生的連鎖效應，部分航班也被取消。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://eclypsium.com/2022/05/26/quanta-servers-still-vulnerable-to-pantsdown/"><span style="color: rgb(0, 0, 0);">雲達修補存在3年的伺服器BMC韌體漏洞Pantsdown</span></a></strong></h3> <p id="Zyxel"><a href="https://s4.itho.me/sites/default/files/images/QCT-BMC-20220527-1535-18975.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QCT-BMC-20220527-1535-18975.png" style="width: 300px; float: right;" /></a>伺服器的基板管理控制器（BMC）元件，可供管理者進行遠端管理，一旦出現漏洞，很有可能被攻擊者用於掌控主機，但最近有研究人員發現，先前揭露的漏洞，影響的範圍可能還會更廣泛。資安業者Eclypsium指出，他們在2021年10月向雲達（QCT）通報，該廠牌有多款伺服器型號，受到BMC重大漏洞Pantsdown（CVE-2019-6260）影響，CVSS風險層級達9.8分。</p> <p>這項漏洞最早在2019年1月揭露，與臺廠信驊科技（Aspeed）生產特定版本的BMC元件有關，當時揭露的研究人員指出，該BMC的SoC硬體功能存在共用組態的情況，導致攻擊者可在未經授權就能執行惡意程式，並在BMC實體位址空間讀寫，而有可能藉接管伺服器，植入勒索軟體、竊密，或是關閉BMC，甚至有機會攻擊其他伺服器。雲達獲報後已著手修補，但表示這些新版韌體將私下提供客戶，不會公開發布。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zyxel.com/tw/zh/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml"><span style="color: rgb(0, 0, 0);">Zyxel修補防火牆、無線基地臺、AP控制器漏洞</span></a></strong></h3> <p id="Zyxel">臺廠兆勤科技於5月24日，發布資安通告，修補旗下防火牆、無線基地臺、AP控制器等多項產品的漏洞，這些漏洞包含了CVE-2022-0734、CVE-2022-26531、CVE-2022-26532、CVE-2022-0910。其中最嚴重的是CVE-2022-26532，這是追蹤流量封包的CLI命令漏洞，波及該廠牌的防火牆、無線基地臺、AP控制器等設備，攻擊者可在取得本機權限的情況下，利用此漏洞於CLI命令注入惡意參數，進而執行作業系統的命令，CVSS風險評分為7.8分。</p> <p>另一個需要注意的部分，有些漏洞只影響特定類型的產品。CVE-2022-0734、CVE-2022-0910會影響防火牆產品，前者為跨網站指令碼（XSS）漏洞，後者為CGI程式存取權限控制不當漏洞，恐讓雙因素驗證降級，使得攻擊者可繞過第2層驗證。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/27 16:50作者周峻佑https://www.ithome.com.tw/news/151184
Tether進入拉丁美洲市場，發表錨定墨西哥披索的穩定幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tether.to/en/tether-launches-mxntugrik-tether-tokens-pegged-to-the-mexican-peso/" target="_blank">Tether Operations Limited在周四（5/26）推出</a>了錨定墨西哥披索（Mexican Peso）的Tether穩定幣MXNT，正式進軍拉丁美洲市場，而這也是該公司繼與美元錨定的USDT、與歐元錨定的EURT，以及與人民幣錨定的CNHT之後，所推出的第四款穩定幣。</p> <p>USDT現階段為全球第三大的加密貨幣，僅次於比特幣與以太幣，也是全球最熱門的穩定幣，現有流通貨幣的市值高達732億美元，相較於USDT，其它Tether穩定幣的表現則失色許多，例如EURT目前的市值為4,280萬美元，CNHT市值更只有300萬美元。</p> <p>不過，光是USDT的成功便足以替Tether帶來極大的信心，Tether引用加密貨幣支付業者Triple A的調查，指出在墨西哥的企業中，有40%有意採用區塊鏈與加密貨幣，以讓墨西哥成為拉丁美洲的加密貨幣中心，而且墨西哥的匯款難度也替穩定幣創造了獨特的機會，MXNT把墨西哥披索加入區塊鏈的作法將提供更快且成本更低的資產轉移選擇。</p> <p>既然是穩定幣，每個的MXNT價格便等同於每個墨西哥披索，且將支援Ethereum、Tron及Polygon等區塊鏈。MXNT的發行亦被Tether視為對拉丁美洲市場的測試，可望替未來進入拉丁美洲的其它與法幣掛鉤的穩定幣舖路。</p> </div></div></div>
2022/5/27 16:30作者陳曉莉https://www.ithome.com.tw/news/151183
AWS開始預覽大型機器學習訓練用GPU執行個體EC2 P4de
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布了最新的EC2 GPU執行個體<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/05/amazon-ec2-p4de-gpu-instances-ml-training-hpc/">P4de</a>，擁有8個80 GB高效能HBM2e GPU記憶體的Nvidia A100 GPU，適用於機器學習訓練和高效能運算應用程式，諸如物件偵測、語義分割、推薦系統和流體力學計算等。</p> <p>P4de執行個體與當前的P4d執行個體相比，GPU數量多了一倍，並且總共擁有640 GB的GPU記憶體，因此以相同的運算量來說，P4de能夠提供多出60％的機器學習訓練效能，成本降低20％。由於效能上的改進，使得P4de執行個體用戶可以減少模型訓練時間，並且加速產品上市時間，官方強調，P4de上所增加的GPU記憶體，也有利於模型在高解析度資料集的訓練。</p> <p>用戶現在可以先在AWS美東N. Virginia，以及美西Oregon地區，用到P4de執行個體，規格大小會以p4de.24xl為主，提供96 vCPU、8個A100-80GB GPU、1.1 TB系統記憶體、8 TB本地端 NVMe SSD、19 Gbps EBS頻寬以及400 Gbps網路頻寬。</p> </div></div></div>
2022/5/27 16:39作者李建興https://www.ithome.com.tw/news/151178
美國科技業者派出大量說客，企圖影響各州隱私及反壟斷法令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議院司法委員會（Senate Judiciary Committee）<a href="https://www.ithome.com.tw/news/149018" target="_blank">在今年1月通過了</a>由參議員Amy Klobuchar主導的反壟斷提案《美國創新及選擇網路法案》（American Innovation and Choice Online Act），原本預計此一由兩黨議員支持的法案將會順利通過參議院的整體表決，然而，Klobuchar周三（5/25）因故修訂了該法案，促使<a href="https://themarkup.org/privacy/2022/05/26/tech-industry-groups-are-watering-down-attempts-at-privacy-regulation-one-state-at-a-time" target="_blank">美國非營利組織The Markup</a>揭開了美國科技業者派出大量說客以影響美國及各州立法的內幕。</p> <p>《美國創新及選擇網路法案》主要用來限制市場上的主要平臺濫用其守門人的勢力，偏好自家的產品或服務，使其競爭對手處於不利的地位，或者是歧視那些使用其平臺的企業，而危及它們在相關平臺上的競爭力。而The Markup的目標則是透過資料新聞學，來討論社會上的道德及科技對社會所造成的影響。</p> <p>說客在美國是個合法的職業，通常是企業延攬說客以企圖影響政治決定或法案內容，但當遊說達到一定規模時，就必須登記，只不過各州法令不一，使得遊說活動的透明度也不一。</p> <p>根據The Markup的調查，包括Amazon、蘋果、Meta、Google與微軟等科技巨頭，在這幾年就於美國31個州聘請了445名說客或遊說公司，以在各州正準備擬定有關使用者隱私的法案時加以干預。當中有75名說客來自同一公司Politicom Law，而Politicom Law則同時替蘋果、Meta、Google與微軟的利益進行遊說。</p> <p>例如猶他州在2021年與2022年的立法期間，這五大科技業者就在該州註冊了23名說客，且當中有13名說客未曾於該州出現。</p> <p>The Markup分析，代表這些大型科技業者的大量說客出現的時間點，是在加州通過並於2020年實施了<a href="https://www.ithome.com.tw/news/135154" target="_blank">《加州消費者隱私法案》</a>（California Consumer Privacy Act，CCPA）之後，科技業者發現太難遵循此一規定，企圖制止其它州的效法。</p> <p>CCPA被視為全美最嚴厲的隱私法，有輕量版GDPR之稱，最關鍵的規定在於要求企業必須向加州居民揭露他們如何使用這些資料，居民不但能夠要求企業不得銷售資料，也能要求企業刪除自己的個資。</p> <p>遭到遊說的議員開始對原本所支持的法案趨於保守，消費者保護組織Consumer Reports的前政策分析師Maureen Mahoney曾在針對各州隱私法案作證時表示，這就是一個數字遊戲，也許會有一兩個組織擁護那些打擊科技巨頭的法案，卻有20個說客要求議員修改法案，否則就要動用影響力來阻撓其它法案。</p> <p>而<a href="https://www.politico.com/news/2022/05/26/vulnerable-senate-democrats-back-off-big-tech-bill-00035307" target="_blank">《Politico》</a>則報導，Klobuchar即是在得知兩黨議員對《美國創新及選擇網路法案》的某些疑慮之後才修改了該法案，這些議員也許是接納了說客的說法，指稱該法案可能會損害Amazon Prime或Google Docs等熱門產品，且現在的立法應該要著重於協助消費者因應通膨問題才是。</p> <p>當民意調查傾向於支持監管科技業者，《美國創新及選擇網路法案》也被認為將順利通過之際，議員的搖擺則替該法案帶了不確定性，Klobuchar向《Politico》表示，這就如同打地鼠遊戲，每次當她認為事情已底定的時候，總是會出現其他的說客。</p> </div></div></div>
2022/5/27 16:09作者陳曉莉https://www.ithome.com.tw/news/151181
英國政府針對多項廣告技術對Google啟動壟斷調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年3月聯合歐盟對Google及Meta啟動網路廣告壟斷調查，<a href="https://www.gov.uk/cma-cases/investigation-into-suspected-anti-competitive-conduct-by-google-in-ad-tech?cachebust=1653555770" target="_blank">本周英國政府再針對出版商廣告平臺等多項廣告技術堆疊，對Google啟動調查</a>。</p> <p>英國競爭主管機關競爭與市場管理委員會（Competition and Markets Authority，CMA）指出，新一波調查是鎖定Google使用的「廣告技術堆疊」（ad tech stack）。CMA所謂的廣告技術堆疊指的是在廣告主及出版商之間，和開放式展示廣告的自動銷售、購買及推送的中介技術。<a href="https://www.ithome.com.tw/news/149884" target="_blank">兩個月前英國和歐盟啟動</a>針對Google及Meta的「Jedi Blue」協議的調查，是針對兩公司的標頭競價服務（header bidding），也是屬於Google使用的廣告技術堆疊中的一環。</p> <p><a href="https://www.gov.uk/government/news/google-probed-over-potential-abuse-of-dominance-in-ad-tech" target="_blank">CMA指出</a>，Google 在廣告技術堆疊的好幾個層次都據有強勢地位。最新調查則是鎖定其他廣告技術的Google行為。CMA將從3個Google獨霸的市場進行調查，包括出版商銷售廣告版位的平臺、出版商（透過即時競價出售廣告版位的）廣告交易平臺、（管理及選擇展示哪些廣告的）出版商廣告伺服器。</p> <p>英國政府想知道Google是否利用其獨占地位，圖利自家服務及平臺。這些行為包括Google是否限制廣告交易平臺和第三方出版商交易平臺的相容性、或是以合約強制綑綁這些服務，誘使客戶只購買其服務，而讓其他同類業者難以競爭。</p> <p>CMA主席Andrea Coscelli指出，在這些市場削弱競爭將導致出版商營收減少，迫使其削減成本造成服務品質下降、或對內容收費，也導致廣告主為了支付更高廣告費用而調升其產品及服務價格。</p> <p>過去幾年來，Google已經因廣告服務壟斷行為遭主管機關判罰，包括2017年搜尋結果偏私自家購物比價服務，<a href="https://www.ithome.com.tw/news/115162" target="_blank">被歐盟罰24億歐元</a>、2019年歐盟又針對第三方網站的AdSense廣告合約中採行限制性條款，阻撓Google競爭者在這些網站上投放搜尋廣告一案，<a href="https://www.ithome.com.tw/news/129489" target="_blank">開罰15億歐元</a>。</p> </div></div></div>
2022/5/27 15:08作者林妍溱https://www.ithome.com.tw/news/151179
Windows Server 2022終於支援WSL 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對Windows Server用戶而言，不能使用WSL 2（Windows Subsystem for Linux 2）頗令人失望。不過<a href="https://twitter.com/craigaloewen/status/1529488221691953154" target="_blank">微軟本周宣布現在Windows Server已經支援WSL 2</a>。</p> <p>WSL 2於2019年釋出，但僅包含於2020年上半釋出的Windows 10 2004版，以及使用半年通道更新的Windows Server。重大更新如Windows Server 2019則無福享受。去年微軟中止了Server半年通道更新，改回以重大更新為主要更新形式。這使得Server 2019和最新版Server 2022用戶迄今仍拿不到WSL 2。</p> <p>新消息對只能使用WSL的Windows Server用戶來說是一大福音。<a href="https://docs.microsoft.com/zh-tw/windows/wsl/compare-versions" target="_blank">根據微軟說明</a>，與第1版WSL相比，WSL 2提供受控VM內的完整Linux核心、效能更佳、且具備完整的系統呼叫相容性。</p> <p>微軟產品經理Craig Loewen說明，現在想主動下載的用戶可以安裝<a href="https://support.microsoft.com/en-us/topic/may-24-2022-kb5014021-os-build-20348-740-preview-2b180bd4-dceb-4c49-b8cf-402b342ebc84" target="_blank">軟體更新KB5014021（OS Build 20348.740）取得WLS 2</a>，很快微軟將會透過定期更新釋出給用戶。</p> <p class="rtecenter"><a href="https://twitter.com/craigaloewen/status/1529488221691953154" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-WSL2-600.png" style="width: 561px;" /></a></p> <p><a href="https://www.xda-developers.com/windows-server-2022-wsl2-distros/" target="_blank">媒體估計</a>定期更新應該是6月分的Patch Tuesday，預定6月14日（臺灣時間6月15日）釋出。</p> </div></div></div>
2022/5/27 11:38作者林妍溱https://www.ithome.com.tw/news/151175
Fintech周報第211期：摩根大通科技預算加碼20%，更要打造雲端原生資料平臺整合第三方資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2022/4/29~2022/5/27 精選金融科技新聞</strong></p> <p><strong>＃雲端原生、＃資料平臺<br /> 摩根大通2022年科技投資將加碼20%，近半數基礎架構投資都是雲端費用</strong></p> <p>摩根大通銀行在5月底的2022投資日報告時，揭露了今年科技預算將大幅成長20%，其中引起高度關注的是，在基礎架構預算中，將會近半數預算用於雲端投資。摩根大通現有4萬名工程師，每個月發布3萬次服務更新，未來1年，CIB將會增加33億美元的科技投資。科技發展重點之一是打造雲端原生資料平臺，來整合內部與第三方的資料，來發展可以跨投資生命周期的解決方案。</p> <p><strong>#NFT、#電子錢包<br /> 卡位NFT生態圈，Line先推NFT交易專用錢包服務，也預告企業贊助貼圖將支援NFT</strong></p> <p>Line將在今年上半年推出NFT平臺Dosi，日前先推出Dosi平臺上的錢包服務Dosi Wallet，可支援用信用卡、電子支付如Line Pay與加密貨幣來進行NFT交易。可用Line帳號或其他社群帳號申請，臺灣也可以申請。目前Line先在4月初先推出日本市場專屬NFT交易平臺，年中才會正式推出支援8種語言和180國的Dosi平臺。Line的NFT戰略要提供一整套NFT產品的基礎架構，不只與自家產品生態圈結合，目前也正在上百個合作夥伴討論數位資產應用方式。在5月日本一場線上活動（Biz Day）中，Line更透露了與自家產品整合的其中一項做法，Line企業贊助貼圖將支援NFT，企業可用限量專屬的NFT，來進行貼圖促銷活動，預計夏天就會開始測試。</p> <p><strong>#信用卡交易、#Google<br /> Google推出虛擬信用卡，線上刷卡自動帶出虛擬卡號避免遭業者濫用或外洩</strong></p> <p>Google在Chrome瀏覽器及Android推出了虛擬信用卡號（Virtual Card Numbers）的功能，可降低線上購物時信用卡號外洩風險。運行方式如同瀏覽器的autofill功能。它會在線上交易結帳階段使用者於網頁上填入信用卡資訊，包括驗證碼時自動填入，可取代真實信用卡資訊傳送給交易平臺或店家，不必擔心信用卡或驗證碼遭業者濫用或因平臺遭駭外洩，為線上交易多加一層安全防護。今年夏天先在美國推出。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%E8%99%9B%E6%93%AC%E5%8D%A10-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.jpeg" /></p> <p> </p> <p><strong>#信用卡交易、#刷臉支付<br /> 要讓社區雜貨店都能用，MasterCard正式發表人臉、掌紋付款功能</strong></p> <p>發卡組織萬士達卡宣布生物辨識結帳方案（Biometric Checkout Program），讓使用者可在店內或線上購物時免卡、免手機結帳。透過綁定臉部影像或手部特徵和信用卡帳戶，讓消費者在購物結帳時不需要再刷信用卡。MasterCard表示，希望建立適合從大型商店到社區雜貨店等所有規模商店適用的數位支付標準，目前已和NEC、富士通、以及巴西臉部辨識支付軟體商PayByFace、支付處理後臺業者Aurus、身份驗證閘道供應商PopID合作臉部支付方案。目前也打算在巴西聖保羅的5間超市測試。</p> <p><strong>#電子錢包、#Android<br /> Google Wallet回歸將在臺等40多國推出，不只整合信用卡，還能支援票卡、證件和鑰匙</strong></p> <p>Google在I/O大會中發表了全新的Google Wallet，可支援交通運輸、活動票券、登機證、會員卡、學生證或是汽車鑰匙，今年稍晚將數位身分證件、駕照也能放進Google Wallet中，甚至使用手機取代房卡或門禁卡，進入旅館或辦公大樓。Google Wallet將在包括臺灣在內40多個國家地區推出。Google已與數百家的運輸公司、零售商、票券商、衛生機構、航空公司合作，開發適用於 Google Wallet的數位卡片或票券。</p> <p><strong>#碳足跡、#奧蘭指數<br /> 繼王道銀行，渣打銀行也跟進在臺推出信用卡消費碳足跡</strong></p> <p>淨零碳排開始成為消費金融商品的主打特色，繼3月底，王道銀行在App中提供信用卡消費碳排明細之後，渣打銀行也在5月中推出可提供碳足跡的信用卡。王道銀行採用了萬事達卡的碳足跡計算器功能，來使用由瑞典科技公司Doconomy提供的奧蘭指數服務，來估算每一筆消費紀錄所產生的碳排放量。而渣打銀行則直接與Doconomy合作，採用同樣的奧蘭指數來估算。奧蘭指數可針對47種消費者購買商品常見產業，來計算不同生活消費活動的碳足跡和水資源消耗。</p> <p><strong>#加密貨幣崩盤、#Luna、#UST<br /> UST與Luna加密貨幣5月中大崩盤市值跌破1%，南韓檢察官展開調查</strong></p> <p>UST與Luna在5月中旬大崩盤，市值下滑超過99%，原本應與美元掛鉤的UST目前的價格只有0.0685美元，用來平衡UST、崩盤之前還有60美元的Luna，到5月底則只剩0.000199美元。區塊鏈分析業者 Elliptic曾估計，UST與Luna幣用戶在5月中旬的一周內就損失了420億美元。根據南韓媒體的報導，首爾檢察官辦公室的金融證券犯罪聯合調查組已開始針對Terra USD（UST）及Luna等加密貨幣的崩盤展開調查，調查對象包括打造Terra區塊鏈專案的Terraform Labs，以及Terraform Labs的共同創辦人暨執行長Do Kwon。</p> <p><strong>#NFT交易、#IG<br /> IG開始在測試NFT收藏品展示功能，未來臉書也將支援</strong></p> <p>Meta創辦人祖克柏宣布開始於Instagram測試數位收藏品功能，允許創作者及收藏家可透過自己的個人檔案來展示他們的NFT數位物件，不過，目前只開放特定人測試，還沒全面開放。Instagram負責人Adam Mosseri則說明，在該平臺不管是張貼或分享數位收藏品都是免費的。不只是Instagram，類似的功能很快也將進駐臉書，未來也能透過Spark AR平臺於Instagram Stories上展示擴充實境的NFT作品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IG-NFT%E6%94%B6%E8%97%8F%E5%B1%95%E7%A4%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IG.jpeg" /></p> <p><strong>#數據基礎架構、#跨子公司行銷<br /> 國泰金控正在打造跨子公司一站式行銷平臺，來發展數位行銷流程自動化</strong></p> <p>國泰金控在自家技術研討會上分享了數據平臺基礎建設發展歷程，從資料倉儲，一路到開源大數據分析平臺Hadoop、自建機器學習平臺和數據中臺，來打造前端業務新工具，其中一項正在開發的是跨子公司一站式行銷平臺，來解決過去整合行銷流程中的大量斷點挑戰，專供內部行銷人員使用。國泰金控旗下數位數據暨科技發展中心整合了多種數據，如用戶屬性、產品持有和數位足跡等，來降低分析門檻，也預先在客戶資料貼標、進行數位辨識，完成基本的數據處理。還提供了一套視覺化平臺來比對不同客群的樣態差異。也能透過系統自動化串接，對特定客群名單進行名單廣告投放，並將投放成效結果，整合至內部資料庫，方便行銷人員在單一平臺上追蹤來調整行銷策略。</p> <p> </p> <p><strong>責任編輯：王宏仁</strong></p> <p>更多Fintech新聞</p> <ul><li>歐洲央行總裁呼籲應監管加密貨幣</li> <li>a16z設立第四個加密貨幣基金，規模達45億美元</li> <li>Google Cloud成立新部門，將開發企業級NFT區塊鏈平臺</li> </ul></div></div></div>
2022/5/27 10:43作者王宏仁https://www.ithome.com.tw/news/151169
合勤修補防火牆、無線基地臺、AP控制器等產品漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zyxel.com/tw/zh/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml" target="_blank">網路設備大廠合勤本周發布安全更新</a>，修補影響防火牆、無線基地臺（AP）及AP控制器等產品，能讓攻擊者執行任意指令、引發緩衝溢位、資訊外洩及繞過2FA驗證的數項漏洞。</p> <p>合勤近日接到外部研究人員通報4項安全漏洞並予以修補。這4項漏洞分別為CVE-2022-0734（5.8）、CVE-2022-26531、CVE-2022-26532、及CVE-2022-0910（6.5）。其中最嚴重的是CVE-2022-26532，為防火牆、AP、AP控制器的packet-trace CLI指令中的指令注入漏洞，可讓具本地權限的攻擊者在CLI指令注入惡意引數，以執行任意OS指令。本漏洞為風險值7.8，屬高風險漏洞。</p> <p class="rtecenter"><a href="https://www.zyxel.com/tw/zh/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-Zyxel%20%E5%90%88%E5%8B%A4%200524%20%E5%AE%89%E5%85%A8%E5%85%AC%E5%91%8A.png" style="width: 600px;" /></a></p> <p>CVE-2022-26531則為CLI指令中的輸入驗證不當漏洞，風險值6.1，也是影響防火牆、AP、AP控制器。這項漏洞可讓具本地權限的攻擊者傳送惡意負載（payload）引發緩衝溢位或系統癱瘓。</p> <p>另二項則只影響合勤防火牆產品。其中CVE-2022-0734為影響CGI程式的跨網站指令碼（cross-site scripting）漏洞，讓攻擊者可透過注入惡意script指令，獲取儲存在裝置瀏覽器中的資訊，如cookies或連線令牌（session tokens）等。CVE-2022-0910則是CGI程式的訪問控制不當漏洞，可使雙因素驗證（2FA）降級為單因素驗證，這讓具有授權的攻擊者可繞過第2層驗證，連到IPsecVPN伺服器，即使防火牆已啟動2FA。2項漏洞風險值5.8及6.5，皆屬中度風險。</p> <p>受4項漏洞影響的防火牆產品涵括USG/ZyWALL及USG FLEX、ATP系列、VPN系列。NSG系列則只受CVE-2022-26532及CVE-2022-26531影響。受CVE-2022-26532及CVE-2022-26531影響的無線基地臺產品有近30項。上述產品合勤已釋出更新版軟體修補。</p> <p>至於受CVE-2022-26532及CVE-2022-26531影響的AP控制器包括NXC2500及NXC5500，合勤表示用戶應主動聯絡服務窗口提供修補程式。</p> </div></div></div>
2022/5/27 10:44作者林妍溱https://www.ithome.com.tw/news/151170
伺服器韌體爆3年重大漏洞，影響雲達伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eclypsium.com/2022/05/26/quanta-servers-still-vulnerable-to-pantsdown/" target="_blank">研究人員發現</a>，雲達（Quanta Cloud Technology，QCT）旗下數款產品存在一BMC韌體安全漏洞可使伺服器遭遇遠端程式碼執行攻擊。所幸雲達已經修補完成。</p> <p><a href="https://eclypsium.com/2022/05/26/quanta-servers-still-vulnerable-to-pantsdown/" target="_blank">Eclypsium研究人員近日發現</a>，多款雲達伺服器受到編號CVE-2019-6260的漏洞影響。研究人員並開發出一項概念驗證攻擊程式，展示能遠端存取系統的非授權攻擊者可在雲達伺服器的BMC內執行程式碼。</p> <p>CVE-2019-6260漏洞外號為Pantsdown，根源在臺灣信驊科技（ASPEED）生產的基頻管理控制器（Baseband Management Controller，BMC）ASPEED ast2400及ast2500硬體與韌體。<a href="https://www.flamingspork.com/blog/2019/01/23/cve-2019-6260-gaining-control-of-bmc-from-the-host-processor/" target="_blank">根據最早發現的研究人員指出</a>，ASPEED BMC SoC硬體功能的共用組態問題，讓惡意程式可從主機（少部份情況下可從BMC控制臺）非授權存取，而在BMC實體位址空間任意讀寫。<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-6260" target="_blank">Pantsdown漏洞風險值高達9.8</a>，屬重大漏洞。</p> <p>而基於供應鏈關係，3年前漏洞公布時，許多BMC韌體堆疊受到Pantsdown漏洞影響，包括OpenBPC、AIMI的BMC、及SuperMicro。</p> <p>Eclypsium指出，Pantsdown可讓攻擊者接管伺服器，可以在伺服器內植入勒索軟體、竊取機密或關閉BMC甚至整臺系統。若在BMC內執行程式碼，攻擊者還能竊取BMC登入憑證，而使其攻擊同一IPMI群組內的其他伺服器，是一重大風險漏洞。由於去年初還爆出網路上流傳以名為<a href="https://www.ithome.com.tw/news/148702" target="_blank">iLOBleed的BMC惡意程式</a>攻擊伺服器，因此研究人員呼籲QCT客戶要小心驗證其伺服器的元件安全性。</p> <p>研究人員於去年10月通知雲達。雲達表示已經解決這項漏洞，並將更新後的韌體提供給客戶，但這些韌體將不會公開。</p> </div></div></div>
2022/5/27 11:14作者林妍溱https://www.ithome.com.tw/news/151172
博通宣布將以610億美元買下VMware
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-acquire-vmware-approximately-61-billion-cash-and-stock" target="_blank">美國晶片製造商博通（Broadcom）周四（5/26）宣布</a>將以610億美元買下軟體業者VMware，此一交易已獲得雙方董事會的同意，將同時以現金及股票支付，預計在2023年10月31日以前完成交易。未來博通的軟體部門（Broadcom Software Group）將直接更名為VMware，並納入博通既有的基礎設施與安全軟體解決方案。</p> <p>成立於1998年的VMware為一雲端運算暨虛擬技術軟體業者，它在2003年以6.25億美元賣給了EMC，隨著Dell在2015年以670億美元買下EMC而進入Dell的麾下，Dell則在2021年拆分了VMware。現在的VMware主打多雲解決方案，涵蓋應用程式現代化、雲端管理、雲端基礎設施、網路服務、安全及Anywhere Workspace等。</p> <p>博通執行長Hock Tan表示，此一交易結合了博通的半導體與基礎設施軟體業務，以及VMware的企業軟體，將讓博通成為領先的基礎設施技術公司。博通的軟體部門總裁Tom Krause則說，VMware平臺與博通的基礎設施軟體解決了企業的不同需求，合併後將能替企業帶來更有效益與安全的服務。</p> <p>根據雙方的協議，此一交易的現金及股票將各占一半，VMware股東可以選擇接受每股142.5美元的現金，或是0.252股的博通股票，以博通於25日及VMware在20日的收盤價來計算，博通是以44%的溢價買下了VMware，此外，博通也將承擔VMware的80億美元負債。</p> <p>VMware在20日的收盤價為95.71美元，當天之後此一收購傳聞即甚囂塵上，也讓VMware股價一路上漲，周四（5/26）收盤價已達120.54美元。</p> <p>博通與VMware也都在同一天公布了最近一季的財報。其中，<a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-inc-announces-second-quarter-fiscal-year-2022-financial" target="_blank">博通在截至今年5月1日的2022財年第二季創下了810億美元的營收</a>，比去年同期成長23%，在博通的營收中有77%來自半導體解決方案，23%為基礎設施軟體。</p> <p>至於<a href="https://ir.vmware.com/download/companies/vmware/Quarterly%20Reports/VMware%20Reports%20Fiscal%20Year%202023%20First%20Quarter%20Results.pdf" target="_blank">VMware所公布的則是截至4月30日的2023財年第一季營收</a>，該季VMware創下30.9億美元的營收，僅比去年同期成長3%，其中，訂閱與SaaS業務營收為8.99億美元，約占總營收的29%，授權營收則是5.71億美元。</p> <p>Dearjasmine</p> </div></div></div>
2022/5/27 09:56作者陳曉莉https://www.ithome.com.tw/news/151167
Google雲端N2D、C2D VM現支援高效能機密運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在其Compute Engine運算服務<a href="https://cloud.google.com/blog/products/identity-security/introducing-confidential-computing-with-n2d-and-c2d-vms">N2D與C2D虛擬機器上，推出機密運算</a>，這將使得資料不只在傳輸與靜止狀態加密，同時在運算時也能維持資料的私密性，用戶將可確保資料不會暴露給雲端供應商，甚至是內部人員。</p> <p>機密虛擬機器是Google第一個機密運算產品，虛擬機器為一種Compute Engine虛擬機器，可以確保客戶的資料和應用程式，即便是在使用階段，也都能維持加密狀態。</p> <p>Google分別在2021年底與今年初，發布採用第三代AMD EPYC處理器的兩款虛擬機器N2D與C2D，N2D設計為通用運算機器類型，適合用於處理一般的工作負載，但同時又提供較大的虛擬機器規格與記憶體，滿足諸如網頁應用程式和資料庫等，對運算與記憶體的需求。</p> <p>C2D則是針對運算進行最佳化的機器類型，該執行個體是目前Compute Engine中，最佳化運算系列中尺寸最大的虛擬機器，可符合高效能資料庫與高效能運算的需求。目前N2D與C2D上都開始機密運算預覽。</p> <p>Google藉由使用第三代AMD EPYC處理器的AMD安全加密虛擬化功能（Secure Encrypted Virtualization，SEV）來提供機密運算功能。AMD SEV功能可讓機密虛擬機器，在執行高效能運算下，同時以處理器生成和管理每個虛擬機器的專用金鑰，並對虛擬機器記憶體進行加密，這些金鑰在虛擬機器創建期間，由處理器產生，並單獨存留在該虛擬機器中，Google或是主機上其他虛擬機器皆無法存取。</p> <p>目前支援機密運算的N2D與C2D虛擬機器已在全球各地推出，包括北美、新加坡、臺灣和荷蘭。</p> </div></div></div>
2022/5/27 10:15作者李建興https://www.ithome.com.tw/news/151160
微軟正式推出跨平臺開發框架.NET MAUI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其Build 2022大會，正式發表<a href="https://devblogs.microsoft.com/dotnet/introducing-dotnet-maui-one-codebase-many-platforms/">.NET MAUI（Multi-platform App UI）跨平臺框架</a>，該框架可讓.NET開發者將一份程式碼，用於建構多平臺應用程式，包括Android、iOS、macOS、Windows和Tizen，官方提到，.NET MAUI將作為.NET工具鏈和基本類別函式庫的補充，讓開發者能夠以.NET建構各種應用程式。</p> <p>.NET MAUI的目標，是讓開發者可以在每個支援的平臺，都能使用原生UI，講求開箱即用，不需要額外添加小工具或是樣式來模仿，每個平臺的外觀和行為，都會符合其應有的樣式，像是Windows上的.NET MAUI便是使用WinUI 3，而WinUI 3正是Windows App SDK所附帶的主要原生UI元件。</p> <p>.NET MAUI奠基於行動開發框架Xamarin之上，但額外新增支援多視窗桌面應用程式、選單列、全新動畫、邊框和陰影等功能。</p> <p>不只如此，.NET MAUI也適用於網頁開發者，賦予其具有開發原生客戶端應用程式的能力，由於.NET MAUI與Blazor整合，因此開發人員便可以在原生行動和桌面應用程式裡，重複使用Blazor網頁UI元件，建構出跨行動、桌面和網頁平臺的單一UI。</p> <p>由於Blazor元件也在.NET程序中編譯和執行，因此這些元件便不受限於網頁平臺，可使用諸如通知、藍牙、地理位置、感測器和文件系統等原生平臺功能，開發者甚至可以直接在Blazor網頁UI元件旁，添加原生UI控制元件，開發出新的混合應用程式。</p> <p>.NET MAUI作為廣泛.NET生態系的基礎，這也僅是微軟改造跨平臺應用程式開發體驗的開端，接下來微軟還會將.NET Framework和舊專案中的套件、函式庫和服務，帶到.NET 6和SDK樣式專案中。</p> <p>要在Windows上使用.NET MAUI，開發者需要安裝Visual Studio 2022 17.3 Preview 1.1以上版本，並且在安裝程式中，選擇.NET Multi-platform App UI development工作負載選項。而在Mac上，則需使用Visual Studio 2022 17.3 Preview 1以上版本。不過，Visual Studio 2022將會在今年稍晚的時候，才會正式支援.NET MAUI的開發工具。</p> </div></div></div>
2022/5/27 10:18作者李建興https://www.ithome.com.tw/news/151162
【資安日報】2022年5月26日，勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年有不少勒索軟體駭客開始打造可攻擊VMware ESXi虛擬化平臺的工具，這陣子又有新的勒索軟體投入攻擊這類系統的行列。但有所不同的是，這次駭客加密檔案的手法似乎較為複雜，且會特別檢查檔案的存取權限再下手。</p> <p>駭客在竊得大筆企業客戶資料後，過了一段時間開始有人透過加密通訊軟體Telegram的頻道，散布給其他人士。最近有研究人員發現，駭客透過Telegram頻道來散布美高梅度假村（MGM Resorts）在2年前遭竊的住房資料，估計可能至少有3千萬房客受到影響。</p> <p>在資安漏洞的消息中，物聯網與工控設備的資料自動化處理平臺存在的資安風險，很可能會導致用戶資訊外洩，或是相關系統面臨服務阻斷的情況。研究人員在自動化系統Open Automation Software Platform上發現8個漏洞，而值得相關產業的組織特別留意，並儘速更新軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/e/new-linux-based-ransomware-cheerscrypt-targets-exsi-devices.html"><span style="color: rgb(0, 0, 0);">Linux勒索軟體Cheerscrypt鎖定VMware ESXi而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cheerscrypt05REV3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cheerscrypt05REV3.png" style="width: 200px; float: right;" /></a>勒索軟體駭客組織LockBit、Hive、RansomEXX等，這兩年紛紛投入Linux版勒索軟體開發，且主要目標就是鎖定組織的虛擬化平臺VMware ESXi，最近有新的勒索軟體也加入行列，同時攻擊手法出現了變化。</p> <p>趨勢科技揭露名為Cheerscrypt的勒索軟體，駭客在成功入侵VMware ESXi伺服器後，下達要加密檔案的資料夾路徑，該勒索軟體便會先執行ESXCLI命令來終止所有正在運作的虛擬機器（VM），並在加密檔案之前，先為這些檔案加入.cheer的副檔名，這種先更動檔案名稱再加密的做法算是相當少見，但為何駭客要這麼做？研究人員認為，駭客的目的是為了確認能夠擁有足夠的權限，存取即將要加密的檔案。再者，該勒索軟體也在加密所有檔案後，找出事件記錄（Log）檔案與ESXi相關的檔案（VMDK、VMEM、VSWP、VMSN），並留下勒索訊息，向受害組織索討贖金。</p> <p>值得留意的是，在檔案加密的過程裡，駭客透過一組公鑰與私錀，來產生私鑰，並透過Sosemanuk串流加密法製造密鑰（Secret Key），並在遭到加密的檔案嵌入公鑰，然後刪除受害系統上的私鑰，一旦受害者想要恢復檔案，就要向駭客取得前述的私鑰才有機會進行解鎖。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/how-to-hunt-for-decisivearchitect-and-justforfun-implant/"><span style="color: rgb(0, 0, 0);">後門程式BPFDoor利用Solaris漏洞取得root權限</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BPFDoor-Picture1-14.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BPFDoor-Picture1-14.png" style="width: 300px; float: right;" /></a>數名資安人員在5月上旬，揭露專門鎖定Linux、Solaris主機的後門程式BPFDoor，駭客運用此後門程式長達5年未被發現，最近有資安業者公布更多細節。資安業者CrowdStrike表示，他們從2019年開始針對電信業者的攻擊行動進行追蹤，也發現駭客組織Red Menshen（亦稱DecisiveArchitect）利用BPFDoor（亦稱JustForFun）的攻擊行動，並指出駭客如何掌控執行Solaris作業系統的主機。</p> <p>研究人員指出，駭客在成功入侵Solaris作業系統後，就會利用存在於XScreenSaver元件的漏洞CVE-2019-3010，來取得root權限，這項漏洞存在於Solaris 11版作業系統，CVSS風險層級為8.8分，駭客很有可能連續使用了長達3年之久，且會在投放BPFDoor後利用此漏洞，然後透過LD_PRELOAD環境變數，在受害主機上進行命令列欺騙攻擊。</p> <p>到了今年4月，這些駭客調整了攻擊手法，也在Linux主機上濫用相同的變數，同時透過處理程序/sbin/agetty將BPFDoor載入。除上述發現之外，研究人員也指出，駭客在初期的入侵階段也會攻擊Windows電腦，但他們沒有發現駭客對這些電腦植入惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vpnmentor.com/blog/mgm-leaked-on-telegram/"><span style="color: rgb(0, 0, 0);">美高梅度假村外洩1.4億筆資料出現在Telegram頻道供人下載</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/MGM-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MGM-Telegram.png" style="width: 200px; float: right;" /></a>駭客透過加密通訊軟體Telegram的頻道，來洩露竊得資料的情況，有可能讓許多人能夠進行濫用。例如，美高梅度假村（MGM Resorts）於2020年上半傳出資料外洩，駭客在地下市集以2,900美元的價格，出售逾1.42億筆住宿資料，但最近這些資料傳出有人透過即時通訊軟體免費散布。</p> <p>VPN服務介紹網站vpnMentor的資安研究人員於5月22日表示，他們看到駭客在Telegram的頻道裡，免費提供上述外洩的資料，這些資料的檔案大小約8.7 GB，共有142,479,938筆住房記錄，至少有3千萬房客受到波及。這些資料的內容，包含了2017年以前的資料，內有房客全名、生日、地址、電子郵件信箱、電話號碼等。</p> <p>不過，上述事故並非駭客首度透過Telegram公布竊得的資料，在今年5月上旬，有人透過Telegram頻道散布2,100萬名VPN用戶的個資，這些服務包含了SuperVPN、GeckoVPN，以及ChatVPN。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/goodwill-ransomware-forces-victims-to-donate-to-the-poor-and-provides-financial-assistance-to-patients-in-need/"><span style="color: rgb(0, 0, 0);">劫富濟貧？以慈善之名道德勒索被攻擊者？勒索軟體GoodWill要求受害者向貧民捐輸，以換取解密金鑰</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/GoodWill-ransom-note-42.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoodWill-ransom-note-42.png" style="width: 300px; float: right;" /></a>勒索軟體駭客往往要求受害者支付贖金，以換取解密金鑰，但也有駭客要求對方從事公益活動來換取。資安業者CloudSEK指出，他們在今年3月發現名為GoodWill的勒索軟體攻擊行動，而這些駭客最引起研究人員注意的地方，在於提供受害者解密金錀的條件，他們要求對方必須依照指示幫助窮人，然後在臉書、Instagram、WhatsApp等社群網站上公開發布相關訊息。</p> <p>這3件事分別是為無家可歸的人士提供新衣服、帶5個貧窮的兒童到速食店（達美樂、必勝客、肯德基擇一）飽餐一頓，以及為需要緊急醫療的窮人支付相關費用。受害者完成上述要求後，還必須在社群網站上發布訊息，表明自己因為遭到勒索軟體GoodWill攻擊後，依照駭客的要求成為願意幫忙他人的人士。如此一來，駭客就有可能會提供給他們可復原檔案的解密金錀。</p> <p>根據研究人員的調查，駭客很可能來自印度，GoodWill疑似修改自土耳其開發者的勒索軟體HiddenTear，入侵受害電腦後會休眠722.45秒來干擾端點防護系統的分析，並使用AES演算法加密檔案，此外，該勒索軟體還會檢查受害電腦的地理位置。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/05/vuln-spotlight-open-automation-platform.html"><span style="color: rgb(0, 0, 0);">物聯網與工控設備資料自動化處理平臺OAS重大漏洞恐造成資訊洩露、服務停擺</span></a></strong></h3> <p id="Zyxel">資料自動化排程及處理系統的資安威脅，有可能洩露組織的機敏資料，甚至讓攻擊者遠端執行任意命令。思科威脅情報團隊Talos指出，他們在自動化系統Open Automation Software Platform（OAS Platform）上，找到8個漏洞，當中包含了重大漏洞CVE-2022-26833與CVE-2022-26082，這兩個漏洞的CVSS風險評分達到9.4分、9.1分。攻擊者一旦利用這些漏洞，就有可能在未經身分驗證的情況下使用REST API，或是能執行任意程式碼。</p> <p>其餘的6個漏洞，部分可讓攻擊者透過偽造的網路請求，發動阻斷服務（DoS）攻擊，有的則能讓攻擊者取得資料夾清單，甚至能截取使用者帳密列表，而也有漏洞可被攻擊者用於從外部竄改組態，建立新的群組與使用者帳號。</p> <p>上述漏洞OAS獲報後，已發布OAS Platform 16.00.0112版予以修補，研究人員呼籲用戶應儘速安裝新版程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151131"><span style="color: rgb(0, 0, 0);">Zoom修補可讓攻擊者任意傳送訊息的漏洞</span></a></strong></h3> <p id="Zyxel">隨著遠距工作成為常態，視訊會議系統一旦出現漏洞，有可能讓他人可以隨意向用戶發送訊息。Zoom於5月17日發布用戶端軟體5.10.0版，這個版本修補了Google研究人員通報的4項漏洞，影響電腦版（Windows、macOS、Linux）與行動裝置（Android、iOS）用戶。</p> <p>這些漏洞個別的CVSS風險層級為5.9分至8.1分，但研究人員指出，駭客一旦串連上述4個漏洞，就有可能發動XMPP Stanza Smuggling的攻擊行動，進而以發送XMPP訊息的方式，從遠端伺服器下載並部署惡意程式到對方裝置上，而且過程中無須受害者執行任何操作。Zoom呼籲用戶儘速更新軟體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@h4x0r_dz/vulnerability-in-paypal-worth-200000-bounty-attacker-can-steal-your-balance-by-one-click-2b358c1607cc"><span style="color: rgb(0, 0, 0);">PayPal漏洞可被駭客用於點擊劫持攻擊，挾持用戶帳號與金錢</span></a></strong></h3> <p id="Zyxel">研究人員揭露去年通報的漏洞，有可能被用於點選挾持攻擊（Clickjacking）而引起外界關注。資安人員h4x0r_dz最近公布他在去年10月向PayPal通報的漏洞，並指出攻擊者一旦利用這項漏洞，有可能藉著劫持網頁上可點選的內容，引誘使用者點選另一個網頁上的按鈕或是連結。</p> <p>該名研究人員指出，攻擊者可透過這樣的管道，從他人的PayPal帳號偷取金錢，或是利用受害者的PayPal帳號，為自己的Netflix、Steam等線上服務儲值。研究人員也提供概念性驗證攻擊影片驗證上述漏洞。PayPal獲報後已修補相關漏洞，並提供20萬美元獎勵。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/26 16:41作者周峻佑https://www.ithome.com.tw/news/151159
ProtonMail將公司名稱更名為Proton
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於瑞士、專門提供端對端加密電子郵件的<a href="https://proton.me/news/updated-proton" target="_blank">ProtonMail於周三（5/25）宣布</a>，已把公司名稱從ProtonMail變更為Proton，網址也從Protonmail.com改為Proton.me，且使用者只要透過單一帳號就能同時存取Proton Mail、Proton VPN、Proton Calendar與Proton Drive服務。</p> <p>ProtonMail更名的原因與Facebook相仿，它們都是以同名的服務起家，但隨著業務不斷地擴大，只好變更企業品牌以作因應。</p> <p><a href="https://proton.me/pricing" target="_blank">Proton目前提供3種方案</a>，包括免費的Proton Free、強調電子郵件服務的Mail Plus，以及可以無限使用所有Proton服務的Proton Unlimited，後兩者的每月訂閱費用分別是3.99歐元與9.99歐元。不管是使用哪一種方案，都能夠存取電子郵件、VPN、行事曆與硬碟服務，只是規格不同。</p> <p>免費方案僅供應一個電子郵件位址，每日訊息上限為150則，附加檔案最大可達25MB，可建立3個文件匣與3個標籤，容量上限為1GB，另支援1個行事曆，1個來自3個國家的VPN連線，中等VPN速度，1GB的雲端硬碟空間。</p> <p>Mail Plus可有10個電子郵件帳號，以及1個客製化的電子郵件網域，不限訊息數量與文件匣，附加檔案限制同樣是25MB，容量上限為15GB，另支援20個個人行事曆，以及具中等速度的1個VPN連線，15GB的雲端硬碟空間。</p> <p>Proton Unlimited可有15個電子郵件帳號，3個客製化電子郵件網域、25MB的附加檔案，無限的訊息數量與文件匣，容量上限為500GB，另支援20人行事曆，10個來自逾60個國家的快速VPN連線，500GB的雲端硬碟空間。</p> <p>目前不管哪個方案的Proton Drive雲端硬碟服務都仍在測試中，且Proton行動程式的能力依據平臺而有所不同，例如iOS版僅支援電子郵件與VPN服務，Android版則可支援郵件、VPN與行事曆服務，雲端硬碟則尚未出現在行動程式中。</p> </div></div></div>
2022/5/26 18:45作者陳曉莉https://www.ithome.com.tw/news/151163
Luminar挖角蘋果自駕車系統總監CJ Moore
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.luminartech.com/attracts-former-nvidia-tesla-apple-and-tier-1-executives/" target="_blank">專門開發自駕車所需之視覺光達與機器感測技術的Luminar在25日宣布</a>，已延攬多名自駕車人才，包括協助成立Nvidia汽車部門的Taner Ozcelik，以及蘋果自駕車系統總監CJ Moore。</p> <p>Ozcelik在2004年至2014年間協助Nvidia創立了汽車部門，離職時擔任Nvidia汽車暨嵌入式業務的總經理，也是Nvidia的副總裁，接著在2014年至2021年間為美國半導體業者ON Semiconductor智慧感測部門的總經理。</p> <p>加入Luminar之後，Ozcelik同樣擁有副總裁及總經理的頭銜，掌管產品開發、研發、專案管理，以及Luminar的半導體業務。</p> <p>至於CJ Moore則有6年的特斯拉（Tesla）工作經歷，為特斯拉自動輔助駕駛軟體Autopilot的總監，並在2021年8月轉至蘋果任職，也是蘋果自駕車系統的總監，不到一年就被挖角至Luminar，將主導Luminar的軟體開發團隊，職稱為軟體副總裁。</p> <p>除了這兩名分別屬於硬、軟體的大將之外，近期Luminar還延攬了多位各路好手，包括協助Luminar擴張中國市場的Jackie Chen，他曾任Harman International中國總裁；現為Luminar的專案管理總經理的Rimjhim Dasgupta則曾於蘋果、AMD與Intel任職；負責生產業務的Jared Jacobs曾是ZF Group全球電子產品總經理；負責Luminar先進開發的Anders Grunnet-Jepsen曾為Intel RealSense技術長；負責Luminar專利的Chris Lubeck曾擔任特斯拉的專利長。</p> <p>Luminar的聲明清楚地描繪了自駕車市場的人才流動，外界則將目光集中在蘋果，因為根據<a href="https://www.bloomberg.com/news/articles/2022-05-25/apple-car-director-moore-heads-to-luminar-after-less-than-a-year" target="_blank">《彭博社》（Bloomberg）的</a>報導，這兩年來蘋果自駕車專案的主管幾乎全都離職了，不過，蘋果同樣也向Ford與Rivian等其它競爭對手挖來新人才。</p> <p>可能是因為有了Ozcelik與Moore助陣，Luminar當天的股價上漲了8.5%，以9.19美元作收。</p> </div></div></div>
2022/5/26 19:12作者陳曉莉https://www.ithome.com.tw/news/151164
微軟正式推出跨平臺開發框架.NET MAUI，可單一專案處理多平臺開發，還支援Blazor框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在2022 Build開發者大會上宣布，.NET 6正式內建了.NET多平臺UI開發框架.NET MAUI，可以用C#跟XAML語言開發Android、iOS、Windows、MacOS及Tizen的跨平臺應用程式。.NET MAUI正式版將從新版Visual Studio 2022 17.3開始支援。</p> <p>過去，要在Visual Studio中開發跨行動平臺的App，必須借助Xamarin開發工具。隨著.NET MAUI進入正式版本，意味著微軟開發生態系，更進一步支援iOS和Android兩大行動平臺。 </p> <p>.NET MAUI一大亮點，就是可以在單一專案中進行多種平臺的開發，不再需要為不同平臺的版本分別開專案，省下不少管理和統一各平臺專案的時間。開發人員可以統一管理字體、圖片、圖示等格式，由.NET MAUI將這些設定套用到個別平臺版本中。若有需要，開發人員還是可以針對個別平臺需要調整處寫專門的程式碼，甚至可以像過去一樣，用多個專案來處理個別平臺的版本。</p> <p>除了整合多平臺開發流程，新的.NET MAUI，也與.NET Web開發框架Blazor進行了整合，上面的Web UI元件，可以直接拿來在MAUI上作為多平臺開發用。微軟表示，Blazor元件可以跟其他平臺原生功能互動，例如推播通知、藍芽、定位資訊等，開發人員也可以將各平臺的原生UI控制項和Blazor Web UI混用。</p> <p>其他新功能，包括支援XAML及C#熱重載以及支援多視窗App等。另外，微軟表示，從Xamarin App遷移到.NET MAUI的工作，不只不用大改原始碼，甚至不需要將所有專案合併到單一專案，還是能使用單一專案開發模式的功能。</p> </div></div></div>
2022/5/26 17:52作者郭又華https://www.ithome.com.tw/news/151161
擔心威脅國安，中國學者倡議研發摧毁SpaceX旗下Starlink衛星服務的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然在俄烏戰爭中，馬斯克（Elon Musk）旗下SpaceX的低軌衛星網路服務Starlink助烏克蘭戰區通訊一臂之力，但是中國最近發布的一份報告，倡議中國應研發技術，必要時可摧毁或破壞Starlink衛星。</p> <p>多家歐美媒體引述<a href="https://www.scmp.com/news/china/science/article/3178939/china-military-needs-defence-against-potential-starlink-threat" target="_blank">南華早報周三報導</a>，中國一項期刊《現代防禦技術》2月的一份論文談及，因應Starlink（星鏈）帶來的風險及危機，並對中國提供防衛建議。</p> <p>根據這份名為《<a href="https://www.xdfyjs.cn/article/2022/1009-086X/1009-086X-2022-50-2-11.shtml" target="_blank">星鏈計畫發展現狀與對抗思考</a>》的論文，Starlink是規模最大，發射衛星最多，最具代表性的低軌互聯網星群，但也為中國帶來潛在威脅及挑戰，中國應因應Starlink帶來的風險和危機，以維護中國主權及國家安全。</p> <p>目前Starlink已經發射至少2,400顆衛星。但SpaceX已獲准發射近1.2萬顆衛星，還計畫再發射3萬顆，總數將達4.2萬顆，是迄今為止提出的規模最大的衛星星系通訊連網服務。</p> <p>報告指出，Starlink衛星數量龐大，部分衛星將會作為美國軍事用途。而這類數量多、體積較小、功能單一的衛星，若結合更多無人、自主系統，可構成自主靈活的殺傷網路。<a href="https://www.theregister.com/2022/05/25/beijing_starlink_takedown/" target="_blank">The Register</a>引述南華早報報導，在Starlink協助下，美國隱形轟炸機及軍事無人機資料傳輸率可再提升1%。</p> <p>因此該論文建議中國應發展監測及識別技術，像是以多平臺多類型感測器，監控衛星的形狀、動態、信號等資訊，並以多來源資訊整合處理提高目標及酬載識別能力，並提供威脅評估。</p> <p>該論文並提及，針對狀態異常的部分衛星，則採取「軟殺傷」與「硬殺傷」相結合的方式，使部分Starlink衛星喪失功能，破壞星系運行。一般而言，「硬殺傷」方式像是以機械手臂攫取衛星或將之移位並墜落到大氣中燒毁，「軟殺傷」方式則包括無線電干擾（Jamming）或欺騙干擾（Spoofing）。</p> <p>不過這項論文的觀點並不新。美國及其他國家已發現俄國及中國都積極發展反衛星技術，包括<a href="https://indsr.org.tw/tw/News_detail/3401/%E4%B8%AD%E5%9C%8B%E6%A9%9F%E6%A2%B0%E8%87%82%E5%AF%A6%E8%B8%9017%E8%99%9F%E8%A1%9B%E6%98%9F" target="_blank">機械臂</a>、讓<a href="https://www.chinatimes.com/realtimenews/20211022002670-260417?chdtv" target="_blank">衛星故障的小型爆炸</a>及反衛星導彈等。</p> </div></div></div>
2022/5/26 16:14作者林妍溱https://www.ithome.com.tw/news/151158
a16z設立第四個加密貨幣基金，規模達45億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://a16zcrypto.com/crypto-fund-four/" target="_blank">知名美國創投業者Andreessen Horowitz（a16z）在25日宣布</a>設立第四個加密貨幣基金，此一最新基金集資了45億美元，其中的15億美元將為種子投資專用基金，另外的30億美元則為風險投資，而這也是a16z迄今規模最大的加密貨幣基金。</p> <p>a16z深信現在是Web3的黃金時代，可程式化的區塊鏈已足夠先進，其多元化的應用也已吸引了數千萬名使用者，更重要的是全球有大量的頂尖人才投入了Web3領域，這些充滿熱情的人才企圖要建立一個更好的網路。</p> <p>在2018年設立了3億美元的第一個加密貨幣基金之後，之後由a16z所設立的基金規模都愈來愈大，2020年的Crypto Fund II集資了5.15億美元，2021年的Crypto Fund III集資了22億美元，今年誕生的Crypto Fund IV則是45億美元，使得由a16z所主導的加密貨幣基金總規模已超過76億美元。</p> <p>a16z指出，這些基金將用來在每一個階段投資有前景的Web3新創，包括Web3遊戲、分散式金融、分散式社交媒體、身分自主權、第一層與第二層的基礎設施、橋接架構、分散式自治組織、NFT社群、隱私、創作者經濟、再生金融及零知識證明（ZK proofs）的新應用等。</p> <p>相較於a16z在Web3領域的積極，Twitter共同創辦人Jack Dorsey及特斯拉創辦人馬斯克（Elon Musk）並不看好Web3。Musk不僅說他找不到Web3，也曾毫不客氣地說「Web3聽起來像bs」，而Dorsey則認為標榜分散式、去中心化的Web3，最終還是會成為權力集中的平臺。</p> </div></div></div>
2022/5/26 13:36作者陳曉莉https://www.ithome.com.tw/news/151141
Meta擴大在微軟Azure推動AI專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在微軟Azure上進行PyTorch等AI研發。在Build 2022大會上，<a href="http://news.microsoft.com/wp-content/uploads/prod/sites/636/2022/05/Meta-MSFT-announcement-FINAL.pdf" target="_blank">微軟和Meta聯合宣布</a>，Meta將以Azure雲端部署AI應用，包括擴大執行機器學習框架PyTorch。</p> <p>首先Meta AI部門將利用專屬的Azure 叢集執行大規模AI研究任務。<a href="https://docs.microsoft.com/en-us/azure/virtual-machines/ndm-a100-v4-series" target="_blank">這個叢集使用NDm A100 v4 系列虛擬機器</a>，執行5400顆Nvidia A100 Tensor Core 80GB GPU，每VM互聯interconnect頻寬達1.6TB/s，將在去年後展現成果後，再次負擔Meta部分大型AI研究任務。</p> <p>2021年Meta首度將部分大型AI研究放上使用A100 Tensor Core 80GB GPU的Azure VM。微軟聲稱，這個環境下，每個VM之間GPU對GPU頻寬是其他公有雲業者的4倍，可用於分散式AI訓練。例如Meta就用它來訓練OPT-175B語言模型。微軟也強調NDm A100v4 VM具設定彈性，可自動適合任何規模的叢集，還能動態由數顆GPU擴充為數千顆，並能在實驗中暫停及再續。而在今年，Meta AI團隊又將以Azure執行更多機器學習訓練任務。</p> <p>此外，Meta也計畫擴大使用微軟的<a href="https://azure.microsoft.com/zh-tw/develop/pytorch/#what-is-pytorch" target="_blank">PyTorch on Azure服務</a>。PyTorch是開源Python機器學習框架。Azure將為PyTorch用戶提供NDv4及InfiniBand硬體及完整軟體堆疊。未來幾個月內，微軟計畫打造新的PyTorch開發加速器，以便更容易在Azure上部署PyTorch框架。</p> <p>此外微軟也表示會提供PyTorch的支援，協助Meta或其他客戶及合作夥伴在公有雲及邊緣裝置上部署PyTorch模型。</p> </div></div></div>
2022/5/26 12:32作者林妍溱https://www.ithome.com.tw/news/151133
Amazon智慧服飾店在洛杉磯開幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.youtube.com/watch?v=c67K8JO1WJE" target="_blank">Amazon今年初宣布的智慧服飾店Amazon Style</a>，本周在洛杉磯開幕。</p> <p>Amazon Style占地3萬平方英呎（約870坪），販售男女服飾、鞋子與配件，商品涵括知名及新興品牌以滿足各階層消費者。Amazon表示，該公司第一家服飾店旨在結合進階科技及零售運作和人員，提供使用者個人化的便利購物體驗。店內集結AI、觸控螢幕及自動化科技，消費者看中展示架上的商品後，利用手機App掃一下旁邊的QR code可看到有現貨的顏色、尺寸或消費者評價等資訊。Amazon的AI演算法也會提供穿搭推薦。</p> <p>選定後按一下App，App會告知消費者前往哪家試衣間。消費者不必抱著衣服過去，人到試衣間後就能直接試穿已準備好的商品。若是在試衣間想換商品，也可以透過App叫貨，不需再跑出來選購，商品會直接送進試衣間。</p> <p class="rtecenter"><img alt="" src="https://m.media-amazon.com/images/G/01/ksm/S1_ComingSoon/LandingPage/AS_FR-Screen_WomensHero_Spring22_051322_1000x1000.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>試裝完畢，消費者即可帶著想要的商品前往結帳臺結帳。除了傳統的信用卡結帳外，Amazon Style也設有Amazon One掌紋辨識支付系統。</p> <p>雖然強調高科技，但不像Amazon Go、Amazon Fresh等超市強調無人、自助服務，Amazon Style特別強調店內服務人員提供的銷售協助。</p> <p>此外，消費者也可以先在線上訂貨，並在這家實體店面試穿，不滿意也可以直接在店面退貨。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/c67K8JO1WJE" title="YouTube video player" width="560px"></iframe></div> <p> </p> </div></div></div>
2022/5/26 12:45作者林妍溱https://www.ithome.com.tw/news/151139
Twitter以帳號安全資訊執行目標式廣告，遭FTC判罰1.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2022/05/ftc-charges-twitter-deceptively-using-account-security-data-sell-targeted-ads" target="_blank">美國司法部與美國聯邦交易委員會（FTC）25日宣布</a>，已就Twitter侵犯用戶隱私一案與Twitter達成和解，將要求Twitter支付1.5億美元的罰款，並採用更強固的隱私保護政策，只待聯邦法院同意。</p> <p>此案最早可追溯到2009年，該年駭客兩度入侵了Twitter的管理員帳號，進而控制了Twitter少數用戶的帳號，存取受害用戶的私人訊息，還發送偽造的推文，其中一名受害者是當年剛就任美國總統的歐巴馬（Barack Obama）。</p> <p>後來FTC與Twitter在2011年達成和解，條件是Twitter同意在未來的20年都不得於用戶資訊的安全及隱私等描述上誤導使用者，也必須採取措施避免有人未經授權存取用戶的非公開資訊，以及尊重用戶的隱私選擇。</p> <p>然而，FTC卻發現Twitter在2014年至2019年間，以改善用戶帳號安全為名，要求用戶提供電話號碼或電子郵件位址，卻利用這些個人資訊讓廣告主執行目標式廣告。</p> <p>調查顯示，Twitter向使用者表示這些個人資訊可用來協助重設使用者密碼，或是解鎖帳號，也可作為雙因素認證使用，以簡訊或電子郵件傳遞一次性的登入代碼。不過，Twitter卻允許廣告主以來自資料掮客的資料比對Twitter用戶的個人資訊，以傳送目標式廣告。</p> <p>FTC指出，這不僅違反了雙方在2011年達成的協議，也侵犯了《FTC Act》，同時觸犯美國與歐盟之間，以及美國與瑞士之間的《隱私盾》（Privacy Shield）資料傳輸保護協議。</p> <p>這讓FTC決定判罰Twitter 1.5億美元，同時禁止Twitter再自這些透過欺騙而蒐集的資料獲利，允許用戶採用手機及電子郵件以外的雙因素認證機制，通知那些個資被用來進行目標式廣告的用戶，以及限制員工對用戶個資的存取能力。</p> <p>Twitter已與FTC達成此一新的和解協議，只待法官批准。</p> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">Twitter在4月25日同意接受</a>馬斯克（Elon Musk）提出的每股54.2美元、總價440億美元的收購提議，但<a href="https://www.ithome.com.tw/news/150920" target="_blank">馬斯克於5月13日公開質疑</a>Twitter的假帳號比例可能高於財報中所揭露的5%，決定暫緩收購，使得Twitter的股價隨著馬斯克的舉動與發言大坐雲霄飛車，</p> <p>不過，<a href="https://www.sec.gov/Archives/edgar/data/1418091/000110465922064655/tm2216931d1_sc13da.htm" target="_blank">Twitter周三（5/25）提交的SEC文件顯示</a>，馬斯克已取得了欲收購該公司的更多融資，從原本的272.5億美元增加到335億美元，此外，Twitter也在周三向股東表示該交易正在進行中，透露出此一併購案並未停擺。</p> <p>同一天Twitter共同創辦人暨前任執行長Jack Dorsey亦宣布退出Twitter董事會，且即日起生效。</p> </div></div></div>
2022/5/26 13:17作者陳曉莉https://www.ithome.com.tw/news/151140
Zoom修補可讓攻擊者傳送訊息攻擊用戶的零點擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://explore.zoom.us/en/trust/security/security-bulletin/" target="_blank">Zoom上周發出安全公告</a>，修補4項漏洞，這些漏洞串聯起來讓攻擊者傳送訊息給用戶，不需用戶互動，即可導致惡意程式在PC或手機上執行的漏洞。</p> <p>這4項漏洞為Google Project Zero研究人員Ivan Fratric揭露，影響手機（Android、iOS）及桌機（Linux、macOS、Windows）版本Zoom Meetings用戶端軟體5.10.0以前版本。Zoom已釋出最新版本5.10.0，呼籲用戶儘速安裝更新版本。</p> <p>4項漏洞中，最嚴重的是CVE-2022-22784，它是這個軟體對XMPP訊息的XML Stanza解析不當，其次是CVE-2022-22786，屬於更新套件降級（Update package downgrade），兩者風險值分別為8.1及7.5。另2項風險值5.9的漏洞中，CVE-2022-22787屬於對伺服器交換呼叫的主機名稱驗證不當， CVE-2022-22785則是未能將用戶端連線cookies限制在Zoom網域。</p> <p>雖然僅一個重大風險漏洞，但是<a href="https://bugs.chromium.org/p/project-zero/issues/detail?id=2254" target="_blank">研究人員Fratric指出</a>，4項漏洞串聯起來則可發動名為「XMPP Stanza 偷運」（XMPP Stanza Smuggling）的攻擊。攻擊者可在聊天對話中傳送XMPP訊息即可在用戶裝置上，從惡意伺服器安裝惡意程式，而且成功的攻擊不需對方做任何動作。</p> <p>研究人員說明，XMPP Stanza偷運可讓攻擊者置換用戶接到的訊息，可用於多種目的，像是冒充是來自另一個用戶的訊息，到冒充某臺遠端伺服器（如Dropbox、Sharepoint、Google Drive等）傳送控制指令。</p> <p>研究人員也展示概念驗證，設立伺服器進行中間人攻擊（man-in-the-middle），之後則可執行任意程式碼。</p> </div></div></div>
2022/5/26 12:11作者林妍溱https://www.ithome.com.tw/news/151131
Google公開最新圖像生成AI，輸出結果比OpenAI DALL-E 2更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Brain發表了最新圖像生成人工智慧研究，提出一種稱為Imagen的人工智慧系統，可透過解析使用者的文字輸入，創建出寫實的圖像，與當前其他先進的圖像生成演算法，諸如VQ-GAN、LDM和DALL-E 2比較，人類皆傾向覺得Imagen所產生的圖像更真實，也更符合輸入的文字敘述。</p> <p>Imagen為文字生成圖像擴散模型（Diffusion Model），能夠深度理解文字的意義，並且輸出如照片寫實的圖像。Imagen建立在大型Transformer語言模型之上，因此擁有強大的文字理解能力，並且仰賴擴散模型生成高傳真圖像。</p> <p>研究人員提到，他們發現像是T5這類，經過純文字語料庫預訓練過的通用大型語言模型，在圖像合成的文字編碼上非常有效。藉由增加Imagen中語言模型的大小，就可以提高樣本真實度，以及圖像與文字描述的一致性，比起增加擴散模型大小還有效。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201238%20-%20Imagen_%20Text-to-Image%20Diffusion%20Models%20-%20imagen_research_google.jpg" style="width: 580px;" /></p> <p>Imagen雖然沒有在COCO（Microsoft Common Objects in Context）資料集中訓練過，但可獲得目前最低的7.27 FID分數（越低越好），而且人類評估者也發現，在圖像和文字一致性上，Imagen樣本與COCO資料集相當。</p> <p>Google還利用DrawBench基準測試，來進一步評估Imagen文字生成圖像的能力，DrawBench是一個在文字生成圖像領域，更全面也更具挑戰性的基準測試。藉由將Imagen與VQ-GAN、LDM和DALL-E 2演算法一起，進行空間關係、長篇文字和罕用字等系統性測試，並由人工評估演算法的圖像與文字一致性，還有圖像的真實性。</p> <p>由下圖可見，無論是在圖像與文字的一致性（Alignment），還是圖像真實性（Fidelity），人類普遍認為Imagen表現的比VQ-GAN、LDM與DALL-E 2更好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201241%20-%20Imagen_%20Text-to-Image%20Diffusion%20Models%20-%20imagen_research_google.jpg" style="width: 580px;" /></p> <p>Google暫不對外開放Imagen，並把未來工作放在解決開放的挑戰與限制上，研究人員提到，雖然他們已經過濾了訓練資料集，並且採用不當內容LAION-400M資料集，來避免模型產生有害的內容，但是因為Imagen仰賴使用未經過濾的網路資料，所訓練出來的文字編碼器，因此Imagen仍可能存在一些有害刻板印象。</p> <p>另外，當前人們對於圖像生成文字，以及圖像標記模型做了大量的審查工作，以避免產生社會偏見，但是文字到圖像模型的社會偏見評估工作相對較少，Google研究人員經過內部評估，已發現Imagen存在一些社會和文化偏見，像是整體來說，圖像人物的膚色偏淺，對職業的描繪，也更傾向西方性別刻板印象。</p> <p>因此即便Imagen的能力強大，但目前Google仍不打算開源Imagen的程式碼，也不提供公開展示，原因在於文字生成圖像模型的下游應用非常多樣，且可能以複雜的形式影響社會，考慮到潛在的風險，Google暫不對外開放Imagen，直到開發人員建立起負責任的外部框架，來平衡無限制開放所帶來的風險。</p> </div></div></div>
2022/5/26 09:21作者李建興https://www.ithome.com.tw/news/151126
【資安日報】2022年5月25日，駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對開發人員的攻擊行動，本週我們在23日報導有人假冒知名的Apache Kafka用戶端Python套件，在PyPI套件庫上架名為pymafka的惡意軟體，但這種鎖定PyPI套件庫而來的攻擊行動今天再度發生，而且，攻擊者也同時針對PHP版本的套件出手。</p> <p>使用者在不同網站服務共用相同帳密的情況，也相當嚴重，這也使得駭客可能得以透過帳號填充攻擊（Credential Stuffing），取得他們多個系統的帳號控制權。美國汽車製造商通用（GM）近期指出，有部分車主的帳號遭人利用上述手法存取，並盜用當中的紅利點數。</p> <p>日前VMware針對旗下的多項產品修補身分驗證漏洞CVE-2022-22972，近期有資安業者表示他們已能觸發漏洞，並提出警告。因為，這樣的情況表示也可能有人可能也破解漏洞，並打算加以用於攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-package-ctx-compromised-are-you-at-risk"><span style="color: rgb(0, 0, 0);">駭客竄改知名PyPi套件與PHP程式庫，意圖竊取開發者的AWS帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ctx022-May-24-2022-09-04-35-99-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ctx022-May-24-2022-09-04-35-99-AM.png" style="width: 300px; float: right;" /></a>駭客針對開發者下手的資安事故，有不少是針對NPM套件而來，但近期有人同時對於兩種不同的套件庫出手。資安業者Sonatype於5月15日發現，近期名為ctx的PyPI套件出現新的版本0.2.2，但在該公司進一步分析後，確認此版本帶有惡意程式碼，開發者安裝後將會在受害電腦收集相關環境變數，並回傳到特定的網域。</p> <p>值得留意的是，研究人員在21日，看到攻擊者再度出手，針對原本於2014年發布的0.1.2版進行竄改，加入上述的惡意程式碼。對此，研究人員對開發人員提出警告，即使使用這些套件的先前版本，還是有可能遭到波及，因此，使用者下載套件後還是要進行檢查，來確保取得的是沒有遭到竄改的版本。</p> <p>無獨有偶，駭客也對於ctx程式庫的PHP版本PHPPass出手，提交有問題的程式碼，功能同樣是收集受害電腦的相關變數並進行回傳。而駭客發動攻擊的意圖，研究人員Somdev Sangwan推測，很有可能是為了竊取開發人員的AWS帳密與相關參數。</p> <h3><strong style="font-size: 22px;"><a href="https://oag.ca.gov/system/files/2022-05-16%20-%20version%20A%20notice%20to%20individuals.pdf"><span style="color: rgb(0, 0, 0);">美國汽車製造商通用遭到帳號填充攻擊，導致車主資料外洩</span></a></strong></h3> <p>先前有駭客針對航空公司的里程點數下手，入侵旅客的帳號，但最近有人鎖定汽車製造商提供車主紅利的系統發動攻擊。美國汽車製造商通用（General Motors，GM）自5月16日開始，開始發送電子郵件通知部分車主，他們的GM帳號可能在4月11日至29日之間，出現異常登入的情形，而且，這些車主的紅利點數疑似遭到盜用。</p> <p>經過調查後發現，車主外洩的資料包含了姓名、電子郵件帳號、照片、搜尋記錄、累積點數的記錄等，不包括生日、社會安全碼、駕照、金融資訊。該公司察覺此事後已停用這些帳號的點數功能，並要求用戶重設密碼。</p> <p>而對於此事造成的原因，GM指出駭客是透過帳號填充（Credential Stuffing，亦稱撞庫）攻擊而得手，藉由車主已遭外洩的其他網站應用程式帳密，嘗試存取GM網站，他們呼籲用戶，不要在多個服務使用相同的帳號和密碼，讓攻擊者有機可乘。根據資安新聞網站Bleeping Computer的報導指出，GM的車主網站未提供雙因素驗證機制，也是這起事件之所以發生的另一項原因。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/twisted-panda-chinese-apt-espionage-operation-against-russians-state-owned-defense-institutes/"><span style="color: rgb(0, 0, 0);">中國駭客假冒俄羅斯聯邦衛生部，攻擊國防研究機構</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Dropper_campaign-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dropper_campaign-1.png" style="width: 300px; float: right;" /></a>中國與俄羅斯關係匪淺，但在中國政府遲遲沒有具體表明烏克蘭戰爭的立場下，近期卻不斷傳出該國駭客攻擊俄羅斯的情況。例如，資安業者Check Point揭露他們在上個月發現的Twisted Panda攻擊行動，中國駭客組織APT10（亦稱Cicada、Stone Panda）與Mustang Panda（亦稱HoneyMyte、RedDelta）聯手，針對俄羅斯國防公司Rostec旗下的兩個研究機構，以及位於白俄羅斯明斯克的實體下手，這些駭客假冒俄羅斯聯邦衛生部（Russian Ministry of Health），並以美國對當地企業進行制裁的名義，發動釣魚郵件攻擊，挾帶含有惡意內容的Word檔案。</p> <p>一旦收信人開啟，該文件就會從外部下載DOTM範本檔案，而這個Word範本內含的巨集程式碼則會從作業系統核心導入API函數並使用，進而載入名為cmpbk32.dll或cmpbk64.dll的程式庫，並在受害電腦植入後門程式Spinner。</p> <p>研究人員指出，根據他們進一步調查的結果，這些攻擊工具約從2021年3月開始開發，並採用進階的規避偵測手法，像是透過記憶體內多層載入，或是編譯器層級的混淆手法等，很可能約自2021年6月就用於攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/researchers-to-release-exploit-for-new-vmware-auth-bypass-patch-now/"><span style="color: rgb(0, 0, 0);">針對VMware修補的身分驗證重大漏洞，研究人員預告將發布概念性驗證攻擊程式</span></a></strong></h3> <p id="Zyxel">VMware於5月18日修補CVE-2022-22972、CVE-2022-22973（CVSS風險層級為9.8分與7.8分），<a href="https://www.ithome.com.tw/news/151000#CVE-2022-22972">美國更要求聯邦機構要在5天內著手處理</a>，現在有資安業者拆解漏洞後提出警告。資安業者Horizon3.ai近日表示，他們已經成功重現存在於Workspace ONE等產品的漏洞CVE-2022-22972，該公司也預告將會發布概念性驗證攻擊程式（PoC），以及對於該漏洞詳細的技術細節。研究人員亦呼籲用戶要儘速採取緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291042"><span style="color: rgb(0, 0, 0);">趨勢科技修補已遭中國駭客濫用的DLL挾持漏洞</span></a></strong></h3> <p id="Zyxel">資安業者於5月初，揭露<a href="https://www.ithome.com.tw/news/150742#Moshen-Dragon">中國駭客組織Moshen Dragon在攻擊行動中，濫用多個廠牌的防毒軟體元件執行惡意程式</a>，最近有防毒業者針對旗下產品修補相關弱點。根據資安新聞網站Bleeping Computer的報導，趨勢科技於5月20日發布資安通告，表示他們針對Moshen Dragon駭客組織利用的漏洞著手修補，並已透過主動式更新機制（ActiveUpdate）派送到用戶電腦。該公司指出，這項漏洞波及的範圍，主要是個人版的端點防護產品，企業版解決方案不受影響，但沒有明確列出受影響的產品名單。</p> <p>但對於其他遭到駭客濫用的防毒軟體元件，相關業者是否會跟進予以修補？<a href="https://www.bleepingcomputer.com/news/security/trend-micro-fixes-bug-chinese-hackers-exploited-for-espionage/">資安新聞網站Bleeping Computer指出</a>，目前僅有Bitdefender向他們提出說明，表示旗下防毒產品用戶不會受到DLL搜尋順序挾持（DLL Search Order Hijacking）攻擊影響，該公司也不會發布資安通告。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/25 18:46作者周峻佑https://www.ithome.com.tw/news/151130
【幕後推手揭3關鍵：動線、診斷碼套餐及大規模防疫經驗】北榮車來速為什麼成功？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月17日，臺北榮總「車來速」防疫急門診正式在中正紀念堂上路。這個將看診、領藥、PCR採檢3大流程集於一身的一站式醫療服務，至5月22日下午、短短不到一周，就累計1萬多人來採檢，平均一天檢驗近1,800人，動線流暢更獲好評。臺北榮總是怎麼做到的？</p> <p><strong><span style="font-size:24px;">關鍵1：設計4條動線分流處置</span></strong></p> <p>臺北榮總副院長李偉強是車來速急門診的一大推手，他親自揭露了車來速的成功關鍵。第一是分流的動線規畫。他指出，團隊設計流程時，畫分出4線道，先分流乘坐不同交通工具的民眾。比如，1號線道專收徒步行人，2號則供騎單車、摩托車的民眾看診，3號、4號線道則針對汽車乘客。後兩者的不同之處在於，第3線道專門服務2人（含）以下的駕車民眾看診，4號線則鎖定3人以上的高乘載汽車，或有12歲以下孩童的駕車民眾看診，這也是親子友善的車道。</p> <p>臺北榮總特別將高乘載汽車獨立出來，來自對他人經驗的觀察，「這類高乘載車流速較慢、容易卡住，因此獨立成單一線道，來服務特定族群，」李偉強說，如此就能保持動線流暢。除此之外，臺北榮總還特別加派人力，原本每一線道各由1組醫護服務，但4號線道例外，2組人馬在兩側車窗待命，民眾駛入線道時，只要搖下車窗，醫護人員即可在兩側同時問診、採檢，縮短作業時間。</p> <p>不管是哪一條分流，臺北榮總在每一個線道上，都規畫了3個關卡。首先是報到、問診，民眾先繳交健保卡給現場人員過卡、確認身份，並提供快篩陽性證明。接著由醫師問診，發送檢驗試管和4聯條碼貼紙給民眾。</p> <p>完成後，民眾前行2公尺進入下一站，來繳費和領藥。此時，民眾繳交條碼貼紙給藥劑人員，可用悠遊卡、信用卡或現金繳費，之後取得藥品和收據。接受悠遊卡和信用卡的多元支付方式，也是縮短流程的巧思之一。</p> <p>從第2站再向前2公尺，就到達最後一站，也就是採檢。這一站的步驟也很簡單，乘車民眾不必下車，繳交條碼貼紙後，透過車窗露出鼻子即可讓醫護人員採檢。至此，車來速防疫急門診的所有關卡就全數完成。民眾返家後，可等待簡訊通知PCR檢驗結果，或自行上健保快易通App查詢資料。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%BB%8A%E4%BE%86%E9%80%9F.jpg" /></p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">臺北榮總將車來速急門診分為4線道、3關卡，線道部分包括行人專用線道、單車與機車線道、2人以下汽車道，以及3人（含）以上或有12歲以下孩童的高乘載線道，每線道都由1組醫護人員服務，第4線道則有2組，在車窗兩側待命。（圖片來源：臺北榮總）</span></p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-25%20at%202_23_35%20PM.png" /></p> <p>臺北榮總將車來速急門診分為4線道、3關卡，3關卡則包含問診、領藥和採檢，主要採預約制，讓民眾先行填寫基本資料和症狀勾選，加速現場作業。這些事項也於預約系統中說明。（圖片來源：臺北榮總車來速預約系統截圖）</p> </blockquote> <p><strong><span style="font-size:24px;">關鍵2：系統資料同步、診斷代碼套餐</span></strong></p> <p>除了動線分流設計之外，臺北榮總車來速順暢的另一關鍵是，看診資料預填和診斷代碼套餐組合，這兩者所帶來的加速效益。</p> <p>車來速急門診服務採線上預約制，每日開放1,200人預約，民眾可從3個時段擇一來看診、領藥和採檢。線上預約的基本資料輸入表單，採取了特別的設計。李偉強點出，這個預約系統，事先列出了後續看診和上傳健保署所需的資料欄位，像是民眾基本資料（如姓名、性別、電話、出生年月日等），快篩狀況，以及症狀，並提供了發燒、咳嗽、腹瀉、關節痠痛等近30個選項，讓民眾勾選。預約系統還針對小朋友，多了一個體重欄位，「這非常重要，它攸關後續看診、開藥的流程加速，」李偉強說。</p> <p>這些預約資料會上傳到臺北榮總雲端系統，再透過北榮API下載至醫院HIS系統。當民眾依預約時間進入第一關，透過健保卡插卡、核對身份後，醫院HIS系統，會自動將事先填寫的資料，帶入到車來速專屬醫療系統，讓車來速系統的資料與醫院系統同步，來節省現場手動輸入的時間。李偉強指出，這個比對過程非常快，不到1秒就能下載資料、秀在螢幕上，讓醫護一目了然。</p> <p>除了預約，臺北榮總也開放民眾現場排隊，並當場準備3臺平板電腦，讓民眾在等待時，可先掃描QR Code，登入系統來填寫資料。</p> <p>這些事先填寫的資料，大大提高醫師現場問診的效率。關鍵是，預約系統上已要求民眾勾選症狀，醫師可直接就這些症狀進行確認，來決定該開何種藥品。</p> <p>接著就是診斷代碼套餐大顯身手之處。</p> <p>進一步來說，一般就醫看診、開藥，不僅涉及許多資料要填寫，比如初診病患、首次採檢民眾，得先填寫基本資料，醫師看診、開藥等這一系列醫療行為，還得化為一個個代碼，與基本資料一同紀錄在醫令系統中，作為後續健保申報的依據。</p> <p>這些代碼包括醫令碼、處置碼、診斷碼、藥品碼等，比如，收取門診掛號費會有一個處置代碼來表示，而根據患者身分和就診方式，也有各自的身分代碼來分類。針對患者的不同症狀，還有專屬的診斷代碼來描述，以及最後，還有針對症狀開立的藥品代碼。</p> <p>這些代碼五花八門、數量之多，醫院常見的加速做法是，根據特定族群、病症和藥品，比如罕見疾病，設計出專屬診斷代碼套餐，一鍵帶入醫令碼、診斷碼、藥品碼等代碼，省下醫師查找代碼的時間，以及因急忙或勞累造成的人為輸入錯誤風險。</p> <p>臺北榮總也將這個做法，應用於這次的車來速急門診中。他們先將診斷代碼打包為6種套餐，大人2種、小孩4種，其中，大人套餐還分為A套餐的「呼吸道症狀」和B套餐的「呼吸道症狀加腸胃道症狀」，並根據這些代碼，配置相對應的5日份藥品。而小孩的4種搭配，先以體重20公斤以上和以下來分類，再按照大人的A、B套餐搭配邏輯和做法，而20公斤以下的孩童，藥劑量則減半，因此共有4類（20以上A，20以上B和20以下A、20以下B）。這正是北榮預約系統中，必須事先詢問孩童體重的原因，用來搭配特定一組診斷代碼，以加速配藥和選藥的流程。</p> <p>臺北榮總根據這些代碼套餐，事先備妥相對應藥品，當醫師問診確認後，就能快速處理醫療代碼，並給予正確藥品。</p> <p>儘管這些系統上的設計不像車道動線那般顯而易見，卻正是臺北榮總車來速快速、流暢的隱形關鍵。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%AA%AA%E6%98%8E(1).jpg" /></p> <p>臺北榮總副院長李偉強不分假日至現場指揮、討論，他表示，這次車來速能兼顧速度的原因之一是診斷碼套餐，也就是先將一系列醫令碼、診斷碼、藥品碼等分類，打包成一組組套餐，縮短醫師輸入時間與開藥時間。（圖片來源：臺北榮總）</p> </blockquote> <p><span style="font-size:24px;"><strong>關鍵3：大規模抗疫經驗累積</strong></span></p> <p>話鋒一轉，「這些系統、動線設計，都不是一蹴可幾、憑空冒出的！」李偉強表示，車來速能順利上路，是臺北榮總從過去一次次的大規模抗疫經驗，累積而來的成果。例如，車來速醫療系統，就是以先前開發的系統為基礎，不斷改版、優化而成。</p> <p>李偉強回憶，去年，臺北榮總進駐苗栗京元電子，對5,000多人進行PCR採檢，當時開發了一套醫療系統處理採檢相關資料，這也是車來速系統的前身。</p> <p>後來，去年7月，臺北榮總團隊進駐臺北市3大果菜市場，執行大規模採檢，他們分別在萬大市場、濱江市場、環南市場，當天就完成上千人採檢作業、發出報告。在那幾次採檢經驗中，團隊發現，有些民眾並未預約，而是現場排隊採檢。因此，臺北榮總調整系統，改為可執行預約和現場採檢的新版本。</p> <p>緊接著，去年下半年，臺北榮總承接大規模疫苗接種作業，在中正紀念堂接種了上萬人次的疫苗，也同時修正系統、繼續優化。今年，這些難得的第一線實務經驗進一步擴大，納入了開藥功能，才發展出了車來速系統。「這套系統不是突然冒出一支程式，也不是安裝一支商用程式就可以用，而是累積過去經驗、一路發展過來，」李偉強強調。</p> <p>這套串起車來速流程的IT系統背後，還有一組默契無間的團隊，在系統上線前後，不斷滾動式更新、維運。這一群人不只是資訊人員，還包括了醫藥護檢人員、行政人員，發揮彼此的專業角度，每天開會討論、調整作法。身為帶頭跑的關鍵人物，所有成員的辛勞，李偉強都看在眼裡。他指出，為了讓民眾採檢更順利，工程師們甚至會趕在半夜修改程式、進行測試。</p> <p>5月16日，團隊帶著這些知識和經驗，進駐中正紀念堂試營運。他們從無到有安裝電腦、安裝程式，再到實際插卡測試、預跑流程，順利完成部署。隔日正式啟動服務，至5月22日下午短短幾天，累計採檢人數破萬，其中8成都有領藥。這個成功模式，不只是許多醫院的參考典範，也將繼續營運下去，直到疫情趨緩。文⊙王若樸</p> </div></div></div>
2022/5/25 14:51作者王若樸https://www.ithome.com.tw/news/151118
NCC公布新版網際網路視聽管理法草案架構，加強納管OTT TV業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC今天通過新版網際網路視聽管理法草案架構，採用數通法（數位通訊傳播服務法草案）精神，對不同大小規模的OTT TV業者設計層級化的應盡義務，主管機關公告的OTT業者需辦理登記。至於提供侵權視聽內容者，嚴重者可要求電信業者拒絕提供違法OTT業者必要之通訊服務。</p> <p>首先在該草案管理對象上，新版草案架構比照數通法及歐盟的規範，在臺灣設有商業據點，或雖然沒設商業據點，但和我國有實質關聯，從事網際網路視聽服務，且具有一定規模者，例如Netflix、Line TV、myVideo等。至於分享使用者原創內容UGC服務的平臺，如YouTube、Facebook、Instagram等，並非OTT TV法管理的對象。另外，因先前經濟部根據兩岸關係條例，公告禁止中國OTT業者在臺經營，因此此次新版OTT TV法草案管理對象不包括中國OTT業者。</p> <p>對於如何認定和我國有實質關聯，NCC參照歐盟法規，判斷的標準包括該OTT業者在我國境內有顯著的使用者數量，或是以我國為其商業活動的主要目標等等。</p> <p>相較於前一版草案要求業者自願登記，新版本草案考慮到該產業變動較大，改採行為管理的方式，原則上業者不需登記，但業者符合規定，沒有享有豁免條件者，必需遵守OTT TV法所定的一般義務。但對於較大規模的業者，根據其使用者數量、重大公共利益，由NCC公告應辦理登記的業者，除了遵守一般義務之外，還需遵守特別義務。</p> <p>依據OTT業者的規模大小負有不同的義務，除了微型業者因規模太小得以豁免之外，所有OTT業者需負一般義務，包括揭露基本資料、遵守服務內容規範、資料調取、提供內容需取得合法授權，境外業者需指定代理人。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-05-25%20%E4%B8%8B%E5%8D%885_24_23.jpg" style="width: 600px; height: 447px;" /></p> <p>NCC將參考使用者數量，或認定具有重大公共利益，公告應辦理登記的業者，除了一般義務，還需遵守特別義務，例如依規定辦理登記、遵守變更登記規範、揭露及遵守服務使用條款、必需符合我國內容產製規範、加入自律組織、預定暫停或終止營業者應提前向使用者告知並提供補償。</p> <p>新版草案也加入處罰手段，若OTT業者對外提供侵害著作權的內容，經法院判定違反著作權法，因違法所產生營業行為不當，主管機關NCC處以罰鍰、限期改正，情重嚴重者，主管機關可勘酌情形採取必要、最終的手段，要求電信業者或ISP拒絕提供必要電信服務及通信傳遞，或為必要之處置。</p> <p>對於境外OTT業未指定代理人，或是經公告而未辦理登記的業者，主管機關限期改正、處以罰鍰之外，同樣也可採取最終手段，要求電信業者或ISP拒絕其必要電信服務及通信傳遞。</p> <p>至於罰鍰的部分，目前NCC僅先公告草案的架構，尚未訂定具體的罰鍰金額。</p> <p>NCC副主委暨發言人翁柏宗表示，新版草案主要根據2020年的版本，根據外界的意見調整的草案架構，相較於舊版，新版草案將自願登記改為行為管理，大型OTT業者要辦理登記，NCC將公告哪些大業者要登記，達到什麼程度的大業者需登記，負有一般義務及特別義務，小型業者豁免這些義務，第三點是最後必要手段，有的業者違反著作權規定，被法院判罰，但沒有遵循，依情形可能會請電信業者、ISP業者配合，讓違法的OTT業者無法提供服務。</p> <p>翁柏宗指出，OTT TV產業不同於傳統的傳播產業，以用戶規模而言，依據使用者或是訂閱用戶決定規模大小，未來詳細的法條規定還會和業者交流意見。</p> <p></p><p>目前僅先公布草案架構，詳細的草案條文內容後續由NCC審議通過，未來完成法制作業程序後對外公告。</p> </div></div></div>
2022/5/25 17:39作者蘇文彬https://www.ithome.com.tw/news/151125
隱私搜尋引擎DuckDuckGo遭爆允許微軟追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/thezedwards/status/1528808759027331072" target="_blank">一名資安研究人員Zach Edwards本周揭露</a>，自詡為隱私搜尋引擎暨瀏覽器的DuckDuckGo，竟然私下放過了微軟的追蹤器。</p> <p>DuckDuckGo為一強調保護使用者隱私的搜尋引擎，其預設值即禁止蒐集與分享使用者的個人資訊，由於它不會分析使用者所造訪的網站，因此所有用戶都會看到同樣的搜尋結果，也會自動封鎖網路追蹤器與各式Cookie。</p> <p>然而，Edwards卻發現不管是Android或iOS版的DuckDuckGo瀏覽器都沒有封鎖微軟追蹤器，例如當他造訪臉書的Workplace時，瀏覽器顯示出它已封鎖來自Google及臉書的追蹤器，卻未提及DuckDuckGo把資料傳送給Bing與Linkedin，而且除了微軟之外，他並不確定DuckDuckGo是不是還有其它「白名單」的存在。</p> <p>DuckDuckGo並未於官網上解釋該事件，<a href="https://twitter.com/yegg/status/1528838114558484480" target="_blank">但DuckDuckGo創辦人暨執行長Gabriel Weinberg在Edwards的推文中留言</a>，說明當使用者載入搜尋結果時，是完全匿名的，但與微軟在廣告上合作，亦於官網公開揭露此一訊息。</p> <p><a href="https://help.duckduckgo.com/duckduckgo-help-pages/company/ads-by-microsoft-on-duckduckgo-private-search/#:~:text=At%20that%20point%2C%20Microsoft%20Advertising%20will%20use%20your%20full%20IP%20address%20and%20user%2Dagent%20string%20so%20that%20it%20can%20properly%20process%20the%20ad%20click%20and%20charge%20the%20advertiser" target="_blank">根據DuckDuckGo官網上的說明</a>，DuckDuckGo與微軟的合作是在保障使用者的隱私下提供關聯性廣告，當使用者點擊由微軟提供的廣告時，將會透過Microsoft Advertising平臺將使用者導至廣告主網站，這使得Microsoft Advertising平臺得以存取使用者的完整IP位址與使用者代理字串，用以計算廣告效果並向廣告主收費。</p> <p>此外，網頁上也說明了其中的差異，指出其它的搜尋引擎連結了使用者的個人檔案與廣告點擊行為，以用來遞送關聯性廣告，但與微軟的合作並未將使用者的廣告點擊行為連至個人檔案，也未儲存或分享除了計算所需的其它資訊。</p> <p>不過，今年5月中旬，<a href="https://twitter.com/DuckDuckGo/status/1524342702552322049" target="_blank">DuckDuckGo才透過Twitter批評</a>，指出就算Google認為Topics更能保護隱私，但不管它叫什麼名字，「追蹤就是追蹤」。而今，這句話似乎也適用於DuckDuckGo自己。</p> </div></div></div>
2022/5/25 16:59作者陳曉莉https://www.ithome.com.tw/news/151124
微軟推出雲端開發箱，能預先配置不同工具和規格的獨立雲端開發環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟年度開發者大會於美西時間5月24日展開，針對開發流程優化、跨雲服務、跨平臺App、雲端原生App、數據統一管理、AI模型作為開發平臺、跨平臺AI模型訓練、Low code/no code開發、協作App以及元宇宙功能等十項領域，分別推出多項新產品及服務。微軟執行長Satya Nadella開場演講時表示，全球開發者社群已經達到3,100萬人，開發者社群已經成為面對現代挑戰的一股力量。今年第一項發表重點就是開發流程優化，也新推出了Microsoft Dev Box新服務。</p> <p>在去年發表的Windows 365雲端電腦上，微軟推出了新的雲端服務Microsoft Dev Box，可以提供預先配置的雲端開發環境，減少開發人員開發前連接資源和備妥硬體設備的麻煩。Dev Box託管在Microsoft Cloud上，可以從Windows、MacOS、Android、iOS甚至是瀏覽器上存取，也支援所有可以在Windows上執行的IDE、SDK及工具，甚至可以透過WSL開發跨平臺App。Microsoft Dev Box目前是不公開預覽版（<a href="http://http://aka.ms/devbox-signup">可在此申請試用</a>），微軟表示「幾個月後」會開放公開試用。</p> <p>開發人員可以為個別開發專案各自設置不同規格的獨立雲端開發環境，稱為Dev Box，預先放入開發所需工具和相關函式庫，並隨時快速啟動。獨立的開發環境，可避免因單一錯誤操作或安裝不相容的工具，而導致整個開發環境出事，甚至干擾到其他正在開發的專案。開發人員可依據常見開發需求，如概念驗證、平行開發、維護舊版本、嘗試除錯方法等目的，自由新增和刪除Dev Box。</p> <p>Dev Box也整合了Azure AD，可以透過角色存取控制（RBAC）功能來指定不同權限的團隊成員，如讓新進開發人員或外包團隊只能存取所需的Dev Box。還能透過Azure AD其他資安功能，如管控客戶資料和機密原始碼等機敏內容，限定可存取的指定裝置或要求多因素驗證。IT系統管理員也可以用Microsoft Endpoint Manager和Intune，如同管理雲端電腦一樣的管理Dev Box，例如隔離出異常Dev Box來除錯，或統一進行漏洞修復。</p> <p>為了控管費用，開發人員還可以利用計畫性休眠功能，在上下班時間自動啟用和停止Dev Box，也能查看各專案和不同團隊的費用支出。</p> <p>另一個優化開發流程的新功能是，正式推出了Github Copilot服務。Copilot是一個AI開發輔助服務，可以根據開發者的程式碼，給出一行，甚至一整個函式的自動完成建議。其他值得注意的新發布產品及功能，還有ARM架構AI開發硬體<a href="https://www.ithome.com.tw/news/151111">Project Volterra</a>、整合資料庫、分析、治理的三合一工具<a href="https://www.ithome.com.tw/news/151112">Intelligent Data Platform</a>、低程式碼網頁建置工具<a href="https://www.ithome.com.tw/news/151114">Power Pages</a>等。</p> </div></div></div>
2022/5/25 15:28作者郭又華https://www.ithome.com.tw/news/151119
明日起家用快篩陽性即確診，數位證明平臺可申請快篩陽確診、接觸者隔離證明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於COVID-19本土病例數每日大量新增，中央流行疫情指揮中心今日（5月25日）表示，全臺已進入大規模流行階段，為確保公衛防疫和PCR採檢量能，決定調整策略，自26日起，民眾使用家用快篩陽性經醫事人員確認，或由醫事人員執行抗原快篩且陽性者，可直接判定確診。與此同時，數位新冠病毒健康證明平臺今日早上8時起也新增「快篩陽性確診證明」和「接觸者隔離證明」申請功能，供民眾使用。</p> <p><span style="font-size:22px;"><strong>快篩陽性經醫事人員確認即確診</strong></span></p> <p>進一步來說，民眾快篩陽性後，可預約視訊診療或至社區篩檢站、醫療院所、衛生所等地請醫師評估。若採視訊診療，民眾得先備妥快篩卡匣或檢測片，寫上姓名和日期，與健保卡放在一起拍照，並在視訊診療間，出示給醫師評估。</p> <p>若是去醫療院所就診，可以夾鏈袋或塑膠袋密封包裝，帶至醫療院所供評估。</p> <p>經醫事人員確認、取得共識後，確診民眾可經由疾管署簡訊發送的連結，或透過健保快易通App填寫「COVID-19確診個案自填版疫調單」，自主回報症狀、風險因子、密切接觸者。要是未有共識，則可進行PCR檢驗來確認。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/12-0525%20%E4%BF%AE%E8%A8%82%E3%80%8C%E5%9A%B4%E9%87%8D%E7%89%B9%E6%AE%8A%E5%82%B3%E6%9F%93%E6%80%A7%E8%82%BA%E7%82%8E%E3%80%8D%E4%B9%8B%E7%97%85%E4%BE%8B%E5%AE%9A%E7%BE%A9.jpg" /></p> <p>另一方面，指揮中心說明快篩陽性確診的領藥流程，當民眾快篩經醫療院所確認、醫師通報後，再由醫師評估是否適合抗病毒藥物，或是其他相關藥物，再來開立。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/14-0525%20%E5%BF%AB%E7%AF%A9%E9%99%BD%E6%80%A7%E8%A8%BA%E6%96%B7%E7%A2%BA%E8%A8%BA%E6%9A%A8%E9%96%8B%E7%AB%8B%E8%97%A5%E7%89%A9%E6%B5%81%E7%A8%8B.jpeg" /></p> <p>指揮中心建議，民眾在隔離期間觀察自身症狀變化，要是出現喘、呼吸困難、持續胸痛、胸悶、意識不清、皮膚或嘴唇或指甲床發青等症狀，必須馬上通知地方政府衛生局，或撥打119就醫，以119救護車為原則，防疫計程車、同住親友接送或自行前往（如步行、自行駕/騎車）等方式為輔。若出現其他症狀或醫療咨詢需求，可透過健康益友等App或電話方式聯絡遠距醫療或居家照護團隊評估。</p> <p><strong style="font-size: 22px;">數位證明平臺可申請快篩陽性確診和接觸者隔離證明了</strong></p> <p>另一方面，衛福部資訊處處長龐一鳴也公布數位新冠病毒健康證明平臺新功能，即日起新增快篩陽性確診證明和接觸者隔離證明申請。使用者可透過數位證明平臺或健保快易通App登入，並勾選需要開立證明的項目，填妥相關地址、點選申請後，就能下載或列印證明。龐一鳴也透露，該平臺上線以來，已有200多萬位民眾用來取得疫苗接種數位證明，而今日新增2項證明申請，截至今日中午12點，已有1萬5千位名字取得接觸者隔離證明，另有5千位民眾取得快篩陽性確診者證明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/16-1%E8%AD%89%E6%98%8E%E7%94%B3%E8%AB%8B%E6%B5%81%E7%A8%8B.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/16-2%E5%BF%AB%E7%AF%A9%E9%9A%94%E9%9B%A2%E8%AD%89%E6%98%8E%E6%A8%A3%E5%BC%B5.jpeg" /></p> </div></div></div>
2022/5/25 15:31作者王若樸https://www.ithome.com.tw/news/151120
蘋果要求所有可建立帳號的程式提供帳號刪除功能，6月底上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愈來愈多程式要求使用者建立帳號，或是以社交網站的帳號登入，才能執行程式功能，然而，<a href="https://developer.apple.com/app-store/review/guidelines/#5.1.1v" target="_blank">蘋果去年修改了App Store審核指南</a>，指出若與核心功能無關，即不得要求使用者輸入個人資訊，倘若需要使用者建立帳號，那麼同時必須於程式中提供刪除帳號的功能，新規定將於今年的6月30日正式實施。</p> <p>根據該規定，若程式的重要功能與帳號無關，開發者必須讓使用者無需登入就能使用；倘若程式支援使用者建立帳號，那麼也必須在程式內提供刪除帳號的機制；除非程式的核心功能與使用者的個資息息相關，或者是源自於法令的要求，否則不得要求使用者輸入個人資訊。</p> <p>此外，倘若程式的核心功能與臉書、微信、Twitter等社交網路無關，那麼程式必須提供其它管道的存取機制。蘋果舉例，取得基本的個人檔案資訊、分享至社交網路，或是邀請朋友使用程式等功能都不算是程式的核心功能。此外，這類的程式也必須提供機制以允許使用者撤銷社交網路的憑證，或是讓使用者於程式中關閉程式與社交網路之間的資料存取能力。</p> <p>其實蘋果早在2021年的6月便宣布了此一變更，當時原本要求開發者必須在今年1月底以前遵循相關規定，但在1月時將該限制的期限延後到今年的6月30日。</p> </div></div></div>
2022/5/25 15:38作者陳曉莉https://www.ithome.com.tw/news/151121
Windows 11小工具今年將開始支援第三方程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2022/05/24/create-next-generation-experiences-at-scale-with-windows/" target="_blank">微軟本周宣布</a>，Windows 11上原本僅適用於微軟程式的小工具（Widgets），將在今年支援第三方程式，<a href="https://arstechnica.com/gadgets/2022/05/third-party-widgets-are-coming-to-windows-11-which-might-actually-make-them-useful/" target="_blank">科技新聞網站《Ars Technica》則推測</a>它可能會伴隨著Windows 11 22H2出爐。</p> <p>小工具的外觀像是張小卡片，這些卡片出現在小工具面板（Widgets Board）上，可能是使用者最愛的應用程式，或者是諸如天氣等各種服務的動態內容，使用者可以自訂面板上的小工具，也能調整卡片尺寸，目的是為了快速存取或切換所需的程式/服務，並打造個人化的Windows體驗。</p> <p><a href="https://www.microsoft.com/en-us/windows/remote-resource-center/top-windows-widgets-to-know-about" target="_blank">迄今微軟已替Windows 11打造許多小工具</a>，包括行事曆（Calendar）、娛樂、電競、照片、運動、待辦事項（To Do）、交通、天氣或新聞等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-Windows11_Widgets-3.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>負責Windows與裝置的微軟產品長Panos Panay表示，Windows 11上的小工具讓使用者可一目瞭然地看到自己常用的程式與服務，使用者的回饋顯示他們非常享受可在不中斷工作流程的狀態下快速存取喜愛的內容，因此，微軟已準備在今年允許於Windows 11上打造Win32及PWA程式的第三方開發者，藉由Adaptive Cards平臺來建置搭配其程式的小工具。</p> </div></div></div>
2022/5/25 14:25作者陳曉莉https://www.ithome.com.tw/news/151115
Paypal漏洞可引發點擊劫持攻擊，竊取用戶帳戶金錢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名研究人員發現Paypal平臺有個漏洞，可能讓攻擊者發動點擊劫持（clickjacking），竊取用戶帳戶中的錢。</p> <p><a href="https://medium.com/@h4x0r_dz/vulnerability-in-paypal-worth-200000-bounty-attacker-can-steal-your-balance-by-one-click-2b358c1607cc" target="_blank">名為h4x0r_dz的研究人員去年10月向Paypal通報這項漏洞</a>。</p> <p>點擊劫持是一種攻擊手法，攻擊者在網頁中將惡意程式碼等隱藏在看似無害的網頁內容中，例如加一層或好幾層透明層，再誘使用戶點擊他們以為的合法功能如按鍵或連結，旨在將用戶導向惡意網站以洩露帳密敏感資訊或下載惡意程式。這種手法又被稱為使用者介面偽裝（UI redressing）。</p> <p>h4x0r_dz發現到Paypal網站有個端點www[.]paypal.com/agreements/approve，可被用來進行點擊劫持。它是允許用戶同意付費的計費協定，本來只應接受billingAgreementToken，但他發現也可以上傳其他token，使用戶被導向他持有的網頁，藉此獲取用戶資訊。</p> <p>研究人員表示，攻擊者可將這有問題的端點包在iFrame中，使受害者以瀏覽器登入，就能獲取用戶Paypal帳密，而將用戶Paypal財產轉到攻擊者持有的Paypal帳號，或是利用受害者的帳號支付任何服務費用。</p> <p>研究人員目的是通報漏洞賺取抓漏獎金，不過Paypal似乎並未回應研究人員的通報。<a href="https://thehackernews.com/2022/05/paypal-pays-hacker-200000-for.html" target="_blank">The Hacker News報導</a>，該漏洞迄今尚未修補。但是研究人員公布的端點已經無法使用，似乎已被關閉。</p> </div></div></div>
2022/5/25 14:48作者林妍溱https://www.ithome.com.tw/news/151117
通用汽車網路4月遭駭客存取，可能外洩車主資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通用汽車（General Motors）4月間發生疑似帳號填充（credential stuffing）攻擊，致使為數不詳的車主的回饋點數、姓名、電子郵件等個資遭存取。</p> <p>旗下擁有別克（Buick）、雪佛蘭（Chevrolet）、凱迪拉克（Cadillac）等車系的GM<a href="https://oag.ca.gov/system/files/2022-05-16%20-%20version%20A%20notice%20to%20individuals.pdf" target="_blank">上周以信件通知客戶這樁資料外洩事件</a>。</p> <p>GM發現在4月11日到4月29日之間，某些客戶的GM線上帳號有可疑登入情形，他們的客戶禮物卡回饋點數已在未經車主同意下被動用。</p> <p>但GM解釋，這次事件起因並非GM網站被駭，而是一樁帳號填充攻擊事件。所謂帳號填充攻擊（Credential Stuffing）是指，駭客利用其他遭駭網站中所取得的帳號與密碼，在另一個網站上登入。根據調查，他們相信是攻擊者取得了非GM網站外洩的用戶帳號資料，才導致車主的GM帳號遭到存取。</p> <p>而在GM帳號的非經授權的存取中，車主可能外洩的資料包括姓名、電子郵件、帳號或家人電話號碼、最愛的地點、家人虛擬身分或相片、車主的資料照、搜尋紀錄、地點資訊、點數卡活動、以及被盜用的回饋點數。GM強調網上帳號不包含生日、社會安全碼、駕照、信用卡及銀行帳號資訊等。</p> <p>GM發現時已立即暫時停用帳號下的點數卡功能，除了通知執法機關外，GM已通知用戶在下次登入時重設密碼。</p> <p>這次事件突顯不得在不同網站重覆利用同一組帳密的重要性。<a href="https://www.bleepingcomputer.com/news/security/general-motors-credential-stuffing-attack-exposes-car-owners-info/" target="_blank">不過BleepingComputer報導</a>，GM網站並不支援雙因素驗證，而雙因素驗證應可避免啟用該功能的車主資料外洩。</p> </div></div></div>
2022/5/25 13:41作者林妍溱https://www.ithome.com.tw/news/151113
微軟推出低程式碼網站建置平臺Power Pages
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了協助客戶打造資料驅動的商業解決方案，微軟在2018年發表了Microsoft Power Platform，陸續推出Power BI、Power Apps、Power Automate與Power Virtual Agents，<a href="https://powerpages.microsoft.com/zh-tw/blog/announcing-microsoft-power-pages-build-secure-low-code-websites/" target="_blank">本周則藉著Microsoft Build 2022迎來了第五個新成員Power Pages</a>，協助客戶以低程式碼（low-code）的方式快速興建網站。</p> <p>事實上，Power Pages是由Power Apps的入口網站功能衍生而獨立出來的產品，因此已有橫跨不同產業的數百萬客戶使用。</p> <p>獨立的Power Pages讓使用者可透過Design Studio功能開啟一個全新的專案，它提供許多範本，得以用來設計具備文字、影片、圖像、商業資料格式與列表的網站頁面；或者是利用擁有完整網站配置與功能的Templates Hub，跳過網站設計的步驟，直接進入更細微的網站客製化服務；另外也有針對新手所提供的Learn Hub，以學習如何建置與配置網站，或將商業資料視覺化。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/zh-tw/power-pages/getting-started/media/tour-maker-studio/launch-design-studio.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟指出，為了同時支援不熟程式碼的使用者與專業的開發者，Power Pages也無縫整合了Visual Studio Code、GitHub與Azure DevOps，以用來實現進階的商業需求。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/zh-tw/power-pages/configure/media/cli-tutorial/vs-code-pac-cli.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>Power Pages運作在Microsoft Azure上，可連向低程式碼資料平臺Microsoft Dataverse，以安全的收集訪客資料或與訪客分享資料，再輔以加密、角色存取控制、Azure Front Door雲端內容遞送服務或其它防火牆機制，還能藉由Microsoft Azure DDoS Protection來防範服務阻斷攻擊。</p> <p>微軟強調，不少人認為低程式碼的網頁開發只適用於諸如公司簡介等簡單的專案，但其實Power Pages可支援更強大的功能，包括自助服務許可、授權、事件報告或撥款申請等社群服務，或是作為各種產品與服務的FAQ網站，也能提供保固登記、退貨、支援查詢或預訂等客戶自助服務，以及建置合作夥伴支援網站等。</p> </div></div></div>
2022/5/25 14:12作者陳曉莉https://www.ithome.com.tw/news/151114
微軟發表首個基於Arm的AI開發者套件Project Volterra
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2022/05/24/create-next-generation-experiences-at-scale-with-windows/" target="_blank">微軟在24日舉行的Microsoft Build 2022全球開發者大會上揭露了Project Volterra</a>，這是一個基於高通Snapdragon運算平臺的裝置，也是微軟首個基於Arm架構的Windows開發者套件。</p> <p><a href="https://www.youtube.com/watch?v=yICVNta8jMU" target="_blank">Project Volterra的長相如同Mac mini</a>，亦即一臺少了螢幕的迷你桌機，裝置上則印有微軟的視窗商標。<a href="https://developer.qualcomm.com/blog/microsoft-build-22-new-windows-developer-kit-powered-snapdragon-compute-platform" target="_blank">根據高通（Qualcomm）的解釋</a>，此一專案包含該公司AI引擎的核心處理器Hexagon，將允許開發者打造能於裝置上執行AI加速任務的Windows應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-Project%20Volterra%20microsoft-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>Snapdragon運算平臺為高通所研發的系統晶片，它採用Arm架構，主要應用於行動裝置上，涵蓋手機、平板電腦、筆電、二合一裝置或智慧手錶等。</p> <p>此外，高通也將在Windows on Snapdragon平臺上供應Qualcomm Neural Processing SDK for Windows，提供程式執行硬體加速ML模型推測所需的各種工具，包括在Hexagon DSP處理器上把熱門ML框架轉換成ML模型或最佳化ML模型，以及用來於Hexagon上載入與執行ML模型的API，並支援TensorFlow與ONNX等熱門框架。</p> <p>至於微軟則說將把對神經處理單元（Neural Processing Units，NPU）的支援嵌入端對端的Windows平臺上，也將針對Arm原生程式推出端對端的Arm工具鏈，包括完整的Visual Studio 2022 & VSCode、Visual C++、現代化的 .NET 6與Java、.NET Framework、Windows Terminal，以及用來執行Linux與Android程式的Linux子系統（Windows Subsystem for Linux，WSL）及Android子系統（Windows Subsystem for Android，WSA），並準備在未來幾周開始預覽上述工具。</p> <p>微軟尚未公布Project Volterra的詳細規格、售價或出貨日期。</p> </div></div></div>
2022/5/25 12:37作者陳曉莉https://www.ithome.com.tw/news/151111
微軟公布Intelligent Data Platform整合資料庫、分析、治理工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周在Build 2022開發者大會上，<a href="https://azure.microsoft.com/en-us/blog/introducing-the-microsoft-intelligent-data-platform/" target="_blank">微軟宣布智慧資料平臺</a>，將其資料庫、分析及資料治理工具整合為單一雲端平臺上。</p> <p>微軟Azure Data企業副總裁Rohan Kumar指出，這個平臺旨在解決不同資料庫、分析和資料治理工具分散，使用者得在不同工具間來回的問題。</p> <p>微軟智慧資料平臺乃是將微軟雲端資料庫、分析工具及治理產品完全整合，免去用戶整合和管理資料的麻煩，這項新平臺涵括資料倉儲Azure Synapse Analytics、NoSQL資料庫Cosmos DB、分析工具Power BI、資料治理工具Azure Purview等。微軟公布顧問公司KPMG已經利用智慧資料平臺服務來管理客戶稅務、法律及財務部門資料。</p> <p>同時微軟也針對這些類別產品公布新增功能或新版本。首先在資料庫方面，資料倉儲及大型分析平臺Azure Synapse Analytics下將提供將資料從關聯式資料庫搬到data store的Azure Synapse Link for SQL，<a href="https://docs.microsoft.com/en-us/azure/synapse-analytics/synapse-link/sql-synapse-link-overview" target="_blank">目前為預覽版</a>。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/en-us/azure/synapse-analytics/media/sql-synapse-link-overview/synapse-link-sql-architecture.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>微軟也公布可為SQL Server 2022資料備份到雲端的Azure SQL Managed Instance，後者於本周正式版推出高可用性版本Business Critical tier。Azure SQL Database則推出簡化應用開發管理、及支援區塊應用必要的總帳功能。</p> <p>雲端NoSQL資料庫Azure Cosmos DB提供30天試用版，並新增突增容量及彈性擴充功能，目前以預覽版推出。微軟也將拗口的「Azure Database for MySQL -Flexible Server Memory-Optimized service」改名為Business Critical tier。</p> <p>分析工具方面，<a href="https://devblogs.microsoft.com/microsoft365dev/combining-microsoft-graph-data-connect-data-sets-in-azure-synapse-analytics/" target="_blank">微軟強調Azure上才有的Microsoft Graph Data Connect可將Microsoft 365資料安全匯出</a>，並利用Azure Synapse pipeline將2種資料集合併在一起。此外。Power BI新增資料超市（datamart）付費自助服務，現以預覽版提供。</p> <p>資料治理服務產品線Purview則推出Dynamic Lineage for Azure SQL Databases，可協助Purview Data Map，強化混合雲或多雲環境中資料治理，現為預覽版，微軟表示未來幾個月內還會推出Purview Data Estate Insights。最後，Azure Machine Learning也預覽了負責任式AI（Responsible AI）儀表板，協助機器學習模型的debug工作。</p> </div></div></div>
2022/5/25 13:15作者林妍溱https://www.ithome.com.tw/news/151112
微軟開放規格達要求的PC下載Windows 11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2" target="_blank">微軟宣布進一步開放更多使用者下載Windows 11</a>，只要PC達到規格要求就可以下載安裝。</p> <p>微軟Windows網站指出，Windows 11現已「被指定進行廣泛部署」，暗示將開放更多用戶透過Windows Update下載安裝。微軟告知，Windows 10用戶現在可利用PC Health Check App或是檢查Windows 11的電腦規格要求，判斷自己的裝置是否可下載安裝。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/147075" target="_blank">Windows 11已經釋出將近7個月</a>，微軟今年下半就將釋出Windows 11的功能更新。Home、Pro、Pro for Workstation、Pro Education版本將提供24個月技術支援，Enterprise和Education版則提供36個月支援。</p> <p>但除了硬體規格外，用戶PC上的作業系統必須是Windows 10 2004版以後，且裝置未被微軟實施Security Holds。所謂Security Holds是指微軟透過診斷資料來判斷PC狀態是否已準備好安裝功能更新。經微軟判斷還不及格並實施Security Holds時就會延後更新，並導致Windows更新失敗。</p> <p>不過在擴大部署的同時，微軟仍持續忙著解決Windows 11大小問題。微軟說明，已解決的問題包括<a href="https://www.ithome.com.tw/news/151025" target="_blank">本月Patch Tuesday引發多種服務驗證失敗</a>、未連網Windows PC進入安全模式後出現螢幕閃爍，影響使用檔案管理員、開始選單及工作列的元件、以及在搭載某些GPU的PC上，使用Direct3D的App會運作不穩等狀況。但其他狀況，如使用某些.NET Framework 3.5，如 WCF（Windows Communication Foundation）及WWF（Windows Workflow）的App無法開啟的問題目前只獲得緩解。</p> </div></div></div>
2022/5/25 09:58作者林妍溱https://www.ithome.com.tw/news/151110
波函式塌縮與函數式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果有一張圖片作為範本，我們想基於其中的結構，使之擴展、成為更大張的圖片，這個過程稱為<a href="https://bit.ly/3K57bRq" target="_blank">Texture synthesis</a>，此時，可以將這類演算擴展用於遊戲或3D建模，創造隨機的世界或模型，就像先前專欄〈<a href="https://www.ithome.com.tw/voice/138571" target="_blank">理解波函數塌縮演算</a>〉談過的波函數塌縮，就是一個可行的方案，而我就曾經在OpenSCAD實現了波函數塌縮。</p> <p>不過，最初的實現版本只是堪用而己，效能頗為不彰，只是算個20乘20大小的拼接，就必須花上40幾秒，我不禁一直執著於尋找更好的實現方式。而執著的原因在於，OpenSCAD具有函數式典範，波函式塌縮需要持續地塌縮盤面，在不可變動特性與需要頻繁變動之間，若我們以命令式角度來看，兩者存在著很大的衝突。</p> <p><span style="font-size:28px;"><strong>變動與不變的衝突？</strong></span></p> <p>最基本的衝突情境就是，20乘20就有400個位置，每個位置又有多個候選的拼接磚，成立三維的立體資料結構；塌縮改變了某位置的狀態，也改變了整個盤面的狀態；接著，傳播又要改變多個位置的狀態，也就要多次改變盤面的狀態。</p> <p>就命令式而言，這不成問題，指定索引更新資料就好，然而，就函數式而言，狀態改變意謂著重組相關資料，這可是大問題！</p> <p>改變思考的方式是必要的，現今開發者應該對一些從命令式轉換為函數式的思維有點認識，先前專欄〈<a href="https://www.ithome.com.tw/voice/116153" target="_blank">在不變中求變</a>〉談過一些，我近來又整理了一些<a href="https://bit.ly/3v1Dfl5" target="_blank">函數式模式</a>，從這些角度來切入，確實是有些幫助，大致上少了10秒左右的時間吧！</p> <p>然而，算個20乘20拼接還要花上30幾秒，我仍然覺得不滿意，表面看來，這是效能的問題，不過，後來發現我想探究的問題有兩個：效能瓶頸真的是來自於函數式典範的不可變動特性嗎？演算法本身真的就要頻繁地變動狀態嗎？</p> <p>我需要畫清界線，但這個界線不是指函數式中純粹與不純粹的界線，而是要釐清哪些問題來自於演算法，哪些問題來自函數式！</p> <p>想畫出這道界線的第一步，就是讓程式碼更為清晰，在進入效能最佳化階段之前，先持續進行重構，關於這部分的做法與效益，我在先前專欄〈<a href="https://www.ithome.com.tw/voice/150903" target="_blank">重構與效能</a>〉曾經提過。</p> <p><span style="font-size:28px;"><strong>演算法的調整</strong></span></p> <p>確實地，在重構過程中，我找到了很多不合理或重複的運算。在命令式典範中，因為可以直接改變資料的狀態，所以，在資料量不大的情況下，這類運算的成本或許能夠忽略；不過，在函數式的實作時會被放大，在重複使用一些運算成果後，執行的時間確實有少一些。</p> <p>這是屬於演算法（實作時）的問題，就波函式塌縮而言，確實有不少狀態、權重或熵值的重複計算；不過，還有個關鍵的地方，那就是：如何尋找「塌縮」與「傳播」的位置。在重構之前的程式碼裡，我並沒有發現一件事：自己每次都是在400格的盤面上，尋找這些位置。</p> <p>對於「塌縮」，其實，在每一代的塌縮前，都會確認是否整個盤面都完成塌縮，反過來想，這就是在尋找哪些位置沒有完成塌縮，所以，在下一代塌縮時，我們只要針對這些位置去搜尋就可以了，如此一來，每代塌縮位置的搜尋集合就會越來越小；對於「傳播」，只要鄰居的候選磚數量只有一個，根本就不用進行傳播處理。</p> <p>說穿了，這就是分支修剪的概念，而且，確實又成功地減少了執行的時間，同時表示在命令式的世界裡，如果採取類似的方式，應該也能對效能有很大的改進。</p> <p>下一個待調整目標是搜尋，因為波函式塌縮有許多情境（狀態、權重或熵值）都要進行搜尋，搜尋牽涉到資料結構，我嘗試過使用陣列，並在排序後二元搜尋，效能沒有明顯改進，後來嘗試使用字典進行雜湊搜尋，以空間換時間的方式確實奏效，執行需要的時間縮減到20幾秒左右。</p> <p>然而，在一次偶發的奇想裡，我試著使用原生的search函式取代雜湊搜尋，執行時間降至10幾秒！這點令我訝異，仔細想想，建立字典或雜湊碼計算需要成本，二元搜尋的比較與事先的排序也需要成本，然而我的實作中，每次要搜尋的資料量不多，以至於這些成本掩蓋了效益，search函式搜尋雖然是線性，然而在資料量不大又是原生函式的情況下，反而有更好的表現。</p> <p><span style="font-size:28px;"><strong>函數式的策略</strong></span></p> <p>不可否認地，函數式有些計算，確實會造成負擔，遞迴就是其中之一，遞迴堆疊需要成本，而且有遞迴上限的問題。</p> <p>在OpenSCAD如果想要避免這類問題，方式之一，是<a href="https://bit.ly/3v2DvAm" target="_blank">實現尾遞迴（tail recursion）</a>，因為OpenSCAD支援可以將簡單的尾遞迴形式展開為迭代的作法。</p> <p>不過尾遞迴的實現，不會是天下掉下來直接有的，這意謂著要將函式拆分為更小的任務，才能看出哪邊構成了尾遞迴的模式，也就是說，需要先退出效能最佳化階段，對每個遞迴函式進行更細部的重構。</p> <p>在這個過程中，會發現到一件事實，有些任務根本就不必使用遞迴，使用list comprehension就可以了！在重構之前，只是因為摻雜過多任務而看不出來，在具有list comprehension的其他語言（例如Python），應該也可以善用這種方式來改進程式的可讀性與效能。</p> <p>在某位置的狀態塌縮處理上，原本是要收集某些不相容的狀態，然後從該位置刪除那些狀態；現在可以轉變為另一個角度思考，只收集相容的拼接磚，作為該位置的拼接磚集合就可以了。</p> <p>當然，最終盤面狀態還是需要進行更新，然而，函數式不可變動特性的另一面就是：未變動的資料可以重用，這就涉及了資料結構，以及狀態的切分與重組。</p> <p>以二維陣列來說，我們可以將資料切分為逐列（row），如果更新的是x行（column）、y列的資料，實際上，只要針對y列更新，其他未變動的列可以直接參考重用。</p> <p>這其實是函數式的優點之一，可共用資料結構，例如樹狀結構，在比對狀態之後，若某個子樹並沒有變動，整個子樹拿來用就可以了，在前端有些函數式典範框架中虛擬DOM的方案，就是以類似概念作為出發點。</p> <p><span style="font-size:28px;"><strong>用一年縮短40秒</strong></span></p> <p>經過了一番調整，實際上效果如何呢？最初原本40幾秒才能完成的運算，降至8秒左右！還能不能再降呢？確實還存在著可調整的地方，只是這與波函式塌縮作者提倡的塌縮位置選擇策略有關了，作者是基於最小熵，經過實測，最小熵位置的運算有其成本，就我的建模需求而言，只要找尋最少候選拼接數量的位置就可以了，現在只要2秒多，就可以完成運算了。</p> <p>從初次實作到目前的版本，我花費了一年多，將運算時間縮短了40幾秒！不過，這一年多持續調整實作、在函數式不變特性中，去尋找求變的過程，我們可以思考許多策略，無論是在演算法，或者是在函數式，不管行得通或行不通，都讓我得到了許多的啟發。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%B3%A2%E5%87%BD%E6%95%B8%E5%A1%8C%E7%B8%AE">波函數塌縮</a></div><div class="field-item even"><a href="/tags/openscad">OpenSCAD</a></div></div></div>
2022/5/25 07:00作者林信良https://www.ithome.com.tw/voice/151016
GitLab 15.0來了！向所有使用者提供容器掃描功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺GitLab發布了主要版本更新<a href="https://about.gitlab.com/releases/2022/05/22/gitlab-15-0-released/">GitLab 15.0</a>，該開發團隊在該平臺持續加入更多的DevOps功能，強化了可觀察性和持續安全性功能，協助用戶程式碼開發和協作，並且安全地交付軟體。</p> <p>官方預計在後續<a href="https://about.gitlab.com/press/releases/2022-05-23-gitlab-15-the-one-devops-platform.html">GitLab 15</a>次要版本更新中，陸續加入一系列新功能，使得企業可以縮短從程式碼到生產階段的交付周期，降低錯誤頻率和嚴重性，讓開發團隊更頻繁地部署，減少意外事件後的恢復時間，並對企業工作流程自動化和資料科學工作負載，有更全面的支援。</p> <p>GitLab 15.0重要更新包括Wiki的WYSIWYG Markdown編輯器，編輯器現在支援超過100種的程式語言，從程式碼區塊上方的下拉選單，便可以選擇對應的語言，來突出顯示CSS、YAML和Python等程式碼，減少無樣式的程式碼區塊出現，用戶也可以將程式碼區塊快速複製到剪貼簿中，在其他程式碼編輯器重複使用。</p> <p>用戶在WYSIWYG Markdown編輯器，能夠更方便地處理連結和媒體，過去用戶需要於編輯工具欄中選擇工具，才能更改Wiki頁面上選定的連結和圖像，而現在編輯操作更加容易，當選取連結或附圖時，下方便會出現選單，供用戶編輯連結，或是複製圖像到剪貼簿，甚至在頁面中刪除連結和圖像。</p> <p>在GitLab 15.0中，進階搜尋現在與OpenSearch相容，在之前的版本，進階搜尋功能不相容於開源的Elasticsearch分叉OpenSearch，因此當用戶使用AWS託管服務，必須使用舊版的Elasticsearch，但在更新之後，Advanced Search已經完全可搭配OpenSearch使用。</p> <p>另外，在GitLab 14.10或是更早之前的版本，團隊僅支援一組迭代，而這使得同一團隊中的不同組別，難以自主計畫和追蹤迭代之間的問題，而GitLab 15.0改進了這個問題，官方增加團隊管理並行迭代的能力，不同組別在其迭代節奏中，皆可控制每次迭代的起始和持續時間。</p> <p>GitLab也持續向下開放更多功能給各層級使用者，在GitLab 15.0中，現在每一層級的使用者，都能用到基本容器掃描功能。容器掃描可協助開發人員，更簡單地發現所安裝的容器映像檔中，存在的已知安全漏洞。</p> <p>官方也提到，GitLab 15也將支援ModelOps使用案例，允許資料科學和相關團隊緊密合作。ModelOps相關功能包括資料操作，使用戶能夠擷取、載入和轉換資料，並且簡單地將資料連接到GitLab工作管線。機器學習操作方面，簡化了機器學習模型的開發和部署，使用戶能夠試驗、訓練、測試，並將模型部署到生產中。</p> <p>GitLab 15會讓用戶能夠監控生產中的機器學習模型，了解其運作狀況，並且對資料、程式碼和模型版本，提供可追溯性功能，包括整合資料保護、機器學習程式碼安全性與模型版本控制，增加用戶在機器學習上的法遵、存取控制和協作能力。</p> </div></div></div>
2022/5/25 00:41作者李建興https://www.ithome.com.tw/news/151102
AWS正式推出採用Graviton3處理器的C7g執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在去年re:Invent大會中，公開<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-c7g-instances-powered-by-aws-graviton3-processors/">C7g執行個體</a>的消息，現在已經結束預覽階段，正式推出供用戶選用。C7g執行個體的C代表其用途針對計算（Compute）密集工作負載，7是第7代的意思，g則是指該執行個體使用AWS Graviton處理器。</p> <p>C7g執行個體使用AWS自家設計，最新的Graviton3處理器，該處理器使用更先進的DDR5記憶體技術，比起上一代多了25％的運算效能，浮點數計算效能也提高，將近是前一代的2倍，Graviton3的機器學習運算能力也受到強化，支援bfloat16浮點數格式，為Graviton2效能的3倍。</p> <p>Graviton3處理器的安全性也更高，除了總是啟用記憶體加密外，每個vCPU也有專用的快取，並且也支援指標身份驗證功能，防止惡意程式竄改記憶體堆疊內容。而且在與相同效能的EC2執行個體相比，Graviton3可減少60％的能源，使得企業用戶能夠進一步減少碳足跡。</p> <p>C7g執行個體底層採用AWS Nitro系統，擁有8種規格可供選擇，最高可擁有64個vCPU，支援高達128 GiB的記憶體，30 Gbps的網路效能和20 Gbps的Amazon EBS效能配置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201234%20-%20New%20%E2%80%93%20Amazon%20EC2%20C7g%20Instances%2C%20Powered%20by%20AWS%20Graviton3%20Processors%20_%20-%20aws_amazon_com(1).jpg" style="width: 580px; height: 411px;" /></p> <p>C7g執行個體能夠被廣泛地用於計算密集的工作負載，包括應用程式伺服器、高效能運算、電子設計自動化、媒體編碼，或是以CPU為基礎的機器學習推理。同時也非常適合用於執行基於Linux的工作負載，包括以EKS、ECS、Kubernetes和Docker所建構的微服務應用程式，並且執行主流程式語言像是C/C++、Rust、Go、Java、Python、.NET Core、Node.js和PHP。</p> <p>目前C7g先在美東N. Virginia和美西Oregon兩AWS地區提供，之後會逐漸在各地區上線。</p> </div></div></div>
2022/5/25 00:49作者李建興https://www.ithome.com.tw/news/151103
【資安日報】2022年5月24日，駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上資安人員的攻擊行動，去年有不少是利用相關職缺為誘餌，讓受害者上當，而使得電腦被植入惡意軟體，但近期出現了新的手法──有人假借提供概念性驗證程式的名義，實際上卻是在散布意程式。</p> <p>在烏克蘭戰爭中，俄羅斯駭客Sandworm屢次攻擊烏克蘭的關鍵基礎設施，從初期使用資料破壞軟體（Wiper）從事破壞行動，到後來企圖控制變電所開關，影響該國的電力供應。最近研究人員指出，在攻擊的過程裡，這些駭客同時利用了惡意軟體投放器（Malware Dropper），使得行蹤不易被發現。</p> <p>思科對於旗下路由器作業系統軟體IOS XR，在5月20日修補漏洞CVE-2022-20821，雖然這項漏洞嚴重程度為中等，但由於5月已經出現攻擊行動，一旦駭客加以利用，還是很有可能對企業網路造成危害。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/"><span style="color: rgb(0, 0, 0);">別以為概念性驗證程式不會對電腦造成危害！有駭客用來散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png" style="width: 300px; float: right;" /></a>駭客針對資安人員出手的情況，在去年已有數起事故，而最近有人假借漏洞利用展示來發動攻擊。資安業者Cyble指出，有人針對微軟今年4月修補的重大漏洞CVE-2022-26809（CVSS風險層級9.8分）、CVE-2022-24500（CVSS風險層級8.8分），在GitHub上發布假的概念性驗證程式（PoC），這些軟體並未含有惡意程式碼，而可能得以逃過防毒軟體的偵測。</p> <p>一旦研究人員執行這些「概念性驗證程式」，電腦上就會出現假的訊息，宣稱正在利用漏洞並執行Shell Code，但實際上該軟體卻是在背景執行PowerShell命令，並傳送惡意酬載，下載Cobalt Strike的Beacon，展開進一步的攻擊行動。GitHub獲報後已將上述的惡意軟體下架。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/05/20/sandworm-ukraine-new-version-arguepatch-malware-loader/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm利用惡意軟體Arguepatch變種，投放作案工具</span></a></strong></h3> <p>日前俄羅斯駭客Sandworm曾利用資料破壞軟體CaddyWiper、操弄工控系統的惡意軟體Industroyer2，對烏克蘭的關鍵基礎設施（CI）下手，但這些駭客在投放上述攻擊工具的過程中，也透過惡意軟體投放器（Malware Dropper）來減少被察覺的機會。資安業者ESET指出，他們與烏克蘭電臘緊急應變小組（CERT-UA）聯手，發現新的惡意軟體ArguePatch變種，駭客透過ESET的可執行檔案來隱匿ArguePatch的行蹤，將這個變種惡意軟體用來投放上述的CaddyWiper、Industroyer2等作案工具，研究人員指出，有別於過往出現的ArguePatch，新的變種不再使用Windows工作排程器安排下一階段的攻擊行動，而使得相關蹤跡更難被察覺。 </p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/turla-new-phishing-campaign-eastern-europe/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla對愛沙尼亞、奧地利進行偵察</span></a></strong></h3> <p>先前Google的威脅情報小組（TAG）於3月下旬提出警告，俄羅斯駭客開始鎖定烏克蘭週邊的東歐與北約國家下手，進行網路釣魚與惡意軟體攻擊，這樣的情況延續到5月，有資安業者提出進一步分析。資安業者Sekoia於5月23日指出，他們根據TAG提及的俄羅斯駭客攻擊行動裡，所使用駭客組織Turla的基礎設施進行調查，結果發現，這些駭客鎖定的對象，是位於波羅的海的軍校Baltic Defence College（BALTDEFCOL），以及奧地利聯邦經濟商會Wirtschaftskammer Österreich（WKO）。</p> <p>前者是位於愛沙尼亞的軍事學院，由愛沙尼亞、拉脫維亞，以及立陶宛共同經營，是波羅的海的戰略研究中心，且經常舉辦北約與歐洲官員的會議；後者是在烏克蘭戰爭中保持中立的奧地利組織。研究人員認為，駭客攻擊軍校的目的，很可能是為了要打聽這些歐洲國家接下來打算採取的行動；而針對奧地利聯邦經濟商會的部分，則疑似是探聽奧地利組織對於俄羅斯的看法。</p> <p>再者，前述提及Turla用於攻擊行動的網域裡，存在名為War Bulletin 19.00 CET 27.04.docx的惡意Word檔案，該檔案內嵌了PNG圖檔，但沒有網釣攻擊裡會出現的惡意程式碼或是巨集，研究人員認為，攻擊者主要的工作很可能在於偵察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/anonymous-declares-war-on-killnet/"><span style="color: rgb(0, 0, 0);">駭客組織匿名者攻陷俄羅斯組織Killnet</span></a></strong></h3> <p>俄羅斯駭客組織Killnet自5月初開始，針對義大利多次發動網路攻擊，癱瘓該國政府機關的網站，現在有聲援烏克蘭的駭客開始對該組織出手。根據資安新聞網站Infosecurity Magazine的報導，駭客組織匿名者（Anonymous）於22日宣稱，他們將對Killnet發起網路攻擊，接下來就讓對方的網站Killnet.ru離線。這是該組織在3月上旬聲稱竊得俄羅斯聯邦機構逾36份機密檔案後，他們再度公布攻擊俄羅斯的相關行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/linux-mirai-malware-double-on-stronger-chips/"><span style="color: rgb(0, 0, 0);">鎖定Linux主機的殭屍網路病毒Mirai變種顯著增加</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png" style="width: 300px; float: right;" /></a>駭客在Log4Shell漏洞細節被公布後，針對Linux主機的攻擊行動也顯著增加。資安業者CrowdStrike指出，他們觀察到殭屍網路病毒Mirai的變種，在2022年第1季較去年同期顯著增加，而且是對於不同處理器架構的裝置都是如此。值得一提的是，研究人員指出，雖然針對Linux作業系統的Mirai殭屍網路病毒變種，多半仍是Arm架構設備而來，但論及變種數量增加的幅度，能在x86架構運作的病毒成長幅度最多，較同期增加101%，其中，又以針對32位元x86設備的變種病毒多了120%，而64位元版本x86病毒也增加57％。</p> <p>研究人員認為，有越來越多駭客偏好針對x86處理器架構的設備，原因很可能是製作與維護惡意軟體所需的心力較少，而且攻擊範圍還能從物聯網設備擴及x86伺服器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-redis-ABJyE5xK"><span style="color: rgb(0, 0, 0);">思科修補的IOS XR路由器作業系統軟體零時差漏洞，已出現攻擊行動</span></a></strong></h3> <p id="Zyxel">思科於5月20日發布資安通告，指出他們修補了已遭利用的路由器作業系統軟體IOS XR漏洞CVE-2022-20821，攻擊者一旦利用這項漏洞，就可能在未經身分驗證的情況下，遠端存取NOSi Docker容器裡執行的Redis實例。該公司指出，這項漏洞與軟體運作狀態的健康監控機制裡，預設會開放TCP的6379埠有關，從而讓攻擊者能用來連線Redis實例，甚至將任意檔案寫入容器檔案系統，並瀏覽Redis資料庫的內容。</p> <p>針對上述漏洞的影響範圍，該廠牌8000系列的路由器，並部署及啟用上述提及的軟體狀態監控機制，就有可能曝露於這項漏洞的風險當中。由於該公司的產品資安事件應變小組（PSIRT）在本月發現相關攻擊行動，他們呼籲用戶要儘速安裝新版軟體，或是採取緩解措施因應。</p> <h3><strong style="font-size: 22px;"><a href="https://news.softpedia.com/news/mozilla-releases-firefox-100-0-2-with-critical-security-fixes-535426.shtml"><span style="color: rgb(0, 0, 0);">Mozilla修補瀏覽器與收信軟體重大漏洞</span></a></strong></h3> <p id="Zyxel">Mozilla於5月20日發布資安通報，該公司近期修補了電腦版、行動裝置版Firefox瀏覽器，以及收信軟體Thunderbird的兩個重大漏洞CVE-2022-1802、CVE-2022-1529，與Top-Level Await實作的原型鏈污染（Prototype Pollution）有關，一旦攻擊者利用這些漏洞，就有可能藉由上述軟體執行惡意JavaScript指令碼。</p> <p>雖然該公司僅指出這些漏洞為重大層級，並未列出CVSS評分，但根據IT業者紅帽的資安通告，兩個漏洞的危險程度都達到8.8分。Mozilla發布電腦版瀏覽器Firefox 100.0.2、ESR 91.9.1、收信軟體Thunderbird 91.9.1，以及安卓版本Firefox 100.3，並呼籲用戶應儘速安裝新版軟體。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/24 18:03作者周峻佑https://www.ithome.com.tw/news/151105
駭客釋出惡意Windows概念性驗證攻擊程式，企圖感染資安社群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/?utm_ss=szQyNDAzMTE1BAA&utm_ss_social=1" target="_blank">資安業者Cyble近日警告</a>，他們在網路上發現針對微軟安全漏洞的概念性驗證攻擊程式，但實則為惡意程式網路，資安社群一旦不慎安裝，就會被植入後門程式。</p> <p>遭到駭客利用的兩個安全漏洞都是微軟於今年4月修補的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-24500" target="_blank">CVE-2022-24500</a>與<a href="https://www.ithome.com.tw/news/150440" target="_blank">CVE-2022-26809</a>，前者為Windows SMB的遠端執行漏洞，後者則是遠端程序呼叫（Remote Procedure Call，RPC）Runtime漏洞，亦允許駭客自遠端執行任意程式。</p> <p>然而，有一名代號為rkxxz的開發者，將針對這兩個漏洞的概念性驗證攻擊程式上傳到GitHub上，資安工程師Tuan Anh Nguyen在安裝了其中的CVE-2022-26809攻擊程式之後，<a href="https://twitter.com/haxor31337/status/1527182890869530624?s=20&t=DXYztU2EQgqQlS9PRFMDzg" target="_blank">發現他在自己的系統上引進了後門</a>。</p> <p class="rtecenter"><a href="https://twitter.com/haxor31337/status/1527182890869530624?s=20&t=DXYztU2EQgqQlS9PRFMDzg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Malware%20Campaign%20Targets%20InfoSec%20Community-600.png" style="width: 574px;" /></a></p> <p>Cyble指出，偽造的CVE-2022-24500攻擊程式並未含有任何攻擊程式碼，只是出現一個假訊息顯示它企圖開採並執行Shellcode，卻背地裡執行PowerShell指令以遞送真正的酬載，接著下載了Cobalt-Strike Beacon，以用來展開其它的惡意行為。</p> <p>總之，不管是假冒的CVE-2022-24500或CVE-2022-26809攻擊程式，都是用來吸引資安社群的誘餌，因為資安人員經常使用這類的概念性驗證程式來檢查漏洞，使得Cyble呼籲該社群的使用者最好在下載任何概念性驗證程式之前，先確認來源的可信度。</p> <p>目前不管是rkxxz的帳號或相關概念性驗證攻擊程式都已被GitHub下架。</p> </div></div></div>
2022/5/24 14:24作者陳曉莉https://www.ithome.com.tw/news/151093
英特爾設立伺服器浸沒式冷卻實驗室、將在臺灣提出首個參考架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推動資料中心浸沒式冷卻技術開發，<a href="https://www.intel.com/content/www/us/en/newsroom/news/key-investments-advance-data-center-sustainability.html" target="_blank">英特爾近日宣布投資7億美元設立Mega Lab</a>，同時將推動浸沒式冷卻方案的參考架構開源計畫，從臺灣開始推向全球。</p> <p>這座Mega Lab位於美國奧勒岡州Hillsboro市的英特爾Jones Farm園區，佔地20萬平方英呎（約5620坪），預計2023年下半開幕運作，旨在研發浸沒式冷卻、用水效率及熱氣回收及再利用。這座實驗室也將用於測試英特爾資料中心產品，包括Xeon、Optane、網路介面卡和交換器設備、Agilex FPGA、Xe架構、Habana加速器及正在研發中的產品。此外，該實驗室也會設立進階技術展示供客戶和合作夥伴參觀，或在實驗室內的資料中心環境測試英特爾產品。</p> <p><a href="https://www.ithome.com.tw/news/148907" target="_blank">英特爾今年初宣布與GRC（Green Revolution Cooling）合作開發採用Xeon Scalable處理器的浸沒式冷卻技術</a>，2018年則是和Submer合作。</p> <p>除了推進浸沒式冷卻技術的研發，英特爾也宣布號稱首個開放智財（Open IP）浸沒式液冷解決方案和參考架構。該公司說，open IP的參考設計將會是容易部署、擴充簡單的開放整合式冷卻方案，可協助夥伴回應資料中心功率愈來愈密集時代下，企業對能源效率需求。</p> <p>英特爾表示，第一個概念驗證設計將會由英特爾臺灣，以及臺灣合作夥伴推出，之後這個open IP計畫再階段性推向全球。</p> <p>至於何時會見到首個參考架構，英特爾並沒有說明。對於開發中的浸沒式冷卻方案，<a href="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2022-05/newsroom-immersion-cooling.jpg.rendition.intel.web.1072.603.jpg" target="_blank">英特爾也只提供了一張浸沒槽的照片</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Intel%20Data%20Center%20Cooling-600.jpg" style="width: 296px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>英特爾預定的參考架構和開放運算專案（Open Compute Project，OCP）或許會有重疊之處。成員包括ARM、IBM、Google、微軟、Dell和HP、緯穎的OCP下也有一專注液式冷卻技術的工作小組。事實上英特爾自己也是OCP成員之一。</p> </div></div></div>
2022/5/24 14:43作者林妍溱https://www.ithome.com.tw/news/151094
美國上訴法院阻止了佛州對社交媒體的禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144612" target="_blank">美國佛羅里達州州長Ron DeSantis在去年的5月簽署了Senate Bill 7072法案</a>，要求大型科技業者必須維護當地民眾存取相關平臺的能力，同時禁止相關平臺封鎖政治候選人，不過，美國聯邦第十一巡迴上訴法院在本周宣判，包括社交平臺在內的大型科技業者同樣受到《美國憲法第一修正案》的保護，不應受到Senate Bill 7072的限制。</p> <p>根據Senate Bill 7072的規定，大型科技平臺必須平等對待所有的州民，在實行內容審核時必須基於一致的政策且透明化，否則人們有權可以控告它們，還能請求損害賠償；此外，相關平臺不得封鎖佛州的任何政治候選人，也不得移除新聞媒體的內容。</p> <p>這使得網路貿易推動組織NetChoice與美國計算機與通信工業協會（Computer and Communications Industry Association，CCIA）告上法院，指責Senate Bill 7072違反《美國憲法第一修正案》，美國地方法院先釋出了初步禁令，禁止佛州實施Senate Bill 7072，接著上訴法院也支持地方法院的立場。</p> <p>上訴法院認為，縱使在制定憲法之際沒人能想像Facebook、Twitter或YouTube等社交平臺的存在，但有關言論與新聞自由的原則不應在新媒體出現時而有所不同。</p> <p>不過，同樣是企圖限制社交媒體，同樣是由NetChoice與CCIA提出抗議，但德州迄今的所得到的結果卻不太一樣。</p> <p>德州州長Greg Abbott是在2021年9月簽署了Bill 20法案，打算禁止大型社交網站過度審核用戶的言論；NetChoice與CCIA一樣向法院提出告訴，結果<a href="https://www.ithome.com.tw/news/150894" target="_blank">美國上訴法院今年5月卻裁決德州可合法實施Bill 20</a>。</p> <p>在上訴法院針對Bill 20的裁決結果出爐之後，<a href="https://www.ithome.com.tw/news/150933" target="_blank">代表Google、Meta及Twitter等大型科技公司的遊說團體即向最高法院大法官Samuel Alito聲請緊急動議（Emergency Stay）</a>，希望由最高法院推翻上訴法院的決定。</p> <p><a href="https://www.protocol.com/bulletins/florida-social-media-law-block" target="_blank">美國科技媒體《Protocol》分析</a>，德州與佛州各自針對社交平臺所祭出的法令是類似的，卻於上訴法院得到分歧的結果，而這可能促使最高法院扮演最終的裁決角色，決定社交平臺能否適用於《第一修正案》。</p> </div></div></div>
2022/5/24 14:58作者陳曉莉https://www.ithome.com.tw/news/151096
Nvidia發表Grace伺服器參考設計，明年上半年產品問世；液冷式A100 GPU亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia去年揭露旗下首款資料中心CPU，採用Arm架構的Grace CPU後，在今年Computex上發表了Grace伺服器參考設計，將聯合多家伺服器品牌及代工業者，在明年上半年推出採用Grace的運算系統。此外，還推出液冷式A100 GPU，將液冷技術推向主流GPU市場。</p> <p>去年GTC，Nvidia擴大資料中心布局，揭露將發展CPU、GPU、DPU三種運算技術的戰略，以擴大對支援愈來愈多人工智慧應用的新型態資料中心布局，除了GPU與DPU之外，在CPU方面受外界注目的是，Nvidia首款資料中心CPU，採用Arm架構設計的Grace，強調專為超大規模AI及高效能運算所設計，可帶來TB級的資料處理量。</p> <p>Grace支援第4代NVLink互連技術，讓CPU與GPU間可以每秒900GB的速度互連，並支援LPDDR5X記憶體，帶來更高的容量、頻寬及能源效率。官方稱，配備Grace CPU的DGX，和現今的DGX相比提升5倍效能。</p> <p>今年Computex電腦展，Nvidia揭露更多Grace CPU資訊。Grace將包括兩種產品規格，兩種規格設計均支援Nvidia的軟體堆疊及平臺，包括Nvidia AI和Omniverse。一種是專為大規模人工智慧及高效能運算設計的Grace-Hopper的CPU與GPU規格，以NVLink-C2C作為CPU與GPU間的快速互連，每秒可達900GB的速度；另一種規格是Grace CPU Superchip，以NVLink-C2C互連兩顆Grace CPU，提供144個Arm v9核心與每秒1TB的記憶體頻寬，鎖定高效能及雲端運算。</p> <p>同時，該公司也公布4種伺服器系統的參考設計，CGX、OVX、HGX(Grace)及全新的HGX，針對單路、兩路、4路不同的系統設計，分別對應雲端繪圖及遊戲、Digital Twins及Omniverse、高效能運算、AI訓練推論及高效能運算。</p> <p>前三種參考設計採用Grace CPU Superchip，搭配A16或Nvidia GPU，以及Bluefield-3，第四種的HGX參考設計則採用Grace-Hopper Superchip規格，搭配Bluefield-3，以及OEM自定的I/O或是第4代NVLink互連技術。</p> <p>Nvidia表示，目前已有多家伺服器業者計畫推出產品，包括華碩、富士康工業互連網、技嘉、雲達、緯穎、Supermicro，準在2023年上半年推出數十款伺服器。 Nvidia將繼續在伺服器投入X86與Arm架構伺服器，提供企業不同的選擇。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>推出液冷式GPU</strong></span></span></p> <p>趕上全球節能減碳的趨勢，資料中心節能成為企業的減碳淨零的目標之一，Nvidia也發表液體冷卻的Nvidia A100 PCIe GPU，為主流GPU中首款液冷產品。Nvidia表示，液冷將是Nvidia GPU加速運算發展的下一步，其AI推論和高效能運算效能比CPU提升20 倍。Nvidia目前已開始提供樣品給客戶，預計在今年夏天上市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%80_NVIDIA%20%E6%8E%A8%E5%87%BA%E6%B6%B2%E9%AB%94%E5%86%B7%E5%8D%BB%E5%BC%8F%20GPU.jpg" style="width: 600px; height: 338px;" /></p> <p>Nvidia已和資料中心業者Equinix合作測試液冷GPU產品，並表示和傳統氣冷技術相比，使用液冷技術可減少約3成的能源消耗，進而降低資料中心的PUE值，預估可達到1.15，低於採用氣冷技術資料中心的平均1.6。另外，由於液冷式的Nvidia A100只使用1個PCIe插槽，代表能提供更高的密度。</p> <p>包括華碩、永擎電子、富士康工業互聯網、技嘉、英業達、雲達、Supermicro等業者，計畫推出Nvidia液冷式GPU。</p> <p>A100之後，Nvidia透露明年液冷技術將擴大至採用Hopper架構的H100 Tensor核心GPU。未來也會擴展至高效能運算資料中心的GPU及HGX平臺。</p> <p> </p> </div></div></div>
2022/5/24 15:00作者蘇文彬https://www.ithome.com.tw/news/151095
eBay踩進NFT市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/ebay-launches-first-collection-of-nfts-in-partnership-with-green-web3-company-oneof-301551975.html" target="_blank">全球線上拍賣市集eBay在23日宣布</a>，將與標榜綠色NFT平臺的OneOf合作，推出Genesis系列的獨家NFT收藏品。</p> <p>Genesis系列將針對美國體育雜誌《運動畫刊》（Sports Illustrated）最近這幾年躍上封面的風雲人物推出各種NFT產品，包括3D或動畫作品，<a href="https://www.ebay.com/e/sports-fan-shop/wayne-gretzky-oneof-nft" target="_blank">首位即為加拿大冰上曲棍球傳奇人物Wayne Gretzky</a>。每個NFT的價格為10美元，皆含有Gretzky冰上英姿的3D渲染或動畫畫面，而且直至今年底，OneOf都會在eBay上銷售運動明星的NFT。</p> <p>OneOf標榜是個基於多個節能區塊鏈的NFT平臺，宣稱在該平臺上鑄造一個NFT所使用的電力，是工作量證明區塊鏈網路的兩百萬分之一，而且購買NFT完全不需要支付礦工費，目標是吸引全球1億名使用者進入Web3的世界，並允許使用者以加密貨幣、簽帳卡或信用卡付帳。</p> </div></div></div>
2022/5/24 15:05作者陳曉莉https://www.ithome.com.tw/news/151097
微軟Bing Autofill會過濾政治敏感詞彙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://citizenlab.ca/2022/05/bada-bing-bada-boom-microsoft-bings-chinese-political-censorship-autosuggestions-north-america/" target="_blank">研究人員分析微軟Bing Autofill功能設定</a>，發現不論是中、英文搜尋或在哪個地區時，都會跳過包括習近平、劉曉波等政治敏感詞彙。</p> <p>設於加拿大多倫多的公民實驗室（Citizen Lab）分析Bing對特定人名關鍵字的言論審查，發現Autofill會依據Bing的語言版本、地區不同，封鎖特定類別的名字，其中和政治活動有關的名字，像是政黨領導人物、異議人士等，和情色類名字同列為被Autofill過濾的兩大類關鍵字。</p> <p>研究人員從英、中版Wikipedia中挑選查詢次數超過1,000次的人名，包括近10萬個英文名及7,000多個中文名，輸入Bing搜尋服務檢視是否會顯示在Autofill建議關鍵字中，地區分別設定為中國、美國及加拿大。</p> <p>研究發現，不論地區設定，被過濾的英語人名最大宗是和情色有關的，例如情色產業工作者（桃乃木香奈 Kana Momonogi）、或本身是私密照片曝光事件的受害者。中文人名則以不意外地過濾了政治人物（習近平、溫家寶）、共產黨歷史人物（李大釗，中國共產黨創黨者之一）、或政治醜聞主角（周永康、張高麗）名字。</p> <p>但是研究人員指出，一些政治敏感詞，如「習近平Xi Jinpin」、「坦克人 Tank Man」、「劉曉波Liu XiaoBo」等高度敏感的政治人物名字，不論英文或中文、或是區域設定，都不會出現在Autofill建議選單中。</p> <p>研究人員也發現，Bing的中文自動建議（autosuggestion），不但出現在公開網頁搜尋，也會反映在Windows內建的Bing搜尋，以及使用Bing自動建議資料的DuckDuckGo。有趣的是由於Bing 對一些身體部位名稱的過濾，害得一些人物如美國46任副總統錢尼（Dick Cheney）和其他叫做「Dick」的人名也遭殃了。</p> <p><a href="https://www.theregister.com/2022/05/20/citizen_lab_microsoft_bing_report/" target="_blank">微軟對The Register 指出</a>，並無所謂「審查」，自動建議的關鍵詞是依據用戶過去查詢使用而產出的建議，沒在自動建議名稱並不表示被封鎖，至於小部份人經歷到某些關鍵詞未出現，該公司已經修正了組態相關的技術疏失，也感謝公民實驗室發現這問題。</p> </div></div></div>
2022/5/24 13:03作者林妍溱https://www.ithome.com.tw/news/151092
博通將以逾500億美元買下VMware，最快本周宣布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.wsj.com/articles/broadcom-discussing-paying-around-140-a-share-for-vmware-people-say-11653334946?mod=djemalertNEWS" target="_blank">華爾街日報</a>》（The Wall Street Journal，WSJ）與<a href="https://www.ft.com/content/b0978baf-cb16-4603-8019-a2a802c8e7e6" target="_blank">金融時報</a>（Financial Times，FT）本周相繼引述消息來源報導，晶片製造商博通（Broadcom）即將買下軟體業者VMware，FT宣稱此一交易超過500億美元，WSJ則說價格落在600億美元左右，雙方最快將於本周宣布。</p> <p>博通習於透過併購來擴大該公司的業務規模，而且近年將收購目標轉向軟體企業，<a href="https://www.ithome.com.tw/news/132339" target="_blank">2019年時以107億美元買下了賽門鐵克（Symantec）的企業安全部門</a>，現在又對雲端運算暨虛擬化技術業者VMware產生興趣。消息傳出後，VMware周一（5/23）股價大漲24.78%，以119.43美元作收，也讓VMware的市值直接衝上500億美元。</p> <p>根據WSJ的報導，博通所提出的收購價格落在600億美元左右，將以股票及現金來支付，每股價格約為140美元。不過，WSJ也說最終收購價格可能仍有變動。</p> <p>報導指出雙方可能會在本周四（5/26）公布此事，而這也是VMware準備公布首季財報的日子。</p> </div></div></div>
2022/5/24 12:18作者陳曉莉https://www.ithome.com.tw/news/151091
美、南韓合作對抗北韓網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/21/united-states-republic-of-korea-leaders-joint-statement/" target="_blank">美國與南韓上周發表合作經濟與安全同盟</a>，包含將合作對抗北韓的網路攻擊。</p> <p>美國總統拜登（Joe Biden）近日在亞洲之行中抵達南韓，並和南韓新上任總統尹錫悅展開會談，會後則連袂發表經濟與安全同盟，強化合作以對抗北韓威脅。除了擴大軍事訓練及操演外，也將提升對北韓威脅活動的辨識及因應措施，以對抗各種來自北韓的各種網路威脅，包括國家支持的網路攻擊。</p> <p>拜登和尹錫悅表示會深化美、韓區域及國際網路安全政策合作，包括擊退網路攻擊者、確保關鍵基礎架構的網路安全、打擊網路犯罪及相關的洗錢、強化加密貨幣及區塊鏈應用、擴增容量、網路操演、資訊共享、網路安全的軍事協同及其他網路國際安全事務合作。</p> <p>北韓駭客組織，包括Lazarus、Hidden Cobra、Stonefly等長期攻擊其他國家政府、政府外包商、能源及基礎架構網路、研究機構，是美國政府的眼中釘，一般相信獲得北韓政府支持。</p> <p><a href="https://www.ithome.com.tw/news/133050" target="_blank">2019年美國財政部</a>針對北韓的三大駭客組織：Lazarus Group、Bluenoroff與Andariel展開制裁，指稱它們鎖定重大的基礎架構發動網路攻擊。<a href="https://www.ithome.com.tw/news/141880" target="_blank">去年又控告</a>該共產國家駭入疫苗研發及運送供應鏈，還有3名北韓駭客被控是「全球頭號銀行搶劫犯」。<a href="https://www.ithome.com.tw/news/150497" target="_blank">今年美國政府相信</a>北韓駭客將矛頭轉向加密貨幣平臺及區塊鏈，包括Lazarus竊走Ronin Network超過6億美元，或是<a href="https://www.ithome.com.tw/news/150980" target="_blank">派有IT技能的間諜滲透進全球企業以竊取機密</a>。</p> <p>除了軍事安全合作外，美韓也將強化「科技供應鏈」合作，計畫運用三星電子為主的半導體產業能量，確保晶片及電池等科技元件的供應。雙方也承諾AI、5G/6G及量子運算技術的研發共同投資。</p> </div></div></div>
2022/5/24 10:53作者林妍溱https://www.ithome.com.tw/news/151087
英國對Clearview AI開罰750萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國資料保護組織Information Commissioner's Office（ICO）在2020年針對人臉辨識業者Clearview AI擅自蒐集該國民眾人臉資料展開調查，去年底認定Clearview AI違反英國資料及隱私法令，打算判罰1,700萬英鎊（2,300萬美元），<a href="https://ico-newsroom.prgloo.com/news/ico-fines-facial-recognition-database-company-clearview-ai-inc-more-than-gbp-7-5m-and-orders-uk-data-to-be-deleted" target="_blank">本周作出最終判決，將罰款降至750萬英鎊</a>。</p> <p>此外，ICO也已發布執行通知，要求Clearview AI不得再自公開網路取得英國民眾的個資，也不得使用這些個資，同時必須從系統上刪除所有英國民眾的資料。</p> <p>ICO指出，Clearview AI迄今已自公開網路或社交媒體平臺上，蒐集超過200億張的全球人臉資料與個人資訊，而且從未知會這些被蒐集資料的民眾，接著還提供服務以讓客戶能夠上傳人們的照片以與資料庫進行比對，此外，就算Clearview AI已經退出英國市場，但其含有英國民眾個資的資料庫仍持續供其它國家的客戶使用。</p> <p>Clearview AI的多項行為都違反了英國的資料保護法令，包括未取得民眾同意且缺乏合法理由即蒐集個資，沒有適當的程序來避免資料永久被留存，以及沒能符合生物辨識資料的較高資料保護標準。</p> <p>不僅是英國，Clearview AI也在今年5月與美國伊利諾州和解，<a href="https://www.ithome.com.tw/news/150846" target="_blank">同意不再提供服務予美國的私人企業或個人</a>。</p> </div></div></div>
2022/5/24 11:07作者陳曉莉https://www.ithome.com.tw/news/151088
Firefox桌機、手機版更新修補2個可致惡意JavaScript執行的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2022-19/" target="_blank">Mozilla上周釋出安全更新公告</a>，以修補桌機、手機版瀏覽器及郵件軟體Thunderbird中2個可執行惡意JavaScript重大風險漏洞。</p> <p>兩個漏洞中，CVE-2022-1802為Top-Level Await實作中的原型鏈污染（prototype pollution）漏洞。如果攻擊者可透過原型鏈污染破壞JavaScript中Array物件的方法（methods），就能取得權限執行程式碼。CVE-2022-1529則允許攻擊者傳送方法訊息到主行程查詢JavaScript物件索引，導到原型鏈污染，結果是攻擊者控制的JavaScript可以在具權限的主行程中執行。</p> <p>2項漏洞都是由趨勢科技的Zero Day Initiative研究人員發現。Mozilla將之列為「重大」風險，並未提供詳細的風險值，但Red Hat安全公司將<a href="https://access.redhat.com/security/cve/cve-2022-1802" target="_blank">CVE-2022-1802</a> 及<a href="https://access.redhat.com/security/cve/cve-2022-1529" target="_blank">CVE-2022-1529</a> 皆列為8.8。</p> <p>2項漏洞影響產品包括Firefox桌機、Android版及ESR版瀏覽器，以及Thunderbird郵件軟體。Mozilla已釋出Firefox 100.0.2、Firefox ESR 91.9.1、Firefox for Android 100.3及Thunderbird 91.9.1修補，並呼籲用戶儘速安裝。</p> </div></div></div>
2022/5/24 10:08作者林妍溱https://www.ithome.com.tw/news/151086
【資安日報】2022年5月23日，臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymaf…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，有一則消息，引起了我們的注意，臺灣資安業者在5月10日至13日舉行的黑帽大會上，揭露中國駭客組織開發的木馬程式Pangolin8RAT。依據中國駭客組織之間會互通有無，再加上該木馬程式背景相當複雜，開發過程疑似有APT41參與，研究人員推測很有可能成為日後中國駭客組織大肆利用的攻擊工具。</p> <p>軟體供應鏈攻擊的事故，現在也從NPM蔓延到其他平臺。資安業者近期發現有人上架名為pymafka的惡意PyPI套件，開發人員若是不慎安裝，電腦將會被植入滲透測試工具Cobalt Strike的Beacon。</p> <p>隨著烏克蘭戰爭的進行，俄羅斯駭客發動網路攻擊的對象，已經從烏克蘭擴散到全球。近期最新的攻擊事故，是義大利傳出50個政府機關網站遭到了俄羅斯駭客Killnet發動DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.blackhat.com/asia-22/briefings/schedule/#the-next-gen-plugxshadowpad-a-dive-into-the-emerging-china-nexus-modular-trojan-pangolinrat-25950"><span style="color: rgb(0, 0, 0);">臺灣資安業者TeamT5於黑帽大會上揭露新的中國木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png" style="width: 300px; float: right;" /></a>中國國家級駭客經常會使用PlugX、ShadowPad等惡意軟體，進行各式網路攻擊，但最近兩年這些駭客疑似製作新的攻擊工具，而有可能使得組織難以透過現有的威脅情資來察覺遭到攻擊。杜浦數位安全（TeamT5）於今年的黑帽大會亞洲場（Black Hat Asia）上，揭露他們從2020年發現的模組化木馬程式Pangolin8RAT，這個木馬程式的特性之一，在於早期版本就支援8種網路通訊協定，駭客亦可藉由C2指令下載DLL程式庫來擴充其功能，很有可能接續PlugX、ShadowPad，成為未來多個中國駭客組織運用的下一代作案工具。</p> <p>研究人員將使用此木馬程式的駭客組織稱為天吳（Tianwu），該組織於2020至2021年行動，鎖定臺灣、菲律賓、哈薩克等國，針對網路賭博業、電信業、政府機關、交通運輸行業出手。根據Pangolin8RAT的程式碼，以及攻擊者所採用的戰術、技巧，以及步驟（TTP），還有偏好鎖定博奕產業的特性，研究人員認為，該組織很有可能與惡名昭彰的APT41（該公司稱為Amoeba）有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/pro-russian-hackers-italy/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Killnet攻擊義大利政府多個機關的網站</span></a></strong></h3> <p>多個國家於4月下旬提出警告，俄羅斯駭客不再完全集中火力攻擊烏克蘭，而是<a href="https://www.ithome.com.tw/news/150572#CI">打算報復曾經援助烏克蘭的國家，攻擊他們的關鍵基礎設施（CI）</a>，這樣的情況如今真實上演。根據資安新聞網站Infosecurity Magazine的報導指出，義大利警方於5月20日表示，俄羅斯駭客組織Killnet約於當地時間19日晚間8時發動攻擊，導致約50個政府機關的網站無法運作，這些受害的單位包含了義大利最高司法委員會、外交部、教育部等，且攻擊行動到20日下午仍在進行。</p> <p>但此起網路攻擊事故已非Killnet第一次對該國下手──<a href="https://www.reuters.com/world/europe/pro-russian-hackers-target-italy-defence-ministry-senate-websites-ansa-news-2022-05-11/">該組織曾於11日宣稱</a>對義大利參議院、上議院、國家健康研究所（ISS）等政府機關的網站發動攻擊，癱瘓這些網站運作；<a href="https://www.reuters.com/world/europe/italian-police-prevents-pro-russian-hacker-attacks-during-eurovision-contest-2022-05-15/">義大利警方於5月15日宣布</a>，他們於10日成功攔截該組織對歐洲歌唱大賽的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/new-pymafka-malicious-package-drops-cobalt-strike-on-macos-windows-linux"><span style="color: rgb(0, 0, 0);">惡意PyPI套件pymafka對Windows、macOS、Linux電腦下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png" style="width: 300px; float: right;" /></a>駭客上架惡意開發套件的情況，過往大多針對NPM而來，但現在也有人開始對於PyPI套件庫下手。資安業者Sonatye於5月17日發現，PyPI套件庫裡出現了名為pymafka的惡意Python套件，疑似假冒知名的Apache Kafka用戶端Python套件「PyKafka」來讓受害者上當。上述兩個套件的名稱拼字幾乎相同，開發者若是不慎下載及部署惡意套件，Python指令碼setup.py會先偵測受害電腦的作業系統，並下載Windows、macOS、Linux等作業系統對應的木馬程式，其功能是滲透測試工具Cobalt Strike的Beacon。</p> <p>其中，研究人員在受害的Windows電腦上，看到駭客將Cobalt Strike的Beacon投放於電腦使用者共用的資料夾（C:\Users\Public\），並將檔案名稱命名為iexplorer.exe（註：較IE的執行檔檔名多一個r），然後藉此檔案下載了win.exe並與位於中國的IP位址連線。</p> <p>該公司亦將檔案上傳至惡意軟體分析平臺VirusTotal，結果在61款防毒引擎裡僅有20個視為無害。研究人員認為，開發人員要留意下達安裝的指令是否正確，並搭配相關檢測工具來防堵這類威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/discontinued-the-end-of-conti-s-brand-marks-new-chapter-for-cybercrime-landscape"><span style="color: rgb(0, 0, 0);">勒索軟體Conti停止營運，駭客成立多個組織，另起爐灶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png" style="width: 300px; float: right;" /></a>先前有資安人員發現，勒索軟體Black Besta可能就是Conti東山再起，現在有資安業者揭露更多跡象。威脅情報業者Advanced Intelligence（AdvIntel）指出，駭客於5月19日終止使用勒索軟體Conti的品牌，僅留下羞辱受害者的部落格Conti News，但該組織提供駭客上傳要脅受害者資料，以及讓受害者付款的相關功能皆以失效。</p> <p>研究人員發現，有別於先前其他駭客組織直接淡出網路犯罪生態圈，Conti背後的駭客已是早有預謀──這些駭客因烏克蘭戰爭開打時表態聲援俄羅斯，導致歐美國家封殺他們收取贓款的管道，該組織領導者就已經策畫要分散成多個較小的組織，包含KaraKurt、BlackByte、Black Basta等，來掩人耳目，但這些駭客在移轉的同時，也試圖讓外界認為Conti仍在運作。</p> <p>首先，是該組織以排程的方式，持續公布從受害組織竊得的資料，再者，這些駭客策畫了一場大型攻擊行動來引起外界關注，那就是針對哥斯大黎加於4月中旬的事故──外傳駭客向該國政府索討1千萬美元贖金，一個月後更提高價碼到2千萬美元。但根據研究人員的追蹤後發現，該組織高層的目的並非贖金，而是要讓外界眾所周知Conti的存在，且根據成員的對話記錄，駭客向對方提出的贖金遠低於百萬美元；此外，該組織亦相當罕見地在對外聲明裡加入政治論點（例如，在提高贖金時指控美國是地球的癌症）。而他們這麼做的目的，就是讓關鍵成員轉換到其他組織之後，不致直接遭到執法單位圍剿。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/pdf-malware-is-not-yet-dead/"><span style="color: rgb(0, 0, 0);">攻擊者利用PDF檔案散布惡意程式Snake Keylogger</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png" style="width: 200px; float: right;" /></a>駭客濫用PDF檔案發動攻擊的情況，雖沒有Office巨集檔案氾濫，但使用者仍不能掉以輕心，因為有人同時結合PDF檔案和Office巨集文件檔案出手。HP旗下的威脅情報團隊發現散布竊密軟體的攻擊行動，駭客近期利用名為匯款發票的名義，透過釣魚郵件挾帶有問題的PDF檔案，一旦收信人開啟，Adobe Reader就會要求載入一個DOCX檔案，駭客刻意將該文件檔名命名為「已經通過驗證」開頭，而使得對話框內容看起來像是「這個檔案已經通過驗證」，讓對方降低戒心依照指示開啟檔案並啟用巨集。</p> <p>一旦巨集啟用後，DOCX檔案就會下載RTF檔案，進而利用方程式編輯器已知漏洞CVE-2017-11882，在受害電腦部署Shell Code，最終下載竊密軟體Snake Keylogger。研究人員指出，駭客在攻擊行動中利用了4年前被公布的漏洞，代表上述漏洞仍能有效發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/protecting-android-users-from-0-day-attacks/"><span style="color: rgb(0, 0, 0);">網路間諜公司在2021年利用5個零時差漏洞對安卓手機植入惡意軟體</span></a></strong></h3> <p>間諜軟體Pegasus被植入iPhone手機，用於跟蹤政要、記者、民運人士的情況不時有消息傳出，但也有其他間諜軟體鎖定安卓手機下手的情況。根據Google的威脅情報小組（TAG）的統計，網路間諜公司Cytrox於2021年至少運用了5個安卓作業系統的零時差漏洞，其中有4個與Chrome有關（CVE-2021-37973、CVE-2021-37976、CVE-2021-38000、CVE-2021-38003），目的就是為了在受害人的手機植入間諜程式Predator。</p> <p>研究人員指出，這家網路間諜公司的客戶很可能在埃及、亞美尼亞、希臘、馬達加斯加、西班牙等國家。值得留意的是，該公司在零時差漏洞之外，也看上安卓生態圈部署更新檔案的時間落差，運用了尚待手機廠商推送修補程式的已知漏洞（N day）。研究人員正積極跟蹤逾30家專門向政府出售相關漏洞的供應商。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/5/18/pwn2own-vancouver-2022-the-results"><span style="color: rgb(0, 0, 0);">漏洞挖掘競賽Pwn2Own溫哥華賽事落幕，參賽者找出Windows 11、Ubuntu、特斯拉汽車漏洞</span></a></strong></h3> <p id="Zyxel"><a href="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own 2022 Vancouver於5月18日至20日，在加拿大溫哥華舉行，此賽事正逢Pwn2Own邁入第15週年。本次共有17個隊伍參賽，總共有21個攻擊目標，Zero Day Initiative（ZDI）總共發出了115.5萬美元的獎金，並由Star Labs團隊以27點的成績得到最高分，抱走抓漏大師（Master of Pwn）的殊榮。</p> <p>在這3天的賽程裡，最引起關注的是每一天都有參賽者成功攻陷Windows 11作業系統，總共找出6個漏洞。其次，則是微軟的Teams、Ubuntu桌面版本、特斯拉Model 3，以及Firefox與Safari瀏覽器都遭到破解。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/147240"><span style="color: rgb(0, 0, 0);">美國允諾不會控告從事資安研究的白帽駭客</span></a></strong></h3> <p id="Zyxel">資安威脅加劇，政府與企業往往需要藉由白帽駭客協助，找出軟體的資安漏洞，但這些人士遭到相關廠商或單位控告的情況屢見不鮮，例如，有記者在去年10月，<a href="https://www.ithome.com.tw/news/148740#DESE">通報密蘇里州中小學教育網站DESE曝露教職員個資</a>，卻傳出該州州長認為記者入侵網站而打算起訴。<a href="https://www.ithome.com.tw/news/147240">自去年零時差立法專案（Zero Day Legislative Project）提出呼籲，政府應修改過時法律保護白帽駭客</a>，最近美國政府終於釋出善意。<a href="https://www.justice.gov/opa/pr/department-justice-announces-new-policy-charging-cases-under-computer-fraud-and-abuse-act">美國司法部於5月19日表示</a>，針對自1986年施行的電腦詐欺與濫用法（CFAA），他們將修改實施的政策，不會依據相關法令控告善意進行研究的資安人員。</p> <p>但這項消息一出，多個非營利組織與新聞媒體認為，新政策對相關研究人士的保護仍然不足。例如，電子前線基金會（EFF）指出，新政策很可能因明文列出無罪行為，造成更多不在範圍的資安研究、揭露遭到起訴；ZDNet分析新政策內容認為，美國司法部列出的範圍與時下電腦安全研究相差甚遠；TechCrunch表示，該單位沒有將相關做法納入法律而是只有調整政策，很可能日後生變。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/23 16:51作者周峻佑https://www.ithome.com.tw/news/151068
研究人員警告小心夾帶惡意Word檔的PDF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HP旗下專門提供端點安全防護解決方案的HP Wolf Security，<a href="https://threatresearch.ext.hp.com/pdf-malware-is-not-yet-dead/#" target="_blank">在本周揭露了一個罕見的攻擊行動</a>，駭客以電子郵件寄送一個PDF文件，於文件中嵌入惡意的Word檔案，並開採<a href="https://www.ithome.com.tw/news/118298" target="_blank">微軟已於2017年修補的Office漏洞CVE-2017-11882</a>，以於受害者系統上安裝鍵盤側錄工具Snake Keylogger。</p> <p>HP Wolf Security惡意程式分析師Patrick Schläpfer指出，在過去的10年來，駭客一向偏愛以微軟Office檔案格式來包裝惡意程式，特別是Word與Excel，在今年第一季時，該團隊所攔截的惡意程式中，就有接近一半採用Office格式。這不僅是因為使用者熟悉相關檔案格式，也因為用來開啟這些檔案的程式很普及，再加上它們很適合作為社交工程的誘餌。</p> <p>不過，該團隊卻在今年初發現一個不尋常的感染鏈，以PDF文件作為感染途徑，再透過嵌入惡意檔案、自遠方載入攻擊程式，以及加密的Shellcode等方式來躲避偵測。</p> <p>當使用者開啟此一名為Remmitance Invoice的PDF文件時，Adobe Reader會提醒使用者開啟一個.docx的Word檔，同時宣稱該檔案已經驗證，引誘使用者開啟，倘若使用者啟用了巨集功能，它即會自遠端下載一個富文本（Rich Text Format，RTF）檔案，內含特製的物件連結與嵌入（Object Linking and Embedding，OLE）物件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-HP%20Wolf%20Security-%E2%80%A2%20PDF%20Malware-CVE-2017-11882-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-HP%20Wolf%20Security-%E2%80%A2%20PDF%20Malware-CVE-2017-11882-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／HP Wolf Security</span></span></p> <p>研究人員分析了OLE物件之後，發現它含有企圖開採CVE-2017-11882漏洞且加密的Shellcode。</p> <p>微軟於2017年修補的CVE-2017-11882位於Equation Editor工具中，它是Office的預設工具，可於文件中插入及編輯方程式，在微軟修補的當下，該漏洞存在的時間即已長達17年。</p> <p>總之，駭客開採CVE-2017-11882的目的是為了植入鍵盤側錄工具Snake Keylogger。Schläpfer則說，微軟於4年前修補的漏洞現在還持續遭到開採，代表它仍然是個有利用價值的漏洞。</p> </div></div></div>
2022/5/23 16:56作者陳曉莉https://www.ithome.com.tw/news/151069