iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 21:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】3月29日，研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期攻擊者大肆利用網路釣魚攻擊工具套件（Phishing Kit）的情況浮上檯面，繼本週有研究人員揭露專門挾持微軟365、Google帳號的套件Tycoon 2FA，鎖定行動裝置用戶的作案工具也相當值得留意。</p> <p>有資安業者揭露名為Darcula的網釣攻擊套件，並指出與其他同樣針對行動裝置而來的工具最大的不同，就是採用全程加密的通訊方式，向攻擊目標傳送誘騙內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.netcraft.com/blog/darcula-smishing-attacks-target-usps-and-global-postal-services/"><strong style="font-size: 22px;">iPhone用戶遭到網釣攻擊套件Darcula鎖定，藉由iMessage散布釣魚簡訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png" style="width: 300px; float: right;" /></a>資安業者Netcraft揭露針對手機用戶而來的網路釣魚套件工具包Darcula，開發這項產品的人以服務租用型式（Phishing-as-a-Service，PhaaS）供應市場，此攻擊套件濫用2萬個網域、假冒各式知名品牌、針對超過100國家的用戶而來。</p> <p>這個網釣套件在去年夏天首度被發現，但研究人員指出，駭客利用該工具的情況越來越氾濫，他們解析套件的內容，指出與其他同類型攻擊工具相當不同，Darcula採用JavaScript、React、Docker、Harbor等技術，使得開發者能持續加入新功能，用戶無須重新部署工具包就能導入。買家一旦取得工具包，可指定範本執行安裝指令碼，將採用React開發的釣魚網站部署到Docker環境，並透過Harbor管理Docker映像檔。提供服務的開發者通常透過.top、.com頂級網域名稱（TLD）代管買家所需網域，其中近三分之一是採用Cloudflare的服務。</p> <p>別於其他針對手機的網釣套件採用SMS簡訊傳遞誘騙內容，Darcula則是透過iMessage攻擊iPhone用戶，而對於安卓手機，對方則是透過進階通訊解決方案（Rich Communication Services，RCS）來進行，原因是這兩種管道都採用全程加密，使得資安系統難以解析、過濾。</p> <p><a href="https://securelist.com/dinodasrat-linux-implant/112284/"><strong style="font-size: 22px;">木馬程式DinodasRAT鎖定Linux主機而來，攻擊範圍涵蓋臺灣、中國、土耳其</strong></a></p> <p>去年10月資安業者ESET揭露Operation Jacana攻擊行動，當中提及駭客使用名為DinodasRAT（亦稱XDealer）的惡意程式攻擊蓋亞那政府，但如今有研究人員發現，駭客不只針對Windows電腦，也對於Linux作業系統打造對應的惡意程式。</p> <p>資安業者卡巴斯基指出，他們在ESET公布上述事故後，發現Linux版本的DinodasRAT，該惡意程式主要針對以Red Hat為基礎的Linux作業系統，以及Ubuntu而來，一旦啟動將先檢查受害環境，然後藉由呼叫daemon功能函數在後臺運作、利用SystemV或SystemD執行指令碼，以及透過主要處理程序的ID（PPID）重新啟動惡意程式的方式，以便持續於受害電腦上運作。</p> <p>研究人員指出，對方疑似在2021年打造出第1個版本Linux惡意程式，並在次年用於攻擊行動，根據遙測資料，臺灣、中國、土耳其、烏茲別克是受害最嚴重的國家。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-password-spraying-attacks-targeting-vpn-services/"><strong style="font-size: 22px;">思科針對啟用VPN功能的防火牆用戶提出警告，疑與殭屍網路攻擊有關</strong></a></p> <p></p> <p>3月26日<a href="https://www.cisco.com/c/en/us/support/docs/security/secure-firewall-threat-defense/221806-password-spray-attacks-impacting-custome.html">思科發布資安公告</a>，指出他們得知啟用遠端存取VPN服務（RAVPN）的防火牆遭遇密碼潑灑（password spray）攻擊的情況，對此該公司提供入侵指標（IoC）及防禦建議。</p> <p>研究人員Aaron Martin認為，上述公告很可能與<a href="https://annoyed.engineer/2024/03/23/the-brutus-botnet/">名為Brutus的殭屍網路攻擊行動</a>有關，他與另一名研究員Chris Grube在3月15日發現該殭屍網路，他們找到超過2萬個與之有關的IP位址，對方針對Fortinet、Palo Alto Networks、Sonicwall、思科等多個廠牌的SSL VPN系統發動攻擊。</p> <p>特別的是，為了迴避偵測，此殭屍網路發動攻擊時，每嘗試6次登入就會更換1組IP位址。而對於攻擊者的身分，研究人員表示仍不清楚，但他們發現其中2個IP位址曾被俄羅斯駭客組織APT29利用。</p> <p><a href="https://www.bleepingcomputer.com/news/security/pypi-suspends-new-user-registration-to-block-malware-campaign/"><strong style="font-size: 22px;">為因應惡意軟體攻擊，PyPI套件庫再傳暫停用戶註冊、成立新專案</strong></a></p> <p></p> <p>3月28日PyPI維護團隊表示，<a href="https://status.python.org/incidents/dc9zsqzrs0bv">他們暫停成立新專案、新用戶註冊</a>，原因是遭遇了惡意軟體上傳攻擊行動。</p> <p>針對這起事故，<a href="https://checkmarx.com/blog/pypi-is-under-attack-project-creation-and-user-registration-suspended/">資安業者Checkmarx指出</a>，他們看到攻擊者在前一天就上傳365個惡意套件，這些套件的名稱偽裝成合法專案，其共通點是在安裝組態設定檔setup.py裡含有惡意程式碼，一旦開發者安裝惡意套件，電腦就會從遠端伺服器取得額外酬載，最終開發者的電腦會被植入竊資軟體。為了迴避偵測，對方利用名為Fernet的模組對惡意程式碼進行加密處理，遠端伺服器的URL也是動態產生。</p> <p><a href="https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/">資安業者Check Point也對此公布他們的觀察</a>，指出駭客前後分兩個階段，總共上傳超過500個惡意套件，值得留意的是，每個開發者帳號只會上傳1個套件，因此他們推測，對方應是透過自動化的方式從事攻擊。而這已非PyPI因類似的資安事故採取類似行動，去年5月20日，他們就因遭遇大量惡意惡意軟體上傳而暫停用戶註冊、建立新專案。</p> <p><a href="https://finance.ettoday.net/news/2708466"><strong style="font-size: 22px;">華南永昌證券員工透過Line洩露客戶下單資料，遭停職1個月，公司被罰30萬</strong></a></p> <p></p> <p>3月27日金管會證期局發布公告，指出證券商業同業公會於去年12月5日對華南永昌證券進行專案查核，發現海外商品部王姓業務人員將客戶委託下單的資料，分享至公司Line群組，他們依證券交易法第56條，停止該員1個月業務予以處分。</p> <p>而對於公司的部分，金管會認為華南永昌證券未善盡監督管理責任，以及未落實執行內部控制制度，依照證券交易法第178條之1第1項第4款規定，處30萬元罰鍰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://labs.guard.io/cve-2024-21388-microsoft-edges-marketing-api-exploited-for-covert-extension-installation-879fe5ad35ca"><strong style="font-size: 22px;">微軟Edge瀏覽器存在漏洞，攻擊者有可能暗中植入惡意延伸套件</strong></a></p> <p>資安業者Guardio揭露去年11月向微軟通報的漏洞CVE-2024-21388，此漏洞存在於Edge瀏覽器，攻擊者可針對支援市場行銷活動的API進行濫用，在使用者不知情的情況下部署具有多種權限的擴充功能。</p> <p>對此，微軟獲報後於今年1月發布121.0.2277.83版予以修補，並指出此弱點若遭利用，對方可以取得安裝擴充套件的相關權限，但攻擊者必須在行動前採取額外的準備工作。</p> <p>Guardio的研究人員指出，根據他們的調查，攻擊者只要能在bing[.]com或microsoft[.]com執行JavaScript，就能透過上述漏洞安裝已上架於Edge擴充套件市集的任意套件，過程完全無需使用者互動。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/ait/202403280363.aspx"><strong style="font-size: 22px;">台灣資安大聯盟拜會立院黨團交換意見，藍綠白三黨團皆表示支持</strong></a></p> <p></p> <p>網路威脅日益嚴峻，由國內多個資安領域民間團體發起的「台灣資安大聯盟」，3月28日拜會立法院朝野黨團，就資安法制完善、資源分配及人才培育等課題，與朝野立委交換意見。</p> <p>民進黨立法院黨團總召柯建銘表示，對於資安相關管理法修法及良善政策，歡迎聯盟就資安法規修訂及政策提出具體可行作法。國民黨立委林沛祥指出，臺灣現有的資安法規不夠完整，需要業界建言並提出方向。民眾黨立委林國成認為，希望該聯盟就預算分配、教育培育等面向，提出具體建議。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.cisa.gov/news-events/alerts/2024/03/26/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="font-size: 20px;">CISA警告SharePoint的程式碼注入漏洞CVE-2023-24955已被用於攻擊行動</span></a></strong></p> <p></p> <p><a href="https://www.securityweek.com/splunk-patches-vulnerabilities-in-enterprise-product/"><strong style="font-size: 20px;">Splunk修補旗下產品的高風險漏洞</strong></a></p> <p><a href="https://www.darkreading.com/cyberattacks-data-breaches/vietnam-securities-broker-suffered-cyberattack-that-suspended-trading"><strong style="font-size: 20px;">越南證券商遭受網路攻擊，被迫暫停交易</strong></a></p> <p></p> <p><a href="https://blog.eclecticiq.com/operation-flightnight-indian-government-entities-and-energy-sector-targeted-by-cyber-espionage-campaign"><strong><span style="font-size: 20px;">竊資軟體HackBrowersData鎖定印度政府機關、能源業者而來</span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/inc-ransom-threatens-to-leak-3tb-of-nhs-scotland-stolen-data/"><strong><span style="font-size: 20px;">勒索軟體駭客組織INC Ransom聲稱入侵蘇格蘭國家醫療服務體系，竊得3 TB資料</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> </div></div></div>
2024/3/29 11:59作者周峻佑https://www.ithome.com.tw/news/162031
Container快報第158期：K8s年四月釋出今年第一更，OpenShift也推新4.15版，微軟和GitLab表…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/2/15～3/25 精選容器新聞</strong>：</p> <p><strong>許多款K8s產品釋出新版或準備推出新版。像是K8s預告今年4月將會釋出第一個更新版本，也就1.30版，有多項重要更新，像是容器自動擴充機制，使用者命名空間等。紅帽容器管理平臺OpenShfit也釋出4.15新版，Rancher Prime也將在4月釋出3.0，將強化對AI/ML工作負載的調度能力。新版Linker則可以用來調度非K8s環境中的微服務，Grafana Labs也繼續強化可觀察性能力。</strong></p> <h3><strong>#k8s新版 #使用者命名空間 #容器自動擴充<br /> <span style="color:#0000FF;">K8s今年第一更4月登場！1.30版新功能搶先透露</span></strong></h3> <p>K8s專案即將在四月中釋出今年的第一個K8s新版本1.30版，最近，K8s部落格也搶先揭露了多項新版功能，例如動態資源調度的結構化參數功能、Linux節點記憶體交換功能、使用者命名空間功能、結構化授權配置檔、Pod容器自動擴充機制都有增強。</p> <p>動態資源調度的結構化參數功能提高了資源調，動態資源調度是用來調度跨Pod叢集或單一Pod叢集內部容器資源的API。新增的結構化參數功能，可以讓開發人員預先定義一套資源分配的結構化參數，讓kube-scheduler和Cluster Autoscaler來處理需要的資源分配，而不用像過去得靠第三方動態調度驅動程式。另外，1.30新版也新支援Linux節點記憶體交換功能，可以大幅提高系統的穩定性。</p> <p>使用者命名空間功能的功能在1.30版進入了Beta版本，這個功能可以讓開發者提供更好的Pod叢集隔離性，也能支援客製化的UID和GID範圍的隔離。結構化授權配置檔的功能也在1.30版進入Beta階段，並且成為K8s預設啟用的功能。這項功能可以建立一個更細緻的權限控制要求，來驗證多個呼叫請求的授權。HorizontalPodAutoscaler容器自動擴充機制，現在可以更細緻的依據每一個容器的資源使用量，來決定配置自動擴充或縮小的配置規則，而不用像過去只能依據單一Pod叢集的用量來設定自動擴充的配置規則。這個自動化擴充功能正式在1.30版成為穩定的正式功能。 </p> <h3><strong>#容器管理平臺 #紅帽<br /> <span style="color:#0000FF;">OpenShfit推出4.15新版，可以部署到AWS Outposts地端設備</span></strong></h3> <p>紅帽最近釋出了OpenShift容器管理平臺的4.15新版，在核心功能、邊緣支援和虛擬化支援都有多項強化。新版正式部署到AWS Outposts地端設備上和AWS的5G 邊緣運算基礎架構Wavelength區域上，也能從Outposts上來部署在AWS上的OpenShift叢集。</p> <p>在虛擬化功能上，新版則強化了更多災難復原和韌性功能，像是增加網路熱插拔來動態重新配置虛擬機器所用的網路卡，還簡化了多種常用虛擬機器類型的快速安裝體驗，提供類似公雲快速安裝的實例選單，也新支援宣告式GitOps流程來復原虛擬機器。新版也能支援OpenShift叢集與外部第三方供應商間的OVN IPsec加密傳輸。去年底推出的可觀察性平臺Red Hat build of OpenTelemetry也正式在OpenShift 4.15版中提供，包括了Log、矩陣、追蹤機制等，新版的可觀察性儀表板也有更新，網路基礎設施、Linux核心和K8s流量儀表板都有強化。OpenShfit這個新版本可以支援到K8s的1.28版和CRI-o 1.28版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-OpenShift4_15.png" /></p> <h3><strong>#AI工作負載優化 #容器管理<br /> <span style="color:#0000FF;">SUSE容器管理平臺Rancher Prime新版4月登場，特別強化對AI/ML工作量的部署支援</span></strong></h3> <p>隨著生成式AI浪潮爆發，如何強化對AI運算的支援，成了K8s平臺的新課題。SUSE將在4月正式推出容器管理平臺Rancher Prime的3.0新版和Edge 3.0版，強化了多項安全軟體開發能力，像是強化對軟體物料表SBOM的支援來提供安全軟體交付流程，也新增對K8s叢集API的支援，可以讓企業更容易打造一個自助式的內部PaaS平臺。另外，這個新版本可以自動偵測Nvidia所用的容器runtime配置，自動產生出要將AI模型部署到K8s環境時所需的GPU配置。Edge 3.0版則提供了更多在邊緣運算環境中部署K8s的建置範本和安全映像檔版本，讓企業更容易建置邊緣容器環境。</p> <h3><strong>#可觀察性 #叢集管理<br /> <span style="color:#0000FF;">Grafana Labs強化多項K8s可觀察性能力，提供更完整的叢集健康分析</span></strong></h3> <p>最近Grafana Labs宣布更新了K8s監控功能，IT團隊不用手動配置監控K8s用的代理程式，而可以改用新推出的K8s監控Helm chart應用來部署，自動將客製化的矩陣、Log紀錄、事件資訊、追蹤和成本矩陣的資訊，傳送到Grafana雲上。K8s叢集除錯功能也有簡化，在Grafana通報功能網頁上，新增了「出錯Pod叢集」的單元，可以讓IT團隊快速看到每一個出錯叢集所發生的狀況來快速回應。另外，針對K8s叢集健康和效能分析，可以提供一個整體性的全貌分析以及更細節的分析內容，在歷史資料分析上也提供了時間選取機制，可以快速檢視不同時間的狀態數據。</p> <h3><strong>#WebAssembly應用 #毫秒級冷啟動<br /> <span style="color:#0000FF;">Fermyon捐出自家Wasm應用平臺給CNCF，可用來開發和部署K8s上的大量WebAssembly應用</span></strong></h3> <p>最近Fermyon科技宣布將自家的Wasm on K8s平臺SpinKube捐給CNCF組織。這是一個可以在K8s中開發、部署和維運WebAssembly應用的平臺。根據Fermyon宣稱，採用Wasm技術，可以讓單一Pod叢集部署的應用數量增加50倍，也因此需要一個特別的Wasm應用管理平臺。SpinKube可以用來將無伺服器的WebAssembly應用部署到K8s環境中，也可以用來打造一個自家的無伺服器環境，官方宣稱還能達到1毫秒內的快速冷啟動速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-spinkube%E6%9E%B6%E6%A7%8B.png" /></p> <h3><strong>＃eBPF #可觀測性 #雲原生應用<br /> <span style="color:#0000FF;">K8s工作負載視覺化有新選擇，微軟開源了跨雲容器網路觀測平臺Retina</span></strong></h3> <p>日前，微軟Azure容器網路團隊發布雲端原生容器網路觀測平臺Retina，讓Kubernetes用戶、管理者和開發者，能夠以視覺化的方式，觀測、除錯並且分析Kubernetes的工作負載流量。Retina支援各種容器網路介面（CNI）、作業系統和雲端平臺，還能夠與產業標準Prometheus和網路流量日誌搭配使用，具有適應不同用例和環境的靈活性。Retina利用eBPF（extended Berkley Packet Filter）的功能，在不需更改現有應用程式的情況下，以非侵入的方式對Kubernetes網路進行深入分析和監控。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-AzureRetina.png" /></p> <h3><strong>#容器能耗追蹤 #永續IT管理 #紅帽<br /> <span style="color:#0000FF;">每一個Pod叢集的耗電都能追蹤，OpenShift釋出容器層級能耗監控工具預覽版</span></strong></h3> <p>紅帽在年初釋出了OpenShift平臺的新能耗追蹤工具預覽版，可以提供到容器層級的用電追蹤，監控顆粒度可以達到Pod叢集或是每一個命名空間，讓企業可以更細緻地追蹤雲原生應用的能耗，來計算碳排。在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過，現階段僅是技術預覽版，尚未推出正式版。<br /> 這項工具可以用來追蹤每日使用CPU的整體能耗情況，還能夠細緻地檢視每個命名空間的能耗和功耗在不同時段的變化情形，提供每小時的更新頻率。這項功能來自開源能耗追蹤工具 Kepler專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。可以用來追蹤過去24小的叢集整體能耗，即時蒐集到多種功耗資訊，如RAPL（用於監控與管理CPU及記憶體的用電量）、NVML（GPU資源利用率管理函式庫）、ACPI（系統電源效能管理介面）、IPMI（伺服器電源監測介面）等。還能展開檢視不同命名空間的能耗排名，可以列出最耗能的容器和Pod叢集等。也結合了機器學習模型來進行測量和預估，以提高測量模型準確性，以便根據實際的資源利用率準確地估計其功耗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%B4%85%E5%B8%BD%E5%AE%B9%E5%99%A8%E8%80%97%E9%9B%BB%E8%BF%BD%E8%B9%A4.png" /></p> <h3><strong>#核心系統容器化 #微服務 #企業實戰<br /> <span style="color:#0000FF;">凱基證將用容器技術和微服務打造新一代證券核心系統</span></strong></h3> <p>凱基證券自2023年開始展開核心系統轉型推動計畫，規畫逐步拆分大型主機系統的功能，轉向容器化微服務架構，並優先完成帳務中臺的架構轉換。<br /> 凱基證券亞太區資訊長黃榮林期望透過系統核心的轉型，能夠大幅改善開發速度、縮短服務上市的推出時間，更訂下推出時間縮短50％的目標。<br /> 不過，凱基證券不會將核心大型主機多套系統全部轉為容器架構，有些系統分拆後會單獨存在，並改用模組化方式重組。交易模組會先轉換成新的雲原生架構，再轉換其他周邊的模組，所有系統都會使用的共用模組，例如監控、認證、訊息溝通等，也會獨立建立一套系統。需要低延遲的模組，特別是會影響下單的模組，不會納入微服務架構中，比如主機連線的模組。</p> <h3><strong>#K8s效能監測 #可觀察性 #eBPF<br /> <span style="color:#0000FF;">Netflix開源自用的eBPF程式效能優化工具bpftop</span></strong></h3> <p>可用來追蹤Linux核心效能的eBPF技術，是監控K8s叢集效能的重要手段，可以透過程式化方式來追蹤K8s叢集的運作。Netflix公開了一款內部的命令列工具bpftop，不只更容易監控eBPF程式的效能，還可以用來優化eBPF程式。Netflix提到，由於他們逐漸增加採用eBPF技術的比例，因此也就需要更嚴謹地看待相關系統，確保既能發揮eBPF的好處，又不會造成系統過度負載，進而保證營運效率。bpftop可提供動態即時檢視圖，顯示執行中的eBPF程式平均執行時間、每秒事件數，以及估計總CPU使用率。而bpftop的優勢是能夠在工具活動時才啟用效能統計，以最小化效能開銷，同時bpftop提供時間序列表使用戶能夠清楚檢視統計資料，進而發現異常模式和趨勢。Bpftop使eBPF程式的效能最佳化過程變得簡單，用戶可有效地進行基準測試、程式碼改進，並且建立起即時回饋循環。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-Netflix-bpftop.png" /></p> <h3><strong>#容器化整合測試 #Docker公司<br /> <span style="color:#0000FF;">紅帽宣布和Docker公司結盟，OpenShift平臺將整合Testcontainers容器化整合測試服務</span></strong></h3> <p>最近在歐洲Kubecon大會上，紅帽宣布與Docker公司結盟，紅帽旗下容器管理平臺OpenShift將可以存取Docker公司的容器化整合測試雲Testcontainers，在OpenShift中使用後者完整的功能。Testcontainers雲是Docker公司的持續整合服務，可以用Docker容器來快速建立各種測試環境，可支援9種語言的測試任務管理，也提供了一套儀表板功能來追蹤各種整合測試的執行。紅帽與Docker公司合作後，OpenShift用戶可以將Testcontainers雲的後端，部署到OpenShift叢集上。</p> <h3><strong>#超大規模叢集管理 #串流服務優化<br /> <span style="color:#0000FF;">字節跳動開源新一代K8s多叢集管理工具KubeAdmiral，可管理1千萬個Pod叢集</span></strong></h3> <p>抖音母公司字節跳動最近釋出了一款K8s多叢集管理工具KubAdmirl ，可用來管理超過分散在數十個K8s叢集上超過1千萬個Pod。這款工具強化了多叢集的調度和排程能力，特別是針對大量串流服務場景的支援。字節跳動已將這款多叢集管理工具用於自家服務的擴充調度，管理超過1千萬個Pod來支援10萬支微服務的運作。KubeAdmiral每天處理到3萬次更新或叢集擴充的調度操作。<br /> 這款工具採用了新的調度框架，將調度分為四個階段，Filter、Score、Select和Replica，並由各自專門的外掛工具來處理調度邏輯，來降低整體複雜性，使用者也能增加自己的調度外掛機制。<br /> 因為完全使用K8s API功能來設計KubeAdmiral，而非開發專門的聯邦API來管理叢集，因此，可以將多叢集間視為一體來查看部署情況，而不用逐一檢視個別叢集的資訊。目前正在強化操作體驗，優化Log和矩陣功能等功能。</p> <h3><strong>#服務網格 #網格擴充<br /> <span style="color:#0000FF;">服務網格工具Linkerd新版2.15大更新，新網格擴充功能可以調度非K8s環境上的微服務</span></strong></h3> <p>在去年11月時，服務網格工具Linkderd就提出了一個新個作法是網格擴充功能Mesh Expansion，可以將微代理伺服器（Microproxy）部署到非K8s環境上，讓Linkerd控制平臺能夠調度在其他環境上的微服務。最近剛釋出的2.15版，也正式開始支援網格擴充功能，可以用來調度在其他非K8s環境的微服務，可以將實體伺服器、虛擬機器等沒有K8s環境上的微服務，也整合到同一個服務網格中來管理。為了支援非K8s環境的身分驗證，Linkerd也引入零信任通用身分驗證專案SPIFFE，來加密與虛擬機器工作負載之間的所有流量。</p> <h3><strong>#Flux #GitOps流程<br /> <span style="color:#0000FF;">GitOps新創Weaveworks倒閉後，微軟和GitLab等數十家企業表態繼續支持Flux</span></strong></h3> <p>提出GitOps持續交付自動化模式的雲原生新創公司Weaveworks在今年2月初宣布倒閉。成立於2014年的Weaveworks，因GitOps專案FluxCD而聲名大噪，更從Google創投獲得1,500萬美元投資，日前也才從AWS和多家電信業者取得3,660萬美元的資金。該公司執行長於在Linkedin部落格上坦言，雖然2023年營收有雙位數成長，超過了1,000萬美元，但仍因爲銷售業績趕不上現金支出而不堪負荷，原本正在洽談的大公司併購也宣告破局，因此，他決定結束公司，這個宣布引起開源社群熱烈討論。</p> <p>但是，他們所開發的開源GitOps工具專案Flux，早在2019年就捐給CNCF組織，並在2022年成為畢業專案，也意味著專案社群具有足夠的發展能力。而在Weaveworks宣布關門同一周，原本在該公司任職的Flux核心維護者Stefan Prodan，也轉而加入另一家同樣重度使用Flux的跨雲管理平臺公司ControlPlane擔任首席顧問，他還迅速發布了一個小更新版本2.2.3，來凸顯這個專案的持續能力。<br /> 自家產品深度支援Flux建置的微軟、GitLab也相繼表態會繼續支持這個專案，更有十多家科技公司確定繼續支援Flux，思科和德國零售商Tchibo最近也加入了長期Flux採用者名單。GitLab更在3月5日，Weaveworks關門滿一個月時特別強調，經過一個月與FluxCD周邊工具商的討論，找不到更好的GitOps成熟替代方案，因此，他們會全力繼續支持，並更積極參與Flux社群。</p> <h3><strong>#容器安全偵測 #雲端日誌分析<br /> <span style="color:#0000FF;">K8s威脅偵測引擎Falco專案宣布畢業，未來要擴大支援更多雲端日誌和GitHub</span> </strong></h3> <p>在2018年進入CNCF組織孵化沙盒的K8s威脅偵測引擎Falco專案，最近宣布正式畢業。這款由Sysdig打造的安全工具，可以用來追蹤容器行為，透過規則引擎檢測容器、應用程式、底層主機和容器平臺的異常狀態，一但有異常行為，就會發布警告。最近幾年，Falco維護者持續強化工程流程，甚至重構了Falco程式庫，推出了改良後的測試套件與新的核心測試框架，也結合了熱門的eBPF技術推出Linux核心的探針功能。包括AWS、IBM、紅帽都是主要使用者也是專案貢獻者。Falco預告，未來支援更多來源的資料來強化偵測能力，例如支援各種雲端日誌和GitHub上的開發者接觸點，新版也會持續簡化部署和管理功能。</p> <p><strong>更多新聞</strong></p> <ul> <li>New Relic宣布新功能可以讓K8s叢集一個步驟就具備OpenTelemetry能力</li> <li>開源服務網格專案Istio維護者準備釋出服務網格專案的輕量級版本Ambient的Beta版本</li> <li>微軟分散式應用程式Runtime專案Dapr釋出1.13版，新釋出SDK來簡化分散式運算流程的調度</li> </ul> <p>資任編輯：王宏仁<br /> 圖片來源：紅帽、Fermyon、Netflix</p> </div></div></div>
2024/3/28 12:04作者王宏仁https://www.ithome.com.tw/news/162010
Podman 5.0重寫Podman Machine指令，支援Apple虛擬機器管理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源容器平臺<a href="https://blog.podman.io/2024/03/podman-5-0-has-been-released/">Podman推出重大更新版本5.0</a>，在最新版本中，開發團隊重寫了Podman Machine指令，強化對Windows和Mac作業系統的支援，而清單（Manifests）也支援OCI構件，以支援不同類型的容器，另外，Podman現在預設使用Pasta來處理非Root網路。</p> <p>Podman Machine是Podman用來啟動Linux虛擬機器，可讓Windows和Mac系統也能運作Linux容器的重要元件，而開發團隊重寫Podman Machine指令，如此不只能提高執行效能和穩定度，也明顯增加了不同虛擬機器供應商之間程式碼共用的比例，降低使用者維護程式的成本。</p> <p>而Podman 5.0也新增Apple虛擬機器管理程式（Apple ㄑ）支援，以大幅提高Podman在Mac上的穩定性、啟動時間和檔案共享效能。用戶還可以使用新的Podman Machine重置指令，刪除由Podman Machine管理的虛擬機器。</p> <p>從Podman 4.4版本開始支援Pasta非Root網路後端，讓普通用戶即便在沒有Root權限的情況下，也能設定和管理容器網路，而官方提到，因為Pasta可以明顯改善效能，因此將其預設為Podman 5.0的非Root網路後端。</p> <p>同時，有鑑於Podman 4.9使用SQLite作為預設資料庫，大幅提高了穩定性，而現在官方進一步棄用BoltDB資料庫後端，使用者已經無法創建BoltDB資料庫，所有新的Podman安裝皆使用SQLite資料庫，不過既有的BoltDB資料庫仍然可以使用。</p> <p>由於Podman 4.0新加入網路堆疊Netavark，已經能適用所有Podman使用案例，效能和功能都已等同甚至是超越CNI，因此Podman 5.0移除對大多數平臺的CNI（Container Network Interface）網路支援。</p> <p>取消CNI支援能夠減少開發團隊的負擔，而且也因為CNI專案轉為專注支援Kubernetes，進一步促使Podman團隊取消支援CNI。不過部分版本仍需要CNI，像是FreeBSD、RHEL，這些版本皆會維持啟用CNI的狀態。</p> <p>在最新版本中，containers.conf配置文件處理也有變化，現在不會覆寫用戶修改過的檔案，也就是說，Podman更新或是執行的時候，能夠維持用戶對containers.conf進行的變更，確保用戶自定義設定不會被Podman更新時覆蓋掉。</p> <p>此外，Podman 5.0還強化對Docker的相容性，開發團隊修改Podman Inspect指令的輸出，使其能夠更好的搭配Docker的輸出格式，讓從Docker過渡至Podman的用戶更容易適應，也使基於Docker的工具和腳本更容易和Podman相容。</p> <p>由於Podman 5.0是一個重大的更新，官方強調，Podman 4與Podman 5機器間沒有直接升級的方法，因此對於重要的Podman專案，使用者應該謹慎升級。而執行Mac的Podman 4，因為是以QEMU虛擬化為基礎，而Podman 5在Mac上使用了Apple虛擬機器管理程式，並且棄用了對QEMU的支援，因此要在Mac上使用Podman 5，除了本身軟體之外，用戶還需要安裝可透過虛擬化框架啟動虛擬機器的簡單命令列工具vfkit。</p> </div></div></div>
2024/3/27 16:25作者李建興https://www.ithome.com.tw/news/161998
提供3種預設組態，IBM大型主機系統推出更多入門款式
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ibm_linuxone_4_express_main2_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年8月，IBM發表7奈米製程的處理器Telum，預計用於新一代大型主機系統，時至2022年4月，該公司推出搭配這款運算晶片的z16多機櫃產品（multi frame），標榜這是業界首款量子安全系統——底層採用格構密碼學（lattice-based cryptography），以此建立保護資料與系統的安全原型，及早因應量子破密威脅。</p> <p>同年9月，他們發表第四代LinuxONE頂級款式Emperor（LinuxONE 4 LA1），同樣採用Telum，可提供具有高延展性的Linux與Kubernetes系統——提供1到4座19吋寬度機櫃的配置，採用雙晶片模組封裝的Telum（每顆晶片內建8核心、時脈為5.2 GHz），最多可設置200顆核心，記憶體最大可搭配40 TB，每顆中央處理器模組（central processing drawer）可搭配10 TB備援記憶體陣列（RAIM）。</p> <p>2023年4月，IBM接續發表單座機櫃型態的z16，以及第四代LinuxONE的中階款式Rockhopper（LinuxONE 4 LA2）。他們表示，LinuxONE 4 LA2僅提供1座19吋機櫃配置，強調提供入門級價格的高效率設計，能與雲端資料中心其他運算平臺共存，在處理器與記憶體的配置上，同樣採用雙晶片模組封裝的Telum（每顆晶片內建8核心、時脈為4.6 GHz），最多可設置68顆核心，記憶體最大可搭配16 TB，每顆中央處理器模組（central processing drawer）可搭配8 TB備援記憶體陣列（RAIM）。</p> <p>一個月之後，IBM增設新的入門款式LinuxONE 4 AGL，可提供安裝在企業既有機櫃的選項，使用10U到39U空間，處理器與記憶體的組態同於LinuxONE 4 LA2。</p> <p>到了今年2月，IBM發表新款大型主機系統LinuxONE 4 Express，鎖定中型與小型企業環境，主打高效能、安全，以及支援AI運算等特色。基本上，這是基於LinuxONE 4 AGL而成的款式，採用預先設定的組態，區分為大、中、小等三種產品包裝，小型組態提供4核心與384GB記憶體，中型組態提供6核心與512 GB記憶體，大型組態提供12核心與736 GB記憶體，訴求快速建置、成本節約與降低用戶工作量，能支撐傳統與新興的IT應用需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM%20Linux%20One%204%20overview.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Specifications for IBM LinuxONE 4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Specifications%20for%20IBM%20LinuxONE%204.jpg" style="width: 500px;" /></a></p> <p>LinuxONE 4 Express也能用於工作負載的整併，例如將多個資料庫系統集中、放置於高性能的大型主機系統執行，企業即可以此簡化IT環境的管理，降低營運成本。IBM表示，同樣在Linux環境執行多種應用系統的工作負載，若以5年來計算總持有成本，採用LinuxONE 4 Express均可低於x86伺服器，節省幅度最高可達到52％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM Linux One 4 Express TCO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM%20Linux%20One%204%20Express%20TCO.jpg" style="width: 600px;" /></a></p> <p>關於創新應用的支援，例如AI醫療影像處理，LinuxONE 4 Express採用的Telum處理器，提供AI推論運算能力，企業可將關鍵應用的資料與AI交給LinuxONE系統，就地執行資料分析作業。舉例來說，醫療健康保險公司可藉此以近乎即時的速度，進行大量醫療紀錄的分析，從而更快完成理賠程序驗證，提升業務決策速度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IBM Telum-Integrated AI Accelerator-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20Telum-Integrated%20AI%20Accelerator-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/IBM Telum-Integrated AI Accelerator-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20Telum-Integrated%20AI%20Accelerator-2.jpg" style="width: 298px;" /></a></p> <p>在高可靠度的部分，LinuxONE 4系列可搭配IBM旗下多種系統，而能達到8個9（99.999999%）的服務水準，例如，在使用Red Hat OpenShift Container Platform的環境當中，搭配大型主機專用的災難復原解決方案GDPS（Geographically Dispersed Parallel Sysplex）、啟用HyperSwap功能的DS8000系列儲存系統。</p> <p>以數位資產管理而言，這系列大型主機系統可實現機密運算（confidential computing）的要求，保護正在使用的重要資料（data in use）。相關功能源自設備內建的硬體安全技術，名為IBM Secure Execution for Linux，可針對個別工作負載進行大規模的分區隔離執行，能同時預防來自系統外部的攻擊，以及滲透、潛伏系統內部的威脅，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-IBM Secure Execution for Linux on IBM Z.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-IBM%20Secure%20Execution%20for%20Linux%20on%20IBM%20Z.jpg" style="width: 400px;" /></a></p> <p>同時，LinuxONE也配備硬體加密器（HSM），IBM提供CryptoExpress卡，支援FIPS 140-2 Level 4、<a href="https://community.ibm.com/community/user/ibmz-and-linuxone/blogs/richard-kisley1/2023/04/21/pci-hsm-for-4770-on-ibm-z16">PCI HSM</a>等認證的要求，可搭配該公司的Hyper Protect Services，而獲得加密金鑰管理服務，以及運用Dilithium、Kyber後量子密碼學演算法進行簽署與封裝的功能。以LinuxONE 4 AGL、LinuxONE 4 LA2為例，最多可搭配20張CryptoExpress卡，提供40組硬體加密器；至於更高階的LinuxONE 4 LA1，最多可搭配30張CryptoExpress卡，提供60組硬體加密器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ibm-pcie-cryptographic-coprocessor.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/IBM PCIe Cryptographic Coprocessor-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20PCIe%20Cryptographic%20Coprocessor-overview.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux%20on%20z%20and%20LinuxONE%20Systems%20Crypto%20Stack.jpg" style="width: 500px;" />\</p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>IBM LinuxONE 4 Express</strong><br /> ●原廠：IBM<br /> ●建議售價：13.5萬美元起<br /> ●硬體組成：單臺機櫃預設裝載18U尺寸設備，包含1個CPC運算模組、1個I/O模組<br /> ●處理器：IBM Telum，用於LinuxONE 4 Express時脈為4.6 GHz，最多可用16顆核心的組態<br /> ●記憶體：<br /> 小型組態384 GB（對應4核心）<br /> 中型組態512 GB（對應6核心）<br /> 大型組態736 GB（對應12核心）<br /> 最大可至864 GB（對應16核心）<br /> ●網路介面：2張網路卡，共提供4個10 GbE埠<br /> ●支援Linux作業系統版本：Canonical Ubuntu（20.04、22.04）、Red Hat RHEL（7、8、9）、SUSE SLES（12、15）<br /> ●支援Hypervisor：z/VM（7.2、7.3）、KVM（Canonical、Red Hat、SUSE）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/23 13:49作者李宗翰https://www.ithome.com.tw/review/161911
【資安月報】2024年2月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年2月的資安新聞與事件中，我們最關注的威脅態勢，就是全球出現越來越多逼真的偽冒行徑。這些手法並非像普遍流行的網路攻擊與詐騙手法——只是單純開個網路假帳號，或是簡單的假冒寄件者或發話方，而是經過更精心設計的複雜行動，下列兩種類型的新聞事件都是典型的例子。</p> <p>首先，今年出現使用Deepfake技術來實施傳統的商業電子郵件詐騙（BEC）詐騙的情形，因為駭客寄送釣魚郵件、假冒總部財務長召開視訊會議，導致一名跨國企業員工依照上級指示轉帳，被騙走2億港幣，等到事後向總公司確認才發現上當。</p> <p>關於這起事件，我們找到更多資訊、試圖拼湊還原事發過程的細節。例如，據多家香港媒體報導，當地網路安全及科技罪案調查科的署理高級警司指出，報案人為一家跨國公司的香港分行員工，該職員收到一封據稱是該公司駐英國財務長的電子郵件，其內容聲稱與公司秘密交易有關。</p> <p>雖然該員工當下曾經有所懷疑，但由於該會議邀請該公司數名財務職員進行多人視訊會議，該員工在加入視訊會議後，看到與會成員的影像都是他認識的同事，有著與現實相同的容貌，因此放下先前的疑慮，並依照會議中指示，陸續轉帳15次，將2億港幣轉帳到5個當地的銀行帳戶，等到後續向總部查詢，才知道受騙。</p> <p>其實2019年已有類似攻擊手法，不過當時僅針對聲音的偽冒。當時的事件是怎麼發生的？有網路犯罪者假冒受害者的德國總公司執行長，用AI軟體模擬其聲音，打電話給英國子公司的執行長，要求緊急匯款。而今年這次案件，則是同時偽冒影像與聲音。</p> <p>綜觀這次事件，突顯出Deepfake技術可能讓BEC威脅更升級。因為，以往的BEC詐騙中，欺騙受害者的管道幾乎都只是利用電子郵件，現在則是更進階，在發出召開視訊會議的網釣電子郵件後，還進一步透過Deepfake技術來偽冒老闆發出指令，在這樣的面對面溝通情況之下，讓受害者更不疑有他。</p> <p>另一項精心設計的偽冒行徑，是由加拿大多倫多公民實驗室（Citizen Lab）揭露，他們發現一起假冒世界各地的地方新聞媒體網站的行動，背後是中國公關公司所為，目的是散播有利於中國政府的假資訊，研究人員將這起攻擊行動稱為PaperWall，意味「媒體長城」。</p> <p>據Citizen Lab研究人員指出，這家中國公關公司至少架設了123個網站，以冒充歐洲、亞洲、拉丁美洲當地的新聞機構，從數量來看，以南韓、日本、俄羅斯、英國、法國、巴西、土耳其、義大利、西班牙最多，偽冒當地媒體的數量都有5個以上。而且，這起活動不同於資安業者Mandiant在2022年揭露的事件，從兩起影響輿論行動的手法來看，背後是由不同組織發起。</p> <p>之所以發現這起事件，Citizen Lab表示，是因為三個多月前，有不同國家揭露這樣的問題，像是義大利報紙 Il Foglio，揭露6個冒充義大利新聞媒體的網站，還有韓國國家網路安全中心（NCSC），揭露有18個冒充當地新聞媒體的網站，這也促使Citizen Lab進一步追查，進而發現整起冒充活動的關聯與結構。</p> <p>值得我們注意的是，Citizen Lab不只在報告中出具證據，解析手法，其實也說明揭露這類偽冒事件的意義。</p> <p>例如，研究人員強調為什麼曝光這類活動很重要，因為揭穿這些替政府做事的公司，揭穿他們的操作手法，可以讓全球更瞭解中國政府是如何利用這些公司當代理人來逃避責任。研究人員並指出，雖然目前這些網站的曝光率還低，但由於這些網站正快速增加，並且背後操控的人對於當地語言與內容，變得越來越熟悉，將存在被當地媒體引用或誤信，進而擴大報導的風險。</p> <p>整體而言，對於這類逼真的冒用行徑，無論企業、民眾都該先要對這類情資有所了解。要知道，20年前的網路世界上，用戶設立不同帳號分身、使用暱稱，以及帳號被盜就已都是常態，大家不只要注意傳統手法，現在還有更多新的逼真偽冒方式要了解，並設想是否有更好的應對方式，像是面對Deepfake技術的威脅，過去一年來已有專家指出，建立「通關密碼」來確認對方身分，或是須按照企業嚴格規定的匯款的內部流程來批准與審核；以及看到一些消息，個人應懂得自行查證以及蒐集多方資訊來邏輯思考與判斷，而臺灣面對的威脅更是嚴峻，中國輿論影響行動（IO）雖然被國際間一在強調與重視，但臺灣普遍民眾的現況是，通常缺乏關注這方面的資訊，而簡體中文要翻譯成臺灣使用的正體中文本來就容易，再加上有些人被逼真偽冒話術所騙，進一步將這些資訊轉貼到Line群組去擴散，這其實如同上述Citizen Lab對PaperWall事件的示警。無論如何，企業與民眾對於這些逼真的偽冒行徑時，需要先有認識，才能知道為何要防範。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/161180"><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月29日到2月2日</span></a></strong></h2> <p>在漏洞利用相關消息中，這個星期最受關切的是，Ivanti再度成為駭客發動Zero-day攻擊的目標，該公司旗下SSL VPN、NAC產品線的零時差漏洞CVE-2024-21893已遭成功利用。這已是Ivanti本月要修補的第3個零時差漏洞。已知漏洞被成功利用的情形，同樣引發重視，最近有3起這樣的情形，而且駭客都是針對1月才剛釋出修補的漏洞。</p> <p>首先，是持續整合開發工具Jenkins的重大漏洞CVE-2024-23897，開發團隊1月24日釋出修補，但駭客很快就鎖定這個漏洞，兩日後外部已有成功濫用情形。<br /> 另一是WordPress網域遷移輔助外掛程式Better Search Replace的重大漏洞CVE-2023-6933，開發商WP Engine在兩週前釋出1.4.5版修補，資安業者Wordfence則等到1月24日才揭露這個漏洞，但公布後就已偵測到2,500起漏洞利用攻擊。<br /> 最後，是蘋果在本月上旬修補的漏洞CVE-2022-48618，月底發現已遭成功利用，由於漏洞存在於WebKit，不只iPhone、iPad、Mac電腦Apple TV受影響，後續蘋果也針對最近剛出爐的混合實境裝置Vision Pro發布修補。<br /> 還有一個漏洞修補情形，其嚴重性我們認為也要多加留意，最近Fortra揭露GoAnywhere漏洞CVE-2024-0204，該公司表示，已在12月7日釋出新版修補，但一個月後的此刻才公告這項消息。<br /> 其他重要漏洞消息，包括：Juniper Networks修補網路設備作業系統高風險漏洞，Google Cloud修補GKE的重大漏洞，以及多個Linux發行版本修補glibc程式庫的3個漏洞。</p> <p>在資安事件焦點上，這半個月來，所有資安媒體都在關注微軟公司電子郵件遭入侵的事故，因為該公司持續向外界揭露更多資訊。微軟自1月17日向美國證券交易所（SEC）提交資安事件報告後，19日更是明確指出攻擊者是Midnight Blizzard（APT29），25日他們公布更多細節，包括彙整出他們發現攻擊者的行動與手法，並說明攻擊者是如何避過偵測。</p> <p>在資安威脅態勢上，這段期間以資料外洩與勒索軟體的消息最多，我們整理如下：<br /> ●被視為OpenAI有力競爭者的AI新創Anthropic，最近通知客戶坦承他們發生資料外洩，原因是外包商不慎將客戶資料傳給第三方組織。<br /> ●施耐德電機傳出遭勒索軟體Cactus攻擊，導致Resource Advisor能源監測雲端平臺服務中斷，數TB公司內部資料遭竊。該公司在網站公告發生資安事件，說明僅影響其永續發展業務部門，正採取復原的補救措施。<br /> ●英國美容保養品牌業者Lush在官方網站發布資安事件公告，先於1月11日揭露事件，30日證實成為勒索軟體受害者。另一方面，勒索軟體組織Akira宣稱是他們所為，並竊取了110 GB資料。<br /> ●有勒索軟體諮詢服務業者Coveware揭露最新勒索軟體的季度報告，我們看到幾個重點，例如，2023第四季前4大勒索軟體為Akira、BlackCat、Lockbit、Play，5到8名均為新入榜，分別是Silent、Medusa、NoEscape、Phobos。報告中也提到受害者付贖金的比例已不到3成，再創新低。</p> <p>在資安防禦態勢上，有兩則新聞備受關注，分別是反制國家級駭客攻擊，以及車聯網安全的進展。<br /> 例如，針對去年攻擊美方關鍵基礎設施的中國駭客組織Volt Typhoon，最近美國司法部宣布已採取行動，成功破壞該組織打造的殭屍網路與掌控的網路設備，也就是針對受感染的網路裝置，刪除當中的KV Botnet殭屍網路病毒，並將通知裝置所有者，以及給予防護建議，另也針對SOHO裝置製造商給予Secure by Design的指引；第一屆Pwn2Own Automotive汽車駭客大賽在東京舉辦，透過獎勵機制，來鼓勵資安研究人員發現並且負責任地揭露安全漏洞，漏洞競賽類別涵蓋Tesla、車載資訊娛樂(IVI)系統、電動車充電器與作業系統，這場活動共找出49個漏洞。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161338"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年2月5日到2月17日</span></strong></a></h2> <p>在2月農曆春節前後，剛好適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，在掌握這些漏洞修補動向之餘，這期間有不少漏洞利用情形，更是需要企業優先重視。我們整理如下：</p> <p>有3個零時差漏洞已遭成功利用：<br /> ●Fortinet在2月8日修補已遭利用的零時差漏洞CVE-2024-21762，這是存在該公司SSL VPN元件的RCE漏洞。<br /> ●微軟在2月13日修補73項漏洞中，有兩個是已遭利用的零時差漏洞，分別是：可繞過網際網路捷徑檔安全功能的CVE-2024-21412，以及可繞過Windows SmartScreen安全功能的CVE-2024-21351。</p> <p>還有4個已知漏洞，近期被發現遭攻擊者利用，首先是微軟修補Exchange伺服器重大漏洞CVE-2024-21410後，隔日該公司示警有攻擊利用，其他包括：Roundcube郵件伺服器去年9月修補的漏洞CVE-2023-43770、Google去年9月修補Chromium V8類型混淆漏洞，以及思科2020年5月修補防火牆產品的資訊洩漏漏洞CVE-2020-3259。</p> <p>另外，有研究人員揭露名為EventLogCrasher的漏洞，需留意後續修補動向，還有要注意關於DNSSEC的漏洞揭露與修補。</p> <p>在資安事件方面，有3項消息成為焦點，都與上櫃及興櫃公司有關，包括：<br /> ●2月5日，上櫃化學工業美琪瑪的部分資訊系統遭受網路攻擊。<br /> ●同樣2月5日，上櫃觀光富野說明旗下分公司的資訊系統遭網路攻擊。<br /> ●2月15日，興櫃瑩碩生技代子公司公告，揭露歐帕生技醫藥遭遇網路攻擊事件。</p> <p>在這些公告之後，還有其他狀況發生，在此一併補充。關於上述美琪瑪遭網路攻擊，有駭客2月16日於論壇聲稱兜售該公司2TB資料；中華民國紡織業拓展會（紡拓會）也傳出可能遭駭，因為他們被一個勒索軟體組織列為受害者，這類法人協會被鎖定的狀況，可能同樣需要追蹤。</p> <p>醫療健保相關產業也要注意，因為國際上最近有2起相關重大資安事故，例如，羅馬尼亞有1百多家醫院遭網路攻擊，當地網路安全局及衛生部已證實，是醫院服務供應商遭到Backmydata勒索軟體攻擊；法國健保業者客戶傳出資料外洩，由於事件恐波及該國近半數民眾，當地的資料保護機構CNIL針對提供第三方支付的兩家公司Viamedis與Almerys進行調查。</p> <p>其他還有現代汽車歐洲分公司傳駭，傳出是遭勒索軟體Black Basta攻擊，以及美國銀行證實資料外洩，調查起因為供應商遭駭。</p> <p> 在威脅焦點方面，最近有相當多起資安威脅的揭露，都與中國駭客網路攻擊有關，我們整理如下：<br /> ●資安業者Trellix最近指出，臺灣總統大選投票前一天遭受網路攻擊出現大幅增加，根據他們的遙測資料顯示，部分惡意流量特別針對政府、執法與金融單位。<br /> ●資安業者SentinelOne揭露，中國當局在2022年宣傳美國對其發動駭客攻擊，調查其宣傳內容發現，中國的指控普遍缺乏相關的技術分析及證據。<br /> ●荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告，指出該國國防部去年遭中國網路間諜入侵，並被植入後門程式。<br /> ●關於LLM被國家級駭客惡意使用，微軟與OpenAI揭露濫用方式，包括查詢開源資訊、翻譯、找程式碼漏洞等，並指出中、俄、伊、北韓駭客組織都已這麼做。</p> <p>特別的是，繼2023年11月義大利報紙 Il Foglio揭露6個冒充義大利新聞媒體的網站，以及韓國國家網路安全中心（NCSC）揭露18個冒充當地新聞媒體的網站，最近<a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/">加拿大公民實驗室（Citizen Lab）發表名為Paperwall的報告</a>，揭露至少有123個網站冒充歐洲、亞洲、拉丁美洲當地的新聞機構，目的是宣傳親中內容，經層層追蹤這些網站後發現，都與1家中國公關公司有關，並指出不同於Mandiant在2022年揭露的事件，背後是不同組織在發動影響輿論行動。本期的資安日報尚未提及，在此補上。</p> <p>其他值得關注的威脅手法，我們認為有3項消息需要特別重視：<br /> ●香港警方表示，跨國企業員工因為駭客利用Deepfake技術假冒公司主管參加視訊會議，並指示員工轉帳2億港幣，等到事後向總公司確認才發現上當。<br /> ●關於QR Code網釣，有郵件安全業者研究多半是針對高階主管而來，比一般員工高出42倍。<br /> ●資安業者分析能迴避資安防護系統的惡意程式，發現有7成惡意程式會採用隱形（stealth-oriented）手法。</p> <p>在資安防護方面，有兩個重要新聞，分別是對於勒索軟體與量子破密的因應。針對2023年下半造成重大災情的勒索軟體Rhysida，最近有南韓國民大學研究人員找出其實作漏洞進而破解，後續將提供免費解密工具；近年國際間持續看重後量子密碼學的發展，最近Linux基金會更是宣布，與AWS、Cisco、Google、IBM與Nvidia等11個組織成立後量子密碼學聯盟PQCA，希望透過建立開放與合作的環境，開發用於評估、原型設計與部署後量子演算法的軟體。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161463"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年2月19日到2月23日</span></strong></a></h2> <p>這星期釋出的安全性漏洞消息，以ConnectWise在19日修補遠端桌面軟體ScreenConnect的漏洞CVE-2024-1709，最受關注，因為在公告的隔日，就發現有駭客開始鎖定利用，該業者也在20日示警、公布入侵威脅指標（IoC），並在21日針對已結束維護支援服務的用戶內部環境建置版本，提供最新升級。</p> <p>在資安威脅焦點方面，最大消息就是勒索軟體LockBit組織的伺服器被攻破。在英、美等10國家聯合發起的打擊行動之下，已接管其技術基礎設施與資料外洩網站，並凍結相關加密貨幣帳戶，美方也拘留兩名利用LockBit服務的聯盟夥伴，並公布新起訴兩名發動攻擊的俄羅斯人。</p> <p>由於全球已有上千家企業組織遭受LockBit的危害，因此這次國際查緝行動具有相當大的意義。我們也注意到，在此次行動成果公布後，在打擊勒索軟體網路犯罪的No More Ransom計畫網站，已釋出由日本警方打造的相關解密工具。</p> <p>還有前陣子農曆過年期間，有南韓研究人員發表破解勒索軟體Rhysida的論文，如今在No More Ransom平臺上，也有資安業者Avast釋出的相關解密工具。</p> <p>另一件大消息，是中國資安業者「安洵信息」傳出資料外洩，意外曝露該國政府對全球各國發動網路間諜行動的情況，引發國際關注。研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門。根據外洩資料的內容顯示，該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、臺灣、馬來西亞、北約組織的政府機關，曾開發攻擊工具RAT木馬程式Hector，以及外觀與行動電源相似的「Wi-Fi 抵近攻擊系統」，同時也經營DDoS攻擊業務，還有APT攻擊與間諜行動業務。日後是否有更進一步的研究分析，值得持續追蹤。</p> <p>關於最新威脅態勢的揭露上，我們注意到4個值得留意的技術手法與狀況：</p> <p>●資安業者揭露網釣簡訊攻擊背後的新手法Smishing，他們發現濫用AWS SNS簡訊服務的惡意Python腳本，並指出這是雲端攻擊工具中前所未見的技術。</p> <p>●駭客不斷挖掘出Ivanti Connect Secure的零時差漏洞並成功利用，因此有研究人員針對這樣的狀況進行分析，發現其系統採用許多老舊、已終止支援的元件。</p> <p>●關於網路犯罪組織在臉書投放詐騙廣告，資安業者揭露使用竊資軟體VietCredCare的攻擊者，正鎖定大量越南企業臉書帳號，並在接管帳號後用以實施臉書詐騙。</p> <p>●網路拓樸架構呈現工具SSH-Snake被駭客濫用於攻擊行動，資安業者指出，這是竊取SSH金鑰的新手法，該工具還具有主動修改和無檔案的特性，若採用靜態偵測的作法，會不容易找到。</p> <p>還有多個惡意威脅的最新動向，源自不同資安業者的揭露，包括勒索軟體RansomHouse組織使用新的自動化工具MrAgent，來鎖定虛擬化平臺VMware ESXi平臺，以及惡意程式TicTacToe Dropper，殭屍網路病毒Glupteba，還有商業間諜公司掌握「多媒體簡訊指紋（MMS Fingerprint）」技術的細節。</p> <p>最後值得一提的是，國內再傳上市櫃公司遭遇資安事件，已是今年第7起上市櫃公司因資安事件發布重大訊息。以散熱風扇聞名的上市大廠建準，19日公告當天凌晨遭遇加密攻擊。該公司表示，已確認公司資料沒有外流，資訊系統當日可修復。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161587"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年2月26日到3月1日</span></strong></a></h2> <p>告別2月，迎接3月，我們要提醒大家注意的資安消息，包括兆勤、Canon、思科的漏洞修補消息，以及開源軟體存在Wi-Fi身分驗證繞過漏洞的相關修補，需要企業著手因應之外，特別的是，還有兩個與微軟有關的漏洞利用，這些問題都必須重視，請用戶及早修補或實施緩解機制。<br /> （一）微軟在2月修補的漏洞CVE-2024-21338，通報此漏洞的資安業者Avast最近指出，發現修補前已有北韓駭客組織Lazarus利用，以關閉特定的防護處理程序、迴避偵測。由於上述狀況的發生，也表示此弱點已導致零時差漏洞攻擊。<br /> （二）去年6月微軟修補微軟Streaming Service相關漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog">CVE-2023-29360，這是存在於驅動程式mskssrv.sys的權限提升漏洞，近日發現鎖定利用的情形</a>。這段時間的iThome資安日報尚未提及，在此補上。<br /> 另外，前幾期週報我們已提醒的Ivanti Connect Secure漏洞，以及ScreenConnect漏洞，如今傳出中國駭客與多個駭客團體正鎖定攻擊的情形，尚未因應的企業需要趕緊行動。</p> <p>在資安事件方面，國內有3項消息受到矚目，都與上市公司有關，包括：<br /> ●2月26日，上市綠能環保、PCB廢液處理業者昶昕公告，部份資訊系統遭受駭客網路攻擊事件。<br /> ●2月29日，中華電信因媒體報導有人在暗網兜售該公司的內部資料，發布重大訊息，表明資安團隊查知疑似資料外流的情況，正展開調查。<br /> ●2月27日，散熱風扇廠商建準在一星期前已公告發生網路資安事件，但這天再次發布新的重訊，說明該事件的後續處理情形。</p> <p>在資安威脅焦點方面，上星期發生的兩起重大事件，都有後續消息傳出。例如，才被11個國家執法單位圍剿的勒索軟體駭客組織LockBit，已傳出重起爐灶的消息；關於中國資安業者「安洵信息」的資料外洩，曝露該國政府對全球20國發動網路間諜行動的情況，後續有更多與臺灣資安現況有關的內容被分析出來，像是國外研究人員指出，當中蒐集了臺灣道路地圖檔案的情資，已竊取495 GB的相關檔案，臺灣資安業者TeamT5亦指出，當中透露該公司與中國政府打交道的情形，產品細節與財務，以及上報RAT木馬程式ShadowPad開發的細節，顯示這批資料的可信度相當高。</p> <p>其他最新威脅態勢的揭露上，我們注意到5個值得留意的狀況，其中有3則是多國網路安全機構的示警：<br /> ●AI開發者與用戶要當心！近日有兩起資安新聞，一是機器學習模型共享平臺Hugging Face出現100個惡意模型，不慎下載恐將被安裝後門程式，另一是AI影片編輯平臺Cutout.Pro傳出資料外洩，2千萬名會員個資流入駭客論壇。<br /> ●電信業者注意！有研究人員揭露駭客近期使用的後門程式Gtpdoor，主要針對鄰近GPRS交換網路（GRX）的電信網路環境入侵，並將攻擊流量混入合法流量，隱匿攻擊行動。<br /> ●德國BfV、韓國NIS提出警告，北韓駭客針對全球國防單位從事網路間諜行動，這份警告也揭露當中存在供應鏈攻擊的狀況：對方入侵維護廠商竊取SSH帳密，從而存取海事及航運研究中心的Linux網頁伺服器主機。<br /> ●10國執法機關聯手針對俄羅斯駭客組織APT28的攻擊行動提出警告，指出攻擊者正鎖定Ubiquiti路由器入侵，並濫用EdgeRouter迴避偵測、建置殭屍網路，以隱匿攻擊行動。<br /> ●<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">美國CISA</a>與<a href="https://www.ncsc.gov.uk/files/Advisory-SVR-cyber-actors-adapt-tactics-for-initial-cloud-access.pdf">英國NCSC</a>示警，俄羅斯駭客組織APT29（亦稱Midnight Blizzard）是俄羅斯情報部門SVR的一部分，近期經常針對服務帳戶使用密碼噴灑攻擊，以取得對雲端環境的初始存取權限。本週刊出的資安日報尚未提及，在此補上。</p> <p>還有一個威脅態勢，我們認為也相當值得企業警惕，是棄用的子網域名稱遭濫用，有攻擊者正進行這方面的大規模網路掃描，以奪取控制權，進而盜用企業身分發動網路釣魚攻擊。近期已有MSN、VMware、eBay等多家企業的網域遭利用，這也突顯即使大型知名企業，仍可能在這方面產生疏忽。</p> <p>至於防禦態勢上，最大焦點就是美國NIST正式發布了網路安全框架CSF 2.0，新版不僅加入治理功能，還有一系列的資源與工具，讓企業更容易去實踐。例如，在5種快速入門指南中，有小型企業（SMB）適用的快速入門指南，在CPRT工具中則針對各項子類別，提供了易於理解的實踐範例。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3> </h3> <h3> </h3> </div></div></div>
2024/3/23 10:15作者羅正漢https://www.ithome.com.tw/news/161921
JetBrains發布CI/CD新工具TeamCity Pipelines，具多項智慧功能簡化工作管線配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains推出新的CI/CD工具<a href="https://blog.jetbrains.com/teamcity/2024/03/meet-teamcity-pipelines/">TeamCity Pipelines</a>，助用戶最佳化開發流程。TeamCity Pipelines提供建置CI/CD工作管線需要的所有工具，盡可能減少用戶切換應用程式的狀況。官方提到，TeamCity Pipelines直覺的介面和智慧配置輔助功能，能大幅簡化測試工作，使用戶更有效率地運作CI/CD工作管線。</p> <p>TeamCity Pipelines擁有一個易用的工作管線編輯器，讓用戶簡單點擊滑鼠，就能建立起工作管線。除了視覺化編輯器之外，開發者也可以使用YAML，以程式碼即配置的方式來設定工作管線，用戶可以選擇從網頁介面進行編輯，或是直接將設定檔添加到儲存庫。</p> <p>TeamCity Pipelines減少開發者需要尋找或是記憶的配置項目，智慧配置輔助功能可引導用戶完成工作管線配置流程，並且提出改進建議，像是TeamCity Pipelines可以自動偵測特定的建置工具，並建議採用智慧測試平行化選項，可使執行速度提高達75％。</p> <p>該CI/CD工具支援Linux、Windows與macOS作業系統，用戶可以選擇相對應執行代理類型，當開發者需要用到額外的工具，則可以在代理程式上安裝，或在Docker容器執行工作。TeamCity Pipelines內建Docker映像檔搜尋功能，用戶不需要切換環境就可找到需要的映像檔，用戶還可以在介面自訂Dockerfile。</p> <p>而且TeamCity Pipelines能夠動態最佳化工作管線，供用戶選擇重複使用之前執行過的工作、平行測試和建置快取功能。TeamCity Pipelines會建議用戶將測試分成多個批次，執行平行測試加速迭代，特別的是，開發者不需要更改程式碼或是專案結構，TeamCity Pipelines會自動完成需要的配置工作。</p> <p>除了動態最佳化建議之外，TeamCity Pipelines也會在每次測試工作完成後提供報告，並自動辨識測試專案所採用的語言與框架。TeamCity Pipelines能跨多次工作追蹤測試結果，讓開發者簡單地比較測試變化。</p> <p>TeamCity Pipelines介面可以讓開發者用終端機，直接存取代理所在的機器快速進行除錯，其具有完整的建置日誌記錄，介面提供語法突出顯示、搜尋等功能方便開發者閱讀，日誌也可以下載到用戶熟悉的工具進行分析。</p> </div></div></div>
2024/3/20 22:25作者李建興https://www.ithome.com.tw/news/161874
微軟開源多雲容器網路觀測平臺Retina
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure容器網路團隊發布雲端原生容器網路觀測平臺<a href="https://azure.microsoft.com/en-us/blog/microsoft-open-sources-retina-a-cloud-native-container-networking-observability-platform/">Retina</a>，讓Kubernetes用戶、管理者和開發者，能夠以視覺化的方式，觀測、除錯並且分析Kubernetes的工作負載流量。Retina支援各種容器網路介面（CNI）、作業系統和雲端平臺，還能夠與產業標準Prometheus和網路流量日誌搭配使用，具有適應不同用例和環境的靈活性。</p> <p>隨著Kubernetes等相關雲端原生技術的發展，雖然使得應用程式可在多種平臺上運作，但同時管理應用程式也變得複雜，特別是雲端原生應用程式的部署橫跨多個公有雲，以及企業的私有基礎設施，導致網路的可觀測性、故障排除和除錯越來越困難。</p> <p>Retina的出現便是要解決這個狀況，其提供簡單的方法，供用戶觀測和排除應用程式資料封包丟失和延遲等問題，而且不需要擔心底層基礎設施和轉換的複雜性。Retina利用eBPF（extended Berkley Packet Filter）的功能，在不需更改現有應用程式的情況下，以非侵入的方式對Kubernetes網路進行深入分析和監控。</p> <p>微軟提到，根據他們營運AKS（Azure Kubernetes Service）的經驗，發現網路監控、指標收集和Kubernetes叢集追蹤嚴重不足。而Retina提供了用戶對叢集網路的全面觀測性，同時藉由Kubernetes特有的上下文流量分析，像是Pod、服務和命名空間等資訊，將指標轉成產業標準的Prometheus或是網路流量日誌。</p> <p>Retina的特色之一是獨立於容器網路介面、作業系統和雲端平臺，微軟指出，現有的開源解決方案，通常與特定CNI、作業系統和資料平面緊密整合，因此限制了多功能性和可用範圍。Retina則是設計成多功能、可適應和可擴充的套件框架，能夠與所有CNI、作業系統和雲端平臺搭配使用，並且成為現有工具集的補充。</p> <p>Retina支援Linux和Windows資料平面，滿足可靠性工程師的多樣化需求，並占用盡可能少的記憶體和CPU資源，其可插拔設計可讓用戶簡單擴展，應用於各種新用例。</p> <p>Retina還有一個重要功能，是可以深入分析網路流量，涵蓋網路第四層指標、DNS指標和分散式資料封包擷取，其無縫整合Kubernetes應用程式模型，提供詳細Pod層級的指標。微軟解釋，用戶能以標籤來配置分散式資料封包擷取，指定擷取封包的內容、位置和物件。而Retina所提供的網路流程日誌，用戶可以使用歷史紀錄和進階除錯功能，強化網路故障排除和效能最佳化。</p> <p>微軟透過開源Retina以及支援多雲架構，將廣泛的雲端原生生態系納入Retina的觀測範圍中。微軟提到，他們會繼續發展Retina的可擴展性，使用戶可以更簡單地添加新指標和分析，並且可以與其他監控系統和工具整合。</p> </div></div></div>
2024/3/20 22:12作者李建興https://www.ithome.com.tw/news/161871
【資安日報】3月20日，研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伺服器配置不當的情況，過往最常出現的是在公有雲系統，但應用程式開發系統出現配置不當的問題，也相當值得留意。</p> <p>最近有研究人員針對Google旗下的行動與網頁應用程式開發平臺Firebase進行調查，一口氣找到超過1億筆機敏資料（Secrets），值得留意的是，當中包含不少明文密碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://env.fail/posts/firewreck-1/"><strong style="font-size: 22px;">配置不當的Firebase曝露近2千萬筆明文帳密資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/supabase_table.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/supabase_table.png" style="width: 300px; float: right;" /></a>研究人員Logykk、Xyzeva、MrBruh指出，行動與網頁應用程式開發平臺Firebase的資安控管不足，放任用戶進行可能危及資安的組態設定。因為當中竟然允許IT人員配置具有潛在資安風險的規則，且不會發出任何警示訊息，而因為存在這樣的狀況，使得不少Firebase伺服器呈現「裸奔」狀態，因為許多機敏資料都因此而曝露在外。</p> <p>這些研究人員針對全球的Firebase伺服器進行掃描，結果發現超過1.25億筆機敏資料，內含電子郵件信箱、姓名、密碼、電話號碼，甚至部分具備詳細金融資訊的帳單明細。這批資料一共有84,221,169個姓名、106,266,766個電子郵件帳號、33,559,863筆電話號碼、20,185,831個密碼，以及27,487,924組帳單資料，其中值得留意的是，上述的密碼有19,867,627個都是以純文字型式存放，換言之，幾乎（98%）並未採取保護措施。</p> <p>對此，研究人員在兩週內發送842封電子郵件，通知受影響的Firebase用戶，約有四分之一的管理者修復了配置錯誤的情況，1%管理者回信，此外，研究人員也得到2個企業組織的抓漏獎勵。</p> <p><a href="https://www.securonix.com/blog/securonix-threat-research-security-advisory-new-deepgosu-attack-campaign/"><strong style="font-size: 22px;">研究人員揭露Deep#Gosu攻擊行動，北韓駭客打造PowerShell及VBS惡意軟體對Windows電腦下手</strong></a></p> <p></p> <p>資安業者Securonix揭露北韓駭客組織Kimsuky的攻擊行動Deep#Gosu，指出對方調整手法，採用以指令碼為基礎的攻擊流程，利用多個以PowerShell及VBScript製作的工具來感染目標電腦，並進一步使用RAT木馬程式來進行控制。</p> <p>值得一提的是，所有C2的通訊都是透過Dropbox與Google Docs等雲端服務來處理，使得攻擊流量融入合法流量，而能讓惡意軟體的行蹤難以察覺；此外，這起攻擊行動的惡意酬載，都是存放Dropbox等雲端服務，因此駭客能夠動態更新惡意程式的功能，或是部署其他的模組。</p> <p>而對於攻擊流程的進行，這些駭客透過ZIP壓縮檔向目標人士散布Windows捷徑檔（LNK），但此檔案容量過大，竟高達2.2 MB（LNK檔通常只有幾KB），研究人員拆解其內容，發現當中包含PowerShell指令碼，從而解出嵌入的檔案，並從網路下載其他惡意VBScript程式碼，並向受害者顯示PDF檔案，以降低戒心，接下來，攻擊者會執行來自Dropbox的RAT木馬TruRat。</p> <p><a href="https://www.bleepingcomputer.com/news/security/white-house-and-epa-warn-of-hackers-breaching-water-systems/"><strong style="font-size: 22px;">美國對水利系統業者提出警告，駭客鎖定全國各地有關的關鍵基礎設施發動攻擊</strong></a></p> <p></p> <p>美國環境保護局（Environmental Protection Agency，EPA）、國家安全顧問Jake Sullivan對各州政府提出警告，駭客正在襲擊多州的水利關鍵基礎設施，因此他們想要請求州長協助，確保轄內的水利系統能夠因應相關威脅，並在遭到破壞時能迅速恢復。</p> <p>對此，他們將於美國東部時間21日下午1時舉行線上會議，邀請各州環保局、公共衛生機關、國土安全部的首長參與，討論如何保護水利系統的關鍵基礎設施，重點將說明當局與各州要如何強化這類設施的資訊安全。</p> <p>EPA將與國土安全部（DHS）、網路安全暨基礎設施安全局（CISA）合作，提供相關的指引、工具、教育訓練、技術協助等資源；美國水務協會（American Water Works Association，AWWA）、國家農村水利協會（National Rural Water Association，NRWA）、水利資訊共享暨分析中心（Water Information Sharing and Analysis Center，WaterISAC）也將提供相關技術支援。</p> <p>資料來源</p> <p>1. <a href="https://www.epa.gov/system/files/documents/2024-03/epa-apnsa-letter-to-governors_03182024.pdf">https://www.epa.gov/system/files/documents/2024-03/epa-apnsa-letter-to-governors_03182024.pdf</a><br /> 2. <a href="https://www.epa.gov/newsreleases/biden-harris-administration-engages-states-safeguarding-water-sector-infrastructure">https://www.epa.gov/newsreleases/biden-harris-administration-engages-states-safeguarding-water-sector-infrastructure</a></p> <p><a href="https://cyble.com/blog/cgsi-probes-shadowsyndicate-groups-possible-exploitation-of-aiohttp-vulnerability-cve-2024-23334/"><strong style="font-size: 22px;">HTTP非同步傳輸框架Aiohttp漏洞遭到勒索軟體駭客組織鎖定</strong></a></p> <p></p> <p>1月28日HTTP非同步傳輸框架Aiohttp發布3.9.2版，修補當中Python程式庫的路徑穿越漏洞CVE-2024-23334，嚴重程度為高風險等級，CVSS風險評為7.5，而這項漏洞傳出被用於攻擊行動。</p> <p>資安業者Cyble指出，他們在2月27日看到有人公布該漏洞的概念性驗證程式碼（PoC），2天後駭客透過5個IP位址嘗試利用這項漏洞，研究人員根據另一家資安業者Group-IB去年的調查，認為攻擊者的身分可能是勒索軟體駭客組織ShadowSyndicate。</p> <p>研究人員根據他們的網路掃描工具進行調查，全球約有4.4萬臺可透過網際網路存取的Aiohttp實體，位於美國的最多，占15.8%，其次是德國、西班牙，各有8%、5.7%，但由於難以判斷這些伺服器使用的版本，他們無法確認有多少主機曝險。</p> <p><a href="https://securityintelligence.com/posts/pixpirate-brazilian-financial-malware/"><strong style="font-size: 22px;">安卓惡意軟體PixPirate採用新型態策略埋藏在背景運作</strong></a></p> <p></p> <p>去年2月資安業者Cleafy揭露專門鎖定巴西的安卓木馬程式PixPirate，並指出該木馬能對多家當地銀行的用戶進行自動轉帳系統（ATS）攻擊、攔截簡訊，還能投放惡意廣告，如今這個惡意程式以更隱密的方式於受害手機運作。</p> <p>IBM威脅情報團隊指出，他們近期看到PixPirate的變種版本，但有別於過往的版本，首先，這次駭客採取新的隱藏應用程式圖示策略（不具備啟動器的圖示，而能在最新版的安卓作業系統維持隱藏的狀態）；再者，攻擊者將該惡意程式拆成兩個APK檔案進行散布，這樣的做法也相當罕見。</p> <p>對方先透過WhatsApp或是釣魚簡訊散布第1個「下載器」的APK檔案，一旦使用者執行安裝，該APK檔案就會要求使用者，開放輔助功能在內的多種權限，啟動後便會下載PixPirate的主程式，此軟體安裝後，不會在手機前端介面呈現App圖示，但會產生可被其他應用程式連接的服務，而能被前述的下載器執行。研究人員指出，就算受害者移除下載器的App，PixPirate仍舊能夠獨立運作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PixPirate-infection-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PixPirate-infection-flow.png" style="width: 580px;" /></a></p> <p><a href="https://perception-point.io/blog/operation-phantomblu-new-and-evasive-method-delivers-netsupport-rat/"><strong style="font-size: 22px;">駭客組織PhantomBlu透過OLE物件在Microsoft 365用戶電腦植入後門</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/blu.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blu.png" style="width: 300px; float: right;" /></a>有人針對美國組織的Microsoft 365用戶發起名為PhantomBlu的攻擊行動，對方假借提供每個月的薪資報告，透過SendInBlue、Brevo等行銷管理平臺寄送釣魚郵件，引誘收信人下載特定Word檔案。</p> <p>一旦照做，收信人便會看到受到密碼保護的檔案及對應的「說明文件」，從而於受害電腦植入木馬程式NetSupport RAT，使得攻擊者能夠進行監控、側錄鍵盤輸入內容、傳輸檔案，濫用系統資源，甚至能在受害網路進行橫向移動。</p> <p>資安業者Perceptive Point指出，有別於大部分散布NetSupport RAT的攻擊行動，這次駭客濫用了物件連結與嵌入（OLE）的範本檔案，並藉由Office文件範本執行惡意程式碼，從而迴避偵測。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.recordedfuture.com/adversarial-intelligence-red-teaming-malicious-use-cases-ai"><span style="font-size: 20px;">駭客嘗試透過大型語言模型修改惡意程式，降低被防毒軟體特徵碼察覺的機會</span></a></strong></p> <p><strong><a href="https://therecord.media/lockbit-ransomware-takes-credit-for-south-african-pension-fund-attack"><span style="font-size: 20px;">北韓駭客Lazarus疑似透過加密貨幣混幣系統Tornado Cash洗錢</span></a></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-acidpour-data-wiper-targets-linux-x86-network-devices/"><strong><span style="font-size: 20px;">資料破壞軟體AcidPour鎖定Linux網路裝置而來</span></strong></a></p> <p><a href="https://securelist.com/trojanized-text-editor-apps/112167/"><strong><span style="font-size: 20px;">中國用戶遭到惡意廣告鎖定，駭客假借提供Notepad++、VNote等應用程式散布滲透測試工具Geacon</span></strong></a></p> <p></p> <p><a href="https://therecord.media/lockbit-ransomware-takes-credit-for-south-african-pension-fund-attack"><strong><span style="font-size: 20px;">南非公務員退休基金傳出在2月遭遇勒索軟體LockBit攻擊</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161852"><strong>【3月19日】駭客組織Earth Krahang鎖定政府機關而來，疑為中國資安業者安洵旗下團隊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161813"><strong>【3月18日】國際貨幣基金組織電子郵件帳號傳出遭到挾持</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161788"><strong>【3月15日】Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate</strong></a></p> </div></div></div>
2024/3/20 14:43作者周峻佑https://www.ithome.com.tw/news/161868
【資安日報】3月14日，研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI的運用日益廣泛，這類聊天機器人無法只根據機器學習模型回答問題，因此系統開發者將其串連線上搜尋引擎、程式碼儲存庫、CRM等各類服務，並進行資料交換，形成新的生成式AI生態圈，這麼做可能提升AI的功能，卻也帶來潛在的資安風險。</p> <p>研究人員最近針對ChatGPT的相關功能著手進行調查，證實上述的情況。而這種允許使用者與第三方服務串連的功能模組，在ChatGPT被稱為外掛程式（Plugins）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/vcurms-a-simple-and-functional-weapon"><strong style="font-size: 22px;">Java木馬程式Vcurms、Strrat透過AWS、GitHub散布</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-vcurms-attack-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-vcurms-attack-flow.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露RAT木馬程式Vcurms、Strrat的攻擊行動，攻擊者假借驗證付款流程為由寄送釣魚郵件，一旦收信人依照指示操作，電腦就有可能從AWS下載惡意的JAR檔案Payment-Advice.jar，若是執行，此Java惡意程式就會連上網路、搜尋另外兩個JAR檔案，從而在受害電腦植入Vcurms與Strrat。</p> <p>研究人員較在意的是首度發現的Vcurms，此RAT與C2進行通訊的方式相當罕見，是透過電子郵件服務Proton Mail，該惡意程式會發送特定信件通報其正常運作，也會定期檢查電子郵件信箱是否出現具備特定主旨的信件，並從內文取得攻擊者下達的命令。</p> <p>另一個特點則是該RAT木馬啟動後會從C2下載2個JAR模組，分別是竊資軟體（Infostealer）及鍵盤側錄器（Keylogger）。其中的竊資軟體模組，能收集系統資訊、瀏覽器資訊，以及即時通訊軟體Discord和遊戲平臺Steam的資料。</p> <p><strong style="font-size: 22px;">宏碁菲律賓分公司傳出資料外洩，疑為外部供應商遭駭所致</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ph1ns.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ph1ns.png" style="width: 300px; float: right;" /></a>3月12日有人以ID名為ph1ns的帳號在駭客論壇BreachForums上，聲稱握有宏碁菲律賓分公司的資料，且表明將免費提供下載。</p> <p>而對於駭客從事的攻擊行動，這名人士向資安新聞網站Bleeping Computer宣稱，他們只偷資料，並未使用勒索軟體或是加密檔案，也沒有對宏碁勒索，而在失去存取權限之前，這群駭客銷毀受害伺服器上的資料。</p> <p>對此，宏碁發言人證實這些是該公司的內部資料，但表示是在菲律賓的外部供應商發生資料外洩事故造成，流出檔案包含部分員工資料。該公司強調，客戶資料並未受到影響，宏碁自己的系統也沒有遭到破壞的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/acer-confirms-philippines-employee-data-leaked-on-hacking-forum/">https://www.bleepingcomputer.com/news/security/acer-confirms-philippines-employee-data-leaked-on-hacking-forum/</a><br /> 2. <a href="https://twitter.com/AcerPhils/status/1767551121629802875">https://twitter.com/AcerPhils/status/1767551121629802875</a></p> <p><a href="https://www.reversinglabs.com/blog/bipclip-malicious-pypi-packages-target-crypto-wallet-recovery-passwords"><strong style="font-size: 22px;">駭客上傳7個惡意PyPI套件，企圖竊取加密貨幣錢包的通關密語</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-crypto-wallet-recovery-pass.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-crypto-wallet-recovery-pass.jpg" style="width: 300px; float: right;" /></a>資安業者ReversingLabs揭露名為BIPClip的攻擊行動，駭客上架7個PyPI套件、總共有19個版本的檔案，其中最舊是2022年12月上傳，上架超過一年。攻擊者散布上述套件的目的在於，竊取用於復原加密貨幣錢包私鑰的Bitcoin Improvement Proposal 39（BIP39）通關密語（mnemonic phrases），在這些套件遭到下架之前，總共被下載7,451次。</p> <p>研究人員最初發現了其中2個PyPI套件mnemonic_to_address、bip39_mnemonic_decrypt，特別的是，第1個套件mnemonic_to_address確實具備駭客聲稱的功能，且本身不具威脅，但研究人員發現，該套件會擅自外洩使用者的通關密語——透過函式的參數，傳送至相依性套件bip39_mnemonic_decrypt。</p> <p>他們循線追查，在3月找到其他用於這起攻擊行動的PyPI套件，並指出這些駭客極為謹慎，因為這些套件確實具備開發者標榜的功能，導入的模組與呼叫的功能函數也是精心挑選，企圖模仿合法的函數功能以避免遭到懷疑。</p> <p> </p> <div> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://salt.security/blog/security-flaws-within-chatgpt-extensions-allowed-access-to-accounts-on-third-party-websites-and-sensitive-data"><strong style="font-size: 22px;">ChatGPT外掛程式存在危險漏洞，恐曝露使用者資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/65ed84532e9c707b7eee0f99_Screenshot 2024-03-10 at 11_58_35.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65ed84532e9c707b7eee0f99_Screenshot%202024-03-10%20at%2011_58_35.png" style="width: 300px; float: right;" /></a>資安業者Salt Security揭露存在於ChatGPT外掛程式功能（Plugins，現在被稱為GPT）的漏洞，這些弱點有可能讓攻擊者存取使用者的第三方帳號（如GitHub），從而進行挾持並存取敏感資料。</p> <p>第1個漏洞存在於ChatGPT本身，涉及使用者被導引、連至外掛程式網站，接收動態密碼並同意連結的流程。攻擊者可藉由引誘使用者安裝惡意外掛程式，從而在受害者的ChatGPT帳號配置自己的帳密資料，使用者所有的傳送ChatGPT的訊息都會同時轉發給攻擊者，而能達到竊取機密的目的。</p> <p>另一個漏洞則是在ChatGPT外掛程式開發框架PluginLab出現，起因是該框架的安裝過程並未採取適當的安全措施，使得攻擊者在用戶不知情的情況下，植入惡意外掛程式。由於PluginLab並未對使用者帳號進行身分驗證，攻擊者有機會藉由另一個使用者帳號南取得受害者的程式碼，並接管受害者的帳號。</p> <p>第3個漏洞涉及OAuth身分驗證，屬於操縱重新導向的漏洞，使得攻擊者有機會藉由發送惡意的URL，竊取使用者各式帳密資料。</p> <p><a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-vpn-product/"><strong style="font-size: 22px;">思科修補SSL VPN用戶端軟體高風險漏洞</strong></a></p> <p></p> <p>3月6日思科發布資安公告，指出旗下的SSL VPN系統Secure Client存在高風險漏洞 CVE-2024-20337、 CVE-2024-20338，CVSS風險評分各為8.2、7.3。</p> <p>其中，較為危險的CVE-2024-20337影響範圍較廣，Windows、macOS、Linux版的Secure Client皆受到影響，此漏洞出現在SAML身分驗證流程，而有可能讓未經身分驗證的攻擊者，遠端觸發斷行符號與換行（Carriage Return Line Feed，CRLF）注入攻擊。而對於這項漏洞發生的原因，該公司表示是對於使用者輸入的內容未充分驗證，使得攻擊者有機會引誘正在建立VPN連線的使用者，點選偽造的連結來觸發漏洞，一旦成功，攻擊者就能在瀏覽器執行任意指令碼，或是有效的SAML token等機敏資訊。</p> <p>另一項漏洞CVE-2024-20338僅影響Linux用戶，為權限提升漏洞，出現在具備ISE Posture系統掃描模組的Secure Client程式，起因是該公司採用了未列管的搜尋路徑元素，攻擊者可將惡意程式庫檔案存放於特定路徑，並誘騙管理員重新啟動指出處理程序觸發，而有可能取得root權限執行任意程式碼。</p> <p>資料來源</p> <p>1. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-client-crlf-W43V4G7">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-client-crlf-W43V4G7</a><br /> 2. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-privesc-sYxQO6ds">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-privesc-sYxQO6ds</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161745"><strong style="font-size: 22px;">上市櫃公司資安事故發布重大訊息的標準出爐</strong></a></p> <p></p> <p>在3月5日金管會的例行記者會上，證券期貨局副局長黃厚銘預告今年資安治理推動的8項重點，其中之一就是修訂重大訊息問答集，明確規範資安事件之「重大性」標準，這項工作近期出現新的進展。</p> <p>臺灣證券交易所在1月發布新版《上市公司重大訊息發布應注意事項參考問答集》，明確規範資安事件之「重大性」標準，例如，公司的核心資通系統、官方網站或機密文件檔案資料等，遭駭客攻擊，遭入侵、破壞、竄改、刪除、加密、竊取、服務阻斷攻擊（DDoS）等，致無法營運或正常提供服務，或有個資外洩的情事等，即屬造成公司重大損害或影響，公司即應依重大訊息處理程序法規的第26款發布重大訊息。</p> <p>3月8日，櫃買中心也發布新版《上（興）櫃公司重大訊息發布應注意事項參考問答集》，納入重大性資安事件的相關明確定義。</p> <p>資料來源</p> <p>1. <a href="http://dsp.twse.com.tw/public/static/downloads/listedCompany/%E3%80%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86%E3%80%8D11301%20_20240118165315.pdf">http://dsp.twse.com.tw/public/static/downloads/listedCompany/%E3%80%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86%E3%80%8D11301%20_20240118165315.pdf</a><br /> 2. <a href="https://dsp.tpex.org.tw/storage/co_download/%E4%B8%8A%E8%88%88%E6%AB%83%E5%85%AC%E5%8F%B8%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86.pdf?t=20240308">https://dsp.tpex.org.tw/storage/co_download/%E4%B8%8A%E8%88%88%E6%AB%83%E5%85%AC%E5%8F%B8%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86.pdf?t=20240308</a></p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://hiddenlayer.com/research/new-google-gemini-content-manipulation-vulns-found/"><span style="font-size: 20px;">研究人員揭露Google Gemini聊天機器人潛在的威脅</span></a></strong></p> <p></p> <p><a href="https://www.trendmicro.com/en_us/research/24/c/cve-2024-21412--darkgate-operators-exploit-microsoft-windows-sma.html"><strong><span style="font-size: 20px;">Windows安全機制SmartScreen弱點被用於散布惡意軟體DarkGate</span></strong></a></p> <p></p> <p><strong><a href="https://securityintelligence.com/posts/pixpirate-brazilian-financial-malware/"><span style="font-size: 20px;">安卓惡意軟體PixPirate採用新型態策略在背景運作</span></a></strong></p> <p></p> <p><a href="https://op-c.net/blog/lord-nemesis-strikes-supply-chain-attack-on-the-israeli-academic-sector/"><strong><span style="font-size: 20px;">以色列大學遭伊朗駭客鎖定，面臨供應鏈攻擊</span></strong></a></p> <p></p> <p><a href="https://therecord.media/meduza-independent-russian-media-organization-cyberattacks"><strong><span style="font-size: 20px;">俄羅斯總統大選在即，當地媒體Meduza遭遇國家資助的俄羅斯駭客大規模網路攻擊</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161751"><strong>【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161727"><strong>【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161709"><strong>【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</strong></a></p> </div></div></div>
2024/3/14 14:52作者周峻佑https://www.ithome.com.tw/news/161764
對抗勒索軟體加密竄改，NetApp可鎖定快照副本
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/snapmanager_5.0-main.png" width="961" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了預防勒索軟體與資料銷毀軟體（Wiper）的侵襲，許多儲存系統大廠本身都設有備份軟體產品線，以NetApp而言，目前由SnapCenter與BlueXP backup and recovery來擔綱，而在今年3月，前者正式推出5.0版，標榜具有應用程式感知（Application-Aware）的勒索軟體防護能力。</p> <p>從2015年釋出1.0版至今，SnapCenter的特色是透過集中操作的平臺，針對運作在該公司ONTAP儲存系統上面的多種應用程式，如資料庫系統、伺服器檔案系統、虛擬機器等，提供一致的資料保護，並且可適用於混合雲的基礎架構環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp SnapCenter overview-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20SnapCenter%20overview-2023-05.jpg" style="width: 600px;" /></a></p> <p>同時，這套解決方案也運用NetApp長期發展的多種資料保護技術，像是Snapshot、SnapRestore、FlexClone、SnapMirror、SnapVault，以及SnapLock，當中所提供的備份與復原機制，兼具快速執行、節省儲存空間、細部還原（granular restore），以及應用程式一致性（application-consistent）等特性，同時也有Clone複製功能。</p> <p>而在組成架構上，SnapCenter包含三大要素，分別是：SnapCenter Server、安裝在各個應用程式或系統的外掛程式，以及NetApp儲存系統，管理者可遠端執行外掛程式的自動部署、排程備份、驗證、Clone複製等作業，並且監控這些動作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/snapcenter_architecture.png" style="width: 552px;" /></p> <p>5.0版SnapCenter最大的特色，在於針對支援的多種應用程式資料，提供不可變（immutable）的勒索軟體防護機制，當中將會藉由先前用於非結構資料的保護技術，實施應用程式一致性備份。</p> <p>NetApp表示，新版支援ONTAP儲存系統近期主打的幾項相關功能，例如防竄改的Snapshot快照副本鎖定（Tamperproof Snapshots）、啟用SnapLock保護機制的儲存區，以及用於災難備援的業務永續技術SnapMirror Business Continuity（SM-BC，又稱為SnapMirror active sync），能為應用程式與虛擬機器提供更強大的資料保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0.jpg" style="width: 600px;" /> </p> <p>隨著勒索軟體攻擊手法日趨複雜、精密，駭客後來也把腦筋動到資料備份與快照復原點的身上，企圖在加密檔案之前，先刪除這些可協助用戶還原的重要憑藉，而SnapCenter現在支援Tamperproof Snapshots、SnapLock等技術之後，可確保快照副本受到妥善保護，若不幸遇上勒索軟體攻擊者、拿到高權限的非法管理者，對NetApp儲存系統保管的資料進行刪除或竄改，就能因為有這項功能而倖免於難。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp SnapCenter overview-2023-05-Retention Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20SnapCenter%20overview-2023-05-Retention%20Policy.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SnapCenter 5_0-New-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SnapCenter%205_0-New-2.jpg" style="width: 298px;" /></a></p> <p>基本上，這項技術是在主要或備援儲存系統的SnapLock儲存區，放置副本資料，使企業得以保有攻擊者無法刪除或變更內容的副本，存放在SnapLock儲存區的資料，會在指定期間維持內容不變且受到保護，以達到資安與遵循法規的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-NetApp SnapCenter 5_0-SnapLock Snapshot copies.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-SnapLock%20Snapshot%20copies.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-NetApp SnapCenter 5_0-SnapLock Snapshot copies2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-SnapLock%20Snapshot%20copies2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-10-NetApp SnapCenter 5_0-SnapLock Snapshot copies3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-SnapLock%20Snapshot%20copies3.jpg" style="width: 298px;" /></a></p> <p>另一個資料保全技術SM-BC，可幫忙企業實現即時復原應用程式資料的要求，達到零復原點目標（Zero RPO），以及零復原時間目標（Zero RTO）。有了這項功能，SnapCenter可建立多個保護與復原應用程式與虛擬機器的快照，成為能夠持續運作、兼具應用程式層級備份還原細緻度的儲存解決方案——若發生意外故障狀況，可切換至備援站點（failover），而在這樣的節點當中，仍可持續執行備份、復原、Clone複製，確保資料保護的運作不中斷，待主站點恢復正常之後，再切換回去（failback）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-BC.jpg" style="width: 600px;" /></p> <p>而在應用程式與系統的支援上，SnapCenter 5.0也新增Linux檔案系統的保護，如此一來，資料保護的範圍可擴大，涵蓋架設在Linux作業系統之上的資料庫，NetApp表示，此功能可支援坐落在多種NetApp儲存系統，像是採用ONTAP的儲存設備，以及雲端儲存服務Cloud Volumes ONTAP、Amazon FSx for NetApp ONTAP。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/2VFtfMsFlTk?si=gMxrOnVcGevAYzgh" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>針對企業在VMware環境往往部署多達數百臺至數千臺虛擬機器，若要進行備份，往往需花費許多時間，實際操作起來也相當龐雜，SnapCenter 5.0提供簡化與自動化作業的功能，管理者可透過標籤的形式進行防護（Tag-Based Protection），輕鬆管理備份工作，確保重要虛擬機器的資料保護不因此而遺漏。有了這樣的標示機制，企業能夠更簡易地區分與組織不同的虛擬機器，進而在備份政策的內容訂定，做到更細緻的控制。</p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>NetApp SnapCenter 5.0</strong><br /> ●原廠：NetApp<br /> ●建議售價：廠商未提供<br /> ●運作架構：SnapCenter Server、SnapCenter Plug-ins（Package for Windows、Package for Linux、Package for AIX、Custom Plug-ins）<br /> ●可保護的作業系統與應用系統：Windows、SQL Server、Oracle Database、SAP HANA Database、Exchange<br /> ●SnapCenter Server作業系統需求：Windows Server 2012、2012 R2、2016、2019<br /> ●支援的NetApp儲存系統：ONTAP 8.3.0以後的系統（AFF、FAS、ASA）、ONTAP Select、Cloud Volume ONTAP、AWS FSx for NetApp ONTAP、Azure NetApp Files</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/14 17:00作者李宗翰https://www.ithome.com.tw/review/161713
以雲端原生作業系統DBOS為基礎的無伺服器運算平臺登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PostgreSQL創建者Mike Stonebraker與Databricks共同創辦人Matei Zaharia，啟動了一個MIT、史丹佛大學的聯合開源研發專案，創建了新型作業系統DBOS（DataBase oriented Operating System），現在更進一步推出<a href="https://www.dbos.dev/blog/announcing-dbos">DBOS Cloud</a>服務。該雲端服務是以DBOS為基礎所建構的交易型（Transactional）無伺服器平臺，提供高可靠性與時間旅行（Time Travel）等功能。</p> <p>DBOS是一個創新的作業系統架構，其核心概念在於將作業系統的功能和服務，建立在分散式資料庫之上，而非傳統的檔案系統。在Unix或Linux等傳統作業系統中，檔案、程序、執行緒和訊息等系統狀態，通常儲存在檔案系統中。Mike Stonebraker指出，儲存作業系統狀態是一個資料庫問題。</p> <p>他還提到，以現代觀點來說，Linux被認為是老舊的程式碼。由於Linux基於較老的技術與概念建立，在面對新技術挑戰和發展需求時，可能遭遇創新上的障礙。Mike Stonebraker表示，針對多節點運算和雲端運算，Linux目前沒有多節點版本，用戶需要Kubernetes等調度工具，才能執行分散式工作負載。</p> <p>DBOS的出現便是要解決這些問題，透過將作業系統直接建立在分散式資料庫上，DBOS就能提供更好的效率、可擴展性和容錯性，其架構使得作業系統，更適合用於大規模分散式運算環境。DBOS提供了一個TypeScript交易性程式設計環境，透過狀態自動化、交易性、可觀察性和網路彈性，增強應用程式的韌性，同時還能簡化雲端原生應用程式的開發。</p> <p>簡單來說，DBOS使用SQL編寫作業系統服務程式碼，這些服務在高效能分散式DBMS上運作，Mike Stonebraker提到，這與過去在作業系統的使用者空間，執行DBMS的方式不同。在DBOS中，DBMS會成為作業系統的核心，其提供與Linux效能相當的作業系統功能，但是又具有高可用性、時間旅行、內建多節點擴充等特性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-DBOS%20image%20by%20%20DBOS.png" style="width: 400px;" /></p> <p>DBOS所有的狀態都儲存在高可用DBMS中，且由於DBMS會記錄所有事件，這些日誌可以留存數小時甚至數天，因此作業系統備份變得簡單，當系統發生故障造成資料損失，用戶可利用時間旅行功能，退回到系統故障之前。另外，作業系統狀態都是由交易型和容錯型資料庫管理，使用SQL就可簡單存取系統狀態和可觀察性資料。</p> <p>現在DBOS公司進一步推出DBOS Cloud，這是以DBOS為基礎的交易型無伺服器平臺，針對有狀態Typescript應用程式設計。Mike Stonebraker解釋，DBOS Cloud並非普通的無伺服器平臺，其基於DBOS架構，使DBOS Cloud上的應用程式具有高可靠性。當程式執行中斷，系統會自動從中斷處恢復，不會重複執行已經執行過的工作，確保所有操作都會被執行且僅會執行一次。</p> <p>DBOS的時間旅行功能，可將系統上的應用程式狀態，還原至任意時間點，DBOS Cloud用戶可以藉由時間旅行功能重現罕見的錯誤，Mike Stonebraker還提到，他們將會發布用於災難恢復的時間旅行功能，供用戶將應用程式資料退回到過去的狀態。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0314-The%20DBOS%20Time%20Travel%20Debugger-image%20by%20%20DBOS.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-The%20DBOS%20Time%20Travel%20Debugger-image%20by%20%20DBOS-B.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_DBOS</span></span></p> </div></div></div>
2024/3/14 08:13作者李建興https://www.ithome.com.tw/news/161755
【資安日報】3月13日，微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多軟體業者與工控系統廠商推出每月例行更新，包含微軟、Adobe、SAP、西門子、施耐德電機，這些公司揭露與修補的漏洞，目前尚未出現遭到利用的跡象。</p> <p>話雖如此，還是有些漏洞引起研究人員的關注。以微軟本次公布的漏洞為例，許多研究人員特別提及要注意Hyper-V漏洞CVE-2024-21407。資安業者Rapid7警告，雖然微軟表示攻擊者必須收集特定的環境資訊才能利用這項漏洞，但也提醒在Hyper-V主機上，完全不需取得特殊權限。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://twitter.com/H4ckManac/status/1765828331889406274"><strong style="font-size: 22px;">勒索軟體DoNex在1週內對5家歐美企業出手，要脅若不付錢，將持續對受害組織發動攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GIF7BdTWYAAQ-lb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GIF7BdTWYAAQ-lb.png" style="width: 300px; float: right;" /></a>威脅情報業者HackManac針對近期出現的勒索軟體DoNex提出警告，指出他們從2月23日至27日，看到駭客在網站上聲稱對5家企業出手，這些公司位於比利時、義大利、美國、荷蘭、捷克，對方從受害企業竊得19 GB至49 GB不等的內部資料。</p> <p>研究人員指出，這些駭客在加密電腦檔案後透過純文字檔案或彈出式視窗留下勒索訊息，強調他們只要錢、沒有政治動機，受害組織必須使用即時通訊軟體TOX Messenger聯繫，討論支付贖金事項，換取對方提供解密金鑰，並且刪除手上竊得的檔案。</p> <p>駭客要脅若是受害組織不願付錢，他們將反覆對其發動攻擊。值得留意的是，研究人員並未交代這些駭客如何入侵受害組織，我們仍須關切對方是透過何種管道滲透。</p> <p><strong style="font-size: 22px;">蘋果應用程式市集App Store出現冒牌的Leather加密貨幣錢包</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-Leather-app-store.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-Leather-app-store.png" style="width: 300px; float: right;" /></a>3月5日比特幣錢包服務供應商Leather提出警告，近期蘋果App Store應用程式市集出現冒牌應用程式，由於該廠商並未提供行動裝置版應用程式，若是用戶不慎依照指示操作，就有可能導致錢包裡的比特幣被洗劫一空。</p> <p>值得留意的是，雖然Leather已向蘋果通報此事，也有用戶表示因下載App而導致資產損失，但資安新聞網站Bleeping Computer發現，這個冒牌App目前仍存在蘋果App Store，並未遭到下架，他們指出用戶評價高達4.9分，不過相關內容似乎是捏造的，因為他們比對這些用戶評論，文字、用戶名稱組成的方式幾乎相同。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/LeatherBTC/status/1764711738208063556">https://twitter.com/LeatherBTC/status/1764711738208063556</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/fake-leather-wallet-app-on-apple-app-store-is-a-crypto-drainer/">https://www.bleepingcomputer.com/news/security/fake-leather-wallet-app-on-apple-app-store-is-a-crypto-drainer/</a></p> <p><a href="https://www.hackread.com/hacker-breach-federal-contractor-acuity-ice-uscis-data/"><strong style="font-size: 22px;">美國移民主管機關的IT承包商傳出遭駭，敏感資料流入駭客論壇</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/hacker-breach-federal-contractor-acuity-ice-uscis-data-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacker-breach-federal-contractor-acuity-ice-uscis-data-3.jpg" style="width: 300px; float: right;" /></a>3月9日資料掮客IntelBroker於駭客論壇BreachForums，聲稱入侵美國移民主管機關的IT承包商Acuity，從而取得美國移民和海關執法局（ICE）、美國公民和移民服務局（USCIS）兩個聯邦機構的內部資料。</p> <p>賣家開價3千美元的門羅幣，並宣稱內容包含超過10萬名人士的個人識別資訊（PII），其中有姓名、護照號碼、生日、電話號碼、電子郵件信箱、地址。資安新聞網站HackRead對此進行了解，發現這批資料含有更多敏感資料，像是程式的原始碼、使用者手冊、內部機密對話，其中甚至論及五眼聯盟使用的調查技術、烏克蘭戰爭、全球恐怖主義會議資訊等內容。</p> <p>駭客向HackRead表示，這些資料被歸類極機密、已分類、未分類、僅供官方使用（For Official Use Only，FOUO）等4種類型，他們號稱透過GitHub重大層級的零時差漏洞取得Token，從而入侵該承包商，但沒有透露漏洞的相關細節。</p> <p><strong style="font-size: 22px;">駭客聲稱握有Okta去年資安事故外流客戶資料，遭到該公司否認</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/hacker-okta.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacker-okta.png" style="width: 300px; float: right;" /></a>2023年10月Okta證實客戶支援系統遭駭，攻擊者從中竊得部分客戶的cookie及帳密資料，近期有人聲稱公布相關內容。一名使用ID「Ddarknotevil」的人士在駭客論壇公布Okta資料庫，並指出其內容與上述的資料外洩事故有關，總共有約3,800名曾使用該支援系統的客戶個資，包含使用者ID、姓名、公司名稱、辦公室地址、電話號碼、電子郵件信箱、職稱等詳細資料。</p> <p>對此，資安新聞網站Bleeping Computer向Okta進行確認，Okta發言人表示，這些資料與Okta無關，疑似有人從網際網路公開資訊彙整而成，其中部分資料的日期能追溯到十幾年前。該公司IT團隊也對所有系統進行清查，也並未發現遭到入侵的跡象。威脅情報業者Kela也證實Okta的說法，認為這些資料來自另一家公司，駭客去年7月對其出手。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/okta-says-data-leaked-on-hacking-forum-not-from-its-systems/">https://www.bleepingcomputer.com/news/security/okta-says-data-leaked-on-hacking-forum-not-from-its-systems/</a><br /> 2. <a href="http://www.linkedin.com/posts/kela-cyber_kela-cyber-flash-no-oktas-database-activity-7172568624270852097-fX9z/">http://www.linkedin.com/posts/kela-cyber_kela-cyber-flash-no-oktas-database-activity-7172568624270852097-fX9z/</a></p> <p> </p> <div> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Mar"><strong style="font-size: 22px;">微軟發布3月份例行更新，修補61個漏洞</strong></a></p> <p></p> <p>3月12日微軟發布本月分例行更新（Patch Tuesday），總共修補61個漏洞。</p> <p>其中最受到研究人員關注的漏洞，包含了危急（Critical）層級的Hyper-V遠端程式碼執行（RCE）漏洞CVE-2024-21407、重要（Important）層級的Exchange伺服器RCE漏洞CVE-2024-26198，以及同樣列為重要層級的Azure Kubernetes服務機密容器權限提升漏洞CVE-2024-21400，這些漏洞的CVSS風險評分為8.1、8.8、9.0。</p> <p>漏洞懸賞專案Zero Day Initiative（ZDI）指出，本次CVSS風險評分最危險的漏洞CVE-2024-21334也相當值得留意，該漏洞出現在開放管理基礎架構（OMI）元件，未經身分驗證的攻擊者可透過網際網路遠端在OMI實體上執行程式碼，CVSS風險評分為9.8。</p> <p>資料來源</p> <p>1. <a href="https://www.zerodayinitiative.com/blog/2024/3/12/the-march-2024-security-update-review">https://www.zerodayinitiative.com/blog/2024/3/12/the-march-2024-security-update-review</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2024/03/12/patch-tuesday-march-2024/">https://www.rapid7.com/blog/post/2024/03/12/patch-tuesday-march-2024/</a><br /> 3. <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2024-patch-tuesday-fixes-60-flaws-18-rce-bugs/">https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2024-patch-tuesday-fixes-60-flaws-18-rce-bugs/</a></p> <p><a href="https://www.securityweek.com/sap-patches-critical-command-injection-vulnerabilities/"><strong style="font-size: 22px;">SAP更新用戶端程式Chromium元件、修補重大層級的命令注入漏洞</strong></a></p> <p></p> <p>本週二SAP發布本月例行更新，總共公布10則新的資安公告，並更新2則公告的內容。其中有3則被列為焦點資訊（Hot News），根據CVSS風險評分的高低，最嚴重的是Business Client當中Chromium元件的安全更新，危險程度達到10分。</p> <p>危險程度次高的漏洞是CVE-2019-10744，此為原型汙染（Prototype Pollution）漏洞，發生在名為lodash的元件，恐導致Build Apps產生的應用程式出現程式碼注入的弱點，CVSS風險評分為9.4。</p> <p>第三個須密切注意的資安漏洞則與NetWeaver AS Java有關，該公司為其修補了程式碼注入漏洞CVE-2024-22127，此漏洞與管理員事件記錄檢視器外掛有關，取得高權限的攻擊者可藉由上傳有潛在危害的檔案觸發漏洞，CVSS風險評分為9.1。</p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-ruggedcom-devices-impacted-by-45-fortinet-vulnerabilities/"><strong style="font-size: 22px;">西門子公布行動裝置SIMATIC RF160B、應用程式管理平臺Ruggedcom漏洞</strong></a></p> <p></p> <p>3月12日西門子發布11則資安公告，當中總共公布214個漏洞，約有四分之三（157個）與名為SIMATIC RF160B的行動裝置有關，這些為2017年至2022年公布的第三方元件漏洞，有可能讓攻擊者在具有特殊權限的處理程序之中，任意執行程式碼，整體的CVSS風險評分為9.8，該公司發布2.2版韌體予以修補。</p> <p>特別的是，其餘漏洞多與工業應用程式管理平臺Ruggedcom APE1808有關。該公司在2則公告裡共提及45個漏洞，皆與該系統整合的次世代防火牆FortiGate有關，這些都是Fortinet公布的已知漏洞，整體的CVSS風險評分也達到9.8分。</p> <p>資料來源</p> <p>1. <a href="https://cert-portal.siemens.com/productcert/txt/ssa-770721.txt">https://cert-portal.siemens.com/productcert/txt/ssa-770721.txt</a><br /> 2. <a href="https://cert-portal.siemens.com/productcert/txt/ssa-832273.txt">https://cert-portal.siemens.com/productcert/txt/ssa-832273.txt</a><br /> 3. <a href="https://cert-portal.siemens.com/productcert/txt/ssa-366067.txt">https://cert-portal.siemens.com/productcert/txt/ssa-366067.txt</a></p> <p><a href="https://securityaffairs.com/160347/hacking/progress-software-openedge-critical-flaw.html"><strong style="font-size: 22px;">應用程式開發平臺OpenEdge存在身分驗證繞過漏洞</strong></a></p> <p></p> <p>2月底IT業者Progress針對應用程式開發平臺OpenEdge發布資安公告，指出該系統存在身分驗證繞過漏洞CVE-2024-1403，影響其身分驗證閘道 OpenEdge Authentication Gateway（OEAG）、管理伺服器（AdminServer）元件，一旦OEAG的網域設置在與OpenEdge系統相同的網域，使用者可透過作業系統本機身分驗證提供者產生的帳號進行登入，在OpenEdge進行身分驗證的例行流程存在弱點，而有可能導致未經授權的存取。</p> <p>此外，使用者若透過OpenEdge Explorer（OEE）或OpenEdge Management（OEM）元件連接管理伺服器，也有可能觸發這項漏洞。此漏洞的CVSS風險評分達到10分，該公司推出11.7.19版、12.2.14版、12.8.1版修補上述漏洞。</p> <p>3月6日資安業者Horizon3.ai公布漏洞的細節，以及概念性驗證（PoC）程式碼，並表示該漏洞有可能存在其他的攻擊面，使得攻擊者能用來遠端執行程式碼。</p> <p>資料來源</p> <p>1. <a href="https://community.progress.com/s/article/Important-Critical-Alert-for-OpenEdge-Authentication-Gateway-and-AdminServer">https://community.progress.com/s/article/Important-Critical-Alert-for-OpenEdge-Authentication-Gateway-and-AdminServer</a><br /> 2. <a href="https://www.horizon3.ai/attack-research/cve-2024-1403-progress-openedge-authentication-bypass-deep-dive/">https://www.horizon3.ai/attack-research/cve-2024-1403-progress-openedge-authentication-bypass-deep-dive/</a></p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.securityweek.com/adobe-patches-critical-flaws-in-enterprise-products/"><span style="font-size: 20px;">Adobe發布3月例行更新，修補Experience Manager、ColdFusion漏洞</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/acer-confirms-philippines-employee-data-leaked-on-hacking-forum/"><strong><span style="font-size: 20px;">宏碁菲律賓分公司傳出資料外洩，疑為外部供應商遭駭所致</span></strong></a></p> <p></p> <p><strong><a href="https://www.reversinglabs.com/blog/bipclip-malicious-pypi-packages-target-crypto-wallet-recovery-passwords"><span style="font-size: 20px;">駭客上傳惡意PyPI套件企圖竊取加密貨幣錢包</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/over-12-million-auth-secrets-and-keys-leaked-on-github-in-2023/"><strong><span style="font-size: 20px;">2023年近1,300萬組帳密資料在GitHub曝光</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/exploited-building-access-system-vulnerability-patched-years-after-disclosure/"><strong><span style="font-size: 20px;">公開5年的大樓門禁系統Nice Linear漏洞即將得到修補</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161727"><strong>【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161709"><strong>【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161668"><strong>【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</strong></a></p> </div></div></div>
2024/3/13 15:58作者周峻佑https://www.ithome.com.tw/news/161751
Meta公開其GenAI基礎設施，兩個叢集分別具備2.4萬個GPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2024/03/12/data-center-engineering/building-metas-genai-infrastructure/" target="_blank">Meta周二（3/12）公開</a>了該公司所使用的生成式人工智慧（GenAI）基礎設施，內含兩個各採用24,576個Nvidia H100 GPU的大型資料中心叢集，以及相關的網路、運算與儲存部署。</p> <p>其實Meta在2022年便曾揭露該公司所打造的AI叢集AI Research SuperCluster（RSC），當時便宣稱這是全球速度最快的超級電腦之一，它使用了1.6萬個Nvidia A100 GPU。</p> <p>而本周Meta所揭露的GenAI叢集雖然採用兩種不同的網路架構，但皆配備了24,576個Nvidia Tensor Core H100 GPU。Meta表示，這兩個叢集聚集於高效能的網路結構，使得它們可支持比RSC更大且更複雜的模型，可替未來發展先進GenAI產品開發及AI研究鋪路。</p> <p>Meta解釋，該公司每天要執行數百兆個AI模型，大規模地遞送相關服務需要非常先進且彈性的基礎設施，因而需要客製化自己的硬體、軟體及網路架構，以優化AI研究人員端到端的經驗，同時確保資料中心的高效運作，因而採用不同的網路設計。</p> <p>其中一個叢集是基於Arista 7800、Wedge400與Minipack2開放運算計畫（OCP）機架交換器的RDMA over Converged Ethernet（RoCE）解決方案，為一可透過乙太網路自遠端直接存取記憶體的網路協定，此一協定主要適用於諸如網路儲存或叢集運算等需要高頻寬與低延遲的網路基礎設施。</p> <p>另一個叢集則是採用Nvidia的Quantum2 InfiniBand架構，該架構同樣也是專為高效能運算的低延遲與高頻寬所設計。這兩個叢集的端點互連速度皆高達400 Gbps，採用不同網路架構將有利Meta評估不同類型的互連對大規模訓練的適用性及可擴展能力，以作為未來設計與建置更大規模叢集的參考。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0313-meta%20genai(2).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-meta%20genai(2).png" style="width: 558px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>除了網路架構之外，它們皆採用Meta內部設計、並已貢獻給開放運算計畫的GPU硬體平臺Grand Teton，該平臺是以許多不同世代的AI系統為基礎，並在單一的機箱中整合了電源、控制、運算與架構介面，以達到更好的效能、訊號完整性及熱效能。</p> <p>在儲存上則是採用基於Meta內部Tectonic分散式儲存解決方案的Linux Filesystem in Userspace（FUSE）API ，它滿足了AI叢集對資料與檢查點的需求，令數千個GPU得以同步保存及載入檢查點，同時提供資料載入時所需的彈性，以及EB儲存等級的吞吐量。</p> <p>Meta亦與Hammerspace共同開發一個平行網路檔案系統（NFS）部署，以迎合開發者對AI叢集的體驗需求。Hammerspace的優點之一是允許工程師可利用數千個GPU的資源進行任務的互動除錯，因為當程式有所變更時，此一環境中的所有節點都可立即存取。</p> <p>打造大規模AI叢集的挑戰之一為同時維持其高效能及易用性，於是Meta藉由比較小叢集與大叢集的效能來找出大叢集的瓶頸並將其優化。Meta坦承，在甫完成大叢集的部署之際，其最初效能很差且不一致，因而經由調整網路拓撲，並結合對Nvidia Collective Communications Library（NCCL）的變更來優化網路路由政策，以實現最佳的網路利用率，而讓大型叢集達到與小型叢集一樣出色的預期效能。</p> <p>Meta仍計畫持續建置並擴張大型GenAI叢集，計畫今年底便會擴大其基礎設施至包含35萬個Nvidia H100 GPU，並將創造等同於60萬個H100 GPU運算能力。</p> </div></div></div>
2024/3/13 17:12作者陳曉莉https://www.ithome.com.tw/news/161752
微軟3月Patch Tuesday修補60個安全漏洞，僅有兩個被列為重大等級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二（3/12）公布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Mar" target="_blank">3月Patch Tuesday</a>修補了60個安全漏洞，微軟本月並未修補零時差漏洞，也僅修補了兩個重大（Critical）等級的漏洞，它們皆涉及Windows Hyper-V，漏洞編號為CVE-2024-21408與CVE-2024-21407。</p> <p>Windows Hyper-V主要提供硬體虛擬化功能，允許使用者建立虛擬硬碟、虛擬交換器與其它虛擬設備，可於Windows上將多個作業系統以虛擬機器執行。</p> <p>其中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21408" target="_blank">CVE-2024-21408</a>為一服務阻斷漏洞，代表駭客可藉由該漏洞透過虛擬機器來攻擊主機，儘管被列為重大等級漏洞，但它的CVSS風險評分只有5.5，而且微軟認為它不太可能被開採。不過，微軟並未公布該漏洞的細節或是可能的攻擊流程。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21408" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21408.png" style="width: 530px;" /></a></p> <p>至於<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21407" target="_blank">CVE-2024-21407</a>則為一遠端執行漏洞，CVSS風險評分為8.1，允許於客座虛擬機器上經過身分驗證的駭客，向虛擬機器上的硬體資源傳送特定檔案的操作請求，進而在主機伺服器上執行遠端程式。成功的攻擊還需要先收集特定環境的資訊，也必須採取其它行動來準備目標環境。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21407" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21407.png" style="width: 590px;" /></a></p> <p>另一個被外界關注的漏洞則是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21400" target="_blank">CVE-2024-21400</a>，這是個位於Azure Kubernetes Service（AKS）機密容器的權限擴張漏洞，該漏洞允許駭客存取不受信任的AKS節點與AKS機密容器，以接管機密客座與容器，且發動相關攻擊並不需要通過身分驗證。該漏洞的CVSS風險評分高達9，但僅被微軟列為重要（Important）等級。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21400" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21400.png" style="width: 560px;" /></a></p> <p>本月CVSS風險評分最高、達到9.8的，則是位於Azure開放管理基礎設施（Open Management Infrastructure，OMI）的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21334" target="_blank">CVE-2024-21334</a>，OMI是個通用資訊模型的開源專案，該漏洞允許未經身分驗證的駭客自遠端存取OMI實例並傳送特定請求，以觸發一個釋放後使用漏洞，進而自遠端執行程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21334" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21334.png" style="width: 525px;" /></a></p> <p>微軟建議執行受影響SCOM版本的用戶，應升級至OMI 1.8.1-0，無法更新或升級的用戶，且其Linux機器不需連至外部資源，則可選擇關閉OMI的傳入連接埠。</p> </div></div></div>
2024/3/13 13:29作者陳曉莉https://www.ithome.com.tw/news/161747
【資安日報】3月12日，勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週JetBrains發布CI/CD開發工具TeamCity 2023.11.4版，當時修補2個高風險層級的身分驗證漏洞，並衍生該軟體業者與通報漏洞的研究人員對於漏洞公開出現意見不一致的狀況。如今，這些漏洞已被用於實際攻擊行動──資安業者GuidePoint在惡名昭彰的勒索軟體駭客「變臉」近期攻擊行動裡，發現駭客運用上述漏洞入侵目標組織，部署後門程式以進行後續攻擊行動。由於這項開發工具相當普及，且針對這套系統的攻擊行動這一年來越來越常出現，IT人員應儘速套用相關緩解措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.guidepointsecurity.com/blog/bianlian-gos-for-powershell-after-teamcity-exploitation/"><strong style="font-size: 22px;">「變臉」勒索軟體利用CI/CD開發工具TeamCity漏洞從事攻擊行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_Second_Layer_Ob.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Second_Layer_Ob.png" style="width: 300px; float: right;" /></a>3月4日<a href="https://www.ithome.com.tw/news/161631">JetBrains修補旗下CI/CD開發工具TeamCity的身分驗證繞過漏洞</a>CVE-2024-27198、CVE-2024-27199（CVSS風險評分為9.8、7.3），隔日Shadowserver基金會發現有嘗試利用漏洞的跡象，如今傳出有駭客組織將其用於攻擊行動。</p> <p>資安業者GuidePoint揭露勒索軟體駭客組織「變臉（BianLian）」近期的攻擊行動，指出駭客利用上述TeamCity漏洞得到受害組織網路環境的初始存取權限，然後在伺服器建立新的使用者帳號，並下達惡意命令，以便進行橫向移動及後續攻擊。</p> <p>值得留意的是，攻擊者於TeamCity伺服器嘗試部署數個Go語言打造的後門程式DLL檔案，但都被防毒軟體的特徵碼識別為有害並攔截，於是，對方又使用以PowerShell打造的後門程式，再度出手。</p> <p><a href="https://www.straitstimes.com/world/europe/french-state-hit-by-cyberattacks-of-unprecedented-intensity-media-reports"><strong style="font-size: 22px;">法國政府遭遇前所未有的網路攻擊，駭客組織Anonymous Sudan聲稱是他們所為</strong></a></p> <p></p> <p>3月11日法國總理艾塔爾（Gabriel Attal）辦公室證實，10日晚間有多個政府部門遭遇「前所未有強度」的網路攻擊，並指出11日下午攻擊造成的影響已經減弱，大部分受害網站已恢復服務。</p> <p>而對於攻擊者的身分，Anonymous Sudan等多個駭客組織在Telegram頻道宣稱，他們參與了這起攻擊行動，對法國政府的基礎設施進行分散式阻斷服務（DDoS）攻擊，並造成相當廣泛的損害。</p> <p>值得留意的是，雖然Anonymous Sudan曾表明，對俄羅斯不利的國家及組織將會是他們下手的目標，但有資安專家認為，目前無法確定這起資安事故與俄羅斯有關。</p> <p><a href="https://darktrace.com/blog/legitimate-services-malicious-intentions-getting-the-drop-on-phishing-attacks-abusing-dropbox"><strong style="font-size: 22px;">雲端檔案共享服務Dropbox遭到濫用，駭客將其用於網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/65e8f861abe07a7998dde93b_Screenshot 2024-03-06 at 3_11_26 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65e8f861abe07a7998dde93b_Screenshot%202024-03-06%20at%203_11_26%20PM.png" style="width: 300px; float: right;" /></a>威脅情報業者Darktrace指出，他們偵測到濫用雲端檔案共享服務Dropbox的網路釣魚攻擊，研究人員先是在1月25日發現由<a href="mailto:no-reply@dropbox">no-reply@dropbox</a>[.]com寄送的可疑電子郵件，目標是該公司SaaS平臺的16名內部使用者，這些電子郵件內含網路連結，一旦收信人點選，就會導向存放在Dropbox的PDF檔案，而該PDF文件含有另一個連結，將會把收信人帶往名為mmv-securitytop的網域，並要求在冒牌的微軟365登入網頁輸入帳密資料。</p> <p>研究人員指出，雖然他們的電子郵件安全系統過濾了這封信件，但攻擊者後續又在29日再次寄信，要求使用者開啟前一封信的PDF檔案。他們循線進行調查，發現攻擊者透過ExpressVPN、HideMyAss VPN等服務埋藏行蹤，並透過有效的Token繞過雙因素驗證（MFA）。</p> <p><a href="https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/"><strong style="font-size: 22px;">駭客組織Magnet Goblin鎖定甫公布的已知漏洞，散布惡意程式</strong></a></p> <p></p> <p>資安業者Check Point提出警告，他們發現以經濟利益為動機的駭客組織Magnet Goblin，專門利用甫被公布的已知漏洞，試圖在企業尚未修補的空窗期，入侵可透過網際網路存取的伺服器，從而在Windows與Linux電腦上植入自行開發的惡意程式，這些惡意程式包含了NerbianRAT、MiniNerbian，以及Warpwire JavaScript stealer。</p> <p>研究人員指出，這些駭客鎖定的漏洞很廣泛，包含SSL VPN系統Ivanti Connect Secure漏洞CVE-2023-46805、CVE-2024-21887、CVE-2024-21888、CVE-2024-21893，以及電子商務網站Magento漏洞CVE-2022-24086、資料圖像化分析系統Qlik Sense漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365。此外，他們發現駭客也疑似針對訊息導向中介軟體ActiveMQ、遠端桌面連線軟體ScreenConnect，出現攻擊的跡象。</p> <p><a href="https://blog.sucuri.net/2024/03/new-malware-campaign-found-exploiting-stored-xss-in-popup-builder-4-2-3.html"><strong style="font-size: 22px;">WordPress外掛程式Popup Builder已知漏洞遭到利用，對3,300個網站植入惡意程式</strong></a></p> <p></p> <p>今年1月資安業者Sucuri發現鎖定WordPress網站的攻擊行動Balada Injector，當時駭客針對外掛程式Popup Builder的已知漏洞CVE-2023-6000（CVSS風險評分為6.1）而來，至少有6,700個網站受到影響。</p> <p>3月7日研究人員提出警告，針對上述漏洞的攻擊行動，最近3週出現再度升溫的現象，他們在1,170個網站偵測到Balada Injector，他們透過PublicWWW網站進行掃描，結果發現超過3,300個網站受害。</p> <p> </p> <div> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202403110084.aspx"><strong style="font-size: 22px;">為協助臺灣產業加入國際衛星通訊領域供應鏈，工研院聯手美國在臺協會舉辦資安研討會</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/4CA9D567-B0D2-4590-B975-91BBEA00A7A2_圖一_20240311_30.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4CA9D567-B0D2-4590-B975-91BBEA00A7A2_%E5%9C%96%E4%B8%80_20240311_30.jpg" style="width: 300px; float: right;" /></a>3月8日美國在台協會（AIT）、太空中心（TASA）、工研院（ITRI）、台灣太空產業發展協會（TSIDA）、台灣低軌衛星產業聯誼會（TLEOSIA）聯手，舉辦「台美衛星資訊安全國際研討會」，聚焦國際衛星通訊供應鏈資安趨勢，吸引進百位產官學研代表與會。</p> <p>工研院指出，本次研討會的主要目的在於，幫助國內業者了解最新衛星通訊資安知識與需求，促進資訊安全系統整合，增加國際合作機會，進而讓臺灣廠商有更多機會加入國際乾淨供應鏈，提升我國對太空安全挑戰的應對能力。</p> <p>資料來源</p> <p>1. <a href="https://www.itri.org.tw/ListStyle.aspx?DisplayStyle=01_content&SiteID=1&MmmID=1036276263153520257&MGID=113031110401892043">https://www.itri.org.tw/ListStyle.aspx?DisplayStyle=01_content&SiteID=1&MmmID=1036276263153520257&MGID=113031110401892043</a><br /> 2. <a href="https://tsida.tw/news_detail_207.html">https://tsida.tw/news_detail_207.html</a></p> <p><a href="https://www.broadcom.com/blog/broadcom-brings-together-two-proven-portfolios-to-deliver-complete-hybrid-cloud-cybersecurity"><strong style="font-size: 22px;">博通打算將賽門鐵克、Carbon Black整併，成立新的企業資安業務部門</strong></a></p> <p></p> <p>去年博通（Broadcom）完成對VMware的併購，並打算出售旗下的資安公司Carbon Black，今年2月底傳出決策大轉彎，因為他們暫停賣掉該公司的計畫，但最近又有新的進展。</p> <p>3月7日博通宣布，他們決定將Carbon Black與旗下另一家資安業者賽門鐵克合併，組成博通新的企業資安部門，將對這兩個品牌進行重大投資，並表明他們將投資研發，改善、延長客戶產品的使用壽命。在這次公布的訊息當中，博通也特別提及人才的部分，預告他們將在工程研發層面進行大量投資，並指出這兩家資安公司都在印度有工程研發據點，強調他們打算挹注更多資源，沒有打算縮減員工人數。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161658"><strong style="font-size: 22px;">擔憂危害國家安全，美國眾議院要求抖音脫離母公司字節跳動</strong></a></p> <p></p> <p>2020年8月美國前總統川普以國安為由發布行政命令，表明除非美國公司接手抖音（TikTok），否則將封鎖該短影音平臺進入美國市場，最後不了了之，現任總統拜登也在2021年撤銷禁令，但最近這項議題重新受到眾議院關注。</p> <p>3月5日中國共產黨戰略競爭特別委員會（Select Committee on the Chinese Communist Party）在美國眾議院提出<a href="https://selectcommitteeontheccp.house.gov/media/press-releases/gallagher-bipartisan-coalition-introduce-legislation-protect-americans-0">《保護美國人免受外國對手應用程式侵害法案（Protecting Americans from Foreign Adversary Controlled Applications Act）》</a>，其中提及抖音等由字節跳動（ByteDance）經營的應用程式，由於這類應用程式可能會受到中國政府控制，而構成國家安全風險，除非這些應用程式透過撤資的方式與中國企業脫鉤，否則他們將禁止這類應用程式在美國提供服務。值得留意的是，上述法案由民主黨與共和黨兩黨議員共同提出，不再只是特定黨派的意見。</p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://posts.specterops.io/misconfiguration-manager-overlooked-and-overprivileged-70983b8f350d"><span style="font-size: 20px;">研究人員針對微軟組態管理系統SCCM不當配置造成的威脅提出警告，並提供檢測工具</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-leather-wallet-app-on-apple-app-store-is-a-crypto-drainer/"><strong><span style="font-size: 20px;">蘋果應用程式市集App Store出現冒牌的Leather加密貨幣錢包</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/okta-says-data-leaked-on-hacking-forum-not-from-its-systems/"><span style="font-size: 20px;">駭客聲稱握有Okta去年資安事故外流客戶資料，遭到該公司否認</span></a></strong></p> <p></p> <p><a href="https://tuta.com/blog/post-quantum-cryptography"><strong><span style="font-size: 20px;">加密電子郵件服務Tuta Mail採用量子加密協議保護電子郵件</span></strong></a></p> <p><a href="https://sites.google.com/view/compromptmized"><strong><span style="font-size: 20px;">研究人員打造能針對生成式AI發動攻擊的蠕蟲程式</span></strong></a><a href="https://sites.google.com/view/compromptmized"><strong><span style="font-size: 20px;">ComPromptMized</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161709"><strong>【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161668"><strong>【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161657"><strong>【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</strong></a></p> </div></div></div>
2024/3/12 18:12作者周峻佑https://www.ithome.com.tw/news/161727
【資安週報】2024年3月4日到3月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧這一星期的資安新聞前，先來聊聊最近臺灣上市櫃公司接連發布資安事件重大訊息的現況，最近我們發布的封面故事，就是特別以此為題的報導與探討，當中整理出2023年臺灣上市櫃公司有23起資安事件相關重大訊息，並得知這些資安事故的背後，多半是勒索攻擊造成，另一方面，早已不斷受媒體關注的個資外洩消息，近一年也登上重訊版面，在我們進一步追蹤下，更是發現先前諾貝兒、雄獅遭網路駭客攻擊事件的後續消息，就有因個資外洩受個資法的情形，且開罰金額已經提高至200萬，不同於過去的20萬。</p> <p>這些現象的出現，在在突顯企業經營層在看待營運風險時，需更重視勒索攻擊的危害，以及個資外洩的影響。特別的是，在我們與證交所聯繫過程中，還發現資安事件「重大性」的認定，已有明確標準可依循，上市公司的部分在1月已經完成相關修訂，上櫃公司的部分也確定即將發布。</p> <p>在關注企業揭露資安事件之餘，我們還有不同資安領域的消息需要重視。</p> <p>在本星期的漏洞利用消息方面，有3個重點，企業需優先因應的是蘋果與JetBrains的漏洞。<br /> （一）蘋果修補多款產品的2個記憶體損壞漏洞CVE-2024-23225、CVE-2024-23296，都是已遭鎖定攻擊的零時差漏洞。<br /> （二）JetBrains修補旗下CI/CD軟體平臺TeamCity的兩個漏洞，特別的是，由於該公司沒有知會通報漏洞的Rapid7、私下修補且不公開漏洞，使得Rapid7同日公開漏洞細節。後續，外界發現漏洞CVE-2024-27198已遭鎖定利用。<br /> （三）兩個老舊漏洞近期發現遭鎖定利用，包括：2021年8月的Sunhillo SureLine OS命令列注入漏洞（CVE-2021-36380），以及去年6月的Android Pixel資訊揭露漏洞（CVE-2023-21237）。本期資安日報尚未提及，在此補上。<br /> 其他可留意的漏洞修補消息，包括VMware修補旗下多款產品的4個重大漏洞，以及臉書修補密碼重置漏洞。</p> <p>在資安事件焦點方面，一開始提及勒索軟體與個資外洩的威脅態勢，本週也有多起這方面的新聞報導，我們整理如下：<br /> ●勒索軟體駭客組織Dunghill在2月29日聲稱入侵上櫃公司安瑞科技，我們取得安瑞的回應，他們表示子公司Array US於3月1日，偵測到資訊系統遭受病毒攻擊。目前調查未有客戶敏感資料外洩，也不影響營運。<br /> ●美國CISA等多個機構針對近期勒索軟體Phobos的攻擊態勢提出警告，2月有新的變種出現，主要鎖定關鍵基礎設施、地方政府、急難、教育與醫療單位。<br /> ●去年底Line用戶個資外洩事件有後續消息，原因是LYC與關係企業Naver Cloud因部分系統共用，而雙方於韓國採用的外包廠商，其員工電腦遭到惡意程式感染，因此最近日本總務省要求兩家公司應切割IT基礎架構。<br /> ●美國運通向客戶通知發生資料外洩事件，原因是第三方信用卡交易處理服務提供商的系統遭駭客入侵，導致有未經授權存取的情況。</p> <p>還有一項針對我國而來的攻擊活動，需要大家關注。繼月前有資安業者Trellix發布報告，指出臺灣總統大選投票前一天所遭受的網路攻擊大幅增加，近日又有趨勢科技揭露這方面的態勢，指出中國駭客組織Earth Lusca在去年12月至今年1月的新一波攻擊活動中，會使用地緣政治議題為誘餌來發動網釣攻擊，並且其內容疑似盜用未發表的專家文章。由於研究報告中提到相關文章遭盜用、相關政治專家或所屬組織可能遭入侵，我們認為，上述人士需趕緊檢視自身裝置、帳號的防護，避免受害卻仍不自覺。</p> <p style="margin: 0px;">在資安防禦態勢上，我們注意有3個重點，主要針對開發安全與LLM的安全。</p> <p>首先，開發者要注意！最近GitHub將去年推出的推送保護（Push Protection）功能，改為預設啟用。特別的是，我們發現GitHub在宣布此消息之餘，同時提到他們最近在公開儲存庫掃描時的發現：今年已偵測到上百萬筆機密資料洩漏（API金鑰、令牌與各種機密），如此大量只發聲在短兩個月內。此一情形，很有可能就是現在將Push Protection改為預設啟用的原因。</p> <p>此外，前幾年美國白宮邀科技大廠解決開源安全問題時，改用記憶體安全程式語言，就是十大重點工作之一，最近美國白宮更是發布相關報告，親自呼籲科技界主動減少網路攻擊面，不要使用缺乏記憶體安全相關功能的C和C++。這樣的態勢值得臺灣政府及所有IT資訊產業關注，畢竟要打造可信賴的供應鏈生態體系，軟體開發安全亦是關鍵，尤其是各種可濫用的軟體漏洞中，記憶體安全漏洞佔了絕大多數，因此是所有程式開發相關都要設法克服的挑戰。</p> <p>最後是大型語言模型（LLM）當紅，如今面對提示詞注入、模型拒絕服務，以及敏感資訊洩漏這三種模型攻擊，如何設法應對成挑戰，最近開始有資安業者發表可應對這些威脅的網頁應用防火牆（WAF），Cloudflare指出，其作用可阻擋有問題的請求輸入模型，並具備敏感資料偵測能力，可用於阻止在回應中洩漏機密資料，另一方面，也可阻止使用者將資料傳送到公用LLM。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/161590"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</span></strong></a></h3> <p>投資詐騙的攻擊行動可說是相當氾濫，而過往研究人員察覺的資安事故當中，多半是涉及駭客如何引誘使用者上當，但最近有新型態的攻擊手法出現。</p> <p>已經暗中進行超過2年的駭客組織Savvy Seahorse攻擊行動，就是這種例子，對方濫用網域名稱服務（DNS）的CNAME紀錄打造惡意流量分配系統（Traffic Distribution System，TDS），而能精確鎖定目標下手。</p> <p><a href="https://www.ithome.com.tw/news/161613"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月5日】中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊</span></strong></a></p> <p>上個月有資安業者Trellix揭露針對臺灣總統大選而來的網路攻擊行動，並指出攻擊行動在投票日前24個小時達到高峰，駭客的目的是收集特定候選人情資。而針對這場選舉而來的網路攻擊不僅止於此，最近有研究人員公布與此有關的資安威脅活動。</p> <p>趨勢科技近期公布中國駭客組織Earth Lusca的網路釣魚攻擊，巧合的是，這起事故發生在選舉前2天，駭客疑似透過地緣政治議題來引誘使用者上鉤。</p> <h3><a href="https://www.ithome.com.tw/news/161636"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</span></strong></a></h3> <p>2月下旬公布的ScreenConnect漏洞CVE-2024-1709、CVE-2023-1708，不久後就傳出遭到利用，而且利用這些漏洞的主要是勒索軟體駭客組織，最初被發現的是甫被執法單位圍剿基礎設施的LockBit，但隨後也傳出Black Basta、Bl00y兩個組織將漏洞用於攻擊行動。</p> <p>但現在也有國家級駭客加入行列，將這項漏洞用於散布惡意軟體。Kroll旗下的威脅情報團隊發現，北韓駭客組織Kimsuky將其用於散布新的後門程式。</p> <h3><a href="https://www.ithome.com.tw/news/161657"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</span></strong></a></h3> <p>日前科技巨頭Meta旗下的社群網站臉書、Instagram、Threads同時傳出無預警大當機的情況，引起全球各界關注，但Meta始終並未說明如何發生，而這樣的情況，可能讓駭客有機可乘，假借這類事故拉擡自己的聲勢。</p> <p>資安業者Cyberint發現，有3個從事DDoS攻擊的駭客組織表示是他們造成這起大當機事故，但研究人員目前尚未找到相關證據。</p> <h3><a href="https://www.ithome.com.tw/news/161668"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</span></strong></a></h3> <p>我們之前報導過針對雲端運算環境從事挖礦行為的攻擊行動，駭客通常運用這類環境常見的應用系統而來，利用配置不當或是尚未修補的已知漏洞入侵這些伺服器。</p> <p>值得留意的是，駭客對於Docker、Hadoop、Redis，或是Confluence伺服器發動攻擊的情況，不時傳出有關事故，但在最近一起資安事故當中，駭客同時鎖定上述4種環境下手。</p> <p>在資安防禦態勢方面，<br /> 記憶體安全程式語言持續受重視，最近再次美國國家網路主任辦公室（ONCD）呼籲</p> </div></div></div>
2024/3/11 09:45作者羅正漢https://www.ithome.com.tw/news/161700
【資安日報】3月11日，為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊行動更為隱密，攻擊者建立網路隧道（Tunnel），從而埋藏攻擊流量的情況，研究人員已經發現多起這種類型的攻擊行動，其中最常針對部分，就是利用DNS打造這類通道來達成目的。</p> <p>但最近出現一種新型態的攻擊手法引起研究人員關注，駭客使用的是虛擬化平臺QEMU來達到目的，從而繞過受害組織的資安防護措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/network-tunneling-with-qemu/111803/"><strong style="font-size: 22px;">虛擬化平臺QEMU遭到濫用，駭客設置網路通訊隧道，目的是藉此隱匿攻擊流量</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/QEMU_persistence_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QEMU_persistence_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露濫用硬體模擬器QEMU的攻擊行動，他們在著手調查事故時，發現較為罕見的攻擊手法，駭客在常見的Angry IP Scanner、Mimikatz等作案工具之外，亦使用了QEMU，但對方並未掛載Live CD或是磁碟映像檔，而是將其用於建置網路隧道，企圖隱匿攻擊行動。</p> <p>但究竟駭客如何運用這套工具？研究人員推測，攻擊者在自己的伺服器部署虛擬機器（VM），然後從受害組織的內部環境攻入可連上網際網路的電腦，偷偷將QEMU安裝到這些設備，並執行上述的遠端VM，從而打造網路隧道來存取企業網路環境裡的其他內部系統。</p> <p>值得一提的是，為了避免受害主機的硬體資源使用出現顯著變化而東窗事發，這些駭客擅自建立的虛擬機器僅配置1 MB記憶體，並以無使用者圖形介面（GUI）的模式執行QEMU。</p> <p><a href="https://www.cybereason.com/blog/unboxing-snake-python-infostealer-lurking-through-messaging-service"><strong style="font-size: 22px;">Python竊資軟體Snake散播增加新管道！攻擊者開始運用臉書即時通訊軟體Messenger進行誘騙</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/snake-infostealer-blog-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/snake-infostealer-blog-1.jpg" style="width: 300px; float: right;" /></a>資安業者Cybereason揭露名為Snake的竊資軟體攻擊行動，駭客疑似透過臉書即時通訊軟體Messenger發送訊息，尋找攻擊目標，並引導使用者下載RAR或ZIP壓縮檔，其內容包含BAT批次檔案，功能是透過curl下載另一個ZIP檔案，然後執行PowerShell命令Expand-Archive，從前述壓縮檔取得vn.cmd，並用於執行後續的攻擊行動。而這個CMD檔案的用途，就是在受害電腦植入Snake。</p> <p>此竊資軟體以Python打造而成，駭客濫用程式碼儲存庫GitHub、GitLab存放惡意程式檔案，並將從受害者電腦收集的帳密資料傳送到Discord、GitHub、Telegram。</p> <p>特別的是，研究人員發現駭客維護3種版本的Snake，其中2種是Python指令碼，第3種由PyInstaller封裝而成的可執行檔。根據駭客竊取資訊的主要目標是越南知名的瀏覽器Coc Coc，再加上部分功能函數的命令與越南語有關，研究人員推測，攻擊者很可能來自越南。 </p>  <p><a href="https://www.welivesecurity.com/en/eset-research/evasive-panda-leverages-monlam-festival-target-tibetans/"><strong style="font-size: 22px;">中國駭客組織Evasive Panda入侵藏傳佛教節日網站、藏文翻譯應用程式，鎖定亞洲用戶而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-10-loading-chain-of-certificate-exe.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-10-loading-chain-of-certificate-exe.jpeg" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織的網路間諜活動，對方利用藏傳佛教節日「神變月（Monlam Festival）」為誘餌，針對多個國家、地區的圖博人士發動攻擊。</p> <p>駭客破壞位於印度、推廣藏傳佛教的網站，並埋入惡意指令碼，然後將其用於水坑式攻擊，並且入侵圖博軟體公司的供應鏈。一旦發現使用者來自臺灣、香港、印度、澳洲、美國，就會顯示假的錯誤網頁，要求下載檔名為certificate的「修正程式」，此為惡意程式載入工具，以便攻擊者為下個階段做準備。研究人員循線進行調查，發現駭客於去年9月入侵也在印度、開發藏文翻譯軟體的公司網站，並在網站裡儲存數個木馬應用程式，用途是對受害電腦散布Windows或macOS惡意程式載入工具。附帶一提，攻擊者也濫用圖博新聞網站Tibetpost代管惡意酬載。</p> <p>研究人員在這起攻擊行動裡，發現駭客最終對Windows電腦散布MgBot、Nightdoor等後門程式，而在Mac電腦的攻擊方式，對方則是植入多款尚未命名的惡意程式。根據駭客使用的惡意程式，再加上C2伺服器的IP位址，研究人員指出攻擊者的身分是Evasive Panda，並指出對方先前在攻擊臺灣宗教組織的行動中，也曾使用MgBot、Nightdoor。</p> <p><a href="https://pixmsecurity.com/blog/uncategorized/us-public-school-districts-targeted-mfa-spear-phishing-campaigns-on-the-rise"><strong style="font-size: 22px;">駭客組織Tycoon與Storm-1575狼狽為奸，鎖定美國學校從事網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/phaas.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/phaas.png" style="width: 300px; float: right;" /></a>駭客組織在從事網路犯罪行為進行分工，提供不同作案工具的情況，最近有研究人員揭露其樣貌。資安業者Pixm揭露從去年11月出現的網路釣魚攻擊，參與攻擊行動的駭客組織主要是Tycoon和Storm-1575，目標是美國公立學區的從業人員，自12月開始，相關攻擊行動出現大幅增加的現象。</p> <p>根據他們的調查，對方寄送釣魚郵件，聲稱以安全為由要求收信人變更密碼，若是照做，收信人會被導向Cloudflare圖靈驗證系統（CAPTCHA），以及偽造的微軟登入網頁，一旦收信人輸入帳密資料，攻擊者就有可能進行對手中間人攻擊（AiTM），將資料傳輸到正牌的登入網頁，並進行雙因素驗證，從而挾持收信人的微軟帳號。</p> <p>研究人員指出，上述兩個組織都架設了網釣工具的服務平臺（Phishing-as-a-Service，PhaaS），Tycoon的平臺phishingkit主要是能夠繞過雙因素驗證（MFA），而Storm-1575則是設置名為Phoenix Panel（原名dadsec）的平臺，從事對手中間人攻擊。 </p> <p><strong style="font-size: 22px;">WordPress有多個外掛程式陸續遭揭漏資安漏洞</strong></p> <p></p> <p>綜合資安業者Snicco、Wordfence、Patchstack的研究與分析，在WordPress眾多外掛程式當中，有３個陸續被揭露漏洞，這些工具包含：用於佈景主題的Bricks Builder、會員系統Ultimate Member、網站效能LiteSpeed Cache存在漏洞。</p> <p>這些弱點的嚴重性偏高，例如，Bricks Builder有RCE漏洞CVE-2024-25600（CVSS風險評分9.8），Ultimate Member有SQL注入漏洞CVE-2024-1071（CVSS風險評分9.8），LiteSpeed Cache有跨網站指令碼漏洞CVE-2023-40000，風險評分尚未確定，但因為安裝此工具的網站數量高達5百萬臺，因此也需多加留意。</p> <p>值得留意的是，CVE-2024-25600已被用於攻擊行動。Patchstack於2月14日偵測到嘗試利用漏洞的跡象，並指出攻擊者透過惡意軟體停用Wordfence、Sucuri等資安業者提供的外掛程式；Wordfence也發現相關攻擊行動，他們在19日表示，已在過去24小時封鎖5起攻擊行動。</p> <p>資料來源</p> <p>1. <a href="https://snicco.io/vulnerability-disclosure/bricks/unauthenticated-rce-in-bricks-1-9-6">https://snicco.io/vulnerability-disclosure/bricks/unauthenticated-rce-in-bricks-1-9-6</a><br /> 2. <a href="https://www.wordfence.com/blog/2024/02/2063-bounty-awarded-for-unauthenticated-sql-injection-vulnerability-patched-in-ultimate-member-wordpress-plugin/">https://www.wordfence.com/blog/2024/02/2063-bounty-awarded-for-unauthenticated-sql-injection-vulnerability-patched-in-ultimate-member-wordpress-plugin/</a><br /> 3. <a href="https://patchstack.com/articles/xss-vulnerability-in-litespeed-cache-plugin-affecting-4-million-sites/">https://patchstack.com/articles/xss-vulnerability-in-litespeed-cache-plugin-affecting-4-million-sites/</a><br /> 4. <a href="https://patchstack.com/articles/critical-rce-patched-in-bricks-builder-theme/">https://patchstack.com/articles/critical-rce-patched-in-bricks-builder-theme/</a><br /> 5. <a href="https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/bricks/bricks-196-unauthenticated-remote-code-execution">https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/bricks/bricks-196-unauthenticated-remote-code-execution</a></p> <p><a href="https://msrc.microsoft.com/blog/2024/03/update-on-microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/"><strong style="font-size: 22px;">針對俄羅斯駭客Midnight Blizzard入侵事故，微軟公布更多調查結果，指出駭客擴大攻擊力道</strong></a></p> <p></p> <p>1月19日微軟證實遭遇俄羅斯駭客組織Midnight Blizzard入侵，該組織企圖透過高階主管與資安人員的電子郵件來打聽情報，如今該公司公布後續的調查結果。3月8日微軟表示，他們找到對方利用電子郵件系統進行未經授權存取的證據，目的是存取原始碼儲存庫及內部系統，不過，截至目前為止他們並未發現面向客戶的系統遭到入侵的跡象。</p> <p>此外，他們也發現駭客嘗試挖掘不同類型的機敏資訊，部分是來自與客戶往來的郵件。值得留意的是，駭客似乎投入了更多資源對其發動攻擊，因為2月發動的密碼潑灑（Password Spray）等多種類型的攻擊數量大增，比起前一個月成長10倍。</p> <p> </p> <div> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;">Google發布3月安卓例行更新，修補系統元件、高通晶片的重大漏洞</strong></p> <p></p> <p>3月4日Google發布本月份的安卓例行修補，總共修補38個漏洞，13個涉及作業系統的框架與系統層面，25個與第三方元件有關。</p> <p>其中有2個作業系統本身的漏洞被列為重大層級而受到關注，這些漏洞存在於安卓12至14版作業系統，皆為系統層面的漏洞，CVE-2024-0039可被用於遠端執行任意程式碼（RCE），另一個則是CVE-2024-23717，攻擊者可用於提升權限。</p> <p>而在第三方元件的部分，存在高通於閉源元件的CVE-2023-28578，其威脅嚴重性被列為重大層級，此為記憶體中斷的弱點，在晶片核心服務執行單一事件監聽器移除的工作時出現，CVSS風險評分為9.3。</p> <p>資料來源</p> <p>1. <a href="https://source.android.com/docs/security/bulletin/2024-03-01">https://source.android.com/docs/security/bulletin/2024-03-01</a><br /> 2. <a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/march-2024-bulletin.html">https://docs.qualcomm.com/product/publicresources/securitybulletin/march-2024-bulletin.html</a></p> <p><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-24-09"><strong style="font-size: 22px;">威聯通修補NAS重大層級身分驗證漏洞</strong></a></p> <p></p> <p>3月9日網路儲存設備業者威聯通（QNAP）發布資安通告，他們針對NAS作業系統QTS、QuTS hero、QuTScloud，以及NAS設備雲端管理平臺myQNAPcloud修補3項漏洞CVE-2024-21899、CVE-2024-21900、CVE-2024-21901。</p> <p>這些漏洞當中，危險程度最高的是重大層級的CVE-2024-21899，此為身分驗證不當漏洞，一旦攻擊者加以利用，就有可能透過網際網路入侵系統的安全機制，CVSS風險評分為9.8。</p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.vsd.lt/en/reports/china/china-intensifies-intelligence-activities-against-lithuania-from-its-territory/"><span style="font-size: 20px;">立陶宛針對中國網路間諜行動提出警告，駭客意圖收集總統選舉、議會選舉情報</span></a></strong></p> <p></p> <p><a href="https://www.hackread.com/hacker-breach-federal-contractor-acuity-ice-uscis-data/"><strong><span style="font-size: 20px;">美國移民主管機關的IT承包商傳出遭駭，敏感資料流入駭客論壇</span></strong></a></p> <p></p> <p><strong><a href="https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/"><span style="font-size: 20px;">駭客組織Magnet Goblin鎖定甫公布的已知漏洞，散布惡意程式</span></a></strong></p> <p></p> <p><a href="https://www.resecurity.com/blog/article/lockbit-30s-bungled-comeback-highlights-the-undying-risk-of-torrent-based-data-leakage"><strong><span style="font-size: 20px;">勒索軟體駭客組織LockBit捲土重來，透過種子檔案散布竊得資料</span></strong></a></p> <p></p> <p><a href="https://openssf.org/blog/2024/03/07/guac-joins-openssf-as-incubating-project/"><strong><span style="font-size: 20px;">OpenSSF接手主導軟體安全評估工具專案GUAC</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161668"><strong>【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161657"><strong>【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161636"><strong>【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</strong></a></p> </div></div></div>
2024/3/11 16:36作者周峻佑https://www.ithome.com.tw/news/161709
Arm資料中心運算平臺Neoverse邁入第三代，正式增設結合CPU與系統IP的運算子系統
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/arm_neoverse_css-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月15日微軟在年度IT專業人員大會Ignite期間，突然宣布推出自行設計的Arm架構處理器Azure Cobalt，第一代產品Cobalt 100將內建128顆核心，展現Arm架構具有能源使用效益的設計之餘，相較於現行Azure雲端服務所搭配的Arm處理器，新的晶片運算效能領先幅度可達到40％，而且，正用於支撐Microsoft Teams、Azure SQL等服務。微軟表示，坐落在美國華盛頓州昆西市的Azure資料中心，已率先建置多臺採用Azure Cobalt 100的伺服器。</p> <p>在此之前，微軟Azure在2022年4月宣布將推出Arm架構執行個體服務，也就是Dpsv5系列、Dplsv5系列、Epsv5系列，當中搭配的處理器是Ampere Computing公司的Altra系列，而且是基於Arm Neoverse N1矽智財平臺而成的，同年9月，這批雲端服務正式上線。</p> <p>經過一年多之後，微軟後續發表自有品牌的Arm處理器Azure Cobalt 100，外界都在好奇這家長期發展軟體與雲端服務的公司，憑什麼具有設計這類產品的能力。事實上，在2015到2018年之間，他們與伺服器處理器與FPGA大廠英特爾合作，打造兩代SmartNIC加速網路環境，到了2023年初，微軟突然宣布併購資料處理器（DPU）新創公司Fungible，但這些舉動並不足以回答上述問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt-2023-11.jpg" style="width: 600px;" /></p> <blockquote><p>去年11月，全球雲端服務大廠微軟突然宣布推出Arm架構處理器，名為Azure Cobalt 100，這款產品正是基於Arm Neoverse CSS而成，向市場昭告開發特製晶片的設計門檻將大幅降低。</p> </blockquote> <p>答案在Arm發布的新聞稿揭曉！Arm 資深副總裁暨基礎設施事業部總經理 Mohamed Awad表示，Azure Cobalt 100是充分運用Neoverse CSS平臺而成，繼續享有基於Arm架構發展的強大軟體生態的同時，在這樣的設計方式之下，微軟可以省下更多時間與開發心力，專心拓展更多獨特的技術創新與最佳化調校方式。</p> <p>他強調，對於微軟這樣的大型雲端業者而言，透過Neoverse CSS的提供，可協助他們組建與部署自行設計的矽晶片，而且能善用Arm持續發展、可廣泛支援多種應用領域的技術平臺，重新思考運算的樣態，採取更有戰略優勢的決策，促使整個產業更容易推動各種創新。</p> <p>今年2月下半Arm發表基於新一代Neoverse矽智財的Neoverse CSS之際，更進一步說明雙方的合作概況。</p> <p>Arm基礎設施事業部產品解決方案副總經理 Dermot O'Driscoll表示，他們之所以建立Neoverse CSS這樣的計畫，目的是提供用戶對於矽晶片技術堆疊的控制能力，就如同他們目前能夠控制軟體與系統的技術堆疊；同時，CSS本身是一種密切的協同運作關係，合作廠商強烈希望Arm將晶片設計方式提升到新的層次，而微軟Azure Cobalt的推出，正好呈現了這樣的關係：Arm開發Neoverse CSS N2，並與微軟共同合作設計，而成果就是Azure Cobalt 100處理器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cobalt-Arm%20CSS%20Neoverse%20N2.jpg" style="width: 600px;" /></p> <p>他強調，Neoverse CSS N2的組建，主要是著眼於雲端橫向擴展規模類型的市場需求，當中需滿足多種應用情境，而採用這種技術的系統可部署為高效能的公有雲環境，或調整為服務用戶內部環境的超大型工作負載；而對於其他用戶而言，也能善用這個新的抽象化設計層級，促使矽晶片更快推出。</p> <p>因此，他認為從超大型業者到新創公司，CSS將成為大家都能夠倚重的作法，可將技術應用創新推升到新的高度，基於這樣的理由，Arm決定進一步擴充這類型的產品線，宣布推出新的CSS平臺：Neoverse CSS N3系列、Neoverse CSS V3系列。</p> <h3><span style="color:#0000FF;"><strong>CSS N2初試啼聲，Arm發表第一代運算子系統</strong></span></h3> <p>何謂Neoverse CSS？全名為Neoverse運算子系統（Neoverse Compute Subsystems），是在2023年8月Hot Chips年度大會發表的新型態矽智財平臺，而且以「CSS-Genesis」稱呼第一款產品Neoverse CSS N2，象徵這系列解決方案的發展，將對於整個市場將帶來重大而深遠的影響，並強調Neoverse CSS N2可用於特製矽晶片的組建設計，提供所有運算子系統元件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20N2-overview-2023-08.png" style="width: 600px;" /></p> <p>簡而言之，Neoverse CSS是Arm針對Neoverse晶片架構的設計，提供預先整合與通過驗證的組態，目的是減少開發成本、縮短上市時間。有了運算子系統這類型的設計方案，對於與Arm合作的公司與組織而言，不僅有能力自行組建各種特製的矽晶片，享有頂尖的能源使用效率、延展性、多核心運算，以及強大的軟體生態，比起搭配個別的矽智財，導入CSS可獲得許多效益，像是耗費的成本更低、面臨的設計失敗風險更小、上市時間更短，使Arm發揮所長，相對地，用戶能夠將自身的資源與心力集中在關鍵差異，以便突顯優勢。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS-2023-10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS-2023-10-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS-2023-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS-2023-10-2.jpg" style="width: 298px;" /></a></p> <p>而在今年2月Arm發表更多運算子系統，也針對這個產品概念提出更多詮釋。Arm基礎架構事業部行銷副總裁Eddie Ramirez 表示，CSS整合Arm旗下多種矽智財，是針對耗電量、效能與外形尺寸調校之後的最佳組態，而且這樣的設計能夠非常容易用於先進製程，所以Arm在此提供的是用於特製系統單晶片的基本組建模塊，可透過頂尖的效能與技術實現這樣的設計。</p> <p>但Eddie Ramirez也強調，CSS並非用來組建最終版本的矽晶片，因為，這當中仍需要搭配第三方的矽智財，提供記憶體與I/O的搭配選擇，同時，也需要與EDA工具廠商合作，以便將CSS設計流程調校至最佳狀態，所以必須與整個業界保持緊密合作關係。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS-features.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS-features.jpg" style="width: 600px;" /></a></p> <blockquote><p>Arm Neoverse CSS的推出，目的是促使特製矽晶片的過程能夠更快、更容易進行，合作廠商可將心力聚焦在系統層級工作負載差異化，例如軟體調校、自定加速機制，用戶也將得到多種效益，例如，更快推出產品、降低工程成本，並且善用頂尖的處理器技術。</p> </blockquote> <p>因此，基於CSS這樣的產品，Arm可提供完整平臺，並藉由整個系統單晶片設計生態系的幫助，而能使業者與用戶得以整合所有最先進的技術，包括第三方矽智財、小晶片技術、商業軟體與韌體。目前Arm正在發展可涵蓋各個層面的設計流程，以強化整個生態系的力量，進而將這些解決方案供應市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20works-2023-08.png" style="width: 600px;" /></p> <p>檢視Arm推出的第一代運算子系統產品是Neoverse CSS N2，顧名思義，當中將提供組態預先整合與驗證的Neoverse N2平臺，而且功耗、性能及晶片面積（PPA）皆導入最佳設計，使Neoverse N2兼具每瓦效能、快速上市、已針對5奈米先進製程調校的特色，從而以「自定運算子系統（customizable compute subsystem）」的形式交付至合作廠商。Arm表示，這些業者可在記憶體、I/O、加速運算、實體拓樸等領域，進行不同的變化，建立產品差異，並且充分因應針對不同工作負載進行最佳化調校的晶片設計需求。</p> <p>關於設計負擔的減輕，Arm表示，若採用Neoverse CSS N2，合作廠商的工程資源可聚焦在系統單晶片（SoC），以及系統層級的創新。而在實際應用的成效上，他們提到兩個案例，一家廠商開發內建超過1百顆核心的晶片，僅耗費13個月，此運算平臺就達到能以Linux作業系統開機啟動的地步，另一家廠商表示，採用CSS授權更划算，比起購買少量智財授權，再自行設計與組建運算子系統、建構系統單晶片、實作晶片封裝，到開發軟體，可節省80個工程人年（engineering years）的開支。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm CSS Saving-圖片來源-Arm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20CSS%20Saving-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Arm.png" style="width: 600px;" /></a></p> <p>至於現今所有產業密切關注如何支援AI這類特定領域的加速運算應用，期盼所用的晶片具有領先市場的每瓦效能表現，並能因應雲端原生應用類型的工作負載，對此，Arm認為Neoverse CSS N2已證明其設計足以承擔重任。</p> <p>就具體規格而言，Neoverse CSS N2提供哪些配備？以處理器核心而言，導入5奈米製程，運作時脈介於2.1 GHz至3.6 GHz之間，可設置24顆、32顆到64顆Neoverse N2核心，支援Armv9世代的運算架構指令，可用於向量處理、機器學習、強化的密碼學處理、記憶體的分割與監控，以及進階的電源管理。基於上述特色，這套運算子系統可涵蓋5G網路通訊、資料處理器、雲端運算，以及AI等應用領域。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS N2-block-2023-08.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20N2-block-2023-08.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS N2 Fllorplan.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20N2%20Fllorplan.jpg" style="width: 600px;" /></a></p> <p>Neoverse CSS N2同時可支援兩顆處理器、最大256顆核心的擴展，而且，在這套運算子系統的設計當中，處理器之間的連結，可運用UCIe或其他合作廠商的實體層技術。基本上，每顆處理器最多可連結128顆核心，兩顆處理器可運用CXL實體層與SMP協定連結，而在這兩種應用案例當中，可透過AMBA CXS協定橋接UCIe/CXL的實體與資料連結層，連入AMBA CHI協定的CMN-700互連交織網路。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS N2 core scaling2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20N2%20core%20scaling2.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS N2-SMP-2023-08.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20N2-SMP-2023-08.png" style="width: 600px;" /></a></p> <p>在記憶體方面，若導入Neoverse CSS N2設計，用戶可針對每顆晶粒（未經封裝的裸晶片，Die）實作8個40位元的DDR5記憶體通道，以及5600 MT/s的記憶體存取速度；至於I/O的部分， Neoverse CSS N2可支援4條x16 PCIe 5.0/CXL通道，並結合實體層（PHY）與控制器，而且，每一組元件可搭配4向分支，提供4條x4通道。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS N2-interconnect-PCIE-CXL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20N2-interconnect-PCIE-CXL.jpg" style="width: 600px;" /></a></p> <p>而在連接加速器與外部裝置的能力上，Neoverse CSS N2可選用晶粒層級的內部連接，或以外部方式連接加速器等其他裝置，支援特製型矽晶片與異質運算應用需求。以前者而言，可透過Arm的網路單晶片元件Corelink NI-700互連，藉此獲得中斷處理與位址轉譯支援，對於後者的應用，Neoverse CSS N2提供 PCIe 5.0/CXL1.1實體層技術，可連接GPU、TPU、DPU，以及其他高速存取的裝置，當中也支援CXL Type3連接，可用於記憶體的擴展、資源共用，以及分層存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neover CSS N2-Accel Attach.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neover%20CSS%20N2-Accel%20Attach.png" style="width: 600px;" /></a></p> <p>針對特製矽晶片的組建設計，Neoverse CSS N2提供的運算子系統元件，包含系統的控制與管理，而這些工作交由Arm的Cortex-M7處理器擔綱。</p> <p>例如，Arm在此提供兩種處理器，一是控制系統的處理器（System Control Processor，SCP），透過可信賴的核心去控管所有的系統功能，包含時脈、耗電量、電壓，另一是控制可管理性的處理器（Manageability Control Processor，MCP），負責與CPU之外的基板控制器（BMC）進行溝通，協調晶片的管理、事件記錄、通訊警示，以及可靠度、可用性與可維護性（RAS）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS N2-SCP-MCP-2023-08.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20N2-SCP-MCP-2023-08.png" style="width: 600px;" /></a></p> <p>除了上述規格與元件，Neoverse CSS N2本身的設計也通過Arm的SystemReady SR認證，這是針對伺服器與工作站而設置的產品認證計畫。基本上，這套運算子系統搭配可供合作廠商參考的韌體堆疊架構，以及虛擬的固定平臺模型，能協助合作廠商快速開發整個運算平臺的韌體、整合作業系統與服務，以及調校系統的開機流程、安全性、電源管理，並在晶片設計定案（taping out）之前完成這些工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS-2023-08.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS-2023-08.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>招攬更多廠商發展採用Neoverse CSS設計的晶片</strong></span></h3> <p>在2023年10月舉行的OCP全球高峰會期間，Arm為了推廣Neoverse CSS，宣布推出新的生態系計畫，稱為Arm全面設計（Arm Total Design），目的是更廣泛地帶領半導體產業，吸引更多廠商採用Arm提供的運算子系統進行創新，從而提供基於這種設計方式而成的系統單晶片。經由善用Arm的Neoverse平臺，以及源自整個生態系統的Neoverse CSS專屬的知識與技術，有助於合作廠商建立更多量身打造、最佳化解決方案，符合各自獨特的需求與目標，同時，也能增添本身特有的價值與創新，因此能突顯產品的差異。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS-2023-10-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS-2023-10-5.jpg" style="width: 600px;" /></a></p> <p>Arm希望透過這種形式團結眾人的力量，涵蓋ASIC設計公司、矽智財供應商、EDA工具廠商、晶圓代工廠商，以及韌體開發者，善用這種類型的簡化設計方式，加速開發採用Neoverse CSS的系統。對於合作廠商而言，運用Neoverse CSS可作為整體設計的起點，隨後可偕同其他合作的專業廠商，促使設計得以趨於完備，之後，可以開始堅定、順利地採納新的特製晶片設計。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20Partners.png" style="width: 600px;" /></p> <p>而對於加入生態系的成員而言，Arm預期他們在自行組建晶片時，可藉此獲得快速推出、降低成本與溝通摩擦等效益。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20ATD-1.png" style="width: 600px;" /></p> <p>Arm強調，在Arm全面設計生態系的幫助之下，將大幅提升投入Neoverse CSS所帶來的效益，因為導入這樣的作法，能節省合作廠商整合複雜CPU子系統所耗費的心力。事實上，這個生態系統將會持續擴展配套使用的矽智財、增加設計流程的效率，以及設置更多卓越中心。Arm認為，節省工程人員的時間就是最重要的節省。抑或合作廠商能因此得到更多方法重新投入發展，以便完成更不凡的設計。對於Arm而言，成功關鍵來自橫跨全球的供應鏈，是由各國領先的設計廠商，以及三大晶圓代工廠商合作組成的技術網路，能在Arm生態系統之內，提供尖端的矽晶片設計與最先進的製程節點，以此確保特製晶片能在世界各地供應。</p> <p>當時，有4種類型、共13家廠商率先響應Arm全面設計。首先，是提供預先整合與已驗證矽智財的廠商，以及EDA工具廠商，例如：益華電腦（Cadence）、Rambus、新思科技（Synopsys），他們可協助加速矽晶片的設計，以及記憶體、安全性、周邊裝置的整合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse CSS-2023-10-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS-2023-10-3.jpg" style="width: 600px;" /></a></p> <p>對於矽智財廠商而言，他們能夠可針對Neoverse CSS所用到的技術，預先執行整合、驗證，以及調校的工作；而對於EDA廠商而言，因為這類工具與設計流程完整支援Neoverse CSS，而能促使系統單晶片的設計更為順暢。</p> <p>第二種是提供設計服務的廠商，像是ADTechnology、Alphawave Semi、博通（Broadcom）、凱捷（Capgemini）、智原科技（Faraday）、索思未來科技（Socionext）、Sondrel，他們可協助整個生態系使用Neoverse CSS，以及Arm其他智財與方法論，這些公司能著手進行設計，而且可以馬上供應。</p> <p>第三種是具有先進製程節點與封裝技術的晶圓代工廠商，例如，英特爾晶圓代工服務（Intel Foundry Services），以及台積電（TSMC），可提供最佳化技術，Neoverse CSS設計能以專屬的方式進行調校，發揮先進製程的優勢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20ATD-foundry.png" style="width: 600px;" /></p> <p>第四種是IT基礎架構韌體廠商，像是安邁科技（AMI），能提供商業化的軟體與韌體支援，因為Neoverse CSS帶來加速開發的效果，因此，在矽晶片推出之前，就能開發出商業韌體解決方案。</p> <p>今年2月陸續又有9家公司加入Arm全面設計生態系，參與的廠商總數超過20家，範圍橫跨韓國、臺灣、中國、印度。就矽智財與EDA而言，分別是Ceva與Siemens EDA；設計服務方面，有ASICLand、HCLTech；晶圓代工方面，三星（Samsung）將會加入；半導體公司的部分，有雲豹智能（Jaguar Micro）、聯詠科技（Novatek）、瑞昱半導體（RealTek）；在進階資料分析的應用上，有proteanTecs加入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm ATD venders.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20ATD%20venders.png" style="width: 600px;" /></a></p> <p>而在這幾年受到矚目的小晶片（經過封裝的小晶片，chiplet）晶片設計技術，Neoverse CSS也提供支援，參加Arm全面設計的成員，以及環繞AMBA CHI C2C、UCIe聯盟，以及其他計畫的生態系統正在進行協同作業，針對整個產業採用的基礎介面與系統架構，Arm將會進行協調與統整，促成多晶粒小晶片（multi-die chiplet）的系統單晶片設計創新。</p> <p>而這樣的技術整合模式，Arm預告即將出現多個實際案例。</p> <p>首先是去年10月索思未來科技宣布相關消息，他們表示，正在發展內建多顆CPU核心的小晶片概念驗證設計，當中採用Arm Neoverse CSS與台積電2奈米製程；到了今年2月下半，Arm揭露新一代Neoverse CSS平臺的同時，提到索思未來科技設計的32顆核心小晶片採用Neoverse CSS V3，而且能結合其他小晶片，以便提供可擴展規模、具成本效益的運算解決方案，鎖定伺服器CPU、資料中心AI邊緣晶片，以及用於5G或6G網路基礎架構的晶片應用。</p> <p>第二個例子出現在2023年11月底，ADTechnology簽署Arm Neoverse CSS的矽智財授權，可提供他們設計、驗證，並交由三星生產的系統單晶片樣品，支援該公司的基礎架構系統單晶片設計服務；今年2月下半，Arm揭露 ADTechnology期望能在邊緣運算環境提供更大運算能力，同樣透過三星晶圓代工服務的製造，他們將採用16顆Neoverse N系列核心的邊緣伺服器平臺。</p> <p>第三個例子是智原科技，他們與Arm、英特爾在今年2月4日宣布合作，將導入Arm Neoverse CSS與英特爾18A製程節點，開發基於小晶片而成的伺服器系統單晶片，當中將採用64顆Arm Neoverse N系列核心，鎖定超大型資料中心、網路邊緣，以及5G基礎架構的部署。</p> <h3><span style="color:#0000FF;"><strong>發展通用框架與晶片對晶片互連協定，加速推動小晶片設計</strong></span></h3> <p>2月中，Arm針對小晶片的設計與協同合作，推出兩項新計畫，期盼能提供共通框架，促成新一代的晶片設計者崛起，並且進一步聚焦在更多的協同合作與投資。</p> <p>首先，是設置小晶片系統架構（Chiplet System Architecture，CSA）。針對採用小晶片的系統，Arm與超過20個合作廠商正在分析與訂定最佳的分割方式，希望能夠開發出一套架構，使多家廠商更能重複使用實體設計智財、軟體智財等元件，而且，這群廠商涵蓋多個市場應用領域，包括手機、車輛、基礎架構，他們想要針對不同類型的小晶片，找出提升系統設計標準化的做法，例如，在橫跨多個小晶片或系統記憶體、信任根等高階屬性的狀態下，針對基於Arm而成的系統，尋求理想的切分方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20CSA.png" style="width: 600px;" /></p> <p>Arm第二項相關的計畫是更新AMBA架構，使小晶片的存取協定能夠成為標準，這會涉及兩個規格：一是2023年5月登場的晶片互連協定AMBA CHI C2C，現在正式公開——透過這項技術，我們可運用既有的晶片層級協定CHI，以及定義轉為封包的方式，而得以在各個（小）晶片之間傳輸；另一是AMBA AXI C2C，Arm承諾提供開放的規格，以便矽晶片廠商能夠採用，而且可以馬上在單一晶片設計獲得好處。</p> <p>隨著上述兩種標準持續發展，合作廠商面對由多個矽智財區塊組成的單體晶片時，更能將拆分為基於多個小晶片而成的Arm系統，展望未來，Arm預告將針對三大領域推動產業合作。</p> <p>首先是實體層，例如 UCIe這類業界標準。Arm認為，對於單一封裝的多個小晶片，需要定義資料傳輸的實體協定，像是AMBA、PCIe，以及伴隨多個小晶片而來的系統匯聚共通層面。</p> <p>第二是協定。Arm期望業界標準PCIe、CXL，以及晶片層級的互連協定AMBA，可促使相關應用市場的發展，將主機板設置多個明確定義的周邊，能夠匯集至單一封裝之內。</p> <p>第三是高階屬性與分割。對於採用AMBA協定的Arm系統，若能將系統單晶片拆解成多個小晶片的設計，將帶來無窮的彈性，在這部分的發展上，透過CSA架構，Arm生態系統對於採用最有效益的分割方式，可以取得共識，而減少支離破碎的狀況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Chiplets%20opportunity.png" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>Arm第二批運算子系統上場，同時宣告Neoverse邁入第三代</strong></span></h3> <p>繼2023年8月發表第一代Arm運算子系統Neoverse CSS N2，今年2月接續推出第二批運算子系統，分別是：Neoverse CSS N3、Neoverse CSS V3，同時也揭示Arm Neoverse平臺進入第三代，帶出下一階段主推的邊緣至雲端服務應用的矽智財，會是Neoverse N3、Neoverse V3、Neoverse E3，而在基礎架構系統層級的矽智財，Arm現在提出正式的命名，稱為Neoverse S系列，而在此時推出的產品稱為Neoverse S3。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20Roadmap-2024-02-2.png" style="width: 600px;" /></p> <p>以運算子系統的層次來比較，Arm表示，在對應高能源使用成效（performance efficiency）需求的N系列產品線中，Neoverse CSS N3的每瓦效能，超越Neoverse CSS N2的幅度為20%；而在對應提供最強效能（performance-focused或performance-optimized）需求的V系列，Neoverse CSS V3的單顆（插槽）處理器效能，領先Neoverse CSS V2的幅度更大，可達到50%。</p> <h4><span style="color:#008000;"><strong>Neoverse CSS N3</strong></span></h4> <p>顧名思義，Neoverse CSS N3是基於CPU矽智財Neoverse N3，以及系統矽智財Neoverse S3而成的產品。Arm預告採用Neoverse N3、Neoverse CSS N3設計的合作廠商晶片，將於2024年底之後推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Neoverse CSS N3 overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Neoverse%20CSS%20N3%20overview.png" style="width: 600px;" /></a></p> <p>單純檢視Neoverse N3本身，承接Neoverse N2具備的高能源使用成效特性，Arm表示，他們的CPU設計團隊進一步強化分支預測器（branch predictor）、預取器（prefetchers），並調校微架構的運作效率——他們改善電力耗用管理，也增添每顆核心動態電壓與時脈擴展的細部調整機制（per-core DVFS），從而提供更高的能源使用成效，也是Neoverse CSS N3效能之所以比上一代增長20％的主要原因。</p> <p>在系統單晶片的設計上，Neoverse N3支援多種配置，例如，專攻網路應用的16核心、用於電信無線存取網路（RAN）或雲端環境資料處理器（DPU）的32核心、支援超大型資料中心與雲端服務伺服器CPU的192核心，比起Neoverse N2，能效領先幅度為20％至50％。</p> <p>若從運算子系統Neoverse CSS N3的角度而言，每顆晶粒可支援8核心至32核心的設計，若希望獲得最大效能，可採用32核心，此時的耗電量僅需40瓦。</p> <p>關於快取記憶體的配置上，Neoverse N3提供更多彈性，以因應不同運算應用需求。就L2快取而言，Neoverse N3不只與Neoverse N2一樣，提供1MB容量的搭配，支援多種一般用途的運算需求，像是5G/6G無線通訊基礎架構、企業網路、資料處理器、智慧型網卡（SmartNIC）、超大型伺服器系統，也特別新增2 MB容量的選項，支援橫向擴展的雲端資料分析與資料庫應用系統，使其在更靠近CPU核心的位置獲得更寬大的快取暫存空間。</p> <p>而在L1快取的部分，Neoverse N3最低可設置32 KB、最大128 KB（I-cache為32 KB或64KB，D-cache為32 KB或64KB），能因應對快取容量大小不敏感的工作負載，並且均能將運算的耗電控制在很低的狀態。相較之下，Neoverse N2的L1快取配置，則是I-cache、D-cache皆為64KB。</p> <p>關於小晶片設計的部分，Neoverse CSS N3支援UCIe 1.1標準，當中搭配Arm新推出的AMBA CHI C2C協定，因此，這套平臺可作為組建異質、加速運算產品的基礎。Arm表示，基於Neoverse CSS N3而成的小晶片，可透過AMBA CHI C2C協定連接IO一致性加速器（IO coherent accelerator），而能在晶片封裝的層級提供更理想的效能與能源使用效率。在此之前，若使用傳統的解決方案——需經由晶片以外的PCIe連接加速器，往往會導致較高的存取延遲、軟體複雜度與耗電量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Neoverse%20N3%20CPU%20jpeg_JPG-800x1106.jpg" style="width: 400px;" /></p> <p>Neoverse N3除了具有更好的能效表現，Arm也揭露此平臺承擔不同應用的效能表現。舉例來說，對比於晶片面積與耗電設置幾乎相同的Neoverse N2與Neoverse N3，設置在相同技術的運算節點設備上，若執行機器學習與資料分析工作負載，新的N3平臺可達到逼近3倍的改善幅度；用在SQL資料庫系統，N3效能提升30％；針對特定壓縮應用，N3效能增加20％；在整數運算處理上，N3效能超越幅度為10％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20Gen3%20Perform-N3.jpg" style="width: 400px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse N3 ML Improvement.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20N3%20ML%20Improvement.png" style="width: 600px;" /></a></p> <p>至於系統矽智財方面，Neoverse CSS N3搭配的技術，包括：互連匯流排CMN S3、系統記憶體管理單元MMU S3、網路單晶片NOC S3。此外，Neoverse CSS N3也內建系統管理與本機控制處理器（應該是Neoverse CSS N2推出時提到的SCP與MCP）、以及CPU與系統矽智財的共同設計與開發，進而提供更精良的晶片功耗、性能及面積，以及系統層級的特色。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20V3%20overview(1).png" style="width: 600px;" /></p> <h4><strong><span style="color:#008000;">Neoverse CSS V3</span></strong></h4> <p>Neoverse V系列是鎖定超強運算效能的產品線，而在技術組成的方式上，Neoverse CSS V3同樣是架構在CPU矽智財Neoverse V3、系統矽智財Neoverse S3，以及小晶片互連協定AMBA CHI C2C、耗電量管理技術per-core DVFS等技術之上，值得注意的是，Arm也強調這裡包含他們發展的機密運算架構CCA（Arm Confidential Compute Architecture）。</p> <p>在Arm網站設立的Neoverse V3專屬說明網頁當中，也特別列出幾項特色標榜其不凡地位。首先，他們表明這是Arm運算速度最快的CPU產品，可支援資料庫、快取、機器學習等多種關鍵工作負載；第二，此平臺可提供大型、可快捷存取的記憶體子系統、高速的晶粒互連，相當適合用於AI加速器的開發；第三，強調Neoverse V3是第一個支援CCA的CPU平臺，可用來建置支援記憶體加密的高安全性雲端服務虛擬機器。</p> <p>從處理器核心數量配置來看，Neoverse CSS V3支援單插槽與雙插槽，以單顆處理器而言，最多內建128顆，Arm表示，這個運算子系統也能支援較小型的組態，例如32顆核心。而在產品導入的製作技術方面，他們認為Neoverse CSS V3鎖定3奈米等級的製程，之後將提供支援的設計布局與實作流程，期盼能藉此大幅降低實體設計的風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Neoverse%20V3%20cpu.JPG" style="width: 400px;" /></p> <p>若單論Neoverse V3，Arm目前強調兩大特點：硬體平臺的安全性與可靠性，以及總體持有成本（TCO）的最佳化。</p> <p>這裡提到的安全性，主要是指Neoverse V3可因應大規模的機密運算部署需求，解決當前在多租戶環境、多用途系統面臨的資料安全議題，預防來自內部與外部的資安威脅因素。而所謂的可靠性，是指Neoverse V3將提供頂尖的可靠度、可用性與可維護性機制（RAS），以及遙測（Telemetry）技術，Arm預告將提供分支紀錄緩衝延伸指令集（Branch Record Buffer Extension，BRBE），以便減少IT基礎架構的平均故障間隔時間（MTBF）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20BRBE-2020.jpg" style="width: 600px;" /></p> <p>關於TCO的特色，Arm想要標榜Neoverse V3帶來的效能突破。他們列出執行多種工作負載的改善幅度。其中以機器學習最亮眼，相較於Neoverse V2，Neoverse V3的效能領先96％，用於關聯式資料庫管理系統增加16％，密碼學處理提升9％，執行整數運算則是超越12％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20Gen3%20Perform-V3.jpg" style="width: 400px;" /></p> <p>在細部規格的部分，Neoverse CSS V3與Neoverse V3目前揭露的資訊，比起Neoverse CSS N3 與Neoverse N3少，例如內建核心數量，Arm在Neoverse CSS V3網站專頁的圖解寫明為64核心，於技術部落格文章僅提及Neoverse CSS V3最多提供128核心，但Neoverse N3並未交代，若對照上一代Neoverse N2的設計，最多可提供256核心，而且，Arm尚未預告Neoverse CSS V3與Neoverse N3上市時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20CSS%20V3%20overview.png" style="width: 600px;" /></p> <p>回顧去年8月至今年2月，Arm已陸續推出3款Neoverse CSS平臺，再加上持續擴充Arm全面設計的生態系，集結的廠商數量與類型日漸增加，顯見大家都看好自行設計處理器與加速器的需求，Arm應該也說服合作廠商擁抱、支持這項策略，市面上勢必將會出現更多特製處理器與加速晶片。而對於整個IT業界而言，也正在期待採用Neoverse CSS N2而成的微軟Azure Cobalt，何時進入大量部署、採用階段，以及後續是否有更多廠商公開這方面的產品布局，而率先採用Neoverse CSS N3與Neoverse CSS V3。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/arm-neoverse">Arm Neoverse</a></div><div class="field-item odd"><a href="/tags/arm-neoverse-n3">Arm Neoverse N3</a></div><div class="field-item even"><a href="/tags/arm-neoverse-v3">Arm Neoverse V3</a></div></div></div>
2024/3/11 12:39作者李宗翰https://www.ithome.com.tw/tech/161699
【資安日報】3月8日，Linux惡意軟體攻擊鎖定DevOps常用的4種平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們之前報導過針對雲端運算環境從事挖礦行為的攻擊行動，駭客通常運用這類環境常見的應用系統而來，利用配置不當或是尚未修補的已知漏洞入侵這些伺服器。</p> <p>值得留意的是，駭客對於Docker、Hadoop、Redis，或是Confluence伺服器發動攻擊的情況，不時傳出有關事故，但在最近一起資安事故當中，駭客同時鎖定上述4種環境下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.cadosecurity.com/spinning-yarn-a-new-linux-malware-campaign-targets-docker-apache-hadoop-redis-and-confluence/"><strong style="font-size: 22px;">研究人員揭露惡意軟體攻擊行動Spinning YARN，鎖定Docker、Hadoop、Redis、Confluence而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/spinning-yarn-2-51.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/spinning-yarn-2-51.png" style="width: 300px; float: right;" /></a>資安業者Cado揭露新一波Linux惡意軟體攻擊行動Spinning YARN，駭客鎖定能從網際網路存取且組態設定不當（Misconfiguration）的多種應用系統伺服器，涵蓋Apache Hadoop YARN、Docker、Altassian Confluence、Redis等4種平臺入侵後使用一系列的Shell指令碼，並透過專門針對Linux主機的攻擊手法植入挖礦程式，對方亦透過名為Platypus的反向Shell，持續存取這些主機。</p> <p>研究人員總共在今年發現3波攻擊，並看到過程中駭客運用4種Go語言打造的惡意酬載，利用Confluence已知漏洞CVE-2022-26134，而在Docker環境當中，對方則是產生容器並進行容器逃逸，從而接觸底層主機，此外，為了隱匿攻擊行動，駭客部署了多個使用者模式的rootkit，來隱藏相關的處理程序。</p> <p>在研究人員設置的蜜罐陷阱（oneypot）環境中，他們看到對方先是下達Docker命令來產生容器，其配置允許容器直接存取底層主機上的檔案，接著，攻擊者透過Shell指令碼建立C2連線，下載第1階段的酬載，並檢查受害電腦的檔案屬性調整工具chattr，確認使用者是否具有管理員權限，然後取得第2階段酬載，停用防火牆及IP過濾規則、刪除Shell事件記錄、停用存取控制功能，最終部署Platypus及挖礦程式XMRig。</p> <p><a href="https://blog.talosintelligence.com/timbrestealer-campaign-targets-mexican-users/"><strong style="font-size: 22px;">墨西哥用戶遭到竊資軟體TimbreStealer鎖定，假借稅務主題為誘餌下手</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/TimbreStealer-modules.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TimbreStealer-modules.jpg" style="width: 300px; float: right;" /></a>思科威脅情報團隊Talos揭露竊資軟體TimbreStealer的攻擊行動，駭客從去年11月使用墨西哥稅務發送垃圾郵件，引誘使用者到惡意網站下載、執行惡意程式。</p> <p>研究人員指出，駭客在這款竊資軟體運用了一系列複雜的技術來迴避偵測、隱匿行蹤、維持在受害電腦運作，像是直接利用系統呼叫從而繞過一般的API監控，或是藉由名為Heaven's Gate的手法，在32位元處理程序執行64位元的程式碼，還有採用自行開發的惡意程式載入工具。此外，該惡意程式具備數個嵌入式模組，用來策畫、解密、保護主要的酬載，並執行相關檢查避免在沙箱環境執行，而且特別的是，所用的系統語言並非俄語，時區設為拉丁美洲才會將檔案解密、執行。</p> <p>而對於這些攻擊者的身分，研究人員指出對方曾於9月散布另一款竊資軟體Mispadu的變種，並透過存放於WebDAV資料夾的檔案來從事攻擊行動。</p> <p><a href="https://www.fortinet.com/blog/threat-research/banking-trojan-chavecloak-targets-brazil"><strong style="font-size: 22px;">金融木馬Chavecloak鎖定巴西而來，透過惡意PDF檔案散布</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig03-chavecloak-malicious-pdf-file.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig03-chavecloak-malicious-pdf-file.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露金融木馬Chavecloak的攻擊行動，駭客疑似藉由釣魚簡訊（Smishing）、釣魚郵件、惡意網站等管道，鎖定巴西地區使用葡萄牙語的Windows用戶而來。</p> <p>對方假借提供合約文件的名義，要求使用者點選PDF檔案裡的連結，以便進一步閱讀完整內容及簽名。然而使用者一旦照做，電腦就會透過短網址服務Goo.su連至Yandex郵件伺服器下載ZIP壓縮檔，該檔案解開後是MSI安裝程式，若是執行，電腦就會被透過DLL側載的方式，植入Chavecloak（Lightshot.dll）。</p> <p>此木馬程式能允許攻擊者鎖定受害電腦螢幕、截取使用者鍵盤輸入內容，顯示彈出式視窗，並能監控及盜取受害者的銀行帳戶加密貨幣錢包資料。</p>  <p><a href="https://www.ndss-symposium.org/wp-content/uploads/2024-49-paper.pdf"><strong style="font-size: 22px;">因應以網頁伺服器打造而成的PLC系統日益普及，為了呈現與驗證資安風險，研究人員打造能對多種工業控制環境從事類似Stuxnet攻擊行動的惡意程式</strong></a></p> <p></p> <p>採用嵌入式網頁伺服器的可程式化邏輯控制器（PLC）大幅增加，這樣的情況也讓攻擊者有機可乘，鎖定使用這類PLC的工業控制系統（ICS）與操作科技（OT）環境下手，並造成嚴重的破壞。</p> <p>為了突顯這樣的現象，喬治亞理工學院的研究人員打造一隻惡意程式來印證上述的論點，攻擊者可透過此惡意軟體遠端存取PLC的嵌入式網頁伺服器元件，從而攻擊底層的系統。研究人員指出，攻擊者能藉此操縱控制器的輸出訊號、偽造感測器數據、停用安全防護機制，而有機會造成嚴重破壞，甚至導致人員傷亡。</p> <p>目前被揭露的PLC惡意程式，多半是感染控制器韌體，從而進行控制，而研究人員打造的惡意程式有顯著的不同，主要是利用惡意JavaScript指令碼攻擊PLC前端的網頁層，因此較不受系統類型影響，且更容易部署、更能持續在受害系統裡活動，但攻擊威力與耗資10億美元的Stuxnet病毒相當。</p> <p><a href="https://arxiv.org/abs/2402.11423"><strong style="font-size: 22px;">研究人員揭露濫用無線充電器的攻擊手法VoltSchemer，有可能注入語音命令、燒毀手機</strong></a></p> <p>佛羅里達大學和資安業者CertiK的研究人員聯手，公布針對無線充電器的新型態攻擊手法VoltSchemer，攻擊者可透過電磁干擾的方式來操控充電器的行為。</p> <p>由於這類充電系統通常使用磁場在兩個物件當中傳輸能量，充電器流過交流電後，由充電器的發射器線圈產生磁場，讓手機的接收器擷取磁場的能量，再轉換成電能並為電池充電，而在這種攻擊當中，研究人員藉由操縱輸入充電器的電壓，並微調電壓的波動幅度來產生干擾訊號（雜訊），進而改變生成的磁場性質。基本上，這種攻擊手法當中，駭客想要干擾電壓，無須直接竄改充電器或是手機的軟硬體，而是加入額外的設備就能進行。</p> <p>由於上述的雜訊會影響充電器及手機相關的微控制器的運作，研究人員指出，這種攻擊手法可繞過Qi充電的規範，導致裝置過熱、手機過度充電，甚至有機會在手機上注入語音命令，或是有可能對充電器附近的汽車鑰匙、RFID卡片與NFC晶片、筆電裡的SSD磁碟機傳遞能量進行加熱而造成損壞。</p> <p><a href="http://www.proofpoint.com/us/blog/cloud-security/community-alert-ongoing-malicious-campaign-impacting-azure-cloud-environments"><strong style="font-size: 22px;">多達幾百位高階主管Azure帳號遭到挾持</strong></a></p> <p>資安業者Proofpoint提出警告，去年11月下旬他們發現一波大規模的網路釣魚攻擊，駭客的主要目標是高階主管的Azure帳號，已危害數十個Azure環境、數百個使用者帳號。</p> <p>攻擊者對目標發送特定的檔案，其內容嵌入含有檢視文件的URL，一旦使用者點選，就有可能被引導至釣魚網頁。而對於駭客使用的誘餌，研究人員指出，主要目的是針對組織內具備較高權限的員說，從而提高帳號外洩的價值，範圍包括銷售總監、客服經理、財務經理、營運副總裁、財務長、執行長等。</p> <p>若是得逞，攻擊者後續就可能操縱組織的雙因素驗證（MFA）、資料外洩、財務詐欺，或是竄改郵件伺服器規則。研究人員看到攻擊者會在未經授權的狀況下，擅自存取Microsoft 365多項元件，包括Office365 Shell WCSS-Client、Office 365 Exchange Online、My Apps、My Profile、My Signins。</p> <p><a href="https://www.cna.com.tw/news/asoc/202403040057.aspx"><strong style="font-size: 22px;">竊晶圓製程投靠中國廠商，南亞科前員工被判1年10個月</strong></a></p> <p></p> <p>為求能順利到中國半導體業者紫光任職，8年前南亞科技公司（南亞科）李姓前資深工程師在得知公司將從美光引進20奈米晶圓製程技術後，竟在參加線上訓練課程的時候，涉嫌利用電腦螢幕截圖的方式將製程文件，並將其列印、研讀，直到南亞科針對離職人員進行影印記錄稽查才察覺，並向法務部桃園市調查處報案，近期判決出爐。</p> <p>法院一、二審認定，李男涉犯營業秘密法意圖在大陸地區使用未經授權而重製營業祕密罪，判處有期徒刑1年10月，3月4日最高法院駁回上訴，全案定讞。</p> <p> </p> <div> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://blog.cloudflare.com/firewall-for-ai"><strong style="font-size: 22px;">Cloudflare推出AI防火牆，保護大型語言模型不被濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Firewall_for_AI_1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Firewall_for_AI_1-1.png" style="width: 300px; float: right;" /></a>3月4日Cloudflare宣布針對大型語言模型推出專屬的應用程式防火牆（WAF）Firewall for AI，此WAF防火牆包含傳統的WAF工具，具備流量管制及敏感資料偵測的能力，並整合與大型語言模型威脅有關的保護措施，主要能夠防護的攻擊類型涵蓋提示詞注入（Prompt Injection）、AI模型服務阻斷（Model Denial of Service）、敏感資訊洩漏（Sensitive Information Disclosure），進而減少這類語言模型遭到濫用的風險。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202403050004&dtable=News"><strong style="font-size: 22px;">金管會將明訂上市櫃公司資安事件「重大性」標準</strong></a></p> <p></p> <p>金管會要求上市櫃公司於發生重大資安事件時，應即時發布重大訊息，但什麼樣的情況才是「重大資安事件」？目前尚未有明確的定義，最近金管會打算採取行動。</p> <p>3月5日金管會表示，他們將對於證交所及櫃買中心進行督導，並從「強化監理」、「協助與輔導」兩個層面，推動資安治理精進措施，包括檢視修正《上市上櫃公司資通安全管控指引》、提高資訊安全內部控制查核比例及追蹤缺失改善情形、落實企業對子公司資訊安全之監督與管理、持續推動企業加入TWCERT/CC分享情資等。其中，金管會特別提到，他們將針對《重大訊息問答集》進行修訂，明確規範資安事件的「重大性」標準。</p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/161660"><span style="font-size: 20px;">逾250名學者請願，呼籲AI公司保障研究人員從事資安研究的行為</span></a></strong></p> <p></p> <p><a href="https://www.ithome.com.tw/news/161659"><strong><span style="font-size: 20px;">針對Copilot Designer引發的資安風險，微軟工程主管要求董事會展開調查</span></strong></a></p> <p></p> <p><strong><a href="https://www.ithome.com.tw/news/161658"><span style="font-size: 20px;">對於抖音帶來的國家安全疑慮，美國眾議院要求脫離母公司字節跳動</span></a></strong></p> <p></p> <p><a href="https://www.admin.ch/gov/en/start/documentation/media-releases.msg-id-100315.html"><strong><span style="font-size: 20px;">瑞士政府機關資訊系統服務業者Xplain遭遇勒索軟體攻擊，6.5萬份政府文件流出</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-vpn-product/"><strong><span style="font-size: 20px;">思科修補SSL VPN用戶端軟體的高風險漏洞</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161657"><strong>【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161636"><strong>【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161613"><strong>【3月5日】中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊</strong></a></p> </div></div></div>
2024/3/8 12:27作者周峻佑https://www.ithome.com.tw/news/161668
【資安日報】3月7日，Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前科技巨頭Meta旗下的社群網站臉書、Instagram、Threads同時傳出無預警大當機的情況，引起全球各界關注，但Meta始終並未說明如何發生，而這樣的情況，可能讓駭客有機可乘，假借這類事故拉擡自己的聲勢。</p> <p>資安業者Cyberint發現，有3個從事DDoS攻擊的駭客組織表示是他們造成這起大當機事故，但研究人員目前尚未找到相關證據。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cyberint.com/blog/other/meta-is-down-skynet-claims-to-have-attacked/"><strong style="font-size: 22px;">臉書、IG、Threads發生全球大當機，3個駭客組織聲稱是他們所為，但目前尚無證據證實此事</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/meta-28.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/meta-28.png" style="width: 300px; float: right;" /></a>3月5日深夜科技巨頭Meta旗下的社群網站臉書、Instagram、Threads傳出無預警大當機，許多用戶被強制登出，但究竟什麼原因造成，該公司並未說明，如今有駭客組織聲稱是他們所為。</p> <p>資安業者Cyberint發現，名為Skynet、Godzilla、Anonymous Sudan的駭客組織宣稱，這起當機事故是他們聯手對上述社群網站發動攻擊當造成，並提供多張螢幕截圖當作證據。不過，研究人員對於駭客的說法持保留態度，因為他們並未發現有關攻擊行動的證據，推測這些駭客應該只是虛張聲勢。</p> <p>但由於這3個組織曾狼狽為奸，對於即時通訊軟體平臺Discord、AI聊天機器人ChatGPT發動DDoS攻擊，研究人員也不排除真有其事的可能。</p> <p><a href="https://www.theguardian.com/technology/2024/mar/06/chinese-google-engineer-arrested-stealing-ai-trade-secrets"><strong style="font-size: 22px;">任職Google的中國工程師涉嫌盜取AI機密，並提供給兩家中國公司運用</strong></a></p> <p></p> <p>3月6日<a href="https://www.justice.gov/opa/pr/chinese-national-residing-california-arrested-theft-artificial-intelligence-related-trade">美國司法部發出新聞稿</a>，指出現年38歲的中國工程師Linwei Ding（Leon Ding），在任職Google軟體工程師期間，涉嫌自2022年5月21日至2023年5月2日，利用職務之便，定期將Google公司的機密資料上傳到自己的Google Cloud帳號，這些資料涉及硬體基礎設施、軟體平臺，以及對應的人工智慧模型與應用程式，而這些資料疑似提供給2家中國科技公司運用。</p> <p>根據起訴書的內容，此人曾在2022年6月被中國科技公司融數聯智（Rongshu Lianzhi）任命為技術長，並擁有20%股份；然後在2023年5月之前，他成立智算科技（Zhisuan）擔任執行長，並在新創企業孵化計畫的投資者會議上，宣稱他們擁有Google運算平臺的經驗，只需複製、升級，就能開發出符合中國國情的解決方案。</p> <p>這名工程師被指控4項竊取商業機密的罪名並遭到逮捕，如果罪名成立，他將面臨10年監禁與100萬美元的罰款。</p> <p><strong style="font-size: 22px;">勒索軟體駭客BlackCat傳出從醫療支付平臺Change Healthcare收到2,200萬美元贖金，關閉網站伺服器</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GH1BxCfXwAARFIv.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GH1BxCfXwAARFIv.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織BlackCat（Alphv）傳出關閉相關伺服器的消息，資安新聞網站Bleeping Computer指出，他們看到駭客已將談判網站關閉，並在通訊平臺留下「我們決定一切都結束了」的俄文訊息，但究竟為何該組織決定收手？目前還不明朗，無從判斷是想更名、另起爐灶，還是打算進行「結束詐騙（Exit Scam，意指駭客首腦在結束營運時將未分贜的贖金洗劫一空）」，但很有可能與最近發生的攻擊事故有關。</p> <p>資安業者Recorded Future研究人員Dmitry Smilyanets發現，有自稱是長期與BlackCat合作的附屬組織Notchy，聲稱近期針對大型醫療支付平臺Change Healthcare發動攻擊，竊得4 TB資料，3月1日經營該平臺的廠商Optum向BlackCat支付贖金2,200萬美元，條件是拿到解密金鑰，以及促使駭客刪除手上的資料。</p> <p>然而在Optum付錢後，Notchy發現BlackCat管理層停用他們的帳號，並將加密貨幣錢包的資金提領一空。這些駭客在拿不到錢的狀態下，揚言要運用手上的資料，對Optum及其客戶、保險公司不利。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-turns-off-servers-amid-claim-they-stole-22-million-ransom/">https://www.bleepingcomputer.com/news/security/blackcat-ransomware-turns-off-servers-amid-claim-they-stole-22-million-ransom/</a><br /> 2. <a href="https://twitter.com/ddd1ms/status/1764639254016102410">https://twitter.com/ddd1ms/status/1764639254016102410</a></p> <p><a href="https://www.zscaler.com/blogs/security-research/android-and-windows-rats-distributed-online-meeting-lures"><strong style="font-size: 22px;">冒牌Zoom、Google Meet、Skype會議鎖定Windows、安卓用戶而來，散布RAT木馬程式</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure_1_6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure_1_6.png" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露從去年12月出現的攻擊行動，駭客聲稱舉行Skype、Google Meet、Zoom線上會議，然後誘導使用者到冒牌的應用程式下載網站，一旦照做，電腦或手機就有可能被植入惡意程式。</p> <p>值得留意的是，這起攻擊行動同時針對Windows與安卓平臺的俄語用戶而來，若是使用者下載Windows版安裝程式並執行，電腦就有可能感染RAT木馬程式NjRAT和DCRat；假如使用者下載安卓的APK安裝檔，那麼行動裝置就有可能被植入另一款木馬程式SpyNote RAT。</p> <p><a href="https://asec.ahnlab.com/en/62446/"><strong style="font-size: 22px;">RAT木馬程式WogRAT透過雲端文字共享平臺aNotepad散布，鎖定亞洲國家而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/WogRAT-85.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WogRAT-85.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現有人透過雲端文字共享平臺aNotepad散布後門程式WogRAT，特別的是，這款惡意程式不僅採用Windows可執行檔的格式，也具備Linux可執行檔（ELF）的特徵。</p> <p>攻擊者從2022年底，針對香港、新加坡、中國、日本等亞洲國家而來，假借提供常見的應用程式為誘餌進行散布，雖然該惡意程式具備兩種檔案的型態，但Windows用戶是駭客的主要攻擊目標。研究人員指出，攻擊者通常會引導使用者下載惡意程式載入工具，一旦執行，就會從aNotepad下載WogRAT的原始碼，並透過Base64演算法解密，接著於受害電腦編譯該惡意程式並載入。</p> <p>此後門程式首次運作時，會將受害電腦基本資訊傳送至C2伺服器，而該惡意軟體具備的功能，包含執行命令、下載或上傳檔案。根據對C2伺服器的調查，研究人員發現駭客也開始有打算對Linux主機下手的跡象，並指出駭客疑似採用開源惡意程式Tiny Shell為基礎開發相關功能。</p> <p><a href="https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000224.html"><strong style="font-size: 22px;">為防範個資外洩再度發生，日本政府要求Naver、Line員工身分驗證管理系統進行拆分</strong></a></p> <p></p> <p>去年11月<a href="https://www.ithome.com.tw/news/160129">Line母公司LY Corporation（LYC）發布資安公告</a>，未經授權的第三方存取該公司系統，導致客戶、合作夥伴，以及LYC與Naver員工資料外洩，而這起事故起因與兩個集團部分系統有關。對此，3月5日日本主管機關總務省發布行政指導，並指出LYC的安全管理、資訊安全政策、外部廠商管理存在疏失，要求改進。其中，總務省強調，Naver與LYC的內部身分驗證基礎架構應完全分離，並實施嚴格的存取控制。</p> <p>然而，上述的防護措施若要實行，恐怕存在執行上的困難。因為，在業務上，Naver是LYC的雲端及系統營運承包商，但從經營層面來看，Naver卻掌握LYC半數股權，這樣的情況使得LYC難以對Naver提出嚴格的管理要求。</p> <p><a href="https://pma.gov.taipei/News_Content.aspx?n=C367863C93700356&sms=72544237BBE4C5F6&s=2A61A85482F5FA62"><strong style="font-size: 22px;">北市民營停車場網站遭駭，導致車主個資外洩，收到詐騙訊息</strong></a></p> <p></p> <p>3月5日臺北市停車管理工程處（停管處）指出，他們接獲通報，得知經營稻香大樓地下停車場的業者營運系統遭到駭客入侵，導致車主的資料外洩，並陸續有民眾收到換取合約的假訊息，內容宣稱能提供專屬的固定車位，或是年繳的優惠方案，該公司澄清他們沒有提供這樣的活動，並在停車場張貼公告，提醒車主防範相關詐騙手法。</p> <p>而對於這起攻擊事件發生的過程，此停車場管理業者也提出說明，指出他們的繳費服務網站於3月2日遭到入侵，察覺異狀後於第一時間關閉網站服務，但究竟有多少民眾受害，該公司並未進一步說明。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-two-new-ios-zero-days-exploited-in-attacks-on-iphones/"><strong style="font-size: 22px;">蘋果發布iOS 17.4、iPadOS 17.4，修補2個零時差漏洞</strong></a></p> <p>3月5日蘋果發布iOS 17.4、16.7.6，以及iPadOS 17.4、16.7.6，當中修補兩個已遭利用的零時差漏洞CVE-2024-23225、CVE-2024-23296，影響iPhone 8、iPhone X、第5代iPad、第3代iPad Air，以及歷代版本的iPad Pro。</p> <p>上述漏洞皆為記憶體毀損弱點，攻擊者一旦能任意讀寫系統核心（kernel），就有機會繞過核心對於記憶體的防護機制。其中，CVE-2024-23225存在於系統核心本身，另一個漏洞CVE-2024-23225則是存在於名為RTKit的元件。</p> <p>資料來源</p> <p>1. <a href="https://support.apple.com/HT214081">https://support.apple.com/HT214081</a><br /> 2. <a href="https://support.apple.com/HT214082">https://support.apple.com/HT214082</a></p> <p> </p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="http://blog.sucuri.net/2024/03/from-web3-drainer-to-distributed-wordpress-brute-force-attack.html"><span style="font-size: 20px;">駭客針對WordPress網站發動攻擊，再經由瀏覽網站的使用者對其他網站下手</span></a></strong></p> <p></p> <p><a href="https://blog.talosintelligence.com/timbrestealer-campaign-targets-mexican-users/"><strong><span style="font-size: 20px;">墨西哥用戶遭到竊資軟體TimbreStealer鎖定，假借稅務主題為誘餌下手</span></strong></a></p> <p></p> <p><strong><a href="https://www.proofpoint.com/us/blog/threat-insight/ta577s-unusual-attack-chain-leads-ntlm-data-theft"><span style="font-size: 20px;">駭客組織TA577從事網路釣魚攻擊，企圖竊得使用者的NTLM雜湊密碼進行帳號挾持</span></a></strong></p> <p><a href="https://www.ithome.com.tw/news/161567"><strong><span style="font-size: 20px;">10個廠牌的智慧門鈴存在相同漏洞，允許駭客自遠端存取門鈴拍攝的影片及照片</span></strong></a></p> <p><a href="https://thehackernews.com/2024/03/over-225000-compromised-chatgpt.html"><strong><span style="font-size: 20px;">逾22萬個ChatGPT帳密流入暗網兜售</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161636"><strong>【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161613"><strong>【3月5日】中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161590"><strong>【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</strong></a></p> </div></div></div>
2024/3/7 16:41作者周峻佑https://www.ithome.com.tw/news/161657
【廠商永續支援度盤點：紅帽】OpenShift開始提供容器層級的電力監控支援功能，每個Pod或命名空間每小時的能耗都能…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽從今年初開始在自家混合雲平臺OpenShift中提供了一個容器層級的電力監控工具Kepler，能用於監控雲原生應用的功耗與能耗，不僅可以查看Pod或命名空間（Namespace）叢集中每日使用CPU的整體能耗情況，還能夠細緻地檢視每個命名空間的能耗和功耗在不同時段的變化情形，提供每小時的更新頻<br /> 率。不過目前尚未支援碳排放監控功能。</p> <p>在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過，現階段僅是技術預覽版，尚未推出正式版。</p> <p>去年初，紅帽承諾要在2030年實現營運溫室氣體淨零排放的目標，其中在針對企業客戶節能減碳方面，紅帽計畫開發一套軟體能耗量測的方法或工具，不僅能夠蒐集和監控每個容器化應用的能耗狀況，甚至可以將其碳排放數據納入管理與追蹤。</p> <p>這套工具源自於一個Kepler（Kubernetes-based Efficient Power Level Exporter）專案。這是由紅帽、IBM在2022年2月所發起，在2023年5月加入CNCF基金會沙盒的專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。</p> <p>Kepler這項工具會在每個節點中部署一個Kepler探索器，用於蒐集容器層級和節點層級的資訊，主要透過eBPF程式來追蹤CPU效能計數器和Linux核心Tracepoint機制，來蒐集即時能耗和資源利用率相關資訊，再進一步計算出每個容器或節點所消耗的kWh能耗資訊，用於監控和管理每個容器和節點的能耗情形。</p> <p>Kepler還使用API從節點元件蒐集各種即時功耗資訊，例如RAPL（用於監控與管理CPU及記憶體的用電量）、NVML（GPU資源利用率管理函式庫）、ACPI（系統電源效能管理介面）、IPMI（伺服器電源監測介面）等。</p> <p>為了準確預估每個容器或Pod的實際能耗，在Kepler工具中還結合機器學習模型來進行測量和預估，以提高測量模型準確性，以便根據實際的資源利用率準確地估計其功耗。同時，Kepler工具本身也整合了開源監控與資料視覺化平臺Grafana，可以視覺化方式呈現Pod或Namespace的電力消耗的情況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9%20%E2%80%93%E5%84%80%E9%8C%B6%E6%9D%BF-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">從電力監控儀表板中，使用者不僅可以查看每日Pod或Namespace叢集中占用CPU能耗的整體情況，包括所選CPU架構和受監控指定的節點數量等，還可放大檢視每個Namespace在不同時段的能耗和功耗變化，並提供每小時的更新頻率。此外，也可以優先列出能耗過高的Namespace叢集，了解哪些容器和Pod消耗的電量最多，做為日後能耗改善的參考依據。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_紅帽</span></p> <p><strong><span style="font-size:28px;">每個Pod或命名空間的能耗都能納入監控</span></strong></p> <p>紅帽目前雖然還沒將Kepler變成OpenShift的內建功能，但隨著去年11月，OpenShift 4.14版本的發布後，紅帽開始推出了採用Kepler專案所開發的電力監控功能的開發者預覽，讓開發者可以透過安裝外掛的方式，直接將其整合到OpenShift主控臺的儀表板上，方便用戶進行查看和分析。隨後在今年1月底，這項功能進入技術預覽階段，目前尚未推出正式版。</p> <p>從電力監控儀表板中，使用者不僅可以查看每日所有Pod或Namespace叢集中占用CPU能耗的整體情況，包含所選CPU架構和受監控指定的節點數量等，還可放大檢視每個Namespace在不同時段的能耗和功耗變化，並提供每小時的更新頻率。此外，也可以優先列出能耗過高的Namespace叢集，了解哪些容器和Pod消耗的電量最多，做為加強能耗改善的參考依據。</p> <p>值得注意的是，在OpenShift中這項功能目前僅提供Pod、Namespace的功耗和能耗資訊，尚未包含碳排放資訊。因此，企業必須自行將每個容器或運算節點所消耗的kWh能耗資訊乘上碳排放因子，才能夠換算出相應的碳排放量，還無法直接在OpenShift中來查看每個容器或節點的碳排狀況。</p> <p>紅帽表示，透過Kepler工具能夠協助企業更容易觀察、分析、優化和記錄雲端原生應用程式的功耗，而且不僅僅是能產出相關能耗報告，還能用於建立和追蹤其碳足跡，甚至是與軟體工程CI/CD工作流程緊密結合等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9%20%E2%80%93KEPLER-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">紅帽最新提供的Kepler技術支援矩陣顯示了目前已支援和計畫提供技術支援情況，最底層是作業環境層（包含裸機、虛擬機器環境），再上一層是電力資訊收集層（主機板、硬體元件），最上面是應用層（Pod、容器、Process和VM）。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_紅帽</span></p> <p> </p> <p><strong><span style="font-size:28px;">Kepler專案未來計畫提供技術支援</span></strong></p> <p>根據紅帽最新提供的Kepler技術支援矩陣顯示了目前已支援和計畫提供技術支援情況，涵蓋了作業環境層、電力資訊收集層，以及應用層。</p> <p>首先，在底層作業環境上，Kepler現已可支援跨不同作業環境，包括裸機和虛擬機器環境，來監測每個容器化應用的能耗，之後還將支援可信賴執行環境TEE架構。再上一層是電力資訊收集層，一方面支援來自BMC/HMC硬體管理主控臺的電力數據源，未來也將能進一步支援儲存、網路以及外部的電力資訊。另一方面，Kepler支援目前主流的硬體元件及記憶體，包含CPU、GPU、DRAM記憶體和QAT加解密加速器。最上面的應用層，Kepler不只可以支援Pod、容器，還能夠提供Process和虛擬機器的支援。也就是說，即使是在非雲原生環境中，也能夠使用Kepler進行VM的能耗監測和管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9%20%E2%80%93%E6%B0%B8%E7%BA%8C%E7%99%BC%E5%B1%95-%E5%9C%964-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">除了Kepler專案之外，從紅帽一份雲原生永續性發展藍圖中透露出他們未來在雲原生永續發展上，還將積極推動三項雲原生永續性專案計畫及發展。由左至右分別是能夠感知功耗變化並調整工作負載排程的Peaks專案，還有專注於利用ML模型預測和調整Pod資源使用進行調度的Clever專案。最後一個發展計畫則和減碳相關，能夠自動根據容器化應用的工作負荷進行調度，將高耗能的工作負載分配到碳排放足跡較低的環境中執行。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_紅帽</span></p> <p> </p> <p><strong><span style="font-size:28px;">紅帽雲原生永續性發展藍圖</span></strong></p> <p>除了Kepler專案之外，從紅帽一份雲原生永續性發展藍圖中透露出他們未來在雲原生永續發展上將積極推動三項雲原生永續性專案及發展。紅帽提到的第一個雲原生永續性專案是Peaks專案。這是由紅帽、ET和IBM去年10月發起的專案，它是一個能夠感知功耗並調整工作負載排程的工具，使用該工具可以透過從Kepler中取得的能耗資訊以及綜合能源效率、資源利用率和硬體的相關性，進而計算出其功耗效率資訊，作為能源效率工作負載調度的參考依據，來最佳化其每瓦特效能。</p> <p>第二項雲原生永續專案則是Clever專案，專注於利用ML模型來預測和調整Pod資源使用和進行調度，以便能夠根據工作負載自動擴展或縮放Pod節點，達到功耗效能最優化。</p> <p>紅帽提到的最後一個雲原生永續發展方向則和減碳相關，未來能夠自動根據容器化應用的工作負荷進行調度，將高耗能的工作負載分配到碳排放足跡較低的環境中執行，確保在工作負載的生命周期內落實永續目標。除了Kepler已加入CNCF基金會沙盒專案，Peaks和Clever專案目前均已放上GitHub 上。</p> </div></div></div>
2024/3/7 10:02作者余至浩https://www.ithome.com.tw/news/161588
微軟.NET程式碼評估工具整合GitHub Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/dotnet/azure-migrate-application-and-code-assessment-march-2024-update/">更新</a>其.NET程式碼評估工具Azure Migrate Application and Code Assessment，包括整合GitHub Copilot、考量不同Azure環境，以及提供開發者更多自訂靈活性等，協助開發者找出和解決搬遷Azure可能遭遇的問題，更順利地在雲端平臺重新部署應用程式。</p> <p>微軟在今年1月初的時候推出Azure Migrate Application and Code Assessment工具，讓開發者可以方便地將本地端.NET應用程式搬遷到Azure雲端。該工具能夠評估.NET應用程式原始碼、配置和二進位檔案，在搬遷之前先找出可能發生的潛在問題，並且提供開發者雲端原生解決方案建議，以解決效能、擴展性和資安問題。</p> <p>而微軟現在於Azure Migrate Application and Code Assessment整合GitHub Copilot，官方解釋，該工具很適合在搬遷之前進行審查，而藉由整合Copilot Chat，就可以進一步針對已發現的問題，提供客製化指引。</p> <p>Copilot Chat透過Visual Studio擴充套件和命令列工具，整合至Azure Migrate Application and Code Assessment。開發者安裝Visual Studio擴充套件之後，在報告儀表板中便會看到Copilot Chat的按鈕，點擊之後Copilot會閱讀專案報告，總結出重要問題，開發者便可就想解決的問題與Copilot深入討論。</p> <p>另外，報告中的所有問題，旁邊也都會有一個Ask Copilot按鈕，可以啟動與Copilot Chat的新對話，微軟提到，Ask Copilot功能會將開發者的描述，還有觸發問題的程式碼片段共享給Copilot Chat，使得Copilot能根據具體程式碼和問題提供建議，而這將有助於Copilot Chat提供更準確的指引。也就是說，開發者必須謹慎考慮提交的內容，避免提及不想提供給Copilot Chat的程式碼和敏感資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Ask%20Copilot-600.png" style="width: 600px;" /></p> <p>Azure Migrate Application and Code Assessment可以評估需要調整的程式碼模式，以便.NET應用程式在Azure中良好的運作。之前該工具的問題分析都是針對一般Azure環境，並沒有考慮到不同Azure託管選項間的差異，在新版中，開發者可選擇諸如Azure App Service（Windows）、Azure App Service（Linux 容器化）或Azure Container Apps等目標環境。</p> <p>微軟指出，雖然無論開發者選擇的環境，Azure Migrate Application and Code Assessment都以相同的規則分析應用程式，但是依據環境的不同，問題的嚴重性和描述可能會有所不同。而現在該工具可以反應所選環境的具體要求。</p> <p>另外，在Azure Migrate Application and Code Assessment的最新版本，還支援直接掃描編譯後的.NET應用程式二進位檔案，因此可用於掃描建置輸出，或是直接評估部署在IIS的.NET應用程式，這對於原始碼不可用，或是想直接掃描已部署的應用程式特別有用。不過Visual Studio擴充套件僅適用於專案程式碼，所以這項功能僅在命令列工具中可用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Azure%20Migrate%20application%20and%20code%20assessment-Scanning%20binary-600.png" style="width: 600px;" /></p> <p>而現在開發者還能夠靈活地自訂評估規則，只要使用JSON配置檔就能夠啟用和停用特定規則，甚至是變更規則的嚴重性、排除規則等。Visual Studio擴充套件和命令列工具皆支援此功能。</p> </div></div></div>
2024/3/4 21:50作者李建興https://www.ithome.com.tw/news/161595
【資安日報】3月4日，駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>投資詐騙的攻擊行動可說是相當氾濫，而過往研究人員察覺的資安事故當中，多半是涉及駭客如何引誘使用者上當，但最近有新型態的攻擊手法出現。</p> <p>已經暗中進行超過2年的駭客組織Savvy Seahorse攻擊行動，就是這種例子，對方濫用網域名稱服務（DNS）的CNAME紀錄打造惡意流量分配系統（Traffic Distribution System，TDS），而能精確鎖定目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/beware-the-shallow-waters-savvy-seahorse-lures-victims-to-fake-investment-platforms-through-facebook-ads/"><strong style="font-size: 22px;">駭客組織Savvy Seahorse濫用DNS CNAME紀錄行騙，透過臉書廣告引誘使用者進行假投資</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-savvy-seahorse-diagram1-updated-scaled.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-savvy-seahorse-diagram1-updated-scaled.jpg" style="width: 300px; float: right;" /></a>資安業者Infoblox揭露駭客組織Savvy Seahorse的攻擊行動，這些駭客從2021年8月開始，利用惡意流量分配系統（Traffic Distribution System，TDS），來從事投資詐騙，並且濫用DNS維持惡意網域的運作。這些駭客透過9種語言的臉書廣告，假冒Meta、特斯拉等知名品牌，引誘使用者在偽造的投資平臺注入資金，一旦照做，這些錢就會移轉到俄羅斯銀行的特定帳戶。</p> <p>而這起攻擊行動的特別之處，在於駭客濫用了網域名稱服務（DNS）的CNAME紀錄，並將使用者的資料發送到TDS伺服器進行驗證，然後套用地理圍欄來過濾烏克蘭及其他數個國家的用戶，以及網路爬蟲和資安系統。此外，對方也濫用DNS的萬用字元，從而快速產生大量的獨立攻擊行動，能針對被動DNS（pDNS）分析進行干擾。</p> <p><a href="https://www.semperis.com/blog/meet-silver-saml"><strong style="font-size: 22px;">研究人員揭露繞過SAML身分驗證的新型態攻擊手法Silver SAML</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot_SilverSAML_Fig11_AttackInSPInitiatedFlow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_SilverSAML_Fig11_AttackInSPInitiatedFlow.png" style="width: 300px; float: right;" /></a>2021年資安業者CyberArk公布針對SAML單一簽入（SSO）的攻擊手法Golden SAML，攻擊者會從AD聯合身分驗證服務（ADFS）挖堀簽章，並將其用於偽造SAML身分驗證的回應流程，進而取得相關權限。</p> <p>這種後洩露（post-breach）的手段，對於2020年發生的SolarWinds供應鏈攻擊，帶來更嚴重的破壞，對此，後續美國網路安全暨基礎設施安全局（CISA）及多名資安專家呼籲，採用混合雲架構的組織，應考慮將SAML身分驗證遷移至Entra ID等雲端架構的系統來因應，如今有研究人員揭露新型態手法，並表明已採取防禦Golden SAML緩解措施的企業組織也會曝險。</p> <p>資安業者Semperis揭露名為Silver SAML的新型態攻擊手法，主要是透過SAML的弱點，入侵透過身分驗證服務（如Entra ID）把關的應用程式（如Salesforce）。該公司初步認為，這個手法會帶來中等程度的威脅，目前也尚未出現被用於攻擊行動的跡象，但若是攻擊者將其用於存取業務上重要的應用系統，有可能帶來非常嚴重的風險。</p> <p><a href="https://techcrunch.com/2024/02/29/leaky-database-two-factor-codes/"><strong style="font-size: 22px;">中國簡訊業者奧訊國際資料庫曝光，恐洩露大型網站的簡訊動態密碼、重設網址</strong></a></p> <p></p> <p>資安研究人員Anurag Sen發現了中國簡訊業者奧訊國際（YX International）曝露於網際網路的資料庫，且並未設置密碼保護，一旦有人得知其IP位址就能存取。該資料庫的內容，主要是發送給網站用戶的簡訊，包含了進行雙因素驗證的動態密碼（OTP），或是重設密碼的連結，而這些簡訊來自科技龍頭，包含臉書、WhatsApp、Google、抖音，這些資料最早可追溯至2023年7月。</p> <p>研究人員尋求科技網站TechCrunch的協助，共同尋找該資料庫的所有者。TechCrunch檢視資料庫內容，找到奧訊內部電子郵件信箱帳密，然後通報此事，不久後該資料庫就離線。</p> <p>不願具名的奧訊代表做出回應，表示他們已經封鎖了漏洞，但該伺服器並未保存存取記錄，究竟是否有其他人存取仍不得而知。</p> <p><a href="https://research.checkpoint.com/2024/raspberry-robin-keeps-riding-the-wave-of-endless-1-days/"><strong style="font-size: 22px;">惡意程式Raspberry Robin鎖定甫公布的已知漏洞發動攻擊</strong></a></p> <p></p> <p>資安業者Check Point針對從2021年出現的蠕蟲程式Raspberry Robin提出警告，指出從2023年10月此惡意程式的攻擊行動升溫，而且在2個已知的本機權限提升（LPE）漏洞CVE-2023-36802、CVE-2023-29360公布不久後，就將其用於攻擊流程（1-day）。</p> <p>研究人員指出，類型混淆漏洞CVE-2023-36802存在於Microsoft Streaming Service Proxy模組，微軟於去年9月修補，但去年2月傳出有人在暗網兜售利用漏洞的方法，而根據他們的調查，使用Raspberry Robin的駭客於10月開始利用這項漏洞，略早於GitHub上出現的概念性驗證程式碼（PoC）；另一項被利用的漏洞CVE-2023-29360，則是存在於信賴平臺模組（TPM）的Windows驅動程式，微軟於去年6月修補，這些駭客在8月開始運用，也比GitHub上有人9月下旬公布概念性驗證程式碼要來得早。</p> <p>根據上述兩個漏洞的利用情況，研究人員指出，這些駭客企圖縮短漏洞公布後的利用時間，代表對方很有可能具備開發漏洞的能力，或是短時間就能向漏洞掮客取得相關程式碼，而能將這些甫公布的漏洞用於攻擊。</p> <p><a href="https://www.cadosecurity.com/migo-a-redis-miner-with-novel-system-weakening-techniques/"><strong style="font-size: 22px;">惡意軟體Migo企圖停用Redis伺服器的安全機制，將其用於挖礦</strong></a></p> <p></p> <p>資安業者Cado揭露鎖定Redis伺服器的惡意程式Migo攻擊行動，駭客先是企圖透過命令列（CLI）竄改目標伺服器的配置，包括：開放外部存取、允許寫入複本資料，然後針對只能寫入新資料的檔案（Append-Only File，AOF）、Redis資料庫檔案（RDB），停用增量檔案同步的功能，從而增加伺服器IO負載與降低效能，攻擊者這麼做的目的，主要是讓行蹤較難被察覺。</p> <p>接著，對方安排cron工作排程，從Pastebin下載指令碼，然後存取命令列檔案共享服務Transfer.sh尋找Migo惡意程式，並植入主機的後臺執行。此為Go語言編譯的ELF檔案，主要功能是從GitHub的內容傳遞網路（CDN）抓取、部署挖礦程式XMRig。</p> <p>值得留意的是，為了維持挖礦程式在受害主機運作，駭客建立systemd服務，而且，Migo採用使用者模式的rootkit，以及竄改特定的系統組態檔案，隱匿處理程序及檔案，導致他們的行蹤更難發現。從這起攻擊行動的攻擊鏈來看，研究人員認為，駭客對Redis的環境和運作應該有相當深入的了解。</p> <p><a href="https://blog.morphisec.com/unveiling-uac-0184-the-remcos-rat-steganography-saga"><strong style="font-size: 22px;">惡意程式載入工具Idat被用於散布RAT木馬Remcos</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Remcos_RAT_diagram_3-ezgif_com-o.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Remcos_RAT_diagram_3-ezgif_com-o.png" style="width: 300px; float: right;" /></a>去年資安業者趨勢科技發現駭客組織UAC-0184的攻擊行動，當時對方鎖定烏克蘭武裝部隊發動攻擊，如今該組人馬目標已轉向其他與烏克蘭有關的組織。</p> <p>資安業者Morphisec公布今年1月出現的攻擊行動，駭客假冒烏克蘭或以色列軍隊的名義，對在芬蘭運作的烏克蘭組織寄送釣魚郵件，並挾帶含有Windows捷徑（LNK）的附件，一旦收信人依照指示開啟，就會觸發感染鏈，解密並執行惡意程式載入工具Idat，進而自特定的PNG圖檔挖出惡意程式及相關模組，並在記憶體內解密並執行RAT木馬程式Remcos。</p> <p>研究人員指出，他們也看到Idat被用於散布Danabot、SystemBC、RedLine Stealer等竊資軟體的情況，而且，攻擊過程裡對方採用複雜的手法來迴避偵測，包含：動態載入Windows API功能函數、測試HTTP連線、處理程序黑名單、系統呼叫，其中的API呼叫命令更是透過解密金鑰進行解析。</p> <p><a href="https://www.mandiant.com/resources/blog/suspected-iranian-unc1549-targets-israel-middle-east"><strong style="font-size: 22px;">中東航空、航太、國防工具遭到伊朗駭客組織UNC1549鎖定</strong></a></p> <p></p> <p>資安業者Mandiant揭露伊朗駭客UNC1549自2022年6月發起的攻擊行動，範圍主要包含以色列及阿拉伯大公國等中東地區，並針對航太及國防工業下手，但其他地區也有企業組織受害。駭客假借與以色列及哈馬斯相關的內容，或是職缺、登入網頁的名義，散布後門程式Minibike、Minibus，一旦電腦被植入這些後門程式，駭客就有可能進行情報收集，或是將受害電腦當作入侵目標組織的據點，也有可能植入更多惡意程式。</p> <p>研究人員看到駭客最初使用Minibike，此後門程式具備較為完整的功能，包含列出目標主機或特定資料夾的檔案、收集系統資訊、上傳檔案、執行其他處理程序；而到了2023年8月，對方也開始使用Minibus，但相較於另一個後門程式，其功能較少，卻具備更佳的偵察能力。值得留意的是，在大多數情況當中，駭客從Azure雲端基礎設施取得上述的後門程式，而使得攻擊行動變得更為隱匿。</p> <p>而對於駭客的身分，研究人員指出，對方與TA456（亦稱Imperial Kitten、Tortoiseshell）有所交集，因此很可能也聽從伊斯蘭革命衛隊（IRGC）的命令。</p> <p><a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/"><strong style="font-size: 22px;">AI影片編輯平臺Cutout.Pro驚傳資料外洩，2千萬會員個資流入駭客論壇</strong></a></p> <p></p> <p>2月27日有人在駭客論壇BreachForums聲稱從人工智慧影音編輯平臺Cutout.Pro竊得逾2千萬筆用戶個資，並公布大小為5.93 GB的CSV檔案，當中總共存放約4,140萬筆記錄，有2千萬個不同的電子郵件信箱帳號。</p> <p>資安新聞網站Bleeping Computer取得上述CSV檔案，這些資料包含了使用者ID及頭像圖片、API金鑰、帳號建立日期、電子郵件信箱、使用者IP位址、行動電話號碼、密碼雜湊值、帳號類型與狀態。2月28日密碼外洩查詢網站Have I Been Pwned（HIBP）也將這批資料加入其資料庫，並指出受影響的帳號有19,972,829個。</p> <p>值得留意的是，雖然Cutout.Pro尚未證實資料是否外洩，但Bleeping Computer與HIBP比對CSV檔案內容，驗證部分資料確實是有效帳號，對此，他們呼籲使用者應儘速重設密碼。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/">https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/</a><br /> 2. <a href="https://haveibeenpwned.com/PwnedWebsites#CutoutPro">https://haveibeenpwned.com/PwnedWebsites#CutoutPro</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://infosecwriteups.com/0-click-account-takeover-on-facebook-e4120651e23e"><strong style="font-size: 22px;">Meta修補臉書帳號有可能遭到挾持的密碼重置漏洞</strong></a></p> <p></p> <p>研究人員Samip Aryal揭露臉書帳號的接管漏洞，這項漏洞存在於密碼重設的流程，與特定的端點流量速率限制相關，使得攻擊者有機會藉由動態密碼進行暴力破解，從而接管任何臉書帳號，過程中有可能無須使用者互動。</p> <p>他發現在臉書的密碼重設過程當中，其中一種驗證方式是向使用者其他已經登入的裝置發送6位數驗證碼，但這串數字有效期間長達2個小時，且並未受到防護暴力破解攻擊機制的阻止，因此，攻擊者一旦得知目標的臉書帳號，就有機會透過像是Burp Suite等滲透測試工具破解上述驗證碼，從而竄改密碼或是挾持帳號。研究人員表示，當這個漏洞被利用的時候，受害者的裝置會收到彈出式通知，訊息內容有可能會直接顯示驗證碼，或者是要求使用者點選通知訊息檢視。</p> <p>該名研究人員在1月30日向Meta通報，並於2月2日得到修補。究竟這項漏洞有多嚴重？或許能根據Meta頒發獎金<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">的</span>情況得知。研究人員表示，這是他從Meta拿到獎金最高的一次，但並未透露金額。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog"><strong><span style="font-size: 20px;">美國CISA將微軟串流服務漏洞CVE-2023-29360列入已被利用的名單</span></strong></a></p> <p></p> <p><strong><a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-data-center-os/"><span style="font-size: 20px;">思科修補資料中心作業系統FXOS、NX-OS的高風險漏洞</span></a></strong></p> <p></p> <p><a href="https://unit42.paloaltonetworks.com/new-linux-variant-bifrost-malware/"><strong><span style="font-size: 20px;">RAT木馬程式Bifrost藉由偽冒的VMware網域散布</span></strong></a></p> <p></p> <p><a href="https://www.darkreading.com/cloud-security/russia-s-midnight-blizzard-targeting-service-accounts-for-initial-cloud-access"><strong><span style="font-size: 20px;">雲端服務帳號遭到俄羅斯駭客組織APT28鎖定，成為對方入侵受害組織的主要管道</span></strong></a></p> <p></p> <p><strong><a href="https://www.darkreading.com/vulnerabilities-threats/voltzite-zaps-african-utilities-volt-typhoon-onslaught"><span style="font-size: 20px;">中國駭客組織Volt Typhoon旗下團體針對非洲公營事業下手</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161571"><strong>【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161549"><strong>【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161517"><strong>【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</strong></a></p> </div></div></div>
2024/3/4 12:10作者周峻佑https://www.ithome.com.tw/news/161590
【資安週報】2024年2月26日到3月1日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>告別2月，迎接3月，我們要提醒大家注意的資安消息，包括兆勤、Canon、思科的漏洞修補消息，以及開源軟體存在Wi-Fi身分驗證繞過漏洞的相關修補，需要企業著手因應之外，特別的是，還有兩個與微軟有關的漏洞利用，這些問題都必須重視，請用戶及早修補或實施緩解機制。<br /> （一）微軟在2月修補的漏洞CVE-2024-21338，通報此漏洞的資安業者Avast最近指出，發現修補前已有北韓駭客組織Lazarus利用，以關閉特定的防護處理程序、迴避偵測。由於上述狀況的發生，也表示此弱點已導致零時差漏洞攻擊。<br /> （二）去年6月微軟修補微軟Streaming Service相關漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog">CVE-2023-29360，這是存在於驅動程式mskssrv.sys的權限提升漏洞，近日發現鎖定利用的情形</a>。這段時間的iThome資安日報尚未提及，在此補上。<br /> 另外，前幾期週報我們已提醒的Ivanti Connect Secure漏洞，以及ScreenConnect漏洞，如今傳出中國駭客與多個駭客團體正鎖定攻擊的情形，尚未因應的企業需要趕緊行動。</p> <p>在資安事件方面，國內有3項消息受到矚目，都與上市公司有關，包括：<br /> ●2月26日，上市綠能環保、PCB廢液處理業者昶昕公告，部份資訊系統遭受駭客網路攻擊事件。<br /> ●2月29日，中華電信因媒體報導有人在暗網兜售該公司的內部資料，發布重大訊息，表明資安團隊查知疑似資料外流的情況，正展開調查。<br /> ●2月27日，散熱風扇廠商建準在一星期前已公告發生網路資安事件，但這天再次發布新的重訊，說明該事件的後續處理情形。</p> <p>在資安威脅焦點方面，上星期發生的兩起重大事件，都有後續消息傳出。例如，才被11個國家執法單位圍剿的勒索軟體駭客組織LockBit，已傳出重啟爐灶的消息；關於中國資安業者「安洵信息」的資料外洩，曝露該國政府對全球20國發動網路間諜行動的情況，後續有更多與臺灣資安現況有關的內容被分析出來，像是國外研究人員指出，當中蒐集了臺灣道路地圖檔案的情資，已竊取495 GB的相關檔案，臺灣資安業者TeamT5亦指出，當中透露該公司與中國政府打交道的情形，產品細節與財務，以及上報RAT木馬程式ShadowPad開發的細節，顯示這批資料的可信度相當高。</p> <p>其他最新威脅態勢的揭露上，我們注意到5個值得留意的狀況，其中有3則是多國網路安全機構的示警：<br /> ●AI開發者與用戶要當心！近日有兩起資安新聞，一是機器學習模型共享平臺Hugging Face出現100個惡意模型，不慎下載恐將被安裝後門程式，另一是AI影片編輯平臺Cutout.Pro傳出資料外洩，2千萬名會員個資流入駭客論壇。<br /> ●電信業者注意！有研究人員揭露駭客近期使用的後門程式Gtpdoor，主要針對鄰近GPRS交換網路（GRX）的電信網路環境入侵，並將攻擊流量混入合法流量，隱匿攻擊行動。<br /> ●德國BfV、韓國NIS提出警告，北韓駭客針對全球國防單位從事網路間諜行動，這份警告也揭露當中存在供應鏈攻擊的狀況：對方入侵維護廠商竊取SSH帳密，從而存取海事及航運研究中心的Linux網頁伺服器主機。<br /> ●10國執法機關聯手針對俄羅斯駭客組織APT28的攻擊行動提出警告，指出攻擊者正鎖定Ubiquiti路由器入侵，並濫用EdgeRouter迴避偵測、建置殭屍網路，以隱匿攻擊行動。<br /> ●<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">美國CISA</a>與<a href="https://www.ncsc.gov.uk/files/Advisory-SVR-cyber-actors-adapt-tactics-for-initial-cloud-access.pdf">英國NCSC</a>示警，俄羅斯駭客組織APT29（亦稱Midnight Blizzard）是俄羅斯情報部門SVR的一部分，近期經常針對服務帳戶使用密碼噴灑攻擊，以取得對雲端環境的初始存取權限。本週刊出的資安日報尚未提及，在此補上。</p> <p>還有一個威脅態勢，我們認為也相當值得企業警惕，是棄用的子網域名稱遭濫用，有攻擊者正進行這方面的大規模網路掃描，以奪取控制權，進而盜用企業身分發動網路釣魚攻擊。近期已有MSN、VMware、eBay等多家企業的網域遭利用，這也突顯即使大型知名企業，仍可能在這方面產生疏忽。</p> <p>至於防禦態勢上，最大焦點就是美國NIST正式發布了網路安全框架CSF 2.0，新版不僅加入治理功能，還有一系列的資源與工具，讓企業更容易去實踐。例如，在5種快速入門指南中，有小型企業（SMB）適用的快速入門指南，在CPRT工具中則針對各項子類別，提供了易於理解的實踐範例。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161467"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</span></strong></a></h3> <p>執法單位<a href="https://www.ithome.com.tw/news/161379">針對勒索軟體駭客組織LockBit出手</a>，成功接管34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕2名嫌犯，隨後<a href="https://www.ithome.com.tw/news/161386">日本警方也在No More Ransom網站提供LockBit 3.0解密工具</a>。但這群駭客也不是省油的燈，不到一週的時間，他們重新架設網站，並聲稱已有組織受害。</p> <p>在此期間，已經有駭客利用遠端桌面連線軟體ScreenConnect的重大漏洞，<a href="https://www.ithome.com.tw/news/161450#SlashAndGrab">對醫療機構散布LockBit用來加密檔案</a>，但當時研究人員推測，可能是未被取締的附屬組織所為。</p> <h3><a href="https://www.ithome.com.tw/news/161517"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</span></strong></a></h3> <p>駭客註冊特定名稱的網域並用於攻擊行動很常見，而且，過往這類手法最常見的做法，便是註冊與目標組織名稱類似的網域，企圖混淆使用者來達到目的，但最近，研究人員發現使用新型態手法的攻擊行動，駭客能夠繞過垃圾郵件過濾器或是郵件安全閘道的防護。</p> <p>特別的是，這次駭客是尋找知名企業組織棄用許久的網域名稱，並重新註冊納為己有，然後用這些網域、子網域來大量發送惡意郵件。</p> <p><a href="https://www.ithome.com.tw/news/161549"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</span></strong></a></p> <p>最近2到3年，駭客偏好散布惡意程式的新興管道，其中之一就是針對開發人員使用的開源套件儲存庫NPM、PyPI而來，藉由在此發行有問題的套件，進而在安裝、使用這些套件的電腦散布惡意程式，但隨著生成式AI技術的崛起，類似的情況也出現在共享機器學習模型的平臺。</p> <p>在譽為AI界GitHub之稱的Hugging Face平臺，研究人員發現裡面存在惡意的機器學習模型，值得留意的是，儘管該公司已採取多項檢測措施來掃描機器學習模型的檔案是否有害，然而，這些模型居然可以繞過這些機制而能成功上架，因此平臺端和使用者端都要提高警覺。</p> <h3><a href="https://www.ithome.com.tw/news/161571"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</span></strong></a></h3> <p>電信業者遭到駭客組織鎖定，長期埋伏於電信網路環境的情況，最近幾年陸續有研究人員公布相關的攻擊行動，如今又有新的發現。</p> <p>研究人員發現新的後門程式Gtpdoor，與過往發現的作案工具有所不同的是，駭客組織LightBasin疑似直接使用GPRS隧道通訊協定（GTP）來隱匿流量內容，並將其混入合法流量，而使得電信業者難以偵測該組織從事的網路間諜行動。</p> </div></div></div>
2024/3/4 09:27作者羅正漢https://www.ithome.com.tw/news/161587
【資安日報】3月1日，惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者遭到駭客組織鎖定，長期埋伏於電信網路環境的情況，最近幾年陸續有研究人員公布相關的攻擊行動，如今又有新的發現。</p> <p>研究人員發現新的後門程式Gtpdoor，與過往發現的作案工具有所不同的是，駭客組織LightBasin疑似直接使用GPRS隧道通訊協定（GTP）來隱匿流量內容，並將其混入合法流量，而使得電信業者難以偵測該組織從事的網路間諜行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://doubleagent.net/telecommunications/backdoor/gtp/2024/02/27/GTPDOOR-COVERT-TELCO-BACKDOOR"><strong style="font-size: 22px;">惡意程式Gtpdoor鎖定電信業者而來，透過GPRS網路進行控制</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gtpdoor-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gtpdoor-1.png" style="width: 300px; float: right;" /></a>研究人員Haxrob揭露名為Gtpdoor的後門程式，駭客將其部署在鄰近GPRS交換網路（GRX）的電信網路環境，並透過GPRS隧道通訊協定（GTP）與C2進行連線，從而透過電信業者開放的連接埠，將攻擊流量混入合法流量，而能隱匿其攻擊行動。</p> <p>此後門程式具備監聽特定封包喚醒的功能，並支援反向Shell的功能，攻擊者也能藉此從外部網路進行非法探測，透過發送TCP封包來得知該後門程式的運作狀態。此外，對於特定的GTP封包，該後門程式使用XOR密碼進行加密處理。</p> <p>而對於利用該後門程式的攻擊者身分，研究人員認為可能是資安業者CrowdStrike揭露的LightBasin（也被稱做UNC1945），這些駭客曾被發現對超過13家電信業者下手，從2019年開始從這些廠商的基礎設施收集各式資訊。</p> <p><a href="https://www.zscaler.com/blogs/security-research/european-diplomats-targeted-spikedwine-wineloader"><strong style="font-size: 22px;">歐洲政府機關遭到鎖定，駭客利用印度外交活動為誘餌，散布後門程式WineLoader</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/WineLoader_1_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WineLoader_1_5.png" style="width: 300px; float: right;" /></a>資安業者Zscaler名為SpikedWine的駭客組織攻擊行動，這些駭客疑似從去年7月開始活動，其中一起發生於今年1月30日的事故，是駭客佯稱是印度大使，邀請歐洲外交官參加2月份的品酒活動。</p> <p>對方使用PDF文件檔案做為誘餌，要求收到邀請函的官員填寫網路問卷，然而一旦照做，攻擊者就會將名為wine.hta的HTML應用程式檔案下載到電腦，該檔案含有經混淆處理的JavaScript程式碼，功能是從網域搜尋、下載挾帶後門程式檔案的壓縮檔，從而在電腦植入惡意軟體WineLoader。</p> <p>此惡意程式以DLL挖空手法注入特定的DLL檔案執行，為了迴避偵測，攻擊者以模組化的方式設計此惡意程式，相關的模組、與C2通訊的流量，也使用256位元的RC4金鑰進行加密處理。</p> <p><a href="https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html"><strong style="font-size: 22px;">北韓駭客Lazarus釋出惡意PyPI套件，意圖散布惡意軟體Comebacker</strong></a></p> <p></p> <p>2月28日日本電腦緊急應變小組（JPCERT/CC）提出警告，北韓駭客組織Lazarus近期在PyPI平臺上架4款具有惡意的軟體套件，企圖向開發人員散布惡意程式Comebacker。這些套件的名稱分別是pycryptoenv、pycryptoconf、quasarlib、swapmempool，在遭到刪除前共被下載3,257次。</p> <p>上述惡意套件採用類似的檔案結構，其中包含名為test.py的檔案，駭客於目標電腦執行帶有crypt功能函數的Python指令碼對其進行解碼，從而產生DLL程式庫output.py，然後該程式庫會用於建立另一個DLL檔案IconCache.db，也就是惡意軟體Comebacker，並於記憶體內執行、與C2連線。</p> <p><a href="https://www.mandiant.com/resources/blog/investigating-ivanti-exploitation-persistence"><strong style="font-size: 22px;">中國駭客組織利用Ivanti Connect Secure漏洞從事攻擊行動，恐針對美國、日本、亞太地區國防工業及電信機構而來</strong></a></p> <p></p> <p>資安業者Mandiant指出，他們在Ivanti於1月10日公布Ivanti Connect Secure零時差漏洞CVE-2023-46805、CVE-2024-21887之後，發現有中國駭客跟進、利用這些漏洞。</p> <p>其中1個名為UNC5325的駭客組織，不只使用寄生攻擊（LotL）手法來迴避偵測，並部署新型態的惡意軟體Littlelamb.Wooltea，從而在受害系統進行韌體更新、恢復原廠初始設置後，仍能在受害環境進行活動。研究人員指出，這些駭客在Ivanti公布之前，就利用了另一個漏洞CVE-2024-21893，而在Ivanti公布之後，對方企圖將其與CVE-2024-21887串連，造成更大的危害。</p> <p>根據駭客所使用的程式碼，研究人員認為這群人馬可能與另一個中國駭客組織UNC3886有關，而該組織主要攻擊範圍是美國、日本，以及亞太地區，針對國防工業基礎設施、科技業者、電信組織，他們推測UNC5325也會對於上述目標發動攻擊。</p> <p><a href="https://www.bitdefender.com/blog/labs/when-stealers-converge-new-variant-of-atomic-stealer-in-the-wild/"><strong style="font-size: 22px;">竊資軟體Atomic Stealer鎖定Safari的cookie、加密貨幣錢包而來</strong></a></p> <p></p> <p>資安業者Bitdefender發現新的macOS竊資軟體Atomic Stealer（亦稱AMOS Stealer）變種，這些竊資軟體採用Python指令碼讓其行蹤維持隱密，此惡意程式會收集瀏覽器裡儲存的資訊（特別是Safari的cookie），以及系統裡的特定檔案，並會引誘使用者提供本機帳號的密碼。</p> <p>研究人員指出，這款竊資軟體採用了結合Python與Apple指令碼的罕見手法，而有可能影響資安系統的偵測。附帶一提的是，他們比對了Atomic Stealer的程式碼，發現與2月上旬出現、假借Visual Studio更新程式來散布的竊資軟體RustDoor出現共用程式碼的情況，研判新版Atomic Stealer是以RustDoor為基礎開發而成。</p> <p><a href="https://www.ithome.com.tw/news/161562"><strong style="font-size: 22px;">中華電信傳出資料外洩，我國國安單位內部資料流入暗網</strong></a></p> <p>2月29日中華電信突然發布重大訊息提出說明，表明他們的資安團隊查知疑似資料外流的情況，已全面啟動資安防禦機制，並與外部資安技術專家共同合作處理，同時向政府部門進行通報。為何中華電信昨天要發布這則重大訊息？原因可能與這兩天一家媒體的報導有關，裡面提到有人在暗網兜售中華電信的內部資料。</p> <p>根據TVBS新聞臺2月28日的報導，近期暗網出現中華電信與國安單位之間往來的機密文件和公文，賣家聲稱握有1.7 TB資料，內容涵蓋內部文件、逾7千個資料庫，政府採購合約等。</p> <p>這些合約包含：軍司令部「租用中新一號後續衛星轉頻器」、外交部3年前與諾魯的資通訊合作案會議前摘要、去年海巡署巡護九號艦艇安裝和啟用衛星通訊的合約，此外，中華電信曾在2021年參與中科院的通資交換節點標案，金額為1,985萬元，相關文件被列為機密等級，但可能也因此遭公開。</p> <p>資料來源</p> <p>1. <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412">https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412</a><br /> 2. <a href="https://news.tvbs.com.tw/politics/2409149">https://news.tvbs.com.tw/politics/2409149</a></p> <p><a href="https://www.ithome.com.tw/news/161561"><strong style="font-size: 22px;">建準公布2月19日遭遇加密攻擊事故後續處理狀況，坦承技術人員電腦檔案遭加密，恐有資料外洩風險</strong></a></p> <p></p> <p>2月19日散熱風扇製造商建準發布重大訊息，指出其資訊系統遭到加密攻擊，當時他們已找到加密來源並阻斷加密，資料無外洩的疑慮，他們也沒有遭到勒索。27日他們二度發布重大訊息，透露後續處理情形。該公司表示，他們在外部專家協助下，發現駭客入侵部分技術人員的電腦，並對其中重要檔案進行加密，研判恐有資料外洩的疑慮。</p> <p>值得留意的是，這次他們特別提到部分檔案出現無法解密的情況，可能意味著曾嘗試使用解密工具，但無法復原所有資料，此狀態是否發生在上述技術人員的電腦，外界依照這份說明也難以確定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.top10vpn.com/research/wifi-vulnerabilities/"><strong style="font-size: 22px;">開源軟體存在Wi-Fi身分驗證繞過漏洞，安卓、ChromeOS、Linux用戶恐曝險</strong></a></p> <p></p> <p>比利時魯汶大學（KU Leuven）研究人員Mathy Vanhoef與VPN軟體測試網站Top10VPN聯手，揭露Wi-Fi元件Wpa_supplicant、iNet Wireless Daemon（IWD）的身分驗證繞過漏洞。這兩個元件目前廣泛用於多個Linux作業系統，但安卓、ChromeOS則是只使用Wpa_supplicant，而使得該元件漏洞的影響範圍較大。</p> <p>研究人員在Wpa_supplicant發現了CVE-2023-52160，攻擊者可用於建置惡意Wi-Fi網路，並將其偽裝成合法網路，然後誘騙使用者進行連線，而有可能挾持他們裝置的網路流量，且過程無需用戶互動。</p> <p>另一個存在於IWD的漏洞是CVE-2023-52161，一旦遭到利用，攻擊者可用來存取家用或小型企業的Wi-Fi網路，從而攻擊網路環境裡的裝置，或是攔截敏感資料、散布惡意程式。研究人員通報上述漏洞，Google已於ChromeOS 118修補，多個Linux版本也著手上述漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170427&SPOKE_DATE=20240226&COMPANY_ID=8438"><strong><span style="font-size: 20px;">PCB廢液處理業者昶昕部分資訊系統遭到網路攻擊，初步評估對公司運作無重大影響</span></strong></a></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-claims-they-stole-6tb-of-change-healthcare-data/"><span style="font-size: 20px;">醫療保健支付平臺Change Healthcare傳出遭勒索軟體BlackCat攻擊，6 TB資料流出</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/"><strong><span style="font-size: 20px;">AI影片編輯平臺Cutout.Pro驚傳資料外洩，2千萬會員個資流入駭客論壇</span></strong></a></p> <p><a href="https://www.cyfirma.com/outofband/xeno-rat-a-new-remote-access-trojan-with-advance-capabilities/"><strong><span style="font-size: 20px;">開源RAT木馬程式Xeno上架GitHub，恐成為駭客利用的作案工具</span></strong></a></p> <p></p> <p><strong><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-060b"><span style="font-size: 20px;">美國針對Ivanti Connect Secure漏洞攻擊提出警告，即使重置原廠設定也無法完全清除威脅</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161549"><strong>【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161517"><strong>【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> </div></div></div>
2024/3/1 17:27作者周峻佑https://www.ithome.com.tw/news/161571
微軟於VS Code強化Pylance啟發式匯入修復與Python網頁除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-march-2024-release/">更新</a>VS Code的Python與Jupyter擴充套件，在最新的3月版本中，微軟於Pylance擴充套件添加啟發性設計的匯入程式碼動作（Imports Code Action），並且讓Python擴充套件能自動啟動瀏覽器，來除錯Django或Flask應用程式，而且Python REPL整合殼層，提供更靈活的工作環境。</p> <p>當開發者的Python專案有缺少匯入檔案時，便會觸發Add Import快速修復功能，而現在Pylance擴充套件使用啟發式方法，僅顯示前三個高信心的匯入選項，這些選項根據最近使用的匯入、相同模組符號、標準函式庫中的符號等條件，選出三個匯入建議。</p> <p>當前三個匯入選項都非開發者所需要的，Pylance現在還有一個新的程式碼動作稱為搜尋其他匯入，開發者便可以根據擴充套件顯示的快速選單，搜尋與缺失匯入符號前綴相符的選項。另外，Pylance還加入更改拼寫程式碼動作，可針對因為錯誤拼字而缺少匯入檔案提供建議。目前啟發式匯入修復功能，需透過手動設定啟動，但微軟計畫將此行為設為預設。</p> <p>Python除錯器擴充套件可供開發者更方便地開發和測試Python網頁應用程式，現在開發者可以透過設定，在以Django或Flask應用程式啟動除錯器時，自動啟動瀏覽器。</p> <p>微軟現在還於Mac、Linux和Windows平臺啟用Python REPL的殼層整合。在Python REPL中執行命令時，擴充套件會透過上色的符號顯示命令執行成功與否，而且這項功能同時啟用Terminal:Run Recent Command，允許開發者查看和使用REPL的命令歷史紀錄，此外，開發者還可以利用Terminal:Run Recent Command，存取所有作業系統的Python殼層檔案歷史。</p> <p>微軟也對Jupyter伺服器的語言支援進行更新，讓Jupyter擴充套件可以區分連接到的Jupyter伺服器，為本地端抑或是遠端。過去在連接到本地Jupyter伺服器時，Jupyter擴充套件會將這些伺服器一率視為遠端連線，導致Pylance擴充套件無法偵測到已安裝的套件。現在經過更新，Jupyter擴充套件已經能正確辨識連接到的Jupyter伺服器。</p> </div></div></div>
2024/2/29 22:50作者李建興https://www.ithome.com.tw/news/161554
Ivanti接連公布5個Connect Secure漏洞，有研究人員拆解韌體發現恐有大量弱點可被利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2019年資安業者Pulse Secure公布旗下的SSL VPN系統Pulse Connect Secure高風險漏洞CVE-2019-11510、CVE-2019-11539，隨後這些漏洞便成為駭客經常利用的對象。</p> <p>先是<a href="https://www.ithome.com.tw/news/132019">有研究人員公布細節</a>、察覺大規模的漏洞嘗試利用行動，後來更引起<a href="https://www.ithome.com.tw/news/133480">英國網路安全中心（NCSC）</a>、<a href="https://www.ithome.com.tw/news/137594">美國網路安全暨基礎設施安全局（CISA）</a>的警告。到了2020年，Ivanti併購Pulse Secure，經過數年的整併，這套SSL VPN系統的安全性是否得到改善？</p> <p>近期Ivanti揭露一系列的漏洞，讓這套系統的安全性再度浮上檯面。</p> <h3><span style="color:#0000FF;"><strong>高風險漏洞接連爆發，公布後皆遭駭客用於攻擊行動</strong></span></h3> <p><a href="https://www.ivanti.com/blog/security-update-for-ivanti-connect-secure-and-ivanti-policy-secure-gateways">今年1月上旬</a>，Ivanti針對Ivanti Connect Secure（原Pulse Connect Secure，簡稱ICS）、NAC解決方案Ivanti Policy Secure（IPS）發出公告，指出這些系統存在身分驗證繞過漏洞CVE-2023-46805、命令注入漏洞CVE-2024-21887，通報上述漏洞的資安業者Volexity指出，<a href="https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/">中國駭客組織UTA0178（亦稱UNC5221）已在去年底將其用於攻擊</a>。</p> <p>在公布上述漏洞後，Ivanti著手進行調查，3週後<a href="http://forums.ivanti.com/s/article/CVE-2024-21888-Privilege-Escalation-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure">揭露另外2個新漏洞</a>，這些是：網頁元件權限提升漏洞CVE-2024-21888、SAML元件SSRF漏洞CVE-2024-21893，並表明已有部分客戶遭到CVE-2024-21893漏洞利用攻擊，並先後於1月31日、2月1日針對不同版本的Connect Secure、Policy Secure，提供上述4個漏洞的修補程式。</p> <p>事隔一週，<a href="https://forums.ivanti.com/s/article/CVE-2024-22024-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure">2月8日Ivanti又公布第5個漏洞CVE-2024-22024</a>，此為SAML元件的XML外部實體（XXE）漏洞，並於8日至14日陸續上架各版本的更新程式。但值得留意的是，該公司在不到1個月的時間裡，公布了5個漏洞，其中有3個是在公開之前就遭到利用，另外2個則是在公布後也出現被利用的情況，這使得該產品線的安全性令人擔憂。</p> <p>後續有研究人員揭露新的發現，證實該系統確實存在大量容易受到攻擊的弱點，而成為駭客偏好下手的目標。</p> <h3><span style="color:#0000FF;"><strong>採用大量已不再受到支援的陳年元件、過期憑證，至少曝露近1千個已登記CVE編號的漏洞</strong></span></h3> <p>專精韌體安全的資安業者Eclypsium<a href="https://eclypsium.com/blog/flatlined-analyzing-pulse-secure-firmware-and-bypassing-integrity-checking/">取得ICS韌體ICS-9.1.18.2-24467.1版進行分析</a>，結果發現，此韌體底層執行的作業系統竟是已在2013年發布、2020年終止支援的CentOS 6.4，其Linux核心更是在2016年終止支援的2.6.32版，還有很多元件也相當老舊，而可能存在不會被修補的漏洞，例如：2017年終止支援的OpenSSL 1.0.2n、2010年終止支援的Python 2.6.6，以及2001年終止支援、32位元版本的Perl 5.6.1。</p> <p>唯一令研究人員意外的部分，是韌體裡採用的4.1.2版Bash（2010年推出），因為Ivanti修補了<a href="https://www.ithome.com.tw/news/91143">2014年出現的重大漏洞Shellshock</a>。</p> <p>此外，研究人員也在該系統找出大量弱點，包含973個已登記CVE編號的已知漏洞，其中有396個為高風險層級；他們也從76個Shell指令碼找到1,216個弱點、並在5,392個Python檔案找出5,218個漏洞，再者，該系統所使用的800個憑證當中，有133個已經過期。</p> <p>附帶一提的是，可能是基於防堵他人對ICS韌體及虛擬機器（VM）版本系統的檔案進行逆向工程、拆解，危害這類系統的完整性，Ivanti對於上述檔案進行加密處理，但沒有對加密的強度進行說明。</p> <p>研究人員認為該公司這麼做意義不大，原因是中國駭客仍能找出這套系統的漏洞並加以利用。而他們在研究的過程中，並未直接突破虛擬機器的加密防護，而是採用真實設備來取得分析所需的韌體。</p> <p>另一方面，有鑑於漏洞攻擊的肆虐，Ivanti提供了「完整性檢查工具（Integrity Checking Tool，ICT）」，讓企業組織檢查相關系統是否遭到入侵。</p> <p>這套工具內含物料清單（BOM）檔案目錄，並根據SHA256雜湊值比對系統檔案是否遭到竄改。但研究人員發現，用來執行比對的指令碼存在嚴重的邏輯錯誤，會略過部分的系統資料夾而不予比對，換言之，攻擊者可以將作案工具植入這些資料夾，以便持續存取受害伺服器，而IT人員執行上述的ICT工具卻不會察覺異狀。</p> <h3><span style="color:#0000FF;"><strong>修補程式等待時間長，IT人員須持續追蹤公告、安排套用緩解措施行程</strong></span></h3> <p>值得留意的是，Ivanti對這些漏洞發出公告與提供修補程式的時間並不一致，其中間隔最長的就是CVE-2023-46805、CVE-2024-21887，這兩個漏洞從公告到修補程式推出，間隔超過20天，但該公司發布資安公告不久就出現攻擊行動。這樣的情況，導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。</p> <p>話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。</p> <p><a href="https://twitter.com/Shadowserver/status/1757721421252264400">2月14日Shadowserver基金會指出</a>，約有3,900臺Ivanti設備曝露於CVE-2024-22024的風險，此外，該基金會也提及仍有1,000臺主機存在CVE-2024-21887的弱點。</p> <p><a href="https://twitter.com/nekono_naha/status/1757971789035245814">研究人員Yutaka Sejiyama也公布調查結果</a>，他指出，截至2月15日為止，全球可透過網際網路存取的Ivanti主機有24,239臺，目前約有10,603臺套用1月31日的修補程式，但修補CVE-2024-22024的主機僅有5,107臺，換言之，至少約有1.3萬臺主機尚未修補上述漏洞。</p> <p>而在臺灣的部分，總共有672臺主機可透過網際網路存取，其中有164臺套用1月31日的修補程式，但修補CVE-2024-22024的主機，卻僅有9臺。</p> </div></div></div>
2024/2/28 23:00作者周峻佑https://www.ithome.com.tw/news/161530
Netflix開源可最佳化eBPF串流效能的工具bpftop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Netflix公開了一款內部的命令列工具<a href="https://netflixtechblog.com/announcing-bpftop-streamlining-ebpf-performance-optimization-6a727c1ae2e5">bpftop</a>，該工具目的在於最佳化和監控eBPF程式效能，Netflix提到，由於他們逐漸增加採用eBPF技術的比例，因此也就需要更嚴謹地看待相關系統，確保既能發揮eBPF的好處，又不會造成系統過度負載，進而保證營運效率。</p> <p>eBPF（Extended Berkeley Packet Filter）是一種網路技術，用於作業系統核心執行網路相關過濾和分析功能，目前已經發展成為一個強大的工具，可進行各種核心層面的監測和操作，包括效能監測、網路安全、系統追蹤和日誌紀錄等。</p> <p>eBPF在Linux核心中運作，允許用戶自定義程式碼在核心中安全地運作，且不需要更改核心原始碼和載入核心模組，而這樣的靈活性，讓開發者可以動態地在系統上執行高效資料處理和分析程式，對於提高效能、強化安全和進行精細的系統控制非常有用。</p> <p>而Netflix的bpftop便是建立在eBPF基礎之上的命令列工具，bpftop可提供動態即時檢視圖，顯示執行中的eBPF程式平均執行時間、每秒事件數，以及估計總CPU使用率。而bpftop的優勢是能夠在工具活動時才啟用效能統計，以最小化效能開銷，同時bpftop提供時間序列表使用戶能夠清楚檢視統計資料，進而發現異常模式和趨勢。</p> <p>Bpftop使eBPF程式的效能最佳化過程變得簡單，用戶可有效地進行基準測試、程式碼改進，並且建立起即時回饋循環。官方提到，如果沒有bpftop的輔助，最佳化工作便需要手動計算，而這會使流程複雜得多。</p> </div></div></div>
2024/2/28 14:18作者李建興https://www.ithome.com.tw/news/161523
【資安日報】2月27日，知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客註冊特定名稱的網域並用於攻擊行動很常見，而且，過往這類手法最常見的做法，便是註冊與目標組織名稱類似的網域，企圖混淆使用者來達到目的，但最近，研究人員發現使用新型態手法的攻擊行動，駭客能夠繞過垃圾郵件過濾器或是郵件安全閘道的防護。</p> <p>特別的是，這次駭客是尋找知名企業組織棄用許久的網域名稱，並重新註冊納為己有，然後用這些網域、子網域來大量發送惡意郵件。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/subdomailing-thousands-of-hijacked-major-brand-subdomains-found-bombarding-users-with-millions-a5e5fb892935"><strong style="font-size: 22px;">知名品牌及組織8千個棄置網域、1.3萬個子網域遭到挾持，被用於發送垃圾郵件及從事網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_9nX1dANEuVFeyc-edylY1w.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_9nX1dANEuVFeyc-edylY1w.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露大規模的子網域挾持攻擊行動SubdoMailing，駭客組織ResurrecAds約從2022年開始，針對超過8千個與知名品牌及機構有關的網域名稱、1.3萬個子網域下手，每天散播5百萬的垃圾郵件、網路釣魚郵件，利用資安系統對於這些合法網域的信任，從而將上述的惡意郵件傳送到攻擊目標。上述被冒用的品牌與組織，包含MSN、VMware、McAfee、經濟學人、康乃爾大學、賽門鐵克、eBay等。</p> <p>值得留意的是，駭客進行CNAME記錄與SPF有關的挾持攻擊，濫用這些企業組織棄用的網域名稱、子網域名稱，使得惡意郵件能繞過垃圾郵件的過濾機制，在特定情況下，攻擊者還能藉由SPF及DKIM的電子郵件政策，欺騙郵件安全閘道這些電子郵件是安全的。</p> <p><a href="https://www.verfassungsschutz.de/SharedDocs/publikationen/DE/cyberabwehr/2024-02-19-joint-cyber-security-advisory-englisch.pdf?__blob=publicationFile&v=2"><strong style="font-size: 22px;">德國、韓國提出警告，北韓駭客針對全球國防單位從事網路間諜行動</strong></a></p> <p></p> <p>2月19日德國聯邦情報機構（BfV）、韓國國家情報局（NIS）聯手，對北韓政府針對全球國防部門從事網路間諜活動的情況提出警告，指出包含Lazarus在內的駭客組織企圖竊取軍事技術資料，從而協助該國提升軍事能力。</p> <p>上述機構針對供應鏈攻擊及社交工程攻擊的事故進行說明，其中供應鏈攻擊的事故發生於2022年，駭客先是入侵維護廠商竊取SSH帳密，從而存取海事及航運技術研究中心的Linux網頁伺服器主機，並透過curl從C2下載、部署作案工具，然後進行橫向移動，最後冒充網路安全管理員，企圖對員工電腦散布惡意修補檔案，所幸後來正牌管理者予以攔截。</p> <p>另一起事故則是與Lazarus的攻擊行動Operation Dream Job有關，原本這些駭客的攻擊目標是加密貨幣業者的員工及軟體開發人員，但如今發現國防機構也遭遇相關攻擊。駭客先是假冒特定人士在網路求職網站經營帳號，然後接近國防組織的員工並建立關係，取得信任後再藉由提供職缺來散布惡意程式，從而感染受害電腦並於公司網路進行橫向移動。</p> <p><a href="https://www.volexity.com/blog/2024/02/13/charmingcypress-innovating-persistence/"><strong style="font-size: 22px;">伊朗駭客組織Charming Kitten鎖定中東人士散布後門Basicstar</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/BasicStar002-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BasicStar002-1.png" style="width: 300px; float: right;" /></a>資安業者Volexity指出，暱稱為CharmingCypress、Mint Sandstorm、TA453的伊朗駭客組織Charming Kitten，於去年9月至10月佯裝成國際伊朗研究所（IIIS）從事一系列網路釣魚攻擊，透過電子郵件邀請目標人士參與假的網路研討會，其攻擊特徵包含利用外流的合法電子郵件信箱及多個駭客掌控的電子郵件信箱，進行多角色模擬（Multi-Persona Impersonation，MPI），來引誘受害者上當。</p> <p>待時機成熟，對方就會寄送包含Windows捷徑（LNK）或RAR壓縮檔附件的釣魚郵件，從而在目標電腦部署以VBS指令碼打造的惡意程式BasicStar，此惡意軟體能收集系統資訊並執行C2下達的命令，也能對受害者顯示誘餌PDF檔案。</p> <p>值得留意的是，這起攻擊行動不光針對Windows使用者，macOS使用者的電腦也有可能感染後門程式NokNok。</p> <p><a href="https://www.bleepingcomputer.com/news/security/steel-giant-thyssenkrupp-confirms-cyberattack-on-automotive-division/"><strong style="font-size: 22px;">鋼鐵供應商ThyssenKrupp傳出遭到網路攻擊，汽車部門關閉IT系統因應</strong></a></p> <p></p> <p>大型鋼鐵生產商ThyssenKrupp的汽車部門上週遭到駭客攻擊，對方入侵IT系統，迫使他們關閉部分系統以阻止攻擊蔓延。該公司證實此事，並表示此次攻擊影響他們的汽車車身生產部門，但尚未出現客戶資料遭竊的跡象。</p> <p>這起事故的公開，最早是2月23日德國新聞媒體Saarbruecker Zeitung揭露，並指出該公司位於薩爾蘭、有超過1千名專家的工廠直接受到影響，對此ThyssenKrupp向資安新聞網站Bleeping Computer透露，該工廠生產的確出現中斷，但對於客戶的供應並未受到影響。</p> <p><a href="https://newsroom.ibm.com/2024-02-21-IBM-Report-Identity-Comes-Under-Attack,-Straining-Enterprises-Recovery-Time-from-Breaches"><strong style="font-size: 22px;">利用外流的合法帳密是駭客偏好入侵目標組織的管道</strong></a></p> <p>2月21日IBM發布2024年的威脅情報指標分析X-Force Threat Intelligence Index 2024，指出相較於前1年資安環境而言，攻擊者利用遭竊或是外流的帳密資料進行網路攻擊的情況增加71%，與資料外洩有關的資安事故比例是32%，而且，比起加密檔案再向受害組織勒索，駭客傾向直接利用竊得的資料或將其出售。此外，研究人員表示，隨著人工智慧解決方案快速成長，攻擊者將會更積極投資、開發具成本效益的攻擊工具。</p> <p>而對於駭客偏好入侵目標組織的手段，研究人員發現，通常傾向採用成本較低的方法，其中盜用合法帳密在2023年最為常見，他們發現針對AD帳密的網域滲透攻擊（Kerberoasting）事件數量，較2022年翻倍，原因是企業要區分合法帳號是否遭到冒用極為困難，因此攻擊者普遍傾向透過社交工程及詐騙手段來騙取帳密資料，而非尋找資訊系統弱點入侵。</p> <p><a href="https://www.resecurity.com/blog/article/global-malicious-activity-targeting-elections-is-skyrocketing"><strong style="font-size: 22px;">鎖定全球選舉的惡意網路活動升溫</strong></a></p> <p>2024年總共有64個國家及歐盟即將舉行大型選舉，投票民眾多達20億，資安業者Resecurity對此政治態勢提出警告，因為相關的網路攻擊等惡意活動也隨之增加，研究人員指出，從2023年至2024年初的攻擊行動，較前期調查增加了100%，他們將相關的惡意活動歸納成下列五大類：</p> <p>（一）針對選舉基礎設施的網路攻擊；<br /> （二）針對政黨、競選活動、公職人員的網路攻擊；<br /> （三）協助或傷害政治團體、競選活動、公職人員的影響活動；<br /> （四）影響輿論並企圖造成社會分裂的活動；<br /> （五）影響政策制定的活動。</p> <p>研究人員舉出包括臺灣在內等17個國家的攻擊行動，並以臺灣今年1月總統及立委選舉的情況為例說明。根據資安業者的觀察，中國駭客在投票日前幾天進行大規模的網路攻擊，但研究人員指出，可能更早之前就有人企圖操縱這場選舉──他們疑似在去年3月打算購買選民投票意向的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/canon-patches-7-critical-vulnerabilities-in-small-office-printers/"><strong style="font-size: 22px;">Canon修補小型辦公室印表機重大漏洞</strong></a></p> <p></p> <p>2月5日Canon發布資安公告，指出該廠牌小型辦公室多功能印表機、雷射印表機存在7個重大層級的記憶體緩衝區溢位漏洞CVE-2023-6229、CVE-2023-6230、CVE-2023-6231、CVE-2023-6232、CVE-2023-6233、CVE-2023-6234、CVE-2024-0244，一旦這些印表機直接連上網際網路，未經身分驗證的攻擊者就有機會執行任意程式碼，或是發動阻斷服務（DoS）攻擊，這些漏洞的CVSS風險評分皆達到9.8。</p> <p>根據該公司的公告，上述漏洞影響銷售<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">日本</span>、北美、<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">歐洲等地區</span>的印表機，並存在早於03.07版的韌體，他們也提供新版韌體修補上述漏洞，這些重大層級的漏洞尚未出現遭到利用的跡象。值得留意的是，該公司在相關網站上公布的資訊相當不一致，其中又以PSIRT網站的資訊最為缺乏，僅公告漏洞CVE編號並透露漏洞類型，卻沒有列出受影響的產品機種、韌體版本，也無從得知是否有修補程式。</p> <p>臺灣佳能也對這些漏洞發布公告，並指出imageCLASS LBP及imageCLASS MF產品線當中，各有2款機種受到影響。</p> <p>資料來源</p> <p>1. <a href="https://psirt.canon/advisory-information/cp2024-001/">https://psirt.canon/advisory-information/cp2024-001/</a><br /> 2. <a href="https://canon.jp/support/support-info/240205vulnerability-response">https://canon.jp/support/support-info/240205vulnerability-response</a><br /> 3. <a href="https://www.usa.canon.com/support/canon-product-advisories/Service-Notice-Regarding-Vulnerability-Measure-Against-Buffer-Overflow-for-Laser-Printers-and-Small-Office-Multifunctional-Printers">https://www.usa.canon.com/support/canon-product-advisories/Service-Notice-Regarding-Vulnerability-Measure-Against-Buffer-Overflow-for-Laser-Printers-and-Small-Office-Multifunctional-Printers</a><br /> 4. <a href="https://www.canon-europe.com/support/product-security-latest-news/">https://www.canon-europe.com/support/product-security-latest-news/</a><br /> 5. <a href="https://tw.canon/zh_TW/support/regarding-vulnerability-measure-against-buffer-overflow-for-laser-printers-and-small-office-multifunction-printers/notice?range=4&category=9">https://tw.canon/zh_TW/support/regarding-vulnerability-measure-against-buffer-overflow-for-laser-printers-and-small-office-multifunction-printers/notice?range=4&category=9</a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-csrf-KnnZDMj3"><strong style="font-size: 22px;">思科修補整合通訊閘道系統Expressway的CSRF漏洞</strong></a></p> <p></p> <p>2月7日思科針對旗下的整合通訊閘道系統Expressway發布資安公告，指出此系統存在數個可被用於跨網站請求偽造（CSRF）攻擊的漏洞，攻擊者可在未經身分驗證的情況下，遠端進行利用，從而執行任意行為，其中的CVE-2024-20254、CVE-2024-20255存在於預設組態，CVE-2024-20252則是針對叢集資料庫（CDB）API功能已啟用的系統。</p> <p>上述漏洞危險程度較高的是CVE-2024-20252、CVE-2024-20254，這兩個漏洞發生的原因是網頁管理介面對於CSRF層面的防護不足所致，攻擊者若是能誘使與API有關的使用者存取偽造的連結，就有機會取得該名使用者的權限，假如受害使用者具有管理者身分，攻擊者就有機會竄改系統組態並建立新的特權帳號，這兩個漏洞的CVSS風險評分皆達到9.6。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework"><strong style="font-size: 22px;">NIST網路安全框架2.0正式推出</strong></a></p> <p></p> <p>為協助關鍵基礎設施等企業組織降低資安風險，2014年美國國家標準暨技術研究所（NIST）首度根據美國總統行政命令推出網路安全框架（Cybersecurity Framework，CSF），事隔10年他們推出2.0重大改版。</p> <p>新版框架強調適用範圍更為全面，能涵蓋小型學校、非營利組織，以及大型的企業與機構。在CSF既有的5大層面：識別、防護、偵測、回應、復原之外，CSF 2.0新增第6個面向「治理（Govern）」；同時，此框架也納入了供應鏈的風險評估。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/"><strong style="font-size: 22px;">微軟針對生成式AI推出自動化紅隊演練工具PyRIT</strong></a></p> <p></p> <p>2月22日微軟針對生成式AI系統的使用，在GitHub發布紅隊演練工具Python Risk Identification Toolkit for generative AI（PyRIT），能用於自動辨識大型語言模型（LLM）可能存在風險的弱點，例如：生成惡意程式、越獄或是資料竊盜等濫用行為。</p> <p>資安人員可透過PyRIT先傳送惡意的提示到特定的生成式AI系統，收到回應後，再將這些內容傳至評分引擎，接著根據評分引擎處理的結果，去產生新的提示，並以此輸入生成式AI系統，不斷循環，直到實現研究人員所設定的目標為止。根據微軟的測試，利用PyRIT針對Copilot進行紅隊演練，原本測試需要數個星期，可縮短至幾小時。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-14-year-old-cms-editor-on-govt-edu-sites-for-seo-poisoning/"><strong><span style="font-size: 20px;">已終止維護的CMS編輯器FCKeditor遭到濫用，對政府機關與教育單位網站進行SEO中毒攻擊</span></strong></a></p> <p></p> <p><strong><a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024"><span style="font-size: 20px;">兆勤針對防火牆與AP可被用於發動DoS攻擊、命令注入的漏洞發出公告</span></a></strong></p> <p></p> <p><a href="https://blog.morphisec.com/unveiling-uac-0184-the-remcos-rat-steganography-saga"><strong><span style="font-size: 20px;">惡意程式載入工具Idat被用於散布RAT木馬Remcos</span></strong></a></p> <p></p> <p><a href="https://www.cbc.ca/news/politics/cybersecurity-breach-rcmp-1.7123787"><strong><span style="font-size: 20px;">加拿大皇家騎警遭遇網路攻擊，強調並未影響業務及民眾安全</span></strong></a></p> <p></p> <p><strong><a href="https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf"><span style="font-size: 20px;">美國政府呼籲開發人員改用記憶體安全的程式語言</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161422"><strong>【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</strong></a></p> </div></div></div>
2024/2/27 15:18作者周峻佑https://www.ithome.com.tw/news/161517
【資安週報】2024年2月19日到2月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這星期釋出的安全性漏洞消息，以ConnectWise在19日修補遠端桌面軟體ScreenConnect的漏洞CVE-2024-1709，最受關注，因為在公告的隔日，就發現有駭客開始鎖定利用，該業者也在20日示警、公布入侵威脅指標（IoC），並在21日針對已結束維護支援服務的用戶內部環境建置版本，提供最新升級。</p> <p>在資安威脅焦點方面，最大消息就是勒索軟體LockBit組織的伺服器被攻破。在英、美等10國家聯合發起的打擊行動之下，已接管其技術基礎設施與資料外洩網站，並凍結相關加密貨幣帳戶，美方也拘留兩名利用LockBit服務的聯盟夥伴，起訴兩名發動攻擊的俄羅斯人。</p> <p>由於全球已有上千家企業組織遭受LockBit的危害，因此這次國際查緝行動具有相當大的意義。我們也注意到，在此次行動成果公布後，在打擊勒索軟體網路犯罪的No More Ransom計畫網站，已釋出由日本警方打造的相關解密工具。</p> <p>還有前陣子農曆過年期間，有南韓研究人員發表破解勒索軟體Rhysida的論文，如今在No More Ransom平臺上，也有資安業者Avast釋出的相關解密工具。</p> <p>另一件大消息，是中國資安業者「安洵信息」傳出資料外洩，意外曝露該國政府對全球各國發動網路間諜行動的情況，引發國際關注。研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門。根據外洩資料的內容顯示，該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、臺灣、馬來西亞、北約組織的政府機關，曾開發攻擊工具RAT木馬程式Hector，以及外觀與行動電源相似的「Wi-Fi 抵近攻擊系統」，同時也經營DDoS攻擊業務，還有APT攻擊與間諜行動業務。日後是否有更進一步的研究分析，值得持續追蹤。</p> <p>關於最新威脅態勢的揭露上，我們注意到4個值得留意的技術手法與狀況：</p> <p>●資安業者揭露網釣簡訊攻擊背後的新手法Smishing，他們發現濫用AWS SNS簡訊服務的惡意Python腳本，並指出這是雲端攻擊工具中前所未見的技術。</p> <p>●駭客不斷挖掘出Ivanti Connect Secure的零時差漏洞並成功利用，因此有研究人員針對這樣的狀況進行分析，發現其系統採用許多老舊、已終止支援的元件。</p> <p>●關於網路犯罪組織在臉書投放詐騙廣告，資安業者揭露使用竊資軟體VietCredCare的攻擊者，正鎖定大量越南企業臉書帳號，並在接管帳號後用以實施臉書詐騙。</p> <p>●網路拓樸架構呈現工具SSH-Snake被駭客濫用於攻擊行動，資安業者指出，這是竊取SSH金鑰的新手法，該工具還具有主動修改和無檔案的特性，若採用靜態偵測的作法，會不容易找到。</p> <p>還有多個惡意威脅的最新動向，源自不同資安業者的揭露，包括勒索軟體RansomHouse組織使用新的自動化工具MrAgent，來鎖定虛擬化平臺VMware ESXi平臺，以及惡意程式TicTacToe Dropper，殭屍網路病毒Glupteba，還有商業間諜公司掌握「多媒體簡訊指紋（MMS Fingerprint）」技術的細節。</p> <p>最後值得一提的是，國內再傳上市櫃公司遭遇資安事件，已是今年第7起上市櫃公司因資安事件發布重大訊息。以散熱風扇聞名的上市大廠建準，19日公告當天凌晨遭遇加密攻擊。該公司表示，已確認公司資料沒有外流，資訊系統當日可修復。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161344"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</span></strong></a></h3> <p>最近Ivanti頻繁對於Connect Secure漏洞發布資安公告，並指出部分漏洞已確認被用於攻擊行動，使得這套SSL VPN系統的安全問題再度浮上檯面，然而有研究人員發現，這套系統採用大量早就已經終止支援的元件，而曝露於許多已知漏洞的資安風險。</p> <p>這也突顯Ivanti在2020年買下Pulse Secure公司之後，歷經多次資安漏洞相關事故與爭端之後，此系統竟然被發現至今仍延用老舊架構，並未逐步汰換、更新元件，而使得攻擊者有機會藉由已知漏洞上下其手。</p> <h3><a href="https://www.ithome.com.tw/news/161355"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</span></strong></a></h3> <p>自2019年出現的勒索軟體LockBit在全球橫行，是最近2至3年最具威脅的勒索軟體。根據美國政府的統計，自2020年該勒索軟體駭客組織已發起超過1,700次攻擊，以美國而言，他們向受害組織總共索討了9,100萬美元的不法所得。這些駭客甚至還<a href="https://www.ithome.com.tw/news/151655">設立漏洞懸賞專案</a>，尋求各界尋找該勒索軟體的漏洞，囂張的程度可見一斑。</p> <p>如此猖獗的態勢，也引起多個國家的執法單位採取行動。最近有許多在追蹤該勒索軟體動態的研究人員發現，執法單位已拿下該組織暗網的網站，這些駭客也對他們的附屬組織證實遭遇「資安事件」。</p> <p><a href="https://www.ithome.com.tw/news/161398"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</span></strong></a></p> <p style="margin: 0px;">中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <h3><a href="https://www.ithome.com.tw/news/161422"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</span></strong></a></h3> <p>鎖定企業臉書帳號的大規模網路攻擊行動，去年7月、8月，資安業者WithSecure、Zscaler揭露<a href="https://www.ithome.com.tw/news/158628">名為DuckTail的竊資軟體攻擊行動</a>，這起事故是越南駭客特別針對數位行銷及廣告領域的人才下手，藉由職場社群網站LinkedIn尋找目標。</p> <p>但類似的手法，最近又有新的發現。資安業者Group-IB發現另一起專門針對越南企業組織而來的攻擊行動，對方使用另一款竊資軟體VietCredCare，從事攻擊行動迄成約有一年半，受害組織遍及當地三分之二省份。</p> <h3><a href="https://www.ithome.com.tw/news/161450"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</span></strong></a></h3> <p>本週多國執法單位宣布接管勒索軟體LockBit的基礎設施，但這些駭客疑似隨即東山再起，利用甫公布的重大漏洞發動攻擊。</p> <p>資安業者Sophos、Huntress發現，有人利用ScreenConnect的漏洞CVE-2024-1708、CVE-2024-1709發動攻擊，從而在目標組織執行勒索軟體LockBit，其中包含與911相關的系統和醫療機構，研究人員推測，這些攻擊很有可能是尚未遭到取締的LockBit附屬團體所為。</p> </div></div></div>
2024/2/26 09:32作者羅正漢https://www.ithome.com.tw/news/161463
中國資安業者安洵信息內部資料在GitHub公開，曝露中國政府對全球各地的網路間諜攻擊手段，引起各界高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p>根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息（iSoon、Anxun）」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <h3><span style="color:#0000FF;"><strong>臺灣研究人員揭露安洵信息所使用的攻擊工具，表明該公司非單純的「資安業者」</strong></span></h3> <p>一位名為「安坂星海」的臺灣資安研究員發現，<a href="https://twitter.com/AzakaSekai_/status/1759326049262019025">有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub</a>，聲稱該公司欺瞞中國當局，且財務出現問題，其產品的品質低落，並招致員工抱怨。這些資料也透露該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、北約組織的政府機關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/i-S00N-GitHub.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/i-S00N-GitHub.png" style="width: 580px;" /></a></p> <p>研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門，其軟體平臺能挖掘使用者X（推特）帳號登記的電話號碼及電子郵件信箱，並對特定帳號的動態進行即時監控，甚至能冒用帳號來進行發文、刪文、轉推、按讚。該公司針對Windows、macOS、Linux、iOS、安卓等作業系統，自製RAT木馬程式Hector，其中Windows版木馬號稱能迴避95%防毒軟體偵測，此外，公司還開發外觀與行動電源極為相似的「Wi-Fi抵近攻擊系統（Wi-Fi Near Field Attack System）」。</p> <p>在業務運作上，這家公司同時經營DDoS殭屍網路，所用的病毒檔案大小僅有29 KB，此殭屍網路號稱能產生10至100Gbps的流量。除此之外，還有APT攻擊的教戰手則，並能透過分析郵件、中國社群網站平臺內容來從事間諜行動的說明文件。</p> <p>而對於這些資料外流的原因，新聞網站大紀元認為，<a href="https://www.epochtimes.com.tw/n433151/%E9%99%B8%E7%B6%B2%E5%AE%89%E5%85%AC%E5%8F%B8%E6%96%87%E4%BB%B6%E5%A4%96%E6%B5%81-%E6%9B%9D%E5%85%89%E4%B8%AD%E5%85%B1%E7%B6%B2%E6%94%BB%E6%89%8B%E6%AE%B5.html">很有可能是員工對公司及薪資不滿所致</a>；另一個<a href="https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and">新聞媒體Coinlive指出</a>，該公司員工曾討論如何販賣國家機密，或是製作色情聊天網站來維持生計。</p> <h3><span style="color:#0000FF;"><strong>相關資料引起歐美國家關切</strong></span></h3> <p>在上述研究人員揭露此事不久，這批資料引來大量關注，<a href="https://www.washingtonpost.com/world/2024/02/21/china-hacking-leak-documents-isoon/">根據華盛頓郵報的報導</a>，儘管資料的來源仍不得而知，但研究人員普遍認為這些資料是真實可信的，他們取得研究人員的說法，這些資料內含超過570筆檔案、圖片，以及對話記錄，詳細披露該公司8年來為中國政府盜取外國資料的合約內容，至少有20個國家及地區成為目標，包括臺灣、印度、香港、泰國、韓國、英國、馬來西亞。</p> <p>該媒體引述資安業者Mandiant威脅情資首席分析師John Hultquist的說法，他們有充分的理由相信，這些是能佐證中國政府透過承包商對全球各地從事網路間諜行動的真實資料。</p> <p>這些資料突顯了承包中國政府網路間諜業務的業者之間的激烈競爭，這些廠商為了爭取政府的合約，向中國警方、軍方、情資機構標榜他們的能力，聲稱能夠全面地存取買家認為有用的敏感資料。</p> <p>究竟這批駭客得手那些資料？華盛頓郵報表示，該公司宣稱成功入侵80個企業組織，大部分遭駭的企業組織都在亞洲，其中包含了95.2 GB印度移民資料、3 TB韓國電信業者LG U Plus的通話記錄，此外，這些駭客也入侵了臺灣、香港、哈薩克、馬來西亞、蒙古、尼泊爾的電信業者。</p> <p>值得留意的是，該公司的客戶也要求他們收集特定國家的基礎設施資料，例如，他們竊得495 GB臺灣道路地圖檔案，美國智庫創始人Dmitri Alperovitch指出，這批檔案內含臺灣公路地形、橋樑、隧道的詳細資料，一旦中國對臺灣發動戰爭，軍隊就能精確地調動裝甲部隊及兵力。</p> <p>除此之外，根據該公司員工的對話內容，華盛頓郵報指出，還有10個泰國政府機構也在2020年至2022年遭到入侵，2022年該公司曾企圖出售北約組織（NATO）有關的資料，員工亦討論如何對英國內政部、外交部、國際戰略研究所等一系列目標下手，並試圖從中國外交夥伴巴基斯坦和柬埔寨收集情報。</p> <p>這家公司也曾與惡名昭彰的駭客組織APT41合作，兩個組織的成員甚至見過面。但後來安洵積欠APT41經營的公司「成都404」超過100萬人民幣的款項，導致兩個組織之間的關係惡化，成都404根據軟體開發合約對安洵提告。</p> <h3><span style="color:#0000FF;"><strong>有更多研究人員透露看法，並指出與過往揭露的調查能夠相互印證</strong></span></h3> <p>這批資料引起許多研究人員及資安業者的關注，並表示看法。根據<a href="https://cyberscoop.com/isoon-chinese-apt-contractor-leak/">資安新聞網站CyberScoop的報導</a>，資安業者SentinelOne<a href="http://sentinelone.com/labs/unmasking-i-soon-the-leak-that-revealed-chinas-cyber-operations/">指出這些資料透露中國網路間諜產業已經非常成熟</a>，是他們看過最為具體的證據之一，呈現中國政府成功推動了駭客組織的業務市場競爭。他們看到安洵自稱是民間資安業者，服務的客戶卻是公共安全部、國家安全部、人民解放軍等中國政府單位。</p> <p>臺灣資安業者TeamT5指出，這些資料印證他們長期以來的分析結果──也就是中國民間的資安組織在政府從事全球性的APT攻擊發揮了關鍵作用。研究人員從2020年追蹤這家資安業者，並和自己的研究成果比對，認為這些資料可信度非常高。</p> <p>他們指出，這些資料透露了安洵如何與中國政府打交道，以及該公司產品的細節和財務狀況，<a href="https://attack.mitre.org/software/S0596/">其中甚至鉅細靡遺交代這組人馬如何協助開發RAT木馬程式ShadowPad</a>，所以他們對資料的真實性抱持高度的信心。</p> <p>此外，這些資料也佐證TeamT5先前揭露的攻擊行動，例如<a href="https://www.blackhat.com/asia-22/briefings/schedule/#to-loot-or-not-to-loot-that-is-not-a-question-when-state-nexus-apt-targets-online-entertainment-industry-26143">安洵與中國政府聯手攻擊線上賭博業者</a>，以及該公司曾為了經濟利益發動勒索軟體攻擊──當時，研究人員推測這類攻擊行動的出現，就是中國政府削減了支付給這些承包商的預算導致。</p> <p>另一名自稱移民到臺灣的研究人員「佐拉」也提出看法，<a href="https://twitter.com/zuola/status/1760195384352424151">他認為這批資料完整印證外界對中國政府資助的攻擊行動</a>：這些當地「資安業者」購買零時差漏洞並製作攻擊工具，然後在政府的庇護下對高價值的目標進行長期滲透，若是得手有價值的資料就尋求買家出售，或是接受委託從事針對性攻擊。</p> <p>他也透露看到安洵聲稱對受害的政府機關及企業組織下手，並提及偷到的資料檔案大小。而針對臺灣的部分，對方號稱他們開發的「天機情報大數據平臺」當中，納入17 GB與臺灣有關的個資，這些資料與人口、自來水廠、宅配通有關。此外，他也提及圓桌教育基金會內部網路遭到全面控制、臺灣大學應用力學研究所網路環境被植入Web Shell、淡江大學郵件伺服器存取權限外洩等情況。</p> </div></div></div>
2024/2/24 23:11作者周峻佑https://www.ithome.com.tw/news/161454
【資安日報】2月22日，鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定企業臉書帳號的大規模網路攻擊行動，去年7月、8月，資安業者WithSecure、Zscaler揭露<a href="https://www.ithome.com.tw/news/158628">名為DuckTail的竊資軟體攻擊行動</a>，這起事故是越南駭客特別針對數位行銷及廣告領域的人才下手，藉由職場社群網站LinkedIn尋找目標。</p> <p>但類似的手法，最近又有新的發現。資安業者Group-IB發現另一起專門針對越南企業組織而來的攻擊行動，對方使用另一款竊資軟體VietCredCare，從事攻擊行動迄成約有一年半，受害組織遍及當地三分之二省份。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/vietcredcare-stealer/"><strong style="font-size: 22px;">竊資軟體VietCredCare鎖定越南企業臉書帳號，將其用於投放廣告或是詐騙</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/VietCredCare-1-24.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VietCredCare-1-24.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露從2022年10月發現的竊資軟體VietCredCare，此惡意程式專門針對越南的使用者而來，攻擊者的主要目標是接管受害企業的臉書帳號。</p> <p>根據研究人員的調查，使用此竊資軟體的駭客滲透9個當地政府機關、12個省的公共服務入口網站、65所大學、4家電子商務平臺、21家銀行、12個當地主要企業。而在越南63個省份當中，44個省出現受害組織，而且有超過半數（50.9%）位於河內，其次是胡志明市、峴港，分別有32.9%、3.3%。</p> <p>研究人員指出，此竊資軟體特別之處在於，它具備自動過濾臉書帳號連線階段（Session）的Cookie，並能識別臉書帳號是否用於管理廣告，以及投放廣告的額度等資訊。而對於該惡意軟體的散布途徑，研究人員推測是透過網路釣魚來進行，駭客透過社群網站貼文，聲稱提供Excel、Word、Acrobat Reader等軟體，一旦使用者上當，電腦就有可能被植入VietCredCare。</p> <p><a href="https://sysdig.com/blog/ssh-snake/"><strong style="font-size: 22px;">惡意軟體SSH-Snake竊取SSH金鑰，於受害組織網路進行橫向移動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/image2-76.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2-76.png" style="width: 300px; float: right;" /></a>資安業者Sysdig指出，自今年1月公開提供的網路拓樸架構呈現工具SSH-Snake，已有駭客拿來用於攻擊行動。</p> <p>此工具為Bash Shell指令碼，研究人員形容是「能夠自我修改的蠕蟲程式」，能夠自動從特定檔案路徑和Shell的事件記錄檔案當中，挖掘受害主機上的SSH帳密、私鑰，從而在網路環境進行橫向移動。</p> <p>特別的是，此指令碼檔案在第1次執行的時候，會進行自我修改，使得檔案大小產生變化，其方法是將所有的註釋、空格、不必要的函數刪除。有別於一般的指令碼，SSH-Snake能在所有類型的裝置上運作，並完全以無檔案（Fileless）的方式進行，同時還能自我複製及散布。</p> <p><a href="https://blog.talosintelligence.com/google-cloud-run-abuse/"><strong style="font-size: 22px;">無伺服器服務Google Cloud Run遭到濫用，駭客拿來散布金融木馬</strong></a></p> <p></p> <p>思科威脅情報小組Talos指出，他們從去年9月發現，來自巴西的駭客濫用無伺服器服務Google Cloud Run來大規模散布惡意程式，這些包含了Astaroth（又名 Guildma）、Mekotio、Ousaban等金融木馬，他們看到駭客主要目標是拉丁美洲，但也有歐洲國家的使用者受害。</p> <p>這些駭客在釣魚郵件大多使用西班牙文，但也有使用義大利文、葡萄牙文的情況。這些釣魚郵件通常使用發票或稅務文件為誘餌，有時駭客還會冒充稅務機關來從事攻擊。而這些釣魚郵件的共通點就是內含Google Cloud Run的URL，收信人一旦照做，就會下載MSI安裝程式，而有可能導致電腦被植入木馬程式。</p> <p>研究人員指出，駭客偏好這項雲端服務的原因，在於Google為新用戶提供免費點數等豐富資源，且能快速部署網頁應用程式，而該服務在大多數企業組織的資安防護系統會視為合法流量。</p> <p><a href="https://www.trellix.com/blogs/research/ransomhouse-am-see/"><strong style="font-size: 22px;">勒索軟體RansomHouse透過自動化工具MrAgent，攻擊VMware虛擬化平臺</strong></a></p> <p>資安業者Trellix與Northwave聯手，發現勒索軟體駭客組織RansomHouse近期使用的新工具MrAgent，此惡意程式專門針對虛擬化平臺VMware ESXi而來，主要功能是識別主機的系統、關閉防火牆，然後在虛擬機器管理程式（hypervisor）部署勒索軟體，從而入侵所有虛擬機器（VM），而以上過程全部都是自動化執行。</p> <p>攻擊者也能透過C2對MrAgent下達命令，從而竄改虛擬機器管理程式的密碼、指定勒索軟體加密的參數，同時能置換虛擬機器管理程式監控工具的啟動畫面，從而向IT人員顯示勒索訊息。</p> <p>特別的是，雖然該惡意程式主要目標是VMware ESXi，但研究人員指出，MrAgent同時有Linux和Windows版本，兩者具備相同的核心功能，但在Windows版當中，部分工作是透過PowerShell執行。</p> <p><a href="https://psi.de/#19022024"><strong style="font-size: 22px;">為能源供應商提供軟體解決方案的PSI Software證實遭遇勒索軟體攻擊</strong></a></p> <p></p> <p>2月15日能源供應商提供軟體解決方案的PSI Software傳出遭遇網路攻擊，該公司為了降低資料遺失的風險，切斷包含電子郵件系統在內的多個IT系統連線。</p> <p>到了19日該公司更新調查結果，指出他們遭遇了勒索軟體攻擊，但沒有透露攻擊者的身分。而對於這起事故受害的情況，他們表示尚未發現客戶端的PSI系統受害的情況，但該公司也無法透過遠端連線來進行維護作業。</p> <p><a href="https://udn.com/news/amp/story/7321/7773406"><strong style="font-size: 22px;">民眾購買溫泉旅館泡湯券疑個資外洩遭詐騙，旅館及IT業者竟稱沒有發生資料外洩事故，此事與他們無關</strong></a></p> <p></p> <p>趙姓婦人於2020年10月、2021年11月間委託同事、家人訂購37張北投麗禧溫泉酒店溫泉券，事後卻接到詐騙電話要她配合操作「解除分期付款」而上當，遭騙近10萬元，憤而指控麗禧與建置訂購系統的墨攻公司未依個人資料保護法進行相關防護措施，導致她的個資遭到竊取，求償金錢損失及精神慰撫金，並要求兩家公司停止使用並刪除她的個資。</p> <p>值得留意的是，本起訴訟當中，麗禧、墨攻提出數發部數位產業署2023年的函文，表示他們只有遭到網路攻擊，而非個資外洩事件，強調墨攻訂購系統在2021年8月、11月遭到攻擊與個資外洩無因果關係，但後來臺灣高等法院認為，這項說法不足以證明個資外流與系統遭駭無關。</p> <p>高院民事法庭發現，詐騙集團在趙婦最後1次使用訂票系統後才撥打電話，對話內容完全掌握使用的銀行帳戶等細節。由於前述網路攻擊外洩個資超過5千筆，卻僅有她1人受騙，高等法院認為兩者之間沒有相當因果關係，但兩家公司仍要賠償精神慰撫金。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/screenconnect-critical-bug-now-under-attack-as-exploit-code-emerges/"><strong style="font-size: 22px;">ConnectWise針對遠端桌面連線軟體ScreenConnect身分驗證繞過漏洞提出警告，已出現攻擊行動</strong></a></p> <p></p> <p>2月19日資安業者ConnectWise發布資安公告，指出旗下的遠端桌面連線系統ScreenConnect存在路徑穿越漏洞CVE-2024-1708 、身分驗證繞過漏洞CVE-2024-1709，CVSS風險評分為8.4、10分，影響23.9.7以前版本的ScreenConnect，該公司發布23.9.8版修補上述漏洞，並對雲端服務代管版本screenconnect.com、hostedrmm.com進行處置。當時資安業者Huntress公布概念性驗證攻擊（PoC），並透過Censys威脅分析平臺找到超過8,800臺ScreenConnect伺服器。</p> <p>值得留意的是，20日ConnectWise更新公告，指出上述漏洞已被用於攻擊行動，他們公布駭客所使用的IP位址，供IT人員防堵相關攻擊。但可能是因為這些漏洞造成的影響極為嚴重，隔日該公司宣布破例取消授權限制，讓未購買維護合約的用戶也能安裝新版軟體來緩解漏洞。</p> <p>資料來源</p> <p>1. <a href="https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8">https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8</a><br /> 2. <a href="https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass">https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161395"><strong style="font-size: 22px;">資安院接手TWCERT/CC業務，可全天候受理民間企業資安事件通報</strong></a></p> <p></p> <p>自今年元旦開始，資安院正式接手TWCERT/CC業務，帶來最顯著且立即的改變，就是民間企業資安事件的通報，全天候都有值班人員負責；但資安院為了不與民爭利，主要是以第二線技術支援和諮詢角色，協助受駭企業檢視鑑識報告，是否有找到根因、評估回應措施是否合適。</p> <p>資安院副院長兼發言人吳啟文表示，原先資安事故的通報，企業可隨時透過電子郵件告知TWCERT/CC，但只有上班時間才有員工處理，處理不夠即時；由於資安院已有24小時值班的資安監控中心（SOC），接手相關業務後可處理非上班時間接獲的資安事故通報，而能夠大幅提升處理時效。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-linked-to-defense-sector-supply-chain-attack/"><strong><span style="font-size: 20px;">德國、韓國提出警告，北韓駭客針對全球國防單位從事網路間諜行動</span></strong></a></p> <p><strong><a href="https://medium.com/s2wblog/kimsuky-disguised-as-a-korean-company-signed-with-a-valid-certificate-to-distribute-troll-stealer-cfa5d54314e2"><span style="font-size: 20px;">北韓駭客Kimsuky利用Go竊資軟體Troll與後門程式GoBear，針對韓國而來</span></a></strong></p> <p><a href="https://blog.talosintelligence.com/new-zardoor-backdoor/"><strong><span style="font-size: 20px;">沙烏地阿拉伯伊斯蘭組織遭鎖定，被植入後門程式Zardoor</span></strong></a></p> <p><a href="https://www.volexity.com/blog/2024/02/13/charmingcypress-innovating-persistence/"><strong><span style="font-size: 20px;">伊朗駭客組織Charming Kitten鎖定中東人士散布後門Basicstar</span></strong></a></p> <p><strong><a href="https://www.securityweek.com/chrome-122-firefox-123-patch-high-severity-vulnerabilities/"><span style="font-size: 20px;">Google、Mozilla發布瀏覽器大改版Chrome 122、Firefox 123，修補高風險漏洞</span></a></strong></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161398"><strong>【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161355"><strong>【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> </div></div></div>
2024/2/22 17:19作者周峻佑https://www.ithome.com.tw/news/161422
Rust開發者擔心語言越變越難，甚至有20%受訪者希望放慢新功能開發速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2024/02/19/2023-Rust-Annual-Survey-2023-results.html">Rust調查團隊釋出針對Rust社群的2023年調查報告</a>，顯示開發者越來越願意在工作上使用Rust，而主要原因是Rust高安全和高效能等特性。隨著開發者採用Rust的程度提升，對Rust的發展憂慮也隨之增加，有43％受訪者擔心Rust變得太複雜，甚至有20％受訪者希望Rust開發團隊放慢新功能開發腳步。</p> <p>調查報告顯示，受訪者將Rust用於工作上的比例逐年上升，2023年的受訪者中有34％在大部分的工作中使用Rust，相較於2022年增加了5個百分點，而這些將Rust用於工作的受訪者，其主要原因都是希望可以建立相對正確且沒有錯誤的程式，比例高達86％，而第二常見的原因則是看重Rust的高效能，比例也有83％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/why-you-use-rust-at-work.png" style="width: 580px;" /></p> <p>79％的受訪者表示Rust的確協助企業實現目標，這相較於2022年增加了7個百分點，77％的受訪者還表示，企業可能會在未來繼續使用Rust。就技術層面而言，Rust似乎在創建伺服器後端、網頁和網路服務，以及雲端技術方面特別受到歡迎。整體而言，用戶對於Rust的高效能、可控性和安全性特別有信心。</p> <p>Rust發展至今仍存在許多挑戰，約有43％的受訪者擔心Rust變得過於複雜，雖然這個問題一直存在，不過顯然社群更焦慮了，2023年的數字較2022年高出了5個百分點。還有42％的受訪者擔心Rust沒有受到科技產業廣泛採用，而2023年有32％的受訪者最擔心的議題，是Rust開發者和維護者沒有獲得足夠的支援，較2022年上升了6個百分點。</p> <p>開發者對Rust發展的關心也轉化成為了擔憂，官方提到，他們發現完全不關心Rust未來發展的受訪者明顯減少，2022年為30％而2023年下降至18％。不過有趣的是，其中也有20％的受訪者希望Rust可以放慢新功能開發速度，而這可能與有43％受訪者擔心Rust變得過於複雜有關，也就是說，開發者可能認為Rust快速發展，會導致語言變得難以掌握。</p> <p>2023年Rust開發者最想要Rust開發團隊實作或改進的功能，依序是Traits、const執行以及非同步功能。此外，開發者最常遇到困難的領域，包括了非同步、Traits以及借用檢查器（Borrow Checker）等Rust中較爲複雜且難以理解的概念，許多Rust開發者在學習使用這些功能常會遭遇挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/which-features-do-you-want-stabilized.png" style="width: 580px;" /></p> <p>在Rust生態系方面，最多受訪者用來開發Rust程式的作業系統是Linux高達69.7％，其次是33.5％的macOS和31.9％的Windows，2023年使用WSL開發Rust的受訪者，與2022年相比少了1.2％。而受訪者最愛用的IDE，第一名仍是VS Code有高達61.7％的受訪者使用，第二名則是vi/vim/neovim有31％，而第三名則是2023年才釋出的Rust專用IDE Rust Rover。</p> </div></div></div>
2024/2/22 02:59作者李建興https://www.ithome.com.tw/news/161407
【資安日報】2月21日，中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p>根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://twitter.com/AzakaSekai_/status/1759326049262019025"><strong style="font-size: 22px;">中國資安業者安洵信息內部資料在GitHub公開，曝露中國政府對西方國家的網路間諜攻擊手段</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGpis78bQAAezgE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGpis78bQAAezgE.jpg" style="width: 300px; float: right;" /></a>一位名為「安坂星海」的臺灣資安研究員發現，有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub，聲稱該公司欺瞞中國當局，且財務出現問題，其產品的品質低落，並招致員工抱怨。這些資料也透露該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、北約組織的政府機關。</p> <p>研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門，其軟體平臺能挖掘使用者X（推特）帳號登記的電話號碼及電子郵件信箱，並對特定帳號的動態進行即時監控，甚至能冒用帳號來進行發文、刪文、轉推、按讚。該公司針對Windows、macOS、Linux、iOS、安卓等作業系統，自製RAT木馬程式Hector，其中Windows版木馬號稱能迴避95%防毒軟體偵測，此外，公司還開發外觀與行動電源極為相似的「Wi-Fi抵近攻擊系統（Wi-Fi Near Field Attack System）」。在業務運作上，這家公司同時經營DDoS殭屍網路，所用的病毒檔案大小僅有29 KB，此殭屍網路號稱能產生10至100Gbps的流量。除此之外，還有APT攻擊的教戰手則，並能透過分析郵件、中國社群網站平臺內容來從事間諜行動的說明文件。</p> <p>而對於這些資料外流的原因，新聞網站大紀元認為，很有可能是員工對公司及薪資不滿所致；另一個新聞媒體Coinlive指出，該公司員工曾討論如何販賣國家機密，或是製作色情聊天網站來維持生計。</p>  <p>資料來源</p> <p>1. <a href="https://twitter.com/AzakaSekai_/status/1759326049262019025">https://twitter.com/AzakaSekai_/status/1759326049262019025</a><br /> 2. <a href="https://www.epochtimes.com.tw/n433151/陸網安公司文件外流-曝光中共網攻手段.html">https://www.epochtimes.com.tw/n433151/陸網安公司文件外流-曝光中共網攻手段.html</a><br /> 3. <a href="https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and">https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and</a></p> <p><a href="https://blog.talosintelligence.com/tinyturla-next-generation/"><strong style="font-size: 22px;">非政府組織遭俄羅斯駭客組織Turla鎖定，植入後門程式TinyTurla-NG</strong></a></p> <p>思科威脅情報團隊Talos與非政府組織電腦緊急應變小組（CERT.NGO）聯手，發現俄羅斯駭客Turla使用新的後門程式TinyTurla-NG（TTNG），研究人員去年12月看到駭客以波蘭的非政府組織（NGO）為目標，部署該後門程式並藉由已被入侵的WordPress網站充當C2伺服器，這些網站也被對方用來代管惡意PowerShell指令碼TurlaPower-NG。</p> <p>研究人員指出，駭客通常是在其他工具失效，或是不慎觸發了受害環境的資安系統警報時，才會使用該後門程式來進行最後的嘗試。而對於PowerShell指令碼TurlaPower-NG的用途，研究人員指出是竊取受害電腦資料，再交由前述的後門程式回傳。根據惡意程式編譯的時間，這起攻擊行動可能在去年11月開始。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cactus-ransomware-claim-to-steal-15tb-of-schneider-electric-data/"><strong style="font-size: 22px;">施耐德電機傳出資料外洩，勒索軟體Cactus聲稱竊得1.5 TB資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Schneider Electric Cactus leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Schneider%20Electric%20Cactus%20leak.png" style="width: 300px; float: right;" /></a>1月17日能源管理暨自動化龍頭施耐德電機傳出遭到攻擊，導致該公司的Resource Advisor雲端平臺服務面臨中斷。施耐德電機也證實他們的永續發展業務部門遭到網路攻擊，且資料遭到竊取，如今出現進一步的發展。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Cactus聲稱，他們1個月前入侵施耐德電機的網路環境，竊得1.5 TB資料，提供25 MB檔案供買家檢驗，並附上數名美國民眾的護照，以及保密協議文件的掃描檔案。但究竟有那些資料遭竊，目前仍不得而知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.darkreading.com/application-security/joomla-xss-bugs-open-millions-websites-rce"><strong style="font-size: 22px;">內容管理系統Joomla存在XSS漏洞，恐被攻擊者用於遠端執行任意程式碼</strong></a></p> <p></p> <p>2月20日開源內容管理系統Joomla修補跨網站指令碼（XSS）漏洞CVE-2024-21726，此漏洞發生的原因在於不充分的內容過濾機制，而有可能導致特定元件出現XSS弱點，他們發布5.0.3、4.4.3版Joomla予以修補。</p> <p>找到該漏洞的資安業者Sonar Source指出，該漏洞主要出現在Joomla的核心過濾器元件，一旦攻擊者加以利用，就有可能誘騙管理員點選惡意連結，從而遠端執行任意程式碼（RCE），研究人員不願透露更多細節，但呼籲網站管理者應儘速套用新版軟體來緩解漏洞。</p> <p>資料來源</p> <p>1. <a href="https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html">https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html</a><br /> 2. <a href="https://www.sonarsource.com/blog/joomla-multiple-xss-vulnerabilities/">https://www.sonarsource.com/blog/joomla-multiple-xss-vulnerabilities/</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161379"><strong style="font-size: 22px;">國際執法機構關閉34臺LockBit伺服器，凍結逾200個加密貨幣帳號，逮捕2名嫌犯</strong></a></p> <p></p> <p>有許多關注勒索軟體LockBit動態的研究人員及資安新聞媒體發現，該組織架設於暗網的網站已遭執法單位控制，如今這樣的情況也得到證實。</p> <p>2月20日歐洲刑警組織（Europol）發出聲明，由英國國家刑事局（National Crime Agency，NCA）發起的執法行動Operation Cronos，在10個國家的執法部門投入相關工作，並由歐洲刑警組織及歐洲司法組織從中進行協調之下，成功關閉該組織架設於荷蘭、德國、芬蘭、法國、瑞士、澳洲、美國、英國的34臺伺服器，並凍結超過200個加密貨幣帳戶，同時在波蘭及烏克蘭逮捕2名嫌犯。</p> <p>NCA已控制了LockBit的基礎設施及暗網網站，並表示他們取得了原始碼，同時發現駭客並未依照承諾，刪除已付贖金的受害組織資料。<a href="https://www.ithome.com.tw/news/161386">日本警方已打造LockBit 3.0的解密工具</a>，受害者可從No More Ransom網站取得。</p> <p>資料來源</p> <p>1. <a href="https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation">https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation</a><br /> 2. <a href="https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group">https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group</a><br /> 3. <a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Lockbit30">https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Lockbit30</a></p> <p><a href="https://www.aielectionsaccord.com/uploads/2024/02/Press-Release-AI-Elections-Accord-16-Feb-2024.pdf"><strong style="font-size: 22px;">科技龍頭承諾共同對抗與選舉有關的AI欺騙性內容</strong></a></p> <p></p> <p>2月16日微軟、Google、Meta、OpenAI、IBM等全球20家科技龍頭在慕尼黑安全會議（Munich Security Conference，MSC）發出共同聲明，為防止由AI產生的欺騙性內容干預2024年的全球選舉活動，他們將共同努力偵測及打擊有害的AI內容。</p> <p>這些科技業者具體提出8項承諾，分別是開發及導入可用來減少欺騙性AI選舉內容的技術與工具；評估相關模型並理解可能帶來欺騙性AI選舉內容的風險；試圖在社群網站平臺偵測相關的有害內容；尋找適當解決在平臺上所偵測到的欺騙性內容；培養跨產業對欺騙性AI內容的防禦能力；向大眾揭露如何解決問題的透明度；繼續與全球民間社會組織或學術界交流；支持對大眾意識、媒體素養及整個社會復原能力的推動。</p> <p>此外，微軟特別設置檢舉平臺，供全球候選人通報疑似由AI產生的欺騙性內容。</p> <p><a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca"><strong style="font-size: 22px;">為應對量子運算的安全挑戰，Linux基金會成後量子密碼學聯盟</strong></a></p> <p>2月6日Linux基金會宣布成立後量子密碼學聯盟（Post-Quantum Cryptography Alliance，PQCA），主要目的是要促進後量子密碼學進步，期望透過製作高保證性的軟體，來實踐標準化演算法的目標，從而支援持續開發並產生新的後量子演算法的標準化，初始會員包括AWS、Google、IBM、Nvidia等11家企業組織。</p> <p>該聯盟將打造程式庫及軟體套件的中樞，以符合美國國家安全局（NSA）推薦的加密指南「商業國家安全演算法套件2.0（Commercial National Security Algorithm Suite 2.0，CNSA 2.0）」的資安建議。此外，PQCA將從事各式專案，包括開發軟體來評估、設計、部署新的後量子演算法，透過提供軟體實作，進而促進後量子密碼學在產業中實際應用。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cadosecurity.com/migo-a-redis-miner-with-novel-system-weakening-techniques/"><strong><span style="font-size: 20px;">惡意軟體Migo停用Redis伺服器的安全機制，將其用於挖礦</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/connectwise-urges-screenconnect-admins-to-patch-critical-rce-flaw/"><span style="font-size: 20px;">ConnectWise針對遠端桌面連線軟體ScreenConnect身分驗證繞過漏洞提出警告</span></a></strong></p> <p></p> <p><a href="https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach"><strong><span style="font-size: 20px;">安卓金融木馬Anatsa再度現身Google Play市集，鎖定歐洲國家而來</span></strong></a></p> <p></p> <p><a href="https://www.hackread.com/israeli-nso-group-mms-fingerprint-attack-whatsapp/"><strong><span style="font-size: 20px;">以色列商業間諜公司NSO Group利用WhatsApp漏洞，利用MMS指紋追蹤用戶</span></strong></a></p> <p></p> <p><strong><a href="https://arxiv.org/abs/2402.11423"><span style="font-size: 20px;">研究人員揭露濫用無線充電器的攻擊手法VoltSchemer，有可能注入語音命令、燒毀手機</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161355"><strong>【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> </div></div></div>
2024/2/21 17:54作者周峻佑https://www.ithome.com.tw/news/161398
DevOps快報第2期：React今年推出19新版，jQuery揭露8年大改版，Go終於解決新手最困擾的迴圈問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/1/19～2/20 精選開發相關新聞：開發技術與工具篇</strong></p> <p><strong>第二期DevOps主要聚焦在開發技術和開發工具的更新，在2024年初有不少開發工具、開發框架和開發語言的更新，老牌jQuery終於出現8年後的大改版，推出了4.0的beta版，2年沒有大改版的React也預告今年會推出下一個重大新版19。Go語言則終於修正了讓許多新手困擾的For迴圈老問題。微軟.NET在第9版也將持續聚焦雲原生、AI支援和效能三大重點來優化，VS Code開始支援語音指令，Visual Studio則要更緊密整合GitHub Copilot，一邊寫程式碼，隔行也能直接輸入Copilot提問。網頁開發者愛用的SQLite也全面改寫了JSON函數，開始支援JSONB格式</strong></p> <p><strong><span style="color:#FF8C00;">#JavaScript #前端開發框架 #React</span><br /> React計畫今年底前釋出19新版，Instagram用的React編譯器會先開源釋出</strong></p> <p>經過2年，React社群準備在今年釋出19新版，最近也在React官網上公布了目前正在開發中的新功能，包括了先前處於研究階段的新版React Compiler，開發團隊準備要將這個功能納入到React的正式功能。目前這個編譯器已經用於Instagram的正式環境上，React計畫運用到Meta其他更多服務和產品上，目前正準備釋出第一個React Compiler的開源版本。這個React編譯器可以套用需要的JavaScript規則和React規則更安全地編譯程式碼，這些規則可以用來限制開發者所能做的事，來兼顧程式碼的安全性和效能。有多項新功能進入候選發布通路中，包括了文件後設資料、資產載入、Actions功能。</p> <p>另外，React也宣布今年將正式推出下一個重要的版本React 19，例如Web Components。React核心開發成員Andrew Clark也透露多項新版的變動和功能，例如useMemo、useCallback和memo會整合到React編譯器中，useContext會改為use(Contect）、<Context.Provider>會改為<Context>等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/React%E6%96%B0%E7%89%88%E5%AE%A3%E5%B8%83.png" /></p> <p><strong><span style="color:#FF8C00;">#網頁開發 #jQuery #IE瀏覽器棄用</span><br /> 相隔8年，jQuery終於再次大改版推出4.0，更預告5.0將取消IE 11支援</strong></p> <p>距離上次大改版已經過了8年，知名JavaScript函式庫終於在2024年迎來jQuery 4.0.0 Beta版本，上一次大改版是在2016年發布的3.0正式版。jQuery 4.0.0有許多重大更改，包括取消IE 10以前的支援，並且刪除已棄用的API，以及放棄支援一些過於複雜行為。同時，還新增支援可信類別（Trusted Type），強化安全性防禦跨站腳本（XSS）攻擊。</p> <p>jQuery 4.0刪除了許多內部函式，或是已經在瀏覽器中具有原生等效功能的函式，諸如jQuery.trim()、jQuery.isArray()與jQuery.isFunction()等13個。還移除了內部使用的陣列方法如push、sort和splice方法，直接改使用陣列函式，可以讓jQuery更符合現代JavaScript標準和最佳實踐，也讓函式庫更加精簡。</p> <p>4.0版處理焦點事件的順序也有變化，不再覆蓋瀏覽器原生行為，除了IE之外，所有瀏覽器都會遵循當前W3C規範，順序為blur、focusout、focus和focusin。jQuery.ajax新增對二進位資料FormData的支援。開發者可以在使用jQuery.ajax進行網路請求時，直接傳送表單資料和其他二進位檔案，不需要進行額外的處理和轉換。</p> <p>jQuery 4.0加入了對可信類別的支援，而這是一個重要的安全性強化功能，另外也改進對內容安全政策（CSP）的支援。開發者也可以使用官方發布的jQuery Migrate外掛工具，辨識程式碼相容性問題。jQuery 4.0提供了精簡版本，藉由移除非同步程式開發機制Deferreds和回呼列表管理功能Callbacks，使體積現在小於20 KB。</p> <p>不只發布了4.0 beta版，官方還宣布了5.0的開發計畫，從4.0開始分階段，取消對IE的支援，4.0不再支援IE 10以及更早版本，5.0則將進一步取消對IE 11的支援。</p> <p> <strong><span style="color:#FF8C00;">#雲原生開發 #AI支援 #.NET框架</span><br /> .NET 9預覽版來了，雲原生、AI支援和效能是三大改進重點</strong></p> <p>3個月前，微軟才發布.NET 8，隨即在2月中公布了.NET 9預覽版。.NET 9仍聚聚焦三大發展重點，效能提升、雲原生與AI開發的支援。微軟也同步改進Visual Studio、VS Code和C#開發工具包，要讓.NET開發更為簡單，並且與Azure服務更好地整合，使開發者可以簡單部署.NET應用程式到雲端。<br /> 微軟持續從.NET技術堆疊各個層面，來強化.NET 9對雲原生應用基礎架構的改進，例如讓開發者更容易部署應用程式到常見的生產基礎設施和服務，例如Kubernetes環境或是使用託管資料庫和快取服務等。另外，.NET 9也持續改進微軟最新的程式碼編譯技術Native AOT來提高效能。另外，新版也將採用了支援Native AOT編譯的webapiaot模板最佳化Web API應用程式。<br /> 對人工智慧開發的支援上，新版將著重於讓開發者更容易使用新的人工智慧技術與OpenAI服務，會提供更多函式庫和文件，協助開發者使用OpenAI服務及其他開源模型，包括本地端與雲端模型的支援。</p> <p><strong>#新手困擾 #Go語言<br /> Go終於修正老問題， 1.22解決for迴圈變數共享問題</strong></p> <p>在Go語言1.22新版中，解決了for迴圈中變數共享的問題，在之前的Go版本中，在for迴圈中啟動的goroutine如果直接使用迭代變數，可能會因為變數共享而出現非預期的結果。這是存在多年的老問題，也是Go新手編寫程式的時候常會遇到的陷阱，終於在Go 1.22版被解決了，迭代變數在每次迭代時都能被正確的捕獲，並在goroutine內部使用，減少開發者寫出臭蟲程式碼的可能性。新版增加了整數的範圍迭代支援，這是一個新的語言功能，讓固定次數的迭代操作更加直覺且方便。這兩個變更進一步改善了Go的安全性與易用性。</p> <p><strong>#RUST語言 #C++互通性<br /> Google捐款100萬美元給Rust基金會，要改善C++與Rust互通性</strong></p> <p>因為大量Android元件和Google產品使用了Rust語言，最近Google捐了100萬美元給Rust基金會，指名要專門用來改善Rust程式碼與C++程式碼之間的互通性，尤其要用來改善老舊C++程式碼與Rust程式碼的互通。另外，Google也承諾要進一步改善Rust的稽核工具，會將Google許多開源專案用的程式碼稽核工具，發展到Rust語言的程式碼稽核上。</p> <p><strong>#網頁開發 #SQLite資料庫 #JSONB<br /> 網頁開發者愛用的SQLite關鍵更新，3.45新版全面改寫JSON函數支援JSONB格式</strong></p> <p>知名資料庫SQLite發布最新的3.45版本，JSON SQL函式有重大更新，重寫了所有得JSON函式，並且改用新的內部解析樹格式JSONB，JSONB格式可以序列化並儲存在資料庫中，避免在使用JSON值時，還需要進行不必要的重複解析，因此透過支援JSONB，SQLite在處理JSON資料能夠更高效靈活。</p> <p>SONB能夠將JSON的解析樹，以BLOB二進位的形式儲存在磁碟上，且可以減少應用程式讀取和更新JSON值的解析和渲染開銷，比起JSON，JSONB使用更小的磁碟空間，在處理速度上更快。支援JSONB，也讓SQLite能更好地與其他二進位JSON格式系統整合。</p> <p><strong><span style="color:#FF8C00;">#語音控制 #軟體開發 #VS Code</span><br /> 用講的也能寫程式，VS Code開始支援Hey Code語音指令</strong></p> <p>在VS Code的1.86版本有一個重大的功能更新，開發者可以使用Hey Code語音指令，開始與Copilot Chat進行語音對話。該功能隸屬於VS Code的無障礙功能，開始後可以讓VS Code監聽Hey Code語音指令以啟動語音對話。語音辨識只在電腦本地端運算，不會發送至任何伺服器，以確保開發者的隱私安全。可支援多種使用情境，chatInView選項允許開發者從聊天檢視頁面啟動語音聊天，方便地直接進行對話。而quickChat選項讓開發者可以透過快速聊天控制項，迅速與Copilot開始語音聊天，inlineChat則可以在編譯器的程式碼行內開始語音聊天。開發者要使用這項新功能，需要安裝GitHub Copilot Chat與VS Code Speech擴充套件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VSCode-%E8%AA%9E%E9%9F%B3%E6%8E%A7%E5%88%B6.png" /></p> <p><strong><span style="color:#FF8C00;">#AI輔助軟體開發 #Github Copilot</span><br /> Visual Studio 17.10更緊密整合GitHub Copilot，能直接在一行行程式碼中與Copilot互動</strong></p> <p>微軟釋出Visual Studio 2022的17.10版第一個預覽版，更緊密整合最新GitHub Copilot，像是開發者可以使用斜線指令加速工作流程，替常見開發任務具體目標設定斜線指令，像是/explain可代表Explain the code等，讓開發者不需要編寫冗長的問題，就能獲得更精準的答案。此外，開發者可在Visual Studio進行行內聊天，直接於檔案中與Copilot互動並獲得建議，並即時查看差異。</p> <p>微軟參考社群意見嘗試重新建構自訂體驗，在Visual Studio 17.10引入統一設定功能。從這個新版本開始，提供開發者更多自由和介面，來調整和配置開發環境設定。例如，讓用戶可以在全域層級進行設定，或是在更具體的層級進行自訂，像是特定解決方案和或是資料夾層級，使用戶能夠更細緻地控制不同專案的設定，並可依據每個專案的需求進行調整。另外在17.9版的第三個預覽版則持續強化程式碼搜尋功能，不只擴大了搜尋範圍，也強化文字支援，預設程式碼搜尋功能時啟用精確文字比對，搜尋範圍涵蓋之前所不會有的註解和區域變數，使得程式碼搜尋更加全面且高效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VS1710-Inline%20Chat.png" /></p> <p><strong><span style="color:#FF8C00;">#Python套件 #Jupyter套件</span><br /> VS Code兩大AI開發套件小更新，Jupyter擴充套件內建變數檢視器</strong></p> <p>微軟釋出了VS Code Python與Jupyter擴充套件2月更新，除了預設安裝Python除錯器擴充套件之外，Jupyter擴充套件也內建變數檢視器，在執行和除錯面板中，新增了一個實驗性變數檢視器，該內建變數檢視器可用於查看筆記本核心中的變數，協助開發者在程式碼執行時，監控程式中的變數，對於程式碼除錯特別好用，因為開發者可以即時監控變數的值。 Python語言伺服器擴充功能，是以微軟的Pyright靜態型別檢查器為基礎建置，提供了一系列強化Python程式開發體驗的功能，這次更新也引入新的診斷規則，可以進一步最佳化程式碼品質。</p> <p><strong><span style="color:#FF8C00;">#次世代網頁IDE #行動平臺模擬器</span><br /> Web開發工具Project IDX新增Android與iOS模擬器，更方便打造跨平臺應用</strong></p> <p>Google近日更新了次世代Web開發工具Project IDX，將Android與iOS模擬器帶入瀏覽器中，可以讓開發者從工作區進行開發、測試和除錯，多步驟和多平臺流程都被整合到同一個地方，而運用iOS模擬，開發者可以在工作時確認應用程式的布局和行為。目前這些功能還在實驗性階段。</p> <p>另外也增加了更多的模板，針對Astro、Go、Python/Flask、Qwik、Lit、Preact、Solid.js和Node.js添加新模板，開發者可以使用這些模板，直接開始進行專案開發，減少配置的時間，將更多時間花在創建程式邏輯上。IDX新提供的功能和資源，也讓應用程式建置、測試和部署更方便，可以自動偵測應用程式和服務所需的網路連接埠，並調整防火牆設定准許流量進出，開發者不需要進行額外配置，且用戶不需要在本地端進行安裝，就可以直接在工作區中，立即執行命令列工具、腳本和公用程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IDX.png" /></p> <p><strong><span style="color:#FF8C00;">#測試框架 #容器化測試</span><br /> 微軟釋出全新輕量級MSTest測試框架執行工具，能簡化測試環境還能進行容器化測試</strong></p> <p>微軟推出用於MSTest測試的輕量級執行工具MSTest Runner，這是一個，可將MSTest測試建置為獨立可移植執行檔的工具，僅一個控制臺應用程式就可託管和執行測試，不再需要諸如vstest.console、dotnet test或Visual Studio等工具，能在效能與儲存資源有限的裝置上，也可以使用生成的控制臺應用程式實際進行測試。除了簡化測試環境之外，MSTest Runner也可以進行容器化測試，在沒有dotnet SDK的Docker容器中，執行針對dotnet應用程式的測試。</p> <p><strong><span style="color:#FF8C00;">#Sudo #Windows #新管理者指令</span><br /> Windows也有Sudo指令！能在沒有權限的控制臺執行特定管理指令</strong></p> <p>微軟於Windows 11 Insider Preview Build 26052中，加入適用於Windows的Sudo，允許用戶直接從未提升權限的控制臺執行提升權限指令，不需要事先開啟提升權限控制臺，或是執行繁瑣的操作。如此不只提高了效率，也提升操作安全性，因為使用者可以更精確地控制要使用提升權限執行的指令。目前微軟已經在GitHub開源Sudo for Windows專案。這項新功能提供3種用法，第一是在新視窗中執行的預設選項，在一個新的提升權限視窗中執行指令；第二種是關閉輸入選項，系統會在當前視窗以提升權限執行指令，但是不接受任何輸入，適用於不需要進一步輸入的指令；第三種則是行內（Inline）選項，讓提升權限的指令在當前視窗中運作，並且接受輸入和顯示輸出，類似其他作業系統的Sudo行為。</p> <p><strong><span style="color:#FF8C00;">#網頁開發環境 #JavaScript執行環境</span><br /> 啟動超快的JavaScript執行環境Bun推出Shell工具，可支援三大主流OS</strong></p> <p>效能超快的JavaScript推出了新功能Bun Shell，解決在JavaScript中執行Shell困難的問題。Bun Shell使用上簡單直覺，具有豐富的功能，可以在Windows、macOS和Linux跨平臺上使用。去年9月正式推出的Bun是一個講求快速JavaScript執行環境與多合一工具包，啟動速度是Node.js的4倍，可用於執行、建置、測試和除錯JavaScript與TypeScript程式。Bun Shell是一種嵌入式語言和直譯器，可以讓用戶直接在JavaScript或TypeScript程式中執行Shell指令，不需要額外的轉換和打包。而且在Bun Shell中，所有模板變數都會自動跳脫（Escape)，以增加Shell指令執行的安全性。另外，諸如重新導向、管線命令（Pipe）、環境變數等常見Shell功能，Bun Shell也一應俱全。</p> <p><strong><span style="color:#FF8C00;">#日期和時間API #JavaScript執行環境</span><br /> JavaScript執行環境Deno推出1.40，新增好用的日期和時間操作API</strong></p> <p>以Rust語言寫成的JavaScript執行環境Deno推出1.40版本，加入好用的日期和時間操作Temporal API，同時，開發者也將可以使用最新的裝飾器（Decorator）語法，使程式碼的目的和行為更加明確。Temporal API的出現主要是要解決JavaScript中，與Date物件有關的複雜性，傳統Date物件在處理日期和時間方面存在許多問題，像是時區處理不易，日期計算不一致等。</p> <p> <strong>更多新聞</strong></p> <ul> <li>高效協作程式碼編輯器Zed開源並推出協作服務，開發者分享連結就能開始共同編寫程式碼</li> </ul> <p><strong>@資料來源：iThome整理，2024年2月<br /> 責任編輯：王宏仁</strong></p> </div></div></div>
2024/2/21 12:04作者王宏仁https://www.ithome.com.tw/news/161385
Flutter 3.19持續更新渲染引擎Impeller，Android支援度再提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布最新<a href="https://medium.com/flutter/whats-new-in-flutter-3-19-58b1aae242d2">Flutter 3.19版本</a>，該版本擁有許多功能更新，包括框架與API改進，以及執行效能和渲染Impeller引擎的最佳化。Flutter開始提供Gemini Google AI Dart SDK，供開發者方便開發人工智慧應用，並讓開發者更精細地控制小工具（Widget）的動畫，並且擴展支援Windows Arm64平臺。</p> <p>Flutter開發團隊推出Gemini Google AI Dart SDK測試版，其背後採用Google最新的人工智慧模型Gemini，使得開發者可以在Dart或Flutter應用程式中，整合生成式人工智慧功能。目前開發者已經可以從pub.dev下載使用google_generative_ai套件以及相關資源，以遵循Dart語法特性的方式整合Gemini API，僅用單一程式碼庫，就可開發Android、iOS、網頁、macOS、Windows和Linux智慧應用程式。</p> <p>在框架改進上，Flutter強化了滾動行為的可配置性，允許開發者透過將MultiTouchDragStrategy.latestPointer設定為ScrollBehavior，設置與觸控點數無關的滾動行為，並且修復SingleChildScrollView與ReorderableList的崩潰問題和意外行為，提升了整體的穩定性和使用體驗。此外，此版本更新加入新的AnimationStyle小工具，讓使用者可以覆蓋小工具中的預設動畫行為，賦予開發者更多靈活性與控制能力。</p> <p>Flutter 3.19的無障礙功能也獲得強化，添加SemanticsProperties無障礙辨識符號，改進對語義節點的標示。這些節點代表了應用程式的結構與可操作元素，諸如按鈕、連結和文字欄位等，透過改進節點的標示，Flutter可以提供更豐富且準確的資訊給仰賴輔助技術的用戶。這些框架、小工具與無障礙功能的改進，進一步提升Flutter應用程式的開發效率和可用性。</p> <p>Flutter用來取代Skia的渲染引擎Impeller，於Flutter 3.13時已在iOS上運作良好，而Flutter 3.16時，官方也鼓勵開發者可以在支援跨平臺繪圖API Vulkan的Android裝置上，開始嘗試使用Impeller，而經過數個月的開發，現在Impeller對OpenGL後端的支援，已經提升到與Vulkan相同的程度，目前幾乎所有Android裝置上的Flutter應用程式，都可以使用Impeller正確渲染，只剩下諸如自定義著色器和外部貼圖等功能尚未支援。</p> <p>新版Flutter提供開發者更好的GPU追蹤能力，在採用Metal的iOS、macOS、模擬器裝置，以及Vulkan的Android裝置上，Flutter引擎現在可以於除錯和分析建置的時間軸，回報每一個影格的GPU時間。不過目前在非Vulkan的Android裝置，Flutter可能會錯誤回報GPU時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_m3qW6u7Q4mNfTKxN.jpg" style="width: 380px;" /></p> <p>該版本值得一提的更新，還有Impeller在背景過濾器和模糊功能上的效能改進，由於Impeller之前會錯誤請求螢幕貼圖讀取功能，經過修正之後，在基準測試中包含多個背景濾鏡的場景，效能改進可達20％至70％。</p> <p>同時Flutter開發團隊也改進背景過濾器，使其不再完全仰賴模板緩衝區（Stencil Buffer）的資料，避免不必要的資源使用。在具有Vulkan後端的Impeller Pixel 7 Pro裝置上，動畫進階混合模式平均GPU影格時間從55毫秒下降到16毫秒，且90％的光柵化執行緒CPU時間，從約110毫秒降低至22毫秒</p> <p>Flutter開發團隊還持續擴展Flutter 3.19支援的平臺，現在Flutter也開始支援Windows Arm64，此更新對在Windows Arm64平臺，原生高效能執行Flutter應用程式是重要的一步。</p> </div></div></div>
2024/2/21 09:15作者李建興https://www.ithome.com.tw/news/161377
【資安日報】2月20日，勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年出現的勒索軟體LockBit在全球橫行，是最近2至3年最具威脅的勒索軟體。根據美國政府的統計，自2020年該勒索軟體駭客組織已發起超過1,700次攻擊，以美國而言，他們向受害組織總共索討了9,100萬美元的不法所得。這些駭客甚至還<a href="https://www.ithome.com.tw/news/151655">設立漏洞懸賞專案</a>，尋求各界尋找該勒索軟體的漏洞，囂張的程度可見一斑。</p> <p>如此猖獗的態勢，也引起多個國家的執法單位採取行動。最近有許多在追蹤該勒索軟體動態的研究人員發現，執法單位已拿下該組織暗網的網站，這些駭客也對他們的附屬組織證實遭遇「資安事件」。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.aquasec.com/headcrab-2.0-evolving-threat-in-redis-malware-landscape"><strong style="font-size: 22px;">惡意軟體HeadCrab 2.0行蹤更加隱密，以無檔案型態入侵Redis伺服器進行挖礦</strong></a></p> <p>1年前資安業者Aqua Security發現專門鎖定Redis伺服器的殭屍網路病毒HeadCrab，當時已控制超過1,200伺服器，並將其用於挖礦，如今駭客的手法再度升級，殭屍網路規模更大，有另外1,100臺伺服器也遭到控制。</p> <p>研究人員指出，他們在蜜罐陷阱（Honeypot）當中，看到此殭屍網路病毒升級版HeadCrab 2.0，最大的變化在於攻擊者載入此惡意軟體的方式。原本駭客會將惡意程式的共用物件檔案（shared object file，副檔名為SO）儲存於受害伺服器，但新版病毒的傳播方式，則是透過Redis的通訊管道進行，並存放於無檔案的位置（fileless location，應指系統記憶體，因為Redis是一種In-memory資料庫），從而大幅減少留下數位蹤跡的情況，回避資安系統的磁碟掃描功能。</p> <p>另一個與舊版惡意程式的差異，則是在於與C2伺服器的通訊方式，原本駭客利用自定的Redis命令進行互動而容易被察覺，而新版本採用預設的MGET命令，駭客在命令當中挾帶特定參數，讓惡意程式得以確認是來自C2的命令，而對Redis的使用者而言，MGET命令仍能正常運作，使得惡意軟體的行蹤變得更加隱密。</p> <p><a href="https://www.cadosecurity.com/the-nine-lives-of-commando-cat-analysing-a-novel-malware-campaign-targeting-docker/"><strong style="font-size: 22px;">加密貨幣挾持攻擊Commando Cat鎖定曝露的Docker API下手</strong></a></p> <p>資安業者Cado揭露今年出現的加密貨幣挾持攻擊行動Commando Cat，駭客鎖定曝露在網際網路的Docker API，並使用透過Docker映像建立工具Commando而產生的容器進行部署，然後進行容器逃逸，並在Docker主機執行惡意酬載，目的是竊取AWS、GCP、Azure等雲端服務的帳密資料，並利用這些主機從事挖礦工作。</p> <p>攻擊者先是藉由部署Docker做為初始的入侵管道，然後從自己控制的伺服器對目標主機派送一系列的酬載，透過開源工具Commando部署容器並執行惡意命令，使用chroot命令逃脫至容器範圍之外，接著，對方會檢查是否存在特定的服務，才會繼續執行下個階段的行動，在受害主機植入SSH金鑰、後門程式、竊資軟體，最終部署挖礦軟體XMRig。</p> <p>研究人員指出，駭客在執行部分惡意程式的過程中，將檔案存放於記憶體暫存資料夾/dev/shm，使得資安人員調查駭客的蹤跡變得更加困難，他們根據攻擊者使用Shell指令碼、C2伺服器的IP位址，發現與駭客組織TeamTNT手法有所重疊，推測是由其他駭客模仿其手法發起的攻擊行動。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=155714&SPOKE_DATE=20240219&COMPANY_ID=2421"><strong style="font-size: 22px;">散熱風扇製造商建準遭遇加密攻擊，強調資料未外流、未遭到勒索</strong></a></p> <p>2月19日散熱風扇製造商建準發布重大訊息，指出其資訊系統於早上遭到加密攻擊，他們找到加密來源並阻斷加密，正著手恢復系統。而對於本次事故帶來的影響，該公司強調，資料無外洩的疑慮，他們也沒有遭到勒索，目前評估對於營運無重大影響。</p> <p>對於後續的改善措施，該公司表示將強化現有的資安政策、系統架構安全、員工資安教育的落實，並全面提升網路安全等級。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/"><strong style="font-size: 22px;">微軟收信軟體Outlook存在重大漏洞Moniker Link，有可能被用於發動RCE攻擊</strong></a></p> <p>微軟在2月例行更新（Patch Tuesday）針對收信軟體Outlook修補重大漏洞CVE-2024-21413，一旦攻擊者觸發漏洞，就有機會在未經身分驗證的情況下，繞過Office Protected View防護機制，而有機會遠端執行任意程式碼（RCE），CVSS風險評分為9.8。</p> <p>通報此漏洞的資安業者Check Point公布更多細節，他們指出攻擊者若是使用file://通訊協定，並在URL加入驚嘆號，就有機會繞過Office對於惡意連結的防護機制。研究人員指出，這項漏洞發生的原因，在於函式功能MkParseDisplayName的不安全API引起，因此這項漏洞有可能影響其他應用程式。</p> <p>研究人員指出，攻擊者一旦成功利用CVE-2024-21413，就有機會竊取NTLM帳密資料，或是藉由惡意Office文件執行任意程式碼，他們將這項漏洞命名為Moniker Link，呼籲所有Outlook使用者要儘速套用更新程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-28-500-exchange-servers-vulnerable-to-actively-exploited-bug/"><strong style="font-size: 22px;">近10萬臺Exchange Server恐曝露權限提升漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg" style="width: 300px; float: right;" /></a>2月13日微軟修補Exchange權限提升漏洞CVE-2024-21410（CVSS風險評分為9.8），隔日表示該漏洞已被用於攻擊行動，但有研究人員提出警告，仍有不少伺服器尚未修補而曝險。</p> <p>Shadowserver基金會指出，他們在2月17日進行掃描，全球約有9.7萬臺可能曝露相關風險的郵件伺服器，其中最嚴重的是德國和美國，分別有22,903臺、19,434臺，其次是英國、法國、奧地利，分別有3,665臺、3,074臺、2,987臺。值得留意的是，臺灣也有曝露該弱點的郵件伺服器，有777臺。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/Shadowserver/status/1759555706166902819">https://twitter.com/Shadowserver/status/1759555706166902819</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table">https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupted-by-global-police-operation/"><strong style="font-size: 22px;">11個國家執法單位切斷勒索軟體駭客組織LockBit的運作</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg" style="width: 300px; float: right;" /></a>惡名昭彰的勒索軟體駭客組織LockBit的暗網網站傳出遭到執法單位扣押，此網站目前顯示由英國國家刑事局（National Crime Agency，NCA）控制，並指出這是美國聯邦調查局（FBI）與11個國家聯手，進行的執法行動Operation Cronos成果，他們自格林威治標準時間2月20日上午11時30分，已經中斷LockBit提供的網路犯罪服務。</p> <p>資安研究團隊VX-Underground指出，執法單位至少查封22個Tor網站，目前該組織的網站不是顯示被歐洲刑警組織（Europol）查獲的網頁，就是處於離線的狀態；該網站旗下的駭客若是登入系統，也會看到相關訊息：執法單位已掌握原始碼、受害組織名單、勒索金額，很快就會找上他們。</p> <p>究竟執法單位如何成功拿下網站？該駭客組織認為應該是藉由PHP重大漏洞CVE-2023-3824（CVSS風險評分為9.8）來達成。經營LockBit的團隊也向旗下成員成為發出通知，證實遭遇資安事故，但傳送的管道有兩種說法，資安業者AzAl Security認為是透過電子郵件，而VX-Underground指出可能是透過即時通訊軟體Tox或是XMPP。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1759693943942287543">https://twitter.com/vxunderground/status/1759693943942287543</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1759708760929390879">https://twitter.com/vxunderground/status/1759708760929390879</a><br /> 3. <a href="https://twitter.com/vxunderground/status/1759732862335504773">https://twitter.com/vxunderground/status/1759732862335504773</a><br /> 4. <a href="https://twitter.com/azalsecurity/status/1759740340209172548">https://twitter.com/azalsecurity/status/1759740340209172548</a><br /> 5. <a href="https://twitter.com/vxunderground/status/1759795956218778068">https://twitter.com/vxunderground/status/1759795956218778068</a></p> <p><a href="https://www.justice.gov/opa/pr/justice-department-conducts-court-authorized-disruption-botnet-controlled-russian"><strong style="font-size: 22px;">美國破壞俄羅斯駭客APT28經營的殭屍網路Moobot</strong></a></p> <p>俄羅斯駭客組織APT28利用殭屍網路病毒Moobot入侵搭載EdgeOS作業系統的Ubiquiti路由器，組成以家用與小型辦公室（SOHO）設備形成的殭屍網路，將其用於代理惡意流量，並對於美國及其盟國進行網路釣魚，或是竊取帳密的攻擊行動，如今美國政府對其出手。</p> <p>2月15日美國司法部（DOJ）宣布，聯邦調查局（FBI）取得法院死亡灰燼行動（Operation Dying Ember）的許可，遠端存取遭到入侵的路由器，清除殭屍網路病毒及其他惡意檔案，為防止及俄羅斯駭客再度控制，FBI也修改路由器的防火牆規則，並收集與內容無關的路由資訊，來監控是否有駭客試圖嘗試入侵的跡象。</p> <p>而這是繼1月美國摧毀中國駭客Volt Typhoon經營的殭屍網路KV-Botnet之後，今年第2波清理相關基礎設施的執法行動。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/alpha-netwalker-ransomware"><strong><span style="font-size: 20px;">研究人員揭露勒索軟體Alpha，疑為NetWalker東山再起</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/cactus-ransomware-claim-to-steal-15tb-of-schneider-electric-data/"><span style="font-size: 20px;">施耐德電機傳出資料外洩，勒索軟體Cactus聲稱竊得1.5 TB資料</span></a></strong></p> <p></p> <p><a href="https://www.fortinet.com/blog/threat-research/android-spynote-moves-to-crypto-currencies"><strong><span style="font-size: 20px;">安卓間諜軟體SpyNote冒充加密貨幣錢包，意圖洗劫受害者存款</span></strong></a></p> <p></p> <p><a href="https://threatresearch.ext.hp.com/hp-wolf-security-threat-insights-report-q4-2023/"><strong><span style="font-size: 20px;">駭客偏好利用PDF惡意程式，藉此散布WikiLoader、Ursnif、DarkGate</span></strong></a></p> <p></p> <p><strong><a href="https://www.securityweek.com/eset-patches-high-severity-privilege-escalation-vulnerability/"><span style="font-size: 20px;">ESET修補高風險權限提升漏洞，影響Windows端點、Exchange Server、SharePoint Server、Azure等多項防護產品線</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161319"><strong>【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</strong></a></p> </div></div></div>
2024/2/20 14:45作者周峻佑https://www.ithome.com.tw/news/161355
Android 15第一預覽版已推出，強化硬體支援與動態效能管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google著手開發新版Android，現已釋出<a href="https://android-developers.googleblog.com/2024/02/first-developer-preview-android15.html">Android 15第一預覽版</a>。該新版本Android讓應用程式能更好地運用硬體，像是相機、GPU和顯示螢幕等，並開始支援Google新的廣告技術隱私沙箱（Privacy Sandbox），還更新動態效能框架（Android Dynamic Performance Framework，ADPF），供應用程式更好地與作業系統在電源與熱控管上協作。</p> <p>在Android 15，Google開始將隱私沙箱整合進廣告管理工具Android AD服務中，允許廣告商和開發者採用新的廣告技術向用戶推送廣告。傳統網路廣告模式，廣告商通常需要仰賴第三方Cookie等追蹤技術來收集用戶資料，向用戶推送針對性的廣告，但是由於隱私上的顧慮，目前各方瀏覽器都開始預設封鎖第三方Cookie，而Chrome也計畫在2024年第一季，開始移除1％用戶的第三方Cookie，並在第三季逐漸分批移除。</p> <p>而Google所提出的隱私沙箱計畫，便是希望創建更具隱私的廣告生態系來替代第三方Cookie，提供廣告商和開發者包括聚合、匿名化技術來處理用戶資料，希望減少廣告對個人資料的仰賴。不過，目前Apple和Mozilla都以保護用戶隱私為由，拒絕支援隱私沙箱Topics API。</p> <p>Android 15的檔案完整性管理員新增API，使系統可以運用Linux核心中fs-verity功能，自動加密簽章保護檔案，Google提到，該新功能將能提高Android安全性，防止潛在的惡意軟體和未經授權的檔案修改，不讓攻擊者破壞應用程式的功能和資料。</p> <p>Google透過通用MIDI封包（UMP）通訊，在Android 13提供USB連接MIDI 2.0裝置的支援。MIDI 2.0是一種較新的音樂數位介面（Musical Instrument Digital Interface，MIDI）標準，相較之前的版本，提供較高的解析度與更好的表現力，也具有更多的控制功能。</p> <p>現在Android 15，Google要進一步將通用MIDI封包擴展至虛擬MIDI應用，這代表音樂創作應用現在可以控制合成器應用，就像是透過USB連接到實體的MIDI 2.0裝置一樣。這項功能的擴展使得應用程式之間，可以透過MIDI 2.0標準互動和控制，如此即便沒有實體MIDI硬體，用戶還是可以運用這些應用進行音樂創作和表演。</p> <p>Android 15加入新擴充，使得開發者對裝置上的相機硬體和演算法有更多的控制能力，包括低光強化以提升相機預覽的亮度，還提供閃光燈強度進階調整能力，使得用戶在拍照時，能夠運用單次閃光和長時間閃光模式下，精確控制閃光強度。</p> <p>Google也持續投資Android動態效能框架（Android Dynamic Performance Framework，ADPF），來強化Android裝置的動態效能。ADPF是一套API，供遊戲和效能密集應用程式能夠與Android裝置的電源和熱管理系統更直接的互動。</p> <p>而Android 15上的ADPF將會於提示會話（Hint Session）機制新增省電模式，指示特定相關執行緒優先考慮節能而非效能，適用長時間在背景運作的工作負載。提示會話是一種允許應用程式對系統提出效能相關建議或是提示的機制，藉以協助系統了解應用程式當前效能需求，讓系統可以根據需求，調整電源和熱管理系統。</p> <p>新的ADPF提示會話機制還能夠提供CPU和GPU工作時長報告，允許系統調整CPU和GPU頻率，以更好地滿足工作負載需求。Android 15現在還會透過預測熱餘量閾值（Thermal Headroom Threshold）解釋可能的熱限制狀態，這將有助於應用程式判斷裝置是否即將進行熱降頻。</p> <p><a href="https://developer.android.com/about/versions/15/overview#timeline">Google預計將會在6月推出Beta第三測試版</a>，屆時將達到平臺穩定性，該里程碑後開發者可以進行最終相容性測試。若未更新應用程式整合SDK和函式庫支援Android 15，下游應用程式和遊戲開發者可能會遭Google封鎖。</p> </div></div></div>
2024/2/20 08:17作者李建興https://www.ithome.com.tw/news/161347
【資安日報】2月19日，Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近Ivanti頻繁對於Connect Secure漏洞發布資安公告，並指出部分漏洞已確認被用於攻擊行動，使得這套SSL VPN系統的安全問題再度浮上檯面，然而有研究人員發現，這套系統採用大量早就已經終止支援的元件，而曝露於許多已知漏洞的資安風險。</p> <p>這也突顯Ivanti在2020年買下Pulse Secure公司之後，歷經多次資安漏洞相關事故與爭端之後，此系統竟然被發現至今仍延用老舊架構，並未逐步汰換、更新元件，而使得攻擊者有機會藉由已知漏洞上下其手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sentinelone.com/labs/sns-sender-active-campaigns-unleash-messaging-spam-through-the-cloud/"><strong style="font-size: 22px;">惡意Python指令碼SNS Sender濫用AWS服務進行簡訊攻擊</strong></a></p> <p></p> <p>資安業者SentinelOne揭露名為SNS Sender的惡意Python指令碼，駭客將其用於濫用AWS Simple Notification Service（SNS）服務，從而發送大量簡訊，散布惡意網址連結，進行網釣簡訊攻擊（Smishing）。</p> <p>研究人員指出，駭客通常假借美國郵政服務（USPS）的名義，聲稱使用者的包裹投遞錯誤，從而要求他們提供可識別的個人資訊（PII）。製作此惡意指令碼的作者ARDUINO_DAS，將其提供給超過150個網路釣魚工具包。照理來說，AWS帳號會因受限於內建的SNS沙箱功能，而無法濫用此服務發送大量簡訊，但研究人員指出，若使用者向AWS客戶支援人員提出說明，由於這些服務只需支付1美元，以及相關異動需求是採用人工審核，有可能因此取消上述的沙箱功能限制，而能將SNS用於散布垃圾簡訊。</p> <p>利用雲端服務來發送垃圾簡訊的情況已非首例，去年散布惡意程式AlienFox的駭客，他們就是使用雲端通訊平臺Twilio發送釣魚簡訊。</p> <p><a href="https://www.recordedfuture.com/russia-aligned-tag-70-targets-european-government-and-military-mail"><strong style="font-size: 22px;">俄羅斯駭客組織Winter Vivern利用郵件伺服器Roundcube漏洞，攻擊歐洲關鍵基礎設施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tag_70_chart_28741e8d2b.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tag_70_chart_28741e8d2b.png" style="width: 300px; float: right;" /></a>資安業者Recorded Future指出，別名為TAG-70、TA473、UAC-0114的俄羅斯駭客組織Winter Vivern，從去年10月利用郵件伺服器Roundcube的跨網站指令碼（XSS）漏洞，針對超過80個企業組織進行未經授權的存取，對於歐洲政府機關、軍事單位，以及國家關鍵基礎設施而來。這些受害組織當中，位於烏克蘭的最多，占30.9%，喬治亞、波蘭分別占13.6%、12.3%居次，但比利時、法國、捷克、德國、英國也有組織受害。</p> <p>研究人員指出，在烏克蘭戰爭仍持續進行的情況下，這些遭到攻擊的郵件伺服器很有可能曝露烏克蘭在戰爭當中進行的各種努力，像是外交關係、與其他國家之間聯盟的機敏資訊，有可能因此流出而造成影響。而針對伊朗駐俄羅斯、荷蘭大使館遭到攻擊的情況，研究人員認為，這代表伊朗在外交上存在更為廣泛的地緣政治利益考量，特別是該國對俄羅斯、烏克蘭之間的立場；至於鎖定喬治亞政府機關的網路間諜活動，則有可能是為了監視該國打算加入歐盟及北約組織（NATO）的動態。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/pawn-storm-uses-brute-force-and-stealth.html"><strong style="font-size: 22px;">俄羅斯駭客組織APT28發動NTLM中繼攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/pawn-storm-updates-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pawn-storm-updates-1.jpg" style="width: 300px; float: right;" /></a>針對代號為Fancy Bear、Strontium、Pawn Storm的俄羅斯駭客組織APT28，資安業者趨勢科技公布其2022年4月至2023年11月的攻擊行動，其共通點是透過多種方式發動NTLM密碼雜湊中繼（NTLM hash relay）攻擊，駭客的目標涵蓋政府機關、國防工業、能源、交通單位、軍隊，範圍遍及歐洲、北美、南美、亞洲、非洲、中東。</p> <p>他們去年12月看到駭客濫用執行EdgeOS作業系統的路由器，將其用來發送網路釣魚郵件，一旦收信人利用微軟收信軟體Outlook開啟，就有機會觸發Outlook權限提升漏洞CVE-2023-23397（CVSS風險評分為9.8）、WinRAR程式碼執行漏洞CVE-2023-38831（CVSS風險評分為7.8），存取使用者的NTLM雜湊密碼來進行中繼攻擊，從而對目標組織的電子郵件信箱進行未經授權的存取。</p> <p>經過研究人員的進一步調查，他們認為駭客在2022年4月就開始利用CVE-2023-23397。到了11月29日至12月11日，這些駭客又對於歐洲各國政府下手，使用webhook[.]site並搭配VPN服務來發送釣魚郵件，這些信件帶有Windows捷徑檔案（LNK），最終導致NTLM密碼雜湊中繼攻擊。</p> <p><a href="https://hub.dragos.com/report/voltzite-espionage-operations-targeting-u.s.-critical-systems"><strong style="font-size: 22px;">中國駭客Volt Typhoon鎖定美國、非洲電力設施的工業控制系統發動攻擊</strong></a></p> <p>五眼聯盟針對中國駭客Volt Typhoon的攻擊行動提出警告，指出這些駭客對於美國關鍵基礎設施進行長時間攻擊，至少埋伏5年，現在有研究人員找到新的發現。</p> <p>專精工業控制系統的資安業者Dragos指出，他們追蹤與Volt Typhoon行蹤有所交集的駭客組織Voltzite，此集團大多鎖定美國及非洲的電力產業，但衛星、電信、災害管理、國防工業等領域也有受害者，這群惡徒幾乎都採用寄生攻擊（LotL）手法，並導入高階的操作安全實務，以確保他們的行動不會反遭滲透。</p> <p>為了藏匿攻擊來源，這些駭客會在受害組織部署各式的Web Shell及快速反向代理伺服器（fast reverse proxy，FRP）工具，來向C2進行通訊，而C2流量通常也藉由遭駭的家用與小型辦公室（SOHO）網路設備及虛擬私人伺服器（VPS）基礎設施來處理。此外，這些駭客通常會藉由竊取帳密資料來進行橫向移動。</p> <p><a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/"><strong style="font-size: 22px;">中國公關公司架設100多個WordPress網站，冒充世界各地新聞媒體散布對中國有利的訊息</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/paperwall-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/paperwall-7.png" style="width: 300px; float: right;" /></a>加拿大多倫多公民實驗室（Citizen Lab）揭露中國公關公司架設123個網站、假冒歐洲、亞洲、拉丁美洲30個國家新聞媒體，透過發布大量新聞稿，散播有利於中國政府的假資訊，研究人員將這起攻擊行動稱為PaperWall。</p> <p>關於這起活動被發現的原因，起初是10月底義大利新聞網站Il Foglio揭露有6個冒充當地新聞媒體的網站，但他們發現這些網站並未依照該國法律向國家註冊為新聞媒體，而且這6個網站的結構、版面、內容極為相似，並夾雜大量與中國有關的新聞；11月韓國國家網路安全中心（NCSC）也有類似發現，他們看到有18個假冒當地媒體的韓文網站，並指出這些網站由中國公關公司海賣（Shenzhen Haimaiyunxiang Media Co., Ltd.，Haimai）經營。公民實驗室研究人員循線進行調查，截至12月21日為止，共找到123個架設這種新聞網站的網域，這些網站皆以WordPress外掛程式WPBakery建置而成，內容主要來自名為Times Newswire，亦有部分從當地媒體抓取。</p> <p>但值得留意的是，這些網站挾帶特定的政治內容，攻擊對中國不利的人士，例如，研究人員在大部分的PaperWall網站上，看到標題為「Li-Meng Yan完全是謠言製造者」的英文文章，這位是醫學研究員閆麗夢（閻麗夢），曾指控COVID-19病毒源自中國政府實驗室。這起活動至少從2020年開始，雖然目前這些網站的曝光程度非常低，但只要有當地媒體將其內容曝光，就有機會造成影響。</p> <p><a href="https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q4-2023/"><strong style="font-size: 22px;">勒索軟體駭客組織間互通有無，以較少的攻擊次數對工控系統帶來更大傷害</strong></a></p> <p></p> <p>資安業者Dragos針對勒索軟體對工業控制系統（ICS）在2023年第4季造成的威脅態勢進行分析，他們在全球看到204起事故，較前年同期的231起略為下降。</p> <p>其中針對北美、歐洲、亞洲的工業組織或關鍵基礎設施而來的，分別有87、67、30起；從產業別來看，最嚴重的是製造業，有135起事故，占66.1%，其次是交通運輸部門有26起。至於發起相關攻擊行動的駭客組織，勒索軟體LockBit有52起最多，約占四分之一（25.5%），其次是BlackBasta、BlackCat（Alphv），分別有21、14起。</p> <p>研究人員指出，雖然針對工控系統的勒索軟體攻擊事件數量下降，但有幾個現象值得留意，首先，就是駭客持續調整攻擊手法，增加了攻擊成功的機率，例如：LockBit、BlackCat、Royal加入遠端加密（remote encryption）手法，透過端點裝置入侵整個組織；再者，則是偏好利用零時差漏洞（如LockBit使用Citrix Bleed漏洞），而讓防守方措手不及；此外，駭客組織如今也積極與媒體互動，吸引記者報導，甚至提供新聞稿或是接受採訪，企圖操縱社會大眾的看法，來對受害組織進行施壓。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://eclypsium.com/blog/flatlined-analyzing-pulse-secure-firmware-and-bypassing-integrity-checking/"><strong style="font-size: 22px;">研究人員解析Ivanti Connect Secure韌體，發現使用大量已終止支援的元件而容易受到攻擊</strong></a></p> <p>最近1個月Ivanti對旗下的SSL VPN系統Connect Secure（ICS）、NAC系統Policy Secure（IPS）公布5個漏洞，其中超過半數在公布前就被用於攻擊行動，但為何上述的資安系統屢屢成為駭客偏好下手的目標？有研究人員對其韌體進行分析，發現該公司採用多種老舊、已不再受到支援的元件存在風險。</p> <p>專精韌體安全的資安業者Eclypsium取得ICS韌體ICS-9.1.18.2-24467.1版進行分析，結果發現，此韌體底層執行的作業系統竟是已在2020年終止支援的CentOS 6.4，其Linux核心更是在2016年終止支援的2.6.32版，還有很多元件也相當老舊，而可能存在不會被修補的漏洞，例如：2017年終止支援的OpenSSL 1.0.2n、2010年終止支援的Python 2.6.6，以及2001年終止支援、32位元版本的Perl 5.6.1。</p> <p>此外，研究人員也在該系統找出大量弱點，包含973個已登記CVE編號的已知漏洞，其中有396個為高風險層級；他們也從76個Shell指令碼找到1,216個弱點、並在5,392個Python檔案找出5,218個漏洞，再者，該系統所使用的800個憑證當中，有133個已經過期。</p> <p><a href="https://s4.itho.me/sites/default/files/images/pi_screen_6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pi_screen_6.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://group.ntt/jp/newsrelease/2024/02/16/240216b.html"><strong style="font-size: 22px;">為降低軟體供應鏈資安風險，日本IT業者成立安全透明聯盟，迄今有10家公司參與</strong></a></p> <p></p> <p>為了促進供應鏈的安全，去年9月NTT及NEC兩家日本IT龍頭籌畫「安全透明聯盟（Security Transparency Consortium）」，並於10月11日正式成立，當時參與的公司包括網路設備供應商ALAXALA Networks、思科、資安業者FFRI Security, Inc.、日立、三菱電機等，迄今已有10家企業參與。</p> <p>此聯盟成立的主要目的，是要讓產品供應商、系統整合商、資安業者、採用產品及服務的企業之間進行合作，藉由成員共享圖像化資料的知識與技術，從而基於軟體物料清單（SBOM）來增加相關資料的透明度，最終達到提升整體網路安全的目標。該聯盟打算對SBOM相關的圖像化資料互通制訂對策，並預告在今年春季將進行相關公告。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/wyze-investigating-security-issue-amid-ongoing-outage/"><strong><span style="font-size: 20px;">智慧家庭設備業者Wyze出現服務異常，該公司表示是遭遇資安問題導致</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-claims-loandepot-prudential-financial-breaches/"><span style="font-size: 20px;">勒索軟體駭客組織BlackCat聲稱對LoanDepot、保德信發動攻擊</span></a></strong></p> <p></p> <p><a href="http://www.chainalysis.com/blog/2024-crypto-money-laundering/"><strong><span style="font-size: 20px;">政府機關對加密貨幣服務鬆綁，北韓駭客改以比特幣混合器Yomix洗錢</span></strong></a></p> <p></p> <p><a href="https://cert.europa.eu/publications/threat-intelligence/tlr2023/"><strong><span style="font-size: 20px;">中國、俄羅斯駭客組織針對歐盟發動攻擊，網路釣魚是入侵受害組織的主要管道</span></strong></a></p> <p><strong><a href="https://www.lmgsecurity.com/news/critical-software-vulnerabilities-impacting-credit-unions-discovered-by-lmg-security-researcher-immediate-action-recommended/"><span style="font-size: 20px;">供信用合作社使用的CUSG內容管理系統存在漏洞，攻擊者有機會取得超級管理員權限</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161319"><strong>【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161289"><strong>【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</strong></a></p> </div></div></div>
2024/2/19 16:18作者周峻佑https://www.ithome.com.tw/news/161344
【資安週報】2024年2月5日到2月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2月農曆春節前後，剛好適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，在掌握這些漏洞修補動向之餘，這期間有不少漏洞利用情形，更是需要企業優先重視。我們整理如下：</p> <p>有3個零時差漏洞已遭成功利用：<br /> ●Fortinet在2月8日修補已遭利用的零時差漏洞CVE-2024-21762，這是存在該公司SSL VPN元件的RCE漏洞。<br /> ●微軟在2月13日修補73項漏洞中，有兩個是已遭利用的零時差漏洞，分別是：可繞過網際網路捷徑檔安全功能的CVE-2024-21412，以及可繞過Windows SmartScreen安全功能的CVE-2024-21351。</p> <p>還有4個已知漏洞，在近期被發現遭攻擊者利用，首先是微軟修補Exchange伺服器重大漏洞CVE-2024-21410，隔日該公司示警有攻擊利用，其他包括：Roundcube郵件伺服器去年9月修補的漏洞CVE-2023-43770、Google去年9月修補Chromium V8類型混淆漏洞，以及思科2020年5月修補防火牆產品的資訊洩漏漏洞CVE-2020-3259。</p> <p>在資安事件方面，有3項消息成為焦點，都與上櫃及興櫃公司有關，包括：<br /> ●2月5日，上櫃化學工業美琪瑪的部分資訊系統遭受網路攻擊。<br /> ●同樣2月5日，上櫃觀光富野說明旗下分公司的資訊系統遭網路攻擊。<br /> ●2月15日，興櫃瑩碩生技代子公司公告，揭露歐帕生技醫藥遭遇網路攻擊事件。</p> <p>在這些公告之後，還有其他狀況發生，在此一併補充。關於上述美琪瑪遭網路攻擊，有駭客2月16日於論壇聲稱兜售該公司2TB資料；中華民國紡織業拓展會（紡拓會）也傳出可能遭駭，因為他們被一個勒索軟體組織列為受害者，這類法人協會被鎖定的狀況，可能同樣需要追蹤。</p> <p>醫療健保相關產業也要注意，因為國際上最近有2起相關重大資安事故，例如，羅馬尼亞有1百多家醫院遭網路攻擊，當地網路安全局及衛生部已證實，是醫院服務供應商遭到Backmydata勒索軟體攻擊；法國健保業者客戶傳出資料外洩，由於事件恐波及該國近半數民眾，當地的資料保護機構CNIL針對提供第三方支付的兩家公司Viamedis與Almerys進行調查。</p> <p> 在威脅焦點方面，最近有相當多起資安威脅的揭露，都與中國駭客網路攻擊有關，我們整理如下：<br /> ●資安業者Trellix最近指出，臺灣總統大選投票前一天遭受網路攻擊出現大幅增加，根據他們的遙測資料顯示，部分惡意流量特別針對政府、執法與金融單位。<br /> ●資安業者SentinelOne揭露，中國當局在2022年宣傳美國對其發動駭客攻擊，調查其宣傳內容發現，中國的指控普遍缺乏相關的技術分析及證據。<br /> ●荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告，指出該國國防部去年遭中國網路間諜入侵，並植入後門程式。<br /> ●關於LLM被國家級駭客惡意使用，微軟與OpenAI揭露濫用方式，包括查詢開源資訊、翻譯、找程式碼漏洞等，並指出中、俄、伊、北韓駭客組織都已這麼做。</p> <p>特別的是，繼2023年11月義大利報紙 Il Foglio揭露6個冒充義大利新聞媒體的網站，以及韓國國家網路安全中心（NCSC）揭露18個冒充當地新聞媒體的網站，最近<a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/">加拿大公民實驗室（Citizen Lab）發表名為Paperwall的報告</a>，揭露至少有123個網站冒充歐洲、亞洲、拉丁美洲當地的新聞機構，目的是宣傳親中內容，經層層追蹤這些網站後發現，都與1家中國公關公司有關。本期日報尚未提及，在此補上。</p> <p>其他值得關注的威脅手法，我們認為有3項消息需要特別留意：<br /> ●香港警方表示，跨國企業員工因為駭客利用Deepfake技術假冒公司主管參加視訊會議，並指示員工轉帳2億港幣，等到事後向總公司確認才發現上當。<br /> ●關於QR Code網釣，有郵件安全業者研究多半是針對高階主管而來，比一般員工高出42倍。<br /> ●資安業者分析能迴避資安防護系統的惡意程式，發現有7成惡意程式會採用隱形（stealth-oriented）手法。</p> <p>在資安防護方面，有兩個重要新聞，分別是對於勒索軟體與量子破密的因應。針對2023年下半造成重大災情的勒索軟體Rhysida，最近有南韓國民大學研究人員找出其實作漏洞進而破解，後續將提供免費解密工具；近年國際間持續看重後量子密碼學的發展，最近Linux基金會更是宣布，與AWS、Cisco、Google、IBM與Nvidia等11個組織成立後量子密碼學聯盟PQCA，希望透過建立開放與合作的環境，開發用於評估、原型設計與部署後量子演算法的軟體。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161188"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</span></strong></a></h3> <p>近年來利用遠端桌面連線程式入侵受害電腦，已是駭客偏好的手法之一，但若是提供這類系統的業者遭駭，很有可能讓攻擊者取得大量帳密資料，並將其用於發動攻擊。</p> <p>上週末AnyDesk證實他們有伺服器遭到入侵，並尋求資安業者協助，進行這起事故的後續回應，雖然該公司強調他們尚未得知有使用者受到影響，但有資安業者發現駭客已在地下論壇兜售大量AnyDesk帳密，後續發展有待觀察。</p> <h3><a href="https://www.ithome.com.tw/news/161212"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</span></strong></a></h3> <p>大約3、4年前，<a href="https://www.ithome.com.tw/news/139454">用深度學習（Deep Learning）進行AI影像合成的假訊息及詐騙手法Deepfake出現</a>，引起資安界高度關注，而最近有2起事故再度讓Deepfake帶來的威脅浮上檯面。</p> <p>其中之一是網路上有人利用<a href="https://www.ithome.com.tw/news/161083">這類技術產生知名歌手Taylor Swift的色情照片</a>；而另一起則是直接造成財務損失，駭客用於對跨國企業財務人員的視訊會議詐騙，利用該公司高階主管網路上公開的影片進行合成，讓這名員工信以為真。</p> <p><a href="https://www.ithome.com.tw/news/161232"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</span></strong></a></p> <p>為了竊取大量使用者資料，不少攻擊行動鎖定電商網站而來，甚至發展出側錄使用者信用卡的手法Magecart，但現在，也有專門針對提供其他服務的網站而來的情況。</p> <p>最近資安業者Group-IB揭露的ResumeLooters攻擊行動，就是針對求職網站而來，駭客的主要目標是亞太地區，其中，又以印度和臺灣的災情最嚴重。</p> <h3><a href="https://www.ithome.com.tw/news/161289"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</span></strong></a></h3> <p>駭客意圖藉由網路攻擊來操縱國家重要選舉的情況，可說是越來越常見，而這樣的情況，也出現在臺灣上個月舉行的總統與立委大選。</p> <p>根據資安業者Trellix的觀察，他們發現中國駭客在選舉的前一天，企圖透過網路攻擊找出能用於抹黑的資料，研究人員認為駭客選擇此時間點的原因在於，一旦找到相關的資訊大肆散布，候選人將沒有足夠時間進行澄清，而有機會左右選舉的結果。</p> <h3><a href="https://www.ithome.com.tw/news/161319"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</span></strong></a></h3> <p>民眾透過手機操作網路銀行的情況在全球各地可說是相當普遍，針對手機而來的金融木馬攻擊，在最近2到3年有越來越頻繁的現象，但過往這類惡意程式幾乎都是針對安卓手機而來，如今也出現同時攻擊iPhone用戶的金融木馬程式。</p> <p>本週資安業者Group-IB揭露的金融木馬GoldPickaxe，就是典型的例子。特別之處在於，駭客濫用的管道是蘋果專供開發人員發布測試版應用程式的平臺TestFlight，對這類手機用戶發動攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/161326"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</span></strong></a></h3> <p>這1個月以來，Ivanti公布了5個Connect Secure漏洞，其中有3個在該公司發出公告之前就被用於攻擊行動，也因此這些漏洞後續的情況，引起不少研究人員高度關注。</p> <p>這些漏洞導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。</p> <p> </p> </div></div></div>
2024/2/19 11:52作者羅正漢https://www.ithome.com.tw/news/161338
【資安日報】2月16日，金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>民眾透過手機操作網路銀行的情況在全球各地可說是相當普遍，針對手機而來的金融木馬攻擊，在最近2到3年有越來越頻繁的現象，但過往這類惡意程式幾乎都是針對安卓手機而來，如今也出現同時攻擊iPhone用戶的金融木馬程式。</p> <p>本週資安業者Group-IB揭露的金融木馬GoldPickaxe，就是典型的例子。特別之處在於，駭客濫用的管道是蘋果專供開發人員發布測試版應用程式的平臺TestFlight，對這類手機用戶發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/goldfactory-ios-trojan/"><strong style="font-size: 22px;">金融木馬GoldPickaxe鎖定安卓、iOS裝置而來，盜取受害者臉部資訊用於金融詐欺</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/5-18.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5-18.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB去年10月公布名為GoldDigger的安卓木馬程式，中國駭客GoldFactory針對越南用戶而來，但研究人員循線追查發現，這些駭客也開始對iOS作業系統下手。</p> <p>研究人員發現這些駭客利用另一款稱為GoldPickaxe的惡意程式，對泰國發動攻擊，對方先是透過即時通訊軟體Line進行網路釣魚，冒充政府機關或是金融機構，引誘使用者安裝冒牌的應用程式，從而在受害者的手機植入GoldPickaxe並於後臺運作，收集受害者臉部的資料、攔截簡訊、要求提供身分證等資料，然後使用名為MicroSocks的元件進行WebSocket通訊，外流上述資料，從而讓駭客能存取受害者的銀行應用程式。研究人員指出，駭客收集臉部辨識資料的目的，很可能與泰國中央銀行去年3月的新規定有關，在進行5萬泰銖（約1,430美元）以上的匯款，使用者必須通過臉部辨識的身分驗證才能執行。</p> <p>值得留意的是，駭客不光透過Google Play市集對安卓用戶散布惡意程式，針對iPhone用戶，他們將被導向TestFlight的網址，或是被要求安裝MDM應用程式，從而在手機裡植入GoldPickaxe。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html"><strong style="font-size: 22px;">Microsoft Defender SmartScreen零時差漏洞被用於散布惡意程式DarkMe</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/water-hydra-chain-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/water-hydra-chain-1.jpeg" style="width: 300px; float: right;" /></a>資安業者趨勢科技指出，他們於去年12月下旬追蹤駭客組織Water Hydra（亦稱DarkCasino）的攻擊行動，研究人員分析駭客使用的技術、策略、程序（TTP），發現當中涉及網際網路捷徑（.URL），以及以網頁為基礎的分散式編輯及版本控制（WebDAV）元件，在這個攻擊鏈裡，駭客利用零時差漏洞CVE-2024-21412（CVSS風險評分為8.1），繞過Microsoft Defender SmartScreen防護措施，最終導致受害電腦感染RAT木馬程式DarkMe，主要的攻擊目標是在金融市場從事交易的人士。</p> <p>在整個攻擊鏈當中，駭客先於外匯交易論壇及股票交易有關的Telegram頻道上，從事網路釣魚活動，利用社交工程技術，假借提供投資建議、技術分析資訊、股票及金融工具的名義，將投資人引導至位於俄羅斯的冒牌加密貨幣資訊網站（fxbulls[.]ru），駭客也發布大量的英語及俄文貼文，藉著回覆問題的同時，散布含有股票資訊圖表的連結，從而引導投資人透過檔案總管開啟惡意WebDAV連結，然後觸發CVE-2024-21412。</p> <p>研究人員指出，這些駭客持續調整他們的感染鏈，今年1月，駭客改以CVE-2024-21412觸發惡意的MSI安裝檔案。</p> <p><a href="https://www.orangecyberdefense.com/fileadmin/general/pdf/Ivanti_Connect_Secure_-_Journey_to_the_core_of_the_DSLog_backdoor.pdf"><strong style="font-size: 22px;">Ivanti Connect Secure的SSRF漏洞已被用於攻擊行動，散布後門程式DSLog</strong></a></p> <p></p> <p>1月31日Ivanti針對旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure、零信任網路存取閘道系統Neurons for ZTA，公布存在於SAML模組的伺服器請求偽造（SSRF）漏洞CVE-2024-21893（CVSS風險評分為8.2），並提及已有攻擊行動出現，事隔不到一週，Shadowserver基金會指出，在2月2日資安業者Rapid7公布概念性驗證（PoC）程式碼前夕，他們也偵測到嘗試利用該漏洞的行為，代表駭客可能已掌握如何利用漏洞，如今有研究人員公布新的調查結果，證實上述推測。</p> <p>資安業者Orange Cyberdefense指出，他們自2月3日淩晨，看到客戶的Ivanti系統出現漏洞濫用攻擊，駭客藉由經過編碼處理的SAML身分驗證請求，先是將系統資訊輸出至可公開存取的檔案（如index2.txt），從而取得root權限，然後竄改目標系統的事件記錄指令碼DSLog.pm，並伺機在程式碼基礎（codebase）注入後門程式DSLog，他們進一步調查，總共找到有670臺主機遭駭。</p> <p>研究人員向受害組織進行通報，6日約有100臺主機已採取回應措施，截至7日，仍有524臺伺服器受到感染。</p> <p><a href="https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html"><strong style="font-size: 22px;">逾100家羅馬尼亞醫院資訊系統因勒索軟體攻擊而癱瘓</strong></a></p> <p></p> <p>2月12日羅馬尼亞國家網路安全局（DNSC）及衛生部證實，當地醫院的服務供應商遭到勒索軟體攻擊，導致多家醫院受到影響，後來指出發動攻擊的勒索軟體名為Backmydata，為Phobos家族的變種，該勒索軟體對當地採用Hipocarate IT平臺的醫院伺服器下手，加密其中的資料。</p> <p>從2月10日開始有醫院傳出受害消息，截至12日總共有21家醫院受到影響，13日增加至25家。另有79家醫院也將相關系統切斷與網際網路的連線，並著手清查。</p> <p>DNSC指出，這起事故對於大多數醫院的影響有限，因為這些醫院幾乎都對相關伺服器定期備份資料，且最近一次備份資料多為3天內執行。13日DNSC公布駭客索討的贖金為3.5個比特幣，相當於15.7萬歐元，並呼籲所有導入該平臺的醫院遵循他們提供的回應措施，不要向駭客低頭、支付贖金。</p> <p>資料來源</p> <p>1. <a href="https://www.dnsc.ro/citeste/atac-cibernetic-ransomware-spitale-Romania">https://www.dnsc.ro/citeste/atac-cibernetic-ransomware-spitale-Romania</a><br /> 2. <a href="https://www.ms.ro/en/press-center/atac-cibernetic-masiv-de-tip-ransomware-asupra-serverelor-de-produc%C8%9Bie-pe-care-ruleaz%C4%83-sistemul-informatic-his/">https://www.ms.ro/en/press-center/atac-cibernetic-masiv-de-tip-ransomware-asupra-serverelor-de-produc%C8%9Bie-pe-care-ruleaz%C4%83-sistemul-informatic-his/</a></p> <p><a href="https://www.cnil.fr/fr/violation-de-donnees-de-deux-operateurs-de-tiers-payant-la-cnil-ouvre-une-enquete-et-rappelle-aux"><strong style="font-size: 22px;">法國健保業者客戶資料外洩，恐波及該國近半數民眾</strong></a></p> <p></p> <p>2月7日法國資料保護機構CNIL指出，他們著手調查支付業者Viamedis與Almerys的資料外洩事件，兩家業者替多家健康保險業者提供第三方支付服務，在今年1月遭到網路攻擊，外洩逾3,300萬名客戶個資，相當於法國接近一半民眾（6,800萬人）的個資流出。</p> <p>外洩資料涵蓋投保人與其家人的個資，包括社會安全碼、出生日期、健保業者名稱、合約內容。而醫療資訊、金融資訊、郵政資料、電話號碼並未受到影響。</p> <p><a href="https://cyberscoop.com/atlassian-vulnerability-at-fault-in-gao-breach/"><strong style="font-size: 22px;">美國政府責任署傳出資料外洩，原因是承包商的Confluence伺服器遭駭</strong></a></p> <p></p> <p>美國政府責任署（Government Accountability Office，GAO）傳出資料外洩的情況，起因與該單位的承包商CGI Federal有關。此承包商於1月17日通知GAO，本次的資料外洩事故影響約6,600人，主要是2007年至2017年現任及前員工，以及有業務往來的公司。</p> <p>而對於這起事故發生的原因，CGI Federal發言人Mercedes Marx向資安新聞網站CyberScoop透露，是他們的DevOps協作平臺遭到破壞，過程中駭客利用CVE-2023-22515（CVSS風險評分為10），事發後已根據10月美國網路安全暨基礎設施安全局（CISA）的資安公告進行補救，並與政府和客戶合作來確認受影響的範圍。但為何事發3個月才通知GAO，Mercedes Marx並未提出說明。</p> <p><strong style="font-size: 22px;">美國國防部證實1年前的資料外洩事故，逾2萬名員工受害</strong></p> <p></p> <p>根據新聞網站DefenseScoop的報導，美國國防部（DOD）於2月1日通知員工、前員工、求職者、合作夥伴，他們表示，在2023年2月3日至2月20日，其服務供應商不慎將大量電子郵件曝露在網際網路上，其中部分包含曾在美國國防部就職、應徵人士能夠識別的個人資訊（PII）。但他們尚未發現這些個資遭到濫用的跡象。</p> <p>對此，五角大廈發言人指出，受影響的伺服器在去年2月20日已經移除，並透露這起事故涉及多個部門組織，約有20,600人受到影響。</p> <p>科技新聞網站TechCrunch指出，這起事故在1年前就被發現。研究人員Anurag Sen於2023年2月揭露，美國國防部洩露約3 TB內部電子郵件，並指出部分與美國特種作戰司令部（SOCOM）有關。但為何美國國防部耗費1年來調查此事，目前仍不清楚。</p> <p>資料來源</p> <p>1. <a href="https://defensescoop.com/2024/02/13/dod-notifying-people-year-old-data-breach/">https://defensescoop.com/2024/02/13/dod-notifying-people-year-old-data-breach/</a><br /> 2. <a href="https://techcrunch.com/2024/02/14/department-defense-data-breach-microsoft-cloud-email/">https://techcrunch.com/2024/02/14/department-defense-data-breach-microsoft-cloud-email/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-new-critical-exchange-bug-exploited-as-zero-day/"><strong style="font-size: 22px;">Exchange伺服器重大漏洞已出現攻擊行動</strong></a></p> <p></p> <p>微軟於2月份例行更新（Patch Tuesday）修補Exchange Server重大漏洞CVE-2024-21410，一旦攻擊者利用這項漏洞，可在未通過身分驗證的情況下，對此郵件伺服器的用戶端（如Outlook）發動NTLM中繼攻擊，從而提升權限，以受害者的身分在Exchange伺服器執行各項作業，CVSS風險評分為9.8。</p> <p>值得留意的是，隔日（14日）<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-21410">該公司更新公告</a>，指出在他們修補之前，這項漏洞已被用於攻擊行動。對此，該公司呼籲IT人員應啟用身分驗證延伸防護（Extended Protection for Authentication，EPA）的功能，來防堵上述漏洞。</p> <p><a href="https://www.expressvpn.com/blog/windows-app-dns-requests/"><strong style="font-size: 22px;">VPN軟體ExpressVPN存在漏洞，恐洩露DNS請求</strong></a></p> <p></p> <p>2月8日ExpressVPN發布資安公告，指出適用於Windows作業系統的12版用戶端應用程式存在漏洞，而有可能導致DNS請求曝光，使得網際網路服務供應商（ISP）伺服器有機會追蹤使用者的上網情形。</p> <p>這項弱點存在於該應用程式的分割隧道（split tunneling）功能，照理來說，用戶的所有DNS請求都是透過該業者不留存事件記錄的DNS伺服器進行處理，避免ISP或他人追蹤使用者瀏覽的網域，但在這項漏洞當中，VPN用戶端軟體會直接將DNS請求導向ISP。</p> <p>對此，ExpressVPN指出此漏洞影響12.23.1至12.72.0版，約有1%的Windows使用者受到波及，他們暫時於新版12.73.0暫時刪除相關功能因應。而對於需要使用分割隧道功能的使用者，該公司建議使用不受影響的10.50.0版。</p> <p><a href="https://forums.ivanti.com/s/article/CVE-2024-22024-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure"><strong style="font-size: 22px;">Ivanti Conncet Secure出現XXE漏洞，攻擊者有可能存取系統部分資源</strong></a></p> <p></p> <p>2月8日Ivanti發布資安公告，旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure、零信任網路存取解決方案Neurons for ZTA存在漏洞CVE-2024-22024，這項漏洞存在於上述系統的SAML元件，為XML外部實體（XXE）漏洞，攻擊者一旦利用該漏洞，就有可能在未經通過身分驗證的情況下，存取部分受到管制的資源，CVSS風險評分為8.3，該公司強調尚未發現該漏洞遭到利用的證據。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hyundai-motor-europe-hit-by-black-basta-ransomware-attack/"><strong><span style="font-size: 20px;">現代汽車歐洲分公司傳出遭到勒索軟體Black Basta攻擊</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/bank-of-america-warns-customers-of-data-breach-after-vendor-hack/"><span style="font-size: 20px;">美國銀行證實資料外洩，起因是供應商遭駭</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/critical-flaw-in-shim-bootloader-impacts-major-linux-distros/"><strong><span style="font-size: 20px;">開機啟動元件Shim存在重大漏洞，影響多個Linux版本</span></strong></a></p> <p></p> <p><a href="https://psirt.canon/advisory-information/cp2024-001/"><strong><span style="font-size: 20px;">Canon修補7個印表機重大漏洞</span></strong></a></p> <p><strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-csrf-KnnZDMj3"><span style="font-size: 20px;">思科修補協作閘道系統Expressway的CSRF漏洞</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161289"><strong>【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161232"><strong>【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161212"><strong>【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</strong></a></p> </div></div></div>
2024/2/16 16:54作者周峻佑https://www.ithome.com.tw/news/161319
Google開源內部所使用的檔案辨識系統Magika
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（2/15）<a href="https://github.com/google/magika" target="_blank">透過GitHub開源</a>了內部所使用、基於深度學習的檔案類型辨識系統Magika，宣稱此一深度學習模型即便是在CPU上運作都能在幾毫秒內準確辨識出檔案類型，效能比現有的其它工具高出20%。</p> <p><a href="https://opensource.googleblog.com/2024/02/magika-ai-powered-fast-and-efficient-file-type-identification.html" target="_blank">Google解釋</a>，要判斷如何處理檔案之前，必須先確認檔案類型。在這50年來，Linux所配備的Libmagic函式庫及檔案公用程式一直是檔案類型辨識的標準，現代的瀏覽器、程式碼編輯器或是各種軟體，都必須仰賴檔案類型偵測來決定如何正確呈現檔案，然而，準確檢測檔案並不容易，因為每種檔案格式都有不同的結構，或者根本沒有結構。此外，文字格式與程式語言在結構上非常類似，迄今不管是Libmagic或是其它檔案類型辨識軟體，都是藉由手工蒐集的啟發式或客製化規則來偵測檔案格式。</p> <p>手動的方法既耗時又容易出錯，因為人類很難手動建立通用規則，特別對安全應用程式更具挑戰性，因為駭客會不斷試圖混淆視聽。</p> <p>為了解決檔案類型偵測的問題，Google研發了Magika，它採用TensorFlow平臺上的Keras函式庫，來設計與訓練一個客製化且高度優化的深度學習模型，用來訓練的資料集含有逾100種檔案類型的2,500萬個檔案，其模型大小只有1MB，並以Onnx作為推論引擎，確保可於幾毫秒內辨識檔案，辨識率超過99%，且在CPU上運作的速度幾乎與非AI工具一樣快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-google-magika-screenshot.png" style="width: 600px;" /></p> <p>當在含有上百種檔案類型的逾100萬個檔案上進行評測時，Magika的效能比其它現有工具高出20%，且在程式檔案或是配置檔案等文字檔上的效能則更佳。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-Google-Magika-detection%20quality%20compared%20to%20other%20tools.png" style="width: 600px;" /></p> <p>Google內部已大規模採用Magika，主要負責將Gmail、Drive及Safe Browsing所收到的檔案、傳送至適當的安全或內容政策掃描機制上，根據Google的統計，相較於過去依賴手動規則的系統，Magika的準確性提高了50%。</p> <p>開發者可透過網頁試用Magika，或是將它安裝成一個Python函式庫，也能作為單獨的命令列工具。</p> <p>未來Magika也將被整合至惡意程式分析平臺VirusTotal上，搭配該平臺上部署Google生成式AI的Code Insight 功能，把Magika作為Code Insight分析文件之前的過濾機制，提高VirusTotal的效率及準確性。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/2/16 16:36作者陳曉莉https://www.ithome.com.tw/news/161316
Linux基金會偕Google、IBM業界聯手研發後量子加密演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應量子電腦可能破解現有加密演算法，<a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca" target="_blank">Linux基金會上周宣布</a>與Google、IBM、AWS等業者，以及研究與開發人員組成後量子加密聯盟（Post-Quantum Cryptography Alliance，PQCA），以提供新一代加密演算法的技術資源。</p> <p>PQCA創始會員包括Amazon Web Services（AWS）、思科、Google、IBM、Nvidia、以及滑鐵盧大學等組織，目的是成為後量子時代加密演算法開源專案的中心基地，提供符合美國國安局針對商用國家安全演算法套件（Commercial National Security Algorithm 2.0）網路安全公告的函式庫、套件給需要人士和組織。</p> <p>為此，PQCA將以創始會員業者過去十年來的後量子加密法研發成果為基礎，進行多項技術專案，包括評估、開發和部署後量子演算法的技術專案。之後Linux基金會將提供軟體實作以促進不同產業採用後量子加密演算法。這些技術基礎包括美國國家標準及技術研究院（National Institute of Standard and Technology，NIST）後量子加密標準化專案所選定第一批4種演算法，包括CRYSTALS-Kyber、CRYSTALS-Dilithium、Falcon及SPHINCS+。</p> <p>PQCA已啟動的專案之一，是由滑鐵盧大學2014年推動的開放量子安全（Open Quantum Safe）專案，它是全世界第一批抗量子演算法的開源碼專案。另一專案則為PQ程式碼套件專案（PQ Code Package），將建立配合未來抗量子加密標準，像是ML-KEM演算法的軟體實作。</p> <p>PQCA的現有資源可在其<a href="https://pqca.org/" target="_blank">官網</a>或<a href="https://github.com/pqca" target="_blank">GitHub</a>取得。PQCA也歡迎其他產學組織加入。</p> <p>值得一提的是，也提供量子雲服務、研發量子硬體的微軟並未加入。</p> </div></div></div>
2024/2/10 19:44作者林妍溱https://www.ithome.com.tw/news/161258
IBM推適用中小企業的大型主機LinuxONE 4 Express
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM推出<a href="https://newsroom.ibm.com/2024-02-06-New-IBM-LinuxONE-4-Express-to-Offer-Cost-Savings-and-Client-Value-through-a-Cyber-Resilient-Hybrid-Cloud-and-AI-Platform">LinuxONE 4 Express</a>，這是一款針對中小型企業和新興資料中心環境設計的大型主機，目的在於將LinuxONE的效能、安全性和人工智慧功能，擴展至更廣泛的用戶群。其預配置的機架安裝系統，能夠在具成本效益的情況下，讓企業快速啟動工作負載，開始利用平臺處理數位資產管理、人工智慧醫療影像等各種新舊用例。</p> <p>IBM提到，當前企業在將業務轉移到線上的過程，容易形成由孤立技術堆疊所組成的混合雲環境，而這並不利於業務整合和引入人工智慧技術。LinuxONE 4 Express則鎖定此需求，讓新創和中小型企業從基礎開始有意識地建置混合雲策略，因此隨著業務的成長和市場需求變化，LinuxONE 4 Express能夠靈活地擴展，以滿足日益增加的工作負載和效能要求。</p> <p>IBM LinuxONE 4 Express採用Telum處理器，擁有高效能運算能力，適合處理資料密集型應用和人工智慧推理運算，其配備GDPS，以及擁有HyperSwap的IBM DS8000系列儲存，並執行Red Hat OpenShift Container Platform環境，可用性可達到99.999999％。而LinuxONE 4 Express採用機架安裝形式，可提供靈活部署需求，讓企業能將其整合到現有的資料中心架構當中。</p> <p>IBM LinuxONE 4 Express是一個針對新創與中小企業的解決方案，其擁有的功能能夠支援新興用例。LinuxONE 4 Express提供安全平臺，具有保護機敏資料的機密運算能力，而內建的硬體基礎安全技術Secure Execution for Linux，可以隔離個別工作負載免受外部攻擊甚至是內部威脅，而這對於數位資產應用是一個重要的功能。</p> <p>而LinuxONE 4 Express所搭載的Telum處理器，可供企業存放人工智慧與重要資料於LinuxONE系統上，實現在資料儲存處執行資料分析，在像是健康保險公司需要即時分析大量醫療紀錄，以驗證索賠的情境，可加速業務決策速度。</p> <p>IBM還指出，IBM LinuxONE 4 Express可讓企業簡化IT環境，將資料庫整合到LinuxONE系統上降低成本，與x86伺服器相比，將Linux工作負載移至IBM LinuxONE 4 Express，可讓企業在5年內的總擁有成本節省超過52％。</p> </div></div></div>
2024/2/8 20:10作者李建興https://www.ithome.com.tw/news/161242
Linux基金會宣布成立聯盟促進後量子密碼學發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會推出<a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca">後量子密碼學聯盟（Post-Quantum Cryptography Alliance，PQCA）</a>，目的是要推動後量子密碼學的進步，希望可以透過生產標準化演算法，解決軟體實作解決量子運算所帶來的加密安全挑戰。聯盟初始會員包括AWS、Google、IBM與Nvidia等11個組織。</p> <p>後量子密碼學是一種針對量子電腦的潛在能力，所開發的加密技術，其主要目標是要在未來量子電腦成為實際威脅時，能夠保護資訊安全免受侵害。針對未來的安全挑戰，包括量子計算所帶來的威脅，美國國家安全局推薦一系列加密標準和指南，稱為商業國家安全演算法套件2.0（CNSA 2.0）。</p> <p>而後量子密碼學聯盟的目標是成為組織和開源專案，所需生產就緒函式庫和軟體套件的中樞，使其應用能夠符合CNSA 2.0的資安建議。該聯盟將從事各種技術專案，包括開發軟體以評估、設計和部署新的後量子演算法，透過提供軟體實作促進後量子密碼學在產業中的實際應用。</p> <p>這些工作會基於許多聯盟創始會員，長年在後量子密碼學所奠定的基礎，啟動專案之一是開放量子安全專案（Open Quantum Safe），該專案在2014年於滑鐵盧大學中成立，是目前致力於後量子密碼學開源軟體的專案。後量子密碼學聯盟也會創建新的程式碼套件專案，建立高品質生產就緒軟體實作，支援即將推出諸如ML-KEM演算法等後量子密碼學標準。</p> </div></div></div>
2024/2/8 00:44作者李建興https://www.ithome.com.tw/news/161236
微軟可能為Windows Server 2025加入類似Linux Sudo指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個不慎外洩的Windows更新預覽版顯示，下一版Windows Server將提供類似Linux上的Sudo功能。</p> <p>Sudo功能是Linux的控制臺程式，允許低權限用戶必要時能提升自我權限，像是以根權限執行指令，可兼顧安全性及彈性。上周<a href="https://www.windowslatest.com/2024/02/01/first-look-windows-11-is-getting-native-macos-or-linux-like-sudo-command/" target="_blank">《Windows Latest》</a>在一個不慎經由Windows Update釋出給Insider方案的Windows Server 2025更新預覽版發現，也有類似Linux、macOS上的Sudo功能。</p> <p>這新功能位於「設定」頁的管理員選項中，啟動後就能執行sudo指令。分析其設定、顯示細部功能如「在新視窗中開啟」、「關閉輸入」及「在現有視窗inline執行」等。</p> <p>Windows其實已讓用戶利用使用者帳戶控制（UAC）提示來提升權限，但是有些管理員指令如bcdedit及reagentc僅限管理員才能執行。相形之下，sudo功能就彈性得多，允許程式根據Windows設定執行。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-is-bringing-the-linux-sudo-command-to-windows-server/" target="_blank">《Bleeping Computer》</a>指出，雖然目前Windows 11任何版本都還未見sudo，但即使加入了也不令人意外。但是就像過去預覽版的情形，在預覽版中實驗的功能，不見得最後會留在正式版中。</p> </div></div></div>
2024/2/6 11:28作者林妍溱https://www.ithome.com.tw/news/161202
【資安日報】2月5日，知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來利用遠端桌面連線程式入侵受害電腦，已是駭客偏好的手法之一，但若是提供這類系統的業者遭駭，很有可能讓攻擊者取得大量帳密資料，並將其用於發動攻擊。</p> <p>上週末AnyDesk證實他們有伺服器遭到入侵，並尋求資安業者協助，進行這起事故的後續回應，雖然該公司強調他們尚未得知有使用者受到影響，但有資安業者發現駭客已在地下論壇兜售大量AnyDesk帳密，後續發展有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/anydesk-says-hackers-breached-its-production-servers-reset-passwords/"><strong style="font-size: 22px;">遠端桌面連線解決方案業者AnyDesk傳出遭駭，用戶連線帳密資料流入駭客論壇</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gunter-born-anydesk-support-20240125.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gunter-born-anydesk-support-20240125.png" style="width: 300px; float: right;" /></a>2月2日遠端桌面連線解決方案AnyDesk發布公告，他們在資安稽核的過程當中，發現產線系統（production systems）遭到入侵的跡象，該公司尋求資安業者CrowdStrike協助，進行補救及事件回應。他們撤銷所有與安全相關的帳密，並修復、更換受到影響的系統，該公司也註銷、更換原本用於簽署應用程式的程式碼簽章。該公司指出目前尚未出現用戶裝置受到影響的情況，並強調這起事故與勒索軟體無關。</p> <p>不過，這起事故發生之際，該公司也出現遠端連線服務中斷的現象，引發外界聯想是否有關。1月25日，有人向IT專家Günter Born投訴，自1月20日AnyDesk出現無法連線的情況，授權金鑰也無法使用，通報該公司客戶支援之後，所得到的回應是「伺服器連線異常」，而且，截至1月30日，AnyDesk網站仍然為維護狀態而無法使用。當時，該名專家呼籲用戶，應暫停使用這套遠端桌面連線軟體。在Günter Born公布AnyDesk連線異常的情況後，2月3日，他掌握德國聯邦資訊安全辦公室（BSI）向關鍵基礎設施業者提出警告的情報，2月4日，有2人向他透露，他們發現有人12月底疑似進行嘗試未經授權存取的跡象。</p> <p>而對於AnyDesk帳號資料外洩的情況，已有研究人員看到駭客在駭客論壇兜售相關資料。資安業者Resecurity指出，他們在2月3日看到多組駭客於網路犯罪論壇兜售AnyDesk帳密資料，其中使用匿稱為Jobaaaaa的駭客在暗網論壇Exploit上，聲稱握有1.8萬筆帳密資料。資安業者Hudson Rock根據他們的威脅情報平臺分析結果，認為這名駭客掌握超過3萬筆資料。</p> <p>資料來源</p> <p>1. <a href="https://anydesk.com/en/public-statement">https://anydesk.com/en/public-statement</a><br /> 2. <a href="https://www.borncity.com/blog/2024/01/25/strung-bei-anydesk-jemand-betroffen/">https://www.borncity.com/blog/2024/01/25/strung-bei-anydesk-jemand-betroffen/</a><br /> 3. <a href="https://borncity.com/win/2024/02/03/anydesk-hack-undercover-more-information-and-thoughts-part-2/">https://borncity.com/win/2024/02/03/anydesk-hack-undercover-more-information-and-thoughts-part-2/</a><br /> 4. <a href="https://borncity.com/win/2024/02/04/anydesk-hack-undercover-suspicious-cases-and-more-part-3/">https://borncity.com/win/2024/02/04/anydesk-hack-undercover-suspicious-cases-and-more-part-3/</a><br /> 5. <a href="https://www.resecurity.com/blog/article/following-the-anydesk-incident-customer-credentials-leaked-and-published-for-sale-on-the-dark-web">https://www.resecurity.com/blog/article/following-the-anydesk-incident-customer-credentials-leaked-and-published-for-sale-on-the-dark-web</a><br /> 6. <a href="https://www.linkedin.com/feed/update/urn:li:activity:7159893240748388352/">https://www.linkedin.com/feed/update/urn:li:activity:7159893240748388352/</a></p> <p><a href="https://securityaffairs.com/158329/cyber-crime/network-operators-credentials-found-in-dark-web.html"><strong style="font-size: 22px;">使用免費電子郵件信箱註冊身分釀禍？逾1,500臺網路作業人員的電腦感染竊資軟體，帳密資料流入暗網</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/b7f09ae28626e1ef086dddd18bc1dd17.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/b7f09ae28626e1ef086dddd18bc1dd17.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，1月3日西斑牙大型電信業者Orange Spain的歐洲IP位址網路資源協調中心（RIPE NCC）帳號遭到駭客挾持，從而破壞該公司的邊界閘道協定（BGP）及資源公錀基礎設施（RPKI）的配置，導致電信網路服務中斷。資安業者Hudson Rock著手調查此事，指出該電信業者的員工電腦於9月4日感染了竊資軟體Raccoon，而該名員工握有RIPE NCC的帳密，但現在有研究人員提出警告，類似的攻擊行動越來越多。</p> <p>資安業者Resecurity進一步針對暗網進行掃描，發現這裡還有區域網路資訊中心的使用者帳密遭到外洩，例如，亞太網路資訊中心（APNIC）、非洲網路資訊中心（AFRINIC）、拉丁美洲暨加勒比網路資訊中心（LACNIC），共通點是駭客藉由竊資軟體（Infostealer）來盜取相關帳密，總共有1,572個帳號受害，其中有45%用戶啟用了雙因素驗證（2FA），但不曉得帳密已經外流，另有16%察覺電腦感染惡意程式，從而變更密碼並啟用雙因素驗證；14%直到接獲通知才啟用雙因素驗證的功能。</p> <p>研究人員指出，他們發現大多數管理網路的IT人員使用免費電子郵件信箱註冊帳號，而有可能讓駭客更容易取得相關資料，進而發動大規模的網路攻擊。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/hacker-hijacks-orange-spain-ripe-account-to-cause-bgp-havoc/">https://www.bleepingcomputer.com/news/security/hacker-hijacks-orange-spain-ripe-account-to-cause-bgp-havoc/</a><br /> 2. <a href="https://www.infostealers.com/article/infostealer-infection-of-an-orange-employee-results-in-bgp-disruptions/">https://www.infostealers.com/article/infostealer-infection-of-an-orange-employee-results-in-bgp-disruptions/</a><br /> 3. <a href="https://www.resecurity.com/blog/article/hundreds-of-network-operators-credentials-found-circulating-in-dark-web">https://www.resecurity.com/blog/article/hundreds-of-network-operators-credentials-found-circulating-in-dark-web</a></p> <p><a href="https://unit42.paloaltonetworks.com/apateweb-scareware-pup-delivery-campaign/"><strong style="font-size: 22px;">研究人員揭露ApateWeb攻擊行動，駭客企圖散布恐嚇程式、PUP程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-132226-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-132226-1.jpeg" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露名為ApateWeb的大規模攻擊行動，駭客利用逾13萬個網域來散布恐嚇軟體（Scareware）、潛在有害軟體（PUP），或是將使用者導向詐騙網頁。他們發現自2022年8月這起攻擊行動升溫，而且，駭客架設的網站每個月有數百萬次點擊，以2023年11月為例，他們在74,711臺裝置封鎖了約350萬次這類連線。</p> <p>而對於這起攻擊行動的流程，研究人員指出，駭客先藉由電子郵件散布URL，若是收信人點選，電腦就會被駭客的集中化基礎設施（ centralized infrastructure）進行跟蹤（track），並回傳系統資訊給後端伺服器，然後分析這些資訊將收信人進行一系列的重新導向，最終投放前述的惡意程式，或是向他們顯示詐騙網頁。</p> <p>值得留意的是，為了迴避偵測，駭客採用多種措施，例如：駭客在電子郵件使用的URL當中加入特定的參數來進行驗證，若是有人直接存取駭客控制的網域，則會被重新導向到搜尋引擎或空白網頁；假如有機器人或爬蟲程式存取，會顯示內部伺服器錯誤的訊息。此外，攻擊者也濫用萬用字元DNS記錄（Wildcard DNS record），從而能夠利用隨機網域產生URL，來增加防禦方偵測的難度。</p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program/"><strong style="font-size: 22px;">惡意流量引導系統VexTrio被用於針對逾7萬個網域發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program-figure_1_vextrio_business_operation-v2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program-figure_1_vextrio_business_operation-v2.jpg" style="width: 300px; float: right;" /></a>攻擊者滲透合法網站，植入惡意工具，從而將瀏覽網站的使用者導向惡意網頁的手法，先前有研究人員揭露使用名為Parrot TDS的工具來從事的攻擊行動，<a href="https://www.ithome.com.tw/news/150343">當時駭客控制逾1.6萬個網站來進行</a>，但類似的手法還有其他人馬運用，而且發展成極為龐大的網路犯罪生態圈。</p> <p>資安業者Infoblox揭露名為VexTrio的惡意流量導向系統（TDS），開發此系統的駭客組織與經營惡意程式ClearFake、SocGholish的團隊結盟，入侵逾7萬個網站，從而用於散布惡意程式、進行網路釣魚或是詐騙。</p> <p>研究人員指出，經營VexTrio的駭客自2017年開始提供租賃服務，透過VexTrio將瀏覽合法網站的使用者，導向買家指定的目的地，至少有60個駭客組織使用其服務，其中有部分持續租用VexTrio長達4年。特別的是，上述使用ClearFake、SocGholish駭客組織並未直接將流量導向VexTrio，而是先經過另一套名為Keitaro的TDS，才將流量導向VexTrio，但為何這些駭客要這麼做？研究人員並未說明。</p> <p><a href="https://securelist.com/new-macos-backdoor-crypto-stealer/111778/"><strong style="font-size: 22px;">鎖定Mac電腦的竊資軟體透過DNS記錄向受害電腦散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/macOS_backdoor_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/macOS_backdoor_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露假借提供macOS軟體破解程式的竊資軟體攻擊行動，駭客藉由盜版網站提供PKG檔案，宣稱是已破解的付費版應用程式，但背後的目的是部署竊資軟體。</p> <p>一旦使用者依照指示開啟名為Activator的破解程式，該應用程式就會要求輸入使用者密碼提供權限，然後呼叫AuthorizationExecuteWithPrivileges功能函數來執行Mach-O檔案，並確認電腦上是否具備Python 3程式庫，完成後從C2伺服器下載以Base64編碼的Python指令碼並執行，從而在受害電腦執行任意命令，表面上看起來成功破解付費軟體，而讓使用者降低戒心。</p> <p>接下來，駭客使用罕見的方式來產生C2伺服器的網域，他們使用兩組字串列表並加上5個隨機字母，來取得第3級的網域名稱而能夠進行通訊，然後在一段時間後下載另一個Python指令碼，從而在受害電腦植入竊資軟體。此惡意程式針對macOS Ventura以上版本的作業系統打造，企圖竊取Bitcoin Core和Exodus加密貨幣錢包。</p> <p><a href="https://therecord.media/ukraine-cyberattacks-energy-postal-transportation"><strong style="font-size: 22px;">烏克蘭能源、交通、郵政機構遭遇網路攻擊</strong></a></p> <p>根據資安新聞網站Recorded Future報導，1月25日烏克蘭多家國營的關鍵基礎設施傳出遭到網路攻擊，導致部分服務出現中斷。</p> <p>其中1個受害單位是石油天然氣公司Naftogaz，導致他們的網站及客服中心無法運作，該公司證實資料中心遭到攻擊；另1家受害的是郵政服務業者Ukrposhta，該公司執行長Igor Smelyansky證實，合作夥伴的資訊基礎設施夜間遭到攻擊，導致他們的服務中斷，該公司已恢復支付系統、使用者帳號存取權，以及API的運作。</p> <p>此外，也有交通運輸機構受害，分別是運輸安全監管局DSBT、國家鐵路局Ukrzaliznytsia，DSBT表示資料中心遭到攻擊，網站及名為Shlyah貨運邊境管制系統的運作受到衝擊；Ukrzaliznytsia指出因遭到網路攻擊，乘客無法線上購買部分車票。究竟上述事故的攻擊者身分為何？目前仍不得而知，名為國家網路軍隊（National Cyber Army）的俄羅斯駭客組織聲稱對DSBT出手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://blog.qualys.com/vulnerabilities-threat-research/2024/01/30/qualys-tru-discovers-important-vulnerabilities-in-gnu-c-librarys-syslog"><strong style="font-size: 22px;">GNU C程式庫glibc存在弱點，有可能讓攻擊者取得root權限，多個版本Linux曝險</strong></a></p> <p>資安業者Qualys揭露GNU C程式庫glibc的本機權限提升（LPE）漏洞CVE-2023-6246，此為記憶體緩衝區溢位漏洞，出現於名為__vsyslog_internal()的功能函數，影響syslog()及vsyslog()兩項功能，攻擊者若是已存取非特權使用者的帳號，就有機會藉由發送偽造的輸入到使用特定事件記錄功能的應用程式，觸發漏洞並得到完整的root權限，CVSS風險評分為8.4。</p> <p>研究人員指出，這項漏洞是開發團隊在2022年8 月製作2.37版的過程中不慎引入，他們確認Debian 12、13版，Ubuntu 23.04、23.10版，Fedora 37至39版都存在這項弱點，並認為其他版本的Linux也可能曝險。</p> <p>研究人員也在上述的功能函數當中，找到CVE-2023-6779和CVE-2023-6780，並指出攻擊者利用的難度較高，他們也在qsort()功能函數找到漏洞，但尚未取得CVE編號。</p>  <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lurie-childrens-hospital-took-systems-offline-after-cyberattack/"><strong><span style="font-size: 20px;">美國芝加哥兒童醫院Lurie遭遇網路攻擊，IT系統被迫離線</span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/clorox-says-cyberattack-caused-49-million-in-expenses/"><strong><span style="font-size: 20px;">針對去年9月遭遇網路攻擊，清潔劑製造商高樂氏損失4,900萬美元</span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/pawn-storm-uses-brute-force-and-stealth.html"><strong><span style="font-size: 20px;">俄羅斯駭客組織APT28發動NTLM中繼攻擊，鎖定全球企業組織高層下手</span></strong></a></p> <p><strong><a href="https://cert.gov.ua/article/6277422"><span style="font-size: 20px;">2千臺烏克蘭電腦遭到惡意軟體DirtyMoe、PurpleFox攻擊</span></a></strong></p> <p></p> <p><strong><a href="https://www.welivesecurity.com/en/eset-research/vajraspy-patchwork-espionage-apps/"><span style="font-size: 20px;">安卓木馬VajraSpy透過Google Play市集散布</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161155"><strong>【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161129"><strong>【2月1日】Ivanti旗下SSL VPN解決方案的零時差漏洞在修補前傳出第2波攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161098"><strong>【1月31日】美國傳出針對中國駭客Volt Typhoon的攻擊行動採取反制並破壞其基礎設施</strong></a></p> </div></div></div>
2024/2/5 15:19作者周峻佑https://www.ithome.com.tw/news/161188
Khronos更新Vulkan Video編碼擴充添加AV1解碼功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Khronos的Vulkan工作組在新發布的Vulkan 1.3.277版本中，添加<a href="https://www.khronos.org/blog/khronos-releases-vulkan-video-av1-decode-extension-vulkan-sdk-now-supports-h.264-h.265-encode">AV1解碼功能</a>，在Vulkan Video擴充套件的基礎，讓建立在其上的引擎和應用程式，能夠擁有跨平臺可移植且高效能的AV1解碼能力。</p> <p>Vulkan本身是一個跨平臺圖形和運算API，提供高效能且低延遲圖形渲染和運算功能，而Vulkan Video為Vulkan API的一部分，提供開發者對於影片編碼和解碼處理的硬體加速功能，支援包括H.264/H.265等多種影片格式，在支援Vulkan的多平臺環境中，進行高效能影片處理。</p> <p>而AV1是一種免費的影片編碼格式，能夠透過網路以低資料量傳輸高品質的影片。由開發媒體聯盟（Alliance for Open Media，AOM）所開發，目標是要以比H.264/H.265更好的編碼效率，成為下一代網路影片的標準。AV1適用於4K和8K影片，可以在相同位元率下提供更好的影片品質，或在維持相同影片品質的條件下，降低資料使用量。</p> <p>GPU製造商陸續開始支援AV1解碼，AMD目前在Windows的Beta驅動程式，已支援H.264/H.265編碼與AV1解碼功能，Nvidia則在Windows和Linux的Beta驅動程式都已經支援AV1解碼，即將推出的正式驅動程式版本，除了既有的H.264/H.265之外，也會添加AV1解碼支援。英特爾的Windows驅動程式同樣也規畫納入AV1解碼支援。</p> </div></div></div>
2024/2/5 15:09作者李建興https://www.ithome.com.tw/news/161187
【資安週報】2024年1月29日到2月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在漏洞利用相關消息中，這個星期最受關切的是，Ivanti再度成為駭客發動Zero-day攻擊的目標，該公司旗下SSL VPN、NAC產品線的零時差漏洞CVE-2024-21893已遭成功利用。這已是Ivanti本月要修補的第3個零時差漏洞。</p> <p>已知漏洞被成功利用的情形，同樣引發重視，最近有3起這樣的情形，而且駭客都是針對1月才剛釋出修補的漏洞。</p> <p>首先，是持續整合開發工具Jenkins的重大漏洞CVE-2024-23897，開發團隊1月24日釋出修補，但駭客很快就鎖定這個漏洞，兩日後外部已有成功濫用情形。</p> <p>另一是WordPress網域遷移輔助外掛程式Better Search Replace的重大漏洞CVE-2023-6933，開發商WP Engine在兩週前釋出1.4.5版修補，資安業者Wordfence則等到1月24日才揭露這個漏洞，但公布後就已偵測到2,500起漏洞利用攻擊。</p> <p>最後，是蘋果在本月上旬修補的漏洞CVE-2022-48618，月底發現已遭成功利用，由於漏洞存在於WebKit，不只iPhone、iPad、Mac電腦Apple TV受影響，後續蘋果也針對最近剛出爐的混合實境裝置Vision Pro發布修補。</p> <p>還有一個漏洞修補情形，其嚴重性我們認為也要多加留意，最近Fortra揭露GoAnywhere漏洞CVE-2024-0204，該公司表示，已在12月7日釋出新版修補，但一個月後的此刻才公告這項消息。</p> <p>其他重要漏洞消息，包括：Juniper Networks修補網路設備作業系統高風險漏洞，Google Cloud修補GKE的重大漏洞，以及多個Linux發行版本修補glibc程式庫的3個漏洞。</p> <p>在資安事件焦點上，這半個月來，所有資安媒體都在關注微軟公司電子郵件遭入侵的事故，因為該公司持續向外界揭露更多資訊。微軟自1月17日向美國證券交易所（SEC）提交資安事件報告後，19日更是明確指出攻擊者是Midnight Blizzard（APT29），25日他們公布更多細節，包括彙整出他們發現攻擊者的行動與手法，並說明攻擊者是如何避過偵測。</p> <p>在資安威脅態勢上，這段期間以資料外洩與勒索軟體的消息最多，我們整理如下：<br /> ●被視為OpenAI有力競爭者的AI新創Anthropic，最近通知客戶坦承他們發生資料外洩，原因是外包商不慎將客戶資料傳給第三方組織。<br /> ●施耐德電機傳出遭勒索軟體Cactus攻擊，導致Resource Advisor能源監測雲端平臺服務中斷，數TB公司內部資料遭竊。該公司在網站公告發生資安事件，說明僅影響其永續發展業務部門，正採取復原的補救措施。<br /> ●英國美容保養品牌業者Lush在官方網站發布資安事件公告，先於1月11日揭露事件，30日證實成為勒索軟體受害者。另一方面，勒索軟體組織Akira宣稱是他們所為，並竊取了110 GB資料。<br /> ●有勒索軟體諮詢服務業者Coveware揭露最新勒索軟體的季度報告，我們看到幾個重點，例如，2023第四季前4大勒索軟體為Akira、BlackCat、Lockbit、Play，5到8名均為新入榜，分別是Silent、Medusa、NoEscape、Phobos。報告中也提到受害者付贖金的比例已不到3成，再創新低。</p> <p>在資安防禦態勢上，有兩則新聞備受關注，分別是反制國家級駭客攻擊，以及車聯網安全的進展。</p> <p>例如，針對去年攻擊美方關鍵基礎設施的中國駭客組織Volt Typhoon，最近美國司法部宣布已採取行動，成功破壞該組織打造的殭屍網路與掌控的網路設備，也就是針對受感染的網路裝置，刪除當中的KV Botnet殭屍網路病毒，並將通知裝置所有者，以及給予防護建議，另也針對SOHO裝置製造商給予Secure by Design的指引；第一屆Pwn2Own Automotive汽車駭客大賽在東京舉辦，透過獎勵機制，來鼓勵資安研究人員發現並且負責任地揭露安全漏洞，漏洞競賽類別涵蓋Tesla、車載資訊娛樂(IVI)系統、電動車充電器與作業系統，這場活動共找出49個漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161056"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月29日】微軟公布俄羅斯駭客APT29的攻擊流程並指出還有其他公司也被鎖定</span></strong></a></h3> <p>一週前微軟、HPE向美國證券交易委員會（SEC）坦承，他們的電子郵件系統遭到俄羅斯駭客APT29入侵，由於採用了相同的雲端郵件系統，又是相同的駭客組織所為，當時外界懷疑可能有其他公司受害，如今微軟證實了這項說法。</p> <p>微軟在25日針對資安事故的發生過程提出進一步的說明，並根據他們後續的調查結果指出，這些駭客也同時對其他公司發動攻擊，呼籲Exchange Online用戶應採取相關措施防範。</p> <h3><a href="https://www.ithome.com.tw/news/161084"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月30日】逾7萬臺Jenkins伺服器尚未修補的重大RCE漏洞出現攻擊行動</span></strong></a></h3> <p>有多組研究人員本週針對持續整合開發工具Jenkins的重大漏洞CVE-2024-23897提出警告，先是有人於程式碼儲存庫GitHub公開濫用此漏洞的概念性驗證程式碼（PoC），隨後，有些蜜罐陷阱也出現遭到駭客嘗試利用漏洞發動攻擊的情況。</p> <p>但在此同時，仍有許多IT人員尚未部署相關更新軟體，目前已知有多達7萬臺Jenkins伺服器曝險，可能成為駭客下手的目標。</p> <p><a href="https://www.ithome.com.tw/news/161098"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月31日】美國傳出針對中國駭客Volt Typhoon的攻擊行動採取反制並破壞其基礎設施</span></strong></a></p> <p>中國駭客組織Volt Typhoon於去年上半被揭露，當時美國政府發出警告，指出這些駭客針對當地的關鍵基礎設施發動攻擊，後來有多家資安業者對於該組織的攻擊手法進行分析，指出駭客利用生命週期已經結束的路由器、防火牆、VPN設備來充當代理伺服器，而且，英國和澳洲也是這些駭客攻擊目標。</p> <p>但到了最近，傳出美國政府已採取了反制，背後原因很有可能和臺海局勢的軍力佈局有關。</p> <h3><a href="https://www.ithome.com.tw/news/161129"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月1日】Ivanti旗下SSL VPN解決方案的零時差漏洞在修補前傳出第2波攻擊行動</span></strong></a></h3> <p>1月上旬Ivanti公布的零時差漏洞引起多家資安業者的高度關注，原因是這項漏洞公布時該公司並未提供修補軟體，接著便傳出駭客大規模利用的情況。</p> <p>但在一週後，又出現新型態的攻擊手法，駭客將其部署以Rust打造的惡意程式，而使得行蹤更難以捉摸，直到最近才有研究人員確定其攻擊手法，但對於駭客的目的，研究人員並未進一步說明。</p> <h3><a href="https://www.ithome.com.tw/news/161155"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</span></strong></a></h3> <p>Ivanti Connect Secure零時差漏洞CVE-2023-46805、CVE-2024-21887公布至今，已出現大規模的漏洞利用攻擊行動，並引起多家資安業者高度關注，Ivanti對上述漏洞進行調查，又發現另一個也被利用的零時差漏洞。</p> <p>而這樣的威脅態勢，美國網路安全暨基礎設施安全局（CISA）罕見發出緊急命令，聯邦機構必須先切斷這類系統與內部網路環境的連線，再著手清查受害情形。</p> <p> </p> <p> </p> </div></div></div>
2024/2/5 10:29作者羅正漢https://www.ithome.com.tw/news/161180
【資安日報】1月31日，美國傳出針對中國駭客Volt Typhoon的攻擊行動採取反制並破壞其基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織Volt Typhoon於去年上半被揭露，當時美國政府發出警告，指出這些駭客針對當地的關鍵基礎設施發動攻擊，後來有多家資安業者對於該組織的攻擊手法進行分析，指出駭客利用生命週期已經結束的路由器、防火牆、VPN設備來充當代理伺服器，而且，英國和澳洲也是這些駭客攻擊目標。</p> <p>但到了最近，傳出美國政府已採取了反制，背後原因很有可能和臺海局勢的軍力佈局有關。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.reuters.com/world/us/us-disabled-chinese-hacking-network-targeting-critical-infrastructure-sources-2024-01-29/"><strong style="font-size: 22px;">中國駭客組織Volt Typhoon專門攻擊關鍵基礎設施，傳出美國出手反制</strong></a></p> <p></p> <p>去年5月微軟揭露中國駭客組織Volt Typhoon，該組織自2021年攻擊美國關鍵基礎設施（CI），為避人耳目，他們通常會以路由器、防火牆、VPN設備組成殭屍網路，並充當代理伺服器，使得惡意流量混入合法流量而難以察覺，如今傳出美國政府已經採取行動，破壞駭客用於存取關鍵基礎設施的網路設備。</p> <p>根據1月29日路透社的報導，有知情人士向他們透露，美國政府最近幾個月對中國駭客Volt Typhoon採取反制行動，成功破壞數千臺網路設備，司法部與聯邦調查局（FBI）得到法院授權，遠端從事相關工作，但究竟運用了那些手法，破壞的範圍仍不得而知。這些人士指出，駭客去年底擴大攻擊範圍，並調整部分手法，使其威脅變得更加嚴重。美國政府與多家電信業者及雲端運算公司舉行一系列會議，要求這些科技公司協助政府追蹤駭客。</p> <p>美國政府對於國家級駭客攻擊日益重視，不光是這些駭客會企圖干擾今年11月的總統大選，還有勒索軟體2023年美國企業肆虐的情況，而對於這些駭客，路透社引述國家安全專家的說法指出，對方的攻擊行動很有可能讓中國遠端破壞印太地區的重要設施，從而波及美國的軍事行動。消息人士人表示，美國官員擔心駭客從事網路攻擊的目的，是要破壞美國在因應中國企圖對臺灣進行軍事行動當中所做的準備。</p> <p><a href="https://redhuntlabs.com/blog/mercedes-benz-source-code-at-risk-github-token-mishap-sparks-major-security-concerns/"><strong style="font-size: 22px;">賓士員工憑證不慎公開，恐導致其原始碼外流</strong></a></p> <p></p> <p>1月29日資安業者RedHunt Labs揭露汽車大廠賓士（Mercedes-Benz）資料外洩的情況，他們在1月11日發現該公司員工不慎在程式碼儲存庫GitHub曝露Token，一旦有人取得，就能對該公司自行管理的GitHub Enterprise Server完整存取其中的原始碼，完全不受監控及限制。</p> <p>研究人員指出，此程式碼儲存庫包含大量智慧財產，以及資料庫連線資訊、雲端服務存取金鑰、設計圖、設計文件、單一簽入（SSO）密碼、API金鑰，以及其他重要的內部訊息。根據他們的調查，上述的Token是在去年9月曝光。研究人員尋求科技新聞媒體TechCrunch合作，向賓士通報此事並得到確認，賓士獲報後隨即註銷相關API的Token。</p> <p>TechCrunch表示，<a href="https://techcrunch.com/2024/01/26/mercedez-benz-token-exposed-source-code-github/">他們看到研究人員提供的佐證資料裡</a>，包含微軟Azure及AWS金鑰、PostgreSQL資料庫，以及賓士的原始碼，但無法確認當中是否含有客戶資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-target-wordpress-database-plugin-active-on-1-million-sites/"><strong style="font-size: 22px;">WordPress外掛程式Better Search Replace漏洞已出現攻擊行動</strong></a></p> <p>1月24日資安業者Wordfence揭露WordPress網域遷移輔助外掛程式Better Search Replace的重大漏洞CVE-2023-6933，攻擊者可在未經授權的情況下，透過反序列化的不受信任輸入，有機會藉此漏洞進行PHP物件注入攻擊。</p> <p>此外，若是目標系統部署了額外的外掛程式或是佈景主題，從而產生屬性導向程式設計（Property-Oriented Programming，POP）鏈，攻擊者甚至有機會刪除任意檔案、收集敏感資料、執行程式碼，CVSS風險評為9.8，對此，外掛程式開發商WP Engine獲報後發布1.4.5版予以修補。</p> <p>值得留意的是，Wordfence在該漏洞公布的24小時之內，已偵測到逾2,500起漏洞利用攻擊，他們呼籲網站維護者儘速更新該外掛程式。</p> <p><a href="https://www.coveware.com/blog/2024/1/25/new-ransomware-reporting-requirements-kick-in-as-victims-increasingly-avoid-paying"><strong style="font-size: 22px;">防禦方企業韌性逐漸增強，2023年第4季願意付錢給勒索軟體的受害組織不到3成</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/All%2BPayment%2BResolution.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/All%2BPayment%2BResolution.jpeg" style="width: 300px; height: 144px; float: right;" /></a>勒索軟體攻擊橫行多年，過往有不少受害組織選擇支付贖金了事，駭客的胃口也被養大，開出更高的價碼，然而這樣的現象，在去年出現了變化。</p> <p>資安事故回應顧問公司Coveware針對去年第4季的勒索軟體攻擊態勢進行分析，結果發現平均受害組織支付的贖金為568,705美元，中位數為200,000美元，相較於前一季的平均金額下降三分之一，但中位數則是持平，對此研究人員認為，原因是受害者的數量下降，再加上小型犯罪組織重出江湖造成。</p> <p>另一方面，研究人員也針對支付贖金的受害組織進行調查，結果發現，願意付錢的組織比例越來越少，去年第4季僅有29%，為近5年來最低，原因是企業韌性增強，很有可能在無須解密金鑰的情況下恢復運作，而且，企業也不願意為網路罪犯的承諾付錢。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://thehackernews.com/2024/01/juniper-networks-releases-urgent-junos.html"><strong style="font-size: 22px;">Juniper修補網路設備作業系統高風險漏洞</strong></a></p> <p></p> <p>1月25日資安業者Juniper Networks發布資安公告，針對SRX系列防火牆、EX系列交換器執行的Junos OS網路設備作業系統進行修補，本次修補的漏洞為CVE-2024-21620、CVE-2024-21619，存在於網頁管理介面J-Web，影響所有版本的Junos OS，CVSS風險評分為8.8、5.3，通報漏洞的資安業者watchTowr也公布細節。</p> <p>值得留意的是，Juniper目前並未同時對所有版本的Junos OS發布更新，部分版本將會陸續提供，而對於尚未有修補程式，或是無法部署更新程式的IT人員，該公司呼籲應停用J-Web，或是限縮能夠存取的管道。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/01/29/fact-sheet-biden-harris-administration-announces-key-ai-actions-following-president-bidens-landmark-executive-order/"><strong style="font-size: 22px;">美國政府要求AI業者提供安全測試報告</strong></a></p> <p></p> <p>為了防範中國人工智慧技術帶來的國家安全威脅，美國總統拜登去年10月30日發布行政命令，要求各部會強化AI安全管理及風險防禦，並在90天內回報進度。1月29日，美國副幕僚長Bruce Reed舉行白宮AI會議，召集一級部會首長參加，檢視執行成果。</p> <p>在拜登的行政命令當中，其中一項是根據國防生產法要求AI開發商向商務部通報AI安全測試等重要資訊；另一項則是打算透過立法的方式，要求基礎設施即服務（IaaS）業者提供外國人服務時，向商務部進行報告，避免外國人將其用於訓練帶有惡意功能的人工智慧模型。此外，美國聯邦機構9大部會必須向國土安全部提出風險評估報告。而在週一舉行的會議裡，商務部表示已經擬出要求雲端平臺提供國外客戶訓練AI資訊的命令草案，而9大部會已完成AI使用的基礎架構風險評估。</p> <p><a href="https://garanteprivacy.it/home/docweb/-/docweb-display/docweb/9978020"><strong style="font-size: 22px;">義大利政府認定AI聊天機器人ChatGPT違反GDPR</strong></a></p> <p></p> <p>去年3月當紅的AI聊天機器人ChatGPT爆發漏洞引起全球關注，導致OpenAI暫時關閉服務並緊急修補，當時義大利政府初步認為，該系統非法收集用戶個資而侵害隱私，對ChatGPT發出禁令並著手調查，最近公布結果。</p> <p>1月29日義大利資料保護管理署（Italian DPA）指出，他們經過近11個月的調查，認定ChatGPT違反了歐盟資料隱私法規GDPR，OpenAI有可能面臨最高2千萬歐元，或是年營收4%的罰款，而且，主管機關可下令OpenAI變更資料處理的方式，或是禁止在歐盟會員國國內提供服務。針對上述判決，OpenAI可在30天內提出申訴。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://csirt-cti.net/2024/01/23/stately-taurus-targets-myanmar/"><strong><span style="font-size: 20px;">中國駭客組織Mustang Panda鎖定緬甸國防部、外交部，部署後門程式Blitz</span></strong></a></p> <p></p> <p><strong><a href="https://www.gov.br/pf/pt-br/assuntos/noticias/2024/01/pf-combate-organizacao-criminosa-que-praticava-fraudes-bancarias-eletronicas-contra-vitimas-no-exterior"><span style="font-size: 20px;">巴西警方阻止金融木馬Grandoreiro運作，逮捕5名駭客</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-linux-glibc-flaw-lets-attackers-get-root-on-major-distros/"><strong><span style="font-size: 20px;">Linux程式庫glibc弱點有可能讓攻擊者取得root權限</span></strong></a></p> <p></p> <p><a href="https://www.resecurity.com/blog/article/hundreds-of-network-operators-credentials-found-circulating-in-dark-web"><strong><span style="font-size: 20px;">數百組網路操作員的帳密資料流入暗網</span></strong></a></p> <p></p> <p><strong><a href="https://www.ic3.gov/Media/Y2024/PSA240129"><span style="font-size: 20px;">美國針對IT技術支援詐騙提出警告，駭客透過快遞收取受害者的錢財</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161084"><strong>【1月30日】逾7萬臺Jenkins伺服器尚未修補的重大RCE漏洞出現攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161056"><strong>【1月29日】微軟公布俄羅斯駭客APT29的攻擊流程並指出還有其他公司也被鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161034"><strong>【1月26日】中國駭客組織鎖定當地知名應用程式進行軟體供應鏈攻擊並部署間諜程式Nspx30</strong></a></p> </div></div></div>
2024/1/31 16:00作者周峻佑https://www.ithome.com.tw/news/161098
提升調查蒐證工具的效率，鑒真數位以Golang重新改寫產品，並採叢集架構讓執行規模不再受限
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wang_zhan_zhu_tu_jian_zhen_shu_wei_chong_xin_gai_xie_edetector.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一旦遭遇各種駭侵事件，早年IT人員往往為了恢復正常運作，將相關電腦系統重灌，但這也造就證據被湮滅，無法調查問題源頭的情況，也無法作為未來採取法律途徑之用，因此，不論是在資安領域或法律領域，數位鑑識的重要性已經一再被提及。</p> <p>近年來，隨著資安威脅日益嚴峻，企業對於事件應變越來越重視，政府也持續加強這方面的監管力道，尤其對於個資外洩事件，雖然早期在政策的推動上，主要衡量標準在於企業是否有積極改善的態度，但在2023年個資法修法後，已開始採取更嚴格的規範，像是要求行政檢查，以及10天內要提出完整報告。</p> <p>在這樣的局勢之下，關於資安事件鑑識與調查的效率，也成為企業相當關切的議題，因為這方面的處理能力不足，一旦發生駭客入侵、勒索軟體攻擊等事故，資安長或企業高層可能很難在短時間內，得到初步的蒐證與調查結果，無法快速掌握有多少臺主機遭到滲透，找出事件發生可能的目標源頭，以及釐清是遭受駭客入侵或是內部人員所為，並考量後續的司法訴訟因應對策。</p> <p>因此，市面上雖有資安監控、EDR、XDR等類型產品，擴及資安事件調查分析，但專業的數位鑑識軟體，仍然不可或缺。臺灣本身也有幾家自主研發這方面解決方案的業者，鑒真數位（iForensics）是當中頗具知名度的廠商，他們在2016年底打造出資安事件應變調查蒐證工具eDetector，並成為該公司的招牌產品。</p> <p>特別的是，時隔7年，他們終於再次舉辦這套產品大改版的發表會，宣布升級翻新的消息，從核心模組全面改寫，更貼近現代企業需求。</p> <p>根據鑒真數位的說明，我們可以看出新一代eDetector有兩大重點。首先是產品重新改寫後，可大幅縮短整個事件調查週期，讓企業在資安事件發生初期，就有能力做到大規模的蒐證與調查；其次是推出SaaS全新服務模式，這對於中小企業會有很大幫助，可降低使用這項工具的進入門檻，同時還因為有AI技術的加入，在沒有專業鑑識人員的情況下，也能產生出基本的資安事件報告。</p> <h2><strong>以Golang重新改寫產品，為蒐證調查工具效率帶來革新</strong></h2> <p>關於eDetector新版推出，最明顯的變化是介面，從原本建構在Windows系統的MFC應用程式框架當中，轉變為純網頁的介面，而且，新一代產品採用叢集（cluster）架構，可透過部署更多臺系統以擴展整體執行規模，足以負荷上千臺裝置的蒐證調查，所花費的時間也與單臺裝置的蒐證調查相同。因此，eDetector能在短時間內，蒐集大量目標主機，大幅改進產品蒐證效率。</p> <p>為了使端點蒐證鑑識工具跟上時代，新一代eDetector的開發有哪些變革？鑒真數位研發團隊主管王吉磊表示，過去開發選擇不多，以C++語言撰寫，新一代產品以Golang重新改寫，執行速度大幅提升。他也直言，前幾年他們就已著手重新開發，只是當時效能無法令他們滿意。</p> <p>論及系統效能的具體差異，王吉磊說，過去eDetector一次最多只能部署在10臺電腦，瓶頸在於主機的資料庫會受到傳輸頻寬不足的限制，若是端點數量更多，就需要以每次10臺的方式排定，依序執行，而且每次蒐證執行需要耗費兩、三小時。新一代的產品則有根本的改變，不只是能對上千臺電腦同時蒐證，而且在10分鐘內就可以完成。</p> <p>對於急迫完成鑑識與調查工作的企業，有很大幫助，甚至早該如此進化。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fix_s（主圖）鑒真數位重新改寫eDetector.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_s%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E9%91%92%E7%9C%9F%E6%95%B8%E4%BD%8D%E9%87%8D%E6%96%B0%E6%94%B9%E5%AF%ABeDetector.jpg" style="width: 600px;" /></a></p> <p><strong>關於新一代調查蒐證工具eDetector的應用，透過鑒真數位實際展示，我們可以看到當中可執行5項分析，除了既有的記憶體分析、痕跡取證、檔案總表效能提升，還新增YARA Rule掃描、關鍵映像檔，同時介面上還提供「產生報告」按鈕，其背後將透過AI報告生成功能，快速給出事件的總結、細節、建議與攻擊發生時間軸。（攝影／羅正漢）</strong></p> <h2><strong>最新AI報告生成技術也內建，蒐證項目類型也增至近60項</strong></h2> <p>對於企業而言，也很關注這類工具的功能發展，有哪些重大改進？</p> <p>除上述雲端擴充架構全新設計，鑒真數位也導入YARA掃描，以及AI報告生成，這些亦都是新版eDetector才有的功能。</p> <p>基本上，搭配描述惡意程式的YARA規則，作為入侵指標（IoC），將可快速辨認惡意程式並鎖定潛在風險，已常見於許多資安產品。較不同的是，eDetector加入自動化的關鍵資訊標註，以及可介接自動產生報告的功能，進而協助自動化IoC判定及報告產製。另外，這套軟體也提供可掃描全機檔案的選項，以及可針對不同YARA規則，自定各自的風險分數。</p> <p>在AI報告生成方面，這樣的技術正普遍受到資安業者看重，鑒真數位也納入而成為eDetector新版內建功能。用戶可透過介面上的「產生報告」功能，將分析結果送到大型語言模型（LLM）處理，其背後是採用微軟的方案，進而快速整理出調查報告。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fix_s（圖6）鑒真數位重新改寫eDetector.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_s%EF%BC%88%E5%9C%966%EF%BC%89%E9%91%92%E7%9C%9F%E6%95%B8%E4%BD%8D%E9%87%8D%E6%96%B0%E6%94%B9%E5%AF%ABeDetector.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/fix_s（圖7）鑒真數位重新改寫eDetector.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_s%EF%BC%88%E5%9C%967%EF%BC%89%E9%91%92%E7%9C%9F%E6%95%B8%E4%BD%8D%E9%87%8D%E6%96%B0%E6%94%B9%E5%AF%ABeDetector.jpg" style="width: 295px;" /></a></p> <p><strong>我們從現場電腦展示的eDetector介面，可看出當中呈現事件的總結、細節、建議，以及關於攻擊發生先後順序時間軸的互動式圖表。</strong></p> <p>至於原本的自動化蒐證技術，新一代eDetector也予以強化。例如，在記憶體分析、痕跡取證、檔案總表等主要功能，隨著產品核心改寫，而大幅增進蒐證數量與搜尋效能，較特殊的是，本次改版額外新增了關鍵映像檔的應用方式，目的是讓蒐集效益可以最大化——這是因為傳統蒐集全硬碟映像檔的作業相當耗時，而這項新功能聚焦於關鍵部分的蒐集，可協助使用者在短時間內保全約6成左右的重要關鍵跡證，但速度可以快14倍，供後續分析或其他運用。</p> <p>此外，在端點裝置方面，eDetector現在同時支援Windows、Linux作業系統，蒐證項目也比原有增加了兩倍以上，多達接近60項，包含記錄應用程式執行的Prefetch，記錄檔案存取的Jump List，以及安全性日誌、系統日誌、應用程式日誌等。</p> <p>除了端點鑑識調查層面的軟體功能持續改良，雲端環境的鑑識調查應該也是這套產品未來要擴及的面向？對於這樣的問題，鑒真數位表示，雲端是他們一直想跨入的領域，以針對IaaS服務的蒐證而言，鑒真數位的工具其實已經可以適用，與地端版是相同的概念，但如果針對PaaS或SaaS服務的蒐證，因為當中並不涉及底層作業系統權限，而且三大公有雲業者的日誌記錄完全不同，這將需要發展另一種處理方式跟切入思維，而且需要與這些重要廠商配合。因此，他們認為，相關功能的實作還有很長的路要走。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）鑒真數位重新改寫eDetector.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E9%91%92%E7%9C%9F%E6%95%B8%E4%BD%8D%E9%87%8D%E6%96%B0%E6%94%B9%E5%AF%ABeDetector.jpg" style="width: 600px;" /></a></p> <p><strong>鑒真數位執行長黃敬博表示，他們自行研發的調查蒐證工具eDetector自推出以來，已有7年之久，這次整個產品改寫，不僅大幅改進產品蒐證效率，同時推出SaaS全新服務模式，降低費用門檻，讓不幸遭遇事故的一般中小企業，可以減輕這方面的負擔。（攝影／羅正漢）</strong></p> <h2><strong>新的SaaS授權模式可降低工具使用門檻，適用於中小企業</strong></h2> <p>隨著軟體訂閱制在企業IT市場大行其道，eDetector新版也跟進這股風潮，使服務面向可以更廣泛。鑒真數位執行長黃敬博宣布，eDetector提供兩種全新服務模式，包括：大企業On-Premise授權模式，以及中小企業SaaS授權模式。</p> <p>簡單來說，以第一種地端部署模式而言，可在組織內部架設伺服器，大量派送代理程式來執行，可適用不允許資料傳至雲端的警調單位，以及大型企業。</p> <p>而在另一個SaaS服務模式當中，對於沒法負擔資安專家到場服務的中小企業來說，將是不錯的選擇，企業可以透過線上付款方式，取得鑑識與調查工具的代理程式，之後只要自行在目標主機上執行，就能在雲端平臺上檢視跨機蒐證分析結果，完成基本資安事件調查與蒐證。在使用過程中，也可搭配輸入情資與入侵偵測指標，即可自動標註相關跡證紀錄，並藉由內建的AI功能產生事件調查報告。</p> <p>綜觀上述服務模式的改變，我們特別關注一件事──SaaS服務型態早已成為主流商業模式，很多人可能都覺得司空見慣，因為很多資安產品已經這麼做，但我們很少聽聞有蒐證調查的SaaS服務。</p> <p>對此，鑒真數位表示，市場上端點蒐證的商用產品本來就不多，相關SaaS服務的工具大多以EDR、掃描工具為主。</p> <p>就他們所知，國際上提供SaaS服務的此類蒐證與調查服務的業者並不多，在國內他們應該是唯一一家。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%AA%BF%E6%9F%A5%E8%92%90%E8%AD%89%E5%B7%A5%E5%85%B7">調查蒐證工具</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E6%87%89%E8%AE%8A">資安事件應變</a></div><div class="field-item even"><a href="/tags/%E9%91%92%E7%9C%9F%E6%95%B8%E4%BD%8D">鑒真數位</a></div><div class="field-item odd"><a href="/tags/edetector">eDetector</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E9%91%91%E8%AD%98">數位鑑識</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E5%88%86%E6%9E%90">記憶體分析</a></div><div class="field-item even"><a href="/tags/%E7%97%95%E8%B7%A1%E5%8F%96%E8%AD%89">痕跡取證</a></div><div class="field-item odd"><a href="/tags/ai%E7%94%9F%E6%88%90%E5%A0%B1%E5%91%8A">AI生成報告</a></div></div></div>
2024/1/30 18:00作者羅正漢https://www.ithome.com.tw/tech/161082
AWS如何布局2024 AI新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>緊接著在微軟Ignite大會之後，AWS也在11月底的年度大會re:Invent中，揭露了更完整的GAI（Generative AI，生成式AI）戰略。</p> <p>AWS執行長Adam Selipsky認為：「GAI是AI的下一階段，會徹底改變我們與AP互動的方式。」但是，AWS對於GAI未來願景的想法，就和微軟有很大的不同。「不會有一家公司，能打造出滿足所有人的模型。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>提出三層式GAI技術架構，以支援企業選擇、快速切換和組合不同模型</strong></span></span></p> <p>Adam Selipsky解釋，GAI應用現在仍處於非常早期的階段，大家都想要快速學習和實驗，而GAI技術的進化也很快。針對不同應用情境，不同的資料集，不同的模型的表現各有不同，各有不同的擅長，所以，不會有一家公司，能打造出滿足所有人的模型，企業也需要有能力適應各種不同的模型選擇。</p> <p>AWS這個與競爭對手微軟的願景差異，也讓AWS在一年前展開了不一樣的GAI戰略布局。Adam Selipsky指出：「企業會需要可以選擇，可以快速切換和組合不同的模型。」AWS希望透過最簡單的API呼叫，讓企業運用更多種GAI模型。</p> <p>AWS的GAI技術架構可以分為三個層級，訓練和推論需要的基礎設施、打造基礎模型和LLM的工具，以及要能善用各種基礎模型的應用。「最上層的應用，最好能做到使用者不需要任何專業知識，就能運用GAI的好處。」Adam Selipsky表示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-AWS%E6%8A%80%E8%A1%93%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>AWS的GAI技術架構可以分為三個層級，訓練和推論需要的基礎設施、打造基礎模型和LLM的工具，以及要能善用各種基礎模型的應用。最上層的應用層，AWS想做到，使用者不需要任何專業知識，就能運用GAI的好處。</strong><span style="font-size: 14px;">（圖片來源／AWS）</span></span></p> <p>GAI基礎設施是AWS的強項之一，早在2010年，AWS是第一家將GPU帶進雲的業者，開始提供GPU算力的實例，現在甚至可以提供單一叢集2萬顆GPU，相當於超級電腦等級的算力。</p> <p>AWS也有自己打造的模型專用訓練晶片和推論晶片，AWS早在2013年發展第一張Nitro網路加速卡，就開始使用自己設計的Arm架構Graviton處理器。2019年底也推出了使用自家設計的推論晶片Inferentia的執行實例。在2021年時，AWS進一步推出了AI訓練加速晶片Trainium的實例。在2023年4月，AWS先發布了推論加速晶片第二代，到了11月更發布了第二代模型訓練晶片Trainium2，比前一代快4倍，可因應千億至兆級參數等級的基礎模型訓練需求，將於2024年正式推出相關實例。</p> <p>如同其他公雲一樣，AWS也擴大與Nvidia的合作，如在EC2執行個體提供整套GH200 NVL32的算力，另外AWS也開始託管由Nvidia專為GAI運算所設計的Nvidia DGX超級電腦等級運算雲。</p> <p>在AWS的GAI技術架構第二層的工具層中，AWS原本已有一款針對不同AI應用的開發工具Sagemaker，超過1千家企業採用，可以用來訓練10億到千億規模的各種AI模型。到了去年4月，AWS進一步發表了GAI專用開發工具Bedrock平臺預覽版，可以支援多種大型語言模型，包括了AI21、Amazon Titan、Anthropic、Cohere、Llama2到stability.ai等。這些模型中也包括了Amazo自己訓練的模型家族Titan，提供了不同用途的LLM模型，像是文字摘要用，文字編輯用或嵌入式模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-amazon-bedrock-overview(1).png" style="width: 600px;" /></p> <p>Bedrock的特色是快速開發，也容易擴大規模，可以使用不同企業等級的模型，來搭配企業自己的資料，也提供了安全控管和隱私機制。AWS很快就在去年9月推出正式版Bedrock，到了11月底，超過1萬家企業採用。例如NASDAQ用來設計一個可以自動調查可疑交易的自動流程，來強化金融犯罪的防範能力。</p> <p>不只可以任選模型，Bedrock的另一個特色是客製化能力。「只有使用自己的資料，才會創造出獨特的模型能力。」Adam Selipsky表示，Bedrock的目標是支援你用自己資料，來客製化各種AI應用的需求。</p> <p>在11月年度大會時，Bedrock新增了3類客製化功能，一是新增了Cohere、Llama2與Titan三種模型的微調（Fine tuning），其次是企業目前熱門的RAG模式服務Retrieval Augmented Generation (RAG) with Knowledge Bases，還有提供了Titan模型的持續預訓練，企業可以不斷輸入新資料來優化Titan。</p> <p>AWS更在2023年底正式推出了Amazon Bedrock的代理人（Agent）功能，可以跨不同系統或資料源，來執行多步驟的任務，這個GAI代理人就像是一隻可以代表使用者來執行任務的GAI應用。</p> <p>Bedrock的Agent功能是在去年中揭露，不到半年就變成正式功能。企業選好想用的模型，提供一些基礎的指示，再設定用哪些Lambda函數來存取不同的功能API，並且選擇有哪些可用的資料源，就可以快速產生一個GAI代理人。</p> <p>當有外部使用者對這隻GAI代理人程式提出一個任務請求後，GAI模型會分析這個請求，建立一系列的執行步驟，並且自動判斷需要取得哪些資料，然後規畫什麼時候該呼叫哪些API來存取資料，再建立一份針對該項請求的執行計畫後，就會開始執行，按步驟執行，搜集相關資料來完成任務。</p> <p>透過Bedrock的代理人功能來打造GAI應用，完全不用寫程式，不需要輸入許多模型提示指令，也不用手動連結不同資料源。「Bedrock希望讓模型的選擇、客製化和整合都變成更簡單。」Adam Selipsky表示。</p> <p>除了相關資料安全和資安法遵機制之外，AWS在大會上推出了Guardrails for Amazon Bedrock模型護欄機制，可以套用企業的可解釋性AI政策，來過濾有害內容，企業可以針對所有GAI開發過程，建立一致的模型保護政策，更關鍵的是，企業可以將同一套護欄政策，透過Bedrock套用到任何模型和代理人上，包括企業自己的模型。不同於其他業者透過規則設定或關鍵字來建立過濾條件，Bedrock提供了一個配置精靈，讓企業IT人員直接用一段話（自然語言）描述想要控管或避免呈現的內容，再由LLM模型產生用來把關的護欄政策，這個做法可能無法第一時間精準產生所有的過濾規則，但是卻可以涵蓋到定義模糊或很難定義的過濾範圍。 AWS預計未來將新增模型對話中的個資（PII）馬賽克功能，來避免外洩。</p> <p>應用層是AWS GAI技術架構的最上層，AWS策略是，無縫整合AI助理，讓GAI可以對每一個人的工作有幫助，而不用管底層用了什麼模型或技術。Amazon先在2022年就推出了一款輔助開發的GAI助手CodeWhisperer，可以自動生成15種語言的程式碼，尤其是AWS環境用的程式碼，到了2023年下半，開始提供客製化能力，GAI可以讀取企業內部SDK、自製API來生成更符合企業習慣的程式碼。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AWS瞄準企業內部GAI應用，推出商務型AI助手</strong></span></span></p> <p>在年度大會上，Adam Selipsky宣布了AWS商務型聊天機器人Amazon Q。Amazon Q用了AWS過去17年來的各種知識、文件來訓練，採用了另外的LLM模型（非Titan）來訓練。Amazon Q還分為兩種，一種是AWS專家型AI助手，可以提供各種AWS使用問題的解答。另一種則是企業內部專家型AI助手，可以讀取企業內部資料，依據詢問者的權限回答問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-Amazon%20Q%20preview-1.png" style="width: 600px;" /></p> <p>AWS專家型的Amazon Q目前提供了四大類功能，可以解答AWS服務的使用問題和提供最佳實務的建議，其次是可以整合到開發人員的IDE中，依據專案脈絡來生成程式碼，第三則是可以轉換程式碼來進行AP升級，最後是可以生成Amazon相關資料平臺產品的SQL語法。</p> <p>在程式碼輔助上，Amazon Q可以完成一項新功能的多步驟開發任務，開發人員輸入一句提示後，Amazon Ｑ會讀取整個專案程式碼，來產生這個功能的草案版本，再讓開發者透過對話互動進行修改程式碼再發布。另外，Amazon Q Code Transformation可以將Java應用程式，從第8和11版升級到17版，還會檢查程式碼的相依性，來更新套件和框架，並且取代不再支援的棄用程式碼。下一步，AWS計畫推出能將Windows .NET應用，轉換成Linux應用的程式碼轉換功能。</p> <p>而另一類企業內部專家型的Amazon Q則用來存取企業自己的資料，可以支援超過40種資料來源，像是S3、Salesforce、M365、 Google硬碟、ServiceNow、Gmail、Slack、Atlassian或Zendesk等。當使用者提問後，Amazon Q會先理解所提問的問題，自動產生一系列的提示給LLM，來存取各種資料，組合成這個問題的答案，但是會整合企業既有的存取權限，只傳回詢問者有權限取得的內容。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-AmazonQ%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>企業內部專家型Amazon Q支援超過40種資料來源。當使用者提問後，Amazon Q先理解問題，自動產生一系列提示給LLM，來存取各種資料，組合成這個問題的答案，也會整合企業權限，只傳回詢問者有權取得的內容。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／AWS）</span></p> <p>另外，AWS也開始打造特定用途的Amazon Q，先推出了客服中心專用版，類似企業內部專家的作法，但是更聚焦在存取企業CRM相關的系統和資料，並且幾乎即時產生顧客回覆內容給客服人員參考，還會附上原始資料的參考連結，來加快新手客服上手的速度。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> <p><a href="https://www.ithome.com.tw/article/161033" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1166-feng_mian_p1-open-san_da_gong_yun_aizhan_lue_-960x420_kao_bei_0.jpg?itok=pgBEQ3cU" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/26 23:41作者王宏仁https://www.ithome.com.tw/news/161031
JavaScript執行環境Bun推出自家Shell工具，提升跨平臺開發效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正式推出就受到矚目的JavaScript執行環境Bun，開發團隊現在添加新功能<a href="https://bun.sh/blog/the-bun-shell">Bun Shell</a>，解決在JavaScript中執行Shell困難的問題。Bun Shell使用上簡單直覺，具有豐富的功能，可以在Windows、macOS和Linux跨平臺上使用。</p> <p>Node.js經過長時間的發展，其執行速度與複雜性為人詬病，因此有許多後起之秀試圖挑戰Node.js的地位，Bun便是其中一員。而Bun受到矚目的優勢便是效能，其啟動速度是Node.js的4倍，對於需要轉譯的TypeScript，速度更是比Node.js快上不少，而在伺服器端渲染React上，Bun的速度是Deno的2倍，更是Node.js的5倍。</p> <p>現在開發團隊推出新功能Bun Shell，解決要在JavaScript執行Shell指令所遭遇的問題。開發者想在JavaScript執行Shell指令，首先會遇到跨平臺相容性問題，不同的作業系統使用不同的Shell環境和指令，這代表即便是相同的Shell的指令，在不同的作業系統上可能行為不同，甚至特定指令在部分系統上是不存在的。</p> <p>而且不同的作業系統中設定環境變數的方式也不同，這增加了跨平臺應用中，管理環境變數的複雜性。啟動Shell程序還會增加額外的系統資源消耗，尤其是需要執行多個Shell指令的場景，在特定情況下，啟動Shell的時間，甚至可能比執行指令本身還長。</p> <p>種種困難使得JavaScript中執行Shell指令較為複雜，因此開發團隊釋出Bun Shell工具，提供開發者更高效的跨平臺解決方案。Bun Shell是Bun JavaScript 執行環境的一部分，提供一種跨平臺執行Shell指令的新方式，Bun Shell可在Windows、macOS和Linux上運作，解決不同作業系統Shell指令差異的問題。</p> <p>Bun Shell是一種嵌入式語言和直譯器，可以讓用戶直接在JavaScript或TypeScript程式中執行Shell指令，不需要額外的轉換和打包。而且在Bun Shell中，所有模板變數都會自動跳脫（Escape)，以增加Shell指令執行的安全性。另外，諸如重新導向、管線命令（Pipe）、環境變數等常見Shell功能，Bun Shell也一應俱全。</p> </div></div></div>
2024/1/24 09:02作者李建興https://www.ithome.com.tw/news/160993
微軟改進VS遠端Linux開發體驗，新增遠端檔案總管與整合終端機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/visualstudio/latest-updates-for-remote-linux-development-in-visual-studio-remote-file-explorer-integrated-terminal-and-more/">強化</a>開發者透過Visual Studio進行C++遠端開發的能力，除了新增遠端檔案總管（Remote File Explorer），讓開發者可在遠端電腦執行檔案操作，並整合了SSH終端機，供開發者存取遠端目標。此外，還提供WSL與建置工具的自動化安裝功能。</p> <p>Visual Studio允許開發者將遠端Linux機器作為開發目標，如此開發者便可以在遠端Linux機器上使用Visual Studio的建置和除錯等工具，就如同本地開發一樣。這對於需要在Linux環境工作的開發者來說，是一個好用的功能。</p> <p>微軟對C++遠端開發功能進行一系列改進，其中包括加入遠端檔案總管。這項功能讓開發者直接在Visual Studio內，透過連線管理員（Connection Manager）就可以連接存取遠端電腦上的檔案和資料。</p> <p>對於C++專案中，當開發者使用CMake Presets進行專案時，Visual Studio能夠自動偵測所有WSL連線。此外，對於需要連接到非WSL環境執行的Linux機器，或其他類型的遠端機器，開發者同樣可以透過連線管理員新增連接。</p> <p>另外，當開發者在Windows上進行遠端開發時，還可以透過SSH連接，使用Visual Studio整合終端機來存取遠端目標。開發者可以從連線管理員，或是WSL中選擇現有連線，不需要在PowerShell或WSL內啟動單獨的SSH會話。新的整合終端支援從Visual Studio中操作檔案、執行後臺任務、配置遠端系統，以及測試部署的程式碼，開發者不再需要切換使用外部的SSH用戶端。該終端也支援顏色、命令序列，所以複製、貼上和尋找捷徑，甚至是vim等互動程式都可以使用。</p> <p>Visual Studio還能自動安裝WSL，開發者只需要透過滑鼠點擊就可以啟動WSL執行個體，並且開始Linux開發。而測試總管（Test Explorer）新增支援遠端Linux單元測試，讓開發者可以從CMake專案中的測試總管，執行遠端Linux單元測試和除錯器，因此當開發者以Linux為目標時，能夠如同在本機一樣，使用Visual Studio中的測試總管。</p> </div></div></div>
2024/1/22 23:09作者李建興https://www.ithome.com.tw/news/160957
【資安日報】1月19日，針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對缺乏資安防護的連網家電發動攻擊的情況，最近2年不斷傳出，去年9月就傳出一起鎖定安卓電視盒的攻擊行動，最近有研究人員公布新的發現，他們指出其攻擊對象較先前公布的更廣泛。</p> <p>根據他們的調查，駭客從9年前就開始從事相關攻擊行動，並且不光針對執行安卓作業系統的電視盒，對於搭載這類作業系統的智慧電視、另一種作業系統eCos的電視盒，也是他們下手的標的。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.xlab.qianxin.com/bigpanzi-exposed-hidden-cyber-threat-behind-your-stb/"><strong style="font-size: 22px;">逾17萬臺安卓智慧電視、電視盒感染殭屍網路病毒，從事攻擊的駭客組織Bigpanzi背後可能有企業在撐腰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pan_bigbasic.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pan_bigbasic.png" style="width: 300px; float: right;" /></a>去年9月防毒業者Dr. Web揭露<a href="https://www.ithome.com.tw/news/158641#mirai">鎖定安卓電視盒的Mirai殭屍網路病毒變種</a>，駭客疑似透過惡意韌體或盜版應用程式散布，如今有新的發現。</p> <p>中國資安業者奇安信指出，他們發現從事這起攻擊行動的駭客組織Bigpanzi，專門鎖定搭配安卓作業系統的電視與電視盒，以及執行eCos作業系統的電視盒發動攻擊，估計從2015年就開始從事相關活動，其控制的大型殭屍網路平均每天約有17萬個機器人處於活動狀態。研究人員挾持對方其中2個C2網域後，自8月開始，他們看到130萬個與該殭屍網路相關的IP位址出現，大部分位於巴西。</p> <p>而對於遭到控制的智慧電視與電視盒，研究人員指出，駭客將其用於打造盜版媒體串流平臺、流量代理網路，或是用於發動DDoS攻擊，從而牟取利益。這些駭客在其攻擊行動運用了兩種惡意程式，分別名為pandoraspear和pcdn。Pandoraspear是木馬程式，主要能挾持DNS配置，並與C2連線並執行收到的命令；另一個惡意軟體Pcdn，則是用於點對點（P2P）的內容傳遞網路（CDN），並使受害裝置成為網路攻擊工具。</p> <p>由於遭到控制的智慧電視及電視盒未必全時段運作，再加上研究人員分析的過程遭到駭客攻擊，他們認為這個殭屍網路的實際規模，遠超過上述的調查結果，而且，他們從Pcdn的程式碼發現，這起攻擊背後可能與特定企業有關。</p> <p><a href="https://www.cadosecurity.com/containerised-clicks-malicious-use-of-9hits-on-vulnerable-docker-hosts/"><strong style="font-size: 22px;">Docker主機遭到鎖定，被用於挖礦及盜賣流量牟利</strong></a></p> <p>資安業者Cado揭露最近一波針對Docker環境而來的攻擊行動，駭客疑似利用物聯網搜尋引擎Shodan或其他平臺掃描網路，找尋容易攻擊的Docker主機，成功入侵後透過Docker的API，利用Docker的CLI設定DOCKER_HOST環境變數，從Docker Hub拉取映像檔，部署含有挖礦軟體XMRig、網路流量交換軟體9hits的惡意容器，而這些映像檔其實是使用體型很小的Alpine Linux作業系統為基礎，並添加上述軟體而成。</p> <p>研究人員指出，這是他們首度看到有攻擊者利用9hits來盜取流量的情況。而對於執行9hits軟體的容器，研究人員指出，此網路流量交換軟體為無GUI（即Headless）的Chrome打造而成，該程式通常會注入其他應用程式的處理程序來執行瀏覽器實體並存取網站，攻擊者通常會對其下達額外的配置，像是允許存取色情網站，或是含有彈出式視窗的網站。但特別的是，駭客禁止9hits應用程式存取與加密貨幣相關的網站，為何如此？研究人員表示他們並不清楚。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="http://blog.trailofbits.com/2024/01/16/leftoverlocals-listening-to-llm-responses-through-leaked-gpu-local-memory/"><strong style="font-size: 22px;">蘋果、AMD、高通GPU存在名為LeftoverLocals的弱點，有可能洩露AI相關資料</strong></a></p> <p>資安業者Trail of Bits揭露名為LeftoverLocals的漏洞，這項漏洞存在於蘋果、AMD、高通、Imagination Technologies的顯示晶片（GPU），起因是部分GPU框架對記憶體沒有完全隔離，導致其中1個GPU核心有機會讀取另1個核心寫入記憶體的資料，研究人員指出，攻擊者只需執行需要透過GPU運算的應用程式，例如OpenCL、Vulkan、Metal，就有機會藉此漏洞讀取留存在記憶體裡的資料。</p> <p>在這種攻擊當中，攻擊者可藉由其中1個GPU核心，拿出本機尚未初始化的記憶體讀取資料，然後將其轉存到能夠持續存取的記憶體位置，像是全域記憶體，這種手法有可能曝露GPU處理的機器學習模型敏感資料，像是模型輸入、輸出、權重的資料，此漏洞被登記為CVE-2023-4969列管。</p> <p>研究人員在去年9月通知電腦網路危機處理暨協調中心（CERT/CC）並進行相關通報，其中，蘋果確認A17與M3處理器已具有相關修補程式；AMD公布影響範圍，並著手規畫緩解措施；高通於近期發布2.0.7版韌體當中，已修補部分GPU型號的漏洞；Imagination於去年12月發布的23.3版驅動程式開發套件（DDK）予以修補；Intel、Nvidia、Arm則確認旗下產品不受影響。</p> <p><strong><a href="https://blog.quarkslab.com/pixiefail-nine-vulnerabilities-in-tianocores-edk-ii-ipv6-network-stack.html"><strong style="font-size: 22px;">研究人員揭露PixieFail弱點，恐影響企業主機的PXE網路開機功能</strong></a></strong></p> <p>資安業者Quarkslab公布一系列與UEFI韌體有關的漏洞PixieFail，這些漏洞存在於Intel開發的UEFI參考實作TianoCore EDK II套件上，有可能在網路開機的過程遭到利用、允許駭客發動阻斷服務攻擊（DoS）、遠端執行任意程式碼（RCE）、挾持網路連線階段（Session），多家業者的產品及服務受到影響。</p> <p>研究人員找到的漏洞，總共登記了9個CVE編號予以列管，分別是：整數下溢漏洞CVE-2023-45229，緩衝區溢位漏洞CVE-2023-45230、CVE-2023-45234、CVE-2023-45235，越界讀取漏洞CVE-2023-45231，無限迴圈漏洞CVE-2023-45232、CVE-2023-45233，可預測TCP初始序列號碼的漏洞CVE-2023-45236，以及使用弱的偽隨機數生成器造成的CVE-2023-45237。攻擊者可在區域網路環境，且未經身分驗證的情況下，遠端利用上述漏洞，在這些企業工作站與伺服器的網路開機過程中發動攻擊。</p> <p>值得留意的是，PixieFail也影響其他的UEFI參考實作，例如：Insyde Software的Insyde H20 UEFI BIOS，AMI的Aptio OpenEdition，Phoenix的SecureCore、微軟的Project Mu。</p> <p><strong><a href="https://www.praetorian.com/blog/tensorflow-supply-chain-compromise-via-self-hosted-runner-attack/"><strong style="font-size: 22px;">機器學習框架TensorFlow存在CI/CD缺陷，恐被用於供應鏈攻擊</strong></a></strong></p> <p>資安業者Praetorian針對開源機器學習框架TensorFlow進行調查，結果發現其中的CI/CD錯誤配置，有可能被攻擊者用來進行供應鏈攻擊，從而上傳惡意發布版本到TensorFlow官方的GitHub儲存庫、對自行管理的GitHub執行器（Runner）發動遠端執行任意程式碼攻擊（RCE），以及從名為tensorflow-jenkins的使用者接收GitHub的私人存取憑證（Personal Access Token，PAT）。</p> <p>研究人員透過自行開發的工具，先識別在自行管理的GitHub執行器執行的TensorFlow工作流程，從而找出先前貢獻者的分叉拉取請求，這些請求會自動觸發對應的CI/CD工作流程，而無需任何核准程序。換言之，攻擊者可先對於目標程式碼儲存庫進行小型的合法修改（如修正拼字錯誤），然後建立拉取請求，等到該請求被合併後，取得貢獻者身分，從而在執行器執行程式碼，而不會因為建立惡意拉取請求產生任何警訊。</p> <p>研究人員去年8月通報上述弱點，相關專案人員於12月20日做出處置。</p> <p><strong><a href="https://thehackernews.com/2024/01/github-rotates-keys-after-high-severity.html"><strong style="font-size: 22px;">GitHub針對12月揭露的高風險漏洞輪調金鑰</strong></a></strong></p> <p>1月16日GitHub發布資安通告，他們在12月26日透過漏洞懸賞專案得知高風險漏洞CVE-2024-0200，此為不安全的反射漏洞，而有可能導致攻擊者在GitHub Enterprise Server（GHES）上藉由反射注入的方式，執行使用者控制的方法，而能遠端執行任意程式碼（RCE），CVSS風險評分為7.2，影響所有3.12版之前的版本。攻擊者若要利用這項漏洞，必須先登入具有組織所有者角色的使用者帳號。</p> <p>GitHub已修補上述漏洞，並表示為求謹慎，他們也在同日輪替部分金鑰，這些包含了GitHub Actions、GitHub Codespaces、Dependabot用戶的加密金鑰，用戶需要匯入新金鑰才能繼續使用。</p> <p>此外，該公司也修補了另一個管理主控臺的命令注入漏洞CVE-2024-0507，攻擊者一旦取得編輯者的角色權限，就有可能藉此弱點提升權限，CVSS風險評分為6.5。</p> <p>資料來源</p> <p>1. <a href="https://github.blog/2024-01-16-rotating-credentials-for-github-com-and-new-ghes-patches/">https://github.blog/2024-01-16-rotating-credentials-for-github-com-and-new-ghes-patches/</a><br /> 2. <a href="https://docs.github.com/en/[email protected]/admin/release-notes">https://docs.github.com/en/[email protected]/admin/release-notes</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.group-ib.com/blog/inferno-drainer/"><strong><span style="font-size: 20px;">駭客假冒加密貨幣交易所Coinbase，散布惡意程式Inferno Drainer</span></strong></a></p> <p></p> <p><a href="https://www.huntress.com/blog/ransomware-deployment-attempts-via-teamviewer"><strong><span style="font-size: 20px;">遠端桌面軟體TeamViewer遭濫用，駭客對受害電腦植入勒索軟體</span></strong></a></p> <p><strong><a href="https://www.vmware.com/security/advisories/VMSA-2024-0001.html"><span style="font-size: 20px;">VMware修補雲端基礎架構自動化平臺Aria Automation重大漏洞</span></a></strong></p> <p></p> <p><a href="https://cert.pl/en/posts/2024/01/CVE-2023-4818/"><strong><span style="font-size: 20px;">PAX執行安卓作業系統的PoS機臺存在漏洞，攻擊者有可能竄改交易金額及其他資料</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160838"><strong><span style="font-size: 20px;">AI模型有可能躲過相關資安訓練，埋藏欺騙性的後門</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160906"><strong>【1月18日】多款竊資軟體穿透macOS內建的惡意程式防護機制</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160870"><strong>【1月17日】逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160854"><strong>【1月16日】駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料</strong></a></p> </div></div></div>
2024/1/19 14:31作者周峻佑https://www.ithome.com.tw/news/160924
IT節約要從軟體架構上手
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，Linux基金會旗下有個FinOps基金會，調查了1千多家企業上雲的花費，結果相當驚人！超過36%的企業，上雲費用每年超過了百萬美元，甚至有少數大型企業付了超過10億美元之多。雲端資源看似沒有極限，但最大的代價就是得按用量計價，用越多、越久，就越貴。</p> <p>所以，國外企業積極上雲多年之後，這兩年開始回頭檢視雲端費用的管理挑戰，興起了一股FinOps浪潮。</p> <p>不少重度上雲的大型企業，也陸續分享了自身推動FinOps的經驗。例如一年科技預算超過150億美元的摩根大通，也開始重視雲端成本的控管，在內部組成了一個FinOps社群，集結了CIO、財務部門、AP擁有者、業務第一線人員、IT現代化推動團隊等角色，讓所有與上雲相關的人員，共通分攤上雲維運責任，也共同管理雲端財務。</p> <p>摩根大通一方面讓跨雲支出更加透明化，另一方面則是盡可能將各種雲端資產用到必要的刀口，先聚焦在6項持續改善的行動，包括建立責任共享和分攤的制度、改善效能、優化資料架構、改善資料應用、提升資料透明度、優化維運方法。</p> <p>全球零售龍頭Walmart則是推動FinOps的組織協作，要求工程團隊開始注重每一天的上雲花費，更從每天花費的變化率，來思考對顧客的影響。FinOps支援團隊不介入各部門的FinOps改善，而是想辦法促進工程團隊和業務團隊之間的合作，共同討論和激盪，有哪些可能改善效率的機會，來達到降低上雲費用的效果。</p> <p>不論是摩根大通或是Walmart，上雲成本控管的一大關鍵都是要盡可能提高軟體系統的運作效率。但該怎麼做，可以做得更好呢？</p> <p>在去年re:Invent 2023大會上，全球最大電商Amazon技術長Werner Vogels提出一個新軟體架構設計法則，稱為「節約架構（Frugal Architect）」設計法則，他呼籲企業，要將成本意識納入軟體架構設計中，進而達成永續目標。這個節約架構，來自亞馬遜二十多年來軟體開發經驗的總結。</p> <p>這個節約架構包括了三大類、七項軟體架構設計法則，Vogels用法則來形容，意思是指這是7條過往龐大經驗的心得，而非硬性的規定。並區分成三類，「設計（Design）」、「量測（Measure）」與「最佳化（Optimize）」，則是要提供一個框架式的思考架構。</p> <p>第一條法則就是「將成本納入非功能性需求」，和資安、法規遵循、無障礙設計、效能、可用性、擴充性、可維護性等都是必要的非功能性需求，在軟體架構設計的每一個環節都要有成本意識。其次，「系統成本必須跟公司獲利保持一致」，確保系統成本支出提高時，營收也要成長，第三是「系統架構是一連串的權衡和取捨」，要保持軟體架構可以不斷進化和改善。</p> <p>等到軟體系統上線後，還需要進行各種量測，Werner Vogels提出的第四法則是，「無法量測的系統必有隱藏的成本」。能夠想辦法量測，才能依據成本效益和永續指標來訂定基準，例如用於開發新功能的策略，或是作為系統改善的衡量基準。</p> <p>像亞馬遜購物網站採微服務架構，他們會先計算每一個微服務的運算成本，再來衡量網站上，每一個功能所用微服務的成本加總，再除以網頁瀏覽量，就能知道，每讀取一個網頁的單位運算成本。搭配每個網頁帶來的下單轉換率，就能知道網頁成本和轉換率的關係，來分析成本效益。</p> <p>有了清楚的成本結構，就能夠建立成本控制措施，來進行各項最佳化。節約架構第五法則就是「有成本意識的架構必有成本控制措施」。</p> <p>推動最佳化時也得意識到，「成本最佳化是漸進的」，這是第六法則，需要持續調整，逐漸改善，從不起眼的細節改善，來避免累積成很大的數位浪費。更可以透過應用程式效能分析（Profiling），來了解隱藏的數位浪費。</p> <p>最後一項法則與態度有關，「無庸置疑的成功必將導致錯誤的臆斷」。Werner Vogels提醒，一昧複製過去的成功，就無法持續改善，軟體開發團隊得打破技術本位的思維，來保持進步。</p> <p>這七大法則都是老一輩軟體開發前輩的老生常談，但Werner Vogels認為，逐漸失傳的技藝，隨著永續需求迎面而來，從運算成本著手，將是最接近達成永續目標的作法。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></p> <p><span style="font-size:28px;"><strong><a href="https://www.ithome.com.tw/news/160659" target="_blank">搶救 IT 失傳技藝，亞馬遜技術長倡議節約架構</a></strong></span></p> <p><a href="https://www.ithome.com.tw/article/160225" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1159-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=OPqQ_NNd" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/amazon">Amazon</a></div><div class="field-item odd"><a href="/tags/werner-vogels">Werner Vogels</a></div><div class="field-item even"><a href="/tags/%E6%8A%80%E8%A1%93%E9%95%B7">技術長</a></div><div class="field-item odd"><a href="/tags/%E6%88%90%E6%9C%AC">成本</a></div><div class="field-item even"><a href="/tags/%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B">軟體架構</a></div><div class="field-item odd"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div></div></div>
2024/1/19 12:19作者王宏仁https://www.ithome.com.tw/voice/160923
【資安月報】2023年12月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI安全問題持續成為焦點，大家除了關注用AI幫助資安，又或是擔心攻擊者濫用AI讓讓攻擊更升級，其實還有Security of AI的面向，也就是AI本身安全的議題，同樣成為國際間憂心的重大課題，只是這類資訊不像其他AI安全問題那樣吸睛，且較為分散，因此我們在這一期資安月報中，決定幫大家統整現況。</p> <p>特別的是，隨著2023年的結束，在新的一年，大家也期待資安能有重大進展，下列是我們認為國內外須密切關注的5大資安議題：</p> <p>●美國國家標準與技術研究所（NIST）提出的網路安全框架Cybersecurity Framework（CSF）2.0版草案，在2023年11月已結束公開徵詢，預計2024年初就會發布最終的正式版本。</p> <p>●美國NIST舉辦的後量子密碼學（PQC）標準化競賽，在2022年宣布首批認可的PQC演算法後，預計2024年標準會正式發布。</p> <p>●歐盟的人工智慧法案（AI Act）在提出兩年半後，在2023年12月以達成政治協議，預計2024年通過成為正式法令。</p> <p>●臺灣《個人資料保護法》過去未明定主管機關，隨著2023年修法，增訂增訂「個人資料保護委員會」為個資法主管機關，隨著委員會籌備處在2023年12月初設立，預計2024年將正式掛牌。</p> <p>●臺灣《資通安全管理法》自2019年元旦正式實施以來，已多年未曾修法，值得注意的是，數位發展部在2023年9月預告啟動資安法修法程序，如今正持續廣邀各界對於修正草案提出意見，是否能在2024年內完成修法亦受關注。</p> <p>接下來，讓我們談談Security of AI的最新發展，事實上，最近這方面的討論很熱絡。</p> <p>例如，在資料安全的面向，由於訓練AI模型需要大量資料，企業敏感資料是否洩露或遭盜用；在AI系統安全的面向，是否導入安全設計與開發，減少系統漏洞被駭客攻擊的機會。</p> <p>還有，AI模型安全的面向，不只資安界關注，更是整個人類社會都在擔憂的風險，像是AI模型可能存在弱點或偏差，可能遭受訓練資料AI下毒這類攻擊手法利用，使機器學習演算法的行為朝著攻擊者選定的方向改變，如建議安全性不足的程式碼。甚至，還有符合道德使用、可解釋性、透明度、可歸責性等不同層面，同樣會是需要重視與涵蓋到的範圍。</p> <p>關於這方面的發展，近期我們注意到國際間三大規範的動向，都與此議題相關，包括：</p> <p>（一）全球首份「安全AI系統開發指南」出爐！由英國NCSC與美國CISA等18國共同發布，目的是要確保人工智慧系統的整體安全性。簡單來說，該指引提供了AI系統開發的必要建議，並且將AI系統開發生命周期分4大階段，包括：安全設計、安全開發、安全部署及安全維運，確保每個階段都有適當的安全措施。</p> <p>（二）歐盟執委會（EC）在12月9日宣布，已就人工智慧法案AI Act達成政治協議，後續將通過正式法令，並於兩年後生效。這項法案的推出，期望建立全面的AI安全標準，當中特別將AI系統分成4類，包括：最小風險、高風險、不可接受的風險、透明度風險，同時還針對通用AI模型另祭出規範。</p> <p>（三）第一個針對AI安全可靠開發與實施的<a href="https://www.iso.org/standard/81230.html">國際標準ISO/IEC 42001出爐</a>，於12月18日正式發布，目的就是要應對AI所帶來的獨特挑戰，包含道德考量、透明度和持續學習，提供企業組織結構化的方法，來管理AI相關的風險與機會。</p> <p>這三項消息，意味著AI國際規範的推動，逐漸脫離僅止於討論的階段，逐漸步上正軌。尤其是歐盟的AI Act，將成為全球首個全面規範AI的法律架構。</p> <p>隨著國際規範對於AI安全與AI治理的重視，趨於具體，近期我們看到臺灣也跟上國際腳步。在12月6日，<a href="https://moda.gov.tw/ADI/news/latest-news/9295">數位發展部舉行AI產品與系統評測中心啟動儀式</a>，將制定「AI產品與系統評測制度」與「AI產品與系統評測指引」，同時宣布將於2024年成立驗證機構、測試實驗室。顯然，臺灣在可信任AI環境的發展，已擺脫紙上談兵的階段。</p> <p>無論如何，為了因應AI發展所引發的威脅與風險，AI安全研究的進展與法規遵循已成為全球極為關切的課題，這對於推動AI系統向更安全、可靠、可控的方向發展至關重要。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/160263"><span style="color: rgb(178, 34, 34);">【資安週報】2023年12月4日到12月8日</span></a></strong></h2> <p>在這一星期的漏洞消息中，以高通晶片的多個漏洞修補最受注目，該公司在12月4日修補了涉及多款晶片的3個零時差漏洞，都已遭到成功利用，包括CVE-2023-33107、CVE-2023-33106、CVE-2023-33063，在此同時，去年高通修補的CVE-2022-22071，近期也發現遭利用的情況，本期週報尚未提及，我們在此補上。</p> <p>此外，在<a href="https://www.ithome.com.tw/news/160142">上一期的資安週報</a>中，我們曾提到，蘋果修補2個零時差漏洞，以及資料分析系統Qlik Sense的漏洞，都出現已遭成功利用的情形，到了這一星期，CISA也將這些漏洞列入KEV清單，再次提醒用戶應盡速修補因應。</p> <p>特別的是，我們看到一些新的漏洞研究公布，有3項消息值得資安圈的重視，整理如下：<br /> （一）歐洲黑帽大會於12月4日到7日舉行，有研究人員揭露一項涉及UEFI開機、韌體圖像解析器的LogoFAIL漏洞，當中針對Insyde、AMI、Phoenix等韌體分析，指出開機啟動自訂商標圖案的客製功能出現破口，並找到29種攻擊手法。<br /> （二）AI模型資源平臺Hugging Face存在API漏洞被揭露，一旦其API驗證Token被竊取，將引發企業資料外洩，或是訓練資料集被污染變成惡意的AI模型。研究人員警告，只要控制這些程式碼儲存庫，就能發動多種攻擊，尤其是供應鏈攻擊。<br /> （三）藍牙技術底層漏洞CVE-2023-24023、新型態藍牙攻擊手法Bluffs的揭露，該漏洞與Session金鑰的解密、交換資料過程有關，將破壞藍牙連線的保密性，研究人員共公布6種攻擊手法。目前Bluetooth SIG已收到通報，並發布緩解措施。</p> <p>在AI與資安方面的議題，本星期有兩大焦點消息，一方面是使用AI工具幫助資安管理，一方面是使用AI工具的安全議題。<br /> ●思科在12月6日開始舉行亞太區年度用戶大會Cisco Live!，並在大會上宣布推出全新AI助手（Cisco AI Assistant），首先公布的應用場景是簡化防火牆規則管理，讓用戶可透過自然語言提問，就能讓防火牆的查詢、設定等操作，變得更容易。<br /> ●資安業者Snyk發布2023年度AI程式碼安全報告，指出現在已有相當多軟體工程師及資安團隊使用AI程式碼工具，但多數開發人員並未因此在流程中，更積極採用多種安全掃描工具。而且，高達8成開發者為了使用AI工具，而無視公司資安政策。</p> <p>對於Go開發者而言，有一項需要慎防的威脅要注意。有資安業者警告GitHub上有1.5萬個Go程式套件模組，恐存在遭到儲存庫挾持（Repojacking）攻擊的風險。原因在於原專案使用者名稱變更，或是GitHub、Bitbucket帳號刪除，導致帳號名稱因棄用而被釋放出，進而讓攻擊者得以註冊這樣的帳號並濫用。</p> <p>還有一些惡意活動的揭露，我們認為可留意下列消息，包括：WordPress網站管理者也要注意，有駭客假借WordPress名義，聲稱偵測到網站存在漏洞要用戶套用修補程式，但其實是引誘用戶安裝由駭客提供的外掛程式，以在用戶網站植入後門程式；殭屍網路P2Pinfect的新一起攻擊行動，是鎖定採用MIPS架構的物聯網裝置，利用SSH連線存取目標裝置，再透過弱密碼嘗試入侵。其他還包括後門程式Agent Racoon、竊資軟體Lumma，也有最新攻擊行動，資安業者目前已揭露這類消息。</p> <h2><a href="https://www.ithome.com.tw/news/160385"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2023年12月11日到12月15日</span></strong></a></h2> <p>在漏洞相關消息中，這個禮拜最受重視的是以色列自動化控制業者Unitronics的PLC漏洞，因為自11月底開始，美國賓州水利單位的工控系統傳遭駭客劫持的相關消息，持續成為各大資安新聞媒體的焦點，甚至美國佛羅里達州自來水公司、愛爾蘭自來水公司也傳遭攻擊，近期又有更多新消息。對於防守端而言，已<a href="https://www.unitronicsplc.com/cyber_security_vision-samba/">祭出更多因應機制</a>，包括<a href="https://forum.unitronics.com/topic/9940-protect-your-vision-and-samba-systems-with-new-security-enhancements/">Unitronics發布VisiLogic 9.9.00版釋出</a>，將要求變更預設密碼、要求複雜密碼，以及增加保護Vision與Samba控制器的新功能，而且，12月初還有揭露Unitronics的Vision PLC and HMI存在不安全預設密碼漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-6448">CVE-2023-6448</a>，美國CISA在12月11日更是<a href="https://www.cisa.gov/news-events/alerts/2023/12/11/cisa-adds-one-known-exploited-vulnerability-catalog">將此漏洞加入已知漏洞利用清單</a>，是本周資安日報尚未提及，在此補上。</p> <p>此時也適逢微軟、Adobe等每月例行安全更新釋出，需要大家關注與儘快修補，我們整理如下：<br /> ●微軟本月修補30多個漏洞，有4個屬於重大漏洞，同時針對一個8月已公開的AMD漏洞（CVE-2023-20588）修補。<br /> ●Adobe本月修補207個漏洞，以網站內容管理平臺Adobe Experience Manager受關注，因為有185個漏洞與之相關。<br /> ●研究人員揭露macOS/iOS裝置與多家Linux作業系統存在藍牙鍵盤注入漏洞，目前僅ChromeOS修補。<br /> ●Apache基金會修補Java應用框架Struts的RCE漏洞，編號為CVE-2023-50164。</p> <p>其他可留意的漏洞消息，包括：SAP、開源防火牆系統pfSense，以及WordPress外掛程式Backup Migration的漏洞修補釋出，還有高通、聯發科5G晶片存在5Ghoul漏洞的揭露（其中10個漏洞已公開，4個尚未公開），以及去年Sophos修補CVE-2022-3236漏洞，近日該公司針對EOL產品提供破例修補程式。</p> <p>在威脅態勢上，近期地下論壇時常傳出兜售我國政府、企業資料的情形，這類消息明顯比過往頻繁，原因很有可能是我國即將舉行的2024總統大選。例如：有賣家在地下論壇BreachForums聲稱兜售中華電信帳務資料，中華電信後續表示查無遭駭，研判是利用欠費查詢功能取得不具個人識別性的帳務資料，還有日前<a href="https://www.mjib.gov.tw/news/Details/1/944">法務部調查局在12月7日示警</a>（<a href="https://s4.itho.me/sites/default/files/images/2023-12-18_141407.jpg">附圖</a>），指出有不明人士於暗網販售不明資料，並散布不實網路文章「國人遭監控！暗網驚見高價出售情治機關偵控數據！」，是意圖製造對立衝突的認知作戰。</p> <p>在國際威脅焦點方面，有4項消息我們認為最值得關切，其中兩件與電信業相關：<br /> （一）關於今年中國駭客組織Volt Typhoon持續鎖定小型路由器攻擊的狀況，有資安業者揭露最新調查，指出該集團正利用殭屍網路KV-botnet，在今年8月、11月擴大鎖定Netgear、思科、居易路由器與Axis的IP網路攝影機等設備入侵。<br /> （二）注意濫用各種OAuth應用程式的自動化攻擊！微軟MSRC警告，有駭客盜用具有OAuth應用程式權限的使用者帳號，接著濫用這些權限來隱藏惡意活動。<br /> （三）多家資安業者聯手指出，駭客組織Sandman不僅鎖定電信業者攻擊，同時與中國駭客互通有無，研究人員推測，這兩組人馬很可能共用惡意程式開發資源。<br /> （四）烏克蘭當地最大電信業者Kyivstar遭大規模網路攻擊，導致其行動通訊與網路服務中斷。</p> <p>其他可留意的消息，包括，AMD處理器新型態攻擊手法SLAM的揭露，俄羅斯駭客組織Star Blizzard新型態帳密竊盜手法的揭露，語音網釣攻擊BazarCall濫用Google表單的揭露。</p> <p>在資安防禦態勢上，將生成式AI用於幫助資安工作已蔚為風潮，最近Google更是搶先宣布這方面的技術應用特色，Duet AI in Security Operations功能正式上線。</p> <h2><a href="https://www.ithome.com.tw/news/160518"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2023年12月18日到12月22日</span></strong></a></h2> <p>這一星期又有零時差漏洞攻擊出現，特別的是，Google在發現的一日之後就發布Chrome的緊急修補，基本上，這個漏洞CVE-2023-7024是由於WebRTC中的堆積緩衝區溢位造成，而我們也注意到，微軟也在同日修補了Edge瀏覽器上的這項漏洞。由於此漏洞在外部已有遭成功利用的情形，加上WebRTC的影響範圍不小，因此用戶與採用WebRTC的業者都要儘速因應。</p> <p>還有兩個網路設備漏洞，包括：臺廠威聯通（QNAP）網路影像錄影系統VioStor 4.0的漏洞CVE-2023-47565，以及日廠FXC的AE1021/AE1021PE路由器漏洞。這是因為Amakai在11月21日曾透露在近期發現殭屍網路InfectedSlurs的攻擊行動，是利用NVR與路由器的零時差漏洞來散布，到了12月6日與14日終於有了答案，受害裝置包括日本FXC與臺廠威聯通。特別的是，威聯通其實早在2014年就已釋出5.0版修補此一漏洞問題，<a href="https://www.fxc.jp/news/20231206">FXC的路由器則是在12月6日釋出新版修補</a>，本星期的資安日報並未提及，在此補上。</p> <p>另一方面，零時差漏洞修補很重要，但也不應該看到黑影就開槍，需認清消息來源與查證。最近就有這樣的例子，以色列國家網路管理局（INCD）就提出警告，有人假冒F5的名義，以cert@f5[.]support寄送零時差漏洞修補通知的釣魚信，但該寄件者網域就只是取類似名稱的混淆手法，企圖引誘不察的使用者上當，以散布資料破壞程式。</p> <p>在最新威脅態勢方面，關於進入遠端伺服器通常仰賴的SSH連線加密機制，最近有資料傳輸安全問題要注意，有研究團隊揭露針對SSH協定的Terrapin攻擊手法，並指出SSH協定中的3個漏洞（CVE-2023-48795、CVE-2023-46445與CVE-2023-46446），說明遠端攻擊者將得以繞過完整性檢查。</p> <p>另一個要注意的情形，有資安業者指出駭客為了持續規避惡意程式被偵測，濫用合法平臺的意向有所轉變，因為濫用程式碼管理平臺GitHub存放惡意程式的情形顯著增加，不像先前都是利用雲端檔案共享服務Dropbox、Google Drive、Discord等。</p> <p>在資安威脅與事件方面，國際間持續有知名企業組織遇害的消息，受害產業遍及雲端服務、IT、電信及服務業，我們整理如下：<br /> （一）義大利雲端服務業者Westpole遭網路攻擊，不僅<a href="https://www.padigitale.it/wp-content/uploads/2023/12/Comunicato_Stampa_PADigitale_DEF_19122023-1.pdf">波其到他們的客戶PA Digitale</a>，並導致該國公部門及市政府的多項服務癱瘓。<br /> （二）資料庫系統開發商MongoDB遭網路攻擊，部分系統遭未經授權存取。<br /> （三）Sony旗下遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊<br /> （四）旗下擁有Timberland、North Face等服裝品牌的威富（VF）集團，向美國SEC提交網路攻擊事件8-k表單，說明12月13日發現未經授權存取，關閉部分IT系統，導致營運被迫中斷。<br /> （五）美國電信服務供應商揭露用戶資料外洩，原因是他們未及時修補Citrix Bleed漏洞（CVE-2023-4966），在修補後兩日的安全檢查時，發現內部系統在前幾天遭未經授權存取。<br /> （六）針對勒索軟體Play威脅，美國多個安全機構聯手發布警告，指出已有300多個企業組織受害，並揭露入侵手法與防護建議。</p> <p>此外，金融產業要注意的是，有資安業者揭露駭客今年利用JavaScript指令碼進行網頁注入攻擊的態勢，能源產業同樣要當心，近日伊朗傳出全國有7成加油站遭網路攻擊而服務中斷，被迫手動作業。</p> <p>在臺灣，有兩起資安相關消息，一是金門租車業者金豐租車公告遭網路攻擊，並提醒民眾當心詐騙，另一事件非典型資安事件，金管會針對國泰世華銀行前理財專員涉挪用客戶款項的裁罰中，特別強調該銀行的缺失在於，雖然有報表記錄了理專與客戶在短期間內以相同IP位址及載具登入網銀的狀況，但卻沒有了解IP相同的原因或持續追蹤監控。</p> <p>最後我們補上一則消息是，關於我國參與國際資安標準制定的狀況與機會，在12月23日（周六）<a href="https://www.linkedin.com/feed/update/urn:li:activity:7141832293865635840/">ISA國際自動化協會臺灣分會舉行成立大會</a>，由於ISA所訂定的62443工控資安標準受IEC組織承認，而臺灣長期因政治因素無法直接參與ISO和IEC等國際標準組織的標準制定，因此臺灣分會成立的意義，不僅加強自動化技術在臺的應用與發展，也盼成為我們在參與國際標準制定的突破口。</p> <h2><a href="https://www.ithome.com.tw/news/160628"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2023年12月25日到12月29日</span></strong></a></h2> <p>時至2023年最後一星期，適逢歐美各國聖誕連假，各大資安媒體雖然大多暫停發布新聞，期間仍有零時差漏洞攻擊的揭露。在12月24日，資安業者Barracuda Networks發布資安公告，指出中國駭客UNC4841再次鎖定他們的產品發起零時差漏洞攻擊，導致部分郵件安全閘道（ESG）植入惡意軟體Seaspy及Saltwater的新型變種，該公司已於21日派送自動軟體更新修補，並指出該漏洞CVE-2023-7102存在於ESG產品中，Amavis病毒掃描程式元件的第三方程式庫Spreadsheet::ParseExcel。這項消息呼應我們先前報導，當時我們提醒大家注意零時差漏洞攻擊出現鎖定底層元件進行濫用的狀況，而上述事件無疑再次反映此一態勢。</p> <p>還有兩個漏洞修補消息值得重視，首先，Apache基金會在12月先後修補旗下ERP系統OFBiz的2個CVSS風險評分9.8分的重大漏洞，分別是：CVE-2023-49070、CVE-2023-51467。值得注意的是，資安業者已發現攻擊者掃描存在漏洞的系統，再加上有不少系統將之整合或採用，因此影響範圍預估不小，像是Atlassian的JIRA就包含了OFBiz，企業須注意相關後續修補動向；另一是英商Canonical針對Ubuntu作業系統修補了文字編輯器Vim的15個漏洞，其中4個為CVSS風險評分7.8分的高風險層級。</p> <p>此外，關於半年前攻擊者針對iOS發起的Operation Triangulation攻擊行動，最近卡巴斯基揭露相關細節之外，還指出攻擊者所利用4個零時差漏洞中，仍有一個漏洞的濫用方式不明。</p> <p>在威脅態勢方面，SSH安全問題在這星期幾篇資安新聞當中均提及，例如，先前有大學研究人員揭露Terrapin攻擊手法與3個漏洞，最近韓國資安業者AhnLab提出警告，指出發現攻擊者鎖定執行Linux作業系統的SSH伺服器，並針對缺乏相關安全設置的主機發動攻擊。</p> <p>而從產業面來看，這星期我們看到網路訂房與飯店業，以及遊戲業的狀況較多，各有兩篇資安新聞。</p> <p>首先是旅館業者的服務生態鏈，例如，這幾個月持續有駭客鎖定Booking.com用戶詐騙的揭露，如今又有資安業者指出這是一種B2B2C形式的手法，先針對飯店員工網釣下手，在以飯店業者帳號登入Booking.com去詐騙客戶；另一是竊資軟體RedLine、Vidar的攻擊行動，同樣是駭客假借客人投訴與訂房為由，引誘飯店人員點擊釣魚郵件。</p> <p>遊戲業者的資安事故方面，這段期間各大資安媒體均報導下列兩則消息，一是法國遊戲開發商Ubisoft遭駭客入侵48小時，所幸公司管理員察覺異常、險些遇害的揭露；另一是傳出俠盜獵車手V（GTA 5）原始碼外流的情況，根據後續的情報表示這是2022年RockStar Games遭駭時流出。</p> <p>在防禦態勢方面，2023年全球資安界均相當關注生成式AI資安應用的現況，而我們最近發布的封面故事也特別以此為題進行報導，當中可以看出<a href="https://www.ithome.com.tw/news/160608">不少全球大型IT與資安廠商已經實際付諸行動</a>，也出現<a href="https://www.ithome.com.tw/news/160610">臺灣資安業者及早布局、累積發展此類新技術的經驗</a>，原因在於他們看重生成式AI能分析龐大資料的能力，用自然語言輸入來提示與回答，大幅提升資安事件處理效率，預料未來會有更多廠商跟進，將開啟<a href="https://www.ithome.com.tw/article/160614">2024年AI資安的新格局</a>。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3> </h3> <p> </p> </div></div></div>
2024/1/18 18:40作者羅正漢https://www.ithome.com.tw/news/160880
升級處理器與記憶體規格，思科翻新中小企業等級交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_catalyst_1200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對中小企業與小型的區域網路環境，思科在2023年6月初發表兩款交換器機型，分別是Catalyst 1200系列（C1200）、Catalyst 1300系列（C1300），到了12月初於澳洲召開用戶大會，他們針對亞太地區市場，正式推出多款鎖定中小企業需求的網路與資安產品，當中就包含上述兩款交換器。</p> <p>新的交換器可簡化網路環境的設定，因為用戶部署這些設備時，能透過集中管理軟體Cisco Business Dashboard（CBD）進行（可建置在內部環境的Linux系統、伺服器虛擬化平臺，或AWS、Azure這兩大雲端服務）。基本上，CBD這套軟體提供自動化的部署、監控、生命週期管理功能，主要負責的對象是Cisco Business系列網路設備，涵蓋多款CBS交換器、Wi-Fi基地臺、Small Business RV系列路由器，以前者而言，支援上述兩款機型之餘，也包括無網管型交換器CBS 110系列、智慧型交換器CBS 220系列、CBS 250系列，以及網管型交換器CBS 350系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SMB Switch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SMB%20Switch.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Business Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Business%20%20Management.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CBD-449288.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/CBD%202_7.jpg" style="width: 298px;" /></p> <p>若要進行個別設備的設定與管理，用戶也能透過網頁介面與行動App進行。以後者而言，IT人員可在智慧型手機安裝Cisco Business Mobile App——在2023年10月底發布的1.7版，開始支援Catalyst 1200系列與1300系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C1300-Web Portal.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Web%20Portal.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/C1300-Status.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Status.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/C1300-Web-Setup.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Web-Setup.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/C1300-Web-Setup2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Web-Setup2.jpg" style="width: 298px;" /></a></p> <p>相較於思科現行的中小企業與小型網路交換器產品，像是2019年登場的Catalyst 1000系列，以及2020年、2021推出的CBS 250系列、350系列、220系列，2023年發表的Catalyst 1200系列、Catalyst 1300系列有何差異？</p> <p>最顯著的部分是硬體配備，新款交換器採用1.4 GHz的雙核心處理器，以及1 GB容量的DDR記憶體，提供2倍的運算速度與4倍的記憶體容量——C1000系列與CBS系列大多採用ARM v7 800 MHz處理器與512 MB記憶體（Cisco Business 220採用256 MB）。</p> <p>作業系統方面，C1200系列與C1300系列都採用訂製的Linux軟體，既有的C1000系列搭配思科IOS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Catalyst%201200%20or%201300%20Series%20Switches%20Feature%20Comparison.jpg" style="width: 600px;" /></p> <p>在其他配置上，C1200系列與C1300系列均開始內建信任平臺模組（TPM），可協助硬體設備防護非法升級、竄改、略過授權驗證、裝置偽裝，以及帳密竊取等攻擊；而在設備管理方式上，這批機型可在USB埠安裝藍牙連接器（Bluetooth Dongle），使筆電與平板電腦可經由基於藍牙無線通訊而成的IP網路連入交換器，可使用Telnet、SSH個人端連線程式或瀏覽器進行存取，以便透過命令列的指令輸入或網頁圖形介面進行管理，目前支援5款藍牙連接器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C1300-Bluetooth Management-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Bluetooth%20Management-A.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/C1300-Bluetooth Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Bluetooth%20Management.jpg" style="width: 298px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/C1300-Putty.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Putty.jpg" style="width: 298px;" /></a></p> <p>關於節能的部分，這批交換器相較於CBS系列、C1000系列，耗電量可減少58％，從而降低能源使用成本。</p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>Cisco Catalyst 1200系列與1300系列</strong><br /> ●原廠：思科<br /> ●建議售價：廠商未提供<br /> ●網路介面：<br /> Cisco Catalyst 1200<br /> 8個GbE埠搭配上行埠0或 2個GbE埠（SFP）<br /> 16個GbE埠搭配上行埠2個GbE埠（SFP）<br /> 24個GbE埠搭配上行埠4個GbE埠（SFP）<br /> 48個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> 24個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> 48個GbE埠搭配上行埠4個10GbE埠（SFP+）</p> <p>Cisco Catalyst 1300<br /> 8個GbE埠搭配上行埠2個GbE埠（SFP）<br /> 16個GbE埠搭配上行埠2個GbE埠（SFP）<br /> 24個GbE埠搭配上行埠4個GbE埠（SFP）<br /> 48個GbE埠搭配上行埠4個GbE埠（SFP）<br /> 16個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> 24個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> 48個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> ●機型：<br /> Cisco Catalyst 1200提供16款：<br /> C1200-8T-D、C1200-8T-E-2G、C1200-8P-E-2G、C1200-8FP-2G、C1200-16T-2G、C1200-16P-2G、C1200-24T-4G、C1200-24P-4G、C1200-24FP-4G、C1200-48T-4G、C1200-48P-4G、C1200-24T-4X、C1200-24P-4X、C1200-24FP-4X、C1200-48T-4X、C1200-48P-4X</p> <p>Cisco Catalyst 1300提供19款：<br /> C1300-8T-E-2G、C1300-8P-2G、C1300-8FP-2G、C1300-16T-2G、C1300-16P-2G、C1300-16FP-2G、C1300-24T-4G、C1300-24P-4G、C1300-24FP-4G、C1300-48T-4G、C1300-48P-4G、C1300-48FP-4G、C1300-16P-4X、C1300-24T-4X、C1300-24P-4X、C1300-24FP-4X、C1300-48T-4X、C1300-48P-4X、C1300-48FP-4X<br /> ●機箱尺寸：1U<br /> ●網路交換容量：<br /> Cisco Catalyst 1200：<br /> 8埠機型16 Gbps、20 Gbps<br /> 16埠機型36 Gbps<br /> 24埠機型56 Gbps、128 Gbps（C1200-24T-4X、C1200-24P-4X、C1200-24FP-4X）<br /> 48埠機型104 Gbps、176 Gbps（C1200-48T-4X、C1200-48P-4X）</p> <p>Cisco Catalyst 1300：<br /> 8埠機型20 Gbps<br /> 16埠機型36 Gbps、112 Gbps（C1300-16P-4X）<br /> 24埠機型56 Gbps、128 Gbps（C1300-24T-4X、C1300-24P-4X、C1300-24FP-4X）<br /> 48埠機型104 Gbps、176 Gbps（C1300-48T-4X、C1300-48P-4X）<br /> ●MAC位址數量：均為8,000個<br /> ●封包緩衝記憶體容量：1.5 MB（48埠機型為3 MB）<br /> ●管理平臺：本機網頁介面、SNMP、集中管理軟體系統Cisco Business Dashboard</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/17 19:20作者李宗翰https://www.ithome.com.tw/review/160696
【資安日報】1月17日，逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>存在弱點的程式碼一旦重複利用，很有可能造成類似的漏洞不斷出現，駭客可能得以多次挖掘這類弱點，將其用於攻擊。</p> <p>最近有研究人員針對SonicWall防火牆已有概念性驗證程式的已知漏洞進行調查，結果發現，另一個1年前公開的漏洞因為也採用相同的程式碼，而具有類似的弱點，依此情況來看，其他採用這部分程式碼的功能模組也會曝險，而有可能導致其危害擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://bishopfox.com/blog/its-2024-and-over-178-000-sonicwall-firewalls-are-publicly-exploitable"><strong style="font-size: 22px;">逾17萬臺SonicWall防火牆容易受到DoS及RCE攻擊</strong></a></p> <p>資安業者SonicWall先後於2022年、2023年揭露次世代防火牆（NGFW）的記憶體堆疊緩衝區漏洞CVE-2022-22274、CVE-2023-0656（CVSS風險評分為9.4、7.5），這些漏洞的共通點在於，都出現於網頁管理介面，而能讓攻擊者在未經身分驗證的情況下，進行阻斷服務（DoS）攻擊。</p> <p>近期資安業者Bishop Fox針對CVE-2023-0656的概念性驗證（PoC）程式碼進行調查，結果發現，上述2個相隔1年公布的漏洞，根本的原因相同，開發者重複使用存在弱點的程式碼引起，導致攻擊者只需利用不同的HTTP URI路徑，就有機會發動相同型態的網路攻擊。研究人員針對CVE-2022-22274進行分析，結果發現是由不同位置、但存在相同弱點的程式碼模組造成，此漏洞還會利用額外的3個URI，攻擊者有可能在目標系統執行程式碼，或是讓防火牆強制進入維護模式而無法正常運作，停用防火牆或是VPN的功能。</p> <p>研究人員掃描網際網路上的SonicWall防火牆，發現能存取其網頁管理介面的系統多達233,984臺，其中的178,637臺存在前述的部分漏洞，換言之，超過四分之三的設備曝露於相關風險。</p> <p><a href="https://www.volexity.com/blog/2024/01/15/ivanti-connect-secure-vpn-exploitation-goes-global/"><strong style="font-size: 22px;">Ivanti上週公布的SSL VPN零時差漏洞遭到大規模利用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ivanti002.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ivanti002.png" style="width: 300px; float: right;" /></a>資安業者Volexity通報SSL VPN系統Ivanti Connect Secure（ICS）零時差漏洞CVE-2023-46805、CVE-2024-21887（CVSS風險評分為8.2、9.1），並指出這些漏洞12月已被中國駭客組織UTA0178用於攻擊行動，事隔不到一週，研究人員再度提出警告，他們觀察到已出現大規模攻擊行動。</p> <p>1月15日該公司指出，在10日Ivanti發布上述漏洞的資安公告之後，他們隔日就發現這些駭客企圖發動大規模攻擊，而且有其他駭客組織跟進。截至14日，至少有1,700個ICS系統遭到入侵的跡象。這些受害組織分散在全球各地，規模涵蓋小型企業到財星500大，且橫跨多種領域，包括政府機關與軍事單位、國營電信業者、國防承包商、科技業、金融業、顧問公司、航空、太空，以及工程公司等。</p> <p>而對於這些SSL VPN系統受害的情況，研究人員指出，他們看到駭客植入名為Giftedvistor的Web Shell變種。</p> <p><a href="https://www.zscaler.com/blogs/security-research/dreambus-unleashes-metabase-mayhem-new-exploit-module"><strong style="font-size: 22px;">Linux惡意軟體DreamBus鎖定Metabase、Apache RocketMQ等應用系統而來</strong></a></p> <p>資安業者Zscaler揭露Linux惡意程式DreamBus的最新攻擊行動，這個惡意程式約從2019年出現，並具備類似蠕蟲的特質，主要透過應用程式的漏洞，以及資料庫、雲端應用程式、IT管理工具的弱密碼來入侵目標主機。但從2023年6月此惡意程式出現重大變化，開發者導入新的程式碼來迴避偵測，並加入新的漏洞利用攻擊模組，鎖定商業智慧（BI）工具Metabase的CVE-2023-38646（CVSS風險評分為9.8），以及分散式訊息及資料處理平臺Apache RocketMQ的CVE-2023-33246（CVSS風險評分為9.8）。</p> <p>研究人員在過去半年看到該惡意程式針對Metabase、RocketMQ、HashiCorp Consul、Hadoop YARN，以及資料庫Redis、PostgreSQL下手，但最常見的攻擊對象是PostgreSQL。而對於上述新的漏洞攻擊模組，針對Metabase的部分，駭客先傳送特定HTTP請求來尋找開放3000埠的伺服器，然後執行bash命令來挖堀設定用的Token，嘗試利用漏洞，成功後下載DreamBus主程式並執行。</p> <p>而對於RocketMQ，攻擊者則是掃描10911埠來尋找目標，若是找到含有CVE-2023-33246的伺服器，就會利用curl下載bash指令碼，並寫入名為reketed的檔案來利用漏洞，確認成功後使用另一個bash指令碼來啟動DreamBus。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=161057&SPOKE_DATE=20240117&COMPANY_ID=1528"><strong style="font-size: 22px;">印刷電路板業者恩德證實部分資訊系統遭遇網路攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/firefox_obC8FErz6B.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/firefox_obC8FErz6B.png" style="width: 300px; float: right;" /></a>鴻海集團旗下<a href="https://www.ithome.com.tw/news/160856">半導體設備廠京鼎16日遭駭客入侵網站</a>，駭客聲稱竊得大量內部資料向其勒贖，否則要將該公司摧毀、媒體將報導其「不復存在」。事隔一天，又有臺灣的半導體業者遭到攻擊。</p> <p>1月17日下午4時印刷電路板（PCB）業者於股市公開資訊觀測站發布重大訊息，表示部分資訊系統遭遇網路攻擊，該公司察覺異狀即啟動相關機制及復原作業，並尋求外部資安公司及技術專家協助，對所有網域、網頁進行全面掃描，在確認安全的情況下使用日常備份的資料復原，初步認為對公司營運無重大影響。</p> <p>不過，與前一天發生的資安事故有所不同，駭客並未竄改恩德的網站，而到截稿為止，該公司網站仍處於無法存取的狀態。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://confluence.atlassian.com/security/cve-2023-22527-rce-remote-code-execution-vulnerability-in-confluence-data-center-and-confluence-server-1333990257.html"><strong style="font-size: 22px;">DevOps協作平臺Atlassian Confluence存在重大漏洞，攻擊者無須通過身分驗證就能發動RCE攻擊</strong></a></p> <p>1月16日IT業者Atlassian發布資安通告，他們發現在12月5日以前發布的DevOps協作平臺Confluence，存在範本注入漏洞CVE-2023-22527。</p> <p>未經身分驗證的攻擊者可濫用這個漏洞，進而從遠端連至系統執行任意程式碼（RCE），CVSS風險評分達到10分，影響8.0至8.5.3版Confluence Data Center及Confluence Server，提供長期支援（LTS）的7.19版，或是Atlassian Cloud代管的雲端版本則不受影響。</p> <p>該公司指出，由於他們已不再支援上述受影響的版本，因此建議IT人員應將此協作平臺升級到新版本。</p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/citrix-warns-of-new-netscaler-zero-days-exploited-in-attacks/"><strong style="font-size: 22px;">Citrix NetScaler設備管理介面存在零時差漏洞，逾1,500臺系統曝險</strong></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png" style="width: 300px; float: right;" /></a>1月16日Citrix發布資安公告，指出NetScaler ADC與NetScaler Gateway（原Citrix ADC、Citrix Gateway）存在零時差漏洞CVE-2023-6548、CVE-2023-6549。</p> <p>前者存在於管理介面，攻擊者若是通過身分驗證取得低權限，就有機會遠端執行程式碼，CVSS風險評為5.5；另一個漏洞則是阻斷服務（DoS）漏洞，NetScaler系統在配置為閘道或AAA虛擬伺服器的情況下，攻擊者有可能觸發漏洞影響其運作，CVSS風險評為8.2。</p> <p>值得留意的是，這些漏洞已被用於攻擊，根據Shadowserver基金會的威脅監控平臺資料，全球有超過1,500臺能從網際網路存取管理介面的NetScaler實體可能曝險。</p> <p>資料來源</p> <p>1. <a href="https://support.citrix.com/article/CTX584986/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20236548-and-cve20236549">https://support.citrix.com/article/CTX584986/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20236548-and-cve20236549</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=7&vendor=citrix&model=netscaler+management+interface&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=7&vendor=citrix&model=netscaler+management+interface&group_by=geo&style=stacked</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.oracle.com/security-alerts/cpujan2024.html"><strong><span style="font-size: 20px;">Oracle發布2024年第1季例行更新，修補389個漏洞</span></strong></a></p> <p><a href="https://blog.quarkslab.com/pixiefail-nine-vulnerabilities-in-tianocores-edk-ii-ipv6-network-stack.html"><strong><span style="font-size: 20px;">研究人員揭露PixieFail弱點，恐影響企業主機的PXE網路開機功能</span></strong></a></p> <p><a href="https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_16.html"><strong><span style="font-size: 20px;">Google修補2024年Chrome第1個零時差漏洞</span></strong></a></p> <p><strong><a href="https://www.sentinelone.com/blog/the-many-faces-of-undetected-macos-infostealers-keysteal-atomic-cherrypie-continue-to-adapt/"><span style="font-size: 20px;">竊資軟體鎖定Mac電腦而來，繞過作業系統的防護機制XProtect</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-androxgh0st-malware-botnet-steals-aws-microsoft-credentials/"><strong><span style="font-size: 20px;">殭屍網路Androxgh0st竊取AWS及微軟帳密</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160854"><strong>【1月16日】駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160839"><strong>【1月15日】程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160828"><strong>【1月12日】芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料</strong></a></p> </div></div></div>
2024/1/17 16:43作者周峻佑https://www.ithome.com.tw/news/160870
Terraform開源分叉OpenTofu推出正式版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會旗下的<a href="https://opentofu.org/blog/opentofu-is-going-ga/">OpenTofu專案</a>，推出第一個正式版本，而這是由開源社群推動的Terraform開源分叉（Fork）。在最新的OpenTofu 1.6.0版本中，其提供測試功能，供用戶測試OpenTofu配置，並且提供託管在Cloudflare上的Provider和模組註冊表。</p> <p>由於雲端基礎設施軟體公司HashiCorp在去年宣布變更旗下產品的授權，從原本的MPL 2.0（Mozilla Public License v2.0）開源授權改為BSL（Business Source License） v1.1，而這個舉動引起許多用戶及其客戶的不滿。HashiCorp旗下產品在轉為BSL授權之後，便會限制雲端供應商不得以HashiCorp專案與產品發展相競爭的產品。</p> <p>為此社群感到憂慮，除了在HashiCorp變更授權之後，用戶需要重新檢視自家專案是否違反授權之外，還需要顧慮HashiCorp對競爭產品的定義，可能隨著時間改變。再者，Terraform註冊表擁有約1.4萬個模組、數百種工具與豐富的學習資源都為社群所貢獻，變更授權也就背離當初的開源精神。</p> <p>當初社群集結設立OpenTF專案要求HashiCorp收回決定，但最終HashiCorp並沒有給社群一個滿意的回應。現在社群以OpenTofu專案名稱發布第一個正式版本1.6.0，該版本提供測試功能，供開發者測試OpenTofu配置，並讓模組開發者能夠測試模組，官方提到，這是一個穩定性改進，現在已與OpenTofu的核心完全整合。</p> <p>此外，S3狀態後端也更新，並添加許多新的身分驗證方法，不過，官方也強調，這個新的狀態後端還是可以和S3相容物件儲存一起使用。OpenTofu 1.6.0還加入了一個新的Provider和模組註冊表，其遵循套件管理工具Homebrew架構，並且以git儲存庫為基礎託管在CloudFlare R2上，現在開發者只要推送拉取請求，便可發布新的Provider或模組。</p> <p>OpenTofu會保有與Terraform合理的相容性，包括避免對DSL和Provider協定進行重大更改，使得用戶可以在Terraform和OpenTofu之間搬遷。接下來OpenTofu還會有一系列功能更新，像是OpenTofu 1.7計畫加入客戶端狀態加密，使得用戶對狀態檔案和計畫檔案進行端到端加密，提高專案的安全性。</p> <p>OpenTofu之後也會支援由用戶提供的金鑰與各種金鑰管理服務，並加入可參數化後端、Provider和模組，像是供用戶使用變數來參數化模組版本等，另外，對於社群要求添加新狀態後端，對此官方正考慮添加一個類似Provider的套件系統以擴展狀態後端。</p> </div></div></div>
2024/1/11 16:46作者李建興https://www.ithome.com.tw/news/160808