iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年12月6日，American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有基版管理控制器（BMC）出現重大漏洞，而使得被控管的伺服器曝露危險。但值得留意的是，這次被發現漏洞的BMC系統MegaRAC，被用於至少15個廠牌的伺服器上，導致這些漏洞的影響範圍變得相當廣泛。</p> <p>駭客鎖定電信業者與業務流程外包公司發動攻擊，竟是為了進行SIM卡挾持（SIM Swapping）攻擊做準備！資安業者CrowdStrike揭露駭客組織Scattered Spider的攻擊行動，這些事故的入侵手法不盡相同，但目的都是為了從電信公司偷取相關資料。</p> <p>我們之前報導針對Windows電腦的自帶驅動程式（BYOD）攻擊手法，如今類似的手段駭客也拿來攻擊Linux電腦！研究人員揭露駭客攜帶PRoot工具的攻擊行動，目的是將目標擴及多個版本的Linux。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.crowdstrike.com/blog/analysis-of-intrusion-campaign-targeting-telecom-and-bpo-companies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信業者與業務流程外包公司遭鎖定，目的是竊取SIM挾持攻擊所需的電信業者權限</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SIM-Picture1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SIM-Picture1-1.png" style="width: 300px; float: right;" /></a>資安業者CrowdStrike揭露自今年6月出現的一連串攻擊行動，駭客組織Scattered Spider鎖定電信業者、業務流程外包公司（BPO）發動攻擊，利用多種社交工程手法，像是假冒IT人員打電話給公司員工，或是利用Telegram或簡訊將使用者導向含有公司商標的冒牌網站，進而取得目標網路的初始網路存取權限，駭客在其中兩起攻擊行動裡，分別透過竊得的帳密存取目標組織的Azure虛擬機器，以及利用應用程式伺服器ForgeRock OpenAM的漏洞CVE-2021-35464站穩腳根。然後這些駭客透過AnyDesk、Teamviewer、Logmein等20種遠端監控與管理系統（RMM），持續在目標組織活動。</p> <p>而對於這些駭客的目的，研究人員指出，他們最終的目的是破壞電信網路，竊取使用者的資料，以便用於SIM卡挾持（SIM Swapping）攻擊。</p> <h3><a href="https://sysdig.com/blog/proot-post-explotation-cryptomining/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客自帶系統管理工具PRoot攻擊Linux主機</span></strong></a></h3> <p>資安業者Sysdig揭露針對Linux主機的挖礦攻擊行動，過程中駭客自行攜帶名為PRoot的開源系統管理工具，於目標電腦上部署獨立的根檔案系統，然後植入挖礦軟體XMRig，以及masscan、nmap等工具。這種濫用PRoot的做法，駭客的目的是因應不同Linux版本（如：Ubuntu、RHEL、Alpine等）之間的差異，而能將攻擊範圍延伸到多種Linux作業系統，此外，PRoot亦具備模擬機制，也能讓惡意軟體在不同架構的電腦上執行。</p> <p>攻擊者自備PRoot的做法，研究人員將其稱為「自帶檔案系統（Bring Your Own Filesystem，BYOF）」攻擊。</p> <h3><a href="https://threatresearch.ext.hp.com/hp-wolf-security-threat-insights-report-q3-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ZIP與RAR壓縮檔已成為駭客主要用來埋藏惡意軟體的管道</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Filetype-trend-22Q2Q3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Filetype-trend-22Q2Q3.png" style="width: 200px; float: right;" /></a>HP資安研究團隊發布了2022年第3季的威脅分析報告，當中提及駭客散布惡意軟體的主要管道，已從Office惡意檔案轉向ZIP、RAR等壓縮檔案，在他們偵測到的惡意軟體攻擊裡，駭客總共濫用了150種檔案格式，但有44%藉由壓縮檔案傳送，其次則有32%是Office檔案。相較於2022年第2季，使用壓縮檔的比例多出11%，亦較第1季多出25%。</p> <p>研究人員認為，這樣的散布惡意軟體管道變化，與壓縮檔容易加密而難以被資安系統解析，以及駭客日益偏好以指令碼為基礎（Script-based）的惡意程式有關。</p> <h3><a href="https://blog.sucuri.net/2022/12/chinese-gambling-spam-targets-world-cup-keywords.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">5萬個網站遭到竄改，駭客注入世界盃足球賽下注內容來擾亂SEO結果</span></strong></a></h3> <p>資安業者Sucuri揭露推廣中國賭博、體育投注網站的攻擊行動，駭客假借世界盃足球賽的名義，感染50,172個網站，將其用於提升自己網站搜尋引擎最佳化（SEO）排名，駭客的工具主要針對百度、搜狗、奇虎360的網路爬蟲而來，一旦遇到這類偵測工具便會顯示與博奕有關的中文內容，然而若是使用者藉用網頁瀏覽器卻會看到未被竄改的網頁。研究人員指出，這類攻擊主要針對簡體中文網頁而來，但也有許多西方網站受到波及。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://eclypsium.com/2022/12/05/supply-chain-vulnerabilities-put-server-ecosystem-at-risk/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">American Megatrends的BMC軟體出現重大漏洞，超過15個廠牌的伺服器曝險</span></strong></a></h3> <p>資安業者Eclypsium於12月5日，揭露American Megatrends基版管理控制器（BMC）解決方案MegaRAC的漏洞CVE-2022-40259、CVE-2022-40242、CVE-2022-2827，攻擊者一旦利用這些漏洞，就有可能在特定條件下執行程式碼、繞過身分驗證，以及進行枚舉用戶。其中最嚴重的漏洞是CVE-2022-40259，CVSS風險層級為9.9分，為利用Redfish API執行任意程式碼的重大漏洞。</p> <p>由於該BMC解決方案被運用範圍相當廣泛，至少包含AMD、Dell EMC、技嘉、雲達等15個廠牌的伺服器，研究人員除向American Megatrends通報，也對這些伺服器業者發布相關通知。</p> <h3><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補今年第9個Chrome零時差漏洞</span></strong></a></h3> <p>12月2日Google針對電腦用戶發布Chrome 108.0.5359.94與108.0.5359.95，目的是為了修補已被用於攻擊行動的漏洞CVE-2022-4262，此漏洞是該瀏覽器的JavaScript引擎V8的型態混淆造成。此為Google今年修補的第9個Chrome零時差漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/acn/202212010327.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國政府網站遭駭客組織匿名者攻擊，起因是響應白紙運動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-forces-french-hospital-to-transfer-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國教學醫院André-Mignot遭勒索軟體攻擊，病人被迫轉院</span></span></strong></a></p> <p><a href="https://scroll.in/latest/1038970/delhis-safdarjung-hospital-says-it-suffered-cyber-attack-in-november"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度再傳醫學中心遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://cloudsek.com/threatintelligence/indian-central-board-of-higher-education-compromised-by-team-mysterious-bangladesh/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客在暗網兜售15萬筆印度醫院的病人資料</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154568"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">1Password推出單一簽入瀏覽器擴充套件，支援Google、Facebook、GitHub</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154560">【2022年12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154541">【2022年12月2日】 Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154518">【2022年12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</a></strong></strong></strong></p> </div></div></div>
2022/12/6 16:42作者周峻佑https://www.ithome.com.tw/news/154575
Google Chrome 108修補今年第9項零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html" target="_blank">Google上周釋出</a>Chrome 108桌機版最新更新，以修補Chrome今年第9個零時差漏洞。</p> <p>Google公告，Chrome for Mac、Linux版108.0.5359.94以及Chrome for Windows 108.0.5359.94/.95會在未來幾天到幾周內，透過穩定（Stable）通道釋出給用戶。而108.0.5359.94 for Windows及Mac版也會釋出到延伸穩定（Extended Stable）通道。</p> <p>最新版更新將用於修補CVE-2022-4262，後者是存在V8 JavaScript引擎的型態混淆（Type Confusion）漏洞，是由Google威脅分析小組研究員Clement Lecigne於11月29日通報。最新漏洞被列為高風險。</p> <p>值得注意的是，Google警告已經發現針對CVE-2022-4262的攻擊程式在網路散布。</p> <p>不過Google以等待大部份用戶更新為由，並未公布漏洞及攻擊細節。Google說若漏洞出現在第三方函式庫，Google也不會公布，以免其他使用該函式庫的專案未及修補而曝險。</p> <p>這是Chrome今年修補的第9個零時差漏洞。<a href="https://www.ithome.com.tw/news/154440" target="_blank">11月底Google才以Chrome 107更新</a>修補第8個零時差漏洞。第7個則出現在10月底。</p> </div></div></div>
2022/12/6 09:43作者林妍溱https://www.ithome.com.tw/news/154564
【資安日報】2022年12月5日，雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員在9月底揭露Exchange重大漏洞ProxyNotShell，如今很可能變成駭客攻擊雲端業者代管的Exchange郵件伺服器管道！雲端服務業者Rackspace證實代管的Exchange本月2日因資安事故而中斷運作，有研究人員認為有可能是Exchange曝露上述漏洞而被鎖定。</p> <p>我們過往報導廠商用於簽章軟體的憑證遭到濫用，大多發生在電腦的惡意軟體，但如今也有手機惡意軟體盜用類似的簽章──三星、LG、聯發科等廠商用於簽章安卓ROM映像檔的憑證，傳出遭到濫用的情況。</p> <p>三菱電機的工控設備被發現多項弱點，存在於可程式化邏輯控制器（PLC），原因是帳密保護不足。情況嚴重使得美國CISA發出警告，而修補程式尚在製作當中。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/technology/rackspace-ongoing-exchange-outage-caused-by-security-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace代管的數千臺Exchange伺服器中斷運作，起因疑為重大漏洞ProxyNotShell</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-info.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-info.jpg" style="width: 300px; float: right;" /></a>12月2日，雲端服務業者Rackspace傳出他們代管的Exchage伺服器環境出現問題，導致使用者在存取網頁郵件介面OWA、將郵件同步至收信軟體時會出現錯誤，或是一直要求使用者重新輸入密碼的現象。事隔1天，該公司證實是遭到網路攻擊，導致他們決定暫時切換代管的Exchange環境，並提供用戶臨時的Microsoft 365授權。</p> <p>而對於這起攻擊事件發生的原因，資安研究員Kevin Beaumont認為，很有可能是Rackspace所採用的Exchange系統較舊，存在重大漏洞ProxyNotShell而被盯上，駭客對其發動相關攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/samsung-lg-mediatek-certificates-compromised-to-sign-android-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星、LG、聯發科供安卓設備使用的憑證遭惡意程式濫用</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，Google旗下的安卓資安研究團隊發現，有OEM廠商用於對ROM映像檔進行簽章的憑證遭到濫用，駭客將其用於簽署惡意軟體，使得這些惡意程式也能存取高權限使用者android.uid.system，進而存取安卓裝置的系統權限。</p> <p>該新聞網站依據研究人員公布的資料進行調查，三星、LG、聯發科、Revoview等廠商的憑證簽署被用於上述惡意軟體，但仍有部分簽章無法識別其署名者的身分。這些濫用合法簽章的惡意程式包含了竊密軟體、HiddenAd木馬程式，以及惡意程式下載工具等。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-335a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體Cuba攻擊發布警告</span></strong></a></h3> <p>美國聯邦調查局（FBI）與網路安全及基礎設施安全局（CISA）於12月1日聯手，針對勒索軟體Cuba的攻擊行動發布資安通告，表示該駭客組織已危害全球逾百個組織，並勒索1.45億美元，其中至少得手6千萬美元。</p> <p>FBI與CISA指出，駭客入侵的管道，很可能利用Windows通用記錄檔案系統（CLFS）漏洞CVE-2022-24521，以及Netlogon漏洞CVE-2020-1472，或是外洩的帳密、遠端桌面協定（RDP）、網釣攻擊等，一旦成功進入目標組織的內部網路環境，就透過惡意程式載入工具Hancitor散布勒索軟體。</p> <h3><a href="https://blog.confiant.com/cashrewindo-how-to-age-domains-for-an-investment-scam-like-fine-scotch-a48d22788c84"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織CashRewindo濫用註冊多年的網域名稱架設詐騙網站，規避資安防護系統偵測</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_Q_y8WpyqwA8rbNd3UCIEew.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Q_y8WpyqwA8rbNd3UCIEew.png" style="width: 300px; float: right;" /></a>資安業者Confiant揭露駭客組織CashRewindo的攻擊行動，這些駭客在惡意廣告注入JavaScript指令碼，將瀏覽網站的使用者導向釣魚網站，或是對其電腦部署惡意軟體，攻擊目標遍及歐洲、北美、南美、亞洲，以及非洲，且使用攻擊目標熟悉的語言來降低戒心。</p> <p>有別於許多網釣攻擊，此次駭客使用的網域名稱至少已註冊2年以上，研究人員發現的487個網域名稱裡，最早註冊的一批是在2008年申請，直到今年才拿出來使用，許多資安系統可能因為其沒有不良信譽，將其視為無害而放行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.nozominetworks.com/blog/flaws-in-gx-works3-threaten-mitsubishi-electric-safety-plc-security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三菱電機PLC設備出現帳密保護不足的弱點</span></strong></a></h3> <p>資安業者Nozomi Networks揭露三菱電機可程式化邏輯控制器（PLC）的弱點CVE-2022-29831、CVE-2022-29832、CVE-2022-29833。這些弱點存在於其工作站電腦所使用的軟體GX Works3，此為Melsec iQ-R與iQ-F系列專用的控制系統。其中，CVE-2022-29831為寫死密碼弱點，CVE-2022-29832為透過明碼儲存記憶體的敏感資訊，CVE-2022-29833則為登入帳密的保護不足。</p> <p>研究人員表示，研究人員表示，攻擊者只要取得的GX Works3相關組態檔案，就有可能利用相關弱點，甚至串連上述3個弱點，進而取得指令（primitive），駭入該系統的安全CPU模組，擾亂工控環境的製造流程。美國網路安全暨基礎架構安全局（CISA）將這些弱點的CVSS風險層級列為9.1分，但目前沒有修補程式。</p> <h3><a href="https://blog.qualys.com/vulnerabilities-threat-research/2022/11/30/race-condition-in-snap-confines-must_mkdir_and_open_with_perms-cve-2022-3328"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux的Snapd競爭條件漏洞有可能與舊漏洞串連，讓攻擊者取得root權限</span></strong></a></h3> <p>資安業者Qualys揭露Linux高風險漏洞CVE-2022-3328，此漏洞存在於snap-confine模組，為Snap競爭條件（Race Condition）漏洞，一旦遭利用，有可能讓攻擊者得已提升本機權限，或執行任意程式碼。研究人員表示，攻擊者若是將其與另外兩個存在於Multipathd元件的身分驗證繞過漏洞「Leeloo Multipath」串連，就有可能取得目標主機的root權限。</p> <p>由於snap-confine是Ubuntu預設安裝的模組，所有採用該版本Linux作業系統的電腦都可能曝險，研究人員呼籲管理者應儘速安裝相關修補程式。</p> <h3><a href="https://www.rcesecurity.com/2022/11/from-zero-to-hero-part-1-bypassing-intel-dcms-authentication-cve-2022-33942/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel的資料中心管理主控臺存在身分驗證漏洞</span></strong></a></h3> <p>資安業者RCE Security揭露Intel資料中心管理主控臺（DCM）的漏洞CVE-2022-33942，CVSS風險層級為8.8分，一旦遭到利用，攻擊者可在沒有通過身分驗證的情況下，藉由欺騙Kerberos和LDAP的手法，繞過DCM的身分驗證流程而得到特殊權限。Intel獲報後發布DCM 5.0版予以修補，並破例頒發1萬美元給研究人員。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.semi.org/zh/products-services/semitwn-semiconductor-cybersecurity-service/assessment-fundamentum"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SEMI半導體資安風險評級服務正式上線</span></strong></a></h3> <p>12月5日，SEMI國際半導體產業協會宣布提供資安風險評級服務SEMI Semiconductor Cyber Security Risk Rating Service，是SEMI Taiwan半導體資安委員會發布晶圓設備資安標準SEMI E187之後，與台積電等半導體產業夥伴聯手推動的服務，以零信任為最高資安防禦指導原則，目的是在提供客觀的驗證方法，確保企業邁向智慧製造時，能夠讓網路防衛能力達到適當安全水平。此項服務是SEMI參考台積電的經驗，引進第三方風險評分和風險態勢的服務，並提供補救指南和修補結果的快速驗證。</p> <h3><a href="https://security.googleblog.com/2022/12/memory-safe-languages-in-android-13.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化記憶體安全，Android 13有更多元件改用Rust開發</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-30 11_13_29_android-11-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-30%2011_13_29_android-11-13.png" style="width: 300px; float: right;" /></a>Google自Android 12開始支援Rust程式語言，並在其開源專案AOSP推動Rust的使用，如今該公司指出，Android 13約有21%為新增的程式碼是以Rust開發，包含Keystore2、UWB堆疊、DNS-over-HTTP3、Android虛擬化框架等元件，總共約有150萬行程式碼。執行上述開發策略之後，Android作業系統漏洞大幅減少，例如，2019年存在223個漏洞，到了2022年下降至85個。再者，由於Linux 6.1開始支援Rust，採用此核心為基礎的Android作業系統，也能從核心驅動程式導入記憶體安全。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google為Chrome 108修補零時差漏洞</span></span></strong></a></p> <p><a href="https://scroll.in/latest/1038970/delhis-safdarjung-hospital-says-it-suffered-cyber-attack-in-november"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度再傳醫學中心遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/kmsdbot-part-two-crashing-a-botnet"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員關閉被用於DDoS攻擊的殭屍網路KmsdBot</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154510"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS推出可針對資安系統資料進行分析的資料湖服務</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154549"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Messages測試群組聊天全程加密功能</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/article/154533"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">千億國防產值，CMMC規範成唯一入場券</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154541">【2022年12月2日】 Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154518">【2022年12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154493">【2022年11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</a></strong></strong></strong></p> </div></div></div>
2022/12/5 16:55作者周峻佑https://www.ithome.com.tw/news/154560
【資安週報】2022年11月28日到12月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞利用的攻擊新趨勢中，微軟9月修補一項存在於Windows網際網路金鑰交換機制的漏洞，有資安業者發現已有攻擊行動；Redis伺服器在2月修補的一項重大漏洞，如今正遭惡意軟體Redigo鎖定。</p> <p>在漏洞揭露方面，有兩項研究受關注，首先是針對UEFI韌體使用的OpenSSL加密程式庫元件而來的調查，結果Dell、HP、聯想電腦中被發現仍採老舊OpenSSL版本；還有多款汽車品牌採用的Sirius XM衛星廣播服務，被研究人員發現存在一個身分認證漏洞，使得這些汽車將可被遠端控制。關於本週出現的修補漏洞消息，我們看到宏碁將修補一項可竄改NVRAM記憶體參數、停用Secure Boot的UEFI漏洞，以及Java框架Quarkus修補一項RCE漏洞等。</p> <p>在國際威脅態勢方面，一些新的發現值得關注，例如，有網路犯罪者兜售存在漏洞的Fortinet VPN設備的網路位址清單，有資安業者揭露Docker Hub上被上傳25萬多個暗藏惡意程式的Linux映像檔；以及商業間諜軟體活動如今更為擴散的態勢，本週被公開的是西班牙業者Variston IT的攻擊框架細節。此外，這段期間適逢世界盃足球賽，已出現假借賽事名義的網路攻擊頻傳狀況，另外也有攻擊者利用抖音的特效濾鏡影片，藉此散布竊密程式WASP的攻擊行動的狀況。</p> <p>國際上資安事件消息也不少，包括密碼管理解決方案供應商LastPass有再次遇駭的消息，WhatsApp傳出近5億筆用戶資料被兜售，遭遇勒索軟體攻擊相關的消息本周亦有不少。</p> <p>在國內，本週國內有兩家上市公司發布資安事件重大訊息，雄獅旅遊、麗臺科技均說明遭網路攻擊，分別提醒消費者注意詐騙，以及說明是遭遇勒索軟體攻擊。此外，投資詐騙簡訊橫行，近日刑事局逮捕一嫌犯，並指出該集團在10個月內發送達6700萬封詐騙簡訊，不法獲利高達1億元。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154451"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</span></strong></a></h3> <p>存在於多個版本Windows系統的網際網路金鑰交換機制（IKE）重大漏洞CVE-2022-34721，微軟雖然在9月公告修補，但近期有研究人員發現，駭客將其用於攻擊行動，鎖定約1千臺電腦下手。</p> <p>為了加速應用程式的開發與部署，容器成為當代IT顯學，很多人都會到提供眾多Docker映像檔的Docker Hub來下載，然而，這當中也蘊藏不小的危機！根據資安業者的調查，當中上架的映像檔，有多達1,600個易受攻擊的映像檔，其中最普遍的是遭人埋入挖礦軟體，寫死帳密的情況也相當值得留意。</p> <p>Chrome瀏覽器107更新版發布，當中修補零時差漏洞CVE-2022-4135。新加坡電腦緊急應變中心（SingCERT）指出，其他採用相同排版引擎的瀏覽器也可能存在相同風險。</p> <h3><a href="https://www.ithome.com.tw/news/154485"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月29日】Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</span></strong></a></h3> <p>電腦UEFI韌體出現漏洞的情況相當值得留意，其中，有研究人員發現Dell、HP、聯想等多家廠牌使用的韌體裡，竟使用了大量舊版OpenSSL加密程式庫，其中最舊的是2009年推出的程式庫元件。研究人員指出，這樣的問題牽涉到採用第三方元件的軟體供應鏈生態，而難以修復。</p> <p>推特今年7月傳出540萬用戶資料流入駭客論壇的事故，原因是駭客利用該社群網站的漏洞發動攻擊得逞；但資安新聞網站Bleeping Computer指出，該漏洞造成資料外洩的情況遠比當時公布的嚴重許多，根據研究人員的最新發現，有人因此竊得約1,700萬筆資料。</p> <h3><a href="https://www.ithome.com.tw/news/154493"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</span></strong></a></h3> <p>鎖定開發人員並濫用NPM、PyPI套件庫散布惡意軟體的攻擊行動，之前傳出不少事故，但最近研究人員發現極為不同的新手法──駭客透過抖音短片來做為誘餌，並表示他們擁有解除濾鏡效果的工具，一旦觀眾依照指示下載，駭客將從PyPI套件庫取得竊密軟體，並於受害電腦部署。</p> <p>今年10月Fortinet修補的身分驗證繞過漏洞CVE-2022-40684，也出現有人將尚未修補的系統名單進行彙整，並在網路犯罪圈進行兜售的情況！而駭客收集該廠牌有漏洞設備的網址供他人進一步運用的情況，已非首例，<a href="https://www.ithome.com.tw/news/141261">2020年就有人收集近5萬筆Fortinet SSL VPN的IP位址求售</a>。</p> <p>世界盃足球賽相關的網路攻擊行動也相當值得留意，<a href="https://www.ithome.com.tw/news/154378#fifa2022">我們先前報導過針對球迷與球隊的網釣攻擊</a>，但最近有研究人員發現，駭客不止發動釣魚郵件攻擊，還推出假的球場通行證與加密貨幣，並向主辦國卡達的企業發動DDoS攻擊。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154518"><strong><span style="color: rgb(0, 0, 0);">【12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</span></strong></a></strong></p> <p>有商業郵件詐騙（BEC）的駭客組織攻擊目標轉移到個人！奈及利亞駭客組織Lilac Wolverine挾持使用者在AOL、雅虎的電子郵件信箱，然後對通訊錄裡的聯絡人發動相關攻擊，要求收信人協助購買禮物卡行騙。這類攻擊往往採取動之以情的攻勢，例如表示自己因COVID-19居隔而無法處理相關事務，使得受害者降低戒心而協助購買禮物卡點數上當。</p> <p>利用USB裝置的攻擊行動再度出現，而值得相關機構提高警覺。中國駭客UNC4191鎖定菲律賓組織發動攻擊，研究人員表示，雖然他們也有看到針對美國、東南亞其他國家的攻擊行動，但最終目標都是位於菲律賓的電腦。</p> <p>台達電、Festo、Codesys近日修補了旗下的工控裝置漏洞，這些漏洞有些能被用於命令注入攻擊，有的能繞過身分驗證，管理者應儘速修補。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154541"><strong><span style="color: rgb(0, 0, 0);">【12月2日】Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</span></strong></a></strong></strong></p> <p>在專門針對Redis伺服器的攻擊行動裡，駭客看準管理者可能不會盡快安裝漏洞修補程式的情況，而利用2月揭露的重大漏洞CVE-2022-0543來入侵這類系統。但駭客的目的為何？研究人員猜測應該是將其用於挖礦或發動DDoS攻擊。</p> <p>我國簡訊詐騙攻擊頻傳，但攻擊者竟為了增加成功行騙的機率，竟透過人工智慧語音誘使民眾上當。內政部刑事警察局近日破獲投資簡訊的詐騙攻擊，駭客就先針對目標撥打電話，然後透過AI分析後再決定是否向其發送簡訊。</p> <p>提供廣播服務的業者也可能成為駭客入侵汽車的管道！有研究人員發現超過十個廠牌的車輛可被以相同手法遠端存取，經調查後是廣播服務業者的系統存在漏洞所致。</p> </div></div></div>
2022/12/5 11:24作者羅正漢https://www.ithome.com.tw/news/154551
Android記憶體安全漏洞數量大幅下降，Rust程式碼比例上升成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去十年，記憶體漏洞占整個產業漏洞的65％，但<a href="https://security.googleblog.com/2022/12/memory-safe-languages-in-android-13.html">Google</a>發現從2019年到2022年，Android的記憶體漏洞年度總數，從223個下降到了85個，而有這項安全性進展，Google歸因於Android的記憶體安全程式碼比例增加。</p> <p>Google過去持續投資工具提高C/C++程式碼的安全性，之前幾個版本，Google在Android裝置上引入Scudo強化分配器、HWASAN、GWP-ASAN以及KFENCE，同時增加現有程式碼庫模糊測試的覆蓋率，運用這些工具發現更多C/C++程式碼漏洞，並減少未來新程式碼所包含的漏洞。</p> <p>但即便Google在C/C++程式碼上做了這些努力，但他們認為這仍無法解釋Android漏洞巨幅減少的變化，而Google在審視開發策略後，認為Android從記憶體不安全語言持續轉移到記憶體安全語言，是這個現象的主要原因。</p> <p>從Android 12開始，Google就在Android支援Rust程式語言，作為C/C++記憶體安全替代方案，而從那時起，Google也持續擴展Android開源專案（AOSP）中的Rust體驗和使用。Google表示，他們的目標並不是把現有的C/C++程式碼都轉換成為Rust，而是在新的程式碼使用記憶體安全語言開發。</p> <p>在Android 13中，有約21％的新原生碼都是以Rust開發，在AOSP中已經有大約150萬行的Rust程式碼，涵蓋各種功能和元件，包括Keystore2、UWB堆疊、DNS-over-HTTP3、Android虛擬化框架等元件和開源相依項目。這些都是需要系統語言開發的低階元件，如果沒有Rust，Google就必須使用C++來實作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202022-11-30%2011_13_29%20PM.png" style="width: 580px; height: 316px;" /></p> <p>到目前為止，在Android的Rust程式碼中發現的記憶體漏洞為零，Google提到，這是一個重要發現，因為過去Android漏洞密度大於1/kLOC，也就是說，每一千行程式碼至少會發現一個漏洞，與歷史資料相比，Rust可能已經阻擋數百個漏洞進入產品環境。</p> <p>使用C/C++開發的功能不如預想中的運作迅速，Google提到，使用非記憶體安全語言，反而需要額外添加安全措施，而這些措施會讓程式執行的速度更慢。非記憶體安全的程式碼通常意味著開發者必須在安全性和效能之間權衡，像是添加沙盒、執行時緩解措施或是硬體保護等，都對程式碼的大小、記憶體和效能產生負面影響。</p> <p>Google提到，在Android中使用Rust，能以更少的妥協最佳化安全性和系統健康。像是使用新的UWB堆疊能夠節省數MB的記憶體，並以現存的程序中執行避免IPC延遲，又或是新的DNS-over-HTTP3實作，能夠以安全的方法，使用更少的執行緒處理相同的工作量。</p> <p>要從C/C++移植到Rust並不是一件簡單的事，Google持續增加Rust在Android平臺上的使用，為了實現更高的安全性和穩定性等目標，Google需要在更多原生碼中使用Rust，目前他們正在以Rust實作使用者空間HAL，並且已經將Android虛擬化框架中的虛擬機器韌體移植到Rust，也隨著Linux 6.1對Rust的支援，便能夠從核心驅動程式開始，對核心提供記憶體安全。</p> </div></div></div>
2022/12/2 21:26作者李建興https://www.ithome.com.tw/news/154539
Google揭露西班牙商業間諜軟體供應商Variston IT的攻擊框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/new-details-on-commercial-spyware-vendor-variston/" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）在本周揭露</a>了一個由西班牙商業間諜軟體供應商Variston IT所打造的攻擊框架Heliconia，此一框架不僅利用了Chrome、Firefox與Microsoft Defender的零時差漏洞，也提供所有於目標裝置上部署酬載（Payload）的必要工具。</p> <p>TAG長期追蹤各個商業間諜軟體供應商活動，此一產業這幾年發展蓬勃，讓許多政府客戶得以利用它們所開發的平臺或工具來監控新聞記者、人權鬥士與異議份子，而TAG則是在收到匿名的Chrome錯誤報告時，察覺Heliconia的存在。</p> <p>TAG在Heliconia中發現了3個子框架，分別是用來攻擊Chrome沙箱逃逸漏洞的Heliconia Noise，可用來部署含有 Windows Defender攻擊程式之PDF檔的Heliconia Soft，以及可用來攻擊Linux與Windows平臺上Firefox多個安全漏洞的Files。</p> <p>研究人員在Heliconia Noise中發現了開發商Variston IT的名稱，這是一家位於西班牙巴塞隆納的小公司，專門替客戶量身打造資安解決方案。</p> <p>分析顯示，Variston IT在Heliconia框架中所利用的安全漏洞不一定都有漏洞編號（CVE），即使包括Google、微軟與Mozilla都已陸續在去年及今年初修補了被利用的漏洞，且現在並未偵測到任何攻擊行動，但TAG團隊相信，這些漏洞在業者修補之前應該已遭濫用。</p> <p>相關研究彰顯了商業監控活動的擴散，也讓更多的國家能獲得以往只有財力雄厚且具備技術專長的政府才能取得的能力，TAG認為，間諜軟體產業的成長提高了使用者的風險，也降低網路的安全性，即便在某些國家可能是合法的，卻是以有害的方式來對待特定族群，促使TAG決定繼續追蹤並揭露它們。</p> </div></div></div>
2022/12/1 10:24作者陳曉莉https://www.ithome.com.tw/news/154507
AWS開源容器開發客戶端命令列工具Finch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS釋出新的容器命令列客戶端開源工具<a href="https://aws.amazon.com/tw/blogs/opensource/introducing-finch-an-open-source-client-for-container-development/">Finch</a>，Finch可用於建構、運作和發布Linux容器，其提供原生macOS客戶端安裝程式，以及一組標準開源元件，包括Lima、nerdctl、containerd和BuildKit，用戶可以使用Finch在本地端創建和執行容器，並發布OCI容器映像檔。</p> <p>雖然目前要在非Linux主機上建置和執行Linux容器，已有現有的商業產品和一系列開源工具可用，但是如要使用開源命令列工具，用戶仍需要花時間組裝測試，因此AWS希望透過建立Finch來簡化這項複雜工作，讓用戶能更專注在容器操作上而非建構工具。</p> <p>Finch仍是只擁有基本功能的初期專案，目前僅支援macOS，隨後會擴展到Windows和Linux。Finch直接相依於Lima和nerdctl，並且一起打包成macOS安裝程式。Lima是在2022年9月才被CNCF接受的沙盒專案，為一個在macOS上以containerd運作Linux虛擬機器，可以看作是非正式的Mac用containerd，而nerdctl則是一個用於containerd且相容於Docker的命令列工具。</p> <p>Finch的macOS原生客戶端，能夠在nerdctl和由Lima管理的虛擬機器間，扮演橋樑角色，所有可調的部分都被抽象成簡單易用的Finch客戶端，Finch會管理所有必要的開源元件和相依項目，用戶不需要管理相依項目更新和進行安全修補。</p> <p>同時，Finch也直接和nerdctl整合，提供用戶熟悉的命令和選項，就像是在Linux原生操作一樣，可以從註冊表拉取映像檔，在本地端執行容器，並且使用Dockerfile建置映像檔，同時Finch還夠進行模擬，在amd64或是arm64架構中建置和執行映像檔，這代表用戶可以選擇在使用Apple Silicon或是英特爾晶片的Mac上執行建置。</p> <p>AWS提到，核心Finch客戶端將會是一個精選的發布版本，完全開源且供應商中立，並供下游使用者自訂，根據特定使用案例創建擴展和增加功能。AWS會根據客戶需要加入自家雲端服務整合，但這將會以擴充的方式加入可選功能，不會影響Finch的開源核心和上游相依項目，擴充功能會擁有自己專案，以及獨立的發布周期。</p> <p>用戶只要完成Finch安裝，就可以開始建置和執行容器，目前Finch沒有圖形使用者介面，僅有一個簡單的命令列客戶端，沒有整合額外的叢集管理和容器調度工具。</p> <p>整體來說，Finch規畫了一個通用開源元件堆疊，這些元件經過建置和測試確定能夠協同運作，AWS提到，他們的目標是要最小化和簡化容器的建置、運作、推送和拉取體驗，使用戶可以專注於核心工作流程。隨著專案的發展，AWS還將讓虛擬元件的狀態更加透明，並且占用較小的容量，啟動時間更快，也更具可擴展性，用戶可以自由地依需求自定義Finch。</p> </div></div></div>
2022/11/29 09:56作者李建興https://www.ithome.com.tw/news/154450
整合開發環境Qt Creator 9加入實驗性測試框架Squish
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌程式開發工具Qt釋出最新整合開發環境<a href="https://www.qt.io/blog/qt-creator-9-released">Qt Creator 9</a>，這個版本有許多更新，從編輯器、C++語言和Docker功能都有更新，但特別的是，這個版本加入了一個稱為Squish的自動化GUI測試框架，供用戶在發布程式之前，能夠以Squish先進行除錯和測試。</p> <p>Squish讓開發者可以使用GUI和命令列工具，對程式進行自動化測試，以了解程式是否存在臭蟲，用戶可以直接啟動Squish測試套件，創建並且錄製測試用例，接著由Squish執行程式和伺服器執行測試，並且查看Squish的輸出結果。用戶可以在執行測試之前設置中斷點，在特定位置停下程式以檢查變數，執行像是類似除錯測試的動作。</p> <p>Squish可以在Linux、macOS、Windows和Unix上運作，官方提到，每個平臺上的Squish功能都擁有獨特的外觀，對話框和工作表中按鈕順序都不同，因此應用程式的外觀可能會因為使用的主題相異，但這並不會影響Squish的功能，每一個平臺的介面都可以找到相對應的功能。</p> <p>Squish功能外觀相異不會影響Squish跨平臺測試結果，因為Squish是透過屬性來辨識GUI物件，這代表當Squish測試特定平臺的應用程式，可以完全不需要變更，直接用於測試同一應用程式在另一平臺的版本，即便對話按鈕在兩個平臺的順序不同。</p> <p>Squish能夠用於測試廣泛的應用程式，像是Android、iOS、Java、Qt和Windows等，還有在諸如Safari、Firefox和Chrome等不同瀏覽器上，所執行以HTML為基礎的網頁應用程式。</p> <p>在C++功能上，開發者現在可以在整個會話中使用單個Clangd實例，而非在每個專案啟用個別實例，同時Qt Creator也更換了配置和建置預設支援，Qt Creator現在預設使用CMake 3版本。</p> <p>Qt Creator 9能夠更好地支援Docker，在程式碼庫中支援遠端開發工作，在遠端檔案和目錄新增檔案瀏覽器，而且也改進自動偵測提供更好的引導精靈功能。除了Docker裝置，用戶現在還可以設定遠端Linux裝置為套件建置裝置。</p> <p>Qt Creator 9在編輯器上也有許多調整，包括增加文件縮排視覺化的選項，現在每個縮排層級都會被標上一條垂直線，用戶可以在配置中調整線的間距。同時官方還修正之前用戶選取大段落時，所出現的效能問題。</p> <p>由於新版Qt Creator增加了深色主題支援，因此當用戶將Qt Creator切換成深色主題時，Qt和Qt Creator文件也會以深色樣式顯示，但用戶所註冊的文件則不會有任何外觀調整。</p> </div></div></div>
2022/11/29 10:00作者李建興https://www.ithome.com.tw/news/154453
資安業者在Docker Hub中找到逾1,600個惡意映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於容器與雲端安全的Sysdig近日分析了Docker Hub上的逾25萬個Linux映像檔，<a href="https://sysdig.com/blog/analysis-of-supply-chain-attacks-through-public-docker-images/" target="_blank">發現其中有1,652個藏有惡意程式</a>。</p> <p>Docker Hub是由Docker官方所代管的雲端公共倉庫，讓全球的使用者可自由地建立、存放、下載及部署Docker容器映像檔，為全球最大的容器映像檔社群，為了維護使用者的安全，該倉庫不僅提供由Docker Library專案所審查與發表的官方映像檔，也推出驗證計畫來支援獨立軟體供應商（ISV）。</p> <p>而Sysdig所分析的容器映像檔則排除了官方與通過驗證的檔案，鎖定全球使用者所上傳的公開映像檔，在逾25萬個Linux映像檔中，有1,652個含有惡意內容，涵蓋608個挖礦程式，281個嵌入式秘密，266個代理規避（Proxy Avoidance），有134個新註冊的網域，129個惡意網站，以及其它等。</p> <p>Sysdig說，挖礦程式一如預期地成為最常見的惡意映像檔，排名第二的嵌入式秘密則彰顯了秘密管理的重要性，開發者也許是無意或有意將秘密置放於映像檔中，它們可能是SSH金鑰、AWS憑證、GitHub權杖或是NPM權杖等，建議應先利用敏感資料掃描工具來避免憑證的外洩。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-Docker%20Hub%20malicious%20images%20by%20Sysdig.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Sysdig</span></span></p> <p>SSH公鑰也被Sysdig掃描工具歸類為嵌入式秘密，因為當它們被放進容器映像檔時，很可能是為了非法使用而部署，例如當上傳公鑰至遠端伺服器，以允許握有私鑰的使用者可透過SSH開啟Shell與執行命令，等同於植入了後門。</p> <p>不管是在哪個領域，總會出現企圖假冒為熱門品牌，採用類似名稱來混淆使用者的手法，Sysdig在Docker Hub中也發現了幾個例子，而它們實際上是挖礦程式。</p> </div></div></div>
2022/11/28 15:54作者陳曉莉https://www.ithome.com.tw/news/154449
Google Chrome 107修補最新一個已遭濫用的緩衝溢位漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於周末對桌機版瀏覽器Chrome 107發布更新版，以修補一個遭到濫用的高風險漏洞。</p> <p>Google分別發布Mac及Linux版Chrome 107.0.5304.121，及Windows版Chrome 107.0.5304.121/.122。最新版包含一項安全更新，解決<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-4135" target="_blank">編號CVE-2022-4135的漏洞</a>。</p> <p>CVE-2022-4135是Chrome GPU元件中的緩衝溢位漏洞，可讓遠端攻擊者傳送變造過的惡意HTML網頁，破壞瀏覽器啟動的過程，造成沙箱逃逸，而在PC上執行惡意程式。這項漏洞被列為高風險。</p> <p>最新漏洞為Google威脅分析小組（Google Threat Group）研究人員Clement Lecigne通報，而且Google提醒，已有針對該漏洞的攻擊程式。</p> <p>這是Google修補的第8個桌機版Chrome零時差漏洞。<a href="https://www.ithome.com.tw/news/153924" target="_blank">上一個零時差漏洞出現在10月底</a>。</p> <p><a href="https://www.csa.gov.sg/en/singcert/Alerts/al-2022-076" target="_blank">新加坡官方的電腦安全緊急回應小組呼籲</a>，Chromium為基礎的瀏覽器都會受到最新漏洞影響，包括Microsoft Edge、Brave、Opera和Vivaldi等。</p> <p><a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnote-stable-channel#version-1070141856-november-21-2022" target="_blank">微軟上周釋出Edge最新版107.0.1418.56</a>，但指這個版本解決的是臭蟲及效能更新，不確定是否有修補這項漏洞。</p> </div></div></div>
2022/11/28 10:59作者林妍溱https://www.ithome.com.tw/news/154440
英特爾公布軟體定義晶片授權方案Intel On Demand
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/products/docs/ondemand/overview.html" target="_blank">英特爾本周公布</a>軟體定義晶片（software-defined silicon）的彈性採購方案，名為Intel On Demand，將從第4代Xeon Scalable處理器開始，允許客戶按需求採購處理器功能。</p> <p>英特爾於<a href="https://www.intel.com/content/www/us/en/newsroom/news/vision-2022-news-overview.html" target="_blank">今年5月Intel Vision 2022首先公布軟體定義晶片（SDSi）</a>願景，並介紹Intel On Demand服務，<a href="https://www.ithome.com.tw/news/149391" target="_blank">當時媒體報導</a>，英特爾可能配合Linux 5.18的支援驅動程式啟動SDSi。<a href="https://www.intc.com/news-events/press-releases/detail/1577/intel-equips-developers-to-solve-challenges-of-today-and" target="_blank">今年9月英特爾證實</a>第4代Xeon Scalable處理器Sapphire Rapids將加入隨需啟用（on demand activation）模式，透過Xeon Scalable處理器支援這項新服務，客戶可獲得更高的彈性及選擇，在原始SKU的基礎配置之外，於業務有需要時啟用額外的加速器，用於AI、分析、網路、儲存及其他高運算需求的作業負載。</p> <p><a href="https://www.intel.com/content/www/us/en/products/docs/ondemand/overview.html" target="_blank">本周Intel On Demand方案終於上線</a>。英特爾說明，Intel On Demand 「提供彈性消費與配置，讓企業基礎架構的投資與業務需求一致化。」</p> <p>Intel On Demand方案包含三大類功能可供用戶需要時採購，分為安全、通訊儲存、以及分析類。其中安全類為Software Guard Extensions（SGX），通訊和儲存類包括Quick Assist Technology、Dynamic Load Balancer、Data Streaming Accelerator，以及分析類如In-Memory Analytics Accelerator及Data Streaming Accelerator。</p> <p>根據英特爾網站，Intel on Demand提供「啟動模式」及「消費模式」。啟動模式為一次性啟動特定CPU加速器和安全功能，對象包括企業或雲端服務供應商，讓他們可在自有資料中心就地啟動想要的功能。消費模式則是經由合作夥伴提供服務化（as-a-service）的Intel Xeon處理器功能。</p> <p>提供消費模式的合作夥伴包括HPE GreenLake及phoenixNAP，提供啟動模式的合作夥伴則有H3C、美商超微（Supermicro）、浪潮、Variscale，以及英特爾資料中心方案事業群。聯想則是兩種模式都提供。</p> <p>不過英特爾並未提供價目表，只說有興趣的客戶可以洽詢伺服器設備供應商或英特爾代表。</p> <p><a href="https://www.phoronix.com/news/Intel-SDSi-Intel-On-Demand" target="_blank">Linux專業媒體Phoronix報導</a>，英特爾持續開發Linux支援，根據其文件，更新版的Linux SDSi/On Demand驅動程式可能會在6.2核心整合，穩定版則要等到2023年2月釋出。</p> <p>這並非英特爾第一次提供隨需採購的方案。英特爾也曾經推出Intel Upgrade Service，用戶需付費50美元以增加快取及hyper-threading功能，來加速桌機處理器，但並不成功。也有人認為Intel On Demand只是老調重彈。不過<a href="https://www.tomshardware.com/news/intel-officially-introduces-pay-as-you-go-chip-licensing" target="_blank">Tom's Hardware分析</a>，Intel on Demand只針對伺服器晶片，也和Intel Upgrade Service不同。</p> </div></div></div>
2022/11/25 14:02作者林妍溱https://www.ithome.com.tw/news/154423
WebAssembly Runtime開源專案Wasmer 3.0簡化WAPM套件安裝與使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WebAssembly Runtime開源專案<a href="https://wasmer.io/posts/announcing-wasmer-3.0">Wasmer</a>現在來到3.0版本，帶來多項更新包括更強大的Wasmer命令，現在開發者可以將任何wapm.io上的套件，傳遞給Wasmer命令列工具，像是使用wasmer run python/python指令，就可以從該套件註冊表下載並且執行Python套件，官方表示，這大幅簡化了以Wasmer執行從WAPM運作WASI可執行檔案的流程。</p> <p>Wasmer Rust API經過重新設計，擁有新的API和記憶體管理方式，開發者現在可以將Wasm物件儲存在Store中，另外，官方還加入MemoryView，並且添加在瀏覽器運作的wasmer-js，提供與本機原生Wasmer相同功能。</p> <p>在引擎架構上，開發團隊也作出改進，Wasmer之前有不同引擎概念，包括dylib、universal等，現在開發團隊將其簡化為一，使開發者能夠更方便地重用程式碼。Wasmer 3.0也具有零複製反序列化功能，這項更新可明顯提高執行效能。</p> <p>由於Wasmer 3.0的create-exe子命令獲得改進，Wasmer現在可以將WebAssembly檔案轉換成為本機Windows、Linux或Mac OS可執行檔案，這允許用戶不需要安裝Wasmer，就能夠發布可執行檔案。</p> <p>Wasmer WASI實作也越來越成熟了，開發團隊修復檔案系統中的多個錯誤，並且使用WebAssembly介面重新設計內部類別，方便在未來加入更多新功能。</p> </div></div></div>
2022/11/25 09:08作者李建興https://www.ithome.com.tw/news/154415
Windows 10、11用戶可於Microsoft Store直接下載安裝WSL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/commandline/the-windows-subsystem-for-linux-in-the-microsoft-store-is-now-generally-available-on-windows-10-and-11/">Microsoft Store中的WSL（Windows Subsystem for Linux）現在移除預覽標籤</a>，成為最新的正式版本，直接使用wsl--install指令，就會預設替新用戶安裝商店的中的WSL版本，與之前作為Windows元件的WSL版本相比，使用商店中的WSL能夠更快地獲得更新。另外，除了Windows 11，現在用戶在Windows 10也可以從商店下載WSL，並且獲得systemd和Linux GUI應用程式等新功能支援。</p> <p>WSL現在作為Microsoft Store中的應用程式，能夠讓用戶快速在Windows中實際執行Linux。官方提到，這次的更新目標是簡化WSL版本控制，使Microsoft Store成為WSL安裝預設位置。</p> <p>商店的WSL版本具有一些重大更新，包括用戶可以選擇使用systemd支援，也讓Windows 10用戶可以在WSL執行Linux GUI應用程式，這是之前只有Windows 11可以使用的功能。而當用戶使用wsl--update指令，系統則會預設開啟Microsoft Store，所有WSLg和WSL核心都被打包進同一個WSL套件，這代表用戶不再需要進行額外MSI安裝。</p> <p>目前商店版本的WSL版本，就是當前WSL預設版本，在此次更新，微軟還將WSL功能向後移植至Windows 10和Windows 11。wsl.exe--install指令現在將自動安裝WSL商店版本，並且不會再啟動WSL可選元件，也不需要安裝WSL核心或是WSLg MSI套件，不過，用戶仍然可以選擇虛擬機平臺，目前會預設安裝Ubuntu。wsl.exe--update指令則會檢查Microsoft Store並應用WSL MSIX套件更新，而不會更新WSL核心MSI。</p> <p>使用者暫時需要手動搜尋，才能獲得最新的WSL正式版本，微軟預計在12月中旬會自動推送更新，要使用最新WSL，用戶需要安裝Windows的可用更新，作業系統要求Windows 10 21H1、21H2或22H2版本，或是Windows 11 21H2。</p> <p>如果用戶是使用WSL 1發行版，便仍需要WSL可選元件，WSL 1雖然仍可以獲得重要錯誤修復，但是WSL商店版本則會持續更新功能，官方提到，用戶需要特別辨識所使用的WSL版本，因為兩者的基礎架構不同，運作和行為也都不一樣，WSL 2具有更好的檔案系統效能，並使用真正的Linux核心，但是需要執行虛擬化。</p> </div></div></div>
2022/11/24 09:41作者李建興https://www.ithome.com.tw/news/154376
從程式語言層級確保記憶體安全，不只美國NSA建議，今年Prossimo專案也在推動
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_mei_guo_nsajian_yi_kai_fa_zhe_duo_yong_bao_zhang_ji_yi_ti_an_quan_cheng_shi_yu_yan_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月10日，美國國家安全局（NSA）公開發表一份軟體開發指南，是針對軟體記憶體安全（Memory Safety）而來，建議開發者應多使用保障記憶體安全的程式語言，如C#、Rust、Go、Java、Ruby、Swift，以這些來取代C與C++，引起軟體開發界的討論。</p> <p>事實上，關於C、C++的資安爭論已持續多年，但隨著記憶體安全問題受到越來越大的重視，開發者輕忽指標、記憶體配置的狀況太過普遍，而願意花心力檢測、有足夠經驗處理這類問題的程式設計者太少，而使得軟體資安漏洞層出不窮。</p> <p>儘管為了降低這方面犯錯的機會，開發界持續宣導C/C++程式設計要重視記憶體管理，有些開發者的確能夠寫出足夠安全的C/C++程式碼，但對大多數程式設計師來說，卻可能並非易事，有些科技業者祭出記憶體安全機制來因應，但多年下來，犯錯比例仍是居高不下，這也使得另一條因應路線被持續探討，也就是多用具記憶體安全特性的程式語言，如此一來，即便是資安意識不足的開發人員，也因為開發環境的局限，而不用擔心記憶體管理的問題，減少犯錯的機會。而且，如今這類軟體開發安全措施的推動態勢，也從一些科技大廠而開始擴及國家政府機構。</p> <h3><strong>多數軟體漏洞可歸咎於記憶體安全性不足</strong></h3> <p>在今年5月，我們看到開源社群、科技大廠與美政府二度商討開源軟體安全對策，會後Linux基金會與開源安全基金會（OpenSSF）發布的開源軟體安全動員計畫白皮書中，替換不具記憶體安全（non-memory-safe）的程式語言，就是十大對策之一，並預計前兩年針對這方面投入經費550萬美元。</p> <p>到了11月，美國NSA也對此公開表態。針對軟體記憶體安全問題，他們建議各組織在可能情況下，對於程式語言的採用，應考慮做出戰略性的轉變，從不具記憶體保護的C/C++，轉而使用具記憶體安全的其他程式語言，例如C#、Go、Java、Ruby與Swift等。</p> <p>在這份公開文件中，NSA首先強調軟體記憶體安全的重要性，指出雖然開發人員經常進行嚴格測試，為軟體中的邏輯準備好應對意外情況，然而，各種可濫用的軟體漏洞，仍經常是基於記憶體問題而成。例如：記憶體緩衝區溢位，以及管理記憶體失當而導致的洩漏問題。</p> <p>最近幾年已有更多這方面的研究，例如，微軟在2019年曾公開提出自我檢討，他們表示，在2006年到2018年間的安全漏洞，有70%源自記憶體的安全問題，Google在2020年也針對自家發展的瀏覽器Chrome提出檢討，當中也存在同樣高比例的記憶體安全漏洞。由於存在規模如此龐大的軟體開發缺失，駭客可利用這些漏洞來執行遠端程式攻擊，作為大舉入侵組織網路的第一步。</p> <p>而在程式語言中，現今應用範圍最大且最常見的C與C++，方便之餘，多年來大家也經常詬病其安全性管制太少，而使得記憶體類型的漏洞總是無法徹底根絕。事實上，這兩種語言在記憶體管理上，提供了很大的自由度與彈性，相對地，用這些語言所開發的應用程式，其安全性將高度依賴開發者的處理方式，例如，是否對記憶體參照執行必要的檢查與驗證。因此，可能只要出現一個簡單的錯誤、疏忽，就會導致記憶體遭濫用的安全漏洞。</p> <p>固然我們可以透過軟體分析工具偵測出許多記憶體管理問題，透過作業系統環境本身內建的機制，也能帶來某些程度的保護，但NSA認為，若能藉由已內建記憶體保護的程式語言來撰寫程式，即可避免或減少絕大多數的記憶體管理問題。</p> <h3><strong>緩衝區溢位、管理不當，均是常見記憶體安全問題</strong></h3> <p>記憶體安全，也就是有關於程式如何管理記憶體的一大類問題。這當中有哪些常見問題？</p> <p>NSA指出，記憶體「緩衝區溢位」（buffer overflow）就是一例，也就是資料的存取意外超出緩衝區邊界（outside the bounds），另一個常見的安全問題則與記憶體分配有關。</p> <p>簡單來說，系統程式在執行時可以分配新的記憶體位置，然後在不需要記憶體時，將其取消分配，此舉稱為釋放記憶體，但如果開發者不小心這麼做，新的記憶體可能會在程式執行過程中被重複分配，因此，記憶體並非總是在不再需要時被釋放，進而出現記憶體洩漏（memory leak）的問題，最終甚至導致可用的記憶體資源被使用殆盡。</p> <p>此外，也有因邏輯錯誤而出現記憶體存取不安全的狀況。因為這樣的問題，程式可能試圖使用已經被釋放的記憶體，甚至重複釋放原本已被釋放的記憶體。例如，當程式語言允許使用尚未初始化的變數時，就會出現另一個問題，導致該變數使用之前在記憶體中該位置設置的值。</p> <p>另一個值得注意的問題，則是條件競爭（Race condition）。例如，當程式存取相同資料，此時若出現兩個操作順序，可能會因此影響程式的結果，而發生這個問題。NSA強調，所有這些記憶體問題都是相當常見的現象。</p> <p>而且，記憶體管理問題衍生安全漏洞只是其中一種類型的狀況，就算是不會遭到濫用的記憶體，也可能因為一些疏失而造成錯誤的程式結果，例如，降低執行效能或軟體本身無法執行。</p> <p>針對上述種種軟體記憶體安全的問題，NSA指出，採用能夠自動管理記憶體的程式語言，像是C#、Rust、Go、Java、Ruby、Swift等，可協助避免開發者陷入某些類型的記憶體問題，以預防無意採用錯誤的記憶體管理方式。</p> <p>但NSA也提醒，就算是使用這些內建記憶體保護的程式語言，也並非毫無風險，因為軟體有時仍需要執行不安全的記憶體管理功能，才能完成任務，而且，各種程式語言對記憶體的安全保護程度不一，因此不能單靠更換程式語言而確保軟體安全。</p> <p>另一方面，對於無法立即轉向採用內建記憶體安全的程式語言的開發者，NSA建議，應透過安全測試來強化應用程式的安全性，包括進行靜態（SAST）與動態（DAST）的安全測試，而且最好是執行多個SAST及DAST工具，以提高找出記憶體問題的機率，確保應用程式的安全。儘管這可能會增加大量的工作負擔，卻可以帶來更安全的程式碼。</p> <p>總之，NSA鼓勵組織儘可能採取多管齊下的方式，來強化記憶體管理的安全性。除了採用記憶體安全程式語言，還可同時輔以編譯器選項、工具分析及作業系統配置，以減少記憶體漏洞，提高駭客的攻擊門檻。</p> <h3><strong>今年出現Prossimo專案，開始推動安全程式語言的廣泛採用</strong></h3> <p>對於NSA的這項建議，根據IT新聞媒體The Register的<a href="https://www.theregister.com/2022/11/11/nsa_urges_orgs_to_use/">報導</a>，Acronis資安長Kevin Reed認為，NSA正在做正確的事情，但他懷疑這是否會有立竿見影的效果，因為多年來使用C/C++撰寫的程式碼數量龐大，即便明天就開始改用Rust與Go，也需要幾十年才能清理這個爛攤子。</p> <p>而且，真的能夠如此順利推動嗎？微軟Azure技術長Mark Russinovich在今年9月就曾針對這樣的議題，於社群媒體推特發表了看法。他指出，在安全性與可靠性考量下，現在該停用C/C++開發任何新專案，並建議改用Rust。但在此則貼文回應中，有相當多開發者持反對意見，畢竟C與C++仍是熱門程式語言。</p> <p>但無論如何，記憶體安全問題已不容忽視。對照MITRE公布的2022年25大常見CWE通用弱點列表名單，我們可以發現，記憶體越界寫入（Out of Bounds Writes），記憶體越界讀取（Out of Bounds Reads），以及使用已釋放的記憶體（Use after Free），都在前七名內，尤其是記憶體越界寫入，持續居於第一嚴重的地位，而這樣居高不下的排名，也呼應多數軟體漏洞可直接歸因於缺乏記憶體安全性的推論。</p> <p>而在今年5月Linux基金會與OpenSSF發布的「開源軟體安全動員計畫」白皮書中，其實已經針對此問題提出對策，此計畫的主要目標，是減少記憶體安全性漏洞的數量。</p> <p>首先，他們希望，在網際網路上最關鍵的軟體，能夠遠離C/C++等不安全的程式語言，並強調會優先升級對安全最敏感的元件，其次，系統級程式碼的工具需要受到更大的關注，因為這些是生態系統中最普遍與最脆弱的軟體，也最有可能是以不安全的系統程式語言所寫成，而產生了資安漏洞。</p> <p>同時，這項戰略的執行，將透過非營利組織網際網路安全小組（ISRG）的Prossimo專案來推動。目前這項計畫鎖定那些面向？例如，針對用C語言撰寫的Linux Kernel，如今已有Rust for Linux專案啟動；針對用C語言撰寫的OpenSSL，在替代方案上，也有一套名為Rustls的開放軟體專案正在發展。其餘面向還包括：網路時間協定NTP、Apache httpd的mod_tls模組、Trust-DNS、網路傳輸程式curl，Prossimo專案將針對相關工具進行投資，目的是讓建構更安全軟體變得簡單。</p> <p>而在這些消息中，我們可以發現支持採用Rust的聲浪最大，而且，許多大型企業與開源專案也都嘗試用Rust來撰寫，像是Google的Android與Chrome、Amazon的虛擬化技術Firecracker等。</p> <p>無論如何，因應軟體開發造成的記憶體安全性問題，已不只是口頭呼籲，而是有所行動，再加入美國NSA難得表態力挺使用安全程式語言，使得這項一再受到討論與思考的問題，出現了更多大幅改善的機會。文⊙羅正漢、陳曉莉</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong>根據Wikipedia上對於<span class="mw-page-title-main">Stack buffer overflow</span>的說明，當中也特別以圖像化方式表達緩衝區溢位的攻擊利用方式。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%E5%85%AC%E5%B8%83%E7%9A%842022%E5%B9%B425%E5%A4%A7%E5%B8%B8%E8%A6%8BCWE%E9%80%9A%E7%94%A8%E5%BC%B1%E9%BB%9E%E5%88%97%E8%A1%A8%E5%90%8D%E5%96%AE.jpg" style="width: 600px;" /></strong></p> <p><b>根據</b><strong>MITRE在今年8月3日<a href="http://cwe.mitre.org/top25/archive/2022/2022_cwe_top25.html">公布的2022年25大常見CWE通用弱點列表名單</a>（2022 CWE Top 25 Most Dangerous Software Weaknesses），我們可以看出在漏洞根因中，記憶體越界寫入（Out of Bounds Writes）居於第一，且指標分數高達64.20，記憶體越界讀取（Out of Bounds Reads）居第五，使用已釋放的記憶體（Use after Free）居第七。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80_201902-07%E5%BE%AE%E8%BB%9FBlueHat%20IL.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2019年2月7日</span> 微軟MSRC研究人員Matt Miller在<a href="https://github.com/Microsoft/MSRC-Security-Research/blob/master/presentations/2019_02_BlueHatIL/2019_01%20-%20BlueHatIL%20-%20Trends%2C%20challenge%2C%20and%20shifts%20in%20software%20vulnerability%20mitigation.pdf">BlueHat IL</a>資安會議的演講中表示，從2006年到2018年間，每一年發布的漏洞修補更新，有70%是與記憶體安全問題有關。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2020-05-16_Google.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2020年5月16日</span> Chromium專案研究人員<a href="https://www.ithome.com.tw/news/137826">指出</a>，此項軟體有超過70％的嚴重安全漏洞來自記憶體安全漏洞，也就是因C/C++指標操作錯誤所造成，其中一半的錯誤是釋放後使用（Use-After-Free）的問題。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2022-05-13_Replacement%20Non-Memory-safe.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年5月13日</span> 為了解決開源軟體安全問題，開源社群、科技大廠與美政府二度商討對策，會後發布「開源軟體安全動員計畫」白皮書，<a href="https://www.ithome.com.tw/news/151045">針對10大關鍵挑戰提出投資戰略</a>，當中1項就是聚焦於替換不具記憶體安全的程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_%E5%BE%AE%E8%BB%9FMark%20Russinovich.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年9月20日</span> 微軟Azure技術長Mark Russinovich在推特發文<a href="https://www.ithome.com.tw/news/153156">表示</a>，在安全性與可靠性考量下，現在應停用C/C++開發新專案，建議改用Rust。但許多開發者表示反對，因為C與C++畢竟是熱門程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Tor.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年10月4日</span> 以洋蔥路由聞名的開源軟體專案Tor，釋出以Rust重新實作的版本時<a href="https://www.ithome.com.tw/news/152886">表示</a>，在2001年用C語言是合理選擇，但他們發現安全使用C語言需付出許多心力，程式碼分析與安全性改進也變得越來越困難。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%963%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年11月10日</span> 美國NSA公開<a href="https://www.ithome.com.tw/news/154180">發表防範軟體記憶體安全問題的軟體開發指南</a>，建議開發人員使用保障記憶體安全的程式語言，例如：C#、Rust、Go、Java、Ruby或Swift，以取代C與C++。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Prossimo.jpg" style="width: 600px;" /></p> <p><strong>因應記憶體安全（Memory Safety）問題，不再只是呼籲口號，根據「開源軟體安全動員計畫」白皮書指出，已有非營利組織網際網路安全小組（ISRG）的Prossimo專案負責推動相關工作，當中建議使用Rust、Go、C#、java、Swift、Python與JavaScript等語言，來取代使用不具記憶體安全的C、C++與assembly。該專案網站：<a href="https://www.memorysafety.org/">https://www.memorysafety.org/</a></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/memory-safety">Memory Safety</a></div><div class="field-item odd"><a href="/tags/%E8%BB%9F%E9%AB%94%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8">軟體記憶體安全</a></div><div class="field-item even"><a href="/tags/c-1">C</a></div><div class="field-item odd"><a href="/tags/c">C++</a></div><div class="field-item even"><a href="/tags/rust">Rust</a></div><div class="field-item odd"><a href="/tags/non-memory-safe">non-memory-safe</a></div><div class="field-item even"><a href="/tags/%E7%B7%A9%E8%A1%9D%E5%8D%80%E6%BA%A2%E4%BD%8D">緩衝區溢位</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E6%B4%A9%E6%BC%8F">記憶體洩漏</a></div><div class="field-item even"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E5%AF%AB%E5%85%A5">記憶體越界寫入</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E8%AE%80%E5%8F%96">記憶體越界讀取</a></div><div class="field-item even"><a href="/tags/use-after-free">Use After Free</a></div><div class="field-item odd"><a href="/tags/prossimo">Prossimo</a></div><div class="field-item even"><a href="/tags/nsa">NSA</a></div></div></div>
2022/11/22 12:04作者羅正漢https://www.ithome.com.tw/tech/154339
微軟緊急修補Windows Kerberos認證問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-22h2#2953msgdesc" target="_blank">微軟日前發現</a>，在扮演網域控制器的Windows Server上部署11月8日釋出的Patch Tuesday安全更新後，即可能遭遇Kerberos認證問題，微軟已於本周四（11/17）釋出緊急更新進行修補。</p> <p class="rtecenter"><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-22h2#2953msgdesc" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1118-Kerberos-KB5019980-issue.png" style="width: 600px;" /></a></p> <p>Kerberos為一電腦網路認證協定，可供客戶端與伺服器端認證彼此的身分，可用來避免竊聽與重放攻擊，被應用在Windows、macOS與Linux等作業系統上。</p> <p>根據微軟的說明，此一問題可能影響使用者環境中的任何Kerberos認證，造成網域用戶登入失敗，群組受管理的服務帳戶(gMSA) 無法認證，基於網域用戶的遠端桌面連結失效，無法存取工作站的共享文件夾或無法於伺服器上分享文件，需要網域用戶認證的列印亦無法執行。</p> <p>微軟已於本周釋出緊急更新，可用來安裝在使用者環境中的所有網域控制器，不同的Windows Server版本有不同的修補程式。</p> </div></div></div>
2022/11/18 16:25作者陳曉莉https://www.ithome.com.tw/news/154293
百年光田用行動化打造虛擬醫院，銜接患者到院前最後一哩路
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進光田綜合醫院診間，醫師剛看完一位病人，下一秒不是現場叫號，而是點擊一下滑鼠，開啟視訊程式與遠端患者視訊問診。過程中，看診系統自動錄音、錄影，看診後還會自動歸檔。</p> <p>這是光田綜合醫院資訊部部長林政杰描繪的「虛實整合視訊看診」場景。疫情緊繃時，健保署力推視訊診療，各家醫院投入支援，光田綜合醫院（以下簡稱光田醫院）也不例外。「當時我們做了虛實整合視訊看診，用同樣診間、同樣人力、同樣資訊系統，支援現場和視訊看診，不增加醫護的負擔！」林政杰說明，在家中的病人用同樣掛號程序，輪到他看診時，醫師直接在原診間展開視訊診療。</p> <p>這沒有花俏的技術，卻解決了疫情之下視訊診療的諸多痛點。因為，他們不必如多數醫院般設置特診，不必額外挪出空間、調度醫護人力來支援，而是在原診間執行2種看診服務。而且，他們不必擔心疫情緩和、視訊看診人數銳減後，特診的維運成本；未來指揮中心解散，他們也不必關閉疫情視訊特診，再另外配合衛福部的遠距醫療常態化政策，重新在一般診間配置視訊診療設備和流程。這就是光田醫院強調的永續經營模式。</p> <p><span style="font-size:28px;"><strong>從虛實整合視訊看診，打造虛擬醫院服務</strong></span></p> <p>甚至，光田醫院IT延伸這個巧思，來打造虛擬化醫院服務。這是他們近年力推的4大智能化目標之一：就醫環境智能化，要將以往只能在醫院進行的服務，延伸帶到民眾家中，補足民眾到院前的最後一哩路。</p> <p>這些服務，是要串起醫療行為的「金流、物流和資訊流。」林政杰解釋，當初開發虛實整合視訊看診後，大家意識到，新型態的醫療服務應當要打通繳費（金流）、送藥（物流）和醫療資訊（資訊流）壁壘，將3者串連起來。</p> <p>於是，他們設計一套虛擬醫院架構，由醫療服務、醫事服務、健康管理這3朵雲為橋樑，來整合醫院端的資訊、傳遞給病人；同時也將病人端的資訊，整合分析再傳遞至醫院系統。在這個架構中，病人端服務是重要核心，光田醫院為此打造一支專屬App，裡面包含各種功能，如線上服務櫃檯、個人儀表板、健康紀錄、疾病風險評估、門診和住院服務，以及用藥、排程、帳務、報告和衛教等，並連結醫療支付系統醫指付，先串起資訊流和金流。</p> <p>一支App集結這麼多功能，就是要用數據和創意，讓民眾端App不再只是掛號和查進度功能。比如，在「我的排程」中，民眾能查詢個人檢查排程和衛教影片，IT接著要將檢驗申請單放進手機，等於民眾到院檢驗，秀出手機資訊和條碼即可，不必擔心沒帶紙本檢驗單，「就像是到超商咖啡寄杯兌換一樣，秀出條碼資訊即可，」林政杰說。</p> <p>又比如「疾病風險評估」功能，整合了國健署疾病風險資訊，民眾可按疾病類別輸入自身數值，來評估風險高低。IT還替使用者先想一步，在風險評估結果後附上健康指引，甚至提供建議看診科別和掛號功能，方便憂心的民眾快速預約。</p> <p>目前，這支App的功能多數已開發完成，部分功能也有雛形，預計明年正式上線。這支App整合了新型醫療服務的資訊流和金流，接下來，待主管機關放寬取藥限制，光田醫院就能一併整合物流環節。</p> <p><span style="font-size:28px;"><strong>整合病歷資料實現醫療照護智能化</strong></span></p> <p>不只是民眾端的就醫環境要智能化，醫護端的醫療照護也要智能化。光田醫院IT的做法是靠數據整合，在第一時間提供關鍵資訊給醫護人員。</p> <p>為此，IT改變原有的資料策略，將以院區為中心的資料收集方式，改為以病人為中心，建立類似數據中臺的資料整合模組機制，來整合病人在6院區的資料。他們也正開發一款病歷資訊整合介面，讓醫護使用者透過單一介面，就能查詢病人所有相關病歷資料。</p> <p>有了病歷資訊整合的基礎，就能打造更多應用。比如，光田醫院導入視覺化工具，來呈現病人的全貌、輔助醫護決策。他們先從癌症腫瘤科病歷下手，打造出由治療時間軸與病歷資料組成的視覺化病歷頁面，利用治療時間軸上分佈不同顏色的圓點，來代表患者接受治療、檢驗檢查、回診和個管介入的次數，依時序排列，醫師第一眼就能先判斷治療與復發情形，甚至還能放大查看更詳細的報告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/350-%E6%9E%97%E6%94%BF%E6%9D%B0.png" style="width: 350px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /> <span style="font-size:20px;"><strong>光田綜合醫院資訊部部長林政杰表示，人因設計的關鍵是換位思考，要從使用者角度出發、替使用者多想一步，在同個畫面中提供所需資訊。</strong></span></span></p> <p><span style="font-size:28px;"><strong>用系統管理系統，整合數據建經營管理儀表板</strong></span></p> <p>除了就醫環境和醫療照護，光田醫院也鎖定行政管理與經營管理智能化。就行政管理來說，光田醫院除了龐大的醫療資訊系統（HIS），還有數十套大大小小的行政系統與儀器設備要掌管。</p> <p>然而，光田醫院IT人力有限，為有效管理，他們以「系統管系統」這個原則，來自動化管理行政系統和設備儀器。林政杰說明，團隊建置一套智能管理自動監控模組和訊息推送系統，由IT寫好處理規則，再由監控模組執行，來管理系統。若系統發生問題，就自動透過訊息推送系統，來通知負責同仁。</p> <p>這套訊息推送系統統一管理全院的IT系統訊息，並對訊息、通知對象和急迫等級等有著細緻的分類，如訊息類型可分為醫療照護、行政管理、環控，通知對象則有職務、人員、IP、設備，急迫等級有4種，甚至連回覆時限也有分級。</p> <p>系統接收IT系統或設備訊息分類後，就發送通知給接受端，如醫師，會推送臨危值通報、檢驗檢查通報、會診通報等訊息，對護理師則是病人轉送、呼叫和異常通報。由於光田醫院導入行動醫事人員憑證（HCA），醫護可在手機上簽核當天看診的電子病歷，若醫護下班前仍未簽核，系統也會觸發發送提醒。</p> <p>不只如此，訊息推送系統也對一般員工和維修人員發送通知，比如前者是差勤、KPI異常或公文未簽核等通知，後者則是設備異常、溫濕度環控值異常。</p> <p>甚至，同套系統也能針對院外對象推播，像是對患者發送預約提醒、回診或拿藥通知，以及衛教和醫療知識等。</p> <p>另一方面，經營管理智能化則是整合管理層所需的營運數據，如急診人數統計、即時床位調度資訊和健保指標等，以App儀表板呈現給管理層主管參考。</p> <p>這4個智能化目標，都是未來智慧醫院的必備特色。這座歷時百年的中部海線醫院，資源不如醫學中心充沛，為何有能力這麼做？</p> <p><span style="font-size:28px;"><strong>基本功：文化、技術和數據整合</strong></span></p> <p>一大關鍵是重視資訊化的文化。</p> <p>「電腦能做的，我們就讓電腦做，不讓人做。」林政杰點出，用IT讓作業更順暢，不只是同仁的共識，更是光田醫院長年以來的信仰。因為，這是1980年代，光田醫院總院長王乃弘寫下醫院第一支程式時，就奠定下來的基礎。</p> <p>在這個根基下，光田醫院堅守自行開發核心系統，掌握核心開發能力。比如1980年代起，他們使用COBOL程式語言開發掛號、門診醫囑等核心系統，2010年代時進一步嘗試新IT變革，像是將伺服器虛擬化、擁抱行動App程式設計，另也發展物聯網應用，展開儀器設備物聯網計畫。</p> <p>「擁有行動應用設計能力很重要，」林政杰指出，行動化是4個智能化的核心，不論是虛擬醫院、病歷整合還是行政與經營管理，都要能在行動裝置上執行，而先前累積的行動應用開發基礎，正是團隊能快速打造、調整系統的原因。</p> <p>2016年，他們將HIS主機轉移到x86架構主機，同時改善程式設計方法，採結構清晰、便於管理的MVC架構來設計程式，隔年更以此開發長照系統，整合寂靜醫療和慢性照護服務，更獲NHQA智慧醫院標章。</p> <p>到了近年，光田醫院也投入醫療AI，並推動數據視覺化，來改善院內、院外使用者體驗。甚至在去年，他們開始嘗試容器和微服務架構，要來開發新系統。林政杰總結，正因為團隊長年堅持自行開發核心系統，練出能快速應變的技術力，才有辦法推動4個智能化目標。</p> <p>除了文化、技術，數據整合和人因設計也是關鍵。光田醫院重整歷年來的資料處理架構，發展一套數據整合平臺，將數據處理分層，對於數據來源層，先以ETL工具處理再傳送至專屬資料庫，再將這些處理過的資料，傳送至分析服務層，以視覺化BI分析服務來處理資料。最終，這些資料則透過瀏覽器或BI工具，呈現給使用者。</p> <p>而人因設計，是指「換位思考、替使用者多想一步的介面設計。」林政杰舉例，在開發虛擬醫院病人端App時，他們總會問自己：「如果我是病人，查詢繳費記錄後，還會希望在同個畫面上看到什麼？」於是，他們在繳費記錄頁面，新添收據申請按鈕，方便使用者勾選所需記錄。另一個例子則是「住院e管家」服務，可讓患者在家，就先選擇住院病房類型和是否送餐，並提供聘請看護選項，甚至附上看護聯絡方式，給患者足夠所需的參考資訊。</p> <p><span style="font-size:28px;"><strong>IT策略：委外借力使力引進新技術</strong></span></p> <p>不過，林政杰話鋒一轉：「我們IT人力有限，但要做的事越來越多。」包括後年將開幕的向上院區在內，光田醫院IT有6個院區要管理，但總人力不足，要創新還要維運，IT如何突破限制？</p> <p>首先，他們釋出周邊系統開發權，採取「核心系統自行打造、周邊系統委外」策略，來分擔系統開發負荷。林政杰期望，透過廠商帶頭，在開發新系統時，將新IT技術和觀念帶入院內，來讓資訊部同仁做中學，累積新架構、新技術（如容器、微服務）開發經驗，促進內部技術升級。</p> <p>光田醫院目前也有套系統採這種模式，正在開發中。這種借力使力的模式，也能用來形容光田醫院的AI發展策略。林政杰表示，由於光田醫院不如醫學中心般，有能力投入大量資源、成立AI中心，於是，他們採取聯手研究機構和廠商的方式，針對臨床需求來打造AI應用，既低成本也能解決實務問題。</p> <p>他們要透過借力使力習得的IT現代化經驗，以及長年累積的核心開發能力和行動化技術，來實現4個智能化目標，提供讓人耳目一新的智慧醫院環境與醫療服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>光田綜合醫院資訊部部長林政杰</strong></p> <p>學歷：靜宜大學資訊碩士</p> <p>經歷：曾經在系統整合商擔任金融資訊系統程式設計師，並於1993年於光田醫院任職，一路從最基層的程式設計師和系統分析師做起，2006年起至2012年陸續擔任應用軟體開發課課長、資訊部副主任，2014年開始擔任資訊部部長至今</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p>光田綜合醫院</p> <p>總院地址：臺中市沙鹿區沙田路117號</p> <p>成立時間：1913年</p> <p>員工數：2,000人</p> <p>總院長：王乃弘</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管姓名：林政杰</p> <p>直屬主管：行政副院長</p> <p>資訊部門分工：系統課：負責主機、網路、資料庫和電腦設備維護；軟體課：負責資訊系統開發及維護</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門大事記 </span></strong></span></p> <p>1987年：成立資訊室</p> <p>1995年：導入視窗版醫療資訊系統</p> <p>2005年：HIS主機採用HA架構</p> <p>2006年：資訊室改制資訊部；Web版行政管理系統、後勤支援系統、電子表單及PACS系統上線</p> <p>2011年：導入伺服器虛擬化技術</p> <p>2012年：導入桌面虛擬化技術；建置雲端行動護理車；導入行動應用開發技術，自行開發掛號App</p> <p>2013年：行動查房系統上線；行動醫療影像系統上線</p> <p>2016年：核心系統主機由Unix主機轉移到x86 Linux主機；建立SSD儲存架構及異地備援架構</p> <p>2017-2021年：長照系統上線；呼吸器/麻醉機自動化連線；開發虛實整合視訊看診系統</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_1_0.jpg" width="960" height="420" alt="" title="光田綜合醫院資訊部部長林政杰　（攝影／洪政偉）" /></div></div></div>
2022/11/14 07:00作者王若樸https://www.ithome.com.tw/people/154129
【資安日報】2022年11月10日，SAP修補BusinessObjects與SAPUI5漏洞、兩大處理器業者修補旗下…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週有許多的IT業者發布例行修補。例如，SAP公布兩個重大漏洞與緩解方式，分別出現在商業智慧軟體BusinessObjects，以及應用程式開發框架SAPUI5。</p> <p>處理器大廠Intel、AMD也著手修補旗下產品，以Intel而言，風險程度最為嚴重的漏洞是CVE-2021-33164；AMD的部分，則是能觸發Spectre V2的推測執行漏洞CVE-2022-23824。</p> <p>打造間諜軟體的業者利用手機零時差漏洞發動攻擊的行動，已有數起，且很有可能存在超過一年以上才被發現。Google的研究人員發現三星去年修補的漏洞，在2020年就有間諜軟體商用於製作相關工具，而且發動了攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.sucuri.net/2022/11/massive-ois-is-black-hat-redirect-malware-campaign.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress惡意軟體攻擊1.5萬個網站，將瀏覽者導向惡意網站</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fake_qa_site_ois.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake_qa_site_ois.png" style="width: 300px; float: right;" /></a>資安業者Sucuri揭露針對WordPress網站的惡意軟體攻擊，此惡意軟體自今年9月，透過將ois[.]is存取受害網站的使用者，重新導向至冒牌的問答網站，其目的很可能是讓攻擊者的網站左右搜尋引擎結果。根據研究人員的調查，約有1.5萬個網站被植入惡意軟體，這些網站都被植入約2萬個檔案，這些檔案被用於製造垃圾搜尋結果。</p> <p>研究人員指出，駭客所使用的網域多達1,137個，且攻擊伺服器隱匿於Cloudflare的服務之後，而難以追查來源。究竟駭客如何入侵受害網站？研究人員推測是透過存在漏洞的WordPress外掛程式，或者是經暴力破解管理員密碼而得逞。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/k/hack-the-real-box-apt41-new-subgroup-earth-longzhi.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41附屬組織利用惡意程式Symatic攻擊臺灣政府、關鍵基礎設施、醫療保健產業</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3-earth-longzhi-apt41-subgroup.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3-earth-longzhi-apt41-subgroup.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露駭客組織Earth Longzhi（亦稱GroupCC）的攻擊行動，其特徵是駭客使用了自製的Cobalt Strike載入工具「Symatic」，該組織隸屬中國駭客APT41。</p> <p>研究人員自2020年開始共觀察到2波攻擊行動，從2020年5月至2021年2月主要是針對臺灣的政府、關鍵基礎設施、醫療保健產業，亦有中國銀行業者遭到鎖定；而第2波約自2021年8月至今年6月，範圍擴及泰國、馬來西亞、印尼、巴基斯坦、烏克蘭，駭客針對的產業也更廣，涵蓋國防、航空、保險，以及都市開發業者。</p> <p>值得留意的是，駭客在第2波攻擊行動當中，不斷對上述Cobalt Strike載入工具改版，透過多執行緒強化運作效率，並改良誘餌文件檔案，來讓更多人上當。研究人員發現，駭客為了停用防毒軟體，他們使用名為ProcBurner和AVBurner的作案工具，搭配微星舊版驅動程式RTCore64.sys，以便發動自帶驅動程式（BYOVD）攻擊。</p> <h3><a href="https://googleprojectzero.blogspot.com/2022/11/a-very-powerful-clipboard-samsung-in-the-wild-exploit-chain.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">間諜軟體供應商鎖定三星手機漏洞下手，製作攻擊程式</span></strong></a></h3> <p>Google旗下的威脅情報團隊Project Zero，近日揭露三星去年3月修補的手機漏洞CVE-2021-25337、CVE-2021-25369、CVE-2021-25370，並指出在此之前，有專門提供間諜軟體的網路安全廠商在利用這些漏洞。</p> <p>研究人員指出，上述漏洞都存在於三星專屬元件，且已被串連，攻擊者藉此提升權限，並繞過手機的安全防護機制，然後將惡意軟體植入受害手機，這樣的攻擊行動在2020年底出現。上述漏洞存在於部分Galaxy S10、A50、 A51手機，影響搭載Exynos版SOC、執行Linux核心4.14.113版的機種。</p> <h3><a href="https://www.zimperium.com/blog/the-case-of-cloud9-chrome-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體IceXLoader感染全球數千臺電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IceXloader_2chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IceXloader_2chain.png" style="width: 300px; float: right;" /></a>資安業者Minerva揭露近期惡意軟體IceXLoader的攻擊行動，駭客透過釣魚郵件挾帶ZIP壓縮檔附件，進而於受害電腦部署此惡意軟體，一旦IceXLoader成功進駐，攻擊者將其用於收集受害電腦的系統資訊，並傳送木馬程式DarkCrystal RAT及挖礦軟體。研究人員調查駭客所使用的C2伺服器，發現已有數千臺電腦受害，於是，逐一通知受害企業。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/sap-patches-critical-vulnerabilities-businessobjects-sapui5"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補旗下商業智慧軟體BusinessObjects、應用程式開發框架SAPUI5</span></strong></a></h3> <p>在11月份例行修補裡，SAP總共發布了14個漏洞修補程式，當中最為嚴重的漏洞為CVE-2022-41203，CVSS風險評分達到9.9分，存在於商業智慧軟體BusinessObjects，與未受信任資料的反序列化不安全有關，資安業者Onapsis指出，起因是該套件反序列化過程並未針對已處理的資料進行驗證，而影響此系統的機密性、完整性，以及可用性。</p> <p>另一個重大漏洞為CVE-2021-20223，存在於應用程式開發框架SAPUI5的SQLite元件，CVSS風險評分為9.8分。駭客一旦取得最低的權限，就有機會利用此漏洞攻擊SAPUI5。</p> <h3><a href="https://www.securityweek.com/intel-amd-address-many-vulnerabilities-patch-tuesday-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel、AMD修補晶片漏洞</span></strong></a></h3> <p>11月8日，Intel、AMD發布資安通告，修補旗下眾多產品的漏洞。</p> <p>Intel總共發布24筆資安通告，修補超過50個漏洞，其中有7筆通告涉及提升權限的高風險漏洞，受到影響的產品範圍，包含部分處理器的BIOS韌體、NUC的BIOS韌體、XMM 7560數據機軟體、資料中心管理系統軟體（DCM）、伺服器主機版，以及主動管理技術（AMT）的SDK等，最嚴重的是NUC漏洞CVE-2021-33164，CVSS風險等級為8.2分。</p> <p>AMD本次發出4則資安通告，總共涉及10個漏洞，其中的CVE-2022-23824與處理器的推測執行漏洞有關，能夠用於觸發Spectre V2（CVE-2017-5715）。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/lenovo-fixes-flaws-that-can-be-used-to-disable-uefi-secure-boot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">聯想修補可被用於關閉UEFI安全開機的漏洞</span></strong></a></h3> <p>資安業者ESET揭露向筆電廠商聯想通報的3個漏洞CVE-2022-3430、CVE-2022-3431、CVE-2022-3432，這些漏洞存在於該廠牌ThinkBook、Yoga、IdeaPad系列筆電，一旦遭到利用，攻擊者可停用筆電的UEFI安全開機機制，從而繞過作業系統的安全防護措施，以便部署惡意軟體。研究人員指出，這些漏洞源於聯想不慎納入早期開發階段的驅動程式，而使得UEFI安全開機的配置有可能被任意更動。</p> <p>聯想獲報後，修補了CVE-2022-3430與CVE-2022-3431，對於位處終止支援機種的CVE-2022-3432，將不予處理。</p> <h3><a href="https://support.apple.com/en-us/HT213505"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補可被用於執行任意程式碼的iOS及iPadOS漏洞</span></strong></a></h3> <p>蘋果於11月9日發布iOS 16.1.1與iPadOS 16.1.1，當中修補了兩個漏洞CVE-2022-40303、CVE-2022-40304，都與libxml2函式庫中的整數溢位有關，一旦遭到利用，攻擊者有可能遠端造成應用程式非預期停止，或是執行任意程式碼。</p> <h3><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-exposed-ember-js-applications-to-xss"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">建置NPM套件的框架Ember.js存在原型汙染漏洞，恐被用於跨網站指令碼攻擊</span></strong></a></h3> <p>資安研究員Masato Kinugawa發現NPM套件建置框架Ember.js框架的原型汙染（Prototype Pollution）漏洞，攻擊者可以利用屬性函數，來跨越（traverse）物件的原型，並竄改JavaScript應用程式的其他元件，包含所有其他派生的基礎物件，進而發動跨網站指令碼（XSS）攻擊。此外，這種原型汙染漏洞，也很可能被拿來搭配其他漏洞來運用。</p> <p>Ember.js開發團隊獲報後，於11月2日發布4.81.、4.4.4、3.28.10、3.24.7版予以修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.c4isrnet.com/cyber/2022/11/08/pentagon-to-unveil-zero-trust-cyber-strategy/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國防部即將公布零信任戰略</span></span></strong></a></p> <p><a href="https://www.facebook.com/isc2TaipeiChapter/posts/pfbid031hTDF8YuK7pUNan43NFdGxQiLBAjgqnpBbG6q3BMAeJjckyk7RJFuYR7HtGeQNA1l"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣國際資安認證專家協會正式成立</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/medibank-warns-customers-their-data-was-leaked-by-ransomware-gang/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲保險業者Medibank證實勒索軟體駭客已洩露竊得資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/us-states-announce-16m-settlement-experian-t-mobile-over-data-breaches"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對Experian、T-Mobile資料外洩事故，美國各州以1,600萬美元達成和解</span></span></strong></a></p> <p><a href="https://portswigger.net/daily-swig/passport-saml-auth-bypass-triggers-fix-of-critical-upstream-xmldom-bug"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">NPM套件Passport-SAML出現輸入驗證漏洞，恐觸發XMLDOM物件出錯</span></span></strong></a></p> <p><a href="https://www.securityweek.com/google-patches-high-severity-privilege-escalation-vulnerabilities-android"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google修補高風險層級的Android權限提升漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154086">【2022年11月9日】沙烏地阿拉伯遭駭客組織Justice Blade鎖定、惡意瀏覽器擴充套件Cloud9鎖定Chrome而來</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154086">【2022年11月8日】加拿大肉品供應商Maple Leaf Foods遭網路攻擊、Azov Ransomware寫入隨機資料破壞檔案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154071">【2022年11月7日】製藥廠AstraZeneca傳伺服器帳密不慎暴露，中國漏洞揭露政策導致國家級駭客先行濫用日益明顯</a></strong></strong></strong></p> </div></div></div>
2022/11/10 17:19作者周峻佑https://www.ithome.com.tw/news/154124
三星手機3項漏洞曾遭惡意軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://googleprojectzero.blogspot.com/2022/11/a-very-powerful-clipboard-samsung-in-the-wild-exploit-chain.html" target="_blank">Google今年初發現</a>三星手機作業系統3項漏洞遭到惡意軟體入侵，經通報後，三星已在3月間修補漏洞。</p> <p>Google Project Zero研究員Maddie Stone及威脅分析小組（Threat Analysis Group，TAG）Clement Lecigne今年初發現3個已被利用的漏洞串，全數集中在三星的客製化元件。研究人員判斷，攻擊樣本是來自一家開發間諜軟體的商業公司於2020年底開發而成，為一JNI原生函式庫檔案。可能是隨同某個惡意App中下載，但研究人員並未找到函式庫使用的是哪個App。</p> <p>3項漏洞分別是發生在剪貼簿元件的任意檔案讀寫CVE-2021-25337、sec_log元件的核心資訊洩露漏洞CVE-2021-25369及DPU驅動程式的使用已釋放記憶體（use-after-free）漏洞CVE-2021-25370。</p> <p>其中CVE-2021-25337為當中最高風險的漏洞，CVSS風險值7.1。攻擊程式以SELinux的untrusted app（第三方程式）權限執行，但卻使用SELinux的system_server權限開啟檔案。照理說正常情況下是無法執行的，但三星客製的剪貼簿工具（SemClipboardProvider）具有系統使用者權限，卻同時發生欠缺存取控管的漏洞，致使惡意程式得以讀寫本機上的特定檔案。</p> <p>其他二個則屬於中度風險漏洞，其中CVE-2021-25369為sec-log檔的存取控制不當，使敏感的核心資訊洩露到使用者空間（userspace）。而CVE-2021-25370則為DPU驅動程式對檔案描述符（file descriptor）處理的實作不當，導致記憶體毁損及核心錯誤（CVE-2021-253）。兩者風險值分別為5.5及4.4。</p> <p>今年初的攻擊程式主要鎖定三星作業系統核心4.14.113搭載Exynos SoC處理器的手機。除了中國、美國等少數其他地方使用Qualcomm SoC處理器外，大部分銷售機種如歐洲及非洲都是搭載Exynos SoC。而使用該版核心的三星手機，主要是2020年年底出貨的，包括Galaxy S10、A50及A51。</p> <p><a href="https://security.samsungmobile.com/securityUpdate.smsb" target="_blank">三星已經在今年3月釋出修補程式</a>。研究人員也呼籲用戶儘速更新到最新版本核心。</p> </div></div></div>
2022/11/10 10:50作者林妍溱https://www.ithome.com.tw/news/154113
【臺灣資安大會直擊】合勤投控資安長游政卿分享6個轉化資安投資的策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>【臺灣資安大會直擊】</strong>很多人認為資安是必須持續投入資源的工作，即便法令要求企業對資安要有更多投入，甚至規定某些企業必須成立資安專責單位並設立資安長，但資安部門對某些企業而言，還是必須持續花錢的成本中心。</p> <p>合勤身為臺灣知名的網通設備業者，兼具網通產品的設計、生產製造、銷售和品牌，也是臺灣國防安全產業供應鏈業者之一，相較某些品牌產品代工的高科技業者而言，合勤投控資安長游政卿表示，「該公司很早就意識到，『資安』已經是該公司重要的競爭力。」</p> <p>至於資安如何成為合勤的競爭力呢？游政卿也以自家公司的實際案例解釋一番。他表示，德國電信提供用戶使用合勤公司的路由器，但在2016年11月28日的時候，遇到傀儡網路Mirai造成的大規模網路故障，導致90萬個合勤的路由器故障，約占德國電信總體路由器的4.5％，該公司也為此支付一大筆罰款，並且需要投入大量資源修補故障路由器的漏洞。</p> <p>為了修復產品的資安漏洞，合勤科技也在2017年4月，成立PSIRT（產品資安事件處理小組）團隊，做到將資安內建在產品設計初期的Security By Design（產品安全設計）。政策生效，合勤科技則在2018年名列德國電信的四大優秀供應商，不僅獲得客戶信任，並對公司帶來實際的營收獲利，更讓「資安」成為與同業相比的競爭優勢。</p> <p>也因為合勤科技有過血淋淋的親身經驗，游政卿也在臺灣資安大會的CISO Workshop中，分享他如何透過6種轉化資安投資的策略，成功將原本是「成本中心」的資訊暨產品安全部門轉型為「機會中心」，並且真正的把「資安」內化到公司所有的業務流程，成為該公司的競爭優勢。</p> <h2><strong>公司資安投資多寡，奠基在企業經營階層的信任</strong></h2> <p>游政卿表示，該公司在全球150個國家或地區，每年至少銷售二千萬臺設備，設備銷售數量越多，可以帶來的營收越高，而該公司在經歷德國電信路由器故障的事件後，對資安的投資也有更大的轉變。</p> <p>他指出，許多公司的經營階層認為，資安投資是公司的沉沒成本，看不到投資績效，因此，更喜歡把資源投入IT，熱衷於數位轉型，可以為公司營運帶來可見的營運效益。</p> <p>不過，合勤對資安投資的看法卻有所不同。游政卿以許多企業積極投入的數位轉型為例，其中就會遇到資料頻繁、廣泛、跨組織地流動，光是資料的安全性，就會面臨很多看不到的風險。不過，他說，安全是解決風險的，但是在風險變成事實之前的損失很難評估，因此，大多數公司都把安全看作一種成本。</p> <p>他也引述「2022 iThome CIO大調查」，2022年資安投資規模，政府和金融業的資安投資超過二千萬元，一般製造業和醫療業資安投資都低於五百萬元；但2022年各產業資安預算的成長率，則以高科技製造業成長6成最多，一般製造業也成長33％。</p> <p>游政卿表示，經營階層對資安投資的看法左右一家企業的資安投資，最核心的關鍵在於「掌握資源的人為什麼要信任你？」在上位者感到困惑和沮喪，雖然熱衷於參與數位轉型，但對於晦澀難懂的安全術語以及無感的管理指標並不理解。</p> <p>另外，經營階層對於資安投入龐大，不僅覺得投入的資金如同石沉大海，更重要的是，認為資安價值無法轉化為業務語言：金錢來衡量；高層面對各種資安威脅時，並不清楚針對其業務的主要威脅有哪些，更遑論是否知道現有防禦強度或是必需進行的投資。</p> <p>他表示，面對經營階層對資安種種不理解造成的惡性循環，資安長必須扮演一個折衝妥協的角色，獲得公司高層信任後，可以讓經營階層理解資安的價值，資安長則是公司內有能力處理風險的專家。他認為，資安必須以信任為基石，價值才能獲得認可；資安長必須具備處置風險的能力，能力才能獲得認可。</p> <p>游政卿指出，要把資安從原本追求提高效率、降低成本的成本中心，進一步轉變成高效找出降低成本、增加效率的機會中心，最後再發展成創造營收的利潤中心，可以透過6種策略方式，轉化企業的資安投資進程。</p> <h2><strong>策略一：運用商務表達方式，影響高階主管看法</strong></h2> <p>游政卿坦言，你無法改進自己不知道和不理解的東西，所以，必須把資安變成大家都聽得懂、看得懂的內容，所以，他會利用每週的定期會議，不僅持續洗腦高層對資安的認知，也會針對其他業務部門和相關的利害關係人持續溝通，務必讓公司上下都可以意識到，資安是全公司共同努力的目標。</p> <p>例如，為了確認董事會和經營階層的其他，他會因應公司營運發展需求，找出有利公司營運發展的法規遵循，例如：ISO 27001、GDPR、BSI TR-03148（歐洲資安iot符合標準）、CMMC 2.0（美國國防部資安成熟度模型認證）、EU ENISA、HIPAA、PCI DSS等，作為公司營運的參考指南。</p> <p>另外，他也會透過參考政府監管單位所制定的政策方向，例如：行政院資通安全管理法、金管會制定的金融資安行動方案等；或者是檢視外在環境事件風險，希望可以透過態勢感知、戰術技術、行為分析以及威脅情資等方式，可以在資安事件發生前做風險評估，在輕症時候就找到問題所在。</p> <p>此外，游政卿也會透過一些內部系統，掌握包括公司網站、網域、內網等現階段的安全性評估，以及相關法規遵守的程度為何。</p> <p>例如，針對公司官網的安全性評分，並清楚在同業的網站安全性評分為何；針對內網安全，找出高風險和中風險的資安事件並予以修補。網域安全風險則分成五大等級，合勤符合第三級的規範：網域具基本安全度，已無網域伺服器預設配置上的弱點。其他像是CMMC 1.0版以及CMMC 2.0版的要求，合勤屬於1.0版的第四級、2.0版的第二級～第三級中間。</p> <p>有系統數據的支持外，游政卿也說，還必須從商業角度證明，安全是創新中心。所以，他也從兩種層次來定義資安，一種是將安全分類，包括：邊界安全、終端安全、身分安全、應用安全、資料安全、安全管理以及安全服務等七類，並從價值描述、核心技術和解決方案來定義。</p> <p>另外一種則是將法規遵循獨立出來外，其他則是採用NIST CSF框架，並加上設備、應用程式、網路、資料和使用者來做定義。他說，不管採用哪一種安全定義或框架，重點都是：制定安全政策和業務戰略的人，彼此是合夥人，才能真正把資安落實到業務流程中，</p> <h2><strong>策略二：培養業務上的盟友</strong></h2> <p>游政卿認為，資安是公司從上到下都必須一起努力的目標，所以必須創造資安被需要的價值，也必須在不同部門中，建立深層強韌的商務鏈結。例如，董事會負責公司營運與治理、資訊安全與機密資訊保護；業務部門則負責客戶開發暨業務推廣、供應商的資安評鑑。</p> <p>其他的法務單位必須負責智權管理；產品開發部門則要落實產品安全管理；採購單位則必須承擔起供應鏈安全管理和外包產品安全；財務部門則要做到風險移轉管理。</p> <p>至於資訊技術部門貫穿各個部門的業務流程，則必須提供兼具效率及安全的數位服務，所以合勤集團負責資安的20人，都是之前資訊部門最優秀的成員挑選出來的。</p> <p>若以實際案例為例，業務部門負責客戶開發暨業務推展，合勤本身就是國防產業供應鏈的一環，目前最熱門的就是美國國防部推動的CMMC 2.0版的規範，「當CMMC 2.0版成為正式規範後，不符合相關資安規定的供應商，就不能成為國防產業供應鏈的一員。」他指出，像是合勤在進行風險評估時，也會採取美國SP-800-171第二版的規定，確保系統的安全性。</p> <p>針對產品開發部門，游政卿說，為了做到Secure By Design，從產品構思開發規畫階段，到產品規格專案計畫階段、產品整合測試階段、產品試產階段、產品試出階段到產品結案階段，都會針對產品進行相關的資安測試並提供相關安全報告，驗證該公司的產品已經具備一定的安全性。他表示，這樣的作法也讓該公司產品，比其他同業產品更受到客戶肯定。</p> <h2><strong>策略三：強調正面信息</strong></h2> <p>面對過去三年的疫情，也造成很多社會和產業的不安定。游政卿認為，不管是面對疫情下的新生活，有越來越多遠距工作的需求，或者是越來越多的供應鏈攻擊，甚至是各種資料安全威脅、雲端環境威脅、勒索軟體攻擊，或是駭客利用各種漏洞發動攻擊等，這些帶著恐懼、不確定性和懷疑的負面訊息，企業都必須要轉換為對業務及利害關係人的正面資訊，並試圖找出安全與效率的甜蜜點才行。</p> <p>他表示，身為公司資安長要做到讓業務、營運更安全，不會受到地區差異與外在威脅而中斷，企業對於資安推動才會更具信心，可以透過正面表列的方式，隨著時間和業務的推動，就可以做到確保風險、安全服務組合和價值描述的有效性。</p> <p>例如，要確保資料安全時，正面表列的方式就可以轉化成透過DLP「防止資訊洩漏」，透過PGP「防止資料修改」，透過VPN「防止資料洩漏」的方式，可以明確知道怎麼做可以有效確保資料安全時，企業內部也會更安心。；其他像是要確保身分安全時，就可以用MFA防止盜用及詐騙，用SSL防止盜用及詐騙。</p> <h2><strong>策略四：量化安全提供的價值，取得客戶信任</strong></h2> <p>如何量化安全，是所有企業資安長一直在努力的方向，游政卿認為，這可以從幾個方向來看，一種是，做好資安，可以幫公司省下多少錢；一種是，做好資安，可以幫公司增加多少營收；還有一種是，沒有做好資安，會對公司帶來多少損失。</p> <p>以2018年5月25日在歐盟生效的GDPR（個資保護規範）來看，一旦違法相關法規，造成客戶個資外洩，歐盟裁罰最高罰金為2千萬歐元，或者是全球總營業額的4％，像是資訊服務業者亞馬遜就被罰款7.46億歐元、WhatsApp罰款2.25億歐元，其他像是服飾業者H&M也被罰款3,500萬歐元，航空業者英國航空則被罰款2,200萬歐元。游政卿表示，這些企業因為違反歐盟個資保護法規所遭到的裁罰，其實都是只要有做好資安，就可以幫公司省下的費用。</p> <p>另外，游政卿也強調，營運中斷損失通常可以量化，但是機敏資訊竊取的損失，往往無法量化，像是，台積電在2018年8月因為勒索軟體造成停工三天，導致26億元的營運損失，這是可以量化的損失；其他像是金管會要求上市櫃公司發生重大資安事件時，都必須發佈重訊公告，這些資安事件如果造成營運中斷，也可以評估損失範圍。</p> <p>不過，游政卿認為，量化資安還是需要有好的量化工具，該公司便採用資安風險量化工具（Factor Analysis of Information Risk Methodology，FAIR）模型，將業務運營中斷、勒索贖金、法律費用、名譽受損、法規罰金、個資外洩等都列入模型參數中，並評估會對企業造成多大的影響。他笑說，這個工具因為涉及法規在內，在合勤內部是提供法務長作為跟董事會報告的內容。</p> <p>例如個資外洩項目包括：健康資訊（PHI）、個人識別資訊（PII）和信用卡資訊（PCI）等，預估造成的損失高達503萬美金，加上個資外洩每年發生頻率為20分之1，企業因為個資外洩遭到入侵的機率為1％，就可以透過這些數據，評估對企業造成的損失為何。</p> <h2><strong>策略五：讓安全成為商務競爭差異化要素</strong></h2> <p>德國是合勤很重要的市場，相關的法規都會影響到合勤的產品策略，像是德國便制定路由器技術指南Technical Guideline for Secure Broadband Routers（BSI TR-03148），提供路由器的安全級別，而所有在德國販售的產品都必須符合相關規範。</p> <p>游政卿說，德國政府資安監管單位聯邦資訊安全辦公室（BSI）便在2018年11月公布，合勤的路由器符合相關安全規範，可以在德國市場販售；2022年5月則公布合勤兩款產品已通過聯邦資訊安全辦公室（BSI）公布的Secure Broadband Routers（TR-03148）認證。</p> <p>游政卿指出，傳統的資安任務是為了確保公司免遭駭客攻擊，但現在的資安已經成為擴大業務的推動要素，產品交付、成本、品質、服務、企業社會責任甚至是產品安全資訊安全供應鏈安全都已經包括在內。</p> <p>他表示，把資安做好不只要內部員工配合，還包括外部客戶，為了把安全做好，有時候，資安長也必須具備公關的技能，要爭取更多資源、錢和時間投入資安，最好的情況就是，資安可以幫公司增加營收、把關產品安全性並降低違反法規遵循帶來的風險。</p> <h2><strong>策略六：轉型為資安新創公司</strong></h2> <p>合勤科技從2007年開始，就開始重視資安，有相關的資安事件，游政卿都會在第一時間通報給創辦人兼董事長朱順一，但當時的資安部門還是資訊部門內的一個重要的功能組別。</p> <p>為了因應各種外部的資安攻擊與威脅，合勤內部也慢慢追查許多中繼站和駭客贏為，同時為了企業內部營運需求，也提供許多資安服務，不管是網際網路資產暨曝險分析；弱點掃描、滲透測試、源碼檢測；Active Directory安全檢測；防毒、資安、網路設備日誌整合；Windows、Linux、MacOS和應用服務日誌整合；並提供包括：系統弱點、日誌、效能、系統組態、軟體資產等資訊收集器。</p> <p>有這些資安服務的提供，游政卿也說，合勤也在2017年將資安部門獨立為一家專門的資安新創公司黑貓資訊，透過機器學習和威脅情報分析，對企業營運管理提供資安管理儀表板、攻擊軌跡追蹤和事件報告分析，最後從人員紀律、網路、終端設備和應用服務，執行資安防護策略並追蹤效果。</p> <p>他表示，黑貓資訊成立SOC（資安維運中心），使用XDR針對電子郵件、端點、伺服器、網路及資安設備，蒐集並分析多個防護層的威脅偵測事件，提高IT系統維運、網路暨應用的管理效率，並做到提供自動偵測、關聯分析、威脅獵捕、根因分析。</p> <p>另外，針對SIEM（資安資訊與事件管理），提供應用程序、系統、服務器等集中式日誌管理，作為整個SOC的技術骨幹，並進一步做到即時關聯分析、溯源調查與研擬對策；也成立專職的安全運營（SecOps）團隊持續監控、分析和回應安全事件。</p> <p>游政卿強調，資安要做到老闆覺得「值錢」，讓老闆覺得每個階段都有被利用的價值，讓資安部門成為公司做生意和產品開發、法規規避最好的合作夥伴，企業就會更願意投資資安。</p> <p>他也說，資安長也要學會將風險和安全服務情況以量化圖表展現，向董事會、經營階層呈現產品暨網路安全的價值，證明資訊安全確實值錢，透過威脅態勢感知去保護數位資產，利用業務發展推動去獲取競爭優勢，最後就可以做到真正的「資訊安全」。</p> </div></div></div>
2022/11/9 18:47作者黃彥棻https://www.ithome.com.tw/news/154104
【資安月報】2022年10月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球資料外洩事件頻傳，本月國內傳出2300萬國民資料被兜售於資料外洩地下論壇的情形，受到國人極大關注，在初期被公開的部分資訊中，當中就包含了宜蘭縣20萬筆個資。</p> <p>消息曝光隔日，數位發展部資安署公布了初步調查，他們指出，比對該資料格式後，發現與內政部戶政資料差異很大，研判非戶政資料外流。不過，目前尚未公布這批資料是如何取得或拼湊而成，也有學者認為這批資料可能是之前政府要求資料介接時，由其他單位流出去，但還未獲得證實。關於後續的調查結果，有待數位發展部資安署進一步揭露。</p> <p>值得關注的是，近年國內每隔幾年就傳出大規模資料被兜售，或是資料外洩事件的相關消息，像是<a href="http://www.ithome.com.tw/news/137980">2020年時，美國資安威脅情報公司Cyble研究人員曾揭露，暗網有人兜售臺灣2千萬筆戶政資料，時任行政院資通安全處處長簡宏偉表示，經他們調查後，研判該次資料外洩的內容，是早年外洩流傳的多個個資資料庫整併而成</a>。</p> <p>而現在2022年的這批資料，究竟是如何取得或拼湊而成，如今的數位發展部資安署雖然提到研判非戶政資料外流，但應該還是要釐清這些資料來源，有待政府能公布進一步的調查結果。</p> <p>關於近年國內政府機關個資外洩事件，我們首先也還會聯想到，<a href="https://www.ithome.com.tw/news/131450">2019年銓敘部主動發出個資外洩公告通知</a>，說明他們接獲外部情資，得知有國外網站揭露該機關所擁有的59萬筆個人資料，並表示疑似外洩資料的資訊系統，其實早就在2015年3月下線，因此不確定外洩時間與過程。</p> <p>對於政府機關擁有的國民資料外洩，其影響性引發大眾憂心，例如我們可以想像到，政府官員可能處於危險，民眾可能遭受詐騙，</p> <h3><strong>國際上，大規模國民資料被兜售情形仍持續不斷</strong></h3> <p>不只是臺灣，最近一段期間，在國際間，不少國家發生政府機關個資外洩事件，也反映這樣的狀況仍持續不斷。例如，<a href="https://www.ithome.com.tw/news/151769">今年6月，中國也爆發史無前例的大規模資料外洩事件</a>，有人在資料外洩地下論壇兜售該國10億國民個資，不僅標榜資料來自當地政府機關，且內含犯罪記錄與就醫情形，引發全球關注。</p> <p>而在今年5月，<a href="https://www.thestar.com.my/tech/tech-news/2022/05/18/data-of-malaysians-born-between-1940-and-2004-allegedly-being-sold-for-over-rm40000">馬來西亞也傳出這樣大規模國民資料被兜售</a>，有人出售該國2千萬國民的個人資料，並宣稱資料取自於馬來西亞國家註冊局，包含從1940年到2004年的出生人口資料。</p> <p>而歐美各國的政府機關，其實也都有陸續有這樣的消息，除了有國家或地方政府民眾資料外洩、政府委外廠商遭駭使民眾資料外洩，也有像是大型電信業、保險業的大規模個人資料外洩事件。例如，<a href="https://www.ithome.com.tw/news/135768">在2017年美國消費者信用報告公司Equifax的1.5億美國民眾個資發現被駭客竊取</a>，該國司法部積極介入調查，直到2020年確認並指控是4名中國軍人所為。</p> <p>特別的是，近期還有一項消息格外引發我們關注，今年10月澳洲媒體揭露南美哥倫比亞政府遭駭，導致執法單位資料外洩一事，令人意外的是，這起資料外洩事件，連帶影響了該國與澳洲等其他國家的打擊犯罪行動，因為被竊取的資料中，包含毒販洗錢網路、臥底警探身分資訊，以及警方採用策略。</p> <p>此外，澳洲聯邦警察之所以得知此事，是經過澳洲雪梨晨鋒報通知才知曉，而且報社也配合讓警方能緊急因應，而推延了報導上刊時程，這也展現出公私聯防。</p> <h3><strong>新舊資料外洩狀況複雜，已是現今時常看到的情況</strong></h3> <p>再回頭看看國內民間企業，不只是政府機關，還有國內企業也傳出大規模個資外洩，特別是求職網站服務業者，其擁有的國人個資內容也不少。包括2019年10月，有人在暗網出售兩家求職網站所擁有的個人資料，均多達數百萬的個資數量，像是一零四資訊科技指出該批資料是2013年的舊資料，1111人力銀行指出是9年前舊資料。</p> <p>對於普遍民眾而言，更有感受的是電商平臺疑資料外洩引發的詐騙，因為許多詐騙集團不只知道民眾個資，還知道會員的近期訂單資訊，可以藉此取得受害者的進一步信任。</p> <p>因此，刑事警察局165反詐騙每周都會公布解除分期民眾通報高風險賣場名單，只是鮮少有業者公布資料外洩或公布調查。究竟是平臺端、還是平臺配合物流端，還是使用者端資料外洩，若以如此大量通報情況來看，理應不是使用者端的問題。</p> <p>甚至，去年國內還發生委託同一資訊系統商的數十個愛心協會，發生捐款個資外洩事件，這也突顯非營利機構如何在資源有限下做資安的議題。</p> <h3><strong>外洩資料若被重複利用兜售，或許我們該想想怎麼做</strong></h3> <p>無論如何，個資外洩是不可逆的，畢竟個資無法輕易修改，在這樣的環境之下，也讓我們思考，隨著資料不斷被彙整拼湊，這樣的事件是否也會沒完沒了的情形。</p> <p>這也讓我們想到近期國際資安事件中，有攻擊者採取MFA疲勞轟炸攻擊的手段，不斷觸發非採實體安全金鑰的MFA核准通知去嘗試非法登入，導致企業員工應接不暇誤按中招，也有類似的意味。</p> <p>資料外洩是否也會有如此情形，一再有外洩資料被重複、調整形式或整併而兜售，是否也可能造就一種疲勞轟炸地攻擊方式，讓政府或企業單位不得不每次應對，造成人力與時間成本的耗損。</p> <p>或許，這就要由一開始發現兜售情形的資安業者或資安研究人員就能識別兜售者的可信度。</p> <p>另外這裡再舉一個例子，雖然不是屬於個資外洩的事件，但也有同樣外洩資料被再三利用的議題，或許也讓我們反思。這裡要談的是一起勒索軟體攻擊事件，眾所周知，近年來勒索軟體攻擊都演進為多重勒索手段，也就是不僅藉由惡意加密檔案勒索贖金，還會藉由外洩機敏資料來要脅贖金。</p> <p>值得關注的是，今年7月開始，我們看到<a href="https://www.ithome.com.tw/news/152041">有資安業者發現，勒索軟體駭客組織開始打造出給受害者查詢資料庫，接下來，更多駭客組織則是想到建立給犯罪生態圈的外洩資料庫</a>，目的是讓犯罪社群更能有機會充分運用這些竊得的資料。</p> <p>特別的是，國內似乎也有企業遭遇這樣的問題，例如，在今年10月初，勒索軟體駭客組織RansomHouse聲稱攻擊國內記憶體模組大廠威剛，聲稱竊取1TB的資料，但威剛調查後表示，經檔案比對，是去年勒索軟體駭客Ragnar Locker攻擊事故竊取的資料。而這樣的狀況，也令業者的應對成為挑戰。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/153544"><span style="color: rgb(178, 34, 34);"><strong style="font-size: 22px;">【資安週報】2022年10月3日到10月7日</strong></span></a></h3> <p>在10月初的資安新聞中，微軟Exchange伺服器的零時差漏洞ProxyNotShell（CVE-2022-41040、CVE-2022-41082）最受關注，在資安業者的事件調查中才使此漏洞曝光，儘管微軟公布緩解措施，又傳出緩解能被繞過的消息，以及一再釋出新緩解對應的消息，讓企業人員可說是疲於奔命。</p> <p>在攻擊態勢上，利用已知漏洞的問題不斷，較特別的是，關於利用驅動程式漏洞的攻擊有兩起，一是北韓駭客組織Lazarus成功利用了CVE-2021-21551漏洞，一是在勒索軟體BlackByte亦利用了自帶驅動程式攻擊手法（Bring Your Own Vulnerable Driver，BYOVD），在電腦植入具有漏洞的驅動程式用以提升權限。此外，本周美國公布了一份中國駭客最常利用漏洞的清單，共有20個，Log4Shell居於第一，Pulse Secure VPN漏洞CVE-2019-11510居於第二，當中大部分為2021年揭露的漏洞。</p> <p>在攻擊手法方面，受關注的包括：駭客組織Witchetty將惡意軟體埋藏在Windows圖案的BMP圖片檔案格式，以及有駭客打造針對微軟SQL Server的後門程式Maggie，還有，國家級駭客利用惡意軟體CovalentStealer及滲透測試工具Impacket鎖定國防單位入侵，這些攻擊行動相當值得留意。</p> <p>另外，還有一起美國FTC定罪判刑案件受關注，原因是2016年遭駭當時的Uber資安長蓄意隱瞞公司與FTC，這導致了駭客免於落網，之後駭客又得以成功入侵另家公司，美國司法部此舉，強調保護使用者，以及資安事件通報主管機關重要性。</p> <h3><a href="https://www.ithome.com.tw/news/153646"><span style="color: rgb(178, 34, 34);"><strong style="font-size: 22px;">【資安週報】2022年10月11日到10月14日</strong></span></a></h3> <p>本週的資安新聞中，又傳出針對微軟Exchange伺服器、Zimbra零時差漏洞入侵的消息，突顯企業電子郵件系統持續成為駭客組織的鎖定目標。此外，Fortinet的CVE-2022-40684漏洞修補通知亦成焦點，該公司相隔三日才公布於官方資安通告網站，並說明已有相關攻擊行動。</p> <p>在威脅趨勢上，滲透測試工具Brute Ratel C4出現破解版並在網路犯罪圈散布，最受注目，還有簡體中文管理介面Alchimist的C2框架與Insekt惡意軟體被揭露，以及名為Caffeine的網釣攻擊套件租賃服務（PhaaS）興起的消息。</p> <p>在國際的資安事件中，美國10多座機場網站遭DDoS攻擊，Toyota揭露一起關於委外管理與稽核不足的情形，以及三家澳洲公司近期接連揭露發生資安事件的消息，引發不小的關注。</p> <p>至於資安產業防護動向上，Google將推出的FIDO Passkey受到極大關注，以及半導體產業中的SEMI E187的設備資安標準的Reference Practice指引本週釋出。</p> <h3><a href="https://www.ithome.com.tw/news/153772"><span style="color: rgb(178, 34, 34);"><strong style="font-size: 22px;">【資安週報】2022年10月17日到10月21日</strong></span></a></h3> <p>本週資安新聞中，以Apache軟體基金會（ASF）呼籲用戶盡速更新，以修補CVE-2022-42889漏洞的消息最受注目，因為有研究人員指出這樣的漏洞，有可能會引發類似Log4Shell的效應，因此又被稱之為Text4Shell。</p> <p>在威脅趨勢上，勒索軟體危害是最大焦點，本周新聞中就有多項消息，例如，烏克蘭、波蘭物流業者，澳洲保險業，印度藥廠，以及日本兩家科技業者都是新的受害者，甚至德國報社集團旗下多間媒體的紙本電子作業都停擺；另外，在勒索軟體攻擊態勢上，有研究人員揭露，近期勒索軟體Venus鎖定遠端桌面連線服務的行動，以及勒索軟體Magniber利用夾帶惡意JavaScript指令檔方式以及迂迴手段發動攻擊的行動。</p> <p>不過也有好消息，勒索軟體DeadBolt被國際執法單位與資安業者智取，成功拿回150個解密金鑰，9成NAS設備受害者有機會解密。</p> <p>還有值得關注的一些威脅，像是印度Tata Power發電廠遭網路攻擊，關鍵基礎設施安全防護受注目；哥倫比亞警方遭駭導致跨國合作緝毒曝光，甚至危及澳洲臥底警探身分；通常為國家級駭客使用的UEFI惡意程式，近期有駭客正在兜售一款BlackLotus；竊密軟體Ducktail透過記憶體內執行PHP指令碼，竊取瀏覽器的帳密資料與受害者臉書帳號。</p> <p>國內方面，行政院修正禁用中國資通產品條例受關注，擴大禁用範圍並要求例外使用需經2位資安長同意。</p> <h3><a href="https://www.ithome.com.tw/news/153907"><span style="color: rgb(178, 34, 34);"><strong style="font-size: 22px;">【資安週報】2022年10月24日到10月28日</strong></span></a></h3> <p>本周國內傳出戶政資料被放在駭客論壇Breach Forums（breached.to）上兜售的消息，在<a href="https://www.moi.gov.tw/News_Content.aspx?n=8&sms=9224&s=267333">10月29日數位發展部表示</a>，經初步比對該論壇提供的個資資料，該資料格式與戶役政資料差異甚大，相關資料並非從內政部戶政司全球資訊網(<a href="http://www.ris.gov.tw">www.ris.gov.tw</a>)洩漏，目前檢調單位已進行調查，儘管強調戶役政資訊系統採內外網實體隔離架構，資料並未流出，但實際情形，政府必須明查。目前<a href="https://www.rfi.fr/tw/%E6%B8%AF%E6%BE%B3%E5%8F%B0/20221030-%E9%BB%91%E5%AE%A2%E7%AB%8A%E5%8F%96%E5%8F%B0%E7%81%A3%E5%85%A7%E6%94%BF%E9%83%A8%E6%88%B6%E7%B1%8D%E8%B3%87%E6%96%99%E8%B2%A9%E8%B3%A3%E8%AA%BF%E6%9F%A5%E5%B1%80%E5%B1%95%E9%96%8B%E8%BF%BD%E6%9F%A5">已有消息指出</a>，這批資料可能是2018年內政部應行政院主計總處要求數據介接時，由其他單位流出去，但還未獲得證實。</p> <p>在漏洞利用新態勢方面，在<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog">20日到25日之間有多項已知漏洞</a>，開始被駭客組織用於攻擊行動，必須盡速修補的消息，包括2020年技嘉、思科AnyConnect Secure的各兩個漏洞，2021年Linux Kernel的一項漏洞，以及今年Zimbra ZCS與蘋果iOS、iPadOS修補的一項漏洞。</p> <p>其他已出現攻擊行動的消息，包括近期的Apache Commons Text重大漏洞Text4Shell，以及幾個月前的微軟MoTW漏洞。另外，OpenSSL預告在11月1日修補重大漏洞，成為下個月首要關注焦點。</p> <p>在威脅態勢上，近來有網路攻擊行動是鎖定Docker與K8s，還有殭屍網路Emotet最新攻擊出現，以及GitHub上的PoC被揭露，平均十個就有一個是惡意軟體。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/153504">2022年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152874">2022年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152206">2022年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/151838">2022年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/151486">2022年5月資安月報</a></h3> <h3> </h3> <p> </p> <p> </p> <p> </p> </div></div></div>
2022/11/4 14:27作者羅正漢https://www.ithome.com.tw/news/154033
跨平臺網頁開發框架ASP.NET Core 7效能大提升，正式支援HTTP/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟跨平臺網頁開發框架ASP.NET Core即將迎來第7個主要版本，由於.NET 7對效能的諸多改善，<a href="https://devblogs.microsoft.com/dotnet/performance-improvements-in-aspnet-core-7/">ASP.NET Core 7</a>也同時受益，官方解釋，由於.NET 7在效能部分的提升，許多方面直接或間接地強化ASP.NET Core效能。</p> <p>ASP.NET Core 7從.NET 7中獲益，使Ampere機器可更好地擴展，並且獲得巨大的效能提升。Ampere機器是以Arm處理器為基礎，擁有大量核心，因為其低功耗和平價的優點，被用於許多雲端伺服器，但這些機器過去並無法很好的擴展，而.NET 7對全域執行緒池佇列，和Socket連線使用的記憶體進行分區，改善了這個缺點。</p> <p>微軟解釋，分區能夠使核心在自己的佇列上運作，減少競爭並提高大型核心機器的可擴展性。微軟在80核心的Ampere機器上實驗，明文平臺基準效能提高了514％，JSON平臺基準效能也提高了311％。</p> <p>但是為了提高效能，ASP.NET Core 7也做出一些妥協，因為現在有多個佇列被讀取，因此不再保證工作項目能以嚴格的FIFO排序進到全域執行緒佇列中，另外，當機器處在低負載狀態，要進行工作竊取（Work stealing）時，因為現在需要搜尋更多的佇列，因此可能使CPU使用率略為增加。</p> <p>由於拋出異常可能成本高昂，而ASP.NET Core 7讓開發者可以掌握網頁伺服器Kestrel的Socket傳輸區域，因此開發者可進一步避免程式在連接關閉期間，在特定層拋出異常，微軟提到，在他們的測試中，不拋出異常能夠降低CPU使用率，特別是在Linux上，可以降低10％ CPU使用率。</p> <p>微軟在ASP.NET Core 6中，更新許多Kestrel中的非同步讀取方法，減少從請求中讀取所使用的記憶體，微軟在ASP.NET Core 7擴展了這項改進，最明顯的是在WebSockets的使用案例上，過去ASP.NET Core 6進行1,000次讀取，系統需要分配3,000個狀態機，也就是說，每次讀取系統就需要分配3個獨立的狀態機，而ASP.NET Core 7消除了所有WebSocket連接讀取的狀態機分配。</p> <p>ASP.NET Core 6中Kestrel的HTTP/2處理，在特定情況存在較高的鎖爭用（Lock Contention），而ASP.NET Core 7消除了大部分鎖爭用的機會。微軟解釋，HTTP/2在單一連接上可以有多個串流，當一個串流寫入連接時，便需要一個鎖來阻塞其他並行的串流，他們測試了幾種方法，最後藉由在一個頻道中佇列所有寫入，並讓單一取用者任務程序來處理佇列，執行所有的寫入工作，進而消除大部分爭用，使伺服器不再被鎖爭用阻塞。</p> <p>微軟在ASP.NET Core 6添加對HTTP/3的實驗性支援，在7.0中，HTTP/3已經不是實驗性功能，但仍是選擇啟用的項目。除了改善HTTP/3的可靠性、正確性和最終API定案之外，HTTP/3也有大幅度的效能提升，微軟改進客戶端和伺服器端用來壓縮標頭的QPack，QPack現在能以更有效率的方法壓縮傳送、接收標頭。</p> </div></div></div>
2022/11/2 21:02作者李建興https://www.ithome.com.tw/news/153970
【資安日報】2022年11月2日，Dropbox證實130個GitHub儲存庫遭竊、Azure Cosmos資料庫被發…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定開發者盜取GitHub帳號的手法，9月下旬傳出有人假借CI/CD平臺CircleCI的名義發動網釣攻擊，如今有大型網路公司受害──雲端檔案存取服務業者Dropbox遭到相關攻擊，駭客成功竊得130個GitHub儲存庫資料。</p> <p>資安業者揭露Azure Cosmos資料庫的身分驗證漏洞CosMiss，一旦遭到利用，攻擊者就有可能用於執行遠端命令（RCE），微軟獲報後已著手修補。</p> <p>2014年因HeartBleed漏洞而嚴重影響IT業界的開源程式庫OpenSSL，於10月底突然預告要修補一項重大漏洞，但在新版本推出後僅修補了高風險漏洞。開發團隊表示是因為原本認定的重大漏洞實際影響有限，而將其改列高風險等級。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://dropbox.tech/security/a-recent-phishing-campaign-targeting-dropbox"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端檔案存取服務業者Dropbox傳出130個GitHub儲存庫外洩事故，起因是員工遭到網釣攻擊</span></strong></a></h3> <p>駭客鎖定企業軟體開發部門下手的情況，<a href="https://www.ithome.com.tw/news/153254#circleci">近期有人假冒持續整合與交付平臺CircleCI的名義發動攻擊，竊取GitHub帳密資料</a>，這樣的攻擊行動如今傳出有大型線上服務業者受害。</p> <p>雲端檔案存取服務業者Dropbox於11月1日發出公告，表示他們遭到網釣攻擊，導致130個GitHub儲存庫被入侵。這些駭客假冒CircleCI向該公司員工發動攻擊，約於10月初就有員工收到相關郵件，一旦員工依照指示，就會被導向冒牌CircleCI登入網頁。攻擊者藉此取得部分員工的帳密，進而存取Dropbox其中一個GitHub據點，複製130個儲存庫，其內容包含該公司修改的第三方程式庫、資安團隊工具，以及數千名員工、客戶、供應商的姓名與電子郵件信箱，但不含Dropbox用戶端程式或是基礎設施的程式碼。</p> <p>GitHub於10月13日察覺異狀，並於隔日通報Dropbox。值得留意的是，Dropbox已導入專屬的OTP密碼產生器裝置，仍無法倖免於難，該公司擬規畫WebAuthn機制來防堵相關攻擊。</p> <h3><a href="https://securelist.com/apt10-tracking-down-lodeinfo-2022-part-ii/107745/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT10鎖定日本組織，以提供防毒軟體名義散布惡意軟體Lodeinfo</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tracking_down_the_LODEINFO_2022_part-I_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tracking_down_the_LODEINFO_2022_part-I_02.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露中國駭客APT10（亦稱Cicada）鎖定日本組織的攻擊行動，這些駭客自今年3月，利用魚叉式網路釣魚郵件發動攻擊，郵件挾帶了RAR自解壓縮檔案，企圖濫用防毒軟體K7Security Suite的元件，來載入惡意DLL程式庫K7SysMn1.dll，研究人員指出，由於此惡意DLL檔案由防毒軟體主程式側載（Side-loading），而使得電腦裡的防毒軟體可能不會將其視為有害，該DLL檔案執行後將會藉由XOR金鑰，解碼名為Lodeinfo的Shell Code。</p> <p>此外，研究人員於今年6月發現另一種攻擊手法，駭客使用惡意Word檔案並引誘受害者啟用巨集，然後透過名為Downiissa的Shell Code部署Lodeinfo。</p> <h3><a href="https://www.chinatimes.com/realtimenews/20221101002651-260407"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">陸軍將考題放上網路，疑將自主研發武器「蜂眼雷達」參數外洩</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ljdzhx1T5D20221102-1644-24607.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ljdzhx1T5D20221102-1644-24607.jpg" style="width: 300px; float: right;" /></a>國防單位為招考相關人員而在網路上提供題庫，竟不慎將自主研發武器的細節納入，而使得這類機密隨之曝險。<a href="https://ivod.ly.gov.tw/Play/Clip/1M/141596">民眾黨立法委員邱臣遠於11月1日質詢國防部長邱國正時指出</a>，他們發現國防部陸軍砲兵指揮部於10月27日，在網站上公布的111年、110年雇員教考測驗試題當中，提及我國自主研發的防空偵查巡弋武器「蜂眼雷達」多項機密參數，包含了雷達角度、搜索範圍、距離參數等性能資料，一旦遭中國利用，恐導致此款武器遭到反制。</p> <p>對此，邱國正坦承確有此事，蜂眼雷達的參數公開，是因為招考的相關人員需具備相關學能，陸軍已下架相關資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://orca.security/resources/blog/cosmiss-vulnerability-azure-cosmos-db/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Azure Cosmos資料庫被發現存在身分驗證漏洞，可被用於發動RCE攻擊</span></strong></a></h3> <p>資安業者Orca Security揭露Azure Cosmos資料庫的漏洞CosMiss，該漏洞涉及該服務所採用的Jupyter Notebook元件，只要攻擊者得知Notebook Workspace的UUID，就有機會取得Notebook的完整權限，進而發動遠端命令執行（RCE）攻擊。</p> <p>研究人員於10月3日通報並得到證實，微軟於10月5日修補完成。針對此漏洞的影響範圍，<a href="https://msrc-blog.microsoft.com/2022/11/01/microsoft-mitigates-vulnerability-in-jupyter-notebooks-for-azure-cosmos-db/">微軟表示，僅有啟用Jupyter Notebook元件的用戶才會受到影響</a>，他們估計99.8%的Azure Cosmos客戶沒有遭到波及，該漏洞並未出現遭到利用的跡象。</p> <h3><a href="https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源加密程式庫OpenSSL釋出3.0.7版，修補2個高風險漏洞</span></strong></a></h3> <p>開源加密程式庫OpenSSL的<a href="https://www.ithome.com.tw/news/153854#openssl-307">開發團隊日前預告，將於11月1日發布3.0.7版並修補重大漏洞</a>。該版本OpenSSL如期推出，但該團隊修補的漏洞當中，並未包含先前預告提及的重大漏洞，僅有高風險漏洞CVE-2022-3602、CVE-2022-3786。</p> <p>對此，OpenSSL提出說明──CVE-2022-3602就是原本他們認為的重大等級漏洞。此為任意4位元組的記憶體堆疊溢位漏洞，有可能被用於RCE攻擊，但在許多組織投入相關測試後發現，部分Linux作業系統上不會觸發漏洞，使得該團隊決定調降CVE-2022-3602的風險等級。</p> <h3><a href="https://ssd-disclosure.com/ssd-advisory-galaxy-store-applications-installation-launching-without-user-interaction/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星應用程式市集漏洞恐被用於安裝惡意程式</span></strong></a></h3> <p>手機應用程式市集App一旦出現漏洞，有可能成為駭客植入惡意程式的管道！漏洞懸賞社群SSD Secure Disclosure指出，三星應用市集Galaxy Store存在漏洞，可被攻擊者用來在手機上部署惡意程式，進而執行遠端命令發動攻擊，該漏洞存在於4.5.32.4版App。</p> <p>此漏洞與Galaxy Store處理深層連結（Deeplink）有關，該應用程式並未在使用者存取深層連結網址的時候執行相關檢查，導致攻擊者可在Galaxy Store的Webview元件上執行JavaScript程式碼，進行跨網站指令碼（XSS）攻擊。三星獲報後已發布修補程式，並推送至所有該廠牌的裝置。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/nsa-shares-supply-chain-security-tips-for-software-suppliers/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國為軟體供應商提出供應鏈安全指南</span></strong></a></h3> <p>美國國安局（NSA）、網路安全及基礎設施安全局（CISA）、國家情報總監辦公室（ODNI）於10月31日聯手，發布保護軟體供應鏈的實作指南，內容總共有40頁，提及檢查軟體的安全性、保護程式碼、驗證軟體的完整性、如何開發安全的軟體，以及如何辨識、分析與緩解安全漏洞的說明。此文件奠基於NSA及CISA主導的長期安全框架（Enduring Security Framework，ESF），此框架除針對供應商，亦打算對開發者及客戶提供相關建議。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://techcommunity.microsoft.com/t5/microsoft-entra-azure-ad-blog/advanced-microsoft-authenticator-security-features-are-now/ba-p/2365673" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟為驗證碼產生器加入防範多因素驗證疲勞的功能</span></strong></a></h3> <p>雙因素驗證（MFA）雖強化了密碼安全，近年來卻衍生出MFA疲勞攻擊（MFA fatigue）的情況。對此，有驗證碼產生器開發商嘗試提出對策。微軟於10月25日宣布，為防堵上述駭客疲勞轟炸的情況，他們計畫在驗證碼產生器Microsoft Authenticator上，加入號碼比對（number matching）的新功能，一旦啟用，日後使用者在收到核淮請求通知時，將必須輸入登入網頁上顯示的數字，這麼做的目的是減少使用者誤觸許可的按鈕。這項號碼比對機制目前已可用在政府雲Azure Government的登入，並預計於明年2月28日成為預設啟用的功能。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/google-ad-for-gimporg-served-info-stealing-malware-via-lookalike-site/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體假借開源圖片編輯工具GIMP名義，透過Google廣告散布</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.malwarebytes.com/blog/news/2022/11/malware-on-the-google-play-store-leads-to-harmful-phishing-sites"><span style="color: rgb(0, 0, 0);">惡意安卓App上架Google Play市集，已被下載逾百萬次</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153961">【2022年11月1日】資料破壞軟體Azov Ransomware抗議西方國家對抗俄羅斯不力、澳洲國防部傳出資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153924">【2022年10月31日】德國銅供應商Aurubis遭到網路攻擊、GitHub出現可利用重新命名來挾持儲存庫的漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153894">【2022年10月28日】親中駭客Dragonbridge散布假訊息操縱美國政局、資料庫程式庫SQLite修補22年的高風險漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/2 17:40作者周峻佑https://www.ithome.com.tw/news/153972
OpenSSL釋出3.0.7，修補兩個高度風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mta.openssl.org/pipermail/openssl-announce/2022-November/000241.html" target="_blank">OpenSSL專案於本周二（11/1）釋出了OpenSSL 3.0.7</a>，修補CVE-2022-3602與CVE-2022-3786兩個安全漏洞，原本CVE-2022-3602被列為重大（Critical）風險漏洞，但在本周正式修補時已被降級成高度（High）風險漏洞。</p> <p class="rtecenter"><a href="https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1102-OpenSSL-advisory-CVE-2022-3786%20and%20CVE-2022-3602.png" style="width: 500px;" /></a></p> <p>OpenSSL為一開源程式碼庫，主要提供網路上的安全通訊，當使用者瀏覽網路時，所瀏覽的網站或服務底層都使用了OpenSSL，可見其影響性。</p> <p><a href="https://blog.checkpoint.com/2022/11/01/openssl-vulnerability-cve-2022-3602-remote-code-execution-and-cve-2022-3786-denial-of-service-check-point-research-update/" target="_blank">根據資安業者Check Point的說明</a>，CVE-2022-3602漏洞是在OpenSSL檢查X.509憑證時，因對Punycode的不當處理而被觸發，可能造成遠端程式攻擊。</p> <p><a href="https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/" target="_blank">OpenSSL專案指出</a>，有鑑於CVE-2022-3602是一個任意4位元組的堆疊溢位漏洞，這類的漏洞很可能導致遠端程式攻擊，<a href="https://www.ithome.com.tw/news/153883" target="_blank">因而一開始將它列為重大漏洞</a>，但這一周以來，許多組織相繼針對該漏洞展開測試，顯示出某些Linux版本的堆疊布局，使得4位元組覆蓋一個未被使用的相鄰緩衝區，因而不會當掉或形成遠端程式攻擊，其次則是有不少現代平臺都導入了堆疊溢位保護機制，而能降低遠端程式攻擊的風險。</p> <p>總而言之，OpenSSL專案判斷重大漏洞的依據，是遠端程式攻擊是否會在常見狀況下發現，上述分析顯示並非如此，因而調降了CVE-2022-3602漏洞的嚴重性。</p> <p>另一個安全漏洞CVE-2022-3786則屬於X.509電子郵件位址可變長度緩衝區溢位漏洞，可造成服務阻斷，但不會引發遠端程式攻擊，亦被列為高度風險漏洞。</p> <p>這兩個漏洞主要影響OpenSSL 3.0.0~3.0.6，並未波及先前的版本。OpenSSL專案建議，任何驗證來自不可靠來源之X.509憑證的OpenSSL 3.0應用，都應被視為受到相關漏洞的影響，包含那些使用TLS客戶端身分認證的TLS客戶端與伺服器，若無法立即更新系統，可考慮暫時關閉TLS伺服器上的客戶端認證。</p> </div></div></div>
2022/11/2 16:41作者陳曉莉https://www.ithome.com.tw/news/153969
【資安週報】2022年10月24日到10月28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周國內傳出戶政資料被放在駭客論壇Breach Forums（breached.to）上兜售的消息，在<a href="https://www.moi.gov.tw/News_Content.aspx?n=8&sms=9224&s=267333">10月30日數位發展部表示</a>，經初步比對該論壇提供的個資資料，該資料格式與戶役政資料差異甚大，相關資料並非從內政部戶政司全球資訊網(<a href="http://www.ris.gov.tw">www.ris.gov.tw</a>)洩漏，目前檢調單位已進行調查，儘管強調戶役政資訊系統採內外網實體隔離架構，資料並未流出，但實際情形，政府必須明查。目前<a href="https://www.rfi.fr/tw/%E6%B8%AF%E6%BE%B3%E5%8F%B0/20221030-%E9%BB%91%E5%AE%A2%E7%AB%8A%E5%8F%96%E5%8F%B0%E7%81%A3%E5%85%A7%E6%94%BF%E9%83%A8%E6%88%B6%E7%B1%8D%E8%B3%87%E6%96%99%E8%B2%A9%E8%B3%A3%E8%AA%BF%E6%9F%A5%E5%B1%80%E5%B1%95%E9%96%8B%E8%BF%BD%E6%9F%A5">已有消息指出</a>，這批資料可能是2018年內政部應行政院主計總處要求數據介接時，由其他單位流出去，但還未獲得證實。</p> <p>在漏洞修補方面，在<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog">20日到25日之間有多項已知漏洞</a>，開始被駭客組織用於攻擊行動，必續盡速修補的消息，包括2020年技嘉、思科AnyConnect Secure的各兩個漏洞，2021年Linux Kernel的一項漏洞，以及今年Zimbra ZCS與蘋果iOS、iPadOS修補的一項漏洞。</p> <p>其他已出現攻擊行動的消息，包括近期的Apache Commons Text重大漏洞Text4Shell，以及幾個月前的微軟MoTW漏洞。另外，OpenSSL預告在11月1日修補重大漏洞，成為下個月首要關注焦點。</p> <p>在威脅態勢上，近來有網路攻擊行動是鎖定Docker與K8s，還有殭屍網路Emotet最新攻擊出現，以及GitHub上的PoC被揭露，平均十個就有一個是惡意軟體。</p> <p> </p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153798"><span style="color: rgb(0, 0, 0);">【10月24日】Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資</span></a></strong></h3> <p>Apache於10月13日，針對9月底修補的Commons Text重大漏洞Text4Shell提出警告，並引起許多研究人員的高度關注，原因是這項漏洞很可能會帶來類似Log4Shell的災難，事隔不到一個星期，數家資安業者已觀察到積極探測漏洞的攻擊行動。</p> <p>VMware於今年4月修補身分管理系統Workspace ONE Access的重大漏洞，最近2個多月以來，已經用於攻擊行動，像是部署勒索軟體、挖礦程式、殭屍網路病毒。</p> <p>網路釣魚攻擊日益囂張，現在有人把壞腦筋動到沙烏地阿拉伯民眾！根據資安廠商的調查，出現利用假造的政府入口網站進行網釣攻擊的活動，對方不只竊取受害者的個資，也將洗劫他們的銀行帳戶。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153807"><span style="color: rgb(0, 0, 0);">【10月25日】巴基斯坦組織遭駭客SideWinder發動後門程式攻擊、蘋果修補已被用於攻擊的iOS零時差漏洞</span></a></strong></h3> <p>巴基斯坦組織遭到駭客SideWinder鎖定，並透過後門程式來發動攻擊，不過，駭客並非直接攻擊特定的組織，而是入侵當地政府機關的網站，來做為散布後門程式的管道。</p> <p>攻擊者假借提供漏洞的概念性驗證程式為由，將惡意程式上傳至程式碼儲存庫GitHub散布的情況，不時有事故傳出，但這樣的情況究竟有多嚴重？根據荷蘭萊登大學的分析，他們找到了近5千個遭到濫用的儲存庫。</p> <p>蘋果發布iOS 16.1與iPadOS 16，但值得留意的是，當中修補了已出現攻擊行動的漏洞CVE-2022-42827，使用者應儘速套用更新程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153843"><span style="color: rgb(0, 0, 0);">【10月26日】印度大型電力公司Tata Power遭勒索軟體Hive攻擊、VMware修補Cloud Foundation重大漏洞</span></a></strong></h3> <p>印度大型電力公司Tata Power在兩星期前傳出遭到網路攻擊，但決口不提受到影響的範圍，僅表示他們的基礎設施皆正常運作。現在有駭客組織宣稱是他們所為，並公布螢幕截圖。</p> <p>數年前發現並得到修補的漏洞，近期再度成為駭客用於攻擊行動的目標！美國CISA針對技嘉驅動程式在2018年被發現的4個漏洞，以及思科於2020年修補的VPN連線程式AnyConnect漏洞提出警告，並要求公部門限期修補。</p> <p>VMware最近修補Cloud Foundation重大漏洞CVE-2021-39144，值得留意的是，有鑑於此漏洞極為嚴重，該公司也破例為已終止支援的NSX-V發布更新。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153854"><span style="color: rgb(0, 0, 0);">【10月27日】Kiss-a-Dog攻擊行動鎖定存在漏洞的Docker與K8s而來、OpenSSL預告修補重大漏洞</span></a></strong></h3> <p>專門鎖定Docker、K8s等系統為目標的挖礦攻擊行動今年已有數起，資安業者CrowdStrike近期透過陷阱誘捕系統發現名為Kiss-a-Dog攻擊行動，但與過往類似的事故有所不同，駭客隱匿了金流，使得研究人員與執法單位要追蹤攻擊來源更加困難。</p> <p>開源加密程式庫OpenSSL的開發團隊宣布即將推出新版軟體，目的是要修補安全性臭蟲，有資安新聞網站指出，這很可能是為了修補一項重大漏洞。</p> <p>臺灣資安研究員Orange Tsai去年揭露Exchange重大漏洞ProxyRelay，並於今年10月19日公布細節。攻擊者能利用該漏洞，將特定使用者身分轉繼到Exchange的前端或後端，甚至是其他Exchange服務上。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153894"><span style="color: rgb(0, 0, 0);">【10月28日】親中駭客Dragonbridge散布假訊息操縱美國政局、資料庫程式庫SQLite修補22年的高風險漏洞</span></a></strong></h3> <p>又是中國駭客打算散布不實訊息的情況！駭客組織Dragonbridge藉由設置假社群網站帳號、竄改新聞的方式，針對美國散布了一系列假訊息。其中，最離譜的應該就屬中國駭客組織APT41受美國政府指使，攻擊其他國家政府組織的假新聞。</p> <p>臺灣民眾個資再度傳出流入駭客論壇轉賣的情況！有新聞網站指出，駭客宣稱握有近乎全臺灣民眾的戶藉資料，且內容相當詳細、資料也相當新。但對此報導，內政部尚未提出進一步說明。</p> <p>過往可能因為運算能力受限而不被視為漏洞的問題，現在被發現可能會造成嚴重影響！有資安業者揭露SQLite的漏洞CVE-2022-35737，並指出攻擊者只要能置入極大量的字串，就有可能癱瘓採用該程式庫的應用程式。</p> </div></div></div>
2022/10/31 09:35作者羅正漢https://www.ithome.com.tw/news/153907
不惜重構徹底解決技術債，邁向新戰略街口第3度優化開發
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年，街口電子支付用戶數來到580萬人，串接銀行26家，支付店家超過20萬個，每月代收付金額超過30億元，是臺灣電子支付的龍頭。今年上任的街口董事長梅驊提出了全新戰略目標，要從積極擴大用戶規模，轉向提供多元化服務來實現會員價值變現。不只業務部門開始推出更多種類的新服務，來增加會員黏著度，街口技術團隊也從串接銀行和通路系統的擴張策略，轉向開始開發大量的異質服務，隨時有超過10項專案同時進行。</p> <p>但是，這個新戰略對街口技術團隊而言，不只讓系統變得更複雜，也增加了開發、部署和維運的難度。儘管街口技術團隊歷經過兩次開發效率改造，從單體架構部分轉換到微服務架構，也更明確定義團隊業務領域分工，不過，技術團隊第3度面臨到開發效率的瓶頸。帶領團隊挑戰此瓶頸的人是今年8月新上任的街口電子支付技術長張佑傑。</p> <p>張佑傑曾經任職於歐洲電商巨頭Zalando、社群媒體龍頭Meta，專長於高併發系統設計與開發，負責過Zalando年度網購周等超大流量活動的平臺穩定性。他在今年1月加入街口，擔任街口支付核心系統團隊的負責人。帶領團隊的8個月期間，與街口第一線工程師及PM有大量密切合作，他發現，街口專案開發流程明確定義了，從發想到測試等各階段的流程、各部門角色及職務，且非常注重跨部門溝通，因此，技術部門產出通常可以符合業務部門需求。不過，這個流程還沒有涵蓋到開發完成後的部署及維運流程。</p> <p>隨著街口開發的服務增加，不同服務間的耦合程度和依賴性也越來越多，連帶導致街口在部署和維運兩階段的作業變得更加複雜。張佑傑指出，沒有明確定義服務部署方式，以及事後維運的作法，拖慢了技術團隊效率，尤其，維運作業是最大的負擔。</p> <p><span style="font-size:28px;"><strong>解決大量技術債、優化維運人力配置，建立維運正向循環</strong></span></p> <p>不過，導致維運工作繁重的原因不只如此，張佑傑開始帶領支付核心團隊時，就觀察到一個未來勢必要解決的隱憂：老舊系統累積的技術債，不斷帶來更多維運需求。</p> <p>「若不盡快處理，技術債會持續累積，最後造成不可逆傷害。」因此，他上任CTO後的第一件事，就是要求技術團隊盤點手上的維運工作跟所耗時間，要找出彼此重複的項目，用系統性思考思維，靠系統和制度來解決問題。</p> <p>一盤點才發現，技術團隊和PM竟然被迫一天要花20%以上的時間來處理維運任務，才影響了開發效率，還嚴重打擊開發團隊的士氣，甚至有工程師因為維運工作過重而辭職。</p> <p>為了簡化日益繁複的維運階段工作，張佑傑決定採取3個並行策略，一方面重構服務，也統一技術團隊的維運職責及項目，並賦予PM排除簡易狀況的能力。</p> <p>張佑傑說，重構系統不一定代表原先系統架構有所不足，而是設計之初，無法完全考慮到後來新加入的服務。「隨著公司業務高速發展，每隔2年進行現有系統重構應是常態，越拖延反而越增加後續維運難度。」</p> <p>他以帳號連結（Account Link，AC）扣款服務來說明，如何用重構來解決技術債的維運負擔。這項AC服務負責街口帳號與銀行帳號之間提領、儲值以及支付等金流功能。由於街口和多達26家銀行系統串接，AC服務受到所有銀行系統的穩定度影響。經統計，高達23%時間，AC服務會面臨各種異常狀態。</p> <p>一但AC服務發生嚴重異常，PM與技術部門需要立即向銀行端及自家監控系統確認，找出異常來源，若確定問題出自銀行方，則要在街口App端關掉該銀行相關功能。同時，技術部門還要盡快撈出所有異常交易的請求，交由PM和銀行逐一審查。這個過程每慢了一分鐘，便會再多出幾筆異常交易請求，不只增加更多用戶客訴及對帳時間，還會降低用戶對街口的信任感。</p> <p>街口重新設計了AC服務的運作方式和架構，不再大量依靠人工事後處理，而是改用系統簡化甚至是優化作業。他們設計了一套銀行穩定度監控系統，自動判斷各家銀行系統是否異常。一旦發現有問題，便會啟動前後端雙重防護機制，在前端介面直接關閉異常銀行的相關選項，讓用戶不至於經過一番操作後才發現系統異常；後端系統則開始阻擋任何與該銀行相關請求，以避免街口和銀行兩方系統出現帳目不統一的問題。如此一來，既能減少大量人工流程，也不用分秒必爭的和銀行確認系統情況及異常請求。AC服務重構後，異常狀況導致的後續維運量大幅減少了50%。</p> <p>張佑傑來到街口時，類似的技術債堆積如山，不過，到他接任技術長，推動全技術團隊的系統重構後，技術債已經幾乎都解決了。</p> <p>他說，重構老舊系統不僅是為了解決技術債，節省的人力，也讓技術團隊有時間進行預防性的系統重構，更新開發框架及升級工具軟體，形成正向循環。他解釋，更新到最新版框架，能使用到最新技術也能修補舊版資安漏洞，更能避免老舊版本終止支援後，開發資源越來越少的問題。還有一點，他認為，日常頻繁更新版本，未來就不用冒著橫跨數個版本大幅更新的風險。</p> <p>甚至，重構不只是考量技術部門的維運需求，張佑傑也將業務痛點和目標納入重構考量，讓業務團隊認同系統重構的必要性和具體成效，來積極爭取業務團隊對重構的支持。張佑傑說，技術團隊主要工作是支援業務團隊需求，業務團隊的配合，對系統重構作業的幫助很大。「業務團隊會願意放緩其他業務開發時程，排出時間讓技術團隊能專注於系統重構。」</p> <p>在這一波解決技術債的系統重構過程中，不僅排除了大量維運需求，街口也趁機梳理了維運項目和系統架構，更以此為基礎，設計出2套制度，來優化日常維運工作流程。</p> <p>第1套制度是「值日生」，受益於系統重構前的維運項目統計。盤點出常見維運項目和處理流程後，街口技術團隊可以將這些項目交由每日輪值維運的負責人集中處理。如此一來，其他工程師在非輪值日時，就不會被突發維運的工作打斷，進而大幅提升工作效率。</p> <p>另一套新制度則是賦予PM團隊初步排除系統問題的能力。過往PM若發現功能異常，得聯絡技術團隊處理，待技術團隊處理完畢後再回報給PM確認。不過，經過一系列舊系統重構後，大部分服務系統架構都標準化了，因此有許多維運作業的操作簡單且類似。技術團隊將這些項目整理出了一份操作指南，讓PM能依照指南自行排除部分問題，也節省了大量雙方來回溝通的時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%BC%B5%E4%BD%91%E5%82%91_%E8%A1%97%E5%8F%A3_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.png" style="width: 423px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>公司業務高速發展，每隔2年重構現有系統應是常態，越拖延反而越增加後續維運難度。── 街口電子支付技術長張佑傑 </strong></span></span></p> <p><span style="font-size:28px;"><strong>推動高容錯、低風險部署流程，提升快速迭代版本能力</strong></span></p> <p>化解積累多年的技術債，有效解決了街口開發效率最大痛點。以支付核心團隊為例，原本年初還需要擴編1人才能負荷，沒想到解決技術債後，反而有餘力出借人力給其他團隊。</p> <p>不過，張佑傑沒有停下優化的腳步，他在街口開發流程的部署作業中，找到了3個能進一步優化流程的施力點。</p> <p>第一項優化是推動部署簽核流程的無紙化。由於金融科技產品受到高度監管，街口支付部署服務前，需經過多名主管簽核，報備部署原因、時程、改動等資訊。張佑傑說，過去工程師得帶著紙本文件，找到每位負責主管簽名，能在3至4小時內跑完流程，已經算是順利。為了精簡此流程，街口自行開發了一套簽核系統，將審查跟簽核轉至線上進行，只需30分鐘就能完成。無紙化做法雖然簡單，但成效立竿見影，也反映出張佑傑強調系統性解決問題的理念。</p> <p>第2項是部署流程標準化。先前，街口不同類別的服務和執行環境都有各自部署流程，加上Git分支管理繁複，導致部署作業上手難度高，容易發生人為疏失。街口採取的解決方法是將過去在Windows環境開發的服務都重構為Linux版的服務，來減少執行環境的版本，再將服務全面容器化，並統一規範部署流程。目前半數開發團隊所管理的服務，已用容器調度管理平臺Docker Swarm來管理，之後計畫遷移到Kubernetes。張佑傑說，系統化規範部署流程旨在排除大部分人為疏失風險，讓SRE人員不論經驗或能力，都能正確部署各式服務，降低了後續維運成本。</p> <p>最後一項優化則是在發布作業上，改採取了灰度發布（Canary Release）方法，將新服務逐步開放給不同比例的使用者。隨著街口服務數量變多，服務間互相影響的情況也會增加。不過，街口各服務開發和部署時程各自獨立，很難同時測試所有新服務。這也意味著，一個服務測試完畢後，若其他服務有所改動，發布時還是可能發生異常狀況，需要退版、修改、再發布，造成所有使用顧客的疑惑而帶來大量客訴。</p> <p>為了減少對顧客的影響規模，街口改採用灰度發布模式，部署服務到實際發布環境後，先開放新功能給內部工程師測試，真人實測完成後，再逐步開放給更多使用者。甚至可以自由設定服務發布比例，就算新服務有問題，也不會產生大量客訴跟系統錯誤，且修改時不需要退版，只要將發布比例調降為0%，便能慢慢處理。</p> <p>張佑傑說，這些優化不僅能簡化部署作業，還能讓工程師安心，不再覺得部署是麻煩且高風險的行為，進而釋放工程師創意與能力，增加個人產出。推動這些優化，提升了街口快速迭代能力，預計到了11月，部署頻率能從每周部署2次，提升到一周5次。</p> <p><span style="font-size:28px;"><strong>推動系統化解決問題的模式，來培訓有產品思維的人</strong></span></p> <p>張佑傑說，「成功企業的技術團隊有個共同之處，就是做法都能規模化，而且長期適用。」當他推動街口部署及維運流程改革時，就是考量到，就算日後系統複雜度提升或人員更迭，一切運作仍然可以保持穩定。因此，他非常強調，問題解法簡化後，必須內化到制式程序和系統架構中。</p> <p>未來，他計畫秉持著同樣原則，把異常事件教訓、系統基礎架構及法規政策限制都內化成程式碼形式。「系統化解決問題的模式，不但能提升工作效率，更能將系統架構及工作流程梳理得更標準化、更有條理，讓大家能更容易理解。」他強調。</p> <p>張佑傑推動系統化工作流程改革時，也在思考如何藉機提升工程師思維及能力。例如，服務重構所設計的服務監測系統，如何使工程師更輕易的觀察整套系統，了解不同服務如何運行和互相影響。他從擔任支付核心系統負責人時，就開始舉辦工程師讀書會，接任技術長後，更定期舉辦技術分享會，讓不同的技術團隊成員能交流專業技能及思維。</p> <p>張佑傑期待這些做法，能培養出具備產品思維的工程師。他說，有產品思維的工程師，不只專注於自己手上服務，還會從整體產品高度，了解不同服務間的關聯性和原理。一但發生異常狀態，這樣的工程師能快速定位問題來源，甚至從問題中看到技術團隊需求，主動倡議改革。「這樣的工程師，就會進化成獨當一面的個人貢獻者。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>街口電子支付技術長張佑傑</strong></p> <p>學歷：臺灣師範大學資訊教育研究所碩士</p> <p>經歷：曾服務於Meta、Zalando、日本樂天 Ichiba、趨勢科技和HTC等大型企業，有10年以上的後端工程經驗，專長於高併發系統設計與開發，負責過樂天購物節、Zalando購物周等超大流量活動平臺穩定性。2021年底回臺，擔任街口電子支付核心團隊負責人，2022年8月接任技術長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E9%82%8A%E6%AC%84%EF%BC%9A25_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E8%A1%97%E5%8F%A3%E9%9B%BB%E5%AD%90%E6%94%AF%E4%BB%98.jpg" style="width: 220px;" /></p> <p><strong>街口電子支付股份有限公司</strong></p> <p>地址：105臺北市松山區長安東路二段225號</p> <p>成立時間：2015年</p> <p>主要業務：支付、金融服務</p> <p>員工數：148人</p> <p>年營收：2億2千萬元（2020年）</p> <p>董事長：梅驊</p> <p>執行長：范庭甄</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>2015年10月：街口App正式上線</p> <p>2018年1月：取得電子支付執照</p> <p>2018年2月：電子支付業務正式開業，串連10家主要大型銀行帳戶</p> <p>2020年1月：街口支付在日本啟用，推出跨境支付服務</p> <p>2020年2月：街口券正式上線，推出全新數據行銷功能</p> <p>2020年6月：聯手國泰產險推出用電子支付繳納保險費</p> <p>2020年12月：舉辦首屆街口購物節；同月，街口支付達400萬名用戶</p> <p>2022年：用戶數來到580萬人，每月代收付金額高達30至35億元，營運戰略從累積用戶轉為用戶價值變現，意圖大量推出新型態業務</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ren_wu_zhu_tu__0.jpg" width="960" height="420" alt="" title="街口電子支付技術長張佑傑　（攝影／洪政偉）" /></div></div></div>
2022/10/31 07:00作者郭又華https://www.ithome.com.tw/people/153880
SUSE發布Edge 2.0平臺，擴展企業於網路邊緣管理容器的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SUSE藉由整合Linux和Kubernetes管理產品，發布其邊緣平臺<a href="https://www.suse.com/news/SUSE-Delivers-A-Cloud-Native-Solution-At-The-Edge/">Edge 2.0</a>，其提供一個安全堆疊，使用戶可以擴展邊緣操作解決規模化部署需求，簡單地擴展並且管理跨多地理位置一千個叢集。</p> <p>SUSE Edge 2.0提供雲端原生邊緣管理解決方案，安全無縫地整合應用程式、Kubernetes和作業系統，其支援的邊緣用例包括一般邊緣、電信甚至是車用系統。Edge 2.0具有大規模管理功能，在不影響可用性的情況下，能夠快速更新邊緣裝置，降低在邊緣部署現代雲端應用程式的複雜度。</p> <p>同時，用戶還可以從Edge 2.0的單一控制平面，管理Kubernetes和底層作業系統。方便的大規模管理功能，使用戶可以在每個開發階段輕鬆地交付工作，並在邊緣位置運作複雜的雲端原生工作負載。</p> <p>Edge 2.0是基於3個SUSE現有產品建立，包括Rancher、SUSE Linux Enterprise（SLE）Micro 5.3和SUSE NeuVector。Rancher是容器管理平臺，而SLE Micro是一個針對容器化和虛擬化工作負載設計的作業系統，SUSE NeuVector則是容器安全平臺，可保護容器應用程式不受惡意攻擊。</p> <p>通常管理者必須要單獨管理作業系統和Kubernetes，但官方提到，Edge 2.0使用戶可以從一個儀表板，同時管理作業系統和Kubernetes，而且因為Rancher的Linux容器工具包Elemental完全開源，因此用戶對底層基礎設施可以有更多的選擇。</p> <p>透過SUSE Edge 2.0，用戶可以在各種遠端位置、小型資料中心或是工業物聯網邊緣裝置，部署邊緣應用程式，而且因為Edge 2.0遵守商業網路安全產品認證，大多數重視安全的組織，包括國防和政府皆可採用。當用戶還想進一步強化應用程式層級的叢集內安全性，藉由採用NeuVector，可強化深度防禦保護以及零信任執行時安全性。</p> </div></div></div>
2022/10/26 22:08作者李建興https://www.ithome.com.tw/news/153835
Docker開始支援WebAssembly，應用更輕巧靈活
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.docker.com/blog/docker-wasm-technical-preview/">Docker宣布技術預覽WebAssembly支援</a>，這將可使開發者更容易建構WebAssembly Runtime應用程式，同時，Docker也宣布加入非營利組織Bytecode Alliance，以參與WebAssembly和WebAssembly System Interface（WASI）的發展。</p> <p>原本WebAssembly的目的，是為了要在網頁瀏覽器快速執行原生程式碼，但是因為WASI的發展，WebAssembly應用程式已經跨出瀏覽器之外，可在雲端和邊緣環境運作。WebAssembly讓開發者以40多種語言撰寫程式，並且編譯成WebAssembly程式碼，在沙盒環境中安全的運作。</p> <p>而Docker原先發展的目標，就是要簡化程式開發的複雜性，使開發者不需要在意底層技術，藉由容器使應用程式的建置、共享和運作更為容易，Docker官方提到，他們將WebAssembly視為Linux容器的補充技術，開發者可以根據使用案例選擇想要用的技術，甚至是兩者同時使用。</p> <p>Docker整合WebAssembly的具體作為，是將映像檔管理搬遷到containerd，使用和OCI相容的構件和containerd shim，Docker官方與WasmEdge合作創建了containerd shim，可從OCI構件中擷取WebAssembly模組，並在WasmEdge Runtime上運作。同時，Docker也添加對宣告WebAssembly Runtime的支援，使其能夠使用新的shim。</p> <p>Docker將持續擴展WebAssembly支援度，包括支援多執行緒、垃圾收集，以及簡化開發者工作等功能。</p> </div></div></div>
2022/10/26 07:00作者李建興https://www.ithome.com.tw/news/153810
RedHat釋出AWS版雲端RHEL for Workstations
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redhat.com/en/blog/red-hat-enterprise-linux-workstations-now-available-amazon-web-services" target="_blank">Red Hat本周宣布</a>釋出可在AWS上執行的工作站OS版本，名為Red Hat Enterprise Linux（RHEL）for Workstations。</p> <p>RHEL for Workstations是專門設計給執行高運算需求的桌機應用，如動畫、電腦輔助設計與工程、科學研究、醫療影像等的專用平臺。透過這新服務的推出，可提供想要工作站即服務（workstation-as-a-service）的企業用戶完整的RHEL for Workstations，又能支援多種硬體執行個體，並在無需投資部署硬體情況下借用AWS強大效能。</p> <p><a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/10/red-hat-enterprise-linux-rhel-workstation-aws/" target="_blank">AWS表示</a>提供這項服務的關鍵是RHEL Workstation Amazon Machine Images（AMI），是以RHEL version 8.6結合AWS的桌機虛擬化軟體NICE DCV為基礎開發，支援Nvidia Tesla及GRID驅動程式。EC2 AMI讓多種不同OS，包括Windows、macOS及Linux版部署在AWS上。而利用RHEL for Workstations on AWS，企業可以選擇適合他們的OS及機器，在AWS上進行3D渲染、醫療影像、網路運算、或飛行模擬等耗運算效能的作業。</p> <p>RHEL for Workstations for AWS現在已在所有AWS商用區域上線，用戶可以在AWS Marketplace中的GPU執行個體取得。分成2種驅動程式版本，包括RHEL for Workstations 8.6 for GPU-based Instances - GRID driver，以及RHEL for Workstations 8.6 for GPU-based Instances - TESLA driver。兩種都是透過AWS的桌面雲端視覺化協定NICE DCV執行。</p> <p>RHEL for Workstations on AWS可獲得AWS provides tier 1及tier 2支援。已訂閱Red Hat Cloud Access服務的用戶，可免費獲得RHEL for Workstations，取得Red Hat支援服務。</p> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-workspaces-introduces-ubuntu-desktops/" target="_blank">AWS也在本月初公布</a>Ubuntu on AWS的服務。</p> </div></div></div>
2022/10/25 15:34作者林妍溱https://www.ithome.com.tw/news/153808
【資安日報】2022年10月24日，Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache於10月13日，針對9月底修補的Commons Text重大漏洞Text4Shell提出警告，並引起許多研究人員的高度關注，原因是這項漏洞很可能會帶來類似Log4Shell的災難，事隔不到一個星期，數家資安業者已觀察到積極探測漏洞的攻擊行動。</p> <p>VMware於今年4月修補身分管理系統Workspace ONE Access的重大漏洞，最近2個多月以來，已經用於攻擊行動，像是部署勒索軟體、挖礦程式、殭屍網路病毒。</p> <p>網路釣魚攻擊日益囂張，現在有人把壞腦筋動到沙烏地阿拉伯民眾！根據資安廠商的調查，出現利用假造的政府入口網站進行網釣攻擊的活動，對方不只竊取受害者的個資，也將洗劫他們的銀行帳戶。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://thehackernews.com/2022/10/hackers-started-exploiting-critical.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Apache Commons Text重大漏洞Text4Shell傳出相關攻擊行動</span></strong></a></h3> <p>Apache修補Commons Text程式庫重大漏洞CVE-2022-42889（亦稱Text4Shell），並於10月13日發布資安通告，很快就有駭客嘗試尋找可被攻擊的目標。自10月18日開始，資安業者Wordfence、Zscaler、Checkmarx提出警告，已有攻擊者開始在網路上進行掃描，研究人員認為，雖然此程式庫漏洞不像Log4Shell那麼容易被利用，但要是攻擊者成功運用，將有可能引發嚴重的RCE攻擊事故。</p> <h3><a href="https://www.fortinet.com/blog/threat-research/multiple-malware-campaigns-target-vmware-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware身分驗證管理系統的重大漏洞遭到利用，被用於部署多種惡意程式</span></strong></a></h3> <p>資安業者Fortinet提出警告，VMware身分驗證管理系統Workspace ONE Access（原Identity Manager）近期遭到鎖定，駭客針對今年4月修補的漏洞CVE-2022-22954（CVSS風險評分為9.8分），約自8月開始部署殭屍網路病毒Mirai的變種、勒索軟體RAR1Ransom，以及挖礦程式GuardMiner。</p> <p>研究人員指出，其中駭客散布RAR1Ransom與GuardMiner的攻擊行動同時針對Windows與Linux電腦而來，該工具套件會在Windows電腦上部署勒索軟體RAR1Ransom，並會在Linux主機上植入挖礦軟體GuardMiner。</p> <h3><a href="https://cloudsek.com/threatintelligence/phishing-campaign-targeting-the-saudi-government-service-portal-absher/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">沙烏地阿拉伯政府入口網站遭仿冒，對當地民眾進行網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-21203-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-21203-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現，有人假冒沙烏地阿拉伯政府的名義，建置假的當地政府入口網站Absher，藉由網釣簡訊要求民眾更新帳號資訊，一旦受害者依照指示操作，攻擊者就會要求他們存取假的Absher登入網站，並要求輸入手機收到的4位數OTP驗證碼，通過上述身分驗證後，就會要求受害者填寫註冊表單，隨後又會要綁定銀行帳戶，不僅竊取這些民眾的個資，還可能會將他們的銀行帳戶存款洗劫一空。</p> <h3><a href="https://www.securityweek.com/irans-nuclear-agency-says-email-server-hacked"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗原子能源組織郵件伺服器傳出遭駭，疑與當地女權抗議活動有關</span></strong></a></h3> <p>9月下旬伊朗婦女瑪莎；阿米尼（Mahsa Amini）死亡，引發當地民眾抗議，如今也出現相關的網路攻擊事故。根據法新社（AFP）的報導，名為Black Reward的駭客組織，於10月21日要脅公布德黑蘭核能計畫機密資料，要求政府釋放所有的政治犯，以及在示威中遭逮捕的人士，並於隔日公開部分文件。伊朗原子能源組織（AEOI）於10月23日證實，他們位於波斯灣沿岸的布什更爾核電廠郵件伺服器，遭到境外流量攻擊，外洩的電子郵件內容，包含了與其他組織的技術交流。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-294a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Daixin鎖定美國醫療機構下手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Daixin_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Daixin_ransom_note.png" style="width: 300px; float: right;" /></a>美國網路安全暨基礎設施安全局（CISA）、美國衛生及公共服務部（HHS）、美國聯邦調查局（FBI）聯手發布資安通告，名為Daixin的勒索軟體組織自今年6月開始，針對當地醫療機構的多種系統發動攻擊，並竊取病人健康資訊（PHI）及個人資料（PII）。駭客透過VPN伺服器進行入侵，一旦進入受害組織內部環境，就會利用遠端桌面連線（RDP）或SSH連線進行橫向移動，進而設法提升權限後再加密檔案。</p> <h3><a href="https://www.straitstimes.com/singapore/data-of-alleged-26m-carousell-accounts-being-sold-on-dark-web-hacking-forums"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">旋轉拍賣傳出資料外洩，260萬名用戶資料流入暗網</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/carou20leak20censor_7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/carou20leak20censor_7.png" style="width: 300px; float: right;" /></a>根據新加坡海峽時報（The Straits Times）報導，網路市集旋轉拍賣（Carousell）於10月21日證實，他們在本月14日察覺資料外洩的跡象，估計有195萬名用戶受到影響。事隔數日，該報引述星期日泰晤士報的調查指出，駭客在暗網上以1千美元的價格，兜售該市集260萬名用戶個資，這筆資料的檔案大小約2 GB，於10月12日上傳，內容包含受害者的ID、姓名、電子郵件信箱、手機號碼、國籍等資料。駭客聲稱相關資料是透過某個漏洞取得，目前已賣給5個買家。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.helpnetsecurity.com/2022/10/21/cve-2022-20822-cve-2022-20959/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科公告身分驗證系統的2個漏洞，但僅修補1個，另1個預計1個月後修補，恐造成防護空窗期</span></strong></a></h3> <p>思科針對旗下的身分驗證系統Identity Services Engine於10月19日發布2則資安通告，揭露該系統存在的漏洞CVE-2022-20822及CVE-2022-20959，前者是路徑遍歷漏洞，攻擊者可藉由發送特定的HTTP請求來利用漏洞，進而讀取或刪除系統上需要高權限才能存取的檔案；後者則是跨網站指令碼（XSS）漏洞，攻擊者可引誘管理員點擊惡意連結來達成目的，並存取敏感資訊。</p> <p>思科已針對CVE-2022-20959發布修補程式，但另一個漏洞的修補程式則預計要下個月才開始提供。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://borncity.com/win/2022/10/21/metro-gruppe-doch-opfer-eines-cyberangriffs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">餐飲批發業者Metro遭到網路攻擊，IT系統服務中斷</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/blackbyte-exbyte-ransomware"><span style="color: rgb(0, 0, 0);">勒索軟體BlackByte透過洩密工具Exbyte外流受害組織資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/typosquat-campaign-mimics-27-brands-to-push-windows-android-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體Ermac假冒27個品牌，引誘Windows、Android使用者下載</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153764">【2022年10月21日】 WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> </div></div></div>
2022/10/24 18:30作者周峻佑https://www.ithome.com.tw/news/153798
VMware Workspace ONE Access重大漏洞遭濫用植入多種惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/threat-research/multiple-malware-campaigns-target-vmware-vulnerability" target="_blank">安全研究人員警告</a>，VMware身分管理方案Workspace ONE Access一項半年前發現並修補的重大漏洞已經遭到濫用，被植入多項惡意程式。</p> <p>VMware Workspace One Access原名Identity Manager，<a href="https://www.ithome.com.tw/news/150450" target="_blank">今年4月VMware公布並修補</a>了編號CVE-2022-22954的漏洞，可被攻擊者透過傳送帶有惡意指令的訊息，發動指令注入攻擊，為一項風險值9.8的重大漏洞。</p> <p>從4月後，一直有針對這個平臺的攻擊行動。不過這些行動主要目的是刺探受害者敏感資料，像是密碼和主機檔案。但在8月間，Fortinet研究人員發現更危險的活動，他們發現有人分別部署Mirai變種、勒索軟體以及採礦軟體攻擊VMware平臺。其中Mirai變種鎖定Linux-based網路裝置。由於Mirai主要手段是阻斷服務及暴力破解，研究人員也解碼出攻擊者使用的密碼，其中除了1234、guest、root、administrator、system等常見預設帳號外，也可見到hikvision、QuestModem、Vstarcam（威視達康）、3Com等受歡迎的網路設備品牌的預設帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-CVE-2022-22954-mirai.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fortinet</span></span></p> <p>研究人員另外還發現一波分別針對Windows及Linux裝置發動的攻擊，其中在Windows運用PowerShell行程下載勒索門羅幣（Monero）的RAR1Ransom勒索軟體，而針對Linux裝置，則利用Python函式庫curl、wget及urlopen等指令下載GuardMiner木馬程式，以挖取門羅幣。</p> <p>研究人員呼籲企業用戶儘速安裝更新版的VMware軟體，並注意網路環境中任何可疑的行動。</p> </div></div></div>
2022/10/24 11:06作者林妍溱https://www.ithome.com.tw/news/153782
【資安日報】2022年10月21日，WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress最近發布了6.0.3版，當中修補了16個漏洞，但值得留意的是，其中一項漏洞最有機會被利用，原因是攻擊者不需通過身分驗證就能發動攻擊。</p> <p>駭客為了降低受害者的警覺，近年來也會利用一些使用者經常會遇到的真人與機器人程式驗證機制，讓大家誤以為會查核身分的網站就是合法網站。例如，近期發動的Ursnif惡意軟體攻擊，駭客就將惡意檔案放在需要輸入CAPTCHA驗證碼的網頁。</p> <p>小心線上轉檔服務也成為駭客傳播惡意軟體的管道！有人架設冒牌的文件格式轉換服務網站，雖然此網站提供上傳功能，但若是照做，使用者很可能會在電腦裝上竊密軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.mandiant.com/resources/blog/rm3-ldr4-ursnif-banking-fraud"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ldr4-ursnif-fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ldr4-ursnif-fig4.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露近期新的惡意軟體Ursnif變種（LDR4版），研究人員在6月下旬觀察到被用於攻擊行動，駭客主要以人才招募為幌子寄送釣魚郵件，要求收信人點選連結下載Excel檔案。一旦收信人照做，就會被引導至下載網頁，該網頁會要求輸入CAPTCHA驗證碼才能取得。若是收信人開啟此Excel檔案，電腦將會被植入Ursnif。</p> <p>這個惡意程式的用途也有所變化。研究人員表示，過往版本Ursnif的主要功能是金融木馬，新的LDR4則是後門程式，駭客很有可能藉此散布勒索軟體或其他惡意程式。</p> <h3><a href="https://blog.cyble.com/2022/10/14/online-file-converter-phishing-page-spreads-redline-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上轉檔網站也有假的！有人以提供免費轉檔服務散布竊密程式RedLine Stealer</span></strong></a></h3> <p>提供將不同格式文件轉換的網站，現在也成為駭客假冒的對象！資安業者Cyble揭露散播竊密軟體RedLine Stealer的攻擊行動，駭客設置了冒牌的Convertio轉檔網站，一旦使用者依照指示上傳想要轉換的檔案，並選擇輸出格式，該網站就會提供ZIP壓縮檔案，但若是使用者下載到電腦解壓縮，只會看到LNK捷徑檔YourConvertedFile.lnk。</p> <p>一旦執行，電腦就會透過批次檔執行PowerShell命令，在系統內建防毒軟體Microsoft Defender的排除清單當中，加入可執行檔、批次檔，以及C磁碟機，讓系統對這些檔案與儲存位置停止惡意檔案的掃描，然後再下載帶有PDF檔案圖示的YourConvertedFile59417.exe並執行，進而在受害電腦植入RedLine Stealer。</p> <h3><a href="https://healthitsecurity.com/news/3m-advocate-aurora-health-patients-face-phi-exposure-tied-to-tracking-pixels"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又是網站廣告成效追蹤器肇事！美國醫療照護系統Advocate Aurora Health外洩300萬病人資料</span></strong></a></h3> <p>在美國擁有26家醫院的非營利醫療照護系統Advocate Aurora Health，發出公告坦承發生外洩病患資料的事故，起因是為了改善服務而使用Google與Meta等第三方的網路追蹤技術，而外洩了病患的資料，為了謹慎起見，已通知所有病人（約300萬人）。該機構發現，安裝在MyChart、LiveWell及其他預約工具中的追蹤程式，會將特定的病患資訊回傳這些追蹤程式的製造商。</p> <p>而類似的情況已非首例，今年8月，<a href="https://www.ithome.com.tw/news/152683#novanthealth">美國醫療保健供應商Novant Health就因Meta Pixel程式碼配置不當</a>，將132萬名病人健康資料曝露給Meta及其合作夥伴。</p> <h3><a href="https://www.group-ib.com/media-center/press-releases/oldgremlin-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織OldGremlin鎖定俄羅斯Linux主機，發動勒索軟體攻擊</span></strong></a></h3> <p>勒索軟體駭客組織OldGremlin自2020年開始鎖定俄羅斯發動攻擊，過往都是加密Windows電腦，但最近該組織也對Linux主機下手。資安業者Group-IB在調查今年發生的攻擊行動中，發現OldGremlin的主要目標是一臺Linux伺服器，駭客使用了勒索軟體TinyCrypt的變種版本，而這個變種與Windows版本採用的演算法相同，都是使用AES演算法並以RSA-2048非對稱金鑰加密檔案。</p> <p>除此之外，研究人員也發現駭客的入侵手段仍是寄送釣魚郵件，但從原本將惡意軟體挾帶於附件，如今變成引誘受害者從檔案共享服務下載，而難以察覺異狀。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.wordfence.com/blog/2022/10/patch-now-the-wordpress-6-0-3-security-update-contains-important-fixes/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress推出6.0.3版，修補16個漏洞</span></strong></a></h3> <p>內容管理系統WordPress於10月17日發布6.0.3版，當中總共修補了16個漏洞，有4個達到高風險等級。資安業者Wordfence指出，其中最容易被利用的漏洞，是可透過媒體庫SQL注入的跨網站指令碼（XSS）漏洞，CVSS風險評分達8.8分（尚未取得CVE編號），原因是攻擊者不需經過身分驗證就能利用。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/brazil-arrests-suspect-believed-to-be-a-lapsus-gang-member/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴西警方逮捕疑似駭客組織Lapsus$成員</span></strong></a></h3> <p>巴西聯邦警察於8月啟動黑雲行動（Operation Dark Cloud），緝拿2021年橫行巴西政府單位的駭客組織Lapsus$成員，最近有了新的成果，他們於10月19日宣布逮捕了其中一名成員，不過並未公布嫌犯姓名、年齡，或是其他資訊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153728"><span style="color: rgb(0, 0, 0);">上櫃公司大拓日本子公司遭勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.welivesecurity.com/2022/10/20/domestic-kitten-campaign-spying-iranian-citizens-furball-malware/"><span style="color: rgb(0, 0, 0);">伊朗民眾遭到安卓FurBall間諜軟體鎖定</span></a></span></strong></p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-malicious-clicker-found-in-apps-installed-by-20m-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">16款點擊惡意App被下載超過2千萬次</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153685">【2022年10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</a></strong></strong></strong></p> </div></div></div>
2022/10/21 16:57作者周峻佑https://www.ithome.com.tw/news/153764
Windows Subsystem for Android將支援Android 13
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/10/20/update-to-windows-subsystem-for-android-on-windows-11-october-2022/" target="_blank">微軟本周針對Dev與Beta頻道更新</a>了Windows 11上的 Windows Subsystem for Android（WSA），並悄悄地<a href="https://github.com/microsoft/WSA" target="_blank">於GitHub上公布WSA的未來發展藍圖</a>，透露出它將支援Android 13，也會有傳檔、捷徑、子母畫面，以及預設的本地網路存取功能。</p> <p class="rtecenter"><a href="http://github.com/microsoft/WSA" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1021-Windows%20Subsystem%20for%20Android%20Developers-Future%20Roadmap%20on%20GitHub.png" style="width: 550px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>WSA將允許使用者於Windows裝置上執行Android程式，現在主要與Amazon合作，<a href="https://apps.microsoft.com/store/detail/windows-subsystem-for-android%E2%84%A2-with-amazon-appstore/9P3395VX91NR?hl=en-us&gl=us" target="_blank">Windows 11用戶可透過Microsoft Store</a>安裝Amazon Appstore，在安裝Amazon Appstore的過程中，系統即會提醒使用者安裝WSA。微軟已於全球31個國家支援Amazon Appstore的下載及安裝，提供逾2萬種的Android程式。</p> <p>現在的WSA所支援的Android版本為Android 12.1（Android 12L），本周的更新改善了剪貼簿的穩定性、圖像串流的安全性、多執行緒效能，以及升級至Chromium WebView 105與執行Linux核心的安全更新等。</p> <p>而在未來的WSA藍圖中，除了將支援Android 13之外，新增的傳檔功能可望讓使用者於Android容器與Windows之間互傳檔案。</p> <p>迄今微軟並未透露究竟有多少Windows用戶下載並安裝了Amazon Appstore與WSA。</p> </div></div></div>
2022/10/21 14:50作者陳曉莉https://www.ithome.com.tw/news/153759
【資安日報】2022年10月18日，日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體Blac…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本日的資安新聞裡，勒索軟體攻擊占大多數，且橫跨製造業、生技業者、媒體、金融業。其中，涉足半導體、汽車、醫療產業的日本科技業者大宮化成遭勒索軟體LockBit攻擊的事故相當值得留意，因為這起事故很可能波及相關產業的上下游供應鏈。</p> <p>能埋藏在電腦UEFI韌體的惡意程式，過往有數起攻擊事故傳出，攻擊者身分往往是國家級駭客。但最近有人開始在駭客論壇兜售此種攻擊軟體而引起研究人員高度關注。研究人員認為，一旦駭客買到這種惡意軟體，很有可能用於自帶驅動程式（BYOVD）攻擊。</p> <p>Fortinet於一個禮拜前優先向部分用戶以電子郵件通報重大漏洞的做法惹議，該公司也對此提出說明，並提供入侵指標供企業檢查是否遇害。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/137243/cyber-crime/oomiya-lockbit-3-0-ransomware.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本科技公司大宮化成遭勒索軟體LockBit攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/oomiya.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/oomiya.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Security Affairs的報導，勒索軟體LockBit聲稱從日本科技公司大宮化成（Oomiya）竊得機密資料，並揚言若是不願支付贖金，他們就會在10月20日外洩相關標案。由於該公司處於全球製造業、半導體、汽車、通訊、醫療保健產業的供應鏈裡，這起勒索軟體攻擊很可能對該公司合作夥伴造成重大影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-halts-circulation-of-some-german-newspapers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國報社集團遭勒索軟體攻擊，導致報紙無法正常發行</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/e-paper.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-paper.png" style="width: 300px; float: right;" /></a>德國報紙Heilbronn Stimme因10月14日的勒索軟體攻擊癱瘓印刷系統，並於17日以28頁電子報的型式恢復出刊。勒索軟體攻擊發生後，報社緊急於15日發布6頁的網站版本，但電話與電子郵件週末都處理離線狀態。該報的編輯也被迫在家工作。</p> <p>該報主編Uwe Ralf Heer指出，此起事故影響整個媒體集團Stimme Mediengruppe，並透露攻擊者身分是惡名昭彰的駭客組織，駭客在14日晚上將該報社系統加密並留下勒索訊息，但沒有提出具體的贖金要求。</p> <h3><a href="https://ciso.economictimes.indiatimes.com/news/after-ipca-laboratories-pharma-major-aarti-drugs-hit-by-ransomware-attack-data-leaked-on-dark-web/94913796"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度製藥廠Ipca Laboratories、Aarti Drugs遭勒索軟體攻擊</span></strong></a></h3> <p>根據新聞網站ETCISO的報導，印度製藥廠Ipca Laboratories、Aarti Drugs，先後於9月9日、9月10日遭到勒索軟體攻擊，前者遭到勒索軟體BianLian攻擊，後者則是被RansomHouse攻陷。</p> <p>當地資安業者Technisanct透露，駭客竊得Aarti Drugs約6 GB資料，包含了業務與管理資料、稅務申報文件等，並向這家藥廠索討20個比特幣。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/australian-insurance-firm-medibank-confirms-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲保險業者Medibank證實遭到勒索軟體攻擊</span></strong></a></h3> <p>上週澳洲保險業者Medibank遭到網路攻擊，現在他們公布進一步的調查結果。該公司表示在部分IT網路環境偵測到的異常情形，很可能就是勒索軟體攻擊，但在事件發生的期間，他們的系統並未受到影響，自17日早上部分限制用戶存取的系統已恢復運作。</p> <p>而針對ahm品牌的澳洲健康管理系統與國際國際學生政策管理系統，則是數次停擺後，Medibank宣布在18日傍晚恢復正常。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/venus-ransomware-targets-publicly-exposed-remote-desktop-services/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Venus鎖定遠端桌面連線服務入侵Windows電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/venus-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/venus-ransom-note.jpg" style="width: 300px; float: right;" /></a>資安研究員Linuxct、資安研究團隊MalwareHunterTeam發現名為Venus的勒索軟體，駭客透過遠端桌面連線（RDP）入侵受害電腦，然後終止資料庫與微軟Office等39個應用程式的處理程序，並刪除磁碟陰影複製的備份、停用資料執行防止（DEP）機制，將電腦檔案進行加密。</p> <p>資安新聞網站Bleeping Computer表示已有人在論壇表明受害，他們已改用非標準的RDP連接埠仍無法倖免。</p> <h3><a href="https://techcrunch.com/2022/10/14/india-power-company-tata-power-cyber-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度大型發電廠Tata Power證實遭到網路攻擊</span></strong></a></h3> <p>根據新聞網站TechChruch報導，印度大型發電廠Tata Power於10月14日，向當地的證交所發出通報指出，該公司部分IT系統遭到網路攻擊，他們已採取措施來復原相關系統。該公司強調，所有的重大作業系統皆功能正常，針對員工和客戶會接觸到的系統，也進行限制存取和預防性檢查。但除此之外，該公司並未透露遭到攻擊的類型，或是受害範圍。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/malware-dev-claims-to-sell-new-blacklotus-windows-uefi-bootkit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客兜售UEFI惡意軟體BlackLotus</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BlackLotus_promo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlackLotus_promo.png" style="width: 300px; float: right;" /></a>卡巴斯基、Eclypsium的研究人員指出，有人自10初在駭客論壇兜售名為BlackLotus的惡意程式，要價5千美元。這是UEFI啟動工具，並標榜能繞過安全開機的機制，具備Ring 0（核心）層級的防護機制而能避免遭到刪除——該惡意軟體會在安全模式或復原模式下啟動。除此之外，賣家宣稱此惡意軟體具有多種反偵測機制，包含可偵測是否在虛擬機器執行，以及反除錯、程式碼混淆，且能停用Windows內建的各式防護，但檔案大小僅有80 kb。</p> <p>卡巴斯基表示，這種能深入UEFI的惡意軟體往往只有國家資助的駭客才能使用，但現在財力較為雄厚的駭客已經可以直接購買，而無須自行開發。Eclypsium的研究人員指出，雖然他們尚未取得惡意程式檔案而無法確認相關功能，但如果BlackLotus確實具備上述能力，駭客很有可能用於自帶驅動程式（BYOVD）攻擊。</p> <h3><a href="https://www.fortinet.com/blog/psirt-blogs/update-regarding-cve-2022-40684"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet說明優先向特定用戶通報重大漏洞CVE-2022-40684的原因</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1665778262062.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1665778262062.png" style="width: 300px; float: right;" /></a>資安業者Fortinet於10月14日提出警告，呼籲FortiOS、FortiProxy、FortiSwitchManager的用戶要儘速修補CVE-2022-40684，並提供入侵指標（IoC），供企業檢查設備是否遭到竄改。</p> <p>而針對該公司於10月6日，先透過電子郵件向部分客戶通知此事，Fortinet表示原因是發現已有實體遭到漏洞攻擊，於是，他們決定改變通報的做法，針對採用曝露該漏洞風險韌體的用戶祕密提前進行警告，使他們能在漏洞資訊公開之前，及早強化安全防護。此外，該公司也於同日在客戶支援布告欄公開相關消息，並向美國網路安全暨基礎安全局（CISA）等機關通報此事。</p> <p>該公司表示，在他們開始私下向客戶進行通知之後，已有攻擊者開始掃描網際網路上存取漏洞的設備，且在概念性驗證程式出現後，駭客更加積極利用此漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mydeal-data-breach-impacts-22m-users-stolen-data-for-sale-online/"><span style="color: rgb(0, 0, 0);">澳洲電商平臺MyDeal資料外洩，220萬客戶受到影響</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-tls-handshake-failures-in-out-of-band-updates/"><span style="color: rgb(0, 0, 0);">微軟針對TLS交握錯誤發布額外修補程式</span></a></span></strong></p> <p><a href="https://www.watchmedia01.com/anews-20221014020630.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全國馬拉松路跑網站傳遭害，眾點資訊公司發布防詐騙簡訊</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153666">【2022年10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153639">【2022年10月14日】資安業者發現簡中介面的C2攻擊框架Alchimist、駭客使用新網釣攻擊套件租賃服務Caffeine</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153621">【2022年10月13日】駭客濫用Google表單攻擊美國小型企業、勒索軟體Black Basta以滲透測試工具BRC4入侵受害組織</a></strong></strong></strong></p> </div></div></div>
2022/10/18 18:21作者周峻佑https://www.ithome.com.tw/news/153685
CISA開源紅隊分析工具RedEye
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全及基礎設施安全局（CISA）及美國能源部太平洋西北國家實驗室（Pacific Northwest National Laboratory，CNNL）攜手開發的紅隊分析工具RedEye，<a href="https://github.com/cisagov/RedEye/" target="_blank">在上周透過GitHub開源了</a>。</p> <p>RedEye是個互動式的分析工具，可用來視覺化及匯報紅隊的命令及控制活動，讓操作者可快速存取複雜的資料，評估緩解策略，最終促進有效的決策。它能分析各種日誌，例如來自Cobalt Strike的紀錄，並以容易理解的格式呈現；允許使用者針對特定活動進行註解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-RedEye-LoginScreen-by%20CISA%20on%20GitHub.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CISA on GitHub</span></span></p> <p>具體而言，RedEye可分析紅隊活動的C&C框架日誌，只需少數的人為介入，就能建立一個可呈現相關活動資訊的互動介面；它還能用來建立各種活動的歷史紀錄並重播；可分析活動中的不同事件並追蹤其滲透路徑；建立含有技術、重點、策略及討論內容的報告；亦能根據活動所使用的技術及各種評論自動產生簡報；並輸入報告與活動。</p> <p>RedEye支援Linux、macOS與Windows作業系統。</p> </div></div></div>
2022/10/18 15:47作者陳曉莉https://www.ithome.com.tw/news/153681
微軟Azure App Service新增Go語言，.NET 7則在正式發布後支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/apps-on-azure-blog/what-s-new-for-azure-app-service-fall-ignite-2022-edition/ba-p/3647508">微軟更新可建置與代管網頁應用程式的雲端服務Azure App Service</a>，除了新語言支援外，第三版的App Service Environment（ASEv3）提供更高規格的SKU，並且加入計畫維護功能。</p> <p>Azure App Service現在內建Python 3.10，而Python 3.11將會在釋出後加入到該雲端服務中，而Node 18也會成為新的內建語言。PHP開發者也有好消息，PHP 8.1會成為額外的內建選項，並且在PHP 8.2正式發布後，就會以搶先體驗的方式提供給開發者使用。</p> <p>開發團隊也預計在11月的平臺更新，在Linux App Service上新增Go語言，以支援gRPC和Go的使用案例。另外，隨著.NET 7正式發布日期接近，開發人員已經可以在App Service用到.NET 7預覽版，而且預定在11月.NET Conf上正式發布，無論是Windows和Linux的App Service都可以使用.NET 7。</p> <p>當開發者在Azure Portal創建新的網頁應用程式，App Service便會預設啟用Application Insights，Application Insights是一個監控功能，該功能無需開發者修改程式碼或引入任何SDK，就能以自動檢測功能收集遙測資料，原本在監控頁籤中供用戶選擇啟用，而現在Application Insights將會在.NET和 Java應用程式創建時自動啟用。</p> <p>ASEv3用戶將可以在11月的時候，獲得更高規格的SKU選項，包括16 vCPU/64 GB、32 vCPU/128 GB和64 vCPU/256GB大小，這些SKU可滿足用戶對更高記憶體和每秒請求的需求。另外，ASEv3用戶還將可以使用計畫維護功能，該功能會在平臺升級前15天通知用戶，在用戶接到通知後，就可在15天內隨時啟動平臺維護。</p> <p>ASEv3目前支援提前升級與延後升級選項，用戶可以選擇App Service的部署順序，設定較早或是較晚更新，而計畫維護則是提供更多的升級偏好，使用戶能夠以程式開發方法處理通知，在適合的時機以CLI/API呼叫觸發維護。</p> <p>微軟計畫簡化App Service證書綁定程序，用戶通常在App Service應用程式中使用自定義網域，並從不同的TLS證書選項中綁定自訂憑證，App Service所提供的Managed Certificate功能，會自動獲得免費憑證以保護自定義網域，而微軟預告，配置自定義網域和取得託管TLS憑證的操作將會變得更加簡單。</p> <p>開發團隊還會繼續改進應用程式自動擴展功能，該功能將自動縮放規模決策委派給App Service，使用戶不需要管理擴展設定，這項功能是Azure Function的Elastic Premium HTTP的衍生產品，經過修改之後用於網頁應用程式，在今年稍晚，微軟會對Azure Portal進行更新，並使其成為一個更易於使用的擴充功能選項。</p> </div></div></div>
2022/10/17 22:48作者李建興https://www.ithome.com.tw/news/153667
發明Amazon Kindle的主管要退休了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2022/10/13/amazon-executives-overseeing-alexa-hardware-group-depart-the-company.html" target="_blank">CNBC報導</a>，Amazon發明電子書裝置Kindle的主管及人工智慧助理Alexa研發高層主管將在近日退休，成為這家電商龍頭最新流失的高層。</p> <p>報導指出，Amazon硬體研發事業群Lab126總裁Gregg Zehr已經於日前退休，Amazon也證實Zher將離開公司。</p> <p>Zher是催生Amazon Kindle的推手。加入Amazon前，Zehr曾在蘋果、VA Linux及Palm任職。他在2004年加入Amazon，成立類似新創環境的Lab 126，而在2007年推出第一代Kindle。</p> <p>Amazon並證實，Alexa部門資深副總裁Tom Taylor也將退休。Taylor於2000年加入公司，目前也是現任CEO Andy Jassy的精英幹部S Team一員。</p> <p>Amazon官方表示，公司有健全的接班體系，Zher和Taylor的空缺都已有人遞補。</p> <p>這是這家電商平臺龍頭在Jassy上任後最新流失的高層人士。公共政策主管Jay Carney、任職23年的零售業主管Dave Clark及Amazon職場健康與安全主管Heather MacDougall，先後於7到10月間離職。更早之前離開的主管還有營運部門及全球客戶服務達交（global customer fulfillment）部門主管Dave Bozeman和Alicia Boler-Davis。</p> <p>同時Amazon還面臨景氣不佳，迫使公司凍結零售業部門人事招聘，以及<a href="https://www.cnbc.com/2022/08/24/amazon-is-shutting-down-amazon-care-telehealth-service.html" target="_blank">將在今年底關閉</a>Amazon Care診所及遠距醫療業務，以及<a href="https://techcrunch.com/2022/10/05/amazon-kills-its-interactive-video-calling-device-amazon-glow-launched-last-year/" target="_blank">終止開發兒童用互動視訊投影設備Glow</a>等產品。</p> </div></div></div>
2022/10/17 12:33作者林妍溱https://www.ithome.com.tw/news/153658
【資安日報】2022年10月14日，資安業者發現簡中介面的C2攻擊框架Alchimist、駭客使用新網釣攻擊套件租賃服…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路攻擊者在APT攻擊中使用現成C2框架的趨勢增加，近來出現一個名為Alchimist的C2框架與Insekt惡意軟體，並是以GoLang程式語言開發，並具有簡體中文的管理介面，疑為中國駭客使用的新攻擊工具。而在此之前，資安業者也曾揭露最近中國駭客最近廣泛使用的Manjusaka，兩者有類似的特點，但研判打造的駭客組織並不相同。</p> <p>在網釣威脅持續嚴峻之下，背後黑色產業中所發展的網釣攻擊套件租賃服務（PhaaS），也持續有新的平臺誕生，近期一款名為Caffeine的PhaaS平臺，正被網路犯罪分子廣泛用於網釣攻擊活動。</p> <p>此外，近日國際間出現結合網釣與語音誘騙的手法，值得金融業及用戶留意，已有多家義大利金融業遭冒名。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/10/alchimist-offensive-framework.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">出現鎖定Mac、Linux與Windows的全新中文C2攻擊框架</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-14-Cisco Alchimist.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14-Cisco%20Alchimist.png" style="width: 320px; float: right;" /></a></p> <p>Cisco旗下Talos在13日揭露新威脅，他們發現使用中文敘述的C2攻擊框架Alchimist，包含名為Alchimist的C2工具，以及遠端管理功能的惡意軟體Insekt。特別的是，這個Alchimist具簡體中文網頁介面，且框架及所有文件都是以GoLang程式語言所撰寫，能跨平臺執行，鎖定Windows、Linux與Mac設備攻擊，且功能豐富。此外，該伺服器還含有名為fscan的內網掃描工具。研究人員除了解析Insekt RAT的惡意行為，也指出有許多跡象顯示，網路攻擊者正迅速採用現成的C2框架，來執行他們的行動。</p> <h3><a href="https://www.itnews.com.au/news/medibank-takes-systems-offline-after-cyber-incident-586417?utm_source=feed&utm_medium=rss&utm_campaign=iTnews+Technology+feed"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲Medibank保險公司遭網路攻擊，調查未經授權存取事件並關閉多項服務</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-14_Medibank Cyber Incident.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14_Medibank%20Cyber%20Incident.JPG" style="width: 280px; float: right;" /></a></p> <p>澳洲<a href="https://www.medibank.com.au/livebetter/newsroom/post/medibank-cyber-incident">Medibank保險業者在13日公告</a>遭遇網路攻擊事件，內部網路檢測到異常活動，已立即採取應變措施，包括關閉一些客戶對系統的登入存取，以減少系統毀損或資料外洩的可能性，並指出ahm品牌的澳洲健康管理系統與國際國際學生政策管理系統將暫時停止服務，同時也說明，目前並未發現有敏感資料與客戶資料被存取的跡象。</p> <h3><a href="https://www.mandiant.com/resources/blog/caffeine-phishing-service-platform"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又出現新的網釣攻擊套件租賃服務Caffeine，開放註冊的特性將讓攻擊門檻更低</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14-Mandiant-Caffeine.png" style="width: 280px; float: right;" /></p> <p>Mandiant研究人員在本月10日指出，新的Caffeine網釣攻擊套件租賃服務（PhaaS），正受到網路犯罪分子的青睞。</p> <p>在幾個月前，資安業者Resecurity曾揭露EvilProxy的面貌，這次Mandiant則指出，今年3月他們關注到名為Caffeine（咖啡因）的平臺服務，並持續進行追蹤，其最大特色就是任何擁有電子郵件地址的人都能註冊，無須經過審核就能使用，等於又再降低攻擊發動的門檻。而且該平臺具有直觀的操作介面，並提供多種功能，包括網路釣魚工具包，管理重新導向頁面，動態生成URL與活動追蹤等。隨著這類平臺的不斷出現，將促使技術能力低的網路犯罪分子，有能力發動更多網釣攻擊活動。</p> <h3><a href="https://www.threatfabric.com/blogs/toad-fraud.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">當心駭客利用網釣結合語音手法誘騙受害者安裝Android金融木馬的新趨勢，已有義大利網路銀行被鎖定</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14-ThreatFabric-TOAD.png" style="width: 280px; float: right;" /></p> <p>金融業及其用戶注意！在國際間，荷蘭行動資安業者ThreatFabric在12日公布一項研究，攻擊者不僅假冒銀行或官方執法單位名義，並結合網釣結合語音誘騙方式，目的是讓金融用戶自行安裝金融木馬。</p> <p>根據該公司最近的調查，他們發現針對多家義大利銀行及其客戶的攻擊行動。在網路上，出現偽冒成義大利金融服務業者與政府反詐騙服務單位的大量釣魚網站，目的是蒐集蒐集Email、PIN碼、手機號碼等個人資料，還會要求設定安全性問題，若用戶完成註冊，會有假客服人員來電指引受害者一步步上鉤——對方假借用戶需在手機上安裝必要的安全App的名義，要求用戶下載假安全App，實際上，則是安裝Android金融木馬Copybara。</p> <h3><a href="https://blog.cloudflare.com/cloudflare-ddos-threat-report-2022-q3/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TB級DDoS攻擊頻繁，臺灣第三季遭受攻擊流量增加20倍，網路媒體與網路產業最嚴重</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14_163920_Cloudflare%20Q3%20DDoS.JPG" style="width: 280px; float: right;" /></p> <p>Cloudflare今年Q3的DDoS威脅報告出爐，當中指出臺灣與日本均出現這類攻擊大增的狀況，其中臺灣企業遭遇HTTP DDoS攻擊，較前一季成長2倍，遭受網路層DDoS攻擊的年增率更是達1,921%。</p> <p>值得注意的是，在8月初美國眾議院議長Nancy Pelosi訪臺之際，當時有臺灣數個政府網站遭DDoS攻擊的消息，不過，在此報告中，更明確指出臺灣本季受此危害較嚴重的受害產業類型，主要是線上媒體（50%）及網際網路（23%）等兩種業者。此外，本季最嚴重是針對微軟Minecraft遊戲服務器的2.5 Tbps流量攻擊，以及Mirai及其變種攻擊大增4倍的情況。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153589"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對軟體供應鏈推出安全解決方案Software Delivery Shield</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14_164144_Google%20Software%20Delivery%20Shield.JPG" style="width: 280px; float: right;" /></p> <p>Google為了進一步幫助其用戶完善軟體供應鏈安全，11日正式宣布推出Software Delivery Shield全託管解決方案，其應用範圍橫跨多個Google雲端服務，從開發者工具到GKE、Cloud Code、Cloud Workstations、Cloud Build，一直到Artifact Registry、Cloud Deploy、Binary Authorization等，幫助保障供應鏈從開發到生產每個階段的安全。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/153615"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android與Chrome今年將支援Passkey功能，無密碼時代近了</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153619"><span style="color: rgb(0, 0, 0);">【臺灣資安大會直擊】實現人盡其才，如何用才很重要</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153614"><span style="color: rgb(0, 0, 0);">資安需求已擴大，面對人才供給的挑戰，培育方向要更寬廣，不只重實務還要考量各種資安人才的養成</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/explore/glrans"><span style="color: rgb(0, 0, 0);">趨勢科技研究報告指出，超過七成的台灣企業供應鏈曾遭勒索病毒襲擊</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153621">【2022年10月13日】駭客濫用Google表單攻擊美國小型企業、勒索軟體Black Basta以滲透測試工具BRC4入侵受害組織</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153595">【2022年10月12日】 Exchange傳出有新的零時差漏洞被用於攻擊行動、SEMI E187設備資安標準導入指南正式發布</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153556">【2022年10月11日】資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶臉書帳號資料</a></strong></strong></strong></p> </div></div></div>
2022/10/14 16:27作者羅正漢https://www.ithome.com.tw/news/153639
【資安日報】2022年10月13日，駭客濫用Google表單攻擊美國小型企業、勒索軟體Black Basta以滲透測試…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客看上近期小型企業面臨通貨膨脹，亟需資金周轉的情況發動網釣攻擊，假借美國政府的名義行騙。但值得留意的是，駭客利用了廣為人知的Google表單來騙取這些企業資料，而使得收信人可能因此降低戒心而上當。</p> <p>引起資安界高度關注，且認為駭客將會用於取代Cobalt Strike的滲透測試工具Brute Ratel C4，<a href="https://www.ithome.com.tw/news/153352#brc4">在網路犯罪圈出現了破解版本後</a>，已被勒索軟體駭客用於實際攻擊行動。</p> <p>在本週的資安公告中，SAP、西門子、Aruba都針對旗下產品發布例行修補，值得留意的是，這些資安通告裡，都提及了CVSS風險評分近滿分的重大漏洞，用戶應儘速套用更新軟體，或是採取緩解措施。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.inky.com/en/blog/fresh-phish-small-business-covid-19-grants-designed-for-disaster"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">鎖定美國小型企業的COVID-19補助網釣攻擊升溫，駭客濫用Google表單騙取受害者資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/INKY Fresh Phish SBA Covid Grants 101222-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/INKY%20Fresh%20Phish%20SBA%20Covid%20Grants%20101222-3.png" style="width: 300px; float: right;" /></a>美國小型企業管理局（Small Business Administration，SBA）去年提撥4,160億美元，協助6百萬小型公司渡過難關，但有人假借這類補助的名義騙取公司行號相關資料。</p> <p>資安業者Inky發現假冒SBA的釣魚郵件攻擊，駭客聲稱企業主只需填寫資料提供審核，若是符合資格將會獲得一筆COVID-19救濟金。一旦收信人依照指示點選申請按鈕，就會被引導至駭客建立的Google表單，研究人員指出，其內容很可能是從SBA實際的表單複製而來，難以看出異狀，然而若是收信人填寫相關資料並送出，駭客就能取得個資盜賣，或是洗劫銀行帳戶。</p> <p>研究人員指出，駭客濫用Google表單服務，不僅無須自行架設相關設施，流量往往被資安系統視為合法而逃過檢測，但收信人還是能從電子郵件內容的拼寫與文法錯誤察覺到不對勁的地方。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/j/black-basta-infiltrates-networks-via-qakbot-brute-ratel-and-coba.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta透過滲透測試工具Brute Ratel C4入侵受害組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/qakbot-brute-ratel-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/qakbot-brute-ratel-13.png" style="width: 300px; float: right;" /></a>滲透測試工具Brute Ratel C4（BRC4）<a href="https://www.ithome.com.tw/news/153352#brc4">9月中旬遭到破解並在網路犯罪圈散布</a>，很快就有駭客用於攻擊行動。趨勢科技在9月上旬發現數起利用惡意軟體QBot（亦稱QakBot）的攻擊行動，其中部分駭客將其用來在受害電腦植入BRC4，然後利用此滲透測試工具來調查特權帳號及AD資料，接著投放另一款滲透測試工具Cobalt Strike進行橫向移動。研究人員根據駭客所使用的攻擊手法，判斷攻擊者的身分就是勒索軟體駭客Black Basta。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/sap-patches-critical-vulnerabilities-commerce-manufacturing-execution-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP發布10月份例行修補公告，緩解兩個CVSS風險評分達9.6分的漏洞</span></strong></a></h3> <p>10月11日，SAP發布每月例行更新，總共公告了15組漏洞的資安公告，並提供修補程式。其中最嚴重的是CVE-2022-39802，存在於SAP製造執行系統Manufacturing Execution，為CVSS風險評分達到9.9分的路徑穿越漏洞，且會影響Work Instruction Viewer和Visual Test and Repair兩個附加元件運作，而使得所有類型的工作指引與工作模型無法呈現。</p> <p>另一個重大漏洞則是CVE-2022-41204．出現於該廠牌的電子商務平臺SAP Commerce，CVSS風險評分為9.6分，與登入表單有關，攻擊者可透過URL重新導向的方式挾持使用者帳號。</p> <h3><a href="https://claroty.com/team82/research/the-race-to-native-code-execution-in-plcs-using-rce-to-uncover-siemens-simatic-s7-1200-1500-hardcoded-cryptographic-keys"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子工控系統的全域私鑰恐遭利用，PLC設備資料可能被竄改</span></strong></a></h3> <p>資安業者Claroty揭露西門子工控系統漏洞CVE-2022-38465，存在於該廠牌的PLC控制器SIMATIC S7-1200與S7 -1500產品線，起因是該公司在上述設備裡使用了寫死的全域私鑰，攻擊者可用來繞過西門子的多種防護措施，並設置SIMATIC用戶端進行中間人攻擊，CVSS風險評分為9.3分。西門子獲報後已發布新版韌體予以修補。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/aruba-fixes-critical-rce-and-auth-bypass-flaws-in-edgeconnect/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Aruba針對SD-WAN系統修補3個網頁管理介面的重大漏洞</span></strong></a></h3> <p>Aruba於10月11日針對SD-WAN系統EdgeConnect Enterprise Orchestrator發布資安通告，修補CVE-2022-37913、CVE-2022-37914、CVE-2022-37915等CVSS風險評分達9.8分的重大漏洞，這些漏洞與網頁管理介面有關，可用來取得管理員權限，或是在系統底層執行任意命令。Aruba呼籲用戶應儘速更新，並表示目前尚未發現上述漏洞遭到利用的跡象。</p> <h3><a href="https://www.rapid7.com/blog/post/2022/10/06/exploitation-of-unpatched-zero-day-remote-code-execution-vulnerability-in-zimbra-collaboration-suite-cve-2022-41352/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zimbra修補已出現攻擊行動的RCE漏洞</span></strong></a></h3> <p>資安業者Rapid7於10月6日提出警告，他們發現有人鎖定電子郵件系統Zimbra發動攻擊，駭客針對的弱點是CVE-2022-41352，起因是該系統檢測電子郵件的防毒模組Amavis裡，所使用的元件cpio遭到濫用，攻擊者用來上傳任意檔案，並植入Shell Code．進而存取其他使用者帳號，此漏洞的CVSS風險評分達9.8分。</p> <p>研究人員指出，許多Linux版本提供的Zimbra仍採用cpio而曝險，這些版本包含了Oracle Linux 8、RHEL 8、CentOS 8等。Zimbra於10月10日發布9.0.0 P27予以修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2022/10/stable-channel-update-for-desktop_11.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 106.0.5249.119，修補6個高風險漏洞</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.oxeye.io/blog/vm2-sandbreak-vulnerability-cve-2022-36067"><span style="color: rgb(0, 0, 0);">沙箱元件vm2存在重大漏洞Sandbreak，可被用於RCE攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/toad-fraud.html"><span style="color: rgb(0, 0, 0);">語音網釣攻擊結合安卓惡意軟體，鎖定義大利銀行用戶而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.aquasec.com/private-packages-disclosed-via-timing-attack-on-npm"><span style="color: rgb(0, 0, 0);">私有NPM套件被用於計時攻擊</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153595">【2022年10月12日】 Exchange傳出有新的零時差漏洞被用於攻擊行動、SEMI E187設備資安標準導入指南正式發布</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153556">【2022年10月11日】資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶臉書帳號資料</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153524">【2022年10月7日】利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事件罪名成立</a></strong></strong></strong></p> </div></div></div>
2022/10/13 18:03作者周峻佑https://www.ithome.com.tw/news/153621
Linux核心5.19.12可能造成Intel GPU筆電LCD螢幕損害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日釋出的Linux核心5.19.12引發部分用戶Intel筆電螢幕閃爍或發強光的問題。英特爾警告這問題可能損害LCD螢幕，使用Intel GPU的筆電儘速移除。</p> <p><a href="https://gitlab.freedesktop.org/drm/intel/-/issues/7013" target="_blank">一名用戶表示</a>，安裝了上周釋出的Linux後，<a href="https://www.youtube.com/watch?v=TcfgMWBFsE0" target="_blank">他的筆電螢幕開始快速閃爍白光</a>，好像夜店燈光一般。</p> <p><a href="https://lore.kernel.org/all/[email protected]/" target="_blank">英特爾工程師Ville Syrjälä說明</a>，在檢視了log後，該公司相信是面板電源序列延遲的問題，可能損害LDD面板。英特爾建議移除這版更新，儘速安裝最新穩定版，該公司並建議使用Intel GPU的筆電不要執行5.19.12版核心。</p> <p>英特爾表示，修正問題i915 Intel GFX驅動程式的Linux核心5.19.13版已經釋出。</p> <p>Linux發行版核心5.19於7月釋出，不過<a href="https://www.theregister.com/2022/10/06/intel_linux_gpu_laptop_displays/" target="_blank">《The Register》</a>報導，大部分穩定版可能還未升級到這個核心版本。而且即使要升級，應該會直接升級到6.0版。</p> </div></div></div>
2022/10/10 20:19作者林妍溱https://www.ithome.com.tw/news/153535
【資安月報】2022年9月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近一個多月來，我們看到許多入侵事件都與駭客突破雙因素驗證防護有關，包括：駭客使用語音網釣，使用簡訊網釣手法的社交工程手法，竊取到多因素驗證MFA的簡訊OTP驗證碼，像是Twilio的資安事件，甚至是不斷嘗試觸發MFA通知的這種轟炸手法，讓員工不小心去同意，像是Uber遭駭的事件，都一再突顯駭客持續不斷使用各種社交工程手法，來作為穿透企業防護的起點，以及多因素驗證須採更安全的強式驗證（Strong Authentication）、實體安全金鑰的重要性。當然，Uber事件也顯示更多議題，包括駭客幾乎取得最高權限管理者身分而接管整個企業的重要系統。</p> <p>對於勒索軟體的橫行，早已是許多企業都重視的威脅，而在今年我們在9月公布的<a href="https://www.ithome.com.tw/article/153106">2022年iThome CIO資安大調查的可能遭遇資安風險結果</a>中，也顯現出持續居高不下的趨勢，不論是在過去一年與未來一來最容易遭遇的資安風險調查項目中，持續有近5成企業CIO與高階資安主管這麼認為，不僅顯示比例沒有下降的趨勢，同時，其排名是逐年上升一名，今年甚至居於第一，超過社交工程與駭客所帶來的風險。</p> <p>事實上，從國際消息來看，今年來，勒索軟體攻擊事件是不斷發生，也持續有事件被揭露，國內雖然沒有大型事件曝光於外界，但其實仍然是一直都有攻擊事件發生。</p> <p>例如，在9月初，我們就注意到光學器材製造業、運動成衣製造商、磁磚業者、IT服務業者等國內公司，出現於LockBit 3.0在暗網上所公布的受害者名單上，並揚言不付贖金會將竊取得的資料公開，月底也又有科技廠商列於名單之上。</p> <p>若以過去經驗來看，我們曾詢問過被揭露在名單上的工程業者，他們表示的確有勒索加密攻擊，但範圍不嚴重，並有備份與復原機制，對營運沒有造成很大的影響，因此沒有對外公告資安事件。但是否有些企業災情嚴重，或是有機敏資料沒有妥善加密保護被竊取，並不得而知。</p> <p>而在9月底、10月初，我們又獲知<a href="https://www.ithome.com.tw/news/153515">國內陸續有建築設計公司的設計圖檔遭勒索軟體</a>惡意加密。無論如何，很多事件雖然沒有一一曝光，勒索軟體對國內企業的危害仍然持續，受害苦主是持續增加。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/152867"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年8月29日到9月2日</strong></span></a></h3> <p><strong style="text-align: center;"><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152867"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.png" style="width: 400px; float: right;" /></a></span></span></strong></p> <p>近來國內有不少DDoS攻擊的消息，先前有幾家銀行業遭遇，幸因清洗流量加大並未導致網頁癱瘓，近期國內第三方支付藍新金流也因DDoS攻擊發生資安事故，在8月中下旬發生數次金流平臺服務不穩定或服務中斷情形受關注。</p> <p>在漏洞修補方面，近期Atlassian修補了Bitbucket伺服器與資料中心的一項RCE重大漏洞，其CVE風險評分達9.9分，WordPress在8月30日亦修補一項高風險的SQL注入漏洞。此外，研究人員揭露Linux核心漏洞DirtyCred細節，其中CVE-2021-4154的漏洞，Debian、Ubuntu與Red Hat在今年3月修補，CVE-2022-2588漏洞在8月上半已經釋出修補新版。另外要注意的是，本周美國CISA在8月25日將10個已知漏洞，列入已遭成功利用的高風險漏洞（Known Exploited Vulnerabilities）名單，提醒組織應優先處理，當中有一個關於台達電子DOPSoft 2軟體的漏洞CVE-2021-38406，由於該產品生命週期結束，由於已有攻擊行動，因此呼籲工控系統用戶盡速移除。</p> <p>在國際資安態勢上，近來位於南歐的蒙特內哥羅，其關鍵CI與政府系統疑遭俄羅斯駭客團體攻擊，以及南美智利政府機關疑遭遇RedAlert或Conti勒索軟體攻擊，都發生政府機關服務中斷的情況。Twilio資安事件有後續消息，該公司確定有163個客戶受到影響，而針對駭客竊取MFA之簡訊OTP驗證碼的活動，資安業者Group-IB與雲端身分驗證Okta也公布其掌握到的相關消息。</p> <h3><a href="https://www.ithome.com.tw/news/152976"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年9月5日到9月9日</strong></span></a></h3> <p><a href="https://www.ithome.com.tw/news/152976" style="text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E9%87%8D%E5%A4%A7%E8%B3%87%E5%AE%89%E6%96%B0%E8%81%9E.png" style="width: 400px; float: right;" /></a></p> <p>在本週資安新聞中，勒索軟體DeadBolt再度鎖定攻擊威聯通NAS攻擊，該勒索軟體在今年1月就曾鎖定威聯通、華芸NAS設備攻擊，這次則利用相片管理套件Photo Station的漏洞入侵；去年出現的Mirai變種殭屍網路MooBot，資安業者Palo Alto Network表示，最近該殭屍網路病毒鎖定D-Link路由器攻擊，除了利用兩個早年修補的已知漏洞，還包括今年的CVE-2022-26258、CVE-2022-28958這兩個RCE漏洞入侵，對於相關漏洞修補，用戶需密切注意。此外，CVE-2022-3075零時差漏洞影響所有基於Chromium的瀏覽器，Google近期釋出修補並說明已有攻擊行動，用戶需儘速檢查是否更新。另外，資安業者趨勢科技指出，關於臺灣防疫補助有關的詐騙攻擊在8月呈現大幅增加的情形，比上半年問題嚴重受關注。</p> <p>在威脅態勢上，網釣攻擊套件服務的變化受關注。在2019年，我們即看到有資安業者指出網釣即服務（Phishing-as-a-Service，PaaS）及網釣套件的盛行，讓業餘駭客也能以低成本取得可閃避安全偵測能力的網釣套件，並有8成7套件包含至少一項規避偵測的技術，近日又有資安業者揭露此類消息，揭露一個駭客組織打造、名為EvilProxy的網釣套件租用服務，當中不僅可針對攻擊蘋果、微軟、Google、臉書、推特等服務的帳號發動攻擊，還可對開發者常用的GitHub、PyPI、NPM帳號攻擊，此外，上月微軟曾揭露可繞過多因素認證的大規模網釣活動，在這個EvilProxy服務也提供類似的能力，可將釣魚網站以代理伺服器方式設在用戶連線至目標網站之間，竊取使用者的憑證與期間Cookie，得以規避雙因素驗證並劫持受害者帳號。</p> <p>抖音、微信資料庫在9月5日傳出遭駭，疑似外洩資料被人放到某駭客論壇，後續業者是否認此消息，也有不少專家給出意見，究竟情況如何受國際關注。</p> <h3><a href="https://www.ithome.com.tw/news/153110"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年9月12日到9月16日</strong></span></a></h3> <p><a href="https://www.ithome.com.tw/news/153110" style="text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-17-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 400px; float: right;" /></a></p> <p>本周最受關注的資安新聞，包括勒索軟體DeadBolt攻擊活動，最近危害加劇，近期受害設備最多是美國、德國與義大利，而臺灣數量為第4多；鎖定PyPI套件開發者的網釣攻擊，最近又傳出這樣的消息；近一年來許多勒索軟體在技術手法上，採部分加密、間歇式加密的情形增加，有資安業者分析此現象並認為可能會有更多勒索軟體仿效。此外，月前思科公布5月遭遇駭侵事件，當時勒索軟體駭客組織閰羅王（Yanluowang）聲稱是他們所為，如今思科確認該組織最近洩漏的資料，是當時從公司網路所竊取。</p> <p>在漏洞修補上，微軟本月修補63個漏洞，並特別提醒有三個漏洞最值得留意，首先是CVE-2022-37969漏洞，已有攻擊行動鎖定這個零時差漏洞，此前亦有多家資安業者通報微軟，另兩個一是涉及TCP/IP的CVE-2022-34718漏洞，一是涉及IKE的CVE-2022-34721漏洞，特別的是，我們注意到，微軟本月修補的這68個漏洞，其平均CVSS風險評分，高達7.76分，是至少近3年來所未見的高平均分，而近13個月的平均分為7.19。</p> <p>另外，有兩個WordPress外掛程式，存在零時差漏洞並且都已有攻擊行動，其中WPGateway的零時差漏洞CVE-2022-3180，先前開發者尚未修補，用戶需注意開發者的修補動向及暫時停用，而BackupBuddy的漏洞CVE-2022-31474已獲得修補，用戶須盡速更新。6月揭露的Mitel MiVoice網路電話系統重大漏洞CVE-2022-29499，最近又一起利用事件。</p> <p>在國內方面，近期有兩大議題受關注，分別是半導體產線資安標準有了新進展，以及營業秘密保護方面，經濟部智慧財產局發布《營業秘密保護實務教戰手冊3.0》，甚至台積電也將營業秘密註冊制度與系統擴大推廣到更多供應夥伴。</p> <h3><a href="https://www.ithome.com.tw/news/153233"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年9月19日到9月23日</strong></span></a></h3> <p><strong style="text-align: center;"><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/153233"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E9%87%8D%E5%A4%A7%E8%B3%87%E5%AE%89%E6%96%B0%E8%81%9E.png" style="width: 400px; float: right;" /></a></span></span></strong></p> <p>本周資安新聞中，Uber傳出遭駭事件已證實，駭客於竊得承包商員工帳密後，並在多次嘗試登入之下，導致不斷收到多因素認證通知的員工最終允許；勒索軟體駭客BlackCat近日攻擊手法有新變化，會利用Eamfo惡意程式竊取企業Veeam備份資料中的帳密。</p> <p>在漏洞消息方面，最受關注的是，Python程式語言的Tarfile模組中，依然存在15年前的CVE-2007-4559漏洞，尚未修補，初估有35萬個專案曝險，揭露的資安業者Trellix已提供相關檢測工具Creosote。</p> <p>還有一些資安威脅的趨勢演變值得關注，包括出現長達4個小時的DDoS攻擊，以及Domain Shadowing攻擊的一種DNS劫持攻擊手法，外界普遍難以偵測並開始氾濫。此外，傳出勒索軟體LockBit製作工具流出的消息，若被其他駭客利用，將對防守者帶來更多威脅。</p> <p>在資安推動上，在國內，本周臺灣資安大會2022於南港展覽館登場，不僅是總統蔡英文連續四年蒞臨，副總統賴清德也首度光臨巡視臺灣資安館及重要臺灣廠商， 8月出任數位發展部部長的唐鳳亦是連兩日參與。</p> <h3><a href="https://www.ithome.com.tw/news/153433"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年9月26日到9月30日</strong></span></a></h3> <p>從9月底最後一周的資安新聞來看，中國駭客APT41、TA413的攻擊行動相當值得留意，其中前者運用了具備多種檔案格式特徵的CHM檔案來發動攻擊，而使得將其透過不同的應用程式開啟，會出現完全不同的執行結果。</p> <p>關於企業遭到入侵的事故，在這一周期間，澳洲大型電信業者Optus遭到攻擊，不過，事隔兩天，駭客聲稱因執法單位的壓力，刪除竊得的資料；Uber指控資料外洩的攻擊者是駭客組織Lapsus$，但現在有資安研究人員認為，英國警方逮捕的一名17歲青少年才是主謀。</p> <p>本周駭客作案工具遭到外流的情況，也有越來越頻繁的現象！日前流出的勒索軟體LockBit 3.0產生器，如今有駭客將其製作名為Bl00dy的勒索軟體；再者，另一個引起研究人員關注，認為駭客很有可能拿來取代Cobalt Strike的滲透測試工具Brute Ratel C4（BRC4），現在傳出遭到破解且大肆在網路犯罪圈散布的情況。</p> <p>在重大漏洞部分，Exchange Server這一周再度傳出零時差漏洞，並出現攻擊行動，微軟雖然提出了緩解措施，但尚未提供修補程式。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/152874">2022年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152206">2022年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/151838">2022年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/151486">2022年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/150928">2022年4月資安月報</a></h3> <p> </p> </div></div></div>
2022/10/9 17:40作者羅正漢https://www.ithome.com.tw/news/153504
Apollo GraphQL發布雲端Supergraph平臺GraphOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GraphQL開源公司Apollo宣布推出<a href="https://www.apollographql.com/blog/announcement/platform/introducing-apollo-graphos/">GraphOS</a>，這是一個完整的雲端平臺，讓使用者可以建置連接和擴展Supergraph，官方解釋，GraphOS是Supergraph的作業系統，能以模組化的方式連接後端和前端系統的Runtime，同時，GraphOS還擁有一個整合控制平臺，協助開發人員在Supergraph上進行管理、協作。</p> <p>GraphQL是Meta在2015年釋出，用來替代REST和Ad-hoc網頁服務的技術，在2018年Meta將GraphQL專案轉移到Linux基金會旗下的GraphQL基金會中。</p> <p>Supergraph是Apollo所發表的一個圖架構，該架構統一組織的資料、服務和功能，其目標是要解決跨應用程式查詢的問題，包括Netflix、沃爾瑪和Paypal等大型企業，都在使用這項技術。大型組織的資料通常散落在多個應用程式中，所以在檢索企業業務資料的時候，不能只查詢單一應用程式，但是在技術上，同時查詢多個應用程式有其困難度。</p> <p>而Supergraph是Apollo提出的解決方案，使Supergraph作為企業資料、微服務和數位功能的統一網路，充當企業內的組合層，透過將所有內容集中到Supergraph上，來降低從多個應用程式檢索資料的複雜性，使用戶不需要單獨查詢每個應用程式，而是將查詢發送到Supergraph，由Supergraph自動從儲存資訊中，對不同系統發送請求訊息。</p> <p>GraphOS則是實現Supergraph的具體工具，是一個Supergraph作業系統，使用戶能夠聯合所有資料和服務。GraphOS的核心為Apollo Router，這是一個以Rust開發的Supergraph的Runtime，而Apollo再與Fly.io合作，以Apollo Router為基礎，建構一個雲端Supergraph Runtime，提供核心運算能力，支援查詢計畫、@defer、即時查詢等功能。GraphOS讓企業可以在雲端中實作Supergraph，無需管理基礎設施，在數分鐘內就能建立一個Supergraph。</p> <p>官方解釋，要使用Supergraph不需要重寫整個系統，Supergraph並非架構V2，而是將既有的圖轉換成模組，並將這些模組一一連接在一起。簡單來說，GraphOS使用戶能以最佳實踐建構圖，也就是連結一組模組成為一個Supergraph，而不是巨大的單體圖。</p> <p>Apollo所提供的Supergraph開發工具包內含三個元件，包括可在本地端啟動Supergraph和Runtime的rover dev，以及讓其他人可以存取模板的rover dev，使用戶可以在既有的語言和框架中添加模組，而Sandbox則是供開發者在本地開發和測試Supergraph所開發的GraphQL IDE。</p> </div></div></div>
2022/10/6 23:14作者李建興https://www.ithome.com.tw/news/153500
Postgres WASM開源專案可在瀏覽器內運作Postgres資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料庫供應商Supabase協同開發工具開發商Snaplet，合作開發<a href="https://supabase.com/blog/postgres-wasm">Postgres WASM開源專案</a>，這是一個能夠在瀏覽器運作PostgreSQL伺服器的WebAssembly專案，該專案提供一套完整的功能，包括持久狀態、從pg_dump恢復，以及從遠端資料庫進行邏輯複製等功能。</p> <p>Postgres WASM以WebAssembly運作Postgres的想法並非原創，而是最先由Postgres服務供應商Crunchydata提出，不過Crunchydata的這個專案並非開源，因此Supabase和Snaplet便共同開發了一個開源版本。</p> <p>Postgres WASM會在瀏覽器中啟動一個虛擬機器，來執行PostgreSQL伺服器執行個體，開發團隊使用v86模擬器在瀏覽器模擬執行x86作業系統，而v86運用x86虛擬化技術，即時將x86機器碼轉譯為wasm。目前Postgres WASM還在初期階段，其運作Postgres 14.5提供psql和pg_dump等工具，開發者可以利用Postgres WASM從檔案恢復狀態，或是從IndexedDB等其他瀏覽器，儲存和恢復Postgres狀態，其他功能還有上傳CSV檔案到模擬器，或是從模擬器下載檔案等。</p> <p>官方提到，在瀏覽器以WASM執行Postgres的潛力很大，可以應用的情境很廣，像是可用於教材文件，或是類似sql.js、absurd-sql等瀏覽器離線快取，用戶也可以將其應用在離線資料分析，或是在瀏覽器直接測試PostgresSQL函式、資料建模和邏輯複製等操作。</p> <p>Postgres WASM也能被用於開發環境，從生產環境擷取資料，或是將資料、函式推送到生產環境，使用者甚至可以使用範例資料創建測試資料庫後，再透過拍攝快照發送給其他開發者。</p> <p>目前Postgres WASM儲存庫分為三個部分，分別是虛擬機器、網頁應用程式和網路代理。開發團隊以Buildroot創建了一個可嵌入的虛擬機器，並在虛擬機器中內建安裝Postgres的精簡版Linux。</p> <p>Postgres WASM則是透過WebAssembly在瀏覽器執行虛擬機器的部分，而為了要讓PgAdmin連接到Postgres，因此專案中加入網路代理，開發團隊解釋，由於瀏覽器阻止虛擬機器存取TCP網路，因此必須透過websocket來代理流量，Postgres WASM執行Websockproxy，允許模擬器將websocket埠口發送的資料轉換成TCP封包，並使其與網際網路通訊。</p> <p>現在的Postgres WASM並非一個純WebAssembly實作，開發團隊嘗試要從原始碼直接利用WebAssembly編譯Postgres，但是過程比預期複雜許多，因此折衷做法便是在瀏覽器中虛擬化一臺機器，透過v86在瀏覽器中模擬和x86相容的CPU與硬體。</p> <p>現階段Postgres WASM容量約為30 mb，對於一般需要在瀏覽器執行Postgres的用例來說並不夠好，Supabase和Snaplet正尋求更多的開發者貢獻開源專案。</p> </div></div></div>
2022/10/5 23:22作者李建興https://www.ithome.com.tw/news/153476
【資安週報】2022年9月26日到9月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從9月底最後一周的資安新聞來看，中國駭客APT41、TA413的攻擊行動相當值得留意，其中前者運用了具備多種檔案格式特徵的CHM檔案來發動攻擊，而使得將其透過不同的應用程式開啟，會出現完全不同的執行結果。</p> <p>關於企業遭到入侵的事故，在這一周期間，澳洲大型電信業者Optus遭到攻擊，不過，事隔兩天，駭客聲稱因執法單位的壓力，刪除竊得的資料；Uber指控資料外洩的攻擊者是駭客組織Lapsus$，但現在有資安研究人員認為，英國警方逮捕的一名17歲青少年才是主謀。</p> <p>本周駭客作案工具遭到外流的情況，也有越來越頻繁的現象！日前流出的勒索軟體LockBit 3.0產生器，如今有駭客將其製作名為Bl00dy的勒索軟體；再者，另一個引起研究人員關注，認為駭客很有可能拿來取代Cobalt Strike的滲透測試工具Brute Ratel C4（BRC4），現在傳出遭到破解且大肆在網路犯罪圈散布的情況。</p> <p>在重大漏洞部分，Exchange Server這一周再度傳出零時差漏洞，並出現攻擊行動，微軟雖然提出了緩解措施，但尚未提供修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153254"><span style="color: rgb(0, 0, 0);">【9月26日】微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者GitHub帳號</span></a></strong></h3> <p>勒索軟體駭客鎖定特定的應用系統，做為入侵受害企業的管道，這樣的現象越來越頻繁。例如，有資安業者指出，名為Fargo的勒索軟體針對微軟SQL Server而來，駭客看上的就是這種資料庫系統可能沒有及時修補，或是使用弱密碼，而容易對其發動攻擊。</p> <p>開發者遭到鎖定的情況近期也相當氾濫，但現在有人同時針對兩種系統的用戶發動攻擊。有人自9月中旬針對採用持續開發及持續整合平臺CircleCI、程式碼代管平臺GitHub的用戶發動釣魚郵件攻擊，並要求收信人透過CircleCI帳號存取GitHub，進而竊取受害者的程式碼。</p> <p>協作平臺Atlassian Confluence的重大漏洞CVE-2022-26134再度遭駭客利用！研究人員發現將Confluence伺服器用於挖礦的攻擊行動，值得留意的是，這次駭客也運用了Linux漏洞PwnKit部署挖礦程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153295"><span style="color: rgb(0, 0, 0);">【9月27日】中國駭客TA413利用後門程式Lowzero攻擊圖博人士、Zoom用戶成駭客散布惡意程式的攻擊目標</span></a></strong></h3> <p>又是針對圖博人士的攻擊行動！有研究人員發現中國資助的駭客組織TA413發動的攻擊行動，這些駭客入侵受害組織的管道，先後運用了Sophos防火牆漏洞、MSDT元件漏洞Follina，並使用後門程式Lowzero進行網路間諜行動。在此之前，也有名為RedAlpha的中國駭客組織鎖定圖博社群而來。</p> <p>下載視訊會議軟體也要當心！資安業者揭露駭客以架設冒牌Zoom網站的方式，向受害者散布竊密軟體。這樣的情況，先前也有針對加密通訊軟體Telegram用戶的攻擊事故。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153312"><span style="color: rgb(0, 0, 0);">【9月28日】中國駭客APT41透過CHM檔案散布竊密軟體、北韓駭客Lazarus宣稱提供Crypto職缺散布惡意軟體</span></a></strong></h3> <p>駭客傳遞惡意軟體到受害電腦的手法，不少很可能是透過惡意巨集文件，或是HTML檔案、光碟映像檔來進行，但最近有人製作了具備多種檔案格式特徵的CHM檔案來發動攻擊。這個CHM檔案可被當作Windows說明檔案執行，但後來駭客透過了MSHTA元件來啟動部署惡意軟體的流程。</p> <p>PowerPoint的投影片模式也成為駭客濫用的對象！俄羅斯駭客組織APT28濫用這種功能觸發惡意PowerShell指令碼，而可能躲過資安防護系統的偵測。</p> <p>北韓駭客Lazarus再度假借加密貨幣交易所的職缺發動網釣攻擊！但與過往事件不同的是，這次駭客似乎鎖定macOS使用者而來。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153352"><span style="color: rgb(0, 0, 0);">【9月29日】駭客假借政府機關名義散布Cobalt Strike、美國商業媒體Fast Company遭駭而推送種族仇恨訊息</span></a></strong></h3> <p>攻擊者發動釣魚郵件攻擊的手法，大多是經由內含惡意巨集的Office文件檔案附件來進行，然而最近有人使用的是Word範本檔案來挾帶惡意程式碼，而使得郵件附件裡的Word文件能夠躲過資安系統檢測。</p> <p>美國商業媒體Fast Company遭駭，但值得留意的是，駭客並非從中竊取機密，而是冒用該公司的名義散布種族仇恨訊息。</p> <p>一週前勒索軟體LockBit產生器外流，現在又有滲透測試工具Brute Ratel C4（BRC4）破解版在駭客論壇散布。這種作案工具流出的情況越來越常出現，不只會有更多駭客拿來運用，也可能使得資安人員追查攻擊來源更加困難。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153376"><span style="color: rgb(0, 0, 0);">【9月30日】微軟Exchange伺服器又有零時差漏洞已被駭客鎖定、基於LNK散布惡意軟體的形式日益升溫</span></a></strong></h3> <p>微軟Exchange伺服器2013/2016/2019用戶注意了！有資安業者提出警告，他們從攻擊活動中發現微軟Exchange伺服器又有新的零時差漏洞出現，目前已通報ZDI與微軟，用戶須注意後續修補情形，而該公司也已提供IoC供外界自行比對檢查。同時，微軟在29日也說明這次漏洞分別是CVE-2022-41040的SSRF漏洞，以及CVE-2022-41082的RCE漏洞，並公布暫時緩解方法供企業因應。</p> <p>另一最近值得關注焦點，是網路犯罪者透過Quantum Builder透過LNK散布惡意軟體的趨勢。近三個月來，已有一些資安業者提醒Quantum Builder工具開始被廣泛應用的跡象，例如，資安業者cyble在6月先是揭露，網路犯罪者販售於暗網的Quantum Builder工具，是可用於產生.LNK、.HTA、.ISO與PowerShell腳本的工具，駭客會利用此工具散布Emotet、Bumblebee、Qbot、Iced等惡意程式。</p> </div></div></div>
2022/10/4 10:17作者周峻佑https://www.ithome.com.tw/news/153433
【資安日報】2022年10月4日，微軟針對Exchange零時差漏洞提出的緩解措施可被輕易繞過、美國防承包商遭勒索軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週被資安業者揭露的Exchange零時差漏洞被命名為ProxyNotShell，微軟目前在提供正式修補之前，先公布緩解措施，但事隔數日，有研究人員發現，即使管理者採取微軟提供的措施，駭客還是可以繞過，並利用上述的零時差漏洞發動攻擊。</p> <p>由於微軟尚在製作ProxyNotShell修補程式，研究人員並未透露更詳細的資料，但有人竟然以此為誘餌，趁機以概念性驗證程式向資安人員行騙。</p> <p>又有美國國防承包商傳出遭到勒索軟體攻擊！這次受害的是為美國政府機關、國防部提供IT基礎設施的NJVC，但罕見的是，駭客聲稱竊得NJVC大量機密後不久，網站就無法存取。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/microsoft-exchange-server-zero-day-mitigation-can-be-bypassed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟針對Exchange零時差漏洞ProxyNotShell提出的緩解措施可被輕易繞過</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FeHSTzUVsAAF-u1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FeHSTzUVsAAF-u1.jpg" style="width: 300px; float: right;" /></a>越南網路安全公司GTSC發現Exchange零時差漏洞ProxyNotShell（CVE-2022-41040及CVE-2022-41082），通報後微軟也提出緩解措施，建議管理者依據攻擊特徵配置IIS Manager來防堵相關攻擊，但資安研究員Jang表示，微軟提出防堵上述零時差漏洞的措施，攻擊者能輕易繞過，他也公布螢幕截圖印證此事，隨後另一位威脅研究員Will Dormann也認同這項發現，他指出微軟的做法不夠充分，而最早發現此漏洞的GTSC，也發布影片印證這項說法。</p> <p>此外，資安研究員Kevin Beaumont提出警告，只要組織採用內部建置的Exchange（包含混合雲部署模式），就有可能曝露在ProxyNotShell的風險，根據物聯網搜尋網站的搜尋結果，超過1,200個組織採用了混合雲部署模式Exchange，而可能成為駭客鎖定的目標。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/fake-microsoft-exchange-proxynotshell-exploits-for-sale-on-github/"><span style="color: rgb(0, 0, 0);">尚未有修補程式的微軟Exchange零時差漏洞出現新亂象！有人在GitHub假借兜售概念性驗證程式進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fd6J_QPX0AUBTFi.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fd6J_QPX0AUBTFi.jpg" style="width: 300px; float: right;" /></a>Exchange零時差漏洞ProxyNotShell曝光不久，尚未有研究人員公布完整細節，但有人趁機想要進行詐騙。研究人員John Hammond、Paulo Pacheco發現，有人趁機在GitHub兜售概念性驗證程式（PoC），要價約420美元，實際上卻是騙局，若是資安人員依照指示支付比特幣，不會收到對方宣稱的PoC檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://cybernews.com/news/blackcat-breached-department-of-defense-contractor-went-offline/"><span style="color: rgb(0, 0, 0);">美國國防承包商NJVC遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Fdzx3AmWIAI1L9e.png" style="width: 300px; float: right;" />根據新聞網站Cybernews的報導，勒索軟體駭客BlackCat（Alphv）於9月28日聲稱，他們攻陷IT業者NJVC竊得大量機密檔案，並揚言每12小時公布部分竊得的資料。NJVC主要為美國聯邦政府與國防部提供相關服務，年營收為2.9億美元。</p> <p>然而，駭客發布上述訊息之後不久，BlackCat的網站就出現離線的情況，直到30日才再度上線。不過，此時駭客列出的受害者名單已經沒有NJVC。這中間究竟發生了什麼事？仍有待進一步調查。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sygnia.co/revealing-emperor-dragonfly-a-chinese-ransomware-group"><span style="color: rgb(0, 0, 0);">Linux勒索軟體Cheerscrypt背後的駭客來自中國</span></a></strong></h3> <p>資安業者Sygnia調查勒索軟體Cheerscrypt攻擊事故時，發現駭客使用與勒索軟體Night Sky相同的策略、技術，以及作業程序（TTP）。經過進一步調查後，他們發現，兩種勒索軟體背後的攻擊者身分，都是駭客組織Emperor Dragonfly（亦稱DEV-0401、Bronze Starlight），由於此組織運用中國開發者針對當地用戶打造的開源工具，研究人員認為，這些駭客很可能也來自中國。</p> <h3><strong style="font-size: 22px;"><a href="https://www.reuters.com/technology/ferrari-says-no-evidence-system-breach-ransomware-2022-10-03/"><span style="color: rgb(0, 0, 0);">賽車製造商法拉利遭網路攻擊，疑為勒索軟體駭客RansomEXX所為</span></a></strong></h3> <p>賽車製造商法拉利（Ferrari）於10月3日傳出遭網路攻擊，導致部分內部資料流出。根據義大利媒體晚郵報（Corriere della Sera）的報導，此起事故是勒索軟體駭客組織RansomEXX所為，總共竊得7 GB資料，包含維修手冊等內部資料，且這些資料已被公開。針對此事，法拉利表示目前尚未有證據顯示是勒索軟體攻擊或資料外洩，該公司營運並未因此中斷。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/cve-2022-37461-two-reflected-xss-vulnerabilities-in-canon-medicals-vitrea-view/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Canon Medical醫療影像存取軟體存在漏洞，恐導致資料外洩</span></strong></a></h3> <p>資安業者Trustwave揭露Canon Medical旗下的醫療影像存取軟體Vitrea View的XSS漏洞CVE-2022-37461，一旦攻擊者利用這項漏洞，就有可能存取病人的資料，甚至入侵醫院其他系統。這項漏洞存在於管理介面與錯誤訊息頁面，其中，針對管理介面的部分，駭客一旦成功引誘管理者點選特定的URL，駭客就能竄改或建立新的Python、JavaScript、Groovy指令碼。Canon Medical於今年4月發布Vitrea View 7.7.6版修補上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.crowdstrike.com/blog/new-supply-chain-attack-leverages-comm100-chat-installer/"><span style="color: rgb(0, 0, 0);">即時通訊系統Comm100的電腦版軟體遭植入木馬程式，疑中國駭客所為</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/russian-retail-chain-dns-confirms-hack-after-data-leaked-online/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯家電聯鎖賣場DNS傳出資料外洩，1,600萬人個資流入駭客論壇</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.kyivpost.com/world/russian-citizens-wage-cyberwar-from-within.html"><span style="color: rgb(0, 0, 0);">俄羅斯反戰駭客傳出攻擊政府網站</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153411">【2022年10月3日】駭客設置冒牌財星500大企業資安長LinkedIn帳號、前IT人員竄改企業的網域配置遭起訴</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153376">【2022年9月30日】微軟Exchange伺服器又有零時差漏洞已被駭客鎖定、基於LNK散布惡意軟體的形式日益升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153352">【2022年9月29日】駭客假借政府機關名義散布Cobalt Strike、美國商業媒體Fast Company遭駭而推送種族仇恨訊息</a></strong></strong></strong></p> </div></div></div>
2022/10/4 18:09作者周峻佑https://www.ithome.com.tw/news/153457
Deno 1.26改進文字編碼和檔案處理效能，並強化對Node.js的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript、TypeScript執行環境<a href="https://deno.com/blog/v1.26#typescript-48">Deno釋出最新版本1.26</a>，這個版本的更新重點除了效能提升外，同時也改進Node.js與NPM的相容性。官方預告，他們內部一直進行的效能改進工作，透過解決瓶頸減少延遲和處理開銷，近期將會公開完整成果。</p> <p>但和1.24.3版本相比，Deno 1.26在效能改進部分，已經有一些初步的進展，像是將文字編碼到現有的TypedArray中，小型負載的最大吞吐量提升至5倍，較大的有效負載則提高到30倍，而且同步寫入Deno.writeFileSync()速度也提高達1.44倍，非同步寫入Deno.writeFile()的速度也有小幅度提升1.15倍。</p> <p>之前因為官方改變Deno文字解編碼的方法，導致CSV解析效能下降，但現在官方著手進行改進，在基準測試中，這個版本在Mac上有1.36倍的效能提升，Linux也有加速1.15倍。另外，現在沒有查詢字串的URL解析速度提高至2.27倍，對於具有多個查詢字串參數的複雜URL，解析速度也提高了1.37倍。</p> <p>開發團隊對Deno的檔案系統操作進行諸多改進，與1.24.3版本相比，許多檔案操作效能都有不同幅度的提升（下圖），在MacOS上，Deno.copyFileSync會盡可能使用APFS寫入時複製這個系統呼叫，以取得最佳化策略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-Denp-600.png" style="width: 476px;" /></p> <p><span style="color:#696969;">圖片來源／Deno Land</span></p> <p>Deno 1.26在Node.js相容層中，添加了幾個之前不被支援的API實作，此外，整個相容層的測試套件已經更新，以前測試套件僅支援Node.js 16.13.0，現在已經能夠相容Node.js 18.8.0，官方解釋，這項工作是為了Node.js 18會在10月進入長期支援做準備。</p> <p>Deno中的Node.js串流實作，已經更新使用[email protected] NPM模組，這項更新將讓Deno能夠更好地跟上重大更新。Deno在這個版本添加對快取API的支援，該API讓開發者可以快取請求/回應物件，開發團隊提到，這個功能在動態生成回應時很有幫助，可以讓開發者快取GET請求的回應，並從快取中對類似請求提供回應。Deno 1.26也附帶了最新的TypeScript穩定版4.8。</p> </div></div></div>
2022/10/4 09:02作者李建興https://www.ithome.com.tw/news/153430
低位元率音訊開源編解碼器Lyra釋出第2版，速度更快支援更多平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2021年開源的低位元率音訊編解碼器Lyra，經過社群的熱心貢獻與改進，不只修復和格式化程式碼，還對專案建構持續整合工作管線，甚至增加支援WebAssembly，現在Google宣布釋出<a href="https://opensource.googleblog.com/2022/09/lyra-v2-a-better-faster-and-more-versatile-speech-codec.html">Lyra V2</a>。</p> <p>由於全球COVID-19疫情的關係，對遠端語音通訊需求大幅上升，因此Google創建Lyra，目的是要將其應用在遠端工作和低頻寬環境中，藉此改善語音通話品質，Lyra是一款極低位元率音訊編解碼器，並運用機器學習技術來提高音訊品質。</p> <p>Lyra獲得不少開發者的歡迎，並要求在更多平臺上運作Lyra，以更多種程式語言開發應用程式，同時也希望運算速度可以更快、有更多的位元率選項，還有延遲更低、音質更好且失真更少等功能。Lyra V2肩負這些期待，採用全新的架構，並且支援更多的平臺，提供用戶可擴充的位元率功能，效能也較第一版更好，也能夠產生更高品質的音訊。</p> <p>Lyra V2採用一種稱為SoundStream的端到端神經音訊編解碼器，該架構在傳輸通道之前和之後，都有一個殘差向量量化器（Residual Vector Quantizer，RVQ），可將經編碼的資訊量化成位元串流，並在解碼端進行重建。Google解釋，將RVQ整合到架構中，便能夠透過選擇量化器數量，隨時更改Lyra V2的位元率，使用更多量化器，就會產生更高品質的音訊。</p> <p>Lyra V2支援三種不同的位元率，分別是3.2 kps、6 kbps和9.2 kbps，供開發者依網路條件和品質需求選擇適當的位元率。由於Lyra V2模型使用TensorFlow Lite匯出，而TensorFlow Lite是輕量版本行動的TensorFlow，支援各種平臺和硬體加速。</p> <p>開發團隊已經在Android手機和Linux上進行過測試，並且實驗性支援Mac和Windows，目前仍不支援在iOS與其他嵌入式平臺，但開發團隊提到，這種範式將透過TensorFlow Lite，使Lyra未來也能夠支援該平臺所支援的任何平臺。</p> <p>在使用新架構之後，Lyra V2的延遲從原本的100毫秒降低到了20毫秒，這樣的延遲程度已經能夠與當前最被廣泛使用的音訊編解碼器Opus for WebRTC媲美，Opus for WebRTC的一般延遲落在26.5 毫秒、46.5毫秒和66.5毫秒。</p> <p>Lyra V2的解碼和編碼速度也比之前的版本快5倍，Google在Pixel 6 Pro手機上試驗，Lyra V2僅需要0.57毫秒編碼和解碼一段20毫秒的音訊框，比即時快上35倍，而降低複雜度代表有更多手機能夠即時運作Lyra V2，並且降低電池消耗。</p> <p>另外，Lyra V2的音質也因為機器學習技術的進步而獲得提升，聽力測試顯示Lyra V2在3.2 kbps、6 kbps和9.2 kbps的音質，已經與Opus的10 kbps、13 kbps和14 kbps相同，也就是說，Lyra V2要達到與Opus相同音質，只要使用Opus的50％到60％頻寬。這代表在頻寬受限的環境，可以連接更多的裝置，或是透過網路送出更多訊息，並更有機會透過前向錯誤更正和封包丟失補償技術，避免語音斷斷續續的問題。</p> <p>Lyra V2提供的內容涵蓋Lyra V1，包括所有的建置工具、測試框架、C++編碼和解碼API、訊號處理工具鏈和範例應用程式，Lyra V2雖然與Lyra V1存在部分差異，但是開發體驗大致相同。</p> </div></div></div>
2022/10/3 21:50作者李建興https://www.ithome.com.tw/news/153412
【新世代伺服器記憶體技術邁向實際應用】第一波CXL應用產品即將問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_3wang_ye_960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>圖片來源／Samsung</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當CXL聯盟於2019年3月發布CXL 1.0版規範後，很快就有廠商發表支援CXL的產品。</p> <p>例如Intel在2019年4月發表Agilex FPGA家族時，便宣稱其中的I系列與M系列都內含CXL的支援（這兩款FPGA都是基於PCIe 5.0），是最早支援CXL的周邊裝置平臺，可以讓Agilex FPGA與Xeon系列CPU之間，利用CXL建立快取一致性的連結，共享彼此的記憶體。</p> <p>在2021年5月，三星發表內含128GB DDR5記憶體的CXL記憶體擴充卡，支援CXL 2.0規格，也是最早的Type 3 CXL周邊裝置產品，可利用這種記憶體擴充卡，賦予伺服器TB等級的記憶體配置容量，並為CPU提供額外的記憶體傳輸頻寬。</p> <p>主機平臺方面，Intel早在2020年8月的Architecture Day 2020大會預告，新一代伺服器處理器平臺Sapphire Rapids，將會支援PCIe 5.0與CXL 1.1。AMD方面，在2021年11月宣布，新一代的Zen 4架構處理器家族中，Genoa與Bergamo等2種EPYC伺服器處理器都將支援PCIe 5.0，以及CXL 1.1。</p> <p>雖然因為種種理由，這幾種處理器至今遲遲未能上市，不過我們可以預期，2023年以後新推出的伺服器處理器平臺，應該都會支援PCIe 5.0與CXL。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(3)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%EF%BC%BD-PNG.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>第一批支援CXL的伺服器主機平臺</strong></span></p> <p><span style="color:#696969;"><strong>Intel早在2020年8月便已預告，新一代的伺服器處理器平臺Sapphire Rapids將會支援PCIe 5.0與CXL 1.1，是最早宣布支援CXL的伺服器平臺，但隨著Sapphire Rapids處理器推出時間的不斷延遲，也拖慢CXL的推廣與應用時程。</strong>圖片來源／Intel</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(3)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%EF%BC%BD.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#3399ff;"><strong>三星的CXL附加周邊裝置</strong></span></p> <p><span style="color:#696969;"><strong>三星自2021年以來陸續發表2款CXL產品，圖片</strong></span><span style="color:#696969;"><strong>上半部為三星的CXL記憶體擴展器，是CXL Type 3的擴充記憶體卡，用於擴展伺服器的記憶體容量與頻寬。</strong></span></p> <p><span style="color:#696969;"><strong>圖片</strong></span><span style="color:#696969;"><strong>下半部的產品為三星Memory-Semantic SSD，兼具NVMe SSD與CXL擴充記憶體，內含8GB DRAM——若設為SSD模式，可作為底層NAND Flash記憶體的緩衝區，大幅提高存取效能；若調整為CXL模式，則可以供主機CPU存取，作為額外的擴充記憶體。</strong>圖片來源／Samsung</span></p> <p><span style="font-size:28px;"><strong>SC21大會中的CXL產品展示</strong></span></p> <p>事實上，2021年12月舉行的SC 21大會，成了CXL解決方案原型的展示場，眾多廠商都展出了相關產品與概念。例如，Teledyne LeCroy展示CXL協定分析儀，Mobiveil則展出CXL控制器，以及這款控制器運行CXL.mem、CXL.cache協定的能力。</p> <p>同時，Astera Labs、Intel、Synopsys等廠商，共同展出結合Intel Sapphire Rapids處理器、Astera Labs的Solstice 3U Riser Card——內含Aries CXL 智慧型定時器（Smart Retimers），以及Synopsys CXL控制器的系統，並且驗證這套系統運行CXL.io協定的能力。</p> <p>Rambus則展示了內含其CXL 2.0控制器的FPGA卡，用戶可透過CXL.mem協定，存取主機CPU管理的HBM記憶體。</p> <p>前述都是元件開發用途或元件級產品，而非直接面對用戶端的系統產品，另一些廠商則展出更接近實際應用的解決方案，例如Montage Technology、Meta與三星，都展出了Type 3類型的CXL記憶體卡解決方案。</p> <p>Montage Technology提供的是FPGA卡工程原型，內含CXL Type 3控制器、DDR4/5記憶體控制器，可支援CXL.io與CXLmem協定；Meta展出CXL記憶體卡，在Linux環境下，可透過CXL 2.0協定連結Intel Sapphire Rapids處理器，能將CXL記憶體卡內建的64GB DDR5記憶體，映射為伺服器主機CPU可使用的記憶體；三星則將其CXL記憶體擴充卡，整合到SAP HANA In-Memory-Database應用環境。</p> <p>特別值得一提的是Elastics.cloud，以及IntelliProp，這2家廠商展出跨伺服器節點的「網路化」CXL共享記憶體方案。</p> <p>Elastics.cloud推出的CXL解決方案，搭載該公司專屬FPGA加速版卡，這種加速卡內含32GB記憶體，安裝在伺服器PCIe擴充槽上，主機CPU可透過CXL協定存取FPGA卡上的記憶體，而安裝這種FPGA卡的伺服器，也能透過100Gb DAC銅纜彼此互連，進而存取另一臺伺服器上的FPGA卡記憶體，也就是說，可以藉由CXL讓2臺伺服器組成一個記憶體池。</p> <p>IntelliProp也展出基於CXL Fabric Adaptor網路卡橋接（Bridge）方案，可透過該公司的Sphnix CX HBA卡，管理網路附加記憶體（Fabric Attached memory），將多組網路附加記憶體，經由Sphnix CX HBA卡與交換器的介接，將記憶體配置給Arm處理器主機使用，構成網路化的共享記憶體池，並可透過Fabric Manager軟體來管理應用環境。</p> <p>利用這類跨節點的網路化CXL架構，理論上，用戶可以組成數百TB甚至PB等級的超大規模記憶體池，從而提供一種幾乎不需移動資料，並具備極高效能的運算架構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(3)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963%EF%BC%BD.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>跨伺服器節點的CXL應用概念</strong></span></p> <p><span style="color:#696969;"><strong>Elastics.cloud的FPGA-based CXL解決方案，提供了跨伺服器節點的CXL應用架構。上圖中的2臺伺服器都安裝Elastics.cloud的FPGA-based CXL加速板卡，既可透過CXL介面將板卡上的記憶體提供給主機CPU使用，還可透過100Gb DAC直連纜線連接另一臺伺服器的CXL板卡，使用另一臺伺服器上的CXL板卡記憶體。</strong>圖片來源／Elastics.cloud</span></p> <p><span style="font-size:28px;"><strong>2022年的CXL新產品</strong></span></p> <p>到了2022年，CXL記憶體擴充卡產品有了更多進展。例如，三星於5月發表其CXL記憶體擴充卡的升級版本，容量提高到512GB，較第1代產品提高了4倍，存取延遲則只有1/5。聯想（Lenovo）也表示，未來將在他們的產品採用三星這款CXL記憶體擴充卡。</p> <p>接著，三星又在8月的FMS 2022大會展出十分特別的CXL產品——Memory-Semantic SSD，它是混合搭載DRAM與NAND Flash記憶體的SSD，支援NVMe-PCIe 5.0與CXL雙模式連接介面，從該廠活動現場展出的原型照片來看，應該是三星原有PM9A3 PCIe 4.0 SSD產品，加上含有DRAM模組的CXL控制器裝置整合而成。</p> <p>在設置為NVMe-PCIe的模式下，Memory-Semantic SSD搭載的8GB DRAM，是作為NAND Flash記憶體的緩衝區使用，可大幅提高存取效能，號稱效能較PCIe 4.0 SSD提高20倍；若設為CXL模式，其搭載的DRAM則可作為CXL共享記憶體使用，提供Type 2類型CXL裝置的應用。</p> <p>SK Hynix也在8月跟進，發表支援CXL 2.0的記憶體擴充卡產品，每張卡可提供96 GB記憶體，預訂2023年開始量產。</p> <p>8月底，Astera Labs亦發表2款Leo系列CXL記憶體控制器晶片，可支援CXL 1.1與2.0，每顆控制器可管理最多2TB記憶體，搭配該公司Aurora A系列記憶體擴充板卡，可提供Type 3類型的CXL記憶體擴充周邊應用。</p> <p>SMART Modular Technologies（世邁科技）則在9月，發表了XMM CXL記憶體模組產品，採用EDSFF E3.S的外形規格，內含64GB DDR5記憶體。</p> <p><span style="font-size:28px;"><strong>CXL周邊產品初具雛形</strong></span></p> <p>就目前的情況來看，由於CXL 3.0剛發布不久，因此目前既有的CXL解決方案都只支援到CXL 2.0。而在不同裝置類型的CXL實用化進度上，周邊裝置則走在伺服器平臺前面。</p> <p>在伺服器主機平臺方面，由於第一批支援CXL的處理器平臺，如Intel的Sapphire Rapids，以及AMD Genoa與Bergamo，推出時間都有所延遲，因此，預計要等到2023年，伺服器平臺才會正式支援CXL。</p> <p>而在周邊裝置方面，Type 1、Type 2、Type 3類型的周邊裝置，都已有廠商發表了工程驗證用原型或產品，其中屬於Type 1與Type 2類型的應用較少，只有Rambus與Mobiveil等少數廠商，而且大都屬於控制器元件，而非提供給用戶端的系統層級產品。</p> <p>至於Type 3類型已有的產品或解決方案，數量相對較多，從雲端服務平臺龍頭Meta，記憶體大廠三星與SK Hynix，到Montage Technology等新創廠商，都發表了相關解決方案。其中三星與SK Hynix的產品，都已跡近商品上市階段，應該是目前發展程度最成熟的CXL產品類型。</p> <p>整個CXL應用環境，預期應該會在2023年進入實用化階段，屆時Intel與AMD支援CXL的伺服器平臺都會上市，而在周邊裝置方面，三星與SK Hynix所發展的CXL記憶體卡，應該也都會開始出貨，從而初步形成更普遍的CXL應用環境。</p> <p><a href="https://www.ithome.com.tw/article/153369" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/153369" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1097-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=QU0bjIo7" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/cxl">CXL</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E5%85%B1%E4%BA%AB%E6%B1%A0">大共享池</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94">記憶體</a></div><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/cpu">CPU</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8-0">伺服器</a></div></div></div>
2022/10/3 07:00作者張明德https://www.ithome.com.tw/tech/153367
AWS桌面虛擬化服務Amazon WorkSpaces開始支援Ubuntu
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-workspaces-introduces-ubuntu-desktops/">AWS更新其桌面虛擬化服務Amazon WorkSpaces</a>，現在用戶不只可以使用微軟Windows和Amazon Linux，現在還可以選擇Ubuntu。官方提到，Ubuntu桌面用戶群鎖定開發人員、工程師和資料科學家，虛擬桌面用戶也將有更多桌面選擇，並且擴展可運作的工作負載類型。</p> <p>AWS引用HackerEarth 2020開發者調查的數字，Ubuntu是目前最受專業開發人員廣泛使用的作業系統，官方提到，許多開發人員和DevOps工程師在Ubuntu電腦，都有一套經過良好測試的腳本、工具和函式庫，而在Amazon WorkSpaces上提供Ubuntu桌面，可以讓用戶使用熟悉且相容的環境，存取資料科學、機器學習和物聯網等開源工具。</p> <p>目前Amazon WorkSpaces提供的Ubuntu版本為22.04 LTS（Jammy Jellyfish），Canonical針對雲端開發使用，最佳化基礎映像檔，並且預先安裝了AWS CLI和SDK。用戶可以選擇Value、Standard、Performance、Power或Power Pro套裝，規格從1個vCPU和2 GB記憶體，增加至最高8個vCPU與32 GB記憶體。</p> <p>Ubuntu Workspaces預計還會提供兩個新功能，包括現在用戶可以使用Windows或是網頁的Workspaces客戶端進行連接，而Linux和macOS客戶端的支援則會在之後發布，另外，GPU執行個體Graphics.g4dn和GraphicsPro.g4dn套裝會在數周後上線。</p> <p>所有Ubuntu WorkSpaces都可獲得Ubuntu Pro的服務，包括10年延長的安全修補，目前所有提供Workspaces服務的AWS地區，除了中國寧夏之外，都已經可以用到Ubuntu Workspaces。將Workspaces作為主要桌面的用戶可以選擇按月計費，偶爾使用則可選按小時計費，Ubuntu Workspace起價每個桌面每月23美元，或是每小時0.19美元。</p> </div></div></div>
2022/9/30 21:26作者李建興https://www.ithome.com.tw/news/153380
【資安日報】2022年9月30日。微軟Exchange伺服器又有零時差漏洞已被駭客鎖定，基於LNK散布惡意軟體的形式日…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者提出警告，他們發現微軟Exchange伺服器又有新的零時差漏洞出現，目前攻擊者該公司已通報ZDI與微軟，用戶須注意後續修補情形，而該公司也已提供IoC供外界自行比對檢查。</p> <p>另一最近值得關注焦點，是透過Quantum Builder透過LNK散布惡意軟體的趨勢。近三個月來，已有一些資安業者提醒Quantum Builder工具出現被廣泛應用的趨勢，例如，資安業者cyble在6月先是揭露，網路犯罪者販售於暗網的Quantum Builder工具，是可用於產生.LNK、.HTA、.ISO與PowerShell腳本的工具，駭客會利用此工具散布Emotet、Bumblebee、Qbot、Iced等惡意程式。</p> <p>在最近這兩天，又有兩家公司觀察到類似情形，例如，<a href="https://www.ithome.com.tw/news/153312#zscaler">Zscaler旗下ThreatLabz觀察到</a>，最近幾個月Quantum Builder工具使用量增加，攻擊者使用魚叉式網釣郵件，在GZIP附件中包含惡意LNK檔，進而散布Agent Tesla，還有<a href="https://www.ithome.com.tw/news/153376#securonix">資安業者Securonix最近揭露</a>的一起針對攻擊行動中，同樣指出攻擊者是利用網釣郵件，在ZIP壓縮檔中採夾帶LNK檔方式來散布惡意程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://gteltsc.vn/blog/warning-new-attack-campaign-utilized-a-new-0day-rce-vulnerability-on-microsoft-exchange-server-12715.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新的微軟Exchange零時差漏洞出現，已有駭客鎖定該漏洞活動</span></strong></a></h3> <p>越南網路安全公司GTSC在9月28日表示，在8月前後的事件處理過程中，發現微軟Exchange遭網路攻擊的情況，後續該公司團隊確認，攻擊者是利用一個尚未揭露的微軟Exchange零時差漏洞。目前，由於已有攻擊行動，該公司也及時通報ZDI與微軟，ZDI也已驗證並確認了2個漏洞，其CVSS風險分數為8.8與6.3分，微軟暫未釋出修補。根據GTSC的說明，該漏洞屬於RCE漏洞，可允許遠端執行程式碼，鎖定此漏洞的攻擊者，會在受感染的機器上，部署Chinese Chopper web shell，以長期潛伏並竊取資料，同時指出幕後攻擊者非常可能是中國的駭客組織。</p> <h3><a href="https://www.securonix.com/blog/detecting-steepmaverick-new-covert-attack-campaign-targeting-military-contractors/" id="Securinix" name="Securinix"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">軍事承包商遭秘密攻擊行動，駭客鎖定其員工發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-30_161011_圖片來源Securitonx.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-30_161011_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Securitonx.jpg" style="width: 220px; float: right;" /></a></p> <p>資安業者Securonix在9月27日發布一份調查報告，接露發現一項針對多家軍事承包商的新活動，其中一家是F-35 Lightning II戰鬥機元件的供應商。Securonix研究人員指出，此攻擊活動一開始是透過網釣攻擊攻擊者在ZIP郵件附檔中包含一個Windows捷徑檔（Company & Benefits.pdf.lnk），執行後將連接到C2伺服器並啟動一系列PowerShell腳本，進而使系統感染惡意軟體。特別的是，該LNK檔是透過System32\ForFiles.exe命令來執行，較為少見。此外，檔案執行後下一步，是解開七階段的PowerShell執行鏈，資安業者在這裡面發現攻擊者使用多種技術，實現複雜的混淆處理。</p> <h3><a href="https://blog.lumen.com/chaos-is-a-go-based-swiss-army-knife-of-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Chaos感染Windows、Linux裝置，並將其用於DDoS攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-30_161050_圖片來源Lumen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-30_161050_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Lumen.jpg" style="width: 220px; float: right;" /></a></p> <p>資安業者Lumen在9月28日公布發現Chaos殭屍網路正快速擴張，積極鎖定Windows與Linux設備感染，以使用他們進行挖礦與發動DDoS攻擊。根據該公司研究人員說明，Chaos是基於GO程式語言開發，並是用中文編寫，使用的C2伺服器也位於中國。Chaos的感染傳播方式，除了針對各種安全漏洞，以及SSH暴力破解，也會使用被盜的SSH密鑰劫持更多設備。而他們在9月前幾周也發現，Chaos主機的DDoS攻擊目標，橫跨歐洲、中東，以及非洲、亞太地區與北美，攻擊對象涵蓋遊戲、金融、科技，以及媒體與娛樂行業。</p> <h3><a href="https://tw.news.yahoo.com/news/%E8%A9%90%E9%A8%99%E9%9B%86%E5%9C%98%E7%8C%96%E7%8D%97%E6%AC%B2%E5%85%A5%E4%BE%B5%E7%AB%8A%E5%8F%96%E6%B6%88%E8%B2%BB%E8%80%85%E8%B3%87%E6%96%99-%E5%BF%AB%E9%BB%9E%E8%B3%BC%E5%AE%98%E6%96%B9-%E5%B7%B2%E5%A0%B1%E8%AD%A6%E4%B8%A6%E5%BC%B7%E5%8C%96%E8%B3%87%E5%AE%89-082233707.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">快點購電商平臺稱遭駭客入侵，可能顧客個資外洩，提醒民眾當心詐騙</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-30_120356_圖片來源擷取自快點購.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-30_120356_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E5%BF%AB%E9%BB%9E%E8%B3%BC.jpg" style="width: 220px; float: right;" /></a></p> <p>近日「快點購」電商平臺公布遭駭客入侵的消息，根據該公司的聲明，他們是中天電視指定的電商平臺，發現不肖分子非法入侵竊取資料，因此提醒消費者資料可能被竊。目前，該公司尚未揭露事件發生時間、影響範圍，不確定是否所有顧客資料外洩，以及可能外洩的個資內容，但表示已報警處理並會強化資安，同時也提醒平臺用戶，當心被竊個資被詐騙集團用於詐騙的情形。</p> <h3><a href="https://home.kpmg/tw/zh/home/media/press-releases/2022/09/kpmg-tw-released-cyber-risk-report-2022.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">KPMG發布2022臺灣企業資安曝險調查，供應鏈核心產業亟需加強網路防護</span></strong></a></h3> <p>安侯建業聯合會計師事務所（KPMG）於9月22日發表《2022年台灣企業資安曝險調查報告》，當中指出臺灣整體企業的平均防護程度欠佳，具備一般技術的駭客就能入侵多數企業。從產業類別來看，僅有金融業的表現較佳，其餘產業就有顯著的落差。該公司認為，臺灣企業目前所需面臨的現象，包含了社群媒體衍生的網路攻擊、資安人力缺乏、供應鏈核心產業有待加強網路防護等，其中又以社群媒體相關的社交工程攻擊風險首當其衝，尤其是金融業很可能大量透過這類管道來發布資訊，並留下聯絡訊息，成為駭客能用來發動攻擊的途徑，他們也呼籲金融業要特別謹慎運用社群媒體。</p> <h3><a href="https://www.microsoft.com/security/blog/2022/09/29/zinc-weaponizing-open-source-software/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟揭露北韓駭客集團Zinc正將眾多開源工具當作攻擊武器</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-30_161257_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-30_161257_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 220px; float: right;" /></a></p> <p>對於北韓駭客集團Zinc的攻擊活動，微軟在9月29日接露最新發現，指出ZINC最近幾個月來，透過LinkedIn平臺建立假招募訊息的方式，聲稱要替科技、國防與媒體公司徵才，建立連繫後會鼓勵求職者以WhatsApp通訊，接著再伺機傳送惡意程式，特別的是，該駭客組織過去經常使用木馬化的PuTTY，近期其能力是更為擴展，有更多開源軟體也被他們武器化，包括最近微軟發現還有KiTTY、TightVNC、Sumatra PDF Reader，以及muPDF/Subliminal Recording。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.drupal.org/sa-core-2022-016"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Drupal釋出新版，修補存在於Twig模板引擎可能導致敏感資訊洩漏的嚴重漏洞</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-30_161320_圖片來源擷取自Drupal.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-30_161320_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AADrupal.jpg" style="width: 220px; float: right;" /></a></p> <p>知名內容管理系統Drupal在9月28日發布安全公告，說明修補一重大漏洞CVE-2022-39261，該漏洞可允許攻擊者透過文件系統載入程序，在配置目錄之外載入模板。根據Drupal官方說明，這次漏洞問題存在於Twig模板引擎，而Drupal本身使用Twig作為預設模板引擎，因此Twig釋出更新修補的同時，修補了這項影響Drupal的漏洞，建議用戶更新至Drupal 9.4.7與Drupal 9.3.22版本。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_5807"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟通過AI責任指令，規範AI為資訊安全帶來的責任與損害影響</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-30_161351_圖片來源EU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-30_161351_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90EU.jpg" style="width: 220px; float: right;" /></a></p> <p>歐盟執委會（European Commission，EC）在9月28日表示，通過兩項提案，包括《AI責任指令》AI Liability Directive，以及《產品責任指令》Product Liability Directive。其中，以AI責任指令而言，目的是為了強化保歐盟民事責任框架以符合現代化，避免因此首度引入了專門針對AI產品造成損害的賠償規則與能力，也就是說，由AI所帶來的資訊安全問題，可能有各種型態的受害者，而此指令就是要確保，當AI供應商、開發者或AI用戶的過錯或疏忽時，能有公平機會去要求賠償，同時此指引也將與人工智能法案（Artificial Intelligence Act）相互補強。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://tw.news.yahoo.com/%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E4%B8%8D%E5%A4%96%E6%B4%A9-%E6%94%BF%E9%99%A2%E9%80%9A%E9%81%8E%E6%99%BA%E6%85%A7%E8%B2%A1%E7%94%A2%E6%A1%88%E4%BB%B6%E5%AF%A9%E7%90%86%E6%B3%95-082604956.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對營業秘密外洩事件防治，行政院通過智慧財產案件審理法</span></strong></a></h3> <p>為強化我國營業秘密保護與智慧財產保護，提升國際競爭優勢，除了持續修正營業秘密保護法，為了相關案件讓審理程序更具專業、妥適與效率，行政院在8月29日通過智慧財產案件審理法修正草案，新版將可強化營業秘密保護，重點在將秘密保持命令罪的刑責提高，並取消「告訴乃論」，且境外違法同樣要受罰。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://citizenlab.ca/2022/09/statement-on-the-fatal-flaws-found-in-a-defunct-cia-covert-communications-system/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CIA使用的秘密情報通訊系統有缺陷，導致線人身分曝光</span></span></strong></a></p> <p><a href="https://www.securityweek.com/details-disclosed-after-schneider-electric-patches-critical-flaw-allowing-plc-hacking?&web_view=true"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">施耐德電機修補一年多前披露的嚴重漏洞CVE-2021-22779</span></span></strong></a></p> <p><a href="https://auth0.com/blog/auth0-code-repository-archives-from-2020-d-earlier/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Auth0揭露2020年10月前的程式儲存庫外洩的安全事件，強調事件發生在Okta併購之前</span></span></strong></a></p> <p><a href="https://www.ettoday.net/news/20220929/2347729.htm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">呼籲民眾勿信投遞信箱的假禮券及QRCode，7-11澄清並未發送可領現金禮券2000元的活動</span></span></strong></a></p> <p> </p> <h3><span style="color:#808080;"><strong>近期資安日報</strong></span></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153352"><span style="color:#808080;">【2022年9月29日】駭客假借政府機關名義散布Cobalt Strike、美國商業媒體Fast Company遭駭而推送種族仇恨訊息</span></a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153312"><span style="color:#808080;">【2022年9月28日】中國駭客APT41透過CHM檔案散布竊密軟體、北韓駭客Lazarus宣稱提供Crypto職缺散布惡意軟體</span></a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153295"><span style="color:#808080;">【2022年9月27日】中國駭客TA413利用後門程式Lowzero攻擊圖博人士、Zoom用戶成駭客散布惡意程式的攻擊目標</span></a></strong></strong></strong></p> </div></div></div>
2022/9/30 13:00作者羅正漢https://www.ithome.com.tw/news/153376
Google Chrome修補5項高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（9/27）公布Windows、Linux及Mac版Chrome 106桌機版本更新於穩定通道，修補20項漏洞，包含5項高風險漏洞。</p> <p><a href="https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop_27.html" target="_blank">Google最新釋出的更新</a>為Chrome 106.0.5249.61（Mac/Linux）及106.0.5249.61/62（Windows），將在未來幾天到幾周內部署到用戶端。</p> <p>本月修補的20項漏洞中，Google只公布16項來自外部研究人員通報的漏洞。公布的5項高風險漏洞中有4項為使用已釋放記憶體（Use after free）漏洞，分別位於CSS（CVE-2022-3304）、Media（CVE-2022-3307），以及Survey（CVE-2022-3305及CVE-2022-3306）。第5項高風險漏洞則為對未信任輸入資訊的驗證不足漏洞，影響 Chrome的開發工具（CVE-2022-3201）元件。</p> <p>以發出的抓漏獎金金額來判斷，5項漏洞最嚴重的是CVE-2022-3304。<a href="https://www.redpacketsecurity.com/google-chrome-css-code-execution-cve-2022-3304/" target="_blank">根據安全廠商Red Packet Security說明</a>，使用已釋放記憶體可能導致遠端攻擊者在電腦上執行任意程式碼，或發動阻斷服務（denial of service，DoS）攻擊。攻擊者可以透過社交工程手法，誘使用戶點擊連結造訪惡意網站來觸發這項漏洞。</p> <p>Google公布的8項中度風險漏洞涵括使用已釋放記憶體、未信任輸入資訊的驗證不足漏洞、政策執行不足、安全UI不正確，影響開發工具、Assistant、Import、VPN、全頁模式及Logging等元件，以及1項影響Blink元件的型態混淆漏洞。此外還有2項低風險漏洞。</p> <p>本月沒有任何零時差漏洞。</p> <p>同樣的漏洞也會影響Chromium-based瀏覽器，包括Edge、Brave、Opera、Vivaldi等。<a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security" target="_blank">微軟Edge團隊表示正在製作修補程式</a>。</p> </div></div></div>
2022/9/29 09:44作者林妍溱https://www.ithome.com.tw/news/153331
微軟移植Commerce服務至.NET 6平臺，降低成本開銷同時提升穩定度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟從2019年開始，為了要把內部處理收入的系統Microsoft Commerce移上Azure，因此逐步將程式碼庫<a href="https://devblogs.microsoft.com/dotnet/microsoft-commerce-dotnet-6-migration-journey/">移植到.NET 6版本</a>，而這樣的升級改進整體服務品質指標，不只節省成本，也使得來自.NET Runtime的異常減少。</p> <p>Microsoft Commerce是一組服務的集合，這些服務處理各種微軟的收入，包括來自龐大的產品和服務、維護授權資訊，甚至替每個營運區域計算稅收等。Microsoft Commerce涵蓋700多個服務，服務有大有小並在可用性、可擴展性和法遵都有不同要求，其中最大規模的服務，每秒需要處理超過110萬次請求，並在數十萬個核心上運作。</p> <p>微軟在2019年的時候開始了這項搬遷計畫，考慮到要將Commerce搬上Azure，並且充分使用容器和Kubernetes，就需要轉向使用Linux，同時需要搬遷至.NET Core。這項搬遷工作其中最具代表性的工作，便是全球查詢服務GLS（ Global Lookup Service），因為GLS歷經了最長的搬遷旅程。</p> <p>GLS是一個分區服務，根據臨近程度映射微軟使用者到資料位置，微軟解釋，這是一個重要的基礎設施服務，支援著Xbox和微軟商店等消費商務場景。</p> <p>GLS是一種分散式大規模RESTful服務，部署於全球4個地區，全球每秒請求超過10萬次，該服務最初是用.NET Framework 4.6.2編寫並在Windows虛擬機器上運作，作為Commerce搬遷到Azure的一部分工作，GLS程式碼庫從.NET Framework 4.6.2升級至.NET Core 3.1、5，然後是.NET 6，現在已可容器化在AKS（Azure Kubernetes Service）上運作。</p> <p>微軟提到，Commerce各服務因差異，所以搬遷的時間都不一樣，但他們早期搬遷服務，花費的時間比晚期搬遷的服務要長得多，因為透過搬遷過程中的學習，使得搬遷過程越來越容易，部分從.NET Framework搬遷到.NET Core的服務，開發團隊可能會在搬遷過程執行額外的更新，使得測試和驗證的工作增加，但從5.0到6.0的遷移就更為直接，許多只需要更改幾行程式碼就可以獲得框架改進，時間通常不到一天。</p> <p>微軟在衡量搬遷成功與否主要關注成本，從.NET Framework搬遷到.NET Core 3.1，部分服務可節省成本達80％，vCore減少35％以上，另外，微軟也提到，他們有一項重要的服務，搬遷到.NET Core 3.1後，服務延遲降低約78％，同時明顯提升穩定性。GLS的搬遷呈現了相似的成本下降，與最先的.NET Framework與Windows虛擬機器配置相比，搬遷後vCore減少30％，延遲降低20％。</p> <p>.NET 5搬遷到.NET 6，GLS的改進主要體現於.NET指標上，像是即便保持相同RPS時，但是執行緒池中的執行緒數量下降，顯示執行緒管理效能變好，另外，升級也改進了連接管理，使得並行連接數下降，而且來自.NET Runtime的執行異常也隨之下降。</p> </div></div></div>
2022/9/27 22:45作者李建興https://www.ithome.com.tw/news/153296
【資安日報】2022年9月27日，中國駭客TA413利用後門程式Lowzero攻擊圖博人士、Zoom用戶成駭客散布惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是針對圖博人士的攻擊行動！有研究人員發現中國資助的駭客組織TA413發動的攻擊行動，這些駭客入侵受害組織的管道，先後運用了Sophos防火牆漏洞、MSDT元件漏洞Follina，並使用後門程式Lowzero進行網路間諜行動。在此之前，也有<a href="https://www.ithome.com.tw/news/152592#redalpha">名為RedAlpha的中國駭客組織</a>鎖定圖博社群而來。</p> <p>下載視訊會議軟體也要當心！資安業者揭露駭客以架設冒牌Zoom網站的方式，向受害者散布竊密軟體。這樣的情況，先前也有針對加密通訊軟體Telegram用戶的攻擊事故。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/chinese-state-sponsored-group-ta413-adopts-new-capabilities-in-pursuit-of-tibetan-targets"><span style="color: rgb(0, 0, 0);">中國駭客TA413利用後門程式Lowzero攻擊圖博人士</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese_state_sponsored_group_ta413_adopts_new_capabilities_in_pursuit_of_tibetan_targets_figure5_ad30b808bd.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese_state_sponsored_group_ta413_adopts_new_capabilities_in_pursuit_of_tibetan_targets_figure5_ad30b808bd.png" style="width: 300px; float: right;" /></a>資安新聞網站Recorded Future揭露中國駭客組織TA413鎖定圖博組織與人士的攻擊行動，駭客利用Sophos防火牆重大RCE漏洞CVE-2022-1040，以及MSDT元件漏洞Follina（CVE-2022-30190）入侵受害組織，進而於電腦植入後門程式Lowzero。</p> <p>研究人員指出，有鑑於這些駭客在利用上述漏洞的期間，仍舊不時使用名為Royal Road的惡意RTF檔案產生器（該產生器利用微軟方程式編輯器2017至2018年的漏洞）發動攻擊，再加上他們發現至少有3組中國政府資助的駭客組織利用上述的Sophos防火牆漏洞，研究人員認為，這些駭客很可能透過相同管道取得多種作案工具。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/19/new-malware-campaign-targets-zoom-users/"><span style="color: rgb(0, 0, 0);">開啟網址連結下載Zoom視訊會議軟體要小心！駭客下手透過冒牌網站散布竊密程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-Flow.png" style="width: 300px; float: right;" /></a>資安業者Cyble提出警告，視訊會議系統Zoom的用戶遭到鎖定，駭客架設冒牌的Zoom網站並引誘使用者下載應用程式，且這些網站所使用的網域都有zoom字串，如：zoom-download[.]host、zoomus[.]tech，而難以判斷真偽。</p> <p>研究人員指出，一旦受害者點選網站上的連結，將會下載存放於GitHub的壓縮檔Zoom.zip，經執行後就會在電腦上植入竊密軟體Vidar。研究人員呼籲用戶下載Zoom安裝程式之前應提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mend.io/resources/blog/popular-cryptocurrency-exchange-dydx-has-had-its-npm-account-hacked/"><span style="color: rgb(0, 0, 0);">DeFi業者開發的NPM套件被植入竊密軟體</span></a></strong></h3> <p>9月23日，原名為WhiteSource的開源程式碼安全業者Mend，發現去中心化（DeFi）平臺dYdX所持有的NPM帳號，上傳了數個套件的新版本，但這些套件都含有惡意程式碼，一旦用戶安裝，電腦就會被植入竊密軟體。</p> <p>究竟駭客如何竄改這些套件？研究人員推測，有可能透過其他攻擊事件偷到該公司的NPM帳密而得逞，並認為此起事故是供應鏈攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/the-mystery-of-metador-an-unattributed-threat-hiding-in-telcos-isps-and-universities/"><span style="color: rgb(0, 0, 0);">駭客組織Metador鎖定中東與非洲的電信業者、ISP、大專院校發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Metador_8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Metador_8.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露名為Metador的駭客組織，該組織主要的攻擊範圍是中東與非洲，並針對電信業者、ISP、大專院校下手，這些駭客在攻擊的過程中會繞過受害組織的資安系統，並透過寄生攻擊（LOLBins）的方式，濫用Microsoft Console Debugger（CDB.EXE），將惡意軟體框架直接部署於記憶體內，目的是進行長期的間諜行動。研究人員總共發現兩款惡意軟體框架metaMain、Mafalda，也有鎖定Linux主機的惡意軟體。</p> <p>至於攻擊者的來源，該公司表示駭客使用英文和西班牙語，且實力雄厚，而能發展極為複雜的攻擊工具，但他們難以判斷攻擊者的身分。</p> <h3><strong style="font-size: 22px;"><a href="https://udn.com/news/story/7320/6639973"><span style="color: rgb(0, 0, 0);">中科院技師下載軍事機密，並在被逮捕前刪除相關資料</span></a></strong></h3> <p>國家中山科學研究院傳出洩露軍事機密，卻因為檔案遭到刪除而無法判斷受害情形。根據聯合新聞網、公視、自由時報等媒體的報導，中科院系統發展中心彭姓技術師涉嫌於2018年，複製機密資料於個人資料夾，內容包含國家機密事務人員名冊、無人登月機、雄三飛彈性能提升報告等，中科院隔年6月察覺此事祭出停權處分，但彭男仍在中科院服務至2020年底才離職。</p> <p>這起重大洩密案件原本由臺灣高等檢察署調查，卻因為彭男後來在2020年偷用同事帳號刪除相關資料，而無法認定竊取的資料是否涉及機密，最後由桃園地檢署以刪除公務電腦電磁紀錄罪起訴，一審判刑8個月。<a href="https://www.ncsist.org.tw/csistdup/news/NewsPublishDetail.aspx?PostNo=16569">中科院也發布新聞稿證實此事</a>，表示尊重司法判決，並承諾加強相關機密的保護措施。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities"><span style="color: rgb(0, 0, 0);">DNS軟體BIND存在漏洞，恐被用於DoS攻擊</span></a></strong></h3> <p>網際網路系統協會（ISC）於9月21日發布資安通告，他們針對旗下的DNS軟體Berkeley Internet Name Domain（BIND）修補6個漏洞，這些漏洞都有可能被用於遠端攻擊。該協會指出其中有4個漏洞為高風險層級，且會導致服務阻斷（DoS），這些漏洞是CVE-2022-2906、CVE-2022-3080、CVE-2022-38177，以及CVE-2022-38178。</p> <p>ISC發布BIND 9.16.33、9.18.7、9.19.5來修補上述漏洞。美國網路安全暨基礎設施安全局（CISA）也提出呼籲，DNS伺服器管理者要儘速檢視上述高風險漏洞的資安通告，並採取緩解措施。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/21/rewards-plus-fake-mobile-banking-rewards-apps-lure-users-to-install-info-stealing-rat-on-android-devices/"><span style="color: rgb(0, 0, 0);">伊朗駭客以銀行點數獎勵為幌子，針對印度安卓手機用戶散布惡意軟體</span></a></span></strong></p> <p><a href="https://www.humansecurity.com/learn/blog/poseidons-offspring-charybdis-and-scylla"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員於Google及蘋果App市集上發現逾80款詐騙程式</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cyfirma.com/outofband/erbium-stealer-malware-report/"><span style="color: rgb(0, 0, 0);">竊密軟體Erbium假借遊戲破解或作弊工具散布</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153254">【2022年9月26日】微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者GitHub帳號</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153218">【2022年9月23日】勒索軟體BlackCat鎖定備份系統竊取資料、存在15年的Python漏洞恐影響35萬個開源專案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153192">【2022年9月22日】駭客以LinkedIn的付費版功能散布惡意連結、勒索軟體LockBit的製作工具遭到外洩</a></strong></strong></strong></p> </div></div></div>
2022/9/27 18:10作者周峻佑https://www.ithome.com.tw/news/153295
Google雲端容器分析開始支援Java和Go套件掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/devops-sre/java-and-go-vulnerability-scanning-support">Google雲端的容器掃描API現在會自動掃描Maven和Go套件中的漏洞</a>，官方提到，只要啟用容器掃描API，該API就會掃描上傳到構件註冊表（Artifact Registry）儲存庫的Java和Go語言套件，以尋找存在的漏洞。目前該功能尚在公開預覽階段。</p> <p>該功能建立於現有Linux作業系統的漏洞檢測功能之上，提供用戶對其應用程式更深入的安全分析。容器掃描API會針對每個映像檔逐一分析，並且在結果列表中顯示漏洞總數，用戶可以藉由點擊進一步取得漏洞的CVE編號，當有可用的資料，系統也會提供用戶漏洞修復資訊。同時用戶還可以透過gcloud CLI或是API取得漏洞資訊。</p> <p>Google解釋，這個新功能是利用現有的按需功能掃描Java和Go語言套件，並在推送到構件註冊表自動掃描，該語言是對既有Linux作業系統掃描的補充。這個掃描功能也可以和Pub/Sub通知結合一起使用，以觸發針對漏洞和其他後設資料的操作，像是對需要收到漏洞訊息的人發送電子郵件。</p> </div></div></div>
2022/9/26 22:34作者李建興https://www.ithome.com.tw/news/153253
【資安日報】2022年9月26日，微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客鎖定特定的應用系統，做為入侵受害企業的管道，這樣的現象越來越頻繁。例如，有資安業者指出，名為Fargo的勒索軟體針對微軟SQL伺服器而來，駭客看上的就是這種資料庫系統可能沒有及時修補，或是使用弱密碼，而容易對其發動攻擊。</p> <p>開發者遭到鎖定的情況近期也相當氾濫，但現在有人同時針對兩種系統的用戶發動攻擊。有人自9月中旬針對採用持續開發及持續整合平臺CircleCI、程式碼代管平臺GitHub的用戶發動釣魚郵件攻擊，並要求收信人透過CircleCI帳號存取GitHub，進而竊取受害者的程式碼。</p> <p>協作平臺Atlassian Confluence的重大漏洞CVE-2022-26134再度遭駭客利用！研究人員發現將Confluence伺服器用於挖礦的攻擊行動，值得留意的是，這次駭客也運用了Linux漏洞PwnKit部署挖礦程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/39152/"><span style="color: rgb(0, 0, 0);">微軟SQL Server被勒索軟體Fargo盯上！駭客疑似針對弱密碼與尚未修補的漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/감염된파일리드미.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EA%B0%90%EC%97%BC%EB%90%9C%ED%8C%8C%EC%9D%BC%EB%A6%AC%EB%93%9C%EB%AF%B8.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現勒索軟體Fargo（亦稱Mallox）鎖定微軟SQL伺服器的攻擊行動，駭客先是透過命令提示字元（CMD）與PowerShell，來執行此資料庫的處理程序，下載由.NET編譯而成的惡意程式，進而在主機上植入更多作案工具。上述的惡意程式亦會產生BAT批次檔並於暫存資料夾執行，來關閉特定的處理程序及服務。接著，勒索軟體Fargo藉由注入名為AppLaunch.exe的應用程式執行，並加密主機的檔案。</p> <p>研究人員認為，駭客很可能是針對SQL伺服器進行暴力破解攻擊，或是利用尚未修補的漏洞下手，得以入侵受害組織，他們呼籲企業應使用高強度的密碼，並更新SQL伺服器軟體等措施，來防堵相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-stealing-github-accounts-using-fake-circleci-notifications/"><span style="color: rgb(0, 0, 0);">盜取開發者的GitHub帳號有新手法，攻擊者鎖定CI/CD平臺下手</span></a></strong></h3> <p><a href="https://discuss.circleci.com/t/circleci-security-alert-warning-phishing-attempt-for-login-credentials/45408">持續開發及持續整合平臺CircleCI提出警告</a>，有人自9月15日開始，假冒CircleCI的名義發動釣魚郵件攻擊，宣稱該公司更新服務合約，收信人必須依照指示，透過CircleCI的帳號來登入程式碼代管平臺GitHub，才能繼續使用相關服務，一旦依照指示操作就有可能受害。CircleCI指出，駭客使用的網域是circle-ci[.]com（較合法網域多了破折號），要用戶提高警覺。</p> <p>事隔數日，<a href="https://github.blog/2022-09-21-security-alert-new-phishing-campaign-targets-github-users/">GitHub也於22日提出警告</a>，表示相關攻擊行動仍持續發生，並表示駭客一旦得逞，就有可能迅速透過VPN下載程式碼儲存庫的所有內容。經調查後該公司已為受到影響的使用者重設密碼，並移除駭客設置的帳密。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/i/atlassian-confluence-vulnerability-cve-2022-26134-abused-for-cryptocurrency-mining-other-malware.html"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再度遭到利用！駭客將其搭配PwnKit發動挖礦攻擊</span></a></strong></h3> <p>研究人員於6月發現鎖定協作平臺Atlassian Confluence的零時差漏洞CVE-2022-26134（CVSS風險評分為9.8分）攻擊行動，Atlassian也很快就予以修補，但事隔3個月，最近又有駭客看上這項漏洞並將其用於攻擊行動。</p> <p>資安業者趨勢科技指出，他們偵測到鎖定此協作平臺的攻擊行動，駭客針對尚未修補漏洞的主機下手，進而濫用Java處理程序竄改環境變數、防火牆政策，然後透過Wget或Curl並搭配PwnKit漏洞（CVE-2021-4034），於受害主機部署挖礦軟體。研究人員認為，駭客很有可能將CVE-2022-26134用於其他攻擊行動，呼籲IT人員應儘速安裝修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://https://thehackernews.com/2022/09/london-police-arrested-17-year-old.html"><span style="color: rgb(0, 0, 0);">攻擊Uber的駭客可能另有其人，有研究人員指出英國警方逮捕的青少年涉嫌發動相關攻擊</span></a></strong></h3> <p>9月23日，英國警方宣布逮捕一名居住於牛津郡的17歲青少年，原因是他涉嫌從事駭客行為，這名青少年涉及兩項電腦不當使用的罪名，並符合兩種無法交保的條件而遭到起訴。</p> <p><a href="https://twitter.com/vxunderground/status/1573294842649911298">根據資安研究團隊VX Underground掌握的資訊</a>，這名青少年就是攻擊車輛共乘媒合平臺Uber、電玩業者Rockstar的駭客。根據Uber的調查，攻擊者的身分是駭客組織Lapsus$，但這名駭客是否為該組織的成員？英國警方並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153244"><span style="color: rgb(0, 0, 0);">澳洲大型電信業者Optus遭駭，逾900萬客戶資料外洩</span></a></strong></h3> <p>澳洲第二大電信業者Optus於9月22日遭到網路攻擊，並表明駭客的目標是該公司客戶資料。根據<a href="https://www.wsj.com/articles/cyberattack-on-optus-potentially-exposes-millions-of-customer-accounts-11663920097">華爾街日報</a>、<a href="https://www.theguardian.com/australia-news/2022/sep/24/optus-cyber-attack-company-opposed-changes-to-privacy-laws-to-give-customers-more-rights-over-their-data">衛報</a>的報導，最嚴重的情況可能是當地所有客戶（約970萬至980萬人）資料遭到外洩。Optus指出，可能外流的資料包括客戶姓名、生日、電話號碼、電子郵件信箱，但密碼與付款資料不受影響，行動網路與家用網路的服務都未遭到波及。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.sophos.com/en-us/security-advisories/sophos-sa-20220923-sfos-rce"><span style="color: rgb(0, 0, 0);">Sophos修補已遭利用的防火牆RCE漏洞</span></a></strong></h3> <p>資安業者Sophos於9月23日發布資安通告，指出旗下的防火牆解決方案存在程式碼注入漏洞CVE-2022-3236，這項漏洞出現在使用者入口網站與網站伺服器管理控制面板（Webadmin），一旦遭到利用攻擊者就能執行遠端程式碼（RCE）。該公司發布18.5 MR5、19.0 MR2，以及19.5 GA版防火牆軟體予以修補，並指出已有部分南亞組織遭到攻擊，他們已通報這些受害組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/microsoft-issues-out-band-patch-flaw-allowing-lateral-movement-ransomware-attacks"><span style="color: rgb(0, 0, 0);">尚未修補的端點裝置管理系統漏洞遭到公開，微軟緊急提供更新程式</span></a></strong></h3> <p>微軟於9月20日，針對端點裝置管理系統Endpoint Configuration Manager（原System Center Configuration Manager，SCCM）發布額外更新KB15498768，主要是修補CVE-2022-37972，CVSS風險評分為7.5分，影響2103至2207版，並表示漏洞細節已經遭到公開，但尚未發現遭到利用的跡象，呼籲用戶要儘速修補。</p> <p>究竟相關的漏洞細節是如何外流？微軟並未進一步說明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/7320/6639973"><span style="color: rgb(0, 0, 0);">中山科學研究院技師下載軍事機密，並在被逮捕前刪除相關資料</span></a></span></strong></p> <p><a href="https://ssu.gov.ua/novyny/sbu-neitralizuvala-khakerske-uhrupovannia-yake-zlamalo-maizhe-30-mln-akauntiv-hromadian-ukrainy-ta-yes"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭警方逮捕竊取3千萬個帳號兜售的駭客組織成員</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-abusing-notepad-plugins-for-evasion-and-persistence"><span style="color: rgb(0, 0, 0);">駭客組織StrongPity濫用開源記事本程式Notepad++的外掛元件來規避偵測</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153218">【2022年9月23日】勒索軟體BlackCat鎖定備份系統竊取資料、存在15年的Python漏洞恐影響35萬個開源專案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153192">【2022年9月22日】駭客以LinkedIn的付費版功能散布惡意連結、勒索軟體LockBit的製作工具遭到外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153164">【2022年9月21日】資安業者Imperva緩解持續長達4小時的大規模DDoS攻擊、駭客鎖定Oracle WebLogic伺服器挖礦</a></strong></strong></strong></p> </div></div></div>
2022/9/26 16:15作者周峻佑https://www.ithome.com.tw/news/153254
【資安週報】2022年9月19日到9月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周資安新聞中，Uber傳出遭駭事件已證實，駭客於竊得承包商員工帳密後，並在多次嘗試登入之下，導致不斷收到多因素認證通知的員工最終允許；勒索軟體駭客BlackCat近日攻擊手法有新變化，會利用Eamfo惡意程式竊取企業Veeam備份資料中的帳密。</p> <p>在漏洞消息方面，最受關注的是，Python程式語言的Tarfile模組中，依然存在15年前的CVE-2007-4559漏洞，尚未修補，初估有35萬個專案曝險，揭露的資安業者Trellix已提供相關檢測工具Creosote。</p> <p>還有一些資安威脅的趨勢演變值得關注，包括出現長達4個小時的DDoS攻擊，以及Domain Shadowing攻擊的一種DNS劫持攻擊手法，外界普遍難以偵測並開始氾濫。此外，傳出勒索軟體LockBit製作工具流出的消息，若被其他駭客利用，將對防守者帶來更多威脅。</p> <p>對於中國惡意挖角臺灣人才與竊密的情形，最近法務部調查局特別示警，指出自2021年專案偵辦以來，已查獲至少40起惡意挖角與竊取機密的案件。</p> <p>在資安推動上，在國內，本周臺灣資安大會2022於南港展覽館登場，不僅是總統蔡英文連續四年蒞臨，副總統賴清德也首度光臨巡視臺灣資安館及重要臺灣廠商， 8月出任數位發展部部長的唐鳳亦是連兩日參與。</p> <h2 class="rtecenter"><strong>本週重大資安新聞<br /> <a href="https://www.ithome.com.tw/news/153233#uber"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#blackcat"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#python"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#trade_secret"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#CYBERSEC2022"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#president"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#lockbit"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#jpmorgan"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#chrome"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#NPA"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></a></strong></h2> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/uber-hacked-internal-systems-breached-and-vulnerability-reports-stolen/" id="uber" name="uber" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">將帳密寫死在指令碼釀新禍！有駭客透過網釣取得這類資訊而滲透Uber的特權管理系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fcvh_tEXkAMsCN4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fcvh_tEXkAMsCN4.jpg" style="width: 300px; float: right;" /></a>車輛共乘媒合平臺Uber傳出在9月15日遭到網路攻擊，年僅18歲的駭客向媒體、資安人員表示，他先針對該公司員工進行社交工程攻擊，竊得相關帳密後存取Uber的內部網路環境。</p> <p>這名駭客聲稱能夠存取該公司的AWS控制臺、VMware ESXi的虛擬機器，Google Workspace的管理儀表板等，駭客還在Uber所屬的Slack頻道上向該公司員工表示，Uber已經遭到入侵，結果許多員工以為是開玩笑而不予理會，一名員工透露IT部門要求他們暫時停止使用Slack；此外，員工上網似乎都會被導向色情網站。</p> <p>隔日，Uber證實遭到入侵，但強調他們旗下的服務皆不受影響。研究人員Corben Leo表示，駭客是假冒Uber的IT人員向員工進行攻擊，得逞後通過VPN存取該公司內部環境，找到PowerShell指令碼並挖掘出特權管理系統Thycotic的管理員帳號，進而取得該公司各式系統帳號。根據紐約時報的報導，駭客疑似存取了Uber的資料庫與原始碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/uber-links-breach-to-lapsus-group-blames-contractor-for-hack/"><span style="color: rgb(0, 0, 0);">Uber指控遭駭事故疑為駭客組織Lapsus$所為，承包商的帳號遭冒用</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/153130#uber">車輛共乘媒合平臺Uber上週末傳出遭駭</a>，經過調查後，該公司於9月19日指稱，攻擊者就是駭客組織Lapsus$，這些駭客竊得承包商員工的帳密而得逞。Uber指出，此起事故是1名承包商人員的個人裝置感染了惡意程式，導致帳密外流，駭客利用多因素驗證轟炸的手法，使得該名員工最後放行，讓駭客能入侵Uber。</p> <p>隨後，這些駭客存取了多名員工的帳號，進而得到Google Workspace、Slack的管理員權限，同時重新設定Uber的OpenDNS組態，從而導致該公司員工上網被導向色情圖片，就連存取內部網站也無法倖免。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/noberus-blackcat-ransomware-ttps" id="blackcat" name="blackcat"><span style="color: rgb(0, 0, 0);">備份資料成為駭客竊取使用者帳密的新目標，勒索軟體BlackCat鎖定Veeam備份軟體竊取資料</span></a></strong></h3> <p>資安業者賽門鐵克指出，今年8月勒索軟體駭客BlackCat所使用的攻擊工具，針對雙重勒索的做法上出現變化。該組織使用的資料外洩模組Exmatter，限縮只針對17種格式的檔案下手，並具備破壞檔案的能力；再者，這些駭客也採用名為Eamfo的惡意程式，來竊取Veeam備份資料裡面的帳密。</p> <p>研究人員指出，駭客為了避免防毒軟體干擾攻擊行動，他們將Exmatter的程式碼重新改寫，而能躲過偵測；同時，駭客也運用名為GMER的Rootkit掃描工具刪除特定的處理程序。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153206" id="jpmorgan" name="jpmorgan"><span style="color: rgb(0, 0, 0);">摩根史坦利廢棄硬碟與伺服器洩露客戶資料，遭罰3,500萬美元</span></a></strong></h3> <p>摩根史坦利旗下部門因報銷公司的舊資料系統不當，導致高達近1,500萬名客戶資料曝險，主管機關美國證券交易委員會（SEC）將祭出3,500萬美元罰款。</p> <p>本案源於2015年該公司關閉財富管理部門MSSB時，未能妥善處理包含客戶重要個資的系統。當時他們聘請不具資料銷毀能力的清運公司，來處理報銷的數千個硬碟和伺服器，卻沒有監督此清運業者的執行過程，使得上述存放客戶個資的設備遭到轉賣，相關資料也隨之曝險。MSSB並未證實上述的調查結果，但將會向支付SEC罰款。</p> <h3><strong style="font-size: 22px;"><a href="https://www.otto-js.com/news/article/chrome-and-edge-enhanced-spellcheck-features-expose-pii-even-your-passwords"><span style="color: rgb(0, 0, 0);">瀏覽器拼字檢查功能未將密碼排除在外，而導致密碼上傳到Google與微軟</span></a></strong></h3> <p>專精JavaScript安全的資安業者otto提出警告，用戶若是啟用網頁瀏覽器Chrome的進階拼字檢查（Enhanced Spellcheck）功能，以及Edge的拼寫檢查元件Microsoft Editor，瀏覽器就有可能將網站表單裡輸入的資料傳送給Google或是微軟，假如是密碼欄位，且使用者點選了「顯示密碼」按鈕，就會將密碼傳送出去。</p> <p>研究人員指出，這是兩家公司為了改善翻譯結果，將使用者輸入的資料回傳到伺服器進行分析，但這樣的機制也會回傳用戶點選明文顯示的密碼，他們將這種威脅稱為「拼字劫持（Spell-Jacking）」，並挑選超過50個網站進行測試，結果高達96.7%的網站，都會把使用者輸入的資料傳送給Google或微軟，也有73%會送出密碼，而約有20％網站不會送出密碼的原因，則是因為沒有提供顯示密碼的功能。</p> <p>該公司呼籲網站管理者，應在特定欄位加上關閉拼字檢查的指令，來因應瀏覽器拼字檢查功能將用戶資料回傳到Google或微軟的情況。Google、微軟並未針對此事做出回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/asoc/202209160249.aspx" id="trade_secret" name="trade_secret"><span style="color: rgb(0, 0, 0);">中國企業挖角臺灣高科技產業、竊密，1年查獲40起</span></a></strong></h3> <p>法務部調查局於9月16日指出，自民國110年專案偵辦中國對臺灣人才挖角的情況，他們查獲至少40起惡意挖角與竊取機密的案件。</p> <p>經分析發現，中國企業往往轉由第三地地區投資公司的名義，刻意掩飾身分或資金來源，再到臺灣從事惡意挖角與竊密，這樣的情況，顯示這些不法行為並非僅是單純的經濟競爭，而有可能危及國家安全。調查局指出，中國企業挖角的目標多為臺灣的IC設計人才，他們將持續偵辦相關案件，來確保臺灣高科技產業的發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.imperva.com/blog/record-25-3-billion-request-multiplexing-attack-mitigated-by-imperva/"><span style="color: rgb(0, 0, 0);">DDoS不只規模大、還可能持續數小時之久而產生暴量存取請求！資安業者Imperva揭露已出現持續長達4小時的攻擊</span></a></strong></h3> <p>過往的DDoS攻擊多半是瞬間出現大量請求或是請求，但現在也有長時間的攻擊行動。資安業者Imperva於6月27日緩解鎖定中國電信業者的攻擊行動，駭客透過17萬個裝置製造請求，但值得留意的是，雖然此起事故的最大瞬間流量為每秒390萬次請求（RPS），不若Cloudflare同月公布的事故達到2,600萬次RPS高峰，此起攻擊行動卻持續了長達4個小時，該公司總共攔截253億次請求（平均頻率為180萬次RPS）。</p> <p>研究人員表示，這種長時間攻擊的手法相當少見，考量到攻擊的成本，超過1個小時的攻擊行動只占十分之一，4個小時的DDoS攻擊幾乎可說是鮮少發生。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/domain-shadowing/"><span style="color: rgb(0, 0, 0);">研究人員找到1.2萬個遭駭客濫用的影子網域</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，影子網域攻擊（Domain Shadowing）近期變得相當氾濫，在今年4月至6月，他們就偵測到12,197個被用於此種攻擊的網域，研究人員表示，這種網域相當難以識別，在VirusTotal裡，上述的1.2萬個網域僅有200個被視為帶有攻擊意圖。</p> <p>影子網域攻擊是DNS挾持（DNS Hijacking）的其中一種手法，駭客破壞合法網域的DNS伺服器，進而代管自己的子網域，並將子網域用於攻擊，從而濫用遭駭網域的良好聲譽，使得駭客設置的惡意網站能繞過資安系統的檢查。研究人員呼籲用戶在填寫帳密時必須提高警覺，切勿因為防毒軟體或是瀏覽器沒有將網站表示有害就掉以輕心。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-builder-leaked-online-by-angry-developer-/" id="lockbit" name="lockbit" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit的製作工具遭到該集團的開發者流出</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/builder.jpg" style="width: 300px; float: right;" /></a>資安研究團隊3xp0rt、VX-Underground指出，有人在推特上散布勒索軟體LockBit 3.0（LockBit Black）的產生器，資安新聞網站Bleeping Computer取得此勒索軟體產生器，並向多名研究人員確認，證實確實是此駭客組織所持有的檔案。VX-Underground和駭客組織LockBit取得聯繫，對方聲稱是對組織心懷不滿的開發者所洩露，原因是不滿該組織的高層。</p> <p>但無論流出的管道為何，這些檔案很可能被其他駭客利用，對防守者帶來更大的威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><span style="color: rgb(0, 0, 0);">密碼管理解決方案業者LastPass針對8月遭駭透露更多調查結果</span></a></strong></h3> <p>密碼管理解決方案業者LastPass遭到入侵，駭客盜走部分程式碼與獨家技術資料，現在該公司揭露進一步的分析結果。</p> <p>LastPass於9月15日指出，駭客發動攻擊的過程共有4天，且在成功通過多因素驗證流程後冒充該公司的開發人員。經過分析原始碼與檢查正式版軟體，LastPass表示並未找到被駭客注入惡意程式碼的跡象。關於原始碼沒有遭竄改，該公司認為，主要是開發環境與正式環境採取實體隔離的措施，使得正式環境得以保全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-york-ambulance-service-discloses-data-breach-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">紐約救護車業者證實遭到攻擊，疑勒索軟體Hive所為</span></a></strong></h3> <p>根據資安新聞網站Bleeping Computer的報導，美國紐約救護車業者Empress EMS通知客戶，他們在7月14日遭到勒索軟體攻擊，駭客於5月26日入侵該公司的內部網路環境，然後在加密檔案的前一天外洩部分資料，當中含有病人姓名、服務日期，以及保險資料等。該公司向美國衛生與公共服務部通報，有318,558人受到影響。</p> <p>至於攻擊者的身分，勒索軟體駭客組織Hive在7月底聲稱是他們所為，資安新聞網站DataBreaches上週末揭露了更多與該組織有關的資訊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/american-airlines-discloses-data-breach-after-employee-email-compromise/"><span style="color: rgb(0, 0, 0);">美國航空員工電子郵件帳號遭駭，旅客資料外洩</span></a></strong></h3> <p>9月16日，美國航空（American Airlines）通知客戶，駭客入侵部分員工的電子郵件帳號，進而存取旅客的個人資訊，包括姓名、生日、住家地址、電話號碼、電子郵件位址、駕照號碼、護照號碼，以及特定醫療訊息，目前並無證據顯示上述個資遭到濫用。</p> <p>該公司向資安新聞網站Bleeping Computer透露，駭客透過網釣攻擊盜取員工的電子郵件帳號，郵件裡含有少數員工與旅客的資訊。究竟有多少旅客受到影響？該公司並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=136ed025-eddf-46f3-a839-506100ed5e8b" id="NPA" name="NPA" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">刑事局破獲國內首宗詐騙釣魚網站及攔截簡訊系統開發商，逮捕參與境外詐騙的工程師及共犯</span></a></strong></h3> <p>內政部警政署刑事警察局在9月18日破獲國內首宗詐騙釣魚網站及攔截簡訊系統開發商，查扣偽冒政府機關App的惡意程式原始碼，並在2021年8月與2022年6月，逮捕陳姓工程師、巫姓主嫌及3名共犯，扣押13,512顆泰達幣（USDT），約相當於新臺幣42萬元。</p> <p>這次事件之所以浮上檯面，主要是因為刑事局印尼聯絡組接獲資安業者網路安全調查報告，而發現侵害泰國、中國、越南等惡意釣魚網站的散布來源是臺灣，後續由駐美西、泰國聯絡官協助追查而破獲，而這也是我國打擊網路犯罪在國際交流合作上的重大突破。</p> <h3><strong style="font-size: 22px;"><a href="https://cofense.com/blog/threat-actors-abuse-linkedin-slink-to-bypass-secure-email-gateways"><span style="color: rgb(0, 0, 0);">駭客以LinkedIn的付費版功能散布惡意連結，藉此規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LinkedIn-Smart-Link-phishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LinkedIn-Smart-Link-phishing.png" style="width: 300px; float: right;" /></a>社群網站提供企業用戶來追蹤客戶的URL分享功能，也成為駭客用來規避偵測的攻擊工具！資安業者Confense發現有人利用LinkedIn提供的Smart Link功能來發動釣魚郵件攻擊，假冒斯洛伐克郵政公司的名義，通知收件人需要支付寄送包裏的費用。一旦收信人依照指示點選連結，就會被引導到釣魚網站，要求刷卡付費，藉此騙取受害者的信用卡資料。</p> <p>Smart Link為付費版LinkedIn帳號的功能，主要是提供使用者分享廣告連結，並追蹤其成效，但駭客濫用之後，不只能繞過郵件安全系統的防護，還能確認攻擊是否有效，進而調整攻擊手法。研究人員警告，濫用此種URL成效追蹤服務的攻擊日後可能會變得相當氾濫，呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://auth0.com/blog/top-insights-from-our-2022-state-of-secure-identity-report/"><span style="color: rgb(0, 0, 0);">帳號填充攻擊流量占所有登入行為的三分之一</span></a></strong></h3> <p>身分驗證管理解決方案業者Okta針對今年第一季的身分安全態勢提出他們的觀察，當中特別提及帳號填充（Credential Stuffing）攻擊變得更加氾濫，在該公司處理的登入請求中，有34%驗證請求流量是這種攻擊，達到了100億次的記錄。換言之，平均每3次嘗試登入的行為就有一次是帳號填充攻擊。</p> <p>研究人員指出，由於攻擊者往往會在很短的時間裡，集中嘗試大量帳密組合，遭到鎖定的系統很可能會承受10倍負載，進而影響一般使用者。該公司呼籲組織不只要使用多因素驗證，還應該採取主動查核的機制來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/threat-analysis-malicious-npm-package-mimicks-material-tailwind-css-tool"><span style="color: rgb(0, 0, 0);">出現命名模仿特定CSS框架的冒牌NPM套件，夾帶指令碼以散布惡意軟體</span></a></strong></h3> <p>資安業者ReversingLabs發現惡意NPM套件material-tailwindcss，這個套件約自9月15日出現，一旦受害者將其安裝到開發環境，電腦就會下載以密碼保護的ZIP檔案，內容是能夠執行PowerShell指令碼的可執行檔，目前已被下載320次。</p> <p>這個套件的名稱，是模仿名為Material Tailwind的CSS框架，而很有可能讓開發者上當。為了避免研究人員分析，駭客還在指令碼內加入休眠的機制，並在執行時先檢查能否連線到Google.com等合法網域。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/i/a-post-exploitation-look-at-coinminers-abusing-weblogic-vulnerab.html"><span style="color: rgb(0, 0, 0);">駭客鎖定Oracle WebLogic伺服器來發動挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_A Post-exploitation Look at Coinminers Abusing WebLogic Vulnerabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_A%20Post-exploitation%20Look%20at%20Coinminers%20Abusing%20WebLogic%20Vulnerabilities.png" style="width: 300px; float: right;" /></a>趨勢科技發現，使用惡意軟體Kinsing的駭客，利用CVE-2020-14882與CVE-2020-14883，攻擊尚未修補的Oracle WebLogic伺服器，然後透過Java處理程序竄改防火牆政策，甚至將其停用，然後也停用SELinux防護機制，並偵測及封鎖阿里雲、百度、騰訊雲（QCloud）的代理程式，最終使用Wget下載Kinsing來進行挖礦。附帶一提，為了能長期在受害伺服器上運作，駭客還以crontab建立下載指令碼排的工作排程。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-steal-162-million-from-wintermute-crypto-market-maker/"><span style="color: rgb(0, 0, 0);">加密貨幣造市商Wintermute遭竊1.62億美元</span></a></strong></h3> <p>加密貨幣造市商Wintermute於9月20日證實遭到入侵，使得他們在去中心化金融（DeFi）業務損失1.62億美元。該公司表示，他們願意將這起事故當作白帽事件（意即不打算追究法律責任）來處理，希望駭客能和他們聯繫。</p> <p>雖然損失慘重，但Wintermute強調，集中金融（CeFi）與場外交易（OTC）等業務不受影響，且該公司仍有能力提供貸款。而究竟Wintermute如何遭駭？研究人員認為，駭客很可能利用以太坊虛擬網址產生器Profanity的弱點入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/MsftSecIntel/status/1570911625841983489"><span style="color: rgb(0, 0, 0);">駭客組織DEV-0796發起點擊詐騙活動，濫用受害電腦來賺取廣告利潤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fcz_zHIX0AEczh2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fcz_zHIX0AEczh2.jpg" style="width: 300px; float: right;" /></a>微軟安全情資中心發現攻擊範圍極為廣泛的點擊詐騙（Click Fraud）行動，駭客組織DEV-0796透過惡意廣告或是在YouTube影片留言散布惡意連結，引誘受害者下載ISO或DMG檔案，進而在瀏覽器暗中植入惡意套件，或是NW.js（原node -webkit），最終將這些電腦用於點擊詐騙，駭客從而賺得廣告收入。值得留意的是，不論是執行Windows或macOS作業系統的電腦，都有可能受害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hacker-sells-stolen-starbucks-data-of-219-000-singapore-customers/"><span style="color: rgb(0, 0, 0);">星巴克22萬新加坡客戶資料流入暗網</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/starbucks-hacking-forum-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/starbucks-hacking-forum-post.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，知名連鎖咖啡店星巴克的新加坡客戶資料流入暗網，駭客於9月10日在地下論壇聲稱竊得219,675筆資料，內含客戶的姓名、性別、出生日期、行動電話號碼、電子郵件信箱、居住地址，這些受影響人士的身分，主要是星巴克行動裝置App的用戶，上述資料駭客求售3,500美元。</p> <p>新加坡新聞媒體海峽時報（The Straits Times）指出，當地星巴克已經向受影響的客戶發出通知，並呼籲所有的客戶最好重設密碼來避免帳號遭到濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bbc.com/news/technology-62937678"><span style="color: rgb(0, 0, 0);">越南駭客聲稱取得飯店集團IHG的密碼庫存取權限，並破壞資料</span></a></strong></h3> <p>洲際飯店集團（InterContinental Hotels Group，IHG）遭到網路攻擊．現在有人聲稱是發動攻擊的駭客，並向媒體表示破壞IHG資料只是因為好玩，也展示與之相關的螢幕截圖，且獲得IHG證實。</p> <p>根據英國廣播公司（BBC）的報導，有自稱是TeaPea的越南駭客透過加密通訊軟體Telegram表示，這起事故是他們所為，先是鎖定員工發動釣魚郵件攻擊並於電腦植入惡意軟體，進而入侵IHG網路環境，並存取密碼資料庫，接著先後發動勒索軟體攻擊、資料破壞軟體（Wiper）攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/blog/dprk-whatsapp-phishing"><span style="color: rgb(0, 0, 0);">北韓駭客透過即時通訊軟體WhatsApp，針對媒體散布惡意版PuTTY</span></a></strong></h3> <p>資安業者Mandiant揭露北韓駭客UNC4034的攻擊行動，駭客以提供Amazon職缺為由，透過即時通訊軟體WhatsApp向媒體公司的員工進行聯繫，然後傳送ISO檔案amazon_assessment.iso，其內容包含了被植入木馬程式的SSH連線軟體PuTTY。</p> <p>駭客疑似要求受害者透過上述SSH連線工具進行操作，然後在受害電腦部署名為Daveshell的惡意Shell Code，並於記憶體內執行，最終植入後門程式Airdry.v2。由於上述木馬化的PuTTY具備原始版本的所有功能，而使得受害者難以察覺異狀，研究人員呼籲使用者應檢查該程式是否具有合法簽章。</p> <h3><strong style="font-size: 13px;"> </strong></h3> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html" id="python" name="python"><span style="color: rgb(0, 0, 0);">存在15年的Python漏洞恐影響35萬個開源專案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/python-tarfile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/python-tarfile.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix提出警告，程式語言Python的Tarfile模組裡存在CVE-2007-4559，此為目錄遍歷（Directory Traversal）漏洞，已存在長達15年，當時認為CVSS風險評分僅有6.8分而沒有得到修補。</p> <p>但研究人員指出，攻擊者很容易利用此漏洞來執行任意程式，甚至是控制受害裝置。研究人員初步挑選257個專案進行調查，結果約有6成存在相關漏洞，所有使用Tarfile的開源專案有588,840個，粗估有逾35萬個專案曝險。該公司提供能檢測此漏洞的程式碼Creosote，供專案團隊確認是否受到影響。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-in-chromium-bypassed-sanitizer-api" id="chrome" name="chrome"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器傳出原型污染漏洞，恐導致特定防護API被繞過</span></a></strong></h3> <p>資安研究員Michał Bentkowski發現，Chormium專案的程式碼裡存在原型污染（Prototype Pollution）漏洞，而有機會讓攻擊者繞過名為Sanitizer的API。這個API是內建於此瀏覽器的程式庫，用途是在使用者控制的輸入來源中，移除潛在的惡意程式碼，研究人員指出，此API在8月發布Chrome 105預設啟用，使得此漏洞影響的範圍變得相當廣。</p> <p>該名研究員以特製的SVG圖檔來進行概念性驗證，一旦瀏覽器載入此圖檔物件，就會執行研究人員的JavaScript程式碼。此漏洞在研究人員揭露後引起Chromium社群的熱烈討論，並探討著手緩解的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://onekey.com/blog/security-advisory-netgear-routers-funjsq-vulnerabilities/"><span style="color: rgb(0, 0, 0);">Netgear路由器存在任意程式碼執行漏洞，與採用的第三方線上遊戲加速模組有關</span></a></strong></h3> <p>資安業者Onekey發現，多款Netgear旗下路由器、Orbi無線網路系統，存在可被用於執行任意程式碼的漏洞CVE-2022-40619、CVE-2022-40620，這些漏洞與上述設備採用的線上遊戲加速模組FunJSQ有關，原因是此模組的更新流程不安全，FunJSQ僅對接收到的更新套件進行雜湊值核對，但更新套件沒有搭配簽章保護，使得攻擊者有可能利用相關弱點在設備的WAN連接埠執行任意程式碼。</p> <p>Netgear獲報後著手修補，並強調沒有其他緩解措施，呼籲用戶應儘速安裝新版韌體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153139" id="president" name="president"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蔡英文總統出席臺灣資安大會，強調做資安不能單打獨鬥，需透過公私聯防與國際合作，並加速完善聯防體系</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/16814932994656.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/16814932994656.jpg" style="width: 300px; float: right;" /></a>【臺灣資安大會直擊】第八屆臺灣資安大會於9月20日～9月22日假南港展覽館二館舉辦，總統蔡英文再度到場致詞，並肯定臺灣資安大會活動的舉行，已經成為亞太地區最具規模、也是實體活動的展會，這已是蔡總統第四度到場，除了一再展現政府與臺灣資安產業攜手做資安的態度，並持續強調聯防的重要性，也強調政府正加速完善聯防體系，同時，8月上任數位發展部部長的唐鳳也現身開幕典禮，並前往臺灣資安館展區觀展</p> <h3><a href="https://www.ithome.com.tw/news/153159" id="CYBERSEC2022" name="CYBERSEC2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣資安大會2022登場，期許資安人員不僅是數位世界的救災人員，更是世界的守護者</span></strong></a></h3> <p>【臺灣資安大會直擊】臺灣資安大會在今日20日舉行，這場為期三天的活動，現場不只進行250場以上的議程與座談，還有多達300以上的國內外資安業者參與，在今日早上大會開幕儀式中，主辦單位臺灣資安大會主席暨iThome總編輯吳其勳表示，駭客攻擊威脅是日益嚴峻，甚至擾亂社會秩序，在資安生態圈扮演各自角色的大家，每一個人，也就是在網路世界守護家園、守護世界</p> <h3><a href="https://www.ithome.com.tw/news/153174"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位部長唐鳳揭露打造堅韌安全的智慧國家的3目標、4大策略</span></strong></a></h3> <p>【臺灣資安大會直擊】在9月21日舉行的CYBERSEC 2022臺灣資安大會第二日活動現場，連續兩天出席、8月底上任數位發展部的唐鳳部長，不僅顯現促進公私協力的積極態度，並於上午致詞時強調，臺灣要推動社會韌性、產業韌性與應變韌性，更要推動全民數位韌性，政府也將會協助各行各業面對各種資安的挑戰。<br /> 此外，原行政院資安處推動的第六期國家資通安全方案（110年至113年），如今數位發展部將接續進行，在這次大會上，唐鳳部長自就任來首公開說明，會透過旗下數位產業署、資通安全署，持續進行四項主要工作，不論是：資安產業發展的吸引全球高階人才，培植自主創新的能量，以及提升關鍵基礎設施韌性、善用前瞻科技主動抵禦，還有提升民間防護能量，期望讓臺灣數位轉型過程資安也同樣跟上</p> <h3><a href="https://www.ithome.com.tw/news/153220"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國際冷熱戰交織，資安漏洞與勒索軟體成為國家級網攻關鍵軍火</span></strong></a></h3> <p>【臺灣資安大會直擊】因俄羅斯攻打烏克蘭，以及美國聯邦眾議院議長裴洛西訪臺引發中國抗議，值此全球新冷戰雙邊對立的局面，TeamT5杜浦數位安全創辦人暨執行長蔡松廷在2022臺灣資安大會上，解析資安漏洞在網路戰扮演的角色，以及勒索軟體攻擊受此情勢影響的狀況，置身於這樣高度危險的環境之下，他認為，掌握威脅情資與強化協同防禦將是能否抵禦威脅的關鍵</p> <h3><a href="https://www.ithome.com.tw/news/153223"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">金融資安行動方案推動2年，金管會提出4大防護要點，並透露下個推動重點聚焦零信任與身分驗證框架</span></strong></a></h3> <p>【臺灣資安大會直擊】確保金融服務不中斷，是我國金融資安行動方案推動上的最重要目標，在2022臺灣資安大會的金融資安論壇上，金管會揭露金融資安行動方案推動現況與未來，不僅是要促僅整體產業強化資安，讓金融業也更安全，受關注的是，對於金融業接下來可望有兩個推動重點，分別是零信任戰略及金融身分驗證框架與標準，同時強調第三方供應商風險監控重要性，並鼓勵業者通過ISO 22301國際持續營運管理標準。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/22/malicious-oauth-applications-used-to-compromise-email-servers-and-spread-spam/"><span style="color: rgb(0, 0, 0);">微軟Exchange伺服器遭植入惡意OAuth應用程式，並被用於散布垃圾郵件</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://sansec.io/research/magento-2-template-attacks"><span style="color: rgb(0, 0, 0);">電商平臺Magento重大漏洞CVE-2022-24086遭到利用，被用於植入木馬程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-high-severity-flaws-business-one-businessobjects-grc"><span style="color: rgb(0, 0, 0);">SAP修補BusinessOne、BusinessObjects、GRC高風險漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-in-chromium-bypassed-sanitizer-api"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器傳出原型污染漏洞，恐導致特定防護API被繞過</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/bitdefender-releases-free-decryptor-for-lockergoga-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Bitdefender提供勒索軟體LockerGoga解密工具</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/advintel-s-state-of-emotet-aka-spmtools-displays-over-million-compromised-machines-through-2022"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet被用於散布勒索軟體BlackCat、Quantum</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hive-ransomware-claims-attack-on-new-york-racing-association/"><span style="color: rgb(0, 0, 0);">紐約賽馬協會傳出遭勒索軟體Hive攻擊</span></a></span></strong></p> <p><a href="https://www.recordedfuture.com/russia-nexus-uac-0113-emulating-telecommunication-providers-in-ukraine"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客組織Sandworm假冒電信業者，向烏克蘭散布惡意軟體</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://cofense.com/blog/credential-phishing-targeting-government-contractors-evolves-over-time"><span style="color: rgb(0, 0, 0);">駭客假冒美國政府機關，鎖定Microsoft 365用戶發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-264a"><span style="color: rgb(0, 0, 0);">針對阿爾巴尼亞政府7月遭駭，美國表示伊朗駭客埋伏長達14個月才動手</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/revolut-hack-exposes-data-of-50-000-users-fuels-new-phishing-wave/"><span style="color: rgb(0, 0, 0);">金融科技業者Revolut資料外洩，5萬客戶受到影響</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/webworm-espionage-rats"><span style="color: rgb(0, 0, 0);">Webworm駭客組織改造舊版木馬程式來發動攻擊</span></a></span></strong></p> <p><a href="https://www.vice.com/en/article/4ax459/pro-ukraine-hacktivists-claim-to-have-hacked-notorious-russian-mercenary-group"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭IT軍隊聲稱入侵俄羅斯傭兵集團</span></span></strong></a></p> <p><a href="https://thehackernews.com/2022/09/malicious-npm-package-caught-mimicking.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織匿名者癱瘓伊朗政府網站，目的是抗議警方對婦女執法過當</span></span></strong></a></p> <h3><strong><span style="font-size: 20px;"><a href="https://arstechnica.com/information-technology/2022/09/twitter-pranksters-derail-gpt-3-bot-with-newly-discovered-prompt-injection-hack"><span style="color: rgb(0, 0, 0);">GPT-3推特機器人存在即時注入漏洞而被迫關閉</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/ares-banking-trojan-learns-old-tricks-adds-defunct-qakbot-dga"><span style="color: rgb(0, 0, 0);">金融木馬Ares利用與QBot相同的DGA手法攻擊墨西哥</span></a></span></strong></p> <p><a href="https://blog.aquasec.com/new-malware-in-the-cloud-by-teamtnt"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體TeamTNT劫持伺服器進行挖礦，企圖破解比特幣的加密演算法</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gta-6-source-code-and-videos-leaked-after-rockstar-games-hack/"><span style="color: rgb(0, 0, 0);">電玩業者Rockstar遭駭，駭客聲稱竊得測試版遊戲的影片與原始碼</span></a></span></strong></p> <p class="rtecenter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/153233"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E9%87%8D%E5%A4%A7%E8%B3%87%E5%AE%89%E6%96%B0%E8%81%9E.png" style="width: 600px;" /></a></span></span></strong></p> </div></div></div>
2022/9/26 11:54作者羅正漢https://www.ithome.com.tw/news/153233
存在15年的Python漏洞影響35萬個開源專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/tarfile-exploiting-the-world.html" target="_blank">由FireEye與McAfee Enterprise合併而成的資安業者Trellix本周警告</a>，熱門程式語言Python的Tarfile模組中含有一個15年前就被發現的安全漏洞CVE-2007-4559，當初這個風險等級只被列為6.8的目錄遍歷（Directory Traversal）漏洞並未被修補，然而，研究人員卻發現它很輕易就可用來執行程式，估計波及逾35萬個開源專案。</p> <p>Tarfile為Python中的預設模組，因此，該漏洞廣泛存在於任何使用Python的框架中，從Netflix、AWS、Intel、Google到Meta，或是各種與機器學習、自動化及容器化有關的應用程式，駭客只要上傳一個由兩到三行程式碼產生的惡意程式，就能允許駭客執行任意程式，或是控制目標裝置。</p> <p>Trellix的安全研究人員Kasimir Schulz指出，他們是在調查另一個漏洞時，無意間遇到CVE-2007-4559，原本以為它是個新的零時差安全漏洞，沒想到是2007年就被揭露的老舊漏洞；此一在過去並未受到重視的漏洞，在大多數的狀況下，卻允許駭客藉由寫入檔案而執行程式。</p> <p>Trellix團隊已成功攻陷了基於Python的Spyder IDE與Polemarch中的CVE-2007-4559漏洞。</p> <p>為了估算CVE-2007-4559漏洞的規模，研究人員選出了257個最有可能含有該漏洞的儲存庫，發現當中有175個含有CVE-2007-4559，比例為61%，而在GitHub上的專案中，於Python程式碼中包含輸入Tarfile的專案總計有588,840個，若以61%來計算，那麼有超過35萬個開源專案含有該漏洞，且此一估計並未納入封閉專案。</p> <p><a href="https://github.com/advanced-threat-research/Creosote" target="_blank">Trellix也打造了一個Python腳本程式Creosote</a>來尋找CVE-2007-4559漏洞，該工具適用於Python 3.9及之後的版本，並同時支援Windows、Linux及macOS。</p> <p class="rtecenter"><a href="http://github.com/advanced-threat-research/Creosote" target="_blank"><img alt="" src="https://opengraph.githubassets.com/482e3699c8ba99fb4289642f8aefee9143c9caa9c10055f33e9a8b7d4d6a4ddd/advanced-threat-research/Creosote" style="width: 500px;" /></a></p> </div></div></div>
2022/9/23 14:13作者陳曉莉https://www.ithome.com.tw/news/153215
微軟開始測試在WSL支援Systemd
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/commandline/systemd-support-is-now-available-in-wsl/" target="_blank">微軟宣布適用於Linux的Windows子系統（Windows Subsystem for Linux，WSL），可以讓用戶在WSL的Linux發行版中執行Systemd</a>，而這代表用戶將可以在Windows機器上，執行更多原本只能在Linux進行的工作流程。</p> <p>Systemd是一套Linux系統的基本建構模塊，其提供系統和服務管理器，作為PID 1運作，負責啟動系統的各個部分。微軟提到，不少被廣泛使用的Linux發行版，都預設執行systemd，諸如Ubuntu、Debian等，而在WSL中支援Systemd，能夠提供用戶更接近這些常用Linux發行版的體驗，並且執行相依於Systemd的軟體，諸如Snap、microk8s以及systemctl等。</p> <p>由於要在WSL支援Systemd，微軟需要對WSL的架構進行更改，因為Systemd必須以PID 1運作，所以在Linux發行版中的WSL啟動程序，將會成為Systemd的子程序，但是因為WSL啟動程序原為Linux和Windows元件間通訊基礎設施，因此更改這個階層結構需要一些額外的調整，而這也使得在啟用Systemd之後，無法讓WSL執行個體一直維持在啟用狀態。</p> <p>這項變更會改變WSL在啟動時的行為，因此微軟目前僅先將其應用到用戶已經存在的WSL發行版，用戶需要選擇對特定WSL發行版啟用Systemd。微軟會監控用戶對這項新功能的回饋，並計畫在未來預設此行為。</p> <p>要使用這個版本，需要WSL 0.67.6以上版本，這個版本目前在Microsoft Store中供Windows Insiders用戶使用，數周後才會向所有用戶開放，如果用戶並不在Windows Insiders計畫中，可以直接到WSL發布頁面下載最新版本。</p> </div></div></div>
2022/9/22 15:18作者李建興https://www.ithome.com.tw/news/153194
JDK 19加入結構化並行新功能，讓多執行緒程式開發變簡單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openjdk.org/projects/jdk/19/">JDK 19</a>已經正式發布，官方在這個版本添加不少新功能，不過除了移植Linux/RISC-V之外，其他功能都仍是預覽階段，甚至是孵化器階段。JDK 19與JDK 18一樣，並非一個長期支援的版本，僅有6個月的頂級支援，當前的長期支援版本為JDK 17，而下一個則預計是JDK 21。</p> <p>RISC-V是一種開源的RISC指令集架構（ISA），由於在RISC-V International的贊助之下，已經被廣泛的工具鏈支援，因此官方也覺得在RISC-V硬體日益普及的情況下，將JDK移植到Linux/RISC-V是有價值的工作。由於RISC-V ISA其實是一系列相關的ISA，而在JDK 19這個版本中，將僅支援RISC-V中的RV64GV配置，在未來官方可能會考慮支援像是RV32G等其他配置。</p> <p>JDK 19添加了一個稱為結構化並行（Structured Concurrency）的孵化器功能，官方提到，透過添加結構化並行API，將能夠讓多執行緒程式開發變簡單，結構化並行將會視不同執行緒中運作的多個工作為單一工作單元，而這樣的設計可以簡化錯誤處理與取消，達到提高多執行緒程式碼可維護性、可靠性和可觀察性的目的。</p> <p>同時，這個版本也預覽了虛擬執行緒（Virtual Threads）功能，虛擬執行緒是一種輕量級的執行緒，能夠大幅降低編寫、維護和觀察高吞吐量並行應用程式的麻煩。另一個JDK 19的孵化器階段功能，則是加入了一個API來表示向量運算，在執行時可靠地編譯受支援CPU架構的最佳化向量指令，進而使向量運算達到與純量相同的運算效能。</p> <p>JDK也強化Java程式開發平臺Switch表達和陳述式模式比對（Pattern Matching）的能力，因此對Switch擴展模式比對功能，允許表示式測試多種模式，如此開發者便能夠更簡潔地表達複雜的資料查詢。</p> </div></div></div>
2022/9/21 23:27作者李建興https://www.ithome.com.tw/news/153176
【資安日報】2022年9月21日，資安業者Imperva緩解持續長達4小時的大規模DDoS攻擊、駭客鎖定Oracle…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有駭客發動DDoS攻擊也打消耗戰！資安業者Imperva阻止了一起極為罕見的資安事故，這起攻擊行動駭客平均發起了每秒180萬次請求，但時間足足長達4個小時。</p> <p>針對存在漏洞的Oracle WebLogic伺服器發起攻擊的事故再度出現！這次駭客鎖定的是2年前的重大漏洞，然後將這些伺服器用於挖礦牟利。這樣的情況使得研究人員提出呼籲，管理者要儘速部署修補程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.imperva.com/blog/record-25-3-billion-request-multiplexing-attack-mitigated-by-imperva/"><span style="color: rgb(0, 0, 0);">DDoS不只規模大、還可能持續數小時之久而產生暴量存取請求！資安業者Imperva揭露已出現持續長達4小時的攻擊</span></a></strong></h3> <p>過往的DDoS攻擊多半是瞬間出現大量請求或是請求，但現在也有長時間的攻擊行動。資安業者Imperva於6月27日緩解鎖定中國電信業者的攻擊行動，駭客透過17萬個裝置製造請求，但值得留意的是，雖然此起事故的最大瞬間流量為每秒390萬次請求（RPS），不若Cloudflare同月公布的事故達到2,600萬次RPS高峰，此起攻擊行動卻持續了長達4個小時，該公司總共攔截253億次請求（平均頻率為180萬次RPS）。</p> <p>研究人員表示，這種長時間攻擊的手法相當少見，考量到攻擊的成本，超過1個小時的攻擊行動只占十分之一，4個小時的DDoS攻擊幾乎可說是鮮少發生。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/i/a-post-exploitation-look-at-coinminers-abusing-weblogic-vulnerab.html"><span style="color: rgb(0, 0, 0);">駭客鎖定Oracle WebLogic伺服器來發動挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_A Post-exploitation Look at Coinminers Abusing WebLogic Vulnerabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_A%20Post-exploitation%20Look%20at%20Coinminers%20Abusing%20WebLogic%20Vulnerabilities.png" style="width: 300px; float: right;" /></a>趨勢科技發現，使用惡意軟體Kinsing的駭客，利用CVE-2020-14882與CVE-2020-14883，攻擊尚未修補的Oracle WebLogic伺服器，然後透過Java處理程序竄改防火牆政策，甚至將其停用，然後也停用SELinux防護機制，並偵測及封鎖阿里雲、百度、騰訊雲（QCloud）的代理程式，最終使用Wget下載Kinsing來進行挖礦。附帶一提，為了能長期在受害伺服器上運作，駭客還以crontab建立下載指令碼排的工作排程。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-steal-162-million-from-wintermute-crypto-market-maker/"><span style="color: rgb(0, 0, 0);">加密貨幣造市商Wintermute遭竊1.62億美元</span></a></strong></h3> <p>加密貨幣造市商Wintermute於9月20日證實遭到入侵，使得他們在去中心化金融（DeFi）業務損失1.62億美元。該公司表示，他們願意將這起事故當作白帽事件（意即不打算追究法律責任）來處理，希望駭客能和他們聯繫。</p> <p>雖然損失慘重，但Wintermute強調，集中金融（CeFi）與場外交易（OTC）等業務不受影響，且該公司仍有能力提供貸款。而究竟Wintermute如何遭駭？研究人員認為，駭客很可能利用以太坊虛擬網址產生器Profanity的弱點入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/MsftSecIntel/status/1570911625841983489"><span style="color: rgb(0, 0, 0);">駭客組織DEV-0796發起點擊詐騙活動，濫用受害電腦來賺取廣告利潤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fcz_zHIX0AEczh2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fcz_zHIX0AEczh2.jpg" style="width: 300px; float: right;" /></a>微軟安全情資中心發現攻擊範圍極為廣泛的點擊詐騙（Click Fraud）行動，駭客組織DEV-0796透過惡意廣告或是在YouTube影片留言散布惡意連結，引誘受害者下載ISO或DMG檔案，進而在瀏覽器暗中植入惡意套件，或是NW.js（原node -webkit），最終將這些電腦用於點擊詐騙，駭客從而賺得廣告收入。值得留意的是，不論是執行Windows或macOS作業系統的電腦，都有可能受害。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.aquasec.com/new-malware-in-the-cloud-by-teamtnt"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體TeamTNT劫持伺服器進行挖礦，企圖破解比特幣的加密演算法</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/advintel-s-state-of-emotet-aka-spmtools-displays-over-million-compromised-machines-through-2022"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet被用於散布勒索軟體BlackCat、Quantum</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/ares-banking-trojan-learns-old-tricks-adds-defunct-qakbot-dga"><span style="color: rgb(0, 0, 0);">金融木馬Ares利用與QBot相同的DGA手法攻擊墨西哥</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hive-ransomware-claims-attack-on-new-york-racing-association/"><span style="color: rgb(0, 0, 0);">紐約賽馬協會傳出遭勒索軟體Hive攻擊</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153155">【2022年9月20日】臺灣資安大會Cybersec 2022隆重登場、Uber遭駭疑為駭客組織Lapsus$所為</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153130">【2022年9月19日】 Uber特權管理系統管理員帳密遭竊、密碼管理解決方案業者LastPass針對8月遭駭透露更多調查結果</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153097">【2022年9月16日】加拿大電信業者BTS傳出遭勒索軟體Hive攻擊、電腦版Teams應用程式以明文儲存用戶身分驗證資料</a></strong></strong></strong></p> </div></div></div>
2022/9/21 12:37作者周峻佑https://www.ithome.com.tw/news/153164
【臺灣資安大會直擊】數位部長唐鳳揭露打造堅韌安全的智慧國家的3目標、4大策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月底掛牌營運的數位發展部，數位發展部(簡稱數位部)部長唐鳳今天(9/21)在資安大會主題演說中表示，數位部的目標之一是推動全民數位韌性，除了快速回復外，更要將攻擊當成轉型契機，強化自身體質。此外，唐鳳也對外說明第6期國家資通安全方案，將以打造堅韌安全的智慧國家為目標，包含3項具體目標及4大策略。</p> <p>數位發展部8月底成立時，擔任首位部長的唐鳳即期許數位部未來扮演臺灣數位發展的「馬達」，推動全民數位韌性的發展。而在資安大會的主題演說中，唐鳳重申全民數位韌性，的目的是透過全民數位韌性打造國家成為民主典範，全民數位韌性指的是任何時候遭受到不利的影響，可以快速回復，能夠完善機制，從攻擊中學習，將攻擊當成轉型的契機，來強化自己的體質，包括三部分，社發、產發、突發，或是稱為社會韌性、產業韌性、應變韌性，社會韌性是確保全民都有意識，並且能守望相助，產業韌性則是協助各產業面對資安、供應鏈、疫情等各種挑戰，能強化自身體質，互相幫忙，應變韌性則是資通安全署，強化資安應變能力，保護政府及關鍵基礎設施。</p> <p>唐鳳指出，強化數位韌性的重要，不只臺灣，全世界也覺得重要，以WEF世界經濟論壇報告指出，政治、環境、經濟、地緣、科技5種不同風險中，因應COVID-19的科技風險，最大的是資通安全做法如果失守，所造成各種新風險，如惡意技術的利用、技術治理失靈、數位權力過分集中、IT基礎架構失效等等。</p> <p>綜合歐盟、澳洲、資安業者的觀察，目前資安威脅包含APT進階持續威脅、社交工程、行動式設備、供應鏈或服務供應商遭駭，還有這幾年受到外界關注的勒索軟體風險。除了基本的防護措施，例如持續軟體更新、落實委外管理機制、遵守資安管理措施，這些都是基本的防護做法。唐鳳認為更重要的是，資安意識要落實到每個人身上，每個員工、利害關係人發現疑似資安破口，經過反映後，即時修補處理，強化資安防護。</p> <p><span style="color:#B22222;"><strong>吸引、培養資安人才，建立公私協同機制</strong></span></p> <p>唐鳳進一步指出，去年2月已提出第6期(2021年到2024年)國家資通安全發展方案，其願景就是打造堅韌安全的智慧國家，3項具體的目標，包括成為亞太的資安研訓樞紐、建立主動防禦的基礎網路，公私協力共同創造安全的網路環境。</p> <p>施行的4項策略，包括吸引全球高階人才，培植自主創新的能量、提升關鍵基礎設施韌性、善用前瞻科技主動抵禦、提升民間防護能量。</p> <p>在吸引全球高階人才方面，唐鳳表示，不只是數位部，未來也會和國科會、經濟部合作，除了人才養成，高品質的科研也是發展資安措施的基礎。另外，數位部資安署也會和教育部聯手，推動各個場域的資安演練，人才研訓也會從在學、在營，著手培養資安才人。</p> <p>鑑於每個表面都可能受到資安攻擊，第6期方案重點也包括協助建立每個領域公私協同的機制，確保每個環節的反應速度能夠更快、頻寬更高，延遲更低。</p> <p>至於現有的資安管理法，推動建立模擬場域作為實證、教學訓練的地方，還有工控領域、資安治理成熟度推動，以及國家層級的資安風險評估。</p> <p>對於成為資安攻擊目標的重要關鍵基礎設施，各個中央目的事業主關已訂定所屬的關鍵基礎設施提供者，接下來要定期稽核，精進聯防機制，如情資分享、通報應變、資安監控，以及跨領域或跨國的情資交流、攻防演練等。</p> <p>除了關鍵基礎設施提供者需設立資安長、強化資安人員的專業能力之外，唐鳳也不忘再次強調，也要提升所有人員的資安意識、能力建構，才能落實資安防護。</p> <p><span style="color:#B22222;"><strong>數位部導入零信任</strong></span></p> <p>作為我國數位轉型、數位產業推手，也是國家資通安全規畫的數位部，數位部帶頭只花3天部署零信任系統，通過驗證機制，確保使用載具的安全，沒有入植入惡意程式，可使用載具上的生物辨識，網路也是可行的，才能簽署公文，「這和傳統在內網信任使用者是完全不同的」。</p> <p>配合第6期國家資通安全方案，目前數位部、2個署級機關人員都使用筆電，筆電均採用Windows、Linux雙重開機，唐鳳透露自己從數位部成立至今，只使用Linux，還未使用Windows。確保Web based系統，不論Android、Windows、iOS、MacOS都有同樣的存取能力及保護。</p> <p>唐鳳表示，在零信任狀況下，員工可能使用任何的設備，因此需照顧多元異質設備的存取需要，身分鑑別、設備鑑別、信任判斷技術會先從數位部自己做起，和願意實作的其他部會建立最佳實踐的做法，再擴大到相關的中央或地方政府機關。由於數位部為新成立，沒有既有系統的包袱，而大部分的部會有舊系統需要轉換，不太可能一次汰換部署新系統，因此大多為新舊混合運作的情形，數位部推動新的體驗，未來會輔導其他部會，確保在混合式架構下轉換過程是順暢的，並繼續和其他機關進行驗證。</p> <p>最後一項策略，提升民間防護能力，唐鳳指出，原本就有公私協同合作機制，例如TWCERT/CC資安情資分享服務，未來會鼓勵網路零售業者參與，並透過宣導提升民眾在生活中的資安意識。供應鏈安全管理方面，數位部將輔導各機關委外時，對委外廠商有相同的作業及管理，半導體在晶片製程前後階段的安全管理。至於IoT物聯網安全，隨著更多5G專網申請，提供更多場域，數位部協助業者聚焦5G的資安風險。</p> <p>目前數位部底下數位產業署、資通安全署，其中數位產業署負責數位產業的推動，包括產業轉型過程中的資安防護，以及資安產業的發展，而資通安全署則是負責國家整體數位發展的資安防護，以及數位政府的整體安全、關鍵基礎設施的防護等。</p> </div></div></div>
2022/9/21 18:15作者蘇文彬https://www.ithome.com.tw/news/153174