iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

Cloud周報第160期：台灣大車隊邁向永續運輸轉型大力擁抱公雲，關鍵核心叫車App服務也將分階段上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/10～11/16）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台灣大車隊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續運輸 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>台灣大車隊擁抱公雲邁向永續運輸轉型，不只積極發展綠色IT，關鍵核心叫車App服務也將分階段上雲</strong></span></strong></p> <p>台灣大車隊近幾年開始借重公雲，將更多服務上雲，甚至也把上雲視為公司邁向永續運輸服務轉型的重要一環。台灣大車隊執行長林念臻日前在一場活動上揭露自家永續運輸的淨零碳排短中長期三階段發展策略。</p> <p>台灣大車隊從2020年展開第一階段轉型，開始運用GCP雲端AI、ML工具建立叫車熱點預測模型，這個階段不只降低空車率，也因為減省油耗降低每輛車碳排放多達數千磅。接下來，台灣大車隊今年計畫用3年發展綠色IT，林念臻也舉例，當55688的叫車App發展成超級App後，今年開始把該App的新服務和資料分階段上雲，藉此降低資料中心的使用能耗，來幫助這家公司建構零碳排資料中心來達到快速減碳。</p> <p>長遠來看，台灣大車隊更希望在2030年透過混合多雲策略，結合更多雲端合作夥伴協同合作減碳，以達到建立永續運輸生態圈的目標。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 北醫大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲架構 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>北醫大靠導入混合雲平臺Anthos打造雲地混合資料運算中心，更採微服務架構進行體系IT再造工程</strong></span></strong></p> <p>臺北醫學大學近日在一場活動上透露自身數位轉型三階段進展，包括導入混合雲架構、建立數位化標準以及發展智慧創新服務，藉此改善使用者體驗、加速創新以及提供更有效率的維運管理。</p> <p>在基礎設施改造部分，臺北醫學大學資訊長張資昊表示，北醫大去年開始於資訊機房內部署Google Cloud混合雲平臺Anthos，來支援資源重整與再造，目前該平臺正在測試中，希望打造一個雲地混合資料運算中心，一來提供資料雲地備分；二來透過資料在地、服務在雲的架構來部署新服務，確保以後服務上雲，資料仍可保留在醫院端，未來更要建構以校為核心，來發展適用北醫體系的智慧雲機房。</p> <p>由於北醫大體系是由一校6院組成，張資昊表示，研究、教學及行政服務等相關資訊系統因應上雲需求正在進行再造，改採微服務架構設計，來支援IT的敏捷開發。另外在創新服務應用上，未來將會結合大數據及AI優化醫院、跨院及校內服務等。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雙11 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里巴巴 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>迎戰雙11！阿里巴巴旗下天貓商城全上雲，更靠阿里雲自研Apsara分散式雲端運算平臺支撐爆量交易需求</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4).png" style="width: 600px; height: 263px;" /></p> <p>今年雙11購物節，阿里巴巴一反常態沒有大肆慶祝，甚至也不如以往公開旗下天貓商城銷售成績，僅透露表現和去年持平，去年該公司雙11銷售額達5,403億元人民幣。</p> <p>雖說今年沒有揭露太多銷售業績，但是根據官方數據，今年雙11促銷活動共29萬個品牌店家參加，多達7,000種商品品項，活動開始4個小時內就有逾一百家店成交1億元人民幣。去年天貓雙11線上服務開始全面上雲，阿里巴巴表示，今年雙11已是100%上雲，來因應爆量的線上購物與交易需求。該公司表示，透過使用雲端架構，不只單位運算成本下降8%，今年也大幅提高綠能使用占比，來降低阿里雲資料中心的能耗。</p> <p>為因應雙11購物人潮，阿里雲今年首度採用自研的Apsara分散式雲端運算平臺支撐天貓雙11活動，並通過升級資料中心的運算、儲存和網路等基礎設施，來提升線上下單、網路支付的速度，同時加快退款流程。並導入無伺服器（Serverless）架構，來架設淘寶首頁網站和應用。</p> <p>商品選完後進到購物車結帳，阿里巴巴使用阿里雲雲原生資料庫，加大消費者虛擬購物車容量，從以往120件提高到現在最多300件商品結帳。其他還採用企業雲端記憶體內資料庫服務ApsaraDB for Redis，來提供快速產品分類和篩選功能，使消費者可以根據自身喜好來組合購物車內的商品，或是可利用自訂功能來取得跨店折扣、預購商品，或是優惠卷等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子醫療記錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Epic </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Google Cloud 與全美最大醫療記錄軟體商Epic簽署協議，要讓3億名病人電子醫療記錄都能搬上雲</strong></span></strong></p> <p>最近Google Cloud大動作宣布與美國私人醫療保健軟體公司Epic Systems完成簽署協議，所有採用 Epic服務的美國醫療機構未來從Google Cloud公雲上就能使用Epic軟體執行相關醫療工作，不一定需要透過本地端來執行。</p> <p>以提供醫療保健軟體產品為主的Epic Systems，可說是美國最大醫療紀錄軟體商，據Epic稱，目前使用其Epic軟體的醫院擁有美國78％患者的電子醫療記錄，至今全美更有逾3億人的電子醫療記錄都是儲存在Epic中。</p> <p>兩家合作後，Google Cloud 表示，醫院之後可以將各自使用的Epic軟體搬上雲端來執行，除了提高作業效率與安全性，未來也能搭配使用Google Cloud雲端工具做運用，如透過這些數據建立具有對話能力的AI虛擬化身，來改善現有照護流程等。目前已有像Hackensack Meridian Health等醫療保健組織計畫採用。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 轉型上雲</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雷諾汽車 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>法國車廠雷諾為發展軟體化汽車加快服務創新而大步邁向雲端轉型</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(10).png" style="width: 600px; height: 288px;" /></p> <p>法國車廠雷諾近日宣布將加速集團轉型上雲，以便協助車廠將傳統硬體為主的汽車開發，轉變為軟體定義汽車（Software-Defined Vehicle,SDV）新型開發模式，藉此提供更靈活的開發彈性與創新服務。</p> <p>早從2018年，雷諾就已經把上雲當作是集團轉型的重要戰略，更找上Google Cloud合作陸續將內部應用開始搬上雲，近日雙方宣布擴大合作關係，雷諾未來汽車設計和售後升級更新交付服務也將一併上雲。</p> <p>雷諾旗下品牌，包括Renault、Dacia、Alpine和Mobilize。雙方合作將利用車內Android的軟體建構SDV平臺，而在雲端則建立具備AI功能的汽車數位分身（Digital Twin），可方便將新服務持續更新到汽車上，以及建立新的車上（onboard）及車外（ooard）應用程式，藉此降低成本、提高作業效率及開發速度。雷諾最終更要將所有營運系統搬上雲端，加速推動集團轉型。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HPC運算 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟發表搭載第四代AMD EPYC的高效能運算用Azure HX與HBv4 VM，能提供高達96個運算核心</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(11).png" style="width: 600px; height: 423px;" /></p> <p>微軟Azure更新自家VM服務，新增兩款HPC專用的虛擬機器類型Azure HX與HBv4 VM，皆採用第四代AMD EPYC處理器，可以提供高達96個核心，以及800 GB/s的DDR5記憶體頻寬。兩款VM皆提供5種規格尺寸，效能最高的虛擬機最多可提供176個實體CPU核心與688GB記憶體容量。</p> <p>從整體效能來看，HBv4 VM較前一代HBv3提升至少2倍，能應付更複雜HPC運算任務。另一款HX VM配置的記憶體大小也較前一代增加3倍，每核心配置記憶體達近60 GB 。</p> <p>HBv4和HX也是Azure第一個採用Nvidia Quantum-2 InfiniBand高速網路互連技術的虛擬機器，可以提供高達400 Gb/s 的資料傳輸能力。兩款新VM將先在美東推出，之後陸續推向其他地區。</p> <p> </p> <p><strong><strong>圖片來源／雷諾汽車、Azure</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.Synergy Research Group最新調查顯示三大公雲在美國雲端服務市場市占率合計達76%</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.傳Amazon計畫裁減語音助理Alexa、零售和人力資源部門在內等一萬名員工</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.緯創為加速集團轉型積極擁抱雲端，連關鍵業務核心ERP系統也將全面上雲</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>4.Amazon發表Amazon Clinic遠距醫療平臺，將於美32州提供服務</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年11月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/11/18 11:39作者余至浩https://www.ithome.com.tw/news/154289
Android版DuckDuckGo瀏覽器新增程式追蹤保護功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋暨瀏覽器業者<a href="https://spreadprivacy.com/app-tracking-protection-open-beta/" target="_blank">DuckDuckGo本周更新了Android版程式</a>，在最新的DuckDuckGo Privacy Browser 5.143.1中新增程式追蹤保護功能，可於背景封鎖Android程式所使用的各種追蹤器，<a href="https://github.com/duckduckgo/tracker-blocklists/tree/main/app" target="_blank">同時透過GitHub公布了封鎖名單</a>。</p> <p>DuckDuckGo表示，蘋果iPhone用戶有程式追蹤透明化（App Tracking Transparency）的保護，得以防止程式肆意追蹤使用者，但用戶數遠大於iPhone的Android手機卻缺乏同樣的保護，於是該公司即在新版的DuckDuckGo隱私瀏覽器中新增程式追蹤保護機制（App Tracking Protection），啟用後即可自動封鎖各種Android程式的追蹤器。</p> <p>根據DuckDuckGo的估計，每名Android手機用戶平均安裝了35款程式，而這35款程式每天可能執行1~2,000次的追蹤，並將資料傳送給逾70家不同的追蹤公司。</p> <p>程式所蒐集或追蹤的資料可能涵蓋使用者的名稱、電子郵件帳號、郵政編號、所處城市、坐標、廣告ID、Cookie、所使用的作業系統版本、裝置品牌、時區、裝置儲存空間、記憶體、裝置語言、音量、Wi-Fi網路名稱、電池狀態或裝置亮度等，不管是使用者想像得到或想不到的，都可能被蒐集與追蹤。</p> <p>業者利用這些資料來建立使用者的個人檔案，以執行目標式廣告或遞送特定內容。DuckDuckGo舉例，也許使用者某天在媽媽家待了一陣子之後，就會在手機上看到媽媽所使用的牙膏的廣告。</p> <p>而在使用者啟用App Tracking Protection之後，它便可偵測到程式企圖將資料傳送到第三方的追蹤公司，並在不影響程式運作的情況下，封鎖絕大多數的請求。此外，使用者還可檢視程式所蒐集並企圖傳送的資料。</p> <p>由於App Tracking Protection功能使用本地端的VPN連線，因此只會在裝置上運作，而不會將程式資料傳送至DuckDuckGo或其它伺服器。</p> </div></div></div>
2022/11/18 09:27作者陳曉莉https://www.ithome.com.tw/news/154285
【資安日報】2022年11月17日，公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端關聯式資料庫服務提供的快照功能，有可能會洩露用戶存放的資料！有研究人員發現數百個AWS關聯式資料庫的快照曝露在外，而使得其內容有可能成為駭客濫用的目標。研究人員指出，有些快照甚至曝露了超過一個月。</p> <p>惡意軟體載入器被用於發動攻擊的情況屢見不鮮，最近有名為BatLoader惡意軟體載入器攻擊行動，值得留意的是，駭客也運用了寄生攻擊（LoL）手法，來避免資安系統的偵測。</p> <p>黑色星期五購物季即將到來，有資安業者針對Magento電子商務平臺的用戶提出警告，駭客鎖定今年2月被修補的漏洞發動攻擊，然而，有近4成以Magento 2架設的電子商務網站並未套用修補程式而曝險。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.mitiga.io/blog/how-mitiga-found-pii-in-exposed-amazon-rds-snapshots"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現數百個AWS關聯式資料庫雲服務可能出現資料外洩的狀況</span></strong></a></h3> <p>資安業者Mitiga揭露AWS關聯式資料庫雲端服務Relational Database Service（RDS）當中的快照備份資料有可能洩露，他們自今年9月21日至10月20日，總共找到810個公開的快照，其中有250個曝露長達30天，研究人員指出，這代表相關備份資料很可能已經被管理者遺忘。根據這些曝露的資料性質，攻擊者可竊取以獲得經濟利益，或是用來掌握目標組織的IT環境。</p> <p>研究人員表示，這些資料會曝光的原因，在於AWS提供公開的RDS快照功能，能允許備份整個雲端資料庫環境，且所有AWS帳號都能存取，而使得這類資料成為攻擊者覬覦的目標。</p> <h3><a href="https://www.darkreading.com/attacks-breaches/researchers-alarm-batloader-malware-dropper"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入器BatLoader攻擊行動升溫，並透過寄生攻擊入侵受害電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BatLoader_Picture1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BatLoader_Picture1.png" style="width: 300px; float: right;" /></a>資安業者eSentire、VMware Carbon Black先後針對惡意軟體載入器BatLoader的攻擊行動提出警告，<a href="https://www.esentire.com/blog/batloader-facilitates-fraud-hands-on-keyboard-attacks">eSentire指出，駭客架設冒牌的AnyDesk、Zoom、LogMeIn、TeamViewer等應用程式的下載網站，並透過搜尋引擎最佳化（SEO）廣告來引誘受害者上當</a>。一旦受害者執行從上述網站下載的安裝程式，攻擊者就會透過寄生攻擊（LoL）的手法，下達命令去收集系統資訊，進而下載第二階段酬載──在個人用戶的電腦上，BatLoader會植入銀行木馬Ursnif與竊密軟體Vidar；對於加入網域的電腦，除了植入上述惡意軟體，還會投放Cobalt Strike與遠端管理工具Syncro。</p> <p>而針對這起攻擊行動的受害規模，<a href="https://blogs.vmware.com/security/2022/11/batloader-the-evasive-downloader-malware.html">VMware的MDR服務團隊在90天內已在他們的用戶環境偵測到多次入侵</a>，其中9個受害組織為商業服務業者、7個為金融服務公司、5個為製造業；教育業、零售業、IT業者、醫療保健機構也都出現受害狀況。</p> <h3><a href="https://news.umich.edu/cyber-vulnerability-in-networks-used-by-spacecraft-aircraft-and-energy-generation-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PCspooF漏洞恐影響飛機與太空梭的動力系統運作</span></strong></a></h3> <p>美國密西根大學、賓夕法尼亞大學的資安研究人員與美國太空總署（NASA）聯手，發現能用來針對飛機與太空梭進行通訊的網路進行攻擊的手法PCspooF，此手法是針對這類飛行器具所採用「時間觸發網路（Time-Triggered Ethernet，亦稱TTE或TTEthernet）」而來，研究人員利用惡意設備對TTE路由器進行電磁干擾（EMI），試圖讓TTE設備暫時無法同步訊號長達1秒，進而使得飛機或是太空梭的動力系統失去控制。</p> <p>究竟要如何緩解PCspooF漏洞？研究人員認為，應該採用光電耦合器或突波保護器來避免電磁干擾造成的影響，並對於來源的MAC位址進行驗證等方式，來防堵利用PCspooF漏洞的攻擊手法。</p> <h3><a href="https://sansec.io/research/trojanorder-magento"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Magento電子商務平臺遭到TrojanOrders攻擊行動鎖定</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/trojanorder_attacks_rising_november.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/trojanorder_attacks_rising_november.png" style="width: 300px; float: right;" /></a>資安業者Sansec針對Magento電子商務平臺用戶提出警告，他們偵測到名為TrojanOrders的攻擊行動，駭客鎖定Adobe於2月發布修補程式的漏洞CVE-2022-24086，且至少有7個駭客組織發動相關攻擊並互相競爭，這些攻擊者將惡意JavaScript程式碼注入電商網站，研究人員指出，以Magento 2架設的電商網站當中，約有近4成因尚未安裝修補程式，而成為攻擊目標。由於接下來黑色星期五與聖誕節即將來臨，相關的攻擊行動可能會變得更氾濫。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-320a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構遭伊朗駭客入侵，管道是Log4Shell漏洞</span></strong></a></h3> <p>美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）聯手提出警告，該國的聯邦民眾行政機關（FCEB）於今年的6月中旬至7月中旬，疑似遭到伊朗APT駭客的攻擊，駭客入侵的管道是經由該單位使用的遠距工作平臺VMware Horizon，並利用Log4Shell漏洞，進而在內部網路部署XMRig挖礦軟體。這些駭客還會橫向移動至網域控制器（DC），竊取AD帳密資料，然後利用反向代理軟體Ngrok持續在受害組織環境運作。</p> <p>FBI與CISA表示，假若FCEB機關尚未著手修補VMware Horizon的Log4Shell漏洞，應假設駭客已經入侵內部網路並進行調查。</p> <h3><a href="https://www.foxnews.com/world/pro-russian-hackers-claim-cyber-attack-fbi-website"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦調查局傳出遭到俄羅斯駭客Killnet的DDoS攻擊</span></strong></a></h3> <p>根據美國媒體Fox News的報導，挺俄羅斯（Pro-Russia）駭客組織Killnet於11月14日，聲稱對美國聯邦調查局（FBI）網站發動DDoS攻擊，駭客宣稱是為了捍衛俄羅斯的網路空間而發動攻擊。另一家資安業者Better Cyber發現，FBI的網站一度無法存取，使用者會被引導至另一個網站。FBI向該新聞媒體表示，他們正在監控影響網站可用性的資安威脅，但不願多做評論。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154200"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">偷偷記錄用戶位置歷史資料，Google以近4億美元與美國40州和解</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154188"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">培養校園資安人才的金盾獎，數位部成立後重視力道加深</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154233"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">統領百貨遭遇網路攻擊，部分資訊系統受影響，顧客會員系統停擺兩天</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154104"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【臺灣資安大會直擊】合勤投控資安長游政卿分享6個轉化資安投資的策略</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154210"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google宣布將針對部分Android 13裝置導入隱私沙箱測試版</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154205">【2022年11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154187">【2022年11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</a></strong></strong></strong></p> </div></div></div>
2022/11/17 16:42作者周峻佑https://www.ithome.com.tw/news/154277
Evernote要賣給義大利的行動程式開發商Bending Spoons
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://evernote.com/blog/evernote-next-move-joining-bending-spoons/" target="_blank">2000年於美國創立的筆記與任務管理軟體Evernote周三（11/16）宣布</a>，即將出售給義大利的行動程式開發商Bending Spoons，雙方並未公布交易金額，僅說預計於明年初完成交易。</p> <p>Evernote創立時的概念很容易理解，它打算成為人們在運算裝置上的數位筆記本，它支援Windows、macOS，也有Web版，之後也進駐了Android及iOS版本，在2013年的估值接近10億美元。Evernote提供免費及付費訂閱版，主要是儲存量與功能上的差異，目前它支援25種語言，全球用戶數超過2.5億，每年的經常性收入約為1億美元。</p> <p><a href="https://bendingspoons.com/products" target="_blank">至於Bending Spoons則是2013年才創立的行動程式開發商</a>，旗下產品包括影片編輯程式Splice、照片復原程式Remini與健身程式30 Day Fitness等，也曾替義大利政府打造COVID-19追蹤程式Immuni。</p> <p><a href="https://www.prweb.com/releases/bending_spoons_to_acquire_renowned_productivity_app_evernote_to_enhance_suite_of_consumer_facing_digital_products/prweb19024575.htm" target="_blank">Bending Spoons執行長Luca Ferrari表示</a>，該公司的使命就是替客戶、員工與社會帶來正面的影響，每天全球都有數百萬使用者仰賴Evernote來組織他們的生活，讓Evernote成為非常適合Bending Spoons的產品。Evernote則說，與Bending Spoons的合作將可加速Evernote各個方案的功能改善與交付速度。</p> </div></div></div>
2022/11/17 11:51作者陳曉莉https://www.ithome.com.tw/news/154235
Netflix推出可移除裝置的帳號管理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/giving-members-additional-control-over-their-account-managing-access-and-devices" target="_blank">Netflix本周推出了</a>新的帳號管理功能Managing Access and Devices，可讓使用者透過帳號設定，將不屬於自己的裝置登出。雖然Netflix說明這是為了讓使用者登出之前曾暫時使用的裝置，但外界一面倒地認為這仍是Netflix為打擊帳號分享所作的準備。</p> <p><a href="https://www.ithome.com.tw/news/150505" target="_blank">Netflix在今年4月的財報會議上揭露</a>，該平臺擁有2.22億名付費用戶，但另有超過1億的用戶免費使用其它付費用戶的帳號，為了打擊用戶的帳號分享行為，Netflix持續測試各種新招，包括於螢幕上秀出訊息提醒那些免費用戶、推出更便宜的廣告版服務，或者是讓既有會員額外付費才能分享給未同住的親友。</p> <p>目前並不確定Netflix會在何時正式出手制止帳號分享，<a href="https://www.ithome.com.tw/news/153677" target="_blank">但已於上個月推出個人檔案移轉功能</a>，讓使用者可將帳號中的個人檔案移轉至另一個帳號，這次的Managing Access and Devices則可讓訂閱用戶將不屬於自己的裝置登出。</p> <p>不過，Netflix表示，有些使用者可能會在朋友家，或是旅遊時於旅館登入自己的Netflix帳號，離開時卻忘了登出。而Managing Access and Devices則可讓使用者檢視以自己帳號登入的所有裝置，並把特定裝置登出，該功能支援網頁版、Android版與iOS版的Netflix用戶。</p> </div></div></div>
2022/11/16 16:06作者陳曉莉https://www.ithome.com.tw/news/154218
Google公測健康管理App Health Connect，可整合多種量測、紀錄資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與三星合作可跨不同App整合資訊的Health Connect，本周進入公測階段。</p> <p>Google、三星合作打造Wear OS 3，在這項計畫下，也推動跨Android裝置及健康App的資訊整合於單一管理介面。<a href="https://www.ithome.com.tw/news/150932" target="_blank">今年5月間兩公司宣布共同開發Health Connect健康資訊平臺</a>，旨在讓不同App的健康與健身資訊可以跨Android裝置互通。</p> <p>Health Connect目前已經以Beta版<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.healthdata&hl" target="_blank">在Google Play Store上架</a>，供使用者下載。<a href="https://play.google.com/store/apps/collection/promotion_all__health_connect" target="_blank">根據Google網頁說明</a>，Health Connect可整合40多種資料類型，涵括運動、身體與生理量測數據、營養與睡眠類型。與之相容的健康App包括Google的Fitbit、生理期追蹤Flo、健康與營養追蹤Lifesum、Samsung Health、智慧戒指Oura、健身器材派樂騰（Peloton）MyFitnessPal、減重用的WW（Weight Watchers）及醫療級血糖儀Dexcom等13款App或裝置。</p> <p>在Android手機上，Health Connect可以透過「快速設定」（Quick Settings）功能磚開啟。打開後可以一覽最近讀取哪些App資訊，以及設定可讀寫哪些App。</p> </div></div></div>
2022/11/16 11:13作者林妍溱https://www.ithome.com.tw/news/154209
Google明年初將針對Android 13部署Privacy Sandbox測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/11/preparing-for-android-privacy-sandbox-beta.html" target="_blank">Google本周宣布</a>，將在明年初針對Android 13部署可用來強化使用者隱私的廣告解決方案Privacy Sandbox測試版。</p> <p>先前Google已釋出多個Privacy Sandbox預覽版供開發者測試，測試版的用意在於讓開發者可採取後續的步驟來測試這些新解決方案，而在正式版問世以前，Google將會繼續藉由預覽版來展示各種新功能。</p> <p>與過去最大的不同是，從發布測試版開始，不管是要採用該測試版或未來預覽版的開發者都必須完成帳號登記程序，以使用Android上的各種Privacy Sandbox API，包括主題（Topics）、不與第三方分享資料即可放送自訂廣告的FLEDGE，以及歸因報表（Attribution Reporting）等與廣告有關的API。</p> <p>此一測試版適用於有意願測試相關API的廣告技術與行動程式的開發者，想在自己的Android 13裝置上進行測試的組織，可申請有限數量的裝置進行存取，也必須註冊任何欲利用這些API的行動程式。</p> <p>此外，Google也將針對相關的SDK Runtime展開封閉測試，此一測試必須於生產裝置上進行，<a href="https://forms.gle/CYYfzZZ7gFDKjvVF7" target="_blank">Google亦歡迎有興趣的開發者提出申請</a>。</p> </div></div></div>
2022/11/16 11:43作者陳曉莉https://www.ithome.com.tw/news/154210
Android漏洞可讓攻擊者繞過手機螢幕鎖定保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://bugs.xdavidhu.me/google/2022/11/10/accidental-70k-google-pixel-lock-screen-bypass/" target="_blank">研究人員發現</a>，Android一項漏洞能讓攻擊者不必輸入密碼解鎖螢幕鎖，即可存取手機資料。</p> <p>匈牙利研究人員David Schutz首先在Google Pixel手機發現這項漏洞。編號CVE-2022-20465的漏洞，讓攻擊者能繞過螢幕鎖定防護，不論是指紋、密碼或其他方式，而完整存取手機，如果他能直接接觸到手機的話。他11月初通報該漏洞，Google已在11月5日的Android安全更新予以修補。</p> <p>這個漏洞出現在手機關機後重啟動，SIM卡要求輸入密碼，稱為PIN（Personal identification Number）碼。PIN碼一旦輸入錯誤3次以上，解鎖就會失敗。但用戶還有最後一線生機，即輸入PUK碼（Personal Identification Number Unlock Key，又稱為「個人解鎖碼」）解鎖SIM卡。PUK碼通常印在SIM卡包裝上，也可以透過電信公司的客服支援電話取得。</p> <p>研究人員發現，這時如果攻擊者將手機原來的SIM卡換成自己的，並且按錯3次PIN碼，就會被要求輸入PUK碼。由於SIM卡是攻擊者的，只要輸入正確PUK碼，Google Pixel手機即允許重新設定PIN碼，然後啟動並載入主頁，過程中連Android的螢幕鎖定畫面都未顯示，意謂著攻擊者也不需輸入密碼，即可取得手機完整控制權。</p> <p>Schutz在Google Pixel 6及前一代的Pixel 5手機成功實驗這次破解，但他說其他Android手機也可能受這漏洞影響。</p> <p>研究人員於6月通報這項漏洞，不過Google經過反覆調查，才在10月複製並確認這項漏洞。<a href="https://source.android.com/docs/security/bulletin/2022-11-01" target="_blank">Google並在11月5日的Android更新版中修補這項漏洞</a>。研究人員最後獲得Google頒發7萬美元獎金。</p> </div></div></div>
2022/11/16 10:22作者林妍溱https://www.ithome.com.tw/news/154208
【資安日報】2022年11月15日，中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定該國少數民族進行監控的情況，已有數起攻擊行動傳出，但多數是針對iOS零時差漏洞而來。而最近有資安業者發現針對維吾爾族人的攻擊行動，駭客主要針對安卓手機植入惡意軟體。</p> <p>透過即時通訊軟體散布惡意網址的網釣攻擊行動時有所聞，最近有一起攻擊行動比較特別的地方，是針對中國以外的地區而來。</p> <p>手機的解鎖畫面竟出現可被繞過的漏洞！Google本月修補了CVE-2022-20465，這是在攻擊者能實際接觸手機的情況下，能繞過鎖定畫面存取手機的漏洞，該公司對研究人員發出7萬美元的高額獎勵。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://lookout.com/blog/uyghur-surveillance-campaign-badbazaar-moonshine"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用安卓惡意軟體BadBazaar，鎖定維吾爾人而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/636c0abfc5edd03681f3fa8d_VL2He6Y1lsAW7yDOJTckauQc4E8PZSTJ6jHR-EFghKciv29ZPzyZrJjKDU3tG9ptZNB5d1S1YCe6vNlq6t0O1a__o4_Q42r_gFYqFdpiJ-te-v2yjv0zb--ZLAeHCF74HllgLcD3B44nrHpqUauZallPrSnUEwSjcV2_f0N0on_EjJyNQEWwva0JS0Ka.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/636c0abfc5edd03681f3fa8d_VL2He6Y1lsAW7yDOJTckauQc4E8PZSTJ6jHR-EFghKciv29ZPzyZrJjKDU3tG9ptZNB5d1S1YCe6vNlq6t0O1a__o4_Q42r_gFYqFdpiJ-te-v2yjv0zb--ZLAeHCF74HllgLcD3B44nrHpqUauZallPrSnUEwSjcV2_f0N0on_EjJyNQEWwva0JS0Ka.png" style="width: 300px; float: right;" /></a>資安業者Lookout揭露專門針對中國少數民族的安卓間諜軟體BadBazaar，根據他們的調查，有個中國駭客團體APT15（亦稱Vixen Panda、Nickel）約自2018年，共使用逾111種App，來散布此間諜軟體，目標主要是針對維吾爾人而來，但也有非居住在新疆的穆斯林人受害。</p> <p>研究人員指出，在今年下半，前述的App約有超過7成透過即時通訊軟體的頻道散布。但值得注意的是，駭客除了針對安卓手機，也在蘋果App Store上架同名的App，這些App幾乎沒有攻擊特徵，然而卻會連線到C2中繼站，疑似收集iPhone裝置的基本資訊。此外，本次研究人員也發現惡意軟體Moonshine的新變種，此為曾在2019年追蹤圖博人士的間諜軟體。</p> <h3><a href="https://www.cyjax.com/2022/11/14/fangxiao-a-chinese-threat-actor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大規模網釣活動濫用逾400個品牌，鎖定中國以外地區下手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fangxiao-phishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fangxiao-phishing.png" style="width: 300px; float: right;" /></a>威脅情報業者Cyjax揭露駭客組織Fangxiao的網釣攻擊行動，該組織盜用逾400個知名品牌，透過WhatsApp向受害者傳送URL，將他們引導至釣魚網站，主要目的是牟取廣告費，但研究人員指出，這些網站還充斥詐騙、惡意程式，以及竊取使用者帳密資料的威脅。</p> <p>根據Cyjax的統計，數萬個網域名稱是由89人所登記，這些網釣網站使用的頂級域名，67.41%為.top、14.12%為.cn、7.59%使用.cyou，駭客為了躲避追蹤，一天之內，曾使用逾300個新的網域名稱。而對於駭客的身分，研究人員認為來自中國，攻擊範圍遍及全球各地，但由於中國封鎖WhatsApp的使用，顯然駭客有可能是瞄準中國以外的地區而來。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/whoosh-confirms-data-breach-after-hackers-sell-72m-user-records/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯電動滑板車租賃業者Whoosh證實資料外洩，駭客公布720萬用戶資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/whoosh.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/whoosh.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有人在駭客論壇Breached上兜售資料庫，內容是俄羅斯電動滑板車租賃業者Whoosh客戶的詳細資料，包含了電子郵件信箱、電話號碼、姓名，約有720萬用戶受到影響，賣家聲稱拿到190萬個用戶資料，當中亦包含了信用卡交易記錄，以及300萬個促銷代碼，而且，打算以4,200美元出售給5個買主。</p> <p>Whoosh於14日證實客戶資料外洩，表示內有720萬個用戶編號，以及690萬個電子郵件信箱帳號，但強調不含使用者交易資料等敏感資訊。關於這些外洩資料銷售狀況，根據Bleeping Computer對駭客收款的加密貨幣錢包的觀察，尚未有人購買此資料庫。</p> <h3><a href="https://www.akamai.com/blog/security-research/kmdsbot-the-attack-and-mine-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒KmsdBot挾持受害系統用於挖礦及發動DDoS攻擊</span></strong></a></h3> <p>雲端服務業者Akamai揭露名為KmsdBot的殭屍網路病毒，駭客將其針對多種產業下手，包含遊戲產業、科技業、豪華汽車製造商。此病毒為Go語言開發，能攻擊的電腦架構相當多元，包含x86、Arm、MIPS等，入侵方式主要是透過弱帳密與SSH連線，目的是利用受害電腦挖礦，或是將其用於DDoS攻擊。</p> <p>研究人員指出，該惡意軟體的DDoS攻擊涵蓋網路第4層至第7層，發送大量TCP、UDP、HTTP GET請求，來耗盡目標伺服器的資源。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://unit42.paloaltonetworks.com/openlitespeed-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網頁伺服器軟體OpenLiteSpeed修補重大漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks揭露開源網頁伺服器軟體OpenLiteSpeed重大漏洞CVE-2022-0073、CVE-2022-0074，其CVSS風險層級皆達到了8.8分，前者可被用於遠端執行任意命令（RCE），後者則能將攻擊者的權限提升。研究人員將兩者串連，先利用CVE-2022-0073、以名為nobody的使用者，在目標伺服器下載及執行惡意軟體，然後利用另一個漏洞，藉由環境變數PATH的錯誤配置，以未受信任的搜尋路徑手法取得root的權限。</p> <p>維護該套軟體的廠商LiteSpeed獲報後，於10月4日發布OpenLiteSpeed 1.7.16.1、商用版本LiteSpeed 6.0.12，予以修補。</p> <h3><a href="https://bugs.xdavidhu.me/google/2022/11/10/accidental-70k-google-pixel-lock-screen-bypass/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Android手機解鎖畫面恐被繞過，Google予以修補</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20221115-1644-28725.jpg" style="width: 300px; float: right;" />Google手機Pixel最近被資安研究人員發現，能在某些操作方式之下，繞過手機登入PIN碼的程序而能進入系統當中。根據資安研究人員David Schütz的發現，在已完整修補的Google Pixel 6或Pixel 5手機上，攻擊者只要能夠實際拿到這些手機，就有機會在更換SIM卡的情況下，先刻意輸入3次錯誤的PIN碼，再使用個人解鎖碼（Personal Unblocking Key，PUK）解鎖，就能繞過螢幕鎖定的防護措施，成功存取手機的內容。</p> <p>上述的漏洞為CVE-2022-20465，影響範圍涵蓋執行Android 10至13版作業系統的手機，研究人員於今年6月通報這個情況之後，11月Google發布修補程式，並送出7萬美元獎金。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.securityweek.com/github-introduces-private-vulnerability-reporting-public-repositories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub提供向儲存庫所有者通報漏洞的管道</span></strong></a></h3> <p>近日GitHub宣布提供新功能，讓外界的安全研究人員能通報公開儲存庫漏洞，讓儲存庫所有者、管理者來進行處理。該公司表示，過往研究人員只能透過社群網站，或是私下聯絡管理員的方式來進行，但這些方式漏洞的細節有可能被公開。有了專屬的漏洞通報管道，儲存庫管理者更容易對於漏洞進行管理，亦能藉此與通報者討論如何修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://twcert.informationsecurity.com.tw/2022_annual_meeting.htm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣資安通報應變年會於11月15日舉行</span></span></strong></a></p> <p><a href="https://blackhatmea.com/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2022黑帽大會中東場於11月15日至17日舉行</span></span></strong></a></p> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-228a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對Zimbra郵件系統管理者提出警告，駭客已運用多個重大漏洞發動攻擊</span></span></strong></a></p> <p><a href="https://therecord.media/popular-uk-motor-racing-circuit-investigating-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國賽車場調查勒索軟體Royal攻擊事故</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154187">【2022年11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154158">【2022年11月11日】石油與天然氣流量檢測器弱點修補受關注，APT29入侵歐洲外交機關利用Windows憑證漫遊功能</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154124">【2022年11月10日】 SAP修補BusinessObjects與SAPUI5漏洞、兩大處理器業者修補旗下產品漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/15 18:17作者周峻佑https://www.ithome.com.tw/news/154205
偷偷記錄用戶位置歷史資料，Google以近40億美元與40個州和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.doj.state.or.us/media-home/news-media-releases/largest-ag-consumer-privacy-settlement-in-u-s-history/" target="_blank">美國俄勒岡州檢察長Ellen Rosenblum周一（11/14）宣布</a>，該州及美國其它39州已與Google簽署和解協議，Google因其位置追蹤作法侵犯消費者隱私，同意支付39.15億美元的金額與這40州和解。</p> <p>蒐集消費者的位置資料將讓Google建立使用者的個人檔案，並供應目標式廣告予廣告主，為Google重要的營收來源，Google帳號有兩項有關使用者分享位置資料的設定，一是位置歷史資料（Location History），它的預設值是關閉的，另一個Web & App Activity預設值則是開啟的，也涉及所有Android用戶。</p> <p>Google遭到這些檢察長撻伐的原因是Google一方面透過Location History設定，讓消費者以為他們已關閉了位置追蹤功能，卻未提醒消費者，Web & App Activity也能用來蒐集位置資訊。而且此一誤導消費者的行為自2014年就存在，一直到2018年遭《美聯社》（AP）踢爆，而讓這40個州的檢察長決定展開調查。</p> <p>Rosenblum指出，Google狡猾地讓消費者以為自己已經關閉了位置追蹤功能，但Google卻一直偷偷記錄消費者的行動，並作為廣告之用。</p> <p>Google除了同意支付此一龐大的和解金額之外，也承諾未來只要在牽涉到與位置資料有關的設定時，都會提供更詳細的資訊予使用者，亦不再企圖隱藏對使用者的位置追蹤。</p> <p>此外，<a href="https://blog-google.translate.goog/outreach-initiatives/public-policy/managing-your-location-data/?_x_tr_sl=en&_x_tr_tl=zh-TW&_x_tr_hl=en&_x_tr_pto=wapp" target="_blank">Google也在同一天發表了聲明</a>，宣布將在未來幾個月更新產品及服務，擴大位置資料的透明度，並將資料的控制權歸還使用者。</p> <p>其實在遭到調查的期間，Google已釋出善意，改善了使用者的隱私控制，包括在2019年5月推出<a href="https://www.blog.google/technology/safety-security/automatically-delete-data/" target="_blank">自動刪除控制</a>，以讓使用者能夠定期刪除資料，也於同年12月於Google Maps上提供<a href="https://www.blog.google/products/maps/updates-incognito-mode-and-your-timeline-maps/" target="_blank">無痕模式（Incognito Mode）</a>，亦釋出地圖與搜尋的透明化工具。</p> <p>未來Google將建立一個資訊中心，專門陳列各種與位置資料有關的設定，以協助使用者了解與管理這些設定，另也將簡化使用關閉或刪除地理資料的流程，並針對Web & App Activity所蒐集的資料提供更詳細的說明。</p> <p>參與此一和解協議的除了主導的俄勒岡州與內布拉斯加州之外，阿肯色州、佛州、伊利諾州、路易斯安那州、紐澤西州、田納西州等都有協助談判，之後再吸引數十個州加入，每個州所獲得的和解金額不同，最大筆的是俄勒岡州的1,480萬美元。</p> </div></div></div>
2022/11/15 15:54作者陳曉莉https://www.ithome.com.tw/news/154200
【資安日報】2022年11月10日，SAP修補BusinessObjects與SAPUI5漏洞、兩大處理器業者修補旗下…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週有許多的IT業者發布例行修補。例如，SAP公布兩個重大漏洞與緩解方式，分別出現在商業智慧軟體BusinessObjects，以及應用程式開發框架SAPUI5。</p> <p>處理器大廠Intel、AMD也著手修補旗下產品，以Intel而言，風險程度最為嚴重的漏洞是CVE-2021-33164；AMD的部分，則是能觸發Spectre V2的推測執行漏洞CVE-2022-23824。</p> <p>打造間諜軟體的業者利用手機零時差漏洞發動攻擊的行動，已有數起，且很有可能存在超過一年以上才被發現。Google的研究人員發現三星去年修補的漏洞，在2020年就有間諜軟體商用於製作相關工具，而且發動了攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.sucuri.net/2022/11/massive-ois-is-black-hat-redirect-malware-campaign.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress惡意軟體攻擊1.5萬個網站，將瀏覽者導向惡意網站</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fake_qa_site_ois.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake_qa_site_ois.png" style="width: 300px; float: right;" /></a>資安業者Sucuri揭露針對WordPress網站的惡意軟體攻擊，此惡意軟體自今年9月，透過將ois[.]is存取受害網站的使用者，重新導向至冒牌的問答網站，其目的很可能是讓攻擊者的網站左右搜尋引擎結果。根據研究人員的調查，約有1.5萬個網站被植入惡意軟體，這些網站都被植入約2萬個檔案，這些檔案被用於製造垃圾搜尋結果。</p> <p>研究人員指出，駭客所使用的網域多達1,137個，且攻擊伺服器隱匿於Cloudflare的服務之後，而難以追查來源。究竟駭客如何入侵受害網站？研究人員推測是透過存在漏洞的WordPress外掛程式，或者是經暴力破解管理員密碼而得逞。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/k/hack-the-real-box-apt41-new-subgroup-earth-longzhi.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41附屬組織利用惡意程式Symatic攻擊臺灣政府、關鍵基礎設施、醫療保健產業</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3-earth-longzhi-apt41-subgroup.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3-earth-longzhi-apt41-subgroup.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露駭客組織Earth Longzhi（亦稱GroupCC）的攻擊行動，其特徵是駭客使用了自製的Cobalt Strike載入工具「Symatic」，該組織隸屬中國駭客APT41。</p> <p>研究人員自2020年開始共觀察到2波攻擊行動，從2020年5月至2021年2月主要是針對臺灣的政府、關鍵基礎設施、醫療保健產業，亦有中國銀行業者遭到鎖定；而第2波約自2021年8月至今年6月，範圍擴及泰國、馬來西亞、印尼、巴基斯坦、烏克蘭，駭客針對的產業也更廣，涵蓋國防、航空、保險，以及都市開發業者。</p> <p>值得留意的是，駭客在第2波攻擊行動當中，不斷對上述Cobalt Strike載入工具改版，透過多執行緒強化運作效率，並改良誘餌文件檔案，來讓更多人上當。研究人員發現，駭客為了停用防毒軟體，他們使用名為ProcBurner和AVBurner的作案工具，搭配微星舊版驅動程式RTCore64.sys，以便發動自帶驅動程式（BYOVD）攻擊。</p> <h3><a href="https://googleprojectzero.blogspot.com/2022/11/a-very-powerful-clipboard-samsung-in-the-wild-exploit-chain.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">間諜軟體供應商鎖定三星手機漏洞下手，製作攻擊程式</span></strong></a></h3> <p>Google旗下的威脅情報團隊Project Zero，近日揭露三星去年3月修補的手機漏洞CVE-2021-25337、CVE-2021-25369、CVE-2021-25370，並指出在此之前，有專門提供間諜軟體的網路安全廠商在利用這些漏洞。</p> <p>研究人員指出，上述漏洞都存在於三星專屬元件，且已被串連，攻擊者藉此提升權限，並繞過手機的安全防護機制，然後將惡意軟體植入受害手機，這樣的攻擊行動在2020年底出現。上述漏洞存在於部分Galaxy S10、A50、 A51手機，影響搭載Exynos版SOC、執行Linux核心4.14.113版的機種。</p> <h3><a href="https://www.zimperium.com/blog/the-case-of-cloud9-chrome-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體IceXLoader感染全球數千臺電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IceXloader_2chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IceXloader_2chain.png" style="width: 300px; float: right;" /></a>資安業者Minerva揭露近期惡意軟體IceXLoader的攻擊行動，駭客透過釣魚郵件挾帶ZIP壓縮檔附件，進而於受害電腦部署此惡意軟體，一旦IceXLoader成功進駐，攻擊者將其用於收集受害電腦的系統資訊，並傳送木馬程式DarkCrystal RAT及挖礦軟體。研究人員調查駭客所使用的C2伺服器，發現已有數千臺電腦受害，於是，逐一通知受害企業。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/sap-patches-critical-vulnerabilities-businessobjects-sapui5"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補旗下商業智慧軟體BusinessObjects、應用程式開發框架SAPUI5</span></strong></a></h3> <p>在11月份例行修補裡，SAP總共發布了14個漏洞修補程式，當中最為嚴重的漏洞為CVE-2022-41203，CVSS風險評分達到9.9分，存在於商業智慧軟體BusinessObjects，與未受信任資料的反序列化不安全有關，資安業者Onapsis指出，起因是該套件反序列化過程並未針對已處理的資料進行驗證，而影響此系統的機密性、完整性，以及可用性。</p> <p>另一個重大漏洞為CVE-2021-20223，存在於應用程式開發框架SAPUI5的SQLite元件，CVSS風險評分為9.8分。駭客一旦取得最低的權限，就有機會利用此漏洞攻擊SAPUI5。</p> <h3><a href="https://www.securityweek.com/intel-amd-address-many-vulnerabilities-patch-tuesday-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel、AMD修補晶片漏洞</span></strong></a></h3> <p>11月8日，Intel、AMD發布資安通告，修補旗下眾多產品的漏洞。</p> <p>Intel總共發布24筆資安通告，修補超過50個漏洞，其中有7筆通告涉及提升權限的高風險漏洞，受到影響的產品範圍，包含部分處理器的BIOS韌體、NUC的BIOS韌體、XMM 7560數據機軟體、資料中心管理系統軟體（DCM）、伺服器主機版，以及主動管理技術（AMT）的SDK等，最嚴重的是NUC漏洞CVE-2021-33164，CVSS風險等級為8.2分。</p> <p>AMD本次發出4則資安通告，總共涉及10個漏洞，其中的CVE-2022-23824與處理器的推測執行漏洞有關，能夠用於觸發Spectre V2（CVE-2017-5715）。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/lenovo-fixes-flaws-that-can-be-used-to-disable-uefi-secure-boot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">聯想修補可被用於關閉UEFI安全開機的漏洞</span></strong></a></h3> <p>資安業者ESET揭露向筆電廠商聯想通報的3個漏洞CVE-2022-3430、CVE-2022-3431、CVE-2022-3432，這些漏洞存在於該廠牌ThinkBook、Yoga、IdeaPad系列筆電，一旦遭到利用，攻擊者可停用筆電的UEFI安全開機機制，從而繞過作業系統的安全防護措施，以便部署惡意軟體。研究人員指出，這些漏洞源於聯想不慎納入早期開發階段的驅動程式，而使得UEFI安全開機的配置有可能被任意更動。</p> <p>聯想獲報後，修補了CVE-2022-3430與CVE-2022-3431，對於位處終止支援機種的CVE-2022-3432，將不予處理。</p> <h3><a href="https://support.apple.com/en-us/HT213505"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補可被用於執行任意程式碼的iOS及iPadOS漏洞</span></strong></a></h3> <p>蘋果於11月9日發布iOS 16.1.1與iPadOS 16.1.1，當中修補了兩個漏洞CVE-2022-40303、CVE-2022-40304，都與libxml2函式庫中的整數溢位有關，一旦遭到利用，攻擊者有可能遠端造成應用程式非預期停止，或是執行任意程式碼。</p> <h3><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-exposed-ember-js-applications-to-xss"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">建置NPM套件的框架Ember.js存在原型汙染漏洞，恐被用於跨網站指令碼攻擊</span></strong></a></h3> <p>資安研究員Masato Kinugawa發現NPM套件建置框架Ember.js框架的原型汙染（Prototype Pollution）漏洞，攻擊者可以利用屬性函數，來跨越（traverse）物件的原型，並竄改JavaScript應用程式的其他元件，包含所有其他派生的基礎物件，進而發動跨網站指令碼（XSS）攻擊。此外，這種原型汙染漏洞，也很可能被拿來搭配其他漏洞來運用。</p> <p>Ember.js開發團隊獲報後，於11月2日發布4.81.、4.4.4、3.28.10、3.24.7版予以修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.c4isrnet.com/cyber/2022/11/08/pentagon-to-unveil-zero-trust-cyber-strategy/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國防部即將公布零信任戰略</span></span></strong></a></p> <p><a href="https://www.facebook.com/isc2TaipeiChapter/posts/pfbid031hTDF8YuK7pUNan43NFdGxQiLBAjgqnpBbG6q3BMAeJjckyk7RJFuYR7HtGeQNA1l"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣國際資安認證專家協會正式成立</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/medibank-warns-customers-their-data-was-leaked-by-ransomware-gang/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲保險業者Medibank證實勒索軟體駭客已洩露竊得資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/us-states-announce-16m-settlement-experian-t-mobile-over-data-breaches"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對Experian、T-Mobile資料外洩事故，美國各州以1,600萬美元達成和解</span></span></strong></a></p> <p><a href="https://portswigger.net/daily-swig/passport-saml-auth-bypass-triggers-fix-of-critical-upstream-xmldom-bug"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">NPM套件Passport-SAML出現輸入驗證漏洞，恐觸發XMLDOM物件出錯</span></span></strong></a></p> <p><a href="https://www.securityweek.com/google-patches-high-severity-privilege-escalation-vulnerabilities-android"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google修補高風險層級的Android權限提升漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154086">【2022年11月9日】沙烏地阿拉伯遭駭客組織Justice Blade鎖定、惡意瀏覽器擴充套件Cloud9鎖定Chrome而來</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154086">【2022年11月8日】加拿大肉品供應商Maple Leaf Foods遭網路攻擊、Azov Ransomware寫入隨機資料破壞檔案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154071">【2022年11月7日】製藥廠AstraZeneca傳伺服器帳密不慎暴露，中國漏洞揭露政策導致國家級駭客先行濫用日益明顯</a></strong></strong></strong></p> </div></div></div>
2022/11/10 17:19作者周峻佑https://www.ithome.com.tw/news/154124
Google VPN新增對Windows與macOS的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內建於Google One 2TB方案中的Google VPN服務，即日起將新增對Windows與macOS的支援，且<a href="https://support.google.com/googleone/answer/7582172#zippy=%2Cwhich-google-one-plans-include-vpn-by-google-one" target="_blank">目前支援Google VPN的市場</a>已擴大至包括臺灣在內的22個國家。</p> <p><a href="https://www.ithome.com.tw/news/123160" target="_blank">Google One的前身為Google Drive</a>，<a href="https://one.google.com/about/plans?hl=zh_TW" target="_blank">更名後的Google On</a>e仍舊提供15GB的免費儲存空間，100GB基本版的每月費率為16.25美元，200GB標準版為22.5美元，2TB的進階版則是82.5美元，除了免費版之外的Google One版本最多都可支援6人使用，且進階版進一步整合了VPN服務。</p> <p>Google One進階版是在2020年11月<a href="https://www.ithome.com.tw/news/140862" target="_blank">首次新增VPN服務</a>，但當時只在少數市場推出，也只支援Android裝置，但Google陸續擴大服務市場及所支援的平臺，<a href="https://www.ithome.com.tw/news/149178" target="_blank">今年2月新增對iOS的支援</a>，也擴大至18個市場，現在則進一步支援Windows及macOS裝置，並拓展至包括臺灣在內的22個市場。</p> <p>Google並未明文公告Google VPN的進展，是<a href="https://9to5google.com/2022/11/09/google-one-vpn-mac-windows/" target="_blank">《9to5google》</a>率先揭露了此事，<a href="https://one.google.com/about/vpn/howitworks" target="_blank">惟Google已於服務介紹中表明</a>Google VPN將同時支援Android、iOS、Windows及macOS。</p> <p>根據《9to5google》的報導，有些使用者即日起已可下載支援Windows及macOS的Google VPN程式，其他人可能要在未來幾天才能下載。</p> </div></div></div>
2022/11/10 15:41作者陳曉莉https://www.ithome.com.tw/news/154121
【資安日報】2022年11月9日，沙烏地阿拉伯遭駭客組織Justice Blade鎖定、惡意瀏覽器擴充套件Cloud9…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前<a href="http://www.ithome.com.tw/news/141753">SolarWinds鎖定IT業者下手並對政府機關與大型企業攻擊的事件</a>震驚全球，類似資安事故如今又再度出現在中東地區。駭客組織Justice Blade攻擊IT服務業者Smart Link BPO Solutions，目標是沙烏地阿拉伯與海灣阿拉伯國家合作委員會會員國的組織。</p> <p>這幾天也傳出親巴基斯坦駭客APT-36攻擊印度政府機關，引發關注。攻擊者以提供當地政府推出的雙因素驗證應用程式Kavach來散布後門軟體，但值得留意的是，駭客同時濫用Google廣告而使人上當。</p> <p>透過瀏覽器惡意擴充套件來發動攻擊的活動，最近又出現。研究人員發現名為Cloud9的惡意套件，Chrome使用者若是不慎安裝，所操作的電腦就有可能遭到控制。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/138213/hacking/justice-blade-targets-saudi-arabia.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">沙烏地阿拉伯遭駭客組織Justice Blade鎖定，透過IT服務業者發動供應鏈攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Justice-Blade-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Justice-Blade-1.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站Security Affairs的報導，自稱是Justice Blade的駭客組織公布從IT服務供應商Smart Link BPO Solutions竊得的資料，內內含客戶關係管理系統（CRM）的記錄、個資、電子郵件、合約，以及帳密資料。駭客亦建立Telegram帳號及私人頻道，發送成功入侵的螢幕截圖與影片，此起攻擊很可能是鎖定特定目標的網路入侵活動，導致該公司AD、內部應用程式與服務受到波及。</p> <p>由於Smart Link BPO Solutions的客戶遍及沙烏地阿拉伯及海灣阿拉伯國家合作委員會（GCC）會員國的政府機關與主要企業，這起事故的後續影響有待觀察。在此之前，資安業者Resecurity曾在地下市集看到Smart Link BPO解決方案的多個帳號資料，他們研判Justice Blade很有可能從這些市集取得相關資料並發動攻擊。</p> <h3><a href="https://www.zscaler.com/blogs/security-research/apt-36-uses-new-ttps-and-new-tools-target-indian-governmental-organizations"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度政府組織遭APT-36發動攻擊，駭客濫用Google廣告來散布後門程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT-36-Figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT-36-Figure-1.png" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露親巴基斯坦駭客APT-36（亦稱Transparent Tribe）的攻擊行動，駭客針對印度政府組織而來，假借提供當地政府的雙因素驗證（MFA）工具Kavach，並透過Google搜尋引擎最佳化（SEO）廣告，來散布後門程式LimePad，以竊取電腦資訊。</p> <p>一旦受害者執行了冒牌的Kavach安裝檔案，此安裝程式會先檢查電腦時區，確認位於印度標準時區（IST）才執行相關攻擊──先下載第二階段的Python指令碼，再執行實際的Kavach安裝程式來降低戒心，然後才經由Python指令碼下載後門程式。研究人員指出，駭客不光是在受害電腦植入後門程式，還設置冒牌的印度國家資訊中心（NIC）網站，來騙取受害者的帳密。</p> <h3><a href="https://www.cyfirma.com/outofband/unknown-nation-based-threat-actor-using-android-rat-to-target-indian-defence-personnel-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度國防人員遭到國家級駭客以安卓木馬攻擊</span></strong></a></h3> <p>資安業者Cyfirma揭露針對印度國防人員的攻擊行動，駭客約自2021年7月，透過Spymax RAT安卓木馬程式變種發動攻擊，一旦受害者依照指示安裝APK檔案，手機就會出現貌似Adobe Reader的應用程式，此App開啟後，內有與國防人員晉升相關的PDF檔案，藉此降低受害者的戒心。但在這個過程裡，駭客已部署了Spymax RAT進行跟蹤，並取得各式權限。</p> <p>研究人員指出，有鑑於駭客的目標是國防人員，且目的是竊密，他們推測攻擊者的身分是國家級駭客，但無法確認是那個組織所為。</p> <h3><a href="https://www.zimperium.com/blog/the-case-of-cloud9-chrome-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意擴充套件Cloud9鎖定Chrome而來，可讓攻擊者遠端控制受害電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure-2-installed-chrome-extension-on-google-chrome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-2-installed-chrome-extension-on-google-chrome.jpg" style="width: 300px; float: right;" /></a>資安業者Zimperium揭露名為Cloud9的惡意瀏覽器擴充套件，駭客組織Keksec假借提供Adobe Flash Player軟體更新，或是提供其他應用程式的名義，透過惡意網站散布，針對以Chromium為基礎開發的瀏覽器下手。</p> <p>一旦使用者依照指示安裝此擴充套件，攻擊者就能進行系統資訊收集，並將電腦的運算能力用於挖礦，或是發動DDoS攻擊等，此外，駭客還能執行外部的JavaScript程式碼，甚至有可能進一步控制整臺電腦。研究人員指出，Cloud9由3個JavaScript程式碼檔案組成，功能與許多RAT相似，但比較特別之處在於，駭客也鎖定Firefox、IE、Edge的特定漏洞而來，企圖藉此自動部署惡意軟體，以便進行更嚴重的破壞。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-addresses-critical-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布11月份例行修補</span></strong></a></h3> <p>11月8日，西門子與施耐德電機發布本月份的資安通告，其中，前者有9則公告與本月修補的漏洞有關，總共涵蓋了30個漏洞，後者則是修補了3個漏洞。</p> <p>西門子這次的資安通告涉及多項產品，包含了電量測量儀Sicam Q100（CVSS風險評分為9.9分）、Wi-Fi無線網路基地臺Scalance W1750D（CVSS風險評分為9.8分）、無線CNC控制系統Sinumerik One及Sinumerik MC（CVSS風險評分為9.3分）等。</p> <p>施耐德電機則是針對網路視訊監控系統NetBotz著手修補，其中最嚴重的是CVE-2022-43376，CVSS風險評分為8.8分。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vmware-fixes-three-critical-auth-bypass-bugs-in-remote-access-tool/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補遠端IT支援系統Workspace ONE Assist重大漏洞</span></strong></a></h3> <p>VMware針對旗下的遠端IT支援解決方案Workspace ONE Assist發布22.10版，當中總共修補3個重大漏洞，分別是身分驗證繞過漏洞CVE-2022-31685、身分驗證方法弱點CVE-2022-31686，以及存取控制弱點CVE-2022-31687，這些漏洞的CVSS風險評分都達到了9.8分，攻擊者一旦利用上述弱點，就可以不需通過身分驗證來提升權限，且無須使用者互動。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/citrix-urges-admins-to-patch-critical-adc-gateway-auth-bypass/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix修補ADC與VPN閘道系統的重大漏洞</span></strong></a></h3> <p>Citrix於11月8日發布資安通告，該公司針對Citrix ADC與Citrix Gateway修補3項漏洞CVE-2022-27510、CVE-2022-27513、CVE-2022-27516，攻擊者一旦加以利用，就有可能繞過身分驗證流程、接管遠端桌面，或是略過保護暴力破解機制。該公司指出，只有作為閘道設備使用的系統，也就是啟用SSL VPN的功能，或是部署為ICA Proxy模式並啟用身分驗證機制，才會受到上述漏洞影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2022-patch-tuesday-fixes-6-exploited-zero-days-68-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟11月例行修補緩解6個零時差漏洞，ProxyNotShell、MoTW漏洞終於有修補程式</span></strong></a></h3> <p>微軟11月8日發布每月例行修補（Patch Tuesday），總共修補了68個漏洞，其中6個是零時差漏洞。這些漏洞包含：越南資安業者9月底揭露的Exchange重大漏洞ProxyNotShell（CVE-2022-41040、CVE-2022-41082），以及資安研究員Will Dormann於7月找到的MoTW漏洞CVE-2022-41091。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://asec.ahnlab.com/en/41450/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Amadey Bot被用於部署勒索軟體LockBit</span></span></strong></a></p> <p><a href="https://www.cleafy.com/cleafy-labs/the-android-malwares-journey-from-google-play-to-banking-fraud"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓銀行木馬Vultur透過Google Play市集散布，已被下載逾10萬次</span></span></strong></a></p> <p><a href="https://www.gendigital.com/blog/news/introducing-gen"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">防毒業者NortonLifeLock與Avast合併，更名為Gen</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154086">【2022年11月8日】加拿大肉品供應商Maple Leaf Foods遭網路攻擊、Azov Ransomware寫入隨機資料破壞檔案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154071">【2022年11月7日】製藥廠AstraZeneca傳伺服器帳密不慎暴露，中國漏洞揭露政策導致國家級駭客先行濫用日益明顯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154039">【2022年11月4日】美國財政部傳出遭親俄駭客組織Killnet攻擊、勒索軟體Black Basta疑與駭客組織FIN7有關</a></strong></strong></strong></p> </div></div></div>
2022/11/9 16:35作者周峻佑https://www.ithome.com.tw/news/154100
Google、雷諾合作「軟體定義汽車」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.renaultgroup.com/wp-content/uploads/2022/11/partnership-renault-group-google_en.pdf" target="_blank">Google與法國雷諾汽車集團（Renault Group）昨（8）日宣布擴大既有合作</a>，雙方將合作打造「軟體定義汽車」（Software-Defined Vehicle），協助加速開發及新服務提供，同時雷諾汽車集團也將使用Google Cloud推動數位轉型。</p> <p>2018年雷諾汽車曾和日本車廠日產（Nissan）、三菱（Mitsubishi）合組一個集團，<a href="https://www.ithome.com.tw/news/125962" target="_blank">與Google簽定合作</a>，讓三車商2021年起出貨的新車都內建Android 作為車上資訊娛樂系統的底層作業系統，以及Google Maps導航、Google Play Store及Google Assistant，以存取及更新Google雲端服務。</p> <p>最新合作的只有Google和雷諾集團兩家公司，因此會受這次合作影響的，只會有雷諾旗下品牌，包括Renault、Dacia、Alpine和Mobilize。</p> <p>在內容方面，雙方合作將利用車內包括Android的軟體建構「軟體定義汽車」平臺，而在雲端則建立具備人工智慧（artificial intelligence，AI）功能的汽車數位分身（Digital Twin），這分身可方便將新服務持續更新到汽車上，以及建立新的車上（onboard）及車外（offboard）應用程式。雷諾最終要將所有營運系統搬上Google Cloud，推動數位轉型。</p> <p>雷諾相信，最新合作可協助該集團降低成本、改善效率、彈性以及汽車開發速度，並藉由持續性的軟體更新提供客戶服務。這次合作中，雷諾將利用Google Cloud整合「軟體定義汽車」，以管理與分析蒐集到的汽車資料，並且用於汽車軟體開發。目前雙方正在發展的第一批使用情境包括，預測式維修，及偵測和幾近即時修正車輛問題，或是開發符合車主開車行為、常用目的地（如充電站）的個人化車上服務，以及依據開車和使用建議保險模式。</p> <p>雷諾集團計畫透過結合「軟體定義汽車」平臺和雷諾的汽車資料平臺監控車輛使用狀況，以更了解車主需求、提供高度個人化的服務，或是符合安全及隱私法令規定。</p> <p>最後，雷諾集團和Google合作4年下來，已經在雲端代管所有廠區、產線、供應鏈資料，總計每天10億資料點。該集團昨日宣布Google為優先雲端合作夥伴，計畫進一步使用Google Cloud的機器學習和AI技術。</p> </div></div></div>
2022/11/9 10:52作者林妍溱https://www.ithome.com.tw/news/154092
Signal發表訊息會在24小時後自動銷毀的Stories功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>追隨著前人的腳步，加密傳訊程式Signal也在本周一（11/7）<a href="https://signal.org/blog/introducing-stories/" target="_blank">推出了可在24小時之後自動銷毀訊息的Stories功能</a>，現已支援Android及iOS平臺上的Signal程式，很快就會支援桌面版。</p> <p>迄今已有許多社交或即時傳訊平臺支援Stories或類似的功能，從Instagram、Facebook、TikTok、WhatsApp、Twitter到LinkedIn等，該功能最大的特色就是訊息會在24小時之後自動消失，因此很適合用來表達當下的心情或狀態，它不會一直留在平臺上，短暫、低風險，也可以當作不想有對話壓力的廣播服務。</p> <p class="rtecenter"><a href="https://signal.org/blog/images/stories-create.png" target="_blank"><img alt="" src="https://signal.org/blog/images/stories-create.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Signal</span></span></p> <p>Signal上的Stories允許使用者選擇所要發送訊息的對象，能夠以文字、照片或影片表達，而且不會出現訊息通知。</p> <p>Signal表示，除了上述特色之外，Stories也是Signal全球用戶最想要的功能之一。此外，Signal亦允許使用者關閉Stories功能，不要看到別人所發布的Stories訊息。</p> </div></div></div>
2022/11/8 16:58作者陳曉莉https://www.ithome.com.tw/news/154083
Google Cloud成為Solana區塊鏈驗證節點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/googlecloud/status/1588927875314499590" target="_blank">Google Cloud周日（11/6）宣布</a>，已參與並成為Solana區塊鏈的驗證節點，且旗下的區塊鏈節點代管服務<a href="https://twitter.com/googlecloud/status/1588927896911069184" target="_blank">Blockchain Node Engine會在明年支援Solana區塊</a>鏈，<a href="https://twitter.com/googlecloud/status/1588927901281517568" target="_blank">明年的BigQuery 亦會支援Solana資料</a>。</p> <p>Solana為一公共區塊鏈平臺，其原生加密貨幣為SOL，理念在2017年誕生，首個區塊是在2020年3月才被創造。它採用權益證明（Proof of Stake，PoS）與歷史證明（Proof of History），以進行安全、去中心化及快速的交易，因而又被稱為以太坊殺手。只是，Solana成為熱門新聞的原因，<a href="https://www.ithome.com.tw/news/152291" target="_blank">卻多半是</a>該區塊鏈上的應用<a href="https://www.ithome.com.tw/news/153623" target="_blank">遭到駭客入侵</a>。</p> <p>打造Solana的Solana Labs對該平臺有些有趣的規畫，例如準備在明年初推出全球首款專為Web3設計的<a href="https://solana.com/news/saga-reveal" target="_blank">Android手機Saga</a>，Saga將會內建去中心化程式市集（dApp）、Solana SDK，以及硬體的私鑰安全機制等，可用來下載去中心化的交易平臺、NFT市集及各種分散式應用，訂價為1,000美元。</p> <p>Google Cloud在10月28日發表了Blockchain Node Engine，這是一個區塊鏈節點代管服務，目前仍為僅供申請試用的預覽版，首個支援的區塊鏈為以太坊（Ethereum），Solana則可望成為Blockchain Node Engine下一波服務。</p> <p>以市值來看，SOL為全球前第十大加密貨幣，僅次於比特幣、以太坊、USDT、BNB、USDC、XRP、BUSD、DOGE與Cardano（ADA），每個SOL目前的價格為30.96美元。</p> </div></div></div>
2022/11/7 16:35作者陳曉莉https://www.ithome.com.tw/news/154070
帶領過Windows及Office部門的32年老將Joe Belfiore將從微軟退休
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾主導過Windows Phone、Zune等產品的<a href="https://twitter.com/joebelfiore/status/1585751411543138304" target="_blank">微軟企業副總裁Joe Belfiore宣布</a>將自服務32年的微軟退休。</p> <p><a href="https://www.zdnet.com/article/office-corporate-vice-president-joe-belfiore-to-leave-microsoft-after-32-years/" target="_blank">ZDNet報導</a>，Belfiore 10月底對內發公開信，以及公布此事。Belfiore並透過推特指出他會留到明年夏天協助交接，未來將以照顧家中2個小孩及1個剛上大學的孩子為主。</p> <p>報導引述Belfiore的內部信件，解釋他是因為今天夏天送第一個小孩上大學開始意識到陪伴小孩及家人的時間所剩不多，因此而決定將32年和微軟同事打造軟體和服務的精彩生涯畫下句點。</p> <p>Belfiore於1990年代加入微軟，主要生涯是在Windows開發部門，歷經Internet Explorer（IE）、Window XP及家庭娛樂軟、硬體開發，領導的作品包括Windows Media Center、數位播放器Zune及Windows Phone，以及取代IE的Edge。2017年也是<a href="https://www.ithome.com.tw/news/117319" target="_blank">由他宣布</a>Windows Phone終止開發的訊息。</p> <p>Belfiore也歷經了多次微軟組織變動，包括Nadella上任後，<a href="https://www.ithome.com.tw/news/122155" target="_blank">微軟由Windows優先變成以Azure智慧雲端及前端軟體導向的組織改</a>造。2020年微軟再次組織變動，Belfiore職位由Windows 調任Office體驗事業群（OXO）主管，並領導開發Edge和iOS/Android app開發的單位Essential Products Inclusive Community。</p> <p>在其帶領下Office也正經歷重大轉變，包括由桌機生產力軟體套件Office轉變為Office/Windows 365。而隨著新功能愈來愈多，如文件協同工具Loop、設計平臺Designer、企業影音分享平臺Stream等，<a href="https://www.ithome.com.tw/news/153630" target="_blank">微軟也在上個月宣布</a>Office品牌也將走入歷史，逐步改成Microsoft 365，預計2023年初就會全部改頭換面，並推出Microsoft 365 App作為存取生產力軟體的入口。</p> </div></div></div>
2022/11/7 11:26作者王珮瑤https://www.ithome.com.tw/news/154054
【資安日報】2022年11月3日，國防安全科技集團Thales疑似遭勒索軟體LockBit 3.0攻擊、數百個美國新聞…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客日益猖狂，許多資安業者都曾發生遭到攻入的事故。在10月底有一家大型公司Thales也傳出這樣的狀況，震驚各界。該公司橫跨航太、國防、資訊安全等領域，同時又以硬體安全模組（HSM）、身分認證解決方案聞名，可惜仍無法倖免，後續調查的狀況與衍生的影響，都需要密切觀察。</p> <p>惡名昭彰的殭屍網路Emotet再度發動攻擊。值得留意的是，駭客為了繞過Office軟體的防護規則，竟要求受害者將Excel檔案複製到指定資料夾執行。</p> <p>與新聞媒體合作的多媒體公司竟變成駭客發動攻擊的管道！資安業者揭露駭客組織TA569的攻擊行動，駭客竄改影音內容製作公司傳送影音內容的程式碼，向這些新聞網站散布惡意軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/137955/cyber-crime/lockbit-3-0-thales.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">法國國防安全科技集團Thales疑似遭勒索軟體LockBit 3.0攻擊，對方揚言11月7日將公布部分竊得資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Thales-LockBit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Thales-LockBit.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Security Affairs報導，勒索軟體LockBit於10月31日聲稱攻陷法國國防安全科技集團Thales，竊得部分資料，並要脅若不依照指示支付贖金，將於11月7日公布竊得的檔案。不過，駭客並未提供可進行驗證的樣本資料。</p> <p>對此，<a href="https://www.reuters.com/technology/frances-thales-says-hackers-claim-have-stolen-data-2022-11-01/">Thales向路透社表示</a>，他們針對該資安外洩事故展開調查，並向法國國家網路安全局（ANSSI）進行通報，但沒有收到對方勒索通知。</p> <h3><a href="https://cybernews.com/news/hensoldt-defense-contractor-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國防設備供應商Hensoldt法國子公司疑遭勒索軟體Snatch入侵，並公布部分竊得資料</span></strong></a></h3> <p>國防產業遭到攻擊的情況，之前多半是針對美國而來，但現在也有歐洲的廠商成為目標的事故。根據資安新聞網站Cybernews的報導，勒索軟體Snatch於10月30日聲稱入侵國防設備供應商Hensoldt法國子公司，並竊得機密檔案，這些駭客公布94 MB資料供眾人驗證。但Hensoldt尚未回應此事。</p> <p>事實上，此起事故並非該集團首度遭到勒索軟體攻擊──今年1月，Hensoldt的英國子公司部分系統感染了勒索軟體Lorenz。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vodafone-italy-discloses-data-breach-after-reseller-hacked/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信業者Vodafone義大利分公司傳出資料外洩，起因是經銷商遭駭</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，電信業者Vodafone的義大利分公司近日向客戶發出資料外洩通知，並指出這起事件發生的原因，是義大利電信經銷商FourB SpA於9月第1個星期遭到網路攻擊所致，客戶遭到曝露的資料包含了訂閱內容、含有敏感資料的身分證件、聯絡資料，但不含密碼。再者，沒有用戶的網路流量因此受害。</p> <p>而關於攻擊者的身分，Bleeping Computer報導提到，9月3日有個駭客組織KelvinSecurity聲稱攻擊Vodafone義大利分公司，並竊得約310 GB資料，內有29.5萬個檔案，這是否與同樣於9月發生的此次資料外洩事故有關，尚無法證實。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/emotet-botnet-starts-blasting-malware-again-after-5-month-break/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet攻擊活動再度出現，利用回覆郵件來散布惡意Excel檔案</span></strong></a></h3> <p>殭屍網路Emotet這兩、三年肆虐，但到了今年6月中旬突然終止相關攻擊行動，如今又重出江湖。資安業者Proofpoint與資安研究團隊Cryptolaemus相繼提出警告，因為他們發現Emotet再度活動的跡象，並向全球廣發釣魚郵件。這次的釣魚郵件，是以回覆郵件的型式發送，並挾帶惡意Excel巨集檔案作為附件。資安新聞網站Bleeping Computer指出，他們看到此Excel檔案有不同語言的版本，駭客佯稱是發票、掃描的文件檔案、電子表格，來引誘收信人開啟。</p> <p>值得留意的是，駭客為了讓此惡意Excel檔案能繞過MoTW偵測機制，以便巨集能正常執行，他們要求受害者將其複製到Office軟體的範本資料夾再開啟，最終在受害電腦植入惡意軟體並於後臺運作。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/hundreds-of-us-news-sites-push-malware-in-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數百個美國新聞網站遭到供應鏈攻擊，被用於散布惡意軟體SocGholish</span></strong></a></h3> <p>資安業者Proofpoint發現，駭客組織TA569透過一家影音內容製作公司，對於超過250個美國新聞網站下手。此影音公司原本透過JavaScript指令碼向這些網站提供影音內容，但駭客如今竄改此JavaScript的基礎程式碼（Codebase），進而在新聞網站部署惡意軟體SocGholish，並以瀏覽器更新的名義、透過ZIP壓縮檔的形式進行散布。</p> <p>研究人員表示，紐約、波士頓、芝加哥、邁阿密、華盛頓特區等地的美國新聞媒體都受到影響，他們亦發現有受害網站修復後再度被感染的情形。</p> <h3><a href="https://www.kaspersky.com/about/press-releases/2022_new-sandstrike-spyware-targets-android-users-with-booby-trapped-vpn-application"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">間諜軟體SandStrike假借提供VPN的名義，攻擊特定宗教人士的安卓裝置</span></strong></a></h3> <p>資安業者卡巴斯基揭露名為SandStrike的安卓間諜軟體，駭客鎖定奉行巴哈伊信仰的教徒提供VPN應用程式，宣稱為了能讓他們規避政府的監控，但實際上駭客在此App安裝過程也暗中部署SandStrike，一旦受害人依照指示安裝VPN應用程式，手機將會遭到監控，惡意軟體也會竊取聯絡人名單與通聯記錄。</p> <p>研究人員指出，有別於許多惡意軟體攻擊，發動上述攻擊的駭客為了引誘受害人安裝上述的惡意App，作為誘餌的VPN應用程式不僅具備完整的VPN功能，駭客還建立擁有千名粉絲的臉書與Instagram帳號，這些帳號包含大量巴哈伊教的貼文，並引導受害者到特定的Telegram頻道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://blog.sonarsource.com/checkmk-rce-chain-1/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IT基礎設施監控系統Checkmk存在重大漏洞</span></strong></a></h3> <p>資資安業者SonarSource揭露T基礎設施監控系統Checkmk的漏洞，這些漏洞一旦遭到利用，攻擊者無需通過身分驗證，就能遠端控制Checkmk伺服器。研究人員總共找到4個漏洞，其中有2個CVSS風險評分達9.1分的為重大漏洞，一個為程式碼注入漏洞，涉及watolib元件的auth.php；另一個為任意讀取檔案漏洞，與該系統整合的NagVis元件有關。研究人員於8月下旬通報上述漏洞，Checkmk於9月中旬發布2.1.0p12版予以修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.phylum.io/phylum-discovers-dozens-more-pypi-packages-attempting-to-deliver-w4sp-stealer-in-ongoing-supply-chain-attack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾30個PyPI套件被用於散布W4SP竊密軟體</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://positive.security/blog/urlscan-data-leaks"><span style="color: rgb(0, 0, 0);">網站分析引擎Urlscan的API曝露敏感資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/amazon-prime-video-viewing-habits"><span style="color: rgb(0, 0, 0);">線上影音平臺Amazon Prime伺服器未受保護，曝露用戶觀看習慣</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.itpro.co.uk/security/ransomware/369435/yanluowang-ransomware-leaks-suggest-pseudo-chinese-persona-revil-links"><span style="color: rgb(0, 0, 0);">勒索軟體閰羅王背後的駭客組織很可能就是REvil</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153972">【2022年11月2日】 Dropbox證實130個GitHub儲存庫遭竊、Azure Cosmos資料庫被發現存在身分驗證漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153961">【2022年11月1日】資料破壞軟體Azov Ransomware抗議西方國家對抗俄羅斯不力、澳洲國防部傳出資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153924">【2022年10月31日】德國銅供應商Aurubis遭到網路攻擊、GitHub出現可利用重新命名來挾持儲存庫的漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/3 17:24作者周峻佑https://www.ithome.com.tw/news/154000
微軟推出無密碼行動裝置Azure AD憑證身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Ignite 2022宣布全面推出Azure AD憑證身分驗證（Certificate-Based Authentication，CBA），而現在進一步在iOS和Android裝置上公開預覽，用戶可以<a href="https://techcommunity.microsoft.com/t5/microsoft-entra-azure-ad-blog/azure-ad-certificate-based-authentication-cba-on-mobile/ba-p/2365672">使用硬體安全金鑰YubiKey執行Azure AD憑證身分驗證</a>。官方解釋，因為現在自帶裝置風氣興起，這個功能將可以讓使用者在自有行動裝置，具備抵抗釣魚攻擊的多因素驗證能力。</p> <p>在行動裝置上，雖然使用者可以在其個人行動裝置上，配置用戶憑證以進行身分驗證，但這主要是用於受管理的行動裝置，而新功能則可支援自帶裝置，讓使用者在外部硬體安全金鑰預配置憑證，然後在iOS和Android裝置使用Azure AD進行身分驗證。</p> <p>微軟表示，這種結合行動憑證和硬體安全金鑰的解決方案，是一種簡單方便，且經過FIPS認證的防網路釣魚多因素驗證方法。<a href="https://www.yubico.com/blog/certificate-based-authentication-with-yubikeys-for-microsoft-3rd-party-and-web-applications-now-available-on-ios-and-android/">YubiKey官方則表示</a>，YubiKey是目前唯一支援Android和iOS上的CBA外部裝置，同時YubiKey也是唯一可用於行動Azure AD的FIPS認證防網路釣魚解決方案。</p> <p>現在所有針對瀏覽器的網頁應用程式和本機應用程式，包括使用最新微軟身分驗證函式庫（Microsoft Authentication Library，MSAL）的第一方應用程式，都在行動裝置支援使用YubiKey上的Azure AD憑證身分驗證，對於那些尚未使用最新MSAL的應用程式，用戶則可以使用Microsoft Authenticator應用程式的代理身分驗證流程，該流程也支援YubiKey上的Azure AD憑證身分驗證。</p> <p>用戶可以從憑證選擇器選擇YubiKey憑證，插入YubiKey或使用具NFC功能的YubiKey透過YubiKey Authenticator輸入PIN碼，即可完成身分驗證流程。</p> </div></div></div>
2022/11/3 15:39作者李建興https://www.ithome.com.tw/news/153995
Malwarebytes揭露尚未被Google移除的惡意Android程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.malwarebytes.com/blog/news/2022/11/malware-on-the-google-play-store-leads-to-harmful-phishing-sites" target="_blank">資安業者Malwarebytes本周指出</a>，Google Play上有一名開發者三番兩次地上傳含有惡意程式碼的行動程式，迄今卻依然安穩地存在於Google Play上。</p> <p>被Malwarebytes點名的開發者為Mobile apps Group，<a href="https://play.google.com/store/apps/dev?id=5631376253411320738" target="_blank">目前於Google Play上陳列4款程式</a><span style="color:#696969;">（註：在本文發布當下，網頁連結仍為有效</span>），分別是Bluetooth Auto Connect、Mobile transfer: smart switch、Driver: Bluetooth, Wi-Fi, USB與Bluetooth App Sender，它們總計累積了超過100萬次的下載量。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0103-Mobile%20apps%20Group-Malware-google%20play-600.png" style="width: 600px;" /></p> <p>Malwarebytes表示，上述程式在過去都曾被發現過藏匿了不同版本的Android/Trojan.HiddenAds惡意程式，最近他們則調查了其中的Bluetooth Auto Connect，當使用者安裝此一程式之後，它通常會經過好幾天才秀出真面目，於Chrome瀏覽器中開啟釣魚網站，有些釣魚網站只是用來騙取廣告點擊，但有些網站則含有成人內容，而且跳出訊息宣稱使用者的裝置已被感染，或是需要執行更新。</p> <p>此外，就算手機是鎖住的，這些Chrome分頁仍會於背景開啟，一旦使用者解鎖手機，Chrome就會跳出來，並展示最新的釣魚網站，倘若使用者在好幾個小時之後才解鎖手機，便會在Chrome的歷史紀錄中看到許多的釣魚網站。</p> <p>根據Malwarebytes的觀察，Mobile apps Group所開發的行動程式都有類似的行徑，且它們經常被不同版本的Android/Trojan.HiddenAds所感染，且Google至少已被通報兩次。</p> <p>例如去年2月24日時，另一資安業者 DrWeb便曾公開指責Bluetooth Auto Connect 2.5含有惡意程式，而Mobile apps Group在2月24日便上傳了乾淨的Bluetooth Auto Connect 3.0版，意謂著Google並未將Mobile apps Group「留校察看」，從去年的2月26日到去年的10月10日，Bluetooth Auto Connect 3.0到Bluetooth Auto Connect 4.5都是乾淨的，但自去年12月15日釋出的Bluetooth Auto Connect 4.6就含有Android/Trojan.HiddenAds，最新的Bluetooth Auto Connect 5.7也有，代表含有惡意程式的Bluetooth Auto Connect版本於Google Play上至少存活了3個月。</p> <p>看起來像是Mobile apps Group在與Google玩「貓捉老鼠」的遊戲，不過，Malwarebytes認為，現在應該是時候將Mobile apps Group三振出局了。</p> </div></div></div>
2022/11/3 16:02作者陳曉莉https://www.ithome.com.tw/news/153996
Google擴大Google Play Games測試至美洲與東南亞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今年1月率先於臺灣、香港及南韓<a href="https://www.ithome.com.tw/news/148999" target="_blank">測試</a><a href="https://www.ithome.com.tw/news/148999" target="_blank">Google Play Games</a><a href="https://www.ithome.com.tw/news/148999" target="_blank"> on PC</a>，讓Windows用戶也能在電腦上執行Android遊戲，繼之於8月擴大至泰國與澳洲，並讓更多使用者參與測試，<a href="https://android-developers.googleblog.com/2022/10/google-play-games-beta-on-pc-continues-global-expansion.html" target="_blank">本周則宣布</a>將讓所有位於美國、加拿大、墨西哥、巴西、印尼、菲律賓、馬來西亞與新加坡的使用者下載Google Play Games測試版，同時調降可執行Google Play Games的系統需求。</p> <p>安裝<a href="https://support.google.com/googleplaygamesonpc/answer/11358071#minimum_requirements" target="_blank">Google Play Games的最低系統需求</a>為Windows 10作業系統，至少應有10GB的硬碟空間，具備8GB記憶體，Intel UHD Graphics 630等級以上的GPU，4核心以上處理器，也必須啟用硬體虛擬化功能，之後即可下載Google Play Games測試版。</p> <p>Google表示，在Windows電腦上執行Android遊戲將可帶來更好的圖像效果，還能使用鍵盤與滑鼠，亦可同步電腦與手機上的遊戲進度與Play Points。目前Google Play Games測試版提供85款行動遊戲供PC玩家使用。</p> <p><a href="https://www.ithome.com.tw/news/153375" target="_top">Google甫於今年9月宣布</a>，將在明年1月關閉遊戲串流平臺Stadia，2019年問世的Stadia原本計畫將遊戲透過雲端傳遞到電視、筆電、桌上型電腦、平板電腦與手機等各式裝置上，最後卻因吸引玩家的能力不如預期而宣告失敗。</p> <p>而Google Play Games同樣也標榜可讓使用者可將遊戲切換至不同裝置上執行，包括手機、平板電腦、PC或Chromebook等，同時強調開發人員只要撰寫一個Android遊戲，就能適用於不同的平臺。不過，比起Stadia，Google對於Google Play Games的宣傳與推動似乎低調也謹慎了許多。</p> </div></div></div>
2022/11/3 14:07作者陳曉莉https://www.ithome.com.tw/news/153987
Google正式關閉Hangouts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151633" target="_blank">一如Google今年6月的預告</a>，Google正式在本周二（11/1）關閉文字、影音聊天App Google Hangouts。</p> <p>4個月前，<a href="https://support.google.com/chat/answer/9854901" target="_blank">Google宣布分階段關閉Hangouts</a>，先是於7月關閉Android及iOS版Hangouts，也無法使用Chrome瀏覽器的Hangouts外掛。用戶必須升級到Web版Chat、Gmail中的Chat，或是安裝Chat App。Google規畫，會在11月1日關閉Web版Hangouts，並將Hangouts用戶導向Web版Chat，訊息及聯絡人資料也會轉到Chat。</p> <p>依據Google的規畫，Web版Hangouts已在本周二關閉。Google並計畫將會在2023年1月1日刪除Hangouts資料。</p> <p>Google Hangouts是Google文字傳訊App不怎麼成功的嘗試。它最初是Google +的一項功能，之後獨立成App，它在Google Play Store上的下載次數高達50億。2017年Google將Hangouts拆成視訊的Meet及文字傳訊用的Chat，又在2020年將Hangouts Meet的名稱改成Google Meet，顯示將淡化Hangouts品牌。果不其然，Google 2021年就允許Hangouts用戶轉到Chat，2022年6月再鼓勵用戶轉到Gmail中的Chat，或是Chat App。</p> <p>雖然Google能將大部份Hangouts對話自動搬移到Google Chat，但仍有部份對話無法成功轉移。針對一些資料移轉失敗的案例，Google已在9月間以電子郵件通知這些用戶。</p> <p>在11月為Hangouts畫上休止符後，Google提醒，如果用戶還想保留Hangouts資料，Google建議用戶應在今年12月31日以前，以移轉工具<a href="https://support.google.com/chat/answer/9854901" target="_blank">Google Takeout</a>下載備份。</p> </div></div></div>
2022/11/3 11:31作者林妍溱https://www.ithome.com.tw/news/153981
【資安日報】2022年11月1日，資料破壞軟體Azov Ransomware抗議西方國家對抗俄羅斯不力、澳洲國防部傳出…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安新聞網站Bleeping Computer揭露名為Azov Ransomware的資料破壞軟體，但竟出現駭客大言不慚謊稱是由知名資安研究員及資安新聞媒體組成，目的是讓這些捉賊的資安人員反而成為罪犯的替罪羔羊，使得受害者找上這些研究員與新聞網站解鎖檔案。</p> <p>澳洲國防部傳出資料外洩事故！他們表示內部成員的通訊資料，很可能因為外部合作廠商遭到勒索軟體而曝光，但該單位並未說明為何廠商持有長達5年的通訊資料記錄。</p> <p>為了強化勒索軟體的偕同防禦，美國最近舉辦跨國的勒索軟體防護會議，今年已邁入第二屆。相較於去年，今年不只有更多國家派出代表與會，美國政府也首度邀請企業代表參與。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/new-azov-data-wiper-tries-to-frame-researchers-and-bleepingcomputer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料破壞軟體Azov Ransomware抗議西方國家對抗俄羅斯不力，扯謊宣稱自己是特定資安研究員與資安新聞媒體，意圖栽贓陷害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/azov-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/azov-ransom-note.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，有人透過盜版軟體、序號產生器、廣告軟體等名義，散布名為Azov Ransomware的資料破壞軟體（Wiper）。</p> <p>但值得留意的是，這些攻擊者並非打算向受害者索討贖金，而是在發動攻擊後，透過留下的勒索訊息表達訴求，並聲稱與知名資安研究員、新聞媒體有關。駭客謊稱是名為Hasherazade的資安研究員，並表明發動攻擊是為了抗議克里米亞長年遭到俄羅斯占領，西方國家在協助烏克蘭做得不夠，並表示受害者若要恢復檔案，可尋求資安研究團隊MalwareHunterTeam、威脅情報業者Advanced Intelligence總裁Vitali Kremez，或是Bleeping Computer等。</p> <p>該新聞網站指出，上述的資安機構沒有參與勒索軟體攻擊，他們不可能會有解密金鑰，但已有受害者找上Bleeping Computer，且該新聞網站得知有烏克蘭組織受害，更糟的是，駭客疑似先執行Azov Ransomware，之後又在受害組織執行勒索軟體Stop，而使得檔案更難復原。</p> <h3><a href="https://www.theguardian.com/technology/2022/oct/31/cyber-attack-on-australian-defence-contractor-may-have-exposed-private-communications-between-adf-members"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲國防部人員疑似即時通訊內容外洩，暴露的對話記錄多達數萬筆，起因是承包商遭到網路攻擊</span></strong></a></h3> <p>根據衛報報導，澳洲國防部於10月31日證實，該國國防軍成員於通訊平臺ForceNet的對話內容，有可能因外部資通訊技術（ICT）承包商遭到勒索軟體攻擊而曝險。這些記錄總共約有3萬至4萬筆，為2018年至今的資料。</p> <p>澳洲國防部表示，此起事故並非ForceNet系統遭駭，而是該ICT業者所持有的資料曝險，他們正了解受害的範圍，但沒有透露攻擊事故相關細節，亦未公布ICT業者身分。</p> <h3><a href="https://www.stuff.co.nz/business/130310228/air-nz-faces-cyber-breach-multiple-accounts-compromised"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">紐西蘭航空遭到帳號填充攻擊，疑部分旅客帳號被挾持</span></strong></a></h3> <p>根據新聞網站Stuff報導，多名紐西蘭航空（Air New Zealand）旅客的帳號遭到鎖定，原因是該公司察覺鎖定客戶的帳號填充（credential stuffing）攻擊而採取相關行動。紐西蘭航空表示，此事故僅影響少部分客戶，但沒有敏感資料遭到駭客存取，也並未因此出現詐騙事件，再者，該公司強調，資安系統也並未遭駭。</p> <h3><a href="https://ke-la.com/wp-content/uploads/2022/10/KELA-RESEARCH_Ransomware-Victims-and-Network-Access-Sales-in-Q3-2022.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">570組網路存取帳密流入黑市兜售，總價達400萬美元</span></strong></a></h3> <p>威脅情報業者Kela公布今年第三季的勒索軟體及駭客出售組織網路存取管道的調查，該季初期存取掮客（IAB）於暗網兜售逾570個受害組織的網路存取帳密，總價值超過400萬美元。</p> <p>研究人員指出，這些帳密資料有3成位於美國，巴西、英國、加拿大、印度次之，約半數帳密資料分布於上述5個國家，其中最常見的帳密資料類型，為遠端桌面連線（RDP）與VPN所用。</p> <h3><a href="https://www.ftc.gov/news-events/news/press-releases/2022/10/ftc-brings-action-against-ed-tech-provider-chegg-careless-security-exposed-personal-data-millions"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國教育業者Chegg近年外洩4次用戶資料，FTC強制要求加強資料保護</span></strong></a></h3> <p>美國聯邦交易委員會（FTC）指控當地教育業者Chegg資料保護措施過於鬆散，自2017年3月至2020年1月共發生4起資料外洩事故，導致約4千萬名員工及客戶受害，FTC發出命令，要求Chegg必須加強資料安全機制。</p> <p>FTC指出，員工存取第三方資料庫時，Chegg並未要求須採用多因素驗證，甚至在雲端明文儲存所有個資，並以過時加密機制保護使用者密碼，且直到2021年1月才有正式的資安政策，對此，他們決定強制要求該公司執行相關資安防護措施。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://arstechnica.com/gadgets/2022/10/apple-clarifies-security-update-policy-only-the-latest-oses-are-fully-patched/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果對新舊版系統平臺漏洞修補並未採取對等重視態度，並對此提出解釋</span></strong></a></h3> <p>有研究人員發現蘋果並未對於新舊版本電腦、手機作業系統一視同仁，修補同樣曝險的漏洞，這樣的現象似乎也能從蘋果近期的文件得到證實。根據科技新聞網站Ars Technica報導，蘋果在近期說明軟體升級與更新之間差異的文件裡提及，因架構與系統變更需要搭配最新版macOS作業系統，但對於其他仍受到支援的舊版本，他們表示，並非所有的弱點都能解決。而廠商既然採取這樣的態度，也使得資安研究員呼籲使用者，最好使用最新版作業系統才能獲得較為完整的防護。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.nextgov.com/emerging-tech/2022/10/white-house-kicks-second-international-counter-ransomware-initiative-summit/379113/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國舉行第二屆跨國反勒索軟體合作會議，今年共有37國、13企業參與</span></strong></a></h3> <p>為因應勒索軟體威脅，美國白宮今年於10月31日至11月1日，第2次舉辦反勒索軟體倡議高峰會（Counter-Ransomware Initiative），總共有36個國家及歐盟的代表參與，並首度邀請企業與會──這些企業包含了微軟、CrowdStrike、Palo Alto Networks、SAP、西門子等。對於這次會議的目標，美國白宮希望能制訂全球認同的網路規範，來打擊勒索軟體犯罪並追究相關責任。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.netlab.360.com/ddosmonster_the_return_of__fodcha_cn/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">DDoS殭屍網路Fodcha捲土重來，攻擊規模達到Tbps等級，基礎設施變得更加隱密</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153920"><span style="color: rgb(0, 0, 0);">SaaS應用安全業者Valence Security完成2,500萬美元的A輪增資</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153919"><span style="color: rgb(0, 0, 0);">蘋果成立全新安全研究網站，公布新的裝置研究專案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://medium.com/s2wblog/unveil-the-evolution-of-kimsuky-targeting-android-devices-with-newly-discovered-mobile-malware-280dae5a650f"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky鎖定南韓安卓用戶散布惡意軟體</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153924">【2022年10月31日】德國銅供應商Aurubis遭到網路攻擊、GitHub出現可利用重新命名來挾持儲存庫的漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153894">【2022年10月28日】親中駭客Dragonbridge散布假訊息操縱美國政局、資料庫程式庫SQLite修補22年的高風險漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153854">【2022年10月27日】 Kiss-a-Dog攻擊行動鎖定存在漏洞的Docker與K8s而來、OpenSSL預告修補重大漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/1 18:30作者周峻佑https://www.ithome.com.tw/news/153961
【資安日報】2022年10月28日，親中駭客Dragonbridge散布假訊息操縱美國政局、資料庫程式庫SQLite修…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是中國駭客打算散布不實訊息的情況！駭客組織Dragonbridge藉由設置假社群網站帳號、竄改新聞的方式，針對美國散布了一系列假訊息。其中，最離譜的應該就屬中國駭客組織APT41受美國政府指使，攻擊其他國家政府組織的假新聞。</p> <p>臺灣民眾個資再度傳出流入駭客論壇轉賣的情況！有新聞網站指出，駭客宣稱握有近乎全臺灣民眾的戶藉資料，且內容相當詳細、資料也相當新。但對此報導，內政部尚未提出進一步說明。</p> <p>過往可能因為運算能力受限而不被視為漏洞的問題，現在被發現可能會造成嚴重影響！有資安業者揭露SQLite的漏洞CVE-2022-35737，並指出攻擊者只要能置入極大量的字串，就有可能癱瘓採用該程式庫的應用程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.mandiant.com/resources/blog/prc-dragonbridge-influence-elections"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">親中駭客Dragonbridge企圖透過假訊息操縱美國政局，並竄改新聞聲稱駭客組織APT41受美國政府指使發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/dragonbridge-elections-fig2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dragonbridge-elections-fig2.png" style="width: 300px; float: right;" /></a>駭客組織透過不實言論，企圖影響其他國家政經局勢的情況，先前<a href="https://www.ithome.com.tw/news/151686#dragonbridge">中國駭客組織Dragonbridge就針對澳洲、美國、加拿大的稀土業者散布不利訊息</a>，而這些駭客近期又有新的攻擊行動。資安業者Mandiant揭露Dragonbridge新一波的攻擊行動，這些駭客假冒關注中國網路犯罪圈的組織、竄改新聞內容等方式，散布不實訊息──他們宣稱美國政府指使駭客組織APT41攻擊6個國家的政府機關、並企圖阻止美國民眾在期中選舉投票，以及散布美國為了自己的經濟利益，竟轟炸位於波羅的海的北溪天然氣管線。</p> <h3><a href="https://www.peoplenews.tw/articles/5f8b568f47"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2千3百萬臺灣民眾個資疑似流入駭客論壇兜售</span></strong></a></h3> <p>根據新聞網站民報的報導，一名不願具名的資安研究人員向他們透露，使用OKE為ID的人士，於10月21日在駭客論壇Breach Forums（breached.to）上，兜售我國的戶政資料，並聲稱買家取得後可找到任何臺灣人及他們的家人資料，包含兵役、學歷，以及居住地址等，這名人士握有23,572,055筆戶籍資料，並提供約20萬筆樣本資料讓買家檢驗資料的真實性。</p> <h3><a href="https://www.facebook.com/groups/rayforum/posts/5543651542381625/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者數聯資安遭到冒用，駭客假借資安審查的名義發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/issdu-statements.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/issdu-statements.png" style="width: 300px; float: right;" /></a>有人在資安社團雷神講堂指出，他們收到一封假冒資安業者數聯資安發送的釣魚郵件，寄件者聲稱收信人所屬企業出現可疑流量，很可能遭到境外惡意網路攻擊，將依據國家資通安全管理法展開「資通安全審查」，要求收信人使用信件所提供的密碼，在指定期限內打開附件的審查工具，並依照指示完成操作。然而這封郵件採用許多中國用語及標點符號，使得收信人察覺有異，呼籲其他收到相同信件的人士務必要提高警覺。</p> <p>對此，<a href="https://www.issdu.com.tw/news_detail.php?id=26&csrt=953609337917490461">數聯資安也發出聲明</a>，他們並未發送這種要求企業配合資安審查的郵件，並建議收信人可向他們進一步確認此事。</p> <h3><a href="https://www.armorblox.com/blog/linkedin-email-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國際旅遊組織遭到鎖定，駭客假借LinkedIn的名義發動網釣攻擊，並繞過Google Workspace郵件防護機制</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/li-email-attack-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/li-email-attack-flow.png" style="width: 300px; float: right;" /></a>郵件安全業者Armorblox揭露鎖定國際旅遊組織的網路釣魚攻擊，駭客假借職場社群網站LinkedIn的名義，聲稱收信人的帳號出現異常活動，他們已經限縮該帳號的功能，並要求收信人24小時內重新登入進行確認，讓自己的帳號得到保護，否則帳號有可能就會遭到關閉。</p> <p>但研究人員指出，這起事故與多數網釣攻擊的不同之處，在於駭客設法通過了SPF及DMARC等電子郵件驗證機制，而使得該組織採用的Google Workspace予以放行，駭客成功將釣魚郵件寄給近500個使用者。</p> <h3><a href="https://blog.cyble.com/2022/10/18/ermac-android-malware-increasingly-active/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客佯稱提供知名應用程式，引誘Windows、Android使用者下載，目的是散布多種惡意軟體</span></strong></a></h3> <p>資安業者Cyble揭露惡意軟體Ermac的攻擊行動，駭客假冒知名的支付系統PayPal，以及社群網站Snapchat、TikTok等，引誘安卓手機用戶下載APK安裝程式，受害者如果照做，手機就會被植入Ermac，該惡意軟體會針對467種應用程式發動攻擊，挾持銀行帳戶或是加密貨幣錢包。</p> <p>資安新聞網站Bleeping Computer進一步調查後發現，使用Ermac的駭客不光針對安卓手機用戶下手，Windows電腦也是他們的攻擊目標。該新聞網站看到駭客利用超過90個網站來發動攻擊，這些網站冒用至少27個知名應用程式、加密貨幣錢包、股票下單軟體，如果Windows使用者上當，電腦就有可能被植入竊取軟體Vidar Stealer、木馬程式Agent Tesla等惡意軟體，或是駭客會偷取加密貨幣錢包的通關密語（Seed Words）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://blog.trailofbits.com/2022/10/25/sqlite-vulnerability-july-2022-library-api/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料庫程式庫SQLite修補存在達22年的高風險漏洞</span></strong></a></h3> <p>資安業者Trail of Bits揭露整數溢位漏洞CVE-2022-35737，這項漏洞存在於資料庫程式庫SQLite，CVSS風險評分為7.5分。由於Windows、macOS、iOS、Android作業系統都內建該程式庫，Chrome、Firefox、Safari等瀏覽器也採用此元件，影響範圍可說是相當廣泛。</p> <p>造成此漏洞的程式碼是從2000年推出的1.0.12版SQLite導入，攻擊者可透過超大型字串，針對64位元作業系統發動攻擊，進而繞過SQLite的printf輸出功能，導致應用程式當機。研究人員表示，若是攻擊者的字串包含了Unicode特殊字元，還有可能讓攻擊者執行任意程式碼，或是使得應用程式停止運作，且這樣的情況還會幾近無限循環出現。SQLite開發團隊獲報後，於今年7月21日發布3.39.2版予以修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://blog.linkedin.com/2022/october/25/new-linkedin-profile-features-help-verify-identity--detect-and-r" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為改善假帳號氾濫的情況，LinkedIn祭出多項安全措施</span></strong></a></h3> <p>駭客濫用職場社群網站LinkedIn設置假資料的情況，已傳出數起事故，例如，<a href="https://www.ithome.com.tw/news/153411#fortune500-cso-linkedin">有人在該社群網站自稱是大型企業的資安長</a>，且影響Google搜尋引擎的搜尋結果，企圖混淆視聽。針對這類情況，LinkedI於10月25日宣布，他們即將提供數項新功能，讓使用者更能識別他人的帳號的真實性。</p> <p>首先，他們提供了「關於此個人檔案（About This Profile）」項目，顯示該名使用者是否通過電話和電子郵件信箱的驗證；再者，則是該公司將透過深度學習模型，來找出使用AI合成的照片；而針對攻擊者可能會要求改以其他即時通訊軟體進一步交流的情況，LinkedIn也將提供警示功能，提醒用戶可能有詐。</p> <h3><a href="https://news.samsung.com/global/samsung-releases-maintenance-mode-a-new-feature-to-hide-your-personal-information-from-prying-eyes" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為避免使用者送修手機資料外流，三星推出「維修模式」</span></strong></a></h3> <p>不肖維修人員窺探手機用戶資料的情況陸續傳出事故，現在有手機業者打算提供新的機制來防範這類情形。三星於10月25日宣布，他們將提供旗下手機「維修模式（Maintenance Mode）」，使用者將送修的手機交給維修人員之前，啟用此功能，維修人員將無法存取用戶資料或是App，但能執行手機的核心功能，而能夠進行維修並進行驗證，過程中所產生的資料都會在關閉維修模式之後清除。</p> <p>這個模式目前提供給執行Android 13及One UI 5.0的三星手機，而該公司旗下現在已支援上述作業系統及桌面環境的手機，僅有Galaxy S22、Galaxy S22+，以及Galaxy S22 Ultra。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-york-post-hacked-with-offensive-headlines-targeting-politicians/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國新聞媒體紐約郵報證實遭駭，網站與推特帳號發布攻擊政治人物的標題</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/twilio-discloses-another-hack-from-june-blames-voice-phishing/"><span style="color: rgb(0, 0, 0);">雲端通訊業者Twilio針對7月遭駭事件公布新的調查結果，駭客曾在6月底先發動語音網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/australian-clinical-labs-says-patient-data-stolen-in-ransomware-attack/"><span style="color: rgb(0, 0, 0);">澳洲臨床實驗室ACL遭勒索軟體攻擊，12.8萬人資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://investors.knowbe4.com/news-releases/news-release-details/knowbe4-be-acquired-vista-equity-partners-46-billion/"><span style="color: rgb(0, 0, 0);">美國投顧公司Vista Equity Partners投入46億美元，買下資安教育訓練業者KnowBe4</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153854">【2022年10月27日】 Kiss-a-Dog攻擊行動鎖定存在漏洞的Docker與K8s而來、OpenSSL預告修補重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153843">【2022年10月26日】印度大型電力公司Tata Power遭勒索軟體Hive攻擊、VMware修補Cloud Foundation重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153807">【2022年10月25日】巴基斯坦組織遭駭客SideWinder發動後門程式攻擊、蘋果修補已被用於攻擊的iOS零時差漏洞</a></strong></strong></strong></p> </div></div></div>
2022/10/28 16:29作者周峻佑https://www.ithome.com.tw/news/153894
三星手機增加維修模式防送修時資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsung-releases-maintenance-mode-a-new-feature-to-hide-your-personal-information-from-prying-eyes" target="_blank">三星宣布在全球推出維修模式（maintenance mode）</a>，適用於特定三星Galaxy手機，防止用戶裝置送修時個人資料或相片外洩。</p> <p>三星之前在南韓測試維修模式，並在中國率先推出。維修模式可讓Galaxy 裝置送修時讓使用者封鎖像是相片、訊息或聯絡人等個人資訊的存取，確保用戶隱私。</p> <p>維修模式主要原理很簡單，即是在手機上新增多個用戶帳號的實作。它讓用戶可在送修時新增另一個用戶帳號，提供維修人員操作裝置的核心功能，但無法存取任何個人隱私資料。使用者可以透過「設定」>「電池與裝置照護」下找到「維修模式」，再重新啟動手機。手機重新啟動後即進入維修模式，所有用戶個人資訊，包括相片、文件或訊息都無法被他人存取，使用者安裝的App也無法使用。</p> <p>在維修模式下，用戶或維修人員可以由Galaxy Store下載App，但是這些App連同這個模式下產生的資料或帳號，都會在用戶離開維修模式時一併自動刪除。</p> <p>三星提醒，為免萬一，用戶應在啟動維修模式前將個人資料備份。</p> <p>維修模式僅包含在Android 13（One UI 5.0），三星本周一才將Android 13（One UI 5.0）更新部署給Galaxy S22、Galaxy S22+及Galaxy S22 Ultra用戶。</p> </div></div></div>
2022/10/27 15:05作者林妍溱https://www.ithome.com.tw/news/153851
UI開發工具包Jetpack Compose添加Material Design 3控制並且開始支援大螢幕裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布UI應用程式開發工具包<a href="https://android-developers.googleblog.com/2022/10/whats-new-in-jetpack-compose.html">Jetpack Compose最新版本</a>，這個10月更新添加了新的Material Design 3支援，以及讓開發者可以輕鬆追蹤Compose元件版本的物料清單功能，還有Jetpack Compose現在也能用於Android TV等大螢幕裝置的應用程式開發上。</p> <p>Google新發布的Compose Material 3函式庫穩定版，可供開發者以設計系統Material Design 3建構應用程式的主題，進一步自定義應用程式的顏色、排版和形狀，該函式庫包含許多UI元件更新，包括按鈕、卡片、複選框以及導航欄等。開發者可以參考Google新的移植指南，加速轉移到Material 3上，而Android Studio Flamingo目前也已經預設採用Material 3。</p> <p>而官方針對開發者需要追蹤各構件版本的需求，在最新的Compose加入BOM（Bill of Materials）功能，BOM是一個Maven模組，宣告了一組函式庫和其版本，這將能大幅簡化開發者在Gradle相依項目模塊中定義Compose函式庫版本的方法，特別是Google現在對不同的Jetpack Compose函式庫採用個別版本號，這將使過去追蹤版本號的方法更加麻煩且容易出錯。</p> <p>現在開發者只要定義一個BOM版本，所有Compose函式庫版本都會從該BOM版本擷取，當Compose構件有新的穩定版本時，Google也會發布新版本的BOM，因此開發者要從穩定版搬遷至另一個穩定版也會簡單許多。添加BOM的好處是能夠簡化相依關係，使升級更容易，不過，開發者還是可以用原本寫死的方式定義相依項目。</p> <p>Google還推出了Relay Alpha版本，Relay是從設計端到程式碼端的協作工具，設計師可以在Figma上創建UI元件，而開發者藉由使用Android Studio擴充套件就能夠自動使用這些元件，生成的元件是可組合的函式，因此可以直接整合到Compose應用程式中。</p> <p>Jetpack Compose現在也可被用於開發WearOS、大螢幕和電視應用程式，Google在7月時發布Wear Compose穩定版，提供了20多個專為穿戴式裝置設計的Compose UI元件，而Google持續發展Jetpack Compose，現在已經可用於可折疊裝置、平板電腦和Chrome OS等大螢幕應用程式。</p> </div></div></div>
2022/10/26 05:00作者李建興https://www.ithome.com.tw/news/153809
【資安日報】2022年10月24日，Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache於10月13日，針對9月底修補的Commons Text重大漏洞Text4Shell提出警告，並引起許多研究人員的高度關注，原因是這項漏洞很可能會帶來類似Log4Shell的災難，事隔不到一個星期，數家資安業者已觀察到積極探測漏洞的攻擊行動。</p> <p>VMware於今年4月修補身分管理系統Workspace ONE Access的重大漏洞，最近2個多月以來，已經用於攻擊行動，像是部署勒索軟體、挖礦程式、殭屍網路病毒。</p> <p>網路釣魚攻擊日益囂張，現在有人把壞腦筋動到沙烏地阿拉伯民眾！根據資安廠商的調查，出現利用假造的政府入口網站進行網釣攻擊的活動，對方不只竊取受害者的個資，也將洗劫他們的銀行帳戶。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://thehackernews.com/2022/10/hackers-started-exploiting-critical.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Apache Commons Text重大漏洞Text4Shell傳出相關攻擊行動</span></strong></a></h3> <p>Apache修補Commons Text程式庫重大漏洞CVE-2022-42889（亦稱Text4Shell），並於10月13日發布資安通告，很快就有駭客嘗試尋找可被攻擊的目標。自10月18日開始，資安業者Wordfence、Zscaler、Checkmarx提出警告，已有攻擊者開始在網路上進行掃描，研究人員認為，雖然此程式庫漏洞不像Log4Shell那麼容易被利用，但要是攻擊者成功運用，將有可能引發嚴重的RCE攻擊事故。</p> <h3><a href="https://www.fortinet.com/blog/threat-research/multiple-malware-campaigns-target-vmware-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware身分驗證管理系統的重大漏洞遭到利用，被用於部署多種惡意程式</span></strong></a></h3> <p>資安業者Fortinet提出警告，VMware身分驗證管理系統Workspace ONE Access（原Identity Manager）近期遭到鎖定，駭客針對今年4月修補的漏洞CVE-2022-22954（CVSS風險評分為9.8分），約自8月開始部署殭屍網路病毒Mirai的變種、勒索軟體RAR1Ransom，以及挖礦程式GuardMiner。</p> <p>研究人員指出，其中駭客散布RAR1Ransom與GuardMiner的攻擊行動同時針對Windows與Linux電腦而來，該工具套件會在Windows電腦上部署勒索軟體RAR1Ransom，並會在Linux主機上植入挖礦軟體GuardMiner。</p> <h3><a href="https://cloudsek.com/threatintelligence/phishing-campaign-targeting-the-saudi-government-service-portal-absher/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">沙烏地阿拉伯政府入口網站遭仿冒，對當地民眾進行網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-21203-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-21203-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現，有人假冒沙烏地阿拉伯政府的名義，建置假的當地政府入口網站Absher，藉由網釣簡訊要求民眾更新帳號資訊，一旦受害者依照指示操作，攻擊者就會要求他們存取假的Absher登入網站，並要求輸入手機收到的4位數OTP驗證碼，通過上述身分驗證後，就會要求受害者填寫註冊表單，隨後又會要綁定銀行帳戶，不僅竊取這些民眾的個資，還可能會將他們的銀行帳戶存款洗劫一空。</p> <h3><a href="https://www.securityweek.com/irans-nuclear-agency-says-email-server-hacked"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗原子能源組織郵件伺服器傳出遭駭，疑與當地女權抗議活動有關</span></strong></a></h3> <p>9月下旬伊朗婦女瑪莎；阿米尼（Mahsa Amini）死亡，引發當地民眾抗議，如今也出現相關的網路攻擊事故。根據法新社（AFP）的報導，名為Black Reward的駭客組織，於10月21日要脅公布德黑蘭核能計畫機密資料，要求政府釋放所有的政治犯，以及在示威中遭逮捕的人士，並於隔日公開部分文件。伊朗原子能源組織（AEOI）於10月23日證實，他們位於波斯灣沿岸的布什更爾核電廠郵件伺服器，遭到境外流量攻擊，外洩的電子郵件內容，包含了與其他組織的技術交流。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-294a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Daixin鎖定美國醫療機構下手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Daixin_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Daixin_ransom_note.png" style="width: 300px; float: right;" /></a>美國網路安全暨基礎設施安全局（CISA）、美國衛生及公共服務部（HHS）、美國聯邦調查局（FBI）聯手發布資安通告，名為Daixin的勒索軟體組織自今年6月開始，針對當地醫療機構的多種系統發動攻擊，並竊取病人健康資訊（PHI）及個人資料（PII）。駭客透過VPN伺服器進行入侵，一旦進入受害組織內部環境，就會利用遠端桌面連線（RDP）或SSH連線進行橫向移動，進而設法提升權限後再加密檔案。</p> <h3><a href="https://www.straitstimes.com/singapore/data-of-alleged-26m-carousell-accounts-being-sold-on-dark-web-hacking-forums"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">旋轉拍賣傳出資料外洩，260萬名用戶資料流入暗網</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/carou20leak20censor_7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/carou20leak20censor_7.png" style="width: 300px; float: right;" /></a>根據新加坡海峽時報（The Straits Times）報導，網路市集旋轉拍賣（Carousell）於10月21日證實，他們在本月14日察覺資料外洩的跡象，估計有195萬名用戶受到影響。事隔數日，該報引述星期日泰晤士報的調查指出，駭客在暗網上以1千美元的價格，兜售該市集260萬名用戶個資，這筆資料的檔案大小約2 GB，於10月12日上傳，內容包含受害者的ID、姓名、電子郵件信箱、手機號碼、國籍等資料。駭客聲稱相關資料是透過某個漏洞取得，目前已賣給5個買家。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.helpnetsecurity.com/2022/10/21/cve-2022-20822-cve-2022-20959/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科公告身分驗證系統的2個漏洞，但僅修補1個，另1個預計1個月後修補，恐造成防護空窗期</span></strong></a></h3> <p>思科針對旗下的身分驗證系統Identity Services Engine於10月19日發布2則資安通告，揭露該系統存在的漏洞CVE-2022-20822及CVE-2022-20959，前者是路徑遍歷漏洞，攻擊者可藉由發送特定的HTTP請求來利用漏洞，進而讀取或刪除系統上需要高權限才能存取的檔案；後者則是跨網站指令碼（XSS）漏洞，攻擊者可引誘管理員點擊惡意連結來達成目的，並存取敏感資訊。</p> <p>思科已針對CVE-2022-20959發布修補程式，但另一個漏洞的修補程式則預計要下個月才開始提供。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://borncity.com/win/2022/10/21/metro-gruppe-doch-opfer-eines-cyberangriffs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">餐飲批發業者Metro遭到網路攻擊，IT系統服務中斷</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/blackbyte-exbyte-ransomware"><span style="color: rgb(0, 0, 0);">勒索軟體BlackByte透過洩密工具Exbyte外流受害組織資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/typosquat-campaign-mimics-27-brands-to-push-windows-android-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體Ermac假冒27個品牌，引誘Windows、Android使用者下載</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153764">【2022年10月21日】 WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> </div></div></div>
2022/10/24 18:30作者周峻佑https://www.ithome.com.tw/news/153798
McAfee揭露安裝數達2,000萬的16款廣告詐騙程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-malicious-clicker-found-in-apps-installed-by-20m-users/" target="_blank">資安業者McAfee近日揭露</a>，有一新的Clicker廣告詐騙程式藉由16款行動程式成功潛入Google Play，而這些程式的總安裝數量估計達到2,000萬次。</p> <p>Clicker惡意程式是以非法的廣告收入為目標，通常是偽裝成使用者的合法廣告點擊行為，而可能破壞行動廣告的生態體系。被嵌入新版Clicker的程式多是熱門類別，如手電筒程式、二維條碼讀取程式、相機程式、單位轉換工具，或是任務管理員等。</p> <p class="rtecenter"><img alt="" src="https://www.mcafee.com/blogs/wp-content/uploads/2022/10/dx2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／McAfee</span></span></p> <p>在使用者安裝其中一款程式並開啟之後，它就會執行HTTP請求，以下載一個遠端配置，繼之註冊Firebase雲端傳訊（Firebase Cloud Messaging，FCM）接收程式，以接收推播訊息，看起來像是設計精良的Android程式，但研究人員卻發現，駭客只是利用遠端配置與FCM技術來掩飾它們的廣告詐騙功能。</p> <p>當程式接收到FCM訊息且符合特定條件之際，Clicker即會造訪該訊息所遞送的網站，並於背景模仿使用者行為以瀏覽這些網站，將在使用者不知情的狀況下使用大量頻寬或耗費電力，同時替駭客創造廣告收入。</p> <p>Google已在McAfee的知會下將它們全數自Google Play上移除。</p> </div></div></div>
2022/10/24 12:10作者陳曉莉https://www.ithome.com.tw/news/153791
Windows Subsystem for Android將支援Android 13
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/10/20/update-to-windows-subsystem-for-android-on-windows-11-october-2022/" target="_blank">微軟本周針對Dev與Beta頻道更新</a>了Windows 11上的 Windows Subsystem for Android（WSA），並悄悄地<a href="https://github.com/microsoft/WSA" target="_blank">於GitHub上公布WSA的未來發展藍圖</a>，透露出它將支援Android 13，也會有傳檔、捷徑、子母畫面，以及預設的本地網路存取功能。</p> <p class="rtecenter"><a href="http://github.com/microsoft/WSA" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1021-Windows%20Subsystem%20for%20Android%20Developers-Future%20Roadmap%20on%20GitHub.png" style="width: 550px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>WSA將允許使用者於Windows裝置上執行Android程式，現在主要與Amazon合作，<a href="https://apps.microsoft.com/store/detail/windows-subsystem-for-android%E2%84%A2-with-amazon-appstore/9P3395VX91NR?hl=en-us&gl=us" target="_blank">Windows 11用戶可透過Microsoft Store</a>安裝Amazon Appstore，在安裝Amazon Appstore的過程中，系統即會提醒使用者安裝WSA。微軟已於全球31個國家支援Amazon Appstore的下載及安裝，提供逾2萬種的Android程式。</p> <p>現在的WSA所支援的Android版本為Android 12.1（Android 12L），本周的更新改善了剪貼簿的穩定性、圖像串流的安全性、多執行緒效能，以及升級至Chromium WebView 105與執行Linux核心的安全更新等。</p> <p>而在未來的WSA藍圖中，除了將支援Android 13之外，新增的傳檔功能可望讓使用者於Android容器與Windows之間互傳檔案。</p> <p>迄今微軟並未透露究竟有多少Windows用戶下載並安裝了Amazon Appstore與WSA。</p> </div></div></div>
2022/10/21 14:50作者陳曉莉https://www.ithome.com.tw/news/153759
Android 13 Go版本來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年8月15日<a href="https://blog.google/products/android/android-13/" target="_blank">發布了Android 13正式版</a>，專供低階手機使用的<a href="https://blog.google/products/android/android-13-go-edition/" target="_blank">Android 13 Go版本則在本周問世</a>，同時Google也宣布全球已有2.5億人口使用Go版的Android手機。</p> <p>Android Go是瘦身版的Android作業系統，它的執行更輕盈也更省資料，以讓原始設備製造商（OEM）可打造更輕濟實惠的入門級裝置，造福更多的使用者，在Google首度於2017年推出Android 8的Go版時，手機的最低記憶體需求只有512MB，但隨著需求擴充與零件價格的下跌，如今支援Android 13 Go版的手機，已必須具備至少2GB的記憶體空間。</p> <p>但每年Google仍會持續優化Go版Android的資源使用，或是改善這些低階手機的能力，例如Android 12 Go版就具備更快的程式啟用、更長的電池續航力、更容易的程式分享，也提供更多的隱私控制。</p> <p>至於今年的Android 13 Go版則嵌入了Google Play System Updates，以讓Go裝置隨時接收各種重要的軟體更新，而不必等到裝置製造商釋出更新；也新增了Material You讓Go版用戶可客製化手機桌面；亦有諸如通知權限（Notification Permissions）與程式語言偏好（App Language Preferences）等Android 13的功能。採用Android 13 Go版的手機可望於明年上市。</p> </div></div></div>
2022/10/20 21:59作者陳曉莉https://www.ithome.com.tw/news/153736
Google Play服務中的TensorFlow Lite現已成為Android官方指定機器學習引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/10/latest-updates-on-androids-custom-ml.html">Google宣布更新Android自定義的機器學習堆疊</a>，這是一組在Android上部署自定義機器學習功能的基本API和服務。</p> <p>由於裝置上機器學習的各種優點，包括離線可用、更低的延遲、更好的隱私和更低的推論成本，因此比起以伺服器為基礎的機器學習，能夠提供更好的效能。開發人員在Android上建構機器學習應用時，有兩個方法可選，第一種是使用生產就緒，帶有預訓練和最佳化的機器學習模型SDK，當開發者想要有更多的控制，就可以選擇部署自己的自定義機器學習模型和功能。</p> <p>Google現在更新Google Play服務中的TensorFlow Lite，作為Android官方機器學習推理引擎，Google由於想要取代獨立的TensorFlow Lite，因此在Google I/O 2021大會中，宣布於Google Play服務中推出TensorFlow Lite早期存取預覽。</p> <p>而從發布到現在，Google Play服務中的TensorFlow Lite，已經透過數萬個應用程式，每月對數十億個用戶提供服務。在上個月，Google在Play服務中發布TensorFlow Lite穩定版，而現在，Google將其預設為Android官方機器學習推論引擎。</p> <p>在Google Play服務中使用TensorFlow Lite的好處是，可以縮小二進位檔案的容量，並透過自動更新獲得效能改進，同時也更容易與Android自定義機器學習堆疊之後的API和服務更新整合。</p> <p>另外，TensorFlow Lite Delegates現在也透過Google Play服務發布。在數年前，Google發布的GPU委派和NNAPI委派，讓開發者可以使用GPU、DSP或NPU等特殊硬體，而GPU和NNAPI委派現在則是透過Google Play服務發布。</p> <p>在不少進階用例，開發人希望可以直接使用自定義委派，因此Google也正與硬體廠商合作，藉由Google Play服務來擴大自定義委派存取。官方提到，因為硬體的差異，要針對最佳化硬體加速配置，在執行時對所有Android使用者，挑選最佳TensorFlow Lite Delegates有其困難。</p> <p>為了解決這個困難，Google正在建立一個新的API，使應用程式可以在執行時，替TensorFlow Lite模型安全地最佳化硬體配置，目前這個功能正在早期存取階段，開發者需要額外申請才能使用，官方預計會在明年初時公開發布。</p> </div></div></div>
2022/10/20 22:59作者李建興https://www.ithome.com.tw/news/153735
知名廣告封鎖列表EasyList遭大量印度劣質瀏覽器存取導致服務異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幾乎受全部廣告封鎖軟體採用的<a href="http://adguard.com/en/blog/easylist-filter-problem-help.html">廣告過濾器列表EasyList，近期遭遇持續的大流量存取</a>，造成眾多廣告封鎖軟體存取這份容量不大的txt檔需耗時約5分鐘，而EasyList維護者正在尋求專業資安人員協助。</p> <p>每個廣告封鎖軟體都需要使用過濾列表，並依據規則來封鎖廣告，而EasyList是一個由社群共同運作的專案，是目前全世界最受歡迎的廣告過濾器列表，幾乎所有使用封鎖軟體使用者，都曾使用過EasyList或是其衍伸產品。</p> <p>但從9月底的開始，EasyList的存取流量突然暴增，從原本每日數TB瞬間增加10到20倍，而根據調查，這些流量的源頭來自印度的Android裝置，而封鎖軟體Adguard在去年也遭遇相同的問題，經過調查也是遭具有廣告攔截功能的應用程式濫用導致。</p> <p>Adguard提到，這兩個事件的原因都很類似，是一個具有廣告封鎖功能的開源Android瀏覽器，在印度被幾個非常流行的瀏覽器分叉，但問題是，這個開源瀏覽器有一個設計缺陷，會在每次啟動時，自動重新下載過濾器更新，在Android裝置上每天會發生數次，即便瀏覽器在後臺運作，瀏覽器仍會嘗試執行更新。</p> <p>當Adguard去年遭遇這種情況，採用的解決方案是直接阻擋這些失控的流量，但儘管如此，Adguard每月都還是需要提供約100 TB的拒絕存取頁面。Adguard曾嘗試聯絡其中兩個瀏覽器開發人員，但是問題並沒有獲得解決，甚至變得更糟糕。</p> <p>EasyList託管在GitHub上並且使用CloudFlare代理，但是因為EasyList是一個社群專案，因此僅能使用CloudFlare非企業功能，暴增的EasyList流量使現在所有對EasyList檔案的請求都受到限制，導致不少廣告封鎖軟體都無法下載過濾器更新，這個問題可能迫使EasyList必須要更改網域名稱，否則有問題的瀏覽器會繼續使用easylist.to。</p> <p>廣告封鎖軟體現在都採取相對應的措施，Adguard採用自己的伺服器來託管列表，而其他廣告封鎖軟體則是切換到鏡像網域。不過，EasyList遭濫用的根本問題仍然沒有被解決，這些有問題的瀏覽器可能還會對新的鏡像網域產生DDoS流量。</p> <p>由於EasyList社群無法支付CloudFlare企業方案的費用，更改網域或許是一個選擇，但會影響數百個仰賴EasyList的開源專案，因此目前社群正尋求安全研究人員協助解決。</p> </div></div></div>
2022/10/20 21:46作者李建興https://www.ithome.com.tw/news/153724
蘋果更新iPad家族，搭載M2晶片的iPad Pro問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周二（10/18）更新了iPad家族產品線，此次更新的是<a href="https://www.apple.com/newsroom/2022/10/apple-unveils-completely-redesigned-ipad-in-four-vibrant-colors/" target="_blank">入門款的iPad</a>，以及最高階的<a href="https://www.apple.com/newsroom/2022/10/apple-introduces-next-generation-ipad-pro-supercharged-by-the-m2-chip/" target="_blank">iPad Pro</a>。它們都採用最新的iPadOS 16作業系統，但前者搭載的是2020年用於iPhone 12上的A14仿生晶片，後者則是搭載今年才問世、已應用於Mac產品線上的M2晶片，第十代iPad的最低售價為449美元（臺灣售價14,900元新臺幣），iPad Pro則是799美元（27,900元新臺幣），即日起開放預購，預計於10月26日出貨，惟臺灣上市日期未定。上一代的iPad與iPad Pro都是在去年出爐。</p> <p>相較於第九代的iPad採用10.2吋螢幕、A13晶片、800萬與1,200萬畫素的相機，新一代iPad將螢幕尺寸擴大到10.9吋，採用A14晶片，相機全面升級至1,200萬畫素與橫向超廣角。升級的晶片讓第十代iPad的CPU與繪圖效能改善了20%與10%，機器學習能力則增加了80%，蘋果亦號稱它的速度是市場上最熱門Android平板電腦的5倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Apple-iPad-10th-gen-Liquid-Retina-display-221018.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p>此外，新iPad支援Wi-Fi 6、5G與USB-C，另一個賣點則是它更多彩了，提供銀色、藍色、粉紅色與黃色供消費者選購。在第十代iPad發表之際，蘋果官網仍持續銷售第九代iPad，價格為329美元（10,900元新臺幣）。</p> <p>高階的iPad Pro則有11吋與12.9吋兩種版本，與前一代的主要差異在處理器。M2處理器本身的8核CPU就比M1快了15%，其10核GPU的繪圖效能亦比前一代快了35%，記憶體頻寬亦比M1多出50%，使得新版iPad Pro在處理機器學習任務上更為強大。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Apple-iPad-Pro-Magic-Keyboard-M2-hero-2up-221018.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>此外，新一代的iPad Pro與iPadOS 16進一步釋放了第二代Apple Pencil的能力。現在iPad Pro可偵測到位於螢幕上方1.2公分處的Apple Pencil，讓使用者可更精準地落筆，例如在手寫轉文字的Scribble功能中，在Apple Pencil靠近螢幕時，Scribble的文字欄位便會自動變大，而且轉換時間也更快。</p> <p>M2版iPad Pro支援Wi-Fi 6E及5G，11吋版本的最低售價為799美元（27,900元新臺幣），12.9吋版本則是1,099美元（37,900元新臺幣）。</p> <p>上述新款iPad都採用最新的iPadOS 16，新版Messages允許使用者編輯與收回訊息，或是回復所刪除的訊息；新增的生產力程式Freeform可支援Apple Pencil與協作；Safari將能與他人共享分頁群組；可設定郵件寄送時間或是刪除剛寄出的郵件；還有可自動辨識圖片中文字的Live Text功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Apple-WWDC22-iPadOS-16-Freeform.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">iPadOS 16新增的生產力程式Freeform支援Apple Pencil與協作，圖片來源／蘋果</span></span></p> </div></div></div>
2022/10/19 11:32作者陳曉莉https://www.ithome.com.tw/news/153698
iOS 16依然繞過VPN建立連線，洩露用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152598" target="_blank">8月間一名研究人員指控</a>蘋果刻意讓iOS 15繞過VPN和蘋果伺服器通訊。本周另一個安全團隊發現，到了iOS 16，這個問題仍然存在，手機啟用VPN後，用戶資訊仍然洩露。此外，Android也會繞過VPN和Google服務伺服器建立通訊。</p> <p>研究人員Tommy Mysk及其團隊上周公布在安裝iOS 16.0.3的iPhone上，如何在開啟ProtonVPN後洩露用戶訊息的實驗。<a href="https://twitter.com/mysk_co/status/1579997801047822336" target="_blank">根據Mysk張貼的影片</a>，當iPhone或iPad用戶開啟VPN下使用Apple Maps，攻擊者可以輕鬆查詢到他的IP位址、或DNS查詢目的地等資料。</p> <p>Mysk說明，駭客其實只要一臺Mac和Wireshark封包分析軟體，就可以透過將目標裝置連到Mac同一個Wi-Fi網路，輕鬆監控任何裝置的網路流量。</p> <p>除了Apple Maps，研究團隊發現，包括Apple Health、Wallet、Apple Store、Clips、Files、Find My、通知（Push Notification）都可以類似手法曝露用戶資料。</p> <p class="rtecenter"><a href="https://twitter.com/mysk_co/status/1579997801047822336?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1579997801047822336%7Ctwgr%5E78a6a464842f1df545a975174e1b5d2e959ade9f%7Ctwcon%5Es1_&ref_url=https%3A%2F%2F9to5mac.com%2F%3Fp%3D841569" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-Mysk%20on%20Twitter-iOS%2016-VPN-600-1.jpg" style="width: 527px;" /></a></p> <p><span style="font-size:14px;"><a href="https://twitter.com/mysk_co/status/1579997801047822336?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1579997801047822336%7Ctwgr%5E78a6a464842f1df545a975174e1b5d2e959ade9f%7Ctwcon%5Es1_&ref_url=https%3A%2F%2F9to5mac.com%2F%3Fp%3D841569" target="_blank"><span style="color:#696969;">圖片來源／Mysk on Twitter</span></a></span></p> <p>8月間另一名研究人員披露蘋果刻意未將所有App導入VPN引發重視，當時研究人員實驗的是較舊版的iOS 15.4及15.5版，Mysk的實驗顯示在最新的iOS 16也有這問題。</p> <p><a href="https://9to5mac.com/2022/10/12/ios-vpn-apps-2/" target="_blank">研究人員對9to5mac表示</a>，他相信蘋果是刻意這麼做的。上述App需要經常和蘋果伺服器建立連線，像是Find My及通知，因而研究觀測到的流量超出預期。不過研究人員認為，這些流量還是加密狀態，因此用戶資訊還是安全的。</p> <p><a href="https://twitter.com/mysk_co/status/1580143348135829504" target="_blank">另一方面Mysk指出</a>，Android也沒有比較安全。他說他曾經以安裝Android 13的Pixel做過類似測試，也一樣能查到用戶IP。研究人員並指出，即使Android裝置用戶勾選了「永遠啟用VPN」及「沒有VPN則封鎖連線」的選項，Android也是在VPN連線以外，和Google服務伺服器建立通訊。</p> <p class="rtecenter"><a href="http://twitter.com/mysk_co/status/1580143348135829504" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-Mysk%20on%20Twitter-android-VPN-600.png" style="width: 600px;" /></a></p> <p><a href="http://twitter.com/mysk_co/status/1580143348135829504" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源／Mysk on Twitter</span></a></p> </div></div></div>
2022/10/18 10:58作者林妍溱https://www.ithome.com.tw/news/153675
Google更新Play Store改進大螢幕裝置上的App展示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於大螢幕Android裝置增加，<a href="https://android-developers.googleblog.com/2022/10/optimize-your-play-store-listing.html">Google發布Google Play新功能</a>，使其大螢幕中更好地呈現應用程式，並且提供最佳實踐，使開發者能夠透過改善應用程式列表展示，產生更多的安裝數。</p> <p>Google重新設計大螢幕上的Play Store，現在會在應用程式和遊戲主頁上，呈現螢幕截圖、影片和描述，官方提到，這種新的內容呈現方式能夠在商店更好地展示應用程式。Google也發布了一套內容品質指南，使開發者了解在大螢幕上展示應用程式的最佳最法。這些作法供開發者運用Play Store豐富格式展示應用程式，但這不會影響應用的推廣性，只會影響應用程式在Play Store的顯示方法。</p> <p>另外，Google也針對ChromeOS改善Play Store中應用程式的呈現，過去用戶在ChromeOS上只會看到應用程式平板或是手機的螢幕截圖，官方提到，這種方式並無法準確地描述應用程式在ChromeOS的使用體驗，所以現在讓開發者在Play控制臺上傳Chromebook截圖。</p> <p>開發者最多可以上傳8個螢幕截圖，截圖將會顯示在Chromebook的Play Store中，並出現於應用程式列表頁面和Play Store主頁上，官方建議使用16:9橫像螢幕截圖。隨著Google推出ChromeOS螢幕截圖支援，官方也推出了平板電腦螢幕截圖指南，確保應用程式的呈現在大螢幕上具一致性。</p> </div></div></div>
2022/10/17 23:05作者李建興https://www.ithome.com.tw/news/153669
經濟疲軟促使科技自由工作者的職缺增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s3.amazonaws.com/press.freelancer.com/Freelancer%20Fast%2050%20Index%20-%20Q3%202022.pdf" target="_blank">專門媒合自由工作者的人才招募網站Freelancer.com上周公布了今年第三季的職缺調查</a>，發現相較於去年同期，雇主對科技自由工作者的需求大幅增加，其中，軟體開發的職缺增加了54.7%，程式設計增加了45.5%，而後端開發則成長了37.7%。</p> <p>Freelancer.com執行長Matt Barrie表示，總體經濟、科技寒冬與暴漲的通貨膨脹使得每天幾乎都可看到裁員公告，這樣的狀況類似全球金融危機時的三大趨勢：企業尋求削減成本並聘請自由工作者、人們上網尋找工作，以及許多新創事業出現，以讓人們渡過困難時期。</p> <p>雖然該情境主要出現在美國，但Freelancer.com認為，明年將會在更大的全球範圍內再次出現上述景況。</p> <p>倘若從特定技術來看，並與今年第二季的職缺相較，成長最快的前十名依序是Android程式開發者（80.59%）、AJAX開發者（66.48%）、API開發者（59.55%）、可改善組織SEO的部落客寫手（55.2%）、專門製作YouTube影片（32.3%）、客戶支援（30.5%）、名片設計（30.41%）、具備AWS服務專長的（27.63%）、Flyer Design商業設計（27.5%）與客戶服務（27.45%）。</p> <p>可看出不管是與去年同期或是上一季相較，科技自由工作者都是Freelancer.com平臺上在今年第三季最夯的前三大職缺。</p> <p>至於在2021年成長最快的以太坊或NFT專案的相關職缺，在今年第二季就失寵了，而且延續到第三季，例如用來導入智慧合約的Solidity程式語言人才，以及智慧合約人才，在第三季的求才數量分別下滑了56%與49%，NFT職缺也減少了49.5%，以太坊職缺減少了39.9%，區塊鏈職缺亦下滑26.7%。</p> </div></div></div>
2022/10/17 22:15作者陳曉莉https://www.ithome.com.tw/news/153671
【資安日報】2022年10月14日，資安業者發現簡中介面的C2攻擊框架Alchimist、駭客使用新網釣攻擊套件租賃服…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路攻擊者在APT攻擊中使用現成C2框架的趨勢增加，近來出現一個名為Alchimist的C2框架與Insekt惡意軟體，並是以GoLang程式語言開發，並具有簡體中文的管理介面，疑為中國駭客使用的新攻擊工具。而在此之前，資安業者也曾揭露最近中國駭客最近廣泛使用的Manjusaka，兩者有類似的特點，但研判打造的駭客組織並不相同。</p> <p>在網釣威脅持續嚴峻之下，背後黑色產業中所發展的網釣攻擊套件租賃服務（PhaaS），也持續有新的平臺誕生，近期一款名為Caffeine的PhaaS平臺，正被網路犯罪分子廣泛用於網釣攻擊活動。</p> <p>此外，近日國際間出現結合網釣與語音誘騙的手法，值得金融業及用戶留意，已有多家義大利金融業遭冒名。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/10/alchimist-offensive-framework.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">出現鎖定Mac、Linux與Windows的全新中文C2攻擊框架</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-14-Cisco Alchimist.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14-Cisco%20Alchimist.png" style="width: 320px; float: right;" /></a></p> <p>Cisco旗下Talos在13日揭露新威脅，他們發現使用中文敘述的C2攻擊框架Alchimist，包含名為Alchimist的C2工具，以及遠端管理功能的惡意軟體Insekt。特別的是，這個Alchimist具簡體中文網頁介面，且框架及所有文件都是以GoLang程式語言所撰寫，能跨平臺執行，鎖定Windows、Linux與Mac設備攻擊，且功能豐富。此外，該伺服器還含有名為fscan的內網掃描工具。研究人員除了解析Insekt RAT的惡意行為，也指出有許多跡象顯示，網路攻擊者正迅速採用現成的C2框架，來執行他們的行動。</p> <h3><a href="https://www.itnews.com.au/news/medibank-takes-systems-offline-after-cyber-incident-586417?utm_source=feed&utm_medium=rss&utm_campaign=iTnews+Technology+feed"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲Medibank保險公司遭網路攻擊，調查未經授權存取事件並關閉多項服務</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-14_Medibank Cyber Incident.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14_Medibank%20Cyber%20Incident.JPG" style="width: 280px; float: right;" /></a></p> <p>澳洲<a href="https://www.medibank.com.au/livebetter/newsroom/post/medibank-cyber-incident">Medibank保險業者在13日公告</a>遭遇網路攻擊事件，內部網路檢測到異常活動，已立即採取應變措施，包括關閉一些客戶對系統的登入存取，以減少系統毀損或資料外洩的可能性，並指出ahm品牌的澳洲健康管理系統與國際國際學生政策管理系統將暫時停止服務，同時也說明，目前並未發現有敏感資料與客戶資料被存取的跡象。</p> <h3><a href="https://www.mandiant.com/resources/blog/caffeine-phishing-service-platform"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又出現新的網釣攻擊套件租賃服務Caffeine，開放註冊的特性將讓攻擊門檻更低</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14-Mandiant-Caffeine.png" style="width: 280px; float: right;" /></p> <p>Mandiant研究人員在本月10日指出，新的Caffeine網釣攻擊套件租賃服務（PhaaS），正受到網路犯罪分子的青睞。</p> <p>在幾個月前，資安業者Resecurity曾揭露EvilProxy的面貌，這次Mandiant則指出，今年3月他們關注到名為Caffeine（咖啡因）的平臺服務，並持續進行追蹤，其最大特色就是任何擁有電子郵件地址的人都能註冊，無須經過審核就能使用，等於又再降低攻擊發動的門檻。而且該平臺具有直觀的操作介面，並提供多種功能，包括網路釣魚工具包，管理重新導向頁面，動態生成URL與活動追蹤等。隨著這類平臺的不斷出現，將促使技術能力低的網路犯罪分子，有能力發動更多網釣攻擊活動。</p> <h3><a href="https://www.threatfabric.com/blogs/toad-fraud.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">當心駭客利用網釣結合語音手法誘騙受害者安裝Android金融木馬的新趨勢，已有義大利網路銀行被鎖定</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14-ThreatFabric-TOAD.png" style="width: 280px; float: right;" /></p> <p>金融業及其用戶注意！在國際間，荷蘭行動資安業者ThreatFabric在12日公布一項研究，攻擊者不僅假冒銀行或官方執法單位名義，並結合網釣結合語音誘騙方式，目的是讓金融用戶自行安裝金融木馬。</p> <p>根據該公司最近的調查，他們發現針對多家義大利銀行及其客戶的攻擊行動。在網路上，出現偽冒成義大利金融服務業者與政府反詐騙服務單位的大量釣魚網站，目的是蒐集蒐集Email、PIN碼、手機號碼等個人資料，還會要求設定安全性問題，若用戶完成註冊，會有假客服人員來電指引受害者一步步上鉤——對方假借用戶需在手機上安裝必要的安全App的名義，要求用戶下載假安全App，實際上，則是安裝Android金融木馬Copybara。</p> <h3><a href="https://blog.cloudflare.com/cloudflare-ddos-threat-report-2022-q3/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TB級DDoS攻擊頻繁，臺灣第三季遭受攻擊流量增加20倍，網路媒體與網路產業最嚴重</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14_163920_Cloudflare%20Q3%20DDoS.JPG" style="width: 280px; float: right;" /></p> <p>Cloudflare今年Q3的DDoS威脅報告出爐，當中指出臺灣與日本均出現這類攻擊大增的狀況，其中臺灣企業遭遇HTTP DDoS攻擊，較前一季成長2倍，遭受網路層DDoS攻擊的年增率更是達1,921%。</p> <p>值得注意的是，在8月初美國眾議院議長Nancy Pelosi訪臺之際，當時有臺灣數個政府網站遭DDoS攻擊的消息，不過，在此報告中，更明確指出臺灣本季受此危害較嚴重的受害產業類型，主要是線上媒體（50%）及網際網路（23%）等兩種業者。此外，本季最嚴重是針對微軟Minecraft遊戲服務器的2.5 Tbps流量攻擊，以及Mirai及其變種攻擊大增4倍的情況。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153589"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對軟體供應鏈推出安全解決方案Software Delivery Shield</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14_164144_Google%20Software%20Delivery%20Shield.JPG" style="width: 280px; float: right;" /></p> <p>Google為了進一步幫助其用戶完善軟體供應鏈安全，11日正式宣布推出Software Delivery Shield全託管解決方案，其應用範圍橫跨多個Google雲端服務，從開發者工具到GKE、Cloud Code、Cloud Workstations、Cloud Build，一直到Artifact Registry、Cloud Deploy、Binary Authorization等，幫助保障供應鏈從開發到生產每個階段的安全。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/153615"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android與Chrome今年將支援Passkey功能，無密碼時代近了</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153619"><span style="color: rgb(0, 0, 0);">【臺灣資安大會直擊】實現人盡其才，如何用才很重要</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153614"><span style="color: rgb(0, 0, 0);">資安需求已擴大，面對人才供給的挑戰，培育方向要更寬廣，不只重實務還要考量各種資安人才的養成</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/explore/glrans"><span style="color: rgb(0, 0, 0);">趨勢科技研究報告指出，超過七成的台灣企業供應鏈曾遭勒索病毒襲擊</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153621">【2022年10月13日】駭客濫用Google表單攻擊美國小型企業、勒索軟體Black Basta以滲透測試工具BRC4入侵受害組織</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153595">【2022年10月12日】 Exchange傳出有新的零時差漏洞被用於攻擊行動、SEMI E187設備資安標準導入指南正式發布</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153556">【2022年10月11日】資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶臉書帳號資料</a></strong></strong></strong></p> </div></div></div>
2022/10/14 16:27作者羅正漢https://www.ithome.com.tw/news/153639
基於隱私安全考量，端對端加密通訊軟體Signal Android將移除SMS支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://signal.org/blog/sms-removal-android/">端對端加密通訊軟體Signal將取消Android版本的SMS支援</a>，而官方主要的考量點在於，以SMS發送的文字訊息並不安全，電信公司將能夠獲取其用戶資料與後設資料，且為了避免用戶混淆，因此決定在數月內停止SMS協定，並引導用戶間匯出SMS訊息。</p> <p>將Signal設定為預設的SMS應用程式的用戶，將受到移除SMS的影響。作為SMS預設應用程式，用戶會同時在Signal中接收、發送Signal和SMS訊息，因此用戶將會需要選擇新的預設SMS應用程式，並將想保留的SMS訊息從Signal匯出到新應用程式。</p> <p>Signal取消Android應用程式的SMS支援有數個理由，優先考量的是安全性和隱私，官方表示，純文字SMS訊息在本質是不安全的，會洩漏敏感的後設資料，並使電信公司取得使用者的資料，而隱私和安全是Signal的核心，因此支援SMS這項不安全的訊息傳遞協定，使得Signal介面出現缺口，也與Signal的價值觀與用戶期待不同。</p> <p>Signal支援SMS有其發展背景，SMS是過去行動裝置傳輸訊息的標準化通訊協定，Signal的前身是稱為TextSecure的Android應用程式，Signal加密協定稱為Axolotl，在Signal還未出現仍是TextSecure之時，就已經開始支援SMS，在經過一段時間的發展，Signal逐漸壯大，並且增加了iOS和桌面應用程式，從小型專案轉變成一個受到廣泛使用的私密訊息應用程式。</p> <p>為了減少原先使用者的轉換障礙，Signal Android則繼續支援傳輸純文字的SMS訊息，使這些使用者可以繼續使用Signal作為傳輸和接受大部分訊息，但是這也代表Signal Android上處理的部分訊息其實不受Signal隱私保護。</p> <p>官方表示，現在已經與當初Signal支援SMS的時代不同，當時資料計畫通常非常昂貴，並在許多世界角落也無法存取，但是現在資料計畫已經更便宜且普遍，相比起來，SMS訊息的成本貴上不少。也有部分使用者以為自己發送的是Signal訊息，實際上卻是SMS訊息，被電信公司收取高額費用，因此取消SMS支援將可減少這類問題。</p> <p>另外，在Signal介面中同時提供SMS和Signal訊息，有使用者體驗和設計問題，用戶可能誤會從Signal介面所發送的SMS訊息是安全且私密的，但事實並非如此，雖然Signal在應用程式中特別標記兩者之間得差異，但也只能以設計來避免誤解。</p> <p>官方經過多次討論，在以建構直覺且安全通訊程式的前提下，確定無法於Android中留下SMS支援。Signal Android用戶會開始在應用程式中收到通知，指引用戶匯出SMS訊息，並且可以選擇發送預設SMS信件，通知那些透過SMS通訊的聯絡人下載Signal。</p> </div></div></div>
2022/10/14 09:40作者李建興https://www.ithome.com.tw/news/153613
Android與Chrome今年將支援通行密鑰，無密碼時代近了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/10/bringing-passkeys-to-android-and-chrome.html" target="_blank">Google周三（10/12）宣布</a>，即日起開發者即可於Google Play Services測試版與Chrome Canary上測試通行密鑰（Passkey）功能，且相關產品的正式版將在今年出爐，此舉著眼於利用通行密鑰來取代傳統密碼作為行動程式及網站的登入憑證，宣告無密碼時代即將來臨。</p> <p>有別於密碼是由一連串的數字、字母或符號所組成，而且通常需要由使用者或密碼管理程式記住，通行密鑰則是一個不可見的加密實體，由一組金鑰對所組成，當中的公鑰可用來註冊網站或行動程式，另一個私鑰則存放在使用者裝置上，以通行密鑰來作為登入憑證既不需要再記住密碼，也更難被駭客破解或入侵。此外，由於通行密鑰是奠基在相關的產業標準上，因此得以跨平臺運作。</p> <p>Google則說明，使用者手機與電腦上的通行密鑰可透過雲端備份與同步，以防使用者在裝置遺失後被鎖住；使用者也能利用存放於手機上的通行密鑰來登入鄰近裝置上的程式或網站。</p> <p>本周Google的宣布意謂著使用者可於Android裝置上建立並使用通行密鑰，並與Google Password Manager同步；開發者則可利用WebAuthn API，於網站上打造對通行密鑰的支援。今年Google也會釋出針對原生Android程式所打造的API。</p> <p>對使用者而言，建立通行密鑰只需兩個步驟，一是確認通行密鑰的帳號資訊，二是展示自己的指紋、臉孔或螢幕鎖，之後要登入網站或服務時，只要選擇所要登入的帳號，再輸入指紋、臉孔或螢幕鎖即可。</p> <p>使用者亦可將儲存通行密鑰的手機當作實體金鑰，用它來登入鄰近裝置上的網站，例如Android用戶可用手機來登入身旁Mac裝置、Safari瀏覽器上某個支援通行密鑰的網站，同樣的，在Chrome支援通行密鑰之後，iOS裝置所儲存的通行密碼，也可用來登入Windows電腦上以Chrome瀏覽器所造訪的網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Passkeys%20in%20the%20Google%20Password%20Manager-Bringing%20passkeys%20to%20Android%20%26%20Chrome-3.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p><a href="https://www.ithome.com.tw/news/151318" target="_blank">蘋果今年6月就已在最新的macOS、iOS或iPadOS部署通行密鑰機制</a>，繼之於9月釋出的<a href="https://www.ithome.com.tw/news/153040" target="_blank">Safari 16上支援通行密鑰</a>，<a href="https://www.ithome.com.tw/news/146743" target="_blank">微軟亦全面推動無密碼登入</a>，在Google、蘋果與微軟的推動下，不必再記住眾多密碼的時代理應指日可待。</p> </div></div></div>
2022/10/13 17:03作者陳曉莉https://www.ithome.com.tw/news/153615
蘋果iCloud相簿儲存、Apple Music等服務，將可在Windows 11上執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ignite.microsoft.com/en-US/home" target="_blank">在微軟周三（10/12）的Ignite 2022大會上</a>，蘋果和微軟宣布iCloud相簿服務將可以在微軟平臺如Windows 11執行，而Apple Music及TV App也預計明年推出Windows版本。</p> <p><a href="https://blogs.windows.com/windows-insider/2022/10/12/updated-photos-app-for-windows-11-with-icloud-photos-now-rolling-out-to-windows-insiders/" target="_blank">微軟透過公司部落格宣布</a>iCloud Photos Library服務和Windows Photos App整合。過去Windows用戶若想在雲端備份，預設只能使用OneDrive，無法用iCloud。最新的整合讓用戶可用Windows 11內建的相簿App，搭配iCloud Photos Library相簿備份服務。微軟今天已將具備這項功能的Windows版Photos App 2022.31100.9001.0版，推給Dev通道的Insider測試方案用戶。</p> <p>使用者必須先下載<a href="https://apps.microsoft.com/store/detail/icloud/9PKTQ5699M62?hl=en-us&gl=us" target="_blank">iCloud for Windows版App</a>並登入，然後選擇和iCloud Photo Library同步。完成後就能在Windows 11讀取儲存在iCloud的相片及影片。</p> <p class="rtecenter"><img alt="" src="https://store-images.s-microsoft.com/image/apps.33080.14255546098955437.d82e1891-9884-4247-9135-ebf6c4b9c698.ff81058e-534c-435f-a559-6ce9c8599621" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>其次是Apple Music及Apple TV明年將可在Windows電腦上執行。在此之前，適用於Xbox的Apple Music App今天已在<a href="https://www.microsoft.com/en-us/p/apple-music/9pp5m2pj95gx" target="_blank">Microsoft Store</a>上架。微軟預告，Windows PC版Apple Music和Apple TV App Beta版預計明年初在Microsoft Store上架，讓擁有蘋果音樂及Apple TV+服務訂閱服務的用戶，可在Windows PC上享受影音內容。</p> <p><a href="https://www.microsoft.com/en-us/p/apple-tv/9mw0zwqfh0m2#activetab=pivot:overviewtab" target="_blank">Xbox版Apple TV App則是2020年底就推出</a>。至於Apple Music將取代的iTunes App則仍然可在Windows PC上使用。</p> <p>對於向來不輕易開放其他平臺的蘋果而言，這次和Windows整合可說相當難得。微軟一些創新開發，例如可將手機內容映射到Windows PC上的Phone Link，就只有Android版，而許多人愛用的<a href="https://www.ithome.com.tw/news/153374" target="_blank">手機鍵盤SwiftKey</a>，微軟也從本月開始終止支援。</p> </div></div></div>
2022/10/13 12:09作者林妍溱https://www.ithome.com.tw/news/153600
豐田汽車不慎把T-Connect服務金鑰公開在GitHub上，外洩近3萬車主資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://global.toyota/jp/newsroom/corporate/38095972.html" target="_blank">日本豐田汽車（Toyota Motor）上周披露</a>，該公司的承包商在把部分T-Connect服務程式碼上傳至GitHub的公開儲存庫時，不慎於程式碼中夾帶了存取金鑰，使得第三方得以存取該資料庫伺服器，造成296,019名車主的資料外洩，但外洩的只有這些車主的電子郵件與獨特的T-Connect管理號碼，至於姓名、電話或信用卡等資訊都未受到影響。</p> <p>根據Toyota的調查，此一含有存取金鑰的原始碼是在2017年12月，由開發T-Connect網站的承包商所上傳，雖然它違反了Toyota的資料處理規定，但Toyota一直到今年的9月15日才發現此事，當天即把該儲存庫設為私密。而在這期間，已有一第三方存取了該程式碼，可藉由程式碼中的金鑰存取資料伺服器。</p> <p>T-Connect為Toyota所打造的行動程式，支援Android與iOS裝置，可連結汽車上的資訊娛樂系統，並分享汽車位置、設定停車模式，還能偵測意外並主動回報，受害者必須曾是以電子郵件訂閱T-Connect服務的車主。</p> <p>雖然包括車主姓名或電話號碼等重要資訊並未外洩，但Toyota依舊提醒T-Connect用戶應該要提供警覺，以防駭客利用這些外洩的郵件帳號展開網釣攻擊。</p> </div></div></div>
2022/10/11 22:29作者陳曉莉https://www.ithome.com.tw/news/153565
Jetbrains開發工具KMM進入Beta測試，使iOS與Android應用程式可共享相同邏輯程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過兩年的發展，Jetbrains可讓iOS和Android應用程式共用邏輯程式碼的開發工具<a href="https://blog.jetbrains.com/kotlin/2022/10/kmm-beta/">KMM（Kotlin Multiplatform Mobile）</a>脫離實驗階段進入Beta測試，開放給所有開發者使用，該工具目前已經被Philips、Netflix和VMWare等知名企業使用。</p> <p>KMM是一個可用於iOS和Android應用程式開發的SDK，供開發者維護雙平臺共用的網路、資料儲存和分析程式碼，也就是說，開發者可以對iOS和Android應用程式的邏輯運作，維護單一程式碼庫，同時還是能運用各平臺原生UI，和特定於iOS和Android裝置的功能。</p> <p>由於同一應用程式的iOS和Android版本，除了使用者介面有很大的不同外，在導覽邏輯、資料管理和身分驗證等邏輯通常相同，而KMM讓開發者可以共用這些運作邏輯，但又能在UI上保有各自特色。官方提到，KMM可協助開發者維持邏輯元素共用程式碼同步，同時又具有原生程式開發優勢，包括應用程式效能和完全取用iOS和Android SDK的能力。</p> <p>KMM經過調整記憶體管理、函式庫和專案配置方法，結束試驗階段進入Beta測試階段，而Google的Android團隊也公開了Jetpack的Kotlin Multiplatform預覽，可用的函式庫包括Collections和DataStore，另外，Touchlab也推出建置工具KMMBridge，讓開發者能夠藉由KMM更快速發布共用程式碼。</p> <p>KMM開發工具生態系包括適用Android Studio KMM套件，讓開發者可以使用熟悉的開發工具Android Studio，撰寫和除錯應用程式程式碼。而iOS的部分，Kotlin則與iOS的開發語言Objective-C和Swift互通，KMM透過套件整合CocoaPods相依管理器，與iOS開發程序緊密連結，使開發者可自由使用iOS平臺API。</p> <p>由於Kotlin與Objective-C、Swift的雙向互通性，因此Kotlin可以在Objective-C/Swift中使用，同時開發者也可以在Kotlin程式碼使用Objective-C框架與程式碼，甚是使用Swift函式庫中的API。</p> </div></div></div>
2022/10/11 22:43作者李建興https://www.ithome.com.tw/news/153564
【資安日報】2022年10月11日，資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了能讓用戶儘速修補漏洞，IT業者往往會發布資安通告，讓用戶能儘速部署相關的更新程式或是韌體，但最近資安廠商Fortinet揭露這類訊息的方式令人意外，因為對於一個嚴重等級評分高達9.6的資安漏洞，他們並未先在自家網站公告，而是私下向部分使用者通知，有用戶將這訊息公布之後，大家才知道有這個漏洞。</p> <p>因外部廠商管理不當，不慎將用戶資料在網路上公開的情況也相當值得注意。汽車大廠Toyota最近就因為車輛管理系統T-Connect的原始碼公開，導致可存取使用者資料庫的帳密曝光，原因與他們配合的網站開發業者有關。</p> <p>以臉書登入（Log-in with Facebook）的功能相當常見，但也成為攻擊者騙取該社群網站帳號資料的手段！Meta表示他們找到400個惡意App，其共通點就是會要求使用者需要登入臉書帳號，而且，這些應用程式幾乎可從Google Play與蘋果App Store市集下載（現已全數移除）。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://global.toyota/jp/newsroom/corporate/38095972.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">汽車大廠Toyota不慎把車輛管理系統的金鑰公開在GitHub上，恐外洩近30萬用戶資料</span></strong></a></h3> <p>日本汽車大廠豐田（Toyota）於10月7日發出資安通告，他們提供車主的車輛管理系統T-Connect，部分原始碼在GitHub公開，這些程式碼從2017年12月至2022年9月15日可被他人存取，內有資料伺服器的存取帳密，此伺服器存放了296,019名用戶資料，該公司於今年9月17日修改資料伺服器的帳密，來防堵用戶資料曝光的情況。</p> <p>豐田表示，目前尚未發現資料遭到盜用的跡象，但不能排除有他人存取的可能性。但為何會出現上述情況？該公司指出是外部的網站開發廠商不慎公開所致。</p> <h3><a href="https://www.tomshardware.com/news/intel-confirms-6gb-alder-lake-bios-source-code-leak-new-details-emerge"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英特爾證實Alder Lake處理器的BIOS原始碼外洩，但宣稱資料供漏洞懸賞所用</span></strong></a></h3> <p>根據電腦硬體新聞網站Tom's Hardware報導，有人在網路論壇4chan上，公開英特爾第12代Core系列處理器（Alder Lake）的BIOS相關資料，並透過ZIP檔案打包，解壓縮後檔案大小為5.86 GB，內容是Alder Lake的BIOS及UEFI開發文件與工具，這些資料不久後也被人上傳到GitHub。</p> <p>這起事故得到英特爾證實，該公司指出這些資料與抓漏獎勵專案Circuit Breaker有關，並非內部系統存在漏洞導致資料外洩。但資料從何外洩，以及駭客的動機為何？英特爾並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/adata-denies-ransomhouse-cyberattack-says-leaked-data-from-2021-breach/"><span style="color: rgb(0, 0, 0);">威剛傳出資料外洩，但該公司表示駭客掌握的是一年前事故的資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ransomhouse-adata-leak-page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomhouse-adata-leak-page.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織RansomHouse於10月4日，聲稱攻擊臺灣記憶體大廠威剛科技，並偷到1 TB的資料。不過，威剛表示，根據他們的比對，這些駭客提供的檔案，<a href="https://www.ithome.com.tw/news/144910">來自去年勒索軟體駭客Ragnar Locker的攻擊事故</a>。雖然RansomHouse聲稱已經和威剛進行談判，但威剛表示，駭客並未留下勒索訊息。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/2k-games-warns-users-their-stolen-data-is-now-up-for-sale-online/"><span style="color: rgb(0, 0, 0);">遊戲業者2K客服系統遭駭，玩家個資流入地下論壇</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2K_user_data_for_sale.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2K_user_data_for_sale.png" style="width: 300px; float: right;" /></a>9月20日，遊戲業者2K證實客服系統遭到入侵，駭客透過該系統向玩家發送竊密軟體RedLine的連結，該公司於10月6日揭露進一步的調查結果，他們發現未經授權的外部人士，存取了客服系統部分資料，包含了玩家的姓名、電子郵件信箱、玩家ID、工單編號等，目前沒有跡象顯示玩家的密碼與金融資料外洩。資安新聞網站Bleeping Computer指出，駭客已將竊得的資料在地下論壇求售，但強調這批資料不含密碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153528"><span style="color: rgb(0, 0, 0);">幣安跨鏈橋遭駭，被盜走1億美元資產</span></a></strong></h3> <p>大型加密貨幣交易所幣安（Binance）於10月7日上午，傳出跨鏈橋BSC Token Hub遭到入侵，估計在攻擊行動裡造成1億美元損失，但該公司與社群合作，凍結其中的700萬美元加密貨幣。幣安執行長趙長鵬指出，此次駭客攻擊導致該系統產生大量幣安幣（BNB），再將其轉走。該公司暫停Beacon Chain（BEP2）與Smart Chain（BSC）之間的跨鏈交易，並針對後者進行修補，也公告禁止交易的黑名單網址。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153546"><span style="color: rgb(0, 0, 0);">逾10座美國機場的網站傳出遭俄羅斯駭客Killnet癱瘓</span></a></strong></h3> <p>根據CNN、ABC News、NBC等美國媒體報導，美東時間10月10日上午，亞特蘭大、紐約、芝加哥、洛杉磯、鳯凰城等城市，傳出14座機場的網站遭到DDoS攻擊而斷線，無法提供航班查詢服務。不過，這些機場發言人都表示，攻擊僅造成網站停擺，不影響飛航運作，內部系統也未受影響。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為，並於Telegram頻道列出打算發動攻擊的49個機場。</p> <h3><strong style="font-size: 22px;"><a href="https://about.fb.com/news/2022/10/protecting-people-from-malicious-account-compromise-apps/"><span style="color: rgb(0, 0, 0);">400個手機App竊取百萬用戶臉書帳號資料</span></a></strong></h3> <p>臉書的母公司Meta指出，他們發現有403個手機惡意程式濫用「以臉書登入（Log-in with Facebook）」的功能，竊取臉書用戶的帳密資料，且這些App幾乎都上架到Google Play與蘋果App Store市集，該公司估計有近百萬用戶受到影響，他們也向這些使用者發出資料外洩通知，前述的App通報給Google與蘋果後皆已下架。Meta提出警告，這些惡意App的共通特徵是提供了以臉書登入的按鈕，部分甚至在沒有登入臉書帳號的狀態下無法使用。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153533"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet修補防火牆、網頁安全閘道RCE漏洞，但先私下通知部分用戶</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FeeZB-MXgAAGFhf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FeeZB-MXgAAGFhf.jpg" style="width: 200px; float: right;" /></a>資安業者Fortinet修補重大身分驗證繞過漏洞CVE-2022-40684，此漏洞影響執行FortiOS的防火牆，以及網頁安全閘道系統FortiProxy，CVSS風險評分為9.6分，影響7.0版以上的FortiOS或FortiProxy。但這次修補引起用戶關注的是，Fortinet約於10月7日先透過電子郵件通知特定用戶，而非在資安通告網站上發布公告，直到有人將這樣的通知信公布後外界才得知此事。</p> <p>事隔3日，Fortinet發布資安公告，指出該漏洞已被用於攻擊行動，影響範圍除FortiOS與FortiProxy外，亦包含交換器管理系統FortiSwitch Manager。</p> <h3><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-ikea-tradfri-smart-lighting/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IKEA智慧照明系統漏洞恐導致組態遭到重設、使用者失去調整亮度的能力</span></strong></a></h3> <p>資安業者Synopsys指出，IKEA TRÅDFRI智慧照明系統存在漏洞CVE-2022-39064，攻擊者可傳送特定的IEEE 802.15.4（Zigbee）訊號，使得燈泡閃爍，但若是重覆傳送相同的訊號，就有可能導致燈泡組態被重設，相關的網路與亮度配置都會被清除，最終所有燈泡都會以最高亮度發光，且使用者無法透過手機App或遙控器調整設定。類似的漏洞也存在於該廠牌的物聯網裝置閘道設備上，並以CVE-2022-39065列管。</p> <p>研究人員指出，攻擊者只需使用筆電與25美元的無線電裝置，並在距離設備100公尺內就能發動攻擊。IKEA表示，上述漏洞與Zigbee協定有關，很可能也會在其他物聯網裝置出現，但不會外洩此照明系統儲存的敏感資訊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.rapid7.com/blog/post/2022/10/06/exploitation-of-unpatched-zero-day-remote-code-execution-vulnerability-in-zimbra-collaboration-suite-cve-2022-41352/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子郵件系統Zimbra尚未修補的RCE漏洞已出現攻擊行動</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.malwarebytes.com/blog/news/2022/10/vulnerabilities-in-google-android-could-allow-for-arbitrary-code-execution"><span style="color: rgb(0, 0, 0);">Google修補42個Android漏洞，其中3個為涉及高通無線模組的重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://checkmarx.com/blog/lofygang-software-supply-chain-attackers-organized-persistent-and-operating-for-over-a-year/"><span style="color: rgb(0, 0, 0);">駭客組織LofyGang鎖定開發者發動供應鏈攻擊，目標為信用卡資料</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153524">【2022年10月7日】利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事件罪名成立</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153503">【2022年10月6日】新的ProxyNotShell緩解措施可被繞過、研究人員發現Akamai組態錯誤配置漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153474">【2022年10月5日】電玩業者暴雪娛樂遭大規模DDoS攻擊、駭客透過YouTube頻道向中國用戶散布惡意Tor瀏覽器安裝程式</a></strong></strong></strong></p> </div></div></div>
2022/10/11 17:48作者周峻佑https://www.ithome.com.tw/news/153556
百萬臉書用戶遭逾400個Android及iOS App竊取帳號憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/10/protecting-people-from-malicious-account-compromise-apps/" target="_blank">Meta發現</a>，有400多個包括Android和iOS版惡意應用程式利用Log-in with Facebook功能竊取用戶的臉書登入憑證，估計有約100萬用戶受到影響。</p> <p>Meta的臉書團隊上周五（10/7）公布針對Google Play Store和蘋果App Store的App安全研究結果。他們發現，有403個Android和iOS惡意App目的在竊取臉書登入資訊及帳號，他們並根據收到的遙測資料（telemetry）判定哪些用戶帳號資料外洩。</p> <p><a href="https://www.itpro.co.uk/security/data-breaches/369276/meta-notifies-1-million-facebook-accounts-compromised-mobile-apps" target="_blank">Meta惡意程式偵測工程部門總監David Agranovich對媒體表示</a>，已向近100萬受影響的用戶發出資料外洩通知。</p> <p>這些App往往冒充消費者有興趣的App誘使他們下載執行。其中以相片編輯最多，占42.6%，其次是商用工具、電話工具程式（如音樂播放程式）、遊戲、VPN，以及少部分生活風格App。許多這些App還會冒充知名品牌，以提高使用者上鈎的機率，不乏冒充Meta廣告工具或Meta商務版的惡意App。</p> <p>這些惡意程式另一個特徵是包含「以臉書登入」（Log-in with Facebook）的按鍵，吸引用戶填入臉書帳號及密碼。還有數款App在用戶填入臉書帳密之前無法使用任何功能。</p> <p>在Meta通知下Google和蘋果已經完成調查，並將這400多款App從官方App商店移除。</p> <p>Meta提醒，如果App在用戶不提供帳密前無法使用，或是功能名實不符者都要要小心。用戶下載前也應讀取使用者評價，包括負評內容。</p> <p>要是用戶懷疑自己下載了詐騙App，Meta建議用戶重設密碼、啟用雙因素驗證，並且開啟登入警示以防自己帳號遭人存取。</p> <p> </p> </div></div></div>
2022/10/10 21:08作者林妍溱https://www.ithome.com.tw/news/153536
Google發表Pixel 7系列手機與首款智慧手錶Pixel Watch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於周四（10/6）發表了新一代的Pixel 7系列手機，包括6.3吋的Pixel 7，以及6.7吋的Pixel 7 Pro，還有首次推出的智慧手錶Pixel Watch，皆於即日起開放預購，最低階售價分別是599美元（18,990元新臺幣）、899美元（26,990元新臺幣）及349.99美元（10,900元新臺幣），兩款裝置在臺灣與美國都預計於10月13日出貨。</p> <p><a href="https://blog.google/products/pixel/pixel-7-pixel-7-pro/" target="_blank">Pixel 7系列</a>採用支援機器學習與人工智慧的Tensor G2處理器與Titan M2安全晶片，內建Android 13，支援螢幕指紋辨識解鎖，亦支援人臉辨識解鎖，今年也會在特定市場允許Pixel 7系列用戶免費使用VPN by Google One服務。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/9i3hFqvoBVIBzZtIz1Zvtcbd7kRPIpZaSOMhuq5N3LSZm_BE6xYWjncr_Fys4uetXt0E9t5x8Nl4-dRmxkgChamtlGtPdkC8RUI" style="width: 512px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-Google%20Tensor%20G2.png" style="width: 400px;" /></p> <p class="rtecenter"><img alt="" src="https://www.gstatic.com/subscriptions/img/ppnsecurity_optimized_d0dc78b2b7a0505c2c1d7f387dd02622.webp" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>智慧型手機已經發展到一個很難再有突出創新的時代，而Google則強調Pixel 7系列依然帶來了更好的相機，它採用新一代的Super Res Zoom，既可於遠處拍攝高畫質的畫面，亦有3公分的近拍功能，更特別是的基於機器學習技術的Photo Unblur（下圖），可讓模糊照片變得清晰，還能以Magic Eraser工具除去照片中多餘的物件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-%20Photo%20Unblur-Google%20Pixel%207.png" style="width: 532px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>比起Pixel 7系列，Google本周的發表更吸睛的應該是首款智慧型手錶<a href="https://blog.google/products/pixel/google-pixel-watch/" target="_blank">Google Pixel Watch</a>，它的防水能力為5ATM，可於淺水中游泳，標榜既舒適又耐用。此外，它深度整合了來自Fitbit的健康功能，提供心率追蹤、40種鍛鍊模式與睡眠偵測等。</p> <p>Pixel Watch搭載Wear OS 3.5，可透過語音或Google Home程式控制智慧家庭裝置，亦能安裝Adidas Running、Calm、Spotify及MyFitnessPal等程式，它不僅相容於Google Pixel手機，也相容於其它採用Android 8.0以上的手機，其電池續航力為24小時。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-Google%20Pixel%20Watch-Google%20Home%20app-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2022/10/8 00:58作者陳曉莉https://www.ithome.com.tw/news/153529
Kotlin 1.7.20更新K2編譯器，預設啟用新記憶體管理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrain釋出最新<a href="https://kotlinlang.org/docs/whatsnew1720.html">Kotlin 1.7.20</a>程式語言版本，這個版本的更新重點包括改進K2編譯器支援，並且開始預設使用新的Kotlin記憶體管理器。Kotlin團隊持續改進K2編譯器，目前K2仍在Alpha階段，但是現在新增支援多個編譯器套件，包括all-open、no-arg和SAM with receiver等。</p> <p>Kotlin 1.7.20開始預覽..<運算子，這個運算子是用來表達範圍值，官方解釋，..<運算子的行為像是until函式，但是可以供開發者定義開放結尾的數值。而經過官方的研究，新的運算子也的確能夠更好地表達開放範圍和明確無上限的用例。但是目前..<運算子仍是實驗性功能，在IDE中使用有其限制。</p> <p>由於Kotlin團隊改進記憶體管理器，穩定性和效能同時獲得提升，因此在這個Kotlin新版本，記憶體管理器進入Beta測試階段，官方提到，之前的記憶體管理器會使編寫並行和非同步程式碼變得複雜，包括kotlinx.coroutines函式庫的實作問題，限制了iOS和Android平臺之間共享Kotlin程式碼，因而阻礙了Kotlin Multiplatform Mobile的採用，而新的記憶體管理器解決相關問題，並使Kotlin Multiplatform Mobile進到Beta階段。</p> </div></div></div>
2022/10/4 22:53作者李建興https://www.ithome.com.tw/news/153445
低位元率音訊開源編解碼器Lyra釋出第2版，速度更快支援更多平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2021年開源的低位元率音訊編解碼器Lyra，經過社群的熱心貢獻與改進，不只修復和格式化程式碼，還對專案建構持續整合工作管線，甚至增加支援WebAssembly，現在Google宣布釋出<a href="https://opensource.googleblog.com/2022/09/lyra-v2-a-better-faster-and-more-versatile-speech-codec.html">Lyra V2</a>。</p> <p>由於全球COVID-19疫情的關係，對遠端語音通訊需求大幅上升，因此Google創建Lyra，目的是要將其應用在遠端工作和低頻寬環境中，藉此改善語音通話品質，Lyra是一款極低位元率音訊編解碼器，並運用機器學習技術來提高音訊品質。</p> <p>Lyra獲得不少開發者的歡迎，並要求在更多平臺上運作Lyra，以更多種程式語言開發應用程式，同時也希望運算速度可以更快、有更多的位元率選項，還有延遲更低、音質更好且失真更少等功能。Lyra V2肩負這些期待，採用全新的架構，並且支援更多的平臺，提供用戶可擴充的位元率功能，效能也較第一版更好，也能夠產生更高品質的音訊。</p> <p>Lyra V2採用一種稱為SoundStream的端到端神經音訊編解碼器，該架構在傳輸通道之前和之後，都有一個殘差向量量化器（Residual Vector Quantizer，RVQ），可將經編碼的資訊量化成位元串流，並在解碼端進行重建。Google解釋，將RVQ整合到架構中，便能夠透過選擇量化器數量，隨時更改Lyra V2的位元率，使用更多量化器，就會產生更高品質的音訊。</p> <p>Lyra V2支援三種不同的位元率，分別是3.2 kps、6 kbps和9.2 kbps，供開發者依網路條件和品質需求選擇適當的位元率。由於Lyra V2模型使用TensorFlow Lite匯出，而TensorFlow Lite是輕量版本行動的TensorFlow，支援各種平臺和硬體加速。</p> <p>開發團隊已經在Android手機和Linux上進行過測試，並且實驗性支援Mac和Windows，目前仍不支援在iOS與其他嵌入式平臺，但開發團隊提到，這種範式將透過TensorFlow Lite，使Lyra未來也能夠支援該平臺所支援的任何平臺。</p> <p>在使用新架構之後，Lyra V2的延遲從原本的100毫秒降低到了20毫秒，這樣的延遲程度已經能夠與當前最被廣泛使用的音訊編解碼器Opus for WebRTC媲美，Opus for WebRTC的一般延遲落在26.5 毫秒、46.5毫秒和66.5毫秒。</p> <p>Lyra V2的解碼和編碼速度也比之前的版本快5倍，Google在Pixel 6 Pro手機上試驗，Lyra V2僅需要0.57毫秒編碼和解碼一段20毫秒的音訊框，比即時快上35倍，而降低複雜度代表有更多手機能夠即時運作Lyra V2，並且降低電池消耗。</p> <p>另外，Lyra V2的音質也因為機器學習技術的進步而獲得提升，聽力測試顯示Lyra V2在3.2 kbps、6 kbps和9.2 kbps的音質，已經與Opus的10 kbps、13 kbps和14 kbps相同，也就是說，Lyra V2要達到與Opus相同音質，只要使用Opus的50％到60％頻寬。這代表在頻寬受限的環境，可以連接更多的裝置，或是透過網路送出更多訊息，並更有機會透過前向錯誤更正和封包丟失補償技術，避免語音斷斷續續的問題。</p> <p>Lyra V2提供的內容涵蓋Lyra V1，包括所有的建置工具、測試框架、C++編碼和解碼API、訊號處理工具鏈和範例應用程式，Lyra V2雖然與Lyra V1存在部分差異，但是開發體驗大致相同。</p> </div></div></div>
2022/10/3 21:50作者李建興https://www.ithome.com.tw/news/153412
臉書Android程式將使用自己的瀏覽器引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2022/09/30/android/launching-a-new-chromium-based-webview-for-android/" target="_blank">Meta上周宣布</a>，將追隨微軟、Mozilla與三星的腳步，漸次將Android平臺上的Facebook程式所使用的瀏覽器引擎，從Android平臺所預設的System WebView，改為Meta自行設計、同樣基於Chromium的客製化WebView瀏覽器引擎。</p> <p>Meta軟體工程經理Nate Schloss說明，在其它行動平臺上，System WebView只能透過整個作業系統的更新來更新，Android平臺則有不一樣的作法，使用者可藉由Google Play來單獨更新Chrome程式與System WebView元件，但這幾年卻有許多Android用戶只更新Facebook程式，卻未更新Chrome及System WebView，而帶來安全威脅或負面的使用經驗。</p> <p>一來是因為Facebook程式會呼叫System WebView來開啟網頁，若未更新該元件，便可能陷入安全風險中，另一方面，Android載入System WebView的方式，可能會在使用者更新System WebView時，造成Facebook程式當掉。</p> <p>為了解決上述兩個問題，Meta決定以自製的、同樣基於Chromium的WebView來取代Facebook程式所使用的System WebView，它不再與其它應用程式分享System WebView，而且可在使用者更新Facebook程式時一併更新WebView。</p> <p>Meta預計將陸續於全球部署採用自家WebView的Facebook程式，至相容的Android裝置上，此外，即使Meta宣稱新版程式將帶來更好的效能及穩定性，使用者於Facebook程式中要開啟連結時，仍能選擇其它瀏覽器。</p> </div></div></div>
2022/10/3 11:39作者陳曉莉https://www.ithome.com.tw/news/153402
零售IT雙周報第9期：家居裝修零售商Lowe's結合店面數位孿生及AR裝置，來開發店面管理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0918~1001)</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#數位孿生</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#AR裝置</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#店面管理</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#動線優化</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#貨架瀏覽</span></strong></span></p> <p><strong>家居裝修零售商Lowe's結合店面數位孿生及AR裝置，來開發店員輔助及店面管理功能</strong></p> <p>美國家居裝修零售商Lowe's為兩家店面打造數位孿生，整合了3D店面空間及產品模型、產品擺放位置、產品銷售紀錄等資訊。這個數位孿生串接了貨架即時影像辨識系統及庫存管理系統，因此能與實體店面同步。<a href="https://www.prnewswire.com/news-releases/lowes-unveils-industry-first-digital-twin-giving-associates-superpowers-to-better-serve-customers-301628493.html">Lowe's表示，未來要結合數位孿生與AR穿戴裝置，開發數項店員輔助和店面管理功能</a>。</p> <p>未來店員能透過AR穿戴裝置，看到數位孿生跟實體店面重疊的畫面。補貨時，店員可以看到先前數位孿生中的貨品擺放位置，以及燈泡、家具等產品的安裝或擺設方法，作為參考示範。甚至，當上層貨架被擋住視線時，店員也可以開啟模擬透視功能，透過穿戴裝置看到數位孿生中上層貨架的即時狀況，無須親自爬上梯子。當店員發現店面中有任何問題需要反映，還可以在數位孿生中貼上便條紙，供管理者參考。</p> <p>Lowe's也有意以數位孿生為基礎，開發店面動線及貨品陳列規畫功能。數位孿生將能以3D熱力圖等形式，呈現出店內影像辨識數據及銷售數據，讓使用者能視覺化的觀察人流密度以及關聯產品距離。使用者還能於模型中調整產品擺放位置，再放入虛擬角色來測試動線。</p> <p>Lowe's還表示，數周後會開放自家產品的3D模型素材給元宇宙開發者使用，不過尚未公布細節。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#電商App</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#App行銷成本</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#零售業成本</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#自媒體再行銷</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#印度市場</span></strong></span></p> <p><strong>Appsflyer研究：2022電商顯露疲態，電商App安裝數及留存率雙雙降低</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/apsfly.png" style="width: 600px;" /></strong></p> <p>行動裝置行銷及分析公司Appsflyer<a href="https://infogram.com/1p0lyy6ye0gqgmuewe1mm9k17vcn5en2kj0?live">發表了一份樣本數高達51億次App安裝數的電商App研究</a>，報告寫道，除了印度以外，全球電商App的安裝數及30天保留率雙雙下降，反映出後疫情時代下電商經濟的疲態。全球Android裝置的電商App安裝數降低了約5%，且30天留存率下降了13%。唯有印度市場逆勢成長，電商App在Android裝置上的安裝量增加了116%。</p> <p>報告分析，新冠疫情首次爆發及Omicron變種的出現，都大幅推動了電商經濟，2020跟2021年的全球電商營收分別成長了25%及17%。不過，2022年成長率恐怕會掉到個位數，這與今年通貨膨脹嚴重、供應鏈不穩定及俄烏戰爭衝擊造成零售業營運成本提高，有高度相關。</p> <p>零售業營運成本提高，也反映在行銷投資金額。2021年7月到2022年7月間，全球用於獲取電商App用戶的行銷經費減半，只剩61億美元。2021年推出的iOS ATT隱私權機制，更大幅提升了iOS的App行銷成本，平均一次安裝數的行銷成本（CPI，Cost per install）增加了60%，來到4.2美元，是Android CPI 1.96美元的兩倍以上。</p> <p>由於獲取新用戶不易，今年業者投注更多資源於自有媒體通路上，對現有客戶再行銷。今年自媒體再行銷轉換率，分別在iOS跟Android裝置上提升了2倍及3.6倍。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#異業合作</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#超商通路活用</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#會員經營</span></strong></span></p> <p><strong>萊爾富透過系統整合推動深度異業合作，作為長期會員經營工具</strong></p> <p>7月公布三大數位經營戰略後，萊爾富數位商務處處長葉育堅近日進一步透露，萊爾富如何推動深度異業合作，將其作為長期會員經營工具。</p> <p>萊爾富的做法是，於會員App長期販售異業優惠電子票券。優惠券是超商持續吸引消費者加入會員的誘因，日後也能用來挖掘更多顧客價值，而對合作業者來說，能直接把消費者引導到自家通路，行銷效果遠大於聯名商品。不過，為了同時維持異業業者長期合作及萊爾富會員購買票券意願，萊爾富在此商業模式中的抽成利潤相當低。</p> <p>此票券使用模式中，販售方在萊爾富，但核銷方在合作業者端，為了確保服務品質及行銷可歸因，雙方帳務系統必須即時同步。葉育堅說，與業者的系統提供商串接，技術不難，但得協調萊爾富IT與系統商IT時程，光是協調排程就可能長達半年，讓合作案停滯。因此，萊爾富也準備了Web app或外部終端機的票券核銷介面，作為替代方案來加速專案推進。</p> <p>由於單一異業合作案利潤少、費時長，萊爾富有意模組化異業合作的商業模式，以利未來大量複製與推行。（<a href="https://www.ithome.com.tw/news/153301">詳全文</a>）</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#跨通路管理</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#多店面管理</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#營業數據API</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#稅帳務管理</span></strong></span></p> <p><strong>iChef推出針對多通路、多店面小型餐飲集團的管理系統</strong></p> <p>臺灣餐飲POS系統商iCHEF推出POS升級方案「總部系統」，有三項針對小型餐飲集團的功能，包括新型多通路管理系統、與ERP整合用的交易資料API以及會計系統串接功能。</p> <p>多通路管理系統有支援多店面營業資料格式的報表、多通路菜單區別化更新及會員管理模組，讓使用者一站式掌握多通路、多分店數據。交易資料API能匯出營業資訊，導入外部ERP系統，有利於業者選擇適合自己商業模式的ERP。此系統也與財務會計服務新創的雲端ERP及中央會計處理中心系統串接，能提供數位管帳及報稅服務。</p> <p>下一步，此系統將推出訂貨模組，能依照地區或通路型態對廠商進行不同的報價。未來還要增加人事、進銷存、行銷方面的功能。</p> <p>（註：API串接及會計系統串接為加購功能。）</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#跨平臺訂單管理</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#物流管理</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#庫存管理</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#免費提供</span></strong></span></p> <p><strong>Amazon將免費提供賣家物流優化App Veeqo使用權，能自動替跨電商平臺訂單選擇優惠物流方案</strong></p> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-launches-veeqo-free-shipping-software-sellers-including">Amazon將免費提供平臺上賣家物流管理App Veeqo的使用權</a>。此App原本月租費高達450美元，主要功能是整合跨通路電商訂單及多家運輸商的優惠方案，讓賣家一站式管理多個大型電商平臺的訂單物流。<br /> Veeqo能一次幫100張訂單自動選擇最適合的物流方案，並發送物流進度追蹤Email給買家。</p> <p>未來，Veeqo還打算開發Amazon、eBay、Etsy、Shopify等大型電商平臺的存貨狀態同步功能、多處倉儲的存貨及進貨管理功能、揀貨輔助功能以及銷售數據分析功能。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#智慧購物車</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#電商App</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#電子標籤</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#訂單管理</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#存貨管理</span></strong></span></p> <p><strong>零售技術商Instacart推出新型聯網購物車，從App購物清單到店內電子標籤都能同步</strong></p> <p>美國零售技術商<a href="https://www.instacart.com/company/pressreleases/instacart-announces-connected-stores/">Instacart推出智慧零售店面解決方案</a>，包含智慧購物車、手機掃描購物、智慧電子標籤、店內熟食訂單管理及存貨警報系統。其中最大亮點，就是同時和電商App、網站、貨架標籤以及後臺POS等多個系統串聯的智慧購物車。</p> <p>新型智慧購物車配有磅秤、感應器及影像辨識功能，能自動感應放入商品後線上結帳。此購物車具備聯網功能，能下載消費者存在App或網站上的購物清單，並提示消費者清單商品的店內位置。放入清單商品後，購物車會自動把清單上品項打勾。若消費者找不到商品，還能從手機App上選擇商品，讓對應的電子標籤閃爍。</p> <p>除了購物車內建的無人收銀功能，此解決方案也有手機掃描購物功能，消費者能邊購物邊掃描商品，並在手機上結帳。此功能會同步紀錄消費者購物行為，以利日後再行銷，還能辨識社會福利計畫補助的商品，便於消費者申請補助款。後臺管理功能則有店內熟食訂單管理系統及貨架缺貨警報系統等，不過Instacart沒有提供更多細節。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#貨架管理</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#店內數據分析</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#電腦視覺</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#庫存管理</span></strong></span></p> <p><strong>供應鏈管理技術商Trigo推出新庫存管理系統，能即時管理及分析貨架情況</strong></p> <p>全球客戶數超過8000家的供應鏈管理技術商Trigo推出了<a href="https://www.trigoretail.com/easystock/?utm_campaign=Easystock_page&utm_medium=Social&utm_source=linkedin&utm_content=easystock">新庫存管理系統</a>，透過店內鏡頭及感應器，提供即時貨架情況，包括商品位置、單品及區域缺貨情況、缺貨持續時間、貨架銷售情況、一天內商店貨架情況分析等功能。</p> <p>這些資料，會用簡單的視覺化圖表呈現在後臺，能即時通知店員補貨，也能用於規畫人力分配、動線設計以及進貨量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/trigo.png" style="height: 450px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#電腦視覺</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#庫存管理 </span></strong></span></p> <p><strong>Walmart要在全加拿大店面使用電腦視覺技術做存貨追蹤跟缺貨警報</strong></p> <p>在70家分店測試後，<a href="https://www.walmartcanada.ca/newsroom/2022/09/14/walmart-canada-rolling-out-computer-vision-ai-solution-for-on-shelf-availability-across-the-country">北美零售龍頭Walmart將於全加拿大400家分店導入電腦視覺庫存追蹤系統</a>，自動於缺貨時通知店員補貨。</p> <p>此系統運作模式是，安裝在雜貨、寵物用品等熱門商品區的鏡頭會定時掃描貨架。當系統偵測到缺貨情況，就會透過Walmart Canada既有庫存管理系統發送補貨通知。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#元宇宙展場</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#最大零售商加入元宇宙</span></strong></span></p> <p><strong>Walmart在元宇宙遊戲Roblox開設大型體驗場所，用遊戲包裝商品展示</strong></p> <p><a href="https://corporate.walmart.com/newsroom/2022/09/26/walmart-jumps-into-roblox-with-launch-of-walmart-land-and-walmarts-universe-of-play">Walmart在元宇宙遊戲Roblox中設立了常駐大型體驗空間</a>，不僅有知名歌手聯名演唱會、換衣間、多種遊戲體驗，並於這些體驗中加入了可蒐集的遊戲內商品和以實體商品為模型道具。<br /> 此做法並不新穎，不過過去涉及元宇宙的零售業者多為中高端品牌，Walmart加入元宇宙，說明全球最大零售商認為元宇宙將逐漸打入主流消費市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walmart-land-house-of-style-experience-close-up.jpg" style="width: 600px;" /></p> <p>資料來源：iThome整理，2022年9月</p> <p>圖片來源：Appsflyer、Trigo、Walmart</p> <p>責任編輯：郭又華</p> <p> </p> <p> </p> </div></div></div>
2022/9/30 14:38作者郭又華https://www.ithome.com.tw/news/153379
微軟將於10月終止支援iOS版SwiftKey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zdnet.com/article/microsoft-is-phasing-out-swiftkey-for-ios/" target="_blank">微軟本周表示</a>將於10月終止iOS版SwiftKey預測式鍵盤，且將從蘋果App Store下架。</p> <p>SwiftKey是一個供Android和iOS裝置，智慧型手機和平板電腦使用的輸入法。SwiftKey使用人工智慧技術，根據用戶先前的簡訊和現時正在輸入的文字，預測用戶將會輸入的文字，可加快用戶打字速度。</p> <p>SwiftKey原是一家獨立公司產品，曾是Google Play Store上最受歡迎的App，<a href="https://www.ithome.com.tw/news/103791" target="_blank">2016年微軟以2.5億美元買下</a>。微軟表示有3億支手機安裝使用SwiftKey。</p> <p>ZDNet報導，大約一個月前用戶反映，iOS版SwiftKey已經一年多沒有更新。微軟回覆媒體詢問說明，微軟將於10月5日終止iOS版SwiftKey的支持，也將從App Store下架。但微軟會持續支援Android版SwiftKey，以及Windows觸控鍵盤的底層技術。</p> <p>微軟說，在終止支援後現行安裝在iPhone或iPad上的SwiftKey還是能持續使用，除非用戶手動移除或換新機。</p> <p>至於這項決定的緣由，媒體推測是蘋果方面不開放API的關係。而這也不是頭一遭；可將手機應用程式映射到Windows操作的Your Phone，就是因為蘋果不開放介面，使這項功能僅能支援Android手機。</p> </div></div></div>
2022/9/30 12:33作者林妍溱https://www.ithome.com.tw/news/153374
英特爾發表第13代Intel Core處理器及可與手機互通的Unison解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）於本周二（9/27）舉行的Intel Innovation大會上，<a href="https://www.businesswire.com/news/home/20220927005482/en/Intel-Launches-13th-Gen-Intel-Core-Processor-Family-Alongside-New-Intel-Unison-Solution" target="_blank">發表了第13代的Intel Core處理器家族</a>，以及讓英特爾電腦能夠與iPhone及Android手機互通的Intel Unison軟體解決方案。</p> <p>第13代的Intel Core處理器家族採用Intel 7的10奈米製程與x86效能混合架構，宣稱就算是在最嚴苛的多工任務中，都能呈現更好的系統效能，其單執行緒效能最多可提升15%，多執行緒則達41%，此一家族計畫推出22款處理器，本周所發表的6款中包含了旗艦版的Intel Core i9-13900K。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Intel%2013th%20Gen%20Intel%20Core%20Processor%20Family-2-300.png" style="width: 310px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p>根據英特爾的說法，Intel Core i9-13900K為現階段全球最快的桌面處理器，具備24個核心與32個執行緒，時脈高達5.8 GHz，能夠帶來最佳的遊戲、串流與錄製體驗。新一代的英特爾處理器將於10月20日開始出貨。</p> <p>至於Intel Unison軟體通訊解決方案，則是來自於英特爾於去年底併購的以色列公司Screenovate。Screenovate主要開發允許不同裝置互動的通訊解決方案，<a href="https://www.ithome.com.tw/pr/92199" target="_blank">英特爾在2014年便曾投資Screenovate</a>，儘管英特爾並未公布交易金額，但外傳該交易價值1億美元。</p> <p>Intel Unison將創造英特爾PC及手機之間的無縫互動，包括傳送檔案，傳送文字訊息，讓電腦存取手機通訊錄，以及直接從電腦撥打或接電話，還能於電腦上收到及管理手機通知。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Intel-Unison-1-600(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>英特爾今年就會在基於第12代Intel Core處理器的Intel Evo筆電上整合Intel Unison，包括由宏碁（Acer）、HP與聯想所推出的機種，明年初也會擴大到基於第13代Intel Core處理器的筆電產品。</p> </div></div></div>
2022/9/28 11:06作者陳曉莉https://www.ithome.com.tw/news/153302
研究人員於Google Play及App Store上發現逾80款廣告詐騙程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.humansecurity.com/newsroom/human-discovers-and-disrupts-ad-fraud-scheme-impacting-89-apps-with-more-than-13-million-downloads-from-google-play-and-apple-app-stores" target="_blank">資安業者Human Security本周揭露</a>，內部Satori威脅情報研究團隊近日分別在Google Play與App Store上發現80款Android程式及9款iOS程式被嵌入了廣告詐騙程式碼，Google與蘋果皆已於程式市集中清除了這些程式，而使用者則可透過Human Security所公布的列表，移除這些詐騙廣告費用的程式。</p> <p>Satori團隊表示，他們自2019年就開始追蹤同一批駭客的行動，當時駭客的首個行動為Poseidon，影響了逾40款Android程式，第二波行動Charybdis發生在2020年底，在手法上略有進步，但同樣鎖定Android程式，然而，今年發現的第三波行動Scylla卻同時感染了Android與iOS程式，且手法愈趨精進。</p> <p>針對Scylla所進行的分析顯示，駭客主要藉由仿冒熱門遊戲程式來吸引使用者下載，也在程式中夾帶用以矇騙廣告主的程式碼，讓廣告主誤將該程式視為廣告價值更高的露出平臺；此外，它還會出現奇怪的廣告行為，例如於手機首頁跳出廣告，或是秘密於程式中露出使用者看不見的廣告；甚至是偽造使用者的點擊，以讓廣告主支付更多的廣告費用。</p> <p>該團隊於Google Play與App Store中，所發現的89款廣告詐騙程式的總下載量為1,300萬次，這些程式雖然已遭Google及蘋果移除，但可能還留存於使用者的手機上，使用者可參考<a href="https://www.humansecurity.com/learn/blog/poseidons-offspring-charybdis-and-scylla" target="_blank">Human Security所公布的程式列表</a>以移除它們。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="Jasmine" data-stringify-type="replace" style="box-sizing: inherit; font-weight: 900; word-break: break-word; color: rgb(29, 28, 29); font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures;"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; display: inline-flex; height: fit-content; width: fit-content;"><button class="c-link--button c-message__sender_button" data-message-sender="UBRH3F1HS" data-qa="message_sender_name" data-remove-tab-index="true" style="box-sizing: inherit; background-image: none; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; cursor: pointer; padding: 0px; font: inherit; margin: 0px; overflow: initial; text-align: initial; vertical-align: initial;" tabindex="-1" type="button"></button></span></span></p> </div></div></div>
2022/9/27 22:25作者陳曉莉https://www.ithome.com.tw/news/153298
【資安日報】2022年9月27日，中國駭客TA413利用後門程式Lowzero攻擊圖博人士、Zoom用戶成駭客散布惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是針對圖博人士的攻擊行動！有研究人員發現中國資助的駭客組織TA413發動的攻擊行動，這些駭客入侵受害組織的管道，先後運用了Sophos防火牆漏洞、MSDT元件漏洞Follina，並使用後門程式Lowzero進行網路間諜行動。在此之前，也有<a href="https://www.ithome.com.tw/news/152592#redalpha">名為RedAlpha的中國駭客組織</a>鎖定圖博社群而來。</p> <p>下載視訊會議軟體也要當心！資安業者揭露駭客以架設冒牌Zoom網站的方式，向受害者散布竊密軟體。這樣的情況，先前也有針對加密通訊軟體Telegram用戶的攻擊事故。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/chinese-state-sponsored-group-ta413-adopts-new-capabilities-in-pursuit-of-tibetan-targets"><span style="color: rgb(0, 0, 0);">中國駭客TA413利用後門程式Lowzero攻擊圖博人士</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese_state_sponsored_group_ta413_adopts_new_capabilities_in_pursuit_of_tibetan_targets_figure5_ad30b808bd.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese_state_sponsored_group_ta413_adopts_new_capabilities_in_pursuit_of_tibetan_targets_figure5_ad30b808bd.png" style="width: 300px; float: right;" /></a>資安新聞網站Recorded Future揭露中國駭客組織TA413鎖定圖博組織與人士的攻擊行動，駭客利用Sophos防火牆重大RCE漏洞CVE-2022-1040，以及MSDT元件漏洞Follina（CVE-2022-30190）入侵受害組織，進而於電腦植入後門程式Lowzero。</p> <p>研究人員指出，有鑑於這些駭客在利用上述漏洞的期間，仍舊不時使用名為Royal Road的惡意RTF檔案產生器（該產生器利用微軟方程式編輯器2017至2018年的漏洞）發動攻擊，再加上他們發現至少有3組中國政府資助的駭客組織利用上述的Sophos防火牆漏洞，研究人員認為，這些駭客很可能透過相同管道取得多種作案工具。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/19/new-malware-campaign-targets-zoom-users/"><span style="color: rgb(0, 0, 0);">開啟網址連結下載Zoom視訊會議軟體要小心！駭客下手透過冒牌網站散布竊密程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-Flow.png" style="width: 300px; float: right;" /></a>資安業者Cyble提出警告，視訊會議系統Zoom的用戶遭到鎖定，駭客架設冒牌的Zoom網站並引誘使用者下載應用程式，且這些網站所使用的網域都有zoom字串，如：zoom-download[.]host、zoomus[.]tech，而難以判斷真偽。</p> <p>研究人員指出，一旦受害者點選網站上的連結，將會下載存放於GitHub的壓縮檔Zoom.zip，經執行後就會在電腦上植入竊密軟體Vidar。研究人員呼籲用戶下載Zoom安裝程式之前應提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mend.io/resources/blog/popular-cryptocurrency-exchange-dydx-has-had-its-npm-account-hacked/"><span style="color: rgb(0, 0, 0);">DeFi業者開發的NPM套件被植入竊密軟體</span></a></strong></h3> <p>9月23日，原名為WhiteSource的開源程式碼安全業者Mend，發現去中心化（DeFi）平臺dYdX所持有的NPM帳號，上傳了數個套件的新版本，但這些套件都含有惡意程式碼，一旦用戶安裝，電腦就會被植入竊密軟體。</p> <p>究竟駭客如何竄改這些套件？研究人員推測，有可能透過其他攻擊事件偷到該公司的NPM帳密而得逞，並認為此起事故是供應鏈攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/the-mystery-of-metador-an-unattributed-threat-hiding-in-telcos-isps-and-universities/"><span style="color: rgb(0, 0, 0);">駭客組織Metador鎖定中東與非洲的電信業者、ISP、大專院校發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Metador_8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Metador_8.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露名為Metador的駭客組織，該組織主要的攻擊範圍是中東與非洲，並針對電信業者、ISP、大專院校下手，這些駭客在攻擊的過程中會繞過受害組織的資安系統，並透過寄生攻擊（LOLBins）的方式，濫用Microsoft Console Debugger（CDB.EXE），將惡意軟體框架直接部署於記憶體內，目的是進行長期的間諜行動。研究人員總共發現兩款惡意軟體框架metaMain、Mafalda，也有鎖定Linux主機的惡意軟體。</p> <p>至於攻擊者的來源，該公司表示駭客使用英文和西班牙語，且實力雄厚，而能發展極為複雜的攻擊工具，但他們難以判斷攻擊者的身分。</p> <h3><strong style="font-size: 22px;"><a href="https://udn.com/news/story/7320/6639973"><span style="color: rgb(0, 0, 0);">中科院技師下載軍事機密，並在被逮捕前刪除相關資料</span></a></strong></h3> <p>國家中山科學研究院傳出洩露軍事機密，卻因為檔案遭到刪除而無法判斷受害情形。根據聯合新聞網、公視、自由時報等媒體的報導，中科院系統發展中心彭姓技術師涉嫌於2018年，複製機密資料於個人資料夾，內容包含國家機密事務人員名冊、無人登月機、雄三飛彈性能提升報告等，中科院隔年6月察覺此事祭出停權處分，但彭男仍在中科院服務至2020年底才離職。</p> <p>這起重大洩密案件原本由臺灣高等檢察署調查，卻因為彭男後來在2020年偷用同事帳號刪除相關資料，而無法認定竊取的資料是否涉及機密，最後由桃園地檢署以刪除公務電腦電磁紀錄罪起訴，一審判刑8個月。<a href="https://www.ncsist.org.tw/csistdup/news/NewsPublishDetail.aspx?PostNo=16569">中科院也發布新聞稿證實此事</a>，表示尊重司法判決，並承諾加強相關機密的保護措施。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities"><span style="color: rgb(0, 0, 0);">DNS軟體BIND存在漏洞，恐被用於DoS攻擊</span></a></strong></h3> <p>網際網路系統協會（ISC）於9月21日發布資安通告，他們針對旗下的DNS軟體Berkeley Internet Name Domain（BIND）修補6個漏洞，這些漏洞都有可能被用於遠端攻擊。該協會指出其中有4個漏洞為高風險層級，且會導致服務阻斷（DoS），這些漏洞是CVE-2022-2906、CVE-2022-3080、CVE-2022-38177，以及CVE-2022-38178。</p> <p>ISC發布BIND 9.16.33、9.18.7、9.19.5來修補上述漏洞。美國網路安全暨基礎設施安全局（CISA）也提出呼籲，DNS伺服器管理者要儘速檢視上述高風險漏洞的資安通告，並採取緩解措施。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/21/rewards-plus-fake-mobile-banking-rewards-apps-lure-users-to-install-info-stealing-rat-on-android-devices/"><span style="color: rgb(0, 0, 0);">伊朗駭客以銀行點數獎勵為幌子，針對印度安卓手機用戶散布惡意軟體</span></a></span></strong></p> <p><a href="https://www.humansecurity.com/learn/blog/poseidons-offspring-charybdis-and-scylla"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員於Google及蘋果App市集上發現逾80款詐騙程式</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cyfirma.com/outofband/erbium-stealer-malware-report/"><span style="color: rgb(0, 0, 0);">竊密軟體Erbium假借遊戲破解或作弊工具散布</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153254">【2022年9月26日】微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者GitHub帳號</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153218">【2022年9月23日】勒索軟體BlackCat鎖定備份系統竊取資料、存在15年的Python漏洞恐影響35萬個開源專案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153192">【2022年9月22日】駭客以LinkedIn的付費版功能散布惡意連結、勒索軟體LockBit的製作工具遭到外洩</a></strong></strong></strong></p> </div></div></div>
2022/9/27 18:10作者周峻佑https://www.ithome.com.tw/news/153295
相準年輕消費者，Walmart推元宇宙服務Walmart Land與Universe of Play
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://corporate.walmart.com/newsroom/2022/09/26/walmart-jumps-into-roblox-with-launch-of-walmart-land-and-walmarts-universe-of-play" target="_blank">全球最大零售業者Walmart周一（9/26）宣布</a>，已與元宇宙遊戲平臺Roblox合作，在該平臺上建立了Walmart Land及Walmart's Universe of Play兩項元宇宙服務，外界將其視為Walmart吸引年輕人及測試元宇宙水溫的策略。</p> <p>不管是Walmart Land或Universe of Play都是以遊戲的型態表現，但Walmart Land主要提供互動式的音樂體驗，舉辦虛擬演唱會，擁有虛擬試衣間，還有對照實體世界的虛擬商店；而Universe of Play則是以玩具為主，集結Walmart所銷售的各種熱門玩具，並將它們嵌入遊戲中。</p> <p class="rtecenter"><img alt="" src="https://cdn.corporate.walmart.com/dims4/WMT/61fc282/2147483647/strip/true/crop/1600x900+0+0/resize/880x495!/quality/90/?url=https%3A%2F%2Fcdn.corporate.walmart.com%2F2d%2F04%2F663ef70744a2934f274ac4e6fe4c%2Fwalmart-land-house-of-style-experience-close-up.jpg" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Walmart Land示意圖，圖片來源／Walmart</span></span></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://cdn.corporate.walmart.com/dims4/WMT/e22aed3/2147483647/strip/true/crop/1600x900+0+0/resize/880x495!/quality/90/?url=https%3A%2F%2Fcdn.corporate.walmart.com%2F56%2Fcd%2Fe390b7384c318874d28644548787%2Fwalmart-universe-of-play-on-roblox.jpg" style="width: 550px;" /></span></span></p> <p><span style="font-size:14px;"><span style="color:#696969;">Universe of Play示意圖，圖片來源／Walmart</span></span></p> <p>Walmart行銷長William White表示，Roblox是全球成長最快也是最大的元宇宙平臺，而Walmart也有許多客戶滯留在Roblox平臺，使得該公司決定於這些客戶的遊戲世界中打造創新體驗。</p> <p><a href="https://www.cnbc.com/2022/09/26/walmart-enters-the-metaverse-with-roblox.html" target="_blank">White亦向《CNBC》透露</a>，Roblox將成為Walmart進入元宇宙的試驗場，期待能夠吸引新一代的消費者，特別是25歲左右或是更年輕的Z世代。</p> <p>Amazon所帶來的衝擊，再加上COVID-19疫情改變了人們的購物習慣，Walmart一直積極介入數位時代，不僅於TikTok、Twitter及YouTube上舉辦直播購物活動，也與媒體集團Meredith合作打造食譜，還開發了AR工具以讓消費者得以於虛擬世界中擺放Walmart所銷售的家具。</p> <p>Walmart Land與Universe of Play雖然建立於元宇宙平臺上，但任何裝置都可存取這兩項服務，不僅限於Oculus Rift或HTC Vive，它們還支援PC、Mac、iOS、Android、Amazon裝置及Xbox遊戲機。</p> </div></div></div>
2022/9/27 13:25作者陳曉莉https://www.ithome.com.tw/news/153273
【一個手冊設定失誤加上連鎖效應，導致災情迅速擴散】日本KDDI大當機事件過程追追追
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本第二大電信商KDDI，突然在7月2日凌晨發生VoLTE語音系統大當機，3千萬名用戶超過兩天半不能打電話，也無法上網，甚至氣象廳緊急宣布在颱風艾利來襲期間無法提供完整氣象資訊。數千通報案電話無法打通，不只偏遠山上登山者受傷無法通報，差點危及性命，超過5家醫院聯繫不上外科醫生，無人能幫重病患者進行緊急手術。</p> <p>突如其然的日本全國大當機，不只打亂許多人的生活步調，連帶也讓許多企業的營運大受影響，不少仰賴網路提供的服務都中斷，也導致系統故障出問題。</p> <p>這起通訊當機事件，不只是KDDI成立22年來最嚴重的通訊故障事故，更是日本史上最大規模的電信服務中斷事故。</p> <p>4周後，KDDI公布了事故調查結果，造成當機事故的導火線，竟是拿錯維護手冊。為何一個錯誤，造成了日本史上最大規模的中斷事故，高達2,278萬戶無法使用VoLTE通話、765萬戶無法上網，彷佛回到沒有網路和手機的時代。這得先從7月2日凌晨發生的事，開始講起。</p> <p><span style="color:#FFFF00;"><span style="font-size:20px;"><strong><span style="background-color:#696969;"> 2022年 </span> <span style="background-color:#696969;"> 7月2日 </span> <span style="background-color:#696969;"> 01:35 </span></strong></span></span></p> <p>KDDI營運中心監測到異常飆高的流量警訊，顯示位於東京都多摩市區的VoLTE語音服務系統出現異常，KDDI發現後，開始調查出錯原因。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 01:50 </span></strong></p> <p>初步檢查，發現事故源頭是多摩VoLTE系統在全國傳輸網路中的中繼路由器設備，當時正在進行新舊硬體更換作業，但更換過程中，因不明原因出錯而導致通訊故障。</p> <p>KDDI盤點初步災情，多摩地區語音通話只有部分地區中斷，其餘地區的語音通訊仍維持正常，由於無法確定故障是硬體或人為失誤造成，診斷出問題後，KDDI於是決定將設備回復到更換前的正常狀態，嘗試來恢復通訊。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 02:00 </span></strong></p> <p>KDDI成立這次事故對策總部，來因應後續可能的影響。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 02:17 </span></strong></p> <p>故障設備退回舊版設定無效，災情開始擴大。</p> <p>依照KDDI原有的系統設計，單一VoLTE的網路節點出現壅塞時，可以透過傳輸網路分散式架構，將流量導向其他站點的VoLTE的網路節點（全部共有18座VoLTE節點），來達到分散流量的目的。</p> <p>但是，KDDI發現，切換到舊版設定後，多摩VoLTE系統的負載仍舊沒有下降，語音通訊依舊困難。這個退回前版的做法，沒有發揮效果，反而造成其他VoLTE的節點壅塞，災情開始擴大。</p> <p>不只更多VoLTE節點出狀況，連KDDI的用戶註冊資料庫也開始出現塞爆的情況。</p> <p>手機連上VoLTE系統時須先註冊才能啟用通話功能，這些註冊資料都會寫入到用戶註冊資料庫中，但在退回舊版設定後，這個資料庫的查詢量突然暴增，甚至壅塞，進而影響了更多手機的註冊行為。</p> <p>不只多摩地區，KDDI在日本各地的VoLTE語音服務接連出現異常，無法或難以通話，越來越多用戶反應手機不能打電話，也無法上網（Android品牌手機裝置占多數）。這起斷訊事故從單一地區的語音通訊中斷，擴大為全國規模的通訊中斷事故。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 02:52 </span></strong></p> <p>第一次公告。發布全國語音和數據通訊故障事故的通知，影響旗下au手機品牌的通訊服務和使用au線路提供相關服務的MVNO業者（如UQ mobile）。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 03:00 </span></strong></p> <p>KDDI開始實施分階段的流量管制措施，將網路流量限制在50%，造成KDDI在國內的語音通話或數據通訊功能，變得更難或無法使用。另一方面，嘗試透過控制VoLTE與網路各節點對數據及語音的連線請求，與重啟VoLTE系統呼叫處理流程方式管控進出流量，試圖減輕整體VoLTE的負載。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 12:00 </span></strong></p> <p>電信斷訊災情逐漸蔓延到許多產業，不只銀行戶外ATM無法使用，物流業者更新包裹配送資訊系統大當機，汽車業者車聯服務也故障不能用，許多靠網路提供服務的業者也開始無法使用。其他影響還包括公車刷卡付費的驗票機、電子站牌無法使用，就連政府119緊急電話，氣象局天氣預報資訊都出狀況。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 15:22 </span></strong></p> <p>KDDI從行動網路層斷開了PGW數據封包網路閘道器，以此來比對用戶資料庫中的欄位資料，來修正資料不匹配的狀態。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 17:31 </span></strong></p> <p>KDDI擴大修正不同層網路（包括行動網路、IP傳輸網、VoLTE系統）之間因網路壅塞產生的資料不一致。KDDI公告，行動緊急電話開始難以使用。總務省當晚指派一名代表擔任KDDI事故的聯絡窗口。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月3日 </span> <span style="background-color: rgb(105, 105, 105);"> 01:00 </span></strong></p> <p>經過一天限流後，KDDI決定展開復原作業階段，因為VoLTE系統和用戶資料庫壅塞導致資料不匹配，評估需較長修復時間，KDDI決定先恢復數據通訊，讓行動用戶可以先上網。從1：00開始作業，3點時初步完成修復15%數據通訊。不過，災情仍舊持續蔓延，KDDI公告，家用電話、家用VoLTE小型基站、SMS簡訊收發等，也開始無法使用。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 10:00 </span></strong></p> <p>日本總務大臣金子恭之在臨時記者會上，稱KDDI的通訊故障為重大事故，KDDI依法須於30天內向總務省提交事故檢討報告。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 11:00 </span></strong></p> <p>KDDI完成日本西部通訊修復工作</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 11:02 </span></strong></p> <p>召開第一次事故說明會。KDDI社長高橋誠和KDDI技術管理總部本部長吉村和幸，出面說明事故過程和無法恢復通訊的理由。KDDI初步排除硬體故障的可能，研判是路由器設定過程出錯。KDDI也在記者會澄清，這起事件無關3G網路退場，也沒有受轉換5G行動網路的影響。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 17:30 </span></strong></p> <p>KDDI完成東部的通訊修復工作。但是，在進行網路測試和驗證時，KDDI發現，在限制流量的情況下，用來提供語音服務的各地區VoLTE系統和用戶資料庫的負載仍然超重，壅塞情況沒有得到控制。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月4日 </span> <span style="background-color: rgb(105, 105, 105);"> 07:00 </span></strong></p> <p>KDDI公告全國數據通訊已大部分恢復。但語音通訊仍難以使用。</p> <p><span style="color:#FFFF00;"><span style="font-size:20px;"><strong><span style="background-color:#696969;"> 12:18－13:18 </span></strong></span></span></p> <p>經過KDDI一天調查，終於查明原因。有6座VoLTE交換器系統故障，持續向用戶資料庫重傳過多不必要的訊令，導致用戶資料庫持續負載過重，阻礙了語音訊通訊的恢復。KDDI最後改用非預期的斷網措施，才解決了這個問題。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 14:51 </span></strong></p> <p>KDDI解除流量管制。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 16:00 </span></strong></p> <p>全國語音通話和數據通訊幾乎已恢復先前水平。為求謹慎，KDD決定多觀察一天，預計在隔日事故對策會議上進行最終確認，確定服務使用狀況和網路流量一切正常。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 20:00 </span></strong></p> <p>召開第二次事故說明會。KDDI說明恢復狀況和後續事故原因調查，以及擬定未來防範對策。KDDI也公布受事故影響的行業，涵蓋物流運輸、銀行、汽車、交通、氣象單位及政府機構等</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月5日 </span> <span style="background-color: rgb(105, 105, 105);"> 15:36 </span></strong></p> <p>公告完全恢復正常。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月28日 </span></strong></p> <p>KDDI向日本國務省提交事故檢討報告書。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月29日 </span></strong></p> <p>召開第三次事故說明會。KDDI解釋事故發生詳細原因，也公布第一份通訊故障調查報告，坦言，中繼路由器的設定出錯。KDDI也宣布要成立一個「加強通訊基礎設施和客戶支援對策委員會」的組織（以高橋誠和董事會成員組成），來提出防範類似事故再發生的對策。在這個組織下設立四大工作小組，將協同各部門強化作業品質、營運、設備及客戶支援。</p> <p>KDDI報告指出，這次發生通訊故障的中繼路由器，屬於傳輸網路中的核心路由器（core router），是用來連接行動網路和VoLTE語音通訊系統很重要的網路通訊設備。</p> <p>這起7月2日凌晨的事故，KDDI正在進行多摩市在全國傳輸網路中的核心路由器汰換作業，卻因為一個設定出錯，竟然造成大規模長期的通訊中斷災情。為何一開始就設定出錯？這是許多人第一個疑問。KDDI坦承，這是在更換成新的核心路由器時，不小心誤用了舊的工作程序手冊來設定所導致的指令錯誤。</p> <p>執行維護作業程序時，KDDI通常會參考兩種工作程序手冊，一種是舊程序手冊，一種是新程序手冊，分別對應到新舊工作環境，新環境下的程序手冊用於設定新產品，舊環境的程序手冊設定舊產品。操作人員會依照手冊中的程序操作來完成路由表中的路徑變更。每本手冊的程序及操作步驟也都經過測試環境、正式環境的驗證。</p> <p>當時，KDDI原本正在安裝新的核心路由器，來取代舊設備，作業上，應該要使用新的程序手冊來替這臺新路由器設備做設定，但操作人員卻誤用了只能用在舊設備工作環境中使用的舊手冊來設定，設定時也沒有發現指令錯誤，就完成了設定程序。</p> <p>這就導致，在這次事件中，新的核心路由器一啟用就發生通訊故障，只允許轉發從終端裝置接收到的資料，但遇到VoLTE系統從反方向回傳的資料就無法處理，因為人為設定失誤，造成路由配置不正確，只能傳送上行資料，下行資料就不通。</p> <p>手冊拿到舊的版本，是造成設定出錯的原因。KDDI本來也有一套事前檢查程序，確保整個維護和更新作業流程沒有問題，在這個流程中，也有包含手冊項目的檢查，但僅以目視檢查來確認手冊是否正確，沒有採取更嚴謹的系統來檢驗，才導致了這次的設定出錯。</p> <p>但是設定出錯，並不是造成這起事故擴大為全國災情的主因，而是發生設定出錯後，KDDI錯估了通訊故障可能引起的連鎖反應造成系統崩潰的風險。</p> <p>依照VoLTE的系統設計，正常作業時，用戶終端裝置每50分會自動向VoLTE重新註冊，以保持始終連網，但是，就在KDDI發現設定出錯而緊急回復至舊版設定時，因為先前斷線，VoLTE系統向所有終端裝置發起了重新註冊的請求，所以，全部終端裝置都在同時間重註冊，造成多摩這座VoLTE系統迅速壅塞。接著因為啟動分流措施，其餘VoLTE節點也跟著出狀況。</p> <p>各地VoLTE節點接連傳出壅塞災情，也造成用戶註冊資料庫的查詢迅速增加而塞爆，加上網路中其他設備（如PGW）也出現大量重傳，導致用戶資料庫與VoLTE連線不一致，引起VoLTE系統的重置，重置後又引起重註冊，造成網路內的重傳迅速增加，成了加速系統崩潰的催化劑。</p> <p>從KDDI事後數據顯示，當時流量不到幾分鐘就突然暴增7倍，只要1分鐘就能塞爆VoLTE系統，就算把流量導向下一座，下一座也很快會被塞爆。</p> <p>KDDI坦言，對特殊網路條件下的擁塞緩解的考量不足，是造成這次大規模故障的原因。</p> <p>不只要應變大規模災情來減災，事故第二天進到災害復原的階段，對KDDI更是另一大艱困挑戰。</p> <p>在恢復策略上，KDDI先恢復全國數據通訊，並根據地理位置來分區，依序復原西部和東部地區通訊。KDDI從7月3日凌晨1:00展開數據通訊復原作業後，也在當天早上11:00、下午17:30就恢復這兩個區域的數據通訊。</p> <p>但進到語音恢復作業時，KDDI馬上就遇到了挑戰，因為當時，語音通訊仍處於塞爆的狀態，直到7月3日下午數據通訊修復，仍沒有獲得明顯改善，加上這個時候，日本正面臨颱風艾利步步進逼，為了加快復原速度，他們按原訂計畫展開語音通訊恢復作業，因為不像恢復數據通訊那樣，是災情控制後才進行恢復，這也大大增加了KDDI恢復作業執行的難度。</p> <p>另一方面，從恢復流程及機制來看，由於不同網路層之間存在複雜交互作用，使得語音通訊比數據通訊復原要複雜許多，所以，KDDI才決定一開始先恢復數據通訊服務，加上這次同時遇到多節點VoLTE壅塞、用戶資料庫壅塞和各層網路之間的狀態不一致所帶來的多重考驗，這也讓語音通訊復原的挑戰加劇。</p> <p>KDDI在2013年時也曾遭遇過重大通訊中斷事故，去年更從其他家電信公司的事故經驗中，來模擬這種大規模中斷情境下的恢復策略，但碰上這次事故，不論是規模或複雜度都是前所未見，以致於難以或無法套用。</p> <p>在搶修復原過程中，KDDI還要應付大規模壅塞後衍生的新問題，例如誤用了壞掉的備份對VoLTE系統做還原，有6座VoLTE系統出現異常，導致又多花了一天找原因，而延誤到恢復進度，直到7月4日中午發現原因後採斷網解決才恢復運作。</p> <p>之後經過一天反覆測試確認所有語音、數據通訊都正常，才在隔天15:36宣布全面恢復。</p> <p>KDDI強調，維護工作考量不足、對大規模又長期網路壅塞的應變考量不足，是造成這次大規模又長時間通訊中斷的原因。KDDI也提出補償方案，說明對用戶的賠償金額及其範圍。若以合約加上道歉退款的金額來計算，賠償總額為73億日元。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 8月3日 </span></strong></p> <p>收到事故調查報告隔幾日，國務省對KDDI及旗下沖繩行動電話公司給予書面行政指導，要求採取各種措施防止類似事故再發生。11月10日前匯報執行情況，之後每3個月完成進度檢討報告。</p> <p><span style="font-size:28px;"><strong>KDDI作業面對策：</strong></span></p> <p>事故發生後兩周，完成所有工作手冊管理規則和批准辦法的徹底檢查。7月底前完成對作業風險評估、標準限制。</p> <p><span style="font-size:28px;"><strong>KDDI系統面對策：</strong></span></p> <p>事故發生一周後，重建立一套用來解決長期網路壅塞的恢復程序和相關機制。7月底導入新的壅塞檢測工具，不只提供異常偵測通報，也能詳細掌握各站點VoLTE系統的壅塞變化情況。8月下旬完成開發壅塞復原工具，並重新審視和規畫大規模通訊中斷下的壅塞緩解設計，以此制定新對策。</p> <p><span style="font-size:28px;"><strong>KDDI客戶支援面對策：</strong></span></p> <p>重新檢視事故後的資訊公開流程並提出改進作法，也強化對於用戶資訊揭露與訊息公告提供的優化做法。9月底前全面實施。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>KDDI語音通訊系統大當機過程示意圖</strong></span></span></p> <p><strong><span style="color:#696969;">事故過程：</span></strong><strong><span style="color:#696969;">7月2日凌晨1:35，在東京都多摩市一座VoLTE語音交換器系統，用來連接該系統與行動網路的新款核心路由器發生通訊故障</span><span style="color:#B22222;">①</span><span style="color:#696969;">，KDDI監測到異常流量，雖緊急切回舊設備卻引起大量終端與其他設備的重複註冊，導致多摩的VoLTE系統壅塞</span><span style="color:#B22222;">②</span><span style="color:#696969;">。KDDI隨後啟動分流機制，卻阻止不了災情持續擴大，連帶使得其他的VoLTE節點也塞爆</span><span style="color:#B22222;">③</span><span style="color:#696969;">。多處VoLTE節點發生壅塞後，對用戶資料庫的寫入和查詢迅速增加而出現壅塞</span><span style="color:#B22222;">④</span><span style="color:#696969;">。KDDI於2:52正式對外公告語音和數據通訊全面故障，並分階段實施流量管制。KDDI在隔天7/3凌晨1:00展開復原作業，於傍晚完成恢復東、西地區的數據通訊，但復原語音通訊過程中遇到多處VoLTE系統出現異常。經過一天調查，KDDI在7/4 13:18將有問題的VoLTE系統斷開</span><span style="color:#B22222;">⑤</span><span style="color:#696969;">才恢復運作。經過一天測試驗證，最後順利在7/5 15:36公告全面恢復正常</span><span style="color:#B22222;">⑥</span><span style="color:#696969;">。</span></strong><span style="color: rgb(105, 105, 105);">資料來源：iThome整理，2022年9月</span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/KDDI%E5%A4%A7%E7%95%B6%E6%A9%9F-BOX%E5%9C%96%E8%A1%A8-%E8%B6%85%E9%80%A3%E7%B5%90%E5%A4%A7%E5%9C%96.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/KDDI%E5%A4%A7%E7%95%B6%E6%A9%9F-BOX%E5%9C%96%E8%A1%A8-%E7%B8%AE%E5%9C%96.jpg" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/153214" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ＜日本KDDI事故＞完整報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/153214" target="_blank"><span style="color: rgb(51, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-feng_mian_p1-open-zhi_hao_.jpg?itok=q5mJj-Fn" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/26 07:00作者余至浩https://www.ithome.com.tw/news/153210
Niantic發布網頁瀏覽器用Lightship增強實境視覺定位系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者可以在8th Wall網頁擴增實境開發平臺，使用Niantic所開發的視覺定位系統<a href="https://nianticlabs.com/news/lightship-vps-web/?hl=en">Lightship VPS for Web</a>，開發網頁擴增實境應用，官方提到，該功能提供公分級的精準度，並且讓開發者存取地理位置的3D網格，因而能表現出虛擬物件與真實世界相互遮蔽、符合物理且真實的互動。用戶可以先從8th Wall的Discovery Hub中，試用Lightship VPS的範例。</p> <p>Niantic宣布在8th Wall平臺上推出網頁版的Lightship VPS，這代表網頁也能夠普遍成為開發擴增實境應用程式的平臺，官方解釋，他們首創的瀏覽器技術，可以將WebAR內容錨定在指定的地理位置，並且使虛擬物件能夠和所在真實世界互動，將現實事件和數位世界相連接。</p> <p>網頁Lightship VPS能夠將日常地理位置，轉換成提供數位體驗的地方，透過擴增實境賦予該位置新的意義，官方表示，這種數位體驗將能夠驅動人流到特定位置，像是公園的雕像，甚至城市中的店面，使企業能以全新的方式取悅和吸引客戶。同時企業也能夠串連數個具有VPS物件的位置，創造多地點體驗，像是擴增實境尋寶或是大地遊戲。</p> <p>Niantic強調，Lightship VPS使用Niantic擴增實境的地圖，能夠以公分級精準度錨定內容，並可直接在用戶的行動瀏覽器中運作，不需要下載其他應用程式。</p> <p>另外，Lightship VPS for Web還提供開發人員在擴增實境場景，存取位置的3D網格，無論是iOS或是Android，甚至是不支援LiDAR的裝置都沒問題，官方強調，這項顛覆遊戲規則的新功能，能夠用來建構遮擋和符合物理規則的WebAR體驗，在虛擬和真實事件中，增加更進階、逼真的互動。</p> <p>開發者可以自己在Niantic的擴增實境地圖中添加VPS位置，或是直接使用官方所提供，超過10萬個VPS位置來建構擴增實境應用，這些VPS位置不只有街景和公共地標，還包括公園、小路、當地企業等公共場所，官方提到，因為社群貢獻了數百萬個地理位置的資訊、照片和掃描物件，這些資料讓Lightship VPS足夠提供在地化服務，可以在一天中的不同時間，一年中的不同季節，都能確保VPS物件良好運作。</p> </div></div></div>
2022/9/23 21:58作者李建興https://www.ithome.com.tw/news/153217
【臺灣資安大會直擊】數位部長唐鳳揭露打造堅韌安全的智慧國家的3目標、4大策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月底掛牌營運的數位發展部，數位發展部(簡稱數位部)部長唐鳳今天(9/21)在資安大會主題演說中表示，數位部的目標之一是推動全民數位韌性，除了快速回復外，更要將攻擊當成轉型契機，強化自身體質。此外，唐鳳也對外說明第6期國家資通安全方案，將以打造堅韌安全的智慧國家為目標，包含3項具體目標及4大策略。</p> <p>數位發展部8月底成立時，擔任首位部長的唐鳳即期許數位部未來扮演臺灣數位發展的「馬達」，推動全民數位韌性的發展。而在資安大會的主題演說中，唐鳳重申全民數位韌性，的目的是透過全民數位韌性打造國家成為民主典範，全民數位韌性指的是任何時候遭受到不利的影響，可以快速回復，能夠完善機制，從攻擊中學習，將攻擊當成轉型的契機，來強化自己的體質，包括三部分，社發、產發、突發，或是稱為社會韌性、產業韌性、應變韌性，社會韌性是確保全民都有意識，並且能守望相助，產業韌性則是協助各產業面對資安、供應鏈、疫情等各種挑戰，能強化自身體質，互相幫忙，應變韌性則是資通安全署，強化資安應變能力，保護政府及關鍵基礎設施。</p> <p>唐鳳指出，強化數位韌性的重要，不只臺灣，全世界也覺得重要，以WEF世界經濟論壇報告指出，政治、環境、經濟、地緣、科技5種不同風險中，因應COVID-19的科技風險，最大的是資通安全做法如果失守，所造成各種新風險，如惡意技術的利用、技術治理失靈、數位權力過分集中、IT基礎架構失效等等。</p> <p>綜合歐盟、澳洲、資安業者的觀察，目前資安威脅包含APT進階持續威脅、社交工程、行動式設備、供應鏈或服務供應商遭駭，還有這幾年受到外界關注的勒索軟體風險。除了基本的防護措施，例如持續軟體更新、落實委外管理機制、遵守資安管理措施，這些都是基本的防護做法。唐鳳認為更重要的是，資安意識要落實到每個人身上，每個員工、利害關係人發現疑似資安破口，經過反映後，即時修補處理，強化資安防護。</p> <p><span style="color:#B22222;"><strong>吸引、培養資安人才，建立公私協同機制</strong></span></p> <p>唐鳳進一步指出，去年2月已提出第6期(2021年到2024年)國家資通安全發展方案，其願景就是打造堅韌安全的智慧國家，3項具體的目標，包括成為亞太的資安研訓樞紐、建立主動防禦的基礎網路，公私協力共同創造安全的網路環境。</p> <p>施行的4項策略，包括吸引全球高階人才，培植自主創新的能量、提升關鍵基礎設施韌性、善用前瞻科技主動抵禦、提升民間防護能量。</p> <p>在吸引全球高階人才方面，唐鳳表示，不只是數位部，未來也會和國科會、經濟部合作，除了人才養成，高品質的科研也是發展資安措施的基礎。另外，數位部資安署也會和教育部聯手，推動各個場域的資安演練，人才研訓也會從在學、在營，著手培養資安才人。</p> <p>鑑於每個表面都可能受到資安攻擊，第6期方案重點也包括協助建立每個領域公私協同的機制，確保每個環節的反應速度能夠更快、頻寬更高，延遲更低。</p> <p>至於現有的資安管理法，推動建立模擬場域作為實證、教學訓練的地方，還有工控領域、資安治理成熟度推動，以及國家層級的資安風險評估。</p> <p>對於成為資安攻擊目標的重要關鍵基礎設施，各個中央目的事業主關已訂定所屬的關鍵基礎設施提供者，接下來要定期稽核，精進聯防機制，如情資分享、通報應變、資安監控，以及跨領域或跨國的情資交流、攻防演練等。</p> <p>除了關鍵基礎設施提供者需設立資安長、強化資安人員的專業能力之外，唐鳳也不忘再次強調，也要提升所有人員的資安意識、能力建構，才能落實資安防護。</p> <p><span style="color:#B22222;"><strong>數位部導入零信任</strong></span></p> <p>作為我國數位轉型、數位產業推手，也是國家資通安全規畫的數位部，數位部帶頭只花3天部署零信任系統，通過驗證機制，確保使用載具的安全，沒有入植入惡意程式，可使用載具上的生物辨識，網路也是可行的，才能簽署公文，「這和傳統在內網信任使用者是完全不同的」。</p> <p>配合第6期國家資通安全方案，目前數位部、2個署級機關人員都使用筆電，筆電均採用Windows、Linux雙重開機，唐鳳透露自己從數位部成立至今，只使用Linux，還未使用Windows。確保Web based系統，不論Android、Windows、iOS、MacOS都有同樣的存取能力及保護。</p> <p>唐鳳表示，在零信任狀況下，員工可能使用任何的設備，因此需照顧多元異質設備的存取需要，身分鑑別、設備鑑別、信任判斷技術會先從數位部自己做起，和願意實作的其他部會建立最佳實踐的做法，再擴大到相關的中央或地方政府機關。由於數位部為新成立，沒有既有系統的包袱，而大部分的部會有舊系統需要轉換，不太可能一次汰換部署新系統，因此大多為新舊混合運作的情形，數位部推動新的體驗，未來會輔導其他部會，確保在混合式架構下轉換過程是順暢的，並繼續和其他機關進行驗證。</p> <p>最後一項策略，提升民間防護能力，唐鳳指出，原本就有公私協同合作機制，例如TWCERT/CC資安情資分享服務，未來會鼓勵網路零售業者參與，並透過宣導提升民眾在生活中的資安意識。供應鏈安全管理方面，數位部將輔導各機關委外時，對委外廠商有相同的作業及管理，半導體在晶片製程前後階段的安全管理。至於IoT物聯網安全，隨著更多5G專網申請，提供更多場域，數位部協助業者聚焦5G的資安風險。</p> <p>目前數位部底下數位產業署、資通安全署，其中數位產業署負責數位產業的推動，包括產業轉型過程中的資安防護，以及資安產業的發展，而資通安全署則是負責國家整體數位發展的資安防護，以及數位政府的整體安全、關鍵基礎設施的防護等。</p> </div></div></div>
2022/9/21 18:15作者蘇文彬https://www.ithome.com.tw/news/153174
Windows 11即將支援逾2萬種Android程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（9/20）開始於全球逾190個國家部署Windows 11 2022 Update，<a href="https://blogs.windows.com/windowsexperience/2022/09/20/more-content-and-new-developer-opportunities-in-the-microsoft-store/" target="_blank">同時宣布</a>將在未來幾周把Windows 11上的Amazon Appstore擴大到全球31個國家，並將提供逾2萬種Android程式。</p> <p>為了讓Windows用戶也能享用Android程式，微軟打造了Windows Subsystem for Android（WSA）子系統，並整合Amazon Appstore，初期微軟僅於美國及日本市場測試該服務，並提供50款Android程式；使用者可直接透過Microsoft Store安裝Amazon Appstore，在安裝Amazon Appstore的過程中，系統即會提醒使用者安裝WSA，此外，使用者也必須具備Amazon帳號。</p> <p>現在微軟預計於幾周內將Amazon Appstore的適用範圍擴大至31個國家，包括澳洲、加拿大、德國、義大利、西班牙與英國等，屆時所支援的Android程式或遊戲將會超過2萬個。</p> <p>微軟表示，自發表WSA以來即不斷地改善該系統，最新的版本藉由硬體加速、對DRM影片的支援、對網路及安全的改善，以及強化了觸控、滑鼠與鍵盤的輸入處理，使得現在WSA的繪圖效能是最初版本的2~3倍快。</p> <p>不過，有鑑於WSA是以Hyper-V虛擬機器的形式運作，當使用者在執行Android程式時，WSA亦必須於背景運作，比起尋常的Windows程式將會耗費更多的系統資源。</p> </div></div></div>
2022/9/21 14:44作者陳曉莉https://www.ithome.com.tw/news/153166
Google最新IDE Android Studio更新改善開發效率並最佳化自動測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布最新的IDE版本<a href="https://android-developers.googleblog.com/2022/09/android-studio-dolphin.html">Android Studio Dolphin</a>，該版本的3大更新重點包括Jetpack Compose、Wear OS和開發效率。針對Jetpack Compose，Android Studio Dolphin現在提供工具，讓開發者可以預覽多個螢幕和動畫，並且針對Wear OS添加一系列開發功能，供開發者準備適用於Wear OS 3的應用和錶面。</p> <p>Google更新Android Studio中的Intellij，最新版本2021.3具有經改進的Find Usages工作流程、Kotlin除錯器，以及Kotlin的常數條件檢查等預覽功能。另外，過去當開發者想要使用模擬器自動化應用程式測試，會發現調校和配置都很麻煩，而在最新的Android Studio加入Gradle Managed Virtual Devices，可供開發者將自動化測試所需要的虛擬裝置描述成建置的一部分，並且由Gradle處理剩餘工作。</p> <p>從SDK下載、裝置獲取到設定，甚至是測試執行，Gradle在儀器測試期間能夠管理虛擬裝置的生命周期，Google提到，Gradle會透過啟用快照管理、測試快取和測試分片等新功能，進一步最佳化測試運作。另外，Gradle Managed Virtual Devices還加入了一種，稱為自動化測試裝置的全新類型裝置，可針對自動化測試進行最佳化，大幅減少測試期間的CPU和記憶體使用量。</p> <p>Android Studio中的Jetpack Compose更新添加Compose Animation Inspector，供開發者一次查看所有支援的動畫，並能在Animation Inspector中調整動畫、凍結特定動畫，或是逐影格瀏覽整個動畫。而開發者現在還可以使用重組計數器（Compose Recomposition Counts），更容易地對Jetpack Compose UI進行除錯，透過查看重組計數器開發者可以了解UI的更新頻率是否符合預期。</p> <p>針對Wear OS的更新，Android Studio中的模擬配對助理，供開發者在裝置管理器中，將一個或多個手錶模擬器與手機配對，而不需要經過繁瑣的操作，同時Android Studio也會在關閉後繼續記得配對，開發者不必經常重新配對裝置。</p> <p>模擬工具列則能讓開發者模擬使用者手勢，其提供與Wear OS物理裝置對應的按鈕和互動功能，能夠觸發像是手掌手勢或是傾斜裝置等模擬操作。</p> </div></div></div>
2022/9/20 22:30作者李建興https://www.ithome.com.tw/news/153158
微軟更新VS Code Java擴充套件已能正確支援Android專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://devblogs.microsoft.com/java/java-on-visual-studio-code-update-september-2022/">VS Code Java擴充套件9月更新版</a>，這次除了有Protobuf（Protocol Buffer）專案支援，也改進專案匯入和Spring的支援，遠端除錯和單元測試更順暢靈活。</p> <p>Protobuf是一個免費開源跨平臺資料格式，能夠序列化結構資料，過去，當Java專案中使用到Protobuf，Java擴充套件便無法良好運作，可能出現大量無法辨識的類別，微軟解釋，這是因為過去Java擴充套件無法正確偵測proto檔案，因此沒有生成需要的程式碼，也找不到生成的程式碼所導致。</p> <p>而在這個最新的VS Code Java擴充套件，微軟新增對protobuf專案的支援，因此當偵測到.protobuf檔案，用戶便會看到來自VS Code的提示，詢問是否要從proto檔案中生成Java原始碼，只要用戶確認，擴充套件便會生成程式碼，也就不會出現無法辨識類型的錯誤。</p> <p>除了Protobuf專案的支援，微軟還改進對Android專案的支援，官方提到，過去在載入Android專案的時候可能會無任何徵兆的失敗，或無法使用大多數的Java核心功能。在新版本中，開發者可以順利匯入Android專案，並且可以正常使用所有語言功能。</p> <p>另外，Java擴充套件還強化對Spring框架的支援。Spring儀表板提供許多功能，可讓開發者以視覺化的方式監控應用程式，而儀表板中一項重要的功能，便是能夠即時顯示的Spring應用程式資訊，但這項功能需要啟用Spring Boot Actuator，而現在Java擴充套件會自動偵測Spring專案的Spring Boot Actuator的狀態，並提醒用戶啟用。</p> <p>Java擴充套件現在即便在高網路延遲下，也能提供良好的遠端除錯效能，在特定情況下，延遲可以降低2倍到45倍，不過這目前還是個實驗性功能，只會自動替Insiders用戶啟動。微軟添加對JUnit 5標籤的支援，使用戶可以在執行期間過濾掉特定測試，使單元測試更加方便靈活。</p> </div></div></div>
2022/9/19 21:13作者李建興https://www.ithome.com.tw/news/153129