iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 06:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟實驗Visual Studio視窗著色擴充套件，供開發者輕易辨識不同解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正計畫要將好用的<a href="https://devblogs.microsoft.com/visualstudio/differentiating-visual-studio-instances/">Peacock擴充套件功能添加到Visual Studio</a>中。Peacock只提供一個簡單的功能，便是著色VS Code，使得個別VS Code視窗容易被分辨，目前Peacock擴充套件已經被安裝170萬次，Visual Studio開發者社群正醞釀想在Visual Studio中添加相同功能。</p> <p>一般情況，當開發者同時開啟多個VS Code實例，特別是同一專案的不同分支，由於視窗外觀看起來幾乎相同，因此很難區別不同的實例，而Peacock能夠著色不同的VS Code實例，使每個視窗都有一個獨特的顏色，因此開發者便能馬上區分各個實例。</p> <p>微軟提到，因為Visual Studio的UI有別於VS Code，因此可能無法直接將Peacock移植到Visual Studio，可能會需要不同的UI範式和配色方法。現在官方號召Visual Studio社群加入實驗，找出最佳解決辦法。</p> <p>微軟現在釋出了一個配色擴充套件，會在Visual Studio的狀態列加上一條3像素的顏色線條，開發者可以替解決方案設定專屬顏色，在之後每次開啟解決方案後，Visual Studio視窗便會自動應用該色。微軟將會視社群的反應，逐步迭代視窗著色功能。</p> </div></div></div>
2022/8/5 19:17作者李建興https://www.ithome.com.tw/news/152333
Meta強化電腦視覺AI高效辨識不常見物體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發表最新的物體偵測研究，採用新方法的<a href="https://ai.facebook.com/blog/efficient-accurate-object-detection-for-hundreds-of-uncommon-object-classes/">ViTDet</a>模型，在LVIS（Large Vocabulary Instance Segmentation）資料集的電腦視覺表現優於其他基於ViT（Vision Transformers）的模型。ViTDet不僅能夠偵測桌椅等標準物體，還能夠找出包括餵鳥器、花圈和甜甜圈等物品。</p> <p>這項研究之所以重要，是因為物體偵測是電腦視覺一個重要的任務，應用範圍從自動駕駛、電子商務甚至是增強實境，要使物體偵測更有用，就需要能夠辨識出更多不常見的物件，或是在訓練資料中很少出現的物件。</p> <p>以過去物體偵測的任務來說，FPN（Feature Pyramid Networks）基本上是標準設計，但Meta這項新研究，顯示這並非必然，僅從單一尺度的特徵圖，就可以建構簡單的特徵金字塔，不需要用到過去常見的FPN設計，直接使用ViT最後一層特徵，就可以重建出FPN，這樣的做法更為簡單直覺，對運算效能來說，記憶體使用下降，訓練和推理的速度也更快。</p> <p>新的ViTDet模型受益於其更大的主幹，以及更好的MAE（Masked Autoencoders）預訓練方法，即便ViTDet模型運算量少上許多，但是效能仍優於過去的領先方法。Meta現在於開源Detectron2物體偵測函式庫中釋出ViTDet程式碼和訓練方法，作為新的基線。</p> </div></div></div>
2022/8/5 19:24作者李建興https://www.ithome.com.tw/news/152349
唐鳳擔任首任數位發展部長，數發部預計8月27日正式掛牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院政務委員兼發言人羅秉成於今（5）日行政院記者會公布新成立的數位發展部人事，將由現任行政院政府委員唐鳳接任首任數位發展部部長一職，政務次長則由陽明交大電機工程學系副教授、國發會亞洲矽谷計畫執行中心人資長闕河鳴，以及現任一卡通董事長李懷仁擔任，並宣布數位發展部將於8月27日掛牌成立。</p> <p>至於另外的常務次長缺，以及數位發展部下設的數位產業署和資通安全署署長等相關人事任命，會由唐鳳部長於正式掛牌後對外公布。</p> <h2><strong>數發部去年通過組織法，預計今年8月27日正式掛牌</strong></h2> <p>行政院於總統蔡英文在2020年520就職演說中提到，要邁向國家數位轉型並推動六大核心關鍵產業，要成立一個專責的數位發展部，負責資訊、資安、電信、傳播和網路等五大領域的業務內容。</p> <p>行政院為了促進全國通訊、資訊、資通安全、網路與傳播等數位產業發展、統籌數位治理與數位基礎建設及協助公私部門數位轉型等相關業務，特設數位發展部。</p> <p>行政院於2021年3月25日的院會通過「數位發展部」相關組改法案，送交立法院由司法及法制以及交通委員會進行審查，並於2021年12月28日立法院第六會期的院會中，通過《數位發展部組織法草案》以及《數位發展部資通安全署組織法草案》，經過半年多的籌備和相關部會的業務移撥，今年8月27日正式掛牌運作。</p> <h2><strong>唐鳳任數發部首任部長，闕河鳴、李懷仁為政務次長</strong></h2> <p>羅秉成指出，唐鳳原先在資訊界便享有盛名，在擔任政務委員期間，負責開放政府、社會創新、青年參與等相關業務表現傑出，於去年十二月代表臺灣出席民主峰會，以及在今年四月，與五十多國共同簽署網際網路宣言，都讓國際友人印象深刻。</p> <p>而羅秉成也說，唐鳳未來擔任數位發展部長後，將致力於三大政策目標：建構數位服務跨域的協力典範，完備數據供應生態及應用，並且促進跨國公民科技與資料民主化共同發展。</p> <p>擔任政務次長的闕河鳴，現任陽明交大電機工程學系副教授，曾經在ISSCC多項期刊發表專業論文，近年參與開發中低軌道衛星各項電路與系統設計開發，並於2020年協助國發會規畫並推動5G開放網路計畫，他也是國發會亞洲矽谷計畫執行中心人資長，負責亞矽學院、物聯網資安與人才培育等事項。</p> <p>另外一位政務次長李懷仁，則是現任一卡通票證公司董事長，也是高雄市政府智慧城市推動委員會顧問。他曾經擔任行政院院長室顧問、行政院副院長辦公室主任、總統府副秘書長室辦公室主任，任職期間，曾參與5G、AIoT、大數據、智慧城市、政府開放資料、政府數位轉型與發展等政策領域；後來擔任一卡通董事長，累積數位支付和純網銀等政策經驗；防疫方面，他也參與規畫協調建置防疫口罩實名制1.0、2.0和3.0；以及簡訊實聯制、振興三倍券銷售管理系統、紙本三倍券民眾訂購綁定與查詢系統等。</p> <h2><strong>專家學者質疑報派常務次長葉寧對服貿的態度</strong></h2> <p>羅秉成表示，數位發展部統籌數位治理與數位基礎建設，協助公私部門數位轉型，打造數位韌性環境，連結公民與技術，提升產業與安全，實現智慧國家願景，讓臺灣模式持續成為民主陣營的標竿。</p> <p>即將掛牌運作的數位發展部，下設：數位策略司、韌性建設司、資源管理司、數位政府司、民主網路司、以及多元創新司等六個司，以及成立「數位產業署」和「資通安全署」兩個署級機關，並籌設行政法人「國家資通安全研究院」。</p> <p>根據《數位發展部組織法》規定，會有部長一人，政務次長兩人、常務次長一人，其中，行政院今天公布的政務次長人選，與先前報派人事任命一致，但尚缺的常務次長，則延後到數位發展部正式掛牌後才會對外公布。</p> <p>原先報派人選為國家通訊傳播委員會參事葉寧，但葉寧先前在陸委會法政處長的工作經歷，遭到經濟民主連合智庫召集人賴中強的質疑外，成大電機系教授、也是「反對服貿協議開放資通訊產業聯盟」三位發起人之一的李忠憲也同樣質疑葉寧對服貿協定的態度，並認為其經歷不適合擔任數位發展部常務次長一職。所以，數位發展部的常務次長人選，在面對各界的關注後，葉寧是否能如期出線，值得關注。</p> <p>此外，攸關數位經濟相關產業發展與數位科技應用事項政策規畫及執行的數位產業署，以及辦理國家資通安全政策規劃、計畫核議及督導考核，執行國家資通安全防護、演練與稽核業務及通訊傳播基礎設施防護的資通安全署，則是數位發展部最關鍵的兩個署級機關，唐鳳會指定由誰擔任重要的署長人選，將於正式掛牌運作後揭曉。</p> </div></div></div>
2022/8/5 18:23作者黃彥棻https://www.ithome.com.tw/news/152351
DrayTek路由器遭爆含有遠端程式攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/rce-in-dratyek-routers.html" target="_blank">由McAfee Enterprise與FireEye所合併的資安業者Trellix本周警告</a>，他們在臺灣網通設備業者居易科技（DrayTek）所生產的29款路由器中，發現了遠端程式攻擊漏洞CVE-2022-32548，且其CVSS風險評分高達10分。不過，居易已在收到通知後，藉由韌體更新修補了該漏洞。</p> <p>Trellix表示，隨著全球過去兩年都實施了在家工作的政策，經濟實惠的網通設備成為中小企業讓員工可透過VPN存取的重要裝置，使得其漏洞研究團隊決定一窺居易旗艦產品的安全性，並發現Vigor 3910高效能負載VPN專業路由器含有一安全漏洞，是由登入頁面的緩衝區溢位觸發的，可造成未經授權的遠端程式執行，且完全不需使用者的互動。</p> <p>至於其它的28款居易裝置由於採用了與Vigor 3910一致的程式碼，因而也含有CVE-2022-32548漏洞。</p> <p>Trellix的研究也顯示，在全球公開網路上約有超過20萬個含有該漏洞的裝置，而那些含有漏洞卻未現身於公開網路的，亦可透過內網執行相關攻擊。</p> <p>當駭客取得了路由器的控制權之後，即可存取裝置上所儲存的機密資訊，諸如金鑰或管理員密碼，也能藉此觸及企業內部的網路資源，或是監控DNS請求，以及將它變成殭屍網路的成員等。</p> <p><a href="https://www.draytek.com/support/latest-firmwares/" target="_blank">居易則在收到Trellix通知的30天內便釋出了更新程式以修補該漏洞</a>，且目前尚未傳出鎖定該漏洞的攻擊報告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-Draytek-CVE-2022-32548-600-1.png" style="width: 480px;" /></p> </div></div></div>
2022/8/5 17:19作者陳曉莉https://www.ithome.com.tw/news/152345
【資安日報】2022年8月5日，高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自8月2日美國眾議院議長裴洛西訪臺，反對者發動網路攻擊的情況接連傳出。但即使裴洛西已經前往南韓、日本，臺灣在8月4日晚間到今天早上，仍有許多滋擾的事故發生。這包含了高雄市環保局部分網站被置換五星旗，以及國防部、外交部網站再傳出遭到DDoS攻擊而癱瘓的情況。</p> <p>再者，行政院、臺電、臺灣網路資訊中心（TWNIC）公布這幾天遭到攻擊的情況。而對於日前電子看板出現恐嚇內容的情事，TWNIC指出，有可能是廣告業者使用了中國軟體，導致攻擊者有機可乘。</p> <p>而在國際的資安新聞裡，有研究人員揭露了C2中繼站租賃服務，這種服務的出現，不只讓駭客無須自行架設相關設施，也可能會使得網路攻擊更難追查源頭。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg" style="width: 300px; float: right;" /></a>高雄市環保局揭露飲用水檢測結果的網站，在昨天晚間8時56分，傳出遭到竄改的情況，網站上出現許多中國國旗。環保局於9時15分將網站下架維修。高雄市副市長羅達生表示，此網站主要用途是向市民宣導，市府並未發現資料遺失的情況，也不會影響市民權益。</p> <p>警方初步調查顯示，駭客利用境外IP位址做為跳板入侵，是蓄意攻擊案件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></h3> <p>自8月2日開始，全臺灣陸續發生政府機關遭到網路攻擊，以及電子看板出現恐嚇訊息的情況，但這樣的攻擊態勢有多嚴重？根據臺灣網路資訊中心（TWNIC）的統計，在8月2日至3日的期間，.tw國家頂級網域DNS最大查詢量約為每秒超過8.5萬筆，其中近75%是惡意攻擊封包，來源主要是美國與中國的雲端業者。</p> <p>針對電子看板遭到竄改的情事，TWNIC認為相關攻擊行動發生的原因，在於廣告業者普遍資訊專業人力不足，亦有可能採用中國廠商的軟體，從而導致系統遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg" style="width: 300px; float: right;" /></a>美國眾議院議長裴洛西訪臺引發中國不滿，不只駭客針對政府機關發動網路攻擊，也有人伺機散布軍事演習的假消息來混淆視聽。</p> <p>國防部於8月4日指出，近期中國通訊軟體Wechat流傳一則消息，聲稱解放軍的戰機擊落了臺灣「伴飛」的戰機，並透過螢幕截圖的方式散布。但國防部強調，實際上，我國空軍根本沒有安排、執行上述提及的任務，亦無戰機遭擊落的情事，微信流傳的是不實資訊。</p> <p>事實上，這並非中國本週首度散布的謠言。在8月3日，有中國媒體報導桃園國際機場遭到導彈襲擊，並聲稱有飛官開F-16戰機投誠中國。然而，桃園國際機場根本沒有遭到軍事攻擊，中國媒體所指稱的軍官已在2020年11月因公殉職，並追贈少將。</p> <h3><strong style="font-size: 22px;"><a href="https://www.npa.gov.tw/ch/app/news/view?module=headnews&id=2136&serno=0f76d9d9-c017-427d-be86-defbff5058a9"><span style="color: rgb(0, 0, 0);">警察相關勤務系統於8月4日晚間無法使用，疑為網路連線設備故障造成</span></a></strong></h3> <p>本週臺灣政府機關接連傳出遭到網路攻擊，在這個敏感時刻相關系統故障，很可能讓人認為是駭客入侵造成。警用行動電腦系統M-Police與相關勤務系統於8月4日晚間，發生無法連線的情況，導致執勤員警因無法連線而勤務大亂，外界懷疑是遭到駭客攻擊所致。</p> <p>針對上述的情況，內政部警政署發出聲明，表示他們於昨日22時30分，發現警察相關勤務系統無法使用，經調查是機房網路連線設備故障所致，初步排除遭到駭客攻擊，亦無民眾個資外洩。經更換設備後，上述系統於今日0時50分陸續恢復服務。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/08/dark-utilities.html"><span style="color: rgb(0, 0, 0);">駭客發動攻擊的C2中繼站也可以用租的！研究人員揭露Dark Utilities中繼站租賃服務</span></a></strong></h3> <p>為了隱匿攻擊來源，駭客通常會架設C2中繼站來控制惡意軟體或下達命令，但如今這種中繼站也出現了租賃服務。思科揭露名為Dark Utilities的C2中繼站服務平臺（C2aaS），駭客宣稱提供匿名的C2基礎設施，攻擊者只要支付9.99歐元就可使用，目前至少有3千個活躍用戶，粗估經營者獲利3萬歐元。</p> <p>此C2平臺目前支援駭客使用Windows、Linux的惡意軟體，並以星際檔案系統（IPFS）代管相關檔案。研究人員指出，這樣的租賃服務很可能日後受到攻擊者廣泛利用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/rapperbot-malware-discovery"><span style="color: rgb(0, 0, 0);">殭屍網路RapperBot鎖定Linux主機而來，透過暴力破解入侵受害電腦</span></a></strong></h3> <p>資安業者Fortinet揭露名為RapperBot的殭屍網路，該殭屍網路的惡意程式以Mirai為基礎開發，但具備獨有的C2通訊協定，且與多數殭屍網路病毒的特質有顯著的差異。RapperBot自2022年6月開始，鎖定Arm、MIPS、Sparc，以及x86架構的Linux電腦，利用暴力破解的方式及SSH連線來嘗試掌控受害電腦。此殭屍網路自發現的一個半月以來，針對全球3,500個IP位址發動攻擊。</p> <p>研究人員指出，此殭屍網路病毒的功能，主要偏重於初期存取伺服器的能力，很有可能日後被用於內部網路環境的橫向移動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://content.govdelivery.com/accounts/USDHSFEMA/bulletins/3263326"><span style="color: rgb(0, 0, 0);">美國緊急警報系統存在重大漏洞，恐被攻擊者用於在電視與廣播傳送假警報</span></a></strong></h3> <p>美國國土安全部（DHS）於8月1日發布資安通告，指出攻擊者可透過該國的緊急警報系統（EAS），利用編碼器與解碼器當中的重大漏洞，進而在電視與廣播發送假的警報訊息。此漏洞由資安業者Cybir的研究人員發現，並將於DEFCON 2022大會上展示概念性驗證（PoC）攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/rce-in-dratyek-routers.html"><span style="color: rgb(0, 0, 0);">29款居易路由器存在重大漏洞，攻擊者可用來接管設備</span></a></strong></h3> <p>資安業者Trellix發現居易（DrayTek）路由器漏洞CVE-2022-32548，一旦攻擊者利用該漏洞，可在不需身分驗證或使用者交互的情況下，透過網路發動攻擊，進而有可能接管設備，或是竄改DNS配置、發動DDoS攻擊、用於挖礦攻擊等，CVSS風險評分為10分。共有29款Vigor系列路由器存在相關漏洞，根據物聯網搜尋引擎Shodan的搜尋結果，有70萬臺設備可能曝險，這些設備多在英國、越南、荷蘭、澳洲。居易已發布新版韌體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/08/high-severity-vulnerability-patched-in-download-manager-plugin"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Download Manager存在任意檔案刪除漏洞，波及10萬個網站</span></a></strong></h3> <p>資安業者Wordfence於7月上旬，發現WordPress檔案下載管理外掛程式Download Manager的重大漏洞CVE-2022-2431，此漏洞可被攻擊者用於刪除伺服器上wp-config.php，進而重新部署WordPress就能取得管理權限，CVSS風險評分為8.8分，有10萬個網站可能曝險。研究人員經由WordPress通報後，開發者於7月27日發布3.2.53版修補漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">臺電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/7321/6511147"><span style="color: rgb(0, 0, 0);">8月4日上午司法院法學資料檢索系統停擺，疑為程式漏洞所致，初步排除外部攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/german-chambers-of-industry-and-commerce-hit-by-massive-cyberattack/"><span style="color: rgb(0, 0, 0);">德國工商協會DIHK疑遭大規模網路攻擊，被迫關閉所有IT系統、郵件伺服器、電話</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securereading.com/uae-spinneys-customer-data-leak/"><span style="color: rgb(0, 0, 0);">阿拉伯聯合大公國零售業者Spinneys證實7月中旬遭勒索軟體攻擊，客戶資料外洩</span></a></span></strong></p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152302">【2022年8月4日】駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定企業而來</a></p> <p><a href="https://www.ithome.com.tw/news/152287">【2022年8月3日】總統府網站遭DDoS攻擊、統一超商與臺鐵電子看板內容被置換成恐嚇訊息</a></p> <p><a href="https://www.ithome.com.tw/news/152268">【2022年8月2日】勒索軟體LockBit透過微軟防毒軟體側載偵察工具、3千款行動裝置App恐導致用戶推特帳號遭冒用</a></p> </div></div></div>
2022/8/5 15:14作者周峻佑https://www.ithome.com.tw/news/152331
偷偷加入抓漏競賽的丹麥學生找到Cloudflare未上市服務漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名丹麥學生未獲邀請偷偷參加Cloudflare抓漏方案，但並未因此受罰，反而因在尚未上市的服務找到漏洞，獲得6,000美元的報酬。</p> <p>Cloudflare去年9月公布 Email Routing服務不公開測試版（private beta），只邀請少數使用者及研究人員試用，只有特定網域獲准存取這項服務。<a href="https://albertpedersen.com/blog/hijacking-email-with-cloudflare-email-routing/" target="_blank">年輕的丹麥安全研究人員Albert Pedersen坦承自己並未受邀</a>，於是決定自己偷偷參加。在利用工具擷取變造了向Cloudflare網頁發送的呼叫後，他意外通過Cloudflare伺服器端的驗證，成功加入封閉測試，並在其網域上設立了Email Routing服務。</p> <p>而這也正是他發現漏洞的時候。他在其Cloudflare帳號下，以主要Gmail郵件信箱設立Cloudflare Email Routing服務，以其作為郵件轉寄的目的地信箱。正常情況下，一個Cloudflare帳號只能將該服務設立在一個網域上，因為該網域已獲得驗證。但是同一個網域在不同帳號下可能則可以是未經驗證的狀態。</p> <p>在完成第1個合法信箱的註冊後，他又以同一網域，以另一個（尚未驗證的）電子郵件信箱註冊為Email Routing服務的目的地信箱。結果研究人員發現，寄向第1個合法帳號的郵件流向了第2個信箱。而第1個信箱的郵件路由設定，則被第2次信箱設定覆寫掉。</p> <p>這意謂著，攻擊者可以藉由這個漏洞，註冊和受害者相同的電子郵件信箱，將郵件導向自己的信箱，可以阻止郵件送到受害者手上，讀取其信件，也可以變更信箱密碼而接管該信箱。</p> <p>研究人員在去年12月7日透過抓漏平臺HackOne通報漏洞，2天後，Cloudflare就修補了這項漏洞。 <a href="https://hackerone.com/albertspedersen?type=user" target="_blank">根據HackerOne上的資訊</a>，Pedersen因此項發現獲得3,000美元的抓漏獎金，不過上周他的獎金又提高為6,000美元。</p> <p>這項服務還未上市，目前是公開測試版階段，Cloudflare表示本漏洞沒有遭到開採。</p> </div></div></div>
2022/8/5 16:50作者林妍溱https://www.ithome.com.tw/news/152334
Canalys預測，今年中國手機出貨量可能退回10年前
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構Canalys本周公布<a href="https://www.canalys.com/newsroom/china-smartphone-market-Q2-2022" target="_blank">今年第二季（Q2）的中國手機市場報告</a>，指出該季中國的手機出貨量為6,700萬支，比去年同期下滑10%，並高於<a href="https://www.canalys.com/newsroom/global-smartphone-market-Q2-2022" target="_blank">全球的9%下滑幅度</a>。此外，Canalys預期，今年一整年中國手機出貨量可能略低於3億支，將是中國自2012年以來表現最差的一年。</p> <p><a href="https://www.statista.com/chart/25207/countries-with-the-highest-number-of-smartphone-users/" target="_blank">根據Newzoo在2021年的統計</a>，中國是全球最大的手機市場，手機用戶超過9.5億，居次的是印度的4.9億，美國則以2.7億排名第三。</p> <p>身居全球最大手機市場，今年第二季的出貨衰退比例卻高於全球平均，包括Canalys與<a href="https://www.idc.com/getdoc.jsp?containerId=prAP49549622" target="_blank">IDC</a>都將主要原因歸咎於中國的封城政策。Canalys指出，疫情讓中國政府封鎖了許多重要城市，再加上中國境內的景氣低迷，人們擔心可支配的收入下滑，也擔心失業，而使得手機出貨量下滑。</p> <p>此外，不管是Canalys或IDC也都認為中國下半年的手機需求將持續受到影響，Canalys更說中國今年的手機年度出貨量可能低於3億支，使得它成為2012年以來表現最差的一年。</p> <p>不過，Canalys與IDC對於中國市場龍頭品牌的看法不一，Canalys認為該市場仍由Vivo領先，IDC則說Honor的出貨量已超過Vivo，雙方的差距並不大，而中國市場的前五大業者還包括Oppo、小米與蘋果。</p> </div></div></div>
2022/8/5 15:57作者陳曉莉https://www.ithome.com.tw/news/152332
零售IT雙周報第5期：全家推出智慧零售店動車，以實體店為基地出發深入人口密集場域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0724~0806)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#移動超商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人收銀</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#延伸店面</span></span></strong></p> <p><strong>全家將超商店面「開著走」，未來不只要支援自動結帳，還要即時尋找人口密集熱點</strong></p> <p>全家便利商店在臺南科學園區啟用智慧零售電動車Famimobi，8月底起將在三餐及消夜時段開進園區營業，以販賣食物類商品為主。Famimobi車上POS機透過Wifi連網到附近店家後臺電腦，以支援APP隨買跨店取、APP訂便當、代收繳費等數位服務。車後也安裝了自助結帳機，以分散結帳人潮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/famizzjzj.JPG" style="width: 600px;" /></p> <p>全家表示，Famimobi將分三階段，逐步發展新零售樣態及功能，第一階段是將綠能電動車與科技零售服務結合；下一階段要推動無人收銀功能，自動感應消費者所取商品後，直接在App中扣款；第三階段則是透過大數據分析，動態調整出車時裝載的商品，並結合熱點定位技術，將Famimobi開到人口密集熱點。</p> <p>全家近年除了設立高成本大型科技概念店來實驗新型零售科技，也嘗試以一家母店面為管理中心，將超商服務小規模延伸到更接近消費者的場域。例如2020年推出的科技簡配店，搭載智能咖啡機、自助結帳機、影像辨識貨架、人形辨識、人臉辨識及物聯網設備監控等技術，讓母店面只需付出少量額外勞力，就能管理科技簡配店。本次推出的Famimobi，則是以可移動超商形式，將服務透過Wifi連接回店面，並透過車輛來延伸母店面服務到人口密集地區。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#資源回收機</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員點數</span></span></strong></p> <p><strong>統一推出新型聯網資源回收機，除了吸引人流，還能蒐集Open Point會員數據</strong></p> <p>統一超商推出「循環經濟資源回收機」，提供折抵金或Open Point點數回饋給回收PET寶特瓶或乾電池的消費者。統一超商先前就有與高雄市政府合作，在店面中擺設由政府提供的第三代資源回收機，讓消費者透過回收獲取折抵金。本次推出的回收機，則是統一超商與集團旗下統奕包裝合作研發，不僅有聯網環境以支援Open Point集點，也搭載AI光學辨識功能來辨識寶特瓶材質，以避免誤放其他材質的物品進入機器。回收的寶特瓶會進行絞碎、壓扁並消毒，之後再製成再生材料，作為統一超商制服或其他商品原料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sevrcc.jpg" style="height: 400px;" /></p> <p>導入資源回收機，除了吸引消費者到店回收時順便用折抵金消費，更是增加了一個收集Open Point會員數據的接觸點。統一超商表示，今年年底前將於雙北及離島50家門市鋪設，明年則要拓展到超過2百家門市。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#異業合作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路零售</span></span></strong></p> <p><strong>萊爾富會員突破500萬人大關，未來將主打異業會員導流，分析跨平臺、跨通路會員消費行為</strong></p> <p>萊爾富近日公布三大數位經營戰略及多項會員經營細節。萊爾富500萬名會員中，活躍會員占45%至50%，以平均分店。未來將以發行餐飲品牌聯合電子票券、Line購物數位策略合作、以及利用AWS數據分析技術剖析會員消費行為等三個做法，用來引流異業會員、整合跨通路數據以及分析會員消費數據，以利後續擬定再行銷策略。</p> <p>萊爾富坦承，所屬母集團的子公司不如統一集團多，要累積會員人數及消費數據，只能從跨產業、跨平臺業者合作下手。因此，他們線下與餐飲業者合作，線上則與Line購物合作，由萊爾富發售餐飲票券或回饋Line Points，以吸引合作業者的消費者成為會員，並獲取消費者在合作業者端的消費行為數據分析。</p> <p>下一步，萊爾富要將這些會員行為數據，透過AWS數據分析技術將會員分群，以進行精準行銷，進而提升會員貢獻度。（<a href="https://www.ithome.com.tw/news/152126">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人收銀</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售巨頭投資</span></span></strong></p> <p><strong>英國及德國零售巨頭Tesco及Aldi Nord紛紛設立無人收銀店面</strong></p> <p><a href="https://retailtechinnovationhub.com/home/2022/7/28/tesco-getgo-store-coming-to-chiswell-street-london-powered-by-trigo-tech">英國零售巨頭Tesco表示，</a>對先前測試無人收銀技術成果非常滿意，將推出第二家無人收銀商店。Tesco無人商店利用以色列新創Trigo的無人收銀技術，結合入口身分確認、影像辨識及貨架重量感應，達到類似於Amazon Just Walk Out的效果。消費者只需入店後拿取商品，離開時就會自動線上結帳。</p> <p>無獨有偶，德國廉價零售商巨頭<a href="https://www.businesswire.com/news/home/20220718005758/en">Aldi Nord上個月也利用Trigo技術開設了首家無人收銀商店</a>，說明無人收銀技術不只是Amazon的新噱頭，更受到其他零售巨頭青睞。 </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行動掃描</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人收銀</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自助結帳</span></span></strong></p> <p><strong>英國研究：2027年全球支援行動掃描結帳的店家將從3萬多家成長到超過16萬家</strong></p> <p>除了Amazon及Trigo等較少見的無人收銀技術，另一項更普及的無人收銀技術是，由消費者邊購物邊用手機等行動裝置掃描商品（而非到自助結帳機前一次掃描）的自助掃描結帳服務，例如臺灣就有大潤發及家樂福提供此服務。</p> <p>不同於Amazon Just Walk Out跟Dash Cart等無人收銀技術需要安裝大量攝影機、貨架偵測裝置、購物車光學辨識裝置及重量感應裝置等硬體設備，行動掃描結帳主要仰賴App等掃描介面系統跟POS系統串接，建置成本較低，因此有利於普及。</p> <p><a href="https://www.rbrlondon.com/wp-content/uploads/2022/08/MSS_Press_Release_010822.pdf">英國研究機構Retail Banking Research發布報告指出</a>，全球提供此類功能的店家，從2020年36,600家增加到2021年46,000家，並預測未來將加速成長，2027年將達到161,000家。報告中也提到，除了自行開發，市場上也有專門技術提供商、行動支付商及POS系統商能協助零售商開發行動掃描系統。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數位服務縮小空間需求</span></strong></span></p> <p><strong>美國家電零售巨頭Best Buy推出小型店，結合線上下單服務以縮小陳列空間需求</strong></p> <p><a href="https://corporate.bestbuy.com/small-format-store/">在美國有超過1,000家的大型家電零售商Best Buy推出新店型</a>，將部分服務數位化，以節省店面空間需求。Best Buy店面通常有1,100坪左右，新型店面則縮小到140坪。</p> <p>新型店面最大改變，就是改變商品陳列模式以節省空間。首先，新型店面不會陳列電視以外的大型家電，而是要消費者到網路下單後，於實體店面提貨。其他商品大多也只會陳列樣品，消費者若想購買，就要透過App掃描下單，店員才會從倉儲將存貨拿至結帳櫃檯。少數小型商品，則可以掃描後直接線上付款，不須再經過結帳櫃檯。</p> <p>除了店面寬闊，Best Buy另一個特色就是門市現場常駐訓練有素的客服人員，即時提供家電及其他電子設備的疑難排解。由於小型店能容納的客服人員較少，Best Buy也推出即時線上客服服務，以減少店面人力需求。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CryptoPunk</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#另類NFT行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#飾品化NFT圖像</span></span></strong></p> <p><strong>奢侈品牌Tiffany將發售把CryptoPunk NFT圖像做成實體Tiffany飾品的服務</strong></p> <p>珠寶奢侈品牌Tiffany將<a href="https://www.retaildive.com/news/tiffany-nft-custom-necklaces/628625/">限量發售把CryptoPunk NFT圖像做成實體Tiffany飾品的服務</a>。CryptoPunk是2017年發行的熱門NFT系列，現今轉讓價動輒超過百萬新臺幣，在NFT社群中相當具地位。Tiffany做法，是對CryptoPunk持有者發售資格證明，可以讓Tifanny工匠以所持CryptoPunk圖像為原型，打造由寶石及貴金屬所製成的吊墜，同時獲得以吊墜為原型的NFT圖像。</p> <p>奢侈品牌常見的NFT行銷操作，只是將限量商品與NFT聯合發售，因此大多只吸引到對品牌忠誠度高到願意高價購入NFT商品的客戶。Tiffany則是以CryptoPunk在NFT社群地位為基礎，發售飾品化資格，因此不只能吸引Tiffany忠實客戶，更有機會能吸引到希望彰顯所持CryptoPunk NFT價值的人。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">其他零售IT動態</span></span></strong></p> <p>1. <a href="http://www.ithome.com.tw/news/152141">電商平臺巨頭Shopify CEO坦承對電商發展預期過於樂觀，近日裁員約1,000人。</a></p> <p>資料來源：iThome整理，2022年8月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/8/5 14:25作者郭又華https://www.ithome.com.tw/news/152329
微軟更新VS Code Python擴充套件，加入網頁應用程式自動除錯配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-august-2022-release/">VS Code的Python和Jupyter擴充套件8月更新</a>，這個版本有多項新功能，能夠提升開發者的工作效率。首先，這個版本針對網頁應用程式加入自動儲存配置，官方提到，由於要簡化配置VS Code執行和除錯網頁應用程式的過程，這個Python擴充套件版本針對Flask、Django或FastAPI專案提供自動化除錯配置。</p> <p>當開發者在工作區沒有除錯器配置，而且專案是遵循Flask、Django或FastAPI格式的網頁應用程式，此版本Python擴充套件便能根據執行和除錯專案，動態產生除錯配置，供開發者簡單查看所有錯誤。</p> <p>另外，微軟還提供了一個Python工具擴充套件模板。微軟透過語言伺服器協定，在Black、pylint和isort擴充套件提供格式化和linting功能，官方提到，他們意識創建Python linter或是格式化程式非常簡單，甚至不需要會編寫VS Code擴充套件的語言TypeScript，就能夠完成。因此微軟創建了一個模板，讓用戶透過修改Python程式碼，來創建專屬的Python linter或是格式化程式。</p> <p>同時，微軟也改進Python的入門體驗，現在可以更輕鬆的指引用戶在需要時安裝Python，並且在VS Code中選取使用。</p> <p>其他相關擴充套件的更新，還包括Pylance現在提供一項方便的程式碼操作，當專案中有一個或多個匯入的函式庫，但是卻沒有在程式碼中的任何位置被呼叫，則開發者可以輕鬆選擇刪除這些函式庫。最新的Jupyter擴充套件版本加入了一項小功能，能夠跳轉到最近失敗的單元格，當開發者執行所有單元格，但其中之一失敗時，便可以點按Go To按鈕，跳轉到停止執行的那個單元格。</p> </div></div></div>
2022/8/5 15:13作者李建興https://www.ithome.com.tw/news/152326
Chainalysis：跨鏈橋漏洞已成為DeFi最大安全風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周跨鏈協定<a href="https://www.ithome.com.tw/news/152280" target="_blank">Nomad遭到入侵</a>，駭客幾乎清空該協定上價值1.9億美元的加密貨幣，隨之區塊鏈分析業者<a href="https://blog.chainalysis.com/reports/cross-chain-bridge-hacks-2022/" target="_blank">Chainalysis即警告</a>，今年以來已發生過13次的跨鏈攻擊駭客事件，總計被盜走了價值20億美元的加密貨幣，占今年加密貨幣失竊案的69%。</p> <p class="rtecenter"><img alt="" src="https://blog.chainalysis.com/wp-content/uploads/2022/08/bridge-hacks-1024x476.png" style="width: 600px;" /></p> <p><a href="http://blog.chainalysis.com/reports/cross-chain-bridge-hacks-2022/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Chainalysis</span></span></a></p> <p>跨鏈協定或跨鏈橋（Cross-chain Bridge）主要是為了解決不同區塊鏈之間的互動問題，允許使用者將數位資產從一個區塊鏈移植到另一個區塊鏈，由於跨鏈橋經常具備用來接受橋接資產的中央資產存放處，而成為駭客的攻擊目標。</p> <p>此外，在今年透過跨鏈橋或其它去中心化金融（DeFi）協定被盜走的20億美元中，就有10億美元的攻擊事件與北韓駭客有關。</p> <p>Chainalysis表示，幾年前加密貨幣領域最熱門的攻擊目標還是交易平臺，但現在成功駭進加密貨幣交易平臺的已是少數，一方面是因這些平臺持續強化安全，另一方面則是因為駭客一直在尋找更新及更有價值的服務來展開攻擊；特別是有效的橋接設計還是個未解的技術難題，業者仍在開發與測試新模型。</p> <p>其實業者還是有一些防範的機制，除了強化安全之外，也能藉由區塊鏈技術的透明化特性，追蹤遺失資產的流向，並避免駭客兌現不法所得。</p> <p>Chainalysis認為，解決區塊鏈協定遭到攻擊的關鍵之一應是讓嚴格的程式碼審核成為DeFi的黃金標準，以打造更強化與安全的各種智慧合約，以讓它們成為開發者的範例。</p> </div></div></div>
2022/8/5 13:35作者陳曉莉https://www.ithome.com.tw/news/152325
微軟推出為Apple Silicon優化的Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Apple M1晶片及相關Mac電腦推出將近2年後，微軟通訊協同軟體Teams終於也要支援了。<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/announcing-microsoft-teams-optimized-for-apple-silicon/ba-p/3589463" target="_blank">微軟本周宣布</a>，針對Apple Silicon筆電系列最佳化的Microsoft Teams 服務即將正式釋出（General Available），可提供更快的執行效能。</p> <p>在聽到搭載M1及M2晶片的Mac電腦用戶心聲後，微軟已開始部署生產力等級的Teams通用二進位檔。這意謂著Teams可以在所有Mac產品上原生執行，包括搭載Apple Silicon晶片的機種，而且Teams的執行效能大幅提升，可有效使用電腦資源，即使同時使用多個高解析度螢幕進行通話或會議，也能提供良好的使用經驗。</p> <p>為Apple Silicon最佳化的Teams將在未來幾周內陸續部署給用戶。部署完成後用戶端會自動升級，使用者無需自己下載。等不及的用戶可以參加<a href="https://docs.microsoft.com/en-us/microsoftteams/public-preview-doc-updates" target="_blank">Teams預覽版測試計畫</a>，即可更早試用新功能，包括Apple M1適用的Teams。至於用戶若想及早測試其他Office功能，則可加入Office insider測試方案下的Mac頻道。</p> <p>有趣的是微軟並未公布下載Apple Silicon適用的Teams連線。用戶找到的<a href="https://statics.teams.cdn.office.net/production-osx/1.5.00.21565/Teams_osx.pkg" target="_blank">下載連結</a>在此。</p> </div></div></div>
2022/8/5 13:58作者林妍溱https://www.ithome.com.tw/news/152327
思科修補中小企業路由器2重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR" target="_blank">思科本周發布安全公告</a>，修補中小企業路由器軟體上可能導致駭客執行任意程式碼、或發動阻斷服務（DoS）攻擊的3項漏洞，包括2個風險值在9.0以上的重大風險漏洞。</p> <p>這3項漏洞為CVE-2022-20827、CVE-2022-20841及CVE-2022-20842。其中CVE-2022-20842最為嚴重，是CVSS 9.8的重大漏洞。本漏洞出在中小企業路由器RV系列的Web管理介面上，起於對用戶發送呼叫的驗證不足，可讓未獲授權的遠端攻擊者傳送改造過的HTTP呼叫開採漏洞。成功的攻擊可使攻擊者以root用戶權限在路由器底層作業系統執行任意程式碼，或使機器不斷重覆載入，導致服務阻斷。</p> <p>本漏洞為CLP-team研究人員Peanuts揭露，影響產品包括Cisco RV340、RV340W、RV345和RV345P Dual WAN Gigabit VPN Routers。</p> <p>另一個重大漏洞為CVSS 9.0的 CVE-2022-20827，為趨勢科技Zero Day Initiative和IoT Inspector Research Lab研究人員合作發現。它是出在路由器產品的網頁安全防護（Web filter）的資料庫更新功能對用戶輸入指令的驗證不足。本漏洞讓攻擊者對該功能傳送改造過的呼叫指令。成功開採漏洞也能讓攻擊者以root權限在機器底層作業系統執行指令。</p> <p>CVE-2022-20841則為路由器Open Plug and Play（PnP）模組對用戶呼叫的驗證不足，來自Chaitin Security Research Lab的通報。攻擊者可以傳送惡意呼叫來開採漏洞，而得以在底層的Linux作業系統執行任意指令。不過欲開採本項漏洞，攻擊者必須透過中間人攻擊（man-in-the-middle）取得發送指令的位置，或是先駭入連接目標路由器的某臺網路裝置上作為據點，因此風險值稍低，為CVSS 8.0。</p> <p>後2項漏洞皆影響RV160、RV260、RV340和RV345機種。</p> <p>思科已經針對3項漏洞釋出最新版軟體。由於沒有緩解風險的方法，思科呼籲用戶儘速更新。</p> </div></div></div>
2022/8/5 14:10作者林妍溱https://www.ithome.com.tw/news/152328
人才是致勝關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近電影《捍衛戰士：獨行俠》熱映，佳評如潮，重新帶動了疫後觀影人氣，從5月底上映到本期週刊截稿這天，全球票房已來到12.88億美元，除了故事情節與拍攝難度高的空中訓練與戰鬥場景，片中提到主角面臨的職涯危機，不由得讓我們重新思考人與技術孰輕孰重的關係。</p> <p>關於此項議題的探討，其實不只是現在這部電影才提到，2005年上映的《機戰未來（Stealth）》也有類似命題，不僅呈現飛行員空戰技能的必要性，也提及無人機取代飛行員的可能性，但捍衛戰士續集則改用國家想要發展無人機作為劇情轉折，後續又出現須仰賴飛行員完成特殊任務的狀況，而將後續故事的情節聚焦在戰技的磨練與實踐。</p> <p>該多花心力發展新技術，還是維持以人為本的既有步調？企業日常營運過程也經常面臨這樣的方向選擇。我們想要節省更多開支，因此，會積極發展各種技術，減少人力依賴，然而，各種可提升效率的技術創新雖然的確減輕一些負擔，時至今日，終究無法徹底取代「人」的角色。舉例來說，從生產、製造、銷售到服務，我們或許已經能夠運用部分自動化處理機制，將制式工作交由不感到厭煩、無情緒的機器來執行，但仍有許多環節必須仰賴人員從旁銜接、審視、控制，以及因應各種例外狀況。</p> <p>當然，人是血肉之軀，會感到疲倦，對於傳染病的抵抗力、極端環境的適應力，也很有限，在很多狀況下，如果能有器械輔助，人的能力就得以延伸、擴展，使其靈巧的心智能夠針對許多事情的變化，找出其他的解決方法。而各種技術再強大，其能耐同樣受限於先天的設計，若出現意外狀況，若無人力介入，往往不能敏捷應變。</p> <p>以電影中的情節而言，飛行員若要發揮戰技，需克服過程中產生的龐大重力負荷，這不只是需要合適裝備，本身也要有強健體魄，並經歷扎實訓練，才能勝任。在空中面臨各式戰況的變化下，飛行員如要精確對準目標投彈，時至今日也不如大家想像容易實現；另外，為了達成任務，我們不僅要熟悉手上的武器裝備，有時也會發生一些意外而用到舊裝備，若無經驗與彈性應變能力，將會無法解決突然出現的危機而導致失敗。</p> <p>關於人與技術的探討，在武俠小說與動漫當中也經常出現，讀者不只是著迷於許多神奇武功、超能力、兵器的厲害之處，更令大家回味再三的部分，往往是身負這些絕學與器具的人，如何發揮成效，凝聚眾人，改變時局甚至創造時局。</p> <p>這些故事裡面，我們常會看到當中的人物憑藉自身的武功、智謀、甚至所謂的運氣，而得以勝過實力可能比自己強大很多倍的對手。當然，我們也看到許多角色即便佔盡優勢，掌握了關鍵，最終仍因未妥善運用，出現墨守成規、不知變通等狀況而敗下陣來。</p> <p>回歸現實，人依舊是成就許多事情的關鍵，若有技術，需要人去運用，若無技術，更需要人去補救，誠如「人對了，事就對了」這句話大家都耳熟能詳，但對的人並不會無端出現在我們的面前，或許只能設法營造合適的環境，培育可造之材、幫助大家成長，積極發掘、吸引這樣的人與我們工作。</p> <p>時代不斷變化，人心也是，歷經兩年來的疫情洗禮，許多企業固然體認到數位轉型的必要與迫切性，然而，長期發展而成的全球與區域職場文化、工作方式，也面臨前所未有的重大挑戰，如何重新吸引人才共同努力、留下對組織未來發展至關重要的人才，持續而穩定地推動各種工作，都將成為企業能否在商場上致勝的關鍵。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div><div class="field-item odd"><a href="/tags/%E4%BA%BA%E6%89%8D">人才</a></div><div class="field-item even"><a href="/tags/%E6%8A%80%E8%A1%93">技術</a></div></div></div>
2022/8/5 10:15作者李宗翰https://www.ithome.com.tw/voice/152310
好UX策略讓創新加速落地
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu__2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我的車被撞壞了，油箱已經鬆動了。幸運的是，沒有人受傷。對方有保險，也不斷道歉。但無論如何，當我站在路邊，面對眼前這位陌生人，心中感到五味雜陳時，我知道下一個任務是弄清楚如何向高科技汽車保險公司Metromile申請第一次理賠。</p> <p>Metromile是一家舊金山的中型新創公司，透過創新商業模式和智慧車載系統的導入，來顛覆汽車保險業。他們不向客戶收取每年保單的固定保費，而是使用較低的每月基本費率加上按里程計費的定價費。雖然我住在洛杉磯，但實際上並不經常開車，因為我沒有每天都要通勤的全職工作。所以在2018年時，我決定試試看，如果從傳統的保險業者轉向這個科技顛覆者，每月付款會減少多少。註冊幾天後，我收到了一個小型無線Metromile Pulse裝置，然後我將裝置插入車上診斷連接埠來追蹤我的車輛運行資料。第一個月，每月保費下降了40%！我整個上鉤了。</p> <p>Metromile與傳統業者的不同之處在於不同的接觸點。例如，它有一個精心設計的行動App，運用他們的智慧車載系統，提供駕駛人車輛的健康狀況、位置、和駕駛模式的資訊。作為一個好奇的UX人，我時不時就會與之互動一下。但一般來說，當美國的顧客要與保險公司接觸時，都得在一個對使用者很不友善的複雜官僚系統中穿梭。那麼，Metromile會如何對待我和我被撞壞的車呢？也許省了很多錢，但是整個流程會更麻煩嗎？</p> <p>通常，美國車主在發生事故後做的第一件事就是致電保險公司的客服熱線。一位客服代表會記下事件和另一位車主的詳細資訊，為你辦理理賠手續，這樣就開啟了保險調查的流程，然後支付理賠的費用。</p> <p>但是Metromile用App來進行這個流程，我很想嘗試一下。因此，當我站在另一位車主旁邊時，就經歷了一段直觀的流程，直接進入了他們的理賠漏斗。它還用地理定位來找到事故的確切位置，所以我不需要記下街道標誌。此外，我跟發生事故後的所有人一樣，感到很慌張。但是App裡的待辦清單會協助處理所有事情：確保我有記下另一位車主的姓名和地址，將對方的駕照和汽車保險證拍照下來，蒐集所有詳細證據資料，並拍照雙方車損，以記錄損壞情況。這樣的引導方式讓我能保持冷靜，並專注於當下重要的事情。全程只花了不到10分鐘。</p> <p>送走另一位車主，回到家時，我收到了一封來自Metromile的電子郵件，信內列出了當地維修店的名單，還讓我選擇一家租車公司，這樣他們可以在我將車送到維修廠時，到現場與我見面。當車在維修時，他們提供一台很酷的黑色吉普車讓我開，而Metromile則與另一名車主的保險公司進行談判，讓我免於支付500美金理賠金額。基本上，這家新創公司不知怎麼的，將許多美國人都非常緊張的顧客經驗轉化成無痛的體驗。他們成功的不僅僅在於使用者經驗（UX）設計，而是UX策略。</p> <p>在2015年，本書第一版裡，我提到UX策略是一個在設計或開發數位產品前就要先導入的流程。它是一個解決方案的願景，並能被真實的潛在顧客所驗證，證明市場的確有這樣的需求。</p> <p>UX設計涵蓋許多像是視覺設計、內容訊息、易用性等細節，而UX策略則是一個「大方向」，比較像是上層的計畫，幫助我們在各種不確定的狀況下達成商業目標。</p> <p>本書第一版裡收錄了Adaptive Path創辦人Peter Merholz的一段訪談內容，他表示：</p> <p>在最理想的狀態下，是不需要UX策略的，因為UX策略就是產品的一部分或商業策略本身。我認為，我們有在朝著這個理想方向前進了，愈來愈多人開始將UX視為策略廣義的一部分。但UX策略本身獨立、獨特的概念對我們來說還是必要的，至少讓人們能重視它，並發展工具包，再整併至產品策略裡。</p> <p>六年後的今天，Merholz當時所說的大多應驗了。第一版書中描述的UX策略至今幾乎已是產品策略的同義詞。「UX策略」一詞通常是指在一個特定組織或公司內有策略地執行UX，也就是UX部門運作的方式、如何評估和幫助團隊成長、如何擴展UX團隊的觸及與影響力、如何聚焦能帶來最多投資報酬率的UX專案。它變得比較流程導向了。</p> <p><span style="font-size:28px;"><strong>那到底產品策略是什麼？</strong></span></p> <p>傳統的產品策略描述顧客是誰、產品如何因應當前市場需求、以及將如何實現商業目標。它是從產品願景開始，發展成路線圖，說明如何從戰術上達成目標。在企業環境中，用明確的產品策略讓利害關係人對焦是很重要的。這通常是由產品總監、產品負責人、或者產品經理來領導，策略流程包括將產品推向市場，開始成長、成熟，並且最終經歷衰退。</p> <p>但產品策略的領域也不斷在發展。現在，它更加強調透過使用者研究和設計實務來滿足顧客的需求。職稱也隨之不斷發展。UX設計師現在變成了產品設計師，也有許多前UX策略師將自己的職稱改為產品策略師。也許我也會這麼做。</p> <p><span style="font-size:28px;"><strong>為什麼產品策略很重要？</strong></span></p> <p>所有策略的目的都是要提出計畫，幫助你從現在的位置往目標狀態邁進。策略一定要依著自己的優勢，也要留意弱點，並靠著實證、輕量的方法將團隊快速地推往理想的終點。策略把設計從抽象的本質帶往批判性思考的領域，以嚴謹的方法，用清晰、理性、開放的心態看證據說話。成敗往往只有一線之隔，關鍵就是紮實有效的策略，在這個數位產品的世界裡，如果團隊間沒有共同的產品願景，時間延遲、成本增加、不良使用者經驗等這些混亂就會加劇。</p> <p>共同的產品願景意即團隊和利害關係人都對未來的產品抱持相同的心智模型。心智模型（mental model）指的是一個人心中對一件事情運作的概念。比如說，10歲的時候，我認為我媽領錢的方式是去銀行，在紙上簽名，然後從櫃檯行員那裡收到現金。20歲的時候，我知道要用提款卡，在ATM輸入密碼來領。但如果問我16歲的兒子怎麼領錢，他會跟你說，去超市買東西的時候，可以請結帳櫃檯的人員當場領給你。2021年領錢的心智模型跟1976年是差很多的，因為新科技和新商業手法讓人們能更有效率地完成任務。</p> <p>這就是為什麼我很喜歡跟心胸開放的新創公司創辦人、企業主管合作。心胸開放的態度代表了他們樂於接受挑戰和嘗試，也明白他們最初的商業理念有可能無法永續經營。如果我發現潛在合作對象對一個想法非常固著，沒有接受偏差的可能性，那麼他們就不需要我的幫助。我最喜歡的是那些真正想要改變心智模型，並願意用不斷嘗試來取得成果的客戶。</p> <p>即使規劃創新產品很有趣，但要改變人們的行為其實很難。要能讓顧客看到新的價值，不然大家不會願意拋棄舊有的東西。開發新產品來解決困難的問題並不適合心臟不夠強大的人，你一定得要有滿腔熱忱，或者至少有一點瘋狂，願意淌這灘混水，去面對所有的困境和阻礙。</p> <p>沒錯，就是要用這種熱情來解決問題、改變世界、讓人們日子更好一點。熱情並不是那些辭職來創業的人所專屬，許多產品經理、UX／產品設計師、或開發者都很熱血地運用科技來創造顧客真正渴望的產品。當這些人聚在一起，就很有機會能創造奇蹟，推翻過時的心智模型。<span style="color:#696969;"><strong>（本文摘錄整理自《UX策略》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(9).jpg" style="width: 350px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>UX策略：設計創新數位解決方案的產品策略心法（第二版）</strong></span></p> <p>Jaime Levy／著；吳佳欣／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_UX%E7%AD%96%E7%95%A5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Jaime%20Levy.png" style="width: 200px;" /></p> <p><strong>Jaime Levy</strong></p> <p>Jaime Levy是一位產品策略師、教授、和創新數位產品設計的先驅，專門協助客戶將商業概念轉為創新獨特的數位解決方案。Jaime常到世界各地舉辦產品策略工作坊與培訓課程。她的網站是jaimelevy.com。<span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Jaime Levy</span></span></p> </div></div></div>
2022/8/5 10:40未署名https://www.ithome.com.tw/article/152316
信義房屋數位轉型從人才出發，要打造更好、更快、更簡單的IT工作環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>信義房屋近日揭露5年來推動數位轉型的成果，信義房屋轉型辦公室執行經理施閔堯說，信義房屋將IT人才視為數位轉型根本，敏捷開發作法、上雲、DevOps文化及個人化IT進修輔導就是為了提供IT人員先進的技術環境、聰明的做事方法、好的組織文化以及成就感，進而提升讓IT人才在信義深耕的意願。</p> <p><strong>導入雲端架構及敏捷方法解放基礎架構人力，提供「做好事情」的環境 </strong></p> <p>隨著市場快速變化發展，信義房屋2018年起開始數位轉型，不僅拓展數位服務範疇，更要串接不同服務的數據，還要數位化各部門工作流程。至今，IT部門已經從40人增加到130人，負責開發及維護業務用App、顧客用App、加上公司內外部網站及關係企業網站上的數位服務等，超過30項產品。 </p> <p>施閔堯表示，隨著IT部門開發、維護及使用的服務增加，信義房屋開始將服務搬遷到雲端環境，以降低基礎架構維護及SRE所需人力。目前信義房屋採取混和雲架構，將官方網站、顧客用App、及業務用App部署至GCP公有雲，內部其他重要服務與數據中臺，則是放在Azure私有雲。施閔堯說，信義房屋5年來對外提供的數位服務，不僅增加了許多類型，數量也提升數倍，但負責基礎架構維護與SRE的IT人員非但沒有增加，反而能在維護更多新服務同時，還有餘裕支援產品小組的工作。 </p> <p>信義房屋在2018年先逐步導入敏捷文化。施閔堯舉例，當時成立的數據應用發展部，先從進行每日站會，定期回顧等活動開始，學習敏捷方法，並小規模的嘗試混合專業組織模式。以數據分析組來說，雖然核心是數據分析，但組內就同時包含UX/UI 、前端、後端與數據專業多元能力的人才。 </p> <p>2021年，進入數位轉型第二階段時，信義房屋IT組織架構就改為以產品、功能雙軌並進。數據、資安、雲端、DevOps等門檻較高的專業，仍然維持功能型組織架構。面對第一線客戶，或需持續發展的App產品，則改交給能快速反應需求的敏捷型產品組織，不僅實體辦公位置鄰近容易溝通，指揮系統也大幅簡化，團隊成員能共同決定大部分時程與方法。施閔堯說，這種做法對於團隊自主性思考及專業能力的發展，都有顯著成效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x1fw1.png" style="width: 600px;" /></p> <blockquote><p>信義房屋的IT組織架構分為技術門檻高，以專業為分類的功能型組織，以及注重快速反應需求，以產品或產品使用者為分類的產品型組織。下一階段，信義房屋要將更多功能型組織重組成敏捷的產品型組織。圖－信義房屋提供</p> </blockquote> <p><strong>引進DevOps文化提升開發效率，從集團高度協助個人職涯進修</strong></p> <p>2021年起，信義房屋除了從組織架構下手，進一步推動敏捷文化，也導入了DevOps做法，加速產品開發及交付效率。 </p> <p>施閔堯說，過去信義房屋的數位產品，需要統一蒐集新版本需求與開發變動需求後，才會由IT部門著手開發，一個版本的迭代周期通常長達1至2個月。為了加速開發及更新時間，信義房屋引進DevOps文化，並自行建立開發框架，作為.NET應用及iOS App的開發基礎建設，將常用網路服務封裝成開發人員能快速取用的基礎元件。例如，近期信義房屋為了鏈路追蹤，將OpenTelemetry、Tempo、Grafana等服務整合後，埋設於框架底層，用於微服務觀測。此外，自動化交付功能上，目前新開發的業務端App及中臺API服務，都能做到即時修改、自動化測試重要功能，並即時自動化部署。施閔堯說，這種簡潔俐落的開發及交付環境，不僅能快速反應業務前線需求，更能吸引後端技術人員。</p> <p>施閔堯表示，引入敏捷開發、DevOps及雲端架構，是為了打造「更好、更快、更無負擔」的IT工作環境，提升IT人員工作體驗，進而吸引並留下人才在信義房屋深耕。吸引到人才後，他們也準備了個人化培訓計畫，從集團高度協助IT人員進修專業能力。 </p> <p>為了協助IT人員制定個人化培訓計畫，信義房屋外聘人力發展顧問公司，先將IT數位專業細分為產品經理、數據科學家、UX、UI、前端、後端、SRE等15種類別，再由專家教練替不同專業職涯，設計發展路徑範本。接著，IT人員會在接受職能評估後與主管深度訪談，共同決定要發展的能力方向。這些能力除了專業IT能力，也包括溝通能力等提升職場工作效率的能力。 </p> <p>施閔堯表示，這樣的做法，除了能替每個IT人才制定適合的進修方向，也能透過與主管高頻溝通與輔導，依照IT人才在組織中的職能與協作關係，動態追蹤並調整進修情況。他並指出，由集團方先制定好進修方向，便能從集團技術發展的角度出發，更能系統性培訓符合集團發展所需能力，也能讓IT人員進修成果更直接的反映在工作中，進而獲得更多成就感。主管也能以此進修計畫為依據密集輔導員工，而不再只憑個人魅力及溝通力來領導IT人員。</p> <p>施閔堯也提到了信義房屋未來的數位發展規畫。近年來，信義房屋除了積極用科技強化核心的房屋仲介業務，更拓展到家電修繕、清潔、網路維護、健身、保全，甚至外送等服務，「只要是跟居家活有關的服務，都在考慮範圍內。」為此，信義房屋積極蒐集並分析使用者相關數據，除了用於精準推薦不動產物件給個別使用者，也能用於評估要優先開發的數位服務。</p> <p>信義房屋的數據來源主要四，分別是App及網站上的不動產相關服務數據、居家生活服務數據、線上線下廣告相關數據，以及活動接觸數據。信義房屋會在數據中臺彙整這些資料後，藉由特徵貼標等分析方法，歸納出使用人口屬性、消費性格、物件偏好、人生階段等資訊。這些數據不僅能用來掌握個別使用者需求以進行精準行銷，也能將地域資料相鄰的使用者數據結合起來進行社區分析，以掌握社區需求。施閔堯表示，信義房屋數位轉型後的理想樣貌，就是創造客戶導向的組織文化，經由數據了解使用者核心需求，再透過敏捷方法，迅速開發對應的數位服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/xyfw2.jpg" style="width: 600px;" /></p> <blockquote><p>信義房屋外聘人力發展顧問公司，將IT專業細分為15種類別後，還會依照IT人才在組織中的職能與協作關係，分不同發展方向。這些能力也包括溝通、管理等能力，讓組織運作不再只依靠主管個人魅力及能力，而是由所有IT人員共同促成良好合作環境。圖－信義房屋提供</p> </blockquote> <p> </p> </div></div></div>
2022/8/4 18:17作者郭又華https://www.ithome.com.tw/news/152304
Amazon EC2開始提供含授權的Visual Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-run-visual-studio-software-on-amazon-ec2-with-user-based-license-model/">AWS於EC2上開始提供授權Visual Studio</a>，進一步支援微軟開發生態系。用戶可以透過支付訂閱費用購買AWS所提供的Visual Studio授權，以使用EC2上提供的Visual Studio Enterprise 2022和Visual Studio Professional 2022。</p> <p>該更新讓用戶藉由使用預配置Amazon系統映像檔，按需啟動Windows執行個體，並使用Visual Studio和Windows Server授權，但又無需承諾長期授權，提供Visual Studio開發者一個靈活且方便的解決方案，</p> <p>用戶可以使用包含授權的Amazon系統映像檔，簡單地啟動EC2執行個體，並且以遠端桌面軟體連接到這些EC2執行個體，管理員可以運用AWS License Manager和AWS Managed Microsoft Active Directory（AD）工具，來集中授權用戶。</p> <p>AWS於EC2提供包含授權的Visual Studio，使得用戶能夠更靈活的執行工作負載。現在所有AWS商業和公開地區都已經在EC2上，提供包含授權的Visual Studio，用戶需要替每個使用者按月訂閱Visual Studio授權，並且對包含授權Windows Server執行個體的每個vCPU支付費用。</p> </div></div></div>
2022/8/4 21:20作者李建興https://www.ithome.com.tw/news/152297
烏克蘭關閉用來散布不實資訊的機器人農場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ssu.gov.ua/en/novyny/sbu-likviduvala-milionnu-botofermu-yaka-rozkhytuvala-obstanovku-v-ukraini-na-zamovlennia-odniiei-z-politsyl-video" target="_blank">烏克蘭國家安全局（SSU）周二（8/2）宣布</a>，已關閉了一個機器人農場，該農場管理了100萬個機器人，以及散布在各個社交網路上、擁有40萬名粉絲的多個社團。</p> <p>SSU說，此一機器人農場在各個社交網站上散布各種不實資訊，像是烏克蘭軍方首領或總統之間不和的傳聞，或是詆毀烏克蘭的第一夫人，且調查發現，此一機器人農場是由一名居住在基輔的俄羅斯人所負責，他自詡為政治專家。</p> <p>根據SSU的調查，該名機器人農場的負責人是受到烏克蘭境內一個政治力量的唆使，同時也受到俄羅斯特種部隊的利用，他開發了一個軟體，得以自動管理熱門社交網路上的眾多假帳號，並在烏克蘭的Kyiv、Kharkiv與Vinnytsia等城市設有伺服器。</p> <p>烏克蘭的執法機關在搜索這些據點之後，扣押了該機器人農場所使用的硬體與軟體，以及5,000張用來建立假帳號的SIM卡，再加上200個用來偽造IP位址以避免遭到封鎖的代理伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-SSU%20shuts%20down%20%20bot%20farm-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／烏克蘭國家安全局（SSU）</span></span></p> <p>SSU的目的是確保烏克蘭民眾不受到親俄勢力的影響，自從俄羅斯在今年2月全面入侵烏克蘭迄今，SSU已請求關閉500個親俄的YouTube頻道、逾1,500個Telegram頻道，以及逾1,500個Facebook、Instagram與TikTok帳號。</p> <p>對於要散布不實資訊而言，100萬個假帳號或機器人可能很多，但對Meta來說，消滅假帳號已是家常便飯，<a href="https://transparency.fb.com/data/community-standards-enforcement/fake-accounts/facebook/" target="_blank">該公司光是在今年第一季</a>就移除了16億個臉書假帳號。</p> </div></div></div>
2022/8/4 21:47作者陳曉莉https://www.ithome.com.tw/news/152307
Go 1.19改進泛型程式碼效能可達20％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://go.dev/blog/go1.19">Go官方推出了1.19版本</a>，這個版本因為Go 1.18大改版延後發布的關係，釋出的時程顯得有些緊湊。該版本的一大重點便是修正Go 1.18所加入的泛型功能，官方根據社群所回報的問題以及邊角案例，進行了不少調整，同時也改進了效能表現，部分泛型程式碼的效能提升甚至可高達20％。</p> <p>文件註解現在支援連結、列表和標題語法，官方提到，這些改進將有助於用戶編寫更清楚，且易於閱讀的文件註解，特別是針對大型API套件，清楚的註解有助於降低套件的採用障礙。另外，Go的記憶體模型現在也明確定義了sync/atomic套件的行為，修改後的happens-before關係定義，現在與C、C++、Java、JavaScript、Rust和Swift等程式語言一致。當前程式不受此修改影響。</p> <p>Go的垃圾回收器則加入了一個軟性的記憶體限制，該限制對於在專有記憶體容量的容器中，最佳化Go程式盡可能提高運作效率特別有用。</p> </div></div></div>
2022/8/4 21:51作者李建興https://www.ithome.com.tw/news/152298
全球第四大晶圓代工廠GlobalFoundries與Google合作，開源180nm晶片製程設計工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續推進免費開源晶片設計和製造計畫，現在宣布與全球第四大晶圓代工廠GlobalFoundries合作，使用Apache 2.0授權，發布<a href="https://opensource.googleblog.com/2022/08/GlobalFoundries-joins-Googles-open-source-silicon-initiative.html">GlobalFoundries 180MCU製程設計工具包</a>（Process Design Kit，PDK）。</p> <p>180nm晶片應用領域相當廣，包括電機控制器、RFID、通用MCU和物聯網感測器等，新興應用的發展帶動180nm晶片的生產製造，根據GlobalFoundries的資料，180nm晶片生產將持續成長，預計從目前全球每年1,600萬片成長到2026年2,200萬片。</p> <p>GlobalFoundries和Google的合作成果，將有助於推動該領域應用程式和晶片工程師創新，並且對代工生態系開源模型帶來明確的正面影響，GlobalFoundries的180nm技術平臺替開源晶片設計人員提供大量生產、成本降低和多電壓選擇等優勢。</p> <p>這個開源的180MCU PDK，是Google與GlobalFoundries合作的第一個成果，Google提到，藉由GlobalFoundries的技術與製造專業，將能夠進一步在半導體開發和製造上獲得創新。這並非Google以Apache 2.0授權發布的第一個PDK，Google之前就與SkyWater合作推出SkyWater PDK，該PDK擁有社群提交的350個獨特設計，其中約有240個供免費製造使用。</p> </div></div></div>
2022/8/4 21:57作者李建興https://www.ithome.com.tw/news/152300
使用微軟郵件服務的企業正遭到大規模網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zscaler.com/blogs/security-research/large-scale-aitm-attack-targeting-enterprise-users-microsoft-email-services" target="_blank">資安業者Zscaler本周警告</a>，他們在今年6月發現了一個大規模的網釣活動，此一惡意活動鎖定了使用微軟電子郵件服務的企業，而且採用了先進的中間人（Adversary-in-The-Middle，AiTM）攻擊，以繞過多因素認證（Multi-Factor Authentication，MFA）機制，目的是挾持受害者的微軟帳號，並展開商業電子郵件詐騙（Business Email Compromise，BEC）。</p> <p>在AiTM網釣攻擊中，駭客在使用者與所造訪的網站之間建立一個代理伺服器，藉以竊取使用者所輸入的憑證，以及已通過身分認證的期間Cookie，因而得以挾持使用者的帳號。</p> <p>微軟在今年<a href="https://www.ithome.com.tw/news/151924" target="_blank">7月初也曾揭露類似的攻擊行動</a>，強調駭客是藉由AiTM盜走了期間Cookie，因而不論使用者採用任何身分認證方法，都無損於駭客獲准進入期間的能力，並非為MFA的安全漏洞。</p> <p>根據Zscaler的觀察，駭客的攻擊對象遍布美國、英國、紐西蘭與澳洲，涵蓋金融科技、借貸、保護、能源與製造業，雖然坊間已有常見的AiTM網釣套件，諸如Evilginx2、Muraena與Modlishka，但駭客在這波攻擊中使用的是客製化套件，且在文章發表時，相關攻擊仍在持續中，每天都會註冊新的網釣網站。</p> <p>所有的攻擊都是始於網釣郵件，並於郵件中嵌入惡意連結，有些企業的主管在被駭之後，其帳號還被用來寄送更多的網釣郵件，駭客亦濫用合法的CodeSandbox與Glitch等服務（下圖），以及部署了各種偽裝，以確保不被資安管理人員或安全機制發現。</p> <p class="rtecenter"><img alt="" src="https://lh4.googleusercontent.com/J8OJWEjgzKJK-z0O4nckrU_wFFF_haVLtYTVdZhXkX7ExC-bdZgGbErWexv2L_s_6SadYsAuz3kC4DZPlrPvaLxmWNcxKUT3tBtmd73wPQIFT04crYp3LxVcORJewzdGTpWOZPsZ_UjnlYjsjFUsOPk" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/iKcxJpAzYAPrEzzeJlNmlzGC3hiK8fNEv6MUPbRtz6Hpq3siALJ49_EvGK-RQz7EsoODwWKcezMy2aN_7OX3nzbCd2SVLsMUEZ570TyWp5akDLqcn2DEl42ek-00e9y8cm4Wi-b3LilPAYJ560OiwCw" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Zscaler</span></span></p> <p>Zscaler也部署了一個誘捕系統（Honey Pot），造訪駭客所提供的網釣網頁、輸入了憑證並完成多因素認證，發現駭客在取得憑證的8分鐘之後，便登入了Zscaler所設立的帳號，不過，駭客只是檢查了該帳號的使用者檔案，並讀取了電子郵件，並未執行其它的惡意行動。但這8分鐘令Zscaler猜測帳號被危害之後的攻擊行動，是手動而非自動化的。</p> <p>另一方面，根據<a href="https://www.ithome.com.tw/news/150775" target="_blank">美國聯邦調查局（FBI）網路犯罪投訴中心（Internet Crime Complaint Center，IC3）2021年的統</a><a href="http://www.ithome.com.tw/news/150775" target="_blank">計</a>，商業電子郵件詐騙（Business Email Compromise，BEC）是去年網路犯罪投訴數量排行榜上的第九名，遠不如網釣、交易詐騙、個資外洩、身分竊盜或勒索等，但該類型的詐騙卻高居損失排行榜的第一名，去年因BEC而造成的損失為24億美元，占所有網路犯罪金額的35%，也無怪乎駭客費力部署AiTM的最終目的是進行商業電子郵件詐騙。</p> <p>Zscaler亦已公布<a href="https://github.com/threatlabz/iocs/blob/main/aitm_phishing/iocs.txt" target="_blank">此波大規模網釣攻擊的網路入侵指標（IOC）</a>供外界參考。</p> </div></div></div>
2022/8/4 18:55作者陳曉莉https://www.ithome.com.tw/news/152306
【資安日報】2022年8月4日，駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦眾議院議長裴洛西已經結束訪問行程離開臺灣，然而相關的網路攻擊仍持續發生──國防部與桃園國際機場的網站，先後於昨天半夜和今天早上遭到攻擊。</p> <p>為了散布惡意軟體，駭客經常濫用免費的檔案共享服務，或是程式碼儲存庫來存放作案工具，但最近出現了新的手法，駭客大量複製他人的程式碼儲存庫來加以濫用，有開發者認為很可能會波及原本專案的開發安全。</p> <p>駭客鎖定雲端電子郵件服務的攻擊行動，也開始能突破多因素驗證（MFA）的機制來挾持使用者的帳號，且這樣的攻擊行動還是針對企業而來。比較值得留意的是攻擊者用於繞過MFA的攻擊手法，<a href="https://www.ithome.com.tw/news/151924">在上個月也引起微軟提出警告</a>，並指出駭客的目的很可能是商業郵件詐騙（BEC）。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=8926400f-3a39-4703-981b-2419878b32d9"><span style="color: rgb(0, 0, 0);">國防部證實8月3日網站遭到DDoS攻擊</span></a></strong></h3> <p>國防部於8月4日證實，他們的網站約於3日晚間11時4分起，陸續遭到DDoS攻擊，並於11時27分流量過大導致服務中斷，經流量清洗與封鎖惡意中繼站，該網站於4日零時30分恢復運作。</p> <p>而這起事故似乎已經不是國防部網站因裴洛西訪臺而遭到攻擊。<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144">根據美國新聞網站NBC News的報導</a>，8月2日至少有4個政府網站遭到DDoS攻擊，而其中一個就是國防部的網站。</p> <h3><a href="https://money.udn.com/money/story/10511/6511538"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">桃園機場網站疑遭到網路攻擊陸續出現服務中斷的情形</span></strong></a></h3> <p>美國聯邦眾議院議長裴洛西訪臺引起中國不滿，該國解放軍在今日中午12時於臺灣周邊軍演，傳出桃園國際機場取消部分航班因應。但在軍演之前，卻傳出機場網站遭到攻擊而無法運作的情況。根據<a href="https://money.udn.com/money/story/10511/6511538">經濟日報</a>、<a href="https://www.ettoday.net/news/20220804/2308824.htm">聯合新聞網</a>、<a href="https://news.ltn.com.tw/news/life/breakingnews/4014051">自由時報</a>的報導，今日上午8時起，桃園國際機場的網站出現無法運作或是執行緩慢的現象。</p> <p>根據上述的報導，知情人士透露這起事故發生的原因。起因疑似駭客持續發動攻擊，並屢次企圖登入網站，消耗伺服器大量運算資源，導致網站無法瀏覽。對此，<a href="https://www.taoyuanairport.com.tw/pressrelease/653115D9-AA13-ED11-BBC8-005056BD475F">桃園國際機場也發出聲明</a>，表示網站從上午8時許出現連線不穩定的情況，他們在11時排除。該公司亦指出內部網路、行動裝置App，以及機場營運皆正常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/35-000-code-repos-not-hacked-but-clones-flood-github-to-serve-malware/"><span style="color: rgb(0, 0, 0);">駭客複製逾3.5萬個GitHub儲存庫，意圖散布惡意軟體</span></a></strong></h3> <p>程式碼儲存庫提供的複製功能，讓開發人員能引用他人的程式碼並進一步改寫，但這樣的功能也有可能遭到濫用。軟體開發員Stephen Lacy近日在GitHub上發現，有35,613個儲存庫被用於惡意軟體攻擊，但這些儲存庫並非駭客自行建置，而是複製他人的儲存庫而來。</p> <p>另一名開發者James Tucker表示，這些被複製的儲存庫很有可能還會曝露原始儲存庫的API密鑰、Token、AWS的帳密。GitHub獲報後已刪除上述複製的儲存庫，並強調尚未有證據顯示開發者的帳號遭駭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/large-scale-aitm-attack-targeting-enterprise-users-microsoft-email-services"><span style="color: rgb(0, 0, 0);">大規模微軟電子郵件信箱服務攻擊再度鎖定企業而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png" style="width: 300px; float: right;" /></a>資安業者Zscaler近期揭露針對微軟電子郵件用戶的網路釣魚行動，駭客在今年6月，使用了Adversary-in-the-Middle（AiTM）的攻擊手法，來規避多因素驗證（MFA）的身分驗證流程，並使用URL重新導向的方式來規避企業的防護系統偵測。</p> <p>這些駭客攻擊的目標主要位於美國、英國、紐西蘭、澳洲，並鎖定金融、能源、製造業下手。研究人員指出，為了延長攻擊的有效時間，駭客濫用了雲端程式碼編譯平臺，如：CodeSandbox、Glitch等。</p> <p>駭客利用AiTM手法攻擊微軟企業用戶的情況並非首例──<a href="http://www.ithome.com.tw/news/151924">微軟在上個月揭露在2021年9月開始出現的攻擊行動</a>。相較之下，發生在今年6月的事故裡，駭客利用了更多隱匿攻擊意圖的手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/thousands-of-solana-wallets-drained-in-attack-using-unknown-exploit/"><span style="color: rgb(0, 0, 0);">區塊鏈平臺Solana遭到攻擊，近8千個錢包遇害</span></a></strong></h3> <p>在8月2日3日，區塊鏈平臺Solana出現了大量加密貨幣錢包資產被盜的情況，此事亦得到Solana的證實。根據區塊鏈分析業者Elliptic的統計，7,947個Solana熱錢包中的數位資產被盜轉，共有580萬美元數位資產被盜，當中有260萬美元為美元穩定幣（USDC）、180萬美元的SOL幣。研究人員指出，此起攻擊事件疑似與軟體錢包有關，而非Solana平臺程式碼的臭蟲。</p> <h3><strong style="font-size: 22px;"><a href="https://ssu.gov.ua/en/novyny/sbu-likviduvala-milionnu-botofermu-yaka-rozkhytuvala-obstanovku-v-ukraini-na-zamovlennia-odniiei-z-politsyl-video"><span style="color: rgb(0, 0, 0);">烏克蘭破獲俄羅斯在基輔架設的機器人農場</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg" style="width: 300px; float: right;" /></a>為了誤導烏克蘭人對戰爭情勢的了解，俄羅斯駭客試圖透過機器人（Bot）農場來大量散播假消息，而且還是在烏克蘭境內部署相關設備。烏克蘭國家安全局（SSU）於8月2日指出，他們破獲俄羅斯人在基輔架設的機器人農場，這個農場擁有超過百萬個機器人，並使用了5千張SIM卡來建置社群網站帳號，該農場亦架設200個代理伺服器，以便隱匿來源IP位址。</p> <h3><a href="https://blog.malwarebytes.com/threat-intelligence/2022/08/woody-rat-a-new-feature-rich-malware-spotted-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯航空公司遭到Woody RAT惡意軟體攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes發現為期超過一年的木馬程式Woody RAT攻擊行動，駭客疑似鎖定俄羅斯聯合航空製造公司下手，並透過壓縮檔或是惡意Office檔案來散布此惡意軟體。</p> <p>研究人員指出，在惡意Office檔案中，駭客利用了Follina漏洞在受害電腦植入木馬程式。此外，為防範資安人員追查源頭，該惡意軟體與C2通訊的流量，使用了RSA-4096和AES-CBC等演算法來進行加密。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/h/solidbit-ransomware-enters-the-raas-scene-and-takes-aim-at-gamer.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體SolidBit鎖定電玩玩家與社群網站用戶而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png" style="width: 300px; float: right;" /></a>趨勢科技發現勒索軟體SolidBit變種，駭客將此惡意軟體上傳到GitHub，並偽裝成遊戲工具或是社群網站工具，如英雄聯盟（League of Legends）的帳號檢測工具、Instagram追隨者機器人，來引誘受害人上當。</p> <p>研究人員指出，此勒索軟體採用.NET開發，並以勒索軟體Yashma（亦稱Chaos）為基礎進行修改，並擁有類似LockBit的勒索訊息及通訊網站。開發SolidBit的駭客以訂閱服務型式（Ransomware-as-a-Service）提供相關工具，並以收到的贖金8成為誘因，吸引攻擊者上門。</p> <h3><a href="https://blog.cyble.com/2022/08/02/fake-atomic-wallet-website-distributing-mars-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客以提供加密貨幣錢包軟體的名義散布惡意軟體Mars Stealer</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Phishing-site-impersonating-Atomic-Wallet-website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Phishing-site-impersonating-Atomic-Wallet-website.png" style="width: 300px; float: right;" /></a>資安業者Cyble揭露近期竊密軟體Mars Stealer的散布手法，駭客打造冒牌的Atomic加密貨幣錢包網站，吸引投資加密貨幣的Windows使用者上勾。</p> <p>一旦投資者依照指示下載、安裝應用程式，此安裝程式的批次檔（AtomicWallet-Setup.bat）將會觸發PowerShell命令，來提升權限，並執行以AES或Base64演算法加密的程式碼，進而於受害電腦植入Mars Stealer。研究人員呼籲使用者要留意下載應用程式管道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tw.wpsoffice.com/article/571"><span style="color: rgb(0, 0, 0);">WPS Office出現OLE物件處理漏洞，PPS、PPSX簡報檔案恐被用於攻擊</span></a></strong></h3> <p>WPS Office臺灣總代理無敵科技於8月3日發布資安通告，他們發現特定版本的Windows版辦公室軟體，在處理物件連結與嵌入（OLE）的過程中，存在邏輯漏洞，可被攻擊者用來製造惡意的PPS與PPSX簡報檔案，使用者若是不慎開啟這種惡意檔案，並在播放投影片的過程移動滑鼠或點選OLE物件，就有可能從遠端伺服器下載惡意程式碼並執行，使得攻擊者能在電腦重開機後進行控制。該公司表示將發布新版修補上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.gov.uk/government/news/cma-provisionally-clears-nortonlifelock-avast-merger"><span style="color: rgb(0, 0, 0);">英國同意NortonLifeLock併購Avast</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://techcrunch.com/2022/08/01/wiseasy-android-payment-passwords/"><span style="color: rgb(0, 0, 0);">行動支付服務業者Wiseasy遭駭，14萬付款用戶資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-remote-code-execution-bug-in-vpn-routers/"><span style="color: rgb(0, 0, 0);">思科修補小型企業VPN路由器重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://source.android.com/security/bulletin/2022-08-01"><span style="color: rgb(0, 0, 0);">Google修補安卓重大漏洞CVE-2022-20345，若不修補有可能讓攻擊者透過藍牙發動RCE攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/google-paid-out-90000-vulnerabilities-patched-chrome-104"><span style="color: rgb(0, 0, 0);">Google發布Chrome 104，共修補27個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.oxeye.io/blog/golang-parameter-smuggling-attack"><span style="color: rgb(0, 0, 0);">研究人員揭露Go語言的ParseThru漏洞，恐波及此程式語言開發的應用程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://medium.com/tinder/exploiting-github-actions-on-open-source-projects-5d93936d189f"><span style="color: rgb(0, 0, 0);">GitHub持續交付與整合服務存在漏洞，恐被用於取得GitHub儲存庫存取權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nextgov.com/cybersecurity/2022/08/nist-cisa-finalizing-guidance-identity-and-access-management-post-solarwinds/375279/"><span style="color: rgb(0, 0, 0);">NIST、CISA改良身分與存取管理指南，已接近完成階段</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152287">【2022年8月3日】總統府網站遭DDoS攻擊、統一超商與臺鐵電子看板內容被置換成恐嚇訊息</a></p> <p><a href="https://www.ithome.com.tw/news/152268">【2022年8月2日】勒索軟體LockBit透過微軟防毒軟體側載偵察工具、3千款行動裝置App恐導致用戶推特帳號遭冒用</a></p> <p><a href="https://www.ithome.com.tw/news/152230">【2022年8月1日】 Atlassian Confluence密碼寫死漏洞已有駭客攻擊鎖定利用，台積電擴大推動營業祕密註冊制度</a></p> </div></div></div>
2022/8/4 16:35作者周峻佑https://www.ithome.com.tw/news/152302
臺牙醫科技新創打造牙周病判讀AI，今年拼TFDA取證還要整合保險給付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本土牙醫科技新創台灣牙e通（dentall）打造牙科影像判讀AI，不只能判斷基本的口腔X光片牙位、分辨牙齒位置和牙肉，還能預測蛀牙病灶和牙周病期別，其中，牙周病預測準確率達97%。目前，他們正準備申請衛福部食藥署智慧醫材SaMD認證，通過後，將把AI軟體嵌入自家雲端牙科醫療資訊系統（HIS）中，銷往國內外牙科診所。接下來，團隊也計畫將牙周病AI判讀結果，結合保險給付，來簡化民眾保險申請流程。</p> <p><span style="font-size:22px;"><strong>牙科醫師跳下成立科技新創，要數位化也要打破資訊藩籬</strong></span></p> <p>台灣牙e通創辦人暨執行長陳欽章透露，自己原是名牙科醫師，在2015年成立牙科診所執業後，發現許多資訊整合痛點，比如牙科病歷系統介面老舊、功能局限等，因此他決定成立台灣牙e通，定位為牙科診所解決方案供應商，來解決這些痛點。</p> <p>他們先是打造牙科HIS系統，從使用者角度改良介面，比如將文字病歷視覺化，以牙齒圖示和不同顏色來呈現患者口腔狀況，以及適合的治療方法，讓民眾更理解醫師的治療決策。又比如，團隊打造如Google日曆般的約診系統，醫師移動滑鼠，就能查看預約患者資料。</p> <p>另外，他們也將傳統需要複寫紙的牙技流程數位化，讓醫師可在系統填寫假牙製作需求和資訊，再傳給牙體技術所（也就是技工所）。其中，他們導入AI技術，在醫師拍下患者牙齒照片、上傳雲端後，來校正牙齒顏色，讓牙技師傅做假牙時，不必再到診所進行比色驗證。他們打造的系統，已銷往15國共150家診所。</p> <p><strong><span style="font-size:22px;">自組研發團隊打造牙周病預測AI，今年拼TFDA取證</span></strong></p> <p>後來，2019年，他們自組研發團隊，開始打造牙科影像辨識AI。他們與北醫聯手，透過北醫提供去識別化且經標註的牙齒影像，來訓練AI模型。第一階段，他們先訓練模型辨識牙位，比如上、下排或左、右排牙齒。台灣牙e通研發副總傅懷磊解釋，目前，牙科診所拍完患者口內影像或X光片，「影像都是散的，需要人工排序定位，」而他們的模型，現已可在大量散亂的影像中，自動排序牙位。再來是第二階段，讓模型辨識牙肉與牙齒位置（如第幾顆）。</p> <p>傅懷磊指出，在這些基礎上，團隊訓練模型辨識其他疾病，比如牙周病。因為，牙周病的辨識是根據牙肉和牙齒露出牙肉的比例來計算，有了牙位和牙齒牙肉定位基礎，就能判斷每顆牙齒的牙周病風險。</p> <p>在風險的判斷上，他們根據美國牙周病學會標準，讓模型學會辨識4種期別的牙周病，來預測每顆牙齒的期別風險。陳欽章表示，目前，牙周病判讀AI的準確率達97%，而這些期別預測值，會顯示在X光片的牙齒上，便於醫病溝通。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3381.jpg" /><br /> 模型判讀牙周病期別風險後，會於醫學影像上顯示個別牙齒的牙周病期別，便於醫病溝通。</p> </blockquote> <p>像是，醫師可解釋不同期別的治療方式，比如，第一期別屬於正常，第三期別較嚴重，需要進行牙周病再生治療，「這就符合保險給付項目，未來可與保險業者串接，簡化給付流程。」陳欽章指出，團隊目前正準備食藥署SaMD認證，也考慮申請美國FDA和歐盟CE的智慧醫材認證。</p> <p>取證後，他們將把該功能嵌入自家HIS產品中，來實際改善臨床診斷流程。如此一來，也就能發展後續的保險給付串接，來簡化給付手續。</p> <p>除了牙周病，團隊也正開發蛀牙病灶偵測功能，接下來也打算進一步延伸治療計畫書功能，要讓病患走出診所，就能在手機App上查看治療計畫。</p> </div></div></div>
2022/8/4 16:57作者王若樸https://www.ithome.com.tw/news/152303
英執政黨黨內選票作業因擔心駭客攻擊而延後
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國媒體<a href="https://www.bbc.com/news/uk-politics-62402642" target="_blank">BBC</a>、<a href="https://www.theguardian.com/politics/2022/aug/02/ballot-papers-for-tory-leadership-vote-delayed-after-security-concerns" target="_blank">《衛報》</a>等報導，英國保守黨即將投票選出下任首相，但因資安理由決定將選票作業延後數天。</p> <p>英國在Boris Johnson辭去首相後，保守黨將在兩名角逐者Liz Truss和Rishi Sunak之間選出繼任者，他們分別現任英國外交、國協及發展事務大臣及財政大臣。而保守黨也將於本周向16萬黨員發送紙本選票，但選民拿到的時間從原本的本周一延到最晚本周四。</p> <p>根據媒體取得保守黨發出的通知說明，選票抵達時間最晚到8月11日，原因是他們多花了一點時間強化投票的安全，使得作業些微耽擱。</p> <p><a href="https://www.telegraph.co.uk/politics/2022/08/02/tory-leadership-voting-delayed-gchq-hacking-warning/" target="_blank">媒體報導</a>，保守黨是因應英國資安主管機關GCHQ轄下的國家網路安全中心（National Cyber Security Centre, NCSC）日前警告，駭客可能竄改選票結果後而決定強化安全措施。</p> <p>原本的設計是紙本和線上投票制並行。紙本選票寄出後若選民改變心意還可以安全碼在線上系統變更。但在資安疑慮下，保守黨決定只採第一階段的投票結果。選民必須在9月2日前完成投票，而9月5日就會完成統計，選出下任首相。</p> <p>保守黨發言人表示，經過和NCSC諮詢後，該黨決定強化投票過程的安全措施。NCSC也證實對保守黨的線上黨魁投票提出安全建議。NCSC指出，維護英國民主和選舉過程是其優先任務，該機構向來和所有政黨、地方政府和議員合作提供安全指引及支援。</p> </div></div></div>
2022/8/4 16:28作者林妍溱https://www.ithome.com.tw/news/152301
Google修補Android重大藍牙RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/security/bulletin/2022-08-01" target="_blank">Google本周發布8月份Android安全更新</a>，修補影響核心、系統、框架及晶片元件的30餘項漏洞，包括一項可經由藍牙發動攻擊的重大漏洞。</p> <p>這些漏洞公布前至少1個月前，Google已經通知Android合作夥伴，而原始碼的修補程式將會在公布後48小時內釋出到Android Open Source Project（AOSP）儲存庫。</p> <p>本月修補的漏洞中，最嚴重的是CVE-2022-20345，Google未提供細節，僅說明它可讓攻擊者在未取得執行權限情況下，經由藍牙遠端執行程式碼，是本月唯一被列為重大風險的漏洞，影響AOSP 12及12L。</p> <p>除了RCE漏洞外，Android作業系統還修補了6項高風險漏洞，包括5項權限擴張（escalation of privilege，EOP）及1項阻斷服務攻擊（DoS）漏洞。</p> <p>其他漏洞方面，Google也修補了框架部份9項高風險漏洞，當中有5項EoP漏洞及4項資訊洩露漏洞，以及媒體框架2個高風險的資訊洩露漏洞。</p> <p>這些修補程式僅適用於Android 10以上版本。</p> <p>Google同時以另一份安全公告，修補核心檔案系統內1項EoP漏洞（CVE-2022-1786），並釋出第三方晶片商提供的修補程式，影響元件包括Imagination Technologies的GPU、Qualcomm音訊元件、MediaTek GPU、Unisoc（紫光展銳）VSP。</p> </div></div></div>
2022/8/4 15:06作者林妍溱https://www.ithome.com.tw/news/152299
傳甲骨文美國地區開始裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/oracle-axes-u-s-staff-part-of-plan-to-lay-off-thousands" target="_blank">The Information</a>、<a href="https://www.bloomberg.com/news/articles/2022-08-01/oracle-cuts-workers-in-us-customer-analytics-division" target="_blank">彭博</a>等媒體報導，甲骨文已開始裁撤美國地區的公司人力，可能會再擴及印度、加拿大及歐洲等地。</p> <p>7月初已有媒體披露，受到景氣反轉直下、前景不明影響，甲骨文將展開10億美元成本削減計畫，包含裁減數千名員工。此後裁員消息蔓延開來，顯示受影響的可能是客戶服務及電子商務應用部門。</p> <p>本周各大網路論壇傳出裁員行動已經開始。消息人士指出，美國地區的裁員大刀向舊金山灣區開鍘，但波及人數不明。而印度、加拿大及歐洲也可能會是下一波裁員的地區。</p> <p><a href="https://www.theregister.com/2022/08/02/oracle_layoffs/" target="_blank">The Register報導</a>，一些被裁的員工在<a href="https://www.linkedin.com/news/story/oracle-begins-layoffs-in-us-5933642/" target="_blank">LinkedIn</a>、推特上公布自己的遭遇。這波主要影響行銷及售前技術工程師，後者每個團隊可能裁減7到10人。但是也不乏客服、投資人關係、開發人員及人力招募等職位。被裁者資歷從剛加入者到20年老鳥都有，也有整個部門被裁撤的傳言。有人認為，要裁減10億美元成本，砍掉1萬人也是有可能的。</p> <p>甲骨文並未對此評論。</p> <p>根據甲骨文截至5月底的資料，該公司全職員工有14.3萬人。</p> <p>另一方面，報導指出，Dell、微軟及AWS已經透過LinkedIn向這些前甲骨文員工招手。</p> <p>根據<a href="https://investor.oracle.com/investor-news/news-details/2022/Oracle-Announces-Fiscal-2022-Fourth-Quarter-and-Fiscal-Full-Year-Financial-Results/default.aspx" target="_blank">甲骨文截至5月31日的財報</a>，上一季甲骨文整體營收僅較前一年成長5%，雲端及本地部署軟體授權成長18%，雲端服務業務、服務業務各成長3%，硬體業務則較去年同期衰退3%。</p> <p>為追求更新的營收來源，<a href="https://www.ithome.com.tw/news/151399" target="_blank">甲骨文6月完成</a>以283億美元收購最大電子病歷商Cerner，欲提供集中化的雲端電子病歷等醫療應用。</p> <p>而在大環境不佳及通膨等挑戰下，<a href="https://www.ithome.com.tw/news/152139" target="_blank">市場傳言</a>甲骨文已通知客戶將調漲軟體支援服務費，美國地區漲幅高達8%，而其他地區也都會調價。</p> </div></div></div>
2022/8/4 13:19作者林妍溱https://www.ithome.com.tw/news/152296
華碩聯手台哥大、英特爾及台智雲打造5G AI Ready整合平臺，要讓企業專網、混合雲、AI、擴增實境應用都能在單一平…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看好未來5G物聯網、企業專網市場龐大商機，華碩於4日聯合台灣大哥大、英特爾及其子公司台智雲共同推出一個5G AI Ready整合平臺，整合5G通訊、公雲、邊緣雲，還結合AI平臺及各種AI場景應用，希望打造成為一個單一平臺，讓所有應用都能在這個平臺來部署和執行，包括邊緣AI、AR、VR以及智慧製造、智慧醫療和智慧城市三大垂直產業應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20220803_015845956.jpg" style="width: 600px; height: 341px;" /></p> <p>這次聯合4家業者推出的5G AI Ready平臺，主要提供三種解決方案，包括針對企業用戶推出的5G與AI數位服務方案、整合的ISV解決方案，以及5G電信整合方案。</p> <p>華碩電腦協理暨台智雲技術長陳忠誠表示，透過這些方案，能夠整合客戶和應用開發商需要的複雜基礎建設、平臺和解決方案，加快企業5G AI導入速度，包括整合5G、雲端、物聯網裝置、AI、VR、AR基礎建設等，不只企業用戶馬上能用，也能讓應用開發商在這個平臺上進行開發和驗證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20220803_011316036(1).jpg" style="width: 600px; height: 374px;" /></p> <p>為了建造該平臺，華碩找來了台哥大、英特爾和其子公司台智雲等軟硬體、雲端業者合作，其中，最底層運算及加速硬體層，由英特爾負責提供，包括OneAPI框架、電腦視覺開發工具OpenVINO等；至於電信和通訊層部分，則有台灣大哥大和亞旭電腦來負責，將提供5G專網相關基地臺或核網設備等，之後也會加入O-RAN開放電信架構的方案，另外，華碩會提供IoT與Edge端的硬體解決方案，NetAPP則會提供高速儲存設備，並透過台智雲一站式MLOps服務OneAI，支援雲端和邊緣不同應用任務，包括AI、AR、VR，以及智慧製造、智慧醫療和智慧城市三大垂直產業應用。</p> <p>因為整合英特爾OneAPI框架，陳忠誠表示，使用者從平臺上可以很方便使用OneAPI工具來開發跨硬體架構的功能或應用，平臺也內建自動標註輔助功能，能夠縮短AI應用開發時間，像是可以利用內建CVAT影像標註工具，快速完成車牌框及車牌號碼的標註等。</p> <p>該平臺也結合台智雲混合雲技術，在台哥大5G專網和公網環境下，可供企業建置專網的邊緣雲與公網公雲，來因應不同應用任務需求，如果是屬於即時性、低延遲的應用，就能部署到專網邊緣雲，若是需較複雜運算或是立即性需求的應用，就能採用公網公雲模式來部署。也因為兩者採相同介面，企業可以根據需求跨專網邊緣雲與公網公雲執行。</p> <p>華碩表示，原本華碩就有不少跨產業的AIoT應用，涵蓋智慧製造、智慧醫療和智慧城市等，還提供各種不同雲端平臺或物聯網設備，如AI雲平臺、智慧物聯網終端、伺服器、通訊設備等，未來可藉由5G AI Ready平臺，導入到更多企業應用場域。</p> <p>除了推出5G AI Ready平臺外，華碩還在華碩AI雲創園區建立5G AI共創實驗室，未來可以讓合作夥伴在這個實驗室開發和驗證其應用，除了用於產品或應用展示，也能加速企業客戶導入。</p> </div></div></div>
2022/8/4 10:45作者余至浩https://www.ithome.com.tw/news/152292
Windows 11安全工具SAC加入封鎖ISO、LNK等多種檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著駭客找出Office預設封鎖巨集的因應之道，微軟也跟著強化安全工具。<a href="https://twitter.com/dwizzzleMSFT/status/1554276804868771840" target="_blank">微軟宣布</a> Windows 11的智慧應用程式控管（Smart Application Control，SAC）也將預設封鎖來自網路上的ISO及LINK等檔案。</p> <p>微軟企業及OS安全部門副總裁David Weston指出，Windows 11的SAC現在也支援封鎖和巨集一樣具有Mark of the Web（MoTW）的檔案，如ISO及LNK檔。</p> <p>這是在<a href="https://www.ithome.com.tw/news/152193" target="_blank">安全廠商本周公布惡意郵件附檔新趨勢</a>後，微軟做的安全強化。Proofpoint指出，微軟關閉Office XL4及VBA巨集後，釣魚詐騙使用包含巨集的附檔次數驟減66%，但使用ISO、RAR、LNK等類型檔案感染用戶則大增數十倍。</p> <p><a href="https://www.ithome.com.tw/news/150331" target="_blank">微軟於4月首次公布SAC</a>（下圖），宣稱是安全防護的一大進展。根據微軟的說明，<a href="https://support.microsoft.com/en-us/topic/what-is-smart-app-control-285ea03d-fa88-4d56-882e-6698afdb7003" target="_blank">SAC是根據微軟AI雲端安全分析服務</a>，為用戶欲執行的App給定安全預測評分。若App被認定為惡意或不安全檔案，就會被SAC封鎖執行。若無法使用該雲端服務，SAC會檢查App是否具有有效的簽章，未獲得簽章，或是簽章過期，也會被SAC判定不安全而封鎖。</p> <p class="rtecenter"><img alt="" src="https://support.content.office.net/en-us/media/880638ed-3120-4d38-8320-8a408d155033.png" style="width: 518px;" /></p> <p>圖片來源／微軟</p> <p>知名安全專家<a href="https://twitter.com/wdormann/status/1554475849365291010" target="_blank">Will Dormann</a>發現，SAC會預設封鎖.img、.VHD和.VHDX等檔案類型（下圖）。<a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-smart-app-control-blocks-files-used-to-push-malware/" target="_blank">Bleeping Computer</a>的測試則證實，.appref-ms、.bat、.cmd、.chm、.cpl、.js、.jse、.msc、.msp、.reg、.vbe、.vbs、.wsf也在預設封鎖之列。</p> <p class="rtecenter"><a href="https://twitter.com/wdormann/status/1554475849365291010" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FZKbhjpX0AAHnVI?format=jpg&name=medium" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><a href="http://twitter.com/wdormann/status/1554475849365291010" target="_blank"><span style="color:#696969;">圖片來源／</span></a><a href="https://twitter.com/wdormann/status/1554475849365291010" target="_blank"><span style="color:#696969;">Will Dormann</span></a></span></p> <p>SAC僅在Windows 11以全新安裝（clean install）時啟動。但用戶可以手動關閉，或是在評估版（evaluation mode）中，「微軟認為用戶不適用SAC」而將之關閉。</p> <p>目前只有Windows 11有SAC，這功能僅釋放給Windows測試版的Insider用戶。安裝Windows 11 22H2預覽版的用戶已可測試。</p> </div></div></div>
2022/8/4 12:03作者林妍溱https://www.ithome.com.tw/news/152295
Amazon百億參數模型小樣本學習勝過GPT-3、PaLM千億參數大模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amazon.science/blog/20b-parameter-alexa-model-sets-new-marks-in-few-shot-learning">Amazon以新範式改善Alexa人工智慧</a>，模型只需最少的人工輸入，就能將知識在不同語言中轉移，官方提到，這樣的模型有效提高新功能的開發速度，並且能夠同時在多種語言上改進Alexa。當前人工智慧的主要進步都來自監督式學習，也就是使用帶注解的資料訓練模型，但Amazon提到，隨著商業人工智慧規模不斷擴大，仰賴注解的方法變得不可行。</p> <p>為了解決這個問題，Amazon發展出了新方法，引入基於Transformer的大規模多語言模型AlexaTM（Alexa Teacher Models），只需要給幾個任務提示，AlexaTM就能夠將已知的知識，從一個語言轉移到另一個新語言，而這過程不需要額外的人工監督。</p> <p>僅有200億參數的AlexaTM 20B，在多種語言任務上優於擁有數千億參數的大型模型。AlexaTM 20B不僅可以跨語言遷移所學知識，還可以從小樣本中學習新任務，官方提到，他們的研究是受到OpenAI GPT-3模型的啟發，但是相較於其他唯解碼器架構的大型語言模型，AlexaTM 20B採用序列到序列（seq2seq）的編碼器-解碼器架構。</p> <p>AlexaTM 20B在翻譯和文本摘要的效果優於GPT-3，同時也支援更多的語言，包括阿拉伯語、英語、法語、泰米爾語和泰盧固語等。而且因為AlexaTM 20B的參數數量較少，且Amazon對訓練引擎的改進，因此AlexaTM 20B在訓練期間的碳足跡，只有GPT-3的五分之一。</p> <p>不只如此，在給定單個文章摘要的情況下，AlexaTM 20B可以比擁有5,400億參數的PaLM 540B模型，生成更高品質的英語、德語和西班牙語摘要。</p> <p>而在Flores-101資料集上，AlexaTM 20B的小樣本機器翻譯，幾乎大勝所有語言模型，特別是在馬拉地語、泰米爾語和泰盧固語等低資源語言間翻譯的效果更好。官方提到，這表示他們大規模seq2seq方式的預訓練，可以提高低資源語言的機器翻譯品質，與需要平行翻譯資料進行訓練的多對多機器翻譯系統相比，從不同語言進行翻譯對AlexaTM 20B可說是毫無難度。</p> <p>AlexaTM 20B是目前最大的多語言seq2seq模型，能夠進行小樣本學習，Amazon現在對外釋出，限用於非商業用途，以促進開發和評估多語言大型語言模型。</p> <p>而Amazon經過分析，發現AlexaTM 20B與其他大型語言模型一樣，產生的內容可能包含來自訓練資料中的有毒語言、社會偏見和刻板印象，因此官方提醒用戶，需對該模型的使用進行完整的公平和偏見分析，以充分瞭解可能產生的危害。</p> </div></div></div>
2022/8/4 10:24作者李建興https://www.ithome.com.tw/news/152283
駭客清空近8,000個Solana錢包，疑似與錢包所使用的軟體有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Solana區塊鏈這幾天成為駭客主要的攻擊目標，從8月2日到8月3日，已有大約8,000個Solana錢包中的數位資產被盜轉。<a href="https://twitter.com/SolanaStatus/status/1554721709357498368" target="_blank">Solana平臺已證實了此事並展開調查</a>，而<a href="https://hub.elliptic.co/analysis/over-5-8-million-drained-in-solana-wallet-exploit/" target="_blank">區塊鏈分析業者Elliptic</a>則統計，在遭到盜轉的、價值580萬美元的數位資產中，約有260萬美元的USDC與180萬美元的SOL幣，其它資產則占了140萬美元。</p> <p>根據Solana的初步調查，駭客的攻擊行動影響了多個錢包，包括Slope與Phantom，而且不管是行動版或是擴充程式版皆受害，此外，受到波及只有熱錢包，基於硬體的冷錢包則完好無缺，使得Solana再度建議使用者採用硬體錢包，但不要使用同樣的（Seed Phrase）。</p> <p class="rtecenter"><a href="https://twitter.com/SolanaStatus/status/1554695981781901312" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-Solana%20Status-600-1.png" style="width: 581px;" /></a></p> <p>Elliptic指出，所有用來執行攻擊的帳號都是由同樣的帳號所建立，顯示這是由單一駭客所展開的攻擊。Solana則強調，此次的攻擊並非源自於Solana程式碼的臭蟲，而是因這些軟體錢包所使用的軟體所造成。</p> <p>Solana現為全球第四大的開源區塊鏈專案，僅次於以太坊（Ethereum）、Polkadot與Cosmos。</p> </div></div></div>
2022/8/4 10:45作者陳曉莉https://www.ithome.com.tw/news/152291
英國終於同意NortonLifeLock與Avast併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由賽門鐵克（Symantec）拆分、專注於消費者安全產品的NortonLifeLock，在去年8月宣布要以81億美元的現金及股票買下捷克的資安業者Avast，但遭到英國競爭與市場管理局（Competition and Markets Authority，CMA）展開反壟斷調查而擱置，<a href="https://www.gov.uk/government/news/cma-provisionally-clears-nortonlifelock-avast-merger" target="_blank">周三（8/3）CMA終於同意了這項收購案</a>，使得Avast當天股價大漲了47.85%，以8.25美元作收。</p> <p>CMA先是在今年3月指出，NortonLifeLock與Avast都提供安全軟體予消費者，包括防毒軟體、隱私軟體與身分保護軟體等，由於這兩家公司為高度競爭的業者，重要的競爭對手只有幾家，擔心該併購可能會減少英國市場的競爭，決定展開調查。</p> <p>不過，CMA調查後發現，消費者端的網路安全產品供應發展快速，不管是付費或免費的供應商都在不斷開發及改善產品，就算NortonLifeLock與Avast合併也會面臨強大的競爭，特別是McAfee，再加上許多在英國市占率較低的其它業者。除了資安業者之外，微軟所提供的安全軟體也日益成為消費者另一個重要的選擇。</p> <p>總之，看起來就算NortonLifeLock與Avast合併了，仍必須繼續面對強大的競爭，而使CMA判斷該併購案並不會引發競爭問題。</p> <p>在取得CMA的首肯之後，外界預期NortonLifeLock與Avast很快就會完成合併，屆時新公司將會在美國與捷克擁有雙總部，由NortonLifeLock執行長Vincent Pilette持續擔任新公司的執行長，Avast執行長Ondřej Vlček則將擔任NortonLifeLock總裁並加入NortonLifeLock董事會。此外，<a href="https://www.ft.com/content/e5116280-d2c5-46dd-a1d9-23d22f1675c0" target="_blank">根據《金融時報》（Financial Times，FT）的報導</a>，合併後的NortonLifeLock將會裁撤1,000名員工。</p> </div></div></div>
2022/8/4 11:13作者陳曉莉https://www.ithome.com.tw/news/152293
【資安日報】2022年8月3日，總統府網站遭DDoS攻擊、統一超商與臺鐵電子看板內容被置換成恐嚇訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對美國聯邦眾議院議長裴洛西（Nancy Pelosi）訪臺，中國政府不斷放話，揚言要對臺灣不利，也一如預期開始對臺灣祭出禁令。而在資安方面，從昨天到今天發生了兩種類型的事故。先是昨日裴洛西即將抵達臺灣之前，總統府證實網站遭到DDoS攻擊。</p> <p>在今天早上，臺灣有多個地方的電子看板內容，被替換成對裴洛西抗議與恐嚇的訊息，這種攻擊電子看板的情況過往可說是相當罕見。其中最受矚目的部分，莫過於便利超商7-11的看板遭到駭客入侵的情況。但無論是統派人士還是中國駭客所為，這樣的情況大家都不能掉以輕心。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/story.php?story_fbid=pfbid0oetXRVEQ2dj7Vd1kTzC32FhdMLdyuoQJAYf6baYJDghKKVCBMERfUgXhP72U4obVl&id=100044311095166&m_entstream_source=timeline"><span style="color: rgb(0, 0, 0);">總統府網站傳出遭DDoS攻擊，疑與美國眾議院議長裴洛西訪臺有關</span></a></strong></h3> <p>美國聯邦眾議院議長裴洛西（Nancy Pelosi）於8月2日晚間抵達臺灣，引起全球矚目。但在此之前，我國數個政府機關傳出網站遭到DDoS攻擊的情況。總統府表示在昨日傍晚約5時15分起，網站遭到境外DDoS攻擊，流量為平時的200倍，經處置後約於20分鐘恢復正常。但遭到DDoS攻擊的可能不只有總統府，根據<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144">美國媒體NBC News報導，國防部、外交部，以及桃園國際機場的網站，疑似也遭到攻擊</a>，不過，僅外交部<a href="https://www.ettoday.net/news/20220802/2307742.htm">有國內媒體指出</a>，網站可能因遭到攻擊而一度無法運作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152269"><span style="color: rgb(0, 0, 0);">7-11櫃臺後方數位看板的內容遭置換，刑事局調查指出是遭駭客入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg" style="width: 300px; float: right;" /></a>美國聯邦眾議院議長裴洛西（Nancy Pelosi）昨晚抵臺後，今日早上許多民眾臉書分享在不同7-11便利商店，看到結帳櫃臺後方的廣告螢幕，播放「戰爭販子裴洛西滾出台灣」的影像，有民眾質疑是廣告還是被駭？對此事件，7-11表示由他們統一回應：「廠商受不明來源干擾播放訊息。」中央社報導指出，刑事局初步調查為駭客入侵。</p> <h3><a href="https://www.facebook.com/WangHauYu/posts/pfbid0xNKAUfnUN6CM3g7Jqkog48M9p32bxCh9iKeMbuiEWXnYNNngLRPTkYsfbLk8jUNNl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺鐵新左營車站電子看板疑遭駭客入侵，出現簡體中文恐嚇訊息</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg" style="width: 300px; float: right;" /></a></p> <p>前民進黨桃園市議員王浩宇在臉書張貼照片表示，臺鐵新左營站的大型電子看板竟成為中國駭客統戰工具。該看板出現了簡體中文的文字與五星旗，並指控裴洛西此次來到臺灣，是對中國主權的挑釁。</p> <p>此貼文發布後受到熱烈討論，當中有人指出，其實不光是臺鐵，南投48線道路旁的電子看板，也被竄改成相同的訊息。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mbda-systems.com/2022/08/01/hacking-allegations-against-mbda-italy/"><span style="color: rgb(0, 0, 0);">歐洲導彈製造商MBDA證實資料外洩</span></a></strong></h3> <p>在7月下旬，有名自稱是Adrastea的「獨立研究人員」在多個地下論壇聲稱，他找到歐洲導彈製造商MBDA資訊系統的漏洞，並取得相關存取權限，竊得約60 GB機密資料並求售，內容包括飛彈系統、地對空飛彈及海岸防衛系統計畫的設計圖、相片、影片、簡報、合約，以及設計文件等資料。</p> <p>到了8月1日，MBDA坦承確實有資料外洩的情況，但宣稱駭客是從外接式硬碟偷得資料，這些資料並非機密，該公司亦強調內部網路並未遭到入侵。但駭客究竟如何透過外接式硬碟取得該公司資料？MBDA不願說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/semiconductor-manufacturer-semikron-hit-by-lv-ransomware-attack/"><span style="color: rgb(0, 0, 0);">德國半導體製造商Semikron遭LV勒索軟體攻擊</span></a></strong></h3> <p>德國半導體元件製造商Semikron於8月1日發出公告，表示該公司遭到勒索軟體攻擊，部分IT系統與檔案遭到加密，並指出駭客宣稱竊得了該公司的資料，但究竟有那些資料外洩？仍有待釐清。</p> <p>根據資安新聞網站Bleeping Computer的報導，此製造商遭到LV勒索軟體攻擊，駭客竊得2 TB資料。</p> <h3><strong style="font-size: 22px;"><a href="https://web3isgoinggreat.com/?id=nomad-bridge-exploit"><span style="color: rgb(0, 0, 0);">跨鏈協定Nomad遭入侵，1.9億美元加密貨幣慘遭清空</span></a></strong></h3> <p>駭客鎖定加密貨幣平臺漏洞發動攻擊，並將資金洗劫一空的情況，最近似乎越來越頻繁。跨鏈橋服務業者Nomad於8月2日清晨遭到攻擊，一群發現漏洞的駭客不斷把加密貨幣轉走，導致此系統上價值1.9億美元的加密貨幣，在數個小時後只剩下7.7萬美元。</p> <p>該公司已著手調查，並感謝白帽駭客協助保住部分加密貨幣。然而雪上加霜的是，在此起事故發生之後，竟有詐騙集團假冒Nomad的名義行騙。</p> <h3><a href="https://blog.talosintelligence.com/2022/08/manjusaka-offensive-framework.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客開發新的攻擊框架Manjusaka</span></strong></a></h3> <p>駭客在攻擊行動中經常濫用滲透測試工具Cobalt Strike進行偵察，但現在開始有人打算開發新的工具來代替Cobalt Strike，而使得相關攻擊更難被察覺。思科旗下的威脅情報團隊Talos，近期在調查客戶網路環境遭到Cobalt Strike攻擊的過程中，意外發現名為Manjusaka的攻擊框架。此框架的惡意程式使用程式語言Rust開發，並能攻擊Windows與Linux電腦，C2中繼站的部分則是使用Go語言開發，且採用簡體中文介面。</p> <p>研究人員認為，雖然Manjusaka仍在開發階段，但已具備相當強大的功能，駭客日後很可能會用來全面取代Cobalt Strike。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-urges-admins-to-patch-critical-auth-bypass-bug-immediately/"><span style="color: rgb(0, 0, 0);">VMware多項產品存在身分驗證繞過漏洞，恐被攻擊者用來取得管理員權限</span></a></strong></h3> <p>VMware於8月2日發布資安通告，針對旗下身分驗證解決方案提供修補程式。當中最值得留意的是身分驗證繞過漏洞CVE-2022-31656，CVSS風險評分為9.8分，影響Workspace ONE Access、Identity Manager、vRealize Automation。一旦遭利用，駭客很可能在不需通過身分驗證的情況下取得管理權限。該公司呼籲用戶要儘速安裝修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/vulnerability-in-dahua-s-onvif-implementation-threatens-ip-camera-security/"><span style="color: rgb(0, 0, 0);">大華IP視訊鏡頭存在漏洞，恐遭攻擊者挾持</span></a></strong></h3> <p>資安業者Nozomi Networks指出，大華吸頂式IP監視器IPC-HDBW2231E-S-S2存在漏洞CVE-2022-30563，一旦攻擊者加以利用，就有可能藉由該公司對網路影像互通標準ONVIF的驗證機制實作不當，來進行中間人（MitM）攻擊，進而建立管理員帳號並取得最高權限，進而接管監視器設備。大華獲報後於6月28日發布修補程式。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://taiwan.newsroom.ibm.com/2022-08-02-IBM-2022?social_post=7347344577&linkId=175634330"><span style="color: rgb(0, 0, 0);">IBM發表2022年企業資料外洩成本報告，6成企業在資料外洩後以提高產品價格來轉嫁損失</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tw.xrex.io/xrex-%E8%B3%87%E5%AE%89%E9%95%B7%E9%96%8B%E6%BA%90%E5%85%A9%E5%A5%97-web3-%E8%B3%87%E5%AE%89%E5%B7%A5%E5%85%B7-%E5%BC%B7%E5%8C%96%E6%99%BA%E8%83%BD%E5%90%88%E7%B4%84%E5%AE%89%E5%85%A8%E9%96%8B%E7%99%BC-4177d0bc2b7e?fbclid=IwAR0TR1TndLjTi3-5EN1wqqxaWKiVr2AGjdfqaeTE90S4uFFMktaYKESib3g&gi=4ee0a2ad1d"><span style="color: rgb(0, 0, 0);">為強化智慧合約的開發安全，臺灣區塊鏈新創Xrex開源Web3資安工具</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152268">【2022年8月2日】勒索軟體LockBit透過微軟防毒軟體側載偵察工具、3千款行動裝置App恐導致用戶推特帳號遭冒用</a></p> <p><a href="https://www.ithome.com.tw/news/152230">【2022年8月1日】 Atlassian Confluence密碼寫死漏洞已有駭客攻擊鎖定利用，台積電擴大推動營業祕密註冊制度</a></p> <p><a href="https://www.ithome.com.tw/news/152194">【2022年7月29日】駭客竊取SQL Server與MySQL伺服器網路頻寬牟利、臺廠Moxa修補工控裝置伺服器設備零時差漏洞</a></p> </div></div></div>
2022/8/3 18:01作者周峻佑https://www.ithome.com.tw/news/152287
微軟發表兩項新的安全解決方案，可存取駭客最新動態，理解潛在的駭客攻擊表面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/08/02/microsoft-announces-new-solutions-for-threat-intelligence-and-attack-surface-management/" target="_blank">微軟本周發表了兩項新的Microsoft Defender安全解決方案</a>，一為Microsoft Defender Threat Intelligence，可供組織的安全團隊存取駭客最新的動態，主動搜尋環境中的駭客痕跡，二是 Microsoft Defender External Attack Surface Management，能夠以駭客的角度來檢視組織的攻擊表面。</p> <p>微軟積極擴大其安全版圖，除了內部設有國家級駭客追蹤團隊、Microsoft 365 Defender安全研究團隊，以及威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）之外，<a href="https://www.ithome.com.tw/news/145602" target="_blank">也在去年買下了</a>專門發展威脅情報及攻擊表面管理服務的RiskIQ，迄今微軟已追蹤35個勒索軟體家族，以及250個各式各樣的駭客集團。</p> <p>新的Microsoft Defender Threat Intelligence即是來自於上述資源的整合，客戶將可存取微軟所建立的原始威脅情報資料庫，它陳列了所有駭客集團的名稱，以及它們所使用的工具與攻擊戰術流程（TTP），還能自入口網站看到隨時更新的資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0803-Microsoft%20Defender%20Threat%20Intelligence-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟指出，該服務等於是揭露了駭客集團的面紗，協助組織的安全團隊調查、阻止或刪除藏匿於內部的惡意工具。</p> <p>至於Microsoft Defender External Attack Surface Management則是用來發現那些未知或未受到管理的資源，等於是以駭客的角度來審視組織的攻擊表面，並讓安全團隊可早一步防範。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0803-Microsoft%20Defender%20External%20Attack%20Surface%20Management-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>這是因為有許多組織或企業可能擁有自己都已經遺忘或是沒注意到的網路資產，它們可能是未被正式認可的影子IT（Shadow IT）、透過合併或併購而來的資產、不完整的目錄、或是因自己或合作夥伴的疏忽而曝光的資產，而這些都是駭客尋找的切入點。</p> <p>因此，Microsoft Defender External Attack Surface Management便藉由每天掃描客戶的網路環境，建立一個完整的目錄以呈現客戶所有連結網路的資產，包括那些沒有被編列管理的資產。</p> </div></div></div>
2022/8/3 17:05作者陳曉莉https://www.ithome.com.tw/news/152284
Arduino計畫支援多工處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著開發板硬體的增強以及開發者對同時處理多個任務的需求，<a href="https://blog.arduino.cc/2022/08/02/introducing-multitasking-to-arduino/">Arduino</a>官方已經著手規畫與討論在Arduino上支援多工處理。</p> <p>由於Arduino的硬體能力提升，不只處理器時脈更高，也擁有多個核心，Arduino能夠處理的工作越來越複雜，而開發者也希望能利用Arduino開發更加強大的應用，像是在控制電子機械的同時，還能夠更新顯示器，並且與用戶互動，或者等待外部事件。</p> <p>過去要達到這個目的，開發者必須要編寫非阻塞式程式碼，快速執行loop()函式更新狀態變數，並且呼叫millis()函式確保時間正確，但官方提到，這種方法會導致程式碼過度膨脹，不只難以除錯和維護，也無法支援多核心。</p> <p>另一種方法是使用排程函式庫的協作多工，藉由將工作拆分成多個循環函式，讓每個循環函式專注執行特定任務，但官方提到，這種方法仍需要開發者在編寫程式碼時避免阻塞，而且也難以支援多核，即便支援多核心，也無法避免多個執行緒同時存取同一個變數，更何況，這還是忙碌等待（Busy-looping）範式，這樣的設計難以降低應用程式的功耗。</p> <p>為了徹底解決這個問題，Arduino現在要添加多工處理功能，其目標是要定義一個能夠移植到所有架構的標準化API，而這將能簡化多工處理，使得所有Arduino開發者都能簡單地運用。目前官方在GitHub上進行多工處理的討論，並且分享API提案，號召社群共同實作。</p> </div></div></div>
2022/8/3 17:31作者李建興https://www.ithome.com.tw/news/152278
VMware呼籲用戶立即修補認證繞過漏洞CVE-2022-31656
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.vmware.com/security/advisories/VMSA-2022-0021.html" target="_blank">VMware本周二（8/2）修補了旗下產品的10個安全漏洞</a>，當中CVE-2022-31656的CVSS風險評分高達9.8，為一認證繞過漏洞，亦被列為必須立即修補的重大（Critical）漏洞。</p> <p>CVE-2022-31656漏洞存在於VMware Workspace ONE Access、Identity Manager與vRealize Automation等服務中，<a href="https://blogs.vmware.com/security/2022/08/vmsa-2022-0021-what-you-need-to-know.html" target="_blank">VMware安全暨合規架構師Bob Plankers解釋</a>，此一漏洞代表駭客只要能經由網路存取上述3項服務，就有機會繞過身分認證，取得管理員權限。</p> <p>幸好此次VMware所修補的漏洞都尚未收到遭到開採的消息，包括CVE-2022-31656在內。</p> <p>其它漏洞則涵蓋遠端程式攻擊、權限擴張、路徑穿越與跨站指令碼攻擊等，除了上述產品之外，也牽涉到VMware Workspace ONE Access Connector、VMware Identity Manager Connector、VMware Cloud Foundation與vRealize Suite Lifecycle Manager。</p> </div></div></div>
2022/8/3 17:44作者陳曉莉https://www.ithome.com.tw/news/152286
微軟在10多個市場釋出適用低階Android裝置的Outlook Lite
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/outlook-blog/microsoft-outlook-introduces-lite-version-of-android-app/ba-p/3582948" target="_blank">微軟宣布</a>在包括臺灣等10多個市場釋出Android版Outlook Lite，提供給低階Android裝置用戶。</p> <p><a href="https://play.google.com/store/apps/details?id=com.microsoft.outlooklite" target="_blank">Outlook Lite</a>是精簡版Outlook App，設計提供給使用低階Android裝置及電信頻寬較小的中小企業、個人、中小學及大學生。</p> <p>Outlook Lite包含郵件、行事曆、聯絡人等核心功能，大小僅5MB，強調省電、輕巧，可執行於入門版Android裝置，包含僅1GB RAM的設備，也適用於包括2G及3G等所有網路。此外Outlook Lite還支援Outlook.com、Hotmail、Live、Microsoft 365和Exchange Online帳號。</p> <p>微軟提醒，Outlook Lite目前不支援應用防護規則（App Protection Policy）或稱MAM（Mobile Application Management）。微軟建議，使用這款App的企業用戶啟用Intune的Office 365 App條件存取（conditional access，CA）規則確保公司資料及網路安全。</p> <p>Outlook Lite今天在臺灣、泰國、阿根廷、巴西、墨西哥、南非、土耳其、印度等15個國家上市，未來還會推向其他市場。</p> </div></div></div>
2022/8/3 16:20作者林妍溱https://www.ithome.com.tw/news/152281
Google釋出Compose for Wear OS 1.0，旨在簡化智慧手錶應用程式開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出<a href="https://android-developers.googleblog.com/2022/07/compose-for-wear-os-10-stable.html">Compose for Wear OS 1.0</a>，供開發人員開發Google智慧型手錶平臺的應用程式。此版本為該宣告式UI工具包第一個穩定版本，Compose for Wear OS是利用程式語言Kotlin建構，支援現代應用程式架構，使得開發者可以更容易且更直覺地在Wear OS上建構應用程式。</p> <p>Google提到，該工具包簡化UI開發，並且針對手錶體驗最佳化了UI元件，內建Wear OS專屬的Material設計，同時在IDE Android Studio中提供許多有用的工具，來簡化UI的開發迭代。Compose for Wear OS達1.0版本意味著API已達穩定，並且具備建構生產應用程式需要的所有條件。</p> <p>在Compose for Wear OS 1.0中，Wear OS的Compose Material目錄已經提供比基於View布局的方式更多樣的元件，這些元件遵循Material樣式並且實作Material主題，使得品牌可以更容易地客製視覺設計，而且Compose for Wear OS提供宣告式UI開發，能夠利用Android慣用開發方法與其他Jetpack函式庫無縫整合，Google提到，在大多數的情況下，利用Compose開發UI能夠減少程式碼，並且加速整個開發過程。</p> <p>要在現有基於View的Wear OS應用程式碼庫使用Compose，不需重寫整個程式碼庫，Wear OS提供良好的互通性，開發者可以透過使用Compose互通性API逐步採用Compose for Wear OS。在效能表現上，大多數情況Wear OS都能實現與View應用程式相同的效能。</p> </div></div></div>
2022/8/3 16:24作者李建興https://www.ithome.com.tw/news/152272
三星在美國啟動自助維修專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/us/samsung-self-repair-program-now-available-galaxy-customers/" target="_blank">三星周二（8/2）宣布</a>，已正式於美國啟動自助維修專案（Self-Repair Program），舉凡是Galaxy S20、S21與Galaxy Tab S7+裝置的使用者，皆可買到官方的零件與維修工具，並免費存取線上維修指南，成為繼<a href="https://www.ithome.com.tw/news/147900" target="_blank">蘋果</a>與<a href="https://www.ithome.com.tw/news/151682" target="_blank">Google</a>之後，第三家提供自助維修服務的手機品牌。</p> <p>即日起使用者即可透過DIY維修教學網站iFixit、三星旗艦店Samsung 837，以及三星零售暨服務中心，以三星提供給維修供應商的價格，買到上述裝置的特定零件與維修工具，目前所支援的零件包括螢幕、後玻璃蓋與電池等，也能免費存取線上維修指南。</p> <p>允許使用者可自行維修，不必再送到官方商店或維修服務中心，將讓使用者享受自己動手的樂趣，省下維修費用，同時延長裝置壽命。此外，三星也會在新的螢幕套件中附上一個回收標籤，讓使用者可把廢棄的零件免費寄回三星。</p> <p>目前三星的自助維修專案僅於美國市場推出，亦僅支援少數裝置與零件，但外界預期該專案將會延伸至更多裝置與零件，並拓展至其它市場。</p> </div></div></div>
2022/8/3 16:41作者陳曉莉https://www.ithome.com.tw/news/152282
企業上雲應首重雲端的安全治理，多雲、混合環境成主流，簡化管理複雜性是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，為推動IT現代化與數位轉型，全球企業上雲趨勢日益顯著，臺灣也在慢慢跟上腳步，然而，在這急遽轉變的時期，企業將面臨混合IT與轉型的挑戰，雲端資安防護也成關注重點。</p> <p>我們該如何思考雲端安全管理策略？從最近公布的多份雲端安全報告可看出規畫重點，而在近日舉行的臺灣雲端大會，勤業眾信資深執行副總經理林彥良綜合相關分析報告，提醒企業需了解當今雲端平臺</p> <p>可能威脅，並應從雲端安全治理角度出發，才不會盲目上雲，且呼籲國內企業更要重視雲端、地端整合風險管理策略。</p> <h3><strong>雲端資安威脅多是管理疏失，配置錯誤問題最普遍</strong></h3> <p>有了多家業者發布的雲端安全報告，能幫助大家瞭解雲端安全問題與趨勢。例如，5月20日，國際資訊系統安全核準聯盟<a href="https://www.isc2.org/-/media/5E48A83950264AB1B265B1F073F5C9FB.ashx">（ISC2）發布「2022雲端安全報告」</a>；6月7日，雲端安全聯盟<a href="https://cloudsecurityalliance.org/press-releases/2022/06/07/cloud-security-alliance-s-top-threats-to-cloud-computing-pandemic-11-report-finds-traditional-cloud-security-issues-becoming-less-concerning/">（CSA）也發布新版「Top Threats to Cloud Computing」</a>的報告，更早之前，還有去年下半<a href="https://services.google.com/fh/files/misc/gcat_threathorizons_full_nov2021.pdf">Google針對GCP入侵案例分析的Threat Horizons</a>報告，以及<a href="https://f.hubspotusercontent20.net/hubfs/4846674/Resources%20Content/State_of_Cloud_Security_2021.pdf?__hstc=250277657.d414b63fea1aa8dd05e0e5f165b94856.1659002004470.1659002004470.1659002004470.1&__hssc=250277657.2.1659002004470&__hsfp=1085114561">Fugue與Fugue聯合發布的雲端安全現況</a>報告。</p> <p>有那些雲端安全議題，是2022年企業最需關注的重點？林彥良指出，混合雲與多雲絕對是企業會採用的方向，而且現在的雲端應用面向，越來越五花八門，有不同的使用方式，他們就曾遇過有公司用雲端來做資料保護，而且是用Salesforce來保護其研發流程與技術。</p> <p>不過，雲端的特性與平臺的管理，所衍生出各式議題，企業必須予以正視。否則企業轉型不好，等於門戶大開。</p> <p>從雲端服務常見的資安威脅來看，在近一年的雲端安全報告中，有幾個重點值得關注。首要就是雲端配置錯誤的問題，幾乎每一份報告都會提到這類威脅，不論是資料庫資料檔案的存取，或是系統存取，幾乎都是因為配置錯誤引起。</p> <p>還有一些問題集中在權限與組態，像是帳號、憑證、金鑰與特權帳戶管理不足，使用不安全的接口與API。</p> <p>從大多數雲端資安問題來看，我們可以發現：犯罪組織APT攻擊與的威脅，其實在雲端環境並非主流，因為駭客直接從企業基本配置問題切入，就已經可以找到許多破口。</p> <h3><strong>需積極建立雲端管理能力與知識，存取控制思維也要轉變</strong></h3> <p>對於還沒上雲的企業而言，首先，所抱持的思維必須跟著轉變，不能單純從地端去思考雲端上的配置，因為這麼做其實難以找到共通的管理點，而且，若將地端環境這套管理邏輯，原封不動直接搬到雲端，應該設定的IAM卻都沒有設定，到了雲端，就等於變成「裸奔」，形同將內部應用全部對外開放。</p> <p>而且，在他們過往查核的經驗中，曾遇過採用混合雲的企業，雖提供雲端與地端的不同清單，但流程都是一樣，這樣其實並沒有轉型。</p> <p>為何上述雲端安全配置會如此困難？林彥良強調，對於雲端環境的理解是第一要務，其次，是不要用地端邏輯去思考雲端架構，特別是多雲環境。</p> <p>此外，臺灣企業上雲普遍會從地端逐步遷移到雲端，在混合雲環境當中，雲端與地端整合的風險管理策略，需要特別重視。更進一步來看，如何簡化管理的複雜性，將會是企業在多雲與混合環境上的關鍵。</p> <p>再繼續探究下去，我們可以發現：現在企業可能面臨的最大問題，就是雲端安全人才的不足，人員缺乏管理雲端複雜環境的資安技能，事實上，這並非是否了解資安，而是很多企業根本搞不清楚雲端環境。</p> <p>林彥良表示，他們在多年前就開始鼓勵臺灣企業，要設立架構師的職位，因為以他們IR事件應變的經驗來看，第一件事通常不是檢查Log紀錄，而是要先找到懂環境全貌的人。企業要上雲亦是如此，同樣需要對雲端環境完整了解。</p> <p>他並提醒，雲端平臺上所有操作紀錄與監控必須開啟，不要因為需付費而關閉，一旦缺乏安全可見性與監控能力，將無從管理，並要考量雲端、地端結合過程的主從關係。</p> <p>另一個企業普遍會遇到的挑戰，就是自身沒有足夠能力維運雲端環境時，會選擇委外。然而，企業要注意，若是全部交給系統廠商負責，這代表把整個運行環境，交給一個有合約但約束力不高的廠商，如果企業又沒有對廠商做管理與要求，等於環境完全被對方抓在手裡，或是可能發生移交到正式環境，單純的配置失誤變成無法修補的情形。</p> <p>因此，企業不僅是要重視雲端委外監督與管理責任分工，特別是在相關權限的檢查，應該由自己負責去做，並了解整個環境的情況，不該將這樣的工作交給廠商去做。</p> <p>同時，還要注意的是，從地端遷移到雲端，存取控制的思維也要轉變。像是在用戶與資料安全方面，上雲之後通常會需要採用新的身分識別方式，而資料保護、隱私保護、法規均能作為資料存取權限設定的依據，在核心應用安全性面，企業上雲前應確定已實行最低限度的控制措施，如最小權限管理、安全登入區域、工作負載防護、DevSecOps、零信任與攻擊面管理等。</p> <p>無論如何，數年前全球就在談企業上雲這件事，從國外的經驗與例子來看，現在已傾向地端不再擴展，新應用都往雲端發展，並會有很多原生雲服務去取代地端的應用，而PaaS的應用規模也將大於IaaS。林彥良也特別指出，在勤業最新的一份調查中，在100位財務長中，有94人希望將ERP搬到雲端，反應出普遍渴望上雲的態勢。</p> <p>在國內，我們現在也追趕著上雲、用雲的潮流，因此林彥良也提供一些建議，指出企業可從服務的邏輯去思考，從業務的角度去設想，自身優先要將那些應用服務搬上雲端，接下來則關注法規、安全、資料保護與供應鏈要求等。最關鍵的還是，要讓組織可以用同一套管理架構，做好雲地整合管理。</p> </div></div></div>
2022/8/3 14:14作者羅正漢https://www.ithome.com.tw/news/152275
歐洲飛彈製造商系統傳遭駭，60GB北約軍事資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客宣稱駭入義大利飛彈生產業者MBDA資料系統，並取得60GB的北約軍事機密資料，不過消息遭MBDA駁斥。</p> <p>MBDA是空中巴士、BAE Systems及義大利航太業者Leonardo合資的飛彈生產商，客戶涵括西班牙、義大利、法、英、美及德國的陸海空軍種。</p> <p>7月底一個名為<a href="https://twitter.com/S0ufi4n3/status/1553822101236244487" target="_blank">Adrastea的駭客組織宣稱駭入MBDA</a>，取得與歐盟國防部相關約60GB的機密專案資料。駭客宣稱取得包括飛彈系統、地對空飛彈及海岸防衛系統計畫的設計圖、相片、影片、簡報、合約、設計文件等資料，也公布了相關專案名稱，此外他們也存取了MBDA和其他公司，包括Netcomgroup、Thales、ST Electronics及Rampini Carlo的聯絡內容。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FY_R15cVQAEOxuW?format=jpg&name=medium" style="width: 600px;" /></p> <p><a href="https://twitter.com/Cyberknow20/status/1553691122328748032/photo/1" target="_blank"><span style="color:#696969;">圖片來源／CyberKnow on Twitter</span></a></p> <p>根據駭客張貼和MBDA聯繫內容及公開的部份資料來看，顯然是勒索贖金不成進行報復。</p> <p><a href="https://www.mbda-systems.com/2022/08/01/hacking-allegations-against-mbda-italy/" target="_blank">本周稍早MBDA駁斥資訊系統被駭</a>。MBDA表示，因其拒絕駭客勒索，犯罪組織才挾怨在網路放話駭入公司資訊系統</p> <p>MBDA已經報警，義大利主管機關已介入調查，表示將對勒索行為採取一切可能的法律行動。</p> <p>MBDA強調自己有絕佳的網路安全防護工事，並表示相關的專案資料是經由外部硬碟取得，也都經過加密。該公司證實其網路沒有發生任何被駭情形，內部驗證流程也顯示，公布於網路上的資料既非機密，也非敏感資料。</p> </div></div></div>
2022/8/3 15:37作者林妍溱https://www.ithome.com.tw/news/152279
跨鏈協定Nomad遭入侵，價值1.9億美元的加密貨幣幾乎被清空
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>跨鏈協定Nomad在本周二（8/2）遭到駭客入侵，而且是有「一群」駭客爭相轉走該協定中的加密貨幣，企圖清空Nomad上價值1.9億美元的加密貨幣。</p> <p>Nomad為一支援跨鏈通訊的互動協定，允許不同區塊鏈的使用者橋接代幣，也可跨鏈發行數位資產，並支援開發者打造原生的跨鏈應用程式。然而，Nomad上原本擁有1.9億美元的總鎖倉價值（Total Value Locked，TVL），<a href="https://defillama.com/protocol/nomad" target="_blank">但根據TVL追蹤平臺Defi Llama的數據</a>，Nomad的TVL在幾小時之內從1.9億美元急劇下滑至7.7萬美元。</p> <p><a href="https://twitter.com/0xfoobar/status/1554234268884389888" target="_blank">代號為foobar的去中心化金融開發者指出</a>，Nomad已遭到實際的開採，駭客正陸續轉出Nomad上的加密貨幣，並呼籲該平臺的使用者儘速將資產匯出。在foobar提出警告的當下，Nomad還剩價值1.26億美元的TVL，但Nomad上的資產快速流向四面八方，很快便所剩無幾。</p> <p><a href="https://mobile.twitter.com/nomadxyz_/status/1554246853348036608" target="_blank">Nomad透過Twitter表示</a>，該公司已得知有關Nomad代幣橋所發生的意外，並正展開調查，已通知警方並邀請區塊鏈鑑識專家協助追回資產，還說感謝白帽駭客的協助，希望這些白帽駭客能暫時持有這些資產。意味著有白帽駭客也利用同樣的手法轉走了資產，以免讓駭客得逞。</p> <p>雪上加霜的是，還有詐騙集團利用此一時機，假冒為Nomad，提供了可供駭客返還資產的錢包位址。</p> <p>另一方面，<a href="https://twitter.com/samczsun/status/1554260106107179010" target="_blank">根據加密貨幣暨Web3投資公司Paradigm的分析</a>，Nomad很可能是在呼叫initialize()函數時，把零根（0x00）視為可接受的，帶來了可自動驗證每一訊息的副作用，於是，駭客完全無需理解Solidity Tree或Merkle Tree，只要找到一個有效交易，再置換成自己的錢包位址，然後不斷地複製/貼上，就能快速盜走Nomad上的加密資產。</p> <p><a href="https://mobile.twitter.com/nomadxyz_/status/1554610162328948736/photo/1" target="_blank">當天Nomad也發布了正式聲明</a>，表示將努力調查並收復被盜走的資產，也會修補技術上的問題。</p> </div></div></div>
2022/8/3 16:03作者陳曉莉https://www.ithome.com.tw/news/152280
大華IP攝影機軟體漏洞可能讓攻擊者竊取憑證、接管整臺機器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nozominetworks.com/blog/vulnerability-in-dahua-s-onvif-implementation-threatens-ip-camera-security/" target="_blank">安全廠商發現中國網路攝影機業者大華的IP攝影設備軟體漏洞</a>，可能讓駭客取得用戶存取憑證，接管整臺攝影機。</p> <p>編號CVE-2022-30563的漏洞是由安全廠商Nozomi Networks在大華的吸頂式IP攝影機（IPC-HDBW2231E-S-S2）中發現並通報。大華已經於6月發布安全公告予以修補。</p> <p>本漏洞是位於大華對網路影像互通標準ONVIF（Open Network Video Interface，ONVIF）的WS-UsernameToken 驗證機制實作不當，遭致中間人（man-in-the-middle）攻擊。ONVIF是制訂IP影像裝置互通的標準組織，ONVIF規格支援的驗證方式中，有一項WS-UsernameToken跨廠商裝置之間的驗證，這項技術旨在減輕對IP camera非敏感性呼叫的驗證作業之負擔。</p> <p>但研究人員發現，大華產品實作WS-UsernameToken不當，未對呼叫進行驗證，讓攻擊者得以聽取IP攝影機先前未加密的ONVIF通訊，取得用戶憑證後，再用於駭客對大華攝影機發動的新呼叫，使其得以建立管理員帳號，取得最高等級權限，包括即時讀取即時影像。</p> <p>研究人員指出，雖然成功的攻擊需要攻擊者聽取到1次WS-UsernameToken驗證的未加密的ONVIF呼叫，但這並不難碰到，因為這類驗證方式在許多ONVIF終端軟體預設啟用，包括ONVIF Device Manager或DSE VMS，且所有ONVIF連線都是在未加密的HTTP連線上進行。</p> <p>受影響產品包括Dahua ASI7XXX（v1.000.0000009.0.R.220620之前版本軟體）、Dahua IPC-HDBW2XXX（v2.820.0000000.48.R.220614之前版本軟體）、以及 Dahua IPC-HX2XXX（v2.820.0000000.48.R.220614之前版本軟體）。</p> <p><a href="https://www.dahuasecurity.com/support/cybersecurity/details/1017" target="_blank">大華已在6月底發布安全公告</a>修補包括CVE-2022-30563在內的4項安全漏洞。</p> <p>研究人員指出，IP網路攝影機多半具重要的實體安全角色，安裝於大樓及能源業、發電廠、電信公司等關鍵基礎設施建物內，可能吸引一般攻擊者或國家駭客攻擊目標，以進行設備或生產活動的情蒐，以協助發動致命的網路攻擊，進而破壞關鍵基礎設施的運行。</p> <p>研究人員呼籲用戶升級韌體版本，也呼籲用戶不要使用預設的WS-UsernameToken憑證，且應改使用加密的HTTPS連線。</p> </div></div></div>
2022/8/3 13:20作者林妍溱https://www.ithome.com.tw/news/152273
今日上午7-11櫃臺後方數位看板螢幕紛紛關閉，小七表示廠商受不明來源干擾播放訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國眾議院議長裴洛西（Nancy Pelosi）昨晚抵臺，在今日上午傳出7-11便利商店櫃臺後方數位看版顯示「戰爭販子裴洛西滾出台灣」的激烈用詞內容，有民眾質疑這是廣告還是被駭，而我們在早上10點在臺北市中山區幾間7-11門市察看，發現超商櫃檯後面數位看板螢幕似乎已先關閉因應。</p> <p>是否出現這樣的內容，我們在臉書上搜尋，發現確實有許多民眾提供不同的照片，以及有議員表示接獲朋友反應，國內多家媒體也跟進報導。許多民眾也質疑這是廣告，還是7-11被駭客攻擊？</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-03_114824.jpg" style="width: 280px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg" style="width: 310px;" /></p> <p>而從廣告生態系來看，我們猜測可能是數位電子看板的內容管理伺服器（CMR）遭入侵？或OPEN！CHANNEL聯播服務網權限遭駭？於是我們先詢問OPEN！CHANNEL，對方並未回應，接著我們再詢問7-11，該公司證實有此事件，並表示由他們統一回應，正式回應如下：「廠商受不明來源干擾播放訊息，已立即請廠商修復，門市營運正常。」</p> <p>目前不清楚此廣告聯播系統的客戶範圍，而其他廣告系統商可能也要注意。後續，台鐵新左營車站數位看板的內容也傳出遭駭消息，據<a href="https://www.ettoday.net/news/20220803/2308095.htm">東森新聞表示</a>，台鐵新左營車站證實此事件，並指出<span style="color:#000000;">「螢幕牆確實遭到駭客入侵，目前已請廠商修復，若未來持續被駭，會直接切電，詳細狀況之後會再對外說明」。</span></p> <p>關於資訊顯示系統被入侵，之前國際上也有例子，像是2021年<a href="https://www.ithome.com.tw/news/145956">伊朗曾發生駭客變更火車站的資訊顯示系統</a>，向大眾宣布火車因網路攻擊而誤點，同時要求乘客打電話去投訴，但投訴電話卻是伊朗最高領袖辦公室電話。</p> <p>此外，根據<a href="https://www.cna.com.tw/news/aipl/202208025009.aspx">國內多家媒體報導</a>，昨日傍晚5時15分起，我國總統府網站遭遇DDoS攻擊，20分鐘後才恢復正常運作。</p> </div></div></div>
2022/8/3 11:55作者羅正漢https://www.ithome.com.tw/news/152269
MicroStrategy第二季的比特幣資產減損逾9億美元，執行長下臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>積極購買比特幣作為儲備資產的商業智慧軟體開發商<a href="https://www.microstrategy.com/content/dam/website-assets/collateral/financial-documents/press-release-archive/microstrategy-announces-separation-of-chairman-and-ceo-roles-and-second-quarter-2022-financial-results.pdf" target="_blank">MicroStrategy周二（8/2）公布了今年第二季的財報</a>，該季MicroStrategy比特幣資產的減損費用達9.18億美元，並宣布執行長Michael Saylor下臺，由總裁Phong Le接任。當天MicroStrategy的盤後股價下滑了1.57%，為273.88美元。</p> <p>MicroStrategy第二季的總營收為1.22億美元，比去年同期下滑2.6%，其中，產品授權與訂閱服務創下了3,410萬美元的營收，成長8.4%，產品支援服務營收為5,560萬美元，下滑6.3%。然而，該季MicroStrategy的虧損高達10億美元，主要原因為其所持有的比特幣價值減損了9.18億美元。</p> <p>MicroStrategy目前仍擁有129,699個比特幣，平均每個比特幣的收購價為30,664美元，迄今其比特幣的累計減損費用已達19.9億美元。</p> <p>就算今年以來包括比特幣在內的加密貨幣價格都往下墜落，Saylor依舊看好比特幣的前景，在今年5月至6月底間持續購入總計480個比特幣，平均價格為20,817美元。</p> <p>外界揣測Saylor對比特幣的堅持是導致他下臺的主因。未來Saylor將轉任MicroStrategy的執行主席，負責公司的創新與長期策略，也將以MicroStrategy投資委員會主席的身分繼續主導比特幣的收購策略。</p> <p>至於新執行長Le之前就曾擔任MicroStrategy的財務長與營運長，未來將負責該公司的日常運作與各項業務。</p> </div></div></div>
2022/8/3 11:55作者陳曉莉https://www.ithome.com.tw/news/152270
AWS智慧威脅偵測服務GuardDuty現在可對EC2執行個體提供惡意軟體保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS用戶現在可以運用智慧威脅偵測服務<a href="https://aws.amazon.com/tw/blogs/aws/new-for-amazon-guardduty-malware-detection-for-amazon-ebs-volumes/">Amazon GuardDuty</a>，掃描EBS區塊儲存中的惡意軟體，藉由監控AWS帳戶和EC2工作負載偵測惡意活動。</p> <p>當用戶啟用GuardDuty的惡意軟體保護新功能後，在GuardDuty偵測到EC2執行個體，或是EC2上的容器工作負載，正在執行已知惡意指令或是對其他EC2執行個體執行DoS攻擊等可疑行為時，GuardDuty便會執行惡意軟體掃描功能。</p> <p>GuardDuty支援多種檔案系統類型，能夠掃描用於傳播惡意軟體的檔案格式，像是Windows和Linux可執行檔、PDF檔案、二進位檔、腳本、安裝程式、電子郵件資料庫和普通電子郵件等。在GuardDuty辨識出惡意軟體後，便會生成安全調查報告，包括檔名、路徑、EC2執行個體ID和容器映像檔資訊。</p> <p>另外，GuardDuty也能支援EC2上的容器工作負載，包括由客戶管理的Kubernetes叢集或是單一Docker容器。與其他GuardDuty檢測結果處理方法相同，惡意軟體檢測結果，會送到GuardDuty控制臺，統一由Amazon EventBridge推送，路由到AWS Security Hub，並可用於Amazon Detective事件調查。</p> <p>AWS官方進一步解釋GuardDuty掃描惡意軟體的原理，用戶會需要設置一個IAM服務關聯角色，提供權限讓GuardDuty執行惡意軟體掃描，當GuardDuty需要針對特定EC2執行個體啟動惡意軟體掃描時，GuardDuty會對該EBS區塊儲存執行快照，並利用該快照在同一AWS地區創建一個儲存副本，進行惡意軟體掃描。</p> <p>如此用戶便不需要部署安全軟體或是代理監控惡意軟體，而且GuardDuty對區塊儲存的掃描工作，也不會影響到用戶正在執行的工作負載。當掃描結束後，快照和創建出來的儲存副本會被刪除，用戶也可以在發現惡意軟體後，選擇將快照留下。</p> <p>如果用戶過去尚未啟用GuardDuty，在帳戶啟用GuardDuty之後，預設情況會自動啟用惡意軟體防護，當用戶早已使用GuardDuty，則需要手動啟用惡意軟體防護功能。目前這項功能已經在所有提供GuardDuty的AWS地區推出，除了中國北京、中國寧夏，還有AWS GovCloud美東與美西地區。</p> </div></div></div>
2022/8/3 10:44作者李建興https://www.ithome.com.tw/news/152266
【資安日報】2022年8月2日，勒索軟體LockBit透過微軟防毒軟體側載偵察工具、3千款行動裝置App恐導致用戶推特…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的勒索軟體駭客LockBit又有了新動作了！有研究人員發現，這些駭客近期利用受害電腦內建的防毒軟體Microsoft Defender，以DLL側載（DLL Side-loading）的方式，載入Cobalt Strike的Beacon。但這起攻擊行動另一個相當令人關注的地方，在於駭客入侵受害組織的管道，是尚未修補Log4Shell漏洞的VMware Horizon遠距辦公系統。</p> <p>行動裝置開發者在串接社群網站的程式碼裡，很可能採用了不安全的配置，而使得用戶的社群網站帳號曝險。最近有研究人員發現超過3千款App會洩露使用者推特帳號，其中有230款更是能讓攻擊者完全控制帳號。使得研究人員提出警告，駭客得手後，很可能會濫用於散布假消息。</p> <p>駭客利用惡意瀏覽器擴充套件發動攻擊，有越來越多的趨勢。而最近北韓駭客發起的攻擊行動相當特別，他們使用的惡意套件會在受害者打開Gmail、AOL信箱後才進行竊密，而使得電子郵件服務供應商或是資安防護系統都難以察覺攻擊行為。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/living-off-windows-defender-lockbit-ransomware-sideloads-cobalt-strike-through-microsoft-security-tool/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit透過微軟防毒軟體側載Cobalt Strike</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-sideloading-attack-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-sideloading-attack-chain.jpg" style="width: 300px; float: right;" /></a>在勒索軟體攻擊行動裡，駭客濫用受害電腦內建工具的情況相當常見，就連防毒軟體也不例外。例如，資安業者SentinelOne發現，使用LockBit 3.0發動勒索軟體攻擊的駭客，近期鎖定受害電腦內建防毒軟體Microsoft Defender下手，以DLL側載（DLL Side-loading）的方式，載入滲透測試工具Cobalt Strike的Beacon，目的是為了規避各式資安防護系統。</p> <p>研究人員指出，這些駭客使用遠距工作平臺VMware Horizon的Log4Shell漏洞入侵組織，然後透過PowerShell執行Microsoft Defender的命令列程式MpCmdRun.exe，此程式在運作過程會載入mpclient.dll，最終解密並於受害電腦投放Cobalt Strike的Beacon。研究人員認為，駭客這麼做的目的，是為了規避現行針對VMware Horizon的各式偵測手法。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/whitepapers_reports/how-leaked-twitter-api-keys-can-be-used-to-build-a-bot-army/"><span style="color: rgb(0, 0, 0);">3,200款行動裝置App恐洩露推特的API金鑰</span></a></strong></h3> <p>行動裝置App的開發者若是採用了不當的配置，就有可能洩露使用者的社群網站帳號資料，而成為駭客攻擊的目標。資安業者CloudSEK近期找到3,207個App，會洩露推特API金鑰，攻擊者有可能用來存取受害者的帳號。</p> <p>研究人員指出，其中有230個App會洩露全部4種推特身分驗證的憑證，而使得攻擊者能夠完全掌控受害的推特帳號，執行像是轉推、移除追隨者、取得帳號設定等。而駭客在取得這些推特帳號的控制權後，很有可能會組成機器人（Bot）軍隊，以這些帳號來散布假消息。</p> <h3><a href="https://www.volexity.com/blog/2022/07/28/sharptongue-deploys-clever-mail-stealing-browser-extension-sharpext/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky利用惡意瀏覽器擴充套件，讀取受害者的Gmail、AOL電子郵件信箱</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-SharpTongue-SHARPEXT-Process-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-SharpTongue-SHARPEXT-Process-Flow.png" style="width: 300px; float: right;" /></a>網頁瀏覽器的擴充套件再度成為駭客竊密的管道！資安業者Volexity揭露名為Sharpext的攻擊行動，北韓駭客組織Kimsuky於去年9月開始，鎖定Chrome、Edge，以及Whale等網頁瀏覽器，利用VBS指令碼部署名為Sharpext的惡意擴充套件，並藉由此擴充套件竊取受害者Gmail與AOL帳號的電子郵件，駭客在美國、歐洲、南韓等地，針對外交政策、核能等具有戰略利益的人士發動攻擊。</p> <p>研究人員指出，這起攻擊的手法相當特別，駭客並非透過擴充套件竊取受害者儲存在瀏覽器的相關帳密，而是在受害者已經成功存取上述的電子郵件信箱帳號後，才竊取所需的信件。這樣的手法使得電子郵件服務業者難以察覺相關攻擊，也不會觸發受害者電子郵件帳號的可疑活動警報，而使得資安人員發現此類攻擊的難度相當高。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.group-ib.com/investment-scams-europe"><span style="color: rgb(0, 0, 0);">駭客架設1.1萬個投資詐騙網站，針對歐洲用戶而來</span></a></strong></h3> <p>駭客假冒名人的名義行騙的情況越來越猖獗，不只規模極為龐大，還同時結合了網路與實體的手法。資安業者Group-IB揭露擁有11,197個網站的大型詐騙網路，這些駭客鎖定歐洲各地的民眾，以投資比特幣或黃金的名義進行詐騙，宣稱只要有750歐元（約新臺幣2.3萬元）就能入場，3天能獲利700歐元。</p> <p>研究人員指出，駭客不只在詐騙網站盜用名人身分行騙，還會在受害者填寫聯絡資訊後，致電要受害者存錢，然而匯入款項後，駭客便會提高兌現的門檻，要求匯入更多的資金，使得受害者無法取回獲利與本金。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ironnet.com/blog/robin-banks-a-new-phishing-as-a-service-platform"><span style="color: rgb(0, 0, 0);">Robin Banks向駭客出售網釣工具包，鎖定美、英、澳銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/rb_create-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rb_create-1.png" style="width: 300px; float: right;" /></a>網路釣魚攻擊也出現分工的現象！資安業者IronNet指出，有駭客組織自今年3月開始，推出名為Robin Banks的網路釣魚工具包，此工具包可讓網路犯罪者取得美國、英國、加拿大、澳洲人士的財務資料，駭客透過軟體訂閱服務的方式（Phishing-as-a-Service）提供相關工具。此工具包在6月中旬被用於發動大規模攻擊，駭客將其用於竊取花旗銀行用戶的帳號資料與財務資料，並企圖盜取微軟帳號的帳密。研究人員指出，此網路釣魚工具包很可能被駭客加以利用，將其用於取得入侵受害組織的初期存取管道，以便進行後續的攻擊行動（如勒索軟體攻擊）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.darkreading.com/risk/european-energy-supplier-encevo-breached-in-attack"><span style="color: rgb(0, 0, 0);">歐洲大型能源業者Encevo遭到勒索軟體BlackCat攻擊</span></a></strong></h3> <p>勒索軟體駭客組織BlackCat攻擊行動頻頻，這次是針對歐洲能源供應商而來。根據新聞網站Dark Reading的報導，總部位於盧森堡的能源集團Encevo於7月25日發布公告，旗下的供電網路Creos與能源供應商Enovos，先後於7月22日、23日遭到網路攻擊，駭客盜走部分資料。勒索軟體駭客組織BlackCat於29日宣稱是他們所為，總共竊得150 GB資料、共18萬個檔案。Encevo表示，電力與能源供應並未因網路攻擊而中斷，但他們尚在調查資料外洩的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://www.afp.gov.au/news-media/media-releases/afp-charges-man-creating-global-spyware-tool"><span style="color: rgb(0, 0, 0);">澳洲男子開發間諜軟體Imminent Monitor提供給家暴者</span></a></strong></h3> <p>間諜軟體不只是被用於監控政治人物，還有可能成為家暴者監控受害人的幫兇。澳洲聯邦警察（Australian Federal Police，AFP）於7月30日宣布，他們逮捕涉嫌製作RAT木馬程式Imminent Monitor的24歲男子，這名男子自2013年至2019年，打造木馬程式並進行販賣，目前遭到6項指控。此人與另一男子合作，將木馬程式賣到128個國家，擁有超過14,500個用戶。</p> <p>值得留意的是，買家當中可能有不少是家暴者。澳洲聯邦警察指出，他們確定當地有201人購買此木馬程式，而當中使用PayPal付款的買家，有14.2%是受到家庭暴力保護令（Domestic Violence Order，DVO）列管的人士，比例可說是相當高。此外，另有一名是孩童性犯罪者。</p> <h3><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對中國駭客鎖定UEFI韌體的惡意攻擊行動，華碩提出進一步說明</span></strong></h3> <p>卡巴斯基研究人員日前公布<a href="https://www.ithome.com.tw/news/152121#CosmicStrand">中國駭客鎖定電腦UEFI韌體的攻擊行動</a>，駭客在採用華碩與技嘉H81晶片組主機板上植入惡意軟體CosmicStrand，但表示他們並不清楚駭客部署惡意軟體的方法。對此，華碩向iThome表示，經過他們的調查，駭客並非透過主機板UEFI BIOS的漏洞攻擊，而是主機板的BIOS韌體燒錄器遭到不明外力竄改，或是在更換ROM元件時被植入此惡意軟體。</p> <p>華碩表示，若是使用者購買二手的主機板，有可能會取得內有惡意軟體的產品，他們呼籲這些用戶儘速從華碩網站下載BIOS更新。該公司亦強調購買全新主機板的用戶不會遭到攻擊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/05/09/ransomware-as-a-service-understanding-the-cybercrime-gig-economy-and-how-to-protect-yourself/#DEV-0206-DEV-0243"><span style="color: rgb(0, 0, 0);">駭客組織Evil Corp疑似利用惡意軟體Raspberry Robin發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-hiddenads-malware-that-runs-automatically-and-hides-on-google-play-1m-users-affected/"><span style="color: rgb(0, 0, 0);">駭客利用臉書廣告「推廣」於Google Play市集上架的惡意軟體</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152230">【2022年8月1日】 Atlassian Confluence密碼寫死漏洞已有駭客攻擊鎖定利用，台積電擴大推動營業祕密註冊制度</a></p> <p><a href="https://www.ithome.com.tw/news/152194">【2022年7月29日】駭客竊取SQL Server與MySQL伺服器網路頻寬牟利、臺廠Moxa修補工控裝置伺服器設備零時差漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/152168">【2022年7月28日】網路傭兵Knotweed利用CSRSS零時差漏洞發動攻擊、阿里雲OSS儲存桶被用於散布惡意軟體及挖礦</a></p> </div></div></div>
2022/8/2 18:16作者周峻佑https://www.ithome.com.tw/news/152268
歐洲電力供應商Encevo Group遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.encevo.eu/wp-content/uploads/2022/07/2022-Communique-de-presse-DATA-BREACH.pdf" target="_blank">歐洲能源集團Encevo Group在25日宣布</a>，該集團旗下的供電網路Creos與能源製造商Enovos在22日與23日遭到網路攻擊，且駭客自被駭系統盜走了特定的資料。另一方面，BlackCat駭客集團在上周五（7/29）表示，該集團為這起網路攻擊行動的主謀，盜走了18萬個檔案、總計150Gb的資料，並準備在本周公布。</p> <p>Encevo Group為一標榜具備完整能源價值鏈的集團，服務範圍涵蓋盧森堡、德國、法國、比利時與荷蘭，旗下的Enovos為能源供應商與再生能源製造商，Creos則提供天然氣及電力網路。</p> <p><a href="https://www.encevo.eu/en/encevo-cyberattack/" target="_blank">Encevo Group指出</a>，駭客盜走了系統上的資料，或是讓資料無法被存取，此一意外並不影響能源供應商，但尚在調查外洩資料範圍，建議客戶更改所有的Encevo服務登入憑證。</p> <p>此外，Encevo也在發現被駭的當下，便與外部的鑑識專家合作展開調查，並立即關閉可疑的帳號。</p> <p>至於BlackCat則現身於去年底，<a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/" target="_blank">資安業者Sophos表示</a>，這半年來他們至少參與了5起與BlackCat有關的調查，其中有4起的入侵點都是防火牆的安全漏洞，這些漏洞允許駭客自防火牆的記憶體中取得VPN憑證，再利用該憑證登入企業網路，另外1起則是藉由魚叉式網釣手法取得了企業員工的VPN登入憑證。</p> <p>BlackCat的另一個特點是同時支援Windows，以及VMware替大型企業設計的裸機虛擬化管理程序ESXi。</p> <p>外界猜測Encevo Group應是拒絕或尚未支付贖金，才使得駭客威脅要公布所竊取的資料。</p> </div></div></div>
2022/8/2 16:32作者陳曉莉https://www.ithome.com.tw/news/152265
iOS 16版Apple Pay可能終於支援第三方瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在最新iOS 16 Beta版中，Apple Pay首度支援Chrome、Firefox、Microsoft Edge等瀏覽器。</p> <p><a href="https://twitter.com/SteveMoser/status/1553171455403331586" target="_blank">MacRumors投稿作者Steve Moser</a>首先在最新iOS beta 4版發現Edge和Chrome支援Apple Pay。在此之前，iOS 15上Apple Pay僅能用於Safari。</p> <p>但是最新macOS beta版上的Edge或Chrome仍無法使用Apple Pay，原因是，要使用Apple Pay，瀏覽器渲染引擎必須要升級。桌機版第三方瀏覽器沒有人使用蘋果技術，但iOS版Edge和Chrome都是用Safari的渲染引擎WebKit。</p> <p>至於Firefox，<a href="https://www.reddit.com/r/iOSBeta/comments/vpfqld/ios_16_db2_apple_pay_available_in_3rd_party/" target="_blank">有用戶發現</a>，至少在iOS 16第3 beta版上Firefox也可以使用Apple Pay。蘋果未對此回應媒體。</p> <p><a href="https://www.theverge.com/2022/7/30/23284992/apple-pay-compatible-edge-chrome-firefox-ios-16-beta-browsers-safari" target="_blank">The Verge報導</a>，蘋果可能出於對歐盟反托拉斯審查而改變。歐盟通過《數位市場法》後嚴加審視科技巨擘如蘋果、Meta、Google等危害自由競爭的商業手段。今年稍早，<a href="https://www.ithome.com.tw/news/148939" target="_blank">蘋果也同意</a>荷蘭的約會程式的程式內支付可不強制使用Apple Pay。此外，因應南韓的法令，<a href="https://www.ithome.com.tw/news/151696" target="_blank">蘋果也允許</a>南韓App內可搭載Apple Pay以外的支付選擇。</p> </div></div></div>
2022/8/2 15:33作者林妍溱https://www.ithome.com.tw/news/152255
Winamp釋出4年來的首度更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Winamp團隊在7月26日<a href="http://forums.winamp.com/showthread.php?t=458120&utm_source=socialmedia&utm_medium=twitter&utm_campaign=winamp5.9&utm_term=july2022" target="_blank">釋出了Winamp 5.9 RC1</a>，這是<a href="https://www.ithome.com.tw/news/126532" target="_blank">Winamp自2018年</a>以來的首度改版，新版本改善了對Windows 11的相容性。</p> <p>Winamp為一媒體播放器，在串流服務尚未興起時，這是全球最熱門的播放器之一。Winamp 5.9 RC1除了改善與Windows 11的相容性之外，也改善https:// streams的播放，支援VP8影像壓縮格式，亦修補了臭蟲，以及更新該播放器所使用的各種元件。</p> <p>Winamp團隊表示，對一般使用者而言，可能看不出新版有什麼改變，但其實最困難的部分是該團隊把整個專案從Visual Studio 2008遷移到Visual Studio 2019，在奠定了此一基礎後，現在他們將可專心地開發各種新功能。</p> <p>目前的Winamp 5.9仍是RC（Release Candidate）版，未來可能會有RC 2或其它的測試版，並歡迎使用者試用及提供意見，特別是安裝在Windows 7與Windows 8.1上，至於它的正式版則會稱為Winamp 5.9.1。</p> </div></div></div>
2022/8/2 15:42作者陳曉莉https://www.ithome.com.tw/news/152261
駭客利用Log4j漏洞以Microsoft Defender工具部署LockBit 3.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被美國政府認為將持續造成隱憂的Log4j漏洞，近日又成為新一波攻擊的跳板。安全廠商發現，利用本漏洞的攻擊者濫用微軟Defender相關工具，在受害伺服器內植入LockBit 3.0勒索軟體。</p> <p><a href="https://www.sentinelone.com/blog/living-off-windows-defender-lockbit-ransomware-sideloads-cobalt-strike-through-microsoft-security-tool/" target="_blank">SentinelOne</a>近日偵測到LockBit 3.0的攻擊，駭客利用VMWare Horizon Server上的Log4j漏洞，進入受害者網路內，得以利用PowerShell發動離地攻擊（Living-Off-the-Land），利用Microsoft Defender的指令行工具側載入惡意程式Cobalt Strike beacon，最後植入勒索軟體。</p> <p>側載Cobalt Strike是LockBit 3.0的慣常手法，之前研究人員也發現攻擊者濫用VMwareXferlogs.exe作為離地攻擊工具。此類手法最大目的在於可躲過端點防護或防毒產品的偵測。</p> <p>攻擊者一旦修改VMware Horizon Server的Blast Secure Gateway元件而進入受害者內部網路，隨即展開偵察（reconnaissance）過程，利用PowerShell執行一系列列舉指令，將偵察結果送到外部IP。而獲得必要的權限後，攻擊者就開始從外部IP下載多個酬載（payloads）。值得注意的是，攻擊者利用合法的Windows / Microsoft Defender指令行工具，以其下載惡意DLL檔及加密Cobalt Strike酬載，最後以MpCmdRun.exe將Cobalt Strike beacon解密釋放出來。</p> <p>LockBit 3.0是近來十分活躍的勒索軟體。另一家安全廠商<a href="https://www.ithome.com.tw/news/152206" target="_blank">趨勢科技發現</a>其背後運作組織和Black Matter勒索軟體可能有關聯。</p> <p>這事件再度突顯，Log4j開採風險難以根絕。<a href="https://www.ithome.com.tw/news/151978" target="_blank">美國政府近日發布報告</a>，指Log4j廣泛用於許多軟體但用戶可能不知道，使得Log4j漏洞攻擊的風險可能將持續10年，變成資安上的「地方流行病」。</p> </div></div></div>
2022/8/2 15:13作者林妍溱https://www.ithome.com.tw/news/152247
Yahoo、Steam與PayPal遭印度封鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度的通訊暨資訊科技部（簡稱Kominfo）在去年頒布了一個新規定，要求所有在當地提供網路服務的業者都必須重新註冊，提供單一聯繫窗口，以回應印度官方的內容審核，期限為今年的7月20日，而上個周末當地使用者就無法再連上Yahoo、Steam、Epic Games及PayPal等服務，猜測它們應未重新註冊而遭到印度政府封鎖。</p> <p><a href="https://netblocks.org/reports/indonesia-cracks-down-on-unlicensed-online-platforms-and-services-XB7JJQA7" target="_blank">專門觀察網路自由的NetBlocks在7月30日指出</a>，PayPal已遭到印度封鎖，嚴重影響當地的網路交易，遊戲平臺Steam也未能倖免於難，玩家只能透過VPN或小型ISP業者的服務存取。</p> <p><a href="https://in.ign.com/india/173925/news/steam-epic-games-store-yahoo-paypal-banned-in-indonesia-following-the-implementation-of-new-privacy" target="_blank">遊戲評論網站《IGN》則說</a>，被封鎖的還有Yahoo、Epic Games、Battle Net、任天堂及Ubisoft。</p> <p><a href="https://techinformed.com/meta-and-google-agree-to-indonesias-content-regulations/" target="_blank">《Tech Informed》指出</a>，當Kominfo的禁令出爐後，包括Twitter、TikTok、Netflix、Spotify、蘋果、微軟與Amazon都已重新註冊，趕在最後幾天註冊的則有Google與Meta，代表這些大型業者都接受了印度政府的內容審核條款。</p> <p>根據印度政府的說法，新規定是為了避免假新聞的散布，同時保護國家安全，當察覺有違法內容時，業者必須在收到通知的24小時之內移除，若收到的是緊急通知，則必須在4小時內移除，迄今已有8,000家印度業者及200家國外網路業者同意該條款。</p> <p>不過，印度使用者認為此一規定侵犯了他們的隱私，<a href="https://twitter.com/hashtag/BlokirKominfo?src=hashtag_click">並於Twitter上以#BlokirKominfo為名進行串連</a>，認為Kominfo才是該被封鎖的組織，<a href="https://twitter.com/AfterDarkAngelo/status/1553150254249259008" target="_blank">印度遊戲玩家也說</a>，政府封鎖Steam等於是變相助長當地的盜版遊戲。</p> </div></div></div>
2022/8/2 11:44作者陳曉莉https://www.ithome.com.tw/news/152232
Linus Torvalds公布Linux 5.19，讚Arm-based Mac電腦好用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/asahilinux/status/1553968394734813184" target="_blank">Linux之父Linus Torvalds上周公布Linux 5.19版核心</a>，而且稱Arm-based Mac電腦終於變得對開發工作很有用了。</p> <p>Torvalds是利用執行Asahi Linux on Arm64 Mac筆電釋出最新版核心。<a href="https://lore.kernel.org/lkml/CAHk-=wgrz5BBk=rCz7W28Fj_o02s0Xi0OEQ3H1uQgOdFvHgx0w@mail.gmail.com/T/#u" target="_blank">他說</a>，很早以前就有Arm 64硬體執行Linux，但是作為開發平臺而言，從來都不是很好用，但這次拜Asahi團隊之賜，他等待許久的願望終於成真。</p> <p>這是Torvalds第3次使用蘋果硬體做Linux 開發。很多年前第1次是使用PPC970機器，10多年前當輕薄型筆電MacBook Air推出時是第2次。</p> <p>他說目前並不是用Arm-based Mac電腦做真正重要的工作，只是用它來開發test builds，也用於新版本標籤（release tagging）。但是他認為下次旅行時可以帶著這臺電腦，也可以測試Arm64平臺的能耐。</p> <p>Torvalds表示，5.19版沒有太有趣的東西，有很多「隨機」新增的功能。<a href="https://www.cnx-software.com/2022/08/01/linux-5-19-release-main-changes-arm-risc-v-and-mips-architectures/" target="_blank">5.19版核心主要更新功能包括</a>：支援Intel Trust Domain Extension（TDX）及AMD SEV-SNP，兩者都是防止VM攻擊的技術；BIG TCP網路技術支援高達4GB封包；強化對LoongArch RISC指令集、x86平臺的a.out執行檔格式、華碩主機板的支援；以及移除對Renesa H8/300 CPU架構的支援等。此外，對Arm晶片支援也更完整。</p> <p>Torvalds並預告，Linux核心下一版應該是6.0，因為「擔心版本數字太長可能會導致混淆。」</p> <p><a href="https://www.ithome.com.tw/news/150055" target="_blank">Asahi Linux今年3月釋出</a>可原生支援在M1系列平臺系統上執行的發行版，讓用戶在Mac M1機器上同時執行Linux及macOS。<a href="https://asahilinux.org/2022/07/july-2022-release/" target="_blank">上個月進一步釋出新版測試版</a>，支援最新的Apple Silicon M2晶片。</p> <p>不過最新Asahi是相當早期的測試版，僅在M2 MacBook Pro 13吋硬體上測試過，問題不少，例如雖然支援藍牙，但如果電腦連上2.4GHz Wi-Fi網路，會影響藍牙效能。另外，若電腦上安裝的是macOS 13.0 Ventura，可能會導致Asahi Linux 安裝失敗。</p> </div></div></div>
2022/8/2 12:03作者林妍溱https://www.ithome.com.tw/news/152238
超過3,200個行動程式曝露Twitter API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloudsek.com/whitepapers_reports/how-leaked-twitter-api-keys-can-be-used-to-build-a-bot-army/" target="_blank">新加坡資安業者CloudSEK本周警告</a>，已發現有3,207個行動程式外洩了Twitter API的金鑰，可被用來存取或接管Twitter帳號。</p> <p>當開發者要於行動程式中整合Twitter時，必須取得特定的身分認證金鑰以與Twitter API互動，以代替使用者登入Twitter或執行Twitter功能，然而，當CloudSEK利用該公司所開發的行動程式安全搜尋引擎BeVigil進行分析時，卻發現有4,810款行動程式外洩了存取Twitter帳號必須具備的所有金鑰，其中的3,207個程式所外洩的金鑰都是有效的。</p> <p>CloudSEK指出，Twitter API金鑰的外洩源自於這些行動程式的安全漏洞，它們把金鑰存放在唾手可得之處，於是在將程式上傳至Google Play後，駭客只要簡單地下載程式，並將它們進行反編譯，就能獲得API憑證，取得大量的API金鑰與令牌，進而部署Twitter機器人大軍。</p> <p>由於駭客等同於取得了眾多Twitter帳號的控制權，因此可以用來張貼不實資訊，以合法帳號執行惡意程式攻擊，或是散布垃圾訊息，以及發動網釣攻擊等。</p> <p>CloudSEK提醒，開發者不應直接將API金鑰嵌入程式碼中，並應遵循安全的程式碼撰寫與部署流程，包括標準化的程式碼審查程序、隱藏金鑰與輪替金鑰等。</p> </div></div></div>
2022/8/2 12:13作者陳曉莉https://www.ithome.com.tw/news/152239
微軟正式發布Azure Fluid Relay服務支援協作網頁應用程式開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式發布<a href="https://devblogs.microsoft.com/microsoft365dev/announcing-general-availability-of-azure-fluid-relay-service/">Azure Fluid Relay服務，以及Fluid開發框架Azure-client v1.0函式庫</a>，來支援協作網頁應用程式開發。</p> <p>Fluid開發框架是一個開源且平臺獨立的框架，提供分散式資料結構，供開發人員建構即時、低延遲協作應用程式。Fluid開發框架包含用於分散式和同步共享狀態的客戶端函式庫，這些函式庫能夠讓多個客戶端，以類似處理本地端資料的方式，同時創建和操作共享資料結構。</p> <p>而Azure Fluid Relay服務是一個微軟的雲端託管服務，目的是支援Fluid開發框架，使得企業能夠建構高效能且大規模的協作應用程式，微軟提到，Azure Fluid Relay會負責所有Fluid協作的細節，開發人員只需將精力集中於改善應用和終端使用者的體驗上。</p> <p>Fluid整體運作工作流程，從客戶端的本地資料變更開始，而Fluid Runtime則會將資料變更傳送到Fluid服務，Fluid服務會序列化操作，並且廣播給其他客戶端，其他客戶端的Fluid Runtime在收到操作後，會將變更合併到本地端資料中，並且處理更新畫面以及執行商業邏輯等事件。</p> </div></div></div>
2022/8/2 13:03作者李建興https://www.ithome.com.tw/news/152240
Google暫不裁員，但CEO要員工提高生產力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應景氣衝擊、營收成長減緩，Google一方面緩解裁員疑慮，但執行長Sundar Pichai上周在內部會議上直指員工生產力不夠高，督促應做事更有效率。</p> <p><a href="https://www.cnbc.com/2022/07/31/google-ceo-to-employees-productivity-and-focus-must-improve.html" target="_blank">CNBC報導</a>，在公布第2季財報後，Google執行長Pichai上周在例行性內部會議上說明，公司面臨充滿不確定性因素的大環境挑戰。而Google現在令人擔憂的是生產力，並未達到現有公司員額所應有的水準。Pichai要員工建立更目標導向、更專注在產品和客戶的文化，並強調應該要想想如何減少令人分心的事物，並且提高產品優異性及生產力。</p> <p>而為提升員工做事效率，Pichai宣布「簡明衝刺」（Simplicity Sprint）的計畫，發下員工問卷幫助公司去除不利生產力及效率的障礙。這份問卷問題其中一些問題像是：「什麼能幫你更清楚、更有效率服務用戶和客戶？」、「公司要如何去除障礙讓你更快獲致成果？」、「公司成長過程要如何減少資源浪費，更務實、更目標導向？」</p> <p>根據Google財報，第2季該公司雖然營收仍成長了13%，但是遠遜於去年的62%。<a href="https://www.ithome.com.tw/news/151917" target="_blank">上個月Pichai對內宣布</a>，到2023年Google將減緩增聘速度，新聘員工將會著重在工程師、技術人員等職位，做事也需要更講求實質效果。<a href="https://www.nytimes.com/2021/06/21/technology/sundar-pichai-google.html" target="_blank">去年紐約時報報導</a>Google改革績效評估流程，以利拔擢人才及去除因循守舊的官僚風氣。</p> <p>Google員工人數目前為17萬人，<a href="https://www.macrotrends.net/stocks/charts/GOOG/alphabet/number-of-employees" target="_blank">根據估計</a>，去年和前年分別為15.6萬及13.5萬。CNBC報導，Google財務長Fiona Cicconi表示，雖然業界擔憂Google可能會裁員，但公司「目前」沒有裁減公司員額的計畫。但她仍重申提升效率及專注力的重要性。</p> </div></div></div>
2022/8/2 09:59作者林妍溱https://www.ithome.com.tw/news/152231
【資安日報】2022年8月1日，Atlassian Confluence密碼寫死漏洞已有駭客攻擊鎖定利用，台積電擴大推…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前Atlassian修補旗下Confluence的CVE-2022-26138的密碼寫死漏洞，由於現在已發現網路上有攻擊者開始鎖定利用，CISA提出警告，並限期聯邦政府三周內修補，國內若有用戶尚未修補，需要趕緊行動。</p> <p>惡意NPM問題不斷，卡巴斯基在揭露相關事件，指出這類惡意NPM暗藏針對社群平臺Discord Token與金融資料竊取的惡意程式。</p> <p>關於營業秘密保護，多年來一直是國內高科技業關注的重要議題，今年台積電開始推動營業秘密註冊制度，引發外界關注的是，他們不只要希望帶動供應鏈，甚至鼓勵中小企業、金融業、旅遊業、餐飲業，都能及早建構開始進行，才能逐步完善營業秘密管理能力，全面提供國內產業的競爭力。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/29/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA警告Confluence漏洞已被駭客鎖定利用</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_185220.jpg" style="width: 220px; float: right;" /></p> <p>兩週前Atlassian旗下企業協同軟體Confluence修補三個漏洞，其中CVE-2022-26138的密碼寫死漏洞最受注目，美國CISA在7月29日警告，發現已有駭客鎖定該漏洞攻擊，因此納入「Known Exploited Vulnerabilities」清單，要求聯邦機構在3週內儘速完成修補。事實上，對於這項漏洞Atlassian之前已警告，已經有人將該服務的密碼公布在網路上，而另一家資安業者在7月27日也曾發布報告指出該漏洞正被廣泛利用，如今CISA證實該漏洞備索定利用的情形，尚未修補的用戶應儘速採取行動，避免成為易受攻擊的Confluence伺服器。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/lofylife-malicious-npm-packages/107014/"><span style="color: rgb(0, 0, 0);">出現鎖定竊取Discord Token與金融資料的惡意NPM套件</span></a></strong></h3> <p>資安業者卡巴斯基在7月28日揭露一起惡意NPM套件活動，其目的是竊取社群平臺Discord的Token與金融資料，該公司說明，他們是透過內部自動化系統監控開源儲存庫時，在7月26日發現NPM中有四個可疑套件包，當中都具有高度混淆的Python與JavaScript程式碼，他們將此惡意活動稱之為「LofyLife」。具體而言，卡巴斯基所發現Python的惡意程式，是Volt Stealer開源Token記錄器的修改版本，其作用是在受感染的機器上竊取Discord Token與受害者IP位址，並透過HTTP上傳，另一名為Lofy Stealer的JavaScript惡意軟體，則是為了感染Discord用戶端檔案而建立，主要是監控受害者的行為，包括用戶何時登入、更改電子郵件或密碼、MFA的啟用與關閉，以及增加金融卡等付款方式，而這些收集到的資訊將會上傳到3個遠端的特定網域。</p> <h3><a href="https://www.appledaily.com.tw/property/20220801/FEF6E86970F847E3941970388B"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電推動「營業秘密註冊制度同學會」，鼓勵中小企業及早建立，金融、旅遊、餐飲也應採用</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_152659.jpg" style="width: 220px; float: right;" /></p> <p>營業祕密保護一直是國內高科技製造業的重中之重，在上週舉行的科技產業誠信治理與營業秘密保護高峰論壇的一場議程中，台積電揭露今年將推動營業秘密註冊制度，希望能夠帶動供應鏈，更完善營業秘密管理的實力。該公司副法務長<a href="http://u.cyberlink.com/live/1081623511225165249">謝福源</a>表示，今年2月與供應鏈策略夥伴的光洋應用材料、新應材，建構營業秘密註冊系統並實施註冊制度，到了6月16日進一步舉行「營業祕密註冊制度同學會」第一次開會。特別的是，台積電不僅分享營業祕密註冊制定的五大策略，從釐清流程、設計註冊表格、註冊系統、激勵與獎勵到專人負責管理，同時建議中小企業在公司規模還沒很大之前，盡快建立這樣的制度，甚至鼓勵國內服務業也可以仿效，無論是金融業、旅遊業、餐飲業。</p> <h3><a href="https://securityaffairs.co/wordpress/133881/data-breach/mbda-alleged-data-breach.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客聲稱入侵歐洲導彈製造商MBDA並竊取60 GB機敏資料</span></strong></a></h3> <p>根據Security Affairs報導，指出暗網上有一使用者名稱為Adrastea的攻擊者，宣稱自己入侵了歐洲導彈製造商 MBDA，該公司是一間由英國、法國與意大利合組的導彈開發與製造商，駭客聲稱從該公司基礎架構中發現嚴重漏洞，並竊取了60 GB的機密資料，包含員工參與的軍事項目，例如PLANCTON、CRONOS、CASIRIUS、EMADS、MCDS、B1NT等，以及該公司為歐盟國防部進行的商業活動資訊，還有合約協議，以及與其他公司通訊的資訊，目前尚不清楚攻擊者入侵的詳細資訊。</p> <h3><a href="https://www.fetc.net.tw/UX/UX0901SharePoint/UX090104CompanyEventContent?EventsType=Announcement&EventID=880&EventTitle=%F0%9F%93%8C%E8%BF%91%E6%97%A5%E4%B8%8D%E6%98%8E%E4%BA%BA%E5%A3%AB%E5%86%92%E7%94%A8%E3%80%90%E9%83%B5%E4%BB%B6%E3%80%91%E8%A9%90%E9%A8%99%EF%BC%8C%E6%8F%90%E9%86%92%E6%B0%91%E7%9C%BE%E5%8B%BF%E6%93%8D%E4%BD%9C%E4%B8%8D%E6%98%8E%E7%B6%B2%E5%9D%80%E9%80%A3%E7%B5%90&EventDate=07%2F27%2F2022%2000%3A00%3A00"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠通電收警告當心冒名釣魚簡訊後，再呼籲慎防假冒eTag通知的釣魚郵件</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_155112.jpg" style="width: 220px; float: right;" /></p> <p>假冒eTag名義的網路釣魚詐騙橫行，7月27日遠通電收發布公告，指出有人透過電子郵件發送網釣郵件，像是假冒遠通電收以eTag儲值失敗贈送儲值金的名義，或是eTag認證通知的名義，引誘使用eTag的車主點擊信中連結，可能騙取民眾個資。值得關注的是，這種以遠通電收名義的網釣攻擊持續發生，像是今年5月2日遠通電收也曾警告，發現有假冒該公司名義，發送到期繳費通知的SMS簡訊，內含不明網址，而刑事警察局在6月曾揭露一起事件，說明有民眾接獲通行費58元即將到期的簡訊，誤信點擊連結，依欄位輸入車號、身分證字號、信用卡卡號等資料，遭詐騙美金2千元。刑事局表示，網路詐騙會假冒各式名義，民眾務必自行找尋官方機構聯繫管道確認，或撥打110、165查詢。</p> <h3><a href="https://www.enisa.europa.eu/publications/enisa-threat-landscape-for-ransomware-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲ENISA發布勒索軟體研究報告，分析過去一年623起事件外洩136TB資料，並指出這只是冰山一角</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_175250.jpg" style="width: 220px; float: right;" /></p> <p>歐洲網路資訊安全局（ENISA）在7月29日發布Threat Landscape for Ransomware Attacks報告，當中收集並分析了2021年5月至2022年6月的623起的勒索軟體攻擊事件，當中揭露幾項重點與值得注意的統計數據，例如，他們透過LEDS矩陣（鎖住、加密、刪除、偷竊）與各式資產形式（檔案、記憶體、資料夾等9種），來分類勒索軟體的能力，並對勒索軟體生命週期進行分析。而在他們統計中發現，每月平均有10TB資料被勒索軟體攻擊過程竊取；在95.3%的事件中，受害者是不知道駭客是如何獲取進入企業內部的初始權限，只有29起得出結論；推估有6成受害者支付贖金；至少發現47個不同的勒索軟體攻擊者。特別的是，當中公布受害產業占比統計，以重工業件數最多近130件，資訊服務業超過70件，政府機關超過50件，而ENISA也特別強調，這些已對外揭露的事件，僅冰山一角。</p> <h3><a href="https://www.coveware.com/blog/2022/7/27/fewer-ransomware-victims-pay-as-medium-ransom-falls-in-q2-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近期最常見的勒索軟體為BlackHat與Lockbit 2.0</span></strong></a></h3> <p>CoveWare公布2022第二季勒索軟體報告，當中指出幾個重點趨勢，包括攻擊者的攻擊技術不斷進步，一年前只有少數勒索軟體能加密非Windows作業系統，然而現在卻是幾乎RaaS的勒索軟體服務，都有針對Windows、Linux與ESXI環境提出穩定的版本，他們同時公布第二季常見勒索軟體，前三名為BlackCat（16.9%）、Lockbit 2.0（13.1%）、Hive（6.3%），而第四名Quantum新入榜值得關注。再以產業別來看，受害比例最高的是專業服務機構（21.9%），其次為政府公部門（14.4%）、醫療機構（10%）、軟體服務業（9.4%）、材料業（8.1%）。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/xss-vulnerabilities-in-google-cloud-google-play-could-lead-to-account-hijacks"><span style="color: rgb(0, 0, 0);">Google Cloud中的XSS漏洞，可能導致Google Play帳戶遭劫持</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_172213.jpg" style="width: 220px; float: right;" /></p> <p>根據The Daily Swig報導，有研究人員通報Google Cloud、DevSite與Google Play存在的兩個XSS漏洞，共獲得8千多美元的獎勵。根據該研究人員NDevTK的說明，一個漏洞屬於Google DevSite中的反射型XSS漏洞，一個被攻擊者控制的連結，可以在原<a href="http://cloud.google.com">http://cloud.google.com</a>與<a href="http://developers.google.com">http://developers.google.com</a>執行JavaScript，這意謂著攻擊者可以繞過同源政策（Same-origin policy），讀取與修改其內容。另一個是屬於Google Play上的DOM-based XSS，通常發生在JavaScript執行過程，從攻擊者控制的資源像是URL獲取資料時，被帶入了惡意指令，將其傳遞給執行程式碼的eval()或innerHTML，這通常讓攻擊者可以利用來執行惡意JavaScript，竊取其他用戶身分。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/22/g/examining-new-dawdropper-banking-dropper-and-daas-on-the-dark-we.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">趨勢科技揭露惡意droppers攻擊活動DawDropper散布金融木馬</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152218"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國法院系統的重大網路安全漏洞曝光</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152220"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">因應手機送修安全，三星將推「維修模式」安全性功能</span></span></strong></a></p> <p><a href="https://securelist.com/apt-trends-report-q2-2022/106995/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">卡巴斯基揭露2022第二季APT攻擊趨勢報告</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152226"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者披露鎖定歐洲用戶的上萬個投資詐騙網站</span></span></strong></a></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月29日】駭客竊取SQL Server與MySQL伺服器網路頻寬牟利、臺廠Moxa修補工控裝置伺服器設備零時差漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/152168">【2022年7月28日】網路傭兵Knotweed利用CSRSS零時差漏洞發動攻擊、阿里雲OSS儲存桶被用於散布惡意軟體及挖礦</a></p> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月27日】駭客意圖透過IIS伺服器延伸套件在Exchange植入後門、研究人員揭露Node.js原型污染漏洞</a></p> </div></div></div>
2022/8/1 18:43作者羅正漢https://www.ithome.com.tw/news/152230
Azure簡化深度學習函式庫DeepSpeed軟硬體堆疊配置，超大規模模型訓練變簡單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟強化Azure對超大型機器學習模型訓練的支援度，現在用戶可以<a href="https://azure.microsoft.com/en-us/blog/azure-empowers-easytouse-highperformance-and-hyperscale-model-training-using-deepspeed/">使用深度學習函式庫DeepSpeed和1024個A100 GPU</a>，來執行兆級參數模型的訓練。</p> <p>近年基於Transformer的大規模深度學習技術，有了長足的進展，在5年之間，從最初只有數百萬參數的Transformer模型，到現在Megatron-Turing已具有5,300億個參數，這之間模型參數量成長了數個量級，而企業對於訓練和調校這些大型模型的需求也逐漸成長。</p> <p>過去用戶要訓練這類大規模模型，需要配置和維護一個複雜的分散式訓練基礎設施，微軟提到，這些工作通常有一些手動步驟且容易出錯，因此在可用性和效能表現上並不佳。</p> <p>而現在微軟用戶可以使用Azure上的DeepSpeed，來應付大規模人工智慧訓練。用戶可以使用推薦的Azure機器學習配置，或是利用Bash腳本以虛擬機器擴展集為基礎的環境執行。DeepSpeed是微軟在2020年釋出的開源深度學習訓練最佳化函式庫，該函示庫使用記憶體最佳化技術ZeRO，改善大型模型訓練的規模、速度、成本和可用性。</p> <p>微軟採用全端最佳化的方式，將所有訓練必要的硬體、作業系統、虛擬機器映像檔，還有包含PyTorch、DeepSpeed、ONNX Runtime，與各種Python套件的Docker映像檔，以及Azure機器學習API，經過最佳化、整合和測試，使其具有良好的效能和可擴展性，並且讓用戶不需要處理其複雜性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/6213ff53-aeda-4961-954e-81692ce0b768.png" style="width: 493px; height: 480px;" /></p> <p>在經最佳化的Azure DeepSpeed堆疊上，用戶可以訓練1兆甚至是2兆參數的超大型模型，而且無論是模型的大小和GPU數量的增加，都提供了幾乎線性的可擴展性，微軟提到，Azure和DeepSpeed打破GPU記憶體的限制，使得用戶可以更簡單地訓練兆級參數模型。</p> </div></div></div>
2022/8/1 16:48作者李建興https://www.ithome.com.tw/news/152229
IPFS成最新產製釣魚信件的新據點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/ipfs-the-new-hotbed-of-phishing/" target="_blank">安全廠商發現</a>，新興的分散式檔案儲存及傳輸協定IPFS也被駭客用於產製及發送釣魚信件，而且更難為傳統釣魚信件防護技術偵測。</p> <p>安全廠商TrustWave在過去90天內，觀測到3,000多封電子郵件包含IPFS協定的釣魚URL，顯示這新協定愈來愈成為釣魚網站的熱門平臺。</p> <p>星際檔案系統（InterPlanetary File System，IPFS）是一分散式點對點的檔案共享系統，以便儲存和共享檔案、網站、應用程式。IPFS網路中，內容儲存在全球各個節點，各節點也可以彼此分享內容。IPFS協定根據內容定址找到特定檔案。為抓取特定內容，使用者必須知道閘道主機名稱和檔案的內容辨識碼（content identifier，CID）。其網址類似https://<Gateway>/ipfs/<CID Hash>。</p> <p>傳統上的網際網路檔案傳輸，是以集中化client/server的 HTTP協定上進行。一旦伺服器掛掉或連線斷掉，就無法傳輸檔案。但在IPFS上，檔案可利用多個網路節點上傳送，因此內容是恆久存在的。</p> <p class="rtecenter"><img alt="" src="https://www.trustwave.com/media/18854/picture1r.png?v=0.0.1" style="width: 361px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／TrustWave</span></span></p> <p>一旦用於惡意內容，例如釣魚信件網路就會對網路安全帶來挑戰。一來，想取締IPFS分散架構上的釣魚網站十分困難，另外，想在合法P2P網路上發現惡意流量也是問題。基於資料的恆久性、強大的網路特性、欠缺管理法規，IPFS可能是代管和分享、散布惡意內容的理想平臺。</p> <p>IPFS預設使用sha-256演算法為檔案產出CID，據此，TrustWave研究人員目前發現駭客利用多種IPFS服務儲存惡意檔案，並發動釣魚信件攻擊。分析這些釣魚郵件，顯示惡意檔案分別儲存在區塊鏈服務infura[.]io（下圖）、雲端儲存服務如Filebase[.]io、Nftstorage[.]link、免費靜態網頁空間Surge、甚至濫用Google Weblight、以及網頁代管網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0801-Infura%20IPFS%20service%20phishing%20activity.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／TrustWave</span></span></p> <p>研究人員警告，隨著網頁代管、檔案儲存或雲端服務提供IPFS服務，IPFS成為釣魚郵件的新溫床，駭客建立新式釣魚URL有更大彈性，且藉由將惡意檔案代管理在合法服務上，也更能躲避像是URL信譽評等，或是自動化URL分析服務的偵測。研究人員提醒用戶應時時提高警覺。</p> </div></div></div>
2022/8/1 14:47作者林妍溱https://www.ithome.com.tw/news/152223
CISA把Confluence將密碼寫死的安全漏洞納入已遭開採名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全及基礎設施安全局（CISA）於7月29日<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">將CVE-2022-26138漏洞納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄</a>，這是Atlassian於7月20日修補的Questions For Confluence密碼寫死漏洞<a href="https://www.ithome.com.tw/news/152113" target="_blank">，當時Atlassian便曾警告已有人將該服務的密碼公開</a>，CISA則進一步證實該漏洞已被開採，要求美國聯邦機構在8月19日以前修補。</p> <p>Questions For Confluence是個類似論壇的企業服務，讓使用者可透過問答來分享知識，或建立屬於企業的維基百科，然而，Atlassian替Questions For Confluence建立了一組預設的帳號及密碼，並將它們寫入程式碼，只要駭客取得該憑證，就能自遠端登入Confluence並存取所有內容，該漏洞影響Confluence伺服器與Confluence資料中心。根據估計，全球約有8,000臺伺服器啟用了Questions For Confluence。</p> <p>由於只要得知內建的憑證就能開採該漏洞，且已經有人公開了寫死的憑證，代表CVE-2022-26138被開採只是早晚的事，CISA則確認已有駭客開採該漏洞並要求聯邦機構限期修補。</p> </div></div></div>
2022/8/1 14:56作者陳曉莉https://www.ithome.com.tw/news/152225
資安業者披露鎖定歐洲用戶的上萬個投資詐騙網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.group-ib.com/investment-scams-europe" target="_blank">資安業者Group-IB近日揭露了一個龐大的詐騙網路</a>，駭客設立了超過1萬個詐騙網站，鎖定歐洲地區的民眾展開比特幣或黃金的投資詐騙，涵蓋英國、比利時、荷蘭、德國、波蘭、葡萄牙、挪威、瑞典與捷克。</p> <p>這些詐騙網站通常盜用名人的身分，像是馬斯克（Elon Musk）或各國的知名人物，宣稱這些名人都因使用該投資平臺而致富，並透過廣告、臉書或YouTube等平臺宣傳，還說初期資金只需750歐元（23,415元新臺幣），並會有人發表評論，表示3天就獲利700歐元。</p> <p>此外，駭客的詐騙手法結合了網路與實體，當受害者於投資詐騙網站填入了自己的聯絡資訊之後，就會接到電話，讓駭客得以繼續說服受害者存入250歐元，一旦受害者匯入了款項，即可取得登入憑證以查看自己的投資儀表板。</p> <p>然而，這個投資儀表板也是偽造的，駭客偽造了獲利的假象，企圖再說服受害者投入更多的資金，資金投入愈多，偽造的獲利也愈多，但當受害者想要贖回時，駭客則會要求受害者匯入更多金額以達到支付門檻。總之，不管是哪一個選項，受害者都無法拿回已匯入的款項，更遑論是虛假的獲利。</p> <p>Group-IB指出，這些詐騙網站存活的時間短則幾天，長則數個月，詐騙愈多人的網站，存活的時間愈短，而且駭客可以快速複製更多的詐騙網站，迄今該公司至少追蹤到11,197個詐騙網站，Group-IB建議使用者要投資時應選擇合法及已知平臺，而且最好搜尋一下它們的評價。</p> </div></div></div>
2022/8/1 15:18作者陳曉莉https://www.ithome.com.tw/news/152226
因無法備份，美國特勤局考慮關閉員工iPhone上的iMessage功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.politico.com/news/2022/07/29/secret-service-may-disable-imessages-jan-6-00048780" target="_blank">《Politico》近日報導</a>，由於蘋果iPhone上的iMessage無法備份訊息，使得美國特勤局（United States Secret Service，USSS）考慮要關掉員工iPhone上的iMessage功能。</p> <p>iMessage為蘋果iOS作業系統上的內建傳訊程式，它就像是傳統手機的簡訊功能，可用來傳遞文字或多媒體訊息，支援Wi-Fi與行動網路，若彼此都是iMessage用戶，那麼它不但是免費的，且訊息一律加密。</p> <p>iMessage之所以成為焦點，是因為美國國土安全部在調查2021年1月6日發生的美國國會暴動事件時，要求美國特勤局提供探員的通訊紀錄，然而，由於在這期間美國特勤局採用了新的行動裝置管理平臺，該平臺無法自動備份iPhone手機上的iMessage，若探員也未手動備份這些資料，那麼在切換到新平臺時資料即會全數被移除。而此舉可能違反了美國的聯邦紀錄法令。</p> </div></div></div>
2022/8/1 12:45作者陳曉莉https://www.ithome.com.tw/news/152222