iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2023年2月23日，研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員在為客戶進行展示的過程中，無意間發現了Akamai網頁應用程式防火牆（WAF）的換行字元（CRLF）注入漏洞，而能突破防火牆規則，對網站發動跨網站指令碼（XSS）攻擊。值得留意的是，研究人員認為其他廠牌的WAF也多半存在類似漏洞。</p> <p>機器學習語言模型ChatGPT正紅，駭客也看上這樣的情況，用來對電腦與手機用戶，散布多種惡意軟體，甚至想要竊取信用卡資料。</p> <p>上個月微軟修補了Windows備份服務漏洞CVE-2023-21752，如今傳出駭客正在分析概念性驗證程式碼，打算將漏洞用於攻擊行動的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.praetorian.com/blog/using-crlf-injection-to-bypass-akamai-web-app-firewall/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">多款WAF可能存在CRLF漏洞，Akamai是目前發現的首例</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Akamai10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Akamai10.png" style="width: 300px; float: right;" /></a>資安業者Praetorian發現Akamai網頁應用程式防火牆（WAF）上，他們能夠透過換行字元（CRLF）注入漏洞，突破該系統的跨網站指令碼（XSS）過濾機制。研究人員透過上述手法將原語（primitive）注入到內容編碼標頭，利用壓縮HTTP回應酬載的方式，將其注入到回應的本體（body），而能在不更動XSS核心酬載的情況下繞過WAF的規則。</p> <p>研究人員指出，這種CRLF注入的缺陷很可能不是Akamai的系統獨有，其他廠牌的WAF也有可能存在這類弱點可被利用。</p> <p><a href="https://blog.cyble.com/2023/02/22/the-growing-threat-of-chatgpt-based-phishing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供ChatGPT應用程式的名義，針對Windows、安卓用戶散布惡意軟體</span></strong></a><strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-4-Fake-OpenAI-and-ChatGPT-Website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-4-Fake-OpenAI-and-ChatGPT-Website.png" style="width: 300px; float: right;" /></a>研究人員於Dominic Alvieri於2月12日發現，有人假借提供機器學習語言模型ChatGPT軟體的名義，實際上是針對Windows電腦發送竊密軟體RedLine，隔日察覺有人利用相同的名義在Google Play市集上加App，攻擊Android用戶。</p> <p>資安業者Cyble進一步調查指出，駭客不只架設假網站對Windows使用者散布RedLine，也有散播竊密軟體Lumma Stealer、Aurora Stealer的情況，此外，他們也看到剪貼簿挾持軟體（Clipper）的攻擊行動。</p> <p>而針對Android用戶，該資安業者則是總共發現逾50款惡意App。值得一提的是，駭客也謊稱提供ChatGPT Plus付費服務的名義，企圖騙取信用卡資料。</p> <p><a href="https://cloudsek.com/threatintelligence/cve-2023-21752-privilege-escalation-vulnerability-on-windows-backup-service"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows備份服務的權限提升漏洞恐出現攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FqWEnFQCNFU.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FqWEnFQCNFU.png" style="width: 300px; float: right;" /></a>微軟於一月份的例行修補（Patch Tuesday）當中，針對Windows備份服務漏洞CVE-2023-21752（CVSS風險評分為7.1分）祭出緩解措施，但最近傳出有人打算拿來發動攻擊。</p> <p>資安業者CloudSEK提出警告，有人在網路犯罪論壇上討論如何利用這個存在Windows Backup Service當中的漏洞，藉由分析研究人員公布的概念性驗證（PoC）程式碼來打造攻擊工具。由於這項漏洞有可能讓攻擊者取得SYSTEM權限，再加上已有人想要用於攻擊行動，使得研究人員呼籲使用者要儘速安裝相關更新軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-now-exploit-critical-fortinet-bug-to-backdoor-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet的NAC設備重大漏洞已出現攻擊行動</span></strong></a></p> <p>資安業者Fortinet於2月16日修補旗下網路存取控制（NAC）解決方案FortiNAC重大漏洞CVE-2022-39952，資安業者Horizon3.ai於21日公布細節及概念性驗證（PoC）程式碼，如今有不少研究人員發現駭客已用於攻擊行動。</p> <p>舉例來說，非營利組織Shadowserver基金會在蜜罐誘捕系統發現這類行為，出現來源為多個IP位址的漏洞利用嘗試攻擊；資安業者CronUp看到駭客濫用自動化任務排程應用程式corn jobs，目的是建立反向Shell；資安業者GreyNoise則是看到於22日晚間出現攻擊行動，並於23日淩晨達到高峰。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2023/02/21/cisa-adds-three-known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告IBM檔案共用系統漏洞、Mitel網路電話系統漏洞已被用於攻擊行動</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於2月21日發布資安通告，他們將IBM檔案共用系統Aspera Faspex漏洞CVE-2022-47986（CVSS風險評分為9.8分），以及Mitel網路電話系統MiVoice Connect漏洞CVE-2022-41223、CVE-2022-40765（CVSS評分皆為6.8分），列入已被用於攻擊行動的漏洞名單（KEV），並要求聯邦機關於3月14日前完成修補作業。</p> <p><a href="https://www.bitdefender.com/blog/labs/s1deload-stealer-exploring-theeconomics-of-social-networkaccount-hijacking/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">YouTube與臉書用戶遭到竊密軟體S1deload Stealer鎖定</span></strong></a></p> <p>資安業者Bitdefender揭露竊密軟體S1deload Stealer的攻擊行動，駭客自2022年7月至12月，針對YouTube與臉書的用戶下手，假借提供色情內容的名義來散布惡意軟體。一旦使用者依照指示執行，電腦就有可能被植入S1deload Stealer。</p> <p>研究人員指出，此竊密軟體不只具備盜取機密資料的能力，還可以下載其他模組，執行挖礦或是其他行動──例如，在背景執行模擬人類操作行為的無視窗Chrome瀏覽器，增加特定YouTube影片或是臉書貼文的瀏覽次數。</p> <p><a href="https://www.bleepingcomputer.com/news/security/activision-confirms-data-breach-exposing-employee-and-game-info/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電玩業者Activision傳出資料外洩事故，曝露員工與遊戲資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FpX2VUKWYAARl3l.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FpX2VUKWYAARl3l.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，資安研究團隊VX-Underground發現，有人在2022年12月2日，挾持電玩遊戲開發商Activision員工的Slack帳號，並向其他員工散布惡意URL網址，最終竊得該廠商的機密文件，而裡面有預計今年11月17日發布的資訊。</p> <p>電玩新聞網站Insider Gaming針對駭客竊得的資料進行分析，指出這些洩露的資料包含了員工的姓名、電子郵件信箱、電話號碼、薪資、工作地點等詳細資料，並提及遭駭的員工隸屬人力資源部門。此外，該媒體也看到這次洩露與電玩有關的內容，其中包含電玩遊戲決戰時刻：現代戰爭II（Call of Duty | Modern Warfare II）即將上市的組合商品。</p> <p>對此，Activision表示，他們的資安團隊於12月4日察覺此事並著手處理，經調查後確認沒有員工的敏感資料、遊戲程式碼、玩家資料遭異常存取。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0004.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Carbon Black App Control出現重大漏洞，恐被用於存取作業系統底層</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p>VMware旗下的應用程式白名單控制系統Carbon Black App Control，最近發布Windows新版軟體，目的是修補重大漏洞CVE-2023-20858，一旦攻擊者取得特殊存取權限而能夠入侵管理主控臺，就有可能利用偽造的輸入觸發該漏洞，來存取伺服器的作業系統底層，甚至會波及列管的電腦，CVSS風險評分為9.1分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155623"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國防部將敏感電子郵件曝險於外部網路達2周</span></span></strong></a></p> <p><a href="https://blog.sekoia.io/stealc-a-copycat-of-vidar-and-raccoon-infostealers-gaining-in-popularity-part-1/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密軟體Stealc鎖定22款網頁瀏覽器、75個外掛程式、25個加密貨幣錢包而來</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/02/multilingual-skimmer-fingerprints-users-via-cloudflare-endpoint-api"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Magecart攻擊行動再度出現，駭客濫用Cloudflare的API攔截線上交易資料</span></span></strong></a></p> <p><a href="https://www.thejournal.ie/tusla-contact-20000-people-data-compromised-during-hse-cyber-attack-5999841-Feb2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">兒童福利機構Tulsa表示有2萬人個資在2021年網路攻擊事故外洩</span></span></strong></a></p> <p><a href="https://news.samsung.com/global/samsung-message-guard-protects-you-from-new-and-invisible-threats"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">三星針對旗下手機加入零點擊漏洞防護措施</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155635">【2023年2月22日】新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155613">【2023年2月21日】葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊、加密貨幣平臺Coinbase員工帳密遭駭</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155597">【2023年2月20日】 WordPress網站被植入廣告詐欺外掛程式、駭客組織使用13種語言發動商業郵件詐騙攻擊</a></strong></p> </div></div></div>
2023/2/23 17:42作者周峻佑https://www.ithome.com.tw/news/155652
Firefox for Android開始支援腳本擴充套件Tampermonkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla推出<a href="https://support.mozilla.org/en-US/kb/whats-new-firefox-android">Firefox for Android 110，這個版本主要更新擴展擴充套件的支援種類</a>，包括用戶可以使用Firefox Relay產生電子郵件遮罩地址保護線上身分，還能以使用者腳本管理擴充套件Tampermonkey管理並執行腳本。</p> <p>由於Mozilla的政策，Firefox for Android現在僅能安裝由官方推薦的擴充套件，用戶需要在Firefox for Android上的擴充套件管理器，搜尋開發的擴充套件並進行安裝，想用其他擴充套件則需要等待官方更新逐一開放。</p> <p>在最新Firefox for Android 110版本支援了強大擴充套件Tampermonkey，這是一個使用者腳本管理工具，讓用戶能夠簡單地應用腳本修改網頁JavaScript。腳本是一小段程式碼，能夠新增或移除網站的功能，因此透過Tampermonkey，使用者也就有能力在Firefox for Android上，以腳本執行官方尚未支援的擴充套件行為。</p> <p>Firefox for Android上的Tampermonkey體驗類似桌面版，不過雖然許多數好用腳本都可以安裝到Firefox for Android上的Tampermonkey，但是實際執行的行為可能略有不同，甚至部分腳本有安裝成功但是卻執行失敗的問題。</p> <p>其他好用的擴充套件，還包括能夠隱藏用戶真實電子郵件地址的Firefox Relay，該套件讓用戶可以簡單地產生電子郵件遮罩地址，Firefox Relay會將透過該遮罩地址收到的訊息，轉送到用戶的真實電子郵件信箱，如此便能夠隱藏用戶真實身分，降低受到垃圾郵件或是駭客攻擊的風險。</p> <p>ReadAloud現在也可以在Firefox for Android上使用，該擴充套件使用文字轉語音技術，能夠將網頁文字轉換成音訊，供用戶以聽的方式，瀏覽新聞、小說和線上課程資料等網站。Firefox for Android還新支援一個簡單的擴充套件ClearURL，該擴充套件可以替用戶清理連結中的追蹤元素，讓用戶能夠簡單分享乾淨的網址。</p> </div></div></div>
2023/2/22 08:35作者李建興https://www.ithome.com.tw/news/155615
社群認為React Native有三大痛點，升級難、除錯不易、效能不佳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>React Native社群發起問卷調查<a href="https://results.stateofreactnative.com/">State of React Native</a>，以進一步了解框架痛點以及替代工具的選擇。React Native是一個由臉書以React.js為基礎，所開發的應用程式框架，供開發者以宣告式程式開發模式開發多平臺應用程式，多數用於開發iOS和Android平臺應用程式，但也能夠透過另外的套件開發UWP應用程式。</p> <p>React Native中有許多新興客戶端狀態庫讓開發者感興趣，包括Zustand、Jotai和Legend State，但是採用率仍相對較低，Redux函式庫仍是更為熱門的選擇，使用率僅低於內建的Hooks。而在伺服器狀態函式庫方面，TanStack Query和Apollo表現相當，但是在開發者表達會再次使用的比例上，Apollo明顯更少。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201648%20-%20State%20of%20React%20Native%202022_%20State%20management_%20-%20results_stateofreactnative_com(1).png" style="width: 580px;" /></p> <p>問卷調查React Native的使用痛點，而結果反應了該框架一直以來的問題，便是框架版本升級困難和除錯不易，而且多數React Native開發者也不滿意效能表現，不過，還有超過半數的受訪者，指出React Native框架還存在另外兩個嚴重問題，是無人維護的套件以及過分仰賴第三方函式庫。</p> <p>導致React Native有許多無人維護函式庫的原因，State of React Native發起人，同時也是Software Mansion軟體工程師Kacper Kapuściak認為，由於維護React Native需要三種以上的語言專業，同時還要了解iOS和Android API知識，實際上並不容易，而且行動平臺不停的更新，使得許多橋樑套件過時。</p> <p>最受React Native開發人員偏愛的替代框架是SwiftUI和Jetpack Compose，而Ionic、微軟Xamarin和Apache Cordova，則是不那麼受React Native開發人員喜愛。這項調查有趣的地方是，雖然React Native開發人員普遍不愛Cordova和Ionic，但是Cordova使用率卻位居第一，Ionic以些微差異位居第二，表示雖然目前開發人員必須使用這些套件，但也樂意看到他們被取代。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201650%20-%20State%20of%20React%20Native%202022_%20React%20Native%20alternatives_%20-%20results_stateofreactnative_com.png" style="width: 580px;" /></p> <p>儘管框架還有許多可改進之處，不過受訪者對框架整體感到滿意，無論是建置應用程式的複雜度或是框架的改進速度，社群成員皆認為發展適中。</p> <p>這是第一份State of React Native調查報告，在React Native社群中收集到超過1,800份回應，Bartłomiej Bukowski向知名JavaScript社群調查<a href="https://www.ithome.com.tw/news/155134">State of JS</a>的創建人Sacha Greif取經，並在React Native社群建立一個類似的調查。Bartłomiej Bukowski表示，React Native開發人員常會面臨不知道該在專案使用那種解決方案的困擾，而透過集中比較，能夠助開發者更好地選擇想要使用的技術。</p> </div></div></div>
2023/2/22 08:38作者李建興https://www.ithome.com.tw/news/155617
Meta向創作者推出付費訂閱計畫，價格每月11.99美元起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/144848">推特發布訂閱服務Twitter Blue之後</a>，<a href="https://www.facebook.com/4/posts/good-morning-and-new-product-announcement-this-week-were-starting-to-roll-out-me/10114993498750111/">Meta執行長Mark Zuckerberg也宣布</a>，Meta將針對Instagram和臉書創作者推出<a href="https://about.fb.com/news/2023/02/testing-meta-verified-to-help-creators/" target="_blank">Meta Verified訂閱計畫</a>，訂閱Meta Verified的創作者貼文，將可獲得可見度提升以及防帳戶假冒保護。Meta Verified會先在澳洲和紐西蘭推出，在網頁訂閱價格為每月11.99美元，iOS和Android則是每月14.99美元。</p> <p>Meta即日起開始測試Meta Verified，這是一個Instagram和臉書的訂閱包，經過使用政府ID身分驗證的訂閱者，將獲得驗證徽章，以及主動的帳戶保護，同時提高可見度和觸及，Meta也會提供帳戶支援服務。</p> <p>官方提到，他們更改驗證徽章的意義，透過擴大驗證範圍，使經過驗證的帳戶增加，便可增加社群互動的可信度。Meta Verified最低要求年紀為18歲，申請人需要提交與Instagram和臉書個人資料名稱和照片相符的政府身分證件，在訂閱Meta Verified後，Meta將會主動監控假冒訂閱者帳戶的惡意帳號。</p> <p>由於訂閱者現有的受眾規模和貼文的主題不同，可能影響訂閱Meta Verified所獲得的可見度提升，Meta解釋，關注者較少的用戶因為本身受眾群體較少，因此可獲得明顯的觸及提升。另外，Meta Verified會提供訂閱者臉書、Instagram Stories和Facebook Reels特殊貼紙，在臉書上則有100個星星，訂閱者可以對其他創作者使用以表達支持。</p> <p>由於Meta Verified需要使用身分證件驗證帳戶，因此創作者一旦透過驗證，便無法更改個人名稱、使用者名稱、出生日期以及個人資料中的照片，除非再次透過Meta Verified訂閱或是驗證申請程序。</p> </div></div></div>
2023/2/21 08:39作者李建興https://www.ithome.com.tw/news/155599
Passkey無密碼登入正夯，NTT DOCOMO首度在臺公開導入經驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這五年來，<a href="https://www.ithome.com.tw/news/128566">新世代網路身分識別及無密碼登入的發展持續受關注</a>，去年FIDO聯盟新發布多裝置FIDO驗證（Multi-Device FIDO Credentials）白皮書，Google、蘋果與微軟三大科技巨頭也承諾擴大支援，並且陸續公布相關消息，進而讓Passkey這個從行銷上的用詞，成為多裝置FIDO驗證的代名詞。</p> <p>從Passkey的發展來看，現階段，上述三家業者正陸續從作業系統、瀏覽器提供支援，其中蘋果進度最快，Google在許多層面也都支援就緒，預計2023年，Google與微軟在各方面的支援到位，屆時勢必將更加帶動Passkey的應用。</p> <p>今年2月初，FIDO聯盟在臺舉行研討會，該聯盟執行長暨行銷長Andrew Shikiar談到他們的最新進展，除了預告IoT裝置接入FDO（FIDO Device Onboard）今年將有公開案例並要推動認證計畫，最首要的焦點，還是在去年宣布的Passkey。</p> <p>而在這場研討會上，我們從國內外專家與廠商的介紹，也更了解到Passkey的不同之處。</p> <p>例如，為了可用性與容易轉移性，Passkey打破FIDO2 / WebAuthn在每個裝置註冊一組金鑰的使用侷限，放寬如私鑰綁定特定硬體設備的嚴格要求，帶來可複製、備份與允許離開裝置的特性，像是iPhone可將Passkey存在iCloud Keychain，Android版Chrome將Passkey存在Google密碼管理員。</p> <p>相較於FIDO2實體安全金鑰使用，Passkey看似技術上的讓步，但從多裝置登入、不用重複註冊，以及用戶帳號恢復的角度來看，確實將帶來相當大的優勢。因此，各界推動Passkey的用意很明顯，就是希望擴大FIDO的採用範圍，以目前而言，明顯對面向消費端的網站應用服務帶來幫助。</p> <h3><strong><span style="color: rgb(178, 34, 34);">簡化無密碼註冊程序，有助帳號復原</span></strong></h3> <p>現階段，Passkey已有早期導入案例，不只美國公司，也有亞洲企業，例如，日本Yahoo、KDDI，以及NTT DOCOMO。</p> <p>而最近FIDO聯盟在臺舉行的研討會上，日本NTT DOCOMO產品設計部門經理久保賢生（Masao Kubo）分享了他們的經驗。</p> <p>事實上，他們導入FIDO已有8年時間，從2015年導入FIDO UAF 1.0開始，之後也陸續導入FIDO UAF 1.1與FIDO2。</p> <p>現在他們更是公開表示，將從現在2023年2月開始，提供新的身分新的身份驗證方法，也就是支援WebAuthn與Passkeys。讓客戶登入其服務能有更好的體驗。</p> <p>為何這麼說？久保賢生表示，他們在2020年3月就提供了無密碼模式，但是，當客戶登入d ACCOUNT時，需要先啟動“d ACCOUNT Setting”App進行認證，而透過新的WebAuthn認證方法，要登入docomo的線上商店或線上應用程式，就可以不用再經過這道程序，只需使用瀏覽器，即可進行認證，這簡化了註冊流程。</p> <p>而在帳號復原流程方面的強化，他們有特別說明，將透過JPKI/eKYC（IC）來實現線上快速復原流程。簡單來說，JPKI是日本的公共個人身份識別，Docomo的Idnetity Proofing Server，將會與授權機構的請求個人資料，以實現身分識別的確認。</p> <p>同時，為了加速普遍社會大眾對於這方面的認識，他們也把此FIDO技術的功能名稱，從Passwordless Authn，改為Passkeys Authn。這樣的作法，勢必也將讓Passkey的應用浪潮更受注目。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)Paaskey_DOCOMO_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>日本NTT DOCOMO於2月初在臺舉行的FIDO研討會上說明他們的FIDO導入經驗，最近進展就是支援WebAuthn與Passkeys。</strong></p> </div></div></div>
2023/2/20 09:37作者羅正漢https://www.ithome.com.tw/news/155589
【單靠密碼無法保全身分，抵抗網釣成當務之急】強化登入安全，導入無密碼已成IT界共識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼是現代人日常生活的一部分，多年來，人們使用各種實體或網路服務，往往都需要經歷註冊帳號、輸入密碼的環節，用以驗證該帳號就是用戶本人登入。</p> <p>但人們需要記憶的密碼越來越多，不論是電子郵件、銀行、各種社交媒體等，再加上每個人通常都擁有多個網路帳戶，且每個帳戶變得越來越有價值，以及身分冒用層面的危害與風險逐年升高，使得帳密／憑證（credential）成為駭客與惡意軟體攻擊鎖定的目標。</p> <p>例如，在每天的新聞報導中，經常出現民眾網路服務帳號遭遇網釣攻擊、撞庫攻擊，以及身分盜用、帳號內敏感資訊被竊取，進而引發各式資安事件與問題，不僅如此，企業員工帳密也是經常被鎖定的目標，導致防護被突破，機敏資訊外洩等資安事件。</p> <p>為此，這五年來，各國政府、資安界都在大力推動無密碼登入技術，以臺灣而言，隨著新一代網路身分識別日益受到肯定，政府與金融業也都已經建置這樣的身分安全服務。</p> <p>到了2023年，無密碼登入又有新的重大進展，由於2022年多裝置FIDO驗證（Multi-Device FIDO Credentials）、稱為Passkey的技術登場，提供了可複製與備份的特性，再加上蘋果、Google、微軟皆承諾擴大使用，作業系統及瀏覽器將提供相關支援，已被視為促使消費端的無密碼登入應用普及的關鍵。</p> <p>而2月初FIDO聯盟在臺舉行研討會，也呼應這個全球IT新趨勢，當大家在此探討全球FIDO技術的最新發展時，PassKey也是最主要的焦點之一。</p> <p>雖然無密碼登入前景看好，但很多企業對於這方面威脅與防護的了解，仍相當不足，因此，缺乏積極行動，而且，有些單位對於身分安全的概念仍停留在很粗淺、老舊的階段，需要更多的宣導與教育。</p> <p><span style="font-size:28px;"><strong>電商強化用戶身分識別，加大無密碼登入推動力道</strong></span></p> <p>這幾年來，臺灣政府與金融業相當關注FIDO的技術應用，因此陸續出現使用案例，像是：臺灣內政部資訊中心所推動的TW FidO，提供政府機關員工與便民服務的應用；金融業也持續推動金融FIDO，解決以帳號密碼作為身分驗證方式所衍生出的各項問題。</p> <p>但是，臺灣的電子商務服務業者，對於強化網路身分識別、保障消費端用戶帳號安全，顯然不夠積極。</p> <p>以營業規模最大的富邦媒體（momo購物網）而言，許多民眾都注意到兩三年前業者會持續發布宣導資訊，提醒購物網的用戶注意網路釣魚及防詐騙，2022年底，當消費者登入購物平臺時，會發現在每次登入時，不只輸入帳號密碼，還要輸入從手機接收到的6位數簡訊OTP驗證碼，顯示業者開始在會員帳號登入上導入MFA。</p> <p>然而，這麼做就有足夠的保障嗎？事實上，要確保網路消費者的身分安全，業者必須體認到這是必須持續改良與強化的過程。</p> <p>以國際大型電商平臺業者eBay的經驗為例，起初為了提升網站服務登入過程的安全，而實施簡訊OTP的機制，2019年開始推動基於App的登入通知推播方式，採用FIDO UAF標準規範，讓使用者點擊確認登入，主要考量是基於SMS的2FA已變得不夠安全，同時也期望改善消費者的體驗。</p> <p>半年後，他們進一步在Android/Chrome等系統平臺上，提供FIDO2/WebAuthn的支援，之後再擴展到Mac、Windows與iOS。最近2022年，他們又再增加對於Passkey的支援。從eBay的推動方向來看，他們希望之後能夠完全禁用密碼，並克服帳號恢復的問題。</p> <p>從上述兩例來看，也反映許多網站服務業者可能存在的現況，大家對於MFA的支援，仍處於初期階段，並未更進一步升級。</p> <p>儘管最近五年來，FIDO技術受到政府與金融業的關注，再加上相關威脅與事件層出不窮，按理來說，大家都應該很關注如何確保身分安全，但實際上，並非如此，對於其他產業與個人而言，都缺乏認知。</p> <p>一般民眾與大眾新聞媒體雖然都關注個資外洩、網路詐騙事件，但在個人平時工作與生活的使用習慣上，其實並不注重自己的權益，也未養成良好的網路衛生習慣，積極了解與落實提升資安防護各種手段的人，仍然相當稀有。</p> <p>面對資安威脅，設法強化與確保身分安全是每個人都能做到的部分，無論你使用的是安全性較差的靜態密碼，或是進階的OTP動態密碼、MFA驗證，甚至是目前公認相對較難被冒用的無密碼登入，我們都需要多多了解這些做法的優缺點，以及可能面臨的資安威脅，並且持續關注近期發生的各種資安事件，才能及時掌握資安風險態勢的變化。</p> <p><span style="font-size:28px;"><strong>為何要用無密碼登入？對攻擊者而言，密碼其實很容易取得又好用</strong></span></p> <p>想要預防自己的身分遭冒用，有一種做法是從攻擊者的角度來思考，我們可能更容易了解自己該怎麼做。</p> <p>試想，當駭客處於不知道用戶密碼的情況下，他們要盜用民眾的網路服務帳號會怎麼做？我們歸納出以下幾點：</p> <p>首先，駭客可以利用大家通常為了方便而設定容易記憶密碼的心態，因此，能透過暴力破解，或是蒐集最常使用的密碼組合、側錄竊取的個人資訊等，來取得帳號密碼資料。</p> <p>例如，過去我們曾報導有些民眾的個人電子信箱是以電話號碼或生日作為密碼，且未啟用兩步驟驗證（2SV），而犯罪集團之所以得逞，是因為他們透過購買個資來猜出密碼，而在盜用帳號、獲取更多個人資訊後，再假冒用戶向銀行變更手機號碼並獲取OTP碼，進而將民眾銀行帳戶盜轉一空。</p> <p>其次，駭客也可以直接鎖定用戶攻擊，利用社交工程手段騙取密碼或偷密碼的方式，發動網路釣魚攻擊，或是藉由散布或植入竊密程式，來竊取用戶的帳密與憑證。</p> <p>再者，駭客也會直接鎖定企業攻擊，藉由入侵企業的用戶帳密資料庫，一次偷取大量用戶帳號密碼。</p> <p>不僅如此，上述提到民眾為了記憶方便，可能在不同網路服務，使用了同一組帳號密碼，因此，這又讓駭客有了更多可乘之機，並搭配自動化工具發動俗稱撞庫的填充式攻擊。</p> <p>因此，這也是為何資安界呼籲大眾，要設定不容易被猜到的密碼，不要共用帳號密碼，應啟用MFA多一道保護。</p> <p>事實上，網釣攻擊威脅至今仍持續攀升，最主要原因在於，發動攻擊需付出的成本與心力並不多，卻能有不錯的成效，使得攻擊者對此更有興趣，進而衍生出販售網釣攻擊套件，甚至提供網釣即服務（Phishing-as-a-Service，PaaS）這類平臺，當中還會持續增加可規避網釣偵測的機制。</p> <p>綜觀此一發展，攻擊門檻不僅降低，也帶來威脅與日俱增的現況。</p> <p>因此，多年來資安界不斷呼籲用戶啟用雙因素驗證MFA，或是平臺業者開始強制啟用MFA，提升企業應用系統存取的帳號安全，以及強化網路服務會員帳號的安全。</p> <p><span style="font-size:28px;"><strong>MFA遭破事件頻傳，突顯OTP本質是密碼而難逃缺陷</strong></span></p> <p>隨著各界採用MFA比例的增加，對於攻擊者而言，除了繼續攻擊那些缺乏MFA防護的企業系統與網站服務，也聚焦如何突破MFA的防護。</p> <p>例如，攻擊者利用同樣手段施以攔截或網釣OTP的攻擊，竊取仍是密碼形式的驗證碼，另外，還有近年興起的一種MFA通知轟炸攻擊（Push bombing），透過頻繁觸發進行OTP驗證，引誘使用者因誤按操作而乘機奪取身分。</p> <p>在今年農曆春節前夕，臺灣就發生嚴重的事件。有網路犯罪集團接連假冒多家銀行業名義，對民眾發動大規模網釣攻擊，透過簡訊管道散布釣魚網站，騙取用戶的帳號與密碼，同時還騙取用戶收到的OTP碼，進而掌控民眾網路銀行帳戶，再盜轉金錢。</p> <p>而在2021年1月，發生台灣大哥大手機在出廠時被植入惡意程式的事件，這讓詐騙集團能以用戶門號冒名申請遊戲帳號。該惡意程式會攔截發送到手機的OTP驗證碼，再將用戶門號作為遊戲點數詐騙的人頭帳號。</p> <p>而在國際間，也曾出現利用電信業SS7協定漏洞，以及SIM卡劫持（SIM Swap）的攻擊手法，假冒用戶向電信客服謊稱SIM卡遺失，進而獲取手機號碼控制權，其目的都是竊取簡訊OTP碼。</p> <p>而且，駭客不只針對企業網站服務的用戶會員帳號，也鎖定企業內部員工帳號攻擊。</p> <p>2023年2月知名網路論壇Reddit發生的資安事故，就是一個例子。該公司雖然啟用了簡訊OTP的MFA，但由於員工帳密與簡訊OTP都被竊取，導致內部文件、程式碼、系統存取權限等被竊。</p> <p>而在2022年11月，雲端檔案同步服務業者Dropbox也傳出遭駭，根據該公司公布的調查結果說明，是硬體OTP產生器的一次性密碼也被騙走，使得駭客盜帳號時也能通過MFA驗證。</p> <p>雲端通訊平臺業者Twilio在2022年8月遭遇的事件，也是一例，自家員工遭網釣簡訊攻擊，不僅導致公司內部遭駭客入侵，更嚴重的是，該公司併購的Authy身分驗證服務受影響，以及使用Twilio服務提供簡訊身分驗證服務的企業，同樣也受影響，使得整起事件波及了上百家企業組織。</p> <p>網路設備大廠思科也曾因此受害，他們2022年5月遭入侵，對方正是針對基於App驗證的MFA機制而來，發動了MFA通知轟炸攻擊。駭客不僅竊取了員工帳密，之後再藉由語音網釣，與不斷觸發大量MFA登入請求通知至員工手機，導致員工因頻繁通知而誤按允許。</p> <p>不過，也有成功抵抗這類企圖竊取身分攻擊的消息。例如，雲端服務業者Cloudflare在2022年7月遭遇網釣攻擊，所幸員工是採用FIDO實體安全金鑰（Security Key）登入，因此該次事件沒有發生被入侵的情況。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-%E5%B0%81%E9%9D%A2-%E5%BC%B7%E5%8C%96%E7%99%BB%E5%85%A5%E5%AE%89%E5%85%A8-600-1-V2.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:28px;"><strong>全球都在推動無密碼登入，臺灣也要跟進，確保使用者身分安全</strong></span></p> <p>無論如何，上述這些網釣攻擊事件，徹底反映了傳統密碼所帶來的問題，以及MFA機制現在正需要往更強健的作法邁進，這也是無密碼登入及FIDO技術持續受到看重的主要原因。</p> <p>具體而言，FIDO技術標準的特別之處，就是不同於傳統密碼的驗證架構，是自己與伺服器都知道帳號與密碼，FIDO則是採用公開金鑰基礎架構，FIDO伺服器端只保存相對應的公鑰，私鑰保存在裝置端，而且身分驗證是在裝置端進行，並可搭配生物辨識技術與硬體安全模組。</p> <p>目前來看，臺灣政府與金融業在FIDO2標準提出後，已經陸續展開行動，而今年最受關注的焦點，將是多裝置FIDO驗證，也就是普遍稱之為Passkey的機制，從目前發展態勢來看，這項機制有助於消費端的網站服務，更接納無密碼登入。</p> <p>今年2023年2月初，FIDO聯盟在臺舉行研討會時，該聯盟執行長暨行銷長Andrew Shikiar指出，Passkey已有早期導入業者，不僅是有國際支付業者PayPal、電子商務平臺業者Shopify，在亞洲也有日本業者積極提供支援，包括日本Yahoo，以及NTT DoCoMo。</p> <p>而從密碼管理服務業者1Password所統計的業者，還有像是電商購物平臺Best Buy、eBay，金融服務業者Robinhood、Card Pointers，旅遊休閒平臺Kayak、Scrooge Games，社群平臺Mangadex、omg.lol等。甚至1Password業者本身也在2月9日表示，該公司的解決方案將全心致力於Passkey，提供以Passkey為中心的驗證方式。</p> <p>對於臺灣普遍提供網站服務的企業組織而言，不論是資訊服務、人力銀行、旅遊百貨服務、社群網站、線上遊戲，以及電子商務等各式業者，也該想想對於用戶會員帳號的登入安全，除了過往所談的MFA的支援，異常IP位址登入的示警等條件式存取控管，現在勢必也更關注，應提供更佳的MFA機制。</p> <p>而不是單方面呼籲用戶小心防範帳號被盜用，網路服務業者自身卻未提供更安全的帳號登入驗證機制。</p> <p> </p> <p><strong><span style="color:#3399ff;"><span style="font-size:28px;">突破MFA防線成常態，攻擊者已能誘騙OTP碼與通知允許，半年來接連有多家IT廠商與網站遇害</span></span></strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:18px;"><strong><span style="background-color:#B22222;"> 2022年8月 </span> </strong></span></span><span style="font-size:18px;"><strong>雲端通訊平臺業者Twilio公布遭駭事件，說明員工遭網釣簡訊攻擊，簡訊內容提及員工姓名，以密碼過期或班表更換為由，誘騙員工前往簡訊內的連結。特別的是，由於該公司併購的Authy身分驗證服務，以及使用Twilio的服務來提供簡訊身分驗證服務的企業組織，都受到影響，因此波及了上百家企業組織。</strong></span></p> <p><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 2022年8月 </span> </strong><strong><span style="font-size:18px;">思科發布資安事件公告，說明5月下旬遭網路攻擊，並公布完整攻擊鏈，當中說明起因是員工個人Google帳號遭駭，攻擊者再利用帳號同步功能獲取存於瀏覽器的Cisco帳密，之後又再利用語音網釣攻擊手法，以及引誘員工接受攻擊者發動的MFA請求通知，進而獲取了進入思科的VPN權限。</span></strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 2022年8月 </span> </strong><span style="font-size:18px;"><strong>Cloudflare揭露7月遭網釣攻擊，但因員工使用FIDO實體安全金鑰（Security Key）讓攻擊者無功而返。該公司表示有76名員工收到網釣簡訊，導向一個Cloudflare-Okta網域的登入頁面，但該網域是假冒的，且當日才註冊，雖有3名員工被騙走帳密，但攻擊者未能成功盜用員工帳號。</strong></span></p> <p><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 2022年11月 </span> </strong><span style="font-size:18px;"><strong>Dropbox公布遭駭事件，調查結果顯示，是該公司開發人員誤信了假冒CircleCI名義的網釣郵件，有員工的GitHub帳號、密碼，以及硬體OTP產生器的一次性密碼都被騙走，造成130個儲存庫遭駭客存取的狀況，後續該公司表示，他們已在規畫導入WebAuthn認證機制，搭配FIDO式硬體金鑰或生物辨識機制來阻擋網釣。</strong></span></p> <p><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 2023年2月 </span> </strong><span style="font-size:18px;"><strong>知名網路論壇Reddit公告發生資安事故，已調查出該公司員工在2月5日遭網釣攻擊，由於帳號、密碼與簡訊OTP都被竊取，導致攻擊者入侵後，獲取了內部文件、程式碼與業務系統存取權限。該公司表示，這次事件讓他們了解到，以簡訊傳送OTP為2FA，並不夠安全。</strong></span></p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>資料來源：iThome整理，2023年2月</strong></span></span></p> </div></div></div>
2023/2/20 00:00作者羅正漢https://www.ithome.com.tw/news/155544
iOS、iPadOS 16.4讓網頁應用程式也能推送通知到主畫面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在最新的<a href="https://webkit.org/blog/13878/web-push-for-web-apps-on-ios-and-ipados/">iOS和iPadOS 16.4 beta 1中添加網頁推送（Web Push）功能</a>，用戶不只可以將網頁應用程式釘選在主畫面（Home Screen）上，現在還可以在主畫面接收推送通知，或在應用程式圖標上看到計數。Apple透過加入網頁推送的支援，使得網頁應用程式的行為，更接近原生應用程式。</p> <p>網頁推送使用W3C制定的標準<a href="https://caniuse.com/push-api">Push API</a>實作，讓網頁應用程式能夠接受來自伺服器推送的訊息，而且無論應用程式是否在前臺，或是已經載入到用戶代理上都可以作用，這項功能供網頁應用程式更好地向用戶推送非同步通知。</p> <p>主要的桌面瀏覽器，目前都已經支援網頁推送，而許多主要的行動裝置瀏覽器也都已經支援，包括Chrome for Android、Samsung Internet和Firefox for Android等，iOS和iPadOS的Safari則是從16.4開始支援，原生Android Browser則尚不支援。</p> <p>用戶原本就可在iOS、iPadOS上的Safari，利用共享按鍵將網站添加到主畫面，而該網站的圖標，便會出現在主畫面，用戶只要點擊該圖標，就能迅速存取該網站。同時，網頁開發人員只要在網站加上清單（Manifest）檔案，該網頁就能夠成為主畫面網頁應用程式，使網頁應用程式以原生應用程式的方式開啟，而不會在瀏覽器中打開，用戶也可以在應用程式切換畫面中，看到應用程式預覽。</p> <p>透過支援網頁推送，將大幅改善網頁應用程式的使用體驗，iOS和iPadOS 16.4 beta 1在主畫面網頁應用程式增加網頁推送支援，使網頁開發人員可以利用Push API、Notifications API和Service Workers向用戶推送通知。</p> <p>網頁推送支援iPhone與iPad的專注模式，供用戶配置想要接受通知的時機，在多個裝置將同一個網頁應用程式添加到主畫面的用戶，專注模式會自動應用到所有裝置上。而且現在網頁應用程式也可以使用Badging API，在應用程式圖標上顯示計數。</p> <p>添加到主畫面的網頁應用程式，可以請求推送通知權限，用戶也可以在通知設定中，管理網頁應用程式的權限，就如同原生應用程式一樣。而來自網頁應用程式的通知，也會如同原生應用程式通知一樣，在鎖定畫面、通知中心和配對的Apple Watch上顯示。</p> <p>iOS和iPadOS上的網頁推送也是透過Apple推送通知服務發送通知，但開發者不需要是Apple Developer Program會員就可以使用。在iOS、iPadOS上的網頁推送，與去年秋天macOS Ventura上Safari 16.1添加的網頁推送標準相同，因此當開發者已經在網頁採用最佳實踐，也就能夠在iPhone和iPad上正常運作。</p> </div></div></div>
2023/2/18 07:27作者李建興https://www.ithome.com.tw/news/155562
微軟正式認證Parallels為合作夥伴，可在蘋果M1、M2電腦上執行Windows 11 on Arm
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/windows/options-for-using-windows-11-with-mac-computers-with-apple-m1-and-m2-chips-cd15fd62-9b34-4b78-b0bc-121baa3c568c" target="_blank">微軟昨（16）日宣布</a>與軟體業者Parallels的合作，讓Arm版Windows 11得以在搭載蘋果M1、M2晶片的Mac電腦上執行。</p> <p>微軟指出，Windows 11在為Windows設計的PC上執行效果最好，但如果用戶環境不允許，有兩種方法。第一個是在Mac電腦上訂閱Windows 365服務，這是一種SaaS（software-as-a-service）服務，將Windows以Cloud PC服務在用戶電腦上執行，不論實際硬體是精簡電腦或是Linux、Mac、ChromOS電腦。</p> <p>第二種則是在Mac電腦上安裝Parallels Desktop虛擬化軟體。<a href="https://www.ithome.com.tw/news/143861" target="_blank">2021年推出</a>的Parallels Desktop 16.5已可讓用戶在M1-based電腦上安裝Windows 10 on Arm。不過那時微軟並未正式將之列為合作夥伴。</p> <p>微軟本周正式宣布Parallels Desktop 18是在蘋果M1、M2電腦上，執行Arm版Windows 11 Pro及Windows 11 Enterprise的授權解決方案。</p> <p>不過微軟指出，Arm版Windows 11存在功能限制，可能影響用戶執行仰賴DirectX 12或OpenGL 3.3的應用程式或遊戲。</p> <p>此外，這種組合也不支援巢狀虛擬化（nested virtualization），即在其他VM（virtual machine）中執行VM。因此Mac電腦上的Windows 11無法執行WSA（Windows Subsystem for Android）、WSL（Windows Subsystem for Linux）、Windows Sandbox，以及虛擬化安全（Virtualization-based Security，VBS），後二者可透過多重虛擬化建立安全隔離區以確保App安全性。</p> <p>除了Parallels外，其他選擇還包括VMware Fusion及Crossover等。</p> </div></div></div>
2023/2/17 16:18作者林妍溱https://www.ithome.com.tw/news/155560
微軟整合ChatGPT的Bing桌機版開放部分用戶存取，Android及iOS版傳即將問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周公布以OpenAI ChatGPT強化的新Bing搜尋的預覽版本，並要有興趣試用者加入等候清單，本周一新版Bing開始對少量桌機版用戶開放。媒體報導，Android及iOS版本也很快會上線。</p> <p><a href="https://www.windowslatest.com/2023/02/13/microsofts-new-chatgpt-powered-bing-is-now-rolling-out-to-select-users/" target="_blank">《Windows Latest》</a>報導，它的微軟帳號已經在周一收到微軟以電子郵件發出的邀請函，試用AI加持的新Bing服務。</p> <p>微軟Bing小組在郵件寫道，很高興提供用戶早期預覽權利，以使用新Bing—AI為基礎的網路領航者，也期待用戶能提供回饋意見。</p> <p>同時，伴隨新AI功能的加入，微軟也改版了Bing.com網站。新頁面最下方保留了寫有「Ask me anything」的搜尋框以支援傳統的關鍵字搜尋。上方則多了三個較小的搜尋框，允許用戶像使用ChatGPT一樣，以聊天方式進行搜尋。整體而言新介面也改得很類似ChatGPT。</p> <p>這些用戶是上周加入等候清單，獲得微軟優先開放的一小群用戶。<a href="https://twitter.com/yusuf_i_mehdi/status/1623784661041418241" target="_blank">微軟消費事業群行銷長Yusuf Mehdi日前公布</a>，在記者會後兩天內，已有超過百萬人報名加入，顯示整合ChatGPT的Bing對用戶的號召力。市場分析機構的初步統計，自上周以來，連ChatGPT都還沒有的Bing全球下載數就已爆增10倍。</p> <p>至於何時可以在手機上使用，微軟表示，目前新Bing服務還沒有行動版本，該公司正在加緊作業，很快就會準備好。</p> <p><a href="https://www.windowslatest.com/2023/02/13/microsoft-says-chatgpt-bing-ai-is-coming-to-android-and-ios-soon/" target="_blank">不過Windows Latest引述消息人士證實</a>，微軟正在開發Bing.com的ChatUI的Android及iOS版本，預計幾個禮拜內應該就會釋出到兩個行動平臺。</p> </div></div></div>
2023/2/14 11:36作者林妍溱https://www.ithome.com.tw/news/155505
1Password將逐步轉向以Passkey為中心的驗證方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在無密碼登入的趨勢中，<a href="https://blog.1password.com/unlock-1password-with-passkeys/" target="_blank">密碼管理服務業者1Password上周宣布</a>，將在今年允許用戶捨棄密碼，轉換成以通行密鑰（passkey）作為登入方式。</p> <p>通行密鑰（passkey）是一組儲存在裝置中的獨立數位身分，在登入支援的網站或App時，通行密鑰結合裝置上的生物辨識特徵產生的安全程式碼和網站、App交換進行驗證即可完成，不必記憶密碼，不但使用容易、難以竊取或破解，使用起來也更快速。</p> <p>1Password強調，該公司自2014年就在iOS版支援以TouchID無密碼登入，之後再擴大支援FaceID、Windows Hello、Android Fingerprint等無密碼登入方案，只是也同時併用密碼登入。</p> <p>1Password執行長Steve Won宣布，因應無密碼登入的新趨勢，與其救火式的解決密碼破解攻擊，1Password決定畢其功於一役，解決使用密碼的困擾，未來公司解決方案將轉向生成、管理和使用passkey，並且以passkey全面取代用戶的所有密碼，包括用來登入1Password帳號的密碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0213-Passkey-1password-2-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／1Password</span></span></p> <p>為此，1Password宣布今年夏天用戶將可以不再使用密碼，而僅用passkey來新增及解鎖1Password帳號。</p> <p>他重申，使用passkey，用戶未來不必再用密碼或硬體金鑰Secret Key，只要使用儲存在手機內的生物辨識驗證工具即可登入或解鎖App、網站或服務，不論是Mac、Windows PC或Web版，也能更快登入新裝置，大幅節省個人或企業員工的作業時間。</p> </div></div></div>
2023/2/13 13:26作者林妍溱https://www.ithome.com.tw/news/155482
AI趨勢周報第209期：AI社群發起Open Assistant專案，要打造與第三方互動的AI助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0203～0209)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LAION </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Open Assistant </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI研究社群發起Open Assistant專案，要打造超越ChatGPT的AI助理</strong></span></p> <p>非營利AI研究組織LAION專攻大型AI模型研究，最近，他們發起<a href="https://projects.laion.ai/Open-Assistant/">Open Assistant專案</a>，號召開發者協作來打造ChatGPT類模型，並要免費開源給大眾。團隊說明，該專案的目標不只是仿造ChatGPT，而是要打造功能更強大的「未來助理」聊天機器人，這個助理不只要會寫Email和求職履歷，還要會用API與第三方互動、動態搜尋和取得所需資訊。團隊表示，這個助理還要能在消費級硬體上執行，讓大眾都能使用。</p> <p>目前，Open Assistant專案處於初始階段，短期目標是要先打造最小可行性原型（MVP）。為達到這個目標，LAION遵從OpenAI打造InstructGPT的三步驟，也就是先收集人工撰寫的展示數據、訓練監督式Policy，接著收集比較數據、訓練獎勵模型，最後用強化學習來優化獎勵模型Policy。Open Assistant模型能解的任務，將涵蓋常識問答、高中數學、論文審核，以及大型NLP模型FlanT5-XXL所會的任務。目前，LAION正收集訓練資料中。<a href="https://projects.laion.ai/Open-Assistant/blog">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Stability AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MedARC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Stability AI成立醫療AI研究中心，要打造醫療專用大型AI模型</strong></span></p> <p>打造知名文字生成圖像模型Stable Diffusion的新創Stability AI，近日聯手fast.ai共同創辦人Jeremy Howard<a href="https://twitter.com/StabilityAI/status/1623731548724858882?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1623731548724858882%7Ctwgr%5E55beb4b74a134b42f7bd9f7fcd474e1cedceb749%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fstability-ai-announces-new-medical-ai-research-org-medarc%2F">成立醫療AI研究中心（MedARC）</a>，要用新穎、開放和協作的研究方法，來推動醫療照護的AI應用。</p> <p>MedARC指出，生成式AI成果遍地開花，但在醫療領域仍少有應用案例。因此，MedARC要建立跨學科團隊，打造大型醫療AI模型，來滿足臨床需求。特別的是，MedARC將公開進行研究，團隊的所有研究與資料集將免費釋出。目前，MedARC已建立一個Discord主機，來供團隊討論、貢獻和追蹤研究進展，MedARC更指出，這種公開的研究方式，已促成不少AI進展，像是專精NLP領域的研究協會EleutherAI，在前兩年陸續發表類GPT模型，又或是鑽研大型多模態AI模型的NPO研究組織LAION，以及專攻生物學領域的研究團隊OpenBioML。<a href="https://www.medarc.ai/blog/announcement">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Bing </span></strong></span></p> <p><span style="font-size: 22px;"><strong>可以試用了！微軟用ChatGPT強化Bing搜尋、Edge</strong></span></p> <p>微軟近日宣布，以ChatGPT強化的新版Bing搜尋引擎和Edge瀏覽器的AI服務，已經在Bing.com上公開預覽版，供大眾試用。微軟消費事業群行銷長Yusuf Mehdi說明，新版Bing結合4項技術，包括微軟和OpenAI合作研發的最新一代大型語言模型Prometheus，號稱比ChatGPT及GPT 3.5更強大、更快、更精準。Bing核心搜尋排序引擎，也以AI模型改善，微軟指出，新版Bing搜尋相關性的進步是20年來最大；新版Bing整合了搜尋、上網和聊天於統一介面，提供新的使用者體驗。</p> <p>新版Bing在介面上更簡潔，且支援傳統關鍵字、自然語言和語音輸入。新的搜尋功能在簡單事物，如運動比賽分數、股價或氣象可提供關聯性更高的答案。針對較複雜內容，Bing搜尋也會整理成重點，此外新增側邊欄，列出蒐羅到的相關資訊。此外，新版Bing還能協助產生內容，如寫電子郵件、規畫旅遊行程，或準備工作面試等。不只如此，Bing還會標註內容來源連結，供用戶查看原始網頁。<a href="https://blogs.microsoft.com/blog/2023/02/07/reinventing-search-with-a-new-ai-powered-microsoft-bing-and-edge-your-copilot-for-the-web/">（詳全文）</a></p> <p><img alt="" src="https://blogs.microsoft.com/wp-content/uploads/prod/2023/02/Thermo_Edge_Still_4_16x9.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI釋出新工具，能更準確判斷AI生成文章</strong></span></p> <p>生成式AI遍地開花，為避免生成AI遭濫用，坊間出現不少工具，來判斷文章是否為AI產出，但這些工具效能不一。OpenAI先前也開發一款工具，來辨識AI生成的文字內容，但最近，他們重新訓練一套分類器，比之前那套更準確，並開放讓使用者申請使用。OpenAI將根據使用者回饋，繼續優化這套分類器。</p> <p>OpenAI也坦言，這款工具並非完全可靠。在他們用來評估分類器表現的「挑戰資料集」中，分類器能將26%的AI生成文章，辨識為「可能是AI產生」，但也將9%人類撰寫的文章，錯誤地辨識為可能是AI產生。此外，分類器也有些限制，比如對少於150至200個字的文章，辨識準確度非常低，且對英語以外的語言，辨識效果也不好。<a href="https://openai.com/blog/new-ai-classifier-for-indicating-ai-written-text/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Poe </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Quora </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聊天機器人 </span></strong></span></p> <p><span style="font-size:22px;"><strong>知名問答平臺Quora發表自家AI聊天機器人Poe</strong></span></p> <p>每月擁有4億不重複用戶的知名問答平臺Quora，最近打造出自家AI聊天機器人平臺Poe，能即時回答使用者的問題。目前，Poe先在iOS上架，接下來幾個月會陸續發布Android、網頁和桌面版本。Quora執行長Adam D'Angelo預告，團隊還會針對不同任務，打造更多的機器人。</p> <p>Poe採用了OpenAI和Anthropic開發的模型，未來將陸續新增不同AI模型，來支援Poe。Quora也正在開發Poe API，要讓其他開發者，更簡單地在Poe介接模型，進而擴展用戶。為促進AI模型的使用，Quora還建立分享功能，讓使用者能與社群追蹤者分享模型輸出，來激發使用靈感。<a href="https://quorablog.quora.com/Poe-1">（詳全文）</a></p> <p><img alt="" src="https://qph.cf2.quoracdn.net/main-qimg-058cf8b7a717d13eeb1990a0f6905062-pjlq" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 搜尋引擎 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hugging Face推出最新搜尋引擎，快速從20萬個模型找出你要的</strong></span></p> <p>知名NLP新創Hugging Face最近宣布推出全文搜尋引擎<a href="https://huggingface.co/search/full-text">hf.co/search</a>，供使用者從20萬多個AI模型、資料集和空間中，搜尋所需的資訊，包括大型語言模型、圖和網站託管的其他內容。</p> <p>這款新引擎更靈活，不再侷限於確切的字符串配對，而且還能克服拼寫錯誤。使用者還能分享搜尋結果。有了文字配對功能，使用者輸入一個字，新搜尋引擎就能秀出包含該字的所有函式庫。<a href="https://twitter.com/mishig25/status/1623746102515142657?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1623746102515142657%7Ctwgr%5E951758b4c161893474e63fccdfa79557396d0fcc%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fhugging-faces-new-search-makes-life-easier-for-developers%2F">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-02-13%20at%2012_33_25%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AIF </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 產業AI化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AIF：臺灣4成企業還不認識AI</strong></span></p> <p>財團法人人工智慧科技基金會（AIF）最近公布<a href="http://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://aif.tw/event/ai-research/assets/files/2022report.pdf?utm_source=event-site&utm_medium=button&utm_campaign=download&utm_id=2022-ai-research">產業AI化大調查結果</a>，發現臺灣整體產業AI化指數，只有39.3分，而且七成企業還沒動起來。這份調查詢問了363家企業，其中ICT業者占多數，為52.1%；報告指出，整體產業AI化指數由3大層面加總計算，包括經營、人才、技術，就ICT產業來說，只有46分，而第二多數的零售貿易服務業，也只有28.1分。</p> <p>再進一步分析，有七成企業屬於AI化前期階段，包括42.1%還不認識AI、 26.7%知道AI，但只有17.4%的受試企業進入準備階段，以及13.8%的企業處於擴大應用階段。就產業別來說，AI化差異非常大，比如，ICT產業中，約4成企業已經進入相對成熟的準備階段和擴大階段，其他如零售貿易服務業、製造業和政府機關等產業，過半數企業還不認識AI。</p> <p>另一方面，調查也發現，臺灣企業數位化程度不盡理想，整體產業數位化分數只有50.8分，而且只有三分之一的企業，有串接內外部資料分析來輔助商業決策（14%）或制定策略（20%）。這些結果，顯示臺灣企業數位化程度和AI化程度有待提升。<a href="https://edge.aif.tw/press-2022-ai-research/">（詳全文）</a></p> <p><img alt="" src="https://lh5.googleusercontent.com/zcCdQPkIvJhEMirJVrHj6TQA7RmES373W-pXwY4A4vEaz_Ue1pJY3Qty-TVMFEbYuJQL_u2IVVzLsxia5avTcmeJtKCzHgEGSSXiTYZzkMlzS5qmgeWvj2zYTt1E7raVzUHUnnvJpO7DcWdCJWxmLqY" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 阿波羅醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 印度 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 決策輔助 </span></strong></span></p> <p><span style="font-size:22px;"><strong>印度最大醫療集團發布AI臨床決策輔助工具，全印度醫生都能用</strong></span></p> <p>阿波羅醫院（Apollo Hosipitals）是印度最大的醫療集團，擁有64家醫院共9千多張病床，最近宣布將自行開發的AI臨床決策平臺，供全印度的合法執業醫生使用，要改變印度整體的醫療照護水準。</p> <p>進一步來說，這款工具的名稱是Apollo Clinical Intelligence Engine（簡稱CIE），由500多名醫生和專家打造、維護，並定期審查。CIE可協助醫生分析病情、找出病因，並提供診療建議，來加速醫生看診。它也能提供醫護人員可能遺漏的資訊建議，而且，CIE詞彙表還收錄了1,300多種疾病和800多種症狀，涵蓋門診中95%的日常病例組合。CIE號稱是世界上最大的醫療資料湖之一，由100多位工程師開發，使用了阿波羅醫院40年的醫療數據和權威醫療期刊數據訓練而成，並通過多家國際學術機構測試、驗證。不只如此，該工具也能與時俱進，光是去年，就參考了當年發表的60萬項臨床研究成果。<a href="https://www.prnewswire.com/in/news-releases/apollo-hospitals-rolls-out-clinical-intelligence-engine-cie-for-doctors-across-india-301740454.html">（詳全文）</a></p> <p>圖片來源／微軟、Quora、Hugging Face、AIF</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. ChatGPT上線2個月用戶增加到1億，史上最快</strong></p> <p><strong>2. Google發表Bard來對抗ChatGPT</strong></p> <p>資料來源：iThome整理，2023年2月</p> </div></div></div>
2023/2/12 00:42作者王若樸https://www.ithome.com.tw/news/155472
Cloudflare推出去中心化社交媒體Fediverse執行個體服務Wildebeest
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare推出讓使用者可以簡單營運Fediverse執行個體的服務<a href="https://blog.cloudflare.com/welcome-to-wildebeest-the-fediverse-on-cloudflare/">Wildebeest</a>。Fediverse是去中心化社交媒體，範疇涵蓋分散式微部落格Mastodon，不同的社交媒體伺服器可以透過中心化社群網路協定相互通訊，任何人都可以藉由營運自己的伺服器，成為聯合宇宙社群的一份子，而Wildebeest提供用戶一個創建執行個體的簡單方法。</p> <p>不少使用者因為不滿推特新老闆Elon Musk的管理風格，因此另覓社交平臺，而功能與推特類似的Mastodon成為主要的移居平臺，用戶要加入Mastodon有兩個方法，其一是加入已經存在的Mastodon伺服器，或是像部分社群和企業一樣，透過營運Mastodon伺服器來經營自己的社群。</p> <p>通常要建立Fediverse執行個體會使用非營利組織Mastodon gGmbH所開發的軟體，但是要建立一個Mastodon執行個體並不是件容易的事，因為用戶需要擁有或租用伺服器，並且安裝配置軟體、資料庫和網頁伺服器，同時還要採取必要措施，避免伺服器遭攻擊，還必須不斷處理更新，Cloudflare提到，要啟動和執行Mastodon執行個體，需要編寫大量技術並編寫腳本，不適合技術水準不足的使用者。</p> <p>而Cloudflare新推出的Wildebeest則能簡化這些工作，該服務建構在Cloudflare基礎設施之上，而且是一個開源專案，開發者可以自由地進行擴展和改寫。Wildebeest支援ActivityPub、WebFinger、NodeInfo與WebPush協定，並相容於Mastodon API，因此Wildebeest執行個體能夠連接其他Fediverse執行個體。</p> <p>Wildebeest執行個體可執行發布、編輯和刪除嘟文（toots）等基本操作，目前僅支援文字、圖片，之後還會支援影片。當前熱門的Mastodon的桌面行動客戶端，都可以用來操作Wildebeest執行個體，包括Mastodon官方的Android和iOS應用程式、Pinafore、Mammoth和tooot，Cloudflare也將持續與其他應用程式開發商合作，同時Wildebeest還具有一個唯讀網路介面，供使用者探索時間軸和用戶。</p> <p>Wildebeest的核心是前端開發人員協作和網站開發平臺Cloudflare Pages，由於Cloudflare實做了一大部分Mastodon API規範，因此Wildebeest能夠與其他伺服器和客戶端應用程式相容，網頁前端使用Qwik伺服器端渲染框架，Wildebeest的資料則儲存於Cloudflare的SQLite資料庫D1。官方提到，Wildebeest是目前最完整使用Cloudflare產品和功能的專案。</p> </div></div></div>
2023/2/10 16:50作者李建興https://www.ithome.com.tw/news/155459
【資安日報】2023年2月9日，CISA提供勒索軟體ESXiArgs的復原指令碼、安卓木馬程式Medusa利用網釣簡訊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體ESXiArgs鎖定全球各地的VMware ESXi伺服器而來，歐洲政府機關率先呼籲大家注意，美國當局也看重此事的發展，網路安全暨基礎設施安全局（CISA）提供自動化工具，讓受害組織的IT人員能修復遭到破壞的虛擬機器（VM）檔案。</p> <p>安卓木馬程式透過釣魚簡訊（SMiShing）散布的情況再度傳出！有研究人員揭露近期的Medusa木馬程式攻擊，就是以這種做法來引誘使用者下載該惡意軟體。</p> <p>高科技產業成為勒索軟體攻擊目標也值得留意，美國半導體設備製造商MKS Instruments證實在一週前遭到此種攻擊，中斷部分系統的運作來因應，損失尚無法評估。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.threatfabric.com/blogs/partners-in-crime-medusa-cabassous.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬程式Medusa利用網釣簡訊發動攻擊，鎖定北美和歐洲而來</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/SMiShing"><span style="color: rgb(255, 140, 0);">#SMiShing</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Android"><span style="color: rgb(255, 140, 0);">#Android</span></a> <a href="https://www.ithome.com.tw/tags/Medusa"><span style="color: rgb(255, 140, 0);">#Medusa</span></a> <a href="https://www.ithome.com.tw/tags/Flubot"><span style="color: rgb(255, 140, 0);">#Flubot</span></a> <a href="https://www.ithome.com.tw/tags/ATS"><span style="color: rgb(255, 140, 0);">#ATS</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/medusa-capabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/medusa-capabilities.png" style="width: 300px; float: right;" /></a>安卓木馬Flubot在最近2至3年透過釣魚簡訊（SMiShing）橫行歐美，這樣的手法現在也引起其他駭客仿效。資安業者ThreatFabric揭露名為Medusa木馬程式的攻擊行動，駭客一改散布此惡意程式的做法，改以與Flubot相同的管道，利用釣魚簡訊來入侵受害北美及歐洲用戶的手機。</p> <p>根據研究人員掌握的情資，Medusa冒用的合法應用程式名稱、套件名稱、圖示，皆與Flubot雷同，他們在其中一次活動裡，看到該木馬程式偽裝成DHL應用程式，感染超過1,500臺設備。</p> <p>針對此木馬程式帶來的危害，研究人員指出，最值得留意的它具備了半自動後送系統（Semi-Automatic Transfer Systems，Semi-ATS），能讓駭客手動遠端竄改使用者輸入的帳密資料，將使用者想要轉帳的款項或是加密貨幣，送到使。</p> <p><a href="https://www.csoonline.com/article/3687098/mks-instruments-falls-victim-to-ransomware-attack.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">半導體設備製造商MKS Instruments證實遭到勒索軟體攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <a href="https://www.ithome.com.tw/tags/高科技產業"><span style="color: rgb(255, 140, 0);">#高科技產業</span></a></strong></p> <p>根據半導體設備製造商MKS Instruments近日向美國證交所通報的資料，該公司於2月3日遭勒索軟體攻擊，並指出與生產相關的系統遭到影響，他們為防止災害擴大，暫時中斷部分系統的運作。該公司正在積極復原受到影響系統，而對於這起資安事故帶來的損失，他們表示仍在評估。此外，該公司的網站目前尚未恢復運作。</p> <p><a href="https://cert.gov.ua/article/3804703"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭當局遭到駭客濫用Remcos遠端控制軟體發動攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a> <a href="https://www.ithome.com.tw/tags/Remcos"><span style="color: rgb(255, 140, 0);">#Remcos</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/malware-remcos.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/malware-remcos.png" style="width: 300px; float: right;" /></a>烏克蘭電腦緊急應變小組（CERT-UA）提出警告，駭客組織UAC-0050利用名為Remcos的遠端控制暨監控軟體，攻擊該國政府機關，駭客假冒當地電信業者Ukrtelecom的名義寄送釣魚郵件，內有透過密碼保護的RAR檔，以及內有密碼的純文字檔案，其中RAR壓縮檔的檔案大小為535 KB，解開後竟然有一隻大小超過600 MB的可執行檔，一旦收信人開啟這個檔案，電腦就有可能被安裝Remcos而讓駭客能遠端控制。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/nodaria-ukraine-infostealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭組織遭到俄羅斯駭客的Graphiron竊密軟體攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a> <a href="https://www.ithome.com.tw/tags/Nodaria"><span style="color: rgb(255, 140, 0);">#Nodaria</span></a> </strong></p> <p>資安業者賽門鐵克發現，俄羅駭客組織Nodaria（UAC-0056）自2022年10月，利用名為Graphiron的竊密軟體對烏克蘭組織下手，廣泛挖掘帳密資料、系統與應用程式的資訊，以及對受害電腦執行螢幕截圖來竊取機密。</p> <p>此竊密軟體由下載器與惡意酬載組成，下載器在啟動後會先檢查電腦是否執行含有特定防毒軟體，或者是惡意軟體分析工具，假如都沒有才會下載惡意酬載。此酬載被偽裝成微軟Office軟體的元件執行，並使用PowerShell程式碼竊取Windows系統存放的密碼，並以AES-256加密，然後再利用寫死的AES金鑰與443連接埠，與C2伺服器通訊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/weee-grocery-service-confirms-data-breach-11-million-affected/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北美大型連鎖雜貨店Weee資料外洩，波及110萬客戶</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-weee.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-weee.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有人在駭客論壇BreachForums宣稱，竊得北美大型連鎖雜貨店Weee的資料，內有1,100萬名顧客的資料。</p> <p>對此，Weee向該新聞網站證實發生資料外洩事故，自2021年7月12日至2022年7月12日下單的客戶有可能受到波及，這些曝險的資料包含了姓名、收貨地址、電子郵件信箱、電話號碼、訂單號碼等，但客戶付款的資訊不受影響。根據帳密外洩搜尋網站Have I Been Pwned的過濾，這些資料應該影響約110萬名客戶。</p> <p><a href="https://www.zscaler.com/blogs/security-research/dynamic-approaches-seen-avemarias-distribution-strategy"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式AveMaria透過VHD虛擬磁碟檔案散布</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/VHD"><span style="color: rgb(255, 140, 0);">#VHD</span></a> </strong></p> <p>資安業者Zscaler揭露RAT木馬程式AveMaria近期的攻擊行動，駭客自去年12月，利用微軟的虛擬磁碟檔案VHD或VHDX做為釣魚郵件的附件，來散布該惡意軟體，此附件檔案內含捷徑檔案，一旦收信人將其開啟，電腦就會執行curl命令下載另一個惡意酬載，最終植入AveMaria，並將網路流量以RC4演算法加密，採用非HTTP的通訊協定與C2伺服器通訊，讓駭客得以掌控受害電腦。</p> <p>研究人員指出，自2022年7月，駭客嘗試多種手法來散布此木馬程式，從7月、8月使用ISO映像檔，到了年底改用虛擬磁碟檔案，而有可能更難被發現。</p> <p><a href="https://blog.checkpoint.com/2023/02/07/cybercriminals-bypass-chatgpt-restrictions-to-generate-malicious-content/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客繞過OpenAI規範，濫用AI語言模型ChatGPT產生惡意內容</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ChatGPT"><span style="color: rgb(255, 140, 0);">#ChatGPT</span></a> </strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/AI-Bot"><span style="color: rgb(255, 140, 0);">#AI Bot</span></a></strong></p> <p>資安業者Check Point在網路犯罪圈發現，駭客自2019年將AI大型語言模型ChatGPT用於改造攻擊工具，近期針對OpenAI試圖防堵濫用於產生釣魚郵件或是惡意程式碼的情況，有人宣稱能繞過相關限制，甚至以提供服務的型式營利。</p> <p>研究人員發現駭客兜售繞過OpenAI限制的服務，他們看到其中一種是設置Telegram機器人，藉由API存取ChatGPT；另一種則是透過指令碼查詢OpenAI的API。研究人員指出，由於OpenAI允許外部應用程式使用API存取GPT-3模型，但缺乏相關管制措施，而讓駭客有機可乘。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-releases-recovery-script-for-esxiargs-ransomware-victims/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA提供勒索軟體ESXiArgs的自動化復原指令碼</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ESXiArgs"><span style="color: rgb(255, 140, 0);">#ESXiArgs</span></a></strong></p> <p>勒索軟體ESXiArgs鎖定VMware虛擬化系統而來，利用CVE-2021-21974發動攻擊，並於2月3日達到高峰，<a href="https://censys.io/esxwhy-a-look-at-esxiargs-ransomware/">根據資安業者Censys的觀察，有3,551臺伺服器遇害</a>。YoreGroup技術團隊的研究人員發現了能夠復原虛擬機器（VM）運作的方法，<a href="https://enes.dev/">並提供操作步驟</a>，有些受害組織利用這種機制成功恢復運作。最近美國網路安全暨基礎設施安全局（CISA）根據上述研究人員提出的資料，<a href="https://github.com/cisagov/ESXiArgs-Recover/blob/main/recover.sh">製作了自動化的復原指令碼</a>，讓不具相關技能的IT人員，也能快速恢復受害系統的VM運作。</p> <p><a href="https://www.thb.gov.tw/News_Content_table.aspx?n=87&sms=13235&s=209467"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">公路總局針對iRent資料外洩事故祭出罰鍰新臺幣20萬元，並要求限期改善</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/個資法"><span style="color: rgb(255, 140, 0);">#個資法</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a></strong></p> <p>汽機車共享服務iRent於1月底傳出資料外洩事故，交通部公路總局於2月4日前往和雲行動服務公司稽查，結果發現，該公司未依照個人資料保護法與汽車運輸業個人資料檔案安全維護計畫及處理辦法，採行適當措施導致個資洩露，且沒有制訂個資檔案安全維護計畫，再加上沒有在指定期限內改正，公路總局根據個資法第48條第4款規定，處最高罰鍰新臺幣20萬元，並要求2月28日前提交完整改正資料。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://msrc-blog.microsoft.com/2023/02/06/bluehat-2023-connecting-the-security-research-community-with-microsoft/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟舉辦藍帽資安會議BlueHat 2023，聚焦人工智慧、硬體、基礎設施安全</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/BlueHat"><span style="color: rgb(255, 140, 0);">#BlueHat</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>微軟資安事件回應中心（MSRC）於2月8日、9日，在美國華盛頓州舉辦資安會議BlueHat 2023，估計會有來自26國、184家公司，超過400名資安人員與會，這場會議提供資安研究社群與微軟資安專家交流的機會，並規畫27場資安專家的主題演講，內容包含人工智慧資安、硬體安全、基礎設施防護等。MSRC亦主持一系統的閃電演講，來探討當今企業面臨的主要資安威脅及因應之道。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/drug-distributor-amerisourcebergen-confirms-security-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國藥品經銷商AmerisourceBergen證實遭到網路攻擊</span></span></strong></a></p> <p><a href="https://therecord.media/all-classes-canceled-at-irish-university-as-it-announces-significant-it-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">愛爾蘭大學MTU遭到網路攻擊而被迫全校停課</span></span></strong></a></p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/money-lover-app-vulnerability-exposes-personal-info/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">財務管理應用程式Money Lover存在漏洞，恐曝露用戶的交易資料</span></span></strong></a></p> <p><a href="https://decoded.avast.io/janvojtesek/dota-2-under-attack-how-a-v8-bug-was-exploited-in-the-game/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體藉由Dota 2遊戲模組散布</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155435">【2023年2月8日】勒索軟體Clop鎖定Linux版Oracle資料庫下手、殭屍網路病毒Medusa納入加密檔案的能力</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155423">【2023年2月7日】勒索軟體針對義大利組織的VMware ESXi發動攻擊、中國駭客組織假借歐盟名義散布惡意軟體PlugX</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155404">【2023年2月6日】 iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東南亞國家而來</a></strong></p> </div></div></div>
2023/2/9 15:46作者周峻佑https://www.ithome.com.tw/news/155446
2月Tiobe指標C++高成長率表現一支獨秀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>C++在1月的時候，獲頒Tiobe年度程式語言獎，而C++的表現並沒有因此止步，更在2月的時候，<a href="https://www.tiobe.com/tiobe-index/">流行度分數同比增長5.93%，大幅領先其他程式語言</a>。前兩年蓬勃發展，目前位居Tiobe第1名的Python成長則趨於停滯僅有0.16％，第2名的C語言，則小幅成長1.31％。</p> <p>在前20名中，與去年2月相比，表現亮眼的還有兩個語言，分別是Scratch和Rust，Scratch從22名成長到18名，而Rust則從24名上升至20名。TIOBE執行長Paul Jansen提到，每個程式語言都有其優缺點，像Scratch便是學習程式開發的入門語言，在中小學間很流行，而Rust則是具有高安全和高效能優點的程式語言。</p> <p>Tiobe指標前4名的語言，也都有其擅長的領域，Python特別適合用於開發資料探勘、人工智慧和統計等應用程式，而C語言則被廣泛用於嵌入式高效能程式開發。Java適合開發企業業務應用程式，以及Android應用程式。</p> <p>而C++受歡迎程度之所以能持續大幅成長，是因為C++是一種高階物件導向語言，其出色的效能適合編寫大型軟體系統。另一個C++的成長原因，<a href="https://www.ithome.com.tw/news/155077">Paul Jansen表示</a>，由於C++持續發展新語言標準，加入諸如模組等概念，因此可能在未來數年間，持續提升TIOBE指數排名。</p> </div></div></div>
2023/2/9 12:54作者李建興https://www.ithome.com.tw/news/155436
知名問答平臺Quora發表自家AI聊天機器人平臺Poe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每月擁有4億不重複用戶的知名問答平臺Quora，現在創建出自家的<a href="https://quorablog.quora.com/Poe-1">人工智慧聊天機器人平臺Poe（Platform for Open Exploration）</a>，使用者只要在Poe上提問，Poe便能即時提供答案。目前Poe僅先在iOS上架，接下來幾個月會陸續登陸包括Android、網頁和桌面等平臺，Quora執行長提到，他們之後還會針對不同任務，創建更多的機器人。</p> <p>人工智慧的可用性，已經隨著技術成熟，在許多使用案例中被驗證，即便人工智慧仍有部分議題待討論與解決，但不可否認的，隨著ChatGPT的出現，人們對人工智慧將顛覆一切習以為常的想像，已經越來越清晰，Quora執行長Adam D'Angelo認為，人工智慧的浪潮，將比個人電腦、網際網路或是智慧手機更具革命性，並會對社會和世界經濟產生更大的影響。</p> <p>Quora著手開發新產品因應人工智慧帶來的影響，建立人工智慧機器人平臺Poe，目前在平臺上提供OpenAI和Anthropic的模型，讓使用者能夠與人工智慧機器人來回對話，即時獲得問題的答案。Adam D’Angelo提到，雖然Poe上目前只支援OpenAI和Anthropic的模型，但是在可預見的未來，將會出現一個持續成長的人工智慧生態系。</p> <p>由於不同的任務需要用上不同的模型，因此Poe作為機器人平臺，接下來將會提供更多的模型，Quora正在開發Poe API，要讓其他人工智慧開發人員，更簡單地在Poe介接模型，進而擴展用戶。另外，由於要促進人工智慧模型的使用，Quora建立方便的分享功能，讓使用者可以與社群追蹤者分享模型輸出，以分享使用靈感。</p> <p>Poe將Quora視為快速傳播知識的工具，但是Quora目前並沒有使用創作者，在平臺上共享的知識來訓練Poe，該公司將Poe視為獨立的新產品發展，並且當Poe足夠成熟時，還會在Quora上發布由Poe產生的內容。Adam D’Angelo表示，未來如果他們選擇使用Quora平臺資料訓練模型，也會尊重平臺上的創作者，讓創作依意願選擇退出。</p> <p>Adam D’Angelo也向使用者打預防針，強調Poe所使用的人工智慧技術並不完美，僅能用於特定情況，他們雖然盡力解決人工智慧的問題，但是要完全解決人工智慧目前的缺陷，還需要一段時間。</p> </div></div></div>
2023/2/7 17:04作者李建興https://www.ithome.com.tw/news/155420
【資安日報】2023年2月6日，iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>汽機車共享服務iRent一月底傳出資料外洩事故引起國內各界關注，突顯臺灣企業因應資安事故的能力有待加強，也使得個資保護的議題再度浮上檯面。針對這次事故，上週末（2月4日）和泰終於做出較為詳細的說明，將原先認定僅影響14萬人調整為40萬人。</p> <p>無獨有偶，近日有人發現格上租車也有類似的資料庫配置不當的情形向立委陳情，初步估計1.6萬名用戶受到影響。</p> <p>研究人員揭露名為TgToxic的金融木馬，並指出駭客最初針對臺灣安卓用戶而來，架設冒牌的行政院紓困網站來發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2286/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">汽機車共享服務iRent受害規模擴大，擬對40萬用戶提出補償</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料庫配置不當"><span style="color: rgb(255, 140, 0);">#資料庫配置不當</span></a></strong></p> <p>針對日前汽機車共享服務iRent傳出資料外洩的情況，和泰於2月4日發出新的聲明，將可能的受害範圍擴大，並對於資安事故做出進一步說明。該公司原先認定有14萬名用戶因近三個月異動資料而曝險，但現在擴大範圍，表示自資料庫啟用以來，涉及潛在風險的用戶共有40.01萬名，他們於2月1日晚間寄送電子郵件進行通知，並於2日提供時數補償。</p> <p>本次公告和泰也進行較為詳細的說明，表示發生事故的資料庫，是他們內部用來記錄應用程式事件記錄（Log）的暫存資料庫，記錄的個資包含姓名、電話、地址、經遮蔽的信用卡資料、身分證字號、生日、電子郵件信箱、緊急聯絡人，以及會員的照片圖檔（經過編碼處理）等，該公司委由外部資安公司監控是否有會員資料外流。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">立委揭露格上租車資料庫配置不當的事故</span></strong> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/格上租車"><span style="color: rgb(255, 140, 0);">#格上租車</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料庫配置不當"><span style="color: rgb(255, 140, 0);">#資料庫配置不當</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/個資法"><span style="color: rgb(255, 140, 0);">#個資法</span></a></strong></p> <p>繼汽機車共享服務iRent傳出因資料庫沒有設置密碼保護措施，導致40萬用戶資料外洩，現在有其他租車業者傳出類型情形。根據<a href="https://www.cna.com.tw/news/aipl/202302060090.aspx">中央社</a>、<a href="https://news.pts.org.tw/article/621397">公視</a>、<a href="https://news.ltn.com.tw/news/politics/breakingnews/4202430">自由時報</a>等媒體報導，時代力量與民進黨立委今日（6日）皆召開記者會，揭露格上租車的個資外洩事故。</p> <p>時代力量立委邱顯智、科技工程師王景弘接獲陳情，有人在iRent傳出資料外洩事件後，檢查自己使用的格上租車服務是否存在類似情況。結果發現，該系統在下載訂單資料的過程中，並未再次經過身分驗證就執行，原因很可能是格上租車的雲端儲存空間設定不當，導致會員訂單資料可被人任意查詢及列出，這些資料包含了姓名，生日，以及身分證字號。王景弘進行驗證發現逾10萬筆PDF檔案的訂單文件存放於雲端空間，且沒有設定存取限制，根據格上租車向會員說明，超過1.6萬用戶個資可能外洩。對此，格上租車回應，他們獲報後就關閉App的查詢及存取功能，目前尚未發現遭到異常查詢或下載的情形。</p> <p>同日，民進黨立委賴品妤、劉世芳、洪申翰、莊競程也呼籲政府應儘進成立個資獨立專責機關，通盤檢討現有政策能量，並預告將提出相關修法草案。<a href="https://www.facebook.com/LaiPinYuSouichi/posts/pfbid02sYd4ArkSs3QT1ta7tS7e4x7aM5CoipTp7QjfXtjZyfUoYyN4oyGpAbqKpa9rsA3xl">賴品妤表示</a>，當她得知格上租車App「GoSmart」供用戶查詢自己租車單據的連結公開、未加密保護，隨即要求公路總局積極監督，公路總局於2月3日派員前往稽查。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/tgtoxic-malware-targets-southeast-asia-android-users.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體TgToxic針對臺灣、印度、泰國等東南亞用戶而來</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Android"><span style="color: rgb(255, 140, 0);">#Android</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ATS"><span style="color: rgb(255, 140, 0);">#ATS</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/TgToxic"><span style="color: rgb(255, 140, 0);">#TgToxic</span></a> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-tgtoxic-malware-automated-framework-targets-southeast-asia-android-users.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-tgtoxic-malware-automated-framework-targets-southeast-asia-android-users.png" style="width: 300px; float: right;" /></a>全球經濟低迷，有許多人必須依賴政府紓困的金援渡過難關，但這也成為駭客用來發動網釣攻擊的幌子。資安業者趨勢科技針對安卓金融木馬TgToxic進行分析，主要目標是東南亞，目的是從受害者手機裡的銀行App、加密貨幣錢包，盜取存款及數位資產。值得留意的是，該惡意軟體自2022年7月出現，最初是針對臺灣需要紓困的民眾而來。</p> <p>研究人員最初是發現臉書上出現詐欺貼文，內含針對臺灣使用者的釣魚連結，佯稱是行政院1988紓困救濟網站來行騙，提供2.8萬元的疫情颶風勞工補償津貼，一旦使用者依照指示存取惡意網站，就有可能下載TgToxic；後來在8月至10月，他們又看到駭客改以色情勒索、加密貨幣詐騙的名義，來散布此木馬程式。而至2022年底至2023年初，這些駭客將轉換攻擊目標為泰國的使用者。</p> <p>駭客利用自動化測試框架Easyclick開發TgToxic，而使得該惡意程式支援JavaScript指令碼，攻擊者能利用這種指令碼挾持安卓設備的使用者介面，並監控使用者輸入的內容、點選的內容，以及操作的手勢，進而在受害者輸入帳密的過程來竊取相關資料，並挾持他們的銀行帳戶與加密貨幣錢包，甚至在無需使用者確認的狀態下，使用名為<a href="https://www.ithome.com.tw/news/129672">自動傳輸系統（Automatic Transfer Systems，ATS）</a>的攻擊手法，進行小額交易。</p> <p><a href="https://research.checkpoint.com/2023/following-the-scent-of-trickgate-6-year-old-packer-used-to-deploy-the-most-wanted-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式打包工具TrickGate讓攻擊者規避防毒軟體長達6年</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/TrickGate"><span style="color: rgb(255, 140, 0);">#TrickGate</span></a> </strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Packer-as-a-Service"><span style="color: rgb(255, 140, 0);">#Packer-as-a-Service</span></a></strong></p> <p>資安業者Check Point針對惡意程式打包工具TrickGate進行分析，此工具為以Shell Code為基礎的軟體打包工具，最初於2016年7月出現，並訂閱服務（Packer-as-a-Service）提供駭客運用，標榜能規避防毒軟體及EDR的偵測。研究人員指出，TrickGate最初被用於打包勒索軟體Cerber，但有人將其用於打包殭屍網路病毒Trickbot、Emotet、竊密軟體AgentTesla、Formbook、挖礦軟體CoinMiner、勒索軟體REvil等，近兩年每週就有40次至650次攻擊與TrickGate有關。</p> <p>研究人員指出，這些駭客主要針對全球製造業，但也有教育、醫療、金融組織受害；他們提及駭客針對臺灣與土耳其有顯著增加的現象。其中，最近2個月駭客散布最多的惡意軟體是Formbook，占42.74%。該資安業者認為，此惡意程式打包工具之所以能長達6年未被發現，除了TrickGate供應商不斷受到改良，另一個盲點在於資安人員普遍聚焦在惡意軟體進行研究，並未花更多心力分析加殼相關技術的程式工具。</p> <p><a href="https://www.armorblox.com/blog/breaking-the-impersonation-armorblox-stops-docusign-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上萬使用者遭到假冒DocuSign的網釣攻擊</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/DocuSign"><span style="color: rgb(255, 140, 0);">#DocuSign</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Office-365"><span style="color: rgb(255, 140, 0);">#Office 365</span></a> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/jan_docusign_fig-2-fake-page.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/jan_docusign_fig-2-fake-page.png" style="width: 300px; float: right;" /></a>資安業者Armorblox揭露假冒電子文件簽名業者DocuSign的網路釣魚攻擊，駭客鎖定採用Office 365郵件用戶而來，假借DocuSign文件需要通過簽核的名義，引誘收信人開啟。</p> <p>一旦收信人依照指示開啟完整的檔案，就會被引導到假冒資安業者Proofpoint的檔案下載網頁，駭客聲稱檔案已通過賽門鐵克檢驗，使用者必須透過Proofpoint的帳號登入才能存取。假如收信人照做，他的Proofpoint帳密資料就會落入攻擊者的手中。研究人員初步估計，駭客對一萬個電子郵件信箱發出這種網釣郵件。</p> <p><a href="https://blog.cyble.com/2023/02/01/qakbots-evolution-continues-with-new-strategies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用OneNote筆記檔案散布</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/QBot"><span style="color: rgb(255, 140, 0);">#QBot</span></a> <a href="https://www.ithome.com.tw/tags/OneNote"><span style="color: rgb(255, 140, 0);">#OneNote</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-Initial-Spam-email-containing-OneNote-file_-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Initial-Spam-email-containing-OneNote-file_-1.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyble揭露近期惡意軟體QBot的攻擊行動，當中最值得留意的部分，就是駭客利用夾帶OneNote筆記檔案附件的釣魚信來散布惡意軟體，一旦收信人打開附件檔案，就會觸發內嵌的HTA檔案下載QBot，然後透過rundll32.exe載入、執行。</p> <p>研究人員針對惡意OneNote檔案進行分析，結果發現當中嵌入的HTA檔案內有兩個JavaScript指令碼、兩個VBscript指令碼，駭客利用JavaScript指令碼下載QBot，至於VBscript指令碼的功能，研究人員表示，其中一個會清除JavaScript指令碼執行過程中加入的機碼，並向用戶顯示檔案無法開啟的錯誤訊息。但這並非首度有惡意軟體利用這種檔案來散布，去年12月，<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/trojanized-onenote-document-leads-to-formbook-malware/">資安業者Trustwave揭露有人利用此種檔案挾帶惡意軟體Formbook</a>。</p> <p><a href="https://blog.cyble.com/2023/01/19/gigabud-rat-new-android-rat-masquerading-as-government-agencies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">泰國、菲律賓、秘魯遭到安卓木馬Gigabud RAT假冒政府機關發動攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Android"><span style="color: rgb(255, 140, 0);">#Android</span></a></strong></p> <p>資安業者Cyble揭露鎖定泰國、菲律賓、秘魯的安卓木馬程式Gigabud RAT，駭客設置冒牌的泰國航空業者Thai Lion Air網站，引誘使用者下載此木馬程式，並將Gigabud RAT偽裝成泰國、菲律賓、秘魯的政府機關、購物、銀行貸款App。此木馬程式約自2022年7月出現，並引起泰國電信電腦緊急應變小組（TTC-CERT）於9月提出警告。</p> <p>一旦使用者依照指示下載並安裝App，該木馬程式就會收集手機上已安裝的應用程式資訊，並執行名為OpenService的服務，木馬程式就會連接到C2伺服器接收命令，然後向受害者顯示假的貸款合約，要求進行確認，過程中會要求受害者授予存取手機的多種權限，如錄製螢幕畫面、層疊螢幕畫面等，最終透過WebSocket協定將側錄的畫面傳送到指定的伺服器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://thehackernews.com/2023/02/new-high-severity-vulnerabilities.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5 BIG-IP出現高風險漏洞，恐被用於阻斷服務或執行任意程式碼</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/BIG-IP"><span style="color: rgb(255, 140, 0);">#BIG-IP</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://my.f5.com/manage/s/article/K000130415">資安業者F5針對旗下的BIG-IP解決方案提出警告</a>，表示他們近期修補了CVE-2023-22374，這項漏洞為格式字串弱點，出現在名為iControl SOAP的API元件，攻擊者可在通過身分驗證的情況下，利用這項漏洞導致iControl SOAP的CGI處理程序當機，甚至有可能執行任意程式碼。</p> <p>該公司表示，在使用整合應用設備模式（Appliance Mode）運作的BIG-IP系統裡，若攻擊者成功濫用漏洞，安全的邊界將會被跨越。根據部署模式的差異，此漏洞的風險層級介於7.5分至8.5分．影響BIG-IP 13.1.5版至17.0.0版。<a href="https://www.rapid7.com/blog/post/2023/02/01/cve-2023-22374-f5-big-ip-format-string-vulnerability/">揭露此漏洞的資安業者Rapid7表示</a>，有鑑於iControl SOAP的API是透過root的權限執行，攻擊者一旦成功利用上述漏洞，就能利用這種權限來遠端觸發任意程式碼並執行。</p> <p><a href="https://www.bleepingcomputer.com/news/security/goanywhere-mft-zero-day-vulnerability-lets-hackers-breach-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檔案傳輸管理系統GoAnywhere存在零時差漏洞，恐被用於RCE攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/MFT"><span style="color: rgb(255, 140, 0);">#MFT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/RCE"><span style="color: rgb(255, 140, 0);">#RCE</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/0-day"><span style="color: rgb(255, 140, 0);">#0-day</span></a></strong></p> <p>2月2日，<a href="https://infosec.exchange/@briankrebs/109795710941843934">資安新聞記者Brian Krebs針對MFT檔案傳輸管理系統GoAnywhere的用戶提出警告</a>，指出該系統存在零時差漏洞，可被用於RCE注入攻擊，並張貼開發商於2月1日對用戶發出的公告。該公告指出攻擊者若要利用該漏洞，必須存取此應用程式的管理主控臺，若是組織將該主控臺曝露於網際網路就有可能成為攻擊目標，呼籲IT人員可尋求客服團隊協助，來採取合適的存取控制措施。但該公司並未在網站發布相關公告，也沒有在前述說明提及更多漏洞的細節，也並未提及緩解措施。</p> <p>根據資安研究員Kevin Beaumont利用物聯網搜尋引擎找出曝險的系統，<a href="https://cyberplace.social/@GossiTheDog/109795920737215405">發現有1,008臺GoAnywhere伺服器曝露於網際網路</a>，這些伺服器逾半數（580臺）位於美國。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/supply-chain-attack-by-new-malicious-python-package-web3-essential"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件web3-essential進行零時差攻擊</span></span></strong></a></p> <p><a href="https://www.cleafy.com/cleafy-labs/pixpirate-a-new-brazilian-banking-trojan"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴西銀行用戶遭到安卓金融木馬PixPirate鎖定</span></span></strong></a></p> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/02/03/dtac-charlie-hebdo-hack-iran-neptunium/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客Holy Souls因干預美國大選遭到制裁，憤而竊取法國刊物的用戶個資並外洩</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155392"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">iRent資料庫暴露於公開網路不設防，引發大眾關注，配置錯誤問題應受更多重視</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155393"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">iRent資料庫因不當配置導致資料外洩或曝險，並非資安新議題，國內企業需汲取教訓避免問題一再重演</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155398"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">揭露iRent資料庫不設防的研究人員，這兩年還揭露巴西、澳洲、中國的資料庫曝險</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155389">【2023年2月4日】 VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155365">【2023年2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155349">【2023年2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a></strong></p> </div></div></div>
2023/2/6 16:28作者周峻佑https://www.ithome.com.tw/news/155404
【資安日報】2023年2月4日，VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國的資安事件緊急應變機構、大型雲端業者不約而同針對一起勒索軟體攻擊行動提出警告，其目標是尚未修補兩年前漏洞CVE-2021-21974的VMware虛擬化平臺，且已傳出可能有伺服器受害。</p> <p>過往的商業郵件詐騙（BEC）攻擊普遍相當低調，通常經過長期規畫及布局才能得逞，但最近有資安業者揭露攻擊頻率極高的攻擊行動，這些駭客在2年內發動了多達350次攻擊。</p> <p>美國CISA最近更新了已被用於攻擊的漏洞（KEV）名單，針對甲骨文ERP系統E-Business Suite、客戶關係管理平臺SugarCRM的用戶提出警告。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/massive-esxiargs-ransomware-attack-targets-vmware-esxi-servers-worldwide/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware虛擬化平臺遭到鎖定，利用2年前的漏洞進行勒索軟體攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2021-21974"><span style="color: rgb(255, 140, 0);">#CVE-2021-21974</span></a> <a href="https://www.ithome.com.tw/tags/VMware"><span style="color: rgb(255, 140, 0);">#VMware</span></a> <a href="https://www.ithome.com.tw/tags/ESXi"><span style="color: rgb(255, 140, 0);">#ESXi</span></a> <a href="https://www.ithome.com.tw/tags/Nevada"><span style="color: rgb(255, 140, 0);">#Nevada</span></a> <a href="https://www.ithome.com.tw/tags/ESXiArgs"><span style="color: rgb(255, 140, 0);">#ESXiArgs</span></a></strong></p> <p>法國電腦緊急應變小組（CERT-FR）於2月3日提出警告，有人積極針對虛擬化平臺VMware ESXi下手，利用CVE-2021-21974（CVSS風險評分為8.8分）入侵，目的是部署勒索軟體，該組織表示，駭客主要的攻擊目標是6.7版以前的ESXi伺服器，但7.0版也有可能曝險。</p> <p>當地雲端服務業者OVHcloud也觀察到相關攻擊行動，並指出目標是包含7.0 U3i版之前的ESXi伺服器，利用OpenSLP連接埠（427埠）入侵，攻擊者疑似與<a href="https://www.ithome.com.tw/news/155349#Nevada">勒索軟體Nevada</a>有關。但資安新聞網站Bleeping Computer有不同的看法──根據攻擊行動的勒索訊息進行分析，很有可能是新的勒索軟體ESXiArgs，至少有120臺ESXi伺服器受害。</p> <p><a href="https://intelligence.abnormalsecurity.com/blog/firebrick-ostrich-third-party-reconnaissance-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊，不到2年發動逾350起行動</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/BEC"><span style="color: rgb(255, 140, 0);">#BEC</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Firebrick-Ostrich-Follow-up-Email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Firebrick-Ostrich-Follow-up-Email.jpg" style="width: 300px; float: right;" /></a>資安業者Abnormal Security揭露駭客組織Firebrick Ostrich的攻擊行動，該組織專門從事商業郵件詐騙（BEC），自2021年4月開始，至少展開了350起攻擊行動，當中冒充了151個組織，並使用212個惡意網域。</p> <p>研究人員指出，這些駭客通常宣稱供應商的收帳人員，佯稱要更新銀行帳號資訊，或是要求確認是否有尚未支付的款項來下手，主要是鎖定美國的組織而來，但沒有局限攻擊目標的類型，製造、金融服務、醫療保健、教育、零售業都有企業受害。研究人員指出，這些駭客沒有事先耗費資源調查攻擊目標的金流，也並未入侵財務人員的電子郵件信箱，而能發起大量的BEC攻擊。</p> <p><a href="https://thehackernews.com/2023/02/cisa-alert-oracle-e-business-suite-and.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告甲骨文ERP系統與SugarCRM重大漏洞已被用於攻擊行動</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CISA"><span style="color: rgb(255, 140, 0);">#CISA</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/KEV"><span style="color: rgb(255, 140, 0);">#KEV</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2022-21587"><span style="color: rgb(255, 140, 0);">#CVE-2022-21587</span></a> <a href="https://www.ithome.com.tw/tags/Oracle"><span style="color: rgb(255, 140, 0);">#Oracle</span></a> <a href="https://www.ithome.com.tw/tags/CVE-2023-22952"><span style="color: rgb(255, 140, 0);">#CVE-2023-22952</span></a> <a href="https://www.ithome.com.tw/tags/SugarCRM"><span style="color: rgb(255, 140, 0);">#SugarCRM</span></a></strong></p> <p>美國網路安全暨基礎設施安全局（CISA）於2月2日，將兩個資安漏洞列入已遭利用漏洞名單（KEV），其中一個為CVE-2022-21587，存在於甲骨文ERP系統E-Business Suite，未經授權的攻擊者可透過HTTP連線，入侵其Web Applications Desktop Integrator元件，此漏洞影響該元件的12.2.3版至12.2.11版，CVSS風險層級達9.8分，Oracle於去年10月修補，今年1月中旬有資安業者發布了概念性驗證程式（PoC）。</p> <p>第二個列入KEV的是CVE-2023-22952，存在於客戶關係管理平臺SugarCRM，與缺少輸入驗證有關，而能被用於注入任意PHP程式碼，CVSS風險評分為8.8分，SugarCRM發布11.0.5版與12.0.2版修補。上述的漏洞，CISA要求聯邦機構在2月23日前完成修補。</p> <p><a href="https://blog.sucuri.net/2023/02/konami-code-backdoor-concealed-in-image.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式Konami鎖定WordPress網站，並利用JPEG圖檔埋藏蹤跡</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/WordPress"><span style="color: rgb(255, 140, 0);">#WordPress</span></a> </strong></p> <p>資安業者Sucuri提出警告，他們發現近期鎖定WordPress網站的後門程式Konami攻擊行動，駭客假借提供WordPress外掛程式core-stab和task-controller的名義來散布後門軟體，並聲稱外掛程式來自WordPress.org。</p> <p>為了隱匿攻擊特徵，駭客將主要的後門程式惡意程式碼埋藏在圖檔front.jpeg當中，研究人員指出，駭客這麼做的原因，是資安系統基於效能的考量，通常不會對圖檔進行掃描，而能躲過大多數的防護措施。再者，駭客在此後門的index.php檔案裡，利用@include呼叫後門程式的做法，部分資安掃描的系統為避免誤報，很可能不會將其標記為有害。</p> <p><a href="https://www.avanan.com/blog/leveraging-clickfunnels-to-bypass-security-services"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">行銷平臺ClickFunnels遭到濫用，駭客將使用者重新導向至惡意URL，並繞過資安防護措施</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ClickFunnels"><span style="color: rgb(255, 140, 0);">#ClickFunnels</span></a> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/clickfunnels-virustotal.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/clickfunnels-virustotal.png" style="width: 300px; float: right;" /></a>資安業者Avanan提出警告，有人近期濫用行銷平臺ClickFunnels發動網釣攻擊，這套系統原本提供企業快速建置網站，找出潛在客戶並進行宣傳或是銷售，但如今成為駭客遭到利用的對象。他們看到攻擊者寄送以義大利文書寫的釣魚郵件，要求對檔案進行確認，一旦使用者依照指示操作，就會被引導到以ClickFunnels製作的OneDrive檔案下載網頁，電腦就有可能因下載惡意PDF檔案而導致使用者帳密遭竊。研究人員透過惡意軟體分析網站VirusTotal解析網址，發現所有防毒引擎將其視為良性。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/new-apt34-malware-targets-the-middle-east.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織APT34鎖定中東地區發動攻擊，濫用微軟密碼強度檢查器竊取帳密</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/APT34"><span style="color: rgb(255, 140, 0);">#APT34</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure8-new-apt34-backdoor-malware-targets-the-middle-east.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure8-new-apt34-backdoor-malware-targets-the-middle-east.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者趨勢科技揭露APT34鎖定中東地區的攻擊行動，駭客先是透過.NET打造的MrPerfectInstaller惡意軟體載入後門程式Saitama，然後濫用<a href="https://learn.microsoft.com/en-us/windows/win32/secmgmt/password-filters">微軟的密碼強度檢查器（Password Filters）</a>來竊取本地與網域用戶的帳密，目的將其用於存取Exchange伺服器來竊取機密資料，然後再經由郵件的合法流量外傳。</p> <p><a href="https://www.koreatimes.co.kr/www/nation/2023/01/113_344179.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南韓12個學術機構的網站遭中國駭客攻擊，駭客放話將進行第二波行動</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/曉騎營"><span style="color: rgb(255, 140, 0);">#曉騎營</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/dawn-cavalry-optimize.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dawn-cavalry-optimize.jpg" style="width: 300px; float: right;" /></a>根據韓國時報的報導，南韓12個主要的學術機構網站於農曆新年假期期間，遭到中國駭客組織曉騎營（Dawn Cavalry）攻擊，此事得到當地的網路安全機構證實。駭客宣稱，韓國政府只承認12個機構遭到攻擊，但他們破壞的資料庫與網站數量不只這些，該組織在Telegram頻道表示動機是對於韓國的明星感到不滿，並揚言下一個目標是韓國網路安全局（KISA）。</p> <p><a href="https://www.sfb.gov.tw/ch/home.jsp?id=95&parentpath=0&mcustomize=news_view.jsp&dataserno=202302030005&dtable=News"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對和泰對iRent資安事故發布的重大訊息惹議，金管會表示符合揭露規定，但將調查是否落實相關內控措施</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/重大訊息揭露"><span style="color: rgb(255, 140, 0);">#重大訊息揭露</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/金管會"><span style="color: rgb(255, 140, 0);">#金管會</span></a><span style="color: rgb(255, 140, 0);"> </span><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/JvR9pz8rXU_20230204-1449-57564.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/JvR9pz8rXU_20230204-1449-57564.png" style="width: 200px; float: right;" /></a>日前資安研究人員發現汽機車共享業者iRent資料庫外洩，母公司和泰於2月1日於股市公開資訊觀測站發布重大訊息，聲稱是針對自由時報的報導進行澄清，表示第一時間進行改善措施，但強調此資料庫與和泰母公司及關係企業沒有連接，而並未造成和泰業務及財務重大影響，沒有進一步對資安事故的發生緣由及可能損失做出說明。</p> <p>但根據<a href="https://www.cna.com.tw/news/afe/202302020291.aspx">中央社的報導</a>，金管會於2日表示，iRent非和泰車重要子公司，且事件對和泰車財務及業務無重大影響，證交所認為並無違規。</p> <p>對此，金管會於2月3日發布新聞稿澄清，經過評估，和泰公司的說明尚且符合重大訊息資訊揭露的相關規定，但並非他們認定資安事故沒有違反規定。證交所將針對和泰公司是否落實內部控制的制度，啟動查核機制。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=hpesbgn04402en_us"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">HPE針對基礎設施管理平臺OneView發布資安通報，起因是Expat XML元件出現重大漏洞</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/CVE-2022-40674"><span style="color: rgb(255, 140, 0);">#CVE-2022-40674</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>研究人員去年9月，揭露Expat XML解析器的記憶體釋放後濫用（UAF）漏洞CVE-2022-40674，最近有IT業者公告旗下產品採用該元件而受到影響。</p> <p>HPE於2月1日發布資安通告，指出基礎設施管理平臺OneView存在CVE-2022-40674，攻擊者可遠端在目標系統上執行任意程式碼、洩露資料，或是發動阻斷服務攻擊（DoS）。此漏洞源自於該系統採用的外部元件Expat XML解析器，CVSS風險層級達到9.8分，影響8.1版之前的OneView。而在此之前，已有IT業者發布相關公告，例如，<a href="https://security.netapp.com/advisory/ntap-20221028-0008/">NetApp於1月底公布受到影響的範圍</a>，並提供修補程式。</p> <p><a href="https://confluence.atlassian.com/jira/jira-service-management-server-and-data-center-advisory-2023-02-01-1188786458.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">缺陷追蹤管理系統Atlassian Jira出現身分驗證漏洞</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Jira"><span style="color: rgb(255, 140, 0);">#Jira</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2023-22501"><span style="color: rgb(255, 140, 0);">#CVE-2023-22501</span></a></strong></p> <p>IT業者Atlassian於2月1日發布資安通告，缺陷追蹤管理系統Jira出現身分驗證漏洞CVE-2023-22501，此漏洞影響Jira的服務管理伺服器與資料中心，一旦攻擊者利用該漏洞，就有可能在未經授權的情況下，假冒使用者來遠端存取系統，CVSS風險評分為9.4分。</p> <p>該公司發布5.3.3、5.4.2、5.5.1、5.6.0版修補，若是無法安裝修補程式的用戶，該公司也提供手動更新特定JAR檔案的方式，IT人員也能停機置換相關檔案來降低風險。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=0CD3801D7C5536E4"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">有人假借健保補充保費的名義寄送釣魚郵件</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/goanywhere-mft-zero-day-vulnerability-lets-hackers-breach-servers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">檔案傳輸管理系統GoAnywhere零時差漏洞，恐被用於RCE攻擊</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/tgtoxic-malware-targets-southeast-asia-android-users.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體TgToxic利用自動化框架針對東南亞安卓用戶而來</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/truthfinder-instant-checkmate-confirm-data-breach-affecting-20m-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">身家調查服務TruthFinder、Instant Checkmate傳出資料外洩，波及2千萬用戶</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/florida-hospital-takes-it-systems-offline-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國佛羅里達州醫院遭到網路攻擊，IT系統被迫離線</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155365">【2023年2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155349">【2023年2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155326">【2023年2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a></strong></p> </div></div></div>
2023/2/4 16:52作者周峻佑https://www.ithome.com.tw/news/155389
【資安日報】2023年2月3日，駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對駭客利用挾帶惡意VBA巨集的Office檔案發動攻擊的情況，微軟去年祭出了封鎖來自網路（MoTW）的巨集執行的措施，而使得駭客也隨之調整做法，其中最常見的方式就是利用ZIP壓縮檔、ISO映像檔挾帶作案工具，並引誘使用者點選LNK捷徑檔案來突破相關限制。但最近有資安業者提出警告，他們觀察到有越來越多駭客採用Visual Studio的附加工具VSTO，來製作能讓惡意Office檔案執行VBA巨集的元件，部分元件甚至能採取遠端下載的做法來躲避防毒軟體偵測。</p> <p>惡意PyPI套件的攻擊行動也相當值得留意。有研究人員近日發現兩款惡意套件，其中一款被用於竊密，並將偷得資料上傳到Slack頻道；另一款則是被用於部署惡意軟體。</p> <p>思科最近針對部分IOS XE設備修補漏洞CVE-2023-20076，值得留意的是，攻擊者一旦成功利用漏洞，即可任意存取這些具有漏洞的網路設備。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.deepinstinct.com/blog/no-macro-no-worries-vsto-being-weaponized-by-threat-actors"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">突破Office封鎖惡意VBA巨集執行的管制，駭客改由Visual Studio附加工具下手，透過映像檔夾帶檔案進攻</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/VBA"><span style="color: rgb(255, 140, 0);">#VBA</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Visual-Studio"><span style="color: rgb(255, 140, 0);">#Visual Studio</span></a> <a href="https://www.ithome.com.tw/tags/VSTO"><span style="color: rgb(255, 140, 0);">#VSTO</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig03-malicious-iso-hidden-files-shown-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig03-malicious-iso-hidden-files-shown-.jpg" style="width: 300px; float: right;" /></a>資安業者Deep Instinct指出，微軟下令禁止Office軟體執行來自網路的VBA巨集，之後，出現駭客嘗試利用Visual Studio Tools for Office（VSTO）來達成執行惡意巨集的攻擊手段。</p> <p>研究人員指出，駭客可製作VSTO附加元件，讓Office檔案開啟的過程中執行，例如，他們通常透過ISO映像檔夾帶Office檔案與上述的元件，然後在使用者開啟Office檔案後，要求依照指示安裝附加元件，一旦使用者照做，就會觸發惡意巨集。</p> <p>雖然在大部分的攻擊行動當中，攻擊者將VSTO附件元件和誘餌Office檔案存放在ISO檔案裡，但也有少部分事故駭客是從遠端下載VSTO附加元件，而有可能導致這類攻擊行動更加難以發現。</p> <p><a href="https://blog.checkpoint.com/2023/02/01/the-rise-of-the-code-package-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件被用於竊取開發者電腦資料</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/PyPI"><span style="color: rgb(255, 140, 0);">#PyPI</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>資安業者Check Point揭露惡意PyPI套件Python-drgn、Bloxflip，前者於去年8月上架，一旦開發者將其安裝到開發環境，此惡意套件就會竊取敏感資料，並發送到特定的Slack頻道，研究人員認為駭客很可能會盜賣竊得資料、進行身分盜用，或藉此收集企業的機密。</p> <p>至於Bloxflip則是會停用受害電腦的防毒軟體Microsoft Defender來規避偵測，然後再下達Python的get函數，最終在受害電腦透過子處理程序執行惡意軟體。</p> <p><a href="https://www.sentinelone.com/labs/malvirt-net-virtualization-thrives-in-malvertising-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意廣告攻擊也有新手法！駭客利用程式載入器迴避偵測</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SEO"><span style="color: rgb(255, 140, 0);">#SEO</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Malvertising"><span style="color: rgb(255, 140, 0);">#Malvertising</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/MalVirt"><span style="color: rgb(255, 140, 0);">#MalVirt</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Formbook"><span style="color: rgb(255, 140, 0);">#Formbook</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/MalVirt_15.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MalVirt_15.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露利用名為MalVirt的惡意程式載入器攻擊行動，駭客利用惡意廣告散布這個載入器，最終目的是在受害電腦植入竊密軟體Formbook。</p> <p>研究人員指出，有別於其他散布惡意軟體的搜尋引擎最佳化（SEO）攻擊，駭客運用的惡意程式載入器MalVirt相當罕見，因為這是利用名為KoiVM的虛擬化保護軟體為基礎進行開發，以.NET虛擬化技術來進行混淆，然後濫用微軟免費工具包SystemInternals家族成員Process Explorer的驅動程式，來終止特定的處理程序。</p> <p>除了上述的惡意程式載入器，駭客也利用Azure、Tucows、Choopa、Namecheap等雲端服務來架設C2伺服器，並將其用來散布Formbook。</p> <p><a href="https://blog.cyble.com/2023/01/27/insecure-military-ics-infrastructure-poses-a-risk-to-national-security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對不安全的軍事ICS基礎設施提出警告</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SCADA"><span style="color: rgb(255, 140, 0);">#SCADA</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ICS"><span style="color: rgb(255, 140, 0);">#ICS</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Modbus"><span style="color: rgb(255, 140, 0);">#Modbus</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-7-Screenshot-from-Thermal-cameras-exposed-over-the-internet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-7-Screenshot-from-Thermal-cameras-exposed-over-the-internet.png" style="width: 300px; float: right;" /></a>資安業者Cyble提出警告，他們在暗網的論壇上，發現有人聲稱能存取北非國家軍事組織的SCADA系統與紅外線熱成像攝影機，研究人員根據駭客提供的IP位址等資料進行驗證，認為駭客很有可能掌握了重要的軍事資訊。</p> <p>駭客張貼紅外線熱成像攝影機的網路管理介面截圖，以及北非軍事基地的空拍圖與607個攝影機的地理位置分布圖。研究人員在這些攝影機發現資訊洩露、RCE漏洞、寫死帳密的情況，而且有多臺設備採用了預設的帳密。</p> <p>此外，駭客疑似鎖定工控系統常見的Modbus通訊協定，利用其漏洞來對於軍事基地下手，並在工控系統部署Ｍetaspoilt框架，以便進行偵察工作。</p> <p><a href="https://labs.withsecure.com/content/dam/labs/docs/WithSecure-Lazarus-No-Pineapple-Threat-Intelligence-Report-2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus發動網路間諜行動，利用Zimbra漏洞潛入受害組織竊密</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Lazarus"><span style="color: rgb(255, 140, 0);">#Lazarus</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Zimbra"><span style="color: rgb(255, 140, 0);">#Zimbra</span></a> <a href="https://www.ithome.com.tw/tags/CVE-2022-27925"><span style="color: rgb(255, 140, 0);">#CVE-2022-27925</span></a> <a href="https://www.ithome.com.tw/tags/CVE-2022-37042"><span style="color: rgb(255, 140, 0);">#CVE-2022-37042</span></a></strong></p> <p>資安業者WithSecure揭露網路間諜攻擊行動No Pineapple，駭客鎖定南韓的醫學研究、醫療保健、化學工程、能源、國防、研究型大學，自2022年8月下旬，利用郵件伺服器Zimbra的漏洞CVE-2022-27925與CVE-2022-37042，在受害組織部署Web Shell，並利用隧道工具Plink或3Proxy建置反向隧道，而使得攻擊能在繞過防火牆的情況下進入受害組織的網路。</p> <p>然後，在接下來的兩個月裡，駭客透過橫向移動，竊得管理員帳密並從電腦裡盜取機密資料，過程中使用該組織自製的惡意軟體Dtrack與Grease來瞄準Windows的管理員帳號，最終，這些駭客竊得100 GB機密資料。根據駭客行動的時間、Web Shell連線的IP位址、下達的攻擊命令等特徵，研究人員認為攻擊行動由惡名昭彰的APT組織Lazarus發起。</p> <p><a href="https://scpc.gov.ua/article/229"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭政府遭到俄羅斯駭客組織Gamaredon的間諜軟體攻擊</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a> </strong></p> <p>烏克蘭國家安全局（SSU）旗下的國家網路防護中心（State Cyber Protection Centre）指出，俄羅斯駭客組織Gamaredon鎖定當地公共機構與關鍵資訊基礎設施下手，利用名為GammaLoad與GammaSteel的間諜軟體發動攻擊。</p> <p>前者被用於從伺服器下載VBScript指令碼，並用於下一個階段的攻擊行動；後者則是PowerShell指令碼，被用於偵察與執行其他命令。該機構表示，這些駭客主要目的是收集機密資料，而非破壞受害組織。</p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-on-ion-group-impacts-derivatives-trading-market/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國自動化軟體業者ION Group傳出遭勒索軟體LockBit攻擊</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/LockBit"><span style="color: rgb(255, 140, 0);">#LockBit</span></a> <a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-ion-group.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-ion-group.png" style="width: 300px; float: right;" /></a></p> <p>1月31日，英國自動化軟體業者ION Group聲明遭到網路攻擊，受影響的伺服器皆已斷開連接，他們正在復原受影響的服務；國際汽車聯盟（FIA）隨後也發表聲明，表示正在與受影響的成員進行合作，來減緩受到此起事故的衝擊。</p> <p>而針對這起事故的攻擊者身分，2月2日，勒索軟體LockBit聲稱是他們所為，並打算於2月4日公布竊得資料。</p> <p><a href="https://www.thb.gov.tw/News_Content_table.aspx?n=87&sms=13235&s=208674"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有關iRent資料外洩事故，公路總局公布初步檢查結果</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>資安人員發現汽機車共享服務iRent的資料庫缺乏密碼保護，曝露長達9個月，<a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2284/index.html">對此和泰公司發出聲明</a>，初估受影響的使用者資料約有14萬筆，包含姓名、電話、地址，以及經遮蔽保護的信用卡資料。</p> <p>對此，交通部公路總局於2月1日前往和雲行動服務公司進行行政檢查，結果發現，該公司未能依規定提供汽車運輸業個人資料檔案安全維護計畫書，查核人員要求說明可能的受害範圍，但該公司表示清查需約2至3天才能完成，而沒有提出相關資料。而對於事件的處理情形，他們表示於1月28日進行防堵，但也透露近3個月會員異動的資料有可能遭外部人士查詢。</p> <p>對此，臺北市區監理所發函要求和雲行動服務公司限期提報消費者個資的維護計畫，並對於事故發生的原因、調查結果、後續處理等進行說明並提供佐證資料，若未於期眼內改正，將依個人資料保護法按次處新臺幣2萬元以上、20萬元以下罰鍰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iox-8whGn5dL"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">部分思科IOS XE設備存在命令注入漏洞，攻擊者可以root權限執行任意命令</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/IOS-XE"><span style="color: rgb(255, 140, 0);">#IOS XE</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>思科於2月1日揭露高風險漏洞CVE-2023-20076，此漏洞存在於網路作業系統平臺IOS XE的應用程式代管環境IOx，一旦遭到利用，攻擊者可能在通過身分驗證的情況下，遠端以root的權限執行任意命令，CVSS風險評分為7.2分，影響800系列工業用整合服務路由器（Industrial ISR）、Wi-Fi無線基地臺Catalyst Access Point、CGR1000運算模組、IC3000工業用運算閘道，以及IR510 WPAN工業用路由器。</p> <p>該漏洞出現的原因，在於應用程式的啟動程序過程中，傳遞的參數未完全重置，且無須使用者互動就能利用。<a href="https://www.trellix.com/en-us/about/newsroom/stories/research/when-pwning-cisco-persistence-is-key-when-pwning-supply-chain-cisco-is-key.html">通報該漏洞的資安業者Trellix指出</a>，攻擊者一旦成功利用，將能不受限制的存取受害設備，他們部署的惡意程式碼，很有可能在設備重開機或是升級韌體後仍然持續運作。</p> <p><a href="https://www.saiflow.com/hijacking-chargers-identifier-to-cause-dos/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電動車充電站通訊協定存在弱點，攻擊者可得知車主資訊或是偷取電力</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/OCPP"><span style="color: rgb(255, 140, 0);">#OCPP</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/EV"><span style="color: rgb(255, 140, 0);">#EV</span></a></strong></p> <p>電動車充電基礎設施資安業者SaiFlow提出警告，電動車的充電系統管理服務平臺（Charging System Management Service，CSMS）與充電站之間的通訊出現弱點，有可能被駭客用於攻擊行動，且有可能影響多個廠牌的充電系統。</p> <p>這項弱點出現在充電站採用的開放通訊標準協定Open Charge Point Protocol（OCPP），起因是這裡用了網路通訊協定WebSocket，而可能在多個充電站同時連線時出現異常。攻擊者可濫用這樣的弱點與CSMS建立連線，導致這類平臺關閉原有的充電站連線，或是其他充電腦無法與CSMS通訊。</p> <p>研究人員指出，這樣的弱點很容易引起DDoS攻擊，而且駭客一旦連結到CSMS，就有可能竊得車主個資等敏感資料，或是偷取電力。上述漏洞普遍存在於搭配OCPP 1.6J版通訊協定的CSMS，但如果搭配新的2.0.1版協定也有可能曝險。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.armorblox.com/blog/breaking-the-impersonation-armorblox-stops-docusign-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">上萬使用者遭到假冒DocuSign的網釣攻擊</span></span></strong></a></p> <p><a href="https://www.uptycs.com/blog/titan-stealer-telegram-malware-campaign"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Go語言開發的竊密軟體Titan竊取瀏覽器與加密貨幣錢包資訊</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/01/31/inthebox-web-injects-targeting-android-banking-applications-worldwide/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織InTheBox在暗網兜售逾1,800種安卓銀行木馬相關工具</span></span></strong></a></p> <p><a href="https://www.securityjoes.com/post/operation-ice-breaker-targets-the-gam-bl-ing-industry-right-before-it-s-biggest-gathering"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體IceBreaker鎖定電玩、賭博業者而來</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/new-apt34-malware-targets-the-middle-east.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">APT34鎖定中東地區發動攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155349">【2023年2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155326">【2023年2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155314">【2023年1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者能明文輸出資料庫</a></strong></p> </div></div></div>
2023/2/3 16:46作者周峻佑https://www.ithome.com.tw/news/155365
【資安日報】2023年2月2日，竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用竊密軟體（Info Stealer）收集目標電腦各式帳密資料，或是洗劫使用者的加密貨幣錢包的情況不時傳出，但這類惡意程式鎖定了新的攻擊目標，駭客將其用來收集遠端桌面連線的組態資料（RDP檔案），而有機會在不需知道帳密資料的情況下存取受害電腦。</p> <p>在社群網站、開發工具有許多系統提供了藍勾勾的機制，來表明這是通過驗證的名人或是開發者，但這樣的機制也被濫用於OAuth網路釣魚攻擊。資安業者Proofpoint揭露發生在12月初的網釣攻擊行動，但與過往不同的是，駭客發出請求授權的惡意雲端應用程式，其開發者竟有此種標章，而可能讓使用者降低警覺。</p> <p>資安業者Eclypsium於12月公布了3個AMI MegaRAC的BMC軟體漏洞，但他們最近又再公布2個發現的漏洞，而延遲近2個月才公布的原因，是要讓AMI能有較為充分的時間完成修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.cyble.com/2023/02/01/vector-stealer-a-gateway-for-rdp-hijacking/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用竊密軟體Vector Stealer挾持遠端桌面連線的相關組態檔案</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Vector-Stealer"><span style="color: rgb(255, 140, 0);">#Vector Stealer</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/RDP"><span style="color: rgb(255, 140, 0);">#RDP</span></a> <a href="https://www.ithome.com.tw/tags/Info-Stealer"><span style="color: rgb(255, 140, 0);">#Info Stealer</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-VectorStealer-Subscription.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-VectorStealer-Subscription.png" style="width: 300px; float: right;" /></a>資安業者Cyble揭露名為Vector Stealer的竊密程式，攻擊者主要藉由此惡意軟體盜取受害電腦的RDP檔案，進而挾持遠端桌面連線。副檔名為RDP的這種檔案，包含建立遠端桌面連線所需的詳細組態，攻擊者可在不需知道帳密的情況下，根據這當中內容來遠端存取受害電腦，或是進行橫向移動，甚至進行其他攻擊。</p> <p>研究人員指出，此竊密軟體約自2022年下半出現在駭客論壇，駭客以63美元的價格出售，並要求買家以比特幣付款，買家可透過網頁管理介面的選單打造竊密程式，然後指定該軟體透過SMTP協定，或是Discord、Telegram的API回傳偷到的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-disables-verified-partner-accounts-used-for-oauth-phishing/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用微軟認證的藍勾勾帳號，發動OAuth同意網路釣魚攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/OAuth"><span style="color: rgb(255, 140, 0);">#OAuth</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Consent-Phishing"><span style="color: rgb(255, 140, 0);">#Consent Phishing</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/同意網路釣魚"><span style="color: rgb(255, 140, 0);">#同意網路釣魚</span></a> <a href="https://www.ithome.com.tw/tags/藍勾勾"><span style="color: rgb(255, 140, 0);">#藍勾勾</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2023-01-10 at 7_13_17 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-01-10%20at%207_13_17%20PM.png" style="width: 200px; float: right;" /></a>資安業者Proofpoint發現<a href="https://www.proofpoint.com/us/blog/cloud-security/dangerous-consequences-threat-actors-abusing-microsofts-verified-publisher">鎖定英國組織的同意網路釣魚（Consent Phishing）攻擊行動</a>，駭客自2022年12月6日開始，濫用OAuth應用程式授權，引誘使用者授予惡意雲端應用程式權限，而能讓攻擊者有機會存取用戶資料，或是入侵電子郵件信箱、存取行事曆等。</p> <p>與過往濫用OAuth授權的攻擊行動不同的是，駭客為了取信攻擊目標，他們這次使用的3款惡意應用程式，皆通過微軟的發布者驗證（Verified Publisher）流程，而在授權網頁上出現藍勾勾符號。研究人員於12月20日向微軟通報，並指出攻擊行動持續到27日。</p> <p>對此，<a href="https://msrc-blog.microsoft.com/2023/01/31/threat-actor-consent-phishing-campaign-abusing-the-verified-publisher-process/">微軟表示</a>，他們在12月15日察覺有人假冒合法公司申請Microsoft Cloud Partner Program（MCPP）計畫，然後製作惡意OAuth應用程式並用於同意網路釣魚攻擊行動，該公司已封鎖被用於攻擊的應用程式，並通知受影響的使用者。</p> <p><a href="https://resecurity.com/blog/article/nevada-ransomware-waiting-for-the-next-dark-web-jackpot"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Nevada同時鎖定Windows與VMware虛擬化平臺而來，祭出高額贖金拆帳利誘打手加入</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/8d7ff4c908fa39e5481a4bc65f099e88.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/8d7ff4c908fa39e5481a4bc65f099e88.png" style="width: 300px; float: right;" /></a>資安業者Resecurity發現名為Nevada勒索軟體，駭客自2022年12月在暗網論壇RAMP上宣傳，徵求使用俄文與中文的駭客從事攻擊行動，並提出得手後贖金打手可抽成85%作為報酬。此勒索軟體同時具備Windows與VMware ESXi（Linux）版本，兩者的共通點在於，在攻擊的過程中都採用Salsa20演算法加密檔案。</p> <p>研究人員指出，Windows版勒索軟體不只能加密指定的檔案，還能找出網路的共用資料夾，或是電腦裡隱藏的磁碟機進行加密，比較特別的是，該勒索軟體不只無法在蘇聯地區執行，亦會在匈牙利、越南、馬來西亞、泰國、土耳其、伊朗等國家停止運作。</p> <p>至於ESXi版本的部分，則僅針對小於512 KB的檔案才會執行完全加密，且疑似有軟體臭蟲的緣故，該勒索軟體執行加密檔案的過程中，大小介於512 KB至1.25 MB的檔案，會被略過不處理。</p> <p><a href="https://blog.aquasec.com/headcrab-attacks-servers-worldwide-with-novel-state-of-art-redis-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體HeadCrab鎖定Redis而來，利用1,200臺伺服器挖礦</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Redis"><span style="color: rgb(255, 140, 0);">#Redis</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/挖礦攻擊"><span style="color: rgb(255, 140, 0);">#挖礦攻擊</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/HeadCrab-Picture5_OK.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HeadCrab-Picture5_OK.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露針對記憶體資料庫Redis伺服器而來的惡意軟體HeadCrab，此攻擊行動約從2021年9月上旬開始，迄今至少控制1,200臺伺服器，並將其用於挖取門羅幣（Monero）。</p> <p>研究人員指出，此惡意軟體能繞過傳統的防毒軟體解決方案，或是無代理程式（agentless）的偵測系統，而能夠危害大量Redis伺服器。他們將其上傳至惡意軟體分析系統VirusTotal，結果沒有防毒引擎將其識別為有害。</p> <p>而對於入侵這些伺服器的手段，駭客看上這種資料庫的開發者設定用戶通常會在內部網路環境建置，預設並未啟用身分驗證的情況，尋找曝露於網際網路的Redis下手，一旦攻擊者找到無須身分驗證就能存取的伺服器，就會下達SLAVEOF的命令，然後植入此惡意軟體。根據研究人員找到的駭客錢包內容來判斷，估計每臺伺服器一年可挖到4,500美元的加密貨幣，相較於一般能挖到200美元高出許多。</p> <p><a href="https://www.radware.com/security/ddos-threats-attacks/passion-russian-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐美醫療院所面臨DDoS攻擊，原因是有人租賃Passion殭屍網路向這些單位行凶</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Killnet"><span style="color: rgb(255, 140, 0);">#Killnet</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/DDoS-as-a-Service"><span style="color: rgb(255, 140, 0);">#DDoS-as-a-Service</span></a> <a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a></strong></p> <p>資安業者Radware揭露名為Passion的DDoS租賃服務平臺（DDoS-as-a-Service），此為隸屬於俄羅斯駭客組織Killnet與Anonymous Russia旗下的Passion Group架設的殭屍網路，並於1月27日開始被用於攻擊行動，目標是美國、葡萄牙、西班牙、德國、波蘭、芬蘭、挪威、荷蘭，以及英國的醫療機構，這些駭客提供此攻擊服務的目的，就是對於這些向烏克蘭提供軍援的國家進行報復。</p> <p>值得留意的是，此DDoS攻擊平臺採用了Dstat.cc流量量測服務，而具備網路第4層至第7層的攻擊能力，並聲稱能對抗Cloudflare或是Google Shield等業者的緩解措施。</p> <p><a href="https://www.bleepingcomputer.com/news/security/google-fi-data-breach-let-hackers-carry-out-sim-swap-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google電信服務傳出資料外洩，導致駭客能進行SIM卡挾持攻擊</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Google-Fi"><span style="color: rgb(255, 140, 0);">#Google Fi</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SIM-Swapping"><span style="color: rgb(255, 140, 0);">#SIM Swapping</span></a> <a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/google-fi-notice.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/google-fi-notice.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，Google旗下的美國電信網路服務Google Fi向客戶發出通知，有一家他們合作的基礎電信網路服務供應商發生資料外洩事故，有可能導致Google Fi用戶的個資外洩。</p> <p>這些資料包含了電話號碼、SIM號碼、帳號狀態，以及電信服務的資費方案等，但不含姓名、電子郵件信箱、支付卡資料、社會安全碼等其他敏感資料。至於出事的電信網路服務供應商的身分，該新聞網站指出很有可能是T-Mobile，但Google未證實此項猜測。</p> <p>此起事故傳出後，已有Google Fi用戶表示遭到SIM卡挾持，導致電子郵件信箱、金融帳號，以及Authy雙因素驗證程式，都被駭客掌控。</p> <p><a href="https://therecord.media/telecom-giant-charter-communications-says-third-party-vendor-had-security-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信業者Charter Communications傳出資料外洩，疑似外部供應商遭駭所致</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>根據資安新聞網站The Record的報導，有人在1月26日在駭客論壇上，宣稱握有55萬美國電信業者Charter Communications用戶的姓名、帳號、地址等資料。</p> <p>該電信業者證實此事並著手調查，初步的結果顯示，他們的其中一家第三方供應商存在安全漏洞所致，但外洩的資料不包含客戶的財務資料或是專屬網路資訊。</p> <p><a href="https://securityaffairs.com/141409/data-breach/blackcat-ransomware-solar-industries-india.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度炸藥商Solar Industries India遭駭，勒索軟體BlackCat聲稱竊得2 TB機密</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/BlackCat"><span style="color: rgb(255, 140, 0);">#BlackCat</span></a><span style="color: rgb(255, 140, 0);"> </span><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/solar-group-image-25.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/solar-group-image-25.png" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffairs的報導，勒索軟體BlackCat近日將印度炸藥製造商Solar Industries India列為受害組織，並聲稱竊得2 TB的機密資料，內容涉及該公司旗下所有的炸藥、引爆系統細節，包含完整的規格、設計圖、審核資料等。</p> <p>除了上述的產品文件，駭客亦宣稱握有合作夥伴的資料，以及政府合作的文件、軍備供應鏈的資料、該公司錄下製作產品過程的監視器記錄等。為了證明確有此事，駭客公布了竊得的文件與監視器畫面截圖，並要求該公司於24小時內與他們聯繫。</p> <p><a href="https://securityaffairs.com/141640/hacktivism/it-army-of-ukraine-hacked-gazprom.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭IT軍隊聲稱破壞了俄羅斯天然氣公司Gazprom的基礎設施</span></strong></a><strong style="font-size: 16px;"> <a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a></strong></p> <p>根據資安新聞網站SecurityAffairs的報導，烏克蘭IT軍隊於Telegram頻道上宣稱，近日成功入侵俄羅斯天然氣公司Gazprom的基礎設施並進行破壞，且竊得1.5 GB資料，這些資料包含了逾6千份機密檔案，內容與俄羅斯當地的油井自動化探勘與開採有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://thehackernews.com/2023/02/additional-supply-chain-vulnerabilities.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員再度揭露AMI MegaRAC的BMC軟體漏洞</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/BMC"><span style="color: rgb(255, 140, 0);">#BMC</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/BMC&C"><span style="color: rgb(255, 140, 0);">#BMC&C</span></a> <a href="https://www.ithome.com.tw/tags/AMI"><span style="color: rgb(255, 140, 0);">#AMI</span></a></strong></p> <p>資安業者Eclypsium在12月公布了3個American Megatrends（AMI）基板管理控制器（BMC）解決方案MegaRAC漏洞，至少影響AMD、Dell EMC、技嘉、雲達等15個廠牌的伺服器，研究人員再於1月30日布公布2個當時發現的漏洞CVE-2022-26872、CVE-2022-40258，其CVSS風險層級分別為8.3分與5.3分。</p> <p>CVE-2022-26872一旦遭到利用，攻擊者可阻止IT人員重設MegaRAC系統的密碼；CVE-2022-40258則與名為Redfish的API有關，原因是採用強度不足的密碼雜湊。</p> <p>研究人員表示，這兩個新漏洞延後快2個月才公布的原因，就是為了讓AMI能有較為充足的時間修補。Eclypsium將前後發布的5個漏洞，統稱為BMC&C。</p> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-open5gs-gtp-library/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信網路程式庫Open5GS GTP出現可被用於阻斷服務攻擊的漏洞</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Open5GS"><span style="color: rgb(255, 140, 0);">#Open5GS</span></a></strong></p> <p>資安業者Synopsys揭露的電信網路程式庫Open5GS GTP漏洞CVE-2023-23846，CVSS風險層級為7.5分，一旦攻擊者將其用來發動攻擊，就有可能影響4G LTE或5G行動網路的關鍵網路功能，進而導致服務中斷（DoS），甚至有可能因為過度消耗系統資源，而波及伺服器其他服務，影響Open5GS GTP 2.4.12版與2.5.6版。</p> <p>此漏洞起因與該程式碼在解析GPRS隧道通訊協定GPTv1-U訊息的延伸標頭時，其長度的驗證不當，導致只要有通訊協定的酬載延伸標頭設置為零，就有可能產生無限迴圈的情況，受影響的處理程序隨即就會無法回應。研究人員指出，這些有問題的程式碼被多種功能共用，影響有可能相當廣泛。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-goes-green-uses-new-conti-based-encryptor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit改用Conti的加密模組發動攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/arnold-clark-customer-data-stolen-in-attack-claimed-by-play-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐洲大型汽車經銷商Arnold Clark傳出遭勒索軟體Play攻擊</span></span></strong></a></p> <p><a href="https://blog.eclecticiq.com/the-godfather-banking-trojan-expands-application-targeting-to-affect-more-europe-based-victims"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓金融木馬Godfather在更多歐洲國家橫行</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/02/01/qakbots-evolution-continues-with-new-strategies/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用OneNote筆記檔案散布</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/01/19/gigabud-rat-new-android-rat-masquerading-as-government-agencies/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓木馬Gigabud RAT假冒政府機關發動攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155326">【2023年2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155314">【2023年1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者能明文輸出資料庫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155287">【2023年1月30日】研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</a></strong></p> </div></div></div>
2023/2/2 17:00作者周峻佑https://www.ithome.com.tw/news/155349
Messenger開始向用戶推送預設端到端加密功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2023/01/expanding-features-for-end-to-end-encryption-on-messenger/">Meta更新Messenger加入一系列端到端加密功能</a>，<a href="https://www.facebook.com/zuck/posts/pfbid02w7TZNUhn5pxSRCJ8bVgJ2Csoo9L83k77GnVrVawpzRhnEaUmj3ThpiNRqZzkSamNl">創辦人Mark Zuckerberg親自宣布Messenger擴大預設端到端加密的測試</a>，同時也在端到端加密對話中，加入包括連結預覽、自定義表情符號和主題等一般聊天室功能。</p> <p>早在2016年，當時Facebook（Meta）就已經開始發展Messenger端到端加密功能，以提供用戶額外的聊天安全和隱私性。但一直到現在，Messenger才宣布逐漸向用戶推送預設端到端加密功能，在接下來數個月中，官方將會在私人聊天室中，向用戶提示預設端到端加密的啟用。</p> <p>Messenger採用隨機的方式升級用戶的會話成端到端加密，官方提到，因為是隨機啟用，所以不會對基礎設施造成負面影響，同時也能在擴大預設端到端加密採用的同時，確保用戶體驗不受影響。</p> <p>除了陸續對更多使用者預設啟用端到端加密之外，端到端加密對話也加入更多一般聊天室的功能，包括自定義聊天表情符號、聊天室主題、群組頭像設定、預覽連結以及活躍狀態等。而在Android上，現在即便是端到端加密對話，用戶在收到新訊息時，也同樣會以氣泡形式出現，方便閱讀和回覆訊息。</p> </div></div></div>
2023/1/24 18:34作者李建興https://www.ithome.com.tw/news/155261
傳ChatGPT威脅 Google 急Call創辦人幫忙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，感受到OpenAI 的AI服務的威脅，Google已要求兩位已退位的創辦人Larry Page及Sergey Brin重新協助監督AI計畫。</p> <p>紐約時報<a href="https://www.nytimes.com/2023/01/20/technology/google-chatgpt-artificial-intelligence.html">報導</a>，Open AI 去年11月展示對話式AI系統ChatGPT，在Google內部投下震撼彈，Google暨Alphabet執行長Sundar Pichai並宣佈「紅色警戒」，要求加速AI服務及技術的開發，以確保Google對話式AI模型 LaMDA的領先地位。Pichai力邀下，Page及Brin去年底回到Google監督AI新服務的推行計畫。</p> <p>Page與Brin<a href="https://www.ithome.com.tw/news/134590">自2019年從行政職退下後</a>，就把一些Google日常業務管理工作交給Pichai後就鮮少過問。他們主要著重在自己開發新事業推動，例如Page的飛天車公司，如果到Google則多半是討論新創業務（Others Business）。</p> <p>但消息人士指出，兩人對AI十分有興趣，上個月也已看過Google AI預計在今年5月Google I/O大會上公佈的AI服務。消息人士透露，軟體巨人已經規劃了將近20項AI相關服務，包括建立和編輯圖片的Generation Studio、供用戶體驗AI技術的AI Test Kitchen App第3版、虛擬購物試穿、Youtube綠幕功能、製作Pixel手機桌布、虛擬3D試鞋功能Maya、以AI做影片簡介，還有提供給軟體開發人員和企業AI工具，像是建立圖片的Google Cloud服務、可在瀏覽器環境下製作AI原型的MarkerSuite、以及2款協助撰寫Android手機應用程式的工具，包括Colab + Android Studio及PaLM-Coder 2等。</p> <p>在景氣不明、成長趨緩的危機下，Google上周<a href="https://www.ithome.com.tw/news/155250">宣佈裁員1.2萬人</a>，Pichai的公開談話也說明，AI將是該公司的策略成長業務。</p> </div></div></div>
2023/1/23 13:46作者林妍溱https://www.ithome.com.tw/news/155251
【資安月報】2022年12月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在12月資安新聞中，有3大面向的議題可以進一步探討與關注，包括微軟Exchange漏洞利用的最新消息，惡意網站偽冒品牌業者，並利用搜尋引擎廣告來散布的威脅態勢，以及本月資安防護新聞有數個熱門焦點。</p> <p>首先，在這個月有一項漏洞利用攻擊受關注，起因是雲端服務業者Rackspace代管的Exchange伺服器<a href="https://www.ithome.com.tw/news/154560#rackspace">在12月初</a>，因遭勒索軟體攻擊而中斷運作，一個月後，該公司公布委託資安業者CrowdStrike調查的結果。<a href="https://status.apps.rackspace.com/index/viewincidents?group=2&group=2">Rackspace指出</a>，這場攻擊由Play勒索軟體的駭客組織發動，是使用一個未知的漏洞入侵他們代管的Exchange伺服器，並指出該漏洞與微軟11月修補的CVE-2022-41080漏洞有關，因此並非直接透過CVE-2022-41080漏洞來入侵。</p> <p>特別的是，在12月20日，CrowdStrike曾經揭露相關漏洞利用相關消息，當中提供了更多資訊。<a href="https://www.ithome.com.tw/news/154819#OWASSRF">該公司研究人員表示</a>發現新的漏洞利用方法，是串連利用了CVE-2022-41080與CVE-2022-41082的漏洞，將可繞過ProxyNotShell（由CVE-2022-41082及CVE-2022-41040組成）的緩解措施，但若已安裝修補微軟11月的Exchange更新修補，此攻擊手法將變得無效。而這項發現，是他們在調查Play勒索軟體事件時所得出的結論，因此，該業者當時也趕緊建議用戶盡速安裝更新修補。</p> <p>至於CVE-2022-41080漏洞，美國網路安全暨基礎設施安全局（CISA）<a href="http://www.ithome.com.tw/news/155171">後續</a>也將這個漏洞列入已知被利用漏洞（KEV）列表，也印證駭客針對該漏洞鎖定利用的情形出現。</p> <p>另一項關注的攻擊態勢，是美國<a href="https://www.ithome.com.tw/news/154861#FBI">FBI發出警告</a>──有網路犯罪者持續利用搜尋引擎廣告、假冒品牌業者的方式，來散布惡意網站。因此他們提醒企業與民眾注意，並對企業提出三項建議，可利用網域名稱保護服務，向用戶宣導認識詐騙網站與識別正確URL的重要性，以及告知用戶如何找到合法下載管道，同時呼籲民眾個人也要懂得自保，廣告連結同樣要檢查網址是否有異。</p> <p>事實上，這樣的狀況在2022年11月的資安月報也提到，因為臺灣持續有相關案例。而在美國FBI發出警告之後幾天，還有一些資安業者揭露這類型攻擊的研究與調查。</p> <p>例如，趨勢科技<a href="https://www.ithome.com.tw/news/154895#IcedID">揭露殭屍網路病毒IcedID的攻擊行動</a>，就是會透過Google的點擊付費廣告管道，假冒知名品牌業者名義，引誘使用者到惡意網站下載安裝程式；另一家資安業者Guardio也揭露不同攻擊行動，<a href="https://www.ithome.com.tw/news/154930#Vermux">指出駭客組織Vermux</a>的手法更隱密，在濫用Google廣告、冒名提供應用程式的過程中，在連至真正惡意網站前，使用一個位於俄羅斯的masquerAds網域來進行重新導向，也就是先以無害的masquerAds網站，來通過Google的審核機制。</p> <p>另外，12月還有多項安全防護面的重要發展，成為熱門資安新聞焦點。</p> <p>例如，以開發人員與資安人員而言，有兩項消息受到廣泛關注，一是<a href="https://www.ithome.com.tw/news/154709">Google新推OSV-Scanner</a>，可幫助專案相依項目與已知漏洞列表做到自動化比對，另一是<a href="https://www.ithome.com.tw/news/154779">GitHub推出Secret scanning的功能</a>，可幫助開發人員檢查不慎將帳密、金鑰或憑證嵌入在程式碼，造成秘密外洩的問題。</p> <p>以半導體產業而言，SEMI國際半導體產業協會宣布<a href="https://www.ithome.com.tw/news/154611">推出「半導體資安風險評級服務」</a>，期盼帶動資安行動力不足的半導體業，都能更有效地提升資安量能，而且，非SEMI會員也可訂閱這項服務。</p> <p>以物聯網相關上游產業而言，聚焦IoT平臺與元件的SESIP標準，首次有<a href="http://www.ithome.com.tw/news/154900">國際組織在臺推動</a>，而資策會也與該標準推動者Global Platform簽署MOU，希望在臺灣建立認可實驗室後，本土物聯網產品廠商可以就地檢測，更期盼我國的IoT晶片安全與測試標準也能鏈結國際。</p> <p>另外，我國金管會新<a href="https://www.ithome.com.tw/news/154920#金融資安行動方案2.0">發布金融資安行動方案2.0</a>，將新增12項措施（共40項），並綜整為9個推動重點，成為國內金融業未來所關注的重點，而隨著美國國防部網路安全成熟度模型認證（CMMC）2.0版草案的推出，<a href="https://www.ithome.com.tw/article/154533">臺灣產業對此議題的重視程度</a>備受探討，尤其是電機電子與國防業者在爭取商機上，應當更要密切關注與行動。</p> <p>此外，本月還有<a href="https://www.ithome.com.tw/news/154609">亞洲國際密碼學會議在臺舉行</a>的消息，PQC轉換議題再度浮上檯面，而在國際間，美國政府不僅開始付諸行動，白宮12月簽署<a href="https://www.ithome.com.tw/news/154861#H.R.7535">量子運算網路安全準備法案（H.R. 7535）</a>，更進一步促成後量子密碼學過渡計畫的實踐。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/154644"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月5日到12月9日</span></a></strong></h2> <p>在這一周資安新聞中，有多項漏洞消息受關注，包括三菱電機PLC多項漏洞等待業者修補中的消息，還有American Megatrends的一系列BMC韌體漏洞被揭露，多家主機板業者受影響。</p> <p>其他關注的漏洞修補消息，包括FreeBSD修補ping元件的記憶體緩衝區溢位漏洞CVE-2022-23093，Linux作業系統修補存在於snap-confine模組的高風險漏洞CVE-2022-3328，以及Intel修補資料中心管理主控臺（DCM）的漏洞。</p> <p>在威脅新態勢方面，有兩大焦點值得關注。國際間出現鎖定電信業者、業務流程外包公司，竊取SIM挾持攻擊所需權限的攻擊行動；有駭客手法是在釣魚郵件中，挾帶微軟筆記軟體OneNote的檔案（.ONE）來散布惡意軟體Formbook。在國際威脅焦點方面，近期揭露的重大事件有下列幾起，像是：美國軍火供應商遭到俄羅斯駭客TAG-53攻擊的情況，以及近期中國駭客Mustang Panda（又名APT41）假借歐盟名義發送釣魚郵件，在全球植入惡意軟體PlugX的情況。</p> <p>本周還有幾則新聞顯現出值得關注的趨勢，包括Google公布Android 13有更多新程式碼是用Rust開發，且Rust程式碼中目前發現的記憶體漏洞為零；12月5日「SEMI半導體資安風險評級服務」服務方案推出，非會員亦可訂閱，讓供應鏈資安強化有更容易進行的方式；Global Platform近期在臺推動一項物聯網安全SESIP標準，由於能高度與其他資安標準對應而受到看重。</p> <p>至於國內資安事件的消息，<a href="https://www.mohw.gov.tw/cp-16-72729-1.html">衛福部在7日回應</a>了桃園醫院資安事件的媒體報導，針對2019年的3起事件說明當時處理情形。</p> <h2><strong><a href="https://www.ithome.com.tw/news/154774"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月12日到12月16日</span></a></strong></h2> <p>在這一周資安新聞中，有多項漏洞修補消息受關注，包括微軟本周釋出12月Patch Tuesday，當中修補一項的零時差漏洞CVE-2022-44698，以及Citrix在13日公告修補ADC與網路閘道器產品的零時差漏洞CVE-2022-27518，都已有攻擊行動鎖定，必續盡快修補。</p> <p>同時，Fortinet於11月修補SSL VPN漏洞CVE-2022-42475，後續該公司也發布資安通告說明已有攻擊行動鎖定利用的情形。還有要注意的是，iPhone的WebKit零時差漏洞CVE-2022-42856被鎖定，其中iOS 15.1手機用戶須特別注意。另外，本周新聞尚未提到的Veeam Backup & Replication的CVE-2022-26500與CVE-2022-26501漏洞修補，我們認為同樣須要留意。</p> <p>關於新漏洞揭露上，亦有兩大焦點，其影響層面不小。研究人員發現多款WAF產品因無法識別JSON格式、恐被發動SQL注入攻擊，多家廠牌都受影響，已有5家廠商釋出修補，其他產品用戶也應設法了解；還有數款防毒軟體與EDR系統也被研究人員發現零時差漏洞，受關注的是，這些漏洞可能被用於打造資料破壞軟體（Wiper），多家廠商也紛紛釋出修補。</p> <p>關於攻擊新趨勢方面，資安業者發現惡意軟體QBot有新的散布手法，攻擊者會在惡意郵件中的HTML附件中挾帶包含惡意JavaScript的SVG圖片；另外針對開源套件庫的方面，資安業者發現有網路攻擊者在NuGet、NPM、PyPI套件庫，透過自動化方式，打造並上傳了超過14萬個惡意套件。此外，還有一個值得留意的威脅態勢，是近來有勒索軟體攻擊濫用微軟簽章的驅動程式的情形，微軟獲報後發現數名開發人員計畫帳號被濫用。</p> <p>而在國內方面，關於2022年臺灣APT攻擊現況，資安業者TeamT5揭露這方面資訊，他們觀察到全年有109起APT攻擊行動，以阿米巴Amoeba與畫皮Hupai這兩個駭客組織為大宗，政府與軍方是主要遭受攻擊目標。</p> <p>至於安全防護面向上，本周Google新推的OSV-Scanner，是開發人員與資安人員重視的焦點，該機制可讓專案相依項目與已知漏洞列表，提供自動化比對的幫助。</p> <h2><strong><a href="https://www.ithome.com.tw/news/154877"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月19日到12月23日</span></a></strong></h2> <p>在這一周資安新聞中，就是微軟最近將9月修補的漏洞CVE-2022-37958，調整為RCE漏洞，由於該漏洞涉及SPENGO NEGOEX防護，SMB與RDP等都受影響，因此受到廣泛關注。其他重大的漏洞消息，包括Samba在15日修補多項高風險漏洞，以及思科在12月中旬更新多則資安通告，當中指出多年前修補的漏洞在今年3月被用於攻擊行動。</p> <p>勒索軟體Play針對ProxyNotShell漏洞繞過的攻擊手法，持續成為焦點，資安業者發現有新手法OWASSRF攻擊Exchange伺服器。在攻擊新趨勢方面，以殭屍網路病毒而言，本周有MCCrash與Zerobot的攻擊動向受關注；在新興技術研究方面，有研究人員提出規避EDR監控的新硬體斷點技術，以及展示熱門自然語言對話語言模型ChatGPT與Codex可能被攻擊者應用的情境。</p> <p>在這一週資安消息當中，有幾則都是受到比較多討論的，像是：烏克蘭軍事情報系統Delta遭到竊密軟體攻擊、FBI威脅情資交換平臺InfraGard遭駭；還有雲端身分安全業者Okta說明原始碼遭竊，以及密碼安全服務業者LastPass客戶資料庫備份遭複製的事件。</p> <p>另外，國際間又有BEC詐騙案的警告，但這次並非變更匯款帳號騙取金錢，而是騙取貨品。這類案情雖不多見，但早年其實發生過，例如，五年前國內刑事警察局國際刑警科對於<a href="https://www.ithome.com.tw/news/116960"><span style="color: rgb(0, 0, 128);">BEC詐騙</span></a>就看到這樣的狀況，並指出手法萬變不離其宗，最終目的都是騙取金錢或貨品。</p> <p>至於安全防護的焦點上，GitHub將推出一項Secret scanning功能最受關注，可協助因應因開發人員不慎將帳密、金鑰或憑證嵌入程式碼的問題。</p> <h2><strong><a href="https://www.ithome.com.tw/news/154961"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月26日到12月30日</span></a></strong></h2> <p>在12月最後一周的漏洞消息中，主要焦點包括：Linux核心CVE-2022-47939漏洞（CVSS評分10）被揭露，Apache ShardingSphere-Proxy的CVE-2022-45347漏洞修補，Kubernetes政策管理引擎Kyverno的CVE-2022-47633漏洞修補，以及月前Citrix ADC與Gateway漏洞修補後的企業更新狀況。</p> <p>特別要注意的是，TIBCO Software在2018與2019年針對JasperReports伺服器修補的兩個已知漏洞（CVE-2018-5430與CVE-2018-18809），最近<a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/12/29/cisa-adds-two-known-exploited-vulnerabilities-catalog">有攻擊者正針積極鎖定利用</a>，本周新聞中尚未提到，值得先行留意。</p> <p>至於威脅趨勢上，有兩起值得留意，首先是美國電信業者Comcast Xfinity用戶帳號遭入侵的事件，駭客疑繞過雙因素驗證挾持帳號；其次是駭客在Google廣告散布竊密軟體是利用masquerAds規避審核。另外，針對WordPress外掛程式的攻擊行動又有新的事件。</p> <p>還有一些國際資安新聞受到不小的關注，例如：美國參議院通過公務裝置全面禁用抖音的法案，南韓警方揭露當地外交智庫學者有近千人遭網釣攻擊，以及俄羅斯駭客企圖入侵北約國家煉油廠；在國內，金融資安行動方案2.0出爐消息最受注目。</p> <h2> </h2> </div></div></div>
2023/1/18 15:30作者羅正漢https://www.ithome.com.tw/news/155178
蘋果證實iPhone 14 Pro螢幕問題將釋出更新修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周稍早證實，iPhone 14 Pro機種開機時出現條紋是軟體問題，承諾之後將釋出更新版iOS修補。</p> <p><a href="https://www.reddit.com/r/iphone/comments/zlswzc/iphone_14_pro_max_horizontal_lines_across_screen/" target="_blank">上個月一名用戶在Reddit上抱怨</a>，他的iPhone 14 Pro Max在喚醒時，會出現黃或綠的閃爍水平線條，<a href="https://www.macrumors.com/2022/12/22/iphone-14-pro-horizontal-lines-flashing/" target="_blank">且有人iPhone出現多道條紋</a>。當時不少用戶擔心是手機硬體的問題。過了幾周，<a href="https://www.macrumors.com/2023/01/13/apple-confirms-iphone-14-pro-display-issue/" target="_blank">MacRumors本周</a>引述蘋果一則內部備忘錄報導，指蘋果經過調查，證實是軟體問題，且只會在開機及手機被喚醒時出現這些條紋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-iphone%20pro%2014-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／<a href="https://forums.macrumors.com/threads/iphone-14-pro-max-horizontal-lines-across-screen-when-phone-wakes-up.2373974/" target="_blank">MacRumors論壇用戶 Infernoqt</a>、<a href="https://www.reddit.com/r/iphone/comments/zlswzc/iphone_14_pro_max_horizontal_lines_across_screen/" target="_blank">Reddit論壇用戶 u/1LastOutlaw</a></span></span></p> <p>蘋果並表示之後會釋出更新解決這問題。蘋果備忘錄並未說明時程，但<a href="https://www.androidauthority.com/apple-iphone-14-pro-display-bug-3266872/" target="_blank">媒體相信</a>大約1到2周內就會釋出。雖然蘋果目前正在測試iOS 16.3，但MacRumors推測應該會以更小的更新版，可能是以iOS 16.2.1解決。</p> <p>去年9月iPhone 14剛剛推出時，<a href="https://www.androidauthority.com/apple-iphone-14-pro-camera-noise-shaking-3210143/" target="_blank">甚至出現</a>iPhone 14 Pro、Pro Max在使用特定第三方應用程式，包括Snapchat、Instagram和TikTok時，主相機發生不自主震動，甚至還發出聲音。後來證實是軟體瑕疵，蘋果也是在幾天後釋出更新版iOS解決之。</p> </div></div></div>
2023/1/17 12:39作者林妍溱https://www.ithome.com.tw/news/155190
【資安日報】2023年1月16日，WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有WordPress外掛程式出現重大漏洞，而有可能被用於攻擊行動的情況！資安業者Tenable一口氣揭露3款外掛程式的SQL注入漏洞，其中有2個漏洞不需身分驗證就能利用，CVSS風險層級達到9.8分，但研究人員指出，第3個漏洞雖然需要通過身分驗證，但駭客只要以讀者的身分註冊，就有機會觸發。</p> <p>針對網路監控系統Cacti特定漏洞而來的攻擊行動，也同樣引起研究人員的高度關注。兩家資安業者與非營利安全組織提出警告，他們發現12月修補的漏洞CVE-2022-46169已被用於攻擊行動，但全球至少有四分之一的Cacti實體執行含有漏洞的版本。</p> <p>防毒軟體提供的密碼管理工具也可能成為帳號填充（Credential Stuffing）攻擊的目標！資安業者Gen Digital向防毒軟體NortonLifeLock用戶發送通知，表示部分用戶的密碼管理器遭到相關攻擊而導致帳號被挾持，儲存的帳密恐遭到外洩。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-cacti-critical-bug-to-install-malware-open-reverse-shells/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路監控系統Cacti漏洞遭到鎖定，駭客用來植入惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Cacti-image4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cacti-image4.png" style="width: 300px; float: right;" /></a>資安業者SonarSource、Censys，以及非營利安全組織Shadowserver Foundation自1月初陸續提出警告，網路監控系統Cacti於12月修補的命令注入漏洞CVE-2022-46169（CVSS風險等級為9.8分），約於1月3日出現嘗試利用漏洞的攻擊行動。</p> <p>SonarSource於1月3日公布前述漏洞的細節，以及概念性驗證（PoC）攻擊展示影片，Shadowserver Foundation同日表示，已有駭客用於部署殭屍網路病毒，以及反向Shell來掃描特定的網路連接埠。事隔一週，Censys於1月10日表示，根據他們的偵測，可透過網際網路存取的Cacti主機有6,427臺，其中至少有1,637臺曝險。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/android-tv-box-on-amazon-came-pre-installed-with-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">白牌安卓電視盒被植入惡意程式CopyCat</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，資安研究員Daniel Milisic揭露Truewell T95安卓電視盒的韌體內含惡意程式CopyCat，他在搭載AllWinner T616處理器、執行Android 10作業系統的電視盒上，發現當中竟然含有測試金鑰，以及能經由有線網路及Wi-Fi存取的命令列工具Android Debug Bridge（ADB），而使得他人有機會連線到電視盒進行遠端控制。</p> <p>該名研究人員觀察到電視盒企圖與多個惡意IP位址連線，經過進一步分析之後，他得知設備含有CopyCat的變種，於是，將此惡意程式上傳到VirusTotal進行偵測，結果當中的61個防毒引擎僅有13個識別為有害。</p> <p>後續，這位研究員也提供指令碼讓用戶防堵電視盒前述的異常連線行為，但不確定CopyCat是否也存在其他T95電視盒。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/nortonlifelock-warns-that-hackers-breached-password-manager-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NortonLifeLock防毒軟體的密碼管理器元件遭駭客鎖定，進行帳號填充攻擊</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，資安業者Gen Digital近日向防毒軟體NortonLifeLock的用戶發送通知，表示駭客針對這些用戶電腦上的密碼管理器元件Norton Password Manager進行帳號填充（Credential Stuffing）攻擊，有使用者的帳號因此遭到滲透。</p> <p>根據Gen Digital向美國佛蒙特州總檢察長辦公室通報的資料，有人約於12月1日利用自暗網取得的帳密資料，企圖存取NortonLifeLock用戶的帳號，該公司於12日偵測到異常大量的嘗試登入行為並著手調查，22日初步調查結果顯示，這波攻擊有數量不明的帳號遭到入侵。NortonLifeLock表示已重置受影響帳號的密碼。Gen Digital向資安新聞網站Bleeping Computer透露，約有92.5萬個帳號受到影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/circlecis-hack-caused-by-malware-stealing-engineers-2fa-backed-session/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對遭駭事故，CircleCI公布調查結果</span></strong></a></h3> <p>DevOps平臺CircleCI於1月4日發布資安通報，表示他們著手調查安全事故，並要求用戶輪替Toekn與密鑰，最近該公司透露新的調查結果。CircleCI於12月29日接獲用戶通報，有可疑的GitHub OAuth存取行動，該公司資安團隊與GitHub已著手調查，並確認此用戶的Token遭未經授權的第三方洩露。</p> <p>直到1月4日，CircleCI的內部調查已確認攻擊者入侵的手段與範圍，起因是在12月16日該公司工程師的筆電遭到入侵，駭客透過惡意軟體來竊得單一簽入（SSO）連線階段的Cookie，並通過雙因素驗證（2FA），然後於19日進行偵察，到了22日出現資料外洩的情況。該公司表示，雖然他們已對靜態資料進行加密，但駭客竊得了加密的金鑰，而能夠解密偷到的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.tenable.com/security/research/tra-2023-2" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站的會員管理、數位檔案銷售、市調問卷外掛程式存在重大漏洞</span></strong></a></h3> <p>資安業者Tenable揭露WordPress外掛程式的重大漏洞CVE-2023-23488、CVE-2023-23489，以及CVE-2023-23490，分別出現在會員管理工具Paid Memberships Pro、數位檔案銷售Easy Digital Downloads，以及市調問卷系統Survey Maker等外掛程式，CVSS風險評分為8.8分至9.8分，其共通點都是SQL注入漏洞。研究人員公布概念性驗證（PoC）的攻擊程式碼，而這些外掛程式的開發商皆已發布新版修補上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155167"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">60位臺灣名人華航會員資料疑流入駭客論壇，華航表示與資料庫不盡相符</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-control-web-panel-flaw-to-open-reverse-shells/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CentOS主機網頁管理介面元件CWP漏洞已被用於攻擊行動</span></span></strong></a></p> <p><a href="https://www.deepinstinct.com/blog/malicious-jars-and-polyglot-files-who-do-you-think-you-jar"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">木馬程式StrRAT與Ratty濫用多語言檔案及JAR檔案發動攻擊</span></span></strong></a></p> <p><a href="https://www.imperva.com/blog/google-chrome-symstealer-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器漏洞恐導致機敏資料曝險</span></span></strong></a></p> <p><a href="https://arstechnica.com/information-technology/2023/01/hundreds-of-sugarcrm-servers-infected-with-critical-in-the-wild-exploit/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">客戶關係管理平臺SugarCRM重大漏洞已被用於攻擊行動</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155154">【2023年1月13日】 SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155133">【2023年1月12日】惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖定亞太地區政府與軍事單位</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155109">【2023年1月11日】微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產生惡意程式碼</a></strong></strong></strong></p> </div></div></div>
2023/1/16 18:07作者周峻佑https://www.ithome.com.tw/news/155184
5G趨勢月報第38期：數位部擬在今年第一季完成2家業者低軌衛星頻率申請審查；5G讓淡水專科醫生可為尖石鄉民眾遙控超音波…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>2022年11/30~2023年1/06精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位發展部</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>已有2家業者提出國內低軌衛星頻率申請，數位部：第一季完成審查</strong></span></p> <p>政府去年底開放低軌衛星頻率申請已截止，目前已有2家業者提出申請，分別為隴華電子及愛爾康資料處理，數位發展部透露已成衛星固定通信用無線電頻率審查會，1月將對2家業者，就其申請資格、網路設置、營運計畫等，和NCC共同審查，確保符合消費者權益保護、資通及國家安全，最快於今年第一季完成審查。</p> <p>根據申請的文件，提出申請的2家業者中，隴華電子計畫與Hughes合作，採用歐洲的衛星通訊服務商Eutelsat，提供衛星服務陸地固定地點及船舶；另一業者愛爾康則和歐洲衛星業者SES合作，使用O3b衛星，提供衛星通信服務給陸地固定地點、船舶及航空器。</p> <p>數位部指出，衛星通訊具有涵蓋範圍廣的優勢，可加強海上、離島、山區等地訊號涵蓋，也能作為公眾電信網路的備援，確保通訊網路在各種緊急狀況發生時，仍可通過同步、非同步軌道衛星，強化我國通傳網路的韌性。另外，也能作為降低普及通訊服務成本，提升民眾使用通傳服務的機會，同時提供航空器、船舶寬頻網路服務。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>工研院</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>工研院秀5G遠距診療新成果，突破距離限制，淡水醫生可為尖石鄉民眾作遠距腹部超音波遙控掃描</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_7142.jpg" style="width: 600px; height: 399px;" /></p> <p>偏鄉居民遠距診療再進一步! 工研院近期與資策會、宏達電等廠商共同展示5G遠距腹部超音波診療成果，結合5G網路的高速傳輸、低延遲、廣連結特性，由淡水馬階醫院醫生為新竹尖石鄉的居民進行遠距腹部超音波遙控掃描檢查。</p> <p>這項成果採用資策會、宏達電的核網及小型5G基地臺，仁寶電腦、、泰雅科技、神寶醫資、達明機械人、馬階醫院，由工研院負責系統整合、核網建置，並且根據專科醫師的需求，打造遠距腹部超音波遙控及視訊會診系統。</p> <p>為了讓遠端診療接近傳統的現場診療，淡水馬階醫院的胃腸肝臟科醫生透過3D力回饋遙桿，遠距操作在新竹尖石鄉的診療室的超音波掃描系統，從遠端遙控病人端的機械手臂動作，機械手臂上配備無線超音波探頭，包括壓力及距離感測器，以控制在安全距離下進行超音波掃描。病人端方面則以高畫質攝影機，除了讓遠端的醫生觀察病人的狀況之外，還讓醫生可觀看機械手臂移動情形、病人反應，超音波診察結果，透過視訊攝影機作醫病雙向溝通。</p> <p>根據馬階醫院參與測試的醫生表示，測試過程中不因尖石鄉高山地形影響網路品質，沒有發生斷網或延遲的問題，影像傳輸品質。透過遠距診療的推廣，跨越空間的阻隔，未來希望能號召更多有意願的醫師加入偏鄉醫療。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>巡防</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信推5G智慧巡防系統，助警方巡邏透過AI快速辨識可疑車輛、傳輸即時影像</strong></span></p> <p>中華電信積極推廣5G應用，其中一項行動即時影像服務，為結合5G與AI推出5G巡防系統，在毫秒反應時間內，快速比對黑名單或失竊贓車名單，協助警政單位加強治安維護及犯罪偵防工作。</p> <p>傳統上，員警在路邊巡邏是利用警用行動載具的M-Police，輸入車牌號碼逐一比對，這項行動即時影像服務，利用5G的高速傳輸，利用巡邏車鏡頭，經過AI辨識比對車號，目前辨識率已達95%，當辨識到可疑車輛，經由與鏡頭連線的手機發出警示音，員警按下螢幕圍捕鍵後，就能對逃逸的車輛追緝，巡邏車的即時影像、行進軌跡也會自動送至後方的勤務指揮中心，方便追蹤及調度警力。</p> <p>目前桃園市警局已經導入AI巡防系統至導入各派出所、各警分局偵查隊、保安、刑事警察大隊等，作行動車牌辨識、即時影像傳輸、巡邏軌跡、緊急通報等，結合後方的勤務指揮中心調度警力分配。中華電信表示，該服務可採訂閱制，彈性調整採購量，目前也向各縣市推廣。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信展示5G新生兒照護系統，靠5G與穿戴裝置確保新生兒健康</strong></span></p> <p>近期在一項醫療展覽活動中，中華電信與陽明交大共同展示5G智慧醫療應用，新生兒遠端智慧監測系統，結合通過TFDA認證的新生兒專用穿戴裝置，包括血氧計、體溫計，利用5G網路將數據上傳至雲端，照護人員透過App、監測平臺，可隨時監測新生兒的心率、血氧、體溫等生命徵象變化，當系統偵測到異常數據時也會發送警示，由AI判斷異常可能發生的原因，協助醫療人員、新生兒父母及時處理。</p> <p>這套照護系統可以針對高危險的新生兒加強照護，即使出院後，父母也能透過互動視訊與院方諮詢，提高對新生兒的照護。目前該系統已於去年6月在北榮新生兒病房上線。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶數</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>市場</b></span></font></p> <p><span style="font-size:22px;"><strong>國內5G用戶數達654萬，平均每4人便有1名5G用戶</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wen_bin_-5gsh.jpg" style="width: 600px; height: 263px;" /></p> <p>國內5G開臺已有2年多的時間，根據NCC最新公布數據，截至2022年11月為止，國內5家業者合計共有約654萬用戶，5G人口滲透率約28%，平均每4人中便有1名5G用戶。各家業者5G用戶數方面，以中華電信最多，將近有240萬5G用戶，其次是遠傳的173.3萬，台灣大哥大為146.8萬。三大電信業者之外，亞太電信擁有27.8萬5G用戶，台灣之星為67.4萬。</p> <p>從個別的電信業者來看，3大電信旗下行動用戶的5G用戶佔比皆超高20%，以遠傳表現較佳，佔比約為24%，中華電信將近22%，台灣大哥大則是約20%；相較之下，用戶規模較小的亞太電信與台灣之星，亞太電信約13%，至於台灣之星的5G用戶佔比為25%。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>高通發表Snapdragon衛星方案，下一代旗艦Android手機將支援衛星通訊</strong></span></p> <p>高通（Qualcomm）將為下一代旗艦級Android手機提供衛星通訊功能，高通在美國CES上發表Snapdragon Satellite方案，將和銥衛星（Iridium）合作，提供手機雙向衛星傳訊功能，未來將支援全球行動傳訊功能，來實現全球連網。</p> <p>高通指出，Snapdragon Satellite方案支援5 NTN非地面網路，搭載Snapdragon 5G數據機射頻系統，並可透過銥衛星具氣候韌性（Weather resilient）的L頻段，進行上下鏈傳輸，提供全球覆蓋的通訊服務，包括在緊急狀態下使用雙向傳訊、SMS簡訊傳送，或其他傳遞訊息應用程式。為偏遠地區或海上提供緊急通訊或娛樂。該方案不只是手機，也可用於筆電、平板電腦、汽車或是物聯網。</p> <p>高通預告將從Snapdragon 8 Gen 2行動平臺的裝置開始，支援衛星緊急通訊功能的智慧型手機，將在2023年下半年在特定區域推出。目前銥衛星約有66個衛星及9個在軌備用衛星，涵蓋全球。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>南韓</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>頻譜</b></span></font></p> <p><span style="font-size:22px;"><strong>投資不夠，南韓撤回KT與LG U+的28GHz頻率使用執照</strong></span></p> <p>因業者對28GHz未建置足夠的基地臺，南韓政府決定撤回KT與LG U+兩家電信商的28GHz頻段使用執照。根據媒體報導，南韓政府提供另一家電信業者SK緩刑期，需在2023年5月底之前建置28GHz頻段約1.5萬座基地臺，否則也會失去使用該頻段的權利。</p> <p>南韓是在2018年釋出3.5GHz與28GHz，供電信業者建置5G服務，並要求業者建置達到一定數量的基地臺，其中3.5GHz需建置2.25萬個基地臺，而較高頻的28GHz頻段需建置1.5萬座基地臺。儘管SK、KT、LG U+在3.5GHz頻段方面都達到建設基地臺的數量要求，但在28GHz頻段方面卻未達標。</p> <p>南韓是全球較早推出5G商用服務的地區之一，三家電信業者在2019年即推出5G服務。</p> <p> </p> <p>圖片來源／工研院</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.三星建議6G頻譜應納入1GHz到300GHz頻段</strong></p> <p><strong>2.遠傳與高雄市警局聯手，以5G SA網路切片支援智慧巡邏車，可辨識行駛車輛車牌、回傳現場影像</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2023/1/13 15:32作者蘇文彬https://www.ithome.com.tw/news/155150
【資安日報】2023年1月11日，微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨日（1月10日）發布今年的第一次每月例行修補（Patch Tuesday），總共修補了接近100個漏洞，值得留意的是，當中的CVE-2023-21674是零時差漏洞，並被美國政府證實已出現攻擊行動，要求公部門限期修補。</p> <p>針對機器學習（ML）模型與人工智慧（AI）的攻擊手法，最近研究人員公布多項發現，例如：<a href="https://www.ithome.com.tw/news/154819#ChatGPT">濫用ChatGPT自動產生釣魚信</a>、<a href="https://www.ithome.com.tw/news/155104#text-to-sql">利用Text-to-SQL機器學習模型弱點攻擊SQL資料庫</a>等，現在又有研究人員揭露新型態的AI中毒（AI poisoning）攻擊手法Trojan Puzzle，但特別的是，檢測相關程式碼的靜態分析工具難以察覺這類手法。</p> <p>又有資安業者發現勒索軟體駭客Lorenz藉由VoIP電話系統入侵受害組織的情況！但不同的是，這次駭客成功入侵並植入的Web Shell隨即休眠，直到5個月後才再度運作。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="http://arxiv.org/pdf/2301.02344.pdf" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Trojan Puzzle攻擊手法，可訓練AI助理產生惡意程式碼</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/trigger(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/trigger(1).png" style="width: 300px; float: right;" /></a>微軟、加州大學、維吉尼亞大學的研究人員聯手，揭露名為Trojan Puzzle的攻擊手法，藉由AI中毒（AI poisoning）的方式，訓練AI助理產生惡意程式碼。</p> <p>這種手法與過往發現的AI中毒攻擊方式有所不同，研究人員藉由建議不良範本（template），將想要隱藏的惡意酬載資料以<template>標籤取代，而非直接將可疑程式碼加入訓練資料，因此不會被靜態分析工具察覺異狀，但訓練完成的模型仍會產生惡意程式碼。</p> <h3><a href="https://insights.s-rminform.com/lorenz-cyber-intelligence-briefing-special"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Lorenz藉由VoIP電話系統漏洞部署後門</span></strong></a></h3> <p>威脅情資暨風險顧問業者S-RM揭露勒索軟體駭客Lorenz的攻擊行動，駭客在受害組織橫向移動、竊取資料、加密檔案的5個月前，已經利用Mitel網路電話系統的漏洞CVE-2022-29499取得初始的存取權限，而當時Mitel尚未修補漏洞。</p> <p>此受害組織後來於2022年7月安裝修補程式，但研究人員發現，駭客在修補程式部署前的一個星期，植入了後門程式──他們在兩個網路電話系統的PHP網頁上利用前述漏洞，進而從駭客的基礎設施接收Web Shell，並部署在受害組織的網路環境。</p> <p>接著，此Web Shell就休眠長達5個月的時間，直到駭客發動勒索軟體攻擊才再度運作。這並非Lorenz首度利用CVE-2022-29499發動攻擊，但不同的是，駭客佈局長達5個月才加密受害組織的檔案。</p> <h3><a href="https://krebsonsecurity.com/2023/01/identity-thieves-bypassed-experian-security-to-view-credit-reports/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客繞過消費者信用報告機構Experian網站漏洞，存取民眾信用評價</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/exp-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exp-4.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Kerbs On Security的報導，烏克蘭資安研究員Jenya Kushnir發現，專門盜取使用者身分的駭客在瀏覽消費者信用報告機構Experian的網站時，只要在身分驗證的特定流程調整瀏覽器網址列的URL，就能存取任何人信用報告資料。</p> <p>該資安網站於12月23日通報，Experian的公關團隊於27日回覆已經予以修補。不過，這樣的漏洞究竟存在多久？該公司沒有說明。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/over-1-300-fake-anydesk-sites-push-vidar-info-stealing-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體Vidar透過1,300個冒牌AnyDesk網站散布</span></strong></a></h3> <p>資安業者Sekoia的研究人員發現，有人利用超過1,300個偽造成遠端桌面軟體AnyDesk的網站，企圖散布竊密軟體Vidar，一旦使用者依照網站指示下載軟體，就會被導向特定的Dropbox網址下載竊密程式。研究人員提供了惡意網域名單，並指出所有的主機解析後都是同一個IP位址185.149.120[.]9。</p> <p>根據研究人員的網域名單，其中許多都是採用了誤植域名攻擊（typosqat）手法，冒充知名軟體7-Zip、Slack、AnyDesk、TeamViewer的網域，但網站內容都是聲稱提供AnyDesk軟體下載。</p> <h3><a href="https://www.cna.com.tw/news/ahel/202301100352.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">健保署科長傳出擅自查詢情報人員個資，恐涉嫌國家情報工作法</span></strong></a></h3> <p>衛生福利部中央健康保險署謝姓科長涉查詢被保險人個資，其中疑涉法務部調查局、內政部警政署等情報工作人員資料，臺北地檢署1月10日依涉嫌違反國家情報工作法，諭知10萬元交保。對此，<a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=2589C171FB60857B">健保署也關閉2名涉案人員的健保資料庫系統查詢權限</a>，在調查期間調離非主管職務。<a href="https://news.ltn.com.tw/news/life/breakingnews/4181143">根據自由時報的報導</a>，健保署傳出已完成內部的初步清查，共有3人涉案，其中2人查詢超過16萬筆資料，但有1人在2018年查詢就11萬餘筆，究竟是職務需要或涉及違法，仍待調查釐清。</p> <p>中央健康保險署署長李伯璋表示，健保署現行內控機制，查閱須向上級申請、也設有資安長，但為何還是發生如此情況？他們將儘速分析查閱狀況，釐清事件原貌，並改善相關機制。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-january-2023-patch-tuesday-fixes-98-flaws-1-zero-day/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布1月份例行修補，共對於98個漏洞提出緩解措施</span></strong></a></h3> <p>1月10日，微軟發布本月份的例行修補（Patch Tuesday），這次總共修補98個漏洞，有39個可被用於提升權限、33個能被用於遠端執行任意程式碼（RCE）、10個資訊洩露漏洞、10個阻斷服務（DoS）漏洞、4個安全機制繞過漏洞，以及2個欺騙漏洞。</p> <p>值得留意的是，當中的CVE-2023-21674為零時差漏洞，該漏洞可被用於提升權限，存在於進階本地處理程序呼叫（ALPC）功能，一旦攻擊者成功利用，就有可能取得System權限，CVSS風險層級為8.8分，美國網路安全暨基礎設施安全局（CISA）也將其列入已被利用的漏洞（KEV）列表，並要求聯邦機構限期完成修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-orders-agencies-to-patch-exchange-bug-abused-by-ransomware-gang/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構限期修補已遭勒索軟體駭客利用的Exchange漏洞OWASSRF</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/2023/01/10/strongpity-espionage-campaign-targeting-android-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織StrongPity假借提供視訊聊天軟體Shagle的名義散布惡意軟體</span></span></strong></a></p> <p><a href="https://www.uptycs.com/blog/infostealer-malware-attacks-targeting-italian-region/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">義大利使用者遭到竊密軟體鎖定，目標是加密貨幣錢包與網頁瀏覽器敏感資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/iowa-s-largest-school-district-cancels-classes-after-cyberattack/、"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國愛荷華州大型學校遭到網路攻擊被迫停課</span></span></strong></a></p> <p><a href="https://blog.abdulrah33m.com/prototype-pollution-in-python/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Python出現原型汙染的弱點</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155104">【2023年1月10日】研究人員揭露Text-to-SQL機器學習模型弱點、NPM套件JsonWebToken漏洞恐導致2.2萬專案曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155080">【2023年1月9日】程式碼編輯器VS Code外掛程式市集恐遭駭客濫用、惡意PyPI套件透過Cloudflare隧道服務繞過防火牆</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155054">【2023年1月7日】駭客利用Fortinet漏洞進行勒索軟體攻擊、研究人員在採用高通處理器的筆電發現UEFI漏洞</a></strong></strong></strong></p> </div></div></div>
2023/1/11 16:22作者周峻佑https://www.ithome.com.tw/news/155109
聯想推出2款創新雙螢幕筆電、電子書裝置、可整合ThinkPad的商務手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周於拉斯維加斯舉行的消費電子大展（CES）2023上<a href="https://news.lenovo.com/pressroom/press-releases/thinkbook-plus-reinvents-rotating-display-form-factor-twist-design/" target="_blank">，聯想（Lenovo）展示了數款創新筆電</a>，包括具有電子紙的ThinkBook以及整合雙螢幕與折疊設計的Yoga Book、首款電子書裝置，以及可整合ThinkPad的商務手機ThinkPhone。</p> <p>今年CES聯想照例公布了今年內將上市新品，包含筆電、平板、桌機，其中雙螢幕筆電頗為亮眼。首先，ThinkBook Plus Twist是一款針對學生等需要撰寫記錄或筆記族群而設計的筆電，包含以轉軸連接主機的雙螢幕。螢幕一面是13.3吋窄邊框2.8K OLED顯示器，另一面是12吋彩色電子紙顯示器。兩螢幕都支援觸控筆。使用情境上，ThinkBook Plus Twist可打開始傳統筆電的闔蓋式配置，或將螢幕轉向上面成為平板。聯想表示，其OLED顯示器提供400-nit亮度、DCI-P3色域覆蓋率及Doby Vision HDR支援，電子紙顯示器則具備12Hz更新率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-ThinkBook%20Plus%20Twist-e-Ink.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">ThinkBook Plus Twist（圖片來源／聯想）</span></span></p> <p>聯想未提供其他規格資訊，目前確定的是搭載Intel最新13代Core處理器、支援Wi-Fi 6E。預定今年6月推出，售價1,649美元起跳。</p> <p>另一款雙螢幕筆電為Yoga系列的<a href="https://news.lenovo.com/pressroom/press-releases/dual-screen-yoga-book-9i-premium-consumer-devices-innovation-unexpected/" target="_blank">Yoga Book 9i</a>，包含2個13吋1920x1200像素OELD觸控螢幕。兩個螢幕都可以直立或橫式運作，能分別執行不同應用，如一邊視訊、另一邊播放簡報，或將物件由一個螢幕丟向另一個。兩螢幕也能執行單一應用，以便在夠大空間播放影片或滑動讀取檔案。搭配360度轉軸，Yoga Book 9i還能配置成闔蓋或平板。在使用中，Yoga 9i本身可搭配實體藍牙鍵盤，但若考慮空間，也可以在其中一個螢幕叫出虛擬鍵盤當成筆電使用。</p> <p>運算規格上，Yoga Book 9i搭載Intel 13代Corei7-U15處理器、Iris Xe顯卡、16GB RAM及512GB或1TB硬碟空間。Yoga Book 9i預定今年6月推出，售價2,100美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Yoga%20Book%209i%20by%20lenovo-1.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Yoga Book 9i（圖片來源／聯想）</span></span></p> <p>除了ThinBook Twist，聯想還有首款獨立電子紙裝置Smart Paper。Smart Paper搭載10.3吋防反光觸控電子紙顯示器，採用金屬框，重408公克，略高於Amazon Kindle，售價399美元。Yoga系列其他還包括了32吋螢幕的AIO 9i、搭載3K OLED 螢幕的5G 14.5吋平板Tab Extreme。售價分別為1,799及1,199美元，後者還附觸控筆Precision Pen 3，AIO 9i預計在2023年第3季推出，但Smart Paper及超大型平板則只確定今年內上市。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Lenovo%20Smart%20Paper.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">Smart Paper（圖片來源／聯想）</span></span></p> <p>除了電腦裝置外，<a href="https://news.lenovo.com/pressroom/press-releases/thinkphone-by-motorola-unmatched-business-device-experience/" target="_blank">聯想並宣布</a>，配合ThinkPad品牌 30周年，聯想旗下Motorola推出一款主打安全性的商務手機ThinkPhone。作為商務機，ThinkPhone提供安全政策執行、裝置防護、AI安全功能、以及IT部門遠端設定或設定等功能，還可整合ThinkPad電腦，允許用戶執行手機和筆電間的影音、訊息及檔案傳輸同步、應用串流、或將ThinkPhone當成ThinkPad網路攝影機。</p> <p>在規格上，ThinkPhone執行 Android 13，搭載Snapdragon 8 Plus 第一代晶片組、 6.6吋Full HD OLED 螢幕、IP68機殼及Gorilla Glass Victus玻璃，能耐得住從1.25公尺摔落。它提供2個後向式相機各為5000萬及1300萬像素超廣角鏡頭，以及一組景深相機。ThinkPhone Ultra機種的主鏡頭更來到8200萬像素。ThinkPhone未來幾個月內將陸續在美、歐、中東、澳洲及數個亞洲國家上市。目前價格未定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-New%20Lenovo%20ThinkPhone%20by%20Motorola.png" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">ThinkPhone（圖片來源／聯想）</span></span></p> <p>聯想並宣布了一款VR體感裝置，目前還沒有正式名稱，代號Project Chronos。它有如微軟Kinect無需使用者配戴或手拿任何裝置，而是透過深度攝影機即時捕捉用戶動作，製作虛擬分身，並透過DP或HDMI傳輸埠傳送到電視或PC螢幕上，使用者之後可以手勢或身體動作、臉部表情控制這個虛擬分身。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Lenovo_Chronos.png" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Project Chronos（圖片來源／聯想）</span></span></p> </div></div></div>
2023/1/9 13:05作者林妍溱https://www.ithome.com.tw/news/155071
高通新功能讓用戶可傳雙向衛星訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iPhone 14讓用戶可以發送SOS衛星訊息，不過現在Android用戶也可望享受這功能。<a href="https://www.qualcomm.com/news/releases/2023/01/qualcomm-introduces-snapdragon-satellite--the-world-s-first-sate" target="_blank">晶片大廠高通（Qualcomm）昨（5）日在CES前夕發表</a>最新行動數據機及晶片，內建名為Snapdragon Satellite的功能，可讓搭載新晶片的Android手機直接發送不只是SOS求救訊息，也能雙向傳送一般訊息。</p> <p>Snapdragon Satellite是高通和衛星業者Iridium合作研發，可連接Iridium衛星星群，後者由66顆衛星組成，過去已用於傳統特製衛星電話的通訊連結，提供北極到南極的全球覆蓋範圍。Snapdragon Satellite使用Iridium的L-band頻譜提供上行及下行連線。</p> <p>Snapdragon Satellite將整合在高通下一代晶片Snapdragon 8 Gen 2及其X70行動數據機。未來使用這些平臺的Android智慧型手機將可以透過衛星，在偏遠陸地或近海的雙向傳送緊急求救、文字簡訊及其他娛樂訊息應用。</p> <p>不過一開始這項功能只提供緊急求救，高通和Garmin合作將Snapdragon Satellite支援整合到Garmin Response服務，預計2023年下半在特定地區，如北美及歐洲開通。<a href="https://www.engadget.com/qualcomm-snapdragon-satellite-messaging-android-211037007.html" target="_blank">《Engadget》報導</a>新服務會包含在Garmin隨身衛星裝置InReach Messenger中。</p> <p>高通表示，除了智慧型手機，Snapdragon Satellite也能用於筆電、平板、汽車及物聯網裝置。隨著衛星基礎架構及星群逐漸齊備，Snapdragon Satellite未來也計畫支援5G非地面網路（Non-Terrestrial Network，NTN），可直接連接近地低軌道（LEO）衛星。</p> <p><a href="https://corp.mediatek.com/news-events/press-releases/mediatek-powers-worlds-first-satellite-driven-5g-ntn-smartphone-connection" target="_blank">聯發科也在今年8月宣布</a>已在實驗室環境測試，以其晶片技術讓第一部具5G NTN支援的智慧型手機直接連上近地低軌衛星。</p> </div></div></div>
2023/1/6 12:28作者林妍溱https://www.ithome.com.tw/news/155026
【資安日報】2023年1月5日，近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著汽車導入連網的功能，汽車製造商的資安防護也變成研究人員關注的焦點。有研究人員一口氣揭露十多個知名車廠的API漏洞，這些漏洞不只讓攻擊者有機會遙控該廠牌車輛，甚至部分能存取該公司的內部機密資料，像是銷售資料，或是資訊系統的開發環境等。</p> <p>鎖定Linux電腦的攻擊行動日益猖獗，而當中不少是利用指令碼下達相關命令，但如今有攻擊者將其打包變成可執行檔（ELF），目的是避開對指令碼的資安檢測。</p> <p>去年1月推特修補的漏洞近期又傳出駭客公布竊得的用戶個資！但與過往最大的不同之處在於，駭客不再以數千美元來兜售手上的資料，這次以極低的價格（2美元）提供。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://asec.ahnlab.com/en/45182/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux惡意軟體被用於散布挖礦程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/shc-image-62.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shc-image-62.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現以Shell指令碼編譯器（Shell Script Compiler，SHC）打造的Linux惡意軟體，駭客將其用於部署挖礦程式XMRig。研究人員看到攻擊者先是針對使用弱密碼的SSH伺服器進行暴力破解，得逞後就在受害的Linux伺服器安裝多種惡意軟體，包含SHC下載器、挖軟軟體，以及運用程式語言Perl寫成的IRC機器人。</p> <p>研究人員表示，駭客使用SHC的目的，就像之前有人針對Windows作業系統的環境使用bat2exe類似，都是將指令碼或批次檔轉換成可執行檔，藉此規避偵測。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/200-million-twitter-users-email-addresses-allegedly-leaked-online/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2億推特用戶電子郵件信箱資料遭駭客以2美元賤賣</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/200m-twitter-forum-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/200m-twitter-forum-post.jpg" style="width: 300px; float: right;" /></a>又有人聲稱透過推特於2022年1月修補的漏洞取得大量用戶資料！根據資安新聞網站Bleeping Computer的報導，有人在駭客論壇BreachedForums洩露2億筆推特用戶資料，論壇用戶只需支付8個論壇代幣（相當於2美元）就能下載這些內容。</p> <p>這批資料疑似將<a href="https://www.ithome.com.tw/news/154908#twitter">之前流出的4億筆資料</a>進行整理而成，清除重複項目後共有約221,608,279筆，但該新聞網站取得資料進行檢查後表示，還是發現有重複的內容。駭客以RAR壓縮檔打包上述資料，檔案大小約為59 GB，內容包含了使用者的姓名、電子郵件信箱、使用者ID、關注人數，以及帳號的建立日期。</p> <h3><a href="https://www.dataprotection.ie/en/news-media/data-protection-commission-announces-conclusion-two-inquiries-meta-ireland"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臉書、IG未經用戶同意收集個資，愛爾蘭重罰3.9億歐元</span></strong></a></h3> <p>針對臉書及Instagram（IG）處理用戶資料的作法，以及強迫用戶同意其蒐集個資的手段違反GDPR，使得2018年奧地利使用者集體控告臉書、比利時使用者集體控告IG，愛爾蘭資料保護委員會（DPC）調查後於2023年1月4日做出判決，對Meta開罰3.9億歐元。其中，臉書案罰2.1億歐元，IG案則罰1.8億歐元。Meta表示將尋求上訴，並認為本次判決與發送特定個人化廣告的法律規範有關，但不會妨礙他們繼續提供個人化廣告。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://samcurry.net/web-hackers-vs-the-auto-industry/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近20個汽車廠牌的API漏洞恐曝露車主個資，甚至可冒用製造商員工身分、進入公司系統</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bmw-image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bmw-image5.png" style="width: 300px; float: right;" /></a>資安研究人員Sam Curry揭露BMW、勞斯萊斯、賓士、法拉利、保時捷、捷豹、路虎、福特、起亞、本田、Infiniti、日產、Acura、現代、豐田等近20家汽車廠商，以及GPS車輛追蹤業者Spireon、數位車牌業者Reviver、數位廣播電臺SiriusXM的API漏洞，這些漏洞可能讓駭客執行惡意行為，例如解鎖、發動、跟蹤汽車，或是竊取車主的個資。上述業者獲報後皆修補相關漏洞。</p> <p>其中最嚴重的API漏洞出現在BMW、勞斯萊斯、賓士，涉及公司內部系統的單一簽入（SSO），使得研究人員能假冒BMW的員工存取經銷商的銷售資料，或是存取賓士的GitHub儲存庫與多種開發系統。</p> <h3><a href="https://www.securityweek.com/androids-first-security-updates-2023-patch-60-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補Android約60個漏洞</span></strong></a></h3> <p>1月3日，Google發布了Android的2023年首次安全更新，總共修補約60個漏洞。其中，2023-01-01系列的安全更新程式，針對框架、系統、Google Play的部分修補了19個漏洞；2023-01-05系列的安全更新程式，則是針對Linux核心與相關元件，以及聯發科、高通的元件，共修補了41個漏洞。</p> <p>Google表示，這些漏洞最嚴重的出現在框架元件，攻擊者一旦利用該漏洞，就有可能在未經許可的狀況下提升權限。此外，該公司同日亦針對Pixel手機發布資安通告，公告3個高風險漏洞，以及5個與高通元件相關的弱點。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/155003"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部設置資通安全研究院，首任院長由何全德擔任</span></strong></a></h3> <p>隸屬於行政院數位發展部的資通安全研究院（簡稱資安院）於1月4日召開董監事聯席會議，決議通過由前總統府第二局局長何全德擔任院長；副院長則由行政院國家資通安全會報技術服務中心主任吳啟文，以及陽明交通大學講座教授林盈達擔任。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://cybernews.com/news/japan-police-successful-decrypting-data-lockbit-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本警方成功解鎖勒索軟體LockBit加密的檔案，協助3家受害企業復原資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/high-severity-command-injection-flaws-found-fortinets-fortitester-fortiadc"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet修補應用程式交付控制器FortiADC任意程式碼執行漏洞</span></span></strong></a></p> <p><a href="https://www.manageengine.com/privileged-session-management/advisory/cve-2022-47523.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Zoho修補影響ManageEngine多個特權管理產品的嚴重漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rackspace-confirms-play-ransomware-was-behind-recent-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace表示12月的資安事故是Play勒索軟體所為</span></span></strong></a></p> <p><a href="https://www.courtlistener.com/docket/66696047/doe-individually-and-on-behalf-of-all-others-similarly-situated-v/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">LastPass遭到集體控告，起因是外洩事故疑與資料管理不當有關</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154994">【2023年1月4日】蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料散布木馬程式BitRAT</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154975">【2023年1月3日】 Linux惡意軟體鎖定30個WordPress外掛程式漏洞而來、PyTorch機器學習框架感染惡意程式碼</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154957">【2022年12月30日】數千臺Citrix應用程式交付控制系統未修補重大漏洞、Google智慧音箱弱點恐讓駭客能偷窺語音指令</a></strong></strong></strong></p> </div></div></div>
2023/1/5 16:02作者周峻佑https://www.ithome.com.tw/news/155009
F-Droid釋出推送通知服務FCM開源替代解決方案UnifiedPush
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於目前Android手機推送通知的唯一選擇，只有Google的專有服務Firebase Cloud Messaging （FCM），因此Android開源應用程式商店F-Droid便推出替代方案<a href="https://f-droid.org/2022/12/18/unifiedpush.html">UnifiedPush</a>，讓開發者可以不仰賴任一企業服務推送通知。</p> <p>推送通知對現代行動應用程式體驗非常重要，賦予應用程式能夠與用戶即時溝通的能力，但是F-Droid提到，使用Google的推送通知對用戶隱私和獨立性產生影響，導致F-Droid應用程式不能包含FCM函式庫，因此許多自由及開放原始碼軟體會在應用程式和伺服器之間，建立持久且直接的連接用以推送通知。</p> <p>但這個方法存在許多限制，在應用程式和伺服器之間建立直接連接，需占用大量的裝置資源，包括電量、CPU和網路資源都會吃緊。作業系統為了要最大程度減少資源負載，通常會暫停未活躍使用的應用程式，但是當每個應用程式都與伺服器建立主動連接，則會使作業系統無法暫停這些應用程式。</p> <p>況且多個應用程式都以自己的節奏Ping伺服器，便會使裝置無法進入低功耗睡眠模式，使得裝置電池更快耗盡，因此如果只由一個特殊的應用程式建立優先連接，便可以最大程度減少這些問題，也使得作業系統可以終止其他應用程式，進入睡眠狀態節省電池消耗。</p> <p>而對開發人員來說，管理後臺服務和最佳化連接，是一個複雜且耗時的工作，藉由使用專門的推送通知服務，能夠減輕開發人員的負擔，使其專注在應用程式的其他部分。UnifiedPush則擔任這個專門負責推送通知的角色。</p> <p class="rtecenter"><img alt="" src="https://f-droid.org/assets/animation-options_MLZPGs9RJptxV8Q_3U4fEdo2mJcvJDSd4rYpMr7r9og=.svg" style="width: 300px;" /></p> <p>UnifiedPush的核心是一個規範，分為裝置客戶端和伺服器端，裝置客戶端定義了API使得任意終端使用者應用程式，能夠與Ntfy與NextPush等配送應用程式通訊，而UnifiedPush伺服器端API則描述，應用程式向Ntfy與Nextcloud配送伺服器發送訊息的方式。</p> <p>因此對使用者來說，要在Android上獲得採用UnifiedPush的應用程式通知，需要先安裝像是Ntfy等配送應用程式，接著開啟Ntfy應用程式並且停用電池最佳化，接著在其他支援UnifiedPush的應用程式中開啟UnifiedPush，系統會自動偵測Ntfy應用程式。</p> <p>UnifiedPush與RFC8030規範的WebPush原則上相容，WebPush主要是用於瀏覽器通送通知的開放標準，官方現在正在研究解決方案，以提供更穩定的WebPush支援。現在已經有越來越多應用程式支援UnifiedPush，包括許多Matrix和Mastodon應用程式，官方也正在努力讓Telegram和Signal應用程式開源版本支援UnifiedPush。</p> </div></div></div>
2022/12/23 21:04作者李建興https://www.ithome.com.tw/news/154859
【資安日報】2022年12月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期關於EDR產品安全性的研究不少，前陣子有資安研究人員揭露數款防毒軟體與EDR系統的零時差漏洞，今日有研究人員提出新的硬體斷點規避EDR監控的技術，希望外界與業者能夠更關注這類潛在攻擊方法。</p> <p>近來自然語言對話語言模型ChatGPT成為各界熱門話題，不過，新技術可以幫助防禦者，但同時也會幫助攻擊者，資安研究人員以實際情境來舉例，技能差的攻擊者也能利用ChatGPT與Codex，這也導致攻擊技術門檻可能降低的情況。</p> <p>身分安全業者Okta在20日說明原始程式碼儲存庫被入侵並被複製的情況，而在此之前，該公司在今年3月與9月，也都遭遇重大資安事件。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://cymulate.com/blog/blindside-a-new-technique-for-edr-evasion-with-hardware-breakpoints" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現使用硬體斷點來規避EDR的新技術，許多業者系統可被Blindside技術繞過</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Blindside_圖片來源Cymulate.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blindside_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cymulate.jpg" style="width: 280px; float: right;" /></a></p> <p>以色列資安業者Cymulate研究人員在12月19日發布一項研究，指出利用硬體斷點來規避EDR監控，他們最近發現新的利用方式，稱為Blindside技術，其不同之處在於，增加了使用特定的除錯斷點，可強制程序在沒有Hooks情況下啟動，並以影片展示繞過方式。</p> <p>研究人員解釋，許多EDR解決方案在追蹤惡意活動與行為時，完全或嚴重依賴hooks來檢測，而他們在實際研究發現，Blindside手法可繞過多數EDR/XDR系統。他們並認為，下一代EDR平臺可能會擺脫對hooks的依賴。</p> <p><span style="color:#696969;">〔編按：Cymulate指出硬體斷點（Hardware breakpoints）包含8個除錯暫存器（debug registers），從DR0到DR7，這些暫存器在x86與x64上的長度分別為32位元與64位元，這些除錯暫存器控制並允許監控程序除錯的運作。〕</span></p> <h3><a href="https://research.checkpoint.com/2022/opwnai-ai-that-can-save-the-day-or-hack-it-away/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">不只ChatGPT有遭濫用風險，Check Point揭露結合Codex可導致攻擊門檻降低的情境</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Codex_圖片來源Check Point.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Codex_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Check%20Point.jpg" style="width: 280px; float: right;" /></a></p> <p>昨日Check Point研究人員公布一項威脅研究，可利用ChatGPT撰寫網路釣魚電子郵件，並產生基本的惡意VBA程式碼，不僅如此，攻擊者還可以利用Codex產生reverse Shall，而且若要檢查服務的可利用性，可再繼續利用Codex產生SQL注入弱點檢查的指令，產生連接埠掃描的腳本、沙箱偵測的腳本，以及查詢將Phthon轉換為執行檔等。</p> <p>研究人員認為，這樣的實驗也顯示新興技術影響之下，不只是帶來好處，也降低了攻擊者在網路釣魚與惡意軟體開發上的門檻，尤其是對於程度較低的攻擊者。</p> <h3><a href="https://sec.okta.com/articles/2022/12/okta-code-repositories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Okta說明程式原始碼遭竊，今年第三起資安事故</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Okta code Repositories_圖片來源Okta.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Okta%20code%20Repositories_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Okta.jpg" style="width: 280px; float: right;" /></a></p> <p>身分安全業者Okta在12月20日，發布有關程式碼儲存庫被駭的後續調查結果。該公司表示，他們是在12月初接獲GitHub通知Okta儲存庫有異常存取狀況，在調查結果中，顯示該存取複製了Okta程式碼儲存庫，也就是說Okta原始程式碼被竊。另外，他們也特別說明，Okta服務與客戶資料並未受到未經授權的存取，同時強調，Okta並不依賴其原始程式碼的機密性，來確保其服務的安全性。</p> <h3><a href="https://blog.group-ib.com/godfather-trojan"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">金融木馬「教父」近一年鎖定400家銀行與加密貨幣交易所用戶</span></strong></a></h3> <p>Group-IB研究人員在21日新揭露Android金融木馬「Godfather」的攻擊活動，從去年6月至今年10月，Group-IB偵測到該銀行木馬主要針對400多家國際金融公司，其中半數是銀行（215家），加密貨幣錢包（94個）與交易所（110個）也是目標，若以國別來看，當中美國公司有49家、土耳其31家，西班牙30家。</p> <p>特別的是，根據Group-IB的分析，這支金融木馬的運行架構，是透過放置在Google Play上的誘餌應用程式來散布，而且，它會檢查手機系統語言，如果是俄羅斯、白俄羅斯等，木馬程式將會關閉。另也指出其前身是Anubis金融木馬。</p> <h3><a href="https://www.theguardian.com/media/2022/dec/21/guardian-hit-by-serious-it-incident-believed-to-be-ransomware-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國衛報疑遭勒索軟體攻擊</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%9B%E5%A0%B1%E9%87%8D%E5%A4%A7IT%E4%BA%8B%E4%BB%B6%E7%96%91%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A%EF%BC%BF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E8%A1%9B%E5%A0%B1.jpg" style="width: 280px; float: right;" /></p> <p>英國衛報在21日表示他們疑似受到勒索軟體攻擊，公司網路與IT系統受到影響，員工在周二深夜被告知將居家上班。衛報執行官Anna Bateson與主編Katharine Viner表示，這次事件應是遭到勒索軟體。目前，該媒體的線上新聞發布並不受影響，同時也表示他們應會在週四恢復實體的印刷出版。</p> <h3><a href="https://securityaffairs.co/wordpress/139870/hacking/thyssenkrupp-targeted-cyberattack.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國鋼鐵工業ThyssenKrupp AG遭網路攻擊</span></strong></a></h3> <p>德國鋼鐵巨擘蒂森克虜伯（ThyssenKrupp AG）宣布，該公司總部與材料服務部門遭到網路攻擊，懷疑是有組織犯罪的攻擊者所為，目前尚未揭露這次攻擊事件的類型。根據SecurityWeek的報導，該公司發言人在電子郵件聲明中表示，內部IT安全團隊在早期階段發現該事件，目前沒有發現資料被盜或竄改的跡象。</p> <h3><a href="https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE5daTD"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Cyber Signals報告指出，需留意關鍵基礎架構風險上升的現況</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cyber%20Singal%203_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 240px; float: right;" /></p> <p>微軟在12月中旬發布第三期Cyber Signals報告，這次聚焦關鍵基礎設施風險，當中強調幾個重點，包括在2020到2022年間，以熱門供應商生產的工業控制設備而言，高風險漏洞的揭露較過往增加了78%；在其客戶OT網路中，微軟發現常見工業控制器未修補高風險漏洞的比例高達75％；關於2022年各國IoT感染惡意軟體的狀況，以中國38%最高，美國19%次之，臺灣5%排第五。另也提醒老舊Boa開源小型網頁伺服器至今仍有百萬臺曝險的問題。</p> <h3><a href="https://www.cna.com.tw/news/ahel/202212220117.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">當心即時通訊聊天截圖洩露OTP驗證碼，台灣大哥大表示接獲客戶通報有此狀況</span></strong></a></h3> <p>這兩年<a href="https://www.ithome.com.tw/news/142711">國內民眾被騙取網路服務用戶OTP驗證碼</a>的情形大增，以近期為例，<a href="https://www.facebook.com/JesseTang11/posts/666230091541689">唐綺陽因友人帳號被盜而受騙，OTP碼被騙走導致Line帳號被盜</a>，最近，更常冒出假藉截圖的手法。在12月22日，台灣大哥大對截圖騙取OTP的狀況示警，說明接獲客戶反映，有詐騙集團透過通訊軟體要求民眾提供聊天室截圖，趁機騙取在民眾手機上跳出、帶有OTP驗證碼的訊息內容。事實上，上月底<a href="https://news.ltn.com.tw/news/society/breakingnews/4134542">保三總隊也有這方面示警</a>，指出有人透過Telegramg通訊軟體騙取OTP碼的方式，是用各種藉口要民眾截圖給對方，或是互傳截圖等名義，趁機騙取OTP碼通知的畫面。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/12/20/cisa-releases-six-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA發布6項ICS安全公告，5項屬於高風險漏洞</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-22_172926_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90CISA.jpg" style="width: 280px; float: right;" /></p> <p>CISA在12月20日針對多家業者工業控制系統（ICS）發布安全通告，包括：台達自動化的4G路由器DX-3021，存在屬於命令注入弱點的CVE-2022-4616漏洞，Fuji Electrice的Tellus Lite V-Simulator軟體，存在CVE-2022-3087與CVE-2022-3085的漏洞，Prosys OPC的UA Simulation Server存在CVE-2022-2967漏洞，以及Rockwell Automation的GuardLogix產品存在CVE-2022-3157漏洞，以及MicroLogix產品存在CVE-2022-46670 、CVE-2022-3166漏洞，另外還有ARC Informatique的PcVue產品的一項中風險漏洞。CISA提醒，這些業者近期已經釋出新版修補這些漏洞，用戶應盡速安裝更新與緩解。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154800"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">集保公開「營運持續管理」落實與精進的經驗，強調外部支援單位磨合</span></span></strong></a></p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#2988"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟12月安全性更新造成Hyper-V VM啟動失敗，緊急釋出例外更新修復</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/predictions/2023"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">趨勢科技在12月中旬發布2023資安預測報告</span></span></strong></a></p> <p><a href="https://www.ice.gov/news/releases/hsi-federal-partners-issue-national-public-safety-alert-sextortion-schemes"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對兒童、青少年網路性勒索威脅，美政府發布國家公共安全警報</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/russians-hacked-jfk-airport-s-taxi-dispatch-system-for-profit/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">紐約JFK機場計程車排班系統遭俄駭客操控，兩涉嫌美國公民被捕</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154807"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">macOS出現可讓駭客躲過安全檢查的阿奇里斯漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154779"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub釋出免費憑證掃描工具、新增5類用戶強制啟用2FA</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/154819"><strong><strong><strong>【2022年12月21日】駭客利用新手法OWASSRF入侵Exchange、烏克蘭軍事情報系統遭駭客鎖定</strong></strong></strong></a></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154799">【2022年12月20日】 FBI威脅情資交換平臺用戶個資驚傳流入暗網、4至5年前修補的思科產品漏洞出現攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154780">【2022年12月19日】連網裝置成MCCrash殭屍網路病毒入侵的目標、駭客鎖定食品業者發動BEC攻擊</a></strong></strong></strong></p> </div></div></div>
2022/12/22 16:37作者羅正漢https://www.ithome.com.tw/news/154833
憂進一步制裁，華為傳關閉在俄羅斯的企業部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.scmp.com/tech/big-tech/article/3203995/huawei-disbands-enterprise-business-team-russia-further-pullback-amid-western-sanctions-local-media" target="_blank">《南華早報》報導</a>，在國際持續對俄羅斯發動制裁之際，華為也關閉該公司在俄羅斯的企業部門，以免美國的進一步制裁。</p> <p>報導指出，華為將在明年1月1日解散俄羅斯當地銷售儲存系統和電信設備的部門。大約2,000名當地員工被要求轉到獨立國協其他國家，或是接受資遣。但華為仍持續保留位於莫斯科的辦公室，以便局勢好轉時再回來。而華為位於莫斯科、聖彼得堡、以及另二座城市專注開發5G、電腦視覺及虛擬實境的研發中心則未受影響。</p> <p>報導指出，該公司此舉是為了避免以美國為首的西方國家發動進一步制裁。從2019年5月美國商務部將華為列入實體清單（Entity List）後，即無法採購出自美國或和美國有關的技術產品，包括晶片或Google Mobile Services或Android等軟體。據傳華為除了裁撤莫斯科的企業部門員工，從2023年起也將把俄國及白俄羅斯的業務和其他國協成員分開，一些俄國員工也已在9月調到哈薩克及烏茲別克。</p> <p>但美國對中國企業的制裁並未消褪。除了商務部外，<a href="https://www.ithome.com.tw/news/154447" target="_blank">11月美國聯邦通訊管理委員會（FCC）再以國安為由下令</a>，除了電信業者不能以國家補助採購華為產品外，現在起美國境內也不得進口和銷售包括華為、中興、海康威視等中國業者的電信產品和服務。</p> </div></div></div>
2022/12/22 11:06作者林妍溱https://www.ithome.com.tw/news/154823
Google Lens將以AI技術辨識難懂的醫師手寫文字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>醫師處方或診療紀錄往往很難看得懂，Google將開發AI模型來看懂醫師手寫的文字，以加速醫療紀錄的數位化。</p> <p>Google是在本周於印度舉行的大會上宣布此事。<a href="https://twitter.com/GoogleIndia/status/1604787175274713088" target="_blank">Google表示</a>該公司已著手一項複雜過程，將建立一套AI輔助模型來辨識醫師處方箋的手寫內容。除了幫助藥局或藥劑師更容易解讀醫師的手寫內容，也能協助醫護作業的數位化。</p> <p><a href="https://techcrunch.com/2022/12/18/google-can-now-decode-doctors-bad-handwriting/" target="_blank">Techcrunch報導</a>，Google已和藥師合作展開這項計畫。未來的成果將是Google Lens新功能之一，讓使用者可以Android手機拍攝處方箋或其他文字的照片後，由Google Lens的AI模型即時自動辨識文字，還能將醫囑內藥物資訊著重顯示。</p> <p>目前這項計畫還在原型階段，Google並未說明時程。</p> <p>此外，Google也計畫開發一套能涵蓋100多種印度方言語言和文字的統一模型。這項模型將用於何種產業或應用則不得而知，但可能也是用於醫療流程的數位化。</p> <p>紙本醫療紀錄數位化，或是語音辨識及轉錄是近年雲端業者重點之一。例如AWS可協助處理非結構化醫療紀錄的<a href="https://www.ithome.com.tw/news/127336" target="_blank">Comprehend Medical</a>、以及能自動萃取文字內容的<a href="https://www.ithome.com.tw/news/130978" target="_blank">Textract</a>。<a href="https://www.ithome.com.tw/news/143790" target="_blank">微軟去年以197億美元買下語音辨識及合成技術業者Nuance</a>，也計畫將其技術整合到Cloud+AI事業群。</p> </div></div></div>
2022/12/21 11:54作者林妍溱https://www.ithome.com.tw/news/154802
Meta、微軟、AWS等合組Overture Maps基金會，共推電子地圖互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linuxfoundation.org/press/linux-foundation-announces-overture-maps-foundation-to-build-interoperable-open-map-data" target="_blank">微軟、AWS、Meta、及荷蘭電子地圖公司Tomtom四家業者昨（15）日宣布</a>合組Overture Maps基金會，推動電子地圖資料的共享、互通與再利用，提升地圖服務的豐富性及正確性。外界相信這也是共同對抗Google之舉。</p> <p>Overture基金會的宗旨是建立簡單好用、可互通的開放地圖資料集，允許各會員廠商貢獻各自的資源和資料以打造這個地圖資料集，確保資料完整、正確及能隨時更新。這些地圖資料可在開放資料授權下開放成員使用及延伸，以便在這基礎上打造各自的服務。</p> <p>Overture Maps基金會是由這4家地圖服務業者所創，不過將代管於Linux基金會。除了AWS、Meta、微軟和TomTom，Overture Maps基金會也開放其他廠商加入，貢獻更多資料和訊號，協助改善地圖。</p> <p>Linux基金會指出，今日電子地圖的開發商面臨許多挑戰。從多個不同資料源蒐集和組織高品質、完整的新資料相當困難，成本也高。不同資料集經常以各自語彙和格式參照同一組資料，彼此難以合併，這使得地圖資訊容易出現訛誤和不一致。此外這些開放地圖資料也欠缺結構化，而難以在上面開發商業化服務和產品。</p> <p>Overtures Maps基金會會員貢獻的資料將能解決上述問題，並補強現有開放地理空間資料。Overture Maps專案計畫整合成員以電腦視覺和AI/ML技術建立的新地圖，以及現有公開地圖資料集，像是OpenStreetMaps和各市政府規劃局的資料，打造即時性的地圖記錄。其次，Overture將打造一個全面實體參照系統，將不同資料集的實體連結到同一個真實世界的實體，以簡化互通，這讓開放地圖資料將可支援實體參照系統，允許整併其他資料集，以開發更豐富的地圖應用。</p> <p>此外Overture將提供資料檢核的流程，以偵測地圖資料的錯誤、紊亂、缺失，確保資料可用於營運系統。最後，Overture將定義一組結構化的共同資料綱要（data schema），以提高地圖資料的易用性。</p> <p>Overture Maps基金會陣容明顯少了Google和蘋果，<a href="https://techcrunch.com/2022/12/15/meta-microsoft-aws-and-tomtom-launch-the-overture-maps-foundation-to-develop-interoperable-open-map-data/" target="_blank">媒體因此猜測</a>集結目的是為了對抗Android及iOS平臺上各據一方的地圖巨人。</p> <p><a href="https://www.ithome.com.tw/news/82408" target="_blank">微軟的地圖資產來自2013年以72億美元買下Nokia的HERE</a>，<a href="https://www.ithome.com.tw/news/141714" target="_blank">Amazon在2020年公布地圖和定位服務Amazon Location</a>。TomTom則是在美國禁止Google技術出口中國後，<a href="https://www.ithome.com.tw/news/135465" target="_blank">於2020年取代Google Maps獲得華為裝置採用</a>。</p> </div></div></div>
2022/12/16 11:35作者林妍溱https://www.ithome.com.tw/news/154753
【資安日報】2022年12月15日，SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在12月份的例行修補當中，SAP、VMware也針對旗下產品緩解重大漏洞，用戶應提高警覺並儘速安裝修補程式。其中，SAP本次修補了4項重大漏洞，值得留意的是，當中有兩項與他們採用的元件有關，一項是Business Client所採用的Chrome網頁瀏覽器元件，另一個則是SAP Commerce的Apache Commons Text元件。</p> <p>駭客在攻擊行動濫用驅動程式的情況也出現了新手法，在最近的一波攻擊行動中，駭客開始採用帶有微軟簽章的惡意驅動程式，以此發起勒索軟體攻擊，從而繞過資安系統偵測。微軟也證實有數名開發人員的帳號遭到濫用。</p> <p>針對醫療機構的勒索軟體攻擊升溫也引起美國政府的關注，繼11月美國衛生與公共服務部對於4種勒索軟體提出警告後，他們本月針對惡名昭彰的BlackCat和LockBit發布相關警告，並指出這2種勒索軟體的攻擊手法更難以防範。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-signed-malicious-windows-drivers-used-in-ransomware-attacks/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體攻擊濫用微軟簽章的驅動程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-code-signing-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-code-signing-overview.png" style="width: 300px; float: right;" /></a>本周資安業者Mandiant、SentinelOne、Sophos，不約而同揭露能夠新型態的惡意軟體攻擊行動，那就是能終止Windows系統特定程序的惡意驅動程式Poortry、Stonestop、Burntcigar，而這些驅動程式的共通點，就是它們擁有微軟硬體相容性計畫的簽章，研究人員發現至少有9個駭客組織製作此類惡意程式，用於攻擊電信業者、業務外包業者（BPO）、代管安全服務供應商（MSSP）、金融服務業者，並用於勒索軟體攻擊。</p> <p>研究人員認為，主要問題源自大部分資安系統信任微軟簽章的所有內容，特別是核心模式驅動程式的部分，而讓駭客有機可乘。對此，微軟獲報後也著手調查，有數名開發人員計畫的帳號被濫用於此起攻擊行動，他們將部分合作夥伴的帳號暫時停權來因應。</p> <h3><a href="https://www.scmagazine.com/analysis/ransomware/blackcat-lockbit-3-0-ransomware-target-healthcare-with-customizable-tactics-triple-extortion"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對醫療機構提出警告，勒索軟體BlackCat、LockBit攻擊行動升溫</span></strong></a></h3> <p>美國衛生與公共服務部（HHS）於12月12日發布資安通報，表示近期勒索軟體駭客鎖定醫療機構的情況日益惡化，繼11月針對Venus、Hive、Lorenz、Royal的攻擊行動提出警告後，他們也呼籲醫療機構要特別防範BlackCat和LockBit勒索軟體。與前述11月份發布警告的4個勒索軟體不同之處，此次HHS表示，BlackCat針對特定目標採用了專屬攻擊手段，LockBit則是對於受害組織採用3重勒索的策略，除了洩露資料，也將恐嚇訊息透過受害組織的印表機輸出，從而對受害單位施壓。</p> <h3><a href="https://www.theguardian.com/business/2022/dec/14/tpg-reveals-emails-of-15000-iinet-and-westnet-customers-exposed-in-hack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲電信業者TPG證實代管Exchange遭到攻擊，1.5萬客戶受到波及</span></strong></a></h3> <p>澳洲電信業者TPG於12月14日向當地證交所（ASX）通報，資安業者Mandiant發現，當地網際網路服務供應商iiNet、Westnet代管的Exchange服務，出現未經授權存取的遭駭狀況，估計1.5萬家企業用戶受到影響。TPG表示，初步調查的結果顯示，駭客主要目的是找尋用戶的加密貨幣與財務資料，他們也聯繫受影響的企業用戶，並通報政府部門。該公司表示攻擊者的存取管道已經切斷，此起事故並未波及行動網路與寬頻網路用戶。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/saps-december-2022-security-updates-patch-critical-vulnerabilities" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補4項CVSS風險等級近乎滿分重大漏洞</span></strong></a></h3> <p>12月13日，SAP總共修補了旗下產品14項漏洞，當中有4個為重大漏洞。其中最嚴重的是Business Client所採用的Chrome網頁瀏覽器元件漏洞，CVSS風險層級達到了滿分10分，修補範圍包含Google在107、108版修補的2個零時差漏洞。</p> <p>其次，則是CVSS風險評分9.9分的CVE-2022-41267、CVE-2022-41272，前者存在於圖像化資料分析平臺BusinessObjects，為跨網站請求偽造（SSRF）漏洞，後者則出現於NetWeaver，可被攻擊者用於未經授權的操作。該公司第4個修補的重大漏洞則是Text4Shell（CVE-2022-42889），此漏洞存在於SAP Commerce的Apache Commons Text元件。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-esxi-and-vrealize-security-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補ESXi和vRealize重大漏洞</span></strong></a></h3> <p>VMware於12月13日發布資安通告，當中提及虛擬化系統ESXi的重大漏洞CVE-2022-31705，以及混合雲管理平臺vRealize的CVE-2022-31702，兩個漏洞的CVSS風險層級為9.3分及9.8分。</p> <p>CVE-2022-31705存在於USB 2.0控制器元件，可讓取得虛擬機器（VM）管理者權限的攻擊者，藉由VMX處理程序執行任意程式碼，影響大部分版本的ESXi、Workstation、Fusion、Cloud Foundation，儘有Workstation 17與Fusion 13不受影響；CVE-2022-31705為命令注入漏洞，攻擊者可利用vRNI REST API注入命令，影響vRealize Network Insight 6.2至6.7版，6.8版不受影響。</p> <h3><a href="https://www.securityweek.com/adobe-patches-38-flaws-enterprise-software-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe修補38個漏洞，大部分與Experience Manager有關</span></strong></a></h3> <p>12月13日Adobe針對旗下產品發布修補程式，總共修補了38個漏洞，其中有33個位於數位內容管理解決方案Experience Manager（AEM），該公司指出，這些漏洞雖然為重要或中等風險等級，但是如果遭到利用，攻擊者就有可能執行任意程式碼或是繞過資安防護功能。除了AEM，該公司也修補客戶關係經營系統Campaign Classic（ACC）的提升權限漏洞，以及Illustrator記憶體資料外洩漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.reuters.com/technology/top-advisor-french-data-privacy-watchdog-advises-6-mln-euro-fine-against-apple-2022-12-12/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果違反GDPR，恐面臨法國600萬歐元罰款</span></strong></a></h3> <p>根據路透社的報導，法國隱私主管機關CNIL打算針對蘋果違反隱私法GDPR一事，祭出600萬歐元的罰款，相當於新臺幣2千萬元。之所以會有這個訴訟結果，源於去年當地科技社群France Digitale控告蘋果未經iOS14用戶明確同意而收集個資。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/aipl/202212090115.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全臺戶政資料外洩事件延燒，立委呼籲政府應儘速公布調查結果</span></span></strong></a></p> <p><a href="https://www.websiteplanet.com/blog/cornerstone-leak-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">信用卡交易業者曝露9百萬交易資料</span></span></strong></a></p> <p><a href="https://securelist.com/deathstalker-targets-legal-entities-with-new-janicab-variant/108131/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">律師事務所遭到惡意軟體Deathstalker鎖定</span></span></strong></a></p> <p><a href="https://techcrunch.com/2022/12/12/xnspy-stalkerware-iphone-android/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">間諜軟體Xnspy跟蹤數以千計的手機用戶</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-seized-domains-linked-to-48-ddos-for-hire-service-platforms/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國封鎖了48個提供DDoS攻擊服務的網域</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154710">【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> </div></div></div>
2022/12/15 15:11作者周峻佑https://www.ithome.com.tw/news/154727
Google Chrome M108穩定版支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼10月Canary版支援無密碼登入技術通行密鑰（Passkey），<a href="https://blog.chromium.org/2022/12/introducing-passkeys-in-chrome.html" target="_blank">Google上周宣布</a>Chrome穩定版M108也正式加入支援。</p> <p>通行密鑰是一組儲存在裝置中的獨立數位身分，是取代密碼的新選擇。在登入支援的網站或App時，通行密鑰結合裝置上的生物辨識特徵產生的安全程式碼和網站、App交換進行驗證即可完成，不必記憶密碼。</p> <p>通行密鑰另一好處是沒有外洩問題。每次產生的通行密鑰程式碼無法重覆使用，且由於它並非儲存在伺服器端，因而不用擔心伺服器被駭而外流。</p> <p>最新版Chrome M108穩定版包括Windows 11、macOS和Android版將會支援通行密鑰。在現有Android版本Chrome M108上，通行密鑰可透過Google密碼管理員同步，未來Android版本則可以使用其他支援的密碼管理員如1Password或Dashlane同步。</p> <p class="rtecenter"><img alt="" src="https://lh4.googleusercontent.com/B8WvaZF5QApI926gpV-sSemO8y3k3OKU1McZjtBZ7A_O2PlQ9tfozPEy5sk8tH5_2sblKwXo3HTPq9gD3oy6mfvyc_Ixx5jwQ-PsB4tOAfGt1zkJ9ywg1kbQdSP5uk1BXZlBVK7CzFaa6BV6WeoJJCa8Sthmv210Y8HKEdrZSovjwXwfvcs0eLYvFKI2PMY" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>從Chrome M108起，使用者也可以在Windows或macOS版Chrome上管理通行密鑰。</p> <p>Google說明，通行密鑰以產業標準WebAuthn為基礎打造，可運行在不同作業系統和瀏覽器上，可方便用於網站和App。在桌機上欲登入時，使用者也可選擇以附近Android或iOS等行動裝置的通行密鑰登入。</p> <p>Google小組說明，該公司和微軟、蘋果及W3C、FIDO聯盟多年來積極推動WebAuthn標準化，Chrome穩定版支援無密碼登入是一大里程碑，但還有一段路要走；iOS和Chrome OS版本的Chrome瀏覽器使用通行密鑰目前仍在努力中。</p> </div></div></div>
2022/12/13 11:18作者林妍溱https://www.ithome.com.tw/news/154677
【資安週報】2022年12月5日到12月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周資安新聞中，有多項漏洞消息受關注，包括三菱電機PLC多項漏洞等待業者修補中的消息，還有American Megatrends的一系列BMC韌體漏洞被揭露，多家主機板業者受影響。</p> <p>其他關注的漏洞修補消息，包括FreeBSD修補ping元件的記憶體緩衝區溢位漏洞CVE-2022-23093，Linux作業系統修補存在於snap-confine模組的高風險漏洞CVE-2022-3328，以及Intel修補資料中心管理主控臺（DCM）的漏洞。</p> <p>在威脅新態勢方面，有兩大焦點值得關注。國際間出現鎖定電信業者、業務流程外包公司，竊取SIM挾持攻擊所需權限的攻擊行動；有駭客手法是在釣魚郵件中，挾帶微軟筆記軟體OneNote的檔案（.ONE）來散布惡意軟體Formbook。在國際威脅焦點方面，近期揭露的重大事件有下列幾起，像是：美國軍火供應商遭到俄羅斯駭客TAG-53攻擊的情況，以及近期中國駭客Mustang Panda（又名APT41）假借歐盟名義發送釣魚郵件，在全球植入惡意軟體PlugX的情況。</p> <p>其他值得關注的趨勢，包括Google公布Android 13有更多新程式碼是用Rust開發，且Rust程式碼中目前發現的記憶體漏洞為零；12月5日「SEMI半導體資安風險評級服務」服務方案推出，非會員亦可訂閱，讓供應鏈資安強化有更容易進行的方式；Global Platform近期在臺推動一項物聯網安全SESIP標準，由於能高度與其他資安標準對應而受到看重。</p> <p>至於國內資安事件的消息，<a href="https://www.mohw.gov.tw/cp-16-72729-1.html">衛福部在7日回應</a>了桃園醫院資安事件的媒體報導，針對2019年的3起事件說明當時處理情形。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154560"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</span></strong></a></h3> <p>研究人員在9月底揭露Exchange重大漏洞ProxyNotShell，如今很可能變成駭客攻擊雲端業者代管的Exchange郵件伺服器管道！雲端服務業者Rackspace證實代管的Exchange本月2日因資安事故而中斷運作，有研究人員認為有可能是Exchange曝露上述漏洞而被鎖定。</p> <p>我們過往報導廠商用於簽章軟體的憑證遭到濫用，大多發生在電腦的惡意軟體，但如今也有手機惡意軟體盜用類似的簽章──三星、LG、聯發科等廠商用於簽章安卓ROM映像檔的憑證，傳出遭到濫用的情況。</p> <p>三菱電機的工控設備被發現多項弱點，存在於可程式化邏輯控制器（PLC），原因是帳密保護不足。情況嚴重使得美國CISA發出警告，而修補程式尚在製作當中。</p> <h3><a href="https://www.ithome.com.tw/news/154575"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月6日】American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</span></strong></a></h3> <p>又有基版管理控制器（BMC）出現重大漏洞，而使得被控管的伺服器曝露危險。但值得留意的是，這次被發現漏洞的BMC系統MegaRAC，被用於至少15個廠牌的伺服器上，導致這些漏洞的影響範圍變得相當廣泛。</p> <p>駭客鎖定電信業者與業務流程外包公司發動攻擊，竟是為了進行SIM卡挾持（SIM Swapping）攻擊做準備！資安業者CrowdStrike揭露駭客組織Scattered Spider的攻擊行動，這些事故的入侵手法不盡相同，但目的都是為了從電信公司偷取相關資料。</p> <p>我們之前報導針對Windows電腦的自帶驅動程式（BYOD）攻擊手法，如今類似的手段駭客也拿來攻擊Linux電腦！研究人員揭露駭客攜帶PRoot工具的攻擊行動，目的是將目標擴及多個版本的Linux。</p> <h3><a href="https://www.ithome.com.tw/news/154592"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</span></strong></a></h3> <p>有雲端服務業者代管的Exchange伺服器傳出含有ProxyNotShell而遭到攻擊，現在該業者揭露初步的調查結果，表示他們遭遇勒索軟體攻擊，但不影響代管Exchange伺服器以外的業務。</p> <p>美國針對中小企業與民眾提供的COVID-19救濟金，近期傳出該國政府發現中國駭客APT41參與盜取相關補助的攻擊行動。但這樣的情況並非首例──2020年<a href="https://www.ithome.com.tw/news/137769">奈及利亞詐騙集團Scattered Canary就企圖向該國州政府詐領失業補助</a>。</p> <p>FreeBSD開發團隊近日修補Ping元件的漏洞，並呼籲使用者應儘速修補，原因是該漏洞有可能讓攻擊者挾持整個FreeBSD作業系統。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154610"><strong><span style="color: rgb(0, 0, 0);">【12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</span></strong></a></strong></p> <p>殭屍網路病毒鎖定連網設備的漏洞發動攻擊頻傳，近期資安業者發現的殭屍網路病毒Zerobot也是如此，鎖定Zyxel、D-Link、TP-Link等廠牌的物聯網裝置而來，但除此之外，該惡意軟體也將Java框架Spring、資料庫管理系統phpMyAdmin納為目標。</p> <p>已鮮少用戶使用的IE瀏覽器近期也被駭客盯上，利用其零時差漏洞發動攻擊。值得留意的是，駭客是透過Office辦公室軟體呼叫此瀏覽器元件，即便使用者沒有使用IE也有可能會曝險。</p> <p>烏克蘭戰爭成為駭客用於釣魚攻擊的幌子可說是相當常見，中國駭客Mustang Panda也運用這樣的時事來散布惡意軟體，研究人員認為這起攻擊行動的手法與過往相當雷同，但駭客進行了細部調整企圖規避偵測。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154640"><strong><span style="color: rgb(0, 0, 0);">【12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</span></strong></a></strong></strong></p> <p>俄羅斯駭客針對歐美國防產業發動攻擊的情況又添一樁！威脅情報業者Recorded Future揭露美國軍火供應商Global Ordnance的釣魚網站攻擊行動，值得留意的是，英國、波蘭的武器供應商也可能受害。</p> <p>伊朗駭客利用合法的遠端管理工具Syncro來發動攻擊也值得留意，用戶難以從收到的郵件與附加檔案察覺有異，因為駭客寄信的電子郵件信箱看起來正常，使得收信人容易降低警覺，而照著信中的指示操作。</p> <p>攻擊者竄改合法的應用程式安裝程式來挾帶惡意軟體的手法，現在也有專門的封裝服務出現！研究人員揭露名為Zombinder的惡意軟體封裝平臺，駭客利用這種平臺來散布Windows與Android的惡意程式，已有數千個受害者。</p> </div></div></div>
2022/12/12 09:36作者羅正漢https://www.ithome.com.tw/news/154644
【AI技術再進化：聯合學習】混用聯合學習強化推薦，上億用戶人人專屬推薦清單全都不一樣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>貼圖是Line最成功的商業模式，推出10年來，光在臺灣的貼圖創作者高達65萬人，上架了8百多萬組貼圖，在日本更高，超過千萬組貼圖，但要從海量貼圖中，找出使用者想用的推薦清單，Line有一套利用使用者歷史紀錄訓練的推薦機器學習模型，可以針對不同使用族群提供統一的貼圖推薦清單。</p> <p>但是，Line的企圖不只如此，甚至想要更近一步貼近上億用戶每一個人各自的喜好，來提供推薦。Line技術長Tomohiro Ikebe指出，今年秋天，Line在貼圖推薦導入了一套新的機器學習訓練架構，「可以處理爆量特徵來建立模型，又能兼顧隱私和用戶便利性，就是聯合學習和差分隱私。」</p> <p>為了進一步了解用戶喜好，不只要參考購買記錄，甚至需了解用戶瀏覽貼出和發送貼圖的歷史，「但從隱私角度，得非常小心處理這類資料。」他說。</p> <p>透過聯合學習（Federated Learning）機制，可以用戶本地端App上完成模型訓練，並利用差分隱私（Differential Privacy）架構，將模型加上雜訊來避免從模型回推原始資料，再將沒有用戶資料的特徵模型，回傳到後端伺服器來更新整體推薦模型後，再分派新模型到用戶App上，利用本地端Log來產生更個人化的推薦順序。「這個方式可以在資料使用過程中，保護用戶隱私。」Tomohiro Ikebe強調。</p> <p>Line機器學習平臺部門產品經理菊地悠更透露，實測後發現，結合聯合學習來提供超級個人化的推薦，可以提高5.6%的貼圖下載率。</p> <p>機器學習訓練，可以可以分成三種模式，第一種最常見的ML模式是伺服器端機器學習，在伺服器端完成ML訓練和推論，例如推薦模型，先在伺服器端完成模型訓練，產生推薦清單，再將清單送到App端點提供給用戶，搜集在端點搜集經過同意的使用Log後，回傳到伺服器，展開再次的模型訓練。</p> <p>第二種則是裝置端推論模式。這個做法同樣在伺服器端進行模型訓練，但是將訓練好的模型派送到用戶端來，利用端點用戶資料來推論，好處是不用將用戶端資料回傳，但所有用戶都使用同樣的推論模型。</p> <p>第三模式則是新崛起的聯合學習模式。在這個模式下，採取分段訓練的方式，先在用戶端進行模型訓練，常見是隨機挑選部分用戶或特定裝置來參與模型訓練，並將各裝置上的本地端模型上傳到後端伺服器，然後才在後端整併所有的本地端模型，產生最後的整體模型，再將整體模型派送到用戶端。</p> <p>Line在今年秋天開始嘗試聯合學習，第一個導入聯合學習的應用就是貼圖訂閱帳號的推薦功能。貼圖訂閱帳號在臺灣就是貼圖超值方案，每月繳交小額費用，可以長期使用500萬組貼圖，不用一一購買不同的貼圖組。</p> <p>訂閱戶在對話框要選擇貼圖時，Line會提供貼圖推薦功能，一種是來自使用者自行下載的貼圖，還有一種推薦是來自系統自動產生的推薦清單，使用者只要輸入前幾個字，就會快速篩選出這幾個字所要挑選的貼圖，再列出來讓用戶挑選，送出到對話中。Line就是在系統產生的推薦貼圖功能導入了聯合學習。</p> <p>不過，不只用聯合學習，「推薦推圖運用了上述三種機器學習模式，分兩階段產生推薦。」Line機器學習平臺部門產品經理菊地悠表示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%5D%201107-%E5%B0%81%E9%9D%A23-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.jpg" style="width: 380px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Line在今年秋天開始嘗試聯合學習，第一個導入的聯合學習應用就是貼圖訂閱帳號的推薦功能開始嘗試，每一個人的推薦清單排序都不一樣，能夠根據用戶個人過去使用習慣和個人偏好來優化。</strong>圖片來源／Line</span></p> <p><span style="font-size:28px;"><strong>結合聯合學習，兩階段產生超級個人化推薦清單</strong></span></p> <p>第一階段是產生初始候選推薦清單，採取的就是伺服器端機器學習訓練模式，利用歷史紀錄，例如熱門購買紀錄、下載量，再依據不同使用者的特徵屬性來區分出上千個用戶群，對每一種使用者族群建立一個推薦模型，來產生這一群用戶共用的貼圖推薦名單，這就是第一階段在伺服器端產生的候選名單。大約是從1千萬組貼圖中，選出100組候選名單。</p> <p>接著進入第二階段個人化重新排序，這也是本地端聯合學習階段，這又分成兩個部分，推論和訓練。在本地端推論上，依據用戶特性，將這名用戶所屬小組的伺服器端推薦名單下載到App上，在用戶端進行本地端推薦模型的推論，輸入這名用戶的個人特徵向量和物件特徵向量（利用輸入關鍵字來產生），來進行推論，來重新排序所下載的候選貼圖推薦清單。</p> <p>用戶輸入想搜尋的貼圖關鍵字時，每輸入一個字，就會重新產生一個新的物件特徵向量，可以用來重新執行一次推論，產生新的推薦分數，作為重新排序之用。如此一來，就會產生一份更貼近這名用戶喜好的個人化推薦順序，將他可能更想用的貼圖，列在前面，來提高使用率。</p> <p>不只是本地端推論，Line也在本地端進行模型訓練，利用了用戶在裝置上的過去瀏覽紀錄和使用紀錄，在裝置端重新訓練出一個更貼近這名用戶偏好的本地端模型，並利用這個模型來進行本地端推薦分數的再計算，更進一步讓推薦清單，可以貼近這名用戶自己過去的使用習慣。最後再將這個模型回傳到伺服器端整併，完成聯合學習的訓練。</p> <p>不過，要在本地端實現聯合學習的模型訓練，得克服2大挑戰。</p> <p>第一是必須能支援不同類型裝置和環境各自的ML訓練環境，包括伺服器端和App端，其次是要能確保隱私，上傳資料不能帶有用戶個資，也要避免模型遭駭而外流原始資料，這正是Line在聯合學習模式再加上差分隱私演算法來回傳模型到後端伺服器的緣故。</p> <p>菊地悠表示， Line不只要在貼圖推薦使用聯合學習，未來也想導入其他服務，因此必須把聯合學習模式平臺化。</p> <p>負責打造Line聯合學習平臺（Line Federated Learning平臺，簡稱LFL平臺）的Line Plus工程團隊軟體工程師Hyukjae Jang更指出，本地端訓練的挑戰是，手機資源有限，任意訓練會占用資源而影響用戶體驗，因此，關鍵是要控制和管理多個FL模型的訓練。「不只提供通用功能，要建立一個平臺架構，才能支援不同類型的聯合學習。」</p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%5D%201107-%E5%B0%81%E9%9D%A23-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.jpg" style="width: 600px;" /></span></p> <p><span style="color:#696969;"><strong>Line機器學習平臺本地端架構可以細分為三個部分，一個通用模組，應用模組和ML函式庫。區分通用模組和應用模組的原因，是為了日後可以支援多種應用各自的聯合學習訓練需求。</strong><span style="font-size:14px;">（圖片來源／Line）</span></span></p> <p><strong style="font-size: 28px;">三地兩國30人團隊打造LFL平臺</strong></p> <p>Line動員了東京、福岡和韓國三地的開發團隊，共30多名工程師協同開發，打造出這個LFL平臺，包括了伺服器端和本地端的架構。</p> <p>在這個LFL平臺上，從伺服器端模型儲存庫的模型，可以用來產生第一階段的候選推薦清單，下載到本地端App上。再依據使用者輸入的字，進行推薦分數的推論，來重新排序推薦清單。若本地端裝置處於閒置狀態，則會由本地端事件調度機制來驅動本地端的模型訓練，來更新本地端的模型，作為後續本地端推論之用，也會將模型上傳到伺服器端，經過模型整併機制，來產生新版的模型，再下載到用戶端，作為新的第一階段候選推薦模型之用。</p> <p>這個LFL平臺還提供延伸功能，在伺服器端則提供了模型儲存庫、版本控制、AB測試功能等，在本地端則有一套用ONNX格式打造的通用ML框架，可支援 iOS和Android，另外本地端還提供了背景ML訓練機制和排程機制，以及結合差分隱私處理的上傳機制。</p> <p>在本地端的聯合學習機制上，還可以細分為三個部分，一個通用模組，應用模組和ML函式庫。通用模組負責本地端的模型管理，如版本控制，模型下載上傳，模型更新等。而應用模組則可以針對不同應用，設定不同的聯合學習模型和用戶Log資料庫。「未來可以支援多種應用各自的聯合學習訓練需求，這是區分通用模組和應用模組的關鍵理由。」Hyukjae Jang透露。</p> <p>另外，要在裝置端執行聯合學習，必須要考慮電力、儲存空間和裝置待機狀態。Hyukjae Jang表示，LFL有三個啟動聯合學習訓練的原則，包括電力全滿、儲存空間足夠，還要等使用者沒有使用裝置的時間。尤其要利用裝置閒置時間來訓練，必須要設計背景執行機制。</p> <p>Line利用可以跨iOS和Android的Onyx runtime打造了一個只有1.2MB 大小的Yuki聯合學習SDK，稱為YFL，也可以支援資料科學家將TensorFlow或Pytorch訓練的模型，轉換成YFL能支援的輕量模型。函式庫中也支援利用高斯分布來計算的差分隱私機制。並且只用CPU背景服務，而不需要GPU。</p> <p>另外，還有一個抽樣機制會隨機抽樣挑選部分人上傳，也會限制上傳次數，避免過度干擾使用者。在背景執行訓練時，排程機制也會盡量利用晚上睡覺時間完成訓練，然後刪除Log資料。</p> <p>Hyukjae Jang更透露，不只貼圖，未來希望可以導入到更多不同類型的服務，包括聊天、音樂、電話、支付、新聞和影音服務上。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"> </a></span></span><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/154632" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" style="width: 550px;" /></a></p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/news/154630
【資安日報】2022年12月9日，美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombi…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯駭客針對歐美國防產業發動攻擊的情況又添一樁！威脅情報業者Recorded Future揭露美國軍火供應商Global Ordnance的釣魚網站攻擊行動，值得留意的是，英國、波蘭的武器供應商也可能受害。</p> <p>伊朗駭客利用合法的遠端管理工具Syncro來發動攻擊也值得留意，用戶難以從收到的郵件與附加檔案察覺有異，因為駭客寄信的電子郵件信箱看起來正常，使得收信人容易降低警覺，而照著信中的指示操作。</p> <p>攻擊者竄改合法的應用程式安裝程式來挾帶惡意軟體的手法，現在也有專門的封裝服務出現！研究人員揭露名為Zombinder的惡意軟體封裝平臺，駭客利用這種平臺來散布Windows與Android的惡意程式，已有數千個受害者。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.recordedfuture.com/exposing-tag-53-credential-harvesting-infrastructure-for-russia-aligned-espionage-operations" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國軍火供應商遭到俄羅斯駭客TAG-53攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/exposing_tag_53_credential_harvesting_infrastructure_for_russia_aligned_espionage_operations_figure_4_aa075fc12f.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exposing_tag_53_credential_harvesting_infrastructure_for_russia_aligned_espionage_operations_figure_4_aa075fc12f.png" style="width: 300px; float: right;" /></a>威脅情報業者Recorded Future揭露俄羅斯駭客TAG-53的攻擊行動，駭客鎖定美國軍火供應商Global Ordnance進行網路釣魚，他們透過名稱相仿的網域，設置冒牌的微軟登入網頁，企圖騙取該公司員工的帳密。</p> <p>然而研究人員進一步調查發現，這些駭客總共設置了38個用於網釣的網域，其中有9個網域他們推測出駭客的攻擊目標，這些組織又以歐美航空及國防產業最多，但也有衛星通訊業者、非政府組織（NGO）受害，當中有2個網域可能是針對俄羅斯內政部。</p> <h3><a href="https://www.deepinstinct.com/blog/new-muddywater-threat-old-kitten-new-tricks" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列、埃及組織遭伊朗駭客MuddyWater鎖定，濫用遠端管理工具Syncro與檔案共享服務發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-muddywater-threat-campaign-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-muddywater-threat-campaign-overview.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct自今年10月發現伊朗駭客組織MuddyWater的攻擊行動，駭客針對以色列、埃及、伊朗、約旦、卡達、阿拉伯聯合大公國（UAE）等國家下手，使用遠端管理工具Syncro來掌控受害者的電腦。</p> <p>攻擊者寄送帶有HTML檔案的釣魚郵件，一旦收信人開啟附件檔案，該HTML檔案就會引導收信人從檔案共享服務OneDrive、Dropbox、OneHub下載Syncro安裝程式，使用者若是依照指示安裝，電腦將會成為駭客「列管」的對象，駭客將會部署後門程式並將其做為存取整個組織的管道。</p> <p>研究人員指出，由於駭客散布的釣魚郵件與附件沒有顯著的攻擊特徵，而不會被郵件安全系統攔截。使用者若是收到要求安裝軟體的信件，應先向IT部門進行確認，再依照指示操作。</p> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/trojanized-onenote-document-leads-to-formbook-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟OneNote筆記軟體檔案遭到濫用，被拿來散布惡意軟體Formbook</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/formbook-onenote-picture2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/formbook-onenote-picture2.png" style="width: 300px; float: right;" /></a>駭客利用Word、Excel檔案散布惡意軟體的情況相當常見，但現在也有其他Office應用程式遭到濫用。資安業者Trustwave揭露近期散布木馬程式Formbook的攻擊行動，駭客透過釣魚郵件挾帶微軟筆記軟體OneNote的檔案（.ONE），信件內容宣稱是確認收信人公司的報價回覆，並表示先前詢問的報價資料如附件。</p> <p>一旦收信人開啟附件檔案，就會看到「檢視文件」的按鈕，按下後會觸發Windows指令碼檔案（WSF）執行，進而在受害電腦植入Formbook。研究人員指出，駭客為了混淆視聽，將上述的WSF檔案的檔名加入由右至左書寫的Unicode字元U+202E，導致檔名倒過來顯示，如：將xcod.wsf變成fsw.docx。</p> <h3><a href="https://blog.morphisec.com/babuk-ransomware-variant-major-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">市值數十億美元的製造公司遭勒索軟體Babuk鎖定</span></strong></a></h3> <p>資安業者Morphisec揭露勒索軟體Babuk變種病毒的攻擊行動，駭客鎖定市值數十億的製造業者下手，該公司有上萬臺工作站電腦與伺服器主機，駭客先進行為期兩週的偵察行動，並入侵網域控制器，再設置群組原則物件（GPO）來大量部署惡意軟體。</p> <p>研究人員指出，這次攻擊行動出現的Babuk，與過往的版本最為顯著的差異在於，駭客結合了開源的規避偵測軟體，以及更為隱蔽的側載手法，使得上述製造業者部署的次世代防毒軟體、EDR系統並未將其識別為有害。</p> <h3><a href="https://www.threatfabric.com/blogs/zombinder-ermac-and-desktop-stealers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">暗網出現軟體封裝系統Zombinder，讓駭客在Android、Windows應用程式挾帶惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/zombinder.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zombinder.png" style="width: 300px; float: right;" /></a>駭客在發動惡意軟體攻擊的過程中，為了降低受害者警覺，很可能會改造應用程式的安裝檔案，從中偷渡惡意軟體，如今在網路犯罪圈也依此概念衍生出專門的軟體封裝平臺。</p> <p>資安業者ThreatFabric在調查安卓惡意軟體Ermac的攻擊行動時，意外在暗網發現名為Zombinder的惡意軟體封裝平臺，多個組織的駭客將其用於製造帶有Ermac、金融木馬Xenomorph的安卓應用程式安裝檔案（APK），以及帶有Laplas剪貼簿截取工具、竊密軟體Aurora與Erbium的Windows軟體安裝程式。研究人員粗估有數千名受害者不慎執行由Zombinder產生的「安裝程式」，其中，竊密軟體Erbium已成功從1,300名受害者偷取各式帳密。</p> <h3><a href="https://www.microsoft.com/en-us/security/blog/2022/12/06/dev-0139-launches-targeted-attacks-against-the-cryptocurrency-industry/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣投資人遭到鎖定，駭客透過Telegram群組散布惡意軟體</span></strong></a></h3> <p>微軟安全威脅情報團隊揭露DEV-0139駭客組織的加密貨幣詐騙攻擊，駭客看上加密貨幣投資公司利用Telegram群組提供VIP客戶服務，他們假冒是這類投資公司，邀請攻擊目標對他們與同行收取的手續費提供意見。一旦目標人士信以為真，他們就會收到惡意Excel檔案，並依照指示開啟巨集，此檔案將會下載帶有惡意程式的PNG圖檔，並解密惡意DLL檔案與後門程式，並在受害電腦部署。研究人員指出，駭客為引誘受害者啟用巨集，刻意為部分工作表加上密碼保護。</p> <h3><a href="https://www.ithome.com.tw/news/154605"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員關閉被用於DDoS攻擊的殭屍網路KmsdBot</span></strong></a></h3> <p>雲端服務業者Akamai的資安研究團隊於11月發現殭屍網路KmsdBot，該殭屍網路病毒專門透過SSH連線入侵採用弱密碼的裝置，目的是將其用於挖礦。但在調查的過程裡，研究人員調整了其中一個殭屍網路病毒的C2中繼站配置，結果因為指令有誤，導致所有受害裝置上的KmsdBot停擺。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/us-health-dept-warns-of-royal-ransomware-targeting-healthcare/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告醫療機構遭到勒索軟體Royal鎖定</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/commonspirit-health-ransomware-attack-exposed-data-of-623-000-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國大型醫療連鎖機構CommonSpirit Health證實遭勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154615"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">NPM提供更精細的權限管理，以強化套件生態安全</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154611"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SEMI推半導體資安風險評級服務，盼促進產業鏈提升資安量能</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154613"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">紅帽於RHEL作業系統整合開源雲端安全軟體架構Keylime</span></span></strong></a></p> <p><a href="https://www.securityweek.com/several-code-execution-vulnerabilities-patched-sophos-firewall"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Sophos修補防火牆任意程式碼執行漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154610">【2022年12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154592">【2022年12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154575">【2022年12月6日】 American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</a></strong></strong></strong></p> </div></div></div>
2022/12/9 16:30作者周峻佑https://www.ithome.com.tw/news/154640
Tor瀏覽器12.0原生支援Apple Silicon，開發團隊重啟Android版本更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高隱私安全Tor瀏覽器釋出了最新版本<a href="https://blog.torproject.org/new-release-tor-browser-120/">12.0</a>，由於Tor瀏覽器是以Firefox作為基礎開發，因此開發團隊數個月來一直在審查Firefox ESR 102中的功能，並且已將所有與Tor瀏覽器隱私和安全原則衝突的內容停用。這個版本增加多語言環境和Apple Silicon的支援，同時Android版本預設採用HTTPS-Only模式。</p> <p>Tor瀏覽器終於也開始原生支援Apple Silicon，官方提到，這是一件不容易的工作，而Tor瀏覽器與Firefox採用一樣的支援方法。是以通用二進位檔案提供安裝支援，也就是x86-64和ARM64的建置捆綁在一起，於安裝時會自動選擇正確的版本。</p> <p>Tor開發團隊重新拾起Android版本Tor瀏覽器，試圖再次開始定期更新，並且跟上Android版Firefox Fenix的發布周期。目前開發團隊的Android版計畫，是要將桌面版本的高優先功能，移植到Android上，而這項工作從HTTPS-Only模式開始，這將能夠讓Tor瀏覽器可抵抗SSL Stripping攻擊。</p> <p>Android版Tor瀏覽器的另一個重要更新，是會在可用的情況下，優先處理.onion站點，在用戶啟用該選項後，便會在網站有對應的.onion站點時，自動重新導向至.onion站點。</p> <p>過去非英文的桌面版Tor瀏覽器使用者，需要從下載頁面找到對應的語言版本，而且在安裝後要切換語言，也不是一件簡單的事，需要將新的語言套件添加到現有安裝中，或是重新下載一個Tor瀏覽器。</p> <p>現在桌面版Tor瀏覽器正式支援多語言環境，所有語言都包含在同一個套件中，但是要在單一下載中綑綁多語言，勢必增加Tor瀏覽器的檔案大小，而官方強調，他們找到了在其他部分節省容量的方法，因此Tor瀏覽器12跟11.5的檔案大小差距很小。</p> </div></div></div>
2022/12/9 14:48作者李建興https://www.ithome.com.tw/news/154637
【資安日報】2022年12月8日，殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路病毒鎖定連網設備的漏洞發動攻擊頻傳，近期資安業者發現的殭屍網路病毒Zerobot也是如此，鎖定Zyxel、D-Link、TP-Link等廠牌的物聯網裝置而來，但除此之外，該惡意軟體也將Java框架Spring、資料庫管理系統phpMyAdmin納為目標。</p> <p>已鮮少用戶使用的IE瀏覽器近期也被駭客盯上，利用其零時差漏洞發動攻擊。值得留意的是，駭客是透過Office辦公室軟體呼叫此瀏覽器元件，即便使用者沒有使用IE也有可能會曝險。</p> <p>烏克蘭戰爭成為駭客用於釣魚攻擊的幌子可說是相當常見，中國駭客Mustang Panda也運用這樣的時事來散布惡意軟體，研究人員認為這起攻擊行動的手法與過往相當雷同，但駭客進行了細部調整企圖規避偵測。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.fortinet.com/blog/threat-research/zerobot-new-go-based-botnet-campaign-targets-multiple-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5、Zyxel、D-Link設備遭殭屍網路Zerobot鎖定，利用21個漏洞入侵</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1670271774969.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1670271774969.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露從11月中旬出現的殭屍網路病毒Zerobot，該惡意程式以Go語言打造而成，能在x86、Arm、MIPS、PPC64、RISC64、S390x架構的電腦運作，攻擊者的目的是將受感染的設備用於DDoS攻擊。</p> <p>值得留意的是，駭客總共利用21個漏洞來植入殭屍網路病毒，其中17個有CVE編號。這些遭到鎖定的目標，包含了物聯網設備與應用系統，如：F5 BIG-IP系統（CVE-2022-01388）、Zyxel防火牆（CVE-2022-30525）、D-Link網路儲存設備（CVE-2020-25506）、資料庫管理系統phpMyAdmin（CVE-2018-12613），以及Java框架Spring（CVE-2022-22965，亦稱SpringShell）。</p> <h3><a href="https://blog.google/threat-analysis-group/internet-explorer-0-day-exploited-by-north-korean-actor-apt37/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網頁瀏覽器IE的零時差漏洞迄今仍是國家級駭客利用的對象</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/9JPcaepMtqjQxUs_max-1000x1000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9JPcaepMtqjQxUs_max-1000x1000.png" style="width: 300px; float: right;" /></a>微軟於今年6月終止支援IE瀏覽器，的相關服務，大多使用者也不再使用，但這款瀏覽器的零時差漏洞仍是駭客利用的對象。Google旗下的威脅分析小組（TAG）揭露北韓駭客APT37的攻擊行動，鎖定南韓政治人物、記者、人權運動人士、北韓流亡人士，以及當地民眾，於10月底散布惡意Word檔案，內容是針對梨泰院踩踏事故的處理情形。</p> <p>一旦使用者開啟此Word檔案，將會下載RTF範本，該範本又會存取遠端的HTML檔案，在這個過程裡，駭客利用IE的JavaScript引擎零時差漏洞CVE-2022-41128，於受害電腦植入Rokrat、Bluelight、Dolphin等惡意軟體。微軟獲報後，於11月8日提供修補程式。</p> <h3><a href="https://blogs.blackberry.com/en/2022/12/mustang-panda-uses-the-russian-ukrainian-war-to-attack-europe-and-asia-pacific-targets"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲、亞太地區遭到中國駭客Mustang Panda鎖定，假借歐盟對烏克蘭戰爭提出的建議名義，散布惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/mustang-panda-2-fig06.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mustang-panda-2-fig06.png" style="width: 300px; float: right;" /></a>BlackBerry旗下的威脅情報團隊揭露近期中國駭客Mustang Panda的攻擊行動，他們看到駭客鎖定越南、印度、巴基斯坦、肯亞、土耳其、義大利、巴西，假借歐盟的名義，透過釣魚郵件散布RAR壓縮檔，聲稱內容是對於俄羅斯近期的侵略烏克蘭行為，歐盟建議各國實行的政策指導原則文件。駭客的目標產業涵蓋礦業、教育、電信、財經、ISP、資安業者、網站代管公司。一旦收信人開啟RAR壓縮檔裡的Word檔案，該Word文件就會透過DLL側載的方式，於受害電腦植入惡意軟體PlugX。</p> <h3><a href="https://www.hrw.org/news/2022/12/05/iran-state-backed-hacking-activists-journalists-politicians"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT42鎖定政治人物、新聞記者下手，挾持其Google帳號</span></strong></a></h3> <p>人權觀察組織（HRW）指出伊朗政府資助的駭客組織APT42鎖定中東的人權鬥士、記者、學者、外交官、政治人物發動攻擊，至少有20人遭到鎖定，其中有3人的Google帳號遭到挾持，這些受害者的身分分別是美國報社記者、海灣地區的婦女權益捍衛者，以及國際難民組織顧問Nicholas Noe。</p> <p>駭客以會議為由，引誘上述對象於WhatsApp接收訊息，一旦這些人士照做，就會被引導到佯裝成Google、微軟、Yahoo!登入網頁的釣魚網站，駭客亦藉由這些網站發動對手中間人攻擊（AiTM）來突破雙因素驗證（2FA），至少有15人自今年9月15日至11月25日收到相同的WhatsApp訊息。HRW指控，Google對於用戶的帳號保護不足，使得駭客成功存取受害者的Google帳號後，得以透過Google Takeout匯出整個帳號的資料，但受害者仍渾然不知相關資料已遭外洩。</p> <h3><a href="https://www.welivesecurity.com/2022/12/07/fantasy-new-agrius-wiper-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列、南非、香港組織遭到資料破壞軟體Fantasy攻擊</span></strong></a></h3> <p>資安業者ESET揭露伊朗駭客Agrius自今年2月開始的攻擊行動，駭客先是鎖定以色列軟體開發業者下手，發動供應鏈攻擊，目標是該國人力資源、IT顧問公司，以及使用特定以色列軟體的鑽石產業，散布名為Fantasy的資料破壞程式（Wiper），以及名為Sandals的惡意程式啟動器，此啟動器不只能用於執行Fantasy，亦具備讓駭客於受害組織內部環境橫向移動的功能。研究人員亦發現南非鑽石產業的組織、香港珠寶商遭到攻擊。</p> <p>駭客一旦執行Fantasy，此資料破壞軟體藉由隨機資料覆寫受害電腦的檔案，並將檔案的時間變更為2037年再行刪除；為了消滅跡證，Fantasy還會刪除特定機碼與所有Windows事件記錄，最終將自己刪除。</p> <h3><a href="https://securelist.ru/novyj-troyanec-crywiper/106114/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯市長辦公室、法院遭資料破壞軟體CryWiper攻擊</span></strong></a></h3> <p>資安業者卡巴斯基揭露於今年秋季發現的CryWiper資料破壞軟體（Wiper），並指出駭客將其用於攻擊俄羅斯組織。根據當地的媒體報導，俄羅斯市長辦公室與法院已遭到此資料破壞軟體攻擊，駭客留下勒索訊息，要求受害者支付0.5個比特幣才能復原檔案，但實際上無法還原。</p> <p>駭客假借瀏覽器更新程式的名義來散布CryWiper，使用者一旦開啟，此資料破壞軟體便會建立工作排程，每5分鐘執行一次，但他們也看到休眠長達4天的情況。接著，CryWiper終止MySQL、SQL Server、Exchange，以及AD網頁伺服器的處理程序，並刪除磁碟區陰影複製（Volume Shadow Copy）備份，然後將電腦裡大部分檔案加密並留下勒索訊息。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/cloudsek-claims-it-was-hacked-by-another-cybersecurity-firm/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者CloudSEK遭駭，並懷疑監控暗網的網路安全公司是兇手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Threat actor selling allegedly stolen CloudSEK data.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Threat%20actor%20selling%20allegedly%20stolen%20CloudSEK%20data.png" style="width: 300px; float: right;" /></a>12月6日資安業者CloudSEK表示他們員工的Jira帳密遭竊，導致駭客入侵該公司的Confluence伺服器，但該名員工都是透過單一簽入（SSO）、電子郵件信箱帳號，以及多因素驗證（MFA）存取Jira，攻擊者疑似竊得cookie及連線階段（session）而成功入侵。3家客戶的公司名稱、訂單號碼（PO），以及CloudSEK產品的儀表板螢幕截圖遭到外洩，但客戶的資料、帳密、登入資訊沒有受到波及。CloudSEK懷疑，幕後主使者是一家惡名昭彰且涉及暗網監控的資安廠商。</p> <p>資安新聞網站Bleeping Computer指出，名為sedut的人士在數個駭客論壇兜售聲稱是CloudSEK的資料，內容包含該公司如何截取駭客論壇使用者帳密的方法，以及該公司的資料庫架構、訂單螢幕截圖等資料。</p> <h3><a href="https://www.mirrormedia.mg/story/20221206soc001/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">衛福部桃園醫院驚傳資訊系統遭駭客入侵</span></strong></a></h3> <p>衛生福利部桃園醫院12月7日傳出前年至去年發生嚴重資安事故的消息，根據鏡新聞的報導，該院所資訊系統於2020年8月疑遭中國駭客入侵，醫護及病患個資大量外洩，護理系統亦出現狀況──多名病人的化療點滴流速不明原因暴增，危及生命安全，而這一切事件的原因和醫院採用中國開發的系統有關。</p> <p>對此，桃園醫院、衛生福利部當天陸續發布公告說明。<a href="https://www.tygh.mohw.gov.tw/?aid=301&page_name=detail&iid=1114">桃園醫院證實於2020年9月遭到駭客入侵</a>，有12臺電腦主機遭駭，但並未出現全院個資外洩情事，而化療點滴流速的部分，則是因護理人員流速算錯所致，他們也立即察覺並處理，病人並未受傷；<a href="https://www.mohw.gov.tw/cp-16-72729-1.html">衛福部則是進一步表示</a>，桃園醫院在2020年9月、2021年2月、2021年5月遭到駭客入侵，但均無個資外洩的跡象。不過，對於採用中國系統的指控，桃園醫院與衛生福利部目前尚未提出說明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154595"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA公布已知利用漏洞清單滿一年，有近860個漏洞入列，近期新增5個古老漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154609"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">亞洲國際密碼學會議在臺登場，PQC標準化在即，NIST呼籲及早做好轉換因應</span></span></strong></a></p> <p><a href="https://blog.sucuri.net/2022/12/infected-wordpress-plugins-redirect-to-push-notification-scam.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress網站的外掛程式遭到感染，被用於推送詐騙訊息</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/antwerps-city-services-down-after-hackers-attack-digital-partner/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">比利時安特衛普市線上服務中斷，起因疑為勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154601"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果為iCloud加入全程加密等安全功能</span></span></strong></a></p> <p><a href="https://source.android.com/docs/security/bulletin/2022-12-01"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google修補安卓81個漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154592">【2022年12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154575">【2022年12月6日】 American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154560">【2022年12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</a></strong></strong></strong></p> </div></div></div>
2022/12/8 15:44作者周峻佑https://www.ithome.com.tw/news/154610
Java持續失寵，12月TIOBE Index排名被C++超越首度落至第4名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言排名<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index</a>在2022年末，公布12月最受歡迎的程式語言排名，前三名分別為Python、C和C++，而這也是Java首次落到第4名。</p> <p>TIOBE執行長Paul Jansen提到，下個月他們會揭曉2022年度最佳程式語言，目前有3個候選語言，為Python、C和C++。Python和C都多次獲獎，而C++卻僅在2003年獲得一次，不過他認為，C++的日益普及是建立在Java衰退之上。</p> <p>這次的TIOBE Index為2022年最後一次程式語言排名，比起去年，有不少程式語言的排名產生變動，像是記憶體安全語言Rust就達到20名，最高甚至達到18名，但是在前一年同期卻只有27名。</p> <p>Rust有這樣的進展不是沒有原因，不少大型企業認同Rust的記憶體安全特性，除了增加程式的安全性之外，還能夠有效降低安全程式的開發成本，因此紛紛擴大採用。微軟看上Rust的安全性，在2020年開始提供Rust版本的Windows Runtime（WinRT），Azure技術長更在推特上呼籲應該要以Rust代替C/C++開發，而<a href="https://www.ithome.com.tw/news/152183" target="_blank">Meta也將Rust視為內部開發的優先程式語言之一</a>。</p> <p><a href="https://www.ithome.com.tw/news/154539" target="_blank">近期Google發表了針對Android漏洞的調查結果</a>，發現近年Android的記憶體安全相關漏洞數量大量減少，Google提到，他們認為這與Rust程式碼比例上升有關。開發團隊從Android 12版本開始，使用Rust開發新功能，到了Android 13已經擁有150萬行的Rust程式碼，而記憶體漏洞年度總數，從2019年223個，下降到了2022年85個。除了商業專案，Rust也被Tor等開源安全專案使用，因此Rust後續發展看漲。</p> <p>Go程式語言的重要功能更新泛型，在2022年正式登場，這項受到眾開發者期待的功能，卻在發布之後面臨各種批評，有不少開發者認為Go泛型的實作方式，使得程式碼變慢，<a href="https://www.ithome.com.tw/news/150411" target="_blank">而Go泛型主要設計者Ian Lance Taylor則出面說明Go泛型的使用時機</a>，認為程式碼變慢顯示泛型使用錯誤。</p> <p>Go社群歷經熱鬧的2022上半年，而在8月釋出的Go 1.19版本則改進泛型功能，使程式碼效能可提升達20％。整體來說，Go從去年的19名有不少的名次前進，成長到了12名。</p> <p>在TIOBE排行中，還有一個有趣的現象，是Apple生態系開發語言Swift和Objective-C，Swift作為Objective-C後繼者，卻在這個排行中持續往下，從去年的10名掉到15名，而Objective-C卻從去年的29名，上升到了19名，前後世代的開發語言更迭發展值得關注。</p> </div></div></div>
2022/12/7 22:59作者李建興https://www.ithome.com.tw/news/154593
地緣政治緊張、勞力短缺、疫情影響，IDC預測2023臺灣10大ICT趨勢：數位主權、AI自動化應用、低軌衛星布局、中小…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球COVID-19疫情持續影響，全球地緣政治持續緊張，加上通膨問題影響之下，IDC認為全球大環境衝擊，牽動臺灣在2023年的ICT發展趨勢。IDC臺灣總經理江芳韻指出，受到疫情影響，除了供應鏈受衝擊，中國的防疫政策容忍程度也成為外界關注的焦點，加上國際地緣政治緊張，戰爭導致通澎問題，以及產業所面臨的缺工、缺專業人才等，均為企業關注的問題，明年主軸在於企業如何透過科技投資，最大程度抵減通膨、地緣政治、缺工缺人才的風險。</p> <p>在上述大環境的影響之下，IDC提出2023年臺灣的10大ICT趨勢預測，包括數位主權、自動化應用加速多模AI落地、網路安全加強軟體溯源、供應鏈重組、低軌衛星發展、多重元宇宙發展、數位雙生多元多階落地、中小企業及資服業者的雲端轉型、未來消費者成形、數位人口浪潮下支付變革帶動B2C發展。</p> <p><span style="color:#B22222;"><strong>國際政治緊張促使對數位主權、低軌衛星、網路安全的重視</strong></span></p> <p>數位主權方面，為IDC去年提出的數據主權概念延伸，由於國際上地緣政治緊張與對立，企業對主權的需求，不再只限於數據主權，擴大為數位主權，數位主權包括3個核心，數據主權、雲端主權及保證主權。其中數據主權涵蓋雲端平臺、工作負載、數據中心、基礎設施，強調自主管理與安全性。不只是國家政府強調數位主權，企業及個人也更重視自主管理能力的發展。</p> <p>地緣政治的緊張與對立，也加速各地對低軌衛星的發展，IDC認為俄烏戰爭催化各國對低軌衛星的布局，意識到衛星通訊的重要性，且今年5G R17納入NTN非地面網路，NTN可望成為未來6G的關鍵技術之一。消費端方面，iPhone開始支援衛星緊急通訊，Android陣營未來也可望加入支援衛星。IDC預期2027年全球2千大企業中，8成的企業會將低軌衛星視為偏遠或高風險地區的通訊網路補強方案。</p> <p>緊張的地緣關係，也促使全球供應鏈重組，為提高供應鏈的彈性、能見度，企業從過去長鏈加速朝短鏈、多鏈發展，帶動對區塊鏈、AI、雲端、數據整合的科技布局，預期2026年約7成5的供應鏈投資為跨平臺串聯的相關應用。</p> <p>另外，政治經濟的對立衝突，也反映在網路攻擊，政府或企業提高對網路安全風險重視，尤其為軟體漏洞風險的控制，對軟體溯源、建立SBOM軟體物料清單，成為強化對軟體供應鏈透明度的重點。IDC預估2024年將有55%組織對其客戶提供服務，也需簽署SBOM以協助客戶建立軟體安全溯源、確保供應鏈安全。</p> <p><span style="color:#B22222;"><strong>企業加速數位轉型發展，AI落地、數位雙生、上雲</strong></span></p> <p>由於產業面臨缺工，特別是缺少專業人才，IDC認為企業透過投資自動化減輕壓力，其中自動化技術包括AI的應用，特別是可處理文本、影像、音訊的多模態AI應用落地。目前多模態AI已被應用在智慧能源、晶片開發設計上，IDC更預期2023年缺少人才將使3成5的IT單位投資AI，在2026年將有4成的AI模型涵蓋多模態的數據演算。</p> <p>另外，元宇宙、數位雙生成為明年值得關注的ICT趨勢之一</p> <p>其中元宇宙方面，IDC資深研究經理蔡宜秀指出，目前元宇宙應用以遊戲娛樂、行銷展演為主，根據調查，47%的企業對元宇宙感興趣，與Web 3.0、元宇宙低層技術逐漸到位有關。未來元宇宙發展不會由單一的元宇宙獨大，而是存在多個元宇宙，並且在相關組織推動之下，多重元宇宙間的互動、串聯將是未來發展趨勢，未來元宇宙發展將朝大者恆大發展，元宇宙將如同channel，未來OMO整合不只是實體通路、網路，也將包括元宇宙。</p> <p>至於數位雙生（Digital Twin）， IDC認為數位雙生擴大落地，除了國防、航太、能源、政府等產業，也進入大型製造業、倉儲物流，甚至是產業供應鏈。過去，數位雙生投資被視為需要大量資金、技術投資，但隨著IoT、AI、5G等相關技成熟，以及國產數位雙方客製化，數位雙生逐漸可被應用在小規模的產品或服務上，加速其應用發展。未來將有更多元、不同產業、規模的企業導入。</p> <p>在疫情、勞力短缺、供應鏈、通膨等因素影響，不只大型企業推動數位轉型，中小也積極規畫數位轉型策略，在經費有限之下，透過雲端改善營運，增加營運彈性、競爭力，並改善客戶體驗。IDC預估2025年，全球將有3成的中小企業將一半的核心負載轉至雲端。不只是中小企業朝雲端轉型，資服務業者也加速雲端轉型，朝提供SaaS服務發展。</p> <p>對於消費市場，因地緣政治緊張、對立，導致通膨使得消費者可支配所得減少，消費者更在意產品服務的直覺、使用效率、易管理、成本效益，形塑新的消費型態或體驗，可望帶動語音購物平臺、訂閱制的消費電子產品等。而在支付方面，因疫情改變大眾的消費行為，IDC認為信用卡、行動支付、BNLP先買後付，這類無摩擦支付方式，相較於過去以現金支付，新的支付方式提供更簡易的付款體驗，並且留下數據紀錄，有利於企業發展數據即服務（Data as a Service）應用，像是透過數據分析，找出不同消費的潛在需求關聯性，能帶動B2C產業發展。</p> </div></div></div>
2022/12/6 19:37作者蘇文彬https://www.ithome.com.tw/news/154580
【資安日報】2022年12月5日，雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員在9月底揭露Exchange重大漏洞ProxyNotShell，如今很可能變成駭客攻擊雲端業者代管的Exchange郵件伺服器管道！雲端服務業者Rackspace證實代管的Exchange本月2日因資安事故而中斷運作，有研究人員認為有可能是Exchange曝露上述漏洞而被鎖定。</p> <p>我們過往報導廠商用於簽章軟體的憑證遭到濫用，大多發生在電腦的惡意軟體，但如今也有手機惡意軟體盜用類似的簽章──三星、LG、聯發科等廠商用於簽章安卓ROM映像檔的憑證，傳出遭到濫用的情況。</p> <p>三菱電機的工控設備被發現多項弱點，存在於可程式化邏輯控制器（PLC），原因是帳密保護不足。情況嚴重使得美國CISA發出警告，而修補程式尚在製作當中。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/technology/rackspace-ongoing-exchange-outage-caused-by-security-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace代管的數千臺Exchange伺服器中斷運作，起因疑為重大漏洞ProxyNotShell</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-info.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-info.jpg" style="width: 300px; float: right;" /></a>12月2日，雲端服務業者Rackspace傳出他們代管的Exchage伺服器環境出現問題，導致使用者在存取網頁郵件介面OWA、將郵件同步至收信軟體時會出現錯誤，或是一直要求使用者重新輸入密碼的現象。事隔1天，該公司證實是遭到網路攻擊，導致他們決定暫時切換代管的Exchange環境，並提供用戶臨時的Microsoft 365授權。</p> <p>而對於這起攻擊事件發生的原因，資安研究員Kevin Beaumont認為，很有可能是Rackspace所採用的Exchange系統較舊，存在重大漏洞ProxyNotShell而被盯上，駭客對其發動相關攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/samsung-lg-mediatek-certificates-compromised-to-sign-android-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星、LG、聯發科供安卓設備使用的憑證遭惡意程式濫用</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，Google旗下的安卓資安研究團隊發現，有OEM廠商用於對ROM映像檔進行簽章的憑證遭到濫用，駭客將其用於簽署惡意軟體，使得這些惡意程式也能存取高權限使用者android.uid.system，進而存取安卓裝置的系統權限。</p> <p>該新聞網站依據研究人員公布的資料進行調查，三星、LG、聯發科、Revoview等廠商的憑證簽署被用於上述惡意軟體，但仍有部分簽章無法識別其署名者的身分。這些濫用合法簽章的惡意程式包含了竊密軟體、HiddenAd木馬程式，以及惡意程式下載工具等。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-335a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體Cuba攻擊發布警告</span></strong></a></h3> <p>美國聯邦調查局（FBI）與網路安全及基礎設施安全局（CISA）於12月1日聯手，針對勒索軟體Cuba的攻擊行動發布資安通告，表示該駭客組織已危害全球逾百個組織，並勒索1.45億美元，其中至少得手6千萬美元。</p> <p>FBI與CISA指出，駭客入侵的管道，很可能利用Windows通用記錄檔案系統（CLFS）漏洞CVE-2022-24521，以及Netlogon漏洞CVE-2020-1472，或是外洩的帳密、遠端桌面協定（RDP）、網釣攻擊等，一旦成功進入目標組織的內部網路環境，就透過惡意程式載入工具Hancitor散布勒索軟體。</p> <h3><a href="https://blog.confiant.com/cashrewindo-how-to-age-domains-for-an-investment-scam-like-fine-scotch-a48d22788c84"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織CashRewindo濫用註冊多年的網域名稱架設詐騙網站，規避資安防護系統偵測</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_Q_y8WpyqwA8rbNd3UCIEew.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Q_y8WpyqwA8rbNd3UCIEew.png" style="width: 300px; float: right;" /></a>資安業者Confiant揭露駭客組織CashRewindo的攻擊行動，這些駭客在惡意廣告注入JavaScript指令碼，將瀏覽網站的使用者導向釣魚網站，或是對其電腦部署惡意軟體，攻擊目標遍及歐洲、北美、南美、亞洲，以及非洲，且使用攻擊目標熟悉的語言來降低戒心。</p> <p>有別於許多網釣攻擊，此次駭客使用的網域名稱至少已註冊2年以上，研究人員發現的487個網域名稱裡，最早註冊的一批是在2008年申請，直到今年才拿出來使用，許多資安系統可能因為其沒有不良信譽，將其視為無害而放行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.nozominetworks.com/blog/flaws-in-gx-works3-threaten-mitsubishi-electric-safety-plc-security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三菱電機PLC設備出現帳密保護不足的弱點</span></strong></a></h3> <p>資安業者Nozomi Networks揭露三菱電機可程式化邏輯控制器（PLC）的弱點CVE-2022-29831、CVE-2022-29832、CVE-2022-29833。這些弱點存在於其工作站電腦所使用的軟體GX Works3，此為Melsec iQ-R與iQ-F系列專用的控制系統。其中，CVE-2022-29831為寫死密碼弱點，CVE-2022-29832為透過明碼儲存記憶體的敏感資訊，CVE-2022-29833則為登入帳密的保護不足。</p> <p>研究人員表示，研究人員表示，攻擊者只要取得的GX Works3相關組態檔案，就有可能利用相關弱點，甚至串連上述3個弱點，進而取得指令（primitive），駭入該系統的安全CPU模組，擾亂工控環境的製造流程。美國網路安全暨基礎架構安全局（CISA）將這些弱點的CVSS風險層級列為9.1分，但目前沒有修補程式。</p> <h3><a href="https://blog.qualys.com/vulnerabilities-threat-research/2022/11/30/race-condition-in-snap-confines-must_mkdir_and_open_with_perms-cve-2022-3328"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux的Snapd競爭條件漏洞有可能與舊漏洞串連，讓攻擊者取得root權限</span></strong></a></h3> <p>資安業者Qualys揭露Linux高風險漏洞CVE-2022-3328，此漏洞存在於snap-confine模組，為Snap競爭條件（Race Condition）漏洞，一旦遭利用，有可能讓攻擊者得已提升本機權限，或執行任意程式碼。研究人員表示，攻擊者若是將其與另外兩個存在於Multipathd元件的身分驗證繞過漏洞「Leeloo Multipath」串連，就有可能取得目標主機的root權限。</p> <p>由於snap-confine是Ubuntu預設安裝的模組，所有採用該版本Linux作業系統的電腦都可能曝險，研究人員呼籲管理者應儘速安裝相關修補程式。</p> <h3><a href="https://www.rcesecurity.com/2022/11/from-zero-to-hero-part-1-bypassing-intel-dcms-authentication-cve-2022-33942/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel的資料中心管理主控臺存在身分驗證漏洞</span></strong></a></h3> <p>資安業者RCE Security揭露Intel資料中心管理主控臺（DCM）的漏洞CVE-2022-33942，CVSS風險層級為8.8分，一旦遭到利用，攻擊者可在沒有通過身分驗證的情況下，藉由欺騙Kerberos和LDAP的手法，繞過DCM的身分驗證流程而得到特殊權限。Intel獲報後發布DCM 5.0版予以修補，並破例頒發1萬美元給研究人員。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.semi.org/zh/products-services/semitwn-semiconductor-cybersecurity-service/assessment-fundamentum"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SEMI半導體資安風險評級服務正式上線</span></strong></a></h3> <p>12月5日，SEMI國際半導體產業協會宣布提供資安風險評級服務SEMI Semiconductor Cyber Security Risk Rating Service，是SEMI Taiwan半導體資安委員會發布晶圓設備資安標準SEMI E187之後，與台積電等半導體產業夥伴聯手推動的服務，以零信任為最高資安防禦指導原則，目的是在提供客觀的驗證方法，確保企業邁向智慧製造時，能夠讓網路防衛能力達到適當安全水平。此項服務是SEMI參考台積電的經驗，引進第三方風險評分和風險態勢的服務，並提供補救指南和修補結果的快速驗證。</p> <h3><a href="https://security.googleblog.com/2022/12/memory-safe-languages-in-android-13.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化記憶體安全，Android 13有更多元件改用Rust開發</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-30 11_13_29_android-11-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-30%2011_13_29_android-11-13.png" style="width: 300px; float: right;" /></a>Google自Android 12開始支援Rust程式語言，並在其開源專案AOSP推動Rust的使用，如今該公司指出，Android 13約有21%為新增的程式碼是以Rust開發，包含Keystore2、UWB堆疊、DNS-over-HTTP3、Android虛擬化框架等元件，總共約有150萬行程式碼。執行上述開發策略之後，Android作業系統漏洞大幅減少，例如，2019年存在223個漏洞，到了2022年下降至85個。再者，由於Linux 6.1開始支援Rust，採用此核心為基礎的Android作業系統，也能從核心驅動程式導入記憶體安全。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google為Chrome 108修補零時差漏洞</span></span></strong></a></p> <p><a href="https://scroll.in/latest/1038970/delhis-safdarjung-hospital-says-it-suffered-cyber-attack-in-november"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度再傳醫學中心遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/kmsdbot-part-two-crashing-a-botnet"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員關閉被用於DDoS攻擊的殭屍網路KmsdBot</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154510"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS推出可針對資安系統資料進行分析的資料湖服務</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154549"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Messages測試群組聊天全程加密功能</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/article/154533"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">千億國防產值，CMMC規範成唯一入場券</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154541">【2022年12月2日】 Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154518">【2022年12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154493">【2022年11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</a></strong></strong></strong></p> </div></div></div>
2022/12/5 16:55作者周峻佑https://www.ithome.com.tw/news/154560
Google Messages測試群組聊天全程加密功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/messages/answer/10262381" target="_blank">Google宣布</a>為其RCS （Rich Communication Service）訊息應用程式Messages<a href="https://www.blog.google/products/messages/happy-birthday-sms/" target="_blank">測試群組聊天的全程加密（End-to-End Encryption）</a>。</p> <p>透過支援全程加密，僅有收、發雙方能看見Google Messages訊息內容，連Google或電信商都看不到。Google Messages已在兩年前為1:1訊息加入全程加密，上周Google宣布，未來幾周將針對群組聊天功能，以開放測試方案提供給部分用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Google%20Messages-600-1.jpg" style="width: 457px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>除了全程加密，Google也為Messages加入網路即時通訊早就有的其他功能，除了現有影像訊息、同步打字指示（typing indicator）、聊天群組命名、在群組增加或移除聯絡人，以及Wi-Fi文字通訊，Google Messages現在又支援圖形化表情圖示。</p> <p><a href="https://www.ithome.com.tw/news/152430" target="_blank">Google並延續之前的#GetTheMessage行銷活動</a>，批評蘋果不支援RCS。Google表示，幾乎所有主要電信業者如AT&T、T-Mobile、Orange及製造商都已支援RCS，獨蘋果除外，這意謂著iPhones用戶仍然持續用著1990年水準的文字簡訊（SMS）和Android手機用戶傳訊息。</p> <p>由於蘋果不支援RCS，iPhone接獲Android手機傳來的訊息會以綠色顯示，藍、綠顏色的差異也強化了iPhone用戶自我認同感，而降低採用Android的興趣。</p> </div></div></div>
2022/12/5 09:09作者林妍溱https://www.ithome.com.tw/news/154549
Android記憶體安全漏洞數量大幅下降，Rust程式碼比例上升成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去十年，記憶體漏洞占整個產業漏洞的65％，但<a href="https://security.googleblog.com/2022/12/memory-safe-languages-in-android-13.html">Google</a>發現從2019年到2022年，Android的記憶體漏洞年度總數，從223個下降到了85個，而有這項安全性進展，Google歸因於Android的記憶體安全程式碼比例增加。</p> <p>Google過去持續投資工具提高C/C++程式碼的安全性，之前幾個版本，Google在Android裝置上引入Scudo強化分配器、HWASAN、GWP-ASAN以及KFENCE，同時增加現有程式碼庫模糊測試的覆蓋率，運用這些工具發現更多C/C++程式碼漏洞，並減少未來新程式碼所包含的漏洞。</p> <p>但即便Google在C/C++程式碼上做了這些努力，但他們認為這仍無法解釋Android漏洞巨幅減少的變化，而Google在審視開發策略後，認為Android從記憶體不安全語言持續轉移到記憶體安全語言，是這個現象的主要原因。</p> <p>從Android 12開始，Google就在Android支援Rust程式語言，作為C/C++記憶體安全替代方案，而從那時起，Google也持續擴展Android開源專案（AOSP）中的Rust體驗和使用。Google表示，他們的目標並不是把現有的C/C++程式碼都轉換成為Rust，而是在新的程式碼使用記憶體安全語言開發。</p> <p>在Android 13中，有約21％的新原生碼都是以Rust開發，在AOSP中已經有大約150萬行的Rust程式碼，涵蓋各種功能和元件，包括Keystore2、UWB堆疊、DNS-over-HTTP3、Android虛擬化框架等元件和開源相依項目。這些都是需要系統語言開發的低階元件，如果沒有Rust，Google就必須使用C++來實作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202022-11-30%2011_13_29%20PM.png" style="width: 580px; height: 316px;" /></p> <p>到目前為止，在Android的Rust程式碼中發現的記憶體漏洞為零，Google提到，這是一個重要發現，因為過去Android漏洞密度大於1/kLOC，也就是說，每一千行程式碼至少會發現一個漏洞，與歷史資料相比，Rust可能已經阻擋數百個漏洞進入產品環境。</p> <p>使用C/C++開發的功能不如預想中的運作迅速，Google提到，使用非記憶體安全語言，反而需要額外添加安全措施，而這些措施會讓程式執行的速度更慢。非記憶體安全的程式碼通常意味著開發者必須在安全性和效能之間權衡，像是添加沙盒、執行時緩解措施或是硬體保護等，都對程式碼的大小、記憶體和效能產生負面影響。</p> <p>Google提到，在Android中使用Rust，能以更少的妥協最佳化安全性和系統健康。像是使用新的UWB堆疊能夠節省數MB的記憶體，並以現存的程序中執行避免IPC延遲，又或是新的DNS-over-HTTP3實作，能夠以安全的方法，使用更少的執行緒處理相同的工作量。</p> <p>要從C/C++移植到Rust並不是一件簡單的事，Google持續增加Rust在Android平臺上的使用，為了實現更高的安全性和穩定性等目標，Google需要在更多原生碼中使用Rust，目前他們正在以Rust實作使用者空間HAL，並且已經將Android虛擬化框架中的虛擬機器韌體移植到Rust，也隨著Linux 6.1對Rust的支援，便能夠從核心驅動程式開始，對核心提供記憶體安全。</p> </div></div></div>
2022/12/2 21:26作者李建興https://www.ithome.com.tw/news/154539
5G趨勢月報第37期：數位部最快明年1月開放5G專網專用頻段申請；北市與電信業者合作試辦5G救護車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>19/26~11/29精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位發展部</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>數位部：明年1月將開放5G專網專用頻段申請</strong></span></p> <p>數位發展部（數位部）近期舉辦5G專網實證與創新成果發表活動，數位發展部次長李懷仁表示，臺灣在9月每位用戶行動寬頻傳輸量最高已接近35GB，是全球平均值2倍。5G將加值進入產業，今年是全球5G應用發展的關鍵。目前數位部正進行「行動寬頻專用電信網路設置使用管理辦法」法制化作業，未來管理辦法公布實施後，預估將在明年1月開放4.8GHz到4.9GHz專網申請。</p> <p>李懷仁表示，政府開放5G專頻專網將秉持3項原則，程序要簡化、成本要降低、要推更多應用，未來將整合各界意見之後，將和NCC討論，推動管理辦法法制作業。</p> <p>目前國內已有不少5G專網實證案，但主要以採用3.5GHz公頻的專網為主，另一部分則以實驗名義，以4.8GHz到4.9GHz頻段測試評估5G專頻專網,例如逢甲大學去年即宣布以4.8至4.9GHz的n79頻段建置5G專頻專網，打造實驗場域。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>天璣</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科發表天璣9200旗艦晶片，手機年底上市</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%91%E7%9A%84%E5%B0%88%E6%A1%880.jpg" style="width: 600px; height: 439px;" /></p> <p>聯發科擴大旗下天璣旗艦級晶片，發表天璣9200，相較於前一代的天璣9000，效能提升10到12%，預計今年底採用新晶片手機將上市。</p> <p>天璣9200採用台積電第二代4奈米製程，內含170億個電晶體，內部CPU架構採Armv9架構，8核心採1+3+4，包含1個Cortex-X3超大核、3個Cortex-A715中核、4個負責一般負載的Cortex-A510小核。</p> <p>聯發科指出，天璣9200在CPU單核、多核效能提升10至12%，搭配Immortalis-G715，GPU效能提升32%，強化在遊戲中的硬體光線追縱、渲染效果。天璣9200也採用第6代APU，提升35%的AI運算效能。無線通訊方面，支援5G的Sub-6GHz、毫米波頻段，以及Wi-Fi 7。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>急救</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>臺北市</b></span></font></p> <p><span style="font-size:22px;"><strong>臺北市消防局與遠傳合作試辦5G救護車，以遠端視訊指導急救處置提升救護效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%A0%E5%82%B3%E6%94%9C%E6%89%8B%E5%8C%97%E5%B8%82%E6%B6%88%E9%98%B2%E5%B1%80%E3%80%8C5G%E6%80%A5%E6%95%91%E9%86%AB%E7%99%82%E8%81%AF%E9%98%B2%E6%95%91%E8%AD%B7%E8%BB%8A%E3%80%8D%E4%B8%8A%E7%B7%9A0.jpg" style="width: 600px; height: 338px;" /></p> <p>緊急救護分秒必爭，傷患在救護車抵達醫院之前，如果能先接受妥善的急救處置，就能增加病患存活的可能性。遠傳電信近期與臺北市政府消防局合作，試辦5G救護車，利用5G即時傳送傷患畫面，車上急救人員透過視訊，在高級救護分隊指導下，針對危急個案緊急處置，提高救護的效率。</p> <p>目前遠傳與臺北市消防局中崙分隊試辦，讓車上的救護人員透過攝影機，清楚、同步傳送病患全身或身體局部畫面，和遠端的高級救護員視訊，獲得對緊急狀態的救護指示。相較於傳統以語音通話，讓醫師獲得更多資訊進行判斷，並縮短到院檢傷的時間，提高救護的效率。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>歐盟</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>低軌衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>歐盟擬以24億歐元打造自家低軌衛星網路IRIS</strong></span></p> <p>強化歐盟地區網路基礎建設，歐洲議會近期與歐盟會員國達成共識，2023至2027年間將以24億歐元經費，啟動歐盟安全連結計畫（Union Secure Connectivity Programme），將部署具彈性、互連、安全性的衛星基礎設施（Infrastructure for Resilience, Interconnectivity and Security by Satellite, IRIS），建立歐洲自己的通訊衛星星座。</p> <p>歐盟指出，歐盟地區的經濟、安全愈來愈仰賴於安全、具韌性的網路連結，對歐洲來說，發展主權、自主、安全連結的基礎架構相當重要。需確保不受限制存取網路，同時透過降低對第三方國家依賴強化歐盟價值鏈彈性，並整合歐洲的量子通訊技術進行安全加密。</p> <p>未來，IRIS將支援政府、軍隊、民間商業服務使用，以提升歐洲產業競爭力，尤其為衛星通訊產業。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>晶片</b></span></font></p> <p><span style="font-size:22px;"><strong>高通推旗艦平臺Snapdragon 8 Gen2，強化AI推論，首次搭載5G AI處理器</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snapdragon%208%20Gen%202%20%E5%B9%B3%E5%8F%B0-2.jpg" style="width: 600px; height: 368px;" /></p> <p>Android高階手機市場再掀新的競爭浪潮，繼聯發科推出旗艦手機晶片後，高通（Qualcomm）也不落人後，近期發表新一代Snapdragon 8 Gen 2旗艦級行動平臺，採用新的AI處理引擎Hexagon，強化AI的自然語言處理及AI拍照功能，並支援INT 4格式，AI效能和前一代相比，最高提升4.35倍。高通預計搭載該平臺的新手機將於今年底陸續上世。</p> <p>透過搭載認知影像處理器（Cognitive ISP），利用語義分割技術強化照片及影片，透過AI神經網路，相機感知環境例如臉部、面部特徵、衣服、天空，並進行個別的最佳化，經過影像調校獲得更多影像細節。</p> <p>另外，該平臺也採用Snapdragon X70 5G數據機，以及首次搭載5G AI處理器，透過AI優化5G上傳、下載速度、訊號覆蓋低延遲及功耗，支援5G雙卡。內建的FastConnect7800也提供Wi-Fi 7、雙藍牙功能。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Open RAN</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>6G</b></span></font></p> <p><span style="font-size:22px;"><strong>NTT DOCOMO與SK Telecom 將聯手共同研究元宇宙、5G Open RAN與6G</strong></span></p> <p>日本NTT DOCOMO與南韓SK Telecom共同宣布將在用戶服務、通訊基礎技術上進行合作，包括元宇宙、5G開放技術，以及下一代的6G網路。</p> <p>在元宇宙方面，雙方考慮共同製作虛擬內容，包括3D模型、具有立體感影片、虛擬城市，同時考慮串接各自平臺的可能性。至於電信基礎設施技術上，兩家公司展開5G商業服務合作，包括5G SA獨立組網、mmWave毫米波、節能網路，以及Open RAN、vRAN技術。</p> <p>雙方也將在下一代6G技術上展開合作，聯合研發及推動6G技術的標準化，調整雙方6G及早期部署時程，期望明年展開聯合測試，支援DOCOMO母公司NTT所提出IOWN（Innovative Optical and Wireless Network）網路概念。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Wi-Fi</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信與Aruba合作，推5G與Wi-Fi融合企業專網決方案</strong></span></p> <p>中華電信宣布與Aruba合作，推出融合5G與Wi-Fi兩者優勢的多元化企業專網方案，以滿足人與物同時存在場域的多樣性連網需求。中華電信強調該方案為，結合中華電信的5G智慧管+多接取邊緣運算技術與Aruba的Wi-Fi技術，雙網融合多元化企業專網方案。</p> <p>中華電信表示，過去企業專網建置採用Wi-Fi或5G其中一種技術，無法發揮兩種網路技術的優勢，5G與Wi-Fi融合的多元化企業專網方案，一方面為5G專網用戶擴增導入Wi-Fi，另方面可為企業Wi-Fi導入5G專網，或同時導入5G+Wi-Fi的企業專屬網路。在管理上提供跨領域互通、一致性白名單、頻寬等自主管理功能。</p> <p>該方案強調兼顧5G與Wi-Fi優勢，包括5G應用於安全性、穩定性，或廣闊場域的移動性物體，例如AGV、IoT裝置、無人機，但由於使用公共頻譜資源、建置成本較高；Wi-Fi則適用於無線連接、移動較慢，或對上傳頻寬需求較大的應用。採用5G專網的企業，針對移動性較慢的應用，可搭配Wi-Fi以降低成本，而採用Wi-Fi專網的企業，可搭配5G滿足安全性、穩定、大範圍移動的需求。</p> <p> </p> <p>圖片來源／高通、聯發科、遠傳電信</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.Nokia在臺展示5G專網4.8至4.9GHz天線，液冷式基頻方案</strong></p> <p><strong>2.中華電信擴大5G涵蓋至金門烏坵</strong></p> <p>資料來源：iThome整理，2022年11月</p> </div></div></div>
2022/12/2 12:04作者蘇文彬https://www.ithome.com.tw/news/154531
近兩年更多臺廠加入成為CVE編號管理者，涵蓋網通、IC設計、資安等類型廠商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安研究人員通報、揭露漏洞的消息不斷，設備或元件製造商為了展現對產品安全的重視，不只設立產品資安事件應變小組（PSIRT）統籌因應，近兩年來，加入MITRE CNA計畫、成為其合作夥伴，也成為不少企業看重的面向。</p> <p>基本上，資安界普遍熟知的CVE漏洞編號，是美國MITRE通用漏洞揭露計畫所提出的制度，在此當中，各CVE編號其實是由漏洞編號授權單位指派，也就是CVE numbering authority（CNA）計畫的成員，特別的是，在10月18日，CNA協調工作小組主席Tod Beardsley宣布，新推出<a href="https://www.cve.org/Media/News/item/podcast/2022/10/18/CNA-Mentoring-Program-Members-Helping">CNA指導計畫</a>，希望透過成員彼此互助，帶動更多業者加入。</p> <p>根據MITRE CNA成員列表所示，包含國家級的CERT組織在內，目前（至11月25日止）全球已有35國、259家機構組織及企業，參與這項計畫。而隨著今年10月這項指導計畫的推出，也意味著將有更多類型廠商、業者，能夠更容易提出加入成員的申請。</p> <p>而在臺灣，這兩年內有更多業者響應此計畫。不只網通設備大廠兆勤科技（Zyxel），後續又出現兩家業者，一家是IC設計大廠聯發科（MediaTek），另一家是資安業者如梭世代（ZUSO Generation），還有NAS業者華芸再次重新申請加入。</p> <h3><strong>可更快掌握產品資安問題，不只NAS業者，其他廠商也看重</strong></h3> <p>以臺灣業者加入MITRE CNA合作夥伴的狀況來看，早年，主要是NAS業者積極參與，例如，在2017年，群暉、威聯通、華芸申請加入為CNA合作夥伴，可指派自家產品的CVE漏洞編號。到了2018年，台灣電腦網路危機處理暨協調中心TWCERT/CC亦申請加入，目的是為了推動臺灣業者產品的安全，重視漏洞修補，並提供通報上的協助，而其權限涵蓋範圍較大，可負責所有臺灣資通訊產品的CVE漏洞審核，除非被通報的臺灣產品業者本身就是MITRE CNA合作夥伴。</p> <p>至於聞名全球的臺灣資安業者，如趨勢科技及旗下漏洞通報平臺ZDI，其實亦早已成為MITRE CNA合作夥伴，但兩者在所屬國家被歸類於日本，應是趨勢科技為日本上市公司的緣故。</p> <p>在2020年底時，臺灣僅有3家組織與企業，但這兩年又開始有更多業者申請參加，現在已有7家成為MITRE CNA合作夥伴。例如，去年我們<a href="https://www.ithome.com.tw/news/145914">報導</a>兆勤科技（Zyxel）加入MITRE CNA計畫，他們不僅是國內上市櫃公司加入的首例，該公司當時亦表示，他們觀察到更多國際大廠加入的趨勢。</p> <p>在此之後是IC晶片設計大廠聯發科，他們於2021年10月時<a href="https://corp.mediatek.tw/security-announcement/mediatek-becomes-first-company-in-taiwan-to-complete-authoritative-global-information-security-assessment-bsimm-company-joins-ranks-as-cna-member-demonstrating-a-dedication-to-product-security">發布加入</a>的消息、成為CVE編號管理者。根據該公司公開揭露的資訊，聯發科針對旗下各產品線均已設立專屬PSIRT團隊，加入MITRE CNA計畫的主要目的，是希望更迅速掌控安全性問題，更即時完成漏洞修補。</p> <p>他們還有哪些強化產品安全的作為？去年底該公司已聚焦產品安全開發流程，導入BSIMM評測機制，保護晶片設計相關軟體開發過程，同時也發布了漏洞獎勵計畫，借助外部研究人員找出未知漏洞問題。</p> <p>顯然，聯發科已展現積極正面看待安全事件處理的態度，並提及收到外部安全事件通報時，要落實五大步驟，包括：事件確認、修補、更新、公告與致謝。</p> <p>進一步檢視該公司官方網站，也可以看出成效。例如，在產品安全致謝<a href="https://corp.mediatek.com/product-security-acknowledgements">頁面</a>，或是產品安全公告頁面上，從去年1月至今，每月都有十幾到二十多個漏洞的修補，定期以公開透明方式揭露，而去年其CVE漏洞的指派CNA單位，主要為Android（associated with Google Inc. or Open Handset Alliance），到了2022年，我們可以發現，新指派的漏洞，已經是由聯發科自己審核發布。</p> <p>另一家加入MITRE CNA的業者，是資安公司如梭世代，今年5月時<a href="https://www.ithome.com.tw/pr/150841">發布加入</a>。較特別的是，不同於國家級CERT或廠商類型的CNA，該公司申請的是弱點研究小組（Vulnerability Researchers）的CNA，當發現各廠商產品或服務漏洞時，他們將可與廠商溝通弱點技術，並指派CVE編號。目前，全球有53個組織屬於研究小組的角色，如梭世代是臺灣首家申請的業者。</p> <p>過去該公司曾挖掘出35個CVE漏洞並通報，當中多數為國內業者的產品漏洞，我們從TWCERT/CC所建置的TVN漏洞公告平臺，即可看到有些漏洞的通報者是如梭世代，而CVE編號是由TWCERT/CC來指派。</p> <p>如今，在今年5月後，如梭世代加入CNA計畫成員，這意味著，本身具備指派CVE ID的能力。該公司表示，現階段已有挖掘出的新漏洞，只是仍處於不便公開階段，將會依循標準漏洞政策程序揭露，日後才會公開。</p> <p>至於華芸，我們在去年注意到該公司竟不在CNA成員名單之列。對此，該公司表示，他們在2017年就已加入，但因為在隔年沒注意到相關規範，而未定期更新與參與工作小組活動，而被MITRE取消資格。但隨著2021年NAS資安問題一再被突顯，促使該公司決定再次申請，並於9月底重新獲得資格，隔月正式對外<a href="https://www.asustor.com/zh-tw/news/news_detail?id=26954">宣布</a>。</p> <p>無論如何，臺灣有更多廠商能夠取得MITRE CNA的成員資格，別具意義，而我們也觀察到，在最近一個多月，全球成員增加達17個，以整體成員共259家來計算，數量增長幅度算是顯著。而隨著MITRE CNA指導計畫的發布，對於想加入的組織或業者而言，將是更為友善，因為他們設置一專門的Google表單供申請者填寫，對於既有CNA成員而言，可以申請成為指導者，提供CVE漏洞撰寫的經驗協助，對於想要加入的新成員而言，可望更容易聯繫到CNA協調工作小組，請求指導者能提供這方面的協助。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89MITRE%20CNA%20Partner_2022-11-29.jpg" style="width: 600px;" /></p> <p><strong>截至2022年11月29日止，成為MITRE通用漏洞揭露計畫的<a href="https://www.cve.org/PartnerInformation/ListofPartners">CVE Numbering Authority（CNA）合作夥伴</a>，全球共35國、259家機構與企業參與，其中，臺灣組織企業有7家，包括：群暉科技（Synology）、威聯通（QNAP）、台灣電腦網路危機暨協調中心（TWCERT/CC）、兆勤科技（Zyxel）、聯發科（MediaTek）、華芸（Asustor）與如梭世代（ZUSO Generation）。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-30_175622.jpg" style="width: 600px;" /></p> <p><strong>近期CNA協調工作小組（CNACWG）主席Tod Beardsley宣布，將推出成員彼此互助的<a href="https://www.cve.org/Media/News/item/podcast/2022/10/18/CNA-Mentoring-Program-Members-Helping">CNA指導計畫</a>，這也意味，如今他們也期盼有更多成員參與加入成為合作夥伴。</strong></p> </div></div></div>
2022/11/30 18:04作者羅正漢https://www.ithome.com.tw/news/154501
【資安日報】2022年11月29日，Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦UEFI韌體出現漏洞的情況相當值得留意，其中，有研究人員發現Dell、HP、聯想等多家廠牌使用的韌體裡，竟使用了大量舊版OpenSSL加密程式庫，其中最舊的是2009年推出的程式庫元件。研究人員指出，這樣的問題牽涉到採用第三方元件的軟體供應鏈生態，而難以修復。</p> <p>推特今年7月傳出540萬用戶資料流入駭客論壇的事故，原因是駭客利用該社群網站的漏洞發動攻擊得逞；但資安新聞網站Bleeping Computer指出，該漏洞造成資料外洩的情況遠比當時公布的嚴重許多，根據研究人員的最新發現，有人因此竊得約1,700萬筆資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.binarly.io/posts/OpenSSL_Usage_in_UEFI_Firmware_Exposes_Weakness_in_SBOMs/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Dell、HP、聯想等廠牌的個人電腦韌體使用老舊版本的OpenSSL程式庫，恐因相關漏洞而曝險</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-HP-Lenovo-Figure2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-HP-Lenovo-Figure2.png" style="width: 300px; float: right;" /></a>資安業者Binarly針對Dell、HP、聯想電腦的UEFI韌體，調查其使用的OpenSSL加密程式庫元件，結果發現，這3家廠商前後使用的OpenSSL版本多達22個，最舊的是2009年推出的0.9.8l，最新的則是今年3月推出的1.1.1n（編按：該分支最新版本為11月推出的1.1.1s）。其中，研究人員特別以聯想ThinkPad商用產品線為例，該產品線的電腦韌體就採用了3種老舊的OpenSSL版本：1.0.0a、0.9.8zb、1.0.2j，分別是2010年、2014年、2018年推出。</p> <p>Binarly認為，上述研究成果突顯了第三方程式碼供應鏈衍生的問題，引用這些程式碼的韌體開發商通常無法掌握相關的基礎程式碼，使得軟體供應鏈變得更加複雜。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/54-million-twitter-users-stolen-data-leaked-online-more-shared-privately/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">導致540萬筆用戶個資外洩的推特漏洞，災情可能比先前揭露時嚴重，因為有人將其用於收集上千萬筆個資</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/mastodon-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/mastodon-post.jpg" style="width: 300px; float: right;" /></a>今年7月<a href="https://www.ithome.com.tw/news/152367">推特傳出540萬筆（5,485,635筆）用戶資料流入駭客論壇求售</a>，該公司隨後證實起因是社群網站的漏洞遭到利用所致，但上述漏洞造成的災情，實際上可能更加嚴重。根據資安新聞網站Bleeping Computer的報導，駭客論壇Breached的經營者Pompompurin向他們透露，前述的資料已免費散布，但該名駭客表示後來取得140筆遭停權的推特帳號資料。</p> <p>此外，資安研究員Chad Loder先後於推特、Mastodon爆料，有人利用相同的漏洞從推特收集多達1,700萬筆資料，內容自2021年開始收集，光是美國與歐洲就有數百萬用戶受到影響。該新聞網站取得其中部分資料，當中有1,377,132個法國用戶的電話號碼，他們進行檢驗發現是有效資料，並指出這些個資並未在先前的外洩事件流出。</p> <h3><a href="https://www.itworldcanada.com/article/canadian-menswear-chain-harry-rosen-confirms-cyber-attack/515325"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大男裝業者Harry Rosen遭到網路攻擊</span></strong></a></h3> <p>勒索軟體BianLian聲稱攻陷加拿大男性服飾業者Harry Rosen，並取得該公司檔案伺服器的資料，涉及專案計畫、市場行銷、人力資源、公共關係等業務。資安業者Emsisoft指出，駭客公布1GB的樣本資料，內容是該公司Gold+級客戶名單、行銷資料等文件。Harry Rosen執行長Larry Rosen證實此事，表示他們在10月9日遭到網路攻擊，目前該公司的網路已復原，但不願證實這起事故是否為勒索軟體攻擊。</p> <h3><a href="https://cybernews.com/news/maple-leaf-foods-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大食品供應商Maple Leaf Foods證實遭勒索軟體攻擊，並表明不會支付贖金</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/basta-maple-leaf.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/basta-maple-leaf.png" style="width: 300px; float: right;" /></a>11月初加拿大食品供應商Maple Leaf Foods發生資安事故，導致營運受到衝擊，現在該公司坦承遭到勒索軟體攻擊，但不會向駭客低頭。根據資安新聞網站Cybernews的報導，勒索軟體Black Basta近日將該食品業者列為受害組織，並公布部分竊得檔案，內有標為機密的文件，該新聞網站研判包含了生產工廠與其他設施有關的資料。</p> <p>對此，<a href="https://www.itworldcanada.com/article/black-basta-ransomware-group-claims-it-hit-maple-leaf-foods/515358">Maple Leaf Foods向另一家媒體IT World Canada證實是勒索軟體攻擊</a>，並表明不會支付贖金，但對於攻擊者的身分，該公司不願透露。</p> <h3><a href="https://www.thepeterboroughexaminer.com/ts/news/gta/2022/11/23/osstf-victim-of-ransomware-attack-notifies-members-of-personal-data-compromised.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大教師公會OSSTF證實遭到勒索軟體攻擊，會員個資遭到外洩</span></strong></a></h3> <p>根據加拿大報社Peterborough Examiner的報導，當地安大略省高中教師公會OSSTF於5月25日至30日，遭到未經授權的第三方存取，並透過勒索軟體加密系統檔案，導致其成員的個資遭到外洩，像是社會安全碼、居住地址等。OSSTF表示尚未發現相關資料遭到濫用的跡象，但沒有說明受影響的人數。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-cincinnati-state-college/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國辛辛那堤州社區學院遭到勒索軟體Vice Society攻擊</span></strong></a></h3> <p>勒索軟體Vice Society聲稱攻擊了辛辛那堤州技術與社區學院（Cincinnati State Technical and Community College），並公布竊得的資料。根據駭客公布的資料，內容包含2022年11月24日的檔案，資安新聞網站Bleeping Computer指出，這很可能代表駭客能夠持續存取該校內部網路。</p> <p>對此，辛辛那堤州技術與社區學院於11月22日表示，他們修復了校園網路、電子郵件系統，以及部分的教室電腦；但語音信箱、網路列印、VPN，以及數項線上申請服務仍無法使用。</p> <h3><a href="https://www.ithome.com.tw/news/143850"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta因資料外洩遭愛爾蘭罰2.65億歐元</span></strong></a></h3> <p>針對日前Meta遭人利用「資料抓取」手法收集5億筆用戶個資，而可能違反GDPR的情況，愛爾蘭資料保護委員會（DPC）自2021年4月著手調查，最近結果出爐，他們於11月28日宣布，將處以2.65億歐元的行政罰款，相當於新臺幣86億元。這是DPC今年對Meta祭出的第3次處罰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/acer-fixes-uefi-bugs-that-can-be-used-to-disable-secure-boot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">宏碁擬修補能停用安全開機的UEFI漏洞</span></strong></a></h3> <p>宏碁於11月23日發布資安通告，指出旗下數款筆電的UEFI韌體漏洞CVE-2022-4020，攻擊者有可能藉由竄改NVRAM記憶體的參數，來更動UEFI韌體的安全開機設定，進而植入惡意軟體，並繞過防毒軟體與作業系統的防護機制，該公司旗下Aspire系列的A315-22、A115-21、A315-22G，以及Extensa產品線的EX215-21、EX215-21G，都存在上述漏洞，該公司著手製作修補程式。</p> <p>揭露該漏洞的資安業者ESET表示，這項漏洞與DXE驅動程式的HQSwSmiDxe模組有關，由於此模組會檢查NVRAM的BootOrderSecureBootDisable參數，一旦該參數存在內容，DXE將會停用安全開機。</p> <h3><a href="https://yoroi.company/research/cve-advisory-partial-disclosure-cisco-ise-multiple-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補身分驗證系統ISE的命令注入漏洞</span></strong></a></h3> <p>11月16日思科修補身分驗證系統ISE的4個漏洞，這些漏洞的共通點，是攻擊者必須取得有效的ISE使用者權限才能利用。其中嚴重程度最高的漏洞是CVE-2022-20964，存在於ISE的網頁管理介面，攻擊者取得相關權限後，可存取tcpdump模組觸發漏洞，進而發動命令注入攻擊，此漏洞的CVSS風險層級為6.3分。資安業者Yoroi指出，假如駭客將CVE-2022-20964與10月份修補的CVE-2022-20959串連，攻擊者能輕易遠端取得ISE的root shell。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/malicious-android-app-found-powering-account-creation-service/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">販售帳號的網站經營者散布惡意App，挾持受害手機來產生帳號</span></span></strong></a></p> <p><a href="https://blog.sucuri.net/2022/11/new-wave-of-socgholish-cid27x-injections.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體SocGholish攻擊WordPress網站</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154451">【2022年11月28日】 Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154431">【2022年11月25日】閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式散布挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154404">【2022年11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</a></strong></strong></strong></p> </div></div></div>
2022/11/29 18:52作者周峻佑https://www.ithome.com.tw/news/154485
整合開發環境Qt Creator 9加入實驗性測試框架Squish
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌程式開發工具Qt釋出最新整合開發環境<a href="https://www.qt.io/blog/qt-creator-9-released">Qt Creator 9</a>，這個版本有許多更新，從編輯器、C++語言和Docker功能都有更新，但特別的是，這個版本加入了一個稱為Squish的自動化GUI測試框架，供用戶在發布程式之前，能夠以Squish先進行除錯和測試。</p> <p>Squish讓開發者可以使用GUI和命令列工具，對程式進行自動化測試，以了解程式是否存在臭蟲，用戶可以直接啟動Squish測試套件，創建並且錄製測試用例，接著由Squish執行程式和伺服器執行測試，並且查看Squish的輸出結果。用戶可以在執行測試之前設置中斷點，在特定位置停下程式以檢查變數，執行像是類似除錯測試的動作。</p> <p>Squish可以在Linux、macOS、Windows和Unix上運作，官方提到，每個平臺上的Squish功能都擁有獨特的外觀，對話框和工作表中按鈕順序都不同，因此應用程式的外觀可能會因為使用的主題相異，但這並不會影響Squish的功能，每一個平臺的介面都可以找到相對應的功能。</p> <p>Squish功能外觀相異不會影響Squish跨平臺測試結果，因為Squish是透過屬性來辨識GUI物件，這代表當Squish測試特定平臺的應用程式，可以完全不需要變更，直接用於測試同一應用程式在另一平臺的版本，即便對話按鈕在兩個平臺的順序不同。</p> <p>Squish能夠用於測試廣泛的應用程式，像是Android、iOS、Java、Qt和Windows等，還有在諸如Safari、Firefox和Chrome等不同瀏覽器上，所執行以HTML為基礎的網頁應用程式。</p> <p>在C++功能上，開發者現在可以在整個會話中使用單個Clangd實例，而非在每個專案啟用個別實例，同時Qt Creator也更換了配置和建置預設支援，Qt Creator現在預設使用CMake 3版本。</p> <p>Qt Creator 9能夠更好地支援Docker，在程式碼庫中支援遠端開發工作，在遠端檔案和目錄新增檔案瀏覽器，而且也改進自動偵測提供更好的引導精靈功能。除了Docker裝置，用戶現在還可以設定遠端Linux裝置為套件建置裝置。</p> <p>Qt Creator 9在編輯器上也有許多調整，包括增加文件縮排視覺化的選項，現在每個縮排層級都會被標上一條垂直線，用戶可以在配置中調整線的間距。同時官方還修正之前用戶選取大段落時，所出現的效能問題。</p> <p>由於新版Qt Creator增加了深色主題支援，因此當用戶將Qt Creator切換成深色主題時，Qt和Qt Creator文件也會以深色樣式顯示，但用戶所註冊的文件則不會有任何外觀調整。</p> </div></div></div>
2022/11/29 10:00作者李建興https://www.ithome.com.tw/news/154453
【資安日報】2022年11月25日，閰羅王勒索軟體背後的駭客是俄羅斯人、駭客假借提供微星Afterburner公用程式…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年前資安業者賽門鐵克發現名為閰羅王（Yanluowang）的勒索軟體，並推測駭客很可能是中國人，然而，在該組織出現資料外洩之後，有資安業者分析其對話內容，發現該組織都使用俄文溝通，而非中文。而該組織是繼Conti之後，近期第2個內部資料遭人公開的勒索軟體駭客組織。</p> <p>遊戲玩家遭到鎖定的情況也相當值得留意，其中又假借提供微星Afterburner系統效能調整工具的攻擊行動引起資安業者關注。這些駭客看上玩家很可能會使用效能較佳的顯示卡，而以上述名義來散布挖礦軟體。</p> <p>近期俄羅斯駭客Killnet對歐美國家發動DDoS攻擊的情況不時傳出，我們昨天報導了歐洲議會因宣布俄羅斯犯下戰爭罪而遭到攻擊，英國威廉王子的網站也遭到這些駭客癱瘓，原因是該國提供烏克蘭武器。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.trellix.com/en-gb/about/newsroom/stories/research/yanluowang-ransomware-leaks-analysis.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">閰羅王勒索軟體背後的駭客組織是俄羅斯人</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/yanluowang-ransomware-leaks-analysis-3-big.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/yanluowang-ransomware-leaks-analysis-3-big.png" style="width: 300px; float: right;" /></a>勒索軟體組織「閰羅王（Yanluowang）」因其組織名稱出自中國神話人物，研究人員發現時推測背後的駭客可能來自中國，但這樣的論點現在將被推翻。資安業者Trellix指出，近期有人將該組織的對話內容透過推特外流，他們取得相關資料進行分析後發現，駭客溝通的過程裡大量使用俄文，閰羅王這個名字是用來混淆視聽。</p> <p>研究人員也從中得知該組織的分工情況，其中疑似有俄羅斯軍方人士參與，再者，這些駭客曾於多個惡名昭彰的勒索軟體駭客組織合作，這些組織包含了Conti、LockBit、HelloKitty、Bubak。</p> <h3><a href="https://blog.cyble.com/2022/11/23/fake-msi-afterburner-sites-delivering-coin-miner/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電腦遊戲玩家遭到鎖定，駭客假借提供微星Afterburner公用程式散布挖礦軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Phishing-page-downloading-malicious-MSI-Afterburner-installer.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Phishing-page-downloading-malicious-MSI-Afterburner-installer.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露針對電腦遊戲玩家的挖礦攻擊行動，駭客看上這些使用者會採用性能監控工具，以提供微星公用程式Afterburner的名義架設釣魚網站，目的是利用遊戲玩家的電腦進行挖礦。研究人員指出，駭客竄改了微星的MSI安裝檔案，在裡面加入了檔案名稱為browser_assistant.exe的XMR Miner挖礦程式，一旦使用者依照指示執行安裝程式，電腦在安裝Afterburner的過程中，也會一併被植入上述的挖礦軟體，駭客將其注入到檔案總管的處理程序執行。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/backdoored-chrome-extension-installed-by-200-000-roblox-players/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意瀏覽器擴充套件SearchBlox針對Roblox玩家而來，20萬用戶上當</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/searchblox-results.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/searchblox-results.jpeg" style="width: 300px; float: right;" /></a>資安新聞網站Bleeping Computer指出，有人製作了兩款名為SearchBlox的Chrome擴充套件，號稱能讓Roblox玩家快速搜尋伺服器上的其他玩家，但經過他們的調查，這些套件都含有後門程式，一旦玩家安裝，Roblox帳號就面臨可能遭竊的風險。該新聞網站指出，上述套件已有逾20萬次下載，然而這不是首次鎖定Roblox玩家的惡意擴充套件攻擊──Google曾於6月28日下架另一個同名的擴充套件。</p> <h3><a href="https://www.welivesecurity.com/2022/11/23/bahamut-cybermercenary-group-targets-android-users-fake-vpn-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓版OpenVPN、SoftVPN應用程式遭到竄改，被用於散布間諜軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SecureVPN-Figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SecureVPN-Figure1.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織Bahamut的攻擊行動，該組織鎖定安卓手機的用戶，提供名為SecureVPN的冒牌VPN應用程式來散布間諜軟體，研究人員發現8種版本的惡意軟體，其共通點是從SoftVPN或OpenVPN改造而成，受害者安裝上述的「SecureVPN」App後，駭客就能監控他們手機的敏感資料，包含了聯絡人、簡訊、通話記錄、手機定位，此外間諜程式也能監控多種即時通訊軟體，如：WhatsApp、Telegram、Facebook Messenger、Signal、Viber等。</p> <h3><a href="https://www.express.co.uk/news/uk/1699778/Killnet-hackers-Russia-war-UK-websites-Royal-Family-latest-update"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威廉王子網站傳出遭駭客組織Killnet攻擊</span></strong></a></h3> <p>根據英國新聞網站Express的報導，俄羅斯駭客組織Killnet聲稱發動了DDoS攻擊，癱瘓了威廉王子（Prince William）的網站，理由是英國支援烏克蘭，並向該國提供了高準確度的導彈。Killnet揚言將對英國所有的政府單位、醫療機構、線上服務的網站出手，下一步打算攻擊的目標是倫敦證券交易所、英國陸軍，以及銀行自動結算系統（BACS）的網站。</p> <p>威廉王子網站已透過雲端服務業者Cloudflare的服務逐漸恢復運作，肯辛頓宮（Kensington Palace）、Cloudflare皆並未對此事做出說明。</p> <h3><a href="https://therecord.media/belarusian-hacktivists-claim-to-breach-russias-internet-regulator/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯網路監管機關傳出遭到白俄羅斯駭客入侵</span></strong></a></h3> <p>白俄羅斯駭客組織Cyber Partisans於11月18日，聲稱攻陷俄羅斯網路監管機關Roskomnadzor的系統，竊取數千份內部文件，並將相關電腦系統的檔案加密。這些駭客表示，上述資料是過去的20年裡，公開反對普丁政權人士的監控資料，他們將著手分析，並交給記者進一步追蹤。</p> <p>上述俄羅斯機構旗下的通用無線電頻道中心（GRFC）證實Roskomnadzor遭到網路攻擊，但駭客沒有存取敏感資料，也沒有檔案遭到加密的情況。對此，駭客表示取得Roskomnadzor員工的護照與醫療記錄、內部電子郵件、專案工作進度回報資料，這些專案包含機器人農場，以及在網路上監控部落客與記者的資料。</p> <h3><a href="https://therecord.media/personal-data-of-nearly-4000-people-leaked-in-hack-of-radio-free-asia/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">自由亞洲電臺傳出資料外洩，近4千人受影響</span></strong></a></h3> <p>美國政府資助的新聞媒體自由亞洲電臺（Radio Free Asia）近日向政府通報一起資料外洩事故，他們在6月28日發現於同月17日遭到入侵，初步調查確定有3,779人的個資可能因這起事故受到影響，這些外洩的資料包含了駕照號碼、健康保險資料、醫療記錄、居住地址，以及「有限的」財務資料。該新聞媒體表示，駭客未經授權存取的管道，是透過外部服務供應商的漏洞而得逞。不過，上述資料目前尚未出現遭到濫用的跡象。</p> <h3><a href="https://indianexpress.com/article/cities/delhi/aiims-ransomware-attack-services-hit-8285901/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度資訊中心的伺服器遭到勒索軟體攻擊，影響醫學研究機構AIIMS運作</span></strong></a></h3> <p>根據印度新聞網站The Indian Express的報導，位於新德里的大型醫學研究機構全印度醫學科學研究所（AIIMS），旗下的國家資訊中心（NIC）於11月23日證實，勒索軟體攻擊了醫院的伺服器，導致門診、住院有關的數位服務受到影響，他們改以人手處理的方式進行計費、預約、製作報告等工作。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://securitylabs.datadoghq.com/articles/appsync-vulnerability-disclosure/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS的AppSync服務出現跨租戶漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154428"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國際警方聯手破獲線上詐騙服務iSpoof</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154424"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Arm修補的Mali GPU晶片漏洞手機廠商仍未套用，數百萬安卓手機曝險</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154404">【2022年11月24日】俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DDoS攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154378">【2022年11月23日】已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出現漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154342">【2022年11月22日】駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過</a></strong></strong></strong></p> </div></div></div>
2022/11/25 16:42作者周峻佑https://www.ithome.com.tw/news/154431
Mali GPU漏洞沒人要補，Google Project Zero呼籲手機製造商縮小修補空窗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://googleprojectzero.blogspot.com/2022/11/mind-the-gap.html" target="_blank">Google Project Zero團隊本周披露</a>，Arm於今年夏天修補了旗下Mali GPU核心驅動程式的兩個安全漏洞CVE-2022-33917與CVE-2022-36449，但直至漏洞細節與示範程式碼都被公開，手機製造商仍未修補相關漏洞，讓眾多採用Mali GPU的Android手機曝險，涵蓋Pixel、三星、小米與Oppo等。</p> <p><a href="https://developer.arm.com/Arm%20Security%20Center/Mali%20GPU%20Driver%20Vulnerabilities" target="_blank">根據Arm的開發者驅動程式安全更新網站</a>，CVE-2022-33917允許非特權用戶執行不適當的GPU處理操作，以存取已釋放的記憶體，影響r29p0~r38p0的Valhall GPU核心驅動程式。</p> <p>CVE-2022-36449同樣允許非特權用戶執行不適當的GPU處理操作，存取已釋放的記憶體，在緩衝區邊界之外寫入資料，或是揭露記憶體映射的細節，波及Midgard GPU r4p0~r32p0、Bifrost GPU r0p0~r38p0與r39p0以及Valhall GPU r19p0~r38p0與r39p0等核心驅動程式。</p> <p>整體而言，上述安全漏洞將允許駭客繞過Android的權限保護，取得系統權限並存取使用者資料。</p> <p>Project Zero團隊則曾在今年6月至7月間，提交了5個涉及CVE-2022-36449漏洞的問題予Arm，Arm也陸續於在今年7月及8月完成修補。根據Project Zero的漏洞揭露政策，該團隊會在業者修補漏洞的30天後公開漏洞的技術細節，同時進行裝置測試，以檢查業者所釋出修補程式的有效性。</p> <p>但Project Zero團隊卻發現，就在Arm已完成修補、漏洞細節已被公布之後，他們所測試的Android裝置卻依然含有CVE-2022-36449與CVE-2022-33917漏洞。</p> <p>該團隊呼籲，當大家都在鼓勵使用者儘快更新安全漏洞之際，製造商及企業也應該遵循同樣的標準，儘可能地縮小「修補空窗」（Patch Gap），跟上供應商的修補腳步，畢竟當上游不修補時，等於是阻礙了下游或使用者的修補行動。</p> </div></div></div>
2022/11/25 14:38作者陳曉莉https://www.ithome.com.tw/news/154424
疫苗護照啟發電子病歷新應用，衛福部要將出院病摘加入蘋果健康App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月，衛福部開始研究國際疫苗護照規格，6月開始規畫開發，12月成功加入歐盟版數位證明成員國，也直接開放民眾申請、下載數位證明，兩大手機作業系統商蘋果和Google更主動將臺灣數位證明納入錢包。</p> <p>衛福部資訊處處長龐一鳴是這一路來的核心推手。他在2022年臺灣醫院資訊主管會議上不只揭露衛福部用公雲處理國家級專案經驗，更透露衛福部正思考更多個人健康紀錄（PHR）應用，下一步要將出院病摘納入蘋果健康App。</p> <p><strong><span style="font-size:24px;">打造國際通用的疫苗護照第一步：先從組織和架構下手</span></strong></p> <p>「疫苗接種證明，最重要的是要能被承認，」龐一鳴說。這是去年，衛福部打造臺灣疫苗護照（即疫苗通行證或稱數位證明）的關鍵思維；為打造出有效、能與他國互通的疫苗護照，衛福部鎖定大型國際組織，先從會員國數量多的組織及架構規範開始研究。</p> <p>他們第一個研究的是世界衛生組織（WHO）。去年3月，WHO釋出疫苗接種指引草案（SVC），並公開徵求意見。這款疫苗接種證明有2種主要使用情境，一是預防接種證明，另一是方便提供連續性照護；而且，SVC的核心數據集架構，採國際醫療資料交換標準HL7 FHIR，與衛福部近年力推的政策方向相符。</p> <p>這2、3年，衛福部推廣FHIR，要將電子病歷交換中心（EEC）改為FHIR架構，帶動醫院將現行的資料交換標準CDA R2改為FHIR。他們希望藉由這個統一的標準，來簡化醫院與政府單位的資料互通作業、降低醫院IT維護不同API的困擾。衛福部認為，以FHIR為基礎，也能打造更接軌國際的醫療生態系。龐一鳴點出，採用WHO的SVC，對臺灣來說會是個很不錯的FHIR練兵經驗。</p> <p>不過，衛福部當時發現一個問題，也就是SVC的認證金鑰需由WHO發送，但臺灣並非WHO成員國，因此難以取得金鑰。好在當年6月，WHO修訂SVC架構、更改信任機制，將金鑰取得的方式，改為由成員國與其他區域自行溝通，透過雙邊或多邊協議來取得。在技術框架上，則維持採用FHIR，成員國也得遵照WHO發布的FHIR實作指引（IG）。</p> <p>雖然信任機制更改了，但對臺灣來說，仍有國際外交問題待處理。</p> <p><span style="font-size:24px;"><strong>看好歐盟標準，也以國際民間組織架構為輔</strong></span></p> <p>因此，衛福部轉而研究歐盟的數位疫苗接種證明規範與架構。2021年3月，歐盟發布數位綠色證明（後改名為歐盟數位COVID證明，EU-DCC）標準規範，列出3大使用情境，包括疫苗接種證明、檢測結果證明（如NAAT/RT-PCR或抗原快篩），以及COVID-19康復證明（也就是染疫證明）。這個證明可以紙本和數位方式發送，包含QR Code來分辨真偽。</p> <p>在資訊揭露上，這個數位證明嚴守歐盟個資法GDPR規範，所包含的資訊只限於個人基本資料，如姓名、生日、發行日期、疫苗/檢驗/康復相關資料，以及一組單一識別碼。龐一鳴特別強調，歐盟規範的數位證明，只提供最新一劑接種疫苗的資訊，遵守GDPR最小揭露原則。</p> <p>不過，在技術架構上，EU-DCC並未採用FHIR。這是因為，若採用FHIR，QR Code打包後容量過大，因此得改用JSON最小資料集來實作。</p> <p>雖然如此，歐盟版的疫苗數位證明還有個強大優勢---它是世上最多國家採用的證明。因為，EU-DCC不只在歐盟會員國間有效，還開放第三國申請。截至2022年10月27日，全球已有49個非會員國加入採用，全球共計76國使用EU-DCC。</p> <p>與此同時，衛福部也研究了另一個國際組織標準，作為另一個選擇。這個組織以美國為主的國際民間組織「疫苗接種證明計畫」（VCI）發起，要以健康卡（SHC）來呈現疫苗接種證明和檢測結果證明（NAAT/RT-PCR）兩種資訊。</p> <p>這個SHC一樣有紙本與數位2種證明方式，另也包含QR Code來供辨別真偽用。</p> <p>不過，有別於歐盟標準只顯示最新一劑資訊，SHC的疫苗顯示資訊包含各劑次疫苗資訊，「較符合各國邊境查驗需求。」龐一鳴點出，SHC還採用FHIR格式，通用成員包括美國24州、加拿大、日本、澳洲雪梨等地，也是臺灣民眾常旅行之處。</p> <p><span style="font-size:24px;"><strong>分析規範架構，以好維運的網頁形式開發</strong></span></p> <p>衛福部研究的國際組織數位證明不只這些，另外還有國際民航組織（ICAO）發起的數位證明。為找出最適合臺灣情境的數位證明，衛福部找來國際調研機構Gartner，從格式標準、憑證、資料內容、驗證方式和適用情境與內容等6大要素，來評估最值得開發應用的。</p> <p>首先，他們比較了可行性最高的歐盟數位證明和SHC規格。就歐盟DCC來說，因其只顯示最新一劑資訊，且查驗程式可離線執行，符合GDPR的最小揭露、可被遺忘、資料可攜等原則，而且，發行國可自訂最小資料集規範。憑證部分則有4種規格，得定期更新。</p> <p>但就SHC來說，呈現資訊較多，包括每劑疫苗資訊，發行者也可決定是否新增其他訊息，如護照號碼、疫苗批號等。就技術格式來說，SHC採HL7 FHIR，憑證則是1張，發行者要自訂規格、上傳到VCI官方的GitHub上來管理。也因此，SHC查驗程式要連線才能執行，等於沒網路就不能驗證。</p> <p>簡而言之，歐盟DCC的好處是成員國多、符合GDPR規範，但缺點是技術門檻高，因為要離線使用，就得將憑證置於程式中。而SHC的優點是，可顯示多劑疫苗資訊，「較符合臺灣需求，」龐一鳴指出，缺點則是驗證時，必須連網。</p> <p>面對這麼多利弊分析，龐一鳴也分享當時的衡量重點：「我們先思考格式，如果能用FHIR，就有機會推動臺灣FHIR。再來是憑證，要能被國際承認，接下來是資料內容，比如疫苗第2、3劑的接種資訊。」</p> <p>於是，他們決定先打造歐盟DCC，之後再開發SHC，讓臺灣的疫苗通行證可用於歐盟及SHC成員國之間。</p> <p>再來是決定查驗程式的形式。衛福部分析了網頁和App形式的優缺點，龐一鳴點出，採用App，民眾得下載安裝，雖然App容易解析高密度的QR Code，但App開發和後續維運的成本高，難以靈活因應。比如，去年疫情嚴峻時，政府時常調整陪病制度和TOCC（旅遊史、職業史、接觸史、群聚史）規則，要是醫院開發App來檢核入院民眾身份，就得不斷隨政策修改App。</p> <p>相較之下，採用網頁形式查驗，民眾開啟瀏覽器即可、不必下載App，且在桌機、筆電上也能使用。更新時，民眾也不必有任何動作。而且，網頁形式有著開發、維運成本低的優點，但缺點是容易受瀏覽器限制，掃描高密度QR Code時較難解析。</p> <p>最後，衛福部決定以網頁形式來開發查驗程式，並在去年6月展開COVID-19健康資訊數位證明技術規畫原則。他們制定了發證端、驗證端、持證端等3種角色的分工和資訊傳遞流程，像是發證端資料來源，取自醫院上傳至疾管署的國家預防接接種系統（NIS）。同時，衛福部也制定FHIR格式專用的實作指南（IG），來說明COVID-19數位證明的互通規格。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWDCC%20IG.png" /></p> <p><strong><span style="font-size:24px;">3階段加入歐盟DCC，10天完成測試驗證</span></strong></p> <p>一切就緒後，衛福部便展開歐盟DCC申請流程。這個流程可分為3階段，包含申請文件交付、技術測試，還有歐盟執委會審核階段。最讓龐一鳴印象深刻的是，衛福部開發的數位證明，是歐盟DCC中，極少數以網頁形式呈現的申請案，而且還獲歐盟技術團隊讚許。</p> <p>在測試階段，他們10天內陸續完成會議討論、數位證明閘道器（DCGG）系統帳號申請，並在3種環境通過技術測試，後續也完成50個會員國的互通測試。</p> <p>「去年12月，我們正式通過測試，」龐一鳴表示，不僅歐盟DCC隨之臺灣列入互通名單，衛福部也在月底開放民眾申請數位證明。臺灣加入後，依然持續與DCGG不定期聯測，也依歐盟要求持續更新憑證、進行測試。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/EUDCC%E8%87%BA%E7%81%A3%E6%88%AA%E5%9C%96.png" /><br /> EU-DCC將臺灣納入互通成員名單，可互通內容包括疫苗接種和檢驗證明資訊，染疫證明則不包括在內。</p> </blockquote> <p>而今年7月，他們也納入SHC格式，讓民眾有第2個選擇。</p> <p><span style="font-size:24px;"><strong>擴大應用：手機錢包、各項證明申請都可靠它</strong></span></p> <p>成功加入歐盟DCC這個大生態系後，手機作業系統龍頭蘋果還找上衛福部，要將臺版數位證明放置於手機錢包（Wallet）中。當時，蘋果主動提供技術文件，來讓衛福部團隊開發系統，蘋果美國總部甚至還客製化，提供繁體中文的「加到錢包與健康」按鈕，來讓臺灣使用者快速將疫苗數位證明加入蘋果錢包和健康App。「蘋果還告訴我們，臺灣疫苗數位通行證是亞太區第一個落地的應用，」龐一鳴說。</p> <p>不只將憑證放入錢包，龐一鳴當時也與蘋果討論，也許能將COVID-19數位證明納入健康App中，作為個人健康記錄（PHR）之一。蘋果健康App有項健康記錄功能，能供使用者查看健康數據（如生理量測數值）和以FHIR標準儲存的電子病歷。在美國，已有不少使用者可直接在iPhone中，查看自己在不同醫院的就醫記錄。</p> <p>除了蘋果，衛福部也找了另一大手機作業系統商Google，將臺灣的COVID-19數位證明納入錢包。Google還特別提供繁體中文的「儲存至手機」按鈕，來讓使用者操作。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%89%8B%E6%A9%9F%E9%8C%A2%E5%8C%85.png" /></p> <p>這項數位證明，更在不少行政場合派上用場。龐一鳴指出，確診人數飆升時，不少民眾急著到醫院、衛生機構申請診斷證明，一方面用於請假，一方面也用於防疫保險申請。為解放醫療機構緊繃的人力，衛福部資訊處與金管會、壽險公會密集溝通，終於讓數位證明成為COVID-19診斷證明書的替代文件，作為保險理賠依據，來緩解湧入醫療機構的大量人潮。</p> <p>甚至，在自主疫調政策中，數位證明也扮演關鍵角色。今年5月，數以萬計民眾確診，指揮中心將原本由政府執行的精準疫調措施，調整為自主疫調，讓民眾自行填寫資訊，加速後續作業。</p> <p>也因此，衛福部將原本精準疫調使用的法傳系統，改用新開發的確診個案自主回報疫調系統（BBS）和確診個案管理系統（MBBS），來配合自主疫調措施，並整合健保快易通App和數位證明系統，加速發送電子通知書和相關證明。</p> <p>這個新流程和系統開發，「我們花20天就完成！」龐一鳴解釋，系統能快速上線，不只是團隊採更快速的敏捷開發模式，還因為有良好的基礎。也就是，去年疫情剛爆發時，衛福部打造一套入境檢疫檢疫系統，讓入境民眾事先填寫資料、取得驗證QR Code，供入境檢驗使用。今年，他們運用這些套件和通知書發送機制，快速修改來開發自主回報疫調系統，讓確診民眾透過簡訊連結至BBS填資料，再依風險評估發送電子隔離通知書和解隔離通知書。</p> <p><span style="font-size:24px;"><strong>經驗談：可擴大行政文件無紙化</strong></span></p> <p>在這次疫苗通行證開發經驗中，衛福部也嘗試不少新作法。</p> <p>比如，數位證明相關作業主要以Google雲端平臺（GCP）來處理，龐一鳴發現，當時GCP費用支出以資料庫容量占大宗，造成大筆開銷，於是將證明產生機制，由預產制改為即時產制，同時將資料庫瘦身。這麼做，一個月可省下數十萬元支出，更累積政府單位運用公雲的經驗，猶如企業一樣。</p> <p>甚至，他們也在SHC專案中，使用GitHub來管理查驗程式，是少數以開源平臺來維運重要專案的政府單位，也讓團隊學習開源工具的使用經驗。</p> <p>但對龐一鳴來說，開發數位證明帶來的寶貴經驗，不只如此。他表示，這次防疫開立多種電子通知書、作為有效證明文件，那麼「醫院診斷證明書，是否也能數位化處理？」甚至他認為，未來民眾申請保險理賠，也許也能數位化進行。</p> <p>就連行政處分的送達方式，也可考慮改用數位方式傳遞，就像這次防疫工作，以簡訊通知民眾PCR檢驗結果和確診相關資訊。</p> <p><span style="font-size:24px;"><strong>下一步：接軌國際，考慮將出院病摘納入蘋果健康App</strong></span></p> <p>甚至，在醫療IT面也有不少啟發，比如要「勇於創新。」龐一鳴點出，有別於大多數EU-DCC會員國以App形式打造數位證明應用，臺灣採網頁形式開發，就是一種創新，不僅行得通，使用成效也獲肯定。</p> <p>另一個啟發則是，加入有影響力的國際組織，就能接軌國際。他表示，臺灣加入EU-DCC後，不僅蘋果主動接觸衛福部，衛福部與Google溝通時也更容易。</p> <p>甚至，龐一鳴點出，這次將數位證明成功置於iOS和Android兩大手機作業系統上，不只是個突破，更是PHR應用的開始。</p> <p>「我們正在嘗試，要讓更多個人電子病歷以這個方式來互通。」他希望，未來要如美國醫院般，逐步將電子病歷資訊放置於蘋果健康App，「先從出院病摘開始。」透過這種應用，政府或醫療機構不一定要自建App，民眾依然能握有自己的醫療記錄。</p> <p><span style="color:#0000FF;"><strong><span style="font-size:24px;">衛福部成立專案辦公室推動FHIR電子病歷計畫</span></strong></span></p> <p><span style="color:#808080;"><strong>為推動臺灣醫界採用國際醫療資料交換標準HL7 FHIR，衛福部今年成立智慧健康雲專案辦公室，來建立臺灣核心實作指引（TW Core IG）、定義FHIR資料交換規格，供未來醫療機構遵從使用。</strong></span></p> <p><span style="color:#808080;"><strong>衛福部智慧健康雲專案辦公室主任曹放之指出，辦公室今年的目標除了打造TW Core IG，還包括建立全國性的FHIR術語服務平臺、與HL7臺灣一起開設FHIR訓練課程，以及提交TW Core IG，作為今年度FHIR聯測的項目（已落幕）。</strong></span></p> <p><span style="color:#808080;"><strong>不只如此，他表示，專案辦公室也已將電子病歷交換中心（EEC）的交換單張，如醫療影像及報告、門診病歷、檢驗報告、出院病摘等，轉換為FHIR標準。「今年是FHIR元年，」曹放之期望，接下來更多醫療機構響應FHIR，在國內形成良好生態系。</strong></span></p> <p><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/FHIR%E5%B7%A5%E4%BD%9C.png" /></strong></span></p> </div></div></div>
2022/11/25 11:00作者王若樸https://www.ithome.com.tw/news/154379
【資安日報】2022年11月24日，俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DD…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織利用竊密軟體（Infostealer）發動攻擊的情況，不時有事故傳出，但這些很可能與一場大規模攻擊行動有關。有資安業者針對俄羅斯駭客的大規模竊密軟體攻擊行動Classiscam進行追蹤，發現今年上半攻擊升溫，而且駭客不光是針對Amazon、PayPal這類金融帳號下手，竊取遊戲平臺帳號的情況更是增加5倍。</p> <p>隨著國際間對於烏克蘭戰爭採取相關行動，俄羅斯駭客反制的網路攻擊也隨之而來。歐洲議會指控俄羅斯入侵烏克蘭的行為構成戰爭罪，並呼籲各國採取相關手段對付俄羅斯，隨後該議會網站就傳出遭到癱瘓的消息。</p> <p>研究人員揭露Arm晶片的顯示元件Mali驅動程式漏洞，並指出此顯示晶片存在於多個品牌的單晶片，而有可能讓數百萬安卓手機成為駭客下手的目標。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.group-ib.com/media-center/press-releases/professional-stealers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客7個月內竊取了逾5千萬組密碼</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/x0mASDhRLc_20221124-1513-28821.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/x0mASDhRLc_20221124-1513-28821.png" style="width: 300px; float: right;" /></a>資安業者Group-IB分析在今年1月至7月偵測到大規模竊密軟體攻擊行動Classiscam，有34個使用俄文的駭客組織參與相關攻擊，專門竊取Steam與Roblox遊戲帳號、Amazon與PayPal帳密，以及加密錢包的資料，主要的目標是美國、巴西、印度、德國，以及印尼。</p> <p>研究人員表示，這些駭客自他們2021年3月著手調查以來，於今年上半的攻擊行動顯著增加──在去年3月至12月底入侵了53.8萬臺電腦，得手2,787萬組密碼、12億個Cookie檔案、5.6萬組線上交易資料，以及近3.6萬個加密貨幣錢包；而今年1至7月共感染89萬臺電腦，竊得5,035萬組密碼、21億個Cookie檔案、10.3萬張金融卡細節，以及11.3萬個加密貨幣錢包。</p> <p>這些駭客偏好使用的竊密軟體是RedLine與Racoon，分別有23個與8個組織採用。此外，今年與過往不同的是，駭客竊取Steam、EpicGames、Roblox等遊戲平臺的帳密數量增加近5倍。</p> <h3><a href="https://www.ithome.com.tw/news/154391"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲議會遭到DDoS攻擊，起因是認定俄羅斯實行恐怖主義</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/European_Parliament_website_down.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/European_Parliament_website_down.png" style="width: 300px; float: right;" /></a>歐洲議會（European Parliament ）<a href="https://www.europarl.europa.eu/news/en/press-room/20221118IPR55707/european-parliament-declares-russia-to-be-a-state-sponsor-of-terrorism">在11月23日早上宣布 </a>，由於俄羅斯政權入侵烏克蘭，並向當地平民施暴，他們一致認同俄羅斯是支持恐怖主義的國家，相關軍事行動構成戰爭罪。當天下午該議會的英文官網就傳出遭到分散式服務阻斷（DDoS）攻擊<a href="https://twitter.com/EP_President/status/1595443471518777345">並得到證實</a>。而攻擊者的身分，<a href="https://twitter.com/_bettercyber_/status/1595458694673825793">資安業者BetterCyber表示</a>就是俄羅斯駭客組織Killnet。攻擊者聲稱癱瘓了該網站4個小時。</p> <h3><a href="https://googleprojectzero.blogspot.com/2022/11/mind-the-gap.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Arm晶片的GPU驅動程式漏洞恐使數百萬手機曝險</span></strong></a></h3> <p>Google的Project Zero研究團隊指出，Arm晶片上的Mali GPU驅動程式裡，存在CVE-2022-33917、CVE-2022-36449，前者允許不具特殊權限的使用者藉由不正確的GPU指令，進而取得記憶體的存取權限；後者也能讓不具特殊權限的攻擊者利用，在記憶體緩衝區邊界外進行寫入，從而洩露記憶體映射的內容。</p> <p>研究人員指出，雖然上述漏洞為中等風險等級，但能夠影響大量安卓手機，這些曝險的機種包括Google Pixel 7、華碩ROG Phone 6、Redmi Note 11與12、RealMe GT、小米12 Pro、Oppo Find X5 Pro等。Mali GPU廣泛受到聯發科、Exyno、華為Kirin晶片採用，因此上述漏洞有可能使數百萬手機曝險。</p> <h3><a href="https://www.cybereason.com/blog/threat-alert-aggressive-qakbot-campaign-and-the-black-basta-ransomware-group-targeting-u.s.-companies"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國企業遭到勒索軟體Black Basta鎖定</span></strong></a></h3> <p>資安業者Cybereason在協助客戶進行事件調查的過程裡，發現勒索軟體Black Basta針對美國企業的攻擊行動，駭客透過殭屍網路QBot建立存取受害企業的進入點，然後在內部網路橫向移動，找到重要電腦植入Cobalt Strike，最終部署勒索軟體並加密檔案。</p> <p>研究人員指出，駭客為了讓受害企業更難以復原，他們會停用DNS服務，使得受害企業被鎖在網路之外。駭客通常不到2個小時就得到網域管理員權限，且於12小時內發動勒索軟體攻擊，近2個星期已出現超過10起案例。</p> <h3><a href="https://www.justice.gov/usao-edva/pr/court-authorizes-seizure-domains-used-furtherance-cryptocurrency-pig-butchering-scheme"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">偽裝成新加坡國際貨幣交易平臺詐騙網域遭到扣押</span></strong></a></h3> <p>美國司法部於11月21日宣布已扣押7個被用於詐騙的網域，這些網域被駭客偽裝成新加坡國際貨幣交易平臺（Singapore International Monetary Exchange），至少有5名受害者在今年5月至8月受騙，損失逾千萬美元。與加密貨幣有關的詐騙近年來層出不窮，美國司法部上個月逮捕並起訴11名嫌犯，這些歹徒從逾200名受害者騙走1,800萬美元。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/154403"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國國防部揭露零信任框架與藍圖，預計於2027年完成部署</span></strong></a></h3> <p>11月22日美國國防部（DoD）發表了他們的<a href="https://www.defense.gov/News/Releases/Release/Article/3225919/department-of-defense-releases-zero-trust-strategy-and-roadmap/">零信任（Zero Trust）政策與藍圖，並計畫在2027年完成部署</a>。本次的戰略涵蓋了四大目標，首先是建立零信任的文化，將相關理念深植所有人員；再者則是在資訊系統的資訊安全與防護裡，導入零信任機制；此外，他們也訴求相關技術採用要更為快速，至少速度要與業者相同甚至要更快，以及相關權限、流程、政策的配套同步。</p> <p>此計畫採用3階段方案（COA）來進行──首先是進行棕地工程（Brownfield），先建立零信任的基準線，於現有的基礎設施與環境來開發。而為了加速零信任的採用，DoD也會發展互補方案，包括採用既有的商用雲端服務，或是由政府以綠地工程（Greenfield）策略，打造全新的私有雲。<a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTExecutionRoadmap.pdf">目前公布的規畫為第一階段（COA 1）棕地工程的內容</a>。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.google/outreach-initiatives/public-policy/a-ruling-in-our-legal-case-against-the-glupteba-botnet/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google針對殭屍網路Glupteba經營者起訴，贏得官司勝利</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/backdoored-chrome-extension-installed-by-200-000-roblox-players/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Roblox玩家遭鎖定，瀏覽器被植入惡意擴充套件</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2022/11/23/fake-msi-afterburner-sites-delivering-coin-miner/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電腦遊戲玩家遭到鎖定，駭客假借提供微星公用程式散布挖礦軟體</span></span></strong></a></p> <p><a href="https://www.bitdefender.com/blog/labs/android-sharkbot-droppers-on-google-play-underlines-platforms-security-needs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Sharkbot偽裝成檔案總管App散布</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/donut-extortion-group-also-targets-victims-with-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索駭客組織Donut也開始加密受害電腦檔案</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154378">【2022年11月23日】已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出現漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154342">【2022年11月22日】駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154324">【2022年11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</a></strong></strong></strong></p> </div></div></div>
2022/11/24 16:36作者周峻佑https://www.ithome.com.tw/news/154404
Google要求TV應用程式轉換使用App Bundles發布格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/11/app-bundles-for-google-tv-and-android-tv.html">Google宣布</a>其Google TV和Android TV，從2023年5月開始將要求使用App Bundles應用程式發布格式，原因是Google TV和Android TV裝置儲存空間有限，但是可安裝的應用程式越來越多，為了提升用戶應用程式使用體驗，於是決定全面使用App Bundles。</p> <p>Android TV作業系統現在可用應用程式超過1萬個，雖然可使用的軟體數量呈指數上升，但是Android TV裝置非常有限，與手機比起來，在2022年時，手機最小儲存容量為64 GB，但是智慧電視的平均儲存只有8 GB，儲存空間有限使得用戶必須卸載應用程式，進而影響用戶體驗。</p> <p>因此Google針對這個問題，在2020年的時候，在Android上推出了App Bundle，這是手機、平板和TV上Google Play的標準發布格式，目前已經取代APK（Android Package Kits）。App Bundle有許多好處，因為能夠針對每臺裝置最佳化，與同等的APK相比，App Bundle的總大小平均減少20％，因此可節省更多的儲存空間。</p> <p>由於App Bundle讓用戶可以選擇封存應用程式，這能夠回收60％的應用程式儲存空間，TV裝置內建快速封存和取消封存的用戶介面，因此就算裝置儲存空間有限，用戶仍可以將更多的應用程式，留在Google TV和Android TV裝置上，同時開發人員也可以維護狀態，提供開發者無摩擦的取消封存體驗。</p> <p>App Bundle交付也更簡單安全，由於Play Store擁有應用程式的原始碼和資源，因此可以針對每個裝置的配置，動態提供最佳化應用程式，而且當開發者上傳的金鑰丟失或是洩漏，也可以輕鬆進行重設。</p> <p>距2023年5月，Google TV和Android TV要求使用App Bundles約有6個月的過渡期，但Google提到，一般情況工程師只要花3天，就能夠將現有的電視應用，從APK移植到App Bundle。如果屆時應用程式仍未轉換使用App Bundles，則Google可能會選擇在電視介面隱藏這類應用程式，官方建議正在開發新TV應用程式的開發者，應該直接選擇使用App Bundles。</p> </div></div></div>
2022/11/24 09:36作者李建興https://www.ithome.com.tw/news/154375
Visual Studio for Mac 17.4開始支援跨平臺開發框架.NET MAUI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟跨平臺開發框架.NET MAUI開發應用程式，現在於最新的<a href="https://devblogs.microsoft.com/visualstudio/net-maui-is-now-available-in-visual-studio-for-mac-17-4/">Visual Studio for Mac 17.4</a>提供支援，開發者可以在Mac上開發其他平臺目標的應用程式。作為.NET 7的一部分，這個版本的.NET MAUI SDK，也獲得許多效能與可靠性更新。</p> <p>.NET MAUI的單一專案功能，讓開發者不需要煩惱跨平臺的資源管理，微軟解釋，.NET MAUI單一專案是一個抽象特定平臺開發體驗和工具的單一共享專案，可讓開發者從Mac機器，對Android、iOS和Mac，甚至是Windows建構相同的應用程式。</p> <p>透過使用多目標和SDK樣式專案，.NET MAUI供開發者在單一專案中共享資源檔案、單一跨平臺應用程式進入點。開發者能夠在擁有最佳化開發體驗的同時，跨多個目標平臺和裝置，存取平臺特有的功能和API。</p> <p>微軟也最佳化視覺設計工具，提高開發者在建構UI時的工作效率，借助XAML熱重載功能，在XAML更改時，開發者可即時看到應用程式中的UI變化，也就是說不需要重新建構和部署應用程式，就能驗證UI變更。透過Live Visual Tree，開發者還可以看到執行中XAML程式碼的即時檢視圖，即時呈現應用程式中所有UI元素的階層結構。</p> </div></div></div>
2022/11/24 09:43作者李建興https://www.ithome.com.tw/news/154377
從程式語言層級確保記憶體安全，不只美國NSA建議，今年Prossimo專案也在推動
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_mei_guo_nsajian_yi_kai_fa_zhe_duo_yong_bao_zhang_ji_yi_ti_an_quan_cheng_shi_yu_yan_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月10日，美國國家安全局（NSA）公開發表一份軟體開發指南，是針對軟體記憶體安全（Memory Safety）而來，建議開發者應多使用保障記憶體安全的程式語言，如C#、Rust、Go、Java、Ruby、Swift，以這些來取代C與C++，引起軟體開發界的討論。</p> <p>事實上，關於C、C++的資安爭論已持續多年，但隨著記憶體安全問題受到越來越大的重視，開發者輕忽指標、記憶體配置的狀況太過普遍，而願意花心力檢測、有足夠經驗處理這類問題的程式設計者太少，而使得軟體資安漏洞層出不窮。</p> <p>儘管為了降低這方面犯錯的機會，開發界持續宣導C/C++程式設計要重視記憶體管理，有些開發者的確能夠寫出足夠安全的C/C++程式碼，但對大多數程式設計師來說，卻可能並非易事，有些科技業者祭出記憶體安全機制來因應，但多年下來，犯錯比例仍是居高不下，這也使得另一條因應路線被持續探討，也就是多用具記憶體安全特性的程式語言，如此一來，即便是資安意識不足的開發人員，也因為開發環境的局限，而不用擔心記憶體管理的問題，減少犯錯的機會。而且，如今這類軟體開發安全措施的推動態勢，也從一些科技大廠而開始擴及國家政府機構。</p> <h3><strong>多數軟體漏洞可歸咎於記憶體安全性不足</strong></h3> <p>在今年5月，我們看到開源社群、科技大廠與美政府二度商討開源軟體安全對策，會後Linux基金會與開源安全基金會（OpenSSF）發布的開源軟體安全動員計畫白皮書中，替換不具記憶體安全（non-memory-safe）的程式語言，就是十大對策之一，並預計前兩年針對這方面投入經費550萬美元。</p> <p>到了11月，美國NSA也對此公開表態。針對軟體記憶體安全問題，他們建議各組織在可能情況下，對於程式語言的採用，應考慮做出戰略性的轉變，從不具記憶體保護的C/C++，轉而使用具記憶體安全的其他程式語言，例如C#、Go、Java、Ruby與Swift等。</p> <p>在這份公開文件中，NSA首先強調軟體記憶體安全的重要性，指出雖然開發人員經常進行嚴格測試，為軟體中的邏輯準備好應對意外情況，然而，各種可濫用的軟體漏洞，仍經常是基於記憶體問題而成。例如：記憶體緩衝區溢位，以及管理記憶體失當而導致的洩漏問題。</p> <p>最近幾年已有更多這方面的研究，例如，微軟在2019年曾公開提出自我檢討，他們表示，在2006年到2018年間的安全漏洞，有70%源自記憶體的安全問題，Google在2020年也針對自家發展的瀏覽器Chrome提出檢討，當中也存在同樣高比例的記憶體安全漏洞。由於存在規模如此龐大的軟體開發缺失，駭客可利用這些漏洞來執行遠端程式攻擊，作為大舉入侵組織網路的第一步。</p> <p>而在程式語言中，現今應用範圍最大且最常見的C與C++，方便之餘，多年來大家也經常詬病其安全性管制太少，而使得記憶體類型的漏洞總是無法徹底根絕。事實上，這兩種語言在記憶體管理上，提供了很大的自由度與彈性，相對地，用這些語言所開發的應用程式，其安全性將高度依賴開發者的處理方式，例如，是否對記憶體參照執行必要的檢查與驗證。因此，可能只要出現一個簡單的錯誤、疏忽，就會導致記憶體遭濫用的安全漏洞。</p> <p>固然我們可以透過軟體分析工具偵測出許多記憶體管理問題，透過作業系統環境本身內建的機制，也能帶來某些程度的保護，但NSA認為，若能藉由已內建記憶體保護的程式語言來撰寫程式，即可避免或減少絕大多數的記憶體管理問題。</p> <h3><strong>緩衝區溢位、管理不當，均是常見記憶體安全問題</strong></h3> <p>記憶體安全，也就是有關於程式如何管理記憶體的一大類問題。這當中有哪些常見問題？</p> <p>NSA指出，記憶體「緩衝區溢位」（buffer overflow）就是一例，也就是資料的存取意外超出緩衝區邊界（outside the bounds），另一個常見的安全問題則與記憶體分配有關。</p> <p>簡單來說，系統程式在執行時可以分配新的記憶體位置，然後在不需要記憶體時，將其取消分配，此舉稱為釋放記憶體，但如果開發者不小心這麼做，新的記憶體可能會在程式執行過程中被重複分配，因此，記憶體並非總是在不再需要時被釋放，進而出現記憶體洩漏（memory leak）的問題，最終甚至導致可用的記憶體資源被使用殆盡。</p> <p>此外，也有因邏輯錯誤而出現記憶體存取不安全的狀況。因為這樣的問題，程式可能試圖使用已經被釋放的記憶體，甚至重複釋放原本已被釋放的記憶體。例如，當程式語言允許使用尚未初始化的變數時，就會出現另一個問題，導致該變數使用之前在記憶體中該位置設置的值。</p> <p>另一個值得注意的問題，則是條件競爭（Race condition）。例如，當程式存取相同資料，此時若出現兩個操作順序，可能會因此影響程式的結果，而發生這個問題。NSA強調，所有這些記憶體問題都是相當常見的現象。</p> <p>而且，記憶體管理問題衍生安全漏洞只是其中一種類型的狀況，就算是不會遭到濫用的記憶體，也可能因為一些疏失而造成錯誤的程式結果，例如，降低執行效能或軟體本身無法執行。</p> <p>針對上述種種軟體記憶體安全的問題，NSA指出，採用能夠自動管理記憶體的程式語言，像是C#、Rust、Go、Java、Ruby、Swift等，可協助避免開發者陷入某些類型的記憶體問題，以預防無意採用錯誤的記憶體管理方式。</p> <p>但NSA也提醒，就算是使用這些內建記憶體保護的程式語言，也並非毫無風險，因為軟體有時仍需要執行不安全的記憶體管理功能，才能完成任務，而且，各種程式語言對記憶體的安全保護程度不一，因此不能單靠更換程式語言而確保軟體安全。</p> <p>另一方面，對於無法立即轉向採用內建記憶體安全的程式語言的開發者，NSA建議，應透過安全測試來強化應用程式的安全性，包括進行靜態（SAST）與動態（DAST）的安全測試，而且最好是執行多個SAST及DAST工具，以提高找出記憶體問題的機率，確保應用程式的安全。儘管這可能會增加大量的工作負擔，卻可以帶來更安全的程式碼。</p> <p>總之，NSA鼓勵組織儘可能採取多管齊下的方式，來強化記憶體管理的安全性。除了採用記憶體安全程式語言，還可同時輔以編譯器選項、工具分析及作業系統配置，以減少記憶體漏洞，提高駭客的攻擊門檻。</p> <h3><strong>今年出現Prossimo專案，開始推動安全程式語言的廣泛採用</strong></h3> <p>對於NSA的這項建議，根據IT新聞媒體The Register的<a href="https://www.theregister.com/2022/11/11/nsa_urges_orgs_to_use/">報導</a>，Acronis資安長Kevin Reed認為，NSA正在做正確的事情，但他懷疑這是否會有立竿見影的效果，因為多年來使用C/C++撰寫的程式碼數量龐大，即便明天就開始改用Rust與Go，也需要幾十年才能清理這個爛攤子。</p> <p>而且，真的能夠如此順利推動嗎？微軟Azure技術長Mark Russinovich在今年9月就曾針對這樣的議題，於社群媒體推特發表了看法。他指出，在安全性與可靠性考量下，現在該停用C/C++開發任何新專案，並建議改用Rust。但在此則貼文回應中，有相當多開發者持反對意見，畢竟C與C++仍是熱門程式語言。</p> <p>但無論如何，記憶體安全問題已不容忽視。對照MITRE公布的2022年25大常見CWE通用弱點列表名單，我們可以發現，記憶體越界寫入（Out of Bounds Writes），記憶體越界讀取（Out of Bounds Reads），以及使用已釋放的記憶體（Use after Free），都在前七名內，尤其是記憶體越界寫入，持續居於第一嚴重的地位，而這樣居高不下的排名，也呼應多數軟體漏洞可直接歸因於缺乏記憶體安全性的推論。</p> <p>而在今年5月Linux基金會與OpenSSF發布的「開源軟體安全動員計畫」白皮書中，其實已經針對此問題提出對策，此計畫的主要目標，是減少記憶體安全性漏洞的數量。</p> <p>首先，他們希望，在網際網路上最關鍵的軟體，能夠遠離C/C++等不安全的程式語言，並強調會優先升級對安全最敏感的元件，其次，系統級程式碼的工具需要受到更大的關注，因為這些是生態系統中最普遍與最脆弱的軟體，也最有可能是以不安全的系統程式語言所寫成，而產生了資安漏洞。</p> <p>同時，這項戰略的執行，將透過非營利組織網際網路安全小組（ISRG）的Prossimo專案來推動。目前這項計畫鎖定那些面向？例如，針對用C語言撰寫的Linux Kernel，如今已有Rust for Linux專案啟動；針對用C語言撰寫的OpenSSL，在替代方案上，也有一套名為Rustls的開放軟體專案正在發展。其餘面向還包括：網路時間協定NTP、Apache httpd的mod_tls模組、Trust-DNS、網路傳輸程式curl，Prossimo專案將針對相關工具進行投資，目的是讓建構更安全軟體變得簡單。</p> <p>而在這些消息中，我們可以發現支持採用Rust的聲浪最大，而且，許多大型企業與開源專案也都嘗試用Rust來撰寫，像是Google的Android與Chrome、Amazon的虛擬化技術Firecracker等。</p> <p>無論如何，因應軟體開發造成的記憶體安全性問題，已不只是口頭呼籲，而是有所行動，再加入美國NSA難得表態力挺使用安全程式語言，使得這項一再受到討論與思考的問題，出現了更多大幅改善的機會。文⊙羅正漢、陳曉莉</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong>根據Wikipedia上對於<span class="mw-page-title-main">Stack buffer overflow</span>的說明，當中也特別以圖像化方式表達緩衝區溢位的攻擊利用方式。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%E5%85%AC%E5%B8%83%E7%9A%842022%E5%B9%B425%E5%A4%A7%E5%B8%B8%E8%A6%8BCWE%E9%80%9A%E7%94%A8%E5%BC%B1%E9%BB%9E%E5%88%97%E8%A1%A8%E5%90%8D%E5%96%AE.jpg" style="width: 600px;" /></strong></p> <p><b>根據</b><strong>MITRE在今年8月3日<a href="http://cwe.mitre.org/top25/archive/2022/2022_cwe_top25.html">公布的2022年25大常見CWE通用弱點列表名單</a>（2022 CWE Top 25 Most Dangerous Software Weaknesses），我們可以看出在漏洞根因中，記憶體越界寫入（Out of Bounds Writes）居於第一，且指標分數高達64.20，記憶體越界讀取（Out of Bounds Reads）居第五，使用已釋放的記憶體（Use after Free）居第七。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80_201902-07%E5%BE%AE%E8%BB%9FBlueHat%20IL.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2019年2月7日</span> 微軟MSRC研究人員Matt Miller在<a href="https://github.com/Microsoft/MSRC-Security-Research/blob/master/presentations/2019_02_BlueHatIL/2019_01%20-%20BlueHatIL%20-%20Trends%2C%20challenge%2C%20and%20shifts%20in%20software%20vulnerability%20mitigation.pdf">BlueHat IL</a>資安會議的演講中表示，從2006年到2018年間，每一年發布的漏洞修補更新，有70%是與記憶體安全問題有關。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2020-05-16_Google.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2020年5月16日</span> Chromium專案研究人員<a href="https://www.ithome.com.tw/news/137826">指出</a>，此項軟體有超過70％的嚴重安全漏洞來自記憶體安全漏洞，也就是因C/C++指標操作錯誤所造成，其中一半的錯誤是釋放後使用（Use-After-Free）的問題。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2022-05-13_Replacement%20Non-Memory-safe.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年5月13日</span> 為了解決開源軟體安全問題，開源社群、科技大廠與美政府二度商討對策，會後發布「開源軟體安全動員計畫」白皮書，<a href="https://www.ithome.com.tw/news/151045">針對10大關鍵挑戰提出投資戰略</a>，當中1項就是聚焦於替換不具記憶體安全的程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_%E5%BE%AE%E8%BB%9FMark%20Russinovich.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年9月20日</span> 微軟Azure技術長Mark Russinovich在推特發文<a href="https://www.ithome.com.tw/news/153156">表示</a>，在安全性與可靠性考量下，現在應停用C/C++開發新專案，建議改用Rust。但許多開發者表示反對，因為C與C++畢竟是熱門程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Tor.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年10月4日</span> 以洋蔥路由聞名的開源軟體專案Tor，釋出以Rust重新實作的版本時<a href="https://www.ithome.com.tw/news/152886">表示</a>，在2001年用C語言是合理選擇，但他們發現安全使用C語言需付出許多心力，程式碼分析與安全性改進也變得越來越困難。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%963%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年11月10日</span> 美國NSA公開<a href="https://www.ithome.com.tw/news/154180">發表防範軟體記憶體安全問題的軟體開發指南</a>，建議開發人員使用保障記憶體安全的程式語言，例如：C#、Rust、Go、Java、Ruby或Swift，以取代C與C++。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Prossimo.jpg" style="width: 600px;" /></p> <p><strong>因應記憶體安全（Memory Safety）問題，不再只是呼籲口號，根據「開源軟體安全動員計畫」白皮書指出，已有非營利組織網際網路安全小組（ISRG）的Prossimo專案負責推動相關工作，當中建議使用Rust、Go、C#、java、Swift、Python與JavaScript等語言，來取代使用不具記憶體安全的C、C++與assembly。該專案網站：<a href="https://www.memorysafety.org/">https://www.memorysafety.org/</a></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/memory-safety">Memory Safety</a></div><div class="field-item odd"><a href="/tags/%E8%BB%9F%E9%AB%94%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8">軟體記憶體安全</a></div><div class="field-item even"><a href="/tags/c-1">C</a></div><div class="field-item odd"><a href="/tags/c">C++</a></div><div class="field-item even"><a href="/tags/rust">Rust</a></div><div class="field-item odd"><a href="/tags/non-memory-safe">non-memory-safe</a></div><div class="field-item even"><a href="/tags/%E7%B7%A9%E8%A1%9D%E5%8D%80%E6%BA%A2%E4%BD%8D">緩衝區溢位</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E6%B4%A9%E6%BC%8F">記憶體洩漏</a></div><div class="field-item even"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E5%AF%AB%E5%85%A5">記憶體越界寫入</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E8%AE%80%E5%8F%96">記憶體越界讀取</a></div><div class="field-item even"><a href="/tags/use-after-free">Use After Free</a></div><div class="field-item odd"><a href="/tags/prossimo">Prossimo</a></div><div class="field-item even"><a href="/tags/nsa">NSA</a></div></div></div>
2022/11/22 12:04作者羅正漢https://www.ithome.com.tw/tech/154339
【資安日報】2022年11月21日，駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是假冒Instagram名義的網釣攻擊！有資安業者揭露針對國家級教育機構而來的攻擊行動，但值得注意的是，駭客不只配置了幾可亂真的內容，還通過了郵件安全閘道、郵件伺服器安全管制規則的檢查，而能成功送到該組織員工的電子郵件信箱。</p> <p>針對工控系統漏洞而來的攻擊行動也相當值得留意。美國CISA針對歐姆龍PLC設備發出資安通告，指出該公司於7月、10月修補的重大漏洞已被用於攻擊行動。</p> <p>Samba近期修補了CVE-2022-42898，這項漏洞影響32位元作業系統，攻擊者有機會藉由偽造的PAC憑證觸發。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.armorblox.com/blog/instagram-credential-phishing-email-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">教育機構遭到駭客鎖定，以Instagram異常登入的名義發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig-3_instagram-attack-landing-page-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig-3_instagram-attack-landing-page-2.png" style="width: 300px; float: right;" /></a>資安業者Armorblox揭露假冒Instagram的釣魚郵件攻擊行動，針對教育領域的大型國家機構發動攻擊，目標是在裡面任職的人員。駭客針對2.2萬個電子郵件信箱寄送網釣郵件，佯稱有來路不明的登入行為，要收信人儘速處理。一旦收信人依照指示點選信中連結，就有可能被導向冒牌的變更密碼網站，而使得帳密資料落入駭客手中。</p> <p>研究人員指出，這起攻擊行動的信件內容與Instagram寄出的信件極為相似，釣魚網站甚至在地圖上顯示異常登入的地點，再加上寄件者的電子郵件信箱是<a href="mailto:[email protected]">[email protected]</a>，而使得用戶難以分辨真假。此外，釣魚郵件本身亦通過DKIM、DMARC、SPF等郵件檢查，而能繞過Exchange的安全機制與郵件安全閘道的偵測。</p> <h3><a href="https://www.securityweek.com/omron-plc-vulnerability-exploited-sophisticated-ics-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐姆龍PLC設備重大漏洞被用於散布工控系統惡意軟體</span></strong></a></h3> <p>美國網路安全暨基礎設施安全局（CISA）於11月10日發布兩則資安通告，當中提到駭客鎖定歐姆龍（Omron）的NJ、NX系列可程式化邏輯控制器（PLC）系統產品線發動攻擊，針對<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-08">CVE-2022-34151（CVSS風險評分為9.4分）</a>、<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-07">CVE-2022-33971（CVSS風險評分為8.3分）</a>等漏洞下手，其中以前者為寫死（Hardcoded）帳密的重大漏洞，攻擊者能用於存取PLC設備。通報上述漏洞的資安業者Dragos表示，CVE-2022-34151實際上已被駭客納入<a href="https://www.ithome.com.tw/news/150428#sandworm-ics">攻擊框架Pipedream、Incontroller</a>，並用於攻擊ICS系統。</p> <h3><a href="https://techcrunch.com/2022/11/18/cdsl-malware-internal-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度證券保管服務商CDSL遭惡意軟體攻擊，內部系統也受到破壞</span></strong></a></h3> <p>根據新聞網站TechCrunch報導，印度證券託管機構Central Depository Services Limited（CDSL）於11月18日向當地股市交易所通報，該公司偵測到惡意軟體攻擊，部分電腦受到波及，為了防止災情擴大，他們隨即隔離受害電腦，並切斷與其他系統的連結。</p> <p>根據初步調查的結果，CDSL尚未發現機密檔案或是投資者資料遭到外洩。該新聞網站指出，在CDSL通報此事時，網站亦無法存取，但CDSL不願透露網站是否遭到這起攻擊事件影響。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/k/earth-preta-spear-phishing-governments-worldwide.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Earth Preta濫用Google Drive散布惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/earth-preta-Fig-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-preta-Fig-3.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露中國駭客組織Earth Preta（亦稱Mustang Panda、TA416）的攻擊，本次行動自3月開始進行，目標是臺灣、日本、菲律賓、澳洲、緬甸，主要針對政府機關及法律機構而來（83.9%），但也傳出教育機構、商業公司受害。攻擊者以密件副本來寄送網釣郵件，並濫用雲端檔案共享服務Google Drive、Dropbox來散布壓縮檔（RAR、ZIP、JAR等），進而於受害電腦植入惡意程式ToneShell、ToneIns、PubLoad。</p> <h3><a href="https://blog.cyble.com/2022/11/18/axlocker-octocrypt-and-alice-leading-a-new-wave-of-ransomware-campaigns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體AXLocker結合加密受害電腦檔案及竊取Discord帳號能力</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-9-AXLocker-ransom-note-window.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-9-AXLocker-ransom-note-window.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露3種新的勒索軟體AXLocker、Octocrypt，以及Alice Ransomware，其中最值得留意的是AXLocker，該勒索軟體不僅具備加密檔案的能力，亦擁有竊密軟體的功能──可從受害電腦竊取Discord的使用者ID、系統詳細資訊、瀏覽器個人設定，透過Discord Webhook網址傳送至駭客的頻道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/samba-patches-vulnerability-can-lead-dos-remote-code-execution"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Samba修補可被用於阻斷服務、遠端執行任意碼的漏洞</span></strong></a></h3> <p>11月15日Samba發布安全性更新4.15.12、4.16.7、4.17.3，當中修補了CVE-2022-42898，此漏洞出現在使用者的代理服務元件S4U2proxy，影響32位元作業系統，通過身分驗證的攻擊者可藉由16位元區塊，來造成記憶體緩衝區溢位，成功利用可能導致阻斷服務（DoS），或是遠端執行任意程式碼（RCE），CVSS風險評分為6.4分，若現行Samba執行於64位元作業系統，則不受此漏洞影響。</p> <p>這項漏洞發生的原因，是在32位元作業系統上解析特權屬性憑證（PAC）的過程中，Samba的Kerberos程式庫會出現記憶體整數溢位的情況，而使得攻擊者能透過偽造的PAC發動攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/atlassian-fixes-critical-command-injection-bug-in-bitbucket-server/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian修補Bitbucket伺服器的重大命令注入漏洞</span></strong></a></h3> <p>Atlassian針對旗下的持續整合與持續開發（CI/CD）平臺Bitbucket、身分驗證解決方案Crowd發布資安通告，修補重大漏洞CVE-2022-43781、CVE-2022-43782。前者為Bitbucket伺服器的命令注入漏洞，攻擊者可在特定情況下，於目標系統執行程式碼，CVSS風險評分為9.8分，影響7.0版至7.21版、8.0版至8.4版Bitbucket，但由Atlassian代管的執行個體，或是執行PostgreSQL資料庫的執行個體不受影響；後者為Crowd伺服器的配置錯誤漏洞，攻擊者在註冊Crowd應用程式時能繞過密碼查核的流程，並呼叫具有特珠權限的API端點，影響3.0.0版以上的Crowd；但從低於3.0.0版升級的系統不受影響。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://blog.unit221b.com/dont-read-this-blog/0xdead-zeppelin"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現勒索軟體Zeppelin漏洞，並用於製作解密金鑰</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Screen-Shot-2020-03-13-at-6_16_01-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2020-03-13-at-6_16_01-PM.png" style="width: 300px; float: right;" /></a>資安業者Unit 221B揭露2020年初挖掘勒索軟體Zeppelin漏洞的過程，研究人員根據另一家資安業者Cylance在2019年12月發布的調查報告進行分析，找到在加密過程隨機產生的RSA-512公鑰，並藉由雲端基礎設施供應商DigitalOcean贊助的伺服器主機，透過暴力破解得到能復原檔案的AES金鑰。Unit 221B自2020年2月開始，將其研究成果用於協助受害組織解鎖檔案。</p> <p><a href="https://krebsonsecurity.com/2022/11/researchers-quietly-cracked-zeppelin-ransomware-keys/">資安新聞網站Krebs On Security指出，該公司已幫助近20個組織恢復檔案</a>。Unit 221B指出，Zeppelin鎖定的目標往往缺乏資安事件回應能力，如：非營利組織、慈善機構，促使他們找出復原檔案的方法。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-actively-abused-proxynotshell-exchange-bug/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Exchange漏洞ProxyNetShell出現概念性驗證攻擊程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-attacks-use-windows-security-bypass-zero-day-to-drop-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過MoTW漏洞入侵受害電腦</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154274"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客在美國聯邦機構網路上植入挖礦程式</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154311"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">PyPI再傳惡意套件，數百人受害，駭客運用隱寫技術將程式碼埋藏在圖片</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154208"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android漏洞恐讓攻擊者繞過手機螢幕鎖定保護</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154295">【2022年11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/21 16:46作者周峻佑https://www.ithome.com.tw/news/154324
【資安週報】2022年11月14日到11月18日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週加密貨幣交易所FTX宣告破產後傳出遭駭客攻擊的消息，超過5億美元加密貨幣被盜取，甚至傳出FTX社群管理員警告移除FTX App的消息，成為國際矚目焦點。</p> <p>在國內，本週傳出有上市公司遭駭客網路攻擊的消息，業者已經發布資安事件重大訊息，說明部份資訊系統受影響，儘管事故細節未有太多揭露，但我們認為可能是勒索軟體攻擊導致。</p> <p>在漏洞消息方面，最受關注的是，微軟在17日發布例外更新，緊急修補Windows關於Kerberos登入問題，以及F5發布產品安全公告修補旗下BIG-IP、BIG-IQ系統重大漏洞的消息。其他值得注意的包括，開發人員入口網站平臺Backstage的重大漏洞SandBreak的修補，網頁伺服器軟體OpenLiteSpeed修補重大漏洞的修補，以及Android手機可繞過解鎖畫面漏洞的修補。</p> <p>還有一些威脅趨勢值得留意，例如，賽門鐵克指出中國駭客組織持續鎖定亞洲多個國家政府與國防單位攻擊，並會攻擊憑證認證機構（CA），進而運用具合法簽章的惡意軟體來規避偵測；有資安業者指出，AWS提供公開的RDS快照功能，可能成為駭客組織覬覦的目標受關注，提醒企業注意；威脅情報業者Cyjax指出駭客組織Fangxiao發動大規模的網釣攻擊行動，主要鎖定中國以外市場攻擊，將使用者導向4.2萬個惡意與釣魚網站。另外，還有惡意軟體載入器BatLoader攻擊行動升溫，關於PCspooF漏洞的漏洞研究。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154187"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</span></strong></a></h3> <p>加密貨幣交易所FTX宣告破產的效應如雪球般越滾越大，但雪上加霜的是，該交易所傳出可能因遭到駭客攻擊，導致5億美元的加密貨幣被轉走，此起事故發生的原因有待後續調查。</p> <p>於8月中旬出現的勒索軟體Venus，駭客專門透過遠端桌面連線（RDP）入侵受害電腦，如今該勒索軟體的攻擊行動已引起政府的關注。美國提出警告，此勒索軟體鎖定當地醫療機構而來，且已出現受害單位。</p> <p>又是連鎖零售業者遭到勒索軟體攻擊的事故！加拿大食品零售業者Sobeys傳出遭到勒索軟體Black Basta攻擊，波及部分服務，但因為POS機臺與支付系統採用專屬網路而倖免於難，使得多數門市仍能營業。</p> <h3><a href="https://www.ithome.com.tw/news/154205"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</span></strong></a></h3> <p>中國駭客鎖定該國少數民族進行監控的情況，已有數起攻擊行動傳出，但多數是針對iOS零時差漏洞而來。而最近有資安業者發現針對維吾爾族人的攻擊行動，駭客主要針對安卓手機植入惡意軟體。</p> <p>透過即時通訊軟體散布惡意網址的網釣攻擊行動時有所聞，最近有一起攻擊行動比較特別的地方，是針對中國以外的地區而來。</p> <p>手機的解鎖畫面竟出現可被繞過的漏洞！Google本月修補了CVE-2022-20465，這是在攻擊者能實際接觸手機的情況下，能繞過鎖定畫面存取手機的漏洞，該公司對研究人員發出7萬美元的高額獎勵。</p> <h3><a href="https://www.ithome.com.tw/news/154223"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</span></strong></a></h3> <p>中國駭客組織發動攻擊的情況屢見不鮮，資安業者揭露駭客組織Billbug的行動，當中值得留意的是，已經有憑證認證機構（CA）受害，而可能讓該機構的簽章工具用於簽署惡意軟體。</p> <p>多家企業與IT廠商採用的開發人員入口網站平臺Backstage出現了重大漏洞SandBreak，該漏洞源於此系統採用的VM2沙箱，而可能讓攻擊者存取開發團隊擁有的各式開發系統。</p> <p>推特被馬斯克（Elon Musk）買下後引發用戶出走潮，不少人選擇改用去中心化社群網站Mastodon，但有研究人員發現該社群網站出現可竊取使用者密碼的漏洞，使得Mastodon用戶可能曝險。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154277"><strong><span style="color: rgb(0, 0, 0);">【11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</span></strong></a></strong></p> <p>雲端關聯式資料庫服務提供的快照功能，有可能會洩露用戶存放的資料！有研究人員發現數百個AWS關聯式資料庫的快照曝露在外，而使得其內容有可能成為駭客濫用的目標。研究人員指出，有些快照甚至曝露了超過一個月。</p> <p>惡意軟體載入器被用於發動攻擊的情況屢見不鮮，最近有名為BatLoader惡意軟體載入器攻擊行動，值得留意的是，駭客也運用了寄生攻擊（LoL）手法，來避免資安系統的偵測。</p> <p>黑色星期五購物季即將到來，有資安業者針對Magento電子商務平臺的用戶提出警告，駭客鎖定今年2月被修補的漏洞發動攻擊，然而，有近4成以Magento 2架設的電子商務網站並未套用修補程式而曝險。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154295"><strong><span style="color: rgb(0, 0, 0);">【11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</span></strong></a></strong></strong></p> <p>智利政府與哥倫比亞研究所日前傳出遭到未知的勒索軟體攻擊，有資安研究人員表示，這兩起事故的攻擊者很可能相同，並表示雖然上述事件都發生在拉丁美洲，但駭客現在已開始攻擊其他國家的組織。</p> <p>隨著一年一度的大型購物季即將到來，除了有人鎖定電子商務平臺Magento的漏洞而來，也有針對購物者竊密的駭客組織。值得留意的是，這些駭客運用了相當特殊的URL混淆手法，而能逃過資安系統的攔截。</p> <p>F5針對旗下BIG-IP、BIG-IQ系統修補兩個重大漏洞CVE-2022-41622、CVE-2022-41800，這些漏洞一旦被成功利用，就有可能發動RCE攻擊。</p> </div></div></div>
2022/11/21 09:38作者羅正漢https://www.ithome.com.tw/news/154307
【資安日報】2022年11月18日，勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>智利政府與哥倫比亞研究所日前傳出遭到未知的勒索軟體攻擊，有資安研究人員表示，這兩起事故的攻擊者很可能相同，並表示雖然上述事件都發生在拉丁美洲，但駭客現在已開始攻擊其他國家的組織。</p> <p>隨著一年一度的大型購物季即將到來，除了有人鎖定電子商務平臺Magento的漏洞而來，也有針對購物者竊密的駭客組織。值得留意的是，這些駭客運用了相當特殊的URL混淆手法，而能逃過資安系統的攔截。</p> <p>F5針對旗下BIG-IP、BIG-IQ系統修補兩個重大漏洞CVE-2022-41622、CVE-2022-41800，這些漏洞一旦被成功利用，就有可能發動RCE攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blogs.blackberry.com/en/2022/11/arcrypter-ransomware-expands-its-operations-from-latin-america-to-the-world"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/arcrypter-fig02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/arcrypter-fig02.png" style="width: 300px; height: 62px; float: right;" /></a>IT業者BlackBerry的威脅研究團隊指出，在今年8月與10月，鎖定智利政府、哥倫比亞國家食品暨藥物監督研究所Invima發動攻擊的勒索軟體駭客，很可能是同一組人馬，並將他們所使用的勒索軟體命名為ARCrypter。這個駭客組織當時的目標主要是拉丁美洲，但研究人員指出，如今駭客也攻擊中國、加拿大等其他國家。<a href="https://www.bleepingcomputer.com/news/security/previously-unidentified-arcrypter-ransomware-expands-worldwide/">資安新聞網站Bleeping Computer也觀察到類似狀況</a>，並發現有德國、美國、法國的受害組織。</p> <p>而對於攻擊的途徑，BlackBerry指出駭客疑似透過匿名檔案共享網站AnonFiles，散布win.exe及win.zip，一旦攻擊者下載到受害電腦並搭配特定參數與密碼來執行相關的壓縮與解壓縮動作，電腦將會感染ARCrypter，大部分檔案也會遭到加密。與其他勒索軟體相同的是，ARCrypter也會刪除磁碟區陰影複製（Volume Shadow Copy）的備份資料，但駭客為了持續在受害環境運作，他們不僅利用登錄檔在電腦開機就啟動勒索軟體，還會保持所有網路磁碟機為連線狀態。</p> <h3><a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-scam-abusing-holiday-sentiment"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歲末購物季來臨，美國、加拿大消費者遭到駭客鎖定，冒用當地知名品牌發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-scam-abusing-holiday-sentiment-four.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-scam-abusing-holiday-sentiment-four.jpeg" style="width: 300px; float: right;" /></a>雲端網路與資安服務業者Akamai的威脅情報團隊揭露從今年9月出現的釣魚攻擊，駭客鎖定在網路上找尋假日促銷活動的購物者，他們佯稱是知名的零售商或是產品製造者，宣稱購物者只要在5分鐘之內提供信用卡資料並支付運費，或是填寫簡單的問卷，就有機會獲得獎品。然而一旦購物者上當，他們的信用卡資料就會被駭客用於盜刷。研究人員指出，有89%存取釣魚網站的用戶為美國人及加拿大人。</p> <p>值得留意的是，這起攻擊行動裡，駭客的釣魚網站不只內容極為完整，甚至有收到禮物的用戶「評價」，駭客亦搭配了多種手法來規避偵測──這包含了濫用短網址服務、合法雲端服務（如Google Cloud、AWS主機服務、Azure blob儲存空間等），來降低受害者的戒心。</p> <p>此外，研究人員還發現了過往未曾出現的手法。例如，駭客在重新導向使用者的過程裡，濫用了統ㄧ資源識別碼片段識別符號（URI fragment identifier），以及針對每個遭到鎖定的目標產生專屬URL，而能夠躲過各式資安系統的偵測。</p> <h3><a href="https://medium.com/checkmarx-security/wasp-attack-on-python-polymorphic-malware-shipping-wasp-stealer-infecting-hundreds-of-victims-10e92439d192"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織WASP鎖定Python開發者而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_63L1gU-jcc73Xqv6D5IKyw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_63L1gU-jcc73Xqv6D5IKyw.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx指出，在本月初由<a href="https://blog.phylum.io/phylum-discovers-dozens-more-pypi-packages-attempting-to-deliver-w4sp-stealer-in-ongoing-supply-chain-attack">Phylum</a>、<a href="https://research.checkpoint.com/2022/check-point-cloudguard-spectral-exposes-new-obfuscation-techniques-for-malicious-packages-on-pypi/">Check Point</a>揭露兩起惡意PyPI套件的攻擊行動，雖然手法存在顯著的差異，但攻擊者其實都是名為WASP的駭客組織，此組織專門利用竊密軟體WASP Stealer（編按：Phylum將其稱為W4SP Stealer），盜走開發者的Discord帳密、加密貨幣錢包、信用卡資料，並透過特定的Discord webhook網址將偷到的資料傳給駭客。</p> <p>根據研究人員的分析，攻擊者使用的是多型態（polymorphic）的惡意軟體，每次部署的酬載都會改變；此外他們也透過圖像隱碼術（steganography）來埋藏惡意程式碼，還會製造假的GitHub評價，來讓開發者上當。</p> <h3><a href="https://www.fortinet.com/blog/threat-research/new-rapperbot-campaign-ddos-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遊戲伺服器遭殭屍網路RapperBot鎖定，被用於DDoS攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1668464186293.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1668464186293.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露殭屍網路RapperBot近期的攻擊行動，他們發現此殭屍網路於10月上旬出現新的變種病毒，駭客鎖定《俠盜獵車手：聖安地列斯》多人連線遊戲（Grand Theft Auto: San Andreas Multiplayer）的伺服器而來，目的是要將其用於DDoS攻擊。</p> <p>研究人員指出，此殭屍網路病毒透過Telnet連線目標裝置，並採用內建的密碼本，嘗試暴力破解目標設備，不像過往採用SSH連線，也並非透過C2取得相關帳密資料；根據他們的分析，該病毒針對Arm、MIPS、PowerPC、Sparc架構的電腦而來，假如偵測到在Intel處理器的電腦上，就會停止運作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.rapid7.com/blog/post/2022/11/16/cve-2022-41622-and-cve-2022-41800-fixed-f5-big-ip-and-icontrol-rest-vulnerabilities-and-exposures/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補BIG-IP、BIG-IQ的RCE漏洞</span></strong></a></h3> <p>資安業者Rapid7發現F5旗下BIG-IP、BIG-IQ系統的重大漏洞<a href="https://support.f5.com/csp/article/K94221585">CVE-2022-41622</a>、<a href="https://support.f5.com/csp/article/K13325942">CVE-2022-41800</a>，分別存在於iControl SOAP、iControl REST元件，前者可被用於跨網站偽造請求（CSRF）攻擊，且攻擊者無需通過身分驗證；後者則是攻擊者通過身分驗證並取得管理員權限後，可繞過設備模式（Appliance mode）的限制，濫用未公開的iControl REST端點。</p> <p>這兩個漏洞的CVSS風險層級為8.8分及8.7分，但研究人員認為影響有限，因為最嚴重的CVE-2022-41622需要多種條件搭配，攻擊者才能觸發漏洞，而F5表示，一旦這些漏洞被成功利用，後果將會相當嚴重。F5獲報後，近日發布了資安通告與修補程式。</p> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-kerberos-auth-issues-in-emergency-updates/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟緊急修補Windows的Kerberos登入問題</span></strong></a></h3> <p>11月17日，微軟發布例外更新（OOB），目的是針對網域控制器（DC）在部署本月例行修補（Patch Tuesday）的更新軟體後，可能會衍生Kerberos認證問題，進行解決。</p> <p>這項問題有可能影響所有的Kerberos認證，網域群組的受管理服務帳號（gMSA）將無法進行身分驗證，遠端桌面連結也會失效，亦導致工作站電腦無法存取共用檔案，此外，需要網域用戶身分驗證的列印工作亦無法執行。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/qbot-phishing-abuses-windows-control-panel-exe-to-infect-devices/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用Windows控制臺主程式感染受害電腦</span></span></strong></a></p> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-321a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">已有1,300個組織遭勒索軟體Hive加密檔案</span></span></strong></a></p> <p><a href="https://maybuys.com/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">海外購物代運業者美買國際網站故障，疑為前技術人員破壞所致</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/misconfigured-server-exposed-phi-600000-inmates-a-20482?"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療保險業者伺服器配置不當，曝露60萬囚犯個資</span></span></strong></a></p> <p><a href="https://www.bloomberg.com/news/articles/2022-11-15/fbi-is-extremely-concerned-about-future-tiktok-deal-christopher-wray-says"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國FBI指控中國大規模竊取商業機密與個資，尤以TikTok最讓人感到威脅</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154285"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android版DuckDuckGo瀏覽器新增程式追蹤保護功能</span></span></strong></a></p> <p><a href="https://www.securityweek.com/firefox-107-patches-high-impact-vulnerabilities"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla基金會發布Firefox 107，修補19個漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154205">【2022年11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</a></strong></strong></strong></p> </div></div></div>
2022/11/18 17:19作者周峻佑https://www.ithome.com.tw/news/154295