iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

即日起蘋果將允許美國程式連至外部支付機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最高法院周二（1/16）拒絕了蘋果就與Epic Games之間訴訟案的上訴，使得蘋果立即<a href="https://developer.apple.com/support/storekit-external-entitlement-us/" target="_blank">修改其App Store使用條款</a>，允許美國App Store的程式開發者於程式中嵌入外部連結，以告知其它支付機制，不再強制使用蘋果支付機制。</p> <p><a href="https://www.ithome.com.tw/news/139405" target="_blank">這起訴訟案始於2020年</a>，當時Epic Games在iOS版與Android版的《要塞英雄》（Fortnite）遊戲中，自行加入了官方支付機制，以繞過App Store與Google Play的程式付費機制，同時遭到蘋果與Google將遊戲下架，促使Epic Games提出訴訟。<a href="https://www.ithome.com.tw/news/146681" target="_blank">美國聯邦法官在隔年9月作出裁決</a>，要求蘋果不得強迫開發者使用蘋果支付，而蘋果則提出上訴，本周最高法院法官拒絕了此一上訴案，促使蘋果立即作出改變。</p> <p>更新後的App Store使用條款允許美國App Store上提供程式內購買的行動程式，可以透過外部購買連結（StoreKit External Purchase Link Entitlement）來連至開發者的網站，以告知使用者其它的購買方式，但開發者必須提出請求並通過審核。</p> <p>不過，蘋果依然要求開發者要支付27%的銷售佣金，而且開發者必須定期提供App Store以外的購買帳目，且蘋果有權審核開發者的帳目，以確保開發者遵守支付佣金的義務。倘若開發者參與了蘋果的小型企業方案（Small Business Program），抑或者是交易屬於自動續訂，或是在第二年之後的自動續訂，佣金即可降至12%。</p> <p>看起來這項措施並未沒有替開發者帶來太大的優勢，此外，蘋果於訴狀中指出，以這種方式收取佣金將同時替蘋果與開發者帶來額外的成本，特別是蘋果，因為美國的App Store上聚集了數十萬的開發者，就算有合約，但要強制執行及收集佣金將會非常困難，在許多情況下甚至是不可能的。</p> </div></div></div>
2024/1/17 16:16作者陳曉莉https://www.ithome.com.tw/news/160868
2023年智慧型手機市場蘋果首次擠下三星奪冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>分析機構數據顯示，去年全球智慧型手機等待春天來臨之際，蘋果不但逆勢成長，還首次擠下三星登上王座。</p> <p>分析機構<a href="https://www.businesswire.com/news/home/20240115096425/en/Apple-Grabs-the-Top-Spot-in-the-Smartphone-Market-in-2023-along-with-Record-High-Market-Share-Despite-the-Overall-Market-Dropping-3.2-According-to-IDC-Tracker" target="_blank">IDC</a>與<a href="https://canalys.com/newsroom/global-smartphone-market-2023" target="_blank">Canalys</a>雙雙公布2023年第四季及全年智慧型手機市場報告。受到亞洲、中東、非洲與拉丁美洲等新興市場需求增溫、廠商庫存去化與全球通貨膨脹舒緩激勵，下半年全球市場快速回溫，使2023年全年衰退幅度收斂。IDC數據顯示全球市場第4季及全年分別成長8.2%及衰退3.2%，Canalys數據則為成長8%及下滑4%。</p> <p>去年手機銷售出現有趣的現象。一來，去年下半成長力道來自新興市場購買力回溫，以及AI加值，帶動中低階Android手機品牌出貨，貢獻了小米、中國傳音（Transsion）的強勁增長。不過另一方面，相對於其他高階手機的慘淡經營，iPhone銷售卻逆勢成長，甚至使蘋果擠下了自2010年以來即蟬連龍頭寶座的三星。</p> <p>根據IDC數據，去年第4季iPhone出貨超過8,050萬支，年增11.6%，全年也成長3.7%。相較之下，三星第4季及全年分別衰退10.9%及13.6%。2023年蘋果不僅是前三大業者中唯一成長，也是首次超越三星，成為市場龍頭。</p> <p>Canalys指出，蘋果銷售佳績拜接連2年高階手機市場需求強勁，而iPhone 15 4款機型的產品策略有助於蘋果涵蓋更廣泛的消費者區隔。不過分析師也說，華為以中國市場為基礎重振旗鼓，且逐漸侵蝕蘋果在中國既有地盤。另一方面，美國與歐洲的高階手機換機力道不如以往，蘋果必須另行開闢新市場及建立新的生態系，以維持其成長動能。</p> <p>根據IDC及Canalys的數據，去年第4季，前五大業者中，三到五名皆為中國業者，包括小米、傳音及vivo。</p> </div></div></div>
2024/1/17 12:25作者林妍溱https://www.ithome.com.tw/news/160864
微軟推出每月20美元的Copilot Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2024/01/15/bringing-the-full-power-of-copilot-to-more-people-and-businesses/" target="_blank">微軟周一（1/15）宣布</a>擴大旗下的Copilot服務，包括推出每月20美元訂閱費用的Copilot Pro，開放Copilot for Microsoft 365給各種規模的組織，另也發表可客製化主題的Copilot GPTs，以及於Microsoft 365行動程式中支援Copilot。</p> <p>Copilot Pro如同<a href="https://www.ithome.com.tw/news/155347" target="_blank">ChatGPT Plus</a>，鎖定的是一般使用者對AI的需求，價格也一致。Copilot Pro支援跨裝置執行；若用戶為Microsoft 365 訂閱者，在PC、Mac和iPad上使用Word、Excel、PowerPoint、Outlook 和OneNote時，可直接呼叫Copilot來幫忙；Copilot Pro用戶還可優先存取效能最高的GPT-4 Turbo模型，並於高峰時段存取，也準備支援模型的切換；並將藉由Image Creator from Designer來強化AI圖像的建立；以及計畫推出允許用戶客製化Copilot GPT的Copilot GPT Builder。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-copilot%20pro-summary%20by%20copilot-600.png" style="width: 600px;" /></p> <p>相較於個人版的Copilot，Copilot for Microsoft 365是專為職場設計的，它將Copilot嵌入聊天、電子郵件、會議、檔案及網路上，可以整合上述應用的內容來生成使用者所需要的答案，例如在詢問如何更新產品策略時，Copilot會汲取會議、電子郵件與聊天內容來生成結果。也能在Excel中分析資料，在PowerPoint中協助設計，幫Outlook收件匣分類，總結Teams會議等。</p> <p>根據微軟的解釋，Copilot Pro是提供給個人用戶的最佳Copilot體驗，而Copilot for Microsoft 365則是提供給組織的最佳體驗，從去年11月推出以來，Fortune 100中已有4成的企業參與了早期存取專案，原本此一服務僅適用於大型組織，如Microsoft 365 E3與Microsoft 365 E5用戶，但本周微軟開放所有規模的用戶都可訂閱Copilot for Microsoft 365，包括Microsoft 365 Business Premium及Business Standard用戶，每月訂閱費用為30美元。</p> <p>微軟亦移除了商業方案的最低300人訂閱人數限制，同時開放不具備Microsoft 365授權的Office 365 E3及E5用戶訂閱。</p> <p>新的Copilot GPTs則允許使用者客製化Microsoft Copilot於特定主題上的行為，像是健身、旅遊或烹飪等，微軟除了會自己推出不同主題的Copilot GPTs之外，也準備讓ChatGPT Plus用戶可透過Copilot GPT Builder建立自己的Copilot GPTs。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-copilot%20pro-my%20copilot%20gpts-600(1).png" style="width: 400px;" /></p> <p>此外，微軟計畫於下個月讓Microsoft 365行動程式直接存取Copilot，亦允許使用者將所建立的內容匯出至Word或PDF文件，支援Android與iOS平臺，只要有微軟帳號便能使用。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2024/1/16 12:18作者陳曉莉https://www.ithome.com.tw/news/160850
Google TPU被控侵害AI專利，求償近17億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google再被告上法院。一家新創公司Singular Computing控告Google竊取其AI專利技術用於其TPU中，求償16.7億美元。</p> <p><a href="https://www.reuters.com/technology/google-faces-multibillion-dollar-us-patent-trial-over-ai-technology-2024-01-09/" target="_blank">《路透社》</a>報導，Singular Computing與Google官司上周在波士頓法院進行審理。Singular Computing創辦人John Bates控訴，Google為了解決服務的AI運算問題，在2010年到2014年之間多次與之會晤，也說Bates的技術相當適合Google服務。Singular Computing宣稱，Google在數年後推出的自有AI晶片TPU中，使用了該公司的AI技術，為此求償16.7億美元。</p> <p>Google自2016年將第一代TPU（Tensor Processing Unit）用於其雲端服務的底層運算，支援Google Search、Gmail、Google Maps等服務。Singular Computing文件指出，該公司的專利技術用於第二及第三代TPU。</p> <p>不過Google方面否認侵權。雖然在法庭上，這家新創公司出示了和Google科學家Jeff Dean的電子郵件，但Google表示研發團隊成員都沒見過Bates，該公司的TPU使用的都是自行研發的技術。這家軟體巨人宣稱Singular Computing多次嘗試接觸Google和同是AI大廠的業者如Amazon、Meta、微軟和OpenAI，欲推銷其技術，然而在Google方面吃了閉門羮。<a href="https://www.androidpolice.com/google-singular-computing-trial-patent-ai-1-6-billion/" target="_blank">Android Police</a>報導，Google評估這家公司技術因原理之故，計算出為不正確的值，且其和Google晶片採用的技術「從根本上不同」。</p> <p>報導指出，這回合審理可能會持續數星期。</p> <p>Google去年9月才以7億美元，和美國36州政府和解了Google Play限制開發商只能以其散布App，並且強迫OEM業者搭載Google Play App等托拉斯行為的官司。此外，Google同時還有一樁被控在Google Chrome匿名模式下追蹤用戶行蹤的官司，也即將達成和解，<a href="https://www.reuters.com/legal/google-settles-5-billion-consumer-privacy-lawsuit-2023-12-28/" target="_blank">金額可能上看50億美元</a>。</p> </div></div></div>
2024/1/15 11:27作者林妍溱https://www.ithome.com.tw/news/160836
臺北市政府擁抱開源，去年開源城市儀表板，今年下半年將讓台北通初步開源鼓勵共創
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北市政府在2022年成立大數據中心，加強數據蒐集、整合及分析，以作為市府決策參考，其中呈現各項數據的臺北城市儀表板，近期臺北市政府已開源，讓其他政府機關免費使用，打造自己的城市儀表板。臺北市政府資訊局長趙式隆期望透過開源，借助外部社群發揮共益、共創精神，提升市府數位服務。</p> <p>臺北市政府過去曾開源數位服務程式碼，例如過去在北市資訊局長李維斌時代，曾釋出臺北市政府Line服務程式碼，線上投票系統i-Voting，並曾透過GitHub釋出公開資料供外界使用。趙式隆擔任資訊局長後加大開放政策，開源大數據中心使用的城市儀表板。</p> <p>市府將臺北城市儀表板大部分的程式碼上到GitHub，並提供相關的指引及設計規範，「任何人只要下載開源碼，再串接資料，就能根據臺北市政府開源的城市儀表板，來建立自己的儀表板」，趙式隆說。</p> <p>他以Google的Chrome瀏覽器及開源的Chromium舉例，官方的Chrome瀏覽器內使用Google的獨門祕方，但是Google將Chrome大部分程式碼開源，透過Chromium專案和外界分享，包括微軟Edge瀏覽器、強調隱私設計的Brave，以及Opera瀏覽器均基於Chromium打造。</p> <p>「臺北市政府推動Open Source有2個核心精神，共益與共創」，他表示，臺北城市儀表板與城市儀表板如同Chrome與Chromium的關係，共益是讓市府開發的儀表板核心，讓外部也能使用，讓其他人受益，如同Google推出Chromium專案，開源瀏覽器核心的目的，讓更多人使用並提出貢獻，協助找出漏洞，Chrome或Chromium就能進步愈快；城市儀表板將圖像視覺化平臺開放，讓其他城市或民間企業的任何人覺得城市儀表板有價值，免費開放大家一起使用、提出貢獻，也能讓城市儀表板進步速度變快，並且，促使官方的臺北城市儀表板跟著進步，也就是另一個精神共創。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B6%99%E5%BC%8F%E9%9A%86.jpg" style="width: 300px; height: 450px;" /></p> <p><strong>臺北市政府資訊局長趙式隆上任後，推動市府數位服務開源為其任內目標之一，透過開源讓民間開發社群參與，發揮共益、共創。</strong></p> <p>目前臺北城市儀表板的組件都是由臺北政府官方自己開發，趙式隆直言，官方自行開發仍和現今主流Internet精神仍有一段落差，除了速度比較慢，多樣性也不足，官方思考的面向也比較單一。</p> <p>他指出，民間提出貢獻給開源專案的最大價值是，政府在執行業務上，很多時候礙於公務機關身分不能做，但可以鼓勵民間去做，其次是，以往政府從公關機關角度思考民眾的需求是什麼，不見得是民眾真正想要的，透過開源讓民間也能參與，從民眾視角看他們真正的需求，例如過去疫情期間，政府開放口罩資料，由民間團隊開發口罩地圖，滿足民眾的需求。</p> <p>因此，儘管市府預算經費都已底定，資訊局仍籌出經費在去年底舉辦臺北程式設計節，鼓勵來自產業或學校團隊參加，臺北大數據中心也有專人協助下，協助這些團隊在城市儀表板設計規範之下，開發新的組件或創意，經過審核後，整合進開源的城市通儀表板，甚至大數據中心和這些團隊合作，將他們的創意或視覺化組件整合到臺北城市儀表板，通過新的圖形組件和視覺化的地圖整合，獲得新的洞察，其中一支參賽團隊提出強化城市韌性等高線圖形組件，另一團隊對儀表板設計規範提出對色盲或色弱使用者友善的無障礙框架建議，「這是過去市府沒有想過的」，他興奮地說。</p> <p>資訊局希望透過開源，讓城市儀表板能夠被其他單位使用，未來希望讓城市儀表板發展成為標準，開源免費使用，趙式隆認為，開發的組件如能上架臺北、桃園、臺中、臺南其他縣市，讓開發者有更強的動機去開發他們驕傲的產品，是共益、共創精神相當重要之處。</p> <p>如同Google在付費的官方Android之外，也釋出純開源的Android，讓手機業者基於開源版打造自己的手機OS，趙式隆也希望城市通儀表板未來能發展成為一個基礎，讓其他人能根據這個基礎開發自己的服務，「我覺得這是非常棒的事」，這也是他進入北市資訊局致力推動的目標之一，鼓勵外界參與共益、共創，在去年他上任後首次舉辦黑客松之後，他也希望任內每年舉行兩次大型黑客松。</p> <p><span style="color:#B22222;"><strong>下一步要讓台北通開源</strong></span></p> <p>台北通是另一個準備開源的目標，但不同於臺北城市儀表板採用《大教堂與市集》（The Cathedral and the Bazaar）的大教堂模式，由市府負責維護，台北通未來將採市集式的開源作法，傾向由社群負責維護。</p> <p>不過，由於台北通的背後較為複雜，關係到4或5家業者協助開發，市府雖握有原始碼，但在開源之前，必需作好相關的前置準備，需先經過盤整，使其易於維護，讓外界容易理解進行開發。</p> <p>另外，台北通因採實名驗證機制，考量到資訊安全，趙式隆表示，資訊局對台北通的開源會更為謹慎，完成相關的前置準備後，目標是希望在今年下半年初步開源，雖然主程式不會立即開源，發揮共益的精神，讓其他縣市運用開源碼打造各自的城市通，但是共創方面可以先行，與臺北城市儀表板推動共創精神類似，鼓勵民間參與協力開發臺北城市儀表板的組件，台北通作為一款Super App，經常需要新增功能及服務，也能鼓勵民間共創。</p> <p>他解釋，目前台北通如依照Apple Store、Google Play等App更新限制，需要經過蘋果及Google的官方審核，耗費時間，難以滿足需要在幾個小時內新增功能的需求，因此類似於微信小程序的作法，台北通利用WebView來增加新的功能或微服務，讓使用者自行釘選常用的服務或功能，台北通即使主程式尚未開源，類似小程序的微服務可以先行，鼓勵共創，讓開發者可以WebView方式開發新功能或服務，未來上架到台北通，讓使用者自行選擇要使用的功能及服務，因此可以借助民間開發社群力量，讓他們協助開發台北通內WebView的微服務。這對於開發者也有好處，過去開發者開發新的App，需透過各種行銷吸引使用者，台北通現有約400萬註冊用戶，開發者如果上架微服務至台北通，就能節省龐大的行銷費用。</p> <p>長期目標而言，北市資訊局的目標是讓台北通開源，但是如前面提及的，台北通由4、5家廠商協助開發，在疊床架屋之下，各家廠商的開發風格各異，如果沒有經過盤整就貿然開源，可能難以吸引開發社群的興趣，因此資訊局要經過軟體重構，讓程式碼從頭到尾的開發理念、註解方式維持一致，易於社群維護。</p> <p>趙式隆指出，這麼做的另一項好處是，避免被單一廠商綁架的問題。過去，委託外部廠商開發，後續對外招標維護或是開發新功能，開發的廠商具有優勢，容易被單一廠商綁架，經過軟體重構後開源上架到GitHub，後續的維護或新功能開發招標，根據哪家廠商能維護的更好、性價比更高來選擇，避免被特定廠商綁架的問題。</p> <p>「我們的目標是讓台北通成為一個最佳實踐，即使不清楚在我任內可以走到多遠，都希望市府手上的原始碼，就算不以和他人分享為目的也要開源，唯有如此，才能讓政府的數位服務更易於維護，並且在公平競爭下，取得性價比高的服務」，趙式隆說。</p> </div></div></div>
2024/1/12 15:30作者蘇文彬https://www.ithome.com.tw/news/160821
Google大砍Google Assistant功能，傳出裁撤上千名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/assistant/google-assistant-update-january-2024/" target="_blank">Google周四（1/12）宣布</a>，將大幅縮減數位語音助理Google Assistant的功能，總計將關閉17項功能，同一天也傳出Google展開裁員行動，波及Google Assistant、Pixel、Nest及Fitbit等部門，估計有上千名員工受到影響，也是Google自<a href="https://www.ithome.com.tw/news/155250" target="_blank">去年初</a>之後，最大的一次裁員行動。</p> <p>Google在2016年推出的Google Assistant被整合在Google Home、Google Nest、Google Pixel、Wear OS及Android TV等平臺中，也發表了支援iOS的版本。</p> <p>Google表示，未來針對Google Assistant的開發將專注於品質及可靠性，最終目標是讓使用者得以跨裝置使用，將優先考慮使用者喜歡的體驗，並投資相關的底層技術，另一方面，Google亦決定不再支援那些未被充分利用的功能。</p> <p>即將關閉的Google Assistant功能<a href="https://support.google.com/assistant/answer/13971691?visit_id=638406230269303550-2502131069&p=assistant_is_changing&rd=1" target="_blank">總計有17項</a>，包括以聲音控制Google Play Books的播放及控制有聲書，設定媒體/音樂/廣播鬧鐘，以及利用語音來發送電子郵件、影片或聲音訊息等。</p> <p>在宣布刪減Google Assistant功能的同一天，有不少Google員工收到裁撤通知，涵蓋Google Assistant、Pixel、Nest及Fitbit等部門。Google已向媒體證實正在進行新一波的裁員，但並未說明規模，Alphabet Workers Union發言人向《The Information》記者Jon Victor<a href="https://twitter.com/jon_victor_/status/1745540470011527413" target="_blank">透露</a>，此次Google裁撤的員工人數超過1,000名。</p> <p>另一方面，Google向<a href="https://www.semafor.com/article/01/10/2024/google-lays-off-hundreds-working-on-its-voice-activated-assistant" target="_blank">《Semafor》</a>表示，隨著Google正著手於產品中整合更新的AI技術，此一組織重整將有助於改善Google Assistant。</p> <p>Google Assistant部門在去年8月便曾<a href="https://www.ithome.com.tw/news/158052" target="_blank">傳出裁員消息</a>，當時媒體即報導Google打算以生成式AI來協助Google Assistant轉型或是整合AI聊天機器人Bard。</p> <p>Google並未詳細說明AI即將於Google Assistant功能上所扮演的角色，僅說自今年的1月26日開始，倘若Google Assistant用戶啟用了任何一項即將關閉的功能，就會收到來自Google的通知。</p> </div></div></div>
2024/1/12 13:09作者陳曉莉https://www.ithome.com.tw/news/160822
Google Cast更新支援多裝置切換媒體播放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2024/01/whats-new-with-google-cast.html" target="_blank">更新</a>其媒體投放技術Google Cast，強化Android上的投放功能，新支援輸入切換器在多個裝置間切換媒體播放，同時開始支援最近受歡迎的短影音播放，而在Pixel Pro與Pixel平板電腦之間，裝置只要互相靠近就能方便地轉移媒體播放。</p> <p>Android使用輸出切換器，可以在各種裝置，包括手機到電視、平板電腦、喇叭和智慧顯示器間切換媒體播放。在Android系統的UI上就能操作輸出切換器，允許用戶在一個地方針對不同技術協定，進行跨裝置的傳輸和控制，Android U上的輸出切換器2.0，還可以看到更新的音量控制、裝置類別和自定協定裝置支援。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjlykTzAkbIgbFIzmyGda33mYBUFHP7kbLitqjTJk2zMaTfQ_-wGw84Ez9gw1VBdYDCCbmE6m-JpQHIV4axhd8AueGMltcR9NNz3n21rCIHDiCg59OI86sQD4GnqzmFlB6EQ3MO5C7F9rIx6rcRZFm3I33_glWVeGMy-16mwFttn3jPxYlTIsNS9f0VZig/s1600/image4.gif" style="width: 231px;" /></p> <p>Pixel Pro手機與連接到充電喇叭底座的Pixel平板電腦還能以新方法，方便地轉移媒體播放，用戶只需要將手機接近平板電腦，便可以將正在播放的音樂，從Pixel Pro手機轉移到連接的Pixel平板電腦上播放，同樣地，將手機靠近平板電腦，也可以將播放的音樂從Pixel平板轉移到手機上。此外，對於日漸受歡迎的短影音，Google Cast還可讓使用者在電視，和其他支援Cast的裝置上觀看短影音。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiFkz0dXUIS9SXy04iLnpj_GEeHCNIptIDacpbhW9slU34L04I1S4zjWWYaifRlXwnR5ya1NK2KjZkoqyaBHNrwY0j_o4o4EkxciNZNJ1aL2WqKEQVxHXAxTW54J8RI904aYMG5nuijUfnz1k6D9M-F3ui_o7y5oz86b_ZKSEuw-xR8OjRY79CntpSjrC8/s1600/CasttoNearbyDevices.gif" style="width: 446px;" /></p> <p>Google還建議使用HLS（HTTP Live Streaming）的Web Receiver應用程式，搬遷使用開源網頁和行動應用程式媒體播放器Shaka Player，官方提到，Web Receiver SDK增加了在裝置上使用Shaka Player執行HLS播放的支援，而且當前的播放器MPL將不會再添加任何功能更新。</p> <p>Google也與各個OEM廠商持續合作，直接將Chromecast內建到裝置中，包括喇叭、連接到充電喇叭底座的Pixel平板電腦。此外，所有Google TV相關電視產品也都內建Chromecast，官方提到，目前每月活躍的Google TV和Android TV OS裝置達到2.2億臺。</p> <p><a href="https://www.ithome.com.tw/news/160796" target="_blank">Amazon在CES 2024也宣布</a>自家智慧螢幕與電視所支援的投放技術Matter Casting，這是在Google Cast與Apple AirPlay之外的媒體無線投放技術。Matter Casting為開源連接標準Matter 1.0的一部分，使得iOS和Android用戶可以將Amazon自家串流影音平臺Prime Video上的影片，投放到Fire TV和Echo Show 15裝置上。</p> </div></div></div>
2024/1/12 07:59作者李建興https://www.ithome.com.tw/news/160815
Amazon在智慧螢幕與電視棒支援開源影音投放技術Matter Casting
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在CES 2024<a href="https://www.aboutamazon.com/news/devices/amazon-ces-2024-announcements">宣布</a>Fire TV和Echo Show 15，開始支援影音投放技術Matter Casting，用戶可以從iOS和Android上使用支援Matter Casting的串流應用程式，將內容無線投放到Fire TV和Echo Show 15裝置上。</p> <p>過去使用者要將串流影音從手機無線投放到上述顯示器或是電視上，可以運用Google Chromecast或是Apple AirPlay這兩個選項，然而之前並沒有一個有效的方式，將內容無線投放到Fire TV，而現在Amazon開始在Fire TV和Echo Show 15裝置支援Matter Casting，終於提供了無線投放解決方案。</p> <p>Matter Casting技術是Matter 1.0標準的一部分。Matter 1.0則是連結標準聯盟（Connectivity Standards Alliance，CSA）所發布，一個為智慧家庭和物聯網裝置所開發設計的開源連接標準，建立在網路協定（IP）之上，目的是要強化不同製造商裝置的互通性和相容性，可以在乙太網路、Wi-Fi及Thread網路協定上運作，同時也可使用低功耗藍牙。</p> <p>連結標準聯盟目前擁有300會員企業，其中包括Amazon、Apple、Google和SmartThings等。Amazon提到，藉由支援開放技術標準，提供家用設備和服務更多的選擇，Amazon不只是Matter標準的創始成員，同時也是主要貢獻者。</p> <p>Amazon在Fire TV和Echo Show 15加入Matter Casting技術，使得支援Matter協定的聯網裝置，都能夠方便地投放影音內容，成為Chromecast和AirPlay的競爭技術。iOS和Android用戶現在就可以操作Amazon自家的影音串流平臺Prime Video，將上面的影片或是電影透過Fire TV和Echo Show 15投放到顯示器上，而Amazon也提到，目前這是第一個實作Matter Casting的範例。</p> <p>Amazon表示，接下來幾個月Matter Casting會陸續登陸到相容的Fire TV裝置，包括內建Fire TV的Panasonic電視，正在合作的Plex、Pluto TV、Sling TV、STARZ和ZDF等軟體也會添加支援。</p> </div></div></div>
2024/1/11 10:19作者李建興https://www.ithome.com.tw/news/160796
Google及三星合併彼此在Android上的共享功能，統一成Quick Share
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了擴大Google與Android的生態體系，<a href="https://blog.google/products/android/ces-2024-android-updates/" target="_blank">Google本周趁著CES 2024消費性電子展發表了多項服務</a>，其中之一是決定整合由Google所開發的Nearby Share，及由三星打造的Quick Share功能，在Android平臺上創造統一的近距離檔案分享經驗，新功能將沿用Quick Share名稱。</p> <p>Quick Share是三星於2020年2月推出的無線資料傳輸服務，允許自家品牌的Galaxy及SmartThings等裝置透過藍牙及Wi-Fi Direct技術，與鄰近的裝置分享檔案，而Google也在同年8月發表了類似功能的<a href="https://www.ithome.com.tw/news/139210" target="_blank">Nearby Share</a>，以與蘋果生態體系的AirDrop一較高下。</p> <p>不過，Google與三星決定要整合彼此的Quick Share及Nearby Share技術，讓它成為跨Android平臺的單一解決方案，新服務將沿用Quick Share名稱，並支援Android及Chromebook生態體系的所有裝置。</p> <p>未來使用者只要點選Quick Share圖示，就能看到附近的所有裝置列表，同時藉由設定來過濾可發現自己裝置或傳送檔案的名單，範圍從所有人、通訊錄上的聯絡人，一直到僅允許自己的裝置傳送。Quick Share自下個月起就會自動部署至已啟用Nearby Share的裝置。</p> <p>此外，雙方的野心不只限於Android及Chromebook生態體系，亦正與諸如LG等PC製造商合作，讓Quick Share成為Windows裝置的內建程式。</p> <p>除了Quick Share之外，Google所開發的藍牙裝置配對功能 Fast Pair所支援的裝置，也將從原本的Android手機及Chromebook擴大到安裝Google TV的各種裝置；即日起允許使用者直接把TikTok內容投射到支援Chromecast的裝置上；<a href="https://www.ithome.com.tw/news/159471" target="_blank">擴大對Matter標準的支援</a>；升級了汽車平臺Android Auto，可與Google Maps分享電池資訊，以估計到達目的地時的電池存量，或提供充電建議。</p> </div></div></div>
2024/1/10 11:25作者陳曉莉https://www.ithome.com.tw/news/160783
程式碼顯示ChatGPT App新功能，可望取代Google Assistant成為Android手機預設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玩家從ChatGPT App程式碼發現，未來Android手機用戶可以將ChatGPT設定成為預設AI助理，而不必再用Google Assistant。新功能可能成為付費版ChatGPT的服務之一。</p> <p><a href="https://www.androidauthority.com/chatgpt-replace-google-assistant-3399920/" target="_blank">Android Authority</a>記者Mishaal Rahman在上個月釋出的ChatGPT Android版App 1.2023.352發現新增的程式碼，讓用戶可以更簡單呼叫出ChatGPT，而無需連到OpenAI網站或啟動App。</p> <p>現行狀態下，在Android手機上若想使用AI助理語音輸入、搜尋網頁，或在Google Maps輸入地點，只要一個手勢或說出「Hey Google」就能叫喚出Google Assistant執行動作。但若想用ChatGPT，用戶就必須連到ChatGPT.com或是開啟ChatGPT App，總是多一步驟。</p> <p>但Mishaal Rahman在ChatGPT Android版App版本更新中，發現多了個新活動程式碼com.openai.voice.assistant.AssistantActivity。<a href="https://www.androidauthority.com/chatgpt-replace-google-assistant-3399920/" target="_blank">Android Authority</a>報導，這指令預設為關閉，但可手動開啟。開啟時，手機螢幕會出現如同ChatGPT語音聊天模式相同的動畫，但不像後者會占滿整個螢幕。因此理論上，用戶可以在用任何App時叫出ChatGPT，一如現在的Google Assistant，而無需開啟ChatGPT官網或App。程式碼還顯示，這功能需要ChatGPT Plus訂閱，可能是一項進階服務。</p> <p>不過這名玩家測試後發現，即使現在以強制啟動上述程式碼，但新加入的程式碼只執行一半就結束，顯示上述功能還未開發完成。</p> <p>OpenAI顯然希望藉此服務吸引用戶訂閱其ChatGPT Plus或Enterprise方案。<a href="https://www.ithome.com.tw/news/160705" target="_blank">OpenAI上周也預告</a>可供開發人員分享客製化AI聊天機器人的平臺GPT Store，將在本周開張。<a href="https://www.ithome.com.tw/news/160633" target="_blank">上周有報導宣稱</a>OpenAI去年營收達16億美元，已大幅超過官方預定目標。</p> </div></div></div>
2024/1/9 13:47作者林妍溱https://www.ithome.com.tw/news/160738
【資安日報】1月5日，駭客組織利用新型態攻擊手法對烏克蘭組織散布木馬程式Remcos RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對烏克蘭發動攻擊的駭客組織UAC-0050，最近再度發起新的攻擊行動而引起研究人員關注，原因是這些駭客運用了過往較為罕見的攻擊手法，而能成功迴避防毒軟體及EDR系統的偵測。</p> <p>研究人員認為，本次駭客濫用處理程序之間隱藏的資料傳輸通道，這樣的手法並非首度出現，但由於駭客開始採用這樣的技術，也意謂著他們的戰術變得更加複雜。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.uptycs.com/blog/remcos-rat-uac-0500-pipe-method"><strong style="font-size: 22px;">駭客組織UAC-0050透過網路釣魚散布木馬程式Remcos RAT，利用罕見手法繞過防毒軟體偵測</strong></a></p> <p><strong style="font-size: 22px;"></strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/RemcosRAT-Fig_2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RemcosRAT-Fig_2.jpg" style="width: 300px; float: right;" /></a>資安業者Uptycs揭露駭客組織UAC-0050新一波的攻擊行動，他們在12月21日偵測到可疑的Windows捷徑檔案（LNK），經過調查，他們仍未確定駭客初始發動攻擊的媒介，但看到可能透過網路釣魚或垃圾郵件進行的跡象，同時，駭客也在這些資訊當中，表明自己是在以色列國防軍（IDF）擔任顧問的烏克蘭軍人，向烏克蘭政府機關散布上述LNK檔案。</p> <p>一旦收到這些網路內容的人依照指示執行，就會遠端下載帶有VBS指令碼的HTML應用程式（HTA）檔案並啟動，從而利用PowerShell指令碼下載惡意酬載word_update.exe，最終透過檔案總管（explorer.exe）於電腦的記憶體內執行木馬程式Remcos RAT。</p> <p>研究人員指出，有別於其他駭客使用處理程序注入或是處理程序挖空（Process Hollowing）手法執行惡意程式碼，這些駭客較為罕見地濫用處理程序之間的通訊（IPC）機制，來繞過防毒軟體及EDR的偵測。他們透過名為CreateProcess的API產生合法的子處理程序cmd.exe，然後將輸出資料藉由另一個名為WriteFile的API，從word_update.exe 傳送到cmd.exe，而能在記憶體內處理上述的資料，解密並啟動木馬程式，最終透過資源管理工具將惡意資源移至記憶體內。</p> <p><a href="https://doublepulsar.com/cyber-toufan-goes-oprah-mode-with-free-linux-system-wipes-of-over-100-organisations-eaf249b042dc"><strong style="font-size: 22px;">巴勒斯坦駭客Cyber Toufan攻陷超過100個以色列企業組織，三分之一資料遭破壞而無法復原</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_fTDn1H1udpQZHSy3SAL1fw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_fTDn1H1udpQZHSy3SAL1fw.png" style="width: 300px; float: right;" /></a>研究人員Kevin Beaumont追蹤自稱來自巴勒斯坦的駭客組織Cyber Toufan的資料破壞攻擊行動，在最近6個星期裡，這些駭客在Telegram頻道上洩露59個企業組織的資料，另有40個組織則是因代管服務業者（MSP）遭受攻擊而受害，根據他的統計，約有三分之一組織的資料無法復原，其中部分甚至在1個月後仍處於離線狀態。</p> <p>而這些受害組織的身分，包含以色列地方政府，以及私人企業，其中有3家是資安業者，但研究人員認為，這些駭客還有辦法對另一家規模更大的資安業者發動攻擊。究竟駭客公布了那些資料？包含了伺服器磁碟的完整映像檔案、帶有且正在使用的有效網域私鑰的SSL憑證，以及SQL Server資料庫系統、CRM系統的整包輸出資料（dump），有些甚至含有WordPress網站備份。研究人員指出，駭客在對目標組織出手的時候極為謹慎，而且所有受害組織都與以色列有明確的關聯，其中有不少是加密解決方案業者Signature-IT的客戶，研判駭客下手的過程可能含有供應鏈攻擊。</p> <p>至於這些駭客的手法，研究人員提及，對方主要針對Linux主機下手，使用自行打造的Shell指令碼來執行公用程式shred，企圖以無法復原的手段抹除資料，駭客於受害電腦植入2個指令碼initvm.sh、deploy.sh，將資料上傳到Telegram頻道然後進行破壞。</p> <p><a href="https://www.infostealers.com/article/mysterious-hacker-strikes-iran-with-major-cyberattacks-against-industry-leading-companies/"><strong style="font-size: 22px;">伊朗23家保險業者、外送平臺Snappfood傳出遭到網路攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/irleaks-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/irleaks-5.png" style="width: 300px; float: right;" /></a>名為irleaks的駭客組織肆虐，外洩巨量個資，根據資安業者Hudson Rock旗下竊資軟體威脅情報網站Infostealers.com的揭露，這些駭客在12月20日兜售超過1.6億筆記錄，資料來自23家伊朗主要的保險業者。遭外洩的資料，包含姓名、電話號碼、身分證字號、地址、護照號碼，以及其他敏感個資，研究人員檢驗應為真實資料，並認為駭客要一口氣對這麼多保險公司出手相當困難，懷疑有其他因素介入。</p> <p>事隔不到兩週，這些駭客在12月30日聲稱從伊朗大型外送平臺SnappFood竊得3 TB資料，包含2千萬名使用者的電子郵件、密碼、電話號碼，以及5千1百萬個地址、60萬張信用卡資料、1.8億筆設備資訊。SnappFood發布聲明表示他們已察覺此事，正著手調查。</p> <p>但究竟駭客如何入侵該公司？研究人員發現1名SnappFood員工的電腦感染StealC竊資軟體，而使得駭客得以存取該公司的敏感帳密資料，研判很有可能就是入侵的初始管道。</p> <p><a href="https://www.abc4.com/news/northern-utah/missing-riverdale-foreign-exchange-student-found-near-brigham-city-in-case-of-cyber-kidnapping/"><strong style="font-size: 22px;">美國猶他州出現鎖定外國交換生的網路綁架事故</strong></a></p> <p></p> <p>根據ABC News的報導，在美國猶他州就學的17歲中國交換學生Kai Zhuang，傳出在12月28日被綁架，居住中國的父母收到歹徒的勒索訊息，他們向校方進行聯繫，但警方指出，寄宿家庭也不知道這名學生失蹤。經過猶他州多個縣的警方及聯邦調查局（FBI）聯手尋人，直到31日，在布里格姆市附近的山坡找到這名學生，當時他住在帳篷裡，警方表示這名學生疑似是遭遇網路綁架（Cyber Kidnapping）。</p> <p>寄宿家庭向警方供稱，這名學生在失蹤的前一天晚上都在家，到了28日凌晨離家，但他們當時並未察覺任何異狀。警方表示，當時這名學生是自行離家，而非遭到綁架。美國警方與中國大使館聯手調查，這名學生的家人在綁匪要脅後，收到看起來被囚禁的照片，將約8萬美元匯入特定的中國銀行帳戶。聯邦調查局指出，這類網路綁架主要目標是外國的交換學生，綁匪同時對學生及家人進行恐嚇，要求學生自行隔離，並透過手機以Facetime、Skype等即時通訊軟體進行監控，綁匪也會要求學生製造他們被俘虜的假象，而這些學生為了避免家人受到傷害，就會依照綁匪的要求照做。根據警方進一步調查，這名學生在12月20日就已經遭到綁匪控制。</p> <p>值得留意的是，這種網路綁架手法為何能夠得逞？很有可能是因為留學生人生地不熟、年紀較小、社會經驗不足等因素，而中了對方的圈套；而家長收到小孩遭到囚禁的照片也亂了手腳，而有可能在未經查證的情況下，選擇付錢以換取人身安全。</p> <p><a href="https://www.bleepingcomputer.com/news/security/mandiants-account-on-x-hacked-to-push-cryptocurrency-scam/"><strong style="font-size: 22px;">資安業者Mandiant的X帳號被盜，駭客將其用於加密貨幣詐騙</strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer的報導，1月3日資安業者Mandiant的X（推特）帳號遭到挾持，駭客試圖將其重新命名為@phantomsolw，並假借加密貨幣錢包供應商Phantom的名義散布惡意程式，並聲稱將提供免費的$PHNTM加密貨幣做為獎勵，然而，若依照指示安裝對方提供的加密貨幣錢包程式，他們的加密貨幣資產就會被洗劫一空。</p> <p>同日Phantom提出警告，表明他們並沒有發行加密貨幣的計畫，上述消息可能是詐騙，要用戶提高警覺。隨後挾持Mandiant帳號的駭客刪除前述推文，並轉推Phantom的推文。</p> <p>後來Mandiant重新奪回帳號，並嘗試復原，並指出他們雖然啟用雙因素驗證（2FA）但帳號仍舊遭到挾持，所幸目前看來並未衍生其他的惡意行為，他們著手調查此事發生的原因。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/malwrhunterteam/status/1742650248529616901">https://twitter.com/malwrhunterteam/status/1742650248529616901</a><br /> 2. <a href="https://twitter.com/malwrhunterteam/status/1742655256733859909">https://twitter.com/malwrhunterteam/status/1742655256733859909</a><br /> 3. <a href="https://twitter.com/phantom/status/1742306764324839790">https://twitter.com/phantom/status/1742306764324839790</a><br /> 4. <a href="https://twitter.com/Mandiant/status/1742986799419740260">https://twitter.com/Mandiant/status/1742986799419740260</a></p> <p><strong style="font-size: 22px;">勞動部移工聘僱居留整合服務正式上線，逾400筆個資外洩</strong></p> <p></p> <p>為避免因雇主或仲介疏忽，未申請或展延移工的居留許可導致遭到遣返，勞動部與移民署進行系統介接，推動在台移工一站式申請聘僱及居留整合服務，並在1月4日正式上線，但隨即傳出個資外洩的情況。</p> <p>根據中央社、聯合新聞網、TVBS新聞網等媒體報導，該服務於早上8時開放申請，「外籍勞工申請案件網路線上申辦系統」的網站不久就被發現有個資外洩情形，勞動部勞動力發展署跨國勞動力事務中心主任陳昌邦坦言，他們約在11時接獲民眾反映，可在上述系統看到490筆申請雇主、仲介的資料，勞動部立即將系統下線予以檢修，研判是廠商的程式設計存在瑕疵所致，該系統於同日下午1時重新上線服務。TVBS新聞網引述人力顧問公司的說法指出，當時該系統不光是曝露申請資料，任何人還能竄改內容，有可能讓仲介公司更動競爭對手的申請資料。</p> <p>資料來源</p> <p>1. <a href="https://www.cna.com.tw/news/ahel/202401040319.aspx">https://www.cna.com.tw/news/ahel/202401040319.aspx</a><br /> 2. <a href="https://udn.com/news/story/7269/7686822">https://udn.com/news/story/7269/7686822</a><br /> 3. <a href="https://news.tvbs.com.tw/life/2357231">https://news.tvbs.com.tw/life/2357231</a></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160642"><strong style="font-size: 22px;">垃圾訊息太多，Google Groups將終止支援元老討論區Usenet</strong></a></p> <p></p> <p>Google近日宣布，2月22日將不再支援元老級論壇Usenet，原因是垃圾貼文過多，並表示藉由這種論壇散布的內容，幾乎都是不受Google論壇支援的程式檔案，或是垃圾郵件。</p> <p>該公司表示，屆時用戶無法再透過網路論壇Google Groups於Usenet群組張貼、讀取新內容，或是訂閱這種型態的群組，但到2月底前仍能讀取、搜尋既有的Usenet內容。再者，則是Google的News Network Transfer Protocol（NNTP）伺服器與其他伺服器之間的串連將停止運作，也就是他們不再處理新的Usenet內容，或是與其他NNTP伺服器交換訊息。對此，Usenet用戶應尋找新的用戶端應用程式，以及其他的公共Usenet伺服器。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.theregister.com/2024/01/04/orange_spain_outage_breach/"><strong><span style="font-size: 20px;">西班牙大型網路服務供應商Orange Spain遭網路攻擊，資料庫被破壞</span></strong></a></p> <p></p> <p><a href="https://www.resecurity.com/blog/article/cybercriminals-implemented-artificial-intelligence-ai-for-invoice-fraud"><strong><span style="font-size: 20px;">駭客組織GXC Team藉由人工智慧技術從事發票詐欺</span></strong></a></p> <p><a href="https://checkmarx.com/blog/when-everything-goes-wrong-npm-dependency-hell-campaign-2024-edition/"><strong><span style="font-size: 20px;">NPM套件everything拉取逾3千個相依性套件，恐癱瘓開發者電腦</span></strong></a></p> <p></p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/stealth-backdoor-android-xamalicious-actively-infecting-devices/"><strong><span style="font-size: 20px;">後門程式Xamalicious透過25款安卓App散布，逾32萬裝置受害</span></strong></a></p> <p><a href="https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;">Google發布2024年首波Chrome更新，修補4個高風險漏洞</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160666"><strong>【1月4日】俄羅斯駭客入侵烏克蘭民用網路攝影機並用於飛彈精準轟炸</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160647"><strong>【1月3日】日本遊戲開發商因母公司Google Drive配置錯誤導致近百萬人的個資曝險</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160635"><strong>【1月2日】竊資軟體濫用Google未公開的OAuth同步機制挾持用戶帳號</strong></a></p> </div></div></div>
2024/1/5 16:01作者周峻佑https://www.ithome.com.tw/news/160689
TeamViewer打造企業級遠端存取，結合SSO、MDM安全技術
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tt-main1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去以橫跨網路防火牆提供遠端存取而聞名的TeamViewer，2018年9月發表企業級SaaS雲端服務平臺TeamViewer Tensor，鎖定安全遠端存取、支援、控制、協同作業等多種應用，強調可支援大型企業需要的全球員工辦公的網路連接需求，新增多人協作環境下需要的各種管理功能，像是廣泛的統計報表與存取活動記錄、進階的身分驗證管理，以及大規模部署的能力。</p> <p>當時他們提到，這套平臺運用TeamViewer架設的全球存取網路，背後有超過1千臺路由器支撐，提供快速的連線效能與大規模的部署，以便支援幾分鐘之內即可開始運作，而在個人端方面，它提供豐富的跨平臺相容性，能隨時隨地安全連接各種裝置，提供優秀的使用者與系統管理者體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/teamviewer-tensor-features.png" style="width: 600px;" /></p> <p>TeamViewer Tensor主打4大特色，在安全性方面，它能搭配使用SAML 2.0的身分供應環境，像是ADFS、Okta、OneLogin，而能提供更良好的管理、集中處理，以及帳號登入的防禦與控制，同時，也具備單一登入整合（SSO），改善使用者身分驗證的效率，並透過在身分供應端設定密碼原則、基於智慧卡來驗證身分，以及採用YubiKey這類硬體認證裝置等政策，集中管理整個企業的使用者，而且諸如停用帳號等各種使用者狀態的變更均可自動更新，不需額外輸入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TT-SSO-ID Providers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-SSO-ID%20Providers.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TT-SSO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-SSO.jpg" style="width: 600px;" /></a></p> <p>關於稽核，TeamViewer Tensor提供廣泛的記錄機制，用於軌跡的追蹤，也可選用內部與外部法規遵循流程的文件登載，針對遠端控制階段，企業可選擇在任何時間收集所有相關的動作（何人、何事、何時、何地），這些均可透過管理主控臺進行操作，部分獲得授權的使用者也能看到統計報告。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TT-audit-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-audit-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TT-Audit3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-Audit3.jpg" style="width: 400px;" /></a></p> <p>就延展性而言，TeamViewer Tensor經由標準化的軟體部署解決方案的幫忙，可輕鬆部署到大量Windows與Mac裝置，而且不會打擾一般使用者，對於系統管理者而言，也只需很少的設定，即可在幾分鐘之內啟用服務。</p> <p>而在管理裝置能力的展現上，TeamViewer Tensor可連接不同個人電腦、個人電腦與手機、平板，這些行動裝置也能藉此互連，支援多種作業系統，包括Windows、macOS、Linux、Chrome OS、iOS、Android，以及通用Windows平臺（UWP）、BlackBerry。</p> <p>在第三方產品與服務的整合上，TeamViewer Tensor可輕鬆搭配多種管理軟體與雲端服務，像是微軟的Active Directory、Dynamics 365，以及Intune；在統一端點管理系統或行動裝置管理系統方面，可整合MobileIron、IBM MaaS360；在客戶服務管理類型的解決方案上，可支援Salesforce、ServiceNow、Zendesk、Freshdesk、Freshworks；同時，它也支援問題與專案追蹤軟體Atlassian Jira。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/teamviewer-tensor-integration%20suite.png" style="width: 600px;" /></p> <p>相隔一年之後（2019年3月），TeamViewer 14發布的同時，TeamViewer Tensor也新增僅限特定條件才開放存取的解決方案Conditional Access，提供類似防火牆存取控管規則的引擎，預防非法的遠端存取行為，進而保護企業網路——對於任何在企業網路環境使用TeamViewer的行為，企業IT與資安人員均可在此集中管理，確保所有遠端連線都是列管且完全受到控制的；而對於從何時何地連出的遠端存取行為，也能透過Tensor Management Console定義與修改許可或禁用的規則；同時，也能藉由涵蓋整個企業網路的持續施行存取管制，更貼近企業資安最佳實務的要求，進一步降低資安風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/teamviewer-webinar-security-feature-series-conditional-access.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/teamviewer-webinar-security-feature-series-conditional-access.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-conditional-access-3.jpg" style="width: 600px;" /></p> <p>2020年11月TeamViewer Tensor宣布改版的消息，當中加入那些功能？他們表示，可結合新推出的行動應用程式開發套件（Mobile SDK），以及可用瀏覽器分享電腦桌面（co-browsing）、支援大型企業的多租戶使用模式；針對遠端被控管的裝置，也提供安全遮蔽畫面（security screen）的防護功能；對於限定狀況存取應用的政策強制實施，予以改良，而對於法規遵循的處理要求，新版也提供涵蓋更多資訊的統計報表與稽核記錄；同時，這項服務整合該公司旗下的擴增實境解決方案TeamViewer Pilot，員工若在家中辦公使用這類硬體設備發生問題時，也能透過這種方式獲得技術支援。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/teamviewer-tensor-arch2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/teamviewer-tensor-members.jpg" style="width: 600px;" /></p> <p>在co-browsing的特色上，TeamViewer Tensor可在網站使用者遇到技術與內容層面的問題，像是在線上購買商品的過程當中，如果遇到系統整合的對話機器人無法幫忙導覽，或提供建議、操作困難，公司的員工可透過基於瀏覽器而成的螢幕畫面分享，向這些造訪網站的人士提供遠端支援，過程中，網站使用者不需要安裝任何外掛或代理程式軟體，而且他們輸入的密碼等文字內容，不會傳送到站方，整個連線階段僅限於個別瀏覽器分頁，因此，支援的公司員工不會看到使用者開啟的其他網頁或電腦執行的應用程式。</p> <p>所謂的多租戶支援，是指允許TeamViewer用戶將個別子公司或公司部門整併為單一組織，以維持嚴格的內容與存取權限區隔。透過集中的授權管理機制，小型系統管理團隊不僅支援大量使用者、配置整個組織的授權，也能依據這個SaaS服務產生的特定授權報告，評估是否有進一步的使用需求，減輕整體管理負擔、使用成本。</p> <p>到了2023年10月，TeamViewer Tensor再度宣布大改版的消息，特別聚焦在資安的改進、增加行動裝置管理（MDM）的功能、重新設計的使用者介面，以及替代帳號與密碼驗證的連線階段連結（session links）。</p> <p>以企業級資安功能而言，TeamViewer Tensor增加<a href="https://community.teamviewer.com/English/kb/articles/109986-bring-your-own-certificate">自帶憑證（BYOC）</a>的使用彈性（僅開放已安裝訂製憑證的裝置進行遠端存取），而且，搭配TeamViewer新增可產生基於憑證而成的連線階段連結，這個SaaS服務可搭配這種方式，提供組織內部已認證裝置的單次遠端存取連線，能阻止意外的組態設定錯誤，以及可能的違規存取行為。</p> <p>另一個新功能是在既有的限定狀況存取應用上，提供預先批准的存取連線階段（Pre-approved Conditional Access sessions），可透過預先定義的裝置或裝置群組的連入與連出，設置固定的使用與斷線期間。對於須與第三方或客戶協同作業的組織而言，可藉由這樣的預置單次連線，減少IT人員的工作負擔之餘，也不會因此危害企業資安。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TT-predifined-access-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-predifined-access-1.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/TT-predifined-access-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-predifined-access-2.jpg" style="width: 168px;" /></a></p> <p>在裝置監控與管理上，TeamViewer Tensor納入行動裝置管理而成為預設功能，此項技術源於另一家廠商Ivanti的解決方案Ivanti Neurons for MDM（前身為MobileIron Cloud），可縱覽整個IT與OT環境，涵蓋Android與iOS在內的所有主要的作業系統，執行集中的漏洞修補、政策落實、裝置的註冊與除役，以及遠端的資料備份與抹除。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TT-MDM1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-MDM1.jpg" style="width: 600px;" /></a></p> <p>具體而言，有了此項機制的整合，IT人員能將企業設定的組態，包含指定的存取權限、預先定義的程式App，部署到端點裝置上，可簡化裝置的資產管理與設定、身分識別，協助解決IT相關的使用與操作問題；而在安全性強化的部分，MDM可在裝置使用時，強制實施PIN碼、生物辨識的身分認證，或是雙因素認證，並且可根據裝置所在地區，獨立執行遠端鎖定、資料備份與抹除等作業，維持整體控制；除此之外，也提供裝置所在區域、用途的追蹤與記錄功能，以因應完整稽核的需求。關於使用者操作介面方面，TeamViewer Tensor針對管理主控臺加入許多改善設計，像是快速行動、全域搜尋，以及輔助面板，可減輕管理大型IT環境的負擔，同時維護數千臺裝置；而在個人端程式的部分，這次改版也提供更多存取各種功能的使用彈性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TT-MDM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-MDM2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/TT-MDM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TT-MDM3.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>TeamViewer Tensor</strong><br /> ●原廠：TeamViewer<br /> ●建議售價：廠商未提供<br /> ●支援作業系統：Windows（XP SP3至11 23H2）、macOS（10.7至14.0）、Linux（Debian 10至12、Ubuntu 20.04 LTS至23.04、RHEL 7至8、SUSE Enterprise 12至15）、Android 5.1、iOS與iPadOS 15、Chrome OS<br /> ●提供解決方案：Tensor Support、Tensor Work、Tensor Embedded、Tensor Assist AR<br /> ●單一登入整合支援的身分系統：Microsoft Entra ID、ADFS、Centrify、Google Workspace、Okta、OneLogin</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/5 16:51作者李宗翰https://www.ithome.com.tw/review/160658
【2024 IT十大趨勢 8】新頻段助企業打造高速低延遲WLAN，催生AIoT應用更有彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升無線網路傳輸效率，降低延遲，Wi-Fi標準不斷推陳出新，但仍使用既有的2.4GHz及5GHz頻段，由於這些頻段已不敷使用，業界爭取新頻段，特別是6GHz頻段，該頻段需各國政府開放才能使用，美國FCC在2020年決定開放Wi-Fi 6使用6GHz，歐盟也在2021年開放，讓Wi-Fi 6在既有2.4GHz、5GHz之外，首次獲得新的頻段，進展至Wi-Fi 6E，透過6GHz頻段的多個160MHz頻寬頻道，6E具備Multi-Gigabit及低延遲等特性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>臺灣也開放6GHz，2024年將看到更多Wi-Fi 6E產品</strong></span></span></p> <p>不過，儘管國外較早開放新頻段，臺灣遲遲未趕上國外腳步，終於在2023年8月數位發展部通過開放6GHz頻段（5945MHz-6425MHz），才讓Wi-Fi 6E產品得以進入國內市場。不過，去年因為剛開放，至2023年10月底僅有約20款Wi-Fi 6E及1款Wi-Fi 7準產品通過型式認證，涵蓋通訊晶片、手機、AP等等，去年11月下旬NCC修改低功率射頻器材技術規範，納入6GHz頻段，去年12月開始實施，讓授權的多家實驗室得以測試6GHz頻段射頻器材，擴大設備測試的量能，更多業者取得NCC型式認證後，2024年將有更多的Wi-Fi 6E裝置。</p> <p>目前高通、聯發科的行動晶片已支援6E，Sony等Android手機已可支援，蘋果iPhone 15 Pro及Pro Max等手機也支援Wi-Fi 6E功能。在行動PC方面，英特爾在2023年12月發表的Core Ultra行動PC處理器，讓筆電整合支援Wi-Fi 6E，並以獨立晶片支援下一代的Wi-Fi 7；AMD則與聯發科聯手開發Wi-Fi 6E無線網路模組。</p> <p>新頻段加入，也為2024年即將問世的Wi-Fi 7（IEEE 802.11be）鋪路，Wi-Fi 7支援更大的320MHz頻段頻道及4096QAM調變，Wi-Fi 6與6E理論最高達9.6Gbps，Wi-Fi 7最高可達40Gbps以上。</p> <p>Extreme Networks表示，企業原本採購Wi-Fi設備以Wi-Fi 6為主，在政府開放6GHz後，企業已轉向採購Wi-Fi 6E，至於明年可望推出的Wi-Fi 7，初期設備及裝置尚少，約需2年後相關產品才會普及。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>企業建構高頻寬、低延遲WLAN環境</strong></span></span></p> <p>過去Wi-Fi標準推陳出新，都使用2.4GHz與5GHz既有頻段，6GHz頻段開放使用，最大優勢是該頻段上都是最新的高速設備使用，有別於以往Wi-Fi強調的高資料吞吐量及高頻寬、低延遲。由於6GHz波長比較短，涵蓋範圍比原本的5GHz略小，因此在6GHz涵蓋範圍內為蛋黃區，範圍以內的終端設備可享受新頻段的優勢，以外的範圍則屬蛋白區，為原本5GHz涵蓋範圍，企業在部署Wi-Fi 6E AP時，需考量自身需要及AP合適的位置。</p> <p>Extreme Networks認為，企業採用Wi-Fi 6E，如果為2X2天線設計的機型，不需更動後端的網路交換器，但如果採用4X4天線的高階AP機型，為發揮其優勢，需要較高的Ultra PoE，後端的交換器需要汰換。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Wi-Fi新頻段可望替代有線讓AIoT應用更有彈性</strong></span></span></p> <p>由於為全新頻段，為過去Wi-Fi發展以來最大變化，相較於現有的2.4GHz、5GHz頻段，新舊設備共同使用，由於6GHz為新開放頻段，沒有舊設備使用該頻段，目前只有高速Wi-Fi 6E設備使用，Extreme Networks認為，適合高速連通的應用，例如過去點對點的橋接主要依靠線路，有線雖具有穩定可靠的優勢，但在一些場域布線不易，可考慮運用6GHz頻段無線網路橋接，例如在大樓、工廠，如果因為環境嚴苛使得布線不易，可利用6GHz新頻段橋接，讓設備部署位置更有彈性，或是規畫變動頻繁的展場，也適合利用新頻段無線網路橋接。</p> <p>新頻段也適合高速資料傳輸應用，例如AI、AR等等。以製造業為例，製造業產線安排提供更多靈活彈性，借助6GHz的新頻段沒有相容舊設備，提供高速資料傳輸，例如在產線運作的機器人。</p> <p>以智慧製造為例，工廠內部署大量AIoT裝置，例如製造業常見的AOI自動光學檢測技術，需先定義異常情形，現在AIoT應用，利用AI檢測瑕疵，結合高解析度攝影機，即時拍攝產線上的半成品或材料影像，再由AI模型來辨識半成品或材料是否出現異常，例如組裝錯漏、組件歪斜、原物料表面的刮傷或擦傷、孔洞、不平整等等。</p> <p>過去基於即時傳輸、低延遲，以有線方式連接攝影機，傳送高解析度即時影像，由邊緣運算的AI模型判別是否有異常，但有線連接攝影機，可能使攝影機或線纜曝露在外，容易受環境高熱、水蒸氣、粉塵影響，導致攝影機或線材容易耗損、故障，Wi-Fi 6GHz高頻寬傳輸、低延遲可望取代有線網路，攝影機也能包覆保護，降低生產環境的傷害。另外，過去AR、VR為高速傳輸高畫質擬真內容，使用連接線連接頭戴裝置，使用體驗受到有線的限制，Wi-Fi 6GHz高頻寬、低延遲無線網路，可望以無線取代有線，改進AR、VR的使用體驗。</p> <p><a href="https://www.ithome.com.tw/article/160687" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1163-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=RWnVfEly" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/5 15:15作者蘇文彬https://www.ithome.com.tw/news/160684
微軟為Windows 11 PC加入Copilot鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在為PC鍵盤加入「Windows鍵」30年之後，微軟本周在消費電子大展（Consumer Electronics Show，CES）前夕，<a href="https://blogs.windows.com/windowsexperience/2024/01/04/introducing-a-new-copilot-key-to-kick-off-the-year-of-ai-powered-windows-pcs/" target="_blank">再宣布將為Windows 11 PC加入Copilot鍵</a>。</p> <p>繼1995年Windows 95加入Windows鍵（或Winkey）後，微軟又一次為PC加入新功能鍵。新增的Copilot鍵連同Windows鍵成為PC鍵盤的核心，按下會啟動Windows中的Copilot，讓使用者更容易使用這個AI助理。目前，用戶可以結合「Winkey」+C來叫出Copilot。</p> <p>消費事業群行銷長Yusuf Mehdi指出，加入Copilot鍵是近30年以來，Windows PC鍵盤最重大的變革，他們相信這是Windows史上另一個里程碑，一如Windows鍵讓用戶更容易存取Windows選單上的功能，Copilot鍵也會是PC跨入AI世代的入口。</p> <p>此舉也是微軟加速在Windows整合AI的最新動作。雖然微軟去年初就推出Bing Chat，或是後來推出Android、iOS版Microsoft Copilot。但直到<a href="https://www.ithome.com.tw/news/158994" target="_blank">去年9月微軟正式為Windows 11推出Copilot</a>，AI才真正成為PC作業系統的一部份。有了Copilot鍵，Windows 11使用者將更方便使用PC中的AI功能。</p> <p>至於新加入的Copilot鍵會落在哪個位置，<a href="https://www.theverge.com/2024/1/4/24023809/microsoft-copilot-key-keyboard-windows-laptops-pcs" target="_blank">《The Verge》報導</a>，Copilot鍵可能取代「選單」鍵，選單鍵一般位於Windows鍵旁。<a href="https://www.pcworld.com/article/2191837/a-copilot-key-is-coming-to-your-pcs-keyboard.html" target="_blank">《PC World》則報導</a>，新Copilot鍵也可能取代一個「Alt鍵」。</p> </div></div></div>
2024/1/5 09:11作者林妍溱https://www.ithome.com.tw/news/160671
微軟Edge瀏覽器更新品牌，更強調AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟全產品徹底擁抱AI。新版Android及iOS版Edge瀏覽器悄悄增加AI的品牌字樣。</p> <p><a href="https://www.neowin.net/news/microsoft-renamed-edge-on-android-and-ios-to-microsoft-edge-ai-browser/" target="_blank">《Neowin》報導</a>，上周<a href="https://apps.apple.com/tw/app/microsoft-edge-ai%E7%80%8F%E8%A6%BD%E5%99%A8/id1288723196" target="_blank">iOS版Microsoft Edge版本120.2210.116</a>及<a href="https://play.google.com/store/apps/details?id=com.microsoft.emmx&hl=zh_TW&gl=US" target="_blank">Android 120.2210.99版Microsoft Edge</a>分別在蘋果App Store及Google Play Store上架，皆改名為「Microsoft Edge：AI瀏覽器」，強調AI的元素。根據微軟的描述，新版行動Edge瀏覽器搭載AI功能，增加上網體驗，包括最新的Copilot。Copilot以最新的GPT-4及DALL-E 3為底層文字及圖片生成模型，可讓用戶以自然語言搜尋、新增信件內容或圖片、摘錄文章或會議重點、翻譯，或協助腦力激盪等，不需用戶付費即可使用OpenAI最新模型。</p> <p>這是繼11月微軟將Bing Chat改名為Copilot後，微軟推出的最新Copilot產品。微軟二周內已先後釋出<a href="https://www.ithome.com.tw/news/160559" target="_blank">Android</a>版及<a href="https://www.ithome.com.tw/news/160631" target="_blank">iOS/iPadOS版</a>獨立Copilot App。</p> <p>除了Copilot外，新版Edge還包含更快效能、智慧廣告攔截器、密碼或收藏夾多用戶端同步、三層隱私防護、不儲存上網cookies或密碼隱私模式（InPrivate）、建立同時保存圖片與文字的集錦、翻譯，以及精準定位到縣市的天氣預報等新特色。</p> </div></div></div>
2024/1/4 10:41作者林妍溱https://www.ithome.com.tw/news/160664
【資安日報】1月3日，日本遊戲開發商因母公司Google Drive配置錯誤導致近百萬人的個資曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月電玩產業發生多起資料外洩事故，例如：Sony旗下的<a href="https://www.ithome.com.tw/news/160484#insomniac">遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊</a>，<a href="https://www.ithome.com.tw/news/160546">Ubisoft面臨網路威脅滲透至內部的問題</a>，以及<a href="https://www.ithome.com.tw/news/160564#gta5">RockStar Games在2022年遭駭的部分資料被公開</a>。而上述資安事故，都是因為駭客入侵所致。</p> <p>而去年底還有一起資安事故因公布受影響的範圍而受到關注，主角是一家遊戲公司，原因是他們存放於雲端服務Google Drive的部分資料被設置為公開，而有可能讓客戶、合作夥伴、員工的個資曝光。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/android-game-devs-google-drive-misconfig-highlights-cloud-security-risks/"><strong style="font-size: 22px;">日本遊戲開發商Ateam Entertainment母公司公告近百萬人個資曝險長達6年，起因是Google Drive配置錯誤</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/20231222_news_en_01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20231222_news_en_01.jpg" style="width: 300px; float: right;" /></a>12月7日日本應用程式開發商Ateam發布公告，表示他們於11月21日發現，採用的的雲端硬碟Google Drive當中，有部分檔案的權限設置為公開，只要知道連結的任何人都能存取，導致檔案儲存的個資可能因此曝光，該公司隔日限縮這些檔案的存取權限，他們也向日本個人資訊保護委員會（PIPC）通報此事。</p> <p>而上述曝露於網際網路的檔案，該公司當時透露約有4千個，總共包含有96萬筆個資記錄。到了22日，該公司公布更完整的影響範圍，並指出他們的客戶、業務夥伴、求職者、員工都可能曝險，確定含有個資的檔案數量為1,369個，總計有935,779人受害，大部分為該公司客戶，曝露的資料可能有姓名、電子郵件信箱、電話號碼、客戶編號、設備識別碼。</p> <p>值得留意的是，該公司旗下的Ateam Entertainment、Ateam LifeDesign、Ateam Wellness、Ateam CommerceTech子公司也受到影響，比例最高的是電玩遊戲開發商Ateam Entertainment的客戶，有736,081人。這些資料最早被公開在網路上的時間是在2017年3月，目前尚未發現遭到未經授權存取的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.a-tm.co.jp/en/news/43909/">https://www.a-tm.co.jp/en/news/43909/</a><br /> 2. <a href="https://www.a-tm.co.jp/en/news/44383/">https://www.a-tm.co.jp/en/news/44383/</a></p> <p><a href="https://www.theguardian.com/business/2023/dec/31/cyber-hackers-target-uk-nuclear-waste-company-rwm"><strong style="font-size: 22px;">英國核廢料服務業者遭遇網釣攻擊，駭客透過LinkedIn對其出手</strong></a></p> <p></p> <p>根據衛報的報導，英國放射性廢棄物管理公司（Radioactive Waste Management，RWM）遭遇網路攻擊，駭客企圖透過職場社群網站LinkedIn發動攻擊，但沒有成功，至於駭客使用何種手法侵入也不得而知。</p> <p>根據RWM交給當地公司註冊機構（Companies House）的會計資料，Nuclear Waste Services執行長Corhyn Parr提及，他們察覺部分實體遭到特定管道的攻擊，導致所有權被竄改，而這些管道大多是經由LinkedIn，所幸這起去年發生的資安事故並未造成實際影響。</p> <p><strong style="font-size: 22px;">勒索軟體駭客組織NoName針對芬蘭、立陶宛發動DDoS攻擊</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/noname-cyberattacks-on-finland-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/noname-cyberattacks-on-finland-1.png" style="width: 300px; float: right;" /></a>俄羅斯駭客組織NoName（亦稱NoName057(16)）在烏克蘭戰爭開打後，從2022年8月不斷對歐美國家發動DDoS攻擊，最近傳出針對芬蘭、立陶宛下手的情況。</p> <p>根據資安新聞網站Cyber Express的報導，這些駭客針對多個芬蘭政府機關發動一系列網路攻擊，導致部分網站暫時無法存取，這些機構包含了芬蘭運輸與通訊管理局（Traficom）、國家網路安全中心（NCSC-FI）、鐵路局、芬蘭交通法規暨開發暨基礎設施局、芬蘭運輸基礎設施局。該新聞網站指出，駭客這次鎖定的目標多與交通運輸有關，目的很有可能是要干擾當地民眾生活。</p> <p>這些駭客近期也聲稱對8個立陶宛組織發動攻擊，目標涵蓋國防、交通物流、電信業者、網際網路供應商，理由是該國協助烏克蘭維修坦克。不過，這些遭到鎖定的目標網站仍正常運作，這些組織也並未證實是否遭遇相關攻擊。</p> <p>資料來源</p> <p>1. <a href="https://thecyberexpress.com/noname-cyberattacks-on-finland/">https://thecyberexpress.com/noname-cyberattacks-on-finland/</a><br /> 2. <a href="https://thecyberexpress.com/ddos-attacks-on-lithuanian-websites/">https://thecyberexpress.com/ddos-attacks-on-lithuanian-websites/</a></p> <p><a href="https://thecyberexpress.com/zeppelin2-ransomware/"><strong style="font-size: 22px;">勒索軟體Zeppelin2遭到破解，駭客在地下論壇散布原始碼、建置工具</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCvoA8UaQAAvZlm.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCvoA8UaQAAvZlm.jpg" style="width: 300px; float: right;" /></a>曾在2019年至2022年6月橫行的勒索軟體Zeppelin2，開發者原本以租用服務（Ransomware-as-a-Service）提供給賣家運用，如今有人將其破解，有可能讓駭客大肆採用。</p> <p>根據資安新聞網站Cyber Express的報導，有人聲稱破解了勒索軟體Zeppelin2，兜售其原始碼及破解版的建置工具。這名開發者提供原始碼的螢幕截圖，並透露此勒索軟體是採用Delphi開發而成。此賣家提供的建置工具擁有多種功能，包含檔案配置、勒索訊息、IP位址事件記錄、啟動勒索軟體的命令、終止處理程序工具等。</p> <p>而對於這款勒索軟體的來歷，美國聯邦調查局（FBI）及網路安全暨基礎設施安全局（CISA）於2022年8月提出警告，駭客很可能透過遠端桌面連線（RDP）、SonicWall防火牆漏洞、網路釣魚等手法，入侵受害組織網路，在掌握組織內部網路環境狀態後部署Zeppelin2。</p> <p><a href="https://www.resecurity.com/blog/article/new-version-of-medusa-stealer-released-in-dark-web"><strong style="font-size: 22px;">竊資軟體Meduza攻擊範圍廣泛，能挖掘超過一百種瀏覽器與加密貨幣錢包資料</strong></a></p> <p>資安業者Resecurity在聖誕節前夕看到駭客在地下社群、Telegram頻道來宣傳2.2版竊資軟體Meduza，號稱能對更多應用程式下手，並強化信用卡資料抓取工具與挖掘帳密資料的能力。該竊資軟體可針對的應用程式琳琅滿目，涵蓋106款瀏覽器、107種加密貨幣錢包、27種密碼管理器，以及即時通訊軟體Telegram、Discord，還有遊戲平臺Steam、VPN用戶端軟體、收信軟體Outlook，都可以從中竊取用戶資料，此外駭客也標榜能盜取特定Token來挾持Google帳號。</p> <p>此外，駭客這次也提供額外的擴充功能，像是進階的防毒軟體迴避功能，以及加密受害電腦檔案的能力，而這些額外的功能，是由另一個地下加密服務業者TrueCrypt Service提供。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.courtlistener.com/docket/17216783/1090/brown-v-google-llc/"><strong><span style="font-size: 20px;">Google在瀏覽器無痕模式追蹤使用者，提出以50億美元尋求和解</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/online-museum-collections-down-after-cyberattack-on-service-provider/"><strong><span style="font-size: 20px;">網路博物館系統供應商Gallery Systems遭勒索軟體攻擊，為防堵受害範圍擴大暫停部分服務</span></strong></a></p> <p></p> <p><a href="http://courts.vic.gov.au/news/court-services-victoria-cyber-incident"><strong><span style="font-size: 20px;">澳洲法院傳出遭駭客入侵，聽證會錄音恐外流</span></strong></a></p> <p><a href="https://thehackernews.com/2023/12/new-rugmi-malware-loader-surges-with.html"><strong><span style="font-size: 20px;">惡意程式載入工具Rugmi每天感染數百臺電腦</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-black-basta-decryptor-exploits-ransomware-flaw-to-recover-files/"><strong><span style="font-size: 20px;">研究人員找到能復原遭勒索軟體Black Basta破壞的檔案的方法</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160635"><strong>【1月2日】竊資軟體濫用Google未公開的OAuth同步機制挾持用戶帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160616"><strong>【12月29日】 Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160596"><strong>【12月28日】別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客</strong></a></p> </div></div></div>
2024/1/3 15:27作者周峻佑https://www.ithome.com.tw/news/160647
WhatsApp不再提供Android版用戶免費Google Drive備份空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta旗下的<a href="https://faq.whatsapp.com/1498366720959422" target="_blank">WhatsApp本周預告</a>，今年上半年不再提供Android用戶免費的雲端備份空間，用戶必須備份到自己的Google Drive上。</p> <p>WhatsApp公告指出，未來幾個月內，如果用戶選擇為Android裝置上的WhatsApp聊天訊息進行備份，備份作業將連到用戶Google帳號，並從其儲存限額扣除。超過儲存限額者備份會暫停，用戶必須先清出可用空間再繼續備份。</p> <p>一旦正式實施，WhatsApp會在30天前透過「聊天備份」設定頂端的通知訊息告知用戶。備份功能位於「設定」>「聊天」下的「聊天備份」。</p> <p>這項變更去年12月就已開始，<a href="https://9to5google.com/2023/11/14/whatsapp-backup-google-account-storage/" target="_blank">當時僅適用於beta版用戶</a>，現在則推向所有Android版WhatsApp用戶<a href="https://www.ithome.com.tw/news/144274" target="_blank">。Google從2021年6月實施15GB免費儲存額度</a>，用戶的Gmail、相片、文件、簡報等檔案都包含在15GB中。超過者就得要花錢購買Google One服務，100GB每月65元臺幣起跳。</p> <p>最新變更也讓Android用戶和iPhone用戶適用同樣管理方式。iPhone用戶以前就必須把WhatsApp紀錄備份到自己的iCloud中。</p> <p>若不想太快耗盡自己的Google Drive空間，<a href="https://www.gizmochina.com/2024/01/01/whatsapp-backup-storage-changes-android-2024/" target="_blank">Gizmochina</a>建議用戶二種方法。一是利用WhatsApp聊天移轉功能，將資料搬到同一Wi-Fi網路的另一臺裝置上。另一方法則是僅備份純文字訊息，捨去圖片和影片等檔案。</p> </div></div></div>
2024/1/3 11:41作者林妍溱https://www.ithome.com.tw/news/160641
微軟發表支援蘋果平臺的Microsoft Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/160559" target="_blank">繼釋出</a>Android版的Microsoft Copilot程式之後，<a href="https://apps.apple.com/us/app/microsoft-copilot/id6472538445?platform=ipad" target="_blank">微軟也推出</a>了支援macOS、iOS與iPadOS的Microsoft Copilot，不讓OpenAI的ChatGPT專美於前。</p> <p>Microsoft Copilot是個AI聊天助理，它奠基在大型語言模型GPT-4與文字轉圖像模型DALL·E 3上，前者令它可替使用者撰寫電子郵件草稿、寫故事、摘錄複雜的文章、翻譯不同的語言、建立個人化的旅遊行程，以及協助使用者寫履歷等，後者支援使用者透過文字敘述來創造圖像，可用來設計商標、插圖，或是建立客製化的背景圖像等。</p> <p>根據<a href="https://techcrunch.com/2023/11/15/bing-chat-is-now-copilot/" target="_blank">《TechCrunch》</a>及<a href="https://www.theverge.com/2023/11/15/23960517/microsoft-copilot-bing-chat-rebranding-chatgpt-ai" target="_blank">《The Verge》</a>等媒體的報導，微軟是在去年11月將Bing Chat更名為Microsoft Copilot，而現在它已支援Windows、macOS、Android與iOS等平臺。</p> <p>與OpenAI所推出的<a href="https://apps.apple.com/us/app/chatgpt/id6448311069" target="_blank">行動版ChatGPT</a>相較，ChatGPT使用的是GPT 3.5模型，而Microsoft Copilot則採用GPT 4.0；此外，Microsoft Copilot最大的特色在於它整合了搜尋引擎，可提供最新資訊；以及額外嵌入了DALL·E 3，支援文字生成圖像。</p> <p>再者，ChatGPT現在只有英文介面，而Microsoft Copilot則支援包括繁體中文在內的數十種語言介面；且目前ChatGPT尚未提供macOS版本，而Microsoft Copilot現則支援採用M1以上處理器的macOS。</p> <p>看起來微軟打算攻佔所有平臺的AI聊天助理，在Windows上也計畫讓Microsoft Copilot同時支援Windows 11與Windows 10。</p> </div></div></div>
2024/1/2 12:32作者陳曉莉https://www.ithome.com.tw/news/160631
微軟發布Android版專用Copilot App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Bing之外，微軟本周悄悄發布了Android版本的AI助理Microsoft Copilot應用程式。</p> <p>少數使用者<a href="https://twitter.com/techosarusrex/status/1739569672058450165" target="_blank">發現</a>Copilot App昨日<a href="https://play.google.com/store/apps/details?id=com.microsoft.copilot&hl=en_US" target="_blank">在Google Play Store上架</a>。為了品牌統一，微軟於上個月Ignite大會上將Bing Chat改名為Copilot。這也使得微軟Web、Windows及伺服器端及手機平臺的聊天機器人全部都叫Copilot。<a href="https://www.ithome.com.tw/news/158994" target="_blank">Windows 11</a>及<a href="https://www.ithome.com.tw/news/159894" target="_blank">Windows 10</a>版Copilot App分別於9月、11月推出。</p> <p>微軟說明，Copilot是微軟以OpenAI模型包括GPT-4及DALLE-3為基礎開發的聊天助理，可協助用戶提升生產力。它的介面和Bing或是OpenAI ChatGPT相似，而且也提供類似功能，像是回答問題、搜尋、草擬電子郵件、製作精美的圖片。但Copilot提供最新的GPT-4存取，這在ChatGPT是需要付費的。使用者也可以透過滑鈕啟用或關閉GPT-4模型。</p> <p>目前iOS版上的微軟AI聊天助理仍然叫Bing Chat，不過按照品牌統一的策略，媒體推測，iOS版Copilot應該很快就會推出。</p> </div></div></div>
2023/12/27 11:09作者林妍溱https://www.ithome.com.tw/news/160559
Android出現可繞過生物辨識保護的銀行木馬Chameleon變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Threat Fabric<a href="https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action">發現</a>變種Android銀行木馬Chameleon的身影，且活動範圍已經從澳洲和波蘭，擴散至英國和義大利用戶。變種Chameleon有兩個重要的新功能，首先是具有繞過裝置生物辨識保護的能力，另外則是可以顯示HTML頁面，因此在具有Android 13受限制設定（Restricted Settings）功能的裝置，也可以啟用輔助功能服務。經強化的變種Chameleon更複雜也更具適應性，對於使用者造成更大的安全威脅。</p> <p>在今年1月，Threat Fabric發現銀行木馬Chameleon能夠偽裝成合法的行動銀行應用程式，透過網路釣魚頁面欺騙使用者。資安研究人員第一次在網路上發現Chameleon的時候，其仍處在開發階段，具有各種日誌記錄器、有限的惡意功能，並有明確但未使用的指令，都暗示木馬的發展方向和潛在能力。</p> <p>Chameleon這類銀行木馬主要針對銀行應用程式和加密貨幣服務，操縱受害者的裝置，以代理功能假冒受害者執行操作，並濫用Android的輔助功能達到帳號接管（Account Takeover）和裝置接管（Device Takeover）的目的。攻擊者採取多種方式發布Chameleon，但主要是透過網路釣魚頁面，將其偽裝成為合法應用程式，並使用合法的CDN發布檔案。過去Chameleon主要是偽裝成澳洲稅務局和波蘭受歡迎的銀行應用程式。</p> <p>而經過幾個月資安人員再次發現Chameleon，已經是改進後的版本，除了繼承先前版本的功能之外，還加入進階功能，Chameleon變種透過惡意軟體Zombinder散布，並且冒充成為Google Chrome應用程式，同時也擴大攻擊區域，擴展至英國和義大利。</p> <p>新的Chameleon變種有一項引人注意的功能，是在收到來自C2伺服器的特定指令時，可以啟動對Android 13裝置的檢查。當Chameleon變種發現自己被安裝在Android 13裝置上，且該裝置對應用程式活動加以限制的時候，便會動態回應顯示HTML頁面，提示用戶啟用輔助服務。而輔助服務對於Chameleon要成功執行裝置接管攻擊是個重要關鍵。</p> <p>此外，Chameleon變種還能中斷裝置生物辨識操作功能，藉由運用KeyguardManager API和AccessibilityEvent，根據圖形、PIN碼或密碼等不同的鎖定機制，評估鎖定螢幕的狀態。當滿足特定條件時，Chameleon可以使用AccessibilityEvent動作，將生物辨識認證轉換成PIN碼認證，如此在繞過生物辨識提示後，Chameleon木馬就能隨意解鎖裝置。</p> <p>雖然攻擊者無法操縱與存取生物辨識資料，但是透過強制回退到標準認證，攻擊者能透過鍵盤紀錄竊取圖形、PIN碼或密碼金鑰，接著就能運用輔助操作，使用先前竊取的PIN碼或密碼解鎖裝置，進而完全繞過生物辨識的保護。</p> <p>Chameleon變種還有任務調度和活動控制功能，除了繞過裝置生物辨識保護和顯示HTML頁面的能力，Chameleon在更新後也加入其他銀行木馬的功能，例如使用AlarmManager API進行任務調度。研究人員提到，雖然任務調度在木馬中很常見，但是Chameleon的特別之處在於其動態調度的能力，能夠有效處理輔助功能和活動。</p> <p>Chameleon變種在發現輔助功能被停用的時候，能夠從輔助模式切換到usagestats模式，並啟動注入行動發起覆蓋攻擊，也就是在受害者的裝置上顯示假冒介面，讓受害者誤以為覆蓋的介面是合法應用程式，欺騙用戶輸入敏感資訊，像是憑證、信用卡等資訊。</p> </div></div></div>
2023/12/25 21:34作者李建興https://www.ithome.com.tw/news/160528
【資安日報】12月25日，駭客集團UAC-0099鎖定烏克蘭組織並利用WinRAR漏洞植入惡意程式LonePage
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客近期利用WinRAR漏洞CVE-2023-38831的情況，有越來越頻繁的趨勢，而且有不少是國家級駭客組織從事相關攻擊。攻擊者利用該漏洞最重要的原因之一，就是此壓縮軟體並未內建自動更新機制，使用者若不手動升級新版軟體，就會持續曝露在這項漏洞當中，而使得對方有機會成功利用。</p> <p>最近有研究人員針對駭客組織UAC-0099的攻擊行動進行調查，結果發現，這些駭客散布惡意軟體的管道，其中一種就是這項WinRAR漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.deepinstinct.com/blog/threat-actor-uac-0099-continues-to-target-ukraine"><strong style="font-size: 22px;">烏克蘭組織遭到駭客集團UAC-0099鎖定，利用WinRAR漏洞植入惡意程式LonePage</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-Attack-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-Attack-flow.png" style="width: 300px; float: right;" /></a>月烏克蘭電腦緊急應變小組（CERT-UA）對駭客組織UAC-0099的網路釣魚提出警告，透露對方使用的工具之後，資安業者Deep Instinct進一步調查並公布細節，他們指出駭客的主要目標是境外公司的烏克蘭員工，最終是在受害電腦植入惡意程式LonePage。</p> <p>對方在攻擊行動中可能會利用法院傳票的名義，向收信人寄送釣魚郵件，其中一種郵件挾帶WinRAR自解壓縮檔，收信人若是依照指示執行，就有可能觸發偽裝成DOCX文件檔案的捷徑檔（LNK），然後執行帶有惡意內容的PowerShell程式碼，該程式碼對2個以Base64編碼的大型雙位元物件（BLOB）進行解碼，並將輸出結果寫入特定的VBS及DOCX檔案，接著此程式碼會開啟DOCX檔案當作誘餌，並建立排程工作：每隔3分鐘啟動VBS惡意程式LonePage。此惡意程式向C2伺服器發出請求，並下載鍵盤記錄程式、竊資軟體和螢幕截圖工具，以便在受害電腦進一步發動攻擊。</p> <p>值得留意的是，這些駭客散布LonePage的管道很多，也包含利用HTML應用程式檔案（HTA）、ZIP壓縮檔做為釣魚信附件的情況。其中，若是收信人使用WinRAR打開ZIP檔附件，就會觸發該壓縮軟體的漏洞CVE-2023-38831（CVSS風險評分為7.8）。</p> <p><a href="https://www.seqrite.com/blog/operation-rusticweb-targets-indian-govt-from-rust-based-malware-to-web-service-exfiltration/"><strong style="font-size: 22px;">印度政府機關遭Rust惡意程式鎖定，駭客對其進行Operation RusticWeb攻擊行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Operation-RusticWeb-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Operation-RusticWeb-fig1.png" style="width: 300px; float: right;" /></a>資安業者Seqrite揭露針對印度政府人員的網路釣魚攻擊行動Operation RusticWeb，駭客約從今年10月開始，假借多個單位的名義等名義來從事攻擊，被冒用的單位包括：印度行政服務（IAS）、陸軍福利教育委員會（AWES）、人權組織Kailash Satyarthi兒童基金會、國防部。</p> <p>駭客先是傳送ZIP壓縮檔，內含偽裝成PDF文件的捷徑（LNK）檔案，使用者一旦開啟，電腦就會執行PowerShell從特定網域下載、執行PS1指令碼，從而導致電腦被植入Rust打造的竊資軟體。此惡意程式可讓駭客竊取檔案、收集系統資訊及IP位址等資訊，但無法竊取瀏覽器、即時通訊軟體、加密貨幣錢包的個資。</p> <p>12月研究人員又看到另一種攻擊手段，那就是透過帶有惡意VBA巨集的釣魚文件檔案，執行經過加密處理的PowerShell指令碼，最終於受害電腦部署竊資軟體，但駭客這次罕見地替惡意程式加上數位簽章，聲稱提供的是思科VPN系統的用戶端程式元件AnyConnect Web Helper。而對於攻擊者的身分，研究人員認為，這些駭客與巴基斯坦駭客組織Transparent Tribe（APT36）、SideCopy有關。</p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/battleroyal-darkgate-cluster-spreads-email-and-fake-browser-updates"><strong style="font-size: 22px;">美國、加拿大遭到鎖定，駭客組織BattleRoyal對其散布惡意程式DarkGate</strong></a></p> <p></p> <p>資安業者Proofpoint揭露名為BattleRoyal的駭客組織攻擊行動，從9月至11月之間，這個團體對美國及加拿大的企業組織發起超過20次社交工程攻擊，企圖散布惡意軟體DarkGate。</p> <p>此攻擊引起研究人員注意的原因，在於對方在過程當中使用兩種以上的流量交付系統（Traffic Delivery System，TDS），其中駭客最常使用的是404網頁，以及名為Keitaro的TDS。攻擊者通常會寄送帶有特定URL檔案的電子郵件，一旦收信人點選，就有可能先後被導向上述兩種TDS系統，電腦便會被重新導向新的URL下載VBS指令碼，並執行Shell命令下載AutoIT指令碼檔案（AU3），最終導致受害電腦被植入DarkGate。研究人員指出，駭客使用的URL捷徑檔案當中，利用Windows SmartScreen防護機制（MoTW）漏洞CVE-2023-36025，而且，駭客在微軟發布修補程式之前就已經開始利用這項漏洞。</p> <p>而這些駭客後來也假借瀏覽器更新的名義，向使用者散布DarkGate，但在11月底至12月初，他們改以NetSupport取代DarkGate，但前後行動的共通點在於，他們都企圖引誘使用者執行URL檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1_49.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1_49.png" style="width: 580px;" /></a></p> <p><a href="https://blog.sucuri.net/2023/12/magecart-wordpress-plugin-injects-malicious-user-credit-card-skimmer.html"><strong style="font-size: 22px;">惡意WordPress外掛程式鎖定電商網站而來，目標是發動Magecart信用卡側錄攻擊</strong></a></p> <p></p> <p>資安業者Sucuri揭露針對WordPress電商網站的Magecart攻擊行動，駭客尋找網站外掛程式的漏洞，目的是部署名為WordPress Cache Addons的惡意外掛程式，將其植入mu-plugins資料夾，以便在WordPress主控臺將其隱藏，網站管理員只能透過FTP檔案傳輸程式或是特定的外掛程式（如Advanced File Manager），才有機會將其清除。</p> <p>這個惡意外掛程式有哪些作用？可透過假結帳網頁，竊取客戶的信用卡資料，特別的是，這個假網頁還能顯示信用卡發卡機構，意圖降低使用者的警覺。此外，駭客為了能夠持續控制受害網站，他們也建立了管理員帳號，但這個帳號無法在WordPress主控臺看到。</p> <p><a href="https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action"><strong style="font-size: 22px;">安卓金融木馬Chameleon停用指紋辨識功能，並竊取PIN碼來接管手機</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Dec-13-2023-09-01-56-4869-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Dec-13-2023-09-01-56-4869-PM.png" style="width: 300px; float: right;" /></a>資安業者ThreatFabric針對今年1月出現的安卓金融木馬Chameleon進行追蹤，結果發現近期駭客使用了新的手法，攻擊範圍也從澳洲、波蘭，延伸到英國及義大利。</p> <p>研究人員指出，新版Chameleon主要透過名為Zombinder的工具散布，駭客大多假借提供Chrome應用程式的名義來發動攻擊，值得留意的是，此金融木馬針對新版安卓的防護機制加入罕見功能，其中一種是偵測到目標裝置執行Android 13以上的作業系統，C2就會對該惡意程式下達命令，顯示HTML網頁並要求使用者啟用無障礙輔助服務（Accessibility Service），若是使用者依照指示批准使用，裝置就有可能遭到挾持（Device Takeover，DTO），從而繞過Google在新版作業系統加入的防濫用機制。</p> <p>另一種則是突破生物辨識的功能，駭客先是偵測裝置螢幕、鍵盤防護狀態，然後在特定條件下將生物辨識切換成PIN碼驗證，從而讓該木馬程式能隨意解除鎖定。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160520"><strong style="font-size: 22px;">Chrome將會於背景自動偵測外洩密碼、可疑擴充程式</strong></a></p> <p></p> <p>12月21日Google宣布<a href="https://blog.google/products/chrome/google-chrome-december-2023-update/">將為Chrome提供新的安全功能</a>，其中電腦版的<a href="https://blog.google/products/chrome/5-tips-to-stay-safer-online-with-chrome/#:~:text=2.%20A%20more%20proactive%20Safety%20Check">Safety Check模組</a>將會在背景自動執行，偵測使用者密碼是否出現外洩的情況，或是瀏覽器安裝的擴充套件是否含有潛在威脅，若是察覺異狀，將會在瀏覽器功能選單顯示通知。</p> <p>此外，若是某些網站長時間沒有存取，此功能模組也會自動撤銷相關的網站權限，假如不常存取的網站發送大量通知，也會建議用戶停用。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/europol-warns-443-online-shops-infected-with-credit-card-stealers/"><strong><span style="font-size: 20px;">歐洲刑警組織警告逾400個電商網站遭駭，被植入信用卡側錄程式</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/ubisoft-says-its-investigating-reports-of-a-new-security-breach/"><strong><span style="font-size: 20px;">遊戲開發商Ubisoft傳出遭網路攻擊，駭客宣稱目標是《虹彩六號：圍攻行動》的內部資料</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-australia-cyberattack-claimed-by-akira-ransomware-gang/"><strong><span style="font-size: 20px;">勒索軟體Akira聲稱攻擊Nissan澳洲分公司，竊得100 GB內部資料</span></strong></a></p> <p></p> <p><a href="https://www.netskope.com/blog/a-look-at-the-nim-based-campaign-using-microsoft-word-docs-to-impersonate-the-nepali-government"><strong><span style="font-size: 20px;">駭客利用Word檔案作為誘餌，散布Nim惡意程式</span></strong></a></p> <p></p> <p><a href="https://www.zscaler.com/blogs/security-research/threat-actors-exploit-cve-2017-11882-deliver-agent-tesla"><strong><span style="font-size: 20px;">老舊方程式編輯器漏洞再被利用，駭客拿來散布竊資軟體Agent Tesla</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160502"><strong>【12月22日】巴勒斯坦駭客對以色列組織聲稱提供F5 BIG-IP「零時差漏洞修補程式」來破壞電腦所有檔案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160484"><strong>【12月21日】 Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160449"><strong>【12月20日】 FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</strong></a></p> </div></div></div>
2023/12/25 17:10作者周峻佑https://www.ithome.com.tw/news/160527
Khronos完成Vulkan Video編碼擴充，H.264和H.265影像處理可獲硬體加速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>標準制定組織Khronos釋出了跨平臺電腦繪圖API <a href="https://www.khronos.org/blog/khronos-finalizes-vulkan-video-extensions-for-accelerated-h.264-and-h.265-encode">Vulkan 1.3.274</a>，這個版本包含了能以硬體加速H.264和H.265編碼的Vulkan Video擴充功能。因此Vulkan API將可以使用GPU加快H.264和H.265影片的處理，提高整體編碼效率，使得電腦、手機等裝置在進行影片直播、錄影和剪輯等工作，都能夠有更好的效能。</p> <p>Khronos由包括AMD、Apple、英特爾和Nvidia等15家創始會員組成，目的是要建立可免費使用的圖形合成、虛擬實境、擴增實境、平行運算和機器學習等應用API標準，在各種平臺和裝置上的應用程式、中介軟體，都能更加有效地運用硬體加速。Khronos的著名專案有OpenGL、WebGL和OpenCL等。</p> <p>Khronos在2016年推出的Vulkan，與OpenGL同樣都是圖形API，但是Vulkan提供更高效率且直接的硬體控制能力，且因為Vulkan獲得主要軟硬體廠商廣泛的支援，因此Vulkan能夠在Windows、Linux、macOS、iOS和Android平臺上運作，而這個好處在於開發者可以對不同的作業系統和裝置，創建統一的應用程式。</p> <p>最新版Vulkan 1.3.274對H.264和H.265標準的支援工程，可追溯至2021年。當時Vulkan工作組推出一系列臨時擴充功能，被統稱為Vulkan Video，該擴充透過提供各種影片編碼標準，實現影片串流無縫的編碼與解碼。</p> <p>接著在2022年的時候，Vulkan 1.3.238進一步加強對H.264和H.265影片格式的支援，特別是在解碼方面，使得H.264和H.265影片播放可獲得硬體加速。而現在最新的Vulkan 1.3.274則是完成了H.264和H.265影片格式的編碼功能，因此Vulkan不只可以使用硬體加速播放H.264和H.265影片，也能在影片創建和處理上獲得硬體加速。</p> <p>官方解釋，編碼擴充讓開發者可對編碼過程進行低階控制，同時又能保有硬體編碼加速的效率，開發者可以自由調整細節，進行諸如量化索引、算數編碼器（Arithmetic Coder）和去區塊（Deblocking）等。</p> <p>Vulkan框架提供了一種標準、低額外成本且高度可控的方式，運用硬體加速生成H.264和H.265影片，其應用範圍擴及即時低延遲的串流媒體與離線伺服器，都能快速進行轉碼。而且有鑒於產業現在對AV1解編碼器的高需求，官方也承諾即將推出AV1解碼器擴充，而AV1編碼擴充功能也正在開發階段。</p> </div></div></div>
2023/12/21 17:22作者李建興https://www.ithome.com.tw/news/160483
企業用Gemini Pro模型API上架，Google更要打造從端到雲全套GAI工具鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公雲巨頭紛紛瞄準繼企業生成式AI開發需求，推出了各自的GAI技術架構和開發套件。緊接在11月底AWS揭露GAI產品戰略之後，Google也在12月初，發表了最新也是他們最強的LLM模型Gemini，隔周更在GCP的AI開發套件Vertex AI上釋出了企業用的Gemini Pro版模型預覽版，開放企業免費試用。Google同步推出Web版AI Studio開發工具，也將自家MLOps開發平臺Vertex AI轉為聚焦企業GAI開發的LLMLOps平臺，要涵蓋開發、部署到維運更多模型生命周期階段的需求。</p> <p>Google在12月初正式發表了Gemini，包括高階Ultra版，中階Pro和低階Nano版模型。Gemini Ultra將可以同時分辨和理解文字、圖片和聲音，也可以用來分辨和解釋幾種熱門開發語言，包括Python、Java、C++。Google推出Gemini模型時就強調，與其他知名大型語言模型如GPT、LLama最大差異是將提供一個行動裝置的小參數模型Nano版Gemini。</p> <p>Google先在Vertex AI平臺上架了Gemini Pro模型API預覽版，這是Gemini三款模型中的中階款。又細分為兩款API，目前只支援文字輸入和文字生成的Gemini Pro，最大可以輸入32K個Token，支援38種語言。另外，也提供了Gemini Pro Vision端點，可接受文字和影像輸入，但只能輸出文字，Google在記者會上實測展示時，則可以直接輸入一段影片，讓模型來判讀影片中的元素。Google用「模型端點」而非另一款模型來形容第二款API，意味著，這是同一個Gemini Pro模型，只是多釋出影像功能API來區隔版本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-Vertex-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.png" /></p> <p><strong>Vertex AI上已經可以選擇Google新版LLM模型Gemini Pro版本，也可使用Geini Pro Vision版本，可直接上傳一段影片，讓模型來分析影片中的元素。</strong></p> <p>Gemini Pro從現在開始提供企業和開發者免費測試，2024年才開始正式收費，輸入和輸出都要計價，將按輸入文字每千字0.00025美元（10萬字約臺幣1元）或每張圖0.0025美元，而輸出則是每千字0.005美元（10萬字約臺幣15元）。</p> <p>而Gemini Pro的SDK目前支援了資料科學主流語言Python、兩大行動平臺Android的Kotlon和iOS應用的Swift，另外還包括了Ｗeb前後端開發主流JavaScript和Node.js語言。從Pro版SDK所支援開發語言種類更可以反映出，Gemini Pro格外注重未來的行動AI應用開發需求。</p> <p>除了自家新模型之外，Vertex AI的模型花園中，也一並增加了文字生成圖片的Imagen 2模型，可以生成更擬真的圖片。另外也將在數周後釋出了一個以Med-PaLM 2模型為主打造的醫療GAI模型產品集稱為MedLM，中國醫藥大學附設醫院將是亞洲第一家採用這款醫療GAI模型的醫學中心。用醫療資料微調過的Med-PaLM 2以85分高分通過了美國醫生執照考試，可以達到醫療專科醫生的回答水準。</p> <h3><span style="color:#FF0000;"><strong>推出Web版AI開發工具，Vertex AI也強化模型開發到部署功能</strong></span></h3> <p>除了新模型上架化，Google也正式推出了免費的Web版GAI開發工具AI Studio，（前身是MakerSuite），預設就是使用Gemini Pro或Gemini Pro Vision來開發AI應用，每分鐘可以免費使用60次模型請求。實測AI Studio，目前已經可以輸入中文，也能產生繁體中文的內容，不過，AI Studio上的Gemini Pro模型目前只支援到2023年8月的資料。</p> <p>Google在今年5月開始大幅升級機器學習開發平臺Vertex AI，更聚焦提供各種生成式AI的開發工具。在這個平臺的模型花園清單上，提供了超過130種通過Google企業級安全品質審查的ML模型，包括了開源和第三方提供的商用模型。在模型客製化上，這個平臺提供了多項微調方法，例如提示設計、LoRA微調、人類回饋增強學習RLHF等。</p> <p>隨著這次新模型釋出同時，Google也宣布了多項Vertex AI更多新功能，從模型增強，與外部資料或API的互動，多模型的協作框架，自動化模型評比，更多GAI控制機制等，逐漸從模型開發，延伸到了模型部署，維運管理等LLM模型的MLOps流程。</p> <p>Vertex AI增強工具主要提供三大功能，包括強化搜尋常用的嵌入檢索機制，設定配置就能快速建置的RAG（檢索增強生成）工具，也可以串接外部的向量資料庫，圖片或影音轉換成向量後可以儲存到向量資料庫，透過Vertex使用Gemini來實現多模態的嵌入檢索，可使用GCP託管或第三方的向量資料庫。Vertex AI將提供到18種不同的GAI控制或負責任控管機制，例如可以自動引用連結檢查，企業基礎正確性比較，或像是不宜用語和不雅影像過濾等。</p> <p>此外，Google也將陸續提供3項模型與外部環境互動的能力，8月先宣布了預覽版外掛機制（Extension），可以連結到外部資料源或是外部應用，讓生成式AI模型可以取得即時的外部資訊，甚至可以代表模型操作者的身份，在授權後取得個人化的AP資料。後續，Google將將新增「函數呼叫」（Function Calling）能力，可以將Gemini生成的結果自動匯出成一隻API或一隻函示程式。企業可以在這隻功能性API中再次優化模型輸出的結果。</p> <h3><span style="color:#FF0000;"><strong>將推出多GAI模型協作的調度框架</strong></span></h3> <p>另外一項將新增的功能是調度（Orchestration）多模型協同運作的能力，Vertex將可以用來調度多個模型互相運作。例如在手機上用Nano版模型接收使用者口說的問題，先將問題聲音轉成文字後，再拋轉到雲端的Pro版模型來生成回答，然後再拋轉給使用者。Google將提供一套調度框架，可以用來串連和連結不同模型共同產生更好的回應內容。不過，Google還沒揭露這套調度框架的釋出時程。</p> <p>在這次新版Gemini預覽版釋出同時，Google也揭露了Vertex AI平臺多項模型評估和部署新功能，模型自動評估矩陣從單一模型評估，新增加了多模型評比功能Auto SxS，可以一對一自動比較兩個模型對指定任務的執行結果，例如進行不同模型的A/B測試之用，或是比較微調前後，或相同模型但不同參數大小的效果。當模型部署上線後，可以追蹤每一次回應從輸入到輸出的速度來了解模型效能。</p> <p>Google新推出的AI Studio與Vertex AI採用了相同的資料安全和隱私控管機制，都可以支援顧客自帶金鑰、VPC控制、存取透明度紀錄和IAM權限控管。Google Cloud執行長Thomas Kurian在發布記者會上強調，企業資料只有企業自己可以存取，其他任何人，就連Google都無法看到模型輸入、輸出或每一項人類回饋到企業模型的資料。</p> <p>今年3月，Google釋出了NoCode的AI工具Vertex AI Studio，主要提供兩種常見企業AI應用的快速開發，包括了「搜尋」和「對話」應用，這兩項應用將會在2024年初開始支援Gemini模型。目前搜尋功能只能針對單一資料來源查詢，2024年時將新增一項「混合搜尋」(Blended Search）應用，只需要輸入一個搜尋指令，就能用Gemini來搜尋不同資料來源上的多模態資料，包括企業內部私有的結構化資料與非結構化資料，還有外部的公開資料。</p> <p>Google預計在2024年初正式推出Gemini模型後，會整合到更多服務中，包括了Google企業級進階搜尋服務將開始支援多模態嵌入向量搜尋。而Duet AI for Workspace明年初也會引進Gemini模型，可以對分析內容提供多模態的進階理解能力。文⊙王宏仁</p> </div></div></div>
2023/12/20 17:30作者王宏仁https://www.ithome.com.tw/news/160451
Google同意支付7億美元與美國各州和解Google Play的反托拉斯爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國36州再加上華盛頓特區的檢察長於2021年，聯手控告Google違反反托拉斯法令，特別是Google Play中所存在的排他性條款及反競爭行為，不過，<a href="https://blog.google/outreach-initiatives/public-policy/reaffirming-choice-and-openness-on-android-and-google-play/" target="_blank">Google周一（12/18）公布</a>了雙方已於今年9月簽署的和解協議，包括同意支付7億美元，放行第三方程式市集，以及支援第三方支付等，此一和解協議仍尚待法院批准。</p> <p>當時各州檢察長們認為Google壟斷了行動作業系統，也壟斷Android程式的散布，藉由技術門檻與條件來限制開發者只能於Google Play上散布程式，強迫OEM業者簽署條款以限制裝置內建第三方市集，亦非法壟斷了Android的程式內購買機制。</p> <p>根據雙方的協議，Google同意支付7億美元的和解金額，其中有6.3億將付給消費者利益基金，另外的0.7億則是付給可供各州使用的基金。</p> <p>除了金錢之外，Google也承諾改善與Google Play有關的策略，指出其實Google早就允許Android裝置安裝第三方應用程式市集，且多數Android裝置都安裝了兩個或以上的程式市集，最新的協議將明確允許OEM業者預裝各種程式市集選項，也透過Android 14改善對第三方程式市集的支援。</p> <p>此外，Android平臺原本就允許使用者側載應用程式，例如直接從開發者的網站上下載程式，只是為了顧及安全，會在使用者下載時提出警告，未來Google將簡化側載流程並更新所使用的語句。</p> <p>對於受到許多批評的支付機制，Google已於許多市場測試對第三方支付的支援，而不一定要使用Android內建的Google支付系統，亦開始允許開發者於付款程序中列出基於下載來源的不同價格，以供使用者選擇。</p> <p>不過，<a href="https://www.epicgames.com/site/en-US/news/epic-v-google-trial-verdict-a-win-for-all-developers" target="_blank">甫贏得與Google之間反托拉斯訴訟的Epic Games</a>同一天就<a href="https://www.epicgames.com/site/en-US/news/statement-on-google-s-settlement-with-state-attorneys-general" target="_blank">批評該和解協議</a>，指出各州原本尋求105億美元的賠償金額，最終卻接受了7億美元的和解，還說開發者透過Google支付系統必須支付30%的費用，但若採用第三方支付系統，依然必須支付26%予Google，此一協議並未解決Google違反競爭的核心問題，Epic Games將繼續追求有意義的補救措施以讓Android生態系統真正的開放。</p> </div></div></div>
2023/12/20 11:49作者陳曉莉https://www.ithome.com.tw/news/160443
Chrome將從明年1月4日開始逐步停用第三方Cookies
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google已經明確訂出Chrome第一步淘汰第三方Cookies的時間點，預計從<a href="https://blog.google/products/chrome/privacy-sandbox-tracking-protection/">2024年1月4日開始測試追蹤保護（Tracking Protection）功能</a>，透過停用網站對第三方Cookies的存取，限制跨站點追蹤。Google會先向全球1％的Chrome用戶推出追蹤保護，並在下半年逐步推向所有用戶。</p> <p>當用戶存取網站，網站便會在瀏覽器中記住登入狀態、偏好設定等資料，這些資料被稱作第一方Cookies，而所謂的第三方Cookies則由非用戶直接存取的網站設置。第三方Cookies通常用於追蹤用戶在多個不同網站的瀏覽行為，以方便跨網站廣告定向和網路分析，供廣告公司依據用戶的喜好精準投放客製化廣告。</p> <p>由於第三方Cookies能夠用於追蹤用戶的上網行為，因此也引發許多隱私相關疑慮，有越來越多的瀏覽器包括Safari和Firefox預設限制第三方Cookies。而Google在9月正式於Chrome推出第三方Cookies替代方案隱私沙盒（Privacy Sandbox），現在開始對1％的Chrome用戶啟用追蹤保護，供開發人員測試沒有第三方Cookies的情況。</p> <p>Google會隨機挑選1％的Chrome用戶參與追蹤保護測試，被挑選的用戶在桌面和Android上開啟Chrome時將會收到通知。這些用戶在瀏覽網頁的時候，Chrome預設限制第三方Cookies，使得不同網站無法透過第三方Cookies追蹤用戶。少數網站缺乏第三方Cookies可能無法正常運作，Chrome在發現問題時會推送提醒，用戶可暫時解除限制以正常瀏覽網站。</p> <p>隱私沙盒是綜合多種廣告追蹤概念與提案的解決方案，包含Topics API、Shared Storage API和Attribution Reporting API等，可用於呈現相關內容與廣告、強化隱私界線和衡量廣告等目的。而Topics API是其中的重要功能，能夠在不追蹤用戶存取網站的前提下，允許瀏覽器與第三方共享用戶的興趣資訊，讓廣告商能夠推送用戶個人化廣告，協助廣告主觸及潛在客戶。</p> <p>目前<a href="https://www.ithome.com.tw/news/158688">Apple和Mozilla都已經明確表態拒絕Topics API</a>，認為該API不應該公開用戶的跨站瀏覽行為，而且原本就擁有大量用戶資料的第一方網站，在掌握Topics API所提供的資料，結合機器學習技術分析，能夠獲取的資訊便會超越隱私沙盒原本就定義的安全範圍，更何況Topics API中規畫的主題存在偏見，Apple和Mozilla更不可能支持。</p> <p>雖然當初Google提出隱私沙盒計畫的時候，希望獲得網路生態系的支持，甚至將隱私沙盒技術提案至W3C，但是發展至今，隱私沙盒並沒有獲得產業的廣泛支持。不過，Chrome要封鎖第三方Cookies實施隱私沙盒，還同時存在違反市場競爭的疑慮，英國競爭及市場管理局（Competition and Markets Authority，CMA）在2021年對Google展開調查。</p> <p>由於考量Google在廣告產業的主導地位和Chrome的市占，封鎖第三方Cookies實施隱私沙盒的改變可能會影響數位廣告市場的競爭局面，包括因為第三方Cookies被停用，廣告商可能更依賴Google的工具和服務，便會讓市場上競爭者失去競爭力，甚至是增強Google在資料收集和處理上的優勢，對其他廣告商和廣告技術公司形成不利影響，因而進一步強化其在廣告市場的壟斷地位。</p> <p>為此Google提出承諾，透過創建約束性框架來解決競爭方面的疑慮，而<a href="https://competitionandmarkets.blog.gov.uk/2023/04/28/googles-privacy-sandbox-commitments-implementation-and-what-comes-next/">CMA也已經接受並達成協議</a>。具體作為包括Google應該提高相關工具的透明度，並回應市場參與者的顧慮；Google還需要與CMA和ICO（Information Commissioner’s Office）合作，評估隱私沙盒技術的影響並解決問題；在正式停用第三方Cookies時，也應該有停頓期（Standstill period），以便CMA在發現問題時可以採取進一步行動等。這些義務在Chrome移除第三方Cookies之後仍然適用，並持續至2028年。</p> <p>而Google也在最新的公告中提到，他們即將啟動追蹤保護功能，在開始階段只影響全球1%的Chrome使用者，確保在全面推廣之前能夠解決CMA所提出的競爭顧慮。</p> </div></div></div>
2023/12/19 01:44作者李建興https://www.ithome.com.tw/news/160411
AWS Amplify開發框架整合CDK，支援MySQL與PostgreSQL資料庫連接
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過AWS CDK的實現，AWS Amplify開發框架現在開始<a href="https://aws.amazon.com/tw/blogs/aws/new-for-aws-amplify-query-mysql-and-postgresql-database-for-aws-cdk/">支援連接和查詢MySQL與PostgreSQL資料庫</a>，對於要透過GraphQL API使用關聯式資料庫的開發者尤為有用。這項更新允許用戶提供資料庫端點和憑證，便可以替所有關聯式資料庫操作生成完整的GraphQL API，當資料庫架構改變時，也能執行命令套用最新的表格架構更新。</p> <p>Amplify是AWS所提供的工具和服務集合，支援iOS、Android和網頁應用開發，可供開發人員快速建構全端應用程式。Amplify包含多種快速建置和部署應用程式的工具，諸如一鍵式環境配置和後端程式碼自動生成等功能。</p> <p>AWS在Amplify加入對GraphQL的支援，帶來資料處理和查詢的靈活性，因為GraphQL讓開發者精確指出需要的資料，減少過多或是不必要的資料傳輸，進而提高應用程式的效能和回應速度，這也使得開發人員可以更有效地操作資料，提高開發效率和用戶體驗。</p> <p>而AWS Amplify GraphQL Transformer則協助開發人員，能夠更容易地開發基於GraphQL的應用程式。Amplify GraphQL Transformer是Amplify CLI工具鏈的一部分，官方解釋，GraphQL Transformer產生可擴展的工作管線解析器，以路由GraphQL API請求，並且進行身分驗證和底層資料來源的通訊等工作。</p> <p>在過去，GraphQL Transformer主要支援Amazon DynamoDB作為資料來源，因為DynamoDB和Amplify緊密整合，能夠提供快速且靈活的NoSQL資料庫服務。而在Amplify GraphQL Transformer推出第2版的時候，AWS擴大其資料來源的支援，加入包括OpenSearch和Lambda函式，使得開發者可以根據需求選擇適合的資料儲存和處理服務。</p> <p>但開發者對於透過GraphQL API使用關聯式資料庫，存取像是Amazon RDS或Amazon Aurora資料庫也有不少需求，因此現在AWS更新Amplify整合AWS CDK，來擴展對關聯式資料庫的支援，讓開發者不只可將Amplify GraphQL API的@model型別用於DynamoDB，也能夠用於MySQL和PostgreSQL關聯式資料庫。</p> <p>而這項更新之所以重要，是因為開發者能夠將GraphQL API連接至這些受廣泛使用的關聯式資料庫，進一步善用現有資料庫資源，並將其整合到使用Amplify所開發的應用程式架構中。</p> <p>不論是在VPC（Virtual Private Cloud）中抑或是網際網路公開存取，開發者只需要提供MySQL或PostgreSQL資料庫資訊，Amplify就能夠自動生成可供修改的GraphQL API。該API可以安全地連接資料庫表格，並進行建立、讀取、更新和刪除等操作，開發者也可以重新命名資料模型，使其更符合前端需求。</p> <p>開發者現在只需編寫簡單的程式碼，就可以將現有的Amplify GraphQL身分驗證規則新增至API，依據使用案例的需求，採取使用者身份驗證或是公開唯讀模式。AWS Amplify關聯資料庫支援，現在可搭配Amazon VPC或是AWS雲端外部所託管的MySQL和PostgreSQL資料庫使用。</p> </div></div></div>
2023/12/19 01:47作者李建興https://www.ithome.com.tw/news/160412
【資安日報】12月18日，新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊源頭難以被找到，駭客無所不用其極改變遠端控制惡意程式的方法，其中最常見的手段，就是濫用各式各樣合法的雲端服務來充當C2伺服器，讓資安系統無法直接依據流量的來源，來識別是否為攻擊行動。</p> <p>但最近有人使用更隱匿的手法，他們濫用名為New Kind of Network的區塊鏈網路，藉此傳送檔案及下達命令。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/unveiling-nkabuse/111512/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體NKAbuse濫用區塊鏈隱匿攻擊行動</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Unveiling_NKAbuse_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Unveiling_NKAbuse_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露名為NKAbuse的惡意程式，此惡意程式為Go語言開發，鎖定墨西哥、哥倫比亞、越南而來，針對MIPS、Arm、x86架構的Linux電腦下手，一旦電腦感染NKAbuse，駭客就有可能將其用於執行DDoS攻擊。</p> <p>此外，該惡意程式也具備RAT木馬程式的特性，攻擊者可下達命令、竊取受害電腦資料、拍下螢幕截圖。在其中一起攻擊行動裡，駭客利用Java應用程式框架Apache Struts的漏洞CVE-2017-5638（CVSS風險評分為10），來攻擊金融業者。</p> <p>而這個惡意程式最特別的地方，在於攻擊者與其溝通的管道是利用名為New Kind of Network（NKN）的去中心化網路協定，由於該網路系統採用區塊鏈技術來管理相關資源，使用者的網路行蹤更為隱密，資安人員更難找出駭客攻擊的源頭。</p> <p><a href="https://thehackernews.com/2023/12/mongodb-suffers-security-breach.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料庫系統開發商MongoDB傳出遭到網路攻擊，客戶資料外洩</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GBf8V0_XwAAyr1k.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GBf8V0_XwAAyr1k.jpg" style="width: 300px; float: right;" /></a>根據Bleeping Computer、SecurityWeek、Hacker News等資安新聞網站報導，資料庫軟體開發商MongoDB在12月16日透過電子郵件，向用戶公告他們遭駭，表明12月13日察覺公司內部環境遭到未經授權存取的資安事故，正在著手進行調查。</p> <p>而對於事故影響的層面，該公司起初表示，他們尚未發現用戶存放於MongoDB Atlas的資料曝光的跡象，但他們也呼籲使用者應防範社交工程及網路釣魚攻擊，並採用多因素驗證，且輪換MongoDB Atlas密碼。</p> <p>隔日該公司透過網站公告這起事故，指出他們部分企業內部系統遭到未經授權存取，包含客戶姓名、電話號碼、電子郵件信箱，以及客戶帳號其他的中繼資料，但他們尚未察覺其他客戶的系統事件記錄遭到存取的跡象。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1736134217321370109">https://twitter.com/vxunderground/status/1736134217321370109</a><br /> 2. <a href="https://www.mongodb.com/alerts">https://www.mongodb.com/alerts</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/qnap-viostor-nvr-vulnerability-actively-exploited-by-malware-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通網路視訊監控系統VioStor遭遇殭屍網路InfectedSlurs零時差漏洞攻擊</span></strong></a></p> <p></p> <p>11月下旬資安業者Akamai揭露殭屍網路InfectedSlurs的攻擊行動，並指出駭客鎖定NVR網路視訊監控裝置及路由器而來，但並未透露裝置廠牌與型號，近期研究人員公布更多細節。</p> <p>12月14日Akamai表示，其中部分遭到零時差漏洞攻擊的設備，是威聯通（QNAP）旗下的網路視訊監控裝置VioStor，這項遭到利用的漏洞是CVE-2023-47565，存在於該廠牌NVR當中，影響2014年推出的5.0版以前的韌體，CVSS風險評分為8.0。</p> <p>研究人員指出，他們起初找到漏洞的時候，無法確認駭客鎖定的廠牌與型號，進一步調查才確認是威聯通的NVR設備，這些裝置的預設密碼強度較弱，且能在使用手冊找到，攻擊者可將其用於觸發作業系統注入的命令。對此，威聯通也在9日發布資安公告，表示他們針對4.x版VioStor發布修補程式，並指出曾在2014年推出的5.0版就已經修補相關漏洞。</p> <p>資料來源</p> <p>1. <a href="https://www.akamai.com/blog/security-research/qnap-viostor-zero-day-vulnerability-spreading-mirai-patched">https://www.akamai.com/blog/security-research/qnap-viostor-zero-day-vulnerability-spreading-mirai-patched</a><br /> 2. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-48">https://www.qnap.com/zh-tw/security-advisory/qsa-23-48</a></p> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/12/13/cybercrime-cybersecurity-storm-1152-fraudulent-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟搗毀網路犯罪組織Storm-1152，該團體被查出握有7.5億個詐欺帳號</span></strong></a></p> <p></p> <p>上週微軟宣布，他們在網路威脅情報供應商Arkose Labs的協助之下，破獲駭客組織Storm-1152，這些駭客專門提供用於網路犯罪的Outlook電子郵件信箱帳號，數量多達7.5億個。微軟接管該組織使用的網域名稱Hotmailbox.me、關閉駭客的社群網站粉絲頁，以及該組織用於繞過圖靈測試CAPTCHA的多個網站（1stCAPTCHA、AnyCAPTCHA、NoneCAPTCHA）。</p> <p>微軟指控，這些駭客專門利用機器人建立大量Outlook帳號並銷售，號稱提供完整的客戶支援服務，客戶涵蓋勒索軟體集團、資訊竊盜、財務勒索組織，每個帳號售價不到1美分。除Outlook帳號外，該組織也提供駭客繞過圖靈驗證CAPTCHA的工具。微軟亦確認這些駭客的總部位於越南，以及其中3名成員的身分。</p> <p>而對於這些駭客的行蹤，Storm-1152行事相當高調，而非藏匿於暗網，Arkose Labs指出，他們認為自己是持續經營的網路業者，直接在公開的網際網路提供相關犯罪工具，並提供客戶支援。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://research.checkpoint.com/2023/rhadamanthys-v0-5-0-a-deep-dive-into-the-stealers-components/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體Rhadamanthys透過外掛程式攔截RDP帳密</span></span></strong></a></p> <p></p> <p><a href="https://twitter.com/MsftSecIntel/status/1735856754427047985"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式QBot捲土重來，駭客假借美國國稅局的名義散布</span></span></strong></a></p> <p></p> <p><a href="https://security.googleblog.com/2023/12/hardening-cellular-basebands-in-android.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google應用Sanitizer提升安卓裝置行動通訊基頻安全性</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/mitre-unveils-emb3d-threat-model-for-embedded-devices-used-in-critical-infrastructure/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對關鍵基礎設施的嵌入式裝置安全，MITRE揭露威脅模型EMB3D</span></span></strong></a></p> <p></p> <p><a href="https://www.water.gov.tw/ch/Subject/Detail/84565?nodeId=711"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣自來水與調查局簽署資安聯防MOU</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160355"><strong>【12月15日】小型路由器成中國駭客組織Volt Typhoon下手目標，駭客植入殭屍網路病毒，入侵受害組織進行間諜行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160333"><strong>【12月14日】 OAuth應用程式身分驗證流程遭到濫用，駭客將其用於發動挖礦攻擊、商業郵件詐騙、散布大量垃圾郵件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160307"><strong>【12月13日】逾1,400臺開源防火牆系統pfSense存在高風險漏洞，有可能被攻擊者串連，遠端在防火牆上執行任意程式碼</strong></a></p> </div></div></div>
2023/12/18 15:27作者周峻佑https://www.ithome.com.tw/news/160387
AI趨勢周報第236期：LangChain框架整合Gemini Pro API了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1208～1214)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LangChain </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>LangChain框架整合Gemini Pro API，加速RAG應用開發</strong></span></p> <p>就在Google釋出Gemini Pro API後，大型語言模型（LLM）應用開發框架<a href="https://twitter.com/LangChainAI/status/1734982565352845428?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1734982565352845428%7Ctwgr%5Eed12d765421df8d620af7916bb47d761ca52beab%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Flangchain-integrates-gemini-pro-api-enables-multimodal-capabilities%2F">LangChain馬上整合了Gemini Pro API</a>，讓開發者能在開發環境中使用Gemini多模態功能，特別是打造檢索強化生成（RAG）類型的應用。</p> <p>一般來說，RAG常用於文字任務，比如介接客服指南資料庫，來讓LLM參考客服資料、生成答案。但最近，多虧GPT-4V這類大語言模型，RAG也擴展到了圖片。其中，LLM應用開發框架LangChain就探索不少方法，如多模態嵌入、多向量檢索器等，來從文字和圖片輸入中（例如簡報）有效地檢索與合成答案，來實現圖片類的RAG應用。</p> <p>為進一步提高開發者體驗，LangChain推出了Python整合工具包langchain-google-genai，開發者可直接存取Genimi API，更容易使用LangChain的多模態功能。同時，LangChain還發布整合指南，來協助開發者探索Gemini Pro API的潛力。<a href="https://python.langchain.com/docs/integrations/chat/google_generative_ai">（詳全文）</a></p> <p><img alt="" src="https://pbs.twimg.com/media/GBPlaVjaAAA_yvW?format=png&name=small" /><img alt="" src="https://pbs.twimg.com/media/GBPlaV2aUAAW9Yj?format=png&name=small" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4V </span></strong></span></p> <p><span style="font-size: 22px;"><strong>DeepMind用LLM和評估器來找出數學最佳解</strong></span></p> <p>最近，DeepMind研發出FunSearch方法，能用大型語言模型來搜尋數學和電腦科學領域問題的解法。團隊成功運用FunSearch解決Cap Set數學問題，同時還能更有效解決裝箱問題，能用來提高資料中心效率，證明FunSearch的實用價值。</p> <p>FunSearch是指搜尋函式（Functions）系統，由一個訓練過的大型語言模型和一個自動評估器組成。其中，大型語言模型專門提供有創意的解決方案，評估器則把關這些方案，避免出錯或任何不實想法。這兩個元件反覆迭代，初始解決方案逐漸發展為新知識。目前，DeepMind採用Google的PaLM 2作為FunSearch的大語言模型。團隊發現，與其他神經網路和增強學習的AI方法相比，FunSearch輸出的程式碼更易於檢查和部署，更容易整合到實際工業系統中。他們預期，在科學和工業領域各種新舊問題，都會因這個方法產生更有效的解法。<a href="https://deepmind.google/discover/blog/funsearch-making-new-discoveries-in-mathematical-sciences-using-large-language-models/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/mIlL5zg4-gbYvIdCuBB5SmzPzbC1yUghYgIwYR89pEJpgc4f00OhDpd6SRM_MXNi1XSqJJpFe_yeFXHZShLr3syM0SFSxtuqJzdaEgX8fsvCW1SN=w1232-rw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 隱私 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mozilla </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> privateGPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mozilla推新專案，要保護隱私、打造更個人化AI體驗</strong></span></p> <p>日前，Mozilla釋出MemoryCache創新專案，要結合本地檔案和Firefox瀏覽器儲存的資料，來強化基於裝置的個人模型，要在更加隱私安全的情況下，提供更好的個人化體驗。</p> <p>MemoryCache由一組腳本和簡單工具所組成，可用來改進本地端的privateGPT模型運作。MemoryCache可快速儲存瀏覽器歷史紀錄到本地裝置，再讓本地端的AI模型，透過處理這些資料和用戶提供的檔案，來強化內建的privateGPT聊天介面回應。此外，MemoryCache專案包含Firefox擴充套件，能儲存網頁到本地資料夾中，另有個殼層腳本負責監控資料夾的變化，一旦有新檔案進入資料夾，就會執行privateGPT的ingest.py腳本會進一步處理。<a href="https://future.mozilla.org/blog/introducing-memorycache/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Phi-2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小型語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟27億參數小語言模型Phi-2，表現勝過130億參數Llama 2</strong></span></p> <p>微軟在12日發表一套小型語言模型Phi-2，只有27億參數，但在許多測試上超越了70億參數的Mistral、130億參數的Llama 2，以及Google剛發表的32億個參數Gemini Nano 2。微軟在今年6月發表基於Transformer架構的Phi-1模型，僅13億參數，是為了撰寫基本Python程式碼而設計的小型語言模型，9月則進一步發表Phi-1.5，能力擴展至常識推理和語言理解。</p> <p>最新的Phi-2則號稱媲美25倍參數量的模型，訓練素材同樣基於「教科書等級」概念，涵蓋科學、日常活動與心理學等，再加上篩選過、具教育價值的高品質網路內容，將參數量從13億擴大至27億。Phi-2在96個A100 GPU上，以1.4兆個Token進行了14天的訓練。經各種基準測試，如評估語言模型處理複雜及具挑戰性任務的BBH、常識推理、語言理解、數學及撰寫程式碼等，Phi-2的表現全都優於擁有130億個參數的Llama-2，也優於70億參數的Mistral。<a href="https://www.microsoft.com/en-us/research/blog/phi-2-the-surprising-power-of-small-language-models/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/research/uploads/prod/2023/12/figure2_phi_comp-2048x474.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mixtral 8x7B </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Llama 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SMoE </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mistral AI開源Mixtral 8x7B模型，效能超越Llama 2</strong></span></p> <p>Mistral AI開源最新模型Mixtral 8x7B，是一款467億參數、具開放權重的稀疏混合專家模型（SMoE），能處理32,000個Token上下文長，且大多數基準測試表現都優於700億參數的Llama 2 70B和GPT 3.5模型。稀疏混合專家模型是一種深度學習架構，適合用來建置大型、高效的神經網路。其核心概念是專家系統，也就是網路中特定的子模組或子網路，代表每個專家，專門處理特定類型任務。而SMoE的稀疏性，則是指每次輸入僅會觸發一小部分專家，來降低運算成本，因此Mixtral 8x7B模型在處理每個Token時，只會選擇並使用其中的129億個參數。</p> <p>經測試，比起Llama 2 70B模型，Mixtral 8x7B在多數基準測試中表現更好，推理速度比Llama 2 70B快上6倍，且Mixtral 8x7B在大多數標準基準測試中，表現也與GPT3.5相當，甚至更好。Mixtral 8x7B目前能處理英文、法文、義大利文、德文和西班牙文，其生成程式碼能力也很出色，與GPT 3.5相當。<a href="https://code.visualstudio.com/updates/v1_59#_terminal">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI法案 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歐盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風險 </span></strong></span></p> <p><span style="font-size:22px;"><strong>歐盟達成共識，推出人工智慧法案</strong></span></p> <p>歐盟執委會（EC）日前宣布，歐洲議會與歐盟理事會已就人工智慧法案（AI Act）達成政治協議，成為全球首個AI綜合法令框架，將用來規範AI系統供應商和使用AI的組織，亦可望成為全球制定AI法令的基準。</p> <p>AI Act將AI系統分類成最小風險、高風險、不可接受的風險，以及透明度風險。大多數的AI系統屬於最小風險，如推薦系統或垃圾郵件過濾機制等，相關供應商不必承擔義務。高風險系統則涵蓋關鍵基礎設施、執法或公領域系統、生物辨識與情緒辨識系統等，必須遵守嚴格的要求，如具備風險緩解系統、資料集、活動紀錄、詳細的文件及人工監督等。</p> <p>至於不可接受風險，是指可操縱人類行為以規避自由意志的系統或程式，透明度風險則要求人們必須能辨識與之交流的對象或內容，是否源自AI。未遵守AI Act的業者將被罰款，最高款項為3,500萬歐元或年營收的7%。在達成政治協議後，歐盟將著手撰寫共識版的AI Act，理論上可於本月底通過正式法令，並於兩年後生效。<a href="https://www.consilium.europa.eu/en/press/press-releases/2023/12/09/artificial-intelligence-act-council-and-parliament-strike-a-deal-on-the-first-worldwide-rules-for-ai/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Pro </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vertex AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google開放測試企業級Gemini Pro了</strong></span></p> <p>繼日前發表全新的多模態大型語言模型Gemini後，Google又針對開發者和企業推出Gemini Pro，使用者可透過Google Cloud的Vertex AI平臺存取。Google將Gemini分為3種版本，分別是最強大的Gemini Ultra，最通用的Gemini Pro，以及可於行動裝置上執行的Gemini Nano。其中，Gemini Pro支援32K的文字脈絡長度，具備函式呼叫、嵌入、語義檢索、客製化知識基礎及聊天功能，提供各種SDK，並支援Python、Android（Kotlin）、Node.js、Swift及JavaScript等程式語言。</p> <p>基本的Gemini Pro僅接受文字輸入與輸出，另有一個Gemini Pro Vision多模態終端則可接受文字及圖像輸入，但僅會輸出文字。Gemini Pro現可於全球逾180個國家使用，支援38種語言，開發者以Google帳戶登入Google AI Studio即可免費試用，其免費額度為每分鐘輸入60個請求，當需要托管環境時，也可輕易將成果遷移至Vertex AI。Google預計明年初推出付費服務，企業用戶亦可透過已整合Gemini Pro的Vertex AI平臺來試用該服務。<a href="https://blog.google/technology/ai/gemini-api-developers-cloud/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Purple Llama </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可信任 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta發布Purple Llama專案推動開源可信的生成式AI應用</strong></span></p> <p>隨著生成式AI爆紅，AI安全規範也越發重視。Meta最近推出Purple Llama新專案，要提供開放信任且安全的評估標準和工具，來讓開發者負責任地部署生成式AI模型和應用程式。Purple Llama目前提供CyberSec Eval評估標準，以及Llama Guard輸入輸出安全分類器，之後會新添更多工具。</p> <p>進一步來說，在網路安全方面，Purple Llama將建立安全評估基準，包括量化大型語言模型網路安全風險的指標，以及評估不安全程式碼建議頻率的工具，還有讓生成惡意程式碼，或協助網路攻擊更加困難的大型語言評估工具。該專案在過濾輸出和輸入方面，則提供了Llama Guard分類器，能用來檢查和過濾大型語言模型的輸入和輸出，以符合特定應用的內容指導原則，防止大型語言模型生成具有潛在風險的輸出。Llama Guard使用公開的資料集訓練，以偵測常見的潛在風險和違規內容，用戶可以自定義模型，以支援特定用例。<a href="https://about.fb.com/news/2023/12/purple-llama-safe-responsible-ai-development/">（詳全文）</a></p> <p>圖片來源／LangChain、DeepMind、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/160364">中醫大附醫採用醫療專科級MedLM打造AI輔助醫師</a></strong></p> <p><strong>2. AI新創聯手阿聯酋大學發起<a href="https://www.llm360.ai/">透明度框架LLM360</a>，率先釋出2款模型 Amber-7B和CrystalCoder-7B</strong></p> <p><strong>3. <a href="https://cloud.google.com/blog/products/ai-machine-learning/imagen-2-on-vertex-ai-is-now-generally-available">Google發布Imagen 2圖片生成模型</a>，支援中英在內7種語言</strong></p> <p><strong>4. <a href="https://blogs.microsoft.com/accessibility/seeing-ai-app-launches-on-android-including-new-and-updated-features-and-new-languages/">微軟推出幫助視障者「聽」東西的Seeing AI App</a></strong></p> <p><strong>5. Google承認Gemini示範影片經剪輯</strong></p> <p>資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/17 12:14作者王若樸https://www.ithome.com.tw/news/160384
微軟Xbox Cloud Gaming、PowerPoint、Excel與Word正式登上Meta Quest Sto…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與Meta在去年10月攜手宣布，要將Xbox Cloud Gaming、Microsoft Teams與Microsoft Windows 365帶到Meta Quest虛擬實境裝置上，而一直到了上周三（12/13），微軟終於在Meta Quest Store釋出了<a href="https://www.meta.com/experiences/6096836170400630/" target="_blank">Xbox Cloud Gaming</a>，隔天便接著推出支援Meta Quest的<a href="https://www.meta.com/experiences/7187698601274841/" target="_blank">Word</a>、<a href="https://www.meta.com/experiences/6420558991382261/" target="_blank">Excel</a>與<a href="https://www.meta.com/experiences/24038848309063606/" target="_blank">PowerPoint</a>。</p> <p>其中，Word、Excel與PowerPoint支援了所有的Meta Quest裝置，從早期的Meta Quest、Meta Quest 2、Meta Quest 3到最高階的Meta Quest Pro，Xbox Cloud Gaming則僅支援Meta Quest 2、Meta Quest 3與Meta Quest Pro。</p> <p>出現在Meta Quest Store中的Xbox Cloud Gaming仍是測試版，Meta Quest用戶下載後可先與藍牙遊戲控制器配對，之後再登入微軟帳號，透過有效的Xbox Game Pass Ultimate會員資格執行遊戲，或是註冊試用Xbox Game Pass Ultimate。玩家可瀏覽與執行Xbox Game Pass Ultimate中的數百款遊戲，並有4種螢幕尺寸可供選擇。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-Xbox%20Cloud%20Gaming%20(Beta)-meta%20quest-600.jpg" style="width: 600px;" /></p> <p>而Meta Quest裝置上所執行的Word、Excel與PowerPoint則源自於Office網頁程式，因此可免費使用，若要執行更複雜的功能則必須訂閱Microsoft 365。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-meta%20quest%20word-600.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-meta%20quest%20powerpoint-600.jpg" style="width: 600px;" /></p> <p>根據《Android Central》的測試，在Meta Quest裝置執行上述Office程式可一次開啟多個檔案，它可追蹤使用者的手勢，也支援以藍牙連結的滑鼠及鍵盤。</p> <p>隨著蘋果首款混合實境（MR）頭戴式裝置Apple Vision Pro即將於明年上半年問世，VR/AR/MR裝置市場可望在明年出現新的景象，根據市場研究機構<a href="https://www.counterpointresearch.com/insights/global-xr-ar-vr-headsets-market-share/" target="_blank">Counterpoint今年第二季的調查</a>，目前該市場由Meta以50%的市占率領先，Sony以28%居次。</p> <p>對於即將面臨來自蘋果的競爭，Meta創辦人暨執行長祖克柏（Mark Zuckerberg）曾向員工信心喊話，指出Vision Pro對於Meta Quest團隊所面臨的挑戰並沒有任何神奇的解決方案，只是配備了更高解析度的顯示器，再利用所有的技術來推動它，使得它售價高昂，也需要更多的電力，還需要電池及纜線才能使用，但Meta卻想確保每個人都能負擔得起該公司所推出的產品。</p> <p>Apple Vision Pro的售價為3,499美元，Meta最高階的Meta Quest Pro為1,499美元，而配備128GB儲存空間的Meta Quest則是499美元。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> </div></div></div>
2023/12/18 08:43作者陳曉莉https://www.ithome.com.tw/news/160377
Google應用Sanitizer提升Android行動通訊基頻安全性，但認為過渡Rust才是長期解方
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://security.googleblog.com/2023/12/hardening-cellular-basebands-in-android.html">揭露</a>提高Android行動通訊基頻（Cellular Baseband）安全性的方法，透過採用兩種偵測工具（Sanitizer），以防止基頻中特定類型的漏洞。Google指出，他們在裸機環境中，針對C/C++程式碼庫部署偵測工具，以減輕未知漏洞的風險。</p> <p>Google持續著手解決Android記憶體安全漏洞的數量，不只是在Android作業系統上，範圍也擴及到裝置的韌體，而Google優先強化了行動通訊基頻，官方解釋，因為行動通訊基頻在執行時具有較高的權限，而且需要解析從外部遠端傳入裝置的不受信任輸入。</p> <p>Google引用之前的研究指出，行動通訊基頻韌體普遍缺乏漏洞防範措施。基頻遠端程式碼執行漏洞在第三方市場已經有其分類，而且價格相對較低，官方表示，這代表基頻錯誤數量可能很多，或是發現和濫用起來並不複雜。近年來行動通訊基頻也都成為安全會議的重要主題，有鑒於該趨勢和漏洞的嚴重性與普及性，行動通訊基頻遠端程式碼執行漏洞也被Google列為非常嚴重等級。</p> <p>為此，Google也開始相對應的措施，透過使用Clang工具鏈的偵測工具，插入Runtime來發現常見的漏洞類別。過去Google已經應用在Android使用者空間多年的偵測工具，包括BoundSan（BoundsSanitizer）與IntSan（Integer Overflow Sanitizer），也剛好非常適合用在行動通訊基頻，因為這兩個偵測工具不需要作業系統和特定架構功能的支援，並且普遍支援所有Clang目標。</p> <p>BoundSan透過在部分陣列存取處，插入邊界檢查程式碼，來確保存取不會超過陣列邊界。BoundSan僅會在編譯器無法於編譯時證明存取是安全的，並且在執行時已知道陣列的大小時，才會添加程式碼進行檢查。因此BoundSan不會涵蓋所有的陣列存取，畢竟在執行時不一定會知道陣列大小。</p> <p>而IntSan則會終止有號與無號整數溢位執行，除非溢位行為是刻意為之，不過Google提到，雖然無號整數溢位在技術上是已定義的行為，但是像是當其用於陣列索引時，經常會導致意料之外的行為和漏洞。由於大多數的程式碼庫都可能存在有意或是無意的溢位，因此使用IntSan會需要開發者對程式碼進行重構與註釋，並透過測試發現需要解決的溢位。</p> <p>不過BoundSan和IntSan的應用對效能產生一定的影響，因此只能應用在特別關鍵的攻擊面，像是解析訊號、處理複雜格式的函式庫，或是IMS、TCP和IP堆疊等。此外，Google也強調過渡到記憶體安全語言的長期價值，即便不全部以Rust重寫，僅在新的程式碼中使用Rust，就能夠顯著減少記憶體安全漏洞，並提到雖然偵測工具有助於提升程式碼庫安全性，但是卻無法完全消除漏洞。</p> </div></div></div>
2023/12/14 22:11作者李建興https://www.ithome.com.tw/news/160345
Google開放開發者及企業測試Gemini Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/160193" target="_blank">日前發表</a>全新的多模態大型語言模型Gemini之後，Google周三（12/13）針對開發者與企業推出了Gemini Pro，前者可透過Google AI Studio中的Gemini API使用，後者則可藉由Google Cloud的Vertex AI平臺存取。</p> <p>定位於多模態LLM的Gemini支援文字、圖像及聲音的輸入，Google將其分為3種版本，分別是最強大的Gemini Ultra，最通用的Gemini Pro，以及可於行動裝置上運作的Gemini Nano。目前Google已將Gemini Nano應用於Google Pixel 8上，也於Google Bard聊天機器人中整合了Gemini Pro，現在則進一步開放開發者及企業使用Gemini Pro。</p> <p>此版Gemini Pro支援32K的文字脈絡長度，具備函式呼叫、嵌入、語義檢索、客製化知識基礎及聊天功能，提供各種SDK，也支援Python、Android（Kotlin）、Node.js、Swift及JavaScript等程式語言。基本的Gemini Pro僅接受文字輸入與輸出，另有一個Gemini Pro Vision多模態終端則可接受文字及圖像輸入，但僅會輸出文字。</p> <p>Google AI Studio為一免費的網頁開發者工具，可用來開發提示，進而取得可用於程式開發的API金鑰。</p> <p>Gemini Pro現已可於全球逾180個國家使用，支援38種語言，開發者以Google帳戶登入Google AI Studio即可免費試用，其免費額度為每分鐘輸入60個請求，當需要托管環境時，也可輕易將成果遷移至Vertex AI，<a href="https://ai.google.dev/pricing" target="_blank">預計於明年初推出付費服務</a>，屆時每輸入1,000個字元的費用是0.00025美元，每輸入一個圖像的費用則是0.0025美元，每1,000個字元的輸出費用則是0.0005美元。企業用戶亦可透過已整合了Gemini Pro的Vertex AI平臺來試用該服務。</p> <p>值得注意的是，當開發者使用Gemini Pro的免費額度時，其API與Google AI Studio的輸入與輸出可能會被審核人員存取，目的是為了改善服務品質，但相關資料會移除可用來辨識身分的資訊。</p> </div></div></div>
2023/12/14 14:17作者陳曉莉https://www.ithome.com.tw/news/160326
Cloudflare年度報告揭露全球網路流量成長25％，Log4j仍是最受駭客青睞的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare發布了<a href="https://blog.cloudflare.com/radar-2023-year-in-review/#bottraffic">第四次網際網路趨勢報告</a>，這個報告分為流量分析與趨勢、連接與速度，以及安全三個類別。該報告內容主要來自Cloudflare Radar的分析，Cloudflare網路遍及全球310個城市，每秒處理5,000萬次的HTTP(S)請求，以及每秒7,000萬次的DNS請求，Radar結合這些龐大的資料以及Cloudflare各種工具資料，能夠提供接近即時的網際網路趨勢和模式觀察。</p> <p>分析2022年到2023年的全球網際網路流量趨勢，Cloudflare指出，2023年較前一年網路流量成長了25％，成長高峰與2022年相當。而究竟2023年受網路使用者歡迎的是哪些服務？（下圖）根據Cloudflare的1.1.1.1公共DNS解析器的資料分析，Google繼續蟬聯第一，接下來則是臉書、Apple，而原本在2021年第一名的TikTok，在今年跌至第4名，第5名則是微軟。在人工智慧方面，由於ChatGPT的成功與受歡迎程度，OpenAI成為該領域第一，而在加密貨幣服務類別中Binance仍是第一名。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted-image-0--24-.png" style="width: 580px;" /></p> <p>根據Cloudflare的觀察，2023年Android與iOS的使用分布與2022年保持一致，全球超過三分之二的流量來自於Android裝置，有25個國家Android裝置流量占比超過90％。而行動裝置流量的占比也逐漸擴大，現在全球已經有超過40％的網路流量來自行動裝置，甚至有80個國家，大部分的流量來自行動裝置。</p> <p>Cloudflare也分析衛星網路Starlink相關的流量，發現Starlink整體流量在2023年成長達到3倍，在美國流量成長2.5倍，巴西成長超過17倍，Cloudflare提到，只要開通Starlink服務的國家，像是肯亞、菲律賓和尚比亞等國家，流量皆是迅速成長。</p> <p>Cloudflare Radar掃描前5,000個網域，發現Google Analytics是遠遠領先的分析工具，而React則在JavaScript框架類別明顯領先（下圖）。隨著開發人員越來越多使用自動化API呼叫，支援動態網站和應用程式，Cloudflare分析其所使用的語言，有15％自動化API請求來自NodeJS客戶端，其他Go、Java、Python和.NET也都占有一定比例。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted-image-0--6-.png" style="width: 580px;" /></p> <p>IPv6推廣至今，其普及程度仍有待努力，Cloudflare指出，2023年全球只有大約三分之一的網路請求使用IPv6協定。印度是全球IPv6最普及的地方，有70％的雙堆疊請求透過IPv6進行，也就是在同時擁有IPv4和IPv6處理能力的網路裝置中，有70％請求採用IPv6，這在全球是非常高的比例。馬來西亞、沙烏地阿拉伯、越南、希臘等國家，也有超過一半的雙堆疊請求以IPv6進行。但也有約40個國家，在雙堆疊請求使用IPv6的比例仍不到1％。</p> <p>2023年網路攻擊的第一目標是金融業，包括行動支付、投資/交易以及加密貨幣網站和相關組織，攻擊集中在奧地利、瑞士、法國、英國等歐洲國家，還有加拿大、美國等美洲國家。而在非洲，包括製造運動器材、醫療測試設備等製造商，則是網路犯罪者主要攻擊目標。</p> <p>欺騙性連結和勒索是惡意電子郵件最常見的兩種威脅類型，而Cloudflare觀察2023年常見的網路攻擊漏洞和趨勢，發現Log4j雖然是一個較舊的漏洞，但仍是2023年網路犯罪者主要攻擊的漏洞，全球Log4j的攻擊流量一直遠大於其他漏洞，尤其在10月底到11月中期更出現高峰。</p> <p>除了擔心眼下的資安威脅，不少企業也開始著手防範量子電腦解密攻擊，隨著網路服務供應商和Chrome瀏覽器的更新，目前已經使用後量子加密TLS 1.3的流量正在增加，至11月底已達到1.7％，Cloudflare預期這個比例將會在2024年快速成長。</p> </div></div></div>
2023/12/13 21:24作者李建興https://www.ithome.com.tw/news/160310
【資安月報】2023年11月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年11月的資安新聞，最讓我們印象深刻的就是，看到防詐議題逐漸升格成為需要獨立看待的威脅。</p> <p>更關鍵的是，從2019年我們報導深度偽冒Deepfake與AI語音技術門檻降低的情形，現在2023年，許多專家已開始呼籲與提醒，真偽難辨的AI詐騙已是現在進行式。</p> <p>近期我們注意到有兩大事件，都與這方面的議題相關，包括：</p> <p>（一）11月下旬，第一屆亞洲防詐高峰會（ASAS）在臺舉行，不僅公布了亞洲10國最常見的詐騙場景，第一嚴重是「身分盜用（含個資盜用/盜刷）」，其次是「購物詐騙」，第三為「投資詐騙」，現場多位專家更是指出，AI詐騙時代已來臨，不肖份子已將文字轉語音、以及一些Deepfake技術用於詐騙，因此，個人與企業的防詐態度也必須調整。</p> <p>（二）<a href="https://services.google.com/fh/files/misc/google-cloud-cybersecurity-forecast-2024.pdf">Google Cloud在11月9日，發布2024年網路安全預測報告</a>，當中一項預測就是指出，隨著惡意生成式AI興起，如FraudGPT和WormGPT等，將使網釣內容更逼真，減少過去拼寫或語法錯誤的問題，或是缺乏文化背景的情況。甚至虛假內容的深度偽造照片與影片，將延伸至主流新聞平臺，降低公眾資訊的信任，未來，企業或政府要與其受眾進行交流，可能會變得越來越困難。其實還有多家資安業者都在2024年度資安預測中，提及這方面的議題。</p> <h3><strong>近期資安業者揭露2023年中國駭客網路攻擊的社交工程新樣態</strong></h3> <p>回顧過去十多年，不只是臺灣社會新聞，有非常多的網路詐騙案件報導，在國際間，像是美國FBI旗下網路犯罪投訴中心（IC3）每年也會公布各類詐騙案件與損失金額，尤其是商業電子郵件詐騙，因其詐騙金額之高，企業頻頻受害，屢屢登上資安新聞版面。</p> <p>在許多網釣攻擊事件中，很多也包含了與身分冒用、社交工程有關的詐騙伎倆。事實上，社交工程就是利用人類心理與人際關係的攻擊手法，會運用欺騙或誘導的伎倆。</p> <p>以針對企業組織人員的社交工程手法而言，近期我們也得知，現在的網釣行動，正採用更多一般詐騙會慣用的伎倆。12月1日我們參加安碁資訊的活動時，看到他們介紹了2023年看到的社交工程新攻擊樣態，當中說明了兩起中國駭客組織BlackTech的攻擊手法。</p> <p>第一起事件，其釣魚郵件的名義是假借活動邀請，並在郵件中提供惡意超連結，若使用者不上當，則會再次發信提醒受害者參加。簡單來說，攻擊者是透過日常溝通方式，設法降低人員的戒心。</p> <p>第二起事件，則是攻擊者偽裝成一般民眾，先發送正常的內容至民眾服務信箱，詢問政府相關法規事宜，以降低政府人員警覺，並取得信任，等政府人員回覆後，攻擊者再接續詢問，但此時會在郵件中夾帶惡意連結。</p> <p>這樣的手法，其實跟往年常見的愛情詐騙的過程十分相似，邏輯幾乎相同，一開始先正常交友對話，後面才用其他藉口，來達到其騙錢的意圖，而這裡的目的則是要騙使用者去點擊惡意連結。</p> <p>可惜的是，一般民眾對於上述這類消息仍然相當陌生。</p> <p>即便是對於民眾的詐騙手法，到了2023年，有些民眾也是知之甚少。</p> <p>以解除分期詐騙來說，過去七八年來，警方一再公布這類詐騙手法，駭客會假冒電商或品牌客服人員來電，再假冒金融業者客服來電，不只是新聞報導，還有許多接到詐騙的民眾在網路上分享自身經驗，指出對方知道自己的購物內容，疑似電商發生資料外洩。</p> <p>但是，有些民眾仍只知道詐騙很多，並不太關心這方面問題。像是最近有受害民眾在網路上分享受害經驗，他表示自己接到電話時，認為應該是詐騙，但等到對方客服跟他確認個人資料與訂單資料後，他又相信了對方，因此聽從對方而造成金錢受騙。</p> <p>這也意味著，該民眾之前可能沒有深入了解這些警方呼籲的內容，以及新聞或網友分享的這方面的內容，因此不太知道實際網路威脅現況，例如，詐騙者知道你的訂單記錄與個資已是常態，對方會雙重假冒客服及銀行人員，ATM不提供取消分期功能，種種資訊落差造成受害者無法了解為何要再透過第二管道確認。</p> <p>他們更沒想過的是：這些詐騙都是濫用合法管道去散布，我們與他人用一些常見的管道溝通，詐騙集團也會用同樣管道、假冒名義來跟你溝通。</p> <h3><strong>國際間已有AI詐騙實例，臺灣民眾防詐觀念必須轉變</strong></h3> <p>更重要的是，面對AI詐騙的新興威脅，全球也在設法應對，並示警這類威脅已經實際發生。</p> <p>例如，今年<a href="https://www.ftc.gov/news-events/news/press-releases/2023/11/ftc-announces-exploratory-challenge-prevent-harms-ai-enabled-voice-cloning">11月16日，美國聯邦貿易委員會（FTC）宣布舉辦一項挑戰賽，目的是防止AI語音複製的危害</a>，當中提到他們今年曾示警，詐騙者正將AI技術用於親人緊急詐騙。</p> <p>FTC指出，這些AI詐騙，可能使詐騙者更容易冒充家人、朋友或企業主管。因此，聲音也將變得不能相信。最好的方式就是查證與核實情況，從自己知道的號碼回撥，或透過其他家庭成員朋友幫助聯繫，透過第二管道來確認。此外，之前不少執法單位與資安界人士也表示，雙方可能要擁有彼此之間的通關密語，透過更多方式來確認。</p> <p>值得我們警惕的是，國際間已經開始有此狀況，臺灣雖然少有聽聞，但民眾應該先要知道這件事。</p> <p><span style="color:#0066ff;"><strong>過去可能大家會注意，文字式的即時通訊，網路另一端可能不是真正的對方，除非我們看得到影像、聽得到聲音，才相信是對方是真正的對方。</strong></span></p> <p><span style="color:#0066ff;"><strong>但是現在，在AI詐騙興起之下，首先要扭轉的觀念就是，即便看到對方影像、聽到對方聲音，都沒有問題，但是，現在不只要想到對方是否可能被要脅，也要預先設想對方是否並非本人，特別是當對方說出異於平時的要求時。</strong></span></p> <p>企業更要擔心的是，過去帶來極大損失的商業電子郵件詐騙（BEC），若是也在AI詐騙加持之下，假冒自家老闆來電或視訊，通知財務人員匯款至另一帳戶，將可能使BEC詐騙問題變得更嚴重。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159646"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月30日到11月3日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有兩個新揭露的已知漏洞隨即遭攻擊者鎖定的消息，持續提醒企業及時修補的重要性。</p> <p>（一）Apache軟體基金會的訊息導向中介軟體ActiveMQ，在10月25日釋出新版修補CVSS風險高達10分的漏洞CVE-2023-46604。相隔兩日，資安業者發現勒索軟體HelloKitty的駭客開始鎖定此一已知漏洞，針對尚未修補該漏洞的企業發起攻擊行動。<br /> （二）F5在10月27日針對應用程式交付平臺BIG-IP修補兩個漏洞，分別是CVE-2023-46747與CVE-2023-46748，到了10月30日，F5更新公告指出，修補釋出後發現開始有攻擊者在攻擊行動中利用這兩個已知漏洞。</p> <p>其他重要漏洞修補消息中，包括適用於K8s環境的Nginx Ingress控制器有多個漏洞修補，以及Atlassian針對DevOps協作平臺Confluence的重大漏洞修補，已有研究人員與業者示警應盡速修補。</p> <p>在資安防禦進展上，本週我們關注到有多個焦點，統整為以下五大範疇：漏洞評分標準、攻擊手法解析、勒索軟體防範、AI安全法規推動，以及科技大廠宣布調整資安應對策略。<br /> ●FIRST推出新版漏洞風險評分系統CVSS 4.0：這是2019年6月CVSS 3.1版推出後的重大改版，新版分數呈現上不只有列出基本分數的CVSS-B，還加上威脅評分的CVSS-BT、加上環境評分的CVSS-BE，以及統合3種分數的CVSS-BTE。<br /> ●MITRE發布第14版ATT&CK：當中指出隨著攻擊者不斷發展對人性弱點（human vulnerabilities）的利用，因此這次版本擴大到這類非技術攻擊面，例如：T1657的金融竊盜、T1656的模擬冒充、T1598.004的魚叉式網路釣魚語音。<br /> ●AI安全持續受全球政府關切：10月30日美國總統拜登簽署首個AI行政命令，11月1日英國號召的首屆AI安全高峰會（AI Safety Summit）舉行，多國簽署布萊切利宣言，並就人工智慧最前線（Frontier AI）所帶來的機會與風險達成共識。<br /> ●對抗勒索軟體威脅仰賴全球合作：美國主導的國際反勒索軟體高峰會（CRI）今年邁入第3屆，制訂首個CRI聯合政策聲明，成員數目亦達到50個，新增國際刑警組織，以及埃及、希臘、約旦等12國。<br /> ●面對持續升溫的網路威脅，微軟宣布即日起將採新應對措施：該公司提出Secure Future Initiative（SFI）的未來安全倡議，將從三大方面著手，發展基於AI的安全防禦、落實安全軟體開發，以及呼籲制定更全面性的國際資安規範。</p> <p>在威脅事件焦點方面，近日有兩起受關注，一是航空製造業龍頭波音證實遭遇網路攻擊，導致零件配送網站服務中斷，另一是身分驗證解決方案業者Okta再傳資料外洩，起因為第三方供應商遭駭。</p> <p>我們也特別注意到一個新的威脅態勢，近期有資安業者揭露網路犯罪供應鏈的分工是越來越細緻，不只是前幾年常提到的「初始入侵管道掮客（Initial Access Broker）」，就連攻擊者使用的短網址也有專門供應商服務，並指出這樣的組織至少已存在4年之久，註冊上萬網域來提供攻擊行動的短網址服務。</p> <p>另一個無法忽略的狀況是，今年早先發生的資安事件，至今仍持續有相關消息傳出，顯示後續影響仍大。例如，近期有多家業者傳出的資安事件，起因公布是先前MOVEit Transfer零時差漏洞攻擊所導致；有加密貨幣竊盜事故，研究人員指出起因疑與先前密碼管理解決方案LastPass資料外洩有關；此外，針對2020年SolarWinds供應鏈攻擊事故，美國證券交易委員指控該公司蓄意隱瞞。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159285"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月6日到11月10日</span></a></strong></h2> <p>在這一週漏洞利用消息中，今年5月曾發動MOVEit Transfer零時差漏洞攻擊的駭客組織，近期有了新的目標，成為最大關注焦點，還有兩個已知漏洞遭攻擊者鎖定利用的情形也必須留意。</p> <p>（一）IT服務管理軟體供應商SysAid在11月8日修補已遭利用的零時差漏洞CVE-2023-47246，並說明微軟威脅情報團隊已確定幕後攻擊者是勒索軟體駭客組織Lace Tempest（亦稱Clop、TA505），由於該組織在今年5月底曾發動MOVEit Transfer零時差漏洞攻擊，因此格外引發關注。目前，已陸續有資安業者說明，在10月30日、11月2日就發現該漏洞被利用於攻擊行動的跡象。<br /> （二）Atlassian在10月31日修補旗下DevOps協作平臺Confluence重大漏洞CVE-2023-22518，有資安業者發現11月5日該漏洞正開始被用於攻擊行動，並造成Confluence伺服器感染勒索軟體Cerber。<br /> （三）我們新發現這一周資安日報未提及的漏洞利用消息，是關於今年4月底資安業者揭露服務定位協定（Service Location Protocol，SLP）的高風險漏洞CVE-2023-29552，當時指出駭客可藉此漏洞發動DoS攻擊，並警告存在此漏洞的裝置種類與數量都多，包括許多美國財富1000強的企業，在最近11月8日，該漏洞發現被攻擊者實際利用於攻擊行動。</p> <p>本周其他重要的漏洞修補消息方面，包括：威聯通修補旗下NAS作業系統2個重大漏洞，Veeam針對旗下IT監控解決方案Veeam ONE修補兩個重大漏洞。此外，ZDI本周公開4個Exchange零時差漏洞，呼籲用戶採取緩解，並說明9月已通報微軟，微軟則說明其中之一在8月已修補，其餘則評估沒有立即修補必要。</p> <p>在威脅事件焦點方面，我們看到持續有不同產業遭遇資安事件的情形，例如：<br /> ●雲端SIEM平臺業者Sumo Logic公告資安事故，察覺自家使用的雲端服務遭駭。<br /> ●跨國聯鎖五金零售業者Ace Hardware公告發生資安事故，大部分的IT系統皆面臨中斷或暫停運作的情況。<br /> ●樂高市集BrickLink遭網路攻擊，有少部分帳號遭未經授權存取並被用來行騙。<br /> ●印度政府機關遭駭客組織SideCopy利用WinRAR漏洞攻擊被資安業者揭露<br /> ●柬埔寨政府遭中國駭客使用基礎設施偽裝成雲端備份服務的方式攻擊被資安業者揭露</p> <p>另一關注焦點在於，10月下旬Okta客戶支援系統遭駭，有了後續消息。該公司在11月初揭露調查結果，指出駭客存取的資料影響了134家客戶，並指出攻擊者利用Okta系統之間溝通的Service Account，執行攻擊行動，我們也特別注意到，Okta所公布的事件起因，值得企業警惕：他們認為這起事件可能與員工Google帳號遭駭有關，因為該員工曾在公司筆電上登入個人Google帳號，導致公司的服務帳戶帳密儲存到個人Google帳戶。</p> <p>在新興威脅態勢上，有惡意程式開發者宣稱，Google Calendar的事件描述可被轉換成C2加以濫用，這類隱密攻擊手法，引起資安界的討論與關注。其他一些惡意活動被揭露的消息，也不容輕忽，包括：透過PyPI套件散布惡意軟體BlazeStealer的情形，透過企業臉書帳號發布惡意廣告散布NodeStealer竊資，透過WordPress網站下達攻擊命令的惡意程式GootLoader變種，以及名為Socks5Systemz的代理伺服器殭屍網路被揭露等。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159907"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月13日到11月17日</span></a></strong></h2> <p>在這一星期有微軟、SAP等每月例行安全更新修補釋出需要注意，特別要關切的是，當中包含5個零時差漏洞修補，同時還有更多已知漏洞遭利用的情形，我們持續提醒企業修補要及時，別成為受害者。</p> <p>（一）有3個已遭利用零時差漏洞，以及2個細節已公開的零時差漏洞。狀態如下：<br /> 微軟發布11月例行更新，修補63個漏洞中，有5個零時差漏洞，其中3個修補發布時已遭鎖定利用，包括：位於桌面視窗管理員（DWM）核心程式庫的漏洞CVE-2023-36033，涉及Windows SmartScreen安全功能繞過的漏洞CVE-2023-36025，檔案系統驅動程式CldFlt的漏洞CVE-2023-36036，另2個零時差漏洞相關細節已被公開，幸好修補釋出前沒有被利用的消息。</p> <p>（二）有多個已知漏洞，近期確認有遭攻擊者利用的消息，是我們整理這星期內容時新發現、資安日報尚未提及，在此補上。<br /> ●微軟上個月10月修補涉及MOTW安全功能繞過的漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36584">CVE-2023-36584</a><br /> ●Juniper今年9月修補EX、SRX產品的5個可串聯漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36844">CVE-2023-36844</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36845">CVE-2023-36845</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36846">CVE-2023-36846</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36847">CVE-2023-36847</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36851">CVE-2023-36851</a><br /> ●Sophos今年4月修補上網安全閘道系統Web Appliance漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-1671">CVE-2023-1671</a><br /> ●甲骨文在2020年修補Oracle Fusion Middleware的漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2020-14750">CVE-2020-14750</a></p> <p>在國內，有兩大事件成為焦點，都與上市公司有關。首先，是化工業上市公司<a href="https://s4.itho.me/sites/default/files/images/2023-11-17_104822.jpg">「中華化」在11月12日發布資安事件重大訊息</a>，說明在11日發生部份資訊系統遭受駭客網路攻擊的情況：另一起事件雖是常見的臉書粉專被盜，本週iThome資安日報未報導，因受害的泰山企業是上市櫃公司並涉及對方要求付錢贖回粉專的勒索行為，也引起大眾關注——<a href="https://s4.itho.me/sites/default/files/images/%E6%B3%B0%E5%B1%B1%E7%B2%89%E5%B0%88%E8%A2%AB%E7%9B%9C.jpg">16日下午5點半，我們得知上市食品工業泰山的臉書粉專在一小時前被盜用的消息</a>，劫持粉專者將粉專名稱改為2607，並公開張貼一則訊息：「給我錢，我會返回頁面」，當日晚間10點<a href="https://s4.itho.me/sites/default/files/images/2023-11-17_104951.jpg">泰山也發重大訊息針對媒體報導說明</a>。</p> <p>在資安威脅與事件方面，我們認為有下列5起事件值得留意：<br /> ●物流業者杜拜環球港務集團（DP World）近日遭網路攻擊，並導致澳洲多個港口運作受到衝擊，迫使該公司暫停營運三天，特別的是，研究人員指出，除了DP World，近期還有中國工商銀行美國子公司等多起事件，原因都是未修補已知Citrix Bleed漏洞導致。（該漏洞10月10日揭露與修補，10月18日已警告有攻擊者鎖定利用情形）<br /> ●駭客行徑更為囂張，惡人先告狀！像是勒索軟體集團AlphV發動攻擊後，近期公開表示他們到美國證交所（SEC）網站填寫資料，聲稱已舉報受害公司並未依規定揭露遭到網路攻擊。<br /> ●日本數位廳提出警告，表示有攻擊者假借入境通關線上表單Visit Japan Web名義的App。由於疫情後國內前往日本旅遊暴增，務必防範此事發生。<br /> ●丹麥關鍵基礎設施今年5月遭遇俄羅斯駭客大規模攻擊，當地SektorCERT揭露，起因是當地多家經營能源關鍵基礎設施業者的資安工作未落實，因為他們所用的兆勤科技（Zyxel）防火牆有漏洞，廠商在4月底已公告相關消息，這些業者卻遲遲未修補而遭駭。<br /> ●勒索軟體Hive疑似重起爐灶，改名Hunters International，特別的是，本期日報未提及的是，近日<a href="https://twitter.com/FalconFeedsio/status/1724046526870331569">傳出Hunters International將國內上櫃生技醫療業「大江」列為受害者</a>的消息。</p> <p>其他最新網路威脅動向，我們認為可留意下列消息，包括：Docker容器環境遭殭屍網路OracleIV鎖定的情形，MySQL伺服器遭中國殭屍網路Ddostf攻擊行動鎖定，以及惡意軟體Ducktail近期將危害目標是時尚產業。</p> <h2><strong><a href="https://www.ithome.com.tw/news/160012"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月20日到11月24日</span></a></strong></h2> <p>在這一星期的漏洞消息中，有兩大漏洞修補需重視，包括江森自控修補旗下工業冷凍系統重大漏洞、Fortinet修補旗下FortiSIEM重大漏洞，此外，還有視訊監控影像錄製設備（NVR）與路由器被駭客發現新零時差漏洞、並利用於散布Mirai變種病毒JenX的嚴重威脅，目前揭露此事的Akamai先示警並通知相關製造商，預計12月有新版修補釋出。</p> <p>另外，10月初我們曾報導GNU C函式庫緩衝區溢位漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-4911">CVE-2023-4911</a>（Looney Tunables），近日發現攻擊者開始利用這個已知漏洞的跡象，這星期資安日報新聞尚未提及，我們在此補上。</p> <p>國內方面，有多起資安事件成為焦點，都與上市櫃公司有關，我們整理如下：<br /> （一）首度出現一日內兩起資安事件重訊：在11月20日，旅遊業「<a href="https://s4.itho.me/sites/default/files/images/2023-11-20_231240_%E9%9B%84%E7%8D%85.jpg">雄獅</a>」與塑膠工業「<a href="https://s4.itho.me/sites/default/files/images/2023-11-20_231222_%E4%B8%AD%E7%9F%B3%E5%8C%96.jpg">中石化</a>」先後發布資安事件重大訊息，說明遭受駭客網路攻擊事件。其中雄獅提及提醒旅客反詐騙警語，可能有顧客資料外洩情事發生，並是該公司是這兩年來第二次公告遭駭，中石化的揭露相當有限，對於企業與組織聯防，無法提供具體有用的情報。<br /> （二）<a href="https://s4.itho.me/sites/default/files/images/2023-11-27_131341_%E5%A4%A7%E6%B1%9F.jpg">大江生醫發布資安事件重大訊息，證實資訊系統遭受網路攻擊</a>：上期資安週報於20日發布之際，我們率先報導了生技業「大江」疑似傳出在15日被Hunters International勒索軟體組織列為受害者的消息，其他媒體22日跟進報導這項消息，我們也再去電詢問大江仍未獲得回應，直到11月24日（週五傍晚）為止，大江終於公告他們遭受網路攻擊事件。<br /> （三）訊連科技被微軟揭露遭駭，北韓駭客Lazarus對這家公司發動供應鏈攻擊，他們的Promeo產品新用戶遭鎖定：此事曝光的同一天，訊連在網站發布公告，說明其產品「Promeo」的安裝程式中發現惡意軟體，他們已經移除問題，後續並將更新軟體安全憑證。<br /> 此外，這一星期國內還有中心綜合醫院傳出掛號系統無法使用、預約資料消失，疑遭網路攻擊的消息，以及司法院針對判決資料外洩事故做出新的說明。</p> <p>在資安威脅與事件方面，勒索軟體的威脅與動向最值得關注，有4項消息揭露，我們整理如下：<br /> ●對於Rhysida勒索軟體的危害，美國CISA、FBI與MS-ISAC聯合發布警告，說明其攻擊主要鎖定教育、醫療、製造、資訊業與政府部門。這份公開消息揭露該勒索軟體採用的TTP與IoC，供企業了解其攻擊策略與手法，以及各種緩解措施。<br /> ●關於勒索軟體BlackCat的新動向，有資安業者指出近期新手段是在Google刊出廣告，假借提供知名的應用程式（如Advanced IP Scanner、Slack、WinSCP），引誘網路使用者連至釣魚網站，下載被植入惡意程式Nitrogen的軟體。<br /> ●勒索軟體Phobos再度出沒，資安研究人員揭露近期出現他們鎖定資安社群VX-Underground的情形。<br /> ●勒索軟體駭客組織Play威脅恐加劇，近日有資安人員揭露該組織打出將其工具提供出租的旗號，欲吸引更多打手加入的狀況。</p> <p>在新興攻擊手法與其他重要威脅態勢方面，我們認為竊資軟體Lumma的新手法，利用壓縮檔發動攻擊的現況，最值得留意。<br /> ●竊資軟體Lumma為了規避偵測，利用測量滑鼠軌跡來識別真人操作，才執行該竊資軟體；另一資安研究人員更是揭露，Lumma開發者聲稱能復原Google帳號的連線階段，挾持受害者帳號。<br /> ●關於利用壓縮檔散布惡意的態勢需要留意，本週有三起相關事件，首先是大使館人員要注意，俄羅斯駭客APT29鎖定歐洲多國大使館網攻，發動WinRAR漏洞攻擊，接著是加密貨幣用戶要注意，駭客組織DarkCasino針對這些用戶利用WinRAR漏洞發動攻擊，還有竊資軟體Agent Tesla新利用ZPAQ格式，將1 GB的大型檔案縮為僅有6 KB的壓縮檔，可能是要規避防毒掃描。<br /> ●Python開發人員也要注意，有資安業者揭露近半年有駭客上架了模仿知名套件的27個PyPI套件，同時還會利用PNG圖檔埋藏攻擊意圖。</p> <p>最後，還有兩個國家級駭客攻擊動向的揭露，值得警惕，包括：中國駭客組織Mustang Panda鎖定東南亞國家軍事單位下手，駭客假借提供Solid PDF Creator、印尼防毒軟體Smadav的名義，藉由這些應用程式來側載惡意軟體；以及俄羅斯駭客Gamaredon鎖定烏克蘭組織，散布USB蠕蟲LitterDrifter。</p> <h2><strong><a href="https://www.ithome.com.tw/news/160142"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月27日到12月01日</span></a></strong></h2> <p>在這一星期的漏洞消息中，有4起漏洞利用情況須優先關注，其中以Google修補瀏覽器漏洞的影響需要特別重視：</p> <p>（一）Google在28日修補已遭利用的Chrome瀏覽器零時差漏洞CVE-2023-6345，值得關注的是，該漏洞存在於Skia繪圖引擎，又是涉及底層，因此可能影響範圍還包括了Android、ChromeOS、Firefox OS、Firefox/Thunderbird、Flutter、Avalonia及LibreOffice等。<br /> （二）蘋果在30日修補兩個已遭到攻擊的零時差漏洞，分別是CVE-2023-42916、CVE-2023-42917），由於這些漏洞是Google威脅分析團隊（TAG）通報，且Google前兩日才修補Chrome零時差漏洞，這些漏洞是否可能同一起攻擊活動所利用，有待後續更多消息揭露。<br /> （三）檔案共享平臺ownCloud在11月21日修補3個重大漏洞，其中CVSS滿分的漏洞CVE-2023-49103，本身並不複雜，修補發布後已快速遭攻擊者用於攻擊行動，用戶需盡速進行緩解或補強。<br /> （四）資料分析系統Qlik Sense有3個已知重大漏洞（CVE-2023-41266、CVE-2023-41265和CVE-2023-48365）被用於攻擊行動，駭客鎖定這些漏洞進而發動勒索軟體Cactus攻擊。</p> <p>其他可留意的漏洞消息，包括：兆勤修補旗下NAS設備的6個重大漏洞，以及AI框架Ray被揭露存在重大漏洞，但開發商Anyscale目前未有修補打算。</p> <p>在國內，有兩大事件成為焦點，都與上市公司有關，首先是上海商銀發生1.4萬客戶資料外洩事件，由於事件發生後竟缺乏相關資訊可追查，成為金管會開罰重點，依據銀行法開罰1千萬元；關於中石化在11月中旬發布資安事件重大訊息，說明遭受駭客網路攻擊事件，近期有後續消息傳出，疑為勒索軟體駭客組織BlackCat所為，該組織聲稱取得41.9 GB資料。</p> <p>另一起事件也與臺灣有關，是即時通訊軟體Line的母公司發布資安通告，說明發生44萬用戶、合作夥伴、員工個資恐外洩事件，而當中有100筆資料屬於臺灣用戶，而目前Line已說明初步調查結果，是承包商員工的電腦感染惡意軟體。</p> <p>在資安威脅與事件方面，我們認為有下列4起事件值得留意：</p> <p>●先前10月身分驗證管理業者Okta資料外洩事故有新的調查結果，該公司指出所有曾經存取客戶支援系統的用戶都受波及，影響範圍比之前公布的更大。<br /> ●荷蘭半導體業者恩智浦（NXP）驚傳前幾年遭駭，當地新聞媒體NRC報導指出，中國駭客組織Chimera自2017年到2020年初滲透該公司網路環境，並竊得與晶片設計相關的智慧財產。而臺灣資安業者奧義智慧之前也曾揭露，臺灣在2018年及2019年至少7家半導體業者曾遭到中國駭客集團Group Chimera鎖定。<br /> ●北韓駭客發動供應鏈攻擊的事件，英國NCSC與韓國NIS提出警告，駭客先挖掘出韓國資安業者Dream Security開發的身分驗證系統MagicLine4NX的零時差漏洞，作為攻擊跳板，再利用另一連網系統的零時差漏洞來入侵特定目標。韓國資安業者AhnLab指出，這起事件是駭客組織Lazarus所為。<br /> ●財星500大企業中有數百個曝露了Kubernetes機敏資料，揭露此事的資安業者指出，他們主要針對dockercfg、dockerconfigjson這兩種類型的機敏資料進行調查所發現。</p> <p>此外，我們還看到，近日國際間持續有多家大型業者遭遇網路攻擊的消息，受害企業與組織遍及研究單位、醫療、關鍵CI等領域，包括：日本航太研究機構JAXA的AD伺服器遭非法存取，美國醫療保健業者Henry Schein傳出遭遇勒索軟體BlackCat攻擊，以及美國賓州自來水公司的工業控制系統傳出遭駭客劫持，斯洛維尼亞大型能源供應商HSE遭遇勒索軟體攻擊等。還有駭客聲稱竊取了奇異（General Electric）的資料，當中並包含大量美國DARPA的軍事資料。</p> <p>關於資安防護進展方面，有一項消息值得AI系統開發人員注意——英國NCSC與美國CISA在11月26日共同發布全球首份「安全AI系統開發指南」，當中將AI系統開發生命周期分四大階段，包括：安全設計、安全開發、安全部署及安全維運，主要提供AI系統開發的必要建議，確保每個階段都讓開發者有適當的安全措施可遵循。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <p> </p> </div></div></div>
2023/12/13 11:15作者羅正漢https://www.ithome.com.tw/news/160289
【資安日報】12月12日，北韓駭客組織Lazarus利用兩年前的重大漏洞Log4Shell，攻擊VMware桌面虛擬化…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著南北韓的關係越來越緊張，北韓駭客組織的動作頻頻，其中又以駭客組織Lazarus的攻擊行動相當受到研究人員的關注。</p> <p>例如，在其中一起名為Operation Blacksmith的攻擊行動裡，這些駭客使用了兩種相當罕見的手法，首先，他們在入侵受害組織的管道裡，利用了近期鮮少駭客利用的重大漏洞Log4Shell，再者，則是在打造作案工具的程式語言，他們採用的是D語言，目前幾乎沒有其他駭客以此開發惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.talosintelligence.com/lazarus_new_rats_dlang_and_telegram/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Lazarus利用Log4Shell漏洞散布RAT木馬程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Operation Blacksmith.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Operation%20Blacksmith.jpg" style="width: 300px; float: right;" /></a>思科旗下的威脅情報團隊Talos揭露北韓駭客組織Lazarus最新一波的攻擊行動Operation Blacksmith，這些駭客透過較少人使用的D語言，打造兩款RAT木馬程式NineRAT、DLRAT，以及惡意程式下載工具BottomLoader，主要目標是製造業、農業、保全業者。</p> <p>研究人員針對這些惡意程式進行分析，NineRAT採用即時通訊軟體Telegram的API與C2進行通訊，接收攻擊者下達的命令，然後從受害電腦竊取指定的資料，為了迴避偵測，攻擊者可指定此木馬程式休眠時間，以及向Telegram頻道查詢命令的間隔；另一個木馬程式DLRAT，則是在受害電腦啟動時會先收集系統基本資訊，如：作業系統、MAC位址等，傳送到C2伺服器，以便攻擊者下達命令，在受害電腦載入其他惡意軟體並執行；至於BottomLoader，則是使用PowerShell取得URL，並下載惡意酬載至受害電腦並執行。</p> <p>值得留意的是，這起攻擊行動駭客入侵目標組織的手段，是兩年前被揭露的日誌框架系統Log4j重大漏洞CVE-2021-44228（Log4Shell），他們針對曝露於網際網路的VMware Horizon伺服器發動攻擊，從而進入組織內部環境。</p> <p><a href="https://www.sentinelone.com/labs/sandman-apt-china-based-adversaries-embrace-lua/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Sandman可能與中國駭客互通有無，共用基礎設施及資源</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sandman2_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sandman2_3.png" style="width: 300px; float: right;" /></a>9月底資安業者SentinelOne、QGroup聯手，揭露針對中東、西歐、南亞次大陸的電信業者發動攻擊的駭客組織Sandman，該組織利用Lua程式語言打造的後門程式LuaDream來竊取目標系統及使用者資訊，近期研究人員又找到新的證據。</p> <p>SentinelOne、微軟、PwC威脅情報人員聯手，發現遭到LuaDream攻擊的受害組織當中，也存在另一款名為Keyplug的惡意程式，但使用這兩隻惡意程式的駭客並未出現競爭的情況。</p> <p>有數個中國駭客組織使用Keyplug從事攻擊行動，研究人員進一步追查，其中名為Storm-0866（亦稱Red Dev 40）的中國駭客組織，與Sandman共用基礎設施的控管原則，像是挑選主機代管供應商、網域命名的轉換等，再加上LuaDream和Keyplug有許多功能與設計重疊，研究人員推測，兩組人馬很有可能共用惡意程式開發資源。</p> <p><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/predictions/critical-scalability-trend-micro-security-predictions-for-2024"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">趨勢科技針對2024資安態勢提出預測，雲端原生蠕蟲將成為新興威脅</span></strong></a></p> <p></p> <p>資安業者趨勢科技公布2024年資安態勢的預測，當中特別提及駭客會針對雲端環境組態配置不當的情況，發展雲端原生的蠕蟲（Cloud-native Worms），用於建置大型C2基礎設施、濫用雲端運算資源挖礦、自動化收集機敏資料，或是從事大規模DDoS攻擊。</p> <p>研究人員指出，攻擊者很可能只需成功利用其中1個漏洞，或是找出Kubernetes 、Docker、Weaya Scope的API組態設定錯誤，就有機會突破防線，並在雲端環境迅速展開攻勢。</p> <p>由於蠕蟲具備自動橫向擴散的能力，而成為駭客用來發動攻擊的工具首選，此外，他們也會利用自動化指令碼進行偵查、漏洞攻擊，並藉由Rootkit來在雲端環境立足。再者，駭客也會濫用受害組織雲端環境現成的資源，進行寄生攻擊，來達到隱匿攻擊行動的目的。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/apache-patches-critical-rce-vulnerability-in-struts-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Apache基金會修補Java應用框架Struts漏洞</span></strong></a></p> <p></p> <p>12月9日Apache基金會發布資安公告，指出Java應用程式框架Struts存在路徑穿越漏洞CVE-2023-50164，影響2.0.0至6.3.0等多個版本，攻擊者可藉由操縱檔案上傳的參數來觸發漏洞，造成路徑穿越的情況，甚至有機會透過上傳惡意檔案達到遠端執行任意程式碼（RCE）的目的。該基金會發布2.5.33版、6.3.0.2版Struts予以修補。</p> <p><a href="https://www.akamai.com/blog/security-research/spoofing-dns-by-abusing-dhcp"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟DHCP動態更新機制有可能被濫用，駭客可偽造DNS資料發動進一步攻擊</span></strong></a></p> <p></p> <p>資安業者Akamai揭露濫用微軟DHCP伺服器的攻擊手法，攻擊者可在不需要授權的情況下，利用DHCP伺服器預設配置來偽造DNS紀錄，藉以竊取敏感資訊，甚至完全控制AD網域，而由於微軟DHCP伺服器相當普遍，因此有不少組織都暴露在風險之中。</p> <p>在這種攻擊手法裡，駭客濫用DHCP的動態更新功能，來欺騙DNS紀錄，使得在特定的組態配置下，因為DHCP存在弱點，導致DNS可能接受任意來源及請求。</p> <p>研究人員指出，這種攻擊手法的危險性，在於駭客可偽造各種類型的DNS紀錄，例如，網域控制器IP位址、用戶電腦名稱及IP位址、網站或應用系統的IP位址等，從而竊取帳密資料或是財務資訊、執行惡意程式碼、中斷網路服務，甚至能將網域控制器IP位址指向惡意網站。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/toyota-warns-customers-of-data-breach-exposing-personal-financial-info/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本汽車大廠Toyota證實金融子公司資料外洩</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-emergency-updates-fix-recent-zero-days-on-older-iphones/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.7.3、iPadOS 16.7.3、watchOS 10.2，修補舊裝置WebKit零時差漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/google-patches-chromecast-vulnerabilities-exploited-at-hacking-contest/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google修補Chromecast的高風險漏洞</span></span></strong></a></p> <p></p> <p><a href="https://securityaffairs.com/155588/hacking/android-14-13-lock-screen-bypass.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過安卓手機鎖定螢幕的弱點，最新版作業系統也無法倖免</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/160280"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為解決中小企業、非政府組織資安疑難雜症，資安院設立服務團隊、診療所等咨詢管道</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160267"><strong>【12月11日】蘋果裝置、Linux主機、安卓裝置恐曝露於藍牙鍵盤注入漏洞風險，攻擊者藉由配對假的鍵盤裝置進行控制</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160235"><strong>【12月8日】五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝捕兩名駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160208"><strong>【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</strong></a></p> </div></div></div>
2023/12/12 16:54作者周峻佑https://www.ithome.com.tw/news/160290
【資安日報】12月11日，蘋果裝置、Linux主機、安卓裝置恐曝露於藍牙鍵盤注入漏洞風險，攻擊者藉由配對假的鍵盤裝置進…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦、行動裝置搭配各式藍牙配備，已是相當普遍，但這種裝置配對機制存在弱點的情況，近期有多名研究人員公布相關研究，希望敦促裝置開發者儘速改善這類問題。</p> <p>最近有研究人員公布新的漏洞CVE-2023-45866，並指出攻擊者可藉此配對「假鍵盤」，從而操作目標裝置，影響macOS、iOS、Linux、安卓作業系統的電腦或行動裝置，值得留意的是，研究人員今年8月通報後，蘋果目前尚未對此漏洞進行修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://westernpeople.ie/news/hackers-hit-erris-water-in-stance-over-israel_arid-4982.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">愛爾蘭自來水公司傳出遭到攻擊，被迫中斷供水2天</span></strong></a></p> <p></p> <p>繼美國發生多起水力設施的攻擊事故，且傳出起因可能是伊朗駭客鎖定採用以色列工控系統的設備下手，現在也有其他國家出現資安事故。根據愛爾蘭媒體Western People報導，有人針對Erris地區的自來水公司發動攻擊，導致上週四、五（12月7日、8日）無法供水，目前已知有Binghamstown、Drum這兩個鎮約180人受到影響。</p> <p>駭客以Eurotronics的水泵系統為目標，並留下恐嚇訊息，指出他們發動攻擊的原因，是這套系統由以色列製造。對此，這家自來水廠表示，攻擊者能夠得逞的原因，很有可能是因為防火牆不夠強大，而能入侵並破壞系統。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客組織Star Blizzard使用新型態的帳密竊盜手法</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3_-Example-of-victim-redirection-chain-using-initial-HubSpot-URL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3_-Example-of-victim-redirection-chain-using-initial-HubSpot-URL.png" style="width: 300px; float: right;" /></a>五眼聯盟上星期針對俄羅斯駭客Star Blizzard（亦稱Seaborgium、TA446、ColdRiver）全球網釣攻擊行動，提出警告，指出從去年開始，這些駭客的攻擊目標，擴及國防工業與能源設施，參與調查的微軟也揭露相關的攻擊手法。</p> <p>根據微軟的觀察，這些駭客自今年4月以來採用新型態的迴避手法，而使得攻擊行動更難被察覺，其中包含：</p> <p>（一）在伺服器利用指令碼來避免Evilginx網釣基礎設施曝光，這種指令碼會在將連線階段（Session）導向Evilginx伺服器前，執行JavaScript程式碼檢查使用者的瀏覽器；<br /> （二）濫用電子郵件行銷平臺來埋藏寄件來源；<br /> （三）濫用DNS服務隱匿他們虛擬專用伺服器（VPS）的IP位址；<br /> （四）濫用雲端檔案共享平臺存放當作誘餌的PDF檔案；<br /> （五）將使用者導向惡意網域的過程中，採用更為隨機的網域產生演算法（DGA）。</p> <p><a href="https://www.veracode.com/blog/research/state-log4j-vulnerabilities-how-much-did-log4shell-change"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Log4Shell公布2年，企業組織仍有近4成Log4j元件曝險</span></strong></a></p> <p></p> <p>2年前Apache發布日誌框架系統Log4j 2.15，當中修補<a href="https://www.ithome.com.tw/news/148337">CVSS風險評分達到滿分的重大漏洞CVE-2021-44228（Log4Shell）</a>，其漏洞影響範圍極為廣泛，當時資安業者Veracode推測近九成企業組織都採用Log4j而可能曝險，美國國土安全部（DHS）評估可能需要10年才能完全修補，近年研究人員再度公布套用緩解措施的情形。</p> <p>資安業者Veracode根據8月15日至11月15日的掃描資料，針對3,866個採用Log4j的企業組織進行調查，這些組織總共於38,278個應用程式上採用該元件，結果發現，約有38%的Log4j曝露於已知漏洞，或是採用生命週期已經結束（EOL）的版本。</p> <p>值得留意的是，僅有2.8%採用2.0-beta9至2.15.0版本的Log4j，而曝露在Log4Shell的風險，大部分曝險的其實是使用過時的1.2版（2015年8月生命週期結束），占32%；另一個引起研究人員關注的是，採用已完全修補Log4Shell的2.17版達到3.8%，但這些應用系統曝露於CVE-2021-44832。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://github.com/skysafe/reblog/tree/main/cve-2023-45866"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果裝置、多家Linux作業系統存在藍牙鍵盤注入漏洞</span></strong></a></p> <p></p> <p>資安業者SkySafe軟體工程師Marc Newlin揭露藍牙鍵盤注入漏洞CVE-2023-45866，這項漏洞影響執行macOS、iOS、Linux、Android作業系統的電腦與行動裝置，允許攻擊者在無需用戶確認的情況下，連線至目標裝置並注入按鍵指令，也就是代表攻擊者從遠端執行各式工作，如同在目標裝置操作鍵盤，例如：安裝應用程式、執行任意命令、轉發訊息，以及其他惡意行為。</p> <p>這種漏洞並非單純的實作錯誤，亦包含藍牙協定本身的設計缺陷，其原理是能欺騙作業系統藍牙晶片的狀態，從而與假鍵盤進行配對。研究人員先是從蘋果電腦與行動裝置找到這項漏洞，並發現就算是使用者啟用了封閉模式（Lockdown Mode），還是無法防堵攻擊者藉此控制裝置。</p> <p>後來他也在Linux電腦、安卓裝置也發現相同弱點，並指出雖然Linux基金會曾在修補CVE-2020-0556就予以處理，但大部分版本Linux預設並未啟用，僅有ChromeOS不受影響；安卓裝置一旦啟用藍牙功能就有可能曝險，研究人發現Google在2012年推出的4.2.2版就存在該漏洞，目前該公司在12月例行更新當中，對於11版以上的安卓作業系統進行修補。</p> <p><a href="https://www.vusec.net/projects/slam/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新型態攻擊手法SLAM鎖定AMD處理器而來，即將問世的Intel、Arm處理器也可能曝險</span></strong></a></p> <p></p> <p>阿姆斯特丹自由大學系統與網路安全小組（VUSec）揭露針對處理器的新型態攻擊手法SLAM，這是結合推測執行（Spectre Execution）與Intel的Linear Address Masking（LAM）安全功能結合的攻擊手法，研究人員在執行Ubuntu作業系統的電腦來驗證其可行性，他們利用未遮罩的小工具，使得使用者區域（Userland）處理程序觸發漏洞，曝露任意的ASCII編碼核心資料。</p> <p>雖然這項漏洞是以Intel推出的LAM命名，但AMD、Arm也在較新的處理器提供類似功能，分別命名為Upper Address Ignore（UAI）、Top Byte Ignore（TBI），因此這些廠牌的處理器晶片也同樣可能曝險。比較特別的是，除了AMD處理器，這種漏洞有可能影響尚未推出的新世代產品。</p> <p>對此，Linux開發團隊推出更新來預設停用LAM；Intel打算日後推出具備LAM功能的處理器之前，先提供軟體開發指引；Arm對於支援TBI的處理器，將發布相關的指引；至於AMD，他們表示，現有的Spectre v2緩解措施已能緩解SLAM弱點。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/y4wZ-tREaNk?si=kztSVL4wIik60ZCL" title="YouTube video player" width="560"></iframe></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-5ghoul-attack-impacts-5g-phones-with-qualcomm-mediatek-chips/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">高通、聯發科5G晶片存在5Ghoul漏洞，700款蘋果、安卓手機曝險</span></span></strong></a></p> <p></p> <p><a href="https://claroty.com/team82/research/dicom-demystified-exploring-the-underbelly-of-medical-imaging"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療影像DICOM系統元件曝露重大漏洞，攻擊者恐用來發動RCE攻擊</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/12/russias-ai-powered-disinformation.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯透過AI針對烏克蘭、美國、德國散布假訊息</span></span></strong></a></p> <p></p> <p><a href="https://www.intruder.io/research/we-hacked-ourselves-with-dns-rebinding"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露利用DNS重新綁定攻擊手法，取得AWS帳密資料</span></span></strong></a></p> <p></p> <p><a href="https://www.group-ib.com/blog/krasue-rat/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">RAT木馬Krasue透過嵌入rootkit在Linux伺服器上隱匿行蹤</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160235"><strong>【12月8日】五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝捕兩名駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160208"><strong>【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160190"><strong>【12月6日】駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意軟體</strong></a></p> </div></div></div>
2023/12/11 15:26作者周峻佑https://www.ithome.com.tw/news/160267
Kotlin後設程式開發工具KSP2預覽，支援新Kotlin編譯器與原始碼生成器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布<a href="https://android-developers.googleblog.com/2023/12/ksp2-preview-kotlin-k2-standalone.html">KSP2</a>（Kotlin Symbol Processing）預覽的消息，KSP2支援代號為K2的新Kotlin編譯器，同時還會新加入一個獨立原始碼生成器，相比目前的Kotlin編譯器擴充套件，這個獨立的原始碼生成器將提供更多的功能以及靈活性。</p> <p>KSP是一個用於Kotlin後設程式開發（Meta-Programming）的高階API。後設程式開發是一種程式開發技術，供開發者編寫能夠操作或是改變其他程式碼的程式碼，也就是說，在後設程式開發中，程式碼不僅僅是完成特定功能的指令，還能夠對程式碼進行分析、修改、生成和轉換。</p> <p>由於KSP提供後設程式開發的功能，因此許多Kotlin開發工具都是建立在KSP之上，讓Kotlin程式碼在編譯的時候生成。例如Google的Jetpack Room就是KSP的衍伸工具，能夠根據開發者提供的介面，產生存取資料庫的程式碼。</p> <p>而雖然KSP已經成為Kotlin後設程式開發的核心基礎，但是Google提到，KSP與當前的一些實作還存在一些差距，因此希望透過新的KSP2架構來解決。KSP2支援使用目前正在開發，預計在Kotlin 2.0正式發布時成為預設的K2編譯器。</p> <p>過去KSP1可以理解為Kotlin 1.x編譯器的擴充套件版本，使用KSP1需要執行編譯器，並指定KSP及其擴充套件選項。在Gradle中，KSP的任務是客製編譯任務，在預設情況中，這些任務實際會分派給KotlinCompileDaemon執行，但因為KotlinCompileDaemon在其自己的程序中運作，位於Gradle的外部，因此讓KSP除錯和測試變得困難。</p> <p>而在KSP2被實作成帶有主要進入點的函式庫，這代表建置系統和工具，不需要配置編譯器，可以透過這個進入點呼叫KSP2，這種方法使得程式化呼叫KS2變得很簡單，特別是在除錯和測試上特別有用。開發者將可以在KSP Processor元件設置中斷點，大幅簡化除錯過程。</p> <p>Google同時也調整了部分KSP2 API的行為，讓開發人員的工作效率更好，也提供更好的可除錯性和錯誤恢復能力，例如在解析Map<String, NonExistentType>時，在KSP1的時候僅會回傳錯誤型別，到了KSP2則會回傳Map<String, ErrorType>。</p> <p>KSP2在多平臺處理方案（Processing Scheme）也將會更新，處理共用程式碼將會更有效率。在之前的版本，當開發者有一個多平臺Kotlin專案，共用的程式碼會依據個別目標平臺，被重複處理和編譯多次，這樣雖然可以確保共用程式碼都能正確被處理，但卻是效率不彰的方法。儘管KSP2多平臺處理方案的細節尚未完全公開，但是預期將會以更有效的方式處理共用程式碼，以減少重複工作並提高編譯效率。</p> </div></div></div>
2023/12/11 08:31作者李建興https://www.ithome.com.tw/news/160237
【資安日報】12月8日，五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯國家級駭客鎖定歐美國家的攻擊行動頻傳，其中一個組織Star Blizzard最近被大國盯上，引發全球關注，因為近期五眼聯盟提出警告，並開始採取法律行動，通緝兩名該組織的成員。</p> <p>值得注意的是，五眼聯盟握有相關情報，這些駭客聽令於俄羅斯軍情單位聯邦安全局（FSB），且曾經企圖干預選舉，危害不容小覷。參與調查的<a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/">微軟也公布相關調查結果</a>，呼籲使用者提高警覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160227"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">五眼聯盟指控俄羅斯駭客Star Blizzard全球網釣攻擊行動，兩名嫌犯遭起訴</span></strong></a></p> <p></p> <p>12月7日五眼聯盟指控，俄羅斯駭客組織Star Blizzard（亦稱Seaborgium、TA446、ColdRiver）自2019年開始，相準學術界、國防、政府機關、非政府組織、智庫、政治人物展開網釣攻擊，主要目標為美國與英國，北約國家，但俄羅斯的鄰國也有受害者。到了2022年，Star Blizzard的攻擊活動進一步擴大到國防工業及美國能源部的設施。</p> <p>這些駭客先調查目標對象的興趣及網路活動，再冒充各種類型的專家，透過社群媒體等網路平臺與其進行交流，並以會議或活動邀約為誘餌，使用Outlook、Gmail、Yahoo! Mail、Proton等電子郵件平臺發動攻擊。</p> <p>五眼聯盟指控，該駭客組織隸屬俄羅斯聯邦安全局（FSB），英國特別表明這些駭客曾干預該國選舉，而美國目前已起訴兩名駭客Ruslan Aleksandrovich Peretyatko、Andrey Stanislavovich Korinets，並指出其中一名的身分是FSB官員，懸賞1千萬美元、抓拿這些駭客。</p> <p>資料來源</p> <p>1. <a href="https://www.ncsc.gov.uk/news/star-blizzard-continues-spear-phishing-campaigns">https://www.ncsc.gov.uk/news/star-blizzard-continues-spear-phishing-campaigns</a><br /> 2. <a href="https://www.justice.gov/opa/pr/two-russian-nationals-working-russias-federal-security-service-charged-global-computer">https://www.justice.gov/opa/pr/two-russian-nationals-working-russias-federal-security-service-charged-global-computer</a><br /> 3. <a href="https://home.treasury.gov/news/press-releases/jy1962">https://home.treasury.gov/news/press-releases/jy1962</a></p> <p><a href="https://unit42.paloaltonetworks.com/russian-apt-fighting-ursa-exploits-cve-2023-233397/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28利用Outlook零時差漏洞發動攻擊，主要目標是北約組織會員國</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-131555-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-131555-1.png" style="width: 300px; float: right;" /></a>別名為Fancy Bear、Strontium、Fighting Ursa的俄羅斯駭客組織APT28，最近又犯案了！微軟對這群駭客利用Outlook零時差漏洞CVE-2023-23397（CVSS風險評分9.8）發動攻擊提出警告，<a href="https://www.ithome.com.tw/news/160172#CVE-2023-23397">並指出他們的目的是從Exchange伺服器盜取電子郵件帳號</a>，目前也有其他研究人員揭露更多調查結果。</p> <p>例如，資安業者Palo Alto Networks就揭露這些駭客攻擊行動的規模。這些駭客約在20個月裡發動3波攻擊行動，針對14個國家、逾30個企業組織而來。這些駭客從俄羅斯對烏克蘭進行軍事行動之後，在2022年3月就開始利用這項漏洞攻擊烏克蘭移民署；同年4月中旬至12月，該組織將其用於入侵歐洲15國政府、軍事單位、能源組織、交通單位的網路環境，竊取俄羅斯入侵烏克蘭有關的軍事情報電子郵件；而在微軟今年3月修補漏洞後，這些駭客仍舊透過這項漏洞竊取帳密資料，從而於受害組織進行橫向移動，相關的攻擊行動在5月另一個MSHTML漏洞CVE-2023-29324（CVSS風險評分6.5）公布後顯著增加。</p> <p>Palo Alto Networks的研究人員指出，遭到這些駭客攻擊的國家，除了烏克蘭、約旦、阿拉伯聯合大公國（UAE），其餘皆為北約組織（NATO）會員國，且有北約快速部署兵團遭到鎖定。</p> <p><a href="https://www.ithome.com.tw/news/160209"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google、蘋果證實多國政府向其調閱行動裝置應用程式推播資料</span></strong></a></p> <p></p> <p>12月6日美國參議員Ron Wyden寄信給司法部（DOJ），要求Google、蘋果這兩大科技公司，公開各國政府向他們調閱行動裝置推播通知（Mobile Push Notification）的情況。</p> <p>這項要求源於Ron Wyden在2022年接獲的消息，得知有許多美國以外的國家，向Google、蘋果要求相關資料的記錄，該名參議員展開調查，發現是美國政府禁止這些IT業者公布相關資訊，從而得知許多國家會利用這種資料的情況。值得留意的是，這種行動裝置推播的功能，並非直接從程式開發者傳送至手機，而是中間透過作業系統的服務來進行傳遞的工作，意即過程裡Google、蘋果扮演仲介的角色。</p> <p>對此，這兩家業者向科技新聞網站TechCrunch證實，Google表示已發布透明度報告揭露政府請求的各式用戶資料；蘋果也表明將在透明度報告公布相關資訊。</p> <p>資料來源</p> <p>1. <a href="https://www.wyden.senate.gov/imo/media/doc/wyden_smartphone_push_notification_surveillance_letter.pdf">https://www.wyden.senate.gov/imo/media/doc/wyden_smartphone_push_notification_surveillance_letter.pdf</a><br /> 2. <a href="https://techcrunch.com/2023/12/06/us-senator-warns-governments-spying-apple-google-smartphone-users-via-push-notifications/">https://techcrunch.com/2023/12/06/us-senator-warns-governments-spying-apple-google-smartphone-users-via-push-notifications/</a></p> <p><a href="https://www.jamf.com/blog/fake-lockdown-mode/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露針對iPhone的新型態攻擊手法，假借啟動封閉模式降低用戶戒心</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockdown-mode-toggle.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockdown-mode-toggle.png" style="width: 300px; float: right;" /></a>為了針對特定人士提供較為嚴謹的防護，防範間諜軟體等目標式攻擊，蘋果自去年9月，對旗下的行動裝置、電腦、穿戴裝置作業系統：iOS 16、iPadOS 16、watchOS 10、macOS Ventura，開始提供封閉模式（Lockdown Mode）的機制，但現在研究人員發現，攻擊者也可以反向操作，讓受害者以為自己的蘋果裝置執行這種模式而降低警戒。</p> <p>資安業者Jamf提出警告，這種模式雖然能大幅降低攻擊面，不過，一旦裝置遭駭之後，就算啟用封閉模式也無法阻止惡意軟體運作，他們揭露一種後利用的竄改手法，駭客一旦成功滲透到目標設備中，就有可能藉由竄改特定C語言程式碼的函式內容，讓受害者以為裝置啟動了封閉模式。</p> <p>研究人員指出，在執行iOS 16.5的手機上，封閉模式仍是在使用者空間的虛擬記憶體當中運作，系統核心並不知道這樣的行為，使用者啟用、停用該模式也無需重開機，他們便試圖讓系統看起來重新啟動，使得他們注入的惡意程式碼可持續在背景運作、監視受害者。</p> <p><a href="http://www.welivesecurity.com/en/eset-research/beware-predatory-fintech-loan-sharks-use-android-apps-reach-new-depths/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體SpyLoan假借提供個人貸款吸金，被從Google Play市集下載逾1,200萬次</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3-apps-that-were-available-on-official-stores-for-ios-and-android-in-2020.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3-apps-that-were-available-on-official-stores-for-ios-and-android-in-2020.png" style="width: 300px; float: right;" /></a>資安業者ESET提出警告，他們發現今年初假借提供快速貸款的惡意應用程式SpyLoan顯著增加，這些App偽裝成提供個人信用貸款服務的軟體，號稱可讓使用者快速、輕鬆取得資金，但實際上駭客將其誘騙使用者接受高利貸，並向其進行勒索。</p> <p>研究人員指出，光是今年駭客上架於Google Play市集的惡意程式，就有18款，總共被下載超過1,200萬次，但這些App駭客也透過其他第三方市集、惡意網站散布，受害情況可能遠超過這樣的規模。研究人員通報後，Google已下架其中17款。根據研究人員偵測的資料，這種威脅在墨西哥、印度、泰國、印尼、奈及利亞、菲律賓、埃及、越南、新加坡、肯亞、哥倫比亞、秘魯特別嚴重。</p> <p><a href="https://snyk.io/reports/ai-code-security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為了使用AI工具，高達八成開發人員無視公司資安政策</span></strong></a></p> <p></p> <p>開發人員大量採用人工智慧工具輔助開發的情況與日俱增，根據軟體業者JetBrains的調查，<a href="https://www.ithome.com.tw/news/160023">77％開發人員用ChatGPT，46％用GitHub Copilot</a>，但這種情況對企業組織的資訊安全也帶來新的挑戰。</p> <p>資安業者Synk針對537名軟體工程師及資安團隊成員進行調查，這些受訪者所屬的企業組織幾乎（96%）已在軟體供應鏈當中，採用了AI程式碼工具。但有80%的開發人員坦承，他們為了使用人工智慧程式開發輔助工具，必須繞過所屬組織的資安政策。另一方面，僅有不到十分之一的組織，對程式碼導入自動化安全掃描機制。</p> <p>研究人員指出，這樣的情況不只影響組織的資安，甚至還左右開源工具鏈的生態，73.2%開發人員曾貢獻程式碼，但只有24.6％採用軟體組成分析（Software Composition Analysis，SCA）工具，驗證人工智慧生成的建議程式碼。這樣的情況會因為開發團隊導入AI加速開發，使得組織更容易採用不安全的開源元件，同時人工智慧開發工具也使用開源程式碼作為訓練資料，從而習得不安全的程式碼，導致惡性循環。值得留意的是，雖然開發人員採用相關工具的情況非常普遍，但高達86%對於這類工具安全性存在疑慮。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://about.fb.com/news/2023/12/default-end-to-end-encryption-on-messenger/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta宣布Messenger正式啟用全程加密</span></strong></a></p> <p></p> <p>2016年Meta宣布為Messenger加入全程加密（E2EE）的功能，但直到最近該公司才在相關服務預設啟用這項機制。12月6日Meta宣布，所有的Messenger通訊會直接開啟E2EE，使用者不需手動開啟相關功能，該公司表示這是Messenger有史以來規模最大的功能升級。</p> <p>但為何Messenger預設啟用E2EE需耗費長達7年的時間？Meta指出，他們的工程師、密碼學專家、設計師、政策專家、產品專家重新打造Messenger，引入新的安全性及控制功能，並與外部專家、學者、政府機關密切合作，找出潛在風險並制訂緩解措施，來達到隱私及安全需求。此外，過程中他們也面臨兒童保護團體的施壓，擔心採用E2EE後，會令Meta無法偵測到虐待兒童事件。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://android-developers.googleblog.com/2023/12/virtual-machines-as-core-android-primitive.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化Android虛擬化支援與安全性，Google推出AVF工具包簡化隔離應用開發</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-is-investigating-cyberattack-and-potential-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian修補DevOps協作平臺、缺陷跟蹤管理系統等多項產品的重大漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-slam-attack-steals-sensitive-data-from-amd-future-intel-cpus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新型態攻擊手法Slam鎖定AMD處理器而來，即將問世的Intel、Arm處理器也可能曝險</span></span></strong></a></p> <p></p> <p><a href="https://redcanary.com/blog/aws-sts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS安全存取服務STS有可能被濫用，攻擊者藉此冒充使用者身分</span></span></strong></a></p> <p></p> <p><a href="https://www.websiteplanet.com/news/wala-breach-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國際犬類繁殖組織WALA伺服器不設防，曝露25 GB資料</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160208"><strong>【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160190"><strong>【12月6日】駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160172"><strong>【12月5日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</strong></a></p> </div></div></div>
2023/12/8 18:26作者周峻佑https://www.ithome.com.tw/news/160235
Apple與部分Linux作業系統尚未修補已公開的藍牙鍵盤注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SkySafe軟體工程師Marc Newlin<a href="https://github.com/skysafe/reblog/tree/main/cve-2023-45866">發現</a>了一個新的藍牙安全漏洞CVE-2023-45866，涉及未經認證的藍牙鍵盤注入攻擊，影響的系統包括Android、Linux、macOS和iOS。資安人員提到，這個漏洞看起來包含協定的設計缺陷，而非單純的實作錯誤。</p> <p>Marc Newlin發現多個藍牙堆疊實作具有可以繞過身分驗證的漏洞CVE-2023-45866，允許攻擊者在無需用戶確認的情況下，連接到目標主機，並且注入按鍵指令。這代表攻擊者可以從遠端執行各種操作，就像是使用受害者裝置上的鍵盤一樣，執行應用程式安裝、任意命令、轉發訊息，以及其他惡意行為都沒問題。該攻擊行動不需要複雜的硬體，只需要一臺配備有藍牙連接器的Linux電腦就可以完成。</p> <p>Marc Newlin最先在Apple裝置的macOS和iOS中，發現這個未經授權的藍牙按鍵注入漏洞，兩者都可以在裝置封閉模式（Lockdown Mode）下被濫用。Marc Newlin之後又在Linux和Android中找到類似的漏洞。</p> <p>Marc Newlin解釋，這些漏洞的運作原理，是能夠在未經用戶確認的情況下，欺騙藍牙主機狀態機和假鍵盤配對。由於藍牙規範中定義了底層未經身分驗證的配對機制，而實作錯誤便會將其暴露給攻擊者，導致無論是Android、Linux、macOS還是iOS，在特定狀態都容易受到攻擊。</p> <p>Android裝置只要一啟用藍牙，就容易受到攻擊，而Linux則是在藍牙進入可探索狀態時，才容易被攻擊，iOS和macOS則是要在啟用藍牙，並且巧控鍵盤已經與手機或是電腦配對時，容易遭受惡意攻擊。一旦攻擊者和目標裝置配對完成，便可以執行按鍵注入攻擊，以受害者身分執行任意操作，而且這些操作不需要經過密碼或是生物識別身分驗證。</p> <p>CVE-2023-45866是一個存在時間有點久的漏洞，Marc Newlin甚至可以在2012年發布的Android 4.2.2上重現藍牙按鍵注入攻擊。目前Google已經在12月5日的安全更新，對Android 11以上版本提供修復該漏洞的程式，但是並未修復Android 4.2.2-10版本。</p> <p>Linux系統漏洞則在2020年修補CVE-2020-0556漏洞時，修掉這個藍牙按鍵注入漏洞，但該修補預設不啟用，Marc Newlin指出，ChromeOS是唯一已知啟用該修補的Linux作業系統，Google也回應ChromeOS不受CVE-2023-45866漏洞影響。官方Linux藍牙協定堆疊BlueZ則是在2020年修補該漏洞，並預設為啟用，因此只要更新BlueZ版本將會自動啟用該修補，可以保護Linux系統免受這類藍牙漏洞影響。</p> <p>Marc Newlin測試了macOS 13.3.3、macOS 12.6.7和iOS 16.6版本，皆存在CVE-2023-45866漏洞，而且即便用戶啟用封閉模式也無法避免攻擊者濫用該漏洞，Marc Newlin在2023年8月的時候向Apple回報了這項漏洞，目前尚未有更新釋出。</p> </div></div></div>
2023/12/8 19:28作者李建興https://www.ithome.com.tw/news/160236
微軟推出幫助視障者「聽」東西的Seeing AI App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周推出<a href="https://blogs.microsoft.com/accessibility/seeing-ai-app-launches-on-android-including-new-and-updated-features-and-new-languages/" target="_blank">Android版App Seeing AI</a>，可結合AI能力協助視障人士「聽」到東西。</p> <p>Seeing AI是微軟於2017年推出協助視障或弱視者的AI應用，其原理是利用手機攝影機識別人、文字和物體，並以聲音說給使用者聽。它會以聲音提示引導用戶將鏡頭對到目標物。Seeing AI能描述信件或書等文件、光線、顏色、相片風景、人物、貨幣（美元、英鎊、歐元及加幣）、筆跡等對象，也可以掃產品條碼後聽其描述產品名或包裝資訊。Seeing AI一直只有iOS版，直到最新才公佈Android版。</p> <p>新版本也加入了iOS版最新整合的生成式AI功能，包括更豐富的相片描述，以及對Seeing AI詢問問題，例如詢問菜單、餐點價格，或叫它摘錄重點。</p> <p>Android版目前已<a href="https://play.google.com/store/apps/details?id=com.microsoft.seeingai&hl=en_US" target="_blank">在Google Play Store上架</a>。Seeing AI目前支援18種語言（尚不包含中文），微軟計畫2024年擴充到36種。</p> </div></div></div>
2023/12/8 16:03作者林妍溱https://www.ithome.com.tw/news/160233
Google強化Android虛擬化支援與安全性，推出AVF工具包簡化隔離應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Android 13首次引入的Android虛擬化框架（Android Virtualization Framework，AVF），現在將在更多的Android 14裝置上<a href="https://android-developers.googleblog.com/2023/12/virtual-machines-as-core-android-primitive.html">提供</a>。在Android 14中，Google還新增了一套新的工具包，讓開發者能夠更好地使用AVF及其元件。</p> <p>Google由於要強化Android裝置的安全性，因此在Android 13加入了AVF。AVF是一個在Android裝置上執行虛擬機器的技術，該架構的主要作用是隔離應用程式與系統之間的資料和操作，AVF讓虛擬機器成為Android作業系統的核心元件，類似Android利用Linux程序的方式。</p> <p>AVF提供單向隔離與雙向隔離兩種隔離等級，單向隔離讓Android系統可以控制和檢查虛擬機器中的內容，最常用於沙盒（Sandboxing）與分離（Separation）技術，使多個作業系統能夠在單一裝置上運作，並由Android控制和監視其他所有作業系統主機。而雙向隔離則是指Android和虛擬機器（Isolated VM）彼此完全隔離，隔離的虛擬機器將可用於處理或是儲存敏感資料，由於Android和虛擬機器都無法相互存取，因此需要透過特定通道才能溝通。</p> <p>在部分情況，AVF成了可替代Android Trustzone的機制，TrustZone是一種在Arm架構處理器上實現的安全技術，提供了安全的執行環境與硬體層級的隔離保護。而Google表示，運用AVF的雙向隔離，開發者可以在Android中執行需要隔離，但是不需要提升特權的用例。也就是說，AVF提供的隔離虛擬機器可以在不增加系統特權的情況下，對應用程式資料進行安全隔離，這樣的隔離機制特別適用於保護敏感資料和執行重要操作。</p> <p>AVF還具有可移植性的優勢，Google提到，虛擬機器和其中執行的應用程式，比可信任小程式（Trusted Applet）還更具可移植性，官方舉例，具有Linux應用程式負載的Linux虛擬機器，能夠在所有支援AVF裝置上的執行。這代表開發者只需要建置一次應用程式，就能夠部署到其他地方，這與移植到Trustzone作業系統相比，藉由虛擬機器的方式，還可以簡單地移植現有Linux應用程式。</p> <p>在效能方面，AVF設計上講究高效且靈活，虛擬機器可以非常迷你，小至單獨的C程式，也可以大到作業系統規模，虛擬機器可以根據需求設計成持續或是間歇運作，也能根據整體系統健康狀態和資源分配，並遵守Android調度提示和低記憶體警告，與作業系統良好地協作。</p> <p>Google在Android 14擴大AVF的可用性，讓AVF能夠在更多的裝置上可用，同時對AVF開了Android系統API，允許特權應用程式使用虛擬機器，執行需要隔離的重要工作負載。開發者也可以透過虛擬機器管理程式DevEx工具包，追蹤監控虛擬機器的運作，更方便地進行除錯。</p> <p>Google的合作夥伴也可以使用虛擬機器管理程式供應商模組，自訂Google虛擬機器管理程式（pKVM）滿足特定需求。AVF在Android 14的運作效能也更好，基於microdroid的虛擬機器啟動速度是Android 13的2倍，記憶體使用只有一半，能夠更好地支援特權應用程式和平臺開發。</p> </div></div></div>
2023/12/7 08:21作者李建興https://www.ithome.com.tw/news/160189
【資安日報】12月5日，美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際局勢日益緊張，航太設施的重要性變得越來越重要，與這個領域有關的企業與組織也成為駭客竊取機密的重要目標，甚至有專門鎖定航太機構的駭客組織出現。</p> <p>有資安業者揭露專門針對航太產業從事網路間諜行動的駭客組織AeroBlade，並指出這些駭客在1年內僅進行兩波攻擊，而且他們採用了多種手法藏匿行蹤，使得受害組織難以察覺有異。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blogs.blackberry.com/en/2023/11/aeroblade-on-the-hunt-targeting-us-aerospace-industry"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國航太組織遭到駭客組織AeroBlade鎖定</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/aeroblade-fig01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/aeroblade-fig01.png" style="width: 300px; float: right;" /></a>資安業者BlackBerry揭露鎖定美國航太領域的駭客組織AeroBlade，疑似從事商業間諜行為，收集有價值的機密資訊。</p> <p>這些駭客先在2022年9月發動第一波攻擊，他們利用釣魚郵件挾帶Word文件檔案（.DOCX），一旦收信人開啟附件檔案，攻擊者就會進行遠端範本注入（Remote Template Injection）手法，在電腦載入用於第二階段的範本檔案（DOTM）並執行，然後觸發此範本裡的巨集，於受害電腦部署反向Shell，連線到C2伺服器。研究人員指出，上述的反向Shell會向駭客列出電腦上所有資料夾的名稱，並具備迴避分析機制，包含反沙箱偵測、使用特定字串進行編碼、利用無法執行的程式碼（Dead Code）、流程控制（Control Flow）混淆等。</p> <p>而在今年7月，這些駭客發起第二波攻擊，研究人員比對兩起攻擊行動駭客所使用的工具及手法，發現駭客的反向Shell都連向相同的IP位址，但第二次加入了更多迴避手法，而能持續從受害組織竊取資料不被察覺。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/russian-hackers-exploiting-outlook-bug-to-hijack-exchange-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28鎖定Outlook漏洞，意圖挾持Exchange電子郵件信箱帳號</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/graf_2a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/graf_2a.png" style="width: 300px; float: right;" /></a>12月4日微軟威脅情報團隊提出警告，俄羅斯駭客組織APT28（亦稱Fancy Bear、Strontium、Forest Blizzard）近期積極利用今年3月修補的Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8），企圖存取Exchange伺服器上的電子郵件信箱帳號，目標是美國、歐洲、中東的政府機關、運輸業、非政府組織。</p> <p>這項漏洞最初是由微軟與烏克蘭電腦網路危機處理小組（CERT-UA）共同發現，為權限提升漏洞，攻擊者可傳送帶有特定MAPI屬性的惡意郵件觸發漏洞，收信人連向駭客控制的SMB共享資料夾，導致駭客能夠取得Net-NTLMv2的雜湊值，進而執行NTLM重放攻擊（NTLM Relay）。</p> <p>而在這一波漏洞攻擊行動裡，微軟發現駭客不光利用CVE-2023-23397，還可能會搭配其他已知漏洞，例如：WinRAR漏洞CVE-2023-38831，或是瀏覽器排版引擎MSHTML排版引擎漏洞CVE-2021-40444。波蘭網路司令部（Polish Cyber Command）也在當地察覺類似的攻擊行動，並提供工具讓IT人員來檢查Exchange伺服器是否受害。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/msftsecintel/status/1731626192300634585">https://twitter.com/msftsecintel/status/1731626192300634585</a><br /> 2. <a href="https://www.wojsko-polskie.pl/woc/articles/aktualnosci-w/detecting-malicious-activity-against-microsoft-exchange-servers/">https://www.wojsko-polskie.pl/woc/articles/aktualnosci-w/detecting-malicious-activity-against-microsoft-exchange-servers/</a></p> <p><a href="https://securelist.ru/trojan-proxy-for-macos/108460/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供盜版軟體的名義，對Mac用戶散布惡意程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Trojan-Proxy-for-macOS-03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trojan-Proxy-for-macOS-03.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露針對Mac用戶的木馬程式攻擊行動，駭客從今年4月底開始，假借提供4K Video Donwloader Pro、Aissessoft Mac Data Recovery、AnyMP4 Android Data Recovery for Mac等35款破解版應用程式的名義，散布代理伺服器惡意程式，將受害者的電腦當作代理伺服器並將其出售牟利。</p> <p>研究人員指出，有別於一般macOS應用程式開發者大多提供DMG映像檔，這次駭客使用的是PKG封裝檔案，而有可能在安裝的過程裡，同時執行惡意指令碼，從而以安裝程式取得的管理員權限進行檔案修改、自動執行，或是執行命令。</p> <p>在這次攻擊行動當中，使用者一旦執行這類惡意安裝程式，就有可能觸發PKG檔案內嵌的指令碼，進而執行木馬程式，此為偽裝成Google組態檔案（GoogleHelperUpdater.plist）的WindowServer系統處理程序檔案，啟動後會透過DNS-over-HTTPS（DoH）與C2連線，接收攻擊者下達的命令。</p> <p><a href="https://techcrunch.com/2023/12/04/23andme-confirms-hackers-stole-ancestry-data-on-6-9-million-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">10月初基因檢驗業者23andMe資料外洩規模擴大，690萬用戶資料流出</span></strong></a></p> <p></p> <p>今年10月有人聲稱入侵基因檢驗業者23andMe，先公布100萬名猶太人及10萬名中國人資料，隨後宣稱手上握有其他400萬名用戶的資料。同月23andMe向美國證券交易委員會（SEC）通報，駭客透過帳號填充（Credential Stuffing）侵入該公司系統，當時認為僅有0.1%用戶資料遭到未經授權存取，相當於1.4萬名使用者受到影響，如今這起事故的受害範圍再度擴大。</p> <p>根據科技新聞網站TechCrunch的報導，23andMe上週呈報給SEC的資料提及，他們發現駭客也存取大量含有其他用戶祖先資料的檔案，並在網路上散布資料，而這些曝險的使用者，都採用了DNA Relatives服務，該公司向TechCrunch表示，這項服務有550萬名用戶使用，另有140萬名用戶的資料，因族譜資訊遭到此服務存取而曝險。截至目前為止，這起資料外洩事故影響的總人數，已接近總用戶數（1,400萬人）的一半。</p> <p><a href="https://www.bloomberg.com/news/articles/2023-11-29/google-warns-china-is-ramping-up-cyberattacks-against-taiwan"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對臺海情勢提出警告，中國加速對臺灣的網路攻擊行動</span></strong></a></p> <p></p> <p>根據彭博社的報導，Google旗下的威脅情報團隊提出警告，在最近半年裡，中國政府資助的駭客對臺灣的網路攻擊行動大幅增加，並且採用複雜的手段來隱匿攻擊來源。其中一種方法是滲透家用或小型辦公室的路由器，取得控制權並將其用於攻擊行動。</p> <p>Google資深工程主管Kate Morgan透露，他們監控超過100個中國駭客組織，這些駭客鎖定臺灣的各行各業，包含國防單位、政府機關、民間企業。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客LockBit聲稱攻擊臺灣自動化設備業者盟立</span></strong></p> <p></p> <p>威脅情報平臺FalconFeeds.io、ThreatMon指出，勒索軟體駭客組織LockBit於12月3日，將臺灣自動化設備廠盟立（mirle.com.tw）列於其暗網網站上，並要求該公司在12月8日前向他們聯繫。不過，究竟駭客竊得多少資料，目前仍不得而知。對此，我們也向盟立進一步詢問，但截稿之前並未得到回覆。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/FalconFeedsio/status/1731329945589227871">https://twitter.com/FalconFeedsio/status/1731329945589227871</a><br /> 2. <a href="https://twitter.com/TMRansomMonitor/status/1731325863860342894">https://twitter.com/TMRansomMonitor/status/1731325863860342894</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GAbi8_4XoAAhbYe.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GAbi8_4XoAAhbYe.jpg" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.lasso.security/blog/1500-huggingface-api-tokens-were-exposed-leaving-millions-of-meta-llama-bloom-and-pythia-users-for-supply-chain-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">人工智慧開源社群平臺Hugging Face 存在API漏洞，導致微軟、Meta、Google等企業持有的逾1500個Token外洩</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/6565abb688f52ea59bc833b1_aRpjwU8Ng1hY_AFWBs0Y4P2gDbZ59X1oGdXj5tuSRdNHUUBGyIo_aIx5Rkin3YCpWU9ZHYmsKLZ0sjwTCerKqqyP72V_uNsDyIokSTgeFVD7OaE7Jc-FyoPFsChwo77u-7w2zr6otWFygHwELylmkTg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6565abb688f52ea59bc833b1_aRpjwU8Ng1hY_AFWBs0Y4P2gDbZ59X1oGdXj5tuSRdNHUUBGyIo_aIx5Rkin3YCpWU9ZHYmsKLZ0sjwTCerKqqyP72V_uNsDyIokSTgeFVD7OaE7Jc-FyoPFsChwo77u-7w2zr6otWFygHwELylmkTg.png" style="width: 300px; float: right;" /></a>資安業者Lasso揭露人工智慧開源社群平臺Hugging Face的API漏洞，不只有機會取得知名企業的身分驗證資訊，甚至可讓攻擊者汙染訓練資料，或是竊取、竄改AI模型。研究人員從Hugging Face、程式碼儲存庫GitHub當中，總共找到1,681個能存取Hugging Face平臺API的Token，這些涉及723個企業組織，包括Meta、微軟、Google、VMware等大型IT業者，其中，有655個Token具有寫入權限，77個甚至能寫入多個組織的帳號。</p> <p>一旦攻擊者取得，就有機會完全控制多個知名公司的儲存庫，例如：Hugging Face上的Pythia的EleutherAI、Bloom的BigScience Workshop、Meta Llama 2，從而發動攻擊，竊取模型與訓練資料集，或是進行汙染，甚至發動供應鏈攻擊，竄改模型並危害依賴的應用程式。</p> <p>此外，他們察覺Hugging Face宣布停用的Token「org_api」仍能執行讀取的工作，從而下載不公開的模型。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://doublepulsar.com/what-it-means-citrixbleed-ransom-group-woes-grow-as-over-60-credit-unions-hospitals-47766a091d4f"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾60個美國信用合作社所使用的雲端服務平臺遭到勒索軟體攻擊，駭客利用CitrixBleed漏洞入侵而得逞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/tipalti-investigates-claims-of-data-stolen-in-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國金融科技業者Tipalti傳出遭到勒索軟體駭客組織BlackCat攻擊，外流256 GB資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/hackers-hijack-industrial-control-system-at-us-water-utility/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-qilin-ransomware-focuses-on-vmware-esxi/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware虛擬化平臺遭到勒索軟體Qilin鎖定</span></span></strong></a></p> <p></p> <p><a href="https://promon.co/security-news/fjordphantom-android-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意程式FjordPhantom濫用虛擬化功能，在容器環境執行惡意程式碼迴避偵測</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/december-android-updates-fix-critical-zero-click-rce-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布12月安卓更新，修補可被用於發動RCE攻擊的零時差漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160152"><strong>【12月4日】研究人員揭露竊資軟體Lumma攻擊行動，駭客佯裝金融服務業者寄送發票，將用戶導向不存在的網頁迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160108"><strong>【12月1日】美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本防護力</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160086"><strong>【11月30日】針對10月資料外洩事故，身分驗證管理業者Okta表示受害範圍擴大，所有使用客戶支援系統的用戶皆受影響</strong></a></p> </div></div></div>
2023/12/5 18:12作者周峻佑https://www.ithome.com.tw/news/160172
新版Android Studio Hedgehog升級IntelliJ、加入功耗分析工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出最新Android官方開發IDE <a href="https://android-developers.googleblog.com/2023/11/android-studio-hedgehog-is-stable.html">Android Studio Hedgehog</a>，在新版本的更新重點，不只是升級IntelliJ IDEA至2023.1版本，也加入分析功能，助開發者提高應用程式效能和電力應用效率，同時也調整使用者介面提升程式碼編寫效率，還提供SDK升級助理，協助開發者將應用程式升級至新的Android版本。</p> <p>Android Studio Hedgehog開始提供專案升級到Android 14，也就是API等級34，官方還添加額外的相關性過濾器，可刪除不必要的步驟，SDK升級助理會在部分情況，替開發者準確指出需要調整的程式碼。SDK升級助理提供逐步指導流程，協助開發者完成targetSdkVersion升級，官方提到，SDK升級助理會將targetSdkVersion相關文件直接帶入IDE，加速整個更新流程。</p> <p>Android Studio Hedgehog現在可以從Google Play控制臺獲取Android vitals資料，這代表開發者不需要對應用程式進行額外的配置，就可以查看發布到Google Play商店的應用程式崩潰報告，透過利用這些資料，開發者可以快速發現並解決應用程式崩潰的原因，進而提高程式品質和穩定度。</p> <p>新的IDE也讓開發者更容易解決Android應用程式的耗電問題，透過使用可以呈現裝置功耗的新工具Power Profiler，了解不同子系統的功耗資訊，協助開發者視覺化應用程式行為和耗電量之間的相關性，官方解釋，Power Profiler直接量測功耗，和之前以模型估算電力消耗的Energy Profiler的方法不同。藉由使用更精確的電力消耗資訊，開發者可以辨識並修復應用程式中的功耗問題，最佳化應用程式電力和散熱效能，提升終端使用者體驗。</p> <p>開發者會在Android Studio Hedgehog看到更乾淨簡潔的使用者介面，官方調整介面的目標，要減少視覺複雜度，供開發者更簡單地存取IDE核心功能，來提高整體開發體驗。而開發者現在也可以在嵌入式虛擬裝置，或是實體裝置鏡像視窗中執行布局檢視器，新的嵌入式布局檢視器提升布局檢查的效率，也更節省螢幕空間，使得開發者可以在單一工具視窗中，組織使用者介面除錯工作流程。</p> <p>新加入Android Studio即時編輯（Live Edit）功能的手動模式，提供了預測快捷鍵，讓開發者可以更精確地控制部署更新到執行中應用程式的時機。而在Composable函式中設置中斷點時，除錯器現在會列出函式的參數和狀態，讓開發者更容易辨識出可能意外導致重組的變更。</p> <p>在Windows中，官方也盡量減少防毒軟體對Android Studio建置速度所產生的影響。由於當Windows Defender即時掃描Gradle所使用的目錄時，就可能發生建置速度減慢的狀況。當此狀況發生時，建置分析器能夠警示開發者，並且提供防毒軟體主動掃描排除相關目錄的建議。</p> </div></div></div>
2023/12/5 08:27作者李建興https://www.ithome.com.tw/news/160153
【資安週報】2023年11月27日到12月01日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞消息中，有3起漏洞利用情況須優先關注，其中以Google修補瀏覽器漏洞的影響需要特別重視：</p> <p>（一）Google在28日修補已遭利用的Chrome瀏覽器零時差漏洞CVE-2023-6345，值得關注的是，該漏洞存在於Skia繪圖引擎，又是涉及底層，因此可能影響範圍還包括了Android、ChromeOS、Firefox/Thunderbird、Firefox OS、Flutter、Avalonia及LibreOffice等。</p> <p>（二）蘋果在30日修補兩個已遭到攻擊的零時差漏洞，分別是CVE-2023-42916、CVE-2023-42917），由於這些漏洞是Google威脅分析團隊（TAG）通報，且Google前兩日才修補Chrome零時差漏洞，這些漏洞是否可能同一起攻擊活動所利用，有待後續更多消息揭露。</p> <p>（三）檔案共享平臺ownCloud在11月21日修補3個重大漏洞，其中CVSS滿分的漏洞CVE-2023-49103，本身並不複雜，修補發布後已快速遭攻擊者用於攻擊行動，用戶需盡速進行緩解或補強。</p> <p>其他可留意的漏洞消息，包括：兆勤修補旗下NAS設備的6個重大漏洞，以及AI框架Ray被揭露存在重大漏洞，但開發商Anyscale目前未有修補打算，</p> <p>在國內，有兩大事件成為焦點，都與上市公司有關，首先是上海商銀發生1.4萬客戶資料外洩事件，由於事件發生後竟缺乏相關資訊可追查，成為金管會開罰重點，依據銀行法開罰1千萬元；關於中石化在11月中旬發布資安事件重大訊息，說明遭受駭客網路攻擊事件，近期有後續消息傳出，疑為勒索軟體駭客組織BlackCat所為，該組織聲稱取得41.9 GB資料。</p> <p>另一起事件也與臺灣有關，是即時通訊軟體Line的母公司發布資安通告，說明發生44萬用戶、合作夥伴、員工個資恐外洩事件，而當中有100筆資料屬於臺灣用戶，而目前Line已說明初步調查結果，是承包商員工的電腦感染惡意軟體。</p> <p>在資安威脅與事件方面，我們認為有下列4起事件值得留意：</p> <p>●先前10月身分驗證管理業者Okta資料外洩事故有新的調查結果，該公司指出所有曾經存取客戶支援系統的用戶都受波及，影響範圍比之前公布的更大。<br /> ●荷蘭半導體業者恩智浦（NXP）驚傳前幾年遭駭，當地新聞媒體NRC報導指出，中國駭客組織Chimera自2017年到2020年初滲透該公司網路環境，並竊得與晶片設計相關的智慧財產。而臺灣資安業者奧義智慧之前也曾揭露，臺灣在2018年及2019年至少7家半導體業者曾遭到中國駭客集團Group Chimera鎖定。<br /> ●財星500大企業中有數百個曝露了Kubernetes機敏資料，揭露此事的資安業者指出，他們主要針對dockercfg、dockerconfigjson這兩種類型的機敏資料進行調查所發現。<br /> ●北韓駭客發動供應鏈攻擊的事件，英國NCSC與韓國NIS提出警告，駭客先挖掘出韓國資安業者Dream Security開發的身分驗證系統MagicLine4NX的零時差漏洞，作為攻擊跳板，再利用另一連網系統的零時差漏洞來入侵特定目標。韓國資安業者AhnLab指出，這起事件是駭客組織Lazarus所為。</p> <p>此外，我們還看到，近日國際間持續有多家大型業者遭遇網路攻擊的消息，受害企業與組織遍及研究單位、醫療、關鍵CI等領域，包括：日本航太研究機構JAXA的AD伺服器遭非法存取，美國醫療保健業者Henry Schein傳出遭遇勒索軟體BlackCat攻擊，以及美國賓州自來水公司的工業控制系統傳出遭駭客劫持，斯洛維尼亞大型能源供應商HSE遭遇勒索軟體攻擊等。還有駭客聲稱竊取了奇異（General Electric）的資料，當中並包含大量美國DARPA的軍事資料。</p> <p>關於資安防護進展方面，有一項消息值得AI系統開發人員注意——英國NCSC與美國CISA在11月26日共同發布全球首份「安全AI系統開發指南」，當中將AI系統開發生命周期分四大階段，包括：安全設計、安全開發、安全部署及安全維運，主要提供AI系統開發的必要建議，以確保每個階段都能讓開發者有適當的安全措施可遵循。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月27日】荷蘭半導體業者NXP遭中國駭客攻擊，入侵時間超過2年，驚傳與晶片設計相關智慧財產資料被竊</span></strong></a></h3> <p>隨著最近幾年中美之間的晶片戰，半導體產業的重要性與日俱增，美國禁止廠商對中國業者供應晶片，中國也盡舉國之力，無不想方設法取得相關的技術及資源，試圖在封裝、製程等層面具備更強的自主能力。</p> <p>雖然檯面上因為美中對抗的關係，各國將相關技術輸出到中國受到越來越多管制，但最近有媒體報導曾出現國家級駭客滲透歐洲大型半導體業者，試圖取得相關智慧財產資料。</p> <h3><a href="https://www.ithome.com.tw/news/160051"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】美國醫療保健服務業者Henry Schein傳出二度遭遇勒索軟體BlackCat攻擊，導致電子商務平臺遭到癱瘓</span></strong></a></h3> <p>這幾年勒索軟體攻擊極為氾濫，一旦遭遇相關攻擊，企業組織就有可能必須與駭客交涉。但受害組織在談判的過程，也要同時採取相關的因應措施，來防範駭客翻臉不認人的情況。</p> <p>例如，最近有一起大型資安事故當中，駭客疑似因不滿談判結果，再度對受害企業發動攻擊，癱瘓該公司包含電子商務平臺等多項應用系統，並打算公布竊得的資料。</p> <h3><a href="https://www.ithome.com.tw/news/160069"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月29日】上海商銀驚傳1.4萬客戶資料外洩，金管會公布調查結果列4大缺失，依銀行法重罰千萬，外洩管道仍有待釐清</span></strong></a></h3> <p>金融業強化資安不遺餘力，從<a href="https://www.ithome.com.tw/article/156845">投入的資安預算高居臺灣各產業之冠</a>可見一般。但最近一起資料外洩事故並非銀行主動揭露，竟是等到主管機關祭出處罰才曝光。</p> <p>金管會最近針上海商銀資料外洩事故祭出高額裁罰引起舉國關注，上海商銀在事發後僅公告證實遭罰，但根據現在已知的資訊，仍難以判斷具體發生資料外洩的行為與過程，期昐上海商銀未來能提出更詳細的說明。而對於接下來要進行的檢討與改善，上海商銀也勢必要儘快公開這方面的資訊。</p> <h3><a href="https://www.ithome.com.tw/news/160086"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月30日】針對10月資料外洩事故，身分驗證管理業者Okta表示受害範圍擴大，所有使用客戶支援系統的用戶皆受影響</span></strong></a></h3> <p>身分驗證解決方案業者Okta今年10月底發生資安事故，該公司11月初揭露此事時，只說低於1%比例的客戶受害，如今該公司推翻這樣的說法，他們改口表示，影響範圍擴大，涵蓋使用客戶支援系統的所有用戶。</p> <p>這起資料外洩事故比較特別的是，雖然駭客取得所有曾經使用該支援系統的用戶名單，但大多數人只有填寫姓名與電子郵件信箱兩種資料，後續影響有待觀察。</p> <h3><a href="https://www.ithome.com.tw/news/160108"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月1日】美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本防護力</span></strong></a></h3> <p>美國賓州阿里奎帕市水務局證實增壓站遭到伊朗駭客入侵，因採用以色列廠牌工控設備而遭到鎖定。駭客也宣稱，他們正在對採用這類OT設備的水利設施發動攻擊。</p> <p>值得留意的是，在美國網路安全暨基礎設施安全局（CISA）發布的資安公告當中，指出駭客可能是透過配置不當的情況發動攻擊，而非透過漏洞入侵受害組織。</p> <p style="margin: 0px;">10月身分驗證管理業者Okta資料外洩事故範圍擴大，存取該公司客戶支援系統的用戶皆受影響</p> <p style="margin: 0px;"> </p> <p> </p> </div></div></div>
2023/12/4 12:18作者羅正漢https://www.ithome.com.tw/news/160142
AWS正式發布專為Rust和Kotlin設計的SDK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出<a href="https://aws.amazon.com/tw/blogs/developer/announcing-general-availability-of-the-aws-sdk-for-rust/">Rust</a>與<a href="https://aws.amazon.com/tw/blogs/developer/aws-sdk-for-kotlin-ga/">Kotlin</a>兩個程式語言專用的AWS SDK正式版本，開發者已經可以將其用於生產環境中。AWS SDK是一系列工具，供開發者在AWS平臺上建立、部署和管理應用程式，該套件提供多種語言的API，讓開發者可以簡單地操作AWS服務和資源。</p> <p>雖然Kotlin開發者早就可以使用Java SDK開發Kotlin程式，但AWS仍從頭設計Kotlin SDK，提供符合Kotlin語言特性的開發體驗，官方提到，Kotlin比Java更具互通性，他們認為應該提供一個可以充分利用Kotlin語言特性，而且Kotlin開發者能夠習慣的SDK。</p> <p>AWS的Kotlin SDK提供了一些專為Kotlin程式語言設計的功能，包括領域特定語言（Domain-Specific Language，DSL）建置器，和支援使用協程進行非同步AWS服務呼叫等。官方提到，Kotlin可以簡單地混用其他語言，讓開發者也能從Kotlin呼叫Java程式碼。</p> <p>開發者可以使用Kotlin SDK，開發在JVM平臺或Android API Level 24以上裝置的應用程式，官方指出，因為Kotlin並非一種僅限JVM的程式語言，其多平臺的能力供開發者有能力編寫JVM、原生二進位檔案、JavaScript和WebAssembly的Kotlin程式碼。因此Kotlin SDK一開始就被官方定位成多平臺函式庫，計畫未來支援更多的平臺。</p> <p>除了Kotlin，AWS還推出適用於Rust的SDK，提供了類型安全API，並且具有Rust語言優勢諸如效能、可靠性和生產力。官方提到，Rust SDK支援async/await、非阻塞IO以及建置器。目前Rust SDK已經可以存取300多個AWS服務。</p> <p>Rust SDK為模組化設計，開發者可以僅對需要的AWS服務編譯Crate，AWS還強調，Rust SDK高效的執行效能，開發者可以用於S3、EC2和DynamoDB之間快速傳輸資料。</p> </div></div></div>
2023/12/4 08:26作者李建興https://www.ithome.com.tw/news/160118
Google Messages的RCS用戶數突破10億人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在蘋果<a href="https://www.ithome.com.tw/news/159885" target="_blank">宣布</a>將支援豐富通訊服務（Rich Communication Services，RCS）協定的兩周後，<a href="https://blog.google/products/android/7-new-messages-features/" target="_blank">Google本周指出</a>，已有超過10億名使用者於Google Messages中啟用了RCS，為了慶祝10億的里程碑，Google Messages開始測試7種新的互動方式，包括照片表情符號Photomoji、語音情緒、螢幕效果及客製化泡泡（Custom Bubbles）等。</p> <p>Google Messages原本稱為Android Messages，是Android生態體系的傳訊程式，它同時支援傳統的文字簡訊（SMS）與RCS，初期使用者必須主動啟用RCS，但今年起某些特定的Android裝置預設便啟用了RCS。Google被視為RCS協定的最大推手，不僅於Android生態中導入了RCS，也開源了基於RCS Universal Profile規格的客戶端供外界使用。</p> <p>新版Google Messages的7項新功能之一是照片表情符號，它允許使用者把自己的照片直接變成表情符號來回應親友的文字；語音情緒則是在傳送語音訊息上添加表情符號；並將某些特定文字設定成螢幕效果的提示詞，只要輸入相關文字，例如「我愛你」或「下雪了」，對話窗就會自動跳出視覺效果；最有趣的可能是客製化泡泡了，這個原本由蘋果iMessage用戶專屬的泡泡功能，現在則變成Google Messages的客製化服務之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1201-google-messages-RCS-600.png" style="width: 600px;" /></p> <p>在蘋果的傳訊程式中，倘若雙方都使用蘋果裝置，即可透過iMessage傳訊，那麼訊息便是以藍色泡泡顯示，但若其中有一方非採用蘋果裝置，或未啟用iMessage，因而使用傳統的簡訊服務，那麼訊息就會以綠色泡泡顯示。而Google Messages的客製化泡泡則允許使用者任意變更泡泡顏色，直接打破蘋果慣例。</p> </div></div></div>
2023/12/1 16:28作者陳曉莉https://www.ithome.com.tw/news/160110
【資安日報】11月30日，針對10月資料外洩事故，身分驗證管理業者Okta表示受害範圍擴大，所有使用客戶支援系統的用戶…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身分驗證解決方案業者Okta今年10月底發生資安事故，該公司11月初揭露此事時，只說低於1%比例的客戶受害，如今該公司推翻這樣的說法，他們改口表示，影響範圍擴大，涵蓋使用客戶支援系統的所有用戶。</p> <p>這起資料外洩事故比較特別的是，雖然駭客取得所有曾經使用該支援系統的用戶名單，但大多數人只有填寫姓名與電子郵件信箱兩種資料，後續影響有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/okta-october-data-breach-affects-all-customer-support-system-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">10月身分驗證管理業者Okta資料外洩事故範圍擴大，存取該公司客戶支援系統的用戶皆受影響</span></strong></a></p> <p></p> <p>11月初身分驗證解決方案業者Okta證實客戶支援系統遭駭，當時初步確認約有134個客戶受到影響，占他們客戶不到1%，最近該公司揭露新的調查結果。</p> <p>11月29日Okta指出，他們確認駭客下載的資料當中，包含所有客戶支援系統用戶的姓名、電子郵件信箱，研判所有Workforce Identity Cloud（WIC）、Customer Identity Solution（CIS）的使用者都可能曝險，但不包含使用FedRamp High、DoD IL4環境的用戶，原因是這些環境採用獨立的支援系統，駭客無從存取。此外，Auth0、CIC的支援案件管理系統也不受影響。</p> <p>該公司指出，雖然駭客取得的資料多達15種欄位，但不含帳密或敏感個資，且大部分（99.6%）使用者僅有提供姓名和電子郵件信箱，因此影響有限。Okta亦尚未察覺這些資料遭到濫用的跡象。</p> <p><a href="https://www.bleepingcomputer.com/news/security/japanese-space-agency-jaxa-hacked-in-summer-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本航太研究機構JAXA遭遇網路攻擊，AD伺服器被非法存取</span></strong></a></p> <p></p> <p>根據日本媒體讀賣新聞的報導，有知情人士透露，日本航太探查機構（Japan Aerospace Exploration Agency，JAXA）今年夏天遭遇網路攻擊，該組織網路的AD出現非法存取的跡象，當地警方於秋季察覺此事並通知JAXA，攻擊來源有待查明。</p> <p>後來日本內閣官房長官松野博一於11月29日，在記者會上證實JAXA遭到網路攻擊的消息，駭客存取該單位的AD伺服器，而有可能導致員工帳密外洩，並被用於進一步的攻擊行動。</p> <p>雖然尚未發現資料外洩的情況，但這起事故並未JAXA首度遭到攻擊。2016年至2017年，中國駭客組織Tick（亦稱Bronze Butler、Stalker Panda）針對當地近200個國防研究機構、公司發動攻擊，當中就包含了JAXA。</p> <p>資料來源</p> <p>1. <a href="https://japannews.yomiuri.co.jp/society/general-news/20231129-152511/">https://japannews.yomiuri.co.jp/society/general-news/20231129-152511/</a><br /> 2. <a href="https://japan.kantei.go.jp/tyoukanpress/202311/29_a.html">https://japan.kantei.go.jp/tyoukanpress/202311/29_a.html</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/qilin-ransomware-claims-attack-on-automotive-giant-yanfeng/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國汽車內裝零件業者延鋒傳出遭到勒索軟體Qilin攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/qilin-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/qilin-2.png" style="width: 300px; float: right;" /></a>中國大型汽車內裝零件供應商延鋒（Yanfeng）於11月13日傳出遭遇網路攻擊，導致汽車集團Stellantis受到影響，被迫停止北美工廠車輛的生產工作，這起資安事故最近有了新的進展。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Qilin（亦稱Agenda）聲稱是他們所為，並公布部分竊得資料，內容包含財務文件、保密協議、報價資料、技術文件、內部報告等，駭客要脅將在數日後公布所有檔案，不過，他們沒有給出明確的日期。</p> <p><a href="https://www.fortinet.com/blog/threat-research/gotitan-botnet-exploitation-on-apache-activemq"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路GoTitan鎖定訊息導向中介軟體ActiveMQ重大漏洞而來</span></strong></a></p> <p></p> <p>訊息導向中介軟體Apache ActiveMQ重大漏洞CVE-2023-46604於10月底公布，其CVSS風險評分高達10分引起各界關注，很快成為駭客鎖定目標，最近又被發現新的攻擊行動。</p> <p>資安業者Fortinet揭露名為GoTitan的殭屍網路，以及名為PrCtrl RAT的.NET惡意程式。攻擊者最初會透過OpenWire協定（一般會使用61616埠）來找尋攻擊目標，發送特製的封包來觸發漏洞，導致ActiveMQ伺服器會從特定的遠端URL搜尋、載入XML格式的組態檔案，從而讓攻擊者透過CMD、Bash等指令介面遠端執行程式碼。</p> <p>此殭屍網路病毒以Go語言打造而成，具備10種DDoS的攻擊能力。研究人員也看到駭客運用另一種名為PrCtrl RAT惡意程式，與上述的殭屍網路病毒共通點就是利用ActiveMQ重大漏洞散布，一旦植入該工具，攻擊者就有機會遠端控制受害伺服器，但究竟駭客部署該惡意程式的目的為何？研究人員表示有待進一步釐清。</p> <p><a href="https://www.cybereason.com/blog/threat-alert-djvu-variant-delivered-by-loader-masquerading-as-freeware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Djvu出現變種Xaro，駭客將其偽裝成破解軟體散布</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Xaro-Attack-flow-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Xaro-Attack-flow-diagram.png" style="width: 300px; float: right;" /></a>資安業者Cybereason揭露勒索軟體Djvu新的變種Xaro，駭客假借提供免費軟體或破解軟體的名義，散布惡意程式載入器，從而到受害電腦啟動勒索軟體，將裡面存放的檔案加密並把副檔名改為XARO。</p> <p>但這起攻擊行動與Djvu有所不同的是，駭客也同時在受害電腦部署其他惡意軟體，其中包含了竊資軟體與惡意程式載入工具，研究人員推測，駭客使用多種作案工具，目的是想要進行雙重勒索，或是進一步滲透受害電腦，他們將對方一口氣部署多種攻擊工具的做法，稱為散彈槍感染（Shotgun infection）。</p> <p><a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=26541a82-49f3-423b-a142-b22348fe43f8#"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兩名嫌犯暗網購買近2千萬筆臺灣民眾個資，並以每筆500元兜售牟利</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/個資法-嫌犯解送.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E8%B3%87%E6%B3%95-%E5%AB%8C%E7%8A%AF%E8%A7%A3%E9%80%81.jpg" style="width: 300px; float: right;" /></a>11月29日內政部警政署刑事警察局宣布獲破兜售臺灣民眾個資的案件，他們於今年4月接獲檢舉，有人透過即時通訊軟體Telegram兜售個資，以查詢每筆收取500元加密貨幣費用，替買家查詢特定對象的個資，包含生日、身分證字號、電話、工作單位名稱、工作單位地址。</p> <p>刑事警察局調查、確認嫌犯身分之後，與臺中市政府警察局太平分局共組專案小組，於臺中市東區套房查獲22歲張姓嫌犯的筆電，循線找出相關資料的上游供應源頭37歲顏姓嫌犯，並查獲俗稱「小白機」的全國民眾資料庫筆電。</p> <p>警方指出，兩名嫌犯先從暗網以200美元購得1,700萬筆個資，再透過社群網站宣傳、兜售，不法獲利近5萬元，對於這些售出的個資，警方將清查流向。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/11/stable-channel-update-for-desktop_28.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補今年第6個Chrome零時差漏洞CVE-2023-6345，其他採用圖像引擎程式庫Skia的軟體也可能曝險</span></strong></a></p> <p></p> <p>11月28日Google發布電腦版Chrome更新119.0.6045.199、119.0.6045.200，總共修補7個漏洞，值得留意的是其中1個是已出現攻擊行動的零時差漏洞CVE-2023-6345，此為存在於圖像引擎程式庫Skia的整數溢位漏洞，而這是今年Google修補的第6個Chrome零時差漏洞。</p> <p>值得留意的是，此圖像引擎程式庫受到許多開源專案採用，包含Google自家的行動裝置作業系統ChromeOS、Android，以及Mozilla基金會開發的Firefox、Thunderbird、Firefox OS，還有開源辦公室軟體套件LibreOffice等，影響範圍相當廣泛。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.sentinelone.com/blog/dprk-crypto-theft-macos-rustbucket-droppers-pivot-to-deliver-kandykorn-payloads/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客利用惡意程式載入工具RustBucket散布Kandykorn</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/black-basta-ransomware-made-over-100-million-from-extortion/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Black Basta敲詐逾1億美元贖金</span></span></strong></a><a href="https://www.securityweek.com/hackers-hijack-industrial-control-system-at-us-water-utility/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/160077"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟資料庫管理軟體Access的外部連結功能可被濫用，外洩NTLM雜湊資訊</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/160081"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員要求ChatGPT重複輸入特定文字，逼得該大型語言模型洩露訓練資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-bluffs-attack-lets-attackers-hijack-bluetooth-connections/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新型態藍牙攻擊手法Bluffs可讓攻擊者進行中間人攻擊，挾持藍牙通訊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160069"><strong>【11月29日】上海商銀驚傳1.4萬客戶資料外洩，金管會公布調查結果列4大缺失，依銀行法重罰千萬，外洩管道仍有待釐清</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160051"><strong>【11月28日】美國醫療保健服務業者Henry Schein傳出二度遭遇勒索軟體BlackCat攻擊，導致電子商務平臺遭到癱瘓</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160022"><strong>【11月27日】荷蘭半導體業者NXP遭中國駭客攻擊，入侵時間超過2年，驚傳與晶片設計相關智慧財產資料被竊</strong></a></p> </div></div></div>
2023/11/30 16:52作者周峻佑https://www.ithome.com.tw/news/160086
Chrome修補7個安全漏洞，其中一個已遭攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/11/stable-channel-update-for-desktop_28.html" target="_blank">Google周二（11/28）更新了Chrome瀏覽器</a>，緊急修補11月24日才被發現的零時差漏洞CVE-2023-6345，也順便修補了其它的6個安全漏洞。此一更新適用於Windows、MacOS與Linux，且為Google今年所修補的第6個已遭攻擊的Chrome零時差漏洞。</p> <p>CVE-2023-6345是個存在於Skia繪圖引擎的整數溢位漏洞，Skia為一以C++撰寫的2D圖形庫，Google在2005年買下Skia並將它開源，被應用在Chrome瀏覽器、ChromeOS、Firefox、 Mozilla Thunderbird、Android、Firefox OS、Flutter、Avalonia及LibreOffice等產品中。</p> <p>該漏洞是由Google威脅分析小組（Threat Analysis Group，TAG）的兩名研究人員在11月24日所發現，且已有針對該漏洞的攻擊程式現身。</p> </div></div></div>
2023/11/30 13:18作者陳曉莉https://www.ithome.com.tw/news/160082
【SRE工程主管4年實戰首度在臺分享】Zalando千人平臺工程演化歷程大公開Part 1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當企業的應用系統超過3千套，背後的微服務更超過4千隻，開發團隊規模超過了2千人，如何做到一天能夠發布上百次？這正是歐洲科技電商Zalando花了15年才做到的成就。</p> <p>Zalando成立才約15年，卻已經是歐洲最大的電商，20多國的官網一年總流量超過了50億人次，今年單季的網路訂單達到了5,800萬張，年營收更是超過了臺幣5千億元，是臺灣電商龍頭年營收的5倍。</p> <p>但是，Zalando不只是一家電商，更是一家徹徹底底的科技公司，技術團隊規模超過2千人，超過半數是開發人力，分散在全歐5個據點，組成了200個跨部門敏捷開發小組，負責3千套應用系統，還有一套由4千隻微服務組成的基礎架構。</p> <p>2008年，Zalando只是一家小型網路商城，用PHP套裝電商軟體，搭配MySQL資料庫打造而成的網站（就跟臺灣許多電商十多年前的發展一樣）。2010年時，改用Java搭配PostgreSQL資料庫，自行開發出了大型單體式電商平臺。2014年全面擁抱公雲，改用Docker和微服務架構重新打造平臺，2016年積極導入K8s，更搖身一變成了歐洲零售圈的技術供應商，有能力對合作夥伴和供應商輸出技術。</p> <p>這兩年，Zalando進一步聚焦開發團隊生產力的提升，打造出了一個在軟體業界大獲好評的內部開發者平臺Sunrise，來提升開發團隊的戰力。</p> <p>5千億營收歐洲電商巨頭Zalando，如何將SRE技術力，變成營運競爭力？如何打造內部開發者平臺，讓技術團隊更有生產力？</p> <p>參與Zalando最近4年SRE戰略發展的第一線工程主管，親自從柏林飛來臺灣，擔任今年臺灣開發者大會MWC 2023的主題講者，首次對臺灣開發者分享了，他一路見證千人開發者平臺工程的發展過程。</p> <p>這位講者是Zalando前工程經理Andrew Howden，他曾是SRE團隊工程主管之一，今年8月剛決定成為SRE專業顧問而離開，在Zalando技術總監的推薦下，我們特別邀他來臺分享。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1157-cover1-600-1.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">臺灣開發者活動MWC（Modern Web Conference）今年重回實體形式，三天超過60場演講，規模比過去更大。將海外開發經驗帶到臺灣是MWC發起的初衷，今年更聚焦引介跨國企業經驗，邀JP Morgan和Zalando來臺分享。</span></strong></p> <p>Andrew Howden是Zalando嵌入SRE團隊的負責人，負責提高交易體驗的可靠性。他也是網路購物周的技術維運準備小組成員，協助同事建立技術風險管理和維運準備度的流程。</p> <p>當顧客在購物車新增了一項商品（這是商品開始與顧客交易有關的起點），從倉庫依照訂單出貨，交給物流業者（這是平臺持有商品的終點），這個過程的顧客感受，Zalando稱為交易體驗，包括了顧客可以在平臺上看到商品進入購物車，到顯示出貨的過程。這段交易體驗流程，涉及了4種業務部門、10個團隊、超過100名開發人員。Zalando嵌入SRE團隊就是為了解決交易體驗流程的特殊難題而設立。</p> <p>2019年，Zalando小規模嘗試SRE經過2年，決定將SRE發展成全公司營運戰略，成立大型SRE專責部門。</p> <p>Andrew Howden就是在這一年進入Zalando擔任SRE工程師，2021年他就成為主要工程師之一，參與設計維運準備度工作流程計畫，要發展一套自助式評量來提高千套系統的可靠性，這涉及不同系統背後技術架構、業務領域、事件處理的知識。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>早創時期：靠套裝PHP軟體快速建立商城，2人通管全站</strong></span></span></p> <p>想了解Zalando的技術演變，得將時間拉回到2008年，Google剛發表Android系統，而蘋果iPhone爆紅，新推出了App Store。Zalando兩名創辦人Robert Gentz和David Schneider就在那一年秋天，創立了這家快時尚電商，想在網路賣鞋子。沒想到，公司成立不到幾天，就遇到了金融危機。</p> <p>Zalando手上資金不多，得想辦法樽節支出，兩名創辦人在柏林租了一間分租公寓，作為辦公室兼倉庫。因為剛起步，顧客不多，他們盡情嘗試不同的業務實驗，後來發現，免運和100天退貨權是顧客最喜歡的兩大亮點，這也成了Zalando早期擴展電商市場的優勢。Zalando這兩項運送保證，後來更成了顧客對其他電商平臺的期望標準。</p> <p>當時，為了快速打造出電商交易的平臺，也因為容易找到熟悉PHP的開發工程師，所以，第一代Zalando電商平臺就用了PHP開發的電商軟體Magento，這套軟體就像是古早時期的WordPress，可以自行組合第三方的功能模組。</p> <p>Zalando在早創階段的策略是「快速行動，凡事可變」（Move fast, Break things），Zalando沒有維運團隊，更不用說設立平臺團隊，只靠1、2名員工，來管理整個網站。</p> <p>過了兩年，2010年，這時出現了第一款iPad，Netflix也推出了12,000部影片，手機開始出現了社交媒體，Zalando業績進入了快速成長期，跨出德國，開始進入其他國家，先後拓展到荷蘭、法國等國。當時Zalando全職員工達到20人，也出現了許多高忠誠度的顧客。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2010年用Java自己重新開發整套電商平臺</strong></span></span></p> <p>可是，創立時所選擇的PHP電商套裝軟體，開始發生問題，無法進一步擴大規模，開發團隊就算盡力修改了底層程式碼和架構，還是沒有辦法解決問題。最後，只好整個架構砍掉重練，Zalando重新開發了整套電商平臺，從PHP搭配MySQL資料庫的組合，換成了以Java語言搭配PostgreSQL資料庫的大型單體式應用。</p> <p>Zalando從舊版電商軟體，轉換新版平臺，在當時「只有」停機了90分鐘，「這個當年可接受的時間，若發生在現在，會是一場鬧上媒體的大災難。」Andrew Howden打趣的說。人們對技術的期待和標準，會隨著時空背景而改變，這就是其中一個典型例子。</p> <p>不過，當時的團隊規模不大，但也開始遇到敏捷的難題，如何更安全的執行發布？為了維持一定程度的可控，他們訂定了一份部署檢查清單，每次發布都要照單確認，雖然拖慢了更新程式碼的發布速度，但可以讓發布過程更可靠，來維持顧客的信任。</p> <p>2014年，Zalando的規模持續擴大，也在這一年全面改為響應式（RWD）網站的設計。這一年是容器技術Docker誕生的一年。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>年營收4年成長4倍，3大關鍵策略背後的技術挑戰</strong></span></span></p> <p>從2010年到2014年，Zalando的營收成長了四倍，達到22億歐元（約臺幣750億元）。</p> <p>Andrew Howden指出，Zalando業績能夠積極成長的關鍵，來自3大策略。第一是「規模化」策略，採取任何必要手段來擴充軟體系統，甚至不惜徹底砍掉舊版，重新打造新版。第二項策略是「在地化」，Zalando服務範圍擴大到多國市場，從瑞典、丹麥、芬蘭、挪威、比利時、西班牙、波蘭到奧地利。針對各國的語言、流通貨幣、法遵要求和維運需求上的差異，進行在地化調整。</p> <p>另外一個關鍵策略是「差異化」，Zalando也開始轉變成百貨商場模式，引進夥伴制度，讓第三方供應商在Zalando平臺上銷售各自的產品。</p> <p>「這3項決策對技術帶來最大的考驗是，原本只為內部使用開發的軟體，現在得提供給第三方，還要具備規模化能力，並且符合各國在地化的需求。」Andrew Howden強調。</p> <p>接下來的3年，Zalando靠著幾項技術對策，快速落地到各國，一方面導入企業級ERP，另一方面開始發展各國在地化的官網，也打造一個有能力處理大規模訂單和交易的集中式平臺。</p> <p>但是，這三大策略讓Zalando所開發的系統越來越多、也越複雜。例如在2010年時，只有7個部署單位，到了2012年，部署團隊超過100個，發布管理和協調成了一大考驗。</p> <p>為了簡化複雜度，Zalando要求，每一隻軟體都限定只能用Java、Tomcat、PostgreSQL這三個主要技術來開發。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>第一個平臺團隊的誕生</strong></span></span></p> <p>不只如此，Zalando也開始打造第一個「平臺」團隊，來管理系統工程、資料庫工程、平臺軟體工程，也提供各種安全諮詢。</p> <p>例如，他們建立了一款deployctl工具來管理發布流程，也採用了開源網管監控工具zmon（類似Nagios），可以定期追蹤所有軟體和系統是否正常運作。</p> <p>有了這些組織、工具和技術限定的配套作法，讓Zalando在當時可以做到每周發布。每一次發布都由一個品質確保（Quality Assurance）團隊進行測試，來確保正確性，另外還有一個小團隊提供隨時待命（on-call）的支援。</p> <p>不過，隨著開發團隊的人數越來越多，每一次發布需要協調的工作也越來越多。因為系統越來越龐大而且相關維運資訊散落四處，工程師們越來越難有效掌握所從事工作的相關訊息。</p> <p>為了控管工程師們的發布，這個平臺團隊祭出越來越嚴格的措施，沒想到卻反過來減緩了發布的速度。Andrew Howden表示：「儘管平臺團隊立意良善，卻意外地限制了企業創新和成為市場領先者的能力，平臺團隊開始向可靠性靠攏。」</p> <p>時間聚焦到2014年，Kubernetes誕生後，快速成為主流，隔年推出了1.0正式版，也催生了CNCF組織的成立，這個組織接手了許多雲原生相關技術專案，如gRPC、etcd、RunC、Envoy、Jaeger等技術。而2014年也是Zalando首次公開發行（IPO）的一年。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因應IPO後新願景，為全歐多國營運上雲擁抱雲原生</strong></span></span></p> <p>IPO帶給Zalando更多資金，賦予更大的能力，但也意味著更大的發展壓力，Andrew Howden表示，Zalando必須更快成長，更快擴張，就必須創新。</p> <p>Zalando的新願景是打造一個可以用時尚串連起龐大人群的「時尚大平臺」，能讓第三方夥伴和店家在這個平臺上，銷售各種時尚產品。</p> <p>可是，Zalando過去幾年的技術決策，逐漸發展成了一個相對可靠，可是難以變動的技術架構，這種「穩固」架構無法跟上IPO後的新願景。</p> <p>為了支援未來全歐多國營運的布局，在2014年底時，Zalando決定全力擁抱公有雲，也導入了Docker容器技術，開始改用微服務架構，來取代老舊的單體式架構。</p> <p>上市後隔年，也就是2015年，Zalando更開始發展電商平臺化戰略，要將自己變成電商生態圈的技術平臺商，開始對合作夥伴和生態圈夥伴輸出自己的技術服務。</p> <p><strong>未完，繼續閱讀</strong></p> <h3><a href="https://www.ithome.com.tw/news/160000"><span style="color:#FF8C00;"><strong>【千人平臺工程煉成記Part 2】因應開發人力暴增到2千，Zalando以激進敏捷模式展開組織大變革</strong></span></a><br /> </h3> </div></div></div>
2023/11/24 15:30作者王宏仁https://www.ithome.com.tw/news/159999
三星英國分公司第三方應用漏洞被駭，致客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星英國分公司（Samsung UK）稍早證實，由於使用的第三方網站軟體漏洞遭駭，導致部分顧客個資遭到竊取，成為今年第三起資料外洩事件。</p> <p>上周四<a href="https://twitter.com/troyhunt/status/1724900059639324804" target="_blank">有英國三星產品用戶反映</a>接到<a href="https://forums.androidcentral.com/threads/samsung-uk-hacked.1062339/" target="_blank">通知</a>，告知一起資安事件影響其個人資料。三星指出，11月13日，該公司使用的第三方公司商務程式的漏洞遭非經授權用戶濫用，以致2019年7月1日到2020年6月30日之間，在SEUK電子商務平臺eCommerce網站上購物的特定客戶部分個資遭到存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1122-samsung%20breach%20by%20Michael%20Valentine%20on%20X.png" style="width: 384px;" /></p> <p><a href="https://twitter.com/troyhunt/status/1724900059639324804" target="_blank"><span style="font-size:14px;">圖片來源_Michael Valentine on X</span></a></p> <p>三星一經發現異常已經暫停受影響應用程式的運作，並釐清事件起因以及受影響的資料範圍。經過調查，受影響的客戶個資包括姓名、電話、地址和電子郵件信箱。</p> <p>三星對<a href="https://www.techradar.com/pro/security/samsung-warns-some-customers-their-data-may-have-been-stolen-by-hackers" target="_blank">美國媒體</a>證實此事，並表示美國公司及用戶不受影響。但三星並未說明是何種第三方應用程式遭駭。</p> <p>三星已經新增資安技術措施，包括修補軟體漏洞，也通報英國資訊委員會辦公室。三星呼籲用戶留意近日詢問個資的聯繫，並避免點擊陌生連結和附件，以免遭網釣或惡意程式攻擊。</p> <p>這是三星今年第三度遭遇網路攻擊。前二次分別是<a href="https://www.ithome.com.tw/news/149739" target="_blank">3月間</a>的Lapsus$組織駭入其內部網路，取得Galaxy裝置程式碼及一些安全加密演算法，以及<a href="http://www.ithome.com.tw/news/152879" target="_blank">7</a><a href="https://www.ithome.com.tw/news/152879" target="_blank">月間</a>美國三星遭駭致數量不詳的客戶個資外洩。</p> </div></div></div>
2023/11/22 12:43作者林妍溱https://www.ithome.com.tw/news/159944
蘋果將採用RCS傳訊標準，讓iPhone明年與Android互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果已向《<a href="https://9to5mac.com/2023/11/16/apple-rcs-coming-to-iphone/" target="_blank">9to5Mac</a>》及《<a href="https://www.techradar.com/phones/iphone/breaking-apple-will-support-rcs-in-2024" target="_blank">TechRadar</a>》證實，準備在明年下半年支援RCS Universal Profile傳訊標準，以讓iPhone可以透過行動網路或Wi-Fi與Android手機互傳訊息，包括傳遞文字、照片、影片或是分享位置等。</p> <p>RCS的全名為豐富通訊服務（Rich Communication Services），現由GSM協會（GSMA）主導，為一不同行動營運商及不同手機之間的通訊標準，主要是用來取代傳統的簡訊服務；而RCS Universal Profile指的則是開發及部署RCS的功能套件，包括文字／群組聊天，分享檔案或位置等。許多不同的Android手機品牌都可透過RCS互通，包括Google與三星在內。</p> <p>根據報導，蘋果將維持iOS上的iMessage，也將持續透過iMessage讓蘋果用戶交流，對RCS Universal Profile的支援只是用來取代傳統的文字簡訊（SMS）及多媒體簡訊（MMS），它可與iMessage共同運作，但卻是獨立的。這是因為蘋果認為iMessage還是最安全的傳訊程式，RCS雖可帶來更好的互動經驗，但迄今仍缺乏端對端加密。</p> <p>其實Google早在<a href="https://www.ithome.com.tw/news/152430" target="_blank">去年呼籲蘋果採用RCS技術</a>，以讓全球手機之間有更一致的通訊體驗，<a href="https://www.ithome.com.tw/news/159709" target="_blank">Google更在今年聯合歐洲電信業者透過歐盟向蘋果施壓</a>。</p> <p>看起來蘋果並不打算開放iMessage，而是選擇支援RCS標準來打破與不同手機品牌及營運商之間的通訊藩籬，以杜悠悠之口。</p> </div></div></div>
2023/11/17 12:25作者陳曉莉https://www.ithome.com.tw/news/159885
【資安日報】11月16日，殭屍網路OracleIV、Ddostf分別鎖定Docker環境、MySQL伺服器而來，將其用…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">利用組織的應用系統來進行DDoS攻擊，近期變得相當頻繁，本週有2起攻擊事故，其中一個針對Docker環境而來，另一個則是鎖定資安防護不足的MySQL資料庫，而且，無論是Windows、Linux電腦架設的資料庫，都是攻擊者下手的對象。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">其中比較值得留意的是針對<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Docker而來的攻擊行動，相關的惡意映像檔已被拉取超過3千次，且駭客仍不斷改良其作案工具。特別的是，此映像檔雖然含有挖礦程式，但駭客在攻擊過程並未使用。</span></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【攻擊與威脅】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cadosecurity.com/oracleiv-a-dockerised-ddos-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DDoS殭屍網路OracleIV鎖定Docker容器環境而來</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/image7-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image7-16.png" style="width: 300px; float: right;" /></a>資安業者Cado揭露名為OracleIV的DDoS殭屍網路病毒，攻擊者利用Docker容器的錯誤配置，散布ELF可執行檔，此為Python打造的惡意程式，攻擊者透過Docker引擎的API，發出HTTP POST請求，觸發拉取的命令，從Docker Hub下載看似無害的映像檔，截至研究人員公布攻擊行動，這個映像檔已下載超過3千次，而且該檔案更新相當頻繁。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此殭屍網路機器人主要是發動UDP及SSL連線的洪水攻擊，先是連線至C2並以寫死的帳密進行驗證，然後接收攻擊者下達的命令，針對目標IP位址或網域、連接埠，以指定的流量、攻擊手法執行DDoS攻擊。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="http://asec.ahnlab.com/en/58878/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MySQL伺服器遭到鎖定，駭客用於發動DDoS攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">資安業者AhnLab揭露中國殭屍網路Ddostf的攻擊行動，駭客掃描TCP的3306埠，尋找網際網路上MySQL伺服器，嘗試透過這些系統使用的弱密碼或是存在的已知漏洞入侵，接著攻擊者上傳惡意DLL檔案，充當使用者定義功能（User-Defined Function，UDF）程式庫，從而在受害主機上部署並執行Ddostf殭屍網路病毒，且作業系統不論是Windows或Linux的MySQL伺服器，都有可能受害。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">研究人員指出，雖然該殭屍網路病毒支援的多數命令與DDoS機器人相似，但特別之處在於，它能從C2伺服器接收到下一臺C2伺服器的位址，然後在指定時間裡執行命令，這代表攻擊者可能將DDoS攻擊作為服務的型式，向其他駭客兜售。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.proofpoint.com/uk/blog/threat-insight/ta402-uses-complex-ironwind-infection-chains-target-middle-east-based-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴勒斯坦駭客組織Molerats利用惡意程式IronWind發動攻擊</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/Picture2_25.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture2_25.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露伊朗駭客Molerats（亦稱TA402的）近期的攻擊行動，這些駭客從今年7月至10月，利用名為IronWind的Go語言惡意程式下載器，主要針對中東和北非的企業組織而來。攻擊者先是透過外流的外交單位電子郵件帳號，以經濟議題為幌子寄送釣魚郵件，Dropbox連結，散布帶有巨集的PowerPoint擴充套件檔案（PPAM）。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">一旦收信人執行此PPAM檔案，就會在觸發巨集，於受害電腦投放IronWind，並透過timeout.exe側載執行，並向C2伺服器發出HTTP GET請求，從遠端伺服器下載Shell Code，以其執行WMI查詢工作，並下載.NET打造的後利用工具SharpSploit。此後利用工具發出HTTPS POST、GET請求，從C2接收JSON檔案，並依照攻擊者指示下載惡意酬載。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得留意的是，這些駭客也會利用Excel擴充套件（XLL）、RAR壓縮檔等管道來散布IronWind。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.digital.go.jp/news/6ca8eac4-c6e9-4daf-abec-76cef9fb638b"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本入境通關線上表單Visit Japan Web出現冒牌App</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月9日日本數位廳提出警告，外國旅客入境日本時，必須填寫的網頁電子表單Visit Japan Web，近期出現假借該表單服務的手機應用程式，要求旅客提高警覺。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">由於上述網站並未推出專屬的手機App，旅客若是不慎安裝應立刻刪除，此外日本數位廳也提及，此App會要求旅客輸入信用卡資料，但他們的表單沒有相關欄目。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【漏洞與修補】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://onapsis.com/blog/sap-security-patch-day-november-2023"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補ERP系統Business One的重大漏洞</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月14日SAP發布本月例行更新，當中修補了ERP系統Business One重大漏洞CVE-2023-31403，起因是在安裝這套系統的過程中，發生不適當的存取控制情形，這使得攻擊者可透過匿名使用者的身分，讀取或寫入SMB網路共享資料夾，導致該系統的機密性、完整性、可用性受到影響，該漏洞存在於10.0版Business One，CVSS風險評分為9.6。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【資安產業動態】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.cna.com.tw/news/ahel/202311150137.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">擴大資安人才培養基礎，明年大學特殊選才招生管道將提供1,526個名額，資安專長名額增三成</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://s4.itho.me/sites/default/files/images/6db5f27a-075a-4666-9fbe-dadb72d6a08b.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6db5f27a-075a-4666-9fbe-dadb72d6a08b.jpg" style="width: 300px; float: right;" /></a>11月15日教育部高等教育司指出，113學年度特殊選才招生計畫正受理報名，今年共有58所大學、596個學系參與，總共有1,526個招生名額。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">值得一提的是，為了配合行政院精進在學資安人才培育政策，他們自112學年度，以外加名額方式，由資安校系以自辦資安考試、資安相關檢測納入升學參採資料等選才條件與方式招生，鼓勵大專培育資安人才，到了113學年度也擴大規模：教育部核定37個資安校系、92個名額，較112學年度的67個增加超過3成。這樣的情況，主要是因為許多學校為了找到更符合資安專長的學生，將申請入學的名額挪到特殊選才。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.justice.gov/usao-pr/pr/russian-and-moldovan-national-pleads-guilty-operating-illegal-botnet-proxy-service"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、西班牙聯手，拆毀殭屍網路IPStorm</span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">11月14日美國司法部宣布，他們與西班牙警方，以及資安業者Bitdefender、Anomali、Intezer聯手，破壞於2019年堀起的殭屍網路Interplanetary Storm（IPStorm），具俄羅斯及摩爾多瓦雙重國籍的主謀Sergei Makinin遭逮捕並認罪。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">此殭屍網路病毒由Go語言打造，初期鎖定Windows電腦，後來將Linux、macOS、Android裝置也納入範圍，該名主謀聲稱控制2.3萬臺裝置，主要的受害者位於香港、韓國、臺灣。Sergei Makinin將受害裝置用於提供代理伺服器服務，不法獲利超過55萬美元。</p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>【其他新聞】</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159828"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mandiant執行長呼籲企業以「預想被駭」的思維出發，強化資安偵測應變能力</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159820"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">越南駭客疑假借提供Google Bard散布惡意程式，遭到Google提告</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/fbi-and-cisa-warn-of-opportunistic-rhysida-ransomware-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida鎖定缺乏雙因素驗證的企業下手</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/toronto-public-library-confirms-data-stolen-in-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">多倫多公立圖書館證實10月勒索軟體攻擊造成資料外洩</span></span></strong></a></p> <p></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.bleepingcomputer.com/news/security/samsung-hit-by-new-data-breach-impacting-uk-store-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">三星電子傳出資料外洩，英國門市客戶受到影響</span></span></strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </p> <h3 style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><strong>近期資安日報</strong></h3> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159839"><strong>【11月15日】勒索軟體駭客組織LockBit鎖定十多家大型企業，利用重大漏洞Citrix Bleed入侵，入侵這些公司內部網路環境</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159822"><strong>【11月14日】哈瑪斯駭客透過資料破壞軟體BiBi攻擊以色列企業組織，占用大量處理器資源抹除Windows電腦檔案</strong></a></p> <p style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"><a href="https://www.ithome.com.tw/news/159771"><strong>【11月13日】疑為未修補Citrix NetScaler重大漏洞釀禍！中國工商銀行美國分公司遭勒索軟體攻擊，波及美債交易</strong></a></p> </div></div></div>
2023/11/16 16:41作者周峻佑https://www.ithome.com.tw/news/159875
微軟發布最新.NET 8長期支援版本，雲端、AI應用支援再強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟如期在11月發布最新的<a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-8/">.NET 8長期支援版本</a>，這個版本一如既往，官方再次強調新版本的效能提升，並且提高雲端的支援度，加入了一個稱為Aspire的雲端開發框架，助開發人員編寫生產就緒的雲端原生應用程式。此外，在人工智慧的支援上，.NET 8提供豐富元件供開發者在應用程式中融入人工智慧。</p> <p>微軟再次稱新的.NET為當前最快的版本，官方提到，他們對整個技術堆疊進行數千項的效能改進，包括預設啟用名為動態配置檔案導向最佳化（Dynamic Profile-Guided Optimization，PGO）的程式碼生成器，可以根據實際使用狀況最佳化程式碼，提升應用程式效能可達20％。</p> <p>另外，.NET 8還預設支援AVX-512指令集，允許對512位元的向量資料進行平行操作，進而在更短的時間處理更多資料。微軟在.NET 8的基本類別，實作了新的格式化和解析介面，可以直接以UTF-8格式進行格式化和解析，消除轉碼所要付出的額外成本開銷。</p> <p>微軟指出，從最新的TechEmpower基準測試可以看出，.NET 8在JSON API的使用場景效能提升18％，在ASP.NET Core Minimal API可達到每秒接近100萬次請求的處理能力。在接近實際網頁工作負載的Fortunes場景中，包括資料庫存取和伺服器端HTML渲染，效能提升更為明顯達到24％，每秒可超過30萬次的請求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Performance2.png" style="width: 580px;" /></p> <p>.NET 8在雲端應用上也獲得強化，微軟提到，.NET 8讓開發者更容易以容器打包應用程式。每個.NET映像檔都會包含一個非根用戶，開發者僅透過單行指令就可簡單地配置安全容器。而.NET SDK工具可以在沒有Dockerfile的情況下，發布預設為非根的容器映像檔。官方表示，由於.NET基礎映像檔體積縮小，因此開發者可以更快地部署容器化應用程式。</p> <p>.NET 8還加入一個稱為.NET Aspire的技術框架，用於建置高韌性、可觀測且可配置的雲端原生應用程式，其具有一系列雲端原生應用強化元件，包括遙測、韌性、配置和監控功能等，可使開發者更簡單地開發用於生產環境的雲端應用程式。</p> <p>針對當前熱門的人工智慧技術，.NET 8 SDK提供多項人工智慧功能和工具，降低開發者在應用程式加入人工智慧功能的複雜性。.NET 8強化System.Numerics函式庫，提升和生成式人工智慧工作負載的相容性，另外，微軟還提到，開源的Semantic Kernel SDK也能夠簡化人工智慧元件與新舊應用程式的整合，提升創新應用開發體驗。</p> <p>在.NET 8中Blazor進行了多項強化，微軟專注於最佳化頁面載入時間、可擴展性，並進一步提升用戶體驗。開發者現在可於同一個應用程式中，同時使用Blazor Server和Blazor WebAssembly，並且在應用程式運行時，會自動切換用戶的處理，從伺服器端轉移到客戶端，更靈活地分配工作負載和任務。</p> <p>.NET 7已經加入的Native AoT，可讓開發者將.NET應用程式編譯為原生程式碼，在.NET 8中，不只自包含應用程式的檔案大幅縮小，還可使用更少的記憶體運作，啟動速度也更加快速。除此之外，Native AOT現在支援iOS類平臺，而新的VS Code擴充套件賦予.NET MAUI開發跨平臺.NET行動和桌面應用所需要的工具，支援Xcode 15和Android API 34，這代表開發者可以針對最新版本的iOS和Android開發應用程式。</p> </div></div></div>
2023/11/16 08:26作者李建興https://www.ithome.com.tw/news/159840
FBI拆毀IPStorm殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-pr/pr/russian-and-moldovan-national-pleads-guilty-operating-illegal-botnet-proxy-service" target="_blank">美國司法部於本周宣布</a>，美國聯邦調查局已拆毀了危害全球數萬裝置的Interplanetary Storm（IPStorm）殭屍網路，主謀Sergei Makinin已遭逮捕且已認罪。</p> <p>崛起於2019年6月的IPStorm是以Golang所撰寫，原本鎖定Windows裝置進行感染，隨後並將版圖擴大到Linux、macOS與Android，其惡意程式目的是令這些裝置為Makinin所控制，Makinin對外宣稱總共握有全球2.3萬個裝置的控制權，遍及亞洲、美洲與歐洲。</p> <p>根據羅馬尼亞資安業者<a href="https://www.bitdefender.com/files/News/CaseStudies/study/376/Bitdefender-Whitepaper-IPStorm.pdf" target="_blank">Bitdefender在2020年針對IPStorm所發表的分析白皮書</a>，被植入IPStorm惡意程式的受害者主要位於亞洲，前三名是香港、南韓與臺灣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1115-Bitdefender-IPStorm%20botnet-600.jpg" style="width: 307px;" /></p> <p>Makinin設立了兩個網站來行銷IPStorm殭屍網路服務，使用者每月只要支付數百美元就可以透過這些受駭裝置引導流量，不法獲利超過55萬美元，不過，Makinin的加密貨幣錢包已被執法機關沒收。</p> <p>Makinin同時擁有俄羅斯及摩爾多瓦國籍，美國司法部並未說明FBI是如何摧毀IPStorm的基礎設施又是如何逮捕Makinin，僅說是聯邦調查局與西班牙警方，以及Bitdefender、Anomali Threat Research及Intezer等資安業者的合作下共同破獲IPStorm。其中，<a href="https://intezer.com/blog/research/a-storm-is-brewing-ipstorm-now-has-linux-malware/" target="_blank">Intezer亦於本周提供了IPStorm的網路入侵指標</a>，並協助使用者偵測及終止系統所執行的惡意程式。</p> <p>Makinin承認了3項罪名，涉及未經授權故意傳送程式並造成損害，每項罪名最高都可判處10年刑期。</p> </div></div></div>
2023/11/15 15:45作者陳曉莉https://www.ithome.com.tw/news/159835
傳Google為鞏固市占以4年80億代價成三星手機預設App，Safari上搜尋營收分1/3給蘋果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，為了擴大Google應用在智慧型手機平臺上的市占，Google付給三星4年80億美元以換取其成為手機上的預設App。Google在Safari瀏覽器上的廣告營收也分潤超過3/1給蘋果，確保它的搜尋市占。</p> <p>二項消息都是在Google涉入的官司中，在法庭上揭露。首先，是Google和電玩遊戲發行商Epic的壟斷官司，後者控告Google濫用Android行動應用平臺的獨大地位，限制第三方應用程式使用第三方支付機制。<a href="https://www.bloomberg.com/news/articles/2023-11-14/for-google-play-dominating-the-android-world-was-existential#xj4y7vzkg" target="_blank">《彭博》報導</a>，Google合作夥伴部門副總裁James Kolotouros出席作證時指出Google和Android手機業者簽定交易，以確保手機預安裝Google Play Store App。他的作證也顯示三星手機及其他裝置占了Google Play Store營收的一半以上。</p> <p>報導指出，2019年Google啟動一項「榕樹專案」（Project Banyan）。該計畫目的在使三星的Galaxy Store應用程式市集和Play Store並存於三星裝置中。Google甚至有意支付4年2億美元，以便在Play Store中內建Galaxy Store及其支付機制。不過這計畫後來取消。Google合作的最後決議是4年支付80億美元，換取Google助理、Play Store及Google搜尋三款App成為三星裝置的預設。但Kolotouros指出，Google雖花大筆經費在Android裝置業者合作上，但Google及三星都不同意不讓Galaxy Store置於手機主頁上的作法，這顯示Google並未像Epic所描述，濫用Android獨大地位，排擠對手。</p> <p>Google和蘋果的最新合作內幕，則是從Google vs. 美國司法部的壟斷官司中流出。司法部9月控告Google和裝置、瀏覽器業者簽下多種合作協議，目的在排擠競爭對手如Bing、DuckDuckGo。</p> <p><a href="https://www.cnbc.com/2023/11/14/apple-gets-36percent-of-google-search-revenue-from-safari-alphabet-witness.html" target="_blank">《CNBC》報導</a>，芝加哥大學經濟學教授Kevin Murphy在法庭作證時透露，Google為了不讓蘋果Safari預設使用其他搜尋引擎，雙方一項合作協議是，Google分享Safari瀏覽器產生搜尋營收高達36%給蘋果。</p> <p>過去業界雖知Google鐵定付給蘋果大筆金額，但究竟有多少卻不得而知。Safari是Chrome之外，第二個用戶數突破10億的瀏覽器。《CNBC》引述分析機構Bernstein分析師推測蘋果從和Google的搜尋合作收入為一年190億美元。為了這筆業外收入，<a href="https://www.ithome.com.tw/news/159159" target="_blank">媒體報導</a>蘋果也打消買下Bing搜尋或使用DuckDuckGo作為Safari預設的想法。</p> </div></div></div>
2023/11/15 11:51作者林妍溱https://www.ithome.com.tw/news/159832
Kotlin在TIOBE Index排名持續攀升，名次較去年同期進步13名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者對程式語言Kotlin的關注度正在提升，使Kotlin成為<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index 11月</a>受歡迎排名焦點之一，其排名從前一個月的18名上升到15名，總共前進了3名，而且如果與前一年同期相比，名次更是上升13名。</p> <p>Kotlin是一種靜態類型的現代程式設計語言，由JetBrains於2011年的時候開發，其完全相容於Java，受到Android開發者的青睞，從2017年起成為Android官方支援的語言之一。 Kotlin被設計成一個簡潔的語言，不只安全也更有表達力，具有避免空指標、支援擴展函式和高階函式等現代程式語言特性。Kotlin還支援跨平臺開發，包括可用於JavaScript和原生應用程式中，因其易用性和多功能性而受廣泛歡迎。</p> <p>在2個月前，Kotlin才進入TIOBE Index前20名，現在已經來到15名。前一次Kotlin受到關注是在2017年，當時Google宣布Android開始對Kotlin提供一流的支援，評分高峰接近1％，而在11月Kotlin打破了記錄，評分達到了1.15％。</p> <p>TIOBE執行長Paul Jansen提到，由於Kotlin與Java程式語言可完全互通，所以可視為Java程式語言的直接競爭對手。也就是說，Kotlin不僅可用於開發Android應用程式，而且所有Java應用領域都會成為Kotlin的機會。Paul Jansen斷言Kotlin將會進入TIOBE Index前10名。</p> <p>現在前4名程式語言分別是Python、C、C++和Java，而Java才從第三名落到第4名，11月的分數又下降3.63％來到8.35％，而第5名的C#分數則上升3.4％達到7.65%，依照這個趨勢，可能不久之後Java名次又要往後退。</p> <p>除了Kotlin，還有一些程式語言的歡迎程度較去年大幅提升，包括Fortran從去年的24名進步到12名，專為國小和國中生設計的簡易程式語言Scratch，則從17晉升到11名。而大幅退步的程式語言則是R語言，從原本的12名落到了19名。</p> </div></div></div>
2023/11/15 08:49作者李建興https://www.ithome.com.tw/news/159829
Google新規定要求Android App需最少經過20人測試、開發商需完成帳號驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防範詐騙軟體及提升App品質，<a href="https://support.google.com/googleplay/android-developer/answer/14151465?hl=en" target="_blank">Google上周宣布</a>Android App新的開發商規定，要求App必須至少經過20人測試，以及需完成開發商帳號驗證。</p> <p>Play Store上架的應用程式一般包含內部測試、封閉測試、公開測試及正式上架階段。內部測試並非強制，但Google仍建議開發商執行。Google新公布的第一項要求是屬於封閉測試階段，適用於2023年11月13日以後建立的Google Play個人開發商帳號。</p> <p>Google要求新建立帳號的開發人員，每個App上架Google Play之前，封閉測試階段必須經過最少20名用戶測試，且他們必須是主動要求（opt-in）加入，並連續使用至少14天。完成App設定後即可以封閉測試。在滿足要求之前，Play Store控制臺（Console）的部分功能，像是「Production」及「Pre-registration」都呈現關閉狀態。</p> <p>完成封閉測試後，開發商就可以在Play控制臺（Console）中的Dashboard申請審查上架，雖然大部分開發商會再經過公開測試。在申請審查過程中，Google會詢問開發商一些關於封閉測試的問題，以了解應用程式本質、測試過程及實際上線的整備度。</p> <p>Google公布的第二項開發商要求是關於帳號驗證。<a href="https://android-developers.googleblog.com/2023/07/boosting-trust-and-transparency-in-google-play.html" target="_blank">今年7月Google宣布</a>，新設立的Play Console開發商帳號，需提供企業徵信業者鄧白氏（Dun & Bradstreet）發布的D-U-N-S號，這是業界廣泛使用的9位數號碼，這號碼可免費向鄧白氏申請派發。Google將以這號碼，連同其他資訊，包括公司法律名稱、地址、電子郵件、電話號碼、公司規模、組織種類或網址、支付銀行帳號等作為帳號建立時的驗證。新規定適用於2023年9月以後設立帳號。</p> <p>而<a href="https://support.google.com/googleplay/android-developer/answer/14177239?hl=en" target="_blank">在上周Google再宣布</a>新規定將推向早先設立的開發者帳號。Google要求這些帳號開發商完成驗證，<a href="https://play.google.com/console/u/0/signup" target="_blank">開發商可以自行挑選</a>2023年11月8日到2024年2月29日之間任何一日為最後期限。但因每日件數有限，故採先來先到原則。未主動選擇的開發商，Google會以系統自動發派。</p> <p>Google警告，明年4月1日起，未能完成開發者帳號驗證者，其開發商資料及App將會被從Google Play移除。</p> </div></div></div>
2023/11/13 14:48作者林妍溱https://www.ithome.com.tw/news/159768
Iridium、高通已終止手機衛星連網合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155026" target="_blank">今年初高通與衛星通訊業者Iridium宣布</a>合作開發手機和衛星D2D（Direct-to-Device）的功能，不過這項功能尚未推出，雙方已經終止合作。Iridium則計畫和裝置OEM或OS廠商直接合作。</p> <p>蘋果去年在iPhone 14系列中加入透過衛星發送SOS的功能，引發業界對D2D技術的關注。今年初在CES大會上，高通與衛星通訊業者宣布雙方將合作研發名為Snapdragon Satellite的晶片功能，可讓搭載高通新晶片Snapdragon 8 Gen 2及其X70行動數據機的Android手機結合Iridium 66顆低軌衛星，不只是單向發送SOS求救訊息，也能雙向收發一般訊息。這項服務計畫分階段上線，預計2023年下半在特定地區，如北美及歐洲開通。<a href="https://www.qualcomm.com/news/releases/2023/02/qualcomm-and-leading-global-smartphone-manufacturers-collaborate" target="_blank">高通2月時宣布</a>，表達有興趣導入這項技術的手機業者包括中國業者Honor、Oppo、Vivo及小米，以及Motorola、Nothing等。</p> <p>高通的新功能尚未推出，<a href="https://investor.iridium.com/2023-11-09-Iridium-Announces-New-D2D-Direction" target="_blank">上周Iridium卻公布雙方已終止合作</a>。Iridium表示，雖然雙方已成功開發及展示新技術，但由於智慧型手機製造商未能將這項技術加入到其產品中，因此高通於11月3日通知Iridium，將於12月3日起終止合作協議。</p> <p>Iridium執行長Matt Desch指出，行動網路及裝置業者長期將會在其裝置內加入手機連衛星功能，以提供更廣的覆蓋及新式功能，而其全球覆蓋率及符合法規，使其夠格在新市場上扮演關鍵角色。</p> <p>Iridium宣布，和高通的合作終止後，Iridium現在可以直接和手機品牌商、競爭晶片商及智慧型手機作業系統開發商展開。該公司並表示已經準備採用其方案的客戶，仍會持續獲得其服務，並加入該公司窄頻非地面網路（Narrowband Non-Terrestrial-Network）服務的開發計畫。</p> <p>高通對<a href="https://www.cnbc.com/2023/11/09/iridium-announces-end-of-qualcomm-satellite-to-phone-partnership.html" target="_blank">《CNBC》</a>指出，他們希望和Iridium就標準化的解決方案進行合作，但終止專屬規格方案的合作。<a href="https://www.lightreading.com/satellite/qualcomm-backs-out-of-iridium-phone-to-satellite-deal" target="_blank">《Lightreading》則</a>報導，目前標準組織3GPP已經在推動手機對衛星的5G標準草案。</p> <p>儘管Iridium表示，和高通終止合作一事並不影響其2023年全年財報指引。該公司10月發布指引，公司預估到2030年，年營收可達10億美元。不過消息公布後Iridium股價仍下跌了8%。</p> </div></div></div>
2023/11/13 11:21作者林妍溱https://www.ithome.com.tw/news/159763
【資安月報】2023年10月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年10月的資安新聞中，國際上出現新的震盪，先是巴勒斯坦激進組織哈瑪斯（Hamas）突然對以色列發動大規模的軍事攻擊，後續以色列開始強烈反擊，而在網路上也陸續傳出，有駭客組織聲援兩國表態參與發動網路攻擊的情形。</p> <p>不僅如此，最近這一個多月來，我們看到科技大廠修補遭利用零時差漏洞的消息，呈現相當密集的情形，因此前陣子<a href="https://www.ithome.com.tw/news/159484">我們也專門介紹了這樣的態勢</a>，當中亦顯現國家級駭客組織、商業間諜公司、勒索軟體組織挖掘零時差漏洞並用於攻擊行動的最新現況，以及涉及底層漏洞似乎變多的情形。</p> <p>回顧國內近期重大網路攻擊事故與資安防護推動，有兩個議題最受我們關注，一是下半年國內接連有連鎖藥局遭駭客攻擊的情況，一是我國政府資訊服務採購有新變革，將資安防護措施納入採購規範，做到資安入規。</p> <h3><strong>興櫃公司「諾貝兒」與上市公司「羅昇」公告遭網路攻擊</strong></h3> <p>近日，我們盤點這一個月的臺灣重大資安消息，新發現國內有兩家上市櫃公司揭露遭駭客攻擊，是這個月資安日報中沒有提及。</p> <p>首先，<a href="https://s4.itho.me/sites/default/files/images/2023-11-01_154750.jpg">以丁丁藥局為營運主體的興櫃公司諾貝兒寶貝（諾貝兒），該公司在10月7日發布資安事件重大訊息，說明公司遭受駭客網路攻擊</a>。</p> <p>另一起事件，主要代理傳動、控制等自動化機電零組件並提供方案的<a href="https://s4.itho.me/sites/default/files/images/2023-11-01_154538.jpg">上市公司羅昇企業（羅昇），在10月27日亦發布資安事件重大訊息，說明該公司發生部分資訊系統遭受駭客網路攻擊的狀況</a>。</p> <p>以諾貝兒的事件而言，引起我們關注的是，雖然調查局指出現況依然是很多產業都有被攻擊的情況，但在今年下半，<a href="https://www.ithome.com.tw/news/158011">7月底，先是有大樹醫藥公告遭遇網路攻擊事件</a>，如今10月初，又有丁丁連鎖藥局的諾貝兒寶貝公告遭遇網路攻擊事件，似乎連鎖藥局與醫療通路可能有被針對的情形，相關業者須多加留意。</p> <p>再者，大樹醫藥與諾貝兒寶貝這兩家業者，都有提及要提醒消費者反詐騙，此舉也意味著，可能有客戶資料外洩情事的發生。大家可以想見的是，現在各類通路服務業者其實都在經營會員，不只線下實體門面也有線上購物，雖然數位發展部今年正<a href="https://moda.gov.tw/ADI/news/latest-news/5429">推動電商相關公協會成立資安強化推動工作小組</a>，但未來如何擴大推動，將是需要持續關注的重點。</p> <p>另一方面，關於10月公告遭網路攻擊的上市櫃公司羅昇與諾貝兒，儘管事件應該沒有相關，但我們從中發現一個較為特殊的關聯，這兩家公司剛好都屬佳世達集團的陣營。以羅昇而言，佳世達旗下友通資訊對羅昇的累計持股在2021年達48.07%，以諾貝兒而言，今年佳世達在參與私募增資與公開收購後，5月宣布已取得諾貝兒28.54%股權。</p> <h3><strong>政府採購有變革，機關與產業可望擺脫過去亂象</strong></h3> <p>關注資安事故的同時，今年臺灣資安防護推動也獲得幾個重要進展，首先是，最新政府資訊服務採購指引出爐。</p> <p>行政院公共工程委員會（行政院工程會）先是在今年9月25日發布政府資服採購作業指引，後續，<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/15719195-87ba-4927-a509-49b15a63ee5c">行政院在10月5日發布消息，說明通過「政府資訊服務採購革新－資安入規及採購指引」報告</a>，並請各部會及各地方政府，落實執行本次資訊服務採購革新相關事項，同時，<a href="https://www.ey.gov.tw/File/27D24371B8446F4D?A=C">工程會也新提供懶人包說明這次資安入規及採購指引的重點</a>。</p> <p>簡單來說，這項改變之所以重要，不僅是因為資安入規，還有因為過去20年政府資訊服務採購的規範，長年來為機關與資服業者帶來太多爭議與亂象，甚至陷入難以解決惡性循環的情況，例如，對資訊系統建置時的資安規畫與契約履行造成極大的挑戰，也導致業界可能為了得標而必須大幅讓利甚至降低品質。</p> <p>而我們在9月進行資安監控中心SOC的封面故事報導時，當時也感受到資安服務業者面對公部門採購有很多話想說，像是招標機關常年採最低價決標，但廠商面臨技術服務需與時俱進的向上競爭壓力，在收費營收方面卻呈現持續往下的嚴峻挑戰，隨著政府資訊採購確定有新變革，才讓他們認為市場有了轉機。</p> <p>具體來看，在政府資訊服務採購革新上，資安入規是一大重點，在資訊服務採購契約範本新增資安基本要求後，將強化政府資訊服務採購的資安防護，並藉由打造通用性的資通安全基本要求參考一覽表，不僅讓機關和業者對於資安規範有明確的共識，也解決政府採購人員不懂資安專業的困境，可以容易地選擇所需資安等級的規範內容。而且，為了讓資服與資安業者有足夠時間調適配合與因應，預計明年（2024年）3月1日，將資安作為納入採購規範首先針對的是普級系統，明年（2024）8月1日才是針對中、高級系統。</p> <p>同時，新版採購指引更是關鍵，根據工程會的說明，本次指引從全生命週期角度來提出對應作為，同時採最有利標時不訂底價，重視履約過程契約雙方反覆檢視需求及變動並給予合理經費，從源頭減少爭議，並擴大建立政府採購諮詢機制，將有助於事前減少爭議、事後有效解決。</p> <p>無論如何，政府資訊服務採購現在有了好的轉變，雖然這次革新可能還不到滿分完善的地步，但在專家眼中，至少可以讓政府資訊服務採購有正向積極的轉變，比方說，從以往的59分不及格，進步到80分。而我們也期望，新的變革能夠加速提升臺灣機關資安防護能力，並帶動臺灣資服資安業者的產業競爭力。</p> <p>另一個突破會是資通安全管理法的修法，因應相關法令內容即將調整，針對這次修法帶來的改變，以及民眾意見回饋，我們將在11月進行這方面的封面故事報導，與大家一起探討。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159191"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月2日到10月6日</span></a></strong></h2> <p>從2023年的零時差漏洞利用情況來看，上半年呈現數量攀升的趨勢，近期我們注意到最近這樣的威脅態勢更是顯著。在中秋連假後這一週，出現多個漏洞遭成功利用的重要消息：</p> <p>　（一）商業間諜軟體開發商發動的零時差漏洞攻擊不斷，影像編解碼程式庫libvpx的漏洞CVE-2023-5217已遭鎖定利用，除了Google修補，後續蘋果與微軟也相繼針對其產品修補這項漏洞。<br /> 　（二）修補手機端的零時差漏洞同樣消息不斷，包括Arm Mali GPU Kernel Driver的漏洞CVE-2023-4211，以及蘋果iOS與iPadOS的漏洞CVE-2023-42824，均有攻擊者發現漏洞加以利用的狀況。<br /> 　（三）思科修補網路設備作業系統IOS、IOS XE的零時差漏洞CVE-2023-20109，已遭攻擊者利用，該漏洞存在於群組加密傳輸VPN（GET VPN）功能。<br /> 　（四）Atlassian旗下的Confluence Data Center版與Server版，傳出身分驗證與Session管理毀損零時差漏洞CVE-2023-22515，同樣已發現遭利用的情形。<br /> 　（五）新修補的漏洞快速遭鎖定。先前我們提到JetBrains在9月下旬修補CI/CD軟體平臺TeamCity重大漏洞CVE-2023-42793，以及本期周報提到Progress在9月底修補FTP伺服器軟體WS_FTP Server重大漏洞CVE-2023-40044，這些弱點修補公布至今不到半個月，均遭攻擊者鎖定利用。<br /> 　（六）4月微軟揭露Windows CNG金鑰隔離服務權限提升漏洞CVE-2023-28229，並公告修補消息，最近亦發現遭利用的證據。</p> <p>在其他漏洞威脅消息上，還有多個同樣需要留意的焦點，例如：資料整合及自動化工具Apache NiFi，今年6月修補的漏洞CVE-2023-34468，近日出現攻擊該漏洞的利用工具；郵件傳送代理程式EXIM存在重大漏洞CVE-2023-42115，去年6月雖然已通報開發團隊，至今卻尚未修補，近期已揭露成為零時差漏洞，目前尚未出現遭濫用的情形。</p> <p>在威脅事件焦點方面，有三大焦點最受關注：</p> <p>　●有資安業者揭露中國駭客寄送釣魚郵件，假借提供聲稱是台積電的簡介PDF檔，意圖濫用Cobalt Strike對半導體產業從是間諜行動。<br /> 　●大樓自動化管理業者Johnson Controls遭勒索軟體攻擊，該公司已在9月底向美國SEC提交8-K表單說明遭遇網路攻擊。<br /> 　●關於日前傳出有駭客組織入侵Sony，在多日調查後，Sony向美國政府通報資料外洩事故，並指出事件起因是6月初遭MOVEit Transfer零時差漏洞攻擊。</p> <p>其他重要惡意威脅態勢上，有兩起與政府相關，有兩起與行動裝置攻擊相關，分別是：東南亞政府機關近年遭中國駭客組織Mustang Panda、Alloy Taurus、Gelsemium鎖定的揭露，南美洲國家蓋亞那政府機關遭惡意程式DinodasRAT攻擊的揭露，以及逾50家越南銀行用戶遭安卓金融木馬GoldDigger的消息，以及中國駭客APT41開始對Android行動裝置下手，所利用的惡意軟體包括DragonEgg、WyrmSpy，並可竊取受害者地理位置資訊。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159285"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月11日到10月13日</span></a></strong></h2> <p>延續前一周有6個零時差漏洞攻擊與修補的情形，在雙十國慶連假期間，再有3個漏洞受注目，包括：</p> <p>●Cloudflare、Google、AWS揭露名為HTTP/2 Rapid Reset的零時差漏洞攻擊手法，他們紛紛指出8月就已經觀察到此漏洞利用情形。攻擊者是藉由CVE-2023-44487漏洞產生極為巨大的DDoS流量，由於漏洞存在HTTP/2通訊協定，採用該協定的產品與服務範圍相當廣泛，相關修補資訊、受影響的狀態公告，備受關注。<br /> ●本月微軟例行安全更新釋出，總共有103個漏洞，當中除了修補上述CVE-2023-44487漏洞，還有兩個已遭利用的零時差漏洞，包括涉及WordPad的漏洞CVE-2023-36563，以及Skype for Business有關的漏洞CVE-2023-41763。</p> <p>此外，Adobe在今年1月修補旗下Acrobat及Reader的漏洞CVE-2023-21608，後續發現網路上有概念性驗證PoC程式的公開，近日確定有攻擊者鎖定利用的情形；上週提到已遭攻擊者利用的Confluence的零時差漏洞（CVE-2023-22515），如今有最新消息指出是中國駭客組織Storm-0062所為。</p> <p>在最新資安威脅消息上，有廠商警告最近出現鎖定臺灣的攻擊。賽門鐵克揭露全新的APT攻擊組織Grayling，說明該組織的攻擊手法細節，並指出該組織在今年2月到5月鎖定對象，不只是太平洋群島的政府機關、越南及美國的組織，還有臺灣的生醫產業、製造業、IT產業。</p> <p>在國際局勢方面，由於巴勒斯坦激進組織哈瑪斯（Hamas）突然對以色列發動大規模的軍事攻擊，接著以色列也開始反擊，網路上陸續傳出駭客組織聲援巴勒斯坦的消息，像是俄羅斯駭客鎖定以色列衛星及工控系統攻擊等，甚至有資安業者揭露有上百駭客組織表態參與發動網路攻擊，並指出其中聲援巴勒斯坦的有77個，支持以色列的有20個。</p> <p>其他重要消息上，這段期間，還有中國駭客ToddyCat鎖定亞洲電信業者散布後門程式CurKeep的情形，以及殭屍網路Mirai變種病毒IZ1H9近期攻擊行動的揭露。國內有一起資安威脅事故相關消息，那就是去年有人在暗網購買我國戶籍資料的事件，警調單位有最新資訊公布，對於擅自購買大量個資的嫌犯，檢察官考量其沒有前科，並坦承犯案已知悔悟，因此給予緩起訴，期限1年，以及繳庫50萬元的條件。</p> <p>至於防禦態勢上，近日美國NSA、DHS與CISA釋出最常見10大資安配置錯誤的報告，重點是提供了網路防禦者因應的建議，並呼籲軟體製造商立即著手採用安全設計原則，以減輕整體資安防護的負擔。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159426"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月16日到10月20日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有兩個新漏洞及兩個已知漏洞遭鎖定的消息，成為企業必需關注的重點，包括：</p> <p>（一）思科公開網路設備作業系統IOS XE作業系統的零時差漏洞CVE-2023-20198，嚴重等級達到CVSS滿分，並警告大家已出現攻擊者成功利用該漏洞的情形，他們建議，目前用戶系統若是暴露在公開網路，應將IOS XE的HTTP Server功能關閉，並注意後續修補更新的釋出。揭露此消息之後的隔天，隨即有資安業者回報災情，因為他們發現多達數千臺Cisco IOS XE裝置已被植入了惡意檔案。<br /> （二）Milesight工控路由器（industrial cellular routers）漏洞CVE-2023-43261已公開揭露，儘管該設備商表示已修補，但值得注意的是，有資安業者透露此漏洞可能已被惡意利用，並指出這類產品用於鐵路貨運運輸、自動提款機（ATM）網路與緊急車輛使用。依此態勢來看，交通與金融服務均可能面臨威脅。<br /> （三）今年7月WinRAR修補的零時差漏洞（CVE-2023-38831），自4月即遭到攻擊者成功利用，本周有多家資安業者分別指出，發現俄羅斯與中國國家駭客組織所發動的網釣攻擊，正積極利用這個已知漏洞。<br /> （四）今年9月JetBrains修補CI/CD軟體平臺TeamCity重大漏洞（CVE-2023-42793），如今傳出有北韓駭客組織Lazarus及旗下團體Andariel鎖定該已知漏洞利用的消息。</p> <p>其他漏洞消息方面，包括：Juniper Networks修補網路設備作業系統逾30個漏洞、Oracle季度安全更新修補185個漏洞。</p> <p>在網路威脅焦點上，我們選出幾個重大事件，包括2個新攻擊手法，以及4個鎖定不同產業而來的網路攻擊行動的揭露：</p> <p>●新型態Magecart信用卡側錄（Card Skimming）攻擊行動的揭露，駭客使用了網站預設404錯誤訊息頁面來隱藏他們的惡意程式碼。我們甚至看到揭露的資安研究人員指出，這是他們前所未見的創造性隱匿手法。<br /> ●還有攻擊者部署竊資軟體時的新手法揭露，駭客濫用了幣安智能鏈（BSC）數位貨幣合約，也就是先利用植入WordPress的惡意程式碼，將流量導向幣安，再從區塊鏈取得惡意指令碼注入網站，這也導致攻擊程式碼難以清除的挑戰。<br /> ●關於電信產業的威脅，烏克蘭電腦緊急應變小組（CERT-UA）指出，最近半年來，該國至少11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，他們也公布目前發現的駭客攻擊手法。<br /> ●東南亞國協會員國的外交單位遭鎖定，資安研究人員發現中國駭客使用的後門程式Bloodalchemy。<br /> ●東歐石油產業、天然氣公司、國防工業遭後門程式框架Meta鎖定，資安業者發現攻擊者從工控環境入侵總公司內部網路，並利用釣魚郵件、IE瀏覽器漏洞CVE-2021-26411觸發感染鏈，入侵財務系統的伺服器。<br /> ●程式開發與資料科學領域常用的Jupyter Notebook遭鎖定，駭客除了將伺服器的運算資源拿來挖礦，也企圖竊取組織使用的AWS、Google Cloud雲端服務帳密資料，進一步擴大危害的範圍。</p> <p>另外，還有3起資料外洩消息，包括：卡西歐坦承他們的教育網頁應用程式ClassPad.net的開發環境伺服器，遭到未經授權存取而洩漏資料，波及149國客戶；基因檢驗業者23andMe傳出資料外洩，410萬筆英國民眾資料流入駭客論壇；臺灣網路設備廠商友訊科技（D-Link）傳資料外洩，該公司證實的確有程式碼外洩的情況，起因是員工遭網釣攻擊，而且，他們表示，外流資料並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。這項說法顯然有別於先前傳聞，孰是孰非仍有待觀察。</p> <p>至於防護態勢上，開源軟體供應鏈安全領域今年受到各界重視，範圍相當廣泛，雖然多家廠商均宣示要強化管控，但在開發人員之間流通的各種延伸套件，資安問題仍層出不窮，現在終於出現提升能見度的新做法。由於過去缺乏惡意套件公共資料庫，不易匯總相關發現與報告，因此開源安全基金會OpenSSFGitHub上推出惡意套件儲存庫，幫助外界更有效掌握已知惡意套件；在金融詐騙安全防護領域，臺灣今年積極引進與推動AI進行協助，例如，內政部警政署刑事警察局4月成立AI鷹眼識詐聯盟，其AI偵測專利技術的「鷹眼模型」由北富銀與內政部刑事警察局合作開發，本周有32家銀行宣布加入該聯盟，擴大鷹眼模型防護範圍，預計明年6月前完成導入。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159577"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月23日到10月29日</span></a></strong></h2> <p>回顧近期重大漏洞攻擊事故，最受各界矚目的，莫過於思科10月中旬公布的零時差漏洞CVE-2023-20198，駭客將其用於植入後門程式的攻擊行動，但經過一星期的延燒，後續竟出現不合理的劇烈減少的罕見現象，研究人員認為起因是駭客更換新的後門程式，導致原本的後門程式數量減少。</p> <p>其他資安事故的部分，身分存取管理服務業者Okta客戶技術支援系統遭駭，最令人憂心，因為有非常多的廠商與企業採用，造成廣泛牽連的局面，目前身分存取管理業BeyondTrust、雲端服務業者Cloudare、密碼管理業者 1Password，都表明因這起事故而遭到攻擊。後續效應有待觀察。</p> <p>電子郵件系統持續遭到駭客組織鎖定已是常態，但針對的平臺也有不同，例如，過往大部分是針對微軟Exchange、開源的Zimbra而來。這週有一套名為Roundcube的網頁郵件系統，俄羅斯駭客組織Winter Vivern、APT28鎖定，對方正在利用未知或已知漏洞從事攻擊行動。</p> <p>這週也有攻擊隔離網路（Air-Gapped）環境的情況，資安業者揭露鎖定USB安全加密隨身碟的攻擊行動TetrisPhantom，駭客先對位於非隔離網路環境的電腦下手，在連接這種隨身碟時，趁機將惡意程式植入裝置當中，等到用戶將隨身碟帶到受隔離系統使用，會趁機植入並進行竊密。</p> <p>關於資料外洩的手法，最近有新的話題。駭客不僅透過臉書收集攻擊目標的使用者資料，也會在臉書及Instagram專供執法單位存取的入口網站Police Portal帳密，這種入口網站是在政府機關因應辦案需求，向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用，後續資料洩露的情況尚不明朗。</p> <p>在資安防護的措施上，本週有新的動態，例如，美國CISA針對醫療產業推出一站式工具包，提升網路安全。再者，則是Google宣布擴大AI漏洞懸賞的範圍，當中也列入生成式AI。</p> <p>在國內的資安防護措施上，則是包含跨國網路攻防演練CODE 2023，以及政府專屬短碼簡訊平臺111。這次CODE 2023的攻防標的，選定與民生相關的水資源領域關鍵基礎設施（CI），進行攻防演綀，結果我國參與團隊表現傑出，得到冠軍。</p> <p>而政府短碼簡訊平臺的部分，則是繼數位發展部推出短網址服務之後，另一項新的防堵假冒政府機關詐騙措施。政府機關透過專屬平臺發送111短碼簡訊，達到只此一家、別無分號的效果，首波內部測試已有中央與地方的政府單位參與，現在將開放更多機關使用。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3> </h3> <p> </p> <p> </p> </div></div></div>
2023/11/12 08:00作者羅正漢https://www.ithome.com.tw/news/159582
AI趨勢周報第234期：GitHub將在12月正式上線程式助理Copilot Chat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1103～1109)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot Chat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式開發 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>GitHub將在12月正式上線程式助理Copilot Chat</strong></span></p> <p>原始碼代管平臺GitHub最近在<a href="https://reg.githubuniverse.com/flow/github/universe23/attendee-portal/page/welcome?utm_source=Blog&utm_medium=GitHub&utm_campaign=keynote-launch">技術年會</a>上揭露新進展，將在下個月正式上線程式開發助手GitHub Copilot Chat，使用者可以自然語言方式，來進行程式碼除錯、程式碼編寫等任務。所有GitHub Copilot訂閱戶屆時皆可使用，Copilot Chat也將免費提供給經驗證的教師、學生和熱門開源專案的維護者。</p> <p>今年7月，GitHub就開始測試以GPT-4為基礎的Copilot Chat。這次，他們在11月8日的年度大會上，除了揭露正式上線時間，也說明Copilot Chat的亮點，包括能根據程式碼上下文來解釋複雜概念、偵測安全漏洞，還能直接在程式碼行中使用Copilot Chat處理特定程式碼，另也引入斜杠指令（如/fix、/tests）和建議動作，使用者點擊一下就能完成任務。GitHub也表示，他們正將Copliot Chat整合至github.com和行動版App中，後者可讓使用者在Android或iPhone手機上，以文字或語音方式解決程式開發問題。</p> <p>不只如此，GitHub Next研究團隊還揭露新服務Copilot Workspace，由AI驅動，可協助開發者將想法轉化為程式碼。比如，開發者可在Copilot Workspace中提問，系統會自動產出建議計畫，解釋如何實作變更，開發者就可透過Workspace中的元件來建置、執行和測試程式碼，若出現錯誤，系統還會自動修復。GitHub預計在明年正式推出Copilot Workspace。<a href="https://github.blog/2023-11-08-universe-2023-copilot-transforms-github-into-the-ai-powered-developer-platform/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-11-12%20at%202_05_12%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPTs </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI發表客製化AI服務GPTs</strong></span></p> <p>OpenAI在年度技術會上發布新工具GPTs，能讓使用者用來打造客製化ChatGPT，還能上傳自己的ChatGPT到GPT商店，來讓其他用戶使用。OpenAI也提供幾種樣板，比如能回答所有桌遊規則的ChatGPT、談判教學的ChatGPT，或是技術支援顧問的ChatGPT等。GPTs即日起支援ChatGPT Plus與ChatGPT Enterprise等付費用戶，並計畫開放給更多用戶。</p> <p>OpenAI指出，使用者只需提供指令和額外知識，就能在GPTs建立特定目的的ChatGPT，完全不需撰寫程式。而且，使用者打造的客製化模型，還能串接API，如資料庫、Email等，來執行即時任務。甚至，企業使用者可用來打造內部分級專用的ChatGPT。OpenAI預告，他們將在這個月推出GPT Store，能讓經驗證的開發者上架自己的ChatGPT、與其它用戶分享，OpenAI也將在未來幾個月建立收費機制。<a href="https://openai.com/blog/introducing-gpts">（詳全文）</a></p> <p><img alt="" src="https://images.openai.com/blob/2014517b-1a80-4b62-bbb6-caa490f69299/introducing-gpts.png?trim=0,0,0,0&width=2600" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4 Turbo </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> API </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI揭露GPT-4 Turbo，可消化300頁文字</strong></span></p> <p>OpenAI最近在技術大會上發表GPT-4 Turbo預覽版，不只訓練資料更新到2023年4月，支援的脈絡（Context Window）長度還達到12.8萬個Token，最大輸出量為4,096個Token。其中，脈絡長度是指GPT在生成答案時，所參考的歷史資料範圍，包括使用者曾輸入的文字，或GPT曾產生的答案，而支援12.8萬個Token，代表GPT-4 Turbo最多可考慮將近300頁的文字。</p> <p>所有付費開發者皆可於API請求中，加入gpt-4-1106-preview來預覽GPT-4 Turbo，正式版可望於數周後出爐。同時，OpenAI還推出Assistants API，能讓開發者打造AI助理，可呼叫模型和工具來執行任務，如Code Interpreter、Retrieval與函數呼叫等。<a href="https://openai.com/blog/new-models-and-developer-products-announced-at-devday">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 提示工程 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> xAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PromptIDE </span></strong></span></p> <p><span style="font-size:22px;"><strong>xAI推出提示工程開發環境PromptIDE</strong></span></p> <p>就在xAI揭露自家大型語言模型Grok-1後幾天，又推出了開發環境PromptIDE，能專門處理複雜的提示工程和可解釋性研究。xAI指出，PromptIDE本是團隊用來開發Grok-1所打造的開發環境，核心是一個Python程式碼編輯器和Python SDK，可讓使用者嘗試複雜的提示技術。</p> <p>在IDE中執行提示時，使用者可查看分析結果，如精確分詞（Tokenization）、抽樣機率、替代token和聚合注意力遮罩等。此外，這個IDE還提供品質管理功能，如自動保存所有提示、內建版本控制等。xAI表示，他們希望藉PromptIDE建立社群，來讓使用者一鍵分享提示和分析資訊。目前，PromptIDE只供xAI的早期存取計畫成員使用。<a href="https://x.ai/prompt-ide/">（詳全文）</a></p> <p><img alt="" src="https://x.ai/screenshot_42.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 晶創臺灣方案 </span></strong></span></p> <p><span style="font-size:22px;"><strong>鼓勵生成式AI晶片應用，政院通過10年3千億晶創臺灣方案</strong></span></p> <p>日前，行政院核准國科會提出的晶片驅動臺灣產業創新方案（簡稱晶創臺灣方案），將在2024至2033年的未來10年內，投入3,000億元經費來推動生成式AI和晶片的創新應用。</p> <p>進一步來說，該方案提出4大策略，除了促進生成式AI結合晶片的產業新應用，還要強化人才培育環境、加速產業創新所需的異質整合與先進技術，以及吸引國際新創和投資來臺。該方案是由國科會跨部會，聯手經濟部、教育部、衛福部、農業部、數發部、國發會共同推出，不只規畫2024年科技預算120億元，未來10年還要投入3,000億元來執行。國科會表示，該方案明年開始執行，後續將由經濟部制定企業申請和審核規範。<a href="https://www.ey.gov.tw/Page/448DE008087A1971/85934011-c705-4b5c-87a4-a0beb8df0c6f">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 0.1AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yi </span></strong></span></p> <p><span style="font-size:22px;"><strong>李開復AI新創開源雙語LLM</strong></span></p> <p>由前微軟亞洲研究院院長、創投家李開復創立的AI新創零一萬物（[01.AI](<a href="http://01.ai/">http://01.ai/</a>)）最近發布大型語言模型Yi-6B和34B版本，並開源出來。零一萬物是今年3月在中國成立的生成式AI新創，在成立8個月後，李開復在與彭博的訪談中公布名為Yi的首個LLM，包含60億及340億參數訓練的2個版本。這個模型已透過GitHub開源給社群。</p> <p>Yi是一套中英雙語的基礎模型，可處理的上下文長度為200K個Token。雖然比起其他開源模型小得多，但根據Hugging Face列出的基準測試結果，Yi-34B效能在數個指標例如在常識推理、閱讀理解和數學與寫程式測試中，表現比Falcon-180B和Llama2-70B等大型模型還好。MMLU、CMMLU、C-Eval等測試中，也都拿下第一名。<a href="https://huggingface.co/01-ai/Yi-34B">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Brave </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI助理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Brave推出瀏覽器AI助理Leo</strong></span></p> <p>繼Google Chrome和微軟Edge後，瀏覽器開發商Brave也推出桌機版Brave瀏覽器的原生AI助理Leo，主打不蒐集對話、不追蹤用戶，且能減少AI幻覺問題。目前，Leo開放免費使用，用戶可針對造訪網頁提出各種要求，例如為網頁文章摘錄重點、生成影片字幕、翻譯網頁、分析／改寫或擴充原有網頁內容。</p> <p>與其他生成式聊天機器人不同的是，Leo的回應全以網頁內容為基礎，而非憑空生成資訊。與此同時，Brave也推出付費版的Leo Premium服務，每月15美元，有別於免費版Leo是以Llama 2為底層模型，Leo Premium以Claude Instant為基礎模型，不只更快、更輕，還著重邏輯推理和程式碼撰寫，能更準確執行指令，在數學、程式、多語言和回應問題的能力也有提升。<a href="https://brave.com/leo-launch/">（詳全文）</a></p> <p><img alt="" src="https://brave.com/static-assets/images/optimized/leo-launch/images/image1.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LeMA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微調 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟研究院：從錯誤中學習的LLM表現更好</strong></span></p> <p>微軟亞洲研究院、北京大學、西安交通大學研究人員聯手提出一種AI訓練方法LeMA，能模仿人類學習知識的過程、從錯誤中學習，進而改善AI推理能力。進一步來說，該方法的原理是生成一對包含錯誤與修正版資料的資料組，來微調LLM。為取得修正資料，團隊蒐集了包括LLaMA和GPT系列的5個LLM的錯誤答案和推理途徑，再以GPT-4作為「訂正者」，來提供修正資料。修正資料包含三類資訊，分別是辨識出原有推理的錯誤步驟、解釋推理為什麼錯，最後修正錯誤、以及說明如何修正原方法以獲得最後正確答案，之後再由人類評估，夠好的修正答案才會用來微調LLM。</p> <p>團隊也以2種問題資料集來測試LeMa方法，並比較只以CoT資料集來微調LLM的效果。結果顯示，以LLaMA-2-70B為例，它在兩種方法下，在GSM8K資料集的準確率分別是83.5%、81.4%，在MATH則為25.0%和23.6%。團隊還發現，在同樣資料量的訓練下，LeMA方法也比純CoT微調來得好。<a href="https://arxiv.org/abs/2310.20689">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 三星 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>三星揭露3款生成式AI模型，還要整合至新手機</strong></span></p> <p>南韓電子大廠三星日前在自家AI年度論壇上，揭露生成式AI模型Samsung Gauss，可處理文字生成、圖像生成和程式碼撰寫能力。進一步來說，該模型由三星研究院打造，可細分為3種版本，包括Samsung Gauss Language、Samsung Gauss Image和Samsung Gauss Code。</p> <p>其中，Gauss Language專精文字生成，可用於撰寫電子郵件、摘錄文件重點和翻譯內容等任務。Gauss Code則與程式碼撰寫助理code.i相輔相成，能讓開發者輸入自然語言指令，來快速完成程式碼撰寫工作，還能透過互動介面生成程式碼描述和撰寫測試用例。Gauss Image則能讓使用者輕易生成和編輯圖片，包括變更風格、增添效果，或將低解析度圖片轉為高解析度。這些模型已於三星內部使用，未來將整合到多種自家產品和應用程式，比如語音助理Bixby、智慧家庭Smart Things設備，甚至是明年將上市的Galaxy S24手機等。<a href="https://news.samsung.com/global/samsung-ai-forum-2023-day-2-discussing-technological-trends-and-the-future-of-generative-ai">（詳全文）</a></p> <p>圖片來源／GitHub、OpenAI、xAI、Brave</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. IBM成立5億美元的AI創投基金</strong></p> <p><strong>2. 微軟Xbox與Inworld AI合作打造基於AI的遊戲開發工具</strong></p> <p><strong>3. 英特爾首度在臺公開展示三款AI PC筆電，還支援7B Llama 2模型推論</strong></p> <p>資料來源：iThome整理，2023年11月</p> </div></div></div>
2023/11/11 20:16作者王若樸https://www.ithome.com.tw/news/159743
Google將搜尋生成式體驗擴大到包括臺灣在內的逾120個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/google-search-generative-ai-international-expansion/" target="_blank">Google周三（11/8）宣布</a>，即將把AI搜尋測試平臺Search Labs中的搜尋生成式體驗（Search Generative Experience，SGE）擴大到全球逾120個國家，並將開始支援西班牙文、葡萄牙文、韓文與印尼文。</p> <p>目前SGE主要提供兩項測試，一是允許使用者於搜尋列上輸入自然語言的問句，而非僅是關鍵字，之後Google即會利用生成式AI提供結果，例如詢問「帶著3歲以下的小孩跟一隻狗時，要去哪個美國國家公園比較適合？」其次則是可以根據同一個主題進行追問。且Google依舊會秀出傳統的搜尋結果供使用者參考。</p> <p>原本Google僅於美國、印度及日本提供Search Labs與SGE，也只支援英文、印度文（Hindi）及日文，<a href="https://support.google.com/websearch/answer/14184960#zippy=%2Casia-pacific" target="_blank">本周宣布擴大支援全球逾120個國家</a>，包括臺灣、墨西哥、巴西、南韓、印尼與南非等，並額外支援西班牙文、葡萄牙文、韓文與印尼文。</p> <p>行動用戶要存取Search Labs可透過Android與iOS平臺上的Google程式，電腦用戶則可透過桌面版的Chrome瀏覽器存取。Google表示，桌面版Chrome的Search Labs存取功能即日起上線，但自Google程式存取Search Labs的能力則會在下周啟用。</p> <p>身為全球搜尋引擎與瀏覽器龍頭，Google部署生成式AI的腳步明顯落後於微軟，且OpenAI的ChatGPT也可針對使用者的提問給出詳細的答案，只是ChatGPT用來訓練的資料有著時間上的限制，不如Google能夠即時索引全球的最新資料。</p> <p>雖然Google執行長Sundar Pichai近來接受媒體採訪時，曾表示該公司並不急著趕上OpenAI或微軟，認為重點在於人們該如何利用AI，不過，這一年來Google也頻繁地發表與更新Search Labs及SGE功能，企圖讓使用者留在Google搜尋引擎中使用AI。</p> </div></div></div>
2023/11/9 13:14作者陳曉莉https://www.ithome.com.tw/news/159707