iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】11月8日，駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 長期鎖定印度政府機關、軍事單位的駭客組織SideCopy，最近發起了新的攻擊行動，主要是透過WinRAR漏洞CVE-2023-38831，對Windows電腦植入多種惡意程式。 但與過往攻擊行動不同之處，在於這些駭客也使用相同的基礎設施，開始針對Linux主機散布惡意程式，這很可能與印度政府打算導入此種作業系統的政策有關。 <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【攻擊與威脅】</h3> <a href="https://thehackernews.com/2023/11/sidecopy-exploiting-winrar-flaw-in.html">印度政府機關遭到駭客組織SideCopy鎖定，利用WinRAR漏洞發動攻擊</a>  <a href="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png" style="width: 300px; float: right;" /></a>資安業者Seqrite<a href="https://www.seqrite.com/blog/sidecopys-multi-platform-onslaught-leveraging-winrar-zero-day-and-linux-variant-of-ares-rat/">揭露巴基斯坦駭客組織SideCopy近期的攻擊行動</a>，這些駭客鎖定印度，積極利用WinRAR的漏洞CVE-2023-38831，對Windows電腦部署AllaKore RAT、DRat等惡意軟體，但他們也看到駭客對於Linux電腦植入Ares RAT變種惡意程式。 攻擊者先是透過網路釣魚手法，引誘使用者下載PDF誘餌檔案，但實際上為Windows捷徑檔案（LNK），一旦開啟此檔，電腦就有可能執行遠端的HTA檔案，從而檢查電腦安裝的.NET版本、防毒軟體資訊，然後使用Base64編碼解密，於記憶體內執行惡意DLL檔案，為了執行這個DLL檔案，駭客會濫用Windows內建的公用程式，如credwiz.exe、rekeywiz.exe，以DLL側載（DLL Side-loading）手法載入惡意DLL檔案。 資安新聞網站Hacker News認為，這些駭客針對Linux電腦下手並非巧合，原因是印度政府與國防部門打算使用名為Maya OS的Linux版本，逐步取代Windows作業系統。 <a href="https://unit42.paloaltonetworks.com/agonizing-serpens-targets-israeli-tech-higher-ed-sectors">伊朗駭客Agrius鎖定以色列教育機構、科技產業而來，竊得資料後進行破壞</a>  <a href="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露從今年初開始發生的攻擊行動，伊朗駭客組織Agrius（亦稱BlackShadow、Pink Sandstorm、Agonizing Serpens）自1月開始，鎖定以色列教育機構及高科技組織而來，這些駭客的主要目的是竊取個資與智慧財產，但值得留意的是，一旦對方得逞，就會使用資料破壞軟體（Wiper）進行破壞，這些程式包含了MultiLayer、PartialWasher、BFG Agonizer、Sqlextractor。 攻擊者先是針對存在弱點、曝露於網際網路的網頁伺服器下手，取得目標組織網路環境的初始存取權限，隨後部署多個Web Shell，以便持續於目標組織進行活動。對方透過Nbtscan、WinEggDrop、NimScan進行偵察，然後利用Mimikatz，或是藉由暴力破解或密碼噴灑來取得SMB的密碼，藉此提升權限。 接著他們透過Plink進行橫向移動，然後從資料庫或是重要的伺服器竊密，並透過WinSCP、Putty等工具傳輸至C2伺服器，最終執行資料破壞軟體。 <a href="https://securityintelligence.com/x-force/gootbot-gootloaders-new-approach-to-post-exploitation/">惡意程式GootLoader出現變種，駭客透過WordPress網站下達攻擊命令</a>  <a href="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png" style="width: 300px; float: right;" /></a>IBM旗下的威脅情報團隊X-Force揭露新一波的GootLoader攻擊行動，駭客組織Hive0127（亦稱UNC2565）透過搜尋引擎最佳化中毒（SEO poisoning）的手法，假借提供合約、法律表單、業務文件的名義，將使用者重新導向至遭到入侵的WordPress網站，攻擊者將這些網站竄改成線上論壇，引誘受害者上當，依照指示下載帶有惡意酬載的壓縮檔案。 此壓縮檔案內有透過混淆處理的JavaScript指令碼，使用者若是執行，電腦就會接收另一個JavaScript檔案，以便讓攻擊者持續在受害電腦活動，並觸發PowerShell指令碼GootBot收集系統資訊，並嘗試存取C2伺服器。 GootBot是GootLoader的變種，攻擊者藉此於受害電腦植入各式惡意程式，或是進行偵察工作、於網路環境裡橫向移動。 <a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</a>  <a href="https://s4.itho.me/sites/default/files/images/Slide1-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-3.png" style="width: 300px; float: right;" /></a>為防範駭客濫用作業系統的功能於安卓裝置植入惡意程式，Google於去年8月發布的Android 13當中，導入了名為受限制設定（Restricted Settings）的安全措施，目的是防堵外部的APK安裝程式，使其無法存取影響層面廣泛的功能，例如：輔助功能、通知監聽功能。但如今，已有駭客開發相關工具，繞過這樣的防護機制。 資安業者ThreatFabric揭露名為SecuriDropper的惡意程式載入工具，駭客通常會將其偽裝成合法應用程式來引誘使用者上當，其中冒充的程式類型，又以Google應用程式與安卓更新最多，其次是多媒體播放程式、資安防護軟體。 一旦使用者依照對方指示安裝，過程中對方就會要求提供讀寫內部儲存空間、安裝及刪除套件的權限，接著就會透過介面操縱的手法，要求使用者執行「重新安裝」，於受害手機植入其他惡意軟體。研究人員看到駭客利用此惡意程式載入工具，部署了SpyNote、Ermac、Zombinder等惡意軟體。 <a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html">Google行事曆被找出用作C2基礎架構的方法？有惡意程式開發者宣稱能辦到，引起駭客圈熱議</a> Google於近期發表的第8份威脅視野報告（Threat Horizons report）當中，揭露從今年6月出現的惡意程式Google Calendar RAT（GCR），開發者表明他所打造的指令碼，能夠將Google Calendar的事件描述轉換成C2加以濫用，該公司旗下Mandiant威脅情報團隊發現，這種隱密的手法引起網路犯罪圈高度關注，雖然上述工具尚未被用於攻擊行動，但已有許多駭客於地下論壇分享這種概念性驗證攻擊（PoC）程式。 研究人員指出，攻擊者若在受害電腦執行GCR，該程式會定期從Google Calendar拉取事件描述，從而執行其中的命令，然後再以執行輸出的結果更新事件描述內容。由於過程中都使用Google的基礎設施，導致防守方要察覺異常活動更加困難。 <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【漏洞與修補】</h3> <a href="https://source.android.com/docs/security/bulletin/2023-11-01">Google發布11月安卓更新，修補37個漏洞</a>  11月6日Google發布本月份安卓例行更新，總共修補37個漏洞。 其中，在系統與框架的部分有15個漏洞，其中最嚴重的是列為重大等級的資訊洩露CVE-2023-40113，攻擊者有可能在無須取得特殊執行權限的情況下利用，影響11至13版安卓作業系統。 其餘修補的漏洞與Arm、聯發科、高通的元件有關，當中有4個高通元件的漏洞被列為重大等級。 <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/marina-bay-sands-discloses-data-breach-impacting-665-000-customers/">新加坡濱海灣金沙旅館資料外洩，波及66.5萬名房客</a>  <a href="https://www.news18.com/india/indias-biggest-data-leak-so-far-covid-19-test-info-of-81-5cr-citizens-with-icmr-up-for-sale-exclusive-8637743.html">印度發生史上規模最嚴重的資料外洩事件，醫療機構洩漏8.15億民眾個資</a>  <a href="https://blogs.vmware.com/security/2023/11/jupyter-rising-an-update-on-jupyter-infostealer.html">竊資軟體Jupyter Infostealer透過簽章迴避偵測</a>  <a href="https://www.securityweek.com/free-tool-helps-industrial-organizations-find-opc-ua-vulnerabilities/">為了讓企業能找出OPC UA組態不當及弱點，資安業者推出掃描工具OpalOPC</a>  <a href="https://www.ithome.com.tw/news/159691">Palo Alto Networks買下資料安全態勢管理新創Dig Security、企業瀏覽器新創Talon</a>  <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159685">【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</a> <a href="https://www.ithome.com.tw/news/159660">【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</a> <a href="https://www.ithome.com.tw/news/159633">【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</a> </div></div></div>
2023/11/8 18:02作者周峻佑https://www.ithome.com.tw/news/159699
【資安日報】11月7日，鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerbe…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 最近訊息導向中介軟體ActiveMQ、DevOps協作平臺Confluence分別出現重大漏洞CVE-2023-46604、CVE-2023-22518，如今皆有駭客對其發動勒索軟體攻擊、加密檔案，而造成災情。 其中，值得留意的是針對Confluence的攻擊行動，因為過程中駭客不只利用最近才修補的漏洞，還串連另一個上個月揭露的重大漏洞進行攻擊，這代表受害組織兩個漏洞都還沒修補，而讓對方有機可乘。 <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【攻擊與威脅】</h3> <a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-bug-exploited-in-cerber-ransomware-attacks/">勒索軟體Cerber利用Atlassian Confluence重大漏洞發動攻擊</a>  <a href="https://s4.itho.me/sites/default/files/images/Internet-exposed Atlassian Confluence servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Internet-exposed%20Atlassian%20Confluence%20servers.png" style="width: 300px; float: right;" /></a>上週軟體開發服務業者Atlassian發布資安通告，指出旗下DevOps協作平臺Confluence存在重大漏洞CVE-2023-22518，影響所有版本的Confluence Data Center、Confluence Server，如今傳出有勒索軟體駭客將其用於攻擊行動。 威脅情報業者GreyNoise提出警告，他們看到漏洞攻擊行動從11月5日開始出現，資安業者Rapid7則是在客戶的Confluence伺服器上，發現攻擊者不僅利用CVE-2023-22518，還利用另一個漏洞CVE-2023-22515（CVSS風險評為10分）進行權限提升，後續攻擊者從特定IP位址下載惡意酬載，導致Confluence伺服器感染勒索軟體Cerber。 而對於該漏洞曝險的狀態，Shadowserver基金會指出，全球有超過2.4萬個Confluence系統曝露於網際網路，但究竟有多少執行個體存在漏洞，仍有待釐清。 資料來源 1. <a href="https://twitter.com/Andrew___Morris/status/1721164901052268590">https://twitter.com/Andrew___Morris/status/1721164901052268590</a> 2. <a href="https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/">https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/</a> 3. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked</a> <a href="https://arcticwolf.com/resources/blog/tellmethetruth-exploitation-of-cve-2023-46604-leading-to-ransomware/">勒索軟體TellYouThePass針對Apache ActiveMQ重大漏洞下手</a>  10月底訊息導向中介軟體ActiveMQ公告修補漏洞CVE-2023-46604，因CVSS風險高達10分而引起大家關注，繼資安業者Rapid7發現勒索軟體HelloKitty的攻擊行動，前幾天又有研究人員看到新的漏洞攻擊。 11月3日資安業者Arctic Wolf指出，利用上述漏洞的攻擊行動很可能在10月10日就開始，他們最初看到有人在Windows Server伺服器上，部署惡意程式SparkRAT，此為Go語言打造的跨平臺木馬程式，會為受害伺服器建立指紋，並回傳C2。後來，有第二組人馬從另一個IP位址，進行兩起勒索軟體攻擊，其中一起就是Rapid7揭露的勒索軟體HelloKitty攻擊，這是針對Windows電腦而來的攻擊行動；而另一起攻擊行動則是針對Linux版ActiveMQ伺服器而來，攻擊者利用勒索軟體TellYouThePass的變種「HelloKittyCat」加密檔案。 值得留意的是，這些勒索軟體攻擊行動，不僅攻擊來源IP位址相同，所使用的比特幣錢包位址也一樣，很有可能是同一組人馬所為。 <a href="https://jaysbrickblog.com/news/bricklink-is-currently-down-due-to-a-suspected-hacking-cybersecurity-incident/">樂高市集BrickLink被迫關閉，傳出賣家收到勒索訊息</a>  <a href="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg" style="width: 300px; float: right;" /></a>根據樂高新聞網站Jay's Brick Blog的報導，樂高交易市集BrickLink於11月3日關閉，此消息發布之際，市集已停止服務近5個小時，當時業者僅透露正在著手調查異常活動。 而根據該市集用戶於臉書社團、Reddit群組的討論，他們懷疑BrickLink遭遇網路攻擊事故，多個商店與賣家的帳號外洩，而這些賣家也張貼自己遭到勒索的訊息，駭客要求限時以加密貨幣支付贖金，否則將清除市集裡的商店及庫存等資料。攻擊者聲稱，他們挾持包含管理員在內的所有BrickLink帳號。 11月6日，BrickLink經營團隊終於公開坦承現況，他們表示，有少部分帳號遭到未經授權存取。而對於該網站離線的原因，有人推測，很可能是因為駭客存取了數十個買家及賣家的帳號並用來行騙，BrickLink經營團隊為防止事態擴大，決定將網站關閉。 資料來源 1. <a href="https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/">https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/</a> 2. <a href="https://twitter.com/BrickLink/status/1721279577262043605">https://twitter.com/BrickLink/status/1721279577262043605</a> 3. <a href="https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/">https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/</a> <a href="https://www.bleepingcomputer.com/news/security/ace-hardware-says-1-202-devices-were-hit-during-cyberattack/">跨國聯鎖五金零售業者Ace Hardware系統遭遇網路攻擊，有駭客企圖騙取零售門市的帳號</a>  10月30日跨國聯鎖五金零售業者Ace Hardware向客戶發出公告，表明在29日早上偵測到網路安全事故，影響該公司大部分的IT系統，包含倉庫管理系統、Ace零售行動助理ARMA、發票系統、客戶回鐀系統Ace Rewards、客戶關懷電話系統皆面臨中斷或暫停運作的情況。 該公司後來於30日晚間發布新的公告，表示相關系統仍持續停擺，電子商城雖然能搜尋及檢視產品，但無法下單，此外，零售門市的POS系統與信用卡處理系統不受影響。資安新聞網站Bleeping Computer指出，Ace Hardware向零售門市透露，他們經營的1,400臺伺服器當中，有1,202臺遭到網路攻擊，該公司著手復原當中。 但在此同時，有人對零售門市進行網路釣魚攻擊，有些攻擊者寄送釣魚郵件，要求在Ace Hardware系統恢復之前，將款項支付給替代網站；也有人聲稱是Epicor Software Corporation的代表，打電話給這些零售門市，要他們提供帳密資料進行故障排除。 <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-critical-command-injection-flaws-in-qts-os-apps/">威聯通揭露NAS作業系統的重大命令注入漏洞</a>  11月4日臺灣NAS設備製造商威聯通（QNAP）發布資安通告，指出旗下的網路設備作業系統QTS、QuTS hero、QuTScloud存在重大漏洞CVE-2023-23368、CVE-2023-23369，這兩個都是作業系統命令注入漏洞，攻擊者有可能遠端執行命令，CVSS風險評分為9.8、9.0。 值得留意的是，這兩個漏洞的影響範圍不同，CVE-2023-23368牽涉到QTS 4.5及5.0、QuTS hero h4.5及h5.0、QuTScloud c5.0.1，另一個漏洞則是影響QTS 4.2、4.3.3、4.3.4、4.3.6、5.1，以及多媒體管理應用程式Multimedia Console 1.4、2.1，多媒體串流附加元件500.0、500.1。 資料來源 1. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-31">https://www.qnap.com/zh-tw/security-advisory/qsa-23-31</a> 2. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-35">https://www.qnap.com/zh-tw/security-advisory/qsa-23-35</a> <a href="https://www.veeam.com/kb4508">IT監控解決方案Veeam ONE存在重大漏洞，攻擊者可遠端執行任意程式碼</a>  11月6日Veeam針對旗下IT監控解決方案Veeam ONE發布資安通告，他們公布了4個漏洞，其中有2個是重大等級。 根據CVSS風險評分的分數來看，最嚴重的是CVE-2023-38547，攻擊者能在未經授權的情況下，用於取得Veeam ONE配置資料庫的存取資訊，而有可能遠端於此系統搭配的SQL Server上執行任意程式碼，CVSS風險評分為9.9，影響11、11a、12版Veeam ONE。 另一個重大漏洞是CVE-2023-38548，攻擊者若是能夠存取Veeam ONE的網頁版用戶端，並使用不具特殊權限的用戶身分，有機會收集Veeam ONE Reporting Service所使用的帳號之NTLM雜湊值，CVSS風險評分為9.8，影響12版Veeam ONE。 <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【其他新聞】</h3> <a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html">Google警告駭客濫用旗下Calender服務充當C2基礎架構</a>  <a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</a>  <a href="https://securelist.com/spyware-whatsapp-mod/110984/">間諜軟體CaneSpy透過竄改的即時通訊軟體WhatsApp散布</a>  <a href="https://www.avanan.com/blog/the-rise-in-qr-code-attacks">今年9月QR Code釣魚攻擊爆增587%</a>  <a href="https://www.ithome.com.tw/news/159667">身分驗證管理業者Okta對10月遭駭事件完成調查，134位客戶資料被洩漏</a> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159660">【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</a> <a href="https://www.ithome.com.tw/news/159633">【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</a> <a href="https://www.ithome.com.tw/news/159609">【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</a> </div></div></div>
2023/11/7 18:02作者周峻佑https://www.ithome.com.tw/news/159685
【資安日報】11月6日，濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 利用企業臉書帳號來散布竊資軟體NodeStealer的攻擊行動，約莫半年前開始出現，迄今已發生數起。這些攻擊行動的共通點，在於駭客的主要目標，都是鎖定經營企業臉書帳號的使用者，或是想要牟取相關職務的人士。 但在近期發生的一起攻擊行動裡，駭客改變了攻擊目標，針對一般的使用者下手，在短短10天內就有10萬人上當。 <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【攻擊與威脅】</h3> <a href="https://www.bitdefender.com/blog/labs/nodestealer-attacks-on-facebook-take-a-provocative-turn-threat-actors-deploy-malvertising-campaigns-to-hijack-users-accounts/">駭客透過企業臉書帳號發布惡意廣告，意圖散布惡意軟體NodeStealer</a>  <a href="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AlbumUpdate.jpg" style="width: 300px; float: right;" /></a>資安業者Bitdefender揭露發生在10月中旬的惡意軟體NodeStealer攻擊行動，他們在10月10日至20日，看到攻擊者運用超過10個遭竊的企業臉書帳號，散布惡意廣告，內容帶有年輕女性的裸露照片，鎖定歐洲、非洲、加勒比海、18至65歲的男性而來，估計1天之內就有1.5萬次下載、這段期間累計下載達10萬次，其中，上當人數最多的族群是45歲以上的男性。 駭客先是設置多個臉書個人頁面，這些帳號都能顯示上述的裸露照片，然後再假借提供一整組色情圖片的名義打廣告，表明他們更新了相簿內容，或是限時開放下載，引誘使用者上當。一旦使用者點選廣告內容，就有可能從程式碼儲存庫Bitbucket、GitLab，或是雲端檔案共享系統Dropbox下載壓縮檔，其內容包含名為Photo Album的.EXE檔案。 使用者若是開啟這些執行檔，電腦就有可能被植入以.NET打造的竊資軟體NodeStealer，攻擊者不只能藉此控制受害者的臉書帳號、加密貨幣錢包，這次出現的新版竊資軟體還能入侵Gmail、Outlook帳號，並下載其他惡意程式。值得留意的是，為了避免有人舉報廣告而東窗事發，攻擊者同時最多只會上架5組廣告，並在一天之內就進行切換。 <a href="https://blog.aquasec.com/loony-tunables-vulnerability-exploited-by-kinsing">駭客組織Kising對雲端環境下手，利用的近期Linux漏洞發動攻擊</a>  資安業者Aqua Security揭露駭客組織Kising近期的攻擊行動，這些駭客先是透過PHPUnit漏洞CVE-2017-9841（CVSS風險評分9.8）入侵目標環境，成功後下載、執行Perl指令碼bc.pl，使用1337埠啟動反向Shell，然後透過手動測試的方式下達Shell命令，執行研究人員公開的概念性驗證（PoC）Python指令碼gnu-acme.py，確認GNU C程式庫glibc是否存在漏洞Looney Tunables（CVE-2023-4911，CVSS風險評分7.8）。 接著，駭客觸發另一個PHP攻擊，此為透過混淆處理的JavaScript指令碼wesobase.js，為Web Shell後門程式，具備檔案管理、命令執行、網路互動、伺服器資訊收集、使用者代理（User Agent）等功能，並且能夠對敏感資料進行加解密處理。 最終攻擊者會試圖列出雲端服務供應商（CSP）相關的帳密資料、Token，包含AWS Security Token Service提供的臨時帳密、EC2執行個體的IAM角色帳密資料，以及執行個體身分識別Token等。研究人員指出，這是他們首度看到該組織試圖收集CSP相關的帳密資料，代表著接下來有可能規畫更多類型的攻擊行動。 <a href="https://www.reversinglabs.com/blog/iamreboot-malicious-nuget-packages-exploit-msbuild-loophole">惡意NuGet套件濫用MSBuild元件部署惡意程式</a>  <a href="https://s4.itho.me/sites/default/files/images/Blog-Malicious-NuGet-Packages-Fi.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog-Malicious-NuGet-Packages-Fi.png" style="width: 300px; float: right;" /></a>資安業者ReversingLabs揭露惡意NuGet套件的攻擊行動，駭客在10月15日開始，透過拼寫錯誤（typosquatting）的手法，陸續上架惡意套件，例如：ZendeskApi.Client.V2、Betalgo.Open.AI、Forge.Open.AI。 但有別大部分的NuGet惡意套件攻擊行動，這次駭客將惡意功能配置於套件的<packageID>，並指向build資料夾的檔案，而非像其他攻擊行動，多半會將惡意程式碼埋入初始化套件安裝流程的PowerShell指令碼。而這次駭客這麼做的目的，而駭客這麼做，起因在於NuGet今年8月推出的2.5版加入MSBuild的支援，一旦惡意套件執行，就會從外部的IP位址取得可執行檔，並透過新的處理程序執行。 研究人員指出，這起攻擊行動從今年8月開始出現，駭客於10月中旬改變攻擊手法，針對MSBuild而來，代表攻擊者過程中不斷改良手法，使得行蹤更為隱匿。 <a href="https://www.bitsight.com/blog/unveiling-socks5systemz-rise-new-proxy-service-privateloader-and-amadey">上萬臺電腦遭殭屍網路Socks5Systemz擺布，被用於提供駭客代理伺服器之用</a> 資安業者BitSight揭露名為Socks5Systemz的代理伺服器殭屍網路，駭客透過名為PrivateLoader及Amadey的惡意程式載入工具，將殭屍網路機器人注入電腦的記憶體內執行，並設置名為ContentDWSvc的服務，以便持續於受害電腦運作。此機器人酬載為32位元DLL程式庫，大小僅有300 KB，並透過網域產生演算法（DGA）與C2連接，傳送受害電腦的系統資訊。 研究人員透過駭客利用TCP的1074埠，總共發現了1萬個遭到入侵的電腦，以及53臺用於基礎設施的伺服器，這些伺服器分布於法國、保加利亞、荷蘭、瑞典等歐洲國家。 <a href="https://www.bleepingcomputer.com/news/security/okta-breach-134-customers-exposed-in-october-support-system-hack/">10月下旬Okta客戶支援系統遭駭，該公司坦承有134個客戶資料外洩</a> 10月下旬身分驗證業者Okta證實客戶支援系統遭駭，近期該公司揭露受影響的範圍，以及整起事故的發生經過。<a href="https://sec.okta.com/harfiles">11月3日Okta指出</a>，駭客從9月28日至10月17日，對於該公司客戶支援系統進行未經授權的存取，這些外流的資料與134個客戶有關，影響不到1%客戶。 而對於事件發生的原因，他們認為可能是其中一名員工的Google帳號遭駭所致，該名員工在公司的筆記型電腦上，於Chrome瀏覽器登入自己的Google帳號，並儲存了客戶支援系統的服務帳號及密碼。 根據Okta透露的事件發生時間表，最早察覺異狀的是密碼管理解決方案業者1Password，他們在9月29日向Okta通報，但直到兩週後，身分驗證業者BeyondTrust於10月13日提供相關IP位址，Okta才確認是他們的客戶支援系統遭駭，並於17日停用前述的服務帳號、終止連線階段（Session），隔日於駭客入侵數個小時後，找出了該系統的漏洞。 <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/microsoft/new-microsoft-exchange-zero-days-allow-rce-data-theft-attacks/">研究人員揭露Exchange零時差漏洞，有可能被用於遠端執行任意程式碼、洩露敏感資訊</a>  上週資安業者趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）指出，他們在9月份向微軟通報了4個Exchange零時差漏洞ZDI-23-1578、ZDI-23-1579、ZDI-23-1580、ZDI-23-1581（皆尚未登錄CVE編號），攻擊者在通過身分驗證的情況下，有可能用來遠端執行任意程式碼（RCE），或是洩露敏感資料，CVSS風險評分為7.1至7.5。 其中最嚴重的是ZDI-23-1578，攻擊者若是成功利用，就有可能取得SYSTEM權限進行RCE攻擊。而對於這些漏洞，研究人員呼籲IT人員採取緩解措施，限制與Exchange應用程式的互動。 值得留意的是，研究人員通報後，微軟承認這些漏洞的確存在，但是評估沒有立即修補的必要。而在研究人員公開揭露上述零時差漏洞後，該公司再度提出說明，認為ZDI-23-1578已在8月更新修補，其餘漏洞攻擊者必須事先取得電子郵件的帳密資料，不符合該公司立即提供服務的標準，將酌情在後續版本更新進行處理。 <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【資安產業動態】</h3> <a href="https://www.ithome.com.tw/news/159624">微軟提出安全未來倡議，預告將翻修內部安全設計</a> 11月2日微軟揭露未來安全倡議（Secure Future Initiative），將從3個層面推動資安，包含：聚焦以人工智慧（AI）為基礎的資安防禦、強化基礎軟體工程以及宣導更強大的國際規範。這項倡議的其中一項重要支柱是人工智慧，原因是現今最大的網路安全挑戰，就是專業資安人才的嚴重缺乏，再加上攻擊速度、規模、複雜程度加深攻防不對等的情況，導致組織難以全面預防、破壞攻擊行動。 另一方面，該公司也透露他們內部軟體工程的相關變更，包括軟體開發的轉型，採用新的身分保護，以及加快漏洞回應速度。該公司藉由自動化與AI改變開發方式，採用動態安全開發生命週期（dynamic Security Development Lifecycle），在撰寫程式、測試、部署及運作的過程中，把持續整合與持續交付（CI/CD）的理念延伸為持續整合防護（Continuously Integrate Protections）。再者，他們將加速自動化威脅模型的運用，於商業產品全面利用CodeQL進行程式碼分析，持續擴大C#、Python、Java、Rust等記憶體安全的程式語言採用。 資料來源 1. <a href="https://blogs.microsoft.com/on-the-issues/2023/11/02/secure-future-initiative-sfi-cybersecurity-cyberattacks/">https://blogs.microsoft.com/on-the-issues/2023/11/02/secure-future-initiative-sfi-cybersecurity-cyberattacks/</a> 2. <a href="https://www.microsoft.com/en-us/security/blog/2023/11/02/announcing-microsoft-secure-future-initiative-to-advance-security-engineering/">https://www.microsoft.com/en-us/security/blog/2023/11/02/announcing-microsoft-secure-future-initiative-to-advance-security-engineering/</a> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/ace-hardware-says-1-202-devices-were-hit-during-cyberattack/">跨國聯鎖五金零售業者Ace Hardware系統遭遇網路攻擊，多組人馬蜂擁而至，企圖騙取客戶帳號</a>  <a href="https://www.bleepingcomputer.com/news/security/american-airlines-pilot-union-hit-by-ransomware-attack/">美國飛行員聯盟證實遭遇勒索軟體攻擊，部分系統已遭到加密</a>  <a href="https://www.hackread.com/russia-insurer-rosgosstrakh-hacked-data-sold/">俄羅斯大型保險業者Rosgosstrakh遭駭，駭客兜售400 GB內部資料</a> <a href="https://www.hackread.com/lego-marketplace-bricklink-hacked-website-down/">樂高市集BrickLink傳出遭到網路攻擊而被迫關閉，用戶收到勒索訊息</a>  <a href="https://arstechnica.com/security/2023/11/flipper-zero-gadget-that-doses-iphones-takes-once-esoteric-attacks-mainstream/">有人濫用滲透測試裝置Flipper Zero對iPhone展開攻擊</a>  <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159633">【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</a> <a href="https://www.ithome.com.tw/news/159609">【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</a> <a href="https://www.ithome.com.tw/news/159586">【11月1日】研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年未被發現</a> </div></div></div>
2023/11/6 17:13作者周峻佑https://www.ithome.com.tw/news/159660
【資安日報】11月1日，研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 網路攻擊分工越來越精細，這兩年常出現「初始入侵管道掮客（Initial Access Broker）」，就是專門收集可存取特定組織的帳密資料的角色。但如今，就連攻擊者所使用的短網址，也有專門提供服務的供應商。 近期有研究人員揭露名為Prolific Puma的惡意轉址服務供應商，並指出該組織至少經營超過4年未被發現。 <h3>【攻擊與威脅】</h3> <a href="https://blogs.infoblox.com/cyber-threat-intelligence/prolific-puma-shadowy-link-shortening-service-enables-cybercrime/">駭客組織Prolific Puma向網路罪犯提供短網址服務長達4年之久</a>  <a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-prolific-puma-shadowy-link-shortening-service-enables-cybercrime-figure-1-v3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-prolific-puma-shadowy-link-shortening-service-enables-cybercrime-figure-1-v3.jpg" style="width: 300px; float: right;" /></a>以強化DNS安全著稱的廠商Infoblox揭露專門供應駭客組織進行網路犯罪的短網址服務，該廠商被研究人員稱為Prolific Puma。 該組織註冊了大量網域來提供服務，從今年4月到現在，估計註冊3.5萬至7.5萬個網域名稱，包含.us、.link、.info、.com、.cc等，今年5月更專攻美國組織及美國人才能註冊的.us網域，目前該組織已註冊了數千個。 研究人員指出，此供應商取得新網域通常會靜置一段時間，以便躲過資安系統的封鎖。Prolific Puma並非研究人員唯一發現的惡意短網址服務，但該組織經營的短網址服務規模最大、他們分析採用其服務的網站，都是涉及非法的內容。 <a href="https://www.securityjoes.com/post/bibi-linux-a-new-wiper-dropped-by-pro-hamas-hacktivist-group">資料破壞軟體BiBi-Linux鎖定以色列組織而來</a>  <a href="https://s4.itho.me/sites/default/files/images/d03b6f_395a5bd66f6d4431a35b3aa07eeac71c~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_395a5bd66f6d4431a35b3aa07eeac71c~mv2.png" style="width: 300px; float: right;" /></a>資安業者Security Joes的事件回應團隊在協助以色列企業組織調查的過程中，發現名為BiBi-Linux的資料破壞軟體（Wiper），顯然是鎖定該國企業組織而來，背後疑似由隸屬哈馬斯的駭客打造，意圖在戰爭當中製造混亂。 研究人員指出，這款資料破壞軟體特別之處，在於不與C2連線，也不會外洩受害組織的資料，更沒有留下要脅付款的勒索訊息。取而代之的是，此資料破壞軟體藉由無用的資料來覆寫檔案，導致資料難以復原，甚至影響整個作業系統，而且，該程式運用多個處理程序，並透過排程系統執行，最終遭到破壞的檔案會含有BiBi（以色列總理Benjamin Netanyahu的暱稱）字串的副檔名。駭客這麼做的目的，顯然是為了讓破壞行動的效率最大化。 值得留意的是，研究人員在公布這個惡意程式的時候，惡意軟體分析網站VirusTotal僅有兩款防毒引擎將其視為有害。 <a href="https://www.bleepingcomputer.com/news/security/hackers-email-stolen-student-data-to-parents-of-nevada-school-district/">美國內華達州CCSD學區遭遇大規模資料外洩，駭客向家長寄送竊得的學生資料進行施壓</a>  <a href="https://s4.itho.me/sites/default/files/images/ccsd-leak-email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ccsd-leak-email.jpg" style="width: 300px; float: right;" /></a>位於美國內華達州的克拉克郡學區（Clark County School District，CCSD），傳出在10月初遭遇網路攻擊，CCSD於16日證實此事，並指出駭客可能取得電子郵件伺服器的存取權限，存取部分學生、家長、員工的個資，他們正著手調查受害範圍，然而近期卻陸續傳出家長收到駭客的恐嚇信。 根據當地媒體拉斯維加斯評論報報導，有家長收到主旨為CCSD Leak的電子郵件，內容提及收信人的個資已遭外洩，最好趕快在CCSD的系統更改帳號資料，同時聲稱有超過20萬筆學生資料被駭客流出。另一家媒體KSNV News 3 Las Vegas指出，這些恐嚇信包含了PDF檔案，內容是學生遭竊的資料，包含學號、電子郵件信箱、居住地址、照片。 而對於攻擊者的身分，駭客組織SingularityMD向資安新聞網站DataBreaches透露是他們所為，聲稱已在CCSD的網路埋伏數個月，迄今仍能存取該學區網路。這些駭客發現，CCSD近6年竟然強制要求學生用生日作為密碼。駭客透露他們索討的贖金，低於該學區總監Jesus F. Jara年薪（約39.5萬美元）的三分之一。對此，CCSD並未做出說明。 資料來源 1. <a href="https://www.reviewjournal.com/local/education/some-ccsd-parents-get-suspicious-email-with-information-about-their-kids-2928929/">https://www.reviewjournal.com/local/education/some-ccsd-parents-get-suspicious-email-with-information-about-their-kids-2928929/</a> 2. <a href="https://news3lv.com/news/local/some-ccsd-families-worried-after-receiving-email-from-california-school-district-with-pictures-private-info-about-their-children">https://news3lv.com/news/local/some-ccsd-families-worried-after-receiving-email-from-california-school-district-with-pictures-private-info-about-their-children</a> 3. <a href="https://www.databreaches.net/hackers-escalate-leak-200k-ccsd-students-data-claim-to-still-have-access-to-ccsd-email-system/">https://www.databreaches.net/hackers-escalate-leak-200k-ccsd-students-data-claim-to-still-have-access-to-ccsd-email-system/</a> <a href="https://www.securityweek.com/attackers-exploiting-critical-f5-big-ip-vulnerability/">F5 BIG-IP重大漏洞已被用於攻擊行動</a>  10月26日F5針對應用程式交付平臺BIG-IP用戶提出警告，該系統的組態公用程式存在重大漏洞CVE-2023-46747（CVSS風險評分為9.8），未經身分驗證的使用者可遠端執行任意程式碼，但不到一個禮拜就出現攻擊行動。 10月30日F5更新公告內容，表示他們發現攻擊者利用這項漏洞，將其用於觸發SQL注入漏洞CVE-2023-46748（CVSS風險評分為8.8）。而這段期間，向F5通報漏洞的資安業者Praetorian Security透露CVE-2023-46747的細節，另一家資安業者Project Discovery則是公布了概念性驗證（PoC）程式碼。 <a href="https://blog.talosintelligence.com/arid-viper-mobile-spyware/">哈馬斯駭客組織Arid Viper宣稱提供約會應用程式，鎖定阿拉伯安卓用戶下手</a>  思科旗下威脅情報團隊Talos指出，哈馬斯駭客組織Arid Viper（亦稱APT-C-23、TAG-63）約從去年4月開始，佯稱提供約會應用程式Skipped，鎖定阿拉伯語用戶從事網路間諜行動，一旦使用者不慎安裝駭客提供的安卓App，手機就會遭到惡意程式感染，駭客從中收集用戶的各式資料。 這些駭客提供的App與正牌的應用程式具備相似之處，甚至在應用程式開發平臺Firebase共用相同的專案，研究人員懷疑有Skipped開發人員涉及攻擊行動。附帶一提的是，雖然駭客來自激進組織哈馬斯，但研究人員認為，這起攻擊行動與以巴衝突沒有直接關聯。 <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-critical-cisco-ios-xe-flaw-many-hosts-still-hacked/">研究人員公布思科IOS XE零時差漏洞的概念性驗證程式碼</a> <a href="https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html">Atlassian針對DevOps協作平臺Confluence重大漏洞提出警告</a>  <a href="https://www.reversinglabs.com/blog/iamreboot-malicious-nuget-packages-exploit-msbuild-loophole">惡意NuGet套件濫用MSBuild元件部署惡意程式</a> <a href="https://www.darkreading.com/endpoint/malware-meal-kits-serve-up-no-fuss-rat-attacks">低價惡意軟體套件氾濫，導致RAT木馬程式攻擊行動顯著增加</a> <a href="https://www.bleepingcomputer.com/news/security/palestine-crypto-donation-scams-emerge-amid-israel-hamas-war/">有人假冒慈善機構的名義，聲稱為以巴衝突的難民募款行騙</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159575">【10月31日】曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體拿來挖礦</a> <a href="https://www.ithome.com.tw/news/159548">【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</a> <a href="https://www.ithome.com.tw/news/159530">【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</a> </div></div></div>
2023/11/1 17:10作者周峻佑https://www.ithome.com.tw/news/159586
【資安日報】10月31日，曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 過往不斷有研究人員對開發者提出警告，將專案所需存取的帳密資料寫入程式碼，將有可能帶來危害。而最近研究人員發現的挖礦攻擊行動EleKtra-Leak，就是這樣的典型例子，攻擊者從公開的GitHub儲存庫收集AWS帳密資料，再趁機奪取這些用戶花錢租用的EC2執行個體服務進行挖礦。 特別的是，駭客利用這些帳號挖礦之後，竟然把它們列入黑名單，這樣的手法可說是相當少見。 <h3>【攻擊與威脅】</h3> <a href="https://unit42.paloaltonetworks.com/malicious-operations-of-exposed-iam-keys-cryptojacking">駭客發動EleKtra-Leak挖礦攻擊，利用GitHub曝露的AWS帳密來奪取用戶EC2運算服務，替他們挖掘加密貨幣</a>  <a href="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露名為EleKtra-Leak的挖礦攻擊行動，駭客約從2020年12月開始進行相關活動，光是在今年8月30日至10月6日，他們就看到有多達474個Amazon EC2執行個體遭駭，被攻擊者拿來挖掘門羅幣。 研究人員指出，這些駭客先是濫用GitHub提供的機密資訊掃描功能，以及AWS的AWSCompromisedKeyQuarantine政策標籤來尋找目標，一旦確認目標儲存庫存放了AWS帳密資料，或是其他的身分驗證管理（IAM）資料，攻擊者就試圖找出這類帳密，對目標AWS帳號進行偵察，然後建立安全群組，並透過VPN程式存取EC2執行個體，從Google Drive下載挖礦軟體並執行，整個過程是自動化運作，總共進行超過400次API呼叫，過程只花費7分鐘。 特別的是，這些駭客也將他們用過的帳密資料加入黑名單。研究人員推測，這麼做的目的，很有可能是防止遭到進一步分析。 <a href="https://www.bleepingcomputer.com/news/security/lastpass-breach-linked-to-theft-of-44-million-in-crypto/">研究人員揭露440萬美元加密貨幣竊盜事故，起因疑與密碼管理解決方案LastPass資料外洩有關</a>  根據資安新聞網站Bleeping Computer報導，10月27日加密貨幣調查員ZachXBT指出，他與加密貨幣錢包MetaMask開發者Taylor Monahan聯手，追蹤一系列加密貨幣遭竊的事故，光是25日就有約440萬美元遭竊，至少有25名投資人受害，而根據他們的調查，這些人的共同點，就是都有使用密碼管理解決方案LastPass。 研究人員指出，駭客之所以能榨乾這些人的資產，關鍵是他們利用2022年LastPass遭駭而外流的資料，因此得逞。他們得知有人正在破解被洩露的密碼資料庫，而有可能導致更多LastPass用戶成為目標。 而這並非首度有人因LastPass資料外洩事故損失加密貨幣，資安新聞網站Krebs on Security於今年9月指出，從去年12月下旬，陸續傳出有人受害，估計已被偷走逾3,500萬美元加密貨幣。 資料來源 1. <a href="https://twitter.com/zachxbt/status/1717901088521687330">https://twitter.com/zachxbt/status/1717901088521687330</a> 2. <a href="https://krebsonsecurity.com/2023/09/experts-fear-crooks-are-cracking-keys-stolen-in-lastpass-breach/">https://krebsonsecurity.com/2023/09/experts-fear-crooks-are-cracking-keys-stolen-in-lastpass-breach/</a> <a href="https://www.ithome.com.tw/news/159568">針對2020年SolarWinds供應鏈攻擊事故，美國證券交易委員指控該公司蓄意隱瞞</a>  10月30日<a href="https://www.sec.gov/news/press-release/2023-227">美國證券交易委員會（SEC）對IT業者SolarWinds進行控告</a>，原因是在2020年的供應鏈攻擊事故當中，該公司內控失靈，資安長Timothy Brown涉及詐欺，違反美國證券交易法。 SEC指出，該公司從2018年10月股票公開發行，到2020年12月遭遇木馬程式Sunburst供應鏈攻擊，SolarWinds對外誇大其資安措施，同時低估已知的資安風險，甚至未主動揭露。根據SEC的調查，該公司內部工程師曾在2018年提出警告，他們的遠端存取組態不安全，一旦有人利用相關弱點，就有機會在不被發現的情況下為所欲為，Timothy Brown也曾在內部簡報提及此事。 而在前述攻擊行動發生的數個月前，該公司內部資安問題重重。例如，他們在2020年6月調查鎖定客戶而來的網路攻擊，Timothy Brown認為，駭客已經不斷針對Orion軟體下手，企圖發動規模更大的攻擊，同年9月，該名資安長在內部會議指出，8月發現的資安問題數量，已超越工程團隊負荷。 <h3>【漏洞與修補】</h3> <a href="https://www.esentire.com/blog/the-wiki-slack-attack">研究人員揭露濫用維基百科的攻擊手法Wiki-Slack，將Slack用戶進行重新導向</a>  資安業者eSentire揭露濫用維基百科的攻擊手法，駭客鎖定商務人士下手，從維基百科挑選目標人士可能感興趣的主題，並在維基百科條目加入特定註解，以便觸發後續的攻擊行動。一旦目標人士將上述的維基百科條目轉貼至Slack頻道，就有可能呈現原始維基百科不會出現的連結，從而導致其他Slack使用者點選，然後導向惡意網站，並向他們散布惡意軟體。 研究人員指出，這種攻擊手法也可能套用在Medium部落格，但有鑑於維基百科廣為人知，駭客濫用這項服務的可能性較高。針對上述的弱點，研究人員已向Slack進行通報。 <a href="https://www.armosec.io/blog/cve-2023-5043-nginx-ingress/">針對K8s打造的Nginx Ingress控制器存在高風險漏洞</a>  資安業者Armo指出，有人近日針對適用於K8s環境的Nginx Ingress控制器，通報了高風險漏洞CVE-2022-4886、CVE-2023-5043、CVE-2023-5044，其中最嚴重的是CVE-2022-4886，攻擊者有機會用來繞過此控制器的路徑清理功能，從而取得存取該控制器的帳密資料，CVSS風險評分為8.8。 另外兩個漏洞，則是讓攻擊者有機會濫用程式碼片段configuration-snippet或permanent-redirect的註解欄位，從而執行任意命令或是程式碼，CVSS風險評分皆為7.6。對此，該軟體的維護者提出了緩解措施，呼籲使用者應儘速套用。 <h3>【資安產業動態】</h3> <a href="https://www.hackerone.com/press-release/hackers-surpass-300-million-all-time-earnings-hackerone-platform">逾6成白帽駭客利用生成式AI來發現漏洞</a>  10月26日漏洞懸賞平臺HackerOne發布年度報告，當中提及生成式AI（GenAI）持續受到駭客歡迎，有61％白帽駭客正在利用此技術開發各式工具，用來發現更多漏洞，另有62%駭客對於生成式AI採用的大型語言模型（LLM）感興趣，他們將針對OWASP揭露的10大安全漏洞進行相關研究。 此外，受訪者也表明進一步運用生成式AI處理相關工作的情況，有66％打算拿來產生報告、53％會用於編寫程式碼，另有33%則是將其運用於減少語言隔閡。事實上，目前已有14%駭客將其視為重要工具，並有53%開始採用。 而對於白帽駭客帶來的貢獻，時下企業組織認為普遍面臨資安人才缺乏的現象得到緩解，70%客戶認為，這些白帽駭客充分協助他們，使其免於遭遇資安事故。 <h3>【其他新聞】</h3> <a href="https://www.securityjoes.com/post/bibi-linux-a-new-wiper-dropped-by-pro-hamas-hacktivist-group">資料破壞軟體BiBi-Linux鎖定以色列組織而來</a>  <a href="https://www.elastic.co/security-labs/ghostpulse-haunts-victims-using-defense-evasion-bag-o-tricks">惡意軟體Ghostpulse透過MSIX安裝程式散布</a>  <a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/malvertising-via-dynamic-search-ads-delivers-malware-bonanza">Google動態廣告遭到濫用，攻擊者散布惡意程式</a>  <a href="https://www.bleepingcomputer.com/news/security/hackers-email-stolen-student-data-to-parents-of-nevada-school-district/">美國內華達州校區遭遇大規模資料外洩，駭客向家長寄送竊得的學生資料施壓</a>  <a href="https://www.ithome.com.tw/news/159565">勒索軟體駭客LockBit宣稱駭入波音並竊走機密</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159548">【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</a> <a href="https://www.ithome.com.tw/news/159530">【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</a> <a href="https://www.ithome.com.tw/news/159501">【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</a> </div></div></div>
2023/10/31 17:59作者周峻佑https://www.ithome.com.tw/news/159575
駭客組織0ktapus部署勒索軟體BlackCat，從事檔案加密及破壞，向受害者進行勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 一年前，駭客組織0ktapus（亦稱Scattered Spider、Octo Tempest）鎖定身分驗證解決方案Okta的用戶下手引起全球關注，雲端服務業者Twilio、Cloudflare出面表明遭到攻擊，如今研究人員指出，這些駭客開始與勒索軟體BlackCat（Alphv）結盟，並運用相關工具發動攻擊。 這些駭客最早大約於2022年初出沒，當時他們針對電信業者、業務外包業者發動SIM卡挾持（SIM Swapping）攻擊，到了2022年末，這些駭客向其他網路罪犯兜售SIM卡挾持技術，鎖定高價值人士的帳號來盜取加密貨幣。 但到了2023年中，這些駭客改變目標，並採用其他組織的工具發動攻擊。 <a href="https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/">微軟對於0ktapus近期的攻擊行動提出警告</a>，2023年6月，這些駭客成為勒索軟體BlackCat的附屬團體，並對目標組織部署勒索軟體，近期主要集中於虛擬化環境VMWare ESXi的伺服器。 <a href="https://s4.itho.me/sites/default/files/images/Octo-Tempest-evolution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Octo-Tempest-evolution.png" style="width: 580px;" /></a> <h3>假冒客服、IT服務臺發動社交工程攻擊，成主要的入侵管道</h3> 通常駭客會先對於目標組織進行調查，以便冒充組織、模仿電話通訊、收集相關個資，針對客戶支援或是IT服務臺的員工進行社交工程攻擊，從而取得入侵組織的初始存取權限，要求客服人員重置密碼或是雙因素驗證設定。在部分攻擊行動當中，駭客也可能會假冒新進員工來發動攻擊。 研究人員看到這些駭客也會一般員工下手，發動對手中間人攻擊（AiTM），或是進行其他社交工程攻擊，從而在受害電腦部署遠端管理工具（RMM），或是清除受害者FIDO2的Token。再者，過往這些駭客擅長的SIM挾持攻擊，也是他們用於入侵的管道之一。  一旦成功入侵目標組織，駭客便會執行偵察工作，從而掌握高權限，先是從AD大量匯出使用者、群組、裝置資訊，再取得虛擬化環境的基礎架構，以及企業管理的資源組態，並對於雲端環境、程式碼儲存庫、伺服器、備份管理基礎架構進行調查，過程中駭客運用多項工具來進行，例如：利用PingCastle與ADRecon偵察AD、透過Advanced IP Scanner拓撲受害組織網路、採用Go程式庫Govmomi列出所有的vCenter的API、運用PowerShell模組PureStorage FlashArray找出儲存陣列等。 而對於這些駭客如何在受害組織提升權限，研究人員指出，他們會利用社交工程攻擊，藉由外流的密碼設置流程，以及大量收集的用戶、群組資料，透過各種方式建立信任來達成目的。在某些情況下，攻擊者還會利用流出的經理帳號，核准密碼重置請求，而能繞過組織正常的申請重置密碼程序。 除此之外，駭客也會利用開源工具Jercretz和TruffleHog，在組織的程式碼儲存庫挖掘明文帳密資料、金鑰等機密，以便進一步利用。再者，這些駭客也會利用MicroBurst企圖存取組織存放的帳密資料，或是透過Mimikatz、Hekatomb、Lazagne、gosecretsdump、smbpasswd.py、LinPEAS、ADFSDump等開源工具收集。 而在其他提升權限的手法上，他們還會利用名為VMAccess Extension的工具，對建置於Azure的虛擬機器（VM）重設密碼，或是竄改組態。或者，對於虛擬網域控制器磁區進行快照備份，來取得AD資料庫檔案NTDS.dit。 <h3>為了避免東窗事發，駭客入侵資安部門，並控制裝置管理系統及端點防護系統</h3> 值得留意的是，這些駭客在過程中為了避免遭到偵測，駭客還會對於資安部門的人員下手，目的是透過端點偵測與回應系統（EDR）、裝置管理系統，或是開源工具Privacy.sexy框架，停用資安產品及安全功能，從而放行惡意程式、部署遠端管理工具、竊取機密資料，他們甚至會竄改IT人員的電子郵件規則，自動刪除資安系統或是供應商發出的警告。 對於駭客如何持續在受害組織活動，研究人員指出，他們也運用了多種開源或遠端桌面連線工具如：ScreenConnect、FleetDeck、AnyDesk、RustDesk、Splashtop、Pulseway、TightVNC、LummaC2、Level.io、Mesh、TacticalRMM、Tailscale、Ngrok、WsTunnel、Rsocx、catcatel來進行。同時，無論是Windows還是Linux電腦，研究人員發現駭客都會部署反向Shell。 再者，這些駭客也會利用隧道工具Twingate，並利用Azure容器充當專屬的連接器，而不致將行蹤曝露於網際網路。此外，對於VMware虛擬化環境，駭客則是罕見地部署Linux後門程式Bedevil，並啟動Python指令碼對虛擬機器下達命令。 <h3>竊取資料的層面多元，涵蓋檔案共用系統、程式碼儲存庫、資料庫、應用程式系統</h3> 究竟這些駭客的攻擊目的為何？研究人員認為，主要還是獲取經濟利益，但不同的是，現在這些駭客不只竊取加密貨幣，還會進行勒索軟體攻擊。 值得一提的是，駭客在部署勒索軟體之前，他們會透過合法的用戶端程式，例如：DBeaver、MongoDB Compass、Azure SQL查詢編輯器、Cerebrata，來存取程式碼儲存庫，以及資料庫、檔案共用系統，竊取機密資料，之後透過GoFile.io、Sh.Azl、StorjShare、Temp.sh、MegaSync、Paste.ee、Backblaze等多種匿名檔案代管服務將資料流出。 此外，研究人員也看到駭客採用另一種較為特殊的手法，就是濫用資料整合服務Azure Data Factory，將特定資料自動化傳送至駭客架設的SFTP伺服器。而針對存放於SharePont的資料，攻擊者則會透過合法的Microsoft 365備份解決方案，像是Veeam、AFI Backup、CommVault進行匯出。 至於Salesforce、ZenDesk等其他駭客認為具備高價值的應用系統，他們會透過FiveTran等第三方服務，透過API連接器來複製資料庫的內容。 <a href="https://s4.itho.me/sites/default/files/images/Figure-2-octo-tempest-ttps.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-octo-tempest-ttps.png" style="width: 580px;" /></a> </div></div></div>
2023/10/31 00:22作者周峻佑https://www.ithome.com.tw/news/159564
惡意軟體StripedFly利用永恆之藍漏洞，感染百萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客組織影子掮客（The Shadow Brokers）於2017年4月，公布美國國家安全局（NSA）開發的SMB v1漏洞「永恆之藍（EternalBlue，CVE-2017-0144）」，事隔一個月陸續引發<a href="https://www.ithome.com.tw/article/114311">WannaCry</a>、<a href="https://www.ithome.com.tw/tags/notpetya">NotPetya</a>等勒索軟體的大規模攻擊，後來有研究人員發現，<a href="https://www.ithome.com.tw/news/130477">中國駭客組織Buckeye（亦稱APT3、Gothic Panda）在一年前就拿來用於攻擊行動</a>，遠較影子掮客於2016年8月兜售的時間還要早。 但如今，研究人員發現另一批駭客在2016年4月也開始利用這項漏洞，卻直到最近才被發現其攻擊行動。 <a href="https://securelist.com/stripedfly-perennially-flying-under-the-radar/110903/">資安業者卡巴斯基揭露存在超過5年的惡意軟體框架StripedFly</a>，對於發現該惡意程式的蹤跡，研究人員起初於2022年發現有兩組惡意程式碼（Shell Code）被注入到Wininit處理程序，這些程式碼過往曾在惡意軟體Equation出現，當時被誤認為挖礦程式，但研究人員發現，這只是表面可見的威脅，並非攻擊者的主要目的。 他們發現此Shell Code會透過Wininit處理程序從Bitbucket、GitHub、GitLab下載惡意程式，然後執行PowerShell指令碼，過程中利用2017年揭露的永恆之藍漏洞，最終在受害電腦部署StripedFly。 <a href="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif" style="width: 580px;" /></a> 此惡意程式酬載的檔名為system.img，具備洋蔥網路的用戶端功能，目的是避免網路通訊遭到干擾，而在利用上述漏洞停用SMB v1通訊埠之後，就能透過SSH，將StripedFly散布到位處相同內部網路的Windows、Linux電腦。研究人員根據駭客所使用的Bitbucket儲存庫，估計有超過100萬臺電腦遭到感染，其中在今年4月至9月仍有近6萬臺電腦受害。 <img alt="" src="https://s4.itho.me/sites/default/files/images/StripedFly03.png" style="width: 580px;" /> 而對於StripedFly的功能，研究人員指出是透過可執行檔主程式，搭配外掛模組的方式運作，主要功能包含：執行攻擊者下達的命令、收集帳密資料、對目標電腦進行偵察、利用SSH帳密組合嘗試滲透其他電腦、利用永恆之藍漏洞入侵其他Windows電腦、反向代理伺服器、挖掘門羅幣。值得留意的是，研究人員強調，挖礦模組很可能是此惡意軟體能夠長時間逃避偵測的重要因素。 為了維持在受害電腦上運作，StripedFly針對Windows、Linux作業系統，採取專屬的措施。 在Windows電腦上，該惡意程式會根據得到的權限，試圖透過PowerShell指令碼建立工作排程，或是竄改登錄檔來達到目的；而在Linux電腦當中，惡意程式會濫用systemd服務、自動啟動的.desktop檔案，或是其他能更動個人設定或是電腦開機組態的檔案，來維持於受害電腦運作。 </div></div></div>
2023/10/30 23:41作者周峻佑https://www.ithome.com.tw/news/159563
【資安日報】10月30日，有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 由美國國家安全局（NSA）掌握的SMB v1漏洞「永恆之藍（EternalBlue）」、於2017年4月被駭客組織影子掮客（The Shadow Brokers）公布，1個月內引發勒索軟體WannaCry大規模感染的事故，但有研究人員指出，有其他駭客也利用這項漏洞打造惡意程式，並暗中活動超過5年，直到今年都還有數萬臺電腦受害。 值得留意的是，這些駭客發起惡意軟體攻擊的時間最早可能在2016年4月，比影子掮客聲稱於同年8月竊得相關資料的時間還要早。 <h3>【攻擊與威脅】</h3> <a href="https://securelist.com/stripedfly-perennially-flying-under-the-radar/110903/">惡意軟體StripedFly利用永恆之藍漏洞，感染百萬臺電腦</a>  <a href="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露存在超過5年的惡意軟體框架StripedFly，對於發現該惡意程式的蹤跡，研究人員起初於2022年發現有惡意程式碼（Shell Code）被注入到Wininit處理程序，這些程式碼過往曾在惡意軟體Equation出現，當時被誤認為挖礦程式，但研究人員發現，這只是表面可見的威脅，並非攻擊者的主要目的。 他們發現此Shell Code會透過Wininit處理程序從Bitbucket、GitHub、GitLab下載惡意程式，然後執行PowerShell指令碼，過程中利用2017年揭露的永恆之藍（EternalBlue，CVE-2017-0144）漏洞，最終在受害電腦部署StripedFly。 此惡意程式酬載的檔名為system.img，具備洋蔥網路的用戶端功能，目的是避免網路通訊遭到干擾，而在利用上述漏洞停用SMB v1通訊埠之後，就能透過SSH，將StripedFly散布到位處相同內部網路的Windows、Linux電腦。研究人員估計有超過100萬臺電腦遭到感染，其中在今年4月至9月仍有近6萬臺電腦受害。 <a href="https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/">駭客組織0ktapus部署勒索軟體BlackCat，從事檔案加密及破壞，向受害者進行勒索</a>  <a href="https://s4.itho.me/sites/default/files/images/A_Cascade_of_Compromise_Unveiling_Lazarus_Campaign_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_Cascade_of_Compromise_Unveiling_Lazarus_Campaign_01.png" style="width: 300px; float: right;" /></a>一年前，駭客組織0ktapus（亦稱Scattered Spider、Octo Tempest）鎖定身分驗證解決方案Okta的用戶下手引起全球關注，雲端服務業者Twilio、Cloudflare出面表明遭到攻擊，如今研究人員指出，這些駭客開始與勒索軟體BlackCat（Alphv）結盟，並運用相關工具發動攻擊。 微軟對於該組織近期的攻擊行動提出警告，2023年中，這些駭客成為勒索軟體BlackCat的附屬團體，並對目標組織部署勒索軟體，近期主要集中於虛擬化環境VMWare ESXi的伺服器，針對客戶支援或是IT服務臺的員工進行社交工程攻擊，從而取得入侵組織的初始存取權限，從而要求客服人員重置密碼或是雙因素驗證設定。 一旦成功入侵目標組織，駭客便會執行偵察工作，從而掌握高權限，先是從AD大量匯出使用者、群組、裝置資訊，再取得虛擬化環境的基礎架構，並對於雲端環境進行調查，最終部署勒索軟體並執行檔案加密。過程中為了避免遭到偵測，駭客還會對於資安部門的人員下手，目的是停用資安產品及安全功能，甚至會竄改IT人員的電子郵件規則，自動刪除資安系統或是供應商發出的警告。 <a href="http://securelist.com/unveiling-lazarus-new-campaign/110888/">北韓駭客Lazarus鎖定軟體供應商發動供應鏈攻擊，企圖竊取原始碼</a>  資安業者卡巴斯基揭露近期北韓駭客組織Lazarus發起的攻擊行動，他們在今年7月中旬，偵測到駭客對數個組織出手，利用合法軟體及帳密進行加密網路通訊，藉由尚未修補的漏洞發動攻擊。 經過調查，這個出現漏洞的軟體，其開發商曾多次成為這群駭客攻擊的目標，這代表駭客很有可能對其竊取原始碼，或是入侵軟體供應鏈，並在攻擊其他軟體開發商的時候繼續利用相關漏洞。研究人員指出，他們看到駭客利用前述提及的漏洞，於受害組織部署惡意軟體Signbt，並將其酬注入記憶體內，而能夠秘密執行Shell Code。 此惡意程式能為駭客收集系統資訊、控制受害電腦的處理程序、得知電腦存放的檔案、上傳或下載檔案並於記憶體內載入，以及使用Windows內建的命令或是公用程式。在受害電腦植入了Signbt之後，研究人員看到駭客下載另一款惡意程式LPEClient，以及截取帳密資料的工具，而LPEClient曾在多起攻擊行動裡出現，光是今年該公司就發現至少3起資安事故。 <a href="https://twitter.com/troyhunt/status/1717291454341750929">CCleaner用戶資料遭外流，原因是母公司遭遇MOVEit Transfer零時差漏洞攻擊</a>  根據維護密碼外洩查詢網站Have I Been Pwned的研究人員 Troy Hunt表示，資安業者Gen Digital近期向系統清理程式CCleaner的用戶寄送電子郵件，證實他們也在今年5月遭遇MOVEit Transfer零時差漏洞攻擊影響，駭客竊取客戶的姓名、聯絡資訊、購買的產品資訊。該公司發言人Jess Monney透露，約有2％用戶受到波及，但不願透露受影響客戶數量。 無獨有偶，該公司旗下另一家資安業者也傳出遭遇該攻擊事故，導致資料外洩，今年6月有研究人員發現，勒索軟體駭客Clop將Norton LifeLock列為受害組織，Gen Digital也證實他們遭到相關攻擊。 <a href="https://securityaffairs.com/153149/cyber-crime/lockbit-ransomware-gang-boeing.html">波音公司傳出遭到勒索軟體LockBit攻擊</a>  <a href="https://s4.itho.me/sites/default/files/images/boeing-image-54.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/boeing-image-54.png" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityWeek的報導，勒索軟體LockBit聲稱入侵大型飛機製造商波音，並要求這家公司必須11月2日前聯絡他們，討論支付贖金的事宜。 對此，研究人員Brett Callow推測，波音可能不是真正的受害公司，應該是該公司的供應商遭駭。 <h3>【漏洞與修補】</h3> <a href="https://techcrunch.com/2023/10/27/apple-fixes-bug-that-undermined-ios-privacy-feature-for-years/">蘋果修補iOS裝置的MAC位址廣播漏洞</a>  10月25日蘋果發布iOS 17.1及16.7.2、iPadOS 17.1及16.7.2、watchOS 10.1、tvOS 17.1，當中修補3年前就可能導致行動裝置、穿戴裝置洩露MAC位址的漏洞CVE-2023-42846。 通報這項漏洞的研究人員Tommy Mysk指出，這項漏洞與蘋果在推出iOS 14、iPadOS 14、watchOS 7加入的新安全功能private Wi-Fi address有關，該公司聲稱裝置會為每個Wi-Fi無線網路採用不同的MAC位址，但研究人員發現，這項功能並未實際發揮作用，由於這些裝置在連上Wi-Fi網路的時候，會廣播呼叫網路上的AirPlay裝置，同時傳送夾帶裝置的真實MAC位址資訊，使得他人得以追蹤這些裝置。 對此，蘋果也提出說明，該漏洞與mDNSResponder程式碼錯誤有關，他們在更新程式移除了相關程式碼。 資料來源 1. <a href="https://twitter.com/mysk_co/status/1717541345223389346">https://twitter.com/mysk_co/status/1717541345223389346</a> 2. <a href="https://support.apple.com/HT213982">https://support.apple.com/HT213982</a> 3. <a href="https://support.apple.com/HT213981">https://support.apple.com/HT213981</a> 4. <a href="https://support.apple.com/HT213988">https://support.apple.com/HT213988</a> 5. <a href="https://support.apple.com/HT213987">https://support.apple.com/HT213987</a> <a href="https://github.com/flyyue2001/cve/blob/main/D-LINK%20-DAR-7000_sql_:sysmanage:editrole.php.md">D-Link上網安全閘道存在SQL注入漏洞</a>  <a href="https://s4.itho.me/sites/default/files/images/265646319-4149a219-fa7a-45d2-9154-a3b2e336f084.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/265646319-4149a219-fa7a-45d2-9154-a3b2e336f084.png" style="width: 300px; float: right;" /></a>10月初傳出資料外洩事故的D-Link，他們的員工上網安全管理閘道設備DAR-7000被發現有資安漏洞。根據研究人員flyyue2001的揭露，此產品具有SQL注入漏洞CVE-2023-42406，攻擊者一旦觸發漏洞，就有機會透過發送特定的惡意酬載，從而取得管理者權限，並執行任意命令，CVSS風險評分為7.5。這名研究人員也在GitHub上，公布概念性驗證程式碼。 <h3>【資安產業動態】</h3> <a href="https://www.zerodayinitiative.com/blog/2023/10/27/pwn2own-toronto-2023-day-four-results">研究人員在漏洞挖掘競賽Pwn2Own Toronto 2023找出近60個零時差漏洞</a>  <a href="https://s4.itho.me/sites/default/files/images/Master%2Bof%2BPwn%2BLeaderboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Master%2Bof%2BPwn%2BLeaderboard.jpg" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own Toronto 2023於10月24日至27日在加拿大多倫多舉行，本次參賽隊伍找尋漏洞的目標，包含了智慧型手機（Apple iPhone 14、Google Pixel 7、三星Galaxy S23、小米13 Pro）、印表機、Wi-Fi無線路由器、NAS、智慧家電裝置、視訊監控系統、智慧音箱、Chromecast電視棒、Pixel Watch等，其中，在手機的部分，參賽隊伍似乎聚焦三星Galaxy S23，4次成功找出漏洞；另一個熱門目標是Canon無線彩色印表機imageCLASS MF753Cdw，參賽者5度找出漏洞。 比賽結果出爐，這次研究人員總共找到58個漏洞，由Team Viettel得到冠軍，拿下30個Pwn大師積分、抱走18萬美元；第二名是Sea Security，得到17.25個積分、11.6萬美元；第三名則是Devcore Intern和Interrupt Labs組成的團隊，得到10個積分、5萬美元。 <h3>【其他新聞】</h3> <a href="https://blog.cloudflare.com/ddos-threat-report-2023-q3/">HTTP/2 Rapid Reset攻擊橫行，2023第三季DDoS流量大幅增加</a>  <a href="https://notes.valdikss.org.ru/jabber.ru-mitm/">Akamai旗下子公司傳出遭到駭客鎖定，透過XMPP即時通訊服務監聽</a>  <a href="https://www.horizon3.ai/nextgen-mirth-connect-remote-code-execution-vulnerability-cve-2023-43208/">醫療資料整合平臺Mirth Connect存在重大漏洞，恐曝露病人敏感資料</a>  <a href="https://news.drweb.com/show/review/?lng=en&i=14767">惡意廣告App上架Google Play市集，已有200萬人下載</a>  <a href="https://www.bleepingcomputer.com/news/security/new-hunters-international-ransomware-possible-rebrand-of-hive/">新興駭客組織</a><a href="https://www.bleepingcomputer.com/news/security/new-hunters-international-ransomware-possible-rebrand-of-hive/">Hunters International攻擊英國學校，疑為勒索軟體Hive捲土重來</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159530">【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</a> <a href="https://www.ithome.com.tw/news/159501">【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</a> <a href="https://www.ithome.com.tw/news/159482">【10月25日】 6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</a> </div></div></div>
2023/10/30 16:57作者周峻佑https://www.ithome.com.tw/news/159548
WordPress.com母公司Automattic買下可集結所有傳訊服務的Texts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> WordPress.com母公司<a href="https://wordpress.com/blog/2023/10/24/texts-joins-automattic/" target="_blank">Automattic周二（10/24）宣布</a>，已買下可整合各大傳訊服務的<a href="https://texts.com/" target="_blank">Texts.com</a>，外傳此一交易價值5,000萬美元。 Texts利用Texts Platform SDK來集結所有主要的傳訊平臺，從iMessage、WhatsApp、Telegram、Signal、Messenger、Twitter（現在的X）、Instagram、LinkedIn、IRC、Slack到Discord DM。它目前只有桌面版，支援macOS、Windows與Linux，目前正在開發iOS版本，亦計畫推出Android版。 Texts最大的功用就是在同一個介面上集結上述的所有傳訊服務，它也提供了AI助理功能，可在面對來不及瀏覽的聊天室大量訊息時，幫使用者摘錄重點，也於平臺上整合了ChatGPT以幫使用者撰寫回應，亦可即時將訊息翻譯成不同的語言。 此外，它還能搜尋訊息，在回應之前把所有訊息都標示為已讀，安排訊息發送的時間，暫停來自某個人的訊息，使用者亦可客製化其介面。另也強調所有的訊息都是直接由既有的傳訊平臺傳送與接收，不會觸及Texts平臺。 Texts為訂閱制，每月的訂閱費用為12.5美元，但不管是Automattic或Texts都未透露其現有的用戶數。 Automattic為開源部落格軟體WordPress主要的貢獻者，該公司在2005年推出出版平臺WordPress.com，於2015年收購WordPress的電子商務外掛程式WooCommerce，<a href="https://www.ithome.com.tw/news/132393" target="_blank">2019年買下了Tumblr</a>，現在的Automattic則認為傳訊是現代網路的未來，也是不可或缺的市場，並說Texts是市場上最好的訊息傳遞程式。 未來Texts創辦人Kishan Bagaria將會加入Automattic，負責傳訊服務，其分散式的團隊也會繼續開發行動版的Texts服務。 </div></div></div>
2023/10/25 15:53作者陳曉莉https://www.ithome.com.tw/news/159476
【資安日報】10月23日，思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 思科<a href="https://www.ithome.com.tw/news/159361#CVE-2023-20198">上週揭露</a>已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後有研究人員指出可能有1萬臺設備感染惡意程式，但情況急速惡化。資安業者Censys發現，18日有逾4萬臺設備受害，其中又以美國、菲律賓、墨西哥的設備最多。 另一方面，思科威脅情報團隊Talos揭露此起事故的最新調查結果，指出攻擊者在部署惡意程式的過程，同時利用另一個零時差漏洞CVE-2023-20273。 <h3>【攻擊與威脅】</h3> <a href="https://censys.com/cve-2023-20198-cisco-ios-xe-zeroday/">鎖定零時差漏洞CVE-2023-20198的受害範圍擴大，近4.2萬臺思科設備感染後門程式</a>  <a href="https://s4.itho.me/sites/default/files/images/IOSXE1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IOSXE1-1.png" style="width: 300px; float: right;" /></a>10月16日思科針對網路設備作業系統IOS XE的零時差漏洞CVE-2023-20198（CVSS風險評分為10）提出警告，並已出現攻擊行動，隨後有研究人員揭露可能的受害規模，但如今傳出有擴大的跡象。 資安業者Censys指出，10月17日他們看到67,445臺啟用網頁介面的IOS XE設備，其中有34,140臺被植入後門程式，超過半數受害。隔日，遭駭設備的數量一舉增加至41,983臺，其中美國從4,659臺增加至6,509臺、菲律賓從3,224臺增加為3,966臺、墨西哥從2,332臺增加到3,052臺。 到了19日，他們發現受害設備數量降至36,541臺，這代表已有超過5千臺設備的IT管理員可能已採取保護措施。 <a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/">思科揭露另一個網路設備作業系統IOS XE零時差漏洞，駭客用來植入Lua打造的惡意程式</a>  思科上週公布遭利用的零時差漏洞CVE-2023-20198，駭客可能在9月中旬就開始發動攻擊，並搭配另一個已知漏洞CVE-2021-1435，對執行IOS XE作業系統的網路設備植入惡意軟體，如今該公司推翻當時的發現，指出攻擊者串連了另一個零時差漏洞。 思科威脅情報團隊Talos表示，駭客利用CVE-2023-20198取得IOS XE最高權限之後，利用了另一個零時差漏洞CVE-2023-20273來部署惡意程式，而這個弱點是位於網頁介面的命令注射漏洞，攻擊者可取得最高權限，將惡意程式寫入檔案系統，CVSS風險評分為7.2。 而對於攻擊者植入的惡意程式，研究人員指出是利用Lua程式語言打造而成，僅有29行程式碼，而且，攻擊者下達命令的方式也相當簡單，只需對裝置發出HTTP POST請求，就能進行操控。 <a href="https://www.bleepingcomputer.com/news/security/okta-says-its-support-system-was-breached-using-stolen-credentials/">Okta證實客戶技術支援系統遭駭，帳密資料外洩</a>  10月20日身分存取管理服務業者Okta證實，有人取得外流的帳密資料，存取他們的客戶支援管理系統，而能夠檢視近期尋求支援的客戶上傳的資料。該公司強調，此客戶支援管理系統與他們提供的身分驗證服務互為獨立，並未波及身分驗證服務；此外，未影響Auth0/CIC案件管理系統。在該公司的客戶支援流程當中，他們要求用戶提供HTTP Archive（HAR）檔案，以便客服還原使用者的瀏覽器組態來解決問題，然而這種檔案有可能內含Cookie與連線階段（Session）的Token，使得攻擊者能夠用於冒充使用者。 身分存取管理業者BeyondTrust、雲端服務業者Cloudflare發出公告，表明他們也受到這起資安事故影響，並在收到警告前向Okta通報這起資安事故。BeyondTrust表明他們在10月2日，察覺有人利用Okta客戶支援系統竊得的Cookie，企圖存取該公司Okta管理員帳號，所幸他們的資安團隊阻止駭客的行為，攻擊者並未存取任何系統，客戶也沒有受到影響。 Cloudflare於10月18日透露遭遇相關攻擊，攻擊者利用從Okta客戶支援系統竊得的Token，透過具備管理權限的連線階段存取他們的Okta實體，經過他們確認，該公司客戶資訊及資料並未受到影響。 資料來源 1. <a href="https://sec.okta.com/harfiles">https://sec.okta.com/harfiles</a> 2. <a href="https://www.beyondtrust.com/blog/entry/okta-support-unit-breach">https://www.beyondtrust.com/blog/entry/okta-support-unit-breach</a> 3. <a href="https://blog.cloudflare.com/how-cloudflare-mitigated-yet-another-okta-compromise/">https://blog.cloudflare.com/how-cloudflare-mitigated-yet-another-okta-compromise/</a> <a href="https://labs.withsecure.com/publications/darkgate-malware-campaign">駭客假借知名電競設備業者海盜船的名義徵才，目的是散布惡意軟體DarkGate、RedLine Stealer</a>  資安業者WithSecure發現越南駭客散布惡意軟體DarkGate、RedLine Stealer的攻擊行動，這些駭客針對美國、英國、印度，鎖定專門經營組織社群網站管理業務的人士而來，透過職場社群網站LinkedIn，假借提供電競設備業者海盜船（Corsair）的職缺，來引誘目標人士上當。 在其中一起發生於8月的攻擊行動裡，對方要求使用者從特定URL下載職缺資料，一旦依照指示點選，上述的URL會將使用者重新導向至雲端檔案儲存服務Google Drive或是Dropbox，下載帶有PDF、Word檔案，或是TXT文字檔的ZIP檔案，若是依照指示開啟上述文件檔案，電腦就有可能觸發其中的VBS指令碼，執行curl下載AutoIT及自動化批次檔（AU3），植入惡意程式DarkGate，並在30秒後嘗試移除WithSecure的用戶端軟體，不過沒有成功。 研究人員也在其他受害組織看到類似的攻擊行動，但Sophos、Forcepoint等端點防護軟體皆阻止了後續攻擊。此外，他們也看到這些駭客利用類似的管道散布竊資軟體RedLine Stealer。而對於攻擊者的身分，研究人員認為，這些駭客先前可能曾散布另一款惡意程式Ducktail。 <a href="https://unit42.paloaltonetworks.com/blackcat-ransomware-releases-new-utility-munchkin/">勒索軟體駭客BlackCat利用新工具Munchkin散布加密程式</a>  <a href="https://s4.itho.me/sites/default/files/images/1965-F1-BlackCat.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1965-F1-BlackCat.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露勒索軟體駭客BlackCat（亦稱Alphv）近期的攻擊行動，攻擊者這次使用新的工具Munchkin來加密電腦的檔案。一旦駭客成功入侵目標電腦，會先安裝虛擬化軟體VirtualBox，然後建置帶有Munchkin的Linux虛擬機器，駭客以Alpine OS打造該作業系統的安裝映像檔，原因是此種版本Linux作業系統占用的空間極小，而能夠快速部署。 接著，攻擊者啟動虛擬機器時，會下達更動root密碼的命令，然後透過作業系統內建的tmux應用程式產生新的終端機連線，執行惡意程式Munchkin，完成後虛擬機器就會自動關機，此惡意程式會推送勒索軟體BlackCat到其他電腦並執行，或是遠端加密SMB共用資料夾的內容。此外，該虛擬機器內含大量的Python檔案，而能讓攻擊者於受害組織的網路進行橫向移動，或是竊取帳密資料。 <a href="https://news.sophos.com/en-us/2023/10/19/ransomware-actor-exploits-coldfusion-servers-but-comes-away-empty-handed/">勒索軟體駭客鎖定舊版Adobe ColdFusion下手，散布LockBit 3.0變種程式</a>  資安業者Sophos揭露鎖定Adobe ColdFusion伺服器的勒索軟體攻擊行動，駭客組織BlackDogs 2023從9月至10月初，鎖定仍在運作、已達到生命週期結束（EOL）的ColdFusion 11版，利用漏洞存取目標組織的Windows伺服器，從而部署以LockBit 3.0產生器製作的勒索軟體程式，並企圖勒索205個門羅幣（約3萬美元），但遭到該公司的端點防護系統攔截而沒有得逞。 利用應用程式系統漏洞來散布勒索軟體的情況，還有<a href="https://infosec.exchange/@SophosXOps/111222943608438109">針對WS_FTP伺服器CVE-2023-40044漏洞而來的攻擊行動</a>，勒索軟體駭客組織Reichsadler利用這項漏洞入侵目標組織，使用開源工具GodPotato將權限提升為NT AUTHORITY\SYSTEM，然後試圖植入以LockBit 3.0產生器打造的勒索軟體，企圖索討500美元的比特幣。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/critical-rce-flaws-found-in-solarwinds-access-audit-solution/">SolarWinds存取權限稽核系統存在重大漏洞，攻擊者可能得以遠端執行任意程式碼</a>  10月18日SolarWinds針對旗下的存取權限稽核系統Access Rights Manager（ARM）<a href="http://documentation.solarwinds.com/en/success_center/arm/content/release_notes/arm_2023-2-1_release_notes.htm">發布2023.2.1版</a>，當中總共修補8個漏洞，這些漏洞由趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）於6月下旬向SolarWinds通報，但值得留意的是，在SolarWinds發布的公告當中，這些漏洞全部都評為高風險等級，CVSS風險評分介於7.8至8.8分，但ZDI認為有3個漏洞為重大等級。 這些漏洞是CVE-2023-35182、CVE-2023-35185、CVE-2023-35187，其共通點是攻擊者無須通過身分驗證，就能使用SYSTEM的權限遠端執行任意程式碼（RCE），ZDI將這些漏洞的CVSS風險評分列為9.8。 <h3>【其他新聞】</h3> <a href="https://www.europol.europa.eu/media-press/newsroom/news/ragnar-locker-ransomware-gang-taken-down-international-police-swoop">歐洲刑警組織宣布破壞勒索軟體Ragnar Locker的基礎設施</a>  <a href="https://www.cloudsek.com/whitepapers-reports/chinese-scammers-launder-money-through-upi-a-new-threat-to-indias-digital-payment-ecosystem">中國駭客透過冒牌貸款App洗錢</a>  <a href="https://www.ettoday.net/news/20231020/2606195.htm">線上影視平臺LiTV雲端基礎設施1月遭破壞，涉案前員工遭起訴，檢方透露更多細節</a>  <a href="https://news.ltn.com.tw/news/society/breakingnews/4462410">12名房仲向歹徒購買小白機查詢屋主個資，依個資法遭到起訴</a>  <a href="https://www.bleepingcomputer.com/news/security/kwik-trip-finally-confirms-cyberattack-was-behind-ongoing-outage/">美國連鎖便利商店Kwik Trip的IT系統服務中斷，起因是遭到網路攻擊</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159415">【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</a> <a href="https://www.ithome.com.tw/news/159379">【10月19日】互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</a> <a href="https://www.ithome.com.tw/news/159361">【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</a> </div></div></div>
2023/10/23 17:03作者周峻佑https://www.ithome.com.tw/news/159433
攻擊行動Qubitstrike鎖定Jupyter Notebook伺服器部署惡意程式，竊取AWS、Google Clo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在程式開發與資料科學領域常用的Jupyter Notebook，傳出遭到網路攻擊鎖定的情況，<a href="https://www.ithome.com.tw/news/157762#pyloose">今年7月有人將其用於散布惡意程式PyLoose</a>，將這種伺服器拿來挖礦牟利，如今針對這類運算平臺的攻擊行動再度出現。 <a href="https://www.cadosecurity.com/qubitstrike-an-emerging-malware-campaign-targeting-jupyter-notebooks/">資安業者Cado揭露的Qubitstrike</a>，正是這種型態的惡意行為，但不同的地方在於，駭客除了將伺服器的運算資源拿來挖礦，也企圖找尋組織的雲端服務帳密資料，進一步擴大危害的範圍。 研究人員從他們建置的Juypter密罐陷阱（Honeypot）察覺這起攻擊行動。駭客疑似來自突尼西亞首都突尼斯的IP位址，透過物聯網搜尋引擎Shodan，尋找曝露在網際網路上的Jupyter Notebook伺服器下手，先是確認處理器的型號，以及能否存取root帳號，並尋找可下手的帳密資料。由於上述命令執行的時間長達195秒，他們推測，駭客應該是透過手動操作的方式執行。 接著駭客目標系統是否存在curl元件，然後下載、執行以Base64演算法加密的指令碼mi.sh，啟動挖礦軟體XMRig，並植入攻擊者的SSH金鑰，以便持續存取root帳號，隨後部署名為Diamorphine的Rootkit程式，以及竊取AWS、Google Cloud等帳密資料，並透過SSH將這些資訊外流，最終使用Telegram機器人的API回傳給駭客。 <h3>攻擊者採取多種措施來讓挖礦行動更為隱密</h3> 駭客為了避免挖礦過程受到干擾，他們在執行挖礦軟體之前採取了多項措施。首先，攻擊者將curl、wget等多種常見的資料傳輸程式檔案重新命令，而使得其他不知道檔案名稱的人士無法執行。再者，則是針對常見的挖礦軟體終止相關的處理程序，以免其他攻擊者佔用運算資源。 過程中駭客也利用名為kthreadd的工具清除其他攻擊者的惡意酬載，以及下達netstat指令而關閉其他連線。研究人員還看到名為log_f()的功能函數，攻擊者一旦呼叫，就能刪除多種Linux的事件記錄檔案，來防範鑑識人員採集證據。 完成上述一系列的回避偵測工作，mi.sh才會從程式碼代管平臺Codeberg下載XMRig，並以python-dev的檔案名稱存放於受害主機，目的應該是讓挖礦程式的處理程序看起來較為無害。而這起事故，是他們首度看到有人濫用Codeberg的挖礦攻擊行動。 <h3>從濫用的儲存庫找到駭客架設於Discord的C2中繼站</h3> 研究人員針對駭客濫用的Codeberg儲存庫進行調查，看到多個駭客存放的指令碼，其中一個名為kdfs.py的Python指令碼引起他們關注，這個指令碼本身是代理程式，並連線至以即時通訊軟體Discord機器人架設的C2伺服器，而使得攻擊行動更難被察覺。特別的是，對方在指令碼嵌入Discord的Token，但透過Base64、Base32、ROT13演算法進行處理，目的可能是防堵其他人解讀Token內容。 值得留意的是，攻擊者也透過類似蠕蟲的方式散布作案工具，感染其他Jupyter Notebook主機。他們使用正規表示法列出SSH的known_hosts儲存的IP位址列表，並透過bash指令散布mi.sh檔案。 </div></div></div>
2023/10/22 22:38作者周峻佑https://www.ithome.com.tw/news/159423
俄羅斯駭客Sandworm自5月就對烏克蘭電信業者下手，近半年已有11家業者受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://cert.gov.ua/article/6123309">烏克蘭電腦緊急應變小組（CERT-UA）指出</a>，今年5月11日至9月27日，該國至少有11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，駭客干擾這些公司的通訊系統，導致相關服務面臨中斷的情況，並曝露於資料外洩的風險。 駭客起初利用網路通訊埠掃描工具masscan，對電信公司的網路環境進行偵察，並尋找開放的連接埠，以及未設防的遠端桌面連線（RDP）與SSH連線管道，藉此來破壞內部網路環境。 <a href="https://s4.itho.me/sites/default/files/images/CERT-UA-Masscan.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA-Masscan.png" style="width: 580px;" /></a> 為了得到更多存取權限，駭客利用ffuf、dirbuster、gowitness、nmap等網路工具來找出網頁服務的漏洞。CERT-UA於遭駭的網際網路供應商（ISP）系統當中，看到兩個後門程式Poemgate、Poseidon，前者用於收集管理員帳密，後者則針對Linux主機而來。 此外，駭客也利用Dante、socks5等代理伺服器軟體，搭配他們已經入侵烏克蘭競內的伺服器進行路由，來隱匿相關攻擊行動。另一方面，駭客也運用名為Whitecat的工具，來清理攻擊的痕跡，並刪除事件記錄檔案。 </div></div></div>
2023/10/22 21:22作者周峻佑https://www.ithome.com.tw/news/159421
【資安日報】10月17日，駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 以色列與巴勒斯坦的軍事衝突已經進行超過一個星期，表達支持態度的網路攻擊也隨之而來，駭客組織選邊站，近100個團體對各式關鍵基礎設施發動攻擊，多是宣示立場的DDoS攻擊。這當中比較特別的攻擊目標，是以色列空襲警報行動應用程式Red Alert，有人假借提供該App，針對安卓用戶散布惡意程式。 但針對Red Alert的攻擊行動並非首例。巴勒斯坦駭客組織AnonGhost日前聲稱透過此通報系統的API，向以色列民眾發出假的核彈警報。 <h3>【攻擊與威脅】</h3> <a href="https://blog.cloudflare.com/malicious-redalert-rocket-alerts-application-targets-israeli-phone-calls-sms-and-user-information/">駭客假借提供以色列空襲警報App，意圖散布安卓惡意程式</a>  <a href="https://s4.itho.me/sites/default/files/images/pasted-image-0--13-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted-image-0--13-.png" style="width: 300px; float: right;" /></a>巴勒斯坦激進組織哈瑪斯（Hamas）引爆軍事衝突，侵入以色列境內之餘，也發動網路攻擊，這幾天傳出手機應用程式Red Alert，成為攻擊標的，這支程式的用途，是針對以色列民眾恐怖分子發射飛彈警示訊息。日前有巴勒斯坦駭客組織AnonGhost聲稱竄改此App的通知內容，現在有人提供冒牌應用程式對以色列民眾下手。 這項消息來自雲端服務業者Cloudflare，他們揭露冒牌的RedAlert - Rocket Alerts手機應用程式的攻擊行動，駭客於10月12日架設惡意網站（hxxps://redalerts[.]me），其網站內容仿造Elad Nava打造的原始網站（hxxps://redalert[.]me）提供iOS與安卓版本應用程式的下載連結，若是使用者在惡意網站上點選下載安卓版本的按鈕，手機會直接下載有問題的APK安裝檔，而非連往Google Play市集。 研究人員指出，這個冒牌的RedAlert應用程式，雖然看似具備正牌App的相關功能，但此冒牌應用程式安裝的過程裡，會向使用者請求各式的額外權限，包含存取聯絡人、簡訊、已安裝應用程式列表、通話記錄、手機IMEI碼、應用程式帳號等。一旦啟動，此應用程式會啟動背景服務來收集上述資料，並採用AES演算法處理後傳給駭客。為防範研究人員進行調查，此App還加入了反除錯、反模擬、反測試的機制。 <a href="https://blog.cluster25.duskrise.com/2023/10/12/cve-2023-38831-russian-attack">俄羅斯駭客利用壓縮軟體WinRAR漏洞發動攻擊</a>  資安業者DuskRise旗下的威脅情報部門Cluster25揭露俄羅斯駭客的惡意軟體攻擊行動，駭客假借提供入侵指標的相關資料為誘餌，散布壓縮檔IOC_09_11.rar，裡面夾帶PDF檔案IOC_09_11.pdf及相同名稱的資料夾，而該資料夾裡面，存放名為IOC_09_11.pdf .cmd的BAT批次檔。 此壓縮檔鎖定WinRAR漏洞CVE-2023-38831而來。一旦使用者執行6.23版之前的WinRAR將其開啟，並打開PDF檔案，批次檔的指令碼將會執行，先是於背景執行WinRAR命令解壓縮RAR檔案的內容，然後刪除指令碼檔案並開啟PDF檔案騙過使用者，接著執行3個PowerShell命令來進行惡意行為。 首先，第1個命令是在特定檔案寫入RSA私鑰，然後，駭客利用前述檔案下達第2個命令，啟動反向Shell讓攻擊者能使用SSH工具，存取TCP的443埠，控制目標電腦；接著利用最後一道命令執行Base64編碼的字串，來傳送使用者Chrome、Edge儲存的帳密資料，為避免資安系統攔截，對方利用Webhook.site服務接收資料。 <a href="https://s4.itho.me/sites/default/files/images/image-png-Oct-10-2023-03-48-36-8737-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Oct-10-2023-03-48-36-8737-PM.png" style="width: 580px;" /></a> <a href="http://cert.gov.ua/article/6123309">俄羅斯駭客Sandworm自5月就對烏克蘭電信業者下手，近半年已有11家業者受害</a>  烏克蘭電腦緊急應變小組（CERT-UA）指出，今年5月至9月，該國至少有11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，駭客干擾這些公司的通訊系統，導致相關服務面臨中斷的情況，並曝露於資料外洩的風險。 駭客起初利用網路通訊埠掃描工具masscan，對電信公司的網路環境進行偵察，並尋找開放的連接埠，以及未設防的遠端桌面連線（RDP）與SSH連線管道，藉此來破壞內部網路環境。為了得到更多存取權限，駭客利用ffuf、dirbuster、gowitness、nmap等網路工具來找出網頁服務的漏洞。CERT-UA於遭駭的網際網路供應商（ISP）系統當中，看到兩個後門程式Poemgate、Poseidon，前者用於收集管理員帳密，後者則針對Linux主機而來。 此外，駭客也利用Dante、socks5等代理伺服器軟體，搭配他們已經入侵烏克蘭競內的伺服器進行路由，來隱匿相關攻擊行動。另一方面，駭客也運用名為Whitecat的工具，來清理攻擊的痕跡，並刪除事件記錄檔案。 <a href="https://www.elastic.co/security-labs/disclosing-the-bloodalchemy-backdoor">中國駭客利用後門程式Bloodalchemy竊取東南亞國家的機密</a>  Elastic旗下的安全實驗室揭露中國駭客使用的後門程式Bloodalchemy，該程式為C語言開發，針對x86架構的電腦而來，攻擊者將其注入合法的應用程式處理程序BrDifxapi.exe，透過DLL側載（DLL Side-loading）的方式啟動，當作Shell Code執行，主要攻擊目標是東南亞國協（ASEAN）會員國的外交單位，是駭客組織使用的作案工具包REF5961的其中一項元件。 研究人員起初在針對蒙古政府的攻擊行動看到相關工具，進一步分析發現該後門程式相當特別，必須透過特定的啟動器才能執行，無法獨立運作，其有效的功能算是相當有限，因此研究人員推測，此後門程式仍在開發階段，也有可能是大型作案工具套件的其中一項子功能，也不排除是針對特定目標打造的惡意軟體。 <h3>【漏洞與修補】</h3> <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z">思科網路設備作業系統IOS XE的零時差漏洞已出現攻擊行動</a>  思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198，這項漏洞影響啟用網頁介面（Web UI），以及HTTP（或HTTPS）伺服器功能的網路設備，攻擊者若是成功利用該漏洞，就有機會在網路設備建立權限等級15的帳號，進而掌控整個系統，後續執行其他未經授權的惡意行動，CVSS風險評分為10。 這項漏洞之所以發現，源於該公司9月28日接獲用戶通報異常，經過進一步調查之後，得知網路攻擊行動發生在18日，當天有人從可疑的IP位址5.149.249[.]74，設置名為cisco_tac_admin的本機帳號，後來思科於10月12日發現新的漏洞利用攻擊，駭客部署了惡意程式，企圖在系統層級執行任意命令。而對於這兩起攻擊行動，該公司認為是同一組攻擊者所為，研判9月的行動是在嘗試利用漏洞，10月進一步植入惡意程式並建立持續存取的管道。 值得留意的是，思科目前尚未提供這項漏洞的修補程式，他們呼籲，用戶目前若有連接網際網路的IOS XE設備，應立即停用HTTP（及HTTPS）伺服器功能，阻斷駭客入侵的管道。 <h3>【資安產業動態】</h3> <a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/the-evolution-of-windows-authentication/ba-p/3926848">微軟宣布擴充Kerberos功能，逐步淘汰Windows 11中的NTLM</a>  NTLM身分驗證安全協定的中繼攻擊手法不斷出現，例如：2021年7月揭露的PetitPotam弱點、2022年7月修補的ShadowCoerce弱點，微軟為了解決這個問題，決定逐步降低既有產品對這類協定的依賴，最終達到停用這種協定的目標。 10月11日微軟表示，該公司藉由擴張Kerberos的能力，支援部分NTLM的功能，一種是IAKerb，允許用戶端透過Kerberos在更多異質網路拓撲進行身分驗證；另一種則是本機的金鑰發布中心（KDC）支援。IAKerb是業界標準的Kerberos通訊協定延伸，允許無法探索網域控制器（DC）的用戶端透過能夠探索的伺服器進行身分驗證，這項工作透過交涉（Negotiate）驗證延伸套件執行，允許Windows身分驗證堆疊透過代表用戶端的特定伺服器，代理Kerberos訊息。 Kerberos本機KDC支援建置於電腦的安全帳號管理員，從而可以讓用戶透過Kerberos完成本機帳號的遠端身分驗證。這項功能的支援，主要是利用IAKerb允許Windows在遠端及本機之間傳遞Kerberos訊息的能力，使得組織無須增加DNS、netlogon、DCLocator等服務的支援。另一方面，微軟也著手修補Windows元件NTLM的缺陷，並將其移轉為Negotiate通訊協定，未來組織透過Kerberos就能使用相關功能。 <h3>【其他新聞】</h3> <a href="https://www.securityweek.com/milesight-industrial-router-vulnerability-possibly-exploited-in-attacks/">Milesight工控路由器的漏洞傳出被用於攻擊行動</a>  <a href="https://www.bleepingcomputer.com/news/security/malicious-solana-kucoin-packages-infect-nuget-devs-with-seroxen-rat/">駭客假借提供加密貨幣錢包應用程式，透過NuGet套件管理器散布木馬程式SeroXen</a>  <a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-flaw-in-wordpress-royal-elementor-plugin/">WordPress外掛程式Royal Elementor存在零時差漏洞，攻擊行動自10月初升溫</a>  <a href="https://www.ithome.com.tw/article/159256">【iThome 2023資安大調查系列2】5成多企業員工資安意識不足，3成企業欠缺資安老手</a> <a href="https://www.ithome.com.tw/article/159257">【iThome 2023資安大調查系列2】社交工程風險超越勒索軟體和駭客，ChatGPT濫用成新威脅</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159306">【10月16日】 Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</a> <a href="https://www.ithome.com.tw/news/159278">【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</a> <a href="https://www.ithome.com.tw/news/159241">【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</a> </div></div></div>
2023/10/17 18:00作者周峻佑https://www.ithome.com.tw/news/159329
【資安日報】10月16日，Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式Dark…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 小心！合作夥伴傳來的即時通訊軟體訊息，有可能是駭客散布惡意程式的手段！研究人員揭露利用Skype散布惡意軟體DarkGate的攻擊行動，駭客先是利用已經外洩的帳號，向受害者的合作廠商來發送訊息，若一時不察而開啟檔案，就會中標。 值得留意的是，駭客會解析外洩帳號的對話內容，而刻意依循此脈絡來調整作為誘餌的檔案名稱，命名方式可能與自己在此溝通的業務內容有關，目的是降低收訊者的警覺而使其開啟檔案。由於過去已有駭客利用Teams訊息散布DarkGate惡意軟體的前例，現在改用Skype來傳播，日後攻擊者可能也會會濫用其他服務來發動攻擊。 <h3>【攻擊與威脅】</h3> <a href="https://www.trendmicro.com/en_ph/research/23/j/darkgate-opens-organizations-for-attack-via-skype-teams.html">惡意軟體DarkGate利用帳密外洩的Skype登入身分，散布帶有VBA指令碼的檔案來發動攻擊</a>  <a href="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure3-darkgate-opens-organizations-for-attack-via-skype-teams.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露惡意軟體DarkGate最新一波的攻擊行動，駭客疑似透過地下論壇或是資料外洩事故取得Skype帳密資料，在今年的7月至9月，利用兩個組織之間的信任關係，透過上述的Skype帳號，向另一個組織的使用者發送的訊息，當中是帶有VBA指令碼的檔案（名稱為<filename.pdf> <a href="http://www.skype[.]vbs">www.skype[.]vbs</a>）。 一旦收到訊息的使用者開檔、執行惡意VBS，電腦先是建立新資料夾並複製curl.exe，接著從外部伺服器下載AutoIT，並執行.AU3的指令碼，從而部署DarkGate。研究人員指出，由於攻擊者挾持了外洩的Skype帳號，可對既有的訊息進行拆解，並將附件檔案設定為與對談內容有關的名稱，使得收到訊息的使用者更難察覺異狀而上當。 近期駭客散布DarkGate的攻擊事件頻傳，今年9月，資安業者<a href="https://www.ithome.com.tw/news/158448#darkgate">Malwarebytes</a>、<a href="https://www.ithome.com.tw/news/158685#darkgate">TrustSec</a>發現此惡意程式的攻擊行動，駭客先後運用了搜尋引擎中毒（SEO Poisoning）、微軟即時通訊軟體Teams來散布。 <a href="https://labs.guard.io/etherhiding-hiding-web2-malicious-code-in-web3-smart-contracts-65ea78efad16">幣安智能鏈合約遭濫用，駭客用於埋藏惡意指令碼</a>  <a href="https://s4.itho.me/sites/default/files/images/1_by4S5wz1jVZrx_gQYQZKyA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_by4S5wz1jVZrx_gQYQZKyA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露濫用幣安智能鏈（Binance Smart Chain，BSC）數位貨幣合約的攻擊行動，駭客先是挾持WordPress網站，嵌入隱密的JavaScript程式碼，竄改網頁內容，要求使用者必須更新瀏覽器才能存取網站。若是依照對方的指示，從特定網站下載更新檔案並執行安裝，電腦就有可能被植入RedLine、Amadey、Lumma等竊資軟體（Infostealer）。 一般而言，過往駭客為了避免資安系統封鎖上述的瀏覽器更新網站，他們將這些網站架設於Cloudflare Worker主機，但隨著研究人員揭露，以及Cloudflare掃蕩這種手法，駭客也改變原先濫用的合法服務，而衍生新的攻擊手段EtherHiding。研究人員看到駭客在新一波的攻擊行動裡，被植入WordPress的惡意程式碼會將部分流量導向幣安（Binance），經過進一步分析，他們確認攻擊者會在這些網站載入BSC的程式庫，然後從區塊鏈取得惡意指令碼注入網站，接著從駭客的伺服器下載惡意酬載，在使用者的電腦顯示瀏覽器更新的訊息。 一旦依照對方指示而點選更新按鈕，使用者就會被引導、從Dropbox等雲端檔案共享服務下載惡意程式。值得留意的是，由於區塊鏈代管的程式碼無法刪除，駭客這麼做導致相關攻擊程式碼難以清除。 <a href="https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer">Magecart信用卡側錄出現新手法，攻擊者濫用404錯誤訊息網頁盜取相關資料</a>  資安業者Akamai揭露最近一波的Magecart信用卡側錄（Card Skimming）攻擊行動，攻擊者挾持電商網站的404錯誤訊息網頁，從而埋藏惡意程式碼來竊取客戶的信用卡資料。這些駭客主要鎖定的目標，是採用Magento與WooCommerce架設的電子商務網站，部分受害組織是知名的食品與零售業者。 駭客將側錄工具啟動器（Skimmer Loader）偽裝，成為評估臉書與IG廣告成效的Meta Pixel嵌入程式碼，埋入電商網站的結帳網頁，一旦此程式碼啟動，就會發出請求，存取特定路徑的icons檔案，然而，這個路徑不存在，所以該請求就會導致找不到網頁的錯誤，而顯示404訊息頁面，上面要求買家填寫信用卡詳細資料，若不疑有他而照辦，這些資料就會套用Base64編碼處理，然後駭客可透過帶有查詢參數的URL字串，以圖片的形式接收買家信用卡重要資料。 研究人員指出，他們起初調查的時候，差點以為側錄工具不再被使用，或是駭客犯下了配置錯誤，而決定終止追蹤，直到他們在側錄工具啟動器發現與404網頁回傳字串有關的比對程式碼，才找出這種新型態的Magecart攻擊手法。 <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-284a">美國針對勒索軟體AvosLocker攻擊關鍵基礎設施提出警告</a>  美國聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA）針對勒索軟體AvosLocker提出新的警告，指出駭客近期鎖定該國多種關鍵基礎設施（CI）發動攻擊，無論是Windows、Linux電腦，或是VMware ESXi虛擬化平臺，都可能是駭客下手加密檔案的目標。 攻擊者在作案的過程裡，大量濫用各式的應用程式及開源工具，具體來說是那些軟體？首先，他們會運用遠端系統管理工具Splashtop Streamer、Tactical RMM、PuTTy、AnyDesk、PDQ Deploy、Atera Agent來充當存取受害電腦的後門；再者，他們會利用Windows內建的Nltest，或是Sysinternals工具包的PsExec，來執行指令碼；而對於網路通訊的部分，攻擊者會使用Ligolo、Chisel建立隧道，以及透過Cobalt Strike或Sliver向C2進行通訊；在內部網路環境收集帳密資料的過程，他們會利用Mimikatz和Lazagne，最後洩露資料會運用Rclone及Filezilla。這些駭客還有可能會利用Notepad++、RDP Scanner、7zip等工具協助作案。此外，FBI指出，攻擊者也會使用自製的PowerShell或是批次檔指令碼來進行橫向移動、提升權限，並且停用防毒軟體。 值得留意的是，這次並非美國關鍵基礎設施首度遭此勒索軟體鎖定的情況，2022年3月，FBI與美國財政部旗下的金融犯罪執法網路（FinCEN）對此提出警告，並指出駭客攻擊的範圍相當廣泛，包含臺灣、中國、加拿大、美國等12個國家。 <a href="https://www.hackread.com/ransomedvc-colonial-pipeline-cybersecurity-breach/">美國大型油管運輸系統Colonial Pipeline傳出遭到勒索軟體駭客RansomedVC攻擊，該公司表示是第三方組織資料外洩流出</a>  <a href="https://s4.itho.me/sites/default/files/images/ransomedvc-colonial-pipeline-cybersecurity-breach-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomedvc-colonial-pipeline-cybersecurity-breach-1.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客RansomedVC先前曾聲稱攻擊Sony、NTT Docomo兩家日本大型企業，現在又傳出對其他大型企業出手。根據資安新聞網站HackRead報導，10月14日，RansomedVC聲稱攻擊美國大型燃油供應業者Colonial Pipeline，竊得5 GB資料。 HackRead也取得相關資料，內容包含圖表、內部文件、油料洩漏檢測政策、工業控制系統（ICS）與SCADA系統有關的簡報檔，以及操控電子設備的員工照片等。對此，Colonial Pipeline向該新聞網站提出說明，表示他們的資安團隊與美國網路安全暨基礎設施安全局（CISA）聯手調查，目前確認他們的系統並未遭駭，亦無管線運作中斷的情形。至於上述被公布的資料，來源很有可能是與他們無關的第三方組織資料外洩。 而這並非Colonial Pipeline首度傳出遭勒索軟體駭客攻擊，2021年5月，勒索軟體DarkSide對其發動攻擊，導致該公司輸送管線暫停運作，美國一度宣布進入緊急狀態。 <a href="https://www.sec.gov/Archives/edgar/data/876167/000087616723000190/prgs-20230831.htm">美國證券交易委員會傳出著手調查MOVEit Transfer攻擊行動帶來的影響</a>  MFT檔案傳輸系統MOVEit Tranfer因本身存在零時差漏洞CVE-2023-34362，採用這套產品的許多用戶5月底面臨攻擊，當時，有俄羅斯駭客組織Clop犯案，他們從使用這套MFT系統的組織竊取資料，並進行勒索，最近傳出美國證券交易委員會（SEC）對軟體開發商Progress進行相關調查的情況。 根據科技新聞網站TechCrunch的報導，Progress近日向美國證券交易委員會提出10-Q季度財務報告，揭露後續進展，當中提及他們收到SEC的傳票，將配合提供該零時差漏洞有關的各種文件及資訊，該公司強調，SEC進行的是事實調查，並非該公司違反聯邦證券法。而對於這起攻擊事故造成的損失，Progress認為影響有限，根據他們的評估，由於旗下MFT系統的漏洞，產生約100萬美元的費用，相關的保險理賠預期會進帳190萬美元。但這份季報也談到遇害客戶的反應，他們表示，有23個組織、58名人士向他們提出法律訴訟，而有可能會產生賠償費用。 另一個引起外界關注的焦點，是Progress提及2022年11月發生的資安事故，當時產生了420萬美元的費用。代表Progress的人士John Eddy向TechCrunch透露，當時該公司察覺內部網路遭到未經受權的存取，但與目前通報的軟體漏洞無關，也沒有透露這起資料外洩事故影響的範圍。 <h3>【漏洞與修補】</h3> <a href="https://www.securityweek.com/juniper-networks-patches-over-30-vulnerabilities-in-junos-os/">Juniper Networks修補網路設備作業系統逾30個漏洞</a>  10月11日、13日，網通設備廠商Juniper Networks發布資安通告，內容多達31份，針對Junos OS、Junos OS Evolved等網路設備作業系統進行修補，其中有9個漏洞是高風險等級。 根據CVSS風險評分，最嚴重的是CVE-2023-44194，這項漏洞發生的原因在於，Junos OS存在1個不當的預設權限配置，未經授權的攻擊者，可透過網路設備的本機存取，滲透到有漏洞的裝置，從而打造具有root權限的後門，CVSS風險評為8.4分。 其餘的高風險漏洞，同時影響執行Junos OS與Junos OS Evolved的網路設備，有6個是阻斷服務（DoS）漏洞，當中5個可從遠端濫用，無須通過身分驗證就能觸發；而另外2個高風險漏洞也相當嚴重，可能影響設備的穩定性、機密性及完整性。 <h3>【資安防禦措施】</h3> <a href="https://openssf.org/blog/2023/10/12/introducing-openssfs-malicious-packages-repository/">為因應開源軟體供應鏈安全威脅，OpenSSF推出開源惡意套件儲存庫</a>  為了因應NPM、PyPI等開源套件庫的攻擊事件頻傳，開源軟體界也採取新的措施，來防堵惡意套件的攻擊行為。10月12日，開源軟體安全基金會（OpenSSF）宣布，他們設置了惡意套件的儲存庫Malicious Packages Repository，用於收集各種平臺的惡意套件資訊，主要目標是改善當前惡意套件資訊的透明度，原因是每個開源套件儲存庫都有自己處理惡意套件的方式，當社群回報時，資安團隊便會移除該套件和相關中繼資料，但處理過程通常並未公開，因此，開發人員如果要得知存在哪些惡意套件，必須從公開來源或是專門的威脅情報，才有辦法拼湊出身分。 OpenSSF新設置的惡意套件儲存庫，號稱可彌補上述的資料缺口，並採用開源漏洞格式（OSV）呈現相關資訊，可與現有的工具osv.dev API、osv-scanner、deps.dev整合，目前該儲存庫收錄逾1.5萬個套件資料，軟體資訊來自多個管道，涵蓋該基金會的專案、資安業者Checkmarx，以及GitHub。 <h3>【其他新聞】</h3> <a href="https://www.trendmicro.com/en_us/research/23/j/void-rabisu-targets-female-leaders-with-new-romcom-variant.html">即將舉行的女性政治領袖會議遭到鎖定，被當作散布惡意軟體RomCom的誘餌</a>  <a href="https://patchstack.com/articles/pre-auth-arbitrary-file-upload-in-user-submitted-posts-plugin/">WordPress外掛程式User Submitted Posts存在任意檔案上傳漏洞</a>  <a href="https://www.securityweek.com/recently-patched-tagdiv-plugin-flaw-exploited-to-hack-thousands-of-wordpress-sites/">WordPress外掛程式TagDiv出現漏洞，數千個網站受到影響</a> <a href="https://joshua.hu/squid-security-audit-35-0days-45-exploits">代理伺服器軟體Squid存在數十個漏洞，通報逾2年仍未完全修補</a> <a href="https://infosec.exchange/@SophosXOps/111222943608438109">勒索軟體駭客利用WS_FTP伺服器重大漏洞CVE-2023-40044入侵目標組織</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159278">【10月13日】利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業</a> <a href="https://www.ithome.com.tw/news/159241">【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</a> <a href="https://www.ithome.com.tw/news/159228">【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</a> </div></div></div>
2023/10/16 17:17作者周峻佑https://www.ithome.com.tw/news/159306
【資安日報】10月13日，利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 運用合法服務隱匿網路釣魚的攻擊意圖，可說是相當常見，其中一種手法，就是濫用市場行銷工具Smart Links，這是由職場社群網站LinkedIn推出的服務，主要目的是讓行銷人員提供客戶相關的網站連結時，進而追蹤其互動成效。但這樣的工具可能淪為駭客迴避郵件安全系統檢查的管道。 濫用Smart Links的攻擊行動並非首例，但這次駭客手法又更進一步，將這類工具的網址加以運用，在釣魚網站的網址連結當中，帶入收信人的電子郵件信箱。 <h3>【攻擊與威脅】</h3> <a href="https://cofense.com/blog/linkedin-smart-links-credential-phishing-campaign/">職場社群網站LinkedIn提供的市場行銷工具遭到濫用，駭客用於誘騙微軟帳號</a>  <a href="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png" style="width: 300px; float: right;" /></a>郵件安全業者Cofense揭露從今年7月下旬至8月的網路釣魚攻擊行動，主要針對金融與製造業的員工，但能源、營造、醫療保健、保險、採礦、消費性產品、科技產業也有受害者。這些駭客之所以得逞，不只是使用者的疏忽，他們為了繞過郵件安全閘道等資安系統，在寄送的電子郵件當中，濫用職場社群網站LinkedIn提供的Smart Links服務，企圖竊取使用者的微軟帳號。研究人員總共看到這類電子郵件逾800封，濫用上述服務的連結多達80個。 一旦收信人依照指示點選，就會被帶往釣魚網站，特別的是，駭客利用Smart Links的網址結構，在連結裡加入收信人的電子郵件信箱，使得用戶被引導到釣魚網站的時候，所開啟的登入頁面，在帳號欄位已自動填入該員的電子郵件信箱，使得這些收信人以為這是簡化登入步驟的便利措施，而更容易降低警覺。 濫用上述LinkedIn提供的行銷工具進行釣魚郵件攻擊已非首例，2022年9月，研究人員發現假冒斯洛伐克郵局的釣魚信，便是以此手法迴避偵測。 <a href="https://asec.ahnlab.com/en/57635/">執行Linux作業系統的SSH伺服器遭到鎖定，駭客植入惡意程式ShellBot，並利用Hex編碼的IP位置迴避偵測</a>  資安業者AhnLab揭露新一波的惡意軟體ShellBot攻擊行動，駭客的主要目標是缺乏妥善管理的Linux伺服器，他們會掃描22埠是否啟用，以此找尋開放SSH服務遠端登入的系統，一旦找到這類主機，後續會利用常見的SSH帳密組合，執行字典填入的暴力破解攻擊，進而於Linux主機部署ShellBot。 但這起攻擊行動與過往不同之處，在於駭客使用了十六進位（HEX）的IP位址表示法來連線至C2，隨後下載、安裝ShellBot，研究人員指出，這次駭客使用C2伺服器的IP位址，通常會寫成hxxp://94.250.254[.]43/，但對方在網路釣魚挾帶的PDF檔案裡，將上述網址寫成hxxp://1593507371，可能會因此能繞過資安系統的偵測。 <a href="https://blog.checkpoint.com/security/unveiling-stayin-alive-a-closer-look-at-an-ongoing-campaign-in-asia-targeting-telecom-and-governmental-entities/">中國駭客ToddyCat鎖定亞洲電信業者，散布後門程式CurKeep</a>  <a href="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png" style="width: 300px; float: right;" /></a>去年6月資安業者卡巴斯基揭露，中國駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊，如今這些駭客再度發起新一波的攻擊行動。 資安業者Check Point揭露名為Stayin’ Alive的攻擊行動，駭客從2021年開始，針對越南、巴基斯坦、烏茲別克、哈薩克等東南亞、中亞國家而來，主要的目標是電信業者。駭客起初寄送帶有壓縮檔案附件的釣魚郵件，一旦收信人打開附件，電腦就有可能觸發Audinate影音裝置管理元件Dante Discovery的漏洞CVE-2022-23748（CVSS風險評分為7.8），以DLL側載（DLL Side-loading）手法，載入名為dal_keepalives.dll的程式庫，從而執行名為CurKeep的後門程式。 此惡意軟體檔案非常小，僅10 KB，但具備26種功能，其中最主要的功能是report、shell、file，用於收集目標電腦的系統資訊、回傳電腦名稱並接收命令與執行，以及接收字串內容並將資料寫入特定檔案。 <a href="http://www.wordfence.com/blog/2023/10/backdoor-masquerading-as-legitimate-plugin/">駭客假借提供WordPress外掛散布惡意軟體，從而建立管理員帳號並挾持網站</a>  網站安全業者Wordfence今年7月清理遭受攻擊的網站時，發現偽裝成WordPress外掛程式的後門程式，駭客假借提供暫存資料的管理工具，使得管理者在手動檢查的過程中，很有可能忽略，駭客也進一步將該「外掛程式」從已啟用的外掛程式名單剔除，目的是為了迴避資安系統的偵測。 而對於這個後門，研究人員指出具有以下功能：首先，會建立名為superadmin的帳號，並指派管理員層級的權限給他；再者，駭客可遠端控制WordPress網站上的外掛程式，擅自啟用或停用，並且清除網站資料庫的痕跡，藉此讓攻擊行動維持隱密的狀態。再者，該後門程式能夠竄改網頁內容，加入惡意連結及按鈕，但網站管理介面當中，仍維持未遭修改的樣貌，使得管理員難以察覺異狀。 此後門程式若是偵測到搜尋引擎爬蟲，或是機器人的流量，將會提供垃圾郵件等其他的內容，導致爬蟲為受害網站編入惡意的索引資料，有管理人員接獲用戶通報，他們的網站外觀看起來都正常，但在用戶使用搜尋引擎存取的時候出現垃圾內容。但究竟駭客如何於WordPress網站植入上述後門程式？研究人員表示，有待進一步調查。 <a href="https://www.securityweek.com/cisa-warns-of-attacks-exploiting-adobe-acrobat-vulnerability/">美國針對Adobe Acrobat高風漏洞提出警告，已出現攻擊行動</a>  美國網路安全暨基礎設施安全局（CISA）於10月10日，在已被利用的漏洞列表（KEV）當中新增5個漏洞，可能受到影響的產品，包括：Adobe旗下PDF編輯軟體Acrobat及閱讀器Reader（記憶體釋放後濫用漏洞CVE-2023-21608）、思科網路設備作業系統IOS及IOS XE（群組加密傳輸VPN越界寫入漏洞CVE-2023-20109）、HTTP/2（Rapid Reset漏洞CVE-2023-44487）。 同時，還有微軟本月份例行更新修補的企業版Skype（權限提升漏洞CVE-2023-41763）、WordPad（資訊洩露漏洞CVE-2023-36563）。 其中最值得注意的是Adobe今年1月修補的CVE-2023-21608，因為該漏洞公布的時間最久，網路上已有不少的概念性驗證攻擊（PoC）及漏洞分析，使得攻擊者利用這項漏洞更為容易。 <a href="https://www.ettoday.net/news/20231012/2600759.htm">檢方確認我國2,357萬筆戶政資料流入暗網，兜售資料的駭客來自中國</a>  去年10月<a href="https://www.ithome.com.tw/news/153894#taiwan2300">名為OKE的人士於駭客網站BreachForums兜售全臺灣民眾的戶政資料2,357萬筆</a>，並公布20萬筆資料供買家驗證，引起社會譁然，民眾質疑戶政機關保護個資不力，內政部後續提出澄清，他們表示，資料格式與該單位系統不同，並非從戶政司資訊網洩漏。本週檢調單位公布更多消息。 調查局資安站確認，駭客公開的20萬筆資料集中在宜蘭地區，且內容正確。經北檢分案展開追查，透過科技偵查並與暗網登記所在國連繫後，查出OKE真實身分是中國籍的童自強，此人收款的電子錢包入帳4999.2個泰達幣（相當於5,000美元），經反向追查，查出是我國鄭姓男子所購買。鄭男到案坦承，因好奇這名駭客握有的資料是否為真，他透過Telegram向駭客聯繫，並於31日匯入款項。鄭男從收到的Excel檔案找到親友姓名進行比對，資料相差無幾，強調並未將這些資料用於其他用途。由於鄭男並未將取得的資料洩露、公開，或是再行利用，並坦承犯行，臺北地檢署12日依無故蒐集個資給予緩起訴處分，並對童自強發布通緝。 值得留意的是，檢調抽查童自強兜售的資料，發現總筆數與臺灣2018年人口總數相當，內容亦與當時的戶役政資料幾乎一樣。此外，臺北地檢署另案追查個資外洩的管道，正在了解是否有其他人士取得、用於不法。 <h3>【漏洞與修補】</h3> <a href="https://www.securityweek.com/critical-socks5-vulnerability-in-curl-puts-enterprise-systems-at-risk/">程式庫Curl修補高風險漏洞</a>  10月4日URL傳輸程式庫curl專案維護團隊預告，將於11日發布8.4.0新版，當中修補高、低層級風險漏洞，資安業者Qualys呼籲組織應儘速盤點所有部署的curl，以便新版推出之後，就能立刻進行升級。 到了11日這兩個漏洞的細節揭曉，高風險漏洞是CVE-2023-38545，同時影響7.69.0至8.30版的curl與libcurl，起因是curl將主機名稱傳遞至SOCKS5代理伺服器解析其IP位址時，主機名稱最大允許長度為255位元組，一旦超過，curl就會切換、改用本機名稱解析，並將結果得到的位址傳送至代理伺服器，然而此漏洞就是發生在「讓主機解析名稱」的本機變數當中，有可能導致SOCKS5交握過程得到錯誤的數值，從而將過長的主機名稱複製到目標記憶體緩衝區，產生溢位（overflow）的問題。目前，Red Hat將此漏洞的CVSS風險評為7.5。 另一個漏洞為CVE-2023-38546，僅影響7.9.1至8.3.0版libcurl，攻擊者可利用該程式庫任意將Cookie插入正在執行的應用程式，由於必須搭配一系列的環境條件才能觸發，開發團隊將其危險程度列為低風險，Red Hat評估其CVSS分數為5.0。 資料來源 1. <a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets">https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets</a> 2. <a href="https://curl.se/docs/CVE-2023-38545.html">https://curl.se/docs/CVE-2023-38545.html</a> 3. <a href="https://access.redhat.com/security/cve/cve-2023-38545">https://access.redhat.com/security/cve/cve-2023-38545</a> 4. <a href="https://curl.se/docs/CVE-2023-38546.html">https://curl.se/docs/CVE-2023-38546.html</a> 5. <a href="https://access.redhat.com/security/cve/cve-2023-38546">https://access.redhat.com/security/cve/cve-2023-38546</a> <h3>【其他新聞】</h3> <a href="https://support.apple.com/HT213972">蘋果發布iOS 16.7.1、iPadOS 16.7.1，修補舊版裝置的零時差漏洞CVE-2023-42824、CVE-2023-5217</a>  <a href="https://www.ithome.com.tw/news/159247">為強化雲端基礎設施機密保護及配置管理自動化，基礎設施即程式碼工具新創Pulumi推出新的解決方案</a> <a href="https://www.ithome.com.tw/news/159201">勒索軟體Hello Kitty程式碼被公布，有助於製作解密金鑰</a> <a href="https://www.ithome.com.tw/news/159204">Google以Rust重寫Android裸機元件，進一步強化記憶體安全</a> <a href="https://blog.talosintelligence.com/vulnerability-roundup-webkit-and-yifan-router/">中國億帆工業路由器曝露於重大層級漏洞，迄今尚未有修補程式</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159241">【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</a> <a href="https://www.ithome.com.tw/news/159228">【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</a> <a href="https://www.ithome.com.tw/news/159172">【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</a> </div></div></div>
2023/10/13 17:02作者周峻佑https://www.ithome.com.tw/news/159278
【資安日報】10月12日，以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 去年2月引爆的烏克蘭戰爭當中，網路攻擊占有舉足輕重的地位，許多駭客表態聲援烏克蘭或是俄羅斯，這樣的現象也出現在近期的以色列和巴勒斯坦軍事衝突。 有研究人員發現，自巴勒斯坦激進組織哈瑪斯（Hamas）10月7日突襲以色列，不到一個禮拜的時間已有100個駭客組織從事相關的網路攻擊，其中逾四分之三支持巴勒斯坦、五分之一支持以色列，極少數表明維持中立的立場。但這些駭客的攻擊行動究竟會帶來那些影響？有待後續觀察。 <h3>【攻擊與威脅】</h3> <a href="https://thecyberexpress.com/cyber-war-in-the-israel-vs-palestine-conflict/">100個駭客組織針對以巴衝突進行網路攻擊</a>  <a href="https://s4.itho.me/sites/default/files/images/F8HG4FlWsAADX53.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F8HG4FlWsAADX53.jpg" style="width: 300px; float: right;" /></a>在以色列與巴勒斯坦開戰之後，有不少駭客組織表態，並對於這兩個國家的政府機關或組織發動網路攻擊，且參與的駭客組織數量急速增加。在10月9日，資安業者Cyble經營的新聞網站Cyber Express表示，有39個駭客組織表態發動攻擊；事隔兩天之後，駭客組織數量已達到100個，其中77個聲援巴勒斯坦，20個支持以色列，3個中立。 對於聲援巴勒斯坦的網路攻擊行動，像是駭客組織Ghosts of Palestine癱瘓了以色列外交部、教育部網站；Sylhet Gang-SG因烏克蘭表態支持以色列，對該國網站發動DDoS攻擊；俄羅斯駭客組織Killnet、Usersec針對以色列銀行及電力設施下手。此外，耶路撒冷郵報（Jerusalem Post）的網站，也傳出遭到攻擊而數度當機。 還有駭客組織打算趁亂打劫──日前聲稱攻擊Sony、NTT Docomo的駭客組織RansomedVC，傳出打算購買伊朗、巴勒斯坦、加薩地區組織的初始入侵管道，來對這些地區發動網路攻擊。 資料來源 1. <a href="https://twitter.com/FalconFeedsio/status/1711868327486787831">https://twitter.com/FalconFeedsio/status/1711868327486787831</a> 2. <a href="https://thecyberexpress.com/israel-palestine-conflict-cyber-warfare-risk/">https://thecyberexpress.com/israel-palestine-conflict-cyber-warfare-risk/</a> 3. <a href="https://thecyberexpress.com/israel-hamas-war-ransomedvc-access-to-iran/">https://thecyberexpress.com/israel-hamas-war-ransomedvc-access-to-iran/</a> <a href="https://securityaffairs.com/152153/hacking/gaza-linked-hackers-argeting-israel.html">研究人員揭露聲援巴勒斯坦激進組織的加薩駭客Storm-1133</a>  10月7日以色列與巴勒斯坦爆發50年來最大規模的軍事衝突，但在此之前，駭客已經開始從事相關的網路攻擊行動。 微軟近期發布了<a href="https://blogs.microsoft.com/on-the-issues/2023/10/05/microsoft-digital-defense-report-2023-global-cyberattacks/">今年度的數位防禦報告（Digital Defense Report）</a>，當中提及力挺巴勒斯坦激進組織哈瑪斯（Hamas）的加薩駭客組織Storm-1133，該組織從今年初開始從事攻擊行動，主要目標是以色列的能源設施、國防部門，以及效忠巴勒斯坦解放組織法塔赫（Fatah）的實體。 這些駭客透過釣魚郵件及社群網站發送釣魚訊息，或是設置LinkedIn帳號來偽裝成以色列的人力資源主管、專案負責人、軟體開發人員，針對以色列國防、太空、科技產業的員工進行偵察、聯繫、散布惡意軟體。研究人員指出，這些駭客利用多種後門程式來迴避偵測，而這些惡意程式的C2基礎設施，架設於雲端檔案共享服務Google Drive。 <a href="https://www.fortinet.com/blog/threat-research/Iz1h9-campaign-enhances-arsenal-with-scores-of-exploits">路由器漏洞遭到殭屍網路病毒Mirai變種鎖定</a>  資安業者Fortinet揭露殭屍網路Mirai變種病毒IZ1H9近期的攻擊行動，他們看到駭客約從今年9月6日開始，利用至少13種殭屍網路病毒，綁架多個廠牌的網路設備與系統，包含D-Link、Netis、兆勤（Zyxel）、TP-Link、Totolink、Korenix、Geutebruck旗下的網路設備，以及視訊監控系統Sunhillo SureLine、裝置管理平臺Yealink Device Management，利用從2015年至2023年通報的漏洞入侵目標系統。 一旦成功，對方就會將IZ1H9的惡意酬載注入設備，並從遠端伺服器取得Shell指令碼下載工具l.sh，程式一旦執行，首先會刪除事件記錄檔案來隱匿攻擊行動，然後根據處理器架構及作業系統的版本，來下載對應的機器人用戶端程式。 最終此下載器竄改目標系統的iptable規則，從而干擾多個連接埠的網路連線，建立機器人與C2伺服器的通訊，等待接收攻擊者的命令。研究人員指出，IZ1H9可執行UDP、UDP Plain、HTTP Flood、TCP SYN等多種類型的DDoS攻擊。 <a href="https://www.bleepingcomputer.com/news/security/microsoft-state-hackers-exploiting-confluence-zero-day-since-september/">DevOps協作平臺Atlassian Confluence遭中國駭客鎖定，利用零時差漏洞提升權限</a>  10月4日Atlassian修補DevOps協作平臺Confluence的零時差漏洞CVE-2023-22515，並指出已有部分用戶可能遭到入侵，如今有研究人員提出更多說明。 對於這個威脅，微軟威脅情報團隊特別提出警告，他們發現自9月14日起，中國駭客組織Storm-0062（亦稱DarkShadow、Oro0lxy）利用上述的零時差漏洞從事攻擊行動。而這個弱點屬於權限提升類型的漏洞，攻擊者可藉此建立未經授權的管理員帳號，從而控制Confluence Data Center、Confluence Server實體，CVSS風險評為10分。由於資安業者Rapid7公布了概念性驗證（PoC）攻擊的指令碼，相關的攻擊行動很可能會再度出現。 資料來源 1. <a href="https://twitter.com/msftsecintel/status/1711871732644970856">https://twitter.com/msftsecintel/status/1711871732644970856</a> 2. <a href="https://attackerkb.com/topics/Q5f0ItSzw5/cve-2023-22515/rapid7-analysis">https://attackerkb.com/topics/Q5f0ItSzw5/cve-2023-22515/rapid7-analysis</a> 3. <a href="https://jira.atlassian.com/browse/CONFSERVER-92475">https://jira.atlassian.com/browse/CONFSERVER-92475</a> <a href="https://www.humansecurity.com/learn/blog/badbox-peachpit-and-the-fraudulent-device-in-your-delivery-box">7萬臺安卓電視盒、平板電腦韌體被植入後門，流入美國低收入戶</a>  趨勢科技今年5月揭露<a href="https://www.trendmicro.com/zh_tw/research/23/g/lemon-group-s-cybercriminal-businesses-built-on-preinfected-devi.html">可能會影響近900萬臺安卓裝置的攻擊行動</a>，這些裝置的ROM被預先載入了惡意軟體Guerrilla，駭客組織Lemon Group能藉由用戶的簡訊、社群網站帳號來牟利，甚至是在背景利用裝置來進行點擊詐欺活動，類似的情況近期再度上演。 資安業者Human Security揭露名為Badbox的攻擊行動，這些裝置的韌體被植入名為Triada的惡意軟體，設備類型涵蓋至少200個型號的手機、平板電腦、電視盒，保守估計有7.4萬臺裝置遭到感染，當中有美國補助低收入戶的專案手機。一旦使用者啟用裝置，這些設備就會連回C2中繼站，遠端部署數個詐欺模組。其中一個是殭屍網路病毒Peachpit，每天約有12.1萬臺安卓裝置、15.9萬臺iOS裝置遭到控制。研究人員之所以發現Peachpit，原因是他們在2022年觀察到每天有40億則用於詐欺的廣告，這些竟源自39款安卓、iOS應用程式，從而追查到這項攻擊。Triada能竊取個人識別資訊（PII）、執行機器人並隱匿其行蹤、用於設置家用網路的代理伺服器、竊取Cookie或是動態密碼。 而究竟駭客如何埋入惡意程式？研究人員指出，感染Triada的裝置由中國廠商生產，疑似在送交經銷商的過程出錯，有人悄悄植入後門程式。 <h3>【資安防禦措施】</h3> <a href="https://www.cna.com.tw/news/afe/202310100027.aspx">強化公部門資料安全，26個A級機關完成導入T-Road</a>  數位發展部為確保跨機關間資料傳輸的安全性，推動公部門導入政府資料傳輸平臺T-Road，這項政策與零信任架構（Zero Trust Architecture）列為該部門今年的施政重點項目，如今揭露導入的成果。 根據中央通訊社的報導，截至9月底已有26個資安A級機關完成導入T-Road，這些包含了掌握全國人民個資的內政部警政署、勞保局、健保署、教育部、財政部、經濟部，地方政府的部分則有臺南市政府。數位部表示，我國資安A級機關總共有47個，預計將於明年底全數導入T-Road與零信任架構。 <h3>【其他新聞】</h3> <a href="https://www.securityweek.com/sap-releases-7-new-notes-on-october-2023-patch-day/">SAP發布10月份例行更新</a>  <a href="https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_10.html">Google發布Chrome 118，修補20個漏洞</a>  <a href="https://thehackernews.com/2023/10/libcue-library-flaw-opens-gnome-linux.html">GNOME桌面環境的程式庫libcue存在高風險漏洞</a> <a href="https://www.bleepingcomputer.com/news/security/bianlian-extortion-group-claims-recent-air-canada-breach/"></a>  <a href="https://github.blog/2023-10-04-introducing-secret-scanning-validity-checks-for-major-cloud-services/">GitHub帳密機敏資訊掃描功能範圍擴及AWS、微軟、Google、Slack</a>  <a href="https://www.bleepingcomputer.com/news/security/bianlian-extortion-group-claims-recent-air-canada-breach/">勒索軟體BianLian聲稱從加拿大航空竊得210 GB資料</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159228">【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</a> <a href="https://www.ithome.com.tw/news/159172">【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</a> <a href="https://www.ithome.com.tw/news/159144">【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</a> </div></div></div>
2023/10/12 18:04作者周峻佑https://www.ithome.com.tw/news/159241
Google開始以Rust重寫Android裸機元件，進一步強化記憶體安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google在去年<a href="https://www.ithome.com.tw/news/154539">公開</a>Android提高記憶體安全性的重要關鍵，便是增加Rust程式碼的比例，而現在Google再次<a href="https://security.googleblog.com/2023/10/bare-metal-rust-in-android.html">揭露</a>在Android應用Rust的最新進展。Google現在還使用Rust，改寫Android中，在Linux核心之外執行的安全關鍵元件，進一步減少安全漏洞。 Google在去年做了調查，發現Android的記憶體漏洞，從2019年的223個降低到2022年的85個，經過分析，Google認為記憶體漏洞減少的情況，主要與Android記憶體安全程式碼比例增加有關。Rust是一個記憶體安全的程式語言，其許多核心功能，使得程式在編譯的時候，就能夠捕捉到大多數的記憶體安全問題，避免記憶體相關漏洞在執行時或是生產環境才出現。 在Android 13中，就已經約有21％新的原生程式碼以Rust開發，官方提到，這些元件大多數是在用戶空間的系統服務，也就是會在Linux作業系統下執行。但除此之外，還有其他許多以非記憶體安全語言編寫的元件存在。 Android系統的許多安全關鍵元件，都在Linux核心之外的裸機環境中執行，而這些過去都是以C語言編寫，因此Google為了強化Android裝置韌體的安全性，也逐漸提高在裸機環境使用Rust的比例。Google以Rust重寫了Android 14的虛擬化框架的受保護虛擬機器（pVM）韌體，替pVM信任根提供記憶體安全基礎。 pVM韌體的作用與啟動程式（Bootloader）類似，是建立在開源啟動程式專案U-Boot之上，但官方表示，U-Boot當初設計時，並未考慮在敵對環境下的安全性，因此已經發現許多範圍外的記憶體存取、整數下溢（Integer Underflow）和記憶體損壞所導致的安全漏洞，特別是VirtIO驅動程式，其邊界檢查有許多缺失和問題。雖然Google已經修復了在U-Boot中發現的問題，但是透過使用Rust，可以在未來避免出現類似的記憶體安全漏洞。 由於Google要支援Rust語言在裸機環境中使用，也因此貢獻套件，同時發布了一系列新的套件，像是pVM韌體的VirtIO驅動程式，Google便修復了現有virtio-drivers套件中的錯誤和健全性問題，還添加了新功能。此外，Google也發布用於實現Arm PSCI介面和其他SMCCC呼叫，以及處理和控制裝置記憶體映射的頁面表套件。 Google還計畫發布更多的Rust套件，與支援各種平臺的裸機程式開發，Google提到，雖然在裸機上應用Rust還有許多限制，但是相較於C或C++，Rust提供更高的安全性和生產力。Google接下來還會繼續擴大Rust的使用。 </div></div></div>
2023/10/10 20:11作者李建興https://www.ithome.com.tw/news/159204
Hello Kitty勒索軟體解密金鑰被公布於網路論壇上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://twitter.com/3xp0rtblog/status/1710387356979560800" target="_blank">研究人員發現</a>曾攻擊VMware虛擬化平臺的勒索軟體Hello Kitty的程式碼被公開於網路論壇上，可用以製作解密程式。 研究人員3xp0rt發現論壇XSS上一代號為kapuchin0的使用者張貼了一個名為hellokitty.zip的壓縮檔，並指是勒索軟體Hello Kitty的第一個分支。 Hello Kitty從2020年10月開始發展，一開始感染Linux系統，2021年初攻擊遊戲製作商CD PROJEKT RED，取得多套遊戲的程式碼。當年中資安業者Palo Alto Network發現HelloKitty鎖定VMware ESXi系統感染，受害者遍及義大利、澳洲、德國、荷蘭，以及美國。 最新流出的hellokitty.zip包含Visual Studio專案，內含開發HelloKitty加密和解密器的程式碼，以及NTRUEncrypt函式庫。 《<a href="https://www.bleepingcomputer.com/news/security/hellokitty-ransomware-source-code-leaked-on-hacking-forum/" target="_blank">Bleeping Computer</a>》引述安全專家Michael Gillespie證實這次公布的，是真的Hello Kitty的程式碼。 雖然對某些研究人員而言，這次公布的程式碼有助於研究或開發解密程式，但也可能落於有心人之手以開發變種，發動新的攻擊。<a href="https://www.ithome.com.tw/news/156853" target="_blank">Babuk</a>、<a href="https://www.ithome.com.tw/news/150907" target="_blank">REvil</a>等勒索軟體程式碼公開後，也都出現變種繼續為禍。 </div></div></div>
2023/10/10 14:41作者林妍溱https://www.ithome.com.tw/news/159201
微軟正式從Windows 11移除Cortana
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟開發Copilot意謂舊AI助理Cortana的退位。微軟即將釋出的最新Windows 11更新，將正式移除Cortana。 微軟上周將Windows 11 Insider預覽版Build 25967釋出到Canary 通道。這個版本一旦安裝到PC中將會移除Cortana。 <a href="https://www.ithome.com.tw/news/157185" target="_blank">微軟今年6月宣布</a>今年底之前終止支援獨立的Cortana App。雖然Outlook及Teams手機版、Teams顯示器（display）與Teams聊天室的Cortana功能仍然可持續運作，不過微軟還是建議用戶改用Microsoft 365與Windows中的Copilot。 <a href="https://www.ithome.com.tw/news/158879" target="_blank">內建新助理Copilot的Windows 11 22H2</a> Build 22621.2361（KB5030310）已在9月26日釋出，22H2還提供名為Moment 4的AI強化原生功能，包括小畫家、剪貼工具、NotePad、相片程式等。 除了移除Cortana外，Windows 11 Insider預覽版Build 25967最大特色是加入新的「設定」App首頁。新首頁在單一頁面中以互動卡片方式，提供檢視所有設定情況，目前有7張卡片，分別顯示建議設定、雲端儲存量、增加帳號回復用的資訊、一鍵變更個人化設定、連結和管理藍牙裝置、以及檢視Microsoft 365與XBox訂閱狀態。 <img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/06/settings-homepage-1024x758.png" style="width: 600px;" /> 圖片來源_微軟 其他變更包括快速設定由原本需自行編輯，變成可捲動的快速設定頁；系統元件從現有「設定」>「應用程式」>「已安裝應用程式」頁，移到「設定」>「系統」下的「系統元件」頁，而這也反映在Windows開始選單中由「所有應用程式」移到「系統」標籤；Windows Subsystem for Linux（WSL）強化網路管理功能等。此外也有些功能更新。 </div></div></div>
2023/10/10 14:17作者林妍溱https://www.ithome.com.tw/news/159200
GNU C函式庫存在緩衝區溢位漏洞，Fedora、Ubuntu與Debian都中槍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 資安公司Qualys在GNU C函式庫的動態載入程式，<a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so">發現</a>了一個緩衝區溢位漏洞，這個漏洞編號為CVE-2023-4911，並被稱之為Looney Tunables。資安研究人員在Fedora 37和38、Ubuntu 22.04和23.04，還有Debian 12和13的預設安裝上，都發現了這個漏洞，其他發行版可能也存在此問題。 GNU C函式庫被稱為glibc，是GNU系統和大多數執行Linux核心系統的C函式庫，其定義了典型程式所需要的系統呼叫和基本功能，而動態載入程式則是glibc中的重要部分，負責準備和執行程式，當程式啟動時，該載入程式會先檢查該程式以確定需要使用的共用函式庫，接著便會搜尋這些函式庫，將他們載入到記憶體中，並在執行的時候將這些函式庫與可執行檔連結。 而這個Looney Tunables漏洞便是發生在glibc的動態載入程式，在處理GLIBC_TUNABLES環境變數的時候。GLIBC_TUNABLES是glibc引入的一個環境變數，讓使用者可以在不重新編譯相關應用程式和函式庫本身，就可以在執行時動態調整函式庫行為，這提供了一種靈活性，允許用戶對特定系統或應用程式需求進行最佳化。 但這種靈活性也帶來了一些安全性的問題，進而導致GLIBC_TUNABLES環境變數存在緩衝區溢位漏洞。 而資安研究人員在Fedora、Ubuntu和Debian等Linux發行版，皆成功利用Looney Tunables漏洞，完全獲得Root權限，資安人員提到，這凸顯了該漏洞的嚴重性，以及影響範圍的廣泛。值得注意的是，這個漏洞雖然是研究人員手動發現的，但是藉由利用模糊測試工具，也能夠在不到一秒鐘的時間，重新發現這個溢出漏洞。 Qualys已經開發了可以利用這個漏洞的程式，但是目前他們選擇不公開程式碼以保護用戶，避免這個漏洞被惡意利用，但是研究人員也提到，緩衝區溢出相對容易被利用，因此他們預期其他研究者也能很快找到並公開攻擊手法。 而這可能會讓大量系統面臨風險，特別是glibc被許多Linux發行版廣泛採用，目前已知使用musl libc而非glibc的Alpine Linux不受此漏洞影響，但採用Fedora、Ubuntu與Debian的用戶應立刻修補該漏洞，以確保系統安全性。 </div></div></div>
2023/10/6 09:40作者李建興https://www.ithome.com.tw/news/159146
【資安日報】10月5日，亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中國駭客APT41造成的資安事故頻傳，執行Windows作業系統的電腦是最主要受害的系統平臺，但這樣的情況自今年下半開始出現變化，有資安業者發現，這些駭客開發惡意軟體並對安卓用戶下手，最近有新的調查結果突顯這個趨勢 例如，本週有資安業者ThreatFabric，揭露這群駭客對安卓手機發動的間諜軟體攻擊，而且，當中使用的惡意軟體，具有相當罕見的功能，引發關注——不只能搜括手機上的使用者資料，還能讓駭客得知受害者精準的地理位置。 <h3>【攻擊與威脅】</h3> <a href="https://www.threatfabric.com/blogs/lightspy-mapt-mobile-payment-system-attack">中國駭客APT41開始對安卓行動裝置下手，利用惡意軟體DragonEgg、WyrmSpy犯案</a> <a href="https://s4.itho.me/sites/default/files/images/TF_LightSpy_Toolset.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TF_LightSpy_Toolset.png" style="width: 300px; float: right;" /></a>資安業者Lookout於今年7月，<a href="https://www.ithome.com.tw/news/157880#apt41-dragonegg">揭露中國駭客組織APT41鎖定安卓手機發動的網路間諜攻擊行動</a>，過程中駭客利用了惡意軟體DragonEgg（亦稱LightSpy）和WyrmSpy（亦稱AndroidControl）。 資安業者ThreatFabric循線進一步調查，發現DragonEgg採用模組化設計，並找出14種外掛程式，該惡意程式功能齊全，不只能收集使用者的個人資料，並能記錄包含建築樓層等相當精確的地理位置資料，還能從微信支付（WeChat Pay）的後端基礎設施竊取付款資料，以及從微信的音訊功能進行掛鉤，錄下使用者網路電話（VOIP）的對話內容。研究人員指出，DragonEgg的程式核心元件（Core）在整個攻擊鏈扮演重要的角色，功能包含採集設備的指紋，以及與C2建立完整的連接、從伺服器搜尋命令、更新及載入元件。此核心元件採用2種通訊協定與C2通訊，分別是以WebSocket接收命令，以及透過HTTPS上傳竊得資料。 而對於此惡意軟體的基礎設施，研究人員在中國、香港、臺灣、新加坡、俄羅斯找到數十臺伺服器，並發現WyrmSpy也共用部分基礎設施，推測駭客打算使用WyrmSpy取代DragonEgg。此外，資安業者趨勢科技及卡巴斯基於2020年，揭露使用LightSpy惡意軟體攻擊香港iPhone用戶的攻擊行動Operation Poisoned News，ThreatFabric發現也是APT41所為。 Sony證實資料外洩，起因是遭遇MOVEit Transfer零時差漏洞攻擊 上週末<a href="https://www.ithome.com.tw/news/159013">兩個駭客組織RansomedVC、MajorNelson聲稱成功入侵Sony</a>，取得部分開發資料，而現在該公司向美國政府通報資料外洩事故，再度引起外界關注。 根據資安新聞網站Bleeping Computer、HackRead的報導，大型家用電視遊樂器製造商Sony Interactive Entertainment於10月3日，向緬因州總檢察長辦公室通報發生在5月底的資料外洩事故。 該公司在6月2日察覺未經授權的下載，隨即將遭受攻擊的MOVEit Transfer系統下線並修補漏洞，尋求外部資安專家協助調查，結果發現，這起資料外洩事故發生在5月28日至30日，遭竊的資料包含姓名，以及與社會安全碼（SSN）有關的個人識別資訊，總共有6,791人受到影響。 資料來源 1. <a href="https://apps.web.maine.gov/online/aeviewer/ME/40/8b595be6-d1d7-47df-84d5-05738edd84f9.shtml">https://apps.web.maine.gov/online/aeviewer/ME/40/8b595be6-d1d7-47df-84d5-05738edd84f9.shtml</a> 2. <a href="https://www.bleepingcomputer.com/news/security/sony-confirms-data-breach-impacting-thousands-in-the-us/">https://www.bleepingcomputer.com/news/security/sony-confirms-data-breach-impacting-thousands-in-the-us/</a> 3. <a href="https://www.hackread.com/sony-data-breach-moveit-vulnerability-us/">https://www.hackread.com/sony-data-breach-moveit-vulnerability-us/</a> <a href="https://www.reversinglabs.com/blog/r77-rootkit-typosquatting-npm-threat-research">駭客透過惡意NPM套件散布rootkit程式r77</a> 網路上又出現惡意NPM套件，根據資安業者ReversingLabs發現，有個名為node-hide-console-windows的套件，最近開始散播，一旦開發者下載並部署，此套件便會下載Discord機器人DiscordRAT，並於受害電腦植入rootkit程式r77。 研究人員指出，這起攻擊行動特別的地方，在於駭客模仿合法的套件node-hide-console-window，不只將說明頁面配置幾乎一樣，也比照合法套件發布相同數量的版本（10個），而讓開發人員更容易搞混。 再者，駭客本次使用的DiscordRAT、r77，皆為開源的惡意程式，開發者皆提供了極為淺顯易懂的說明及使用教學，使得想要發動攻擊的駭客無須擁有高深的技巧就能操作，這樣的情況，使得相關攻擊將會變得更加氾濫。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/new-looney-tunables-linux-bug-gives-root-on-major-distros/">Linux系統出現root權限可能被奪取的漏洞，影響多個分支版本</a> 資安業者Qualys揭露Linux漏洞CVE-2023-4911，這項漏洞存在於GNU C程式庫glibc，一旦加以利用，就有可能取得作業系統root完整權限。 研究人員在Fedora 37及38版、Ubuntu 22.04及23.04版、Debian 12及13版上成功利用漏洞，並將其命名為Looney Tunables。不過，並非所有的Linux作業系統都存在這項漏洞。例如，Alpine Linux採用的C程式庫是musl libc，便不會受到影響。 此漏洞發生的原因，在於動態載入程式在處理GLIBC_TUNABLES環境變數的過程中，可能出現記憶體緩衝區溢位的情況，此漏洞於2021年4月引入，研究人員上個月通報，Red Hat、Debian、Canonical皆發布資安通報並提出修補程式，Red Hat進一步指出，此漏洞的CVSS風險評分為7.8。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so#potential-impact-of-looney-tunables" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so#potential-impact-of-looney-tunables</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://access.redhat.com/security/cve/CVE-2023-4911" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://access.redhat.com/security/cve/CVE-2023-4911</a> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.debian.org/security/2023/dsa-5514" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.debian.org/security/2023/dsa-5514</a> 4. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://ubuntu.com/security/notices/USN-6409-1" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://ubuntu.com/security/notices/USN-6409-1</a> <a href="https://www.bleepingcomputer.com/news/apple/apple-emergency-update-fixes-new-zero-day-used-to-hack-iphones/">蘋果發布iOS 17.0.3、iPadOS 17.0.3，修補已遭到利用的零時差漏洞</a> 9月底蘋果開賣iPhone 15系列手機，有使用者反映產品使用有過熱的問題，蘋果承諾將發布新版iOS作業系統予以緩解，如今該公司推出相關更新，同時修補零時差漏洞。 10月4日蘋果發布iOS 17.0.3、iPadOS 17.0.3，修補了CVE-2023-5217、CVE-2023-42824，前者為Google揭露的影像編解碼程式庫libvpx漏洞，與WebRTC有關，該公司將此元件更新為1.13.1版緩解漏洞；另一個漏洞則是出現在作業系統核心，攻擊者一旦觸發，就有可能藉此擴張權限。 <a href="https://msrc.microsoft.com/blog/2023/10/microsofts-response-to-open-source-vulnerabilities-cve-2023-4863-and-cve-2023-5217/">微軟修補Edge、Teams、Skype開源程式庫的零時差漏洞</a> 10月2日微軟宣布，他們將針對旗下多項軟體，修補開源元件libwebp、libvpx的零時差漏洞CVE-2023-4863、CVE-2023-5217，這些軟體包含Edge瀏覽器、電腦版Teams應用程式、電腦版Skype應用程式，以及Windows的Webp圖像延伸套件。 其中，CVE-2023-4863最早由Google揭露，並於9月11日發布新版Chrome修補；次日Mozilla也為旗下的瀏覽器及上網應用程式修補該漏洞；另一個零時差漏洞Google、Mozilla先後於9月27日、28日進行修補。 <h3>【其他新聞】</h3> <a href="https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/">駭客入侵微軟SQL Server資料庫系統，目標是對Azure雲端環境的虛擬機器下手</a> <a href="https://jira.atlassian.com/browse/CONFSERVER-92475">Atlassian修補DevOps協作平臺Confluence已出現攻擊行動的漏洞</a> <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cer-priv-esc-B9t3hqk9">思科修補Emergency Responder寫死root帳密的漏洞</a> <a href="https://www.securityweek.com/new-supermicro-bmc-vulnerabilities-could-expose-many-servers-to-remote-attacks/">Supermicro的基板管理控制器漏洞恐導致伺服器遭到RCE攻擊</a> <a href="https://blog.thunderbird.net/2023/10/ransomware-alert-are-you-using-a-trusted-version-of-thunderbird/">駭客假借供收信軟體Thunderbird散布勒索軟體</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159124">【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</a> <a href="https://www.ithome.com.tw/news/159112">【10月3日】 Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</a> <a href="https://www.ithome.com.tw/news/159063">【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</a> </div></div></div>
2023/10/5 17:26作者周峻佑https://www.ithome.com.tw/news/159144
【資安日報】10月4日，求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 攻擊者利用求職、接案平臺進行網路釣魚攻擊的情況，可說是相當氾濫，其中，最常遭到濫用的是職場社群網站LinkedIn。但現在，有人提供網釣工具包EvilProxy，鎖定美國大型求職網站Indeed使用者，利用該網站未對網址進行管制的弱點來發動攻擊。 透過該工具包利用網站弱點的情況，並非首例，<a href="https://www.ithome.com.tw/news/158224#evilproxy">今年3月至6月</a>，駭客利用影音網站YouTube、購物比價網站Slickdeals的弱點，經過一連串的重新導向，才將受害者帶往釣魚網頁，目的是為了繞過各種資安系統與服務的偵測，行跡相當狡猾。 <h3>【攻擊與威脅】</h3> <a href="https://www.menlosecurity.com/blog/evilproxy-phishing-attack-strikes-indeed/">求職網站Indeed被EvilProxy網釣攻擊濫用，鎖定Microsoft 365用戶而來</a> <a href="https://s4.itho.me/sites/default/files/images/Phishing_Attack_Chain_fig2_outline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phishing_Attack_Chain_fig2_outline.png" style="width: 300px; float: right;" /></a>資安業者Menlo Security揭露自今年7月出現的網釣攻擊行動，駭客主要鎖定美國的銀行與金融服務業、保險業者、物業管理、房地產、製造業的高階管理人員下手，濫用求職平臺Indeed的網址放任重新導向弱點（Open Redirect Vulnerability），將目標重新導向偽裝成Microsoft 365登入網頁的釣魚網站，進行對手中間人攻擊（AiTM），騙得使用者執行登入過程中的Cookie。 研究人員進一步調查，發現駭客使用Nginx伺服器代管釣魚網站、特定的URI路徑、伺服器會回應444狀態碼、利用FingerprintJS程式庫收集瀏覽器指紋，以及發出特定POST請求、郵件以Base64演算法編碼等特徵，研判駭客使用名為EvilProxy的網釣工具包發動攻擊。 <a href="https://nsfocusglobal.com/mirai-botnets-new-wave-hailbot-kiraibot-catddos-and-their-fierce-onslaught/">新型態Mirai殭屍網路變種HailBot、KiraiBot、CatDDoS攻擊行動升溫</a> <a href="https://s4.itho.me/sites/default/files/images/Attack-Targets.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Attack-Targets.png" style="width: 300px; float: right;" /></a>資安業者Nsfocus提出警告，他們在今年9月發現數種Mirai變種的殭屍網路攻擊行動，其中又以HailBot、KiraiBot、CatDDoS最為活躍。 HailBot主要透過漏洞、弱密碼掃描、暴力破解入侵，成功感染後將受害電腦用於發動DDoS攻擊，此殭屍網路病毒具備4種使用TCP或UDP通訊協定的攻擊模式。研究人員指出，根據駭客的基礎設施活動判斷，這些攻擊者原本的目標是金融業與貿易業，但從去年下半轉向物聯網裝置。 而另一個殭屍網路病毒KiraiBot，入侵的管道是透過23埠掃描常見的弱密碼，並能利用受害電腦發動6種DDoS攻擊，為了能持續在受害裝置上運作，駭客會在特定路徑部署自動執行的指令碼。研究人員指出，他們看到該殭屍網路病毒大量散布，可能帶來的威脅不容小覷。 至於第3種殭屍網路病毒CatDDoS的特徵，是針對傳輸資料使用ChaCha20演算法進行處理，而且，近期出現頻繁發動攻擊的現象。駭客主要的攻擊目標位於中國（58%），其次是美國（25%）、日本（6%），偏好使用ack_flood、grip_flood兩種模式發動DDoS攻擊。 大樓自動化管理業者Johnson Controls遭到勒索軟體攻擊 <a href="https://s4.itho.me/sites/default/files/images/F7BwdEDWcAEaO8X.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F7BwdEDWcAEaO8X.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，大樓自動化管理業者江森自控（Johnson Controls）傳出駭客入侵亞洲辦事處，之後就發生勒索軟體攻擊，該公司關閉部分IT系統因應，旗下子公司York、Simplex、Ruskin紛紛在入口網站表示面臨IT系統服務中斷的情況。 資安業者Nextron Systems的研究人員取得勒索軟體程式，並指出攻擊者是勒索軟體駭客Dark Angels，該組織使用Linux版勒索軟體，以加密方式綁架VMware ESXi伺服器，並留下勒索訊息，傳出駭客竊得超過27 TB資料，索討5,100萬美元贖金。江森自控也在9月27日，向美國證券交易所（SEC）提交8-K表單，證實遭遇網路攻擊。 根據新聞網站CNN的報導，事發後傳出美國國土安全部（DHS）也著手調查，確認他們是否受到江森自控的資安事故波及。該媒體取得內部的備忘錄，提及該公司持有國土安全部的機密、敏感合約，涉及許多該單位的實體安全設施資料，但不確定駭客是否取得這些檔案。 資料來源 1. <a href="https://www.bleepingcomputer.com/news/security/building-automation-giant-johnson-controls-hit-by-ransomware-attack/">https://www.bleepingcomputer.com/news/security/building-automation-giant-johnson-controls-hit-by-ransomware-attack/</a> 2. <a href="https://twitter.com/MalGamy12/status/1706989619818954837">https://twitter.com/MalGamy12/status/1706989619818954837</a> 3. <a href="https://otp.tools.investis.com/clients/us/johnson_controls/SEC/sec-show.aspx?Type=html&FilingId=16953602&CIK=0000833444&Index=10000">https://otp.tools.investis.com/clients/us/johnson_controls/SEC/sec-show.aspx?Type=html&FilingId=16953602&CIK=0000833444&Index=10000</a> 4. <a href="https://edition.cnn.com/2023/09/28/politics/dhs-investigating-ransomware-attack/index.html">https://edition.cnn.com/2023/09/28/politics/dhs-investigating-ransomware-attack/index.html</a> <a href="https://www.ithome.com.tw/news/159116">中國駭客組織UNC4841攻擊目標從政府機關擴及民生關鍵基礎設施</a> 中國駭客UNC4841利用零時差漏洞CVE-2023-2868，入侵Barracuda郵件安全閘道系統（ESG）引起研究人員及美國政府的高度關注，資安業者Mandiant在近期舉辦的mWISE Conference 2023資安防禦會議當中，透露對此駭客組織攻擊行動進一步的調查結果。 研究人員指出，這些駭客入侵了全球多個國家的Barracuda郵件安全閘道系統，目的是協助中國政府進行廣泛的網路間諜行動，此種類型的攻擊行動，往往偏重政府機關、軍事國防、航太產業、電信通訊、資訊科技領域等第一級、高度機敏性組織，本次攻擊行動駭客鎖定的目標，僅有53%為上述產業，另一半是普遍認為較不具機敏性的產業。 駭客本次的網路間諜行動目標橫跨26種產業，包括科技研發、能源、海空運輸、建築、農業、媒體、法律事務所、旅遊、零售、地產、食品製造等，其中亦包含多個東協國家的政府外交機構，以及臺灣與香港的國貿單位與學術研究機構，這些領域多為重要的民生關鍵基礎設施產業，一旦營運中斷，有可能嚴重打擊民眾生活。Google Cloud Mandiant Intelligence首席分析師John Hultquist認為，中國駭客的能力變得更為強大，又鎖定這些極具風險的關鍵基礎設施產業，處境非常令人擔憂。 <h3>【漏洞與修補】</h3> <a href="https://www.oligo.security/blog/shelltorch-torchserve-ssrf-vulnerability-cve-2023-43654">AI模型模組管理工具TorchServe存在漏洞ShellTorch，可被攻擊者用於執行任意程式碼</a> 資安業者Oligo Security指出，機器學習框架PyTorch的模組伺服器套件TorchServe存在3個重大漏洞，而有可能讓駭客串連，用於注入惡意AI模型，並且接管整個伺服器，研究人員將這些漏洞通稱為ShellTorch。 首先，研究人員發現此套件的API配置當中，可允許攻擊者在無需驗證身分的情況下，遠端存取管理控制臺，值得留意的是，該漏洞存在於TorchServe、Amazon、Google專屬的Docker映像檔，以及Amazon SageMaker、Google Vertex AI、KServe。接下來，攻擊者可利用遠端伺服器請求偽造（SSRF）漏洞CVE-2023-43654，上傳惡意模型，導致目標伺服器執行模型後就有可能被攻擊者用於執行任意程式碼，CVSS風險評分為9.8；在TorchServe採用的元件SnakeYaml，也出現漏洞CVE-2022-1471，攻擊者可藉由上傳惡意YAML檔案，觸發反序列化攻擊，進而執行程式碼，CVSS風險評分為9.9。 對此，開發該套件的Meta及Amazon也採取了行動，Meta於10月2日修補API預設值的弱點，Amazon發布資安通告並提出緩解措施。 <a href="https://source.android.com/docs/security/bulletin/2023-10-01">Google發布安卓系統10月例行更新，修補已被用於攻擊行動的零時差漏洞</a> 10月2日Google發布本月份安卓例行更新，總共修補54個漏洞，當中有13個出現在安卓框架、2個為系統元件漏洞、2個與Google Play市集有關、5個Arm元件漏洞、3個聯發科晶片漏洞、1個紫光展銳（Unisoc）晶片漏洞、18個高通元件漏洞。 這些漏洞裡，5個為重大等級，其中2個是已出現攻擊行動的零時差漏洞，一是電腦版Chrome的開源程式庫libwebp漏洞CVE-2023-4863，另一個則是Arm處理器GPU顯示晶片Mali的CVE-2023-4211 。 <h3>【資安產業動態】</h3> <a href="https://www.ithome.com.tw/news/159067">第五輪ATT&CK評估計畫結果出爐，本次以善於潛伏的俄羅斯駭客Turla為攻擊假想目標</a> 由MITRE Engenuity舉辦的ATT&CK Enterprise評估計畫（Evals），今年進入第五輪評測，於9月30日公布結果。 本次共有31家資安業者參與，為歷屆參與廠商最多的一次，其中有3家資安業者首次參與評測，包括美國資安公司WatchGuard，兩家法國廠商HarfangLab與Tehtris，這也是法國資安業者首次出現於這項評測而受到矚目。綜合第五輪評測結果來看，在31家廠商中，有2家未列出評測結果，分別是Check Point與思科，MITRE Engenuity表示，最終只有29家有評測結果，主要是因為供應商產品與這次模擬執行之間存在不相容的技術問題，導致無法在指定時間內完成評估。 而對於本次評測的內容，MITRE Engenuity是以技術手法多樣，潛伏能力強，並且很會隱忍的俄羅斯駭客組織Turla為假想敵，設計模擬攻擊的內容。 <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-now-exploiting-critical-teamcity-rce-flaw/">CI/CD系統TeamCity重大漏洞傳出已被勒索軟體駭客用於攻擊行動</a> <a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/october-2023-bulletin.html">高通發布十月份例行更新，修補GPU、DSP驅動程式的零時差漏洞</a> <a href="https://www.bleepingcomputer.com/news/security/new-looney-tunables-linux-bug-gives-root-on-major-distros/">Looney Tunables漏洞恐讓攻擊者取得root權限，影響多個版本Linux電腦</a> <a href="https://www.sonarsource.com/blog/openrefine-zip-slip/">資料處理軟體OpenRefine存在Zip Slip漏洞，攻擊者有可能藉此執行任意程式碼</a> <a href="https://securelist.com/crimeware-report-asmcrypt-loader-lumma-stealer-zanubis-banker/110512/">惡意軟體載入工具ASMCrypt埋藏在PNG圖檔，並透過惡意DLL程式庫載入記憶體執行</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/159112">【10月3日】 Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</a> <a href="https://www.ithome.com.tw/news/159063">【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</a> <a href="https://www.ithome.com.tw/news/159036">【9月28日】勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元贖金</a> </div></div></div>
2023/10/4 17:32作者周峻佑https://www.ithome.com.tw/news/159124
第五輪ATT&CK評估計畫結果出爐，本次以善於潛伏的俄羅斯駭客Turla為攻擊假想
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 由<a href="https://attackevals.mitre-engenuity.org/results/enterprise/?evaluation=turla&scenario=1">MITRE Engenuity舉辦的ATT&CK Enterprise評估計畫（Evals），進入第五輪，9月20日公布結果</a>，這次共有31家資安業者參與，測試模擬的網路攻擊活動，是以俄羅斯駭客組織Turla為設想對象。 不過，這次整體作業花了更長時間，距離ATT&CK Enterprise上次評測結果的公布，已有1年半之久，而前兩次公布僅相隔1年。 <h2>透過模擬善於潛伏的駭客組織活動，進行資安廠商能力檢測</h2> Turla是何方神聖？MITRE Engenuity表示，這是總部位於俄羅斯、與俄羅斯聯邦安全局（FSB）有聯繫的威脅組織，從2004年開始活躍，已針對五十多國的機構發動攻擊，目標包括政府、外交、軍事單位，研究與教育機構、關鍵基礎設施單位，以及媒體組織。 之所以選擇Turla為假想攻擊對象，ATT&CK Evals計畫的網路威脅情報負責人Amy Robertson表示，主要是該組織技術手法多樣，潛伏能力強，並且很會隱忍，因此這次模擬攻擊就是以Turla慣用手法，利用將惡意程式藏匿於記憶體內（In-Memory）執行的方式，或是核心植入（kernel implants）的方式，而能在後滲透攻擊（post-exploitation）階段使用最小的足跡活動，成功規避資安防禦工具的偵測，從Windows與Linux的基礎架構環境當中，將敏感資料從受害者的網路傳輸出去。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96C%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%BA%94%E8%BC%AA.jpg" style="width: 600px;" /> MITRE Engenuity在2022年7月宣布，第五輪ATT&CK Enterprise評估計畫開始報名並會在2023年進行，如今這項評測計畫已經完成，在<a href="https://attackevals.mitre-engenuity.org/results/enterprise?evaluation=turla&scenario=1">2023年9月20日對外公布評測結果</a>。 <a href="https://s4.itho.me/sites/default/files/images/（主圖）MITRE ATT%26CK第五輪.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%BA%94%E8%BC%AA.jpg" style="width: 600px;" /></a> 報名第五輪ATT&CK Enterprise評估計畫的資安業者共有31家，美國資安公司WatchGuard，以及兩家法國廠商HarfangLab與TEHTRIS，是首次參與，其中TEHTRIS成立於2010年，HarfangLab則是成立於2018年。另外，這次只有29家業者的評測結果，主要是前兩輪就連續參與的Check Point與Cisco，本輪因為不相容的技術問題而無法在時間內完成評測。 <h2>更多國際資安廠商響應，本次新出現兩家法國資安業者</h2> 這一輪參與資安業者數量更多，總共有31家資安業者參與，再創紀錄，前三輪分別有21家、29家、30家參與。 具體而言，參與第五輪評估的業者，包括：AhnLab、Bitdefender、BlackBerry、Check Point、Cisco、CrowdStrike、Cybereason、Cynet、Deep Instinct、Elastic、ESET、Fortinet、HarfangLab、IBM Secuirty、Malwarebytes、微軟、Palo Alto Networks、Qualys、Rapid 7、Secureworks、SentinelOne、Somma、Sophos、博通旗下Symantec、TEHTRIS、Trellix、趨勢科技、Uptycs、VMware Carbon Black、WatchGuard，以及WithSecure。 值得注意的是，先前一直都參與的FireEye與McAfee，去年合併、更名為Trellix，因此，在本輪ATT&CK Evals，他們是以Trellix的名號參與；從第二輪ATT&CK Evals開始參與的ReaQta，因為IBM已完成對其併購，這次他們用IBM Security的名號參與。此外，曾在第二輪參與的美國資安公司Secureworks，接下來兩輪都沒參與，今年回歸。 有3家資安業者首次參與評測，包括美國資安公司WatchGuard，兩家法國廠商HarfangLab與Tehtris，這也是法國資安業者首次出現於這項評測，相當引人注目。 較可惜的是，前三輪都參與的臺灣資安業者奧義智慧，以及前兩輪都參與的美國資安公司Fidelis，在最新的這一輪評測未繼續參加。 綜合第五輪評測結果來看，在31家廠商中，有2家未列出評測結果，分別是Check Point與Cisco，他們從第三輪參與至今。MITRE Engenuity表示，最終只有29家有評測結果，主要是因為供應商產品與這次模擬執行之間存在不相容的技術問題，導致無法在指定時間內完成評估。 目前MITRE Engenuity評測網站已公布最新評測結果，外界可檢視三大場景，例如：該組織使用兩種不同惡意程式的攻擊（Carbon、Snake），我們可以在每個模擬攻擊步驟，看到實際偵測結果表現，這裡也附上產品偵測時的螢幕截圖；另一是了解保護（Protection）層面的能力，也就是在各測試項目能否提供防護，總共有23家業者參加這個測試場景的評測。 特別的是，這次公布的評測結果，一改過往資料呈現零散且複雜的情形，以更簡單直覺的方式來展示內容。 例如，我們看到，每個步驟偵測結果的螢幕截圖，在單一頁面就能直接瀏覽，不再像過去提供連結、需開啟新頁面才能檢視。 現在的評測結果網頁上，還提供各項模擬攻擊步驟、各項MITRE ATT&CK戰略階段的篩選器，方便使用者自由過濾所要檢視的項目，而且，每次能選擇3家業者同時比對，不像之前最多只能選擇2家比對。 此外，對於評測結果的統計資訊，過往MITRE都提供完整檔案下載，許多資安廠商也會利用這些資料，繪製出偵測結果相關的統計圖表。特別的是，今年我們發現Palo Alto Networks提供更易於檢視的<a href="https://app.powerbi.com/view?r=eyJrIjoiNWRhYzY1YjItOTAxZC00MGM5LThlNzYtOTYxNzViYzM1ZGY2IiwidCI6IjgyOTNjZmRmLThjMjQtNDY1NS1hMzA3LWVhMjFjZDNiMjJmZiIsImMiOjF9">儀表板</a>，當中利用Power BI展現這些統計數據，提供更簡便的歷年評估統計數據比對。 <a href="https://s4.itho.me/sites/default/files/images/（圖1）MITRE ATT%26CK Evals Result.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89MITRE%20ATT%26CK%20Evals%20Result.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖2）MITRE ATT%26CK Evals Result.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%20ATT%26CK%20Evals%20Result.jpg" style="width: 600px;" /></a> 關於評測結果的內容展現方式，MITRE Engenuity這次有了很大的改進，改以使用者為中心的方法重新設計，突出視覺圖表，提供簡潔且相關的結果摘要。我們實踐檢視，例如，可以看出從單一頁面就能瀏覽各項手法偵測結果的螢幕截圖，不像之前需要額外點擊連結開啟。 <a href="https://s4.itho.me/sites/default/files/images/（圖3）Palo Alto ATT%26CK Evals Dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Palo%20Alto%20ATT%26CK%20Evals%20Dashboard.jpg" style="width: 600px;" /></a> 過往MITRE公布的評估結果統計資料，許多廠商會下載這些數據並繪製成圖表，今年我們發現<a href="http://app.powerbi.com/view?r=eyJrIjoiNWRhYzY1YjItOTAxZC00MGM5LThlNzYtOTYxNzViYzM1ZGY2IiwidCI6IjgyOTNjZmRmLThjMjQtNDY1NS1hMzA3LWVhMjFjZDNiMjJmZiIsImMiOjF9">Palo Alto Networks利用Power BI，將這些資料以更好地儀表板介面來呈現</a>，方便ATT＆CK評測統計數據的檢視。 <h2 class="rtecenter">關於Turla的最新威脅近況</h2> Turla的攻擊活動目前仍持續進行當中，例如，<a href="https://blog.talosintelligence.com/tinyturla/">在2021年9月，資安業者Cisco旗下威脅情報組織Talos，揭露</a>Turla使用可部署祕密後門的惡意軟體TinyTurla，在美國、德國與阿富汗等地，都出現遭受感染該惡意程式的災情；<a href="http://cert.gov.ua/article/5213167">在2023年7月，根據烏克蘭電腦緊急應變小組（CERT-UA）的揭露</a>，Turla正利用Capibar和Kazuar間諜軟體攻擊烏克蘭國防軍。 </div></div></div>
2023/10/2 16:56作者羅正漢https://www.ithome.com.tw/news/159067
Google再緊急修補Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_27.html" target="_blank">Google周四又緊急釋出Chrome安全更新</a>，以修補10項漏洞，包含一個已遭到濫用的漏洞。 Google昨日針對Windows、Mac和Linux平臺釋出桌機版Chrome 117.0.5938.132。最新更新修補的10項漏洞中包括3個高風險漏洞，其中最重要的是已遭濫用的CVE-2023-5217。它是位於VP8編碼函式庫libvpx中的堆積型緩衝溢位（heap buffer overflow）漏洞。Libvpx為Google和Open Media聯盟（AOMedia）合作開發而成。通常緩衝溢位漏洞會引發程式崩潰或任意程式碼執行。 本漏洞是由Google威脅分析小組研究人員Clément Lecigne通報。Google在發現後2天內完成修補。另一名成員<a href="https://twitter.com/maddiestone/status/1707244655447060688" target="_blank">Maddie Stone說明</a>，這是Lecigne發現最新一起商業間諜軟體開發商濫用的漏洞。 <a href="https://blog.google/threat-analysis-group/spyware-vendors-use-0-days-and-n-days-against-popular-platforms/" target="_blank">Lecigne今年3月曾指出</a>Google追蹤到，至少有30家業者出售商業性的間諜監控軟體給政府支持的單位，利用包括iOS、Android及Chrome的零日（0-day）或數日（n-day）漏洞，以監控異議份子或記者。 另二項重大漏洞CVE-2023-5186及CVE-2023-5187，分別是位於Passwords元件及Extensions元件中的使用已釋放記憶體漏洞，攻擊者可能傳送惡意連結誘使用戶連向特定UI或下載外掛，引發堆積記憶體毁損，後果可能小從資料流失，大到系統無法運作。 Google呼籲用戶應儘速安裝最新版Chrome更新以策安全。 </div></div></div>
2023/9/29 18:58作者林妍溱https://www.ithome.com.tw/news/159044
110個組織遭勒索軟體Akira鎖定，利用思科SSL VPN漏洞入侵，加密Windows、Linux電腦檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 今年5月資安業者Sophos看到勒索軟體Akira採用了過往較為少見的攻擊手法，<a href="https://news.sophos.com/en-us/2023/05/09/akira-ransomware-is-bringin-88-back/">駭客疑似針對尚未採用雙因素驗證的SSL VPN系統下手</a>，從而入侵受害組織，這樣的手法引起不少研究人員對於該駭客組織的高度關注。 <a href="https://www.ithome.com.tw/news/158411#akira">後來到了8月</a>，惡意軟體分析員Aura、資安業者SentinelOne確認被針對的SSL VPN系統廠牌是思科，而且，駭客應該是針對該系統的漏洞下手，繞過雙因素驗證流程。當時，SentinelOne確認有8起勒索軟體攻擊是透過該廠牌的SSL VPN系統入侵。<a href="https://www.rapid7.com/blog/post/2023/08/29/under-siege-rapid7-observed-exploitation-of-cisco-asa-ssl-vpns/">資安業者Rapid7發現</a>，也有人利用類似手法散布勒索軟體LockBit。 這樣的發現，<a href="https://www.ithome.com.tw/news/158704#akira">在9月上旬得到思科的證實</a>，勒索軟體Akira就是利用CVE-2023-20269入侵組織的內部網路環境，而這樣的漏洞存在於該廠牌的網路資安設備ASA、FTD系列，攻擊者可在未經授權的情況下，藉由暴力破解攻擊找出有效的帳號及密碼，甚至有可能透過未經授權的使用者，建立無用戶端的SSL VPN連線。 最近有新的分析指出，勒索軟體駭客組織Akira的攻擊行動持續昇溫。<a href="https://www.logpoint.com/en/blog/emerging-threat/emerging-threat-akira-not-a-cyberpunk-movie-a-very-real-ransomware-threat/">資安業者Logpoint表示</a>，今年8月Akira是第4大的勒索軟體，僅次於LockBit 3.0、8Base、BlackCat（Alphv），截至9月15日，總共有110個組織受害（編按：根據Ransomware.Lve網站的統計，在25日這天已增加至113個組織），這些組織大部分位於美國和英國，但駭客沒有偏好特定產業，受害組織涵蓋教育、金融、房仲、製造、顧問業者，當中包含大型生產流程品質檢驗業者Intertek。 <a href="https://s4.itho.me/sites/default/files/images/image-20230908-073921.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-20230908-073921.png" style="width: 580px;" /></a> 研究人員指出，一旦駭客得到內部網路的存取權限，就會使用遠端桌面連線工具AnyDesk、RustDesk，以及壓縮軟體WinRAR來進行後續攻擊行動，並且利用系統資訊工具PC Hunter及wmiexec橫向移動。 此外，為了讓檔案加密工作能順利執行，駭客會停用Windows內建的防毒軟體即時監控功能，並使用PowerShell下達刪除磁碟區陰影複製服務（VSS）的備份檔案。此外，這些駭客也開發了Linux版的加密程式，可用來加密VMware ESXi虛擬機器的檔案，進行綁架勒贖。 勒索軟體駭客採取寄生攻擊（LOLBins）手法，利用企業組織內現成的應用程式，執行攻擊行動，來迴避資安系統偵測的情況可說是非常普遍，其中，有許多駭客組織，如：LockBit、BlackByte，以及專門針對SQL Server的勒索軟體FreeWorld，濫用遠端桌面連線工具AnyDesk來存取受害主機，Akira也不例外。 但值得留意的是，這些駭客還運用另一款<a href="https://rustdesk.com/">開源、跨平臺的遠端桌面連線工具RustDesk</a>，而有可能架設自己的基礎設施架構，或是利用其內建的點對點（P2P）連線功能，讓攻擊行動變得更為隱密。 </div></div></div>
2023/9/25 23:10作者周峻佑https://www.ithome.com.tw/news/158964
【資安日報】9月25日，埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 集權國家政府利用間諜軟體監控特定人士的情況，不時傳出，而對於上週蘋果修補的一連串漏洞，通報的加拿大公民實驗室與Google威脅情報小組隨後公布資安事故的細節，指出受害者就是參與埃及明年總統大選的前議員Ahmed Eltantawy。 但有別於1年多前攻擊者利用釣魚簡訊引誘該名議員上當，這次攻擊者竟然透過當地電信業者的邊界裝置下手，對方趁他瀏覽尚未採用HTTPS連線的網站時，重新導向到惡意網站來部署間諜軟體。研究人員依此判斷，背後的攻擊者極有可能就是埃及政府。 <h3>【攻擊與威脅】</h3> <a href="https://www.ithome.com.tw/news/158942">埃及政府傳出對總統候選人下手，利用零時差漏洞在iPhone手機植入間諜軟體Predator</a> <a href="https://s4.itho.me/sites/default/files/images/Predator-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Predator-image3.png" style="width: 300px; float: right;" /></a>蘋果於9月21日針對旗下的行動裝置、電腦、穿戴裝置發布更新，修補由的3個零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，通報上述漏洞的加拿大公民實驗室與Google威脅情報小組（TAG）指出，遭到攻擊的是宣布參與埃及明年總統大選的前議員Ahmed Eltantawy，這名議員在今年3月宣布參選後，他的家人與支持者不斷遭到各種騷擾及逮捕，因而懷疑手機遭到監控而尋求加拿大公民實驗室協助。 調查結果發現，在今年5月至9月間，這名議員遭到鎖定，駭客透過簡訊及WhatsApp傳送連結，他手機所使用的電信網路Vodafone Egypt門號於8月開始遭到鎖定，只要該名議員瀏覽沒有採用HTTPS的網站，此電信業者的網路邊界裝置會將他重新導向惡意網站，從而在執行iOS 16.6.1作業系統的手機植入間諜軟體Predator。 有鑑於間諜軟體透過埃及境內的電信網路設備發動攻擊，研究人員認為幕後的攻擊者就是埃及政府。而Ahmed Eltantawy的手機並非首度遭Predator入侵，2021年11月，這名議員收到含有釣魚網站連結的簡訊，而導致手機感染Predator。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://citizenlab.ca/2023/09/predator-in-the-wires-ahmed-eltantawy-targeted-with-predator-spyware-after-announcing-presidential-ambitions/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://citizenlab.ca/2023/09/predator-in-the-wires-ahmed-eltantawy-targeted-with-predator-spyware-after-announcing-presidential-ambitions/</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.google/threat-analysis-group/0-days-exploited-by-commercial-surveillance-vendor-in-egypt/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://blog.google/threat-analysis-group/0-days-exploited-by-commercial-surveillance-vendor-in-egypt/</a> <a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-campaign-targeting-hospitality">駭客透過冒牌訂房網站Booking.com竊取信用卡資料</a> <a href="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-campaign-targeting-hospitality-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-campaign-targeting-hospitality-5.jpg" style="width: 300px; float: right;" /></a>資安業者Akamai揭露針對旅館、訂房網站、旅行社的竊資軟體攻擊行動，駭客假冒旅館的名義，透過訂房網站尋找目標，要求消費者重新確認信用卡，目的是竊取他們的資料。攻擊者先是發出訂房請求，並指定到旅館付款的方式，然後向旅館寄送一系列極為緊急且似乎相當真誠的電子郵件，當中含有「相片」的連結，若是收信人點選，電腦就有可能執行竊資軟體。 研究人員指出，一旦旅館被鎖定，接下來駭客的目標就會轉向房客。研究人員指出，一旦收信人在旅館執行了竊資軟體，攻擊者就有機會取得聯繫房客的聯絡方式，然後利用旅館的名義，從訂房網站發送簡訊給房客，要求他們儘速採取行動，依照指示進行額外的付款資料驗證，來確保預約不會取消。 若是房客照做，電腦就會執行以Base64編碼混淆的JavaScript指令碼。值得一提的是，為了防堵研究人員分析，駭客加入多項安全驗證機制，房客必須通過驗證後才會看到假冒Booking.com的釣魚網站。 <a href="https://www.logpoint.com/en/blog/emerging-threat/emerging-threat-akira-not-a-cyberpunk-movie-a-very-real-ransomware-threat/">110個組織遭勒索軟體Akira鎖定，利用思科SSL VPN漏洞入侵，加密Windows、Linux電腦檔案</a> <a href="https://s4.itho.me/sites/default/files/images/image-20230905-073724.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-20230905-073724.png" style="width: 300px; float: right;" /></a>勒索軟體Akira鎖定目標組織的思科SSL VPN系統，利用CVE-2023-20269入侵內部網路環境，引起不少研究人員關注，最近有新的分析指出該組織的攻擊行動持續昇溫。資安業者Logpoint指出，今年8月Akira是第4大的勒索軟體，僅次於LockBit 3.0、8Base、BlackCat（Alphv），截至9月15日，總共有110個組織受害（編按：根據Ransomware.Lve網站的統計，在25日這天已增加至113個組織），這些組織大部分位於美國和英國，但駭客沒有偏好特定產業，受害組織涵蓋教育、金融、房仲、製造、顧問業者，當中包含大型公證檢驗業者Intertek。 研究人員指出，一旦駭客得到內部網路的存取權限，就會使用遠端桌面連線工具AnyDesk、RustDesk，以及壓縮軟體WinRAR來進行後續攻擊行動，並且利用系統資訊工具PC Hunter及wmiexec橫向移動。 此外，為了讓檔加密工作能順利執行，駭客會停用 Windows內建的防毒軟體即時監控功能，並使用PowerShell下達刪除磁碟區陰影複製服務（VSS）的備份檔案。此外，這些駭客也開發了Linux版的加密程式，可用來加密VMware ESXi虛擬機器的檔案，進行綁架勒贖。 <a href="https://www.darkreading.com/attacks-breaches/fbi-cisa-issue-joint-warning-on-snatch-ransomware-as-a-service">美國針對勒索軟體Snatch的攻擊行動提出警告</a> 上週美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）聯手，針對勒索軟體Snatch的攻擊行動提出警告，指出駭客廣泛針對關鍵基礎設施（CI）、包含國防工業基地（DIB）、糧食與農業、資訊科技業者而來（最近一起被公布的攻擊事件發生在6月）。 根據CISA和FBI提到的攻擊手法，駭客主要透過暴力破解找到遠端桌面連線（RDP）所需的帳密資料，成功入侵之後，他們會在受害組織的網路環境收集管理員帳密資料，並使用443埠進行連線，存取架設於俄羅斯代管服務的C2伺服器。接下來，攻擊者可能會耗費長達3個月的時間來進行橫向移動，並且找尋有價值的資料，過程中會利用Windows命令列執行sc.exe，以便對系統服務執行設定、查詢、停止、啟動、刪除、新增等動作，也會使用滲透測試工具Metasploit與Cobalt Strike。 而對於這次CISA和FBI發布資安通告的原因，資安業者CardinalOps執行長Michael Mumcuoglu認為，很有可能是在最近1年駭客的攻擊行動升溫有關。 <a href="https://thehackernews.com/2023/09/ukrainian-hacker-suspected-to-be-behind.html">檔案下載工具Free Download Manager遭植入惡意程式，疑烏克蘭駭客所為</a> 卡巴斯基9月上旬揭露針對Linux用戶的冒牌網站攻擊行動，駭客從2020年1月，竄改檔案下載工具Free Download Manager（FDM）部分網站，導致Linux用戶可能遭到惡意軟體攻擊。 研究人員指出，一旦使用者下載、安裝惡意版本的FDM，電腦就有可能被植入後門程式crond，該程式會在電腦每次開機期間，透過cron啟動，並向特定網域發出特定類型的DNS請求，啟動反向Shell與C2連線。此後門程式會收集系統資訊、瀏覽器的上網記錄、儲存的帳密資料、加密貨幣錢包檔案，以及AWS、Google Cloud、Oracle Cloud Infrastructure、Azure等雲端服務的帳密資料。 對此，FDM開發團隊獲報後也做出進一步說明，表示發動攻擊的駭客疑似來自烏克蘭，約有不到0.1%用戶受到影響，而開發團隊在2022年的網站更新工作時，無意間修復了相關弱點。FDM呼籲曾在2020至2022年下載應用程式的Linux用戶，應儘速檢查電腦是否感染惡意軟體，他們也提供Bash指令碼執行相關檢測工作。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://securelist.com/backdoored-free-download-manager-linux-malware/110465/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://securelist.com/backdoored-free-download-manager-linux-malware/110465/</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.freedownloadmanager.org/blog/?p=664" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.freedownloadmanager.org/blog/?p=664</a> <h3>【漏洞與修補】</h3> <a href="https://confluence.atlassian.com/security/security-bulletin-september-19-2023-1283691616.html">Atlassian修補旗下Jira、Confluence、Bitbucket、Bamboo漏洞</a> 9月19日Atlassian針對旗下多款產品發布更新，包含：程式碼管理平臺Bitbucket、DevOps協作平臺Confluence、持續整合與持續部署系統（CI/CD）Bamboo、專案管理平臺Jira。 根據CVSS風險評分，最為危險的是遠端程式碼執行（RCE）漏洞CVE-2023-22513，這項漏洞出現在Bitbucket，影響8.0.0至8.13.0版，攻擊者可在通過身分驗證的情況下，執行任意程式碼，能夠破壞該系統的可用性、完整性、機密性，過程無需使用者互動，CVSS風險評分為8.5。 其他幾項漏洞為CVE-2023-22512、CVE-2023-28709、CVE-2022-25647，CVSS風險評分皆為7.5。CVE-2023-22512為阻斷服務（DoS）漏洞，未經授權的攻擊者可暫停目標伺服器的服務，影響5.6至8.5版的Confluence。CVE-2023-28709、CVE-2022-25647是第三方元件漏洞，影響8.1.12至9.2.3版Mamboo，以及4.20至5.10版Jira。 <a href="https://thehackernews.com/2023/09/high-severity-flaws-uncovered-in.html">網際網路系統協會修補DNS軟體BIND高風險漏洞</a> 9月20日網際網路系統協會（ISC）發布DNS軟體BIND更新，提供9.16.44、9.18.19、9.19.17等版本，修補高風險漏洞CVE-2023-3341、CVE-2023-4236。 這兩個漏洞的CVSS風險評分同為7.5，影響範圍較廣的是CVE-2023-3341，一旦遭到利用，攻擊者可藉由控制頻道發送偽造訊息，可能導致處理封包的程式碼佔滿整個記憶體堆疊，使得BIND無預期停止運作，影響9.16、9.18、9.19版BIND。 ISC本次修補的另一個漏洞CVE-2023-4236，起因是處理DNS-over-TLS查詢的程式碼存在弱點，導致該系統內部資料結構在出現大量查詢作業的情況下，而造成不正確的重覆利用，演變成斷言（assertion）出錯讓該系統終止運作，影響9.18版BIND。 <h3>【其他新聞】</h3> <a href="https://www.ithome.com.tw/news/158882">美國國家學生資訊交換所遭遇MOVEit Transfer零時差漏洞攻擊，影響890所學校</a> <a href="https://www.securityweek.com/researchers-discover-attempt-to-infect-leading-egyptian-opposition-politician-with-predator-spyware/">勒索軟體BlackCat聲稱入侵車輛資訊系統製造商Clarion</a> <a href="https://unit42.paloaltonetworks.com/rare-possible-gelsemium-attack-targets-se-asia/">東南亞政府機關遭到駭客組織Gelsemium鎖定</a> <a href="https://www.hhs.gov/sites/default/files/dprk-chinese-cyber-crime-threats-us-hph.pdf">中國、北韓多個駭客組織鎖定美國衛生機構而來</a> <a href="https://www.welivesecurity.com/en/eset-research/stealth-falcon-preying-middle-eastern-skies-deadglyph/">後門程式Deadglyph鎖定中東而來</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158927">【9月23日】中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體</a> <a href="https://www.ithome.com.tw/news/158896">【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</a> <a href="https://www.ithome.com.tw/news/158872">【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</a> </div></div></div>
2023/9/25 17:21作者周峻佑https://www.ithome.com.tw/news/158960
Oracle發表無伺服器部署技術GraalOS，大幅降低函式冷啟動時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 甲骨文（Oracle）推出以Java為基礎的無伺服器應用程式部署技術<a href="https://blogs.oracle.com/java/post/introducing-graalos">GraalOS</a>。透過使用Oracle <a href="https://www.ithome.com.tw/news/122527">GraalVM</a>原生映像檔，GraalOS不再依賴Java虛擬機器（JVM），因此能實現高速啟動、降低資源消耗，並與雲端服務緊密整合等優勢，還可同時支援x64與AArch64兩種處理器架構。 Oracle發展這項名為GraalOS的技術，來強化自家的無伺服器運算服務OCI Functions。該服務讓開發者可以在沒有任何基礎設施的情況下，根據事件或是請求，創建、執行和擴展應用程式。官方表示，傳統無伺服器函式主要缺點之一便是啟動速度慢，在功能第一次被呼叫，或是經過一段時間不活動後，都會發生這種情況。 GraalVM技術是GraalOS重要的一環，甚至可以說是GraalOS背後的核心技術。GraalVM是一個高效能JVM和JavaScript執行環境，同時支援Ruby、R、Python等語言，除了使用JIT編譯器，大幅提高Java等語言的執行效能之外。其原生映像檔功能，則可以將應用程式提前編譯成為原生機器程式碼。而GraalOS便是使用GraalVM的原生映像檔技術，將開發者的應用程式轉為原生執行檔，因此可加速啟動並且減少資源使用，有助降低雲端成本。 當前OCI Functions運用開源容器原生無伺服器平臺Fn Project，將函式打包成容器運作，而容器的啟動與資源調用，都是造成函式啟動速度慢的原因。而官方表示，GraalOS應用程式啟動速度很快，幾乎沒有冷啟動成本。與擁有巨大冷啟動成本的容器平臺不同，GraalOS應用程式只是一個小型原生Linux可執行檔，啟動時間僅為數十毫秒。 由於GraalVM原生映像檔運用提前編譯（AOT）技術，因此GraalOS應用程式所需要的記憶體明顯減少，官方表示，由於大多數雲端服務的定價結構，記憶體使用量都是一個重要的因素，而較低的記憶體使用量，也就代表會直接影響營運成本。而且不只是記憶體，GraalOS就連使用的CPU資源，都是JVM所需的一小部分。 GraalOS應用程式在呼叫時能夠自動暫停和恢復，即便因為未接收到請求的應用程式和函式都被伺服器平臺終止，GraalOS也能夠在暫停後，快速恢復閒置應用程式，不像過去基於容器的函式啟動會出現冷啟動成本。 GraalOS大幅提升了OCI Functions的啟動速度，可讓無伺服器函式在數秒內啟動，且對大多數工作負載來說，使用的記憶體也會比傳統函式減少達50％，函式更快啟動也就代表可以支援次秒級低延遲呼叫，開啟配置的並行性需求降低。 GraalOS原生Linux可執行檔，使用了由硬體加強的應用程式隔離技術，即便沒有將應用程式打包到容器中，也能獲得隔離安全性。Oracle先在OCI Functions運用GraalOS，新添加Graal Function類型，而內建OCI Functions觸發器的Events、Connector Hub和Data Integration等服務，也都可以從GraalOS獲得效能升級效益。目前GraalOS加速功能僅先開放給Java開發者使用，官方預告未來還會支援更多語言。 </div></div></div>
2023/9/22 16:27作者李建興https://www.ithome.com.tw/news/158889
GitHub正式支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 自今年7月開始測試通行密鑰（Passkey）的GitHub，<a href="https://github.blog/2023-09-21-passkeys-are-generally-available/" target="_blank">周四（9/21）宣布正式推出Passkey服務</a>，所有的GitHub用戶都可透過帳號安全設定來新增Passkey。 Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務，由於它奠基在FIDO 2/WebAuthn標準上，因而得以跨平臺運作。 Passkey除了讓使用者得以免除記憶密碼的困擾之外，還能防範基於簡訊的2FA網釣攻擊。 GitHub允許使用者註冊不同裝置的Passkey，有鑑於Linux及Firefox對於Passkey的支援尚不完善，GitHub決定提供跨裝置的Passkey註冊功能，例如使用電腦時以手機來註冊Passkey，儘管Passkey存放於手機，但使用者可將它連結至電腦，並透過桌面瀏覽器進行設定，以讓Linux及Firefox用戶也能設定Passkey。 此外，GitHub的目標之一是推動所有帳號都具備多個2FA憑證，以防在某個憑證遺失或無法使用時，還能有其它的登入途徑，因此，當GitHub察覺使用者的裝置相容於Passkey時，便會提醒使用者註冊Passkey。 目前有許多重要服務皆已支援Passkey登入，像是<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google帳號</a>，微軟<a href="https://www.microsoft.com/en-us/security/blog/2023/09/21/new-microsoft-security-tools-to-protect-families-and-businesses/" target="_blank">Windows 11</a>，以及蘋果的Mac與iPhone。 此外，基於雲端的Passkey服務也支援跨裝置的Passkey同步，例如蘋果iCloud帳號可同步iOS與macOS的Passkey，Google Password Manager可同步使用者所有Android裝置的Passkey，1Password 或Dashlane 密碼管理員也可同步所有安裝該程式的裝置Passkey。 <a href="https://github.blog/wp-content/uploads/2023/07/register_key.mp4?_=1" target="_blank"><img alt="" src="https://github.blog/wp-content/uploads/2023/07/register_key.mp4?_=1" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/0922-GitHub-passkeys-3.png" style="width: 600px;" /></a> </div></div></div>
2023/9/22 12:23作者陳曉莉https://www.ithome.com.tw/news/158880
【資安日報】9月19日，Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 又是漏洞風險被低估可能會引發災情的情況！資安業者Juniper在今年8月揭露的CVE-2023-36845，當時評估其漏洞僅有中度風險，必須與其他漏洞才可能引發重大危害，但最近有研究人員指出，他們只需利用這項漏洞，就能在沒有通過身分驗證的狀態，遠端執行任意命令（RCE），使得這項漏洞危險程度遠超過原先認定的層級。 然而，由於Juniper輕估了漏洞的風險，使得很多IT人員不會立即修補漏洞。但研究人員警告，他們已經看到駭客開始嘗試利用這項漏洞。 <h3>【攻擊與威脅】</h3> <a href="https://vulncheck.com/blog/juniper-cve-2023-36845">1.2萬臺Juniper網路安全設備曝露於無需身分驗證的RCE漏洞</a> <a href="https://s4.itho.me/sites/default/files/images/shodan-jweb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-jweb.png" style="width: 300px; float: right;" /></a>今年8月，Juniper針對EX、SRX系列產品線，揭露能操控PHP環境變數的漏洞CVE-2023-36844、CVE-2023-36845，以及重大功能缺乏身分驗證CVE-2023-36846、CVE-2023-36847、CVE-2023-36851，這些漏洞個別的CVSS風險評分皆為5.3，然而一旦攻擊者將上述漏洞串連，就變成嚴重的遠端執行任意程式碼（RCE）漏洞，CVSS風險層級大幅增加至9.8分。 但這些漏洞的潛在風險很可能被低估，有研究人員發現，其中一個漏洞就能讓攻擊者在沒有通過身分驗證的情況下，發動RCE攻擊。資安業者VulnCheck針對CVE-2023-36845展示新的概念性驗證（PoC）攻擊手法，研究人員使用防火牆設備Juniper SRX210來進行漏洞利用的過程當中，發現該設備雖然並未提供檔案上傳功能do_fileUpload()，但攻擊者可操蹤環境變數來達到目的。他們針對該廠牌防火牆Appweb的網頁伺服器元件下手，由於該元件在執行CGI指令碼的過程裡，透過stdin程式處理使用者發出的HTTP請求，研究人員利用冒充的檔案來愚弄防火牆，並且調整PHPRC環境變數及HTTP請求，從而顯示防火牆上的敏感資料，最終濫用PHP的功能auto_prepend_file、allow_url_include，來達到執行任意PHP程式碼的目的，因此，該漏洞的危險程度顯然被嚴重低估。 雖然Juniper在8月17日發布修補程式，但由於上述個別漏洞的風險等級僅列為中度，IT人員很可能不會優先處理，研究人員透過物聯網搜尋引擎Shodan找到14,951個曝露於網際網路的網頁管理介面，抽查其中3千臺設備，結果約有79%尚未修補CVE-2023-36845，換言之，全球可能約有11,800臺設備曝險。 <a href="http://www.trendmicro.com/en_us/research/23/i/earth-lusca-employs-new-linux-backdoor.html">中國駭客Earth Lusca鎖定政府機關散布Linux惡意程式SprySOCKS</a> 趨勢科技揭露中國駭客Earth Lusca今年上半的新型態攻擊行動，駭客原本主要的目標是東南亞、中亞、巴爾幹半島，鎖定從事外交事務、科技業、電信業的政府機關下手，但也有拉丁美幻和非洲國家的組織受害。 駭客積極針對面向網際網路的伺服器發動攻擊，並利用已知漏洞，如：Fortinet防火牆作業系統、網頁安全閘道、交換器管理系統身分驗證繞過漏洞CVE-2022-40684，以及網路存取控制系統RCE漏洞CVE-2022-39952，或是Exchange的漏洞ProxyShell、Zimbra郵件伺服器身分驗證漏洞CVE-2019-9670與CVE-2019-9621、GitLab身分驗證漏洞CVE-2021-22205等，這些漏洞多半與身分驗證繞過相關，或是能被用於遠端執行任意程式碼（RCE）。這些駭客往往利用上述漏洞滲透目標組織的網路環境，然後部署Web Shell及Cobalt Strike進行橫向移動，接著收集資料及電子郵件帳密，並使用ShadowPad及Linux版的Winnti等後門程式，以便進行長期網路間諜行動。 在部分攻擊行動裡，研究人員看到駭客利用Cobalt Strike部署了名為mandibule的惡意程式載入工具，以便進一步於Linux主機上部署後門程式SprySOCKS，此後門程式採用名為HP-Socket的網路框架強化運作效率，與C2之間的通訊採用AES-ECB加密，並具備收集系統資訊的能力，進行檔案的上傳、下載、列出刪除、更名、建立資料夾，甚至可挾持SOCKS代理伺服器的配置，以及啟動PTY子系統的交互式Shell等。 <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-leaks-38tb-of-private-data-via-unsecured-azure-storage/">微軟外洩38 TB資料，起因是Azure儲存桶未設防</a> 資安業者Wiz揭露微軟人工智慧研究團隊無意間曝露敏感資料的事故，約自2020年7月開始，一名微軟員工不慎公開配置錯誤的Azure Blob儲存桶網址，研究人員今年6月向微軟通報並得到證實。 微軟初步認為，起因是他們採用了較為寬鬆的共用存取簽章（SAS），產生具備完整控制共用檔案權限的Token所致。Wiz指出，微軟曝露的資料當中，包含了開源的機器學習模型，以及檔案大小高達38 TB的個人資料，這些個資涵蓋了微軟員工的資料備份檔案，當中有微軟服務的帳密資料，以及359名員工在協作平臺逾3則Teams訊息的存檔。 對此，微軟安全事件回應中心（MSRC）指出，沒有客戶資料外洩，其他內部服務亦並未曝險。Wiz研究人員指出，由於微軟並未在Azure入口網站提供相關的監控與治理措施，導致這些SAS Token難以追蹤而存在資安風險，企業組織應儘可能限縮使用範圍。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://msrc.microsoft.com/blog/2023/09/microsoft-mitigated-exposure-of-internal-information-in-a-storage-account-due-to-overly-permissive-sas-token/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://msrc.microsoft.com/blog/2023/09/microsoft-mitigated-exposure-of-internal-information-in-a-storage-account-due-to-overly-permissive-sas-token/</a> <a href="https://www.theregister.com/2023/09/15/ijc_noescape_ransomware/">勒索軟體NoEscape聲稱攻擊美加邊境水務組織</a> 根據新聞網站The Register的報導，管理美國、加拿大邊境的水資源機構國際聯合委員會（International Joint Commission，IJC），遭遇網路攻擊事件。資安業者Emsisoft威脅分析師Brett Callow發現，9月7日勒索軟體駭客組織NoEscape聲稱入侵上述機構，竊得超過80 GB資料，並將該機構網路環境裡的檔案加密。 這些駭客表示他們取得了合約、法律文件、員工與會員的個人資料，以及財務、保險、地質資料等機密檔案。其中，機密文件超過5萬份。這些駭客要求該機構於10天內採取行動，否則將會公布竊得的檔案。對此，國際聯合委員會證實遭遇網路攻擊，但不願進一步回應，也拒絕評論駭客是否竊得該機構的資料。 <a href="https://intel471.com/blog/bumblebee-loader-resurfaces-in-new-campaign">惡意軟體Bumblebee濫用WebDAV資料夾進行散布</a> 威脅情報業者Intel471指出，惡意軟體Bumblebee在消聲匿跡約2個月後，從上個月再度出現攻擊行動，近期駭客更利用新的手法來繞過資安系統的檢測。 研究人員從9月7日開始，看到駭客透過文件的掃描檔案、發票，或是發送各式通知信件的名義，寄送帶有Windows捷徑檔案（LNK）附件的釣魚信（其中有部分LNK檔案是透過ZIP壓縮檔挾帶）。一旦使用者不慎開啟LNK附件檔案，駭客便會在電腦上安裝雲端檔案共享服務4Shared，並登入特定使用者的帳號，然後掛載雲端業者提供的WebDAV資料夾，進而於受害電腦部署Bumblebee。 值得留意的是，新的惡意軟體與C2進行通訊的管道，不再使用WebSocket通訊協定，連接到寫死的C2伺服器IP位址，而是利用網域產生演算法（DGA），透過64個靜態種子數值，產生100個網域，這些網域使用.life的頂級網域（TLD）名稱。研究人員指出，駭客使用了合法雲端業者提供的WebDAV服務，從而避免被資安系統列為黑名單，並能濫用該業者基礎設施的高可用性，甚至能簡化散布惡意程式的步驟。 <a href="https://www.mandiant.com/resources/blog/unc3944-sms-phishing-sim-swapping-ransomware">駭客組織Scattered Spider擴大攻擊範圍，發動勒索軟體攻擊迫使受害組織付錢</a> 9月上旬旅館集團美高梅（MGM Resorts）、美國連鎖賭場凱撒娛樂（Caesars Entertainment）相繼傳出遭到駭客組織Scattered Spider入侵，有資安業者針對這些駭客的攻擊行動提出警告。 資安業者Mandiant指出，根據他們的觀察，這些駭客原本主要針對電信業者及業務流程外包公司（BPO）下手，現在範圍觸及旅館、零售業、媒體、娛樂產業、金融服務業。這2年駭客從事攻擊行動的過程裡，先後使用了3種網路釣魚工具包，其中第3款是今年中期開始使用，一旦成功入侵受害組織，就會使用合法應用程式來偵察及監控網路，並尋找任何能提升權限及維持存取受害組織的資源。 與過往攻擊行動不同的是，這些駭客也開始在攻擊行動使用勒索軟體，以美高梅的資安事故而言，駭客便對該集團超過100臺ESXi伺服器進行加密。而對於和其他駭客之間的關連，研究人員認為Scattered Spider與BlackCat（Alphv）有關。 <h3>【其他新聞】</h3> <a href="https://www.securityweek.com/fortinet-patches-high-severity-vulnerabilities-in-fortios-fortiproxy-fortiweb-products/">Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞</a> <a href="https://sysdig.com/blog/ambersquid/">挖礦攻擊行動Ambersquid鎖定不尋常的AWS服務下手</a> <a href="https://cert.gov.lk/?p=3362">斯里蘭卡政府電子郵件系統遭勒索軟體攻擊，備份資料也無法倖免</a> <a href="https://www.sentinelone.com/labs/capratube-transparent-tribes-caprarat-mimics-youtube-to-hijack-android-phones/">巴基斯坦駭客APT36假借提供YouTube應用程式攻擊安卓手機</a> <a href="https://learn.microsoft.com/en-us/windows-hardware/drivers/print/end-of-servicing-plan-for-third-party-printer-drivers-on-windows">為強化列印系統安全，微軟將在Windows更新逐步淘汰第三方印表機驅動程式</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158796">【9月18日】開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境</a> <a href="https://www.ithome.com.tw/news/158772">【9月15日】駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體</a> <a href="https://www.ithome.com.tw/news/158747">【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</a> </div></div></div>
2023/9/19 18:49作者周峻佑https://www.ithome.com.tw/news/158816
【資安日報】9月18日，開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客利用開發環境入侵目標組織，發動供應鏈攻擊的情況再度出現，最近資安業者Security Joes揭露的攻擊事件裡，駭客就是鎖定開源物件儲存服務MinIO的已知漏洞而來，對方先是針對工程師下手，說服他們安裝含有弱點的MinIO，從而發動攻擊，這樣的做法相當罕見，使得研究人員呼籲管理者要提高警覺。 由於MinIO往往搭配AWS S3、Google Cloud Storage、Azure Blob Storage等雲端儲存桶運用，使得上述的攻擊手段影響範圍可能相當廣泛。 <h3>【攻擊與威脅】</h3> <a href="https://www.securityjoes.com/post/new-attack-vector-in-the-cloud-attackers-caught-exploiting-object-storage-services">開源物件儲存服務MinIO漏洞被用於攻擊，駭客意圖破壞企業網路環境</a> <a href="https://s4.itho.me/sites/default/files/images/d03b6f_520bb090a26f481fb713a074d.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_520bb090a26f481fb713a074d.png" style="width: 300px; float: right;" /></a>資安業者Security Joes揭露鎖定開源物件儲存服務MinIO的漏洞攻擊，他們看到駭客利用<a href="http://https://blog.min.io/security-advisory-stackedcves/">今年三月修補的已知漏洞CVE-2023-28432、CVE-2023-28434</a>（CVSS風險評分為7.5至8.8）來展開攻擊。 攻擊者先是鎖定DevOps工程師，說服他們部署存在弱點的MinIO，進而植入後門程式Evil MinIO。一旦工程師依照對方指示操作，駭客就有可能在目標組織的MinIO系統上執行一系列的Bash命令，並試圖從外部下載Python指令碼，過程中先是透過CVE-2023-28432遠端存取伺服器的環境變數，例如：MINIO_SECRET_KEY、MINIO_ROOT_PASSWORD，進而讓攻擊者得以利用MinIO用戶端軟體存取此系統的主控臺，並且竄改下載更新的來源，以利推送惡意更新。此外，對方也利用CVE-2023-28434，將原本的.go原始碼置換成帶有惡意內容的版本。 一旦攻擊者替換接收更新的URL，便有機會遠端對目標伺服器下達命令。根據目標電腦的作業系統類型，攻擊者在Linux主機上執行curl或wget，而在Windows主機透過winhttpjs.bat或bitsadmin，下載後續攻擊行動所需的作案工具，這些包含了系統分析指令碼、網路偵察指令碼、建立Windows帳號的指令碼、Ping掃描指令碼，以及類似中國菜刀（China Chopper）的Web Shell後門程式。 <a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-hits-azure-storage-with-sphynx-encryptor/">勒索軟體駭客BlackCat鎖定Azure Storage儲存桶下手</a> 資安業者Sophos在調查攻擊事故當中，發現勒索軟體駭客BlackCat（Alphv）新一波的攻擊行動，駭客先是透過AnyDesk、Splashtop、Atera等遠端桌面管理工具入侵電腦，然後藉由安裝在Chrome瀏覽器上的LastPass擴充套件，盜取動態密碼（OTP），存取目標組織的Sophos Central主控臺，進而竄改防毒軟體的安全策略，並停用防竄改功能，然後使用勒索軟體Sphynx加密受害電腦及Azure雲端儲存桶，所有遭到加密的檔案副檔名都被改為.zk09cvt。 研究人員指出，駭客利用遭竊的Azure金鑰滲透受害組織的Azure入口網站，並使用Base-64編碼加入勒索軟體執行的命令，總共有39個Azure儲存桶帳號受害。 <a href="https://www.bleepingcomputer.com/news/security/orbcomm-ransomware-attack-causes-trucking-fleet-management-outage/">卡車車隊管理服務Orbcomm遭勒索軟體攻擊，司機改用紙本記錄工作狀態</a> 根據資安新聞網站Bleeping Computer的報導，卡車運輸和車隊管理解決方案供應商Orbcomm於9月6日遭遇勒索軟體攻擊，導致旗下解決方案FleetManager及電子記錄裝置（Electronic Logging Device，ELD）Blue Tree受到波及，當日即傳出客戶無法使用上述系統，導致卡車司機必須使用紙本記錄工作內容，美國大型貨運業營運受到衝擊。根據當地法規，卡車司機每30日中只能有8日使用紙本記錄，若是這項服務持續中斷，這些司機恐被迫停駛。 事隔一週，該公司才向媒體坦承發生勒索軟體攻擊的事故，並計畫在9月29日前復原相關系統，並強調這起攻擊事件僅影響FleetManager和Blue Tree，其他系統皆維持正常運作。美國聯邦機動運輸安全局（FMCSA）也證實此事，並指出在該系統恢復正常之前，司機能暫時使用紙本彙整工作日誌，不受法規每月8天的限制。Orbcomm聲稱，他們已在7日晚間透過電子郵件，向所有客戶告知本次勒索軟體攻擊事故。 <a href="https://www.cardx.co.th/news/details/personal-data-protection">泰國數位金融平臺CardX傳出資料外洩</a> 9月15日泰國數位金融平臺CardX發布新聞稿，指出該公司遭遇網路安全事故，導致個人信貸與金卡申請相關的資料外流，這些資料包含了客戶姓名、地址、電話號碼、電子郵件信箱，但不包含財務資訊，同時該公司也強調流出的資料無法被用於金融交易。為防範類似事故再度發生，該公司已強化相關系統，並呼籲用戶留意歹徒可能會將上述外流的資料用於詐騙。 <a href="https://retool.com/blog/mfa-isnt-mfa/">資安業者指控Google Authenticator雙因素驗證碼雲端同步機制恐削弱安全性</a> 9月13日資安業者Retool指出，他們的員工約於8月27日遭到釣魚簡訊攻擊，駭客佯稱是IT人員，聲稱薪資系統無法和剛導入的雲端身分驗證服務Okta同步，要求員工透過信中的連結，前往入口網站完成身分驗證。 結果不幸有人上當，依照指示存取假網站。這名員工依照網站的指示進行雙因素驗證（MFA），結果收到駭客冒充IT人員聲音、以Deepfake合成的語音電話，要求提供Okta的動態密碼（OTP）。駭客取得OTP驗證碼便將自己的裝置登記於這名員工的帳號，並產生攻擊者所需要Token，從而存取該公司的Google Workspace，有機會入侵Retool的內部環境。 該公司指控，這起事故因Google Authenticator預設同步使用者的雙因素驗證碼，而導致駭客能直接藉由這名員工的各種帳號來存取他們公司內部的環境，險些造成嚴重的危害。他們呼籲Google，應重視這種將OTP同步到雲端環境帶來的危機，並採取相關因應措施。 <h3>【漏洞與修補】</h3> <a href="https://www.mandiant.com/resources/blog/arbitrary-file-deletion-vulnerabilities">N-able遠端管理工具存在高風險漏洞，恐被用於刪除端點電腦檔案</a> 資安業者Mandiant的研究人員發現，N-able旗下的遠端管理工具Take Control Agent存在CVE-2023-27470，此種弱點被稱為Time-of-Check to time-of-use（TOCTOU），屬於競爭危害（Race Condition）型態的漏洞，一旦攻擊者成功觸發這項漏洞，就有可能在Windows電腦上刪除任意檔案，CVSS風險評分為8.8，影響7.0.41.1141及之前版本的Take Control Agent，N-able於3月發布7.0.43版予以修補。 研究人員指出，這項弱點存在於此工具的BASupSrvcUpdater.exe處理程序，攻擊者可針對特定的資料夾進行檔案刪除，再透過符號連結（Symbolic link），將另一個檔案指向已刪除的檔案，從而將Take Control Agent的處理程序重新導向系統上的任意檔案，有可能刪除NT AUTHORITY\SYSTEM的資料。此外，若是鎖定Windows安裝程式的復原功能下手，就有可能執行任意的程式碼。 <a href="https://www.microsoft.com/en-us/security/blog/2023/09/14/uncursing-the-ncurses-memory-corruption-vulnerabilities-found-in-library/">程式庫ncurses存在高風險漏洞，影響執行Linux、macOS作業系統的電腦</a> 微軟揭露數個ncurses程式庫的記憶體毀損漏洞，一旦攻擊者加以利用，就有可能在Linux及Mac電腦上執行惡意程式碼。研究人員指出，這些漏洞與環境參數中毒有關，而使得攻擊者能加以串連，進而提升權限，然後在特定應用程式的上下文執行程式碼，或是從事其他惡意行為。 研究人員發現的這組漏洞被登記為CVE-2023-29491，CVSS風險評分為7.8，開發團隊獲報後在今年4月發布新版本予以修補，研究人員也著手與蘋果修復與此漏洞有關的macOS弱點。 <h3>【其他新聞】</h3> <a href="https://www.theregister.com/2023/09/15/ijc_noescape_ransomware/">勒索軟體NoEscape聲稱攻擊美加邊境水務組織</a> <a href="https://www.mandiant.com/resources/blog/unc3944-sms-phishing-sim-swapping-ransomware">駭客組織Scattered Spider擴大攻擊範圍，發動勒索軟體攻擊迫使受害組織付錢</a> <a href="https://thehackernews.com/2023/09/north-koreas-lazarus-group-suspected-in.html">北韓駭客Lazarus從加密貨幣交易所CoinEx竊得3,100萬美元</a> <a href="https://www.netskope.com/blog/new-python-nodestealer-goes-beyond-facebook-credentials-now-stealing-all-browser-cookies-and-login-credentials">駭客使用Python打造竊資軟體NodeStealer，鎖定北美與南歐盜取企業臉書帳號</a> <a href="https://blog.google/outreach-initiatives/education/automatic-update-extension-chromebook/">Google承諾將為Chromebook提供長達10年的安全更新</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158772">【9月15日】駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體</a> <a href="https://www.ithome.com.tw/news/158747">【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</a> <a href="https://www.ithome.com.tw/news/158725">【9月13日】手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清</a> </div></div></div>
2023/9/18 17:36作者周峻佑https://www.ithome.com.tw/news/158796
【資安日報】9月15日，駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 這幾天，與勒索軟體攻擊有關的資安事故占據了不少新聞版面，其中又以美國大型賭場及旅館業者美高梅（MGM Resorts International）遭攻擊的事件受到最多關注，該公司週一（11日）發布公告，這幾天又有新的進展，資安研究機構與廠商表示，攻擊者可能是勒索軟體BlackCat旗下的駭客組織Scattered Spider，而該組織亦傳出對另一家賭場暨旅館業者凱撒娛樂（Caesars Entertainment）下手。 巧合的是，有研究人員揭露利用竊資軟體（Infostealer）對於旅館業者進行的勒索軟體攻擊行動，究竟是否與上述事件有關？有待進一步觀察。 <h3>【攻擊與威脅】</h3> <a href="https://www.ithome.com.tw/news/158768">館集團MGM Resorts傳出遭到勒索軟體BlackCat旗下組織攻擊，VMware虛擬化平臺被加密而停擺</a> <a href="https://s4.itho.me/sites/default/files/images/F6A3D-OXMAAIAyu.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F6A3D-OXMAAIAyu.jpg" style="width: 300px; float: right;" /></a>9月11日<a href="https://www.ithome.com.tw/news/158704#mgm">美高梅國際旅館集團（MGM Resorts International）公告發生網路攻擊事故</a>，旗下旅館與賭場的網站皆停止服務，事隔數日有駭客組織坦承犯行。 根據資安新聞網站Bleeping Computer的報導，資安研究團隊VX-Underground於13日指出，發動攻擊的駭客組織是BlackCat（Alphv），對方從職場社群網站的LinkedIn找到一名員工，打電話給服務臺，不到10分鐘就成功入侵該集團。 資安業者WithSecure研究長Mikko Hypponen透露，BlackCat承認是旗下所屬的駭客團體犯案，並透露該組織於8日滲透美高梅的網路環境，該集團後來察覺駭客潛伏在Okta Agent伺服器並盜取使用者帳密資料，便關閉所有的Okta同步伺服器，但當時這些駭客已取得Okta系統的超級管理員權限、Azure租戶的全域管理權限。美高梅10日封鎖Okta系統的存取，並切斷基礎設施部分關鍵元件的網路。駭客在該集團尋求資安專家協助後，11日對該集團逾100臺VMware ESXi伺服器展開勒索軟體攻擊。 根據路透社、彭博社的報導，發動攻擊的駭客被稱為Scattered Spider（亦稱0ktapus、UNC3944），這些駭客也入侵另一家博奕集團凱撒娛樂（Caesars Entertainment）。 資料來源 1. <a href="https://www.bleepingcomputer.com/news/security/mgm-casinos-esxi-servers-allegedly-encrypted-in-ransomware-attack/">https://www.bleepingcomputer.com/news/security/mgm-casinos-esxi-servers-allegedly-encrypted-in-ransomware-attack/</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/vxunderground/status/1701758864390050145" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" tabindex="0"><span class="link-annotation-unknown-block-id-1955185211" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://twitter.com/vxunderground/status/1701758864390050145</a> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/mikko/status/1702421207738663281" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" tabindex="0"><span class="link-annotation-unknown-block-id-1146313629" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://twitter.com/mikko/status/1702421207738663281</a> 4. <a href="https://www.reuters.com/technology/moodys-says-breach-mgm-is-credit-negative-disruption-lingers-2023-09-13/">https://www.reuters.com/technology/moodys-says-breach-mgm-is-credit-negative-disruption-lingers-2023-09-13/</a> 5. <a href="https://www.bloomberg.com/news/articles/2023-09-13/mgm-caesars-hacked-by-scattered-spider-in-span-of-few-weeks">https://www.bloomberg.com/news/articles/2023-09-13/mgm-caesars-hacked-by-scattered-spider-in-span-of-few-weeks</a> <a href="https://www.ithome.com.tw/news/158767">美國賭場業者Caesars證實遭網路攻擊攻擊，熟客資料庫外洩</a> 繼美高梅國際酒店集團遭到駭客入侵，前身為Eldorado Resorts的美國連鎖賭場凱撒娛樂（Caesars Entertainment）亦傳出資安事故。9月7日凱撒娛樂向美國證券交易所（SEC）提交了8-K表單通報資安事故，表示他們近期察覺IT網路環境出現可疑活動，經調查是IT支援服務業者遭遇社交工程攻擊，駭客存取了會員忠誠計畫的資料庫，內含會員的駕照號碼與社會安全碼等個資，但根據目前的調查結果，尚未出現會員帳密資料或金融資訊被盜的證據。 雖然凱撒娛樂並未透露他們遭到攻擊的類型，但根據當地媒體的報導，該賭場很有可能遭遇勒索軟體攻擊。該集團透過討價還價方式協商，最終支付一半的金額；彭博社指出凱撒娛樂支付超過1千萬美元的贖金，攻擊者的身分為Scattered Spider。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001590895/000119312523235015/d537840d8k.htm" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.sec.gov/ix?doc=/Archives/edgar/data/0001590895/000119312523235015/d537840d8k.htm</a> 2. <a href="https://www.wsj.com/business/hospitality/caesars-paid-ransom-after-suffering-cyberattack-7792c7f0">https://www.wsj.com/business/hospitality/caesars-paid-ransom-after-suffering-cyberattack-7792c7f0</a> 3. <a href="https://www.bloomberg.com/news/articles/2023-09-13/caesars-entertainment-paid-millions-in-ransom-in-recent-attack">https://www.bloomberg.com/news/articles/2023-09-13/caesars-entertainment-paid-millions-in-ransom-in-recent-attack</a> <a href="https://www.gmp.police.uk/news/greater-manchester/news/news/2023/september/greater-manchester-police-statement-on-data-breach/">英國曼徹斯特警局資料外洩，起因是外部供應商遭勒索軟體攻擊</a> 9月14日英國大曼徹斯特警局（GMP）發布公告，指出他們的第三方供應商遭到勒索軟體攻擊，該供應商握有GMP的員工部分資料而可能遭到外洩。GMP認為，上述資料不包括財務資訊，但沒有透露那些類型的資料可能被洩露，也並未透露受影響的人數。 而這並非該國警方近期發生的資料外洩事故，北愛爾蘭警局（PSNI）、倫敦警察廳先後於8月8日與26日，表明因外部供應商遭到網路攻擊而資料外洩。 <a href="https://www.securityweek.com/airbus-launches-investigation-after-hacker-leaks-data/">空中巴士著手調查資料外洩事故</a> 網路威脅情報業者<a href="https://www.hudsonrock.com/blog/an-avoidable-breach-fbi-hacker-leaks-sensitive-airbus-data">Hudson Rock於9月12日指出</a>，駭客組織USDoD在網路犯罪論壇聲稱竊得空中巴士（Airbus）的內部資料，包含3,200名供應商相關人員的資料，包括姓名、職稱、地址、電子郵件信箱、電話號碼。這些駭客竊取資料的管道，是透過土耳其航空員工的帳號來存取空中巴士系統。研究人員指出，這名員工遭遇網路釣魚攻擊，駭客引誘下載.NET Framework惡意版本，然後在電腦上植入竊資軟體RedLine而得逞。 對此，空中巴士證實正在著手調查一起網路攻擊事故，與該公司客戶相關的帳號遭到攻擊，並被用於從空中巴士入口網站下載與業務相關的檔案。 <a href="https://www.trendmicro.com/en_us/research/23/i/redline-vidar-first-abuses-ev-certificates.html">竊資軟體RedLine、Vidar濫用EV憑證，以此對旅館業者發動勒索軟體攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/Fig4-redline-vidar-abuses-ev-cert-shifts-to-ransomware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig4-redline-vidar-abuses-ev-cert-shifts-to-ransomware.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露竊資軟體RedLine、Vidar的新一波攻擊行動，今年初駭客將目標轉向旅館業，利用住宿與健康資訊為幌子，向使用者寄出釣魚郵件，這些郵件的附件檔案通常是可執行檔（EXE），但駭客設置雙重副檔名，讓大部分收信人誤以為開啟的資料是PDF文件或JPG圖檔。一旦收信人執行附件檔案，攻擊者便會利用捷徑檔案（LNK）執行惡意命令，從而繞過防毒軟體的偵測，並從雲端檔案共享服務Google Drive下載惡意酬載。 在其中一起攻擊行動裡，受害者收到假冒旅遊評論網站TripAdvisor的投訴郵件，並在開啟副檔名為.pdf.htm的附件檔案，最終電腦被勒索軟體加密檔案。特別的是，駭客為了迴避偵測，過程裡部署的竊資軟體含有擴充驗證憑證（EV）的簽章。 研究人員指出，由於這類憑證取得難度較一般的程式碼憑證來得高，必須透過實體組織申請，且要搭配硬體Token才能產生對應的私鑰，但究竟駭客如何取得這類憑證？研究人員推測，攻擊者已掌握能存取連線硬體Token的主機。 <a href="https://www.thenewslens.com/article/191786">醫療院所數位支付工具醫指付傳出去年就發現身分驗證缺失，但遲遲未得到處理</a> 本週醫療院所數位支付工具醫指付傳出盜刷事故，但現在有人指控，該支付平臺的身分驗證機制過於鬆散，很有可能就是這起事故的導火線。 根據關鍵評論網的報導，有名從事網站設計的使用者向他們投訴，<a href="https://zeroday.hitcon.org/vulnerability/ZD-2022-00281">去年6月台灣駭客協會（HITCON）漏洞通報平臺ZeroDay揭露醫指付的身分驗證機制極為薄弱</a>，使用者帳號綁定手機，僅提供用戶設定4位數字的密碼，且沒有其他防護措施，或是異地登入的警告機制，使得攻擊者可在用戶不知情的狀況下進行暴力破解，存取用戶及其親友資料，以及信用卡資訊，4月底通報大洸醫院管理顧問公司沒有得到回應，而在6月揭露此事。 對此，大洸醫院管理顧問公司表示，他們在最近兩個月才獲報盜刷情事，並承諾2星期內找出漏洞向社會大眾說明。再者，則是醫指付今年底App將會改版，改採6位密碼，並加上登入成功、失敗的通知。 <h3>【漏洞與修補】</h3> <a href="https://www.akamai.com/blog/security-research/kubernetes-critical-vulnerability-command-injection">Kubernetes漏洞有可能被用於攻擊叢集裡的Windows端點</a> 資安業者Akamai揭露容器與微服務管理系統Kubernetes出現的高風險漏洞，包括CVE-2023-3676、CVE-2023-3955、CVE-2023-3893，這些漏洞與不安全的功能呼叫、缺乏使用者輸入的清理有關，攻擊者若要觸發上述漏洞，可在Kubernetes環境套用惡意的YAML檔案，從而在所有Windows端點以SYSTEM的權限遠端執行任意程式碼（RCE），CVSS風險評分為8.8。 研究人員於7月13日進行通報，Kubernetes開發團隊於8月23日提供修補程式。此外，AWS、Google Cloud、微軟Azure均發布資安通告，指出這些漏洞存在於特定版本的kubelet元件。 <a href="https://orca.security/resources/blog/cross-site-scripting-vulnerabilities-in-apache-services-azure-hd-insight">開放原始碼分析服務Azure HDInsight Analytics存在XSS漏洞</a> 資安業者Ocra Security公布他們向微軟通報的開放原始碼分析服務Azure HDInsight Analytics漏洞細節，這些皆為跨網站指令碼（XSS）漏洞，有6個為儲存型（Stored）XSS、2個為反射型（Reflected）XSS，一旦遭到利用，攻擊者就有可能用來執行未經授權的行為，例如存取資料、挾持連線階段、傳遞惡意酬載。 究竟研究人員發現這些漏洞？起因是他們注意到該系統的Apache Ambari後臺元件存在多個參數，且在預設的情況下能隨意修改，使得研究人員在找出其中一個儲存型XSS漏洞後，很快地於數天裡挖掘其他7個漏洞。微軟接獲通報後，於8月份的例行更新（Patch Tuesday）提供修補程式。 <h3>【其他新聞】</h3> <a href="https://at.govt.nz/bus-train-ferry/service-announcements/at-hop-technical-outage">紐西蘭奧克蘭交通局傳出遭到勒索軟體攻擊，導致付款系統失效</a> <a href="https://aka.ms/peach-sandstorm">伊朗駭客APT33發起密碼潑灑攻擊</a> <a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/09/ongoing-webex-malvertising-drops-batloader">惡意軟體BatLoader透過Google廣告散布</a> <a href="https://thehackernews.com/2023/09/microsoft-uncovers-flaws-in-ncurses.html">程式庫ncurses存在高風險漏洞，影響執行Linux、macOS作業系統的電腦</a> <a href="https://www.ithome.com.tw/news/158751">資安業者JFrog支援機器學習模型管理，強化AI應用開發安全</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158747">【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</a> <a href="https://www.ithome.com.tw/news/158725">【9月13日】手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清</a> <a href="https://www.ithome.com.tw/news/158704">【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</a> </div></div></div>
2023/9/15 17:44作者周峻佑https://www.ithome.com.tw/news/158772
AI趨勢周報第227期：生成速度是Llama 2的15倍，以色列新創開源語言模型DeciLM 6B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0908～0914) DeciLM 6B 語言模型 生成式AI 生成速度是Llama 2的15倍，以色列新創開源語言模型DeciLM 6B 以色列深度學習新創Deci最近開源57億參數語言模型DeciLM 6B，能快速根據文字指令產出回答，如內容和程式碼生成，且生成速度比Meta的70億參數模型Llama 2快上15倍。進一步來說，DeciLM 6B以Transformer解碼器架構為基礎，具分組查詢注意力（GQA）機制，另搭配自家推論SDK：InferyLLM，可降低模型運算成本達80%，使用者能用Nvidia A10等中階GPU來執行模型運算。 不過，DeciLM 6B可處理的Token數量為4,096個，與PaLM 2等大型語言模型的3萬多個Token有所差距。Deci補充，DeciLM 6B的架構，是以自家神經架構搜尋器AutoNAC產生的。此外，Deci同時開源的圖像生成模型DeciDiffusion 1.0，也是由AutoNAC產出，該模型不到一秒就能根據文字指令產生圖像，速度是Stable Diffusion 1.5模型的3倍。<a href="https://deci.ai/blog/decilm-15-times-faster-than-llama2-nas-generated-llm-with-variable-gqa/">（詳全文）</a> <img alt="" src="https://deci.ai/wp-content/uploads/2023/09/DeciLM-6B-Evaluation-Table-1400-%C3%97-900-px.png.webp" /> phi-1.5 生成式AI 微軟 表現勝過Llama 2，微軟開源13億參數模型phi-1.5 繼今年7月發表phi-1後，微軟研究院最近開源新版模型<a href="https://arxiv.org/abs/2309.05463">phi-1.5</a>，在語言理解、常識、邏輯推理等基準測試中，勝過Meta的70億參數開源模型Llama 2。微軟表示，phi-1.5以Transformer架構為基礎，所用的訓練資料與第一代相同，但額外以一個新的合成文本資料集進行增強訓練。 這次的開源模型以研究促進為導向，並未包括指令優化版或人類回饋強化學習（RLHF）版。團隊指出，為確保模型安全，他們並未使用通用的網路爬蟲資料，防止模型接觸潛在有害的內容，進而降低RLHF的需求。微軟也指出，phi-1.5最適合的使用格式包括QA格式、聊天格式和程式碼格式，來進行提示。他們也提醒，phi-1.5通常會在主要答案之後，生成不相關的回答，而且只適合處理標準英語，非正式英語、俚語等用於可能會讓模型產出不正確的答案。<a href="https://huggingface.co/microsoft/phi-1_5">（詳全文）</a> 程式碼 Mojo Python 執行速度達Python 68,000倍的AI語言Mojo可本地下載了 由Swift語言創始人Chris Lattner共同成立的新創公司Modular AI，在5月發布高效能程式語言Mojo引起熱議，現在正式提供Mojo本地端下載，包括編譯器、IDE工具等，目前僅支援Linux，之後會新增對Mac和Windows的支援。 Mojo具備可擴充的程式開發模型，因此能支援GPU和ASIC等加速器，提供與C++和CUDA等硬體溝通語言相當的效能。而且，Mojo可與Python生態系完全互通，在無縫使用Python的函式庫的同時，又可獲得Mojo的功能與效能，像是開發者可將NumPy和Matplotlib函式庫與Mojo程式碼混合使用。另外，Mojo也整合模組化AI引擎，開發者可自定義操作，簡單擴展AI工作負載，執行包括預處理、後處理與高效能數學運算。Modular指出，因為Mojo結合動態和靜態語言的優勢，效能已可達到Python的68,000倍。<a href="https://www.modular.com/blog/mojo-its-finally-here">（詳全文）</a> <img alt="" src="https://assets-global.website-files.com/64174a9fd03969ab5b930a08/64f8bbb424cf49c042319fed_Tf_aqSWFNEZO993md-Yuh7Bs5ZEMglx-kyDaTzq66m1q3W4eGqFtaH6warFjp69XTIk2bvVj-q2caffdimzLZMQkl9gs3_HA5p9uXjd0YfHiZwrJryiYWJGN5QoxnpSgwflRyHOllLZwe0HN7kbSAU8.png" /> Nvidia 推論 函式庫 如何讓LLM推論更快速？Nvidia開源TensorRT-LLM函式庫 最近，Nvidia釋出函式庫TensorRT-LLM，包含TensorRT深度學習編譯器和各種工具，能強化H100 GPU執行語言模型推論的能力。開發者可用這個函式庫來定義、最佳化和執行語言模型，在正式環境加速模型推論。 這個函式庫由Nvidia、Meta、Grammarly和Databricks等公司聯手開發，由TensorRT深度學習編譯器組成，涵蓋最佳化核心、預處理和後處理任務，以及多GPU與多節點通訊功能，開發者不需要深入了解底層硬體溝通語言C++或CUDA，也能高效能執行語言模型。透過開源模組化Python API，TensorRT-LLM提高了易用性和擴展性，還採用了動態批次處理的最佳化調度技術，將模型文字生成過程切分為多次執行，不必等待整批次完成，就能處理下一組請求。這個方法可提高GPU使用效率，在H100 Tensor Core GPU測試中，吞吐量至少增加1倍。而且，H100 GPU吞吐量原本是A100的4倍，但在搭配TensorRT-LLM後，總吞吐量可提高到8倍。<a href="https://developer.nvidia.com/blog/nvidia-tensorrt-llm-supercharges-large-language-model-inference-on-nvidia-h100-gpus/">（詳全文）</a> Google地圖 路線預測 反向強化學習 Google地圖新反向強化學習演算法，更快更準還更容易擴展 Google研究院、Google地圖和DeepMind各單位重新檢視Google地圖路線規畫使用的經典演算法反向強化學習（IRL），提出一種名為RHIP的新IRL演算法，可改善路線建議結果達16％到24％。 Google地圖的路線建議考量各種因素，如抵達時間、通行費、路況和用戶偏好等，來規畫從地點A到地點B的最佳路線。而反向強化學習可從觀察到的連續決策行為，來學習偏好，比如從用戶已走過的路線，來找出驅動用戶在選擇這些路線時心中的獎勵。但這種方法不易擴展到全球規模，為解決問題，Google發展出RHIP方法，透過在靠近當前的位置，或在已知路徑的地方，使用詳細的策略來確定路線，但在較遠的地方，則選擇更簡單且省運算資源的策略，綜合遠近規畫策略，來實現高效準確的導航。 經測試，團隊發現RHIP策略讓汽車與機踏車的全球路線相符比例，分別提高了15.9％和24.1％。這個全球路線相符比例是指用戶實際行駛的路線，符合Google地圖所建議路線的百分比。也就是說，RHIP執行速度更快，結果也更準確，相較傳統IRL難以擴展的問題，RHIP方法更能在超大量狀態、示範軌跡和模型參數上訓練獎勵模型。<a href="https://blog.research.google/2023/09/world-scale-inverse-reinforcement.html">（詳全文）</a> <img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiHUdaeXJURVEV2f--mytRfbx5k3yftkMKBpuu43GKhyMaAa-fJC3O4QfTxZjz3hkGjUsCBiO6LLcYRsGeyrpOgIUzDDPW1lOwlr47YXKSLUwJuXxMELxRV9SKcr4BDoy5_2HzcFZX-Wb7m3PcQhWvx1efvG5gkXG_HfrhqrqfZ_xrNyBmSado-Wf_si3wH/s16000/image3.png" /> 數據中臺 信義房屋 推薦 信義房屋重整上億筆資料，建數據中臺發展AI應用 為應用創新技術，信義房屋成立轉型辦公室，先是盤點40多年來累積的上百億筆數據，包括房地產列表和顧客資料，接著逐步進行資料清理，將上百億筆資料格式統一、建置資料庫，來確保資料易取性和資料品質。接著，團隊採用雲端服務來打造數據中臺，也同步收集新資訊、歸整至資料庫。 同時，信義房屋也開始開發AI工具，如用來幫助房仲精準推薦物件的AI智能配案。這項應用，能根據顧客在官網的操作，來推斷顧客喜好，從上億筆資料中找出最貼近需求的物件，來給房仲參考、推薦給客戶，有別於過去只仰賴實際互動經驗的局限。信義房屋指出，這個應用提高了一線客戶斡要率2倍以上。此外，在數據中臺基礎上，他們也發展了DiNDON智能賞屋、房產e存摺、一站式找房找房貸等數位服務。<a href="https://www.sinyinews.com.tw/dailynews/newsct/11937">（詳全文）</a> 生成式AI 模糊測試 安全測試 生成式AI也能加速安全測試，美新創推可快速生成模糊測試的工具CI Spark 專攻安全測試的新創Code Intelligence最近推出生成式安全測試解決方案CI Spark，運用大型語言模型來辨識軟體攻擊面，還能建議測試程式碼，並自動執行模型生成的模糊測試，是白箱測試的重要一步。 白箱測試是一種重要的軟體測試方法，但Code Intelligence指出，此技術需要專家手動找出進入點並開發測試，過程耗費數天甚至數周。CI Spark就是要縮短這個過程，藉生成式AI對JavaScript/TypeScript、Java和C/C++程式碼訓練，找出適合進行模糊測試的函式，自動生成測試，或改進現有的模糊測試，同時也能利用現有的單元測試，進一步生成高品質測試程式碼。根據官方測試，CI Spark能加速專案建立測試速度15倍，還發現SQL注入、XSS和遠端程式碼等超過50個CVE。<a href="https://www.code-intelligence.com/blog/ci-spark">（詳全文）</a> AIGC 電子書 Amazon Amazon要求作者主動揭露AI生成內容，即便大量編修也算AIGC 近日，Amazon發布出版書更新政策，要求在其平臺上出版的書籍作者，需主動揭露書中包含AI生成的內容，包括文字和圖片。根據Amazon的定義，以AI工具生成的內容（包括文字、圖片和翻譯），就視為AI生成內容，即便事後大量編修，Amazon也認定為AI生成內容。 這項政策主要影響Kindle Direct Publishing（KDP）平臺上出版的書籍，該平臺允許個人作者免費發布電子書、平裝及精裝紙本書。Amazon近日加入的新規定，就要求作者在KDP平臺出版新書，或編輯後重新刊登書籍時，若書中包含AI生成的文字、圖片或翻譯時必須告知Amazon。不過Amazon指出，若作者自行創作內容，再以AI工具編輯、糾錯或以其他方式改進內容，Amazon會定義為「AI輔助」，作者無需告知Amazon。同樣地，在AI工具腦力激盪或提供創意下，作者創作的文字和圖片，也都屬於AI輔助內容。<a href="https://kdp.amazon.com/en_US/help/topic/G200672390#aicontent">（詳全文）</a> 圖片來源／Deci、Modular AI、Google AI近期新聞 1. 微軟聯手生成式AI業者Paige.ai要打造世界最大癌症影像AI 2. OpenAI承認AI偵測器無法分辨學生是否用生成式AI寫作業 3. MLCommons發布AI基準測試新套件，強化模型推論和儲存評估 資料來源：iThome整理，2023年9月 </div></div></div>
2023/9/15 17:28作者王若樸https://www.ithome.com.tw/news/158771
【CXL記憶體互連技術應用第1步】CXL記憶體擴充模組即將大爆發
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1147-feng_mian_-2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 包括CXL在內的記憶體互連技術，實際應用上最基本的兩大訴求，分別是提高伺服器CPU的記憶體資源，以及改善記憶體資源的使用率，對CXL而言，是透過「擴展記憶體」，以及「記憶體池」技術來因應。 而在這2項技術中，擴展記憶體在單機環境便能實現，技術更簡易，應用架構也更為單純，因而發展也更為成熟。相較之下，記憶體池必須仰賴跨伺服器互連，才能實現。 另一方面，在共享記憶體與記憶體池應用環境，擴展記憶體也能派上用場，能為記憶體池提供更多可用的記憶體資源，因而擴展記憶體也能視為CXL應用的起步或初階。 而CXL的擴展記憶體應用，則是透過CXL記憶體擴充模組來實現。 過去2年，有多家廠商發表用於擴展伺服器記憶體的CXL記憶體擴充模組，包括，記憶體大廠如三星、SK Hynix與美光，Astera Labs等新創廠商，同時，還有臺灣的世邁科技（SMART Modular Technologies），將進入實際上市階段。 CXL記憶體擴充模組屬於CXL應用型態的Type 3類型，主要目的是將CXL記憶體擴充模組內含的記憶體資源，提供伺服器CPU使用，也就是由周邊裝置單向提供記憶體資源給CPU。 而伺服器CPU則能藉此擺脫主機板記憶體DIMM插槽的限制，從CXL記憶體擴充卡獲得額外的記憶體頻寬與容量，通常可以額外擴充40、50%以上的記憶體頻寬與容量，效益十分顯著。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-2-600-1.png" style="width: 578px;" /> CXL記憶體擴充模組的2大主流類型 目前的CXL記憶體擴充模組產品有2大主流類型，一為採用E3.S模組規格，另一為基於AIC附加板卡規格。圖片來源／三星、 Astera Labs CXL記憶體擴充產品發展歷程 我們所知最早的CXL記憶體擴充模組產品，是三星2021年5月發表的CXL記憶體擴充模組，當時稱作CXL記憶體擴展器（CXL Memory Expander），採用E3.S外形規格，內含128GB容量的DDR5記憶體。 接著在2021年12月舉行的SC 21大會，出現了一波CXL記憶體擴充卡風潮，當時Meta、三星、中國的晶片設計商Montage Technology（瀾起科技），都展出了CXL記憶體擴充模組產品或解決方案。 作為社群網站龍頭的Meta，以及中國廠商瀾起科技，展出的是PCIe卡版形式的CXL記憶體卡。 Meta採用的CXL記憶體卡內建64GB DDR5記憶體，可在Linux系統環境下，透過CXL 2.0協定連結Intel第四代Xeon Scalable處理器（Sapphire Rapids），將CXL記憶體卡內含的記憶體，映射為伺服器主機CPU可以使用的系統記憶體。 Montage Technology展出POC原型，以 FPGA加速卡打造的CXL記憶體擴充卡，內含16 GB記憶體，可支援CXL.io與CXLmem協定，藉此讓CPU存取擴充卡上的記憶體。 至於三星，展出整合CXL記憶體擴充裝置的SAP HANA記憶體資料庫平臺，可以透過CXL本身提供的擴充記憶體，大幅增加SAP HANA記憶體資料庫可用的記憶體資源，這也是我們所知最早的CXL記憶體擴充應用解決方案展示。 其他廠商多半只是展示伺服器主機可以識別與抓取CXL記憶體擴充裝置上的DRAM容量而已，三星更進一步，將他們的CXL記憶體擴充裝置整合到資料庫應用平臺運作。 到了2020年，又有更多廠商投入這個領域。行動最積極的仍是三星，先是在5月發表升級版的CXL記憶體擴充模組，最大容量提高4倍達到512GB，存取延遲也減少80%。接著在8月的FMS 2022大會，展出兼具NVMe SSD與CXL記憶體擴充模組雙重功能的特殊產品，名為Memory-Semantic SSD。 另一記憶體大廠SK Hynix也在8月，跟進發表了CXL記憶體擴充模組產品，稱作CXL 2.0記憶體裝置（CXL 2.0 Memory），外形採用E3.S規格，每組可提供96 GB記憶體。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SK%20Hynix-PNG.jpg" style="width: 569px;" /> CXL記憶體擴充模組的應用模式 CXL記憶體擴充模組的基本目的，是讓CPU在既有的DIMM之外，獲得額外的記憶體頻寬與容量。以上圖為例，單一CPU原本最多只能配置8個DIMM記憶體通道，而透過CXL技術，則能另外透過PCIe傳輸通道，安裝4組CXL記憶體擴充模組，讓CPU可用的記憶體容量與頻寬大幅增加了50%與40%。圖片來源／SK hynix 同月，矽谷晶片設計商Astera Labs發表2款Leo系列CXL記憶體控制器晶片，搭配該公司Aurora A系列記憶體擴充板卡，上面可搭載最多2TB的DDR5記憶體，以CXL記憶體擴充卡的形式，作為CXL記憶體連接測試平臺。 到了9月，臺灣的世邁科技發表E3.S規格的XMM CXL記憶體模組產品，有64GB與96GB兩種規格，接下來也會推出AIC卡板形式版本。 10月底OCP全球大會SK Hynix展出特別的CXL記憶體衍生產品工程原型——運算型記憶體解決方案（Computational Memory Solution，CMS），這張工程原型的PCIe板卡，搭載了512GB記憶體與可程式化運算單元，不僅可為伺服器提供額外記憶體資源，還能在板卡就近執行資料處理作業，減少資料在CPU與記憶體之間的往返。 緊接著在2022年11月舉行的SC22大會，前述這些CXL記憶體模組產品也展現進一步的應用整合成果。 例如，以色列新創廠商UnifabriX展出2U機箱形式的CXL Smart Memory節點裝置，便可搭配三星或SK Hynix的E3.S規格CXL記憶體模組，是首波應用這類CXL記憶體模組的解決方案之一。 臺灣伺服器廠商雲達科技（QCT）也有展示，他們以QuantaGrid D54Q-2U伺服器，搭配Astera Labs Leo CXL記憶體擴充卡，構成CXL應用展示平臺。 時隔半年多以後，在今年8月舉行的FMS 2023大會中，接續出現一批CXL記憶體產品與應用解決方案。 例如，美光（Micron）展出CZ120 CXL記憶體擴充模組，採用E3.S規格，可提供128GB或256GB容量，成為繼三星與SK Hynix之後，投入這個領域的記憶體大廠。 而三星則以他們的256GB CXL記憶體擴充模組為基礎，與MemVerge、H3 Platform、XConn等廠商合作，推出CXL記憶體系統。 CXL記憶體擴充模組的基本型態 CXL記憶體擴充模組的組成，包括CXL控制器晶片，加上DRAM記憶體晶片，裡面的DRAM記憶體經由CXL控制器晶片的中介，經由PCIe介面與伺服器CPU連結。 截至目前為止，總共有7家廠商都曾發表或展出CXL記憶體擴充模組，其中的Montage Technology與Meta，展出的產品都是內部開發測試用的工程原型，應該沒有對外銷售的打算；Astera Labs的CXL記憶體擴充卡，應該是提供其他廠商構建開發測試平臺之用，主要銷售對象並非一般用戶；至於三星、SK Hynix、美光與世邁科技的產品，則是面向一般用戶的產品。 這些產品都採用一致的型態，待配套環境成熟、相容性問題解決後，理論上便能成為通用、可互換的規格，便於用戶視需要選購CXL記憶體擴充模組，以便在自身使用的伺服器搭配。 接下來我們便從外型、容量與效能規格，來檢視這些第一代的CXL記憶體擴充模組產品。 外型規格 目前的CXL記憶體擴充模組，基本上都是採用2種外型規格，如果不是基於EDSFF E3.S模組型式，就是AIC（Add-In Card）附加板卡形式。 不同的外形規格會影響安裝部署方式，E3.S模組的CXL記憶體擴充模組，和E3.S規格的SSD一樣，可安裝在伺服器磁碟槽使用。AIC板卡的產品，則是同於一般PCIe卡，安裝在伺服器的PCIe擴充插槽。 記憶體型式與容量 目前已發表的CXL記憶體擴充模組產品，全都是搭載DDR5記憶體，容量最小從64 GB起跳，最大可達2 TB。 基於E3.S規格的產品，是直接將DRAM記憶體晶片嵌在模組的機板上。而採用AIC附加板卡的產品，則是在板卡配置DIMM插槽，然後將記憶體DIMM模組裝到插槽上。 一般來說，採用AIC板卡的產品，可以憑藉本身有較大尺寸的空間，而設置、提供更大的記憶體容量，不過這也要視廠商採用的記憶體顆粒容量而定。 目前採用E3.S規格的產品中，容量最大的是三星的CXL記憶體擴充模組，最大容量達512 GB。AIC板卡規格的產品則能提供更大的記憶體容量，如Astera Labs的Aurora記憶體擴充板卡，可安裝最多2 TB DDR5記憶體。 傳輸介面 CXL協定是嫁接在PCIe 5.0/6.0的物理層的介面之上，目前的CXL記憶體擴充模組中，採用E3.S規格的產品，底層傳輸介面規格都是基於PCIe 5.0×8，而採用AIC附加板卡規格的產品，則有基於PCIe 5.0×16介面的案例，可提供更高的傳輸頻寬。 效能表現 CXL記憶體擴充模組的基本目的，讓伺服器突破既有DIMM插槽的限制，提高CPU的記憶體容量與傳輸頻寬。 而在具體的數值規格方面，依不同廠商的產品與計算方式，安裝在伺服器上的CXL記憶體，能為伺服器每顆CPU提供的容量與頻寬增長比例，從20%到1倍都有。 目前，我們看到SK Hynix特別列出了具體的計算方式。 舉例來說，在目前的伺服器產品Z，每顆x86處理器最多配置8個DDR5記憶體通道，以及768 GB DRAM記憶體（8條96GB模組），記憶體傳輸頻寬介於260至320 GB/s。透過PCIe插槽安裝4組SK Hynix的CXL 2.0記憶體模組後，每個記憶體模組可提供96 GB記憶體，以及30至40 GB/s記憶體頻寬。因此，CPU配置的記憶體最大容量，可提高到1.15 TB（原有的768 GB記憶體，加上4組CXL記憶體擴充模組合計的384 GB），較原本提高將近50%，記憶體傳輸頻寬也提高到360至480GB/s，比起原本的組態提升了40％，效能增長的幅度可說十分顯著。 相較於透過DIMM直連CPU的基本系統記憶體，CXL記憶體擴充模組是透過PCIe匯流排介面來連結CPU，因此，在效能與延遲方面面臨的折損，自然會讓用戶產生一些疑慮。 不過，根據QCT在SC22大會展示內容，以伺服器搭配Astera Labs Leo CXL記憶體擴充卡所作的實測顯示，CXL擴充記憶體的效能，可以達到DIMM系統記憶體的95%左右；而在存取延遲方面，則與跨UPI/QPI通道存取另一處理器插槽所屬DIMM的延遲相當。 也就是說，就單機系統的環境來說，儘管CXL記憶體擴充模組的效能比不上DIMM記憶體，但差距很小，在多數應用都不致成為問題。 <a href="https://www.ithome.com.tw/article/158732" target="_blank"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1147-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=30qUWokT" style="width: 550px;" /></a> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cxl">CXL</a></div><div class="field-item odd"><a href="/tags/cxl%E8%A8%98%E6%86%B6%E9%AB%94%E6%93%B4%E5%85%85%E6%A8%A1%E7%B5%84">CXL記憶體擴充模組</a></div></div></div>
2023/9/15 12:00作者張明德https://www.ithome.com.tw/tech/158722
【實現跨伺服器的記憶體資源按需共享】CXL記憶體應用的終極目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1147-feng_mian_-3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> Elastics.cloud </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 將多臺伺服器的記憶體連結起來，組成「網路化」的記憶體池，實現跨伺服器的記憶體資源共享，是CXL這類記憶體互連技術的最終目標，藉此可在多臺伺服器之間動態、按需分配記憶體資源，一舉解決伺服器記憶體資源受限，以及記憶體資源利用率等2大問題。 除此之外，透過記憶體池的匯集，還能建構出超大規模的記憶體空間，達到數百TB、甚至PB等級的容量，進而極大幅度地減少資料移動需求，需要處理的資料能夠一直留在記憶體中，實現完全的In-Memory運算作業，顯著提高運算效能。 不過，在實作與部署方面，比起透過最基本的CXL 1.1協定，在單機環境就能實現的記憶體共用與記憶體擴展，若要做到跨多臺伺服器運作的記憶體池，架構相對複雜許多，需要使用更高階的CXL 2.0或CXL 3.0協定，並結合更多的軟硬體控制元件，來建構與管理記憶體池，包括CXL控制器，CXL交換器，以及管理記憶體池的記憶體管理軟體等。 在這些元件中，CXL控制器負責運行CXL協定，管理CXL周邊裝置DRAM記憶體與PCIe介面的連接，以及存取與資料傳輸；CXL交換器提供多個CPU主機與CXL記憶體周邊裝置的互連與管理；記憶體管理軟體則提供記憶體池的管理與配置功能，用於整合與分層管理記憶體池內具備不同延遲與效能的記憶體，動態向用戶端伺服器配置記憶體資源，且提供資料保護。 所以，CXL記憶體池不是只靠單一元件或產品就能實現的應用，而必須借助包含多種元件與產品構成的解決方案來實現。 因而比起已經趨於成熟，即將達到商品化上市階段的CXL記憶體擴充模組產品，CXL記憶體池的解決方案，發展進度相對較慢，目前仍在開發與驗證階段。儘管如此，迄今仍出現幾種頗具吸引力的CXL記憶體池解決方案。 第1波登場的CXL記憶體池方案 2021年12月舉行的SC 21大會，出現了第一批CXL記憶體池解決方案。 首先，是專攻CXL互連技術應用的矽谷新創廠商Elastics.cloud，發表基於該公司專屬FPGA加速卡的CXL解決方案。這款產品內含32GB記憶體，安裝在伺服器PCIe擴充槽，主機CPU可透過CXL存取FPGA卡上的記憶體，構成CXL Type 3類型的當CXL記憶體擴充模組使用。 安裝這種FPGA卡的伺服器，也能透過100GbE網路彼此互連，存取另一臺伺服器上的FPGA卡記憶體，等同於是跨伺服器組成記憶體池。 Elastics.cloud宣稱他們是第1家實際展示CXL記憶體池概念驗證的廠商，初始POC組態只包含2臺伺服器，都安裝了FPGA卡，並透過DAC銅纜直接互連。該公司規劃中的完整的POC組態則包括4臺伺服器，並透過交換器互連，構成更大規模的CXL記憶體池。 另一家先行廠商IntelliProp，則發表基於CXL Fabric Adaptor網路卡橋接（Bridge）解決方案，該公司在簡報提及的CXL記憶體池驗證環境，組成的架構，包含：IntelliProp專屬Sphnix CXL HBA卡、獨立的ZMM網路附加記憶體（Fabric Attached memory）裝置，連接網路附加記憶體的媒體盒交換器（Media Box），串聯媒體盒與主機的分散式交換器，再加上Arm處理器主機。 在IntelliProp的架構下，可以將ZMM網路附加記憶體的DRAM，經由Sphnix CX HBA卡與交換器的介接，構成網路化的共享記憶體池，並配置給Arm主機使用，藉由媒體盒與分散式交換器構成的雙層交換連接架構，將能組成規模龐大的CXL記憶體池，並可透過IntelliProp的Fabric Manager軟體，來管理整個環境的網路連接。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-3-600-1%20(2).png" style="width: 600px;" /> 早期的CXL記憶體池實際公開展示 Elastics.cloud在SC21大會中進行的CXL記憶體池展示，是這類解決方案最早的公開概念驗證之一。初始POC組態只用2臺伺服器，左邊是應用程式伺服器，右邊是記憶體池伺服器，都安裝Elastics.cloud專屬的FPGA CXL控制卡，透過100GbE DAC銅纜直連，實作跨伺服器的記憶體存取。完整的POC組態則會使用4臺伺服器，並透過交換器互連，組成更大規模的記憶體池應用架構。圖片來源／Elastics.cloud 第2波亮相的CXL記憶體池方案 2021年底出現的第1波CXL記憶體池解決方案，仍屬於概念驗證原型階段，距離能夠因應用戶需求的產品仍有一段差距。 時隔一年後，在2022年中到2023年中出現的第2波CXL記憶體池解決方案，不僅更成熟，更接近商品化階段，也有更豐富的應用形態。 首先是Liqid這家「可組合式系統」（Composable Systems）廠商，在其組合式基礎架構平臺中，納入CXL記憶體池的支援。 所謂的可組合式系統，是徹底解構伺服器的CPU、GPU、FPGA、DRAM、SSD、網路等核心與周邊資源，然後，由Liqid的Matrix 可組合式非聚合基礎架構（Composable disaggregated infrastructure，CDI）平臺軟體，以軟體定義的方式，透過PCIe交換器，重新將這些資源組成動態的虛擬伺服器。除了Liqid自身外，Dell也將該公司的技術引進MX700組合式伺服器系統，迄今這個平臺已累積至少3、4年的應用實績。 在CXL出現前，Liqid便自行發展記憶體池技術，可將DRAM與DIMM型態的Optane記憶體組成記憶體池，為組合式基礎架構提供靈活配置的記憶體資源。不過Liqid平臺核心的連結與傳輸架構，原本採用基於PCIe 4.0的交換器，後來基於PCIe 5.0的CXL問世後，Liqid也轉而支援這項通用標準，先在2022年5月的Dell Technologies World 2022大會期間，與Dell合作展出基於CXL的組合式記憶體池概念，又在2022年底與CXL硬體廠商Intelliprop合作進行公開展示。 另一家崛起的業者，是成立於2020年的以色列新創公司UnifabriX，可說是跟著CXL一起誕生的廠商，他們在2022年底的SC22大會中，展出的CXL Smart Memory節點裝置，號稱是第1個支援CXL 3.0的記憶體池解決方案。 CXL Smart Memory節點是一臺2U機架式伺服器裝置（該公司表示也有4U規格），核心是基於Intel Agilex FPGA打造的資源處理單元（Resource Processing Unit，RPU），機箱前端有10個EDSFF插槽，可安裝E3.S規格的CXL記憶體模組，機箱的後端則有2個400GbE埠，以及10個該公司專門發展的PCIe 5.0傳輸埠。 這臺節點提供32TB，甚至128TB的大記憶體資源，作為其他伺服器使用的記憶體池，用戶端伺服器可透過專屬PCIe 5.0纜線，連結CXL Smart Memory節點，並透過UnifabriX的管理軟體，向用戶端伺服器配置記憶體資源。多臺CXL Smart Memory節點間也能彼此互連，組成更大規模的記憶體池 接下來是成立於2020年的Enfabrica，在今年3月發表稱作Server Fabric Adapter（SFA）的PCIe/CXL交換器晶片，並以SFA晶片為核心，打造了模組化、可組合式的運算平臺，稱作加速運算網路（Accelerated Compute Fabric，ACF），以此提供運算、記憶體與網路資源的任意分解與組合能力，藉由PCIe/CXL介面，不僅記憶體資源能夠跨伺服器互連、形成共用資源，連CPU、GPU與網路資源都可以「資源池化」，概念與Liqid的可組合式基礎架構相似，但比起已有多年產品實際使用實績的Liqid，Enfabrica的ACF平臺相對仍在初期發展階段。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-3-600-4.png" style="width: 374px;" /> 可組合式架構下的記憶體池 Enfabrica以其專屬的SFA PCIe/CXL交換器為核心，打造可組合式運算平臺ACF，不僅能提供資源池型式的記憶體，包括CPU、GPU與網路，也都能分別構成資源池，藉此提供運算、記憶體與網路資源的任意分解與組合能力。圖片來源／Enfabrica 今年5月，SK Hynix與記憶體管理軟體廠商MemVerge展開合作，打造CXL記憶體池平臺，當時是在Project Endless Memory計畫的框架之下進行，以SK Hynix的Niagara記憶體池硬體，結合MemVerge的軟體。SK Hynix目前未公布這套平臺的細節規格，只提到可透過MemVerge軟體的彈性記憶體服務，動態在多臺伺服器間配置CXL記憶體資源。 接下來在2023年8月舉行的FMS 2023大會，又出現2個新的CXL記憶體池解決方案。 首先是三星、H3 Platform、MemVerge、XConn等廠商合作，共同展出2TB容量的CXL記憶體池解決方案，在1臺H3 Platform的2U伺服器上，安裝8組三星的256GB CXL記憶體擴充卡，可透過CDFP纜線，經由以XConn XC50256 CXL 2.0交換器晶片為核心的網路交換單元，連接8臺前端主機，並用MemVerge的Memory Machine X軟體，將這個2 TB記憶體池動態配置給這8臺主機使用。整體概念與SK Hynix的Project Endless Memory相同，也同樣都採用MemVerge的記憶體池管理軟體。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-3-600-3.png" style="width: 600px;" /> 三星/MemVerge的CXL記憶體池方案 記憶體大廠三星與MemVerge等廠商合作，在FMS 2023大會展出2TB容量的CXL記憶體池。他們在H3 Platform的2U伺服器上安裝8組CXL記憶體模組，組成共享記憶體池，再利用XConn CXL 2.0交換器連結8臺前端主機，可利用MemVerge的記憶體管理軟體在8臺主機間動態第共享記憶體池資源。圖片來源／三星 另一家韓國廠商Panmnesia在FMS 2023大會期間，展出容量達6TB的CXL記憶體池方案，底層技術是與位於韓國大田的韓國科學技術院（KAIST）合作開發，硬體採用模組化架構，包含2組CPU模組、3組CXL交換器模組，以及6組1TB記憶體DIMM模組，共同組成記憶體資源池。當中配套的軟體是在Linux運行，由CXL驅動程式、VM，以及專門針對CXL調整的應用程式組成。 CXL記憶體池初步的類型區分 檢視了過去兩年半以來出現的CXL記憶體池解決方案後，我們大致可以將這些解決方案區分為下列兩大類型。 首先，是獨立的外部形式CXL記憶體池系統，透過一套外部記憶體池系統為用戶端伺服器提供CXL記憶體資源。目前絕大多數的CXL記憶體池解決方案，都是這種類型，又可細分為2種子類型： 一是由通用伺服器設備搭配專屬CXL控制器卡而成的解決方案，例如，Elastics.cloud就是以專屬CXL控制器卡，將通用伺服器建構為提供記憶體資源的記憶體池伺服器。 另一是專門打造的記憶體池裝置，有些廠商稱為JBOM記憶體機箱，如UnifabriX的CXL Smart Memory節點，SK Hynix的Project Endless Memory，以及三星的記憶體池系統等，都屬於這種類型，有些系統還採用了易於擴充的分散式或模組化架構，例如IntelliProp與Panmnesia的產品。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-3-600-2.png" style="width: 550px;" /> 典型的獨立外部CXL記憶體池裝置 UnifabriX的CXL Smart Memory節點，是典型的獨立外部CXL記憶體池裝置，機箱本身除了有主機板內含的DIMM記憶體，還可透過機箱前方的EDSFF插槽安裝額外的CXL記憶體擴充模組，機箱背面則提供了10組專屬的PCIe 5直連埠，可透過專屬纜線來連結用戶端伺服器，為其提供記憶體資源。CXL Smart Memory節點之間也可彼此互連，擴大記憶體池規模。圖片來源／UnifabriX 第2個類型是Liqid與Enfabrica，在更大的「可組合式基礎架構」框架下，去運用CXL記憶體池，在這個框架下，不僅記憶體被「資源池化」，包括CPU、GPU等運算資源，以及網路資源也都被「資源池化」，架構的規模已經超過CXL的範圍。 <a href="https://www.ithome.com.tw/article/158732" target="_blank"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1147-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=30qUWokT" style="width: 550px;" /></a> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cxl">CXL</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E6%B1%A0">記憶體池</a></div></div></div>
2023/9/15 12:00作者張明德https://www.ithome.com.tw/tech/158730
【資安日報】9月13日，手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 這幾天國內有兩起資安事故引起各界關注，其中一項是與許多民眾看醫生有關的行動支付App「醫指付」有關，傳出有不少用戶反映他們綁定的信用卡出現盜刷的情況，對此，大洸醫學管理顧問公司發出聲明初步解釋事故經過與目前的處置作法，金管會也提出因應之道，然而，究竟使用者的信用卡資料從何流出？仍有待進一步調查。 另一起事故則是發生在臺中、彰化的肉品市場，他們都在11日疑似遭遇勒索軟體攻擊，而影響營運流程，目前推測可能是遭到相同的駭客組織發動攻擊。 <h3>【攻擊與威脅】</h3> 手機醫療費用支付App醫指付個資外洩，傳出用戶信用卡遭盜刷 <a href="https://s4.itho.me/sites/default/files/images/375970638_706699531499856_5012551876503328731_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/375970638_706699531499856_5012551876503328731_n.jpg" style="width: 300px; float: right;" /></a>根據TVBS新聞網、自由時報等多家媒體的報導，由大洸醫學管理顧問公司經營、與臺灣135家醫療院所及30家銀行合作的行動支付工具「醫指付」，傳出使用者綁定的的信用卡遭到盜刷。 對此，大洸醫學管理顧問公司發出聲明，表示他們已經啟動資安應對機制，暫停海外付款，委由資安鑑識機構調查，釐清盜刷事件發生的原因。為強化運作效能及資安機制，該公司亦委託宏科公司建置新版醫指付系統，預計年底上線。 金融監督管理委員會表示，他們已請財金公司協助釐清資安漏洞並做補強。金管會銀行局副局長林志吉表示，由於遭盜刷持卡人，並不限於特定銀行用戶，推測資料外洩源頭並非銀行端。此外，部分發卡機構已啟動自主加強監控，例如：採取灰名單管理。銀行局指出，如果卡友遭盜刷，可向往來銀行申請將款項列為爭議帳款處理。 資料來源 1. <a href="https://news.tvbs.com.tw/life/2238572">https://news.tvbs.com.tw/life/2238572</a> 2. <a href="https://ec.ltn.com.tw/article/breakingnews/4426459">https://ec.ltn.com.tw/article/breakingnews/4426459</a> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.facebook.com/ehealthpay/posts/pfbid0UReS7hSi7kdDsWHZQLXQ6FPPf6aPCorYQuLVyRFZcL6HCR8NmJyfbLyBi6dHBNZcl" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.facebook.com/ehealthpay/posts/pfbid0UReS7hSi7kdDsWHZQLXQ6FPPf6aPCorYQuLVyRFZcL6HCR8NmJyfbLyBi6dHBNZcl</a> 彰化、臺中肉品拍賣市場疑遭勒索軟體攻擊 根據中央社、自由時報等媒體報導，彰化肉品市場、臺中市大安肉品市場電腦拍賣系統11日遭到駭客入侵，彰化肉品市場超過1千頭豬隻無法拍賣而被迫休市，導致零售市場無法販賣豬肉，12日已恢復正常，而臺中市大安肉品市場被迫延後進行拍賣作業。 彰化縣肉品市場公司董事長洪榮章向中央社提出說明，該公司員工於11日上午發現電腦拍賣系統無法使用，沒多久就收到駭客寄來的勒索信，市場決定暫停拍賣，也請負責的電腦公司派員維修，直到12日凌晨才排除異常。肉品市場已研擬針對豬農、中盤商損失進行賠償，也向彰化縣警察局溪湖分局報案，並尋求中研院及電腦公司協助，找出拍賣系統程式漏洞，以防類似事件再度發生，同時，該公司亦將建立處理此類事件的標準作業流程。 無獨有偶，臺中市大安肉品市場也於同日電腦遭到駭客入侵，他們在早上8點開機發現電腦系統無法運作，經資訊廠商搶修，拍賣延後5個多小時才進行作業。他們與彰化肉品市場進行了解，懷疑是相同的犯罪集團所為。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cna.com.tw/news/aloc/202309120284.aspx" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.cna.com.tw/news/aloc/202309120284.aspx</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://news.ltn.com.tw/news/Changhua/breakingnews/4426063" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://news.ltn.com.tw/news/Changhua/breakingnews/4426063</a> <a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/09/atomic-macos-stealer-delivered-via-malvertising">惡意廣告鎖定Mac電腦，散布竊資軟體Atomic Stealer</a> <a href="https://s4.itho.me/sites/default/files/images/easset_upload_file98620_280622_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file98620_280622_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露針對Mac電腦而來的竊資軟體Atomic Stealer（亦稱AMOS），駭客假借提供股匯市看盤軟體TradingView的名義進行誘騙，並藉由Google搜尋引擎最佳化（SEO）廣告來散布。在駭客架設的網站上，他們聲稱提供了Windows、macOS、Linux版本的應用程式，macOS版本的安裝程式內含Atomic Stealer，而下載Windows或Linux版安裝檔的網頁連結，則指向一個放置在Discord的安裝檔，若是開啟，電腦就可能會被植入木馬程式NetSupport RAT。 一旦Mac電腦的使用者依照指示下載、執行，駭客就會繞過作業系統的防護機制GateKeeper，並竊取電腦上的密碼、自動填寫的資料、使用者資訊、Cookie、數位錢包，以及「鑰匙圈存取（Keychain）」儲存的帳密資訊。 <a href="http://www.sentinelone.com/blog/macos-metastealer-new-family-of-obfuscated-go-infostealers-spread-in-targeted-attacks/">惡意軟體MetaStealer鎖定Intel處理器的Mac電腦而來</a> <a href="https://s4.itho.me/sites/default/files/images/metastealer_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/metastealer_1.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露竊資軟體MetaStealer的攻擊行動，該惡意程式針對Intel處理器的Mac電腦而來。研究人員先是看到有人在惡意軟體分析平臺VirusTotal上傳檔案，而開始追蹤此事。 這名上傳檔案的使用者在VirusTotal的說明欄表示，駭客佯稱是有設計需求的客戶，接洽過程未察覺異狀，直到對方傳送了受到密碼保護的ZIP壓縮檔，當中含有DMG映象檔，一旦開啟，就會顯示要在電腦部署帶有PDF文件圖示的應用程式。所幸這名使用者覺得受騙，並未真的安裝此「應用程式」。 研究人員取得相關檔案進行分析，發現駭客假借提供Adobe的軟體，或是以客戶的作品的名稱製作DMG檔案，挾帶MetaStealer。此惡意程式以Go語言開發而成，一旦於目標電腦執行，就會蒐刮電腦上的系統資訊、密碼、應用程式組態，並透過TCP的3000埠傳送到駭客手上，但駭客的主要目標，其實是針對Telegram和Meta服務的帳號而來。而對於攻擊來源，研究人員發現此竊資軟體與另一款惡意程式Atomic Stealer存在共通點，但經過進一步查核之後，確認兩者來自不同的駭客組織。 <a href="https://www.bleepingcomputer.com/news/security/new-wiki-eve-attack-can-steal-numerical-passwords-over-wifi/">以數字組成的Wi-Fi連線密碼，被找出可能的破解方式，研究人員揭露WiKI-Eve攻擊手法</a> 來自中國、新加坡的研究人員揭露新型態的攻擊手法WiKI-Eve，這項手法利用2013年IEEE 802.11ac（Wi-Fi 5）引入的波束形成回應資訊（Beamforming Feedback Information，BFI），此機制讓設備向路由器發送位置資訊，以便路由器能更精準發送訊號，但其資訊交換過程含有明文資料，而可能遭到濫用。 在這項攻擊手法裡，主要是在使用者輸入密碼的過程攔截Wi-Fi訊號，研究人員事先透過網路流量的監控，得知設備的網路資訊（如MAC位址）來識別目標，然後透過Wireshark等流量監控工具，收集使用者輸入密碼過程的BFI訊號資料。 由於使用者輸入密碼的字元可能影響Wi-Fi天線後續頻道的運作，使得研究人員能推測使用者輸入的數字密碼，單一數字的準確率達到九成，破解由6個數字組成的密碼準確率為八成五。雖然這項攻擊手法是針對由數字組成的密碼而來，但根據密碼管理解決方案NordPass的調查，最常見的20組懶人密碼就有16組由數字組成，也意味著此類密碼安全性面臨重大危機。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://arxiv.org/pdf/2309.03492.pdf" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://arxiv.org/pdf/2309.03492.pdf</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://nordpass.com/most-common-passwords-list/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://nordpass.com/most-common-passwords-list/</a> <h3>【漏洞與修補】</h3> 微軟發布9月例行更新，修補2個零時差漏洞 9月12日微軟發布本月份的例行更新（Patch Tuesday），總共修補59個漏洞，當中有3個安全功能繞過漏洞、24個遠端執行任意程式碼（RCE）漏洞、9個資訊洩露漏洞、3個阻斷服務（DoS）漏洞、5個Edge瀏覽器漏洞，以及5個可被用於詐欺攻擊的漏洞。 其中，有2個漏洞CVE-2023-36802、CVE-2023-36761，是已出現攻擊行動的零時差漏洞。CVE-2023-36802為本機權限提升漏洞，出現於Windows的串流服務代理伺服器元件，攻擊者若是成功利用漏洞，可取得SYSTEM權限，CVSS風險評分為7.8。 另一個遭到利用的零時差漏洞CVE-2023-36761，存在於Word應用程式，為資訊洩漏漏洞，攻擊者有可能藉此盜取NTLM雜湊值，CVSS風險評分為6.2。漏洞懸賞專案Zero Day Initiative（ZDI）指出，由於CVE-2023-36761有可能透過預覽視窗觸發，代表利用此漏洞的過程無須與使用者進行互動，他們認為IT人員應優先處理這項漏洞。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2023-patch-tuesday-fixes-2-zero-days-59-flaws/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2023-patch-tuesday-fixes-2-zero-days-59-flaws/</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.zerodayinitiative.com/blog/2023/9/12/the-september-2023-security-update-review" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.zerodayinitiative.com/blog/2023/9/12/the-september-2023-security-update-review</a> <a href="https://www.bleepingcomputer.com/news/security/adobe-warns-of-critical-acrobat-and-reader-zero-day-exploited-in-attacks/">Adobe旗下的PDF編輯工具與檢視器存在零時差漏洞，已被用於攻擊行動</a> 9月12日Adobe發布3則資安通告，修補旗下的PDF編輯工具Acrobat、PDF文件閱讀程式Acrobat Reader，以及視訊會議系統Adobe Connect、內容管理系統Experience Manager。 其中最值得留意的是重大等級的<a href="https://helpx.adobe.com/security/products/acrobat/apsb23-34.html">CVE-2023-26369</a>，此為越界寫入漏洞（OBW），影響Windows與macOS版的Acrobat、Acrobat Reader，CVSS風險評分為7.8，攻擊者一旦成功利用漏洞，就有機會執行任意程式碼。該公司將其列為優先修補層級最高的漏洞，並指出已被用於攻擊行動。 <a href="https://www.bleepingcomputer.com/news/security/mozilla-patches-firefox-thunderbird-against-zero-day-exploited-in-attacks/">Mozilla發布Firefox、Thunderbird更新，修補已出現攻擊行動的零時差漏洞</a> 9月12日Mozilla基金會推出Firefox 117.0.1、Firefox ESR 115.2.1及102.15.1、Thunderbird 115.2.2及102.15.1更新，目的是修補由蘋果安全工程架構團隊（SEAR）與加拿大公民實驗室通報的零時差漏洞CVE-2023-4863，此為記憶體緩衝區溢位漏洞，存在於WebP程式庫元件libwebp，攻擊者可引誘使用者開啟惡意WebP圖檔來觸發漏洞。該基金會指出，已有其他存在相同漏洞軟體遭到攻擊。 值得留意的是，Firefox、Thuderbird並非唯二受到此漏洞影響的上網應用程式，Google於11日發布電腦版Chrome 116.0.5845.187、116.0.5845.188更新，目的就是修補這項已被用於攻擊行動的漏洞。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/</a> 2. <a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html">https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html</a> <a href="https://www.securityweek.com/ics-patch-tuesday-critical-codemeter-vulnerability-impacts-several-siemens-products/">西門子多項工控設備受到CodeMeter元件重大漏洞影響</a> 西門子與施耐德電機發布9月份例行更新，本次西門子發布7則新的資安通告，涵蓋45個漏洞，施耐德電機發布1則新的資安通告。 其中，本次西門子公告的漏洞裡，最值得留意的是重大漏洞CVE-2023-3935，該漏洞存在於Wibu-Systems的軟體授權與防護元件CodeMeter，影響西門子旗下PSS、SIMATIC、SIMIT、SINEC、SINEMA多項工控解決方案，CVSS風險評分達9.0。該公司指出，假若組織將CodeMeter Runtime設置為伺服器，攻擊者可在未經身分驗證的情況下遠端執行任意程式碼（RCE）；若是組織將該元件設置為用戶端模式，攻擊者可在通過身分驗證的情況下，有機會將權限提升為root。 施耐德電機本次針對互動式圖形化SCADA系統（IGSS）修補高風險CVE-2023-4516，此為缺乏身分驗證的弱點，本機攻擊者能竄改系統的更新來源，進而派送含有惡意內容的更新檔案，而有可能讓攻擊者遠端執行任意程式碼，CVSS風險評分為7.8。 <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/ragnar-locker-claims-attack-on-israels-mayanei-hayeshua-hospital/">勒索軟體Ragnar Locker聲稱攻擊以色列醫療中心Mayanei Hayeshua</a> <a href="https://www.bleepingcomputer.com/news/security/apple-backports-blastpass-zero-day-fix-to-older-iphones/">蘋果發布iOS 15.7.9、iPadOS 15.7.9、macOS Monterey 12.6.9、macOS Big Sur 11.7.10，修補零點擊漏洞Blastpass</a> <a href="https://www.zscaler.com/blogs/security-research/technical-analysis-hijackloader">惡意軟體載入工具HijackLoader被用於散布DanaBot、SystemBC、RedLine Stealer</a> <a href="https://www.welivesecurity.com/en/eset-research/sponsor-batch-filed-whiskers-ballistic-bobcats-scan-strike-backdoor/">伊朗駭客TA453對全球34個組織部署後門程式Sponsor</a> <a href="https://blog.google/products/chrome/Google-chrome-new-features-redesign-2023/">Google將提供Chrome更為即時的釣魚網站防護機制</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158704">【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</a> <a href="https://www.ithome.com.tw/news/158685">【9月11日】駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊</a> <a href="https://www.ithome.com.tw/news/158654">【9月8日】網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光</a> </div></div></div>
2023/9/13 18:06作者周峻佑https://www.ithome.com.tw/news/158725
Google緊急修補已被利用的Chrome漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html" target="_blank">Google周一（9/11）緊急更新Windows、Mac及Linux上的Chrome瀏覽器</a>，以修補已遭到駭客利用的CVE-2023-4863安全漏洞，而該漏洞正是由<a href="https://www.ithome.com.tw/news/158648" target="_blank">上周同步發布漏洞訊息的公民實驗室（Citizen Lab）及蘋果工程師</a>所提報。 CVE-2023-4863為一位於WebP的堆積緩衝區溢位漏洞。WebP是Google所開發的點陣圖檔案格式，目的是為了取代JPEG、PNG及GIF等格式，它同時支援破壞性與非破壞性資料壓縮，Google宣稱該格式將可用來建立更小、更豐富且傳輸更快的圖像。 Google僅說已發現針對CVE-2023-4863的攻擊程式，並未揭露漏洞細節。<a href="https://www.cybersecurity-help.cz/vdb/SB2023091178" target="_blank">而Cybersecurity Help則解釋</a>，該漏洞源自於處理WebP圖像時的邊界錯誤，駭客只要誘導受害者造訪一個惡意網站，就能觸發緩衝區溢位，並於受害者系統上執行任意程式。 值得注意的是，此一漏洞影響所有支援WebP圖像處理的瀏覽器。而除了Chrome與基於Chromium的各種瀏覽器（如Microsoft Edge）之外，蘋果的Safari及Mozilla的Firefox也都支援WebP。 Windows版Chrome用戶可更新至116.0.5845.187/.188 ，Mac及Linux版Chrome用戶則可更新至116.0.5845.187來修補該漏洞，Google預計會在未來幾天至幾周的時間，全面部署更新版Chrome至所有系統上。 </div></div></div>
2023/9/13 17:01作者陳曉莉https://www.ithome.com.tw/news/158723
JavaScript執行環境Bun 1.0推出，可達Node.js的5倍速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Bun是一個講求快速JavaScript執行環境與多合一工具包，可用於執行、建置、測試和除錯JavaScript與TypeScript程式，目前Bun釋出<a href="https://bun.sh/blog/bun-v1.0#bun-more-thing">1.0正式版本</a>，已經可以用於生產環境中。 之所以會有Bun的出現，官方提到，Node.js經過14年的發展，導致工具在疊床架屋後變得緩慢且複雜。而Bun的目標就是要在不犧牲JavaScript優點的同時，消除Node.js目前存在的缺點。 Bun的啟動速度是Node.js的4倍，特別是執行需要轉譯的TypeScript，速度更是比Node.js快上一截，而且由於Bun與Node.js高相容性，大多數現有Node.js應用程式和Npm套件可以直接用Bun執行，如此Bun便可以作為替代品，開發者可以更為簡單地將程式從Node.js過渡到Bun。 不同於Node.js使用Google的V8引擎，Bun選擇使用Apple的WebKit引擎，而且Bun內建了JavaScript轉譯器，可以直接執行JavaScript、TypeScript和JSX/TSX檔案，不需要使用外部工具轉換，因此開發者更直接地執行這些程式碼。 而且由於Bun本身是一個多合一工具包，就算開發者不將Bun當作執行環境使用，Bun的套件管理也可以加速工作流程，在套件安裝速度上都遠超過Npm、Yarn和Pnpm（下圖）。目前Bun在macOS和Linux已達生產就緒，官方也開始在Windows提供原生支援，但現在仍處於實驗階段。 <img alt="" src="https://s4.itho.me/sites/default/files/images/266451126-23cbde35-b859-41b5-9480-98b88bf40c44.png" style="width: 580px; height: 286px;" /> 根據Bun官網列出的資料（下圖），Bun在各種工作負載效能表現良好，像是伺服器端渲染React，另一個JavaScript執行環境Deno的速度雖然是Node.js的2倍以上，但Bun在伺服器端渲染React的速度更是Node.js的5倍。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Bun%20%E2%80%94%20A%20fast%20all-in-one%20JavaScript%20runtime%20-%20bun_sh.png" style="width: 580px; height: 388px;" /> 由於<a href="https://www.ithome.com.tw/news/128189">Node.js發展已久存在許多技術債</a>，陸續出現試圖解決Node.js問題與限制的專案，像是Node.js之父Ryan Dahl就另外創建了Deno，實現自己理想中的工具，而Bun也是這樣的嘗試，期望能提供一個更完善快速的JavaScript執行環境。 </div></div></div>
2023/9/13 08:49作者李建興https://www.ithome.com.tw/news/158705
執行速度可達Python 68,000倍的AI語言Mojo開始提供本地端下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 由Swift語言創始人Chris Lattner，所共同創立的新創公司Modular AI，在5月發布高效能Python程式語言Mojo引起熱議，現在官方提供<a href="https://www.modular.com/blog/mojo-its-finally-here">Mojo本地端下載</a>，目前版本僅支援Linux，之後還會新增Mac和Windows支援。Mojo是一個針對人工智慧應用的程式語言，可無縫整合Python程式語言，由於其可擴充的程式開發模型，因此能夠用於支援如GPU等人工智慧加速器。官方提到，因為Mojo結合了動態和靜態語言的優點，<a href="https://www.modular.com/blog/mojo-a-journey-to-68-000x-speedup-over-python-part-3">效能現在已可達到Python的68,000倍</a>。 Python是當前非常受歡迎的程式語言，尤其在人工智慧與資料科學領域，擁有豐富的功能與函式庫，但需要更接近硬體操作或是最大化效能時，開發者通常還是傾向選擇C、C++或CUDA等語言。而官方提到，Mojo結合了Python的易用性和其他系統語言的效能特性，因此Mojo使人工智慧應用從研究到生產的流程更為順暢，研究和部署團隊可以在同一個程式碼庫工作，如此不只簡化人工智慧開發過程，也使開發團隊能更有效地合作。 Mojo能夠在CPU上高效能執行，並支援GPU和ASIC等加速器，提供與C++和CUDA相當的效能，而且Mojo還可與Python生態系完全互通，在無縫使用Python的函式庫的同時，又可獲得Mojo的功能與效能，像是開發者可以將NumPy和Matplotlib函式庫與Mojo程式碼混合使用。另外，Mojo緊密整合模組化人工智慧引擎，開發者可以自定義操作，簡單擴展人工智慧工作負載，執行包括預處理、後處理與高效能數學運算。 Mojo在5月發布之後，已經有12萬開發者註冊使用Mojo Playground，現在官方提供本地下載，開發者將可以完成更多工作，本地下載提供完整Mojo功能，包括編譯器、IDE工具，能夠建置和迭代Mojo應用程式。 Mojo SDK包含了Mojo Driver，讓開發者能夠像在使用Python一樣，在REPL中執行Mojo命令以開始程式開發，而且Mojo還讓開發者可以建置靜態編譯的可執行檔案，因此能夠在沒有相依項目的情況下部署。 官方釋出VS Code擴充套件，提供語法突出顯示、診斷與修復、格式化和程式碼完成等功能，同時Mojo也和Jupyter整合，透過Mojo的Jupyter核心，開發者能夠在Jupyter互動式開發環境執行Mojo。官方預告在之後的版本，還會在VS Code中提供除錯器LLDB命令列介面，提供互動除錯功能，而且Mojo除錯器也將可以無縫除錯Mojo、C和C++混合的程式碼。 </div></div></div>
2023/9/11 08:26作者李建興https://www.ithome.com.tw/news/158653
【資安日報】9月6日，瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 最近幾個月駭客利用瀏覽器來發動攻擊的情況不斷上演，其中最常見的手法，是利用惡意擴充套件來上下其手，但最近有駭客是直接濫用瀏覽器的內建工具來從事攻擊行動。 例如，資安業者Morphisec針對今年年初出現的惡意程式Chaes新版Chae$ 4進行分析，結果發現，駭客盜取資料的管道，竟是直接利用Chrome的內建開發工具（DevTools），並透過其通訊協定來傳輸竊得資料。 <h3>【攻擊與威脅】</h3> <a href="https://blog.morphisec.com/chaes4-new-chaes-malware-variant-targeting-financial-and-logistics-customers">惡意軟體Chaes透過瀏覽器內建開發工具竊取資料</a> <a href="https://s4.itho.me/sites/default/files/images/Chaes-Execution_Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Chaes-Execution_Flow.png" style="width: 300px; float: right;" /></a>資安業者Morphisec揭露自今年1月出現的第4代惡意程式Chaes變種Chae$ 4（亦稱Chae$4），攻擊者針對Mercado Libre、Mercado Pago、Itau Bank、Caixa Bank、MetaMask等多種金融平臺、網頁版WhatsApp、內容管理系統WordPress、Joomla、Drupal、Magento的使用者而來。 駭客以Python重寫此惡意軟體，改良其程式碼架構，並加入多層次加密手法來迴避偵測，也實作WebSockets通訊協定與C2連線，而該惡意軟體取得C2伺服器網址的方式，則是採用了動態網域產生演算法（DGA）。駭客改用Python打造Chae$ 4的主要原因，就是新版惡意軟體能藉此持續運作在記憶體內（In-memory）。 但此惡意程式引起研究人員注意的地方，在於駭客監控受害電腦Chrome瀏覽器的方式，原本他們利用Node.js程式庫Puppeteer，但現在改成透過Chrome內建的開發工具DevTools進行，並利用其通訊協定竊取資料。 中國駭客入侵家用網路設備，以此攻擊德國政府機構 8月30日德國聯邦憲法保護局（BfV）發出警告，中國駭客組織APT15、APT31利用家用的物聯網（IoT）裝置，包含路由器、防火牆、NAS、網路印表機、智慧家電（如窗簾、電燈、暖氣、太陽能設備）的漏洞發動攻擊，成功入侵並進行接管，再將這些裝置用於攻擊政府機關。為了埋藏攻擊來源，駭客使用VPN存取這些受到挾持的連網設備。 德國電視二臺（Zweites Deutsches Fernsehen，ZDF）指出，APT15曾於2年前入侵德國聯邦製圖和土地測量局（BKG）。BfV也表示，駭客偏好家用物聯網裝置的原因，在於這類裝置普遍缺乏安全管理，除了用戶不太會將裡面執行的系統軟體或韌體維護至最新的狀態，甚至有生命週期已經結束（EOL）的裝置仍在運作，就算遭到入侵，使用者也可能不會明顯察覺異狀。基於上述情況，BfV呼籲使用者應儘可能將物聯網裝置的系統平臺維持在最新狀態。 資料來源 1. <a href="https://www.verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2023/2023-08-31-cyber-brief-02-2023.html">https://www.verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2023/2023-08-31-cyber-brief-02-2023.html</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.zdf.de/nachrichten/politik/china-spionage-hacker-deutschland-100.html" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.zdf.de/nachrichten/politik/china-spionage-hacker-deutschland-100.html</a> <a href="https://thehackernews.com/2023/09/vietnamese-cybercriminals-targeting.html">越南駭客透過惡意廣告鎖定臉書企業帳號，散布Ducktail發動攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/DuckTail-Zscaler-0830-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DuckTail-Zscaler-0830-chain.png" style="width: 300px; float: right;" /></a>資安業者Zscaler、WithSecure針對越南駭客發動的惡意軟體DuckTail攻擊提出警告，這些駭客主要透過職場社群網站LinkedIn進行社交工程攻擊，假借提供職缺引誘使用者上當，最終目的是竊取企業組織的臉書帳號，但也有抖音和Google的帳號遭挾持的情況。 Zscaler指出，過程中駭客透過Google翻譯，以英文與求職者交談，在其中一起攻擊行動裡，他們假冒食品公司億滋國際（Mondelez International），並提供此公司的維基百科與臉書粉絲頁的URL，但要求求職者從iCloud下載惡意檔案。另一個攻擊管道，則是假借提供AI生成式工具ChatGPT、Google Bard，市場行銷工具Adplexity、ClickMinded的名義，來散布DuckTail。 WithSecure發現，駭客亦從Ducktail發展出新變種Duckport，對受害組織帶來更大的危害。 資料來源 1. <a href="https://www.zscaler.com/blogs/security-research/look-ducktail">https://www.zscaler.com/blogs/security-research/look-ducktail</a> 2. <a href="https://labs.withsecure.com/publications/meet-the-ducks">https://labs.withsecure.com/publications/meet-the-ducks</a> <a href="https://www.resecurity.com/blog/article/smishing-triad-targeted-usps-and-us-citizens-for-data-theft">釣魚簡訊攻擊Smishing Triad鎖定美國民眾而來</a> <a href="https://s4.itho.me/sites/default/files/images/8a17acbf949936752bf7dbfa44eac810.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/8a17acbf949936752bf7dbfa44eac810.png" style="width: 300px; float: right;" /></a>資安業者Resecurity揭露中國駭客發起的大規模釣魚簡訊攻擊行動Smishing Triad，對方假借英國皇家郵政（Royal Mail）、美國郵政服務（USPS）、紐西蘭郵政服務（NZPOST）、西班牙郵電總局（Correos）、義大利郵政集團（Poste Italiane）、義大利稅務局（Agenzia delle Entrate）的名義，對美國民眾發動攻擊。 攻擊者透過遭駭的iCloud帳號對使用者發送iMessage訊息，聲稱付款失敗，必須進一步採取行動，依照指示線上刷卡，才能確保包裹能寄達目的地。然而一旦照做，對方就會取得使用者的信用卡、借記卡資料。研究人員指出，此攻擊行動有多個駭客組織參與，駭客提供教學影片，指導新進的駭客如何操作。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/asus-routers-vulnerable-to-critical-remote-code-execution-flaws/">華碩家用Wi-Fi路由器出現重大漏洞，若不修補恐被挾持</a> 9月5日臺灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安通告，指出華碩旗下的RT-AX55、RT-AX56U_V2、RT-AC86U路由器存在重大漏洞<a href="https://www.twcert.org.tw/tw/cp-132-7354-4e654-1.html">CVE-2023-39238</a>、<a href="https://www.twcert.org.tw/tw/cp-132-7355-0ce8d-1.html">CVE-2023-39239</a>、<a href="https://www.twcert.org.tw/tw/cp-132-7356-021bf-1.html">CVE-2023-39240</a>，這些漏洞皆與輸入的格式化字串（format string）並未進行適當驗證有關，使得攻擊者在無須取得權限的情況下，能用來遠端執行程式碼（RCE），對設備進行任意操作或是中斷服務（DoS），CVSS風險皆評為9.8分。其中，CVE-2023-39238與CVE-2023-39240存在於iperf相關元件，CVE-2023-39239則是出現在一般功能設定的API裡。 對此，華碩對於RT-AX55、RT-AX56U_V2、RT-AC86U，分別發布了3.0.0.4.386_51948版、3.0.0.4.386_51948版、3.0.0.4.386_51915版韌體予以修補。 <a href="https://www.bleepingcomputer.com/news/security/atlas-vpn-zero-day-vulnerability-leaks-users-real-ip-address/">Atlas VPN零時差漏洞有可能洩露用戶實際IP位址</a> 根據資安新聞網站Bleeping Computer的報導，9月1日有人在社群網站Reddit揭發VPN漏洞，該名網友表示，出問題的是Atlas VPN的Linux用戶端程式1.03版存在零時差漏洞，後續有其他資安專家證實此問題的確存在。 該程式由兩個模組組成，其中一個是管理連線的atlasvpnd，另一個則是讓使用者下達連線命令、指定VPN伺服器的atlasvpn。但這名人士指出，此用戶端程式並非採取透過本地端通道（Local Socket）或者其他的安全機制進行VPN連線，而是在8076埠上開啟API，而且完全沒有身分驗證措施進行檢驗，攻擊者只要在網站上部署惡意JavaScript指令碼，就能發送偽造的請求中斷VPN連線，有機會取得使用者實際的IP位址。他公布了漏洞細節及概念性驗證（PoC）程式碼，並指控通報廠商未果。 上述公布的資料得到Amazon網路安全工程師Chris Partridge驗證，並指出此漏洞能繞過瀏覽器的跨網域資源共享（CORS）防護措施。對此，Atlas於5日向Bleeping Computer提出說明，證實漏洞確實存在，該公司正著手進行修補。 <iframe allowfullscreen="" frameborder="0" height="360" src="https://player.vimeo.com/video/861336492?h=7c52a0d2fc" title="vimeo-player" width="640"></iframe> 資料來源 1. <a href="http://www.reddit.com/r/cybersecurity/comments/167f16e/atlasvpn_linux_client_103_remote_disconnect/">http://www.reddit.com/r/cybersecurity/comments/167f16e/atlasvpn_linux_client_103_remote_disconnect/</a> 2. <a href="https://cybersecurity.theater/@tweedge/110997661135498890">https://cybersecurity.theater/@tweedge/110997661135498890</a> <h3>【其他新聞】</h3> <a href="https://www.theregister.com/2023/09/04/zaun_breach_windows_7/">英國國防部機密資料遭俄羅斯駭客存取，起因是合作廠商遭到入侵</a> <a href="https://asec.ahnlab.com/en/56405/">北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業而來</a> <a href="https://interlab.or.kr/archives/19416">木馬程式SuperBear鎖定韓國社會運動人士下手</a> <a href="https://www.securityjoes.com/post/new-attack-vector-in-the-cloud-attackers-caught-exploiting-object-storage-services">儲存系統MinIO漏洞被用於攻擊，駭客意圖破壞企業網路環境</a> <a href="https://www.group-ib.com/blog/classiscam-2023/">詐騙攻擊行動Classiscam在疫情期間騙得6,450萬美元</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158612">【9月5日】瀏覽器的安全設計不良再加上網站漏洞讓惡意擴充程式有機可乘，挖掘用戶機密資料</a> <a href="https://www.ithome.com.tw/news/158568">【9月4日】 Adobe應用程式開發平臺ColdFusion重大漏洞被用於部署挖礦軟體、後門程式</a> <a href="https://www.ithome.com.tw/news/158551">【9月1日】 AI程式碼編譯網站Sourcegraph證實遭遇網路攻擊，起因是工程師提交程式碼出錯，導致Token外洩而被奪權</a> </div></div></div>
2023/9/6 17:21作者周峻佑https://www.ithome.com.tw/news/158626
Atlas VPN的零時差漏洞可外洩用戶真實IP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 來自美國的VPN服務供應商Atlas VPN上周遭踢爆含有零時差漏洞，將允許駭客取得用戶的真實IP，此一漏洞僅影響Linux版用戶，目前Atlas VPN正著手修補，尚未釋出安全更新。 <a href="https://www.reddit.com/r/cybersecurity/comments/167f16e/atlasvpn_linux_client_103_remote_disconnect/" target="_blank">此一漏洞的曝光源自於一名Reddit用戶的公開貼文</a>，而他似乎是因一直無法聯繫到Atlas VPN的安全團隊才決定昭告天下，根據其描述，AtlasVPN Linux客戶端是由兩個部分所組成，一是用來管理連結的守護進程（atlasvpnd），二則是使用者用來控制連線、斷線及可存取服務的客戶端（atlasvpn）。 不過，客戶端並非透過本地端通道（Local Socket）或任何其它安全方式連結，而是於本地主機的8076埠上開啟一個API，亦無任何的驗證機制，由於在電腦上所執行的任何程式皆可存取該傳輸埠，包括瀏覽器在內，使得駭客只要在網站植入一個惡意的Javascript就能向該埠送出偽造的請求以將該VPN斷線，再發送另一個請求取得Atlas VPN用戶的真實IP。 該名使用者不僅公布了漏洞細節，也提供了概念性驗證攻擊程式，<a href="https://cybersecurity.theater/@tweedge/110997661135498890" target="_blank">另一名安全工程師Chris Partridge則證實</a>了該攻擊程式是可行的。 Atlas VPN提供免費版與付費版的VPN服務，所支援的作業系統涵蓋Windows、macOS、Linux、Android、iOS、Android TV與Amazon Fire TV，但此一安全漏洞僅影響Atlas VPN Linux客戶端1.0.3，這是目前最新的Linux客戶端版本。 Atlas VPN的IT部門終於在3天後回應了該貼文，表示正在修補該漏洞，並將儘速釋出更新版，也已通知所有的Linux用戶。 </div></div></div>
2023/9/6 13:18作者陳曉莉https://www.ithome.com.tw/news/158617
JetBrains預告IntelliJ IDE在Linux上將原生支援Wayland
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> JetBrains<a href="https://blog.jetbrains.com/platform/2023/08/wayland-support/">宣布</a>自家以IntelliJ為基礎，由Java編寫的IDE，將會在Linux中支援Wayland顯示協定，以提供更好的效能以及安全性，而這項工作建立在JetBrains與甲骨文桌面團隊，共同開發的Wayland工具包之上。官方提到，雖然目前Java支援Wayland的工作尚未全部完成，但是部分功能成形，已可在Wayland執行一些Java Swing和AWT應用程式。 Wayland出現的目的便是要取代X Window系統（X11），X11是一個老舊的協定，雖然功能強大，但是其複雜性和一些固有的問題，驅使開發者尋求替代方案。比起X11，Wayland帶來諸多好處，像是Wayland不提供任何繪圖基本元素（Primitive），並將許多工作負載轉移到應用程式中，應用程式會將畫面直接渲染到自己的記憶體快取，並且由Wayland顯示伺服器複製到螢幕上，這種形式更加高效方便，降低顯示延遲。 Wayland也讓應用程式可以增量更新狀態，並且將更新結果作為整體一起提交，避免呈現狀態不一致的UI，而且Wayland採用模組化設計，不同的伺服器可以支援各種協定，因此能夠擴展Wayland功能滿足各式用例。 在未完成支援前，現在所有Java應用程式包括IntelliJ IDE，皆採用一種稱為XWayland的過渡方案，這是在Wayland會話之上執行X11實作以顯示用戶介面，並且擷取滑鼠和鍵盤輸入的方法。官方提到，雖然此方法在大多數的情況下都運作良好，但是在拖放、視窗切換、顯示解析度和彈出選單等方面仍存在問題，且部分問題無法在XWayland框架內解決，同時也沒有太多開發者願意投入資源到老舊的X11技術上。 考量這些問題，JetBrains現在與甲骨文桌面團隊合作，共同開發Wayland工具包，讓Java應用程式原生支援Wayland，不過這卻是一項大工程，開發團隊還需要克服許多問題，像是重寫有關處理圖形、滑鼠游標、按鍵轉換、啟動畫面顯示和輸入法等各種GUI相關的程式碼。之前的X11工具包僅有少部分程式碼可重複使用，絕大部分的程式碼需要重寫。由於Wayland API的行為與Java API不同，因此也需要重新編寫轉換。 現在JetBrains正致力讓IntelliJ IDE完全支援Wayland，Wayland帶來的效能和安全性，讓IntelliJ IDE能夠穩定執行，並且提升回應性。目前Wayland的軟體渲染效能已經與X11工具包相當，剩下的工作就是完成Wayland工具包實作，使得IntelliJ IDE可以在Wayland上原生運作。 </div></div></div>
2023/9/6 09:23作者李建興https://www.ithome.com.tw/news/158614
【資安日報】8月29日，勒索軟體LockBit製作工具外流，不到一年出現近400個變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 惡意昭彰的勒索軟體LockBit 3.0，去年有人將製作工具流出，當時研究人員認為可能會被其他駭客用於大量產生所需的勒索軟體，這樣的情況本週終於得到證實。資安業者卡巴斯基近期透露，他們一共看到396個LockBit變種，並確認至少有四分之三是該工具產生。 值得留意的是，雖然駭客多半是應付緊急需求才使用此製作工具產生攻擊程式，大部分皆採用預設配置，但同時也貝備橫向感染的能力。 <h3>【攻擊與威脅】</h3> <a href="https://securelist.com/lockbit-ransomware-builder-analysis/110370/">駭客利用LockBit 3.0產生器打造近4百個勒索軟體變種</a> <a href="https://s4.itho.me/sites/default/files/images/LockBit_build_analysis_04.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_build_analysis_04.png" style="width: 300px; float: right;" /></a>勒索軟體LockBit 3.0（LockBit Black）於去年9月傳出製作工具（Builder）外流，使得任何人取得後都能打造專屬的勒索軟體，上週有研究人員揭露該工具被利用的情形。資安業者卡巴斯基根據遙測的資料進行分析，總共找到396個版本的LockBit，其中有312個是利用上述外洩的製作工具打造而成，77個的勒索訊息已完全清除LockBit的名稱。 這些勒索軟體大部分採用製作工具的預設配置，僅有小幅更動，研究人員推測駭客很有可能是為了應付緊急需求。再者，這些駭客製作的勒索軟體通常會針對本機磁碟及網路共用資料夾進行檔案加密，但會略過隱藏資料夾。 而對於橫向感染的手法，有90%會利用PSEXEC執行，有72%會濫用群組原則物件（GPO）。此外，這些勒索軟體僅有少數會向C2伺服器進行通訊。 <a href="https://blog.phylum.io/rust-malware-staged-on-crates-io/">Rust開發者當心！出現惡意套件，若不慎誤用，可能會將電腦OS資訊外洩至Telegram頻道</a> 資安業者Phylum揭露鎖定程式語言Rust開發者的攻擊行動，駭客於8月14日至16日，在Crate.io套件庫上傳了惡意Crate套件postgress、if-cfg、xrvrv、serd、oncecell、lazystatic、envlogger，這些套件一開始沒有惡意內容，但後來駭客上架新的版本，就帶有行跡可疑的模組，能收集Windows、Linux、macOS等作業系統的資訊，並透過API將資料傳送至特定的Telegram頻道。 研究人員推測，這起攻擊行動很可能處於早期階段，攻擊者打算先引誘開發者上鉤，將套件部署於開發環境，然後進一步推送「新版」來竊取受害電腦的資料。 <a href="https://www.thetimes.co.uk/article/chinese-spy-linkedin-investigation-dxtq8mz7w">中國間諜利用LinkedIn收集英國機密資料</a> 英國國家安全局（軍情五處）曾提出警告，網路間諜可能利用職場社群網站LinkedIn，鎖定能夠存取國家機密的人士下手，這樣的情況如今真實上演。根據泰晤士報的報導，隸屬中國國家安全部的一名間諜，在5年內使用多個假名，假借向英國或其他官員提供商業機會，從而取得敏感資訊，其中一個最常使用的名字是Robin Zhang。 根據消息來源透露，若是成為對方聘用的顧問，且提供從事情報工作人士的細節資訊，有可能拿到8千歐元作為酬勞，其中部分遭到鎖定的目標，已被收買並邀請到中國進行演講，其他人則被要求提供情報，這名間諜會根據這些資訊索討更多機密文件。 英國議會情資及安全委員會在一份關於中國的報告裡，也特別提及間諜如何利用上述手法接觸官員。英國秘密情報局（軍情六處）的人士指出，假如官員被帶到中國，情報員會針對官員的弱點逼迫，利用各種手法進行敲詐。 <a href="https://www.ohiohistory.org/breach/">美國歷史保護機構Ohio History Connection傳出資料外洩</a> 8月24日美國俄亥俄州的歷史保護機構Ohio History Connection（OHC）證實，他們在7月初遭遇勒索軟體攻擊，駭客加密了檔案並盜取有關資料，並向該組織索討數百萬美元的贖金。OHC試圖與駭客交涉，但在8月7日談判破局，駭客疑似公布部分資料，使得某些人士的資料可被存取。 這些外流的資料內容，涵蓋2009年至2023年在OHC任職的員工姓名、地址、社會安全碼（SSN），以及W-9表單和其他資料，這些資料有可能曝露服務供應商承辦人員的姓名與SSN。再者，自2020年起部分捐款人與成員姓名也可能因洩露的支票照片而曝光。對於受害規模，該組織估計總共有7,600人的資訊可能被曝光。 究竟這起事故如何造成？OHC認為駭客應該是藉由挾帶惡意附件的電子郵件發動釣魚攻擊，將使用者帶往受感染的網站，自動下載、部署惡意軟體於受害電腦所致。 <a href="https://www.hackread.com/it-contractor-data-breach-met-police-personnel/">倫敦警局因IT承包商資料外洩而受害，波及近5萬警員</a> 根據資安新聞網站HackRead報導，英國倫敦警察局因IT系統承包商遭遇網路攻擊，導致所有4.7萬名警官與員工的個人資訊，包含姓名、照片、職稱、身分證號碼遭到洩露。這起事故之所以發生，主要是專門提供列印通行證及授權卡的供應商遭駭，他們的IT系統遭到駭客入侵所致。 這次的資料外洩事故影響相當廣泛，可能會曝露許多警察人員的身分，尤其是參與秘密行動的警官、負責保護王室的反恐單位、便衣警察，而有可能影響他們執行的各項工作。由於這些資料有可能被網路犯罪組織甚至是恐怖分子利用，傳出英國國家犯罪局（NCA）介入調查此事。 波蘭傳出著手調查鐵路系統遭到駭客攻擊的事件 根據波蘭新聞社（PAP）於8月26日的報導，該國情報部門著手調查鎖定當地鐵路的網路攻擊事件，25日晚間，駭客在西北部城市斯德丁（Szczecin）對波蘭國家鐵路（PKP）的無線電通訊網路下手，他們惡意發出多次停車訊號，結果造成約20班火車停駛或是延誤。PAP指出，這些訊號裡穿插俄羅斯國歌及該國總統普丁演講的聲音，所幸沒有造成人員傷亡。 波蘭特勤部門官員Stanislaw Zaryn透露，他們得知這幾個月有人企圖破壞國家安全，背後是俄羅斯與白俄羅斯共同策畫。資安研究員Lukasz Olejnik指出，這起事故可能只是攻擊者向火車發出停止的命令造成，任何人只需透過30美元的無線電設備就能向該國的火車下達命令。 但這並非首度有人針對此鐵路無線電系統下手，Lukasz Olejnik指出，當地火車論壇與YouTube頻道多年來一直探討這項問題，且攻擊難度很低，常常有青少年以此進行惡作劇，波蘭計畫在2025年前，全面升級使用GSM電信網路的無線電。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.pap.pl/en/news/abw-probe-recent-railway-incidents-poland-says-security-official" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.pap.pl/en/news/abw-probe-recent-railway-incidents-poland-says-security-official</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/PKP_PLK_SA/status/1695244539819090343" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://twitter.com/PKP_PLK_SA/status/1695244539819090343</a> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.wired.com/story/poland-train-radio-stop-attack/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://www.wired.com/story/poland-train-radio-stop-attack/</a> 4. <a href="https://www.bbc.com/news/world-europe-66630260">https://www.bbc.com/news/world-europe-66630260</a> <h3>【其他新聞】</h3> <a href="https://www.policia.es/_es/comunicacion_prensa_detalle.php?ID=15872">西班牙建築公司傳出遭到勒索軟體駭客LockBit網釣攻擊</a> <a href="https://www.purfoods.com/notice-of-data-event/">醫療送餐服務Mom's Meals傳出資料外洩，120萬人受到影響</a> <a href="https://cyberscoop.com/kittensec-hacktivism-corruption/">駭客組織KittenSec聲稱對多個北約國家下手</a> <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nxos-remoteauth-dos-XB6pv74m">思科網路設備作業系統NX-OS存在高風險漏洞，恐導致服務受到阻斷</a> <a href="https://www.cisa.gov/news-events/news/vdp-platform-2022-annual-report-showcases-platforms-success">美國CISA發布漏洞揭露政策平臺2022年執行成果</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158458">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</a> <a href="https://www.ithome.com.tw/news/158448">【8月25日】北韓駭客Lazarus鎖定歐洲、美國組織，利用Zoho ManageEngine服務臺系統漏洞發動攻擊</a> <a href="https://www.ithome.com.tw/news/158431">【8月24日】 DuoLingo用戶個資傳出在駭客論壇兜售，疑似因API臭蟲而外洩</a> </div></div></div>
2023/8/29 18:36作者周峻佑https://www.ithome.com.tw/news/158482
社群分叉Terraform創建OpenTF專案，準備申請進入Linux基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 雲端基礎設施軟體公司HashiCorp日前<a href="https://www.ithome.com.tw/news/158228">宣布</a>，將旗下產品從原本的MPL 2.0（Mozilla Public License v2.0）開源授權，改為BSL（Business Source License） v1.1，此舉引來眾多企業與用戶反彈，畢竟BSL並不是OSI（Open Source Initiative）認可的開源授權。為此社群分叉Terraform創立OpenTF專案，<a href="https://opentf.org/announcement">預計將會在近期公開儲存庫</a>，同時已經準備申請進入Linux基金會。 HashiCorp的熱門專案Terraform在2014年開源，經過約9年的發展，已經累積成一個由許多使用者、貢獻者、客戶、廠商和認證業者共同組成的龐大生態系，而HashiCorp創辦人暨技術長Armon Dadgar在8月中的時候發文提到，HashiCorp旗下產品都將轉為採用BSL授權，目的是要限制供應商不得以HashiCorp的專案發展與之相競爭的產品，打擊濫用開源軟體的情況。 但是社群顯然對這項決定不開心，而且感到備受威脅，雖然HashiCorp所使用的BSL v1.1在不開發與之競爭的產品前提下，用戶仍可自由使用專案與程式碼，但是<a href="https://opentf.org/">OpenTF專案宣言</a>提到，一旦HashiCorp變更授權，所有用戶便需要重新檢視自家專案是否違反授權，而且需顧慮HashiCorp對於競爭產品的定義，是否可能隨著時間改變。 同時，OpenTF宣言也認為Armon Dadgar在部落格文章中，對供應商濫用的HashiCorp開源專案的描述有誤，因為許多受BSL變更影響的供應商，同樣也對Terraform社群做出貢獻，文章舉例像是Terraform核心貢獻者有1,700位，Terraform AWS Provider則有2,800位貢獻者，Azure Provider也有1,300位貢獻者，而這些貢獻者絕大多數非HashiCorp員工。 另外，包括Terraform註冊表中的1.4萬個模組以及數百種工具，還有各種學習資源，也都並非HashiCorp官方所創建。OpenTF認為，如果Terraform當初並非開源專案，Terraform工作流程許多工具也不會存在。 因此Terraform社群聯合發布OpenTF宣言，要求HashiCorp收回決定，恢復旗下產品繼續使用開源授權，但是這個宣言並沒有獲得預期的回應，因此OpenTF專案現在分叉Terraform，創建一個開源且由社群驅動開發的版本，官方也特別強調，OpenTF往後不會突然變更授權，並且也會讓新版本程式碼向後相容。 現在OpenTF專案已經完成部分申請進入Linux基金會的文件，而他們最終目標是要讓OpenTF進入雲端原生運算基金會（CNCF），官方認為，唯有找一個能夠負責該專案的基金會，才能確保該工具永遠開源。 OpenTF最快就會在一到兩週內公開分叉版本儲存庫，第一個版本將會是最新一個MPL授權的版本1.6.0-alpha，OpenTF官方提到，這個版本將可直接成為舊版本的替代，同時所有Provider和模組都可直接適用，而且OpenTF也將能與未來的Terraform版本完全互通。 </div></div></div>
2023/8/28 16:06作者李建興https://www.ithome.com.tw/news/158462
用256顆自研異質融合晶片，輝達推144TB共享記憶體的AI系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_dgx_gh200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 自從2016年Nvidia推出第一款整合式AI應用設備<a href="https://www.ithome.com.tw/review/112711">DGX-1</a>以來，隨著GPU架構世代更迭而<a href="https://www.ithome.com.tw/news/137617">推出新機型</a>之餘，也陸續開展出工作站<a href="https://www.ithome.com.tw/review/114383">DGX Workstation</a>，以及可堆疊10臺DGX系統的DGX BasePOD、串聯140臺DGX系統的DGX SuperPOD，陣容越來越壯大，而在今年5月底舉行的台北國際電腦展期間，他們宣布這個產品家族又將有新的成員，那就是運算能力與規模更加強大的AI超級電腦系統DGX GH200。 為了突顯此套系統對於大型企業的吸引力，Nvidia也預告Google Cloud、Meta、微軟將是第一批存取這項技術的公司，以此探索用於生成式AI工作負載的功能，Nvidia後續將對雲端服務廠商與大型資料中心環境，提供DGX GH200的設計藍圖，以便針對他們本身的IT基礎架構環境進行相關的調整。 除此之外，Nvidia本身正在建置的新一代超級電腦Helios，也將採用4套DGX GH200系統，它們之間是透過Nvidia Quantum-2 InfiniBand網路產品進行互連，預計今年底上線。這套系統將支援Nvidia發展的地球氣候模擬數位雙生雲服務Earth-2，在7月初舉行的<a href="https://blogs.nvidia.com/blog/2023/07/03/climate-research-next-wave/">柏林地球視覺化運算高峰會期間</a>，Nvidia表示，他們正在建置的三種超級電腦開始上線運作，DGX GH200系統正是其中之一，負責模擬物理特性。 <a href="https://s4.itho.me/sites/default/files/images/2023-07-Nvidia Berlin Summit EVE-Earth2-DGX GH200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Nvidia%20Berlin%20Summit%20EVE-Earth2-DGX%20GH200.jpg" style="width: 600px;" /></a> <h3>採用融合Arm架構CPU與Nvidia資料中心GPU的運算模組，搭配NVLink Switch System的I/O互連架構</h3> 較於既有的DGX System產品都是採用x86架構處理器、獨立的Nvidia資料中心GPU，搭配Nvidia發展的NVLink、NVSwitch，以及現行的I/O介面與乙太網路、InfiniBand連線環境而成，DGX GH200最大的突破，是改用Nvidia研發的融合式晶片GH200 Grace Hopper Superchip，以及高速I/O交換系統NVLink Switch System而成，同樣可用於現行的資料中心網路環境。 比起目前的整櫃式高效能運算叢集系統產品，DGX GH200另一個賣點是能夠更直接提供超大規模、高速存取的GPU共享記憶體空間，當中借助NVLink Switch System的架構，提供的NVLink頻寬可達到前代DGX系統的48倍，而能透過NVLink連結256顆GH200超級晶片，促使如此大規模系統所具備的運算資源，能以單一GPU的形式供應用戶操作。 相較之下，前代DGX系統在多顆GPU以NVLink串聯成單一GPU使用，若不希望影響運算效能，最多只能同時連接8顆GPU。 Nvidia表示，單臺DGX GH200系統可提供1 Exaflop的運算效能，以及144 TB的GPU共享記憶體，若以2020年推出的DGX A100（搭配40GB記憶體的A100）為基準，DGX GH200系統的GPU記憶體容量可達到近5百倍。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-Nvidia%20DGX%20gpu-memory-nvlink-1.jpg" style="width: 500px;" /> 若要了解DGX GH200何以提供如此強大的運算能力，需細部檢視其組成方式。根據Nvidia在網站公布的白皮書指出，它總共包含256臺運算模組插槽，以及1套NVLink Switch System，形成兩層式的NVLink連結架構。 <a href="https://s4.itho.me/sites/default/files/images/2023-05-DGX GH200 Compute node.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20Compute%20node.jpg" style="width: 68px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-29-DGX GH200-NVSwitch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-29-DGX%20GH200-NVSwitch.jpg" style="width: 178px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-29-DGX%20GH200-8-GPU%20chassis.jpg" style="width: 168px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20Rack%20with%202%20chassis.jpg" style="width: 140px;" /> <a href="https://s4.itho.me/sites/default/files/images/2023-06-NVIDIA NVLink Switch System connects upto 256 NVIDIA Grace Hopper Superchips.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-NVIDIA%20NVLink%20Switch%20System%20connects%20upto%20256%20NVIDIA%20Grace%20Hopper%20Superchips.png" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-DGX GH200 system.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20system.jpg" style="width: 600px;" /></a> 基本上，每臺運算模組包含單顆GH200 Grace Hopper晶片，網路元件（由Nvidia乙太網路或InfiniBand網路卡ConnectX-7，以及資料處理器BlueField-3組成）、伺服器管理系統（基板控制器）、用於存放資料與作業系統檔案的固態硬碟。接著再將8臺運算模組連接3臺第一層NVLink NVSwitch模組，形成一座容納8顆GH200的機箱， <a href="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia Computex Keynote-Grace Hopper MGX Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia%20Computex%20Keynote-Grace%20Hopper%20MGX%20Server.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace Hopper Superchip Chassis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace%20Hopper%20Superchip%20Chassis.jpg" style="width: 298px;" /></a> 值得注意的是，關於這部分運算堆疊設備的組成，是由ZT Systems這家伺服器廠商所設計出來的。Nvidia共同創辦人暨執行長黃仁勳在Computex主題演講當中，針對MGX模組化伺服器架構介紹多家合作廠商時，特別提到ZT Systems基於此架構而成的產品，正是Nvidia Grace Hopper人工智慧超級電腦的運算Pod，他的意思是ZT Systems的這類型產品就是DGX GH200的運算Pod，而在ServeTheHome的相關報導與ZT Systems的臉書與LinkedIn貼文，以及Nvidia公布的DGX GH200白皮書公布的照片，也與這個說法呼應。 而每一臺NVLink NVSwitch模組可透過LinkX傳輸線材，連上盲接纜線連接器與第二層NVLink Switch。以DGX GH200整個系統而言，可透過36臺第二層NVLink Switch連接32座上述容納8顆GH200的機箱，因此，單臺系統總共可支配256顆GH200晶片。 <a href="https://s4.itho.me/sites/default/files/images/2023-05-DGX GH200 Combination.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-DGX%20GH200%20Combination.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace Hopper Superchip Chassis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-8-Grace%20Hopper%20Superchip%20Chassis.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-diagram-topology-nvlink-switch-system-dgx-gh200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-diagram-topology-nvlink-switch-system-dgx-gh200.jpg" style="width: 298px;" /></a> 而144 TB共享記憶體容量是從何得來的？根據Nvidia公布的Grace Hopper Superchip規格來看，每顆晶片包含中央處理器Grace，以及圖形處理器H100，前者是由72顆Arm Neoverse V2核心組成，最多可支援480 GB容量的LPDDR5X記憶體，後者最多可配置96 GB容量的HBM3記憶體，由於同處於單一晶片封裝的Grace與H100之間，可透過頻寬高達900 GB/s的NVLink-C2C介面連接，使得H100也能共享Grace所能存取的記憶體，因此，以單顆Grace Hopper Superchip晶片而言，最多可用到的記憶體容量達到576 GB，而串連256顆GH200晶片的DGX GH200，最多可存取的記憶體容量達到147,456 GB，也就是144 TB。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Nvidia%20DGX%20GH200-GH200%20arch.png" style="width: 600px;" /> 由於同處於單一晶片封裝的Grace與H100之間，可經由NVLink-C2C介面連接，由於此介面具備7倍於PCIe 5.0的I/O頻寬（雙向頻寬為900 GB/s），以及耗電量僅需PCIe 5.0的五分之一等特性，使得H100能以高速，以及高能源效益的方式共享Grace所能存取的記憶體，因此，以單顆Grace Hopper Superchip晶片而言，最多可用到的記憶體容量達到576 GB，而串連256顆GH200晶片的DGX GH200，最多可存取的記憶體容量達到147,456 GB，也就是144 TB。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Memory%20Accesses%20Across%20NVLink%20Connected%20Grace%20Hopper%20Superchips.png" style="width: 600px;" /> <a href="https://s4.itho.me/sites/default/files/images/2023-05-performance-comparisons-giant-memory-ai-model-workloads.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-performance-comparisons-giant-memory-ai-model-workloads.jpg" style="width: 600px;" /></a> <h3>沿用Nvidia長期發展的AI與資料應用軟體堆疊架構，以及SaaS雲端管理服務</h3> 除了提供強大的運作性能與規模擴展特性，DGX GH200也受惠於Nvidia持續培養與開發的各種加速與不同領域應用的軟體解決方案，而能因應大型AI與資料分析的工作負載，用戶可搭配企業級軟體套餐Nvidia AI Enterprise，利用裡面提供超過100種框架、預先完成訓練的機器學習模型，以及開發工具，得以快速發展與部署電腦視覺、語文辨識處理與生成式AI等正式應用。 在此同時，企業與組織也能運用Nvidia代管的雲端軟體平臺Base Command，管理AI工作流程、叢集環境運作、進行加速處理的儲存與網路程式庫、已針對AI工作負載完成效能調校的系統軟體。 <a href="https://s4.itho.me/sites/default/files/images/2023-05-nvidia-dgx-gh200-ai-supercomputer-full-stack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-nvidia-dgx-gh200-ai-supercomputer-full-stack.jpg" style="width: 600px;" /></a> 產品資訊 Nvidia DGX GH200 ●原廠：Nvidia ●建議售價：廠商未提供 ●整體架構：256臺GH200 Grace Hopper運算插槽（32座8-GPU機箱）、1座NVLink Switch System（96臺L1 NVLink NVSwitch、36臺L2 NVLink NVSwitch、2304 LinkX光纖纜線） ●8-GPU機箱規格：8臺GH200 Grace Hopper運算插槽、3臺NVLink NVSwitch插槽，機架高度15 OU ●運算插槽組成：1顆GH200 Grace Hopper Superchip晶片（72顆Arm Neoverse V2核心，Nvidia H100 GPU，GPU記憶體為576 GB，融合96 GB HBM3與480GB LPDDR5X）、網路元件（1張400 Gb InfiniBand網路介面卡ConnectX-7、1張資料處理器BlueField-3或ConnectX-7，提供頻內網路200GbE或儲存網路200 Gb InfiniBand）、1套管理系統（BMC）、4臺NVMe固態硬碟（2臺2.5吋U.2外形4TB容量，用來存放資料、RAID 0備援，2臺M.2外形2TB容量，用來存放作業系統、RAID 1備援） ●NVLink NVSwitch組成：2顆第三代NVSwitch ASIC晶片，支援第四代NVLink ●系統軟體組成：作業系統為Nvidia DGX OS、Ubuntu、Red Hat Enterprise Linux、Rocky，雲端管理平臺Nvidia Base Command、AI軟體套件為Nvidia Al Enterprise 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2023/8/26 17:12作者李宗翰https://www.ithome.com.tw/review/158165
解決公司營收下降並提升企業競爭力，中華電信5年雲化轉型歷程大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中華電信是臺灣最大的電信業者，更是從國營企業成功轉成民營、順利上市櫃的企業。近年來，他們陸續面臨其他企業都遭遇到的重大挑戰，不論公司營收逐年下降，或是公司逐漸喪失市場競爭力，都使得他們必須重新面對新一波的市場競爭。 然而，雖然大家都知道中華電信正在轉型的道路，但實際上，到底有那些地方不同於過往，外界一直都處於霧裡看花的狀態，最近我們終於有機會了解發展過程與目前狀態，在今年臺灣雲端大會上，中華電信資訊技術分公司科長鄭廉勳表示，他們從2018年就開始推動數位轉型，從趨勢、組織、願景和策略四個面向著手。 中華電信為何轉型？鄭廉勳表示，當公司營收從二千多億元逐年下降，EPS（美股盈餘）也逐漸減少，企業開始數位轉型，不只是要提升企業競爭力，背後最關鍵的因素就是：求生存。 他指出，中華電信是員工多達二萬一千人的大型企業，這次的數位轉型更直白地說，就是一種「雲化」轉型，最終的目標，就是要讓全公司從高階主管到基層員工，都能看得懂、學得會、用得好各種雲端服務。 <h2>中華電信的數位轉型就是推動雲化轉型</h2> 鄭廉勳也說，剛開始推動數位轉型不僅是要改變中華電信，後續還要做到啟動，才能真正做到他們公司對外不斷強調的訴求「永遠走在最前面」。他認為，因為該公司早在2018年就開始進行數位轉型，所以在2020年遇到臺灣疫情爆發時，中華電信才能夠臨危受命，協助政府建構相關的防疫系統與平臺。 在疫情一開始爆發之際，中華電信的主管在大年初二就接到政府高層的電話，希望他們可以協助快速建置協助政府防疫的資訊系統，而該公司也在三天之內（大年初五），準備好相關的網路和資訊系統，協助成立1922疫情通報與諮詢的控制中心。 鄭廉勳表示，如果中華電信2020年才開始轉型之路，可能就會因為還沒有部署與使用相關的雲端系統和服務，而無法在如此短暫時間完成這樣的任務，即便當時有心要協助政府因應疫情建置相關的資訊系統，也一定無法在三天內就完成任務。 另外，公司之所以能動員全體員工協助政府防疫，背後其實有個重要的信念，那就是，大家都體認到自己同時肩負協助國家基礎建設的天職，畢竟中華電信是從國營企業轉成民營企業，這也是為什麼中華電信願意將累積的IT技術和研發能力，充分應用在政府的防疫系統上。 鄭廉勳認為，數位轉型在提升企業競爭力的同時，也是為了求生存，中華電信的公司營收歷經2019年、2020年的低谷後，數位轉型也開始發揮效益，不只是公司營收，連帶EPS也同步增加。 很多企業的數位轉型最重要的推手，其實就是COVID-19，疫情爆發改變許多企業的營運模式，須儘快透過各種資訊系統維持公司和員工的正常營運。而在2022年烏俄戰爭爆發之後，這種突發事件也讓許多企業開始發現臺灣縱深防禦不足，因此須思考如何確保企業的營運持續，同時加速許多企業的數位轉型，全面轉向各種雲端服務，做到「雲化轉型」，提升企業韌性和永續。「中華電信的數位轉型其實就是雲化轉型。」鄭廉勳說道。 <h2>雲化改造第一步，推動組織改造</h2> 中華電信轉型最重要的願景就是：打造卓越雲化資訊服務公司，加速公司及賦能客戶數位轉型。而推動雲化改造成功與否，背後與企業內部的溝通流程息息相關，而企業溝通瓶頸的關鍵就是「組織」。 在推動數位轉型前，中華電信的組織是以產品服務為導向，所以會出現一些依照該公司產品而成立的組織單位，例如北區分公司、南區分公司、企客分公司、行動分公司、國際分公司和數位分公司，大家看公司名稱，就可以知道他們提供什麼樣的電信產品和服務：另外，還有總公司，以及電信研究所相關單位。 鄭廉勳表示，這種以產品為主的組織型態，並不利於企業內部的溝通，而透過數位轉型帶來的機會，中華電信也將內部組織調整，成為以客戶為導向的組織型態。 他表示，為了建立商業競爭力，該公司成立了三大事業群：個人家庭、企客，以及國際分公司；為了建立技術競爭力，也成立網路、資訊分公司，以及電信研究院等三個技術群；而總公司的目標就是建立策略競爭力，主要是肩負策略性功能。 鄭廉勳指出，組織轉型絕非一蹴可幾，為此，中華電信董事長、總經理到基層，親自跟員工解說轉型的必要性，以及為什麼有相對應的組織重構，整整經歷三年的溝通，才讓中華電信完成組織轉型的最後一哩路。 他表示，在這個轉型的過程中，成立了一個資訊分公司，這就是一個「雲化」的資訊分公司，目的就是要協助公司做轉型。 當公司數位轉型的願景很清楚，轉型策略便從改造、加速和賦能這三個階段去執行，其中，改造的目的是做到「客戶為中心的標準、開放、敏捷的雲化營運即平臺系統」，加速則是為了「發展資訊服務產品，支持事業群集協同技術群建立數位服務生態」，最後的賦能就是要能夠「支持集團成為Digital Telco（數位化電信業者），資訊服務產業營收動能躍昇」。 鄭廉勳指出，根據這三個策略隨之而來的，就有六大推進目標，包括：雲化改造、營運升級、能力發展、組織發展、市場發展、擴大能量，而外部經常提到的數位轉型，中華電信內部則稱之為「雲化改造」。 在數位轉型過程中，也一定要使用數位化的工具，相關的IT基礎建設就要做到系統雲化和Infra（基礎建設）雲化，最後也要做到服務雲化的目標，包括：提供5G、雲端、網路和安全服務的數位化電信服務供應商（Digital Telco Provider）；提供數位服務API平臺和API生態圈的數位服務供應商（Digital Service Provide）；數位服務合作平臺、數位夥伴（Digital Partner）的數位服務推動者（Digital Service Enabler）。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%BB%83%E5%BD%A5%E6%A3%BB-%E7%B5%84%E7%B9%94%E8%BD%89%E5%9E%8B-%E5%9C%961-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E6%8F%90%E4%BE%9B.png" style="width: 939px;" /> <blockquote>中華電信數位轉型就是朝向雲端轉型，企業組織架構涉及溝通流程，轉型第一步就是重新調整全公司的組織架構。 </blockquote> <h2>雲化治理的核心：Cloud First及Cloud Smart</h2> 根據調研公司IDC的臺灣雲端服務部署概況調查發現，臺灣內部的雲端部署（59％）已經超越了非雲端部署，預計在未來兩年內，有更多企業將採用雲端科技，估計到2024年，企業採用雲端服務的比例可望超過70％。 至於這些臺灣企業選擇雲端服務的原因為何呢？有近6成（58％）的企業表示，雲端部署改善了業務流程；也有50％的企業表示，雲端科技帶來新興技術，協助企業加速創新速度並提高投資回報。 鄭廉勳表示，中華電信要做到資訊系統落實雲化轉型的願景時，最重要的核心理念就是：Cloud First及Cloud Smart，目標就是做到：軟體現代化、發展數位經濟，以及落實數位治理，並且要實現業務驅動、雲端先行和持續精進。 他強調，中華電信如果不是為了上雲而上雲，就是要做到Cloud Smart。而要怎麼Smart呢？最重要的是，因為中華電信是一家CT（通訊技術）的公司，本身就有許多熟悉傳統電信技術的人員，卻不夠了解IT技術。 中華電信如果要轉型成ICT（資通訊技術）的公司，就必須將這群原本只熟知電信技術的員工，透過各式各樣的教育訓練課程，進行能力結構的轉型，將內部員工培養成了解雲，也看得懂、學得會、用得好各種雲端技術的員工。 他也指出，相對應的推動策略，除了要做到多雲和混合雲的雲端環境，也必須秉持「入雲優先、智慧轉型」的信念，整合雲SaaS服務，更必須要同步做到雲技術人力結構轉型，未來也可以將這樣的雲端服務提供給外部客戶。 因為中華電信著手推動雲化轉型，鄭廉勳表示，針對每一朵公雲都有一個雲端卓越中心（Cloud Center of Excellence，CCoE）團隊，而從公司治理來看，由技術長督導，位階是技術執行副總，下轄三個分工小組。 「管理小組（Landing Zone）」負責雲基礎架構演進規畫、用戶入雲申請、零信任資安規畫與管控、費用管控、雲治理合規性管控，這個單位都是由處級、科級主管組成；「入雲共通流程與規範小組」也同樣由處級、科級主管組成，負責制定入雲管理辦法、入雲申請流程，以及制定雲治理合規性法遵。 由資深架構師組成的「雲端架構師團隊」，則負責系統入雲輔導、彙整及宣傳入雲最佳實務與成功案例，以及推廣與教育訓練相關事宜；另外，他們也有「Cloud Steering Committee（雲端指導委員會）」，負責相關的財務、HR、法務、資安和行銷等相關事宜。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%BB%83%E5%BD%A5%E6%A3%BB-%E6%A0%B8%E5%BF%83%E7%90%86%E5%BF%B5-%E5%9C%962-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E6%8F%90%E4%BE%9B%20.png" style="width: 966px;" /> <blockquote>中華電信雲化轉型的核心理念就是：Cloud First和Cloud Smart，可以從願景、目標、核心理念和推動策略更了解該公司的雲化轉型策略步驟。 </blockquote> <h2> </h2> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%BB%83%E5%BD%A5%E6%A3%BB-CCoE%E9%9B%B2%E7%AB%AF%E5%8D%93%E8%B6%8A%E4%B8%AD%E5%BF%83-%E5%9C%963-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E6%8F%90%E4%BE%9B.png" style="width: 951px;" /> <blockquote>為了推動雲化轉型，中華電信打造雲端卓越中心（CCoE），以技術副總（CTO）作為推動雲化轉型的主導者，並制定相關組織人員與角色職掌。 </blockquote> <h2>配合雲化改造策略，將大型主機降階為x86伺服器</h2> 除了組織調整和安排相對應的人力配置外，鄭廉勳表示，更重要的是，公司要配合雲化轉型，從最底層資訊系統開始，制定全公司一致的資訊策略，所以，一開始地端的投資其實非常大。 參考IDC《2022雲端趨勢有哪些重點？混合雲、IaaS市場成長最強勁》的報告可以發現，混合雲架構已經成為企業首選的最適模型，確保原有地端投資，便打造私有雲，並善用公有雲隨租即用、彈性規畫與按需調整的特色，串接公雲和私雲，可以達到私有雲的可靠性、自主性與安全性，也同時符合公有雲的快速性、延展性與多元性。 中華電信要擁抱雲，採用的就是混合雲的架構，把地雲跟天雲透過網路連接起來，這個連接起來事實上就是一個雲的創新技術，成本相對較低。鄭廉勳表示，整個雲的導入，要呼應轉型的願景，各種資訊系統和服務都是入雲優先，也同時要減少傳統資訊系統的載入。 由於中華電信是老牌、穩定的公司，有許多大型的資訊系統，常用的資訊系統也超過七百多個。他指出，電信公司以往會使用許多大型主機提供相關的電信服務，但大型主機已經不是市場主流，加上相關開發維護的成本也高，因此，確定雲端轉型的方向後，第一件事情就是把大型主機全部降階為x86伺服器，也將商用版資料庫都改用MySQL以及PostgreSQL資料庫。 不過，雲化轉型是一個漫長的過程，開始轉向雲端服務後，接下來針對各種入雲的資訊系統，就把各種正式環境全部導入虛擬化，不管後續是入私雲或是上各種國際公雲，過程中也可以逐步評估相關的成本效益（TCO） 對於一個大型組織要把系統入雲，第一件事情就是必須搞定資安，因為沒有做好雲端資安，一旦上雲，就導致各種資料在網路裸奔的話，沒有一間企業會願意再把資訊系統入雲。 所以，鄭廉勳指出，該公司至少花了兩年釐清怎麼做好公雲資安，真正把資安放在第一位後，才開始看業務的效能、使用率以及相關的費用，中華電信也在這個過程中，累積很完整的能力。 之後，也透過DevOps/CI/CD pipeline這些自動化的雲原生機制導入到企業裡面，進行自動化建置與自動化部署，成為標準化的作業程序，也透過生成式AI（AIGC）進行各種智慧化的應用。這就是中華電信所採用的雲端架構。 「採用混合雲架構，除了保持地端既有投資，也可以善用雲端創新服務，用相對低的成本打造韌性的IT基礎環境。」鄭廉勳說道。 <h2>資訊系統現代化關鍵，將核心能力變成API</h2> 傳統的電信業者若想轉型為數位化電信服務供應商，就必須要將資訊系統朝向更開放的現代化目標前進，就是要做到快、好、穩、大四個目標，所謂的快就加快上市時間（time-to-market）、做好客戶信賴、做到品質穩定、做大數位生態，而做到數位化電信服務供應商最好的方式就是，讓系統與流程逐步走向開放架構：Open Digital Framework（開放數位框架），並且做到簡單化（simplification）、自動化（automation）及智慧化（intelligence）。 這個開放數位框架採用虛擬化的底層架構，使用各種雲原生IT系統（Cloud Native IT），並且透過人工智慧賦能的即時操作（AI-Enabled Real-Time Operations），藉由零接觸合作（zero touch partnering）和零接觸相互操作（zero touch interoperability）的方式打造一個數位化的供應商。 由於雲原生IT系統的使用是重中之重，透過公有雲、私有雲、OpenStack、Kubernetes打造混合雲的架構；不管是服務管理、資源管理、警示管理以及跨領域資料服務都轉成各種微服務，透過Open API的方式與API管理平臺介接，也透過Open API與各種現代化的App整合。 鄭廉勳表示，中華電信將資訊系統轉成現代化架構，便是透過多雲架構進行彈性部署，也將各種核心能力微服務化以及API化，可以達到「敏前臺、大中臺、穩後臺」的彈性部署，最後就是希望可以透過API生態進行快速組裝。 他強調，這些資訊系統一定要做的事情就是：把它的核心能力變成API、App，然後透過API的方式進行組裝。 <h2>雲化轉型有成，世足賽轉播流暢進行</h2> 當雲化轉型成為中華電信數位轉型的核心時，鄭廉勳表示，他們第一步就是先解決公司同仁最常使用的各種OA辦公室軟體只能使用傳統桌面端軟體、不夠彈性的痛點。 所以，整個資訊系統導入的過程中，便是先從辦公室最需要的SaaS部份開始導入，在2020年7月的時候，成立一些Pilot試行計畫，將示範系統入雲，在過程中也積極了解相關的雲端資安議題。 2021年5月則導入協作SaaS服務；2021年11月則決定擴大入雲系統的規模並設定時程，開始一個一個將資訊系統，從地端搬遷到雲端的過程，同步考量韌性和永續的重要議題；2022年7月，成立雲端卓越中心（CCoE）推動雲化改造；到2023年2月，全部75個要入公有雲的系統中，已經完成50個系統的導入。 雲化轉型不只解決員工使用老舊OA系統的問題，更透過雲端技術解決業務痛點。鄭廉勳以MOD轉播世足賽為例，同時間有五十萬人同時上線，也造成系統大當機，導致世界盃冠軍賽的時候，無法順利轉播。他表示，當時該公司就在思考，為什麼只有五十萬人同時上線，中華電信的系統就會出現雲端爆量（Cloud Bursting）導致系統撐不住了呢？ 痛定思痛，中華電信決定採用雲端技術解決這個業務上的痛點，因此，在兩年前的世足賽轉播時，就已經把整個系統架構更新，地端投資雖然仍然持續，但資源仍舊不足，但因為當時已經開始懂得怎麼用雲端了，便將整個轉播伺服器的影音內容快取，透過動態調配vCDN資源，快速轉移到雲端上，讓整個世足賽的轉播服務不中斷。 <h2>將障礙申告系統微服務化上雲，讓地端雲端架構一致</h2> 中華電信陸續要把重要系統進駐公雲，其中一個關鍵的系統就是障礙申告系統，也是所有民眾如果遇到電信服務需要報修時，都必須打電話到客服中心進行障礙申告。 鄭廉勳表示，障礙申告系統於2022年7月30日，正式從內部雲全部轉成國際公雲，而該公司在將系統雲化前，則必須將原先的系統都先轉換成各種微服務架構，這才有辦法支撐每年超過330萬件障礙派工單的處理，以及超過千萬人次的用量。 他解釋，這個重新打造的障礙申告系統，便經過三年的雲化轉型。第一年是先把IBM主機降階轉成x86伺服器，也將IBM AIX作業系統轉成Linux作業系統，並且將資料庫從Infomix轉成MySQL。 第二年就導入DevOps、建立自動化CI/CD（持續整合/持續部署）程序，並用Gradle和Junit整合測試後，便使用Docker將軟體封裝進行容器化，再將所有應用程式轉成各種微服務（Microservices）後，上到內部的私有雲環境先做各種驗證；確定沒有問題後，第三年則使用雲原生（Cloud Native）的IT技術k8s，讓相關的微服務都進駐到國際公雲。 鄭廉勳認為，中華電信障礙申告系統經過雲化轉型後，未來包括客服人員、維運人員、專案經理、委外廠商或是內部私雲系統等，都可以透過單一入口受理窗口，動態存取包括：障礙申告、Web、約修、責任區、工單、流程引擎、腳本程序、事件收送、Log存取或是企業應用整合（Enterprise Application Integration，EAI）排程等微服務。 他說，透過各個服務間獨立部署動態彈性調整資源配置，就可以避免資源不足、擴充受限造成系統效能不佳等情形。 鄭廉勳表示，雖然中華電信將許多重要的系統陸續搬遷到公有雲，但還是有許多受到監管的行業，例如電信業、金融業等，某些系統還是不能上雲的。因此，中華電信便將企業內部的開發、上線和維運環境一致化，把公雲的落地方案放到企業內部，然後開發團隊再把開發好的成果上雲，做到讓地端及雲端都使用一致性的架構，可以降低營運、維運以及管理成本。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%BB%83%E5%BD%A5%E6%A3%BB-%E9%9A%9C%E7%A4%99%E7%94%B3%E5%91%8A%E7%B3%BB%E7%B5%B1-%E5%9C%964-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E6%8F%90%E4%BE%9B.png" style="width: 893px;" /> <blockquote>中華電信障礙申告系統是攸關客服品質的重要系統，於2022年7月底正式進駐公雲，並採取微服務的方式，可以更動態的彈性調整相關資源配置。 </blockquote> <h2>雲化轉型有助落實企業永續發展</h2> 「對中華電信而言，數位轉型、勢在必行。」鄭廉勳表示，對該公司而言，雲化的好處可以從成本、彈性、快速、維運和長遠旅程擘畫佈局等面向來看。 他進一步解釋，善用公雲資源，可以節降雲化轉型投入成本（TCO）；調度公雲資源，因應短期爆量活動、解決業務痛點，讓系統調度更有彈性；透過雲原生技術，可以做到加速系統現代化演進；以自動化、一致化等新的IT技術，可以降低維運的人力負擔。 「因為業務轉型伴隨著IT轉型，」鄭廉勳強調，IT轉型是一場長遠的旅程，需要做到提早佈局、積極穩步邁進，才能夠維持企業的競爭優勢。因此，中華電信也提早針對資料備份、異地備援、開發環境、重構系統以及大量遷移進行相關規畫，就是希望做到佈局未來、維持企業的競爭優勢。 他也說，中華電信進行雲化轉型其中一個關鍵因素也跟電力消耗成本很高有關係。若以自建機房、租用IDC機房、以及租用公雲的成本做比較，鄭廉勳坦言，剛開始自建機房成本很大，但慢慢透過成本攤提，機房建置成本會最便宜，但這中間弔詭的環節是，許多企業光只攤提機房建置成本，但每個月要支付的機房水電、冷氣和監控與維運費用，卻沒有列在自建機房的成本中，造成成本計算上的盲點。 如果不要自建機房，鄭廉勳說，企業也可以考慮成本較為便宜的租用IDC機房，但對中華電信而言，並不會減少地端包括機房的投資，長期而言，租用雲端服務的成本是直線上升，但他們仍會選擇以租用公有雲的方式，做到企業的節能省電並提高企業永續發展（ESG）的分數。 因應雲端轉型，中華電信也積極推動5G綠色行動方案，推動綠色營運部分，該公司成為臺灣率先通過並取得ISO 14046國際水足跡認證的電信業者，針對企業營業據點也取得ISO 14001環境管理系統認證、ISO 50001能源管理系統認證、ISO 14064-1溫室氣體排放驗證，以及取得氣候相關財務揭露（TCFG）認證。 在綠色能源行動上，中華電信透過自建太陽光電裝置，容量高達2,784 kWp（峰瓩），也同時取得105張T-REC（再生能源憑證，也稱綠電身分證）證書；而推動綠色商店行動上，則打造首家「零碳門市」，並取得服務型碳標籤及碳中和（PAS 2060）認證，同時推動單據無紙化服務，每年節紙量達5.9億張。 至於，綠色供應鏈行動的推動上，則改用綠色採購，金額已經高達9.04億元，而年度綠色採購金額也達總採購量的1.08％。而最後也是最關鍵的綠色採購，中華電信也成為第一家推動供應鏈永續管理的電信業者，並且成為正式導入《ISO 20400 永續採購指南》的資通訊企業，也正式加入CDP（原碳揭露計畫）供應鏈平臺，並擴大碳管理的效能。 <h2>中華電信打造的數位韌性框架</h2> 鄭廉勳指出，中華電信啟動雲化轉型，不只是要做到重要系統上雲，經歷烏俄戰爭之後，更理會到數位韌性的重要性。 因此，他說，中華電信在推動雲化轉型的過程中，所有的系統不僅要做到持續性（Continuity）、可用性（Availability）、回復性（Recovery）和安全性（Security）外，也會透過設施與維運（Facilities）、網路架構（Network Infrastructure）、雲端工作負載（Cloud workload）、應用與資料（Application and data）、組織流程（Organization processes）和策略與願景（Strategy and vision）等六個面向，真正做到系統的數位韌性。 因此，鄭廉勳表示，每一個成就數位韌性的面向，都有許多更細部的作為必須落實。像是，設施與維運面向，至少要做到：門禁管制、個人電腦防毒防駭、消防與安檢和不斷電系統；網路架構面向則要做到：做到主、備直連線路、建置MPLS-VPN和IPsec VPN、維持行動網路和衛星網路的通暢並做到多雲交換平臺。 而雲端工作負載面向，則要做到Well-architected（架構完善框架）、零信任機制（Zero Trust）、自動擴展以及可用性區域；應用與資料面向則需要落實高可用性設計、備份及備援以及做到確保應用和資料安全。 至於組織流程的面向上，則要定義好角色與責任、進行跨部門協作、並制定營運持續計畫（BCM）與落實災難復原演練；最後，在訂定策略與願景面向上，並需要先訂出營運持續性目標、風險管理政策、資安政策、落實資料治理與法律遵循。 <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-content"> </div> </div> </div></div></div>
2023/8/23 16:14作者黃彥棻https://www.ithome.com.tw/news/158410
Swift語言工作組欲積極推廣結構化並行功能，列為下一年發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 主導Swift伺服器應用發展的Swift伺服器工作組（SSWG），於官網說明了未來一年的<a href="https://www.swift.org/blog/sswg-update-2023/">發展路線方向</a>，除了繼續現有結構化並行（Structured Concurrency）等函式庫發展，促進結構化並行的採用外，也同時也會改進開發工具，並且完善文件以及開發指南。 結構化並行是Swift平行處理和非同步程式設計的一個新模型，目的是要讓非同步程式碼更直觀、可管理，並且更安全。在之前Swift的並行性也面臨回呼地獄（Callback Hell）、資源競爭、以及任務生命周期等難以管理等問題，因此引入結構化並行。 結構化並行是一個強調組織、結構，以創建和管理並行任務的並行模型，當一段程式碼啟動多個並行任務時，該程序會等待所有任務完成後才會退出，也就是說，結構化並行對任務生命周期有更好的控制，同時確保了資源與任務管理的正確性，減少並行運算會面臨到的相關錯誤。 SSWG認為結構化並行是一個Swift的關鍵功能，可以讓Swift的伺服器應用脫穎而出，並且對生態系產生明顯的正面影響，因此接下來一年的發展路線，結構化並行在其中成為一大重點，藉此提升結構化並行的採用。SSWG接下來會制定結構化並行採用指南，提供Sendable、async/await、TaskGroup和Task API的使用最佳實踐，並且在諸如swift-service-lifecycle等核心生態系函式庫中，應用並行最佳實踐。 SSWG也將針對開發工具進行更新，像是在Linux上越來越受歡迎的Swiftly，這是一個用Swift編寫的Swift工具鏈安裝程式與管理器，能夠方便地管理多個工具鏈，SSWG預計會將其移植到Windows和macOS。SSWG也正探索更多工具改進的可能性，像是使用可重用元件Swift Package來改善伺服器部署體驗，或是研究Canonical的Chiseled Containers，用於提供小型且安全的Swift容器。 </div></div></div>
2023/8/22 19:42作者李建興https://www.ithome.com.tw/news/158397
SUSE將下市成為私有企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> SLE（SUSE Linux Enterprise）、Rancher與NeuVector的開發廠商SUSE，其背後大股東Marcel （Marcel LUX III SARL）打算將SUSE從法蘭克福證券交易所下市（Delisting）讓<a href="https://www.suse.com/news/EQT-announces-voluntary-public-purchase-offer-and-intention-to-delist-SUSE/">公司私有化</a>，使其不再成為可公開交易的公司，而根據該官方說法，此舉主要目的是要專注在營運重要目標，以及長期戰略的執行。 Marcel是一家受EQT VIII基金控制的控股公司，目前擁有SUSE與79％的股份，Marcel與EQT VIII基金被合稱為EQT Private Equity，而EQT VIII基金則是瑞典斯德哥爾摩EQT AB的子公司。在發出SUSE準備下市的消息，EQT Private Equity，也向股東發出公開購股意願，希望在下市之前，從其他股東那以每股16歐元的價格，購入SUSE的股票。同時，SUSE也與Marcel簽署交易架構協議（TFA），內容包括支付給所有股東股息等內容。 SUSE是一家總部在德國的公司，以提供企業級Linux為其主要業務，SUSE在1992年成立以來經過多次併購，在2004年被Novell收購，由於2011年Attachmate收購了Novell，因此SUSE也成為Attachmate集團旗下部門，2014年Micro Focus與Attachmate合併，所以SUSE也加入Micro Focus，而在2019年，EQT從Micro Focus手上買走SUSE，SUSE就此成為獨立企業。 SUSE私有化後的發展也備受矚目，SUSE執行長Dirk-Peter van Leeuwen認為，公司私有化是一個策略性的機會，能夠讓公司在新的領導團隊帶領下，實現業務成長與戰略目標。 SUSE近期動作頻頻，今年指派了已在紅帽服務超過18年的<a href="https://ch.linkedin.com/in/dpvanleeuwen?original_referer=https%3A%2F%2Fwww.google.com%2F">Dirk-Peter van Leeuwen</a>，成為SUSE新任執行長。紅帽在今年6月的時候，<a href="https://www.ithome.com.tw/news/157514">決定不再於git.centos.org公開RHEL原始碼</a>，SUSE之後便與甲骨文和CIQ共組<a href="https://www.ithome.com.tw/news/158220">Open Enterprise Linux協會（OpenELA）</a>，目標是提供工具以及企業級Linux等資源，供開發者得以簡單建立和維護與RHEL相容的Linux版本，並且在官網強調歡迎所有貢獻者與「貪小便宜」者，意圖相當明顯是衝著紅帽而來。 </div></div></div>
2023/8/22 08:33作者李建興https://www.ithome.com.tw/news/158379
Container周報第154期：K8s新版強化硬體當機復原力，微軟加入Istio陣營，KubeVirt則釋出1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 2023/7/1～8/21 精選容器新聞： #Sidecar模式、#版本更新、#K8s K8s發布第1.28新版，強化硬體當機復原能力，也開始支援SideCar容器 一年多次改版的Kubernetes，在8月中釋出了第28次的新版本1.28版。這是今年第二個版本，包括了45項強化，其中有19項新功能還處於Alpha測試版，14項則進入更成熟的Beta，另有12項進入穩定版本階段。 1.28版有一項重要改變是，像kube-apiserver、kube-scheduler、kube-controller-manager、cloud-controller-manager等控制面板元件和叢集中節點所用的K8s版本差異，從過去只能差2個小版本，增加到可以支援3個小版本的落差，這個版本相容落差，可以提高K8s維運團隊的升級彈性。例如，為了跟上資安更新，控制面板元件通常會跟著更新到最新版，但是K8s一年發布4次小改版，若只支援2個版本差，每個節點至少一年要更新2次，才能跟上控制面板每次更新的落差，現在支援3個版本落差，每個節點可以拉長更新周期到一年更新一次，有助於減少對需要長期啟動節點的重開次數。 另外，在這次改版中，強化了非預期節點關機（例如硬體故障或OS損壞的節點當機）的回復能力，可以讓保留狀態資訊的運算工作在另一個K8s節點中重啟。還有一個值得關注的新功能是開始支援Sidecar容器，讓一個主要容器，搭配支援的附屬Sidecar容器，共享同一份儲存空間。服務網格專案Itsio就常部署在Sidecar容器中來運作。 #服務網格、#微服務、#微軟 開源服務網格專案Istio正式從CNCF畢業，微軟也正式加入維護社群 在2016年發起的開源服務網格專案Istio，日前正式從CNCF孵育專案清單中畢業，成了具有獨立發展社群的開源專案，距離Google放手交給CNCF孵化，不到一年時間。微軟也正式加入了Istio維護社群，這代表了Istio成了業界主流的服務網格平臺，甚至可以通吃到微軟Azure平臺上的AKS微服務管理。Istio在今年6月初釋出了1.18版，可以支援更大規模落地部署用的Ambient模式，這是Istio一次很大的架構變革，可以將Istio的功能，分成兩層來運作，一層是在L7提供的Istio完整功能，另一層是在L4網路層提供的零信任通道，用來處理像是可觀察性監控、mTLS等功能，可以用更少資源來提高這些功能的運作效能，不用透過L7網路層解析HTTP來實現。Istio預計在1.19版中支援K8s新版1.28新增的Sidecar容器，更容易支援這種Istio在K8s慣用的部署設計模式。 #虛擬機器管理、#紅帽 KubeVirt釋出1.0正式版，K8s也能提供企業級VM管理 紅帽日前正式宣布KubeVirt正式釋出1.0版，這是OpenShfit提供虛擬化的關鍵基礎元件，可以讓K8s環境管理虛擬機器。紅帽強調，KubeVirt可以讓維運團隊用一套管理工具，來管理在虛擬機器上的傳統應用程式，以及部署在容器中的現代化應用。而對開發者而言，也可以將容器化應用程式的開發流程和自動化機制，套用到原本虛擬機器上的老舊系統開發流程，不用再像過去一樣得分成兩套流程。正式發布1.0版，意味著這箱功能達到企業級的穩定程度。除了紅帽OpenShift，SuSe Rancher、Google、Oracle等都在自家相關軟體產品上內建KubeVirt。 <img alt="" src="https://s4.itho.me/sites/default/files/images/KubeVirt-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" /> #Flux、#GitOps GitOps工具Flux正式發布2.0版，支援上萬AP水平擴張和控制器切片分割 用來建立GitOps自動化維運流程的Flux，日前釋出了2.0正式版，最大新功能是可以支援控制器切片分割（Sharding）和水平擴充功能。當Flux所管理的應用程式超過上萬支時，會逐漸影響GitOps自動化維運的效率，現在可以事先設定分割策略，來指定控制器的分片數量，將要管理的應用程式，分散到不同的Flux控制器實例上來分流管理，也可以在配置檔中個別指定不同控制器分片可用的資源，甚至設定Flux資源的群組規模來提高管理彈性。微軟、AWS、GitLab、D2iQ等業者都支援Flux來提供GitOps功能，例如EKS Anywhere部署模式就是透過Flux來提供GitOps部署能力。Flux預計在今年第三季發布的2.2版中，正式釋出Flux Helm Api和相關Helm功能，來強化與Helm打包K8s應用的部署和維運能力。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Flux%E7%9B%B8%E9%97%9C%E6%95%B8%E6%93%9A.jpg" /> #Tanzu、#K8s管理平臺 VMware揭露更多部署文件，介紹如何在企業私有雲中自建Tanzu控制平臺 為了管理多雲跨雲的K8s叢集，VMware早在2019年就推出了Tanzu Mission Control雲端服務，以SaaS形式來提供跨企業內部私有K8s叢集和外部不同公雲K8s的集中式管理服務，不只可以集中控管不同K8s叢集的政策、權限，還能在單一平臺上監控不同環境下K8s叢集的運作和健康狀態。維運團隊可以透過政策套用，統一管理不同公雲或私有雲上的K8s資源利用方式，簡化跨雲多雲管理的複雜度，甚至Tanzu Mission Control甚至可以整合到GitOps流程來建立自動化的開發維運流程。不過，過去幾年，VMware只提供SaaS訂閱模式，直到最近，越來越多大型企業受限於法遵考量，想要在私有雲或指定地點的主權雲中，管理自家的資料和執行環境，VMware才決定推出自建版本，讓企業可以自行部署，8月中更釋出詳細的自建說明文件，向企業說明，如何在自家私有雲中部署Tanzu Mission Control，統一管理分散在不同公雲上的K8s叢集。 #GPT、#K8s管理 用生成式AI支援DevOps維運團隊，D2iQ新版K8s平臺新增Chatbot維運幫手 K8s軟體工具商D2iQ宣布8月發布的新版K8s平臺DKP 2.6版中，利用GPT-3.5模型，打造了一款AI Navigator的Chatbot小幫手，可以協助DevOps維運團隊解決問題。D2iQ將內部用來排除問題的知識庫和企業用戶常見問題的排除作法的資料，以及DKP平臺的所有參考文件，來訓練出這一款Chatbot維運小幫手，可以回答像是如何修復叢集配置錯誤、解決升級失敗問題、辨識和修正YAML檔程式碼錯誤，甚至可以協助追蹤和修正系統錯誤，也可以用自然語言提問來查詢DKP的相關產品文件說明內容。 <img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E7%B6%AD%E4%BF%AE-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-D2iQ.jpg" /> #K8s控制平臺、#ClusterAPI K8s管理平臺有新選擇，雲原生軟體商Mirantis發布開源K8s控制平臺 Mirantis早從2012年原本重心是OpenStack系統整合，後來轉而押寶K8s，在2019年買下Docker企業產品和業務團隊，最近推出了開源的K8s管理平臺k0xmotron控制平臺專案，利用ClusterAPI來提供跨K8s叢集的集中式管理平臺。這個控制平臺要先部署在企業既有的K8s平臺上，作為主要的上層K8s（作為母管理叢集），來管理其他的K8s叢集，等於是採用K8s管理K8s叢集的設計架構。 Mirantis官方指出，這個管理平臺不只可以管理跨不同公雲上的K8s叢集，還可以用來管理部署在邊緣裝置、遠端分公司或IoT設備上的工作節點（Worker Node），等於可以統一管理大型雲端叢集和小型邊緣節點上的K8s應用。Mirantis官方更表示，k0xmotron專案下一步發展目標是，可以支援到虛擬機器的調度管理，來建立一個更高度自動化，更簡化複雜的雲端原生基礎架構的管理，不過，Mirantis沒有透露，目前k0xmotron專案可以管理到多大規模的K8s叢集。 #變更開源授權、#HashiCorp 知名IaC平臺商HashiCorp未來版本全面改採BSL授權，避免遭雲端業者濫用不付錢 知名IaC工具Terraform和多項重量級開源專案Vault與Consul的開發公司HashiCorp，宣布其原始碼授權將從原本的MPL 2.0（Mozilla Public License v2.0），改為使用BSL v1.1，這項變更將在HashiCorp所有產品的未來版本生效。HashiCorp創辦人暨技術長Armon Dadgar解釋，目前仍有供應商濫用純OSS模型獲利，卻又不提供實質貢獻。 MySQL創始人Michael Widenius主導發展的BSL授權，允許創作者對軟體的使用情境定義不同的授權條款，甚至要求，開發者設定的變更日期或是第四年開始，BSL授權就會轉為如GPL等真正的開源授權。有意商用化的業者，必須另外取得授權，否則就得開源自家程式碼。在成為開源授權之前，BSL允許開發者在非商業用途下免費使用該軟體。 #Linux、#RHEL原始碼爭議 RHEL的企業版Linux原始碼有新下載管道，甲骨文聯手SUSE與CIQ另找出路 在紅帽宣布不再對外公開RHEL原始碼而改採具名申請下載制之後，引發了Linux社群的抗議，批評紅帽違反了開源的精神。看上龐大企業級Linux需求，同屬Linux領域的甲骨文、SUSE及CIQ在8月初另外成立了一個新的基金會Open Enterprise Linux Association（OpenELA），將提供開放且免費的Enterprise Linux（EL）原始碼，來鼓勵外界開發相容於RHEL的Linux版本。 OpenELA的任務包括提供各種來源與工具，以及開源的EL版本，以供開發者得以建立及維護幾乎一樣的EL下游版本，也鼓勵上游社群作出額外的貢獻。計畫今年就會提供讓下游版本相容於RHEL的必要資源，初期將鎖定RHEL的EL 8與EL 9，也可能包括EL 7。目前並不確定OpenELA所提供的原始碼是否會與RHEL完全相同。紅帽是在今年6月僅開放外界存取屬於RHEL測試版的CentOS Stream原始碼，未來的RHEL原始碼將藉由Red Hat Customer Portal，直接供應給紅帽客戶與合作夥伴。 更多新聞 <ul> <li>去年採用率大增51％的開源容器調度引擎CRI-O專案，正式從CNCF孵化專案中畢業</li> <li>IaC服務商Pulumi發表新版Kubernetes 4.0，預設採用SSA模式更容易更新各項資源</li> </ul> @資料來源：iThome整理，2023年8月 責任編輯：王宏仁 </div></div></div>
2023/8/21 13:10作者王宏仁https://www.ithome.com.tw/news/158349
【資安日報】8月17日，Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 為了避免被資安系統察覺異狀，駭客使用合法雲端服務來「代管」釣魚網站的情況，算是相當常見，有不少是利用Google Drive、微軟OneDrive、Dropbox等檔案共用服務來進行。而最近一波網釣攻擊引起研究人員關注，因為今年有越來越多駭客運用Cloudflare物件儲存服務R2存放釣魚網頁內容，以此企圖蒙混過關，企圖竊取使用者的微軟帳號，以及Adobe、Dropbox等雲端服務的帳密資料。 另一起由駭客組織MoustachedBouncer發起的網路釣魚攻擊行動，也相當特別，因為目標竟然是特定國家的網際網路服務供應商（ISP）。 <h3>【攻擊與威脅】</h3> <a href="https://www.netskope.com/blog/evasive-phishing-campaign-steals-cloud-credentials-using-cloudflare-r2-and-turnstile">駭客濫用Cloudflare R2物件儲存服務代管釣魚網頁的攻擊行動顯著增加，半年內增61倍</a> <a href="https://s4.itho.me/sites/default/files/images/Evasive-Phishing-Campaign-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Evasive-Phishing-Campaign-1.png" style="width: 300px; float: right;" /></a>資安業者Netskope指出，自今年初以來，有越來越多駭客濫用Cloudflare物件儲存服務R2來設置釣魚網頁，2月到7月的相關流量增加61倍。這些釣魚網站大部分是用於竊取微軟帳號資料，但也有針對Adobe、Dropbox，以及其他雲端服務帳號而來的攻擊行動。駭客主要的攻擊目標為北美及亞洲的使用者，並對於科技業、金融服務、銀行等產業而來。 研究人員指出，駭客濫用R2、在此存放釣魚網頁之餘，為了迴避資安系統偵測，他們又搭配另外兩種手法來攻擊，其中一種是Cloudflare旗下的圖靈驗證機制Turnstile，讓資安系統無法直接分析釣魚網站，但使用者卻能輕易存取。 另一種手法則是透過重新導向機制，使用者所開啟的URL網址須包含特定的參數，才能正常載入釣魚網站，否則會被重新導引至google.com。研究人員指出，駭客這麼做的目的，主要是確保只有攻擊目標能看到釣魚網站的實際內容，並防止爬蟲機器人來干擾釣魚網站的運作。 <a href="https://www.akamai.com/blog/security-research/new-sophisticated-magento-campaign-xurum-webshell">電子商務平臺Magento去年的重大漏洞被用於Xurum攻擊行動</a> 資安業者Akamai揭露鎖定電子商務平臺Magento 2而來的攻擊行動Xurum，大約從今年1月開始，駭客針對曝露CVE-2022-24086漏洞（CVSS風險評分為9.8）的電子商務網站下手，目的很有可能是收集商店近10天的下單與付款資料。 研究人員從他們掌握的4個來源IP位址，看到駭客用兩種惡意酬載來進行攻擊，其中一種酬載會執行file_get_contentsPHP功能函式，向C2發出請求，進一步確認目標網站是否存在CVE-2022-24086，另一個酬載則是負責第二階段攻擊，從駭客的伺服器傳送惡意PHP程式碼，並透過PHP功能函式shell_exec執行。 特別的是，攻擊者並非透過自行製作Web Shell或C2代管而進行各種惡意行動，而是從特定研究人員的GitHub儲存庫取得名為wso-ng的Web Shell，駭客將其註冊為Magento元件，聲稱是叫做GoogleShoppingAds的模組。至於駭客於受害伺服器提升權限的方式，研究人員認為很有可能是透過名為Dirty COW的Linux漏洞來達成。 <a href="https://www.welivesecurity.com/en/eset-research/moustachedbouncer-espionage-against-foreign-diplomats-in-belarus/">駭客組織MoustachedBouncer鎖定外交機關發動AiTM網釣攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/moustachedbouncer-timeline-edited.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/moustachedbouncer-timeline-edited.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織MoustachedBouncer的網路間諜攻擊行動，目標是白俄羅斯的駐外大使館，自2014年迄今已發動5起攻擊行動，其中2起在歐洲，南亞與非洲各有1起。最近他們的行動於去年7月進行，目標鎖定網際網路服務供應商（ISP），進行對手中間人攻擊（AiTM），進而散布惡意軟體NightClub或Disco。 起初他們對執行Windows 10作業系統的電腦下手，先是確認提供使用者上網服務的ISP（Beltelecom 、Unitary Enterprise AI），接著是破壞ISP的基礎設施來操作網路流量，然後再以此將使用者重新導引至冒牌的更新網站updates.microsoft[.]com（註：正牌的網域名稱為update，而非updates）。 一旦使用者依照網頁指示執行系統更新，就會下載ZIP壓縮檔，其內容為使用Go語言打造的惡意軟體，其用途是下載NightClub與Disco，進而在受害電腦竊取資料、截取螢幕畫面、錄製聲音。 <a href="https://www.bleepingcomputer.com/news/security/threat-actors-use-beta-apps-to-bypass-mobile-app-store-security/#google_vignette">駭客透過測試版軟體名義吸引愛嚐鮮的用戶安裝，迴避App市集查核機制</a> 許多應用程式在正式發表前，會先推出測試版（Beta）讓用戶試用，以便收集相關意見進行調整、除錯，軟體市集對於這類應用程式的審查，有可能較為鬆散，也使得駭客有可乘之機。<a href="https://www.ic3.gov/Media/Y2023/PSA230814">8月14日美國聯邦調查局（FBI）提出警告</a>，他們得知網路犯罪份子通過線上交友App、社交網路應用程式等管道，假借提供加密貨幣應用程式的測試版本，一旦使用者依照指示安裝，他們的加密貨幣資產就有可能被駭客轉走。 這種型態的攻擊行動，大約從去年開始出現，資安業者Sophos於2022年3月，揭露鎖定iOS用戶的CryptoRom攻擊行動，駭客濫用蘋果的TestFlight軟體測試服務來散布惡意程式，進而騙走受害者的加密貨幣資金。 <a href="https://cymetrics.io/zh-tw/latest/news/cymetrics-releases-2023-taiwan-top15-5-star-hotel-exposure-assessment-report">臺灣五星級飯店的DNS未妥善設置DMARC與SPF比例偏高</a> 疫情後時代民眾報復性旅遊，再加上暑期旺季，觀光產業快速復甦，面對大量的消費者個資與金流資訊，飯店業者成為駭客潛在的攻擊目標。 資安業者Cymetrics針對臺灣15間五星級飯店所用的網域進行檢測，包括網路服務、網站、電子郵件、帳號密碼、雲端安全等層面，著手調查及評估資安風險。以郵件通訊而言，高達7成業者並未妥善管理電子郵件的安全，多數未進行DMARC與SPF的正確設定，將可能導致攻擊者透過與業者的相同電子郵件網域，發送惡意郵件給民眾與員工，進而透過社交工程攻擊手法，竊取飯店保存的資料。 面對這樣的高風險態勢，Cymetrics將評估結果通知這些接受調查的飯店業者，由於有些廠商積極採取因應措施，使得他們決定將這些業者的整體風險評價予以提升。 <h3>【漏洞與修補】</h3> <a href="https://www.trellix.com/en-us/about/newsroom/stories/research/the-threat-lurking-in-data-centers.html">CyberPower資料中心基礎設施管理平臺存在漏洞</a> 資安業者Trellix揭露CyberPower資料中心基礎設施管理平臺（DCIM）PowerPanel Enterprise的漏洞CVE-2023-3264、CVE-2023-3265、CVE-2023-3266、CVE-2023-3267，以及Dataprobe配電裝置（PDU）iBoot的漏洞CVE-2023-3259、CVE-2023-3260、CVE-2023-3261、CVE-2023-3262、CVE-2023-3263，CVSS風險評分介於6.7至9.8分。 一旦攻擊者將漏洞串連，就有可能同時獲得這兩種系統完整的存取權限，此外，研究人員指出，上述的DCIM及PDU系統皆容易受到遠端程式碼注入攻擊，使得對方能進一步在此建置後門、存取資料中心的其他系統，或是入侵企業網路環境。 對此，CyberPower及Dataprobe接獲通報後，發布2.6.9版PowerPanel Enterprise、1.44.08042023版iBoot韌體修補上述漏洞。研究人員也呼籲企業組織注意，應避免將DCIM系統與PDU裝置曝露於網際網路上，並停用Dataprobe提供的雲端管理功能。 <a href="https://blog.syss.com/posts/zero-touch-pwn/">Zoom的零接觸設定功能存在漏洞，有可能被用於遠端發動攻擊</a> 根據資安業者SySS的揭露，視訊會議系統Zoom、VoIP電話AudioCodes存在數個漏洞，一旦攻擊者加以利用，就有可能從外部完全控制相關設備，進而竊聽會議內容或是電腦的機密資料，甚至有可能做為入侵企業組織網路環境的管道，此外，攻擊者也可利用存在弱點的設備架設殭屍網路。 上述漏洞，主要與Zoom提供的零接觸部署（Zero Touch Provisioning，ZTP）功能有關，起因是在部署流程中，端點裝置接收來自ZTP服務的組態時，並未妥善驗證用戶端的身分，使得攻擊者可乘機將惡意韌體下載、安裝至端點裝置上。另一方面，AudioCodes旗下可搭配上述ZTP功能的VoIP電話，加密流程也存在不適當的身分驗證弱點，而能用於解開敏感資訊的加密保護。 研究人員將兩項漏洞結合，形成可遠端接管設備的攻擊鏈。針對上述的研究，Zoom表示，自7月21日起，已採取緩解措施，對新用戶導入限制措施，防堵攻擊者運用名為Zoom Phone的部署範本，使其無法設置自訂韌體更新URL，該公司亦打算今年內導入更多安全機制來因應。 <a href="https://www.bleepingcomputer.com/news/security/tesla-infotainment-jailbreak-unlocks-paid-features-extracts-secrets/">特斯拉車載系統被研究人找出越獄的方式</a> 柏林工業大學（TU Berlin）研究人員成功入侵特斯拉車載資訊系統，破解車內購買功能，免費啟用加熱後排座椅等付費功能。研究人員鎖定車上採用AMD晶片的資訊娛樂系統MCU-Z發動攻擊，實現系統越獄，並取得可用於特斯拉內網驗證其為合法使用者的身分和授權，以及與車輛硬體綁定的RSA金鑰。 在概念性驗證（PoC）攻擊當中，研究人員使用名為電壓故障注入（Voltage Fault Injection）的低成本攻擊手法，藉由改變裝置的電壓（Voltage Glitch），導致AMD安全處理器的啟動程式碼遭到破壞，最終取得車載資訊系統的根權限。而有了這樣的權限，研究人員就可以進一步存取NVMe儲存裝置以取得車主個資，或是將車輛資訊移轉到另一輛車。 研究人員指出，過往大部分的攻擊主要是利用軟體漏洞，特斯拉可直接線上派送修補程式，但這次針對MCU-Z的攻擊範圍可以橫跨軟硬體，使得修補的門檻大幅增加。 <h3>【其他新聞】</h3> <a href="https://security.googleblog.com/2023/08/toward-quantum-resilient-security-keys.html">Google推出首款量子對抗的FIDO2金鑰</a> <a href="https://www.uptycs.com/blog/remote-access-trojan-qwixx-telegram">木馬程式QwixxRAT透過Telegram接收攻擊者命令</a> <a href="https://www.bleepingcomputer.com/news/security/maginotdns-attacks-exploit-weak-checks-for-dns-cache-poisoning/">研究人員揭露DNS中毒攻擊手法MaginotDNS，有可能破壞整個頂級網域名稱</a> <a href="https://cybersecurity.att.com/blogs/labs-research/proxynation-the-dark-nexus-between-proxy-apps-and-malware">40萬臺電腦組成殭屍網路，被拿來提供代理伺服器服務牟利</a> <a href="https://www.trendmicro.com/en_us/research/23/h/monti-ransomware-unleashes-a-new-encryptor-for-linux.html">勒索軟體Monti針對法律及政府單位而來，採用新的加密工具對Linux主機下手</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158300">【8月16日】 Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持</a> <a href="https://www.ithome.com.tw/news/158283">【8月15日】臺灣等17個國家遭中國駭客RedHotel鎖定，進行網路攻擊行動長達3年</a> <a href="https://www.ithome.com.tw/news/158241">【8月14日】 DEF CON搶旗攻防賽臺灣勇奪第3</a> </div></div></div>
2023/8/17 16:23作者周峻佑https://www.ithome.com.tw/news/158313
資安研究人員揭特斯拉車載系統漏洞，可用於破解付費服務並存取機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 柏林工業大學（TU Berlin）<a href="https://www.blackhat.com/us-23/briefings/schedule/#jailbreaking-an-electric-vehicle-in--or-what-it-means-to-hotwire-teslas-x-based-seat-heater-33049">研究人員成功入侵特斯拉車載系統</a>，並且破解車內購買功能，免費啟用加熱後排座椅等付費功能。這項研究是針對特斯拉車輛上，所採用AMD晶片的資訊娛樂系統MCU-Z發動攻擊，實現特斯拉系統越獄，並且存取可用於特斯拉內網驗證身分和授權，與車輛硬體綁定的RSA金鑰。 特斯拉車內電腦功能強大且整合良好，能夠支援娛樂與自動輔助駕駛等各種功能，而最近特斯拉更進一步發揮該車載系統的能力，向用戶提供車內購買，也就是車主可以直接在應用程式選擇想要的功能，付費解鎖像是加熱後排座椅等特定功能。 而這項基於AMD晶片的特斯拉系統破解，研究人員不僅可以在特斯拉的資訊娛樂系統中執行任意軟體，還能夠擷取綁定每輛特斯拉硬體，用於特斯拉內部網路身份驗證和授權的唯一RSA金鑰。 <a href="https://i.blackhat.com/BH-US-23/Presentations/US-23-Werling-Jailbreaking-Teslas.pdf">研究人員提到</a>，之前針對特斯拉的駭客攻擊通常來自外部人士，也就是攻擊者可能處於遠端或是車輛附近，目標是存取和控制車輛，由於利用的是軟體漏洞，通常可以被官方線上修復。而這項針對特斯拉MCU-Z的攻擊，是由能夠以數位或是物理存取車輛的攻擊者執行，目標是經過小幅度的修改，以存取超過車輛常規或標準操作範疇的功能。 後者的入侵不限於使用軟體漏洞，更可以針對硬體發動攻擊，如此官方修復漏洞的門檻則更高，像是針對MCU-Z的攻擊，研究人員便提到，這是基於AMD晶片不可修復的特斯拉系統越獄。研究人員使用一種稱為電壓故障注入（Voltage Fault Injection）的低成本攻擊手法，透過故意改變裝置的電壓（Voltage Glitch），導致裝置異常運作使系統產生錯誤，並利用這些錯誤獲取敏感資料，並繞過安全措施。 攻擊的主要目標是AMD安全處理器（AMD Secure Processor，ASP），該裝置被用於執行重要的運算，和儲存諸如加密金鑰等敏感資料，在特斯拉系統中扮演系統信任基礎的角色。電壓故障注入攻擊可破壞ASP初期啟動程式碼，並由研究人員執行逆向工程，分析與控制Linux作業系統的啟動流程，最終取得系統根權限。 在取得根權限後，研究人員就可以對Linux進行任意修改，並且解密NVMe儲存以取用用戶私人資料，除了電話簿或是日曆等使用者資料，也能夠在不受支援的地區使用車輛。而且ASP攻擊還能夠擷取用來驗證汽車身份與合法性的認證金鑰，使得汽車身份資訊易於轉移到另一臺車輛電腦上，研究人員提到，這可能有助於簡化汽車維修流程。 </div></div></div>
2023/8/17 09:29作者李建興https://www.ithome.com.tw/news/158301
勒索軟體Knight隱身於偽造的Tripadvisor投訴釣魚信件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 資安公司Uptycs在6月發現的勒索軟體即服務<a href="https://www.uptycs.com/blog/cyclops-ransomware-stealer-combo">Cyclops</a>，於7月經過品牌再造重新命名為Knight，並且推出資料洩漏網站，以及適合批次發布的Knight Lite精簡版。Sophos研究員Felix Weyne近期於一個垃圾郵件活動中，<a href="https://twitter.com/felixw3000/status/1689541933062868992?s=20">發現</a>Knight的蹤跡，而外國資安媒體<a href="https://www.bleepingcomputer.com/news/security/knight-ransomware-distributed-in-fake-tripadvisor-complaint-emails/">《BleepingComputer》</a>進一步分析，發現這些釣魚電子郵件包含了HTML附件，誘使受害者點擊並下載勒索軟體。不過，目前尚未有受害者的資料被公布在資料洩漏網站上， 資安業者Uptycs在6月的時候發現了Cyclops，這款勒索軟體工具被以服務的形式銷售，當買家利用該工具發動攻擊並成功收取贖金，工具賣家將獲得贖金抽成。Cyclops的多項工具都是以Go語言開發而成，該勒索軟體的特別之處，在於能跨Windows、Linux、macOS作業系統發動攻擊。而在加密受害者系統檔案之前，還會偷偷先以竊資軟體將特定類型資料回傳伺服器，以便在之後進行雙重勒索。 Sophos研究員Felix Weyne透過靜態方法偵測到Knight勒索軟體，Knight勒索軟體會注入到由VMWare簽署的7-zip二進位檔案，包裝在名為TripAdvisor Complaint的壓縮檔中，透過社交工程攻擊，試圖誘騙用戶點擊假冒為TripAdvisor投訴文件，實際上卻是包含勒索軟體的惡意網頁。 《BleepingComputer》研究人員深入分析該釣魚活動，發現當用戶打開信件中夾帶的HTML檔案，該檔案會使用BitB （Browser-in-the-Browser）攻擊技術，在瀏覽器中嵌入一個偽造的TripAdvisor登入頁面，這個假瀏覽器視窗佯裝成由餐廳提交的投訴文件，並要求用戶查看，一旦用戶點擊閱讀投訴的按鈕，系統便會下載惡意Excel擴充檔案類型XLL檔案。 用戶只要打開XLL檔案便會執行惡意軟體，當該擴充套件項目啟動，便會使Knight Lite勒索軟體加密器被注入到explorer.exe中，並開始加密電腦上的檔案。Knight在加密檔案時，會將.knight_l添加到加密檔案的文件名稱中，其中l可能代表著Lite。勒索軟體還會在每個資料夾創建一個名為How To Restore Your Files.txt的檔案，上面寫著受害者只需支付5,000美元的比特幣，便可救回遭加密的檔案。 但是《BleepingComputer》發現，駭客在每個勒索信文件檔都使用同一個加密錢包，攻擊者可能不知道哪些受害者已經支付贖金，任何人都可以宣稱是款項的擁有人，因此即便受害者支付贖金，也可能無法收到解密器。 </div></div></div>
2023/8/15 17:00作者李建興https://www.ithome.com.tw/news/158281
【資安週報】2023年8月7日到8月11日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 這一週的漏洞利用消息有兩起受關注，一是微軟本月例行性安全公告修補的70多個漏洞中，有一個涉及.NET與Visual Studio產品的服務阻斷漏洞CVE-2023-38180，已遭攻擊者成功利用，另一是Zyxel在五年前修補路由器P660HN-T1A的CVE-2017-18368漏洞，如今發現有攻擊者針對未修補用戶發動攻擊的情形。 另外值得注意的是，微軟上月公布已遭成功利用的Office與Windows HTML元件漏洞（CVE-2023-36884），到了8月8日，終於釋出ADV230003深度防禦更新公告，並指出新修補可破壞針對該漏洞的攻擊鏈。 在8月8日微軟終於釋出ADV230003深度防禦更新公告，並指出新修補可破壞針對該漏洞的攻擊鏈。其他漏洞消息方面，包括工業用路由器Milesight UR32L的漏洞問題，以及Intel修補處理器Downfall漏洞，後續需注意Milesight及電腦製造商的修補釋出狀況。 在國際威脅焦點方面，有四大消息最受關注： ●美醫療保健系統Prospect Medical Holdings傳遭勒索軟體攻擊，多家醫院IT系統停擺，急診、住院與門診業務受影響。 ●日本國防網路傳出前幾年遭中國駭客入侵，美國華盛頓郵報指出該事件發生於2020年秋季，曾影響美日軍事情資共享。 ●7月下旬挪威政府因Ivanti零時差漏洞攻擊遭駭的後續，美國CISA與挪威國家網路安全中心（NCSC-NO）公布攻擊事故。 ●日前傳出有駭客兜售FraudGPT，後續又有資安業者喬裝買家獲知駭客正打造DarkBART、DarkBERT。 而在企業需重視的部分，我們看到下列幾個重點：關於網釣工具包EvilProxy的攻擊行動，今年3月到6月出現針對Microsoft 365帳號、針對高階主管下手的情形；五眼聯盟公布2022年最常被利用的12個漏洞，以及30個經常被利用的漏洞，突顯不少企業組織在廠商修補釋出後並未及時更新修補，而成為攻擊者積極鎖定目標。 在防禦態勢上，美國官方與民間宣布將會舉辦競賽，Black Hat與DEFCON大會也在這一週舉行。 ●美國白宮在10日宣布將由DARPA主辦名為AI Cyber Challenge（AIxCC）的競賽，活動目的聚焦於透過AI來發現及修復軟體漏洞，並祭出1,850萬美元的獎金，預計今年初賽、明年複賽，2025年總決賽。 ●近日美國Black Hat與DEFCON 2023舉行，像是本期週報提及Downfall的漏洞，研究人員亦在Black Hat上公開說明，而AIxCC競賽也是有在Black Hat上宣布。預料近期將有更多漏洞細節及最新攻擊手法研究等消息釋出。 <h3><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></h3> 鎖定Linux主機而來的惡意程式攻擊，近期出現顯著增加的現象，例如，上週末資安業者AhnLab針對惡意軟體Reptile的攻擊行動，就特別提出警告，並指出這款惡意程式的可怕之處，在於結合Rootkit及反向Shell的特性，駭客可將其當作後門運用。 駭客偏好利用已知漏洞發動攻擊，早已成為資安威脅常態，最近五眼聯盟公布2022年最常遭利用的漏洞，當中最受到關注的，是Fortinet設備的SSL VPN漏洞CVE-2018-13379，該漏洞自揭露以來，已連續4年名列榜中。 勒索軟體對於醫療體系的發動攻擊，也相當值得留意。最近醫療保健系統Prospect Medical Holdings傳出遭遇這類攻擊，而導致旗下的醫療機構運作受到衝擊，許多醫護人員被迫使用紙本整理病歷，這起事故也引起美國政府重視。 <h3><a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來濫</a></h3> 記憶體資料庫Redis近期經常傳出遭攻擊的事故，例如，上個月出現的惡意程式P2PInfect，就是針對這類資料庫而來。名為SkidMap的殭屍網路病毒同樣鎖定Redis，如今出現新的變種，但值得留意的是，駭客的主要目標是未設置密碼的Redis伺服器，而在不需暴力破解的情況下就能對其發動攻擊。 駭客宣稱提供專屬網路犯罪圈的生成式AI語言模型，也相當值得留意。有研究人員在地下論壇與兜售FraudGPT的賣家洽談，根據他們的對話觀察，駭客可能也開始用另一個生成式AI服務Google Bard為基礎，打造新的網路犯罪工具。 另一種AI被用於網路攻擊的情況，是拿來分析使用者鍵盤輸入的帳密資料以便進行竊密。3名英國研究人員打造可識別逾9成使用者輸入內容的機器學習模型，他們發現甚至在視訊會議的過程也有機會運用此技術，而能側錄、解析這種類型的資訊。 <h3><a href="https://www.ithome.com.tw/news/158187">【8月9日】駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦</a></h3> 駭客之間黑吃黑、互相爭奪攻擊目標的情況可說是相當常見，但現在出現以提供新手作案工具為誘餌的惡意程式攻擊。資安業者Kasada揭露提供滲透測試工具OpenBullet組態檔案的攻擊，鎖定缺乏相關技能，無力自行編寫相關組態程式碼的新手，目的是搜括這些人的瀏覽器帳密資料及加密貨幣錢包。 昨天（8日）有許多廠商發布8月份例行更新，微軟也是其中之一，他們公告2個已遭利用的零時差漏洞，其中一個與上個月修補的CVE-2023-36884有關，已有駭客繞過更新程式碼而能利用該漏洞。 Intel處理器漏洞Downfall也受到矚目，原因是影響範圍涵蓋Core處理器的第6代（Skylake）至11代（Tiger Lake），可能有數十億臺電腦曝險。 <h3><a href="https://www.ithome.com.tw/news/158207">【8月10日】駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊</a></h3> 為了增加破壞能力，有些駭客為勒索軟體加入竊資軟體的功能，但現在也出現有人直接與其他類型的惡意程式搭配使用的情況。例如，研究人員看到駭客在勒索軟體Mallox（亦稱TargetCompany）的攻擊行動裡，運用惡名昭彰的RAT木馬程式Remcos來控制受害的SQL Server伺服器，然後以寄生攻擊的手法操作勒索軟體。 開發工具Visual Studio Code的漏洞，有可能透過擴充套件觸發而造成危害！研究人員揭露此程式碼編輯器的API漏洞，攻擊者可打造惡意套件來竊取開發環境存放的各式帳密資料，且無論是Windows、macOS、Linux作業系統的電腦都有可能曝險。 網路設備NAS的雲端管理介面也有可能遭到利用，而讓攻擊者有機可乘。去年漏洞挖掘競賽Pwn2Own Toronto中，找到WD與群輝NAS的漏洞，研究人員公開更多細節，攻擊者可用相同手法攻入這些存在弱點的系統，例如，皆能針對雲端管理介面下手，進而竊取NAS的資料，或是執行任意程式碼。 <h3><a href="https://www.ithome.com.tw/news/158224">【8月11日】美國政府宣布發起為期2年的大型AI網路安全競賽，並資助想要投入的小型企業參加</a></h3> 美國政府近期對於強化網路安全的動作頻頻，像是推動K-12（5歲兒童至18歲青少年）學校的網路安全防禦措施、提出未來3年的戰略計畫等。本月10日他們宣布舉辦AI網路安全競賽，尋求利用人工智慧技術的好手，進一步強化美國關鍵基礎設施（CI）的安全，特別的是，競賽將為期長達2年，而且主辦單位也打算為部分隊伍提供參賽資金。 除了資安競賽，針對5年前的兆勤（Zyxel）路由器漏洞攻擊也相當值得留意，雖然該公司提供了韌體進行修補，但迄今仍有不少路由器尚未套用而讓駭客有機可乘。 </div></div></div>
2023/8/14 10:29作者羅正漢https://www.ithome.com.tw/news/158230
甲骨文、SUSE與CIQ共組Open Enterprise Linux協會，提供相容於RHEL的企業版Linux原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在<a href="https://www.ithome.com.tw/news/157514" target="_blank">紅帽（Red Hat）宣布</a>不再對外公開Red Hat Enterprise Linux（RHEL）原始碼之後，同屬Linux領域的甲骨文、SUSE及CIQ於本周四（8/10）<a href="https://www.suse.com/news/OpenELA-for-a-Collaborative-and-Open-Future/" target="_blank">成立了Open Enterprise Linux Association（OpenELA）</a>，將藉由提供開放且免費的Enterprise Linux（EL）原始碼，來鼓勵外界開發相容於RHEL的Linux版本。 紅帽是在今年6月決定不再公開提供RHEL原始碼，僅開放外界存取屬於RHEL測試版的CentOS Stream原始碼，未來的RHEL原始碼將藉由Red Hat Customer Portal，直接供應給紅帽客戶與合作夥伴。 此舉惹來Linux社群的憤怒及反彈，質疑紅帽的行為違反了包括GPL在內的各種開源授權。<a href="https://www.redhat.com/en/blog/red-hats-commitment-open-source-response-gitcentosorg-changes" target="_blank">負責紅帽核心平臺工程的副總裁Mike McGrath曾出面解釋</a>，紅帽花了許多時間與精力在開發與維護RHEL，而且會把相關的成果提交給Fedora、CentOS Stream或Linux Kernel等上游專案，未來也會如此，遵守了紅帽產品所使用的各種開源授權。 McGrath也提出有許多表達憤怒的人士是來自下游業者，它們不花太多力氣就直接利用RHEL原始碼來重建自己的版本，而紅帽並沒有義務讓這些重建者的工作更為輕鬆。此外，McGrath更指責，只是簡單地重建程式碼，卻未增加其價值或以任何方式改變它，是對開源的真正威脅，有可能讓開源重新成為業餘愛好者與駭客的活動。 不過，開源社群顯然有不同的看法。OpenELA的主要功能為提供Enterprise Linux發行版的一致性與安全的上游，以讓任何人都能建立及推出基於該來源的下游版本。 此外，<a href="https://openela.org/about/" target="_blank">OpenELA還在官網上開宗明義地寫著</a>，開源與社群是OpenELA的DNA，將以開源社群及所有下游衍生版本的最大利益為出發點，鼓勵更廣泛的社群參與，也歡迎所有的貢獻者及「貪小便宜」者。 OpenELA的任務包括提供各種來源與工具，以及開源的EL版本，以供開發者得以建立及維護幾乎一樣的EL下游版本，也鼓勵上游社群作出額外的貢獻。 OpenELA計畫今年就會提供讓下游版本相容於RHEL的必要資源，初期將鎖定RHEL的EL 8與EL 9，也可能包括EL 7。目前並不確定OpenELA所提供的原始碼是否會與RHEL完全相同，新聞稿中所指的EL也許是為了避免違反紅帽商標而採用的文字。 </div></div></div>
2023/8/11 15:01作者陳曉莉https://www.ithome.com.tw/news/158220
Google公布AI多平臺程式開發平臺Project IDX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 為了提升對開發人員的吸引力，在多項雲端開發工具後，<a href="https://developers.googleblog.com/2023/08/introducing-project-idx-experiment-to-improve-full-stack-multiplatform-app-development.html" target="_blank">Google本周再宣布</a>，可開發多平臺App的實驗性雲端整合開發環境計畫Project IDX，整合了Codey基礎模型及其他AI功能，讓開發人員打開瀏覽器就能開發程式。 Google這幾年已陸續推出了數個多平臺App開發平臺產品，包括Angular、Flutter、雲端Google Colab、Firebase，但他們認為有必要使整個多平臺App開發流程更順暢、更快，<a href="https://idx.dev/" target="_blank">而在幾個月前啟動Project IDX實驗</a>。 Project IDX是在Google Cloud上打造的Web開發服務，以瀏覽器就能使用，整合了Codey基礎AI模型，後者以程式碼及PaLM 2訓練而成。Project IDX目的是簡化開發、管理及部署完整堆疊的Web與多平臺應用程式，且具備熱門框架及支援多種語言，也提供AI輔助開發與預覽、發布工具。Google說，Project IDX也可以<a href="https://github.com/microsoft/vscode" target="_blank">微軟Code OSS</a>為開發底層，因此習於微軟工具的開發人員應該都能嫻熟上手。 這新服務可望讓Google有更強實力，和Amazon CodeWhisperer或 GitHub Copilot競爭。 Google今天公布Project IDX初期開發成果，<a href="https://idx.dev/" target="_blank">希望吸引開發人員加入</a>並提供回饋意見。為了使Project IDX打開瀏覽器就能存取使用，每個Project IDX工作空間都具有Linux VM的完整功能，可代管在雲端或其他資料中心。Project IDX允許用戶從GitHub匯入現有專案，或是新開專案，它預建熱門框架（如Angular、Flutter、Next.js、React、Svelte、Vue）範本，支援JavaScript、Dart，之後還會支援Python、Go等等程式語言。Google表示正在加緊籌備以支援更多專案類型和框架，也歡迎用戶提供意見。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0811-Google-Project%20IDX(1).png" style="width: 600px;" /> Google強調Project IDX整合其多項AI技術，除了前述的Codey基礎模型，也包含AI程式撰寫輔助工具，包括可補全程式碼、AI聊天機器人Studio Bot，以及情境化的程式指令，像是「加入註解」、「解釋這段程式」。Google說，目前Project IDX的AI功能還很簡單，團隊正在加緊強化。 Project IDX也內建Web預覽工具，供預覽開發完成的App，不久後也將有完整的Android仿真器（emulator）及嵌入式iOS模擬器（simulator），全部都能直接在瀏覽器環境下開啟。最後，為簡化App部署麻煩，Project IDX整合了Firebase Hosting代管平臺，使開發人員可快速部署到生產環境並和他人共享預覽Web App。由於Firebase Hosting支援Google Cloud Functions提供的動態後臺管理功能，相當適合全堆疊的框架，如Next.js。 </div></div></div>
2023/8/11 12:48作者林妍溱https://www.ithome.com.tw/news/158215
【資安日報】8月10日，駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 為了增加破壞能力，有些駭客為勒索軟體加入竊資軟體的功能，但現在也出現有人直接與其他類型的惡意程式搭配使用的情況。例如，研究人員看到駭客在勒索軟體Mallox（亦稱TargetCompany）的攻擊行動裡，運用惡名昭彰的RAT木馬程式Remcos來控制受害的SQL Server伺服器，然後以寄生攻擊的手法操作勒索軟體。 開發工具Visual Studio Code的漏洞，有可能透過擴充套件觸發而造成危害！研究人員揭露此程式碼編輯器的API漏洞，攻擊者可打造惡意套件來竊取開發環境存放的各式帳密資料，且無論是Windows、macOS、Linux作業系統的電腦都有可能曝險。 網路設備NAS的雲端管理介面也有可能遭到利用，而讓攻擊者有機可乘。去年漏洞挖掘競賽Pwn2Own Toronto中，找到WD與群輝NAS的漏洞，研究人員公開更多細節，攻擊者可用相同手法攻入這些存在弱點的系統，例如，皆能針對雲端管理介面下手，進而竊取NAS的資料，或是執行任意程式碼。 <h3>【攻擊與威脅】</h3> <a href="https://www.trendmicro.com/en_us/research/23/h/targetcompany-ransomware-abuses-fud-obfuscator-packers.html">勒索軟體Mallox結合木馬及加殼工具，攻擊微軟SQL Server</a> <a href="https://s4.itho.me/sites/default/files/images/Figure1-targetcompany-ransomware-abuses-fud-obfuscator-packers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure1-targetcompany-ransomware-abuses-fud-obfuscator-packers.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露勒索軟體Mallox（亦稱TargetCompany）近期的攻擊行動，與之前的手法雷同之處，駭客先是鎖定存在弱點的微軟SQL Server入侵目標組織，但不同的地方在於，新的攻擊行動結合了RAT木馬程式Remcos，以及防毒軟體不易偵測（FUD）的加殼程式BatCloak。 攻擊者在成功入侵目標組織的網路環境後，試圖部署Remcos並執行，然後濫用滲透測試工具Metasploit，進一步在電腦新增本機帳號，並部署GMER、IObit Unlocker、PowerTool（或PowTool）進行寄生攻擊（LOLBins），最終利用Remcos下載勒索軟體並執行檔案加密。 研究人員指出，為了繞過資安防護措施並順利執行，駭客對木馬程式及勒索軟體，都透過BatCloak加殼來規避偵測。 <a href="https://cycode.com/blog/exposing-vscode-secrets/">攻擊者可利用惡意擴充套件觸發Visual Studio Code弱點，竊取開發者的帳密資料</a> 先前已有研究人員提供警告，微軟的市集出現疑似惡意的擴充套件，鎖定採用Visual Studio Code（VS Code）的開發環境發動攻擊，現在有新手法出現，對方能盜取開發者的各式帳密資料。 資安業者Cycode指出，VS Code程式碼編輯器有個名為Secret Storage的API，有資安弱點，起因是對於存放於作業系統裡的Token缺乏充分的隔離，使得任何擴充套件都有可能藉由Keytar模組，存取所有存放於Windows、macOS、Linux作業系統的Token。研究人員指出，除了內建的GitHub與微軟帳號，其他VS Code儲存的Token都與擴充套件有關，如此一來，他們發現這個漏洞的影響範圍變得相當廣泛。 研究人員2個月前通報此事，但微軟的工程師以該弱點非安全問題為由不予處理。 <a href="https://www.electoralcommission.org.uk/privacy-policy/public-notification-cyber-attack-electoral-commission-systems">英國選舉委員會證實遭駭客入侵2年，2014至2022年選民資料曝光</a> 8月8日英國選舉委員會（Electoral Commission）坦承在去年10月，發現遭到駭客入侵的跡象，而有可能自2021年8月開始，存取2014年至2022年所有當地及海外選民的資料，這些資料包含了姓名、地址，以及到達投票年齡的日期。除了選民資料，該單位的電子郵件、控制系統、電子名冊副本亦遭到存取。不過，該單位並未透露受到影響的民眾人數。 英國選舉委員會指出，根據該國資訊專員辦公室（ICO）進行的風險評估，姓名及地址的曝露對選民的威脅有限，且不影響選舉流程、投票權利、候選人登記，但上述兩項個資駭客有可能與其他的外部資料整合，進而透過使用者行為模式的推測，識別或分析特定人士。 <h3>【漏洞與修補】</h3> <a href="https://www.securityweek.com/western-digital-synology-nas-vulnerabilities-exposed-millions-of-users-files/">研究人員揭露WD、群暉NAS漏洞細節，駭客有可能竊取資料或是發動RCE攻擊</a> 去年冬季，資安業者Claroty參與Pwn2Own Toronto 2022漏洞挖掘競賽，找到Western Digital（WD）、群暉（Synology）NAS設備的漏洞，最近揭露細節。 以WD產品而言，研究人員在MyCloud PR4100設備上，發現了命令注入漏洞CVE-2022-29841、路徑穿越漏洞CVE-2022-36327及CVE-2022-36328、身分驗證繞過漏洞CVE-2022-36331（CVSS風險評分為8.8至9.8），並用來列舉所有連接雲端服務MyCloud的NAS設備，然後模擬這些NAS並能存取相關資訊及檔案，甚至遠端執行任意程式碼。 而在群暉的產品上，研究人員在DS920+找到CVE-2022-45188漏洞，該漏洞存在於NAS作業系統DiskStation Manager（DSM），包含了特定PHP元件的身分驗證繞過弱點，以及資訊洩露弱點，CVSS風險評分為8.8，攻擊者有可能假冒該廠牌NAS設備，並強制雲端服務QuickConnect將使用者重新導向至攻擊者控制的設備，進而竊取帳密資料或存取使用者的資訊、遠端執行任意程式碼，亦有可能控制受害的NAS發起進一步攻擊。 資料來源 1. <a href="https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-wd-pr4100-edition">https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-wd-pr4100-edition</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-synology-ds920-edition" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-synology-ds920-edition</a> <a href="https://www.securityweek.com/sap-patches-critical-vulnerability-in-powerdesigner-product/">SAP修補業務流程與資料建模系統PowerDesigner的重大漏洞</a> 本週二（8日）SAP發布8月份例行更新，總共修補了16個漏洞。其中最嚴重的漏洞是CVE-2023-37483，存在於業務流程與資料建模系統PowerDesigner，屬於存取控制的缺陷，未經身分驗證的攻擊者一旦利用該漏洞，可對後臺的資料庫執行任意查詢，CVSS風險評為9.8分。 此外，該公司認為還有2個企業應優先處理的漏洞，一個是商業智慧軟體BusinessObjects安裝程式漏洞CVE-2023-37490，另一個是ERP系統Business One的跨網站指令碼漏洞CVE-2023-39437，CVSS風險評分皆為7.6。 資料來源 1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blogs.sap.com/2023/08/08/sap-security-patch-day-august-2023/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://blogs.sap.com/2023/08/08/sap-security-patch-day-august-2023/</a> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://onapsis.com/blog/sap-security-patch-day-august-2023" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0">https://onapsis.com/blog/sap-security-patch-day-august-2023</a> <h3>【資安產業動態】</h3> <a href="https://security.googleblog.com/2023/08/android-14-introduces-first-of-its-kind.html">Android 14將針對行動網路安全提供IT管理政策，網管可禁用2G網路</a> Google宣布於下一代行動裝置作業系統Android 14當中，正式加入與行動網路相關的安全功能，包括限制手機使用2G訊號及空暗碼（Null Cipher）網路連線的能力。 該公司表示，他們這麼做的目的，主要是解決2G等舊式行動網路長久以來的安全問題，尤其是許多攻擊手法就是利用2G網路安全性不佳的特性，如：假基地臺（False Base Station，FBS）、IMSI Catcher（亦稱Stingray），暗中將手機行動網路降級為2G來進行相關攻擊。Google在Android 12首度提供使用者關閉2G網路的功能，而在Android 14，該公司進一步讓企業能全面停用公務手機的2G網路。 <a href="https://blog.pypi.org/posts/2023-08-08-2fa-enforcement-for-new-users/">新註冊的PyPI開發者必須啟用雙因素驗證，才能上傳套件、建置專案</a> 8月8日PyPI維護團隊表示，新註冊的開發者帳號若要執行任何管理工作，必須先啟用雙因素驗證（2FA）的功能，才能進行相關操作，同時，該團隊也要求用戶需要使用通過驗證的電子郵件地址。 這些管理工作包含了建立及管理專案、新增或移除API的Token、上傳與移除發布的版本、新增或移除協作者、申請及管理組織帳號、新增及管理受信任的發布者功能。PyPI團隊指出，他們計畫在今年底所有使用者全面啟用雙因素驗證，而本次的措施就是該計畫的具體作為之一。 <h3>【其他新聞】</h3> <a href="http://www.interpol.int/News-and-Events/News/2023/Notorious-phishing-platform-shut-down-arrests-in-international-police-operation">歐洲刑警組織撤下網釣攻擊服務平臺16shop</a> <a href="https://securityaffairs.com/149307/cyber-crime/varian-medical-systems-lockbit-ransomware.html">勒索軟體LockBit聲稱攻擊了醫療器材業者Varian Medical Systems</a> <a href="https://www.securityweek.com/cisa-unveils-cybersecurity-strategic-plan-for-next-3-years/">美國CISA公布未來3年的網路安全戰略</a> <a href="https://www.bankinfosecurity.com/white-house-pushes-cybersecurity-defense-for-k-12-schools-a-22745">美國推動K-12學校的網路安全防禦措施</a> <a href="https://www.bleepingcomputer.com/news/security/missouri-warns-that-health-info-was-stolen-in-ibm-moveit-data-breach/">美國密蘇里州民眾的健康資訊外洩，起因是MOVEit Transfer遭駭</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158187">【8月9日】駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦</a> <a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a> <a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a> </div></div></div>
2023/8/10 17:31作者周峻佑https://www.ithome.com.tw/news/158207
【資安日報】8月9日，駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 駭客之間黑吃黑、互相爭奪攻擊目標的情況可說是相當常見，但現在出現以提供新手作案工具為誘餌的惡意程式攻擊。資安業者Kasada揭露提供滲透測試工具OpenBullet組態檔案的攻擊，鎖定缺乏相關技能，無力自行編寫相關組態程式碼的新手，目的是搜括這些人的瀏覽器帳密資料及加密貨幣錢包。 昨天（8日）有許多廠商發布8月份例行更新，微軟也是其中之一，他們公告2個已遭利用的零時差漏洞，其中一個與上個月修補的CVE-2023-36884有關，已有駭客繞過更新程式碼而能利用該漏洞。 Intel處理器漏洞Downfall也受到矚目，原因是影響範圍涵蓋Core處理器的第6代（Skylake）至11代（Tiger Lake），可能有數十億臺電腦曝險。 <h3>【攻擊與威脅】</h3> <a href="https://www.kasada.io/threat-intel-openbullet-malware/">小白駭客成為其他駭客網路攻擊目標！假借提供OpenBullet的組態檔案名義，目的是引誘他們植入惡意程式</a> <a href="https://s4.itho.me/sites/default/files/images/OpenBullet-Config.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenBullet-Config.png" style="width: 300px; float: right;" /></a>資安業者Kasada揭露針對新手駭客的惡意軟體攻擊，這些攻擊者針對網路犯罪圈常用於帳號填充攻擊的滲透測試工具OpenBullet，假借提供組態檔案的名義，在相關社群、加密通訊軟體Telegram散布惡意軟體。 根據資安人員的研究，其中有一個惡意組態檔案，攻擊者宣稱能夠繞過圖靈驗證機制reCAPTCHA，然而一旦新手駭客套用此組態檔案，電腦就有可能回傳網址不存在的404訊息，然後從文字共用服務Pastebin取得URL，存取名為GetChromeUpdates的GitHub儲存庫，下載、竄改OpenBullet當中的ChromeWebDriver元件，進而於受害電腦植入惡意酬載Ocean與Patent。 這個Ocean為惡意程式下載工具，Patent則是以Python打造的RAT木馬程式，可透過Telegram機器人的API與駭客連線，並能對受害電腦拍下螢幕截圖、竊取Chromium瀏覽器的帳密資料及Cookie，以及挾持加密貨幣錢包。 <a href="https://blog.talosintelligence.com/new-threat-actor-using-yashma-ransomware/">勒索軟體Yashma針對保加利亞、中國、越南等國家而來</a> <a href="https://s4.itho.me/sites/default/files/images/Yashma-ransom-note-cn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yashma-ransom-note-cn.png" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos針對勒索軟體Yashma變種的攻擊行動提出警告，駭客從6月4日開始鎖定保加利亞、中國、越南，以及使用英語的國家發動攻擊，一旦電腦感染該勒索軟體，駭客就會要求受害者向指定加密貨幣錢包支付比特幣，若是在3天內沒有完成付款，贖金就會加倍。 研究人員指出，Yashma是去年5月出現的另一款勒索軟體Chaos（V5）的變種，駭客打著WannaCry的名義犯案。但特別的是，駭客並未直接在程式裡加入勒索訊息，而是在檔案加密完成後，以批次檔連線到指定的GitHub儲存庫下載勒索訊息，這麼做的目的，很可能是要迴避防毒軟體會檢查可執行檔是否存在勒索訊息的內容。研究人員根據勒索訊息的內容、GitHub帳號名稱，推測攻擊者來自越南。 中國駭客傳出曾於3年前滲透日本國防網路環境，恐影響美日軍事情資共享 根據華盛頓郵報的報導，美國國家安全局（NSA）在2020年秋季，發現日本的軍事機密防禦網路遭到中國駭客入侵，有可能破壞美日情資共享及戰略部署。3位不具名的美國前資深官員向該媒體透露，駭客取得上述網路「深度、持續性」的存取權限，並企圖搜括日本的軍事戰略計畫、能力分析、弱點評估等各式機密資料。 當時事態極為嚴重，美國國家安全局局長暨網路作戰司令部（U.S. Cyber Command）司令Paul Nakasone、時任副白宮國家安全顧問Matthew Pottinger，隨即前往東京向日本國防部提出警告，並驚動日本首相。到了2021年初拜登政府上臺，相關官員發現日本機密防禦網路的問題惡化，在美方壓力之下，日本承諾強化網路安全，並在5年內將資安預算增加10倍、網路安全人力擴增至4千人。 這些人士透露，美國曾打算派出網路偵察團隊協助日本清除中國駭客的惡意軟體，但遭到日方回絕，最終日本政府尋求當地資安業者來找尋網路弱點，後續美國國家安全局與網路作戰司令部檢視成果並提供建議。對此，在8日召開的記者會，日本內閣官房長官松野博一、防衛大臣濱田靖一表示，目前尚未發現軍事機密情報因網路攻擊遭到洩露的證據。 資料來源 1. <a href="https://www.washingtonpost.com/national-security/2023/08/07/china-japan-hack-pentagon/">https://www.washingtonpost.com/national-security/2023/08/07/china-japan-hack-pentagon/</a> 2. <a href="https://www.rfi.fr/tw/中國/20230808-日本政府否定-華盛頓郵報-有關中國黑客竊取日本防衛機密的報道">https://www.rfi.fr/tw/中國/20230808-日本政府否定-華盛頓郵報-有關中國黑客竊取日本防衛機密的報道</a> <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a">美國、挪威公布Ivanti行動裝置管理平臺零時差漏洞攻擊事故的細節</a> 上週美國網路安全暨基礎設施安全局（CISA）、挪威國家網路安全中心（NCSC-NO）聯手，對於駭客利用Ivanti行動裝置管理平臺Endpoint Manager Mobile（EPMM）零時差漏洞，對挪威政府機關攻擊的事件，公布進一步的細節。駭客組織很可能從今年4月，就開始利用零時差漏洞CVE-2023-35078入侵EPMM，並查詢AD與LDAP端點裝置、列出EPMM管理的裝置，竄改EPMM組態，從數個挪威企業或組織收集資料，進而能夠存取該國政府機關的網路環境。 NCSC-NO認為，駭客很有可能利用另一個零時差漏洞CVE-2023-35081，於EPMM設備上傳Web Shell並下達命令。此外，駭客也透過Ivanti Sentry上網安全閘道，將網路流量導向無法直接存取網際網路的Exchange伺服器。值得留意的是，駭客疑似利用已被入侵的家用路由器（其中一個廠牌是華碩）做為代理伺服器，來存取目標組織的網路基礎設施，藉此埋藏行蹤。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2023-patch-tuesday-warns-of-2-zero-days-87-flaws/">微軟發布8月例行更新，修補Office、Visual Studio、.NET的零時差漏洞</a> 8月8日微軟發布本月份例行修補（Patch Tuesday），總共針對87個漏洞發布資安通告，當中有18個權限提升漏洞、3個安全功能繞過漏洞、23個遠端程式碼執行（RCE）漏洞、10個資訊洩露漏洞、8個阻斷服務（DoS）漏洞，以及12個可被用於詐欺的漏洞，其中2個，是被用於攻擊行動的零時差漏洞。 微軟針對其中一個漏洞提供名為Office Defense in Depth的更新（公告編號為ADV230003），主要是因為該公司上個月修補CVE-2023-36884之後，仍出現繞過更新程式利用漏洞的情形。 另一個零時差漏洞是CVE-2023-38180，一旦遭到利用，有可能導致.NET應用程式與Visual Studio服務出現中斷的情形，CVSS風險評分為7.5。 <a href="https://www.bleepingcomputer.com/news/security/new-downfall-attacks-on-intel-cpus-steal-encryption-keys-data/">研究人員揭露Downfall漏洞，影響Skylake至Tiger Lake架構的Intel處理器</a> Google研究人員Daniel Moghimi在Intel處理器產品當中，發現存在資訊洩露漏洞CVE-2022-40982，並將其命名為Downfall，影響的產品相當廣泛，涵蓋Skylake以後的CPU家族，包括：Skylake、Cascade Lake、Cooper Lake、Amber Lake、Kaby Lake、Coffee Lake、Whiskey Lake、Comet Lake、Tiger Lake、Ice Lake、Rocket Lake。 這項漏洞發生的原因在於，Intel處理器的記憶體最佳化功能會向軟體透露內部登記的硬體，因此，如果是未受信任的軟體，也可以藉此存取其他應用程式儲存的機敏資料，CVSS風險層級評為6.5。研究人員透過名為Gather Data Sampling（GDS）與Gather Value Injection（GVI）手法，進行該漏洞的概念性驗證。 對此，Intel自去年8月接獲通報後，於今年8月8日發布修補程式，並指出較新的Alder Lake、Raptor Lake、Sapphire Rapids處理器不受影響。 資料來源 1. <a href="https://downfall.page/">https://downfall.page/</a> 2. <a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html">https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html</a> <a href="https://www.securityweek.com/ics-patch-tuesday-siemens-fixes-7-vulnerabilities-in-ruggedcom-products/">西門子發布8月例行更新，修補RuggedCom工控網路系統漏洞</a> 西門子、施耐德電機皆於8月8日發布本月的例行修補，其中西門子發布了十多則公告，公布逾30個漏洞；而施耐德電機僅公布1個漏洞。 在西門子發布的公告裡，有3則與工控網路設備產品線RuggedCom有關，其中1則是針對安全存取管理系統RuggedCom CrossBow的5個漏洞而來，這些弱點可被用於發動阻斷服務（DoS）攻擊、提升權限、在資料庫執行任意SQL 查詢、將任意檔案寫入，CVSS風險評為9.8分。另外2則公告則與RuggedCom ROS作業系統有關，其中較為嚴重的是鏡像連接埠隔離漏洞CVE-2023-24845，CVSS風險評為9.1分。 至於施耐德電機的部分，則是針對旗下的人機介面螢幕編器暨邏輯程式設計軟體Pro-face GP-Pro EX，公告CVE-2023-3953，該漏洞出現於WinGP的模組，CVSS風險評為5.3分。 <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/hackers-can-abuse-microsoft-office-executables-to-download-malware/">研究人員發現Office應用程式Outlook、Access、Publisher的執行檔可被用於寄生攻擊</a> <a href="https://cycode.com/blog/exposing-vscode-secrets/">攻擊者可利用惡意擴充套件觸發Visual Studio Code弱點，竊取開發者的帳密資料</a> <a href="https://www.bleepingcomputer.com/news/security/new-inception-attack-leaks-sensitive-data-from-all-amd-zen-cpus/">AMD處理器存在Inception、Phantom漏洞，可被用於竊取敏感資料，1至4代的Zen處理器都可能曝險</a> <a href="https://www.guidepointsecurity.com/blog/tunnel-vision-cloudflared-abused-in-the-wild/">駭客濫用Cloudflare Tunnels服務的攻擊行動升溫</a> <a href="https://www.group-ib.com/blog/mysterious-team-bangladesh/">駭客組織Mysterious Team Bangladesh鎖定印度、以色列網站下手，發動DDoS攻擊、竄改網頁內容</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a> <a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a> <a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a> </div></div></div>
2023/8/9 17:17作者周峻佑https://www.ithome.com.tw/news/158187
英特爾修補波及Skylake、Tiger Lake與Ice Lake晶片及數十億裝置的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html" target="_blank">英特爾（Intel）周二（8/8）修補</a>了一個<a href="https://www.intel.com/content/www/us/en/developer/topic-technology/software-security-guidance/processors-affected-consolidated-product-cpu-model.html" target="_blank">波及Skylake、Tiger Lake、Ice Lake等眾多晶片系列的重大安全漏洞CVE-2022-40982</a>，這是一個資訊揭露漏洞，將允許駭客取得電腦上其它使用者的密碼、金鑰或個人資料，令全球數十億的雲端與個人電腦存在安全風險，使得發現該漏洞的Google安全研究人員Daniel Moghimi直接將它稱為「覆沒」（Downfall）漏洞。 <a href="https://downfall.page/" target="_blank">Moghimi解釋</a>，由於英特爾處理器中的記憶體最佳化功能無意中向軟體揭露了內部的硬體暫存器，而使得不可靠的軟體得以存取其它程式所儲存的資料，其用來加速存取記憶體零散資料的Gather指令，可在推測執行期間洩露暫存器檔案的內部向量內容。 因此，駭客可誘導使用者下載一個惡意程式，以用來存取電腦上其它應用程式的機密資料，包括密碼、加密金鑰，或是銀行資訊、電子郵件或訊息等個人私有資料。若是攻擊雲端電腦，那麼駭客也有機會取得其它使用該電腦的客戶憑證。 Moghimi已經打造出概念性驗證攻擊程式，並示範如何利用該漏洞竊取電腦上其它使用者的加密金鑰，或是竊取Linux Kernel中的任何資料。 從第六代Skylake到第十一代Tiger Lake的Intel Core處理器都受到波及，再加上英特爾在全球伺服器市場的占有率超過70%，使得Moghimi估計絕大多數的電腦使用者應該都受到該漏洞的影響，而且該漏洞非常地實用，他只花了2周的時間就成功自OpenSSL竊取加密金鑰；相關攻擊的唯一條件是駭客與受害者共享同樣的處理器核心，而這是現代運算很常見的狀態。 此一漏洞自2014年起便存在於英特爾處理器中，且攻擊程式可以偽裝成無害的應用程式，因此並不容易偵測，目前的防毒軟體亦無法偵測相關攻擊，理論上可以開發一個利用硬體效能計數器來偵測異常行為，此外，雖然Moghimi是利用所開發的新程式來進行攻擊，但他認為駭客也有可能利用系統上既有的瀏覽器來攻擊此一漏洞。 Moghimi是在去年8月發現並向英特爾提報此一漏洞，英特爾則花了近一年的時間來更新所有受影響處理器的韌體，該漏洞的CVSS風險評分為6.5。 </div></div></div>
2023/8/9 12:50作者陳曉莉https://www.ithome.com.tw/news/158179
【資安日報】8月8日，殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 記憶體資料庫Redis近期經常傳出遭攻擊的事故，例如，上個月出現的惡意程式P2PInfect，就是針對這類資料庫而來。名為SkidMap的殭屍網路病毒同樣鎖定Redis，如今出現新的變種，但值得留意的是，駭客的主要目標是未設置密碼的Redis伺服器，而在不需暴力破解的情況下就能對其發動攻擊。 駭客宣稱提供專屬網路犯罪圈的生成式AI語言模型，也相當值得留意。有有研究人員在地下論壇與兜售FraudGPT的賣家洽談，根據他們的對話觀察，駭客可能也開始用另一個生成式AI服務Google Bard為基礎，打造新的網路犯罪工具。 另一種AI被用於網路攻擊的情況，是拿來分析使用者鍵盤輸入的帳密資料以便進行竊密。3名英國研究人員打造可識別逾9成使用者輸入內容的機器學習模型，他們發現甚至在視訊會議的過程也有機會運用此技術，而能側錄、解析這種類型的資訊。 <h3>【攻擊與威脅】</h3> <a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/honeypot-recon-new-variant-of-skidmap-targeting-redis/">Redis伺服器遭到殭屍網路SkidMap鎖定，用於挖礦牟利</a> <a href="https://s4.itho.me/sites/default/files/images/SkidMap002.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SkidMap002.png" style="width: 300px; float: right;" /></a>有鑑於鎖定記憶體資料庫Redis的攻擊行動不斷出現，有更多研究人員進行相關調查，結果發現有新的殭屍網路病毒轉換攻擊目標，針對此類資料庫而來。資安業者Trustwave揭露殭屍網路SkidMap的變種病毒攻擊行動，他們在部署於歐洲中部的蜜罐陷阱（Honypot），看到駭客散布此惡意程式，主要目標是架設於Debian、Ubuntu、Red Hat Enterprise Linux、CentOS等Linux作業系統，且不需進行身分驗證就能存取的Redis伺服器。 駭客先是透過GIF圖檔傳遞惡意程式的ELF可執行檔，一旦對方不慎開啟此檔，該殭屍網路病毒會停用SELinux防護機制，並設置反向Shell，每隔60分鐘會嘗試連接攻擊者的伺服器，成功連線後便根據Linux版本下載對應的攻擊工具，進而於受害主機部署挖礦機器人，以及名為mcpuinfo.ko、kmeminfo.ko的rootkit，以便埋藏挖礦行為，並竄改網路封包，而使得發現相關攻擊變得相當困難。 <a href="https://slashnext.com/blog/ai-based-cybercrime-tools-wormgpt-and-fraudgpt-could-be-the-tip-of-the-iceberg/">駭客打造AI網路犯罪工具DarkBART、DarkBERT</a> <a href="https://s4.itho.me/sites/default/files/images/SlashNext-Research-and-FraudGPT-on-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SlashNext-Research-and-FraudGPT-on-Telegram.png" style="width: 300px; float: right;" /></a>繼WormGPT、FraudGPT等專門用於網路犯罪的生成式人工智慧聊天機器人出現，最近又有新的作案工具。資安業者SlashNext假扮買家，針對兜售FraudGPT的賣家CanadianKingpin12進行調查，結果駭客透露正在研發兩款新型的AI機器人DarkBART、DarkBERT，其特色是可存取網際網路，並且能與Google Lens進行整合，得以傳送帶有圖片的資料。 駭客聲稱DarkBART是Google Bard的「黑暗」版本，先是表明他參與相關開發流程，但後來承認僅具備存取權限，研究人員判斷該賣家可能已將其用於攻擊行動；至於另一款AI工具DarkBERT，研究人員根據賣家提供的影片，認為駭客濫用了資料情資業者S2W事先訓練的同名語言模型，此為針對調查暗網情資打造，但這名駭客疑似取得存取權限，並聲稱是自己打造而成。 <a href="https://arxiv.org/pdf/2308.01074.pdf">研究人員利用AI模型收集鍵盤輸入的敲擊聲，號稱能成功辨識95%輸入的內容</a> <a href="https://s4.itho.me/sites/default/files/images/keystrokes-recording.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/keystrokes-recording.jpg" style="width: 300px; float: right;" /></a>英國研究人員Joshua Harrison、Ehsan Toreini、Maryam Mehrnezhad表示，他們收集敲擊鍵盤上字母、數字鍵的按鍵聲音，訓練影像分類模型CoAtNet，然後用來識別使用者輸入的文字，結果發現相當準確。若是在筆電旁邊錄下的聲音，文字辨識率達到95%，假如藉由即時通訊軟體Zoom與Skype，是在遠端視訊或音訊會議期間錄下的聲音，辨識率略為下降，分別為93%、91.7%，但還是很高。 研究人員指出，這種型態的旁路攻擊可被用於盜竊使用者輸入的密碼，即使被側錄方用的是靜音鍵盤，仍有一定效果，對此，他們呼籲使用者，可以嘗試調整敲擊鍵盤的方法、力道，或是採用動態密碼來減少上述側錄密碼攻擊帶來的危害。 <a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/new-rilide-stealer-version-targets-banking-data-and-works-around-google-chrome-manifest-v3/">竊資軟體Rilide透過瀏覽器延伸套件散布</a> <a href="https://s4.itho.me/sites/default/files/images/d208b23a9a92088ad8601841948a1431bb63c9b0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d208b23a9a92088ad8601841948a1431bb63c9b0.png" style="width: 300px; float: right;" /></a>資安業者Trustwave揭露竊資軟體Rilide的攻擊行動，駭客透過瀏覽器延伸套件，鎖定Chrome、Edge、Brave、Opera等以Chromium為基礎開發的瀏覽器而來，並以Manifest V3新版格式開發，而能突破Google對於延伸套件的新規範。 研究人員發現可能有多組駭客組織在兜售相關攻擊工具，其中一種型態的攻擊行動裡，透過指令碼注入的手法，主要鎖定澳洲及英國用戶而來。攻擊者假冒銀行、行動支付供應商、電子郵件服務業者、加密貨幣平臺、VPN服務、雲端服務業者，研究人員看到超過1,300個利用偽冒的網域架設釣魚網頁，並透過受信任的搜尋引擎及SEO中毒手法，引誘使用者上當輸入帳密資料，進而散布此竊資軟體。 值得留意的是，有一起釣魚郵件是針對Zendesk員工而來，假借提供VPN服務及防火牆應用程式，當中包含了資安業者Palo Alto Networks的GlobalProtect，駭客透過PowerPoint的簡報來提供「安裝步驟」，一旦使用者依照指示操作，他們的瀏覽器就有可能被植入Rilide。 <h3>【漏洞與修補】</h3> <a href="https://14520070.fs1.hubspotusercontent-na1.net/hubfs/14520070/Collateral/SynSaber+ICS-Advisory-Project_ICS-Vulnerabilities_First-Half-2023.pdf">研究人員針對今年上半CISA公告的670個ICS、OT漏洞進行分析，逾三分之一缺少修補程式或緩解措施</a> 針對美國網路安全暨基礎設施安全局（CISA），於今年上半對於工業控制系統（ICS）、操作科技（OT）系統發出的資安通告，資安業者SynSaber與ICS Advisory Project聯手進行分析，結果發現，CISA總共揭露了約670個漏洞，當中逾40%與軟體有關，26％影響硬體層面；而從漏洞的嚴重程度來看，88個為重大等級、349個為嚴重等級，對於利用漏洞的容易程度而言，有163個需要一定程度的使用者互動。 值得留意的是，今年上半缺乏修補程式或是緩解措施的漏洞，比例竟然有34%，相較於2022年上半的13%高出許多，研究人員指出，起因是西門子今年揭露了逾100個影響Linux核心的漏洞，但尚未發布相關修補程式。 <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-flaw-after-being-called-irresponsible-by-tenable-ceo/">微軟修補Azure程式碼開發平臺Power Platform漏洞</a> <a href="https://s4.itho.me/sites/default/files/images/PowerPlatform-diag.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerPlatform-diag.png" style="width: 300px; float: right;" /></a>微軟於8月4日宣布，他們成功修補資安業者Tenable於3月底通報的程式碼開發平臺Power Platform漏洞，該漏洞存在於其自訂連接器（Custom Connector），一旦攻擊者傳送特定的呼叫內容，觸發組織IT人員加入的C#程式碼，就有可能找到與目標組織有關的Azure Function主機名稱。 資安業者Tenable指出，由於上述的連接器當中，有許多用於傳送Power Platform及第三方服務的身分驗證資訊，攻擊者若是存取防護不夠周全的Azure Function主機，就有機會取得OAuth用戶ID、密碼、金鑰等資訊，進而存取第三方服務和應用程式。研究人員指出，該漏洞遭到利用的後果有可能不只是造成資料外洩，攻擊者甚至能用來執行程式碼。 微軟首度於6月7日嘗試修補漏洞，並於7月6日通知Tenable，卻被發現修補不全，在研究人員預告於7月底揭露漏洞的壓力之下，微軟於8月初完成修補，並強調該漏洞尚未出現遭到利用的跡象。 資料來源 1. <a href="https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/">https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/</a> 2. <a href="https://www.tenable.com/security/research/tra-2023-25"><span class="link-annotation-unknown-block-id-343621836" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://www.tenable.com/security/research/tra-2023-25</a> <h3>【其他新聞】</h3> <a href="https://www.rapid7.com/blog/post/2023/08/02/security-implications-improper-deacquisition-medical-infusion-pumps/">已被淘汰、轉售的二手醫療輸液泵浦恐曝露醫療機構的Wi-Fi資料</a> <a href="https://www.sentinelone.com/labs/comrades-in-arms-north-korea-compromises-sanctioned-russian-missile-engineering-company/">俄羅斯導彈製造商遭北韓駭客ScarCruft入侵，植入後門程式OpenCarrot</a> <a href="https://cdhe.colorado.gov/news-article/colorado-department-of-higher-education-provides-notice-of-data-incident">美國科羅拉多州教育機構證實遭到勒索軟體攻擊，師生資料外洩</a> <a href="https://www.kasada.io/threat-intel-openbullet-malware/">駭客假借提供OpenBullet的組態檔案，意圖散布竊資軟體</a> <a href="https://eprint.iacr.org/2022/1228">研究人員揭露攻擊處理器的手法Sacrf</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a> <a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a> <a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a> </div></div></div>
2023/8/8 18:30作者周峻佑https://www.ithome.com.tw/news/158173
強化程式開發流程與環境安全，紅帽打造可信賴的軟體供應鏈
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/red_hat_trusted_software_supply_chain-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 近幾年來，軟體供應鏈攻擊事件頻傳，無論是商用封閉軟體或開放原始碼軟體，都蒙受相當大程度的威脅，<a href="https://www.ithome.com.tw/news/150237">美國白宮持續呼籲各界並推動相關的政策</a>，號召微軟、Google、蘋果、Amazon及IBM等大型科技公司，促使他們承諾協力推動資安；在2022年2月，Linux基金會成立的開源軟體安全基金會（OpenSSF）也成立Alpha-Omega計畫，目標是改善1萬種開放原始碼軟體專案的軟體供應鏈安全。 同年5月，<a href="https://www.ithome.com.tw/news/150970">Google</a>發表<a href="https://cloud.google.com/blog/products/identity-security/introducing-assured-open-source-software-service">Assured Open Source Software（Assured OSS）</a>的服務，為企業與政府機關提供Google內部開發人員在工作流程當中使用的開放原始碼軟體套件，這些都已通過他們定期執行的資安漏洞掃描、分析、模糊測試，以及簽署驗證，並遵循軟體製品供應鏈安全等級框架（SLSA）的規範，預計第三季開放預覽測試；10月他們發表代管服務型態的軟體供應鏈安全解決方案，稱為<a href="https://cloud.google.com/blog/products/devops-sre/introducing-software-delivery-shield-from-google-cloud">Software Delivery Shield</a>，Assured OSS是此服務的重要部分，並提到處於預覽狀態的Assured OSS，可提供超過250種橫跨Java和Python語言的軟體套件。到了<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-assured-open-source-software-service-now-ga">今年4月，Assured OSS正式推出</a>，免費提供超過1千種常見的Java和Python軟體套件，涵蓋TensorFlow、Pandas、Scikit-learn等熱門的機器學習與人工智慧軟體專案。 除了公有雲大廠Google帶頭推動軟體資安防護，作為長期推廣開放原始碼軟體產品與服務的主力系統平臺廠商紅帽，今年上半也正式投入這個領域的經營，他們在5月底舉行的年度用戶大會期間，宣布推出Red Hat Trusted Software Supply Chain，希望能藉此強化因應軟體供應鏈資安漏洞的韌性，促成企業與組織導入DevSecOps，吸引更多用戶採行應用程式安全開發與部署實務，將資安整合到軟體開發生命週期。 在這套解決方案當中，紅帽秉持既有的系統映像防護軟體<a href="https://www.ithome.com.tw/review/129692">Red Hat Quay</a>、雲端原生防護服務<a href="https://www.ithome.com.tw/review/153906">Red Hat Advanced Cluster Security（ACS）</a>之餘，也將推出兩款新的雲端服務，分別是：Red Hat Trusted Application Pipeline（RHTAP）、RedHat Trusted Content（RHTC）。 <a href="https://s4.itho.me/sites/default/files/images/Red Hat Trusted Software Supply Chain Components.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Hat%20Trusted%20Software%20Supply%20Chain%20Components.jpg" style="width: 600px;" /></a> <h3>針對程式碼組建，提供整合安全概念的CI/CD管線流程</h3> 其中的RHTAP目前已開放用戶預覽，這套雲端服務發展的基礎，源於紅帽開發與維護的<a href="https://www.sigstore.dev/">開放原始碼軟體專案Sigstore</a>，可提供用於雲端原生環境簽署的免費標準，對於許多位處軟體開發流程上游的社群而言，也能從中獲得維繫共享資安基礎架構的關鍵部分，紅帽表示，這裡會供應朝向資安防護發展的軟體持續整合／持續交付（CI/CD）服務，結合他們組建自家商用軟體產品的專業知識，簡化採用相關流程與技術的程序，可提供一套能馬上使用且聚焦資安防護的開發管線流程（pipeline），改善調度指揮相關作業的安全性，以及遵循業界標準與法規要求的程度，而不會拖慢軟體開發生產速度與效率。 具體而言，RHTAP會在開放原始碼軟體相依性的範圍之內，為開發人員提供已知資安漏洞與風險的即時知識，並提出矯正這些問題、大幅降低威脅的可行建議，協助減少開發時間與成本。開發人員能運用自動化、聚焦在資安的CI/CD流程來組件應用程式，當中會執行系統與容器映像的持續掃描，軟體的來源檢查、見證，以及自動產生遵循業界標準與法規要求的軟體物件清單，促使IT部分能夠精確掌握軟體元件的資產，同時改善開發效率與生產力。 <a href="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img2.jpg" style="width: 600px;" /></a> <blockquote>Red Hat Trusted Application Pipeline負責守護應用程式組建流程的安全性，提供自動化、聚焦在資安的CI/CD工作流程，可持續執行映像掃描、來源檢測、見證查核，以及SBOM的自動產生，以遵循業界標準與法規要求。 </blockquote> 而在整合CI/CD開發管線流程之後，RHTAP可協助用戶強化應用系統的軟體供應鏈安全，開發者能以更有效率的方式組建應用程式，透過簡便方式將軟體整合至Linux容器，之後僅需透過幾個點選的動作，即可部署到紅帽OpenShift或其他Kubernetes平臺。 <a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-2.jpg" style="width: 600px;" /></a> 舉例來說，企業如要經由雲端服務匯入git儲存庫，設定容器原生程式持續執行組建、測試、部署的管線流程，相關的操作步驟數量能夠因此變得更少；在此同時，企業可進行程式原始碼與<a href="https://en.wikipedia.org/wiki/Transitive_dependency">遞移相依性</a>（Transitive dependencies，是指軟體元件之間存在著間接相依性）的檢測，而程式組建過程中，也能自動產生軟體物料清單（SBOM）；透過發行條件政策引擎的使用，可協助企業查驗與提升容器映像的安全性，RHTAP能確認這些環境能否遵循SLSA這類業界軟體安全框架的要求，維持一致性。 <a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-4.jpg" style="width: 600px;" /></a> 紅帽表示，目前如果要實現上述的使用方式，往往需要大量人工作業處理，用戶必須事先撰寫數百行自動化處理程式碼，才能一口氣完成容器化應用程式的組建、測試、部署，而手動處理有可能導致潛在的動作摩擦與人為錯誤，從而衍生新的風險、拖慢完成整體程式開發產量的速度。 基本上，RHTAP在守護應用程式組建系統安全性，以及整理說明全部套件與相依性的部分，預計將提供許多減輕人工負擔的功能，像是：可匯入用戶既有的GitHub儲存庫，也能使用紅帽提供的多種套裝樣本來處理；提供開發管線流程，用戶能在建立Java、Python、Node、Go等語言或開發平臺的應用程式時，將軟體整合到容器映像當中，並經由Kubernetes環境的自定資源定義（CRD）控制器<a href="https://github.com/tektoncd/chains">Tekton Chains</a>，將適當的見證、密碼學簽章，以及來源資訊，套用到容器映像。 <a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-1.jpg" style="width: 600px;" /></a> 若需支援GitOps的持續部署作業（CD），RHTAP也能經由本身內嵌的宣告式工具ArgoCD（同樣是以Kubernetes控制器實作而成），而將應用程式部署至用戶的Kubernetes。 在容器映像的發布上，RHTAP能提供企業級的契約驅動（contract-driven）軟體發行規畫，可提供超過43種以政策語言Rego寫成的規則，用來查驗用戶的容器映像是否符合SLSA指引的要求，例如，在自動產生的SBOM當中，需提供完成簽署的程式組建來源資訊，以及程式組建必須在網路隔離的狀態執行，基礎映像須從適當的容器映像登錄服務拉取。 <a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-3.jpg" style="width: 600px;" /></a> <h3>強化預防與識別惡意程式碼的能力</h3> 至於RHTC的作用，能協助用戶在開發程式碼的階段，就能辨別遞移相依性與資安漏洞，促使企業與組織能夠在開發流程當中，及早掌握與緩解已知的軟體資安風險與漏洞暴露，可免除手動處理的困難、避免進行耗時耗力的重複作業。 而有了RHTC之後，用戶可在此存取受信任的內容儲存庫：紅帽本身組建與精選的開放原始碼軟體內容，這些都是套用他們內部最佳實務而成，已完成簽署、來歷查核，並提供他們的見證，開發者可從中挑選可重複使用的元件。 對於已經上線的應用程式，RHTC也能主動監控當中使用的開放原始碼軟體套件，其原始碼是否存在遞移相依性，以及潛在的資安漏洞而可能導致新興或正在崛起的威脅，若出現這類狀況，可發出警示，促使用戶可以更快矯正這些問題。 <a href="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-2.jpg" style="width: 600px;" /></a> 上述識別機制可整合在開發者電腦使用的整合式開發環境（IDE），當中會執行即時的軟體組成分析（Software Composition Analysis，SCA）。除此之外，RHTC也將提供更容易查詢紅帽產品與套件相關的資安漏洞交換資訊（VEXs），以及軟體物料清單的功能，用戶也能上傳本身擁有的軟體物料清單進行分析，從而深入掌握相依性與漏洞。 <a href="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-1.jpg" style="width: 600px;" /></a> 關於RHTC的發展，紅帽表示，它是建立在紅帽長期強化自家系統軟體安全的基礎而成，範圍涵蓋他們的企業級Linux作業系統軟體RHEL，以及多個重要的應用程式執行時期元件，橫跨Java、Node、Python軟體生態體系，可提供企業級、經過安全強化，而且是值得信任的軟體內容與專業知識，讓用戶開發應用程式時，能夠更安心搭配開放原始碼軟體套件。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img1.jpg" style="width: 600px;" /> <blockquote>在軟體開發流程當中，Red Hat Trusted Content負責守護程式碼層級的安全性，提供通過紅帽檢核的授信任軟體套件內容儲存庫，以及整合在整合式開發環境（IDE）的軟體組成分析工具，檢查使否存在已知資安漏洞與遞移相依性。 </blockquote> 產品資訊 Red Hat Trusted Software Supply Chain ●原廠：Red Hat ●建議售價：廠商未提供 ●解決方案型態：雲端服務 ●涵蓋產品與服務： Red Hat Trusted Content負責程式碼管理 Red Hat Trusted Application Pipeline負責組建管線流程調度指揮 Red Hat Advanced Cluster Security Cloud Service負責執行階段監控 Red Hat Quay負責系統映像管理 ●功效：精進DevSecOps推動實務、將資安嵌入軟體開發生命週期 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2023/8/8 19:46作者李宗翰https://www.ithome.com.tw/review/158127
微軟開源ONNX Script函式庫，供開發者以Python簡單編寫ONNX模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟釋出開源函式庫<a href="https://cloudblogs.microsoft.com/opensource/2023/08/01/introducing-onnx-script-authoring-onnx-with-the-ease-of-python/">ONNX Script</a>，該工具可讓開發者直接以程式語言Python編寫ONNX模型，而這也是新PyTorch ONNX匯出工具的基礎，用以更好地支援PyTorch 2.0即時編譯器TorchDynamo。微軟計畫將ONNX Script貢獻給Linux基金會旗下的ONNX GitHub組織。 微軟投資發展ONNX Script，便是為ONNX與PyTorch進一步深度整合鋪路。微軟從PyTorch 0.3.0時候開始在ONNX支援PyTorch，而現在PyTorch已經發展到2.0，甚至即將發布2.1，TorchDynamo加入代表著序列化模型工具TorchScript即將退役，因此原本的ONNX匯出工具也會需要大改。 為此，微軟重新規畫了ONNX匯出的基礎，ONNX Script便是這項基礎的最新成果。微軟在去年底的時候開始這項工作，並且與PyTorch工程師密切合作，確保TorchDynamo能夠正確無誤地匯出ONNX模型。 過去開發者在編寫ONNX模型時，需要對ONNX模型的規範和序列化格式有深入的理解，雖然微軟對此還釋出了簡化流程的API，在很大程度抽象化序列化格式，但是使用者仍需要非常熟悉ONNX的結構，才能夠順利完成工作。 而微軟新釋出的ONNX Script採用了新方法，並透過開發者普遍對Python的理解，使編寫ONNX模型變得更加容易。ONNX Script對ONNX中的所有運算子，提供強型態API，因此現有的Python工具、語法檢查器以及IDE，都能夠提供有參考價值的回饋，並且確保執行正確性，而且因為ONNX Script支援Python語言結構，因此熟悉Python的開發者，便能夠更自然地編寫ONNX模型，包括條件、迴圈，還有一元或二元運算子等。 ONNX Script融合了Python語言和ONNX模型的優點，不只擁有Python可讀性和生產力，也能利用現有Python和ONNX工具，對ONNX模型靜態推理，也就是說，用戶可以不實際執行模型，就可透過工具理解和最佳化模型行為。 整體來說，ONNX Script提供一種新的Python程式開發模型，在開發者創建ONNX模型的時候，可以使用熟悉的Python語言，以獲得更好的開發體驗。 微軟視ONNX Script為定義和擴展ONNX的手段，新的核心運算子和高階函式都已經能夠用ONNX Script編寫，而這也加速了ONNX標準的演進。在之後，微軟也會提供轉換ONNX到ONNX Script的支援，讓開發者可以無縫編輯既有模型，使得ONNX模型更容易最佳化和維護。 </div></div></div>
2023/8/8 08:32作者李建興https://www.ithome.com.tw/news/158164