iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

Flutter 3.10預設iOS使用高效Impeller渲染引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新開源跨平臺UI框架釋出最新的<a href="https://medium.com/flutter/whats-new-in-flutter-3-10-b21db2c38c73">3.10版本</a>，Flutter 3.10更新元件主題和視覺效果，使Material函式庫規範符合Material 3。除了介面之外，Flutter 3.10的引擎也有不少更新，在iOS裝置程式效能將有感提升。</p> <p>早在Flutter 3.7版本的時候，開發團隊在iOS添加了預覽版的Impeller渲染引擎，解決Flutter程式剛啟動時，因為著色器導致效能不穩（Jank）的狀況。Impeller在建置階段，就會預先編譯一組輕量著色器，因此由於Impeller不在執行時編譯著色器，也就能減少效能波動。</p> <p>現在從Flutter 3.10開始，所有iOS應用程式都使用Impeller，Impeller從預覽版以來，已經有許多改進，包括透過精簡渲染程序，Impeller能夠使用更少的記憶體，而且在較新的iPhone、iPad上，還能夠啟用有損貼圖壓縮技術，在不影響傳真度（Fidelity）的前提下減少記憶體使用。</p> <p>這些改進在複雜的應用上，會有明顯的效能提升，像是在Wonderous應用程式中，渲染畫面所使用的記憶體可能減少接近一半，而這也連帶降低GPU和CPU的負擔。Impeller滿足大多數的Flutter應用程式渲染需求，但是開發者也可以根據需求選擇不使用Impeller。目前Android版本的Impeller引擎還在開發階段，尚未進入預覽階段。</p> <p>在Flutter 3.7開發團隊將載入本地端圖像的平臺執行緒，轉移到底層Dart執行緒，避免對平臺執行緒中的垂直同步事件造成延遲，但是這個改動卻對Dart執行緒造成額外的工作，導致畫面出現卡頓，在Flutter 3.10中，開發團隊把本地圖像的開啟和解碼工作，從Dart執行緒移到後臺執行緒，如此不只解決畫面卡頓問題，也避免造成垂直同步事件延遲，在基準測試中，多個圖像同時載入的時間縮短一半。</p> <p>開發團隊原本在Flutter 3.0版本的渲染流程，對Android應用啟用一項先進的渲染功能，使應用程式能夠只重新繪製有變化的畫面區域，而非總是更新整個畫面，藉此提高渲染效率，但是開發團隊提到，他們發現這個功能在實際運作時，效果不如當初的期望，而且並非所有裝置和Android版本都支援。</p> <p>因此開發團隊最後決定在Android上停用這個功能，但是會持續在iOS中的Skia引擎啟用，並且也計畫添加到Impeller渲染引擎。</p> </div></div></div>
2023/5/16 09:08作者李建興https://www.ithome.com.tw/news/156891
推特找到新CEO，馬斯克將轉任CTO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在接手推特（Twitter）近10個月後，馬斯克（Elon Musk）終於找到繼任其執行長位置的人選，未來他將轉任技術長，專注產品開發及管理系統維運部門。</p> <p><a href="https://twitter.com/elonmusk/status/1657050349608501249" target="_blank">馬斯克上周五宣布</a>找到新任X公司（即推特）的CEO，Linda Yaccarino，她將在6周後上任，此後馬斯克的角色將轉為執行董事暨技術長（CTO），監管產品、軟體和系統維運。</p> <p>馬斯克去年10月買下推特後，在一個月期間大舉裁員並祭出新式付費身分驗證服務引發混亂。馬斯克12月針對其粉絲進行的投票顯示過半的人希望他下臺，<a href="https://www.ithome.com.tw/news/154831" target="_blank">馬斯克也承諾</a>一旦找到繼任人選他就會下臺。但這個時間比馬斯克原本預期的2023年底提早許多。</p> <p>Yaccarino之前是NBCUniversal廣告業務及客戶合作主管，也曾執掌過有線電視娛樂與數位廣告業務。<a href="https://www.cbc.ca/news/business/twitter-new-ceo-1.6841431" target="_blank">根據加拿大媒體CBC報導</a>，她在NBC任職12年的生涯中，其團隊創造超過千億美元廣告營收。Yaccarino已在周五向媒體證實從NBCUniversal離職。</p> <p>加入推特後，Yaccarino的主要工作是主持業務營運，馬斯克表示，期待她將推特轉變成X公司。馬斯克也持續推動將推特私有化的目標；<a href="https://www.ithome.com.tw/news/156393" target="_blank">4月間一份文件顯示</a>，推特已經合併到馬斯克的未上市公司X Corp公司中，名義上已不存在。</p> <p>馬斯克終於實踐其承諾，但推特能否重新抓住用戶的心則有待時間觀察。有人擔心，以Yaccarino廣告人身分帶領推特來判斷，推特恐怕將喪失眾聲喧嘩、言論百花齊放的獨特性，但<a href="https://twitter.com/elonmusk/status/1657106200075599874" target="_blank">馬斯克保證</a>他將不惜虧錢，致力確保言論自由。</p> <p>另一方面，欲取代推特的另類服務已經出現。除了由德國人Egen Rochko開發的使用ActivityPub協定的去中心化微型部落格Mastodon外，推特創辦人Jack Dorsey也開發了去中化社群平臺App BlueSky。這款App已在2月及4月分別推出iOS及Android版本。<a href="https://edition.cnn.com/2023/04/28/tech/bluesky-social/index.html" target="_blank">根據分析機構data.ai估計</a>，截至4月底Bluesky的iOS及Android App下載量，已分別達到37.5萬及10萬次。</p> </div></div></div>
2023/5/15 14:07作者林妍溱https://www.ithome.com.tw/news/156873
Brave推出Forgetful Browsing功能以清除第一方資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brave.com/privacy-updates/25-forgetful-browsing/" target="_blank">隱私瀏覽器Brave上周發表</a>了全新的健忘瀏覽（Forgetful Browsing）功能，這是針對第一方（使用者所造訪的網站）的隱私保護設計，使用者可以將它設為預設值，或是針對特定網站進行設定，只要一關閉所造訪的網站，Brave便會清除該站所存放的Cookie或其它資料。</p> <p>全球網站自1994年便開始利用Cookie來記錄使用者，可在使用者以瀏覽器造訪網站時，於使用者端建立Cookie，以儲存使用者所輸入的資料或是使用者的瀏覽紀錄，並在使用者下次造訪時，直接帶入歷史資料，此一模式稱為第一方Cookie；而使用者所造訪網站上出現的廣告，亦能建立Cookie，可存放使用者於該站的停留時間、所點選的連結、所瀏覽的頁面或路徑，同樣可用來識別使用者並遞送目標式廣告，由於這些廣告並非使用者造訪網站的目的，而被稱為第三方Cookie。</p> <p>Brave隱私工程副總裁Peter Snyder表示，大多數的網頁瀏覽器已開始認真對待第三方Cookie追蹤，使得這些第三方或廣告業者轉而透過第一方儲存來追蹤使用者。</p> <p>這些第三方也許是透過網站追蹤工具、行動程式、社交媒體，或者是建立一個網站來吸引使用者註冊及參加比賽，以讓自己成為第一方，順理成章地記錄使用者。甚至有行銷專家大力推廣此一方法，推崇它不僅比購買第三方資料的成本還要低，而且更為精確。</p> <p>於是乎，Brave也把保護使用者的任務從阻止第三方Cookie，延伸到避免受到第一方Cookie的追蹤。</p> <p>Snyder指出，現階段許多瀏覽器的預設值，都是允許網站可無限期地重新辨識使用者身分，而Forgetful Browsing即可解決此事，啟用該功能之後，Brave即可在使用者關閉所造訪的網站之後的幾秒內自動登出，並清除所有的第一方Cookie與資料，使用者可直接把Forgetful Browsing設為Brave瀏覽器的預設值，或是僅針對特定網站啟用它。由於該功能可以清除第一方網站所存放的Cookie，因此它可阻止網站重新辨識使用者的身分，也能繞過某些網站的閱讀數量限制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-brave%20browser-Forgetful%20Browsing.png" style="width: 586px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Brave</span></span></p> <p>Forgetful Browsing的功能聽起來很像其它瀏覽器所提供的「無痕模式」（Incognito Mode），但Snyder舉例，若Sam在example.com郵件服務上同時註冊了兩個帳號，卻不想讓供應商知道這兩個帳號屬於同一人，或許可以在造訪其中一個時啟用無痕模式，缺點是Sam只要有一次忘了以無痕模式登入，供應商就會永遠知道它們之間所有連結。</p> <p>總之，Brave標榜Forgetful Browsing功能優於無痕模式、擴充套件，或是清除所有紀錄等方法，即將現身於桌面版Brave 1.53及Android版Brave 1.54。</p> </div></div></div>
2023/5/15 11:49作者陳曉莉https://www.ithome.com.tw/news/156869
AI趨勢周報第215期：Google新模型PaLM 2驅動了哪些新服務？盤點I/O大會LLM新進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0505～0511)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PaLM 2 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google新模型PaLM 2驅動了哪些新服務？盤點I/O大會LLM新進展</strong></span></p> <p>Google在今年度I/O技術大會上揭露新版大型語言模型<a href="https://blog.google/technology/ai/google-palm-2-ai-large-language-model/">PaLM 2</a>，並用這個模型來驅動近25款新功能和服務。PaLM 2用大量的網路文件、書籍、程式碼、數學問題和對話訓練而成，所學習的語言超過100種，功能比第一代更強大，比如它能看懂Fortran這類老舊的程式碼，不僅能改程式，還能用任何語言附上程式的技術文件。</p> <p>Google也用PaLM 2來驅動許多新功能和服務，比如Google搜尋的生成式體驗功能，可快速根據使用者輸入的搜尋關鍵字，來摘要相關資訊，給使用者參考。此外，PaLM 2也用來驅動Duet AI功能，也就是Google辦公工具中的AI功能，如Gmail的輔助撰寫功能，使用者下提示就能讓AI給出建議內容。另，PaLM 2也用於聊天機器人Bard，來優化其程式碼處理、翻譯和推理的能力。同時，Bard也新添日語和韓文，Bard目前也正式對大眾開放。</p> <p>不只如此，Google也打造一款PaLM 2的衍生模型Codey，並用於最新的<a href="https://android-developers.googleblog.com/2023/05/android-studio-io-23-announcing-studio-bot.html">Android Studio Hedgehog程式碼開發助理Studio Bot</a>，來提供程式碼編寫協助、查詢相關資源。PaLM 2有多種版本，其輕量版在手機上就能執行，還有一種是針對醫學用途的版本<a href="https://youtu.be/k_-Z_TkHMqA">Med-PaLM 2</a>，可回答、整理醫學相關問題。另一方面，Google也正訓練新一代LLM，這款模型名為Gemini（雙子座），可執行多模態任務。<a href="https://blog.google/technology/ai/google-responsible-ai-io-2023/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/dVsiusLQy5Q?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D物件 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>文字生成圖像還不夠，OpenAI開源3D物件生成模型</strong></span></p> <p>這兩年生成式AI風生水起，大多仍鎖定文字生成文字或圖像，但OpenAI最近嘗試新領域，打造並開源一款3D物件生成模型Shap-E，可根據文字輸入，來產出3D物件。雖然Shap-E產出的3D物件較粗糙，但它與其他只產出單一表徵的3D物件生成模型不同，可直接生成隱式函數的參數，這些參數可用單一文字提示，來渲染出紋理網格和神經輻射場（NeRF）。</p> <p>OpenAI用2階段來訓練Shap-E，首先，他們先訓練一個編碼器，來將3D資產映射到隱性函數的參數。接著，團隊用編碼器的輸出值，來訓練一個條件式擴散模型。團隊表示，用大型的3D物件-文字資料集來訓練模型，就可在短短幾秒內生成外型複雜的3D物件。</p> <p>OpenAI表示，與自家先前打造的3D物件生成模型相比Point-E，Shap-E還有個特點，就是即便用更高維度、多表徵空間來對Shap-E建模，它卻能更快生成品質更好的3D物件。不過，除了生成的3D物件偏像素化、看起來粗糙，Shap-E還有個限制，就是只能根據單一物件提示和簡單的屬性產出3D物件，這是團隊有待進步的空間。<a href="https://github.com/openai/shap-e">（詳全文）</a></p> <p><img alt="" src="https://github.com/openai/shap-e/raw/main/samples/a_penguin/1.gif" /><img alt="" src="https://github.com/openai/shap-e/raw/main/samples/a_chair_that_looks_like_an_avocado/2.gif" /><img alt="" src="https://github.com/openai/shap-e/raw/main/samples/a_birthday_cupcake/3.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mojo </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Python </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI開發新語言Mojo速度可比Python快35,000倍</strong></span></p> <p>新創公司Modular AI發表新程式語言Mojo，號稱具備Python的可用性和C語言的高效能。而且，Mojo可直接存取AI運算硬體，運算效能大幅超越Python，甚至在執行特定演算法時，Mojo比Python快上35,000倍。</p> <p>Modular AI指出，Python雖是一個強大的語言，也支援各種AI研究，但可擴展性是最大缺點。Python難以用於大型工作負載，也無法在邊緣裝置中順暢執行，還是得靠C++和CUDA等其他語言。而Mojo建立在現代編譯技術上，具備類型設計，大幅增加程式執行速度，也能讓開發者定義零成本抽象，並擁有類似Rust語言的記憶體安全性。</p> <p>特別的是，Mojo還擁有自動調校和編譯時後設程式開發功能，可分別在程式編譯過程中自動最佳化程式效能，以及在程式編譯階段時，對自身結構和行爲進行調整，生成更高效的程式碼。此外，Mojo還能直接與AI硬體溝通，如存取執行緒、TensorCores和AMX擴充等低階硬體功能，速度比Python要快上許多。<a href="https://www.modular.com/mojo">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 司法院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 裁判書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>司法院用生成式AI打造裁判書自動生成工具</strong></span></p> <p>為減輕法官工作負擔，司法院開始用生成式AI來打造裁判書自動生成工具，來讓各法官使用。這是因為，司法院統計，刑事法官每月平均處理數十件案件，不只要開庭，還要花許多時間來寫裁判書。為此，司法院試用生成式AI打造裁判書生成工具，可針對酒駕、幫助詐欺、毒品案件等3種犯罪類型來產生，其中，前2種使用類似Google的T5模型，來訓練出一個通用的預訓練模型，再以此通用模型為基礎，在裁判書生成任務上進行模型微調；後者則參考GPT-2版本、運用多項自然語言處理（NLP）、演算法與知識圖譜等技術而開發。</p> <p>為訓練這些生成式模型，司法院用大量裁判書和檢察官起訴書作為訓練資料，讓這些模型來學習不同法官的寫作風格，同時理解法官判決書中各段落對應的關係。因此，以生成式AI模型產生的裁判書的草稿包含更多細節，例如起訴書的犯罪事實、判決理由等，這有助法官更快速地完成裁判書的撰寫。該工具預計年底前上線。<a href="https://www.ithome.com.tw/news/156693">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/9602zhi_hao_-cai_pan_-tu_1-tu_pian_lai_yuan_-si_fa_yuan_.jpg?itok=bm-22Gg5" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI可解釋性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI可解釋性新成果，OpenAI用GPT-4解釋語言模型行為</strong></span></p> <p>OpenAI用GPT-4大型語言模型來解釋大型語言模型神經元的行為，並對這些解釋進行評分，來評估解釋的品質。有別於仰賴研究者手動檢查模型神經元的傳統方法，OpenAI採用GPT-4來自動生成語言模型神經元的行為解釋，簡單來說可分為3步驟，首先是產生結石，也就是給定一個GPT-2神經元，來向GPT-4展示相關的文字序列和活躍情況，讓GPT-4生成解釋神經元行為的文字。</p> <p>第二步則是用GPT-4模擬神經元行為，來了解解釋中的神經元活躍原因。最後一步是比對、模擬和真實情況的差異，來對解釋評分，衡量解釋的可靠性和準確性。這項可解釋性研究，不只要讓用戶和開發者更了解AI運作的原理，也要讓研究者更理解模型的偏差與錯誤。不過OpenAI坦言，透過GPT-4自動生成並評分神經元行為的方法，對大模型的效果並不好；雖然目前許多解釋獲得分數都很低，但是OpenAI認為，未來模型解釋能力可再提高。<a href="https://openai.com/research/language-models-can-explain-neurons-in-language-models">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigCode </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼 </span></strong></span></p> <p><span style="font-size:22px;"><strong>BigCode發表效能超越初代Copilot的程式碼生成模型</strong></span></p> <p>開放科學協作組織BigCode最近釋出150億參數的大型語言模型StarCoderBase以及為Python調校的StarCoder模型，可自動寫完程式碼、根據指令修改程式碼，也能用自然語言解釋程式碼片段。這兩個模型都使用大量GitHub上授權的程式碼來訓練，是目前所有開放程式碼生成模型中效能最佳的模型，甚至超越GitHub Copilot初期版本所使用的OpenAI code-cushman-001模型。其中，StarCoderBase的訓練資料非常多樣，涵蓋80多種程式語言、Git提交、GitHub問題和Jupyter筆記本，共有1兆文字單位（Token）來讓模型學習。</p> <p>同時，BigCode也用350億個Python Token微調，產出StarCoder模型。StarCoder可處理的輸入量比其他大型語言模型要多，可接受高達8,000個Token，還支援更多樣的應用，如經過一系列對話指示，來讓StarCoder成為技術助理。經Python基準測試HumanEval評估，團隊發現，無論是StarCoderBase還是StarCoder，模型規模都較PaLM、LaMDA和LLaMA小得多，但是表現卻更好。<a href="https://drive.google.com/file/d/1cN-b9GnWtHzQRoE7M7gAEyivY0kl4BYs/view">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 廣告製作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta推出廣告製作測試中心AI Sandbox</strong></span></p> <p>Meta最近推出廣告製作測試中心AI Sandbox，可用來實驗各種廣告內容製作的功能與工具，包括運用生成式AI的廣告工具，像是文字變體、背景生成和圖像剪裁。其中，文字變體可用來產生不同版本的文字，來凸顯廣告文案的重點，廣告主可針對不同受眾提供不同訊息。背景生成則可用文字輸入來產生背景圖像，廣告主可快速嘗試不同背景。</p> <p>圖像剪裁功能可調整各種創意資產，來適應不同的廣告露出，如Stories或Reels。目前Meta只與少數廣告主共同測試AI Sandbox、蒐集意見，他們預計在7月開放更多的廣告主加入，也會增加AI Sandbox測試的功能。<a href="https://www.facebook.com/business/news/introducing-ai-sandbox-and-expanding-meta-advantage-suite">（詳全文）</a></p> <p><img alt="" src="https://lookaside.fbsbx.com/elementpath/media/?media_id=1201823420526781&version=1683905244" /></p> <p>圖片來源／Google、OpenAI、司法院、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google文字轉音樂AI工具MusicLM開放公測</strong></p> <p><strong>2. Google更新TensorFlow機器學習工具，簡化模型部署與訓練</strong></p> <p>資料來源：iThome整理，2023年5月</p> </div></div></div>
2023/5/14 08:57作者王若樸https://www.ithome.com.tw/news/156859
Google發表499美元的Pixel 7a與Pixel Tablet，以及1,799美元的雙螢幕手機Pixel Fo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在周三（5/10）舉行的Google I/O年度開發者大會上一舉發表了多款裝置，包括6.1吋的入門款手機Pixel 7a，首款11吋平板電腦Pixel Tablet，以及首款雙螢幕摺疊手機Pixel Fold。其中，Pixel 7a即日起上架銷售，售價為499美元（新臺幣14,990元），Pixel Tablet與Pixel Fold的售價分別是499美元與1,799美元，目前正開放預購。</p> <p><span style="font-size:28px;"><strong>Pixel 7a規格與Pixel 7相當，鏡頭像素更勝一籌</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-Pixel%207a.png" style="width: 454px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> <p>Google是在去年10月發表Pixel 7系列手機，當時僅推出中階的Pixel 7（6.3吋）與高階的Pixel 7 Pro（6.7吋），售價分別為599美元（18,990元新臺幣）與899美元（26,990元新臺幣），隔了半年之後再發表的入門款Pixel 7a雖然售價相對便宜，但與上述中高階機種採用同樣的Google Tensor G2處理器及Titan M2安全防護晶片，亦同時具備指紋及人臉解鎖功能。</p> <p><a href="https://store.google.com/magazine/compare_pixel?hl=zh-TW" target="_blank">Pixel 7a</a>不管是在螢幕、記憶體、電池或儲存空間上都與Pixel 7相當，而相對突出的則是Pixel 7a所搭載的鏡頭為6,400萬像素的廣角鏡頭及1,300萬像素的超廣角鏡頭，超越Pixel 7及Pixel 7 Pro所採用的5,300萬畫素廣角鏡頭及1,200萬像素超廣角鏡頭；且Pixel 7a的前置鏡頭為1,300萬像素，亦凌駕Pixel 7與Pixel 7 Pro的1,080萬像素。</p> <p>Pixel 7a內建8GB記憶體及128GB儲存空間，提供木炭灰、雪白、海洋藍與珊瑚橘等4種顏色，已開始銷售。</p> <p><span style="font-size:28px;"><strong>首款Google自有品牌平板電腦Pixel Tablet上陣</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-Pixel%20Tablet.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p><a href="https://store.google.com/us/product/pixel_tablet_specs?hl=en-US" target="_blank">11吋的Pixel Tablet</a>是首款由Google進行工程設計的平板電腦，其螢幕解析度為2560x1600，重493公克，觀看串流影片的電池續航力最久可達12小時，內建8GB記憶體與128或256GB儲存空間，與Pixel 7手機系列一樣搭載Google Tensor G2處理器及Titan M2安全防護晶片，前後鏡頭皆為800萬像素，所附帶的底座同時具備支架、充電及喇叭功能，支援Google Assistant，有瓷白色、灰色及玫塊色等3種顏色可供選擇。</p> <p>此外，Pixel Tablet也是第一款內建Google數位媒體播放功能Chromecast的平板電腦，讓使用者可直接把手機上的影片或音樂串流到Pixel Tablet上。</p> <p>為了配合Pixel Tablet的上市，Google旗下逾50款程式已針對該裝置進行最佳化，涵蓋可用來進行視訊通話的Google Meet，亦與Android團隊合作，讓YouTube、Spotify與Disney+等熱門服務在大螢幕上看起來更美觀。</p> <p>Pixel Tablet售價為499美元，即日起開放線上預購，目前支援美國、加拿大、英國、德國、瑞典、丹麥、挪威、荷蘭、日本及澳洲，預計於6月20日上架。</p> <p><span style="font-size:28px;"><strong>Pixel Fold加入全球雙螢幕摺疊手機戰局</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-Pixel%20Fold.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>今年Google最受矚目的發表之一為該公司的首款雙螢幕摺疊手機Pixel Fold，正式宣告加入全球的雙螢幕摺疊手機戰局。根據<a href="https://www.idc.com/getdoc.jsp?containerId=prUS50531423" target="_blank">市場研究機構IDC</a>的估計，2022年雙螢幕摺疊手機的出貨量為1,420萬支，僅占全球智慧型手機市場的1.2%。而<a href="https://www.counterpointresearch.com/foldable-smartphone-shipments-2022/" target="_blank">Counterpoint Research去年8月所發表的研究報告</a>則顯示，該市場去年上半年市占率最高的是三星的62%，居次的是華為的16%，OPPO也占了3%。</p> <p>此外，上述兩家研究機構皆認為雙螢幕摺疊手機在2023年的出貨量成長幅度，可望超過50%。</p> <p><a href="https://store.google.com/us/product/pixel_fold_specs?hl=en-US" target="_blank">Pixel Fold</a>外部螢幕為5.8吋，展開後的內部螢幕則是7.6吋，閤上與展開的厚度分別是0.5吋及0.2吋，重約283公克，同樣搭載Google Tensor G2處理器及Titan M2安全防護晶片，內建12GB記憶體及256或512GB儲存空間，宣稱電池續航力超過24小時，後置鏡頭有4,800萬像素，還有1,080萬像素的超廣角鏡頭與同樣像素的望遠鏡頭，另有950萬像素的前置鏡頭及800萬像素的內部鏡頭。</p> <p>展開後的Pixel Fold可使用7.6吋的大螢幕，或是在左右兩邊的螢幕上執行不同應用。Pixel Fold提供瓷白色及黑曜石兩色可供選擇，依照儲存空間不同的售價為1,799美元及1,919美元，不過目前僅於美國市場開放預購，預計於下個月出貨。</p> </div></div></div>
2023/5/11 16:23作者陳曉莉https://www.ithome.com.tw/news/156841
Google運用新語言模型PaLM 2，於Android Studio添加AI開發助手Studio Bot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在最新<a href="https://android-developers.googleblog.com/2023/05/android-studio-io-23-announcing-studio-bot.html">Android Studio Hedgehog</a>添加AI程式碼開發助理Studio Bot，這個機器人提供類似GitHub Copilot的功能，作為結對工程師協助開發者編寫程式碼，提升開發效率。Studio Bot使用了一個稱為Codey的模型，而該模型則為語言模型<a href="https://ai.google/discover/palm2">PaLM 2</a>的衍生模型。</p> <p>Studio Bot理解自然語言，開發者能夠以英文對話的形式，向Studio Bot提出開發相關的問題，Studio Bot則能夠協助Android開發者生成程式碼，查詢相關資源，並提供最佳實踐作法，進而提升開發者的生產力節省開發時間。</p> <p>Google強調Studio Bot的獨特之處在於，機器人僅會發送用戶的指令，而不會將程式碼發送到Google的伺服器，因此在設計上能夠保護用戶的隱私安全。不過目前Studio Bot還在早期實驗階段，目前僅開放供美國Android開發者試用，官方表示，Studio Bot目前可能會呈現不準確、誤導且虛假的資訊。因此開發者還是要仔細檢查Studio Bot所產生的結果，測試並且檢查程式碼是否存在錯誤和漏洞。</p> <p>Studio Bot使用的PaLM 2，是Google新發布的基礎模型，Google提到，PaLM 2擅長進階推理任務，擁有處理包括程式碼、數學、分類、問答、翻譯和多語言問題的能力。比起前一代PaLM，在運算規模、資料集和模型架構都有所改進。PaLM 2較PaLM更能理解人類語言的細微差異，像是更能理解謎題和成語，不光只會比較字面意思，而是能夠理解單詞的歧義和比喻意義。</p> <p>PaLM 2使用更多平行多語言文字以及更大的多語言語料庫進行預訓練，而且也在大量網頁、程式碼和各種資料集上進行預訓練，除了擅長Python和JavaScript等主流程式語言，同時也能夠生成Prolog、Fortran和Verilog等程式碼。</p> </div></div></div>
2023/5/11 16:46作者李建興https://www.ithome.com.tw/news/156840
Google輸入文字轉音樂的AI工具MusicLM開放公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美東時間周三（5/10）的Google I/O上，<a href="https://blog.google/technology/ai/musiclm-google-ai-test-kitchen/" target="_blank">Google宣布</a>可讓用戶輸入文字產出高品質音樂的AI工具MusicLM開放大眾測試。</p> <p><a href="https://google-research.github.io/seanet/musiclm/examples/" target="_blank">Google今年一月公布</a>實驗性的MusicLM工具，允許用戶輸入一段描述文字產生音樂。當時Google表示，基於可能的侵權疑慮，不會開放一般用戶使用。不過<a href="https://aitestkitchen.withgoogle.com/experiments/music-lm" target="_blank">現在用戶可以透過網頁</a>或Android、iOS版AI Test Kitchen App登入試用。用戶可以輸入「晚宴後的深情爵士樂」MusicLM就會產出2個版本供用戶選擇，用戶選擇其中一項後，可以再透過提示對話框來逐步調整成想要的音樂。</p> <p><a href="https://google-research.github.io/seanet/musiclm/examples/" target="_blank">Google說明</a>，MusicLM模型比之前自己的AudioLM更先進。若用戶要的是「令人沈靜的小提琴旋律，以重複破音效果的吉他聲作為背景」，MusicLM會將此任務當成階層式序列到序列（Seq2Seq）的建模流程來完成，產出數分鐘24kHz的音樂。還能根據文字要求，將口哨及人哼出的旋律加以轉化成音樂。Google實驗顯示MusicLM比早先其他系統生成的音樂音質更好，也更能符合描述所需。</p> <p>Google也宣布，和音樂家如Dan Deacon及代管音樂網站合作，由真人音樂家協助Google開發MusicLM模型。</p> <p>Google或許是在OpenAI刺激下開放這項服務。<a href="https://www.ithome.com.tw/news/137371" target="_blank">OpenAI 2020年就推出</a>深度神經網路模型Jukebox，可讓用戶輸入歌詞生成一段樂譜。</p> </div></div></div>
2023/5/11 13:13作者林妍溱https://www.ithome.com.tw/news/156832
【資安日報】5月9日，安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安卓惡意程式的攻擊行動最近2至3個月變得相當頻繁，不時有時故傳出，但大部分都是以提供各式實用工具（如修圖、手電筒App），或是假冒多個銀行的App來發動攻擊。而最近名為FluHoruse的惡意軟體相當特別，目前研究人員發現駭客只針對了3款App的使用者下手（其中一款尚未找到被假冒的應用程式），值得留意的是，其中一個目標，就是與我國高速公路用路人有關的遠通電收App。</p> <p>針對臺灣高科技廠商的攻擊行動後續發展也值得留意。勒索軟體Money Message聲稱從臺灣電腦大廠微星竊得1.5 TB資料，索討贖金不成後將資料公開，結果有研究人員發現，這些外流的資料很可能波及各家採用Intel處理器的電腦。</p> <p>在攻擊行動之外，詐騙在臺灣極為猖獗的現象，也引起政府重視。近日臺灣高等檢察署查緝詐欺及資通犯罪督導中心正式揭牌，行政院長陳建仁致詞時提出政府將從4大面向來打擊詐騙。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://research.checkpoint.com/2023/eastern-asian-android-assault-fluhorse/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意程式FluHorse鎖定臺灣、越南用戶的雙因素驗證碼、密碼而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/art4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/art4.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露名為FluHorse的安卓木馬程式，駭客將其偽裝成遠通電收ETC、越南大型銀行VPBank NEO的App，約自2022年5月開始發動相關攻擊。攻擊者先是寄送惡意郵件，謊稱收信人要儘速處理付款異常的問題，引誘他們下載帶有FluHorse的冒牌App。</p> <p>在其中一封信件當中，駭客聲稱收信人的高速公路通行費即將到期，若逾期未繳將每筆產生300元罰款，要求用戶趕快透過遠通電收App付款。然而一旦收信人照做，這些冒牌App就會安裝完成後，要求使用者開放存取簡訊的權限，研究人員指出，這麼做的目的是為了在受害人「付款」的過程裡，能攔載雙因素驗證（2FA）的驗證碼。</p> <p>值得留意的是，研究人員發現，駭客開發過程幾乎都依賴開源框架，而使得資安系統難以察覺異狀──其惡意功能是透過Google開源UI開發工具Flutter打造，由於該開發工具透過特製的虛擬機器（VM）讓開發者能打造適用於不同作業系統上的GUI元件，而使得研究人員分析以此開發的App變得相當複雜。巧合的是，<a href="https://www.fetc.net.tw/UX/UX0901SharePoint/UX090104CompanyEventContent?EventsType=Announcement&EventID=949&EventTitle=%F0%9F%93%8C%E8%BF%91%E6%97%A5%E4%B8%8D%E6%98%8E%E4%BA%BA%E5%A3%AB%E5%86%92%E7%94%A8%E3%80%8C%E5%B1%B1%E5%AF%A8APP%E3%80%8D%E8%A9%90%E9%A8%99%EF%BC%8C%E6%8F%90%E9%86%92%E6%B0%91%E7%9C%BE%E5%8B%BF%E6%93%8D%E4%BD%9C%E4%B8%8D%E6%98%8E%E7%B6%B2%E5%9D%80%E9%80%A3%E7%B5%90&EventDate=05%2F05%2F2023%2000%3A00%3A00">遠通電收也於近日提出警告</a>，指出不明人士透過簡訊聲稱國道通行費尚未付款，要求下載山寨App進行詐騙，呼籲民眾繳費前要先行查詢、確認。</p> <p><a href="https://www.bleepingcomputer.com/news/security/intel-investigating-leak-of-intel-boot-guard-private-keys-after-msi-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel開機安全機制BootGuard受到微星3月遭駭事件波及，恐影響其他廠牌電腦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/leaked-source-code.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/leaked-source-code.jpg" style="width: 300px; float: right;" /></a>今年3月勒索軟體Money Message聲稱攻擊臺灣電腦製造商微星，並盜取1.5 TB內部資料，包含韌體、原始碼、資料庫，開口索討400萬美元贖金未果，這些駭客開始洩露竊得的檔案，但最近有資安業者提出警告，這些資料很可能讓其他搭配Intel處理器的電腦也曝險。</p> <p>資安業者Binarly指出，駭客公布的原始碼當中，涵蓋了57款微星產品的映像檔簽章、116款產品的Intel BootGuard金鑰，範圍包含搭載Core i第11代至第13代處理器（Tiger Lake、Adler Lake、Raptor Lake）的微星裝置。</p> <p>研究人員根據們掌握的證據顯示，整個Intel生態體系都受到這起資料外洩事故波及，而使得Intel BootGuard的開機防護機制失效。對此，Intel也表示正著手進行相關調查。</p> <p><a href="https://blog.cyble.com/2023/04/21/qakbot-malware-continues-to-morph/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過OneNote文件與Windows說明檔案散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-delivery-mechanism.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-delivery-mechanism.jpg" style="width: 300px; float: right;" /></a>不少研究人員發現，駭客約從2月開始，透過OneNote檔案散布惡意軟體QBot，但最近手法出現了變化。資安業者Cyble指出，駭客同時運用不同的文件檔案來發起攻擊。</p> <p>研究人員看到駭客先是透過垃圾郵件挾帶OneNote檔案的附件，一旦收信人開啟附件，此OneNote便會要求使用者從Azure下載加密的檔案，若是照做，收信人就會將ISO檔案下載到電腦，而這個光碟映像檔內含Windows說明檔案（CHM），一旦開啟，就會觸發當中嵌入的HTML檔案並執行PowerShell指令，使用wget命令下載QBot，在受害電腦上進行竊密，或是下載Cobalt Strike、Brute Ratel，或是其他惡意軟體。</p> <p><a href="https://blog.cyble.com/2023/04/18/crosslock-ransomware-emerges-new-golang-based-malware-on-the-horizon/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體CrossLock繞過作業系統的事件追蹤機制</span></strong></a></p> <p>資安業者Cyble揭露名為CrossLock的勒索軟體，駭客透過Go語言打造，該勒索軟體可本機加密檔案，亦能針對整個網域執行。值得留意的是，為迴避研究人員的調查，此勒索軟體藉由特定API來檢查所在的電腦環境裡，部署Wine軟體的版本，由於此軟體能讓搭載Linux、BSD作業系統的電腦執行Windows應用程式，駭客很有可能以此判斷勒索軟體是否處於沙箱環境。</p> <p>再者，為了避免在受害電腦留下證據，且讓加密檔案流程順利，此勒索軟體會竄改數個Windows事件記錄追蹤（ETW）的參數，並停用超過500種服務，才執行加密檔案的工作。</p> <p><a href="https://threatmon.io/apt-blind-eagles-malware-arsenal-technical-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Blind Eagle透過Discord代管的PowerShell指令碼，散布木馬程式NjRAT</span></strong></a></p> <p>資安業者ThreatMon揭露駭客組織ThreatMon（亦稱APT-C-36）的攻擊行動，駭客先是透過網路釣魚或社交工程的手法，引誘使用者執行JavaScript下載器，此下載器使用ActiveXObject物件執行PowerShell命令，自Discord的CDN何服器下載另一個PowerShell指令碼，並將其偽裝成PDF檔案再執行。</p> <p>接著，此指令碼會在記憶體內啟動惡意的DLL檔案，繞過Windows作業系統的防惡意軟體掃描介面（AMSI）機制，最終於受害電腦執行木馬程式NjRAT，讓駭客能夠進行遠端控制。</p> <p><a href="https://securelist.com/tomiris-called-they-want-their-turla-malware-back/109552/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄國駭客組織Tomiris利用惡意軟體Turla混淆視聽</span></strong></a></p> <p>駭客組織為了掩人耳目，不只會隱匿行蹤，甚至會誤導是他人所為。例如，資安業者Mandiant於今年1月揭露俄羅斯駭客Turla攻擊行動裡，資安業者卡巴斯基有了新的發現，並指出背後真正發動攻擊的駭客組織其實是Tomiris。</p> <p>這些攻擊者主要關注於中亞的情報收集，目標往往是鎖定獨立國協（CIS）國家與外交單位，他們發現位於中東或東南亞的受害組織，其實都是獨立國協的駐外代表。這些駭客發動攻擊的方式相當多元，包含釣魚郵件、DNS挾持、漏洞利用（以ProxyLogon為主）、偷渡式下載（DoD）等，並廣泛使用不同的程式語言開發惡意程式來發動攻擊，目的很可能是為了透過難以分析的程式語言來規避偵測。</p> <p>研究人員指出，他們從2021年至2023年，至少確認3起原以為是Turla發起的攻擊行動，其實是Tomiris所為。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nstc.gov.tw/folksonomy/detail/3e435b56-1ec0-4d57-8d48-45c45717d6df"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安競賽「尋找資安女婕思」進入決賽，臺北科技大學、逢引大學、中央大學、大同高中拿下分組冠軍</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/尋找資安女婕思頒獎典禮貴賓大合影.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%8B%E6%89%BE%E8%B3%87%E5%AE%89%E5%A5%B3%E5%A9%95%E6%80%9D%E9%A0%92%E7%8D%8E%E5%85%B8%E7%A6%AE%E8%B2%B4%E8%B3%93%E5%A4%A7%E5%90%88%E5%BD%B1.jpg" style="width: 300px; float: right;" /></a>國家科學及技術委員會（國科會）與教育部共同指導的第3屆「GiCS尋找資安女婕思」於5月6日，在臺南沙崙資安暨智慧科技研發大樓舉行決賽，結果出爐，「資安闖天關」項目由臺北科技大學「資安小公主」隊、逢甲大學「現場所有同學」隊獲得高中職組、大專校院組第一名；「創意發想賽」則由大同高中「VYN」隊、中央大學「無心插柳柳橙資」隊得到高中職組、大專校院組的分組冠軍。</p> <p>經過3月初賽後，各組有15個隊伍晉級決賽。而對於本次競賽的出題方向，資安闖天關決賽除主場域的CTF關卡外，另結合大樓內展品設計相關資安任務；創意發想賽的參賽同學針對初賽問題發想具創意的解決方案──本年度晉級隊伍針對演唱會搶票黃牛與系統機器人問題、ChatGPT可能產生的資安問題等，透過穿越劇表現方式展現創意。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/10355997-9c41-4b4b-97f1-57110206a085"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣高等檢察署查緝詐欺及資通犯罪督導中心揭牌，行政院長指示4大打詐面向</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023年5月3行政院長陳建仁出席台高檢「查緝詐欺及資通犯罪督導中心」揭牌典禮1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023%E5%B9%B45%E6%9C%883%E8%A1%8C%E6%94%BF%E9%99%A2%E9%95%B7%E9%99%B3%E5%BB%BA%E4%BB%81%E5%87%BA%E5%B8%AD%E5%8F%B0%E9%AB%98%E6%AA%A2%E3%80%8C%E6%9F%A5%E7%B7%9D%E8%A9%90%E6%AC%BA%E5%8F%8A%E8%B3%87%E9%80%9A%E7%8A%AF%E7%BD%AA%E7%9D%A3%E5%B0%8E%E4%B8%AD%E5%BF%83%E3%80%8D%E6%8F%AD%E7%89%8C%E5%85%B8%E7%A6%AE1.jpg" style="width: 300px; float: right;" /></a>臺灣高等檢察署查緝詐欺及資通犯罪督導中心於5月3日舉行揭牌典禮，行政院長陳建仁致詞時表示，打擊詐騙是政府維護社會治安的重中之重，查緝詐欺及資通犯罪督導中心是政府用來電信網路詐欺犯罪的專責機關，本次揭牌儀式代表政府打擊此種犯罪進入新的里程碑。陳院長表示，政府已積極規劃從4大面向，即從策略面、法制面、組織面、技術面，全力打擊詐欺犯罪。</p> <p>策略面的部分，將會提出「新世代打詐行動綱領1.5」強化打詐力道；法制面行政院已將「打詐5法」送請立法院審議；組織面的規畫，他們將擴大納入各地方政府、數位部、國發會，警政署及調查局都將成立北中南打詐工作站或防制中心，並透過公私協助，集合金融機構、電信及電商業者共同參與；至於技術層面，政府將設法從來源端防堵，如防杜境外竄改來電撥入境內、建立惡意簡訊攔阻機制、建立公益簡訊專用代表門號、鼓勵民間投入研發數位防詐工具、推動物流隱碼技術等。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://patchstack.com/database/vulnerability/advanced-custom-fields-pro/wordpress-advanced-custom-fields-pro-plugin-6-1-5-reflected-cross-site-scripting-xss-vulnerability"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Advanced Custom Fields出現漏洞，百萬網站曝險</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/kimsuky-evolves-reconnaissance-capabilities-in-new-global-campaign/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky利用惡意軟體ReconShark跟蹤使用者</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-cactus-ransomware-encrypts-itself-to-evade-antivirus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">規避防毒軟體出現新招式！勒索軟體Cactus將自己也加密</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-use-winrar-to-wipe-ukraine-state-agencys-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm利用RAR壓縮檔進行資料破壞攻擊</span></span></strong></a></p> <p><a href="https://twitter.com/MsftSecIntel/status/1654610012457648129"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客傳出也針對列印管理系統PaperCut漏洞攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156782">【5月8日】付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156736">【5月5日】有越來越多資安威脅透過ChatGPT的名義散布，1個月內就有10個惡意軟體家族藉此引誘使用者上當</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156721">【5月4日】 NIST CSF網路安全框架2.0草案釋出，原五大功能構面有新變化，新增「治理」一項</a></strong></p> </div></div></div>
2023/5/9 11:21作者周峻佑https://www.ithome.com.tw/news/156783
QR碼詐騙再現，新加坡民眾被騙走2萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.straitstimes.com/singapore/woman-who-scanned-qr-code-with-malware-lost-20k-to-bubble-tea-survey-scam-while-she-was-sleeping" target="_blank">新加坡《海峽時報》（Straits Times）於本周報導</a>，當地有一名60歲女性在一家泡沫紅茶店的門口看到一張QR碼貼紙，宣稱這是一份問卷調查，以手機掃描並完成之後可以獲得一杯免費的奶茶，結果她下載後被植入了惡意程式，駭客自她的銀行帳戶偷走了2萬美元。</p> <p>QR碼的全名為Quick Response Code，出現在1990年代，用意是希望使用者在掃描QR碼之後，能夠快速解碼其內容，但一直到了COVID-19疫情在2021年升溫後，各國政府以QR碼來追蹤使用者位置，商家利用QR碼來提供非接觸式的菜單或結帳系統，才讓QR碼成為家喻戶曉的功能。</p> <p>網路上有許多免費的QR碼產生器，用來將各式資訊嵌入QR碼中，像是網址、名片、菜單、社交網站的粉絲頁、PDF檔、位置、簡訊、電話號碼、文字，甚至可用來下載程式。</p> <p>根據報導，該名女士在掃描了QR碼之後，被要求要載一個第三方的Android程式以完成調查，而該程式卻趁著她睡覺時，逕自從她的銀行帳戶轉走了2萬美元。</p> <p>華僑銀行負責反詐騙業務的Beaver Chua向《海峽時報》解釋，他們之前也曾遇過類似的案件，當受害者掃描了QR碼之後，就會被要求下載一個程式，賦予該程式存取相機與麥克風的權限，同時啟用無障礙服務（Accessibility Service），之後駭客即會靜待使用者執行其金融程式，竊取他的憑證，再利用相機存取權限觀察受害者的作息，以於適當時機行竊。</p> <p>此外，近來在美國與英國也都出現QR碼的停車罰單詐騙事件，駭客製作了假的違規停車罰單並放在車主的擋風玻璃上，罰單上印有QR碼，可將受害者導至偽造的主管機關網站以支付罰款。</p> <p>其實<a href="https://www.ic3.gov/Media/Y2022/PSA220118" target="_blank">美國聯邦調查局（FBI）在2021年1月就曾呼籲大眾要小心QR碼詐騙</a>。指出駭客很可能會竄改合法的數位或實體QR碼，以誘導使用者下載惡意程式，直接將使用者導至網釣網站，或是讓使用者把帳款直接匯至駭客戶頭。</p> <p>總而言之，使用QR碼產生器所能嵌入的各種資訊都可能成為詐騙的入口。因此FBI也提供了保護自己的幾個技巧，在掃描QR碼之後，應檢查所造訪網站的網址，在輸入憑證時應提高警覺，最好先確認實體QR碼貼紙未被竄改，不要透過QR碼來下載程式，以及使用手機內建的QR碼掃描器而不要下載第三方掃描程式。</p> </div></div></div>
2023/5/9 11:57作者陳曉莉https://www.ithome.com.tw/news/156788
【資安日報】5月8日，付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言模型ChatGPT吸引了網路罪犯的目光，駭客爭相取得付費帳號，試圖將其用於攻擊行動，但最近有資安業者揭露「無限試用」的手法，起因是OpenAI在提供試用服務的過程中，雖然要求使用者必須登記沒有註冊該服務的電話號碼與電子郵件信箱，但因為驗證電話號碼的流程瑕疵，而能讓攻擊者只需透過一組電話號碼，就能不斷申請試用ChatGPT付費服務。</p> <p>Fortinet近期發布了5月份的例行更新，當中針對FortiADC、FortiOS、FortiProxy修補了高風險漏洞而相當值得留意，IT人員應儘速套用相關修補程式。</p> <p>在今天的資安新聞裡，有2則遠端終端裝置（RTU）的漏洞修補資訊，這些RTU設備往往會用於關鍵基礎設施（CI），相關漏洞帶來的影響可能會相當廣泛。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://securelist.com/fleckpe-a-new-family-of-trojan-subscribers-on-google-play/109643/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Fleckpe於背景暗中為受害者訂閱服務</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Subscribers_in_Google_Play_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Subscribers_in_Google_Play_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露名為Fleckpe的安卓木馬程式，該惡意軟體透過11款App成功溜進Google Play市集，駭客藉由照片編輯軟體與桌布App等名義來散布Fleckpe，估計至少有62萬臺裝置受害，大部分為位泰國，但波蘭、馬來西亞、印尼、新加坡也出現受害者。</p> <p>研究人員根據程式碼進行分析，發現使用者在執行帶有Fleckpe的App時，系統會載入高度混淆的程式庫，解密並啟動惡意程式載入器，然後執行惡意酬載，向C2伺服器回傳受害裝置資訊，最終此惡意程式會替使用者訂閱多種付費服務。</p> <p>由於上述的App確實具備於市集頁面標榜的功能，使用者往往等到收到帳單才驚覺自己居然無端訂閱其他付費服務，而察覺受害。對此，研究人員呼籲，使用者安裝App時，應該注意授與的權限是否過當，以免遭到這些可惡的App劫掠而被迫支付莫須有的費用。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/d/vipersoftx-updates-encryption-steals-data.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體ViperSoftX鎖定密碼管理器程式而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Vipersoft-figure3-updates-encryption-steals-data.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vipersoft-figure3-updates-encryption-steals-data.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露竊資軟體ViperSoftX新一波攻擊行動，此軟體會從加密貨幣錢包及多種應用程式盜取帳密資料，並在瀏覽器植入惡意擴充套件VenomSoftX，而在研究人員發現的新版竊資軟體裡，駭客不只針對更多加密貨幣錢包而來，並擴大能下手的瀏覽器範圍，從原本僅針對的Chrome，涵蓋至Brave、Edge、Opera、Firefox，更引起他們關注的是，駭客首度針對1Password、KeePass密碼管理器下手，企圖從中挖掘更多帳密資料。</p> <p>此外，攻擊者也採用了更為隱蔽的迴避手法，此竊資軟體在啟動的時候，會先檢查是否存在於虛擬化環境，並偵測系統是否執行Process Montior的監控軟體，以及特定廠牌的防毒軟體，在通過上述檢測之後才會解密PowerShell程式碼，下載ViperSoftX主要元件。</p> <p>研究人員指出，駭客採用了相當罕見的混淆手法防堵他們破解，這種方式稱為位元對應（Byte mapping），由於只需將正確的位元映射，而無須複雜的運算，駭客能減少所需的解密流程。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://checkmarx.com/blog/openai-allowed-unlimited-credit-on-new-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">OpenAI帳號驗證流程存在漏洞，透過相同電話號碼竟然「無限」次免費試用ChatGPT付費服務</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/open_ai_image6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/open_ai_image6.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx發現，OpenAI在驗證使用者帳號的過程出現瑕疵，從而導致使用者可透過相同的電話號碼，來重覆申請免費的試用額度。為了防止免費帳號的試用機制遭到濫用，OpenAI會確認使用者透過唯一的電話號碼及電子郵件信箱註冊，才會提供免費試用付費版ChatGPT的額度。</p> <p>但研究人員發現，使用者可針對電話號碼動手腳，而能夠使用相同的電話號碼接收簡訊並通過相關驗證流程，繞過OpenAI的檢查，例如，在號碼前面加上0，或是在號碼當中加入ASCII以外的Unicode字元，像是0123、00123、12\u000a3、001\u000a\u000b2\u000b3，使用者若是輸入上述字串，OpenAI的系統都會對「123」這個電話號碼發送簡訊。研究人員於去年12月通報上述漏洞，OpenAI於今年3月表示已完成修補。</p> <p><a href="https://www.securityweek.com/fortinet-patches-high-severity-vulnerabilities-in-fortiadc-fortios/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FortiADC、FortiOS、FortiProxy設備存在高風險漏洞</span></strong></a></p> <p>資安業者Fortinet於5月3日發布例行更新，總共修補9項漏洞，當中包含了2個高風險漏洞，分別是存在於應用程式交付控制器FortiADC的CVE-2023-27999，以及存在於防火牆作業系統FortiOS及網頁安全閘道FortiProxy的CVE-2023-22640。</p> <p>CVE-2023-27999為作業系統層級的命令注入漏洞，能讓通過身分驗證的攻擊者藉由偽造的指令，執行未經授權的命令，CVSS風險評分為7.6。</p> <p>CVE-2023-22640為越界寫入漏洞，該漏洞存在於名為sslvpnd的元件，攻擊者可在通過身分驗證的情況下，利用特製的請用來執行任意程式碼，CVSS風險評分為7.1。</p> <p><a href="https://ermetic.com/blog/azure/when-good-apis-go-bad-uncovering-3-azure-api-management-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Azure旗下API管理服務存在漏洞，恐被用於SSRF、路徑穿越攻擊</span></strong></a></p> <p>資安業者Ermetic發現Azure API Management的漏洞，其中有2個是伺服器請求偽造（SSRF）漏洞，另1個為上傳路徑穿越（Path Traversal）漏洞，皆與此系統的入口網站有關。</p> <p>研究人員指出，通過利用SSRF漏洞，攻擊者可藉由跨來源資源共用（CORS）代理伺服器，或是Azure API Management的代理伺服器，來存取Azure的資產，或是造成阻斷服務，並繞過應用程式防火牆（WAF）。</p> <p>而對於路徑穿越漏洞的部分，攻擊者可上傳惡意檔案來達成執行任意程式碼的目的。微軟接獲上述漏洞的通報後，皆已完成修補。</p> <p><a href="https://www.securityweek.com/critical-siemens-rtu-vulnerability-could-allow-hackers-to-destabilize-power-grid/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子遠端終端裝置存在漏洞，若不修補恐影響能源供應設施運作</span></strong></a></p> <p>西門子修補遠端終端裝置（RTU）的重大漏洞CVE-2023-28489，此為命令注入漏洞，存在於採用CPCI85韌體的裝置SICAM A8000 CP-8031、CP-8050，CVSS風險評分達到9.8分。</p> <p>由於上述裝置主要是針對能源供應系統（特別是變電站的自動化系統）設計，該公司呼籲IT人員應儘速修補，或以防火牆管制經由TCP的80埠及443埠存取網站伺服器的行為，也能降低上述漏洞帶來的風險。</p> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-110-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Inea工控遠端終端機設備存在重大漏洞</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）提出警告，斯洛維尼亞工控自動化業者Inea旗下的遠端終端裝置（RTU）存在重大漏洞CVE-2023-2131，攻擊者可在未經身分驗證的情況下，對連上網際網路的RTU裝置，發動作業系統命令注入攻擊，進而實作遠端執行任意程式碼（RCE）的操控，目前此漏洞影響執行3.36版韌體的ME RTU設備，CVSS風險評分為10。</p> <p>CISA指出，這款裝置廣泛運用於全球的能源、水資源、廢水處理、交通產業，呼籲這些組織應儘速更新韌體。</p> <p><a href="https://www.wiz.io/blog/brokensesame-accidental-write-permissions-to-private-registry-allowed-potential-r"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">阿里雲PostgreSQL資料庫出現重大漏洞</span></strong></a></p> <p>資安業者Wiz揭露阿里雲資料庫服務存在的漏洞BrokenSesame，這些漏洞出現於阿里雲的ApsaraDB RDS for PostgreSQL、AnalyticDB for PostgreSQL，攻擊者有可能在未經授權的情況下，存取阿里雲使用者的PostgreSQL資料庫，進而執行供應鏈攻擊，並能遠端對資料庫執行任意程式碼（RCE）。</p> <p>BrokenSesame包含2個漏洞，能使攻擊者在容器裡提升權限為root，然後逃逸至底層的Kubernetes節點，並能在未經授權的情況下存取API伺服器，搜尋與容器登錄檔關連的資料，最終推送惡意映像檔控制共用的節點，進而控制其他租戶的資料庫。研究人員於2022年12月通報漏洞，阿里雲於今年4月12日部署相關緩解措施。</p> <p><a href="https://www.bleepingcomputer.com/news/security/prestashop-fixes-bug-that-lets-any-backend-user-delete-databases/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電子商務平臺PrestaShop出現能讓後臺使用者刪除資料庫的漏洞</span></strong></a></p> <p>電子商務平臺PrestaShop近期修補重大漏洞CVE-2023-30839，此漏洞為SQL過濾器繞過漏洞，允許任意使用者對於其SQL資料庫進行竄改，而可能對於企業營運造成衝擊，CVSS風險評分為9.9。</p> <p>這項漏洞影響此電子商務平臺軟體8.0.3版以前版本，沒有其他的緩解措施，該公司已發布8.0.4版及1.7.8.9版修補上述漏洞。</p> <p><a href="https://source.android.com/docs/security/bulletin/2023-05-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布安卓5月例行更新，修補遭到商業間諜軟體利用的漏洞</span></strong></a></p> <p>Google於5月1日發布資安通告，修補安卓作業系統逾40項漏洞，當中最受到矚目的是中度風險的CVE-2023-0266，原因是Google曾於3月下旬，表示多個零時差漏洞已被用於攻擊行動，這些惡意程式由網路間諜軟體業者Variston打造，而CVE-2023-0266正是上述漏洞的其中之一。當時駭客將其用於攻擊阿拉伯聯合大公國的使用者，瞄準三星瀏覽器而來。攻擊者一旦利用這項漏洞，可在完全無須使用者互動的情況下觸發，並進行權限提升。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyber.ithome.com.tw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣資安大會Cybersec 2023將於5月9日至11日舉行</span></span></strong></a></p> <p><a href="https://www.imperva.com/blog/imperva-red-team-discovers-vulnerability-in-tiktok-that-can-reveal-user-activity-and-information/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">短影片社群平臺抖音存在漏洞，恐曝露使用者的行蹤</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/twitter-says-security-incident-exposed-private-circle-tweets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">推特再傳資安事故，用戶私密推文曝光</span></span></strong></a></p> <p><a href="https://blog.mozilla.org/en/mozilla/fakespot-joins-mozilla-firefox-shopping-announcement/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範用戶受騙，瀏覽器業者Mozilla買下AI服務評價驗證服務商Fakespot</span></span></strong></a></p> <p><a href="https://securityaffairs.com/145752/hacking/papercut-new-exploit.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">列印管理系統PapaerCut再度出現重大漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-seizes-9-crypto-exchanges-used-to-launder-ransomware-payments/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國與烏克蘭聯手，查封9個被勒索軟體駭客用於洗錢的加密貨幣交易所</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156736">【5月5日】有越來越多資安威脅透過ChatGPT的名義散布，1個月內就有10個惡意軟體家族藉此引誘使用者上當</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156721">【5月4日】 NIST CSF網路安全框架2.0草案釋出，原五大功能構面有新變化，新增「治理」一項</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156694">【5月3日】中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制</a></strong></p> </div></div></div>
2023/5/8 18:26作者周峻佑https://www.ithome.com.tw/news/156782
11款訂閱木馬程式溜進Google Play，波及62萬個裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡巴斯基（Kaspersky）本周揭露，<a href="https://securelist.com/fleckpe-a-new-family-of-trojan-subscribers-on-google-play/109643/" target="_blank">有11款夾帶新一代訂閱木馬程式Fleckpe的Android程式成功溜進了Google Play</a>，這些程式多半是照片編輯或是桌布等熱門程式，估計至少已被安裝在62萬個裝置上，大多數受害者位於泰國，但波蘭、馬來西亞、印尼與新加坡都有人受害。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-subscription%20Trojans-Fleckpe%20by%20kaspersky.png" style="width: 535px;" /></p> <p>分析顯示，當使用者啟用夾帶Fleckpe的行動程式時，它會載入一個高度混淆的原生程式庫，該程式庫內含一個下載器，可用來解壓縮及執行一個來自程式資產的酬載，該酬載即會與駭客所設置的C&C伺服器通訊，傳送受害裝置的資訊，諸如行動裝置國家代碼（MCC）與行動裝置網路代碼（MNC）等，辨識裝置的所在位置及所使用的電信服務。</p> <p>繼之該C&C伺服器即會回傳一個付費訂閱頁面，Fleckpe會利用一個不可見的瀏覽器開啟該頁面，並企圖替使用者執行訂閱，若需要輸入確認碼才能訂閱，Fleckpe也會自裝置的通知功能取得確認碼並完成訂閱程序。值得注意的是，這類的程式在安裝時便已向使用者取得存取通知的權限。</p> <p>使用者仍能正常使用這些惡意程式所描述的功能，但並不知道自己已經付費訂閱了服務。</p> <p>研究人員推測Fleckpe自2022年就開始運作，也看到許多不同的版本，最近的版本把絕大多數的訂閱程式碼從酬載移至原生程式庫，讓酬載只擔任攔截通知與檢視網頁的中介角色，以令安全工具更難偵測。</p> <p>由於Fleckpe內建了泰國的MCC與MNC代碼以進行測試，顯示它主要鎖定泰國市場，但遙測透露其它國家亦有使用者受害。</p> <p>卡巴斯基認為，愈來愈複雜的木馬程式設計讓它們閃過了程式市集的眾多安全檢查，而且很久才被發現，而受害者則通常是在收到帳單之後才察覺有異，這些都讓訂閱木馬成為駭客眼中用來賺進不法收益的可靠途徑。</p> <p>研究人員亦提醒，他們所發現的11個暗藏Fleckpe的惡意程式都已被Google下架，但或許有其它同樣植入Fleckpe的程式尚未被發現，建議使用者不要釋出不必要的權限予行動程式，也應安裝防毒產品以策安全。</p> </div></div></div>
2023/5/5 16:33作者陳曉莉https://www.ithome.com.tw/news/156741
Mozilla收購AI服務評價驗證服務商Fakespot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/fakespot-joins-mozilla-firefox-shopping-announcement/" target="_blank">Firefox開發商Mozilla宣布</a>收購驗證線上服務或商品假評價的AI技術供應商Fakespot，確保Firefox用戶免於詐騙網站之害。</p> <p>許多用戶在採購商品、App或服務時會參考線上評價，這也讓歹徒透過製造假評價偽裝詐騙網站或商品服務。成立於2016年的Fakespot是專門判別此類禍害的技術業者。該公司使用AI與機器學習（ML）系統偵測不同評價之間的相似性及特定模式，標示可疑評價。利用Fakespot的技術，用戶可以判別某產品是否利用評價灌水以拉抬在搜尋結果的排序。Mozilla表示，Fakespot可協助該公司提供優良廣告及商品推薦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-fakespot%20analysis-2.png" style="width: 600px;" /></p> <p>Fakespot外掛支援Chrome、Firefox，也有iOS及Android版App。安裝Fakespot後，Amazon、Shopifly或其他電商網站外觀會變得有些不同，經由Fakespot分析的評價，並獲得評分及等級分類以提供用戶警示。</p> <p>在為Mozilla合併後，Fakespot公司團隊包括執行長Saoud Khalifah將加入Mozilla。Fakespot計畫持續支援所有主要瀏覽器及行動平臺，但另一方面，Fakespot未來也會整合進Firefox，協助用戶偵測不實評價和詐騙店家及服務，整合Fakespot功能的Firefox也很快會釋出。</p> <p>本次收購金額不詳。</p> <p>Mozilla偶有大型併購，例如2017年Mozilla則收購知名網頁收藏服務Pocket。<a href="https://techcrunch.com/2022/11/02/mozilla-launches-35m-venture-capital-fund-for-early-stage-responsible-startups/" target="_blank">去年11月Mozilla開始啟動</a>創投基金計畫，12月Mozilla即收購了狀態更新引擎供應商Pulse，後者技術可以圖示提供用戶待辦事項提醒。</p> <p>Firefox目前為第四大桌機瀏覽器。<a href="https://ithome.com.tw/news/1556685" target="_blank">根據市調公司StatsCounter的統計</a>，Firefox市占率為5.65%，落在Chrome、Safari、Edge之後。</p> </div></div></div>
2023/5/5 12:03作者林妍溱https://www.ithome.com.tw/news/156733
Google帳號支援Passkey登入，強調比密碼、2SV安全方便
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/153615" target="_blank">去年10月宣布</a>Android和Chrome支援通行密鑰（Passkey），以及12月釋出的<a href="https://www.ithome.com.tw/news/154677" target="_blank">Chrome M108穩定版</a>已開始支援後，<a href="https://blog.google/technology/safety-security/the-beginning-of-the-end-of-the-password/" target="_blank">Google昨（3）日再宣布</a>，Google帳號將支援以通行密鑰（Passkey）登入旗下服務，讓用戶不需再記憶或管理密碼，也不需再執行兩步驟驗證（2-Step Verification，2SV）。</p> <p>從即日起，用戶就可以在<a href="https://g.co/passkeys" target="_blank">個人Google帳號加入Passke</a>y。</p> <p>和由一串數字、字母或符號組成的密碼不同，Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，省去用戶記憶或管理密碼的麻煩。Passkey是基於FIDO 2/WebAuthn標準，可在所有主要平臺及瀏覽器使用，用戶也可以透過指紋、臉部及本地端個人識別號碼（PIN）解鎖電腦或手機來登入。</p> <p>Passkey比傳統密碼更安全，它只存放在用戶裝置中，無法寫下來，也不會被不小心傳給歹徒，比密碼安全，而且也比2步驟驗證安全而方便；2SV不但多一道手續，也無法完全防範釣魚攻擊（例如可能被攔截簡訊）及SIM卡交換（SIM swap）等精準攻擊。但使用Passkey登入Google帳號，可有效證明用戶使用自己的裝置來登入。少了傳送密碼及驗證碼的過程，讓Passkey可防止網釣攻擊或密碼管理不善，如密碼外洩或同一組密碼重覆用於多個網站，解決了2SV的問題。</p> <p>當用戶在Google帳號加入Passkey，Google會在用戶一開始登入，或是執行敏感行動時要求建立Passkey。Passkey本身儲存在手機或電腦上，因此這機制會要求用戶輸入螢幕解鎖的生物辨識（如指紋、臉部辨識）及PIN碼，證實是用戶本人。這生物辨識資料目的在解鎖Passkey，不會分享給Google或其他單位。</p> <p>由於每把Passkey只會用於單一帳號，因此也不會有多個帳號共同一組密碼的風險。Google帳號（或其他帳號）也就不會有因共用密碼而被駭的問題。</p> <p>針對在多種裝置或不同裝置上使用Passkey是否會很麻煩，Google也做出說明。如果用戶有很多臺裝置，包括PC、筆電或平板，可以為不同裝置建一個passkey。有些平臺則可將用戶Passkey備份到雲端並同步給其他裝置，例如iPhone的Passkey可透過登入iCloud帳號同步給其他蘋果裝置，防止用戶被鎖住無法使用，也能升級Passkey到其他iOS/Mac裝置。</p> <p>使用者可以用Passkey/Password同步服務，如Google Password Manager、iCloud Keychain以全程加密來安全同步Passkey。</p> <p>要是用戶已建立Passkey，之後又買了新裝置或暫時使用別人的裝置，可在登入時選擇「使用另一臺裝置的Passkey」，再依指示登入。這種作法不會把舊Passkey傳到新裝置上，只是利用這新裝置的螢幕解鎖進行一次性登入。</p> <p>若別人的裝置也支援儲存自己的Passkey，Google會分別詢問用戶是否要在那裝置上另外建立新的Passkey。不過Google建議不要這麼做，否則會被其他人用該裝置登入用戶的Google帳號。</p> <p>一旦用戶不幸遺失儲存Google帳號Passkey的裝置，且有被別人解鎖的可能，用戶可以到<a href="https://myaccount.google.com/signinoptions/passkeys" target="_blank">Google帳號設定頁</a>立即註銷。若用戶Google帳號支援遠端刪除，也可以遠端刪掉裝置上的Passkey，尤其是裝置還儲存了其他服務的Passkey。Google說，為Google帳號建立復原密碼或電子郵件以防這類事發生。</p> <p>最後，Google表示，在Google帳號加入Passkey只是多一種登入選項，現有方法都還是可使用，以便其裝置不支援Passkey。Google表示，Passkey的普及需要時間，該公司也會關注用戶和應用程式的接納情況。</p> </div></div></div>
2023/5/4 10:38作者林妍溱https://www.ithome.com.tw/news/156706
【資安日報】5月3日，中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在繞過防毒軟體偵測的手法當中，近期駭客最常用的管道之一，就是利用含有弱點的驅動程式檔案，進行自帶驅動程式攻擊（BYOVD）。但在近期中國駭客組織的攻擊行動裡，出現了新的手法——駭客竄改Windows系統的登錄機碼，濫用Image File Execution Options（IFEO）機制來癱瘓防毒軟體。</p> <p>自微軟去年下旬祭出新措施，封鎖Office應用程式執行來自網際網路的巨集，有許多駭客組織改以捷徑檔案（LNK）做為散布惡意程式的管道，北韓駭客組織APT37也不例外，但特別的是，這些駭客使用的LNK檔案都非常大（動輒10 MB以上），而有可能導致防毒軟體不予處理。</p> <p>在疫情大爆發的期間，不少企業、組織緊急建置Salesforce伺服器來因應遠距辦公需求，但如今傳出這類伺服器存在不安全配置的情況，而有可能讓攻擊者存取其中儲存的使用者資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/e/attack-on-security-titans-earth-longzhi-returns-with-new-tricks.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Earth Longzhi利用新手法停用資安防護系統，鎖定臺灣、泰國、菲律賓而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/earthlongzhi_03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/earthlongzhi_03.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露中國駭客組織APT41旗下的Earth Longzhi攻擊行動，這些駭客針對臺灣、泰國、菲律賽、斐濟而來，其攻擊特徵是濫用Microsoft Defender的可執行檔來進行DLL側載，並發動自帶驅動程式攻擊（BYOVD），利用存在弱點的驅動程式zamguard64.sys來停用防毒軟體。</p> <p>比較特別的是，在停用防毒軟體的做法上，這些駭客也運用另一種較為罕見的方式Stack Rumbling，這是針對Image File Execution Options（IFEO）機制進行注入的攻擊手法，目的是造成防毒軟體記憶體溢位，導致運作遭到阻斷（DoS）的現象。</p> <p>研究人員指出，該組織除了將上述國家列為攻擊目標，他們也看到駭客使用越南語和印尼話製作的誘餌檔案，研判這2個國家可能是下一波攻擊標的。</p> <p><a href="https://research.checkpoint.com/2023/chain-reaction-rokrats-missing-link/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客APT37透過捷徑檔案散布木馬程式RokRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WKMIUTAZKJ-image9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WKMIUTAZKJ-image9.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露北韓駭客組織APT37（亦稱ScarCruft）的攻擊行動，駭客散布木馬程式RokRAT的手法自2022年7月開始出現變化，原本是利用南韓當地的Hangul Word Processor（HWP）檔案，或是含有巨集的Word檔案來挾帶相關作案工具，但如今這些駭客在部分攻擊行動裡，改以捷徑檔案（LNK）來進行，這麼做的原因，很可能與微軟在同月開始採用的新措施有關──也就是禁止來自網際網路的巨集檔案執行。</p> <p>研究人員指出，駭客所使用的LNK檔案龐大的程度相當不合理，例如他們在今年4月下旬，看到駭客以南韓公共行政協會（KAPA）舉辦的研討會為誘餌的攻擊行動，當中所使用的2個LNK檔案的大小分別為10 MB、50 MB。</p> <p><a href="https://www.bleepingcomputer.com/news/security/t-mobile-discloses-second-data-breach-since-the-start-of-2023/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信業者T-Mobile證實今年第2次資料外洩，逾800人受害</span></strong></a></p> <p>美國電信大廠T-Mobile於4月28日向緬因州檢察長辦公室通報，有人於2月24日至3月30日期間竊取該公司836名用戶個資，他們在4月底透過電子郵件對受到影響的使用者發出通知。</p> <p>遭到存取的用戶資料包含了姓名、帳號名稱、電話號碼、社會安全碼（SSN）、生日、帳戶餘額、資費方案、持有的門號數量等。該公司強調，客戶的銀行資訊與通話記錄並未受到影響。而這次事故的發生，也是該公司繼1月之後，今年第2起資料外洩。</p> <p><a href="https://krebsonsecurity.com/2023/04/many-public-salesforce-sites-are-leaking-private-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">多家公司使用Salesforce服務卻被發現曝露敏感業務資料，原因出在組態設定錯誤</span></strong></a></p> <p>根據資安新聞網站Krebs On Security的報導，他們得知有許多銀行、醫療保健服務供應商，所屬的Salesforce網站曝露了敏感資料，起因是IT人員的錯誤配置，而導致未經身分驗證的使用者能夠存取需要登入才能運用的資源。</p> <p>該新聞網站得知美國佛蒙特州政府就有5個Salesforce網站曝險，當中包含了疫情流行期間申請失業輔助民眾的姓名、社會安全碼（SSN）、電話號碼、電子郵件信箱、銀行帳戶等。對此，佛蒙特州首席資訊安全長Scott Carbee表示，他們的資安團隊持續檢查州政府的Salesforce網站安全，且發現第2個網站也有配置錯誤的情況。Scott Carbee指出，這些Salesforce網站都是因應疫情而緊急建置，並未充分審查。</p> <p>類似的情況，也出現於亨廷頓銀行旗下甫併購的TCF Bank，亨廷頓銀行察覺後也停用該網站。此外，華府的DC Health也有數個Salesforce網站可能曝險。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-discloses-xss-zero-day-flaw-in-server-management-tool/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科伺服器管理工具存在零時差漏洞，恐被用於跨網站指令碼攻擊</span></strong></a></p> <p>4月26日思科揭露伺服器管理系統Prime Collaboration Deployment的漏洞CVE-2023-20060，這項漏洞可被用於跨網站指令碼（XSS）攻擊，起因是此系統的網頁管理介面無法正確驗證使用者輸入，從而讓攻擊者引誘目標用戶點選特製連結來利用漏洞，CVSS風險評分為6.1。</p> <p>該公司預計於5月發布更新軟體來進行修補，但值得留意的是，目前沒有能緩解此弱點的方法。</p> <p><a href="https://www.horizon3.ai/cve-2023-27524-insecure-default-configuration-in-apache-superset-leads-to-remote-code-execution/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源資料視覺化工具Apache Superset存在RCE漏洞，至少有2千臺伺服器曝險</span></strong></a></p> <p>資安業者Horizon3.ai針對開源資料圖像化及搜尋工具Apache Superset的用戶提出警告，此系統在預設的情況下，會採用特定的Flask金鑰對身分驗證連線階段的Cookie進行簽章，一旦系統開發者建置時沒有更換金鑰，攻擊者就有可能藉著這個金鑰取得管理者權限，進而入侵與之連接的資料庫或是應用程式伺服器。</p> <p>研究人員指出，儘管Apache的技術文件提到系統管理者建置時必須更換金鑰，但他們在大學、企業、政府機關等組織裡，找到約2千臺Apache Superset伺服器存在上述弱點。</p> <p>研究人員最初於2021年10月通報漏洞，Apache基金會在多次改版當中加入相關警告，後續於今年4月發布的2.1版，甚至在此系統使用預設金鑰的情況下，將無法啟動。研究人員於GitHub提供指令碼，供現有系統的管理者進行檢查。</p> <p><a href="https://www.bitsight.com/blog/new-high-severity-vulnerability-cve-2023-29552-discovered-service-location-protocol-slp"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">服務定位協定SLP漏洞恐被用於DDoS流量放大攻擊</span></strong></a></p> <p>資安業者Bitsight與Curesec聯手，揭露存在於服務定位協定（Service Location Protocol，SLP）的高風險漏洞CVE-2023-29552，這項漏洞存在於逾2千個組織、5.4萬個SLP設備，攻擊者可藉此漏洞，將網路流量放大2,200倍來進行阻斷服務攻擊（DoS），這些存在漏洞的系統涵蓋VMware ESXi虛擬化平臺、Konica Minolta印表機、Planex路由器、IBM Integrated Management Module（IBM IMM）、SMC IPMI管理工具等，CVSS風險評分為8.6。</p> <p>研究人員指出，曝露該漏洞系統最多的國家，包含了美國、英國、日本、德國、加拿大等，且有不少財富前1000強可能曝露相關風險，他們呼籲企業應針對連上網際網路的系統停用SLP。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.apple.com/newsroom/2023/05/apple-google-partner-on-an-industry-specification-to-address-unwanted-tracking/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果、Google聯手打擊Airtag非法跟蹤行為</span></strong></a></p> <p>有鑒於利用AirTag等藍牙定位追蹤裝置進行非法跟蹤（stalking）事件頻傳，蘋果與Google於5月2日宣布將合作開發技術標準，讓被跟蹤的用戶可以及早察覺。</p> <p>他們向網際網路工程技術小組（Internet Engineering Task Force，IETF）提交防範濫用AirTag、Tile等藍牙定位裝置進行惡意跟蹤的產業規格草案，有望可讓這類藍牙位置的追蹤裝置，支援偵測未經授權的跟蹤行為，並對用戶的iOS及Android手機發出警訊。</p> <p>上述草案內容已於IETF網站公布，並預計今年底之前公布實作規格。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/police-operation-spector-arrests-288-dark-web-drug-vendors-and-buyers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美歐聯手破獲暗網市集Monopoly Market，逮捕288名嫌犯</span></strong></a></p> <p>美國、英國、瑞士、巴西、波蘭、荷蘭、德國、法國、奧地利等國宣布，他們破獲暗網市集Monopoly Market，總共逮捕288名的賣家與買家、扣押逾5,000萬美元的現金與加密貨幣、850公斤毒品，此次為歐美國家聯手打擊的暗網犯罪行動裡，規模最大的一次。</p> <p> </p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://therecord.media/first-draft-of-un-cybercrime-treaty-expected-in-june"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">聯合國網路罪犯條約傳出將於6月公布</span></span></strong></a></p> <p><a href="https://therecord.media/wray-fbi-cyber-budget-china-cyberthreats"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國FBI向國會報告資安防禦不對稱狀況，他們表示，網路探員每人至少要對付50個中國駭客</span></span></strong></a></p> <p><a href="https://www.zdnet.com/article/these-two-countries-are-teaming-up-to-develop-ai-for-cybersecurity/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新加坡與法國聯手以人工智慧強化網路安全</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/04/kritec-art"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列總理臉書帳號遭入侵，數萬民眾個資外洩</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/04/kritec-art"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子商務網站遭挾持，被植入付款表單，意圖竊取用戶信用卡資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156667">【5月2日】俄羅斯駭客APT28再度對烏克蘭政府機關下手，這次是假借IT人員名義發動網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156623">【4月28日】越南駭客透過臉書企業帳號，發布廣告散布惡意軟體SYS01 Stealer</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156594">【4月27日】中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來</a></strong></p> </div></div></div>
2023/5/3 16:22作者周峻佑https://www.ithome.com.tw/news/156694
【資安月報】2023年4月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一個月的資安月報中，有3大資安議題是關注焦點，包括3CX VoIP供應鏈攻擊事件的後續，生成式AI強化資安解決方案應用增加，以及員工為了方便將企業機敏資料輸入上傳到ChatGPT的問題。</p> <p>首先，關於3月底CrowdStrike、SentinelOne、Sophos等資安業者揭露的3CX VoIP系統軟體供應鏈事件，不僅是讓軟體供應鏈問題再次成為焦點，而在4月更多調查結果出爐之後，更是發現另一起X_Trader軟體供應鏈攻擊才導致3CX被入侵。</p> <p>一開始，在3CX VoIP的事件中，原先調查指出，3CX官網上提供的Windows與macOS的桌面程式Electron，被加料植入暗藏木馬的ffmpeg.dll，將下載惡意Payload，且該更新檔案具有合法程式碼簽章，後續另一家資安公司Mandiant指出，確認3CX網路之所以被入侵，是因為攻擊者之前入侵了股票交易自動化業者Trading Technologies的網站，從而散布被駭客竄改的X_Trader應用程式，換言之，這次事件是先藉由一起軟體供應鏈攻擊，再發動另一起軟體供應鏈攻擊；此外，到了4月底，又有另一家資安業者賽門鐵克揭露X_Trader軟體供應鏈攻擊的危害情形，指出至少發現有4個關鍵基礎設施（CI）遭到攻擊。</p> <p>前兩個月ChatGPT當紅，對於資安領域的影響到4月仍持續發酵，例如，繼微軟Security Copilot後，Google也用生成式AI強化自家資安解決方案，該公司在4月RSA大會期間宣布，開始應用專屬大型語言模型Sec-PaLMSu於多項安全解決方案，促進以生成式AI強化安全性，希望激發安全運作上的變革，並期望解決資安技能差距的問題；而已併入Google的惡意軟體分析網站VirusTotal，也宣布將運用生成式AI增強威脅分析能力，以Google Cloud的Security AI Workbench為基礎，提供程式碼分析服務Code Insight。</p> <p>另外，在ChatGPT風潮下的威脅態勢，前一個月已有不少新興技術濫用風險示警的消息，以及假冒名義的惡意活動不斷被揭露，特別的是，關於員工不當使用、影子IT的問題，更是屢屢成為本月重點議題。</p> <p>月初即傳出三星發生軟體開發員工為了自身方便，將整份程式碼上傳到ChatGPT對話以找出程式碼錯誤之處，沒顧及企業機敏資料可能外流的情形，可能被AI拿去學習，使得ChatGPT回答別人答案可能出現公司資料；到了月底又有資料安全服務商針對員工擅自將企業資料輸入到ChatGPT的情形提出報告，統計旗下不同產業企業用戶160萬名員工的資料上網情形，發現有3.1%比例員工，將不能外流的企業機敏資料輸入到ChatGPT。</p> <p>由於相關消息接連不斷傳出，在如今這股ChatGPT應用潮流下，對於保護企業資料，如何在技術提供的價值與安全之間取得平衡，勢必會持續受到探討。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/156420"><span style="color: rgb(178, 34, 34);">【資安週報】2023年4月6日到4月14日</span></a></strong></h2> <p>在清明連假後的一周半中，共有10個已知漏洞遭利用的情形，包含蘋果緊急修補的CVE-2023-28205、CVE-2023-28206漏洞，以及微軟4月安全性更新所修補的CVE-2023-28252漏洞，發現遭攻擊者利用部署Nokoyawa勒索軟體，以及Veritas備份軟體2021年的3個已知漏洞去年底BlackCat勒索軟體利用，近期被資安業者揭露。</p> <p>另有4個漏洞本期尚未報導，但亦確認遭攻擊者成功利用情形，值得注意，包含兩個今年揭露的漏洞：Novi Survey的漏洞（CVE-2023-29492 ）、Android的漏洞（CVE-2023-20963），以及兩個早年的已知漏洞：微軟的漏洞（CVE-2019-1388）、Arm的漏洞（CVE-2019-1388）。在其他漏洞修補消息方面，包括威聯通、HP、SAP、西門子、施耐德、Adobe也發布安全更新，還有JavaScript沙箱程式庫VM2的漏洞值得留意。</p> <p>關於威脅態勢的揭露方面，最受關注的是，勒索軟體Rorschach濫用Palo Alto Networks的XDR系統元件載入與執行的情形，以及駭客濫用Telegram的情況是越來越嚴重，其他可留意的是後門程式Balada Injector、竊資軟體Creal、Mirai變種RapperBot的動向，以及竊資軟體Typhon加入大量混淆反分析的揭露。</p> <p>另外要特別一提的是，假ChatGPT、Google Bard名義的威脅也增加，同時，如同與員工擅自將公司資料上傳到個人雲端儲存空間存放情形類似，近期不少企業正關注員工是否可能將公司機密資訊，擅自輸入ChatGPT的問題。</p> <p>至於國內焦點方面，包括假冒財經名人、主播名義的詐騙呈現持續橫行情形，甚至台積電創辦人的夫人張淑芬也遭冒名後，這類問題更受關注，因此，Meta與Google等平臺業者的自動審核廣告機制，顯然已被網路犯罪者找到容易突破的方式，業者再不設法解決，等於讓廣告成網路攻擊與詐騙發動溫床；Google Cloud近期揭露去年第四季報告中，提及中國駭客組織APT41當時鎖定目標是臺灣媒體。</p> <h2><strong><a href="https://www.ithome.com.tw/news/156522"><span style="color: rgb(178, 34, 34);">【資安週報】2023年4月17日到4月21日</span></a></strong></h2> <p>這一周的漏洞消息中，有6個漏洞遭利用的情形最受關注，首要焦點就是Chrome的兩個零時差漏洞CVE-2023-2033、CVE-2023-2136，後者更是影響所有基於Chromium瀏覽器，而列印管理軟體系統PaperCut在3月修補的CVE-2023–27350的RCE漏洞，近日亦發現出現攻擊活動，還有俄羅斯駭客組織APT28利用存在於Cisco IOS與Cisco XE軟體的SNMP子系統漏洞CVE-2017-6742漏洞的揭露。另有兩個漏洞本期周報尚未提及，<a href="https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q">以物件儲存服務MinIO公告的CVE-2023-28432漏洞</a>須特別留意，另一是<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-8526">Apple macOS的漏洞CVE-2019-8526</a>。在漏洞修補方面，焦點包括Oracle季度更新修補433個漏洞，以及VMware、ChatGPT、Juniper的漏洞修補。</p> <p>在重要資安事件方面，3CX VoIP系統軟體供應鏈的攻擊事故有後續消息，格外引發關注，因為3CX之所以被入侵，是因為攻擊者先入侵股票交易自動化業者Trading Technologies的網站散布被駭客竄改的X_Trader應用程式，等於是藉由供應鏈攻擊入侵，再發動影響更廣泛的供應鏈攻擊。</p> <p>其他值得警惕的資安事件，除了Volvo的巴西經銷商Dimas Volvo在網站上曝露敏感資料甚至包含Laravel的金鑰，企業淘汰的網路設備在二手市場上被發現有洩露企業內部網路環境敏感資訊的狀況，同樣必須留意，這如同企業淘汰的列印設備其硬碟資料未妥善清除狀況相同，重點是，可別以為這些汰換的網路設備沒有機敏資訊要清除，就能直接汰換，應該也要針對組態設定重置並確定無疑慮再丟棄。</p> <p>在威脅態勢方面，以勒索軟體新動向受矚目，包括勒索軟體LockBit攻擊的平臺已從Windows、Linux及VMware ESXi環境擴及macOS，以及勒索軟體Vice Society近期威脅增加，並有資安業者揭露該攻擊者利用新的PowerShell指令碼w1.ps1來規避資安系統，還有勒索軟體駭客濫用名為Action1的遠端管理平臺（RMM）的揭露；竊資軟體消息也不少，包括竊資軟體Aurora利用Youtube影片宣傳假破解軟體來散布，以及Zaraza Bot竊資軟體、Chameleon的安卓惡意軟體的揭露。</p> <h2><strong><a href="https://www.ithome.com.tw/news/156657"><span style="color: rgb(178, 34, 34);">【資安週報】2023年4月24日到4月28日</span></a></strong></h2> <p>在這一周的漏洞消息中，首要焦點是，ZDI警告TP-Link於3月中修補的CVE-2023-1389漏洞，已經被Mirai殭屍網路病毒的攻擊行動利用，在最新漏洞修補消息方面，包括思科、SolarWinds與VMware的修補動向值得關注。另外在51連假期間，還有兩個已知漏洞確認遭利用情形，本期週報尚未提及，值得優先注意，包括Apache的CVE-2021-45046，以及Oracle在1月修補的CVE-2023-21839漏洞。</p> <p>在威脅態勢與攻擊焦點方面，中國駭客組織Evasive Panda散布後門程式MsgBot的攻擊活動揭露最受關注，因為是利用騰訊Tencent QQ即時通訊軟體的更新管道散布，而其鎖定對象是國際非政府組織（NGO）人士；另一焦點是中國駭客組織Alloy Taurus開發Linux後門程式PingPull的揭露。</p> <p>其他惡意活動消息，包括：惡意軟體Lobshot、惡意軟體載入器Bumblebee均透過Google廣告散布的揭露，惡意軟體RustBucket、竊資軟體Atomic均針對Mac電腦攻擊的揭露，以及又有新針對Kubernetes而來的攻擊行動，勒索軟體RTM Locker的動向等。</p> <p>在國內的資安相關消息中，除了調查局資通安全處失火的消息受外界關注，還有兩起警方偵辦事件中所存在的資安議題，也引起不少人注意，分別是線上影視平臺LiTV今年1月發生資料遭刪除，警方調查研判是前員工利用商家Wi-Fi無線網路並盜用其他員工帳號進而存取防火牆設備以入侵，另一事件本期週報尚未提及，是關於永豐金提告前財務長、永豐銀前總座張晋源涉嫌賤賣永豐金子行美國遠東銀行（FENB）的調查，根據<a href="https://www.cna.com.tw/news/afe/202304260376.aspx">國內報導指出</a>，鑑識時發現張晋源在離職後將公司派發電腦中的資料清除，且不排除使用腐蝕性液體破壞可能。</p> <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154033">2022年10月資安月報</a></h3> <h3> </h3> <h3> </h3> </div></div></div>
2023/5/3 17:27作者羅正漢https://www.ithome.com.tw/news/156683
Chrome瀏覽器上的掛鎖圖示即將退役
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2023/05/an-update-on-lock-icon.html" target="_blank">Chromium專案於周二（5/2）宣布</a>，Chrome網址列上用來顯示HTTPS連線的掛鎖（Lock）圖示即將於今年退役，取而代之的是新的曲調（Tune）圖示，此一圖示的功能未變，點選後都可察看所造訪網站的重要資訊，變更的主要目的是為了避免使用者誤以為，具備掛鎖圖示的網站就是安全網站。</p> <p>最早顯示掛鎖圖示的瀏覽器是1990年代的Netscape，該圖示代表使用者所造訪的網站採用HTTPS加密傳輸通訊協定，意謂著使用者與網站之間的聯繫是透過安全通道進行，而不會被第三方竄改或監聽。事實上，在2013年時，Alexa流量排行榜上的前100萬個網站，也只有14%採用HTTPS，各家瀏覽器業者皆利用掛鎖圖示來提醒使用者傳輸上的安全，並大力推廣HTTPS，迄今Chrome所載入的網頁已有超過95%都是基於HTTPS。</p> <p>雖然掛鎖圖示只是用來顯示使用者與網站之間採用HTTPS通訊，但該圖示卻經常令使用者誤會所造訪的網站是安全的，Google在2021年的調查顯示，有高達89%的使用者誤解了掛鎖的意義，認為它同時也保證該站的可靠性，可保護使用者的隱私與安全。事實上，幾乎所有的網釣網站都採用HTTPS，<a href="https://www.ic3.gov/Media/Y2019/PSA190610" target="_blank">FBI也曾公開呼籲</a>HTTPS並非安全網站的保證。</p> <p>此外，其實使用者點選掛鎖圖示後，還能看到更多有關所造訪網站的資訊及控制選項，例如網站所蒐集的Cookie，是否允許網站通知，或是可進行網站設定等，但許多使用者卻從來不知此一功能。</p> <p>於是Google決定藉由變更圖示來導正此一現象，以曲調的變體來取代掛鎖，不再讓它被誤會為可靠的象徵，而且看起來更像可以點選、並內含設定與控制選項的樣子。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgugOcJZQTuZzMo-ker60pSIzOIfBPPIV7Gq_7nmOU9lVqJWZ-qyurLC-Pj3lrPrrh-pemoJC6Ix27Dam2LmNasddSS21m37_7YV8qbC2MPE8j1gEIcBqcMqSAvhq5WnAJ34OV3IZYoqhivJo0oN3C2A4NWA0csosSV4jFIbqhOopCrXwKPFu96oW6_Yg/s1600/tune.png" style="width: 150px;" /><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh42uF3vHKMYdRxs7Pn3IWFieNo15A49lukAYJ_WzOOgfN1frqfnkh45T-pUdZdIW-caFj1tA8IGBRRjgra_jd2JQ6igjESnX2xYieuWgA3aP4E7QU4mif8OrA7XAPwyURpVQ5azwDXe8NnuxjmV_4nnVEvc-YPBq76tcCOzBAS8pjQDNt-rKM88M3q6A/s1040/new-site-controls.png" style="width: 379px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>掛鎖圖示雖然在HTTPS連線終將成為常態之後退役，但未來Chrome依舊會把僅基於HTTP協定的網站標註為不安全（Insecure）以提醒使用者。</p> <p>根據Google的規畫，改用Tune圖示的Chrome 117預計於今年9月出爐，屆時桌面版與Android版上的Chrome將會同步更新，但iOS版因其掛鎖圖示原本就無法點選，因此打算直接將它移除。</p> </div></div></div>
2023/5/3 11:46作者陳曉莉https://www.ithome.com.tw/news/156687
蘋果、Google合作打擊Airtag非法跟蹤行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於利用AirTag等藍牙定位追蹤裝置進行非法跟蹤（stalking）事件頻傳，<a href="https://www.apple.com/tw/newsroom/2023/05/apple-google-partner-on-an-industry-specification-to-address-unwanted-tracking/" target="_blank">蘋果與Google昨（2）日宣布</a>將合作開發技術標準，讓被跟蹤的用戶可以及早察覺。</p> <p>2021年4月發表的AirTag可以將之夾或繫在鑰匙、行李或其他物件上，讓用戶可以透過Find My程式定位其位置。然而近年它被用來跟蹤他人或竊取車輛的情形屢見不鮮。蘋果數次更新AirTag，包括<a href="https://www.ithome.com.tw/news/149306" target="_blank">發送明顯提示</a>及<a href="https://www.ithome.com.tw/news/148353" target="_blank">支援Android裝置</a>來防止這類行為。不過這些只是治標方法，蘋果決定和Google從技術面合作以更有效確保用戶安全。</p> <p>蘋果和Google表示，雙方已經聯手向網際網路工程技術編組（Internet Engineering Task Force，IETF）提交了一份防範濫用AirTag、Tile等藍牙定位裝置進行惡意跟蹤的產業規格草案。這份草案將可讓這類藍牙位置追蹤裝置支援對非授權跟蹤的偵測，並對iOS及Android手機用戶發出警示。</p> <p>雙方表示，其他藍牙追蹤裝置供應商包括三星、Tile、Chipolo、Eufy和Pebblebee等都對本規格表達支持，也對其製造商提供生產時的最佳典範及指示。</p> <p>雙方表示這項草案除了涵括裝置製造商的想法，也整合安全與包括美國終止家暴網路（National Network to End Domestic Violence）等倡議組織的意見</p> <p>目前本技術規格草案已經提交IETF，<a href="https://datatracker.ietf.org/doc/draft-detecting-unwanted-location-trackers/" target="_blank">目前已在IEFT網站上公布</a>，並在未來三個月內開放公眾評論。之後蘋果和Google將彙整意見，並在2023年底之前公布規格的生產實作，且將實作到未來iOS及Android中。</p> <p>這也是蘋果和Google兩大平臺業者為了解決公眾安全問題再一次合作。在2020年初COVID-19疫情爆發時，<a href="https://www.ithome.com.tw/news/136924" target="_blank">兩公司也攜手合作開發</a>確診者接觸匿名追蹤技術及API，後來也都整合到iOS及Android手機中。</p> </div></div></div>
2023/5/3 09:45作者林妍溱https://www.ithome.com.tw/news/156681
【資安日報】4月28日，越南駭客透過臉書企業帳號，發布廣告散布惡意軟體SYS01 Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挾持企業臉書帳號，以發布廣告的方式來散布惡意軟體的手法，陸續傳出相關事故，本週有研究人員揭露一支名為SYS01 Stealer的竊資軟體，也以這種型式散布，以此發動攻擊的人可能來自越南。</p> <p>針對Mac電腦的惡意軟體今年也有越來越多的現象，例如，研究人員發現駭客兜售竊資軟體Atomic，就是鎖定這個平臺的系統，並主打能透過50種瀏覽器套件來盜取使用者的加密貨幣錢包。</p> <p>導致公司損失慘重，甚至被迫關門的資安事故，並非僅限於勒索軟體，臺灣傳出有高權限的離職員工對於先前任職公司進行網路攻擊事件，受害公司表示，若遭破壞的資料無法復原，可能無法繼續營運。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/malverposting-with-over-500k-estimated-infections-facebook-ads-fuel-this-evolving-stealer-54b03d24b349"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">越南駭客散布竊資軟體SYS01 Stealer，管道是挾持企業臉書帳號來發送廣告</span></strong></a></p> <p>資安業者Guardio揭露濫用臉書貼文散布惡意軟體的攻擊行動，保守估計全球超過50萬人受害。他們發現有越南駭客組織鎖定美國、加拿大、英國、澳洲的使用者，挾持臉書的企業帳號來發布惡意廣告貼文（Malverposting），藉由付費廣告宣稱提供折扣、免費軟體、線上購物的名義，引誘使用者上當，一旦受害者點選連結，就會下載含有惡意軟體的ZIP壓縮檔，但駭客為了騙過受害人，將壓縮檔裡面的惡意軟體偽裝成圖片，一旦執行就會在受害電腦植入惡意酬載SYS01 Stealer。</p> <p>此惡意程式會在電腦系統的背景默默運作，並定期洩露瀏覽器的Cookie、帳號資料等。研究人員指出，駭客濫用Western Digital和Seagate等硬碟製造商提供的系統工具，以DLL側載的方式執行惡意程式，而能逃過防毒軟體的偵測。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-atomic-macos-info-stealing-malware-targets-50-crypto-wallets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對Mac電腦而來的竊資軟體Atomic，目標是洗劫50種加密貨幣錢包</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FumIda7WAAkfZQq.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FumIda7WAAkfZQq.png" style="width: 300px; float: right;" /></a>資安業者Cyble、Trellix發現名為Atomic的竊資軟體（亦稱AMOS），針對Mac電腦而來，駭客在Telegram頻道以1千美元的訂閱費用兜售，引起研究人員的注意。</p> <p>分析他們所販售的惡意程式之後，研究人員發現，在電腦開機啟動時會透過假的權限對話框，要求使用者輸入密碼，藉此取得受害電腦的系統權限，成功後該惡意軟體便會試圖竊取Keychain的密碼、macOS內建密碼管理器的資料，裡面有網站帳密資料、信用卡資料，還有Wi-Fi密碼等其他資訊。</p> <p>值得留意的是，在搜括完上述資料後，此竊資軟體會進一步在受害電腦上找尋其他資料，例如加密貨幣錢包的應用程式、瀏覽器擴充套件、瀏覽器個人設定檔等，其中，Atomic針對的加密貨幣錢包瀏覽器擴充套件就多達50款。</p> <p><a href="https://www.elastic.co/security-labs/elastic-security-labs-discovers-lobshot-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lobshot透過Google廣告散布</span></strong></a></p> <p>Elastic旗下的安全實驗室揭露惡意軟體Lobshot的攻擊行動，駭客假借提供遠端桌面軟體AnyDesk的名義，透過Google廣告來散布此惡意程式，一旦使用者點選廣告，就會被引導到幾可亂真的冒牌AnyDesk網站，下載、執行安裝程式，若是使用者照做，電腦就會被植入Lobshot。</p> <p>研究人員指出，該惡意程式採用Hidden Virtual Network Computing（HVNC）元件，而使得攻擊者能在不被發現的情況下存取受害電腦。此外，該惡意程式在啟動的時候，也會針對Microsoft Defender進行反模擬檢查，像是確認電腦名稱是否含有HAL9TH、使用者名稱是否為JohnDoe，一旦察覺是此防毒軟體的模擬層環境，Lobshot就會停止運作。</p> <p><a href="https://blog.aquasec.com/leveraging-kubernetes-rbac-to-backdoor-clusters"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kubernetes的API存取控制機制RBAC遭到濫用，駭客接管並用於挖礦</span></strong></a></p> <p>資安業者Aqua Security揭露針對Kubernetes而來的攻擊行動，駭客濫用此系統的API存取控制機制Role-Based Access Control（RBAC），進而在Kubernetes環境建立後門，接著，他們還部署名為DaemonSets的工具，進一步接管Kubernetes叢集的資源。研究人員發現，迄今駭客至少針對60個Kubernetes叢集發動攻擊。</p> <p>駭客先是針對API錯誤配置的伺服器下手，以具有權限的匿名使用者身分，發出未經身分驗證的請求而入侵目標伺服器，進而在Kubernetes建立具有管理員層級權限的服務帳號kube-controller，最終建立DaemonSet工作，從Docker Hub拉取容器映像檔，利用受害伺服器挖取門羅幣。目前駭客已挖到至少5個門羅幣。</p> <p><a href="https://www.uptycs.com/blog/rtm-locker-ransomware-as-a-service-raas-linux"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux、NAS與VMware虛擬化平臺遭到勒索軟體RTM Locker鎖定</span></strong></a></p> <p>資安業者Uptycs於暗網發現Linux版的勒索軟體RTM Locker，主要攻擊目標是VMware的ESXi伺服器，但研究人員指出，該勒索軟體也可以在其他Linux主機、NAS設備上執行。</p> <p>根據其程式碼的分析，駭客很可能是利用勒索軟體Babuk外洩的程式碼為基礎打造。一旦執行，RTM Locker會先利用esxcli命令搜尋正在運作的虛擬機器（VM），然後下達強制停止的指令，再加密ESXi的事件記錄檔案（LOG）、虛擬磁碟（VMDK）、虛擬記憶體（VMEM）、快照檔案（VMSN）等。</p> <p><a href="https://www.cna.com.tw/news/asoc/202304270204.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上影視平臺LiTV雲端基礎設施1月遭破壞，初步調查結果出爐，疑為離職工程師報復，已拘提、交保候傳</span></strong></a></p> <p>根據中央社、聯合新聞網、TVBS等媒體的報導，線上影視平臺LiTV於今年1月24日，發現公司網路遭到入侵，刪除資料庫及提供影音服務的雲端虛擬伺服器。該公司農曆春節期間緊急召回員工搶修，數日後恢復正常，初估損失近3千萬元。</p> <p>刑事警察局接獲報案進行調查，分析被害公司防火牆日誌紀錄，發現設籍基隆市的49歲陳姓資訊工程師涉嫌重大，此人於1月24日利用臺北市松山區商家的Wi-Fi無線網路，盜用該公司員工帳號連線防火牆設備，存取內部網路，然後再使用公司管理層的帳號登入AWS及GCP，刪除雲端伺服器及資料庫內容。由於陳姓嫌犯曾任職LiTV，不排除上述行為是挾怨報復。</p> <p>刑事局專案小組2月20日拘提到案，陳嫌辯稱犯案動機與訂閱LiTV影視服務有關，警方訊問後依涉嫌妨害電腦使用罪嫌解送北檢偵辦，檢察官諭令陳嫌以10萬元交保候傳。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cloud.google.com/blog/products/chrome-enterprise/secure-enterprise-browsing-more-data-protections-visibility-and-insights"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">強化企業版本Chrome安全，Google提供擴充套件評估工具</span></strong></a></p> <p>Google宣布強化企業版Chrome瀏覽器的安全性，將針對3種領域進行改進。首先是對於資料外洩防護（DLP）的部分，該公司結合了3項新功能，第1個是能根據裝置的安全狀態派送DLP政策，再者，則是能禁止使用者存取特定網站（或特定類型的網站），其次，新的防護措施也能防範使用者不慎印出含有機敏資料的文件。</p> <p>第2個Google強化的項目則是擴充套件的管理，他們與CRXcavator和Spin.AI合作，提供瀏覽器擴充套件的風險評估工具。第3個部分則是安全事件分析的功能，該機制會在使用者安裝擴充套件，或是瀏覽器當機的時候通知管理者，讓IT人員確認過程是否出現異常。</p> <p> </p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://securityaffairs.com/145307/cyber-warfare-2/canadian-gas-pipeline-disruptive-attack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大天然氣管線遭到俄羅斯駭客Zarya攻擊</span></span></strong></a></p> <p><a href="https://cybernews.com/security/peugeot-user-data-leak-south-america/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">南非Peugeot分公司外流車主資訊</span></span></strong></a></p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/hiddenads-spread-via-android-gaming-apps-on-google-play/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">山寨Minecraft手機App在系統背景載入廣告牟利</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156594">【4月27日】中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156575">【4月26日】法務部調查局資通安全處失火，疑為電腦設備負載過大造成</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156554">【4月25日】 PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成</a></strong></p> </div></div></div>
2023/4/28 16:58作者周峻佑https://www.ithome.com.tw/news/156623
Windows 11版Phone Link終於支援iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155713" target="_blank">經2月底微軟釋出</a>首次加入iOS版Phone Link的Windows 11更新預覽版後，<a href="https://blogs.windows.com/windowsexperience/2023/04/26/phone-link-for-ios-is-now-rolling-out-to-all-windows-11-customers/" target="_blank">微軟昨（26）日宣布</a>，正式將Windows 11的Phone Link for iOS推向全球85個市場、39種語言的用戶。</p> <p>Phone Link讓Windows PC用戶可以將手機應用程式、檔案或任何內容映射到Windows PC上，方便用戶從PC上操作，包括接聽來電或訊息、或是操作手機App。這項功能概念承襲2015年的Phone Companion，2018年底微軟在Windows 10更新中以Your Phone取而代之，而在2022年3月微軟將之改名為Phone Link。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/2/2023/04/Phone-Link-Start-Up-V2-1.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>到今年初為止，Phone Link只支援Android和Windows PC的同步。上個月微軟才釋出包括Phone Link for iOS的Windows 11更新預覽版。透過正式版的部署，啟用Phone Link for iOS的Windows 11 PC將可操作iPhone。但微軟指出，受到iOS方面的技術限制，目前這項功能僅提供基本的iOS支援，包括接、發電話與訊息，存取聯絡人等。這項功能不支援相片或影片分享、群組訊息，且訊息以會話（session）為基礎，只有在iPhone和PC啟動藍牙連線時才能傳送。</p> <p><a href="https://www.ithome.com.tw/news/153600" target="_blank">由於去年微軟也宣布</a>Windows 11整合iCloud相簿儲存（iCloud Photo Library），因此iPhone用戶可以從Windows 11的Photos App來存取iCloud。</p> <p>要使用Phone Link for iOS，iPhone必須安裝iOS 14以上版本，PC方面則尚不支援Windows 10。目前這項功能也還不支援iPad及Mac電腦。</p> <p>未來幾周內這項功能可部署到所有Windows 11 PC。Windows 11可以利用Windows工作列的搜尋功能搜尋Phone Link，再按照指示安裝設定。</p> </div></div></div>
2023/4/27 11:49作者林妍溱https://www.ithome.com.tw/news/156586
Google Authenticator開始與Google帳號同步，不必再擔心裝置遺失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/04/google-authenticator-now-supports.html" target="_blank">Google本周更新了支援Android與iOS的雙步驟身分驗證程式Google Authenticator</a>，允許使用者將該程式所產生的一次性密碼備份到Google帳號中，以免在手機遭竊或遺失之際，無法再登入基於Google Authenticator的網站或服務。</p> <p>Google是在2010年推出Google Authenticator，可安裝於Android或iOS手機上，當使用者造訪支援Google Authenticator的服務或網站時，這些程式/網站可運算並要求使用者輸入一個6~8位數的一次性密碼，作為尋常密碼之外的第二階段驗證因素，裝置上的Google Authenticator便會運算並顯示該密碼，供使用者輸入以驗證身分。</p> <p>過去這些一次性密碼僅存放於使用者裝置上的Google Authenticator中，因此，一旦裝置遺失或遭竊，使用者便難以再登入相關服務。</p> <p>本周的更新即是讓使用者可將這些一次性密碼存放於Google帳號中，以於所有登入Google帳號的裝置上使用，舉凡是支援Android的Google Authenticator 6.0或是支援iOS的Google Authenticator 4.0都具備此一新功能。使用者只需於Google Authenticator中登入Google帳號，即可自動於Google帳號中備份一次性密碼。</p> </div></div></div>
2023/4/25 15:33作者陳曉莉https://www.ithome.com.tw/news/156549
【資安日報】4月24日，美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客在惡意軟體整合不同領域的功能可說是越來越常見，例如，最近研究人員揭露惡意軟體EvilExtractor，攻擊者不只將它用於竊取受害電腦的資料，也將其用於加密檔案，並向受害者勒索。</p> <p>網路電話系統製造商3CX傳出供應鏈攻擊的情況，日前傳出該公司遭駭的原因，是還有另一個軟體供應鏈攻擊引起，而且，研究人員表示還有其他組織受害。現在有另一家資安業者證實這樣的說法，並指出至少有4個關鍵基礎設施（CI）遭受相關攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/evil-extractor-all-in-one-stealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國與歐洲組織遭到惡意軟體EvilExtractor攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig16-evilextractor-ransomware-note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig16-evilextractor-ransomware-note.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露惡意軟體EvilExtractor的攻擊行動，駭客先是假借帳號確認請求為由寄送釣魚郵件，附件為gzip壓縮檔案，壓縮檔內容含有看起來像PDF文件的檔案，但實際為Python可執行檔案。</p> <p>一旦受害者執行此可執行檔，將會啟動PyInstaller程式並執行惡意程式載入工具，透過Base64編碼的PowerShell指令碼啟動EvilExtractor。此惡意程式首度執行的時候，會先檢查系統的時間與主機名稱，來確認是否在虛擬電腦環境，若為真實電腦系統，該惡意程式才會繼續執行，下載3個額外的模組，用途是從瀏覽器的Cookie收集上網記錄及帳密資料，以及側錄鍵盤輸入的資料、控制視訊鏡頭及截取影像的能力。</p> <p>此外，該惡意程式也具備加密檔案的勒索軟體功能Kodex Ransomware，此功能利用7-Zip將電腦的檔案轉換為受到密碼保護的壓縮檔，並索討價值1千美元的比特幣。</p> <p><a href="https://www.secureworks.com/blog/bumblebee-malware-distributed-via-trojanized-installer-downloads"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織利用Google廣告散布BumbleBee</span></strong></a></p> <p>資安業者Secureworks揭露近期惡意軟體載入器Bumblebee的攻擊行動，駭客透過Google廣告，引誘使用者從釣魚網站下載思科AnyConnect Secure Mobility用戶端軟體，一旦使用者依照指示下載並執行此安裝程式，電腦就會被植入Bumblebee，為了避免讓使用者察覺異狀，該安裝程式亦會部署真正的AnyConnect Secure Mobility軟體。</p> <p>研究人員在其中一起攻擊行動裡，看到攻擊者在成功入侵後的3個小時，開始在受害組織內部網路進行橫向移動，進而部署滲透測試工具Cobalt Strike、遠端桌面連線工具AnyDesk及DameWare、網路掃描工具、AD資料庫轉存工具、Kerberos帳密資料挖掘程式等。</p> <p><a href="https://heimdalsecurity.com/blog/mitid-smishing-nordea-bank/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北歐銀行用戶遭到網釣簡訊鎖定</span></strong></a></p> <p>資安業者Heimdal揭露針對北歐銀行用戶而來的釣魚簡訊（Smishing）攻擊行動，他們在4月20日，看到尚未確定身分的APT駭客組織發動攻擊，駭客發送簡訊，宣稱使用者必須更新手機上的數位身分驗證服務MitID的應用程式，否則有可能影響北歐銀行的App運作。一旦使用者點選簡訊裡的URL進行更新，就有可能上當。</p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fakecalls-android-malware-abusing-legitimate-signing-key/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬Fakecalls濫用合法簽章迴避檢測</span></strong></a></p> <p>資安業者McAfee從去年8月，追蹤名為Fakecalls的安卓惡意程式，其中1個版本濫用了韓國應用程式開發商的簽章，發出此簽章的公司業務遍及IT、電玩、行動支付、廣告等領域。不過，大部分的Fakecalls都是偽裝成銀行應用程式，目的很有可能是要騙走用戶的存款。</p> <p>研究人員分析此惡意程式，發現駭客不只透過加殼來迴避分析，當他們解密後，看到攻擊者又從HTML檔案取得安卓套件（APK檔案）的資訊，讓研究人員難以調查。</p> <p>一旦使用者執行上述惡意程式，此軟體就會要求安裝另一個App的訊息，若依照當中的指示進行之後，能讓惡意程式存取存放於特定資料夾的APK檔案introduction.html，並要求使用者開放9項存取權限，像是麥克風、電話記錄、地理位置、簡訊等。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/xtrader-3cx-supply-chain"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、歐洲關鍵基礎設施也傳出受到網路電話系統供應商3CX供應連攻擊波及</span></strong></a></p> <p>3月底網路電話系統製造商3CX傳出供應鏈攻擊，日前有資安業者發現源頭還有另一個X_Trader軟體供應鏈的事故，並指出在3CX之外還有其他組織也可能受到影響，但究竟有那些受害組織？</p> <p>資安業者賽門鐵克指出，他們至少發現有4個關鍵基礎設施（CI）遭到攻擊，其中有2個是能源領域（美國、歐洲各有1個），另外2個是金融產業的組織。研究人員透露駭客入侵受害組織的手法，先是利用帶有數位簽章的安裝程式散布，然後於受害電腦部署後門程式。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://github.blog/2023-04-19-private-vulnerability-reporting-now-generally-available/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">供資安人員通報GitHub儲存庫漏洞的功能正式上線</span></strong></a></p> <p>去年11月GitHub測試名為Private Vulnerability Reporting的漏洞通報功能，目的是讓資安研究員更容易向維護團隊通報儲存庫的弱點，該公司於4月19日正式開放上述功能，專案管理者可在儲存庫設定的程式碼安全與分析（Code Security and Analysis）項目啟用。</p> <p>此外，GitHub也一併提供了儲存庫資安通告的API，以便資安研究員能將相同的漏洞資訊通報多個儲存庫。自上述功能開放測試，已有逾3千個組織、18萬個儲存庫試用上述功能。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://astrix.security/ghosttoken-exploiting-gcp-application-infrastructure-to-create-invisible-unremovable-trojan-app-on-google-accounts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Cloud平臺存在漏洞GhostToken，恐導致用戶帳號遭到挾持</span></span></strong></a></p> <p><a href="https://www.wiz.io/blog/brokensesame-accidental-write-permissions-to-private-registry-allowed-potential-r"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">阿里雲PostgreSQL資料庫出現2個重大漏洞</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/leveraging-kubernetes-rbac-to-backdoor-clusters"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Kubernetes的API被用於植入後門程式</span></span></strong></a></p> <p><a href="https://krebsonsecurity.com/2023/04/giving-a-face-to-the-malware-proxy-service-faceless/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體代打服務Faceless向網路罪犯出售匿名身分</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cisco-patches-critical-vulnerabilities-in-industrial-network-director-modeling-labs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科修補工控系統的重大漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156513">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156490">【4月20日】 Oracle發布2023年第2季例行更新，修補433個漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a></strong></p> </div></div></div>
2023/4/24 17:19作者周峻佑https://www.ithome.com.tw/news/156542
Reddit API要對開發AI模型獲利的用戶收費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於OpenAI或其他AI業者利用Reddit上的程式碼等資源，<a href="https://www.redditinc.com/blog/2023apiupdates" target="_blank">開源碼程式碼代管平臺Reddit本周宣布</a>更新其服務條款，將開始對特定藉訓練AI模型獲利的用戶收取費用。</p> <p>Reddit宣布更新開發人員工具及服務，包括開發人員平臺、資料API、Reddit Embeds及Ads API的條款，以及推出新的平臺仲裁者工具。</p> <p>Reddit於2016年首次推出Reddit Data API以及其他工具，目的是希望提供開源資源協助開發人員打造應用程式。Data API也允許第三方單位，包括學術研究單位及社群分析（social listening）工具等存取Reddit上的資料。</p> <p>Reddit指出，為確保開發人員有必要的工具可安全使用Reddit、保護用戶安全與隱私，並且遵守各國法規，Reddit對Data API做了些更動。首先，對需要使用更多功能、提高使用量及更廣泛使用權的第三方單位，Reddit提出新的付費方案。另一方面，透過開發平臺進行合理及適當使用（即研究、學術及個人使用等情境）的開發人員，則仍然可免費使用Data API。</p> <p>Reddit強調，18年來，作為最大線上人與人對話的資料平臺，Reddit對社群有保護這些內容的義務。這家平臺在官方文字中並未明說，但<a href="https://www.nytimes.com/2023/04/18/technology/reddit-ai-openai-google.html" target="_blank">《紐約時報》</a>引述Reddit執行長Steve Huffman說，Reddit平臺上的資料很寶貴，但爬取Reddit資料、產出價值卻不回饋給平臺用戶的行為令他們不以為然，現在有必要收緊管制，他們相信這才公平。</p> <p>Reddit並未公布價格方案細節，但Reddit正在準備股票公開發行，營收顯然是未來營運的考量要件。</p> <p>Reddit同時宣布正在陸續打造Reddit仲裁工具，供iOS及Android應用開發專案的管理員使用，包括紀錄（log）、規則管理、內容管理、以及工作流程工具。Reddit說未來幾個月內會陸續上線並公告。</p> <p>除了Reddit，最大社群平臺<a href="https://www.ithome.com.tw/news/155406" target="_blank">推特也在二月間宣布關閉API免費存取</a>，改推月費100美元的服務，理由是解決推特上充斥垃圾訊息機器人的問題。新規定原本令許多機器人營運者哀嚎遍野，所幸推特很快就對輕量唯寫API放寬為免費存取。</p> <p>許多內容平臺或資料庫已經對OpenAI、Midjourney、Stability AI等AI模型廠商使用免費或開源的圖片、程式碼、文字等內容，來訓練其AI產品感到不滿。<a href="https://www.ithome.com.tw/news/155229" target="_blank">圖庫業者Getty Images今年初即對Stability AI提出侵權告訴</a>。</p> </div></div></div>
2023/4/19 12:18作者林妍溱https://www.ithome.com.tw/news/156469
【資安日報】4月18日，駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾遭到圍剿而銷聲匿跡的駭客組織，待風頭一過東山再起的情況再度傳出，而且還是不同組織之間的合作。例如，最近IBM的研究人員發現，前駭客組織Conti及FIN7的成員聯手開發了惡意程式Domino，並用於收集受害電腦的系統資訊，以便進行後續的攻擊行動。</p> <p>針對網頁瀏覽器而來的竊資軟體攻擊，也同樣值得我們留意──資安業者Uptycs揭露俄羅斯駭客流傳的竊資軟體Zaraza Bot，並指出該惡意程式能針對38款瀏覽器的使用者組態檔案進行解密，進而竊取存放的各式帳密資料。</p> <p>除了竊資軟體的攻擊行動，駭客散布惡意程式的手法也變得更加複雜，例如，研究人員發現，有人同時運用惡意PDF檔案及Windows指令碼來散布惡意軟體QBot，若收件者為了要檢視PDF文件內容而未及早察覺有異，即有可能依照指示執行指令碼而中標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securityintelligence.com/posts/ex-conti-fin7-actors-collaborate-new-domino-backdoor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">前Conti成員與FIN7聯手，散布惡意軟體Domino</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz0yMDg4ZGMyMmRhZTMxMWVkODQ2MDQ2OGUzYjllYTQ5ZQ%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz0yMDg4ZGMyMmRhZTMxMWVkODQ2MDQ2OGUzYjllYTQ5ZQ%3D%3D.png" style="width: 300px; float: right;" /></a>IBM旗下的威脅情報團隊X-Force揭露名為Domino的惡意軟體，他們在追蹤利用Dave Loader惡意程式載入器的攻擊行動裡，發現駭客從2023年2月下旬，投放過往沒有記錄的惡意軟體，研究人員將其命名為Domino。</p> <p>該惡意程式由Domino Backdoor、Domino Loader等兩個元件組成，前者會收集受害電腦的系統資訊，將其回傳攻擊者的C2伺服器之後，再將Domino Loader下載至使用者電腦；而Domino Loader則被用於部署竊資軟體Nemesis Project，在部分攻擊行動裡，駭客還會植入Cobalt Strike來維持在受害電腦運作。</p> <p>究竟這場攻擊行動的幕後主使身分為何？根據程式碼的比對，研究人員推測是前勒索軟體駭客組織Conti，以及FIN7成員所為。</p> <p><a href="https://www.uptycs.com/blog/zaraza-bot-credential-password-stealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近40款網頁瀏覽器遭到竊資軟體Zaraza Bot鎖定，目標是當中存放的使用者密碼</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zaraza bot Binary (4) (1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zaraza%20bot%20Binary%20(4)%20(1).png" style="width: 300px; float: right;" /></a>資安業者Uptycs揭露名為Zaraza Bot的竊資軟體，駭客透過俄羅斯駭客的Telegram頻道吸引用戶上門，此竊資軟體以C#打造而成，主要的攻擊目標是網頁瀏覽器，範圍包含了Chrome、Edge、Firefox、Brave、Vivaldi、Opera、Yandex等38款軟體。</p> <p>研究人員指出，該竊資軟體鎖定上述瀏覽器的特定配置檔案下手，並能解開瀏覽器存放帳號密碼預設使用的兩種加密格式，再將這些資訊回傳攻擊者的Telegram頻道，讓駭客掌握受害者儲存於瀏覽器的帳密資料。此外，Zaraza Bot也具備截取螢幕畫面的能力。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-qbot-email-attacks-use-pdf-and-wsf-combo-to-install-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過PDF檔案與Windows指令碼來偷渡攻擊指令，進而植入電腦當中</span></strong></a></p> <p>資安研究團隊Cryptolaemus近日看到惡意軟體QBot新的攻擊行動，駭客先是透過釣魚郵件來挾帶PDF檔案，為了降低收信人戒心，這封信的內容是以回覆其他信件的形式打造。</p> <p>一旦收信人開啟附件的PDF檔案，就會顯示此文件包含受到保護的內容，要求按下開啟按鈕。然而收信人照做，電腦就會下載含有Windows指令碼的ZIP檔案。若是收信人執行這個指令碼，攻擊者就會透過PowerShell指令碼在受害電腦部署QBot。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-start-abusing-action1-rmm-in-ransomware-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠端管理工具Action1遭勒索軟體駭客濫用</span></strong></a></p> <p>研究人員Kostas提出警告，駭客開始在攻擊行動裡濫用名為Action1的遠端管理平臺（RMM），並指出駭客可藉此得知受害組織網路環境裡的電腦詳細資訊，如作業系統版本、硬體配置、安裝的應用程式，以及尚未安裝的更新程式等，進而找到能夠滲透的管道。</p> <p>資安新聞網站Bleeping Computer進一步追查，發現至少有3起勒索軟體攻擊行動裡，駭客利用了Action1來入侵受害組織。針對該遠端管理系統被用於攻擊行動的情況，Action1表示，他們去年開始利用人工智慧系統來檢測異常使用行為，來遏止這類惡意用途。然而，該公司顯然仍有很大進步空間，因為若真能有效攔阻，研究人員應該很難有機會發現這項工具遭濫用。</p> <p><a href="https://cyberwarzone.com/new-captcha-protected-phishing-attack-targets-access-to-payroll-files/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借查看薪資單的名義發動網釣攻擊，目的是挾持使用者的微軟帳號</span></strong></a></p> <p>新聞網站Cyberwarzone揭露新的網路釣魚攻擊手法，駭客鎖定需要透過微軟Teams來查看薪資單的人士下手，他們設置貌似能以微軟帳號登入的釣魚網站，企圖竊取他們的微軟帳號資料。</p> <p>比較特別的是，為了騙取受害者信任，在他們存取這個釣魚網站的時候，駭客還裝模作樣地設置了reCAPTCHA的真人操作驗證機制，企圖阻止資安掃描機制，使其無法將其辨識為釣魚網頁。</p> <p><a href="https://blog.cyble.com/2023/04/13/chameleon-a-new-android-malware-spotted-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Chameleon偽裝銀行、政府機關、加密貨幣App</span></strong></a></p> <p>資安業者Cyble揭露名為Chameleon的安卓惡意軟體，駭客將其偽裝成澳洲政府經營的加密貨幣交易所CoinSpot、波蘭銀行IKO的App，鎖定澳洲及波蘭使用者而來。</p> <p>值得留意的是，駭客為了回避研究人員的分析，此惡意程式會先檢查目標裝置是否被奪走root最高權限、除錯模式是否啟用，若無上述功能開啟的情況，此惡意軟體才會向請求受害者開放Android輔助功能的權限，進而停用Google PlayProtect、防止使用者移除，並藉此擴張可運用的權限。</p> <p><a href="https://www.securityweek.com/payments-giant-ncr-hit-by-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">POS設備供應商NCR傳出遭到勒索軟體BlackCat攻擊</span></strong></a></p> <p>生產自動櫃員機（ATM）聞名的製造商NCR於4月12日，傳出旗下資料中心發生異常的情況，並於15日表示是勒索軟體攻擊所致，部分使用雲端PoS系統Aloha服務的飯店用戶受到影響，該公司進一步調查發現，另一款針對零售業提供的PoS系統Counterpoint也可能受到波及。不過，他們強調沒有客戶的系統或是網路受到影響。</p> <p>而對於攻擊者的身分，研究人員Dominic Alvieri於4月14日發現，勒索軟體BlackCat（Alphv）聲稱成功入侵NCR，並表示取得該公司用戶環境的帳密資料，但很快就移除網站上的相關資訊。資安新聞網站SecurityWeek推測，很有可能雙方已經展開交涉。</p> <p><a href="https://cybernews.com/security/volvo-retailer-leaks-sensitive-files/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Volvo巴西經銷商傳出資料外洩，曝露應用程式框架金鑰，恐導致用戶帳號遭挾持</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員發現，汽車製造商Volvo的巴西經銷商Dimas Volvo在網站上曝露敏感資料，其中研究人員認為影響最嚴重的部分，是PHP網頁應用程式框架Laravel的金鑰，因為該金鑰可被用於解開加密的使用者Cookie，進而得知該經銷商用戶的帳密資料及連線階段（Session）ID，並挾持他們的帳號。</p> <p>此外，該網站也曝露此經銷商的MySQL與Redis資料庫的主機IP位址、連接埠、帳號及密碼，而有可能讓更多人取得該公司的使用者資料。研究人員通報Dimas Volvo與Volvo總部，上述情況已獲得處理。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyberwarzone.com/german-arms-manufacturer-rheinmetall-targeted-in-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國戰車武器配件製造商Rheinmetall遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.theguardian.com/us-news/2023/apr/13/pentagon-leaked-documents-suspect-arrested"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國五角大廈傳出洩密案，疑為21歲網紅所為</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/russia-accuses-nato-of-launching-5-000-cyberattacks-since-2022/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2022年俄羅斯聲稱遭美國及北約國家網路攻擊達5千起</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156450"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Windows更新出現臭蟲，恐影響密碼管理工具運作</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156443">【4月17日】 ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156417">【4月14日】駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156406">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</a></strong></p> </div></div></div>
2023/4/18 18:09作者周峻佑https://www.ithome.com.tw/news/156455
【資安日報】4月17日，ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時下熱門的大型語言機器學習模型ChatGPT，很多駭客正在研究如何用來發動攻擊，因此對於如何取得使用的管道也變得相當熱衷，甚至衍生出在網路犯罪圈的相關買賣。資安業者Check Point發現，從上個月開始駭客在地下論壇頻繁買賣ChatGPT的付費帳號，或是提供暴力破解帳號的工具，但駭客偏好取得付費帳號的主要原因，就是想要迴避免費帳號的諸多限制。</p> <p>應用系統曝露開發環境組態（ENV）檔案的情況，有可能導致組織內部環境的狀態遭到掌控！例如，資安新聞網站Cybernews發現，西門子元宇宙系統Siemens Metaverse的ENV檔案可讓攻擊者存取辦公室管理系統，進而得知辦公室配置、員工行程的資料。</p> <p>Google對4月上旬發布的Chrome 112發布更新版本的情況也值得留意，因為，這次新版本涉及的零時差漏洞，已被用於攻擊行動，甚至有研究人員呼籲用戶不要等待自動派送更新，應手動執行升級。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.checkpoint.com/security/new-chatgpt4-0-concerns-a-market-for-stolen-premium-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大量ChatGPT付費服務的帳密資料流入暗網</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chatgpt4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chatgpt4.png" style="width: 300px; float: right;" /></a>資安業者Check Point提出警告，自2023年3月開始，他們看到網路犯罪圈在交易竊得的ChatGPT帳號有所增加，其中又以付費帳號為主要標的。</p> <p>駭客除了在地下論壇兜售此類帳號，還有可能提供帳號暴力破解工具，或是透過遭竊的金融卡開設付費帳號的服務（ChatGPT Accounts as a Service）。根據駭客為了吸引顧客上門而提供的免費帳號資料，研究人員推測駭客暴力破解的工具很可能是網頁測試軟體SilverBullet，駭客藉此對ChatGPT帳號每分鐘比對50至200組帳密。</p> <p>為何這些帳號的地下貿易大幅增加？研究人員認為，與ChatGPT付費帳號能提供較穩定的頻寬、更多查詢次數、其API能繞過種種限制（如OpenAI封鎖免費用戶中國、俄羅斯、伊朗的連線）有關。</p> <p><a href="https://cybernews.com/security/siemens-metaverse-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子元宇宙系統環境設置檔暴露在公開網路，虛實環境配置恐全部曝光，引發數位雙生資安危機</span></strong></a></p> <p>根據資安新聞網站Cybernews的報導，西門子與Nvidia聯手建置的工業用元宇宙系統Siemens Metaverse，存在資訊洩露的漏洞，研究人員在3月1日在metaverse.siemens.com網域發現開發環境的檔案（ENV），其中他們認為影響程度最嚴重的部分，是辦公室管理系統ComfyApp的帳密與網站IP位址，一旦遭到洩露，很有可能讓攻擊者掌握該公司的樓層規畫、物聯網裝置（IoT）的資訊、員工行事曆等內部資料，但究竟衝擊的範圍有多大，仍待進一步釐清。</p> <p>此外，上述的ENV檔案也曝露4組WordPress使用者帳號，以及3個後端的身分驗證網站的URL。對此，西門子表示獲報後已經處理完成，並認為上述弱點帶來的影響有限。</p> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/read-the-manual-locker-a-private-raas-provider.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體RTM Locker嚴格規範用戶不能攻擊特定目標，以免引發防禦者的注意</span></strong></a></p> <p>資安業者Trellix揭露名為Read The Manual（RTM）Locker的勒索軟體攻擊行動，駭客以訂閱服務（RaaS）提供攻擊者相關工具，並嚴格要求對方必須遵守該組織設下的規範，以免引起各界關注而被曝光。這些規則包含禁止對特定類型的機構下手，如：與COVID-19疫苗相關的企業、醫院、太平間、關鍵基礎設施（CI）、法律機構等，此外，該組織也禁止旗下攻擊者對獨立國協（CIS）國家下手。</p> <p>研究人員指出，該組織對旗下打手的要求極為嚴格，程度遠超過大部分提供RaaS的組織，甚至還要求這些攻擊者若是10天之內不打算活動，須事先報備。</p> <p><a href="https://unit42.paloaltonetworks.com/vice-society-ransomware-powershell/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Vice Society在攻擊行動裡利用新的PowerShell資料竊取工具</span></strong></a></p> <p>資安業者Palo Alto Networks揭露勒索軟體Vice Society近期的攻擊行動，駭客開始利用新的PowerShell指令碼w1.ps1，目的是在儘可能不觸動資安系統的情況下，透過寄生攻擊（LOL）的方式，自動從受害組織偷偷竊取內部資料，而且，在勒索軟體執行檔案加密之前，能做到讓目標組織不易注意到異狀的程度。</p> <p>此指令碼由4種功能函數組成，用來辨識可能存在機密的磁碟、辨識資料，並建立竊取工作，然後發出HTTP POST請求，將盜取的資料傳送到駭客的伺服器。研究人員指出，執行該指令碼無需下達任何參數，原因是此指令碼會自動排除特定的系統檔案、應用程式檔案和備份資料。</p> <p>比較特別的是，為了避免竊密過程被發現，駭客為此指令碼設置了同時進行的工作數量上限，目的是防止占用過多系統資源讓使用者察覺有異。</p> <p><a href="https://www.engadget.com/security-researchers-find-lockbit-ransomware-can-target-macos-devices-164446912.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit攻擊範圍目前已涵蓋Mac電腦</span></strong></a></p> <p>資安研究團隊MalwareHunterTeam指出，LockBit近日製作該組織的第1個macOS版勒索軟體程式，研究人員在惡意程式檢測網站VirusTotal上，發現含有支援多種架構的勒索軟體LockBit程式，其中包含了針對Apple Silicon、Intel、PowerPC處理器而來的macOS版本。研究人員認為，上述的惡意程式很有可能2022年11月出現。</p> <p>資安新聞網站Bleeping Computer取得勒索軟體檔案進行分析，結果發現當中含有Windows版的白名單，很有可能還在測試階段，這樣的推測得到研究人員Patrick Wardle的證實。</p> <p><a href="https://www.bleepingcomputer.com/news/security/darktrace-investigation-found-no-evidence-of-lockbit-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱入侵資安業者Darktrace，遭到該公司否認</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體LockBit聲稱攻陷資安業者Darktrace並取得機密資料，開出展延公布資料期限、摧毀資料、下載資料的價碼。對此，<a href="https://darktrace.com/statement-darktrace">Darktrace先後於4月13日、14日發出聲明</a>，表示經過檢查後沒有遭到入侵的跡象，與該公司內部系統也並未受害。</p> <p>恰巧與Darktrace有1字之差的另一家威脅情報業者DarkTracer表示，這些駭客疏於管理，導致他們用來公布受害者的網站竟被寫入假的受害組織資料。而這種誤稱攻陷資安業者的烏龍或刻意栽贓的情況並非首例──2022年6月，LockBit將Mandiant列為受害組織，但該資安業者表示沒有遭到入侵的跡象。</p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/goldoson-privacy-invasive-and-clicker-android-adware-found-in-popular-apps-in-south-korea/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google Play、One Store市集上逾60款合法程式遭Andorid惡意程式Goldoson滲透</span></strong></a></p> <p>資安業者McAfee揭露名為Goldoson的安卓惡意程式，駭客主要的攻擊目標為南韓，他們以此惡意程式滲透了60款上架於Google Play市集，以及當地熱門應用程式市集One Store的App，總共被下載超過1億次。</p> <p>一旦使用者安裝這些遭到入侵的App，Goldoson的程式庫就會向攻擊者的伺服器註冊，進而取得受害裝置上的各項資訊，如：已安裝的App名單、地理位置記錄、附近的Wi-Fi無線網路、藍牙元件的MAC位址等，研究人員認為，這些資料有機會讓攻擊者拼湊出使用者的身分。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_14.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對Chrome 112修補零時差漏洞</span></strong></a></p> <p>4月14日Google針對電腦版Chrome發布112.0.5615.121，當中修補已經出現攻擊行動的零時差漏洞CVE-2023-2033，此為JavaScript引擎V8的類型混淆（Type Confusion）漏洞，除此之外該公司並未透露更多細節。而該漏洞是2023年Google第1個修補的零時差漏洞。</p> <p><a href="https://www.securityweek.com/juniper-networks-patches-critical-third-party-component-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Juniper修補Junos OS第三方元件的重大漏洞</span></strong></a></p> <p>4月12日資安業者Juniper Networks發布逾20則資安通告，修補該公司旗下網路設備作業系統Junos OS的多項漏洞。其中最值得留意的針對該作業系統採用的第三方XML程式庫Expat（libexpat）修補，該公司一共修補了15個漏洞，但當中有7個是CVSS風險評分為9.8的重大漏洞，且影響採用19.1至22.2版Junos OS的網路設備。雖然這些漏洞部分已揭露長達2年，但所幸目前沒有出現攻擊行動的跡象。</p> <p><a href="https://www.theregister.com/2023/04/14/linux_kernel_spectre_flaw_fixed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Linux核心6.2版的Spectre v2漏洞</span></strong></a></p> <p><a href="https://github.com/google/security-research/security/advisories/GHSA-mj4w-6495-6crx">4月13日Google產品安全回應團隊的研究人員指出</a>，他們去年12月31日通報的Spectre漏洞（目前尚無CVE編號），存在於Linux核心6.2，可被用於觸發推測執行（Speculative Execution），此為中等風險等級漏洞，Linux基金會獲報後於2月27日發布修補程式。</p> <p>研究人員指出，這項漏洞當時之所以被發現，是因為用來防禦Spectre v2漏洞的某支Linux使用者空間（userspace）層級處理程序，無法正常在雲端服務業者的虛擬機器執行。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ncr-suffers-aloha-pos-outage-after-blackcat-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">POS設備供應商NCR傳出遭到勒索軟體BlackCat攻擊，用戶被迫改用紙本作業</span></span></strong></a></p> <p><a href="https://yoroi.company/research/cve-advisory-full-disclosure-cisco-ise-broken-access-control/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員思科網路管理系統ISE漏洞細節</span></span></strong></a></p> <p><a href="https://blog.whatsapp.com/new-security-features-account-protect-device-verification-automatic-security-codes"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範帳號挾持攻擊，WhatsApp將新增帳號驗證功能</span></span></strong></a></p> <p><a href="https://www.cybersecuritydive.com/news/cisa-secure-by-design-software-security/647472/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA推動軟體開發安全，將公布從設計落實安全的原則</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-android-bug-exploited-by-chinese-app-to-spy-on-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國購物App拼多多傳出用於監控用戶的安卓漏洞，美國要求聯邦機構限期修補</span></span></strong></a></p> <p><a href="https://www.businesswire.com/news/home/20230406005089/en/Groundbreaking-Research-from-Marsh-McLennan-Reveals-Direct-Link-between-Key-Cybersecurity-Controls-and-Reduced-Cyber-Risk"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全面採用雙因素驗證、快速套用修補程式是防範網路攻擊的有效手段</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156417">【4月14日】駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156406">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156382">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</a></strong></p> </div></div></div>
2023/4/17 18:41作者周峻佑https://www.ithome.com.tw/news/156443
【資安週報】2023年4月6日到4月14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在清明連假後的一周半中，共有10個已知漏洞遭利用的情形，包含蘋果緊急修補的CVE-2023-28205、CVE-2023-28206漏洞，以及微軟4月安全性更新所修補的CVE-2023-28252漏洞，發現遭攻擊者利用部署Nokoyawa勒索軟體，以及Veritas備份軟體2021年的3個已知漏洞去年底BlackCat勒索軟體利用，近期被資安業者揭露。</p> <p>另有4個漏洞本期尚未報導，但亦確認遭攻擊者成功利用情形，值得注意，包含兩個今年的已知漏洞：Novi Survey的漏洞（CVE-2023-29492 ）、Android的漏洞（CVE-2023-20963），以及兩個早年的已知漏洞：微軟的漏洞（CVE-2019-1388）、Arm的漏洞（CVE-2019-1388）。在其他漏洞修補消息方面，包括威聯通、HP、SAP、西門子、施耐德、Adobe也發布安全更新，還有JavaScript沙箱程式庫VM2的漏洞值得留意</p> <p>關於威脅態勢的揭露方面，最受關注的是，勒索軟體Rorschach濫用Palo Alto Networks的XDR系統元件載入與執行的情形，以及駭客濫用Telegram的情況是越來越嚴重，其他可留意的是後門程式Balada Injector、竊資軟體Creal、Mirai變種RapperBot的動向，以及竊資軟體Typhon加入大量混淆反分析的揭露。</p> <p>另外要特別一提的是，假ChatGPT、Google Bard名義的威脅也增加，同時，如同與員工擅自將公司資料上傳到個人雲端儲存空間存放情形類似，近期不少企業正關注員工是否可能將公司機密資訊，擅自輸入ChatGPT的問題。</p> <p>至於國內焦點方面，包括假冒財經名人、主播名義的詐騙呈現持續橫行情形，甚至台積電創辦人的夫人張淑芬也遭冒名使這類問題更受關注，因此，Meta與Google等平臺業者的自動審核廣告機制，顯然已被網路犯罪者找到容易突破的方式，業者再不設法解決，等於讓廣告成網路攻擊與詐騙發動溫床；Google Cloud近期揭露去年第四季報告中，提及中國駭客組織APT41當時鎖定目標是臺灣媒體。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156264"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</span></strong></a></h3> <p>本日的資安新聞有不少與已知漏洞的攻擊行動有關，例如，之前出現的網路電話系統開發商3CX供應鏈攻擊事故，駭客於Windows版用戶端軟體利用了10年前的軟體簽章漏洞CVE-2013-3900，原因是微軟將相關更新程式列為選用，而有可能因為使用者的電腦沒有修補這項漏洞，讓駭客能夠得逞。</p> <p>這種已知漏洞尚未修補，而能讓駭客隨意利用的情況究竟有多嚴重？有資安業者根據美國網路安全暨基礎設施安全局（CISA）列管的896個已被利用漏洞名單（KEV）著手調查，結果發現有1,500萬個應用系統曝露KEV列管的部分漏洞，值得留意的是，研究人員列出的10大漏洞裡，有一半以上存在5年以上。</p> <p>上述的KEV名冊裡有不少是高風險漏洞，使得研究人員不斷呼籲要儘速修補，但低風險的漏洞也同樣值得留意。有資安業者針對威聯通NAS設備的零時差漏洞提出警告，並指出這些漏洞的CVSS風險評分雖然僅有2.7分，但在駭客時常針對該廠牌NAS下手的情況下仍應儘速修補。</p> <h3><a href="https://www.ithome.com.tw/news/156300"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月7日】英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者</span></strong></a></h3> <p>又是將開發環境組態公開於網站上引發的資料外洩事故！而且，這樣的情況還是發生在專門提供數位ID驗證服務的資安業者。研究人員指出，這起事故不只洩露該公司內部的資料，還牽連英國、澳洲多家大型金融機構。</p> <p>使用者想要尋找VPN服務要留意！最近有人假借提供這類服務的名義散布竊資軟體OpcJacker，然後進一步於受害電腦部署木馬程式、遠端桌面連線程式，以便進行第2階段攻擊。</p> <p>除了我們必須對駭客散布惡意程式的手法提高警覺，駭客企圖引誘新血投入的情況也值得留意。有資安業者發現駭客利用加密通訊軟體Telegram散布網釣工具包的情況越來越常見，但這麼做的目的，主要是吸引缺乏相關技能的新手投入網路犯罪。</p> <h3><a href="https://www.ithome.com.tw/news/156319"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月10日】特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限</span></strong></a></h3> <p>近期特斯拉傳出幾起資安事故，格外引人注目。首先是該公司的客戶關係管理系統Tesla Retail Tool漏洞，引起研究人員關注，因為受到影響的不只是該公司本身，還包含合作的供應商、客戶。</p> <p>另一則與這家汽車製造商有關的新聞，則是前員工指控公司產品存在隱私保護爭議。據傳該廠牌汽車攝影機錄下的影片，員工竟拿來分享、取笑，內容包含交通事故與車主居家環境，極度無視車主的隱私，而老闆均為Elon Musk的特斯拉與網路社交媒體推特，均不願對此回應。</p> <p>除了與電動車大廠特斯拉有關的事故，蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補的零時差漏洞也值得留意，這些漏洞已出現攻擊行動，使用者應儘速安裝更新程式。</p> <h3><a href="https://www.ithome.com.tw/news/156354"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月11日】惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作</span></strong></a></h3> <p>惡意NPM套件的攻擊行動不時傳出，但之前大部分的目的是向開發人員散布惡意程式，如今駭客採用新的手法，他們透過自動化的方式，上傳內含惡意連結的大量套件，將開發人員導向惡意網站，再進行第二階段攻擊。研究人員指出，駭客大量上傳套件的情況，使得短短一個月NPM代管的套件就爆增近8成，進而影響此套件庫的運作。</p> <p>在NPM套件的攻擊行動之外，企業對於現行使用者的身分管理，也值得留意，很多企業對於離職員工的帳號清除並未落實。最近有調查發現，竟有接近半數的離職員工能夠存取公司內部環境，或是所訂閱的服務，甚至能猜到老闆所使用帳密資料。這樣的情況也突顯出，公司對於離職員工的帳號註銷、管理，亟需加強。</p> <p>繼上週末蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補兩個零時差漏洞，10日蘋果公司對於執行舊版作業系統的行動裝置與電腦，也發布相關更新，用戶應儘速套用修補軟體。</p> <h3><a href="https://www.ithome.com.tw/news/156382"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</span></strong></a></h3> <p>11日多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者，其中最值得留意是微軟發出的公告，因為當中修補的零時差漏洞CVE-2023-28252，已有資安業者發現在2月被用於勒索軟體攻擊。</p> <p>除了IT與OT大廠此刻齊發每個月例行修補，前一段時間經歷曝露用戶對話標題及帳號被盜等資安事故的ChatGPT，主導其發展的人工智慧實驗室OpenAI本週宣布推出漏洞懸賞專案，鼓勵研究人員對該實驗室的API及ChatGPT幫其抓漏。</p> <p><a href="https://www.ithome.com.tw/news/156291">三星半導體部門傳出因開放使用ChatGPT造成資料外洩</a>的情況並非個案！有資料安全新創公司發現，平均每100位員工就有超過3位將企業機敏資料上傳ChatGPT，且這種資料外洩的情況有越來越嚴重的趨勢。</p> <h3><a href="https://www.ithome.com.tw/news/156406"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</span></strong></a></h3> <p>攻擊者利用合法網站做為攻擊媒介，並針對使用者散布惡意程式的情況，不時有事故傳出，但近期出現了新的攻擊手法。日本資安業者NTT Security Holdings揭露自去年底出現的攻擊行動，駭客製造了假的Chrome錯誤訊息，讓使用者不知不覺依照指示而中招。</p> <p>除了針對電腦上網使用者而來的攻擊行動，鎖定安卓行動裝置的惡意軟體氾濫的情況也值得留意。最近資安業者卡巴斯基揭露了地下供應鏈，指出駭客可直接從暗網購得所需的各式服務來犯案──包括讓惡意程式上架Google Play市集。</p> <p>在惡意軟體攻擊之餘，網路詐騙的事故也引起政府重視。美國聯邦調查局（FBI）針對當地華人提出警告，近日駭客聲稱是中國公安或是領事館人員行騙，呼籲他們遇到來路不明的電話要提高警覺，切勿透露自己的個資。</p> <h3><a href="https://www.ithome.com.tw/news/156417"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月14日】駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，散布竊資軟體</span></strong></a></h3> <p>採用大型語言模型（LLM）的人工智慧機器人是當今大熱門，駭客假借這類程式的名義也不時傳出，其中最常被利用的就是ChatGPT。但在最近一起散布竊資軟體RedLine的資安事故裡，駭客不只冒用ChatGPT，還有Google Bard的名義來發動攻擊。</p> <p>雲端組態不設防的現象頻傳，其中又以採用弱密碼、甚至是沒有密碼保護的情況相當常見，而這樣的態勢也成為駭客發動攻擊的重要管道──雲端服務業者Google Cloud指出，他們分析用戶遭遇的攻擊行動裡，有近半數是鎖定弱密碼的環節而來。</p> <p>視訊監控系統的儲存系統一旦曝露漏洞，很有可能導致錄下的影像外流。例如，海康威視（Hikvision）修補了SAN混合儲存設備與叢集儲存產品漏洞CVE-2023-28808，並表示若不修補駭客能用來取得管理員權限，對該系統為所欲為。</p> </div></div></div>
2023/4/14 18:23作者羅正漢https://www.ithome.com.tw/news/156420
Google Play上逾60款合法程式遭Android惡意程式Goldoson滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/goldoson-privacy-invasive-and-clicker-android-adware-found-in-popular-apps-in-south-korea/" target="_blank">資安業者McAfee近日發現</a>一鎖定南韓市場的Android惡意程式Goldoson，它滲透到Google Play、ONE Store與其它Android市集上的逾60款合法程式，竊取使用者的裝置資訊，且具備廣告詐騙的能力，受到波及的程式光是在這兩個市集的安裝數量便分別達到1億與800萬次。</p> <p>分析顯示，Goldoson函式庫會在程式執行時註冊裝置並取得遠端配置，可定期檢查及取得裝置資訊，再將它們傳送至遠端伺服器，此外，它還能在用戶不知情的狀況下載入網頁。</p> <p>Goldoson所能取得的資訊包括裝置上所安裝的所有程式、裝置的位置歷史紀錄，以及附近Wi-Fi與藍牙的MAC位址等。McAfee認為，結合所有的資料或許可以辨識出使用者的身分。</p> <p>McAfee提醒，或許有些開發者並不了解Goldoson的詳細行為，在採用第三方函式庫時，應更加謹慎以保護使用者的資訊。Google則已通知這些違反平臺政策的程式開發者，有的程式已更新，有的則直接被移除。</p> </div></div></div>
2023/4/17 09:21作者陳曉莉https://www.ithome.com.tw/news/156427
Google更新Chrome底層HTML解析與指標壓縮機制，改善網頁執行效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2023/04/more-ways-were-making-chrome-faster.html" target="_blank">Google對Chrome瀏覽器底層進行一系列更新</a>，透過最佳化頻繁使用的功能，提升網頁執行的速度，近期的重要效能更新包含改善HTML解析，並且使Chrome的V8引擎和DOM物件垃圾回收工具Oilpan的指標壓縮和分配更有效率。另外，Google也針對高階Android裝置，推出效能最佳化Chrome版本。</p> <p>Chrome開發團隊針對頻繁使用的JavaScript函式，Object.prototype.toString與Array.prototype.join進行最佳化，並且對CSS的InterpolableColor進行針對性改進，以提升網頁應用程式執行速度。同時開發團隊還對JavaScript中，更新DOM的方法innerHTML進行調整，添加了專用的快速解析路徑，官方提到，他們的這項改進也被WebKit採用，添加到新版本中。</p> <p>V8和Oilpan現在則採用更高效率的指標壓縮技術，可進一步節省記憶體使用，在Apple的Speedometer 2.1瀏覽器基準測試中，該方法帶來了10％的效能提升。簡單來說，開發人員對壓縮和解壓縮的方法進行最佳化，同時避免壓縮高流量欄位，由於這些操作的執行頻率很高，因此即便單次操作僅有小幅度的效能提升，也能對整體效能產生廣泛的影響。</p> <p>開發團隊同時還將經常存取的物件，諸如JavaScript的undefined等，移動到記憶體起始位置的開頭，方便機器碼能更快地取用。</p> <p>Google也針對高階裝置釋出專屬的Chrome版本，以提升執行效能，開發團隊解釋，因為Android裝置的等級差異很大，過去他們會對Android裝置最佳化Chrome的占用空間，但是這卻限制了Chrome在高階裝置上的效能，而現在釋出的新版本，主要針對執行速度，而非對二進位檔案大小的最佳化。</p> <p>在效能更強大的裝置，Chrome高效能版本在Speedometer 2.1基準測試速度，可提升達30％。</p> </div></div></div>
2023/4/14 23:28作者李建興https://www.ithome.com.tw/news/156421
AV1躋身網路視訊編碼主流標準
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank">iThome周刊1125期的封面故事主角是線上影音服務串流業者Netflix</a>，1997年成立的他們，從DVD網路租借業務起家，2013年因播映自製影集《紙牌屋》而揚名全球，其運用的觀眾大數據分析，決定他們製播出這齣戲劇的主題，更成為當時IT應用創新的最佳典範，而我們現在要談談他們行銷全球熱門影集的AI技術。</p> <p>多媒體線上視訊應用這塊市場到底有多熱呢？除了業務模式與軟體發展，在硬體方面，這半年多來，我們陸續見證三大運算平臺廠商，都想分食這塊大餅，因此陸續推出新一代資料中心GPU、多媒體工作負載加速卡，而它們配備的各種規格與支援的最新標準，也指向整個網路多媒體應用的最新趨勢，其中，是否支援AV1這套多媒體編碼的標準，是許多人都很關注的議題。</p> <p>事實上，線上視訊、多媒體的應用，早已與現代人的工作與生活密不可分，在2003年爆發SARS疫情時，臺灣就已感受到網路視訊會議的必要性，而在20年後的此刻，歷經三年的COVID-19疫情，全世界人類幾乎都體驗到遠距的辦公、學習、娛樂等多種應用。</p> <p>以視訊會議與多媒體串流服務而言，過去陸續出現多種標準來支援當時的應用需求，像是H.263、H.323、MPEG-4、H.264（MPEG-4 AVC）、H.265（HVC）、VP8、VP9，而最近這幾年我們注意到AV1這項編碼標準，越來越多業者開始採納與主推。</p> <p>AV1全名是AOMedia Video 1，是由開放媒體聯盟（AOMedia）發展的視訊編碼格式，於2019年1月正式公布1.0版規格，陸續有多家業者支援這項規格。</p> <p>以線上串流服務、社交網站來看，YouTube在2018年設立專用的播放清單AV1 Beta Launch Playlist，供大家測試與評估AV1解碼的效能，3月底傳言YouTube終於即將要推出AV1直播串流支援。Vimeo則是在2019年6月宣布支援AV1，當時先在站方精選頻道Vimeo Staff Picks，提供採用AV1編碼的影片。Netflix是在2020年2月，在他們的Android行動App開放支援AV1，到了2021年11月，針對特定智慧電視設備進行的網路串流播放服務，開始使用AV1編碼格式。</p> <p>2021年改名為Meta的Facebook於2018年4月表示，他們的影片播放支援AV1編碼，到了今年2月，該公司宣布，連續短片Facebook Reels和Instagram Reels也都開始支援AV1。</p> <p>近年來走紅的社交多媒體網路視訊平臺Discord，也在今年2月底宣布支援AV1編碼，若使用者是他們的Nitro服務訂戶，可上傳與播放採用AV1編碼的影片。</p> <p>而在雲端視訊會議服務方面，思科在2020年底宣布，2021年初期Webex會將AV1視訊編碼用於正式場合，他們表示將一步步進行，採用系統化的方式擴展AV1的部署，例如，先在其他桌面分享模式支援AV1的使用，可針對文字與圖片進行最佳化，或自動執行最佳化調校，若參與視訊會議的使用者設備無法支援AV1編碼處理，會自動退回到H.264編碼；經過一段時間的適應之後，思科會移除限制，開放與會者能指定隨選AV1或H.264編碼的轉換，也允許系統直接錄製使用AV1編碼的會議內容，而無須回到H.264編碼才能錄製。</p> <p>目前作業系統支援AV1的狀況如何？微軟在2018年11月推出AV1 Video Extension的App，Windows 10用戶可到Microsoft Store的應用程式市集自行下載；而在Linux環境當中，在VA-API、VDPAU、NVDEC、NVENC等驅動程式中，若是所用的個人電腦，搭配近期推出的部分CPU（Intel Tiger Lake）、GPU（AMD Radeon RX 6000、Nvidia GeForce RTX 30），均能得到一些支援。</p> <p>而在應用軟體的AV1支援，以瀏覽器而言，Firefox在2022年3月增設AV1硬體解碼器支援，Chrome在2018年8月支援AV1解碼，2021年支援AV1編碼，Edge因2018年下半微軟提供AV1 Video Extension而跟著支援AV1。</p> <p>影音播放、編輯、轉碼軟體的部分，受到廣泛使用的開放原始碼VLC media player，從2018年2月釋出的3.0.0版，開始實驗性支援AV1解碼器；K-Lite Codec Pack在2018年9月發布的14.4.5版，支援AV1解碼；FFmpeg在2018年4月推出的4.0版，開始支援AV1；OBS Studio在2022年11月發布的28.1版，支援NVENC AV1硬體編碼器。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%A6%96%E8%A8%8A%E6%9C%83%E8%AD%B0">視訊會議</a></div><div class="field-item odd"><a href="/tags/%E5%A4%9A%E5%AA%92%E9%AB%94%E4%B8%B2%E6%B5%81">多媒體串流</a></div><div class="field-item even"><a href="/tags/av1">AV1</a></div><div class="field-item odd"><a href="/tags/%E8%A6%96%E8%A8%8A%E7%B7%A8%E7%A2%BC%E6%A8%99%E6%BA%96">視訊編碼標準</a></div><div class="field-item even"><a href="/tags/netflix">Netflix</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%99%A8%E5%AD%B8%E7%BF%92">機器學習</a></div><div class="field-item odd"><a href="/tags/%E5%85%A7%E5%AE%B9%E6%8E%A8%E8%96%A6">內容推薦</a></div></div></div>
2023/4/14 12:00作者李宗翰https://www.ithome.com.tw/voice/156396
Android 14改善使用者介面以及個人化功能開始公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現在釋出<a href="https://android-developers.googleblog.com/2023/04/android-14-beta-1.html">Android 14第一個公開測試版本</a>，該版本除了持續改進使用者介面、隱私安全等功能之外，同時也改善平板電腦、可折疊裝置等大螢幕裝置的使用體驗。Android 14的大螢幕使用體驗，奠基在Android 12L和13版本之上，Google也針對大螢幕裝置發布應用程式指南，供開發者遵循，官方最近還發布了低延遲手寫筆和運動預測函式庫，可供應用程式開發使用。</p> <p><a href="https://android-developers.googleblog.com/2023/02/first-developer-preview-android14.html">Google希望</a>改進Android的資源消耗，但同時又想要允許用戶以Wi-Fi，在後臺下載大型檔案，因此將更改Android 14前臺服務和JobScheduler等現有Android API行為，使前臺工作的用例更明確，並要求開發者清楚定義後臺工作的意圖。Google會在之後推出新政策，避免API被濫用。</p> <p>過去Pixel裝置上最大字體比例僅能為130％，而在Android 14中，用戶將可以把字體放大至200％，系統將會自動應用非線性字體縮放曲線，確保原本已經夠大的文字，不會和原本較小的文字，以相同比例放大。</p> <p>系統使用者介面在Android 14測試版中將有所更新，使用者會先注意到的是，在操作應用程式時，螢幕畫面左側將會出現往前回的箭頭，指引用戶能夠以後退手勢跳回上一頁。Android 14的系統分享表單，讓應用程式可自定義操作，開發者可以創建分享表單的動作列表，並且提供應用程式訊號，供Android判斷分享目標的排名。</p> <p>Android 14提供更加強大的Path API，Path API可用於創建和渲染向量圖形，使開發者能夠在應用程式中畫出圓形、橢圓形、矩形、多邊形等，並且使用直線、曲線和弧線連接這些形狀。因此Path API能夠用來繪製按鈕、背景和圖標等物件，增加應用程式的視覺效果。</p> <p>而從Android 14開始，開發者可以查詢路徑，並且獲取內部內容，同時還在結構完全相符的路徑之間，進行內插實作變形特效。由於AndroidX向後相容，因此可支援到Android 5.0。</p> <p>Android 14改進應用程式語言偏好配置，每個應用程式的語言偏好設定都將更靈活，開發者可以動態自定義系統設定中每個應用程式語言列表，而且輸入法也有辦法取得，當前應用程式使用者介面的語言，並且做出相對應的行為。</p> <p>目前Google僅先開發給Pixel裝置更新至Android 14測試版本，沒有Pixel裝置的用者，也可以使用64位元系統映像檔，在Android Studio以模擬器Android Emulator先行體驗。</p> </div></div></div>
2023/4/14 08:29作者李建興https://www.ithome.com.tw/news/156408
Google Meet將不再支援第三方Assistant智慧螢幕產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/assistant/answer/9071980" target="_blank">Google本周宣布其視訊通話軟體</a>，將不再支援其他廠商推出的智慧螢幕（Smart Display）產品。媒體認為，這可能預告Google Assistant進一步縮減開發的策略。</p> <p><a href="https://9to5google.com/2023/04/07/google-assistant-smart-displays-updates/" target="_blank">9to5 Google首先發現</a>，Google Assistant支援網頁公告，Google Duo視訊軟體（現在整併於Google Meet中）將不再對第三方智慧螢幕提供軟體更新，包括Lenovo Smart Display、JBL Link View及LG Xboom AI ThinQ WK9 Smart Display等，可能影響視訊通話和會議的品質。未來Duo只會支援Google Next Hub、Nest Hub Max等Google自家產品。有趣的是，Google對被終止支援後的用戶如何提供協助，沒有提供任何說明。</p> <p>Google 2018年宣布和OEM廠商合作推出Assistant-enabled智慧螢幕裝置，能支援用戶聲控啟動和親友視訊。但後來Google接續中止智慧螢幕的軟體計畫，先限縮其底層作業系統Android Things的用戶為單純OEM，之後又以硬體不支援安全搜尋（SafeSearch）為由，關閉第三方產品的網頁瀏覽器。連Google自己的Nest Hub系列也都2年沒有更新。</p> <p><a href="https://www.techradar.com/news/google-kills-third-party-smart-displays-and-its-voice-assistant-could-be-next" target="_blank">TechRadar報導</a>，這可能反映Google Assistant裝置策略的縮減。Google去年底及今年初大規模裁員中，Google Assistant部門受到重創，<a href="https://www.ithome.com.tw/news/156221" target="_blank">上個月CNBC報導</a>，這個部門近日人事異動，開發Assistant的一名主管去職，未來將改以開發生成式AI聊天機器人Bard為重心。這可能使得過去以Google Assistant串聯的智慧物聯網計畫陸續撤除。</p> <p><a href="https://www.ithome.com.tw/news/156315" target="_blank">上周Google才宣布</a>會在2024年4月，終止對連網溫控裝置、煙霧偵測器Nest Secure及攝影機Dropcam的軟體支援，鼓勵用戶轉用僅剩的裝置產品線。</p> </div></div></div>
2023/4/13 12:09作者林妍溱https://www.ithome.com.tw/news/156389
Google TV擴展版圖搶攻市場，推出800多個免費頻道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日<a href="https://blog.google/products/google-tv/google-tv-free-channels/">宣布</a>將在其Google TV平臺上推出超過800個免費直播頻道，包括熱門影視平臺<a href="https://tubitv.com/home">Tubi</a>、多媒體播放器<a href="https://www.plex.tv/">Plex</a>、匯集新聞平臺<a href="https://www.haystack.tv/">Haystack News</a>等，也包含美國知名新聞臺NBC、ABC、CBS和FOX，同時也提供超過10種不同語言的節目，如西班牙文、印度文、日文等。這一舉動使Google TV在免費直播市場的競爭力大幅增強，有望與Roku、Apple、Amazon等平臺分庭抗禮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(61).png" style="width: 600px;" /></p> <p>Google TV這次的更新能提供用戶更多元化的直播頻道選擇，如電影、電視劇、新聞直播、體育賽事，甚至是兒童節目，除了這些頻道外，用戶還可以直接在Google TV的應用商店內下載更多免費串流媒體應用。同時，Google TV也將持續尋求與更多類別的廠商合作，期待在平臺上提供更多的免費節目；Google TV的策略其實與近年來Roku發展雷同，Roku近年來在其免費Roku Channel上推出了大量免費節目以此吸引用戶。如今，Google TV也將以相似的方式，搶占免費直播電視市場的份額。</p> <p>值得一提的是，Google TV在介面上進行優化，用戶可以透過畫面的指示尋找感興趣的節目，並按照喜好自訂頻道列表。此外，Google TV支援智慧遙控器，讓用戶能夠在不同節目間快速切換。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(54).png" style="width: 600px;" /></p> <p>Google宣稱自2020年推出以來，Google TV已經有了顯著的成果，未來將在美國所有Google TV設備上提供這些直播，包括帶有Google TV的Chromecast和來自Sony、TCL、Hisense和Philips的內置Google TV的電視。同時，進軍Android TV的設備也指日可待。</p> <p>Tubi為免費的串流影視平臺，提供各種電影和電視節目供觀眾觀看，包括經典電影、獨立電影、國際電影、電視劇等；Plex是一個多功能的媒體平臺，能夠讓用戶在各種設備上儲存、管理自己的音樂、電影、電視節目和照片。同時，也能建立個人媒體庫，整合到一個介面方便用戶直接點選。Haystack News為匯集新聞的平臺，為用戶提供來自全球各地的最新新聞報導和資訊，同時根據個人的興趣和歷史紀錄利用演算法挑選出相應的新聞內容。以上三個平臺均以廣告模式作為主收入來源，雖能讓用戶免費使用，但是皆需要在節目中觀看廣告。</p> </div></div></div>
2023/4/12 12:45作者洪予揚https://www.ithome.com.tw/news/156367
Android也加入自動封存功能，釋出不常用App的儲存空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在<a href="https://android-developers.googleblog.com/2023/04/reduce-uninstalls-for-your-app-with-auto-archive.html">Android加入自動封存（Auto-Archive）功能</a>，當使用者想安裝新的應用程式，但裝置可用空間不足時，系統將會自動卸除應用程式，以確保有足夠的空間可供使用。自動封存僅會卸除應用程式的一部分，釋出約60％的應用程式儲存空間，官方表示，這將能減少用戶從裝置直接移除整個應用程式和使用者資料的機會。</p> <p>自動封存讓Android用戶，在不需要卸載整個應用程式的情況下，就能夠釋出裝置上的空間。只要用戶選擇啟用自動封存功能，不常用的應用程式的一部分便可從裝置中被移除，進而節省空間，不過，系統會留下應用程式圖標和用戶的應用程式使用資料，當用戶需要再次使用該應用程式時，只要該應用程式仍在Google Play上架，就能夠點擊圖標重新下載應用程式。</p> <p>對開發者來說，要讓應用程式能夠適用自動封存功能，需要將應用程式以App Bundle格式發布，而支援自動封存應用程式的好處，官方提到，系統將不太會在卸載建議中，推薦開發者的應用程式。也就是說，能夠被自動封存的應用程式，也就能減少被直接卸載的可能性。</p> <p>當使用者嘗試安裝新的應用程式，但是裝置已經沒有足夠儲存空間時，系統便會跳出視窗提醒用戶啟用自動封存功能，一旦用戶同意啟用，則使用者裝置便會開始執行自動封存程序，釋放空間直到足以安裝新應用程式。</p> <p>不過類似的功能，在Apple的iOS 11上早已提供，只要用戶在設定的App Store項目中，啟用卸載未使用的App功能，系統便會自動移除未使用的App，同樣的，iOS也會保留必要檔案，當用戶重新安裝App時，系統便能夠快速還原使用者的資料。</p> </div></div></div>
2023/4/11 15:57作者李建興https://www.ithome.com.tw/news/156347
Chrome率先預設支援網頁繪圖API WebGPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.chrome.com/blog/webgpu-release/">Google宣布</a>Chrome 113將開始預設支援網頁繪圖與計算API WebGPU，使得Chrome能夠高效能地處理3D圖形，並且執行資料平行運算任務。目前主要瀏覽器Firefox和Safari對WebGPU的支援都還在開發階段，Chrome則是率先提供初始實作。</p> <p>過去要在不使用外掛程式的情況下，於瀏覽器中呈現互動式2D和3D圖形，便需要用到網頁繪圖 API WebGL，這是一個以OpenGL ES標準為基礎的JavaScript API。不過，WebGL存在許多缺點，因為WebGL受限於較舊的OpenGL ES設計，因此無法良好地發揮當前GPU的能力，而且也與部分硬體和驅動程式有相容性問題，令人詬病的還有API設計過於複雜，使得開發和維護工作難度增加，同時，WebGL還有一些安全性問題，其允許網站存取敏感GPU資源。</p> <p>而WebGPU的出現便是要取代不敷使用的WebGL，WebGPU由Apple、Google、Mozilla和微軟等W3C成員所共同組成的GPU for the Web工作組開發，其目的是要建構一個可跨不同作業系統、硬體平臺的統一標準，讓開發者能夠更輕鬆地編寫網頁高效能圖形和運算程式。</p> <p>WebGPU的角色與Direct3D 12、Metal和Vulkan等繪圖API相同，透過公開硬體功能供開發者在GPU上執行渲染和運算操作。WebGPU相較於WebGL有許多優點，除了效能大幅提升，對現代硬體支援更好之外，WebGPU API簡潔易用，之前在WebGL渲染物件，開發者需要替每一個物件配置一系列的狀態變更呼叫，光是渲染一個物件可能要呼叫超過10個函式，而在WebGPU卻只要兩行程式碼。</p> <p>另外，WebGPU也能夠更好地支援一般運算，並且從設計根本考量網頁平臺的特性，除了提供慣用的JavaScript API之外，也支援匯入影片，並且提供大量有用的除錯訊息。目前這個WebGPU版本是一個基礎，工作組還將在API提供更進階的繪圖功能。</p> <p>WebGPU從2017年開始發展，歷經6年集結90位貢獻者、2,000次提交和3,000個問題，現在第一個實作在Chrome上提供。開發者可以使用Chromium的Dawn函式庫，以及Firefox的wgpu函式庫來開發WebGPU程式，兩者都抽象作業系統GPU API，並提供良好的可移植性。</p> <p>已經有一些函式庫開始支援WebGPU，過去支援WebGL的函式庫，要增加WebGPU的支援只需要稍經修改即可，目前Babylon.js、PlayCanvas和TensorFlow.js等函式庫都已經支援WebGPU。使用者已經可在支援Vulkan的ChromeOS裝置、支援Direct3D 12的Windows裝置，以及macOS裝置上的Chrome 113上用到WebGPU，Google提到，他們之後還會推出對Linux和Android平臺的支援。</p> </div></div></div>
2023/4/8 14:46作者李建興https://www.ithome.com.tw/news/156299
【資安日報】4月6日，網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日的資安新聞有不少與已知漏洞的攻擊行動有關，例如，之前出現的網路電話系統開發商3CX供應鏈攻擊事故，駭客於Windows版用戶端軟體利用了10年前的軟體簽章漏洞CVE-2013-3900，原因是微軟將相關更新程式列為選用，而有可能因為使用者的電腦沒有修補這項漏洞，讓駭客能夠得逞。</p> <p>這種已知漏洞尚未修補，而能讓駭客隨意利用的情況究竟有多嚴重？有資安業者根據美國網路安全暨基礎設施安全局（CISA）列管的896個已被利用漏洞名單（KEV）著手調查，結果發現有1,500萬個應用系統曝露KEV列管的部分漏洞，值得留意的是，研究人員列出的10大漏洞裡，有一半以上存在5年以上。</p> <p>上述的KEV名冊裡有不少是高風險漏洞，使得研究人員不斷呼籲要儘速修補，但低風險的漏洞也同樣值得留意。有資安業者針對威聯通NAS設備的零時差漏洞提出警告，並指出這些漏洞的CVSS風險評分雖然僅有2.7分，但在駭客時常針對該廠牌NAS下手的情況下仍應儘速修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/10-year-old-windows-bug-with-opt-in-fix-exploited-in-3cx-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路電話系統開發商3CX遭到供應鏈攻擊，傳出駭客運用10年前的Windows漏洞</span></strong></a></p> <p>網路電話系統開發商3CX傳出遭到供應鏈攻擊，導致用戶端軟體被植入惡意程式，如今這起事故有了新的發現。根據資安新聞網站Bleeping Computer的報導，駭客這次疑似利用了Windows在10年前被發現的漏洞CVE-2013-3900，駭客在用戶端軟體竄改了2個DLL程式庫檔案，其中1個是d3dcompiler_47.dll，他們更動了檔案結尾的部分，進而納入了加密的惡意酬載，但因利用了上述漏洞，此DLL檔案更動後仍保有微軟的簽章。</p> <p>為何駭客會鎖定這項漏洞？原因是微軟將其修補程式列為選用更新，而使得很多電腦可能沒有安裝此修補軟體。此外，若是用戶升級作業系統至Windows 11，也有可能導致CVE-2013-3900再度出現。</p> <p><a href="https://securelist.com/gopuram-backdoor-deployed-through-3cx-supply-chain-attack/109344/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣業者遭到網路電話系統3CX供應鏈攻擊波及，被植入後門程式Gopuram</span></strong></a></p> <p>網路電話系統開發商3CX傳出遭到供應鏈攻擊的事故，傳出背後發動攻擊的駭客是來自北韓的Lazarus，但其鎖定的目標究竟是誰？根據資安業者卡巴斯基的調查，駭客針對加密貨幣業者而來，並於受害電腦部署後門程式Gopuram，研究人員指出，這些遭到感染的電腦遍布全球，但數量不到10臺，駭客的目的很有可能是為了經濟利益。該資安業者提出警告，他們在今年3月發現Gopuram的攻擊行動升溫，駭客不只會於受害電腦植入惡意程式庫wlbsctrl.dll，還會部署加密的Shell Code酬載來發動攻擊。</p> <p><a href="https://research.checkpoint.com/2023/rorschach-a-new-sophisticated-and-fast-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rorschach濫用Palo Alto Networks的XDR系統元件載入、執行</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Rorschach-Picture3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rorschach-Picture3.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露名為Rorschach勒索軟體，此勒索軟體具備自動建立群組原則物件（GPO）的能力，進而直接透過網域散布到區域網路的所有電腦，並使用系統呼叫（Syscall）來躲避安全防護機制，駭客亦採用特殊的封裝手法來防堵研究人員分析。</p> <p>而對於攻擊者執行該勒索軟體的方法，研究人員指出是透過資安業者Palo Alto Networks旗下的Cortex XDR元件，並以DLL側載（DLL Side-loading）的方式載入。</p> <p>值得一提的是，此勒索軟體採用了效率極高的混合加密法，針對檔案的部分內容進行加密，並實作執行緒工作排程（Thread Scheduling），而使得檔案完成加密的速度非常快──LockBit 3.0需要耗時7分鐘加密的檔案，Rorschach僅需4分半就能完成。</p> <p><a href="https://www.mandiant.com/resources/blog/alphv-ransomware-backup"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">備份系統Veritas的弱點遭勒索軟體BlackCat利用，入侵受害組織</span></strong></a></p> <p>資安業者Mandiant揭露勒索軟體BlackCat（亦稱Alphv）旗下組織UNC4466新型態的攻擊行動，駭客約在去年10月，開始針對曝露於網際網路的資料備份系統Veritas Backup Exec下手，鎖定尚未修補CVE-2021-27876、CVE-2021-27877、CVE-2021-27878（CVSS風險評分為8.1、8.2、8.8）的Windows主機，利用特定的滲透測試工具Metasploit模組發動攻擊。</p> <p>駭客一旦成功入侵，就會透過Advanced IP Scanner、ADRecon進行偵察，然後下載其他作案工具，最終濫用背景智慧型傳輸服務（BITS）於受害電腦部署勒索軟體。由於駭客在這起攻擊行動當中採用的工具，就是針對上述漏洞而來的Metasploit模組，使得研究人員呼籲企業要儘速修補。</p> <p><a href="http://www.businesswire.com/news/home/20230402005076/en/Western-Digital-Provides-Information-on-Network-Security-Incident"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">磁碟製造商Western Digital資料外洩，多項雲端備份服務停擺</span></strong></a></p> <p>硬碟製造商Western Digital（WD）於4月3日證實，他們在3月26日察覺遭到網路攻擊，未經授權的第三方取得權限，入侵數個系統，該公司旗下的NAS系統備份服務My Cloud、My Cloud Home、My Cloud Home Duo，以及裝置備份服務My Cloud OS5 照片管理服務SanDisk ibi、無線充電服務SanDisk Ixpand Wireless Charger中斷，該公司認為駭客已從內部系統取得部分資料，他們正著手調查受到影響的範圍。</p> <p><a href="https://twitter.com/BrettCallow/status/1642904101783756805">資安業者Emsisoft的研究人員推測</a>，本次事故很可能是勒索軟體攻擊。</p> <p><a href="https://patchstack.com/articles/critical-elementor-pro-vulnerability-exploited/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Elementor Pro漏洞出現攻擊行動，1,100萬網站恐曝險</span></strong></a></p> <p>資安業者Ninja Technologies Network（NinTechNet）於3月28日，<a href="https://blog.nintechnet.com/high-severity-vulnerability-fixed-in-wordpress-elementor-pro-plugin/">揭露WordPress外掛程式Elementor Pro的高風險漏洞（未分配CVE編號）</a>，此漏洞涉及串接電子商城WooCommerce的模組，而使得任何人在未經充分身分驗證的情況下，就能修改WordPress網站的配置，影響3.11.6版之前的版本，CVSS風險評分為8.8分，估計1,100萬個網站可能會受到影響，開發商於3月22日發布新版外掛程式修補。</p> <p>到了3月30日，資安業者Patchstack呼籲網站管理者要儘速修補Elementor Pro，原因是他們看到來自多個IP位址的攻擊行動，其中大部分來自193.169.194.63、193.169.195.64、194.135.30.6。</p> <p><a href="https://www.rezilion.com/blog/get-to-know-kev-in-our-new-research-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾1,500萬個連接網際網路的應用系統受到CISA列管的已知漏洞影響</span></strong></a></p> <p>資安業者Rezilion針對美國網路安全暨基礎設施安全局（CISA）列管的896個已被利用漏洞名單（KEV）進行調查，結果發現，至少1,500萬個能透過網際網路存取的應用系統，具有KEV列出的漏洞，這些應用系統主要會受到其中的200個漏洞波及，以KEV所突顯的137個Windows漏洞為例，影響的系統數量為700萬個。</p> <p>研究人員透過物聯網搜尋引擎Shodan，找出10大曝險漏洞，值得留意的是，有半數漏洞超過5年，包含加密程式庫OpenSSL漏洞Heartbleed（CVE-2014-0160）、Windows終端機服務漏洞BlueKeep（CVE-2019-0708）等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sternumiot.com/iot-blog/qnap-ts-230-nas-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通修補NAS零時差漏洞，8萬臺設備曝險</span></strong></a></p> <p>資安業者Sternum揭露威聯通（QNAP）NAS作業系統的零時差漏洞CVE-2022-27597、CVE-2022-27598（CVSS風險評分2.7），這些漏洞一旦遭到利用，攻擊者就有可能在通過身分驗證的情況下，遠端取得秘密參數，執行QTS、QuTS hero、QuTScloud、QVR Pro appliances（QVP）作業系統的設備都可能受到影響，估計約有8萬臺設備具有上述漏洞。</p> <p>目前<a href="https://www.qnap.com/en/security-advisory/qsa-23-06">威聯通已釋出QTS、QuTS hero新版韌體</a>，用戶可執行更新修補漏洞。研究人員認為，雖然上述漏洞的CVSS風險評分並不高，但有鑑於駭客針對頻頻該廠牌NAS發動攻擊，使用者不應輕忽這些平臺的漏洞修補。</p> <p><a href="https://support.hp.com/us-en/document/ish_7905330-7905358-16/hpsbpi03838"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">HP揭露LaserJet印表機重大漏洞，呼籲用戶暫時改用舊版韌體因應</span></strong></a></p> <p>4月3日HP發布資安公告，指出旗下約有50款LaserJet印表機存在重大漏洞CVE-2023-1707，此為資訊洩露漏洞，存在於執行韌體FutureSmart 5.6版、啟用IPsec通訊協定的印表機，CVSS風險評分為9.1。</p> <p>該公司承諾將於90天內提供新版韌體，但在此之前，他們呼籲用戶應將印表機韌體改回5.5.0.3版，來防堵上述漏洞帶來的風險。</p> <p><a href="https://www.wiz.io/blog/bingbang"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">搜尋引擎Bing的結果有可能遭到錯誤配置的微軟應用程式挾持</span></strong></a></p> <p>資安業者Wiz揭露名為BingBang的弱點，此漏洞存在於Azure AD的不當組態，一旦IT人員在Azure App Services、Azure Functions建立網站應用程式，就有可能因錯誤的組態配置，而允許其他微軟租戶存取。研究人員於1月底通報，微軟已完成修補，並於3月28日頒發4萬美元獎金給Wiz研究人員。</p> <p>而對於這項漏洞的名稱由來，是研究人員發現攻擊者可利用微軟旗下的Bing Trivia內容管理系統（CMS）來觸發上述漏洞，不只可竄改搜尋引擎Bing的搜尋結果，還能對Bing用戶發動跨網站指令碼（XSS）攻擊，甚至是竊取電子郵件、SharePoint共用檔案。</p> <p><a href="https://orca.security/resources/blog/super-fabrixss-azure-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補Azure Service Fabric高風險漏洞Super FabriXSS</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Super-FabriXSS.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Super-FabriXSS.png" style="width: 300px; float: right;" /></a>資安業者Orca揭露名為Super FabriXSS的跨網站指令碼（XSS）漏洞CVE-2023-23383，此漏洞存在於微軟Azure Service Fabric Explorer（SFX），未經身分驗證的攻擊者可遠端在Service Fabric節點代管的容器中，執行任意程式碼，CVSS風險評分為8.2。微軟獲報後於3月例行修補（Patch Tuesday）提供更新程式。</p> <p>研究人員指出，攻擊者可藉由發送精心設計的URL來發動攻擊，進而在使用者連線的上下文嵌入iframe，接收來自攻擊者伺服器的檔案，最終於受害環境執行PowerShell打造的惡意反向Shell，這樣的做法很有可能繞過防火牆或相關的安全措施。</p> <p><a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電腦版Chrome 112發布，修補16個漏洞</span></strong></a></p> <p>Google於4月4日發布Chrome 112版（112.0.5615.49、112.0.5615.50），總共修補了16個漏洞，其中有2個為高風險等級。</p> <p>根據該公司頒發的獎金多寡，最嚴重的高風險漏洞是CVE-2023-1810，此為Visuals元件的記憶體堆疊緩衝區溢位漏洞，Google為此發出5千美元獎金；另一個高風險漏洞是CVE-2023-1811，該漏洞出現於Frames元件，為記憶體釋放後濫用（UAF）弱點，Google頒給研究人員3千美元獎勵。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://edition.cnn.com/2023/04/02/tech/china-pinduoduo-malware-cybersecurity-analysis-intl-hnk/index.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">購物App拼多多傳出具備監控功能，關閉後仍會在後臺運作</span></span></strong></a></p> <p><a href="https://www.theregister.com/2023/04/03/uber_drivers_info_stolen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Uber再傳司機資料外洩，起因是法律事務所遭駭</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/capita-cyberattack-disrupted-access-to-its-microsoft-office-365-apps/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國IT服務業者Capita遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/consumer-lender-tmx-discloses-data-breach-impacting-48-million-people/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">金融集團TMX資料外洩，480萬人受到影響</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/with-keyplug-chinas-redgolf-spies-on-steals-from-wide-field-targets"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客組織RedGolf利用後門程式Keyplug發動攻擊</span></span></strong></a></p> <p><a href="https://source.android.com/docs/security/bulletin/2023-04-01"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓4月例行更新發布，修補2個重大RCE漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156233">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156202">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156193">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</a></strong></p> </div></div></div>
2023/4/6 15:37作者周峻佑https://www.ithome.com.tw/news/156264
Google要求Android程式開發者允許使用者刪除帳號與資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2023/04/giving-people-more-control-over-their-data.html" target="_blank">Google本周發布了一項新的資料刪除政策</a>，要求Android開發者必須提供選項，以讓使用者得以在程式中與網頁上刪除帳號及資料，這是Google強化Google Play用戶對Android程式信任度的新措施。</p> <p>此一新功能將出現在<a href="https://www.ithome.com.tw/news/147360" target="_blank">Google Play的資料安全項目（Data safety section）</a>中，新政策要求開發者必須允許使用者刪除帳號，在刪除帳號的同時也必須刪除與該帳號有關的資料，不過，此一功能也讓開發者得以提供更多的選項，例如有時使用者並非想要完全刪除帳號，只想刪除如活動歷史紀錄、圖片或影片等資料。</p> <p>此外，有些與法令相關的使用者資料依然會被保留，包括那些涉及安全、防範詐欺或法規遵循的資料，但開發者必須清楚地揭露保留相關資料的作法。</p> <p>為了留給開發者更多的準備時間，Google的第一步是要求開發者於12月7日之前，於程式的Data Safety表格中提供資料刪除問題的解答，Google Play用戶則可在明年初在程式Data Safety項目中看到新的資料刪除功能。至於需要更多時間的開發者則可申請延後履行，期限為明年的5月31日。</p> <p>值得注意的是，Google要求開發者必須同時於程式及網頁上提供帳號與資料的刪除功能，以便讓那些已經移除程式的使用者不必重新安裝程式也能刪除帳號。</p> <p>Google持續改善Google Play的隱私與安全，宣稱此一新政策所帶來的直覺經驗將讓使用者更能理解控制自己資料的各種管道，進而更信賴Google Play及該平臺所出版的程式。</p> </div></div></div>
2023/4/6 11:59作者陳曉莉https://www.ithome.com.tw/news/156258
Google的Nearby Share可在Android手機、PC間傳送檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼2020年推出允許在Android裝置互傳檔案的Nearby Share後，上周再公布可支援Android裝置及Windows PC間傳送檔案。</p> <p><a href="https://www.ithome.com.tw/news/139210" target="_blank">Google 3年前公布</a>Nearby Share作為效法蘋果AirDrop的技術，可讓Android裝置之間無需連網及雲端硬碟，即可傳送影像、相片，連結或文件檔案。Google表示迄今已經有將近30億臺Android臺裝置使用過Nearby Share技術。</p> <p>在最新更新中Google將<a href="https://www.android.com/better-together/nearby-share-app/" target="_blank">Nearby Share以beta版支援</a>，拓展到全球眾多市場的Windows裝置。只要在PC下載並安裝Nearby Share Beta版App，就可以在傳送到鄰近Android裝置，或是根據Android裝置可視性設定（device visibility）偏好傳送檔案到PC。</p> <p><a href="https://support.google.com/product-documentation/answer/13470053" target="_blank">根據Google說明</a>，欲在PC和Android裝置間傳送檔案，除了PC需安裝Nearby Share App，兩臺裝置也必須都登入Google帳號，以及開啟藍牙連線及Wi-Fi網路，確保兩臺裝置位於同一網路內，相隔不超過5公尺。</p> <p>之後只要在檔案按右鍵出現的選單中的「內容」，在出現的選單中選擇PC即可傳送內容。Google表示，新版本Nearby Share傳送速度更快，且即使接收裝置的螢幕關閉也能自動接收檔案、相片或連結。</p> <p>目前Nearby Share Beta for Windows已提供給美國和全球多個市場，包括臺灣，但不包含歐盟地區。此外，這款App需要64-bit Windows 10以上，以及Android 6.0以上版本，但不支援ARM裝置。</p> </div></div></div>
2023/4/4 17:55作者林妍溱https://www.ithome.com.tw/news/156246
3CX的客戶端VoIP程式遭駭客滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VoIP IPBX軟體開發商3CX所打造的桌面程式Electron傳出遭到駭客滲透，被駭客植入藏有木馬的ffmpeg.dll，並藉由官網上的更新感染了Windows及macOS用戶，<a href="https://www.3cx.com/blog/news/desktopapp-security-alert-updates/" target="_blank">3CX已證實此事</a>，建議使用者移除含有木馬的版本，並暫時使用漸進式網路應用程式（Progressive Web Apps，PWA）。</p> <p>3CX的主要產品為3CX Phone System，這是一個基於開放標準的軟體交換機，並開發VoIP IPBX軟體，以讓用戶透過網路進行各種通訊，全球有超過60萬家企業客戶，包括可口可樂、麥當勞、BMW、IKEA及英國保健署（National Health Service）等，每日使用者數量超過1,200萬名。</p> <p><a href="https://news.sophos.com/en-us/2023/03/29/3cx-dll-sideloading-attack/" target="_blank">資安業者Sophos指出</a>，3CX用戶自3月22日陸續發現他們的防毒軟體將3CX的桌面程式標註為惡意程式，結果是3CX官網上支援Windows與macOS的桌面程式Electron被植入了含有木馬的ffmpeg.dll，可用來連結GitHub並下載惡意酬載。</p> <p>Sophos所觀察到的惡意酬載主要為資訊竊取工具，以竊取受害系統上的瀏覽器資訊。受到影響的版本分別是Electron Windows App 18.12.407與18.12.416，以及Electron Mac App 18.11.1213、18.12.402、18.12.407與18.12.416。並未波及Linux、Android與iOS版本。</p> <p>FFmpeg是個開源的軟體專案，可用來處理聲音及影像等多媒體檔案及串流，在事故傳出後，<a href="https://twitter.com/FFmpeg/status/1641481591254921216" target="_blank">FFmpeg團隊透過Twitter澄清</a>，該專案的原始碼並未被危害，任何ffmpeg.dll遭到危害的事件都應該由軟體供應商負責。</p> <p>事實上，Sophos在所偵測到的惡意ffmpeg.dll檔案上，發現的也是3CX的數位憑證。</p> <p>3CX本周四（3/30）證實了官方桌面程式遭到滲透，並已聘請資安業者Mandiant展開鑑識，由3CX代管及StartUP用戶的伺服器已連夜更新，至於一般使用者則應先移除桌面上的Electron程式，並暫時透過網頁版的PWA程式來使用服務。</p> <p>此外，雖然3CX已經更新了Electron程式，但仍舊強烈建議用戶暫時不要使用該程式，因為這是一個在24小時內緊急修補的版本，同時3CX也在重新打造一個採用新憑證的版本，而這才會是完全安全的版本，預計一、兩天後就會出爐。</p> </div></div></div>
2023/3/31 10:50作者陳曉莉https://www.ithome.com.tw/news/156223
Google Assistant部門傳改組，將以Bard為重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2023/03/29/google-reorganization-in-assistant-follows-bard-launch-memo-says.html" target="_blank">《CNBC》報導</a>，Google Assistant部門近日進行改組，未來將以生成式AI聊天機器人Google Bard作為發展重點。</p> <p>媒體取得Google Assistant業務部門副總裁Sissie Hsiao的內部公開信報導，原本向Hsiao報告的Assistant部門工程副總裁Jianchang Mao將離職，而由Google商務部門負責支付業務的16年老將Peeyush Ranjan接任。另一方面，原Assistant工程另一研發主管Amar Subramanya將出任Bard，原負責Bard的主管則轉任「領域技術主管」。</p> <p>這次改組顯示Google Assistant將與Bard進一步整合。Hsiao說，在Bard團隊接續Assistant工作時，公司要「確保能把握眼前的機會」。她並指出，今年「要著重在對用戶有更大影響力的服務上」。</p> <p>Google Assistant向來是整合在Android應用如Google Maps、Google搜尋，以及整合在Google自家裝置如Pixel智慧型手機、Nest智慧喇叭，或第三方廠商的Android裝置如智慧顯示器、電視、智慧手錶、Android Auto車載系統上，作為語音助理或聲控介面。</p> <p>但是此類AI功能卻無法為Amazon、Google等大廠帶進足夠獲利。<a href="https://www.ithome.com.tw/news/154335" target="_blank">媒體報導</a>，去年底Amazon裁員1萬人，其中許多落在Amazon Alexa部門，原因是這個部門種種獲利策略失效，拖累所屬的全球數位部門一季虧損30億元。Google Assistant也在該公司上一波裁員中受到影響。</p> <p>Google去年起大幅加重對生成式AI的投資力道。去年Google在OpenAI的ChatGPT刺激下，在內部發出「紅色警戒」行動，從多個部門召集人力投入Bard開發團隊。<a href="https://www.ithome.com.tw/news/156026" target="_blank">3月底Google正式開放</a>AI聊天機器人Bard給美國、英國地區用戶申請試用。在此之前，<a href="https://www.ithome.com.tw/news/155928" target="_blank">Google宣布</a>生成式AI技術整合到Gmail、Workspace的Google Docs中。<a href="https://9to5google.com/2023/03/30/gmail-docs-ai-testing/" target="_blank">本周Google已開始邀請</a>美國少部分用戶使用這項AI功能。</p> <p>微軟已經把ChatGPT技術全面整合進其服務，包括Office、Power System、GitHub Copilot及<a href="https://www.ithome.com.tw/news/156183" target="_blank">安全工具</a>。</p> <p>Google並未對此消息回應。</p> </div></div></div>
2023/3/31 10:10未署名https://www.ithome.com.tw/news/156221
Google揭露間諜軟體供應商濫用熱門平臺零時差和既有漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google追蹤商業間諜軟體供應商，揭露兩大結合運用多個零時差漏洞與既有漏洞（N-day）的間諜活動，這些極具針對性的活動鎖定Android、iOS和Chrome熱門平臺，<a href="https://blog.google/threat-analysis-group/spyware-vendors-use-0-days-and-n-days-against-popular-platforms/">Google提到</a>，根據他們的調查，商業監控供應商現在技術力提升，也擁有過去只有政府層級才能開發和操作漏洞的能力。</p> <p>第一個間諜活動被稱為「Your missed parcel」，Google發現透過使用Android和iOS的零時差漏洞利用鏈，惡意攻擊者可以發送短訊息給位於義大利、馬來西亞和哈薩克的用戶，訊息內的連結會將用戶導向惡意頁面，之後再重新導向到諸如貨運或是物流公司的合法頁面。</p> <p>在iOS上，惡意頁面使用WebKit遠端程式碼執行漏洞CVE-2022-42856，以及CVE-2021-30900沙盒逃逸和特權提升漏洞CVE-2021-30900，在iOS上安裝惡意Stager打開後門，回傳裝置的GPS位置，並且讓攻擊者可以於裝置安裝惡意程式。</p> <p>而Android則需要用到Arm GPU手機上Chrome 106之前版本的漏洞，用到的漏洞包括類型混淆漏洞CVE-2022-3723、Chrome GPU旁路漏洞CVE-2022-4135、Arm特權提升漏洞CVE-2022-38181，而對三星用戶，網站還會透過意圖重新導向功能（Intent Redirection）從三星網際網路瀏覽器打開Chrome。用戶更新到Chrome 108便能免於受到攻擊。</p> <p>第二個間諜活動，則是針對三星網際網路瀏覽器的漏洞入侵鏈，惡意攻擊者同樣是透過短訊發送一次性連結，到位於阿聯酋的裝置，將用戶導向到一個頁面，該頁面使用商業間諜軟體供應商Variston所開發的Heliconia框架，而漏洞利用鏈使用了一個以C++開發，且功能齊全的Android間諜軟體套件，包括可以解密和擷取各種聊天和瀏覽器應用程式資料的函式庫，進而追蹤受害者的社交和網頁瀏覽行為。</p> <p>這個活動主要影響使用Chromium 102版本的三星瀏覽器，惡意攻擊者總共使用了6個漏洞，包括Chrome的類型混淆漏洞CVE-2022-4262、沙盒逃逸漏洞CVE-2022-3038，以及Mali GPU核心驅動程式授予攻擊者存取系統權限的CVE-2022-22706漏洞，還有提供攻擊者核心讀寫存取權限的Linux核心聲音子系統漏洞CVE-2023-0266，惡意攻擊者也利用了多個核心資訊洩漏漏洞，包括CVE-2022-22706和CVE-2023-0266。</p> <p>每一個漏洞軟體原廠皆已修復，但可能因為修復時間差，或是因為版本更新節奏的關係，供應商並沒有及時修補程式，使得攻擊者有機可乘。透過結合零時差漏洞和既有漏洞，商業間諜軟體供應商能夠開發追蹤用戶的工具，Google提到，這些供應商向政府出售漏洞技術和監控功能，使政府能夠追蹤異議份子、記者、人權工作者和反對黨政客。</p> </div></div></div>
2023/3/31 09:10作者李建興https://www.ithome.com.tw/news/156207
5G趨勢月報第41期：新竹市政府與和碩、微軟合作，測試5G專網與衛星通訊的緊急通訊系統；三總以5G專網直播達文西手術畫…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>3/01~3/27精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>新竹市與和碩、微軟等業者聯手，以5G專網結合衛星通訊打造緊急救災通訊系統</strong></span></p> <p>新竹市消防局、和碩聯合、微軟、伸波通訊近期共同合作，研發5G專網結合可移動衛星的韌性通訊系統，以應用於緊急救災通訊使用。</p> <p>考量到境內有斷層通過，具地震災害風險，加上颱風或洪水發生，可能因設備毀損或停電，導致地面通訊系統無法使用，除了民眾生活之外，對救災指揮、聯繫帶來影響，因此新竹市政府在國發會補助下，與和碩聯合、微軟、伸波通訊合作，研發以5G專網結合衛星通訊打造具有數位韌性的通訊系統。</p> <p>新竹市消防局表示，5G專網結合可移動通訊衛星建立數位韌性的通訊系統，可應用在大規模災害發生或海纜中斷，往往造成電力或通訊中斷的救災現場，透過這套通訊系統，可為救災現場快速建立通訊網路，並結合衛星網路至微軟資料中心，支援戶外約30人以上包括通訊、視訊、監控等救災通訊需求。</p> <p>和碩也展示5G專網的一體式機箱，可由人力手提或背負方式，攜帶到偏遠地區或災區建立簡易的5G專網，該機箱包括一臺伺服器、5G核心網路系統，以及O-CU、O-DU，可搭配O-RU發射器及一臺筆電，建立臨時的簡易5G系統。</p> <p>現場展示的5G專網一體式機箱，方便移動攜帶至災區，建立小型的5G專網：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/04-1500.jpg" style="width: 600px; height: 400px;" /></p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>三總展示5G專網即時直播達文西手術，學生可透過3D AR觀摩學習</strong></span></p> <p>三軍總醫院去年建置5G專網，並與中華電信、佐臻合作，展示5G專網的AR教學應用，將達文西手術的第一視角手術畫面，透過5G傳送至5G手機，讓學生戴上AR眼鏡觀看3D手術畫面，觀摩學習手術過程。</p> <p>這項5G專網應用，是在手術室建置5G天線，將達文西手術的第一視角手術畫面，傳送至AR協作平臺，為降低手術直播畫面的延遲，利用MEC邊緣運算，送至教室或演講廳的5G天線，讓學生或醫師透過5G手機上的AR協作App，戴上AR眼鏡，就能看到3D手術畫面。</p> <p>學生只要透過5G手機，戴上AR眼鏡，就能以3D AR觀看到手術的第一視角畫面：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AR(1).jpg" style="width: 600px; height: 450px;" /></p> <p>三總表示，這項醫療教學應用，解說教授或醫師可以凍結手術的直播畫面，標示病徵及處置建議，讓學生學習到手術的關鍵。未來隨著無線通訊技術發展，取代達文西手術檯與控制機臺間的有線網路，可望實現位於臺北的醫師為澎湖病患進行達文西手術的遠端手術願景</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>HAPS</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>空巴</b></span></font></p> <p><span style="font-size:22px;"><strong>空中巴士要以太陽能無人機協助沙烏地阿拉伯普及通訊服務</strong></span></p> <p>空中巴士（Airbus）旗下的高空飛行載具HAPS方案部門Aalto近期在MWC上展示太陽能無人機Zephyr，Aalto並與沙烏地阿拉伯電信商STC宣布合作，將利用HAPS方案改善偏遠地區、農村地區連網服務、地球觀測及政府應用。</p> <p>Zephyr的翼展有25公尺、重量為75公斤，依靠太陽能作為動力，可飛行於7萬英尺高度，目的在長時間飛行，以提供連網服務，該公司宣稱Zephyr可覆蓋7,500平方公里範圍，近期已完成64天飛行測試，飛行約7,500公里，下次測試將挑戰連續飛行120天。預計2024年商用化使用。</p> <p>HAPS（High Altitude Platform Station）方案係利用空中飛行載具，在高空中飛行提供通訊覆蓋，以擴大電信服務商的網路服務範圍，和高成本的衛星通訊相比，HAPS作為空中網路訊號中繼站的角色近來頗受到外界的關注。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>網路切片</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>運動</b></span></font></p> <p><span style="font-size:22px;"><strong>遠傳與愛立信合作，以5G網路切片支援馬拉松賽事轉播</strong></span></p> <p>遠傳電信近期和愛立信聯手，在新北市萬金石馬拉松，宣布以5G網路切片技術，協助國內媒體，以高畫質全程轉播這項國內大型馬拉松賽事。</p> <p>萬金石馬拉松賽事全長42公里，跨越新北市萬里、石門、金山地區，賽事長距離移動，以及支援團隊、民眾上網需要，對沿途行動網路服務帶來挑戰，遠傳以電信行動車加強沿途頻寬外，還調整優化沿途5G基地臺，以網路切片技術確保網路資源用於高畫質的賽事轉播，並不影響行動用戶體驗。</p> <p>這是繼遠傳電信與高雄市警局合作，以5G網路切片技術支援5G巡邏車之後，另一項5G網路切片技術的應用。遠傳電信目前推動的5G網路切片應用，包括智慧警政、智慧醫療、媒體影音服務，透過網路切片技術，確保第一優先的網路資源應用服務，例如消防救災、警政、賽事轉播等。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Nokia</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>anyRAN</b></span></font></p> <p><span style="font-size:22px;"><strong>Nokia發表anyRAN擴大電信營運商、企業建置網路彈性，電信級x86伺服器Airframe亮相</strong></span></p> <p>Nokia在MWC大會期間對外發表anyRAN，以促成Cloud RAN合作夥伴為電信營運商、企業建構行動網路提供更大的靈活與彈性，此外，Nokia也推出電信級x86伺服器Airframe，可作為anyRAN的基礎設施，或是作為邊緣伺服器使用。</p> <p>該公司發表的anyRAN為一種概念，以協助行動電信營運商或企業，不論其商業模式，選擇專用、混合或是Cloud RAN方案。Nokia還展示進階提升的電信級開放邊緣伺服器Airframe，採用x86方案，為針對電信商需求所設計，相較於一年前MWC所展示的系統，效能提升50%。</p> <p>相較於一般伺服器業者，Nokia過去幾年長期和電信營運商合作，對電信商的規格需求有更深的了解，Nokia自行開發開放架構伺服器，跟進電信市場走向開放架構的潮流，隨著其未來發展，工研院產業科技國際策略發展所產業分析師楊玉奇認為，將成為標準商用伺服器（COTS）的競爭對手，進而可能打壓COTS在電信市場的空間。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>高通與小米、Motorola等業者聯手開發具衛星通訊功能智慧型手機</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/qss-1.jpg" style="width: 600px; height: 297px;" /></p> <p>高通在MWC行動通訊大會期間，宣布正與小米、Motorola、OPPO、vivo、榮耀、Nothing等手機業者，採用Snapdragon Satellite開發具有衛星通訊功能的智慧型手機。</p> <p>高通是在今年初發表Snapdragon Satellite，可讓Android手機支援衛星雙向通訊功能，利用衛星通訊大面積覆蓋，克服手機行動通訊網路不足之處，例如偏遠、鄉村或離岸地區，在緊急危難發生時，可通過衛星進行雙向傳訊、SMS簡訊、訊息傳送程式，高通並與Iridium合作，利用低軌道的銥衛星提供衛星連網服務。</p> <p>高通更預告未來Snapdragon Satellite將在未來所有的5G數據機射頻系統、8到4系列的Snapdragon行動平臺中提供。不只是智慧型手機，高通準備將其擴大至運算、汽車、物聯網等其他類裝置。此外，Snapdragon Satellite也將支援5G NTN。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>軟銀</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AI</b></span></font></p> <p><span style="font-size:22px;"><strong>軟銀與Nvidia合作，以GPU加速vRAN的AI應用</strong></span></p> <p>日本電信商軟銀（Softbank）近期和Nvidia合作，測試以GPU加速vRAN的AI應用，就近完成圖像處理工作。</p> <p>軟銀是在AI-on-5G實驗室進行測試，以可支援5G的攝影機，將影像畫面送到邊緣端的應用程式，該應用利用AI即時辨識人群。Softbank與Nvidia共同展示，影像處理應用在MEC邊緣運算環境之下，利用GPU加強vRAN的AI應用。</p> <p>軟銀表示，這項測試證明GPU可被應用在RAN及AI應用上，軟銀準備應用在vRAN的MEC位置裡使用GPU。</p> <p> </p> <p>圖片來源／空中巴士、新竹市政府、高通</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.臺中榮總以5G專網展示遠距專家協作完成心律不整電灼燒手術</strong></p> <p><strong>2.NTT DOCOMO在MWC展示6G接近零時差傳輸概念</strong></p> <p>資料來源：iThome整理，2023年3月</p> </div></div></div>
2023/3/30 18:46作者蘇文彬https://www.ithome.com.tw/news/156219
傳微軟又將打造對抗ChromeOS的下一代Windows，且支援AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.windowscentral.com/software-apps/windows-11/microsoft-windows-corepc-modern-platform-hudson-valley-2024" target="_blank">《Windows Central》報導</a>，在10X結束之後，微軟並未放棄打造支援Web應用的Windows的夢想，正在開發更精簡、而輕巧的下一代Windows。</p> <p>報導引述消息人士指出，微軟內部正在開發一個模組化、可根據搭載的硬體Form Factor設定大小及相容性的Windows，專案代號CorePC。這Windows可讓微軟推出豐富度或應用程式相容性有多個不同等級的Windows版本。最精簡的版本可和Google ChromeOS一樣輕巧、容易升級，專門執行Web應用。</p> <p>微軟過去曾經試圖打造精簡、輕巧的OS，不包含Windows種種Win32舊式應用程式，以便快速安裝更新、更安全，稱為Windows Core OS。但微軟並未成功推出Windows Core OS。最接近的是<a href="https://www.ithome.com.tw/news/142250" target="_blank">Windows 10X</a>，微軟預計支援二合一筆電或單螢幕裝置，<a href="https://www.ithome.com.tw/news/144486" target="_blank">但是微軟同年5月就證實</a>不會有這個OS，原因是10X適用對象超出原先計畫，其底層技術也整合到Windows中。</p> <p>新的CorePC專案則是更為彈性，可根據搭載的硬體效能或使用者市場，設定出不同功能及應用程式相容性，保留對Win32 App的支援。例如目前微軟已經在測試一個只能執行Edge、Web App、Android App（Project Latte）及Office App，鎖定低階教育用PC，軟體是Windows 11 SE的60%-75%。</p> <p>另一方面，CorePC也可以設定出安裝在PC的強大版本。但是和現有Windows不同，CorePC具備狀態隔離（state separated）功能。狀態隔離可產生使用者和第三方App無法存取的唯讀分區，使平臺更新更快、更安全，一如Android或iPadOS，這也是當年Windows CoreOS的創新點。這個OS並有相容層Neon，以執行需要共享狀態（shared state）OS的舊式App。</p> <p>最後，消息人士透露CorePC還會有「為晶片最佳化」的版本，著重軟、硬體整合，類似蘋果macOS和Apple Silicon的最佳化。它也會有AI功能，例如以AI功能以分析顯示的內容，提供情境化提示，幫助使用者加速啟動專案，或是能辨識圖片中的物件和文字，允許使用者剪下某部分貼到其他地方。</p> <p>不過微軟何時推出CorePC，以及搭載CorePC的裝置，可能都還會變動，甚至取消。Windows確定的計畫是2024年推出代號<a href="https://winaero.com/hudson-valley-appears-to-be-the-windows-12-codename/" target="_blank">Hudson Valley</a>的下一代Windows用戶端作業系統，可能最後會成為Windows 12。</p> </div></div></div>
2023/3/30 13:16作者林妍溱https://www.ithome.com.tw/news/156199
Amazon供開發人員測試頻寬共享網路Sidewalk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon現在讓開發者以<a href="https://press.aboutamazon.com/2023/3/amazon-invites-developers-to-test-sidewalk-and-build-the-next-billion-connected-devices">Sidewalk測試套件</a>，開發能夠連接Sidewalk頻寬共享網路的裝置和應用程式。Sidewalk是Amazon在2019年所推出的網路概念，目的是讓經過認證的裝置能夠以藍牙相互通訊，分享彼此的網路頻寬，而現在這項計畫往前推進一步，實際開放給開發者測試。</p> <p>Amazon Sidewalk的實際運作方式，是利用網狀網路向支援Sidewalk技術的裝置提供網路連接，具有Sidewalk橋接裝置的用戶，可以向其他用戶貢獻少量Wi-Fi頻寬，以共享的方式創建一個大型網狀網路。可成為Sidewalk橋接器的裝置，除了專門的橋接器Sidewalk Bridge Pro之外，還有既有的Echo裝置、Ring Floodlight與Ring Spotlight戶外監視器等，這些裝置以900 MHz的藍牙頻段相互溝通。</p> <p>開發人員只要使用Sidewalk測試套件，不需要部署自己的網路基礎設施，就能夠開發連接到雲端的應用程式。Sidewalk測試套件由包括由挪迪克半導體、Silicon Labs、德州儀器等半導體公司，以及模組供應商Quectel所發布，這些廠商所發布的SDK直接支援Sidewalk技術，供開發者使用這些SDK，就能簡單地在現有應用程式整合Sidewalk。</p> <p>除了軟體開發套件，這些廠商也提供硬體開發套件，供開發人員以參照硬體為基礎，進行原型設計並開發應用程式，而Quectel還提供Sidewalk連接模組，讓開發人員可以更快地開發支援Sidewalk的裝置，縮短產品上市時間。</p> <p>在行動應用程式開發上，Amazon在GitHub上釋出適用於iOS和Android裝置的SDK，供開發人員快速在行動應用程式中整合Sidewalk技術，此外，Amazon還提供工具應用程式，以方便開發人員進行除錯和故障排除。</p> <p>Amazon Sidewalk原生整合AWS物聯網服務IoT Core，透過該服務開發人員可以利用網頁介面，存取和配置支援Sidewalk的裝置。目前Amazon已經將Sidewalk開發所需要的軟體、程式碼、腳本和文件放到GitHub儲存庫中，並且提供AWS參照程式碼，供開發人員快速進行原型設計。</p> </div></div></div>
2023/3/30 08:22作者李建興https://www.ithome.com.tw/news/156195
【資安週報】2023年3月20日到3月25日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周的漏洞消息中，主要焦點包括：微軟針對去年11月可繞過BitLocker的WinRE元件漏洞，新提供簡化的緩解措施，以及思科網路設備與Netgear有新的漏洞修補釋出，值得注意的是，近兩年美國CISA每週均發布多個ICS漏洞通告（ICS Advisory），本週有13則，呼籲企業修補包括台達電、西門子、ABB、Rockwell等廠商ICS設備的漏洞。</p> <p>在攻擊活動與威脅方面，國內主要焦點是：有中國駭客針對國內金融機構持續發動釣魚郵件攻擊的揭露，其意圖是散布並濫用Cobalt Strike以入侵，國際間，有北韓駭客利用釣魚郵件散布惡意擴充套件以竊取Gmail信件的事件，受到德國BfV與南韓NIS聯手警告；以及俄羅斯駭客組織攻擊歐洲政府機關的新活動被揭露，其手法是架設假冒波蘭、義大利、烏克蘭政府與電信特定機構並帶有惡意軟體的網站，並以釣魚郵件引誘上當。其他重要威脅消息包括，有駭客正濫用Adobe Acrobat Sign以散布竊資軟體RedLine，以及中國與俄羅斯駭客正使用Silkloader惡意軟體的揭露。</p> <p>而威脅態勢的揭露方面，Android木馬FakeCalls偽冒20多種金融機構名義App並發動語音網釣，目前正針對韓國民眾攻擊，影響層面廣泛，需特別注意。特別的是，在CatB勒索軟體方面，近期發現會針對瀏覽器與郵件軟體去竊取機密，突顯近年惡意軟體朝多功能發展。另外，還有兩個針對伺服器的攻擊活動要留意，包括殭屍網路HinataBot會鎖定未知Hadoop YARN伺服器漏洞，以及出現大規模入侵網站植入惡意JavaScript的情形。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156006"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</span></strong></a></h3> <p>臺灣政府2022年稅收超徵4,500億元，行政院宣布2023年將提撥1,400億元，當中將對全國民眾普發6千元現金。消息一出，駭客也開始架設假網站來行騙。3月中財政部宣布將在22日開放登記，但也出現新的假網站，民眾要提高警覺。</p> <p>使用者透過推特的文章，向企業客服反映問題的做法也相當常見，但有駭客也趁機亂入，假借客服名義要使用者撥打詐騙電話。資安新聞網站Bleeping Computer揭露這種類型的攻擊手法，這些駭客專門鎖定那些標記為印度大型銀行的推文下手。</p> <p>除了上述針對國內外民眾的詐騙攻擊行動，鎖定企業與商業領域的事故氾濫也值得我們留意──有資安業者揭露商業郵件詐騙（BEC）大幅增加的現象，並指出相關攻擊的事件數量，2022年首度超越了勒索軟體攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/156024"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</span></strong></a></h3> <p>因地緣政治，臺灣總是成為中國駭客的主要攻擊目標。近日資安業者TeamT5揭露中國駭客自去年底出現的連續網路攻擊，針對金融機構而來。值得留意的是，駭客所發送的信件，主旨與內容在該行業可說是相當常見，使得研究人員認為，就算是與業務相關的郵件也要提高警覺，小心可能有詐。</p> <p>除了國內的網路釣魚郵件攻擊事故，新的勒索軟體攻擊情勢也值得我們關注。例如，勒索軟體CatB以特殊的啟動方式、埋藏勒索訊息的手法，引起資安業者<a href="https://www.ithome.com.tw/news/155054#catb">Minerva</a>、<a href="https://www.ithome.com.tw/news/155635#catb">Fortinet</a>關注，如今資安業者SentinelOne揭露新的調查結果──該勒索軟體也納入了部分竊密軟體的功能。</p> <p>駭客散布惡意軟體的管道，網路釣魚可說是相當常見，但透過搜尋引擎惡意廣告、YouTube頻道的做法也不時有事故傳出。如今，有人結合了惡意廣告和YouTube頻道兩者，導致使用者看到廣告是來自YouTube，而可能大大降低戒心。</p> <h3><a href="https://www.ithome.com.tw/news/156035"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</span></strong></a></h3> <p>鎖定Linux伺服器下手的惡意軟體攻擊近期不斷出現，新崛起的ShellBot殭屍網路病毒也是這類威脅之一，但值得留意的是，駭客之所以入侵這些伺服器，是因為它們的高權限系統管理帳號普遍採用弱密碼，而運用字典攻擊可猜到密碼、奪取系統主導權。</p> <p>雖然針對Linux作業系統的惡意軟體攻擊變多，但攻擊Windows電腦的惡意軟體也同樣不能掉以輕心。例如，名為DotRunpeX的惡意軟體不只用了處理程序挖空手法（Process Hollowing），更罕見地採用了虛擬化元件KoiVM來混淆程式碼。在此之前，只有名為MalVirt的惡意程式載入器採用此種混淆手段。</p> <p>攻擊者廣泛利用零時差漏洞的現象，也令人觸目驚心。有資安業者分析相關攻擊行動，結果發現2022年駭客偏好的零時差漏洞超過50個，最多的還是Windows作業系統漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/156071"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</span></strong></a></h3> <p>南北韓之間的情勢緊張，北韓駭客對南韓使用者發動攻擊時有所聞，最近有一起資安通告與駭客利用惡意瀏覽器擴充套件的攻擊行動有關，但特別的是，這次發出警告的並非僅有南韓主管機關，還有德國憲法保護聯邦辦公室（BfV），原因很可能是相關攻擊會漫延到全球。</p> <p>電商網站的網站交易資料側錄攻擊也出現新的攻擊手法！研究人員看到駭客轉移陣地，將惡意程式碼植入外接的支付系統閘道元件，使得有關攻擊行動將更難察覺。</p> <p>入侵網站的事故，也有可能是散布惡意軟體攻擊行動的一部分。有駭客在拉丁美洲多個國家散布惡意軟體，並攻擊WordPress網站並用於架設C2中繼站、存放惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/156109"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月24日】逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</span></strong></a></h3> <p>利用惡意程式碼攻擊網站使用者的現象，我們前幾天介紹了從1.7萬個網站竊取帳密資料的金融木馬程式Mispadu，現在出現了規模更大的網站攻擊行動──這次駭客針對5.1萬個網站下手，透過多階段的惡意JavaScript注入與惡意程式碼參入正常程式碼等手法，使得瀏覽受害網站的使用者會被重新導向至惡意網站。</p> <p>除了網站資安事故相當值得留意，假冒廠商貸款名義的商業郵件詐騙（BEC）攻擊行動也同樣要小心，駭客看準了房地產業者會常常經手高額貸款的情況，發送有關的發票、電匯文件資料。研究人員指出，雖然他們成功發現駭客的意圖，但目標組織是否上當仍不得而知。</p> <p>手機、電腦內建的螢幕畫面截取工具竟存在漏洞，讓編輯過後的圖片留下有關資料，而有可能復原！研究人員認為，這樣的漏洞很可能也存在於其他廠牌的手機、電腦作業系統上。</p> <h3><a href="https://www.ithome.com.tw/news/156119"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月25日】GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰</span></strong></a></h3> <p>繼上個月<a href="https://www.ithome.com.tw/news/155321">程式碼儲存庫GitHub察覺應用程式的簽章遭竊</a>，最近再傳資安事故──GitHub網站的部分私鑰不慎公開，該公司已採取緊急應變措施因應。不過，對於金鑰曝光的確切時間，他們沒有進一步說明。</p> <p>社群網站的資料庫沒有採取妥善的防護措施，而造成個資外洩，有可能讓使用者相關個資曝光，甚至影響人身安全。近日資安新聞網站發現韓國美容社交平臺PowderRoom資料外洩事故，並指出至少曝露超過一年。</p> <p>在一起針對電商網站的側錄攻擊行動裡，研究人員發現受害情況可能更加複雜，而使得遭到攻擊的網站更難清除相關的攻擊程式碼。</p> </div></div></div>
2023/3/27 10:32作者羅正漢https://www.ithome.com.tw/news/156121
【資安日報】3月25日，GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上個月<a href="https://www.ithome.com.tw/news/155321">程式碼儲存庫GitHub察覺應用程式的簽章遭竊</a>，最近再傳資安事故──GitHub網站的部分私鑰不慎公開，該公司已採取緊急應變措施因應。不過，對於金鑰曝光的確切時間，他們沒有進一步說明。</p> <p>社群網站的資料庫沒有採取妥善的防護措施，而造成個資外洩，有可能讓使用者相關個資曝光，甚至影響人身安全。近日資安新聞網站發現韓國美容社交平臺PowderRoom資料外洩事故，並指出至少曝露超過一年。</p> <p>在一起針對電商網站的側錄攻擊行動裡，研究人員發現受害情況可能更加複雜，而使得遭到攻擊的網站更難清除相關的攻擊程式碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://github.blog/2023-03-23-we-updated-our-rsa-ssh-host-key/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub私鑰遭到公開，該公司進行緊急撤換</span></strong></a></p> <p>3月23日GitHub發布公告，表示近日他們網站的RSA SSH私鑰，短暫曝露於公開的儲存庫。對此，該公司進行部分的金鑰替換因應。而對於本次事故發生的原因，他們初步認為是無意間造成的錯誤，並非GitHub系統遭到攻擊，也沒有客戶個資被竊取。再者，目前尚未有證據顯示該公司曝露的金鑰遭利用。</p> <p><a href="https://cybernews.com/security/powder-room-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國美容社交平臺PowderRoom曝露百萬用戶個資</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PowderRoom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowderRoom.png" style="width: 200px; float: right;" /></a>資安新聞網站Cybernews揭露韓國美容社交平臺PowderRoom資料外洩事故，此平臺採用的資料庫內含近140 GB資料，包含使用者姓名、電話號碼、Instagram用戶名稱、居住地址，公開超過一年，一旦遭到濫用，攻擊者有可能挾持這些使用者帳號及支付資料購物，或是在PowderRoom平臺發表評論，甚至透過地址與電話號碼騷擾使用者。根據該資料庫存放的帳密資料，約有100萬個使用者受到影響。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/03/new-kritec-skimmer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電子商務平臺Magento遭到惡意程式碼Kritec側錄交易資料</span></strong></a></p> <p>資安業者Malwarebytes發現，在<a href="https://www.akamai.com/blog/security/magecart-attack-disguised-as-google-tag-manager">上個月雲端服務業者Akamai揭露的Magecart網站側錄攻擊</a>當中，發現出手的駭客組織可能有第二組人馬。</p> <p>當時Akamai指出，駭客為了隱匿行蹤，他們不只使用Base64演算法來處理惡意程式碼，並冒充Google Tab Manager等第三方網站服務。Malwarebytes的研究人員指出，在Akamai發現駭客所使用的側錄工具「WebSocket」之外，他們在受害的電商網站，還找到另一款名為Kritec的側錄工具，它會濫用Cloudflare的網域來隱匿基礎設施，且含有中介載入器等特徵。</p> <p><a href="https://blog.cyble.com/2023/03/21/notorious-sidecopy-apt-group-sets-sights-on-indias-drdo/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度國防研發機構DRDO遭駭客組織SideCopy攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Infection-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Infection-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露鎖定印度國防研究與發展機構（DRDO）的攻擊行動，巴基斯坦駭客組織SideCopy透過垃圾郵件挾帶ZIP附件檔案，其內容是偽裝成PPTX簡報的捷徑檔案（LNK），一旦收信人開啟，就會執行Windows元件mshta.exe存取指定的URL，下載HTA檔案，此檔案會在受害電腦投放PPTX的誘餌檔案、DLL程式庫載入工具。</p> <p>接著，該載入工具執行第二階段的HTA檔案、DLL程式庫載入工具，最終執行惡意程式cridviz.exe、RAT木馬程式Duser.dll，收集系統資訊，以及電腦所用防毒軟體的名稱，並回傳C2中繼站。</p> <p><a href="https://www.elastic.co/security-labs/naplistener-more-bad-dreams-from-the-developers-of-siestagraph"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南亞、東南亞遭到流量監聽軟體Naplistener攻擊</span></strong></a></p> <p>Elasticsearch旗下的資安實驗室揭露駭客組織Ref2924的攻擊行動，利用C#編譯的HTTP流量監聽工具Naplistener，針對南亞、東南亞的組織而來。研究人員看到攻擊者使用可執行檔型式的Naplistener，並以Windows服務植入受害電腦。</p> <p>值得留意的是，駭客為了迴避資安系統偵測，此監聽工具還會模仿網頁伺服器的行為，產生看似正常的流量，來隱匿其監聽行動。再者，此監聽工具的行動也不會在IIS伺服器留下事件記錄，導致無論是透過網路偵測或是事件記錄偵測都難以察覺。</p> <p><a href="https://www.fda.gov.tw/TC/newsContent.aspx?cid=4&id=t601584"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">食品藥物管理署網站遭到DDoS攻擊</span></strong></a></p> <p>3月24日，食品藥物管理署網站傳出遭到駭客攻擊，而無法存取，對此，食藥署發出公告，證實他們遭到分散式阻斷服務攻擊（DDoS），察覺異常流量後隨即啟動緊急因應措施，並與電信業者合作，現已恢復正常。食藥署指出，這次遭到攻擊的對象是DNS，導致使用者無法經由網址解析服務存取該網站的IP位址。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cisa.gov/news-events/alerts/2023/03/23/untitled-goose-tool-aids-hunt-and-incident-response-azure-azure-active-directory-and-microsoft-365"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA發布可在微軟雲端服務偵測惡意行動的工具</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月23日，發布名為Untitled Goose Tool的資安事件回應工具，目的是協助組織偵測微軟雲端環境的威脅，適用範圍涵蓋Azure、Azure Active Directory、Microsoft 365等。此外，該工具亦能從Microsoft Defender for Endpoint、Defender for Internet of Things收集額外的遙測資料。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.mitiga.io/blog/how-okta-passwords-can-be-compromised-uncovering-a-risk-to-user-data"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">身分驗證及管理系統Okta出現漏洞，恐曝露用戶明文帳號資料而被濫用</span></span></strong></a></p> <p><a href="https://blog.blacklanternsecurity.com/p/introducing-badsecrets"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Black Lantern提供開源工具Badsecrets，可偵測網頁應用程式框架曝露的帳密資料</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/operation-tainted-love-chinese-apts-target-telcos-in-new-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中東電信業者遭到中國駭客長達十年的攻擊行動</span></span></strong></a></p> <p><a href="https://www.cleafy.com/cleafy-labs/nexus-a-new-android-botnet"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">450款金融App遭到安卓木馬Nexus鎖定</span></span></strong></a></p> <p><a href="https://blog.phylum.io/malicious-actors-use-unicode-support-in-python-to-evade-detection"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件濫用萬國碼規避偵測</span></span></strong></a></p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/blackguard-stealer-extends-its-capabilities-in-new-variant"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">57種加密貨幣錢包遭竊資軟體BlackGuard鎖定</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156109">【3月24日】逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156071">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a></strong></p> </div></div></div>
2023/3/25 14:55作者周峻佑https://www.ithome.com.tw/news/156119
Google推出Jetpack Compose 1.4，還釋出全新多媒體函式庫Media3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出Android應用程式UI工具包<a href="https://android-developers.googleblog.com/2023/03/whats-new-in-jetpack-compose-march-23-release.html">Jetpack Compose的最新版本1.4</a>，該版本的新增包括分頁工具Pager和Flow布局功能，同時也提供開發者配置文字樣式的新方法，加入連字號（Hyphenation）和換行（Line-Break）行為等。</p> <p>Jetpack Compose現在能夠讓開發者簡單地創建垂直分頁和水平分頁，讓行動裝置應用程式使用者在螢幕上左右滑動，就能夠快速切換不同內容分頁（下圖）。而Flow布局則提供了一個新的內容折疊方法，當空間不足時，Flow布局允許項目折疊至下一列或下一行。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiELvzQcreOWwd1wEHdHUaxRC-MJ5chGqr_vueQQjRrY6jadlpDNJ2fQb1zkFrgaJ_qdq9nq6pt6PQ-A3Gw7QRO-C0JDdjOOImH1pygKk7zcKNX8PPoGb6dDE5y8xJvEdDKHCB2wWYlrRKXtfEW6sA6t22FPeSSgE8G1MCrDYmE6UyA7LIUJWOi1euy/s1600/image2.gif" style="width: 538px;" /></p> <p>Jetpack Compose 1.4也改進了Text和TextField的靈活性，除了修復錯誤、支援新的表情符號外，Google也解決TextField長期存在的問題，之前在特定情況，可滾動Column或LazyColumn中的文字欄位，在獲得焦點後會被螢幕鍵盤遮擋。Google透過重新設計滾動和焦點邏輯，並添加PinnableContainer等API，修正了這個問題。</p> <p>Text和TextStyle皆新加入更多自定義選項，像是能夠繪製描邊字體的TextStyle.drawStyle，可以配置換行行為TextStyle.lineBreak，以及使用TextStyle.hyphens加入連字符號。</p> <p>除了Jetpack Compose之外，Google還釋出全新多媒體函式庫<a href="https://android-developers.googleblog.com/2023/03/media3-is-ready-to-play.html">Jetpack Media3</a>，供開發者可以在應用程式中建置各種音訊和影像功能，官方表示，Media3與ExoPlayer、MediaCompat或Media2函式庫相似，但是Media3功能更加強大，除了播放功能之外，Media3更提供影片編輯和轉碼等新功能。</p> <p>隨著Media3的發布，ExoPlayer專案被棄用並轉入Media3中，成為Player介面的預設實作，名為com.google.android.exoplayer2，而獨立的ExoPlayer專案將停止開發，未來的更新都會在Media3中發布。</p> </div></div></div>
2023/3/25 11:41作者李建興https://www.ithome.com.tw/news/156111
Windows 11剪取工具臭蟲能讓所有編輯的圖片失效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現Windows 11的剪取工具存在一項臭蟲，能讓用戶剪裁過的圖片回復，不但會造成作業混亂，也有隱私問題。</p> <p>Windows和Android、iOS都提供讓用戶剪取、編輯或塗黑相片或圖片某個部分的工具，以便符合簡報需求，或隱藏隱私或機密資訊。不過上周有研究人員<a href="http://twitter.com/ItsSimonTime/status/1636857478263750656" target="_blank">David Buchanan及</a><a href="https://twitter.com/ItsSimonTime/status/1636857478263750656" target="_blank">Simon Aarons發現</a>Google Pixel手機中的標記工具（Markup Tool）有項臭蟲，能部分回復經用戶剪取或塗黑的圖片，而且久至5年前的相片都能作用。利用這項漏洞，使用者想隱藏的信用卡號或其他隱私資訊都可能曝光。</p> <p>研究人員稱此臭蟲為Acropalypse，<a href="https://acropalypse.app/" target="_blank">他甚至推出一個線上擷圖回復工具</a>，復原Pixel手機上經剪取編輯的圖片，並示範將測試用、以Pixel手機塗黑過再上傳到Discord網站的相片回復原圖。</p> <p><a href="https://twitter.com/ProgramMax/status/1638217206180741121" target="_blank">另一名研究人員Chris Blume則在Windows 11發現類似的問題</a>。假設有一幀PNG圖檔及以Windows 11剪取工具剪取的小圖，研究人員以Windows 11剪取工具開啟該剪裁過的圖片，再以原圖的檔名儲存，以覆蓋掉原圖。這個漏洞在於以Windows 11剪取工具新產生的PNG圖檔，並未移除掉原圖檔的IEND資料串，這使得新PNG圖檔看似是小圖，其實包含原圖資訊。</p> <p>研究人員Buchanan的工具是為Pixel手機相片設計的，但仍在測試中，部份回復了舊PNG圖檔（不過並非所有PNG格式）。</p> <p>此外，<a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-snipping-tool-privacy-bug-exposes-cropped-image-content/" target="_blank">《Bleeping Computer》測試發現</a>，Windows 11的剪取工具在編輯.JPG圖檔也有同樣問題。只是研究人員說，目前他的工具還不支援JPG檔。</p> <p>微軟對媒體表示已展開調查，必要時將採取行動確保用戶資訊。</p> </div></div></div>
2023/3/24 12:03作者林妍溱https://www.ithome.com.tw/news/156100
AI大神訓練所是門好生意
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未來會出現一種超大算力池的服務，不是AI大神未來住的地方，而是大神的訓練所，訓練時不用對外服務，大神閉關2個月後出來，功力快速提升兩甲子。」台灣大哥大副總經理暨資訊長蔡祈岩越講越興奮</p> <p>那是3月第一個周日的上午，OpenAI剛釋出ChatGPT付費API沒幾天，為了製作<a href="https://www.ithome.com.tw/article/155858">「ChatGPT能與不能」封面故事</a>，我向資訊長請教， ChatGPT對企業的未來影響，他足足講了兩個小時還欲罷不能。</p> <p>今年1月，台灣大哥大資訊群開始在內部試用ChatGPT，也嘗試讓開發人員用ChatGPT輔助寫程式，在內部九大工種，包括了iOS、Android、後端（Java、非Java）、前端（JavaScript、.NET)、PL/SQL、雲端工程以及QA等工種團隊中，挑選先期種子人員，包括新手和資深人員，實際在開發場域使用ChatGPT。資訊長自己更是早就付費嘗試各種點子，他告訴我，用越多，越有心得。</p> <p>蔡祈岩歸納，<a href="https://www.ithome.com.tw/news/155856">ChatGPT有5個層次的企業應用</a>，一是提高員工生產力；二是強化企業內外的數位平臺與服務；三是微調出企業需要的客製化ChatGPT ；四是訓練出企業自己擁有的GPT-like模型；最後一項則是打造或投資AI算力池。</p> <p>熱騰騰的封面故事才剛在10號出刊，隔周，Google在3月14日展開大反攻，發表了高達5,400億參數訓練的生成式AI模型PaLM的API，也展示生成式AI嵌入到Gmail等WorkSpace辦公室套件的新功能，十分讓人驚艷。</p> <p>沒想到，幾個小時後，GPT-4橫空問世，圖文通吃的新一代GPT，再次顛覆了眾人的想像，但這一周的AI大事件還沒結束，微軟在周四更揭露了用GPT-4打造的Office全新AI助手M365 Copilot，將這股GPT熱潮帶到更高峰。不只OpenAI開放限量GPT-4的API試用，微軟緊跟在3月21日釋出Azure OpenAI的GPT-4模型試用。</p> <p>趕搭這股生成式AI浪潮，Nvidia創辦人黃仁勳在3月20日的GTC大會開場演講中，發表了AI超級電腦雲服務DGX Cloud，這是一個在雲端提供的AI超級電腦租用服務。Nvidia找來三大公雲聯手，先後將在甲骨文OCI、微軟Azure 、Google Cloud上推出DGX Cloud服務。</p> <p>不只硬體服務，Nvidia還推出了一套生成式AI模型訓練服務AI Foundations，包括了文字生成模型服務NeMO、視覺語言模型服務Picasso以及生化產業專屬的文字生成式模型服務BioNeMo。</p> <p>Nvidia在NeMO服務上，提供了高達5,400億參數預訓練好的GPT-3模型軟體，搭配上AI超級電腦硬體租用服務，企業可以快速打造出自己的GPT-Like模型。</p> <p>Nvidia打造這兩項新服務的技術，都是過去1、2年來陸續發表的硬體與軟體產品，例如NeMO框架早在2020年就發表了，但在今年正式推出時，重新優化、組合成了新商業模式，Nvidia將自家AI軟硬體產品，變成雲端代管的AI服務。</p> <p>不論是使用OpenAI、微軟Azure或是Google Cloud提供的生成式模型API，企業終究得把內部資料，送到這些平臺上才能用。這正是許多企業最在意的機敏資料與隱私疑慮，甚至得考量諸多法遵規範的限制，例如臺灣金融機構若要使用只在美國機房部署的ChatGPT，來處理內部顧客資料，還得獲得金管會點頭才行。</p> <p>而Nvidia這一套AI超級電腦服務，聽起來就像是蔡祈岩提到的「AI大神訓練所」的服務，可以讓企業訓練出自己的GPT-like模型，客製專屬AI大神。甚至，DGX Cloud支援混合雲架構，也可以落地部署，只要企業財力雄厚，完全可以自己打造一套超級電腦運算池，蓋一座自己的大神訓練所。</p> <p>DGX Cloud不會是唯一的一所GPT類大神訓練所，三大公雲巨頭也早就有各種類型AI大神的訓練所，隨著ChatGPT帶來的生成式AI浪潮，人們看到了全新人機互動、人機協作的形式，勢必出現更多「養大神」的客製化生成式AI需求，大神訓練所可以成為一門新的好生意。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gpt">GPT</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/dgx">DGX</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div></div></div>
2023/3/23 18:01作者王宏仁https://www.ithome.com.tw/voice/156082
微軟預覽Office協同工具Loop，也加入了AI工具Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/03/22/new-microsoft-loop-app-is-built-for-modern-co-creation/" target="_blank">微軟昨（22）日宣布</a>可讓Office靈活分享及更新內容的協同工具Loop上線，<a href="https://loop.microsoft.com/learn" target="_blank">以預覽版讓所有人試用</a>，也釋出Android及iOS版App開放企業帳號登入。</p> <p>微軟首次<a href="https://www.ithome.com.tw/news/147628" target="_blank">於2021年底公布Loop</a>。類似Notion，Loop也是提供任務、內容及文件共享與協同的Hub，它是以Fluid框架為基礎，可將網頁或文件各種內容，如文字、表格、圖片元件化，讓使用者將單獨元件複製、貼上、搬移到另一個畫布（canvas）或工作區的地方，像是Microsoft Teams、Outlook、或是Microsoft 365中的Word及Whiteboard等App上組合，也可幾近即時分享給專案其他成員。</p> <p>Loop包含三個部分，分別是工作區（Workspace）、工作頁（Pages）及元件（Component）。所謂元件指的是可搬動的表格、段落和清單，工作頁則將單一專案的相關資訊與元件組合，而工作區上可一覽所有專案及元件，並和他人共享。微軟最新推出的Loop App則讓使用者存取三個部分。</p> <p>利用Loop，用戶可以拖放方式將文字段落、圖片或表格在單一工作頁上組合、編排及整理。只要輸入工作區標題及其他關鍵字，Loop就能建議相關可以加入其中的元件，另外也內建範本方便使用者新增單一專案。建立好的Pages可以以連結或網頁方式分享給其他人。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/wp-content/uploads/sites/2/2023/03/14-%E2%80%94-Loop-Control-2048x1067.webp" style="width: 600px;" /></p> <p>Loop可和微軟其他協同工具整合使用，例如在Loop App及任務清單上分配的工作，它提供進度追蹤器及客製化標籤，方便用戶追蹤，通知功能協助掌控進度或他人回應。Loop上的任務還能同步到Microsoft Planner及To Do上。用戶也可針對其他成員元件予以回應、評論、或加表情符號。</p> <p>這次Loop宣布最重要的新功能是加入了AI助理Copilot。Copilot可提供草擬、腦力激盪、規畫及描述等提示詞，引導用戶使用，用戶也可以直接輸入想要的協助，例如「幫我寫出公司的任務宣言」。Loop中的Copilot支援多人模式，允許多位成員問問題或編輯建議，以共同編輯Word文件、或透過Outlook、Whiteboard、或Teams協同。此外，未來Copilot也會加入Loop頁內容及關聯文件摘要功能，並以元件同步給所有成員。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/wp-content/uploads/sites/2/2023/03/M365_Loop_Copilot_031523.gif" style="width: 600px;" /></p> <p>目前Loop中的Copilot僅以封閉預覽版提供少數人試用。至於文件摘要功能則會在幾個月後正式推出。</p> <p>目前Web版Loop已經上線，也提供Android及iOS版App，不過今天只有工作帳號能登入，但個人帳號不久後也會開放。IT管理員必須以<a href="http://aka.ms/EnableLoop" target="_blank">Loop App的設定頁</a>開放員工使用Loop。</p> <p>企業用戶若想以Loop協同，目前預覽版支援一個工作頁最多50人同時編修。微軟說已測試過數百人同時使用，但該公司建議一個工作頁最好是2到12人以免降低作業效率。</p> </div></div></div>
2023/3/23 11:19作者林妍溱https://www.ithome.com.tw/news/156067
【資安日報】3月22日，缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Linux伺服器下手的惡意軟體攻擊近期不斷出現，新崛起的ShellBot殭屍網路病毒也是這類威脅之一，但值得留意的是，駭客之所以入侵這些伺服器，是因為它們的高權限系統管理帳號普遍採用弱密碼，而運用字典攻擊可猜到密碼、奪取系統主導權。</p> <p>雖然針對Linux作業系統的惡意軟體攻擊變多，但攻擊Windows電腦的惡意軟體也同樣不能掉以輕心。例如，名為DotRunpeX的惡意軟體不只用了處理程序挖空手法（Process Hollowing），更罕見地採用了虛擬化元件KoiVM來混淆程式碼。在此之前，只有名為MalVirt的惡意程式載入器採用此種混淆手段。</p> <p>攻擊者廣泛利用零時差漏洞的現象，也令人觸目驚心。有資安業者分析相關攻擊行動，結果發現2022年駭客偏好的零時差漏洞超過50個，最多的還是Windows作業系統漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://asec.ahnlab.com/en/49769/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">缺乏管理的Linux伺服器遭到DDoS惡意軟體ShellBot攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dotrunpex-image-60.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dotrunpex-image-60.png" style="width: 300px; float: right;" /></a>資安業者AhnLab揭露DDoS殭屍網路病毒ShellBot（亦稱PerlBot）的攻擊行動，此病毒程式以Perl開發而成，並透過IRC的通訊協定與C2伺服器連線。駭客專門鎖定缺乏管理的Linux伺服器下手，掃描目標是否開放SSH連接埠（22埠），然後透過常見的SSH帳密來進行字典攻擊，進而入侵並部署殭屍網路病毒。</p> <p>研究人員總共發現3種版本的ShellBot，分別是LiGhT's Modded perlbot v2、DDoS PBot v2.0、PowerBots (C) GohacK。前兩種的主要用途是DDoS攻擊，最後一種則擁有較多後門的功能，像是提供反向Shell連線，或是能對受害主機上傳任意檔案。</p> <p>但除了將受害伺服器用於DDoS攻擊，研究人員發現，攻擊者透過Shell指令碼編譯器植入了挖礦軟體。</p> <p><a href="https://research.checkpoint.com/2023/dotrunpex-demystifying-new-virtualized-net-injector-used-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DotRunpeX透過搜尋引擎廣告散布</span></strong></a></p> <p>資安業者Check Point揭露名為DotRunpeX惡意軟體，使用俄文的駭客將其用於散布多種竊資軟體（Infostealer），例如：Agent Tesla、FormBook、LokiBot、Raccoon Stealer, RedLine Stealer、Vidar等。</p> <p>此惡意程式採用.NET編譯而成的新型注入工具，並透過處理程序挖空（Process Hollowing）手法執行，通常在攻擊行動中將其用於第二階段行動。駭客通常透過釣魚郵件的附件，或是假借提供AnyDesk、LastPass應用程式的名義，投放惡意廣告引誘使用者上鉤。</p> <p>特別的是，此惡意軟體新的變種於2022年10月出現，首度採用了虛擬化工具KoiVM進行混淆，並透過存在漏洞的Sysinternals工具包驅動程式元件procexp.sys，進行自帶驅動程式攻擊（BYOVD），停用Windows作業系統的防惡意軟體服務。</p> <p><a href="https://www.mandiant.com/resources/blog/zero-days-exploited-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年有55個零時差漏洞遭到廣泛利用</span></strong></a></p> <p>駭客利用零時差漏洞發動攻擊的事件不時傳出，但他們最常用到的漏洞有哪些？資安業者Mandiant針對2022年的零時差漏洞攻擊進行調查，發現總共有55個零時差漏洞是駭客偏好利用的對象，這些漏洞幾乎都能被用於提升權限，或是遠端執行任意程式碼（RCE）。</p> <p>研究人員指出，當中有13個是網路間諜利用的對象，且有逾半數是中國駭客組織所用。在全部55個漏洞裡，微軟、Google、蘋果的零時差漏洞就包辦了三分之二，當中最多是Windows（15個）、Chrome（9個）、iOS（5個）、macOS（4個）。</p> <p>雖然駭客使用的零時差漏洞與Windows有關的最多，但研究人員認為，「邊界基礎設施（Edge Infrastructure）」類型產品的漏洞更受到網路間諜歡迎，原因是這類系統往往暴露在網際網路的連線，並且無法在此架設EDR或XDR類型的資安偵測解決方案，而使得組織不易察覺異狀。</p> <p><a href="https://unit42.paloaltonetworks.com/trigona-ransomware-update/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Trigona鎖定美國、歐洲、澳洲而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-127253-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-127253-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露自2022年10月出現的勒索軟體Trigona，鎖定澳洲、義大利、法國、德國、紐西蘭、美國的農業設施、金融產業、高科技產業，以及市場行銷業者，研究人員從2022年12月發現有超過15個組織遭到相關攻擊。</p> <p>一旦駭客成功入侵受害組織，就會執行偵察、利用遠端監控管理軟體（RMM）下載作案工具，然後建立新的使用者帳號來執行勒索軟體。研究人員分析此勒索軟體的戰略、戰術，以及步驟（TTP），認為背後的駭客組織曾使用另一款勒索軟體CryLock犯案。</p> <p><a href="https://www.sentinelone.com/labs/winter-vivern-uncovering-a-wave-of-global-espionage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲政府機關遭到駭客組織Winter Vivern鎖定，利用冒牌防毒植入惡意程式</span></strong></a></p> <p>資安業者SentinelOne揭露俄羅斯駭客組織Winter Vivern的攻擊行動，駭客針對波蘭、義大利、烏克蘭政府，以及聲援烏克蘭的電信公司員工而來，架設假冒特定機構的網站，如波蘭打擊網路犯罪局、烏克蘭外交部、烏克蘭國家安全局（SSU），藉此散布惡意軟體。攻擊者很可能是利用釣魚郵件夾帶含有巨集的Excel檔案，引導目標存取上述網站。</p> <p>研究人員指出，其中一種攻擊手法，就是透過批次檔來模擬防毒軟體的掃描程序，顯示執行的進度與所需時間，但實際上，該批次檔在背景利用PowerShell，從遭駭的WordPress網站下載惡意酬載Aperetif。此惡意程式具備自動挖掘並竊取受害電腦的資料、截取螢幕截圖，並將檔案透過Base64編碼處理再傳送到C2伺服器。</p> <p><a href="https://blog.cyble.com/2023/03/14/goatrat-android-banking-trojan-variant-targeting-brazilian-banks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">拉丁美洲行動支付平臺遭到安卓木馬GoatRAT濫用，攻擊巴西銀行用戶</span></strong></a></p> <p>資安業者Cyble揭露針對巴西行動支付平臺的安卓木馬程式GoatRAT，此木馬程式的攻擊目標是3家當地銀行的用戶，並濫用巴西中央銀行營運的行動支付服務Pix進行自動收款，其主要的功能是執行自動傳輸系統（ATS）攻擊，一旦GoatRAT感染目標裝置，會先利用Android系統的輔助功能來確認受害者使用的銀行名稱，然後建立假的銀行App操作畫面覆蓋整個螢幕，進而讓攻擊者將銀行帳戶的存款透過Pix轉走。特別的是，許多金融木馬程式內建的竊取驗證碼及簡訊內容機制，GoatRAT並未納入。</p> <p><a href="https://www.ferrari.com/en-EN/corporate/articles/cyber-incident-in-ferrari"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超級跑車製造商法拉利證實發生資料外洩事故，並強調不願妥協付錢</span></strong></a></p> <p>3月21日超級跑車製造商法拉利發布資安通告，表示公司網路遭到攻擊，駭客向其索討贖金，對方表示，若支付這筆費用，就不會外流他們竊得的客戶資料。對此，法拉利強調不會支付贖金，以免助長網路犯罪，並表明他們已通知客戶此事。</p> <p>根據研究人員Troy Hunt取得的通知信，客戶姓名、住家地址、電話號碼、電子郵件信箱遭竊，但不包含銀行帳戶資料、與支付相關的敏感資訊，以及客戶下單記錄、持有的車輛資料。法拉利亦表示，本次事故並未影響營運。</p> <p><a href="https://www.ithome.com.tw/news/156029"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓版中國購物App拼多多遭下架，Google表示原因是網路上出現惡意版程式</span></strong></a></p> <p>根據<a href="https://www.scmp.com/tech/big-tech/article/3214328/google-play-suspends-chinese-shopping-app-pinduoduo-over-suspected-malware">南華早報</a>、<a href="https://www.reuters.com/business/retail-consumer/pinduoduo-owners-revenue-falls-short-weak-consumer-spending-2023-03-20/">路透社</a>、<a href="https://edition.cnn.com/2023/03/21/tech/china-google-pinduoduo-malware-app-intl-hk/index.html">CNN</a>等新聞媒體的報導，中國購物App「拼多多（Pinduoduo）」遭到Google下架，但特別的是，這次與過往下架惡意App的原因有所不同，並非上架於Google Play市集的App被發現惡意程式，而是Google在該市集以外的地方看到有問題的拼多多App。</p> <p>針對上述的媒體採訪，Google表示，Android裝置上的Google Play Protect防護機制，將會檢查已經安裝的拼多多App是否存在惡意行為，一旦發現異狀就會要求用戶移除，再者，該防護機制也會封鎖惡意版本拼多多App的安裝。</p> <p>對此，拼多多表示確實收到下架相關通知，但Google沒有進一步說明是否含有惡意程式。不過，拼多多美國子公司的線上購物平臺Temu的App並未受到影響，iOS版拼多多App也沒有遭到蘋果App Store下架。由於Google沒有透露細節，後續有待進一步觀察。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cloud.google.com/blog/products/identity-security/google-cloud-fs-isac-advance-security-in-financial-services"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google Cloud參與FS-ISAC重大供應商計畫，成為第一個投入的主要雲端服務業者</span></strong></a></p> <p>雲端服務業者Google Cloud於3月17日宣布，他們參與金融服務資訊共享暨分析中心（FS-ISAC）重要供應商計畫，而成為第一家投入該計畫的主要雲端服務供應商。該業者將提供他們的專家與相關資源。這項決定與Google在2021年8月，承諾要在5年內投入至少100億美元促進網路安全有關。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-saks-fifth-avenue-retailer-says-mock-data-stolen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國奢侈品百貨薩克斯第五大道傳出遭勒索軟體Clop攻擊</span></span></strong></a></p> <p><a href="https://zengo.com/zengo-uncovers-security-vulnerabilities-in-popular-web3-transaction-simulation-solutions-the-red-pill-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Coinbase加密貨幣錢包存在漏洞Red Pill，恐被用於迴避偵測</span></span></strong></a></p> <p><a href="https://www.securityweek.com/organizations-notified-of-remotely-exploitable-vulnerabilities-in-aveva-hmi-scada-products/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Aveva旗下的HMI、SCADA工控系統解決方案存在漏洞</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/03/21/notorious-sidecopy-apt-group-sets-sights-on-indias-drdo/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度國防研發機構DRDO遭駭客組織SideCopy攻擊</span></span></strong></a></p> <p><a href="https://www.elastic.co/security-labs/naplistener-more-bad-dreams-from-the-developers-of-siestagraph"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">南亞、東南亞遭到竊資軟體Naplistener攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155993">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</a></strong></p> </div></div></div>
2023/3/22 15:49作者周峻佑https://www.ithome.com.tw/news/156035
【資安日報】3月20日，政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣政府2022年稅收超徵4,500億元，行政院宣布2023年將提撥1,400億元，當中將對全國民眾普發6千元現金。消息一出，駭客也開始架設假網站來行騙。3月中財政部宣布將在22日開放登記，但也出現新的假網站，民眾要提高警覺。</p> <p>使用者透過推特的文章，向企業客服反映問題的做法也相當常見，但有駭客也趁機亂入，假借客服名義要使用者撥打詐騙電話。資安新聞網站Bleeping Computer揭露這種類型的攻擊手法，這些駭客專門鎖定那些標記為印度大型銀行的推文下手。</p> <p>除了上述針對國內外民眾的詐騙攻擊行動，鎖定企業與商業領域的事故氾濫也值得我們留意──有資安業者揭露商業郵件詐騙（BEC）大幅增加的現象，並指出相關攻擊的事件數量，2022年首度超越了勒索軟體攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://facebook.com/story.php?story_fbid=pfbid0339qMsRXbGLzffdUw3B5vDGWQWgL3HacQjQHtcb8hgVKmChCWWL8AxxhYtFEaqL1rl&id=100069163841054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">政府普發現金尚未開放，已傳出詐騙集團註冊網域行騙</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/07-cheat-big-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/07-cheat-big-3.png" style="width: 300px; float: right;" /></a>財政部於3月16日宣布全民普發每人新臺幣6千元現金的領取管道，總共區分成5種方式，並將在22日開放登記。但在此之前，傳出有人註冊名稱相似的網域，來架設冒牌登記網站的詐騙情況。財政部於3月18日發布臉書貼文，表示他們發現了將6000與gov、tw連在一起的冒牌網站網址，呼籲民眾要提高警覺。財政部也通報警調單位，該網站已被封鎖。</p> <p>財政部表示，網址應為<a href="https://6000.gov.tw">https://6000.gov.tw</a>，民眾應透過3種方法辨別，首先是6000是數字，而不應有英文字母o，再者，則是我國政府機關的網域是.gov.tw，且gov的前面一定會有「.」；最後，網址結尾不應是com。</p> <p>但這已並非政府首度針對相關詐騙提出警告──<a href="https://moda.gov.tw/press/press-releases/3519">數位發展部在1月6日獲報</a>，有民眾收到相關詐騙簡訊，強調政府不會用簡訊通知有關事宜。值得留意的是，雖然我國政府不斷提出警告，但目前尚未有資安業者透露相關攻擊規模。</p> <p><a href="https://www.bleepingcomputer.com/news/security/convincing-twitter-quote-tweet-phone-scam-targets-bank-customers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人假冒銀行的名義，在推特回覆使用者標註的貼文</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake-axis-support.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-axis-support.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有人針對使用者在推特向銀行反映問題的推文裡，假冒銀行的客戶支援團隊，要求使用者撥打指定的專線進行後續的處理事宜。</p> <p>研究人員Ax Sharma在一則有關資安事故的推文裡，標記印度大型銀行Axis Bank，結果ID為@AXIS_BANK_00的用戶假借該銀行名義，要求研究人員撥打24小時服務熱線，並留下電話號碼。然而，正牌的銀行客服很快就出面，表示留意到有人假冒他們名義的情況，呼籲該名研究人員切勿與此用戶互動，也不要透露個人資料。研究人員根據上述用戶留下的客服電話號碼進行調查，發現駭客也有假冒其他印度主要銀行HDFC、ICICI的情況。</p> <p><a href="https://www.secureworks.com/resources/rp-irs-learning-from-incident-response-team-2022-year-in-review"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年BEC詐騙事故翻倍，威脅首度超越勒索軟體</span></strong></a></p> <p>資安業者Secureworks針對2022年的整體資安事故進行回顧，當中提及商業郵件詐騙（BEC）的事故數量較前年多出一倍，而且，首度直接超越往年的頭號威脅：勒索軟體。</p> <p>研究人員指出，這樣的攻擊態勢轉變，很有可能是因為發動BEC攻擊的技術門檻略低，然而一旦成功的報酬往往相當可觀。此外，透過網路釣魚攻擊入侵目標設備的情況也大幅增加，占所有攻擊事故的初期入侵管道（Initial Access Vector，IAV）33%，較前年的13%高出許多，研究人員推測，這個現象與前述的BEC攻擊數量爆增有關。</p> <p>值得留意的是，雖然勒索軟體不再是頭號威脅，相關事故較前年少了57%，但研究人員認為，事件數量下降的原因很可能是駭客偏好對小型的組織下手，而這些組織往往不會公開或進行通報。</p> <p><a href="https://www.cadosecurity.com/previously-undiscovered-teamtnt-payload-recently-surfaced/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挖礦攻擊只是幌子！駭客組織TeamTNT發動攻擊疑為竊取機密資料</span></strong></a></p> <p>駭客組織TeamTNT濫用雲端的容器環境挖礦的情況，自2019年已有許多資安人員發現相關的攻擊行動，但如今發現新的證據，這些駭客很有可能有新的意圖。資安業者Cado Security在研究另一起<a href="https://www.ithome.com.tw/news/155716#scarleteel">針對AWS環境竊密的資安事故Scarleteel</a>之後，發現駭客使用的惡意軟體與TeamTNT用的程式之間，有共通的特徵，且加密貨幣錢包為TeamTNT所有。</p> <p>研究人員推測，這起資安事故的攻擊者很有可能就是TeamTNT，並認為該組織發動相關的挖礦攻擊，實際上是為了竊取機密，但他們也不排除這是其他駭客組織模仿TeamTNT的攻擊手法。</p> <p><a href="https://www.cybersecuritydive.com/news/mks-instruments-class-action-litigation-ransomware/645061/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">半導體設備商MKS Instruments遭遇勒索軟體攻擊，面臨集體訴訟</span></strong></a></p> <p>根據新聞網站Cybersecurity Dive的報導，半導體設備商MKS Instruments於3月14日，向美國證交所（SEC）提出10-K財報，當中透露因為2月的勒索軟體攻擊事故導致產能不足，該公司在3月3日於加州法院遭到集體訴訟，但提告人尚未提出具體的求償內容。</p> <p>MKS Instruments在2月底的電話會議裡，曾透露此資安事故造成的影響──因為光子與真空解決方案部門的營運受阻，導致他們估計今年第一季營收將減少2億美元。</p> <p><a href="http://www.hitachienergy.com/news/features/2023/03/third-party-cybersecurity-incident"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Hitachi Energy也傳出成為GoAnywhere零時差漏洞的受害組織</span></strong></a></p> <p>勒索軟體駭客Clop聲稱利用零時差漏洞CVE-2023-0669，對一百多個組織的MFT檔案共用系統GoAnywhere出手，如今有越來越多組織證實遇害。Hitachi Energy於3月17日發布公告，表示他們遭到Clop的攻擊，部分國家或地區的員工資料可能遭到未經授權的存取，該公司隨即斷開受影響的GoAnywhere系統的對外連線，並啟動相關調查。</p> <p>該公司表示，目前尚未出現相關證據證明網路營運受到波及，客戶資料的安全性、可靠性也沒有受到影響。</p> <p><a href="https://blog.avast.com/adobe-acrobat-sign-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe線上文件簽署服務遭濫用，拿來散布竊資軟體RedLine</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/adobe-acrobat-sign-phishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/adobe-acrobat-sign-phishing.png" style="width: 300px; float: right;" /></a>資安業者Avast揭露濫用電子文件簽名服務Adobe Acrobat Sign的攻擊行動，攻擊者針對擁有許多訂閱者的YouTube頻道管理者而來，利用上述服務發送電子郵件，宣稱YouTube頻道的部分影片侵犯他人的音樂版權，要求管理者點選URL簽署線上文件處理。</p> <p>一旦頻道管理者照做，就會下載存放於Adobe伺服器的DOC檔案、PDF檔案，或是HTML檔案，若是開啟並點選文件裡的URL，就會下載竊資軟體RedLine。研究人員指出，為了魚目混珠，駭客會將RedLine的惡意酬載檔案大小增加至400 MB，並摻雜數個來自電玩遊戲俠盜獵車手5的檔案，企圖影響防毒軟體的判斷。</p> <p><a href="https://research.checkpoint.com/2023/south-korean-android-banking-menace-fakecalls/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬FakeCalls對南韓銀行用戶發動攻擊，影響的金融機構超過20家</span></strong></a></p> <p>資安業者Check Point揭露名為FakeCalls近期的安卓惡意軟體攻擊行動，駭客模仿超過20家南韓大型金融機構，在當地散布該惡意軟體。</p> <p>研究人員指出，駭客先是透過網路釣魚、搜尋引擎最佳化（SEO）汙染、惡意廣告等手法，在目標手機植入FakeCalls，並向使用者宣稱能提供低利率貸款，一旦使用者想要借款，此惡意軟體就會撥打「電話」，撥放銀行客戶服務電話的語音內容，過程中會向使用者要求信用卡資料，進而讓攻擊者達到竊取相關資料來盜刷、轉賣的目的。</p> <p>研究人員指出，此安卓惡意軟體在2022年就被發現，但現在駭客加入了更多反偵測的技術，而使得攻擊行動更難察覺。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://support.microsoft.com/en-us/topic/kb5025175-updating-the-winre-partition-on-deployed-devices-to-address-security-vulnerabilities-in-cve-2022-41099-ba6621fa-5a9f-48f1-9ca3-e13eb56fb589"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對可繞過BitLocker的WinRE元件漏洞，微軟發布新的緩解工具</span></strong></a></p> <p>微軟發布PowerShell指令碼KB5025175，目的是要針對去年11月公布的漏洞CVE-2022-41099提供較為簡化的緩解措施。此漏洞存在於Windows修復環境（WinRE），一旦攻擊者加以利用，就有機會在能夠實際接觸目標裝置的情況下，繞過BitLocker磁碟加密的安全機制，存取受到保護的檔案，而且，該漏洞的嚴重性為中等，CVSS風險評分為4.6分，可能會被大家忽視而未積極修補，導致面臨被攻擊的風險。</p> <p>該公司表示，他們提供的2個指令碼分別支援不同版本的Windows作業系統，PatchWinREScript_2004plus.ps1支援Windows 11，以及Windows 10 2004以上版本，另一個名為PatchWinREScript_General.ps1的檔案，則適用於Windows 10 1909及之前版本。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156003"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國NBA資料外洩，粉絲個資流出</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/wp-content/uploads/2023/03/A-year-of-Russian-hybrid-warfare-in-Ukraine_MS-Threat-Intelligence-1.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2023年已有17個歐洲國家遭俄羅斯駭客鎖定，從事網路間諜攻擊</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/news/cisa-establishes-ransomware-vulnerability-warning-pilot-program"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA啟動勒索軟體弱點預警計畫</span></span></strong></a></p> <p><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3328152/nsa-releases-recommendations-for-maturing-identity-credential-and-access-manage/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國安局發布零信任身分管理ICAM指南</span></span></strong></a></p> <p><a href="https://www.isc2.org//-/media/ISC2/Research/2022-WorkForce-Study/ISC2-Cybersecurity-Workforce-Study.ashx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">亞太地區2022年面臨210萬資安人才短缺</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155993">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155969">【3月16日】 AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</a></strong></p> </div></div></div>
2023/3/20 16:45作者周峻佑https://www.ithome.com.tw/news/156006
NordVPN釋出免費Meshnet功能，一舉開源Linux版程式、Libtelio與Libdrop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名VPN業者NordVPN上周一舉宣布釋出<a href="https://nordvpn.com/zh-tw/blog/why-is-meshnet-free/" target="_blank">免費加密通道功能Meshnet</a>，同時<a href="https://nordvpn.com/zh-tw/blog/nordvpn-linux-open-source/" target="_blank">開源Linux版程式</a>，以及Libtelio與Libdrop函式庫，藉以展現該公司對產品的信心，同時鼓勵開源社群協助改善相關產品。</p> <p>Meshnet過去是付費版NordVPN的一項功能，可於不同裝置之間建立加密通道，例如使用者於他國旅行時，可連至家中電腦再進行瀏覽；或是把自己的電腦當作VPN伺服器，允許海外的親友連線使用；也能在兩臺裝置間建立加密通道來傳送檔案；還是與友人一起玩遊戲時利用Meshnet來連結裝置。</p> <p>NordVPN表示，他們相信所有人都應該利用VPN的安全與便利性，但並非所有人都已準備好要使用有價的NordVPN服務，Meshnet可用來滿足簡單的需求，作為使用者進入付費服務的試金石，有別於NordVPN服務仰賴全球的伺服器網路，Meshnet功能所需的架構與維護成本都低得多。</p> <p>Meshnet最多可連結60臺裝置，可支援Windows、macOS、Linux、Android與iOS等不同的作業系統。</p> <p>同一天NordVPN還開源了完整的<a href="https://github.com/NordSecurity/nordvpn-linux" target="_blank">Linux版NordVPN程式</a>，NordVPN所有平臺所使用的<a href="https://github.com/NordSecurity/libtelio" target="_blank">網路函式庫Libtelio</a>，以及Meshnet用來分享檔案的<a href="https://github.com/NordSecurity/libdrop" target="_blank">Libdrop函式庫</a>。其中，Libtelio是NordVPN所有版本的程式碼骨幹，不僅限於Linux版。</p> <p>NordVPN表示，這3個元素的開源將允許任何人檢查、變更或重新遞送這些元素，倘若有人認為Linux版的NordVPN需要改善，或新增功能，那麼便能更改它，進而建立自己的版本。此外，他們想要來自程式碼社群的審查與意見，同時對外展現NordVPN對自家軟體的信心，也能透過社群的貢獻來改善產品。</p> </div></div></div>
2023/3/20 14:00作者陳曉莉https://www.ithome.com.tw/news/156004
Google Project Zero在三星Exynos晶片上發現18個零時差漏洞，波及三星、Vivo與Google手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Project Zero團隊本周指出，他們去年底與今年初在三星所生產的多款Exynos數據機上發現了18個零時差漏洞，當中4個最嚴重的漏洞將允許網路至基頻的遠端程式攻擊，且這18個漏洞影響了三星、Vivo及Google的眾多手機，亦波及採用Exynos W920晶片組的穿戴裝置及使用Exynos Auto T5123的汽車。</p> <p>根據Project Zero團隊的測試，這4個嚴重漏洞允許駭客自遠端危害使用者手機，駭客只需得知手機號碼就能展開攻擊，而且完全不需使用者互動，即使只進行有限的研發，該團隊亦相信老練的駭客將可輕易打造攻擊程式，自遠端悄悄危害手機，而不被使用者察覺。</p> <p>在4個嚴重漏洞中，目前僅有<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-24033" target="_blank">CVE-2023-24033</a>被賦予編號，含有該漏洞的多款晶片無法妥善檢查對話描述協定（Session Description Protocol，SDP）模組的格式類型，而可能導致服務阻斷。</p> <p>在其它較不嚴重的14個安全漏洞中，則有5個已被賦予漏洞編號，它們分別是CVE-2023-26072、CVE-2023-26073、CVE-2023-26074、CVE-2023-26075與CVE-2023-26076，這14個漏洞必須具備額外的條件才能被利用，例如要有惡意的行動營運商，或者是駭客必須實際存取裝置。</p> <p>上述18個安全漏洞波及數十款Exynos晶片，進行影響使用它們的裝置，涵蓋三星的Galaxy S22、M33、M13、M12、A71、A53、A33、A21、A13、A12與A04等手機，Vivo的S16、S15、S6、X70、X60與X30手機，Google的Pixel 6與Pixel 7，以及使用Exynos W920穿戴裝置，或是採用Exynos Auto T5123 的任何汽車等。</p> <p><a href="https://source.android.com/docs/security/bulletin/pixel/2023-03-01?hl=zh-tw" target="_blank">Google已在本周展開的3月安全更新中修補了Pixel手機的CVE-2023-24033漏洞</a>，由於各家業者修補漏洞的時間點不同，使得Project Zero資深安全工程經理Tim Willis建議，擁有相關裝置的使用者可於設定中暫時關閉Wi-Fi通話（Wi-Fi calling）及Voice-over-LTE（VoLTE）功能，以避免遭到攻擊。</p> <p>依照Google的漏洞揭露政策，這4個嚴重漏洞皆已超過90天的揭露期限，只是有鑑於揭露它們帶給駭客的好處可能多過於防禦方，使得Project Zero團隊決定延後揭露相關漏洞。</p> <p>而另外的14個漏洞中，上述5個具備編號的漏洞則已超過揭露期限，並已被Google及<a href="https://semiconductor.samsung.com/support/quality-support/product-security-updates/" target="_blank">三星</a>公開，其它的漏洞則會在到達揭露期限之際公諸於眾。</p> </div></div></div>
2023/3/17 15:45作者陳曉莉https://www.ithome.com.tw/news/155989
微軟Patch Tuesday修補2項零時差漏洞，包含影響Outlook的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2023-Mar" target="_blank">微軟本周Patch Tuesday修補了83項軟體瑕疵</a>，並警告2項為零時差漏洞，包含影響Outlook的重大漏洞，微軟已緊急釋出偵測及緩解工具。</p> <p>2項零時差漏洞中，一項影響Windows版Outlook。該漏洞編號<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-23397" target="_blank">CVE-2023-23397</a>，為權限擴張（elevation of privilege，EoP）漏洞。攻擊者可傳送MAPI屬性包含通用命名規範（Universal Naming Convention，UNC）的惡意郵件，導致受害者連向攻擊者控制的外部SMB伺服器共享資料夾。這能讓駭客經由取得受害者的Net-NTLMv2雜湊，藉此發動NTLM Relay攻擊，即可連到另一項服務，並冒用受害者身分完成驗證存取。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-23397" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Microsoft%20Outlook-vulnerability-CVE-2023-23397.png" style="width: 550px;" /></a></p> <p>微軟並警告，這漏洞可以經由預覽窗格預覽郵件而觸發，讓受害者沒開信也會遭到攻擊。</p> <p>這漏洞是由烏克蘭電腦網路危機處理小組（CERT）及微軟威脅情報中心共同發現，風險值達9.8。本漏洞影響所有版本Windows版Outlook，但Android、iOS、Mac及Web版Outlook則未受影響，且Microsoft 365等線上服務不支援NTLM驗證，因此不受這類惡意信件影響。</p> <p><a href="https://msrc.microsoft.com/blog/2023/03/microsoft-mitigates-outlook-elevation-of-privilege-vulnerability/" target="_blank">微軟指出</a>，攻擊該漏洞的是一個俄羅斯的駭客組織。他們相信該組織正對歐洲部分政府、交通、能源及軍事單位發動精準攻擊。</p> <p>另一項零時差漏洞則是<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-24880" target="_blank">CVE-2023-24880</a>，為SmartScreen安全功能繞過漏洞。攻擊者可製作惡意檔案，繞過Windows的Mark of the Web（MOTW）防護。MOTW防護是指當用戶從網路上下載檔案，Windows會在該檔加入MOTW的識別碼，在用戶開啟執行時發送SmartScreen檢查並警告用戶留意。最新漏洞會導致SmartScreen警告不會被觸發，提高惡意程式下載機會。本漏洞風險值5.4，影響Windows 10以上桌機，以及Windows Server 2016、2019及2022。</p> <p>微軟強烈建議所有用戶升級到最新版本軟體。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-24880" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0316-Windows%20SmartScreen-Vulnerability-CVE-2023-24880.png" style="width: 600px;" /></a></p> <p>微軟昨日同時針對CVE-2023-23397緊急釋出<a href="https://microsoft.github.io/CSS-Exchange/Security/CVE-2023-23397/" target="_blank">偵測及緩解腳本程式CVE-2023-23397 script</a>。這項工具可以偵測是否有連到指向不明共享資料夾的電子郵件、行事曆或待辦事項物件。一旦偵測到就會移除或清除參數。如果未偵測到任何物件，表示用戶組織應該沒有受漏洞影響。</p> </div></div></div>
2023/3/16 11:45作者林妍溱https://www.ithome.com.tw/news/155952
【資安日報】3月10日，SonicWall的SSL VPN設備遭到中國駭客鎖定、Oracle Weblogic Ser…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著遠距辦公成為常態，針對Foritnet、Pulse Secure等廠牌的SSL VPN設備而來的攻擊行動不時出現。最近有資安業者發現鎖定SonicWall旗下SSL VPN設備而來的惡意軟體攻擊，其目的就是要竊取連線的使用者帳密資料。</p> <p>鎖定Oracle Weblogic Server的攻擊行動也相當值得留意，有駭客組織專門將這種伺服器拿來挖礦，根據提供惡意程式的賣家指出，他們已納入數種迴避偵測的機制，並提供進階功能讓買家選用。但特別的是，Oracle Weblogic Server可架設於Windows、Linux主機，但駭客專門鎖定前者，這起攻擊行動可能有高度針對性。</p> <p>中國遠端桌面軟體的漏洞又再度被用於攻擊行動！這次是用於部署惡意軟體PlugX，<a href="https://www.ithome.com.tw/news/155423#sunlogin">在此之前</a>，已有駭客用於散布滲透測試工具、木馬程式，以及挖礦軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/suspected-chinese-persist-sonicwall"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SonicWall的SSL VPN設備遭到中國駭客鎖定</span></strong></a></p> <p>資安業者Mandiant揭露針對SonicWall的SSL VPN系統Secure Mobile Access（SMA）而來的攻擊行動，中國駭客組織UNC4540在這些設備植入惡意軟體，目的很有可能是竊取已加鹽的使用者帳密資料。</p> <p>研究人員指出，駭客運用的惡意軟體，由名為TinyShell的後門程式、偽裝成防火牆組態設定程式的ELF可執行檔，以及數個bash指令碼組成。</p> <p>值得留意的是，駭客為了讓惡意程式能持續在受害的SMA設備上運作，不只採用了備援機制，甚至竄改韌體植入後門root使用者帳號，並且每10秒偵測韌體是否遭到覆寫的情況。研究人員推測，相關的攻擊行動很可能從2021年就開始。</p> <p><a href="https://www.fortinet.com/blog/threat-research/old-cyber-gang-uses-new-crypter-scrubcrypt"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">部分Oracle Weblogic Server遭到挖礦軟體ScrubCrypt鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/screen-shot-2023-03-07-at-9_43_2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/screen-shot-2023-03-07-at-9_43_2.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露針對Windows版Oracle Weblogic Server而來的攻擊行動，駭客組織8220於今年1月至2月，透過名為ScrubCrypt的惡意軟體進行挖礦。</p> <p>研究人員提及，提供相關工具的賣家標榜，ScrubCrypt能規避防毒軟體Microsoft Defender偵測，並可躲避Windows作業系統的使用者帳戶控制（UAC）、反惡意軟體掃描介面（AMSI）、Windows事件記錄追蹤（ETW）等防護措施。</p> <p><a href="https://asec.ahnlab.com/en/49097/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠端桌面軟體漏洞被用於部署惡意軟體PlugX</span></strong></a></p> <p>遠端桌面軟體的漏洞也成為駭客入侵受害電腦的管道，例如，資安業者AhnLab揭露近期散布惡意軟體PlugX的攻擊行動，駭客利用中國遠端桌面軟體Sunlogin、Awesun的遠端任意程式碼執行（RCE）漏洞，進而在受害電腦部署PlugX。</p> <p>這些攻擊者透過PowerShell下載資安業者ESET開發的HTTP Server Service應用程式（esetservice.exe），以及程式庫http_dll.dll，然後透過DLL側載的方式，於記憶體內執行PlugX。</p> <p><a href="http://s1.ai/IceFire"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體IceFire鎖定IBM檔案共享系統下手，加密Linux主機</span></strong></a></p> <p>資安業者SentinelOne揭露近期勒索軟體IceFire的攻擊行動，駭客從2月中旬開始，破壞全球數家多媒體與娛樂組織的內部網路環境，一旦成功入侵，這些駭客就加密Linux伺服器的檔案，並留下勒索訊息。</p> <p>研究人員指出，有別於Windows版勒索軟體透過釣魚郵件散布，駭客入侵Linux主機的管道，是利用IBM檔案共享系統Aspera Faspex的<a href="https://www.ithome.com.tw/news/155549#ibm">反序列化漏洞CVE-2022-47986（CVSS風險評分為9.8分）</a>。值得留意的是，有別於許多Linux版勒索軟體專門針對VMware虛擬化平臺ESXi而來，IceFire的目標則是擴及各式Linux主機。</p> <p><a href="https://blog.morphisec.com/sys01stealer-facebook-info-stealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密程式SYS01 stealer鎖定企業用戶的臉書帳密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2023-03-07 193418.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202023-03-07%20193418.png" style="width: 300px; float: right;" /></a>資安業者Morphisec自2022年11月，追蹤名為SYS01 Stealer的竊密軟體攻擊行動。駭客主要的攻擊目標，是政府基礎設施與製造業，其他產業也有組織受害。他們利用Google廣告與虛構的臉書個資，假借宣傳遊戲、色情內容、破解軟體等名義，來針對企業的臉書帳號管理者下手，引誘目標下載惡意軟體，目的是竊取敏感的企業臉書帳號資料。</p> <p>研究人員推測此攻擊行動從5月出現，駭客先是引誘受害者點選特定臉書帳號個資或廣告當中的URL，下載帶有惡意程式的ZIP檔案，一旦受害者執行其中以Inno-Setup封裝的安裝程式，此檔案就會投放惡意的PHP指令碼（竊密軟體）。</p> <p>駭客在指令碼使用多種方式進行編碼，而使得相關分析與偵測變得更加困難，再者，駭客不只利用PHP指令碼，他們也看到利用DLL程式庫側載、Rust或Python執行檔的方式，在受害電腦植入SYS01 Stealer。</p> <p><a href="https://unit42.paloaltonetworks.com/lokibot-spike-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體LokiBot攻擊行動在2022年底大幅增加</span></strong></a></p> <p>資安業者Palo Alto Networks揭露發生於2022年底的惡意軟體LokiBot攻擊行動，駭客先是透過釣魚郵件挾帶附件ZIP壓縮檔，其內容是含有LokiBot的ISO映像檔，並於12月29日至31日達到高峰。</p> <p>研究人員指出，LokiBot具備竊取各式軟體帳密的能力，涵蓋多種瀏覽器、FTP及SSH用戶端程式、備份軟體、收信軟體、密碼管理工具，以及Windows帳號等，一旦收信人打開ISO裡偽裝成Office文件的LokiBot，該惡意程式就會透過處理程序挖空（Process Hollowing）手法，注入aspnet_compiler.exe執行。</p> <p>為了持續在受害電腦運作，此惡意程式會呼叫特定的API，將本身複製到應用程式組態資料夾（%APPDATA%），並寫入一組機碼。至於駭客散布此惡意軟體的目的，研究人員認為與商業郵件詐騙（BEC）有著密切關係。</p> <p><a href="https://www.bleepingcomputer.com/news/security/atandt-alerts-9-million-customers-of-data-breach-after-vendor-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">9百萬AT&T用戶資料外洩，起因是合作廠商遭駭</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，美國電信業者AT&T通知行動網路用戶個資外洩，人數約9百萬名，原因是他們合作的市場行銷業者在1月份遭駭所致。</p> <p>這些資料是用戶專屬的網路資訊（CNPI），包含了無線網路的線路數量，以及採用的網路速率，但不含信用卡資料、社會安全碼（SSN）、密碼，以及其他個資；此外，也有少部分使用者的資費方案流出的情況。該公司表示，他們自身的系統並未遭駭。</p> <p><a href="https://www.audio-technica.co.jp/news/detail/196"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本音響器材業者鐵三角傳出遭勒索軟體攻擊</span></strong></a></p> <p>日本音響器材業者鐵三角（Audio-Technica）發出公告，表示他們的內部網路在2月25日凌晨發生故障，對此，該公司決定暫停電商網站、電話、傳真、電子郵件等服務。到了3月7日，該公司表示在排除故障的過程中，發現是勒索軟體入侵所致，研判有部分公司內部資料可能遭竊，並恢復電話相關服務。</p> <p>而對於遭到洩露的資料範圍，鐵三角表示需要數個星期才能確認、處理，以及恢復，但因為他們將電商網站的付款系統外包，客戶的信用卡資料並未受到波及。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://blog.aquasec.com/jenkins-server-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Jenkins伺服器漏洞CorePlague有可能被攻擊者遠端執行任意程式碼</span></strong></a></p> <p>資安業者Aqua Security揭露CI/CD系統Jenkins存在嚴重漏洞CVE-2023-27898、CVE-2023-27905，他們將其命名為CorePlague，這些漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，於Jenkins伺服器執行任意程式碼，甚至有可能完全掌控整個伺服器。</p> <p>這些漏洞存在於Jenkins伺服器與Update Center元件，研究人員指出，由於漏洞存在Jenkins伺服器與Update Center元件，因此，就算攻擊者無法直接存取Jenkins伺服器，上述漏洞還是有機會被利用。</p> <p>上述漏洞與跨網站指令碼（XSS）有關，攻擊者可利用惡意Jenkins外掛程式觸發，將其上傳至Update Center，一旦IT人員執行Available Plugin Manager元件，上述的跨網站指令碼弱點就會觸發，攻擊者就能利用名為 Script Console的API執行任意程式碼。開發團隊於1月24日獲報後，已發布修補程式。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-posts-video-of-data-stolen-from-minneapolis-schools/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">明尼阿波利斯校區傳出遭到勒索軟體Medusa攻擊，駭客索討百萬美元換取刪除資料</span></span></strong></a></p> <p><a href="https://twitter.com/MsftSecIntel/status/1633515412142034944"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">商業郵件詐騙攻擊過程可能僅有數個小時</span></span></strong></a></p> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230309"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借賺錢遊戲盜取加密貨幣</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/2023/03/07/love-scam-espionage-transparent-tribe-lures-indian-pakistani-officials/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客鎖定安卓手機散布後門程式CapraRAT</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/android-march-2023-update-fixes-two-critical-code-execution-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android三月更新發布，修補2個重大程式碼執行漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155854">【3月9日】惡意軟體QBot以微軟OneNote檔案散播攻擊的態勢升溫、Fortinet防火牆與網頁安全閘道存在重大漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155833">【3月8日】 ChatGPT被用於投資詐騙攻擊、Windows信任的資料夾被用於繞過使用者帳號控制防護措施</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155813">【3月7日】宏碁再傳資料外洩事故、一百多家組織的居易路由器遭木馬程式HiatusRAT入侵</a></strong></p> </div></div></div>
2023/3/10 16:04作者周峻佑https://www.ithome.com.tw/news/155867
【先行者經驗：台灣大哥大副總經理暨資訊長蔡祈岩】不只IT人人能變全端工程師，ChatGPT更有企業5大層次應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年1月開始，台灣大哥大資訊群開始在內部試用ChatGPT，「真的運用到工作上，才知道會帶來什麼影響。」台灣大哥大副總經理暨資訊長蔡祈岩強調。</p> <p><span style="font-size:28px;"><strong>台灣大哥大怎麼用ChatGPT</strong></span></p> <p>蔡祈岩開始嘗試讓開發人員用ChatGPT輔助寫程式，在內部九大工種，包括了iOS、Android、後端（Java、非Java）、前端（Javascript、.NET)、PL/SQL、雲端工程以及QA等工種團隊中，各挑選一些先期種子，有資深人員，也有新手工程師，實際在開發場域使用ChatGPT。從2月開始，更在每周工程師分享時間中，找來這群ChatGPT實作者，分享在他所屬工種情境中的測試報告跟使用狀況。</p> <p>台灣大哥大去年就曾嘗試程式碼AI幫手Copilot，這次也列入與ChatGPT程式碼生成的比較。目前結論是：ChatGPT比Copilot強很多。蔡祈岩解釋，ChatGPT所用的模型更新，涵蓋的語言種類更多，對開發者描述語的理解也比較深，因此，ChatGPT所產生的程式碼的正確率也較高。</p> <p>不過，他觀察，目前ChatGPT自動產生程式碼的作法還是有局限，第一，沒辦法幫忙修改現有較大的系統，因為它還沒有能力理解系統架構，也就沒辦法幫忙依照需求修改老舊系統。</p> <p>對IT團隊來說，舊有系統修改是更大的關鍵需求，若能將舊系統整套匯入，AI讀完能夠完整理解全局邏輯，甚至能幫助工程師新增或修改部分功能而不會改A弄壞B，但目前的ChatGPT無法做到這件事。</p> <p>目前可以幫助之處，像是快速生成原型系統、撰寫自動化腳本、協助單元測試，或是陌生技術開發，例如更快串接新API或新資料庫等。</p> <p>另外，它可能會讓軟體工程師打破工種分工，例如：若工程師只熟悉A技術，而不熟悉B技術，過去這類工程師要開發B技術應用相對痛苦，蔡祈岩表示，ChatGPT可以扮演一個熟悉B技術的助手，「能讓工程師會更有自信，開發速度比較快，也能夠減少嘗試錯誤的次數。」</p> <p>甚至，進一步來說，熟悉iOS的工程師，借助ChatGPT也能夠開發Android程式，甚至後端工程師也能開發前端應用，而且不只Web應用，還可以開發iOS或Android應用。</p> <p>「根據我們目前的實驗，未來有可能，所有的工程師都會人人變成全端工程師。」蔡祈岩強調。</p> <p>蔡祈岩認為，從ChatGPT開始，AI正式揭開序幕，往後會出現更多種大型語言模型或其他類人性的AI模型，「AI會開始大量介入每個人、每家企業的日常。這是ChatGPT真正的影響。」</p> <p><span style="font-size:28px;"><strong>ChatGPT的企業五大層次應用</strong></span></p> <p>從台灣大哥大的試用經驗中，蔡祈岩更提出ChatGPT的企業五大層次應用，一是提高員工生產力；二是強化企業內外的數位平臺與服務；三是微調出企業需要的客製化ChatGPT ；四是訓練出企業自己擁有的GPT-like模型；五是打造或投資AI算力池。</p> <p>ChatGPT對提高員工生產力的效果，已經有很多應用實例，像是IT用來協助撰寫程式，行銷企劃用來產生素材、寫文案，或者台灣大哥大也有員工用來翻譯、提案或學習新事物。「員工學習新事物，ChatGPT是很好的助教。」蔡祈岩說。</p> <p>到了第二個層次，企業應該要思考，現有對內或對外的數位平臺或服務，是否能串接ChatGPT來提升原本平臺的能力，尤其3.5版API開放後，成本比上一版低了九十%，另外也提供了開源的Whisper API，企業可以用來將過去客服錄音檔轉成文字。</p> <p>更進一步，企業可以評估要不要微調出一個客製化的ChatGPT，這是第三個層次的應用。蔡祈岩解釋，微調出自己的客製化模型，是ChatGPT背後大型語言模型的關鍵設計，稱為PPLM（Plug and Play Language Model）。</p> <p> PPLM是一種架構設計，在大型語言模型底層有一個基礎模型（Base Model）或稱基石模型（Foundation Model）。需要龐大資料量，每次訓練宣稱要價千萬美元的模型訓練，就是指對基礎模型的和龐大資料的模型訓練，因為這個基礎模型的參數多達上千億個。</p> <p>在這個基礎模型上還有一個屬性模型（Attribute Model），可以用來改變或調整模型輸出結果，更接近使用者對結果的需求或期待。蔡祈岩解釋，屬性模型和基礎模型最大的不同就是，屬性模型是一個可以更換（Plug and Play）的模型。</p> <p>換句話說，就像AI大腦中有大量知識，當要開口講的時候，再透過一個小型的神經網路模型來判斷，該說什麼更符合使用者喜歡的答案。</p> <p>「ChatGPT講起話來很像人話，非常流暢的關鍵，就是屬性模型用了大量的人工標示資料，來進行增強式學習的訓練。」蔡祈岩表示，企業打造客製化ChatGPT模型時，所微調（FineTune）的就是這個屬性模型。</p> <p>屬性模型就像是一個外掛模組一樣，企業微調出自己的客製化模型，不會改變或影響到原本的基礎模型，但很容易切換成不同的外掛。蔡祈岩比喻，就像是製作奶油蛋糕上的壓花，只要更換壓花接頭，就可以擠出不同形狀的形狀，但更換接頭不能改變奶油的本質，只能改變輸出的形狀。</p> <p>蔡祈岩指出，屬性模型是一個重要設計，關鍵是可以用相對小非常多的參數量，可能只要十萬分之一的參數量，就可以對基礎模型的輸出，產生翻天覆地的變化。在第三個層次應用中，企業可以用自己的語料和資料，訓練出一隻行銷大軍或客服大軍。蔡祈岩提供一個加速微調客製化模型的訣竅是，可以用另一隻ChatGPT產生大量新語料，例如用AI產生一句話的1千種說法，來微調訓練新的AI屬性模型。</p> <p>如果企業有更大的企圖心和財力，蔡祈岩建議，可以進入第四個層次，訓練自己的基礎模型，例如使用已經釋出原始碼和預訓練模型的類GPT 3模型，如BLOOM或GPT-Neo 3.0 或GPT 2來訓練，或是企業可以參與國際大型模型的研究計畫。</p> <p>最後一項打造或投資AI算力池的層次，則需要龐大財力，但是，「就像是過去要擁有超級電腦的概念，未來AI算力池會成為戰略性的資源。」他強調。</p> <p>對臺灣企業而言，蔡祈岩認為，所有企業都應該做到第一個層次的應用。而大部分稍具規模或擁有數位平臺的企業，如擁有網站、App、或內部資訊系統，則可以考慮發展到第二個層次。</p> <p>若企業顧客數龐大，或擁有龐大的客服團隊或業務團隊，「只有其中一個團隊規模超過數百人，企業就應該想辦法做到第三層次的ChatGPT應用。」蔡祈岩建議，因為ChatGPT的價值不是用來減少人力，而是可以增強這類對話情境的服務深度和顧客滿意度，例如24小時提供具有平均水準的客服或業務人員，不只解答還能推薦產品來行銷。「只要訓練出一支這種AI，就是千軍萬馬。」</p> <p>蔡祈岩表示，台灣大哥大已經開始推動第一層「提高生產力」的應用，任何企業都應該做到第一層應用，「而第二層到第五層，對台灣大哥大來說，也是會考慮的開放選項。」</p> <p><span style="font-size:28px;"><strong>要建立AI可用資料分級資安規範</strong></span></p> <p>在大力擁抱ChatGPT的同時，蔡祈岩提醒，需要有配套的資安規範，尤其對機敏資料的管理，他建議，企業要開始對資料進行分級，將AI視為外人，凡是不可以對外人說的資料，都不能放到ChatGPT上，可以比照企業對雲端儲存的機密控管規範做法一樣。</p> </div></div></div>
2023/3/10 09:30作者王宏仁https://www.ithome.com.tw/news/155856
Android 15可能要叫Vanilla Ice Cream
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Android 14今年稍晚才會釋出，不過Google已經在開發Android 15。承襲以甜點命名的傳統，下一代Google行動作業系統工程代號，可能叫Vanilla Ice Cream。</p> <p><a href="https://twitter.com/MishaalRahman/status/1631742485729878016" target="_blank">一名科技記者</a>在<a href="https://android-review.googlesource.com/q/VanillaIceCream" target="_blank">Android開發功能網站</a>發現這個名稱，也讓Android的工程代號命名字母進到V。</p> <p>以甜點名稱首字字母依序為Android版本命名，是Google著名的傳統。最早是Android 1.5 Cupcake、接下來的主要版本像是Android 3.0 Honeycomb、4.0 Ice Cream Sandwich、4.4 KitKat、5.0 Lollipop、6.0 Marshmallow、7.0 Nougat、8.0 Oreo。Google在Android 9 Pie之後就宣布不再公開工程代號，不過公司內部仍然還是使用甜點命名。目前的Android 13及即將推出的Android 14分別為Tiramisu及Upside Down Cake。</p> <p>記者Mishaal Rahman認為，此時就出現Android 15似乎有點太早，但是不代表開發專案不成熟，因為這個網站列出了Google來不及加入最新產品中的功能，可能會放在未來Android中。例如Android 14預定加入的背景安裝控制系統服務，也會是Android 15某些未宣布的新功能的底層技術。</p> <p>事實上預定今年8月公開釋出的Android 14 Upside Down Cake，早在2022年4月就已經釋出給少數開發人員。Google預計7月要釋出Android 14最後一個測試版 Beta 4。</p> </div></div></div>
2023/3/7 12:44作者林妍溱https://www.ithome.com.tw/news/155804
最新Google Chrome可讓MacBook不插電用更久，未來將推向Android、Windows版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Chrome向來以耗電聞名，不過Google在近日最新macOS版Chrome做了調整，<a href="https://blog.chromium.org/2023/02/do-more-with-chrome-on-single-charge-on.html" target="_blank">宣稱可讓較舊的MacBook也能上網和看YouTube更長時間</a>。Google也計畫未來推向Android、Windows及Linux版Chrome。</p> <p>Google指出，<a href="https://chromereleases.googleblog.com/2023/02/stable-channel-desktop-update_14.html" target="_blank">2月間釋出穩定版的macOS版Chrome 110.0.5481.100</a>，可讓MacBook充飽一次電使用更長時間。根據其測試，搭載M2晶片的13吋MacBook Pro用戶可連續上網17小時，或看YouTube 18小時。若配合使用Chrome的節能（Energy Saver）模式，則還能再延長30分鐘。</p> <p>Google也說明Chrome達成上述省電結果的祕訣。方法包括微調iframes、調整Javascript計時器、簡化資料結構，以及去除不必要的自動刷新。首先，由於許多iframes存在很短時間，頻繁建立及刪除iframe相當耗電，因此Chrome團隊對剛建立的iframe微調了garbage collection及記憶體壓縮演算法，有助於降低短期記憶體使用，進而減少耗能，又不影響長期記憶體使用。其次，Javascript倒數計時器沿用已久，雖然現在已經有效率更高的API，但網頁開發人員還是大量使用這類計時器，也成為耗電元兇。Google工程人員已調整了Javascript倒數計時器在Chrome中執行的作法，也發現可在不必要取消Javascript內在計時器的方法，可較少喚醒CPU，更有助於節能。</p> <p>其次，Google也從資料結構下手，優化具同樣鍵值（key）的資料存取模式。最後，Google經過調查，發現名為文件物件模型（document object model，DOM）的變更模式不會影響螢幕像素，並修改Chrome使其得以偵測並繞過不必要的網頁格式（style）、排版、色彩、光柵（raster）及GPU動作，並把最佳化結果實作到ChromeUI中，達到減少刷新網頁、耗用電量的目的。</p> <p><a href="https://www.theverge.com/2023/2/28/23618229/google-chrome-macbook-battery-power-efficiency-boost-update" target="_blank">Google向媒體證實</a>，這項最新節能技術也會加入到未來Windows、Linux及Android版Chrome上。</p> </div></div></div>
2023/3/2 14:15作者林妍溱https://www.ithome.com.tw/news/155728
Windows 11更新將加入AI加持的Bing、整合iPhone同步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟2月初才宣布以AI技術加強的Bing搜尋引擎，<a href="https://blogs.windows.com/windowsexperience/2023/02/28/introducing-a-big-update-to-windows-11-making-the-everyday-easier-including-bringing-the-new-ai-powered-bing-to-the-taskbar/" target="_blank">昨（28）日微軟宣布最新版Windows 11更新</a>，將整合ChatGPT底層AI加持的Bing預覽版、Phone Link for iOS、記事本App支援分頁，並首度加入了Windows 365終端App。</p> <p>微軟2月把AI加強的Bing桌機版以預覽版開放169國少數用戶測試後，昨日再進一步將之整合到Windows 11的可輸入文字的搜尋列及工作列上。微軟表示，Windows搜尋列每月有超過5億用戶使用，這作法讓用戶更容易找到搜尋功能，更快獲得想要的答案。而不久後，數百萬Windows 11用戶也能從工作列上直接使用Bing搜尋及聊天功能。</p> <p>如果用戶已經有Bing預覽版，只要安裝昨日釋出的Windows 11更新，就可以在搜尋列使用Bing。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Windows%2011-AI-powered%20Bing-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>在Bing部份，<a href="https://blogs.microsoft.com/blog/2023/02/22/the-new-bing-preview-experience-arrives-on-bing-and-edge-mobile-apps-introducing-bing-now-in-skype/" target="_blank">上周微軟已將Bing整合到Edge手機App及Skype中</a>。</p> <p>其他Windows 11新功能方面，原本只有支援Android版的Phone Link，這次的Windows 11更新版本中則進一步加入支援iOS的Phone Link App預覽版（下圖）。這項功能讓Windows 11也能在PC上操作iPhone上的應用程式，包括接收訊息和來電通話。這是繼<a href="https://www.ithome.com.tw/news/153600" target="_blank">去年10月微軟Windows 11整合iCloud相簿儲存（iCloud Photo Library）、Apple Music</a>後，最新整合的iPhone服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Windows%2011%20update-Phone%20Link%20for%20iOS%20in%20preview-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>新版Windows 11更新Phone Link針對三星Android手機也有改進，讓用戶更方便以Phone Link操作，包括直接在PC上一鍵啟動Wi-Fi網路，或是直接使用三星手機最近造訪的網站清單。</p> <p>最新Windows 11更新另外還將AI影音特效功能Windows Studio Effects，整合到Windows工具列的快速設定中。特效功能包括矯正Teams視訊時用戶的目光、背景模糊、自動置中及為通話降噪（voice focus）等等。而OEM廠商推出的電腦，如三星Galaxy Book Pro 2 360及聯想Lenovo ThinkPad X13，及未來的宏碁、華碩、Dell、HP產品，也都會整合Windows 11最新更新。</p> <p>值得一提的是，去年微軟推動生產力應用去除Office品牌而宣布的Windows 365 App（下圖），也在本次更新中問世，用戶可在Microsoft Store下載安裝。它讓Windows 11用戶可直接使用雲端服務Windows 365的虛擬桌機Cloud PC。此外針對加入企業Azure Active Directory（AAD）的Windows 11 Pro裝置，微軟也將在開始選單加入AI功能提供的建議，加快用戶尋找檔案或文件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Windows%2011%20update-Windows%20365%20app-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>其他功能包括Windows Chat改版，更容易預覽影片、加入通話、分享視訊連結以及存取聊天紀錄；技術支援人員現在可從開始選單開啟改版的Quick Assist App；加入新Widget，包括Phone Link、Xbox Games Pass及第三方服務如Meta、Spotify；觸控功能除了開啟開始選單、Widget及快速設定，現在工具列也加入觸控支援。記事本（Notepad）改版，終於加入分頁功能；以及剪貼工具加入螢幕錄製功能。</p> </div></div></div>
2023/3/1 16:45作者林妍溱https://www.ithome.com.tw/news/155713
5G趨勢月報第40期：Motorola展示支援衛星通訊5G手機，可接收發送訊息、分享位置及SOS求助；Vodafone…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>2/01~2/28精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Motorola</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>Motorola在MWC展示支援衛星雙向通訊手機</strong></span></p> <p>在西班牙MWC行動通訊大會上，Motorola與Bullitt聯手發表支援衛星雙向通訊的Motorola defy 2，手機採用聯發科的衛星通訊技術，支援衛星雙向傳訊功能，可在衛星通訊涵蓋範圍內，移動中傳送接收衛星訊息。</p> <p>Motorola defy 2為一款5G Android手機，採用強固型設計，為適應嚴苛的使用環境，通過1.8公尺摔落測試，深達5公尺防水，以及防止沙塵的侵入。</p> <p>這款6.6吋螢幕手機整合Bullitt衛星傳訊服務，除了可在衛星通訊範圍內雙向傳送訊息，也能分享位置資訊、SOS緊急協助。該手機預計在今年第2季，與特定的電信商合作於北美、拉丁美洲、加拿大等地推出，包含12個月的SOS協助，售價為599美元起。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Vodafone</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Raspberry Pi</b></span></font></p> <p><span style="font-size: 22px;"><strong>Vodafone展示以Raspberry Pi電腦開發的5G基地臺原型</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VODA-1.jpg" style="width: 600px; height: 400px;" /></p> <p>電信營運商Vodafone近期對外展示其5G研發成果，其中一項是以只有信用卡大小的Raspberry Pi，開發可用於5G私有網路的基地臺原型，Vodafone表示，不只是5G，也可以用於開發4G或3G基地臺、路由器或是FM收音機。</p> <p>Vodafone表示，這款5G微型基地臺原型可協助小型企業或家庭，擴展5G覆蓋範圍或容量，建立私有、負擔得起的、可攜式的5G行動網路。這個5G基地臺原型設計，內部採用Raspberry Pi 4，搭配由Lime Microsystems製造的軟體定義無線電(SDR)電路板，以符合Open RAN標準設計，宣稱任何計算平臺通過SDR，可變成微型的5G基地臺。</p> <p>Vodafone表示，將Vodafone在歐洲的5G網路，結合簡單且易於多樣性使用的Raspberry Pi電腦，可讓行動私有網路(MPNs)更容易被歐洲約2,200萬中小型企業所使用。此外，也能為有多人同時上網的家庭，提升網路速度。Vodafone預計在MWC大會上展示。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>7-ELEVEN</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AMR</b></span></font></p> <p><span style="font-size:22px;"><strong>7-ELEVEN與工研院聯手，在高軟園區試營運AMR機器人外送服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CubotONE.jpg" style="width: 600px; height: 400px;" /></p> <p>因應少子化、缺工問題，國內超商龍頭7-ELEVEN與工研院合作，將從3月1日起到12月31日止，在高雄軟體園區國城大樓A、B、C三棟，試營運AMR機器人外送服務，消費者可透過Foodomo App向7-ELEVEN軟科門市訂餐，可選擇由AMR機器人Cubot ONE外送，送達指定樓層辦公室門口。</p> <p>這款AMR外送機器人整合5G連網、C-V2X車聯網技術、3D定位及導航，當門市人員將訂購的商品放到機器人的倉門內後，機器人就會自動導航移動至指定的地點，途中可以自動避開障礙物，甚至呼叫電梯，搭乘到指定的樓層，抵達指定的辦公室門口後，由後臺撥打電話給消費者取餐。</p> <p>從3月起到今年底試營運，利用這段時間進行商業測試，7-ELEVEN準備在明年正式營運這項AMR機器人外送服務。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中鋼</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>中鋼展示5G專網應用成果，擬打造5G天車控制系統</strong></span></p> <p>中鋼在2021年下半年開始啟動5G專案，規畫建置5G專網，一方面提高生產的效率，另方面改善廠區內作業人員安全，找出在鋼廠可能應用場域，近期中鋼首次對外展示應用成果，包括5G軋鋼智慧工廠、5G智慧軌道運輸、5G應用技術實驗室，共完成專家遠端協作、鋼帶偏移監控、智能板胚動態監控、危險作業遠程操控、渣桶狀態監測、行車安全輔助等9項5G AIoT計畫。</p> <p>在軋鋼智慧工廠內，中鋼建置5G O-RAN專網，以3個O-RAN基地臺涵蓋400公尺長的熱軋產線，除了即時蒐集數據，監控產業動態之外，也應用遠端專家協作、AR擴增實境，其中AR方面，現場作業人員可以平板電腦掃描設備上的AR標籤，即時查看該設備的運作即時數據，或是查看維護手冊。</p> <p>至於傳統鋼廠內使用的天車系統，中鋼也計畫打造5G天車控制系統，讓需要人力爬到高處操控的天車系統，結合5G的高速、低延遲，搭配天車上的攝影機回傳即時影像，讓人員在地面的控制室，就能遠端操控天車運作。中鋼也將5G專網用於室戶，例如傳統上由人員目視遠端操控的渣車接渣作業，利用高解析度攝影機及車輛定位技術，協助人員控制火車接渣的準確性，避免漏接導致爐渣灑落地面，造成工安風險。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G Advanced</b></span></font></p> <p><span style="font-size:22px;"><strong>布局5G Advanced市場，高通發表Snapdragon X75數據機射頻系統</strong></span></p> <p>高通布局5G Advanced市場，發表Snapdragon X75數據機射頻系統，該數據機射頻系統導入高通第2代 5G AI處理器，相較於前一代5G AI處理器，AI效能提升2.5倍以上，可提供更快的速度、覆蓋範圍、行動、連結穩定及定位的精準度。</p> <p>X75適用於手機、行動寬頻、汽車、運算、IIoT、FWA及企業專網。此外，可支援毫米波及6GHz以下頻段，其中在毫米波頻段方面，能支援10載波聚合，搭配以AI協助感測器輔助毫米波波束管理，提升連網的可靠性及AI定位精準度。</p> <p>至於6GHz以下頻段方面，能支援5倍的下行鏈路載波聚合和FDD上行鏈路MIMO。目前X75已開始送樣，預計在2023年下半年看到商用化的裝置。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>西班牙電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font></p> <p><span style="font-size:22px;"><strong>西班牙電信測試5G無人機運送包裏</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/telefonica.jpg" style="width: 600px; height: 350px;" /></p> <p>西班牙電信Telefónica近期展開5G無人機運送包裏測試，評估在城市裡以5G無人機運送包裏的可行性，這項測試結合應用在車聯網的C-V2X技術，以及RTK精準定位技術，測試多架無人機之間，和城市基礎設施間的通訊，確保包裏的正確運送。</p> <p>該測試是以5G作為無人機空中運送包裏的通訊網路，相較於郊區，在人口密集的城市以無人機遞送包裏更為複雜，未來如果有多架無人機執行不同的遞送任務，亟需要建立空中交通管制來管理。</p> <p>此次測試包括兩架無人機之間的協調，當無人機之間的飛行路徑重疊時，透過彼此溝通協調飛行順序，降低空中發生碰撞的風險。另外，無人機通過和地面信標間的溝通，確認所在位置，當進入禁飛區域附近，繞過避開禁飛區域，同樣地，無人機也根據信標，確認投遞目的地。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠距診療</b></span></font></p> <p><span style="font-size:22px;"><strong>遠傳電信要將5G遠距診療推向基層醫療</strong></span></p> <p>響應政府推動遠距診療，遠傳電信近期和台灣社區醫院協會、中華民國診所協會全國聯合會簽署MOU，擬將5G遠距診療方案，推向基層醫療，鎖定社區慢性病患者及長照服務。</p> <p>衛福部即將推動「通訊診察治療辦法」修正草案，改善疫情期間視訊門診使用上的限制，也準備開放地區醫院以下及診所，能從遠距照護老年人、慢性病患者，此次與兩大基層醫療協會合作，向社區醫院、診所推廣5G遠距診療方案，包括採用雲端訂閱、按量收費的遠距診療平臺，強調醫生使用平板電腦就能開診，從預約掛號、報到、叫號、線上視訊看診到繳費，都能透過App完成。</p> <p>從2019年開始，遠傳電信就推廣5G遠距診療，結合5G網路的高速傳輸，使用數位五官鏡，超音波等設備，為病人檢查，讓遠方的專科醫生可和偏鄉衛生所醫護人員、病患共同視訊看診。遠傳指出，現在已連結15家醫院，涵蓋12個縣市35個偏鄉衛生所，服務超過8千人次。</p> <p> </p> <p>圖片來源／工研院、Vodafone、Bullitt、Telefónica</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.中華電信與Nokia簽MOU，聯手布局Beyond 5G</strong></p> <p><strong>2.NTT DOCOMO與NEC完成基於AWS的5G SA核網與地端NFV的混合雲測試</strong></p> <p>資料來源：iThome整理，2023年2月</p> </div></div></div>
2023/3/1 17:06作者蘇文彬https://www.ithome.com.tw/news/155712
山寨ChatGPT App藉FB及Google Play Store散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/alvierid/status/1625013930891304961" target="_blank">安全研究人員發現</a>臉書及Google Play Store出現冒充ChatGPT的惡意軟體，以在用戶手機及電腦散布惡意程式。</p> <p>ChatGPT去年11月以測試版形式上線，<a href="https://www.ithome.com.tw/news/155347" target="_blank">並在今年2月推出付費版ChatGPT Plus</a>，後者收取20美元月費。它可以幫忙寫程式、寫文章、或電子郵件，強大能力在用戶間引起話題。駭客則搭上這股風潮，誘騙用戶下載冒牌ChatGPT App。</p> <p>研究人員Dominic Alvieri發現數個冒牌程式出現在Google Play Store及第三方Android應用程式商店。在Google Play上，冒牌的ChatGPT還出現在搜尋結果頁的第一頁。雖然Google已移除了部份山寨軟體，但仍有部份還在平臺上。此外，網址為.org及.me的第三方應用程式平臺也被發現散布非官方版本的ChatGPT App或APK。另一個第三方App平臺自己的IP還代管了數個釣魚網站。</p> <p>研究人員也在臉書平臺上，發現駭客打造具有ChatGPT官方logo的臉書粉絲頁，誘騙用戶前往下載ChatGPT Windows版程式。點入後用戶會被導向網域名為chat-gpt-pc.online的網頁，實則下載竊密軟體Redline。</p> <p>另一家安全廠商Cyble則發現至少50個名字近似ChatGPT的惡意App，實則為各種惡意程式，包括簡訊詐騙程式、資料竊取程式。研究人員另外並偵測到多個以ChatGPT或OpenAI（ChatGPT的開發商）為名的惡意網站，像是chatgpt-go[.]online、chat-gpt-pc[.]online、openai-pc-pro[.]online，分別散布不同的竊密程式如Aurora、Lumma，以及以付費版ChatGPT Plus為名，竊取信用卡號碼的釣魚網站。</p> <p>ChatGPT是純粹線上服務，並沒有Windows或Android、iOS版App。它的官方網址為chat.openai.com。</p> </div></div></div>
2023/2/24 11:41作者林妍溱https://www.ithome.com.tw/news/155658