iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】11月8日，駭客組織SideCopy利用WinRAR高風險漏洞發動攻擊，針對印度政府機關而來，Linux電…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">長期鎖定印度政府機關、軍事單位的駭客組織SideCopy，最近發起了新的攻擊行動，主要是透過WinRAR漏洞CVE-2023-38831，對Windows電腦植入多種惡意程式。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但與過往攻擊行動不同之處，在於這些駭客也使用相同的基礎設施，開始針對Linux主機散布惡意程式，這很可能與印度政府打算導入此種作業系統的政策有關。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/sidecopy-exploiting-winrar-flaw-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度政府機關遭到駭客組織SideCopy鎖定，利用WinRAR漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideCopy_Oct2023-Ares-2_drawio.png" style="width: 300px; float: right;" /></a>資安業者Seqrite<a href="https://www.seqrite.com/blog/sidecopys-multi-platform-onslaught-leveraging-winrar-zero-day-and-linux-variant-of-ares-rat/">揭露巴基斯坦駭客組織SideCopy近期的攻擊行動</a>，這些駭客鎖定印度，積極利用WinRAR的漏洞CVE-2023-38831，對Windows電腦部署AllaKore RAT、DRat等惡意軟體，但他們也看到駭客對於Linux電腦植入Ares RAT變種惡意程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">攻擊者先是透過網路釣魚手法，引誘使用者下載PDF誘餌檔案，但實際上為Windows捷徑檔案（LNK），一旦開啟此檔，電腦就有可能執行遠端的HTA檔案，從而檢查電腦安裝的.NET版本、防毒軟體資訊，然後使用Base64編碼解密，於記憶體內執行惡意DLL檔案，為了執行這個DLL檔案，駭客會濫用Windows內建的公用程式，如credwiz.exe、rekeywiz.exe，以DLL側載（DLL Side-loading）手法載入惡意DLL檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安新聞網站Hacker News認為，這些駭客針對Linux電腦下手並非巧合，原因是印度政府與國防部門打算使用名為Maya OS的Linux版本，逐步取代Windows作業系統。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://unit42.paloaltonetworks.com/agonizing-serpens-targets-israeli-tech-higher-ed-sectors"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客Agrius鎖定以色列教育機構、科技產業而來，竊得資料後進行破壞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-131008-3.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露從今年初開始發生的攻擊行動，伊朗駭客組織Agrius（亦稱BlackShadow、Pink Sandstorm、Agonizing Serpens）自1月開始，鎖定以色列教育機構及高科技組織而來，這些駭客的主要目的是竊取個資與智慧財產，但值得留意的是，一旦對方得逞，就會使用資料破壞軟體（Wiper）進行破壞，這些程式包含了MultiLayer、PartialWasher、BFG Agonizer、Sqlextractor。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">攻擊者先是針對存在弱點、曝露於網際網路的網頁伺服器下手，取得目標組織網路環境的初始存取權限，隨後部署多個Web Shell，以便持續於目標組織進行活動。對方透過Nbtscan、WinEggDrop、NimScan進行偵察，然後利用Mimikatz，或是藉由暴力破解或密碼噴灑來取得SMB的密碼，藉此提升權限。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">接著他們透過Plink進行橫向移動，然後從資料庫或是重要的伺服器竊密，並透過WinSCP、Putty等工具傳輸至C2伺服器，最終執行資料破壞軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securityintelligence.com/x-force/gootbot-gootloaders-new-approach-to-post-exploitation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式GootLoader出現變種，駭客透過WordPress網站下達攻擊命令</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz0yNDg0NzRlNjc5YmYxMWVlYmM1MzhhYjUzMTJhOWI2Zg%3D%3D.png" style="width: 300px; float: right;" /></a>IBM旗下的威脅情報團隊X-Force揭露新一波的GootLoader攻擊行動，駭客組織Hive0127（亦稱UNC2565）透過搜尋引擎最佳化中毒（SEO poisoning）的手法，假借提供合約、法律表單、業務文件的名義，將使用者重新導向至遭到入侵的WordPress網站，攻擊者將這些網站竄改成線上論壇，引誘受害者上當，依照指示下載帶有惡意酬載的壓縮檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此壓縮檔案內有透過混淆處理的JavaScript指令碼，使用者若是執行，電腦就會接收另一個JavaScript檔案，以便讓攻擊者持續在受害電腦活動，並觸發PowerShell指令碼GootBot收集系統資訊，並嘗試存取C2伺服器。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">GootBot是GootLoader的變種，攻擊者藉此於受害電腦植入各式惡意程式，或是進行偵察工作、於網路環境裡橫向移動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Slide1-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-3.png" style="width: 300px; float: right;" /></a>為防範駭客濫用作業系統的功能於安卓裝置植入惡意程式，Google於去年8月發布的Android 13當中，導入了名為受限制設定（Restricted Settings）的安全措施，目的是防堵外部的APK安裝程式，使其無法存取影響層面廣泛的功能，例如：輔助功能、通知監聽功能。但如今，已有駭客開發相關工具，繞過這樣的防護機制。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者ThreatFabric揭露名為SecuriDropper的惡意程式載入工具，駭客通常會將其偽裝成合法應用程式來引誘使用者上當，其中冒充的程式類型，又以Google應用程式與安卓更新最多，其次是多媒體播放程式、資安防護軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦使用者依照對方指示安裝，過程中對方就會要求提供讀寫內部儲存空間、安裝及刪除套件的權限，接著就會透過介面操縱的手法，要求使用者執行「重新安裝」，於受害手機植入其他惡意軟體。研究人員看到駭客利用此惡意程式載入工具，部署了SpyNote、Ermac、Zombinder等惡意軟體。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google行事曆被找出用作C2基礎架構的方法？有惡意程式開發者宣稱能辦到，引起駭客圈熱議</span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Google於近期發表的第8份威脅視野報告（Threat Horizons report）當中，揭露從今年6月出現的惡意程式Google Calendar RAT（GCR），開發者表明他所打造的指令碼，能夠將Google Calendar的事件描述轉換成C2加以濫用，該公司旗下Mandiant威脅情報團隊發現，這種隱密的手法引起網路犯罪圈高度關注，雖然上述工具尚未被用於攻擊行動，但已有許多駭客於地下論壇分享這種概念性驗證攻擊（PoC）程式。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，攻擊者若在受害電腦執行GCR，該程式會定期從Google Calendar拉取事件描述，從而執行其中的命令，然後再以執行輸出的結果更新事件描述內容。由於過程中都使用Google的基礎設施，導致防守方要察覺異常活動更加困難。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://source.android.com/docs/security/bulletin/2023-11-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布11月安卓更新，修補37個漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日Google發布本月份安卓例行更新，總共修補37個漏洞。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，在系統與框架的部分有15個漏洞，其中最嚴重的是列為重大等級的資訊洩露CVE-2023-40113，攻擊者有可能在無須取得特殊執行權限的情況下利用，影響11至13版安卓作業系統。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其餘修補的漏洞與Arm、聯發科、高通的元件有關，當中有4個高通元件的漏洞被列為重大等級。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/marina-bay-sands-discloses-data-breach-impacting-665-000-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新加坡濱海灣金沙旅館資料外洩，波及66.5萬名房客</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.news18.com/india/indias-biggest-data-leak-so-far-covid-19-test-info-of-81-5cr-citizens-with-icmr-up-for-sale-exclusive-8637743.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度發生史上規模最嚴重的資料外洩事件，醫療機構洩漏8.15億民眾個資</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://blogs.vmware.com/security/2023/11/jupyter-rising-an-update-on-jupyter-infostealer.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體Jupyter Infostealer透過簽章迴避偵測</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.securityweek.com/free-tool-helps-industrial-organizations-find-opc-ua-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為了讓企業能找出OPC UA組態不當及弱點，資安業者推出掃描工具OpalOPC</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159691"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks買下資料安全態勢管理新創Dig Security、企業瀏覽器新創Talon</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159685"><strong>【11月7日】鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerber加密伺服器的檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> </div></div></div>
2023/11/8 18:02作者周峻佑https://www.ithome.com.tw/news/159699
【資安日報】11月7日，鎖定Atlassian Confluence重大漏洞的攻擊行動出現，駭客透過勒索軟體Cerbe…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">最近訊息導向中介軟體ActiveMQ、DevOps協作平臺Confluence分別出現重大漏洞CVE-2023-46604、CVE-2023-22518，如今皆有駭客對其發動勒索軟體攻擊、加密檔案，而造成災情。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中，值得留意的是針對Confluence的攻擊行動，因為過程中駭客不只利用最近才修補的漏洞，還串連另一個上個月揭露的重大漏洞進行攻擊，這代表受害組織兩個漏洞都還沒修補，而讓對方有機可乘。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-bug-exploited-in-cerber-ransomware-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Cerber利用Atlassian Confluence重大漏洞發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Internet-exposed Atlassian Confluence servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Internet-exposed%20Atlassian%20Confluence%20servers.png" style="width: 300px; float: right;" /></a>上週軟體開發服務業者Atlassian發布資安通告，指出旗下DevOps協作平臺Confluence存在重大漏洞CVE-2023-22518，影響所有版本的Confluence Data Center、Confluence Server，如今傳出有勒索軟體駭客將其用於攻擊行動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">威脅情報業者GreyNoise提出警告，他們看到漏洞攻擊行動從11月5日開始出現，資安業者Rapid7則是在客戶的Confluence伺服器上，發現攻擊者不僅利用CVE-2023-22518，還利用另一個漏洞CVE-2023-22515（CVSS風險評為10分）進行權限提升，後續攻擊者從特定IP位址下載惡意酬載，導致Confluence伺服器感染勒索軟體Cerber。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而對於該漏洞曝險的狀態，Shadowserver基金會指出，全球有超過2.4萬個<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Confluence系統曝露於網際網路，但究竟有多少執行個體存在漏洞，仍有待釐清。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://twitter.com/Andrew___Morris/status/1721164901052268590">https://twitter.com/Andrew___Morris/status/1721164901052268590</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/">https://www.rapid7.com/blog/post/2023/11/06/etr-rapid7-observed-exploitation-of-atlassian-confluence-cve-2023-22518/</a><br /> 3. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=30&vendor=atlassian&model=confluence&group_by=geo&style=stacked</a></span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://arcticwolf.com/resources/blog/tellmethetruth-exploitation-of-cve-2023-46604-leading-to-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體TellYouThePass針對Apache ActiveMQ重大漏洞下手</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月底訊息導向中介軟體ActiveMQ公告修補漏洞CVE-2023-46604，因CVSS風險高達10分而引起大家關注，繼資安業者Rapid7發現勒索軟體HelloKitty的攻擊行動，前幾天又有研究人員看到新的漏洞攻擊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月3日資安業者Arctic Wolf指出，利用上述漏洞的攻擊行動很可能在10月10日就開始，他們最初看到有人在Windows Server伺服器上，部署惡意程式SparkRAT，此為Go語言打造的跨平臺木馬程式，會為受害伺服器建立指紋，並回傳C2。後來，有第二組人馬從另一個IP位址，進行兩起勒索軟體攻擊，其中一起就是Rapid7揭露的勒索軟體HelloKitty攻擊，這是針對Windows電腦而來的攻擊行動；而另一起攻擊行動則是針對Linux版ActiveMQ伺服器而來，攻擊者利用勒索軟體TellYouThePass的變種「HelloKittyCat」加密檔案。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這些勒索軟體攻擊行動，不僅攻擊來源IP位址相同，所使用的比特幣錢包位址也一樣，很有可能是同一組人馬所為。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://jaysbrickblog.com/news/bricklink-is-currently-down-due-to-a-suspected-hacking-cybersecurity-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">樂高市集BrickLink被迫關閉，傳出賣家收到勒索訊息</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LEGO-Bricklink-Hack-Message.jpg" style="width: 300px; float: right;" /></a>根據樂高新聞網站Jay's Brick Blog的報導，樂高交易市集BrickLink於11月3日關閉，此消息發布之際，市集已停止服務近5個小時，當時業者僅透露正在著手調查異常活動。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而根據該市集用戶於臉書社團、Reddit群組的討論，他們懷疑BrickLink遭遇網路攻擊事故，多個商店與賣家的帳號外洩，而這些賣家也張貼自己遭到勒索的訊息，駭客要求限時以加密貨幣支付贖金，否則將清除市集裡的商店及庫存等資料。攻擊者聲稱，他們挾持包含管理員在內的所有BrickLink帳號。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日，BrickLink經營團隊終於公開坦承現況，他們表示，有少部分帳號遭到未經授權存取。而對於該網站離線的原因，有人推測，很可能是因為駭客存取了數十個買家及賣家的帳號並用來行騙，BrickLink經營團隊為防止事態擴大，決定將網站關閉。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/">https://www.reddit.com/r/Bricklink/comments/17n24zi/has_bricklink_been_hacked/</a><br /> 2. <a href="https://twitter.com/BrickLink/status/1721279577262043605">https://twitter.com/BrickLink/status/1721279577262043605</a><br /> 3. <a href="https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/">https://www.reddit.com/r/Bricklink/comments/17n6mpq/public_service_announcement_regarding_bricklink/</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/ace-hardware-says-1-202-devices-were-hit-during-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">跨國聯鎖五金零售業者Ace Hardware系統遭遇網路攻擊，有駭客企圖騙取零售門市的帳號</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">10月30日跨國聯鎖五金零售業者Ace Hardware向客戶發出公告，表明在29日早上偵測到網路安全事故，影響該公司大部分的IT系統，包含倉庫管理系統、Ace零售行動助理ARMA、發票系統、客戶回鐀系統Ace Rewards、客戶關懷電話系統皆面臨中斷或暫停運作的情況。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該公司後來於30日晚間發布新的公告，表示相關系統仍持續停擺，電子商城雖然能搜尋及檢視產品，但無法下單，此外，零售門市的POS系統與信用卡處理系統不受影響。資安新聞網站Bleeping Computer指出，Ace Hardware向零售門市透露，他們經營的1,400臺伺服器當中，有1,202臺遭到網路攻擊，該公司著手復原當中。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">但在此同時，有人對零售門市進行網路釣魚攻擊，有些攻擊者寄送釣魚郵件，要求在Ace Hardware系統恢復之前，將款項支付給替代網站；也有人聲稱是Epicor Software Corporation的代表，打電話給這些零售門市，要他們提供帳密資料進行故障排除。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-critical-command-injection-flaws-in-qts-os-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通揭露NAS作業系統的重大命令注入漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月4日臺灣NAS設備製造商威聯通（QNAP）發布資安通告，指出旗下的網路設備作業系統QTS、QuTS hero、QuTScloud存在重大漏洞CVE-2023-23368、CVE-2023-23369，這兩個都是作業系統命令注入漏洞，攻擊者有可能遠端執行命令，CVSS風險評分為9.8、9.0。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這兩個漏洞的影響範圍不同，CVE-2023-23368牽涉到QTS 4.5及5.0、QuTS hero h4.5及h5.0、QuTScloud c5.0.1，另一個漏洞則是影響QTS 4.2、4.3.3、4.3.4、4.3.6、5.1，以及多媒體管理應用程式Multimedia Console 1.4、2.1，多媒體串流附加元件500.0、500.1。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資料來源</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">1. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-31">https://www.qnap.com/zh-tw/security-advisory/qsa-23-31</a><br /> 2. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-35">https://www.qnap.com/zh-tw/security-advisory/qsa-23-35</a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.veeam.com/kb4508"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IT監控解決方案Veeam ONE存在重大漏洞，攻擊者可遠端執行任意程式碼</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月6日Veeam針對旗下IT監控解決方案Veeam ONE發布資安通告，他們公布了4個漏洞，其中有2個是重大等級。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">根據CVSS風險評分的分數來看，最嚴重的是CVE-2023-38547，攻擊者能在未經授權的情況下，用於取得Veeam ONE配置資料庫的存取資訊，而有可能遠端於此系統搭配的SQL Server上執行任意程式碼，CVSS風險評分為9.9，影響11、11a、12版Veeam ONE。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">另一個重大漏洞是CVE-2023-38548，攻擊者若是能夠存取Veeam ONE的網頁版用戶端，並使用不具特殊權限的用戶身分，有機會收集Veeam ONE Reporting Service所使用的帳號之NTLM雜湊值，CVSS風險評分為9.8，影響12版Veeam ONE。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://thehackernews.com/2023/11/google-warns-of-hackers-absing-calendar.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google警告駭客濫用旗下Calender服務充當C2基礎架構</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.threatfabric.com/blogs/droppers-bypassing-android-13-restrictions"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器SecuriDropper繞過新版安卓防護機制部署惡意程式</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://securelist.com/spyware-whatsapp-mod/110984/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">間諜軟體CaneSpy透過竄改的即時通訊軟體WhatsApp散布</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.avanan.com/blog/the-rise-in-qr-code-attacks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">今年9月QR Code釣魚攻擊爆增587%</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159667"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">身分驗證管理業者Okta對10月遭駭事件完成調查，134位客戶資料被洩漏</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159660"><strong>【11月6日】濫用企業臉書帳號散布NodeStealer竊資軟體的攻擊行動再度出現，想看裸照的使用者是目標</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159633"><strong>【11月3日】訊息導向中介軟體ActiveMQ重大漏洞出現攻擊行動，駭客用於投放勒索軟體HelloKitty</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159609"><strong>【11月2日】伊朗駭客組織利用後門程式Liontail攻擊Windows伺服器，鎖定中東地區的政府機關與金融單位而來</strong></a></p> </div></div></div>
2023/11/7 18:02作者周峻佑https://www.ithome.com.tw/news/159685
Google將推Android新API強化嵌入式媒體信任驗證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布將推出一項新的實驗性<a href="https://android-developers.googleblog.com/2023/11/increasing-trust-for-embedded-media.html">Android WebView Media Integrity API</a>，此API的主要功能，是要簡化並加強現有嵌入式媒體信任機制。媒體供應商可以透過自訂一系列完整性回應，讓嵌入應用程式安裝自任意應用商店的情況下，都能確保串流媒體可以在安全且受信任的環境中運作。</p> <p>這個新API是Google之前的網頁環境完整性（Web Environment Integrity）提案的後續，而之所以Google會有這一系列動作，原因在於要改善Android WebView API在安全性和隱私性的問題。Android開發人員要在其應用程式中顯示網頁並嵌入媒體，便可以使用WebView API，藉由靈活的UI控制和進階配置選項，開發者可以在應用程式無縫地顯示網頁內容。</p> <p>雖然這帶來很大的靈活性，但Google提到，這個方法可能被濫用，甚至用於詐騙目的。因為WebView API讓開發人員可以存取網路內容，並攔截或是修改與使用者的互動，雖然當應用程式嵌入自有網頁內容時非常方便，但是當嵌入的資源來自第三方，就無法阻擋不良行為者修改內容，並扭曲與使用者的互動。</p> <p>在7月的時候，Google Chrome團隊提出網頁環境完整性API提案，允許網站透過數位簽證令牌，用以確認客戶端的硬體和軟體堆疊符合特定標準，雖然目的也是要讓網路變得更加隱私且安全，但是API提案一出，便引來社群強烈反彈，因為該提案內容與數位版權管理（DRM）有許多相似之處，普遍被認為可能限制通用運算，並且對網路的開放性造成威脅。</p> <p>而Google在聽取社群意見之後，決定放棄網頁環境完整性提案，並且改提出Android WebView Media Integrity API。相較之下，新API範疇更為限縮，僅針對應用程式中嵌入的WebView，透過擴展現有功能，在具有Google行動服務（GMS）的Android裝置上，針對像是串流影片和音訊等嵌入式媒體，沒有計畫擴及Android WebView之外的範疇和平臺。</p> <p>新API使嵌入式媒體提供者能夠自訂完整性回應，以便確保串流媒體能夠在安全且受信任的環境中運作。判斷依據來自於應用程式和裝置的後設資料，但其中不會包含使用者或是裝置識別碼，而且與使用Play Integrity API的應用程式和遊戲不同，媒體供應商不會獲得應用程式的Play授權狀態，並且應用程式還可以選擇在判定結果中排除套件名稱，也就是其提供一種隱私機制，讓開發人員選擇隱藏應用程式的名稱，保護隱私安全。</p> <p>官方提到，制定這項API的目標是要維持Android應用程式中，多樣化的媒體內容生態系。Google預計在明年啟動Android WebView Media Integrity API早期存取計畫。</p> </div></div></div>
2023/11/6 08:48作者李建興https://www.ithome.com.tw/news/159627
Brave推出瀏覽器AI助理Leo，強調匿名性、正確性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google Chrome及微軟Edge之後，<a href="https://brave.com/leo-launch" target="_blank">瀏覽器開發商Brave也推出了桌機版Brave瀏覽器原生AI助理Leo</a>，強調不蒐集對話、不追蹤用戶，且使用新方法減少AI幻覺問題，此外也公布Brave Premium付費服務。</p> <p>Leo是以今年春天推出的<a href="https://www.ithome.com.tw/news/155766" target="_blank">Brave搜尋AI Summarizer</a>為基礎開發而成，可於搜尋列開啟。<a href="https://brave.com/leo-release/" target="_blank">Brave 8月透過Nightly通道（1.59版）開放</a>開發人員及用戶下載測試Brave及Leo，有數萬人下載試用。昨日Brave正式釋出包含Leo的桌機版瀏覽器Brave 1.60版。</p> <p>Leo可免費使用，用戶可針對他造訪網頁提出各種要求，例如為網頁文章摘錄重點、生成影片字幕、翻譯網頁、分析／改寫或擴充原有網頁內容。和其他生成式聊天機器人不同的是，Leo的回應全部以網頁內容為基礎，而非憑空生成資訊。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1103-Brave%20GenAI%20Leo-3-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1103-Brave%20GenAI%20Leo-3-600.png" style="width: 500px;" /></a></p> <p><a href="https://techcrunch.com/2023/10/06/brave-lays-off-9-of-its-workforce/" target="_blank">上個月才宣布裁員</a>9%的Brave昨日也介紹付費版Leo Premium服務，每月15美元，藉此拓展營收。免費版Leo是以Meta開源特別強化安全性的Llama 2為底層模型。Leo Premium則提供Claude Instant模型，後者是Anthropic開發更快、更輕盈的模型，著重邏輯推理和程式碼撰寫。現行版本比前代提供更結構化的回應、更能準確執行指令，數學、程式、多語言及回應問題能力也皆有提升。</p> <p>Brave並與Anthropic技術整合以提高回應的準確率。Anthropic使用Brave的搜尋API搜尋網頁內容來訓練最新模型Claude 2，以協助Claude產品執行檢索增強的生成（retrieval-augmented generation，RAG）。RAG技術可藉由存取外部知識來源，使回應更正確，減少生成式AI的幻覺問題。</p> <p>Brave表示之後Premium會再加入其他模型，也會強化網路速限、對話品質，並提供尖峰用量時優先排序，以及早鳥使用新功能等服務。</p> <p>此外，Brave也強調Leo的安全性。在免費版中，Leo的對話是匿名、不公開的，不會紀錄對話，Brave也不會用它來訓練模型，要使用Leo也不用帳號或登入帳號。它使用反向代理（reverse proxy）技術，所有呼叫都經由匿名服器傳送，因此Brave無法建立呼叫和用戶IP位址的關聯性。</p> <p>而在Premium版本中，用戶註冊後會被發派無法連結的令牌來驗證訂閱，這表示Brave無法將使用活動和用戶購買資訊連結起來，用戶的電子郵件只能用於驗證訂閱，但無法追溯在Leo上的一舉一動，可提升用戶的隱私保護。</p> <p>目前Leo及Leo Premium<a href="https://brave.com/leo" target="_blank">可從桌機版Brave 1.6版使用或購買</a>，未來幾個月內會再推出Android及iOS版。</p> </div></div></div>
2023/11/3 13:21作者林妍溱https://www.ithome.com.tw/news/159622
JetBrains釋出跨平臺開發工具Kotlin Multiplatform第一個穩定版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains正式推出跨平臺開發工具<a href="https://blog.jetbrains.com/kotlin/2023/11/kotlin-multiplatform-stable/">Kotlin Multiplatform（KMP）</a>，讓開發人員可以在不同平臺間共享程式碼，但同時又能保留原生程式開發的優勢。目前Kotlin Multiplatform已經進入穩定階段，用戶可以將其用於開發環境中。</p> <p>KMP的核心由多個部分組成，包括編譯器、語言功能、函式庫API、IDE、建置工具等，其被設計為一個高靈活性和適應性的工具，能夠模糊平臺和原生開發之間的界線。開發人員可以重複使用大量的程式碼，並在需要的時候編寫原生程式碼，並將共享的Kotlin程式碼整合到各式專案中。</p> <p>KMP讓開發人員在不同平臺維護單一程式碼庫，特別像是應用程式的邏輯部分，因此可大幅減少開發者，針對不同平臺編寫和維護相同程式邏輯的時間。雖然KMP提供跨平臺的能力，但是KMP也同時讓開發者保有原生程式開發的靈活性，確保效能表現以及使用特定平臺SDK的自由度。針對特定平臺才可使用的功能像是藍牙或GPS，KMP提供特殊語法，讓開發者在這些平臺獨立實現專屬的功能。</p> <p>KMP具有高度靈活性，能夠支援不同程度的程式碼重用和原生程式開發案例，像是開發者可以僅共享部分以Kotlin編寫的重要邏輯程式碼，或是在新專案使用KMP開發，以Kotlin實作全部資料處理和業務邏輯，但在各平臺應用程式維持原生使用者介面，又或是搭配Compose Multiplatform這個JetBrains的宣告式UI框架，跨不同平臺完全共享使用者介面和邏輯程式碼。</p> <p>Kotlin Gradle擴充套件加入預設階層範本功能，來簡化開發者專案配置和維護工作，該功能可以自動配置Kotlin Source Sets，以適應一些常見的應用，減少典型建置腳本需要編寫的樣板程式碼。而在KMP中，JetBrains在Kotlin Gradle擴充套件中新增約50個診斷程式，以檢測常見的建置問題，並提供修復問題的提示，同時改進在Xcode中的Gradle錯誤輸出，使專案原生部分的建置問題更容易被發現。</p> <p>目前開發人員可以在Android、iOS、桌面JVM、伺服器端JVM和網頁上共用程式碼。Google的Android團隊也開始提供多平臺Jetpack函式庫實驗性版本，而Collections、DataStore、Annotations與Paging函式庫，則已經與KMP相容。iOS開發體驗的部分，則有Touchlab開發的SKIE，能夠生成Swift程式碼，並且產生與Swift程式碼介接的API層以橋接Kotlin類型，實現無縫的協程（Coroutines）互通性。</p> <p>JetBrains還在持續發展KMP，並且預計2024年會推出Compose Multiplatform for iOS的Beta版，官方也正在開發Kotlin/Wasm，使得KMP能夠更方便地進行網頁開發，預計明年會推出Compose Multiplatform for Web Alpha版本。</p> </div></div></div>
2023/11/3 08:43作者李建興https://www.ithome.com.tw/news/159613
Windows 11 2023 Update出爐，以Microsoft Teams取代Chat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2023/10/31/how-to-get-the-windows-11-2023-update/" target="_blank">微軟本周二（10/31）正式發布</a>了Windows 11 2023 Update（Windows 11 23H2），以免費版的Microsoft Teams直接取代工作列上預設的Chat聊天功能，同時改善了使用者管理內建Windows程式的介面，這雖然是Windows 11的年度功能性更新，但變更並不大，預計可以在盡量不影響作業的狀態下完成更新。</p> <p>微軟是在2021年的10月發表Windows 11，當時的首個版本名為Windows 11 21H2，第一次的功能更新是2022年9月釋出的Windows 11 22H2，本周釋出的Windows 11 23H2為Windows 11第二次的功能更新。</p> <p>此一更新最主要的改變是讓Microsoft Teams取代Chat，成為Windows 11預設的聊天工具，可用來傳遞文字、通話、開會、建立聊天群組，若連結了Android手機，還可直接透過Microsoft Teams接收與傳送簡訊；它提供了Mini選項，可將視窗縮放到適合放在桌面上的任何位置以方便通訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-Windows%2011%2023H2%20update-new%20SMS%20in%20Teams%20capability.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-Windows%2011%2023H2%20update-mini%20size-Microsoft%20Teams%20(free).png" style="width: 570px;" /></p> <p>另一項改變則是更清楚地列出屬於系統元件的Windows內建程式。原本要找到這些程式必須透過設定~>程式~>所安裝的程式~>系統元件，才能發現，不過，現在這些程式會直接出現在開始功能表中所有程式（All apps）的系統（System）標籤中，也會在設定~>系統中擁有自己的系統元件（System Components）頁面。</p> <p>相關程式包括Game Bar、Microsoft Store、Phone Link及Tips等，媒體對微軟此舉的看法不一，有人認為這是微軟擔心使用者誤刪它們，也有人認為這可能微軟在替允許使用者刪除這些程式而鋪路。</p> <p>還有一個受到關注的是Windows 11 23H2的預設值啟用了一些仍在測試中的新功能，例如Copilot in Windows，其實這些功能先前已出現在Windows 11 22H2中，只是預設值是關閉的。</p> <p><a href="https://support.microsoft.com/en-us/topic/kb5027397-feature-update-to-windows-11-version-23h2-by-using-an-enablement-package-b9e76726-3c94-40de-b40b-99decba3db9d" target="_blank">根據微軟的說明</a>，Windows 11 22H2與23H2採用一致的核心作業系統，其系統檔案完全相同，因此，Windows 11 23H2的新功能已經隨著Windows 11 22H2最新的更新進駐使用者裝置，只是處於休眠狀態，只要系統收到啟用套件便會開通這些功能。這意味著Windows 11 23H2的升級將會更快速並減少停機時間。</p> <p>負責Windows服務與交付的微軟副總裁John Cable表示，Windows 11 23H2是個有限範圍的累積更新，<a href="https://www.zdnet.com/article/windows-11-version-23h2-isnt-exciting-which-is-why-youll-probably-love-it/" target="_blank">《ZDNET》</a>則說，這很可能是Windows史上逾30年來最無趣的一個新版本。</p> </div></div></div>
2023/11/1 13:35作者陳曉莉https://www.ithome.com.tw/news/159578
Google持續耕耘Android對RISC-V的支援，預計2024年推出開發模擬器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google進一步在<a href="https://opensource.googleblog.com/2023/10/android-and-risc-v-what-you-need-to-know.html">Android更全面地支援RISC-V</a>（讀作risk-five），除了針對RISC-V在Android中的支援進行更多的測試和最佳化，讓開發者可以在自己的機器上建置、測試和執行Android對RISC-V的支援，接下來，Google將在2024年推出相關模擬器，並計畫讓Android開發人員能夠編寫RISC-V平臺的原生程式碼。</p> <p>Android開源作業系統能夠被移植到各種裝置和架構，而RISC-V正是Google的下一個目標。Google在2022年11月的時候，在RISC-V大會中宣布Android開始接受針對RISC-V的更新。RISC-V是一個免費且開放的指令集架構（ISA），在10年前由柏克萊大學研究人員與一群工程師開發而成，現在被大量用於嵌入式和微控制器領域中，而近年又逐漸往運算加速器、伺服器和行動運算領域擴展。</p> <p>RISC-V是一種模組化的指令集架構，由多個可選擇的擴充模組構成，模組化設計讓開發者可以根據需求選擇加入，或是不加入特定功能模組。這樣的設計讓RISC-V非常靈活，能夠根據不同的應用場景和硬體需求客製，像是開發者需要開發一個能夠執行浮點數運算的系統，便可以選擇加入RISC-V浮點數運算擴充模組，反之可以選擇不加入，減少硬體成本和複雜性。</p> <p>Google現在已經確定了一組RISC-V初始功能集，確保Android作業系統可以順利的在使用RISC-V架構的CPU上運作，其包含了必要的指令集擴充模組，包含rva22設定檔、向量以及向量加密擴充模組。現在開發者已經可以在自己的電腦上建置、測試和執行Android對RISC-V的支援。</p> <p>雖然現在開發者可以建置和執行基本的Android開源專案體驗，但是這項支援尚未完全最佳化，Android執行環境的最佳化後端工作仍在進行中，此外，AOSP、外部專案以及編譯器也還未能生成經最佳化的程式碼，也沒辦法充分運用向量等最新的擴充模組。</p> <p>Google提到，儘管尚未最佳化，但是已足以進行實驗和合作。在今年稍晚的時候，Google就會確定NDK ABI（Native Development Kit Application Binary Interface），金絲雀版本會先在Android公共持續整合工作管線中提供，並且能夠在x86-64和arm64上測試riscv64 Android應用程式。NDK ABI是指在Android系統中，用於定義原生程式碼與Android作業系統以及其他程式碼溝通的介面。</p> <p>Google預計在2024年公開模擬器，並提供完整的功能集，讓開發者能夠針對各種裝置類型和尺寸測試應用程式，穿戴式裝置將會是第一個可用的裝置類型。</p> <p>Google也提到他們正在擴展對RISC-V生態系的投資，對RISC-V國際組織挹注資源，並且在多個技術委員會和工作組擔任要角，以加速設計和批准規範，同時，Google也和RISE專案合作，加速RISC-V處理器核心執行高階作業系統軟體的可用性。</p> </div></div></div>
2023/10/31 21:36作者李建興https://www.ithome.com.tw/news/159576
超過6成的白帽駭客企圖利用生成式AI來發現漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞懸賞平臺HackerOne上周公布了<a href="https://www.hackerone.com/press-release/hackers-surpass-300-million-all-time-earnings-hackerone-platform" target="_blank">2023年的駭客驅動安全報告（Hacker-Powered Security Report）</a>，發現有61%的白帽駭客正在利用生成式AI（GenAI）來開發各種駭客工具，以用來發現更多的漏洞，同時也有62%的駭客打算專注於開放網路應用安全專案（OWASP）所揭露的大型語言模型（LLM）十大安全漏洞。</p> <p>此一報告是HackerOne針對與該平臺合作的逾2,000位白帽駭客，在去年6月至今年9月間所進行的調查，發現駭客尋找並提報漏洞的最大動機是賺錢，占了80%，但也有高達78%是為了學習，另也有47%表示其駭客行動是為了保護企業與使用者。</p> <p>至於這些白帽駭客鎖定的領域中，由網路及線上服務居冠，占了58%，金融服務則占了53%，零售業與電子商務平臺占了48%，電腦軟體占了43%，政府組織為40%。</p> <p>駭客們通常具備多種技術，高達95%擁有網頁應用測試的專長，但也有63%專精於漏洞研究，47%著重在網路滲透測試，40%的長才在於紅隊測試，另有20%擅長社交工程，18%擅長無線滲透測試。而他們主要把這些技術應用在入侵網站，占了98%，55%用來攻陷API，43%攻擊Android程式，23%攻擊開源碼專案，而攻擊iOS程式或桌面軟體則各占17%。</p> <p>駭客們也對新興的GenAI技術感興趣，認為該技術既能提高生產力也能維持競爭力。有66%的駭客表示他們正在或準備利用GenAI來撰寫報告，53%表示欲利用GenAI來寫程式，還有33%說要用GenAI來降低語言的門檻。</p> <p>另有55%的駭客認為GenAI工具本身可望在未來幾年成為攻擊目標，61%計畫開發基於GenAI的工具來發現更多的漏洞，還有62%準備專研來自OWASP的十大LLM漏洞。</p> <p>事實上，現在已經有14%的駭客把GenAI當作重要的工具，也有53%以某些形式使用GenAI。</p> <p>該調查也詢問了駭客選擇參與特定抓漏專案的原因，其中有73%明白表示是因為豐厚的賞金，有50%的原因是預期可找到大量的漏洞，46%是因為範圍的多樣化，另有45%的駭客表明是為了挑戰與學習的機會。</p> <p>至於駭客不提報漏洞的主要原因則包括回應太慢（60%）、範圍受限（58%）、溝通不良（55%）、獎金太低（48%），以及外界風評太差（44%）等。</p> <p>HackerOne的客戶涵蓋了Coinbase、微軟、GitHub、Goldman Sachs、Slack、General Motors、Hyatt及美國國防部等、於2012年成立以來，該平臺已頒發超過3億美元的抓漏獎金，有30名駭客透過該平臺獲得超過100萬美元的獎金，其中一名駭客的總獎金更突破400萬美元。</p> </div></div></div>
2023/10/30 17:24作者陳曉莉https://www.ithome.com.tw/news/159551
高通發表可跨裝置及系統交流的Snapdragon Seamless技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動晶片大廠高通（Qualcomm）於本周舉行的Snapdragon高峰會上發表了<a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unveils-snapdragon-seamless-to-allow-your-devices-to-wo" target="_blank">Snapdragon Seamless技術</a>，可用來無縫連結採用不同作業系統的各種裝置，還能彼此分享資料與周邊設備，從共享滑鼠與鍵盤，到在不同的裝置上拖曳視窗，以創造一個類似蘋果生態體系的互動環境。</p> <p>Snapdragon Seamless是個跨平臺技術，可讓Android、Windows或是採用其它作業系統的Snapdragon裝置得以發現彼此，亦可共享資訊，如同一個整合系統般地運作。</p> <p>目前高通已將Snapdragon Seamless技術整合到旗下的平臺，包括最新的行動平臺Snapdragon 8 Gen 3，最新的PC平臺Snapdragon X Elite，以及穿戴與聽覺平臺，並計畫於未來延伸至XR、Auto與IoT領域。</p> <p>高通引用了Deloitte今年的消費者調查報告，指出每個美國家庭平均擁有21種不同的數位裝置，大多數時候這些裝置的互動並不好，特別是來自不同製造商的時候，但藉由Snapdragon Seamless，裝置製造商與作業系統業者就能改善消費者的多裝置體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-qualcomm-Snapdragon%20Seamless-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_高通</span></span></p> <p>例如讓滑鼠及鍵盤可以無縫地在PC、手機與平板電腦之間切換，允許不同裝置上的視窗及檔案互相拖放，或是耳機得以根據音源的優先順序自動切換等。</p> <p>迄今包括微軟、Android、小米、華碩、Honor、聯想與OPPO都已與高通合作，準備利用Snapdragon Seamless作為全球的裝置平臺，以推動多裝置體驗，且最快今年就會實現。</p> </div></div></div>
2023/10/26 11:43作者陳曉莉https://www.ithome.com.tw/news/159487
2023Q3零時差資安漏洞激增，短短一個多月爆出20個零時差漏洞，特別是涉及底層漏洞似乎變多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於多數人而言，一談到駭客挖掘並成功利用的零時差漏洞，可能都會認為都是微軟、Google、蘋果等大型科技公司產品的漏洞，又或是企業IT、網通、資安設備的漏洞，其實，相關的風險不僅止於此，最近一個多月以來，多家科技大廠修補零時差漏洞，以及這些漏洞在短時間內就被廣泛利用的新聞不斷，在整理這些消息的過程中，我們發現，有個議題需要大家格外重視，那就是：攻擊者找出這些漏洞、進而濫用的對象，有不少是涉及廣泛運用的開源程式庫與標準協定，因此，這些問題往往造成更大的影響。</p> <p>而且，有些零時差漏洞遭利用，可能並無法在很短時間之內就能發現，在數個月之後，廠商、開源軟體社群、用戶因為有外部資安研究人員投入分析、調查，甚至發生大規模漏洞濫用攻擊才找出漏洞根源，之後才能著手修補。</p> <p>基本上，關於零時差漏洞（zero-days），原本的定義是廠商公告他們掌握的漏洞，但可能當下無法提供修補、緩解方式，或是能提供這些補救措施，但用戶如果沒有儘快處理這些問題，就形成防護空窗期，後來，隨著許多漏洞濫用事故早於廠商公告，現在，零時差漏洞這樣的稱呼也擴大適用範圍，將漏洞在修補程式公開之前就被利用的攻擊納入，而這種行為也稱為零時差漏洞利用（zero-days exploited）。</p> <p>因此，從過往諸多事件來看，零時差漏洞利用的活動可分為兩類，第一種，攻擊者先發現新的未知漏洞、用於攻擊行動後，經過資安業者或產品業者調查，才知道有這樣的零時差漏洞，需要打造修補程式；另一種則是有新的漏洞被公開，但還沒有修補程式釋出，因此將有零時差漏洞的風險，可能有攻擊者在修補釋出前成功利用，或是根本不會有修補的情形。</p> <p>過程中，若要縮短漏洞防護空窗期，有賴於業者與用戶積極修補漏洞與部署補救與緩解機制，同時示警有哪些漏洞已遭利用，將這些情資傳播開來，讓大家對這些已知漏洞產生警覺，及早採取行動預防或因應。</p> <p>值得關注的是，最近一個月，科技大廠修補零時差漏洞的新聞不斷，這些廠商在發布安全通告或釋出修補的當下，已表明獲知該漏洞已有遭利用的情況，由於這段期間消息相當密集，多到幾乎平均每週都有3到4起的情況，格外引發我們的關注。</p> <p>在此同時，我們甚至察覺與以往的不同之處，有些零時差漏洞的影響，其實比大家原先預估的廣泛，甚至，有時不一定能很快發現攻擊者利用哪個未知漏洞。</p> <h2><strong>今年攻擊者濫用零時差漏洞情況大增</strong></h2> <p>攻擊者先發現漏洞並利用於攻擊行動的情況，近期到底有多嚴峻？根據我們的統計，2023年9月至10月上半，就出現多達20個零時差漏洞已遭利用的消息，逼近每兩天就冒出1個零時差漏洞的狀態。</p> <p>這樣的數量不尋常嗎？以資安廠商Mandiant近年發布的零時差漏洞濫用研究報告來看，<a href="https://www.mandiant.com/resources/blog/zero-days-exploited-2022">2022一整年遭大規模濫用的零時差漏洞數量是55個</a>，2021年達到歷年最高，多達81個。</p> <p>若是以上述統計數據，平均每個月有4到7個零時差漏洞，顯然，最近這一個多月來的零時差漏洞，數量快到達到月平均的3倍，確實出現得相當頻繁且密集。</p> <p>事實上，單就2023一整年而言，零時差漏洞數量之多，可能不只是超越以往，而是大暴增！在9月舉行的mWISE 2023大會上，Google Cloud Mandiant Intelligence主席Sandra Joyce透露，今年截至9月初為止，已發現62個零時差漏洞被用於駭客攻擊，因此，2023年數量是有可能再創新高。</p> <p>再從個別廠商修補動向來看，今年初至10月11日，微軟已修補24個零時差漏洞，蘋果已修補16個零時差漏洞。</p> <p>整體而言，最近這一個多月，有哪些業者的產品服務，遭零時差漏洞攻擊鎖定？包括：Google、思科、蘋果、微軟、Adobe、趨勢科技、Arm、Atlassian等，較特別的是，我們看到一些漏洞影響更是深遠，包括涉及開源程式庫libwebp、libvpx的漏洞，以及HTTP/2協定的漏洞。</p> <p>當然，幕後又是那些攻擊者先挖掘出未知漏洞，並實際利用於攻擊行動，也令大家感到好奇？儘管許多攻擊事件的事件全貌仍有待公布，綜合上述這些零時差漏洞攻擊來看，有些攻擊的幕後黑手已被找到，這些攻擊者的身分與往年資安業者的揭露相當，包含，國家級駭客組織、商業間諜公司、勒索軟體組織等。</p> <p>例如，9月6日思科公布漏洞修補消息，多家資安業者指出發動濫用攻擊的是Akira勒索軟體組織；9月7日、11日的蘋果與Google發布零時差漏洞修補，加拿大公民實驗室指出，攻擊這些漏洞的團體，有商業間諜駭客公司NSO Group商業間諜駭客公司與其客戶；9月21日蘋果公布漏洞修補，加拿大公民實驗室與Google TAG小組指出，對此發動攻擊的人，是商業間諜駭客公司Cytrox/Intellexa及其客戶；10月4日Atlassian發布漏洞修補，微軟指出濫用此漏洞進行攻擊的人，是中國駭客組織Storm-0062。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站主圖）近期多達20個零時差漏洞被用於駭客攻擊.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96%EF%BC%89%E8%BF%91%E6%9C%9F%E5%A4%9A%E9%81%9420%E5%80%8B%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E%E8%A2%AB%E7%94%A8%E6%96%BC%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A.jpg" style="width: 600px;" /></a></p> <h2><strong>釋出修補是當務之急，廠商與用戶都有責任</strong></h2> <p>在這20個零時差漏洞攻擊中，除了導致的災情，修補的狀態仍是普遍企業關注焦點，我們從中整理出目前觀察到的現況。</p> <p>一般而言，由於這些零時差漏洞攻擊涉及使用未知漏洞，因此大多數相關消息先聚焦在漏洞的通報，等到修補的釋出，再同時將未知漏洞公開，大多數零時差漏洞消息的曝光皆是如此。</p> <p>特別的是，也有廠商選擇先公開揭露漏洞、提出緩解措施，後續才釋出更新修補。例如，思科在9月6日修補的零時差漏洞（CVE-2023-20269），就是先公告漏洞警訊並提出緩解措施，等到在9月27日發布暫時的修補更新，10月11日釋出新版正式修補。</p> <p>另一種情形的處理順序剛好相反，例如，趨勢科技在9月19日公開揭露旗下產品的零時差漏洞（CVE-2023-41179），提醒已觀察到嘗試利用情形，但修補在這之前就已釋出。他們表示，受影響的Apex One SaaS在7月即修補，其他受影響產品，相關更新修補也在7月至9月12日之間陸續釋出。</p> <p>是否因為攻擊嚴重性，而採取不同措施對予以應對？像是已經出現大規模攻擊，因此，需要先一步向外界示警、提出緩解，共同因應，或是為了掌握更多攻擊情資，要先暗中通知用戶更新修補，之後才對外公開。有些廠商會特別說明這部份考量，而有些不會，而且也不一定每次都表明，因此，外界也無法掌握這部份狀況。</p> <p>還有一種情況，是因為上下游而導致修補時間被拉長。<a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html">Google TAG小組曾經指出Android上的n-day漏洞問題</a>，像是去年Arm公布修補一個漏洞，但Android系統修補該漏洞是隔年4月，這段期間，其實在Arm修補揭露的下一個月，就發現有駭客開始利用該漏洞。</p> <p>也就是說，攻擊者可以利用已知的n-day漏洞，將其作為0-day來發動攻擊。</p> <p>最近已有轉變，例如，在10月2日，Arm修補Mali GPU Driver的CVE-2023-4211漏洞，我們發現同日Android也修補，已在每月Android例行安全更新公告，說明修補同個漏洞。</p> <p>儘管還有下游手機製造商是否會盡速修補的問題，但我們認為，如今至少縮短了上游供應商、平臺的修補時間差。</p> <p>當然，更重要的是，用戶也要實際行動。否則只有廠商釋出修補，也示警攻擊者已經成功利用，但用戶裝作不知情、沒有去取得更新並修補，等於用戶沒有盡到自身之責。過去我們就看過很多例子，在廠商已經釋出修補後，資安研究人員發現網路上還是有很多設備存在曝險的情形。</p> <h2><strong>要找出已被用於攻擊的未知漏洞，可能沒那麼容易</strong></h2> <p>對於零時差漏洞的因應挑戰，我們從近期事件注意到一件事，有些漏洞利用的情形，其實並不容易追查出，即使發現攻擊行動可能利用某途徑，仍有可能數個月後才被廠商知曉、修補被濫用的漏洞根源。</p> <p>例如，9月6日思科所示警並公布的漏洞CVE-2023-20269，揭露了起因是AAA協定與其他軟體功能缺乏適當區隔，並提及此漏洞是在解決思科技術支援案例時發現，也感謝Rapid7通報了漏洞利用的情形。另也說明，他們在8月已察覺外部有漏洞利用情況。</p> <p>這個漏洞的CVSS評分為5.0，並不高，但其實，思科在8月24日的Cisco部落格上，就曾經表示察覺相關威脅報告，指出勒索軟體組織Akira鎖定未啟用MFA的思科VPN的情形。</p> <p>甚至，向思科通報的資安業者Rapid7在8月29日指出，最早從今年3月30日，就觀察到針對思科ASA SSL VPN設備的攻擊活動，並確定至少11個企業在3月到8月間遇害。</p> <p>而且，還有多家資安業者早就發現跡象，例如，Sophos在5月看到勒索軟體Akira的攻擊手法，疑似是針對尚未採用雙因素驗證的SSL VPN系統下手，惡意軟體分析員Aura與SentinelOne則是在8月確認，被針對的SSL VPN系統廠牌是思科。</p> <p>換言之，這個零時差漏洞帶來的危害，可能已經長達半年之久。而並非我們可能想像的，一旦零時差漏洞被利用於攻擊行動，外界很快就可以發現並予以修補。</p> <h2><strong>攻擊者挖掘利用的0-day，涉及上游或底層的情形增加</strong></h2> <p>另一個關注焦點是，攻擊者利用零時差漏洞來發動攻擊，能透過一次行動就造成大規模的攻擊，因此愈受歡迎的品牌，通常愈容易被當做目標，包括微軟、蘋果、Google，還有各式企業使用的IT、網通設備產品等。</p> <p>特別的是，我們發現最近攻擊者挖掘的零時差漏洞，不只上述Arm的零時差漏洞被攻擊者發現並利用，還有3個也是涉及上游或底層的狀況，是過去較少見的態勢。</p> <p>例如，在9月11日Google修補的漏洞CVE-2023-4863，最初，這似乎只是瀏覽器中的漏洞，但隨著資安界不斷揭露新的資訊，大家才知道影響層面相當廣泛。</p> <p>Google在修補此CVE-2023-4863時表示，其通報者是來自蘋果工程師與加拿大公民實驗室的專家。由於4日前，蘋果剛修補2個零時差漏洞，且加拿大公民實驗室同步揭露利用此漏洞組合的攻擊場景，因此當時我們立即聯想到，鎖定這個漏洞攻擊的幕後，可能是同樣的攻擊者在利用。</p> <p>事實上，最近我們進行後續追蹤時，發現9月底有許多資安業者專家談起這次Pegasus間諜程式的漏洞利用，會將這3個漏洞一併相提。也有不少業者指出，蘋果修補的CVE-2023-41064，與Google發布的CVE-2023-4863是有關聯的。</p> <p>關於CVE-2023-4863的討論很多，爭議在於，Google原本指出該漏洞是WebP圖像處理時的堆緩衝區溢漏洞，接著傳出所有支援WebP圖像處理的瀏覽器都受影響，後續，很多專家紛紛指出該漏洞影響深遠，因為這是存在WebP圖像處理的開源編解碼程式庫libwebp。</p> <p>此外，Google在9月28日修補的零時差漏洞CVE-2023-5217，由於漏洞存在開源視訊編解碼程式庫libvpx中的VP8視訊編碼，儘管討論熱度不及上述libwebp漏洞，但同樣有需要廣泛修補的狀況。</p> <p>另外還有一起零時差漏洞攻擊，10月10日，Cloudflare、Google與Amazon AWS公開揭露HTTP/2協定的零時差漏洞，這個被攻擊者用於發動巨量DDoS攻擊的漏洞，同樣影響層面不小。這些業者指出，任何部署HTTP/2的業者應該都會受此漏洞影響，大部分的網頁伺服器亦包含在內。</p> <p>依據上述現況，攻擊者濫用零時差漏洞的目標，確實有往底層切入的態勢。</p> </div></div></div>
2023/10/25 17:50作者羅正漢https://www.ithome.com.tw/news/159484
WordPress.com母公司Automattic買下可集結所有傳訊服務的Texts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress.com母公司<a href="https://wordpress.com/blog/2023/10/24/texts-joins-automattic/" target="_blank">Automattic周二（10/24）宣布</a>，已買下可整合各大傳訊服務的<a href="https://texts.com/" target="_blank">Texts.com</a>，外傳此一交易價值5,000萬美元。</p> <p>Texts利用Texts Platform SDK來集結所有主要的傳訊平臺，從iMessage、WhatsApp、Telegram、Signal、Messenger、Twitter（現在的X）、Instagram、LinkedIn、IRC、Slack到Discord DM。它目前只有桌面版，支援macOS、Windows與Linux，目前正在開發iOS版本，亦計畫推出Android版。</p> <p>Texts最大的功用就是在同一個介面上集結上述的所有傳訊服務，它也提供了AI助理功能，可在面對來不及瀏覽的聊天室大量訊息時，幫使用者摘錄重點，也於平臺上整合了ChatGPT以幫使用者撰寫回應，亦可即時將訊息翻譯成不同的語言。</p> <p>此外，它還能搜尋訊息，在回應之前把所有訊息都標示為已讀，安排訊息發送的時間，暫停來自某個人的訊息，使用者亦可客製化其介面。另也強調所有的訊息都是直接由既有的傳訊平臺傳送與接收，不會觸及Texts平臺。</p> <p>Texts為訂閱制，每月的訂閱費用為12.5美元，但不管是Automattic或Texts都未透露其現有的用戶數。</p> <p>Automattic為開源部落格軟體WordPress主要的貢獻者，該公司在2005年推出出版平臺WordPress.com，於2015年收購WordPress的電子商務外掛程式WooCommerce，<a href="https://www.ithome.com.tw/news/132393" target="_blank">2019年買下了Tumblr</a>，現在的Automattic則認為傳訊是現代網路的未來，也是不可或缺的市場，並說Texts是市場上最好的訊息傳遞程式。</p> <p>未來Texts創辦人Kishan Bagaria將會加入Automattic，負責傳訊服務，其分散式的團隊也會繼續開發行動版的Texts服務。</p> </div></div></div>
2023/10/25 15:53作者陳曉莉https://www.ithome.com.tw/news/159476
女媧創造推出可以分眾行銷和會員經營的服務機器人，企業用戶還能用No-code開發工具設計專屬服務內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器人新創女媧創造宣布推出Collibot服務機器人，鎖定零售、餐飲和醫療長照等服務場景。此機器人不只能提供送餐等實體服務，還能蒐集線下店面營運數據、顧客互動數據，甚至能根據AI視覺辨識功能，即時進行分眾行銷，或辨認出常客並提供個人化服務。</p> <p><strong>模組化硬體設計加上豐富No-code開發工具，支援多元進階服務場景</strong></p> <p>Collibot特別之處在於軟硬體高度客製化能力，可以適應廣泛服務內容。硬體方面，此機器人採取分層式模組化設計，從上至下分為互動（互動型小機器人）、任務（中間貨架及互動平板）、移動（下方AMR）3層。互動層具備AI視覺辨識、AI語音互動能力，還內建12顆伺服馬達，支援企業用戶設計複雜動作。遇到故障或其他服務需求時，小機器人還可以隨時拆卸，透過平板操作即能與其他機臺的任務層配對。任務層則能視服務型態，預先安裝送餐架、抽屜、電子廣告看板、紫外線消毒燈等不同模組。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HBG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HBG.jpg" style="height: 500px;" /></a></p> <blockquote><p>Collibot的3層式模組化硬體。圖-郭又華攝</p> </blockquote> <p>軟體方面，此機器人解決方案包括Android-based的Python SDK、Unity SDK及10種雲端No-Code開發工具，企業用戶可以根據自家特有場景和經營需求，結合機器人搭載的既有技術，來設計專屬服務內容及機器人應用，並快速部署到所有機器人。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CDT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CDT.png" style="width: 600px;" /></a></p> <blockquote><p>透過10種No-code雲端開發工具，企業用戶能用來打造多種服務機器人進階應用。圖-女媧創造提供</p> </blockquote> <p>例如，需要投入機器人到不同場域，或於不同門市間調度機器人時，Collibot會先利用SLAM（Simultaneous Localization and Mappin，同時定位和建圖）技術，到新場域花費15分鐘初步建構現場地圖，便能後續自我定位、規畫路徑。企業用戶還能於後臺再編輯地圖，來修正或補充更多空間配置細節。</p> <p>Collibot也搭載了AI客服功能，串接微軟Azure OpenAI ChatGPT以及女媧創造自己開發的NLP機制。利用No-code工具，企業用戶可以根據自有資料以及品牌形象要求，利用微調和提示工程等技術來設定機器人客服回話內容。此聊天機器人還可以搜尋天氣、新聞等時事，不過經記者實測，若遇到比較複雜或敏感的問題，此機器人可能會無法回答，或產生幻覺情況。女媧創造表示，為了避免幻覺或做出不當發言，他們自己設計了敏感字過濾機制，結合AOAI本身品牌安全機制。不過，他們也坦言AI幻覺是企業用戶難以完全避免的風險。</p> <p>為了方便管理投入不同場域的機器人，Collibot機器人服務配有中心化管理工具，企業總部可以統一管理所有機器人軟硬韌體狀態，例如版本異常、連線狀態異常、電量過低、機器人騰空等情況，並有自動報錯和遠端排錯功能。另外，此機器人利用Wifi來聯網，除了語音辨識等串接外部技術的功能需要常態連線，送餐、簡單視覺辨識、數據蒐集等服務模組斷線時也可以執行，等恢復網路連線時再行同步數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RMS(1).png" style="width: 600px;" /></p> <blockquote><p>Collibot後臺RMS，可以即時追蹤投入不同場域的機器人狀態，還能線上排錯。圖-女媧創造提供</p> </blockquote> <p>企業用戶還可以串接機器人到既有CRM、電子菜單、POS、電商或金流系統，使機器人不只是送餐，還可以支援接待、介紹、行銷、結單等更多顧客服務環節。</p> <p>一個更進階的應用是各式實體數據蒐集。此機器人可以根據店內移動狀況，包括需要避開人的頻率等，來蒐集不同時段店內人口密度。或者，利用AI視覺辨識技術蒐集來店人流、顧客性別、大約年齡層，以及其他特徵，可以結合顧客訂單、等機器人互動數據，於後臺交叉分析。</p> <p>另一個重要進階應用是分眾行銷。企業用戶可以設計不同行銷腳本，例如根據看到人、螢幕被觸碰、接收到MQTT等情況，觸發揮手、語音對話、播放互動式選單等不同行為。甚至可以搭配視覺辨識功能，即時根據客群呈現出是適合內容。此機器人還支援會員再行銷，企業用戶可以串接自家客戶資料或CRM系統，供機器人辨識出既有會員，來提供個人化服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rlfw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rlfw.png" style="width: 600px;" /></a></p> <blockquote><p>企業用戶可以用拖拉的方法設定機器人自動化行銷腳本，能搭配現場感應情況及蒐集數據即時反應。圖-女媧創造提供</p> </blockquote> <p>女媧創造解釋，為了顧及會員個資隱私，企業可以透過去識別化資料比對的方式來設計會員經營功能，例如只提供會員特徵值和去識別化ID，機器人辨認出ID後，再和CRM內部資料比對。企業用戶也可以利用SDK來編寫更進階、更符合自家資安規範的CRM串接方法。不過，機器人控制需使用3大公有雲SaaS服務，因此無法透過遷移機器人服務到客戶企業內部環境來控管資安。女媧創造自家後臺資料則儲存在AWS東京數據中心。</p> <p>其他進階應用，還包括多媒體互動行銷、機器人表情設計、機器人群體演出設計等，都可以用No-code開發工具編寫。</p> <p>收費模式上，Collibot機器人採買斷制，雲端開發和管理工具則尚未正式決定收費方案，預計採取訂閱制。</p> <p> </p> </div></div></div>
2023/10/25 12:26作者郭又華https://www.ithome.com.tw/news/159468
【資安月報】2023年9月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年9月的資安新聞中，國家級駭客組織威脅日益嚴峻的議題，成為最受關注的焦點之一。</p> <p>最讓我們印象深刻就是，我們的iThome總編輯吳其勳在9月中旬應邀前往美國華盛頓特區，參加Mandiant舉辦的mWISE Conference 2023資安防禦會議，直擊了美國政府官員與資安大廠專家們對於當今網路攻擊局勢的看法與解析，當中並探討了中國駭客網攻對國家、企業與民生所帶來的危害與嚴重性。</p> <p>特別的是，身為美國國內的情報與安全機構，也是美國主要聯邦執法機關的美國聯邦調查局（FBI），該單位最高負責人亦現身這場大會，闡述國家級駭客與網路犯罪的問題，並指出中國策畫的駭客攻擊規模，已經遠比其他所有主要駭客國家攻擊規模加總還大，甚至指出FBI所有資安專家面對人數50倍以上中國駭客的局勢。</p> <p>這樣的第一手消息報導，不像往常資安日報所匯整的眾多資安攻擊事件與資訊，多是間接透過研究報告發布而取得，因此也讓應邀參與的我們，以身為長期關注臺灣資安動態的媒體角度，在這場活動當中更深刻感受到，國家級駭客發動大規模網攻的嚴重性。</p> <p>對於臺灣而言，我們多年來飽受中國駭客攻擊威脅，因此這場會議的一些內容，也值得我國政府或企業的一再重視，尤其是聯防、情資與善用AI技術的對抗策略。當然，對於俄羅斯與北韓駭客的網攻威脅，我們同樣也要留意。</p> <h3><strong>面對大50倍的中國駭客人數，FBI局長呼籲公私聯防</strong></h3> <p>具體而言，在這場會議中，除了有多項2023年最新網路威脅趨勢、挑戰與經驗的探討，其中關於講述重大地緣政治事件與新技術需求下，威脅格局的改變的議題上，在今年mWISE Conference 2023大會上有不少這方面的內容，也是我們特別留意的重點。</p> <p>首先，最令我們印象深刻的是，<a href="https://www.ithome.com.tw/news/158829">美國聯邦調查局（FBI）局長Christopher Wray</a>親臨現場，向與會者說明他們正在面對的國家級駭客攻擊挑戰。他指出，隨著中國、俄羅斯、伊朗和北韓的網路攻擊，對全球的威脅持續是有增無減，因此相當需要公部門與民間產業合作，來對抗這些威脅。</p> <p>Christopher Wray表示，自2001年發生911恐怖攻擊事件後，FBI已經體認到，國家安全相當需要依賴合作夥伴關係與情資分享，而要維護網路空間的安全也是如此。</p> <p>但是，現今FBI正面臨著新的嚴峻挑戰，就是中國支持的駭客組織威脅，已帶來網路環境攻防失衡的局勢。</p> <p>例如，Christopher Wray指出，中國政府多年來一直在竊取美國的智慧財產與資訊。他持續向外界告誡此事。</p> <p>更令大家震撼的是，他坦承，「中國駭客人數是FBI所有資安專家的50倍以上」，並表明，若要應付中國的網路攻擊，FBI人力遠遠不足。因此，他強調，公私聯防，情資分享，以及善用AI技術，將會是最重要的對抗策略。</p> <p>同時他也提醒，這些網路犯罪組織和敵對外國政府，現在已經在濫用AI技術，像是生成出深度偽造影片與惡意程式碼。</p> <p>這也讓我們感受到，近年全球都在談資安人才不足的挑戰，隨著全球格局的變化，美國對於網路威脅局勢的憂心更甚以往，從早年網路威脅以俄羅斯與北韓最常見，後續中國也成為主要攻擊者，如今2023年，中國的網路威脅更是已經擴大到，美國FBI局長都在公開場合表明，他們相當憂慮攻防失衡的局勢。</p> <h3><strong>Mandiant示警：中國網攻大轉型</strong></h3> <p>關於實際威脅，我們也看到這家資安業者進一步解析，他們與很多資安廠商再度確認，中國就是危害全球資安的重大禍源。例如，<a href="https://www.ithome.com.tw/news/159116">Google Cloud Mandiant主席Sandra Joyce揭發了今年中國網路間諜行動有所轉變</a>，在一些攻擊事件調查結果中，除了研判是中國政府有關連的UNC4841駭客組織發動，特別的是，在攻擊的目標上，中國駭客不僅是入侵多國政府機關，更開始染指多個民生關鍵基礎設施產業，2022年針對Barracuda ESG產品零時差漏洞（編號CVE-2023-2868）攻擊就是一例，有很多受害者皆是重要的民生關鍵基礎設施產業，而不僅是傳統針對政府機關、軍事國防、航太產業。</p> <p>此外，<a href="https://www.ithome.com.tw/news/159003">Google Cloud Mandiant行政總裁Kevin Mandia也特別揭露，近年來中國的網路攻擊戰略有三大轉變</a>，包括：</p> <p>（一）中國駭客近年逐漸捨棄社交工程手法，轉為更系統性挖掘零時差漏洞（Zero Day），可一次性發動大規模攻擊，帶來更強大的破壞力。</p> <p>（二）不只是有計畫性地挖掘零時差漏洞，並且經常鎖定網通設備，近年已有好幾次攻擊事件，就是中國駭客鎖定知名網通設備的零時差漏洞。</p> <p>而且，以今年情況來看，至9月前發現的62個零時差漏洞攻擊，調查後就發現一大部分是中國駭客攻擊。</p> <p>（三）中國網路攻擊朝向複雜匿蹤方式，主要挾持家用或中小企業路由器、IoT等設備，建構擴及全球的網路攻擊跳板。像是他們調查一美國軍事機構遭駭，首先查到的攻擊來源，是位於美國境內的家用路由器，再往後追查則面對複雜的網路跳接，這讓調查人員進度緩慢或難以溯源追查。</p> <p>綜合來看，國家級駭客組織威脅確實日益嚴峻，而上述提到中國駭客持續鎖定零時差漏洞攻擊的情形，如今也還在持續，以近期關於Confluence的零時差漏洞（CVE-2023-22515）攻擊為例，後續微軟威脅情資中心在10月11日揭露更多調查結果，指出幕後攻擊者是中國駭客組織Storm-0062。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/158662"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月4日到9月8日</span></a></strong></h2> <p>在這一週的漏洞消息中，最受關注的就是蘋果在7日緊急更新macOS、iOS，修補兩個零時差漏洞：CVE-2023-41064、CVE-2023-41061，揭露消息的加拿大公民實驗室，將這批漏洞鏈稱為BLASTPASS，並強調它們是可透過iMessageu傳送且不用使用者互動的零點擊漏洞，已在8月底發現有攻擊者藉此漏洞遞送Pegasus間諜程式。此外，Google的9月Android例行性安全更新中，也修補一個零時差漏洞CVE-2023-35674，並說明已遭攻擊者成功利用。</p> <p>還要注意的是，今年7月Adobe修補ColdFusion的3個漏洞（2023-29300、CVE-2023-38203、CVE-2023-38204），如今資安業者指出已有針對未修補用戶的攻擊行動。另外，我們在此補充本週資安日報未提及的一個重大漏洞消息。今年5月23日揭露的<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-33246">Apache RocketMQ漏洞CVE-2023-33246</a>，當時已釋出5.1.1版修補，最近<a href="https://vulncheck.com/blog/rocketmq-exploit-payloads">有資安業者發現，6月開始出現持續對此漏洞利用的行為</a>。</p> <p>在國際攻擊活動焦點方面，有6起事件值得關注，涉及勒索軟體、合作供應商遇害，國家關鍵基礎建設遭鎖定，以及網釣等形式的惡意行為。</p> <p>●英國柵欄設備製造商Zaun發布資安公告說明上月初遭勒索軟體LockBit攻擊，該國的軍事要塞採用該公司的產品，但因為駭客發動攻擊而拿到Zaun資料，以及駭客後續流出數千頁資料的影響，引發英國國防機密因合作廠商遭駭而外洩的事件。<br /> ●德國聯邦憲法保護局（BfV）發出報告指出，中國駭客組織APT15、APT31針對路由器、防火牆、NAS、網路印表機、智慧家電等家用IoT裝置的漏洞發動攻擊，接管這些裝置後，再用於向政府機關發動攻擊。<br /> ●烏克蘭電腦緊急應變小組（CERT-UA）揭露當地的能源基礎設施受到攻擊，並指出是遭俄羅斯駭客組織APT28攻擊行動鎖定。<br /> ●韓國資安業者揭露北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業，自今年開始使用多種惡意程式發動攻擊。<br /> ●有駭客組織GhostSec聲稱取得伊朗IT金融服務及IT服務業者FANAP的原始碼，並指出該公司的軟體被伊朗政府用於監控民眾。<br /> ●資安業者揭露中國駭客發起大規模釣魚簡訊攻擊行動Smishing Triad，攻擊者假冒多個郵政單位名義，透過遭駭的iCloud帳號對使用者發送iMessage訊息。</p> <p>另外，今年5月中國駭客Storm-0558入侵25個使用微軟電子郵件系統的組織，以及今年8月勒索軟體Akira鎖定思科SSL VPN設備的攻擊行動，近期都有更詳細的後續調查公布。</p> <p>而在最新的威脅態勢上，有三起事件值得留意，包括：勒索軟體駭客Ransomed竟以付贖金可免受GDPR巨額罰款的話術來進一步要脅，以及販售多種網釣工具W3LL Store的揭露，還有微軟SQL Server遭勒索軟體FreeWorld鎖定的消息。</p> <p>另有2份個資隱私研究出爐，大家應關注與敦促廠商強化相關防護，一份是針對瀏覽器安全設計的研究，美國的大學研究人員指出，Chrome、Firefox與Safari瀏覽器的安全設計不夠完善，若有心人士結合網站漏洞，可透過瀏覽器外掛程式，存取使用者密碼等機密資料：另一是個資保護政策在汽車品牌業者領域未獲重視，25個品牌均未達Mozilla最低安全標準，最離譜的是，廠商居然表示能蒐集車主的性活動，顯然與車輛無關的個資，卻又未說明如何蒐集。</p> <p>至於防禦態勢方面，在半導體資安、軟體開發與供應鏈安全領域有新動向。首先是SEMI E187資安標準規範，這一週舉行的國際半導體展臺灣場，宣布有首批設備通過合格性驗證，它們分別是均豪精密的AOI自動光學檢測設備，以及東捷科技的OHS空中行走式無人搬運系統：另一個進展是Google Cloud與GitLab宣布擴大合作，未來Google Cloud的開發人員可存取GitLab的DevSecOps平臺，而GitLab的用戶也可存取Google Cloud的軟體供應鏈安全框架SLSA評等，以及軟體物料清單（SBOM）。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/158777"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月11日到9月15日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有多個零時差漏洞修補要優先重視，分別是：（一）微軟本月安全性例行性更新修補兩個零時差漏洞，包括已被公開且遭成功利用的Word的漏洞CVE-2023-36761，以及已遭成功利用的串流服務相關的漏洞CVE-2023-36802；（二）Google、Mozilla先後修補Chrome、Firefox/Thunderbird漏洞CVE-2023-4863，Google指出此零時差漏洞已被外部人士利用，且所有支援WebP圖像處理的瀏覽器都受影響；（三）Adobe修補的Acrobat與Reader漏洞CVE-2023-26369，修補釋出前同樣已被用於攻擊行動；（四）思科在11日針對多功能網路資安設備ASA、FTD存在零時差漏洞CVE-2023-20269先提供緩解，指出漏洞起因是AAA協定與其他軟體功能缺乏適當區隔，已遭勒索軟體駭客用於攻擊。用戶需注意後續更新修補的釋出。</p> <p>其他重要漏洞修補動向，還包括：SAP、西門子、施耐德電機等業者發布9月份例行更新。</p> <p>在網路威脅焦點上，國內有2起事件引起最多國人關注：首先，彰化肉品市場與台中大安肉品市場發生拍賣系統遭軟體攻擊，系統無法運作使得豬隻拍賣暫停、延遲；其次，大洸醫院機構管理顧問提供的醫指付在這一兩個月內，持續傳出用戶綁訂的信用卡遭海外盜刷情形，近日金管會已請財金公司督促與釐清事件，甚至去年6月就有資安研究人員在HITCON Zeroday通報醫指付App安全漏洞卻未因應的情形也被挖出。</p> <p>在國際間，有5起重大事件成為焦點，其中國際連鎖賭場接連遭駭格外引發關注：<br /> ●MGM米高梅國際酒店集團在9月11日說明遭遇網路攻擊，不僅訂房或查詢只能採傳統電話方式進行，甚至有報導指出吃角子老虎停擺，房卡無法使用。到了14日ALPHV（BlackCat）勒索軟體集團聲稱這起事件是他們所為。<br /> ●連鎖賭場凱撒娛樂（Caesars Entertainment）在9月7日向美國證交所提交8-K文件說明發生資料外洩事件，指出該事件源於公司使用的IT承包商遭社交工程攻擊而導致。另有當地媒體報導指出Caesars遭勒索已支付上千萬美元贖金。<br /> ●微軟威脅分析中心發布東亞數位威脅報告，指出中國對南海國家和臺灣發動廣泛的網路攻擊與認知作戰，並強調中國在認知作戰中正大量使用AI生成更好品質的內容，影響力有擴大跡象。<br /> ●半年前駭客組織鎖定Zoho的漏洞CVE-2022-47966與Fortinet的漏洞CVE-2022-42475，近日美國CISA、FBI與CNMF再發安全通告，說明年初美國航太機構受害，同時揭露攻擊細節、IoC，以及緩解防範的建議。<br /> ●中國駭客組織Redfly鎖定亞洲國家的電網設施攻擊被揭露，攻擊者發動網路間諜攻擊並植入惡意程式ShadowPad。</p> <p>在其他重要威脅態勢上，我們注意到有多起資料外洩事件與供應鏈攻擊有關，也發現近日持續有Mac電腦接連遭鎖定的消息。前者包括：嬌生醫療照護系統因IBM代管的應用系統遭到攻擊，英國曼徹斯特警局因外部供應商遭勒索軟體攻擊，還有軟體臭蟲追蹤公司Rollbar遭駭的消息；後者包含惡意軟體MetaStealer、竊資軟體Atomic Stealer被揭露近期均針對Mac電腦而來。</p> <p>還有一些趨勢值得留意，像是有研究人員指出近期DDoS攻擊，針對金融業攻擊的比例呈現越來越高的趨勢；還有研究人員針對Wi-Fi技術的波束形成回應資訊（BFI）揭露新型態攻擊手法WiKI-Eve。</p> <p>在最新防禦發展焦點上，我們注意到MITRE在9月5日宣布，將開源攻擊模擬工具Caldera延伸到OT環境，新推出MITRE Caldera for OT。另外，我們在此補充本週資安日報未提及的另一防護焦點，9月7日微軟<a href="https://www.microsoft.com/en-us/security/blog/2023/09/07/cloud-storage-security-whats-new-in-the-threat-matrix/">發布儲存服務威脅矩陣（Threat matrix for storage services）第二版</a>，將有助於識別和分析雲儲存服務中資料潛在安全威脅。還有關於PQC演算法升級，我們發現本土廠商網擎資訊開始有具體行動，他們在9月11日表示已開發部署相關防護。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159014"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月18日到9月22日</span></a></strong></h2> <p>許多IT廠商在前一週發布9月份例行更新，但在本週的資安新聞裡，有多起漏洞攻擊行動引起研究人員關注，並呼籲企業組織、使用者應儘速修補，這些漏洞包含：</p> <p>（一）8月份Juniper修補的CVE-2023-36845，當時該廠商評估風險等級為中等，但資安業者VulnCheck發現該漏洞嚴重程度被低估，已有駭客嘗試將其用於攻擊行動；</p> <p>（二）開源物件儲存服務MinIO於3月修補的漏洞CVE-2023-28432、CVE-2023-28434，駭客針對DevOps工程師下手，在目標系統植入後門程式Evil MinIO，竄改更新伺服器的網址，然後派送惡意更新；</p> <p>（三）蘋果針對旗下電腦、行動裝置、穿戴裝置，修補零時差漏洞CVE-2023-41991、CVE-2023-41992、CVE-2023-41993，這些由加拿大公民實驗室與Google威脅情報小組（TAG）通報的漏洞，已被用於攻擊iPhone裝置；</p> <p>（四）趨勢科技針對旗下端點防護產品Apex One、Worry-Free Business Security（WFBS）漏洞CVE-2023-41179發布公告，已有攻擊行動出現，引起日本電腦網路危機處理暨協調中心（JPCERT/CC）注意；</p> <p>（五）駭客假借提供6月WinRAR修補漏洞的PoC，但其實是利用地圖服務伺服器程式GeoServer的SQL注入漏洞CVE-2023-25157，散布木馬程式VenomRAT。</p> <p>其他的重要漏洞修補警告，還包括：GitLab修補執行任意自動化工作流程漏洞CVE-2023-4998，以及Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞CVE-2023-29183、CVE-2023-34984，網路監控軟體Nagios XI修補高風險漏洞、N-able遠端管理工具的CVE-2023-27470、程式庫ncurses的記憶體毀損漏洞等。</p> <p>面對日與俱增的資安威脅，本週除了研究人員極力呼籲使用者儘速修補已公開的漏洞，資安界也有多項動態值得留意。</p> <p>首先是資安業者Mandiant舉辦的mWISE Conference 2023資安防禦會議，FBI局長Christopher Wray提到攻防極度不對等的資安態勢，他表示，中國駭客人數是FBI資安專家的50倍以上，防守方勢必要善用AI人工智慧技術，還有政府、執法機關與民間產業之間更為緊密的合作，才有機會扭轉局勢，他甚至認為企業應該在資安防護計畫裡納入FBI，充分發揮執法的力量。</p> <p>再者，OpenAI為了改善機器學習模型的安全，擴大原本的紅隊演練規模，成立名為OpenAI Red Teaming Network的紅隊演練網路，從數十個專業領域招募專家，看重的是專家能提供該領域的專業觀點，而有可能突破人工智慧產業的盲點。</p> <p>本週資安界有兩起重大的廠商併購案，分別是19日資安業者CrowdStrike買下應用程式安全態勢管理（ASPM）新創Bionic，及21日思科買下大數據資安業者Splunk，其中又以思科和Splunk的併購案受到最多關注。值得留意的是，這起合併案2022年2月就傳出風聲，當時思科打算以200億美元買下Splunk，而現在實際成交的金額達到280億美元，較先前的傳聞多出4成。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159050"><span style="color: rgb(178, 34, 34);">【資安週報】2023年9月25日到9月28日</span></a></strong></h2> <p>在本周重要漏洞修補消息中，有4個最受注目，包括：網際網路系統協會（ISC）修補DNS軟體BIND高風險漏洞，JetBrains修補CI/CD軟體平臺TeamCity重大漏洞，以及Atlassian針對旗下多款產品發布更新。此外，9月上旬思科針對已遭利用的零時差漏洞CVE-2023-20269先提供緩解，當時已遭Akira勒索軟體組織鎖定利用，29日思科新釋出臨時的更新修補。</p> <p>還有多個已知漏洞，近期因為遭鎖定利用情形被美國CISA列入限期修補清單，是本週資安日報未提及的漏洞消息，我們也特別整理如下，包括：Red Hat JBoss RichFaces Framework的漏洞（CVE-2018-14667）、Laravel的Ignition漏洞CVE-2021-3129、Laravel框架Ignition的漏洞（CVE-2021-3129）、Zyxel EMG2926路由器的漏洞（CVE-2017-6884）、Realtek SDK的漏洞（CVE-2014-8361）、Samsung行動裝置的漏洞（CVE-2022-22265），以及Owl Labs視訊會議設備Meeting Owl的4個已知漏洞（CVE-2022-31463、CVE-2022-31462、CVE-2022-31461、CVE-2022-31459）。</p> <p>在網路威脅焦點上，有四大議題值得關注：<br /> （一）美國NSA、FBI、CISA與日本國家資安事件整備與策略中心（NISC）發布聯合公告，指出中國駭客組織BlackTech藉由竄改思科路由器的韌體方式來隱藏其行動，從美國、日本企業跨國公司的子公司進一步滲透總公司的網路環境。<br /> （二）近日Akamai與Perception Point相繼揭露新網釣攻擊活動，出現鎖定飯店業者、訂房業，以及訂房客戶的複雜攻擊，尤其是入侵訂房網站或飯店系統冒用合法發動典型網釣。<br /> （三）除了勒索軟體Akira自今年3月以來攻擊活動節節攀升需要關注，美國FBI與CISA在20日也針對勒索軟體Snatch發布安全通告，詳細說明該組織的技術手法與IoC指標。<br /> （四）關於GPU.zip的GPU旁路漏洞早期揭露，目前發現的大學研究人員已通報GPU供應商、以及瀏覽器供應商Google，後續廠商修補的動向需要留意。</p> <p>其他值得關注的國際威脅態勢，有多個產業被攻擊者鎖定的消息，受到不同資安業者揭露，包括：<br /> ●中東、西歐、南亞次大陸的電信業者成鎖定目標，攻擊者散布惡意軟體LuaDream發動精準攻擊。<br /> ●烏克蘭軍方成鎖定目標，攻擊者利用無人機手冊散布惡意程式。<br /> ●中東政府機關被鎖定，攻擊者利用了新型態後門程式Deadglyph。<br /> ●巴西與墨西哥等逾40家拉丁美洲的銀行用戶遭鎖定，有駭客利用銀行木馬BBTok發動大規模攻擊行動。<br /> ●美國衛生暨公共服務部（HHS）旗下HS3揭露，近年中國駭客組織APT41、北韓駭客組織APT43與Lazarus肆虐，對美國公衛部門與生技公司已造成嚴重危害。</p> <p>在防禦態勢的消息上，我們特別注意到，在越來越多人重視的軟體物料清單（SBOM）之外，近日美國CISA推出硬體物料清單框架（HBOM），希望進一步幫助有效評估與減少供應鏈存在的資安風險。在國內，也有兩起事件受關注，一是行政院公共工程委員會新發布資訊服務採購作業指引，明訂公部門編列專屬資安預算；另一是數位部預告修正資安法，將明訂公部門禁用危害國家安全的資安產品。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3> </h3> <h3> </h3> <p> </p> <p> </p> </div></div></div>
2023/10/19 09:50作者羅正漢https://www.ithome.com.tw/news/159207
Google發表8項無障礙功能，圍繞在地圖、搜尋與拍照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/outreach-initiatives/accessibility/making-daily-tasks-accessible/" target="_blank">Google周二（10/17）發表8項無障礙功能</a>，它們分別出現在Google Maps、搜尋、Chrome或拍照等功能上，以協助身心障礙人士更容易完成每天的任務。</p> <p>其中之一是讓商家可於Google Maps與搜尋上，標註自己屬於身心障礙人士，先前Google也曾支援不同的社群的商家進行標註，例如亞洲人、拉丁人、LGBTQ+族群、退伍軍人或是女性業主等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-google%20accessibility-600-1.png" style="width: 500px;" /></p> <p>與視障人士有關的功能則有Lens in Maps的螢幕朗讀、放大鏡（Magnifier）及用來自拍的Guided Frame。其中，Lens in Maps之前名為Search with Live View，為一徒步導航功能，它利用相機來替使用者尋找附近的ATM、餐廳或車站，現在則新增螢幕朗讀功能，直接幫視力不佳的使用者唸出周遭的地點，將率先支援iOS上的Lens in Maps，今年底也會支援Android平臺。</p> <p>Magnifier則是一個支援Pixel 5及以上Pixel手機的放大鏡程式，它就是一個基於手機相機的放大鏡，可用來放大菜單或文件上的文字、縫紉針孔或街道標誌。Guided Frame則是個利用語音、高對比及震動回饋功能，來協助視障用戶拍攝自拍像的功能，它目前支援Pixel 8及8 Pro，今年稍後將會支援Pixel 6及之後的版本。</p> <p>另有兩項功能與輪椅友善性有關。一是在Android與iOS版的Google Maps上提供支援輪椅的步行路線，該路線也適用於拖著大行李箱的旅人，二則是在Google Maps、Android Auto及內建Google的汽車上提供方便輪椅通行的地方，像是無障礙入口、廁所、停車場或是座位等。</p> <p>認知障礙用戶則可利用Assistant Routines來協助處理日常事務，將這些日常事務分類成不同的區塊，再於首頁建立捷徑。若是有閱讀障礙或是經常打錯字，則可利用Chrome網址列的錯別字訂正功能來協助造訪正確的網站，此一功能是在今年5月現身於桌面版Chrome瀏覽器上，現在則支援Android與iOS上的Chrome。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-google%20accessibility-600-2.png" style="width: 310px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/10/18 16:15作者陳曉莉https://www.ithome.com.tw/news/159358
Amazon與WhatsApp也開始支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通行密鑰（Passkey）即將成為主流的帳戶登入方式，除了微軟、蘋果與Google都正在推動Passkey之外，Amazon近日已悄悄於電子商務平臺上導入了Passkey，而<a href="https://twitter.com/WhatsApp/status/1713948410942804433" target="_blank">WhatsApp亦透過X宣布</a>其Android程式將支援Passkey登入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-whatsapp-passkey-600.png" style="width: 580px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://twitter.com/WhatsApp/status/1713948410942804433" target="_blank"><span style="color:#696969;">WhatsApp</span></a></span></p> <p>通行密鑰則是一個不可見的加密實體，由一組金鑰對所組成，當中的公鑰可用來註冊網站或行動程式，另一個私鑰則存放在使用者裝置上，以通行密鑰來作為登入憑證既不需要再記住密碼，也更難被駭客破解或入侵。存放在裝置上的私鑰可以是指紋、人臉或PIN碼，讓使用者得以透過這些裝置上的驗證功能來存取服務。</p> <p>Amazon並未對外宣布Passkey的啟用，只是悄悄於電子商務網站的登入服務中添增了Passkey。於使用者帳戶的登入設定中，提供了「金鑰」（Passkey）選項，允許使用者利用人臉、指紋或PIN碼等，以與解鎖裝置相同的方法登入Amazon，而不必再輸入密碼。</p> <p>至於WhatsApp則是在周二（10/17）宣布支援Passkey，開放Android用戶以人臉、指紋或PIN碼來登入WhatsApp帳戶。不過，WhatsApp並未揭露何時要於iOS平臺上支援Passkey。</p> <p>目前所有大型科技業者都已著手部署對Passkey的支援，例如<a href="https://www.ithome.com.tw/news/157541" target="_blank">微軟已於Windows 11測試版</a>中增添Passkey功能，蘋果的macOS、iOS及iPadOS也已嵌入對Passkey的支援，而Google則積極地<a href="https://www.ithome.com.tw/news/159209" target="_blank">鼓勵用戶以Passkey</a>來取代密碼進行登入。</p> </div></div></div>
2023/10/18 12:10作者陳曉莉https://www.ithome.com.tw/news/159335
挑戰Arm，高通、Google合作開發穿戴裝置RISC-V晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-to-bring-risc-v-based-wearable-platform-to--wear-os-by-" target="_blank">高通、Google周二宣布</a>將合作開發RISC-V Snapdragon晶片，以用於下一代Wear OS穿戴式裝置，包括智慧手錶。</p> <p class="rtecenter"><img alt="" src="https://s7d1.scene7.com/is/image/dmqualcommprod/GooglexQualcomm?$QC_Responsive$&fmt=png-alpha&wid=640" style="width: 500px;" /></p> <p>這是繼今年4月RISC-V Summit大會上，Google宣布RISC-V將成為Android tier-1平臺的最新進展。在雙方合作下，高通將開發目前通稱為RISC-V Snapdragon Wear的晶片，兩公司將投資Snapdragon Wear平臺作為主要智慧型手錶的晶片平臺。此番合作也有助於開發更多使用低耗電、高效能客製化CPU的產品。</p> <p>高通穿戴式暨混合訊號解決方案部門副總裁暨總經理Dino Bekis指出，藉由使用RISC-V技術擴增其Snapdragon Wear平臺，將有助於加速全球Wear OS-based新產品的上市時程。</p> <p>雙方表示，合作的RISC-V wearable商用產品發表時程會於之後公布。</p> <p>RISC-V是由RISC-V International開發維護的指令集架構，為晶片開放標準，任何廠商都可免費使用或修改。這有別於當今主流穿戴裝置使用的Arm採取的營收模式。Arm可向其客戶收取使用專屬晶片技術的高昂權利金，但對手機或穿戴裝置業者來說，也增加產品製造的時間花費及龐大成本。</p> <p>Google希望透過轉向RISC-V降低晶片授權金、減少對Arm的依賴及加速產品生產並不令人意外，Google Pixel使用的Titan M2安全晶片就已經是RISC-V架構。</p> <p>高通方面也有動機。<a href="https://www.ithome.com.tw/news/152821" target="_blank">去年9月Arm控告</a>高通以及高通收購的一家晶片設計商Nuvia侵害商標權及違反授權協議，後者擁有Arm的晶片技術授權。目前官司還在審理中。高通甚至還是Arm的客戶。另一方面，Arm與Nvidia收購破局，轉向IPO後，股東要求Arm擴大授權獲利，意謂著對客戶產生更大生產成本。</p> <p>為了不讓Arm晶片設計獨霸手機晶片，<a href="https://www.qualcomm.com/news/releases/2023/08/leading-semiconductor-industry-players-join-forces-to-accelerate" target="_blank">高通8月宣布</a>和Robert Bosch、NXP、Nordic、英飛凌（Infineon）合資一家RISC-V晶片公司，以開發從汽車、行動到物聯網（IoT）裝置內的晶片。</p> <p><a href="https://arstechnica.com/gadgets/2023/10/qualcomm-announces-first-ever-mass-market-risc-v-android-soc/" target="_blank">《Ars Technica》</a>分析，在此之前RISC-V技術普遍用於微控制器領域，牽涉的體系較為單純，但一旦要用以執行Android裝置，Google/高通有許多困難要先克服。雖然大部分Android應用程式可以透過Android Runtime將程式碼轉譯成指令，使其跑在RISC-V晶片上，但Google還得齊備其他東西，像是開發商SDK、compilers、函式庫等等元件。</p> </div></div></div>
2023/10/18 11:08作者林妍溱https://www.ithome.com.tw/news/159332
【資安日報】10月13日，利用職場社群網站LinkedIn市場行銷工具的網釣攻擊再度出現，受害者遍及各行各業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用合法服務隱匿網路釣魚的攻擊意圖，可說是相當常見，其中一種手法，就是濫用市場行銷工具Smart Links，這是由職場社群網站LinkedIn推出的服務，主要目的是讓行銷人員提供客戶相關的網站連結時，進而追蹤其互動成效。但這樣的工具可能淪為駭客迴避郵件安全系統檢查的管道。</p> <p>濫用Smart Links的攻擊行動並非首例，但這次駭客手法又更進一步，將這類工具的網址加以運用，在釣魚網站的網址連結當中，帶入收信人的電子郵件信箱。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cofense.com/blog/linkedin-smart-links-credential-phishing-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">職場社群網站LinkedIn提供的市場行銷工具遭到濫用，駭客用於誘騙微軟帳號</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/smartlinks-figure3.png" style="width: 300px; float: right;" /></a>郵件安全業者Cofense揭露從今年7月下旬至8月的網路釣魚攻擊行動，主要針對金融與製造業的員工，但能源、營造、醫療保健、保險、採礦、消費性產品、科技產業也有受害者。這些駭客之所以得逞，不只是使用者的疏忽，他們為了繞過郵件安全閘道等資安系統，在寄送的電子郵件當中，濫用職場社群網站LinkedIn提供的Smart Links服務，企圖竊取使用者的微軟帳號。研究人員總共看到這類電子郵件逾800封，濫用上述服務的連結多達80個。</p> <p>一旦收信人依照指示點選，就會被帶往釣魚網站，特別的是，駭客利用Smart Links的網址結構，在連結裡加入收信人的電子郵件信箱，使得用戶被引導到釣魚網站的時候，所開啟的登入頁面，在帳號欄位已自動填入該員的電子郵件信箱，使得這些收信人以為這是簡化登入步驟的便利措施，而更容易降低警覺。</p> <p>濫用上述LinkedIn提供的行銷工具進行釣魚郵件攻擊已非首例，2022年9月，研究人員發現假冒斯洛伐克郵局的釣魚信，便是以此手法迴避偵測。</p> <p><a href="https://asec.ahnlab.com/en/57635/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">執行Linux作業系統的SSH伺服器遭到鎖定，駭客植入惡意程式ShellBot，並利用Hex編碼的IP位置迴避偵測</span></strong></a></p> <p></p> <p>資安業者AhnLab揭露新一波的惡意軟體ShellBot攻擊行動，駭客的主要目標是缺乏妥善管理的Linux伺服器，他們會掃描22埠是否啟用，以此找尋開放SSH服務遠端登入的系統，一旦找到這類主機，後續會利用常見的SSH帳密組合，執行字典填入的暴力破解攻擊，進而於Linux主機部署ShellBot。</p> <p>但這起攻擊行動與過往不同之處，在於駭客使用了十六進位（HEX）的IP位址表示法來連線至C2，隨後下載、安裝ShellBot，研究人員指出，這次駭客使用C2伺服器的IP位址，通常會寫成hxxp://94.250.254[.]43/，但對方在網路釣魚挾帶的PDF檔案裡，將上述網址寫成hxxp://1593507371，可能會因此能繞過資安系統的偵測。</p> <p><a href="https://blog.checkpoint.com/security/unveiling-stayin-alive-a-closer-look-at-an-ongoing-campaign-in-asia-targeting-telecom-and-governmental-entities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客ToddyCat鎖定亞洲電信業者，散布後門程式CurKeep</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shellbot-image-16.png" style="width: 300px; float: right;" /></a>去年6月資安業者卡巴斯基揭露，中國駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊，如今這些駭客再度發起新一波的攻擊行動。</p> <p>資安業者Check Point揭露名為Stayin’ Alive的攻擊行動，駭客從2021年開始，針對越南、巴基斯坦、烏茲別克、哈薩克等東南亞、中亞國家而來，主要的目標是電信業者。駭客起初寄送帶有壓縮檔案附件的釣魚郵件，一旦收信人打開附件，電腦就有可能觸發Audinate影音裝置管理元件Dante Discovery的漏洞CVE-2022-23748（CVSS風險評分為7.8），以DLL側載（DLL Side-loading）手法，載入名為dal_keepalives.dll的程式庫，從而執行名為CurKeep的後門程式。</p> <p>此惡意軟體檔案非常小，僅10 KB，但具備26種功能，其中最主要的功能是report、shell、file，用於收集目標電腦的系統資訊、回傳電腦名稱並接收命令與執行，以及接收字串內容並將資料寫入特定檔案。</p> <p><a href="http://www.wordfence.com/blog/2023/10/backdoor-masquerading-as-legitimate-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供WordPress外掛散布惡意軟體，從而建立管理員帳號並挾持網站</span></strong></a></p> <p></p> <p>網站安全業者Wordfence今年7月清理遭受攻擊的網站時，發現偽裝成WordPress外掛程式的後門程式，駭客假借提供暫存資料的管理工具，使得管理者在手動檢查的過程中，很有可能忽略，駭客也進一步將該「外掛程式」從已啟用的外掛程式名單剔除，目的是為了迴避資安系統的偵測。</p> <p>而對於這個後門，研究人員指出具有以下功能：首先，會建立名為superadmin的帳號，並指派管理員層級的權限給他；再者，駭客可遠端控制WordPress網站上的外掛程式，擅自啟用或停用，並且清除網站資料庫的痕跡，藉此讓攻擊行動維持隱密的狀態。再者，該後門程式能夠竄改網頁內容，加入惡意連結及按鈕，但網站管理介面當中，仍維持未遭修改的樣貌，使得管理員難以察覺異狀。</p> <p>此後門程式若是偵測到搜尋引擎爬蟲，或是機器人的流量，將會提供垃圾郵件等其他的內容，導致爬蟲為受害網站編入惡意的索引資料，有管理人員接獲用戶通報，他們的網站外觀看起來都正常，但在用戶使用搜尋引擎存取的時候出現垃圾內容。但究竟駭客如何於WordPress網站植入上述後門程式？研究人員表示，有待進一步調查。</p> <p><a href="https://www.securityweek.com/cisa-warns-of-attacks-exploiting-adobe-acrobat-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對Adobe Acrobat高風漏洞提出警告，已出現攻擊行動</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）於10月10日，在已被利用的漏洞列表（KEV）當中新增5個漏洞，可能受到影響的產品，包括：Adobe旗下PDF編輯軟體Acrobat及閱讀器Reader（記憶體釋放後濫用漏洞CVE-2023-21608）、思科網路設備作業系統IOS及IOS XE（群組加密傳輸VPN越界寫入漏洞CVE-2023-20109）、HTTP/2（Rapid Reset漏洞CVE-2023-44487）。</p> <p>同時，還有微軟本月份例行更新修補的企業版Skype（權限提升漏洞CVE-2023-41763）、WordPad（資訊洩露漏洞CVE-2023-36563）。</p> <p>其中最值得注意的是Adobe今年1月修補的CVE-2023-21608，因為該漏洞公布的時間最久，網路上已有不少的概念性驗證攻擊（PoC）及漏洞分析，使得攻擊者利用這項漏洞更為容易。</p> <p><a href="https://www.ettoday.net/news/20231012/2600759.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檢方確認我國2,357萬筆戶政資料流入暗網，兜售資料的駭客來自中國</span></strong></a></p> <p></p> <p>去年10月<a href="https://www.ithome.com.tw/news/153894#taiwan2300">名為OKE的人士於駭客網站BreachForums兜售全臺灣民眾的戶政資料2,357萬筆</a>，並公布20萬筆資料供買家驗證，引起社會譁然，民眾質疑戶政機關保護個資不力，內政部後續提出澄清，他們表示，資料格式與該單位系統不同，並非從戶政司資訊網洩漏。本週檢調單位公布更多消息。</p> <p>調查局資安站確認，駭客公開的20萬筆資料集中在宜蘭地區，且內容正確。經北檢分案展開追查，透過科技偵查並與暗網登記所在國連繫後，查出OKE真實身分是中國籍的童自強，此人收款的電子錢包入帳4999.2個泰達幣（相當於5,000美元），經反向追查，查出是我國鄭姓男子所購買。鄭男到案坦承，因好奇這名駭客握有的資料是否為真，他透過Telegram向駭客聯繫，並於31日匯入款項。鄭男從收到的Excel檔案找到親友姓名進行比對，資料相差無幾，強調並未將這些資料用於其他用途。由於鄭男並未將取得的資料洩露、公開，或是再行利用，並坦承犯行，臺北地檢署12日依無故蒐集個資給予緩起訴處分，並對童自強發布通緝。</p> <p>值得留意的是，檢調抽查童自強兜售的資料，發現總筆數與臺灣2018年人口總數相當，內容亦與當時的戶役政資料幾乎一樣。此外，臺北地檢署另案追查個資外洩的管道，正在了解是否有其他人士取得、用於不法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-socks5-vulnerability-in-curl-puts-enterprise-systems-at-risk/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">程式庫Curl修補高風險漏洞</span></strong></a></p> <p></p> <p>10月4日URL傳輸程式庫curl專案維護團隊預告，將於11日發布8.4.0新版，當中修補高、低層級風險漏洞，資安業者Qualys呼籲組織應儘速盤點所有部署的curl，以便新版推出之後，就能立刻進行升級。</p> <p>到了11日這兩個漏洞的細節揭曉，高風險漏洞是CVE-2023-38545，同時影響7.69.0至8.30版的curl與libcurl，起因是curl將主機名稱傳遞至SOCKS5代理伺服器解析其IP位址時，主機名稱最大允許長度為255位元組，一旦超過，curl就會切換、改用本機名稱解析，並將結果得到的位址傳送至代理伺服器，然而此漏洞就是發生在「讓主機解析名稱」的本機變數當中，有可能導致SOCKS5交握過程得到錯誤的數值，從而將過長的主機名稱複製到目標記憶體緩衝區，產生溢位（overflow）的問題。目前，Red Hat將此漏洞的CVSS風險評為7.5。</p> <p>另一個漏洞為CVE-2023-38546，僅影響7.9.1至8.3.0版libcurl，攻擊者可利用該程式庫任意將Cookie插入正在執行的應用程式，由於必須搭配一系列的環境條件才能觸發，開發團隊將其危險程度列為低風險，Red Hat評估其CVSS分數為5.0。</p> <p>資料來源</p> <p>1. <a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets">https://blog.qualys.com/vulnerabilities-threat-research/2023/10/05/curl-8-4-0-proactively-identifying-potential-vulnerable-assets</a><br /> 2. <a href="https://curl.se/docs/CVE-2023-38545.html">https://curl.se/docs/CVE-2023-38545.html</a><br /> 3. <a href="https://access.redhat.com/security/cve/cve-2023-38545">https://access.redhat.com/security/cve/cve-2023-38545</a><br /> 4. <a href="https://curl.se/docs/CVE-2023-38546.html">https://curl.se/docs/CVE-2023-38546.html</a><br /> 5. <a href="https://access.redhat.com/security/cve/cve-2023-38546">https://access.redhat.com/security/cve/cve-2023-38546</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://support.apple.com/HT213972"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.7.1、iPadOS 16.7.1，修補舊版裝置的零時差漏洞CVE-2023-42824、CVE-2023-5217</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159247"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化雲端基礎設施機密保護及配置管理自動化，基礎設施即程式碼工具新創Pulumi推出新的解決方案</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/159201"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Hello Kitty程式碼被公布，有助於製作解密金鑰</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/159204"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google以Rust重寫Android裸機元件，進一步強化記憶體安全</span></span></strong></a></p> <p><a href="https://blog.talosintelligence.com/vulnerability-roundup-webkit-and-yifan-router/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國億帆工業路由器曝露於重大層級漏洞，迄今尚未有修補程式</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159241"><strong>【10月12日】以色列與巴勒斯坦爆發大規模軍事衝突之後，逾100個駭客組織發動網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159228"><strong>【10月11日】駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159172"><strong>【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</strong></a></p> </div></div></div>
2023/10/13 17:02作者周峻佑https://www.ithome.com.tw/news/159278
AI也要抓漏，微軟AI Bug Bounty Program上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/msrc/bounty-ai" target="_blank">微軟周四（10/12）公布了新的抓漏計畫</a>，這是鎖定AI臭蟲的Microsoft AI Bug Bounty Program，獎金從2,000美元到1.5萬美元不等，首個抓漏的產品為具備AI能力的Bing。</p> <p>現有的抓漏範圍圍繞在所有整合AI的Bing體驗，包括利用各種瀏覽器造訪Bing.com時所體驗的Bing Chat、Bing Chat for Enterprise及Bing Image Creator；或是在Windows版Microsoft Edge使用整合AI的Bing功能，包括Bing Chat for Enterprise在內；以及iOS及Android上Microsoft Start Application所整合的Bing；或是iOS及Android上Skype Mobile Application整合的Bing。</p> <p>與AI系統相關的安全漏洞涵蓋了推論操縱（Inference Manipulation）、模型操縱（Model Manipulation）及推論資訊揭露（Inferential Information Disclosure），像是可注入指令導致模型偏離其預期行為，或是可干擾有效輸入而令模型產生錯誤輸出，或是可竄改模型架構、訓練程式碼、訓練資料或超參數來毒害模型，或是可自訓練資料集中重建個人資料紀綠等。</p> <p>不過，只有被微軟AI漏洞分類系統（<a href="https://www.microsoft.com/en-us/msrc/aibugbar" target="_blank">Microsoft Vulnerability Severity Classification for AI Systems</a>）視為重要（Important）或重大（Critical）等級的安全漏洞才符合申請資格。</p> <p>根據<a href="https://msrc.microsoft.com/blog/2023/08/microsoft-bug-bounty-program-year-in-review-13.8m-in-rewards/" target="_blank">微軟日前所公布的年度抓漏成果</a>，自去年7月1日到今年6月底之間，微軟總計祭出了17個抓漏計畫，來自全球逾45個國家的345個安全研究人員，總計提交了1,180個符合資格的漏洞報告，獲得了1,380萬美元的獎金，最高的一筆抓漏獎金為20萬美元。</p> </div></div></div>
2023/10/13 13:08作者陳曉莉https://www.ithome.com.tw/news/159254
Google允許Android用戶刪除15分鐘內Chrome上網紀錄、Gmail流到暗網時會通知用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/google-cybersecurity-awareness-month-2023/" target="_blank">Google本周公布</a>包括Android、Chrome、及Google App多項新安全措施，以提供用戶更多資安及隱私防護，包括允許Android刪除15分鐘內手機上網紀錄、Gmail公布在暗網時通知用戶，以Google App當iPhone密碼管理器。</p> <p>繼今年初<a href="https://9to5google.com/2023/03/20/google-chrome-history-15-minutes/" target="_blank">媒體發現</a>測試後，Google本周宣布，Android版Chrome加入「清除上網資料（clear browsing data）」，讓用戶可以刪除15分鐘內的上網紀錄、網站cookies、快取等資料及開過的分頁資料。這項功能僅提供Android版，用戶很快可以在瀏覽器右上角的漢堡式選單內找到。《<a href="https://mspoweruser.com/google-chrome-delete-last-15-minutes-browsing-data/" target="_blank">MSPower User</a>》發現，目前可在Chrome Canary 120版中啟用這項功能，但應該不久後會部署到正式版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Google%20account-Clear%20Browsing%20Data-last%2015%20minutes%20of%20browsing%20history-600.png" style="width: 373px;" /></p> <p>Google也說明，Pixel 8系列內建Google自行研發的Tensor G3晶片，整合了Titan M2安全晶片，可執行機器學習模型，提供臉部辨識解鎖，號稱是Android手機最強的生物辨識等級，能用於保護手機銀行App或Google Wallet等支付App。</p> <p>前面二項功能都是Android獨有，不過Google在iPhone等iOS裝置上也提供了新功能。現在Google密碼管理員（Password Manager）內建到Google App中。因此iPhone或iPad用戶也可以用它來管理密碼，或在登入App或網站前以Autofill功能自動輸入密碼。</p> <p>最後，<a href="https://www.ithome.com.tw/news/156846" target="_blank">Google 5月公布暗網報告功能</a>，可在用戶Gmail信箱被公布在暗網上時告知用戶。這項功能當時只提供美國用戶。現在Google將暗網報告部署到所有用戶，可在Google App的帳號選單開啟讀取。暗網報告會先提供給Android版用戶，但很快會推向iOS版用戶。</p> <p>Google本周稍早已宣布另二項安全措施，包括<a href="https://www.ithome.com.tw/news/159209" target="_blank">啟動Google帳號以通行密鑰（passkey）取代密碼</a>作為預設驗證方法，以及公告發送一天5,000封信以上的<a href="https://www.ithome.com.tw/news/159120" target="_blank">大量郵件寄件者，必須驗證身分</a>，而信件中也應加入一鍵取消訂閱的按鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Passwordless%20by%20default-Passkeys-Google%20Accounts-600.png" style="width: 385px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/10/13 11:23作者林妍溱https://www.ithome.com.tw/news/159251
個人版Google帳號開始要求用戶設定無密碼登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/passkeys-default-google-accounts/" target="_blank">Google宣布</a>本周將開始要求用戶設定以通行密鑰（passkey）作為個人版Google帳號預設，以便加速部署無密碼登入，但用戶仍然可以暫時opt-out而續用密碼。</p> <p>Google近年積極推動以通行密鑰取代密碼成為網站或應用程式登入方式。通行密鑰是結合註冊網站的公鑰，以及儲存在手機裝置中的私鑰而成的驗證方案，可免去用戶記憶密碼的麻煩，及密碼外洩的風險。Google去年<a href="https://www.ithome.com.tw/news/153615" target="_blank">讓Android及Chrome支援通行密鑰</a>後，今年<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google帳號</a>及<a href="https://www.ithome.com.tw/news/157209" target="_blank">Google Workspace</a>也都陸續支援無密碼登入。</p> <p>Google說，接到用戶迴響十分正面，不少YouTube、搜尋和Maps用戶都啟用通行密鑰，因此Google決定讓通行密鑰成為Google個人帳號的預設選項。這表示用戶下次登入Google帳號時，會出現提示對話框，要求用戶建立和使用通行密鑰，藉此簡化未來登入流程。</p> <p>設定完成通行密鑰後，用戶可以用指紋、臉部掃瞄或PIN來解鎖裝置，而且比密碼登入快40%。</p> <p>但是Google相信，新科技普及需要時間，密碼還會存在一段時日，因此Google仍允許用戶使用密碼。Google帳號設定有「如果可能，跳過密碼」的選項，用戶可關閉本選項以opt-out通行密鑰。</p> <p>Google也已和第三方App業者合作，以便在Chrome及Android平臺上支援通行密鑰，包括1Password、Adobe、DocuSign、Kayak、Mercari、Paypal及Yahoo! Japan。最近Uber、eBay都已改啟用通行密鑰，WhatsApp不久後也會支援。Google說會持續公布新的支援清單。</p> </div></div></div>
2023/10/11 11:38作者林妍溱https://www.ithome.com.tw/news/159209
研究車聯網安全，懂資安也要懂機電控制知識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>車聯網安全議題受重視，這幾年來不只有實際車輛漏洞挖掘的競賽，也有增進資安人員研究汽車資安知識的競賽，在<a href="https://www.ithome.com.tw/news/159188">電動車資安公司VicOne揭露組隊參賽Car Hacking Village CTF（CHV CTF）</a>經驗之餘，我們在與VicOne這些資安專家討論中，特別關注車聯網資安目前正面臨兩大挑戰，一是汽車資安人才，另一是汽車領域的臺灣供應鏈。</p> <p>例如，從CHV CTF競賽來看，此領域的人才培育是一大挑戰。張裕敏指出，基本上，雖然這裡的CTF題目經過設計，難度會降低，但對臺灣或業餘資安研究人員來說，這些題目還是會偏難。</p> <p>主要原因在於，以車聯網的知識領域而言，瞭解相關協定亦是重要一環，不論硬體設備上的Debug探針、韌體分析，還有CAN Bus、Automotive Ethernet等各式協定，以及無線電、藍牙、RF-433等相關通訊介面，又或是LiDAR探測測距技術，這些其實比較偏向機電控制。</p> <p>但以普遍臺灣學校教育或產業環境來看，做機電控制的不會碰資安，做資安的不會碰機電控制，還有相關設備取得困難也是需要跨越的門檻，因此，車連網安全方面目前有點像是一個盲區，有點類似前幾年OT安全的情形。</p> <p>再者，從Pwn2Own在汽車類別競賽來看，不只是電動車本身的系統，還有兩大面向同樣需要資安，分別是：車用資訊娛樂系統（In-Vehicle Infotainment，IVI），以及電動汽車充電（Electric Vehicle Chargers）。</p> <p>這也是臺灣產業需要關注的面向，畢竟，除了國內少數公司涉及汽車領域之外，我國更是有不少公司是打造車用資訊娛樂系統，這方面要注意的是，這些公司可能認為自己只是在做Android裝置，因為很多這些系統都是基於Andorid打造，但其實這也就是一套汽車子系統，等於是供應鏈的一環，因此也會是汽車領域供應鏈安全所關注的焦點。</p> <p>此外，國內亦有許多公司是做電動車充電樁的電力基礎設施，若從整體的充電樁面向來看，我們還可以關注的層面，包括相關自助結帳系統及充電樁平臺營運商。</p> <h3><strong>發展車聯網安全，多項幫助入門的活動持續推動</strong></h3> <p>除了瞭解Car Hacking Village CTF，近期我們注意到另一消息，是鴻海研究院資通安全所聯合美國麻省理工學院（MIT）多媒體實驗室與國立臺北科技大學，共同打造EVπ的開放EV資安驗證平臺，並相容MIH電動車開放平臺架構，當中除了強調資安為各種創新服務的核心，似乎也是提供了一個較低的門檻，讓更多人能夠更快接觸到無人車，我們可以如何看待這樣的發展？</p> <p>對此問題，VicOne汽車網路威脅研究實驗室副總裁張裕敏表示，該平臺去年發布，可以說是一個教育訓練平臺，本身也不限於車用，主要能提供一個簡單的環境，讓用戶寫Script去測試研究。</p> <p>就其發展意涵，該平臺是有一些類似CTF的意味，像是關掉了一些功能，或是精簡了部分項目，讓學生在上面可以發揮並取得成就，不過，從實際面向來看，這個平臺與真實車輛連結更低一點。他認為，這一平臺的目標就是為了幫助「過渡」。</p> <p>張裕敏解釋，從傳統IT產業要過渡到車輛這樣的機電產業，這中間可能需要一個過渡的環節，而這個平臺比較偏IT面，但可幫助建立車聯網概念。像是將汽車所使用的組合語言，以及使用很早期的控制流，包裝成可以用Python這樣的高階語言去控制，讓學生能夠理解汽車內部相關行為與互動，從中產生多一點興趣。</p> <p>換言之，還沒有完全跨過去車聯網領域，但其好處在於，可以讓學生變得比較不排斥。而不是讓資訊科系學生，一開始教育從8位元組合語言學起。</p> <p>綜觀上述不同類型活動，我們大致畫分出3個層次。（一）EVπ平臺可促進更多人對車聯網安全有興趣；（二）Car Hacking Village CTF競賽的題目已降低難度幫助入門，促進熟悉相關技術，仍需對機電控制有一些基礎；（三）Pwn2Own車輛漏洞挖掘大賽是真實安全議題，發現的漏洞將有助於業者補強其產品安全性，但這也需要累積實際車輛安全研究經驗。</p> <p> </p> </div></div></div>
2023/10/10 08:34作者羅正漢https://www.ithome.com.tw/news/159189
Google開始以Rust重寫Android裸機元件，進一步強化記憶體安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在去年<a href="https://www.ithome.com.tw/news/154539">公開</a>Android提高記憶體安全性的重要關鍵，便是增加Rust程式碼的比例，而現在Google再次<a href="https://security.googleblog.com/2023/10/bare-metal-rust-in-android.html">揭露</a>在Android應用Rust的最新進展。Google現在還使用Rust，改寫Android中，在Linux核心之外執行的安全關鍵元件，進一步減少安全漏洞。</p> <p>Google在去年做了調查，發現Android的記憶體漏洞，從2019年的223個降低到2022年的85個，經過分析，Google認為記憶體漏洞減少的情況，主要與Android記憶體安全程式碼比例增加有關。Rust是一個記憶體安全的程式語言，其許多核心功能，使得程式在編譯的時候，就能夠捕捉到大多數的記憶體安全問題，避免記憶體相關漏洞在執行時或是生產環境才出現。</p> <p>在Android 13中，就已經約有21％新的原生程式碼以Rust開發，官方提到，這些元件大多數是在用戶空間的系統服務，也就是會在Linux作業系統下執行。但除此之外，還有其他許多以非記憶體安全語言編寫的元件存在。</p> <p>Android系統的許多安全關鍵元件，都在Linux核心之外的裸機環境中執行，而這些過去都是以C語言編寫，因此Google為了強化Android裝置韌體的安全性，也逐漸提高在裸機環境使用Rust的比例。Google以Rust重寫了Android 14的虛擬化框架的受保護虛擬機器（pVM）韌體，替pVM信任根提供記憶體安全基礎。</p> <p>pVM韌體的作用與啟動程式（Bootloader）類似，是建立在開源啟動程式專案U-Boot之上，但官方表示，U-Boot當初設計時，並未考慮在敵對環境下的安全性，因此已經發現許多範圍外的記憶體存取、整數下溢（Integer Underflow）和記憶體損壞所導致的安全漏洞，特別是VirtIO驅動程式，其邊界檢查有許多缺失和問題。雖然Google已經修復了在U-Boot中發現的問題，但是透過使用Rust，可以在未來避免出現類似的記憶體安全漏洞。</p> <p>由於Google要支援Rust語言在裸機環境中使用，也因此貢獻套件，同時發布了一系列新的套件，像是pVM韌體的VirtIO驅動程式，Google便修復了現有virtio-drivers套件中的錯誤和健全性問題，還添加了新功能。此外，Google也發布用於實現Arm PSCI介面和其他SMCCC呼叫，以及處理和控制裝置記憶體映射的頁面表套件。</p> <p>Google還計畫發布更多的Rust套件，與支援各種平臺的裸機程式開發，Google提到，雖然在裸機上應用Rust還有許多限制，但是相較於C或C++，Rust提供更高的安全性和生產力。Google接下來還會繼續擴大Rust的使用。</p> </div></div></div>
2023/10/10 20:11作者李建興https://www.ithome.com.tw/news/159204
【資安週報】2023年10月2日到10月6日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2023年的零時差漏洞利用情況來看，上半年呈現數量攀升的趨勢，近期我們注意到最近這樣的威脅態勢更是顯著。在中秋連假後這一週，出現多個漏洞遭成功利用的重要消息：</p> <p>　（一）商業間諜軟體開發商發動的零時差漏洞攻擊不斷，影像編解碼程式庫libvpx的漏洞CVE-2023-5217已遭鎖定利用，除了Google修補，後續蘋果與微軟也相繼針對其產品修補這項漏洞。</p> <p>　（二）修補手機端的零時差漏洞同樣消息不斷，包括Arm Mali GPU Kernel Driver的漏洞CVE-2023-4211，以及蘋果iOS與iPadOS的漏洞CVE-2023-42824，均有攻擊者發現漏洞加以利用的狀況。</p> <p>　（三）思科修補網路設備作業系統IOS、IOS XE的零時差漏洞CVE-2023-20109，已遭攻擊者利用，該漏洞存在於群組加密傳輸VPN（GET VPN）功能。</p> <p>　（四）Atlassian旗下的Confluence Data Center版與Server版，傳出身分驗證與Session管理毀損零時差漏洞CVE-2023-22515，同樣已發現遭利用的情形。</p> <p>　（五）新修補的漏洞快速遭鎖定。先前我們提到JetBrains在9月下旬修補CI/CD軟體平臺TeamCity重大漏洞CVE-2023-42793，以及本期周報提到Progress在9月底修補FTP伺服器軟體WS_FTP Server重大漏洞CVE-2023-40044，這些弱點修補公布至今不到半個月，均遭攻擊者鎖定利用。</p> <p>　（六）4月微軟揭露Windows CNG金鑰隔離服務權限提升漏洞CVE-2023-28229，並公告修補消息，最近亦發現遭利用的證據。</p> <p>在其他漏洞威脅消息上，還有多個同樣需要留意的焦點，例如：資料整合及自動化工具Apache NiFi，今年6月修補的漏洞CVE-2023-34468，近日出現攻擊該漏洞的利用工具；郵件傳送代理程式EXIM存在重大漏洞CVE-2023-42115，去年6月雖然已通報開發團隊，至今卻尚未修補，近期已揭露成為零時差漏洞，目前尚未出現遭濫用的情形。</p> <p>在威脅事件焦點方面，有三大焦點最受關注：</p> <p>　●有資安業者揭露中國駭客寄送釣魚郵件，假借提供聲稱是台積電的簡介PDF檔，意圖濫用Cobalt Strike對半導體產業從是間諜行動。<br /> 　●大樓自動化管理業者Johnson Controls遭勒索軟體攻擊，該公司已在9月底向美國SEC提交8-K表單說明遭遇網路攻擊。<br /> 　●關於日前傳出有駭客組織入侵Sony，在多日調查後，Sony向美國政府通報資料外洩事故，並指出該外洩事件起因是在6月初遭遇MOVEit Transfer零時差漏洞攻擊。</p> <p>其他重要惡意威脅態勢上，有兩起與政府相關，有兩起與行動裝置攻擊相關，分別是：東南亞政府機關近年遭中國駭客組織Mustang Panda、Alloy Taurus、Gelsemium鎖定的揭露，南美洲國家蓋亞那政府機關遭惡意程式DinodasRAT攻擊的揭露，以及逾50家越南銀行用戶遭安卓金融木馬GoldDigger的消息，以及中國駭客APT41開始對Android行動裝置下手，所利用的惡意軟體包括DragonEgg、WyrmSpy，並可竊取受害者地理位置資訊。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159063"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</span></strong></a></h3> <p>利用<a href="https://www.ithome.com.tw/news/144028">惡意廣告（Malvertising）</a>對搜尋引擎用戶發動攻擊，相當氾濫，但隨著廠商在AI聊天機器人置入廣告，使得惡意廣告也能影響使用AI聊天機器人的用戶，對其造成危害。</p> <p>資安業者Malwarebytes揭露針對Bing Chat用戶的攻擊行動，就是一個典型的例子，一旦用戶詢問如何下載特定的軟體，機器人就會在搜尋結果將駭客的廣告擺在第一順位，使得用戶很有可能依照機器人提供的答案下載應用程式，而導致電腦被植入惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/159112"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月3日】Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</span></strong></a></h3> <p>基於便利等因素，我們可能會認為內部網域的流量能夠完全信任，而不需加以管理，但這麼做很可能讓攻擊者有機可趁！資安業者Certitude近期揭露Cloudflare漏洞，就是這種型態的例子。</p> <p>研究人員發現，攻擊者可藉由自己的Cloudflare帳號，藉由該公司設置內部網域的信任機制，對其他用戶造成危害，由於Cloudflare並未將此視為漏洞，亦不打算修補，使得研究人員呼籲用戶要採取緩解措施。</p> <h3><a href="https://www.ithome.com.tw/news/159124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</span></strong></a></h3> <p>攻擊者利用求職、接案平臺進行網路釣魚攻擊的情況，可說是相當氾濫，其中，最常遭到濫用的是職場社群網站LinkedIn。但現在，有人提供網釣工具包EvilProxy，鎖定美國大型求職網站Indeed使用者，利用該網站未對網址進行管制的弱點來發動攻擊。</p> <p>透過該工具包利用網站弱點的情況，並非首例，今年3月至6月，駭客利用影音網站YouTube、購物比價網站Slickdeals的弱點，經過一連串的重新導向，才將受害者帶往釣魚網頁，目的是為了繞過各種資安系統與服務的偵測，行跡相當狡猾。</p> <h3><a href="https://www.ithome.com.tw/news/159144"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</span></strong></a></h3> <p>中國駭客APT41造成的資安事故頻傳，執行Windows作業系統的電腦是最主要受害的系統平臺，但這樣的情況自今年下半開始出現變化，有資安業者發現，這些駭客開發惡意軟體並對安卓用戶下手，最近有新的調查結果突顯這個趨勢</p> <p>例如，本週有資安業者ThreatFabric，揭露這群駭客對安卓手機發動的間諜軟體攻擊，而且，當中使用的惡意軟體，具有相當罕見的功能，引發關注——不只能搜括手機上的使用者資料，還能讓駭客得知受害者精準的地理位置。</p> <h3><a href="https://www.ithome.com.tw/news/159172"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</span></strong></a></h3> <p>中國駭客的網路間諜行動頻傳，繼我們昨天報導駭客組織APT41針對安卓手機用戶下手，散布惡意程式的情況，今天又有數起攻擊行動與中國駭客有關。其中，最引人關注的事故，就屬冒用臺灣護國神山台積電名義的網路釣魚攻擊。</p> <p>這起攻擊行動的特別之處在於，駭客運用兩家資安廠商軟體的可執行檔來發動DLL側載攻擊，並利用中國億賽通Cobra DocGuard加解密伺服器來代管惡意程式，而利用此加解密系統的攻擊並非首例，<a href="https://www.ithome.com.tw/news/158411#carderbee">今年4月，駭客組織Carderbee利用這種伺服器散布惡意程式PlugX</a>。</p> </div></div></div>
2023/10/9 11:18作者羅正漢https://www.ithome.com.tw/news/159191
【資安日報】10月5日，亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客APT41造成的資安事故頻傳，執行Windows作業系統的電腦是最主要受害的系統平臺，但這樣的情況自今年下半開始出現變化，有資安業者發現，這些駭客開發惡意軟體並對安卓用戶下手，最近有新的調查結果突顯這個趨勢</p> <p>例如，本週有資安業者ThreatFabric，揭露這群駭客對安卓手機發動的間諜軟體攻擊，而且，當中使用的惡意軟體，具有相當罕見的功能，引發關注——不只能搜括手機上的使用者資料，還能讓駭客得知受害者精準的地理位置。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.threatfabric.com/blogs/lightspy-mapt-mobile-payment-system-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41開始對安卓行動裝置下手，利用惡意軟體DragonEgg、WyrmSpy犯案</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TF_LightSpy_Toolset.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TF_LightSpy_Toolset.png" style="width: 300px; float: right;" /></a>資安業者Lookout於今年7月，<a href="https://www.ithome.com.tw/news/157880#apt41-dragonegg">揭露中國駭客組織APT41鎖定安卓手機發動的網路間諜攻擊行動</a>，過程中駭客利用了惡意軟體DragonEgg（亦稱LightSpy）和WyrmSpy（亦稱AndroidControl）。</p> <p>資安業者ThreatFabric循線進一步調查，發現DragonEgg採用模組化設計，並找出14種外掛程式，該惡意程式功能齊全，不只能收集使用者的個人資料，並能記錄包含建築樓層等相當精確的地理位置資料，還能從微信支付（WeChat Pay）的後端基礎設施竊取付款資料，以及從微信的音訊功能進行掛鉤，錄下使用者網路電話（VOIP）的對話內容。研究人員指出，DragonEgg的程式核心元件（Core）在整個攻擊鏈扮演重要的角色，功能包含採集設備的指紋，以及與C2建立完整的連接、從伺服器搜尋命令、更新及載入元件。此核心元件採用2種通訊協定與C2通訊，分別是以WebSocket接收命令，以及透過HTTPS上傳竊得資料。</p> <p>而對於此惡意軟體的基礎設施，研究人員在中國、香港、臺灣、新加坡、俄羅斯找到數十臺伺服器，並發現WyrmSpy也共用部分基礎設施，推測駭客打算使用WyrmSpy取代DragonEgg。此外，資安業者趨勢科技及卡巴斯基於2020年，揭露使用LightSpy惡意軟體攻擊香港iPhone用戶的攻擊行動Operation Poisoned News，ThreatFabric發現也是APT41所為。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony證實資料外洩，起因是遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></p> <p>上週末<a href="https://www.ithome.com.tw/news/159013">兩個駭客組織RansomedVC、MajorNelson聲稱成功入侵Sony</a>，取得部分開發資料，而現在該公司向美國政府通報資料外洩事故，再度引起外界關注。</p> <p>根據資安新聞網站Bleeping Computer、HackRead的報導，大型家用電視遊樂器製造商Sony Interactive Entertainment於10月3日，向緬因州總檢察長辦公室通報發生在5月底的資料外洩事故。</p> <p>該公司在6月2日察覺未經授權的下載，隨即將遭受攻擊的MOVEit Transfer系統下線並修補漏洞，尋求外部資安專家協助調查，結果發現，這起資料外洩事故發生在5月28日至30日，遭竊的資料包含姓名，以及與社會安全碼（SSN）有關的個人識別資訊，總共有6,791人受到影響。</p> <p>資料來源</p> <p>1. <a href="https://apps.web.maine.gov/online/aeviewer/ME/40/8b595be6-d1d7-47df-84d5-05738edd84f9.shtml">https://apps.web.maine.gov/online/aeviewer/ME/40/8b595be6-d1d7-47df-84d5-05738edd84f9.shtml</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/sony-confirms-data-breach-impacting-thousands-in-the-us/">https://www.bleepingcomputer.com/news/security/sony-confirms-data-breach-impacting-thousands-in-the-us/</a><br /> 3. <a href="https://www.hackread.com/sony-data-breach-moveit-vulnerability-us/">https://www.hackread.com/sony-data-breach-moveit-vulnerability-us/</a></p> <p><a href="https://www.reversinglabs.com/blog/r77-rootkit-typosquatting-npm-threat-research"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意NPM套件散布rootkit程式r77</span></strong></a></p> <p>網路上又出現惡意NPM套件，根據資安業者ReversingLabs發現，有個名為node-hide-console-windows的套件，最近開始散播，一旦開發者下載並部署，此套件便會下載Discord機器人DiscordRAT，並於受害電腦植入rootkit程式r77。</p> <p>研究人員指出，這起攻擊行動特別的地方，在於駭客模仿合法的套件node-hide-console-window，不只將說明頁面配置幾乎一樣，也比照合法套件發布相同數量的版本（10個），而讓開發人員更容易搞混。</p> <p>再者，駭客本次使用的DiscordRAT、r77，皆為開源的惡意程式，開發者皆提供了極為淺顯易懂的說明及使用教學，使得想要發動攻擊的駭客無須擁有高深的技巧就能操作，這樣的情況，使得相關攻擊將會變得更加氾濫。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-looney-tunables-linux-bug-gives-root-on-major-distros/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux系統出現root權限可能被奪取的漏洞，影響多個分支版本</span></strong></a></p> <p>資安業者Qualys揭露Linux漏洞CVE-2023-4911，這項漏洞存在於GNU C程式庫glibc，一旦加以利用，就有可能取得作業系統root完整權限。</p> <p>研究人員在Fedora 37及38版、Ubuntu 22.04及23.04版、Debian 12及13版上成功利用漏洞，並將其命名為Looney Tunables。不過，並非所有的Linux作業系統都存在這項漏洞。例如，Alpine Linux採用的C程式庫是musl libc，便不會受到影響。</p> <p>此漏洞發生的原因，在於動態載入程式在處理GLIBC_TUNABLES環境變數的過程中，可能出現記憶體緩衝區溢位的情況，此漏洞於2021年4月引入，研究人員上個月通報，Red Hat、Debian、Canonical皆發布資安通報並提出修補程式，Red Hat進一步指出，此漏洞的CVSS風險評分為7.8。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so#potential-impact-of-looney-tunables" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-225574367" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so#potential-impact-of-looney-tunables</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://access.redhat.com/security/cve/CVE-2023-4911" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1224208931" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://access.redhat.com/security/cve/CVE-2023-4911</span></a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.debian.org/security/2023/dsa-5514" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--353194787" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.debian.org/security/2023/dsa-5514</span></a><br /> 4. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://ubuntu.com/security/notices/USN-6409-1" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-2089826885" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://ubuntu.com/security/notices/USN-6409-1</span></a></p> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-emergency-update-fixes-new-zero-day-used-to-hack-iphones/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 17.0.3、iPadOS 17.0.3，修補已遭到利用的零時差漏洞</span></strong></a></p> <p>9月底蘋果開賣iPhone 15系列手機，有使用者反映產品使用有過熱的問題，蘋果承諾將發布新版iOS作業系統予以緩解，如今該公司推出相關更新，同時修補零時差漏洞。</p> <p>10月4日蘋果發布iOS 17.0.3、iPadOS 17.0.3，修補了CVE-2023-5217、CVE-2023-42824，前者為Google揭露的影像編解碼程式庫libvpx漏洞，與WebRTC有關，該公司將此元件更新為1.13.1版緩解漏洞；另一個漏洞則是出現在作業系統核心，攻擊者一旦觸發，就有可能藉此擴張權限。</p> <p><a href="https://msrc.microsoft.com/blog/2023/10/microsofts-response-to-open-source-vulnerabilities-cve-2023-4863-and-cve-2023-5217/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補Edge、Teams、Skype開源程式庫的零時差漏洞</span></strong></a></p> <p>10月2日微軟宣布，他們將針對旗下多項軟體，修補開源元件libwebp、libvpx的零時差漏洞CVE-2023-4863、CVE-2023-5217，這些軟體包含Edge瀏覽器、電腦版Teams應用程式、電腦版Skype應用程式，以及Windows的Webp圖像延伸套件。</p> <p>其中，CVE-2023-4863最早由Google揭露，並於9月11日發布新版Chrome修補；次日Mozilla也為旗下的瀏覽器及上網應用程式修補該漏洞；另一個零時差漏洞Google、Mozilla先後於9月27日、28日進行修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客入侵微軟SQL Server資料庫系統，目標是對Azure雲端環境的虛擬機器下手</span></span></strong></a></p> <p><a href="https://jira.atlassian.com/browse/CONFSERVER-92475"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian修補DevOps協作平臺Confluence已出現攻擊行動的漏洞</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cer-priv-esc-B9t3hqk9"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科修補Emergency Responder寫死root帳密的漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/new-supermicro-bmc-vulnerabilities-could-expose-many-servers-to-remote-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Supermicro的基板管理控制器漏洞恐導致伺服器遭到RCE攻擊</span></span></strong></a></p> <p><a href="https://blog.thunderbird.net/2023/10/ransomware-alert-are-you-using-a-trusted-version-of-thunderbird/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借供收信軟體Thunderbird散布勒索軟體</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159124"><strong>【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159112"><strong>【10月3日】 Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159063"><strong>【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</strong></a></p> </div></div></div>
2023/10/5 17:26作者周峻佑https://www.ithome.com.tw/news/159144
Android 14正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-14/" target="_blank">Android 14在本周隨著Pixel 8系列手機的發表而登場</a>，新一代Android主要著重在使用經驗與安全上的改善，包括將PIN碼的預設值改成6位數，可自訂螢幕鎖定時的快捷功能，利用Health Connect集中管理所有健康資料，另也強化了<a href="https://blog.google/products/android-enterprise/android-14-for-business/" target="_blank">Android Work Profile的安全及法規遵循能力</a>。</p> <p>不管是蘋果的iOS或是Google的Android，現在行動作業系統的進化多圍繞在改善使用者經驗，已不常出現突破性的功能。最新的Android 14把重點擺在客製化能力，包括自訂鎖定螢幕的快捷鍵，快速切換桌布，自選螢幕上的字型、工具、顏色或格式，它甚至新增了一個單色主題，可讓整部手機的介面都變成黑白。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-android%2014-monochrome%20theme.png" style="width: 421px;" /></p> <p>此外，Android 14也支援AI桌布功能，利用AI生成技術將使用者所輸入的文字變成圖像，把想像中的桌布化為真實。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-android%2014-generative%20ai%20wallpaper.png" style="width: 419px;" /></p> <p>在安全及隱私上，Android 14鼓勵用戶設定6個數字的個人識別碼（Personal Identification Number，PIN），而且輸入完畢後裝置就會自動解鎖，不必再按確定或其它任何鍵。自動解鎖功能其實在三星或其它Android手機上早就存在，只是Google從未將它內建在Android上。</p> <p>新的Health Connect可用來連結與同步各種健身或健康程式，集中儲存來自相關程式的所有資料，方便管理與查看。此外，當使用者同意程式的某些權限，例如分享位置資料後，若程式開始與第三方分享使用者的資料，使用者將旋即收到通知，並決定是否收回權限。</p> <p>為了支援Android裝置在工作場合的使用，Android 14具備更先進的安全及法規遵循功能，也改善了可用來隔離私人與工作環境的Android Work Profile。例如它在Android Work Profile中提供了新的憑證管理員控制工具，讓IT管理人員可以僅放行可靠的憑證管理員，也可根據風險等級來關閉2G網路的連結，以及新增超寬頻（Ultra Wide Band，UWB）日誌等。</p> <p>另也讓使用者更容易切換Android Work Profile及私人檔案，可直接於使用中的程式切換，也能把螢幕截圖直接存至Android Work Profile中。</p> <p>Android 14將率先出現在Google本周發表的Pixel 8與Pixel 8 Pro，也支援其它Pixel手機、Pixel Tablet與Pixel Fold，至於Samsung Galaxy、iQOO、Nothing、OnePlus、Oppo、Realme、Sharp、Sony、Tecno、vivo與小米等手機也會在今年底前提供更新。</p> </div></div></div>
2023/10/5 15:59作者陳曉莉https://www.ithome.com.tw/news/159142
Pixel 8系列將可取得7年的軟體更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/pixel/google-pixel-8-pro/" target="_blank">Google周三（10/4）發表了新一代的Pixel 8系列手機</a>，包括6.2吋的Pixel 8與6.7吋的Pixel 8 Pro，它們皆採用最新的Tensor G3處理器與Android 14作業系統，<a href="https://blog.google/products/pixel/software-support-pixel-8-pixel-8-pro/" target="_blank">且其軟體支援年限長達7年</a>。</p> <p>Google此舉很難說不是受到蘋果的刺激。儘管蘋果從未明訂或宣傳過iPhone的軟體支援年限，但蘋果通常會提供5年的作業系統更新，可能會有更久的安全更新，另一方面，Android生態體系由於太過分散，軟體支援也不一，<a href="https://www.ithome.com.tw/news/126635" target="_blank">先前甚至傳出</a>還得由Google要求Android裝置製造商至少替使用者提供兩年的安全更新。</p> <p><a href="https://www.ithome.com.tw/news/149094" target="_blank">Motherboard資深作者Aaron Gordon曾在2022年抱怨</a>，宣稱他所使用的Pixel 3只有3年的安全更新，雖然手機沒壞，但軟體安全問題已足以令他決定投入iPhone的懷抱，Gordon的文章亦引來了眾多媒體的共鳴。</p> <p>另一方面，其實Google在2021年10月發表的Pixel 6，便提供了3年的作業系統更新及5年的安全更新，不過，Pixel 8更上一層樓，直接提供7年的軟體更新，包含Android作業系統的更新、安全更新及定期的功能更新，意謂著購買Pixel 8系列手機的使用者，到2030年都能取得來自Google的軟體更新。</p> <p>除了提供7年軟體更新之外，Google也宣布要延伸Pixel 8系列硬體及零件支援至7年，以迎合對軟體的承諾。Google表示，沒有一個主要的智慧型手機品牌能夠提供如此長壽的支援，而這也代表著Pixel手機將成為消費者更永續的選擇。</p> <p>在Android生態體系中，三星目前提供4年的安全更新，而荷蘭有一家崇尚環保的手機製造商Fairphone在某個部分超越了Google，<a href="https://shop.fairphone.com/fairphone-5" target="_blank">該公司在今年8月發表的Fairphone 5</a>提供了5年的保固、5個Android版本的作業系統更新，以及8年的安全更新。</p> </div></div></div>
2023/10/5 12:39作者陳曉莉https://www.ithome.com.tw/news/159141
Google公布以生成式AI加持的Google Assistant with Bard
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三在Made by Google大會上宣布Pixel 8、Pixel Watch2，<a href="https://blog.google/products/assistant/google-assistant-bard-generative-ai/" target="_blank">此外也公布整合生成式AI能力的Google Assistant with Bard</a>，但預定要再幾個月才會正式上線。</p> <p>新的Google Assistant是Google力抗在AI聊天機器人領域急起直追的OpenAI ChatGPT最新成果。為此，<a href="https://www.ithome.com.tw/news/156221" target="_blank">媒體報導</a>，Google今年春天也重新改組Assistant部門，要讓Assistant整合生成式AI聊天機器人Bard。</p> <p>名為Assistant with Bard的新AI助理整合了Bard的生成式及理解能力，以及Assistant的個人化協助。和Web版Bard一樣，使用者可以透過自然語言文字、語音或圖片傳達指令，例如搜尋網頁、翻譯、或詢問建議。另外，它也能和Google生產力應用如Gmail、Google Docs、Google Calendar等整合，預料應可協助使用者搜尋郵件、整理出差行程訂機票，或是草擬郵件、製作簡報等。</p> <p>接下來幾個月內，Google Assistant with Bard將推出Android和iOS版。Google Assistant and Bard部門副總裁暨總經理Sissie Hsiao指出，Assistant with Bard在Android手機上可以提供更靈活的協助，例如全新的對話疊加（conversational overly）功能提供新的互動方式，當用戶拍攝家中毛小孩的照片後，若想貼在社交平臺上，照片上會浮出Assistant對話框，用戶可以文字或口說叫它寫一段貼文，它就會寫出一段短文連同照片發送到社交平臺上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Assistant%20with%20Bard-600-1.jpg" style="width: 435px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Assistant%20with%20Bard-600-2.jpg" style="width: 435px;" /></p> <p><a href="https://www.youtube.com/watch?v=TBeXI8s5pek" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></a></p> <p>此外，Google也預告，一如Bard和Google Assistant，新的Assistant也會允許用戶自行控制隱私設定。</p> <p>Assistant with Bard目前還在早期實驗階段，Google目前只提供早期測試者試用以蒐集回饋意見，還要幾好個月才會推向大眾。Google沒有說明是否會在今年底還是2024年初。</p> <p>另一家Al助理大廠<a href="https://www.ithome.com.tw/news/158861" target="_blank">Amazon兩周前也向大眾公開以生成式AI改造的Alexa</a>。Amazon計畫可讓Alexa整合智慧家庭連網能力，能控制支援的物聯網裝置，如照明、窗帘、甚至可讓Alexa自動控制掃地機器人清理地板。目前Alexa也是在有限測試階段。此外，<a href="https://www.ithome.com.tw/news/159021" target="_blank">Meta也在上周發表</a>整合在Facebook Messenger、WhatsApp及Instagram的AI機器人Meta AI。</p> </div></div></div>
2023/10/5 11:31作者林妍溱https://www.ithome.com.tw/news/159133
【資安日報】10月4日，求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者利用求職、接案平臺進行網路釣魚攻擊的情況，可說是相當氾濫，其中，最常遭到濫用的是職場社群網站LinkedIn。但現在，有人提供網釣工具包EvilProxy，鎖定美國大型求職網站Indeed使用者，利用該網站未對網址進行管制的弱點來發動攻擊。</p> <p>透過該工具包利用網站弱點的情況，並非首例，<a href="https://www.ithome.com.tw/news/158224#evilproxy">今年3月至6月</a>，駭客利用影音網站YouTube、購物比價網站Slickdeals的弱點，經過一連串的重新導向，才將受害者帶往釣魚網頁，目的是為了繞過各種資安系統與服務的偵測，行跡相當狡猾。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.menlosecurity.com/blog/evilproxy-phishing-attack-strikes-indeed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">求職網站Indeed被EvilProxy網釣攻擊濫用，鎖定Microsoft 365用戶而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Phishing_Attack_Chain_fig2_outline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phishing_Attack_Chain_fig2_outline.png" style="width: 300px; float: right;" /></a>資安業者Menlo Security揭露自今年7月出現的網釣攻擊行動，駭客主要鎖定美國的銀行與金融服務業、保險業者、物業管理、房地產、製造業的高階管理人員下手，濫用求職平臺Indeed的網址放任重新導向弱點（Open Redirect Vulnerability），將目標重新導向偽裝成Microsoft 365登入網頁的釣魚網站，進行對手中間人攻擊（AiTM），騙得使用者執行登入過程中的Cookie。</p> <p>研究人員進一步調查，發現駭客使用Nginx伺服器代管釣魚網站、特定的URI路徑、伺服器會回應444狀態碼、利用FingerprintJS程式庫收集瀏覽器指紋，以及發出特定POST請求、郵件以Base64演算法編碼等特徵，研判駭客使用名為EvilProxy的網釣工具包發動攻擊。</p> <p><a href="https://nsfocusglobal.com/mirai-botnets-new-wave-hailbot-kiraibot-catddos-and-their-fierce-onslaught/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新型態Mirai殭屍網路變種HailBot、KiraiBot、CatDDoS攻擊行動升溫</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Attack-Targets.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Attack-Targets.png" style="width: 300px; float: right;" /></a>資安業者Nsfocus提出警告，他們在今年9月發現數種Mirai變種的殭屍網路攻擊行動，其中又以HailBot、KiraiBot、CatDDoS最為活躍。</p> <p>HailBot主要透過漏洞、弱密碼掃描、暴力破解入侵，成功感染後將受害電腦用於發動DDoS攻擊，此殭屍網路病毒具備4種使用TCP或UDP通訊協定的攻擊模式。研究人員指出，根據駭客的基礎設施活動判斷，這些攻擊者原本的目標是金融業與貿易業，但從去年下半轉向物聯網裝置。</p> <p>而另一個殭屍網路病毒KiraiBot，入侵的管道是透過23埠掃描常見的弱密碼，並能利用受害電腦發動6種DDoS攻擊，為了能持續在受害裝置上運作，駭客會在特定路徑部署自動執行的指令碼。研究人員指出，他們看到該殭屍網路病毒大量散布，可能帶來的威脅不容小覷。</p> <p>至於第3種殭屍網路病毒CatDDoS的特徵，是針對傳輸資料使用ChaCha20演算法進行處理，而且，近期出現頻繁發動攻擊的現象。駭客主要的攻擊目標位於中國（58%），其次是美國（25%）、日本（6%），偏好使用ack_flood、grip_flood兩種模式發動DDoS攻擊。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大樓自動化管理業者Johnson Controls遭到勒索軟體攻擊</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/F7BwdEDWcAEaO8X.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F7BwdEDWcAEaO8X.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，大樓自動化管理業者江森自控（Johnson Controls）傳出駭客入侵亞洲辦事處，之後就發生勒索軟體攻擊，該公司關閉部分IT系統因應，旗下子公司York、Simplex、Ruskin紛紛在入口網站表示面臨IT系統服務中斷的情況。</p> <p>資安業者Nextron Systems的研究人員取得勒索軟體程式，並指出攻擊者是勒索軟體駭客Dark Angels，該組織使用Linux版勒索軟體，以加密方式綁架VMware ESXi伺服器，並留下勒索訊息，傳出駭客竊得超過27 TB資料，索討5,100萬美元贖金。江森自控也在9月27日，向美國證券交易所（SEC）提交8-K表單，證實遭遇網路攻擊。</p> <p>根據新聞網站CNN的報導，事發後傳出美國國土安全部（DHS）也著手調查，確認他們是否受到江森自控的資安事故波及。該媒體取得內部的備忘錄，提及該公司持有國土安全部的機密、敏感合約，涉及許多該單位的實體安全設施資料，但不確定駭客是否取得這些檔案。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/building-automation-giant-johnson-controls-hit-by-ransomware-attack/">https://www.bleepingcomputer.com/news/security/building-automation-giant-johnson-controls-hit-by-ransomware-attack/</a><br /> 2. <a href="https://twitter.com/MalGamy12/status/1706989619818954837">https://twitter.com/MalGamy12/status/1706989619818954837</a><br /> 3. <a href="https://otp.tools.investis.com/clients/us/johnson_controls/SEC/sec-show.aspx?Type=html&FilingId=16953602&CIK=0000833444&Index=10000">https://otp.tools.investis.com/clients/us/johnson_controls/SEC/sec-show.aspx?Type=html&FilingId=16953602&CIK=0000833444&Index=10000</a><br /> 4. <a href="https://edition.cnn.com/2023/09/28/politics/dhs-investigating-ransomware-attack/index.html">https://edition.cnn.com/2023/09/28/politics/dhs-investigating-ransomware-attack/index.html</a></p> <p><a href="https://www.ithome.com.tw/news/159116"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織UNC4841攻擊目標從政府機關擴及民生關鍵基礎設施</span></strong></a></p> <p>中國駭客UNC4841利用零時差漏洞CVE-2023-2868，入侵Barracuda郵件安全閘道系統（ESG）引起研究人員及美國政府的高度關注，資安業者Mandiant在近期舉辦的mWISE Conference 2023資安防禦會議當中，透露對此駭客組織攻擊行動進一步的調查結果。</p> <p>研究人員指出，這些駭客入侵了全球多個國家的Barracuda郵件安全閘道系統，目的是協助中國政府進行廣泛的網路間諜行動，此種類型的攻擊行動，往往偏重政府機關、軍事國防、航太產業、電信通訊、資訊科技領域等第一級、高度機敏性組織，本次攻擊行動駭客鎖定的目標，僅有53%為上述產業，另一半是普遍認為較不具機敏性的產業。</p> <p>駭客本次的網路間諜行動目標橫跨26種產業，包括科技研發、能源、海空運輸、建築、農業、媒體、法律事務所、旅遊、零售、地產、食品製造等，其中亦包含多個東協國家的政府外交機構，以及臺灣與香港的國貿單位與學術研究機構，這些領域多為重要的民生關鍵基礎設施產業，一旦營運中斷，有可能嚴重打擊民眾生活。Google Cloud Mandiant Intelligence首席分析師John Hultquist認為，中國駭客的能力變得更為強大，又鎖定這些極具風險的關鍵基礎設施產業，處境非常令人擔憂。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.oligo.security/blog/shelltorch-torchserve-ssrf-vulnerability-cve-2023-43654"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AI模型模組管理工具TorchServe存在漏洞ShellTorch，可被攻擊者用於執行任意程式碼</span></strong></a></p> <p>資安業者Oligo Security指出，機器學習框架PyTorch的模組伺服器套件TorchServe存在3個重大漏洞，而有可能讓駭客串連，用於注入惡意AI模型，並且接管整個伺服器，研究人員將這些漏洞通稱為ShellTorch。</p> <p>首先，研究人員發現此套件的API配置當中，可允許攻擊者在無需驗證身分的情況下，遠端存取管理控制臺，值得留意的是，該漏洞存在於TorchServe、Amazon、Google專屬的Docker映像檔，以及Amazon SageMaker、Google Vertex AI、KServe。接下來，攻擊者可利用遠端伺服器請求偽造（SSRF）漏洞CVE-2023-43654，上傳惡意模型，導致目標伺服器執行模型後就有可能被攻擊者用於執行任意程式碼，CVSS風險評分為9.8；在TorchServe採用的元件SnakeYaml，也出現漏洞CVE-2022-1471，攻擊者可藉由上傳惡意YAML檔案，觸發反序列化攻擊，進而執行程式碼，CVSS風險評分為9.9。</p> <p>對此，開發該套件的Meta及Amazon也採取了行動，Meta於10月2日修補API預設值的弱點，Amazon發布資安通告並提出緩解措施。</p> <p><a href="https://source.android.com/docs/security/bulletin/2023-10-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布安卓系統10月例行更新，修補已被用於攻擊行動的零時差漏洞</span></strong></a></p> <p>10月2日Google發布本月份安卓例行更新，總共修補54個漏洞，當中有13個出現在安卓框架、2個為系統元件漏洞、2個與Google Play市集有關、5個Arm元件漏洞、3個聯發科晶片漏洞、1個紫光展銳（Unisoc）晶片漏洞、18個高通元件漏洞。</p> <p>這些漏洞裡，5個為重大等級，其中2個是已出現攻擊行動的零時差漏洞，一是電腦版Chrome的開源程式庫libwebp漏洞CVE-2023-4863，另一個則是Arm處理器GPU顯示晶片Mali的CVE-2023-4211 。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159067"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">第五輪ATT&CK評估計畫結果出爐，本次以善於潛伏的俄羅斯駭客Turla為攻擊假想目標</span></strong></a></p> <p>由MITRE Engenuity舉辦的ATT&CK Enterprise評估計畫（Evals），今年進入第五輪評測，於9月30日公布結果。</p> <p>本次共有31家資安業者參與，為歷屆參與廠商最多的一次，其中有3家資安業者首次參與評測，包括美國資安公司WatchGuard，兩家法國廠商HarfangLab與Tehtris，這也是法國資安業者首次出現於這項評測而受到矚目。綜合第五輪評測結果來看，在31家廠商中，有2家未列出評測結果，分別是Check Point與思科，MITRE Engenuity表示，最終只有29家有評測結果，主要是因為供應商產品與這次模擬執行之間存在不相容的技術問題，導致無法在指定時間內完成評估。</p> <p>而對於本次評測的內容，MITRE Engenuity是以技術手法多樣，潛伏能力強，並且很會隱忍的俄羅斯駭客組織Turla為假想敵，設計模擬攻擊的內容。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-now-exploiting-critical-teamcity-rce-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CI/CD系統TeamCity重大漏洞傳出已被勒索軟體駭客用於攻擊行動</span></span></strong></a></p> <p><a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/october-2023-bulletin.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">高通發布十月份例行更新，修補GPU、DSP驅動程式的零時差漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-looney-tunables-linux-bug-gives-root-on-major-distros/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Looney Tunables漏洞恐讓攻擊者取得root權限，影響多個版本Linux電腦</span></span></strong></a></p> <p><a href="https://www.sonarsource.com/blog/openrefine-zip-slip/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資料處理軟體OpenRefine存在Zip Slip漏洞，攻擊者有可能藉此執行任意程式碼</span></span></strong></a></p> <p><a href="https://securelist.com/crimeware-report-asmcrypt-loader-lumma-stealer-zanubis-banker/110512/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入工具ASMCrypt埋藏在PNG圖檔，並透過惡意DLL程式庫載入記憶體執行</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159112"><strong>【10月3日】 Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159063"><strong>【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159036"><strong>【9月28日】勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元贖金</strong></a></p> </div></div></div>
2023/10/4 17:32作者周峻佑https://www.ithome.com.tw/news/159124
Arm修補正遭到攻擊的Mali GPU驅動程式漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.arm.com/Arm%20Security%20Center/Mali%20GPU%20Driver%20Vulnerabilities" target="_blank">Arm本周一發布安全公告</a>，以修補影響Android手機使用的GPU驅動程式漏洞，並警告該漏洞正遭到濫用，Google預計將相關修補包含在10月Android安全更新釋出給用戶。</p> <p>編號CVE-2023-4211為存在於Arm Mali GPU系列的核心驅動程式，它能讓本地未具權限的使用者透過惡意輸入，引發不當GPU記憶體運算，而得以存取已經釋放的記憶體。本項漏洞影響Arm旗下數款Mali GPU的（r42p0及之前）所有版本驅動程式，包括Midgard、Bifrost、Valhall及Arm第5代GPU架構。Arm已經針對這些產品釋出最新r43p0版本驅動程式。</p> <p class="rtecenter"><a href="http://developer.arm.com/Arm Security Center/Mali GPU Driver Vulnerabilities" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-Arm-patch1002-CVE-2023-4211.png" style="width: 600px;" /></a></p> <p>本項漏洞是由Google威脅分析小組（Threat Analysis Group）研究員Maddie Stone、Project Zero研究員Jann Horn發現。根據Google釋出的Android安全公告，CVE-2023-4211屬於高風險漏洞。而Arm也警告目前有證據駭客已對少部分採用Midgard GPU的手機用戶，濫用本項漏洞發動攻擊。</p> <p>CVE-2023-4211為Arm安全公告修補的Mali GPU三項漏洞之一。另二項漏洞中，CVE-2023-33200允許本地無權限用戶利用不當GPU運作濫用軟體競爭條件，可讓攻擊者存取已釋放的記憶體，CVE-2023-34970則允許無權限用戶執行不當GPU運作，濫用軟體競爭條件或是造成緩衝區溢位，以存取已釋放記憶體。兩者也都屬於高風險漏洞。</p> <p><a href="http://source.android.com/docs/security/bulletin/2023-10-01" target="_blank">Google針對這三項漏洞的修補</a>，包含在預定於10月6日發布的Android 10月安全更新，準備部署給用戶。</p> </div></div></div>
2023/10/3 11:35作者林妍溱https://www.ithome.com.tw/news/159086
Google再緊急修補Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_27.html" target="_blank">Google周四又緊急釋出Chrome安全更新</a>，以修補10項漏洞，包含一個已遭到濫用的漏洞。</p> <p>Google昨日針對Windows、Mac和Linux平臺釋出桌機版Chrome 117.0.5938.132。最新更新修補的10項漏洞中包括3個高風險漏洞，其中最重要的是已遭濫用的CVE-2023-5217。它是位於VP8編碼函式庫libvpx中的堆積型緩衝溢位（heap buffer overflow）漏洞。Libvpx為Google和Open Media聯盟（AOMedia）合作開發而成。通常緩衝溢位漏洞會引發程式崩潰或任意程式碼執行。</p> <p>本漏洞是由Google威脅分析小組研究人員Clément Lecigne通報。Google在發現後2天內完成修補。另一名成員<a href="https://twitter.com/maddiestone/status/1707244655447060688" target="_blank">Maddie Stone說明</a>，這是Lecigne發現最新一起商業間諜軟體開發商濫用的漏洞。</p> <p><a href="https://blog.google/threat-analysis-group/spyware-vendors-use-0-days-and-n-days-against-popular-platforms/" target="_blank">Lecigne今年3月曾指出</a>Google追蹤到，至少有30家業者出售商業性的間諜監控軟體給政府支持的單位，利用包括iOS、Android及Chrome的零日（0-day）或數日（n-day）漏洞，以監控異議份子或記者。</p> <p>另二項重大漏洞CVE-2023-5186及CVE-2023-5187，分別是位於Passwords元件及Extensions元件中的使用已釋放記憶體漏洞，攻擊者可能傳送惡意連結誘使用戶連向特定UI或下載外掛，引發堆積記憶體毁損，後果可能小從資料流失，大到系統無法運作。</p> <p>Google呼籲用戶應儘速安裝最新版Chrome更新以策安全。</p> </div></div></div>
2023/9/29 18:58作者林妍溱https://www.ithome.com.tw/news/159044
ChatGPT現在能接受語音、圖片輸入提示，還會說話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/chatgpt-can-now-see-hear-and-speak" target="_blank">OpenAI周一宣布</a>ChatGPT即將讓用戶以語音輸入指令或上傳圖片，而且終於能開口說話。</p> <p>語音、圖像辨識新功能將在2周內部署給ChatGPT Plus及Enterprise用戶，不過OpenAI表示「很快」也會推向開發人員及免費版用戶。</p> <p>支援語音互動和圖片辨識讓ChatGPT有更多元應用。用戶可以直接說出想要ChatGPT執行的任務、聽它的答案，再和這個聊天機器人來回對話。像是要求它為家人說一個床邊故事，或是設定晚餐桌上的辯論。加上圖片辨識能力則讓使用場景更為靈活，像是在旅行途中拍下知名建物詢問有趣故事，或是拍攝冰箱照片，讓ChatGPT建議菜單，並在邊做菜時邊向它討教作法。用戶也可以拍攝數學習題上傳ChatGPT，請它分享解題技巧給大人和小孩。</p> <p>OpenAI表示，最新的語音能力是在新的語音合成（text-to-speech）模型上開發，它能以數秒鐘的語音樣本及文字生成逼真的人聲。目前OpenAI提供5種人聲，每種聲音都是OpenAI和專業聲優合作開發出來。OpenAI並使用開源語音辨識系統Whisper將語音轉錄為文字。</p> <p>而圖片辨識則是以多模GPT-3.5和GPT-4為底層。這些模型將語言理解能力應用在包含文字和圖片的段落、螢幕擷圖及文件上。最新功能允許用戶上傳多幀圖片，或使用其繪圖工具引導ChatGPT畫一張圖。</p> <p>OpenAI強調，基於技術風險，該公司選擇逐步釋出這些進階功能，例如語音合成可能給了歹徒詐騙或Deepfake名人的機會，而視覺模型目前仍有對人臉幻覺，以及在重要領域仍仰賴模型解釋圖片的問題。為此，在語音合成上，目前OpenAI僅發展語音對話，但是該公司也在實現其他應用，例如Spotify以OpenAI技術測試podcast的語音翻譯功能。至於圖片辨識，在大規模推廣前，OpenAI已展開模型偏激性及科學能力的測試，以探詢負責任的用途。</p> <p>新的視覺辨識功能提供給所有平臺，包括Windows及行動版App。語音輸入功能則只部署到iOS和Android版。要使用圖片辨識功能，需以App上的相片鍵拍攝或選擇圖片。iOS或Android手機版App上則需要先按「+」號。語音輸入功能方面，需用戶從App的「設定」區>「新功能」下加入（opt-in）啟動語音對話。之後使用者可按下ChatGPT主頁右上方的耳機按鍵，選擇喜歡的聲音完成設定。</p> </div></div></div>
2023/9/26 13:06作者林妍溱https://www.ithome.com.tw/news/158968
Google開始向170個市場推送Android AI開發助理Studio Bot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在大部分Android開發者，可以在Android Studio用到最新的人工智慧開發助理Studio Bot，Google<a href="https://android-developers.googleblog.com/2023/09/studio-bot-expands-to-international-markets.html">宣布</a>該功能開始向全球170個市場推送。開發者能夠在Android Studio中，以自然語言向Studio Bot提出程式開發相關問題並且獲得解答。</p> <p>Studio Bot是Google在今年I/O上發布，針對程式開發需求的人工智慧助理，其提供類似GitHub Copilot的功能，可協助開發者編寫程式碼，官方提到，Studio Bot使用一個專為Android微調的模型Codey，而Codey則是Google新發表語言模型PaLM 2的衍生模型。</p> <p>Studio Bot可以協助開發者產生程式碼、回答問題、相關資源，進而提高Android程式碼的品質，雖然開發者也可以使用其他人工智慧服務，達到類似的目的，但是Studio Bot的優勢之一，便是Studio Bot可以始終掌握開發者開發脈絡，能夠快速且精準地回應問題，開發者完全不需要離開Android Studio。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiXKhj10TysGRjf19zA9jNfwKLyUiPBPl48UUTp6AxeYxKyAkf3lFpfYMdXn49GcfFUOqas5LkvT7ObsxRexqna-xIFM_yt4GZMTwrjZjH8ONOmX28Wk0A5AdGcdhqI6bVS_26F4NCr_U6MGYUeUT-i5swS1SK0O46XZLh-KQQDasQltvPUGlyz9jxmhIA/s1600/%5BAD%20BLOG%5D-Studio-Bot-Inline.gif" style="width: 380px; height: 475px;" /></p> <p>現在Google透過Android Studio金絲雀發布頻道，向170多個市場部署Studio Bot，雖然大多數國家都已經可以使用到這項功能，但是官方提到，Studio Bot針對英文使用設計。因此開發者需要在Studio Bot聊天室視窗中，以英文輸入問題與機器人互動。</p> <p>Studio Bot可以回應的問題包括「How do I add camera support to my app？」、「Can you remind me of the format for javadocs？」或是「What's the best way to get location on Android？」等。由於Studio Bot會記住對話上下文，因此開發者可以繼續提出後續請求，像是「Can you show me how to do it in Compose？」等問題。</p> <p>Studio Bot具有隱私安全性，機器人僅會發送指令到Google伺服器，用戶的程式碼會留在本機端，且預設情況下，Studio Bot的回應單純基於對話歷史紀錄，開發者可以控制是否要共用其他上下文或是程式碼以自訂回應。</p> <p>Google提醒，由於Studio Bot目前仍在早期開發階段，因此開發者要在生產環境使用Studio Bot所產生的回應，都應該先進行人工驗證。官方持續改進Android開發知識庫以及Studio Bot回應的品質，開發者也可以透過評價按鈕，來快速回饋對Studio Bot回應的感覺。</p> </div></div></div>
2023/9/25 16:58作者李建興https://www.ithome.com.tw/news/158947
蘋果上周修補的3個漏洞是被用來安裝Predator間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/158904" target="_blank">蘋果於上周四（9/21）緊急更新</a>了3個已遭駭客濫用的零時差漏洞，提報漏洞的<a href="https://citizenlab.ca/2023/09/predator-in-the-wires-ahmed-eltantawy-targeted-with-predator-spyware-after-announcing-presidential-ambitions/" target="_blank">加拿大公民實驗室（Citizen Lab）</a>與<a href="https://blog.google/threat-analysis-group/0-days-exploited-by-commercial-surveillance-vendor-in-egypt/" target="_blank">Google威脅分析小組</a>分別在隔天揭露了攻擊場景，指出遭到攻擊的是手持iPhone的埃及總統候選人Ahmed Eltantawy，駭客利用相關漏洞在Eltantawy的手機上植入了間諜程式Predator。</p> <p>公民實驗室說Predator的開發商是Cytrox，Google則說是Intellexa，這是因為有資安業者認為，Intellexa是由包括Cytrox、Nexa Technologies與WiSpear等商業間諜軟體業者共同設立的聯盟，共同開發與銷售Predator，目的是與打造Pegasus間諜程式的NSO Group相抗衡。不過，不管是Cytrox或Intellexa，<a href="https://www.state.gov/the-united-states-adds-foreign-companies-to-entity-list-for-malicious-cyber-activities-2/" target="_blank">都已經在今年7月被美國列入禁止商業往來的實體名單（Entity List）中</a>。</p> <p>Predator的功能與Pegasus類似，在成功植入手機後，它們即可存取手機內部的所有資料，從訊息、電話、照片到密碼，還可以隱藏程式，也能監控手機位置，或是啟動手機鏡頭與麥克風。</p> <p>公民實驗室指出，曾擔任埃及議員的Eltantawy是在今年3月宣布要參選埃及總統，以取代現任總統Abdel Fattah el-Sisi的專治與鎮壓國家治理手段，之後Eltantawy的家人與支持者即開始受到各種騷擾與逮捕，Eltantawy則懷疑自己的手機受到危害，因而主動找上了該實驗室。</p> <p>上周蘋果所修補的3個漏洞，分別是可用來執行任意程式的WebKit漏洞CVE-2023-41993，可繞過簽名驗證的CVE-2023-41991，以及可擴充本地端權限的CVE-2023-41992。</p> <p>根據公民實驗室的調查，Eltantawy是在今年的8到9月間從iPhone造訪了幾個沒有使用HTTPS加密傳輸的網站，當時他使用的是Vodafone Egypt的行動網路，卻悄悄的被轉向到存放Predator的惡意網站。</p> <p>至於流量之所以能夠神不知鬼不覺地被轉向，除了Eltantawy所造訪的網站缺乏加密之外，也因為駭客是透過一個置放在埃及境內的裝置，藉由網路注入攻擊來遞送Predator。此外，公民實驗室分析，要能精準地針對某個Vodafone用戶進行注入，也必須整合Vodafone的客戶資料庫，再加上埃及政府原本就是Cytrox的客戶，因而相信該攻擊是由埃及政府所主導。</p> <p>Google則說，當受害者的手機被植入惡意程式之後，惡意程式即開始利用上述3個iOS漏洞，接著執行一個小程式來判斷是否要安裝完整的Predator。</p> <p>駭客不只鎖定iOS用戶，Android用戶同樣也受到Predator的攻擊，且駭客也利用了Chrome上的零時差漏洞CVE-2023-4762，已於9月5日修補。</p> <p>公民實驗室指出，此一攻擊事件揭露了整個電信生態系統的潛在風險，人們的網路通訊是藉由許多網路及中介設備來傳送，倘若當中的某些網路與設備遭到濫用，再加上造訪了未加密的網站，就可能受到危害，而這也突顯了應實現百分之百的HTTPS採用率的重要性。</p> <p>此外，這次攻擊中被注入惡意程式以重新定向的設備，為加拿大網通設備業者Sandvine所生產的PacketLogic，且過去PacketLogic已有遭到濫用的紀錄，使得該實驗室不僅去信Sandvine，也要求加拿大政府應立法來避免出口可能侵犯人權的技術。</p> </div></div></div>
2023/9/25 12:47作者陳曉莉https://www.ithome.com.tw/news/158942
【資安日報】9月23日，中國駭客鎖定臺灣安卓用戶，假借提供Whoscall付費功能的破解程式來散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客藉由提供盜版軟體、破解程式來散布惡意程式的情況，可說是相當氾濫，但過往大多是針對國外的使用者而來，如今竟有這類攻擊事故鎖定臺灣安卓手機用戶下手，居心叵測。</p> <p>資安業者Volexity揭露中國駭客組織EvilBamboo的攻擊行動，該組織從今年1月開始分享盜版軟體，目的就是為了散布名為BadBazaar的惡意程式，其中一款遭冒用的軟體的是知名的防詐騙來電辨識應用程式Whoscall。在臺灣詐騙電話與行銷電話猖獗，再加上Whocall免費版有不少廣告，使得不少用戶對於破解版趨之若鶩。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.volexity.com/blog/2023/09/22/evilbamboo-targets-mobile-devices-in-multi-year-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織EvilBamboo鎖定臺灣安卓用戶下手，假借提供破解版Whoscall散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/apk-image002-original.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apk-image002-original.png" style="width: 300px; float: right;" /></a>資安業者Volexity揭露中國駭客組織EvilBamboo（亦稱Evil Eye）的攻擊行動，該組織從今年1月17日開始，透過臺灣安卓手機論壇APK散布惡意程式BadBazaar。</p> <p>其中一個文章是宣稱提供破解版防詐騙來電辨識應用程式Whoscall，駭客表明解鎖付費版功能，而且能夠自動更新。但是該應用程式的更新功能可能會被防毒軟體「誤報」，而且因為應用程式的簽章問題，無法使用與Google有關的服務。研究人員指出，駭客會隨著Whoscall改版而「更新」提供的APK檔案，先後曾透過Google Drive、Dropbox等雲端檔案共享服務，存放惡意程式。</p> <p>由於使用者只要掃描該論壇提供的QR Code，就能將檔案下載到手機上安裝，且根據使用者的回報，此惡意程式具備Whoscall的各項功能，而可能讓使用者掉以輕心，沒察覺手機已被植入惡意程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/t-mobile-denies-new-data-breach-rumors-points-to-authorized-retailer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信業者T-Mobile傳出員工資料外洩，該公司表示是經銷商流出</span></strong></a></p> <p>資安研究團隊VX-Underground指出，美國大型電信業者T-Mobile傳出今年第3起資料外洩事故，駭客疑似從今年4月取得90 GB員工的個人識別資訊（PII），並在9月21日公布於駭客論壇BreachForum，亦透過Telegram、Discord頻道散布。這些資料包含了員工編號、在職狀態、到職日期、離職日期、職稱、部門、姓名、社會安全碼（SSN）末4碼，以及電子郵件信箱。</p> <p>根據資安新聞網站Bleeping Computer報導，T-Mobile向他們進行說明，表示該公司並未受害，資料流出的管道是他們其中一家授權經銷商。該新聞網站指出，這家經銷商很有可能就是4月19日傳出資料外洩的Amtel，此經銷商經營Connectivity Source品牌從事電信相關業務。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1705047695084175648">https://twitter.com/vxunderground/status/1705047695084175648</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1705042920137425171">https://twitter.com/vxunderground/status/1705042920137425171</a><br /> 3. <a href="https://www.documentcloud.org/documents/23989477-amtel-llc-dba-connectivity-source-data-breach-notification">https://www.documentcloud.org/documents/23989477-amtel-llc-dba-connectivity-source-data-breach-notification</a></p> <p><a href="https://media.aircanada.com/Air-Canada-Cyber-Statement"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大航空證實員工資料外洩</span></strong></a></p> <p>9月20日加拿大航空發布新聞稿，表示有未經授權的人士存取該公司內部環境，當中含有員工的部分個資與紀錄，但他們的航班營運系統，以及面向旅客的系統（customer facing systems）並未受到影響，也沒發現旅客資訊遭到異常存取的跡象。不過該公司並未透露有多少員工受到影響，以及那些資料遭到外流。</p> <p>近期該國遭到網路攻擊的事故頻傳，幾天前，俄羅斯駭客組織NoName057(16)聲稱，他們攻擊加拿大邊境服務局（CBSA）、加拿大航空運輸安全局，導致該國17日海關通關電腦故障，旅客入境處理出現延誤的現象。</p> <p><a href="https://www.bleepingcomputer.com/news/security/government-of-bermuda-links-cyberattack-to-russian-hackers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">百慕達政府傳出遭到俄羅斯駭客攻擊，網路、電子郵件、電話服務中斷</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F6mV2c5W8AApMI0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F6mV2c5W8AApMI0.jpg" style="width: 300px; float: right;" /></a>9月21日英國海外領土百慕達表示，政府機關所有部門面臨網際網路、電子郵件、電話服務中斷的情況，他們的資訊與數位科技部正在著手復原。</p> <p>根據當地媒體Royal Gazette的報導，百慕達總理David Burt透露初步的調查結果，推測攻擊可能來自俄羅斯，而且，他們也攻擊其他地區的政府機關。22日該國政府公告網路尚未復原，付款工作將會延遲，已進行工資及供應商的付款作業，櫃檯只收現金及支票。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/BdaGovernment/status/1704842911215399232">https://twitter.com/BdaGovernment/status/1704842911215399232</a><br /> 2. <a href="https://twitter.com/BdaGovernment/status/1705058705568358892">https://twitter.com/BdaGovernment/status/1705058705568358892</a><br /> 3. <a href="https://www.royalgazette.com/general/news/article/20230922/government-communications-down/">https://www.royalgazette.com/general/news/article/20230922/government-communications-down</a>/</p> <p><a href="http://www.cadosecurity.com/cado-security-labs-researchers-witness-a-600x-increase-in-p2pinfect-traffic/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路P2PInfect攻擊9月中旬爆增600倍</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/P2Pinfect-image1-51.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2Pinfect-image1-51.png" style="width: 301px; float: right;" /></a>在今年7月，有一個點對點（P2P）型態的殭屍網路P2Pinfect浮出檯面，攻擊者鎖定能透過網際網路存取的Redis伺服器下手，資安業者Cado Security持續追蹤該殭屍網路的攻擊行動，他們發現在8月24日之後，攻擊頻率顯著增加。</p> <p>研究人員總共在蜜罐陷阱看到4,064起攻擊，其中，在9月3日的頻率增加至為8月24日的2倍，但上述活動當中，有3,619起發生在9月12日至19日，成長幅度達到602.17倍。研究人員指出，他們同時發現該殭屍網路的流量及惡意程式的變種數量顯著增加，研判該惡意軟體的經營者以極快節奏加強攻擊力道。</p> <p>而駭客所使用的P2Pinfect殭屍網路病毒變種當中，現在也加入了基於cron排程工作執行的持久運作機制，此外也增加備援的Bash酬載機制，若是主要的惡意酬載遭到刪除，仍能透過其他節點取得主程式並重新啟動，繼續控制受害主機。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.patreon.com/posts/sources-to-it-to-89234441"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化安卓作業系統軟體開發供應鏈安全，Google對於外部貢獻的程式碼採取更嚴格的檢驗流程</span></strong></a></p> <p>根據安卓新聞記者Mishaal Rahman的報導，Google為了提升安卓作業系統的軟體供應鏈安全，防範有人在整合修補程式到Android Open Source Project（AOSP）專案的過程中，有心或無意將漏洞、惡意程式引入，打算對於外部貢獻的程式碼採取更為嚴格的審核機制，從原本需要通過1名Google員工審核，變成必須經由2名員工簽核同意才能併入AOSP。</p> <p>至於由Google員工撰寫的程式碼，則需交由負責相關元件部門的其中一名成員審查，方能整合至AOSP的程式碼裡。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158882"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">政府資服採購作業指引9月公布，開始明定標案需獨立編列資安預算</span></span></strong></a></p> <p><a href="https://github.blog/2023-09-21-passkeys-are-generally-available/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub正式導入Passkey無密碼身分驗證機制</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-campaign-targeting-hospitality"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過冒牌訂房網站Booking.com竊取信用卡資料</span></span></strong></a></p> <p><a href="https://s1.ai/Sandman"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Sandman鎖定電信業者散布惡意軟體LuaDream</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/oilrigs-outer-space-juicy-mix-same-ol-rig-new-drill-pipes/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織OilRig鎖定以色列而來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158896"><strong>【9月22日】斥資280億美元重金，思科買下大數據資安業者Splunk</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158872"><strong>【9月21日】中國駭客假借寄送發票的名義發動網釣攻擊，目的是散布新型態的木馬程式ValleyRAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158845"><strong>【9月20日】面臨攻守極度失衡的局勢，FBI局長呼籲民間企業與政府積極合作，並將FBI納入資安防護計畫</strong></a></p> </div></div></div>
2023/9/23 17:35作者周峻佑https://www.ithome.com.tw/news/158927
中國駭客在臺灣論壇散布假「Whoscall」破解版，暗藏間諜軟體，該論壇主題已有10萬瀏覽次數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.volexity.com/blog/2023/09/22/evilbamboo-targets-mobile-devices-in-multi-year-campaign/">Volexity在9月22日</a>揭露多起中國駭客組織EvilBamboo（或稱Evil Eye）鎖定行動裝置的攻擊行動，特別的是，當中特別提到一起鎖定臺灣民眾的攻擊事件，手法是聲稱分享「Whoscall来電辨識」破解版，並在臺灣的論壇上散布安卓間諜軟體BadBazaar，受到國內資安界的關注。</p> <p>根據Volexity研究人員的說明，這些中國駭客從2023年1月17日開始，就在Android台灣中文網（Apk.tw）的論壇上，持續假藉提供Whoscall新破解版的名義，在貼文底部提供QR Code的下載連結，引誘國人前往Google Drive、Dropbox下載具惡意的APK，讓用戶將檔案下載到手機上安裝。而且每次發布新版本APK時，連結也會更新。</p> <p>值得關注的是，我們從研究人員張貼的圖片可看出，其標題為【電話/簡訊/通訊]Whoscall来電辨識v7.43付破解版+版本自動更新】，該篇討論串的內容已有9.4萬次的瀏覽量，並有900多個回覆。今日（9月23日) 我們查看該篇文章，標題已變更為7.45版，瀏覽次數已破10.2萬。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/apk-image002-original-1.png" style="width: 600px;" /></p> <p>這樣的針對性攻擊，顯然是針對臺灣民眾而來，並且利用國人想要防詐騙安裝Whoscall，卻貪小便宜不想付費或不想有廣告的心理。</p> <p>另外，根據使用者的回應，此惡意程式應該具備Whoscall的各項功能，而有可能讓使用者掉以輕心，沒有察覺手機已被植入惡意軟體。</p> <p>Volexity指出，EvilBamboo是一個受中國政府支持的駭客組織，他們已追蹤這個駭客組織長達五年，主要鎖定西藏、維吾爾與臺灣的個人與組織，而這3者也就是中國共產黨（CCP）經常威脅的目標。</p> <p>關於針對國人的這隻安卓間諜軟體BadBazaar，Volexity說明，最早是資安業者Lookout在2022年發現，當時該惡意軟體鎖定的是維吾爾人。</p> <p>這次Volexity研究相關樣本時，發現與Lookout之前的揭露沒有太多差異。其功能包含：可獲取簡訊、通話紀錄、設備資訊（IMEI、IMSI、時區、Wi-Fi詳細之廖）、拍照、聯絡人清單、已安裝的App、設備上儲存的文件與圖片，以及設備的位置。</p> <p>不過，研究人員在最新版本發現EvilBamboo的新變種，具有允許EvilBamboo自動更新應用程式的附加功能，因為程式中多了judgeUpdateOrNot的函式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E4%B8%AD%E5%9C%8B%E9%A7%AD%E5%AE%A2%E5%9C%A8%E8%87%BA%E7%81%A3%E8%AB%96%E5%A3%87%E6%95%A3%E5%B8%83%E5%81%87Whoscall%E7%A0%B4%E8%A7%A3%E7%89%88%E6%9A%97%E8%97%8F%E9%96%93%E8%AB%9C%E8%BB%9F%E9%AB%94.jpg" style="width: 600px;" /></p> <p>總體而言，Volexity這次揭露了EvilBamboo利用多種管道散布行動惡意程式。不只是有上述針對臺灣、利用論壇散布的方式，也有利用假網站與社交平臺，以及利用基於Telegram的方式。</p> <p>此外，EvilBamboo至少使用3種不同的Android間諜軟體家族，包括：BADBAZAAR、BADSIGNAL和BADSOLAR，這些惡意程式均被插入到合法程式作為後門。</p> <p>最後，Volexity提醒，EvilBamboo駭客組織散布這些行動惡意程式，都是利用用戶自己去安裝後門應用程式，突顯安裝App應從可信來源的重要性。還有一些假冒網站是專為特定族群量身打造的情況，也必較要注意。</p> <p>而且，攻擊者引誘民眾安裝這些間諜程式後，使得駭客得以收集大量有關個人的高度敏感資訊，這可能使他們及其親近之人處於危險之中。</p> </div></div></div>
2023/9/23 18:07作者羅正漢https://www.ithome.com.tw/news/158928
GitHub正式支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自今年7月開始測試通行密鑰（Passkey）的GitHub，<a href="https://github.blog/2023-09-21-passkeys-are-generally-available/" target="_blank">周四（9/21）宣布正式推出Passkey服務</a>，所有的GitHub用戶都可透過帳號安全設定來新增Passkey。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務，由於它奠基在FIDO 2/WebAuthn標準上，因而得以跨平臺運作。</p> <p>Passkey除了讓使用者得以免除記憶密碼的困擾之外，還能防範基於簡訊的2FA網釣攻擊。</p> <p>GitHub允許使用者註冊不同裝置的Passkey，有鑑於Linux及Firefox對於Passkey的支援尚不完善，GitHub決定提供跨裝置的Passkey註冊功能，例如使用電腦時以手機來註冊Passkey，儘管Passkey存放於手機，但使用者可將它連結至電腦，並透過桌面瀏覽器進行設定，以讓Linux及Firefox用戶也能設定Passkey。</p> <p>此外，GitHub的目標之一是推動所有帳號都具備多個2FA憑證，以防在某個憑證遺失或無法使用時，還能有其它的登入途徑，因此，當GitHub察覺使用者的裝置相容於Passkey時，便會提醒使用者註冊Passkey。</p> <p>目前有許多重要服務皆已支援Passkey登入，像是<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google帳號</a>，微軟<a href="https://www.microsoft.com/en-us/security/blog/2023/09/21/new-microsoft-security-tools-to-protect-families-and-businesses/" target="_blank">Windows 11</a>，以及蘋果的Mac與iPhone。</p> <p>此外，基於雲端的Passkey服務也支援跨裝置的Passkey同步，例如蘋果iCloud帳號可同步iOS與macOS的Passkey，Google Password Manager可同步使用者所有Android裝置的Passkey，1Password 或Dashlane 密碼管理員也可同步所有安裝該程式的裝置Passkey。</p> <p class="rtecenter"><a href="https://github.blog/wp-content/uploads/2023/07/register_key.mp4?_=1" target="_blank"><img alt="" src="https://github.blog/wp-content/uploads/2023/07/register_key.mp4?_=1" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/0922-GitHub-passkeys-3.png" style="width: 600px;" /></a></p> </div></div></div>
2023/9/22 12:23作者陳曉莉https://www.ithome.com.tw/news/158880
非Googler貢獻的AOSP修補程式碼需經2人審核
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升Android核心安全性，Google將強化Android Open Source Project（AOSP）的外部修補程式碼貢獻審核，未來都需經由2名Google員工簽核同意才能成為修補程式。</p> <p>大部份AOSP專案都是以Apache 2.0授權，意謂著任何人都能修改程式碼。這開放性使眾多開發人員都能貢獻程式碼到AOSP專案，而Google一些新功能也來自AOSP。但<a href="https://www.patreon.com/posts/sources-to-it-to-89234441" target="_blank">部落格Patreon</a> Mishaal Rahman報導，Google對AOSP修補程式的審查更為嚴格。過去外部開發人員撰寫的修補程式只需經一位Google員工審查，但消息人士透露，從下個月開始，非Googler貢獻的AOSP修補程式碼，必須獲得2名Google內部審查員同意才能上傳。</p> <p>至於Google員工撰寫的修補程式，則會由所修補的元件相關部門一名成員審核，才能整合到程式碼中。</p> <p>最新措施是為了提升AOSP軟體供應鏈的安全性，以防止在修補程式整合到AOSP過程中，有意或無心把漏洞或惡意程式加入核心程式碼。<a href="https://www.ithome.com.tw/news/158044" target="_blank">根據Google自己的統計</a>，去年安全研究界在Android上發現的漏洞中，光零時差漏洞就有41個，還不包含使用者遲遲未更新修補的已知漏洞。</p> <p><a href="https://www.androidpolice.com/google-aosp-external-code-contributions-security-approval/" target="_blank">Android Police</a>報導2010年起，Google透過抓漏獎勵計畫，揪出1.1萬個漏洞，近年Google發出的獎金已達到數百萬美元。<a href="https://www.ithome.com.tw/news/154208" target="_blank">一名研究人員發現</a>一項存在Android的漏洞，能讓攻擊者繞過Android生物辨識（如指紋）鎖定，而完全接管手機，獲頒獎金7萬美元。</p> </div></div></div>
2023/9/21 16:40作者林妍溱https://www.ithome.com.tw/news/158868
【資安日報】9月19日，Juniper甫修補的中等風險漏洞恐遭低估，研究人員發現能用於發動RCE攻擊，近1.2萬臺設備…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是漏洞風險被低估可能會引發災情的情況！資安業者Juniper在今年8月揭露的CVE-2023-36845，當時評估其漏洞僅有中度風險，必須與其他漏洞才可能引發重大危害，但最近有研究人員指出，他們只需利用這項漏洞，就能在沒有通過身分驗證的狀態，遠端執行任意命令（RCE），使得這項漏洞危險程度遠超過原先認定的層級。</p> <p>然而，由於Juniper輕估了漏洞的風險，使得很多IT人員不會立即修補漏洞。但研究人員警告，他們已經看到駭客開始嘗試利用這項漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://vulncheck.com/blog/juniper-cve-2023-36845"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">1.2萬臺Juniper網路安全設備曝露於無需身分驗證的RCE漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-jweb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-jweb.png" style="width: 300px; float: right;" /></a>今年8月，Juniper針對EX、SRX系列產品線，揭露能操控PHP環境變數的漏洞CVE-2023-36844、CVE-2023-36845，以及重大功能缺乏身分驗證CVE-2023-36846、CVE-2023-36847、CVE-2023-36851，這些漏洞個別的CVSS風險評分皆為5.3，然而一旦攻擊者將上述漏洞串連，就變成嚴重的遠端執行任意程式碼（RCE）漏洞，CVSS風險層級大幅增加至9.8分。</p> <p>但這些漏洞的潛在風險很可能被低估，有研究人員發現，其中一個漏洞就能讓攻擊者在沒有通過身分驗證的情況下，發動RCE攻擊。資安業者VulnCheck針對CVE-2023-36845展示新的概念性驗證（PoC）攻擊手法，研究人員使用防火牆設備Juniper SRX210來進行漏洞利用的過程當中，發現該設備雖然並未提供檔案上傳功能do_fileUpload()，但攻擊者可操蹤環境變數來達到目的。他們針對該廠牌防火牆Appweb的網頁伺服器元件下手，由於該元件在執行CGI指令碼的過程裡，透過stdin程式處理使用者發出的HTTP請求，研究人員利用冒充的檔案來愚弄防火牆，並且調整PHPRC環境變數及HTTP請求，從而顯示防火牆上的敏感資料，最終濫用PHP的功能auto_prepend_file、allow_url_include，來達到執行任意PHP程式碼的目的，因此，該漏洞的危險程度顯然被嚴重低估。</p> <p>雖然Juniper在8月17日發布修補程式，但由於上述個別漏洞的風險等級僅列為中度，IT人員很可能不會優先處理，研究人員透過物聯網搜尋引擎Shodan找到14,951個曝露於網際網路的網頁管理介面，抽查其中3千臺設備，結果約有79%尚未修補CVE-2023-36845，換言之，全球可能約有11,800臺設備曝險。</p> <p><a href="http://www.trendmicro.com/en_us/research/23/i/earth-lusca-employs-new-linux-backdoor.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客Earth Lusca鎖定政府機關散布Linux惡意程式SprySOCKS</span></strong></a></p> <p>趨勢科技揭露中國駭客Earth Lusca今年上半的新型態攻擊行動，駭客原本主要的目標是東南亞、中亞、巴爾幹半島，鎖定從事外交事務、科技業、電信業的政府機關下手，但也有拉丁美幻和非洲國家的組織受害。</p> <p>駭客積極針對面向網際網路的伺服器發動攻擊，並利用已知漏洞，如：Fortinet防火牆作業系統、網頁安全閘道、交換器管理系統身分驗證繞過漏洞CVE-2022-40684，以及網路存取控制系統RCE漏洞CVE-2022-39952，或是Exchange的漏洞ProxyShell、Zimbra郵件伺服器身分驗證漏洞CVE-2019-9670與CVE-2019-9621、GitLab身分驗證漏洞CVE-2021-22205等，這些漏洞多半與身分驗證繞過相關，或是能被用於遠端執行任意程式碼（RCE）。這些駭客往往利用上述漏洞滲透目標組織的網路環境，然後部署Web Shell及Cobalt Strike進行橫向移動，接著收集資料及電子郵件帳密，並使用ShadowPad及Linux版的Winnti等後門程式，以便進行長期網路間諜行動。</p> <p>在部分攻擊行動裡，研究人員看到駭客利用Cobalt Strike部署了名為mandibule的惡意程式載入工具，以便進一步於Linux主機上部署後門程式SprySOCKS，此後門程式採用名為HP-Socket的網路框架強化運作效率，與C2之間的通訊採用AES-ECB加密，並具備收集系統資訊的能力，進行檔案的上傳、下載、列出刪除、更名、建立資料夾，甚至可挾持SOCKS代理伺服器的配置，以及啟動PTY子系統的交互式Shell等。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-leaks-38tb-of-private-data-via-unsecured-azure-storage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟外洩38 TB資料，起因是Azure儲存桶未設防</span></strong></a></p> <p>資安業者Wiz揭露微軟人工智慧研究團隊無意間曝露敏感資料的事故，約自2020年7月開始，一名微軟員工不慎公開配置錯誤的Azure Blob儲存桶網址，研究人員今年6月向微軟通報並得到證實。</p> <p>微軟初步認為，起因是他們採用了較為寬鬆的共用存取簽章（SAS），產生具備完整控制共用檔案權限的Token所致。Wiz指出，微軟曝露的資料當中，包含了開源的機器學習模型，以及檔案大小高達38 TB的個人資料，這些個資涵蓋了微軟員工的資料備份檔案，當中有微軟服務的帳密資料，以及359名員工在協作平臺逾3則Teams訊息的存檔。</p> <p>對此，微軟安全事件回應中心（MSRC）指出，沒有客戶資料外洩，其他內部服務亦並未曝險。Wiz研究人員指出，由於微軟並未在Azure入口網站提供相關的監控與治理措施，導致這些SAS Token難以追蹤而存在資安風險，企業組織應儘可能限縮使用範圍。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1581134203" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://msrc.microsoft.com/blog/2023/09/microsoft-mitigated-exposure-of-internal-information-in-a-storage-account-due-to-overly-permissive-sas-token/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1996709341" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://msrc.microsoft.com/blog/2023/09/microsoft-mitigated-exposure-of-internal-information-in-a-storage-account-due-to-overly-permissive-sas-token/</span></a></p> <p><a href="https://www.theregister.com/2023/09/15/ijc_noescape_ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體NoEscape聲稱攻擊美加邊境水務組織</span></strong></a></p> <p>根據新聞網站The Register的報導，管理美國、加拿大邊境的水資源機構國際聯合委員會（International Joint Commission，IJC），遭遇網路攻擊事件。資安業者Emsisoft威脅分析師Brett Callow發現，9月7日勒索軟體駭客組織NoEscape聲稱入侵上述機構，竊得超過80 GB資料，並將該機構網路環境裡的檔案加密。</p> <p>這些駭客表示他們取得了合約、法律文件、員工與會員的個人資料，以及財務、保險、地質資料等機密檔案。其中，機密文件超過5萬份。這些駭客要求該機構於10天內採取行動，否則將會公布竊得的檔案。對此，國際聯合委員會證實遭遇網路攻擊，但不願進一步回應，也拒絕評論駭客是否竊得該機構的資料。</p> <p><a href="https://intel471.com/blog/bumblebee-loader-resurfaces-in-new-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee濫用WebDAV資料夾進行散布</span></strong></a></p> <p>威脅情報業者Intel471指出，惡意軟體Bumblebee在消聲匿跡約2個月後，從上個月再度出現攻擊行動，近期駭客更利用新的手法來繞過資安系統的檢測。</p> <p>研究人員從9月7日開始，看到駭客透過文件的掃描檔案、發票，或是發送各式通知信件的名義，寄送帶有Windows捷徑檔案（LNK）附件的釣魚信（其中有部分LNK檔案是透過ZIP壓縮檔挾帶）。一旦使用者不慎開啟LNK附件檔案，駭客便會在電腦上安裝雲端檔案共享服務4Shared，並登入特定使用者的帳號，然後掛載雲端業者提供的WebDAV資料夾，進而於受害電腦部署Bumblebee。</p> <p>值得留意的是，新的惡意軟體與C2進行通訊的管道，不再使用WebSocket通訊協定，連接到寫死的C2伺服器IP位址，而是利用網域產生演算法（DGA），透過64個靜態種子數值，產生100個網域，這些網域使用.life的頂級網域（TLD）名稱。研究人員指出，駭客使用了合法雲端業者提供的WebDAV服務，從而避免被資安系統列為黑名單，並能濫用該業者基礎設施的高可用性，甚至能簡化散布惡意程式的步驟。</p> <p><a href="https://www.mandiant.com/resources/blog/unc3944-sms-phishing-sim-swapping-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Scattered Spider擴大攻擊範圍，發動勒索軟體攻擊迫使受害組織付錢</span></strong></a></p> <p>9月上旬旅館集團美高梅（MGM Resorts）、美國連鎖賭場凱撒娛樂（Caesars Entertainment）相繼傳出遭到駭客組織Scattered Spider入侵，有資安業者針對這些駭客的攻擊行動提出警告。</p> <p>資安業者Mandiant指出，根據他們的觀察，這些駭客原本主要針對電信業者及業務流程外包公司（BPO）下手，現在範圍觸及旅館、零售業、媒體、娛樂產業、金融服務業。這2年駭客從事攻擊行動的過程裡，先後使用了3種網路釣魚工具包，其中第3款是今年中期開始使用，一旦成功入侵受害組織，就會使用合法應用程式來偵察及監控網路，並尋找任何能提升權限及維持存取受害組織的資源。</p> <p>與過往攻擊行動不同的是，這些駭客也開始在攻擊行動使用勒索軟體，以美高梅的資安事故而言，駭客便對該集團超過100臺ESXi伺服器進行加密。而對於和其他駭客之間的關連，研究人員認為Scattered Spider與BlackCat（Alphv）有關。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/fortinet-patches-high-severity-vulnerabilities-in-fortios-fortiproxy-fortiweb-products/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet修補防火牆作業系統、上網安全閘道、WAF的高風險漏洞</span></span></strong></a></p> <p><a href="https://sysdig.com/blog/ambersquid/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">挖礦攻擊行動Ambersquid鎖定不尋常的AWS服務下手</span></span></strong></a></p> <p><a href="https://cert.gov.lk/?p=3362"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">斯里蘭卡政府電子郵件系統遭勒索軟體攻擊，備份資料也無法倖免</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/capratube-transparent-tribes-caprarat-mimics-youtube-to-hijack-android-phones/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客APT36假借提供YouTube應用程式攻擊安卓手機</span></span></strong></a></p> <p><a href="https://learn.microsoft.com/en-us/windows-hardware/drivers/print/end-of-servicing-plan-for-third-party-printer-drivers-on-windows"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化列印系統安全，微軟將在Windows更新逐步淘汰第三方印表機驅動程式</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158796"><strong>【9月18日】開源物件儲存服務MinIO漏洞遭到鎖定，駭客企圖發動供應鏈攻擊，入侵企業組織內部環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158772"><strong>【9月15日】駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158747"><strong>【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</strong></a></p> </div></div></div>
2023/9/19 18:49作者周峻佑https://www.ithome.com.tw/news/158816
Google逕自於Chrome正式推出隱私沙盒，即便Apple和Mozilla持反對立場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布其第三方Cookie替代方案隱私沙盒（Privacy Sandbox）<a href="https://privacysandbox.com/intl/en_us/news/privacy-sandbox-for-the-web-reaches-general-availability">正式在Chrome上推出</a>，這代表廣告供應商和開發人員，可以在其網頁產品和服務中使用包括Topics等6個API，向Chrome用戶推送個人化廣告。</p> <p>Google提到，他們不會在第三方Cookie棄用前對隱私沙盒API進行重大更改，並預計在2024年第1季，對1％ Chrome用戶關閉第三方Cookie，測試新API的有效性，同時評估在2024下半年棄用第三方Cookie的可能性。</p> <p>隱私沙盒是<a href="https://www.ithome.com.tw/news/132617">Google在2019年</a>開始推動的專案，宣稱能夠在收集用戶資料以用於推送廣告的同時，改善網頁與Android使用者的隱私。Google認為單純禁止追蹤技術，會讓廣告商尋求其他追蹤使用者指紋的方法，因此制定一套廣告追蹤標準，用戶反而能獲得更多的控制能力。</p> <p>隱私沙盒是多種廣告追蹤概念和提案的方案，其<a href="https://privacysandbox.com/intl/zh_tw/open-web/#the-privacy-sandbox-timeline">包含的API</a>諸如Topics API、Shared Storage API、Attribution Reporting API和Private State Tokens API等，來達到顯示相關內容與廣告、強化跨網站隱私界線、衡量數位廣告成效，以及打擊網路垃圾內容和詐欺行為等目的。</p> <p>其中Topics API是隱私沙盒的重點，該API目的要在不追蹤用戶存取網站的前提，允許瀏覽器與第三方共享用戶的興趣資訊，讓廣告商能夠推送基於用戶興趣的個性化廣告，協助廣告主觸及潛在客戶。</p> <p>雖然Google在這個新的廣告追蹤方案，處處強調其隱私性，甚至這個方案的名稱本身就有隱私兩個字，但是另外兩個重要瀏覽器廠商Apple與Mozilla皆不買單，而且都還以隱私方面的理由拒絕支援。</p> <p><a href="https://github.com/WebKit/standards-positions/issues/111">主導Safari瀏覽器引擎WebKit開發的Apple，明確地拒絕Topics API</a>，他們認為API不該公開用戶的跨站瀏覽行為資料，更何況跨站資料共享預設開啟，Topics API所提供的跨站資料，能夠讓原本就有大量用戶資訊的第一方網站，獲得更多資訊，當廣告商使用機器學習技術分析透過Topics API取得的資料，能擷取的資訊將超過原本定義的安全範圍，況且Topics API中標準化的主題分類存在偏見，因此對支援Topics API的提案持反對立場。</p> <p><a href="https://github.com/mozilla/standards-positions/issues/622">Mozilla同樣對Topics API抱持反對態度</a>，並提到許多觀點、理由與Apple相同。Mozilla不相信隱私沙盒中隱私保護機制的效果，並且質疑Google所提供的最壞情況分析結果，他們認為實際最壞的情況將更糟糕，同時Mozilla也對Google說詞提出疑問，他們不明白如何一邊加強隱私保護的同時，又對廣告商提供有效的資訊？</p> <p>儘管其他主要瀏覽器廠商對此有不同的看法，Google還是決定於Chrome上正式推出隱私沙盒。根據<a href="https://www.statista.com/statistics/544400/market-share-of-internet-browsers-desktop/">統計和市場研究平臺Statista的資料</a>，Chrome在2023年8月的市占達到了63.53％，其他瀏覽器的市占加總仍遠不及Chrome，就算只有Chrome支援隱私沙盒，依然對網路使用者具有極大的影響力。目前未見微軟在Edge上支援隱私沙盒與否的明確訊息。</p> </div></div></div>
2023/9/12 08:30作者李建興https://www.ithome.com.tw/news/158688
Chrome預設將啟用更即時的網釣保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/Google-chrome-new-features-redesign-2023/" target="_blank">Google上周宣布</a>，將更新Chrome中的Safe Browsing標準保護模式，讓使用者在瀏覽時得以比對最新的惡意網站列表，提供更即時的網釣保護，相關更新將於未來幾周部署。</p> <p>Safe Browsing為Google所開發的服務，列出了含有惡意程式或網釣內容的網站，包括Chrome、Safari及Firefox等瀏覽器都支援Safe Browsing，在使用者造訪網站時比對該惡意網站列表，以封鎖出現在列表上的網站並向使用者示警。至於微軟的Microsoft Edge雖然基於Chromium專案，卻是使用微軟自行建置的SmartScreen來過濾惡意及網釣網站。</p> <p>Chrome中的<a href="https://support.google.com/chrome/answer/9890866?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">Google Safe Browsing</a>預設值為標準保護（Standard Protection）模式，使用者也可關閉Safe Browsing，或者是切換到把關更嚴格的加強保護（Enhanced Protection）模式。</p> <p>Google解釋，過去的標準保護模式雖然是在使用者造訪每個網站時，就會比對本地端所儲存的惡意網站列表，但該列表為每30分鐘至60分鐘才更新一次。有鑑於駭客的行動愈來愈迅速，現階段有6成網釣網站的平均存活時間不到10分鐘，使得它們更容易逃過被封鎖的命運。</p> <p>為了能更有效地封鎖這些惡意網站，Google決定升級標準保護模式，讓它可比對即時的已知惡意網站，且使用者無需與Google分享其瀏覽歷史紀錄，藉由縮短辨識惡意網站及預防之間的時間差，預期可改善25%的Chrome封鎖能力。</p> <p>若是需要更強大的瀏覽保護，則可切換至加強保護模式，該模式將利用AI技術來封鎖最新的攻擊，還能深度掃描使用者所下載的檔案，也能防範惡意的Chrome擴充程式。</p> </div></div></div>
2023/9/11 16:44作者陳曉莉https://www.ithome.com.tw/news/158683
【資安日報】9月7日，惡意程式Agent Tesla透過5年前Office漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者利用Office檔案散布惡意程式的方式，算是相當常見，而過往最普遍的手法就是利用帶有巨集的Office檔案來進行，但隨著微軟這幾年封鎖惡意巨集的執行，駭客也尋求其他突圍手法。</p> <p>例如，在近期的惡意軟體Agent Tesla攻擊當中，駭客利用的就是含有物件連結與嵌入（OLE）物件的Excel檔案，並宣稱使用者必須依照指示開啟，才能檢視完整內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/agent-tesla-variant-spread-by-crafted-excel-document"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新版Agent Tesla惡意程式透過Excel檔案散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig21-agent-tesla-excel-contents.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig21-agent-tesla-excel-contents.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露最近一波的惡意軟體Agent Tesla攻擊行動，駭客先是透過釣魚郵件挾帶含有惡意Excel檔案，特別之處在於，該試算表檔案採用物件連結與嵌入（OLE）的格式，帶有偽造的方程式資料，但當中並未繼續透過巨集滲透與竄改系統，而是利用兩個5年前的漏洞CVE-2017-11882、CVE-2018-0802（CVSS風險評分皆為7.8）進行後續攻擊行動。</p> <p>一旦收信人依照指示開啟上述的Excel檔案，就有可能觸發漏洞，從而導致方程式編輯器（EQNEDT32.EXE）處理程序發生了記憶體中斷的現象，使得攻擊者能透過處理程序挖空（Process Hollowing）手法，執行任意程式碼，然後透過Shell Code下載、執行Agent Tesla。</p> <p>根據研究人員的觀察，他們每天看到約1,300臺存在上述弱點的電腦遭到鎖定，並出現3,000起攻擊行動。</p> <p><a href="https://www.theregister.com/2023/09/04/zaun_breach_windows_7/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國國防機密資料恐遭俄羅斯駭客組織LockBit存取，起因是合作廠商遭到入侵</span></strong></a></p> <p>9月1日英國柵欄設備製造商Zaun發布資安通告，證實他們於8月5日至6日遭遇勒索軟體LockBit攻擊，駭客透過其中一臺用於製造產品的Windows 7電腦入侵，並竊得約10 GB的資料，占該公司總資料量的0.74%。所幸該公司的資安防護措施奏效，阻止伺服器檔案遭到加密，事發後他們也將上述遭到攻擊的電腦移除。該公司認為，駭客有可能已經取得部分電子郵件、訂單、設計圖、專案資料，並將其流入暗網，但強調機密資料並未出現外洩的跡象。</p> <p>但根據當地媒體Mirror的報導，由於英國的軍事要塞採用該公司的產品，駭客流出的數千頁資料，有可能讓犯罪分子入侵克萊德海軍核子潛艇基地（HMNB Clyde）、化學武器實驗室Porton Down、政府通訊總部（GCHQ）。英國下議院國防特別委員會委員Kevan Jones認為，這起資安事故很可能對該國最敏感的軍事機構造成危害，政府必須對該公司IT系統防護不佳的情況提出說明。</p> <p>該媒體指出，外洩文件包含了GCHQ的銷售訂單，以及皇家空軍基地RAF Waddington、電子作戰兵團第十四信號團（14th Signal Regiment）駐紮的考德軍營安全設施。不願具名的資安專家認為，這起事故對英國的國家安全基礎設施帶來毀滅性的打擊。</p> <p>資料來源</p> <p>1. <a href="https://www.zaun.co.uk/zaun-data-breach-update/">https://www.zaun.co.uk/zaun-data-breach-update/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.mirror.co.uk/news/uk-news/russia-linked-hackers-hit-uk-30850139" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1443600045" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.mirror.co.uk/news/uk-news/russia-linked-hackers-hit-uk-30850139</span></a></p> <p><a href="https://blog.aquasec.com/kinsing-malware-exploits-novel-openfire-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Kinsing鎖定Openfire漏洞而來</span></strong></a></p> <p>上個月資安業者VulCheck提出警告，超過3千臺開源即時通訊系統Openfire存在路徑穿越漏洞CVE-2023-32315（CVSS風險評分為8.6），如今有惡意軟體鎖定這項漏洞發起大規模攻擊行動。資安業者Aqua Security揭露惡意軟體Kinsing近期的攻擊行動，駭客在不到兩個月的時間，藉由上述高風險漏洞發動超過1千起攻擊，於目標伺服器部署該惡意程式與挖礦軟體，其中最常見的手法，是在伺服器上部署Web Shell，然後以此下載Kinsing及挖礦程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kingsing-attack-flow-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/kingsing-attack-flow-1.jpg" style="width: 580px;" /></a></p> <p>駭客先是利用漏洞建立新的管理員帳號，上傳名為cmd.jsp的外掛程式，之後攻擊者持續存取Openfire的主控臺並通過身分驗證，進而得到完整的存取權限，控制應用程式與伺服器主機。接著駭客利用ZIP壓縮檔上傳滲透測試工具Metasploit，觸發前述的cmd.jsp下載、執行Kinsing。該惡意程式與C2進行通訊，並下載第二階段酬載的Shell指令碼，以便攻擊者持續存取受害伺服器，並進一步部署門羅幣挖礦程式及執行其他攻擊行動。</p> <p>研究人員指出，他們透過物聯網搜尋引擎Shodan進行搜尋，網路上有6,419臺Openfire伺服器，其中有984臺曝露在CVE-2023-32315的風險當中。</p> <p><a href="https://news.drweb.com/show/?lng=en&i=14743"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Mirai鎖定白牌安卓電視盒下手</span></strong></a></p> <p>防毒廠商Dr. Web揭露針對低價安卓電視盒的攻擊行動，駭客疑似透過供應鏈攻擊，在韌體更新的過程植入殭屍網路病毒Mirai，或是假借提供盜版影音內容的應用程式來對用戶發動攻擊，主要目標是搭載4核心處理器的電視盒，包含Tanix TX6、MX10 Pro 6K、H96 MAX X3。</p> <p>一旦目標電視盒被植入此殭屍網路，就有可能遭到駭客控制，透過TCP或UDP通訊協定發動DDoS攻擊，發出SYN、ICMP、DNS洪水請求，或者，攻擊者也能藉此病毒執行反向Shell程式，竄改電視盒設備的檔案。</p> <p><a href="https://msrc.microsoft.com/blog/2023/09/results-of-major-technical-investigations-for-storm-0558-key-acquisition/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟調查中國駭客Storm-0558入侵25個組織電子郵件系統，他們發現導火線是2021年當機事故</span></strong></a></p> <p>微軟在今年7月透露，中國駭客組織Storm-0558藉由微軟帳號（MSA）的使用者簽章金鑰，偽造用於身分驗證的Token，進而存取歐洲、美國25個組織的Outlook Web Access in Exchange Online（OWA）或Outlook.com的電子郵件信箱。但究竟上述的簽章金鑰從何而來？最近有新的調查結果出爐。</p> <p>9月6日微軟指出，很有可能是發生在2021年4月的當機事故所致，使用者簽章系統那時因當機發生，觸發相關處理程序的快照儲存作業（Crash Dump），然而因出現存取競爭狀況（race Condition）導致金錀不慎留存在快照裡面，卻未被察覺有異而沒處理，而流入了除錯環境，讓這些駭客有機可趁。後來駭客取得其中一名微軟工程師的帳號，從而引發這起攻擊事故。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://source.android.com/docs/security/bulletin/2023-09-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布9月份安卓更新，修補已出現攻擊行動的零時差漏洞</span></strong></a></p> <p>9月5日Google發布本月份的安卓例行更新，總共修補了33個漏洞，其中存在於該作業系統框架的高風險漏洞CVE-2023-35674，該公司表示已被用於攻擊部分用戶。</p> <p>而根據漏洞的嚴重程度來看，本次他們修補了3項重大漏洞CVE-2023-35658、CVE-2023-35673、CVE-2023-35681，這些漏洞出現在系統層面，攻擊者可在尚未取得額外權限的情況下利用，並遠端執行任意程式碼（RCE），過程裡完全無須使用者互動。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158627"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">全球首批SEMI E187標準設備出爐</span></strong></a></p> <p>由臺灣主導的半導體產線設備資安標準規範SEMI E187，在2022年1月發布，抵達第一座里程碑，這一年半又有重大進展。</p> <p>在2023國際半導體展期間舉行的SEMI E187合規設備發表會中，數位發展部數位產業署署長呂正華表示，最近已有兩家臺灣業者的設備通過驗證，分別是：均豪精密的自動光學檢測設備，以及東捷科技的空中行走式無人搬運系統。</p> <p>呂正華認為，SEMI E187已經帶起了半導體產業上下遊供應鏈的資安意識，這樣的標準，未來若應用到面板、印刷電路板（PCB）、精密儀器，甚至進一步深入產業鏈裡面，會讓整個環境更重視資安。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://thehackernews.com/2023/09/ukraines-cert-thwarts-apt28s.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭關鍵基礎設施遭到俄羅斯駭客APT28攻擊</span></span></strong></a></p> <p><a href="https://www.theregister.com/2023/09/06/coffee_meets_bagel_outage_caused/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">約會應用程式Coffee Meets Bagel傳出服務中斷，起因是遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.nozominetworks.com/blog/9-new-vulnerabilities-impact-schweitzer-engineering-labs-software"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SEL電源管理系統存在漏洞，有可能讓攻擊者發動RCE攻擊</span></span></strong></a></p> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-vulnerability-advisory-cve-2023-2453/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">內容管理系統PHPFusion存在漏洞，有可能讓攻擊者遠端執行任意程式碼</span></span></strong></a></p> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 116.0.5845.179，修補高風險漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158626"><strong>【9月6日】瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動</strong></a></p> <p><strong><a href="https://www.ithome.com.tw/news/158612">【9月5日】瀏覽器的安全設計不良再加上網站漏洞讓惡意擴充程式有機可乘，挖掘用戶機密資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158568">【9月4日】 Adobe應用程式開發平臺ColdFusion重大漏洞被用於部署挖礦軟體、後門程式</a></strong></p> </div></div></div>
2023/9/7 17:00作者周峻佑https://www.ithome.com.tw/news/158641
受歐盟《數位市場法》規範的名單出爐，Alphabet、Amazon、蘋果、Meta、微軟、字節跳動入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_4328" target="_blank">歐盟本周指定</a>了符合《數位市場法》（Digital Markets Act，DMA）規範的6大企業，以及這些企業旗下的22項核心平臺服務，要求這些企業與服務必須在明年3月以前遵循該法令。這6大企業分別是Alphabet、Amazon、蘋果、Meta、微軟與字節跳動。</p> <p>DMA針對的是提供重要網路服務的平臺，並將這6大業者稱為守門人（Gatekeeper），要求這些守門人履行更多的責任與義務，以讓歐盟企業可存取更公平的商業環境，避免扼殺當地新創企業的發展，也讓歐盟消費者有更好的服務與更多的選擇，以及規定它們不得使用不公平的競爭手段。</p> <p>而被列入規範的22項服務則包括Alphabet旗下的Google搜尋、Google Maps、Google Play、Google Shopping、Google Chrome、Android、Google廣告與YouTube的8項，Meta旗下的Facebook、Instagram、WhatsApp、Messenger、Meta市集與Meta廣告等6項，蘋果旗下的App Store、iOS與Safari等3項，Amazon旗下的Amazon市集及Amazon廣告，微軟旗下的LinkedIn與Windows，再加上字節跳動的TikTok。</p> <p>根據DMA，上述被列為守門人的各大平臺必須允許第三方在特定情況下與它們的服務互動，允許企業用戶存取它們在利用這些平臺時所生成的資料，提供廣告主及出版商所需的工具以獨立驗證於守門人平臺上託管的廣告，以及允許企業用戶在守門人平臺之外推廣產品或簽約。</p> <p>至於DMA的禁止事項則包括不得於排序中獨厚自家服務，不得阻止使用者卸載包括內建程式在內的任何程式，不得在取得使用者確切同意前於核心平臺之外追蹤使用者。</p> <p>違反DMA的業者最多可被罰以全球年營收的10%，重覆違反則會提高到20%，若是屬於系統性的違法行為，那麼歐盟將有權要求這些守門人出售部分資產，或是禁止相關的併購活動。</p> <p>《數位市場法》是在今年5月正式實施，相關的平臺在今年7月收到通知，9月正式指定必須遵循該法令的平臺與業者，並要求平臺服務必須於半年內、亦即明年3月以前符合規定。</p> <p>此外，歐盟仍在衡量其它可能被納入DMA規範的平臺，包括微軟的Bing、Edge及微軟廣告，以及蘋果的iMessage與iPadOS，調查結果預計於明年出爐。</p> </div></div></div>
2023/9/7 13:51作者陳曉莉https://www.ithome.com.tw/news/158633
Google推出Android新功能並更新品牌識別
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google不只宣布一系列<a href="https://blog.google/products/android/new-android-features-september-2023/">Android功能更新</a>，同時也發布<a href="https://blog.google/products/android/modern-look/">Android新品牌識別</a>。Android新功能除了更緊密整合人工智慧之外，生產力與個人化也是更新重點。在Android品牌識別上，開頭字母從小寫a變為大寫，Android機器人的造型設計也變得立體且多元。</p> <p>官方在Android上開發由人工智慧驅動的Assistant At a Glance小工具，用戶可以將其擺放在裝置桌面，該工具將會主動推送當下對用戶有用的資訊，諸如天氣警報、動態旅行更新，或是即將發生的活動等。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/060_AtAGlanceWidget_FEATURE_Real_1x1_Samsung_v048_HEEAne1.gif" style="width: 600px;" /></p> <p>對於無法視覺瀏覽相簿或是社交媒體照片的盲人，Android無障礙工具Lookout中Image Q&A功能將運用生成式人工智慧產生圖片敘述，並且回答問題。用戶在開啟圖片之後，可以輸入或是用語音提出問題，以進一步了解圖片內容。Lookout現在額外提供包括日語、韓語和中文等11種新語言，現在總支援語言數達到34種。</p> <p>Google Wallet錢包的功能也更豐富，能夠收集日常門票和通行證，Google Wallet Pass照片匯入功能，讓用戶可以將條碼或是QR Code的通行證數位化，把健身房或是圖書館會員等卡片加到Google Wallet中。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/040_WalletPassImport_Realistic_1x1_v032.gif" style="width: 600px;" /></p> <p>Android Auto現在添加Cisco Webex和Zoom通訊軟體，用戶可以透過音訊啟動、加入遠端會議，並且從車上的顯示器瀏覽會議資訊。這些通訊軟體的通話會由Android Auto管理，使用者可以方便地管理麥克風。</p> <p>在安全性功能上，Android會自動偵測附近陌生的追蹤裝置，並警示用戶以移除這些裝置。另外，新的Android還加入了地震示警系統，在地震發生時立刻警告用戶，並且提示用戶應該採取的措施，不過目前臺灣還不在支援的國家中。</p> <p>Google除了釋出一系列Android功能更新消息之外，也宣布更新Android品牌形象，以更體現開放、迭代和包容的精神。新的視覺效果參考Material Design，與Google品牌配色相搭配，展現人、社群與文化時刻的連結。Android機器人具有新的3D外觀，設計更具適應性，能夠依照不同的情境和事件改變，像是文化節日，機器人就會穿上相應的服飾和裝飾。</p> <p>Android商標字樣也有調整，一改過去小寫a開頭的風格，官方提到，使用大寫a會讓Android商標擺在Google商標旁時更具分量。官方也在Android字型與商標添加更多曲線，增加其獨特性，同時也與Google商標更為相近、平衡。</p> </div></div></div>
2023/9/7 09:09作者李建興https://www.ithome.com.tw/news/158625
Atlas VPN的零時差漏洞可外洩用戶真實IP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自美國的VPN服務供應商Atlas VPN上周遭踢爆含有零時差漏洞，將允許駭客取得用戶的真實IP，此一漏洞僅影響Linux版用戶，目前Atlas VPN正著手修補，尚未釋出安全更新。</p> <p><a href="https://www.reddit.com/r/cybersecurity/comments/167f16e/atlasvpn_linux_client_103_remote_disconnect/" target="_blank">此一漏洞的曝光源自於一名Reddit用戶的公開貼文</a>，而他似乎是因一直無法聯繫到Atlas VPN的安全團隊才決定昭告天下，根據其描述，AtlasVPN Linux客戶端是由兩個部分所組成，一是用來管理連結的守護進程（atlasvpnd），二則是使用者用來控制連線、斷線及可存取服務的客戶端（atlasvpn）。</p> <p>不過，客戶端並非透過本地端通道（Local Socket）或任何其它安全方式連結，而是於本地主機的8076埠上開啟一個API，亦無任何的驗證機制，由於在電腦上所執行的任何程式皆可存取該傳輸埠，包括瀏覽器在內，使得駭客只要在網站植入一個惡意的Javascript就能向該埠送出偽造的請求以將該VPN斷線，再發送另一個請求取得Atlas VPN用戶的真實IP。</p> <p>該名使用者不僅公布了漏洞細節，也提供了概念性驗證攻擊程式，<a href="https://cybersecurity.theater/@tweedge/110997661135498890" target="_blank">另一名安全工程師Chris Partridge則證實</a>了該攻擊程式是可行的。</p> <p>Atlas VPN提供免費版與付費版的VPN服務，所支援的作業系統涵蓋Windows、macOS、Linux、Android、iOS、Android TV與Amazon Fire TV，但此一安全漏洞僅影響Atlas VPN Linux客戶端1.0.3，這是目前最新的Linux客戶端版本。</p> <p>Atlas VPN的IT部門終於在3天後回應了該貼文，表示正在修補該漏洞，並將儘速釋出更新版，也已通知所有的Linux用戶。</p> </div></div></div>
2023/9/6 13:18作者陳曉莉https://www.ithome.com.tw/news/158617
Google擴大部署AI搜尋到海外市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續測試以AI強化搜尋服務，<a href="https://blog.google/products/search/google-search-generative-ai-india-japan/" target="_blank">本周宣布</a>把搜尋生成體驗（Search Generative Experience，SGE）推向美國以外的日本及印度市場。</p> <p>SGE是Google泛稱以生成式AI強化的搜尋服務，像是為搜尋結果提供網頁內容摘要、標註日期、提供更多圖片及影片搜尋結果、為複雜主題提供多個子題，或為用戶想要採購的商品列出價格及評價等。</p> <p>自<a href="https://www.ithome.com.tw/news/157080" target="_blank">5月Google I/O</a>上宣布SGE及<a href="https://www.ithome.com.tw/news/158106" target="_blank">數次功能新增</a>以來，Google步調相當保守，部署地區只侷限在美國市場。本周Google宣布，SGE將推向日本及印度市場。此外，Google也更新SGE。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-Google%20generative%20AI%20in%20Search-%20Japan-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>從本周開始，日本和印度用戶都可以本國語言，包括文字輸入及口語使用生成式AI功能，包括聊天機器人。Google網頁廣告則會出現在SGE的特定版位上。Google特別為印度加入些許功能，用戶會看到一個語言滑鈕，讓習於多語的用戶能自由切換英語和北印度語，印度用戶還能讓Google Bard說出回應。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/04_SGE_Localization_ENGLISH_BILINGUAL_TOGGLE_MOBILE_ANIMATION_v01.gif" style="width: 400px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> <p>預料SGE很快會再加入其他語言測試地區。<a href="https://www.ithome.com.tw/news/157774" target="_blank">7月Google宣布</a>已為Bard賦予了聽懂40種語言的能力，並能以中文、北印度語、德語、西語及阿拉伯語等5種回應用戶，而且還會持續增加。</p> <p>除了擴大測試地區外，Google也改善了SGE的介面設計，在AI提供的相關網頁資源旁加上箭頭圖示，使相關網頁資源更醒目好找，用戶點入後可以看到更多相關網頁。這項功能會先部署到美國，未來幾周再推向日本及印度。</p> <p>用戶必須安裝Android或iOS版Google App，或使用桌機版Chrome才能加入SGE的測試。</p> </div></div></div>
2023/9/5 10:32作者林妍溱https://www.ithome.com.tw/news/158585
中國駭客利用木馬化的Signal、Telegram應用程式散布間諜軟體BadBazaar
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ESET揭露中國駭客組織GREF的攻擊行動，他們製作帶有間諜軟體BadBazaar的冒牌即時通訊軟體應用程式，名為FlyGram、Signal Plus Messenger，在Google Play市集、三星Galaxy Store上架，鎖定烏克蘭、波蘭、荷蘭、西班牙、葡萄牙、德國、香港、美國的Telegram及Signal使用者而來。</p> <p>而對於駭客發動攻擊的時間點，研究人員指出，駭客先是在2020年6月於Google Play市集上架FlyGram，後來Google在隔年1月將其下架，期間總共被下載超過5千次；Signal Plus Messenger則是在去年7月出現於Google Play市集，後來Google今年5月接獲ESET的通報後將其下架。</p> <p>研究人員指出，駭客也將上述兩款App上架到三星Galaxy Store，但截至8月30日，仍能從三星市集下載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-04.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-04.png" style="width: 580px;" /></a></p> <p>除了將惡意App透過上述兩大安卓市集散布，駭客也架設專屬網站flygram[.]org、signalplus[.]org，來做為提供受害者下載的管道。</p> <p>然而，前述的3種管道之外，有鑑於BadBazaar曾被用於攻擊維吾爾族及突厥人，研究人員發現有人在2020年7月，透過超過1,300名成員的維吾爾Telegram頻道散布FlyGram。</p> <p>一旦使用者安裝了FlyGram，攻擊者就有可能取得設備的基本資訊，以及手機上的聯絡人名單、通話記錄、Google帳號等，同時也能盜取Telegram有關的部分配置資料（但不包括Telegram好友、對話內容或其他敏感資料）。然而，若是使用者透過FlyGram備份Telegram帳號，攻擊者就能得到這些資料，研究人員看到至少13,953個用戶啟用上述備份機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-03.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-03.jpeg" style="width: 280px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png" style="width: 275px;" /></a></p> <p>若是使用者安裝了Signal Plus Messenger，攻擊者同樣能藉此取得手機資料，但有別於FlyGram的部分是，該惡意程式能監控受害者的Signal對話內容，並且竊取用於保護Signal帳號的PIN碼，以及濫用電腦版或iPad版應用程式與手機連結的功能。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="602" src="https://www.youtube.com/embed/-CHGwdYEzVI" title="ESET research: Android users targeted by trojanized Signal and Telegram apps." width="339"></iframe></p> </div></div></div>
2023/8/31 23:46作者周峻佑https://www.ithome.com.tw/news/158537
【資安日報】8月31日，駭客組織Earth Estries從事網路間諜活動，包含臺灣在內的多國政府機關、科技業者成為目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客攻擊行動日益頻繁。幾乎每天都會出現在資安新聞當中，但今天更誇張，幾乎全部都與他們有關。這群駭客的攻擊目標從企業組織的應用系統、行動裝置應用程式、郵件安全閘道，甚至是透過社群網站來散布各式吹捧中國、批判西方國家的訊息。這樣的威脅態勢，可說是變得越來越險峻。值得留意的是，這些攻擊行動當中，大多都把臺灣視為主要目標，我們無法再置身事外。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/h/earth-estries-targets-government-tech-for-cyberespionage.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Earth Estries鎖定臺灣在內的多國政府機關、科技業者，從事網路間諜活動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/earth-estries_figure01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-estries_figure01.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露駭客組織Earth Estries的攻擊行動，該組織自2020年開始活動，主要針對臺灣、美國、德國、南非、馬來西亞、菲律賓的政府機關與科技業者下手，但也有印度、加拿大、新加坡組織受害。</p> <p>研究人員先是看到駭客成功入侵目標組織的伺服器，便利用管理者權限掌控既有的使用者帳號，然後部署Cobalt Strike來投放更多惡意程式，接著開始進行橫向移動，藉由網路資料夾共享（SMB）及WMI命令列工具（WMIC），在受害組織的其他電腦後，散布後門程式Zingdoor、HemiGate，竊資軟體TrillClient，以及其他作案工具。</p> <p>特別的是，駭客在每一輪攻擊工作當中，都會定期清除後門程式，然後在下一階段攻擊重新部署惡意程式，且將收集的資料進行歸檔，並使用curl.exe上傳至AnonFiles、File.io等檔案共用服務，駭客竊取資料的檔案類型，主要是PDF與DDF。</p> <p><a href="http://www.welivesecurity.com/en/eset-research/badbazaar-espionage-tool-targets-android-users-trojanized-signal-telegram-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用木馬化的Signal、Telegram應用程式散布間諜軟體BadBazaar</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/badbazaar-figure-01-1-2.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織GREF的攻擊行動，他們製作帶有間諜軟體BadBazaar的冒牌即時通訊軟體應用程式，名為FlyGram、Signal Plus Messenger，在Google Play市集、三星Galaxy Store上架，鎖定烏克蘭、波蘭、荷蘭、西班牙、葡萄牙、德國、香港、美國的Telegram及Signal使用者而來。</p> <p>一旦使用者安裝了FlyGram，攻擊者就有可能取得設備的基本資訊，以及手機上的聯絡人名單、通話記錄、Google帳號等，同時也能盜取Telegram有關的部分配置資料（但不包括Telegram好友、對話內容或其他敏感資料）。然而，若是使用者透過FlyGram備份Telegram帳號，攻擊者就能得到這些資料，研究人員看到至少13,953個用戶啟用上述備份機制。</p> <p>若是使用者安裝了Signal Plus Messenger，攻擊者同樣能藉此取得手機資料，但有別於FlyGram的部分是，該惡意程式能監控受害者的Signal對話內容，並且竊取用於保護Signal帳號的PIN碼，以及濫用電腦版或iPad版應用程式與手機連結的功能。</p> <p><a href="https://www.mandiant.com/resources/blog/unc4841-post-barracuda-zero-day-remediation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織鎖定Barracuda郵件閘道漏洞攻擊政府機關、電信業者</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/barracuda-post-remediation-fig4a.png" style="width: 300px; float: right;" /></a>8月29日資安業者Mandiant揭露對於Barracuda郵件安全閘道（ESG）零時差漏洞攻擊的最新發現，中國駭客組織UNC4841於去年10月至今年6月，利用CVE-2023-2868發動攻擊，並在11月上旬開始出現顯著升溫的情況，僅有農曆新年（1月20日至22日）略為下降。</p> <p>而到了5月23日Barracuda發布資安通告之後，這類攻擊行動又出現2波，第一次是在公告的數日之後，駭客重新調整攻擊的手段，第二次則是在6月上旬，攻擊者採用更多新的惡意程式，包括Skipjack、Depthcharge、Foxtrox、Foxglove等，目的是為了維持在特定受害組織持續進行活動。Skipjack主要被用於監聽特定的信件標頭及主旨，然後執行惡意內容；Depthcharge則是利用LD_PRELOAD環境參數，藉由Barracuda SMTP的Deamon處理程序載入、執行，接收加密的命令；比較值得留意的是Foxtrox與Foxglove，有別於研究人員發現的惡意程式，這兩個惡意軟體並非專門針對ESG而來，駭客可能以此攻擊其他應用系統。</p> <p>而對於這起攻擊的目標，研究人員指出近三分之一是政府機關、高科技產業及資訊業者、電信業者、製造業，而且，臺灣及香港的貿易辦公室與學術研究機構，以及東南亞國協的外交部，這些單位的網域名稱及使用者，都遭到鎖定，駭客利用Shell指令碼發動攻擊。</p> <p><a href="https://scontent.fomr1-1.fna.fbcdn.net/v/t39.8562-6/10000000_180063885098584_6098733693167598956_n.pdf?_nc_cat=110&ccb=1-7&_nc_sid=ae5e01&_nc_ohc=xfoti16XMyMAX-pqO0p&_nc_ht=scontent.fomr1-1.fna&oh=00_AfD06WIDvlYSGGZl5Qr59HvXtg3cvVeaMfm9Ehzu7PbL4g&oe=64F1F5AE"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta掃蕩近8千個散播垃圾訊息發送帳號，當中包含趁機刻意吹捧中國、仇視西方國家的駭客</span></strong></a></p> <p>8月28日Meta發布今年第二季的對抗威脅報告（Adversarial Threat Report），當中提及名為Spamouflage的大規模攻擊行動，駭客活躍於超過50個社群網站，包括：臉書、Instagram、抖音、YouTube、X（原推特），他們大力讚揚中國與新疆省、批判美國等西方國家的外交政策、轉載記者與研究人員對中國政府的批評。</p> <p>這些駭客主要目標是臺灣、美國、澳洲、英國、日本，以及其他使用中文的用戶，總共設置了超過7,700個臉書帳號、15個Instagram帳號來散布垃圾訊息，Meta表示，這是他們有史以來規模最大的掃蕩行動。而對於攻擊來源，該公司表示來自中國，他們找到該國執法部門人士與這起攻擊行動有關的跡象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0018.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補虛擬化環境網路維運系統的身分驗證繞過漏洞</span></strong></a></p> <p>8月29日VMware針對旗下的Aria Operations for Networks（原名vRealize Network Insight）發布資安通告，指出該系統存在漏洞CVE-2023-34039、CVE-2023-20890，影響6.10以前的版本（6.11版不受影響）。</p> <p>上述漏洞最嚴重的是身分驗證繞過漏洞CVE-2023-34039，起因是該系統在驗證流程裡，使用相同的加密金鑰，攻擊者可用於繞過SSH身分驗證流程，進而存取該網路監控系統的命令列介面（CLI），CVSS風險評分為9.8。</p> <p>另一個漏洞CVE-2023-20890，與檔案任意寫入有關，攻擊者若是取得管理權限，就有機會藉此遠端執行任意程式碼（RCE），CVSS風險評為7.2分。對此，VMware針對6.2至6.10版Aria Operations for Networks，發布KB94152更新程式予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158498"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安院定義19類資安人才類別，首波培訓課程針對資安長而來</span></strong></a></p> <p>由於資安面向廣泛、技能需求多元，過去美國曾發布NICE網路安全人才框架，到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色。2022年初，國家資通安全研究院開始積極行動，先從供給與需求面來調查臺灣資安人才現況；今年初接續打造適合我國的通用資安職能基準，強調以ECSF的12類人才為基礎，建構符合國需求的資安人才類別雛形。</p> <p>在8月24日舉行的研討會，資安院宣布最新的工作成果，當中揭露2023臺灣資安人才培力研究報告的藍皮書，資安院副院長林盈達表示，我國資安人才類別框架的發展，已定義「12+7」種類型，並完成政府與民間的資安課程開設調查，提出未來開課方向的建議，林盈達預告，培訓課程將從資安長的人才類別先啟動，預計最晚今年底就會開設。</p> <p>這19種資安工作的角色，包括與ECSF框架共通的12種，以及額外新增的資安系統規畫師、資安顧問師、資安專案經理、資安檢測工程師、資安系統維運員、資安監控防禦工程師、漏洞分析工程師等7種。</p> <p><a href="https://security.apple.com/blog/security-research-device-program-2024/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果開放2024年iPhone資安研究設備專案申請</span></strong></a></p> <p>8月30日蘋果宣布2024年度的iPhone安全研究設備專案（SRDP），研究人員可在10月31日前提出申請，若是通過審核，將能取得用於安全研究的專屬設備（SRD），這是停用安全功能且具備Shell存取權限的iPhone 14 Pro裝置，使得資安人員能進行更多有關的研究，如：安裝自製的核心並用來開機、在非沙箱環境以root權限執行任意程式碼、設定NVRAM參數、針對iOS 17的新功能Secure Page Table Monitor（SPTM）及Trusted Execution Monitor（TXM）部署自製韌體。</p> <p>而對於這項專案的執行成果，蘋果指出，自2019年發起至今，研究人員總共找出130個極具影響力的重大漏洞，近半年取得37個CVE編號，蘋果也為研究人員提供獎勵，最高達到50萬美元，中位數則為1.8萬美元。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://twitter.com/Shadowserver/status/1696512418036486246"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Juniper防火牆重大漏洞已出現攻擊行動</span></span></strong></a></p> <p><a href="http://blogs.juniper.net/en-us/threat-research/dreambus-botnet-resurfaces-targets-rocketmq-vulnerability"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">分散式資訊流平臺RocketMQ遭鎖定，被植入殭屍網路病毒DreamBus</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/h/mmrat-carries-out-bank-fraud-via-fake-app-stores.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體MMRat利用Protobuf通訊協定竊取資料</span></span></strong></a></p> <p><a href="https://www.deepinstinct.com/blog/contain-yourself-staying-undetected-using-the-windows-container-isolation-framework"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Windows的容器隔離框架有可能讓攻擊者繞過安全防護機制</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158475"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitLab遠端呼叫元件Gitaly全面支援SHA-256</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158501">【8月30日】駭客在PDF檔案裡埋藏惡意Word文件來發動攻擊，藉此躲過資安系統偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158482">【8月29日】勒索軟體LockBit製作工具外流，不到一年出現近400個變種</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158458">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</a></strong></p> </div></div></div>
2023/8/31 16:59作者周峻佑https://www.ithome.com.tw/news/158534
Flutter 3.13最佳化iOS Impeller渲染引擎效能，Android版今年稍晚預覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源UI軟體開發工具包Flutter，近期更新主要圍繞在其新的Impeller渲染引擎上，在最新的Flutter 3.13，官方也對Impeller進行多項改進，同時針對可折疊裝置支援添加Engine API。在介面外觀上，官方對Material Framework有不少功能調整，使開發者能夠更靈活地設計應用程式介面。</p> <p>Impeller是Flutter上最新的渲染引擎，用來取代之前的Skia，Impeller的優點是能夠善用硬體加速繪圖API，像是iOS的Metal以及Android上的Vulkan，藉以提供順暢的UI效果。從Flutter 3.10開始，新建立的iOS應用程式便會預設使用Impeller，使介面卡頓情況減少，且在記憶體使用上更有效率。</p> <p>Flutter 3.13上的Impeller更是經過一連串最佳化，完全消除著色器編譯的卡頓問題，且在部分基準測試中，達到更高的平均吞吐量，在官方flutter/gallery過渡效能基準測試中，平均影格的光柵化時間大幅降低，現在約可達到Skia的一半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0_ivWbcnIt-1Mln5Lx.png" style="width: 580px; height: 353px;" /></p> <p><span style="color:#696969;">以iPhone 11測試，從Flutter 3.10版本分支到3.13版本分支之間，在官方flutter/gallery過渡效能基準測試，平均影格的光柵化時間大幅降低。</span></p> <p>Flutter 3.10加入對廣色域的支援，廣色域比傳統RGB色域更廣，可呈現更豐富的顏色，讓圖像看起來更鮮艷逼真。但是在Flutter 3.10中，雖然在iOS上的Flutter應用程式，已經可以顯示廣色域圖片，但是預設仍是使用RGB色域，在開發者的回饋後，Impeller現在於iOS上將預設使用廣色域。</p> <p>至於Android上的Impeller則需要再等等，雖然過去一年已經有許多進展，官方對Impeller的硬體抽象層做了許多最佳化，完善OpenGL和Vulkan後端功能，這讓Android平均影格繪製時間在flutter/gallery過渡效能基準測試中已有大幅度提升。不過，目前還未達到預期的水準，官方希望在Android上Impeller預覽時，能達到穩定版本的程度。Impeller目前也已開始在macOS上進行預覽。</p> <p>Flutter 3.13加入新的引擎API，更好地支援可折疊裝置，新API能夠擷取顯示螢幕各種屬性，包括顯示器的實際尺寸、像素比和更新頻率等資訊。Flutter 3.13還對Material Framework進行多項改進，主要更新方向是要提升更多平臺的適用性，並且讓使用者有更多的自定義空間，並加入許多新功能，像是現在於iOS中，可以使用裝置相機辨識文字，並將文字輸入到文字欄位中等。</p> <p>值得注意的是，Flutter將在下一個穩定版本預設使用Material 3，應用程式將會預設使用Material 3顏色、文字樣式和其他視覺效果。另外，Flutter不再支援Android Jelly Bean，包括API等級16、17 和18。</p> </div></div></div>
2023/8/22 13:42作者李建興https://www.ithome.com.tw/news/158394
【資安日報】8月21日，逾3千個安卓惡意軟體採用不支援的壓縮格式演算法，目的是防止被研究人員反組譯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定安卓裝置散布惡意軟體的情況，近期可說是相當頻繁，但最近出現較為罕見的攻擊手法引起研究人員關注。因為，這種手法鎖定研究人員而來，防止他們利用各式的工具拆解惡意APK檔案。有資安業者進一步調查，發現市面上至少有3千個惡意App採用此類方法來打包安裝程式，從而影響各式靜態分析工具的運作。</p> <p>值得一提的是，上述手段並非新的攻擊手法，有研究人員指出，最早曾在2014年就出現類似的攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/thousands-of-android-apks-use-compression-trick-to-thwart-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">3千個安卓App安裝程式透過壓縮演算法來對抗研究人員反組譯</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FztkypNWAAIhtcj.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FztkypNWAAIhtcj.png" style="width: 300px; float: right;" /></a>研究人員Joe Sandbox於6月底發現有問題的安卓套件檔案（APK），其特點是只能部署於執行Android 9以上版本作業系統的裝置，且大部分的反組譯工具無法解析。資安業者Zimperium指出，這是因為駭客為了迴避偵測，刻意採用不受支援的壓縮演算法來打包APK檔案，根據他們進一步的調查，總共找到超過3千個惡意APK檔案利用類似的手法封裝，其中僅有71個能在安卓裝置上正常執行，而這些APK檔案皆未出現於Google Play市集，研究人員推測，駭客有可能是透過第三方市集，或是藉由社交工程、網路釣魚等手法來側載應用程式。</p> <p>研究人員表示，除了在安裝程式打包的壓縮演算法上動手腳，駭客也可能運用其他手法，例如檔案名稱超過256個位元、格式錯誤的應用程式資訊清單（AndroidManifest.xml）、格式錯誤的字串池（String Pool），導致研究人員的分析工具無法正常運作。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/joe4security/status/1674042511969468418?s=46&t=8iDWtqgX0z4LwOwqYr8JWA">https://twitter.com/joe4security/status/1674042511969468418?s=46&t=8iDWtqgX0z4LwOwqYr8JWA</a><br /> 2. <a href="https://www.zimperium.com/blog/over-3000-android-malware-samples-using-multiple-techniques-to-bypass-detection/">https://www.zimperium.com/blog/over-3000-android-malware-samples-using-multiple-techniques-to-bypass-detection/</a></p> <p><a href="https://www.zerodayinitiative.com/advisories/ZDI-23-1152/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WinRAR存在RCE漏洞，8月發布6.23版進行修補</span></strong></a></p> <p>漏洞懸賞計畫Zero Day Initiative揭露WinRAR漏洞CVE-2023-40477，攻擊者一旦觸發，就有機會在使用者開啟特定的RAR壓縮檔之後，遠端執行任意程式碼，CVSS風險評分為7.8。</p> <p>該漏洞出現的原因在於，此應用程式在處理還原區資訊過程存在弱點，對於使用者提供的資料缺乏充分的驗證，使得記憶體存取超出原本分配的緩衝區。研究人員6月8日向RARLab通報，該廠商於8月2日推出6.23版WinRAR予以修補。</p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/proxynation-the-dark-nexus-between-proxy-apps-and-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">40萬臺電腦組成殭屍網路，被拿來提供代理伺服器服務牟利</span></strong></a></p> <p>AT&T的資安研究團隊發現大規模的攻擊行動ProxyNation，駭客鎖定Windows電腦，部署代理伺服器應用程式（Proxyware），估計至少有40萬臺電腦遭到挾持，這些電腦在使用者不知情的情況下被充當代理伺服器，網路流量遭到這類軟體濫用。駭客假借提供破解軟體或是遊戲的名義來進行流量挾持攻擊，一旦使用者依照指示下載應用程式並執行，攻擊者便會在後臺擅自下載代理伺服器軟體，並自動部署，過程中不會顯示使用者介面。</p> <p>在部署上述用戶端軟體的過程裡，駭客的惡意程式會向C2發出特定參數，將受害電腦併入殭屍網路。而對於攻擊者的身分，研究人員指出很可能是先前使用惡意程式AdLoad攻擊Mac電腦的那批駭客，經比對兩種惡意程式，發現攻擊者都是採用Go語言打造，主要差別在於Windows版本的軟體帶有簽章，來迴避資安系統的偵測。</p> <p><a href="https://www.bleepingcomputer.com/news/security/maginotdns-attacks-exploit-weak-checks-for-dns-cache-poisoning/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露DNS中毒攻擊手法MaginotDNS，有可能破壞整個頂級網域名稱</span></strong></a></p> <p>加州大學爾灣分校、清華大學的研究人員聯手，揭露新的DNS快取中毒攻擊手法MaginotDNS，鎖定條件式DNS（CDNS）解析器下手，能藉此接管整個DNS區域，甚至可能危害整個頂級網域名稱（TLD）。</p> <p>這樣的攻擊手法出現，主要是因為不同的DNS軟體及伺服器模式（遞迴解析器及轉發器）之間，所採取的安全查核機制不一致，市面上熱門的DNS軟體，如BIND、Microsoft DNS都有可能曝險，研究人員初估，約有35.5%的CDNS伺服器存在相關風險。</p> <p>對此，他們向DNS軟體開發商進行通報，這些漏洞已取得了CVE編號，包含了BIND9的CVE-2021-25220、Knot Resolver的CVE-2022-32983，以及Microsoft DNS和Technitium的CVE-2021-43105。</p> <p><a href="https://cofense.com/blog/major-energy-company-targeted-in-large-qr-code-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國能源業者遭到鎖定，駭客透過QR Code發動網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-sample3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-sample3.png" style="width: 300px; float: right;" /></a>郵件安全業者Cofense揭露一起釣魚郵件攻擊行動，其主要目標是美國大型能源業者，但也有製造業、保險業、科技業、金融服務業遭到鎖定，自今年5月以來相關攻擊增加超過24倍。</p> <p>駭客聲稱收信人若要確保Microsoft帳號的安全，必須採取信中建議的方法。這些信件帶有PNG圖檔或是PDF附件，內有QR Code，並要求收信人必須在2至3天的期限內依照指示操作。</p> <p>研究人員指出，為了防止郵件安全系統察覺異狀，駭客在URL採用搜尋引擎Bing的重新導向網址，但也利用與Salesforce應用程式相關的krxd[.]com，或是Cloudflare旗下Web3服務cf-ipfs[.]com等網域。</p> <p><a href="https://www.deepinstinct.com/blog/nofilter-abusing-windows-filtering-platform-for-privilege-escalation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過Windows安全機制的攻擊手法NoFilter，進而在受害電腦提升權限</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NoFilter8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NoFilter8.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct於資安大會DEF CON 2023揭露名為NoFilter的攻擊手法，濫用視窗作業系統的Windows Filtering Platform（WFP）元件，於目標電腦提升權限。</p> <p>研究人員起初是對於該公司的內部工具RPC Mapper進行分析，該工具的主要用途，是映射遠端程序呼叫（RPC）的方法（Method），尤其是會呼叫WinAPI的方法，從而發現隸屬WFP的BfeRpcOpenToken。他們後來又找到名為NtQueryInformationProcess的方法，來搜尋特定處理程序的Token，並將其複製於其他處理程序並提升權限為SYSTEM。</p> <p>雖然上述Token被用於識別執行具備特殊權限工作時的相關使用者，不過在一般使用者模式執行的惡意軟體，可以透過DuplicateToken或DuplicateHandle等功能函式，來存取其他處理程序的Token，進而用於以SYSTEM權限來執行子處理程序。研究人員結合上述手法，將惡意軟體處理程序透過WFP在系統核層級進行複製，進而在幾乎不會留下任何跡證及事件記錄的情況下運作，並指出這樣做能迴避防毒軟體監控的API。</p> <p><a href="https://blog.eclecticiq.com/german-embassy-lure-likely-part-of-campaign-against-nato-aligned-ministries-of-foreign-affairs"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29利用即時通訊軟體Zulip來隱匿C2</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/German Embassy Lure_image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/German%20Embassy%20Lure_image5.png" style="width: 300px; float: right;" /></a>威脅情報業者EclecticIQ鎖定北約國家（NATO）的釣魚郵件攻擊，俄羅斯駭客組織APT29（亦稱Cozy Bear、Midnight Blizzard）聲稱是德國大使館的名義，散布帶有PDF檔案的郵件。</p> <p>一旦收信人開啟附件檔案，就有可能觸發內嵌的JavaScript程式碼，啟動HTML檔案來進行挾持（HTML Smuggling），解壓縮ZIP檔案裡的HTA檔，執行後續的攻擊行動，於電腦植入惡意軟體Duke，並透過DLL側載的方式執行。</p> <p>值得留意的是，為了迴避偵測，駭客透過即時通訊軟體Zulip的API，將受害者的資訊傳送到特定的聊天室，將此通訊軟體的基礎設施充當C2中繼站。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://money.udn.com/money/story/5612/7380920"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">自行車零件廠日馳證實遭遇網路攻擊</span></span></strong></a></p> <p><a href="https://www.juniper.net/documentation/us/en/software/jweb-ex/jweb-ex-application-package/topics/concept/ex-series-j-web-interface-overview-App.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Juniper修補網路設備作業系統的RCE漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/jenkins-patches-high-severity-vulnerabilities-in-multiple-plugins/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Jenkins修補外掛程式的CSRF及XSS漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158341"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google藉由大型語言模型改善開源軟體模糊測試計畫OSS-Fuzz的檢測能力</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158350"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源資安業者ProjectDiscovery募得2,500萬美元</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158332">【8月18日】駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158313">【8月17日】 Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158300">【8月16日】 Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持</a></strong></p> </div></div></div>
2023/8/21 16:58作者周峻佑https://www.ithome.com.tw/news/158378
Google再測試生成式AI，讓Chrome協助使用者摘錄重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今年5月透過<a href="https://www.ithome.com.tw/news/157080" target="_blank">Search Labs</a>對外展開搜尋生成式體驗（Search Generative Experience，SGE）的實驗與測試，<a href="https://blog.google/products/search/google-search-generative-ai-learning-features/" target="_blank">並在本周添增了許多與SGE有關的新功能</a>，包括針對AI搜尋結果中的辭彙提供定義，以及當以Chrome瀏覽時，可在某些擁有大量內容的網頁上進行摘錄。</p> <p><a href="https://blog.google/products/search/generative-ai-search/" target="_blank">Google以生成式AI技術來改善搜尋的第一項功能</a>，就是允許使用者以自然語言進行搜尋，並提供來自生成式AI的回應，此一回應已自動歸納網頁內容，僅呈現關鍵資訊，而本周新增的功能則是針對該回應中的特定文字嵌入定義。使用者只要將滑鼠移到下方有藍色虛線的文字，即可預覽該文字的定義。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Magi_M2_Insight_Desktop_SCREEN_04.gif" style="width: 500px;" /></p> <p>另一個新功能則稱為SGE while browsing，將率先出現在Android與iOS上的Google程式，未來幾天也會支援桌面版的Chrome瀏覽器。</p> <p>SGE while browsing的主要用意是協助使用者瀏覽網站上的長篇內容，它利用AI來產生條列式的內容摘要，使用者只要點選其中的某個摘要，便會連至與該摘要有關的內容。此一功能僅限於公開內容，並不適用於具備付費牆的內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-google%20search-generative%20ai-600.png" style="width: 299px;" /></p> <p>Search Labs仍屬封閉測試階段，使用者必須先提出申請，且目前僅支援美國市場，尚未擴大至其它國家。</p> </div></div></div>
2023/8/16 13:57作者陳曉莉https://www.ithome.com.tw/news/158293
【資安日報】8月11日，美國政府宣布發起為期2年的大型AI網路安全競賽，並資助想要投入的小型企業參加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府近期對於強化網路安全的動作頻頻，像是推動K-12（5歲兒童至18歲青少年）學校的網路安全防禦措施、提出未來3年的戰略計畫等。本月10日他們宣布舉辦AI網路安全競賽，尋求利用人工智慧技術的好手，進一步強化美國關鍵基礎設施（CI）的安全，特別的是，競賽將為期長達2年，而且主辦單位也打算為部分隊伍提供參賽資金。</p> <p>除了資安競賽，針對5年前的兆勤（Zyxel）路由器漏洞攻擊也相當值得留意，雖然該公司提供了韌體進行修補，但迄今仍有不少路由器尚未套用而讓駭客有機可乘。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/gafgyt-malware-exploits-five-years-old-flaw-in-eol-zyxel-router/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">老舊兆勤路由器漏洞遭到殭屍網路Gafgyt鎖定</span></strong></a></p> <p>資安業者Fortinet對於近期的Gafgyt殭屍網路攻擊行動提出警告，駭客鎖定生命週期已經結束（EOL）的兆勤（Zyxel）路由器P660HN-T1A，利用重大漏洞CVE-2017-18368（CVSS風險評分為9.8），研究人員指出，雖然兆勤早在2017年就提供新版韌體予以修補，但是他們持續發現駭客的利用這項漏洞發動攻擊，並在上個月阻止數千起對於IPS設備的漏洞嘗試利用。</p> <p>對此，美國網路安全暨基礎設施安全局（CISA）也於8月7日發布資安通告，並將上述漏洞列入已被利用的漏洞列表（KEV），要求聯邦機構於28日前修補上述路由器漏洞。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://fortiguard.fortinet.com/outbreak-alert/zyxel-router-command-injection" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-296259080" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://fortiguard.fortinet.com/outbreak-alert/zyxel-router-command-injection</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cisa.gov/news-events/alerts/2023/08/07/cisa-adds-one-known-exploited-vulnerability-catalog" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1740113688" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.cisa.gov/news-events/alerts/2023/08/07/cisa-adds-one-known-exploited-vulnerability-catalog</span></a></p> <p><a href="https://www.proofpoint.com/us/blog/email-and-cloud-threats/cloud-account-takeover-campaign-leveraging-evilproxy-targets-top-level"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網釣工具包EvilProxy針對高階主管的Microsoft 365帳號而來</span></strong></a></p> <p>資安業者Proofpoint揭露針對Microsoft 365帳號而來的網釣工具包EvilProxy攻擊行動，駭客發出約12萬封釣魚郵件，數百家企業組織成為目標。研究人員從今年3月至6月，看到駭客利用上述的網釣工具包，假冒Adobe、DocuSign、Concur等品牌的名義，寄送釣魚郵件，一旦收信人點選信件的連結，駭客會透過影音網站YouTube、購物比價網站Slickdeals進行開放重新導向（Open Redirection）攻擊，經過一連串重新導向之後才將收信人帶往EvilProxy釣魚網頁。</p> <p>此釣魚網頁做為反向代理伺服器，並偽裝成第三方身分驗證供應商，向Microsoft 365登入頁面傳送受害者輸入的帳密資訊，而使得登入行為被視為合法。為了迴避資安系統的偵測，駭客為釣魚信件進行特殊編碼，然後在已被入侵的合法網站植入PHP程式碼，用來解碼釣魚網站的網址。</p> <p>研究人員指出，駭客很可能來自土耳其，且優先挑選高階主管下手，在Microsoft 365帳號遭竊的受害者裡，39%是C級的高階主管、17%為財務長、6%為副總裁、3%為執行長，其餘是能夠接觸組織財務或是機密資訊的員工。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EvilProxy_P2_2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EvilProxy_P2_2.png" style="width: 580px;" /></a></p> <p><a href="https://www.team-cymru.com/post/visualizing-qakbot-infrastructure-part-ii-uncharted-territory"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot擴大攻擊規模，架設15個新的C2伺服器</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6283c5_6889e2f05bc14154b4f65208a93f9b28~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6283c5_6889e2f05bc14154b4f65208a93f9b28~mv2.png" style="width: 300px; float: right;" /></a>針對惡意軟體QBot的動態，研究人員多半是揭露其攻擊行動，但近期這些駭客休兵之後，傳出正在整頓其基礎設施，準備接下來擴大攻擊規模。</p> <p>根據資安業者Team Cymru從5月1日至7月20日收集的資料指出，此惡意程式與駭客的第2層基礎設施的連線顯著變少，僅剩下8個C2中繼站，在6月2日的時候，架設於美國的C2幾乎撤除，連至印度C2的流量也大幅減少，約6月22日停止發送用於散布QBot的垃圾郵件。研究人員認為，上述現象很有可能與資安業者Lumen在5月採取的反制措施有關。</p> <p>然而，此惡意軟體看似在6月減緩攻擊力道，Team Cymru發現，駭客在同月下旬部署了15臺新的C2伺服器，並搭配既有的8臺伺服器於7月再度發起攻擊。研究人員認為，駭客先入侵目標裝置，然後再藉由連線至第2層基礎設施將這些受害裝置當作C2，造成二度傷害。</p> <p><a href="https://flare.io/learn/resources/stealer-logs-and-corporate-access/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體已盜走逾40萬組企業組織的雲端服務帳密</span></strong></a></p> <p>針對暗網與Telegram頻道上，駭客兜售由竊資軟體（Infostealer）取得的資料，資安業者Flare進行調查，結果發現，竊資軟體橫行的情況極為嚴重，在上述管道流通的1,960萬筆資料裡，約有37.5萬筆包含了能夠存取Salesforce、Hubspot、Quickbooks、AWS、GCP、Okta、DocuSign的帳密資料，其中約有17.9萬個AWS主控臺帳密、2,300個Google Cloud帳密、6.4萬個DocuSign帳密、1.5萬個QuickBooks帳密、2.3萬個Salesforce帳密，以及6.6萬個CRM帳密，此外，另有4.8萬筆資料含有存取Okta.com的帳密資料、20萬筆包含Open AI帳密資料。</p> <p>而對於駭客銷贓的管道，大部分的駭客偏好透過加密通訊軟體Telegram──有74%透過Telegram出售，有25%於暗網市集Russian Market，僅有不到1％出現在Genesis Market。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/patch-tuesday-adobe-patches-30-acrobat-reader-vulns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe於8月例行更新修補30個Acrobat及Reader漏洞</span></strong></a></p> <p>8月8日Adobe發布每月例行更新，對於Acrobat、Adobe Reader、電子商務平臺Adobe Commerce、3D渲染設計軟體Adobe Dimension、XMP Toolkit SDK進行修補。</p> <p>其中最值得留意的是Acrobat、Adobe Reader的修補，當中一共修補逾30個漏洞，有近半數屬於重大層級。這些漏洞可被用於安全功能繞過、記憶體釋放後濫用（UAF）攻擊、越界讀取或是寫入（OBR、OBW），從而有可能讓攻擊者執行任意程式碼，或是資訊洩露。當中最嚴重的是安全功能繞過漏洞CVE-2023-29320，這項功能與存取控制措施不當有關，CVSS風險評分為8.6。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://fedscoop.com/white-house-ai-cyber-challenge-def-con/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國白宮發起為期2年的大型AI網路安全競賽</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AIxCC_Schedule-940.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIxCC_Schedule-940.jpg" style="width: 300px; float: right;" /></a>8月10日美國白宮宣布舉辦一場為期2年的大型競賽AI Cyber Challenge（AIxCC），目的是希望透過人工智慧（AI）來發現及修復軟體漏洞，進而保護該國的關鍵基礎設施（CI）、網路環境裡的程式碼，獎金高達1,850萬美元。本次競賽由國防高等研究計劃署（Defense Advanced Research Projects Agency，DARPA）主辦，並與Anthropic、Google、微軟、OpenAI等AI領域的業界龍頭合作。</p> <p>DARPA指出，AIxCC將分成兩個組別進行，分別是贊助組（Funded Track）及開放組（Open Track），贊助組是鼓勵小型企業參與的組別，參賽者將從申請小型企業發明研究的團隊挑戰，其中7組有機會獲得700萬美元的參賽資金。初賽將於今年舉行，並選出20個隊伍參與明年的複賽，最終於2025年8月的DEF CON大會上，由5組隊伍進行總決賽。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.darpa.mil/news-events/2023-08-09" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-667241961" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.darpa.mil/news-events/2023-08-09</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/08/09/biden-harris-administration-launches-artificial-intelligence-cyber-challenge-to-protect-americas-critical-software/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1155944087" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.whitehouse.gov/briefing-room/statements-releases/2023/08/09/biden-harris-administration-launches-artificial-intelligence-cyber-challenge-to-protect-americas-critical-software/</span></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158213"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣資安新創池安量子資安成立亞洲首座量子安全遷移中心</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20230801_023359402.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_023359402.jpg" style="width: 300px; float: right;" /></a>量子破密的威脅持續進逼，後量子密碼學（PQC）標準的發展與推行備受關注，近期有新創公司想要推廣這方面的應用。池安量子資安（原名池安科技）<a href="https://www.qsmc.org/zh/post/亞洲首座「量子安全遷移中心」正式成立">在8月1日宣布成立「量子安全遷移中心（Quantum Safe Migration Center，QSMC）」</a>，以量子安全與其相關研究與成果為核心，並與中山大學、政治大學等學術機構合作，成立工作小組，共同推動量子安全人才培育、國際人才引進、促成相關研究者、產業社群的發展。該中心也與資策會於啟動儀式簽署合作協議，促進雙方在量子安全領域上的合作。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.rubrik.com/company/newsroom/press-releases/23/rubrik-acquires-dspm-leader-laminar-to-accelerate-cloud-data-security"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資料管理業者Rubrik斥資1億美元，買下新創業者Laminar，強化企業與Saas雲端資料安全</span></span></strong></a></p> <p><a href="https://www.securityweek.com/40-vulnerabilities-patched-in-android-with-august-2023-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布安卓8月例行更新，修補4個零時差漏洞</span></span></strong></a></p> <p><a href="https://therecord.media/dhs-grants-millions-to-local-governments"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國土安全部投注3.75億美元提升地方政府資安</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rhysida-ransomware-behind-recent-attacks-on-healthcare/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida鎖定醫療產業下手</span></span></strong></a></p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/invisible-adware-unveiling-ad-fraud-targeting-android-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">廣告詐欺App鎖定韓國安卓使用者，在待機狀態擅自顯示廣告</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158207">【8月10日】駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158187">【8月9日】駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a></strong></p> </div></div></div>
2023/8/11 16:43作者周峻佑https://www.ithome.com.tw/news/158224
國內產業開始推動PQC遷徙，池安成立量子安全遷移中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>量子破密的威脅持續進逼，後量子密碼學（PQC）標準的發展與推行備受關注，<a href="https://www.ithome.com.tw/tech/151925">去年7月，美國國家標準暨技術研究院（NIST）已公布首批入選的4款演算法</a>，預定標準將在2024年出爐。後續我們也看到<a href="https://www.ithome.com.tw/tech/150922">美國政府已經下令，要求各政府機構使用的密碼系統，未來需遷移到可對抗量子電腦威脅的密碼學系統</a>。</p> <p>現階段已有少數國際企業持續為PQC遷移做準備，也就是要將現今普遍的公鑰基礎架構升級，將現行的RSA或ECC密碼標準，更換成可抗量子破密的PQC密碼標準。</p> <p>對於臺灣而言，學界有不少人參與PQC標準化的競賽，但僅有少數本土廠商發表這方面的產品，像是匯智安全科技打造支援後量子密碼標準的HSM商用平臺，國內企業與組織更是稀少，尚未聽聞有公司、公部門提出計畫，宣布要將使用設備的密碼系統遷移至PQC。</p> <p>今年可能會有較明顯的進展，有新創公司想要推廣這方面的應用。原名池安科技、3月更名的池安量子資安，在8月1日宣布成立「量子安全遷移中心」，希望結合國內學界之力，發展量子安全生態圈，同時他們也在啟動儀式上，邀集中研院、工研院與學界專家共同參與，並與資策會共同簽訂了一份合作協議書，促進雙方在量子安全領域上的合作。</p> <h2><strong>PQC遷移影響廣泛，及早建立學界與業界合作平臺迎商機</strong></h2> <p>對於PQC的推動態勢，池安量子資安董事長暨量子安全遷移中心執行長池明洋表示，近期美國白宮宣布全美進入量子安全遷移時代，要求所有供應鏈要在2025年完成量子安全遷移規畫，加上今年國際密碼學會議在臺舉行，PQC標準議題備受關注，在此局勢之下，他提出三個重要的觀察：一、量子安全有急迫性；二，所有論文發表都是國際合作、團隊作戰；三、將研究成果帶進產業看似相當困難。他們之所以成立量子安全遷移中心，就是希望加速量子安全可快速普及到產業間，甚至帶領臺灣團隊合作到東南亞、北美等地拓展更大商機。</p> <p>在這場啟動儀式上，有多位國內專家現身說明PQC遷移的影響，因為我們日常使用的許多系統，都是利用公開金鑰密碼（非對稱式密碼），如ECDSA、RSA等進行密鑰交換與數位簽章認證，這些演算法未來將受量子破密影響，必須轉移升級到PQC密碼學的版本。</p> <p>例如，中研院資訊所研究員楊柏因是臺灣後量子密碼學的專家，他舉出最簡單的例子，一般網頁、電子郵件經常使用的TLS傳輸加密技術，以及Android系統的全硬碟加密等，就是使用公開金鑰密碼，需轉換為使用PQC後量子密碼學演算法。</p> <p>關於有哪些系統受影響？工研院資訊與通訊研究所副所長黃維中表示，包括：數位錢包、電子公文簽署，以及可抗網路釣魚的FIDO技術，其背後也都使用公開金鑰密碼，因此同樣受影響，甚至未來關鍵技術的零知識證明、同態加密技術，更是特別需要PQC。</p> <p>對於金融產業而言，也要積極因應。政治大學資訊科學系特聘教授左瑞麟指出，以財金公司與各銀行之間透過對稱式密碼（如AES）進行機密通訊為例，儘管對稱式密碼在未來量子電腦時代，還是可以使用，只是金鑰長度必須更長才會安全。</p> <p>而且，在金鑰產生之外，還要關注金鑰的產品與管理如何抵抗量子電腦攻擊，以及其他延伸議題，包括後量子憑證、金鑰儲存的HSM硬體加密器等，都要有升級到PQC的版本。</p> <p>再者，區塊鏈技術背後其數位簽章也是採用ECDSA，還有比特幣、以太幣等去中心化數位貨幣，以及央行數位貨幣的研發，都會受到影響。</p> <p>綜觀上述面向，迎接量子電腦時代來臨的同時，對於伴隨而來的量子破密威脅，我們必須體認有相當廣泛的系統需要進行PQC遷移。</p> <p>池明洋表示，他們的目標將朝向綜合性的平臺，為組織與企業，提供一站式的量子安全遷移服務，有如針對PQC遷移的SI業者。例如，將協助產業盤點現有所有使用的密碼系統，提供一連串的計畫，讓不同產業可以得到專家團隊的建議，也可以知道市面上有哪些產品，協助企業做到量子安全。</p> <p>同時，他們也將聚焦建立專業人才庫與社群，以及形式驗證與實作方式，還有抗量子晶片研發，期許打造量子安全生態圈。他並透露，目前該中心設於池安量子資安之下，預計年底將會法人化。</p> <p>對於量子安全遷移中心的發展，他們的副執行長呂佳諺也特別強調，拓展國際市場將會是中心的另一大重點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_023359402.jpg" style="width: 600px;" /></p> <p>在數位發展部數位產業署副署長林俊秀的見證之下，量子安全遷移中心與資策會簽定合作協議書（MOU），促進雙方在量子安全領域上的合作。目前，量子安全遷移中心已經與中山大學、政治大學等學術機構合作，成立工作小組，並希望透過中心這樣的平臺，讓這方面領域專家學者將對量子安全、後量子密碼的多年的經驗傳遞出去，包括實作、產學合作、人才教育、國際學術影響力等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_024316751.jpg" style="width: 600px;" /></p> <p>在這場啟動儀式上，身為量子安全遷移中心金融產業應用工作小組顧問，也是政治大學資訊科學系特聘教授、資安科技研究中心專案計畫主持人的左瑞麟表示，今年政大新成立資安科技研究中心，對於金融產業量子安全發展已有4大規畫，包括量子安全金融FIDO、量字安全金鑰管理與通訊安全、量子安全區塊鏈應用，以及量子安全數位貨幣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230801_030100653.jpg" style="width: 600px;" /></p> <p>對於抗量子遷移，工研院資訊與通訊研究所副所長黃維中也展示了一張投影片，當中說明了抗量子運算技術與應用的發展，可從標準面、技術面與應用程式面來看待整個生態的應用發展。</p> <p> </p> </div></div></div>
2023/8/11 12:27作者羅正漢https://www.ithome.com.tw/news/158213
Google公布AI多平臺程式開發平臺Project IDX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升對開發人員的吸引力，在多項雲端開發工具後，<a href="https://developers.googleblog.com/2023/08/introducing-project-idx-experiment-to-improve-full-stack-multiplatform-app-development.html" target="_blank">Google本周再宣布</a>，可開發多平臺App的實驗性雲端整合開發環境計畫Project IDX，整合了Codey基礎模型及其他AI功能，讓開發人員打開瀏覽器就能開發程式。</p> <p>Google這幾年已陸續推出了數個多平臺App開發平臺產品，包括Angular、Flutter、雲端Google Colab、Firebase，但他們認為有必要使整個多平臺App開發流程更順暢、更快，<a href="https://idx.dev/" target="_blank">而在幾個月前啟動Project IDX實驗</a>。</p> <p>Project IDX是在Google Cloud上打造的Web開發服務，以瀏覽器就能使用，整合了Codey基礎AI模型，後者以程式碼及PaLM 2訓練而成。Project IDX目的是簡化開發、管理及部署完整堆疊的Web與多平臺應用程式，且具備熱門框架及支援多種語言，也提供AI輔助開發與預覽、發布工具。Google說，Project IDX也可以<a href="https://github.com/microsoft/vscode" target="_blank">微軟Code OSS</a>為開發底層，因此習於微軟工具的開發人員應該都能嫻熟上手。</p> <p>這新服務可望讓Google有更強實力，和Amazon CodeWhisperer或 GitHub Copilot競爭。</p> <p>Google今天公布Project IDX初期開發成果，<a href="https://idx.dev/" target="_blank">希望吸引開發人員加入</a>並提供回饋意見。為了使Project IDX打開瀏覽器就能存取使用，每個Project IDX工作空間都具有Linux VM的完整功能，可代管在雲端或其他資料中心。Project IDX允許用戶從GitHub匯入現有專案，或是新開專案，它預建熱門框架（如Angular、Flutter、Next.js、React、Svelte、Vue）範本，支援JavaScript、Dart，之後還會支援Python、Go等等程式語言。Google表示正在加緊籌備以支援更多專案類型和框架，也歡迎用戶提供意見。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-Google-Project%20IDX(1).png" style="width: 600px;" /></p> <p>Google強調Project IDX整合其多項AI技術，除了前述的Codey基礎模型，也包含AI程式撰寫輔助工具，包括可補全程式碼、AI聊天機器人Studio Bot，以及情境化的程式指令，像是「加入註解」、「解釋這段程式」。Google說，目前Project IDX的AI功能還很簡單，團隊正在加緊強化。</p> <p>Project IDX也內建Web預覽工具，供預覽開發完成的App，不久後也將有完整的Android仿真器（emulator）及嵌入式iOS模擬器（simulator），全部都能直接在瀏覽器環境下開啟。最後，為簡化App部署麻煩，Project IDX整合了Firebase Hosting代管平臺，使開發人員可快速部署到生產環境並和他人共享預覽Web App。由於Firebase Hosting支援Google Cloud Functions提供的動態後臺管理功能，相當適合全堆疊的框架，如Next.js。</p> </div></div></div>
2023/8/11 12:48作者林妍溱https://www.ithome.com.tw/news/158215
【資安日報】8月10日，駭客結合勒索軟體Mallox與木馬程式Remcos，透過加殼程式於受害電腦上發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了增加破壞能力，有些駭客為勒索軟體加入竊資軟體的功能，但現在也出現有人直接與其他類型的惡意程式搭配使用的情況。例如，研究人員看到駭客在勒索軟體Mallox（亦稱TargetCompany）的攻擊行動裡，運用惡名昭彰的RAT木馬程式Remcos來控制受害的SQL Server伺服器，然後以寄生攻擊的手法操作勒索軟體。</p> <p>開發工具Visual Studio Code的漏洞，有可能透過擴充套件觸發而造成危害！研究人員揭露此程式碼編輯器的API漏洞，攻擊者可打造惡意套件來竊取開發環境存放的各式帳密資料，且無論是Windows、macOS、Linux作業系統的電腦都有可能曝險。</p> <p>網路設備NAS的雲端管理介面也有可能遭到利用，而讓攻擊者有機可乘。去年漏洞挖掘競賽Pwn2Own Toronto中，找到WD與群輝NAS的漏洞，研究人員公開更多細節，攻擊者可用相同手法攻入這些存在弱點的系統，例如，皆能針對雲端管理介面下手，進而竊取NAS的資料，或是執行任意程式碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/h/targetcompany-ransomware-abuses-fud-obfuscator-packers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Mallox結合木馬及加殼工具，攻擊微軟SQL Server</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure1-targetcompany-ransomware-abuses-fud-obfuscator-packers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure1-targetcompany-ransomware-abuses-fud-obfuscator-packers.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露勒索軟體Mallox（亦稱TargetCompany）近期的攻擊行動，與之前的手法雷同之處，駭客先是鎖定存在弱點的微軟SQL Server入侵目標組織，但不同的地方在於，新的攻擊行動結合了RAT木馬程式Remcos，以及防毒軟體不易偵測（FUD）的加殼程式BatCloak。</p> <p>攻擊者在成功入侵目標組織的網路環境後，試圖部署Remcos並執行，然後濫用滲透測試工具Metasploit，進一步在電腦新增本機帳號，並部署GMER、IObit Unlocker、PowerTool（或PowTool）進行寄生攻擊（LOLBins），最終利用Remcos下載勒索軟體並執行檔案加密。</p> <p>研究人員指出，為了繞過資安防護措施並順利執行，駭客對木馬程式及勒索軟體，都透過BatCloak加殼來規避偵測。</p> <p><a href="https://cycode.com/blog/exposing-vscode-secrets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊者可利用惡意擴充套件觸發Visual Studio Code弱點，竊取開發者的帳密資料</span></strong></a></p> <p>先前已有研究人員提供警告，微軟的市集出現疑似惡意的擴充套件，鎖定採用Visual Studio Code（VS Code）的開發環境發動攻擊，現在有新手法出現，對方能盜取開發者的各式帳密資料。</p> <p>資安業者Cycode指出，VS Code程式碼編輯器有個名為Secret Storage的API，有資安弱點，起因是對於存放於作業系統裡的Token缺乏充分的隔離，使得任何擴充套件都有可能藉由Keytar模組，存取所有存放於Windows、macOS、Linux作業系統的Token。研究人員指出，除了內建的GitHub與微軟帳號，其他VS Code儲存的Token都與擴充套件有關，如此一來，他們發現這個漏洞的影響範圍變得相當廣泛。</p> <p>研究人員2個月前通報此事，但微軟的工程師以該弱點非安全問題為由不予處理。</p> <p><a href="https://www.electoralcommission.org.uk/privacy-policy/public-notification-cyber-attack-electoral-commission-systems"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國選舉委員會證實遭駭客入侵2年，2014至2022年選民資料曝光</span></strong></a></p> <p>8月8日英國選舉委員會（Electoral Commission）坦承在去年10月，發現遭到駭客入侵的跡象，而有可能自2021年8月開始，存取2014年至2022年所有當地及海外選民的資料，這些資料包含了姓名、地址，以及到達投票年齡的日期。除了選民資料，該單位的電子郵件、控制系統、電子名冊副本亦遭到存取。不過，該單位並未透露受到影響的民眾人數。</p> <p>英國選舉委員會指出，根據該國資訊專員辦公室（ICO）進行的風險評估，姓名及地址的曝露對選民的威脅有限，且不影響選舉流程、投票權利、候選人登記，但上述兩項個資駭客有可能與其他的外部資料整合，進而透過使用者行為模式的推測，識別或分析特定人士。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/western-digital-synology-nas-vulnerabilities-exposed-millions-of-users-files/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露WD、群暉NAS漏洞細節，駭客有可能竊取資料或是發動RCE攻擊</span></strong></a></p> <p>去年冬季，資安業者Claroty參與Pwn2Own Toronto 2022漏洞挖掘競賽，找到Western Digital（WD）、群暉（Synology）NAS設備的漏洞，最近揭露細節。</p> <p>以WD產品而言，研究人員在MyCloud PR4100設備上，發現了命令注入漏洞CVE-2022-29841、路徑穿越漏洞CVE-2022-36327及CVE-2022-36328、身分驗證繞過漏洞CVE-2022-36331（CVSS風險評分為8.8至9.8），並用來列舉所有連接雲端服務MyCloud的NAS設備，然後模擬這些NAS並能存取相關資訊及檔案，甚至遠端執行任意程式碼。</p> <p>而在群暉的產品上，研究人員在DS920+找到CVE-2022-45188漏洞，該漏洞存在於NAS作業系統DiskStation Manager（DSM），包含了特定PHP元件的身分驗證繞過弱點，以及資訊洩露弱點，CVSS風險評分為8.8，攻擊者有可能假冒該廠牌NAS設備，並強制雲端服務QuickConnect將使用者重新導向至攻擊者控制的設備，進而竊取帳密資料或存取使用者的資訊、遠端執行任意程式碼，亦有可能控制受害的NAS發起進一步攻擊。</p> <p>資料來源</p> <p>1. <a href="https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-wd-pr4100-edition">https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-wd-pr4100-edition</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-synology-ds920-edition" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1076900850" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://claroty.com/team82/research/a-pain-in-the-nas-exploiting-cloud-connectivity-to-pwn-your-nas-synology-ds920-edition</span></a></p> <p><a href="https://www.securityweek.com/sap-patches-critical-vulnerability-in-powerdesigner-product/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補業務流程與資料建模系統PowerDesigner的重大漏洞</span></strong></a></p> <p>本週二（8日）SAP發布8月份例行更新，總共修補了16個漏洞。其中最嚴重的漏洞是CVE-2023-37483，存在於業務流程與資料建模系統PowerDesigner，屬於存取控制的缺陷，未經身分驗證的攻擊者一旦利用該漏洞，可對後臺的資料庫執行任意查詢，CVSS風險評為9.8分。</p> <p>此外，該公司認為還有2個企業應優先處理的漏洞，一個是商業智慧軟體BusinessObjects安裝程式漏洞CVE-2023-37490，另一個是ERP系統Business One的跨網站指令碼漏洞CVE-2023-39437，CVSS風險評分皆為7.6。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blogs.sap.com/2023/08/08/sap-security-patch-day-august-2023/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--208372876" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://blogs.sap.com/2023/08/08/sap-security-patch-day-august-2023/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://onapsis.com/blog/sap-security-patch-day-august-2023" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-851839746" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://onapsis.com/blog/sap-security-patch-day-august-2023</span></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://security.googleblog.com/2023/08/android-14-introduces-first-of-its-kind.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Android 14將針對行動網路安全提供IT管理政策，網管可禁用2G網路</span></strong></a></p> <p>Google宣布於下一代行動裝置作業系統Android 14當中，正式加入與行動網路相關的安全功能，包括限制手機使用2G訊號及空暗碼（Null Cipher）網路連線的能力。</p> <p>該公司表示，他們這麼做的目的，主要是解決2G等舊式行動網路長久以來的安全問題，尤其是許多攻擊手法就是利用2G網路安全性不佳的特性，如：假基地臺（False Base Station，FBS）、IMSI Catcher（亦稱Stingray），暗中將手機行動網路降級為2G來進行相關攻擊。Google在Android 12首度提供使用者關閉2G網路的功能，而在Android 14，該公司進一步讓企業能全面停用公務手機的2G網路。</p> <p><a href="https://blog.pypi.org/posts/2023-08-08-2fa-enforcement-for-new-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新註冊的PyPI開發者必須啟用雙因素驗證，才能上傳套件、建置專案</span></strong></a></p> <p>8月8日PyPI維護團隊表示，新註冊的開發者帳號若要執行任何管理工作，必須先啟用雙因素驗證（2FA）的功能，才能進行相關操作，同時，該團隊也要求用戶需要使用通過驗證的電子郵件地址。</p> <p>這些管理工作包含了建立及管理專案、新增或移除API的Token、上傳與移除發布的版本、新增或移除協作者、申請及管理組織帳號、新增及管理受信任的發布者功能。PyPI團隊指出，他們計畫在今年底所有使用者全面啟用雙因素驗證，而本次的措施就是該計畫的具體作為之一。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="http://www.interpol.int/News-and-Events/News/2023/Notorious-phishing-platform-shut-down-arrests-in-international-police-operation"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐洲刑警組織撤下網釣攻擊服務平臺16shop</span></span></strong></a></p> <p><a href="https://securityaffairs.com/149307/cyber-crime/varian-medical-systems-lockbit-ransomware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱攻擊了醫療器材業者Varian Medical Systems</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cisa-unveils-cybersecurity-strategic-plan-for-next-3-years/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA公布未來3年的網路安全戰略</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/white-house-pushes-cybersecurity-defense-for-k-12-schools-a-22745"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國推動K-12學校的網路安全防禦措施</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/missouri-warns-that-health-info-was-stolen-in-ibm-moveit-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國密蘇里州民眾的健康資訊外洩，起因是MOVEit Transfer遭駭</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158187">【8月9日】駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></strong></p> </div></div></div>
2023/8/10 17:31作者周峻佑https://www.ithome.com.tw/news/158207
Android 14新增行動網路安全功能，可讓管理員關閉手機2G網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/08/android-14-introduces-first-of-its-kind.html" target="_blank">Google周二（8/8）宣布</a>，最新手機旗艦作業系統Android 14加入行動網路相關的安全功能，包括可允許限制手機降級使用2G及空密碼（Null Cipher）網路連線的功能。Google聲稱Android是首個加入進階行動網路安全防護技術的手機作業系統。</p> <p>Google說明，下一代Android希望解決舊式行動網路，像是2G網路由來以久的安全問題。以GSM（Global System for Mobile Communication）標準為基礎的2G網路缺乏收、發話端相互驗證，可能引發中間人攻擊。2010年起，安全研究人員也展示過，2G網路流量可輕易攔截及破解。</p> <p>由於全球手機提升到4G及5G，一些惡意攻擊手法，像是假基地臺（false base station，FBS）、IMSI截收器（IMSI Catcher）或稱Stingray，就是利用2G網路簡陋的安全性，加上智慧型手機網路連線可以被悄悄降級到2G網路這點，對不安全的手機網路造成威脅。</p> <p>為此，<a href="https://www.ithome.com.tw/news/148888" target="_blank">Android 12已新增</a>可從「設定」頁關閉2G行動網路的功能。Pixel 6是第一個採用該功能的裝置，現在所有採用Radio HAL 1.6以上介面的Android裝置也都支援這功能。在Android手機中關閉2G網路，可確保用戶在意外發生時還是可以撥打緊急求救電話。</p> <p>而在Android 14中，Google將再進一步，限制Android Enterprise裝置降級到2G網路。Android Enterprise裝置主要是政府發派的公務手機，或企業IT人員管理的公司手機。Google表示，Android 14的2G控管功能，IT管理員可強制列管手機啟用這道防護，關閉2G無線訊號，防止企業及公務人員手機遭到2G流量攔截或中間人攻擊。</p> <p>此外，Android 14還加入一項允許所有用戶關閉空密碼（null cipher）連線的功能選項，只要手機使用最新無線硬體抽象層（HAL）Radio HAL 1.6以上。傳統語音和簡訊的加密，是由電信業者在其手機網路上進行，用戶無從得知，也無法控制。然而一些市售假基地臺裝置可以欺騙手機相信行動網路不支援加密，因而降級到空密碼連線以明碼傳送訊息，進而被攔截。</p> <p>Android 14的空密碼（null cipher）連線控制功能可確保通訊隱私。Google相信未來幾年內隨著Android手機廠商實作到其新手機後，這安全技術會更普及。一如前面的2G安全控制，關閉這連線的手機也仍能利用未加密手機連線撥打緊急電話。</p> </div></div></div>
2023/8/9 13:33作者林妍溱https://www.ithome.com.tw/news/158180
Google測試新生成式AI搜尋功能，強化影音內容、更快產生摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/google-search-generative-ai-august-update/" target="_blank">Google本周宣布</a>其測試計畫Search Generative Engine（SGE）加入3項新功能，包括增加影音的搜尋結果、更快產生內容摘要，也為搜尋結果標註來源時間點。</p> <p>SGE是Google今年於Google I/O上宣布的用戶測試計畫，可讓用戶在Search Labs平臺上試用研發中的生成式AI搜尋技術。</p> <p>本周測試的3項新功能中，第一項是在搜尋結果增加圖片與影片內容。SGE已經開始在搜尋結果加入圖片，從下周起，SGE用戶查詢某些任務時，例如瑜珈動作示範、或是去除大理石髒污時，會看到影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-generative%20AI%20in%20Google%20Search-600-1.png" style="width: 573px;" /></p> <p>事實上，Google搜尋正式版早已經強化影片內容的搜尋結果。本周Google還在影片加註和使用者搜尋關鍵字相關「重要時間點」，讓使用者不需從頭看起，就能找到相關內容。</p> <p>第二項功能是加快產生AI內容摘要的時間。Google說，經過改善，生成AI摘要的時間縮短了一半，未來還會再繼續再加快其速度。最後，SGE也會在搜尋結果的簡介部分，加上網頁連結出版日期，方便使用者判斷。</p> <p>Google說他們也正在實驗其他方法來強化AI摘要內容的豐富性。該公司同時重申SGE還是會在特定版位上，展示搜尋廣告。</p> <p>用戶可以透過Android及iOS版Google App或Chrome桌機版，從Search Labs測試SGE新功能。</p> <p>Google積極將AI整合進其現有產品。除了搜尋外，<a href="https://support.google.com/youtube/thread/18138167" target="_blank">本周Google也開始針對YouTube少數英語影片測試以AI產生影片簡介</a>，幫助使用者更容易決定是否點選讀取。不過用戶需要在Youtube.com/new上註冊加入測試計畫。此外<a href="https://www.ithome.com.tw/news/158052" target="_blank">Google也正在啟動以生成式AI改造Google Assistant</a>，並為此進行組織重整。</p> </div></div></div>
2023/8/4 13:20作者林妍溱https://www.ithome.com.tw/news/158106
ChromeOS可能即將不再內建Chrome瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google即將把ChromeOS與Chrome瀏覽器切分開來；<a href="https://www.aboutchromebooks.com/news/chromeos-116-may-begin-the-lacros-browser-push-to-chromebooks/?expand_article=1" target="_blank">本周有媒體報導</a>，Google可能最快從ChromeOS 116起不再整合Chrome瀏覽器，以加快Chromebook瀏覽器的更新。</p> <p>《Aboutchromebooks》報導，Google正在以Lacros專案取代整合式的Chrome瀏覽器。<a href="https://chromium.googlesource.com/chromium/src/+/main/docs/lacros.md" target="_blank">一個Chromium專案網頁說明</a>，Lacros為切分Chrome瀏覽器和Chrome OS視窗管理員及系統UI的架構專案，其名稱來自<strong>L</strong>inux <strong>A</strong>nd <strong>C</strong>h<strong>R</strong>ome <strong>OS</strong>。切開ChromeOS及瀏覽器的目的是，瀏覽器更新可以更快推送到Chromebook電腦，而不需等一整包ChromeOS更新。</p> <p>媒體發現到的最新Lacros文件變更，顯示Google可能將在Chrome OS 116中加入啟動Lacros的選項。報導指出，之前Lacros文件並未說明哪個版本。</p> <p>根據Google說明，Lacros可以被視為「具備更強Wayland通訊協定支援的Linux版Chrome」，它使用Ozone為圖形及事件處理的抽象層。此外，ChromeOS內建名為exosphere的Wayland實作，Lacros則使用exo為圖形及事件處理的Wayland伺服器。專案小組也公布了具備ARC（執行Android app）及Crostini（執行Linux app）容器的Wayland協定擴充程式。</p> <p>不過媒體也發現，一臺使用ChromeOS 116 Beta版的Chromebook並未看到Lacros-support的flag。因此推測Google可能還未決定何時將Lacros部署到Chromebook裝置。</p> </div></div></div>
2023/8/4 12:30作者林妍溱https://www.ithome.com.tw/news/158104
【資安日報】8月1日，Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。</p> <p>針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。</p> <p>專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年零時差漏洞超過4成來自已知漏洞修補不全，安卓生態圈長期面臨較高的攻擊風險情況加劇</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）針對去年出現的零時差漏洞攻擊進行分析，他們總共發現41個被駭客利用的漏洞，較2021年的69個顯著下降。但研究人員提出警告，去年有逾4成（17個）的零時差漏洞，與過往曾揭露的漏洞修補不全有關，對照2021年有2成漏洞存在這類情況來看，2022年增加至4成，嚴重程度顯然有增無減。</p> <p>另外一個值得留意的是，TAG這次特別點名安卓系統上的N-day漏洞現象，由於Google對於安卓作業系統進行修補後，還要經過裝置製造商打造更新程式，相關的修補軟體才會套用到使用者的裝置上，而這樣的時程過於漫長，導致駭客無須挖掘零時差漏洞，而是利用Google或晶片製造商已經公布、修補，但裝置製造商尚未派送更新軟體的N-day漏洞，就能達到相同的目的。</p> <p>研究人員舉出去年7月發現的Mali GPU顯示晶片漏洞CVE-2022-38181為例，Arm在同年10月予以修補，但直到今年4月的安卓安全更新公告，相關的修補程式才納入該作業系統，換言之，即使是Google自家的Pixel手機，竟然也曝險長達半年，更遑論其他廠牌的安卓裝置。而且，針對該漏洞的攻擊程式，去年11月就已經出現，可見這個風險缺口有多大。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體CherryBlos藉由OCR盜取圖片裡的加密貨幣錢包帳密資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技在今年4月，發現鎖定安卓裝置的惡意軟體CherryBlos、FakeTrade，前者是透過釣魚網站散布的竊密程式，後者則是上架Google Play市集的詐騙軟體。研究人員指出，駭客散布CherryBlos的途徑，主要是透過社群網站推特、抖音、即時通訊軟體Telegram，假借提供挖礦軟體、即時通訊軟體、AI機器人App的名義，透過廣告連結將使用者導向釣魚網站，進而於目標裝置部署此竊密軟體，而能夠以此竊取加密貨幣帳密，並在使用者提款、轉帳時，趁機置換錢包的網址，再順勢掏空受害者的加密貨幣錢包。</p> <p>特別的是，此竊密軟體盜取帳密資料的手段，除了模仿加密貨幣錢包的使用者介面，引誘使用者輸入相關資料並進行竊取，還能透過光學字元辨識（OCR）的方式，從存放在裝置上的圖片挖掘帳密資料，並定時回傳至C2。</p> <p>另一方面，研究人員也在Google Play市集裡，看到31款詐騙應用程式FakeTrade，引誘使用者觀看廣告、訂閱付費服務、儲值應用程式的錢包，但直到使用者想要兌現這些有價物資時，才驚覺上當。FakeTrade與CherryBlos使用相同的C2基礎設施、金鑰，研究人員認為這些惡意軟體背後的攻擊者可能是相同駭客組織。</p> <p><a href="https://www.cyfirma.com/outofband/apt-bahamut-targets-individuals-with-android-malware-using-spear-messaging/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌即時通訊軟體SafeChat鎖定安卓用戶而來，竊取Telegram、WhatsApp、Facebook Messenger資料</span></strong></a></p> <p>資安業者Cyfirma揭露印度駭客組織Bahamut的攻擊行動，他們先是使用WhatsApp尋找攻擊目標，然後以更加安全、隱密為由，提供名為SafeChat的即時通訊軟體為幌子，目的是進行間諜軟體攻擊，進而竊取手機通話記錄、簡訊、GPS位置資訊，以及即時通訊軟體Telegram、WhatsApp、Facebook Messenger的用戶資料，主要目標是南亞使用者。</p> <p>研究人員指出，此惡意程式前身是Coverlm，且具備類似即時通訊軟體的介面，用戶操作時會要求各式權限，以便能夠截取螢幕截圖和鍵盤輸入的內容，或是讓該惡意程式能在後臺持續運作，而在使用者將App關閉後，C2仍繼續與此惡意軟體保持通訊。</p> <p><a href="https://www.cadosecurity.com/redis-p2pinfect/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體P2Pinfect濫用Redis複寫功能進行橫向感染</span></strong></a></p> <p>上個月資安業者Palo Alto Networks發現鎖定Redis伺服器的蠕蟲程式P2PInfect，駭客針對存在Lua沙箱逃逸漏洞CVE-2022-0543的伺服器下手，現在也有其他研究人員公布進一步的調查結果。</p> <p>資安業者Cado Security也在他們部署的蜜罐陷阱（Honeypot）看到P2PInfect，並指出駭客製作了Windows版、Linux版本的攻擊工具，在攻擊行動中，駭客透過以C及Rust組合語言編寫的ELF檔案，竄改伺服器的OpenSSH設定，調整成近乎預設的組態，隨後攻擊者就會重新啟動SSH服務，並部署新的金鑰，然後將wget及curl改名並用來進行後續的攻擊行動，並新增iptables規則來避免其他攻擊者對Redis伺服器下手。最終駭客透過P2PInfect將已感染的伺服器視為節點，形成點對點（P2P）的殭屍網路。</p> <p>值得留意的是，駭客透過Redis的複寫（replication）功能，來達到蠕蟲程式自我散布的目的。此外，駭客也運用多個Redis已知漏洞，來做為初步入侵此種伺服器的管道。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-new-submarine-malware-found-on-hacked-barracuda-esg-appliances/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Submarine針對Barracuda郵件安全閘道而來</span></strong></a></p> <p>7月28日美國網路安全暨基礎設施安全局（CISA）提出警告，聯邦機構的Barracuda郵件安全閘道（ESG）遭到攻擊，駭客利用漏洞CVE-2023-2868，於這些閘道設備部署名為Submarine的後門程式（亦稱為DepthCharge），用來迴避偵測、收集資料，並以便於持續在受害組織活動。CISA指出，駭客將此後門程式植入ESG設備的SQL資料庫，該惡意程式具備數個模組，並能使用root權限執行、與C2進行通訊、清理作案留下的痕跡。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nics.nat.gov.tw/NewInfoDetail.htm?seq=1706"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安院與工研院簽訂MOU，預計年底成立AI產品與系統的評測機構</span></strong></a></p> <p>7月31日國家資通安全研究院（資安院）與工業技術研究院簽署合作備忘錄（MOU），他們將結合資安院的資安防護技術研發，以及工研院AI創新應用的專業能力，合作建立可信任的AI評測機制，並預定於今年底正式成立「AI產品與系統評測中心」，共同打造臺灣的資安韌性環境。</p> <p>為確保評測機制的公正、客觀、獨立性，並且符合國際規範，資安院與工研院將優先研析國際AI安全框架與標準，在國家科學及技術委員會與數位發展部、數位產業署等機關指導下，執行「推動可信任生成式AI發展先期計畫」，進而提出符合臺灣AI政策推動、產業發展、應用方向的評測項目與執行方法。</p> <p><a href="https://blog.google/products/android/unknown-tracker-alert-google-android/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對安卓裝置部署不明追蹤警告功能，防範用戶遭到未知藍牙裝置跟蹤</span></strong></a></p> <p>7月27日Google宣布，將針對執行Android 6.0以上版本作業系統的裝置，部署不明追蹤警告（Unknown Tracker Alert）的功能，目的是讓使用者能察覺可能被用來跟蹤他們、來路不明的未知藍牙追蹤器，進而採取行動，例如要求追蹤器發出聲音、檢視追蹤器的部分資訊，或是嘗試關閉該追蹤裝置。此功能初期支援蘋果的AirTag，但Google將與其他追蹤器製造商合作，擴大該功能可支援的裝置品牌。</p> <p><a href="https://www.ithome.com.tw/news/158017"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為保護使用者隱私，蘋果採取新的App Store管理政策，要求App開發商說明使用API追蹤用戶的理由</span></strong></a></p> <p>蘋果在2021年祭出應用程式追蹤透明度（App Tracking Transparency，ATT）的要求，規範應用程式開發商必須在使用者安裝App的過程中，以明顯方式告知用戶會蒐集用戶資訊，並賦予用戶同意或拒絕的權力。然而，部分開發商為繞過上述的管理政策，改以API讀取裝置資訊來追蹤使用者的行動。</p> <p>對此，近期蘋果祭出新的App Store管理政策，表示他們將限制應用程式利用API來追蹤用戶裝置的資訊，未來開發商想要使用能讀取檔案時戳、系統開機時間、磁碟空間、使用者預設組態等可能侵犯用戶隱私的API，必須填寫App隱私表單，若未說明將從2024年春季無法上架應用程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體鎖定東歐工控環境與關鍵基礎設施，企圖從隔離網路竊取機密</span></span></strong></a></p> <p><a href="https://medium.com/@knownsec404team/patchworks-new-assault-weapons-report-eyeshell-weapons-disclosure-181833f434be"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國學術機構遭駭客組織Patchwork鎖定，植入後門程式EyeShell</span></span></strong></a></p> <p><a href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路AVRecon入侵路由器進行控制，將其用來提供非法的代理伺服器服務</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/israels-largest-oil-refinery-website-offline-after-ddos-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列大型煉油廠Bazan網站遭到DDoS攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-bleedingpipe-rce-to-target-minecraft-servers-players/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電玩遊戲Minecraft伺服器遭到鎖定，駭客利用漏洞BleedingPipe來掌控系統</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> </div></div></div>
2023/8/1 17:57作者周峻佑https://www.ithome.com.tw/news/158058
惡意程式CherryBlos利用OCR技術竊取帳號密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trendmicro.com/en_be/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html" target="_blank">安全廠商趨勢科技近日發現</a>一隻Android竊密程式，能利用光學辨識（OCR）技術萃取出手機螢幕的文字，以竊取帳號密碼。</p> <p>趨勢科技今年4月發現二波有關的惡意程式攻擊。其中一波是透過釣魚網站散布名為CherryBlos的竊密程式，另一波則是存在Google Play Store上的詐騙App。</p> <p>其中CherryBlos具備使用OCR圖像辨識工具的進階能力。今年4月CherryBlos嵌入於挖礦軟體的App中，透過推特、TikTok、Telegram等傳播，廣告連結將用戶導向釣魚網站下載到其Android手機上。CherryBlos目的在竊取加密貨幣帳號的憑證，並在用戶提款時置換錢包網址為攻擊者所控制的網址，以掏空用戶錢包。</p> <p>研究人員發現，CherryBlos具有多種高明技倆以避免偵測。為躲避靜態偵測，惡意程式作者以強大的市售封裝工具Jiagubao（360加固保）內建加密技術封裝，以加密CherryBlos大部分字串，減少被偵測的機率，也會以WebView顯示官網以免受害者起疑心。</p> <p>CherryBlos和金融木馬程式很像，會要求輔助功能的存取許可。它在用戶開啟電子錢包App後顯示對話提示窗，要求使用者同意給予許可。CherryBlos還會假造電子錢包App啟用活動，以誘使用戶輸入密碼片語（passphrase）。很特別的是，取得輔助功能存取許可後，當用戶在螢幕上輸入密碼時，CherryBlos會先拍下螢幕擷圖，以OCR翻譯成文字格式後，將密碼片語、連同植入的電子錢包App套件名稱等資訊，傳送給駭客控制的C&C伺服器。此外，當用戶從交易平臺提款存到自己的線上電子錢包時，CherryBlos會將錢包網址置換成攻擊者所控制的網域，以便竊取加密貨幣。</p> <p>研究人員還在Google Play Store上發現不含CherryBlos的同樣的App。他們相信是由同一個團隊開發。</p> <p>此外，除了CherryBlos外，研究人員也在Google Play上發現疑似和CherryBlos有關的惡意App，因其使用相同的網路基礎架構及App憑證。這些App 謊稱用戶可經由導流量賺取獲利，但受害者最後是提不出錢的，故其中的惡意程式被研究人員稱為FakeTrade。倒楣的用戶下載安裝這些App後大量給予負評。</p> <p>這類詐騙App共有31款上傳Google Play Store，現已全數為Google移除。</p> <p>安全廠商提醒，用戶應避免從第三方網站下載不熟悉的App。且安裝前應仔細審閱其他用戶的評論，看看是否有提及可能是惡意程式。此外也應留心App要求的許可，特別是要求輔助功能存取權限。</p> </div></div></div>
2023/8/1 15:46作者林妍溱https://www.ithome.com.tw/news/158056
Google Assistant部門裁員，將以生成性AI改造
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axios.com/2023/07/31/google-assistant-artificial-intelligence-news" target="_blank">媒體報導</a>，Google近日內將再改組Google Assistant，包括裁減職位，並將使用新的生成性AI模型來改造這個AI助理。</p> <p>《Axios》上周取得Google Assistant副總裁Peeyush Ranjan和產品部門主任Duke Dukellis的對內公開信報導此事。這也是3月間<a href="https://www.ithome.com.tw/news/156221" target="_blank">《CNBC》報導Google Assistant部門人事異動</a>後再一次調整。配合新策略，原Assistant開發工程主管去職，而由原先負責Google商務部門業務主管Ranjan接任。</p> <p>Ranjan上周信中內容則說明在此策略方向下的後續改組。他說明生成性AI有極大潛力改變人類生活，而以最新大型語言模型（LLM）加持的Assistant有很大機會，在此方向下，Google Assistant新的組織調整包括合併服務和介面開發團隊，獨立出行動（Mobile）部門，其他團隊還包括自然語言處理（NLP）、基礎架構及語音開發部門。他指出，行動部門已經首先啟動以LLM改造Google Assistant的計畫。</p> <p>Ranjan強調公司會持續投入Assistant的開發，但伴隨這次改組，他說也將裁減「少部份」職位。Google對<a href="https://www.theverge.com/2023/7/31/23814702/google-assistant-ai-features-layoffs-bard" target="_blank">《The Verge》</a>證實Assistant部門將裁減10多名員工。</p> <p>在信中Google並未說明LLM會如何協助Assistant的改造，不過今年3月的改組中，Google對Assistant的定位由整合在Google Maps等Android手機應用或是Google硬體的語音介面，轉為和Google Bard整合。Google部門預計本周於美、歐等分公司內部會議中說明公司計畫。</p> <p>至於Google Bard和Assistant整合會發生在哪目前還不得而知，不過很少談論AI的蘋果，<a href="https://www.ithome.com.tw/news/156997" target="_blank">據報也在找生成性AI人才</a>，希望強化Siri以及iOS上捷徑、Pencil& Paper、軟體鍵盤等「系統體驗」。</p> </div></div></div>
2023/8/1 12:30作者林妍溱https://www.ithome.com.tw/news/158052