iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google宣布將關閉Stadia遊戲串流服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/stadia/message-on-stadia-streaming-strategy/" target="_blank">Google周四（9/29）宣布</a>，將於明年的1月18日正式關閉<a href="https://www.ithome.com.tw/news/133630" target="_blank">在2019年發表的</a>遊戲串流平臺Stadia。</p> <p>Stadia奠基在Google的資料中心與網路架構上，宣稱可立即將遊戲傳送到電視、筆電、桌上型電腦、平板電腦或是手機上，儘管對執行裝置沒有嚴格要求，但使用者必須購買Google專替Stadia設計的遊戲控制器，要價129美元，以及每月9.9美元的訂閱費用，<a href="https://www.ithome.com.tw/news/134288" target="_blank">且正式上線之後的風評並不佳</a>。</p> <p>Google原本也為了該服務成立了Stadia Games and Entertainment（SG&E）遊戲開發團隊，以打造獨家遊戲，<a href="https://www.ithome.com.tw/news/142576" target="_blank">卻在去年1月宣布解散</a>該團隊，僅提供第三方遊戲。</p> <p>負責Stadia的Google副總裁Phil Harrison本周指出，由於Stadia平臺吸引玩家的能力不如預期，使得Google決定作出關閉Stadia的決定，玩家僅能繼續存取該服務直至明年的1月18日。且即日起就會關閉Stadia Store及Stadia平臺上的所有商業活動。</p> <p>不過，只要是玩家透過Google Store所購買的Stadia硬體，或是於Stadia Store所購買的遊戲或加值內容，都可收到全額退費，而且不必歸還裝置，預計在明年1月18日以前就會退還大部分的款項。</p> <p>Harrison表示，用來支援Stadia的底層技術已被大規模地證明，且超越了遊戲領域，將會把相關技術應用在YouTube、Google Play與Augmented Reality（AR）上，並感謝所有Stadia玩家這幾年來的支持。</p> <p>至於Stadia團隊的成員有些將會轉移到其它團隊，其他的可能難逃離職的命運。</p> <p>與Google差不多時期邁入雲端串流遊戲的業者，還包括微軟的Project Stream，Amazon的Luna服務，以及Nvidia的GeForce NOW。</p> </div></div></div>
2022/9/30 12:46作者陳曉莉https://www.ithome.com.tw/news/153375
Cloud周報第156期：開發者隨時能用最新款CPU做開發和測試，英特爾開始測試Intel Developer Clo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（09/22～09/28）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 元大銀行 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端轉型 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>元大銀行展開上雲計畫，第一步將授信業務核心的法金徵審系統搬上雲</strong></span></strong></p> <p>近來，國內金融業者為轉型積極上雲的比例，有逐步升高的趨勢，除了國泰、富邦以外，最近也有另一家國內銀行業者元大商業銀行啟動上雲計畫。第一步就是將銀行授信業務核心的法金徵審系統搬上雲端，來提供雲端金融服務。</p> <p>元大銀行表示，上雲將是該公司轉型的重要目標，希望透過上雲幫助這家公司達到快速反應市場變化、提升系統擴充彈性及優化整體維運效率。轉型上雲第一步，他們計畫採用IBM雲端方案，以雲端架構為基礎，打造新一代法金徵審系統，從法規遵循、資料整合、風險管理與業務創新四大面向，來創新雲端金融服務。</p> <p>在這套雲端徵審系統中，還將整合了ESG永續功能，來提供可追蹤的永續金融授信作業，元大銀行表示，未來將透過系統自動化輔助ESG授信作業，除了降低人工作業負擔，也能增加ESG授信資訊的一致及準確性。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Anthos </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>企業雲原生落地環境不再限用容器，Google混合雲平臺Anthos終於能支援VM了</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(3).png" style="width: 600px; height: 319px;" /></p> <p>日前，Google Cloud宣布自家混合雲裸機平臺Anthos for bare metal，不再只能跑容器，也正式支援VM工作負載，這也意謂著，許多企業在轉換混合雲架構時，就能直接將部署在地端各種VM應用跑在Anthos平臺上，而不一定要改用容器才能執行。</p> <p>去年Google Cloud Next大會上，Google Cloud釋出預覽版Anthos for Virtual Machines時，就已經能讓VM工作負載跑在Anthos平臺上。在正式版推出後，Google Cloud表示，企業用戶以後不只能用以往Kubernetes管理容器方式來管理VM，還提供許多VM管理工具，如命令列、API、Google Cloud控制臺等，並結合雲端VM監控和視覺儀表板功能。而Anthos用來支援VM的核心元件，是使用KubeVirt容器虛擬化技術開發的Anthos VM Runtime元件。</p> <p>不只是VM管理，該服務也加入多網路介面和IP/MAC繫結的支援，來實現VM搬移，也整合VLAN虛擬網路，可透過採取L4 Kubernetes網路策略，取得類似虛擬私有雲的微分段功能。Google Cloud表示，未來用戶在v1.12或以上版本的Anthos平臺上啟用Anthos VM，將不用額外付費。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英特爾 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發者 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>英特爾開始測試Intel Developer Cloud服務，可供開發者測試最新CPU加速產品優化與開發</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(9).png" style="width: 600px; height: 278px;" /></p> <p>英特爾近日在Intel Innovation大會上<a href="https://www.intel.com/content/www/us/en/developer/tools/devcloud/services.html">釋出Intel Developer Cloud服務第一個Beta測試版</a>，並從9月27日正式提供開發者或合作夥伴來申請。</p> <p>英特爾表示，Intel Developer Cloud是一個雲就緒的部署和開發環境，開發者可以透過雲端使用最新的英特爾硬體平臺（包含虛擬機、裸機）和軟體，然後在這個平臺上進行開發和測試。英特爾強調，因為是雲端服務形式，所以企業無需任何配置、也不用進行安裝或下載，直接就能使用。</p> <p>根據英特爾規畫，初期將提供最新款Xeon Scalabl處理器（如代號Sapphire Rapids的第4代Xeon CPU）、GPU平臺和相關軟體優化堆疊，來提供生態系夥伴和開發者<span>透過雲端取用</span>，用於加速產品優化和開發，接下來也將於該平臺上開放使用英特爾AI和機器學習工具套件與函式庫，可供用戶加速ML評估和開發，以縮短產品開發到上市的時程，之後也將提供產品上市前的預配置環境測試等服務。</p> <p>在該服務網頁的問答中，英特爾也透露， Intel Developer Cloud之後將整合現有英特爾雲端開發環境，如Intel Developer Cloud for oneAPI等。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端併購 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">混合雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>IBM再收購數位產品工程服務商Dialexa，來擴充自身混合雲產品和AI服務能力</strong></span></strong></p> <p>近來，IBM積極布局混合雲市場，並持續透過併購方式強化自身混合雲產品和AI能力。IBM近日再次宣布將併購一家數位產品工程服務商Dialexa，這已經該公司今年以來第6次收購案，在這之前，IBM相繼買下電信諮詢公司Sentaca、雲端服務諮詢業者Neudesic和網路安全新創Randori等公司。</p> <p>總部位於達拉斯和芝加哥的Dialexa，擁有超過300名工程師和IT專家，並以提供數位產品工程諮詢和相關服務為主，包括美國最大農業設備製造商Deere & Company、必勝客和豐田汽車都是其客戶。</p> <p>在Dialexa加入後，IBM表示，未來將借助其在端到端的數位產品服務經驗，包括跨雲平臺的策略、設計、建置及優化服務等，提供企業完整的數位轉型服務方案。</p> <p>IBM 於2021年混合雲營收，就占其整體收入 35%，已逐漸成為這家公司營收主力，這也讓IBM決定加大雲端投資力道，希望藉由多方併購方式，來擴大其混合雲市場版圖。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Ofcom </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>英國對三大公雲巨頭啟動反壟斷調查，將對違反公平競爭者祭出加強管制措施</strong></span></strong></p> <p>近日，英國電信監管機構Ofcom宣布將對於亞馬遜AWS、微軟Azure、Google Cloud在英國有無壟斷性競爭展開調查，原因是，這3家雲端業者2021年在英國公雲基礎設施服務合計市占率就超過8成，擔憂將阻礙英國雲端市場的創新與發展。</p> <p>Ofcom預計將用1年來評估英國雲端產業整體運作情況，也將全面檢視三大公雲業者在雲端市場有無限制競爭或不公平競爭。Ofcom表示，若有發現不公平競爭而有損市場發展，如價格上漲、服務品質下降和創新減少等，不排除採取進一步行動，包括向政府提出法規或政策建議，或對違反競爭的雲端業者祭出加強管制措施等。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端漏洞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 甲骨文OCI </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>甲骨文修補OCI雲端服務中的雲端租戶隔離漏洞</strong></span></strong></p> <p>雲端資料庫巨頭甲骨文（Oracle）在今年6月接獲雲端安全業者Wiz通報，指出自家OCI雲端服務中存有嚴重的雲端租戶隔離漏洞，可能導致企業用戶放在雲端的儲存資料被其他用戶任意存取，造成公司重要資料外洩。甲骨文目前已將該漏洞修補。</p> <p>Wiz最近也將發現這個漏洞的過程在自家部落格上公開。Wiz表示，他們是在使用甲骨文雲端服務OCI connector連接器來建構自己的技術堆疊時，偶然發現了這個漏洞。進一步追查發現，透過該漏洞，有心人士可以在未取得授權的情況下，將其他OCI用戶的虛擬硬碟連接到自己虛擬機器執行個體上，只要取得對方的Oracle Cloud Identier識別，就可以擁有一個或多個未連結volumes儲存空間的存取權限，來進行各種惡意操作，如覆蓋或取代儲存內容。Wiz發現後並立即通報，Oracle收到通知後數小時內完成修補。</p> <p><strong><strong>圖片來源／Google Cloud、英特爾</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.三大公雲明年將推採用Nvidia全新Hopper架構的GPU執行個體</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.Nvidia推出工業元宇宙應用的Omniverse雲端服務</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.AWS混合雲平臺Outposts落地高雄亞灣新創園區，未來將整合5G AIoT應用</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>4.Google雲端容器分析開始支援Java和Go套件的漏洞掃描</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年9月</strong></strong></strong></strong></p> </div></div></div>
2022/9/30 11:03作者余至浩https://www.ithome.com.tw/news/153365
AI趨勢周報第198期：文生圖不夠看，Meta AI最新模型能將文字轉為高品質影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0923～0929)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">文字轉影片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Make-A-Video </span></strong></span></p> <p><span style="font-size: 22px;"><strong>文生圖不夠看，Meta AI最新模型能將文字轉為高品質影片</strong></span></p> <p>Meta創辦人祖克柏分享自家AI研究院最新成果Make-A-Video，這是一款AI系統，可根據文字描述產出一段高品質的影片。近2年，許多科技巨頭鑽研文字轉圖片的Transformer模型，如OpenAI的DALL-E，Meta也不例外，他們今年早些時候也發表過多模態的文生圖系統Make-A-Scene，並在這個基礎上開發出Make-A-Video。</p> <p>Meta AI團隊開發Make-A-Video的想法很簡單，就是讓模型從一組組文字-圖片的配對中，來學習現實世界的樣貌，並從非監督式影片來學習這個世界如何動作。他們解釋，Make-A-Video有不少優勢，比如不必從頭學習影像和多模態表徵，因此加速文字轉影片模型的訓練，以及不需要成對的文字-影片訓練資料。而且，該系統產生的影片，皆具備現有文生圖的多樣性（如奇幻色彩）。</p> <p>在模型設計上，他們先拆解完整的時序型網路U-Net和注意力張量，並讓它們在時空間裡逼近。接著，團隊設計一個時空工作管線，來產出高解析度的幀率影片。Meta表示，用來訓練Make-A-Video的資料都來自於公開資料集，系統目前已<a href="https://makeavideo.studio/?fbclid=IwAR2OQJyr92rLjPOjoRwD05W1OCs2dpe9jjZhEwo-kMeeqinEKvx6xrt82g8">開放大眾使用</a>，可根據輸入文字產生3種不同風格的影片，包括超現實、寫實和風格化影片。Meta也希望透過使用者回饋，和自家負責任AI框架，來動態調整系統。<a href="https://ai.facebook.com/blog/generative-ai-text-to-video/">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.2365-6/10000000_881443066596758_5269738903466867973_n.webp?_nc_cat=108&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=LgiT3XrV-Z8AX_AmdU6&_nc_ht=scontent-tpe1-1.xx&oh=00_AT_tRNL3qEUZvJm9IYDCAmNPc1f58C1C_sH1xg7yETMcSQ&oe=633AB0B3" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yann LeCun </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 深度學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自監督學習 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Yann LeCun：目前大多數AI都實現不了真正的智慧，但自監督學習有潛力</strong></span></p> <p>卷積網路（CNN）之父Yann LeCun日前接受ZDNet採訪時透露，他對目前的深度學習方法持懷疑態度，因為現有的高階深度學習方法無法實現真正的智慧，其中包括以Transformer架構為基礎的大型語言模型GPT-3。他點出，Transformer的擁護者相信，只要將一切標記化，模型就能精準預測，也就是AI。「這麼說沒錯，」但Yann LeCun話鋒一轉，「它可能是未來智慧系統的一部分，但仍缺少真正核心的部分。」</p> <p>在他看來，所有的AI都面臨一個基本問題，也就是如何測量資訊量。比如，人們不可能只造梯子就登月，而是得造火箭。他在6月發表一篇論文，講述的就是這個火箭的基本原理。他認為，基於能量的自監督學習，是通往真正智慧的深度學習方法。<a href="https://www.zdnet.com/article/metas-ai-guru-lecun-most-of-todays-ai-approaches-will-never-lead-to-true-intelligence/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療大數據 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 避風港計畫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>北榮建置醫療大數據基礎架構，下一步要展開資安避風港計畫</strong></span></p> <p>為整合散落各處的龐大醫療大數據，臺北榮總近年來建置大數據整合基礎架構，打造出可順暢接軌的數據池，將所有數據集中一處儲存。臺北榮總大數據中心負責人朱原嘉表示，這麼做，就能用機器學習，來將這些數據轉化為更高價值的洞察資訊，提高院內醫學論文產量，也能協助醫師診斷、用藥更精準。</p> <p>這些基礎設施是北榮與戴爾共同打造，他們也進一步發展AI平臺架構，甚至為在2050年達到淨零碳排目標，將運用AI來計算最佳電力使用模型。此外，北榮也在這個平臺上部署聯邦式學習，讓數據留在醫院本地端、權重在雲端的模式，以AIoT終端裝置收集病患的血壓值、心律管理、生理資訊量測等數據，再透過自動化分析工具提供有價值的資訊給醫生，加速診療判斷。最後，他也透露，為進一步保護病患隱私與個資，北榮未來將建置避風港計畫（Sheltered Harbor Program），來強化資安韌性、保護關鍵資料，讓醫療服務不中斷。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聊天機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Sparrow </span></strong></span></p> <p><span style="font-size:22px;"><strong>DeepMind開發更安全的聊天機器人Sparrow</strong></span></p> <p>DeepMind打造聊天機器人Sparrow，可即時用Google搜尋來尋找答案，也能透過人類與Sparrow的對話來改善機器人對話內容。DeepMind指出，近來各種大型語言模型已在問答、摘錄和對話等任務上頗有成效，但，基於LLM的對話聊天機器人還是會出現不準確、歧視或鼓勵不安全行為的對話。</p> <p>為解決問題，聊天機器人必須從人類的回應來學習。Sparrow就是以這樣的強化學習方式訓練而成，它會向人類展示不同模型對同一問題的答案，並選出人類最喜歡的答案，也讓人類持續以中性或敵對等方式與Sparrow互動，同時擴大用來訓練資料集。DeepMind也建立簡單的規則，確保Sparrow的行為是安全的，比如當人類要求Sparrow教他如何靠電線短路來發動汽車時，Sparrow會說這可能違法而拒絕回答；或者當人類問及Sparrow個人問題時，Sparrow會坦承自己不是人類。<a href="https://www.deepmind.com/blog/building-safer-dialogue-agents">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/deepmind-media/DeepMind.com/Authors-Notes/sparrow/sparrow_fig_2.svg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自動語音辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Whisper </span></strong></span></p> <p><span style="font-size:22px;"><strong>Open AI開源自動語音辨識系統Whisper</strong></span></p> <p>Open AI近日開源語音辨識系統Whisper，號稱英文辨識能力達人類水平，並支援其它98種語言的自動語音辨識。Whisper可執行語音辨識和翻譯任務，能將各種語言的語音轉為文字，也能將這些文字翻譯成英文。</p> <p>Whisper系統目前有9種模型，它們的參數量和功能不一，這些模型共經68萬小時語音訓練，也比對了從網路上蒐集而來的文字轉寫內容，當中68%的資料為英文語音與英文文字，另有18%的非英文語音及英文文字。雖然Whisper支援98種語言，但只有不到10種的語言實現強大的自動識別能力。Open AI期望，Whisper模型的轉錄功能可用來改善無障礙工具。<a href="https://openai.com/blog/whisper/">（詳全文）</a></p> <p><img alt="" src="https://cdn.openai.com/whisper/asr-summary-of-model-architecture-desktop.svg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 部署 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia發表多項大型語言模型服務更新</strong></span></p> <p>Nvidia最近發布多項大型語言模型（LLM）新服務和框架，包括能自定義模型的服務NeMo LLM、擴展LLM在製藥和生物技術產業的科學用服務BioNeMo，以及NeMo Megatron端到端框架公開測試版，供開發人員訓練和部署大型語言模型。</p> <p>用戶可用NeMo LLM服務中的Nvidia託管雲端API，在公、私有雲大規模自定義和部署大型語言模型。NeMo LLM是一款高計算效率的服務，能將脈絡嵌入用戶查詢中，只要數百個樣本就能得到高精準度。而NeMo Megatron可用來訓練、部署數兆參數的大型語言模型，並於Azure、AWS、甲骨文雲端提供公開測試板。另一方面，BioNeMo服務則以NeMo Megatron為基礎，提供AI藥物探索工作流程的統一雲端環境，支援化學和蛋白質組學類的Transformer模型，以及OpenFold預測蛋白質結構的工作流程。<a href="https://developer.nvidia.com/blog/simplifying-access-to-large-language-models-through-nemo-framework-and-services/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DALL-E </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式 </span></strong></span></p> <p><span style="font-size:22px;"><strong>不必候補！OpenAI開放民眾直接使用DALL-E了</strong></span></p> <p>OpenAI最近移除文生圖模型DALL-E測試版的候補名單，民眾可直接註冊、使用DALL-E功能，輸入文字就能產出各種圖片了。OpenAI表示，目前每日都有150多萬名使用者用DALL-E，創作超過200萬張圖片，這些創作者的反饋，讓OpenAI不只新添一項可腦補、延伸繪畫的功能Outpainting，也加強DALL-E的過濾器、打造新的偵測器，來拒絕生成色情、暴力等違反內容規範的圖像。目前，OpenAI也在與數名顧客測試DALL-E API，未來將提供給開發者和企業，來在DALL-E系統上開發應用程序。<a href="https://openai.com/blog/dall-e-now-available-without-waitlist/">（詳全文）</a></p> <p><img alt="" src="https://cdn.openai.com/dall-e-now-available-without-waitlist/draft-20220927a/cyberpunk-cat.jpeg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SayCan </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google用超強語言模型讓家務機器人聽懂指令</strong></span></p> <p>Google日前發表新機器人AI模型PaLM-SayCan，來強化Alphabet開發的事務幫手型機器人對指令的理解力，更聰明執行任務。進一步來說，SayCan就像是理解使用者指令的大腦，而機器人就是手和眼睛，根據大腦理解的意思來執行指令。SayCan能理解551種技能和17種物件的指令語義，機器人執行一個動作後，SayCan會將描述附加到PaLM模型，來查詢、重複該過程，直到它完成動作。</p> <p>後來，團隊在15種物品的模擬廚房中，向機器人發出101條命令來測試系統。他們發現，機器人計畫有效動作的成功率為84%，而成功執行這些動作的比例為74%。在現實生活的廚房中，機器人的成功率分別是81%和61%。<a href="https://ai.googleblog.com/2022/08/towards-helpful-robots-grounding.html">（詳全文）</a></p> <p>圖片來源／Meta、DeepMind、OpenAI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Meta發表英文編輯工具EditEval，能把文章修得更好</strong></p> <p><strong>2. 漢莎航空運用深度學習預測瑞士白斯風提高航班準點率</strong></p> <p>資料來源：iThome整理，2022年9月</p> </div></div></div>
2022/9/30 12:00作者王若樸https://www.ithome.com.tw/news/153372
Meta開放可將文字轉化成短影片的Make-A-Video AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/generative-ai-text-to-video/" target="_blank">Meta昨（29）日公布</a>名為Make-A-Video的AI工具，能利用文字或靜態圖片產生短影片，並公開給社群試用。</p> <p>Make-A-Video類似<a href="https://www.ithome.com.tw/news/153341" target="_blank">OpenAI的DALL-E</a>和<a href="https://stability.ai/blog/stable-diffusion-public-release" target="_blank">Stable Diffusion</a>，能將輸入的文字以AI模型產生成圖像。Meta 表示，是以Meta AI部門生成性AI（generative）技術為基礎發展而成，利用文字搭配圖片，以及不加入相關文字及標註的影片片段為資料加以訓練。Meta表示，這項工具可讓用戶發揮想像力，只要幾行字即可生成各種天馬行空、獨一無二的短影片。</p> <p>這項服務是Meta繼今年7月的<a href="https://twitter.com/metaai/status/1547598454922153985" target="_blank">Make-A-Scene</a>後最新生成性AI研發成果。Make-A-Scene透過提示，即可利用使用者輸入的文字和簡單草圖，來生成一幅高品質的場景圖。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-1.fna.fbcdn.net/v/t39.2365-6/10000000_881443066596758_5269738903466867973_n.webp?_nc_cat=108&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=LgiT3XrV-Z8AX8WNckn&_nc_ht=scontent.ftpe8-1.fna&oh=00_AT92eOH4EhTpCo44ZTWfFNFzUgD06p0B2YmLO2pip0wpkQ&oe=633AB0B3" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p><a href="https://makeavideo.studio/" target="_blank">根據Meta的示範網站</a>，Make-a-Video有多項能力。在基礎層次上，它可以利用一行文字如「泰迪熊作畫」或「機器人在時代廣場跳舞」生成數秒短影片，現提供超現實、寫實或風格化三種類型。它也能將單一張圖轉成動畫，或是將二張圖接合成連續性影片，例如把看似差異不小的地貌圖接合成地形變動的影片。此外Make-a-Video還能以輸入一則影片的素材生成4種變化，例如讓跳舞的熊多出好幾種舞步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0930-Make-A-Video%20with%20text%20by%20Meta.png" style="width: 560px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>Meta強調Make-a-Video和之前技術相比，再現文字意境的能力提高3倍，畫質也改善了3倍。</p> <p>Meta也將Make-a-Video 的相關技術資源，<a href="https://github.com/lucidrains/make-a-video-pytorch" target="_blank">公開於GitHub</a>供研究社群試用。</p> <p class="rtecenter"><a href="https://github.com/lucidrains/make-a-video-pytorch" target="_blank"><img alt="" src="https://opengraph.githubassets.com/255ea28b774d2c3e6f36581620b59eb61572e6270f4fcd3e22cd87fb8faf70b0/lucidrains/make-a-video-pytorch" style="width: 500px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／GitHub</span></span></p> <p>為了減少AI模型產生有害內容，Meta強調會在Make-a-Video反覆檢視並使用篩選器，而且由於產生的影片相當逼真，Make-a-Video所有產生的影片都會加上浮水印以供讀者辨識。Meta同時強調會在Make-a-Video推向所有使用者之前，持續分析、測試，確保每個環節的安全及適當。</p> </div></div></div>
2022/9/30 12:16作者林妍溱https://www.ithome.com.tw/news/153373
Google計畫Chrome僅提供Manifest V2支援至2023年6月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.chrome.com/blog/more-mv2-transition/">Google給出具體Chrome淘汰Manifest V2的時間點</a>，從2023年6月開始，Google會在穩定頻道中，實驗關閉對Manifest V2擴充套件的支援，而對企業的支援則透過ExtensionManifestV2Availability企業政策延長至2024年1月。</p> <p>Google在2021年的時候，宣布要逐漸淘汰Manifest V2擴充套件，並且轉移到Manifest V3上。官方提到，Manifest V3提供更高的透明度和權限控制，以更嚴格的協定限制擴充套件對外部資源的存取，目的是要強化Chrome擴充套件的安全性。</p> <p>Google會循序漸進並且以實驗方法來關閉Manifest V2，確保在逐步淘汰的過程，用戶仍可以獲得流暢的使用體驗。具體來說，真正的淘汰工作會從明年1月的Chrome 112開始，Chrome會在Canary、Dev和Beta頻道中實驗關閉Manifest V2擴充套件的支援，而從6月的Chrome 115，會開始實驗關閉包含穩定等所有頻道的Manifest V2擴充套件支援。</p> <p>官方建議仍在使用Manifest V2的擴充套件作者，在這些Chrome新版本發布前搬遷到Manifest V3，否則擴充套件可能在這些版本上停止運作。對企業端的影響，Google透過ExtensionManifestV2Availability企業政策，讓企業的Manifest V2支援延長到2024年1月。</p> <p>另外，Google還會調整Chrome線上應用程式商店，以配合Manifest V2的淘汰，在2023年1月，使用Manifest V3將成為擴充套件獲得特色徽章的先決條件，以突出顯示商店提高對擴充套件安全性的要求。到了2023年6月，Chrome線上應用程式商店將不允許發布公開的Manifest V2專案，而既有的Manifest V2項目的可見性都會被設為未上架（Unlisted）。</p> <p>最後期限將是2024年1月，待Manifest V2企業政策到期後，Chrome線上應用程式商店將從商店中移除所有Manifest V2專案。</p> <p>Google在2018年公布Manifest V3，並說明Chrome的功能調整計畫，Manifest V3的出現備受社群批評，因為雖然Google名義上是要限制流氓擴充套件監控用戶，但是卻會限制部分廣告封鎖軟體如uBlock Origin的運作，Manifest V3棄用部分廣告封鎖軟體依賴的webRequest API功能，因而也同時限縮這些廣告封鎖軟體的過濾能力。</p> <p>uBlock Origin開發商Raymond Hill因應2023年Manifest V3的到來，釋出了相容的<a href="https://github.com/gorhill/uBlock/commit/a559f5f2715c58fea4de09330cf3d06194ccc897">uBlock Origin Minus</a>，其使用declarativeNetRequest API發出網路請求，遵守Manifest V3對讀取和修改資料權限的規範，但uBlock Origin Minus的功能就無法如uBlock Origin般強大。</p> <p>不過，除了Chrome之外，其他Chromium瀏覽器和Firefox則不會完全跟進Manifest V3，也沒有打算刪除webRequest API，因此在這些瀏覽器上，用戶仍可以使用原汁原味的uBlock Origin。</p> </div></div></div>
2022/9/30 10:36作者李建興https://www.ithome.com.tw/news/153350
Cloudflare發表免費的Turnstile以取代Captcha
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容遞送網路暨DDoS緩解服務的Cloudflare在周三（9/28）發表了<a href="https://blog.cloudflare.com/turnstile-private-captcha-alternative/" target="_blank">免費的Turnstile</a>，意欲取代經常造成使用者困擾的Captcha圖靈測試。</p> <p>Captcha是一個用來辨識網站造訪者是真實人類或機器人的有效工具，通常是要求使用者輸入網頁上所出現的扭曲文字，或辨識不同的圖案來驗證造訪者身分，然而，根據估計，全球人類每天大概要浪費500年的時間來解決網站上所出現的Captcha測試，也讓許多業者企圖取而代之，例如<a href="https://www.ithome.com.tw/news/151533" target="_blank">蘋果在iOS 16與macOS Ventura中所採用的私有存取令牌（Private Access Tokens，PAT）</a>，或是<a href="https://blog.cloudflare.com/end-cloudflare-captcha/" target="_blank">Cloudflare於今年4月宣布</a>，該公司已以Managed Challenge來取代Captcha。此次Cloudflare所發表的Turnstile便是採用與Managed Challenge同樣的技術。</p> <p>Cloudflare解釋，Turnstile是一個無形且更聰明的Captcha替代品，該解決方案可從輪替的一系列瀏覽器挑戰中自動選擇，它在背景尋找來自人類使用者的訊號。此外，Turnstile還能調整挑戰的難易度，針對那些看起來不像是人類行為的造訪者祭出較難的挑戰，亦能辨識蘋果於macOS與iOS中植入的PAT，簡化蘋果裝置的驗證程序。</p> <p>上述的瀏覽器挑戰主要是一些小型且非互動性的JavaScript，以蒐集有關造訪者或瀏覽器環境的訊號，像是工作證明、空間證明、Web API的深測，或是其它用來檢測瀏覽器與人類行為的挑戰。Cloudflare亦強調，Turnstile並不會蒐集、觸碰或儲存使用的裝置資料。</p> <p>在Cloudflare啟用了Managed Challenge之後，該站已減少91%的Captcha使用量，且預計今年底會達到99%。此外，每個使用者平均花在Captcha解題的時間為32秒，轉移到非互動挑戰之後，則僅需1秒。</p> <p>Cloudflare開放所有網站、不管是否為該公司客戶，都可免費使用Turnstile。</p> </div></div></div>
2022/9/30 10:41作者陳曉莉https://www.ithome.com.tw/news/153361
Istio終於進入CNCF成為孵化器專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cncf.io/blog/2022/09/28/istio-sails-into-the-cloud-native-computing-foundation/">CNCF（Cloud Native Computing Foundation，CNCF）宣布接收微服務管理平臺Istio，作為孵化器專案</a>。Istio是一個開源服務網格，提供用戶統一且高效率的方法，來保護、連接和監控雲端原生應用程式服務，其優點在於讓用戶不需要重寫應用程式，就能獲得零信任網路、政策實施、流量管理、負載平衡和監控等功能。</p> <p>目前的Istio始於由IBM和Google共同發表的開源專案，其合併來自Google的Istio專案，以及IBM的Amalgam8專案，最後雖然留用Google Istio專案的名字，但是IBM也在Istio的發展上投入大量的資源，另外，開發Envoy代理的Lyft團隊也在Istio專案初期貢獻不少。</p> <p>之後Istio的重大貢獻還來自許多企業，技術和雲端供應商包括紅帽、思科、VMware、英特爾、騰訊和阿里巴巴等，以及提供Istio解決方案的Tetrate、Aspen Mesh和Solo.io，還有部分Istio的終端用戶，像是Salesforce、SAP和Yahoo!等。</p> <p>Istio也建立在諸多CNCF專案的基礎上，像是Kubernetes、Envoy、gRPC、Prometheus和SPIFFE，Istio能夠與Helm共同安裝，並且整合包括Knative、Flagger、Jaeger、Open Policy Agent和OpenTelemetry等專案。Istio在2018年的時候達到1.0版本，在2019年成為GitHub中成長第4快的開源專案，整體來說，Istio是一個重要性高且生態系廣的開源專案。</p> <p>Istio服務網格在邏輯上分為資料平面和控制平面，資料平面是由一組智慧Envoy代理組成，並常被部署成側車模式，這些代理調解和控制微服務之間的所有網路通訊，同時收集和回報所有網格流量的遙測資料，Istio工程師同時也對Envoy貢獻許多重要功能，包括透過WebAssembly實現可擴展性。控制平面則管理和配置代理以路由流量。</p> <p>雖然Istio已經發展了將近6年，但是仍然在添加新功能，Istio最近加入了一種名為環境網格（Ambient Mesh）的操作模型，透過將資料平面功能從側車容器移動到網格基礎設施，也就是將資料平面代理從Pod中分離出來單獨部署，能夠支援更廣泛的應用情境，並且降低基礎設施成本。環境網格現在處於實驗功能階段，將與側車模式無縫互通。</p> <p>在2020年的時候，Google成立一個名為Open Usage Commons的組織，目的是要推廣開源哲學，並且協助開源專案處理商標問題，Open Usage Commons在成立初期，Google就宣布將Angular、Gerrit與Istio三個專案加入到該組織中，而此舉引來同為Istio創始成員IBM的不滿。</p> <p>在Istio專案初期，Google與IBM就達成協議，要在專案成熟時將Istio貢獻給CNCF，IBM認為，Open Usage Commons並不符合社群對開源治理的期待，而且管理重要開源專案最好的方法，就是交給具有良好聲譽的組織。而Google現在總算是完成當初的承諾，Istio終於進入CNCF成為孵化器專案。</p> </div></div></div>
2022/9/30 10:51作者李建興https://www.ithome.com.tw/news/153353
漢莎航空運用深度學習預測瑞士白斯風提高航班準點率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漢莎航空繼之前與Google合作，透過最佳化航班調度減少燃油使用，進一步降低成本支出和碳排之後，<a href="https://cloud.google.com/blog/products/ai-machine-learning/how-lufthansa-reduce-flight-delays-with-google-cloud-ml" target="_blank">雙方又公開新一波合作成果</a>，透過預測機場跑道的風速，來提高航班準點率，不只降低營運損失，也能提升乘客服務。</p> <p>風的大小和風向對機場運作有重大的影響，在瑞士有一種名為白斯風（BISE）的自然現象，這是一種又冷又乾的風，會從瑞士東北穿過瑞士高原吹向西南。白斯風會嚴重影響航班時刻表，迫使飛機改變跑道，而導致航班延誤甚至取消等連鎖反應。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Lufthansa_max-2000x2000.jpg" style="width: 580px; height: 376px;" /></p> <p>這種狀況在蘇黎世機場特別嚴重，白斯風甚至可能降低機場30％的運量，不只對漢莎航空造成數百萬美元的收入損失，同時也會造成乘客不滿。因此漢莎航空希望可以透過提前預測白斯風，讓網路營運控制團隊，能夠以更佳的方式運用跑道和時間段來調度班機營運，最大程度減少對航班計畫的干擾。</p> <p>漢莎航空想要知道透過深度學習預測白斯風，所進一步調整的航班，結果是否能夠超過內部原本的啟發式解決方案，並且衡量深度學習的易用性，以及在生產環境中的實用性。</p> <p>要預測白斯風並不是一件容易的事，深度學習模型需要用到大型資料集，因此漢莎航空和Google使用了Meteoswiss模擬資料，該資料集由過去5年瑞士多個氣象站氣象感測器的測量值組成，透過該資料集，漢莎航空便能以每10分鐘的解析度，獲得風向、速度、壓力、溫度和濕度等天氣資料，以及氣象站位置相關的海拔高度等資訊。</p> <p>由於白斯風並非一個直接可用的變數，因此他們設計跑道周圍的順風速度作為代理目標變數，當此數值高於特定閾值，則代表跑道出現白斯風，這項專案建立在Google全託管機器學習平臺Vertex AI之上。實驗結果顯示新系統給出的預測，優於漢莎航空內部的啟發式演算法，而且隨著預測的時間加長，出現了明顯的效能差異，新系統能夠獲得更高的召回率（Recall）和精確度。</p> <p>在預測未來2小時的白斯風，新的預測模型相較於漢莎航空內部的啟發式演算法，高了40％精確度，在6小時的預測效能差距更進一步擴大，也由於提前數小時的預測，能使漢莎航空更有餘裕防止航班延誤，因而提高該解決方案的實用性。</p> <p>漢莎航空計畫將這個預測白斯風實驗性專案，整合到營運決策支援套件中並用於生產環境，供蘇黎世克洛滕機場的營運控制中心使用。</p> </div></div></div>
2022/9/30 11:01作者李建興https://www.ithome.com.tw/news/153360
歐盟提出AI責任指令以利AI受害者求償
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_5807" target="_blank">本周採納了《AI責任指令》（AI Liability Directive）</a>，以利AI的受災戶向業者求償。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-European%20Commission-%20Product%20Liability%20Directive-AI-(3)-image%20by%20Didier%20Reynders.jpg" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／歐盟執委會司法執行委員Didier Reynders</span></span></p> <p>EC說明，隨著新技術不斷地推出，歐盟也必須確保技術的創新不應以對民眾的保障為代價，不過，現行的國家責任規定並未具備由AI產品及服務所造成損害的賠償處理能力，在基於過失的責任求償中，受害者必須確定要起訴的對象，還得詳細解釋過錯及所造成的損害，與兩者之間的因果關係，但這並不一定容易，特別是在涉及AI時。</p> <p>因此，《AI責任指令》就是要確保任何型態的受害者，在因AI供應商、開發者或AI用戶的過錯或疏忽而受到傷害時，也能擁有要求賠償的公平機會。</p> <p>該指令主要提出兩大保障，一是藉由採用因果關係推論來減輕受害者的舉證責任，倘若受害者得以證明某人因不遵守特定義務而造成傷害，且很可能與AI存在因果關係，法院就能推論是因破壞規定而造成了傷害。其次則是若損害來自於運送包裏的無人機操作人員不遵守使用說明，或是有人在使用AI招聘服務時未遵守要求，此一指令將可協助受害者存取相關證據，例如要求法院命令業者揭露高風險AI系統的資訊，以追究責任。</p> <p>其實EC在2021年4月便曾發表《AI Act》草案，以確保在發展AI的同時仍能保護人類的權利，本周EC則說，《AI Act》與《AI責任指令》如同一枚硬幣的兩面，前者用來避免災害，後者則是在發生災害時用以求償的安全網，它們適用於不同的時刻並彼此強化。</p> </div></div></div>
2022/9/30 11:12作者陳曉莉https://www.ithome.com.tw/news/153362
【資安日報】2022年9月29日，駭客假借政府機關名義散布Cobalt Strike、美國商業媒體Fast Compa…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者發動釣魚郵件攻擊的手法，大多是經由內含惡意巨集的Office文件檔案附件來進行，然而最近有人使用的是Word範本檔案來挾帶惡意程式碼，而使得郵件附件裡的Word文件能夠躲過資安系統檢測。</p> <p>美國商業媒體Fast Company遭駭，但值得留意的是，駭客並非從中竊取機密，而是冒用該公司的名義散布種族仇恨訊息。</p> <p>一週前勒索軟體LockBit產生器外流，現在又有滲透測試工具Brute Ratel C4（BRC4）破解版在駭客論壇散布。這種作案工具流出的情況越來越常出現，不只會有更多駭客拿來運用，也可能使得資安人員追查攻擊來源更加困難。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/09/new-campaign-uses-government-union.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">5年前的Office漏洞仍被用於攻擊行動！駭客假借政府機關名義散布Cobalt Strike</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack-method-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack-method-1.jpg" style="width: 300px; float: right;" /></a>思科揭露在8月發現的攻擊行動，駭客假借美國政府機關或紐西蘭工會的名義，透過釣魚郵件挾帶Word檔案，一旦收信人依照指示操作，這個惡意檔案就有可能利用CVE-2017-0199，下載惡意DOTM範本檔案，並執行當中嵌入的Visual Basic程式碼，進而執行多個階段的Visual Basic與PowerShell指令碼；此DOTM範本檔案也有可能直接下載惡意Visual Basic程式碼，並透過可執行檔啟動PowerShell命令，進而在受害電腦植入惡意酬載。</p> <p>但無論是上述那一種攻擊手法，駭客最終的目的都是在電腦裡部署Cobalt Strike的Beacon，且大部分的Visual Basic與PowerShell指令碼都經過高度混淆處理。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hacker-shares-how-they-allegedly-breached-fast-company-s-site/"><span style="color: rgb(0, 0, 0);">美國商業媒體Fast Company遭駭，攻擊者以該媒體的名義推送色情與種族仇恨訊息</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fast-company-website.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fast-company-website.jpg" style="width: 300px; float: right;" /></a>美國商業媒體Fast Company證實，他們的內容管理系統（CMS）於9月27日遭到駭客入侵，使得攻擊者能以該媒體的名義，透過Apple News向行動裝置推送色情與種族仇恨的訊息。這樣的情況也使得Apple News暫時停止向用戶推送來自Fast Company的訊息。</p> <p>駭客聲稱入侵該媒體的管道，在於管理者使用極為容易被猜到的預設密碼，而且這組密碼可存取數十個使用者帳號，他們進而存取Auth0的Token、Apple News的API，以及Amazon SES的機密資料，最後這些駭客建立新的管理者帳號來發布推播訊息。不過，Fast Company並未對上述駭客的說詞表示看法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/leaked-lockbit-30-builder-used-by-bl00dy-ransomware-gang-in-attacks/"><span style="color: rgb(0, 0, 0);">外流的勒索軟體LockBit 3.0產生器已被用於攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bl00dy-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bl00dy-ransom-note.jpg" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/153192#lockbit-builder">勒索軟體LockBit 3.0的開發者疑不滿高層作風，憤而將此攻擊工具的產生器外流</a>，在一個星期後就傳出有駭客將其用於攻擊行動。</p> <p>根據資安新聞網站Bleeping Computer的報導，名為Bl00Dy的勒索軟體駭客組織，在近期鎖定烏克蘭企業的攻擊行動裡，就利用了上述流出的LockBit 3.0產生器製作新的「勒索軟體Bl00dy」。</p> <p>資安研究團隊MalwareHunterTeam確認此勒索軟體確實由前述產生器打造而成；資安業者Intezer則分析勒索軟體Bl00dy與LockBit 3.0的解密器，結果發現程式碼大部分相同。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.bushidotoken.net/2022/09/brute-ratel-cracked-and-shared-across.html"><span style="color: rgb(0, 0, 0);">能繞過EDR與防毒的滲透測試工具BRC4遭到破解，並在駭客論壇散布</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/xss-is-brc4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xss-is-brc4.png" style="width: 300px; float: right;" /></a>由Mandiant、CrowdStrike前員工打造的滲透測試工具Brute Ratel C4（BRC4），曾於<a href="https://www.ithome.com.tw/news/151835#brc4">今年7月傳出俄羅斯駭客APT29購買相關授權並用於攻擊行動</a>，但現在傳出這套軟體遭到破解並在網路犯罪圈流傳。</p> <p>威脅情報人員Will Thomas指出，有人自9月中旬，開始在多個大型駭客論壇散布破解版BRC4，經過他的檢查，駭客提供的軟體無須通過開發者軟體授權驗證就能執行，且似乎具備完整功能。由於該工具能產生許多EDR與防毒軟體無法識別為有害的Shell Code，研究人員認為駭客很快就會將其用於攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop_27.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 106版，修補5項高風險漏洞</span></strong></a></h3> <p>Google於9月27日發布電腦版Chrome 106正式版本（106.0.5249.61、106.0.5249.62），當中總共修補了20項漏洞，其中有5項為高風險漏洞。</p> <p>這些高風險漏洞多數為記憶體釋放後濫用（Use after Free）漏洞，根據Google發出的獎金來當作依據，CVE-2022-3304是最值得留意的漏洞，資安業者Red Packet Security表示，攻擊者可透過社交工程手法，引誘使用者點選連結瀏覽惡意網站，從而遠端於受害電腦上執行任意程式碼，CVSS風險評分為8.8分。除了Chrome用戶應升級瀏覽器，其他Chromium瀏覽器用戶也要留意開發者的相關公告安裝新版軟體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.moea.gov.tw/Mns/populace/news/News.aspx?kind=1&menu_id=40&news_id=102862"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化手機資安，經濟部標準檢驗局制訂內建軟體資安要求及測試方法標準</span></strong></a></h3> <p>臺灣的手機資安檢測規範，已從產業標準變成國家標準。經濟部標準檢驗局於9月26日宣布，他們與臺灣資通產業標準協會（TAICS）合作，並參考該協會制定的《智慧型手機系統內建軟體資安標準》、《智慧型手機系統內建軟體資安測試規範》，以及國際間相關資通安全之標準、規範、指引，他們制訂了CNS 16176《智慧型手機系統內建軟體資通安全要求事項》及CNS 16177《智慧型手機系統內建軟體資通安全測試法》等2項國家標準。上述CNS標準將提供手機製造商、軟體開發業者，以及檢測實驗室作為檢驗手機內建軟體資安的依據。</p> <h3><a href="https://www.businesswire.com/news/home/20220926005108/en/Cloudflare-Announces-the-First-Zero-Trust-SIM-for-Mobile-Devices---To-Better-Secure-Enterprises%E2%80%99-Corporate-Networks-and-Protect-Employees"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">整合零信任防護服務，Cloudflare宣布在美國推出防堵手機門號挾持的SIM卡</span></strong></a></h3> <p>鎖定員工手機而來的攻擊事件頻傳，而很可能成為企業資安防護的破口，有雲端服務業者試圖結合網路安全服務，強化手機安全。Cloudflare於9月26日宣布推出全球第一張具有零信任防護機制的SIM卡「Zero Trust SIM」，整合該公司的零信任網路安全服務Cloudflare One，來降低使用者面臨SIM卡挾持（SIM Swapping）的資安風險。而針對行動通訊服務業者，該公司也推出Zero Trust for Mobile Operators來建立安全合作關係。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/high-profile-hacks-show-effectiveness-mfa-fatigue-attacks"><span style="color: rgb(0, 0, 0);">MFA疲勞轟炸攻擊日趨氾濫</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/irs-warns-americans-of-massive-rise-in-sms-phishing-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">假冒美國國稅局名義的釣魚簡訊大幅增加</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cyderes.com/blog/threat-advisory-exmatter-data-extortion/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat、BlackMatter透過資料破壞工具Exmatter破壞受害電腦</span></a></span></strong></p> <p><a href="https://www.securityweek.com/two-remote-code-execution-vulnerabilities-patched-whatsapp"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WhatsApp修補可被拿來打視訊電話的RCE漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153312">【2022年9月28日】中國駭客APT41透過CHM檔案散布竊密軟體、北韓駭客Lazarus宣稱提供Crypto職缺散布惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153295">【2022年9月27日】中國駭客TA413利用後門程式Lowzero攻擊圖博人士、Zoom用戶成駭客散布惡意程式的攻擊目標</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153254">【2022年9月26日】微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者GitHub帳號</a></strong></strong></strong></p> </div></div></div>
2022/9/29 17:27作者周峻佑https://www.ithome.com.tw/news/153352
Google Maps新增地標鳥瞰功能，徒步導航功能將提供ATM等鄰近設施搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/maps/4-new-updates-maps-searchon-2022/" target="_blank">Google本周宣布</a>，旗下的Google Maps行動版將在未來幾個月新增Neighborhood Vibe、地標鳥瞰及Search with Live View功能，而且今年就會開放環保友善路線（Eco-friendly Routing）供第三方使用。</p> <p>其中，Neighborhood Vibe可供使用者查看特定區域附近的氛圍，例如已經身在巴黎時，想看看拉丁區是否是個值得去的地方，並透過Google Maps搜尋時，地圖上將會出現該區的各式知名景點，例如噴泉、公園、歷史地標或熱門咖啡廳等。Google表示，Neighborhood Vibe服務的誕生，有賴於Google Maps用戶每天所貢獻的逾2,000萬個地點資訊，包括照片、影片與評論。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Neighborhood_Vibe.max-1000x1000.jpg" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>至於地標更是不少旅遊人士心繫之處，而且就算到達現場都不見得可以看到全貌，Google Maps即將推出的Immersive View將提供全球250個地標的鳥瞰圖，從東京鐵塔、甲骨文球場到雅典衛城。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Landmark_Aerial_Views.gif" style="width: 281px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>Google也會在未來幾個月強化於2019年推出的<a href="https://www.ithome.com.tw/news/132350" target="_blank">Live View徒步導航功能</a>，推出Search With Live View，當以徒步導航模式搜尋時，便可找到徒步即可到達的地點，例如提款機、咖啡廳、雜貨店或車站等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Google%20Search%20On%202022-maps-search%20with%20Live%20View-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>有鑑於Google Maps環保友善路線獲得了許多迴響，且根據Google的估計，自去年3月於北美率先推出環保友善路線以來，已協助減少了約50萬噸的碳排放，相當於道路上少了10萬輛的燃油汽車。為了擴大該服務的影響力，Google決定今年將會開放第三方開發者使用該服務，以於程式中啟用環保友善路線，並計算不同工具的燃油損耗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Google%20Search%20On%202022-maps-eco-friendly%20route.png" style="width: 366px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2022/9/29 16:30作者陳曉莉https://www.ithome.com.tw/news/153349
Amazon發表具備可讀寫E Ink螢幕的Kindle Scribe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/introducing-amazon-kindle-scribe-first-kindle-reading-and" target="_blank">Amazon在本周二（9/28）發表了</a>全新的電子書閱讀裝置Kindle Scribe，這是Amazon首款基於E Ink電子紙且同時支援讀、寫的閱讀裝置，它採用10.2吋螢幕，為Kindle史上螢幕尺寸最大的機種，並配備無需充電的筆，最低階規格的售價為339美元，即日起開放預購，預計於今年出貨。</p> <p>Amazon表示，Kindle Scribe具備既有Kindle的所有功能，包括可調整的字體，沒有眩光的顯示器，以及自動調節的燈光，更大的螢幕尺寸讓它得以騰出空間書寫，所附帶的筆得以透過磁性附著於裝置上，而且無需充電，若以每天閱讀半小時的頻率來計算，充一次電的裝置續航力可達12周。</p> <p>Kindle Scribe允許使用者匯入個人文件，並直接於PDF檔案上寫筆記，也能匯入於Microsoft Word及網頁上的手寫筆記，並支援在TXT、GIF、JPG、HTML、PNG、GIF、JPG、JPEG、BMP及EPUB等格式的檔案上作筆記。使用者所作的筆記會自動備份並儲存於雲端，明年初也將開放使用者透過Kindle程式存取雲端上的筆記。</p> <p>其輸入功能可設定行寬，提供螢光、橡皮擦及復原工具，Kindle Scribe所使用的筆有兩種規格，分別是基本款與高級款，基本款為免費附贈，只有簡單的書寫功能，高級款則直接於筆上增添了橡皮擦的功能，另有一個可供客製化的按鍵，可作為螢光或開啟新筆記的快捷鍵，售價為30美元。</p> <p>不過，相較於其它的Kindle，Kindle Scribe最大的缺點應該是它並未具備IPX8的防水能力。</p> </div></div></div>
2022/9/29 15:23作者陳曉莉https://www.ithome.com.tw/news/153348
Google強化購物搜尋能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/shopping/search-on-2022-shopping/" target="_blank">Google本周公布了9項針對購物所祭出的搜尋功能與工具</a>，包括篩選機制、流行趨勢、以3D展現、購買指南、社群意見及個人化結果等，以讓消費者直接透過Google存取更多有用的購物資訊，所有的新功能都會出現在美國市場，但並不一定會出現在其它市場。</p> <p>美國使用者在搜尋特定商品時，只要額外輸入Shop，就會直接看到該產品的陳列與價格，以及附近可購買的商店；Shop The Look工具則可直接搜尋單品的搭配，以及各種單品的售價及購買地點；另也在搜尋中新增了趨勢，可呈現特定類別近來最熱門的型號、款式或品牌。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Shop_the_Look_C6Zm8s9.gif" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></p> <p>Google的研究顯示，使用者對3D影像的興趣高於靜態圖片，有鑑於3D圖片需要使用數百張照片，招致更多的製作成本，Google選擇利用機器學習技術，只需要少數的照片就能產生商品的360度照片，今年初Google開始於搜尋中展示家用商品的3D圖像，未來幾個月將擴大至鞋類。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/2D-_3D_Technology.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>對於擁有複雜選項的產品，Google則建立了購買指南，例如當有使用者想購買登山腳踏車時，可依據尺寸、剎車、類型、重量、材質或維護方式等進行選購。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Buying_Guide_EQ4HWlE.gif" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></p> <p>除了擴大使用者的選擇之外，Google亦著手替使用者打造個人化的購物經驗，允許使用者設定喜歡的類別或品牌，或是動態篩選特定風格的商品，亦會根據使用者過去的購物經驗推薦商品。</p> </div></div></div>
2022/9/29 14:21作者陳曉莉https://www.ithome.com.tw/news/153347
英特爾、三星展示可橫向伸縮式PC原型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>處理器大廠英特爾本周在Intel Innovation上，<a href="https://www.youtube.com/watch?v=V3wE1wMIBXs" target="_blank">偕同顯示器合作夥伴三星公布一款可橫向伸縮的PC原型機設計</a>。</p> <p>本周發表大會上，英特爾執行長Pat Gelsinger及三星顯示器部門主管J.S. Choi親身示範這款看似平板的新式PC原型，螢幕可以橫向拉長，使原本13吋螢幕拉長成17吋，有如一臺筆電。Gelsinger表示這類裝置可同時滿足大型螢幕和可攜性的需求。Choi也指出，可伸縮的硬體配合軟體，可望催生出更多更好的使用情境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Intel%20Innovation%202022-slidable%20screen-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／英特爾</span></span></p> <p>這也說明，PC產業試圖翻新主流筆電設計的企圖心。近年來PC產業陸續推出可拆卸、可旋轉的或螢幕上蓋完全後翻成平板的PC，以及可折疊智慧型手機等創新設計，以便為成熟的產業注入活力。</p> <p>英特爾PC晶片部門主管Michelle Johnston Holthaus則表示，這原型機旨在展示結合軟性基板及LED顯示器的PC設計潛力。ODM也可以在這原型機增加設計，像是從下方翻出展開鍵盤。</p> <p>今天英特爾和三星展示的原型是否最後會商業化不得而知，畢竟軟性及不固定的元件都會增加製造的複雜性，並影響PC運作穩定性，而新的設計不可避免也會抬高製造成本。</p> <p>同時2023年新式PC如何吸引消費者及企業打開荷包也值得關注。英特爾、AMD及分析機構已先後警告PC產業因疫情而起的榮景已經告終，將面臨大幅衰退的挑戰。</p> <p><a href="https://www.ithome.com.tw/news/153302" target="_blank">本周英特爾也公布代號Raptor Lake的第13代Core處理器系列</a>。這款新晶片較前代增加核心數、快取記憶體更加大，時脈速度最高可達5.8GHz。</p> </div></div></div>
2022/9/29 13:29作者林妍溱https://www.ithome.com.tw/news/153346
Amazon公布床邊睡眠監測裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在周三的產品發表大會上，<a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-introduces-halo-rise-first-its-kind-bedside-sleep-tracker" target="_blank">Amazon公布了整合環境感測、機器學習及雷達偵測功能的床邊睡眠量測裝置Halo Rise</a>。</p> <p>Amazon表示Halo Rise是一款協助改善睡眠的多用途床邊追蹤裝置，內建感測器可於背景運作，提供精準的個人化睡眠分析。售價140美元，將於第四季出貨。</p> <p>Halo Rise這款裝置是繼2020年的<a href="https://www.ithome.com.tw/news/139664" target="_blank">Halo Band</a>後，最新一項可偵測睡眠的產品。<a href="https://www.ithome.com.tw/news/142083" target="_blank">2021年先是有媒體報導</a>Amazon正在開發以雷達偵測技術為基礎的床邊睡眠監控裝置，而後<a href="https://www.ithome.com.tw/news/145589" target="_blank">同年7月一個和睡眠監控應用有關的FCC文件</a>進一步證實這項產品的存在。</p> <p>Amazon指出，Halo Rise整合非接觸式、低耗電感測技術及機器學習，可精準感測人體睡眠時的呼吸和動作，蒐集到的資訊由其人工智慧演算法判讀及分析用戶的睡眠狀態，並在用戶睡醒時接到詳細圖表報告，包括快速動眼期、淺層及深層睡眠三個時期。Amazon強調其演算法由機器學習訓練而成、並經多項生理睡眠檢查（polysomnography）標準驗證而成。</p> <p class="rtecenter"><img alt="" src="https://indiaonlinemart.net/wp-content/uploads/2022/09/162809-smart-home-news-amazon-s-halo-rise-tracks-sleep-without-you-having-to-wear-anything-image3-cpkrbqsy4r.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Halo Rise具備溫、濕及光度等環境感測器，可偵測使用者睡眠而啟動偵測，無需用戶按下按鍵，也可自行感測電量而自行充電。</p> <p>除了睡眠感測功能，Halo Rise也可當鬧鐘使用。它具備半圓型300流明的LED燈、智慧喇叭，可在設定鬧鈴響時放出明亮光線。使用者還可利用設定按鍵設定鬧鈴、閱讀燈光及模仿日落。此外，Halo Rise也支援Alexa，以便設定更多樣化的行為模式，例如用戶可以Echo裝置聲控Alexa同步Halo Rise的鬧鈴設定，以便時間到時，播放音樂或點亮室內智慧照明。Halo Rise也能整合到個人化的Alexa Routines中，例如當用戶上床時Alexa可自動調暗照明，關閉電視，或播放靜坐音樂，也能設定將睡眠治療顯示於有螢幕的Echo Show讀取。</p> <p>和Halo所有裝置蒐集的資訊一樣，Halo Rise蒐集的睡眠資訊也會送到AWS雲端。但Amazon強調，在雲端儲存及傳送過程都經過加密，且用戶可以經由Halo應用程式下載及刪除。Halo Rise也不包含攝影機及麥克風，用戶也能手動控制Halo Rise執行待命模式，確保它不會自動偵測。</p> </div></div></div>
2022/9/29 12:18作者林妍溱https://www.ithome.com.tw/news/153342
Google搜尋結果新增討論區及論壇內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/google-search-discussions-forums-news/" target="_blank">Google於9月28日宣布</a>，即日起將於英文搜尋結果中新增來自討論區與論壇的內容，以協助使用者找到更多具備同樣經驗的人的建議，此外，明年起Google News除了呈現使用者預設語言的新聞內容之外，若為國際新聞，也會出現來自當地報導的翻譯標題，打破語言的藩籬。</p> <p>目前在Google上搜尋，若要尋找論壇與討論區的內容，通常要在輸入關鍵字時，額外加上ptt、reddit或mobile01等字眼，但未來Google會主動把討論區的內容納入搜尋結果中，以協助使用者找到更需要的內容。</p> <p>例如在使用者家中人口日益增多，考慮要購買新車並使用Google搜尋時，除了一般的搜尋結果之外，還能看到相關的討論區與論壇的連結，以供使用者參考具備同樣經驗的人的建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-google%20search-discussions%20and%20forums-600-1.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>不過，此一功能目前僅部署於美國，只支援行動裝置與英文，未來才會支援其它市場及語言。</p> <p>另一方面，為了讓使用者更了解新聞發生當地對某一議題的報導及看法，明年初Google也會推出一項新功能，透過機器翻譯直接以使用者所偏好的語言來展現國際新聞的標題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-google%20search-discussions%20and%20forums-600-2-V2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>例如當美國用戶搜尋墨西哥近日所發生的7級地震時，除了以使用者預設的英文顯示美國對此事的報導之外，Google也會呈現墨西哥媒體以西班牙文撰寫的標題，並主動把標題翻譯成英文，擴大使用者的新聞視野。</p> <p>此一標題自動翻譯功能將支援把法文、德文與西班牙文翻譯成英文，且同時適用於桌面及行動裝置，不過當使用者點進文章時，還是會以原來的語文呈現。</p> </div></div></div>
2022/9/29 12:47作者陳曉莉https://www.ithome.com.tw/news/153343
5G趨勢月報第35期：新一代iPhone可支援衛星SOS通訊服務；國內電信合併案掀起用戶權益、頻譜超標爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>08/27~09/26精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>iPhone</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>蘋果發表iPhone 14，首度支援衛星SOS服務</strong></span></p> <p>蘋果近期發表iPhone 14系列手機，新一代iPhone分為延沿用A15晶片的iPhone 14與iPhone 14 Plus，以及採用全新A16晶片的iPhone 14 Pro與iPhone 14 Pro Max。臺灣地區售價為27,900到38,900元之間。此外，更首次支援車禍偵測功能，以及衛星SOS緊急通訊服務。</p> <p>此次iPhone 14系列新增的車禍偵測功能，利用手機內建的感應器，偵測到使用者駕駛車輛時，手機會根據車速突然改變、行進方向驟變、車內氣壓改變、巨大撞擊聲等，綜合判斷是否發生車禍，當無法使用手機，自動撥打緊急求助電話 </p> <p>另一項衛星SOS服務則可在行動網路及Wi-Fi訊號範圍之外，將訊息傳給緊急服務的單位，透過內建說明使用者處境的問卷，經由衛星傳訊給專家，再由其代為尋求協助。使用者在登山或野外露營時也能透過衛星分享所在位置。目前衛星SOS服務先開放美國、加拿大地區使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ip14.jpg" style="width: 300px; height: 420px;" /></p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>NCC</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>合併案</b></span></font></p> <p><span style="font-size:22px;"><strong>電信合併案掀頻譜超標爭議，NCC將於9月底將召開聽證會</strong></span></p> <p>國內電信市場兩大合併案，台灣大哥大合併台灣之星，遠傳電信合併亞太電信，因近期在國內掀起頻譜超標、用戶權益影響等議題，NCC已收到業者申請合併，考量到相關影響，預計9月底召開聽證會。</p> <p>由於台灣之星、亞太電信先前因應市場競爭，在特定的時間祭出終身合約、低價吃到飽等優惠資費，因此未來若合併至台灣大哥大、遠傳電信之後，既有優惠資費用戶是否仍享有相同權益。</p> <p>近期掀起更大爭議的是，業者兩兩合併後，未來形成中華電信、台灣大哥大、遠傳電信三雄鼎立，業者因合併案而取得更多無線頻譜資源，而當初4G、5G頻譜競標時，為避免頻譜過度集中在單一業者手中，因此競標設有3分之1頻寬上限的限制。但在業者合併後，取得頻寬資源就有超過標準的疑慮，也引發各家電信業者對是否超過頻寬限制，或是依照個案情形適時調整的爭論。由於取得頻寬的多寡涉及到4G或5G行動網路服務優勝劣敗，預料將成為聽證會討論的焦點之一，而主管機關NCC在聽證會蒐集各方意見後，未來如何處理也將是外界關心重點。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信將在高雄亞灣打造國產5G O-RAN戶外n79 專網實證場域</strong></span></p> <p>中華電信近期在高雄亞灣成立5G專網應用中心，並聯合國內業者共同合作打造國產5G O-RAN戶外n79專頻專網，作為5G專網應用的實證場域，搭配中華自行研發的IOC資料共通平臺，作為各種5G應用資料蒐集、轉換及傳遞，讓有5G應用開發的廠商，以租代買降低專網使用門檻，加速5G垂直應用的研發。</p> <p>中華電信表示，此一戶外國產O-RAN n79專頻專網，將用於驗證國產O-RAN基地臺的穩定性、互通性，除了可作為國內電信業者投入國產基地臺的前期測試，也能作為國內O-RAN設備優化的參考，使電信公司未來投入國產5G設備建置規劃，能滿足5G商用網路的嚴苛考驗。<br /> 相較於過去偏向室內的環境，這次戶外5G n79頻段專頻專網，也可透過5G專網與垂直應用在亞灣區的戶外場域實證，驗證國產O-RAN設備能力。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>T-Mobile</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AIoT</b></span></font></p> <p><span style="font-size:22px;"><strong>T-Mobile與業者聯手，利用5G AIoT協助偵測森林野火</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WF.jpg" style="width: 600px; height: 375px;" /></p> <p>在美國因為幅員廣大，少有人至的森林一旦發生野火，沒有及早發現予以撲滅，經常可能引發森林大火。電信業者T-Mobile與Pano AI、波特蘭通用電氣三方合作，在森林地區布署具有5G連網功能的高畫質攝影機，透過AI偵測系統，及早辨識森林野火發生的跡象，讓消防單位能夠及早反應，避免野火擴散引發森林大火。</p> <p>這項應用結合了T-Mobile涵蓋範圍至偏遠地區的5G高速網路，搭配架設在電塔，讓Pano AI得以蒐集大量的影像資料，以接近即時（Near real time）偵測及確認野火剛發生時跡象，利用高畫質影像判斷野火濃煙或是雲霧，當判斷為野火時，在火災擴散之前，及早通知消防單位處理，避免大火造成人員及財產損失。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>愛立信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶</b></span></font></p> <p><span style="font-size:22px;"><strong>愛立信：全球第二季5G用戶數達近7億</strong></span></p> <p>隨著5G的普及，5G用戶數快速增加，愛立信全球趨勢報告近期更新數據，儘管4G仍是市場主流，約佔整體行動市場的6成，但全球5G用戶數也從上一季的6.2億一舉增加7,000萬，至第二季達將近7億用戶。</p> <p>該報告指出，目前已有218家電信商推出5G商用服務，其中24家推出5G獨立組網（SA）；全球整體行動用戶數該季達到83億用戶，其中行動寬頻用戶數量較上一季成長6%，達到72億，約佔整體行動用戶的86%。全球行動網路的資料流量也達到每月100EB。</p> <p>全球行動網路每月流量已達近100EB：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image002-1.jpg" style="width: 600px; height: 305px;" /></p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Starlink</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>Starlink因用戶增加導致過去一年網速下滑</strong></span></p> <p>知名網速測試分享軟體Speedtest的背後公司Ookla近期一項發現指出，以低軌衛星提供寬頻連網服務的Starlink，過去一年在部分地區包括美國、英國、加拿大、法國、德國、紐西蘭，出現網速下滑的現象。</p> <p>根據Ookla發表的衛星連網服務效能報告，該報告分析歐洲、大洋洲、北美與南美洲地區，包含Starlink、HughesNet、Viasat三家衛星連網業者的網路效能，發現隨著去年第二季用戶增加，Starlink在部分國家地區，網路下載速度的中位數降低9到54%，上傳速度也觀察到衰退的現象。<br /> 儘管網速下滑，但Starlink下載網速中位數在北美仍舊達到60Mbps以上，但在其他地區則有不錯的表現，達到80Mbps甚至超過100Mbps的網速，甚至在巴西、澳洲更是超越當地的固網效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ookla_satellite_comparison_countries_0922-1.jpg" style="width: 600px; height: 615px;" /></p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>仁寶</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>臺鐵</b></span></font></p> <p><span style="font-size:22px;"><strong>仁寶與臺鐵合作，以5G結合車聯網技術強化鐵道安全及營運決策</strong></span></p> <p>仁寶參與交通部、臺鐵指導的智慧鐵道應用服務，結合5G、CV2X車聯網技術及AI，打造智慧鐵道安全預警與決策系統，借此提升鐵道安全及鐵道營運決策，目前該系統已在新北市鶯歌的尖山埔平交道路段試行。</p> <p>為改善鐵道安全，該系統主要串聯列車、平交道、維修工班，提供「平交道防闖警示」、「軌道工安預警」、「鐵道列車追撞警示」三項偵測及預警應用。結合路側單元、車載單元、維修人員警示單元。</p> <p>其中平交道防闖警示利用攝影機、AI、光達等混合方式，全天候偵測是否有異常闖入平交道且逗留，當偵測到異常時，發送警訊給2公里外的列車及後臺的數位雙生平臺；軌道工安方面，軌道維護人員攜帶警示設備，當列車進入警示距離即向列車發出警訊，提醒駕駛員注意，同時也讓維護人員迴避；列車追撞警示則是當兩輛列車進入警示距離，向駕駛員發出警訊，避免追撞情形。未來如果試行順利，可能擴大其他平交道，甚至應用在輕軌、捷運等其他鐵道運輸服務。</p> <p> </p> <p>圖片來源／蘋果、T-Mobile、Ookla、愛立信</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.高通推Snapdragon 6與4新行動平臺，提升AI效能與5G連網能力</strong></p> <p><strong>2.遠傳聯手12家新創展示遠距醫療、智慧零售及製造等應用</strong></p> <p><strong>3.中華電信與泰國電信業者合作，為泰達電工廠建置5G專網</strong></p> <p>資料來源：iThome整理，2022年9月</p> </div></div></div>
2022/9/29 13:05作者蘇文彬https://www.ithome.com.tw/news/153345
OpenAI文字轉圖像模型DALL-E全面開放試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/dall-e-now-available-without-waitlist/" target="_blank">OpenAI於9月28日宣布</a>，即日起全面開放外界試用文字轉圖像模型DALL-E測試版，<a href="https://labs.openai.com/auth/signup" target="_blank">使用者只要以電子郵件帳號完成註冊之後就能使用</a>，在雲端上以自然語言描述，並由DALL-E系統自動產生圖像。現在的DALL-E系統是OpenAI於今年4月所發表的DALL-E 2版。</p> <p>DALL-E測試版首月提供50個圖像生成免費額度，之後每個月的免費額度即會降至15個，且每個月會重新計算無法累積，未來使用者亦可購買使用額度，所購買的額度可維持1年。</p> <p>OpenAI表示，自DALL-E上線以來，已累積了超過150萬名用戶，他們每天創造超過200萬圖像，還有超過10萬用戶會在OpenAI的Discord社群中分享作品。</p> <p>此外，之前之所以採用封鎖測試而未全面開放是擔心該系統遭到濫用，在全面開放之際，<a href="https://labs.openai.com/policies/content-policy" target="_blank">OpenAI也公布了內容政策</a>，禁止使用者建立、分享或上傳可能造成傷害的內容，涵蓋仇恨、騷擾、暴力、自戕、色情、違法行為、欺騙、影響政治或垃圾內容等。</p> <p>OpenAI亦鼓勵使用者應主動揭露所分享的作品是來自AI，就算可以於內容中移除DALL-E的標記，也不應誤導他人有關作品的來源，另也禁止使用者建立公眾人物的圖像。</p> </div></div></div>
2022/9/29 11:52作者陳曉莉https://www.ithome.com.tw/news/153341
Amazon改版Echo系列，Echo Dot可當Wi-Fi網路延伸器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周四年度產品發表大會上公布多項產品，其中改版了智慧喇叭Echo系列，包括頂級版本Echo Studio及小型版Echo Dot。</p> <p>今年大會上，並不見標準版智慧喇叭Echo的更新版，Amazon僅在高價版Echo Studio及平價版Echo Dot兩條產品線推出新設計。</p> <p>其中Echo Studio將透過軟體更新，為全系列加入空間音效處理技術及更佳的低音效果，以提供「清澈、音響等級的聲響」。<a href="https://www.amazon.com/gp/product/B09M67KSSF/" target="_blank">昨日Amazon為Echo Studio加入「冰河白」機種選項</a>，售價維持199美元，預計下個月開賣。Amazon Music Unlimited訂閱用戶可免費獲得空間音效等級的服務。</p> <p class="rtecenter"><img alt="" src="https://m.media-amazon.com/images/I/51LBiOkj5BL._AC_SX679_.jpg" style="width: 300px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Amazon</span></span></p> <p><a href="https://www.amazon.com/gp/product/B09B8V1LZ3/" target="_blank">Echo Dot則來到第5代</a>。最新一代Echo Dot強調強化揚聲器技術以提供更清晰人聲及渾厚的低音效果。和第4代Echo一樣，Echo Dot為圓球設計，大小為100mm x 100mm x 89 mm，但加入冰河白色彩選擇。新版Echo Dot with Clock則加入了LED顯示器，可在播放音樂時提供歌手或音樂家、曲名資訊及顯示鬧鐘時間。</p> <p>除了播放音樂、控制家中中央溫調、照明等功能外，Echo Dot也能當成Wi-Fi訊號延伸器（Wi-Fi extender）。透過Wi-Fi、及Bluetooth Low Energy Mesh智慧家庭協定支援，Echo Dot將可配合Amazon Wi-Fi家用路由器Eero布建Wi-Fi Mesh網路，預計可為每臺Eero增加28坪的訊號涵蓋空間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-%20Echo%20Dot-5th%20Gen-2022.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p><a href="https://www.theverge.com/2022/9/28/23375027/amazon-echo-dot-speaker-eero-mesh-wifi-extender" target="_blank">Amazon高層說明</a>第4代Echo及Echo Dot也可在下個月經由軟體更新獲得本項新功能。</p> <p><a href="https://www.amazon.com/gp/product/B09B9CD1YB/" target="_blank">Amazon今天也針對兒童用Echo Dot（Echo Dot Kids）推出2款圖案</a>。Echo Dot定價維持50美元，Echo Dot with Clock及兒童版Echo Dot則為60美元。三款產品皆預計10 月底出貨。</p> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/eero-announces-new-power-over-ethernet-devices-and-services-pro/" target="_blank">Amazon也在昨日公布</a>Eero Mesh路由器eero PoE 6及eero PoE 6 Gateway，主打Power over Ethernet（PoE）支援可經由網路線纜供電，減少部署的麻煩，定價各為300及650美元。</p> </div></div></div>
2022/9/29 10:45作者林妍溱https://www.ithome.com.tw/news/153335
微軟更新Visual Studio for Mac 17.4，在M1 Mac不需Rosetta編譯器就能安裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布最新的<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-for-mac-17-4-preview-2-1-is-now-available/">Visual Studio for Mac 17.4第二預覽版</a>，這個版本的更新重點在於回應用戶的回饋，改善整體使用體驗。</p> <p>開發者現在不需要先啟用Rosetta，就可以安裝Visual Studio for Mac，這讓不少用戶可以在進行.NET開發之前，不需要先啟用M1 Mac的Rosetta，但官方提到，雖然現在安裝程式支援M1安裝，但是因為Xcode相依項目的限制，像是行動開發等部分用例，仍需要Rosetta才能運作。在需要用到Rosetta元件而系統未啟用Rosetta時，安裝程式會向用戶發出提示。</p> <p>在編輯器方面，微軟調整行號邊距，以更明顯的方式突出顯示當前開發者關注的行號，同時Visual Studio for Mac 17.4添加了一個新UI，可讓用戶快速查看插入符號和當前行列的位置，並且更改檔案前導空格和行尾的功能。另外，編輯器還增加了一個新的輔助功能，來改變編輯器的行距，以供開發者按需求調整。</p> <p>微軟也在這個版本改進了對.NET 7的支援，包括使用.NET 7建構.NET MAUI應用程式，而用戶也可以方便地針對.NET MAUI應用程式專案，進行封存、發布、綁定原生iOS函式庫，以及編輯專案屬性等操作。</p> <p>Visual Studio for Mac 17.4還包含了一些方便的小更新，像是調整重啟除錯的方式，微軟添加了重新啟動按鈕，開發者現在只需要單擊按鈕，就能夠重新除錯程式碼，在殼層改進的部分，恢復透過拖放操作，在編輯器中並排顯示文件的操作，另外，微軟提到，有幾個版本缺少了類別工具視窗，在這個版本已全面回歸。</p> </div></div></div>
2022/9/29 09:19作者李建興https://www.ithome.com.tw/news/153327
Google Chrome修補5項高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（9/27）公布Windows、Linux及Mac版Chrome 106桌機版本更新於穩定通道，修補20項漏洞，包含5項高風險漏洞。</p> <p><a href="https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop_27.html" target="_blank">Google最新釋出的更新</a>為Chrome 106.0.5249.61（Mac/Linux）及106.0.5249.61/62（Windows），將在未來幾天到幾周內部署到用戶端。</p> <p>本月修補的20項漏洞中，Google只公布16項來自外部研究人員通報的漏洞。公布的5項高風險漏洞中有4項為使用已釋放記憶體（Use after free）漏洞，分別位於CSS（CVE-2022-3304）、Media（CVE-2022-3307），以及Survey（CVE-2022-3305及CVE-2022-3306）。第5項高風險漏洞則為對未信任輸入資訊的驗證不足漏洞，影響 Chrome的開發工具（CVE-2022-3201）元件。</p> <p>以發出的抓漏獎金金額來判斷，5項漏洞最嚴重的是CVE-2022-3304。<a href="https://www.redpacketsecurity.com/google-chrome-css-code-execution-cve-2022-3304/" target="_blank">根據安全廠商Red Packet Security說明</a>，使用已釋放記憶體可能導致遠端攻擊者在電腦上執行任意程式碼，或發動阻斷服務（denial of service，DoS）攻擊。攻擊者可以透過社交工程手法，誘使用戶點擊連結造訪惡意網站來觸發這項漏洞。</p> <p>Google公布的8項中度風險漏洞涵括使用已釋放記憶體、未信任輸入資訊的驗證不足漏洞、政策執行不足、安全UI不正確，影響開發工具、Assistant、Import、VPN、全頁模式及Logging等元件，以及1項影響Blink元件的型態混淆漏洞。此外還有2項低風險漏洞。</p> <p>本月沒有任何零時差漏洞。</p> <p>同樣的漏洞也會影響Chromium-based瀏覽器，包括Edge、Brave、Opera、Vivaldi等。<a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security" target="_blank">微軟Edge團隊表示正在製作修補程式</a>。</p> </div></div></div>
2022/9/29 09:44作者林妍溱https://www.ithome.com.tw/news/153331
Uber遭駭，內部多項系統權限被竊，資安業者指出事件嚴重性不應低估
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_uberzao_hai_nei_bu_duo_xiang_xi_tong_quan_xian_bei_qie_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路叫車平臺大廠<a href="https://www.ithome.com.tw/news/153118">Uber在9月中旬，傳出遭一名青少年駭入</a>的消息，對方甚至利用Uber員工的漏洞懸賞平臺HackerOne帳號，張貼訊息，聲稱取得該公司內部多項系統帳號，還冒用員工身分登入Uber的Slack平臺貼文。</p> <p>經過一個週末的調查，<a href="https://www.ithome.com.tw/news/153141">Uber在9月16日發布資安事件公告，根據初步調查結果所示，駭客取得約聘員工帳密入侵，導致部分系統遭存取，而攻擊者的身分，則是曾宣稱駭入微軟及三星的駭客組織Lapsus$</a>。</p> <p>整起事件的發生，源於一名Uber EXT外部承包商的約聘人員帳號被駭。根據Uber說明，可能是該約聘員工個人裝置感染惡意程式，致其帳密外流，駭客自地下網站購得。</p> <p>之後，攻擊者以其帳密登入該名員工Uber帳號。特別的是，由於Uber公司已採用雙因素驗證機制，因此該員工起初對於異常的登入請求，都予以拒絕，但最後不知為何原因同意，而使攻擊者成功盜用帳號，並登入Uber公司網路。</p> <p>Uber表示，接下來，駭客由此存取了多名其他員工帳號，進而取得G-Suite及Slack等管理員權限。後續，駭客還在全公司使用的Slack頻道上，張貼訊息，同時重新設定Uber的OpenDNS，使員工連上內部網站時，卻顯示色情圖片。</p> <p>此外，Uber也坦承駭客從內部Slack頻道下載一些訊息，而且，還從內部發票管理系統存取資訊。同時，正如一些資安新聞媒體報導所言，攻擊該公司的駭客，的確從HackerOne下載了Uber漏洞報告，但Uber表示，這些漏洞皆已經修補。</p> <p>雖然部分系統被駭客存取，但Uber稱客戶信用卡資料、營運系統，或公司程式碼都未受影響。</p> <p>至於事件回應方面，Uber表示，公司採取多項措施，包括辨識被駭帳號後，即暫時凍結系統權限並要求重設密碼，關閉受影響的內部工具，輪調了多項內部服務的金鑰，之後要求所有員工重新驗證。而且，Uber也封鎖程式碼儲存庫，以防程式碼被竄改，並在內部環境增加監控機制，偵測可疑活動。</p> <p>而在在9月23日，英國倫敦警方表示，他們已經逮到一名疑似駭入Uber的青少年駭客。</p> <p>值得關注的是，有些資安業者在官方部落格中，特別發表對此事件發表的看法。</p> <p>例如，<a href="https://blog.gitguardian.com/uber-breach-2022/">資安業者GitGuardian表示</a>，攻擊者似乎在內部網路橫向移動，接管組織內部多個系統，然而，出現這樣的狀況之後，不僅影響該公司的特權存取管理平臺Thycotic，因管理員帳密外洩而遭入侵，也危及AWS執行個體服務、VMwarevSphere、SentinelOne，以及Slack workspace、GSuite Admin、HackerOne。</p> <p>身分安全業者<a href="https://www.cyberark.com/resources/blog/unpacking-the-uber-breach">CyberArk紅隊服務副總裁Shay Nahari表示</a>，大部分的分析著眼於社交工程與多種MFA攻擊媒介上，但這場攻擊真正關鍵點，是發生在初始存取之後，也就是存在於網路共享上的不當配置、帳密嵌入，更是這次攻擊的關鍵。</p> <p>具體而言，駭客竊取的部分，是嵌入PowerShell腳本的PAM帳密資訊，而獲得高階存取權限，後續又擴增權限，使其在該公司雲服務與內網，如入無人之境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)Uber%E9%81%AD%E9%A7%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Gitguardian.jpg" style="width: 600px;" /></p> <p><strong><a href="https://blog.gitguardian.com/uber-breach-2022/">資安業者GitGuardian指出Uber事件的嚴重性</a>，指出Uber內部多項系統權限被竊，其中特權存取管理平臺Thycotic，AWS執行個體服務、VMwarevSphere、SentinelOne都是屬於高風險，Slack workspace、GSuite Admin、HackerOne屬於中風險。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)Uber%E9%81%AD%E9%A7%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90CyberArk.jpg" style="width: 600px;" /></p> <p><strong><a href="https://www.cyberark.com/resources/blog/unpacking-the-uber-breach">CyberArk紅隊服務副總裁Shay Nahari表示</a>，大部分的分析著眼於社交工程與多種MFA攻擊媒介上，但更關鍵的問題是，駭客因為竊取了嵌入在PowerShell腳本中的特權存取管理平臺（</strong><strong>PAM）帳密資訊，才得以獲得高級存取權限，又進而升級權限，並在Uber的IT環境中如入無人之境。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/uber">Uber</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6">資安事件</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E5%85%AC%E5%91%8A">資安事件公告</a></div></div></div>
2022/9/29 10:01作者羅正漢https://www.ithome.com.tw/tech/153333
Uber遭駭，內部多項系統權限被竊，資安業者指出事件嚴重性不應低估
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_uberzao_hai_nei_bu_duo_xiang_xi_tong_quan_xian_bei_qie_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路叫車平臺大廠<a href="https://www.ithome.com.tw/news/153118">Uber在9月中旬，傳出遭一名青少年駭入</a>的消息，對方甚至利用Uber員工的漏洞懸賞平臺HackerOne帳號，張貼訊息，聲稱取得該公司內部多項系統帳號，還冒用員工身分登入Uber的Slack平臺貼文。</p> <p>經過一個週末的調查，<a href="https://www.ithome.com.tw/news/153141">Uber在9月16日發布資安事件公告，根據初步調查結果所示，駭客取得約聘員工帳密入侵，導致部分系統遭存取，而攻擊者的身分，則是曾宣稱駭入微軟及三星的駭客組織Lapsus$</a>。</p> <p>整起事件的發生，源於一名Uber EXT外部承包商的約聘人員帳號被駭。根據Uber說明，可能是該約聘員工個人裝置感染惡意程式，致其帳密外流，駭客自地下網站購得。</p> <p>之後，攻擊者以其帳密登入該名員工Uber帳號。特別的是，由於Uber公司已採用雙因素驗證機制，因此該員工起初對於異常的登入請求，都予以拒絕，但最後不知為何原因同意，而使攻擊者成功盜用帳號，並登入Uber公司網路。</p> <p>Uber表示，接下來，駭客由此存取了多名其他員工帳號，進而取得G-Suite及Slack等管理員權限。後續，駭客還在全公司使用的Slack頻道上，張貼訊息，同時重新設定Uber的OpenDNS，使員工連上內部網站時，卻顯示色情圖片。</p> <p>此外，Uber也坦承駭客從內部Slack頻道下載一些訊息，而且，還從內部發票管理系統存取資訊。同時，正如一些資安新聞媒體報導所言，攻擊該公司的駭客，的確從HackerOne下載了Uber漏洞報告，但Uber表示，這些漏洞皆已經修補。</p> <p>雖然部分系統被駭客存取，但Uber稱客戶信用卡資料、營運系統，或公司程式碼都未受影響。</p> <p>至於事件回應方面，Uber表示，公司採取多項措施，包括辨識被駭帳號後，即暫時凍結系統權限並要求重設密碼，關閉受影響的內部工具，輪調了多項內部服務的金鑰，之後要求所有員工重新驗證。而且，Uber也封鎖程式碼儲存庫，以防程式碼被竄改，並在內部環境增加監控機制，偵測可疑活動。</p> <p>而在在9月23日，英國倫敦警方表示，他們已經逮到一名疑似駭入Uber的青少年駭客。</p> <p>值得關注的是，有些資安業者在官方部落格中，特別發表對此事件發表的看法。</p> <p>例如，<a href="https://blog.gitguardian.com/uber-breach-2022/">資安業者GitGuardian表示</a>，攻擊者似乎在內部網路橫向移動，接管組織內部多個系統，然而，出現這樣的狀況之後，不僅影響該公司的特權存取管理平臺Thycotic，因管理員帳密外洩而遭入侵，也危及AWS執行個體服務、VMwarevSphere、SentinelOne，以及Slack workspace、GSuite Admin、HackerOne。</p> <p>身分安全業者<a href="https://www.cyberark.com/resources/blog/unpacking-the-uber-breach">CyberArk紅隊服務副總裁Shay Nahari表示</a>，大部分的分析著眼於社交工程與多種MFA攻擊媒介上，但這場攻擊真正關鍵點，是發生在初始存取之後，也就是存在於網路共享上的不當配置、帳密嵌入，更是這次攻擊的關鍵。</p> <p>具體而言，駭客竊取的部分，是嵌入PowerShell腳本的PAM帳密資訊，而獲得高階存取權限，後續又擴增權限，使其在該公司雲服務與內網，如入無人之境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)Uber%E9%81%AD%E9%A7%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Gitguardian.jpg" style="width: 600px;" /></p> <p><strong><a href="https://blog.gitguardian.com/uber-breach-2022/">資安業者GitGuardian指出Uber事件的嚴重性</a>，指出Uber內部多項系統權限被竊，其中特權存取管理平臺Thycotic，AWS執行個體服務、VMwarevSphere、SentinelOne都是屬於高風險，Slack workspace、GSuite Admin、HackerOne屬於中風險。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)Uber%E9%81%AD%E9%A7%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90CyberArk.jpg" style="width: 600px;" /></p> <p><strong><a href="https://www.cyberark.com/resources/blog/unpacking-the-uber-breach">CyberArk紅隊服務副總裁Shay Nahari表示</a>，大部分的分析著眼於社交工程與多種MFA攻擊媒介上，但更關鍵的問題是，駭客因為竊取了嵌入在PowerShell腳本中的特權存取管理平臺（</strong><strong>PAM）帳密資訊，才得以獲得高級存取權限，又進而升級權限，並在Uber的IT環境中如入無人之境。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/uber">Uber</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6">資安事件</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E5%85%AC%E5%91%8A">資安事件公告</a></div></div></div>
2022/9/29 10:01作者羅正漢https://www.ithome.com.tw/tech/153334
藏匿於破解軟體中的NullMixer會竊取使用者的支付資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/nullmixer-oodles-of-trojans-in-a-single-dropper/107498/" target="_blank">資安業者卡巴斯基（Kaspersky）於本周警告</a>，想下載破解軟體、金鑰產生器或盜版軟體啟用工具的使用者要小心了，駭客正在這些軟體中嵌入NullMixer病毒植入程式，讓使用者非但無法免費使用軟體，還可能替自己的電腦惹來一堆惡意程式。</p> <p>分析顯示，駭客似乎利用了搜尋引擎優化（SEO）技術，以讓這些專門提供破解軟體或金鑰產生器的惡意網站出現在搜尋結果的首頁，讓使用者更容易觸及，而當使用者企圖下載存放於這些網站上的檔案時，會被多次的重新定位，最後停留在一個由密碼保護的ZIP檔案頁面上，駭客直接於網頁上秀出密碼，並要求使用者下載後必須輸入密碼才能解壓縮。</p> <p class="rtecenter"><img alt="" src="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/09/23132548/NullMixer_report_02.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／卡巴斯基</span></span></p> <p>然而，經過上述關卡之後，使用者所安裝的卻是病毒植入程式NullMixer，它會開始與駭客的C&C伺服器通訊，並於使用者的系統上植入各種惡意程式，根據卡巴斯基的統計，目前可藉由NullMixer散布的惡意程式已有數十種，從後門程式、金融木馬、間諜程式到其它的病毒植入程式等。</p> <p class="rtecenter"><img alt="" src="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/09/23170555/NullMixer_report_06.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／卡巴斯基</span></p> <p>例如RedLine Stealer可自使用者的瀏覽器竊取信用卡及加密貨幣錢包資訊，PseudoManuscrypt可竊取各種瀏覽器所存放的Cookie或側錄使用者鍵盤，今年才現身的ColdStealer也能竊取瀏覽器中的憑證與系統資訊，或是用來安裝垃圾程式的廣告平臺CsdiMonetize，以及許多的木馬程式下載器。</p> <p>卡巴斯基提醒，為了省錢而尋找未經授權的軟體可能會招致更大的成本，且NullMixer所遞送的惡意程式數量也可能與日俱增，今年以來該公司已於全球攔截了超過4.7萬次的NullMixer感染，前五大區域依序是巴西、印度、俄羅斯、義大利與德國。</p> </div></div></div>
2022/9/29 08:58作者陳曉莉https://www.ithome.com.tw/news/153329
AWS正式發布車隊資料收集服務IoT FleetWise
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布<a href="https://aws.amazon.com/tw/blogs/aws/aws-iot-fleetwise-now-generally-available-easily-collect-vehicle-data-and-send-to-the-cloud/">IoT FleetWise</a>正式上線，這是一個全託管的服務，供用戶收集、轉換車輛資料，並將其上傳到雲端，車輛製造商、車隊營運商和汽車供應商不須自行開發車輛資料收集系統，就能夠大規模收集車隊資料，當然，用戶也能夠使用IoT FleetWise來強化現有系統。</p> <p>AWS IoT FleetWise能夠收集車輛資料並將其分送到雲端，用戶可以使用這些資料分析車隊的健康狀況，並辨識潛在維護問題，或運用這些資料改進車載娛樂系統。另外，用戶也能夠用於訓練機器學習模型，改進自動駕駛和進階駕駛輔助系統。</p> <p>該服務為車輛建模框架，供用戶利用該框架在雲中對車輛及其感測器、驅動器建模，AWS提供IoT FleetWise Edge Agent應用程式，使得車輛和雲端能相互安全通訊。在車輛上運作的IoT FleetWise Edge Agent，使用資料收集架構控制要收集的資料，以及傳輸至雲端的時機，該應用程式會收集和擷取資料，透過AWS IoT Core傳入Timestream表格或是S3儲存庫中。</p> <p>IoT FleetWise Edge Agent本身為一個C++開源專案，用於收集、解碼、正規化、快取和擷取車輛資料到AWS上，其支援多種部署方法，像是車輛閘道器、資訊娛樂系統、雲端資訊處理控制單元，或是售後裝置。當車輛連接到雲端時，Edge Agent會不斷接受資料收集架構，並將轉換後的資料發送至雲端。</p> <p>AWS以監控電動汽車的電池作用IoT FleetWise用例說明，官方提到，對電動車來說，電池溫度是一個關鍵指標，因此用戶應該對整個車隊進行持續分析，而為了避免連續資料擷取的高額成本，用戶可以透過配置電動汽車電池溫度閾值，來最佳化資料收集。</p> <p>該分析結果可以提供給汽車製造商的品質工程部門，快速評估在特定溫度下，問題發生的根本原因和可能性，基於這個分析結果，在短期汽車製造商可以採取措施支援受影響的車輛，而中期目標則可提高車輛製造品質。</p> <p>目前AWS IoT FleetWise服務先在美東維吉尼亞北部，和歐洲法蘭克福地區推出，用戶需對創建車輛付費，以及每臺車輛的資料收集付費，其他搭配的服務如AWS IoT Core和Amazon Timestream則獨立計費。</p> </div></div></div>
2022/9/29 09:04作者李建興https://www.ithome.com.tw/news/153311
基於Web 3的Robinhood Wallet邁入測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供免費股票與加密貨幣交易服務的<a href="https://blog.robinhood.com/news/robinhood-wallet-beta-now-live" target="_blank">Robinhood在27日釋出了Robinhood Wallet測試版</a>予1萬名iOS用戶，這是個基於Web 3的加密貨幣錢包，且同樣強調免網路費用，初期僅支援Polygon區塊鏈，計畫未來將成為支持不同區塊鏈的多鏈錢包。</p> <p>Robinhood Wallet是個獨立程式，使用者可存入USDC作為主要的法定代幣，不管是交易或交換加密貨幣都不需要支付網路費用，還能賺取加密貨幣獎勵，可儲存與追蹤使用者的區塊鏈投資組合，並能連結去中心化的應用程式以賺取收益。此外，根據Robinhood的規畫，當該錢包正式釋出時將可檢視NFT並連結各個NFT市集。</p> <p>Robinhood Crypto技術長Johann Kerbrat表示，Robinhood Wallet測試版的發表是讓Robinhood成為最可靠之加密貨幣平臺的重要一步，如同Robinhood在股票市場的作法一樣，Robinhood Wallet也將除去複雜的Web 3元素，讓加密貨幣更唾手可得。</p> <p>Robinhood尚未揭露Robinhood Wallet正式版的上線日期，僅說目前等待測試該錢包的全球用戶已超過100萬人。</p> </div></div></div>
2022/9/29 09:10作者陳曉莉https://www.ithome.com.tw/news/153330
Google發布建構於BigQuery的雲端日誌分析服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新日誌服務Cloud Logging，提供用戶基於雲端資料倉儲BigQuery的<a href="https://cloud.google.com/blog/products/devops-sre/introducing-cloud-loggings-log-analytics-powered-by-big-query">日誌分析服務</a>，透過BigQuery的支援，用戶能夠從系統日誌記錄中，獲得更深入的分析結果。</p> <p>日誌記錄是軟體開發生命周期的重要部分，可讓開發人員用於除錯應用程式，並供DevOps/SRE團隊解決問題，安全管理員也能夠用來分析存取權限，而Cloud Logging為Google的日誌記錄工作管線，使用戶能夠大規模擷取日誌，並且方便地查詢日誌。</p> <p>Cloud Logging的日誌分析新功能，可在用戶查詢日誌時，直接在Cloud Logging提供進一步搜尋、聚合和轉換功能，這些新功能由BigQuery提供支援。</p> <p>藉由日誌分析服務，用戶便可以使用SQL和BigQuery的功能來分析日誌。日誌分析也具有安全性設計，BigQuery對所有用於分析的日誌，自動設定為唯讀存取權限。用戶也能夠以豐富的視覺化介面查看日誌資料，不過目前這項功能還在私密預覽中。</p> <p>日誌分析集中處理日誌記錄，透過收集日誌資料，並將其儲存在日誌儲存桶中，讓相關人員可以操作同一資料源的資料，而不需另外複製資料。官方提到，分析後的結果，可供整個組織重複使用，不只有效節省成本也降低複雜度。而且藉由BigQuery的即時分析功能，能夠迅速以時間查詢日誌，而不需要複雜的預處理，另外，日誌分析為一個可擴展服務，可簡單擴展處理的規模聚合PB級的資料。</p> </div></div></div>
2022/9/29 09:17作者李建興https://www.ithome.com.tw/news/153313
【資安日報】2022年9月28日，中國駭客APT41透過CHM檔案散布竊密軟體、北韓駭客Lazarus宣稱提供Cryp…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客傳遞惡意軟體到受害電腦的手法，不少很可能是透過惡意巨集文件，或是HTML檔案、光碟映像檔來進行，但最近有人製作了具備多種檔案格式特徵的CHM檔案來發動攻擊。這個CHM檔案可被當作Windows說明檔案執行，但後來駭客透過了MSHTA元件來啟動部署惡意軟體的流程。</p> <p>PowerPoint的投影片模式也成為駭客濫用的對象！俄羅斯駭客組織APT28濫用這種功能觸發惡意PowerShell指令碼，而可能躲過資安防護系統的偵測。</p> <p>北韓駭客Lazarus再度假借加密貨幣交易所的職缺發動網釣攻擊！但與過往事件不同的是，這次駭客似乎鎖定macOS使用者而來。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://unit42.paloaltonetworks.com/polyglot-file-icedid-payload"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41透過CHM檔案散布竊密軟體IcedID</span></strong></a></h3> <p>資安業者Palo Alto Networks揭露自今年8月上旬出現的惡意軟體IcedID攻擊行動，中國駭客組織APT41等多個駭客組織，濫用CHM檔案發動攻擊，目的是要隱藏PowerShell或JavaScript指令碼執行的惡意酬載。</p> <p>與許多CHM檔案的攻擊不同之處在於，這個CHM檔案在首次開啟時會顯示無害的說明視窗，但再度執行就會啟動惡意指令，然後呼叫MSHTA元件載入IcedID惡意程式。由於此檔案在透過兩種程式開啟會出現不同的結果，而有可能成功規避資安系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/lazarus-operation-interception-targets-macos-users-dreaming-of-jobs-in-crypto/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus舊技重施，專門鎖定Mac電腦用戶下手，以提供加密貨幣交易所Crypto職缺的名義散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lazarus_cryptocoinbase6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lazarus_cryptocoinbase6.jpg" style="width: 300px; float: right;" /></a>最近2年，北韓駭客Lazarus假冒大型公司，以提供工作職缺的名義發動網釣攻擊，這樣的事故已有數起，但該組織現在偏好以加密貨幣交易所做為幌子。</p> <p>資安業者SentinelOne發現，該駭客組織以加密貨幣交易所Crypto的名義，並透過LinkedIn找尋下手目標，企圖在受害者的Mac電腦植入惡意軟體，且無論是搭載Intel處理器或是M1晶片的電腦都可能感染。</p> <p>這些駭客以加密貨幣交易所職缺來發動攻擊的情況已非首例，今年8月，他們就透過另一家加密貨幣交易所Coinbase的名義來散布惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cluster25.duskrise.com/2022/09/23/in-the-footsteps-of-the-fancy-bear-powerpoint-graphite/"><span style="color: rgb(0, 0, 0);">小心駭客透過PowerPoint投影片模式傳送惡意軟體的攻擊手法，即使沒有點擊也有可能中招</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/interpr.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/interpr.png" style="width: 300px; float: right;" /></a>威脅情報業者Cluster25指出，俄羅斯駭客組織APT28約自9月9日開始，運用了PowerPoint簡報檔來散布惡意軟體Graphite，目標是歐盟、東歐國家的政府部門及國防單位。</p> <p>此PPT簡報檔的內容聲稱與經濟合作暨發展組織（OECD）的線上會議有關，並包含能觸發惡意PowerShell指令碼的URL，一旦受害者將簡報檔以投影片模式開啟，並將滑鼠游標停留在上述的URL，就會觸發惡意PowerShell指令碼執行，從OneDrive下載偽裝成JPG圖檔的DLL檔案，最終在受害電腦植入Graphite。研究人員指出，駭客利用這樣的手法便無須使用巨集，很有可能得以規避不少資安系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/optus-hacker-apologizes-and-allegedly-deletes-all-stolen-data/"><span style="color: rgb(0, 0, 0);">澳洲大型電信業者Optus資料外洩，駭客疑遭執法單位盯上而宣稱刪除竊得資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/optus-data-will-not-sold.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/optus-data-will-not-sold.png" style="width: 300px; float: right;" /></a>名為OptusData的駭客在澳洲大型電信業者Optus遭駭後，取得1,100萬名用戶個資，並在駭客論壇BreachForums以100萬美元的價格，求售這些資料，隨後這些駭客又在論壇上公布1萬名Optus用戶的資料，供其他駭客運用，結果有人收到勒索簡訊。</p> <p>但現在這些駭客一改囂張的行徑，原因很可能是執法單位介入調查。根據資安新聞網站Bleeping Computer的報導，自稱握有Optus外洩資料的駭客於9月27日表示，他們不再出售相關資料，並聲稱已刪除手上留存的副本。</p> <p>該新聞網站指出，駭客這麼做的原因，很有可能就是澳洲聯邦警察（AFP）於26日針對此案啟動「颶風行動」計畫，並與其他國家的執行部門合作，追捕涉案人士。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/agent-tesla-rat-delivered-quantum-builder-new-ttps"><span style="color: rgb(0, 0, 0);">暗網出現能散布木馬程式Agent Tesla的作案工具，能繞過Windows的UAC措施</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/quantumbuilder-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/quantumbuilder-attack-chain.png" style="width: 301px; float: right;" /></a>資安業者Zscaler發現，有人在暗網上兜售名為Quantum Builder的工具，並標榜能產生木馬程式Agent Tesla攻擊所需的相關檔案。</p> <p>根據研究人員的分析，駭客會運用Quantum Builder製作惡意的LNK、HTA，以及PowerShell檔案的酬載，然後將木馬程式植入Windows電腦。上述酬載包含了多種隱匿攻擊意圖的能力，例如，為了讓最終執行的酬載能透過管理員權限執行，並將其加入防毒軟體的白名單，駭客濫用了Microsoft Connection Manager Profile Installer（CMSTP）來繞過使用者帳戶控制（UAC）的機制；再者，則是PowerShell指令碼以記憶體內執行的方式運作，此外，駭客在感染鏈的多個階段裡，也利用寄生攻擊（LOLBins）手法。</p> <p>研究人員指出，Quantum Builder不只能用於散布Agent Telsa，他們也看到駭客用於散布RedLine Stealer、IcedID、GuLoader等惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/nullmixer-oodles-of-trojans-in-a-single-dropper/107498/"><span style="color: rgb(0, 0, 0);">駭客購買搜尋引擎廣告散布惡意軟體下載器NullMixer，在受害電腦植入十餘種作案工具</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/NullMixer_report_06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NullMixer_report_06.jpg" style="width: 300px; float: right;" /></a>資安業者卡巴斯基提出警告，駭客購買Google搜尋引擎最佳化（SEO）廣告，以提供破解軟體的名義散布惡意軟體NullMixer，一旦使用者執行駭客提供的檔案，電腦就有可能被植入超過十種惡意程式，如：SmokeLoader、RedLine Stealer、PseudoManuscrypt等。該公司攔阻47,778名使用者執行NullMixer，這些受害者大多位於巴西、印度、俄羅斯、義大利、德國、法國、美國。研究人員提出警告，由於想要執行破解軟體的使用者往往會關閉防毒軟體，而很可能讓駭客藉此為所欲為。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/samsung-sued-over-recent-data-breaches"><span style="color: rgb(0, 0, 0);">三星因今年發生的資料外洩事件遭䀻提出集體訴訟</span></a></span></strong></p> <p><a href="https://www.securityweek.com/ukraine-says-russia-planning-massive-cyberattacks-critical-infrastructure"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭提出警告，俄羅斯駭客即將針對盟國的關鍵基礎設施發起大規模網路攻擊</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.mend.io/product-info/news/whitesource-rebrands-as-mend-introduces-industry-first-automated-remediation-with-the-mend-application-security-platform/"><span style="color: rgb(0, 0, 0);">程式碼安全軟體廠商WhiteSource更名為Mend</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153295">【2022年9月27日】中國駭客TA413利用後門程式Lowzero攻擊圖博人士、Zoom用戶成駭客散布惡意程式的攻擊目標</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153254">【2022年9月26日】微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者GitHub帳號</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153218">【2022年9月23日】勒索軟體BlackCat鎖定備份系統竊取資料、存在15年的Python漏洞恐影響35萬個開源專案</a></strong></strong></strong></p> </div></div></div>
2022/9/28 17:59作者周峻佑https://www.ithome.com.tw/news/153312
中華電信與部立桃園醫院聯手打造5G緊急救護系統，提升急救效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當意外事故發生時，搶救人命必需分秒必爭，愈早掌握傷患或病人身體狀態，醫院愈能提高急救成功率。中華電信、桃園市政府、衛福部桃園醫院合作，打造「5G精準聯網醫療暨緊急救護系統」，消防單位派遣救護車，可透過5G，將病人的即時生理監測數據、4K影像回傳至醫院急診，讓急救團隊視情況調整資源，爭取黃金救援時間。</p> <p>這套系統是在救護車上安裝5G路由器，當救護車抵達現場，載送傷病人員到醫院的過程中，急救人員將傷病人員的量測生理數據如超音波數據、12導程心電圖等，以及救護車上的4K即時影像，透過5G公網傳送至桃園醫院急診室以5G專網架構的急診戰情系統，這項專案的5G專網採用國產Open RAN設備</p> <p>在救護車抵達醫院之前，急診室團隊就能透過急診戰情系統，檢視救護車預估到院時間，以及按顏色標示的檢傷分級，還有救護車上的即時生命徵象數據、救護車內影像，以及該名病人的過去病史、過敏史資料，根據各項資料，準備急救人員及資源。目前已在桃園市10個消防單位救護車裝設5G移動式精準醫療系統，結合桃園醫院的急診戰情系統提高傷病人員的急救效率。</p> <p>桃園醫院副院長陳厚全表示，根據統計，從病人抬上救護車，到抵達醫院，平均時間約為7分鐘，過去救護車到院前的7分鐘是焦急等待，因為在車上能做的事很少，現在，5G加上救護車、急診室、早期預警系統（Early Warning System，EWS），這7分鐘變成黃金救命的7分鐘。在病人送達醫院之前，在現場就能先知道其血壓、心跳等生理狀態，再結合醫院資料及健保資料，在其到院之前知道病人過去的健康狀況，這是醫療大數據的應用，從病人上車開始，醫院就能根據各項資料判斷傷病輕重，決定醫療資源的分配以救助病人，對資源有限的醫院決策相當重要。</p> <p>陳厚全指出，5G讓智慧醫療變成可能，因為數據需要傳輸、需要計算，3G或4G最多可傳送資料，更遑論計算資料，評估病情輕重，安排救護人員等資源。</p> <p>這套系統也和桃園醫院從2020年導入EWS臨床早期預警系統整合，EWS以視覺化的方式，例如灰色、橘色、黃色，還有代表最嚴重的紅色，讓醫護人員一眼就能掌握病人的危急程度，儘快採取因應。EWS採用響應式設計，可在電腦、手機、平板瀏覽，方便醫護人員隨時掌握病人情形。</p> <p>陳厚全表示，EWS除整合病人的生理監測數據，再加上健保大數據，建立多重共病指標，進一步去預測病人是否有敗血症的高風險，提高預測率，提醒醫護人員具有高風險病史的病人，需要更加小心照護。EWS在國外也被用於急診，提高預測的準確性，桃園醫院急診室也導入EWS，結合5G緊急救護。「只要病人上車，我們就能開始算命，預期病情的發展，才能投入更好的資源」。</p> <p>中華電信資訊技術分公司總經理林昭陽表示，傳統的緊急救護方式，以無線電口頭回報傷病的生理資訊，易產生資訊、時間落差，現在結合5G等資通訊技術，在救護車或偏鄉站所，可將高畫質影像、心電圖、血氧等數據傳到醫院，以急性心肌梗塞為例，做緊急冠狀動脈介入手術，過去從抵達急診室到完成導絲約需90分鐘以內，現在則可縮短至80分鐘以內，縮短10分鐘就能提高病患的存活率。另外，過去重大意外事件發生，成立緊急小組，抵達急診室可能需要10分鐘以內，現在從系統回傳資訊，成立緊急小組抵達急診室縮短至9分鐘以內，爭取更多救援時間。</p> </div></div></div>
2022/9/28 19:30作者蘇文彬https://www.ithome.com.tw/news/153328
Cloudflare對外開源無伺服器服務Workers核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare開源了自家無伺服器服務Workers的核心<a href="https://blog.cloudflare.com/workerd-open-source-workers-runtime/">Workerd</a>，該專案為JavaScript/Wasm Runtime，目前為第一個Beta版本。Workerd與Cloudflare Workers服務的Runtime，共用大部分程式碼，但是Cloudflare對其進行了一些更改，使其更易於移植到其他環境。</p> <p>Cloudflare開源Workerd有三個主要目的，第一是要讓Workerd用戶自託管Cloudflare Workers上執行的應用程式，官方提到，因為Workerd無關託管環境的設計，因此能夠適用於任何伺服器、虛擬機器和容器的託管、調度系統。</p> <p>Workers建立於標準API之上，因此用戶程式碼不會被鎖定在Cloudflare中，能夠和其他Runtime相容互通，而Workerd提供Workers用戶額外的選擇，能夠讓針對Workers建構的應用程式在其他位置運作。</p> <p>Workerd也能夠支援用戶的本地開發和測試工作負載，過去用戶需要使用Node.js環境模擬Workers API的Miniflare專案完成此工作，但官方提到，雖然Miniflare運作良好，但是在許多情況下，Miniflare與Cloudflare上執行的Worker行為並不一致，而透過Workerd，Miniflare和Wrangler CLI工具就能提供更加精準的模擬。</p> <p>Workerd的第三個用處是充當應用程式主機與代理，並支援正向和反向代理模式，在所有情況下，Workerd執行的JavaScript程式碼，都可以在轉發請求和回應前先攔截和處理，官方提到，Workerd的優點在於JavaScript提供代理許多程式開發功能，比起傳統網頁伺服器和代理更容易理解配置。</p> <p>值得注意的是，Workerd並非安全沙盒，無法用來安全地執行具有潛在惡意程式碼的程式，用戶可以將其包覆在額外的沙盒中，像是針對沙盒配置的虛擬機器，以執行不受信任的程式碼。官方解釋，雖然Workerd本身被設計成無法存取未授權的外部資源，但是完整的沙盒解決方案，不只有限制存取，還必須考慮軟體和硬體間可能存在的錯誤，Workerd無法抵禦像是Spectre這樣的硬體錯誤，也不能抵禦V8或Workerd本身程式碼可能存在的漏洞。</p> <p>雖然Cloudflare Workers服務和Workerd共用大部分程式碼，但是Workers服務在上層還增加了許多額外的安全層，來加強防範這類的錯誤。</p> <p>Cloudflare不只在GitHub開源Workerd，由於Workerd本身就是Cloudflare的核心，所以開發團隊會直接在這個儲存庫完成大部分的開發工作，就如同V8和Chrome開發團隊的關係一樣，Workerd將主要由Cloudflare Workers團隊開發，並直接用於Workers服務。</p> </div></div></div>
2022/9/28 16:28作者李建興https://www.ithome.com.tw/news/153308
甲骨文涉嫌在印度、土耳其及阿聯行賄，遭美國判罰2,300萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2022-173" target="_blank">美國證券交易委員會（SEC）周二（9/17）指出</a>，甲骨文（Oracle）自2016年至2019年間，透過其印度、土耳其與阿拉伯聯合大公國的子公司建立了行賄基金，用以賄賂當地官員，以方便進行業務，違反了美國的《海外反貪腐法》（Foreign Corrupt Practices Act，FCPA），已要求甲骨文支付逾2,300萬美元的和解費用。</p> <p>SEC的FCPA負責人Charles Cain表示，建立帳本之外的行賄基金本身就會造成相關基金被不當使用的風險，而這就是甲骨文在上述3個國家的子公司所發生的事情，該事件彰顯出針對一家企業經營內部會計控制的迫切需求。</p> <p>除了金錢的賄賂之外，SEC也發現甲骨文在土耳其及阿拉伯聯合大公國的子公司使用這些基金來支付國外官員參加技術會議的費用，這亦違反甲骨文自己的政策與程序，有些員工還使用這些基金來支持官員的家屬陪伴他們一起參與國際會議。</p> <p>這並不是甲骨文第一次遭到SEC開罰，2012年時甲骨文印度分公司也曾經設立數百萬美元的附屬基金而與SEC和解，當時SEC同樣認為這類的基金可能用在非法目的。</p> <p>至於甲骨文雖然並不承認，但也未否認SEC的指控，只是同意停止違反FCPA的作法，也願意支付800萬美元的不法所得，以及1,500萬美元的罰款。</p> </div></div></div>
2022/9/28 16:04作者陳曉莉https://www.ithome.com.tw/news/153307
未確實保留員工的通訊紀錄，SEC開罰16家金融業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）周二（9/27）指出，已向15家證券商及1家投資顧問公司開罰超過11億美元，原因是它們並未保存員工涉及工作內容的通訊紀錄，違反了美國的《證券交易法》（Securities Exchange Act of 1934 ）與《投資顧問法》（Investment Advisers of 1940）。</p> <p>有8家證券商（與5家關係企業）被罰款1.25億美元，包括美銀證券（BofA Securities）、巴克萊（Barclays Capital）、花旗（Citigroup Global Markets）、瑞信證券（Credit Suisse Securities ）、德意志銀行證券（Deutsche Bank Securities）、高盛（Goldman Sachs & Co. LLC）、瑞銀證券（UBS Securities ）與摩根史坦利（Morgan Stanley & Co. LLC）；而Jefferies及野村證券則分別被判罰5,000萬美元；Cantor Fitzgerald & Co則同意支付1,000萬美元的罰款。</p> <p>SEC主席Gary Gensler表示，金融仰賴的是信任，自1930年以來，這類的紀錄保存對於維護市場的完整性至關重要，隨著技術的變遷，業者更應只在官方頻道中討論業務內容，而且必須維護及保存通訊內容。然而，調查卻顯示，相關從業人員透過非官方管道通訊的現象非常普遍。</p> <p>遭到調查的業者蒐集了員工個人裝置上的通訊紀錄，發現從2018年1月到2021年9月間，這16家業者的員工經常利用個人裝置上的各種傳訊程式來討論公事，違反了聯邦證券的相關法令，而且涉及不同層級，包括高階經理人與主管，此外，這類的違規不僅是常態，這些證券商或投資顧問公司也未能合理監督以發現並制止相關行為。</p> <p>除了SEC之外，針對同樣的事情向業者開鍘的還有美國商品期貨交易委員會（CFTC），<a href="https://www.cftc.gov/PressRoom/PressReleases/8599-22" target="_blank">CFTC向11家業者總計開罰了逾7.1億美元</a>，且上述名單全數入列。</p> <p>上述遭到處分的業者皆已坦承不諱，亦已同意停止這類的行為並避免以後再犯。此事其實已有先例，去年12月時，<a href="https://www.ithome.com.tw/news/148464" target="_blank">摩根大通（JPMorgan Chase）也因此</a>分別遭到美國證券交易委員會（SEC）及美國商品期貨交易委員會（CFTC）判罰1.25億美元及7,500萬美元。</p> </div></div></div>
2022/9/28 16:15作者陳曉莉https://www.ithome.com.tw/news/153309
推動開發人員重視資安，叡揚舉辦首屆安全程式開發競賽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體開發安全談了許多年，除了仰賴各式程式碼安全性檢測，但如何讓開發人員，能養成安全程式設計能力，仍面臨許多困難，最近有長期投入安全程式開發領域的國內業者，新引進相關培訓平臺，並藉著舉辦競賽的方式，鼓勵開發人員重視安全程式設計。</p> <p>今年8月底，叡揚資訊舉辦一項安全程式開發競賽，採臺北場、臺南場、線上場同步進行的方式，並分為社會組與學生組，共吸引4百多人前來挑戰。</p> <p>基本上，這場競賽活動分成兩個階段，參賽者可以先使用叡揚代理的Secure Code Warrior訓練平臺，進行21天的資安能力養成，再透過競賽進行比拚。</p> <p>就這場競賽的目的來看，不只是為了公益、產業，讓一般個人與學生，都能免費接觸與學習安全程式開發的知識，當然也是能夠推廣他們販售的企業產品服務，而活動最後還傳達了公司招募資安新人的訊息。</p> <h3><strong>競賽分8個難度級別，限時挑戰積分最高得冠</strong></h3> <p>比賽過程是如何進行？8月26日競賽當天，參賽者使用電腦進入Secure Code Warrior平臺，先選擇參與的競賽組別，以及自己使用的語言與框架，接下來，將看到共分8個級別難度的題目，並有一組加分題。基本上，難度越高，獲得積分也會越高。</p> <p>在1個小時的競賽中，透過即時積分排行榜，我們看到參賽者選用的程式語言不盡相同，包括Java Spring、python Basic、C#(.NET Core)、Java Basic、Pseudocode Basic等，最終，學生組由臺北場的歐家豪奪第一，贏得3千元獎金，社會組由線上場的李宜昌獲冠軍，贏得1萬元獎金。</p> <h3><strong>考驗識別漏洞與找出解決方案能力，參賽者在比賽中也能學習</strong></h3> <p>或許大家都很好奇，究竟是如何出題考驗程式開發人員？簡單來說，在每一級任務中，目標是保護系統免受攻擊，當中有不同內容的題組，每個題組首先會考驗識別漏洞類別，之後選出解決方案。</p> <p>而在競賽介面上，每個題組會有完整的程式碼內容，系統會將一些關鍵位置的程式碼做出標記，使用者可快速切換不同程式碼段落，並找出不同的標記位置，以評估程式碼內容，再讓玩家透過4選1的方式指認答案。</p> <p>最特別的是，要在測驗中同時提供認知對錯的教育特性，並不容易。這款產品具備了彈性的積分制度與提示說明，讓競賽過程中也能趁機學習新知。舉例來說，回答問題時，系統會顯示玩家有三條命，一次答對將獲得該題全部積分，第二次才答對的積分會減少，不僅如此，介面上還有提示的按鈕可用，參賽者能獲得一些答題上的幫助，例如，無法判別個別漏洞型態時，系統提示將因此提供4個答題選項的影片解說。儘管使用提示之後，答對所獲得的積分隨之減少，但這種機制能讓競賽者能有學習的機會。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%8F%A1%E6%8F%9A%E8%88%89%E8%BE%A6%E9%A6%96%E5%B1%86%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%A8%AD%E8%A8%88%E7%AB%B6%E8%B3%BD.jpg" style="width: 600px;" /></p> <p><strong>叡揚資安事業處資安開發二部經理陳宇馳解說競賽規則，例如，題組中會將關鍵的程式碼位置標示出，</strong><strong>考驗參賽者需要先識別漏洞類別，再選出相應的解決方案。</strong></p> <p>為何我們認為這樣的機制很特別？以iThome自身經驗為例，過去我們也曾設計名為「Phishing Buster釣魚剋星」的免費網頁遊戲，目的是要玩家識別釣魚郵件，而為了要提供寓教於樂的特性，因此我們在規畫上有兩大考量，第一，是題目難度要朝向不能只是為了考倒玩家，第二，是要設想玩家在答錯當下就能知道問題在哪，給予相關知識或說明，同時，這還要整體UI呈現方式的配合。這在資源、時間有限的情況下，要開發製作到能符合最高設想，或是找出成效更好的機制，非常不容易。</p> <p>而從這場競賽使用的商業平臺來看，在相關機制上都已經有著不錯的設計與規畫，這不僅僅是在介面的呈現，在競賽機制上，規畫了三次答題機會、彈性積分設計，以及提示的功能，如此將提供更細膩的層次，讓玩家在答錯、或對答案沒有頭緒時，能夠有更多學習的機會。</p> <p>無論如何，藉由這樣競賽的遊戲形式，鼓勵玩家接觸與學習資安，過去已有不少例子。舉例來說，每年在全球各地舉辦將近20場搶旗攻防賽（CTF）競賽，政府也有舉辦像是資安技能金盾獎的競賽活動，國內資安社群也曾舉辦企業實境資安攻防的HTICON Defense競賽。現在，在安全程式開發領域也出現這樣的競賽活動，激發玩家答題的鬥志，同時也增進自身在程式安全開發的意識與能力。</p> <p>最後，關於這項競賽活動，叡揚也希望明年能持續舉辦，讓更多國內開發人員不單只能依賴傳統上課方式，也能藉由遊玩、比賽形式，學習到安全程式開發的意識與能力。</p> </div></div></div>
2022/9/28 14:30作者羅正漢https://www.ithome.com.tw/news/153305
Celsius Network共同創辦人暨執行長離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾為全球最大加密貨幣借貸平臺之一的<a href="https://www.businesswire.com/news/home/20220927005812/en/Celsius-Network-CEO-Submits-Letter-of-Resignation" target="_blank">Celsius Network共同創辦人暨執行長Alex Mashinsky周二（9/27）遞出了辭呈</a>，且即日起生效，外界認為Mashinsky應是在債權人的要求下，才選擇於Celsius Network正經歷破產保護的階段離職。</p> <p>Celsius Network成立於2017年，在短短的幾年內就成為全球最大的加密貨幣借貸平臺之一，顛峰時期的資產超過100億美元，擁有170萬名註冊用戶及30萬名活躍用戶。然而，<a href="https://www.ithome.com.tw/news/151421" target="_blank">該公司忽然在今年6月中旬暫停所有的提款、交換及轉帳</a>，繼之裁撤18%員工（約200名），再於7月14日申請破產保護。</p> <p><a href="https://pacer-documents.s3.amazonaws.com/115/312902/126122257414.pdf" target="_blank">根據其申請文件</a>，Celsius Network說明該公司如何受到COVID-19疫情、俄烏戰爭，以及<a href="https://www.ithome.com.tw/news/150911" target="_blank">Luna與TerraUSD（UST）崩盤</a>的影響。</p> <p>Celsius Network表示，其實該公司早在Luna開始脫鉤時就撤回了所有的UST，損失僅有1,580萬美元，但Luna與UST崩盤所帶來的骨牌效應才是釀成大禍的元兇，因為許多持有Luna的加密貨幣業者及對沖基金受到更大的影響，例如更早提出破產保護的三箭資本（Three Arrows Capital，3AC），而Celsius即是三箭資本的債權人之一，借給3AC約7,500萬美元，就算清算了3AC的抵押品，依然損失了4,060萬美元。</p> <p>Luna與UST的崩跌也影響了stETH，自stETH開始脫鉤後，Celsius Network用戶便陸續自該平臺撤出以太幣，促使Celsius出售所持有的stETH來因應，更加劇市場狀況。加密貨幣產業的謠言四起再加上市場的恐慌，Celsius Network用戶今年5月在短短的5天內，就從該平臺提出逾10億美元。</p> <p>Celsius Network指出，在正常狀況下，該平臺具備足夠的流動性來支持100%的用戶提款，7天內可支援的提款亦高達7成，但擠兌的現象再加上加密貨幣價格下滑，使得Celsius Network應接不暇，而遭到債權人Tether清算，進而損失了9,700萬美元，一直到6月中旬，Celsius失去了持續借貸的能力，只得暫停提款與轉帳服務。</p> <p>申請破產保護的Celsius Network現有的資產為43.1億美元，但虧欠使用者的金額則是47.2億美元，所有債務約為55億美元。</p> <p>Mashinsky說，自從Celsius Network停止提款與轉帳服務之後，他一直努力不懈地企圖提出可行的計畫，以便將加密貨幣還給債權人，但執行長一職愈來愈令人分心，因而決定辭去該職務與所有管理職，僅保留董事身分，也會繼續協助該公司制定最佳還款計畫。</p> <p>Mashinsky的辭呈即日起生效，執行長及重組長職位則將由財務長Chris Ferraro接任。</p> <p>令人不勝唏噓的是，Celsius Network原本要在今年首度公開發行股票（IPO），但它現在面臨的卻是破產保護與組織重整，在短短的幾個月內即風雲變色。</p> </div></div></div>
2022/9/28 13:51作者陳曉莉https://www.ithome.com.tw/news/153304
Meta破獲首個源自中國的言論操作活動，目的是干擾美國期中選舉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/wp-content/uploads/2022/09/CIB-Report_-China-Russia_Sept-2022-1.pdf" target="_blank">Meta昨（27）日宣布</a>破獲了近日旗下網路平臺上意圖干擾美國期中選舉的言論操作活動，包括首個源自中國的行動。</p> <p>為了不讓過去幾次大選，特定人士透過Meta平臺散布影響選舉結果的事情重演，Meta在今年期中大選前特別加強查緝假資訊、假新聞的操作，並因此查緝分別來自中國及俄羅斯的言論操作。</p> <p>Meta發現的中國行動發生在去年秋天到今年，包含4波短時間操作，分別針對美國、捷克及其他地區的中、法語人士。在政治立場上，影響美國左、右政治光譜派，或者批評捷克在烏俄衝突的立場，及呼籲捷克攻府勿抹黑中國。</p> <p>這波行動涵括臉書、Instagram（IG）、推特及2個捷克陳情平臺，但貼文數量並不多，也沒有掀起太多論戰。有趣的是，操作者僅在中國的上班時間貼文。貼文帳號多數使用英語系女性名字，但使用男性頭像，而且大部分使用癟腳的英文。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Meta-Taking%20down%20coordinated%20inauthentic%20behavior%20from%20Russia%20and%20China-600-1.jpg" style="width: 292px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>這也是Meta第一次查獲源自中國、主打美國國內政治議題與捷克外交及烏克蘭政策的言論操作行動。但Meta也指出，無法推論這項行動和中國政府的關係。</p> <p>Meta自動偵測系統最後基於偽冒身分及散布不實言論等違法事項，移除了數個帳號及粉絲專頁。</p> <p>在俄國的行動方面，Meta稱是其在俄烏戰爭後最大且最複雜的言論操作。這波行動源自今年5月，主要針對德國、法國、義大利、烏克蘭及英國，論述集中在烏克蘭戰爭及對歐洲的影響。這波行動涉及臉書、IG、YouTube、Telegram，非政府組織Change.org和Avaaz，以及虛擬寫作社群服務Live Journal的假帳號，以及60多個冒充《明鏡周刊Spiegel》、《衛報 the Guardian》、德國《圖片報Bild》及義大利安莎通訊社（ANSA）新聞媒體的網站，顯示動用了大量技術和語言上的投資。為了支持這項行動，操作者仰賴社群平臺上的假帳號及廣告挹注財務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Meta-Taking%20down%20coordinated%20inauthentic%20behavior%20from%20Russia%20and%20China-600-2.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>一如中國案例，Meta自動系統偵測到這項行動的大部分帳號、粉絲專頁及廣告，最後將之移除。</p> </div></div></div>
2022/9/28 11:36作者林妍溱https://www.ithome.com.tw/news/153303
Google拒絕為歐洲電信業者負擔網路成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google高層本周指出，歐洲電信公司要Google、Amazon、Meta等網路巨擘支付基礎架構建設成本的作法，不但是過時想法、沒有效果，也忽略Google早就付出許多。</p> <p><a href="https://techandpoliticsforum.live.ft.com/agenda/session/938789" target="_blank">Google東歐、中東及非洲區營運業務總裁Matt Brittin本周在一場由《金融時報》及歐洲電信營運商協會（European Telecommunications Networks Operators’ Association，ETNO）主辦的論壇上</a>，針對歐盟近日為推動網路巨擘付費的法案運作行動做出回應。</p> <p><a href="https://www.reuters.com/technology/eu-consult-big-tech-contribution-telco-networks-by-end-q1-2023-2022-09-09/" target="_blank">路透社報導，歐盟電信主管機關本月稍早表示</a>將在明年初舉行一場諮商會議，以決定美國網路公司的「公平負擔」（fair share），以及審視是否推動相關的修法。</p> <p>Google高層指出，此類「寄件者付費」（sender-pays）模式不是什麼新想法，也危害開放網際網路的精神，10年前就有人推出類似的作法，但至今未看到有新數據顯示可改變市場局面。</p> <p>Brittin補充，Google早已經投資自行或和其他人合作打造網路基礎架構，已經減輕對寬頻網路業者的負擔。他說，Google已經替電信業者減去99%的流量，還拉近電信業者和用戶的距離。</p> <p><a href="https://www.itnews.com.au/news/google-opposes-european-demand-for-network-cost-sharing-585722" target="_blank">Google指出</a>，2021年該公司資本支出超過230億歐元，其中大部分用於興建基礎架構，包括歐洲的6座大型資料中心、20條海底光纖網路，以及歐洲在20處本地網路興建快取設備等。</p> <p>2011年，德意志電信、Orange、Telefonica等13家歐洲大型電信公司聯合提出這項政策主張。電信業者們認為，他們在5G及光纖網路等新式網路基礎架構上投注重大成本，但最後卻被Google、Amazon、Meta、蘋果及Netflix等大型網路公司用來提供服務及發送廣告，獲取巨額利潤。他們向歐盟遊說立法，迫使美國網路巨頭們負擔一定比例的有線及行動電信網路的建設及維運費用。</p> <p>事實上，不是所有電信業者都贊同這項主張。<a href="https://www.techradar.com/news/mvnos-fear-they-will-be-collateral-damage-of-eu-plans-to-make-big-tech-pay-for-networks" target="_blank">歐洲行動虛擬網路營運商（mobile virtual network operator，MVNO）認為</a>，主流電信公司的主張不只影響美國網際網路服務公司，他們也會遭殃，因為MVNO未擁有網路，卻得負擔成本，而這些錢還反過來強化主流電信公司的優勢市場地位，使弱勢的MVNO更難以競爭。MVNO揚言將杯葛這項立法行動。</p> </div></div></div>
2022/9/28 10:26作者林妍溱https://www.ithome.com.tw/news/153300
萊爾富將異業合作商業模式化為長期會員經營工具，系統整合是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣超商大戰，進入了激烈的會員經營肉搏戰，超商雙雄持續強化OMO顧客戰略。會員數剛破5百萬人的萊爾富也在7月加入戰局，展開三大新戰略，要靠特有的異業合作模式，發展長期會員經營工具，來實現異業消費者相互導流的目標。萊爾富數位商務處處長葉育堅近日透露了，萊爾富克服異業合作挑戰的2大關鍵。</p> <p>超商是所有行業中店面數及人流量規模最龐大的產業，常成為其他業者競相合作的對象，常見做法就是在超商通路銷售限量聯名商品的各類短期促銷活動。不過，萊爾富的異業合作模式不僅有這類短期促銷活動，還有另一種模式，旨在將消費者引導進會員行銷漏斗，以開發更多長期價值。</p> <p>「異業合作要深度，必須從系統面做起。」葉育堅點出，這樣的異業合作模式，有能力發展成長期會員經營工具的關鍵。萊爾富的做法是，在會員App長期販售異業優惠電子票券。</p> <p>優惠券是超商持續吸引消費者加入會員的誘因，日後也能用來挖掘更多顧客價值，而對合作業者來說，能直接將消費者引導到自家通路，行銷效果遠大於聯名商品。</p> <p>不過，葉育堅說，電子票券看似簡單，要確保服務品質及行銷可歸因，背後籌備工作其實相當繁複。尤其得克服兩個關鍵挑戰，「利潤分配談判及系統即時串接。」</p> <p>他以餐飲票券為例來解釋。首先是利潤分配問題。以臺灣餐飲票券市場行情來說，大型票券通路的抽成費用約占售價的12%到15%，但萊爾富並非大型票券平臺，行銷能力還沒受到市場肯定，再加上優惠票券為了提供更高折扣來吸引消費者，單價也不高。這些都會壓縮萊爾富商議利潤分配的空間。</p> <p>「萊爾富的策略是讓利，」葉育堅解釋，萊爾富很清楚自己的核心業務是線下超商，販售票券的最終目的不是為了賺抽成，而是要透過差異化服務，持續引導消費者成為會員並來店消費。「若能提高廠商合作意願和消費者購買意願，萊爾富願意壓縮票券收益。」</p> <p>讓利只是第一步，另一個挑戰是帳務系統必須即時同步。萊爾富餐飲票券的運作模式是，會員購買票券後，萊爾富收取票券款項，等到票券實際消費時，業者必須核銷票券，再向萊爾富請款。為了避免重複使用票券或消費者退貨，造成帳務混亂，萊爾富必須在票券消費核銷後，也立刻在自家系統上註銷票券，這就需要即時同步雙方帳務的能力。</p> <p>餐飲業者為了作業方便，往往要求萊爾富的核銷系統必須整合到業者的POS系統，技術不難，但得協調萊爾富IT與POS系統商的時程，光是協調排程可能長達半年，讓合作案停滯。因此，萊爾富也準備了Web app或外部終端機的票券核銷介面，作為替代方案來加速專案推進。</p> <p>為了籌備一個簡單的票券商業模式，葉育堅說，從合作模式確認、交易條件談定、到資訊系統串接及財務作業模式敲定等4個步驟，少則半年，長則一年才能完成。由於單一異業合作案利潤少、費時長，萊爾富有意模組化異業合作的商業模式，以利未來大量複製與推行。</p> <p>葉育堅坦言，規模差距會影響超商進入長期異業合作市場的意願。合作雙方規模差距越懸殊，不只合作業者的供給壓力越大，超商更會覺得帶來的效益過低，更難以談成雙方都滿意的合作條件。萊爾富曾與一家分店數60家的餐廳協商時，花了好幾個月才談成，也讓萊爾富的利潤低於市場行情。</p> <p>不過，萊爾富不只分店遠低於超商雙雄，所屬集團子公司也不多，難以仿效競爭對手進行大量集團內的合作來導流，「要拓展服務生態圈，一定得與異業合作。」他強調。</p> <p><strong>超商老三也能發揮通路優勢，不斷找到大量小「藍湖」商機</strong></p> <p>「容易做利潤又高的商業模式，早被同業做完了。」葉育堅說：「對萊爾富來說，沒有藍海，只有藍湖，甚至是藍池。」</p> <p>臺灣超商的通路數、人流量、業務多樣性以及總公司對分店的掌控力，都遠高於其他產業，就算資源不如超商雙雄豐富，葉育堅說，萊爾富也能開發大量差異化服務，甚至是創造一個生態圈體系，不斷占領小而巧的「藍湖」。</p> <p>例如，其中一項仍在商議階段的藍湖計畫是，萊爾富要進一步深化與餐飲POS系統商的合作，初期先整合POS系統商的外送功能，讓萊爾富分店成為餐飲業者外送的取貨地點，或在萊爾富會員App上加入POS系統商的外送功能按鈕，提供線上導流。</p> <p>對萊爾富而言，葉育堅說，這一步不只開啟了另一種異業合作的可能，更降低了與系統商下游餐飲業者合作的門檻，可以讓萊爾富離建構生態圈更進一步。</p> </div></div></div>
2022/9/28 10:37作者郭又華https://www.ithome.com.tw/news/153301
英特爾發表第13代Intel Core處理器及可與手機互通的Unison解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）於本周二（9/27）舉行的Intel Innovation大會上，<a href="https://www.businesswire.com/news/home/20220927005482/en/Intel-Launches-13th-Gen-Intel-Core-Processor-Family-Alongside-New-Intel-Unison-Solution" target="_blank">發表了第13代的Intel Core處理器家族</a>，以及讓英特爾電腦能夠與iPhone及Android手機互通的Intel Unison軟體解決方案。</p> <p>第13代的Intel Core處理器家族採用Intel 7的10奈米製程與x86效能混合架構，宣稱就算是在最嚴苛的多工任務中，都能呈現更好的系統效能，其單執行緒效能最多可提升15%，多執行緒則達41%，此一家族計畫推出22款處理器，本周所發表的6款中包含了旗艦版的Intel Core i9-13900K。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Intel%2013th%20Gen%20Intel%20Core%20Processor%20Family-2-300.png" style="width: 310px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p>根據英特爾的說法，Intel Core i9-13900K為現階段全球最快的桌面處理器，具備24個核心與32個執行緒，時脈高達5.8 GHz，能夠帶來最佳的遊戲、串流與錄製體驗。新一代的英特爾處理器將於10月20日開始出貨。</p> <p>至於Intel Unison軟體通訊解決方案，則是來自於英特爾於去年底併購的以色列公司Screenovate。Screenovate主要開發允許不同裝置互動的通訊解決方案，<a href="https://www.ithome.com.tw/pr/92199" target="_blank">英特爾在2014年便曾投資Screenovate</a>，儘管英特爾並未公布交易金額，但外傳該交易價值1億美元。</p> <p>Intel Unison將創造英特爾PC及手機之間的無縫互動，包括傳送檔案，傳送文字訊息，讓電腦存取手機通訊錄，以及直接從電腦撥打或接電話，還能於電腦上收到及管理手機通知。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Intel-Unison-1-600(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>英特爾今年就會在基於第12代Intel Core處理器的Intel Evo筆電上整合Intel Unison，包括由宏碁（Acer）、HP與聯想所推出的機種，明年初也會擴大到基於第13代Intel Core處理器的筆電產品。</p> </div></div></div>
2022/9/28 11:06作者陳曉莉https://www.ithome.com.tw/news/153302
微軟首席科學長Eric Horvitz警告將出現新的Deepfake威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟首席科學長Eric Horvitz在其最新的<a href="https://arxiv.org/pdf/2209.01714.pdf">Deepfake研究論文</a>中，提到需要注意兩種新型態的Deepfake威脅，分別是互動（Interactive）以及合成（Compositional）Deepfake，同時他也預測，不久之後將會出現實際應用這兩類Deepfake手法的攻擊，並且對社會產生成本高昂的影響。</p> <p>互動式Deepfake是利用多模態互動，來模仿具有真實互動行為的人，要建構互動式Deepfake系統，需要一組多模式互動技術，包括生成性人工智慧方法，以高傳真的方式渲染姿勢、表情，甚至是語音。</p> <p><a href="https://twitter.com/davisblalock/status/1573589080939458561">MosaicML研究科學家Davis Blalock則在推特</a>上，進一步說明了互動式Deepfake可能帶來的實際影響，Davis Blalock提到，互動式Deepfake並非靜態內容，可以讓人產生與真人交談的錯覺。攻擊情境可以發生在像是詐騙集團以晚輩身分撥打視訊給家中長輩，利用晚輩的長相和聲音騙取金錢等，惡意人士不只可以假扮成家人，也可以是任何熟人，但其背後實際上可能僅是一個機器人。</p> <p>另一種合成Deepfake，則是Eric Horvitz更為擔憂的攻擊手法，因為可以創造出更大規模，更有影響力的虛假訊息內容。有心人士可以利用Deepfake策略性的與真實世界事件搭配，創造出精心編造的故事，而Davis Blalock解釋，合成Deepfake可能被用來編造一場從未發生過的恐怖攻擊，或是虛構的醜聞，甚至透過人造證據以及真實世界的行動，使陰謀論更加可信。透過現成的數位廣告機制，還可以針對人們精準投放錯誤資訊。</p> <p>Eric Horvitz在論文中提到，政府、企業、研究人員以及各組織，應透過各種方式準備和防禦這兩類Deepfake威脅的興起。更為複雜的Deepfake應用將會提高人們對於新聞媒體的要求標準，同時閱聽人也需要培養媒體識讀素養，認識這些新威脅趨勢成為重要的事。另外，他也認為，可能需要建立一種驗證協定，在各種用例證明身分，並且在數位內容治理上，採用浮水印或是指紋，同時政府也需要制定法律監管，避免Deepfake技術被濫用等。</p> </div></div></div>
2022/9/27 22:15作者李建興https://www.ithome.com.tw/news/153294
研究人員於Google Play及App Store上發現逾80款廣告詐騙程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.humansecurity.com/newsroom/human-discovers-and-disrupts-ad-fraud-scheme-impacting-89-apps-with-more-than-13-million-downloads-from-google-play-and-apple-app-stores" target="_blank">資安業者Human Security本周揭露</a>，內部Satori威脅情報研究團隊近日分別在Google Play與App Store上發現80款Android程式及9款iOS程式被嵌入了廣告詐騙程式碼，Google與蘋果皆已於程式市集中清除了這些程式，而使用者則可透過Human Security所公布的列表，移除這些詐騙廣告費用的程式。</p> <p>Satori團隊表示，他們自2019年就開始追蹤同一批駭客的行動，當時駭客的首個行動為Poseidon，影響了逾40款Android程式，第二波行動Charybdis發生在2020年底，在手法上略有進步，但同樣鎖定Android程式，然而，今年發現的第三波行動Scylla卻同時感染了Android與iOS程式，且手法愈趨精進。</p> <p>針對Scylla所進行的分析顯示，駭客主要藉由仿冒熱門遊戲程式來吸引使用者下載，也在程式中夾帶用以矇騙廣告主的程式碼，讓廣告主誤將該程式視為廣告價值更高的露出平臺；此外，它還會出現奇怪的廣告行為，例如於手機首頁跳出廣告，或是秘密於程式中露出使用者看不見的廣告；甚至是偽造使用者的點擊，以讓廣告主支付更多的廣告費用。</p> <p>該團隊於Google Play與App Store中，所發現的89款廣告詐騙程式的總下載量為1,300萬次，這些程式雖然已遭Google及蘋果移除，但可能還留存於使用者的手機上，使用者可參考<a href="https://www.humansecurity.com/learn/blog/poseidons-offspring-charybdis-and-scylla" target="_blank">Human Security所公布的程式列表</a>以移除它們。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="Jasmine" data-stringify-type="replace" style="box-sizing: inherit; font-weight: 900; word-break: break-word; color: rgb(29, 28, 29); font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures;"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; display: inline-flex; height: fit-content; width: fit-content;"><button class="c-link--button c-message__sender_button" data-message-sender="UBRH3F1HS" data-qa="message_sender_name" data-remove-tab-index="true" style="box-sizing: inherit; background-image: none; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; cursor: pointer; padding: 0px; font: inherit; margin: 0px; overflow: initial; text-align: initial; vertical-align: initial;" tabindex="-1" type="button"></button></span></span></p> </div></div></div>
2022/9/27 22:25作者陳曉莉https://www.ithome.com.tw/news/153298
微軟移植Commerce服務至.NET 6平臺，降低成本開銷同時提升穩定度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟從2019年開始，為了要把內部處理收入的系統Microsoft Commerce移上Azure，因此逐步將程式碼庫<a href="https://devblogs.microsoft.com/dotnet/microsoft-commerce-dotnet-6-migration-journey/">移植到.NET 6版本</a>，而這樣的升級改進整體服務品質指標，不只節省成本，也使得來自.NET Runtime的異常減少。</p> <p>Microsoft Commerce是一組服務的集合，這些服務處理各種微軟的收入，包括來自龐大的產品和服務、維護授權資訊，甚至替每個營運區域計算稅收等。Microsoft Commerce涵蓋700多個服務，服務有大有小並在可用性、可擴展性和法遵都有不同要求，其中最大規模的服務，每秒需要處理超過110萬次請求，並在數十萬個核心上運作。</p> <p>微軟在2019年的時候開始了這項搬遷計畫，考慮到要將Commerce搬上Azure，並且充分使用容器和Kubernetes，就需要轉向使用Linux，同時需要搬遷至.NET Core。這項搬遷工作其中最具代表性的工作，便是全球查詢服務GLS（ Global Lookup Service），因為GLS歷經了最長的搬遷旅程。</p> <p>GLS是一個分區服務，根據臨近程度映射微軟使用者到資料位置，微軟解釋，這是一個重要的基礎設施服務，支援著Xbox和微軟商店等消費商務場景。</p> <p>GLS是一種分散式大規模RESTful服務，部署於全球4個地區，全球每秒請求超過10萬次，該服務最初是用.NET Framework 4.6.2編寫並在Windows虛擬機器上運作，作為Commerce搬遷到Azure的一部分工作，GLS程式碼庫從.NET Framework 4.6.2升級至.NET Core 3.1、5，然後是.NET 6，現在已可容器化在AKS（Azure Kubernetes Service）上運作。</p> <p>微軟提到，Commerce各服務因差異，所以搬遷的時間都不一樣，但他們早期搬遷服務，花費的時間比晚期搬遷的服務要長得多，因為透過搬遷過程中的學習，使得搬遷過程越來越容易，部分從.NET Framework搬遷到.NET Core的服務，開發團隊可能會在搬遷過程執行額外的更新，使得測試和驗證的工作增加，但從5.0到6.0的遷移就更為直接，許多只需要更改幾行程式碼就可以獲得框架改進，時間通常不到一天。</p> <p>微軟在衡量搬遷成功與否主要關注成本，從.NET Framework搬遷到.NET Core 3.1，部分服務可節省成本達80％，vCore減少35％以上，另外，微軟也提到，他們有一項重要的服務，搬遷到.NET Core 3.1後，服務延遲降低約78％，同時明顯提升穩定性。GLS的搬遷呈現了相似的成本下降，與最先的.NET Framework與Windows虛擬機器配置相比，搬遷後vCore減少30％，延遲降低20％。</p> <p>.NET 5搬遷到.NET 6，GLS的改進主要體現於.NET指標上，像是即便保持相同RPS時，但是執行緒池中的執行緒數量下降，顯示執行緒管理效能變好，另外，升級也改進了連接管理，使得並行連接數下降，而且來自.NET Runtime的執行異常也隨之下降。</p> </div></div></div>
2022/9/27 22:45作者李建興https://www.ithome.com.tw/news/153296
Cloudflare發表鎖定手機安全的Zero Trust SIM與 Zero Trust for Mobile Op…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於自帶設備上班的BYOD（Bring Your Own Device）已蔚為風潮，手機數量更超越了個人電腦，<a href="https://www.businesswire.com/news/home/20220926005108/en/Cloudflare-Announces-the-First-Zero-Trust-SIM-for-Mobile-Devices---To-Better-Secure-Enterprises%E2%80%99-Corporate-Networks-and-Protect-Employees" target="_blank">資安業者Cloudflare本周發表</a>了鎖定手機安全的Zero Trust for Mobile Operators與Zero Trust SIM兩種零信任安全服務，前者著眼於與行動營運商建立安全合作關係，後者則是鎖定捍衛員工裝置安全的企業。</p> <p>這兩項服務都與Cloudflare的零信任網路即服務平臺Cloudflare One有關，該平臺是Cloudflare所打造的安全存取服務邊緣（Secure Access Service Edge，SASE），為一以零信任（Zero Trust）為基礎的安全服務，標榜不需要VPN便能安全地連結到各種資源，並可阻止網路釣魚、惡意軟體、勒索軟體及橫向移動。</p> <p><a href="https://blog.cloudflare.com/zero-trust-for-mobile-operators/" target="_blank">根據Cloudflare的說明</a>，Cloudflare One可成為行動營運商的全方位安全平臺，它具備能夠安全連結資料中心、分公司及私有雲的Magic WAN服務，以及可嚴格管理存取裝置及角色的Cloudflare Access服務，以及介於網際網路及企業網路之間的安全閘道，監控企業網路及外部雲端服務威脅的Cloud Access Security Broker，以及電子郵件威脅偵測服務Cloudflare Area 1等。</p> <p>至於<a href="https://blog.cloudflare.com/the-first-zero-trust-sim/" target="_blank">Zero Trust SIM則被Cloudflare稱為</a>全球首個基於零信任的SIM卡服務，它採用eSIM優先策略，可望成為Cloudflare One的下一個關鍵服務。</p> <p>Cloudflare指出，eSIM優先策略使它更容易大規模部署，可避免員工造訪網釣或其它惡意網站；由於每張SIM卡都只限於特定員工使用，能夠防範SIM卡交換或遭到複製的攻擊；還能嚴格管控存取權限。此外，Zero Trust SIM亦打算支援實體SIM卡。</p> <p>Zero Trust SIM預計幾個月後將率先於美國市場推出，這期間Cloudflare將會釋出更多有關Zero Trust SIM的技術細節。</p> </div></div></div>
2022/9/27 22:58作者陳曉莉https://www.ithome.com.tw/news/153299
Google加快無伺服器服務Cloud Run、Cloud Functions冷啟動時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/serverless/announcing-startup-cpu-boost-for-cloud-run--cloud-functions">Google改善無伺服器服務Cloud Run和Cloud Functions第二代的CPU啟動速度</a>，能夠大幅減少兩者的冷啟動時間，根據Google的測量，啟動時間可減少達一半，官方表示，藉由加速CPU啟動，也代表著有更多的CPU資源能夠動態分配給用戶的容器，並且更快地開始服務請求。</p> <p>冷啟動是在處理請求時所會遇到的延遲，這是因為系統需要時間啟動新的容器執行個體以服務新請求，像是當Cloud Run服務規模縮減到零個執行個體，在收到新請求時，就需要啟動一個新的執行個體處理該請求。</p> <p>除了從零到一的執行個體縮放事件外，冷啟動通常還會發生在配置服務單一並行請求，或是流量縮放事件期間。雖然最小執行個體可以消除從零到一執行個體所遇到的冷啟動，但因為流量會擴展到更多的執行個體，所以該方法並無法一體適用於所有冷啟動。</p> <p>Google現在透過加速CPU啟動，來減少每次冷啟動的時間，特別Java應用程式更是從該新功能顯著獲益，在Spring PetClinic應用程式加速50％，原生Spring搭配GraalVM服務加速47%，而一般的Java Cloud Functions也能夠加速23％。</p> <p>在私人預覽階段測試資料，Node.js的啟動時間減少高達30％，官方解釋，這樣的進展對Node.js來說已經是很大的改進，畢竟Node.js僅有單執行緒，所以加速會比Java略少。每一種語言、框架和程式碼庫都可以從這個新功能，獲得不同程度的好處。</p> </div></div></div>
2022/9/27 22:08作者李建興https://www.ithome.com.tw/news/153288
雲象聯手國泰醫院、臺大醫院打造大腸息肉即時偵測AI，獲智慧醫材認證下一步要導入健檢中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專攻醫療影像AI的雲象科技聯手國泰綜合醫院、臺大醫院，耗時4年、用將近40萬張腸道內視鏡影像開發出大腸息肉即時偵測AI，準確率95.8%，近日獲衛福部食藥署（TFDA）智慧醫材認證，已可進入市場。該專案先由國泰醫院專家奠定訓練資料的品質基礎，接著臺大醫院加入，雙院提供少見、醫師難以辨識的病灶影像來優化，模型最終達到近96%的準確率。國泰醫院行政副院長林朝祥透露，國泰醫院健檢中心已在試算，將導入這套AI至健檢中心，來提供更準確、更快速的大腸鏡檢查服務。臺大醫院院長吳明賢也表示，臺大醫院健檢中心也會跟進，用這套AI來輔助醫師、提供民眾更好的檢查服務。</p> <p><span style="font-size:22px;"><strong>雙醫學中心聯手，2階段訓練模型揪出難以辨識的息肉</strong></span></p> <p>臺灣大腸癌發生率居世界之冠，而大腸鏡檢查是有效降低大腸癌發生率和死亡率，但，醫師進行大腸鏡檢查、偵測腺瘤時，仍有可能遺漏病灶，比如因腸道轉彎或病人清腸不徹底，而沒發現微小病灶。</p> <p>為解決問題，在2018年啟動AI產學合作的國泰醫院，於當年與雲象展開大腸息肉偵測AI專案。國泰醫院消化內科主任洪志聖指出，當時，國泰醫院投入6名醫師，來先篩選自家品質較佳的腸道內視鏡照片和影像，作為訓練模型的資料。模型的目標是二元分類，揪出腸道中的腺瘤息肉。</p> <p>為進一步讓AI偵測更多類型的大腸息肉，國泰醫院和雲象在2021年與臺大醫院聯手，展開AI息肉偵測和息肉形態辨識，由國泰醫院和臺大醫院提供大腸息肉動態影像圖片，以及動態影像中截取的圖片來強化模型。比如，團隊從5至15分鐘的大腸鏡影片中，每秒切1張照片。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4602.jpg" /></p> <p>這些圖片可分為三種，包括一般背景正常的腸道、增生性息肉和腺瘤。其中，增生性息肉和腺瘤先由專科醫師分類判讀，再根據病理組織形態來貼標。</p> <p>有了這些資料，他們開始訓練殘差網路（Residual network），不斷循環訓練並優化參數。最終，訓練好的模型準確度達95.8%，召回率96.7%，可在大腸鏡檢查時，即時偵測並框出病灶。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4607.jpg" /></p> <p><strong><span style="font-size:22px;">腸道息肉偵測AI自動揪出微小息肉，目前多中心隨機分派試驗中</span></strong></p> <p>臺大醫院綜合診療部健康管理中心主任邱瀚模表示，大腸鏡檢查的終極目標是偵測早期癌來減少大腸癌死亡，以及偵測、切除癌前病變，來減少大腸癌發生。在臺灣，每年有40萬人次實行大腸鏡檢查，是國內最廣為實行的內視鏡檢查，可見其重要性。</p> <p>而用來判斷大腸鏡檢查的主要指標，包括盲腸到達率和腺瘤偵測率，其中，前者是指做到盲腸才徹底，後者的腺瘤偵測率，則是「大腸鏡的生命線，」邱瀚模引用國外研究，腺瘤偵測率每提升1%，將可降低鏡檢後發生大腸癌風險3%，死亡率甚至可以降低5%。這也是他們決定用AI輔助偵測的原因，來自動找出醫師難以辨識的息肉。</p> <p>目前，這款AI也於多家醫院測試，包括臺大醫院、臺大醫院癌醫中心分院、輔大醫院、彰化基督教醫院、新光醫院等，進行跨院區的隨機分派臨床試驗前瞻計畫。</p> <p>他點出臺大醫院下一步，不只要做息肉偵測，還要用於事後品質分析和病理部分，比如用AI來協助病理師判讀切片，完善AI大腸癌篩檢生態系。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4623.jpg" /></p> <p><span style="font-size:22px;"><strong>下一步要導入健檢中心，瞄準國際市場</strong></span></p> <p>目前，該AI整合軟硬體、可在各廠牌大腸鏡儀器中使用，且已獲TFDA認證，是合規的醫療AI產品。但對於市場規畫，如計價方式，團隊仍在討論中。</p> <p>不過，開發者之一的國泰醫院，其行政副院長林朝祥指出，國泰醫院正在試算計價，之後將導入這套AI系統至健檢中心。臺大醫院也表示，他們也計畫在健檢中心導入這套系統，來提供更快速、準確的檢查服務。</p> <p>另一方面，對雲象科技執行長葉肇元來說，2家醫學中心聯手科技公司打造醫療AI並獲智慧醫材認證，是難能可貴的模式，因為有別於多數智慧醫材開發，大多是用單一醫療機構的資料。雙醫學中心合作，代表醫院願意貢獻資料，提供大量、多元的資料來開發系統。這款經多中心打造的AI，準確率更高、可判斷的病灶也多元，更能推廣到國際市場。他期望，未來不只是由臺灣多中心打造，還要有跨國多中心加入，打造更優質的醫療AI。</p> </div></div></div>
2022/9/27 20:06作者王若樸https://www.ithome.com.tw/news/153297
【資安日報】2022年9月27日，中國駭客TA413利用後門程式Lowzero攻擊圖博人士、Zoom用戶成駭客散布惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是針對圖博人士的攻擊行動！有研究人員發現中國資助的駭客組織TA413發動的攻擊行動，這些駭客入侵受害組織的管道，先後運用了Sophos防火牆漏洞、MSDT元件漏洞Follina，並使用後門程式Lowzero進行網路間諜行動。在此之前，也有<a href="https://www.ithome.com.tw/news/152592#redalpha">名為RedAlpha的中國駭客組織</a>鎖定圖博社群而來。</p> <p>下載視訊會議軟體也要當心！資安業者揭露駭客以架設冒牌Zoom網站的方式，向受害者散布竊密軟體。這樣的情況，先前也有針對加密通訊軟體Telegram用戶的攻擊事故。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/chinese-state-sponsored-group-ta413-adopts-new-capabilities-in-pursuit-of-tibetan-targets"><span style="color: rgb(0, 0, 0);">中國駭客TA413利用後門程式Lowzero攻擊圖博人士</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese_state_sponsored_group_ta413_adopts_new_capabilities_in_pursuit_of_tibetan_targets_figure5_ad30b808bd.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese_state_sponsored_group_ta413_adopts_new_capabilities_in_pursuit_of_tibetan_targets_figure5_ad30b808bd.png" style="width: 300px; float: right;" /></a>資安新聞網站Recorded Future揭露中國駭客組織TA413鎖定圖博組織與人士的攻擊行動，駭客利用Sophos防火牆重大RCE漏洞CVE-2022-1040，以及MSDT元件漏洞Follina（CVE-2022-30190）入侵受害組織，進而於電腦植入後門程式Lowzero。</p> <p>研究人員指出，有鑑於這些駭客在利用上述漏洞的期間，仍舊不時使用名為Royal Road的惡意RTF檔案產生器（該產生器利用微軟方程式編輯器2017至2018年的漏洞）發動攻擊，再加上他們發現至少有3組中國政府資助的駭客組織利用上述的Sophos防火牆漏洞，研究人員認為，這些駭客很可能透過相同管道取得多種作案工具。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/19/new-malware-campaign-targets-zoom-users/"><span style="color: rgb(0, 0, 0);">開啟網址連結下載Zoom視訊會議軟體要小心！駭客下手透過冒牌網站散布竊密程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-Flow.png" style="width: 300px; float: right;" /></a>資安業者Cyble提出警告，視訊會議系統Zoom的用戶遭到鎖定，駭客架設冒牌的Zoom網站並引誘使用者下載應用程式，且這些網站所使用的網域都有zoom字串，如：zoom-download[.]host、zoomus[.]tech，而難以判斷真偽。</p> <p>研究人員指出，一旦受害者點選網站上的連結，將會下載存放於GitHub的壓縮檔Zoom.zip，經執行後就會在電腦上植入竊密軟體Vidar。研究人員呼籲用戶下載Zoom安裝程式之前應提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mend.io/resources/blog/popular-cryptocurrency-exchange-dydx-has-had-its-npm-account-hacked/"><span style="color: rgb(0, 0, 0);">DeFi業者開發的NPM套件被植入竊密軟體</span></a></strong></h3> <p>9月23日，原名為WhiteSource的開源程式碼安全業者Mend，發現去中心化（DeFi）平臺dYdX所持有的NPM帳號，上傳了數個套件的新版本，但這些套件都含有惡意程式碼，一旦用戶安裝，電腦就會被植入竊密軟體。</p> <p>究竟駭客如何竄改這些套件？研究人員推測，有可能透過其他攻擊事件偷到該公司的NPM帳密而得逞，並認為此起事故是供應鏈攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/the-mystery-of-metador-an-unattributed-threat-hiding-in-telcos-isps-and-universities/"><span style="color: rgb(0, 0, 0);">駭客組織Metador鎖定中東與非洲的電信業者、ISP、大專院校發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Metador_8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Metador_8.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露名為Metador的駭客組織，該組織主要的攻擊範圍是中東與非洲，並針對電信業者、ISP、大專院校下手，這些駭客在攻擊的過程中會繞過受害組織的資安系統，並透過寄生攻擊（LOLBins）的方式，濫用Microsoft Console Debugger（CDB.EXE），將惡意軟體框架直接部署於記憶體內，目的是進行長期的間諜行動。研究人員總共發現兩款惡意軟體框架metaMain、Mafalda，也有鎖定Linux主機的惡意軟體。</p> <p>至於攻擊者的來源，該公司表示駭客使用英文和西班牙語，且實力雄厚，而能發展極為複雜的攻擊工具，但他們難以判斷攻擊者的身分。</p> <h3><strong style="font-size: 22px;"><a href="https://udn.com/news/story/7320/6639973"><span style="color: rgb(0, 0, 0);">中科院技師下載軍事機密，並在被逮捕前刪除相關資料</span></a></strong></h3> <p>國家中山科學研究院傳出洩露軍事機密，卻因為檔案遭到刪除而無法判斷受害情形。根據聯合新聞網、公視、自由時報等媒體的報導，中科院系統發展中心彭姓技術師涉嫌於2018年，複製機密資料於個人資料夾，內容包含國家機密事務人員名冊、無人登月機、雄三飛彈性能提升報告等，中科院隔年6月察覺此事祭出停權處分，但彭男仍在中科院服務至2020年底才離職。</p> <p>這起重大洩密案件原本由臺灣高等檢察署調查，卻因為彭男後來在2020年偷用同事帳號刪除相關資料，而無法認定竊取的資料是否涉及機密，最後由桃園地檢署以刪除公務電腦電磁紀錄罪起訴，一審判刑8個月。<a href="https://www.ncsist.org.tw/csistdup/news/NewsPublishDetail.aspx?PostNo=16569">中科院也發布新聞稿證實此事</a>，表示尊重司法判決，並承諾加強相關機密的保護措施。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities"><span style="color: rgb(0, 0, 0);">DNS軟體BIND存在漏洞，恐被用於DoS攻擊</span></a></strong></h3> <p>網際網路系統協會（ISC）於9月21日發布資安通告，他們針對旗下的DNS軟體Berkeley Internet Name Domain（BIND）修補6個漏洞，這些漏洞都有可能被用於遠端攻擊。該協會指出其中有4個漏洞為高風險層級，且會導致服務阻斷（DoS），這些漏洞是CVE-2022-2906、CVE-2022-3080、CVE-2022-38177，以及CVE-2022-38178。</p> <p>ISC發布BIND 9.16.33、9.18.7、9.19.5來修補上述漏洞。美國網路安全暨基礎設施安全局（CISA）也提出呼籲，DNS伺服器管理者要儘速檢視上述高風險漏洞的資安通告，並採取緩解措施。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/21/rewards-plus-fake-mobile-banking-rewards-apps-lure-users-to-install-info-stealing-rat-on-android-devices/"><span style="color: rgb(0, 0, 0);">伊朗駭客以銀行點數獎勵為幌子，針對印度安卓手機用戶散布惡意軟體</span></a></span></strong></p> <p><a href="https://www.humansecurity.com/learn/blog/poseidons-offspring-charybdis-and-scylla"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員於Google及蘋果App市集上發現逾80款詐騙程式</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cyfirma.com/outofband/erbium-stealer-malware-report/"><span style="color: rgb(0, 0, 0);">竊密軟體Erbium假借遊戲破解或作弊工具散布</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153254">【2022年9月26日】微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者GitHub帳號</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153218">【2022年9月23日】勒索軟體BlackCat鎖定備份系統竊取資料、存在15年的Python漏洞恐影響35萬個開源專案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153192">【2022年9月22日】駭客以LinkedIn的付費版功能散布惡意連結、勒索軟體LockBit的製作工具遭到外洩</a></strong></strong></strong></p> </div></div></div>
2022/9/27 18:10作者周峻佑https://www.ithome.com.tw/news/153295
Netflix於芬蘭建立自家的遊戲工作室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/building-our-internal-games-studios" target="_blank">Netflix周一（9/26）宣布</a>，正於芬蘭赫爾辛基建立自家的遊戲工作室，知名社交遊戲Zynga在芬蘭的前總經理Marko Lastikka將擔任Netflix遊戲工作室的總監，致力於打造Netflix的專屬遊戲。</p> <p>Netflix是在去年11月正式推出遊戲服務，既有的Netflix用戶都可免費執行遊戲，既無廣告，也無程式中購買項目。迄今Netflix已出手買下3家遊戲業者，依序是去年9月併購的Night School Studio、今年3月買下的Next Games，以及同月購入的Boss Fight Entertainment。</p> <p>截至今年第二季為止，Netflix已推出24種遊戲，惟所有遊戲皆僅支援行動裝置。</p> <p>Netflix表示，選擇在赫爾辛基設立自家的遊戲工作室，是因為此處匯集了許多頂尖的遊戲人才，而這也是Netflix於該城市的第二家遊戲工作室，因為Next Games也座落於此。目前Netflix麾下的4個遊戲工作室都有不同的強項及專精的領域，將會併肩打造迎合不同會員喜好的各種遊戲。</p> </div></div></div>
2022/9/27 15:26作者陳曉莉https://www.ithome.com.tw/news/153284
Go 1.19提供開發者更多運算資源控制能力，添加Runtime記憶體限制功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go開發團隊公布在最新1.19版本的Runtime，<a href="https://go.dev/blog/go119runtime" target="_blank">添加了一個軟性記憶體限制功能</a>，讓開發者可以控制應用程式所使用的記憶體容量，使Runtime在應用程式負載尖峰時仍可以維持穩定運作。</p> <p>記憶體限制是一個Go社群長期要求的功能，過去Go的垃圾回收只有一個調校參數GOGC，GOGC供用戶調整Go垃圾回收GPU和記憶體額外開銷的權衡，官方解釋，他們過去之所以不願意在Go Runtime添加新的控制旋鈕，是因為每一個旋鈕都代表，在測試和維護的配置空間永遠增加一個新維度，這也會帶給Go開發人員額外的理解和使用負擔，因此他們傾向在Go Runtime盡量保持最少的配置。</p> <p>但現在Go團隊決定在Go 1.19版本的Runtime添加記憶體限制功能，他們解釋，記憶體不像是CPU時間可以替代，開發者可以稍待片刻以獲得更多的CPU時間，記憶體容量固定且有限。而記憶體限制可以解決兩個主要問題，第一，當應用程式的記憶體使用峰值不可預測時，原本的GOGC無法保護系統免於記憶體不足的風險，僅使用GOGC，Go Runtime無法確定目前有多少記憶體可以使用。</p> <p>但透過配置記憶體限制，Runtime可以掌握需要積極減少記憶體開銷的時機，因此可以更強健穩定的度過瞬間負載峰值期。</p> <p>第二個原因是，要避免在不使用記憶體限制的情況出現記憶體不足的錯誤，GOGC需要根據記憶體峰值進行調校，這代表Runtime要以較低的記憶體花費執行垃圾回收，就需要花費更多的CPU開銷，即便應用程式並未處在記憶體峰值期間，或是當時還有許多記憶體可供使用。</p> <p>而這個情況之所以會在容器化的應用中受到關注，因為程式會被放置在特定且隔離，事先預留記憶體的沙盒中執行，因此記憶體限制反而可以利用這個機制，提供負載峰值保護，使GOGC在CPU花費方面進行更積極的調整。</p> <p>Go團隊以容易使用和強健性，作為設計記憶體限制功能的核心思想，能夠限制應用程式中Go部分的所有記憶體占用，而非只是Go堆（Heap），因此用戶不用擔心Go Runtime的執行時開銷，同時Runtime也會根據記憶體限制調整記憶體清理政策，更主動地將記憶體還給作業系統，以回應記憶體壓力。</p> <p>但開發團隊提醒開發者，雖然記憶體限制是一個強大的工具，但仍必須謹慎使用，因為可能會讓應用程式出現垃圾回收不穩的情況，當應用程式花費太多的時間執行垃圾回收，導致沒有足夠的時間花在真正有意義的程序上，像是當記憶體限制太低，而無法滿足應用程式實際所需的記憶體量，Go應用程式便可能發生崩潰。</p> <p>在記憶體限制使用上，開發者需要考慮更多部分，可以參考官方新發布的垃圾回收指南，進一步了解垃圾回收成本以及操作辦法。</p> </div></div></div>
2022/9/27 15:56作者李建興https://www.ithome.com.tw/news/153286
蘋果證實已開始於印度生產iPhone 14
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果向《<a href="https://techcrunch.com/2022/09/25/apple-starts-manufacturing-iphone-14-in-india/" target="_blank">TechCrunch</a>》與《<a href="https://www.cnbc.com/2022/09/26/apple-starts-manufacturing-the-iphone-14-in-india.html" target="_blank">CNBC</a>》證實，已開始於印度組裝iPhone 14與iPhone 14 Plus，這兩家媒體亦引用JP Morgan的看法指出，今年底前蘋果就會把5%的iPhone 14產能轉移到印度。</p> <p>蘋果自2017年起就在印度組裝iPhone，但一直以來於當地組裝的都是舊款產品，一直到今年才於印度生產及組裝最新一代的iPhone，而蘋果的全球合作夥伴富士康也早就在印度設立了生產據點。</p> <p>根據報導，蘋果不僅會在印度生產iPhone 14，今年底也會開始於印度銷售由當地生產的iPhone 14。</p> <p>《TechCrunch》引用JP Morgan分析師的看法指出，蘋果正在減輕對中國iPhone產線的依賴，今年底前將把5%的iPhone產能移轉到印度，估計2025年會有25%的iPhone產能遷移到印度。</p> <p>不只是蘋果，外傳Google也正把Pixel手機的部分產能轉移到印度。</p> </div></div></div>
2022/9/27 16:05作者陳曉莉https://www.ithome.com.tw/news/153287
南韓要求國際刑警組織針對Terraform Labs共同創辦人Do Kwon發出紅色通緝令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，南韓政府周一（9/26）對外證實，已要求國際刑警組織（Interpol）針對 Terraform Labs共同創辦人Do Kwon發出紅色通緝令，不過，目前Interpol的通緝網站上尚未出現Kwon的名字。</p> <p>國際刑警組織陳列了兩種通緝令，一是該組織自行發出的在逃追緝令Interpol Wanted，另一即是因應各國檢察官要求所發出的紅色通緝令Red Notice，儘管Interpol的官網上尚未列出Kwon，但由於南韓政府已提出要求，因而也許只是時間上的問題，代表Interpol將於全球195個國家追捕Kwon。</p> <p>今年31歲的Kwon為Terraform Labs的共同創辦人，該實驗室打造了Terra演算法穩定幣生態體系，透過其姐妹幣Luna來維持與各種法幣的錨定，並另外發行了Terra USD（UST）穩定幣，然而，Luna與UST在今年5月大崩盤，市場估計投資人在一周內就損失超過420億美元，由於Kwon為南韓公民，也吸引了許多南韓投資人，相關加密貨幣的崩盤造成許多南韓投資人破產，甚至自殺，也讓Kwon惹來了官司。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Do%20Kwon-Terra-%E7%BF%BB%E6%94%9D%E8%87%AATerra%E5%AE%98%E6%96%B9YouTube%E5%BD%B1%E7%89%87.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Terraform Labs共同創辦人Do Kwon，翻攝自Terra官方YouTube影片</span></span></p> <p>南韓並未公布Kwon詳細的罪責，目前浮上檯面的指控主要為龐式騙局及涉嫌稅務詐欺，不過，南韓政府積極追捕Kwon，自<a href="https://www.ithome.com.tw/news/151063" target="_blank">5月針對Luna與UST展開調查</a>後，<a href="https://www.ithome.com.tw/news/151557" target="_blank">6月開始限制Terraform Labs員工出境</a>，<a href="https://www.ithome.com.tw/news/153056" target="_blank">9月對Kwon發出逮捕令</a>，現在則要求國際刑警組織於全球追捕Kwon。</p> <p>根據外電的報導，南韓政府原本以為Kwon人在新加坡，但新加坡政府則說Kwon已經出境。</p> <p>另一方面，就算頻頻躍上媒體版面，而且遭到通緝的消息也被公開，但Kwon依然偶而會透過自己的Twitter發聲。例如<a href="https://twitter.com/stablekwon/status/1571197156907679745" target="_blank">他在9月18日時表示</a>，他並沒有逃跑，而且願意配合任何有興趣溝通的政府，就算是在遭到國際刑警組織通緝的消息曝光當天，<a href="https://twitter.com/stablekwon/status/1574444990209695745?s=20&t=7DORi3-sDlfUmruASD5aWw" target="_blank">Kwon還向友人表示</a>他正在自己的客廳寫程式。</p> <p>不過，已有開發者打造了Kwon已被國際刑警組織逮捕的NFT圖像，<a href="https://opensea.io/assets/ethereum/0x495f947276749ce646f68ac8c248420045cb7b5e/11977247104236830903620032448768692251618424234655551842068702732377149931521" target="_blank">並放在OpenSea上兜售</a>。</p> <p><a href="https://cryptobriefing.com/do-kwon-wanted-195-countries-what-happens-next/" target="_blank">專門報導加密貨幣消息的《Crypto Briefing》分析</a>，Terra區塊鏈所引發的骨牌效應衝擊了Three Arrows Capital與其它加密貨幣業者，牽連了廣大的投資人，或許也是加密貨幣市場不振的原因之一，使得Kwon成為加密貨幣產業的頭號公敵，且在加密貨幣問世迄今13年以來，歷經了多次的興衰，卻沒有一次像Terra般引起各國監管機關的廣泛重視。</p> <p>例如最近美國國會議員正在草擬的《穩定幣法案》（Stablecoin Bill ），就打算針對類似UST抵押方式的穩定幣祭出兩年的禁令。</p> </div></div></div>
2022/9/27 15:11作者陳曉莉https://www.ithome.com.tw/news/153278
相準年輕消費者，Walmart推元宇宙服務Walmart Land與Universe of Play
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://corporate.walmart.com/newsroom/2022/09/26/walmart-jumps-into-roblox-with-launch-of-walmart-land-and-walmarts-universe-of-play" target="_blank">全球最大零售業者Walmart周一（9/26）宣布</a>，已與元宇宙遊戲平臺Roblox合作，在該平臺上建立了Walmart Land及Walmart's Universe of Play兩項元宇宙服務，外界將其視為Walmart吸引年輕人及測試元宇宙水溫的策略。</p> <p>不管是Walmart Land或Universe of Play都是以遊戲的型態表現，但Walmart Land主要提供互動式的音樂體驗，舉辦虛擬演唱會，擁有虛擬試衣間，還有對照實體世界的虛擬商店；而Universe of Play則是以玩具為主，集結Walmart所銷售的各種熱門玩具，並將它們嵌入遊戲中。</p> <p class="rtecenter"><img alt="" src="https://cdn.corporate.walmart.com/dims4/WMT/61fc282/2147483647/strip/true/crop/1600x900+0+0/resize/880x495!/quality/90/?url=https%3A%2F%2Fcdn.corporate.walmart.com%2F2d%2F04%2F663ef70744a2934f274ac4e6fe4c%2Fwalmart-land-house-of-style-experience-close-up.jpg" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Walmart Land示意圖，圖片來源／Walmart</span></span></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://cdn.corporate.walmart.com/dims4/WMT/e22aed3/2147483647/strip/true/crop/1600x900+0+0/resize/880x495!/quality/90/?url=https%3A%2F%2Fcdn.corporate.walmart.com%2F56%2Fcd%2Fe390b7384c318874d28644548787%2Fwalmart-universe-of-play-on-roblox.jpg" style="width: 550px;" /></span></span></p> <p><span style="font-size:14px;"><span style="color:#696969;">Universe of Play示意圖，圖片來源／Walmart</span></span></p> <p>Walmart行銷長William White表示，Roblox是全球成長最快也是最大的元宇宙平臺，而Walmart也有許多客戶滯留在Roblox平臺，使得該公司決定於這些客戶的遊戲世界中打造創新體驗。</p> <p><a href="https://www.cnbc.com/2022/09/26/walmart-enters-the-metaverse-with-roblox.html" target="_blank">White亦向《CNBC》透露</a>，Roblox將成為Walmart進入元宇宙的試驗場，期待能夠吸引新一代的消費者，特別是25歲左右或是更年輕的Z世代。</p> <p>Amazon所帶來的衝擊，再加上COVID-19疫情改變了人們的購物習慣，Walmart一直積極介入數位時代，不僅於TikTok、Twitter及YouTube上舉辦直播購物活動，也與媒體集團Meredith合作打造食譜，還開發了AR工具以讓消費者得以於虛擬世界中擺放Walmart所銷售的家具。</p> <p>Walmart Land與Universe of Play雖然建立於元宇宙平臺上，但任何裝置都可存取這兩項服務，不僅限於Oculus Rift或HTC Vive，它們還支援PC、Mac、iOS、Android、Amazon裝置及Xbox遊戲機。</p> </div></div></div>
2022/9/27 13:25作者陳曉莉https://www.ithome.com.tw/news/153273
俄羅斯授予前NSA爆料者史諾登公民身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名爆料者史諾登（Edward Snowden）在流亡俄羅斯多年後，本周一獲得該國政府授予公民身分。</p> <p><a href="http://publication.pravo.gov.ru/Document/View/0001202209260013?index=4&rangeSize=1" target="_blank">俄國政府本周發布一份由普丁簽署的總統令</a>，公布包含史諾登在內等75名獲得公民身分的外國人士。</p> <p>史諾登於2013年在香港向《衛報》和《華盛頓郵報》爆料美國國安局（NSA）震驚全球的大規模監聽計畫「稜鏡」，包括監聽德國前總理梅克爾在內的數百萬人士電話號碼及發展多種進階駭客工具，遭到美國政府以間諜罪名起訴，即長年流亡俄羅斯。他在2020年獲得俄國永久居留權。</p> <p>2020年史諾登和美國籍妻子Lindsay Mills生下一子，當時全球新冠疫情爆發，各國封鎖國境，<a href="https://twitter.com/Snowden/status/1323024457645105153" target="_blank">他表示</a>為了不再和家人分開，決定申請雙重公民身分。</p> <p>現年39歲的史諾登2019年曾說如果能獲得公平審判的機會，就會回到美國。但是<a href="https://www.nbcnews.com/feature/edward-snowden-interview/pentagon-papers-whistleblower-snowden-wont-get-fair-trial-n118561" target="_blank">2015年一份五角大厦爆料文件顯示</a>，他不可能獲得公平審判。</p> <p><a href="https://www.bbc.com/news/technology-54013527" target="_blank">2020年美國上訴法院判決NSA的電話監聽計畫違法</a>。<a href="https://www.ithome.com.tw/news/139598" target="_blank">當年川普卸任前曾說考慮將史諾登納入特赦名單</a>，但最終因司法部等單位反對而未實施。</p> <p>但史諾登本人對獲得俄羅斯公民身分一事未公開評論。<a href="https://www.securityweek.com/russia-gives-citizenship-ex-nsa-contractor-edward-snowden" target="_blank">報導指出</a>，目前和史諾登同住在俄羅斯的Lindsay Mills也獲得了俄羅斯護照。</p> </div></div></div>
2022/9/27 09:42作者林妍溱https://www.ithome.com.tw/news/153267
Apple Pay Later傳因技術問題擴大推出要延到明年春天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果的先買後付（Buy Now Pay Later，BNPL）服務可能真的要再晚點了，<a href="https://www.macrumors.com/guide/mark-gurman/" target="_blank">《彭博新聞》報導</a>，Apple Pay Later碰上技術問題，可能要延到明年春天才能擴大推出。</p> <p>報導指出，業界流傳，蘋果推廣Apple Pay Later時遇上「重大」技術工程問題，導致無法如期今年在美國以外地區推出，可能得等到2023年春天隨同iOS 16.4問世。</p> <p><a href="https://www.ithome.com.tw/news/151316" target="_blank">6月初蘋果在WWDC 2022隨同iOS16、macOS Ventura發表Apple Pay Later服務</a>。Apple Play Later內建於iOS 中的Apple Wallet，方便使用者以Apple Wallet管理、追蹤消費狀況。只要能使用Apple Pay支付都可使用。這項服務允許消費者設定6周期間的4期分期付款，還享有無息及無額外費用的好處。Apple Pay Later也被視為蘋果開闢新服務營收的最新嘗試。</p> <p><a href="https://www.ithome.com.tw/news/152942" target="_blank">不過蘋果在9月公布iOS 16正式版時</a>，卻不見Apple Pay Later。這也使得迄今蘋果自己的BNPL服務仍然只在美國配合萬士達卡（Mastercard）網路完成支付。</p> <p>如果消息成真，意謂著美國以外的消費者下個月也無緣一睹Apple Pay Later。<a href="https://9to5mac.com/2022/09/24/apple-october-event-what-to-expect/" target="_blank">10月的蘋果產品發表大會上</a>，蘋果預計將正式釋出 iPadOS 16、MacOS Ventura及最新iPad與Mac電腦。</p> </div></div></div>
2022/9/27 09:51作者林妍溱https://www.ithome.com.tw/news/153268
Zoom用戶成下手目標，遭冒牌網站散布竊密程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zoom是許多人視訊會議愛用的工具。<a href="https://blog.cyble.com/2022/09/19/new-malware-campaign-targets-zoom-users/" target="_blank">安全專家警告</a>近日有一波針對Zoom用戶的攻擊，透過冒充Zoom網站向用戶散布竊密程式。</p> <p><a href="https://twitter.com/idclickthat/status/1569350142230204421" target="_blank">近日有研究人員觀察到</a>，網路上有人製作並散布儼然Zoom官方網站的連結，點入後也看不出有什麼異樣，都允許使用者下載Zoom官方應用程式，包括/zoom-download[.]host、/zoom-download[.]space、/zoom-download[.]fun、/zoomus[.]host、/zoomus[.]tech及/zoomus[.]website。若非研究人員說明，幾乎無從判斷這些網站是惡意網站。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/09/Figure-1-Fake-Zoom-Site.png?w=936&ssl=1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cyble</span></span></p> <p>安全公司Cyble分析，當用戶不疑有他點入上述連結，會被進一步重導向到https[:]//github[.]com/sgrfbnfhgrhthr/csdvmghfmgfd/raw/main/Zoom.zip，並於背景下載惡意程式名為 zoom.zip、download.php等檔案。一經執行會在用戶電腦暫存檔植入像是Zoomin~1.exe、或decoder.exe等二進位檔。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/09/Figure-2-%E2%80%93-Backend-Site-Redirects.png?w=581&ssl=1" style="width: 581px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cyble</span></p> <p>安全廠商分析後判斷，這些網站散布的都是名為Vidar的竊密程式。Vidar專門竊取受害者電腦裏的銀行資訊、儲存密碼、IP位置、瀏覽器上網紀錄、登入帳密及加密貨幣錢包等。而在資訊到手後，還會執行指令，從用戶電腦反安裝以消除跡證。</p> <p>至於這些外洩的資料何去何從，安全廠商判斷最後會被賣到網路黑市，因為這些外洩資料提供了敲開受害電腦大門的門路。</p> <p>研究人員相信這波攻擊是鎖定Zoom用戶，建議Zoom用戶在下載任何可執行檔前，都要留意網站的合法性。</p> <p>此外研究人員也建議所有用戶不要從warez/torrent網站下載盜版軟體，或開啟來路不明的連結或郵件附檔、使用多因素驗證及強密碼、開啟電腦及手機的自動防毒軟體升級等。</p> </div></div></div>
2022/9/27 10:03作者林妍溱https://www.ithome.com.tw/news/153269
Google雲端容器分析開始支援Java和Go套件掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/devops-sre/java-and-go-vulnerability-scanning-support">Google雲端的容器掃描API現在會自動掃描Maven和Go套件中的漏洞</a>，官方提到，只要啟用容器掃描API，該API就會掃描上傳到構件註冊表（Artifact Registry）儲存庫的Java和Go語言套件，以尋找存在的漏洞。目前該功能尚在公開預覽階段。</p> <p>該功能建立於現有Linux作業系統的漏洞檢測功能之上，提供用戶對其應用程式更深入的安全分析。容器掃描API會針對每個映像檔逐一分析，並且在結果列表中顯示漏洞總數，用戶可以藉由點擊進一步取得漏洞的CVE編號，當有可用的資料，系統也會提供用戶漏洞修復資訊。同時用戶還可以透過gcloud CLI或是API取得漏洞資訊。</p> <p>Google解釋，這個新功能是利用現有的按需功能掃描Java和Go語言套件，並在推送到構件註冊表自動掃描，該語言是對既有Linux作業系統掃描的補充。這個掃描功能也可以和Pub/Sub通知結合一起使用，以觸發針對漏洞和其他後設資料的操作，像是對需要收到漏洞訊息的人發送電子郵件。</p> </div></div></div>
2022/9/26 22:34作者李建興https://www.ithome.com.tw/news/153253
Google開源專門存放N維資料的可擴展儲存TensorStore
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出了一個專為存儲和操作N維資料設計的C++、Python開源軟體函式庫<a href="https://ai.googleblog.com/2022/09/tensorstore-for-high-performance.html">TensorStore</a>，其提供一個統一的API，讓用戶讀取各種陣列格式，像是zarr和N5，TensorStore原生支援多種儲存系統，並且具有強ACID保證，能夠以非同步API支援針對高延遲遠端儲存的高吞吐量存取。</p> <p>TensorStore的出現，是要解決機器學習迅速發展，對大規模資料集的存取需求，許多先進的機器學習應用程式，皆需要用到多維資料集，像是在空間網格上測量大氣，並對天氣進行建模，或是醫學成像3D掃描等，而這些應用即便僅需要一個資料集，但規模也會屬於TB或是PB等級。</p> <p>研究人員提到，要使用這類大型資料集極具挑戰，因為用戶可能以不規則區間，或是不同的規模讀取和寫入資料，並且還可能需要用到大量的機器。</p> <p>而Google所開發的TensorStore，可用於儲存像是具有數十億立體像素（Voxel）的蒼蠅大腦3D圖像，TensorStore提供使用者簡單Python API，能夠輕鬆載入和操作大型資料庫，並以NumPy陣列存取小批次資料。</p> <p>在用戶真正請求特定資料切片之前，TensorStore不會存取或是在記憶體中儲存實際資料，所以能夠支援用戶載入和操作任意大小的基礎資料集，不需要將整個資料集搬到記憶體中，就能夠使用與標準NumPy操作相同的語法進行索引和操作。TensorStore針對進階索引功能提供廣泛的支援，包括轉換、對齊和產生虛擬檢視表等。</p> <p>研究人員提到，處理和分析大型數值資料集，需要大量的運算資源，透過平行化GPU和加速器核心實作，這些資源通常分散在眾多機器上。TensorStore的基本目標，便是要能夠對單個資料集進行安全平行處理，使這些資料集不會因為平行存取模式，而產生損壞或是不一致，但又同時維持高效能。在Google資料中心的實驗，隨著CPU數量的增加，TensorStore的高效能特性使讀寫效能可以幾乎呈現線性成長。</p> <p>另外，TensorStore可以透過配置記憶體快取和非同步API，允許程式在執行其他工作時，在後臺繼續進行讀取和寫入操作，而當多臺機器同時存取同一個資料集時，TensorStore藉由樂觀並行控制（Optimistic Concurrency）技術，保持並行操作的安全性，且不會明顯影響效能。TensorStore也對單個Runtime的所有個別操作提供強ACID執行。</p> <p>由於TensorStore整合諸如Apache Beam和Dask等平行運算函式庫，因此TensorStore的分散式運算，與企業現有資料處理工作流程高度相容。TensorStore的用例包括語言模型，可在訓練過程高效讀取和寫入模型參數，另外也能用於大腦映射上，儲存用於描繪大腦神經的高解析度映射圖。</p> </div></div></div>
2022/9/26 22:40作者李建興https://www.ithome.com.tw/news/153255
臺中榮總自建3D場景，用VR強化醫護核災演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2011年，福島核災事故發生，臺中榮總也自2011年開始，強化核災救治能力。臺中榮總核醫科放射師陳耀文指出，中榮因應核災救治有三步驟，首先是書面計畫，定清楚所有作業程序，再來是桌上演練，進行模擬推演。這麼做，能幫助醫護迅速理解處理程序，但仍缺少實務經驗。所以，下一步是實際演練，來增加相關人員經驗，但中榮得負擔動員的高昂成本。</p> <p>比如，演練動員需要50多坪的場地，得管制空間、鋪設防水墊，也得準備救護車、相關偵檢器等設備，而人力上，則得納入醫師、護理師、輻防員、工務與總務人員共30名，總體動員成本得花上將近50萬元。</p> <p><span style="font-size:22px;"><strong>自建VR核災演練</strong></span></p> <p>但中榮發想，也許能先借助VR進行輻射演練，來降低實體演練的昂貴成本。但由於市面上沒現成的VR核災訓練軟體，中榮找上東海大學，跨團隊打造核輻射災害救治演練VR，用4階段來開發。首先是確立程序，也就是輻射災害的啟動與處置流程，再來是設計建模，團隊用建模軟體SketchUp打造1比1的場景和人物建模，再用遊戲製作引擎Unity，根據腳本打造演練流程。接著，他們也設計體驗回饋機制，透過測試者當下的回饋來優化程式，最後則是正式演練和評估。</p> <p>在操作演練上，會由不同場景和腳本組成，比如當患者送至醫院時，救護車先抵達門口檢傷區，由醫護進行人員、病患和救護車偵測，這是第一個場景。再來是送入院內醫療除污區，也就是第2個場景，搭配不同腳本，來讓醫護人員進行相關處置。完成後，患者會送至第3個場景：後送區，來將患者送至中榮收治病房，進行後續照護。這些就是演練內容。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%99%A4%E6%B1%A1%E5%8D%80.png" /><br /> 這套VR核災演練有不同場景、角色和人物供受訓人員使用，比如場景部分有檢傷區、醫療除污區、後送區等。</p> </blockquote> <p>陳耀文解釋，為了讓所有人員都能訓練到，這款VR核災應變演練還有場景、角色和任務的選擇。像是，場景部分有檢傷區、除污區和後送區可選擇，角色部分則有3種場景的醫師、護理師，以及輻防員等8種可選，而任務部分有4種選項，如醫療除污、採集檢體、輻射偵測和數值回報。</p> <p>他也分享受試者的回饋，共10位測試人員，包括放射師、護理師和醫師，其中2位放射師參與過實際演練。受試者全數認為VR演練能幫助他們了解角色工作，8成認為環境逼真、引導清晰，但互動性普通，有待改善的則是暈眩狀況，所有受試者皆出現頭戴VR裝置演練一段時間後頭暈，特別是在檢驗救護車輪胎的輻射值，得來回移動，造成暈眩。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%91%E8%AD%B7%E8%BB%8A.png" /><br /> 在VR演練中，受訓人員得手持裝置、戴VR裝置來回移動，量測輻射值，但也容易造成頭暈。這是受試者的共同困擾。</p> </blockquote> <p><span style="font-size:22px;"><strong>未來要擴充更多演練情境</strong></span></p> <p>對中榮來說，VR演練的好處是可重複練習，且不受時間、空間限制，可低成本、高效率演練。但陳耀文強調，VR演練並非要完全取代實際演練，而是相輔相成，比如在1次實地演練後，以VR演練來加強受訓人員技能，不必一直仰賴實體演練。</p> <p>甚至，中榮不只要用VR演練加強核災，還要藉現有模組，進一步延伸發展其他VR災害演練，像是急救、毒化災、火災，或是救治大量傷患的場景。陳耀文點出，在既有核災演練基礎下，模組容易擴充、搭配不同情境腳本，來快速開發不同演練場景。</p> </div></div></div>
2022/9/26 18:39作者王若樸https://www.ithome.com.tw/news/153266
【資安日報】2022年9月26日，微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客鎖定特定的應用系統，做為入侵受害企業的管道，這樣的現象越來越頻繁。例如，有資安業者指出，名為Fargo的勒索軟體針對微軟SQL伺服器而來，駭客看上的就是這種資料庫系統可能沒有及時修補，或是使用弱密碼，而容易對其發動攻擊。</p> <p>開發者遭到鎖定的情況近期也相當氾濫，但現在有人同時針對兩種系統的用戶發動攻擊。有人自9月中旬針對採用持續開發及持續整合平臺CircleCI、程式碼代管平臺GitHub的用戶發動釣魚郵件攻擊，並要求收信人透過CircleCI帳號存取GitHub，進而竊取受害者的程式碼。</p> <p>協作平臺Atlassian Confluence的重大漏洞CVE-2022-26134再度遭駭客利用！研究人員發現將Confluence伺服器用於挖礦的攻擊行動，值得留意的是，這次駭客也運用了Linux漏洞PwnKit部署挖礦程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/39152/"><span style="color: rgb(0, 0, 0);">微軟SQL Server被勒索軟體Fargo盯上！駭客疑似針對弱密碼與尚未修補的漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/감염된파일리드미.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EA%B0%90%EC%97%BC%EB%90%9C%ED%8C%8C%EC%9D%BC%EB%A6%AC%EB%93%9C%EB%AF%B8.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現勒索軟體Fargo（亦稱Mallox）鎖定微軟SQL伺服器的攻擊行動，駭客先是透過命令提示字元（CMD）與PowerShell，來執行此資料庫的處理程序，下載由.NET編譯而成的惡意程式，進而在主機上植入更多作案工具。上述的惡意程式亦會產生BAT批次檔並於暫存資料夾執行，來關閉特定的處理程序及服務。接著，勒索軟體Fargo藉由注入名為AppLaunch.exe的應用程式執行，並加密主機的檔案。</p> <p>研究人員認為，駭客很可能是針對SQL伺服器進行暴力破解攻擊，或是利用尚未修補的漏洞下手，得以入侵受害組織，他們呼籲企業應使用高強度的密碼，並更新SQL伺服器軟體等措施，來防堵相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-stealing-github-accounts-using-fake-circleci-notifications/"><span style="color: rgb(0, 0, 0);">盜取開發者的GitHub帳號有新手法，攻擊者鎖定CI/CD平臺下手</span></a></strong></h3> <p><a href="https://discuss.circleci.com/t/circleci-security-alert-warning-phishing-attempt-for-login-credentials/45408">持續開發及持續整合平臺CircleCI提出警告</a>，有人自9月15日開始，假冒CircleCI的名義發動釣魚郵件攻擊，宣稱該公司更新服務合約，收信人必須依照指示，透過CircleCI的帳號來登入程式碼代管平臺GitHub，才能繼續使用相關服務，一旦依照指示操作就有可能受害。CircleCI指出，駭客使用的網域是circle-ci[.]com（較合法網域多了破折號），要用戶提高警覺。</p> <p>事隔數日，<a href="https://github.blog/2022-09-21-security-alert-new-phishing-campaign-targets-github-users/">GitHub也於22日提出警告</a>，表示相關攻擊行動仍持續發生，並表示駭客一旦得逞，就有可能迅速透過VPN下載程式碼儲存庫的所有內容。經調查後該公司已為受到影響的使用者重設密碼，並移除駭客設置的帳密。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/i/atlassian-confluence-vulnerability-cve-2022-26134-abused-for-cryptocurrency-mining-other-malware.html"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再度遭到利用！駭客將其搭配PwnKit發動挖礦攻擊</span></a></strong></h3> <p>研究人員於6月發現鎖定協作平臺Atlassian Confluence的零時差漏洞CVE-2022-26134（CVSS風險評分為9.8分）攻擊行動，Atlassian也很快就予以修補，但事隔3個月，最近又有駭客看上這項漏洞並將其用於攻擊行動。</p> <p>資安業者趨勢科技指出，他們偵測到鎖定此協作平臺的攻擊行動，駭客針對尚未修補漏洞的主機下手，進而濫用Java處理程序竄改環境變數、防火牆政策，然後透過Wget或Curl並搭配PwnKit漏洞（CVE-2021-4034），於受害主機部署挖礦軟體。研究人員認為，駭客很有可能將CVE-2022-26134用於其他攻擊行動，呼籲IT人員應儘速安裝修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://https://thehackernews.com/2022/09/london-police-arrested-17-year-old.html"><span style="color: rgb(0, 0, 0);">攻擊Uber的駭客可能另有其人，有研究人員指出英國警方逮捕的青少年涉嫌發動相關攻擊</span></a></strong></h3> <p>9月23日，英國警方宣布逮捕一名居住於牛津郡的17歲青少年，原因是他涉嫌從事駭客行為，這名青少年涉及兩項電腦不當使用的罪名，並符合兩種無法交保的條件而遭到起訴。</p> <p><a href="https://twitter.com/vxunderground/status/1573294842649911298">根據資安研究團隊VX Underground掌握的資訊</a>，這名青少年就是攻擊車輛共乘媒合平臺Uber、電玩業者Rockstar的駭客。根據Uber的調查，攻擊者的身分是駭客組織Lapsus$，但這名駭客是否為該組織的成員？英國警方並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153244"><span style="color: rgb(0, 0, 0);">澳洲大型電信業者Optus遭駭，逾900萬客戶資料外洩</span></a></strong></h3> <p>澳洲第二大電信業者Optus於9月22日遭到網路攻擊，並表明駭客的目標是該公司客戶資料。根據<a href="https://www.wsj.com/articles/cyberattack-on-optus-potentially-exposes-millions-of-customer-accounts-11663920097">華爾街日報</a>、<a href="https://www.theguardian.com/australia-news/2022/sep/24/optus-cyber-attack-company-opposed-changes-to-privacy-laws-to-give-customers-more-rights-over-their-data">衛報</a>的報導，最嚴重的情況可能是當地所有客戶（約970萬至980萬人）資料遭到外洩。Optus指出，可能外流的資料包括客戶姓名、生日、電話號碼、電子郵件信箱，但密碼與付款資料不受影響，行動網路與家用網路的服務都未遭到波及。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.sophos.com/en-us/security-advisories/sophos-sa-20220923-sfos-rce"><span style="color: rgb(0, 0, 0);">Sophos修補已遭利用的防火牆RCE漏洞</span></a></strong></h3> <p>資安業者Sophos於9月23日發布資安通告，指出旗下的防火牆解決方案存在程式碼注入漏洞CVE-2022-3236，這項漏洞出現在使用者入口網站與網站伺服器管理控制面板（Webadmin），一旦遭到利用攻擊者就能執行遠端程式碼（RCE）。該公司發布18.5 MR5、19.0 MR2，以及19.5 GA版防火牆軟體予以修補，並指出已有部分南亞組織遭到攻擊，他們已通報這些受害組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/microsoft-issues-out-band-patch-flaw-allowing-lateral-movement-ransomware-attacks"><span style="color: rgb(0, 0, 0);">尚未修補的端點裝置管理系統漏洞遭到公開，微軟緊急提供更新程式</span></a></strong></h3> <p>微軟於9月20日，針對端點裝置管理系統Endpoint Configuration Manager（原System Center Configuration Manager，SCCM）發布額外更新KB15498768，主要是修補CVE-2022-37972，CVSS風險評分為7.5分，影響2103至2207版，並表示漏洞細節已經遭到公開，但尚未發現遭到利用的跡象，呼籲用戶要儘速修補。</p> <p>究竟相關的漏洞細節是如何外流？微軟並未進一步說明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/7320/6639973"><span style="color: rgb(0, 0, 0);">中山科學研究院技師下載軍事機密，並在被逮捕前刪除相關資料</span></a></span></strong></p> <p><a href="https://ssu.gov.ua/novyny/sbu-neitralizuvala-khakerske-uhrupovannia-yake-zlamalo-maizhe-30-mln-akauntiv-hromadian-ukrainy-ta-yes"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭警方逮捕竊取3千萬個帳號兜售的駭客組織成員</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-abusing-notepad-plugins-for-evasion-and-persistence"><span style="color: rgb(0, 0, 0);">駭客組織StrongPity濫用開源記事本程式Notepad++的外掛元件來規避偵測</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153218">【2022年9月23日】勒索軟體BlackCat鎖定備份系統竊取資料、存在15年的Python漏洞恐影響35萬個開源專案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153192">【2022年9月22日】駭客以LinkedIn的付費版功能散布惡意連結、勒索軟體LockBit的製作工具遭到外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153164">【2022年9月21日】資安業者Imperva緩解持續長達4小時的大規模DDoS攻擊、駭客鎖定Oracle WebLogic伺服器挖礦</a></strong></strong></strong></p> </div></div></div>
2022/9/26 16:15作者周峻佑https://www.ithome.com.tw/news/153254
Sophos修補已被開採的防火牆漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sophos.com/en-us/security-advisories/sophos-sa-20220923-sfos-rce" target="_blank">資安業者 Sophos上周五（9/23）修補</a>了一個位於 Sophos Firewall中的安全漏洞CVE-2022-3236，這是個遠端程式攻擊漏洞，而且已被實際開採，受害者為東南亞地區的幾個特定組織。</p> <p>此一漏洞存在於Sophos Firewall中的User Portal and Webadmin，這是一個程式碼注入漏洞，允許駭客自遠端執行程式，影響Sophos Firewall 19.0 MR1與之前的版本。Sophos已經直接聯繫了這幾家被駭客鎖定的組織。</p> <p>Sophos表示，該公司已修補了此一漏洞，由於Sophos Firewall的預設為自動安裝修補程式，因此未變更該預設值的客戶不必執行額外的動作，至於其它的暫時性解決方案則是避免User Portal and Webadmin曝露在WAN中，只要關閉WAN存取該服務的能力即可。</p> </div></div></div>
2022/9/26 14:53作者陳曉莉https://www.ithome.com.tw/news/153252
澳洲第二大電信業者Optus遭駭，數百萬客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.optus.com.au/about/media-centre/media-releases/2022/09/optus-notifies-customers-of-cyberattack" target="_blank">澳洲第二大電信業者Optus在9月22日坦承</a>遭到網路攻擊，駭客鎖定的目標是該公司的客戶資料，<a href="https://www.wsj.com/articles/cyberattack-on-optus-potentially-exposes-millions-of-customer-accounts-11663920097?mod=djemalertNEWS" target="_blank">而《華爾街日報》（ Wall Street Journal，WSJ）則報導</a>，最壞的狀況是Optus的980萬名客戶的資料外洩了。</p> <p>Optus為新加坡電信（Singtel）的全資子公司，也是澳洲的第二大電信業者，於澳洲提供行動及家用網路服務。</p> <p>Optus表示，可能外洩的資料包括客戶的姓名、生日、電話號碼、電子郵件帳號，以及部分客戶的地址、駕照號碼或護照號碼，但支付資訊或密碼並未遭到危害。</p> <p>此外，Optus強調駭客的目標為客戶資料，因此不管是行動或家用網路服務都未遭到波及，傳訊及語音服務亦保持完整，並維持正常運作。</p> <p>《華爾街日報》引述Optus高階主管Kelly Bayer Rosmarin的說法指出，最糟的狀況是駭客存取了980萬名客戶的資料，但他們相信真正被存取的資料並沒有那麼多。</p> <p>在察覺被駭客入侵的當下，Optus立即通知了澳洲的網路安全中心、澳洲聯邦警察、澳洲資訊專員辦公室，以及其它相關的主管機關，以共同調查此一駭客事件，並以簡訊與郵件通知用戶，也提醒用戶該公司不會於通知郵件中嵌入超連結，切勿點選訊息中宣稱來自Optus的超連結，並呼籲用戶小心網釣郵件或電話。</p> </div></div></div>
2022/9/26 13:40作者陳曉莉https://www.ithome.com.tw/news/153244
【資安週報】2022年9月19日到9月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周資安新聞中，Uber傳出遭駭事件已證實，駭客於竊得承包商員工帳密後，並在多次嘗試登入之下，導致不斷收到多因素認證通知的員工最終允許；勒索軟體駭客BlackCat近日攻擊手法有新變化，會利用Eamfo惡意程式竊取企業Veeam備份資料中的帳密。</p> <p>在漏洞消息方面，最受關注的是，Python程式語言的Tarfile模組中，依然存在15年前的CVE-2007-4559漏洞，尚未修補，初估有35萬個專案曝險，揭露的資安業者Trellix已提供相關檢測工具Creosote。</p> <p>還有一些資安威脅的趨勢演變值得關注，包括出現長達4個小時的DDoS攻擊，以及Domain Shadowing攻擊的一種DNS劫持攻擊手法，外界普遍難以偵測並開始氾濫。此外，傳出勒索軟體LockBit製作工具流出的消息，若被其他駭客利用，將對防守者帶來更多威脅。</p> <p>對於中國惡意挖角臺灣人才與竊密的情形，最近法務部調查局特別示警，指出自2021年專案偵辦以來，已查獲至少40起惡意挖角與竊取機密的案件。</p> <p>在資安推動上，在國內，本周臺灣資安大會2022於南港展覽館登場，不僅是總統蔡英文連續四年蒞臨，副總統賴清德也首度光臨巡視臺灣資安館及重要臺灣廠商， 8月出任數位發展部部長的唐鳳亦是連兩日參與。</p> <h2 class="rtecenter"><strong>本週重大資安新聞<br /> <a href="https://www.ithome.com.tw/news/153233#uber"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#blackcat"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#python"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#trade_secret"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#CYBERSEC2022"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#president"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#lockbit"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#jpmorgan"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#chrome"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#NPA"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></a></strong></h2> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/uber-hacked-internal-systems-breached-and-vulnerability-reports-stolen/" id="uber" name="uber" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">將帳密寫死在指令碼釀新禍！有駭客透過網釣取得這類資訊而滲透Uber的特權管理系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fcvh_tEXkAMsCN4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fcvh_tEXkAMsCN4.jpg" style="width: 300px; float: right;" /></a>車輛共乘媒合平臺Uber傳出在9月15日遭到網路攻擊，年僅18歲的駭客向媒體、資安人員表示，他先針對該公司員工進行社交工程攻擊，竊得相關帳密後存取Uber的內部網路環境。</p> <p>這名駭客聲稱能夠存取該公司的AWS控制臺、VMware ESXi的虛擬機器，Google Workspace的管理儀表板等，駭客還在Uber所屬的Slack頻道上向該公司員工表示，Uber已經遭到入侵，結果許多員工以為是開玩笑而不予理會，一名員工透露IT部門要求他們暫時停止使用Slack；此外，員工上網似乎都會被導向色情網站。</p> <p>隔日，Uber證實遭到入侵，但強調他們旗下的服務皆不受影響。研究人員Corben Leo表示，駭客是假冒Uber的IT人員向員工進行攻擊，得逞後通過VPN存取該公司內部環境，找到PowerShell指令碼並挖掘出特權管理系統Thycotic的管理員帳號，進而取得該公司各式系統帳號。根據紐約時報的報導，駭客疑似存取了Uber的資料庫與原始碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/uber-links-breach-to-lapsus-group-blames-contractor-for-hack/"><span style="color: rgb(0, 0, 0);">Uber指控遭駭事故疑為駭客組織Lapsus$所為，承包商的帳號遭冒用</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/153130#uber">車輛共乘媒合平臺Uber上週末傳出遭駭</a>，經過調查後，該公司於9月19日指稱，攻擊者就是駭客組織Lapsus$，這些駭客竊得承包商員工的帳密而得逞。Uber指出，此起事故是1名承包商人員的個人裝置感染了惡意程式，導致帳密外流，駭客利用多因素驗證轟炸的手法，使得該名員工最後放行，讓駭客能入侵Uber。</p> <p>隨後，這些駭客存取了多名員工的帳號，進而得到Google Workspace、Slack的管理員權限，同時重新設定Uber的OpenDNS組態，從而導致該公司員工上網被導向色情圖片，就連存取內部網站也無法倖免。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/noberus-blackcat-ransomware-ttps" id="blackcat" name="blackcat"><span style="color: rgb(0, 0, 0);">備份資料成為駭客竊取使用者帳密的新目標，勒索軟體BlackCat鎖定Veeam備份軟體竊取資料</span></a></strong></h3> <p>資安業者賽門鐵克指出，今年8月勒索軟體駭客BlackCat所使用的攻擊工具，針對雙重勒索的做法上出現變化。該組織使用的資料外洩模組Exmatter，限縮只針對17種格式的檔案下手，並具備破壞檔案的能力；再者，這些駭客也採用名為Eamfo的惡意程式，來竊取Veeam備份資料裡面的帳密。</p> <p>研究人員指出，駭客為了避免防毒軟體干擾攻擊行動，他們將Exmatter的程式碼重新改寫，而能躲過偵測；同時，駭客也運用名為GMER的Rootkit掃描工具刪除特定的處理程序。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153206" id="jpmorgan" name="jpmorgan"><span style="color: rgb(0, 0, 0);">摩根史坦利廢棄硬碟與伺服器洩露客戶資料，遭罰3,500萬美元</span></a></strong></h3> <p>摩根史坦利旗下部門因報銷公司的舊資料系統不當，導致高達近1,500萬名客戶資料曝險，主管機關美國證券交易委員會（SEC）將祭出3,500萬美元罰款。</p> <p>本案源於2015年該公司關閉財富管理部門MSSB時，未能妥善處理包含客戶重要個資的系統。當時他們聘請不具資料銷毀能力的清運公司，來處理報銷的數千個硬碟和伺服器，卻沒有監督此清運業者的執行過程，使得上述存放客戶個資的設備遭到轉賣，相關資料也隨之曝險。MSSB並未證實上述的調查結果，但將會向支付SEC罰款。</p> <h3><strong style="font-size: 22px;"><a href="https://www.otto-js.com/news/article/chrome-and-edge-enhanced-spellcheck-features-expose-pii-even-your-passwords"><span style="color: rgb(0, 0, 0);">瀏覽器拼字檢查功能未將密碼排除在外，而導致密碼上傳到Google與微軟</span></a></strong></h3> <p>專精JavaScript安全的資安業者otto提出警告，用戶若是啟用網頁瀏覽器Chrome的進階拼字檢查（Enhanced Spellcheck）功能，以及Edge的拼寫檢查元件Microsoft Editor，瀏覽器就有可能將網站表單裡輸入的資料傳送給Google或是微軟，假如是密碼欄位，且使用者點選了「顯示密碼」按鈕，就會將密碼傳送出去。</p> <p>研究人員指出，這是兩家公司為了改善翻譯結果，將使用者輸入的資料回傳到伺服器進行分析，但這樣的機制也會回傳用戶點選明文顯示的密碼，他們將這種威脅稱為「拼字劫持（Spell-Jacking）」，並挑選超過50個網站進行測試，結果高達96.7%的網站，都會把使用者輸入的資料傳送給Google或微軟，也有73%會送出密碼，而約有20％網站不會送出密碼的原因，則是因為沒有提供顯示密碼的功能。</p> <p>該公司呼籲網站管理者，應在特定欄位加上關閉拼字檢查的指令，來因應瀏覽器拼字檢查功能將用戶資料回傳到Google或微軟的情況。Google、微軟並未針對此事做出回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/asoc/202209160249.aspx" id="trade_secret" name="trade_secret"><span style="color: rgb(0, 0, 0);">中國企業挖角臺灣高科技產業、竊密，1年查獲40起</span></a></strong></h3> <p>法務部調查局於9月16日指出，自民國110年專案偵辦中國對臺灣人才挖角的情況，他們查獲至少40起惡意挖角與竊取機密的案件。</p> <p>經分析發現，中國企業往往轉由第三地地區投資公司的名義，刻意掩飾身分或資金來源，再到臺灣從事惡意挖角與竊密，這樣的情況，顯示這些不法行為並非僅是單純的經濟競爭，而有可能危及國家安全。調查局指出，中國企業挖角的目標多為臺灣的IC設計人才，他們將持續偵辦相關案件，來確保臺灣高科技產業的發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.imperva.com/blog/record-25-3-billion-request-multiplexing-attack-mitigated-by-imperva/"><span style="color: rgb(0, 0, 0);">DDoS不只規模大、還可能持續數小時之久而產生暴量存取請求！資安業者Imperva揭露已出現持續長達4小時的攻擊</span></a></strong></h3> <p>過往的DDoS攻擊多半是瞬間出現大量請求或是請求，但現在也有長時間的攻擊行動。資安業者Imperva於6月27日緩解鎖定中國電信業者的攻擊行動，駭客透過17萬個裝置製造請求，但值得留意的是，雖然此起事故的最大瞬間流量為每秒390萬次請求（RPS），不若Cloudflare同月公布的事故達到2,600萬次RPS高峰，此起攻擊行動卻持續了長達4個小時，該公司總共攔截253億次請求（平均頻率為180萬次RPS）。</p> <p>研究人員表示，這種長時間攻擊的手法相當少見，考量到攻擊的成本，超過1個小時的攻擊行動只占十分之一，4個小時的DDoS攻擊幾乎可說是鮮少發生。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/domain-shadowing/"><span style="color: rgb(0, 0, 0);">研究人員找到1.2萬個遭駭客濫用的影子網域</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，影子網域攻擊（Domain Shadowing）近期變得相當氾濫，在今年4月至6月，他們就偵測到12,197個被用於此種攻擊的網域，研究人員表示，這種網域相當難以識別，在VirusTotal裡，上述的1.2萬個網域僅有200個被視為帶有攻擊意圖。</p> <p>影子網域攻擊是DNS挾持（DNS Hijacking）的其中一種手法，駭客破壞合法網域的DNS伺服器，進而代管自己的子網域，並將子網域用於攻擊，從而濫用遭駭網域的良好聲譽，使得駭客設置的惡意網站能繞過資安系統的檢查。研究人員呼籲用戶在填寫帳密時必須提高警覺，切勿因為防毒軟體或是瀏覽器沒有將網站表示有害就掉以輕心。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-builder-leaked-online-by-angry-developer-/" id="lockbit" name="lockbit" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit的製作工具遭到該集團的開發者流出</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/builder.jpg" style="width: 300px; float: right;" /></a>資安研究團隊3xp0rt、VX-Underground指出，有人在推特上散布勒索軟體LockBit 3.0（LockBit Black）的產生器，資安新聞網站Bleeping Computer取得此勒索軟體產生器，並向多名研究人員確認，證實確實是此駭客組織所持有的檔案。VX-Underground和駭客組織LockBit取得聯繫，對方聲稱是對組織心懷不滿的開發者所洩露，原因是不滿該組織的高層。</p> <p>但無論流出的管道為何，這些檔案很可能被其他駭客利用，對防守者帶來更大的威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><span style="color: rgb(0, 0, 0);">密碼管理解決方案業者LastPass針對8月遭駭透露更多調查結果</span></a></strong></h3> <p>密碼管理解決方案業者LastPass遭到入侵，駭客盜走部分程式碼與獨家技術資料，現在該公司揭露進一步的分析結果。</p> <p>LastPass於9月15日指出，駭客發動攻擊的過程共有4天，且在成功通過多因素驗證流程後冒充該公司的開發人員。經過分析原始碼與檢查正式版軟體，LastPass表示並未找到被駭客注入惡意程式碼的跡象。關於原始碼沒有遭竄改，該公司認為，主要是開發環境與正式環境採取實體隔離的措施，使得正式環境得以保全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-york-ambulance-service-discloses-data-breach-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">紐約救護車業者證實遭到攻擊，疑勒索軟體Hive所為</span></a></strong></h3> <p>根據資安新聞網站Bleeping Computer的報導，美國紐約救護車業者Empress EMS通知客戶，他們在7月14日遭到勒索軟體攻擊，駭客於5月26日入侵該公司的內部網路環境，然後在加密檔案的前一天外洩部分資料，當中含有病人姓名、服務日期，以及保險資料等。該公司向美國衛生與公共服務部通報，有318,558人受到影響。</p> <p>至於攻擊者的身分，勒索軟體駭客組織Hive在7月底聲稱是他們所為，資安新聞網站DataBreaches上週末揭露了更多與該組織有關的資訊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/american-airlines-discloses-data-breach-after-employee-email-compromise/"><span style="color: rgb(0, 0, 0);">美國航空員工電子郵件帳號遭駭，旅客資料外洩</span></a></strong></h3> <p>9月16日，美國航空（American Airlines）通知客戶，駭客入侵部分員工的電子郵件帳號，進而存取旅客的個人資訊，包括姓名、生日、住家地址、電話號碼、電子郵件位址、駕照號碼、護照號碼，以及特定醫療訊息，目前並無證據顯示上述個資遭到濫用。</p> <p>該公司向資安新聞網站Bleeping Computer透露，駭客透過網釣攻擊盜取員工的電子郵件帳號，郵件裡含有少數員工與旅客的資訊。究竟有多少旅客受到影響？該公司並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=136ed025-eddf-46f3-a839-506100ed5e8b" id="NPA" name="NPA" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">刑事局破獲國內首宗詐騙釣魚網站及攔截簡訊系統開發商，逮捕參與境外詐騙的工程師及共犯</span></a></strong></h3> <p>內政部警政署刑事警察局在9月18日破獲國內首宗詐騙釣魚網站及攔截簡訊系統開發商，查扣偽冒政府機關App的惡意程式原始碼，並在2021年8月與2022年6月，逮捕陳姓工程師、巫姓主嫌及3名共犯，扣押13,512顆泰達幣（USDT），約相當於新臺幣42萬元。</p> <p>這次事件之所以浮上檯面，主要是因為刑事局印尼聯絡組接獲資安業者網路安全調查報告，而發現侵害泰國、中國、越南等惡意釣魚網站的散布來源是臺灣，後續由駐美西、泰國聯絡官協助追查而破獲，而這也是我國打擊網路犯罪在國際交流合作上的重大突破。</p> <h3><strong style="font-size: 22px;"><a href="https://cofense.com/blog/threat-actors-abuse-linkedin-slink-to-bypass-secure-email-gateways"><span style="color: rgb(0, 0, 0);">駭客以LinkedIn的付費版功能散布惡意連結，藉此規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LinkedIn-Smart-Link-phishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LinkedIn-Smart-Link-phishing.png" style="width: 300px; float: right;" /></a>社群網站提供企業用戶來追蹤客戶的URL分享功能，也成為駭客用來規避偵測的攻擊工具！資安業者Confense發現有人利用LinkedIn提供的Smart Link功能來發動釣魚郵件攻擊，假冒斯洛伐克郵政公司的名義，通知收件人需要支付寄送包裏的費用。一旦收信人依照指示點選連結，就會被引導到釣魚網站，要求刷卡付費，藉此騙取受害者的信用卡資料。</p> <p>Smart Link為付費版LinkedIn帳號的功能，主要是提供使用者分享廣告連結，並追蹤其成效，但駭客濫用之後，不只能繞過郵件安全系統的防護，還能確認攻擊是否有效，進而調整攻擊手法。研究人員警告，濫用此種URL成效追蹤服務的攻擊日後可能會變得相當氾濫，呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://auth0.com/blog/top-insights-from-our-2022-state-of-secure-identity-report/"><span style="color: rgb(0, 0, 0);">帳號填充攻擊流量占所有登入行為的三分之一</span></a></strong></h3> <p>身分驗證管理解決方案業者Okta針對今年第一季的身分安全態勢提出他們的觀察，當中特別提及帳號填充（Credential Stuffing）攻擊變得更加氾濫，在該公司處理的登入請求中，有34%驗證請求流量是這種攻擊，達到了100億次的記錄。換言之，平均每3次嘗試登入的行為就有一次是帳號填充攻擊。</p> <p>研究人員指出，由於攻擊者往往會在很短的時間裡，集中嘗試大量帳密組合，遭到鎖定的系統很可能會承受10倍負載，進而影響一般使用者。該公司呼籲組織不只要使用多因素驗證，還應該採取主動查核的機制來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/threat-analysis-malicious-npm-package-mimicks-material-tailwind-css-tool"><span style="color: rgb(0, 0, 0);">出現命名模仿特定CSS框架的冒牌NPM套件，夾帶指令碼以散布惡意軟體</span></a></strong></h3> <p>資安業者ReversingLabs發現惡意NPM套件material-tailwindcss，這個套件約自9月15日出現，一旦受害者將其安裝到開發環境，電腦就會下載以密碼保護的ZIP檔案，內容是能夠執行PowerShell指令碼的可執行檔，目前已被下載320次。</p> <p>這個套件的名稱，是模仿名為Material Tailwind的CSS框架，而很有可能讓開發者上當。為了避免研究人員分析，駭客還在指令碼內加入休眠的機制，並在執行時先檢查能否連線到Google.com等合法網域。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/i/a-post-exploitation-look-at-coinminers-abusing-weblogic-vulnerab.html"><span style="color: rgb(0, 0, 0);">駭客鎖定Oracle WebLogic伺服器來發動挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_A Post-exploitation Look at Coinminers Abusing WebLogic Vulnerabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_A%20Post-exploitation%20Look%20at%20Coinminers%20Abusing%20WebLogic%20Vulnerabilities.png" style="width: 300px; float: right;" /></a>趨勢科技發現，使用惡意軟體Kinsing的駭客，利用CVE-2020-14882與CVE-2020-14883，攻擊尚未修補的Oracle WebLogic伺服器，然後透過Java處理程序竄改防火牆政策，甚至將其停用，然後也停用SELinux防護機制，並偵測及封鎖阿里雲、百度、騰訊雲（QCloud）的代理程式，最終使用Wget下載Kinsing來進行挖礦。附帶一提，為了能長期在受害伺服器上運作，駭客還以crontab建立下載指令碼排的工作排程。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-steal-162-million-from-wintermute-crypto-market-maker/"><span style="color: rgb(0, 0, 0);">加密貨幣造市商Wintermute遭竊1.62億美元</span></a></strong></h3> <p>加密貨幣造市商Wintermute於9月20日證實遭到入侵，使得他們在去中心化金融（DeFi）業務損失1.62億美元。該公司表示，他們願意將這起事故當作白帽事件（意即不打算追究法律責任）來處理，希望駭客能和他們聯繫。</p> <p>雖然損失慘重，但Wintermute強調，集中金融（CeFi）與場外交易（OTC）等業務不受影響，且該公司仍有能力提供貸款。而究竟Wintermute如何遭駭？研究人員認為，駭客很可能利用以太坊虛擬網址產生器Profanity的弱點入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/MsftSecIntel/status/1570911625841983489"><span style="color: rgb(0, 0, 0);">駭客組織DEV-0796發起點擊詐騙活動，濫用受害電腦來賺取廣告利潤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fcz_zHIX0AEczh2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fcz_zHIX0AEczh2.jpg" style="width: 300px; float: right;" /></a>微軟安全情資中心發現攻擊範圍極為廣泛的點擊詐騙（Click Fraud）行動，駭客組織DEV-0796透過惡意廣告或是在YouTube影片留言散布惡意連結，引誘受害者下載ISO或DMG檔案，進而在瀏覽器暗中植入惡意套件，或是NW.js（原node -webkit），最終將這些電腦用於點擊詐騙，駭客從而賺得廣告收入。值得留意的是，不論是執行Windows或macOS作業系統的電腦，都有可能受害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hacker-sells-stolen-starbucks-data-of-219-000-singapore-customers/"><span style="color: rgb(0, 0, 0);">星巴克22萬新加坡客戶資料流入暗網</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/starbucks-hacking-forum-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/starbucks-hacking-forum-post.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，知名連鎖咖啡店星巴克的新加坡客戶資料流入暗網，駭客於9月10日在地下論壇聲稱竊得219,675筆資料，內含客戶的姓名、性別、出生日期、行動電話號碼、電子郵件信箱、居住地址，這些受影響人士的身分，主要是星巴克行動裝置App的用戶，上述資料駭客求售3,500美元。</p> <p>新加坡新聞媒體海峽時報（The Straits Times）指出，當地星巴克已經向受影響的客戶發出通知，並呼籲所有的客戶最好重設密碼來避免帳號遭到濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bbc.com/news/technology-62937678"><span style="color: rgb(0, 0, 0);">越南駭客聲稱取得飯店集團IHG的密碼庫存取權限，並破壞資料</span></a></strong></h3> <p>洲際飯店集團（InterContinental Hotels Group，IHG）遭到網路攻擊．現在有人聲稱是發動攻擊的駭客，並向媒體表示破壞IHG資料只是因為好玩，也展示與之相關的螢幕截圖，且獲得IHG證實。</p> <p>根據英國廣播公司（BBC）的報導，有自稱是TeaPea的越南駭客透過加密通訊軟體Telegram表示，這起事故是他們所為，先是鎖定員工發動釣魚郵件攻擊並於電腦植入惡意軟體，進而入侵IHG網路環境，並存取密碼資料庫，接著先後發動勒索軟體攻擊、資料破壞軟體（Wiper）攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/blog/dprk-whatsapp-phishing"><span style="color: rgb(0, 0, 0);">北韓駭客透過即時通訊軟體WhatsApp，針對媒體散布惡意版PuTTY</span></a></strong></h3> <p>資安業者Mandiant揭露北韓駭客UNC4034的攻擊行動，駭客以提供Amazon職缺為由，透過即時通訊軟體WhatsApp向媒體公司的員工進行聯繫，然後傳送ISO檔案amazon_assessment.iso，其內容包含了被植入木馬程式的SSH連線軟體PuTTY。</p> <p>駭客疑似要求受害者透過上述SSH連線工具進行操作，然後在受害電腦部署名為Daveshell的惡意Shell Code，並於記憶體內執行，最終植入後門程式Airdry.v2。由於上述木馬化的PuTTY具備原始版本的所有功能，而使得受害者難以察覺異狀，研究人員呼籲使用者應檢查該程式是否具有合法簽章。</p> <h3><strong style="font-size: 13px;"> </strong></h3> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html" id="python" name="python"><span style="color: rgb(0, 0, 0);">存在15年的Python漏洞恐影響35萬個開源專案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/python-tarfile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/python-tarfile.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix提出警告，程式語言Python的Tarfile模組裡存在CVE-2007-4559，此為目錄遍歷（Directory Traversal）漏洞，已存在長達15年，當時認為CVSS風險評分僅有6.8分而沒有得到修補。</p> <p>但研究人員指出，攻擊者很容易利用此漏洞來執行任意程式，甚至是控制受害裝置。研究人員初步挑選257個專案進行調查，結果約有6成存在相關漏洞，所有使用Tarfile的開源專案有588,840個，粗估有逾35萬個專案曝險。該公司提供能檢測此漏洞的程式碼Creosote，供專案團隊確認是否受到影響。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-in-chromium-bypassed-sanitizer-api" id="chrome" name="chrome"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器傳出原型污染漏洞，恐導致特定防護API被繞過</span></a></strong></h3> <p>資安研究員Michał Bentkowski發現，Chormium專案的程式碼裡存在原型污染（Prototype Pollution）漏洞，而有機會讓攻擊者繞過名為Sanitizer的API。這個API是內建於此瀏覽器的程式庫，用途是在使用者控制的輸入來源中，移除潛在的惡意程式碼，研究人員指出，此API在8月發布Chrome 105預設啟用，使得此漏洞影響的範圍變得相當廣。</p> <p>該名研究員以特製的SVG圖檔來進行概念性驗證，一旦瀏覽器載入此圖檔物件，就會執行研究人員的JavaScript程式碼。此漏洞在研究人員揭露後引起Chromium社群的熱烈討論，並探討著手緩解的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://onekey.com/blog/security-advisory-netgear-routers-funjsq-vulnerabilities/"><span style="color: rgb(0, 0, 0);">Netgear路由器存在任意程式碼執行漏洞，與採用的第三方線上遊戲加速模組有關</span></a></strong></h3> <p>資安業者Onekey發現，多款Netgear旗下路由器、Orbi無線網路系統，存在可被用於執行任意程式碼的漏洞CVE-2022-40619、CVE-2022-40620，這些漏洞與上述設備採用的線上遊戲加速模組FunJSQ有關，原因是此模組的更新流程不安全，FunJSQ僅對接收到的更新套件進行雜湊值核對，但更新套件沒有搭配簽章保護，使得攻擊者有可能利用相關弱點在設備的WAN連接埠執行任意程式碼。</p> <p>Netgear獲報後著手修補，並強調沒有其他緩解措施，呼籲用戶應儘速安裝新版韌體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153139" id="president" name="president"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蔡英文總統出席臺灣資安大會，強調做資安不能單打獨鬥，需透過公私聯防與國際合作，並加速完善聯防體系</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/16814932994656.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/16814932994656.jpg" style="width: 300px; float: right;" /></a>【臺灣資安大會直擊】第八屆臺灣資安大會於9月20日～9月22日假南港展覽館二館舉辦，總統蔡英文再度到場致詞，並肯定臺灣資安大會活動的舉行，已經成為亞太地區最具規模、也是實體活動的展會，這已是蔡總統第四度到場，除了一再展現政府與臺灣資安產業攜手做資安的態度，並持續強調聯防的重要性，也強調政府正加速完善聯防體系，同時，8月上任數位發展部部長的唐鳳也現身開幕典禮，並前往臺灣資安館展區觀展</p> <h3><a href="https://www.ithome.com.tw/news/153159" id="CYBERSEC2022" name="CYBERSEC2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣資安大會2022登場，期許資安人員不僅是數位世界的救災人員，更是世界的守護者</span></strong></a></h3> <p>【臺灣資安大會直擊】臺灣資安大會在今日20日舉行，這場為期三天的活動，現場不只進行250場以上的議程與座談，還有多達300以上的國內外資安業者參與，在今日早上大會開幕儀式中，主辦單位臺灣資安大會主席暨iThome總編輯吳其勳表示，駭客攻擊威脅是日益嚴峻，甚至擾亂社會秩序，在資安生態圈扮演各自角色的大家，每一個人，也就是在網路世界守護家園、守護世界</p> <h3><a href="https://www.ithome.com.tw/news/153174"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位部長唐鳳揭露打造堅韌安全的智慧國家的3目標、4大策略</span></strong></a></h3> <p>【臺灣資安大會直擊】在9月21日舉行的CYBERSEC 2022臺灣資安大會第二日活動現場，連續兩天出席、8月底上任數位發展部的唐鳳部長，不僅顯現促進公私協力的積極態度，並於上午致詞時強調，臺灣要推動社會韌性、產業韌性與應變韌性，更要推動全民數位韌性，政府也將會協助各行各業面對各種資安的挑戰。<br /> 此外，原行政院資安處推動的第六期國家資通安全方案（110年至113年），如今數位發展部將接續進行，在這次大會上，唐鳳部長自就任來首公開說明，會透過旗下數位產業署、資通安全署，持續進行四項主要工作，不論是：資安產業發展的吸引全球高階人才，培植自主創新的能量，以及提升關鍵基礎設施韌性、善用前瞻科技主動抵禦，還有提升民間防護能量，期望讓臺灣數位轉型過程資安也同樣跟上</p> <h3><a href="https://www.ithome.com.tw/news/153220"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國際冷熱戰交織，資安漏洞與勒索軟體成為國家級網攻關鍵軍火</span></strong></a></h3> <p>【臺灣資安大會直擊】因俄羅斯攻打烏克蘭，以及美國聯邦眾議院議長裴洛西訪臺引發中國抗議，值此全球新冷戰雙邊對立的局面，TeamT5杜浦數位安全創辦人暨執行長蔡松廷在2022臺灣資安大會上，解析資安漏洞在網路戰扮演的角色，以及勒索軟體攻擊受此情勢影響的狀況，置身於這樣高度危險的環境之下，他認為，掌握威脅情資與強化協同防禦將是能否抵禦威脅的關鍵</p> <h3><a href="https://www.ithome.com.tw/news/153223"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">金融資安行動方案推動2年，金管會提出4大防護要點，並透露下個推動重點聚焦零信任與身分驗證框架</span></strong></a></h3> <p>【臺灣資安大會直擊】確保金融服務不中斷，是我國金融資安行動方案推動上的最重要目標，在2022臺灣資安大會的金融資安論壇上，金管會揭露金融資安行動方案推動現況與未來，不僅是要促僅整體產業強化資安，讓金融業也更安全，受關注的是，對於金融業接下來可望有兩個推動重點，分別是零信任戰略及金融身分驗證框架與標準，同時強調第三方供應商風險監控重要性，並鼓勵業者通過ISO 22301國際持續營運管理標準。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/22/malicious-oauth-applications-used-to-compromise-email-servers-and-spread-spam/"><span style="color: rgb(0, 0, 0);">微軟Exchange伺服器遭植入惡意OAuth應用程式，並被用於散布垃圾郵件</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://sansec.io/research/magento-2-template-attacks"><span style="color: rgb(0, 0, 0);">電商平臺Magento重大漏洞CVE-2022-24086遭到利用，被用於植入木馬程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-high-severity-flaws-business-one-businessobjects-grc"><span style="color: rgb(0, 0, 0);">SAP修補BusinessOne、BusinessObjects、GRC高風險漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-in-chromium-bypassed-sanitizer-api"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器傳出原型污染漏洞，恐導致特定防護API被繞過</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/bitdefender-releases-free-decryptor-for-lockergoga-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Bitdefender提供勒索軟體LockerGoga解密工具</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/advintel-s-state-of-emotet-aka-spmtools-displays-over-million-compromised-machines-through-2022"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet被用於散布勒索軟體BlackCat、Quantum</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hive-ransomware-claims-attack-on-new-york-racing-association/"><span style="color: rgb(0, 0, 0);">紐約賽馬協會傳出遭勒索軟體Hive攻擊</span></a></span></strong></p> <p><a href="https://www.recordedfuture.com/russia-nexus-uac-0113-emulating-telecommunication-providers-in-ukraine"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客組織Sandworm假冒電信業者，向烏克蘭散布惡意軟體</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://cofense.com/blog/credential-phishing-targeting-government-contractors-evolves-over-time"><span style="color: rgb(0, 0, 0);">駭客假冒美國政府機關，鎖定Microsoft 365用戶發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-264a"><span style="color: rgb(0, 0, 0);">針對阿爾巴尼亞政府7月遭駭，美國表示伊朗駭客埋伏長達14個月才動手</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/revolut-hack-exposes-data-of-50-000-users-fuels-new-phishing-wave/"><span style="color: rgb(0, 0, 0);">金融科技業者Revolut資料外洩，5萬客戶受到影響</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/webworm-espionage-rats"><span style="color: rgb(0, 0, 0);">Webworm駭客組織改造舊版木馬程式來發動攻擊</span></a></span></strong></p> <p><a href="https://www.vice.com/en/article/4ax459/pro-ukraine-hacktivists-claim-to-have-hacked-notorious-russian-mercenary-group"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭IT軍隊聲稱入侵俄羅斯傭兵集團</span></span></strong></a></p> <p><a href="https://thehackernews.com/2022/09/malicious-npm-package-caught-mimicking.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織匿名者癱瘓伊朗政府網站，目的是抗議警方對婦女執法過當</span></span></strong></a></p> <h3><strong><span style="font-size: 20px;"><a href="https://arstechnica.com/information-technology/2022/09/twitter-pranksters-derail-gpt-3-bot-with-newly-discovered-prompt-injection-hack"><span style="color: rgb(0, 0, 0);">GPT-3推特機器人存在即時注入漏洞而被迫關閉</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/ares-banking-trojan-learns-old-tricks-adds-defunct-qakbot-dga"><span style="color: rgb(0, 0, 0);">金融木馬Ares利用與QBot相同的DGA手法攻擊墨西哥</span></a></span></strong></p> <p><a href="https://blog.aquasec.com/new-malware-in-the-cloud-by-teamtnt"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體TeamTNT劫持伺服器進行挖礦，企圖破解比特幣的加密演算法</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gta-6-source-code-and-videos-leaked-after-rockstar-games-hack/"><span style="color: rgb(0, 0, 0);">電玩業者Rockstar遭駭，駭客聲稱竊得測試版遊戲的影片與原始碼</span></a></span></strong></p> <p class="rtecenter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/153233"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E9%87%8D%E5%A4%A7%E8%B3%87%E5%AE%89%E6%96%B0%E8%81%9E.png" style="width: 600px;" /></a></span></span></strong></p> </div></div></div>
2022/9/26 11:54作者羅正漢https://www.ithome.com.tw/news/153233