iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

FBI警告駭客正藉由偽造的加密貨幣投資程式進行詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2022/220718.pdf" target="_blank">美國聯邦調查局（FBI）周一（7/18）警告</a>，這一年來發現許多駭客透過偽造的加密貨幣投資程式進行詐騙，迄今至少有224名受害者被騙，損失近4,300萬美元。</p> <p>駭客通常對外宣稱提供合法的加密貨幣投資服務，再說服投資人下載行動程式，並透過這些程式來詐騙投資人的加密貨幣。主要作法是以合法的美國商業公司作為幌子，利用這些商業公司的資訊建立網站，藉以取得不察的投資人的信任，進而下載假冒的行動程式。</p> <p>例如在2021年12月至2022年5月間，有一駭客集團假冒了美國的金融機構，說服投資人下載了冒用該金融機構名稱與商標的行動程式，再要求投資人將加密貨幣存入該程式的錢包中，總計有28名投資人下載了該程式。</p> <p>不過，當其中的13名投資人打算提款時，卻收到了電子郵件，指出若要提款必須先支付稅金，然而，就算支付了稅金，依舊提不出款項。這28名投資人總計損失了370萬美元。</p> <p>另一個駭客集團則是以YiBit加密貨幣交易中心的名義進行詐騙，利用同樣的手法向4名投資人騙走了550萬美元。YiBit是個曾經存在的加密貨幣平臺，但已於2018年關閉。</p> <p>還有一個駭客集團盜用了Supay的品牌名稱，Supay為澳洲的加密貨幣交易中心，但可能未在美國註冊，而讓駭客有機可趁。駭客同樣誘導投資人下載同名的程式並存入加密貨幣，但受害者一樣領不出所存入的資產。</p> <p>FBI建議對加密貨幣有興趣的投資人必須特別小心不請自來的投資邀請，確認相關的公司是否確實存在或合法，在提供個人資訊之前最好先驗證對方身分。</p> </div></div></div>
2022/7/20 10:12作者陳曉莉https://www.ithome.com.tw/news/152010
群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年國內高科技製造業資安事件的增加，按理來說，這些公司對資安的重視程度不得不提升，然而，實際上是否採取足夠的行動，外界所能得到的消息相當有限，最近我們有一家公司打破了這樣的刻板印象，那就是面板大廠群創光電，他們在6月底加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），難得的是，以臺灣本身而言，這是第12個加入這個聯盟的單位，更是首家高科技製造業加入FIRST的成員。</p> <p>成立於1990年的FIRST，主要目的是為了協助國際資安事故應變，包括新的漏洞或是廣泛的攻擊，提供資安威脅情資的即時分享，以及各式資安事件調查技術的資訊，像是外界所熟知的資安燈號等級規範（TLP），就是該組織為了強化情資分享而訂定。至今全球已有110國、635個資安應變團隊加入，主要來自政府、企業、學術單位。</p> <p>以臺灣而言，共有12個組織或產品資安應變團隊成為FIRST會員，初期有TWCERT/CC、TWNCERT、TWCSIRT，以及趨勢科技CSIRT的TM-CSIRT，加入FIRST。後續有勤業眾信、群暉科技、安華聯網、威聯通科技、奧義智慧、國家中山科學研究院加入，2022年初則有財金資訊F-ISAC Taiwan加入。</p> <p>特別的是，6月25日群創光電正式加入FIRST，這也意味著該公司對於資安的看重，以及實際推動的資安防護措施已到達相當高的水準，因此有積極加入國際資安緊急應變社群的必要性。</p> <p>為了瞭解群創的資安作為，從該公司這兩年公布的年報與CSR責任報告，就可看出端倪，因為他們在2021年就主動揭露部分相關資訊，早於金管會要求上市櫃公司需揭露資安作為的時間。</p> <p>在這些公開資訊當中，群創表示，他們在2020年加入科技部打造的科學園區資安資訊分享與分析中心（SP-ISAC），藉此互相通知及分享最新的資安攻擊手法，車用面板部門荷蘭廠區也在這一年通過TISAX AL2驗證，預計2022年荷蘭、大陸寧波廠與臺灣等全廠區，將取得更高的AL3驗證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）群創光電加入FIRST.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E5%8A%A0%E5%85%A5FIRST.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>群創光電的CSIRT團隊在6月25日，成為國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST）會員，由於是臺灣高科技製造業首例，備受關注，未來也可能促進更多國內業者加入。(圖片來源／擷取自FIRST官方網站)</strong></span></p> <h3><strong>看重國際情資交流與教育訓練</strong></h3> <p>就其他高科技業公司而言，對於群創加入國際資安FIRST組織，應該會感到訝異並好奇他們加入的原因？對此，群創表示，主要是確保能及時掌握威脅情資，以提早預警並部署防護機制與因應對策，因此，群創加入SP-ISAC，在2021年初加入TWCERT/CC，本身也導入網路威脅情資防護與SIEM的解決方案，並主動訂閱US-CERT安全性通知，公司之所以會想更進一步加入國際型的組織，就是希望能有更直接的方式，與國外各資安情資單位相互交流防禦技術，最新的駭客威脅情資也會相互通知。例如今年2月，他們迅速掌握到勒索軟體Lockbit 2.0對高科技業攻擊的相關情資。</p> <p>加入FIRST的另一個好處是，可補強資安情報資訊時間差問題。因為企業雖然可透過加入FIRST的TWCERT/CC，取得相關資訊，但因資料是在彙整與過濾後，再分享給TWCERT/CC成員，但群創也希望藉由加入FIRST，獲得更即時的資安情報通知。</p> <p>除此之外，群創希望以此提升內部人員資安教育訓練的品質。這兩年來，他們已推動全公司的資安月活動，對所有員工進行普遍的資安意識宣導，然而，在資安專業的部分，需要引進外部資源的「活水」，才能與時俱進，而由於FIRST資安組織本身有不定期舉辦會議論壇與交流年會（FIRSTCON），探討近一年常見的安全性威脅及參與資安教育訓練，因此，他們希望將最新的防禦觀念傳遞至公司，機動調整資安防禦方針，以因應駭客攻擊趨勢。</p> <p>事實上，FIRST並不乏高科技業者加入的例子，舉例來說，艾司摩爾（ASML）、NEC在2020年12月加入，AMD是在2021年7月加入，其他還有像是英飛凌（Infineon）、三菱電機等，現在臺灣也有高科技製造業者加入FIRST，未來有機會帶動國內更多高科技業參與。</p> <p>關於這次加入國性的組織FIRST的經驗，群創提到企業高層支持很重要，並分享申請經驗。群創表示，公司本身是從治理角度出發，而資訊安全是企業營運的根本，且資訊政策對企業而言是相當重要的一項工程，因此IT策略的執行，首先必須得到公司高層的認同和支持，而他們的資安團隊一開始是透過例行性月會，取得高層董事長與總經理內部核可。</p> <p>同時，對於這次的FIRST申請程序，他們說明了基本概況，讓其他國內企業也能了解如何申請。基本上，要加入FIRST，該組織規定與取得兩位會員推薦，因此他們透過電子郵件與正式行文方式，商請請TWCERT/CC與國網中心協助。較特別的是，由於推薦會員單位的人事異動，加上審查過程另需一位會員實地探訪，再加上疫情因素影響之下，審查程序改以視訊會議進行，以致他們雖早已提出申請，卻直到近期才順利成功加入。</p> <p>對於情資分享的重要性，群創在之前已有相當的體認。群創表示，像是他們在加入SP-ISAC後，曾發現科學園區所屬公車查詢網站遭植入惡意語法，趕緊通報SP-ISAC處理。他們認為，臺灣高科技製造業很多，不管哪一家公司被入侵，都是臺灣的損害，提早通報將幫助很多企業免於受害，也就是說，企業不應只是自己顧好自己，互助才能提升整體的資安。而在他們加入FIRST後，亦鼓勵其他高科技製造業者可以一同加入，在國際上也能貢獻我們資安防禦的情資與經驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）群創光電加入FIRST_圖片來源擷取自FIRST.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E5%8A%A0%E5%85%A5FIRST_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAFIRST.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>目前<strong style="color: rgb(105, 105, 105);">國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST）會員，至今年6月底時，全球</strong>有110國、635個資安應變團隊加入，而臺灣有12個單位成為FIRST會員，包括初期有TWCERT/CC、TWNCERT、TWCSIRT，以及趨勢科技CSIRT的TM-CSIRT，加入FIRST。後續有勤業眾信、群暉科技、安華聯網、威聯通科技、奧義智慧、國家中山科學研究院加入，2022年初則有財金資訊F-ISAC Taiwan加入。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自FIRST官方網站)</strong></p> </div></div></div>
2022/7/20 10:41作者羅正漢https://www.ithome.com.tw/news/152011
Amazon大舉控告逾1萬個專門銷售假評價的臉書社團
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-targets-fake-review-fraudsters-social-media" target="_blank">Amazon周二（7/19）宣布</a>，已具狀控告專門於Amazon平臺上撰寫假評論的逾1萬個臉書社團的管理員，這些社團的主要任務便是招募願意在美國、英國、法國、義大利、西班牙及日本的Amazon商店上撰寫假評論的使用者。</p> <p>創立於1994年的Amazon從1995年就推出評論機制，讓購買特定商品的消費者可以分享自己的使用經驗與對商品的評價，可說是全球評價機制的先驅，而這些評價也成為其他消費者購買商品的重要依據。不過，也有些商家或品牌想要藉由假評價來推動銷售量，透過金錢或免費商品來吸引專門撰寫假評論、賦予假評價的使用者。</p> <p>為了確保Amazon商城上的評價是可靠的，Amazon早就設立了負責調查假評價的專屬團隊，該團隊會在臉書、Instagram、TikTok及Twitter等社交平臺上尋找專門出售假評價的社團，並向這些平臺檢舉，從2020年以來，Amazon就向Meta檢舉了超過1萬個假評價社團，而Meta也以違反平臺政策為由，將其中超過一半的社團下架。</p> <p>此外，Amazon的專家調查員也會透過各種先進工具來偵測與封鎖假評價，光是在2020年，Amazon便主動阻止了超過2億個可疑評價。</p> <p>在Amazon此次控告的逾1萬個涉及假評價的臉書社團中，規模最大的社團擁有逾4.3萬個成員，但該社團已於今年初被Meta下架。</p> <p>Amazon強調，假評價的仲介服務是整個電子商業產業的問題，採取民事訴訟只是其中的一小步，真要永遠消除零售、旅遊或其它領域的假評價有賴電子商務平臺、社交平臺與執法機關的三方合作，以共同保護消費者。</p> </div></div></div>
2022/7/20 10:46作者陳曉莉https://www.ithome.com.tw/news/152012
【資安日報】2022年7月19日，可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國企業為了快速打造紅色供應鏈，向國外爭取大筆訂單，鎖定專精相關技術的臺灣企業，利誘員工竊取營業秘密的情況，似乎有越來越頻繁的現象。臺灣新北地方檢察署於7月15日宣布，他們在經過1年半的偵查及蒐證後，起訴14名臺灣iPhone機殼供應商可成科技的前員工，因為，這些員工在離職前竊得研發與業務機密後，打算帶槍投靠中國的競爭對手立訊精密工業。</p> <p>微軟在6月份的每月例行修補（Patch Tuesday）裡，公告Windows網路檔案系統（NFS）漏洞CVE-2022-30136，最近有研究人員特別提出警告，因為，這個漏洞不只比同月獲得修補的Follina（CVE-2022-30190）還要容易利用，而且無論攻擊者運用成功與否，都有可能對受害伺服器造成相當程度的損害。</p> <p>網頁應用程式框架很可能存在漏洞，而使得開發的應用程式也存在相關風險。研究人員揭露網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，並指出攻擊者有可能藉此在受害伺服器上執行任意命令。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.pcc.moj.gov.tw/media/287299/111-07-15-%E6%96%B0%E5%8C%97%E6%AA%A2%E5%81%B5%E8%BE%A6%E5%8F%AF%E6%88%90%E5%85%AC%E5%8F%B8%E5%89%8D%E5%93%A1%E5%B7%A5%E9%84%AD-%E7%A6%8F%E7%AD%89%E9%81%95%E5%8F%8D%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%B3%95%E7%AD%89%E6%A1%88%E5%81%B5%E6%9F%A5%E7%B5%82%E7%B5%90-%E6%96%B0%E8%81%9E%E7%A8%BF.pdf"><span style="color: rgb(0, 0, 0);">臺灣iPhone外殼供應商可成科技的營業秘密被外洩，偵察終結14名員工遭起訴</span></a></strong></h3> <p>中國企圖重金收買臺灣企業員工，竊取公司關鍵的技術，很可能會嚴重影響我國產業的競爭力。臺灣新北地方檢察署於7月15日指出，中國立訊精密工業為了迅速打入蘋果生產供應鏈爭取訂單，鎖定臺灣市占最高的金屬機殼供應商可成科技，引誘該公司派駐中國的研發團隊，竊取製作iPhone、iPad外殼的營業秘密，宣稱投靠後會提供高額安家費、年薪，並於立訊成功量產後，給予主管職位的方式來進行挖角。此研發團隊的鄭姓主管等14人於離職前，以分工合作方式竊取大量可成科技研發、業務相關的營業秘密資料，企圖攜往立訊使用。</p> <p>新北地檢署經過1年6個月的偵查及蒐證，並發動4次搜索，訊問相關證人及被告，扣押涉嫌收取立訊安家費、薪資的帳號，全案於7月15日偵查終結，這14人依違反證券交易法特別背信罪、營業秘密法意圖在境外使用而侵害營業秘密等罪嫌遭到起訴。</p> <h3><strong style="font-size: 22px;"><a href="https://citizenlab.ca/2022/07/geckospy-pegasus-spyware-used-against-thailands-pro-democracy-movement/"><span style="color: rgb(0, 0, 0);">泰國民主運動參與者的iPhone手機遭植入間諜軟體Pegasus</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png" style="width: 300px; float: right;" /></a>與網路間諜軟體Pegasus相關的攻擊行動，之前多半被用於攻擊歐美與中東地區的人士，如今也有鎖定東南亞的攻擊行動而引起人權組織的關注。加拿大多倫多大學公民實驗室（Citizen Lab）、國際特赦組織、泰國法律權利監督機構iLaw指控，泰國政府疑似針對參與民主運動的30名人士下手，在2020年至2021年，對他們的iPhone手機植入Pegasus，而遭到鎖定的人士身分，涵蓋了學生、律師、歌手、女演員等，年紀最小的僅有18歲。</p> <p>而這起攻擊行動被發現的原因，是因為蘋果在2021年11月，針對可能遭到Pegasus跟蹤的人士提出警告，而使得這些受害者尋求相關社會組織進行調查，進而使得此起事件近日曝光。離譜的是，有些受害者在不到2年的時間裡，手機就被植入Pegasus超過10次，而這些攻擊行動的共通點，駭客都是透過iOS零點擊漏洞Kismet與Forcedentry，來對手機下手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/7/13/cve-2022-30136-microsoft-windows-network-file-system-v4-remote-code-execution-vulnerability"><span style="color: rgb(0, 0, 0);">攻擊者透過NFS漏洞，有機會取得SYSTEM權限執行任意程式碼</span></a></strong></h3> <p>在6月份微軟發布的每月例行修補（Patch Tuesday），許多研究人員聚焦在已出現攻擊行動的Follina漏洞（CVE-2022-30190），但最近有資安業者提出警告，有另外一個漏洞攻擊者更加容易利用也相當值得留意。</p> <p>趨勢科技於7月14日提出警告，微軟在上個月修補的Windows網路檔案系統（NFS）漏洞CVE-2022-30136，可讓攻擊者在沒有通過身分驗證的情況下，對於目標伺服器發送惡意的遠端程序呼叫（RPC），進而在SYSTEM的上下文執行任意程式碼，但若是漏洞利用失敗，還是有可能癱瘓該伺服器。此漏洞影響使用NFS第4版協定的Windows電腦，第2版與第3版NFS協定沒有相關風險。</p> <p>研究人員指出，此漏洞較Follina更為容易利用，而有可能被用於癱瘓伺服器，他們呼籲使用者應儘速安裝修補程式來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/blitzjs-prototype-pollution/"><span style="color: rgb(0, 0, 0);">JavaScript網頁應用程式框架Blitz.js存在原型污染漏洞</span></a></strong></h3> <p>網頁應用程式框架有助於增加開發的速度，但也可能產生更多攻擊面或是潛在的弱點，而引起研究人員關注。資安業者SonarSource揭露JavaScript網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，此漏洞出現在該框架的遠端程序呼叫（RPC）層中，名為superjson的序列化程式庫，一旦攻擊者加以利用，就有可能在沒有經過身分驗證的情況下，對此網頁應用程式框架進行原型污染（Prototype Pollution）攻擊，操縱採用Blitz.js的應用程式，並藉由建立反向Shell的方式，來在受害伺服器上執行任意命令。</p> <p>研究人員於今年2月7日通報，Blitz.js與superjson於同月10日提供更新版本，研究人員於7月12日公布相關細節。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/juniper-releases-patches-for-critical.html"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路管理平臺、軟體定義網路系統的重大漏洞</span></a></strong></h3> <p>資安業者Juniper Networks於7月13至14日，針對旗下多項產品發布修補程式，其中最為嚴重的漏洞是CVE-2021-23017，CVSS風險評分為9.4分，存在於網路管理系統Junos Space、NorthStar Controller所使用的Nginx解析器元件，一旦攻擊者加以利用，就有機會藉由DNS伺服器傳送偽造的UDP封包，來造成1個位元的記憶體覆寫，導致正在執行的處理程序損毀等情況。</p> <p>這次Juniper也針對軟體定義網路解決方案Contrail Networking進行升級，修補一組影響程度達到CVSS評分10分的漏洞，其具體做法是更新此系統所使用的容器映像檔Red Hat Universal Base Image（UBI），從RHEL 7升級至RHEL 8。</p> <p>該公司發布了Junos Space 22.1R1、NorthStar Controller 5.1.0 Service Pack 6與6.2.2，以及Contrail Networking 21.4.0來修補上述漏洞。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.i24news.tv/en/news/israel/defense/1658119439-israel-health-ministry-website-faces-cyberattack-oversea-access-blocked"><span style="color: rgb(0, 0, 0);">以色列衛生局遭伊朗駭客組織Altahrea Team攻擊，起因疑與軍事行動有關</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.lrt.lt/en/news-in-english/19/1739037/lithuanian-ad-website-hit-by-cyberattack-warns-of-possible-customer-data-leak"><span style="color: rgb(0, 0, 0);">立陶宛廣告網站遭受網路攻擊，客戶資料恐外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.providencejournal.com/story/news/local/2022/07/16/ri-sewer-system-narragansett-bay-commission-hit-cyber-attack/10076978002/"><span style="color: rgb(0, 0, 0);">美國羅州下水道系統營運業者遭到勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/fortinet-researchers-discover-vulnerabilities-in-siemens-solutions"><span style="color: rgb(0, 0, 0);">西門子修補PCB印刷電路版電路配置檢視設備的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/digium-phones-web-shell/"><span style="color: rgb(0, 0, 0);">Elastix網路電話系統遭到鎖定，被駭客植入Web Shell</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ic3.gov/Media/News/2022/220718.pdf"><span style="color: rgb(0, 0, 0);">美國再度警告加密貨幣投資者遭到鎖定，駭客佯稱提供錢包應用程式來騙錢</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> <p><a href="https://www.ithome.com.tw/news/151943">【2022年7月14日】勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶的電子郵件進行BEC詐騙</a></p> </div></div></div>
2022/7/19 17:50作者周峻佑https://www.ithome.com.tw/news/152007
微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_wei_ruan_7yue_patch_tuesday_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>關於這方面的消息，企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，都會在每月例行修補資訊公布後發布影片，公布多項統計數據，並會特別突顯需留意的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此用戶必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，而成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分竟達8.8分，足見其風險程度之高。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/patch-tuesday">Patch Tuesday</a></div><div class="field-item even"><a href="/tags/%E6%BC%8F%E6%B4%9E%E4%BF%AE%E8%A3%9C">漏洞修補</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E">零時差漏洞</a></div><div class="field-item even"><a href="/tags/known-exploited-vulnerabilities">Known Exploited Vulnerabilities</a></div></div></div>
2022/7/19 14:57作者羅正漢https://www.ithome.com.tw/tech/152000
俄羅斯因YouTube傳播不實資訊向Google開罰3.74億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>掌管俄羅斯通訊、資訊與大眾媒體的<a href="https://rkn.gov.ru/news/rsoc/news74400.htm" target="_blank">Roskomnadzor本周一（7/18）指出</a>，因為YouTube傳播了遭俄羅斯官方禁止的內容，而且多次未履行移除相關內容的義務，因而判罰YouTube母公司Google總計211億盧布（約3.74億美元）的罰款。</p> <p>根據Roskomnadzor的說明，這次的處罰源自於YouTube未於限期內禁止使用者存取違法內容，所謂的違法內容則涵蓋俄羅斯於烏克蘭展開特殊軍事行動的不實資訊，詆毀俄羅斯軍隊；宣揚極端及恐怖主義；宣揚對未成年人健康與生命的冷漠態度；以及呼籲未成年人參與未經授權的大規模行動等訊息。</p> <p>由於YouTube多次未能履行移除相關內容的義務，使得俄羅斯法院根據Google在當地的年度營收連續處以罰款。</p> <p>在俄羅斯於今年2月24日入侵烏克蘭之後，俄羅斯官方與Google之間的關係便愈來愈緊張，Google關閉了俄羅斯企業於YouTube上的廣告收入，關閉俄羅斯官媒的YouTube頻道，反之，<a href="https://www.ithome.com.tw/news/150075" target="_blank">Roskomnadzor則直接封鎖Google News</a>。</p> <p>由於Google一直不願意恢復在YouTube上封鎖的俄羅斯官媒頻道，使得俄羅斯法院在今年3月底凍結了Google俄羅斯子公司的銀行帳號，還把錢轉出，迫使該子公司因無法支付日常開銷而<a href="https://www.ithome.com.tw/news/150988" target="_blank">在今年5月聲請破產</a>，並將員工撤離俄羅斯。</p> <p>就算Roskomnadzor向Google開罰3.74億美元，但目前並不確定已申請破產的Google子公司是否會支付，或者是俄羅斯是否會直接把已扣押的Google資產據為己有。</p> <p>即便撤離俄羅斯，但Google原有的許多免費服務仍將持續支援該市場，包括搜尋、YouTube、Maps與Gmail等，此外，即使Roskomnadzor多次因YouTube違法而向Google開罰，卻未封鎖YouTube，猜測或許是YouTube在當地過於熱門因而難以執行。</p> </div></div></div>
2022/7/19 15:11作者陳曉莉https://www.ithome.com.tw/news/152001
蘋果也傳出將減少招聘與支出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-07-18/apple-to-slow-hiring-and-spending-for-some-teams-next-year#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，為了因應全球潛在的經濟衰退力道，蘋果已計畫在明年減少特定部門的預算與招聘活動，但此一政策並未擴及所有部門。</p> <p>這是最近一個受到全球景氣影響的科技大廠，日前<a href="https://www.ithome.com.tw/news/151187" target="_blank">微軟</a>不僅宣布要放緩特定部門的招聘，也<a href="https://www.ithome.com.tw/news/151917" target="_blank">證實</a>將裁撤1%人力；<a href="https://www.ithome.com.tw/news/151716" target="_blank">Meta</a>在6月底對內警告下半年成長將放緩，並於上周要求各單位的經理辭退表現不佳的員工；Google也對內宣布放慢招聘腳步，甲骨文則傳出要削減10億美元的開銷，包括計畫裁撤數千名員工。</p> <p>根據《彭博社》的報導，蘋果指名某些團隊明年的預算可能會被縮減，有些團隊明年不得再擴編人力，但特定團隊將不會受到波及，例如明年發表VR頭戴式裝置的計畫依舊。</p> <p>這一波的景氣循環讓美股於今年創下50年來最糟糕的上半年，原因從COVID-19疫情、俄烏戰爭，一直到通貨膨脹可能引發的經濟衰退，就算明年全球的經濟狀況不明，但顯然業者皆已作出了準備。</p> </div></div></div>
2022/7/19 15:24作者陳曉莉https://www.ithome.com.tw/news/152002
新Mantis殭屍網路來襲，劫持虛擬機器與伺服器且攻擊威力強大
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_cloudflarejie_lu_mantisjiang_shi_wang_lu_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年6月，Cloudflare揭露每秒達2,600萬次請求的HTTPS DDoS攻擊，經過一個月的追蹤，新的研究結果出爐。他們將發起這波攻擊的殭屍網路命名Mantis，並指出該殭屍網路仍持續橫行，已發動超過3,000次的DDoS攻擊。</p> <h3><strong>由虛擬機器與伺服器組成，單一節點攻擊威力強大</strong></h3> <p>之所以將之命名Mantis，Cloudflare解釋，是因為這個殭屍網路的組成規模並不大，卻具有強大的攻擊能力，僅利用5,067臺機器組成的殭屍網路，發動的HTTPS DDoS攻擊即創下紀錄，如同身長不到10公分蝦蛄（Mantis Shrimp），其類似螳螂鐮刀狀的螯足，卻擁有足以打穿甲殼類動物外殼的高衝擊力道。</p> <p>根據Cloudflare先前公布的資訊，在攔阻Mantis的HTTS DDoS攻擊中，發現每臺設備每秒最多可產生5,200次請求，這是相當龐大的攻擊力度。為了讓外界理解Mantis的強大，Cloudflare對比另一起事件來印證。他們曾發現由73萬個物聯網裝置組成的大型殭屍網路，其HTTP DDOS攻擊強度是每秒逾100萬次的請求，每臺設備每秒最多送出1.3次請求，但相較於Mantis的每臺設備每秒5,200次請求，攻擊差了4千倍。</p> <p>而這種攻擊規模與攻擊力道的差異，最大原因就是Mantis劫持的設備是虛擬機器與伺服器，因此具有強大的運算資源，不同於一般普遍殭屍網路，是挾持多種物聯網（IoT）設備組成，如視訊監控系統（DVR）、監控攝影機、路由器，或是煙霧探測器等，都是運算能力較有限的設備。</p> <p>就算只是採用HTTP DDoS攻擊，想要產生每秒2,600萬次的請求並非易事，而Mantis透過HTTPS來發動攻擊，更是引人注目，也突顯這個殭屍網路的威力。Cloudflare指出，這需要大規模的資源、更高成本，來建立安全TLS加密連接，相對地，這也會讓受害者需要更高成本來減緩攻擊。</p> <p>Cloudflare表示，Mantis比過去知名的Meris殭屍網路更為先進。因為Meris主要依賴於MikroTik設備，但Mantis已經擴展到各種VM平臺，並支援執行多種HTTP代理來發起攻擊。</p> <h3><strong>網路與電信業成為Mantis最大攻擊目標</strong></h3> <p>而且，這樣的攻擊在最近一個月仍持續發生，相當值得關注。在Cloudflare本月釋出2022第二季DDoS攻擊趨勢報告中，提到應用層DDoS攻擊的狀況，比去年同期增加72%，其中Mantis的攻擊活動顯然助長了此一趨勢。根據Cloudflare的統計，Mantis對該公司客戶發起了超過3,000次HTTP DDoS攻擊。</p> <p>進一步檢視Mantis的攻擊目標，網路與電信業遭受攻擊的占比最高，達3成6，其次為新聞媒體業，遊戲業，以及金融業，占比都有10%以上。</p> <p>從受害者的國別來看，則有20%為美國，15%為俄羅斯，其他依序是土耳其、法國、波蘭、烏克蘭，但都不及5%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89Cloudflare%E6%8F%AD%E9%9C%B2Mantis%E6%AE%AD%E5%B1%8D%E7%B6%B2%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cloudflare.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Cloudflare揭露Mantis殭屍網路近一個月來的DDoS攻擊活動，以網路及電信產業遭受攻擊比例最高，達36%，其次為新聞出版業、遊戲與金融產業，所占比例亦超過10%。(圖片來源／Cloudflare)</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ddos">DDoS</a></div><div class="field-item odd"><a href="/tags/https-ddos">HTTPS DDoS</a></div><div class="field-item even"><a href="/tags/mantis">Mantis</a></div></div></div>
2022/7/19 14:44作者羅正漢https://www.ithome.com.tw/tech/151999
微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，特別點出額外需要關注的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分達8.8分，因此，需要特別重視。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div>
2022/7/19 12:05作者羅正漢https://www.ithome.com.tw/news/151996
Netflix在南美測試Add a Home功能，在另一個住處使用需要額外付費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球影片串流龍頭Netflix近來積極打擊用戶分享帳號的行為，今年3月才於智利、哥斯大黎加與秘魯測試付費新增用戶（Add an Extra Member）的功能，本周又宣布今年8月起將在阿根廷、多明尼加共和國、薩爾瓦多、瓜地馬拉與宏都拉斯測試Add a Home功能，倘若用戶需要在另一個家使用既有的Netflix帳號，也必須額外付費。</p> <p>Netflix今年第一季的財報顯示，該平臺擁有2.2億的付費用戶，但另外有超過1億的用戶免費分享了這些付費用戶的帳號。以最低的每月9.99美元的基本方案費率計算，這些免費的Netflix平臺使用者，讓Netflix每季至少損失30億美元的營收。</p> <p>無怪乎Netflix開始打擊這些分享帳號的行為。根據Netflix的規定，就算標準方案與高級方案可同時在2個或4個裝置上觀賞，但也僅限同住的人使用這些帳戶，因此，Netflix近來的政策即是針對那些非同住卻使用同一帳號的行為。</p> <p><a href="https://about.netflix.com/en/news/paying-to-share-netflix-outside-your-household" target="_blank">Netflix今年3月試行的措施</a>是允許標準及高級方案用戶新增非同住的額外成員，最多可新增兩人，但每月必須多付2.99美元。</p> <p>而<a href="https://about.netflix.com/en/news/update-to-paid-sharing" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;">本周公布的新措施</a>則是允許戶新增其它的「家」，不管是哪種方案的使用者都可新增另一個家，基本方案可新增一個家，標準方案為兩個，高級方案為三個，但每新增一個家每月就必須額外支付2.99美元。</p> <p>為了不引起使用者的反彈，這些打擊帳號分享行為的政策都仍在試行階段，而且多是在使用者數量相對較少的市場，為了讓更多使用者負擔得起該平臺的串流服務，<a href="https://www.ithome.com.tw/news/151939" target="_blank">Netflix也準備推出以廣告支撐的方案</a>，其訂閱費率將比現有的最低費率更便宜，惟上線日期未定。</p> </div></div></div>
2022/7/19 12:36作者陳曉莉https://www.ithome.com.tw/news/151998
阿里巴巴主管因10億中國用戶資料外洩案遭到約談
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月初，<a href="https://www.ithome.com.tw/news/151769" target="_blank">一名自稱為ChinaDan的駭客在暗網中兜售內含10億中國人民資訊的22TB資料</a>庫，ChinaDan宣稱該資料庫存放於阿里雲，隸屬於上海國家警察，迄今不管是阿里雲或上海國家警察都未回應媒體的詢問，不過，<a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800?mod=djemalertNEWS" target="_blank">《華爾街日報》（The Wall Street Journal）於本周報導</a>，阿里巴巴的高階主管已遭到中國政府約談，包括新上任的、負責數位公共安全業務的阿里雲副總裁Chen Xuesong。</p> <p>ChinaDan以10個比特幣（現約20萬美元）兜售了含有10億中國人民資訊的資料庫，包括他們的姓名、地址、生日、身分證號碼、聯絡電話及犯罪紀錄等，並公布了75萬筆紀錄供外界查證，除了已有多筆查證屬實之外，中國政府的約談行為亦間接證實了該資料庫的真實性。</p> <p>根據報導，阿里巴巴內部在媒體披露之前就得知此一外洩事件，並在7月1日召開緊急內部會議，亦暫時關閉該資料庫並檢查相關程式碼。隨後，中國監管機構隨即開始約談阿里巴巴的高階主管。</p> <p><a href="https://blog.leakix.net/2022/07/what-we-know-about-the-china-leak/" target="_blank">資安業者LeakIX也分析了這起可能是全球最大外洩事件的案例</a>，指出外洩資料的服務為一未受保護的Kibana實例，Kibana用來管理及檢視Elasticsearch叢集，允許代理連結至底層的Elasticsearch叢集。</p> <p>分析顯示，當一個Elasticsearch服務部署於公開網路時，即會採用預設的Kibana端點，同時Elasticsearch叢集也會被分配預設的使用者名稱與密碼，然而，該資料庫採用了老舊的Elasticsearch叢集版本，並未內建認證機制，必須要付費購買第三方的認證外掛程式才能啟用認證功能，但相關資料庫並未含有任何認證工具。</p> <p>此外，LeakIX也發現該叢集的第一個外部活動出現在6月26日，透露出駭客很可能在6月底就盜走了資料庫；而且還有許多部署在阿里雲的Elasticsearch叢集採用過時的版本，一旦它們維持Kibana的預設配置，便處於同樣的外洩風險之中。</p> </div></div></div>
2022/7/19 12:21作者陳曉莉https://www.ithome.com.tw/news/151997
VMware虛擬化平臺全面轉向訂閱制跨出一大步，推出雲端訂閱vSphere+與vSAN+，能跨區統一管理本地IT基礎架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>虛擬化龍頭VMware近日宣布雲端訂閱vSphere+和vSAN+服務正式推出，使得企業用戶現在從雲端就能直接管理本地IT基礎架構，包括私有雲，以及VMware Cloud，有別於傳統虛擬化平臺vSphere和儲存軟體平臺vSAN的地端管理作法，甚至還可將本地部署的伺服器管理軟體vCenter轉為雲端訂閱模式，按量付費。這不僅是VMware虛擬化平臺全面轉向訂閱制跨出一大步，更是該公司布局混合雲戰略的重要一環。</p> <p>其實就目前VMware套裝產品而言，大多已經走向訂閱授權或提供訂閱合約的選項，比如，去年VMware已將VMware Horizon產品由永久授權轉為訂閱授權版本。不過前陣子博通以610億美元天價收購VMware後，曾公開表示將來VMware軟體銷售模式將全面轉向訂閱服務合約模式，更加速VMware銷售服務模式的轉變。</p> <p>但不像許多雲端巨頭，一開始就推出訂閱制雲端服務，因應軟體訂閱模式的盛行，VMware直到近幾年才轉向訂閱服務策略，迄今仍有不少大型企業用戶採取買斷授權模式，在本地資料中心部署vSphere+和vSAN叢集，執行各種工作負載，也影響到其上雲時程。</p> <p>尤其對許多大型VMware企業用戶來說，考量到法遵、隱私、低延遲應用等需求，遲遲沒有把關鍵應用搬上雲，而是選擇部署於本地環境，但又想要獲得雲端彈性和服務以加速創新。所以VMware改從雲端服務需求的角度切入，推出了雲端訂閱vSphere+和vSAN+，要將企業本地既有基礎架構和VMware Cloud連結在一起，逐步引導企業朝向混合雲、多雲甚至邊緣發展。</p> <p>vSphere+和vSAN+也是VMware去年在VMworld 2021上發布企業上雲路徑的Project Arctic技術預覽專案後所推出的首批產品，前者是一個多雲工作負載平臺，整合了虛擬化技術、Kubernetes環境和雲端服務，可將現有企業內部部署，轉換為支援SaaS的服務架構，加速創新；後者則是一個超融合基礎架構產品，可擴充vSAN原有功能，提供雲端連接服務，幫助IT管理者集中管理並提高vSAN 使用效率。兩項新服務在6月底公布，並在7月12日正式推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GUID-6AAD3017-CFF4-4ACF-AC3E-AA08A8E0D74B-high.png" style="width: 600px; height: 250px;" /></p> <blockquote><p>vSphere+與本地部署的vSphere最大不同，是採取基於雲端訂閱的全新vSphere解決方案。vSphere+的核心是vCenter和Cloud Console主控臺的整合，可以透過vSAN+把所有vCenter實例連接到VMware Cloud以進行集中管理。</p> </blockquote> <p>VMware雲端平臺產品行銷資深總監Weiguo He表使示，vSphere+與本地部署的vSphere最大不同，是採取基於雲端訂閱的全新vSphere解決方案。vSphere+的核心是vCenter和Cloud Console主控臺的整合，可以透過vSAN+把所有vCenter實例連接到VMware Cloud以進行集中管理。</p> <p>VMware表示，採用vSphere+最大好處，能在不影響企業現有工作負載或虛擬主機運作的情況下，利用雲端服務集中式基礎架構管理，並簡化營運，特別是可以帶來其稱之為高價值（Hight Value）的雲端服務，讓IT管理者、經營決策者、開發者，能更容易建立、管理、執行和確保應用及工作負載的安全，既不需要升級現有的硬體基礎架構，也不用停止既有服務或工作負載就能用。「這是VMware雲端基礎策略重大技術演進一大步。」Weiguo He表使示。</p> <p>像在管理方面，以往vSphere企業用戶跨區部署了許多vCenter server，但不容易管理，現在透過雲端vSphere+服務，可以將分布各地部署的vCenter集中到單一雲端介面上來進行管理，因為將vcenter整合到單一介面上管理，也能提供集中式營運和安全性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-07-12%20%E4%B8%8A%E5%8D%889_49_51.jpg" style="width: 600px; height: 315px;" /></p> <blockquote><p>不僅僅集中管理，企業用戶使用vSphere+也能對vCenter進行統一更新，甚至可以更改授權形式，企業用戶從VMware Cloud上就能自行更改地端vCente授權形式，只須將vCenter添加到雲端入口網站，從管理頁面上就能查看目前的授權形式，只要一個點選的動作就能轉變為訂閱制，不需要繁雜的操作，</p> </blockquote> <p>不僅僅集中管理，透過vSphere+也能對vCenter進行統一更新，甚至可以更改授權形式，企業用戶從VMware Cloud上就能自行更改地端vCente授權形式，只須將vCenter添加到雲端入口網站，從管理頁面上就能查看目前的授權形式，只要一個點選的動作就能轉變為訂閱制，不需要繁雜的操作，並且一次可選擇全部或數個vCenter合約轉換為訂閱模式，來取得更完整雲端服務或功能。</p> <p> vCenter Server轉換為訂閱後，可以從VMC（VMware Cloud）主控台管理vCenter Server，而且一次能管理多個vCenter執行個體的部署，在vSphere+中也簡化了vCenter升級，使其更新過程就像更新行動裝置一樣方便，只要簡單步驟就能完成更新動作，也能縮短停機時間。</p> <p>不只管理者，對於開發人員來說，透過vSphere+服務，使得vSphere與Kubernetes能夠更緊密整合，從而實現VM和 Kubernetes容器的統一，意味著可以使用Kubernetes指令和API來建立虛擬機器或使用整合vSphere的Kubernetes發行版來執行容器化應用，以及VM和 Kubernetes網路接連管理等。</p> <p>早在去年底vSphere Advantag服務方案推出時，VMware就已經提供了vSphere本地部署訂閱方案，並根據使用量付費。如今vSphere+推出後，vSphere Advantag加入到vSphere+產品線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-06-23%20%E4%B8%8A%E5%8D%8810_25_14.jpg" style="width: 600px; height: 343px;" /></p> <blockquote><p>在vSphere+和vSAN+中還推出勒索軟體復原及災難復原兩個附加新服務，讓企業可以使用它迅速還原關鍵應用程式，保護vSphere+上工作負載，或從勒索軟體中恢復原本檔案或資料夾。</p> </blockquote> <p>除了提供vSphere和vSAN管理服務，在vSphere+和vSAN+中還推出勒索軟體復原及災難復原兩個附加新服務，讓企業可以使用它迅速還原關鍵應用程式，保護vSphere+上工作負載，或從勒索軟體中恢復原本檔案或資料夾。</p> <p>在訂閱計價方面，vSphere+和vSAN+服務預設提供一年或三年的訂閱期，收費方式，也跟原本VMware軟體授權計算相同，依使用CPU核心數來收費，但對訂閱容量設有低消，每個ESXi主機購買最小容量至少為16個實體核心CPU。超額用量時，則會對超額項目進行收費。</p> <p>VMware還推出訂閱升級計劃，將提供類似SnS 續訂的價格優惠協助企業用戶將既有vSphere and Vsan授權逐步轉到訂閱制vSphere+ and vSAN+。</p> <p>另外，使用vSphere+雲端服務前，企業必須安裝vCenter Cloud Gateway ，並將vCenter Server執行個體連線到VMware Cloud，且對企業本地vSphere環境也有一定要求，除了需要安裝vCenter Server 6.7.x及以上更新版本，才能開始使用vSphere+基本功能，如監控vSphere基礎結構，若要取得完整的vSphere+功能，包含轉換為訂閱制vCenter或取得客戶支援，則需升級到最新版本。</p> <p>VMware大大簡化vSphere+購買流程，有別於以往採用永久或固定期限授權需採個別購買的作法，提供全套式訂閱購買方案，不只是標準版本vCenter，還包括了Enterprise Plus版vSphere與Tanzu都能一次打包購買，Tanzu部分除了提供Tanzu standard Runtime，之後也將加入Tanzu Mission Control Essentials功能。</p> </div></div></div>
2022/7/19 07:58作者余至浩https://www.ithome.com.tw/news/151981
【資安日報】2022年7月18日，近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天的資安新聞裡，幾乎都與漏洞有關。這包含了針對WordPress外掛程式的攻擊行動，還有Intel、AMD處理器的漏洞Retbleed，已有多家企業級的系統軟體廠商已經著手修補。</p> <p>資安業者揭露專門針對WordPress外掛程式WPBakery Page Builder而來的攻擊行動，駭客鎖定了開發者已不再維護的元件Kaswara下手，利用任意文件上傳漏洞發動攻擊，在10天內已有近160萬個網站遭到漏洞利用嘗試攻擊。</p> <p>而在處理器漏洞Retbleed的部分，則是在研究人員公布細節後，很快就有企業級的軟體系統廠商著手修補，這些廠商多半為提供虛擬化平臺與Linux作業系統的業者。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/07/attacks-on-modern-wpbakery-page-builder-addons-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客鎖定近160萬個WordPress網站，攻擊外掛程式WPBakery Page Builder的元件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png" style="width: 300px; float: right;" /></a>WordPress外掛程式的漏洞很可能因為開發者不再維護，而成為攻擊者用來對網站下手的管道。資安業者Wordfence針對一起大規模網站攻擊行動提出警告，駭客鎖定WordPress外掛程式WPBakery Page Builder的Kaswara元件下手，利用任意文件上傳漏洞CVE-2021-24284進行攻擊行動。</p> <p>研究人員自今年7月4日至13日，總共偵測到1,599,852個網站成為攻擊目標，該公司平均一天攔截逾44萬次嘗試攻擊的行動。由於此漏洞CVSS風險評分達到10分，且沒有修補軟體，廠商也不再維護此外掛程式，攻擊者有可能將其用於接管網站，他們呼籲管理者最好移除此外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://leakuidatorplusteam.github.io/"><span style="color: rgb(0, 0, 0);">研究人員揭露瀏覽器快取旁路攻擊手法，有可能導致上網用戶身分曝光</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack_alternative.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack_alternative.png" style="width: 300px; float: right;" /></a>國家級駭客試圖運用各式的攻擊手法，企圖辨識網路上的用戶並進行跟蹤，有研究人員發現新的手法，能讓攻擊者將存取網站的使用者進行解析，將其數位生活拼湊起來，確認目標的身分，進行目標式去匿名化（Deanonymization）攻擊。</p> <p>紐澤西理工學院（NJIT）的研究人員指出，他們發現攻擊者能透過特製的網站來收集使用者瀏覽器的資料，當受害者瀏覽攻擊者的網站時，此網站會在瀏覽器載入網頁的過程中，發出對於社群網站（如：YouTube、Dropbox、推特、臉書、TikTok等）嵌入式資源的跨網站請求，並忽略使用者身分驗證的Cookie，而這些社群網站會依據使用者的身分做出回應。攻擊者藉由上述的跨網站請求獲得的共享資源，就有機會得知受害者是否為他們鎖定的目標。</p> <p>最後一步，攻擊者會確認共享資源在受害電腦（或行動裝置）上被載入的情形，他們會針對瀏覽器占用處理器快取的旁路通道資源進行比對，來確認此使用者就是他們鎖定的攻擊目標。</p> <p>研究人員提出警告，這樣的手法很可能會影響政治人物、參與政治活動的人士，以及記者，而且不光能對於時下主流的網頁瀏覽器進行攻擊，還能對洋蔥瀏覽器（Tor Browser）下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">木馬程式Sality宣稱提供密碼破解功能來感染ICS系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png" style="width: 300px; float: right;" /></a>工業控制系統（ICS）的管理者，很有可能因為需要管控許多設備而可能會忘掉密碼，有人在網路提供能夠破解可程式化邏輯控制器（PLC）或人機介面（HMI）密碼的工具，但也有人藉由提供這個工具的名義，進而在工控環境植入木馬程式。資安業者Dragos發現，有人在數個社群網站上投放廣告，宣稱提供PLC或是HMI的密碼廠解工具，針對的工控設備廠牌涵蓋了Automation Direct、歐姆龍（Omron）、西門子（Siemens）、富士電子（Fuji Electric）、三菱（Mitsubishi）、松下（Panasonic）、LG、Vigor、Pro-Face、Allen Bradley、Weintek，以及ABB等。</p> <p>研究人員針對其中一個能解鎖Automation Direct系統的軟體進行分析，發現此工具確實能破解密碼，但是是利用工控系統的已知漏洞來進行，而在提供密碼的同時，此工具也暗中在工控設備植入木馬程式Sality。研究人員呼籲工控環境的管理者，在需要重新取得PLC或MHI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/software-vendors-start-patching-retbleed-cpu-vulnerabilities"><span style="color: rgb(0, 0, 0);">多家企業級系統軟體著手修補處理器漏洞Retbleed</span></a></strong></h3> <p>上星期<a href="https://www.ithome.com.tw/news/151943#retbleed">研究人員揭露影響Intel與AMD處理器的漏洞Retbleed</a>（CVE-2022-29900、CVE-2022-29901、CVE-2022-28693、CVE-2022-23825），近期有多家企業級系統軟體，著手予以修補。根據資安新聞網站SecurityWeek的報導，虛擬化平臺Citrix Hypervisor、VMware ESXi、Xen都已提供修補程式，Red Hat、SUSE、Ubuntu等Linux作業系統也有相關的資安通報。此外，微軟在最新版Windows修補程式裡，也有對於AMD處理器的Retbleed漏洞著手修補。</p> <h3><strong style="font-size: 22px;"><a href="https://bishopfox.com/blog/netwrix-auditor-advisory"><span style="color: rgb(0, 0, 0);">IT稽核軟體Netwrix Auditor漏洞恐被駭客用於挾持AD網域</span></a></strong></h3> <p>稽核軟體很可能握有高系統權限，而使得此種系統的漏洞引起嚴重的後果。資安業者Bishop Fox發出資安公告指出，他們在IT稽核軟體Netwrix Auditor上找到新的漏洞（尚未取得CVE編號），與不安全的物件反序列化有關，一旦攻擊者加以利用，就有可能在目標伺服器上執行任意命令。</p> <p>研究人員指出，由於Netwrix Auditor對於指令的執行，是使用NT AUTHORITY\SYSTEM的權限，而使得上述漏洞的危害相當嚴重，除了攻擊者可能將Netwrix伺服器完全破壞，還能進一步挾持受害組織的AD網域。研究人員呼籲，組織應儘速更新Netwrix Auditor至10.5版，來避免此漏洞帶來的資安風險。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@numanturle/microsoft-teams-stored-xss-bypass-csp-8b4a7f5fccbf"><span style="color: rgb(0, 0, 0);">微軟Teams的貼圖功能存在漏洞，恐讓攻擊者用於XSS攻擊</span></a></strong></h3> <p>協作平臺提供的貼圖功能可讓人更容易表達看法，但這樣的功能也有可能出現漏洞，而成為攻擊者利用的目標。研究人員Numan Turle在微軟Teams的貼圖（Sticker）功能裡，發現了能觸發跨網站指令碼（XSS）的漏洞，起因與微軟採用了舊版JavaScript框架元件Angular有關。研究人員使用HTML程式碼製作惡意iframe，然後透過Teams的貼圖功能傳送後，能夠觸發前述的XSS漏洞。微軟於今年1月6日獲報，並在3月完成修補，研究人員在7月13日公布細節。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的態勢美國提出警告，可能影響會長達10年</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://theprint.in/world/albania-closes-down-online-govt-systems-after-cyber-attack/1043448/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到網路攻擊，被迫關閉政府線上申辦系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">駭客組織Predatory Sparrow聲稱攻擊伊朗鋼鐵廠，並傳出引發火災</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat也濫用紅隊測試工具Brute Ratel C4</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/above-fold-and-your-inbox-tracing-state-aligned-activity-targeting-journalists"><span style="color: rgb(0, 0, 0);">駭客假冒記者的名義對新聞媒體發動攻擊</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> <p><a href="https://www.ithome.com.tw/news/151943">【2022年7月14日】勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶的電子郵件進行BEC詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/151927">【2022年7月13日】雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的vCenter漏洞</a></p> </div></div></div>
2022/7/18 16:32作者周峻佑https://www.ithome.com.tw/news/151987
電子病歷上雲法規正式上路了！4大重點法規速覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部今（7月18日）<a href="https://www.mohw.gov.tw/cp-18-70580-1.html">公告</a>新版醫療機構電子病歷製作及管理辦法，正式允許醫療院所委外建置電子病歷資訊系統、使用雲端服務處理電子病歷資料，以及設置電子病歷交換平臺和進一步落實無紙化。衛福部資訊處處長龐一鳴也揭露，未來衛福部將公布合格業者白名單，並視情況調整監理強度，如納入國際醫療資料交換標準FHIR互通能力認證，或歐盟個資法GDPR。</p> <p><span style="font-size:24px;"><strong>上雲、委外、建置交換平臺和無紙化重點法規速覽</strong></span></p> <p>在委外部分，新版辦法第六條和第七條，允許醫療院所委託大專院校、法人、機構或團體建置和管理電子病歷資訊系統，並且要簽訂書面契約，明訂委託事項範圍、受託機構的權利義務，以及標準作業機制、資安保障機制等。</p> <p>不過，新版第六條條文特別新增3種例外情況，雙方可不必簽訂契約。這些例外分別是受託機構為所屬醫療法人或其他法人附設醫院、所屬學校之其他醫院，或是所屬機關設立的其他醫院。</p> <p>關於醫院使用雲端服務部分，則由第8條修正條文規範。該條文要求醫療機構使用雲端服務，或是委託受託機構提供雲端服務時，必須採取風險管控措施、避免業務中斷措施，並且要監督雲端業者，更要具備資料移轉機制，也就是當雲端服務停止或終止時，得將資料移轉回委託機構或其他雲端服務業者。</p> <p>至於建置電子病歷交換平臺，則由第18條修正條文規範。也就是說，經主管機關認可的公私立機構，可設置電子病歷交換平臺，來促進跨機構交換資料。</p> <p>最後，修正條文第17條和第20條，則能幫助醫院進一步無紙化。因為，第17條允許醫院將同意書、院內紙本病歷，以及與電子病歷並存的相關文件，以電子方式轉錄、蓋電子簽章封存，即視為電子病歷。</p> <p><span style="font-size:24px;"><strong>電子病歷上雲目的：醫療AI、資安、遠距醫療</strong></span></p> <p>衛福部這2年來，多次公開揭露電子病歷上雲目的。比如，龐一鳴指出，若不開放上雲，醫療AI將難以發展，此外，臺灣許多專業小型醫療院所，缺乏IT人力來管理電子病歷相關資料，若透過具高度資安機制的雲端業者代管，可加強資安體質。</p> <p>不只如此，石崇良多次指出，開放電子病歷上雲，是擴大遠距醫療的法規修正第一步。他預告，今年底前，要完成修改通訊診察治療辦法，放寬遠距醫療的適用範圍、使用情境和適用身分，同時簡化行政流程。</p> </div></div></div>
2022/7/18 18:48作者王若樸https://www.ithome.com.tw/news/151994
普丁簽署禁止以數位資產支付的法令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sozd-duma-gov-ru.translate.goog/bill/138674-8?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=en&_x_tr_pto=wapp#bh_histras" target="_blank">俄羅斯總統普丁（Vladimir Putin）上周四（7/14）簽署</a>了一個與銀行活動有關的聯邦法令修正案，此一修正案將禁止當地以數位資產作為支付工具，但並未限制人們挖掘或購買加密貨幣。</p> <p>其實<a href="https://www.ithome.com.tw/news/149008" target="_blank">俄羅斯中央銀行今年1月曾公布一份加密貨幣諮詢報告</a>，該報告詳列了加密貨幣的各種風險，並提議於俄羅斯境內禁止加密貨幣挖礦及使用行為，但看來俄羅斯立法機構並未完全採納央行的建議，雖然禁止了加密貨幣的支付，但並未禁止挖礦與投資。</p> <p>根據劍橋大學賈吉商學院新興金融研究中心<a href="https://ccaf.io/cbeci/mining_map" target="_blank">（Cambridge Centre for Alternative Finance，CCAF）今年1月所公布的資料</a>，俄羅斯的挖礦能力以4.7%的比例位居全球第五大挖礦中心，前四名依序是美國（37.8%）、中國（21.1%）、哈薩克（13.2%）與加拿大（6.8%）。</p> <p><a href="https://www.protocol.com/bulletins/russia-ban-crypto-payments" target="_blank">《Protocol》分析</a>，這代表俄羅斯民眾將不得以加密貨幣或非同質化代幣（Non-Fungible Token，NFT）作為任何的支付形式，不管是買東西或是作為薪資，也規定加密貨幣交易中心與供應商不得將數位資產視為支付形式。此一新的修正案將於普丁簽署的10日後生效。</p> </div></div></div>
2022/7/18 16:16作者陳曉莉https://www.ithome.com.tw/news/151985
FCC主席提議把美國寬頻最低下載標準提高到100 Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fcc.gov/document/chairwoman-rosenworcel-proposes-increase-minimum-broadband-speeds" target="_blank">美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel上周向其他委員發出了意見諮詢通告（Notice of Inquiry，NOI）</a>，希望大家共同評估將美國寬頻標準從下載25 Mbps、上傳3M bps的標準，提高到下載100 Mbps及上傳20 Mbps，並以1 Gbps與500 Mbps的上傳與下載速率作為美國未來的寬頻目標。</p> <p>FCC是在2015年由Tom Wheeler擔任主席的年代設定了25/3 Mbps的全國寬頻目標，原本外界希望下一任的FCC主席Ajit Pai可以提高該標準，但Pai最後認為25/3 Mbps不管是在語音、資料、圖像或視訊上已經夠用了，而決定維持該標準。</p> <p>但Rosenworcel指出，網路用戶的需求早就超過了25/3 Mbps，特別是在全球疫情大爆發，人們把生活轉移到網路之際，25/3 Mbps的標準不僅是落後的，更是有害的，因為它遮掩了低收入戶以及農村社區被遠拋於後的程度，因此必須提高最低寬頻速率的標準至100/20 Mbps。</p> <p>此一意見諮詢通告除了建議將寬頻最低標準提高到100/20 Mbps之外，也提出了支持該標準的一系列證據，包括美國《基礎設施投資與就業法案》（Infrastructure Investment and Jobs Act，IIJA）對美國新一代網路的要求。此外，Rosenworcel亦認為美國應該替未來設立另一個更高的寬頻目標，提供1 Gbps的下載速率與500 Mbps的上傳速率。</p> <p>其實在美國針對低收入戶所提供的<a href="https://www.ithome.com.tw/news/150849" target="_blank">「可負擔連網計畫」（Affordable Connectivity Program，ACP）</a>中，就要求美國ISP業者必須讓低收入戶能以每月低於30美元的價格，訂閱下載速率必須高於100Mbps的寬頻網路服務，因為該速率才足以支撐一個4人家庭在家工作、學習、瀏覽網路或串流高畫質影片的需求。</p> </div></div></div>
2022/7/18 15:52作者陳曉莉https://www.ithome.com.tw/news/151984
Tor Browser 11.5現可自動偵測並繞過國家審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.torproject.org/new-release-tor-browser-115/" target="_blank">Tor專案於上周四（7/14）釋出了Tor Browser 11.5</a>，新版瀏覽器提供了新的Connection Assist功能，將可自動偵測並繞過各國的審查機制，且預設即進入HTTPS-Only模式（HTTPS-Only Mode）。</p> <p>Tor Browser是用來進入洋蔥路由器（The Onion Router，Tor）網路的瀏覽器，Tor透過由全球逾7,000個志願人士組織的中繼節點來存取網路，因此可隱藏使用者的真實位址，也能避免監控，而以Firefox瀏覽器作為基礎的Tor瀏覽器，即是進入Tor網路的工具之一。</p> <p>然而，有些國家為了審查境內用戶，封鎖了Tor網路的存取，例如中國、俄羅斯、白俄羅斯或土庫曼等，使得Tor Browser用戶必須手動變更Tor的網路設定，找出可繞過封鎖的途徑，不過，Tor Browser 11.5所內建的Connection Assist 1.0版，將可自動偵測及繞過各國的封鎖。</p> <p class="rtecenter"><img alt="" src="https://blog.torproject.org/new-release-tor-browser-115/connection-assist.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Tor專案</span></span></p> <p>Connection Assist可查找及下載每個國家可繞過封鎖之各種選項的最新列表，並自動部署最適合使用者區域的設定，使用者還可儲存這些用來連結Tor網路的橋接資訊，並透過複製或QR code分享，例如分享給Android版的Tor Browser。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-Tor%20Browser%20-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Tor專案</span></p> <p>此外，過去只允許用戶連結HTTPS網站的HTTPS-Only Mode僅是Tor Browser的擴充程式之一，但有鑑於愈來愈少使用者存取HTTP網站，再加上安全的因素，Tor Browser 11.5已直接將HTTPS-Only Mode納入預設功能。</p> <p>目前桌面版Tor Browser發展最快，功能也最為齊全，不過Tor專案已決定接下來要強化Android版Tor Browser的能力，包括將開始定期更新Android版本，也會解決許多Android用戶的程式當掉問題，並準備要追上Fenix（Android版Firefox）的進度。</p> <p>Tor Browser 11.5支援Windows、macOS、Linux與Android，Tor專案亦鼓勵試用Connection Assist功能的使用者提出意見。</p> </div></div></div>
2022/7/18 14:29作者陳曉莉https://www.ithome.com.tw/news/151982
去中心化通訊協定Matrix的全球用戶已超過6,000萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.theregister.com/2022/07/15/matrix_grows/" target="_blank">The Register</a>》與《<a href="https://www.bleepingcomputer.com/news/security/the-matrix-messaging-network-now-counts-more-than-60-million-users/" target="_blank">BleepingComputer</a>》近日相繼報導，去中心化通訊協定Matrix的全球用戶數已超過6,000萬，而且在過去12月新增了2,500萬名用戶。</p> <p>Matrix是由英國The Matrix.org基金會在2014年發表的開放標準，它是個透過IP執行通訊的去中心化通訊協定，可應用在即時傳訊、VoIP/WebRTC與物聯網通訊上，目標是讓使用者的通訊就像寄送電子郵件一般容易，就算使用不同的服務也能彼此通訊。迄今支援Matrix的客戶端應用包括Element、Fractal、Nheko、Quaternion，以及專為macOS設計的Seaglass，當中最受歡迎的為由Matrix共同創辦人Matthew Hodgson所打造的Element（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-element-1-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Element</span></span></p> <p>根據<a href="https://twitter.com/matrixdotorg/status/1547922092191911936" target="_blank">Matrix所公布的數字</a>，更精準的Matrix用戶數應該是6,400萬。</p> <p>不過，由於Matrix是個去中心化的協定，因此很難估算正確的用戶數字，例如有些使用者或伺服器並未現身於公開網路，因而無法統計。</p> <p>在Matrix的用戶中，<a href="https://www.ithome.com.tw/news/122737" target="_blank">法國政府在2018年便基於Matrix打造官方的通訊程式Tchap</a>，<a href="https://www.ithome.com.tw/news/134961" target="_blank">Mozilla則是在2019年宣布</a>將以Matrix取代IRC作為使用者的通訊平臺，此外，<a href="https://matrix.org/blog/2021/07/21/germanys-national-healthcare-system-adopts-matrix" target="_blank">德國的整個醫療保健系統在去年夏天決定要全面採用Matrix</a>。</p> <p>Hodgson也向《BleepingComputer》透露了Matrix的未來規畫，包括它將支援可凝聚數百名使用者的端對端加密視訊會議，以及將推出開源的元宇宙平臺Third Room，以讓人們在維護隱私的前提下發現與建立虛擬世界。</p> </div></div></div>
2022/7/18 15:13作者陳曉莉https://www.ithome.com.tw/news/151983
美政府稱Log4j漏洞將成安全的「地方流行病」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府周五發布報告指出，Apache Log4j的漏洞將成為難以根絕的「地方流行病」，對企業系統的影響可能要拖上10年以上。</p> <p><a href="https://www.gsa.gov/technology/technology-products-services/it-security/executive-order-14028-improving-the-nations-cybersecurity" target="_blank">美國總統拜登今年發布行政命令</a>成立的網路安全審查委員會<a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf" target="_blank">（Cyber Safety Review Board，CSRB）於上周四（7/14）發布第一份報告</a>，根據針對80家組織及業者的調查結果，說明去年12月揭露的Apache Log4j漏洞的實際影響和未來的威脅。</p> <p>去年Apache 基金會緊急修補的Log4Shell（CVE-2021-44228），是安全風險達10.0的遠端程式碼執行（RCE）漏洞，被安全專家視為近10年最嚴重漏洞。Log4Shell漏洞不易修補，衍生出新漏洞，Apache專案組織還多次釋出新版本解決。由於Log4j廣泛用於許多軟體及雲端平臺，包括微軟Minecraft、Amazon、Google、IBM等都受影響，因而也引發全球安全研究人員及企業IT管理員的重視。</p> <p>報告指出，目前委員會尚未發現對關鍵基礎架構系統有Log4j相關的重大攻擊。一般而言，Log4j漏洞開採發生在比專家預期得更低層。但由於鮮少權威性資料源，目前還難以判斷它在地理區、產業別或不同生態體系的影響範圍。</p> <p>不過可以確定的是，Log4Shell事件還沒有結束。委員會評估Log4j漏洞將成為「地方流行病」（endemic）漏洞，而未來幾年間，受其影響的問題執行個體將持續存在企業組織系統內，甚至要到10年或更久。原因之一是，用戶或軟體開發商並不知道自己使用的軟體套件內有Log4j，或是其專案有很高的相依性。</p> <p>然而企業組織仍然苦於無法回應漏洞開採事件，而企業升級漏洞系統的工作距離完成也還有一長段距離，尤其是開源軟體界通常欠缺資源實行程式碼的安全開發，或是專家稽核等。包括<a href="https://www.ithome.com.tw/news/148508" target="_blank">Maven Java套件</a>、<a href="https://www.ithome.com.tw/news/148769" target="_blank">Java SQL資料庫H2</a>等開源軟體都被發現有Log4j漏洞。</p> <p>基於CSRB的政府角色，關於Log4j漏洞，CSRB給出4項建議。首先是持續提高警覺Log4j的漏洞風險、通報Log4j漏洞開採行動，而美國網路安全主管機關CISA也會強化提供統一網路安全資訊的能力。</p> <p>其次是推動安全最佳典範，像是建立IT資產管理作業、發展漏洞回應、揭露、處理流程、強化辨識有漏洞系統的能力、與建立安全軟體開發典範。第三是推動整個軟體生態系的漏洞管理，特別是對開源軟體社群的協助。最後是著重美國政府單位使用的軟體安全性，包括政府軟體供應商透明度、及強化辨識有已知漏洞的軟體等。</p> <p><strong><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="background-color: rgb(51, 153, 255);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1059-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tbXYftDt" style="width: 580px;" /></a></span></strong></p> </div></div></div>
2022/7/18 13:54作者林妍溱https://www.ithome.com.tw/news/151978
傳馬斯克要求推特官司延至明年2月以後
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周社群平臺推特（Twitter）控告科技鉅子馬斯克（Elon Musk）欲要求他履行收購的合約義務。<a href="https://www.bloomberg.com/news/articles/2022-07-15/musk-seeks-to-block-quick-twitter-trial-over-44-billion-deal#xj4y7vzkg?sref=10lNAhZ9" target="_blank">不過彭博報導</a>，馬斯克方面要求法院將官司審理推遲到2023年2月以後，以便釐清平臺上的假帳號。</p> <p>在馬斯克方面正式通知推特取消收購的決定後，<a href="https://www.ithome.com.tw/news/151865" target="_blank">推特於7月12日一狀告上德拉威州衡平法院</a>，意在迫使馬斯克遵守合約義務完成440億美元收購案。同時間，推特也力促本案審理在9月中展開，因為馬斯克和推特的收購合約有個「推定終止日」，在10月24日之前未完成合併，就會導致本合併案失敗。</p> <p>雖然馬斯克以四格漫畫式的大笑圖回應推特，不過彭博報導，馬斯克方面要求延後官司到明年初。馬斯克的律師事務所周五向法院提出的聲請指出，推特在拖延及打迷糊仗2個月後驟然要求加速審理，是該公司企圖掩蓋垃圾帳號事實的技倆。</p> <p>馬斯克方面的文件指出，假帳號和垃圾帳號的核心爭議是判定推特公司價值的關鍵，但判定假帳號及垃圾帳號相當需要事實佐證和專家，這又需要大量時間來蒐集。因此馬斯克方面要求官司審理不應早於2023年2月。</p> <p>推特方面拒絕對此評論。</p> <p>不過德拉威州衡平法院法官Kathaleen McCormick已經排定要在7月19日舉行一場聽證會。</p> </div></div></div>
2022/7/18 09:26作者林妍溱https://www.ithome.com.tw/news/151970
【看上CBDC四大潛力，評估五大風險找配套】3兆臺幣現金能不能有新流通形式？央行找來5大銀行試驗數位貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月底，中央銀行總裁楊金龍帶頭，公開了臺灣數位貨幣發展的五大情境試驗成果。這一場試驗成果，不只是央行、財金公司與多家銀行之間的練功，更是未來會影響全臺金融產業運作，甚至是3兆臺幣現金流通形式變革的重要實驗。</p> <p>楊金龍指出，隨著數位經濟的發展，數位貨幣帶來很大的想像空間。例如比特幣或穩定幣等虛擬資產的出現，都獲得媒體和眾人高度關注，甚至出現「私人發行的虛擬資產，可能取代央行貨幣而成為廣泛使用的支付工具」的聲浪。</p> <p>銀行公會金融業務電子化委員會主委朱永榕觀察，在全球，各種新興數位支付工具蓬勃發展，主要可分成三大類工具，包括了電子貨幣，虛擬貨幣和數位貨幣（CBDC，Central Bank Digital Currency）。</p> <p>第一類電子貨幣是指由銀行或電子支付機構發行的信用卡、簽帳卡、儲值卡、儲值戶頭，或像是行動支付等，第二種就是近年開始成為話題的數位貨幣，由央行發行，等同於數位現金的法幣。而第三類虛擬貨幣則是這幾年屢屢引起話題的比特幣、穩定幣等。</p> <p>雖然以區塊鏈、分散式帳本技術實做出來的比特幣等虛擬資產，試圖發展成全球性的支付工具，從2009年至今，發展出超過2萬多種幣，比特幣就占了42%的市值。央行估算，全球虛擬資產總值，2021年11月曾一度達到3兆美元，但現在卻跌到約0.9兆美元。楊金龍強調，虛擬資產的價格仍舊波動劇烈，屬於風險性資產。</p> <p>不過，虛擬資產也逐漸朝向類金融領域發展，例如發展出了比特幣期貨和比特幣ETF，這兩項都是類似傳統金融市場的衍生性金融商品的交易服務，另外，前幾年還興起了一波首次代幣發行（ICO）浪潮，仿效股票初次公開上市（IPO）作法，想成為募集資金的新管道，近年則出現了穩定幣的虛擬資產，例如維持與美元1比1兌換的虛擬貨幣，想要變成類似發行電子貨幣的機制。</p> <p>不過，虛擬資產總市值不到 1 兆美元，遠不及全球金融資產市值469兆美元。楊金龍指出，由於其資產規模尚小，且多用於虛擬世界交易之投機炒作，與金融體系間的連結程度不高，對金融穩定影響有限。</p> <p>最近，市值最大的USDT穩定幣無法堅持對應美元的承諾，跌到0.95美元，而Luna幣值跌破百分之一的崩盤事件更影響了第三大穩定幣UST，比特幣價格近期更是大幅滑落，這些現象造成眾人對私人發行的虛擬資產的擔憂和不信任。</p> <p>可是，在全球疫情肆虐之下，零接觸的數位支付形式成了民眾的最愛，根據國際清算銀行（BIS）研究，從2020到2025年，全球無現金支付的使用將增加80%，尤其以亞太地區增加最多。</p> <p>數位經濟帶動的數位支付需求，再加上有些國家因為現金使用逐年遞減或是支付基礎設施不足，由央行發行數位貨幣CBDC的議題又開始成為話題。</p> <p>在現代的支付系統中，央行發行的貨幣可以分為兩種，央行準備金和現金。前者是金融機構間支付交易的清算資產，而現金則是民眾所用的實體貨幣。在臺灣，主要透過兩大系統來運作，一個是處理金融機構跨行交易的央行同資系統，一年處理的跨行交易年營運金額高達533兆元，另一個系統則是處理各種民間支付的財金公司金融資訊系統，一年處理的跨行年營運金額也高達188兆元，而在民間流通的新臺幣現金，也有3兆元之多。CBDC數位貨幣的發行，第一波直接影響的就是現金的流通方式，出現純數位的形式。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%962-%E5%A4%AE%E8%A1%8C%E8%B2%A8%E5%B9%A3%E7%8F%BE%E6%B3%81-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>現代支付系統中，央行發行的貨幣可以分央行準備金和現金。在臺灣，在民間流通的新臺幣現金，高達3兆元之多。</strong>圖片來源／央行</span></p> <p><span style="font-size:28px;"><strong>看上四大潛力，央行2019年展開CBDC研究</strong></span></p> <p>臺灣央行很早就投入CBDC的研究，更在2019年就展開了相關技術可行性的研究。</p> <p>楊金龍認為，CBDC有四大潛在效益，包括了讓大眾獲取安全的數位貨幣、滿足未來支付服務的需求、深化普惠金融以及最後一項是改進跨境支付的可能性。臺灣電子支付的占比，從2017年的40%，在今年第一季快速達到了60％之高，6成支付透過電子方式進行。但是，楊金龍認為：「因應未來現金數位化需求，大眾可能希望有CBDC的選項，由央行提供安全、受信任、無使用成本且無信用或流動性風險的數位支付工具。」</p> <p>另一個好處是來自CBDC的技術特性，因為分散式帳本技術提供了智能合約機制，讓CBDC成為一種可程式化的貨幣，可以依照程式設定來自動執行交易，可以延伸到更多不同的場域中，來支援數位經濟對效率和創新的要求。</p> <p>央行看中的CBDC第三項潛力是，對普惠金融的深化。數位支付主要有三大用途，包括了轉帳、繳費和消費。目前在臺灣，轉帳和繳費的數位支付相當普及，要用數位支付來實現普惠金融的目標，只剩下最後一哩路，也是數位支付的消費。但是，目前銀行開立數位帳戶仍有一定的複雜度，不一定能涵蓋到經濟弱勢者。CBDC能讓想要取得數位現金支付者，都可以開立CBDC錢包來進行數位支付的使用，開立門檻比銀行數位帳號門檻更低，也就更容易普及到不同消費場景中。</p> <p>楊金龍看好CBDC的最後一項潛力是用來改進跨境支付。因為跨境支付涉及多家中介機構，程序多且費用高，根據世界銀行的統計資料，2021 年第 4 季，全球平均匯費為匯款金額的 6.04%，仍是一筆不小的交易成本。交易更低甚至可以是零手續費的CBDC，有機會成為新的跨境支付工具。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%961-%E5%9B%9B%E5%A4%A7%E5%A5%BD%E8%99%95-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>中央銀行總裁楊金龍指出，CBDC有四大潛在效益，包括了讓大眾獲取安全的數位貨幣、滿足未來支付服務的需求、深化普惠金融和改進跨境支付的可能性。</strong>攝影／王若樸</span></p> <p><span style="font-size:28px;"><strong>CBDC五大潛在風險得有配套</strong></span></p> <p>不過，除了好處，楊金龍提醒，CBDC仍有五大潛在風險，得有配套政策來因應。第一個就是金融中介功能的風險，CBDC可能會影響銀行既有支付業務，甚至讓銀行存款流失。若CBDC可以計算利息，也會增加銀行融資成本，進而提高了個人、家庭或企業的貸款成本，會進一步影響了銀行金融中介的角色。因此，國際間CBDC多採取傳統貨幣發行的雙層式架構，讓銀行繼續扮演金融中介角色，也可以選擇無利息的設計，避免影響銀行的地位。</p> <p>另一項風險是金融穩定的影響，數位形式更容易流通，也就更容易造成數位擠兌效應的流通性風險，為了避免銀行存款大量流失，楊金龍也認為，可管制用戶的CBDC交易量和持有總量。另外，CBDC若可以計算利息，也可以成為一種，央行貨幣政策的執行與操作的新政策工具，不過，他認為，初期適合視同數位現金不計算利息。目前正在試點或發行CBDC的國家，例如中國或巴哈馬都採不計利息的做法。</p> <p>第四個風險則是隱私保護和金融犯罪防範的課題，因為採取雙層式架構，CBDC的金融交易數據和現有金融機構交易產生的方式一樣，因此，在隱私保護上，CBDC可以透過中介機構現有機制解決，而金融犯罪防範也同樣可以循著現有中介機構反洗錢、反資恐的處理方式來落實。</p> <p>最後一項風險則是所有金融系統都會面臨的挑戰，也就是系統營運的安全性和強韌性。「因 CBDC 可供任何人、任何時點使用（如同現金一樣），所以更需妥適的資安防護措施。」楊金龍強調。所以，從另一方面來看，他也認為，需要研究離線支付選項的可行性，才能確保在沒有網路的情況下，大眾仍然可以進行某些日常的支付。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%963-%E9%A2%A8%E9%9A%AA-%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>央行點出CBDC仍有5大潛在風險，會影響金融中介功能、金融穩定、貨幣政策執行、隱私保護與金融犯罪預防，最後一項則是系統營運的安全性和強韌性。</strong>圖片來源／央行</span></p> <p><span style="font-size:28px;"><strong>分四階段發展CBDC，將完成第二階段試驗</strong></span></p> <p>臺灣的中央銀行早在2019年，就展開了CBDC的研究，分四階段進行，規畫了2種研究計畫，從2019年6月到2020年6月先完成了第一階段的技術可行性研究，了解進行DLT分散式帳本技術研究以及批發型CBDC的研究。</p> <p>財金資訊總經理黃昱程指出，在第一階段計畫後發現，DLT具有多節點同步儲存資料的優點，韌性很高，但交易速度處理效能不佳，以兼顧隱私保護的改良版DLT技術來實驗，無法因應高頻、大量的即時交易需求。「特別要考慮隱私保護時，效能會受影響。」他坦言。</p> <p>在第一階段技術可行性研究中，還有另一項發現，黃昱程指出， CBDC若要成為普遍公用的交易媒介，考據到龐大使用者規模和效能需求，在「未來設計上，可考慮用中心化系統為基礎，部分功能結合DLT技術。」後來，這項發現成了央行第二階段CBDC試驗的系統設計重要原則。</p> <p>接著，央行在2020年9月，展開了為期一年的第二階段通用型CBDC試驗計畫，採用雙層式的架構設計，由央行向銀行等金融中介機構發行數位貨幣，再由銀行提供給民眾使用。</p> <p>央行CBDC工作小組負責規畫，財金公司和票交所共同參與設計開發CBDC試驗系統，也找來5家銀行，在封閉式的實驗環境，參與和設計開發模擬試驗系統，設計在不同情境下的CBDC運用和功能，來展示民眾如何取得、兌換和運用數位貨幣的過程。</p> <p>黃昱程指出，第二階段打造CBDC試驗平臺有兩大設計考量，一是要保留現金優勢，其次則要善用數位科技。因此特別注重7項特色。一是要考慮普惠金融，讓任何人都可以開立數位貨幣錢包。還要兼顧保護隱私，雖然現在採取銀行記名帳號，但功能設計上，未來可以允許匿名的數位貨幣，但會搭配交易金額限制。第三項設計特色是必須隨時可用，提供7x24小時的服務，來兼顧效率和韌性。另外現在雖然採取連線設計，但未來也要支援離線功能，不過，會限制金額來控管風險。</p> <p>CBDC雛形平臺的第五項特色是可以提供遺失處理機制，這是傳統現金鈔票所沒有的能力。第六項特色則要能支援未來數位支付的需求，包括提供可程式化貨幣或是支援支付的互通性，最後一項特色是利息設計，雖然CBDC初期會採取不計利息的機制，「但試驗平臺仍保有這個功能，未來可配合貨幣政策需要來設計利息功能。」黃昱程表示。</p> <p>央行在6月底所展示的第二階段通用型CBDC試驗成果中，也由5家銀行示範不同的使用情境，包括了中國信託銀行、華南銀行、國泰世華、台新銀行和上海商銀，來進行開立CBDC錢包、消費支付、兌換提領、轉帳繳費，以及移工跨境匯款等五種情境，還找來多家零售業者，展示如何用持有的CBDC或數位券來進行購物或繳費，展示不同的店家支付方式，包括掃碼支付和NFC感應支付的形式。</p> <p>央行未來計畫以第二階段試驗結果展開意見調查，一方面與多方溝通和討論，包括政府機構，使用者，金融機構，技術與基礎設施提供者和學界等，另一方面還要持續精進CBDC平臺的設計，採用更穩健成熟的技術，來符合大規模交易的需求，還要能兼顧系統完整性、作業健全性和強韌性。最後一點則是要「研議法律架構，包括賦予CBDC法償貨幣的明確法源，並制定反洗錢、反資恐、隱私保護、資安防護及爭議責任歸屬等諸多規範。」他特別強調得做到最後一點，才能增強市場對CBDC的信任。楊金龍坦言：「推動CBDC 是一項巨大且複雜的工程。」</p> <p>雖然央行沒有訂出CBDC後續發展的時間表，不過，臺灣在數位貨幣的發展上，已經與國際領先國家同步，邁進了一大步。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%964-%E5%A4%AE%E8%A1%8C%E9%80%9A%E7%94%A8%E5%9E%8BCBDC%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>早在2020年９月央行理監事會後記者會後，公開了央行通用型 CBDC 試驗計畫平臺架構，將採取兩層式架構，由央行向銀行等金融中介機構發行數位貨幣，再由銀行提供給民眾使用。</strong>圖片來源／央行</span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%965-%E4%B8%8B%E4%B8%80%E9%9A%8E%E6%AE%B5-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>完成第二階段通用型CBDC試驗之後，央行還要廣納意見，準備展開3項做法，才會繼續推動下一階段，尤其是要研議相關的法律架構和法制規範。</strong>圖片來源／央行</span></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>臺灣數位貨幣四大發展階段</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段1：技術研究 </span></strong></span></span></p> <p><strong>● 時間：2019年6月～2020年6月</strong></p> <p><strong>● 重點：進行DLT分散式帳本技術可行性研究，2020年6月完成批發型CBDC研究。</strong></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 階段2：試驗計畫（目前階段）</span></span></strong></span></p> <p><strong>● 時間：2020年9月～2022年9月</strong></p> <p><strong>● 重點：封閉式驗證系統之開發、建置與驗證。</strong></p> <p><strong>● 步驟：概念驗證→整體規劃→規格制定→開發建置→情境驗證（2022年6月完成）→廣納意見→調校與驗證→全體金融機構積極參與配合→系統建置／測試／驗證→基礎設施改造／佈建及推廣</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="font-size:20px;"><span style="background-color:#3399ff;"> 階段3：先導計畫 </span></span></span></strong></p> <p><strong>● 時間：時程未定，至少2年後</strong></p> <p><strong>● 重點：導入營運系統之開發、建置與試點驗證</strong></p> <p><strong>● 步驟：參與機構正式建置系統→個別機構測試→跨機構整合測試→整體量能驗證→局部試點→擴大試點</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 階段4：全面上線 </span></strong></span></span></p> <p><strong>● 時間：未定</strong></p> <p><strong>● 步驟：試營運→營運</strong></p> <p><span style="color:#696969;">資料來源：央行、財金公司，iThome整理，2022年7月</span></p> <p><a href="https://www.ithome.com.tw/article/151953" target="_blank"><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#cc0000;"> 相關報導 </span></span> 臺灣數位貨幣新進展</strong></span></a><span style="font-size: 18px;"><b> </b></span><a href="https://www.ithome.com.tw/article/151953" target="_blank"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/1086-%E5%B0%81%E9%9D%A2P1-OPEN-%E8%B1%86%E5%AD%90-960X420%20%E6%8B%B7%E8%B2%9D.jpg" style="width: 550px;" /></a></p> </div></div></div>
2022/7/18 07:00作者王宏仁https://www.ithome.com.tw/news/151951
【不只數位支付和跨境匯款，連實體ATM都能支援】數位貨幣怎麼用？五大CBDC試驗情境大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2020年9月17日央行理監事會後記者會，就公開了央行通用型 CBDC試驗計畫之平臺架構，將採取兩層式架構，由央行向銀行等金融中介機構發行數位貨幣，再由銀行提供給民眾，而民眾取得這些數位貨幣後，就可以在銀行間或零售通路上使用。</p> <p>經過一年半多的試驗，在6月底這場發表會中，也展示了第二階段五大情境試驗成果。一方面，央行CBDC工作小組與財金公司、外部技術團隊打造出一套CBDC雛型平臺，另一方面找來5家銀行參與設計和模擬，包括了中國信託銀行、華南銀行、國泰世華、台新銀行和上海商銀，來進行開立CBDC錢包、消費支付、兌換提領、轉帳繳費，以及移工跨境匯款等五種情境。</p> <p><span style="font-size:28px;"><strong>人人可開戶，外國人也能用手機驗證來開戶</strong></span></p> <p>比如，中國信託示範了可以在銀行App中開立CBDC錢包，依據金額規模，將CBDC分為小額（單筆交易上限3,000元、餘額上限1萬元）和大額（單筆交易上限10萬元、餘額上限50萬元）兩種錢包，民眾只需提供身分證字號等基本資料即可申請，而沒有身分證號的外國人，也可以透過手機快速認證即可開戶，也不限定只有中信存戶可開戶，來達到人人可開戶的普惠金融效益。</p> <p>民眾使用CBDC錢包時，則可以如同使用電子支付App一樣，用QR Code掃碼方式來進行支付、轉帳或是存提款等業務。中國信託展示的CBDC錢包還可以搭配票券功能，使用者可以將政府發放的CBDC數位振興券，轉入自己的帳戶或信用卡來使用，結合票券也是央行預期的CBDC應用形式。</p> <p><span style="font-size:28px;"><strong>CBDC錢包可到實體ATM領現鈔，也能支援P2P轉帳或跨境匯款</strong></span></p> <p>實體ATM也可以支援CBDC錢包或提款。例如台新銀行在6月底舉行的發表會現場展示了一臺支援CBDC的ATM，可以透過QRCode掃碼的方式，來輸入自己的CBDC錢包ID，來進行儲值，可以用外幣或臺幣鈔票放入ATM來儲值，反過來，民眾也可在這臺ATM提取存在CBDC錢包的臺幣。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%963-ATM-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8-.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>台新銀行展示了一臺支援CBDC的ATM，可以透過QRCode掃碼的方式，來輸入自己的CBDC錢包ID，可以用外幣或臺幣鈔票放入ATM來儲值，也可在這臺ATM從CBDC錢包提取臺幣現鈔。</strong>攝影／王若樸</span></p> <p>國泰世華銀行則展示了CBDC錢包的P2P個人對個人轉帳功能。一方面整合了央行CBDC平臺和國泰平臺，可以讓國泰現有網銀客戶快速註冊CBDC錢包，讓帳戶內的臺幣與CBDC能夠互相兌換，或是進行現鈔存提。當使用者需要P2P轉帳時，可透過錢包中的付款碼QR Code，讓另一方掃碼後就能夠進行匯款作業。</p> <p>華南銀行也展示了一款結合掃碼支付、付款、轉帳，甚至是收款的支付App，也能結合政府發放的數位券或程式化控制的專用款，現場也展示如何用這款App到零售商店進行付款的作業，同一次付款可以同時扣CBDC錢包中的數位貨幣款項和數位券的金額，而不用分兩次進行。</p> <p>而上海商銀則展示了跨境匯款功能，當雇主用CBDC錢包發送數位貨幣薪資後，移工可在跨境小額匯款公司的App，選擇匯款對象、金額和扣款銀行後，就能利用上海商銀數位App，從CBDC中繳款。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%964-%E7%A7%BB%E5%B7%A5%E5%8C%AF%E6%AC%BE-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>上海商銀展示了CBDC跨境匯款功能，雇主可用CBDC錢包發送數位貨幣薪資，而移工則可在跨境小額匯款公司的App指定從自己的CBDC戶頭來匯款，還能直接轉換成外幣匯入對方戶頭。</strong>攝影／王若樸</span></p> <p>除了金融機構的展示，也模擬消費者實際在零售商店使用的支付情況，不少知名店家也展示如何支援CBDC錢包付款的應用案例。</p> <p>比如，統一超商現場就示範了用CBDC錢包來進行QR Code掃碼支付和NFC手機感應等2種支付方式，其他店家如路易莎咖啡、臺灣大車隊、全聯、寶雅等也示範如何進行這類支付方式，甚至，用CBDC來捐款。</p> <p>上海銀行執行副總經理郭進一更提出，數位貨幣未來的多種應用可能性，他解釋，利用央行數位貨幣低成本和低手續費的特性，可以運用到小額支付，包括了公益捐款、數位紅包、醫療批價或校園支付，也可以用於企業授信款項的撥付或是國內應收應付款的支付。</p> <p>甚至，郭進一進一步強調，目前進出口款項支付效率不佳，若將CBDC進一步結合關稅、退稅以及繳稅整合，可以帶來更大效率，或如企業跨境質押保證如果能利用CBDC來抵押，就可以更方便。這些都是銀行未來可以思考的數位貨幣發展可能性。</p> <p><a href="https://www.ithome.com.tw/article/151953" target="_blank"><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(204, 0, 0);"> 相關報導 </span></span> 臺灣數位貨幣新進展</strong></span></a><span style="font-size: 18px;"><b> </b></span><a href="https://www.ithome.com.tw/article/151953" target="_blank"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/1086-%E5%B0%81%E9%9D%A2P1-OPEN-%E8%B1%86%E5%AD%90-960X420%20%E6%8B%B7%E8%B2%9D.jpg" style="width: 550px;" /></a></p> </div></div></div>
2022/7/18 07:00作者王宏仁https://www.ithome.com.tw/news/151952
臺灣數位貨幣新進展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/styles/picture_size_large/public/1086-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=ASA6WlGp" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電子支付比例今年第一季達到60%，但數位支付工具的成本和申請仍是不小的門檻，數位貨幣能不能成為3兆臺幣現金的另一種流通形式，央行首度公開五大情境試驗成果</p> </div></div></div>
2022/7/18 07:00作者王宏仁https://www.ithome.com.tw/article/151953
實現隨機圓堆砌演算
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資料視覺化的場合中，你可能看過使用大小不等的圓，來表現資料在數值上的差異或層次，這類圖表稱為泡泡圖（bubble chart），其中一個有趣的展現方式是，讓圓與圓之間不重疊卻又緊密，可用來構成文字雲或層層嵌套的圖表，看來甚是迷人，這類圖表的共同關鍵字，往往就是「圓堆砌（circular packing）」。</p> <p>目前，D3.js程式庫已提供了圓堆砌的實現方式，在<a href="https://bit.ly/3N5Rxb2" target="_blank">〈Circular Packing〉</a>就示範了從簡單到複雜的幾種不同實現方式；擅長資料科學領域的Python，也有著<a href="https://bit.ly/3aghciI" target="_blank">circlify</a>這類程式庫，可協助完成基於圓堆砌的計算，以完成後續資料視覺化的需求。</p> <p><span style="font-size:28px;"><strong>圓堆砌的繪製</strong></span></p> <p>若查詢維基百科〈Circular Packing〉條目的話，我們會發現，圓堆砌是幾何學的研究方向，探討如何在指定的面上排列圓，令圓與圓間不重疊且彼此間無法再擴張，相對應的研究是，哪種排列可以得到最大堆砌密度，也就是圓覆蓋的面積與指定範圍面積間的比例。</p> <p>對於大小相同的圓來說，數學家Axel Thue證明了正六角形密堆砌，也就是以正六角形的六個頂點及中心為六個圓心，六角形邊長為圓直徑，堆砌的結果在各種圓堆砌會具有最大堆砌密度0.9069，證明過程與Voronoi空間分割有關，有興趣的人，可以參考<a href="https://bit.ly/3M6OCxx" target="_blank">〈六角密堆砌證明及其它〉</a>。</p> <p>進一步地，也有大小不等圓的堆砌研究，例如兩種大小不等的圓，在資料視覺化的場合，我們經常看到的則是隨機大小的圓，依不同的需求，也有著許多分析演算方式，確定需求是必要的。如果想要隨機大小、視覺上看來緊密的圓堆砌？若可以的話，還要能在指定的任意形狀中進行堆砌呢？</p> <p><span style="font-size:28px;"><strong>D3.js的力模擬器</strong></span></p> <p>實現隨機的圓堆砌時，我們直覺上會想到，以隨機位置為圓心，隨機值為半徑建立圓，後續建立的圓必須檢查是否與既有的圓重疊，這個方式是行得通，但速度非常緩慢，原因不僅在既有圓的數量會越來越多，也在於後期想找到可以放置的圓，試誤的次數也會越來越多。</p> <p>為了避免無止盡地進行試誤，一般而言，我們會設定嘗試次數的上限，一旦到達上限之後就停止，從而導致希望達到的圓數量不足，在<a href="https://bit.ly/3z72Wmz" target="_blank">〈generative artistry - Circle Packing〉</a>的HTML5實作，就是如此。</p> <p>有一個折衷的方式，那就是：先隨機產生一組半徑並由大到小排序，從第一個半徑值開始，隨機找一個點作為圓心建立圓，後續的圓必須檢查是否與既有的圓重疊，基本上，後續的圓會越來越小，嘗試失敗的機率小一些，<a href="https://bit.ly/3GKg2Ij" target="_blank">〈Packing circles in a circle〉</a>就是基於此原理並使用Python實作，雖然有機會比方才的方式快一些，但試誤仍然是必需的，而且，設定試誤上限從而導致希望達到的圓數量不足，這個問題還是存在。</p> <p>那麼，方才D3.js的實現方式呢？它使用d3-force，這是個物理模擬粒子系統，可以將圓看成是粒子，賦予各圓速度，圓彼此間可指定斥力與碰撞等屬性，在〈Most basic circular packing〉示範了最基本的一組圓，起初圓彼此重疊，到最後因互斥而彼此不接合，這種實現的好處是，可以在一開始的圓數量與大小，最後達到緊密的圓堆砌。</p> <p>想自行實現這樣的物理模擬也不是難事，作法類似先前<a href="https://www.ithome.com.tw/voice/151846" target="_blank">專欄〈實現差別生長演算〉</a>談到的力模擬，這只需要區隔（seperation）的指向力，然而，要增加圓與圓間，以及圓與邊界間的碰撞偵測。</p> <p>在<a href="https://bit.ly/3PUfFPp" target="_blank">〈Controlled Circle Packing with Processing〉</a>就提供了Processing的實作方式，由於是基於物理模擬，還可以用滑鼠點選新增圓，新的圓會自動找到合適的位置。為了瞭解每段程式碼的作用，我重構一個<a href="https://bit.ly/3wT4iP2" target="_blank">p5.js的版本</a>，有興趣的人可以參考。</p> <p>基於力的模擬，還可以模仿出自然風格，最初的一組圓半徑可以都相同，然而每次的迭代過程，圓排斥後的新位置，會用來計算Perlin雜訊，得到的雜訊值會作為新的半徑值，Perlin雜訊會有高低之分，圓就會有大小之別，從而構成或密或疏的堆砌結果，Perlin雜訊是連續的，最後結果就像是翻攪肥皂泡泡水後的結果。</p> <p><span style="font-size:28px;"><strong>基於Delaunay三角分割</strong></span></p> <p>方才談到數學家Axel Thue證明正六角形密堆砌，擁有最大堆砌密度的方式，是基於Voronoi空間分割，這就讓我聯想到，可否基於分割後的空間來進行圓堆砌？好處是可以使用點來指定範圍甚至形狀，而且空間分割後會是各個凸多邊形，問題也就可以切分為，在凸多邊形中進行圓堆砌的子問題。</p> <p>在凸多邊形當中，如果我們尋找最大圓，基本方式是找<a href="https://bit.ly/3z4SSdY" target="_blank">Chebyshev中心</a>，然後計算中心至邊的距離作為半徑，不過除了最大圓之外，如何在凸多邊形的其他區域堆砌小圓，計算上都會比較麻煩。</p> <p>為了簡化問題，我轉而思考與Voronoi空間分割具有對偶關係的Delaunay三角分割，如此一來，問題可以切分為：在三角形中進行圓堆砌的子問題。</p> <p>方式之一是計算三角形內接圓，這是個簡單任務，至於內接圓以外的圓堆砌問題，我們可以沿著內接圓心至三個頂點間的直線，逐一放置圓，由於Delaunay三角分割後的三角形，可能會有狹長形，為了避免生成過小的圓，可以設定圓的最小半徑。</p> <p>要在三角形中進行圓堆砌，另一個方式是將既有的三角形再細分，然後只求切分後三角形的內接圓，不過，若原三角形過於狹長，切分後再放置的圓就會過小，而且彼此間的距離過疏；然而，我們可結合方才的做法，也就是進一步沿著圓心至三個頂點間的直線逐一放置圓，密度上會比第一種做法高，而且，外觀上會呈現Voronoi的結果。</p> <p>在我撰寫的<a href="https://bit.ly/38Cp4KV" target="_blank">〈experimental〉</a>，可以看到circle_packing為開頭的三個.scad原始碼，分別代表方才三種方式的OpenSCAD實作，大家可以試著運行看看，比較三種方式的執行結果。</p> <p>只要Delaunay三角分割的演算夠有效率，以上三種圓堆砌的方式，在速度上就會有相對應的表現，因為一旦三角分割完成，就沒有試誤的問題，而且可以自行指定點的位置，這就表示可以控制圓堆砌後的樣貌，例如<a href="https://bit.ly/3aD56jX" target="_blank">〈Golden Spiral & Circle packing 〉</a>就示範了，如何結合黃金螺線來構成銀河系般的圓堆砌效果。</p> <p><span style="font-size:28px;"><strong>圓堆砌的應用</strong></span></p> <p>我會開始研究圓堆砌，一開始是看到基於圓的文字雲，基本作法是將圓堆砌結果依半徑排序，如此就可以與文字雲的關鍵字數值進行配對。</p> <p>正如一開始談到的，圓堆砌在資料視覺化有著廣泛的應用，其實，也會用於影像處理（通常作為濾鏡），在生成藝術上也經常可見，例如，在Google圖片搜尋circle packing，就會看到各式各樣的應用，結合data visualization關鍵字，可以看到更多資料視覺化的案例，從中也可以找到相關實現範例。</p> <p>當然，隨機圓堆砌還有其他許多的呈現與處理方式，即便是等圓的堆砌，也有許多值得研究的主題，大家也可以從MathWorld的<a href="https://bit.ly/3PR2jUj" target="_blank">〈Circle Packing</a>〉，從中進行探索。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E8%A6%96%E8%A6%BA%E5%8C%96">資料視覺化</a></div><div class="field-item even"><a href="/tags/%E5%9C%93%E5%A0%86%E7%A0%8C">圓堆砌</a></div><div class="field-item odd"><a href="/tags/circular-packing">circular packing</a></div><div class="field-item even"><a href="/tags/python">Python</a></div><div class="field-item odd"><a href="/tags/d3js">D3.js</a></div></div></div>
2022/7/18 07:00作者林信良https://www.ithome.com.tw/voice/151955
【資安週報】2022年7月11日到7月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周新聞中，雲端服務業者提供的伺服器與虛擬機器被濫用情形日益嚴重，本周揭露的濫用情形中，例如，趨勢科技揭露了駭客針對軟體開發流程自動化系統服務GitHub Actions並利用其搭配的Azure VM來挖礦的行徑，此外，資安業者Profero揭露雲端IDE程式編輯器Datacamp遭濫用，且難以追溯的問題並提出警告。</p> <p>在漏洞修補上，本周微軟發布本月的Patch Tuesday，修補84個漏洞，其中CVE-2022-22047最值得關注，因為修補前已發現遭駭客鎖定與成功利用的情形，美國CISA也在本月12日將之納入Known Exploited Vulnerabilities資料庫，還有AMD CPU分支的硬體漏洞CVE-2022-23816與CVE-2022-23825獲得修補，本周多個平臺已經因應，陸續發布修補相關漏洞的新版本，接下來是用戶也要盡速更新修補。</p> <p>其他關注消息中，以勒索軟體組織將竊取資料搞成大數據資料庫開放利用恐帶出新的威脅，以及諸多大規模的網釣攻擊最受注目。</p> <p>從近期勒索軟體動向來看，有一新趨勢是，勒索軟體駭客挾持受害組織的檔案後的深化利用，不只是要脅外洩施壓以勒索、或是販售給其他犯罪組織，打造勒索軟體BlackCat的駭客，甚至打造檔名、文件、圖片都能文字內容檢索的資料庫，供犯罪社群利用，而這也引起打造勒索軟體LockBit駭客的注意，進而改版網站並增添搜尋功能。</p> <p>本周網釣事件揭露有多起，其中微軟公布一起針對上萬Office組織的行動，由於混和多種手法使用受關注，不只是將釣魚網站以代理伺服器方式設在用戶連線至目標網站間，竊取用戶的憑證Cookie與連線Session，然後用以BEC詐騙，由於帳戶合法被冒用將更難防範。</p> <p>在其他重要大事中，WPS Office辦公軟體開始傳出配合中國敏感詞彙審查，一旦查出違規會將檔案禁止存取或刪除的消息，這樣的政策會否擴大受全球用戶受關注。</p> <p>另外，上月發生每秒2,600萬次DDoS攻擊事件，Cloudflare在本月有後續追蹤報告，指出將此殭屍網路命名為Mantis，也說明後續攻擊不斷，光是自家用戶就遭到超過3千次的HTTP DDoS攻擊，以產業來看，網路及電信產業受攻擊比例達36%最高，其次新聞出版業、遊戲、金融也都在10%以上。</p> <h2 class="rtecenter"><strong>本週重大關注資安新聞</strong></h2> <p class="rtecenter" id="A"><strong><a href="https://www.ithome.com.tw/news/151967#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-01.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-02.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-03.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-04.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-07(1).jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-05.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-06.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-09.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-10.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-08.jpg" style="width: 550px;" /></a></strong><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C%E7%9C%8B%E6%9B%B4%E5%A4%9A(1).jpg" style="width: 550px;" /><br /> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/unpacking-cloud-based-cryptocurrency-miners-that-abuse-github-ac.html"><span style="color: rgb(0, 0, 0);">雲端挖礦攻擊鎖定軟體開發自動化服務GitHub Actions下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptomine01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptomine01.png" style="width: 300px; float: right;" /></a>駭客鎖定雲端的應用系統與虛擬機器（VM）等運算資源，來進行挖礦的情況，使得資安業者提出警告。趨勢科技於7月7日揭露新的挖礦攻擊行動，駭客濫用持續整合（CI）工具GitHub Actions（GHA），並搭配Azure虛擬機器來進行挖礦，至少有上千個GitHub儲存庫與550組程式碼，與此攻擊行動相關。</p> <p id="D">研究人員指出，駭客同時鎖定Windows與Linux的VM下手，這些虛擬機器的共通點在於，配置了2個處理器核心與7 GB記憶體。他們也從11個GitHub儲存庫裡，找到含有YAML指令碼的檔案，執行後將在VM上挖取門羅幣。研究人員發現，駭客疑似也在GitHub Marketplace上傳他們所使用的GHA，使得其他開發者也可能會受到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/06/alphv-ransomware-expands-its-arsenal-of-extortion-techniques/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat打造受害者資料庫Alphv Collections</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png" style="width: 300px; float: right;" /></a>勒索軟體駭客挾持受害組織的檔案，要脅會賣給他人或對外公布的情況已是常態，但有駭客開始想要利用這些資料，對受害組織產生更大的壓力，例如，之前<a href="https://www.ithome.com.tw/news/151507#blackcat-haveibeenpwned">勒索軟體BlackCat就架設了類似Have I Been Pwned的個資外洩查詢網站</a>，企圖透過個資受到波及的員工或客戶，來向受害組織施壓，而最近該組織又有進一步的做法。</p> <p>資安團隊VX-Underground發現BlackCat架設名為Alphv Collections的外洩資料庫，內容是不願支付贖金組織的內部資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。這些駭客宣稱，使用者不只能利用檔案名稱尋找想要的資料，也能找出Word、PDF檔內容的特定文字，甚至還能從JPG、PNG圖片檔案進行搜尋。</p> <p>資安業者Cyble指出，這套資料庫系統甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料進行攻擊行動，例如，找出遠端桌面連線（RDP）的存取資料，而能入侵特定類型的伺服器主機。研究人員指出，過往駭客取得大量外洩資料後，很可能需要抽絲剝繭才能撈出可用於攻擊的內容，而駭客組織BlackCat建置的Alphv Collections則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，而不用浪費時間下載整個資料庫，這樣的情況很可能讓外洩資料的危害更加擴大，因此他們認為，企業應監控外洩資料的流向。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-now-lets-you-search-their-stolen-data"><span style="color: rgb(0, 0, 0);">繼勒索軟體駭客BlackCat建立受害者資料庫，LockBit也跟進</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客為了對受害組織製造更多壓力，他們開始對偷來的資料進行彙整，並提供搜尋功能讓其他駭客能進行運用，繼勒索軟體BlackCat開始採用這種手法後，很快就有其他組織跟進。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客LockBit將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p id="E">該新聞網站指出，雖然LockBit只是提供搜尋受害組織名稱的功能，不若BlackCat外洩資料全文檢索強大，但其帶來的影響仍不能小覷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-says-decision-to-unblock-office-macros-is-temporary/"><span style="color: rgb(0, 0, 0);">針對預設封鎖Office巨集啟用，微軟表示只是暫時延後</span></a></strong></h3> <p>微軟於2月宣布，他們將逐步於Office軟體中自動停用從網際網路下載的VBA巨集，來防堵相關的網路攻擊，但在7月6日傳出有用戶發現，微軟在沒有公告的情況下，取消上述的配置，引發不少用戶反彈。</p> <p>針對此事，該公司後來於8日進行回應，他們是根據使用者的回饋，暫時取消封鎖VBA巨集的措施，同時該公司加入了額外的調整來改善可用性。微軟強調這是暫時的變動，未來還是會透過軟體更新，來全面停用自網際網路下載的VBA巨集，該公司預計在幾個星期內，公布進行相關變更的時程。</p> <p id="F">資安新聞網站Bleeping Computer指出，有使用者聲稱在微軟進行上述變動後，找不到解除鎖定的按鈕而無法啟用巨集，也有管理者認為，微軟採取封鎖的做法會干擾使用者的作業流程，因為使用者必須對每個從網路上下載的Office檔案逐一解除鎖定。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/proferosec-osm/online-programming-learning-sites-can-be-manipulated-by-hackers-to-launch-cyberattacks-a684d9f4daef"><span style="color: rgb(0, 0, 0);">雲端IDE程式編輯器Datacamp恐遭到駭客濫用</span></a></strong></h3> <p>雲端的整合開發環境（IDE）可讓程式開發人員更容易進行協同作業，但這樣的工具也有可能讓攻擊者降低攻擊門檻，只需網頁瀏覽器就能發動攻擊。資安業者Profero揭露濫用雲端IDE系統DataCamp的攻擊行動，駭客疑似運用進階版Python的IDE模組，部署第三方模組來連線到AWS S3儲存桶，並將儲存桶內的資料藉由DataCamp流出。</p> <p>研究人員也嘗試在該平臺導入Nmap網路拓撲工具，結果發現，他們雖然不能直接部署該軟體，但可直接透過編譯程式碼的方式產生。研究人員認為，這種濫用DataCamp的攻擊行動很可能不會被發現，因為沒有明確的來源顯示其IP位址的範圍，而難以追溯來源，且類似的雲端IDE系統有可能成為駭客加以濫用的對象。</p> <h3><strong style="font-size: 22px;"><a href="http://www.itxinwen.com/soft/20220711/96492.html"><span style="color: rgb(0, 0, 0);">辦公室軟體WPS Office傳出審核中國用戶檔案內容惹議</span></a></strong></h3> <p>根據中國新聞網站IT商業新聞網報導，有WPS Office用戶指控，該辦公室軟體疑似暗中對於使用者電腦的文件檔案進行審查，一旦發現有被中國政府視為敏感的詞彙，將會導致檔案無法使用。</p> <p>此消息一出引起中國網友恐慌，不只有人認為此舉侵犯使用者隱私，有文字工作者打算改用其他辦公室軟體，來避免自己的心血可能因此付之一炬。對此，金山軟件表示此起事件是有使用者線上檔案涉嫌違規，他們禁止其他人存取，進而被傳成刪除檔案。但金山的說法讓中國網友不禁質疑，該公司如何得知檔案違規？</p> <p><a href="https://tw.wpsoffice.com/article/569">臺灣總代理無敵科技也對此發出聲明</a>，強調臺灣用戶均使用在臺灣打包的繁體版本，並僅提供私有雲版本，所有連線均連線至企業客戶自行建置的文檔中心，並無內容檢查疑慮。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html"><span style="color: rgb(0, 0, 0);">勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_HavanaCrypt Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_HavanaCrypt%20Ransomware.png" style="width: 300px; float: right;" /></a>勒索軟體的攻擊模式出現了新的變化，駭客濫用免費、開源的密碼管理器，來將檔案加密，而有可能讓攻擊過程不易察覺。</p> <p>趨勢科技揭露了勒索軟體HavanaCrypt的攻擊行動，駭客使用.NET打造此勒索軟體，並將其偽裝成Google軟體更新元件，來入侵受害電腦。HavanaCrypt在開始執行的過程中，會從機碼先檢查受害電腦是否存在GoogleUpdate服務，若是沒有相關服務才會繼續執行。接著，此勒索軟體會偵測受害電腦是否存在VMware Tools、vmmouse等虛擬機器（VM）元件，來確保是在真實電腦上執行。</p> <p>完成上述工作後，該勒索軟體將從微軟的網頁代管伺服器20[.]227[.]128[.]33上，下載BAT批次檔，竄改內建防毒Micorosoft Defender配置，並終止防毒軟體、Office軟體，以及SQL Server、MySQL等資料庫軟體的運作，刪除磁碟陰影備份（Volume Shadow Copy），並限縮此服務只能備份401 MB資料後，才開始執行加密檔案的行動。</p> <p id="J">比較特別的是，此勒索軟體在加密檔案的過程裡，使用了開源的密碼管理器KeePass Password Safe作為加密元件，但為何駭客要濫用此密碼管理器？研究人員沒有進一步說明。基於此勒索軟體會將勒索訊息檔案一併加密，研究人員認為HavanaCrypt尚在開發階段，並呼籲組織應加強相關防護來因應勒索軟體威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/"><span style="color: rgb(0, 0, 0);">Office 365用戶遭大規模網釣攻擊，駭客竊取Cookie與Session資訊可繞過MFA，目的是用於發動BEC詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 300px; float: right;" /></a></p> <p>針對Office 365用戶的大規模網路釣魚攻擊不時有事故傳出，但最近一起事故使用的手法較為不同，而導致駭客能繞過微軟提供的雙因素驗證（MFA）機制。微軟揭露自2021年9月開始的Adversary-in-The-Middle（AiTM）攻擊行動，駭客先是寄送釣魚郵件，然後將收信人引導到釣魚網站，特別的是將釣魚網站以代理伺服器方式設在用戶連線至目標網站之間，進而竊取網頁瀏覽器的Cookie與連線階段（Session）資料，來挾持受害者的Office 365帳號，駭客得手後將這些電子郵件帳號用來發動商業電子郵件（BEC）詐騙。</p> <p>由於駭客攔截了Cookie和連線階段資料，即使受害者啟用Office 365的雙因素驗證機制，仍無法遏止駭客濫用自己的電子郵件帳號，研究人員指出，至少有1萬個組織受害，且駭客在得手Cookie和連線階段資料後，最快在5分鐘內就發動BEC詐騙攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151921"><span style="color: rgb(0, 0, 0);">歐洲央行主席遭到釣魚簡訊攻擊，攻擊者佯稱是德國前總理對其下手</span></a></strong></h3> <p>有駭客大膽冒用前國家元首的名義，想要對藉此發動針對特定人士的網路釣魚攻擊，而引發高度關注。根據美聯社與路透社報導指出，有人假冒德國前總理梅克爾（Angela Merkel）的名義，寄釣魚郵件給歐洲中央銀行主席Christine Lagarde，要求使用即時通訊軟體WhatsApp討論機密事務，同時請Christine Lagarde提供驗證碼來建立WhatsApp帳號。Christine Lagarde打電話給梅克爾確認而拆穿駭客的詭計。歐洲央行證實確有此事，並強調沒有資訊外洩的情況，但不願進一步說明細節；德國情報單位、聯邦資訊安全局也向該國國會議員提出警告。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/abused-quickbooks-site-sends-phone-scam-emails"><span style="color: rgb(0, 0, 0);">雲端會計系統QuickBooks遭到濫用！駭客將其用於網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Retail Brands Impersonated in Vishing Attacks from Quickbooks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Retail%20Brands%20Impersonated%20in%20Vishing%20Attacks%20from%20Quickbooks.png" style="width: 300px; float: right;" /></a>攻擊者寄送以軟體訂閱服務為幌子的釣魚郵件，算是相當常見，但現在出現了更難察覺異狀的做法。資安業者Inky約自2021年12月開始，發現有人濫用了雲端會計系統QuickBooks，來針對使用Google Workspace與Microsoft 365的中小企業下手，進行電話詐騙，迄今已有2,272次攻擊行動。這些駭客濫用了QuickBooks的30天免費試用期，用來向受害者發送假的發票，聲稱收信人從Amazon、蘋果、BestBuy購買了軟體並已經成功付款，並說明若是沒有購買卻被扣款，可透過客服電話進行後續退款事宜。</p> <p>一旦受害者依照指示操作，駭客就會要求提供信用卡資料與其他個資，或是要求存取詐欺網站，來截取受害者的資料，有時候駭客甚至還會要求透過遠端桌面連線來處理問題。但實際上，受害者這麼做將會讓對方握有信用卡資料，而可能遭到盜刷。</p> <p id="G">研究人員指出，駭客濫用QuickBooks而能發出幾可亂真的發票，而且因為電子郵件來自提供此會計服務的IT業者Intuit，難以與真正使用這套會計系統的用戶進行區隔，他們呼籲使用者收到這類購買通知郵件時，應該通過網路商城網站提供的電話，或是向信用卡公司進行確認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bankinfosecurity.com/lithuanian-energy-firm-experiences-ddos-a-19555"><span style="color: rgb(0, 0, 0);">立陶宛能源業者Ignitis遭到俄羅斯駭客DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg" style="width: 300px; float: right;" /></a>在烏克蘭戰爭中表態支持烏克蘭的立陶宛，不時傳出政府機關或是組織遭到DDoS攻擊，使得立陶宛國家網路安全中心（NKSC）於6月23日提出警告，要相關單位加以防範。根據新聞網站BankInto Security的報導，立陶宛國營能源業者Ignitis約於當地時間7月9日凌晨3時，因網站遭到DDoS攻擊而一度無法存取，到了中午才緩解攻擊行動並恢復網站的運作。</p> <p>該公司發言人表示，他們已經最近的數個星期裡，接連遭遇DDoS攻擊，但駭客沒有得逞，直到7月9日才因為攻擊強度大幅增加而影響網站運作。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/paypal-phishing-scam-mimics-known-security-measures"><span style="color: rgb(0, 0, 0);">駭客將網路釣魚工具包植入WordPress網站，竊取PayPal用戶個資</span></a></strong></h3> <p>受到許多網站採用的線上支付工具PayPal，遭到駭客鎖定，利用工具來竊取使用者的個資。資安業者Akamai在他們的蜜罐裡，發現駭客針對WordPress網站下手，藉由暴力破解的方式入侵後，植入網路釣魚工具包，此工具包鎖定PayPal用戶，假冒一連串的人類驗證機制與身分驗證機制，進而騙取受害者銀行帳號資料、電子郵件信箱密碼、照片等個資，駭客得手後很有可能將其用於洗錢或是其他網路犯罪。</p> <p>研究人員指出，這個工具包採用一些獨特的手法來規避資安業者的偵測，像是駭客對於連線的IP位址設置，會避免在資安公司的網域黑名單裡，而有可能因此躲過相關檢測。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/chromeloader-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ChromeLoader-22.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChromeLoader-22.png" style="width: 300px; float: right;" /></a>駭客不光打造EXE可執行檔或DLL程式庫的惡意程式，也企圖透過瀏覽器外掛程式來發動攻擊。資安業者Palo Alto Networks揭露名為ChromeLoader（亦稱Choziosi Loader、ChromeBack）的惡意軟體，研究人員大約於今年1月開始進行追蹤，駭客以光碟映像檔ISO、蘋果裝置的磁碟映像檔DMG的型式來進行散布，並以提供破解版電玩遊戲或是電影的種子檔案名義，來引誘使用者上當。</p> <p>一旦使用者依照指示在網頁瀏覽器Chrome上安裝了ChromeLoader，駭客不只能存取瀏覽器的個人設定資料，還能操弄瀏覽器發出的請求，同時也可追蹤使用者使用Google、Yahoo、Bing等搜尋的記錄，進而得知受害者的上網行為。</p> <p>研究人員指出，雖然駭客一開始主要是針對Windows電腦下手，但他們在今年3月看到鎖定Mac電腦的ChromeLoader，因此Mac電腦的用戶也要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-packages-steal-telegram-cache-files-add-windows-remote-desktop-accounts"><span style="color: rgb(0, 0, 0);">惡意PyPI套件鎖定Windows電腦用戶，攻擊Telegram軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg" style="width: 300px; float: right;" /></a>駭客使用PyPI惡意套件發動攻擊的情況又有新的攻擊事件，這次是針對Windows電腦的Telegram用戶而來。資安業者Sonatype發現flask-requests-complex、php-requests-complex、tkinter-message-box等惡意套件，flask-requests-complex與php-requests-complex內含的程式碼，會在攻擊過程建立使用者帳號，而能夠讓攻擊者透過遠端桌面連線（RDP）任意存取受害電腦；而第3個惡意套件的行為，引發研究人員注意，因為此套件專門鎖定Telegram電腦版程式的tdata使用者設定資料夾，一旦用戶安裝該套件，Telegram的帳號資料就有可能遭到外洩。PyPI接獲通報後，已移除上述套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/14/north-korean-threat-actor-targets-small-and-midsize-businesses-with-h0lygh0st-ransomware/"><span style="color: rgb(0, 0, 0);">北韓駭客HolyGhost鎖定全球小型組織，發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure-2b-dev-0530-attackers-publishing-their-claims-on-their-website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-2b-dev-0530-attackers-publishing-their-claims-on-their-website.png" style="width: 300px; float: right;" /></a>北韓駭客組織運用勒索軟體的攻擊行動，有可能是為了經濟利益而來。微軟揭露名為HolyGhost（DEV-0530）的駭客組織攻擊行動，這些駭客運用名為H0lyGh0st的勒索軟體，自2021年6月開始發動攻擊，並於2021年9月就有多個國家小型企業遇害，受害組織類型涵蓋銀行、學校、製造業，以及活動企畫公司。</p> <p>駭客疑似利用網站內容管理平臺DotCMS的漏洞CVE-2022-26352，來入侵受害組織，得逞後在網路環境投放勒索軟體加密檔案，並留下勒索訊息，要脅不付錢就公開竊得的資料。這些駭客通常會向受害組織索討1.2至1.5個比特幣贖金。</p> <p>研究人員指出，這些駭客很可能與另一個北韓駭客組織DarkSeoul（亦稱Plutonium）有所交流，攻擊的目的很有可能是為了經濟利益而出手。</p> <h3><strong style="font-size: 22px;"><a href="https://labs.detectify.com/2022/07/06/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/"><span style="color: rgb(0, 0, 0);">研究人員揭露針對OAuth身分驗證流程進行帳號挾持的手法Dirty Dancing</span></a></strong></h3> <p>身分驗證機制OAuth能讓使用者利用自己的Google、微軟、臉書帳號，來存取網站服務，而不需特別申請個別網站的帳號，但這樣的機制有可能被攻擊者拿來挾持帳號。資安業者Detectify揭露名為Dirty Dancing的攻擊手法，駭客可藉由使用的OAuth回應類型的切換，結合重新導向的URI和第三方JavaScript套件的搭配，從中找到可能用來將Token或是授權碼洩露的弱點，執行OAuth-dance的驗證流程，進而挾持使用者的帳號。研究人員呼籲網站經營者要了解OAuth-dance涉及那些網頁，並避免在這些網頁使用外部指令碼，來減少駭客發動Dirty Dancing攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/12/new-ransomware-groups-on-the-rise/"><span style="color: rgb(0, 0, 0);">勒索軟體Lilith進行雙重勒索，終止瀏覽器、收信軟體運作再進行加密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-15-–-Onion-Leak-Site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-15-%E2%80%93-Onion-Leak-Site.jpg" style="width: 300px; float: right;" /></a>近期新的勒索軟體不斷出現，繼日前被發現RedAlert、0mega，資安業者Cyble的研究人員看到另一個名為Lilith的勒索軟體，鎖定64位元的電腦而來。</p> <p>研究人員指出，Lilith很可能是使用Babuk外洩的程式碼打造而成，一旦攻擊者下達執行的命令，此勒索軟體將會先停用Office軟體、SQL資料庫，以及上網應用程式（如Firefox、Thunderbird、Outlook等），然後才透過Windows的API加密電腦大部分的檔案，但過程中會跳過系統檔案、可執行檔（EXE）、程式庫（DLL）等，加密完成後會留下勒索訊息，要脅受害者在3天內向他們聯繫，否則將會公開竊得的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-lilith-ransomware-emerges-with-extortion-site-lists-first-victim/">資安新聞網站Bleeping Computer指出</a>，已有位於南美的營建集團疑似受害並支付贖金，研判駭客可能偏好攻擊這種大型企業。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-0mega-ransomware-targets-businesses-in-double-extortion-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體0mega要脅對合作夥伴告狀，向受害企業進行雙重勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg" style="width: 300px; float: right;" /></a>新的勒索軟體最近幾個月不斷有研究人員揭露相關發現，而相當引人注目。根據資安新聞網站Bleeping Computer的報導，名為0mega的勒索軟體於今年5月出現，鎖定全球的組織下手，並向受害組織進行雙重勒索，索討數百萬美元的贖金，該新聞網站的研究人員看到的勒索訊息內容發現，駭客疑似對每個受害組織竊取不同類型的資料，有些事故駭客揚言會向合作夥伴與貿易協會告狀，破壞受害組織的商譽，企圖索討贖金。</p> <p>研究人員看到駭客公布其中一個疑似不願支付贖金的受害組織，該組織主要經營電子產品的維修與翻新，並表示他們竊得了152 GB資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theblock.co/post/156038/how-a-fake-job-offer-took-down-the-worlds-most-popular-crypto-game"><span style="color: rgb(0, 0, 0);">駭客藉由網路釣魚，入侵NFT遊戲Axie Infinity所屬的區塊鏈金流</span></a></strong></h3> <p>NFT遊戲Axie Infinity的<a href="https://www.ithome.com.tw/news/150181">區塊鏈網路Ronin Network於今年3月下旬遭駭</a>，被盜走約6.25億美元加密貨幣，美國後來指控是北韓駭客Lazarus所為，而這起事故的調查似乎有了新的進展。根據區塊鏈新聞網站The Block於7月6日的報導，2名知情人士向他們透露，駭客入侵Ronin Network的管道，就是透過人脈網站LinkedIn下手，駭客鎖定1名Sky Mavis資深工程師，聲稱提供更好的薪資條件向他招手，使得這名工程師被騙，但這家提供職缺的公司，實際上根本不存在。</p> <p>消息人士指出，該名工程師還經過多次面試，以為得到一份報酬極為優渥的工作，並下載了名為「職缺（Offer）」的PDF檔案，使得駭客得以藉由Sky Mavis的IT基礎設施，在Ronin Network裡植入間諜程式，並控制驗證伺服器以取得所需的存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151880"><span style="color: rgb(0, 0, 0);">漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊</span></a></strong></h3> <p>外洩資料查詢平臺Have I Been Pwned（HIBP）於7月6日，將漫畫閱讀平臺Mangatoon於今年5月外洩的個資加入其資料庫。這批外洩的資料共有2,300萬名用戶的姓名、電子郵件帳號、社群網站帳號、性別等，甚至包含了加鹽密碼。但不論是經營HIBP的資安人員Troy Hunt，還是其他網友，試圖向Mangatoon通報都沒有得到回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151878"><span style="color: rgb(0, 0, 0);">專門銷售山寨版思科網路設備的美國男子被捕</span></a></strong></h3> <p>山寨版網路設備不只效能與功能不佳，還可能存在資安漏洞，使得執法單位決定大動作逮捕涉案人士來遏止歪風。美國司法部於6月29日，專門銷售山寨版思科設備的Onur Aksoy，該人在美國成立超過19家公司、於Amazon設立15家商店、也在eBay開設10家商店，來銷售冒牌的思科設備。</p> <p>Onur Aksoy引進的設備由中國不肖業者製造，他們將二手及停產的思科設備，偽裝成思科新款產品，並仿冒該公司的標籤、貼紙、文件，來進行銷售。不知情的買家取得後才發現設備效能、功能、安全性有問題，且經常故障，這名人士不只在美國，亦在其他國家銷售這些設備。美國於去年7月突襲Onur Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將他逮捕。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bridewellconsulting.com/cyber-security-in-cni-organisations-2022"><span style="color: rgb(0, 0, 0);">英國資安人員面臨工作壓力，恐出現離職潮</span></a></strong></h3> <p>隨著因烏克蘭戰爭而導致的網路威脅急速惡化，資安人員很可能難以再負荷不斷加重的工作壓力而選擇離職，使得企業面臨缺乏相關人力的窘境。網路安全服務業者Bridewell近期針對521名國家關鍵基礎設施（CI）的決策者進行調查，結果顯示9成5考慮在1年內離開現職，其中最主要的2個原因，分別是網路攻擊可能會影響他們的職業生涯，但相關攻擊卻越來越無法避免（42%)，其次就是此職務的壓力已嚴重影響他們的個人生活（40%）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bandai-namco-confirms-hack-after-alphv-ransomware-data-leak-threat/"><span style="color: rgb(0, 0, 0);">電玩遊戲開發商萬代南夢宮傳出遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）的攻擊行動近期可說是相當頻繁，最近電玩遊戲開發商也疑似遇害。資安研究團隊VX-Underground指出，BlackCat於7月11日聲稱攻陷了電玩遊戲開發商萬代南夢宮（Bandai Namco）。萬代南夢宮也於13日向電玩新聞網站EuroGamer、Video Games Chronicle證實，他們在7月3日遭到網路攻擊，多家亞太地區的子公司內部系統遭到入侵，目前該公司正在調查資料外洩的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/IngraoMaxime/status/1547164768401858560"><span style="color: rgb(0, 0, 0);">研究人員揭露安卓惡意軟體Autolycos，超過1年仍有部分有害的App尚未下架</span></a></strong></h3> <p>駭客將安卓惡意軟體上架Google Play市集，藉此引誘使用者上當的情況屢見不鮮，但如今手法變得更加隱密而可能不易曝光。資安業者Evina的研究人員發現名為Autolycos的惡意軟體，他們自2021年6月開始，發現Google Play市集裡出現8個內含此惡意軟體的App，Google獲報半年後才移除其中6款，仍有2款可從市集下載。</p> <p>研究人員指出，Autolycos與其他惡意軟體不同之處，在於攻擊者執行惡意行為的做法，駭客疑似使用遠端瀏覽器（Remote Browser）連線URL，並將結果透過HTTP請求傳送給手機，而非像其他惡意軟體濫用Webview元件。這樣的手法使得攻擊行為更加難以察覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/07/transparent-tribe-targets-education.html"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客APT36鎖定印度大專院校，散布CrimsonRAT</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT36-image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT36-image1.png" style="width: 300px; float: right;" /></a>駭客將攻擊目標鎖定學生的情況，近期有越來越多的事故發生。思科揭露巴基斯坦駭客組織APT36（亦稱Operation C-Major、Mythic Leopard、Transparent Tribe）自2021年12月發起的攻擊行動，駭客針對印度大專院校的學生下手，藉由網路釣魚的方式，向受害者投放惡意文件檔案，一旦收信人開啟檔案，電腦就有可能被部署木馬程式CrimsonRAT，進而長期洩露受害者電腦的資料，並回傳給駭客。</p> <p>研究人員指出，駭客使用了巴基斯坦主機代管服務業者Zain Hosting的伺服器，來架設基礎設施，但他們推估這只是其中一部分，APT36很有可能使用了多家主機代管服務的設施來進行建置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.antiy.cn/research/notice&report/research_report/20220713.html"><span style="color: rgb(0, 0, 0);">印度駭客組織Confucius對巴基斯坦軍事機構發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-4.png" style="width: 300px; float: right;" /></a>駭客為了避免遭到追查，很有可能濫用CDN服務來隱匿攻擊來源。中國資安業者安天（Antiy）揭露由印度駭客組織Confucius的攻擊行動，駭客自去年下半，開始假冒巴基斯坦政府員工的身分，針對政府機關與軍事單位進行釣魚郵件攻擊，一旦收信者開啟帶有巨集的文件，電腦就會被植入木馬程式QuasarRAT，以及該組織使用C++、C#開發的木馬程式，在受害電腦部署後門並進行竊密。</p> <p>研究人員指出，這起攻擊行動比較特別的是，駭客為了避免資安人員追查，他們使用了多種手法，例如，駭客竄改木馬程式的時戳，並使用Cloudflare的CDN服務來隱藏攻擊來源。</p> <p id="B">此外，這些駭客為了確保打開惡意文件檔案的收信人是他們鎖定的目標，他們也運用了Cloudflare防火牆來過濾來源IP位址，而且使用密碼來保護惡意文件。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151918"><span style="color: rgb(0, 0, 0);">微軟發布7月份例行修補公告，揭露84個漏洞的緩解方法</span></a></strong></h3> <p id="H">微軟於7月12日發布每月例行修補（Patch Tuesday），本次總計修補84個資安漏洞，當中有4個為重大（Critical）漏洞。但這些漏洞最引起各界關注的是CVE-2022-22047，此為已遭到駭客利用的漏洞，與用戶端/伺服器執行時期子系統（Client/Server Runtime Subsystem，CSRSS）有關，攻擊者一旦成功利用此漏洞，就有可能取得SYSTEM權限，使得研究人員呼籲使用者應優先修補這項漏洞。而在本月微軟處理的漏洞中，還有CVE-2022-22026與CVE-2022-22049也和CSRSS有關，亦屬重要層級的漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-vcenter-server-flaw-disclosed-in-november/"><span style="color: rgb(0, 0, 0);">VMware修補去年11月揭露的vCenter漏洞，在8個月後才為部分版本提供更新程式</span></a></strong></h3> <p>資安業者CrowdStrike於去年11月，揭露VMware vCenter Server權限提升漏洞CVE-2021-22048，但VMware直到8個月後，才開始對於部分版本提供更新程式。CVE-2021-22048與該系統提供的整合式Windows身分驗證（IWA）有關，不僅影響6.5、6.7、7.0等多個版本的vCenter Server，也可能波及混合雲平臺Cloud Foundation。</p> <p>該公司於7月12日發布了vCenter Server 7.0 Update 3f，來修補這項漏洞。而針對vCenter Server 6.5、6.7版用戶，該公司則建議依照先前提供的漏洞緩解指南，將單一簽入（SSO）的組態從IWA移轉為透過LDAP身分驗證的AD目錄架構。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/cisco-and-fortinet-release-security.html"><span style="color: rgb(0, 0, 0);">思科、Fortinet修補旗下產品漏洞</span></a></strong></h3> <p>思科與Fortinet近日修補旗下產品的重大漏洞，並呼籲用戶要儘速修補。思科於7月6日發布資安公告，總共修補了10個漏洞，其中最危險的是CVE-2022-20812與CVE-2022-20813，CVSS評分各為9.0與7.4，影響該公司的Expressway系列軟體，以及TelePresence視訊會議系統等兩套產品，一旦漏洞遭到利用，就有可能讓駭客覆寫任意檔案，或是製造空位元中毒攻擊。</p> <p>Fortinet也於7月5日修補4個高嚴重性漏洞，這些漏洞為CVE-2021-43072、CVE-2021-41031、CVE-2022-30302、CVE-2022-26117，CVSS評分為7.4至8.0分，影響FortiAnalyzer、FortiClient、FortiDeceptor，以及FortiNAC，一旦遭利用，攻擊者有可能在通過身分驗證的情況下執行任意程式碼，或是存取MySQL資料庫，以及從本地使用者提升為SYSTEM的權限。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/sap-security-patch-day-july-2022-three-applications-focus"><span style="color: rgb(0, 0, 0);">SAP修補ERP系統Business One的高嚴重漏洞</span></a></strong></h3> <p>SAP於7月12日發布每月的例行修補，針對20個漏洞的緩解措施進行公告，其中有4個漏洞屬於高風險漏洞，有3個存在於ERP系統Business One，另1個為BusinessObjects的漏洞。而在公告當中最為嚴重的漏洞是CVE-2022-35228，CVSS風險評分為8.3分，這是商業智慧軟體BusinessObjects集中管理主控臺的資訊洩露漏洞，資安業者Onapsis指出，攻擊者一旦利用這項漏洞，有機會在尚未通過身分驗證的情況下，藉由網路取得Token的資料。不過，駭客想要觸發這項漏洞有項前提，那就是需要有使用者存取應用程式的情況下，才能進行漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://support.lenovo.com/sk/en/product_security/len-91369"><span style="color: rgb(0, 0, 0);">聯想筆電UEFI韌體再傳漏洞，波及ThinkBook、Yoga系列等逾70款機種</span></a></strong></h3> <p id="I">資安業者ESET發現聯想筆電的UEFI韌體，存在3個記憶體緩衝區溢位漏洞CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，一旦攻擊者加以利用，有機會在取得本機權限後，進一步在開機階段就提升權限，並能執行任意程式碼，進而關閉安全防護功能，該公司旗下ThinkBook、Yoga、Flex、Ideapad等多個產品線都有機種受到影響，總計有70餘款存在上述漏洞，聯想已推出修補程式供用戶更新。而這是該公司筆電產品的UEFI韌體2度發現漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://comsec.ethz.ch/research/microarch/retbleed/"><span style="color: rgb(0, 0, 0);">Intel與AMD處理器存在Retbleed漏洞</span></a></strong></h3> <p>處理器廠商針對推測執行（Speculative Execution）漏洞提供的防護措施，再次出現可被繞過的情況。蘇黎世大學（UZH）研究人員揭露新型態的Spectre分支目標注入（Spectre-BTI）攻擊手法，利用名為Retbleed的漏洞（CVE-2022-29900、CVE-2022-29901），可繞過<a href="https://www.ithome.com.tw/news/120498">2018年Google開發的Spectre v2緩解措施Retpoline</a>。有別於其他Spectre變種攻擊手法濫用間接跳躍、呼叫的方式，Retbleed是濫用退回（Return）指令，而能夠突破Retpoline防護機制，這些漏洞影響Intel的第6至8代Core系列處理器（Skylake、Kaby Lake、Coffee Lake），以及AMD的Zen 1、Zen 1+、Zen 2處理器產品線。</p> <p>這兩家業者分別針對Retbleed提供緩解措施，Intel建議採用名為Enhanced Indirect Branch Restricted Speculation（eIBRS）的機制、AMD則提供了Jmp2Ret來防範Retbleed，但根據研究人員的測試，這兩項機制有可能導致處理器效能下降14%至39%。</p> <h3><strong style="font-size: 22px;"><a href="https://rollingpwn.github.io/rolling-pwn/"><span style="color: rgb(0, 0, 0);">研究人員揭露能遠端打開Honda汽車的Rolling-PWN漏洞</span></a></strong></h3> <p>在今年3月，有研究人員發現了能攻擊本田（Honda）汽車漏洞CVE-2022-27254，駭客可截取遙控器的訊號來解鎖車輛，但相關的漏洞可能比預期影響範圍還要來得廣泛。星輿實驗室（Star-V Lab）近日指出，他們在今年1月發現的資安漏洞Rolling-PWN（CVE-2021-46145），雖然當時認為本田使用了滾動式密碼（Rolling Code），而導致相關的漏洞攻擊效果有限，但他們進一步調查後發現，這項漏洞能讓攻擊者輕易破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE），而使得此系統的滾動式密碼形容虛設，讓駭客能藉由中間人攻擊（MitM）來打開車門。</p> <p>研究人員利用此漏洞成功解鎖10種型號的本田汽車，當中還包含了2022年車款。Rolling-PWN與於本田防範使用者誤觸遙控器的功能Sliding Window有關，此功能在汽車一旦連續收到開鎖或解鎖的命令，會將計數器重新同步，使得舊的密碼仍能解鎖車輛。</p> <p>汽車雜誌The Drive記者Rob Stumpf也著手進行實驗，成功重現了Rolling-PWN漏洞。對此，本田汽車向新聞網站Motherboard表示，這項發現與今年3月的漏洞CVE-2022-27254類似，他們認為自家RKE不存在相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-fixes-dozens-of-azure-site-recovery-privilege-escalation-bugs/"><span style="color: rgb(0, 0, 0);">微軟修補VM災害復原服務Azure Site Recovery逾30個漏洞</span></a></strong></h3> <p>微軟在7月12日發布每月例行修補（Patch Tuesday）公告，當中揭露了84個漏洞的緩解措施，其中有超過三分之一與VM災難復原服務Azure Site Recovery有關，共有32個漏洞。這些漏洞有30個是權限提升漏洞，2個是RCE漏洞。</p> <p>其中，微軟特別針對DLL挾持漏洞CVE-2022-33675特別提出警告，一旦攻擊者利用漏洞，建立特定名稱的惡意DLL程式庫，就有可能導致此程式庫在Azure Site Recovery的應用程式啟動時一併載入，並以SYSTEM權限執行，CVSS風險評分為7.8分。通報此漏洞的資安業者Tenable指出，這樣的漏洞很有可能讓駭客在發動勒索軟體攻擊時，清除Azure Site Recovery備份的資料而讓組織無法還原。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/"><span style="color: rgb(0, 0, 0);">惡意程式碼恐藉由macOS漏洞繞過應用程式沙箱防護機制</span></a></strong></h3> <p id="C"><a href="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png" style="width: 300px; float: right;" /></a>駭客在Windows作業系統濫用含有巨集的Office文件已是常態，但類似的手法也可能因作業系統漏洞而有可能用來攻擊Mac電腦。微軟針對日前通報給蘋果的漏洞CVE-2022-26706公布細節，並指出此漏洞可讓駭客藉由含有惡意巨集的Word檔案，突破macOS的應用程式沙箱，在Mac電腦上執行任意命令。微軟在去年10月通報後，蘋果在今年5月發布的macOS Big Sur 11.6.6修補此漏洞，研究人員呼籲用戶應儘進安裝更新軟體。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151873"><span style="color: rgb(0, 0, 0);">臺灣企業資安投資抵稅正式上路，最新投資抵減辦法7月公布</span></a></strong></h3> <p>為了幫助產業的進步，政府持續祭出租稅優惠，從早期獎勵投資條例、促進產業升級條例，到現行的產業創新條例，期望帶動相關投資。最近幾年，政府不只是鼓勵產業朝智慧機械製造、5G行動通訊的發展，提供投資抵減的短期租稅優惠措施，更值得關注的是，今年這項措施首度擴及資安投資，讓公司購置資安產品或服務，也將可享投資抵減的短期優惠。</p> <p>經濟部與財政部在7月4日發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，新增資安投資抵稅3年優惠，並對資安產品與服務列出明確定義，經濟部表示，企業可至線上投資抵減申辦系統申請。</p> <h3><strong style="font-size: 22px;"><a href="https://pypi.org/security-key-giveaway/"><span style="color: rgb(0, 0, 0);">PyPI要求最熱門套件的開發者使用雙因素驗證，但有人打算鑽漏洞</span></a></strong></h3> <p>鎖定PyPI套件庫的攻擊事故，近期陸續出現數起，使得PyPI打算強制部分用戶採用雙因素驗證（2FA），而引起少部分開發人員反彈。PyPI於7月8日發布資安通告指出，他們即將在數個月內，陸續要求維護最為熱門的套件開發者，使用雙因素驗證，估計至少有3,500個套件的維護者、所有者，將必須通過進階身分驗證流程，才能執行套件的各式管理工作。</p> <p>PyPI將這些最熱門的套件稱為「關鍵（Critical）」套件，指的是在最近6個月內，下載次數在前1%的PyPI套件，一旦被登錄，該套件將會永久具備這項屬性。維護上述關鍵套件的經營者，將有機會免費取得2個由Google贊助的實體Token裝置Titan。</p> <p>此舉多數開發者表達支持立場，但也有人不願買單──例如，開發atomicwrites套件的Markus Unterwaditzer收到PyPI通知後，決定將這款每月下載超過6千次的套件下架，並重新以新的名稱上傳到套件庫，來迴避必須採用雙因素驗證的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ncsc.gov.uk/blog-post/preparing-the-long-haul-the-cyber-threat-from-russia"><span style="color: rgb(0, 0, 0);">來自俄羅斯的網路威脅導致資安人員工作更加吃重，英國呼籲企業重新檢視相關員工的工作量</span></a></strong></h3> <p>在烏克蘭戰爭中，相關的網路攻擊行動已經擴及歐洲其他國家，而使得資安人員工作量急劇增加，有可能難以持續工作，最後選擇離職，使得企業將面臨資安人力更加吃緊的現象。英國國家網路安全中心（NCSC）近日提出警告，他們先前呼籲企業要嚴加防範俄羅斯開戰後的網路攻擊行動，但隨著烏克蘭戰爭已經僵持數個月，企業應留意資安團隊可能因為長期處於高壓的狀態，而使得所屬團隊的員工已經不堪負荷，呼籲要調整因應網路威脅的做法，例如：</p> <p>●建立依據風險層級為依據的決策模式，來設立有效率且能長期運作的防禦制度</p> <p>●賦與第一線人員依據優先程度決策的權利</p> <p>●確保工作負載能平均分配個人與團隊，並讓第一線人員能獲得充分休息</p> <p>●提供管理者及團隊相關資源來察覺需要協助的員工</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/151963"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Cloudflare披露全球DDoS攻擊能力最強大的Mantis殭屍網路</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/tech/151925"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">首批NIST認可的PQC演算法出爐，美CISA建議即刻做好六大準備</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/151701"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">深入2022年四大科技戰略，看摩根大通如何將科技變成競爭優勢？當中揭露AI應用與資安投入的積極性</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/free-decryptor-released-for-astralocker-yashma-ransomware-victims/"><span style="color: rgb(0, 0, 0);">資安業者提供勒索軟體AstraLocker、Babuk、Yashma的解密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.crowdstrike.com/blog/callback-malware-campaigns-impersonate-crowdstrike-and-other-cybersecurity-companies/"><span style="color: rgb(0, 0, 0);">駭客假冒CrowdStrike等資安業者，企圖在受害組織植入木馬程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-lockbit-2.0-all-paths-lead-to-ransom"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit停用防毒和EDR，並透過檔案共享軟體外洩受害組織資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/12/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補CSRSS零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sygnia.co/luna-moth-false-subscription-scams"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth假借提供軟體訂閱服務的名義，入侵受害組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/reports/open-source-security/"><span style="color: rgb(0, 0, 0);">Java專案有2%存在Log4Shell漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151895"><span style="color: rgb(0, 0, 0);">微軟Windows Autopatch服務正式上線</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cpl.thalesgroup.com/about-us/newsroom/thales-acquires-ciam-leader-onewelcome"><span style="color: rgb(0, 0, 0);">資安業者Thales買下身分暨存取管理業者OneWelcome</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/12/the-state-of-ransomware-in-education-2022/"><span style="color: rgb(0, 0, 0);">逾7成教育機構無法防堵勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.itnews.com.au/news/deakin-university-reveals-breach-of-47000-students-details-582563"><span style="color: rgb(0, 0, 0);">澳洲迪肯大學遭到網路攻擊，4.7萬名學生個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-alert-raspberry-robin-worm-abuses-windows-installer-and-qnap-devices"><span style="color: rgb(0, 0, 0);">蠕蟲程式Raspberry Robin濫用Windows Installer與威聯通設備發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/12/8-million-dollars-stolen-in-a-uniswap-phishing-attack/"><span style="color: rgb(0, 0, 0);">駭客假冒大型去中心化交易所Uniswap的名義發動網釣攻擊，得手逾800萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/windows-81-now-shows-full-screen-end-of-support-warnings/"><span style="color: rgb(0, 0, 0);">微軟預告明年1月將對Windows 8.1終止支援，用戶開機就會看到全螢幕警示訊息</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151963"><span style="color: rgb(0, 0, 0);">Mantis成為2022年6月全球最具威脅的殭屍網路</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/targeted-attack-on-government-agencies.html"><span style="color: rgb(0, 0, 0);">攻擊者以阿富汗和印度的關係為誘餌，鎖定多個國家的政府機關，散布AysncRAT和LimeRAT木馬</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.tasnimnews.com/en/news/2022/07/12/2742013/iraqi-cyberattack-targets-tel-aviv-municipality-website"><span style="color: rgb(0, 0, 0);">以色列捷運公司遭到伊拉克的網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.techtarget.com/searchsecurity/news/252522715/Researcher-develops-Hive-ransomware-decryption-tool"><span style="color: rgb(0, 0, 0);">研究人員針對新的勒索軟體Hive變種提供解密工具</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/iThome%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1Top%2010_0715.jpg" style="width: 550px;" /></span></span></strong></p> </div></div></div>
2022/7/15 17:51作者羅正漢https://www.ithome.com.tw/news/151967
別讓見樹不見林的思維掩蓋真相
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_-1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圓神出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從COVID-19 在全球肆虐後，媒體最常報導的就是各國每日確診死亡人數，政論節目也不斷評論各國的防疫政策。2022年2月中旬，一位名嘴在節目裡說：「美國是全世界COVID-19確診死亡數最多的國家，共有93萬多人，遠高過英國的16萬、法國的14萬和德國的12萬，高達6～8倍，防疫真的做得太差了！美國政府和人民防疫的努力比起歐洲差很大！」其他名嘴也紛紛點頭同意。</p> <p>內人鳳蘋剛好聽到這一段，她告訴我：「這個說法，已經掉進『見樹不見林』的謬誤之中。」</p> <p>確實是如此，我從牛津大學的Our World in Data網站，查看了這四個國家的人口總數，結果是美國三億三千萬、英國六千八百萬、法國六千七百萬、德國八千四百萬。我進一步把死亡數除以人口數，來計算每百萬人口的COVID-19確診死亡率，結果發現美國2800、英國2351、法國2020、德國1442，相差都在兩倍之內。只看到死亡數而沒看到人口數，正是一般人常犯的因果謬誤。</p> <p>見樹不見林的思考方式，相當於只看到分子，而沒有看到分母，當然容易下錯結論。由於不同國家、地區或團體的人口數可能差異很大，如果只比較健康事件，像是病例數或死亡數的多寡，而忽略了人口數，對於事件的判斷，就無法精準正確。</p> <p><span style="font-size:28px;"><strong>數人頭還是算比率？</strong></span></p> <p>在你我日常接受到的資訊中，類似「見樹不見林」的謬誤真的不少！我曾看到某名報頭版標題寫著「智慧型犯罪與年俱增」，內容提到過去十年來，在犯罪的人當中，研究所和大學畢業生所占的百分比，分別從4％和18％，增加到7％和27％，換句話說，研究所畢業的犯罪者占比增為1.8倍，大學畢業的犯罪者占比增為1.5倍。「很顯然智慧型犯罪正在逐年增加，加強大學院校學生的品德和公民教育刻不容緩。」</p> <p>這則新聞的論斷，明顯地掉入見樹不見林的謬誤中。其實在這十年間，全人口的大學與研究所畢業生所占的百分比也是逐年增加。如果計算不同教育程度族群的犯罪率，這十年來並沒有顯著的上升。因此，在觀察社會或健康事件發生狀況時，必須同時考量事件數和人口數，先計算事件發生率，才能進一步比較分析和下結論。</p> <p>1983年我在擔任臺大公衛系副教授時，接受衛生署委託進行「臺灣高血壓防治實驗計畫」。我們從六個鄉鎮區的戶政事務所，隨機抽樣選出具有代表性的研究個案。徵得他們同意後，就進行個人基本資料、生活飲食習慣、疾病治療史的問卷調查，並且以水銀血壓計測量休息後血壓三次，計算收縮壓和舒張壓的平均值，再按照世界衛生組織的標準判定是否患有高血壓。</p> <p>有一次，臺大內科曾文賓教授和我一起討論不同年齡層的高血壓盛行率時，我的研究生報告分析結果說：「在高血壓的病人當中，以50～59歲所占百分比最高，其次是40～49歲、60～69歲，再來是30～39歲和70～79歲，……」曾教授馬上說：「不，怎麼會是50～59和40～49歲最高呢？而且30～39歲和70～79歲一樣更奇怪！你該看各年齡的盛行率，而不是病例數所占的百分比！」研究生回答說：「高血壓盛行率確實是隨年齡越大而越高！」</p> <p>如果只看高血壓病例數的年齡分布，這位研究生認為大多數高血壓病人集中在50～59歲，但是他忽略了各年齡層的研究人數有很大差異。當年臺灣的人口結構是金字塔型，年齡越高人口越少，我們的抽樣研究樣本也是如此。所以應該把病例數除以參加研究人數，比較各年齡層的盛行率，才是正確的做法。換句話說，不只要數病例數，還要考量參加研究人數，來計算高血壓的盛行率。</p> <p>就像前面提到的四個國家的COVID-19死亡狀況，如果只從死亡數來看，就斷定「美國死亡數很多，好恐怖」，而沒有考慮到美國總人口數也很多，就會下錯結論，必須算出死亡率，才是適合比較的數據。</p> <p><span style="font-size:28px;"><strong>COVID-19的演進因果螺旋</strong></span></p> <p>因果螺旋模式最主要的功能，就是在遇到新的健康問題時，協助我們思考到底病原是什麼？宿主如何受到暴露？宿主感受性如何？引起個人發病的自然史有哪些重要階段？個人的三段五級預防對策為何？如何擴大影響到家庭、社會、國家、甚至全世界？如何遏止疾病的蔓延擴散？</p> <p>像COVID-19這樣的新興人畜共通傳染病，也可以利用因果螺旋模式來試想可能的防疫之道。</p> <p>整個全球大流行的演進，從一個病毒感染到首位人類宿主，侵入表現ACE2受體的細胞，致使病毒大量複製繁殖，持續感染其他的細胞，造成組織與器官系統的病理變化，產生嚴重臨床症狀、呼吸衰竭甚至死亡。在該病例發病期間，透過密切接觸或汙染環境，而將病毒傳給醫護人員、家人親友、同學同事。病毒就會擴散到家庭、學校、職場、社會、國家、全世界，使因果螺旋的範圍籠罩整個地球，「星星之火、足以燎原」就是最好的寫照，COVID-19因此帶來家庭生計艱困、社會恐慌、國家動盪、全球蕭條。</p> <p>一個人會不會得到感染、病毒在體內會不會繁殖很快、是否發病？決定於宿主的遺傳基因、免疫能力、健康行為、預防接種。</p> <p>一旦進入潛伏期，能否快速篩檢、早期發現、隔離治療、適切使用抗病毒藥物，就決定了個人是否會發生症狀徵候、重症和死亡。在個人感染到痊癒或死亡的第一階段，宿主與社會（醫護）環境扮演很重要的角色。要預防病毒由個人傳給醫護人員、親朋好友、同事同學而造成社區傳播，醫療體系的超前部署、院內感染管控的落實、篩檢量能的提升、疫調匡列的確實執行、居家隔離的嚴格監控、自主健康管理的強化、口罩等防疫物資的量產與分配、個人衛生習慣的實踐、避免減少群聚活動、實名制進入公共場所等與精準防疫有關社會環境因素，在第二階段的社區防疫就變得很重要。</p> <p>要讓疫情對家庭、社會、國家的衝擊降至最小，在第三階段還必須對低收入家庭、殘障人士、老弱婦孺、受創行業，進行救濟紓困。為了維持中小企業的發展，振興券的有效率而有效益地發放也很重要。在疫情期間的線上上班上課、電子商務、遠距醫療等宅經濟的發展，減少健康不平等、降低城鄉落差，可以穩定社會經濟的發展。在自由民主多元開放的國家，疫情的公開透明對於建立民眾對政府的信任相當重要；落實個人資料與隱私權的保護，才能鼓勵民眾配合防疫規定。換句話說，包括跨部會整合的社會環境因素，在社會安定和國家安全扮演最重要的角色。</p> <p>現今，人與人、國與國的連結比昔日更密切。在COVID-19大流行的網羅下，沒有一個人是安全的，除非每一個人都安全；也沒有一個國家是安全的，除非每個國家都安全。以疫苗接種為例，截至2022年5月底，世界上還有許多國家的疫苗覆蓋率相當低，特別是非洲國家，亟待他國大力支援。要應用接種疫苗來遏阻大流行，就是要達到「四海一家、世界大同」的理想，積極協助低收入國家早日普及接種，使所有國家都能阻斷病毒的擴散、複製與突變，避免新變異株的產生。<span style="color:#696969;"><strong>（本文摘錄整理自《因果螺旋》，圓神出版提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(6).jpg" style="width: 350px;" /></strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span></strong> <span style="color: rgb(51, 153, 255);"><strong>因果螺旋：跨越時空的探索與思辨</strong></span></p> <p>陳建仁／著</p> <p>圓神出版</p> <p>定價：410元</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/200-%E5%9C%962_%E5%9B%A0%E6%9E%9C%E8%9E%BA%E6%97%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%9C%93%E7%A5%9E%E5%87%BA%E7%89%88%E3%80%81%E9%84%9E%E6%99%BA%E9%88%9E%E6%94%9D(1).jpg" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／圓神出版、鄞智鈞攝影</span></span></p> <p><strong>陳建仁</strong></p> <p>畢業於美國約翰霍普金斯大學公共衛生學院的流行病學家，曾任臺大助教、講師、副教授、教授、公共衛生研究所所長、流行病學研究所創所所長、公共衛生學院院長、中央研究院合聘研究員、特聘研究員、副院長。也曾任衛生署署長、國家科學委員會主任委員、第十四任副總統。</p> <p>研究領域包括流行病學、人類遺傳、預防醫學與公共衛生。發表八百餘篇學術論文，已被引用超過十萬次（Google Scholar統計）。</p> </div></div></div>
2022/7/15 10:52未署名https://www.ithome.com.tw/article/151949
架構師如何做決策
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體開發人員在網上搜尋當前問題的解決方案方面建立了出色的技能。例如，如果他們需要弄清楚如何在他們的環境中配置一個特定工具，專業地使用Google就會找到答案。</p> <p>但對架構師來說，情況並非如此。</p> <p>對於架構師來說，許多問題都帶來了獨特的挑戰，因為它們混淆了你組織的確切環境和情況──有人遇到了這種情況並將它發布在博客或貼在Stack Overflow上的機會有多少？</p> <p>架構師可能想知道，與框架、API等技術主題相比，為什麼關於架構的書籍這麼少。架構師很少會經歷常見的問題，但卻在新情況下為了做決定而不斷地掙扎。對於架構師來說，每一個問題都是一片雪花。在許多情況下，問題不僅僅是出現在特定的組織內，而對整個世界都是新的。對於這些問題，沒有任何的書籍或是會議討論它！</p> <p>架構師不應該一直為他們的問題尋找靈丹妙藥。因為幾乎每一個問題都會帶來新的挑戰，架構師的真正工作在於他們能夠客觀地決定和評估一個最終決定任何一方的權衡，以盡可能好地解決它。作者沒有談論「最佳解決方案」（在本書或現實世界中），因為「最佳」意味著架構師已經設法將設計中所有可能的競爭因素最大化。相反地，我們提出以下半開玩笑的建議：</p> <p>不要試圖在軟體架構中找到最好的設計；相反地，要爭取最不差的權衡組合。</p> <p>通常情況下，架構師可以建立的最好設計是最不差的權衡集合──沒有一個單一架構特徵能超過它單獨的那樣，但所有競爭架構特徵的平衡能促進專案成功。</p> <p>這就引出了一個問題，「架構師如何才能找到最不差的權衡組合（並有效地記錄它們）？」</p> <p><span style="font-size:28px;"><strong>為什麼是「困難部分」？</strong></span></p> <p>為什麼我們把這本書叫做《軟體架構：困難部分》？實際上，書名中的「hard」一字有雙重含義。首先，hard意味著困難，而架構師們不斷面臨著字面上（及象徵性地）以前沒有人所面臨過的困難問題，涉及許多具有長期影響的技術決策，這些決策必須發生在人際和政治環境之上。</p> <p>第二，hard意味著硬──就如同在分離的硬體和軟體中，硬的部分應該改變得比較少，因為它為軟的部分提供了基礎。同樣地，架構師也討論了架構和設計之間的區別，前者是結構性的，而後者更容易改變。</p> <p>軟體架構的定義本身已經為它的參與人員提供了許多時間的非生產性對話。一個最受歡迎半開玩笑的定義是「軟體架構是那些以後很難改變的東西。」</p> <p><span style="font-size:28px;"><strong>提供關於軟體架構的永恆建議</strong></span></p> <p>軟體開發的生態系統不斷地、混亂地轉變和成長。幾年前風靡一時的話題要麼被生態系統所包含並消失，要麼被不同/更好的東西所取代。例如，10年前，大型企業的主流架構樣式是協作驅動、服務導向的架構。現在，幾乎沒有人再採用這種架構的樣式了；目前許多分散式系統所青睞的樣式是微服務，這種轉變是如何以及為什麼發生的？</p> <p>當架構師注視一個特定的樣式（尤其是歷史性的），他們必須考慮導致這架構成為主流的約束因素。當時，許多公司合併成為企業，伴隨著這種過渡隨之而來的是整合問題。此外，對於大公司來說，開源並不是一個可行的選項（通常是出於政治而非技術原因）。因此，架構師強調共用資源以及集中協作作為一種解決方案。</p> <p>然而，在這幾年中，開源和Linux成為可行的替代方案，使作業系統在商業上免費。然而，真正的轉捩點發生在Linux隨著像是Puppet和Chef等工具的出現而在操作上變得免費，這些工具允許開發團隊以編程方式啟動他們的環境，作為自動建構的一部分。一旦有了這種能力，它就透過微服務和迅速出現的容器基礎架構，以及像是Kubernetes等協作工具而促進了一場架構革命。</p> <p>這說明了軟體開發的生態系統以完全無法預期的方式擴展和演進。一種新的能力導致了另一種能力，這又不預期地創造了新的能力。隨著時間的推移，這個生態系統一次一個地完全取代了自己。</p> <p><span style="font-size:28px;"><strong>資料在架構中的重要性</strong></span></p> <p>對於架構界許多人來說，資料就是一切。每個建立任何系統的企業都必須處理資料，因為它的壽命往往比系統或架構還長得多，需要勤奮的思考和設計。然而，資料架構師建立緊密耦合系統的許多本能在現代分散式架構中產生了衝突。例如，架構師和DBA必須確保商務資料在整體式系統被拆散後仍能存在，並且無論架構如何波動，商務仍可以從它的資料中獲得價值。</p> <p>有人說，資料是一個公司最重要的資產。企業希望從他們擁有的資料中提取價值，並在決策中找到新的方法部署資料。現在企業的每一部分都是由資料驅動的，從服務現有客戶到獲得新客戶、增加客戶保留率、改善產品、預測銷售和其他的趨勢。這種對資料的依賴意味著所有的軟體架構都在為資料服務，確保正確的資料可以被企業的各部門使用。</p> <p>幾十年前，當分散式系統剛開始流行時，作者就建立了許多分散式系統，但是現代微服務的決策似乎更為困難，我們想弄清楚為什麼。我們最終意識到，在分散式架構的早期，我們大多仍然是堅持資料在一個單一的關聯式資料庫中。然而，在微服務中，以及從「Domain-Driven Design」中對有界上下文的哲學堅持，作為限制實作細節耦合範圍的一種方式，資料已經和交易性一起移到了架構關注點上。現代架構的許多困難部分都來自於資料和架構關注點之間的緊張關係。</p> <p><span style="font-size:28px;"><strong>使用適應度函數</strong></span></p> <p>在2017年的《Building Evolutionary Architectures》（O’Reilly）一書中，作者（Neal Ford、Rebecca Parsons和Patrick Kua）定義了架構適應度函數的概念：對某些架構特徵或架構特徵的組合進行客觀完整性評估的機制。</p> <p>架構師實作適應度函數，以圍繞架構特徵的意外變化建立保護。在敏捷軟體開發領域，開發者實作單元、功能以及使用者驗收測試，以驗證領域設計的不同維度。然而，直到現在，還沒有類似的機制來驗證設計中的架構特徵部分。事實上，適應度函數和單元測試之間的分離為架構師提供了一個很好的範圍指引。適應度函數驗證架構特徵，而不是領域標準；單元測試則正好相反。因此，架構師可以透過詢問以下問題來決定是否需要適應度函數或單元測試：「執行這個測試是否需要任何的領域知識？」如果答案是「是」，那麼單元/功能/使用者驗收測試是合適的；如果答案是「否」，則需要一個適應度函數。</p> <p>例如，當架構師談論彈性時，指的是應用程式能夠承受使用者突然爆發的能力。請注意，架構師不需要知道有關領域的任何細節──這可以是電子商務網站、線上遊戲、或其他的東西。因此，彈性是一個架構上的問題，並且在適應度函數的範圍內。另一方面，如果架構師想要驗證一個郵寄位址的正確部分，則可以透過傳統測試來涵蓋。當然，這種分離並不是純粹的二分法──有些適應度函數會觸及到領域，反之亦然，但不同的目標提供了一個很好的方法來從精神上將它們分開。<span style="color:#696969;"><strong>（本文摘錄整理自《軟體架構：困難部分》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-1.jpg" style="width: 345px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>軟體架構：困難部分</strong></span><strong><span style="color:#0099ff;">──</span></strong><span style="color: rgb(51, 153, 255);"><strong>分散式架構的權衡分析</strong></span></p> <p>Neal Ford, Mark Richards, Pramod Sadalage, Zhamak Dehghani／著</p> <p>劉超群／譯</p> <p>碁峰資訊出版</p> <p>定價：780元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Neal Ford</strong></p> <p>Neal Ford是領先全球的技術諮詢公司Thoughtworks董事、軟體架構師和備忘錄整理者。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Mark Richards</strong></p> <p>Mark Richards是一位實踐型軟體架構師，在微服務、服務導向架構和分散式系統的設計和實作方面擁有豐富經驗。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Pramod Sadalage</strong></p> <p>Pramod Sadalage是Thoughtworks資料和DevOps總監，在應用程式和演進資料庫開發、資料架構、NoSQL資料庫和資料庫重構模式等方面擁有豐富的經驗。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%EF%BC%95_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Zhamak Dehghani</strong></p> <p>Zhamak Dehghani是Thoughtworks技術總監，專注於分散式架構和新興技術。她也是Data Mesh創始人。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> </div></div></div>
2022/7/15 11:29未署名https://www.ithome.com.tw/article/151950
【資安日報】2022年7月14日，勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體BlackCat動作頻頻，近期又以將竊得的資料彙整，並提供搜尋功能而引起關注。而在本週的資安新聞裡，該組織於3天前聲稱攻擊了電玩遊戲開發商萬代南夢宮（Bandai Namco），而該公司也在昨天承認遭到網路攻擊，並清查資料外洩的情形。</p> <p>駭客發動網路釣魚攻擊的手法也變得越來越複雜，混用多種手法而能突破雙因素驗證，最終目的是將這些受害者的電子郵件帳號拿來發動BEC詐騙。這波攻擊行動主要鎖定Office 365用戶而來，10個月內已有上萬個組織遭到攻擊。</p> <p>在本月微軟的每月例行修補（Patch Tuesday）當中，該公司公告並緩解的漏洞裡，有超過三分之一與VM災難復原服務Azure Site Recovery有關。其中一項漏洞甚至有可能讓駭客清除備份資料，而導致組織無法進行災害復原。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bandai-namco-confirms-hack-after-alphv-ransomware-data-leak-threat/"><span style="color: rgb(0, 0, 0);">電玩遊戲開發商萬代南夢宮傳出遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）的攻擊行動近期可說是相當頻繁，最近電玩遊戲開發商也疑似遇害。資安研究團隊VX-Underground指出，BlackCat於7月11日聲稱攻陷了電玩遊戲開發商萬代南夢宮（Bandai Namco）。萬代南夢宮也於13日向電玩新聞網站EuroGamer、Video Games Chronicle證實，他們在7月3日遭到網路攻擊，多家亞太地區的子公司內部系統遭到入侵，目前該公司正在調查資料外洩的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/12/new-ransomware-groups-on-the-rise/"><span style="color: rgb(0, 0, 0);">勒索軟體Lilith進行雙重勒索，終止瀏覽器、收信軟體運作再進行加密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-15-–-Onion-Leak-Site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-15-%E2%80%93-Onion-Leak-Site.jpg" style="width: 300px; float: right;" /></a>近期新的勒索軟體不斷出現，繼日前被發現RedAlert、0mega，資安業者Cyble的研究人員看到另一個名為Lilith的勒索軟體，鎖定64位元的電腦而來。</p> <p>研究人員指出，Lilith很可能是使用Babuk外洩的程式碼打造而成，一旦攻擊者下達執行的命令，此勒索軟體將會先停用Office軟體、SQL資料庫，以及上網應用程式（如Firefox、Thunderbird、Outlook等），然後才透過Windows的API加密電腦大部分的檔案，但過程中會跳過系統檔案、可執行檔（EXE）、程式庫（DLL）等，加密完成後會留下勒索訊息，要脅受害者在3天內向他們聯繫，否則將會公開竊得的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-lilith-ransomware-emerges-with-extortion-site-lists-first-victim/">資安新聞網站Bleeping Computer指出</a>，已有位於南美的營建集團疑似受害並支付贖金，研判駭客可能偏好攻擊這種大型企業。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/"><span style="color: rgb(0, 0, 0);">Office 365用戶遭到大規模網釣攻擊鎖定，駭客繞過雙因素驗證機制，但目的是將電子郵件信箱拿來發動BEC攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 300px; float: right;" /></a>針對Office 365用戶的大規模網路釣魚攻擊不時有事故傳出，但最近一起事故使用的手法較為不同，而導致駭客能繞過微軟提供的雙因素驗證（MFA）機制。微軟揭露自2021年9月開始的Adversary-in-The-Middle（AiTM）攻擊行動，駭客先是寄送釣魚郵件，然後將收信人引導到釣魚網站，進而竊取網頁瀏覽器的Cookie與連線階段（Session）資料，來挾持受害者的Office 365帳號，駭客得手後將這些電子郵件帳號用來發動商業電子郵件（BEC）詐騙。</p> <p>由於駭客攔截了Cookie和連線階段資料，即使受害者啟用Office 365的雙因素驗證機制，仍無法遏止駭客濫用自己的電子郵件帳號，研究人員指出，至少有1萬個組織受害，且駭客在得手Cookie和連線階段資料後，最快在5分鐘內就發動BEC詐騙攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151921"><span style="color: rgb(0, 0, 0);">歐洲央行主席遭到釣魚簡訊攻擊，攻擊者佯稱是德國前總理對其下手</span></a></strong></h3> <p>有駭客大膽冒用前國家元首的名義，想要對藉此發動針對特定人士的網路釣魚攻擊，而引發高度關注。根據美聯社與路透社報導指出，有人假冒德國前總理梅克爾（Angela Merkel）的名義，寄釣魚郵件給歐洲中央銀行主席Christine Lagarde，要求使用即時通訊軟體WhatsApp討論機密事務，同時請Christine Lagarde提供驗證碼來建立WhatsApp帳號。Christine Lagarde打電話給梅克爾確認而拆穿駭客的詭計。歐洲央行證實確有此事，並強調沒有資訊外洩的情況，但不願進一步說明細節；德國情報單位、聯邦資訊安全局也向該國國會議員提出警告。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bankinfosecurity.com/lithuanian-energy-firm-experiences-ddos-a-19555"><span style="color: rgb(0, 0, 0);">立陶宛能源業者Ignitis遭到俄羅斯駭客DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg" style="width: 300px; float: right;" /></a>在烏克蘭戰爭中表態支持烏克蘭的立陶宛，不時傳出政府機關或是組織遭到DDoS攻擊，使得立陶宛國家網路安全中心（NKSC）於6月23日提出警告，要相關單位加以防範。根據新聞網站BankInto Security的報導，立陶宛國營能源業者Ignitis約於當地時間7月9日凌晨3時，因網站遭到DDoS攻擊而一度無法存取，到了中午才緩解攻擊行動並恢復網站的運作。</p> <p>該公司發言人表示，他們已經最近的數個星期裡，接連遭遇DDoS攻擊，但駭客沒有得逞，直到7月9日才因為攻擊強度大幅增加而影響網站運作。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/IngraoMaxime/status/1547164768401858560"><span style="color: rgb(0, 0, 0);">研究人員揭露安卓惡意軟體Autolycos，超過1年仍有部分有害的App尚未下架</span></a></strong></h3> <p>駭客將安卓惡意軟體上架Google Play市集，藉此引誘使用者上當的情況屢見不鮮，但如今手法變得更加隱密而可能不易曝光。資安業者Evina的研究人員發現名為Autolycos的惡意軟體，他們自2021年6月開始，發現Google Play市集裡出現8個內含此惡意軟體的App，Google獲報半年後才移除其中6款，仍有2款可從市集下載。</p> <p>研究人員指出，Autolycos與其他惡意軟體不同之處，在於攻擊者執行惡意行為的做法，駭客疑似使用遠端瀏覽器（Remote Browser）連線URL，並將結果透過HTTP請求傳送給手機，而非像其他惡意軟體濫用Webview元件。這樣的手法使得攻擊行為更加難以察覺。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-fixes-dozens-of-azure-site-recovery-privilege-escalation-bugs/"><span style="color: rgb(0, 0, 0);">微軟修補VM災害復原服務Azure Site Recovery逾30個漏洞</span></a></strong></h3> <p>微軟在7月12日發布每月例行修補（Patch Tuesday）公告，當中揭露了84個漏洞的緩解措施，其中有超過三分之一與VM災難復原服務Azure Site Recovery有關，共有32個漏洞。這些漏洞有30個是權限提升漏洞，2個是RCE漏洞。</p> <p>其中，微軟特別針對DLL挾持漏洞CVE-2022-33675特別提出警告，一旦攻擊者利用漏洞，建立特定名稱的惡意DLL程式庫，就有可能導致此程式庫在Azure Site Recovery的應用程式啟動時一併載入，並以SYSTEM權限執行，CVSS風險評分為7.8分。通報此漏洞的資安業者Tenable指出，這樣的漏洞很有可能讓駭客在發動勒索軟體攻擊時，清除Azure Site Recovery備份的資料而讓組織無法還原。</p> <h3><strong style="font-size: 22px;"><a href="https://comsec.ethz.ch/research/microarch/retbleed/"><span style="color: rgb(0, 0, 0);">Intel與AMD處理器存在Retbleed漏洞</span></a></strong></h3> <p>處理器廠商針對推測執行（Speculative Execution）漏洞提供的防護措施，再次出現可被繞過的情況。蘇黎世大學（UZH）研究人員揭露新型態的Spectre分支目標注入（Spectre-BTI）攻擊手法，利用名為Retbleed的漏洞（CVE-2022-29900、CVE-2022-29901），可繞過<a href="https://www.ithome.com.tw/news/120498">2018年Google開發的Spectre v2緩解措施Retpoline</a>。有別於其他Spectre變種攻擊手法濫用間接跳躍、呼叫的方式，Retbleed是濫用退回（Return）指令，而能夠突破Retpoline防護機制，這些漏洞影響Intel的第6至8代Core系列處理器（Skylake、Kaby Lake、Coffee Lake），以及AMD的Zen 1、Zen 1+、Zen 2處理器產品線。</p> <p>這兩家業者分別針對Retbleed提供緩解措施，Intel建議採用名為Enhanced Indirect Branch Restricted Speculation（eIBRS）的機制、AMD則提供了Jmp2Ret來防範Retbleed，但根據研究人員的測試，這兩項機制有可能導致處理器效能下降14%至39%。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/"><span style="color: rgb(0, 0, 0);">惡意程式碼恐藉由macOS漏洞繞過應用程式沙箱防護機制</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png" style="width: 300px; float: right;" /></a>駭客在Windows作業系統濫用含有巨集的Office文件已是常態，但類似的手法也可能因作業系統漏洞而有可能用來攻擊Mac電腦。微軟針對日前通報給蘋果的漏洞CVE-2022-26706公布細節，並指出此漏洞可讓駭客藉由含有惡意巨集的Word檔案，突破macOS的應用程式沙箱，在Mac電腦上執行任意命令。微軟在去年10月通報後，蘋果在今年5月發布的macOS Big Sur 11.6.6修補此漏洞，研究人員呼籲用戶應儘進安裝更新軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://support.lenovo.com/sk/en/product_security/len-91369"><span style="color: rgb(0, 0, 0);">聯想筆電UEFI韌體再傳漏洞，波及ThinkBook、Yoga系列等逾70款機種</span></a></strong></h3> <p>資安業者ESET發現聯想筆電的UEFI韌體，存在3個記憶體緩衝區溢位漏洞CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，一旦攻擊者加以利用，有機會在取得本機權限後，進一步在開機階段就提升權限，並能執行任意程式碼，進而關閉安全防護功能，該公司旗下ThinkBook、Yoga、Flex、Ideapad等多個產品線都有機種受到影響，總計有70餘款存在上述漏洞，聯想已推出修補程式供用戶更新。而這是該公司筆電產品的UEFI韌體2度發現漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://cpl.thalesgroup.com/about-us/newsroom/thales-acquires-ciam-leader-onewelcome"><span style="color: rgb(0, 0, 0);">資安業者Thales買下身分暨存取管理業者OneWelcome</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/12/the-state-of-ransomware-in-education-2022/"><span style="color: rgb(0, 0, 0);">逾7成教育機構無法防堵勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.itnews.com.au/news/deakin-university-reveals-breach-of-47000-students-details-582563"><span style="color: rgb(0, 0, 0);">澳洲迪肯大學遭到網路攻擊，4.7萬名學生個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-alert-raspberry-robin-worm-abuses-windows-installer-and-qnap-devices"><span style="color: rgb(0, 0, 0);">蠕蟲程式Raspberry Robin濫用Windows Installer與威聯通設備發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/12/8-million-dollars-stolen-in-a-uniswap-phishing-attack/"><span style="color: rgb(0, 0, 0);">駭客假冒大型去中心化交易所Uniswap的名義發動網釣攻擊，得手逾800萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/windows-81-now-shows-full-screen-end-of-support-warnings/"><span style="color: rgb(0, 0, 0);">微軟預告明年1月將對Windows 8.1終止支援，用戶開機就會看到全螢幕警示訊息</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151927">【2022年7月13日】雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的vCenter漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151907">【2022年7月12日】勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</a></p> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> </div></div></div>
2022/7/14 15:59作者周峻佑https://www.ithome.com.tw/news/151943
微軟披露蘋果macOS程式沙箱逃逸漏洞細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於今年5月修補了macOS Monterey與macOS Big Sur的數十個安全漏洞，其中的CVE-2022-26706是由微軟於去年10月所通報，<a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/" target="_blank">而微軟選在本周披露了漏洞細節</a>，並公布簡短的概念性驗證攻擊程式。</p> <p>根據蘋果的說明，CVE-2022-26706漏洞存在於macOS中的LaunchServices，<a href="https://developer.apple.com/documentation/coreservices/launch_services" target="_blank">LaunchServices是個API</a>，允許正在執行的程式開啟其它程式或是這些程式的文件檔案，而該漏洞讓程式有機會繞過蘋果App Sandbox的沙箱限制。</p> <p><a href="https://developer.apple.com/documentation/xcode/configuring-the-macos-app-sandbox/" target="_blank">macOS的App Sandbox 是個存取控制技術</a>，由程式指定沙箱規則，再由作業系統負責強制實施，例如程式可讀寫的文件類型、程式可存取的資源或是程式所能建立的連結等，可在使用者所執行的程式遭到危害時，抑制對系統及使用者資料的危害。此一機制替程式與作業系統之間建立了一道安全屏障，也被許多程式視為重要的安全工具，包括Microsoft Office在內。</p> <p>微軟Microsoft 365 Defender首席安全研究人員Jonathan Bar Or指出，他們是在研究如何於macOS上的Microsoft Office執行或偵測惡意的巨集時，發現了該漏洞。為了向下相容，Microsoft Word可讀取或寫入以~$作為前綴的文件，卻發現只要利用LaunchServices在一個具備該前綴的特製Python檔案執行open –stdin 命令，就可逃離macOS對程式所部署的沙箱限制，進而危害使用者的系統與資料。</p> <p>Bar Or表示，此一漏洞允許駭客繞過App Sandbox規則，讓惡意的程式碼逃逸至沙箱之外，並於裝置上執行任意命令，受到駭客青睞的Word巨集即可能成為惡意程式碼的藏身之處。</p> <p>Microsoft 365 Defender團隊也針對CVE-2022-26706漏洞撰寫了概念性驗證程式，還把它精簡成可以透過Twitter發表的版本。</p> </div></div></div>
2022/7/14 16:24作者陳曉莉https://www.ithome.com.tw/news/151944
IBM Power10新增4產品，主打中階市場、遠端辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html" target="_blank">IBM本周宣布</a>最新Power 10晶片為基礎的4項伺服器產品，將最新一代Power晶片推向中階市場及遠端辦公室雲端應用情境。</p> <p>Power是IBM自有RISC晶片，過去搭配IBM AIX Unix及AS/400作業系統，近年則轉向支援Linux為主，尤其是Red Hat Enterprise Linux及其Kubernetes平臺OpenShift，以供大型企業部署容器應用及雲端微服務。</p> <p>IBM是在2020年推出Power 10，並於隔年9月推出E1080伺服器。本次新增的4款產品，其中<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0035" target="_blank">E1050</a>為中階伺服器為4-socket系統，強調運算、Java及ERP執行效能，最多可擴充到16TB系統記憶體。透過IBM for RISE with SAP方案，<a href="https://www.ibm.com/tw-en/products/power-e1080" target="_blank">E1050</a>鎖定要在將本地部署的SAP ERP搬上企業私有雲SAP S/4HANA平臺的用戶，或是在混合雲環境下擴充AI或核心應用，此外也在IBM公有雲服務IBM Cloud下提供這項中階產品。</p> <p>另外3項屬於水平擴充（scale-out）應用機種，包括入門型的S1014及較高階的S1022及S1024，主打中小型企業，或是大型企業在混合雲環境中擴充核心系統或AI應用，或提供遠端辦公室環境存取。<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0030" target="_blank">S1022</a>及<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0029" target="_blank">S1024</a>分別為2-socket 2U及2-socket 4U伺服器，皆包含Capacity Upgrade on Demand（CuOD），允許隨需啟動擴增處理器，並具備核心內（in-core）AI推論及機器學習功能Matrix Math Accelerator。<a href="https://www.ibm.com/products/power-s1014" target="_blank">Power S1014</a>則為 1-socket、4U入門伺服器。</p> </div></div></div>
2022/7/14 14:39作者林妍溱https://www.ithome.com.tw/news/151941
駭客假冒資安業者進行網釣詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/blog/callback-malware-campaigns-impersonate-crowdstrike-and-other-cybersecurity-companies/" target="_blank">資安業者CrowdStrike上周披露</a>，駭客正以資安業者的名義寄送網釣郵件，但並非是在郵件中附加惡意檔案，而是提供了一個可回撥的電話，再由駭客指示受害者安裝惡意程式。</p> <p>CrowdStrike把此一網釣活動稱為「回撥網釣」（Callback Phishing），駭客假冒知名品牌的資安業者，包括CrowdStrike在內，並向受害者寄出網釣郵件，宣稱自己是受害者的網路安全服務供應商，因懷疑受害者的系統受到危害，將負責稽核，並在郵件中附上了電話請受害者回電。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0714-Phishing%20Callback%20Malware%20Campaigns-CrowdStrike.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CrowdStrike</span></span></p> <p>在受害者回電之後，駭客就會指示他安裝遠端管理工具，以讓駭客可自遠端執行任務，等於是把系統控制權交給了駭客，接著駭客就得以安裝滲透工具於組織內展開橫向行動，最終竊取組織資訊或部署勒索軟體。</p> <p>CrowdStrike警告，這是他們發現的首個假冒為資安業者的回撥網釣活動，由於郵件是以資安意外為誘餌，很可能會因為急迫性而提高駭客成功的機率。</p> </div></div></div>
2022/7/14 14:57作者陳曉莉https://www.ithome.com.tw/news/151942
Tesla AI負責人Andrej Karpathy離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責特斯拉（Tesla）自動輔助駕駛視覺（Autopilot Vision）團隊、擔任特斯拉AI總監的Andrej Karpathy，<a href="https://twitter.com/karpathy/status/1547332300186066944" target="_blank">周四（7/14）透過Twitter宣布將與特斯拉分道揚鑣</a>，結束在特斯拉5年的職業生涯。</p> <p>Karpathy表示，很開心能幫助特斯拉實現過去5年的目標，離開是很艱難的決定，Autopilot從只是維持車道到得以於市區城市行駛，期待看到強大的Autopilot團隊繼續保持這樣的氣勢。特斯拉執行長馬斯克（Elon Musk）也回應了Karpathy的推文，感謝Karpathy的貢獻，並說很榮幸與Karpathy共事。</p> <p>Karpathy說他對於下一步還不是很確定，但期望能夠花更多的時間來從事與AI、開源及教育有關的事務。</p> <p>雖然看起來雙方是和平分手，但外界揣測可能與特斯拉近來的裁員政策有關。<a href="https://www.cnbc.com/2022/06/21/elon-musk-clarifies-tesla-layoffs-after-ex-employees-sue-company.html" target="_blank">馬斯克在今年6月時曾預告</a>，特斯拉在未來3個月將裁撤10%員工，接著<a href="https://www.reuters.com/business/autos-transportation/tesla-lay-off-229-employees-shuts-san-mateo-office-2022-07-12/" target="_blank">《路透社》（Reuters）本周二（7/12）報導</a>，特斯拉已關閉位於加州聖馬刁（San Mateo）的辦公室，解散該辦公室的229名員工。而該辦公室據稱就是聚集了Autopilot團隊。</p> <p>而根據<a href="https://www.bloomberg.com/news/articles/2022-07-13/tesla-executive-overseeing-ai-and-autopilot-is-leaving-company#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）的報導</a>，Karpathy自今年3月便開始休假，原本計畫要在7月歸隊，卻傳出辭職的消息。</p> </div></div></div>
2022/7/14 14:17作者陳曉莉https://www.ithome.com.tw/news/151940
Netflix廣告訂閱版將與微軟合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/netflix-partners-with-microsoft" target="_blank">全球最大影片串流平臺Netflix本周宣布</a>，將與微軟合作推出低費率並搭配廣告播放的訂閱方案。</p> <p><a href="https://www.ithome.com.tw/news/150505" target="_blank">Netflix今年第一季出現了成立十多年來首度的用戶數衰退</a>，且Netflix估計全球有超過1億用戶免費使用他人帳號，該公司一方面計畫出手打擊帳號外借行為，另一方面則決定推出由廣告支撐的低價訂閱方案，藉以提高訂閱用戶數。截至今年第一季，Netflix總計握有2.22億名的訂閱用戶。</p> <p>未來所有在Netflix上播放的廣告都將由微軟平臺獨家提供，Netflix營運長Greg Peters表示，微軟有能力支持該平臺的低價廣告訂閱方案，更重要的是微軟不管是在技術與銷售上都具備創新的彈性，亦替會員提供強大的隱私保護。</p> <p>目前Netflix提供基本（Basic）、標準（Standard）與高級（Premium）三種訂閱方案，每月的訂閱費用分別是270元新臺幣（8.99美元）、330元新臺幣（13.99美元）與390元新臺幣（17.99美元），基於廣告的訂閱方案應該會更便宜，不過雙方並未透露新方案的上線時程。</p> </div></div></div>
2022/7/14 11:36作者陳曉莉https://www.ithome.com.tw/news/151939
Windows Server 20H2將於8月EOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟又有一項產品將終止服務。<a href="https://docs.microsoft.com/en-US/lifecycle/announcements/windows-server-20h2-retiring" target="_blank">微軟公告</a>，Windows Server 20H2將在下個月來到EOS（End of Service）。</p> <p>根據<a href="https://docs.microsoft.com/en-us/lifecycle/products/windows-server" target="_blank">Windows Server生命周期</a>，Windows Server 20H2是2020年10月20日釋出，並於2022年8月9日終止服務。微軟說明，屆時20H2版不會再接獲安全更新。</p> <p>微軟同時說，這個版本也是最後一個Windows Server半年通道（Semi-Annual Channel，SAC）。未來Windows Server不會再有SAC版本，Windows Server會移到長期維護通道（Long-Term Servicing Channel，LTSC）作為主要發布通道。<a href="https://docs.microsoft.com/zh-tw/system-center/ltsc-and-sac-overview" target="_blank">LTSC</a>為2到3年發行一次新版本，提供5年主要支援，加上5年延伸支援。</p> <p>使用Windows Server SAC的用戶，微軟鼓勵轉到LTSC版本，或是將SAC版本搬移到Azure Stack HCI。</p> </div></div></div>
2022/7/14 10:58作者林妍溱https://www.ithome.com.tw/news/151938
具備1,760億個參數的語言模型BLOOM開源了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由AI新創Hugging Face主導並協調的<a href="https://huggingface.co/blog/bloom" target="_blank">BigScience專案於本周公布了成果</a>，釋出具備1,760億個參數的大型語言模型BLOOM （BigScience Large Open-science Open-access Multilingual Language Model），其規模大過OpenAI GPT-3的1,750億個參數，<a href="https://huggingface.co/bigscience/bloom" target="_blank">而且開放各界下載與存取</a>。</p> <p>BigScience專案是在去年5月正式啟動，有賴來自全球60個國家、逾250個機構，以及超過1,000名研究人員的貢獻，最後由法國超級電腦Jean Zay執行117天的訓練，才於今年7月完成了BLOOM模型。</p> <p>BLOOM模型可理解46種語言及13種程式語言，包含法文、西班牙文、越南文、中文或多種印度及非洲語言，大約只有超過30%的訓練資料為英文，因此，現在使用者只要選擇一種語言，就能要求BLOOM撰寫食譜、翻譯或摘要，也能要求BLOOM撰寫程式碼。</p> <p>這是目前全球所開源的最大語言模型，而且儘可能地透明化，公開了所用來訓練的資料，開發時曾面臨的困境，以及評估其效能的方式。</p> <p>不過，BLOOM模型也具備其它大型語言模型的缺點，可能藏匿了不準確或是有偏見的語言，但一來該專案採用新的《負責任AI許可》（Responsible AI License），避免被應用於諸如執法機構或醫療照護等高風險的領域，也禁止它被用來傷害、欺騙、剝削或冒充他人，二來Hugging Face認為開源將能讓AI社群協助改善該模型。</p> <p>當初OpenAI曾說不釋出模型或程式碼的原因是擔心模型遭到濫用，雖然BigScience專案啟用了《負責任AI許可》，然而它只是個類似服務條款的協議，亦無法令上的保護，或許還是難逃被濫用的命運，但Hugging Face認為，有一個良好的開源語言模型，將會替相關研究帶來深遠的影響。</p> </div></div></div>
2022/7/14 10:01作者陳曉莉https://www.ithome.com.tw/news/151935
聯想筆電再爆UEFI韌體漏洞，70餘機種受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年4月之後，聯想筆電再爆有3項UEFI韌體漏洞，可讓攻擊者在受害者電腦上執行任意程式碼，並影響ThinkBook等70餘機型。聯想已於本周釋出修補程式。</p> <p><a href="https://twitter.com/ESETresearch/status/1547166336752689153" target="_blank">這批漏洞是由安全廠商ESET首先揭露並通報</a>，包含3個存在特定款Lenovo筆電UEFI韌體的緩衝溢位（buffer overflow）漏洞，一旦被開採，可能讓攻擊者在平臺開機早期階段執行任意程式碼，而讓它劫持OS執行流程，關閉某些重要的安全功能。</p> <p>這三項漏洞編號為CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，分別存在於Lenovo產品UEFI韌體上的ReadyBootDxe、SystemLoadDefaultDxe和 SystemBootManagerDxe驅動程式，可讓具有本地權限的攻擊者升級其權限，以便在系統上執行任意程式碼。根據聯想的安全公告，3漏洞屬於中度風險漏洞。</p> <p>ESET解釋，這批漏洞出在3個驅動程式對UEFI Runtime Service的GetVariable的呼叫中、1個名為DataSize的參數驗證不足，使攻擊者可設計惡意NVRAM（非揮發性隨機存取記憶體，Non-volatile random-access memory）變項，藉由發送2次GetVariable呼叫，藉此造成Data緩衝區的溢位。</p> <p>研究人員表示，這屬於典型的「double GetVariable」漏洞，也曾在IDA外掛的韌體程式碼中發生，<a href="https://www.binarly.io/advisories/BRLY-2021-007/index.html" target="_blank">並為名為efiXplorer的研究人員研究過</a>。ESET也在後者的程式碼資料庫加入對這3項漏洞的更新程式碼。</p> <p><a href="https://support.lenovo.com/sk/en/product_security/len-91369" target="_blank">聯想在本周釋出安全公告</a>，列出了受影響的產品，<a href="https://support.lenovo.com/sk/en/product_security/len-91369#Lenovo%20Notebook" target="_blank">涵括ThinkBook、Yoga、Slim、Ideapad及Flex，共約70多款</a>。三項漏洞中以CVE-2022-1892影響最多機種。相關驅動程式可透過<a href="https://support.lenovo.com/" target="_blank">聯想網站</a>下載。</p> <p>這也是聯想筆電今年以來第2次傳出有UEFI韌體漏洞。<a href="https://www.ithome.com.tw/news/150501" target="_blank">上一次是在今年4月</a>，也是由ESET揭露3項可導致植入及執行惡意程式碼的漏洞，影響上百款產品。</p> </div></div></div>
2022/7/14 10:20作者林妍溱https://www.ithome.com.tw/news/151936
Nothing發表採用透明背殼Phone（1）手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在市場上覺得現在的手機都了無新意之際，於2020年才創立的Nothing便在本周二（7/12）<a href="https://www.youtube.com/watch?v=XDcl6CYY7-A" target="_blank">發表了一款擁有透明背殼的Phone（1）手機</a>，把背殼往上就是靜音，還能透過顏色來區分來電者，或是觀察電池容量，售價為399英鎊（新臺幣售價為13,900元），預計於7月21日上架。Nothing除了擁有中文版的官網之外，也將進駐臺灣市場，準備在7月22日透過PChome、ESLITE誠品書店及GQ Shop銷售。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-Nothing-phone(6)-PNG.png" style="text-align: center; width: 173px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nothing</span></span></p> <p>Nothing的創辦人為中國一加（OnePlus）手機的共同創辦人裴宇，其實Phone（1）並非Nothing的第一款產品，該公司先前即曾推出無線藍牙耳機ear（1）。</p> <p>Phone（1）採用6.55吋的彈性OLED顯示器，解析度為2400x1080，搭載高通Snapdragon 778G+處理器，配備5,000萬畫素的雙鏡頭，基於Android的Nothing OS，因採用鋁製邊框，重量僅有193.5公克，電池容量為4,5000mAh。</p> <p>它有黑色及白色兩個選項，有8GB記憶體+256GB儲存空間，以及12GB記憶體+256GB儲存空間等2種規格，售價分別是13,900元及15,900元新臺幣。</p> <p>裴宇強調Phone（1）是款非常均衡的手機，不管是效能、品質或相機都有良好的表現。Nothing也特別替透明背殼取名為Glyph Interface。</p> </div></div></div>
2022/7/14 09:33作者陳曉莉https://www.ithome.com.tw/news/151934
【資安日報】2022年7月13日，雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在近期的資安新聞裡，駭客利用雲端服務業者提供的伺服器與虛擬機器（VM）挖礦的攻擊行動，有越來越多的趨勢，而最近有一起事故相當特別，駭客竟是鎖定軟體開發自動化服務GitHub Actions，進而利用所搭配的Azure VM來挖礦。</p> <p>VMware最近修補了vCenter Server漏洞CVE-2021-22048引起關注，原因是這項漏洞公布後已經過8個月，且該公司只針對最新的7.0版vCenter提供修補程式。</p> <p>微軟也在7月12日發布每月例行修補（Patch Tuesday），其中有1個漏洞CVE-2022-22047，因已遭到駭客用於發動攻擊，而使得研究人員認為，使用者應優先著手安裝相關更新程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/unpacking-cloud-based-cryptocurrency-miners-that-abuse-github-ac.html"><span style="color: rgb(0, 0, 0);">雲端挖礦攻擊鎖定軟體開發自動化服務GitHub Actions下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptomine01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptomine01.png" style="width: 300px; float: right;" /></a>駭客鎖定雲端的應用系統與虛擬機器（VM）等運算資源，來進行挖礦的情況，使得資安業者提出警告。趨勢科技於7月7日揭露新的挖礦攻擊行動，駭客濫用持續整合（CI）工具GitHub Actions（GHA），並搭配Azure虛擬機器來進行挖礦，至少有上千個GitHub儲存庫與550組程式碼，與此攻擊行動相關。</p> <p>研究人員指出，駭客同時鎖定Windows與Linux的VM下手，這些虛擬機器的共通點在於，配置了2個處理器核心與7 GB記憶體。他們也從11個GitHub儲存庫裡，找到含有YAML指令碼的檔案，執行後將在VM上挖取門羅幣。研究人員發現，駭客疑似也在GitHub Marketplace上傳他們所使用的GHA，使得其他開發者也可能會受到波及。</p> <h3><strong style="font-size: 22px;"><a href="http://www.itxinwen.com/soft/20220711/96492.html"><span style="color: rgb(0, 0, 0);">辦公室軟體WPS Office傳出審核中國用戶檔案內容惹議</span></a></strong></h3> <p>根據中國新聞網站IT商業新聞網報導，有WPS Office用戶指控，該辦公室軟體疑似暗中對於使用者電腦的文件檔案進行審查，一旦發現有被中國政府視為敏感的詞彙，將會導致檔案無法使用。</p> <p>此消息一出引起中國網友恐慌，不只有人認為此舉侵犯使用者隱私，有文字工作者打算改用其他辦公室軟體，來避免自己的心血可能因此付之一炬。對此，金山軟件表示此起事件是有使用者線上檔案涉嫌違規，他們禁止其他人存取，進而被傳成刪除檔案。但金山的說法讓中國網友不禁質疑，該公司如何得知檔案違規？</p> <p><a href="https://tw.wpsoffice.com/article/569">臺灣總代理無敵科技也對此發出聲明</a>，強調臺灣用戶均使用在臺灣打包的繁體版本，並僅提供私有雲版本，所有連線均連線至企業客戶自行建置的文檔中心，並無內容檢查疑慮。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-now-lets-you-search-their-stolen-data"><span style="color: rgb(0, 0, 0);">繼勒索軟體駭客BlackCat建立受害者資料庫，LockBit也跟進</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客為了對受害組織製造更多壓力，他們開始對偷來的資料進行彙整，並提供搜尋功能讓其他駭客能進行運用，繼勒索軟體BlackCat開始採用這種手法後，很快就有其他組織跟進。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客LockBit將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p>該新聞網站指出，雖然LockBit只是提供搜尋受害組織名稱的功能，不若BlackCat外洩資料全文檢索強大，但其帶來的影響仍不能小覷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151880"><span style="color: rgb(0, 0, 0);">漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊</span></a></strong></h3> <p>外洩資料查詢平臺Have I Been Pwned（HIBP）於7月6日，將漫畫閱讀平臺Mangatoon於今年5月外洩的個資加入其資料庫。這批外洩的資料共有2,300萬名用戶的姓名、電子郵件帳號、社群網站帳號、性別等，甚至包含了加鹽密碼。但不論是經營HIBP的資安人員Troy Hunt，還是其他網友，試圖向Mangatoon通報都沒有得到回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151878"><span style="color: rgb(0, 0, 0);">專門銷售山寨版思科網路設備的美國男子被捕</span></a></strong></h3> <p>山寨版網路設備不只效能與功能不佳，還可能存在資安漏洞，使得執法單位決定大動作逮捕涉案人士來遏止歪風。美國司法部於6月29日，專門銷售山寨版思科設備的Onur Aksoy，該人在美國成立超過19家公司、於Amazon設立15家商店、也在eBay開設10家商店，來銷售冒牌的思科設備。</p> <p>Onur Aksoy引進的設備由中國不肖業者製造，他們將二手及停產的思科設備，偽裝成思科新款產品，並仿冒該公司的標籤、貼紙、文件，來進行銷售。不知情的買家取得後才發現設備效能、功能、安全性有問題，且經常故障，這名人士不只在美國，亦在其他國家銷售這些設備。美國於去年7月突襲Onur Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將他逮捕。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bridewellconsulting.com/cyber-security-in-cni-organisations-2022"><span style="color: rgb(0, 0, 0);">英國資安人員面臨工作壓力，恐出現離職潮</span></a></strong></h3> <p>隨著因烏克蘭戰爭而導致的網路威脅急速惡化，資安人員很可能難以再負荷不斷加重的工作壓力而選擇離職，使得企業面臨缺乏相關人力的窘境。網路安全服務業者Bridewell近期針對521名國家關鍵基礎設施（CI）的決策者進行調查，結果顯示9成5考慮在1年內離開現職，其中最主要的2個原因，分別是網路攻擊可能會影響他們的職業生涯，但相關攻擊卻越來越無法避免（42%)，其次就是此職務的壓力已嚴重影響他們的個人生活（40%）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-vcenter-server-flaw-disclosed-in-november/"><span style="color: rgb(0, 0, 0);">VMware針對去年11月揭露的vCenter漏洞，在8個月後才為部分版本提供更新程式</span></a></strong></h3> <p>資安業者CrowdStrike於去年11月，揭露VMware vCenter Server權限提升漏洞CVE-2021-22048，但VMware直到8個月後，才開始對於部分版本提供更新程式。CVE-2021-22048與該系統提供的整合式Windows身分驗證（IWA）有關，不僅影響6.5、6.7、7.0等多個版本的vCenter Server，也可能波及混合雲平臺Cloud Foundation。</p> <p>該公司於7月12日發布了vCenter Server 7.0 Update 3f，來修補這項漏洞。而針對vCenter Server 6.5、6.7版用戶，該公司則建議依照先前提供的漏洞緩解指南，將單一簽入（SSO）的組態從IWA移轉為透過LDAP身分驗證的AD目錄架構。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151918"><span style="color: rgb(0, 0, 0);">微軟發布7月份例行修補公告，揭露84個漏洞的緩解方法</span></a></strong></h3> <p>微軟於7月12日發布每月例行修補（Patch Tuesday），本次總計修補84個資安漏洞，當中有4個為重大（Critical）漏洞。但這些漏洞最引起各界關注的是CVE-2022-22047，此為已遭到駭客利用的漏洞，與用戶端/伺服器執行時期子系統（Client/Server Runtime Subsystem，CSRSS）有關，攻擊者一旦成功利用此漏洞，就有可能取得SYSTEM權限，使得研究人員呼籲使用者應優先修補這項漏洞。而在本月微軟處理的漏洞中，還有CVE-2022-22026與CVE-2022-22049也和CSRSS有關，亦屬重要層級的漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/12/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補CSRSS零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sygnia.co/luna-moth-false-subscription-scams"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth假借提供軟體訂閱服務的名義，入侵受害組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/reports/open-source-security/"><span style="color: rgb(0, 0, 0);">Java專案有2%存在Log4Shell漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151895"><span style="color: rgb(0, 0, 0);">微軟Windows Autopatch服務正式上線</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151907">【2022年7月12日】勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</a></p> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151858">【2022年7月8日】駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的AWS S3儲存桶不設防</a></p> </div></div></div>
2022/7/13 17:26作者周峻佑https://www.ithome.com.tw/news/151927
NCC 5G專網專用頻段管理辦法出爐! 企業申請專用頻譜有譜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內開放5G專頻專網有新進展。NCC今天（7/13）公布行動寬頻專用電信網路設置使用管理辦法，包括申請者資格、審查方式、頻率使用費計算方式等，供企業或機構申請專用頻譜，以建置5G專網（private network）。接下來NCC將舉行公開說明會，按照一般法案制定程序作業，但何時開放申請尚有變化，未來數位發展部成立，因頻譜釋照業務移交給數發部，外傳數發部8月掛牌，何時開放申請需視數位發展部進一步確定。</p> <p>根據管理辦法，5G專頻專網依用途分為兩大類，一是公共服務網路，二是自用網路，其中的公共服務網路指用於急難救助、公共使用或其他公共服務使用的網路，例如警消、災防、醫療救護、鐵路、捷運、電力等等，自用網路則是前者以外，自己專用的電信網路。</p> <p>申請者的資格，包括設置專網的場域土地或建物的所有人、使用人或管理人，換言之，不論是否為土地或建物的所有人，使用人也可提出申請，至於管理人則限定為政府機構或政府機關的委託者。申請者或設置者不得為陸資投資事業。</p> <p>申請的業者應自建專網，包括委託其他業者協助建置專網，但不同設置者所設置的專網不可相互連接。</p> <p>由於建置5G專網的核心網路費用相當高，例如建置大型的核心網路費用高達上千萬元，即使是微型的核網也要百萬元，考量到中小企業的負擔，開放可組合他人的核心網路，降低專網建置的負擔，再利用網路切片技術給不同專網使用。</p> <p>為了區分專用網路與公用網路，原則上，不得透過該核網與其他人建置的電信網路介接，但是在公共利益等特殊的情形之下，例如天災救援需要，可連接電信網路。</p> <p>另外，專網應具備端點以連接雲端服務，但需以個案審查通過才能進行，且網路建置計畫需說明連接需端服務的應用情境、端點需具備控管連接需雲端服務功能的說明等等。</p> <p>建置專網使用基地臺，需依管理辦法規定，取得基地臺的型式認證合格，為避免干擾其他無線頻譜，還需提出頻率干擾協議書。NCC表示，考慮到智慧工廠靈活調整產線需要，業者變更專網內的基地臺設置，只要線上登記資料即可。</p> <p>另外，業者不論建置公共服務網路是自用網路，頻率使用證明都是10年，到期可申請換照。NCC說明，其他國家的5G專網頻率使用證明介於2到5年，德國則是10年，臺灣考慮到中小企業的負擔，建置專網攤提成本，因此設定為10年。</p> <p>需注意的是，業者建置網路需一併提供資通安全維護計畫，公用網路設置者採核准制，但適用資通安全管理法的建置者不需提供，上市或上櫃公司的自用網路採核准制，非上市或上櫃公司則是備查制。</p> <p>另外，業者申請專用頻段，除了申請費之外，使用無線頻段還需支付頻率使用費，NCC也公開頻率使用費的計算公式，想申請的企業或機構可先試算評估，計算公式參照3.5GHz頻譜使用的單位成本，每MHz頻率、1平方公里的使用費為1,360元，還需依主管機關指配的頻寬多少，以及場域型態調整係數、場域面積調整係數、區域調整係數、網路用途調整係數、年度調整係數，最後算出頻率使用費高低。</p> <p>根據NCC的統計，目前國內5G POC實驗案件累計有42件，其中28件為n79頻段（4.8到4.9GHz頻段），至於非n79案件則有14件。未來管理辦法正式上路後，正在實驗n79頻段的業者可望提出專用頻譜使用申請。</p> </div></div></div>
2022/7/13 19:28作者蘇文彬https://www.ithome.com.tw/news/151933
首批NIST認可的PQC演算法出爐，美CISA建議即刻做好六大準備
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_shou_pi_guan_fang_ren_ke_de_pqcyan_suan_fa_chu_lu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後量子密碼學（PQC）標準今年邁入新里程，相關發展，可回溯至2016年舉行的密碼學競賽，由美國國家標準暨技術研究院（NIST）發起這活動，從82個提交演算法選出69個，之後歷經6年、三輪的競賽，今年<a href="https://csrc.nist.gov/Projects/post-quantum-cryptography/selected-algorithms-2022">7月5日終於公布第一批確認名單</a>。</p> <p>目前有4個演算法將進入標準化程序，包括：在公鑰加密與金鑰建立（Public-Key Encryption/Key-Establishment Mechanisms，簡稱PKE/KEMs）項目中，有1個演算法獲選：CRYSTALS-Kyber，而在數位簽章項目，有3個獲選，包括：CRYSTALS-Dilithium 、 FALCON、SPHINCS+，將成為後量子密碼標準的一部分。</p> <p>同時，目前NIST已經公布<a href="https://csrc.nist.gov/Projects/post-quantum-cryptography/round-4-submissions">PKE/KEMs項目，進入第四輪的演算法候選名單</a>，第二批確認名單在未來一年半內出爐，預計2024年標準將正式發布。</p> <h3><strong>NIST推薦兩種主要演算法，並期望多納入不同數學方法</strong></h3> <p>由NIST發起的PQC後量子密碼學標準化競賽，簡而言之，就是一項對於公鑰密碼系統的考驗，目的就是選出可以抵抗量子電腦威脅（Quantum-Resistant）的密碼學系統，成為新一代安全標準。也就是說，要選出不管傳統電腦或量子電腦都難以解決的數學問題，以保護現在與未來的安全。</p> <p>根據原本的時程規畫，標準化過程在進入第三輪後，今年1月底就能有初步結果，從7個候選者與8個備選者名單中，選定第一批先納入標準的演算法，不過，NIST晚了近半年才做出決定，終於在7月初公布確認名單。</p> <p>對於這些演算法能夠雀屏中選的原因，NIST提出簡單的<a href="https://csrc.nist.gov/News/2022/pqc-candidates-to-be-standardized-and-round-4">說明</a>。基本上，NIST推薦兩種為主要演算法，分別是金鑰建立項目的CRYSTALS-Kyber，以及數位簽章項目的CRYSTALS-Dilithium。</p> <p>以用於加密的PKE/KEMs項目而言，CRYSTALS-Kyber屬於相對小型的加密金鑰，可方便交換且執行快速。</p> <p>而在數位簽章項目中，CRYSTALS-Dilithium與上述Kyber相當，兩者同樣具有高安全性且效能出色，並預期能在大多數應用程式中順利運作。還有兩個數位簽章項目的演算法，也會進入標準化的階段，其中FALCON雖然可能無法在所有設備上運作，但可適用於需要比CRYSTALS-Dilithium更小的簽章應用；SPHINCS+從敗部候選者脫穎而出，雖然比起其他兩個更大且速度稍慢，卻是很有價值的備案，因為上述前3種演算法都是基於網格密碼學（Lattice-based），而SPHINCS+採用的數學方法完全不同，是採雜湊密碼學（Hash-based），以避免依賴於網格密碼學的數學方法。</p> <p>同時，NIST說明將分兩階段來宣布其確認名單。除了上述第一批演算法，NIST在7月3日亦公布<a href="https://csrc.nist.gov/Projects/post-quantum-cryptography/round-4-submissions">第四輪決賽名單</a>，將在PKE/KEMs項目，避開基於網格密碼學的演算法，從BIKE、Classic McEliece、HQC與SIKE中，再選出CRYSTALS-KYBER之外的演算法納入標準，預期會在接下來一年半內公布結果。</p> <p>NIST解釋，在現實場景中，有不同的系統與任務需要使用加密，因此，要建立一個有用的標準，為不同情況設計提供解決方案，並且要能使用不同的加密方法，並為每個使用情況提供一個以上的演算法，以防單一演算法被證明有漏洞，也能有其他安全的選擇。</p> <p>事實上，儘管基於網格密碼學的演算法最為主流，但NIST已經多次表示，希望確保另一種演算法可使用，以防後續在網格密碼學出現突破性進展，發現新的攻擊面的狀況，同時，他們也推廣密碼敏捷性（Crypto-agility）的概念，目的是要讓新的演算法有辦法能快速導入一個安全系統當中。畢竟，雖然現在這些進入確認名單的演算法，經過專家多年來仔細研究證明足夠安全，但仍難以確保絕對不會被破解。</p> <p>就現階段來看，NIST鼓勵資安專家現在就可以著手研究這些新的演算法，同時思考如何嵌入自身的應用，但暫時先不要正式部署，因為在他們成為正式標準之前，可能還會有些微變更。</p> <p>另一方面，NIST為使數位簽章組合多樣化，這次還額外公布一項新的提案，將徵選短簽名與快速驗證的演算法，提交最後時程在2023年6月1日。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%A6%96%E6%89%B9NIST%E5%AE%98%E6%96%B9%E8%AA%8D%E5%8F%AF%E7%9A%84PQC%E6%BC%94%E7%AE%97%E6%B3%95%E5%87%BA%E7%88%90.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E9%A6%96%E6%89%B9NIST%E5%AE%98%E6%96%B9%E8%AA%8D%E5%8F%AF%E7%9A%84PQC%E6%BC%94%E7%AE%97%E6%B3%95%E5%87%BA%E7%88%90.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><strong>對於目前NIST公布的首批PQC標準化名單，值得留意的是，密碼學專家Daniel J. Bernstein在7月6日<a href="https://twitter.com/hashbreaker/status/1544456469038645248">提出看法</a>，提及NIST在第三輪時即關注專利問題，然而，卻在宣布選擇CRYSTALS-Kyber前尚未完成專利買斷，認為這可能讓專利持有者有更大權利優勢，甚至指出NIST談判專家表示，若在2022年底前沒有簽署協議，可能會考慮轉用同為基於網格密碼學（Lattice-based）的NTRU。（圖片來源／擷取自</strong></span>Daniel J. Bernstein's Twitter<span style="color:#696969;"><strong>）</strong></span></p> <h3><strong>美國政府已要求組織著手規畫轉換，並發布相關指引</strong></h3> <p>不論如何，隨著量子運算的發展，公鑰密碼系統全面撤換已成大勢所趨。</p> <p>雖然這是NIST為美國制訂的標準，但其影響也將形成全球的標準，臺灣企業也應留意並作好準備。</p> <p>面對標準演算法的轉換，以及硬體設備與中介軟體升級，近期有許多密碼學專家已開始呼籲政府、組織與企業重視，建議大家可以先盤點已使用公鑰密碼系統的部分。</p> <p>臺灣亦有資安廠商關注此一發展，並在NIST此項結果發布之前就先行做好準備。例如，本月5日，硬體安全模組業者匯智安全科技宣布，他們的商用硬體安全模組平臺kvHSM，已可成功執行SPHINCS+數位簽章演算法，而在HSM內提供密碼服務的安全晶片平臺上，也成功實作CRYSTALS-Kyber （加密與密鑰封存），以及CRYSTALS-Dilithium（數位簽章），之所以能馬上公布成果，原因在於該公司數年前即投入後量子密碼演算法實作。</p> <p>對於現階段臺灣企業及組織的因應準備工作，匯智安全科技該公司董事長暨臺大數學系兼任助理教授陳君明表示，NIST出版的文獻一向有高度參考價值，在NIST旗下<a href="https://www.nccoe.nist.gov/crypto-agility-considerations-migrating-post-quantum-cryptographic-algorithms">NCCoE</a>的PQC專案中，將提供最多且最完整的實務作法，是國內可以參考的重要資源。</p> <p>美國政府在這方面的行動，也很迅速。5月4日美國總統拜登正式簽署第10號國家安全備忘錄，簡稱為<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/04/national-security-memorandum-on-promoting-united-states-leadership-in-quantum-computing-while-mitigating-risks-to-vulnerable-cryptographic-systems/">NSM-10</a>，當中對於國家量子技術發展提出了多項指示，當中就有一個面向，是要求聯邦政府遷移到基於後量子密碼學的系統，同時，NIST與CISA也將負責相關任務，要求個別機構在一年時間內，盤點使用公鑰密碼系統的聯邦系統與資產。</p> <p>如今，隨著NIST第一批標準化演算法出爐，美國<a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/05/prepare-new-cryptographic-standard-protect-against-future-quantum">CISA亦於7月5日發布相關公告</a>指出，雖然後量子密碼學標準在2024年才會正式發布，供商業產品使用，但CISA與NIST強烈建議，組織現在就應該依照後量子密碼學發展藍圖，為公鑰密碼系統的轉換與過渡進行準備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E9%A6%96%E6%89%B9NIST%E5%AE%98%E6%96%B9%E8%AA%8D%E5%8F%AF%E7%9A%84PQC%E6%BC%94%E7%AE%97%E6%B3%95%E5%87%BA%E7%88%90.jpg" style="width: 280px; float: right;" /></p> <p>CISA提供了六大建議作法：第一，在組織中找出使用公鑰密碼系統的系統；第二，可在實驗環境測試新的後量子密碼學標準，但應該等到標準正式發布後，才實施於生產環境；第三，應制定組織系統轉換為新加密標準的計畫，包括進行相依性分析、淘汰新標準發布後不受支持的老舊技術，以及確保對採用新標準產品的驗證與測試；第四，建立有關後量子密碼學的獲取政策，過程中應包含為過渡設定新的服務水準，以及對供應商進行調查，以確認能否整合到組織路線圖，並確認所需的基礎技術；第五，提醒組織內的IT部門與供應商即將面對此一過渡；第六，教育員工面對針對即將到來的過渡，並提供任何適用的培訓。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/pqc">PQC</a></div><div class="field-item odd"><a href="/tags/nist">NIST</a></div><div class="field-item even"><a href="/tags/%E5%BE%8C%E9%87%8F%E5%AD%90%E5%AF%86%E7%A2%BC%E5%AD%B8%E6%A8%99%E6%BA%96%E5%8C%96%E7%AB%B6%E8%B3%BD">後量子密碼學標準化競賽</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E9%91%B0%E5%AF%86%E7%A2%BC%E7%B3%BB%E7%B5%B1">公鑰密碼系統</a></div><div class="field-item even"><a href="/tags/%E6%8A%97%E9%87%8F%E5%AD%90%E7%A0%B4%E8%A7%A3">抗量子破解</a></div></div></div>
2022/7/13 16:20作者羅正漢https://www.ithome.com.tw/tech/151925
紅帽CEO將換人，由原產品與技術掌門人Matt Hicks接任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽今日（7/12）宣布<a href="https://www.redhat.com/en/about/press-releases/red-hat-names-matt-hicks-president-and-chief-executive-officer?sc_cid=701f2000000tyN6AAI">重大人事異動</a>，將任命紅帽產品與技術執行副總裁Matt Hicks為新任總裁暨執行長，Matt Hicks將接替現任執行長Paul Cormier職務，帶領這家公司持續推動混合雲及邊緣運算戰略。至於Paul Cormier卸下執行長職務後，未來將擔任紅帽董事長一職。</p> <p>2006年加入紅帽的Matt Hicks，從IT部門開發人員做起，後來更進到開發團隊負責核心產品開發，也是最早開發出Red Hat OpenShift混合雲產品的核心成員之一，到2020年時，紅帽雲端戰略開始轉變，從多雲混合雲跨入邊緣新戰場，他接下產品和技術執行副總裁一職，開始主導紅帽混合產品未來發展方向，要讓其產品能通吃混合雲與邊緣。</p> <p>在今年紅帽高峰會上，Matt Hicks更是執行長Paul Cormier以外登臺時間最久的高階主管，他在整場大會上，不只回顧紅帽開源使命，更揭露該公司下一階段產業邊緣運算布局，不只是搶進電信業，更要進軍汽車產業，與通用汽車聯手，要把紅帽作企業級作業系統RHEL帶進汽車上。</p> <p><a href="https://www.ithome.com.tw/news/151604">今年6月下旬接受iThome專訪時</a>，Matt Hicks點出了未來紅帽混合雲邊緣新戰略，即使這場專訪是在任命他為新任CEO之前，但從他當時談話中，也能反映出他對這家公司未來發展與期待。他表示，未來將把企業級Linux，打造成為一個值得信賴、標準的汽車作業系統平臺，可供汽車產業在這個基礎上建構自己的汽車應用，不只提供完整生命周期更新，未來還要把企業和雲端應用中許多實踐帶進車輛。在接任CEO後，在Matt Hicks領軍下，可以想見，除了混合雲產品，未來將會有更多與車廠相關合作及邊緣產品推出。</p> <p>在紅帽當了2年CEO的Paul Cormier，卸下執行長一職後，之後將轉任紅帽董事長，並以核心顧問身份協助公司持續擴大規模和加速客戶採用開源技術，以構建開放式混合雲架構。Matt Hicks和Paul Cormier兩人之後皆直接向IBM董事長暨執行長Arvind Krishna負責。</p> </div></div></div>
2022/7/13 16:22作者余至浩https://www.ithome.com.tw/news/151926
微軟揭露鎖定Office 365用戶且可繞過多因素認證的大規模網釣活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/" target="_blank">微軟本周指出</a>，從2021年9月迄今，至少1萬個組織成為中間人（Adversary-in-The-Middle，AiTM）網釣攻擊的目標，且駭客主要鎖定Office 365用戶。由於駭客不僅竊取了使用者的密碼，也挾持了使用者的登入期間，因而也能繞過雙因素身分認證（Multi-Factor Authentication，MFA）機制。</p> <p>駭客先是寄送了網釣郵件，將使用者導至AiTM網釣頁面，進而竊取使用者的憑證與期間Cookie，隨之駭客即利用所取得的憑證及登入期間權限，以受害者的郵件帳號展開商業電子郵件（BEC）詐騙。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/07/Figure1-overview-of-aitm-phishing.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟描述了AiTM網釣活動的細節，指出駭客在使用者與所要造訪的目標網站之間部署了一個代理伺服器（網釣網站），當駭客以網釣郵件誘導使用者造訪目標網站時，代理伺服器便充當中間的橋梁，使得該代理伺服器得以取得使用者所輸入的密碼，以及使用者與目標網站之間建立的登入期間Cookie。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/07/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>除了網址之外，該網釣網站幾乎與目標網站一模一樣，而讓使用者難以察覺。微軟強調，此一攻擊無關使用者所採用的登入機制，亦非MFA機制的安全漏洞，僅僅是因為駭客挾持了使用者的登入期間，而能以使用者的身分運作。</p> <p>此外，這些網釣活動顯然是鎖定Office 365用戶，因為駭客所打造的冒牌網站就是偽裝成Office的線上認證頁面。</p> <p>根據微軟的分析，最快的攻擊行動在盜走憑證及期間Cookie的5分鐘之後，便展開了BEC詐騙。</p> <p>微軟建議組織可啟用條件式存取政策，部署更先進的防網釣解決方案，或是持續偵測可疑與異常行為，抑或是使用Microsoft 365 Defender來對抗AiTM網釣攻擊。</p> </div></div></div>
2022/7/13 16:00作者陳曉莉https://www.ithome.com.tw/news/151924
華碩打造永續供應鏈管理平臺，改採系統化管理和評估關鍵供應商永續風險程度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣PC品牌大廠華碩電腦（Asus）近日公布最新一份<a href="https://csr.asus.com/chinese/article.aspx?id=61">2021年永續報告書</a>，這也是華碩去年擬定新的2025永續戰略後所發布第一份年度報告書，從這份報告書中，可以一窺這家公司過去一年永續推動新進展，不只全面完成營運據點溫室氣體盤查，更開始引進數位化管理機制，來評估現有供應商的風險情況，未來還要導入AI、大數據，讓風險預測更早一步。</p> <p>早從2000年，華碩內部就成立永續部門，將永續納入營運決策的一環，來促進創新與成為更好地企業，不僅如此，為了貫徹永續經營，該公司更在2015年時設立首位永續長，負責往後公司整體永續策略發展與推動，除了為筆電產品提供量化碳足跡和碳中和承諾，2019年更將永續從內部擴大延伸到外部供應鏈。每年CSR報告名稱也修改為永續報告。</p> <p>華碩在2020年更擬定未來5年永續戰略，採取數據化衡量、科技化管理方式，作為下一階段永續發展策略，並聚焦循環經濟、責任製造、氣候行動與價值創造等四大面向，來持續推動永續策略與目標。</p> <p>華碩電腦董事長施崇棠更承諾，臺灣營運在2030年、全球2035年達成100%使用再生能源的目標，未來更要藉由減量路徑、投資創新技術，移除剩餘的排放量等三階段步驟，建構華碩氣候行動，逐步推動整個價值鏈邁向淨零。</p> <h3><strong>供應鏈是華碩最主要的溫室氣體排放源</strong></h3> <p>根據華碩提出的未來5年永續發展目標，包含2025年供應鏈減碳30％以及提高一半綠色產品營收占比等。長遠來看，更以達成2030年碳排減半、2050邁向淨零為目標。</p> <p>隨著碳排放已成為企業永續發展的關鍵字，華碩每年都會進行溫室氣體盤查，從例年環境足跡調查累計逾10萬筆數據分析發現，供應鏈是最主要的溫室氣體排放源，尤其是九大類關鍵零件製造商的排放量就占了整體9成以上，包括面板、主機板、IC、線材、電源供應器、機構件、鍵盤、電池、硬碟，以及組裝代工廠。若以碳排量為例，供應鏈也是所有類別碳排中占最多，高達7成。</p> <p>為了落實永續採購，減少供應商碳排足跡，華碩除了透過繪製關鍵零件排放熱點、減碳路徑等方式，引導供應商持續改進外，去年在永續供應鏈管理上，更引進IT來加以改善，先從流程改造做起。</p> <p>尤其，針對供應鏈管理，華碩內部有一套風險分級管理評估流程，包含新供應商承認、持續風險管理、及績效評估三個階段。但過去不論是供應鏈調查資訊蒐集、數據淨化或報告製作，皆採用人工作業，很沒有效率。</p> <h3><strong>導入系統化來評估和管理關鍵供應鏈永續風險</strong></h3> <p>為此，華碩IT團隊去年建置一個永續供應鏈平臺，希望藉由導入系統化方式管理關鍵供應商永續發展，做好風險控管。該平臺將花4年分階段來執行，從2021年到2025年完成。</p> <p>華碩表示，在2023年前完成平臺建置後，初期將搭配系統性分析方法，分析歷年供應鏈管理數據，先建立風險指標與風險關聯性，用於供應商永續風險評估，協助篩選出有高風險供應商加以改進。</p> <p>下一步還要結合AI、大數據建立風險預測模型，以便能夠及早預測風險落點，持續優化供應商風險評估流程。該平臺啟用後，未來將作為華碩對外部供應商溝通的正式管道，透過平臺進行零件與成品的合規承認與供應鏈調查資訊蒐集。</p> <p>華碩指出，透過這套平臺，將來能夠長期分析供應商的ESG績效數據，迅速找出潛在的供應商風險因子，一來減少新供應商導入時的評估作業程序；二來也能將管理資源投入在高風險供應商稽核與缺失改善。除了導入系統化管理，華碩已取得ISO 20400認證，將永續管理納入供應鏈採購程序。</p> <p dir="ltr" id="docs-internal-guid-1797760a-7fff-6fb8-5891-29269978b30c">除了建置數位化永續供應鏈平臺，在產品能耗管理上，華碩IT團隊也有打造一個產品能耗管理平臺，可供產品設計或研發人員持續監控及優化核心產品能源效率，減少能源消耗排放的溫室氣體。</p> <p>在2021永續報告書中，華碩也揭露不少ESG管理作為與成果。像是營運方面，完成全球營運據點溫室氣體盤查與第三方查證工作。在供應鏈方面，則有建立溫室氣體盤查指引，可供上下游供應商來依循，並完成9類關鍵製程排放熱點鑑別，以及線上永續授課等。</p> <p>在永續產品上，新款商務及家用筆電能耗平均皆優於國際標準3成以上。綠色產品營收占比較去年提高65.1%，並達成一整年全球產品回收率11.4%，以及環境友善材料使用較2020年成長21%的目標。</p> <p>在永續推動發展上，華碩依據GRI Standards 2021標準流程，來加以歸納出對於公司及外部環境、經濟及人有重大衝擊的6項重大性主題，用來規畫短、中、長期的永續發展策略，包括循環經濟、氣候行動、責任製造、創新產品及服務、人才培育、科技業的社會貢獻。並每兩年重新鑑別流程，定期檢核議題的衝擊性。</p> </div></div></div>
2022/7/13 15:00作者余至浩https://www.ithome.com.tw/news/151923
推特控告馬斯克，要他依約完成收購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼馬斯克上周預告放棄收購後，推特（Twitter）周二（7/12）正式向法院控告馬斯克違約，要求執行合約義務並完成收購。</p> <p><a href="https://twitter.com/paraga/status/1546965897574621184" target="_blank">推特董事長Bret Taylor也公告</a>，公司已向德拉威州衡平法院提出告訴，要求馬斯克負起他的合約義務。</p> <p><a href="https://www.documentcloud.org/documents/22084462-twitter-v-elon-musk-complaint?responsive=1&title=1" target="_blank">根據這家社群平臺提交的訴訟文件指出</a>，馬斯克拒絕履行對推特和其股東的義務，因為這合約已經不符合他的個人利益。推特指出，馬斯克以為他可以隨意改變心意、糟蹋推特、干擾其運作、破壞股東價值，在馬斯克一連串違約行為傷害推特及其業務後，公司提起告訴是為了防止他進一步違約，並迫使他盡法務義務，完成合併交易。</p> <p>這樁鬧劇源起於馬斯克5月中質疑，推特公開財報中的假帳號比例名不符實，實則遠高於5%。他4月中高分貝以每股54.2美元，總價440億美元收購推特，並計畫下市以「建立言論自由平臺」。5月中他指責推特始終不配合或無法提供他要的資料，以致於無法驗證假帳號比例，並從6月初揚言終止收購。</p> <p>根據法院文件，推特相信馬斯克其實是基於市場經濟衰退，而使這樁交易不那麼吸引人，才想打退堂鼓。而且馬斯克無所不用其極想證明，推特對主管機關和投資人做了業務的不實陳述，並指稱假帳號調查結果關乎他募資能力及合併案能否完成。推特直指馬斯克的退出策略既虛偽又惡意。</p> <p>推特表示，馬斯克因為市場開始反轉而後悔，過程中多次違約，包括違反其財務義務、違背提供募資進度資訊的義務、和不貶損欲收購公司的義務，同時也未能盡必要之力完成收購。</p> <p>馬斯克對推特行動則極盡嘲諷之能事。<a href="https://twitter.com/elonmusk/status/1546344529460174849" target="_blank">他本周稍早先是貼出4格大笑圖片</a>，暗示推特之前不希望他買推特，也不願公開假帳號資訊，現在不但想藉打官司強迫他買下，還得自己完全揭露假帳號資訊。<a href="https://twitter.com/elonmusk/status/1546980241494745100" target="_blank">他昨日最新一則貼文說</a>，真的很諷刺。</p> <p><a href="https://www.washingtonpost.com/technology/2022/07/12/twitter-elon-musk-lawsuit/" target="_blank">媒體相信</a>，在德拉威的小型法院中，將上演近年最具爭議性的史詩級企業官司。</p> <p><a href="https://www.theverge.com/2022/7/10/23202931/elon-musk-lawsuit-twitter-merger-delaware" target="_blank">媒體報導</a>，推特法務團隊中有一名擁有德拉威州法院20年法官經驗的律師。此外推特為打這場官司，剛聘請了曾在三星與蘋果官司中，代表三星的企業律師事務所Quinn Emanuel Urquhart & Sullivan 。</p> </div></div></div>
2022/7/13 13:36作者林妍溱https://www.ithome.com.tw/news/151920
駭客冒充梅克爾向歐洲央行主席發動釣魚簡訊攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://apnews.com/article/technology-angela-merkel-european-central-bank-4cd599a7502d9617a401155abf054502" target="_blank">美聯社</a>及<a href="https://www.reuters.com/technology/ecbs-lagarde-is-targeted-cyber-attack-2022-07-12/" target="_blank">路透社</a>報導，歐洲中央銀行主席Christine Lagarde近日收到不明人士冒充德國前總理梅克爾發送的釣魚簡訊，企圖以社交工程騙取重要密碼。所幸她保持警覺而未使詭計得逞。</p> <p>歐洲央行對媒體證實這項報導，但央行說行動已經被識破且制止，沒有任何資訊外洩情形。而央行也因在調查階段不願進一步說明細節。</p> <p>消息人士透露，事情是發生在最近，Lagarde接到一則疑似發自德國前總理梅克爾（Angela Merkel）手機的簡訊，要求要以WhatsApp與之聯繫機密事情，因此要她提供驗證碼，以便幫她開個綁手機號碼的WhatsApp帳號。</p> <p>Lagarde於是親自打電話給梅克爾確認此事，因而拆穿了詭計。一旦她將驗證密碼傳給對方，Lagarde的WhatsApp或其他社交網站帳號就可能被盜取，而用於針對其他政治人物的社交工程攻擊。</p> <p>路透社報導，德國情報單位及聯邦資訊安全局已向德國國會議員警告，這波攻擊近日展開，但未說明遭到攻擊的對象。</p> <p><a href="https://www.ithome.com.tw/news/140727" target="_blank">兩年前歐盟也發現</a>，俄羅斯情報總局的駭客曾駭入多名議員與梅克爾的電郵信箱，還盜走了大量的資料。俄烏戰爭後情勢可能更嚴峻。例如，<a href="https://www.ithome.com.tw/news/149698" target="_blank">安全廠商發現</a>，國家駭客疑似駭入烏克蘭軍方高層郵箱，向提供協助的西方國家政府官員發動精準釣魚攻擊。</p> </div></div></div>
2022/7/13 14:13作者林妍溱https://www.ithome.com.tw/news/151921
逾500個組織的執行長督促美國更新K12課程，以加強電腦科學教育
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門推動電腦科學教育的非營利組織Code.org，近日號召了超過500家企業及組織的執行長，<a href="https://www.ceosforcs.com/" target="_blank">共同連署以督促美國更新K12（幼稚園之後到12年級）的課程，強化電腦科學教育</a>，以讓每個學校的學生都有機會學習該領域的知識，包括Amazon執行長Andy Jassy、蘋果執行長Tim Cook、微軟執行長Satya Nadella及Meta執行長Mark Zuckerberg都在連署名單內。</p> <p>Code.org表示，此一呼籲同時受到了家長、學生、老師及企業主的廣大支持，因為電腦科學提供了各領域的重要基礎，不僅是科技領域的職業生涯，甚至關乎現代社會的所有職業，根據許多不同的研究，曾學習電腦科學的學生，不管是在學校或其它方面的表現都相對出色。</p> <p>此外，當每個產業都受到數位科技的影響時，學校應該教導學生各種技術的運作，讓他們學習如何當一個創作者，而不只是消費者，然而，目前相關的技能只有少數幸運的學生可獲得，大多數的學生、特別是年輕女性及有色人種多被忽略。</p> <p>Code.org強調，在美國領導全球科技之際，只有5%的中學生學習電腦科學，這是不成比例的，美國發明了電腦、網路及智慧型手機，有責任讓下一代替新的美國夢作好準備。</p> <p>COVID-19疫情改變了教育的方式，也應讓電腦科學成為新常態。在疫情時代，大多數的學生都擁有筆電以在家上課；而遠端工作也讓各州的畢業生未來不必再離開家鄉，就能追求與科技相關的職業；美國有接近2/3的技術移民簽證給了電腦科學家，且幾乎每個州都需要這類的人才，代表美國更應教育當地的學生以加強相關的競爭力。</p> <p>除了上述之外，網路攻擊亦讓培育電腦科學人才成為政府與企業的當務之急，至此它已涉及國家安全。</p> <p>簽署該呼籲的各大企業或組織的執行長們，除了認同Code.org的看法及理念之外，也承諾將替這些由美國自行培育的電腦科學人才建立不同領域的工作機會，從製造業、金融業、農業到健康照護等，並協助學生找到他們的職業道路。</p> </div></div></div>
2022/7/13 13:24作者陳曉莉https://www.ithome.com.tw/news/151919
微軟Patch Tuesday修補84個漏洞，有一個已被開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於周二（7/12）展開的Patch Tuesday總計修補了84個安全漏洞，當中只有4個被列為重大（Critical）漏洞，允許遠端程式執行，另有一個已被駭客開採的零時差漏洞CVE-2022-22047。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22047" target="_blank">CVE-2022-22047</a>漏洞位於客戶端/伺服器端執行時子系統（Client/Server Runtime Subsystem，CSRSS），為一權限擴張漏洞，成功開採將允許駭客取得系統（SYSTEM）權限，並已遭駭客開採。雖然CVE-2022-22047僅被列為重要（Important）漏洞，但資安專家仍建議微軟用戶應優先修補。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22047" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-22047.png" style="width: 326px;" /></a></p> <p><a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review" target="_blank">趨勢科技旗下的Zero Day Initiative（ZDI）團隊指出</a>，CVE-2022-22047通常會搭配程式執行漏洞使用，諸如藉由特製的Office或Adobe文件來接管受害者系統，這也是為什麼許多人聽到微軟延後封鎖所有Office巨集的消息，會感到心灰意冷。</p> <p>其實本月微軟還修補了其它兩個Windows CSRSS的安全漏洞，分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22026">CVE-2022-22026</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22049">CVE-2022-22049</a>，亦皆屬重要漏洞。</p> <p>至於4個重大漏洞中，CVSS風險評分達8.8的是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30221" target="_blank">CVE-2022-30221</a>，它藏匿在Windows圖形元件中，駭客只要說服使用者連向一個惡意的RDP（遠端桌面協定）伺服器，就能開採該漏洞並於受害系統上執行程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30221" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-30221.png" style="width: 468px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22038" target="_blank">CVE-2022-22038</a>則出現在遠端程序呼叫執行（Remote Procedure Call Runtime），雖然它是個遠端程式執行漏洞，但相關攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功開採，CVSS風險評分為8.1。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22038" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-22038.png" style="width: 505px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22029" target="_blank">CVE-2022-22029</a>為Windows網路檔案系統（Network File System，NFS）的遠端程式執行漏洞，完全不需要使用者的互動就能展開攻擊，但只要採用預設的配置或設定，便可減輕遭到開採的嚴重性。CVE-2022-22039亦為NFS漏洞，駭客只要透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22029" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-22029.png" style="width: 514px;" /></a></p> <p>除了上述的重大漏洞與零時差攻擊漏洞之外，ZDI團隊點名了<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30216" target="_blank">CVE-2022-30216</a>，這是Windows Server Service的竄改漏洞，該漏洞允許一個已經授權的駭客上傳惡意憑證，代表駭客得以上傳自己的憑證以從事各種活動，包含程式執行，儘管這只是個重要漏洞，但微軟認為它很可能被開採，也讓ZDI建議使用者應儘速測試及部署其修補程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-30216.png" style="width: 385px;" /></a></p> </div></div></div>
2022/7/13 11:32作者陳曉莉https://www.ithome.com.tw/news/151918
統一超商進一步揭露會員戰略目標，今年要吸引960萬名活躍用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商（以下簡稱統一）近日公布了2021年永續報告書，也揭露Open Point會員的今年目標，要達到960萬人活躍會員的規模。在去年完成旗下各品牌的帳號整合之後，統一不再像過去追求會員總人數，而改以曾有消費紀錄的活躍會員人數，作為新的會員經營目標，而且今年一口氣訂下60%的高成長率目標，反映出統一要大力提升會員貢獻度的企圖。</p> <p>統一表示，2022年將持續上一年策略，增加更多App功能，將更多外部商家納入會員點數生態圈。2022年會員經營主要目標，是活躍會員數從2021年約600萬，增加到960萬，預計增幅60%，同時設立2025年活躍人數比例達到65%的中期目標。</p> <p>統一近2年積極聚焦Open Point的會員經營，2020年為了增加總會員人數，開始簡化會員加入的機制，結帳時告知電話即可加入會員。同年，統一也開始整合集團其他通路的會員資料，包括線下零售、美妝、物流、電商、體育以及餐飲界的18個品牌，整合後，Open Point會員人數大幅成長到1,200萬名。</p> <p>2021年，統一仍以增加會員人數為主要目標，但開始積極提升會員活躍度，相繼推出增加更多會員點數的使用情境，如團購、即期食品地圖等App功能，並透過與外部商家合作，拓展點數使用的生態圈。2021年底，會員數來到1,400萬，但其中不到一半，只有約600萬名是曾消費過的會員，也就是統一定義的活躍會員。</p> <p>隨著會員活躍度提升，可分析的消費數據增加，統一也更積極拓展現有會員貢獻度。統一在永續報告書中提到，他們透過分析會員資料，掌握現有會員屬性及忠誠度、預測新品上市潛力及潛在購買族群，進而設計會員優先或專屬活動，以及提供個人化優惠。報告中寫道，在2021年，這些數據驅動行銷的策略，讓來自會員的年營收成長了114%。 </p> </div></div></div>
2022/7/13 10:01作者郭又華https://www.ithome.com.tw/news/151909
經濟前景不明，微軟傳裁員、Google也警告聘僱放緩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球步入經濟放緩，媒體報導，微軟已在日前因調整事業群及人力，裁減一小部分人力，同時Google執行長Sundar Pichai也對內宣布聘僱速度減緩的公司信件。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-07-12/microsoft-cuts-jobs-but-plans-increased-headcount-this-year" target="_blank">彭博本周報導</a>，微軟在進入新會計年度（FY2023）之際，本周「在事業群及職位角色的調整」中，裁減部分人力，占全公司1.8萬人的不到1%。微軟方面證實此事，但微軟也說未來幾個月仍計畫擴增人力。</p> <p>微軟發言人表示，該公司刪減了一小部分人力。和所有公司一樣，微軟也定期評估業務優先性，並因此做出結構調整。微軟並表示未來一年內，會持續投資業務並增加整體員額。</p> <p>無獨有偶，<a href="https://www.theverge.com/2022/7/12/23206113/google-ceo-sundar-pichai-memo-hiring-slowdown-2022" target="_blank">The Verge</a>周二取得Google/Alphabet執行長Sundar Pichai的內部公開信，顯示將放緩聘僱腳步。</p> <p>Pichai說明2022年下半Google面臨的前景及因應計畫。他表示，全球面臨經濟前景不確定，Google也難自外於挑戰。第2季Google已新增將近1萬名員工。由於之前進度已經足夠，因此剩下2季Google將放緩聘僱速度。Pichai表示，未來公司做事要更務實、更目標導向；今年到2023年，Google新聘人力重點將放在工程師、技術人員和其他重要角色，以確保人力符合長期業務目標。</p> <p>面臨全球通膨及經濟衰退疑慮，Google只是眾多開始放緩公司人力擴張的矽谷科技巨擘之一。<a href="https://www.reuters.com/technology/exclusive-meta-girds-fierce-headwinds-slower-growth-second-half-memo-2022-06-30/" target="_blank">路透社本月初報導</a>Meta也對內示警要面臨「嚴苛時期」（serious time），將把今年預定的新聘人力員額由1萬降為6000-7000。此外也將更精準推動重點業務，如企業傳訊、購物、短影片服務Reel及硬體部門，後者將積極發展代號Cambria的AR頭戴裝置，其他特定部門則將遇缺不補。</p> <p><a href="https://www.ithome.com.tw/news/150913" target="_blank">推特繼5月宣布</a>人事凍結後，<a href="https://techcrunch.com/2022/07/07/twitter-layoffs-talent-acquisition/" target="_blank">上周也裁減</a>人力聘僱部門1/3人力。資料庫大廠<a href="https://www.datacenterdynamics.com/en/news/oracle-considers-1bn-cost-cutting-thousands-of-layoffs/" target="_blank">甲骨文上周也表示</a>計畫10億美元的成本撙節方案，包括裁減數千名人力。</p> </div></div></div>
2022/7/13 11:08作者林妍溱https://www.ithome.com.tw/news/151917
研究人員成功自遠端解鎖10款Honda汽車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩名來自星輿實驗室（Star-V Lab）的安全研究人員Kevin2600與Wesley Li<a href="https://rollingpwn.github.io/rolling-pwn/" target="_blank">上周披露了一個名為Rolling-PWN的安全漏洞</a>，可破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE）中、預防重放攻擊（Replay Attack）的滾動式密碼（Rolling Code）機制，讓駭客依舊得以透過中間人攻擊，攔截並重放讓汽車開鎖的數字密碼，而且已成功打開了10款本田汽車（Honda）的車門。</p> <p>現代汽車多半採用RKE系統，讓使用者以遙控器來開車門或是啟動引擎，遙控器可傳送一組數字密碼予汽車接收器，再由汽車接收器判斷可否接受，簡單的RKE系統採用固定的數字密碼，因此只要被攔截就可以重放並解鎖汽車；這使得許多之後的汽車改用滾動式密碼，每次按下遙控器時，汽車接收器的計數就會增加，也會要求新的密碼，以預防重放攻擊。</p> <p>然而，研究人員卻發現，為了避免有人誤按遙控器按鍵，本田汽車的RKE系統具備滑動窗口（Sliding Window）的設計，當汽車連續收到開鎖及解鎖的指令時，計數器就會重新同步，而讓汽車得以接收之前的密碼。</p> <p>研究人員已替Rolling-PWN取得了漏洞編號CVE-2021-46145，並使用軟體定義無線電（SDR）設備來攔截與重放RKE密碼。</p> <p><a href="https://www.vice.com/en/article/z34xnw/hackers-say-they-can-unlock-and-start-honda-cars-remotely" target="_blank">根據《Motherboard》的報導</a>，Kevin2600與Wesley Li是直接造訪本田汽車的經銷商，並針對不同車款展開攻擊，發現有10款攻擊成功，年份從2012年到2022年，使得研究人員相信所有本田車款應該都含有該漏洞，而且不僅是本田，其它品牌的汽車也很可能暗藏Rolling-PWN漏洞。</p> <p>此外，根據研究人員的測試，可執行Rolling-PWN攻擊的最遠距離為30米。</p> <p>不過，本田汽車的公關在回應《Motherboard》的詢問時，並不承認自家的RKE系統含有該漏洞，認為它與今年初遭爆的漏洞類似，並無新意，但本田所指的舊漏洞是基於固定密碼而非此次的滾動式密碼。</p> <p>但不僅是Kevin2600與Wesley Li，汽車雜誌《TheDrive》記者<a href="https://twitter.com/RobDrivesCars/status/1546171686675955712" target="_blank">Rob Stumpf也成功複製了Rolling-PWN攻擊</a>。</p> <p><a href="https://twitter.com/Kevin2600/status/1545963221915316225" target="_blank">Kevin2600則說</a>，倘若全球擁有本田汽車的駭客都能確認Rolling-PWN漏洞的存在，或許就可迫使本田汽車承認並修補該漏洞。</p> </div></div></div>
2022/7/13 08:48作者陳曉莉https://www.ithome.com.tw/news/151908
金管會金融科技能力證照來了！3大產業各推6種職系專業證照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今（7月12日）<a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202207120001&dtable=News">宣布金融科技證照制度將啟動</a>，採取培訓和取證二合一做法，將提供一系列課程，一方面供金融從業人員學習第二技能，一方面也期望作為金融機構人才進用標準。必須先通過基礎能力認證後，再進行專業科目培訓，通過科目檢定後能取得不同職系的證照。證照涵蓋三大產業，銀行、保險和證券，各提供6大職系專業能力證照，其中有5個職系可跨產業認可。專業能力課程，最快9月開課。</p> <p><strong><span style="font-size:24px;">要推動臺灣金融科技發展，先分基礎和專業兩階段培養能力</span></strong></p> <p>金融科技證照制度，是金管會推動臺灣金融科技發展的一大重點。2020年8月，金管會先是公布金融科技發展路徑圖，將「研議建立金融科技證照制度」視為重要措施之一，並由金融研訓院、證基會、保發中心等組成核心工作團隊，花1年半時間研究、規畫和籌備，近期準備上線。金管會表示，他們希望藉此建立金融科技人才庫，為金融業培訓更多優秀人才。</p> <p>在金融科技能力認證部分，可分為基礎能力和專業能力2大類。首先要取得基本能力認證，必須是現職金融從業人員，且具備金融科技、數位金融、資訊等相關職務3年以上經驗。若是非金融業人員和學生，則得先取得「金融科技能力建構認證機制報告書」規定的基礎能力3項認證，才可參加。</p> <p><a href="http://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://www.fsc.gov.tw/uploaddowndoc?file=news/202207121513270.pdf&filedisplay=%E9%99%84%E4%BB%B61%EF%BC%9A%E5%9F%BA%E7%A4%8E%E8%83%BD%E5%8A%9B%E3%80%81%E7%A7%91%E7%9B%AE%E5%90%8D%E7%A8%B1%E5%8F%8A%E9%A9%97%E8%AD%89%E6%96%B9%E5%BC%8F.pdf&flag=doc">基本能力認證課程包含科技力、金融力及程式力等3部分</a>，修習課程有金融科技概論、金融概論、程式設計概論，並對應到3項檢定，也就是金融科技力知識檢定測驗、金融市場常識與職業道德測驗，以及APCS、TQC、CCEA等測驗。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9F%BA%E7%A4%8E.png" /><br /> 金融科技概論探討主題，包括區塊鏈、保險科技、AI、支付、純網銀和開放銀行等。圖片來源：金管會</p> </blockquote> <p>通過之後，才可修習專業能力證照課程。專業證照按產業分為3類，包括銀行、保險，以及證券業，每個類別各有6種職系的證照，都有各自的專科科目課程，比如銀行產業提供了學習商業分析、UI/UX、資料分析、數位商品設計、數位法遵風控、數位行銷等6種職系的專業證照，而對應到的培訓科目就有AI、大數據分析、法遵科技與風險管理應用等。（如下圖）不過，其中5種職系（BA、UI/UX、DA、PD、CT）可跨不同產業認可，例如銀行的商業分析證照，可在保險業和證券業中認可使用。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%8A%80%E8%A1%8C.png" /><br /> 銀行業專業科目多為AI，另也包含大數據分析、新興科技應用和數位法遵等課程。圖片來源：金管會</p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%9D%E9%9A%AA.png" /><br /> 除了共同的科目外，保險業專屬專業科目是保險科技行銷，像是保險生態圈行銷、AI、數位行銷策略等。圖片來源：金管會</p> </blockquote> <p>證券類則包括證券、期貨、投信投顧業，同樣有5個可跨產業互通的職系，以及證券業專屬的數位行銷專業證照。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%AD%89%E5%88%B8.png" /><br /> 這些職系專業科目與銀行業相仿，包含商業分析、UI/UX設計分析、AI、大數據分析等。圖片來源：金管會</p> </blockquote> <p>金管會表示，專業能力的培訓課程和認證，會由金融研訓院、保發中心和證基會辦理，採訓考合一制度，也就是學員先參加專業科目課程，再參加能力檢測。拿證照的門檻，則是「培訓成績」、「能力檢測」都達70分（含）以上。再進一步來說，若學員取得一個職系，所有專業科目能力認證證明，就等於取得該職系的能力認證。</p> <p>今年9月開始，將陸續開辦專業科目。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-07-12%20173307.png" /><br /> 專業能力科目最快今年9月開課，如數位行銷策略。圖片來源：金管會</p> </blockquote> </div></div></div>
2022/7/12 17:48作者王若樸https://www.ithome.com.tw/news/151905
【資安日報】2022年7月12日，勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，我們想著眼在勒索軟體的攻擊。勒索軟體BlackCat與HavanaCrypt都使用了過往相當罕見的手法，而值得留意後續的發展。</p> <p>有研究人員發現，打造勒索軟體BlackCat的駭客近期建置了新的資料庫Alphv Collections，其內容是從受害組織竊得的資料，值得留意的是，此資料庫提供了搜尋功能，該組織甚至標榜圖片上的文字也能搜尋，這使得其他駭客可能得以從這樣的資料庫輕易找到想要攻擊的目標。</p> <p>另一個勒索軟體是新出現的HavanaCrypt，駭客假冒為Google更新元件的軟體散布，此勒索軟體經過反資安人員檢測的偵測機制，以及一連串的停用應用程式、防毒軟體，以排除可能會干擾勒索軟體執行的元素後，該勒索軟體竟罕見地濫用了密碼管理器KeePass Password Safe來加密檔案，這種特別的做法引起了研究人員注意。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/06/alphv-ransomware-expands-its-arsenal-of-extortion-techniques/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat打造受害者資料庫Alphv Collections</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png" style="width: 300px; float: right;" /></a>勒索軟體駭客挾持受害組織的檔案，要脅會賣給他人或對外公布的情況已是常態，但有駭客開始想要利用這些資料，對受害組織產生更大的壓力，例如，之前<a href="https://www.ithome.com.tw/news/151507#blackcat-haveibeenpwned">勒索軟體BlackCat就架設了類似Have I Been Pwned的個資外洩查詢網站</a>，企圖透過個資受到波及的員工或客戶，來向受害組織施壓，而最近該組織又有進一步的做法。</p> <p>資安團隊VX-Underground發現BlackCat架設名為Alphv Collections的外洩資料庫，內容是不願支付贖金組織的內部資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。這些駭客宣稱，使用者不只能利用檔案名稱尋找想要的資料，也能找出Word、PDF檔內容的特定文字，甚至還能從JPG、PNG圖片檔案進行搜尋。</p> <p>資安業者Cyble指出，這套資料庫系統甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料進行攻擊行動，例如，找出遠端桌面連線（RDP）的存取資料，而能入侵特定類型的伺服器主機。研究人員指出，過往駭客取得大量外洩資料後，很可能需要抽絲剝繭才能撈出可用於攻擊的內容，而駭客組織BlackCat建置的Alphv Collections則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，而不用浪費時間下載整個資料庫，這樣的情況很可能讓外洩資料的危害更加擴大，因此他們認為，企業應監控外洩資料的流向。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html"><span style="color: rgb(0, 0, 0);">勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_HavanaCrypt Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_HavanaCrypt%20Ransomware.png" style="width: 300px; float: right;" /></a>勒索軟體的攻擊模式出現了新的變化，駭客濫用免費、開源的密碼管理器，來將檔案加密，而有可能讓攻擊過程不易察覺。</p> <p>趨勢科技揭露了勒索軟體HavanaCrypt的攻擊行動，駭客使用.NET打造此勒索軟體，並將其偽裝成Google軟體更新元件，來入侵受害電腦。HavanaCrypt在開始執行的過程中，會從機碼先檢查受害電腦是否存在GoogleUpdate服務，若是沒有相關服務才會繼續執行。接著，此勒索軟體會偵測受害電腦是否存在VMware Tools、vmmouse等虛擬機器（VM）元件，來確保是在真實電腦上執行。</p> <p>完成上述工作後，該勒索軟體將從微軟的網頁代管伺服器20[.]227[.]128[.]33上，下載BAT批次檔，竄改內建防毒Micorosoft Defender配置，並終止防毒軟體、Office軟體，以及SQL Server、MySQL等資料庫軟體的運作，刪除磁碟陰影備份（Volume Shadow Copy），並限縮此服務只能備份401 MB資料後，才開始執行加密檔案的行動。</p> <p>比較特別的是，此勒索軟體在加密檔案的過程裡，使用了開源的密碼管理器KeePass Password Safe作為加密元件，但為何駭客要濫用此密碼管理器？研究人員沒有進一步說明。基於此勒索軟體會將勒索訊息檔案一併加密，研究人員認為HavanaCrypt尚在開發階段，並呼籲組織應加強相關防護來因應勒索軟體威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-says-decision-to-unblock-office-macros-is-temporary/"><span style="color: rgb(0, 0, 0);">針對重新預設啟用Office巨集的配置，微軟表示只是暫時調整</span></a></strong></h3> <p>微軟於2月宣布，他們將逐步於Office軟體中自動停用從網際網路下載的VBA巨集，來防堵相關的網路攻擊，但在7月6日傳出有用戶發現，微軟在沒有公告的情況下，取消上述的配置，引發不少用戶反彈。</p> <p>針對此事，該公司後來於8日進行回應，他們是根據使用者的回饋，暫時取消封鎖VBA巨集的措施，同時該公司加入了額外的調整來改善可用性。微軟強調這是暫時的變動，未來還是會透過軟體更新，來全面停用自網際網路下載的VBA巨集，該公司預計在幾個星期內，公布進行相關變更的時程。</p> <p>資安新聞網站Bleeping Computer指出，有使用者聲稱在微軟進行上述變動後，找不到解除鎖定的按鈕而無法啟用巨集，也有管理者認為，微軟採取封鎖的做法會干擾使用者的作業流程，因為使用者必須對每個從網路上下載的Office檔案逐一解除鎖定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://rollingpwn.github.io/rolling-pwn/"><span style="color: rgb(0, 0, 0);">研究人員揭露能遠端打開Honda汽車的Rolling-PWN漏洞</span></a></strong></h3> <p>在今年3月，有研究人員發現了能攻擊本田（Honda）汽車漏洞CVE-2022-27254，駭客可截取遙控器的訊號來解鎖車輛，但相關的漏洞可能比預期影響範圍還要來得廣泛。星輿實驗室（Star-V Lab）近日指出，他們在今年1月發現的資安漏洞Rolling-PWN（CVE-2021-46145），雖然當時認為本田使用了滾動式密碼（Rolling Code），而導致相關的漏洞攻擊效果有限，但他們進一步調查後發現，這項漏洞能讓攻擊者輕易破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE），而使得此系統的滾動式密碼形容虛設，讓駭客能藉由中間人攻擊（MitM）來打開車門。</p> <p>研究人員利用此漏洞成功解鎖10種型號的本田汽車，當中還包含了2022年車款。Rolling-PWN與於本田防範使用者誤觸遙控器的功能Sliding Window有關，此功能在汽車一旦連續收到開鎖或解鎖的命令，會將計數器重新同步，使得舊的密碼仍能解鎖車輛。</p> <p>汽車雜誌The Drive記者Rob Stumpf也著手進行實驗，成功重現了Rolling-PWN漏洞。對此，本田汽車向新聞網站Motherboard表示，這項發現與今年3月的漏洞CVE-2022-27254類似，他們認為自家RKE不存在相關漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151873"><span style="color: rgb(0, 0, 0);">為鼓勵企業強化資安防禦，臺灣企業資安投資抵稅正式上路</span></a></strong></h3> <p>為了幫助產業的進步，政府持續祭出租稅優惠，從早期獎勵投資條例、促進產業升級條例，到現行的產業創新條例，期望帶動相關投資。最近幾年，政府不只是鼓勵產業朝智慧機械製造、5G行動通訊的發展，提供投資抵減的短期租稅優惠措施，更值得關注的是，今年這項措施首度擴及資安投資，讓公司購置資安產品或服務，也將可享投資抵減的短期優惠。</p> <p>經濟部與財政部在7月4日發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，新增資安投資抵稅3年優惠，並對資安產品與服務列出明確定義，經濟部表示，企業可至線上投資抵減申辦系統申請。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-lockbit-2.0-all-paths-lead-to-ransom"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit停用防毒和EDR，並透過檔案共享軟體外洩受害組織資料</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151858">【2022年7月8日】駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的AWS S3儲存桶不設防</a></p> <p><a href="https://www.ithome.com.tw/news/151835">【2022年7月7日】萬豪飯店遭駭客入侵20 GB資料疑外洩、俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</a></p> </div></div></div>
2022/7/12 18:02作者周峻佑https://www.ithome.com.tw/news/151907
悠遊卡終於將提供跨境消費，年底前可望在日本沖繩使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>悠遊卡公司推動已久的跨境支付終於有新進展，日前金管會核准悠遊卡跨境消費服務，可望在年底前開放民眾在沖繩使用悠遊卡付款。</p> <p>悠遊卡公司原本是計畫配合東京奧運舉行提供悠遊卡跨境支付，但因東京奧運延後舉行，加上疫情加劇，遲遲未推出服務，直到現在才確定這項消息。在金管會許可下，該公司與琉球銀行合作，預期今年下半年，國人前往沖繩旅遊，就能使用悠遊卡在當地商家付款，且按即時匯率，以臺幣扣款。</p> <p>為了推出這項跨境消費服務，悠遊卡和琉球銀行合作，歷經研發、技術串接、測試，到雙方國家金融監管單位同意，才終於要推出悠遊卡跨境消費服務。</p> <p>儲遊卡公司表示，目前已與琉球銀行合作，在沖繩將有超過1千家商店可使用悠遊卡付款，商家數仍在增加中，由於琉球銀行在日本各地也有布點，因此未來不只是沖繩，也可望擴大到日本其他地區使用。</p> <p>使用方式上，付款方式如同在臺灣使用悠遊卡一樣，結帳時以悠遊卡在商家的卡機上嗶一聲就能完成付款，商家的收銀機顯示商品的日幣價格，以及用即時匯率換算的臺幣消費金額，以臺幣扣款，消費者不需攜帶日幣現金，因採用即時匯率換算臺灣消費金額，也省下匯兌風險。</p> <p>需注意的是，持卡人需年滿20歲，可在沖繩跨境消費的卡種，限定只有記名的悠遊卡，悠遊聯名卡、悠遊金融卡、悠遊Debit卡，沒有記名的一般悠遊卡則無法跨境消費。另外，因為在沖繩無法為悠遊卡加值，建議在國內先開啟悠遊卡的自動加值功能，或是綁定悠遊付為悠遊卡自動加值。</p> <p> </p> </div></div></div>
2022/7/12 17:59作者蘇文彬https://www.ithome.com.tw/news/151904
東華大學與遠傳聯手導入5G專網，以無人機空中巡視校園安全、測試自駕車接駁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠傳電信與東華大學合作，東華大學將建置5G專網，在校園內導入無人機巡航，以及校園監控影像串流，結合AI影像辨識，改善校園安全，並測試自駕車的C-V2X技術，在校園內接駁、巡檢。</p> <p>位於臺灣東部的東華大學，校地面積約250公頃，是國內第二大的校園，由於校園內佔地廣大，校方近來積極投入智慧校園建置，利用科技協助校園管理，例如師生在校園內移動，多使用個人交通載具，如汽車或機車在校內移動，為強化校園管理，學校導入車牌辨識，加強對校園內汽機車管理。</p> <p>由於校園佔地廣大，駐衛警在校內巡邏不易，強化校園內的安全管理，因此該校也和遠傳合作，在校內24個偏辟的處所設置AI緊急求救站，取代舊有的求救鈴，這些緊急求救站可以雙向語音通話，並可顯示影像，與校園監視系統整合，結合AI影像辨識，例如偵測鏡頭前的人揮手求救或跌倒臥倒一段時間，觸發警告。</p> <p>此次，遠傳電信與東華大學進一步合作，遠傳利用切片技術，為東華大學提供5G專網，下載速度與上傳分別達500Mbps與100Mbps，目前先以東華大學主校區為主，尚未擴大至美崙校區。</p> <p>遠傳表示，目前先以切片技術為學校提供專網服務，未來視容量擴充的需要，校園內加建5G基地臺、邊緣運算，以擴大5G專網。</p> <p>結合校區內的5G專網，東華大學導入無人機，除了無人機的定期巡航校園，當校園內道路發生車禍時，在校方人員尚未抵達時，先派遣無人機至現場，或是針對車牌登記異常的車輛(汽車或機車)，以無人機在空中追蹤，結合校內的監控影像，提升校園內安全。</p> <p>在5G的高速傳輸之下，即時回傳影像，如串流無人機與校內監控影像，搭配AI影像辨識與、告警，強化校內安全。</p> <p>此外，校園內測試自駕電動車，在宿舍、教學大樓、行政中心，固定路線行駛接駁。這項自駕車測試還搭配5G C-V2X，連接校內的路口號誌，對自駕車提供碰撞告警。</p> </div></div></div>
2022/7/12 16:41作者蘇文彬https://www.ithome.com.tw/news/151896
中國處罰騰訊及阿里巴巴未申報的歷史併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.samr.gov.cn/fldes/tzgg/xzcf/202207/t20220710_348523.html" target="_blank">中國市場監管總局的反壟斷部門周日（7/10）發布公告</a>，針對28起未依法申報的併購案祭出行政處罰，當中光是騰訊就占了12起，阿里巴巴占了5起，而且最早可追溯到2011年。</p> <p>監管總局指出，這次的案件都是過去應該申報而未申報的交易，隨著反壟斷常態化監管持續進展，這次是企業自行調查歷史交易，同時主動回報涉嫌未依法申報的行為，並積極配合調查。換句話說，這波公告的違法併購案都是由業者自請處罰。</p> <p>其中，騰訊透過子公司在2011年買下了中國購物平臺好樂網的20%股權，由於同時取得好樂網的共同控制權，被中國《反壟斷法》視為應申報案件，但騰訊並未申報而被裁罰50萬元人民幣（約222萬元新臺幣）。</p> <p>另一起與騰訊有關的併購案，是騰訊在2016年透過關係企業取得了金融科技公司聯易融的17.65%股權，由於騰訊因此亦獲得了聯易融的共同控制權，再度被視為違法，同樣被判罰50萬元人民幣。</p> <p>其它被處罰的騰訊收購案還包括奇秦科技、DeepBlue Alpha、有車以后、森億醫療、智能制造軟件、鑄夢文化、龍合田玉影視文化、自娛自樂文化、速波賽爾，以及北半球國際文化，罰款皆為50萬元人民幣。</p> <p>至於阿里巴巴集團則因百世集團、芭樂互動、上海第一財經傳媒、上海駐雲信息科技，以及優酷土豆等5起併購案未依法申報而受到處罰，其中，阿里投資是在2015年買下優酷土豆的全部股權，不過，未申報的罰款同樣是50萬元人民幣。</p> <p>在中國周日的裁罰出爐後，騰訊與阿里巴巴在周一（7/11）的股價都以下跌作收。</p> </div></div></div>
2022/7/12 15:15作者陳曉莉https://www.ithome.com.tw/news/151894
Windows Autopatch正式上線了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-autopatch-has-arrived/ba-p/3570119" target="_blank">微軟周一（7/11）宣布</a>，針對Windows Enterprise E3及Windows Enterprise E5客戶所提供的Windows Autopatch正式上線了，啟用此一服務之後，微軟將會代替這些客戶執行Windows 10、Windows 11、Microsoft Edge與Microsoft 365軟體的更新服務，而且預計很快就會支援Windows 365雲端PC的更新。</p> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-Windows%20Autopatch.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>有別於微軟的其它客戶必須手動執行Patch Tuesday的安全更新，Windows Enterprise E3及Windows Enterprise E5客戶可以選擇啟用Windows Autopatch，該服務基本上就是由微軟替這些大型企業配置及部署安全更新，也會分階段部署，在遇到問題時會自動暫停更新，若更新後效能變差，也能自動回滾。</p> <p>微軟表示，Windows Autopatch將可簡化大型企業的更新作業，並替企業的IT專家創造新機會，雖然企業也可以繼續自行更新，但微軟認為Autopatch得以在複雜的硬體與軟體配置中偵測到潛在問題，代表能在造成影響之前解決問題，且預期未來該服務偵測問題的能力將愈來愈強大。</p> <p>Windows Autopatch為一免費服務，但似乎還需贏得客戶的信任，微軟並未透露自5月底開放公開預覽以來，有多少客戶採用了該服務。對Windows Autopatch有疑問的使用者可造訪<a href="https://docs.microsoft.com/zh-tw/windows/deployment/windows-autopatch/overview/windows-autopatch-faq" target="_blank">該服務的常見問答頁面</a>。</p> </div></div></div>
2022/7/12 15:23作者陳曉莉https://www.ithome.com.tw/news/151895
BNPL業者Klarna完成新一輪增資，市值只剩1/7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2005年成立於瑞典、近來<a href="https://www.prnewswire.com/news-releases/klarna-closes-major-financing-round-during-worst-stock-downturn-in-50-years-301583680.html" target="_blank">以「先買後付」（Buy Now Pay Later，BNPL）聞名的金融業者Klarna本周宣布</a>，已完成8億美元的增資活動，增資後的公司市值為67億美元。不過，Klarna去年6月增資時市值還有456億美元，現在則僅剩1/7。</p> <p>Klarna主要提供網路上的金融服務，包括近來火紅的BNPL，顧名思義，該服務允許消費者可以先行購買商品，之後再分期或一次償還，以滿足未使用信用卡的族群。除了<a href="https://www.ithome.com.tw/news/151316" target="_blank">蘋果也在今年6月發表BNPL</a>之外，臺灣電商平臺PChome在今年6月推出的「慢點付」功能亦屬於BNPL服務。</p> <p>Klarna指出，此次的增資發生在可能是二次世界大戰以來全球股市表現最差的時刻，再加上高通膨、升息，以及全球對經濟衰退的擔憂加劇，諷刺的是，現階段卻也是Klarna在全球最受歡迎，也最強勁的時刻。</p> <p>目前Klarna已進入全球逾20個市場，全球用戶數超過1.5億，多過於美國運通，平均每天被使用200萬次，應用程式下載量超過6,000萬。</p> <p>而新的資金主要用來擴大美國市場，目前Klarna在美國的用戶數已接近3,000萬，品牌知名度高達6成，有30%的美國商家採用Klarna。</p> </div></div></div>
2022/7/12 12:49作者陳曉莉https://www.ithome.com.tw/news/151890
Walmart發表更多AR智慧零售創新，不只推個人化體驗還更將整合OMO全通路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國零售巨頭Walmart智慧零售又有新做法，將推出更多個人化的零售AR創新，一款是讓消費者模擬自家擺設的AR工具，另一項是讓實體貨架在手機上秀出AR個人化資訊。甚至，Walmart又宣布收購光學AR技術公司Memomi，取得即時模擬穿搭的AR技術，將先用於眼鏡試戴體驗。</p> <p>Walmart早在2012年就已經涉入AR領域。配合特殊節慶或知名影視IP發布新作品，Walmart會推出主題AR商店濾鏡，以期達到增加停留時間跟引導動線的效果。走進Walmart線下店面的消費者，能透過手機看到特殊布景及人物，甚至可以進行互動，或解鎖特定小遊戲道具。這種做法技術門檻較為基礎，但一直沿用至今，顯示Walmart相當中意此做法。</p> <p>2018年，Walmart推出AR商品比較工具。消費者用手機鏡頭掃描貨架上商品標籤的條碼，畫面就會顯示出商品價格、顧客評價星數以及關聯產品。下次當手機指向同一款商品的位置，就會秀出消費者過去掃瞄這款商品的紀錄，方便消費者掃描多款感興趣商品後，來回將鏡頭指向這些商品，以快速比較價格與評價。這是Walmart第一項用於輔助線下購物的AR工具，讓消費者可以快速存取更多商品資訊。此工具開發團隊也曾在Walmart<a href="https://medium.com/walmartglobaltech/re-imagining-price-check-with-augmented-reality-41b8178a3e44">技術部落格分享開發過程</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/walm2018.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/walm2018.png" style="height: 400px;" /></a></p> <p>2019年，Walmart旗下倉儲式零售店Sam's Club執行長John Furner及Walmart電子商務執行長Marc Lore，不約而同在演講中提到，意圖發展更多AR用例。接下來3年間，Walmart也陸續推出新AR功能，應用情境更從線下零售，慢慢走到線上電商。</p> <p>Walmart為了增加員工補貨上架效率，2020年推出AR補貨輔助小工具。Walmart倉庫中的商品都用紙箱包裝，難以一眼辨識商品品項。以往員工尋找需補貨上架的品項時，需要逐個查看紙箱標籤，相當費時。利用此工具，補貨員工只要用手機鏡頭拍攝紙箱堆，就會在裝著需補貨品項的紙箱上，看到顯示視覺提示。使用此工具後，Walmart員工補貨作業時間降低為原本的三分之二。</p> <p><a href="https://s4.itho.me/sites/default/files/images/walmartbuhuo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/walmartbuhuo.png" style="width: 600px;" /></a></p> <p>到了2021年，Walmart開始在線上商務用應用AR，例如結合Facebook表情追蹤AR技術，讓消費者在購物直播中，露出笑容就可以將商品加入購物車。2022年，Walmart也在Snapshot的「Snap Scan and Shop」AR購物功能中，推出食物掃描功能。消費者掃描食物後，會秀出10條相關食譜，再引導到Walmart網站購買食材。</p> <p>過去AR電商應用，大多是將外部AR技術串接到Walmart線上商店。但最近，Walmart開始推出自行開發的AR電商功能，主打個人化購物體驗的強化。一項是AR模擬擺設的工具。消費者能在Walmart App中選取家具或擺設品，並切換到手機鏡頭畫面，即時模擬該商品於所處空間中的樣子。模擬擺設時，還可以調整顏色、角度等設定，也能直接將所選品項加入購物車。</p> <p><a href="https://s4.itho.me/sites/default/files/images/walm1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/walm1.png" style="width: 600px;" /></a></p> <p>此功能除了展現出Walmart內部技術力足以自行開發AR電商功能，也是Walmart首項有客製化互動體驗的AR功能。Walmart過去的AR功能，消費者都是從大量資料中，挑選與特定資訊互動。例如從眾多商品中選擇欲下單品項，或是從海量商品資訊中選擇出比較商品。新推出的模擬擺設小工具，則是讓消費者挑選出中意商品後，自行嘗試擺設方法。</p> <p>另一項實體貨架的AR輔助資訊，消費者用手機掃描商場貨架或商品後，此工具能根據個別消費者資料，顯示專屬相關資訊。例如，可以顯示特定不含特定過敏成分的食材，或是適用消費者所持折價券的商品。2018年的以產品資訊為主的AR商品比價，更進一步能轉而顯示顧客的個人化資訊。目前還在開發階段，沒有明確推出時間。</p> <p>不只推出了線下或線上AR功能後，Walmart下一步要將AR用於OMO零售服務。Walmart要收購的Memomi公司，2019年就開始與Walmart合作，提供數位測量服務給Walmart及旗下零售店Sam's Club的眼鏡消費者。Walmart表示，收購Memomi之後，第一步就是利用Memomi的AR技術提供模擬眼鏡試戴服務，並強化Walmart全通路視力保健服務。</p> <p>Memomi的AR技術是「數位鏡」模擬穿戴功能，能在螢幕中即時模擬試穿、試戴及上妝，且能隨著鏡前消費者的動作，動態模擬不同角度和光影。Walmart去年已經收購模擬試穿技術商Zeekit，並在今年推出模擬試衣間功能，不過此功能是以圖像生成的形式，讓消費者幫虛擬分身換裝，不能更換姿勢或角度。收購Memomi，透露出Walmart相當重視模擬穿戴功能，並計畫用Memomi的AR技術，進一步強化模擬穿戴體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/memomimi.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/memomimi.png" style="width: 600px;" /></a></p> <p>Walmart數日內相繼公布的AR相關消息，揭示了該公司發展AR應用的路線是，從線下到線上再到全通路，且從單一體驗走向客製化。收購AR技術公司，也透露出Walmart有意加速開發更多AR應用。</p> <p>圖片來源：Walmart、Memomi</p> <p> </p> </div></div></div>
2022/7/12 13:17作者郭又華https://www.ithome.com.tw/news/151891
HavanaCrypt勒索軟體冒充Google軟體更新 App散布，還寄生在微軟代管服務上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意軟體經常冒充合法軟體加速擴散，<a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html" target="_blank">安全廠商趨勢科技近日發現最新勒索軟體</a>，偽裝成Google軟體更新（Google Software Update）App散布（下圖），還大膽使用微軟的網頁代管IP掩人耳目，並以多種手法躲避安全產品偵測。</p> <p class="rtecenter"><img alt="" src="https://blog.trendmicro.com.tw/wp-content/uploads/2022/07/image-28.png" style="width: 327px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／趨勢科技</span></span></p> <p>HavanaCrypt是一個.NET應用程式，使用開源的.NET代碼混淆工具Obfuscar（<span style="color:#696969;">下圖</span>）保護其程式碼，並以名為QueueUserWorkItem的.NET System.Threading命名空間方法，將多個執行步驟佇列執行。分析顯示，它使用了頗高明的手法避免被偵測到。例如，它一經執行即隱藏其視窗、檢查AutoRun登錄檔有無「Google Update」登錄檔，若未找到就繼續執行。接下來，它會啟動反虛擬化流程，旨在確保可迴避VM中的動態分析。例如，它會檢查有無VMWare Tools或vmmouse，或是和VM有關的檔案、執行檔及MAC address。一旦偵測到系統是在VM中執行，就終止執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-Obfuscar.png" style="width: 580px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／ GitHub</span></span></p> <p>完成所有檢查後，HavanaCrypt從微軟網頁代管服務的IP位址下載一個批次（batch）檔。這個批次檔包含可設定Windows/Microsoft Defender掃瞄指令，使其略過Windows和User目錄下的任何檔案。它還會關閉數十種行程，包括MS SQL Server、MySQL，以及Microsoft Office和Steam、Firefox等桌機應用程式。</p> <p>關閉所有行程後，HavanaCrypt會查詢所有磁碟、刪除所有磁碟區陰影複製（shadow copies）、將最大儲存空間調到401MB，再以Windows Management Instrumentation（WMI）辨識出系統復原執行個體，再將之刪除。它還會自我複製執行檔到ProgramData和StartUp資料夾中，並設為隱藏檔或系統檔案。</p> <p>等完成前述準備動作後，HavanaCrypt得以蒐集機器多項資訊，包括處理器核心數、處理器名稱ID、socket、主機板廠商及名稱、BIOS版本及產品號碼等。</p> <p>在加密檔案時，這隻惡意軟體利用KeePass Password Safe（下圖）產生加密金鑰。被加密的檔案名稱都會加入.Navana的副檔名。它會避免加密某些副檔名，或是在特定目錄下的檔案，像是Tor瀏覽器，顯示惡意程式作者計畫使用Tor網路和受害者通訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-KeePass%20Password%20Safe.png" style="width: 500px;" /></p> <p>研究人員表示，把自己的C&C伺服器架在微軟的網頁代管服務IP位址上，而且使用合法的加密工具KeePass來加密受害者檔案，都是勒索軟體較少見的行為。研究人員尚未發現勒索訊息檔案，顯示它尚未開發完成。</p> </div></div></div>
2022/7/12 13:32作者林妍溱https://www.ithome.com.tw/news/151892
Meta開源奠基於全球網路內容的AI知識語料庫Sphere
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/introducing-sphere-meta-ais-web-scale-corpus-for-better-knowledge-intensive-nlp/" target="_blank">Meta的AI團隊本周開源了</a>一個爬梳全球網路內容的AI知識語料庫Sphere，號稱是全球最大的同類型語料庫，並利用Sphere打造了一個Side模型，可用來改善維基百科（Wikipedia）所引用的資訊的關聯性與正確性。</p> <p class="rtecenter"><img alt="" src="https://github.com/facebookresearch/Sphere/raw/main/sphere_logo.png" style="width: 350px;" /></p> <p>語料庫（Corpus）為知識密集型自然語言處理（Knowledge-Intensive Natural Language Processing，KI-NLP）的基礎，KI-NLP模型爬梳數位檔案來尋求問題的解答或進行事實查核，因此，語料庫的規模愈大，所能解答的問題也愈多。</p> <p>在現階段的KI-NLP研究領域中，研究人員多半是透過商業搜尋引擎或是Wikipedia來尋找答案，但Meta的研究人員認為，商業搜尋引擎就像是個黑盒子，人們可能不知道自己遺失了哪些重要訊息，而就算Wikipedia相對精確、有良好的格式，而且因為規模小而方便使用，但它畢竟是個眾包平臺，並未容納網路上的所有內容。</p> <p>而Sphere即是一個奠基在全球開放網路內容的語料庫，它是開源的、通用的、未經組織的、非結構化的知識來源，因此可支援各種KI-NLP任務。它內含1.34億個文件，具備9.06億個段落，每個段落都含有100個標記，比現今最大的知識語料庫多了一個數量級。</p> <p>Sphere的建置源自於Meta AI所開發的CCNet，CCNet為Common Crawl的變種，把每月固定爬梳全球網路的Common Crawl檔案去蕪存菁而來。</p> <p>Meta的AI研究人員指出，Sphere與搜尋引擎最大的不同在於它開放研究人員存取完整的語料庫，研究人員不僅能夠檢視並控制語料庫，也能展開不同的實驗來推動檢索技術的發展，另一方面，開源社群也將協助Meta辨識Sphere的檢索盲點。</p> <p>研究人員將可利用Sphere來訓練檢索器，以處理更廣泛的文件，或者是建置自動化系統來檢查不實資訊、噪音或不連貫的文字。</p> <p><a href="https://tech.fb.com/artificial-intelligence/2022/07/how-ai-could-help-make-wikipedia-entries-more-accurate/" target="_blank">Meta AI已利用Sphere打造了一個Side模型</a>，可用來協助強化維基百科的引用資訊，因為維基百科的編輯可能無法仔細檢查每一個引用的資訊，或是志願者在撰寫時無意中流露出的偏見。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-Improving%20Wikipedia%20Verifiability%20with%20AI%20by%20%20Meta%20Sphere.png" style="width: 600px;" /></p> <p><a href="https://openreview.net/pdf?id=qfTqRtkDbWZ" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></a></p> <p>目前Sphere仍是個研究中的產品，尚未實際應用於Meta自家的平臺上，也未與維基百科合作，只是以Side模型作為示範案例。</p> </div></div></div>
2022/7/12 13:47作者陳曉莉https://www.ithome.com.tw/news/151893