iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

搭配輝達頂級資料中心GPU，Dell推出第一款8-GPU伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_emc_poweredge_xe9680_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從2022年3月Nvidia發表新一代資料中心GPU產品H100，我們一直很關心各家伺服器廠商何時會推出可搭配這款GPU的機型，在11月SC22大會期間，Nvidia宣布有十多個廠牌、數十款伺服器將採用H100，而這些伺服器機型當中，他們特別標榜Dell即將推出的PowerEdge XE9680，因為這款機型是該公司第一次基於Nvidia HGX平臺而成的8-GPU系統，可搭配8個Nvidia H100或A100，而在中央處理器的部分，則採用兩顆同樣即將問世的英特爾第四代Xeon Scalable系列，而在散熱方面，採用氣冷設計，是專為融合模擬、資料分析、人工智慧等用途所設計的伺服器機型，能針對人工智慧提供最大運算效能。</p> <p>在此之前，Dell針對SXM外形的Nvidia資料中心GPU支援，僅提供4-GPU組態的機型，而且伺服器配置均由該公司設計，例如，2021年3月發表的<a href="https://www.ithome.com.tw/review/143409">XE8545</a>，搭配4個A100；2017年11月發表的<a href="https://www.ithome.com.tw/review/121757">C4140</a>，可搭配P100和V100的NVLink版本GPU。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20XE9680-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell PowerEdge XE Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20PowerEdge%20XE%20Server.jpg" style="width: 600px;" /></a></p> <p>發表XE9680的同時，Dell也預告將推出搭配4個SXM外形Nvdia H100 GPU的4U氣冷伺服器，機型名稱是XE8640，以及搭配4張OAM外形的Intel Data Center GPU Max系列的2U液冷伺服器，機型名稱是XE9640。而關於這三款機型的上市時程，當時的規畫是在2023年上半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-Dell%20Sing-PowerEdge%20Next-Nvidia3.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-Dell%20Sing-PowerEdge%20Next-Nvidia2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-Dell%20Sing-PowerEdge%20Next-Nvidia1.jpg" style="width: 600px;" /></p> <p>2022年12月，Dell釋出XE9680技術規格文件，揭露更多硬體基本配置，例如，機箱尺寸是6U高度，DDR5-4800記憶體插槽有32個，機箱前緣可安裝10張全高半長尺寸的PCIe 5.0介面卡，電源供應器為2800瓦；硬碟目前能搭配8臺2.5吋NVMe SSD，未來能搭配到16臺；搭配2顆英特爾第四代Xeon Scalable處理器，每顆核心最多為56個；若以整臺伺服器機箱而言，會有6個高效能金級風扇設置在中間，協助處理器散熱，以及10個高效能金級風扇設置在尾端，協助GPU與PCIe介面卡散熱。</p> <p>今年1月，英特爾正式發表第四代Xeon Scalable伺服器處理器，3月Dell在臺灣舉辦全新一代PowerEdge伺服器發表記者會時，首度公開展出上述三款GPU伺服器，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-Dell TW-PowerEdge Next-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Dell%20TW-PowerEdge%20Next-2.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/03_DELL_XE9680_20230303-web.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/04_DELL_XE9680_20230303-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_DELL_XE9680_20230303-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/07_DELL_XE9680_20230303-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/07_DELL_XE9680_20230303-web.jpg" style="width: 298px;" /></a></p> <p>其中的XE9680，根據Dell在新加坡舉行的PowerEdge .Next之Power Innovation Anywhere大會發布的消息，已於3月底正式出貨，也是市面上能買到的第一款搭載Nvidia H100的伺服器，而此款機型的技術指南、安裝與服務手冊等文件，也在3月出爐，當中更明確交代了硬體規格細節。</p> <p>例如，可搭配的處理器熱設計功耗（TDP）最高為350瓦，這也是第四代Xeon Scalable處理器的TDP上限，並且搭配2U高度的CPU高效能散熱座與CPU高效能金級風扇。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/XE9680-CPU%20and%20Fans.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/09_DELL_XE9680_20230303-web.jpg" style="width: 600px;" /></p> <p>關於GPU的設置，若採用預載8個Nvidia A100的HGX基板／Nvidia Delta Board，可搭配4U高度GPU散熱座與NVLink散熱座，以及GPU高效能金級風扇；若採用預載8個Nvidia H100的Nvidia Delta Board，只需搭配GPU高效能金級風扇。而在伺服器可運作的溫度範圍，則是介於攝氏10度到35度之間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X9680-H100.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/XE9680-HGX H100-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XE9680-HGX%20H100-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/XE9680-HGX H100-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XE9680-HGX%20H100-2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-HGX-H100-8-GPU-with-NVlink.png" style="width: 512px;" /></p> <p>先前Dell預告XE9680可搭配到16臺硬碟，而根據最新發布的技術規格文件指出，這是指E3.S外形的NVMe固態硬碟；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X9680-Front%20with%20E3_S%20and%20PCIe%20Slot.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/X9680-Front with E3_S and PCIe Slot2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X9680-Front%20with%20E3_S%20and%20PCIe%20Slot2.jpg" style="width: 600px;" /></a></p> <p>而在電源供應器的部分，可搭配到6臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/server-poweredge-xe9680-black-gallery-10.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Dell EMC PowerEdge XE9680<br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：6U<br /> ●處理器：2顆，第四代Xeon Scalable系列（最高搭配56核心機型）<br /> ●記憶體：32個DDR5-4800插槽，最大可擴充至4 TB<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟+2臺M.2 NVMe SSD<br /> ●搭配GPU：Nvidia HGX H100 8-GPU，8個SXM5形式GPU，或是Nvidia HGX A100 8-GPU，8個SXM4形式GPU<br /> ●I/O擴充介面：10個PCIe 5.0 x16全高半長介面卡<br /> ●電源供應器：6臺2800瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/4/22 01:44作者李宗翰https://www.ithome.com.tw/review/156425
【資安日報】4月21日，久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊WordPress網站的情況不時傳出，但近期出現了新型態的手法，而可能讓攻擊行動更難察覺──他們利用了長期沒有更新，而可能存在可利用漏洞的外掛程式，而使得攻擊行動有這種合法的外掛程式掩人耳目。</p> <p>VMware針對Aria Operations for Logs修補的漏洞也相當值得留意，因為，這次他們特別呼籲用戶要儘速修補CVE-2023-20864，怪異的是卻沒有公布其CVSS風險評分。</p> <p>近日微軟公布新的駭客組織命名規則，與過往不同的是，該公司以特定類型的氣候來命名駭客組織，並標榜這麼做使用者可更容易識別駭客的性質。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.sucuri.net/2023/04/massive-abuse-of-abandoned-evalphp-wordpress-plugin.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">已不再更新的外掛程式遭到濫用，駭客對WordPress網站植入後門程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/eval_php_plugin.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/eval_php_plugin.png" style="width: 300px; float: right;" /></a>資安業者Sucuri揭露針對WordPress網站而來的攻擊行動，駭客濫用超過10年未更新的外掛程式Eval PHP，於目標網站的資料庫裡，將惡意程式碼注入名為wp_posts的資料表，而這段程式碼用file_put_contents功能函式建立PHP指令碼，再以此部署後門程式。</p> <p>研究人員指出，這類攻擊行動很難被察覺，因為駭客是用老舊、合法的外掛程式來注入PHP程式碼</p> <p>而在攻擊的時機與規模上，今年4月，上述行動大幅增加，平均每天惡意下載Eval PHP的行為超過4千次。</p> <p><a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_apr2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用Google Drive及使用密碼保護的ZIP檔案，散布惡意程式Ursnif、Diceloader</span></strong></a></p> <p>Google旗下的資安行動小組（GCAT）與該公司併購的Mandiant展開合作，近期揭發一起金融木馬Ursnif資安攻擊。駭客先是透過釣魚郵件，引誘收信人從Google Drive下載ZIP檔案，此壓縮檔案受到密碼保護，一旦依照指示開啟、執行，電腦就有可能被植入Ursnif。</p> <p>研究人員指出，類似手法也被用於散布其他惡意程式。他們發現有人提供已竄改的Zoom安裝程式，於受害電腦部署惡意軟體Diceloader，過程中，同樣會要求使用者從Google Drive下載受密碼保護的ZIP檔案。</p> <p><a href="https://www.macrumors.com/2023/04/19/apple-responds-to-iphone-theft-recovery-key-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用iPhone回復金鑰，奪取手機用戶的iCloud帳號，並且斷除原機遺失尋回機制</span></strong></a></p> <p>根據華爾街日報的報導，駭客濫用iPhone回復密碼的功能，使得手機失竊的人再也無法存取iCloud儲存的照片及檔案。</p> <p>該媒體引述受害者的說法，這些人在手機被竊之後，駭客疑似輸入了Passcode，進而產生復原Apple ID的密鑰，而能成功入侵用戶的iCloud帳號。一旦成功入侵iCloud帳號，攻擊者就會馬上關閉Find My功能，並切斷能存取該帳號的蘋果裝置，甚至竊取Apple Pay行動支付的金鑰。對此，蘋果表示正在研擬防範此種威脅的新措施。</p> <p><a href="https://www.mandiant.com/resources/blog/3cx-software-supply-chain-compromise"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對3CX VoIP系統軟體供應鏈的攻擊事故有新發現！駭客先透過另一個軟體供應鏈入侵員工電腦</span></strong></a></p> <p>協助網路電話系統解決方案3CX調查供應鏈攻擊事故的資安業者Mandiant指出，他們發現在這起攻擊行動裡，駭客組織UNC4736並非直接對3CX的員工下手，而是先針對股票交易自動化業者Trading Technologies的網站下手，進而散布遭到竄改的X_Trader應用程式，然後於3CX員工電腦上部署模組化後門程式VeiledSignal，執行Shell Code將通訊模組注入瀏覽器的處理程序。</p> <p>而對於UNC4736的身分，研究人員根據所使用的基礎設施，認為與隸屬北韓駭客組織APT43的兩個駭客團體有關（UNC3782、UNC4469），以此推測UNC4736很有可能來自北韓。</p> <p><a href="https://www.welivesecurity.com/2023/04/20/linux-malware-strengthens-links-lazarus-3cx-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus假借提供工作機會的名義，鎖定Linux用戶發動攻擊</span></strong></a></p> <p>資安業者ESET揭露Operation DreamJob的新一波攻擊行動，北韓駭客組織Lazarus在職場社群網站LinkedIn與其他社群網站上，假借提供工作機會的名義，引誘受害者下載惡意軟體。</p> <p>研究人員看到的其中一起事故裡，駭客透過網路釣魚與LinkedIn散布名為HSBC job offer.pdf.zip的壓縮檔，其內容含有以Go語言編寫而成的Linux惡意軟體，駭客濫用了Unicode的特殊字元，而導致使用者以為副檔名是PDF。</p> <p>一旦使用者開啟上述檔案，惡意軟體OdicLoader會顯示誘餌PDF文件，並從雲端檔案共用服務OpenDrive下載第2階段的惡意軟體酬載SimplexTea。根據進一步分析、比對SimplexTea之後，研究人員發現，它與3CX供應鏈事故中的macOS版惡意程式SimpleSea有共通特徵，因此推測Lazarus參與上述供應鏈攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://kb.vmware.com/s/article/91831"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware vRealize漏洞恐讓攻擊者使用root權限執行程式碼</span></strong></a></p> <p>4月20日VMware發布資安通告，因為他們針對Aria Operations for Logs（原名vRealize Log Insight）發布了8.12版，目的是修補CVE-2023-20864、CVE-2023-20865兩個漏洞。</p> <p>其中比較值得留意的是CVE-2023-20864，此為反序列化漏洞，攻擊者有機會於目標系統上，使用root權限來遠端執行任意程式碼，影響Aria Operations for Logs 8.10.2版。該公司呼籲用戶應儘速升級軟體，但沒有透露此漏洞的CVSS風險評分。</p> <p><a href="https://gbhackers.com/chatgpt-account-takeover-bug/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ChatGPT存在漏洞，恐讓駭客接管帳號</span></strong></a></p> <p>研究人員Nagli揭露大型機器學習語言模型ChatGPT存在的漏洞，攻擊者可透過Web Cache欺騙手法，在自己已經登入ChatGPT的情況下，將惡意URL發送給目標用戶，並引誘登入ChatGPT，由於伺服器將使用者的敏感資料保存於暫存區，攻擊者就能從特定的CSS樣式表檔案裡，得知使用者的姓名、電子郵件信箱、Token等，而能存取目標用戶的ChatGPT帳號。對此，OpenAI在接獲通報的數個小時後修補上述漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156487"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織的命名缺乏統一識別原則，微軟倡議新作法，中國駭客組織將取名為某某颱風，俄羅斯駭客將取名為某某暴風雪</span></strong></a></p> <p>4月19日微軟宣布他們採用新的規則命名、稱呼駭客組織，這套規則主要依據駭客類型來進行分類，包含國家級駭客（Nation-state）、因經濟動機從事攻擊行動（Financially motivated）的駭客、私人領域的駭客（Private sector offensive actors）、認知作戰駭客（Influence operations），以及尚在發展中的駭客組織（Groups in development）等。</p> <p>其中，國家級駭客的部分，中國駭客以颱風（Typhoon）命名、伊朗駭客以沙塵暴（Sandstorm）命名、北韓駭客以雨雪（Sleet）命名，俄羅斯駭客以暴風雪（Blizzard）命名。</p> <p>以中國駭客組織為例，APT41他們命名為Brass Typhoon，駭客組織ControlX則叫做Charcoal Typhoon。這種新的命名方式，將有助於使用者能更容易判斷駭客組織的屬性，<a href="https://learn.microsoft.com/en-us/microsoft-365/security/intelligence/microsoft-threat-actor-naming">該公司也提供了駭客組織的新舊名稱對照表</a>。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/apt-attacks-telecoms-africa-mgbot"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">非洲電信業者遭中國駭客鎖定，部署惡意程式MgBot</span></span></strong></a></p> <p><a href="https://www.capita.com/news/update-cyber-incident"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國IT業者Capita證實網路攻擊出現資料外洩</span></span></strong></a></p> <p><a href="https://blog.google/threat-analysis-group/ukraine-remains-russias-biggest-cyber-focus-in-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭遭俄羅斯駭客APT28鎖定，目的疑為掌控與戰爭有關的話語權</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/d/an-analysis-of-the-bablock-ransomware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rorschach透過隨機字串的副檔名加密檔案</span></span></strong></a></p> <p><a href="https://www.zscaler.com/blogs/security-research/introducing-devopt-multifunctional-backdoor-arsenal"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">後門程式Devopt竊取受害電腦檔案</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156490">【4月20日】 Oracle發布2023年第2季例行更新，修補433個漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156455">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</a></strong></p> </div></div></div>
2023/4/21 16:54作者周峻佑https://www.ithome.com.tw/news/156513
PyPI套件維護者現可選用OpenID Connect可信發布方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python套件軟體儲存庫服務PyPI的套件維護者，將可以透過<a href="https://blog.pypi.org/posts/2023-04-20-introducing-trusted-publishers/">使用OpenID Connect（OIDC）標準，以第三方服務登入PyPI</a>，也就是說，維護者能夠不與外部系統共享長期密碼或是API權杖，以更安全的方法發布套件。</p> <p>OIDC是一種以OAuth 2.0協定為基礎的身分驗證和授權標準，其提供用戶單一憑證，在多個網站和應用程式進行身分驗證的方法，OIDC由於在OAuth 2.0的基礎上，增加了額外的身分資訊，因此應用程式還可以獲得諸如名稱和電子郵件等用戶基本資料。</p> <p>使用OIDC標準在可信第三方和PyPI之間交換短期身分權杖的功能，被官方稱為可信發布（Trusted Publishing），PyPI提到，可信發布可用於自動化環境，維護者在PyPI發布套件時，將不需要使用帳戶密碼組合，或是手動生成API權杖通過身分驗證。</p> <p>維護者可以改為在PyPI設定一個可信任的OIDC身分驗證供應商（IdP），使得PyPI能夠驗證和信任該身分，並授權該身分從PyPI請求短期且能力受限的API權杖。PyPI現在支援GitHub Actions可信發布，在將PyPI設定信任GitHub儲存庫和工作流程後，PyPA（Python Packaging Authority）pypi-publish GitHub Action使用者，便可以從工作流程中移除帳號密碼資訊，添加生成身分權杖的權限，開始使用受信任發布。</p> <p>PyPI強烈建議使用PyPA的GitHub Actions，同時推薦維護者，限制特定發布的GitHub Actions環境，可進一步提高發布工作流程的安全性，雖然配置環境可以選擇，但是官方強烈建議使用GitHub環境。維護者還可以對受信任的GitHub Actions工作流程，添加額外的限制，像是要求每次運作都需要由受信任的儲存庫維護者批准，以進一步提高安全性。</p> <p>以可信發布功能為基礎，PyPI還將擴展更多安全功能，官方解釋，因為配置和使用受信任的發布者，在專案和儲存庫之間提供了強連結資訊，使PyPI擁有更多可供驗證的後設資料，像是可驗證專案儲存庫的URL等，而且受信任的發布者也允許PyPI以可驗證的方式，關聯特定檔案的發布位置等資訊。</p> <p>雖然目前可信發布者僅支援GitHub Actions，不過官方提到，他們也有高度意願支援其他OpenID Connect身分驗證服務。</p> </div></div></div>
2023/4/21 15:26作者李建興https://www.ithome.com.tw/news/156508
數位化永不嫌遲
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>禍延全球的COVID-19疫情即將進入最終結束階段，這段期間所掀起的數位化浪潮，堪稱人類史上最大規模，然而，目前還是有不少人默默堅持使用傳統的電話溝通方式。</p> <p>例如，有一家我常去的餐廳，顧客可付現金，也能使用第三方支付服務來付賬，然而，他們每隔幾天要訂購米粉與麵條時，與其接洽的商家仍用電話溝通的方式來詢問，有時這家餐廳甚至還會接到重複詢問訂購數量的電話，難以理解為何他們彼此不用即時通訊軟體來解決這個經常需要確認的需求。</p> <p>另一個消息則與政治人物有關，由於近期臺灣各政黨都在積極準備2024的立法委員大選，許多地區面臨激烈的初選競爭，恰巧媒體報導有意參選的首都現任資深市議員，突然公開表示自己現在才開始使用智慧型手機，引起大家關注，他自嘲這是擺脫山頂洞人的第一步，因為選區很多長輩都比他會用手機，為了讓服務更專業周到，必須盡快脫離山頂洞人的行列。</p> <p>拒當「低頭族」、擔憂數位科技帶來的壞處多於好處的人，其實仍然存在你我的身邊，其實，大多數的我們過去也是如此，只是早了很多年就決定擁抱這些變化，因此，也無須訕笑這群朋友們。</p> <p>換個角度來說，現在他們一旦決定要使用這些科技，身邊馬上就有許多人可以指導如何操作，而且，無論是親友、同事、商家服務人員或路上的陌生人，我相信大家都很願意分享自己的經驗，幫助這些年長、對時興科技感到陌生的數位新鮮人，盡快體驗到便利性。</p> <p>回想自己開始使用智慧型手機至今剛好滿10年，那時身邊許多朋友早就已經在用，當時是因為要出國進行採訪工作，需要較長時間離開公司辦公室的個人電腦來進行遠距工作與溝通，筆電雖然可以應付工作發稿的需要，但是在人員移動的過程中，可能需要經常上網查詢交通與活動相關資訊，若每一次都必須拿出筆電來進行這些操作，也太麻煩了，因此，還是決定買一臺智慧型手機來滿足這些需求。</p> <p>使用新科技的過程，對很多人來說，可能都很擔心自己會著迷於社交網站、線上遊戲，嚴重影響工作與生活作息，的確大多數人都很有可能會經歷這些狀況，然而，經歷過網際網路崛起的我們，或多或少都體驗過何謂上網成癮，以及如何在各種時間空檔裡面設法上網，感受到虛擬世界連結互不認識的人們，彼此的互動、交換訊息，竟然是能夠如此頻繁，而到了社群網站、智慧型手機普及之後，這些體驗的提供更為全面、廣泛，衍生的各式線上應用，更是呈現百花齊放的姿態，令人目不暇給，但無論如何，我們終究必須學會取捨，因為每個人的時間與金錢都很有限，當不斷出現會吸引我們注意的各種內容時，終有一天，我們會察覺那些是對自己真正有益的，那些是徒勞無功的，會吸引我們花上大量時間與金錢的事物，真的是值得我們長期投入與追求的嗎？科技只是將這些很多人所嚮往的事物，更近距離地放在我們眼前，但不代表我們能全然擁有它們，而且，科技與這些迷人事物的出現，並不能替每個人決定該選擇什麼，身處其中的我們，雖然不免心神蕩漾而沉迷其中，甚至為此虛耗大把時間和金錢，但最終也將學會如何在利弊之間做出最佳取捨，而非全然擁抱或排斥。</p> <p>目前全球數位化的狀況如何呢？其實尚未接受的人還很多，能有很大的普及空間，而臺灣的比例，若以連網與手機使用而言，已高過全球平均。根據數據分析公司DataReportal今年1月發布的概況報告，網際網路的用戶數量為51.6億人，占全世界人口的64.4％；手機使用者數量為54.4億人，占全世界人口的68％。</p> <p>單看臺灣，我們在網際網路的使用者數量為2,168萬人，占總人口90.7％，透過手機上網者占全國上網人數的91.5％；以每天上網時間而言，手機占比為55.5％，電腦為44.5％。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E5%8C%96">數位化</a></div><div class="field-item odd"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div></div></div>
2023/4/21 15:38作者李宗翰https://www.ithome.com.tw/voice/156509
駭客能用iPhone復原密鑰，將用戶永久封鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/the-iphone-setting-thieves-use-to-lock-you-out-of-your-apple-account-716d350d" target="_blank">《華爾街日報》（Wall Street Journal）報導</a>，iPhone一項可用於回復密碼的功能，反而可讓駭客封鎖用戶，使其永遠無法再存取iCloud上的照片或檔案。</p> <p>報導引述多位受害者現身說法，他們的iPhone在被竊或被搶走後，被駭客產生復原密鑰功能修改掉Apple ID密碼及切斷存取管道，使失主無法再存取iCloud，以及儲存的照片或檔案。</p> <p><a href="https://support.apple.com/en-us/HT208072" target="_blank">根據蘋果網頁</a>，復原密鑰是一組隨機產生的28字元密碼，可在用戶忘記Apple ID密碼時發揮救援。用戶需結合復原密鑰、iPhone及信任的電話號碼來（即雙因素驗證）重設Apple ID密碼。另一個方式是輸入iPhone本身的passcode來重設Apple ID密碼。</p> <p>當駭客取得用戶iPhone後，只要知道iPhone passcode，即可產生復原密鑰，藉此存取iCloud。進入iCloud後，駭客即可關閉Find My功能以免於被追蹤，或是變更連結iCloud帳戶的裝置，包括受害用戶的iPhone或是其他蘋果裝置，以防止受害者從其他裝置來取得存取權。此後，一旦駭客可全權存取受害者iCloud帳戶，即可為所欲為，包括竊取Apple Pay或其他銀行帳戶（如果有聯結）中的金鑰、竊取或讀取iPhone用戶相片、電子郵件，要刪光也可以。</p> <p>蘋果警告，若受信任裝置及復原密鑰兩者都無法取得，用戶可能永遠無法存取其iCloud帳戶。只要駭客得知iPhone的passcode，就可以輕易變更用戶的存取憑證，即使手機開啟Face ID或Touch ID也擋不住，導致受害用戶再也無法存取其照片、電子郵件或檔案。</p> <p>報導指出，蘋果政策下，用戶沒有復原密鑰幾乎不可能重新取得iCloud帳號權限，受害者也抱怨蘋果不願單方面幫他們重設復原密鑰。</p> <p>報導引述蘋果方面的回應。該公司說對這些用戶的遭遇表達同情，蘋果一直在研究防止此類威脅的防護方法。</p> <p>目前能防止被人篡奪個人記憶及個資的方法，是避免被陌生人看到iPhone passcode，例如改使用Face ID或Touch ID驗證登入iPhone。此外，使用英文字母及數字混合的passcode，也會比單純4位數passcode更不容易被第三人從旁讀取。這可以從「設定」App中的「Face ID & Passcode」>「變更Passcode」變更passcode組合。</p> </div></div></div>
2023/4/21 15:13作者林妍溱https://www.ithome.com.tw/news/156507
Google整併AI研發為Google DeepMind
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/april-ai-update/" target="_blank">Google執行長Sundar Pichai昨（20）日宣布</a>合併Alphabet子公司DeepMind及Google研究院的Google Brain部門，成立新事業群Google DeepMind，全力開發人工智慧（AI）技術。</p> <p>新事業群將由DeepMind執行長Demis Hassabis持續掌舵，Google Brain領導人Jeff Dean將升任Google Research及DeepMind首席科學家，向Alphabet及Google執行長Sundar Pichai報告。Hassabis將領導「最強大的負責任通用型AI系統」的開發，協助打造Google次世代產品和服務，Dean的角色則是引領AI最關鍵及策略性的AI技術專案，其中包含強大的多模AI模型的開發專案。</p> <p>DeepMind由現任執行長Hassabis於2010年和倫敦大學學院機器學習專家Shane Legg共同創立。DeepMind 2014年為Google收購，總部仍位於英國倫敦。2016年DeepMind的AlphaGo打敗南韓與中國圍棋棋王李世石和柯潔聞名全球。DeepMind雖然獨立營運，但和Google業務持續往來，像是<a href="https://www.ithome.com.tw/news/127025" target="_blank">DeepMind的健康照護研發部門Stream於2018年併入</a>新成立的Google Health。</p> <p><a href="https://techcrunch.com/2023/04/20/google-consolidates-ai-research-divisions-into-google-deepmind/" target="_blank">Techcrunch報導</a>，DeepMind員工人數達1,000人，2020年已有獲利，營收約6,000萬美元，但主要來自授權Alphabet其他姐妹公司的收入。</p> <p>Google Brain則源自於Google X的深度學習研發小組，最初成員包括史丹佛大學教授吳恩達、Jeff Dean及Google研究院科學家Greg Corrado，其成果包括TensorFlow及大型深度學習系統DisBelief。</p> <p>新成立的Google DeepMind將整合Google Brain及DeepMind的AI研發成果，包括AlphaGo、Transformer、文字表示模型word2vec、音訊波形深度生成模型WaveNet、蛋白質結構預測模型AlphaFold、序列到序列模型（sequence to sequence model）、蒸餾（distillation）、深度強化學習、分散式系統及TensorFlow、JAX等用於表徵、訓練及部署大型ML模型的軟體框架。</p> <p><a href="https://www.deepmind.com/blog/announcing-google-deepmind" target="_blank">執行長Hassabis指出</a>，Google DeepMind將結合AI人才及Google的運算、基礎架構和其他資源，開發用於Google及Alphabet的AI技術。除了Jeff Dean外，Google科技和社會（Technology and Society）資深副總裁James Manyika將協助Google DeepMind打造負責任的AI，確保新科技遵循AI倫理及人類福祉。</p> <p>這次改組是Google在OpenAI的ChatGPT全球爆紅，激發Google內部發出紅色警戒，並整軍經武決心奪回AI領導地位的結果。Google正在積極研發聊天機器人Google Bard，以及<a href="https://www.ithome.com.tw/news/156439" target="_blank">整合AI能力、工程代號Magi的全新搜尋引擎</a>。</p> </div></div></div>
2023/4/21 11:21作者林妍溱https://www.ithome.com.tw/news/156498
60年老字號化工廠李長榮IT靠導入AI技術幫助公司每日污水處理量多3倍，年省437萬噸的製程用水
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不只大型電子製造業，臺灣傳統化工廠也為了推動ESG而善用IT，來幫助公司逐步轉型達到淨零排放的目標。李長榮化工資訊處資深處長翁英哲近日在一場活動上透露，他們不只導入AI技術推動工廠製程改善，來達到節能降耗，更把它用於永續發展，提高製程中水回收的效率，迄今可做到年省437萬公噸的工廠用水，相當於1,750座奧運池大小。</p> <p>成立快一甲子的李長榮化工，以醫療、工業及家庭用品常用的聚丙烯、甲醇、溶劑及熱可塑性橡膠等生產為主，跟其他製造業相比，李長榮在其製程中許多環節都需要消耗大量的水資源，因此為了節省用水，這家公司很早就導入MBR廢水處理系統，可將製程廢水經處理後，重新回到製程中供工廠內部重複利用，達到循環再生的循環經濟。</p> <p>傳統上，工廠製程廢水處理的關鍵，靠的是一群生長在⽣物淨化池裡的活性菌種，來處理這些排放到池裡的污水中含有的微⽣物，才能使得排出去的水能合乎排放標準，再回收利用，然而，菌種飼養大不易，他們發現，菌種需要大量氧氣，但是過多或過少的曝氣，都會導製生物活性不理想或廢水污染物濃度過高，進而影響到它的行動力，甚至是降低存活率，只能不斷增添新的菌種來維持處理後的⽔質，不只很沒效率，也容易使得處理的後⽔質不佳，沒辦法回收利用，導致回收率降低。</p> <p>為了解決這個問題，李長榮化工IT團隊打造一套AI 馴養控制系統，可以根據菌種曝氣池中的環境數據，包含溶氧值等，來掌握菌種的活動狀態，來決定何時該曝氣，提高水中含氧量，藉此讓它的活動力維持在最佳狀態，以此提高汙水處理的效率，讓處理後水質符合回用需求。</p> <p>翁英哲表示，導入這套系統後，大幅提升製程污水處理效率，從2021年每天平均處理3,661立方公尺，到了2023年增加提高到了每日11,866立方公尺的排放量處理，迄今更可做到年省437萬公噸的工廠用水，相當於1750座奧運池大小。長遠來看，更以年省五千座為目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230414_034851017.jpg" style="width: 600px; height: 338px;" /></p> <p>除了改善污水處理，太陽能發電板清潔也是李長榮長久困擾但一直未解決的難題，直到IT部門進來後才加以解決。</p> <p>為了增加可用再生電力，李長榮很早就選在滯洪池設置太陽能板發電，但運作一段時間後卻發現問題，若太陽能板上有異物，如鳥的排遺，久未清理，就容易影響到發電效率，但是何時該清成為了難題，為此，IT團隊開發一套AI清洗推薦系統，可以根據滯洪發電場的發電量、發電功率、日照量、溫度、天氣型態、風向、清洗記錄等，來比較發電量損失和電廠清洗時間，來計算推薦最佳的清洗時機，進而幫助作業人員能更有效率完成面板清潔作業，也減少清洗成本的浪費。甚至只要透過手機就能監看案場發電效能，來掌握每天發電狀況，一旦有面板發電異常也能即時通知相關人員處理。</p> <p>翁英哲表示，雖然這兩項AI應用不難，但卻帶給公司很大效益，不只提升製程用水的回收率，透過用水循環再利用，也幫助地球資源達到永續，還因此提高再生能源發電效率，供公司內部或工廠使用。</p> <p>李長榮的ESG減碳策略，是以材料科學、循環經濟和製程創新，來達到2050年淨零排放的目標。</p> <p>在製程創新上，李長榮從優化設備妥善率、智能監控與管理和精確化品質控制共三大面向，來逐步推動工廠永續發展。像是建立預防性維護機制，來提升工廠製程設備妥善率，也透過設備優化減少生產過程所產生的廢料與能耗等。還導入AI建立預測與決策模型，用於提高生產穩定性和品質，也作為管理者營運決策參考。</p> <p>另外，在材料科學上，李長榮以玉米糖漿或植物油取代傳統石化原料，透過科學發酵製程，產出生物可分解的材料，用於織品纖維、食物包材和漁網漁具等，藉此降低產品的碳足跡，也達到對環境友善。</p> </div></div></div>
2023/4/21 11:50作者余至浩https://www.ithome.com.tw/news/156497
【資安日報】4月20日，Oracle發布2023年第2季例行更新，修補433個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週二（11日）多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者。本週Oracle也發布了2023年4月的例行修補，當中總共修補超過400個漏洞，有相當大的比例是在Oracle Communications系列產品線，每6個漏洞就有1個與此有關。</p> <p>公部門不慎將資料庫公開的情況也相當值得留意，例如，有研究人員發現菲律賓執法單位曝露的資料庫，不僅含有個資，甚至還有組織之間的行政命令。但該資料庫是否真為菲國政府機關所擁有？目前尚無法完全確定，因為研究人員通報了當地十餘個機關後，僅有收到菲律賓國家電腦緊急應變小組（NCERT）回復，表示他們將確認需要負責的單位。</p> <p>勒索軟體駭客的攻擊也出現了新的手法，像是Trigona發動的攻擊裡，運用一種稱之為CLR Shell的惡意程式先進行探勘、提升權限，使得後續行動更加順利。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.vpnmentor.com/news/report-philippine-police-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">菲律賓執法單位資料外洩，120萬人個資恐曝光</span></strong></a></p> <p>VPN服務介紹網站vpnMentor揭露一個含有逾120萬筆記錄的資料庫，暴露在網際網路上，而且沒有使用密碼保護，經分析其內容與菲律賓執法單位有關，很有可能是與職員或是申辦業務的民眾個資。</p> <p>這個在網路裸奔的資料庫裡面，存有護照、出生證明、結婚證明、駕照、成績單、報稅資料等掃描文件，資料量高達817.54 GB。來源包含了菲律賓多個公家單位，像是：國家警察、國家調查局（NBI）、國稅局、特別行動部隊管理局等，外洩資料的內容不只包含個資，還有針對執法人員的內部指令，但該網站的研究人員無法判斷其機密程度。</p> <p>對此，菲律賓國家電腦緊急應變小組（NCERT）獲報後做出回應，表示他們著手調查需對此起資料曝露事故負責的單位。</p> <p><a href="https://asec.ahnlab.com/en/51343/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟SQL Server用戶當心！出現專攻此種資料庫系統的勒索軟體Trigona</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Trigona-34.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trigona-34.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現勒索軟體Trigona近期的攻擊行動，主要鎖定微軟SQL Server而來，駭客先是透過暴力破解或是字典攻擊的方式，存取此種資料庫伺服器，然後部署名為CLR Shell的惡意程式，進而接收攻擊者發出的命令並提升權限，接著投放偽裝成svcservice.exe的惡意軟體，啟動偽裝為svchost.exe的勒索軟體Trigona。</p> <p>研究人員指出，CLR Shell可用於提升權限、利用漏洞、收集系統資訊及使用者帳號配置，而能讓攻擊者進一步使用較高的權限執行各種惡意行為。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/play-ransomware-volume-shadow-copy"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Windows磁碟陰影複製工具遭駭客改裝，<br /> 勒索軟體Play以此竊取備份檔的資料</span></strong></a></p> <p>資安業者賽門鐵克揭露勒索軟體Play的新一波攻擊行動，駭客使用.NET開發兩個工具Grixba、磁碟陰影複製（VSS）工具，目的是在攻擊過程能更有效率。</p> <p>Grixba可用於列出網路環境裡的所有使用者與電腦，並能掃描防毒軟體、EDR系統、備份工具、遠端管理工具，藉此讓攻擊者判斷如何進行後續攻擊。</p> <p>而前述駭客自製的磁碟陰影複製（VSS）工具，則能於應用程式尚在使用檔案的情況下，從現有的備份資料竊取檔案。研究人員指出，這2個惡意程式都是Costura .NET開發工具編譯而成，而且只需單一執行檔就能運作<br /> 無需在受害電腦部署相依的DLL元件，就能正常執行。</p> <p><a href="https://www.theregister.com/2023/04/19/medusa_microsoft_data_dump/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Medusa聲稱竊得Bing、Cortana原始碼</span></strong></a></p> <p>根據新聞網站The Register的報導，研究人員Brett Callow發現勒索軟體駭客Medusa聲稱竊得大量微軟的內部資料，當中包含了搜尋引擎Bing及旗下產品，如Bing Maps與Cortana的原始碼。</p> <p>研究人員看到12 GB資料，分析後研判內容可能是去年Lapsus$偷到37 GB的一部分。駭客聲稱竊得的檔案裡，有很多微軟的數位簽章。研究人員表示，從犯案的手法來看，Medusa與Lapsus$有些相似，但不確定兩個組織是否有關。微軟目前尚未對此回應。</p> <p><a href="https://news.sophos.com/en-us/2023/04/19/aukill-edr-killer-malware-abuses-process-explorer-driver/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體AuKill被用於停用端點防毒軟體及EDR程式，發動自帶驅動程式攻擊</span></strong></a></p> <p>資安業者Sophos揭露利用名為AuKill的惡意程式攻擊行動，駭客將其用於在受害電腦上停用EDR用戶端程式，其手法是濫用微軟Sysinternals工具包裡、特定版本的Process Explorer元件procexp.sys，進而發動自帶驅動程式攻擊（BYOVD）。</p> <p>研究人員指出，從今年初，他們至少看到3起利用AuKill的攻擊行動，1月、2月皆有駭客用來部署勒索軟體Medusa Locker的情況，另一起則是散布勒索軟體LockBit的事故，發生於2月。研究人員進一步調查，總共找到6個版本的AuKill，第1個版本在去年11月出現，最新版本則是在今年2月被用於勒索軟體Medusa Locker攻擊行動。</p> <p><a href="https://www.fortra.com/blog/summary-investigation-related-cve-2023-0669"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MFT系統GoAnywhere開發商公布零時差漏洞事故的調查結果</span></strong></a></p> <p>2月2日，資安新聞記者Brian Krebs針對MFT檔案傳輸管理系統GoAnywhere的用戶提出警告，指出該系統存在零時差漏洞CVE-2023-0669，可被用於RCE注入攻擊。開發商Fortra於3日證實確有此事，之後相關漏洞攻擊事故頻傳，事隔2個多月，該公司終於公布調查結果。</p> <p>Fortra起初於1月30日，在部分雲端代管的GoAnywhere系統發現有異，著手調查得知駭客利用了未知漏洞建立使用者帳號，並下載檔案，且於受害系統部署了Netcat和Errors.jsp，疑似用來建立後門、掃描連結埠、傳輸檔案。</p> <p>這起攻擊行動最早可追溯到1月18日，換言之，待Fortra察覺有異之前，駭客已進行約2個星期的攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.oracle.com/security-alerts/cpuapr2023.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Oracle發布2023年第2季例行更新，修補433個漏洞</span></strong></a></p> <p>4月18日Oracle發布本季例行更新，<a href="https://www.securityweek.com/oracle-releases-433-new-security-patches-with-april-2023-cpu/">當中總共修補了433個漏洞</a>，其中超過70個是重大等級。值得留意的是，上述漏洞當中有多達250個，若攻擊者要遠端利用，無需通過身分驗證就能執行。</p> <p>其中出現最多漏洞的產品線是Oracle Communications系列，總共有77個（27個被評為重大等級），其次則是Financial Services Application、Fusion Middleware，分別有76個、49個。（補充說明：Oracle一年發布4次例行更新，分別在於1月、4月、7月、10月發布。）</p> <p><a href="https://www.papercut.com/kb/Main/PO-1216-and-PO-1219"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">列印管理軟體系統PaperCut出現RCE漏洞，已被用於攻擊</span></strong></a></p> <p>4月19日列印管理軟體業者PaperCut提出警告，表示3月修補的部分漏洞傳出已被用於攻擊行動的狀況，呼籲IT人員應儘速升級PaperCut伺服器軟體程式。</p> <p>這個被利用的漏洞分別為CVE-2023–27350，可讓攻擊者在沒有通過身分驗證的情況下，於PaperCut應用程式伺服器遠端執行任意程式碼（RCE），CVSS風險評分為9.8。</p> <p><a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_18.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">不到一週Google再度更新Chrome 112，原因是又傳出零時差漏洞攻擊</span></strong></a></p> <p>Google於4月14日修補今年Chrome第1個零時差漏洞CVE-2023-2033，但事隔不到一個星期，該公司再度發布新版程式，修補第2個被用於攻擊行動的漏洞。Google於18日發布Windows及macOS版112.0.5615.137、112.0.5615.138，以及Linux版112.0.5615.165，當中一共修補了8項漏洞（其中5個有CVE編號），最值得留意的部分，是被用於攻擊行動的高風險漏洞CVE-2023-2136，存在於名為Skia的2D圖形程式庫元件，屬於整數溢位類型的漏洞。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://threatmon.io/apt-blind-eagles-malware-arsenal-technical-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織APT-C-36散布木馬程式NjRAT</span></span></strong></a></p> <p><a href="https://www.uptycs.com/blog/cyber_espionage_in_india_decoding_apt_36_new_linux_malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Poseidon鎖定印度政府機關而來</span></span></strong></a></p> <p><a href="https://cn.yna.co.kr/view/ACK20230418003300881"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">多個南韓組織遭到北韓駭客Lazarus入侵，控制超過200臺電腦</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-sandbox-escape-poc-exploit-available-for-vm2-library-patch-now/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">JavaScript程式庫VM2再度出現沙箱逃逸漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156487"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟採用新規則命名駭客組織，以颱風命名中國駭客、暴風雪命名俄羅斯駭客</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156455">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156443">【4月17日】 ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現</a></strong></p> </div></div></div>
2023/4/20 17:37作者周峻佑https://www.ithome.com.tw/news/156490
英特爾悄悄終止挖礦用晶片Blockscale
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著比特幣等加密貨幣過去一年價格大跌，英特爾本周對媒體證實，將終止挖礦伺服器用的Blockscale晶片。</p> <p>這家晶片大廠<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-launches-new-intel-blockscale-technology.html" target="_blank">去年4月公布</a>Blockscale ASIC系列，主打可讓客戶挖礦的省電方案。《<a href="https://www.tomshardware.com/news/intel-discontinues-bitcoin-mining-blockscale-chips-no-future-gens-announced" target="_blank">Tom's Hardware</a>》報導，不過一年後，本周英特爾宣布第一代Blockscale 1000系列晶片終止生命周期（End of Life），而且也未公布任何次世代產品計畫。</p> <p>英特爾對媒體表示，由於公司現以模組化架構策略IDM 2.0為優先，因而終止Blockscale 1000系列ASIC。該公司表示會持續提供客戶支援。</p> <p>Blockscale是在近年比特幣等加密貨幣價格一飛沖天的時空背景下誕生。不過去年春天隨著全球景氣反轉，投資人縮手也導致各種加密貨幣價格崩盤。以比特幣為例，1比特幣價格從去年4月的4.6萬美元下滑到最低來到1.7萬美元。</p> <p>報導指出，英特爾雖然結束了Blockscale產品，但未來還是可能再度切入市場。比特幣兌美元價格今年曾一度突破3萬美元，今（20）日1比特幣價格已回升到2.9萬美元。</p> <p>不過整體環境還是相當挑戰。去年以來全球景氣不振陰霾籠罩，企業客戶採購縮手導致PC、伺服器、企業軟體大廠難逃衰退命運。英特爾分別在1、2月裁減加州廠員工500及300餘名，而剩下的員工也面臨減薪5到25%。</p> <p>此外，這家晶片大廠還相繼關閉非核心部門如網路交換器、5G數據機和Optane記憶體，並出售SSD儲存部門給SK Hynix，把<a href="https://www.theregister.com/2022/07/05/elon_musks_brother_buys_intels/" target="_blank">無人機業務賣給</a>伊隆馬斯克（Elon Musk）兄弟Kimbal Musk。上周英特爾宣布將<a href="https://www.datacenterdynamics.com/en/news/intel-to-sell-dedicated-server-business-to-mitac/" target="_blank">伺服器生產業務賣給</a>了神達集團。</p> </div></div></div>
2023/4/20 16:40作者林妍溱https://www.ithome.com.tw/news/156488
微軟移除廣告平臺對Twitter的支援，馬斯克反擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.ads.microsoft.com/apex/index/3/en/60085" target="_blank">微軟本周宣布</a>，將在今年的4月25日移除Smart Campaigns with Multi-platform對Twitter的支援，<a href="https://twitter.com/elonmusk/status/1648784955655192577?s=20" target="_blank">而Twitter執行長馬斯克（Elon Musk）則在該則消息底下留言</a>，表示微軟非法使用Twitter資料進行訓練，訴訟的時候到了。</p> <p>Smart Campaigns是微軟廣告（Microsoft Advertising）針對小型企業於微軟搜尋網路（Microsoft Search Network）上刊登廣告所提供的服務，透過AI替廣告主建立及管理廣告活動。而Multi-platform則是讓這些小型企業可以集中管理Bing搜尋、Google搜尋、Facebook與Instagram上的廣告，以及管理廣告主於Facebook、Instagram、LinkedIn及Twitter等社交平臺上的曝光，而且是個免費服務。</p> <p>根據微軟的公告，Multi-platform自4月25日之後就不再支援Twitter，屆時廣告主將無法再透過社交管理工具存取Twitter帳號，無法建立或管理推文，無法再安排推文或是檢視過去的推文，但對Facebook、Instagram與LinkedIn的支援則沒變。</p> <p>微軟並未說明不再支援Twitter的原因，但外界認為這主要是因為Twitter準備推出付費的API訂閱方案，而根據業者在今年3月收到的報價，每月若要存取5,000萬則推文的訂閱費用為4.2萬美元，1億則推文的費用是12.5萬美元，2億則為21萬美元。而Twitter Daily News也直接指出，微軟是因不願支付API費用才停止支援Twitter。</p> <p>也有其它業者認為Twitter的API費用太高了，市場則推測應該沒有太多組織用得起。</p> <p>為了報復微軟棄用Twitter，馬斯克則指責微軟非法使用Twitter資料來訓練（AI），還說微軟剝削Twitter資料庫，移除其中的廣告，再把資料出售給其它人並不是個成功的解決方案，該是提告的時候了。</p> </div></div></div>
2023/4/20 17:00作者陳曉莉https://www.ithome.com.tw/news/156489
微軟開始以氣候來命名駭客組織，中國駭客叫颱風，俄羅斯駭客稱雪暴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/18/microsoft-shifts-to-a-new-threat-actor-naming-taxonomy/" target="_blank">微軟周三（4/19）宣布</a>，將以氣候狀態來命名所有的駭客組織，例如只要是由中國政府支持的駭客組織便以颱風（Typhoon）為名，將伊朗駭客組織稱為沙塵暴（Sandstorm），基於經濟動機的駭客組織為暴風雨（Tempest），若是還在追蹤、且未被分類的駭客組織則稱作風暴（Storm），雖然這可能加劇外界在不同資安業者賦予同一駭客組織不同名稱的混淆狀態，但微軟認為，使用者或客戶將可依據新的命名政策迅速得知一個駭客組織的脈絡。</p> <p>從微軟的命名架構來看，微軟將全球駭客組織分成國家級駭客（Nation state）、具經濟動機（Financially motivated）的駭客、私人領域的駭客（Private sector offensive actors）、認知作戰駭客（Influence operations），以及尚在發展中的駭客（Groups in development）。微軟以氣候狀態來命名不同的類別，其中，不同國家的國家級駭客都有自己的名稱，例如中國駭客稱為颱風，伊朗駭客叫做沙塵暴，黎巴嫩駭客是下雨（Rain），北韓駭客為雨雪（Sleet），俄羅斯駭客為雪暴（Blizzard），南韓駭客是冰雹（Hail），土耳其駭客叫灰塵（Dust），越南駭客是氣旋（Cyclone）。</p> <p>同一國家的不同駭客組織則以基礎命名延伸，例如把知名的中國駭客組織APT41稱為Brass Typhoon，另一中國駭客組織ControlX則叫做Charcoal Typhoon。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/security/blog/wp-content/uploads/2023/04/Figure2-Blizzard-Russia-Sandstorm-Iran.png" style="width: 600px;" /></p> <p>至於其它類別則使用統一的命名方式，舉凡是基於經濟動機的都叫做暴風雨（Tempest），只要是私領域的都稱為海嘯（Tsunami），認知作戰類的駭客名為洪水（Flood），而仍在發展中尚無法歸類的則稱作風暴（Storm）。</p> <p>除了仍在開發與追蹤的風暴是以Storm-####（後面為數字）命名之外，其它類別都採用非數字的命名法，例如惡名昭彰的金融駭客組織FIN7在微軟新的分類及命名法中，有了個Sangria Tempest的新名稱。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/security/blog/wp-content/uploads/2023/04/Figure3-Storm-In-development-actors.png" style="width: 600px;" /></p> <p>於是乎，在未來微軟提及駭客組織時，只要看到Seashell Blizzard 、Secret Blizzard或Midnight Blizzard，就知道它們為俄羅斯國家級駭客，看到Wine Tempest或Tomato Tempest時，便曉得它們屬於經濟動機駭客。</p> <p><a href="https://learn.microsoft.com/zh-cn/microsoft-365/security/intelligence/microsoft-threat-actor-naming?view=o365-worldwide" target="_blank">資安社群、使用者或微軟客戶得以透過微軟的官方文件</a>，來比對新的命名所對應的各個不同的駭客組織。</p> </div></div></div>
2023/4/20 14:19作者陳曉莉https://www.ithome.com.tw/news/156487
Google緊急修補Chrome今年第2個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156426" target="_blank">Google三天前才修補</a>Chrome瀏覽器今年第1個零時差漏洞，<a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_18.html" target="_blank">昨（19）日又再發布更新</a>，修補第2個已遭到濫用的高風險安全漏洞。</p> <p>Google昨日針對Windows、Mac和Linux平臺分別釋出Chrome 112.0.5615.137/138、112.0.5615.137，以及112.0.5615.165版本，預計會在未來幾天到幾周內向全球用戶部署完成，以修補數項安全漏洞。其中，CVE-2023-2136已經被發現有濫用活動，是Chrome上今年發現的第2個零時差漏洞。它影響Chrome的開源2D繪圖函式庫Skia，為一整數溢位（Integer overflow）漏洞，可讓之前已破壞渲染器（renderer）行程的遠端攻擊者傳送惡意HTML網頁，執行沙箱逃逸（sandbox escape），而在用戶機器上執行惡意活動。</p> <p>CVE-2023-2136為Google威脅分析小組研究人員Clément Lecigne通報。本漏洞屬於高風險，影響所有Chromium-based瀏覽器，包括Edge、Brave、Opera和Vivaldi等，用戶應儘速更新到最新版本。微軟也已釋出最新版本Edge到Mac及Windows機器。</p> <p>最新版Chrome更新另外修補的高風險漏洞，包括CVE-2023-2133和CVE-2023-2134，皆為Services Worker API的越界記憶體存取漏洞。CVE-2023-2135為DevTools中的使用已釋放記憶體漏洞。CVE-2023-2137則是SQLite元件的堆積緩衝溢位漏洞。</p> </div></div></div>
2023/4/20 13:33作者林妍溱https://www.ithome.com.tw/news/156486
Stability AI開源LLM模型，自詡小但具高效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以Stable Diffusion圖片生成AI系統聞名的AI新創公司<a href="https://stability.ai/blog/stability-ai-launches-the-first-of-its-stablelm-suite-of-language-models" target="_blank">Stability AI本周宣布開源</a>可生成文字和程式碼的大型語言模型（Large Language Model，LLM）StableLM，強調模型雖小，但具備高效能。</p> <p>StableLM相關程式碼及技術文件已透過CC BY-SA-4.0授權公開於<a href="https://github.com/stability-AI/stableLM/" target="_blank">GitHub</a>及<a href="https://huggingface.co/stabilityai/stablelm-tuned-alpha-7b" target="_blank">Hugging Face</a>上，開發人員可自由研究、使用及加值開發其基礎模型，作為商用或研究用途。</p> <p>現為Alpha版的StableLM有30億及70億個參數，之後還會有150億及650億個參數的版本。Stability AI表示，StableLM作為基礎模型，可以產生文字和程式碼，衍生多種應用，展現小模型只要經過適當訓練也能提供高效能。</p> <p>StableLM的開源是繼該公司和非營利研究組織EleutherAI之前的開源計畫後的最新合作。當時開源的GPT-J、GPT-NeoX和Pythia套件等語言模型是以The Pile開源資料集訓練而成。StableLM的訓練資料來自The Pile的最新實驗性資料集，但內容達1.5兆個token，是之前的三倍大。該公司說，資料集相當豐富，因此即使StableLM模型只有30億到70億個參數，在對話和寫程式任務上仍能提供極高效能。相較之下，GPT-3參數高達1,750億個。Stability AI表示很快會公布資料集的細節。另二家公司Cerebras及Databricks也以類似方式開源其模型<a href="https://www.cerebras.net/blog/cerebras-gpt-a-family-of-open-compute-efficient-large-language-models/" target="_blank">Cerebras-GPT</a>及<a href="https://www.ithome.com.tw/news/156407" target="_blank">Dolly-2</a>。</p> <p>Stability AI也將開源經過指令微調的一組研究模型，這組模型將使用近日開源的5個聊天機器人的綜合資料集來訓練，包括Alpaca、GPT4AII、Dolly、ShareGPT和HH等。這些模型僅供研究使用，以非商業性的CC BY-NC-SA 4.0授權開源。</p> <p>除了StableLM，業者表示將於近期公布完整技術報告，也希望和更多開發人員在StableLM套件上的合作。他們同時啟動眾籌的RLHF（Reinforcement Learning with Human Feedback）計畫，邀請如Open Assistant等社群以建立AI助理的開源資料集。</p> </div></div></div>
2023/4/20 12:37作者林妍溱https://www.ithome.com.tw/news/156485
微軟傳已投入開發自有AI專用晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/microsoft-readies-ai-chip-as-machine-learning-costs-surge" target="_blank">《The Information》報導</a>，積極投入AI策略的微軟，數年前已著手開發一顆專門為AI模型訓練及執行聊天機器人而設計的強大晶片，代號為Athena。</p> <p>報導引述2名消息人士指出，微軟早在2019年就已啟動Athena專案的開發，希望這顆軟、硬整合設計的晶片能提供比市售晶片更大的運算效能。微軟2019年首次投資AI新創公司OpenAI 10億美元。消息人士也說，已有部分微軟和OpenAI員工已經拿到Athena的工程樣品。</p> <p>報導指出，目前有300人投入Athena專案開發。Athena專案規畫數代設計，第一代可能以台積電5奈米製程生產。</p> <p>微軟最近投資OpenAI數十億美元，取得其GPT模型及ChatGPT技術。微軟最終目的是希望將AI整合到它所有產品服務中，包括Office、Windows、甚至整個Azure雲端服務。而一旦以高效能晶片作為Azure雲端的運行底層，將需天價硬體成本。</p> <p>專家分析，現有AI系統使用的GPU中，Nvidia的A100及H100占了90% 的市場，兩顆售價分別在每顆1萬及4萬美元。透過自行研發晶片，微軟可能希望藉此降低資料中心成本，提升開發主導性及開發時程，或至少取得和Nvidia議價的籌碼。</p> <p>微軟和Nvidia皆未對此回應。</p> <p>這並不是微軟第一次投入AI硬體開發。<a href="https://www.microsoft.com/en-us/research/project/project-brainwave/" target="_blank">微軟2017年也透過Brainwave專案</a>，開發在雲端及邊緣執行即時AI推論的深度學習平臺。</p> <p>其他的雲端大廠，包括Google、Amazon Web Services、騰訊、阿里巴巴等也都投入自製AI晶片。</p> </div></div></div>
2023/4/20 10:54作者林妍溱https://www.ithome.com.tw/news/156484
Netflix升級帶有廣告的基本方案，畫質從720p提高到1080p
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>串流媒體巨頭Netflix（網飛）對自家產品帶有廣告的基本方案（Basic with Ads）進行了升級，將原本720p的畫素品質提升至1080p，並允許用戶在兩個設備上同時觀看節目。</p> <p>Netflix在2023年第一季度給<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2023/q1/Final-Q1-23-Shareholder-Letter.pdf">投資者的信中</a>表示，將從加拿大和西班牙的訂戶首先開始享受這個升級的服務，並將在本月某個時候推出給所有有此廣告基本方案的國家（美國、墨西哥、巴西、英國、法國、德國、義大利、日本、韓國與澳洲）。</p> <p>這一變化有助於Netflix在與其他競爭對手如Hulu、Amazon Prime Video、HBO和Disney+等的競爭中吸引更多用戶。</p> <p>Netflix在去年11月於全球12個國家推出<a href="https://www.ithome.com.tw/news/153633">Basic with Ads</a>，平均每小時的影片會有4-5分鐘的廣告，訂閱費率每個月為6.99美元。當時Basic with Ads只支援1個裝置觀看，影片品質最高為720p。Netflix 表示，Basic with Ads目前表現優於不帶廣告的標準計劃（standard plan），後者每月收費15.49美元。</p> <p>另外，從第一季財報可以看到，Netflix將在第二季把<a href="https://www.ithome.com.tw/news/156466">付費分享（Paid Sharing）</a>政策從僅僅4個國家，擴展到美國與其它大多數的市場，也就是說倘若Netflix訂戶將帳號分享給未同住的親友需要另外付費。而自今年9月Netflix也正式關閉其推行長達25年提供的DVD郵寄租賃服務。</p> <p class="rtecenter"><img alt="Netflix DVD - The Final Season" src="https://images.ctfassets.net/4cd45et68cgf/3yCKPqGMC6MnD9ebCOzj30/326073cb5abe1d5b2240c32944896b00/DVD.COM_Newsroom_936x622.gif?w=2560" style="width: 450px;" /></p> </div></div></div>
2023/4/20 09:45作者洪予揚https://www.ithome.com.tw/news/156483
全球用戶都能免費體驗Snapchat聊天機器人，並推出AI生成的濾鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Snapchat於今年2月已經宣布與OpenAI合作推出名為「我的 AI（My AI）」的智慧助理。當時只提供Snapchat+的付費訂閱用戶，每個月$3.99美金，現在全世界的人都能免費使用。</p> <p>此聊天機器人可以幫助用戶處理各種事務，從管理日常任務、提醒用戶重要活動，到提供有關天氣、新聞等方面的即時訊息。用戶還可以通過與聊天機器人互動來了解最新的趨勢、娛樂資訊等。Snapchat同時強調了用戶隱私保護的重要性，將對所有與聊天機器人的互動進行加密處理。</p> <p>此外，用戶可以為這個機器人取名字並客製化<a href="https://www.bitmoji.com/">Bitmoji</a>頭像，很像是為自己打造一個虛擬夥伴，當「他或她」參與群組對話時，名字旁邊會有閃光以幫助區分與真實人類的差異。</p> <p>雖然My AI不再僅限於Snapchat+，但付費訂閱者將獲得一個有趣的額外功能， Snapchat打算為Snapchat+訂閱者在My AI做出以AI生成圖像的方式回應。例如，向My AI發送一個南瓜的Snap可能會得到一張南瓜湯的圖片回應。</p> <p>Snapchat也在Snap Partner Summit推出了由AI生成的AR（Augmented Reality）濾鏡，這個濾鏡名為「宇宙濾鏡（Cosmic Lens）」。其濾鏡可以根據用戶的喜好和當下環境製造出獨特的視覺效果，像是將我們動畫化後置身於科幻的場景。</p> <p class="rtecenter"><img src="https://images.ctfassets.net/o1znirz7lzo4/6kFcnRl5TSWXf18kv47pQp/a5af3e62965c698805de9b4fb65b7a3e/SPS-Lens-2.gif?h=600" style="width: 339px;" /></p> <p>Snapchat轉向由AI增強AR濾鏡並不令人意外，畢竟先前已經發布My AI聊天機器人加入了AI狂潮。值得注意的是，Snapchat 並非唯一使用AI改進其AR產品的社交媒體平台，因為TikTok最近也使用AI生成了<a href="https://www.tiktok.com/sticker/Bold-Glamour-14519854?lang=en">Bold Glamour</a>濾鏡，這個濾鏡能讓使用者的臉部更立體、眉毛對稱。即使使用者用手擋在自己面前，畫面也幾乎不會變形。根據<a href="https://techcrunch.com/2023/04/19/snapchat-launches-ar-lenses-powered-by-generative-ai-starting-with-a-new-cosmic-lens/">TechCrunch報導</a>，Snapchat指出，Snapchat更新了推薦濾鏡的演算法，也將會根據用戶拍攝的照片或影片找到適合的濾鏡推薦給用戶，例如從影像內的天氣、拍照時間等判斷。<a href="https://www.reuters.com/technology/snap-says-snapchat-has-3-million-paid-subscribers-2023-04-19/">路透社指出</a>在訪問Snapchat執行長（CEO）Evan Spiegel時，他說也可以要My AI推薦濾鏡，幫助用戶探索更多功能，同時能用地圖功能推薦現實生活的參觀景點。</p> <p class="rtecenter"><img src="https://downloads.ctfassets.net/o1znirz7lzo4/6M8gaWPNvLKGloLILDHe30/b7e14d8a9593b96d044d4fe816294920/20_Contextual_Lenses_Part_1_2.gif?h=600" style="width: 600px;" /></p> <p>Snapchat也透露，目前超過30萬的AR創作者和開發者已經創建了超過300萬個濾鏡。</p> </div></div></div>
2023/4/20 08:25作者洪予揚https://www.ithome.com.tw/news/156481
Adobe Lightroom新增以AI消除噪點、強化細節修整的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周在<a href="https://blog.adobe.com/en/publish/2023/04/17/reimagining-video-audio-adobe-firefly" target="_blank">NAB產品大會</a>上，<a href="https://blog.adobe.com/en/publish/2023/04/18/new-adobe-lightroom-ai-innovations-empower-everyone-edit-like-pro" target="_blank">Adobe宣布多項整合AI，可消除相片噪點、調整圖片細節的新Lightroom功能</a>。</p> <p>Adobe相片編輯軟體Lightroom產品線，包括提供給一般消費者及專業攝影師的Lightroom、Lightroom Classic、以及行動版Lightroom Mobile、網頁版Lightroom Web，都加入了以機器學習模型Adobe Sensei為基礎的AI功能。例如新版加入人像適應性預設功能，方便用戶從預設資料庫選擇，以微調人像的相片明暗細節，包括天空顏色、牙齒、皮膚顏色到人物鬍鬚、髮絲的層次變化。另外，AI自動產生的遮罩功能去年首度用於Adobe的人像處理，現在可進一步處理衣服及毛髮（如鬍鬚）的編輯。AI遮罩功能之前只在桌機版和行動版支援，現在Web版也可以使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0420-Adobe%20Photoshop%20Lightroom-New%20Adobe%20Sensei%20AI-powered%20features-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Adobe</span></span></p> <p>還有降噪及曲線功能。降噪功能可去除昏暗燈光下拍攝的人像噪點，提高影像品質卻不喪失細節，對高感光度的檔案尤其有效。曲線調整（tone curve）功能則允許修飾相片特定部位的顏色和色調，目前支援RAW檔案，之後會擴大到其他檔案類型。此外，用戶也可以將彩色影片轉成黑白影片。</p> <p>此外，Lightroom目前以技術預覽版支援內容憑證（content credential），可允許用戶蒐集紀錄圖片編輯的活動及metadata屬性資訊，以證明影像的真實性，而非AI創作。這些憑證為可攜式證據，不論傳到哪個平臺都能用以證實內容真實性。</p> <p><a href="https://www.ithome.com.tw/news/156307" target="_blank">Adobe本月稍早還宣布Creative Cloud加入生成性AI模型Adobe Firefly</a>，可生成圖像和文字，以及<a href="https://blog.adobe.com/en/publish/2023/04/13/nab-2023-introducing-text-based-editing-premiere-pro-properties-panel-after-effects-more#:~:text=Powered%20by%20Adobe%20Sensei%2C%20Text,to%20start%20your%20rough%20cut." target="_blank">影像編輯軟體Adobe Premiere Pro中加入文字化編輯功能及AI色彩與色調自動調配</a>，前者可將影片聲明自動轉錄成文字，方便用戶更快搜尋到需要的段落加以編輯，後者則可比對不同影像來源的色調，不需調色檔，支援iPhone HLG及常見log格式如SonyS-Lo，本功能可減少不同來源影像的色差，方便跨媒體製作。</p> </div></div></div>
2023/4/20 08:44作者林妍溱https://www.ithome.com.tw/news/156482
【資安日報】4月19日，駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發布號稱可提供破解軟體下載的影片，藉機散播惡意網址，但為了要迴避偵測，他們在YouTube頻道列出的網址，可下載的是惡意程式載入工具，待受害者安裝之後，才開始進行後續的植入。</p> <p>企業在淘汰網路設備的時候也要謹慎，務必清除設備存放的網路配置！有研究人員發現，他們從網路上購得、企業淘汰的二手設備竟儲存不少內部網路組態資料，而有可能成為駭客用於入侵組織的管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.morphisec.com/in2al5d-p3in4er"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過YouTube影片散布惡意程式載入程式的下載網址，目的是後續可植入竊資軟體Aurora</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/undefined-Apr-17-2023-11-39-26-3259-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/undefined-Apr-17-2023-11-39-26-3259-PM.png" style="width: 300px; float: right;" /></a>資安業者Morphisec揭露散布竊資軟體Aurora的攻擊行動，駭客利用知名的商業軟體開發工具Embarcadero RAD Studio，打造惡意程式載入工具in2al5d p3in4er，而能達到回避偵測的效果。然後，透過竊得的熱門YouTube帳號上架宣傳影片，聲稱提供破解版軟體的名義，來散布此惡意程式下載工具，進而於受害電腦植入上述竊資軟體。</p> <p>比較特別的是，為了防堵研究人員利用虛擬機器進行分析，駭客運用dxgi.dll程式庫的功能函式CreateDXGIFactory，查詢電腦上顯示卡供應商的ID，若是ID不在白名單內（Nvidia、AMD、Intel），此下載工具就會停止攻擊行動，繼續將自己偽裝成正常應用程式。</p> <p><a href="https://www.welivesecurity.com/2023/04/18/discarded-not-destroyed-old-routers-reveal-corporate-secrets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遭企業廢棄不用的路由器，恐成危害網路安全因子，因為有可能殘留網路組態設定的敏感資訊，有徹底銷毀的必要</span></strong></a></p> <p>資安業者ESET提出警告，企業淘汰的網路設備有可能會洩露內部網路環境的敏感資訊。他們起初是在網路上購得Juniper二手路由器上，發現含有特定企業的網路環境資訊，為了驗證這並非單一個案，他們又購置數臺企業淘汰的網路設備進行分析。</p> <p>結果發現，在16臺設備裡有9臺含有企業核心的網路組態資訊、公司帳密、公司應用程式的資料。研究人員指出，前述的應用程式包含了微軟的Exchange、Skype、SharePoint、SQL Server、Salesforce、VMware Horizon View、FTP伺服器、LDAP應用程式等。此外，這些網路設備也具有所屬組織的網路組態，例如邊界閘道協定（BGP）、路由資訊協定（RIP）、開放式最短路徑優先協定（OSPF）的配置。</p> <p>研究人員指出，駭客購買初始存取受害組織的帳密資料價格平均為2,800美元，但購買淘汰的路由器設備僅需數百美元，很有可能成為駭客取得相關資料的手段。</p> <p><a href="https://techcrunch.com/2023/04/17/hackers-publish-sensitive-employee-data-stolen-during-commscope-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路設備大廠CommScope傳出遭勒索軟體Vice Society攻擊</span></strong></a></p> <p>根據科技新聞網站TechCrunch的報導，勒索軟體Vice Society聲稱入侵網路設備大廠CommScope，並竊得該公司的內部資料。該新聞網站取得部分資料進行分析，看到內容包含了內部文件、發票、工程製圖（technical drawing）。這些資料似乎也含有數千名員工的個資，包含完整姓名、郵政地址、電子郵件信箱、社會安全碼（SSN）、銀行帳號資訊。部分資料夾甚至有員工護照及簽證文件的掃描檔案。</p> <p>對此，CommScope證實在3月27日察覺部分IT基礎設施遭到未經授權存取，並認為是勒索軟體攻擊。但對於是否有員工或客戶資料外洩，該公司沒有說明。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/18/microsoft-shifts-to-a-new-threat-actor-naming-taxonomy/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國關鍵基礎設施遭到伊朗駭客Phosphorus報復性攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-The-two-attack-chains-used-by-the-Mint-Sandstorm-subgroup.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-The-two-attack-chains-used-by-the-Mint-Sandstorm-subgroup.png" style="width: 300px; float: right;" /></a>微軟揭露鎖定美國關鍵基礎設施（CI）而來的伊朗駭客組織Phosphorus（亦稱Mint Sandstorm）攻擊行動，駭客從2021年底至2022年中旬，針對美國的港口、能源業者、交通運輸系統等公營事業而來，原因很可能是為了報復多起發生在伊朗的網路攻擊事件，例如，2020年5月主要港口的運輸中斷、2021年7月鐵路系統誤點，以及2021年底加油站支付系統遭駭的事故。</p> <p>駭客透過已知漏洞或是已公布概念性驗證程式碼（PoC）的漏洞來入侵目標組織，然後使用PowerShell指令碼來收集環境資訊，進而確認是否為具有高度價值的攻擊目標。接著，駭客會使用滲透測試工具Impacket進行橫向移動，竊取AD的資料庫，或是部署後門程式Drokbk和Soldier。</p> <p><a href="https://www.ncsc.gov.uk/news/apt28-exploits-known-vulnerability-to-carry-out-reconnaissance-and-deploy-malware-on-cisco-routers"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科路由器漏洞遭俄羅斯駭客APT29用於攻擊行動</span></strong></a></p> <p>英國國家網路安全中心（NCSC）、美國國安局（NSA）、美國網路安全暨基礎設施安全局（CISA）、美國聯邦調查局（FBI）聯手，針對俄羅斯駭客組織APT28的攻擊行動提出警告，這些駭客從2021年，鎖定思科網路設備作業系統IOS、IOS XE的漏洞CVE-2017-6742下手，藉此入侵目標組織。在部分攻擊行動裡，駭客於受害裝置植入惡意程式Jaguar Tooth。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.oracle.com/security-alerts/cpuapr2023.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Oracle發布2023年第2季例行更新</span></span></strong></a></p> <p><a href="https://www.securityweek.com/takedown-of-github-repositories-disrupts-redline-malware-operations/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者ESET摧毀駭客的GitHub儲存庫，中斷竊資軟體RedLine運作</span></span></strong></a></p> <p><a href="https://citizenlab.ca/2023/04/nso-groups-pegasus-spyware-returns-in-2022/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路攻擊公司NSO Group利用零點擊漏洞對iOS裝置發動攻擊</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/muddywater-infrastructure/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">遠端支援軟體SimpleHelp遭到伊朗駭客MuddyWater濫用，目的是持續存取受害電腦</span></span></strong></a></p> <p><a href="https://www.theregister.com/2023/04/18/capita_breach_gets_worse/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Black Basta傳出兜售英國IT業者Capita遭竊資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156455">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156443">【4月17日】 ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156417">【4月14日】駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，散布竊資軟體</a></strong></p> </div></div></div>
2023/4/19 17:47作者周峻佑https://www.ithome.com.tw/news/156478
馬斯克要發展AI聊天機器人TruthGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特及特斯拉執行長馬斯克（Elon Musk）本周表示要開發不說謊，更安全的AI聊天機器人TruthGPT。</p> <p><a href="https://www.foxnews.com/media/elon-musk-develop-truthgpt-warns-civilizational-destruction-ai" target="_blank">馬斯克是在接受《福斯新聞》（Fox News）訪問</a>，和這個節目主持人Tucker Carlson對談時透露其計畫。</p> <p>一如以往，馬斯克提及進階AI未受控制的發展會危害人類的觀點。當主持人談到，現有主要AI聊天機器人包括OpenAI的ChatGPT、或是大公司如微軟、Google開發的聊天機器人，在無限制下發展會危害人類。而有政治力量介入的AI開發則可能會促發假訊息充斥、「控制美國人心智」、傷害民主。</p> <p>馬斯克則回應這些AI模型是由左翼專家開發，他們訓練的聊天機器人會說謊。因此他說他準備開發「TruthGPT」，或極力追求真相（maximum truth-seeking）的AI。他認為，確保安全的最好方法是打造一個想追求宇宙真相的AI，這種AI不會想消滅人類，因為人類是宇宙很有趣的一部分。</p> <p>兩周前，<a href="https://www.ithome.com.tw/news/156198" target="_blank">一份有馬斯克聯署的公開信也提及進階AI對人類的威脅</a>。該公開信要求各主要AI實驗室暫停開發比ChatGPT-4進階的AI系統6個月。不過馬斯克同時間投入開發AI又動作頻頻，繼購入訓練生成性AI的數千顆GPU後，<a href="https://www.ithome.com.tw/news/156432" target="_blank">本周《華爾街日報》報導</a>馬斯克已經悄悄成立了一間X.AI公司，目的可能在開發生成性AI。</p> </div></div></div>
2023/4/19 15:11作者林妍溱https://www.ithome.com.tw/news/156471
Reddit API要對開發AI模型獲利的用戶收費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於OpenAI或其他AI業者利用Reddit上的程式碼等資源，<a href="https://www.redditinc.com/blog/2023apiupdates" target="_blank">開源碼程式碼代管平臺Reddit本周宣布</a>更新其服務條款，將開始對特定藉訓練AI模型獲利的用戶收取費用。</p> <p>Reddit宣布更新開發人員工具及服務，包括開發人員平臺、資料API、Reddit Embeds及Ads API的條款，以及推出新的平臺仲裁者工具。</p> <p>Reddit於2016年首次推出Reddit Data API以及其他工具，目的是希望提供開源資源協助開發人員打造應用程式。Data API也允許第三方單位，包括學術研究單位及社群分析（social listening）工具等存取Reddit上的資料。</p> <p>Reddit指出，為確保開發人員有必要的工具可安全使用Reddit、保護用戶安全與隱私，並且遵守各國法規，Reddit對Data API做了些更動。首先，對需要使用更多功能、提高使用量及更廣泛使用權的第三方單位，Reddit提出新的付費方案。另一方面，透過開發平臺進行合理及適當使用（即研究、學術及個人使用等情境）的開發人員，則仍然可免費使用Data API。</p> <p>Reddit強調，18年來，作為最大線上人與人對話的資料平臺，Reddit對社群有保護這些內容的義務。這家平臺在官方文字中並未明說，但<a href="https://www.nytimes.com/2023/04/18/technology/reddit-ai-openai-google.html" target="_blank">《紐約時報》</a>引述Reddit執行長Steve Huffman說，Reddit平臺上的資料很寶貴，但爬取Reddit資料、產出價值卻不回饋給平臺用戶的行為令他們不以為然，現在有必要收緊管制，他們相信這才公平。</p> <p>Reddit並未公布價格方案細節，但Reddit正在準備股票公開發行，營收顯然是未來營運的考量要件。</p> <p>Reddit同時宣布正在陸續打造Reddit仲裁工具，供iOS及Android應用開發專案的管理員使用，包括紀錄（log）、規則管理、內容管理、以及工作流程工具。Reddit說未來幾個月內會陸續上線並公告。</p> <p>除了Reddit，最大社群平臺<a href="https://www.ithome.com.tw/news/155406" target="_blank">推特也在二月間宣布關閉API免費存取</a>，改推月費100美元的服務，理由是解決推特上充斥垃圾訊息機器人的問題。新規定原本令許多機器人營運者哀嚎遍野，所幸推特很快就對輕量唯寫API放寬為免費存取。</p> <p>許多內容平臺或資料庫已經對OpenAI、Midjourney、Stability AI等AI模型廠商使用免費或開源的圖片、程式碼、文字等內容，來訓練其AI產品感到不滿。<a href="https://www.ithome.com.tw/news/155229" target="_blank">圖庫業者Getty Images今年初即對Stability AI提出侵權告訴</a>。</p> </div></div></div>
2023/4/19 12:18作者林妍溱https://www.ithome.com.tw/news/156469
美英揭露駭客組織APT28攻擊思科路由器手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國國家網路安全中心（NCSC）、美國國安局（NSA）、美國網路安全暨基礎設施安全局（CISA），以及美國聯邦調查局（FBI）<a href="https://www.ncsc.gov.uk/news/apt28-exploits-known-vulnerability-to-carry-out-reconnaissance-and-deploy-malware-on-cisco-routers" target="_blank">本周共同揭露了駭客組織APT28於2021年針對思科路由器的攻擊行動</a>。</p> <p>上述國家安全機構幾乎已確認APT28隸屬於俄羅斯情報局（GRU），該駭客組織曾在2015年攻擊德國議會，在2018年企圖攻擊禁止化學武器組織（OPCW），而在2021年時，APT28則利用商用的程式碼儲存庫及諸如Empire等後脅迫框架，並於思科路由器上部署Jaguar Tooth惡意程式。</p> <p>根據調查，APT28鎖定了思科於2017年修補的CVE-2017-6742漏洞展開攻擊，該漏洞存在於簡單網路管理協定（Simple Network Management Protocol，SNMP）上，這是Cisco IOS及IOS XE軟體的子系統，允許網路管理員自遠端監控與配置網路裝置，該漏洞可讓駭客自遠端執行任意程式，成功的攻擊還能滲透路由器所在的網路。</p> <p>NCSC指出，APT28在2021年時利用基礎設施來假冒SNMP，以存取部署於全球的思科路由器，有少數的路由器位於歐洲及美國的政府組織中，還有大約250臺受駭路由器位於烏克蘭。</p> <p>由於有不少工具都能掃描全球網路上採用SNMP的裝置，因此倘若這些裝置依然使用預設或容易猜測的社群字串，那麼便很容易遭到入侵，方便APT28取得路由器資訊，受駭的路由器都接受SNMP v2請求，此一版本的SNMP並不支援加密，因此所有送出的資料，包括社群字串在內，也都沒有加密。</p> <p>此外，調查顯示APT28在部分受害裝置上部署了Jaguar Tooth惡意程式，此一惡意程式可蒐集更多的裝置資訊，還啟用了後門存取機制。</p> <p><a href="https://blogs.cisco.com/security/threat-actors-exploiting-snmp-vulnerabilities-in-cisco-routers" target="_blank">思科也在同一天發布了聲明</a>，指出該公司不斷鼓勵使用者要限制SNMP或任何管理介面的存取能力，要避免裝置管理介面或服務遭到攻擊的最佳作法，就是僅允許可靠的管理員與IP位址存取，也提醒雖然SNMP的簡單易用讓它依然受到許多舊時代網路裝置的青睞，但NETCONF與RESTCONF協定的安全能力才更適合現代的網路管理。</p> </div></div></div>
2023/4/19 11:51作者陳曉莉https://www.ithome.com.tw/news/156468
Netflix將於第二季把付費分享政策部署到美國與大多數市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s22.q4cdn.com/959853165/files/doc_financials/2023/q1/Final-Q1-23-Shareholder-Letter.pdf" target="_blank">全球影片串流龍頭Netflix周二（4/18）公布該公司今年第一季的財報</a>，同時宣布將在今年第二季把付費分享（Paid Sharing）政策從最初的4個國家，擴大到美國與其它大多數市場。</p> <p>付費分享政策的由來，是因有許多Netflix訂閱用戶將帳號分享給沒有住在一起的親朋好友，估計有超過1億家庭分享了帳號，Netflix認為此舉影響了該公司投資的能力，於是開始規畫制止措施，<a href="https://about.netflix.com/en/news/an-update-on-sharing" target="_blank">並在今年2月9日正式於加拿大、紐西蘭、葡萄牙與西班牙等4個國家實施新政策</a>。</p> <p>此一新的政策規定若要將帳號分享給未同住的親朋好友，就必須額外付費，但每個國家的費率不同，例如在加拿大若額外支付7.99加幣（約182元新臺幣），就可支持未同住的兩名親友。該政策適用於可支援2部裝置的標準方案（Standard）及支援4部裝置的高級方案（Premium），而且這些未同住者可自行設定登入帳號與密碼。</p> <p>現在Netflix準備在今年第二季，將該政策擴大實施至美國及其它大多數市場。</p> <p>Netflix坦承，在第一季推出付費分享之後，即在拉丁美洲看到會員取消訂閱的舉動，但相信這只是短期效果。反之，在加拿大卻看到那些原本分享他人帳號的使用者開始自行訂閱，當地的訂閱用戶變多了。</p> <p>Netflix相信今年第三季將可看到付費分享政策，所帶來的會員數與營收成長的效果，就算有人因此取消了訂閱，隨著Netflix持續改善內容，會員可能因此再回鍋。</p> <p>今年第一季Netflix創下了81.6億美元的營收，比去年同期成長3.7%，付費會員為2.32億名，比去年多了4.9%，比上一季增加175萬名，該季的每股盈餘為2.88美元。</p> </div></div></div>
2023/4/19 10:36作者陳曉莉https://www.ithome.com.tw/news/156466
【資安日報】4月18日，駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾遭到圍剿而銷聲匿跡的駭客組織，待風頭一過東山再起的情況再度傳出，而且還是不同組織之間的合作。例如，最近IBM的研究人員發現，前駭客組織Conti及FIN7的成員聯手開發了惡意程式Domino，並用於收集受害電腦的系統資訊，以便進行後續的攻擊行動。</p> <p>針對網頁瀏覽器而來的竊資軟體攻擊，也同樣值得我們留意──資安業者Uptycs揭露俄羅斯駭客流傳的竊資軟體Zaraza Bot，並指出該惡意程式能針對38款瀏覽器的使用者組態檔案進行解密，進而竊取存放的各式帳密資料。</p> <p>除了竊資軟體的攻擊行動，駭客散布惡意程式的手法也變得更加複雜，例如，研究人員發現，有人同時運用惡意PDF檔案及Windows指令碼來散布惡意軟體QBot，若收件者為了要檢視PDF文件內容而未及早察覺有異，即有可能依照指示執行指令碼而中標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securityintelligence.com/posts/ex-conti-fin7-actors-collaborate-new-domino-backdoor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">前Conti成員與FIN7聯手，散布惡意軟體Domino</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz0yMDg4ZGMyMmRhZTMxMWVkODQ2MDQ2OGUzYjllYTQ5ZQ%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz0yMDg4ZGMyMmRhZTMxMWVkODQ2MDQ2OGUzYjllYTQ5ZQ%3D%3D.png" style="width: 300px; float: right;" /></a>IBM旗下的威脅情報團隊X-Force揭露名為Domino的惡意軟體，他們在追蹤利用Dave Loader惡意程式載入器的攻擊行動裡，發現駭客從2023年2月下旬，投放過往沒有記錄的惡意軟體，研究人員將其命名為Domino。</p> <p>該惡意程式由Domino Backdoor、Domino Loader等兩個元件組成，前者會收集受害電腦的系統資訊，將其回傳攻擊者的C2伺服器之後，再將Domino Loader下載至使用者電腦；而Domino Loader則被用於部署竊資軟體Nemesis Project，在部分攻擊行動裡，駭客還會植入Cobalt Strike來維持在受害電腦運作。</p> <p>究竟這場攻擊行動的幕後主使身分為何？根據程式碼的比對，研究人員推測是前勒索軟體駭客組織Conti，以及FIN7成員所為。</p> <p><a href="https://www.uptycs.com/blog/zaraza-bot-credential-password-stealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近40款網頁瀏覽器遭到竊資軟體Zaraza Bot鎖定，目標是當中存放的使用者密碼</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zaraza bot Binary (4) (1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zaraza%20bot%20Binary%20(4)%20(1).png" style="width: 300px; float: right;" /></a>資安業者Uptycs揭露名為Zaraza Bot的竊資軟體，駭客透過俄羅斯駭客的Telegram頻道吸引用戶上門，此竊資軟體以C#打造而成，主要的攻擊目標是網頁瀏覽器，範圍包含了Chrome、Edge、Firefox、Brave、Vivaldi、Opera、Yandex等38款軟體。</p> <p>研究人員指出，該竊資軟體鎖定上述瀏覽器的特定配置檔案下手，並能解開瀏覽器存放帳號密碼預設使用的兩種加密格式，再將這些資訊回傳攻擊者的Telegram頻道，讓駭客掌握受害者儲存於瀏覽器的帳密資料。此外，Zaraza Bot也具備截取螢幕畫面的能力。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-qbot-email-attacks-use-pdf-and-wsf-combo-to-install-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過PDF檔案與Windows指令碼來偷渡攻擊指令，進而植入電腦當中</span></strong></a></p> <p>資安研究團隊Cryptolaemus近日看到惡意軟體QBot新的攻擊行動，駭客先是透過釣魚郵件來挾帶PDF檔案，為了降低收信人戒心，這封信的內容是以回覆其他信件的形式打造。</p> <p>一旦收信人開啟附件的PDF檔案，就會顯示此文件包含受到保護的內容，要求按下開啟按鈕。然而收信人照做，電腦就會下載含有Windows指令碼的ZIP檔案。若是收信人執行這個指令碼，攻擊者就會透過PowerShell指令碼在受害電腦部署QBot。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-start-abusing-action1-rmm-in-ransomware-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠端管理工具Action1遭勒索軟體駭客濫用</span></strong></a></p> <p>研究人員Kostas提出警告，駭客開始在攻擊行動裡濫用名為Action1的遠端管理平臺（RMM），並指出駭客可藉此得知受害組織網路環境裡的電腦詳細資訊，如作業系統版本、硬體配置、安裝的應用程式，以及尚未安裝的更新程式等，進而找到能夠滲透的管道。</p> <p>資安新聞網站Bleeping Computer進一步追查，發現至少有3起勒索軟體攻擊行動裡，駭客利用了Action1來入侵受害組織。針對該遠端管理系統被用於攻擊行動的情況，Action1表示，他們去年開始利用人工智慧系統來檢測異常使用行為，來遏止這類惡意用途。然而，該公司顯然仍有很大進步空間，因為若真能有效攔阻，研究人員應該很難有機會發現這項工具遭濫用。</p> <p><a href="https://cyberwarzone.com/new-captcha-protected-phishing-attack-targets-access-to-payroll-files/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借查看薪資單的名義發動網釣攻擊，目的是挾持使用者的微軟帳號</span></strong></a></p> <p>新聞網站Cyberwarzone揭露新的網路釣魚攻擊手法，駭客鎖定需要透過微軟Teams來查看薪資單的人士下手，他們設置貌似能以微軟帳號登入的釣魚網站，企圖竊取他們的微軟帳號資料。</p> <p>比較特別的是，為了騙取受害者信任，在他們存取這個釣魚網站的時候，駭客還裝模作樣地設置了reCAPTCHA的真人操作驗證機制，企圖阻止資安掃描機制，使其無法將其辨識為釣魚網頁。</p> <p><a href="https://blog.cyble.com/2023/04/13/chameleon-a-new-android-malware-spotted-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Chameleon偽裝銀行、政府機關、加密貨幣App</span></strong></a></p> <p>資安業者Cyble揭露名為Chameleon的安卓惡意軟體，駭客將其偽裝成澳洲政府經營的加密貨幣交易所CoinSpot、波蘭銀行IKO的App，鎖定澳洲及波蘭使用者而來。</p> <p>值得留意的是，駭客為了回避研究人員的分析，此惡意程式會先檢查目標裝置是否被奪走root最高權限、除錯模式是否啟用，若無上述功能開啟的情況，此惡意軟體才會向請求受害者開放Android輔助功能的權限，進而停用Google PlayProtect、防止使用者移除，並藉此擴張可運用的權限。</p> <p><a href="https://www.securityweek.com/payments-giant-ncr-hit-by-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">POS設備供應商NCR傳出遭到勒索軟體BlackCat攻擊</span></strong></a></p> <p>生產自動櫃員機（ATM）聞名的製造商NCR於4月12日，傳出旗下資料中心發生異常的情況，並於15日表示是勒索軟體攻擊所致，部分使用雲端PoS系統Aloha服務的飯店用戶受到影響，該公司進一步調查發現，另一款針對零售業提供的PoS系統Counterpoint也可能受到波及。不過，他們強調沒有客戶的系統或是網路受到影響。</p> <p>而對於攻擊者的身分，研究人員Dominic Alvieri於4月14日發現，勒索軟體BlackCat（Alphv）聲稱成功入侵NCR，並表示取得該公司用戶環境的帳密資料，但很快就移除網站上的相關資訊。資安新聞網站SecurityWeek推測，很有可能雙方已經展開交涉。</p> <p><a href="https://cybernews.com/security/volvo-retailer-leaks-sensitive-files/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Volvo巴西經銷商傳出資料外洩，曝露應用程式框架金鑰，恐導致用戶帳號遭挾持</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員發現，汽車製造商Volvo的巴西經銷商Dimas Volvo在網站上曝露敏感資料，其中研究人員認為影響最嚴重的部分，是PHP網頁應用程式框架Laravel的金鑰，因為該金鑰可被用於解開加密的使用者Cookie，進而得知該經銷商用戶的帳密資料及連線階段（Session）ID，並挾持他們的帳號。</p> <p>此外，該網站也曝露此經銷商的MySQL與Redis資料庫的主機IP位址、連接埠、帳號及密碼，而有可能讓更多人取得該公司的使用者資料。研究人員通報Dimas Volvo與Volvo總部，上述情況已獲得處理。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyberwarzone.com/german-arms-manufacturer-rheinmetall-targeted-in-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國戰車武器配件製造商Rheinmetall遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.theguardian.com/us-news/2023/apr/13/pentagon-leaked-documents-suspect-arrested"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國五角大廈傳出洩密案，疑為21歲網紅所為</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/russia-accuses-nato-of-launching-5-000-cyberattacks-since-2022/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2022年俄羅斯聲稱遭美國及北約國家網路攻擊達5千起</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156450"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Windows更新出現臭蟲，恐影響密碼管理工具運作</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156443">【4月17日】 ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156417">【4月14日】駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156406">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</a></strong></p> </div></div></div>
2023/4/18 18:09作者周峻佑https://www.ithome.com.tw/news/156455
以AI生成的黑白照片獲索尼世界攝影大賽首獎，創作者拒絕領獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由德國藝術家Boris Eldagsen所創作的黑白照片《PSEUDOMNESIA | The Electrician》獲得了2023年索尼世界攝影獎（Sony World Photography Awards，SWPA）公開組創意類別的首獎，不過，獲獎的Eldagsen隨後坦承該作品是由AI生成而拒絕領獎，雙方不歡而散。</p> <p>索尼世界攝影獎是由英國世界攝影組織（World Photography Organization）所舉辦的年度攝影競賽，分為專業組、公開組、青少年組及學生組，其中，專業組與公開組都有十個類別，Eldagsen參賽的是創意（Creative）類別，其得獎《PSEUDOMNESIA | The Electrician》作品以黑白照片呈現了兩個不同世代的女性，評審認為該作品令人回想起1940年代盛行的全家福照片。</p> <p>然而，<a href="https://www.eldagsen.com/sony-world-photography-awards-2023/" target="_blank">Eldagsen在得知自己獲獎之後，發表了一篇聲明</a>，指出這是首張在國際知名攝影比賽中得獎的AI圖片，AI圖片與照片不應該在這樣的獎項中相互競爭，因為它們是不同的東西，AI並不是照片，因此，他不會領獎。</p> <p>Eldagsen還說，他以AI圖片參賽的主要原因，是想確認相關的競賽是否已準備好迎接AI時代的到來，結果顯然沒有，攝影社群應該要公開討論AI圖片的定位。</p> <p>事實上，Eldagsen描述自己已經從一個單純的攝影師轉移到探索AI生成的可能性，他期望藉由AI作品的參賽來喚起外界對此事的重視，並希望英國世界攝影組織與SWPA能夠舉行公開的討論，只是他也諷刺評審團可能看不出該作品是來自AI。</p> <p>另一方面，<a href="https://www.vice.com/en/article/dy3vxy/sony-world-photography-awards-ai-generated" target="_blank">英國世界攝影組織向《Vice》透露</a>，其實評審團知道《PSEUDOMNESIA | The Electrician》是Eldagsen與AI系統共同創作的，頒獎給該作品的原因之一是創作類別原本就歡迎各種實驗性的照片製作方法。</p> <p>總之，由於Eldagsen拒絕領獎，使得SWPA決定撤下得獎照片，公開組的創意類別獎項也變成從缺，只剩下其它的入圍名單及作品。</p> <p><a href="https://www.ithome.com.tw/news/152875" target="_blank">美國科羅拉多州博覽會（Colorado State Fair）去年也把美術比賽的冠軍頒給以AI創作的作品</a>，當時即造成極大的爭議，作者Jason Allen認為自己並未違反比賽規則，而主辦單位最終仍決定維持原來的結果。</p> </div></div></div>
2023/4/18 14:32作者陳曉莉https://www.ithome.com.tw/news/156454
iOS 17傳將允許安裝第三方平臺的App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/newsletters/2023-04-16/apple-wwdc-2023-june-5-plan-reality-headset-new-macs-watchos-10-ios-17-lgjfj5bf" target="_blank">《彭博》報導</a>，蘋果可能透過下一代iOS 17作業系統，允許iPhone及iPad用戶自官方應用程式商店以外的平臺，以側載方式安裝App。</p> <p>《彭博》記者Mark Gurman報導，蘋果將在今年6月5日到9日舉行全球開發者大會（WWDC），而預計公布的產品包括iOS 17、iPadOS17、macOS 14、watchOS 10等作業系統、最新MacBook筆記型電腦，以及傳了多次的智慧混合實境（mixed mode）頭戴裝置。</p> <p>其中，據信蘋果正在改寫iOS 17，以允許裝置側載安裝非蘋果App Store上架的應用程式，以滿足歐盟的要求。歐盟去年7月通過《數位市場法》（Digital Markets Act，DMA），對大型網路平臺如蘋果、Google及Meta等有2大要求，一是必須允許它的傳訊服務用戶和其他小型平臺服務用戶互通訊息，二是不得限制用戶移除任何軟體或內容，或強迫用戶必須使用其官方應用程式平臺，也必須允許開發人員自由上傳想要平臺來發布App。</p> <p>過去蘋果僅允許iPhone、iPad安裝下載自App Store的App，理由是確保App及內容品質及安全性，減少惡意程式散布的風險，以保障用戶安全性。但這些引發大型開發商的反彈，認為蘋果強徵蘋果稅，並藉此不公平作法打壓競爭者。</p> <p>不過在歐盟將反壟斷規定法制化後，蘋果不得不改變長久以來的作法。這也不是蘋果首次因法規被迫變更其行之有年的強制作法，<a href="https://www.ithome.com.tw/news/154635" target="_blank">去年12月歐盟通過《無線電設備指令》修正案</a>，要求2024年12月28日以後在歐盟販售的裝置，包括手機都必須提供USB充電埠。在此之前，<a href="https://www.ithome.com.tw/news/150935" target="_blank">已有傳聞蘋果正在開發使用USB-C傳輸埠的iPhone</a>，取代原有的Lightning規格。</p> <p>此外，消息指出，今年蘋果還會宣布數款MacBook電腦，包括15吋MacBook Air、13吋入門款MacBook Pro，改版的13吋MacBook Air及改版的高階MacBook Pro、24吋iMac與第一臺搭載自家Apple Silicon的Mac Pro，新產品預計會在年底或2024年開賣。</p> <p>最後，報導預期，蘋果也將在今年開發者大會上公布Reality頭戴裝置以及作業系統xrOS及應用開發套件。不過這個傳聞已經在多次蘋果大會上，讓開發商、用戶及媒體等待落空。</p> </div></div></div>
2023/4/18 13:34作者林妍溱https://www.ithome.com.tw/news/156451
NCR資料中心遭Black Cat勒索軟體駭入，影響PoS機器用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以生產ATM聞名的NCR，旗下一座資料中心上周遭疑似是ALPHV/Black Cat勒索軟體駭入，影響少部分餐旅業PoS設備客戶，但NCR稱該公司生產的ATM不受影響。</p> <p><a href="https://status.aloha.ncr.com/incidents/cnl38krr6n6b" target="_blank">NCR上周公告</a>，一座資料中心4月13日斷線，該公司判斷，事件是起於勒索軟體攻擊。NCR宣稱立即啟動回應程序及通知客戶，同時展開深入調查。</p> <p>初步判斷顯示，受到事件影響的，是該資料中心代管餐廳用多合一PoS系統Aloha的雲端服務，以及零售業專用PoS系統Counterpoint。但NCR強調沒有客戶系統或網路受影響，同一座資料中心服務的NCR ATM、數位銀行、支付或其他零售業產品也沒有受波及。</p> <p><a href="https://twitter.com/AlvieriD/status/1647143921414287360" target="_blank">安全研究人員Dominic Alvieri 上周五首先發現</a>，勒索軟體ALPHV/Black Cat/Noberus在暗網中的資料公開網站宣稱此事是其所為，但駭客很快就撤下聲明。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FtvTa49XwAAsJvX?format=jpg&name=small" style="width: 297px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://twitter.com/AlvieriD/status/1647143921414287360" target="_blank"><span style="color:#696969;">Dominic Alvieri </span></a></span></p> <p>駭客聲稱，NCR代表有聯絡他們詢問竊取了哪些資料。不過駭客說沒有竊取到NCR公司資料，但的確取得了「大量憑證資訊」，可用以存取NCR客戶網路。<a href="https://www.securityweek.com/payments-giant-ncr-hit-by-ransomware/" target="_blank">媒體《SecurityWeek》推論</a>，駭客很快拿下貼文可能表示雙方已展開交涉，或是駭客認為很有機會拿到贖金。</p> <p>ALPHV/Black Cat大約在2021年11月現身，可能是Blackmatter或Darkside的繼承者，這個組織以攻擊企業客戶聞名，其網站公開列出200多家受害者名單。這個組織曾攻擊過電玩遊戲出版商萬代南夢宮，<a href="https://www.ithome.com.tw/news/156247" target="_blank">上個月也曾利用備份軟體Veritas漏洞感染企業</a>。</p> </div></div></div>
2023/4/18 13:52作者林妍溱https://www.ithome.com.tw/news/156452
Windows更新引發相容問題，影響新、舊版密碼管理工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-overview" target="_blank">微軟提醒</a>，上周釋出Windows桌機及Server版更新軟體存在臭蟲，導致原本欲提供的新密碼管理功能和舊版功能發生相容問題，雙雙掛掉無法使用。</p> <p>微軟4月11日釋出的Windows更新包括<a href="https://support.microsoft.com/en-us/topic/april-11-2023-kb5025224-os-build-22000-1817-ebc75372-608d-4a77-a6e0-cb1e15f117fc" target="_blank">KB5025224</a>及<a href="https://support.microsoft.com/en-us/topic/april-11-2023-kb5025239-os-build-22621-1555-5eaaaf42-bc4d-4881-8d38-97e0082a6982" target="_blank">KB5025239</a>，除了修正一些軟體安全及功能問題外，還包含一項名為Windows LAPS（Local Administrator Password Solution）的新功能，是原本舊式LAPS的改版。LAPS能提供本機管理員帳號的密碼管理，包括加密、存取控管、定期輪換，並備份在Active Directory（AD）上。新版的Windows LAPS則是改成備份在Azure AD上，且原生整合在Windows中，管理員無需額外安裝MSI套件，未來也可以透過Windows Update等修補管道更新。</p> <p>新的Windows LAPS為Entra安全管理產品線的一部分，目前正由私有預覽向專業用戶公開。透過Windows更新，Windows LAPS提供給企業及教育授權的Windows 10 Pro及Windows 11 Pro、Windows Server 2022、Server Core 2022，及Server 2019。</p> <p>不過有用戶安裝後發生新舊版不相容的問題。如果用戶原本裝置上已安裝舊式LAPS群組政策用戶端擴充程式（GPO CSE），且啟動舊的LAPS政策，則再安裝4月11日釋出的Windows更新會導致2個相容性相關的問題。第一個狀況是，新的Windows LAPS及舊的LAPS雙雙無法運作。用戶此時看到的訊息包括Windows LAPS的事件紀錄碼（Event Log）ID 10331及10332，舊版LAPS則出現ID6。另一個問題則是Windows LAPS會立即執行舊式LAPS政策。</p> <p>微軟表示正在製作修補程式。第一個狀況中，用戶可以選擇移除舊LAPS或是關閉舊LAPS模擬模式（emulation mode）。關閉舊版LAPS模擬模式也能解決第2項問題。</p> </div></div></div>
2023/4/18 13:53作者林妍溱https://www.ithome.com.tw/news/156450
蘋果繼續拓展金融服務版圖，推出儲蓄賬戶年利率高達4.15%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於美國時間4月17日<a href="https://www.apple.com/newsroom/2023/04/apple-cards-new-high-yield-savings-account-is-now-available-offering-a-4-point-15-percent-apy/">宣布</a>與高盛銀行（Goldman Sachs）合作推出Apple Card用戶的儲蓄帳戶服務正式上線，且存款利率高達4.15%（Annual Percentage Yield，APY）。</p> <p>蘋果表示用戶可以通過Apple Card進行申請和使用，並且能Daily Cash存款的儲蓄帳戶服務，此項服務標榜讓使用者以高利率存款，不收取任何管理費，同時也未要求最低存款額度或最少餘額等限制。不過，根據美國的聯邦存款保險公司（Federal Deposit Insurance Corporation，簡稱FDIC）條例，最高存款額度為250,000美元。</p> <p>根據《華盛頓日報》<a href="https://www.wsj.com/articles/apple-launches-high-yield-savings-account-4880ecc2?mod=djemalertNEWS">報導</a>指出，用戶無法直接從蘋果儲蓄帳戶拿出錢，而是需要先將錢轉到Apple Cash或其他銀行帳戶才能將錢取出，反之用戶要存入錢至儲蓄帳戶，可以從Apple Cash或其他銀行帳戶轉入。另外，透過Apple Card消費獲取的Daily Cash回饋金額，也能自動轉入Apple Card儲蓄帳戶，讓那些未使用的Daily Cash回饋金額也能一起累積利息；以上動作都能於同一個App完成，而iPhone需升級為iOS 16.4（含）以上的作業系統。在蘋果負責Apple Pay和Apple Wallet的高級主管Jennifer Bailey指出，他們的目標是建置一個工具讓用戶能有完善的環境，能夠在同一個地方處理完成所有的金融操作。</p> <p>雖然蘋果表示其APY高於全國平均10倍，但根據Fortune的<a href="https://fortune.com/recommends/banking/best-high-yield-savings-accounts/">調查</a>（截至4月17日），就有高達10間業者的儲蓄帳戶利息比蘋果高，從LendingClub的4.25% APY到UFB Direct 4.81% 的APY不等。而蘋果也表示這樣的APY也可能隨時改變。</p> <p>類似服務，目前包含LINE Bank、樂天銀行推行的純網銀帳戶都有提供，透過更高利息吸引更多人存款。蘋果認為，新服務上線有助於自身擴展金融業務版圖，也提升了在金融市場上的地位。其實，蘋果也剛於3月底推出先買後付Apple Pay Later的服務，提供免利息分期付款。</p> </div></div></div>
2023/4/18 11:43作者洪予揚https://www.ithome.com.tw/news/156449
【資安日報】4月17日，ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時下熱門的大型語言機器學習模型ChatGPT，很多駭客正在研究如何用來發動攻擊，因此對於如何取得使用的管道也變得相當熱衷，甚至衍生出在網路犯罪圈的相關買賣。資安業者Check Point發現，從上個月開始駭客在地下論壇頻繁買賣ChatGPT的付費帳號，或是提供暴力破解帳號的工具，但駭客偏好取得付費帳號的主要原因，就是想要迴避免費帳號的諸多限制。</p> <p>應用系統曝露開發環境組態（ENV）檔案的情況，有可能導致組織內部環境的狀態遭到掌控！例如，資安新聞網站Cybernews發現，西門子元宇宙系統Siemens Metaverse的ENV檔案可讓攻擊者存取辦公室管理系統，進而得知辦公室配置、員工行程的資料。</p> <p>Google對4月上旬發布的Chrome 112發布更新版本的情況也值得留意，因為，這次新版本涉及的零時差漏洞，已被用於攻擊行動，甚至有研究人員呼籲用戶不要等待自動派送更新，應手動執行升級。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.checkpoint.com/security/new-chatgpt4-0-concerns-a-market-for-stolen-premium-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大量ChatGPT付費服務的帳密資料流入暗網</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chatgpt4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chatgpt4.png" style="width: 300px; float: right;" /></a>資安業者Check Point提出警告，自2023年3月開始，他們看到網路犯罪圈在交易竊得的ChatGPT帳號有所增加，其中又以付費帳號為主要標的。</p> <p>駭客除了在地下論壇兜售此類帳號，還有可能提供帳號暴力破解工具，或是透過遭竊的金融卡開設付費帳號的服務（ChatGPT Accounts as a Service）。根據駭客為了吸引顧客上門而提供的免費帳號資料，研究人員推測駭客暴力破解的工具很可能是網頁測試軟體SilverBullet，駭客藉此對ChatGPT帳號每分鐘比對50至200組帳密。</p> <p>為何這些帳號的地下貿易大幅增加？研究人員認為，與ChatGPT付費帳號能提供較穩定的頻寬、更多查詢次數、其API能繞過種種限制（如OpenAI封鎖免費用戶中國、俄羅斯、伊朗的連線）有關。</p> <p><a href="https://cybernews.com/security/siemens-metaverse-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子元宇宙系統環境設置檔暴露在公開網路，虛實環境配置恐全部曝光，引發數位雙生資安危機</span></strong></a></p> <p>根據資安新聞網站Cybernews的報導，西門子與Nvidia聯手建置的工業用元宇宙系統Siemens Metaverse，存在資訊洩露的漏洞，研究人員在3月1日在metaverse.siemens.com網域發現開發環境的檔案（ENV），其中他們認為影響程度最嚴重的部分，是辦公室管理系統ComfyApp的帳密與網站IP位址，一旦遭到洩露，很有可能讓攻擊者掌握該公司的樓層規畫、物聯網裝置（IoT）的資訊、員工行事曆等內部資料，但究竟衝擊的範圍有多大，仍待進一步釐清。</p> <p>此外，上述的ENV檔案也曝露4組WordPress使用者帳號，以及3個後端的身分驗證網站的URL。對此，西門子表示獲報後已經處理完成，並認為上述弱點帶來的影響有限。</p> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/read-the-manual-locker-a-private-raas-provider.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體RTM Locker嚴格規範用戶不能攻擊特定目標，以免引發防禦者的注意</span></strong></a></p> <p>資安業者Trellix揭露名為Read The Manual（RTM）Locker的勒索軟體攻擊行動，駭客以訂閱服務（RaaS）提供攻擊者相關工具，並嚴格要求對方必須遵守該組織設下的規範，以免引起各界關注而被曝光。這些規則包含禁止對特定類型的機構下手，如：與COVID-19疫苗相關的企業、醫院、太平間、關鍵基礎設施（CI）、法律機構等，此外，該組織也禁止旗下攻擊者對獨立國協（CIS）國家下手。</p> <p>研究人員指出，該組織對旗下打手的要求極為嚴格，程度遠超過大部分提供RaaS的組織，甚至還要求這些攻擊者若是10天之內不打算活動，須事先報備。</p> <p><a href="https://unit42.paloaltonetworks.com/vice-society-ransomware-powershell/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Vice Society在攻擊行動裡利用新的PowerShell資料竊取工具</span></strong></a></p> <p>資安業者Palo Alto Networks揭露勒索軟體Vice Society近期的攻擊行動，駭客開始利用新的PowerShell指令碼w1.ps1，目的是在儘可能不觸動資安系統的情況下，透過寄生攻擊（LOL）的方式，自動從受害組織偷偷竊取內部資料，而且，在勒索軟體執行檔案加密之前，能做到讓目標組織不易注意到異狀的程度。</p> <p>此指令碼由4種功能函數組成，用來辨識可能存在機密的磁碟、辨識資料，並建立竊取工作，然後發出HTTP POST請求，將盜取的資料傳送到駭客的伺服器。研究人員指出，執行該指令碼無需下達任何參數，原因是此指令碼會自動排除特定的系統檔案、應用程式檔案和備份資料。</p> <p>比較特別的是，為了避免竊密過程被發現，駭客為此指令碼設置了同時進行的工作數量上限，目的是防止占用過多系統資源讓使用者察覺有異。</p> <p><a href="https://www.engadget.com/security-researchers-find-lockbit-ransomware-can-target-macos-devices-164446912.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit攻擊範圍目前已涵蓋Mac電腦</span></strong></a></p> <p>資安研究團隊MalwareHunterTeam指出，LockBit近日製作該組織的第1個macOS版勒索軟體程式，研究人員在惡意程式檢測網站VirusTotal上，發現含有支援多種架構的勒索軟體LockBit程式，其中包含了針對Apple Silicon、Intel、PowerPC處理器而來的macOS版本。研究人員認為，上述的惡意程式很有可能2022年11月出現。</p> <p>資安新聞網站Bleeping Computer取得勒索軟體檔案進行分析，結果發現當中含有Windows版的白名單，很有可能還在測試階段，這樣的推測得到研究人員Patrick Wardle的證實。</p> <p><a href="https://www.bleepingcomputer.com/news/security/darktrace-investigation-found-no-evidence-of-lockbit-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱入侵資安業者Darktrace，遭到該公司否認</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體LockBit聲稱攻陷資安業者Darktrace並取得機密資料，開出展延公布資料期限、摧毀資料、下載資料的價碼。對此，<a href="https://darktrace.com/statement-darktrace">Darktrace先後於4月13日、14日發出聲明</a>，表示經過檢查後沒有遭到入侵的跡象，與該公司內部系統也並未受害。</p> <p>恰巧與Darktrace有1字之差的另一家威脅情報業者DarkTracer表示，這些駭客疏於管理，導致他們用來公布受害者的網站竟被寫入假的受害組織資料。而這種誤稱攻陷資安業者的烏龍或刻意栽贓的情況並非首例──2022年6月，LockBit將Mandiant列為受害組織，但該資安業者表示沒有遭到入侵的跡象。</p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/goldoson-privacy-invasive-and-clicker-android-adware-found-in-popular-apps-in-south-korea/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google Play、One Store市集上逾60款合法程式遭Andorid惡意程式Goldoson滲透</span></strong></a></p> <p>資安業者McAfee揭露名為Goldoson的安卓惡意程式，駭客主要的攻擊目標為南韓，他們以此惡意程式滲透了60款上架於Google Play市集，以及當地熱門應用程式市集One Store的App，總共被下載超過1億次。</p> <p>一旦使用者安裝這些遭到入侵的App，Goldoson的程式庫就會向攻擊者的伺服器註冊，進而取得受害裝置上的各項資訊，如：已安裝的App名單、地理位置記錄、附近的Wi-Fi無線網路、藍牙元件的MAC位址等，研究人員認為，這些資料有機會讓攻擊者拼湊出使用者的身分。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_14.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對Chrome 112修補零時差漏洞</span></strong></a></p> <p>4月14日Google針對電腦版Chrome發布112.0.5615.121，當中修補已經出現攻擊行動的零時差漏洞CVE-2023-2033，此為JavaScript引擎V8的類型混淆（Type Confusion）漏洞，除此之外該公司並未透露更多細節。而該漏洞是2023年Google第1個修補的零時差漏洞。</p> <p><a href="https://www.securityweek.com/juniper-networks-patches-critical-third-party-component-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Juniper修補Junos OS第三方元件的重大漏洞</span></strong></a></p> <p>4月12日資安業者Juniper Networks發布逾20則資安通告，修補該公司旗下網路設備作業系統Junos OS的多項漏洞。其中最值得留意的針對該作業系統採用的第三方XML程式庫Expat（libexpat）修補，該公司一共修補了15個漏洞，但當中有7個是CVSS風險評分為9.8的重大漏洞，且影響採用19.1至22.2版Junos OS的網路設備。雖然這些漏洞部分已揭露長達2年，但所幸目前沒有出現攻擊行動的跡象。</p> <p><a href="https://www.theregister.com/2023/04/14/linux_kernel_spectre_flaw_fixed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Linux核心6.2版的Spectre v2漏洞</span></strong></a></p> <p><a href="https://github.com/google/security-research/security/advisories/GHSA-mj4w-6495-6crx">4月13日Google產品安全回應團隊的研究人員指出</a>，他們去年12月31日通報的Spectre漏洞（目前尚無CVE編號），存在於Linux核心6.2，可被用於觸發推測執行（Speculative Execution），此為中等風險等級漏洞，Linux基金會獲報後於2月27日發布修補程式。</p> <p>研究人員指出，這項漏洞當時之所以被發現，是因為用來防禦Spectre v2漏洞的某支Linux使用者空間（userspace）層級處理程序，無法正常在雲端服務業者的虛擬機器執行。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ncr-suffers-aloha-pos-outage-after-blackcat-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">POS設備供應商NCR傳出遭到勒索軟體BlackCat攻擊，用戶被迫改用紙本作業</span></span></strong></a></p> <p><a href="https://yoroi.company/research/cve-advisory-full-disclosure-cisco-ise-broken-access-control/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員思科網路管理系統ISE漏洞細節</span></span></strong></a></p> <p><a href="https://blog.whatsapp.com/new-security-features-account-protect-device-verification-automatic-security-codes"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範帳號挾持攻擊，WhatsApp將新增帳號驗證功能</span></span></strong></a></p> <p><a href="https://www.cybersecuritydive.com/news/cisa-secure-by-design-software-security/647472/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA推動軟體開發安全，將公布從設計落實安全的原則</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-android-bug-exploited-by-chinese-app-to-spy-on-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國購物App拼多多傳出用於監控用戶的安卓漏洞，美國要求聯邦機構限期修補</span></span></strong></a></p> <p><a href="https://www.businesswire.com/news/home/20230406005089/en/Groundbreaking-Research-from-Marsh-McLennan-Reveals-Direct-Link-between-Key-Cybersecurity-Controls-and-Reduced-Cyber-Risk"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全面採用雙因素驗證、快速套用修補程式是防範網路攻擊的有效手段</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156417">【4月14日】駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156406">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156382">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</a></strong></p> </div></div></div>
2023/4/17 18:41作者周峻佑https://www.ithome.com.tw/news/156443
Cloud周報第172期：Google揭雲端Cloud TPU v4技術細節，號稱比Nvidia A100訓練速度快近…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（04/06～04/12）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google揭雲端Cloud TPU v4技術細節，每瓦效能比前一代高出2倍多</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap42.png" style="width: 528px; height: 395px;" /></p> <p>在Google第4代TPU晶片推出兩年後，最近Google TPU團隊公布用於雲端的Cloud TPU v4技術細節，比前一代效能快2倍。TPU v4是Google於2021年宣布專門用於執行機器學習的AI晶片，與TPU v3相比，TPU v4性能不只大勝足足2.1倍，每瓦效能表現也比前一代高出2.7倍，甚至Google宣稱，以類似大小的系統來看，使用TPU v4 的系統比搭載Nvidia三年前發表的A100 GPU的系統快1.2到1.7倍，用電卻少1.3到1.9倍。</p> <p>而當Google Cloud使用TPU v4，和本地部署資料中心的當代DSA相比較時，耗能量少5倍，排碳量更是減為原本二十分之一。第4代TPU從2020年開始用於Google Cloud，搭載TPUv4的超級電腦提供Exascale等級的ML效能，使用4,096個晶片以Google自有光纖迴路交換（Optical Circuit Switch,OCS）互聯。</p> <p>除了能安裝在本地端，AlloyDB Omni本身也能支援跨雲部署，甚至開發人員只要一臺筆電就可以下載並加以執行。不僅如此，企業也能在Google Distributed Cloud服務中執行AlloyDB Omni，也就是可以跑在混合雲平臺Anthos上，除了滿足隔離環境要求所需，也能支援有嚴格延遲和頻寬要求的邊緣應用。不過目前只提供技術預覽版，正式版還要再等等。</p> <p>TPU v4也是第一個部署可配置OCS的超級電腦平臺。TPU v4透過OCS可動態配置互連拓墣，以提升擴充性、可用性、利用率、模組化、安全、效能及用電效率。甚至與Nvidia InfiniBand高速網路產品相比，OCS及其底層光纖元件更平價與更省電，系統成本占不到整體5%，用電小於3%。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LLM模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">阿里雲推出大型語言模型即服務，來滿足企業客製化LLM模型需求</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(14).png" style="width: 600px; height: 270px;" /></p> <p>不讓微軟Azure專美與前，阿里雲近日推出自己的ChatGPT版本的大型語言模型「通義千問」，除了將運用到旗下所有產品，未來也推出大型語言模型即服務（LLMs as a service），來滿足企業客製化LLM模型需求。</p> <p>根據阿里雲表示，使用者可以與通義千問進行多輪對話，也能請它幫忙完成文案創作或是進行邏輯推理，都難不倒它，不過目前還沒法做到像GPT-4一樣理解圖片或提供文生圖（text-to-image）功能，之後才會加入該模型。</p> <p>阿里雲未來除了將把該LLM模型導入到阿里巴巴的各項業務提升用戶體驗，如語音助理天貓精靈和即時通訊軟體釘釘等，未來還將推出大型語言模型即服務，讓企業和開發人員可以更低成本，來建立專屬的生成式AI模型，來滿足其所需功能和應用。</p> <p>不過，除了阿里巴巴的通義千問和百度的文心一言之外，另一家中國AI廠商商湯科技跟進宣布了類似ChatGPT的大型語言模型「日日新」及機器人服務「商量」。360公司則在近日公布以其模型360GPT為基礎開發的AI助理服務「360智腦」。</p> <p class="p2" style="margin: 0px 0px 18px 24px; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 13.5px; line-height: normal; font-family: BiauKai; color: rgb(0, 0, 0); min-height: 14px;"> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端硬碟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務中斷 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">硬碟大廠WD遭駭，導致雲端儲存服務中斷一周未恢復</span></strong></p> <p>硬碟廠商Western Digital的My Cloud NAS服務系統自2日突然無預警中斷，導致許多用戶無法存取和分享放在NAS雲端硬碟中的數位內容，直到2天後，WD坦承遭駭導致包含My Cloud在內多個內部系統遭取得權限，造成服務中斷。但事故發生一周後，迄今仍未能恢復服務。</p> <p>WD是在3月26日發現多項系統遭駭，同時通報主管機關，並與外部安全專家及執法機關展開調查。WD表示，受影響服務包括NAS雲端服務MyCloud Home、My Cloud Home Duo、裝置備分服務My Cloud OS5、照片管理服務SanDisk ibi，以及無線充電服務SanDisk。</p> <p>發現遭駭後，WD暫時關閉該公司多個系統，包括雲端、代理伺服器、網頁伺服器、驗證、電子郵件及推播通知等。但WD認為，攻擊者已從公司系統取得某些資料，並正設法回復服務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端儲存 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Outlook </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Microsoft 365將Outlook電子郵件儲存至OneDrive雲端，導致部分用戶無法收發信</span></strong></p> <p>許多微軟用戶最近發現，因為微軟雲端儲存政改變，導致無法使用Outlook服務來正常收發郵件感到困惑，而紛紛上網抱怨。</p> <p>原本微軟對已註冊Microso 365用戶提供了15GB 的免費Outlook.com電子郵件儲存空間，用於儲存Outlook中的Email內容和附加檔案，並與Microsoft雲端儲存空間加以分開。但微軟今年2月1日發布Microsoft 365應用新政策，限制用戶必須在只有5GB免費儲存配額上限的OneDrive個人儲存空間中，來儲存Outlook電子郵件附加檔，而不是儲存在原來15GB儲存空間中，等於是能用來儲存電子郵件的空間變更少了。但許多用戶不知道政策改變，繼續使用一段時間後，才發現使用超出儲存配額上限，被通知空間不除，無法發送和接收電子郵件。</p> <p>若要恢復正常，用戶必須從已滿的OneDrive中刪除檔案釋放空間，才能正常收發信。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端ERP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">SAP遭德國使用者集體指控，為強推雲端ERP方案卻罔顧本地用戶權益</span></strong></p> <p>成員有許多都是大型製造業者的德國SAP使用者群組（DSAG）近日發布一份措辭強硬的聲明，對於SAP獨厚雲端ERP用戶，卻沒有照顧到本地用戶的權益表達不滿。</p> <p>近幾年，SAP產品策略轉向聚焦雲端，也鼓勵ERP用戶上雲，但DSAG表示，目前德國仍有不少SAP用戶未上雲，而選擇將S/4 HANA部署於本地資料中心或私有雲，但SAP近年來為強推雲端ERP方案，許多新增或創新功能，都優先提供給雲端ERP用戶，卻獨漏了本地ERP用戶，例如整合微軟Teams和OpenAI等，讓這些本地ERP用戶難以接受，要求不能對使用非雲產品的SAP用戶有差別對待。</p> <p>SAP承諾將在2040年前持續維護S/4 HANA產品，因此，DSAG要求，SAP不能罔顧本地用戶權益，應確保在這段期間內享有和雲端用戶同等待遇，來同步獲取和雲端ERP相同更新和功能，以保障他們的權益。不過，截至目前，SAP尚未做出回應。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端POS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零售業 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">零售業上雲正夯！全球雲端POS市場2023年預估增長2成，達57.6億美元</span></strong></p> <p>據市調公司ReportLinker最新發布的全球雲端POS市場調查報告指出，隨著電商應用需求持續增長，全球雲端POS市場規模也跟著有顯著增加，從2022年46.9億美元，到了2023年，將增加成長到57.6億美元，預估未來的年複合增長率為22.9%%。長期來看，預計到2027年將一舉增長到131.2 億美元的市場規模。</p> <p>從地區來看，亞太地區採用雲端POS的腳步較快，其次是北美地區。ReportLinker表示，越來越零售業用戶透過Cloud POS幫助他們快速適應市場變化，並且進行線上線下數據整合與運用。</p> <p> </p> <p>圖片來源／阿里雲、 Google Cloud</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.AWS更新Service Catalog服務，讓用戶也能使用開源IaC工具Terraform管控雲端資源</strong></p> <p><strong>2.富士通透露將用5年翻新ERP上雲，以建立標準化統整4千多套內部業務系統</strong></p> <p><strong>3.阿里雲推出新通用運算實例，鎖定中小企業上雲需求，宣稱比同類產品多省40%</strong></p> <p><strong>4.美國CBS體育網成立新頻道Golazo Network，擁抱雲端串流提供全天線上足球賽事轉播服務</strong></p> <p><strong>資料來源：iThome整理，2023年4月</strong></p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/4/17 15:25作者余至浩https://www.ithome.com.tw/news/156428
失竊ChatGPT付費帳號於暗網兜售大增，也有人賣攻擊工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/security/new-chatgpt4-0-concerns-a-market-for-stolen-premium-accounts/" target="_blank">安全廠商發現</a>，近日暗網有愈來愈多ChatGPT付費版帳號遭到公開或兜售，也能找到相關攻擊工具及服務。</p> <p>Check Point Research（CPR）研究人員指出，過去暗網銷售無辜用戶帳號是以金融帳號（銀行、線上支付系統等）、社群平臺、線上約會網站、電子郵件等為主流。但自2023年3月開始，這家安全廠商發現和ChatGPT相關的犯罪活動更為活躍，包括：ChatGPT帳號登入憑證外洩、地下網站或論壇兜售付費ChatGPT帳號、宣傳ChatGPT帳號暴力破解及比對的工具（checker tool），以及「ChatGPT帳號即服務」（ChatGPT Accounts as a Service），即幫買家開設ChatGPT付費帳號的服務。</p> <p class="rtecenter"><img alt="" src="https://blog.checkpoint.com/wp-content/uploads/2023/04/chatgpt2.png" style="width: 521px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Check Point Research</span></span></p> <p>一如往常，研究人員觀察到暗網中有大量貼文兜售駭客竊取的受害者線上帳號，但有人免費公布ChatGPT付費帳號，目的在宣傳其竊帳號的服務或工具。例如Check Point發現一名駭客公開4個ChatGPT付費帳號，從其分析駭客分享帳號的路徑及其架構，他們推測駭客們用的一個名為SilverBullet的網頁測試工具，這是一個強大的網頁應用滲透測試工具，能對特定帳號進行暴力破解或是帳密比對攻擊。後者類似密碼潑灑攻擊，利用大量帳號及密碼清單，對特定ChatGPT帳號發送每分鐘50到200次自動化登入，以便找出正確的帳密組合。它還支援代理程式實作，可繞過網頁的不同防護機制。</p> <p class="rtecenter"><img alt="" src="https://blog.checkpoint.com/wp-content/uploads/2023/04/chatgpt4.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Check Point Research</span></p> <p>另名駭客則除了兜售ChatGPT帳號外，也宣傳另一個能測試登入憑證有效性的自動化工具。</p> <p>另一種兜售的「商品」是「ChatGPT帳號即服務」（ChatGPT Accounts as a Service），這是一種ChatGPT Plus的終身服務，可用買主提供的電子郵件開設存取權利，售價59.99美元。相較之下，正牌的ChatGPT Plus才每個月20美元。為了讓其服務更實惠，這項服務還提供與另一人共享ChatGPT Plus的方案，價格為一半（24.99美元）。Chat GPT相信，駭客是利用竊取自他人的信用卡，來向OpenAI購買ChatGPT Plus付費服務。</p> <p>研究人員分析，ChatGPT帳號銷售增加的原因在於，ChatGPT付費帳號可確保更穩定的查詢次數及網路頻寬，ChatGPT API則允許駭客繞過種種限制。此外ChatGPT也不是想用就用得到；除了ChatGPT不允許來自中國、俄羅斯及伊朗的連線，義大利政府以隱私安全為由，<a href="https://www.ithome.com.tw/news/156239" target="_blank">於4月初首開先例</a>，禁止這服務在當地的使用，這些原因都讓ChatGPT付費服務變得奇貨可居。</p> </div></div></div>
2023/4/17 11:54作者林妍溱https://www.ithome.com.tw/news/156438
外傳三星正考慮以Bing取代Google作為裝置預設搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2023/04/16/technology/google-search-engine-ai.html" target="_blank">《紐約時報》（New York Times）本周引述消息來源報導</a>，三星正在考慮要以微軟的Bing來取代Google，作為三星裝置的預設搜尋引擎，而Google除了對此感到驚慌之外，也已計畫要在下個月對外揭露添增AI能力的新搜尋引擎專案Magi。</p> <p><a href="https://www.ithome.com.tw/news/155429" target="_blank">微軟於今年2月發表</a>了採用最新OpenAI GPT-4模型的Bing搜尋引擎，以AI來改善Bing的搜尋與聊天能力。</p> <p>根據報導，Google是在今年3月得知三星正在考慮要以Bing來取代Google，估計Google與三星的搜尋引擎年約價值30億美元。該報亦引用Google內部文件，指出Google準備在下個月更新搜尋引擎，利用AI技術提供更多個人化的功能，此一專案的內部代號為Magi，有160名人力。</p> </div></div></div>
2023/4/17 12:03作者陳曉莉https://www.ithome.com.tw/news/156439
LockBit勒索軟體開始攻擊macOS機器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LockBit勒索軟體不斷進化，研究人員發現，現在LockBit也開始將macOS機器當成目標。</p> <p>LockBit勒索軟體首見於2020年1月，一開始是鎖定Windows和Linux，<a href="https://www.ithome.com.tw/news/149112" target="_blank">去年開始</a>鎖定VMware ESXi環境感染。<a href="https://twitter.com/malwrhunterteam/status/1647384505550876675?s=20" target="_blank">上周資安研究社群MalwareHunter Team發現</a>據信是第一隻公開、針對Mac裝置打造的LockBit勒索軟體程式locker_Apple_M1_64。他們相信是第一個公開的macOS版本LockBit。</p> <p class="rtecenter"><a href="http://twitter.com/malwrhunterteam/status/1647384505550876675?s=20" target="_blank"><img alt="" src="https://pbs.twimg.com/media/Ftyt_KFXsAMoImk?format=jpg&name=large" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://twitter.com/malwrhunterteam/status/1647384505550876675?s=20" target="_blank"><span style="color:#696969;">MalwareHunter Team</span></a></span></p> <p><a href="https://twitter.com/vxunderground/status/1647424861810065410" target="_blank">另一個資安社群VX-Underground</a>也發現了macOS版本的LockBit。LockBit也是主流勒索軟體駭客組織中，第一個為蘋果產品開發的版本。仔細分析，攻擊者第一個版號可能最早可以追溯到2022年11月就釋出。</p> <p>MalwareHunter Team發現的勒索軟體樣本則是在3月20日打包，攻擊者甚至還有在搭載PowerPC晶片的早期Mac電腦上執行的版本。</p> <p>LockBit提供勒索軟體即服務（ransomware-as-a-service），他們提供工具及聯盟網路，允許「客戶」對目標電腦執行電腦檔案加密及向受害者勒索，自己則收取分潤。LockBit也是近年最活躍的勒索軟體之一，<a href="https://www.justice.gov/opa/pr/man-charged-participation-lockbit-global-ransomware-campaign" target="_blank">去年美國司法部控告2名成員時指出</a>，LockBit自3年前出現以來，到去年底最少已加害了1,000家企業組織，LockBit受害者付出的贖金至少超過1億美元，其成員也分得數千萬，美國司法部稱其為全球最活躍及最具破壞力的勒索軟體變種。</p> </div></div></div>
2023/4/17 10:39作者林妍溱https://www.ithome.com.tw/news/156430
傳馬斯克已成立開發ChatGPT競爭服務的AI公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，馬斯克已成立了一間專門開發AI技術的公司名為X.AI。</p> <p><a href="https://www.wsj.com/articles/elon-musks-new-artificial-intelligence-business-x-ai-incorporates-in-nevada-962c7c2f" target="_blank">《華爾街日報》</a>首先報導，X.AI是3月於美國內華達州成立，馬斯克為這間公司的總監，祕書則由馬斯克家族辦公室主任Jared Birchal擔任。<a href="https://www.ft.com/content/2a96995b-c799-4281-8b60-b235e84aefe4" target="_blank">《金融時報》</a>也報導這位科技富豪成立了AI新創公司。根據<a href="https://www.documentcloud.org/documents/23778277-nevada-incorporation-of-xai" target="_blank">《The Verge》</a>取得的官方文件，X.AI Corp成立時間是在3月9日。</p> <p>這是繼3月<a href="https://www.ithome.com.tw/news/155715" target="_blank">《The Information》</a>報導後，關於馬斯克AI大夢的報導。當時媒體披露，馬斯克找來前DeepMind科學家Igor Babuschkin籌建AI研究實驗室，以開發和ChatGPT競爭的AI技術。至於Bubuschkin是否加入馬斯克團隊不得而知。<a href="https://www.linkedin.com/in/igor-babuschkin-9bb5bab6/" target="_blank">根據其LinkedIn資料</a>Bubuschkin去年4月由OpenAI重回DeepMind，但已在今年2月離職，不過未顯示現職所在。</p> <p>此外<a href="https://www.businessinsider.com/elon-musk-twitter-investment-generative-ai-project-2023-4" target="_blank">《Business Insiders》</a>2周前報導，馬斯克買進了數千顆GPU，目的在執行生成性AI產品。馬斯克並未說明買這些GPU的目的，只說這年頭大家都買GPU。</p> <p>這個X.AI的公司名稱也符合馬斯克傳聞中的計畫。馬斯克希望開發提供包括購物、通訊、社群等功能於一的X應用程式，且成立X公司收購推特（Twitter）。媒體上周引述一份文件報導，馬斯克旗下的推特作為法人組織已經不存在，因為已併入一家名為X的公司（X Corp）。</p> <p>有趣的是，馬斯克2周前才簽署了一份<a href="https://www.ithome.com.tw/news/156198" target="_blank">呼籲AI實驗室暫停開發比OpenAI ChatGPT 4.0更先進AI模型的公開信</a>，以避免AI危害人類為由，要求AI實驗室AI模型暫停發展6個月，以規畫管理機制及法令。</p> </div></div></div>
2023/4/17 11:04作者林妍溱https://www.ithome.com.tw/news/156432
【資安週報】2023年4月6日到4月14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在清明連假後的一周半中，共有10個已知漏洞遭利用的情形，包含蘋果緊急修補的CVE-2023-28205、CVE-2023-28206漏洞，以及微軟4月安全性更新所修補的CVE-2023-28252漏洞，發現遭攻擊者利用部署Nokoyawa勒索軟體，以及Veritas備份軟體2021年的3個已知漏洞去年底BlackCat勒索軟體利用，近期被資安業者揭露。</p> <p>另有4個漏洞本期尚未報導，但亦確認遭攻擊者成功利用情形，值得注意，包含兩個今年的已知漏洞：Novi Survey的漏洞（CVE-2023-29492 ）、Android的漏洞（CVE-2023-20963），以及兩個早年的已知漏洞：微軟的漏洞（CVE-2019-1388）、Arm的漏洞（CVE-2019-1388）。在其他漏洞修補消息方面，包括威聯通、HP、SAP、西門子、施耐德、Adobe也發布安全更新，還有JavaScript沙箱程式庫VM2的漏洞值得留意</p> <p>關於威脅態勢的揭露方面，最受關注的是，勒索軟體Rorschach濫用Palo Alto Networks的XDR系統元件載入與執行的情形，以及駭客濫用Telegram的情況是越來越嚴重，其他可留意的是後門程式Balada Injector、竊資軟體Creal、Mirai變種RapperBot的動向，以及竊資軟體Typhon加入大量混淆反分析的揭露。</p> <p>另外要特別一提的是，假ChatGPT、Google Bard名義的威脅也增加，同時，如同與員工擅自將公司資料上傳到個人雲端儲存空間存放情形類似，近期不少企業正關注員工是否可能將公司機密資訊，擅自輸入ChatGPT的問題。</p> <p>至於國內焦點方面，包括假冒財經名人、主播名義的詐騙呈現持續橫行情形，甚至台積電創辦人的夫人張淑芬也遭冒名使這類問題更受關注，因此，Meta與Google等平臺業者的自動審核廣告機制，顯然已被網路犯罪者找到容易突破的方式，業者再不設法解決，等於讓廣告成網路攻擊與詐騙發動溫床；Google Cloud近期揭露去年第四季報告中，提及中國駭客組織APT41當時鎖定目標是臺灣媒體。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156264"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</span></strong></a></h3> <p>本日的資安新聞有不少與已知漏洞的攻擊行動有關，例如，之前出現的網路電話系統開發商3CX供應鏈攻擊事故，駭客於Windows版用戶端軟體利用了10年前的軟體簽章漏洞CVE-2013-3900，原因是微軟將相關更新程式列為選用，而有可能因為使用者的電腦沒有修補這項漏洞，讓駭客能夠得逞。</p> <p>這種已知漏洞尚未修補，而能讓駭客隨意利用的情況究竟有多嚴重？有資安業者根據美國網路安全暨基礎設施安全局（CISA）列管的896個已被利用漏洞名單（KEV）著手調查，結果發現有1,500萬個應用系統曝露KEV列管的部分漏洞，值得留意的是，研究人員列出的10大漏洞裡，有一半以上存在5年以上。</p> <p>上述的KEV名冊裡有不少是高風險漏洞，使得研究人員不斷呼籲要儘速修補，但低風險的漏洞也同樣值得留意。有資安業者針對威聯通NAS設備的零時差漏洞提出警告，並指出這些漏洞的CVSS風險評分雖然僅有2.7分，但在駭客時常針對該廠牌NAS下手的情況下仍應儘速修補。</p> <h3><a href="https://www.ithome.com.tw/news/156300"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月7日】英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者</span></strong></a></h3> <p>又是將開發環境組態公開於網站上引發的資料外洩事故！而且，這樣的情況還是發生在專門提供數位ID驗證服務的資安業者。研究人員指出，這起事故不只洩露該公司內部的資料，還牽連英國、澳洲多家大型金融機構。</p> <p>使用者想要尋找VPN服務要留意！最近有人假借提供這類服務的名義散布竊資軟體OpcJacker，然後進一步於受害電腦部署木馬程式、遠端桌面連線程式，以便進行第2階段攻擊。</p> <p>除了我們必須對駭客散布惡意程式的手法提高警覺，駭客企圖引誘新血投入的情況也值得留意。有資安業者發現駭客利用加密通訊軟體Telegram散布網釣工具包的情況越來越常見，但這麼做的目的，主要是吸引缺乏相關技能的新手投入網路犯罪。</p> <h3><a href="https://www.ithome.com.tw/news/156319"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月10日】特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限</span></strong></a></h3> <p>近期特斯拉傳出幾起資安事故，格外引人注目。首先是該公司的客戶關係管理系統Tesla Retail Tool漏洞，引起研究人員關注，因為受到影響的不只是該公司本身，還包含合作的供應商、客戶。</p> <p>另一則與這家汽車製造商有關的新聞，則是前員工指控公司產品存在隱私保護爭議。據傳該廠牌汽車攝影機錄下的影片，員工竟拿來分享、取笑，內容包含交通事故與車主居家環境，極度無視車主的隱私，而老闆均為Elon Musk的特斯拉與網路社交媒體推特，均不願對此回應。</p> <p>除了與電動車大廠特斯拉有關的事故，蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補的零時差漏洞也值得留意，這些漏洞已出現攻擊行動，使用者應儘速安裝更新程式。</p> <h3><a href="https://www.ithome.com.tw/news/156354"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月11日】惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作</span></strong></a></h3> <p>惡意NPM套件的攻擊行動不時傳出，但之前大部分的目的是向開發人員散布惡意程式，如今駭客採用新的手法，他們透過自動化的方式，上傳內含惡意連結的大量套件，將開發人員導向惡意網站，再進行第二階段攻擊。研究人員指出，駭客大量上傳套件的情況，使得短短一個月NPM代管的套件就爆增近8成，進而影響此套件庫的運作。</p> <p>在NPM套件的攻擊行動之外，企業對於現行使用者的身分管理，也值得留意，很多企業對於離職員工的帳號清除並未落實。最近有調查發現，竟有接近半數的離職員工能夠存取公司內部環境，或是所訂閱的服務，甚至能猜到老闆所使用帳密資料。這樣的情況也突顯出，公司對於離職員工的帳號註銷、管理，亟需加強。</p> <p>繼上週末蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補兩個零時差漏洞，10日蘋果公司對於執行舊版作業系統的行動裝置與電腦，也發布相關更新，用戶應儘速套用修補軟體。</p> <h3><a href="https://www.ithome.com.tw/news/156382"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</span></strong></a></h3> <p>11日多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者，其中最值得留意是微軟發出的公告，因為當中修補的零時差漏洞CVE-2023-28252，已有資安業者發現在2月被用於勒索軟體攻擊。</p> <p>除了IT與OT大廠此刻齊發每個月例行修補，前一段時間經歷曝露用戶對話標題及帳號被盜等資安事故的ChatGPT，主導其發展的人工智慧實驗室OpenAI本週宣布推出漏洞懸賞專案，鼓勵研究人員對該實驗室的API及ChatGPT幫其抓漏。</p> <p><a href="https://www.ithome.com.tw/news/156291">三星半導體部門傳出因開放使用ChatGPT造成資料外洩</a>的情況並非個案！有資料安全新創公司發現，平均每100位員工就有超過3位將企業機敏資料上傳ChatGPT，且這種資料外洩的情況有越來越嚴重的趨勢。</p> <h3><a href="https://www.ithome.com.tw/news/156406"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</span></strong></a></h3> <p>攻擊者利用合法網站做為攻擊媒介，並針對使用者散布惡意程式的情況，不時有事故傳出，但近期出現了新的攻擊手法。日本資安業者NTT Security Holdings揭露自去年底出現的攻擊行動，駭客製造了假的Chrome錯誤訊息，讓使用者不知不覺依照指示而中招。</p> <p>除了針對電腦上網使用者而來的攻擊行動，鎖定安卓行動裝置的惡意軟體氾濫的情況也值得留意。最近資安業者卡巴斯基揭露了地下供應鏈，指出駭客可直接從暗網購得所需的各式服務來犯案──包括讓惡意程式上架Google Play市集。</p> <p>在惡意軟體攻擊之餘，網路詐騙的事故也引起政府重視。美國聯邦調查局（FBI）針對當地華人提出警告，近日駭客聲稱是中國公安或是領事館人員行騙，呼籲他們遇到來路不明的電話要提高警覺，切勿透露自己的個資。</p> <h3><a href="https://www.ithome.com.tw/news/156417"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月14日】駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，散布竊資軟體</span></strong></a></h3> <p>採用大型語言模型（LLM）的人工智慧機器人是當今大熱門，駭客假借這類程式的名義也不時傳出，其中最常被利用的就是ChatGPT。但在最近一起散布竊資軟體RedLine的資安事故裡，駭客不只冒用ChatGPT，還有Google Bard的名義來發動攻擊。</p> <p>雲端組態不設防的現象頻傳，其中又以採用弱密碼、甚至是沒有密碼保護的情況相當常見，而這樣的態勢也成為駭客發動攻擊的重要管道──雲端服務業者Google Cloud指出，他們分析用戶遭遇的攻擊行動裡，有近半數是鎖定弱密碼的環節而來。</p> <p>視訊監控系統的儲存系統一旦曝露漏洞，很有可能導致錄下的影像外流。例如，海康威視（Hikvision）修補了SAN混合儲存設備與叢集儲存產品漏洞CVE-2023-28808，並表示若不修補駭客能用來取得管理員權限，對該系統為所欲為。</p> </div></div></div>
2023/4/14 18:23作者羅正漢https://www.ithome.com.tw/news/156420
Google Play上逾60款合法程式遭Android惡意程式Goldoson滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/goldoson-privacy-invasive-and-clicker-android-adware-found-in-popular-apps-in-south-korea/" target="_blank">資安業者McAfee近日發現</a>一鎖定南韓市場的Android惡意程式Goldoson，它滲透到Google Play、ONE Store與其它Android市集上的逾60款合法程式，竊取使用者的裝置資訊，且具備廣告詐騙的能力，受到波及的程式光是在這兩個市集的安裝數量便分別達到1億與800萬次。</p> <p>分析顯示，Goldoson函式庫會在程式執行時註冊裝置並取得遠端配置，可定期檢查及取得裝置資訊，再將它們傳送至遠端伺服器，此外，它還能在用戶不知情的狀況下載入網頁。</p> <p>Goldoson所能取得的資訊包括裝置上所安裝的所有程式、裝置的位置歷史紀錄，以及附近Wi-Fi與藍牙的MAC位址等。McAfee認為，結合所有的資料或許可以辨識出使用者的身分。</p> <p>McAfee提醒，或許有些開發者並不了解Goldoson的詳細行為，在採用第三方函式庫時，應更加謹慎以保護使用者的資訊。Google則已通知這些違反平臺政策的程式開發者，有的程式已更新，有的則直接被移除。</p> </div></div></div>
2023/4/17 09:21作者陳曉莉https://www.ithome.com.tw/news/156427
Google修補今年第一個Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_14.html" target="_blank">Google上周五（4/14）釋出Chrome 112.0.5615.121</a>，以修補一個已遭駭客利用的安全漏洞CVE-2023-2033，此一更新支援Windows、macOS與Linux平臺，可望於未來幾天或幾周自動部署，而這也是Google在2023年所修補的第一個Chrome零時差漏洞。</p> <p>Google僅簡單描述CVE-2023-2033是個出現在V8 JavaScript引擎的類型混淆（Type Confusion）漏洞，並說已有針對該漏洞的攻擊程式問世，而未公布更詳細的漏洞或攻擊細節。</p> <p>不在修補的第一時間公布漏洞細節是為了讓使用者有更多的時間部署更新，Google表示，倘若漏洞出現在其它專案也仰賴的第三方函式庫中，而且尚未修補，同樣也會限制披露範圍。</p> </div></div></div>
2023/4/17 09:14作者陳曉莉https://www.ithome.com.tw/news/156426
Visual Studio 17.6將加入建置加速平臺Incredibuild 10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布將在<a href="https://devblogs.microsoft.com/cppblog/incredibuild-10-visual-studio-17-6/">Visual Studio 17.6整合建置加速平臺Incredibuild 10</a>，以加速大型專案建置速度。由於Incredibuild具有建置快取技術，可以供開發人員快取建置輸出，方便所有團隊成員重複使用，藉由擴大增量建置帶來的優勢，使大型專案建置更有效率。</p> <p>Incredibuild是一款軟體建置加速工具，可以讓開發者更快地編譯、測試和執行應用程式，藉由運用分散式運算技術，Incredibuild可以利用網路中其他電腦的資源，加速開發過程中包括編譯、測試和執行時等各項任務。Incredibuild對於遊戲與嵌入式應用開發特別有用，因為這些應用通常具有龐大的軟體專案，編譯和測試時間都較長。</p> <p>Incredibuild作為第三方工具，支援多種編譯器和開發環境，包括Visual Studio、GCC和CMake等，而微軟現在要讓開發者在Visual Studio 17.6的安裝程式，將可以直接選擇安裝Incredibuild。微軟提到，Incredibuild系統會將開發流程分解為可獨立執行的小任務，而透過Incredibuild 10新加入的建置快取（Build Cache）技術，可以重用整個開發團隊先前執行的任務輸出，以節省建置時間和資源。</p> <p>也就是說，建置快取得以擴大增量建置的範疇，Incredibuild系統僅會就開發者的變更進行建置，而將開發團隊其他不相關的部分合併到更改時，便可以僅使用快取，且當開發者切換回原始分支時，僅暫時於其他不同分支上工作，也不會發生大型建置。</p> <p>針對輸出不在快取的任務，Incredibuild Grid便會將這些任務分配到運算核心池中，分配給任務需要的運算容量。網格中的機器不需要安裝編譯器或是事先複製程式碼，Incredibuild Grid能夠處理所有的工作，而且當這些工作完成並被快取後，相同的工作之後就不必再次執行，因此能夠大幅減少整個團隊的建置時間。</p> <p>建置快取除了可以減少團隊建置的時間外，對於在家工作的開發者也有優點，因為家庭網路通常上傳頻寬有限，因此在家工作通常會影響建置速度，而建置快取可讓建置工作轉為仰賴下載頻寬，因此在建置工作將可獲得更好的速度和效能，重複使用儲存在本地電腦的建置資料，能夠在不影響頻寬的情況下，明顯縮減建置時間。</p> </div></div></div>
2023/4/14 23:25作者李建興https://www.ithome.com.tw/news/156418
Google更新Chrome底層HTML解析與指標壓縮機制，改善網頁執行效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2023/04/more-ways-were-making-chrome-faster.html" target="_blank">Google對Chrome瀏覽器底層進行一系列更新</a>，透過最佳化頻繁使用的功能，提升網頁執行的速度，近期的重要效能更新包含改善HTML解析，並且使Chrome的V8引擎和DOM物件垃圾回收工具Oilpan的指標壓縮和分配更有效率。另外，Google也針對高階Android裝置，推出效能最佳化Chrome版本。</p> <p>Chrome開發團隊針對頻繁使用的JavaScript函式，Object.prototype.toString與Array.prototype.join進行最佳化，並且對CSS的InterpolableColor進行針對性改進，以提升網頁應用程式執行速度。同時開發團隊還對JavaScript中，更新DOM的方法innerHTML進行調整，添加了專用的快速解析路徑，官方提到，他們的這項改進也被WebKit採用，添加到新版本中。</p> <p>V8和Oilpan現在則採用更高效率的指標壓縮技術，可進一步節省記憶體使用，在Apple的Speedometer 2.1瀏覽器基準測試中，該方法帶來了10％的效能提升。簡單來說，開發人員對壓縮和解壓縮的方法進行最佳化，同時避免壓縮高流量欄位，由於這些操作的執行頻率很高，因此即便單次操作僅有小幅度的效能提升，也能對整體效能產生廣泛的影響。</p> <p>開發團隊同時還將經常存取的物件，諸如JavaScript的undefined等，移動到記憶體起始位置的開頭，方便機器碼能更快地取用。</p> <p>Google也針對高階裝置釋出專屬的Chrome版本，以提升執行效能，開發團隊解釋，因為Android裝置的等級差異很大，過去他們會對Android裝置最佳化Chrome的占用空間，但是這卻限制了Chrome在高階裝置上的效能，而現在釋出的新版本，主要針對執行速度，而非對二進位檔案大小的最佳化。</p> <p>在效能更強大的裝置，Chrome高效能版本在Speedometer 2.1基準測試速度，可提升達30％。</p> </div></div></div>
2023/4/14 23:28作者李建興https://www.ithome.com.tw/news/156421
Google訓練機器人在自家辦公室分類垃圾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>增強學習技術的發展，使得機器人的能力隨之提升，除了抓取等基本操作，Google還要讓機器人具備能夠實際處理日常任務的能力，而<a href="https://ai.googleblog.com/2023/04/robotic-deep-rl-at-scale-sorting-waste.html">Google在這2年於自家辦公大樓部署23臺機器人</a>，專門在垃圾站巡邏，並執行垃圾分類和回收的工作，經統計一年約可減少一半的垃圾重量。</p> <p>Google發展能夠在自家辦公大樓中巡邏，並且尋找垃圾站的機器人，機器人的任務是能夠重新整理垃圾站的垃圾，將可回收物品從其他桶中移動到可回收桶，並將所有可分解的物品，像是紙容器和紙杯丟入可分解桶，至於其他的東西則放到垃圾桶。</p> <p>研究人員提到，分類垃圾對機器人來說並不容易，光是要撿起垃圾桶中的物品，就是一個很大的深度學習挑戰，而且機器人還要能夠辨識物體，將物體放進合適的桶中更是不容易。研究人員使用真實世界資料，進行深度增強學習，並且透過將模擬訓練和實際操作相結合，以加速學習過程，另外，機器人也使用額外的感測資訊，掌握物體的形狀和大小，提高在不同場景下的泛化能力。</p> <p>訓練垃圾分類機器人有多個分類垃圾經驗獲取管道，一開始由研究人員制定一組簡單的策略，雖然機器人以此策略分類垃圾的成功率很低，但是可以提供一些初始經驗，第二個經驗學習管道則是sim-to-real模擬訓練框架，透過模擬提供機器人更多初始垃圾分類策略，再來研究人員則要機器人站在教室中，透過設定具代表性的垃圾站環境，要機器人不斷地進行垃圾分類練習，最後研究人員才將這些機器人，部署到辦公大樓中，在真實的環境中執行垃圾分類，學習最實際的分類經驗。</p> <p>雖然在實際辦公大樓垃圾桶的訓練，可以擁有最真實的體驗，但是辦公室中有些時候會有很多垃圾，有些時候卻又很少，因此機器人多數的分類經驗，還是在垃圾分類教室中獲得。機器人在分類教室總共收集54萬次的分類試驗，在實際部署中則收集到3.25萬次。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201747%20-%20Robotic%20deep%20RL%20at%20scale_%20Sorting%20waste%20and%20recyclables%20with%20a%20fleet_%20-%20ai_googleblog_com.png" style="width: 580px;" /></p> <p>透過在教室中進行受控的比較實驗，最終機器人能以84％的準確度分類垃圾，而且透過分析2021年到2022年的統計資料，Google表示他們的機器人分類系統，能夠有效減少垃圾重量40％到50％。</p> </div></div></div>
2023/4/14 23:31作者李建興https://www.ithome.com.tw/news/156422
Pulumi整合大型語言模型，自動化雲端基礎設施即程式碼操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門基礎設施即程式碼工具新創Pulumi，運用生成式人工智慧和大型語言模型，推出新工具<a href="https://www.pulumi.com/blog/pulumi-insights/">Pulumi Insights</a>，使得用戶在基礎設施即程式碼的處理上，獲得人工智慧的協助，更容易地執行進階搜尋、分析等工作。所有Pulumi雲端用戶都可以使用Pulumi Insights。</p> <p>Pulumi Insights中的Pulumi AI，是一個以大型語言模型為基礎，針對雲端基礎設施創建的人工智慧助理，官方提到，Pulumi AI可減少探索、學習和使用新雲端基礎設施API的時間。用戶可以直接使用自然語言，要求Pulumi AI以指定的程式語言達成特定雲端基礎設施操作，包括在雲端基礎設施添加新功能、提高安全性和效能，甚至是修復錯誤等任務。</p> <p>藉由使用Pulumi AI，用戶不需要了解特定API，就可以利用CLI工具創建複雜的雲端基礎設施，並且在雲端控制臺查看已部署的內容。</p> <p>Pulumi Insights能夠智慧地在用戶所使用的雲端平臺搜尋資源，官方提到，企業通常不會僅使用單一雲端平臺或是雲端帳戶，部分團隊甚至擁有數十個雲和數百個帳戶。要搜尋這些雲端資源和帳戶下的基礎設施非常困難，而Pulumi Insights的資源搜尋功能，可以探索用戶的所有資源，並且按堆疊、專案和各種維度過濾資源。</p> <p>用戶可以查詢像是所有AWS VPC，或是所有AWS和Azure VPC中，具有生產標籤的資源，同時也能夠存取雲端資源統計資料，像是按雲端供應商、資源類型或是部門分類的資料。</p> <p>Pulumi Insights的資料匯出工具，則能夠將Pulumi Supergraph中的資料，匯出供Excel、Tableau、Looker、PowerBI等商業智慧工具使用，以進行更深入的分析，或是以Snowflake、Redshift與Databricks等資料倉儲視覺化資源資料，創建有關成本、法遵和其他操作的報告。</p> </div></div></div>
2023/4/14 23:40作者李建興https://www.ithome.com.tw/news/156423
【資安日報】4月14日，駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>採用大型語言模型（LLM）的人工智慧機器人是當今大熱門，駭客假借這類程式的名義也不時傳出，其中最常被利用的就是ChatGPT。但在最近一起散布竊資軟體RedLine的資安事故裡，駭客不只冒用ChatGPT，還有Google Bard的名義來發動攻擊。</p> <p>雲端組態不設防的現象頻傳，其中又以採用弱密碼、甚至是沒有密碼保護的情況相當常見，而這樣的態勢也成為駭客發動攻擊的重要管道──雲端服務業者Google Cloud指出，他們分析用戶遭遇的攻擊行動裡，有近半數是鎖定弱密碼的環節而來。</p> <p>視訊監控系統的儲存系統一旦曝露漏洞，很有可能導致錄下的影像外流。例如，海康威視（Hikvision）修補了SAN混合儲存設備與叢集儲存產品漏洞CVE-2023-28808，並表示若不修補駭客能用來取得管理員權限，對該系統為所欲為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://veriti.ai/blog/research/from-chatgpt-to-redline-stealer-the-dark-side-of-openai-and-google-bard/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體RedLine假冒ChatGPT、Google Bard聊天機器人軟體散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/redline4-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/redline4-1.png" style="width: 300px; float: right;" /></a>最近AI聊天機器人當紅，也成為駭客散布惡意程式的幌子。資安業者Veriti發現駭客以ChatGPT和Google Bard為誘餌，在用戶電腦散布竊資軟體RedLine。駭客疑似先是挾持擁有數千名粉絲的企業臉書帳號，藉由廣告贊助貼文的名義，聲稱提供免費的ChatGPT或Google Bard程式檔案。</p> <p>一旦使用者依照指示下載壓縮檔案並開啟，竊資軟體RedLine就有可能啟動在受害電腦盜取帳密資料，或是下載其他惡意程式。研究人員指出，他們已經看到有數十個企業臉書帳號被用於相關攻擊行動。</p> <p><a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_apr2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">企業上雲真的重視安全嗎？根據雲端服務業者的調查，運用弱密碼的用戶比例竟接近一半</span></strong></a></p> <p>雲端服務業者Google Cloud揭露2022年第4季鎖定他們用戶的資安威脅態勢，研究人員在47.8％的事故當中發現，攻擊者針對使用弱密碼的環境下手，</p> <p>其次，則是入侵API，相關攻擊占19.6%。相較之下，軟體弱點和零時差漏洞雖然也有駭客使用（13.4%），但研究人員指出，比例將會越來越低。而這樣的現象，代表了使用弱密碼與不安全的API成為攻擊者偏好的目標，而為了降低被察覺的機會，國家級駭客也模仿一般網路罪犯的策略，跟進採用上述的手段。</p> <p><a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_apr2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT41去年下旬針對臺灣媒體發動釣魚攻擊，濫用同一家雲端服務業者的不同協作服務及開源工具，考驗雲端服務業的檢測能力</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gcat_threathorizons_full_apr2023-GC2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gcat_threathorizons_full_apr2023-GC2.png" style="width: 300px; float: right;" /></a>雲端服務業者Google Cloud於揭露2022年第4季的調查報告裡提及，去年10月發現中國駭客組織APT41的攻擊行動，目標是臺灣的媒體。</p> <p>攻擊者利用釣魚郵件，引誘收信人從Google Drive下載受到密碼保護的文件檔案。其惡意酬載是開源紅隊工具Google Command and Control（GC2），一旦植入受害電腦，GC2就會試圖從Google Sheets取得攻擊者的命令，下載額外的檔案竊取資料，並透過Google Drive洩露。研究人員表示，這些駭客在2022年7月，就利用GC2對義大利求職網站下手。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/13/threat-actors-strive-to-cause-tax-day-headaches/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國報稅季接近尾聲，會計師成網釣攻擊的目標</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Remcos-malware-phishing-lure-n.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Remcos-malware-phishing-lure-n.png" style="width: 300px; float: right;" /></a>美國報稅季即將於4月18日結束，但在許多人趕在截止日期申報的時候，駭客趁亂發動攻擊。</p> <p>微軟揭露針對專門處理稅務的會計人士的網路釣魚攻擊，駭客聲稱收信人必須完成相關的文件才能退稅，並提供近年的文件表單檔案，如W-2、1099、HSA等，一旦收信人依照指示點選信中的連結，就會下載存放於合法網域的捷徑檔案（LNK），此檔案會執行PowerShell，連結到攻擊者控制的網域下載惡意檔案GuLoader，進而於受害電腦部署木馬程式Remcos。</p> <p>由於駭客將使用的LNK檔案偽裝成PDF文件，使得研究人員呼籲使用者應該調整Windows檔案總管當中，檔案與資料夾的顯示設定，顯示所有檔案的副檔名來避免上當。</p> <p><a href="https://www.cadosecurity.com/legion-an-aws-credential-harvester-and-smtp-hijacker/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">別讓不當設定網站成為駭客任意進出竊取帳密資料的寶庫！有人正在網路販售這類工具</span></strong></a></p> <p>資安業者Cado Security揭露名為Legion的駭客工具，他們看到駭客透過加密通訊軟體Telegram兜售，並標榜具備多項功能，包含枚舉易受攻擊的SMTP郵件伺服器、利用遠端程式碼執行漏洞、攻擊含有弱點的Apache伺服器、暴力破解cPanel和WebHost Manager帳號，以及能濫用AWS服務的其他攻擊模組，主要的攻擊目標是內容管理系統（CMS）、以PHP架設的網頁伺服器。</p> <p>此外，該工具還能從線上服務挖掘電話號碼名單，並藉由竊得的SMTP帳號資料發送垃圾簡訊。</p> <p><a href="https://www.sentinelone.com/labs/transparent-tribe-apt36-pakistan-aligned-threat-actor-expands-interest-in-indian-education-sector/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度教育機構遭巴基斯坦駭客Transparent Tribe盯上</span></strong></a></p> <p>資安業者SentinelOne揭露伊朗駭客Transparent Tribe的攻擊行動，印度的教育機構是被鎖定的目標，對方藉由釣魚郵件，挾帶含有惡意巨集及OLE物件的Office檔案，散布木馬程式Crimson。值得留意的是，駭客為了掩人耳目，他們會在檔案內容加上「檢視文件」的圖案，引誘使用者點選，一旦收信人照做，就會觸發OLE物件，並假借Windows更新的名義執行木馬程式。</p> <p><a href="https://securelist.com/crimeware-report-uncommon-infection-methods-2/109522/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mirai變種RapperBot採用新型態暴力破解手法入侵連網設備</span></strong></a></p> <p>資安業者卡巴斯基揭露基於Mirai開發的殭屍網路病毒RapperBot，他們最初於2022年6月發現相關攻擊行動，當時該殭屍網路病毒透過SSH連線入侵受害設備，目標是對非HTTP連線的系統發動DDoS攻擊。但駭客後來轉換攻擊手法，改以Telent連線發動攻擊，研究人員於2022年第4季，看到11.2萬次攻擊行動，這些攻擊從逾2千個IP位址發出。</p> <p>值得留意的是，RapperBot入侵受害設備所使用的暴力破解手法與過往不同，會依據目標設備提供的提示（prompt），挑選特定的帳密資料來嘗試，加快暴力破解過程，而不需要嘗試一整份清單的身分資訊。</p> <p><a href="https://techcrunch.com/2023/04/13/hackers-claim-vast-access-to-western-digital-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客聲稱從Western Digital竊走10 TB資料</span></strong></a></p> <p>硬碟製造商Western Digital於4月3日證實遭到網路攻擊，導致部分服務中斷，該公司亦表示可能有資料外洩的情況，如今有駭客向媒體聲稱是他們所為。根據科技新聞網站TechCrunch報導，有人宣稱發動攻擊，竊得10 TB資料，當中包含大量的客戶資訊，表明他們有辦法利用Western Digital的憑證來替檔案進行數位簽署，並透露他們向這家公司勒索的金額達到8位數（即數千萬美元）。</p> <p>此外，駭客也展示螢幕截圖，表明掌控了該公司的Box帳號、內部電子郵件、儲存在資安系統PrivateArk的檔案等。駭客聲稱入侵Western Digital的目的是為了賺錢，並未加密檔案，而且只要拿到贖金就會離開該公司的網路環境，他們揚言該公司若不付錢，他們將會在勒索軟體BlackCat（Alphv）的網站公開竊得資料（但強調與該組織無直接關係）。</p> <p>至於駭客如何入侵該公司？他們表示是透過基礎設施的漏洞，且已掌握該公司Azure環境的全域系統管理員。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerability-in-hikvision-storage-solutions-exposes-video-security-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">海康威視儲存解決方案出現重大漏洞，恐曝露監視器錄下的影片</span></strong></a></p> <p>4月10日海康威視（Hikvision）發布資安通告，指出該公司旗下的SAN混合儲存設備與叢集儲存產品含有CVE-2023-28808，一旦遭到利用，攻擊者有可能藉由發送偽造訊息觸發漏洞，進而取得管理者權限，CVSS風險評分為9.1，影響DS-A71024、DS-A80624S、DS-A80316S等11款設備。該公司表示，目前尚未出現漏洞利用攻擊的跡象。</p> <p>對此，通報該漏洞的資安業者Redinent認為，此漏洞可遠端利用，再加上海康威視的這些儲存設備有不少曝露在網際網路上，攻擊者可以刪除監視器鏡頭錄下的影片，以及相關記錄資料，影響範圍將會非常廣泛。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/2d6bb590-fa47-435f-818e-c196c25733e0"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">行政院通過個人資料保護法修正草案，提高刑責並將設置個人資料保護委員會</span></strong></a></p> <p>行政院於4月13日通過國家發展委員會擬具的「個人資料保護法」第1條之1、第48條、第56條修正草案，將函請立法院審議。當中增訂了個資法的主管機關「個資保護委員會」，並提高罰款的金額，若是情節重大，最高可處1千萬元罰鍰，並令其改正，若未改正可按次處罰。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.jpost.com/israel-news/article-738790"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列自動灌溉系統遭到網路攻擊，被迫中斷運作</span></span></strong></a></p> <p><a href="https://www.darkreading.com/attacks-breaches/super-yacht-specialist-dry-dock-ransomware-attack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國遊艇造船廠Lürssen傳出遭勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://securelist.com/the-lazarus-group-deathnote-campaign/109490/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Lazarus發動DeathNote攻擊行動，鎖定國防工業而來</span></span></strong></a></p> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230407"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告鎖定企業的色情勒索攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-delays-exchange-online-cars-deprecation-until-2024/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟宣布Exchange Online用戶端存取規則功能延後一年停用</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/11/guidance-for-investigating-attacks-using-cve-2022-21894-the-blacklotus-campaign/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟公布檢測UEFI惡意程式BlackLotus的指引</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156406">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156382">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月11日】惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作</a></strong></p> </div></div></div>
2023/4/14 16:49作者周峻佑https://www.ithome.com.tw/news/156417
Meta開源可以把素描變成動畫的AI專案Animated Drawings
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.facebook.com/blog/post/2023/04/13/meta-os-animated-drawings/" target="_blank">Meta的基礎AI研究（Fundamental AI Research，FAIR）團隊本周發表了新的AI開源專案Animated Drawings</a>，能夠將兒童所創作的人物素描變成動畫，該專案包含了演算法及近18萬張具備註解的素描，可望協助創作者與開發者打造相關經驗與產品。</p> <p>為了蒐集大量的素描來訓練AI模型，FAIR團隊在2021年時便建立了Animated Drawings Demo，這是個可透過網頁存取的示範服務，讓創作者可上傳他們的素描，檢視與校正模型預測，繼之收到基於該素描角色而衍生的動畫。</p> <p>有趣的是，原本該團隊的目標只想蒐集1萬張素描圖片，不料該示範服務引起熱烈的迴響，在短短的幾個月內就收到了超過160萬張素描，最終全球總計有320萬人造訪過該站，上傳到該服務的素描數量多達670萬張。</p> <p>原因之一可能是<a href="https://sketch.metademolab.com/" target="_blank">Animated Drawings Demo的介面</a>很簡單，使用者上傳素描作品後，可選擇要執行動畫的角色，確認角色的關節位置，就能建立動畫了，不到一分鐘就能將原本處於畫紙上的靜態角色變成活蹦亂跳的動畫人物。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-1.fna.fbcdn.net/v/t39.2365-6/341323103_225625476815213_1529623186623902116_n.png?_nc_cat=109&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=sPVn4GAKT-MAX8bXrRR&_nc_ht=scontent.ftpe8-1.fna&oh=00_AfCzc1f_EnKIyML0dUgilVUKd93GY0NsbOt55UPwpR89ww&oe=643DBA59" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>此外，Meta也發現使用者對Animated Drawings的興趣超乎想像，他們其實只想蒐集來自兒童的素描，卻發現使用者上傳了五花八門的圖案，從企業商標、填充玩具、寵物、人偶，到各種想要它們變成動態的內容，且就算該示範服務指定只要人物的素描，但使用者上傳了鳥、魚與各種動物，也熱情地提供了各式各樣的意見，例如想要透明的背景，希望可支援不同的骨架，要有表情，可以多個角色一起互動，以及音效、情境與文字功能等。</p> <p>面對襲來的大量建議，FAIR決定直接將Animated Drawings開源。Meta表示，未來除了內部專案會導入Animated Drawings之外，也期望透過開源以讓全球創作者與開發人員共同建立將素描變成動畫的更多樣化的體驗。</p> <p>雖然全球使用者上傳的素描數量多達670萬張，但Meta進行了多次的過濾行動，包括僅選擇那些同意與研究團隊分享的素描，再加上隱私與安全考量，以及剔除不符合該專案要求的圖片等等，最後收錄在資料集中的素描則接近18萬張。</p> </div></div></div>
2023/4/14 14:50作者陳曉莉https://www.ithome.com.tw/news/156416
駭客宣稱入侵WD系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2023/04/13/hackers-claim-vast-access-to-western-digital-systems/" target="_blank">本周一個駭客組織公開宣稱</a>，4月初硬碟廠商Western Digital（WD）的網路攻擊事件是其所為。</p> <p><a href="https://www.ithome.com.tw/news/156245" target="_blank">本月初WD證實系統遭駭</a>，相信攻擊者從特定系統取得資料，且影響包括MyCloud NAS系統、裝置、及照片備份服務等。而為遏止事件擴大，WD也主動切斷多項系統，包括入口網站、網頁及代理伺服器、電子郵件、驗證及推播通知等服務。</p> <p>當時WD對攻擊事件透露甚少。不過本周一個駭客組織對Techcrunch宣稱自己是犯案者，且提供了佐證資訊。攻擊者提供了一個宣稱是以WD程式碼簽章憑證簽發的檔案，以及數名據稱是WD高層主管的非公開電話號碼。雖然電話無人回應，但檔案則經專家確認是WD憑證簽發。</p> <p>攻擊者也顯示一個隷屬WD帳號的Box資料匣及其公司群組通話軟體的螢幕擷圖、一封WD內部郵件、及線上檔案服務PrivateArk儲存的數個檔案。攻擊者還宣稱手上擁有竊取自WD 用以管理電子商務資料的SAP Backoffice的檔案。</p> <p>這群駭客宣稱，是隨機挑選攻擊目標，單純意在取得贖金。雖然安全專家猜測WD網路安全事件來自勒索軟體攻擊，但這群駭客說他們決定不使用勒索軟體加密WD檔案，而是要求「一次性的支付金額」，說對方只要付了錢就會撤出其網路環境，揚言若未收到贖金就會將WD資料公布在勒索軟體Alphv的公開網站。但駭客說和Alphv組織並無關聯。</p> <p>不過WD顯然不願合作，也不回應駭客的所有聯繫。自4月初關閉系統，<a href="https://status.mycloud.com/os4" target="_blank">WD的服務狀態頁顯示</a>所有Cloud Home 及My Cloud OS 5服務已在4月12日恢復上線。</p> </div></div></div>
2023/4/14 14:38作者林妍溱https://www.ithome.com.tw/news/156415
AV1躋身網路視訊編碼主流標準
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank">iThome周刊1125期的封面故事主角是線上影音服務串流業者Netflix</a>，1997年成立的他們，從DVD網路租借業務起家，2013年因播映自製影集《紙牌屋》而揚名全球，其運用的觀眾大數據分析，決定他們製播出這齣戲劇的主題，更成為當時IT應用創新的最佳典範，而我們現在要談談他們行銷全球熱門影集的AI技術。</p> <p>多媒體線上視訊應用這塊市場到底有多熱呢？除了業務模式與軟體發展，在硬體方面，這半年多來，我們陸續見證三大運算平臺廠商，都想分食這塊大餅，因此陸續推出新一代資料中心GPU、多媒體工作負載加速卡，而它們配備的各種規格與支援的最新標準，也指向整個網路多媒體應用的最新趨勢，其中，是否支援AV1這套多媒體編碼的標準，是許多人都很關注的議題。</p> <p>事實上，線上視訊、多媒體的應用，早已與現代人的工作與生活密不可分，在2003年爆發SARS疫情時，臺灣就已感受到網路視訊會議的必要性，而在20年後的此刻，歷經三年的COVID-19疫情，全世界人類幾乎都體驗到遠距的辦公、學習、娛樂等多種應用。</p> <p>以視訊會議與多媒體串流服務而言，過去陸續出現多種標準來支援當時的應用需求，像是H.263、H.323、MPEG-4、H.264（MPEG-4 AVC）、H.265（HVC）、VP8、VP9，而最近這幾年我們注意到AV1這項編碼標準，越來越多業者開始採納與主推。</p> <p>AV1全名是AOMedia Video 1，是由開放媒體聯盟（AOMedia）發展的視訊編碼格式，於2019年1月正式公布1.0版規格，陸續有多家業者支援這項規格。</p> <p>以線上串流服務、社交網站來看，YouTube在2018年設立專用的播放清單AV1 Beta Launch Playlist，供大家測試與評估AV1解碼的效能，3月底傳言YouTube終於即將要推出AV1直播串流支援。Vimeo則是在2019年6月宣布支援AV1，當時先在站方精選頻道Vimeo Staff Picks，提供採用AV1編碼的影片。Netflix是在2020年2月，在他們的Android行動App開放支援AV1，到了2021年11月，針對特定智慧電視設備進行的網路串流播放服務，開始使用AV1編碼格式。</p> <p>2021年改名為Meta的Facebook於2018年4月表示，他們的影片播放支援AV1編碼，到了今年2月，該公司宣布，連續短片Facebook Reels和Instagram Reels也都開始支援AV1。</p> <p>近年來走紅的社交多媒體網路視訊平臺Discord，也在今年2月底宣布支援AV1編碼，若使用者是他們的Nitro服務訂戶，可上傳與播放採用AV1編碼的影片。</p> <p>而在雲端視訊會議服務方面，思科在2020年底宣布，2021年初期Webex會將AV1視訊編碼用於正式場合，他們表示將一步步進行，採用系統化的方式擴展AV1的部署，例如，先在其他桌面分享模式支援AV1的使用，可針對文字與圖片進行最佳化，或自動執行最佳化調校，若參與視訊會議的使用者設備無法支援AV1編碼處理，會自動退回到H.264編碼；經過一段時間的適應之後，思科會移除限制，開放與會者能指定隨選AV1或H.264編碼的轉換，也允許系統直接錄製使用AV1編碼的會議內容，而無須回到H.264編碼才能錄製。</p> <p>目前作業系統支援AV1的狀況如何？微軟在2018年11月推出AV1 Video Extension的App，Windows 10用戶可到Microsoft Store的應用程式市集自行下載；而在Linux環境當中，在VA-API、VDPAU、NVDEC、NVENC等驅動程式中，若是所用的個人電腦，搭配近期推出的部分CPU（Intel Tiger Lake）、GPU（AMD Radeon RX 6000、Nvidia GeForce RTX 30），均能得到一些支援。</p> <p>而在應用軟體的AV1支援，以瀏覽器而言，Firefox在2022年3月增設AV1硬體解碼器支援，Chrome在2018年8月支援AV1解碼，2021年支援AV1編碼，Edge因2018年下半微軟提供AV1 Video Extension而跟著支援AV1。</p> <p>影音播放、編輯、轉碼軟體的部分，受到廣泛使用的開放原始碼VLC media player，從2018年2月釋出的3.0.0版，開始實驗性支援AV1解碼器；K-Lite Codec Pack在2018年9月發布的14.4.5版，支援AV1解碼；FFmpeg在2018年4月推出的4.0版，開始支援AV1；OBS Studio在2022年11月發布的28.1版，支援NVENC AV1硬體編碼器。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%A6%96%E8%A8%8A%E6%9C%83%E8%AD%B0">視訊會議</a></div><div class="field-item odd"><a href="/tags/%E5%A4%9A%E5%AA%92%E9%AB%94%E4%B8%B2%E6%B5%81">多媒體串流</a></div><div class="field-item even"><a href="/tags/av1">AV1</a></div><div class="field-item odd"><a href="/tags/%E8%A6%96%E8%A8%8A%E7%B7%A8%E7%A2%BC%E6%A8%99%E6%BA%96">視訊編碼標準</a></div><div class="field-item even"><a href="/tags/netflix">Netflix</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%99%A8%E5%AD%B8%E7%BF%92">機器學習</a></div><div class="field-item odd"><a href="/tags/%E5%85%A7%E5%AE%B9%E6%8E%A8%E8%96%A6">內容推薦</a></div></div></div>
2023/4/14 12:00作者李宗翰https://www.ithome.com.tw/voice/156396
Netflix超強影音行銷的8個ML應用實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> ML實例1 </span></span> 自動生成客製化封面</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E7%AF%84%E4%BE%8B1-%E8%87%AA%E5%8B%95%E7%94%9F%E6%88%90%E5%B0%81%E9%9D%A2.png" style="width: 569px;" /></strong></span></p> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>Netflix每一部影集的封面圖片，都是高度個人化的客製設計，甚至每一個人看到的封面可能不一樣，正是靠ML來產生吸引不同類型觀眾喜好的封面設計。</strong></span><span style="font-size:14px;">圖片來源／Netflix</span></span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例2 </span></span></strong><span style="font-size:28px;"><strong> 自動辨識畫面語意標籤</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%AF%84%E4%BE%8B2-%E8%B6%85%E5%BC%B7%E7%95%AB%E9%9D%A2%E7%90%86%E8%A7%A3%E6%A8%99%E8%A8%98.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>借助物件偵測ML技術，不只可以辨識出畫面中不同的物件，Netflix還能辨識物件名稱或行為，作為語意搜尋之用，例如可以快速找出艾蜜莉嘟嘴畫面。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例3 </span></span></strong><span style="font-size:28px;"><strong> 快速搜尋關鍵對白影片</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AF%84%E4%BE%8B3-%E6%90%9C%E5%B0%8B%E7%89%B9%E5%AE%9A%E5%8F%B0%E8%A9%9E%E7%9A%84%E5%BD%B1%E7%89%87%E6%AE%B5%E8%90%BD.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>透過ML技術可以辨識出一部影片中，不同對白的影片段落以及不同場景的段落，例如圖中影片有17個說出「Thank you」的影片段落，可供剪輯師搭配來設計創意預告片。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例4 </span></span></strong><span style="font-size:28px;"><strong> 快速搜尋同類畫面構成</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%AF%84%E4%BE%8B4-%E6%90%9C%E5%B0%8B%E9%A1%9E%E4%BC%BC%E7%95%AB%E9%9D%A2%E6%A7%8B%E6%88%90.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>Netflix常用的預告片手法是用ML搜尋不同影片段落中的同一類畫面，組合成一連串快速切換的短片，例如都是主角中距離鏡頭開口說話的場景，來凸顯戲劇張力。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例5 </span></span></strong><span style="font-size:28px;"><strong> 直接用影片來找相似影片</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E7%AF%84%E4%BE%8B5-%E9%8F%A1%E9%A0%AD%E6%89%BE%E9%8F%A1%E9%A0%AD.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>預告片剪接師除了輸入文字來尋找想要的素材，還可以透過ML來進行影片內容比對，直接輸入一段影片，來找出同類型的影片。圖中例子為在廚師競賽劇集中，輸入一道菜的影片，可以找出其他道菜的登場影片。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例6 </span></span></strong><span style="font-size:28px;"><strong> 自動產生精華短片</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966-%E7%AF%84%E4%BE%8B6-%E8%87%AA%E5%8B%95%E7%94%A2%E7%94%9F%E7%B2%BE%E8%8F%AF%E7%9F%AD%E7%89%87.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#696969;">透過ML建立影片內容的大量語意標籤，不只可用於搜尋，還能用來自動產生精華短片，可以呼叫「重要對白」演算法，指定影片時間後，ML就能自動挑出匹配主題的段落來產生精華短片。</span></strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例7 </span></span></strong><span style="font-size:28px;"><strong> 分析光流自動生成動作短片</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%967-%E7%AF%84%E4%BE%8B7-%E5%BD%B1%E7%89%87%E5%85%89%E6%B5%81%E5%8C%B9%E9%85%8D%E5%89%AA%E6%8E%A5.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>Netflix預告片中有一種手法，可以將同一種畫面移動形式，例如都是由左到右的不同鏡頭，組合成一段同樣鏡頭移動方向，但是畫面不段切換的動作短片，就是靠光流ML分析來自動產生。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例8 </span></span></strong><span style="font-size:28px;"><strong> 自動計算影片內容的屬性矩陣</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%968-%20%E7%AF%84%E4%BE%8B8-%E5%BD%B1%E7%89%87%E5%B1%AC%E6%80%A7%E5%88%86%E5%B8%83%E7%9F%A9%E9%99%A3.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#696969;">Netflix可以用ML來計算一支影片在不同類型（動作片、戲劇片、紀錄片等）和不同場景屬性（煽情鏡頭、音樂性、搞笑情節、視覺衝擊鏡頭、人物登場鏡頭）的強度分數，作為後續推薦、搜尋、自動匹配之用。</span></strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王宏仁https://www.ithome.com.tw/news/156399
挑戰1億種產品吸睛手法，Netflix超強影音行銷術的關鍵技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺劇《模仿犯》爆紅，短短7天就搶進20國影劇熱榜，不只日本、越南，連烏拉圭人、希臘人、阿拉伯人都愛看。如何吸引連臺灣都沒聽過的異國觀眾，也想打開陌生的劇集，Netflix正是靠ML技術打造出超強的影音行銷力。</p> <p>Netflix擅長將一個本土影集推向全球性市場，甚至可以成為不同國家的熱門劇集。成功爆紅的關鍵，除了這些本土影集自身的戲劇性和內容富有高度吸引力之外，還有一個少為人談到的科技關鍵，就是Netflix善用ML技術來強化的超強影音行銷能力。</p> <p>以《模仿犯》來說，上線一周就登上三大洲20多國的Top10排行榜，不只日本、越南，連烏拉圭人、希臘人、阿拉伯人都愛看。</p> <p>但是，對阿拉伯人來說，臺灣的語言、文化、社會場景、過去歷史，都可能是非常陌生，甚至是過去從沒接觸過的國家的故事，卻仍然可以成功搶下這群異國觀眾的眼球，甚至成為鐵粉。</p> <p>短短一周內，就吸引到數十國觀眾的目光，甚至是語言、文化截然不同的國家，《模仿犯》不是第一例，Netflix先前推出的西班牙劇《紙房子》、韓劇《魷魚遊戲》都是快速在全球竄紅的該國本土劇集。為什麼Netflix有能力讓同國家的觀眾，願意打開觀看一個來自陌生國度的陌生影集呢？</p> <p>早在2014年，Netflix自家研究就發現，觀眾停留在每一個影集封面的時間只有1.8秒，如果90秒沒有看到想看的影片，就會離開網站。觀眾看到影集封面的第一眼，更是吸引觀眾打開影片的第一步，不只標題文字，圖片搭配得當，更是能大大提高觀眾打開陌生影集的意願，從此Netflix就致力於找出每一個人各自想看的影集封面，而不是一張可以吸引所有人的最佳封面設計。</p> <p><span style="font-size:28px;"><strong>機器學習團隊的目標是1億種個人化的產品</strong></span></p> <p>「不是1種，而是1億種不同個人化推薦和個人化視覺設計的產品。」這就是Netflix機器學習產品團隊想要達到的目標，這背後結合了許多不同類型的個人化推薦演算法。</p> <p>當你打開Netflix首頁，不只能看到了依據過去習慣量身推薦的影片，每一部影片的封面更是高度個人化客製的設計。每一個國家、不同類型觀眾，甚至是每一個人看到的封面，都可能不一樣。Netflix的目標是可以據觀眾喜好、吸睛關鍵，量身打造每一隻影片的登場方式。這正是Netflix用來吸引全球觀眾，願意打開陌生影集的密技。</p> <p><span style="font-size:28px;"><strong>每年上千支新影片，靠ML快速打造出每一隻的專屬行銷素材</strong></span></p> <p>Netflix一年會推出上千部新的劇集和影片，每一隻影片都會設計一套客製化的封面設計和宣傳短片，在全球尋找對這支影片有興趣的鐵粉。</p> <p>行銷團隊的第一個挑戰就是，就算對方完全沒聽過臺灣，也要靠這套客製化宣傳素材，來吸引他們打開影片觀看，接著就是靠影片的內容魅力，讓這群對影片陌生的觀眾，變成鐵粉。</p> <p>Netflix行銷團隊中有一群經驗老道的創作團隊，負責準備這些宣傳素材，Netflix的AI團隊的任務，就是要用機器學習技術打造工具，來強化這個創作團隊的創造力。</p> <p>舉例來說，前面提到高度客製化的封面只是機器學習技術的牛刀小試，更重要的是，如何判斷哪些封面元素、設計風格才是吸引觀眾目光的原因。</p> <p>Netflxi利用機器學習技術，發展出了一套因果分析框架，可以結合用戶的瀏覽和收看大數據，結合個人化推薦系統中產生分析洞察，讓創作團隊可以更掌握每一類觀眾的特性，也能知道不同吸睛元素對不同觀眾的影響程度，來設計更有效果的宣傳封面素材，提供給個人化自動推薦系統使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%96-%E3%80%8A%E8%89%BE%E8%9C%9C%E8%8E%89%E5%9C%A8%E5%B7%B4%E9%BB%8E%E3%80%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%EF%BC%AEetflix.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">Netflix大量運用各種ML技術，尤其是電腦視覺AI，例如可以用ML辨識出《艾蜜莉在巴黎》其中一個鏡頭中，女主角站在麵包店門口，嘟著嘴和友人正在自拍，等這類場景豐富語意的資訊，而且還能將這些資訊數值化，歸納出不同場景屬性上的強度分數，例如愉快程度60分，眼睛張開指數40分，嘴角微翹指數30分等。</span></strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Netflix</span></span></p> <p><span style="font-size:28px;"><strong>用ML打造影音理解模型，深度剖析出影片各種語意特徵</strong></span></p> <p>不只如此，Netflix還持續開發一系列的影音理解模型，可以用來深度剖析出影片的內容特色，例如進行特徵分類、找出故事線、辨識情感、辨識影片拍攝手法等，再結合到時間編碼，就能讓創作團隊更有效率設計出吸引人的預告片或精華短片，再進一步結合個人化推薦系統累積的用戶大數據，來向不同顧客行銷。</p> <p>以《艾蜜莉在巴黎》這部熱門影集為例，可以在一個女主角和朋友自拍鏡頭的畫面截圖中，辨識出女主角的心情很愉快，正在嘟嘴，嘴巴略開，眼睛微張，而自拍的拍攝地點則位於麵包店門口等等，ML可以自動辨識出這類場景豐富語意的資訊，而且還能將這些資訊數值化，歸納出不同場景屬性上的強度分數，例如愉快程度60分，眼睛張開指數40分，嘴角微翹指數30分等。</p> <p>這些透過電腦視覺模型得到的影片深度理解分析，可以成為進一步應用的關鍵基礎。例如可以用來搜尋同樣場景、同樣語意、同樣對白的段落，甚至快指定鏡頭效果，或畫面構成方式，例如都是主角正面中距離鏡頭，來快速搜尋出符合的影片段落，作為剪接之用。</p> <p>甚至，Netflix機器學習團隊還打造出了自動匹配剪接工具，透過不同匹配演算法，可以自動找到在不同影集中的同類鏡頭或同樣場景的段落，自動剪接這些鏡頭，生成一隻預告短片。甚至可以進行光流分析（Optical Flow），分析畫面中每一個像素的移動形式，來找組同類畫面移動方式的段落，例如都是由左到右的移動鏡頭，組合成一段同樣鏡頭移動方向，但是可以切換不同段落的動作短片。</p> <p><span style="font-size:28px;"><strong>不只是資料科學挑戰，更是資料工程的難題</strong></span></p> <p>不過，要運用ML實現這樣高度自動化的匹配剪接，不是一件容易的事，因爲這不只是一個資料科學的挑戰，也是一個資料工程的難題。</p> <p>因為一支影片平均有2,000個鏡頭。光是要從中比對出兩個同樣場景（例如都是主角轉頭）的鏡頭，就需要2百萬次比對，若是要跨多部影片，例如Netflix曾要從上百部影片的12萬個鏡頭來剪接精華介紹短片，就得面對82億次的龐大比對任務。</p> <p>透過不同的重複鏡頭與重複畫面刪除演算法，結合標註機制，大幅減少到1萬多個高度相關鏡頭，最後只需要進行約2萬次比對就能找到合適的組合。</p> <p>Netflix會將這些各式各樣的ML應用或相關技術工具，盡可能運用到不同場景或應用情境，甚至能跨越截然不同的應用領域，也可能使用到同樣的技術，例如Netflix的維運團隊管理大量微服務的標註工具，後來竟然變成了可以標記大量影片後設標籤的通用標註平臺，IT工具變成了創意輔助工具。</p> <p>甚至，Netflix現在也正在運用VFX特效工具和特效演算法，要打造一套更好用的電影虛擬製作工具，可以提供一個虛擬片場環境，將各種數位化的3D角色，數位場景物件，擺放到這個虛擬片場模擬的環境中，進行模擬拍攝，目前還是雛形版本階段。</p> <p>借助這些幕後的關鍵機器學習技術和AI工具，行銷團隊都能輕易將任何一部本土劇集，打包成通吃全球各國觀眾的行銷形式。只要劇集夠精彩，Netflix就能找到打動各國觀眾的吸睛方式。這正是Netflxi超強影音行銷背後的技術秘訣。</p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王宏仁https://www.ithome.com.tw/news/156402
【Netflix關鍵ML心法：客製化推薦2大方法論】你看到的封面和簡介都是客製的！Netflix揭2大方法論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>登入Netflix會員，映入眼簾的影片封面、簡介甚至是預告，都是為每位使用者客製的。這些客製化封面和內容，不只助使用者找到喜歡的影集，還能發掘意料外但有趣的新片。這就是Netflix提高黏著度的關鍵手法。</p> <p>早在2017年，Netflix就設計出內容客製化的機器學習（ML）演算法，來為每位會員呈現不同的劇照封面。但，系統是如何選出一組組最佳劇照，來供推薦選用？Netflix最近終於揭露上億用戶客製化推薦的2大方法論。</p> <p><span style="font-size:28px;"><strong>由上而下：專家知識主導</strong></span></p> <p>第一種方法是由上而下，由Netflix團隊主動出擊、聯手內部專家，藉專家過往經驗，來找出推薦效果良好的圖片特徵，再以電腦視覺和ML技術來對這些特徵建模。這些特徵有2種，一是涵蓋顏色、紋理等的低階特徵，二是包含臉孔數量、表情和構圖等元素的高階特徵。</p> <p>比如，在一張《紫色愛戀》（Purple Hearts）男女主角對視的封面中，團隊可能截取以下特徵：人數–2人、人物位置–相互面對、情緒–中性至正向、飽和度–低、物件–軍裝等。</p> <p>不只靠專家經驗，Netflix也用預訓練模型或API來找出圖片特徵，像是人臉偵測、物件標記。但，模型雖能辨識一張圖片有哪些元素，卻難以判斷彼此間的關係，比如朋友還是戀人。於是，Netflix建立內部資料集和模型，打造幾款輔助型ML工具，來幫專家更快、更有效率地訓練模型，用這些專屬模型來搜尋各種圖片屬性。</p> <p>有了圖片特徵，Netflix還會用各種預測和因果方法來找出洞察，也就是口碑好的影片，背後有哪些重要屬性。這些洞察，就能用來定位即將推出的新片。舉個有趣的例子，Netflix從自家目錄發現，單人肖像封面往往比多人肖像封面更吸引觀眾。</p> <p><span style="font-size:28px;"><strong>由下而上：讓數據說話</strong></span></p> <p>由上而下方法雖能找出清楚、可執行的洞察，但非常受限於專家的已知知識，難以找出其他有影響力的特徵。</p> <p>於是，Netflix提出另一種由下而上的方法，也就是團隊不作任何先入為主的猜測，改為觀察數據所呈現的模式和特徵，再以這些特徵找出最佳劇照。具體做法是，團隊先撈出一組組相似的圖片，再讓自家創意專家從各組圖片中，找出洞察、模式和靈感。</p> <p>為找出這一組組圖片，技術團隊先採用大型預訓練卷積類神經網路，來對圖像相似度建模。網路的前幾層，通常會對低階相似度的特徵建模，比如顏色、邊、紋理和形狀，後面幾層捕捉的特徵，則會按任務需求來分類圖片，例如找出相似的物件。接著，團隊會使用k-means這類非監督式分群演算法，來在圖片中分群。</p> <p>以《紫色愛戀》為例，專家可參考模型分群的圖片，從中尋找設計靈感。由於該片主角是海軍軍人，創意專家透過模型找出類似封面，並搭配這些影片的過往觀看記錄，來選擇最佳元素。比如在過往觀看數據中，軍事戰爭相關、角色持槍、表情嚴肅、沒有正視鏡頭的劇照都有好成績，專家就能運用這些元素，來設計新片封面。</p> <p>同時，《紫色愛戀》還有浪漫愛情故事線，團隊也能用模型分類出愛情相關劇照，並從中得知，親密接觸等肢體語言代表愛情關係，因此可用這個原則，來為其他觀眾設計另一種封面。</p> <p>不只如此，專家也能從這些分類中，得知哪些事不該做。假設，同樣是軍事戰爭相關劇照，有幾組輪廓飽和度高的影集劇照，在過去宣傳成效都不佳，專家就會進行測試來確認因果關係，最終就不會用這種組合來行銷新片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E6%96%B9%E6%B3%95%E8%AB%96%EF%BC%89%E8%8B%A5%E6%A8%B8-purple%20hearts-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">Netflix創意團隊用模型找出宣傳成效不錯的劇照封面（圖左），再根據這些特徵，來設計新片封面，如圖右的《紫色愛戀》。</span></strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Netflix</span></span></p> <p><span style="font-size:28px;"><strong>輔助方法：會員分群</strong></span></p> <p>除了2大方法論，Netflix也採用一種常見的會員分群手法，來輔助找出推薦宣傳用的最佳封面。簡單來說，技術團隊會根據幾個基本特性，如觀看習慣，來分群會員，或是根據封面個人化演算法對每位會員的推薦成效，來歸類愛好類似的會員。如此，團隊就可預測，不同群組會對哪些影片感興趣，甚至能推測出，哪些影片可能與這些會員產生共鳴，擊中觀眾好奇心。</p> <p>舉例來說，假設Netflix將會員分為喜歡浪漫和偏好動作2大類，來評估2組會員對同一影片的反應。團隊可能發現，8成《紫色愛戀》的觀眾屬於浪漫派，2成屬於動作派，而且，浪漫派的代表性粉絲，對明星情侶相擁的劇照反應最強烈，動作派觀眾則對士兵在戰場上的劇照反應最強。得到這些洞察後，Netflix就能推測，特定使用者群可能對即將推出的同性質新片感興趣，甚至反過來，一些即將推出的新片可能會引起某群會員的共鳴。這些洞察，就能幫助Netflix建立新片宣傳的策略。</p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王若樸https://www.ithome.com.tw/news/156403
【Netflix關鍵ML應用：因果分析ML框架】Netflix靠因果框架分析創意洞察，打造客製化吸睛封面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推薦是Netflix經營上億會員生態圈的重要手段，大至首頁選單的行數、排序，小至每支影片的封面、精選片段和簡介都是客製化打造。Netflix最近透露，如此細緻推薦影片的一大核心技術，就是因果機器學習方法。</p> <p><span style="font-size:28px;"><strong>從圖片特徵和用戶參與度，找出成功關鍵</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E9%A0%90%E5%91%8A%EF%BC%89%E8%8B%A5%E6%A8%B8-%E6%9E%B6%E6%A7%8B-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Netflix的因果框架仰賴影片封面（Artwork）使用者參與度數據和封面特徵數據，因果ML還能用來驗證假設，產出的創意洞察則供創意團隊設計新片封面參考。</strong><span style="font-size: 14px;">（圖片來源／Netflix）</span></span></p> <p>對Netflix來說，按觀眾喜好來呈現影音內容非常重要，比如同一支影片，不同偏好的會員會看到不同封面、簡介和預告，這不只讓使用者快速找到喜歡的影片，還能發掘有趣的新片，大大提高黏著度。也因此，Netflix自建一套個人化推薦系統，長年下來累積出龐大豐富的資料集，有影片封面的各種特徵、組成元素，還有使用者參與度數據，是用來設計新片宣傳策略的寶貴資產。</p> <p>在這個基礎上，如何才能知道，哪些影片封面元素，會造就吸引眼球的影片？為找出答案，Netflix用各種方法找出洞察，也就是受歡迎的影片及其封面劇照等藝術品背後，最重要的屬性。</p> <p>這時，因果ML方法就登場了。Netflix稱它為因果框架，可用來測試、驗證人類專家或電腦觀察到的現象（也就是一個假設，比如封面中出現人臉會提高觀看意願），並找出成功的創意洞察、摘要出來。</p> <p>這個因果框架，使用了Netflix既有的個人化推薦系統數據，以及電腦視覺演算法產生的數據。進一步來說，藝術品個人化系統（Artwork Personalization System）是Netflix每天用來服務上億會員的個人化影片推薦系統，而驅動這個系統的，是歷年累積的使用者參與度數據，這些推薦數據和使用者參與度數據，是因果框架所需的數據來源之一。</p> <p>至於電腦視覺演算法，則用於已標註的影片劇照，從中找出圖片詮釋資料（Metadata）、潛在表徵等。如此一來，因果框架使用的資料集，就包含圖片特徵和使用者參與度數據，更能用來理解哪些圖片組成，會成功吸引觀眾。</p> <p>不單如此，因果框架還用來驗證假設。Netflix會先使用ML演算法、使用者行為洞察和相關性分析，來發掘圖片特徵和劇照封面美術行銷成功的高階關聯，而這些關聯，也就形成「假設」。</p> <p>為了驗證，團隊會先部署因果ML演算法，來測試這個假設。若假設符合因果條件，就能經過一系列計算和評估，進而得出創意洞察，來供Netflix創意團隊參考、設計新片的個人化推薦封面等美術品。</p> <p><span style="font-size:28px;"><strong>封面出現人臉必會吸引觀眾？</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E9%A0%90%E5%91%8A%EF%BC%89%E8%8B%A5%E6%A8%B8-%E6%AF%94%E5%B0%8D-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpg" style="width: 504px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>透過因果ML推論，團隊得知影片封面包含一張人臉，且與片名色調一致，就能更吸引觀眾。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／Netflix）</span></p> <p>在過去，Netflix嘗試用A/B測試來驗證影片封面成功的因素。但這個做法有許多侷限，比如只能針對特定類型的封面，且只能手動標註特徵，難以擴展成跨類型的通用測試。這是因果框架要解決的另一大痛點。</p> <p>要用因果框架驗證一個假設前，團隊得先確認，這個假設是不是一個因果推理問題。</p> <p>比如，他們認為封面出現人臉，更能吸引觀眾，於是，團隊得先確認一致性，也就是電腦視覺方法能否準確偵測出大量封面中的人臉，以及這個假設是否符合其他因果條件，如假設獨立性SUTVA、無不可量測的混雜變數條件（Unconfoundedness）以及機率分配等前提。</p> <p>確認符合後，團隊就能用因果ML模型來驗證這個假設。有別於一般預測性ML演算法、擅長找出數據模式以及模式與預測結果的關聯，因果ML能很好地解釋因果關係，還能縮小誤差，來評估採用假設後的結果。</p> <p>目前幾種常見因果ML演算法，有Double ML、因果森林（Causal Forest）和因果類神經網路，Netflix採用Double ML和其他演算法來進行因果推論。</p> <p>他們將「封面是否出現人臉」、「影片和封面特徵」等參數帶入公式，來計算最終觀眾點擊影片的機率，以及這個假設是否能套用到所有類型影片。</p> <p>他們也採用調節（Mediation）和調整（Moderation）2種方法，來排除其他因素、找出封面圖片屬性之間的深度關係。比如他們發現，影片封面出現單一人臉、與片名色調一致，就能吸引觀眾，而且封面出現超過3張臉，會影響觀眾觀看意願；而在自然紀錄片中，出現人臉的效果不如其他類型的影片好。甚至，他們還根據因果推論，得知封面中人臉大小和人臉數量的最佳比例。</p> <p>經因果工具驗證的結論，不僅是個人化封面設計的創意洞察，更是Netflix創意團隊用來制定新片宣傳策略的重要資產。而這些資產，最終轉化為Netflix會員的更好體驗。</p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王若樸https://www.ithome.com.tw/news/156404
【Netflix關鍵ML應用：通用標註平臺】標註平臺化身通用搜尋器，Netflix用它從萬筆影片即時撈出1幀畫面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何在上萬部影片中，快速撈出想要的畫面？對影音龍頭Netflix來說，這個工作並不難。因為，他們自建一套通用的標註平臺Marken，不只用來標註素材，還能當作搜尋工具，讓內部團隊即時找到特定片段和畫面。這麼做，更加速Netflix精準推薦作業，為不同文化、不同喜好的使用者，設計出不同風格的影片封面和簡介。</p> <p><span style="font-size:28px;"><strong>初衷：解決各微服務的標註需求</strong></span></p> <p>然而，搜尋並非Marken的初衷。</p> <p>它的原始目標，是要解決各個微服務的標註需求。多年來，Netflix打造了上百支微服務，每支微服務都有各自的資料模型和實體（Entity）。比如，他們有支微服務，專門儲存電影實體詮釋資料（Metadata）的服務。這裡的實體，是指影片中的物件或區域，比如人、街道等。</p> <p>而這些微服務，最終都會產生為影片或圖片標註的需求。於是，Netflix資產管理平臺部門決定打造一款通用的標註平臺Marken，讓各微服用來標註影片和圖片。</p> <p>說到標註（Annotation），有些人會聯想到標籤（Label），但在Marken中，標註是指一段詮釋資料，可附加到任意領域中的單一物件。比如，團隊可用「ID為1234的電影實體含有暴力元素」這段文字，來對影片中的物件標註。</p> <p>不只詮釋資料，團隊還會想儲存不同類型的資料，如時間資料和空間資料。舉例來說，Netflix編輯團隊審核《魷魚遊戲》時，就希望將影片中某幀含有工作人員的畫面，將其手套顏色改為深黑色，因此，他們採用常見的標註方式，用籃圈圈出手套區域，寫下評論並儲存。這就是典型的創意審核應用案例。</p> <p>還有一種是，能同時儲存時間、空間資料和詮釋資料的ML演算法。它能辨識影片每幀畫面中的角色，並替整個影片儲存特定的幀（即時間資料）、畫面中的某個區域（即空間資料），以及角色名稱（即詮釋資料）。</p> <p><span style="font-size:28px;"><strong>制定目標，用2大開源工具驅動</strong></span></p> <p>了解需求後，資產管理平臺團隊開始制定Marken的目標。首先，Marken要能讓Netflix內部任何人使用，且要讓他們能標註任何實體、定義自己的資料模型；第二，這些標註要能版本化；第三，這個平臺要能即時服務，也就是作為UI應用程式，要確保增刪查改和搜尋等作業在低延遲狀況下執行。最後，所有資料要能在大數據分析平臺Hive/Iceberg中離線分析。</p> <p>這些目標，還衍生出不少需求。比如，平臺勢必會儲存ML演算法數據，一些數據會以幀為單位來儲存，因此占據大量容量，團隊就得選擇能橫向擴展的資料庫。不只如此，平臺也得具備詞幹搜尋、時間和空間資料搜尋等能力，好讓使用者查找所需的標註資料。</p> <p>於是在架構上，團隊採用開源資料庫Cassandra來儲存標註資料，並以開源搜尋引擎ElasticSearch來驅動搜尋功能。標註服務本身，則會透過數據Pipline來接收內部客戶端自動傳送的資料，而終端應用程式，則以API來呼叫標註服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88600-%E6%A8%99%E8%A8%BB%EF%BC%89%E8%8B%A5%E6%A8%B8-Marken-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>通用標註平臺Marken由ElasticSearch負責搜尋工作，標註資料的儲存則由Cassandra負責。</strong><span style="font-size:14px;">（圖片來源／Netflix）</span></span></p> <p><span style="font-size:28px;"><strong>成為關鍵搜尋工具，有7大功能</strong></span></p> <p>Marken的架構設計，讓其他服務能輕鬆存取數據、供各種團隊使用，像是負責預告片和Banner設計的宣傳團隊，可用來改善設計工作。也因此，Marken進一步化身為Netflix最重要的媒體搜尋平臺核心，來執行7種搜尋功能。</p> <p>比如全文搜尋，使用者可輸入標籤關鍵字，來尋找所需的標註資料。但他們可能不知道ML演算法建立的確切標籤，假設正確的標籤是浴簾（Shower curtain），使用者可用Curtain這個標籤，來搜尋所需的標註資料。同時，Marken還支援模糊搜尋，使用者若打錯字，如Curtian，Marken還是會跳出含有Curtain標籤的標註資料。</p> <p>再來是詞幹搜尋，比如，Clothing和Clothes這兩個字可歸納出相同的詞根字Cloth，平臺就能以Cloth搜尋標註資料。也因為Netflix全球版支援不同語言，Marken也透過ElasticSearch來支援34種語言的詞幹搜尋。</p> <p>還有一種是時間標註資料搜尋，也就是包含影片起始範圍或幀數資訊的標註資料搜尋。類似的還有空間標註資料搜尋，比如用來定義物件地點的邊界框。要是標註資料同時包含時間和空間資料，Marken也支援這類搜尋，能查找包含時間範圍和空間座標的影片標註。</p> <p>另一種搜尋功能是語意搜尋。有別於傳統標籤式的搜尋方法、只找出關鍵字相匹配的結果，語意搜尋採ML演算法，將使用者輸入的關鍵字轉為向量，再從其他轉換為向量的標註資料中，找出距離最近的結果。如此一來，就不局限於關鍵字搜尋，還能找到更相關的結果。</p> <p>最後一種搜尋功能，是Netflix最近才支援的區域交集（Range intersection）搜尋，使用者能用多個ML演算法產生的標籤，來對一部影片搜尋，並得到帶有時間範圍或幀數資訊的標註。</p> <p>這7大搜尋功能不只讓團隊從海量影片中，即時撈出想要的畫面，更是Netflix精準推薦的重要利器。</p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王若樸https://www.ithome.com.tw/news/156405
Netflix超強影音行銷關鍵AI大解密
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺劇模仿犯爆紅，7天搶進20國影劇熱榜，不只日本、越南，連烏拉圭人、希臘人、阿拉伯人都愛看。如何吸引連臺灣都沒聽過的異國觀眾，也想打開陌生劇集，Netflix正是靠ML打造出超強影音行銷力</p> </div></div></div>
2023/4/14 12:00未署名https://www.ithome.com.tw/article/156412
駭客以ChatGPT、Google Bard安裝程式為誘餌，散布木馬程式RedLine Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近AI聊天機器人正夯，也成為惡意程式藉機散布的幌子。<a href="https://veriti.ai/blog/research/from-chatgpt-to-redline-stealer-the-dark-side-of-openai-and-google-bard/" target="_blank">安全廠商Veriti發現駭客以ChatGPT和Google Bard為誘餌，在用戶電腦散布木馬程式RedLine Stealer</a>。</p> <p>安全廠商發現的是駭客利用臉書散布惡意軟體即服務（malware-as-a-service）RedLine Stealer的攻擊行動。作為一種惡意程式即服務，攻擊者只需付費100到150美元或訂閱月費，就可以取得受害者電腦上的帳號密碼、登入憑證等資訊，而完全不需自行撰寫惡意程式或尋找軟體漏洞。</p> <p>RedLine Stealer多半是經營者透過地下線上論壇打廣告，「用戶」可經由Telegram購買。Red Line也是近年常見的竊密工具，曾被許多駭客冒充<a href="https://www.ithome.com.tw/news/149295" target="_blank">遊戲測試版</a>、<a href="https://www.ithome.com.tw/news/152781" target="_blank">Windows 11升級程式</a>或<a href="https://www.ithome.com.tw/news/148220" target="_blank">Excel報表</a>散布。</p> <p>在最近這波攻擊中，研究人員推斷，駭客作案手法是透過無辜第三方企業或組織的臉書帳號發送贊助貼文，再誘使用戶下載RedLine Stealer。他們先是竊取擁有大量粉絲的臉書企業粉絲專頁或社群帳號，在這些平臺上散布贊助看似高可信度的貼文，號稱提供可免費下載ChatGPT或Google Bard的安裝檔案。一旦粉絲看到貼文不疑有他真的下載這些檔案，就能讓RedLine Stealer在其裝置上啟動，竊取用戶密碼或機密訊息，或是下載其他惡意程式。</p> <p>安全廠商呼籲企業IT管理員要提供員工資安教育、安裝惡意軟體防護方案，並採取安全控制。其中之一是限制在公司裝置上下載執行檔，要求所有執行檔需在沙箱環境中啟動，以減少惡意檔案感染風險。</p> </div></div></div>
2023/4/14 12:39作者林妍溱https://www.ithome.com.tw/news/156414
駭客正鎖定美國會計與報稅公司展開網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/13/threat-actors-strive-to-cause-tax-day-headaches/" target="_blank">微軟本周警告</a>，從今年2月開始，駭客便鎖定會計及報稅公司展開網釣攻擊，以植入Remcos遠端存取木馬程式（RAT）。美國今年的報稅時間為1月24日至4月18日，有鑑於人們在報稅季節都特別忙碌且壓力很大，已成為駭客每年的例行性攻擊活動。</p> <p>Remcos是由歐洲業者BreakingSecurity在2016年發表的私有程式，可自遠端取得Windows系統的管理權限，雖然BreakingSecurity宣稱Remcos是個合法工具，但2021年的報稅季與COVID-19疫情時，就有駭客利用Remcos展開攻擊，<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-216a" target="_blank">使得網路安全暨基礎設施安全局（CISA）當年即將Remcos列為重大惡意程式</a>。</p> <p>今年Remcos持續受到駭客的青睞，但鎖定專門處理稅務的會計師、會計師事務所及金融服務機構，駭客偽裝成會計師或這些機構的客戶，以電子郵件寄送稅務文件，郵件中用來下載PDF文件的連結還以密碼保護，但實際上卻導至由駭客控制的伺服器並下載惡意程式，以於目標對象的裝置上植入Remcos。</p> <p>微軟提醒，縱使這些網釣郵件宣稱採用Amazon Web Services的點擊追蹤服務，而且是將使用者導至合法的檔案分享服務以下載ZIP檔案，但該ZIP檔案卻含有可連至駭客伺服器的惡意檔案，種種看似安全的措施都只是為了遮掩駭客真正的企圖。</p> <p>當駭客成功於受害裝置上植入Remcos之後，即有機會進一步竊取裝置上的資訊或是滲透到受害裝置的網路上。</p> <p>許多防毒軟體都可偵測及封鎖Remcos，包括微軟的Microsoft 365 Defender與Microsoft Defender Antivirus在內，不過，使用者最佳的防範之道還是識清電子郵件真偽以避免落入陷阱。</p> </div></div></div>
2023/4/14 11:19作者陳曉莉https://www.ithome.com.tw/news/156410
Amazon推出雲端AI模型平臺Bedrock、大型語言模型Titan
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon也加入AI LLM模型競賽。<a href="https://aws.amazon.com/tw/blogs/machine-learning/announcing-new-tools-for-building-with-generative-ai-on-aws/" target="_blank">Amazon Web Services（AWS）昨（13）日宣布</a>可供用戶選用不同AI基礎模型的雲端服務Amazon Bedrock，和該公司第一個大型語言模型（Large Language Model，LLM）Titan。</p> <p>Bedrock讓客戶可透過API使用AI21 Labs、Anthropic、Stability AI及Amazon自有基礎模型（foundation model，FM），以便開發及部署生成式AI應用。Bedrock服務讓用戶在AWS代管雲端平臺上，使用可生成文字或圖形的基礎模型。AWS指出，客戶可視其應用選擇適合的基礎模型，以其自有資料訓練出獨有的模型，並可用AWS工具整合到他們的應用程式中。AWS說，這項服務也可整合其他AWS工具和功能，像是Amazon SageMaker的Experiments功能追蹤、分析、測試模型參數、程式碼版本及訓練資料集，或是以Pipelines功能來管理大規模基礎模型。</p> <p>Bedrock目前提供的模型中，AI21 Labs的多語言LLM Jurassic-2可生成西語、法語、德語、葡語、義語、荷語文字。Anthropic的Claude LLM可執行多種對話及文字處理作業，號稱是誠實及負責任的AI系統。Stability AI則提供從文字生成圖片的基礎模型套件，包括Stable Diffusion，可生成逼真、高品質的圖片、藝術、Logo和設計。</p> <p>AWS今天也公布了第一個自有基礎LLM名為Titan FM。Titan FM包含兩個新LLM，一是生成式LLM，適用於摘要總結、生成文字（如部落格貼文）、分類和開放式QA、搜尋資訊等任務。二是嵌入LLM，可將文字（如字、詞或文字單位）輸入轉成數值形式（稱為嵌入embedding）來表徵文字語意，適合個人化服務、推薦及搜尋等。AWS表示，Amazon.com平臺上的產品搜尋功能也用了類似的嵌入模型，幫使用者尋找相關商品。Titan FM還支援負責任的AI原則，能偵測及移除資料中心有害內容、拒絕用戶輸入的低俗或不當內容，並且過濾掉模型產出的不良內容（如仇恨言論、色情和暴力內容）。</p> <p>AWS強調Bedrock最重要的特色是允許客製化模型。用戶只要將Bedrock指向Amazon S3幾個標註過的範例，它就能微調出特定任務適用的模型，而無需再標註大量資料（大約20個範例就足夠）。AWS舉例，零售服飾業者的內容行銷業者要為新的手提包設計行銷活動，只要給Bedrock該公司做過的行銷活動中效果最好的標題，以及相關新品描述，它就能自動生成社群平臺行銷內容、展示廣告，以及新手提包的網頁行銷資料。訓練模型過程中不需使用客戶個資，所有資料都經過加密，也不會離開客戶的虛擬私有雲（Virtual Private Cloud，VPC），確保所有用戶資料的隱私和安全。</p> <p>目前Bedrock以限定預覽版形式上線，早期試用客戶包括線上檔案編輯器軟體商Coda在其環境訓練AI模型，ISV如C3 AI及Pega也以Bedrock使用基礎模型。Amazon Titan FM也有一些客戶試用過，AWS表示接下來幾個月內將推廣給更多企業測試。AWS尚未公布Bedrock的價格。</p> <p>Bedrock是AWS生成式AI方案三項元素之一。AWS今天同時宣布另二項元素的消息，<a href="https://aws.amazon.com/tw/codewhisperer/" target="_blank">包括程式撰寫輔助工具CodeWhisper正式上線</a>，個人版免費提供，專業版則為每人每月19美元。</p> <p>此外，AWS也正式推出2個生成式AI適用的執行個體，包括AWS Inferentia2晶片的Amazon EC2 Inf2 instances，以及使用更高階Trainium機器學習加速晶片的Amazon EC2 Trn1n執行個體，分別提供800 Gbps及1600 Gbps網路頻寬。</p> </div></div></div>
2023/4/14 11:33作者林妍溱https://www.ithome.com.tw/news/156411
Databricks開源可商用的指令遵循大型語言模型Dolly 2.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks在釋出大型語言模型Dolly的兩週後，又釋出了<a href="https://www.databricks.com/blog/2023/04/12/dolly-first-open-commercially-viable-instruction-tuned-llm">Dolly 2.0</a>，而第二個版本的重點在於開源且商業可用。Databricks集結5,000名員工，共同編寫databricks-dolly-15k指令遵循資料集來訓練Dolly 2.0，現在Databricks對外開源整個Dolly 2.0，包括訓練程式碼、資料集和模型權重，供商業和學術使用。</p> <p>Databricks以30美元超低成本，訓練出<a href="https://www.ithome.com.tw/news/156128">Dolly 1.0</a>模型，Dolly 1.0使用史丹佛大學的Alpaca模型開發團隊，以OpenAI API所產生的指令遵循資料集訓練而成。Databricks在發布Dolly 1.0之後，收到許多人詢問Dolly 1.0是否可以用於商業用途，官方答案是，可能不行。</p> <p>因為<a href="https://www.ithome.com.tw/news/155922">Alpaca模型</a>開發團隊所生成的指令遵循資料集，內容包含使用OpenAI的text-davinci-003模型生成的資料，而該OpenAI的使用條款，明確禁止用戶將其用於開發和OpenAI競爭的模型。目前所有知名的指令遵循模型，幾乎都受到相同限制而無法用於商業目的，因此Databricks要產生一個允許商業用途的指令遵循模型，勢必需要創建一個全新的資料集。</p> <p>要取得人工智慧的豐碩成果，背後需要許多工人智慧的累積，OpenAI的論文說明InstructGPT模型，是使用一個包含13,000個指令遵循資料集訓練而成，Databricks表示，創建13,000條問題和答案比想像的還困難，因為每個答案都必須是原創，不能來自ChatGPT或是從網路上其他來源複製，否則會污染資料集。</p> <p>Databricks招來自家5,000名員工，共同編寫指令遵循資料集，目標是創建比OpenAI品質更高的資料集，畢竟OpenAI的資料集僅由40個人產生。Databricks舉辦了一場比賽，前20名將可獲得公司提供的大獎，資料集具體的內容包括開放問答、封閉式問答、可由維基百科段落回答的問答、維基百科總結資訊、腦力激盪、分類和創意寫作。</p> <p>最後Databricks編寫出一個具有15,000條問答的資料集databricks-dolly-15k，官方提到，雖然這個資料集比Dolly 1.0所使用的Alpaca資料集小得多，但是EleutherAI的pythia-12b經過databricks-dolly-15k資料集訓練之後，卻能表現出高品質指令遵循行為，官方提到，由模型生成的資料集反而存在幻覺和錯誤事實，而databricks-dolly-15k由專業人士生成，包含高品質和更長答案，產生的結果也會更好。</p> <p>Dolly 2.0專案完全開源，無論是商業還是學術用途，皆可用來創建高品質模型，且不需要冒著向第三方洩漏機密的風險，官方也認為，人工智慧的安全、偏見和問責議題，需要由不同利益相關者共同解決，而開源資料集和模型，將可促進這類的研究和創新。</p> <p>使用者要下載Dolly 2.0模型的訓練權重，可以從Hugging Face頁面，並且存取databricks-labs中的Dolly儲存庫，下載databricks-dolly-15k資料集即可取得。</p> <p>使用第三方的人工智慧服務就有洩漏敏感資料的可能，<a href="https://www.ithome.com.tw/news/156291">三星因為開放員工使用ChatGPT</a>，而洩露包括半導體設備量測資料庫、生產／瑕疵設備相關軟體，以及公司會議語音轉錄文字紀錄等機密資料，這樣的情形也不只發生在三星，<a href="https://www.ithome.com.tw/news/156293">資安公司Cyberhaven監控160萬名員工</a>，發現有3.1%員工上傳敏感資料到ChatGPT上，因此對企業來說，自建指令遵循人工智慧模型，可能是一個更安全也更有吸引力的選擇。</p> </div></div></div>
2023/4/14 08:27作者李建興https://www.ithome.com.tw/news/156407
Android 14改善使用者介面以及個人化功能開始公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現在釋出<a href="https://android-developers.googleblog.com/2023/04/android-14-beta-1.html">Android 14第一個公開測試版本</a>，該版本除了持續改進使用者介面、隱私安全等功能之外，同時也改善平板電腦、可折疊裝置等大螢幕裝置的使用體驗。Android 14的大螢幕使用體驗，奠基在Android 12L和13版本之上，Google也針對大螢幕裝置發布應用程式指南，供開發者遵循，官方最近還發布了低延遲手寫筆和運動預測函式庫，可供應用程式開發使用。</p> <p><a href="https://android-developers.googleblog.com/2023/02/first-developer-preview-android14.html">Google希望</a>改進Android的資源消耗，但同時又想要允許用戶以Wi-Fi，在後臺下載大型檔案，因此將更改Android 14前臺服務和JobScheduler等現有Android API行為，使前臺工作的用例更明確，並要求開發者清楚定義後臺工作的意圖。Google會在之後推出新政策，避免API被濫用。</p> <p>過去Pixel裝置上最大字體比例僅能為130％，而在Android 14中，用戶將可以把字體放大至200％，系統將會自動應用非線性字體縮放曲線，確保原本已經夠大的文字，不會和原本較小的文字，以相同比例放大。</p> <p>系統使用者介面在Android 14測試版中將有所更新，使用者會先注意到的是，在操作應用程式時，螢幕畫面左側將會出現往前回的箭頭，指引用戶能夠以後退手勢跳回上一頁。Android 14的系統分享表單，讓應用程式可自定義操作，開發者可以創建分享表單的動作列表，並且提供應用程式訊號，供Android判斷分享目標的排名。</p> <p>Android 14提供更加強大的Path API，Path API可用於創建和渲染向量圖形，使開發者能夠在應用程式中畫出圓形、橢圓形、矩形、多邊形等，並且使用直線、曲線和弧線連接這些形狀。因此Path API能夠用來繪製按鈕、背景和圖標等物件，增加應用程式的視覺效果。</p> <p>而從Android 14開始，開發者可以查詢路徑，並且獲取內部內容，同時還在結構完全相符的路徑之間，進行內插實作變形特效。由於AndroidX向後相容，因此可支援到Android 5.0。</p> <p>Android 14改進應用程式語言偏好配置，每個應用程式的語言偏好設定都將更靈活，開發者可以動態自定義系統設定中每個應用程式語言列表，而且輸入法也有辦法取得，當前應用程式使用者介面的語言，並且做出相對應的行為。</p> <p>目前Google僅先開發給Pixel裝置更新至Android 14測試版本，沒有Pixel裝置的用者，也可以使用64位元系統映像檔，在Android Studio以模擬器Android Emulator先行體驗。</p> </div></div></div>
2023/4/14 08:29作者李建興https://www.ithome.com.tw/news/156408
【資安日報】4月13日，駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者利用合法網站做為攻擊媒介，並針對使用者散布惡意程式的情況，不時有事故傳出，但近期出現了新的攻擊手法。日本資安業者NTT Security Holdings揭露自去年底出現的攻擊行動，駭客製造了假的Chrome錯誤訊息，讓使用者不知不覺依照指示而中招。</p> <p>除了針對電腦上網使用者而來的攻擊行動，鎖定安卓行動裝置的惡意軟體氾濫的情況也值得留意。最近資安業者卡巴斯基揭露了地下供應鏈，指出駭客可直接從暗網購得所需的各式服務來犯案──包括讓惡意程式上架Google Play市集。</p> <p>在惡意軟體攻擊之餘，網路詐騙的事故也引起政府重視。美國聯邦調查局（FBI）針對當地華人提出警告，近日駭客聲稱是中國公安或是領事館人員行騙，呼籲他們遇到來路不明的電話要提高警覺，切勿透露自己的個資。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://insight-jp.nttsecurity.com/post/102ic6o/webgoogle-chrome"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客入侵網站並注入指令碼，假借Chrome更新散布惡意軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-04-05-05-34-35-538-642d086bf636e913c4fdd181.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-05-05-34-35-538-642d086bf636e913c4fdd181.png" style="width: 300px; float: right;" /></a>電信業者NTT旗下的資安公司NTT Security Holdings揭露於2022年11月出現的攻擊行動，駭客先是入侵合法網站並植入惡意程式碼，一旦使用者存取這些網站，前述的惡意程式碼就會執行指令碼，判斷瀏覽網站的人士是否為攻擊目標，其指令碼支援超過100種語言，並能根據網站採用的語言切換。</p> <p>若是駭客鎖定的對象，該指令碼就會透過名為Pinata的星際檔案系統（IPFS）服務，下載更多的指令碼進行後續攻擊行動，並顯示錯誤訊息網頁，聲稱在執行Chrome瀏覽器更新過程發生錯誤，使用者可以手動安裝升級套件，或是等待下一回的自動更新。接著，駭客的指令碼就會自動下載release.zip壓縮檔案，假如使用者執行裡面的可執行檔案，電腦就會被植入挖礦軟體。</p> <p>該惡意程式會偽裝成Chrome的更新元件（update.exe），此外，該挖礦程式還會將自己加入Microsoft Defender白名單。研究人員指出，他們發現自今年2月駭客擴大了攻擊範圍。<a href="https://www.bleepingcomputer.com/news/security/hacked-sites-caught-spreading-malware-via-fake-chrome-updates/">根據資安新聞網站Bleeping Computer的調查</a>，此惡意程式採用了自帶驅動程式（BYOVD）手法，利用WinRing0x64.sys的漏洞取得SYSTEM權限。</p> <p><a href="https://securelist.com/google-play-threats-on-the-dark-web/109452/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">卡巴斯基揭露安卓惡意軟體的供應鏈，駭客能一口氣取得能上架Google Play市集的工具、投放廣告</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google_Play_threat_in_Darknet_09.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google_Play_threat_in_Darknet_09.jpeg" style="width: 300px; float: right;" /></a>駭客鎖定安卓裝置發動惡意程式攻擊的情況日益頻繁，而且，有不少App居然都能通過Google Play市集的審查上架，或是藉由投放廣告引誘使用者上當，為何情況如此氾濫？其實，目前是有能協助App上架至Play市集的工具，可從地下市集購買、取得。</p> <p>根據資安業者卡巴斯基從2019年至2023年的調查，駭客的確能從暗網買到所需的各式工具及服務，其中，能讓惡意程式載入工具上架至Google Play市集的價位，約為2千至2萬美元不等，買家也可以購買開發者的Google Play帳號來達到類似目的。而販賣這些工具或服務的人為了避免身分曝光，往往透過論壇或即時通訊軟體（如Telegram）與買家來進行交易。</p> <p>此外，買家也可以從暗網購買投放Google廣告的服務，藉此吸引更多使用者下載，而費用高低則與攻擊的目標地區有關──以針對美國用戶的廣告為例，每則約需1美元。</p> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230410"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國華人遭到鎖定，歹徒假冒中國當局進行詐騙</span></strong></a></p> <p>4月10日美國聯邦調查局（FBI）提出警告，有人鎖定當地華人進行金融詐騙，對方聲稱是中國公安、地方公安局，或是中國領事館的人員，佯稱受害者是金融犯罪的嫌疑人，必須支付罰款，否則就有可能遭到施暴，甚至會被逮捕、遭到遣返。</p> <p>這些網路罪犯會撥打電話，或是透過即時通訊軟體聯繫受害者。為取信受害人，他們還會出示幾可亂真的逮捕令，或是指出受害者涉嫌「犯罪」的細節，也有可能提及受害人個資。</p> <p><a href="https://www.cybersecuritydive.com/news/western-digital-restores-my-cloud-home/647330/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">傳出遭到網路軟體攻擊的Western Digital正逐步恢復資料備份服務</span></strong></a></p> <p>硬碟製造商Western Digital於4月3日證實遭到網路攻擊，導致部分服務中斷，現在該公司已逐步恢復。</p> <p>7日他們公告，My Cloud Home、My Cloud Home Duo、SanDisk ibi的本機存取功能開始能夠使用，到了12日，所有該公司提供的雲端服務皆已恢復正常運作。</p> <p><a href="https://www.bleepingcomputer.com/news/security/windows-admins-warned-to-patch-critical-msmq-queuejumper-bug/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者呼籲用戶應儘速修補MSMQ重大漏洞</span></strong></a></p> <p>在微軟4月份發布的例行修補（Patch Tuesday）當中，企業應儘速處理重大漏洞CVE-2023-21554。此弱點是由資安業者Check Point與Fortinet研究人員聯手找到，存在Microsoft Message Queuing（MSMQ）元件當中，CVSS風險評分為9.8。</p> <p>研究人員指出，雖然MSMQ是選用元件，部署Windows時通常不會安裝，但若需要安裝商用軟體，過程中有可能啟用相關功能而曝險。根據研究人員的統計，全球至少有36萬個公開網路IP位址執行MSMQ服務，在企業內部環境運作而具有此漏洞的電腦數量不明。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hyundai-data-breach-exposes-owner-details-in-france-and-italy/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">現代汽車法國、義大利分公司資料外洩，曝露車主個資</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，現代汽車向法國與義大利的車主、試駕客戶寄送通知信，告知資料外洩事故，駭客疑似取得這些客戶的電子郵件信箱、聯絡地址、電話號碼、車輛資料（如底盤編號）。該公司強調財務資料、身分證字號並未外流，目前尚未出現相關個資遭到濫用的跡象。</p> <p><a href="https://info.xmcyber.com/2023-state-of-exposure-management"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">消除2%資安風險有可能讓大部分關鍵資產受到保護</span></strong></a></p> <p>資安業者XM Cyber與Cyentia Institute聯手，針對組織本地端逾1千萬個曝露的弱點、雲端逾6千個弱點進行分析，結果發現，71%組織的內部網路環境存取風險，導致組織雲端的資產也容易成為攻擊目標，駭客一旦成功入侵，組織92%重要資產的安全性會嚴重受到威脅。研究人員指出，平均每個組織1個月會有1.1萬個資安弱點，有82%涉及帳密資料與權限。</p> <p>雖然各企業與組織可被用於進行網路攻擊的弱點相當多，但研究人員發現，僅有2%可讓攻擊者長驅直入，存取重要資產，若是針對這些弱點進行處理，他們認為可阻斷大部分對於重要資產的攻擊路徑。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.fortiguard.com/psirt-monthly-advisory/april-2023-vulnerability-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet修補資料分析系統的重大漏洞</span></strong></a></p> <p>4月11日Fortinet發布本月份例行修補，針對旗下FortiOS、FortiProxy、FortiSandbox、FortiDeceptor、FortiWeb、FortiClient、FortiSOAR、FortiADC、FortiDDoS、FortiAnalyzer等解決方案揭露漏洞，其中風險層級最高的是CVE-2022-41331，此漏洞坐落在Wi-Fi設備位置資訊的分析系統FortiPresence，為身分驗證不足的漏洞，有可能讓攻擊者存取Redis與MongoDB等資料庫，CVSS風險評分為9.3，影響FortiPresence 1.2.1以下的所有版本。</p> <p><a href="https://jvn.jp/en/vu/JVNVU98434809/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kyocera列印的安卓App存在漏洞，恐被用於部署惡意程式</span></strong></a></p> <p>日本電腦網路危機處理暨協調中心（JPCERT/CC）發布資安通告，Kyocera安卓列印App存在漏洞CVE-2023-25954，該弱點能允許來自第三方惡意行動應用程式的資料傳輸，從而導致下載惡意檔案，CVSS風險評分為5.0，影響3.2.0.230119以前版本的Kyocera Mobile Print、TA/UTAX Mobile Print、Olivetti Mobile Print，Kyocera呼籲使用者將這些App版本。升級至3.2.0.230227以上。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/2d6bb590-fa47-435f-818e-c196c25733e0"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">行政院通過個人資料保護法修正草案，提高刑責並將設置個人資料保護委員會</span></span></strong></a></p> <p><a href="https://www.bitdefender.com/blog/businessinsights/bitdefender-2023-cybersecurity-assessment/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾4成IT人員被高層要求不要通報資料外洩事故</span></span></strong></a></p> <p><a href="http://blog.cloudflare.com/ddos-threat-report-2023-q1/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">發動DDoS攻擊的駭客偏好控制VPS來產生流量</span></span></strong></a></p> <p><a href="https://jfrog.com/blog/impala-stealer-malicious-nuget-package-payload/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件被用於會竊取加密貨幣的惡意程式</span></span></strong></a></p> <p><a href="https://security.googleblog.com/2023/04/announcing-depsdev-api-critical.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化軟體開發供應鏈安全，Google推出deps.dev API與Assured OSS</span></span></strong></a></p> <p><a href="https://www.linkedin.com/pulse/linkedins-new-verification-features-include-clear-entra-rodriguez/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">LinkedIn聯手Clear Secure、微軟，推出使用者身分驗證服務</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156382">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月11日】惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月10日】特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限</a></strong></p> </div></div></div>
2023/4/13 17:25作者周峻佑https://www.ithome.com.tw/news/156406
Google發布deps.dev API與Assured OSS服務，強化開源程式碼使用安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出兩款保護開源軟體供應鏈安全的工具，其一是發布<a href="https://security.googleblog.com/2023/04/announcing-depsdev-api-critical.html">deps.dev API</a>，供開發者免費存取deps.dev資料集，該資料集含有超過5,000萬個開源軟體套件版本的安全後設資料，另外，Google雲端的<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-assured-open-source-software-service-now-ga">Assured OSS服務也正式</a><a href="http://cloud.google.com/blog/products/identity-security/google-cloud-assured-open-source-software-service-now-ga">開放</a>，用戶可以方便取用經Google安全驗證過的開源套件。</p> <p>如今，軟體開發高度仰賴開源專案，因此一旦開源軟體存在漏洞，便可能導致諸如Log4j、Codecov和3CX等攻擊事件，開發者如能取得更多開源專案的資訊，包括相依項目、授權和各種安全訊號資料，有效掌握並修復所使用套件的漏洞，同時使用經過驗證的可信賴套件，將有助大幅減少軟體供應鏈攻擊所帶來的安全風險。</p> <p>Google的deps.dev資料集便是收集，來自Go、Maven、PyPI、npm和Cargo等5大軟體打包生態系的套件後設資料，涵蓋5,000萬個套件版本，並且從套件註冊表、開源漏洞管理資料庫、程式碼託管服務和軟體構件本身等來源更新相關資料集內容。</p> <p>Google收集並且匯總這些資料，產生遞移相依關係圖、安全諮詢報告、OpenSSF安全計分卡等資訊，用戶不僅可以直接從deps.dev網站人工查詢，或是以雲端資料倉儲服務BigQuery進行大規模批次分析，現在還可以使用新推出的API，以程式開發方法即時存取資料集，並在自家工具、工作流程和分析中使用這些安全性資料。</p> <p>透過釋出deps.dev API，可讓企業在更多層面把關軟體安全性，像是開發IDE擴充套件、整合至CI/CD，也能夠在建置工具或是政策引擎整合deps.dev API，確保軟體符合法遵要求，甚至是繪製出相依關係圖，以視覺化的方式呈現系統相依性。Google在2022年所開源的軟體安全性評估工具<a href="https://www.ithome.com.tw/news/153793">GUAC</a>便是使用該API，以deps.dev資料補充SBOM（Software Bill of Materials）。</p> <p>API提供deps.dev網站所沒有的兩個重要功能，首先deps.dev API支援雜湊查詢，透過查詢檔案內容的雜湊，可以找到所有包含該檔案的套件版本，該功能可以協助用戶在即便沒有其他建置後設資料的情況下，找到正在使用的套件版本，這對於軟體供應鏈安全、容器分析、事件回應和數位鑑識上都非常有用。</p> <p>另一個deps.dev API重要功能，便是提供完整的相依圖，Google提到，deps.dev的相依資料不僅是採用套件的宣告資料，也用和套件工具相同的演算法計算相依關係，因此deps.dev API能夠提供一組完整且真實的相依項目圖，相當於開發者實際安裝軟體套件時得到的結果，透過deps.dev API開發者就可以評估、監控和視覺化預期的相依關係。</p> <p>Google另一個提高開源軟體安全性的作為，便是正式推出Assured OSS服務，該服務目前免費，可協助企業獲取通過Google安全檢驗的套件，進而降低軟體供應鏈攻擊的風險。Google會定期掃描和修復Assured OSS軟體庫中存在漏洞的套件，並且以產業標準提供SBOM，使用戶能夠更好地掌握所使用的套件組成。</p> </div></div></div>
2023/4/13 16:05作者李建興https://www.ithome.com.tw/news/156398
Check Point呼籲使用者儘速修補微軟的MSMQ漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.checkpoint.com/2023/queuejumper-critical-unauthorized-rce-vulnerability-in-msmq-service/" target="_blank">資安業者Check Point Research本周呼籲</a>，企業的IT管理人員應儘速修補微軟於4月Patch Tuesday所修補的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21554" target="_blank">Microsoft Message Queuing（MSMQ）漏洞CVE-2023-21554</a>。</p> <p>微軟的訊息佇列（Message Queuing）技術可讓異質網路與系統上，於不同時間執行的應用程式能夠彼此通訊，應用程式可傳送訊息至佇列，或是自佇列讀取訊息。此一元件支援所有的Windows作業系統，包括Windows 11與Windows Server 2022，但它是選擇性安裝的。</p> <p>由Check Point Research與FortiGuard Lab發現的CVE-2023-21554漏洞，允許駭客傳送惡意封包到MSMQ伺服器上，並於伺服器上執行任意程式，包括接管伺服器。它是微軟本月所修補的安全漏洞中，CVSS風險評分最高的其中一個，達9.8。</p> <p>Check Point Research首席漏洞研究人員Haifei Li指出，駭客只要傳送一個封包到1801 TCP埠就有機會觸發該漏洞，此外，即便系統預設並未安裝MSMQ，但MSMQ屬於中介軟體，在使用者安裝許多熱門商用軟體時，這些軟體的安裝程序就會啟用Windows中的MSMQ，或許連使用者自己都沒意識到。</p> <p>例如在安裝微軟的Microsoft Exchange Server時，若是選擇微軟所建議的「自動安裝Exchange所需的Windows Server角色與功能」，那麼它便會於背景啟用MSMQ。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0413-MSMQ-CVE-2023-21554-image%20by%20Checkpoint.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0413-MSMQ-CVE-2023-21554-image%20by%20Checkpoint.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Check Point</span></span></p> <p>根據Check Point Research的統計，全球公開網路上約可找到逾36萬個執行MSMQ服務的IP，同時它們的1801 TCP埠是開啟的，而且此一數字並未納入企業內部網路。</p> <p>Li建議IT管理人員都應檢查伺服器與客戶端是否安裝了MSMQ服務，並儘快部署官方修補程式。倘若不需要該服務，最好將它關閉，若無法立即修補，則可利用防火牆規則，暫時禁止1801 TCP埠接受不明來源的連結。</p> </div></div></div>
2023/4/13 13:49作者陳曉莉https://www.ithome.com.tw/news/156394
文件顯示推特已併入馬斯克的X公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克在收購推特前，就曾經說過要將之下市以維持營運的獨立性。<a href="https://cdn.arstechnica.net/wp-content/uploads/2023/04/Twitter-Inc-Corporate-Disclosure-Statement-4-4-2023-X-Corp.pdf" target="_blank">一項新法院文件顯示</a>，推特公司已經合併到馬斯克的未上市公司X Corp中，名義上已不存在。</p> <p><a href="https://twitter.com/elonmusk/status/1645684041264529408" target="_blank">馬斯克也在昨日透過推特發出僅一個X字的推文</a>，雖然沒有任何說明，但可能意指推特已併入X Corp公司。</p> <p>X Corp為未上市公司，其母公司為X控股公司。它是馬斯克為收購推特而成立的公司。根據法院文件，沒有一家公開上市公司持有X Corp或X控股公司10%以上的股權。</p> <p>至於推特併入X Corp代表未來有什麼變化仍不得而知。但馬斯克已一步步實踐他對推特的計畫。在收購推特前，他就曾經表示，為避免華爾街分析師或股東影響公司決策，計畫將推特下市。之後他曾多次表示，推特擁有很大潛力，因此他入主推特後首要任務是整頓推特岌岌可危的財務，期許它能發展成像騰訊微信一般的全功能平臺，藉由X App提供廣告、通訊、影片、購物等服務。</p> <p>去年11月馬斯克上任後即大幅裁員減資，在經過激烈瘦身後，推特員工數已從7,000人減少到不到2,000人。<a href="https://www.nytimes.com/2023/03/26/technology/elon-musk-twitter-value.html" target="_blank">此外紐約時報上周報導</a>，馬斯克對內宣布，員工可獲得X Corp的股票選擇權，他告訴員工，推特市值已小於200億美元，但很快就能成長到2,500億美元。為了開闢財源，推特也推出了新的收費服務，包括月費8美元的新Twitter Blue，以及<a href="https://www.ithome.com.tw/news/156200" target="_blank">每月100美元的API方案</a>等。</p> <p>推特的未來發展全憑馬斯克意志決定。<a href="https://www.theguardian.com/technology/2023/apr/04/twitter-changes-logo-to-dogecoin-cryptocurrency-image-in-apparent-late-april-fools-day-gag" target="_blank">4月初</a>有許多媒體<a href="https://fortune.com/2023/04/06/elon-musk-dogecoin-twitter-home-button/" target="_blank">發現</a>，推特的logo由小鳥換成了狗狗幣（Dogecoin）的柴犬圖示，不過很快又換回來。年初馬斯克認為推特平臺的貼文推薦功能有bug，使其貼文觸及率降低，於是在開除一名拒絕變更的首席工程師後，解決了問題。</p> <p>其他較具爭議性的事件包括推特逕自封鎖潛在競爭者。上周一家內容創作平臺Substack因公布類似推特的社群平臺功能Substack Notes，<a href="https://www.theverge.com/2023/4/7/23674936/twitter-marking-substack-links-unsafe" target="_blank">推特就將連向這平臺的連結推文標示為不安全</a>，意在封鎖潛在的競爭對手。在此之前，推特也封鎖連到競爭者Mastodon的連結。</p> </div></div></div>
2023/4/13 13:17作者林妍溱https://www.ithome.com.tw/news/156393