iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 23:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

AI趨勢周報第255期： Google DeepMind開源核融合裝置模擬器TORAX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0607～0613)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核融合 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> JAX </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google DeepMind打造核融合裝置模擬器TORAX，還開源了</strong></span></p> <p>最近，Google DeepMind開源一款可微分的托卡馬克（Tokamak）核心運輸模擬器TORAX，採JAX框架，以Python實作。這款TORAX結合了物理模組和機器學習模型，可用來計算托卡馬克核融合裝置中，離子熱傳輸、電子熱傳輸、粒子傳輸和電流擴散的耦合方程式。</p> <p>尤其JAX框架具有即時編譯和自動微分的優勢，TORAX可快速執行運算，也能實現梯度最佳化和基於Jacobi矩陣的PDE求解器。而且，JAX對類神經網路的開發和推論支援，也大幅促進了物理模型和機器學習代理的耦合。團隊也以RAPTOR碼來驗證TORAX，證明模擬等離子分布的結果是一致的。Google DeepMind表示，TORAX提供強大、多功能的工具，可用來實現快速且準確的前向建模、脈衝設計、軌跡優化和控制器設計，目前已<a href="https://github.com/google-deepmind/torax">在GitHub上開源</a>，要促進更多核融合的研究。<a href="https://torax.readthedocs.io/en/latest/index.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CNN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 局部性 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta AI證實Transformer能跳脫鄰近局部性框架</strong></span></p> <p>日前，Meta AI和阿姆斯特丹大學發表最新研究，發現Transformer模型不必按照電腦視覺模型長年遵守的鄰近局部性（Locality），也能直接處理圖像中的單個像素，且表現更好，雖然因序列更長、運算成本更高。</p> <p>進一步來說，傳統電腦視覺架構，如卷積網路（CNN）、ViT等，都假定圖片中的鄰近像素更相關，並透過卷積核、池化操作和圖像切片等技術來計算鄰近像素，也因此出現將圖像分割為多個16x16的區塊、將這些區塊視為1個Token來計算的作法。這就是長久以來的鄰近局部性基本假設。</p> <p>但Meta AI和阿姆斯特丹大學以Transformer實驗，將每個像素視為一個個Token來處理，摒除了圖像2D網格結構的假設。他們將這種模型稱為PiT，經測試，PiT在物件分類、圖像生成等任務表現優異，甚至在某些領域，還大幅優於傳統方法。團隊表示，他們並非提倡以PiT取代ViT，而是證明Transformers透過對圖片單一像素運算（而非16×16的區塊），可達到非常好的表現，意味著模型能從單一像素中捕捉更多訊號。而這一發現，也挑戰了電腦視覺任務必須要有局部性的傳統觀念。<a href="https://arxiv.org/abs/2406.09415">（詳全文）</a></p> <p><img alt="" src="https://arxiv.org/html/2406.09415v1/x1.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 糖尿病 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健保署聯手Google要打造糖尿病風險預測AI</strong></span></p> <p>健保署日前宣布聯手Google，展開為期5年的合作，要使用Google雲端算力資源、MedLM基礎模型、Vertex AI平臺和資料處理工具等，來與國衛院共同打造專屬臺灣的疾病風險預測模型，第一波瞄準糖尿病風險預測模型。這是因為，在臺灣每10人就有1人罹患糖尿病，且其併發症嚴重，如心血管疾病、腎病、視網膜及神經病變等，需及早介入預防與治療。</p> <p>在模型訓練資料部分，健保署會採用去識別化的性別、年齡、家族病史、風險資訊、國際疾病分類代碼ICD-10和檢驗檢查等資料，同時透過國衛院專業知識找出更多參數，來訓練糖尿病風險預測模型。完成後，模型會透過健保署健保雲執行，醫療院所醫師上傳資料到健保雲，模型運算後會傳送結果給醫師和民眾。這個風險預測分2種，一是針對未患糖尿病的民眾，模型會提供10年內、5年內和1至3年內的罹病風險，另一是患糖尿病民眾，模型會提供數種風險預測，如總住院率、特定原因住院率、死亡率、慢性病罹患率等。</p> <p>其中，風險高低會以燈號表示，作為分級醫療參考，比如綠色為低風險、黃綠色為有風險、黃色是中風險、黃橙色中高風險、紅橙色高風險，紅色則是嚴重風險。風險較低的民眾可建議至衛生所、門診就醫，黃色燈號則可轉介至地區醫院、黃橙色至區域醫院，高風險和嚴重風險則至醫學中心，以此達到分級醫療目標。石崇良表示，健保署與Google聯手打造的糖尿病風險預測AI是第一波應用，藉此拋磚引玉，來推動、擴大到更多慢性病和三高疾病風險管理。<a href="https://www.ithome.com.tw/news/163442">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HelpSteer2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia開源HelpSteer2資料集，可低成本確保LLM與人類偏好一致</strong></span></p> <p>最近，Nvidia開源一款資料集HelpSteer2，可用來訓練先進的獎勵模型，來引導大型語言模型（LLM）產出與人類偏好一致的回答。這個資料集共有10,681組提示和回答，並由1,000多名美國註釋者按Likert量表，對5種屬性標註。</p> <p>此團隊表示，他們用HelpSteer2資料集來訓練自家3,400億參數的Nemotron-4基本模型後，在RewardBench主要資料集測試，達到了最先進的92.0%準確率，優於任何現有的開放和專有模型。而且，這個資料集才1萬多個提示-回答組，比起現有的偏好資料集（如HH-RLHF）動輒數百萬組，大幅降低了運算成本。團隊表示，這個資料集可用來對齊Llamna-3-70B等這類LLM，來提高與人類偏好的一致性。<a href="https://huggingface.co/papers/2406.08673">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Intelligence </span></strong></span></p> <p><span style="font-size:22px;"><strong>整合ChatGPT！蘋果新推Apple Intelligence智慧功能</strong></span></p> <p>蘋果在日前舉行的WWDC開發者大會上發表AI服務Apple Intelligence，將進駐macOS Sequoia、iOS 18與iPadOS 18等蘋果作業系統。同時，蘋果也宣布與OpenAI合作，將在Siri、Writing Tools中整合GPT-4o驅動的ChatGPT。</p> <p>進一步來說，這款Apple Intelligence提供多項AI功能，包括寫作工具Writing Tools、圖像創作工具Image Playground、可客製化表情符號的Genmoji，以及強化的Siri。其中，Writing Tools可讓使用者在郵件、備忘錄、Pages或第三方的程式中，改寫、校對或摘要文本，還能透過Compose功能來存取ChatGPT的圖像工具，可在文字中嵌入圖像。</p> <p>再來，Image Playground將內建於訊息、Keynote、Pages等蘋果原生應用程式中，並支援採用Image Playground API的第三方程式，使用者可在幾秒內以文字描述、所挑選的主題、服裝、配件、地點或個人來創作圖像，還能以動畫、插圖或素描的方式呈現。Genmoji則允許使用者以文字描述來客製化表情符號。Apple Intelligence也改善了照片/影片搜尋功能，能以自然語言搜尋特定照片，例如「臉上貼著貼紙的Katie」，或找到影片中的特定段落。<a href="https://www.apple.com/newsroom/2024/06/introducing-apple-intelligence-for-iphone-ipad-and-mac/">（詳全文）</a></p> <p><img alt="" src="https://www.apple.com/newsroom/images/2024/06/introducing-apple-intelligence-for-iphone-ipad-and-mac/article/Apple-WWDC24-Apple-Intelligence-hero-240610_big.jpg.large_2x.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 漏洞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Huntr </span></strong></span></p> <p><span style="font-size:22px;"><strong>開源機器學習框架PyTorch存在重大漏洞</strong></span></p> <p>今年4月，有研究者向漏洞懸賞平臺Huntr通報開源機器學習框架PyTorch存在重大層級漏洞CVE-2024-5480，CVSS風險評分達到10分，影響2.2.2版以前的PyTorch。對此，Huntr向通報者提供1,500美元獎勵，並在日前公布細節。</p> <p>這漏洞位於torch.distributed.rpc框架，開發者使用該框架執行RPC呼叫時，該框架未驗證相關功能是否如開發者預期執行，因此攻擊者能藉機透過網路使用RPC呼叫Python功能，進而載入Python程式庫並執行任意命令。這個框架通常用於分散式訓練，如增強式學習、模型平行化等，因此影響範圍相當廣泛。研究人員也提供概念性驗證（PoC）程式碼，並指出該漏洞可能帶來的影響：由於攻擊者可將其用來遠端攻擊分散式訓練的master節點，一旦這些節點遭到入侵，對方就有機會竊取與AI有關的敏感資料。<a href="https://huntr.com/bounties/39811836-c5b3-4999-831e-46fee8fcade3">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChromeOS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>要加速AI創新應用，ChromeOS將重整Android技術架構</strong></span></p> <p>Google日前宣布，ChromeOS很快就會重整Android技術架構，包括把Android Linux核心和Android框架當作ChromeOS基礎，來加速ChromeOS執行AI創新應用或其他新功能的速度。</p> <p>其實ChromeOS一直在向Android靠攏，Google自2016年就讓ChromeOS用戶執行Android程式，隔年更宣布採用ChromeOS的所有Chromebook筆電都將支援Google Play和Android程式。此外，自今年3月發表的ChromeOS 122起，ChromeOS也開始改用Android的藍牙架構Fluoride。Google解釋，把Android技術架構導入ChromeOS，可加速ChromeOS核心的AI創新腳步，簡化工程任務，有助於手機等各種裝置與Chromebook更相容。<a href="https://blog.chromium.org/2024/06/building-faster-smarter-chromebook.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 甲骨文 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI採用甲骨文雲端為基礎架構</strong></span></p> <p>甲骨文和OpenAI宣布合作，OpenAI將採用甲骨文雲端基礎架構（OCI），來擴展微軟Azure AI的基礎架構，加速執行模型推論等任務。這項合作涉及OpenAI、微軟Azure和甲骨文等3家業者，目的是要OCI作為類似備援方案，可從微軟Azure AI擴展到甲骨文雲端，來提供負載更高的處理能力。</p> <p>其中，光是OpenAI的ChatGPT AI服務，每月用戶數就超過1億，是最吃運算資源的任務。這項合作是讓OpenAI使用「OCI基礎架構上的Azure AI平臺」，來執行推論和其他作業，OpenAI最尖端的模型仍執行在與微軟合作的超級電腦上。<a href="https://www.oracle.com/news/announcement/openai-selects-oracle-cloud-infrastructure-to-extend-microsoft-azure-ai-platform-2024-06-11/">（詳全文）</a></p> <p>圖片來源／Meta AI、Apple</p> <p>攝影／王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟將預設關閉Copilot+ PC中的Recall功能，以平息隱私疑慮</strong></p> <p><strong>2. Databricks聯手Shutterstock推出企業級文生圖AI服務ImageAI</strong></p> <p><strong>3. 杜拜發起100萬提示者計畫（One Million Prompters），要在3年內培訓100萬名懂提示工程的AI人才</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/16 02:59作者王若樸https://www.ithome.com.tw/news/163479
ChromeOS將以大量Android技術堆疊進行開發以加速AI部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2024/06/building-faster-smarter-chromebook.html" target="_blank">Google本周宣布</a>，ChromeOS很快就會在大量的Android技術堆疊上進行開發，包括把Android Linux核心及Android框架當作ChromeOS的基礎，以更快替ChromeOS用戶帶來AI、創新或其它新功能。</p> <p>其實ChromeOS一直在向Android靠攏，Google自2016年便讓ChromeOS用戶可執行Android程式，隔年更宣布採用ChromeOS的所有Chromebook都將支援Google Play與Android程式，此外，自今年3月發表的<a href="https://chromeos.dev/en/posts/androids-bluetooth-stack-fluoride-comes-to-chromeos" target="_blank">ChromeOS 122</a>起，ChromeOS亦開始改用Android所使用的藍牙堆疊Fluoride。</p> <p>Google解釋，把Android技術堆疊導入ChromeOS，可望加速ChromeOS核心的AI創新腳步，簡化工程任務，同時協助諸如手機及配件等各種裝置與Chromebook更為相容，此外，Google也將繼續供應ChromeOS用戶所喜愛的安全性、外觀及管理能力。</p> <p>不過，Google現在才開始改善相關的技術堆疊，可能還需要一陣子才能符合消費者的需求，屆時將提供無縫轉移的更新體驗，在這期間仍會維持正常的ChromeOS軟體更新與創新。</p> <p>這幾年以來，有關Google可能合併ChromeOS與Android<a href="https://www.ithome.com.tw/news/99629" target="_blank">的傳聞一直不斷</a>，但此一名為Andromeda的內部專案很快就告吹，據說原因是Google認為這兩個平臺都很成功，得以各自發展。</p> <p>但即便到了現在，Google仍持續整合這兩個平臺，<a href="https://www.androidauthority.com/chrome-os-running-on-pixel-3442496/" target="_blank">Android Authority</a>於上個月報導，Google正企圖於Pixel手機上執行ChromeOS，該公司開發了一個特殊的ChromeOS版本Ferrochrome，並透過Android虛擬框架（Android Virtualization Framework，AVF）於Pixel上執行。</p> <p>不管Google最後是否會合併這兩個作業系統，至少目前ChromeOS與Android之間的互動能力與技術分享都一直在強化中。</p> </div></div></div>
2024/6/14 14:29作者陳曉莉https://www.ithome.com.tw/news/163463
Google針對旗下Pixel手機發布6月份資安公告，權限提升漏洞已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月11日Google針對Pixel手機<a href="https://source.android.com/docs/security/bulletin/pixel/2024-06-01">發布資安公告</a>，修補50個資安漏洞，其中有19個權限提升漏洞、17個資訊洩露漏洞、5個阻斷服務（DoS）漏洞、4個遠端程式碼執行（RCE）漏洞，以及5個高通元件的漏洞。</p> <p>從漏洞的危險程度來看，當中7個屬於重大層級、24個高風險層級，其餘為中度風險漏洞。</p> <p>值得留意的是，該公司特別針對存在Pixel韌體的權限提升漏洞CVE-2024-32896提出警告，他們發現可能被利用的跡象，並指出疑似用於有限的、針對性的攻擊行動。</p> <p>在此之前，Google曾公布<a href="https://www.ithome.com.tw/news/162191">遭到鑑識公司利用的Pixel零時差漏洞</a>。今年4月，他們修補資訊洩露漏洞CVE-2024-29745、權限提升漏洞CVE-2024-29748，通報此事的GrapheneOS開發人員透露，鑑識公司積極利用這些漏洞，而能在不知道PIN碼的情況下解鎖手機。</p> </div></div></div>
2024/6/13 12:53作者周峻佑https://www.ithome.com.tw/news/163437
C++熱度漲，TIOBE Index排名達歷史新高第2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已有約40年歷史的C++，這個月在<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index排名</a>來到第2名，這不僅是C++有史以來排名最高的一次，另外也是C語言有史以來名次最低的一次，跌落至第3名。C++的發明，一開始被當作C語言的強化版，且因為擁有類別（Classes）也被稱為C語言的物件導向版。</p> <p>C++主要優勢在於其效能和可擴展性，被廣泛應用在嵌入式系統、遊戲開發和金融交易軟體領域。從2011年第3個C++標準發布以來，國際標準組織維持每3年更新一次C++標準，TIOBE執行長Paul Jansen認為，儘管大多數開發者無法跟上3年一次的更新腳步，但這種策略的確成功讓C++持續進步脫胎換骨。</p> <p>有趣的是，儘管各方都呼籲要少用C++，C++的受歡迎程度卻在TIOBE Index排名上升。微軟Azure技術長Mark Russinovich曾在2022年呼籲考量安全性和可靠性，開發者應該要放棄C/C++改用Rust。同一年，Google也指出，Android記憶體安全漏洞數量大幅下降的關鍵，正是將Rust作為C/C++程式碼的替代方案。</p> <p>今年2月，美國白宮發布的報告中呼籲科技界應主動減少網路攻擊面，並在軟體漏洞方面，開發人員應該放棄C/C++，改用記憶體安全程式語言，以提升軟體安全性。不過，C++之父Bjarne Stroustrup則回應白宮，認為拜登政府不該忽視C++一直以來對安全性所做的努力。整體來說，儘管C++面臨記憶體安全方面的考驗，但是在TIOBE Index排名上升，表示其在開發者社群中持續受到重視與使用。</p> <p>除了C++，6月TIOBE Index排名的亮點還有首次達到排名第7的Go，以及排名歷史新高的Rust，達到了第17名。</p> </div></div></div>
2024/6/12 08:42作者李建興https://www.ithome.com.tw/news/163400
蘋果官方證實iPhone提供最少5年軟體支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應英國一項新法，蘋果官方首次明文公布對iPhone至少提供5年的軟體技術支援。</p> <p>蘋果是因應英國產品安全和電信基礎架構法（Product Security and Telecommunications Infrastructure，PSTI）而向官方提供資訊。今年4月29日<a href="https://www.gov.uk/government/publications/the-uk-product-security-and-telecommunications-infrastructure-product-security-regime" target="_blank">正式上路</a>的PSTI為安全法規，規範在英國生產或輸入、在當地銷售的連網裝置。其要求包括消費者連網產品，如智能電視、網路連接相機和揚聲器，必須對抗網路攻擊有更高的安全性，以保護個人隱私和安全、禁止使用單一通用之預設密碼、供應商應具備漏洞揭露政策，並向客戶公開正採取何種防禦及處理漏洞措施等。</p> <p>蘋果在PSTI法之下也<a href="https://regulatoryinfo.apple.com/cwt/api/ext/file?fileId=securityTelecommunication%2FiPhone%2015%20Pro%20Max%20%28Model%20A3106%29_V0.pdf" target="_blank">提供iPhone 15 Pro Max支援文件</a>。文件說明，iPhone 15 Pro Max最初提供日為2023年9月22日，而預定的支援期為最初提供日以後的最少5年。</p> <p>《<a href="https://www.androidauthority.com/iphone-software-support-commitment-3449135/" target="_blank">Android Authority</a>》說明，這是蘋果首次明文公布iPhone的軟體技術支援期限。在此之前，蘋果從來沒有正式說明此事。</p> <p>相較之下，不論是Google Pixel或三星Galaxy系列，或是其他Android手機供應商都會明確公布軟體支援期限。Google對Pixel 6只提供3年的作業系統更新及5年的安全更新。不過，去年秋天推出<a href="https://www.ithome.com.tw/news/159141" target="_blank">Pixel 8的支援期限</a>一舉延長到7年。</p> <p>雖然蘋果明訂僅提供最少5年的軟體支援，但《Android Authority》說明，一般而言，蘋果實際支援應該會超過這段年限，也有iPhone在推出6年或更久以後仍能接獲安全更新。事實上，一如微軟會在發現重大安全漏洞時，發布例外更新，修補已不再支援的消費者或伺服器版本Windows，像是Windows XP、Vista、Windows 2000等，蘋果在安全專家揭露一些重大漏洞時，也會釋出例外安全更新來修補它已不支援的舊款iPhone。</p> </div></div></div>
2024/6/12 04:00作者林妍溱https://www.ithome.com.tw/news/163386
Telegram發表虛擬貨幣Stars
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram本周<a href="https://telegram.org/blog/telegram-stars" target="_blank">發表了</a>可用來支付數位商品的虛擬貨幣Telegram Stars，同時鼓勵開發者建置得以接受Telegram Stars的小程式（Mini App），並說開發者可將所收到的Telegram Stars以加密貨幣Toncoin領出。</p> <p>Telegram表示，該平臺目前每月有超過4億名用戶與機器人或迷你程式互動，可能是購買產品、存取服務或玩遊戲，藉由Telegram Stars的推出，這些機器人及迷你程式將可開始銷售產品及服務。</p> <p>簡單地說，Telegram Stars可於Telegram生態體系中購買數位商品及服務。使用者可在Android或iOS上的Telegram程式購買Stars，並經由這兩個平臺的帳單支付，也能向Premium Bot購買Stars，以用來支付電子書、線上課程，或遊戲中物件，未來Telegram也將允許使用者透過Stars來購買送給創作者的禮物。</p> <p>至於Telegram創辦人<a href="https://t.me/durov/280" target="_blank">Pavel Durov則鼓勵</a>開發者打造支援Stars的小程式，他說蘋果與Google在使用者於程式中購買Stars時，會向開發者收取30%的佣金，但Telegram同時會透過Stars來補貼開發者的廣告購買，倘若開發者決定透過廣告來推廣程式，佣金成本幾乎是零。</p> <p>此外，開發者亦可透過Fragment交易平臺，以Toncoin來領取他們所獲得的Stars。</p> <p>從Telegram的展示可看出，目前每個Stars的售價約為0.02美元，而CoinMarketCap的資料則顯示，現在每個Toncoin的價格為7.6美元。</p> </div></div></div>
2024/6/7 16:34作者陳曉莉https://www.ithome.com.tw/news/163357
Google正逐步淘汰網頁版的地圖時間軸功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年12月<a href="https://blog.google/products/maps/updates-to-location-history-and-new-controls-coming-soon-to-maps/" target="_blank">宣布</a>，將變更Google Maps上的「定位記錄」（Location History）功能，包括將其更名為「時間軸」（Timeline），以及將它自動存放於裝置上。最近已陸續有用戶收到Google的通知，提醒他們下載想要儲存的時間軸，否則屆時將會移除存放於雲端的時間軸資料。</p> <p>時間軸為Google Maps的一項個人化功能，可根據定位記錄來呈現使用者所去過的地點、路線或行程，它的預設值是關閉的，使用者可在登入Google帳戶後啟用它，並將時間軸資料存放於雲端，只要登入Google帳戶即可存取。</p> <p>去年Google僅宣布要把時間軸存放於Android或iOS裝置上，並未強調將關閉其雲端儲存功能。不過，根據Google官網上的<a href="https://support.google.com/maps/answer/14169818" target="_blank">說明</a>，由於未來時間軸上的資料將直接來自行動裝置，未來電腦上的Maps將無法再存取時間軸，使用者可下載最新的Google Maps程式將舊有的時間軸資料移轉到裝置上。</p> <p>此外，最近陸續有時間軸用戶收到Google的<a href="https://support.google.com/maps/community-guide/276228911/changes-underway-for-google-maps-timeline?hl=en" target="_blank">郵件通知</a>，指出在使用者啟用時間軸之後，它即會自動於裝置上建立及儲存，為了避免遺失曾有的記錄，應於期限前下載或遷移資料。</p> <p>現階段已有不少時間軸用戶收到通知，但Google所提出的期限都不同。此外，在裝置上啟用時間軸時，預設值是每3個月會自動移除相關記錄，但使用者亦可變更該時程或直接設為不刪除。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="Jasmine" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(29, 28, 29); word-break: break-word; font-weight: 900; font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures; background-color: rgb(248, 248, 248);"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBRH3F1HS" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: initial; background-position: 0px 0px; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" tabindex="0" type="button"></button></span></span></p> </div></div></div>
2024/6/6 16:19作者陳曉莉https://www.ithome.com.tw/news/163336
Google推Android裝置串流服務，簡化App在多種裝置上的測試工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2024/06/android-device-streaming-powered-by-firebse-now-in-beta.html">Android裝置串流（Device Streaming）</a>服務現在進入Beta測試階段，開發者只要透過簡單點擊，就能從Android Studio連接並操作遠端實體Android裝置，像是Google和三星等裝置，進而簡化應用程式在多裝置上的測試。該功能建立SSL安全連接來執行ADB（Android Debug Bridge），使得開發者可以直接在IDE中，操作遠端裝置以進行準確的測試。</p> <p>Android裝置串流解決了開發者難以取得和操作多種實體裝置的問題。過去開發者需要購買或是借用多款裝置來測試應用程式，但這不僅耗費時間和金錢，也可能缺乏特定裝置而無法進行全面測試。現在藉由Android裝置串流這項服務，開發者可以在IDE中遠端連接和操作多種Android裝置，提升測試效率和準確性。</p> <p>開發者現在可以Android裝置串流服務，對Android 8.1到14，以及折疊或是平板等各式尺寸、形狀和功能配置的裝置進行測試。支援的品牌包括Google、三星、Oppo和小米。Android裝置串流服務後端使用Firebase服務，Google強調，Android Studio使用SSL連接裝置，可確保資料傳輸安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0604-Android%20Device%20Streaming.png" style="width: 500px;" /></p> <p>開發者用來安裝和測試應用程式的裝置，在使用期間不會與其他使用者或Google服務共用，在開發者完成使用後，裝置會被完全抹除並且恢復成出廠設定。開發者可以自行操作進行裝置抹除，或是當連線階段過期後，裝置也會自動進行抹除。</p> <p>Android裝置串流服務的費用主要根據Firebase專案的定價計畫，按分鐘計價，連接裝置前的設定和結束連接階段的裝置抹除時間，不會列入時間計算。</p> </div></div></div>
2024/6/4 13:18作者李建興https://www.ithome.com.tw/news/163289
超過90款惡意程式溜進Google Play，夾雜Anatsa與Coper等金融木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>定期監控Google Play惡意程式的資安業者<a href="https://www.zscaler.com/blogs/security-research/technical-analysis-anatsa-campaigns-android-banking-malware-active-google" target="_blank">Zscaler在本周揭露</a>，過去幾個月發現了Google Play上的逾90款惡意程式，其總計安裝數量超過500萬次，當中有兩款夾雜金融木馬程式Anatsa。</p> <p>其實在Zscaler所發現的惡意程式中，數量最多的是資訊竊取程式Joker，占了42.6%，居次的則是廣告程式的41.5%，還有12.8%是專門用來竊取臉書憑證的Facestealer，屬於金融木馬程式的Anatsa與Coper分別只占2.1%與1.1%。</p> <p>Anatsa最初瞄準美國與英國的金融程式，但Zscaler近來發現Anatsa的攻擊目標已擴大到包括德國、西班牙、芬蘭、韓國與新加坡的金融程式，鎖定全球超過650個金融機構。</p> <p>這兩個Anatsa金融木馬程式分別偽裝成看起來無害的PDF閱讀器及二維碼閱讀器，以成功上傳到Google Play並閃避偵測，且使用者的安裝數量已超過7萬次。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-android%20banking%20malware-Anatsa-by%20Zscaler.png" style="width: 418px;" /></p> <p><a href="http://www.zscaler.com/blogs/security-research/technical-analysis-anatsa-campaigns-android-banking-malware-active-google" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span></span></a><span style="font-size:14px;"><a href="http://www.zscaler.com/blogs/security-research/technical-analysis-anatsa-campaigns-android-banking-malware-active-google" target="_blank"><span style="color:#696969;">Zscaler</span></a></span></p> <p>分析顯示，在使用者安裝了任一款閱讀器之後，程式就會藉由假借更新的名義，自駭客所控制的C&C伺服器下載惡意程式碼或階段性酬載，繼之向使用者請求各種許可，諸如簡訊或輔助（Accessibility）等與金融木馬相關的功能，而為了自金融程式中竊取資料，Anatsa會下載一個金融程式目標清單，掃描受害裝置是否含有清單上的程式，再與C&C交流，C&C即會根據裝置上所找到的程式提供偽造的登入頁面，以竊取使用者的憑證。</p> <p>Zscaler說，即使這次它們僅發現少數嵌入Anatsa與Coper的金融木馬程式，但它們可能帶來最嚴重的危害，建議各組織應該實施零信任架構，以確保使用者在造訪任何資源之前都必須經過身分驗證與授權。</p> </div></div></div>
2024/5/29 15:24作者陳曉莉https://www.ithome.com.tw/news/163173
微軟Copilot進駐Telegram
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周發表了<a href="https://www.microsoft.com/en-us/edge/copilot-for-social?form=MY02F9" target="_blank">Copilot for Telegram</a>測試版，讓Telegram用戶直接從該傳訊平臺上免費使用Microsoft Copilot，擴大Copilot的足跡，可同時支援Windows、macOS、Android、iOS及網頁版的Telegram。</p> <p>Microsoft Copilot是個基於GPT大型語言模型的聊天機器人，微軟已將它整合到Windows 10與Windows 11中，亦可於Jira、Dynamics 365或Bing Web Search中使用，在Telegram中的Copilot同樣能夠回答使用者的各種詢問，例如推薦電影、協助編輯，或是幫忙寫程式，不過，它無法生成圖像，且根據<a href="https://www.windowslatest.com/2024/05/28/after-windows-11-copilot-is-coming-to-messaging-apps-starting-with-telegram/" target="_blank">《Windows Latest》</a>的報導，此一服務目前並不支援歐盟地區的用戶。</p> <p>Telegram用戶在登入該服務後，只要搜尋@CopilotOfficialBot就能找到Copilot，之後便可與它聊天，不過，它會要求使用者輸入用來註冊Telegram的電話號碼以驗證該帳戶，但強調微軟不會儲存該號碼。</p> <p>於傳訊服務中整合聊天機器人似乎是個趨勢，例如<a href="https://www.ithome.com.tw/news/159021" target="_blank">Meta</a>已將Meta AI整合到WhatsApp、IG及Facebook Messenger中，而<a href="https://www.ithome.com.tw/news/161514" target="_blank">Google</a>則是將Gemini嵌入Android平臺的Messages傳訊程式中。</p> </div></div></div>
2024/5/29 14:13作者陳曉莉https://www.ithome.com.tw/news/163170
Google為Chromebook電腦加入Gemini等AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不願在AI PC的風潮中落後，<a href="https://blog.google/products/chromebooks/chromebook-plus-google/" target="_blank">Google昨（28）日宣布</a>為Chromebook Plus產品線加入Gemini AI助理，以及AI協助的文字撰寫、修圖等功能，將整合由ODM推出的Chromebook Plus產品，並已有宏碁、華碩及HP宣布新品。</p> <p>Chromebook Plus是Google去年10月<a href="https://www.ithome.com.tw/news/159095" target="_blank">公布的高階Chromebook</a>系列，採用12代Intel Core i3或AMD Ryzen 3 7000以上的處理器，具備8GB以上的記憶體及128GB以上的硬碟空間，售價350美元起跳。</p> <p>這次宣布主要是將Gemini等AI功能由雲端內建到桌機端，用戶可以自然語言提示要求助理代為執行任務。首先是Help me write，這功能今年初<a href="https://www.ithome.com.tw/news/161411" target="_blank">已整合至</a>Gemini for Google Workspace，可在Gemini協助下從頭撰寫或改寫、潤飾既有文字。其次，Chromebook Plus的ChromeOS內建了AI，可生成應用程式桌布或視訊會議背景。另外，筆電版的Google Photos功能加入了「魔法編輯器」（Magic Editor）按鍵，讓使用者可點擊或圈起要修圖的部份、將之拖曳到其他地方或調整大小，它也提供像是調整光線、背景等修圖建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-chromebook%20plus-Help%20me%20write.png" style="width: 600px;" /></p> <p>更重要的是Google將AI助理Gemini整合到桌機上，點入螢幕主頁的Gemini App圖示即可與之對話，或下達規畫商務活動、撰寫文字、搜尋、聊天等任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-chromebook%20plus-gemini%20app.png" style="width: 600px;" /></p> <p>Google並為Chromebook Plus提供12個月的Google One AI Premium（Google One進階版）方案，用戶得以免費使用AI功能，包括Gemini Advanced、2TB雲端儲存空間，以及在Workspace Docs、Sheets、Slides和Gmail中使用Gemini等服務。Google One AI Premium是付費方案，收費標準為每人每月20美元（650元臺幣）。</p> <p>Google昨日也為全線Chromebook加入新的操作功能。第一是以Android手機快速設定Chromebook，只要掃一下QR Code，Android手機就能分享Wi-Fi及用戶Google帳號憑證。新增在ChromeOS中的Google Tasks檢視功能，讓用戶從主頁右下角點入，即能一覽Workspace或筆電上的待辦事項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-new%20features%20for%20all%20Chromebooks-Simple%20set%20up%20with%20your%20Android%20phone.png" style="width: 600px;" /></p> <p>其次是新增螢幕擷取工具，可將螢幕一段錄影儲存成GIF格式，自製demo影片或有趣的GIF檔。最後Game Dashboard則方便用戶存取和設定電玩控制功能。</p> <p><a href="https://blog.google/products/chromebooks/new-chromebooks-plus-2024/" target="_blank">Google同時公布</a>了由宏碁、華碩及HP推出的5款Chromebook Plus筆電產品，包括Acer Chromebook Plus Spin 714、Acer Chromebook Plus 516 GE、Acer Chromebook Plus 514及HP的Chromebook Plus x360、Asus的Chromebook Plus CX34（臺灣已上市，售價21,900元臺幣），售價從349美元到699起跳。此外華碩及HP也有Chromebook新品，包括HP Chromebook 14和Asus Chromebook CM30，分別為249及299美元起跳。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/29 10:42作者林妍溱https://www.ithome.com.tw/news/163163
Spotify將在年底終結首個硬體設備Car Thing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.spotify.com/us/article/car-thing-discontinued/" target="_blank">Spotify本周宣布</a>，該公司在2021年發表的車上串流裝置Car Thing將在今年12月9日停止運作。</p> <p>Car Thing為Spotify的首款硬體產品，允許用戶連至手機時透過語音及車上喇叭系統來控制Spotify，它配備一個4吋的觸控螢幕，更容易選擇曲目，不過，它僅支援Spotify Premium付費用戶，也沒有太多獨特的功能，使得許多人將它稱為Spotify的搖控器。</p> <p>Spotify在2021年10月開始小規模測試Car Thing，2022年2月正式對外銷售，售價為90美元，但該公司在同年7月便宣布停產Car Thing，之後還曾將其降價至50美元。</p> <p>而根據Spotify本周的更新，Car Thing裝置自今年12月9日之後將無法再運作，目前並無計畫推出Car Thing的新版本或替代產品，建議用戶將它重置為出廠預設值，以將它回收。</p> <p>事實上，要在車上聆聽Spotify有許多方法，通常是直接將手機與車上娛樂系統連結即可，包括Spotify Connect、藍牙、AUX或USB傳輸線，或者是Android Auto與Apple CarPlay，而且現在有許多汽車的娛樂系統直接內建了Spotify。</p> <p>不過，Spotify沒有任何退款計畫，要求用戶直接把Car Thing拿去回收的態度還是<a href="https://community.spotify.com/t5/forums/searchpage/tab/message?filter=dateRangeType&q=car%20thing&rangeTime=24h&collapse_discussion=true" target="_blank">惹毛了一些人</a>，也有人<a href="https://www.reddit.com/r/spotify/comments/1cyxzyg/vote_to_open_source_car_thing/" target="_blank">開始號召</a>，要求Spotify將Car Thing開源。</p> </div></div></div>
2024/5/24 15:28作者陳曉莉https://www.ithome.com.tw/news/163087
Kotlin 2.0登場！預設啟用K2編譯器多平臺支援再強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Android主要開發語言<a href="https://blog.jetbrains.com/kotlin/2024/05/celebrating-kotlin-2-0-fast-smart-and-multiplatform/">Kotlin 2.0</a>現在已經正式發布，這是帶有K2編譯器的重大更新版本，新的K2編譯器不只能夠更好地理解程式碼，編譯速度也提升一倍，而且使Kotlin 2.0的多平臺支援更強大，伺服器端、網頁、桌面、iOS和Android應用程式，都可以共用同一套程式碼庫。</p> <p>K2編譯器現在已經成為Kotlin 2.0預設的穩定編譯器，適用於JVM、原生、WebAssembly和JavaScript等各種目標平臺。K2編譯器的一大特色，便是效能的顯著提升，加快了新語言功能的開發，並且統一了Kotlin所支援的所有平臺，替多平臺專案提供更好的架構。為了確保K2編譯器的穩定性，JetBrains團隊已經編譯了來自用戶和內部專案總共1,000萬行的程式碼，在測試過程，也已有1.8萬名開發者與8萬個專案參與測試。</p> <p>由於Kotlin 2.0採用了新的K2編譯器，因此在多平臺的支援上，有了長足的改進。在之前Kotlin編譯器的設計，無法於編譯時分離通用和平臺程式碼集，所以通用程式碼可能會存取平臺程式碼，而這可能會因平臺差異而產生不同的行為，此外，通用程式碼中的一些編譯器配置和相依項目，也會洩漏到平臺程式碼中，通用程式碼和平臺的界線變得模糊，可能導致程式碼難以維護和管理，甚至發生錯誤。</p> <p>在Kotlin 2.0中，由於K2編譯器重新設計了編譯架構，在編譯期間嚴格分離通用和平臺程式碼集，開發團隊提到，這項變更的好處在使用expected和actual函式的時候會更為明顯，因為過去通用程式碼中的函式呼叫，可能會解析到平臺中的函式，但現在這種情況已經得到改正。</p> <p>除了編譯時通用和平臺程式碼分離之外，另一個多平臺功能更新是expect和actual宣告的可見等級管理調整。在Kotlin 2.0之前，多平臺專案使用expect和actual宣告，兩者必須具有相同的可見性等級，例如expect宣告為public，則相對應的actual宣告也必須是public。</p> <p>而Kotlin 2.0的expect和actual宣告，則可以具有不同的可見性等級，只是actual宣告的可見性等級，必須比expect宣告更寬鬆，或更具包容性。這個改進使得多平臺開發更為靈活，允許在不同平臺調整可見性層級，並同時維持程式碼的一致性和可讀性。</p> <p>Kotlin 2.0編譯速度大幅提升，部分專案甚至可達到之前版本的2倍速，除了編譯速度，IntelliJ IDEA的K2模式效能也有明顯改進，在IntelliJ IDEA Ultimate的程式碼庫中，程式碼突出顯示的速度提升至1.8倍，程式碼完成速度也是之前的1.5倍。目前K2模式的IntelliJ IDEA還在Alpha階段，官方預計會在2024年底成為預設模式。</p> <p>Kotlin 2.0也提供對Compose Multiplatform專案的原生支援，Jetpack Compose編譯器被合併到Kotlin儲存庫中與Kotlin一同發布，開發者使用Compose Multiplatform進行多平臺UI開發將會更方便。Kotlin開發團隊正在積極開發新一代Kotlin Multiplatform函式庫格式，供開發者從任意主機開發和發布Kotlin Multiplatform函式庫與通用Kotlin函式庫。</p> </div></div></div>
2024/5/24 15:43作者李建興https://www.ithome.com.tw/news/163081
【臺灣RMN實例：Pinkoi】以垂直領域數據自建模型，從自動化進階AI化投廣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>設計類垂直電商Pinkoi的RMN也不是從零開始打造，而是先有技術，再有商業模式。2015年，為了用更智慧化的方法進行數位行銷，他們開始翻新基礎數據架構，整合自家不同來源的第一方數據，並開始利用設計領域數據及顧客數據，來打造商品推薦演算法。</p> <p>不料，他們嘗試了幾個開源推薦模型，發現設計類電商數據過於特殊，必須從頭自行打造專屬AI模型才能有效用於數位行銷。結果是，他們建立了一個多功能、多模態的AI模型，具備NLP、分類、排序、CV等功能。</p> <p>這個模型還能替陌生的非規格化商品自動貼上多語言標籤。這意味著，賣家與Pinkoi方都不需要了解一件商品有哪些特性，也不需要知道一個商品可能有哪些暱稱、別稱，就可以完整在該商品上貼好這些標籤。接著，Pinkoi會再綜合這些標籤，來媒合商品與顧客。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>應廣告主需求陸續開發廣告功能</strong></span></span></p> <p>來到2018年，許多賣家主動許願，希望有一個付費提升曝光機會的管道，這個AI模型便再次派上用場。以此AI模型為基礎，RMN團隊寫了一系列廣告投放用推薦模組，根據不同廣告版面的行銷目的，來調整推薦商品的關聯性高低，或加強時下熱門主題相關商品的排序優先度。</p> <p>雖然已經手握推薦演算法技術，不過要打造自動化廣告投放系統，Pinkoi還有許多數位行銷的技術知識需要從頭學習。他們投入了4成工程資源，花費許多心力在研究Facebook（現Meta）和Google兩大廣告巨頭的Martech開發方法及投廣機制，並將這些知識結合自家AI推薦技術，打造出自己的RMN服務──一個有AI投廣助手的自助式RTB廣告平臺。</p> <p>歷年來，他們陸續開發了商品推薦、商品組合推薦、品牌推薦等廣告形式，支援網頁版、iOS及Android商城。甚至，今年AI模型分類能力進一步強化後，開始有能力將消費者標籤進一步區分為長期「購物人格」和短期「即時動機」2大類標籤，進一步強化了推薦能力。購物人格是由價值主張、興趣、地域性文化、風格等4大分類標籤組成，即時動機則包含聖誕節送禮、婚禮布置等透露短期消費目的標籤。</p> <p>能提取更多、更細緻的標籤，便可以使推薦結果更個人化，做到兩個人進行一模一樣的操作（展現即時動機），仍會分別收到不同商品推薦。甚至，不必被動等待消費者表明本次造訪網站的動機，Pinkoi就可以主動推薦合適商品和品牌給消費者。受益於這個技術突破，他們今年得以打造主動推播型RMN廣告格式。</p> <p>他們還打造了AI廣告投放建議機制，號稱30秒就能開始投廣，只要設定預算和欲行銷商品，AI助手就可以幫忙完成其他設定。做法是，AI模型分析商家成長模式，向商家推薦RMN廣告投放策略及參數設定。例如商家已有穩定客源，系統會建議下一步成長動能是獲取新客源，投放策略得重視陌生潛在買家的曝光。甚至，可以為每一則廣告提供優化建議，賣家可以選擇立即套用，快速完成設定。未來，他們還要進一步強化此功能，連商品標題、關鍵字及行銷預算等基本設定，AI都能根據實際行銷結果來提供修正建議。</p> <p>Pinkoi的RMN推薦演算法最大特色是，曝光優先度以綜合商品與賣場的品質為主，而不會只看廣告出價──廣告主出價只是排序演算法眾多參數中的其中一項，商品品質及關聯性才是決定曝光順序的主要依據。Pinkoi SaaS產品負責人李少昱說，他們會打造AI代投功能來搭配這種非價高者得的曝光機制，就是希望賣家專注於提供優質商品，而非過度計較廣告出價策略。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>維運RMN服務的技術基本功</strong></span></span></p> <p>Pinkoi的RMN每年高達74億次請求，不考慮巔峰情況，平均每秒要處理230次請求。一次RMN廣告請求的完整流程是，顧客進入頁面，系統發送廣告版面性質、顧客輸入內容等資訊到廣告競價系統。經過賣家競價、檢查賣家行銷預算餘額等程序後，廣告推薦演算法方能開始排序廣告內容。後續，Pinkoi還要紀錄廣告曝光情形、顧客互動行為等數據，作為後續廣告成效追蹤及賣家投放建議的依據。</p> <p>為了顧及顧客體驗，Pinkoi認為，廣告與一般商品內容等網站元素，需要幾乎同時完成載入。，另外，為了確保廣告數據正確性及服務穩定性，他們還必須過濾掉異常數據流量。要達到這些目的，Pinkoi有3大做法。</p> <p>首先，為了即時因應流量波動，他們不只使用公雲自動擴充（Auto-scaling）功能，還自行打造了用量調整機制，利用機器學習預測流量變動，來調整雲端資源的租用量。</p> <p>再來，他們回頭找出推薦演算法中，不須即時運算的數據，預先進行批次處理，來壓低即時運算運算對機器的負荷。例如，商品品質分數這個參數的變動頻率不大，可以每天計算一次，而不需要每次推薦都重算。</p> <p>他們還設計了雙重異常流量辨識機制，第一層辨識機制，當造訪者流量剛進來時，會依據流量來源等常見機器人行為模式來篩選。若機器人成功騙過第一層機制，Pinkoi還會根據造訪者行為模式來事後追認異常流量。</p> <p>即使先前打造了一個強大的AI模型來進行數位行銷，Pinkoi要將數位行銷活動商業化，仍需投入大量IT資源來維運，甚至打造專屬RMN的制度和技術機制。不過，李少昱說，RMN已經成為上萬個賣家持續使用的關鍵功能，且確實提升整體平臺的交易量，更貢獻了總營收3成，因此仍會持續投入IT資源到此商業模式中。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163068
【資安日報】5月23日，微軟推出AI電腦新功能Recall引發隱私爭議，英國主管機官宣布啟動調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日<a href="https://www.ithome.com.tw/news/162988">揭露新一代NPU加速的AI筆電</a>，並將其命名為Copilot+ PC，主打內建40多個地端AI模型和原生AI應用程式，包括能快速找出所需資訊的Recall、圖像創作Cocreator，以及能將四十多種語言即時翻譯為英文的即時字幕（Live Caption）等AI加持的工具。</p> <p>然而值得留意的是，以背景快照記錄使用者活動，以便用戶搜尋電腦檔案及上網活動的Recall，公布後便引發外界對於隱私上的爭議，英國個資保護主管機關宣布將介入調查此事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163064"><strong style="font-size: 22px;">Foxit PDF Reader用戶遭到鎖定，駭客利用軟體彈出視窗的內容進行社交工程攻擊，散布多種惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png" style="width: 300px; float: right;" /></a></p> <p>關於檢視PDF文件的免費軟體，最常見的是Adobe的Acrobat Reader，過去曾有許多駭客與惡意軟體緊盯它的資安漏洞，除此之外，市面上另一個同樣應用類型軟體Foxit PDF Reader，也是攻擊者的目標之一，最近有駭客專門針對這個軟體的使用者發動攻擊。</p> <p>資安業者Check Point揭露鎖定Foxit PDF Reader用戶而來的攻擊行動，對方用來散布多種惡意程式，包括：Agent Tesla、AsyncRAT、DCRat、NanoCore RAT、NjRAT、Pony、Remcos RAT、XWorm。</p> <p>研究人員指出，這些攻擊行動利用了使用者經常並未詳細檢視彈出式對話框內容，就直接點選預設選項內容的情況，引誘該PDF檢視工具的用戶上當。有鑑於濫用這種手法的情況近期不斷上演，Foxit接獲他們的通報後，也承諾計畫在後續的2024.3版進行處理。</p> <p><a href="https://www.ithome.com.tw/news/163055"><strong style="font-size: 22px;">南海軍事單位與政府機關遭中國駭客組織Unfading Sea Haze鎖定，暗中從事情報收集超過5年</strong></a></p> <p>資安業者Bitdefender揭露專門鎖定南海國家政府高層的中國駭客組織Unfading Sea Haze，他們確認至少有8個軍事單位與政府機關受害，相關攻擊行動最早可追溯到2018年，換言之，這些駭客暗中活動已超過5年。</p> <p>研究人員指出，根據他們找到駭客不同時期使用的作案工具，對方運用了木馬程式Gh0st RAT的變種，以及多種.NET惡意酬載，攻擊過程會藉由名為SharpJSHandler的工具執行JavaScript程式碼，這些手法不僅讓他們認為Unfading Sea Haze與中國有關，上述執行JavaScript程式碼的工具，也出現在與APT41有關的後門程式funnyswitch。不過，研究人員指出，除此之外兩組駭客的作案工具並未出現其他共通點，因此他們認為，這是中國駭客組織之間共用程式碼所致。</p> <p>究竟這些駭客如何入侵受害組織？研究人員表示事隔6年導致證據缺乏，並不清楚如何做到。但他們確認對方在長時間的攻擊行動裡，會多次重新取得受害系統的存取權限，其中一種做法是透過釣魚郵件進行。</p> <p><a href="https://www.ithome.com.tw/news/163058"><strong style="font-size: 22px;">中國駭客用非法代理伺服器ORB網路隱藏連線行蹤，導致資安偵測難度大幅提升</strong></a></p> <p>為了埋藏行蹤，駭客藉由代理伺服器服務（Residential Proxy）從事攻擊行動的情況日益頻繁，最近有研究人員針對這種現象提出警告。</p> <p>資安業者Mandiant揭露名為Operational Relay Box networks（下稱ORB網路）代理伺服器服務，並指出中國APT駭客利用這種服務從事網路間諜活動的情況越來越常見。這種網路組成的方式很類似殭屍網路，主要由虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成，而且，這些設備通常生命週期已結束（EOL），或是不再受到製造商支援。</p> <p><a href="https://www.ithome.com.tw/news/163049"><strong style="font-size: 22px;">半導體設備廠京鼎發布資安重訊，說明駭客本月21日公開資料源於1月資安事故外流檔案</strong></a></p> <p>今年1月鴻海旗下的半導體設備廠京鼎傳出遭到入侵，駭客竄改該公司網站，宣稱竊得5 TB內部資料，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊？最近又有新的消息傳出。</p> <p>5月21日晚間19時14分京鼎發布重大訊息，表示他們發現駭客在網路上公開竊得資料，而這些資料的來源，根據他們的調查，就是上述的資安事故流出，他們曾在1月16日發布重大訊息說明此事。</p> <p>根據上述的公告內容，雖然京鼎仍然沒有說明遭遇的攻擊類型，但也證實駭客確實得手該公司內部資料的情況。只是這些資料內容為何，以及曝光後影響的層面，有待進一步說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.recordedfuture.com/exploring-the-depths-of-solarmarkers-multi-tiered-infrastructure"><strong style="font-size: 20px;">竊資軟體SolarMarker採用多層基礎設施，意圖躲避資安人員及執法單位打擊犯罪</strong></a></p> <p></p> <p>◆<a href="https://cyble.com/blog/new-antidot-android-banking-trojan-masquerading-as-google-play-updates/"><strong style="font-size: 20px;">安卓木馬Antidot偽裝成Google Play更新程式引誘使用者上當，意圖竊取帳密資料、聯絡人資訊、簡訊</strong></a></p> <p></p> <p>◆<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/positive-technologies-detects-a-series-of-attacks-via-microsoft-exchange-server/"><strong style="font-size: 20px;">非洲與中東遭到鎖定，駭客利用微軟Exchange已知漏洞散布惡意程式Keylogger</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/omnivision-says-personal-information-stolen-in-ransomware-attack/"><strong style="font-size: 20px;">半導體製造商OmniVision去年9月遭遇勒索軟體攻擊，證實有出現資料外洩的情況</strong></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://forums.ivanti.com/s/article/Security-Advisory-May-2024"><strong style="font-size: 20px;">Ivanti修補端點管理程式重大層級的漏洞</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163045"><strong style="font-size: 22px;">微軟系統即將推出的Recall功能引發爭議，英國政府啟動調查</strong></a></p> <p></p> <p>本週微軟發表具備強大AI功能的新型態電腦Copilot+ PC，並揭露名為Recall的新功能，號稱可更容易搜尋使用者曾於電腦上操作的任何內容。然而，這項功能也引發AI將用戶資料看光光的疑慮，對此，英國隱私主管單位資訊委員辦公室（Information Commissioner's Office，ICO）宣布，他們著手進行調查。</p> <p>雖然微軟允許用戶刪除相關記錄，或是調查記錄的時間範圍、停用Recall，並強調索引結果不會上傳雲端，但是外界點出其他疑慮。例如，Recall的快照功能不會隱藏用戶帳密，過濾網站功能僅限Edge；有不具名資安專家指出該功能無法根據GDPR規定，刪除應用程式曝露的個資。</p> <p><a href="https://www.ithome.com.tw/news/163031"><strong style="font-size: 22px;">荷蘭網路威脅態勢與防護經驗大公開，荷蘭資安三角洲專家強調資安韌性需擴及各產業供應鏈</strong></a></p> <p>全球各國都在重視資安的推動，歐洲的發展也是全球關注的焦點，2024臺灣資安大會也持續推動國際交流，邀請荷蘭資安三角洲Security Delta（HSD）基金會的專家親自到場發表主題演說，闡述荷蘭所面對的威脅態勢，以及採取的網路安全策略與行動。</p> <p>在本次大會主題演說上，荷蘭資安三角洲基金會總監Joris den Bruinen特別以荷蘭為例，說明隨著資安威脅持續轉變，改變遊戲規則的Game changers正衝擊著我們，不同規模大小企業、政府與民眾都要有所體認。</p> <p>Joris den Bruinen強調，資安領域的公私協力、國際交流都很重要，HSD持續聚焦於緊密的產學合作，以促成活躍的資安生態系，而他們的重要任務，就是加速HSD成員間的合作，並在知識、創新、市場、資金、人才層面為其創造價值。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163037"><strong>【5月22日】針對研究人員指控修補NAS作業系統漏洞速度太慢，威聯通發布聲明說明處理進度</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163006"><strong>【5月21日】金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162984"><strong>【5月20日】與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊</strong></a></p> </div></div></div>
2024/5/23 18:54作者周峻佑https://www.ithome.com.tw/news/163066
【資安日報】5月21日，金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的金融木馬Grandoreiro，曾在今年1月跨國執法行動後消聲匿跡，但最近有研究人員提出警告，這些駭客準備了2個月就捲土重來，而且發動攻擊的範圍變得更廣，從拉丁美洲擴及全世界。</p> <p>究竟駭客如何大幅增加攻擊的力道及範圍？研究人員推測，對方很有可能透過惡意軟體租賃服務的方式，吸引許多打手上門、加入攻擊的行列。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163002"><strong style="font-size: 22px;">遭跨國執法單位圍勦的金融木馬Grandoreiro傳出東山再起，駭客鎖定超過60個國家、1,500家銀行客戶發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png" style="width: 300px; float: right;" /></a>今年1月巴西、西班牙、國際刑警組織、資安業者ESET、Caixa銀行聯手參與跨國執法行動，中斷金融木馬Grandoreiro的營運，巴西警方進行5次逮捕行動、13次搜查，但如今有研究人員發現背後的駭客組織再度活動的跡象。</p> <p>IBM旗下的威脅情報團隊X-Force指出，他們從3月看到該木馬程式大規模散布的攻擊行動，推測駭客組織很有可能透過惡意軟體租賃服務的方式，號召更多打手從事相關攻擊。</p> <p>而對於駭客的攻擊範圍，研究人員表示他們在中南美洲、非洲、歐洲、印太地區超過60個國家，對於全球1,500家銀行的客戶下手，相較於執法行動前，這些駭客主要活動範圍為拉丁美洲、西斑牙、葡萄牙，攻擊的規模變得相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/163003"><strong style="font-size: 22px;">勒索軟體駭客透過惡意廣告聲稱提供PuTTY、WinSCP，意圖對企業組織的網路管理員下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Rapid7揭露惡意廣告的攻擊行動，這些廣告聲稱提供WinSCP、PuTTY等知名工具，一旦使用者點選，就會被引導到駭客的冒牌網站，而若是他們依照指示安裝對方提供的應用程式，就有可能引發勒索軟體攻擊。</p> <p>研究人員在今年3月初，開始發現相關攻擊行動，駭客的攻擊鏈啟動，通常是使用者在Bing或其他搜尋引擎上，下達download winscp、download putty等指令進行搜尋開始，對方引誘使用者點選廣告內容並下載應用程式，並提供ZIP壓縮檔，以便進行後續攻擊行動。</p> <p>這波攻擊行動很有可能是針對企業組織的系統管理員而來，因為他們經常會使用上述兩款軟體。由於系統管理員握有高權限，一旦攻擊者得逞，就有機會在內部網路的環境快速散布惡意軟體、竊取機密資料，或是存取網域控制器。</p> <p><a href="https://www.ithome.com.tw/news/162998"><strong style="font-size: 22px;">美國公告3個漏洞已出現攻擊行動，影響已終止支援的老舊D-Link路由器</strong></a></p> <p>5月16日美國網路安全暨基礎設施安全局（CISA）提出警告，他們得知有3個漏洞已出現遭到利用的情況，並將其列入已遭利用的漏洞名單（KEV），值得留意的是，部分漏洞出現於已不再受到支援的D-Link路由器裝置。</p> <p>這些漏洞包含了：Google於15日修補的JavaScript引擎V8記憶體越界寫入漏洞CVE-2024-4761，以及D-Link路由器DIR-600跨網站指令碼請求（CSRF）漏洞CVE-2014-100005、DIR-605資訊洩露漏洞CVE-2021-40655，CISA要求聯邦機構必須在6月6日前完成修補。</p> <p>雖然CISA並未在公告裡透露進一步的影響範圍，以及將上述漏洞用於攻擊的駭客身分，但駭客鎖定生命週期已經結束的D-Link路由器設備，這樣的現象近期已有數起事故出現，用戶應考慮汰換以降低資安風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://research.checkpoint.com/2024/foxit-pdf-flawed-design-exploitation/"><strong style="font-size: 20px;">Foxit PDF Reader用戶遭到鎖定，駭客利用應用程式弱點散布多種惡意軟體</strong></a></p> <p>◆<a href="https://www.recordedfuture.com/gitcaught-threat-actor-leverages-github-repository-for-malicious-infrastructure"><strong style="font-size: 20px;">使用俄文的駭客濫用GitHub發起攻擊行動GitCaught，聲稱提供知名應用程式散布竊資軟體</strong></a></p> <p>◆<a href="https://www.genians.co.kr/blog/threat_intelligence/facebook"><strong style="font-size: 20px;">北韓駭客Kimsuky藉由Facebook Messenger鎖定目標，藉此散布惡意程式</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163000"><strong style="font-size: 22px;">Git修補5個漏洞，其中包含子模組複製儲存庫產生的RCE漏洞</strong></a></p> <p>廣大軟體開發者所仰賴的分散式版本控制系統Git，5月14日發布2.45.1版，之所以改版是為了修正5個資安漏洞，包含被標示為重大資安漏洞CVE-2024-32002，高風險的資安漏洞CVE-2024-32004與CVE-2024-32465，以及低度危險的資安漏洞CVE-2024-32020與CVE-2024-32021。</p> <p>其中最受到關注的漏洞是CVE-2024-32002，Git開發團隊將此漏洞的嚴重程度評為9.1分，當大家在Windows或macOS電腦使用子模組（submodules）對軟體儲存庫進行Git處理時，可在Git執行複製（clone）作業的過程當中進行操弄，趁機執行來自git/資料夾的掛勾（hook），而此舉將導致遠端執行程式碼（RCE）的資安危機。</p> <p>根據資安媒體Help Net Security持續追蹤，漏洞懸賞平臺公司Bugcrowd資安維運團隊領導人Amal Murali，在5月19日公布濫用該漏洞的概念驗證技術研究。</p> <p><a href="https://www.ithome.com.tw/news/162969"><strong style="font-size: 22px;">Android裝置App的資料共享方式有資安破口，研究人員揭露能以此發動的攻擊手法Dirty Stream，影響範圍廣大</strong></a></p> <p>微軟揭露新型態的路徑穿越攻擊手法Dirty Stream，攻擊者可藉由惡意安卓應用程式，覆蓋另一個應用程式的程式資料夾的內容，而有可能執行任意程式碼，或是竊取Token。該公司指出，這麼一來，攻擊者有可能完全操控應用程式的行為，或是存取用戶帳號及相關的敏感資料。</p> <p>研究人員找到這種攻擊手法的原因，主要是他們在Google Play市集找到多款存在弱點的應用程式，值得留意的是，這些應用程式迄今至少被安裝超過40億次，其中有4款下載次數超過5億。他們公布兩個存在弱點的應用程式名稱，包含了小米發行的檔案管理工具Mi File Manager，以及辦公室軟體WPS Office，分別被下載超過10億次、5億次，兩家軟體開發商接獲通報後皆已進行修補。不過，研究人員認為，實際上還有其他的應用程式，也可能存在相關弱點而可能曝露於Dirty Stream的風險，因此這項弱點影響範圍，恐怕還會擴大。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://labs.watchtowr.com/qnap-qts-qnapping-at-the-wheel-cve-2024-27130-and-friends/"><strong style="font-size: 20px;">研究人員揭露向威聯通通報的NAS作業系統漏洞，並指出15個漏洞僅有4個完成修補</strong></a></p> <p>◆<a href="https://techcrunch.com/2024/05/17/csc-serviceworks-free-laundry-million-machines/"><strong style="font-size: 20px;">兩名大學生發現CSC ServiceWorks自助洗衣機漏洞，可遠端向洗衣機發送命令進行控制</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162999"><strong style="font-size: 22px;">美國逮捕涉嫌經營暗網Incognito Market的23歲臺灣人</strong></a></p> <p></p> <p>美國司法部宣布，5月18日在美國約翰·甘迺迪國際機場逮捕年僅23歲的臺灣公民林睿庠（Ruisiang Lin），因他涉嫌經營專門銷售毒品的暗網市集Incognito Market，倘若包括毒品陰謀罪、洗錢罪、假藥罪的罪名皆成立，最高可能面臨終身監禁。</p> <p>Incognito Market在2020年10月於暗網中成立，使用者只能透過Tor網路存取。根據調查，林睿庠在網路上使用Pharoah或faro的ID，並負責監督Incognito Market的所有營運。從成立到今年3月結束，該平臺的毒品交易金額超過1億美元，估計林睿庠從中獲利數百萬美元。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162984"><strong>【5月20日】與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162953"><strong>【5月17日】研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162912"><strong>【5月16日】Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞</strong></a></p> </div></div></div>
2024/5/21 17:33作者周峻佑https://www.ithome.com.tw/news/163006
Android開始支援JetBrains多平臺技術Kotlin Multiplatform
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2024/05/android-support-for-kotlin-multiplatform-to-share-business-logic-across-mobile-web-server-desktop.html">宣布</a>在Android上支援Kotlin Multiplatform，使得同一程式碼可跨行動、網頁、伺服器和桌面平臺重複使用，官方提到，目前的重點在於支援共享業務邏輯。這將使得開發者僅需要編寫一次業務邏輯程式碼，便可在多個平臺上使用，進而降低多平臺應用的開發負擔。</p> <p>Kotlin Multiplatform是JetBrains在2023年底正式公開的多平臺開發工具。其能夠將Kotlin程式碼編譯為平臺原生二進位檔案，保留各平臺原生程式開發的優勢，同時實現高度程式碼重用。KMP主要由編譯器、語言功能、函式庫API、IDE和建置工具等部分組成，具高度靈活性，能夠支援不同程度的程式碼重用。</p> <p>開發者可以僅共享部分Kotlin重要邏輯程式碼，或是全部皆以Kotlin Multiplatform開發，以Kotlin實作資料處理和業務邏輯，並且在平臺應用程式使用原生使用者介面，或是搭配Compose Multiplatform宣告式使用者介面框架，同時跨平臺共享使用者介面和邏輯程式碼。</p> <p>不少受廣泛使用的函式庫也都開始支援Kotlin Multiplatform，簡化開發者的跨平臺開發體驗，而在iOS的支援上，透過像是SKIE（Swift Kotlin Interface Enhancer）等開源工具，使得Kotlin的型別和協程可以在iOS上運作，達到Swift與Kotlin順暢互通，而CocoaPods的整合支援，則提供了特定於iOS的相依項目。Annotations、Collections和DataStore函式庫也都在穩定版中，提供對Kotlin Multiplatform的支援。</p> <p>Android與JetBrains工程師合作開發Kotlin編譯器，提高Kotlin到原生平臺，諸如iOS和桌面作業系統的執行時效能，同時，Kotlin Native編譯器的建置時間也獲得大幅改善。</p> <p>由於在Google I/O之前，<a href="https://www.ithome.com.tw/news/162586">Google對Dart和Flutter團隊進行裁員</a>，因此當時社群出現Google正削弱對Dart和Flutter支援的聲音，Dart和Flutter的產品經理Michael Thomsen還特別<a href="https://x.com/MiSvTh/status/1785767966815985893">發文澄清</a>，Google對Dart和Flutter的策略沒有改變。</p> <p>雖然Google公開承諾會繼續支援Dart和Flutter，但是Android開始支援Kotlin Multiplatform，其功能不僅限於邏輯程式碼共享，搭配Compose Multiplatform也能夠在行動、網頁、伺服器和桌面平臺共享使用者介面，此外，Google自家產品Google Docs應用程式已率先採用Compose Multiplatform來共享業務邏輯，這些都加深了社群對Google在Dart和Flutter發展上的疑慮。</p> </div></div></div>
2024/5/21 08:29作者李建興https://www.ithome.com.tw/news/162982
Android裝置App的資料共享方式有資安破口，研究人員揭露能以此發動的攻擊手法Dirty Stream，影響範圍廣大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟揭露新型態的<a href="https://www.microsoft.com/en-us/security/blog/2024/05/01/dirty-stream-attack-discovering-and-mitigating-a-common-vulnerability-pattern-in-android-apps/">路徑穿越攻擊手法Dirty Stream</a>，攻擊者可藉由惡意安卓應用程式，覆蓋另一個應用程式的程式資料夾的內容，而有可能執行任意程式碼，或是竊取Token。該公司指出，這麼一來，攻擊者有可能完全操控應用程式的行為，或是存取用戶帳號及相關的敏感資料。</p> <p>研究人員找到這種攻擊手法的原因，主要是他們在Google Play市集找到多款存在弱點的應用程式，值得留意的是，這些應用程式迄今至少被安裝超過40億次，其中有4款下載次數超過5億。他們公布兩個存在弱點的應用程式名稱，包含了小米發行的檔案管理工具Mi File Manager，以及辦公室軟體WPS Office，分別被下載超過10億次、5億次，兩家軟體開發商接獲通報後皆已進行修補。不過，研究人員認為，實際上還有其他的應用程式，也可能存在相關弱點而可能曝露於Dirty Stream的風險，因此這項弱點影響範圍，恐怕還會擴大。</p> <p>針對Dirty Stream有關的弱點，可區分為兩個層面。其中一種是實作資料與檔案共享的機制當中，開發者並未強制應用程式必須驗證收到的檔案內容，其中最常見的情況，是直接使用伺服器應用程式提供的檔案名稱暫存收到的檔案，假如伺服器應用程式配置惡意的「檔案提供者（FileProvider）」類別，宣告應用程式共用的特定檔案路徑，就有可能導致目標程式被覆寫重要檔案，從而產生嚴重的後果。</p> <p>另一種則是與共用目標（Shared Targets）有關，這是有關應用程式掌握的資料及檔案，宣告能夠傳送給那些程式的配置。一般而言，最常見的傳送目標包含郵件用戶端程式、社群網路軟體、即時通訊軟體、檔案編輯器、瀏覽器等。攻擊者可在惡意軟體當中，建立特定的共用目標條件，甚至可在使用者不知情的情況下，將特定檔案傳送給指定的應用程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Dirty-stream-attack-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Dirty-stream-attack-20.png" style="width: 580px;" /></a></p> <p>研究人員透過Mi File Manager展示如何發動Dirty Stream攻擊，他們透過該應用程式清理裝置垃圾檔案的元件來觸發相關弱點，從而在該檔案管理軟體植入惡意配置檔案，一旦啟動了垃圾清理功能，他們就能載入對應的惡意程式庫，並透過瀏覽器的使用者ID執行程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-16_-Getting-remote-access.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-16_-Getting-remote-access.png" style="width: 580px;" /></a></p> <p>為何他們選擇利用這款應用程式來進行驗證？研究人員指出，由於該檔案管理軟體具備透過FTP及SMB通訊協定進行遠端檔案共用的功能，一旦觸發相關弱點，受到影響的不只是單臺行動裝置，甚至可能影響內部網路的共享存取。</p> </div></div></div>
2024/5/20 13:03作者周峻佑https://www.ithome.com.tw/news/162969
Google公布Home API，建構智慧家庭生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（16）日宣布<a href="https://developers.googleblog.com/en/home-apis-enabling-all-developers-to-build-for-the-home/" target="_blank">智慧家庭平臺Home API及Home runtime</a>，讓第三方App開發商得以存取Matter相容裝置，邀請開發商加入成為Google Home平臺的生態系。</p> <p>這是在Google及蘋果、Amazon等大廠<a href="https://www.ithome.com.tw/news/153467" target="_blank">加入支援智慧家庭標準Matter</a>後，Google的最新進展。透過三大巨頭的支持，所有支援Matter標準的App、服務與裝置將能彼此相容互通，讓消費者可以一個App管理多種連網裝置，例如智慧電燈、中央空調、影音設備或門鎖等，建構自動化運作環境。Google宣稱，透過開放Home平臺眾多API，開發商得以開發存取6億的相容裝置、Google的Matter網路基礎架構及Google自動化引擎的App，不論是Android或iOS版App。</p> <p>例如Device API及Structure API，讓開發商App得以存取相容Matter的裝置，控制和管理已連上Google Home平臺的裝置，像是Nest智慧溫控裝置或Matter智慧燈泡。新增的Commissioning API讓使用者可透過Home App、第三方App，或是Android的Fast Pair設定Matter裝置，而無需建立新的Matter網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Google-Home%20APIs-Device%20and%20Structure%20APIs.png" style="width: 600px;" /></p> <p>此外，為了讓眾多家庭連網裝置共同協作，Google之前也提供<a href="https://www.googlenestcommunity.com/t5/Blog/New-starters-and-actions-for-automations-now-available-in-Home-app/ba-p/471729" target="_blank">script編輯工具</a>，讓有進階能力的用戶以生成式AI助理撰寫script實現自動化，不過本周Google宣布了新的Automation API，可讓使用者以第三方App以Google Home平臺的自動化引擎及智慧訊號（signal）設定自動化。自動化可以由家中裝置訊號驅動，像是以動作感測器啟動占用（occupancy）事件（如自動顯示浴室有人使用中），從智慧電視驅動媒體事件，或家電驅動模式變更，也可利用Google定義的智慧訊號如在家（home）及離開（away），Google的訊號可以將多個裝置訊號混合，以適用更精準的自動化（如「離開」可驅動空調和燈泡關閉、監視攝影機開啟、門鎖自動上鎖等）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Google-Home%20APIs-Automations%20API.png" style="width: 600px;" /></p> <p>Google也宣布占據智慧家庭控制中樞的新計畫。中樞（hub）是一個能從遠端或在家中控制Wi-Fi及Thread網路的Matter裝置。今年稍晚，Google將升級其中樞（hub）裝置，推出Home runtime，讓支援Google TV串流平臺的裝置，如Chromecast with Google TV、具有Google TV的（Android 14以上）電視、LG智慧電視等，都能扮演Google Home的控制中樞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Google-Home%20Runtime.png" style="width: 600px;" /></p> <p>目前Google正在為Google Home整合這些API，該公司宣稱，早期測試顯示裝置控制速度加快3倍，而以Home API開發的App本地端控制速度也更快、更靈活。</p> <p>Google表示現在已和多家知名品牌業者合作，開發整合Home API及Google Home平臺的App，類型涵括照明、安全、汽車、能源和娛樂如LG、Volvo、ADT、GE等，當然也會整合Google Pixel手機。Home API目前開放限量測試，Google也邀請開發商填寫<a href="https://developers.home.google.com/io/2024?hl=zh-tw#upcoming-preview-programs" target="_blank">等候清單</a>，以加入Home API或Home runtime的測試，但表示會漸次擴大邀請，預計第一批Home API開發的App，會在今年秋天於Play Store及App Store上架。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/D7fEDizrqCs?si=xLruQp9fa0IhuhdC" title="YouTube video player" width="560px"></iframe></div> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/17 10:34作者林妍溱https://www.ithome.com.tw/news/162921
Android新增失竊偵測、防護功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google I/O 2024上，Google<a href="https://blog.google/products/android/android-theft-protection/" target="_blank">宣布新的Android失竊防護</a>（Android Theft Protection）功能，在手機失竊或被搶前、後及發生時都能發揮防護作用，防止手機被重設或竊取資料。</p> <p>新增的防護功能今年稍晚會透過Google Play服務，部署給Android 10以上的用戶，有些則只會提供給Android 15。</p> <p>最新的Android裝置失竊防護功能涵括失竊或被搶之前、剛發生及發生後等時期。為平時的Android裝置及資料加入防護功能，首先是回復出廠設定需輸入裝置或Google帳號密碼，防止手機被竊賊回復出廠設定後出售。其次是一項新功能，可在Android中建立私密空間以隱藏敏感App如網銀、電子錢包或醫療程式，並以另外的PIN鎖定，防止隱私或財務資料曝光。此外，一項進階驗證防護，旨在防止竊賊知道手機PIN後想變更PIN、存取Passkey或關閉原有的失竊防護，這功能一經啟動，會在偵測到手機位於陌生地方時，要求進行生物辨識（如指紋）驗證才能進行以上變更。</p> <p>在手機被搶時，新的失竊偵測鎖（Theft Detection Lock）可利用Google AI功能偵測有人從用戶手上搶走手機、試圖跑步或騎車、開車逃逸的動作。一旦根據感測器數據判斷為搶案，新功能會迅速鎖定手機。其次，若搶匪或小偷試圖關閉連線，或是多次驗證失敗，新的離線裝置鎖（Offline Device Lock）可自動鎖定手機螢幕。</p> <p>Android 5以上的裝置已有Find My Device，但現在起，關閉Find My Device或延後螢幕鎖定保護時間，都需要PIN、密碼或生物驗證（如指紋辨識），以增加歹徒破解難度。不過為防有用戶失去手機後忘記Google帳號密碼，而無法Find My Device遠端鎖定手機（或刪除資料），Google也為Find My Device加入遠端鎖（Remote Lock）新選項，允許以行動電話號碼及一道簡單的安全問題，從任何裝置鎖定螢幕。</p> <p>出廠重設防護更新、App私密空間會連同Android 15一起推出。而失竊偵測鎖、離線裝置鎖，以及遠端鎖則會在今年稍後，透過Google Play服務提供給Android 10以上的裝置。而根據地點判斷的進階驗證防護功能，則會在今年內部署給特定手機（至少包括最新款Pixel手機）。</p> </div></div></div>
2024/5/16 09:10作者林妍溱https://www.ithome.com.tw/news/162906
Google公布Firebase Genkit、多平臺開發環境Project IDX開放公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周三在Google I/O 2024上，除了公布最新Gemini AI模型外，Google也針對開發人員<a href="https://developers.googleblog.com/en/google-io-2024-recap-making-ai-accessible-and-helpful-for-every-developer/" target="_blank">提供了多項開發AI應用的新工具及服務</a>，包括多平臺開發環境Project IDX開放測試，以及開發框架Firebase Genkit等。</p> <p>Project IDX和Firebase Genkit皆為Google全堆疊多平臺開發工具的一部份。Project IDX首先於去年8月<a href="https://www.ithome.com.tw/news/158215" target="_blank">發表</a>，一開始Project IDX是以邀請制上線，僅提供少數用戶，現在則<a href="https://idx.google.com/?pli=1" target="_blank">以Beta版開放</a>更多開發人員使用，不再需要加入watch list。</p> <p>Project IDX是在Google Cloud上打造的Web開發服務，目的是開發人員打開瀏覽器就能開發程式，簡化開發、管理及部署完整堆疊的開發工作。Project IDX具備熱門框架及支援多種語言，內建和Chrome DevTools、Lighthouse與Cloud Run的整合，並有AI輔助開發與預覽、發布。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google-Project%20IDX-4.png" style="width: 421px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google-Project%20IDX-3.png" style="width: 600px;" /></p> <p>Google也為App雲端開發平臺Firebase加入開發AI App的新功能。其一為Genkit；Genkit是開源開發框架，可簡化AI助理的開發、部署和效能監控。Genkit以Vertex AI外掛形式提供，提供Firebase開發人員Gemini與Imagen 2模型，以及文字嵌入（text embeddings）等功能。現在Genkit支援Typescript/JavaScript，很快就會支援Go語言。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-Firebase%20Genkit-projecy%20IDX-google.png" style="width: 600px;" /></p> <p>Google也和Nvidia合作為Gemma模型最佳化產品效能，讓開發人員可在RTX GPU上以Genkit為工具，以開源模型Ollama或Google自己的Gemma為基礎模型開發App。</p> <p>Project IDX和Genkit之外，Google還宣布新版本開發語言工具Flutter 3.22及Dart 3.4，特色包括Flutter Impeller渲染引擎在Android效能提升30%、支援WebAssembly，以及可加速開發速度的實驗性語言功能Dart Macros等。</p> <p>對於Web開發專案，Google宣布將Gemini Nano整合到Chrome桌機版，以提供內建AI功能。這一方面是給一般用戶的新功能，但另一方面，對開發人員而言，可簡化Web程式部署，因為開發商不需下載或更新模型、解決儲存驅逐（storage eviction）、runtime記憶體不足等問題，也能利用硬體加速。</p> <p><a href="https://developers.googleblog.com/en/google-io-2024-recap-making-ai-accessible-and-helpful-for-every-developer/" target="_blank">其他開發工具的宣布</a>還包括裝置上基礎模型管理系統服務AlCore，目前已部署給Pixel 9 Pro及Samsung Galaxy S24系列，可方便在Android手機上執行Gemini Nano；Android Studio的AI程式撰寫助理Studio Bot推向200多國；以及Vertex AI的開源框架從原先LangChain，再擴增到LlamaIndex等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/16 06:00作者林妍溱https://www.ithome.com.tw/news/162890
ChatGPT也推出桌機版App了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨日公布最新多模AI模型<a href="https://www.ithome.com.tw/news/162852" target="_blank">GPT-4o</a>的同時，也宣布<a href="https://openai.com/index/gpt-4o-and-more-tools-to-chatgpt-free/" target="_blank">推出macOS版本應用程式</a>，之後也會推出Windows版本。</p> <p>免費版及付費版ChatGPT用戶都可下載ChatGPT macOS版，以便能和電腦端的作業無縫整合。只要按下鍵盤上的捷徑鍵（Option+空白鍵）即可叫出ChatGPT，用它直接螢幕擷圖和友人討論。Plus用戶今天就能使用macOS版本，幾個星期內會推到免費用戶。Windows版本也會在今年稍晚推出。此外，OpenAI也為ChatGPT改版，主頁、訊息排版等都換上新面貌，使其更友善，方便對話。</p> <p class="rtecenter"><a href="https://videos.ctfassets.net/kftzwdyauwt9/7n0KpQhRuMjXktVdkls59B/c8f9215d4ece3a37baf1303fd48e81f6/7_DesktopLauncher.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-chatgpt-macos-600.png" style="width: 600px;" /></a></p> <p>桌機版ChatGPT未來將以GPT-4o為基礎，支援圖像、聲音和文字及程式。用戶現在已經可使用語音模式（Voice）與之互動（免費版為GPT 3.5，付費版用戶則可選用GPT 4）。目前OpenAI正在部署GPT-4o，未來就能接受多種模態的資料輸入，像是為公司腦力激盪、準備採訪，或討論某個主題。按下桌機App右下角的耳機圖示即可啟動語音模式。</p> <p>免費版ChatGPT用戶也能享用到GPT-4o，獲得GPT-4等級的回應，分析資料、建立圖表、討論照片、上傳檔案，或在GPT Store上搜尋其他客製化服務。但OpenAI說，依用量及需求而定，免費版能傳送的訊息數量有上限，等超過限額，就會自動轉成GPT-3.5。</p> <p>ChatGPT iOS和Android版App已分別在去年5月和7月推出。</p> </div></div></div>
2024/5/15 09:00作者林妍溱https://www.ithome.com.tw/news/162866
Google與蘋果攜手建立藍牙追蹤規範，將針對不必要的追蹤提醒Android/iOS用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2024/05/google-and-apple-deliver-support-for.html" target="_blank">Google周一（5/13）宣布</a>，已與蘋果針對藍牙追蹤裝置共同建立「偵測不必要位置追蹤器」（Detecting Unwanted Location Trackers）的業界規範，讓不管是Android手機或是iPhone都可以在偵測到附近有奇怪的藍牙追蹤裝置時提醒使用者。</p> <p>在蘋果於2021年<a href="https://www.ithome.com.tw/news/143968" target="_blank">發表AirTag追蹤器</a>之後，便不時傳出有人利用此一原本用來追蹤物品的裝置來追蹤個人，Google更曾於Android上<a href="https://www.ithome.com.tw/news/157984" target="_blank">部署不明追蹤警告</a>，以讓Android用戶也能偵測身旁的不明AirTag。</p> <p>不過，Google與蘋果<a href="https://www.ithome.com.tw/news/156681" target="_blank">在去年5月宣布合作</a>，針對位置追蹤裝置的配件製造商訂定了最佳實踐與協議，以讓這些追蹤裝置能夠相容於不必要的追蹤偵測，並於行動平臺上發出警告，無論追蹤裝置是與哪個行動作業系統配對，目的是提高使用者的隱私與安全，以避免使用者在不知情的狀況下遭到追蹤。</p> <p>Google正將該規範部署於Android 6.0以上的裝置，而蘋果則於周一釋出的<a href="https://support.apple.com/en-us/118723" target="_blank"> iOS 17.5</a>加入了該功能。</p> <p>倘若Android或iPhone用戶在裝置上收到了「追蹤器正跟著你」（Tracker traveling with you）的警告，便代表有其它的AirTag、相容於Google Find My Device網路的追蹤器，或者是來自其它廠商的追蹤器正在追蹤使用者。除了遞送警告之外，使用者還可查看追蹤器的識別碼，讓追蹤器播放聲音，以及取得如何停用該追蹤器的說明。</p> <p>目前包括Chipolo、eufy、Jio、Motorola與Pebblebee等追蹤器製造商，都已承諾要於未來的產品支援該規範。</p> <p>至於Google及蘋果則將繼續透過Detecting Unwanted Location Trackers工作小組，來與網際網路工程任務小組（Internet Engineering Task Force，IETF）合作，以推動官方技術標準的建立。</p> </div></div></div>
2024/5/14 13:52作者陳曉莉https://www.ithome.com.tw/news/162860
【資安週報】2024年5月6日到5月10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的漏洞消息，以Google接獲匿名研究人員通報，緊急修補Chrome已遭利用零時差漏洞CVE-2024-4671最受關注，該漏洞可讓遠端攻擊者透過特製的HTML頁面來規避沙箱偵測。</p> <p>其他重要漏洞修補動向，包括特權管理系統Delinea Secret Server的漏洞修補，F5針對BIG-IP Next集中控管系統的漏洞修補，以及Google發布5月Android例行更新。</p> <p>此外，還有兩項涉及VPN與CPU的漏洞與攻擊手法揭露，包括：可迫使用戶流量離開VPN通道保護的漏洞攻擊手法TunnelVision，以及CPU推測執行漏洞攻擊新手法Pathfinder。</p> <p>在資安事件焦點方面，國際間有多起攻擊事件揭露，當中不少是涉及政府與醫療單位，格外引發關注。我們整理如下：<br /> ●最近波蘭政府機關遭惡意軟體攻擊，荷蘭國家研究院近日指出，比對過往的資安事故，是受到俄羅斯駭客APT28攻擊。<br /> ●德國政府、捷克外交部5月初相繼發布公告，指出去年有駭客利用Outlook漏洞對他們兩國企業組織下手，其攻擊者是俄羅斯駭客APT28所為。<br /> ●美國非營利醫療保健系統之一Ascension遭網路攻擊，將部分系統關閉因應。<br /> ●多明尼加傳出資料外洩，82萬人COVID-19疫苗接種資訊被兜售於駭客論壇。</p> <p>此外，這幾年來臺灣民眾經常遭受詐騙簡訊，國際間同樣也持續傳出遭遇這類問題。例如，近日荷蘭政府示警，有當地民眾接獲詐騙簡訊，假冒金融業者名義向銀行用戶聲稱帳號異常或債務繳款，再向回應的民眾騙稱這是詐騙，需下載防毒App，以在安卓手機植入惡意程式，進而洗劫用戶網路銀行帳戶。</p> <p>在威脅態勢上，我們認為，針對API的濫用行為最需要重視，這星期有兩起事件與API濫用相關。</p> <p>（一）Dell資安事件疑外洩近5千萬用戶資訊，後續傳出攻擊者是藉由Dell提供的合作夥伴入口網站，濫用Dell網站API，加上Dell 系統未設定流量限制，進而得以蒐集網站回傳的用戶資料。</p> <p>（二）有資安業者指出越來越多駭客在攻擊行動中，不只濫用微軟合法服務如OneDrive來架設C2伺服器，也利用微軟圖學資料分析服務Graph的API來進行惡意通訊。</p> <p>還有上述提及Delinea的漏洞修補，涉及的是PAM產品Secret Server的SOAP API漏洞。</p> <p>至於防禦態勢上，5月有不少國際級資安會展，除了美國RSA大會在5月6日到9日舉行，在國內，也有臺灣資安大會將於5月14日到16日於南港展覽館二館登場。</p> <p>還有一個DNS層面的資安技術趨勢，是微軟最近宣布推出零信任DNS（ZTDNS）技術私人預覽版，目標是讓Windows電腦只能連結受信任的網域。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162725"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月6日】德國與捷克證實去年遭遇俄羅斯駭客APT28利用特定Outlook漏洞攻擊事故</span></strong></a></h3> <p>微軟於去年3月修補Outlook權限提升漏洞CVE-2023-23397，年底波蘭證實公家機關及企業組織遭遇漏洞攻擊，而攻擊者的身分，就是惡名昭彰的俄羅斯駭客APT28，但該組織的相關攻擊行動，如今也傳出有其他國家受害。</p> <p>上週末捷克與德國證實，他們在去年微軟尚未修補漏洞之前，就有企業組織與政府機關遭遇相關攻擊，雖然他們沒有直接公布漏洞名稱，但根據國外媒體的報導，對方利用的漏洞就是CVE-2023-23397。</p> <p><a href="https://www.ithome.com.tw/news/162751"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月7日】執法單位預告將揭露勒索軟體駭客組織LockBit首腦身分</span></strong></a></p> <p>11個國家的執法單位於2月20日宣布破獲勒索軟體駭客LockBit的基礎設施，但與其他駭客組織的攻堅行動有所不同，執法單位後續表明他們掌握其首腦LockBitSupps身分，意有所指對方很可能住在遭到制裁的俄羅斯，事隔2個多月，此事又有新的進展。</p> <p>這些執法單位預告，將於指定的時間公布LockBitSupps身分，並在4天內關閉LockBit的網站，後續情況如何，有待進一步的觀察。</p> <h3><a href="https://www.ithome.com.tw/news/162773"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月8日】多明尼加COVID-19疫苗接種資訊外流，影響82萬人</span></strong></a></h3> <p>醫療產業個資保護不力的情況，可說是不時有事故傳出，但過往這類事故造成的危害，大多是曝光個人的疾病及心理狀態，而帶來嚴重後果，鮮少會波及大量民眾。</p> <p>但最近一起資料外洩事故，有可能曝露整個國家的醫療能量。有人聲稱掌握82萬多明尼加民眾接種COVID-19疫苗的情況，資安業者Resecurity指出，攻擊者很有可能藉此得知該國醫療環境狀態，而將相關資訊彙整，用於發動後續攻擊。</p> <p><a href="https://www.ithome.com.tw/news/162785"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月9日】BIG-IP Next集中控管系統的高風險漏洞有可能被用於建立隱藏帳號</span></strong></a></p> <p>最近2年以來，可集中管理大量系統的平臺成為攻擊者偏好下手的目標，原因是這類平臺可控制的系統數量更多，一旦成功入侵，駭客可能因此獲得大量初期入侵與持續活動的據點。其中一個去年被駭客大肆針對的品牌F5，他們推出了下一代平臺BIG-IP Next，企圖提升安全性。</p> <p>然而，這個新平臺的核心元件BIG-IP Next Central Manager，近期被發現評為高風險層級的漏洞，揭露此事的研究人員指出，IT人員若不儘速處理，駭客能設置透過管理主控臺所無法檢視的「隱形」帳號，用來進行攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/162815"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月10日】CYBERSEC 2024臺灣資安大會下周舉行，逾300場專業資安演講與超大規模資安品牌展覽即將登場</span></strong></a></p> <p>在美國舊金山舉行的2024 RSA Conference於5月6日到9日才剛剛落幕，臺灣也有一場國際級的資安盛會即將登場，那就是－－CYBERSEC 2024臺灣資安大會。</p> <p>值得注意的是，今年臺灣資安大會邁入第十個年頭，本屆的會展規模更為盛大，將有30個資安主題論壇、超過300場專業資安演講，以及超過400家國內外資安品牌的國際級資安展覽，並且是首度南港展覽館二館全館使用。<br /> </p> </div></div></div>
2024/5/13 09:53作者羅正漢https://www.ithome.com.tw/news/162826
【資安日報】5月10日，CYBERSEC 2024臺灣資安大會下周舉行，逾300場專業資安演講與超大規模資安品牌展覽即…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國舊金山舉行的2024 RSA Conference於5月6日到9日才剛剛落幕，臺灣也有一場國際級的資安盛會即將登場，那就是－－CYBERSEC 2024臺灣資安大會。</p> <p>值得注意的是，今年臺灣資安大會邁入第十個年頭，本屆的會展規模更為盛大，將有30個資安主題論壇、超過300場專業資安演講，以及超過400家國內外資安品牌的國際級資安展覽，並且是首度南港展覽館二館全館使用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162800"><strong style="font-size: 22px;">Dell資安事件疑外洩近5千萬用戶資訊</strong></a></p> <p>電腦大廠Dell近月發生一樁網路安全事件，可能導致4,900萬個人或企業用戶資訊外洩。部份Reddit或X用戶本周分別反映接到Dell以電子郵件通知。Dell入口網站有關的資料庫發生一樁「事件」，導致其中和Dell採購相關的特定客戶資料外洩。Dell已經啟動調查，基於資料種類，該公司相信對客戶沒有重大風險。Dell也未說明事件起因是網路攻擊、作業不慎或其他原因。</p> <p>遭外洩的資訊包括姓名、住家地址、以及Dell硬體及訂單資訊，包括服務標籤、商品描述、訂單日期和相關的保固資訊。</p> <p><a href="https://www.ithome.com.tw/news/162817"><strong style="font-size: 22px;">雲端LLM服務用戶當心！帳密若失竊，存取權恐被轉賣給網路犯罪份子</strong></a></p> <p>大型語言模型（LLM）爆紅，全球都關注採用這類人工智慧技術或服務的應用系統發展，而在資安風險的層面上，絕大多數關注的層面是圍繞著提示的濫用，以及訓練資料的竄改，以雲端原生防護產品著稱的資安新創公司<a href="https://sysdig.com/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack/">Sysdig，本週揭露新的攻擊手法，</a>他們觀察到有些惡意活動利用盜取的雲端服務身分憑證，而且是鎖定前10大雲端LLM服務，並將這種行為稱為LLM綁架（LLMjacking），在上述情境之下，攻擊者會將LLM存取權賣給其他網路犯罪份子，同時，這些雲端服務帳號持有者可能還在持續支付使用LLM應用的帳單，形同幫歹徒的AI使用而埋單。</p> <p>用戶的雲端服務身分憑證之所以被偷走，Sysdig僅簡略表示是來自一個擁有許多用戶的系統，由於當中執行具有CVE-2021-3129漏洞的PHP框架Laravel，而導致這些資料外流。</p> <p><a href="https://www.ithome.com.tw/news/162802"><strong style="font-size: 22px;">Ivanti漏洞遭Mirai殭屍網路濫用，目的是傳輸惡意酬載</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160823">今年1月揭露的Ivanti資安產品漏洞CVE-2023-46805、CVE-2024-21887</a>，這幾個月以來，<a href="https://www.ithome.com.tw/tags/cve-2023-46805">陸續引發許多風波</a>，本週（5月7日）資安與網路設備廠商Juniper Networks旗下的<a href="https://blogs.juniper.net/en-us/security/protecting-your-network-from-opportunistic-ivanti-pulse-secure-vulnerability-exploitation?web_view=true">Juniper Threat Labs發布監測報告</a>，揭露他們發現Mirai殭屍網路試圖利用這批漏洞，執行遠端程式碼執行，目的是廣泛散播惡意程式。</p> <p>攻擊者主要濫用Ivanti產品的兩個漏洞，其中，針對CVE-2023-46805的部分，主要是運用略過身分認證與路徑穿越這兩個弱點，使得他們得以存取敏感資源；另一個漏洞是CVE-2024-21887，攻擊者可運用注入任何命令的弱點，而能夠執行指令碼，進而部署多種惡意軟體，研究人員也在其他受監測的執行個體，發現攻擊者透過以curl、Python寫成的反向shell技術來濫用CVE-2024-21887，而得以控制那些存在弱點的系統，最近他們更發現經由shell指令碼傳遞Mirai酬載的狀況。</p> <p><a href="https://www.ithome.com.tw/news/162814"><strong style="font-size: 22px;">研究人員揭露CPU推測執行漏洞攻擊新手法Pathfinder，能用來洩露加密金鑰與資料</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/acm%20Read%20doublet%20194%20of%20the%20PHR.png" style="width: 240px; float: right;" /></p> <p>關於CPU資安漏洞的研究，持續成為電腦科學界的熱門議題，在4月底、5月初，由國際計算機協會（ACM）舉行的年度程式語言與作業系統架構支援大會（ASPLOS），<a href="https://dl.acm.org/doi/10.1145/3620666.3651382">有一篇由多位學者共同發表的論文探討攻擊CPU的新手法，稱為Pathfinder</a>，作者來自加州大學聖地牙哥分校、普渡大學、喬治亞理工學院、北卡羅來納州大學教堂山分校、Google。</p> <p>與2018年引發各界熱烈關注的<a href="https://www.ithome.com.tw/tags/spectre">CPU重大漏洞Spectre</a>相同的是，Pathfinder所要突顯的問題，同樣與CPU的分支預測機制有關，也是屬於推測執行類型的漏洞。因為學者透過這篇論文所要探討的對象，主要是CPU的動態分支預測器（Conditional Branch Predictor）的歷程暫存器（Path History Register，PHR），以及預測歷程資料表（Prediction History Tables，PHTs），有心人士可在這些地方進行內容的洩漏與修改。</p> <p><a href="https://www.ithome.com.tw/news/162820"><strong style="font-size: 22px;">以阿長年處於敵對狀態，資安業者揭露伊朗透過輿論影響行動持續在以色列社會製造動盪</strong></a></p> <p>隨著近年資安領域已從網路安全延伸至認知安全的混合戰！最近不少資安業者特別關注這項議題，例如，<a href="https://www.recordedfuture.com/iran-aligned-emerald-divide-influence-campaign-evolves-to-exploit-israel-hamas-conflict">Recorded Future旗下情報研究部門Insikt Group最近一份研究報告</a>，揭露一項伊朗政府針對以色列發起的輿論影響行動（information operations）。</p> <p>Insikt Group指出，這項輿論影響行動是由伊朗政府支持的駭客組織Emerald Divide（又名Storm-1364）所為，他們發現，該組織從2021年持續發起這樣的網路攻擊行動，不僅利用AI與社群媒體在以色列社會中挑起分岐，同時還涉及嚴重的網路安全威脅，例如，收集個人身分資訊與公開以色列官員的私人訊息，並且會持續利用以色列社會上有爭議的問題，來影響以色列的民眾。</p> <p>根據Insikt Group的分析，他們觀察到三個行動階段，首先是三年前的第一階段，將以色列的極端正統派和LGBTQ+社群對立起來，接著是將焦點轉移到左派和右派之間的政治辯論，而目前進行的第三階段，是利用近期以色列與哈馬斯之間的戰爭，藉機擴大意識形態分歧，以及削弱對以色列政府信任的方式，來操弄以色列社會。</p> <p>附帶一提的是，臺灣資安界如今也開始對這方面的議題抱持高度重視，強調我們需要提出資安即國安3.0戰略來因應。</p> <p> </p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.hackread.com/intelbroker-hacker-cybersecurity-firm-breach/"><strong style="font-size: 20px;">資安業者Zscaler傳出遭駭，將其測試環境下線</strong></a></p> <p>◆<a href="https://www.microsoft.com/en-us/security/blog/2024/05/01/dirty-stream-attack-discovering-and-mitigating-a-common-vulnerability-pattern-in-android-apps/"><strong style="font-size: 20px;">研究人員揭露可針對小米檔案管理工具、WPS Office等安卓應用程式的攻擊手法Dirty Stream</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cybersec.ithome.com.tw/2024/"><strong style="font-size: 22px;">臺灣資安大會將於5月14到16日連三天舉行，今年邁入第十屆，規模更盛大</strong></a></p> <p>邁入第十屆的CYBERSEC 2024臺灣資安大會，將於5月14日到16日在南港展覽館二館舉辦，今年展會再度擴大規模舉辦，以「Generative Future」為主題，揭開AI資安新時代。目前完整議程內容已經公布，共有超過300場專業資安演講、近30個資安主題論壇，並增設增設全英文專屬議程「CYBERSEC Global」，以及「CYBERSEC Arena資安競技場」、「資安十年歷史牆」等新活動。</p> <p>其他重要焦點還包括：「臺灣資安館」、「Cyber Talent資安人才專區」，以及規模比往年更盛大的資安品牌展區。還沒線上報名的企業、民眾，可於會展期間<a href="https://signupcybersec.ithome.com.tw/signup/2024?_ga=2.93405405.1381623794.1715231806-1846274683.1660576891&_gac=1.56304985.1714715546.CjwKCAjw88yxBhBWEiwA7cm6pYFsL2k-FaOjHCTo1DOLmUHffZ_TbbKCCkuGCJbtEQsm58XDU0ggPhoCPd4QAvD_BwE">現場報名</a>參與這項亞洲最大的年度資安盛事。</p> <p><a href="https://general.chcg.gov.tw/files/12_20240507165605062_%E8%A1%8C%E6%94%BF%E9%99%A2%E5%85%AC%E5%85%B1%E5%B7%A5%E7%A8%8B%E5%A7%94%E5%93%A1%E6%9C%83113%E5%B9%B45%E6%9C%881%E6%97%A5%E5%B7%A5%E7%A8%8B%E4%BC%81%E5%AD%97%E7%AC%AC1130007769%E8%99%9F%E5%87%BD%E9%99%84%E4%BB%B6%E6%94%BF%E5%BA%9C%E8%B3%87%E8%A8%8A%E6%9C%8D%E5%8B%99%E6%8E%A1%E8%B3%BC%E7%B6%93%E8%B2%BB%E4%BC%B0%E7%AE%97%E7%B7%A8%E5%88%97%E6%89%8B%E5%86%8A.pdf"><strong style="font-size: 22px;">工程會偕數位部5月公布資服採購經費估算編列手冊</strong></a></p> <p>行政院公共工程委員會和數位發展部共同研訂的「政府資訊服務採購經費估算編列手冊」已於5月1日正式公布，對於未來個別機關資訊、資安的委外採購事項，都可以參照經費估算編列手冊的內容「照表操課」進行編列，對於促進資訊、資安產業的發展也有正向助益。</p> <p>此一經費估算編列手冊經過產業界多次討論、意見彙整後產出，行政院公共重委員會副主委葉哲良表示，這份預算編列手冊是屬於操作型手冊，採取正面表列的方式，可以大幅度減輕負責政府資訊、資安委外的公務人員壓力。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162785"><strong>【5月9日】BIG-IP Next集中控管系統的高風險漏洞有可能被用於建立隱藏帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162773"><strong>【5月8日】多明尼加COVID-19疫苗接種資訊外流，影響82萬人</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162751"><strong>【5月7日】執法單位預告將揭露勒索軟體駭客組織LockBit首腦身分</strong></a></p> </div></div></div>
2024/5/10 16:23作者羅正漢https://www.ithome.com.tw/news/162815
【資安日報】5月9日，BIG-IP Next集中控管系統的高風險漏洞有可能被用於建立隱藏帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2年以來，可集中管理大量系統的平臺成為攻擊者偏好下手的目標，原因是這類平臺可控制的系統數量更多，一旦成功入侵，駭客可能因此獲得大量初期入侵與持續活動的據點。其中一個去年被駭客大肆針對的品牌F5，他們推出了下一代平臺BIG-IP Next，企圖提升安全性。</p> <p>然而，這個新平臺的核心元件BIG-IP Next Central Manager，近期被發現評為高風險層級的漏洞，揭露此事的研究人員指出，IT人員若不儘速處理，駭客能設置透過管理主控臺所無法檢視的「隱形」帳號，用來進行攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162779"><strong style="font-size: 22px;">繼德國、捷克控訴俄羅斯駭客APT28攻擊，波蘭也證實政府機關受害</strong></a></p> <p>上週末德國聯邦政府（Bundesregierung）、捷克外交部（MFA）發布公告，指控受到俄羅斯軍情單位GRU指使的駭客組織APT28（也被稱做Forest Blizzard、Strontium）攻擊，對方利用Outlook漏洞攻擊國內的企業組織，引發歐盟、北約組織（NATO）、美國聯手譴責，最近又有國家傳出受害。</p> <p>根據路透社的報導，5月8日波蘭國家研究院（National Research Institute，NASK）表示，該國政府機關近日遭到惡意軟體攻擊，根據入侵指標並比對過往的資安事故，NASK認為攻擊者就是APT28。對此，他們呼籲企業組織的網路管理員應進行確認，員工是否遭遇相關攻擊。</p> <p><a href="https://www.ithome.com.tw/news/162782"><strong style="font-size: 22px;">惡意程式載入工具HijackLoader透過動態解析迴避端點防護系統偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig_6_hijackloader.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig_6_hijackloader.png" style="width: 300px; float: right;" /></a>資安業者Zscaler指出，他們在去年7月公布惡意軟體載入工具HijackLoader（也稱做IDAT Loader），經過持續改進，強化迴避偵測的能力，現在這個工具能夠更長期運作而不被發現。</p> <p>這些新功能包括：將惡意程式及相關武器加入Microsoft Defender的白名單、繞過使用者帳號控制（UAC）措施、採用處理程序挖空（Process Hollowing）手法，此外，對方亦針對端點防護系統（編按：這裡應指EDR系統）經常鎖定的內部API掛鉤進行迴避。</p> <p>針對迴避防毒軟體偵測的方式，研究人員指出，他們看到開發者運用名為Heaven's Gate的攻擊手法（在64位元電腦執行32位元處理程序，目的是隱匿API呼叫），並加入動態API解析、檢查處理程序黑名單、使用者模式掛鉤迴避能力。</p> <p><a href="https://www.ithome.com.tw/news/162780"><strong style="font-size: 22px;">採用WordPress快取外掛LiteSpeed Cache的網站注意！濫用2月底揭漏的漏洞的攻擊行動升溫</strong></a></p> <p>2月底資安業者Patchstack公布WordPress網站快取外掛程式LiteSpeed Cache漏洞，編號為CVE-2023-40000，此為跨網站指令碼（XSS）漏洞，CVSS風險評分達到8.3至8.8，網站加速產品供應商LiteSpeed Technologies發布5.7.0.1版予以修補，然而近期卻傳出鎖定尚未修補的WordPress網站的攻擊行動。</p> <p>提供WordPress網站資安掃描工具的WPScan提出警告，他們呼籲使用LiteSpeed Cache的網站管理員應儘速進行檢查，是否出現名為wpsupp-user的管理員帳號，原因是他們發現4月份鎖定該漏洞的攻擊行動出現顯著增加的情況。</p> <p>他們根據網頁應用程式防火牆（WAF）的事件記錄，這波攻擊分別在4月2日、27日出現高峰，其中掃描存在漏洞的來源IP位址次數最多的是94.102.51[.]144，總共有1,232,810次請求，其次是31.43.191[.]220，有70,472次請求。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://about.ascension.org/news/2024/05/network-interruption-update"><strong style="font-size: 20px;">醫療保健系統Ascension遭遇網路攻擊，將部分系統關閉因應</strong></a></p> <p></p> <p>◆<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/790816/000119312524133132/d824906d8k.htm"><strong style="font-size: 20px;">房地產公司Brandywine Realty Trust傳出遭遇勒索軟體攻擊，部分業務應用系統運作受到影響</strong></a></p> <p></p> <p>◆<a href="https://www.usg.edu/news/release/notice_of_data_breach"><strong style="font-size: 20px;">針對去年發生的MOVEit零時差攻擊事故，喬治亞大學系統證實80萬人資料流出</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162774"><strong style="font-size: 22px;">BIG-IP Next集中控管系統存在高風險漏洞，攻擊者有可能取得管理控制權、建立隱藏帳號暗中行動</strong></a></p> <p>5月8日F5針對旗下的管理主控臺元件BIG-IP Next Central Manager發布20.2.0版，當中修補2項高風險漏洞CVE-2024-21793、CVE-2024-26026，這些漏洞存在於20.0.1至20.1.0版，CVSS風險評分皆為7.5，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，藉由該系統的API執行惡意SQL敘述句（Statements），來觸發上述漏洞。</p> <p>通報漏洞的資安業者Eclypsium指出，攻擊者只要遠端利用上述其中任何1個漏洞，就可以存取BIG-IP Next Central Manager管理主控臺的圖形操作介面，從而得到完整的管理權限。</p> <p>值得留意的是，若是對方再透過其他手段，在BIG-IP Next Central Manager管理的BIG-IP Next系統建立新帳號，這些帳號將無法從Next Central Manager檢視，換言之，攻擊者可利用這種帳號暗中從事攻擊行動，且難以被察覺。</p> <p><a href="https://www.ithome.com.tw/news/162777"><strong style="font-size: 22px;">研究人員揭露NetScaler設備高風險漏洞，問題類似去年爆發的Citrix Bleed漏洞</strong></a></p> <p>資安業者Bishop Fox透露，他們在今年1月下旬發現Citrix NetScaler ADC及NetScaler Gateway記憶體越界讀取漏洞，並指出該漏洞存在於該系統進行身份驗證、授權、稽核（AAA），以及遠端存取的元件，影響13.1-50.23版NetScaler ADC及NetScaler Gateway，對此，Citrix向研究人員回覆，他們後續推出的13.1-51.15版已不受影響。</p> <p>值得留意的是，他們也提及該漏洞與去年造成重大災情的Citrix Bleed（CVE-2023-4966）幾乎一樣，因為新漏洞出現在閘道或AAA虛擬伺服器處理HTTP伺服器請求，與Citrix Bleed形成的原因完全一樣，差別是新漏洞危害較輕，不會直接洩露高度敏感的資訊。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://dl.acm.org/doi/10.1145/3620666.3651382"><strong style="font-size: 20px;">新的Spectre推測執行攻擊手法Pathfinder鎖定Intel處理器，能洩露加密金鑰</strong></a></p> <p></p> <p>◆<a href="https://source.android.com/docs/security/bulletin/2024-05-01"><strong style="font-size: 20px;">Google發布5月份安卓例行更新，修補重大漏洞</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162656"><strong style="font-size: 22px;">微軟、Google公布推動Passkey的成果</strong></a></p> <p>5月2日是今年的世界密碼日（World Password Day），微軟與Google都在當天發表各自推動通行密鑰（Passkey）上的成果。其中，微軟宣布開始支援微軟個人帳號的通行密鑰，而Google則說，迄今已有4億個Google帳號執行逾10億次的通行密鑰身分驗證。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162773"><strong>【5月8日】多明尼加COVID-19疫苗接種資訊外流，影響82萬人</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162751"><strong>【5月7日】執法單位預告將揭露勒索軟體駭客組織LockBit首腦身分</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162725"><strong>【5月6日】德國與捷克證實去年遭遇俄羅斯駭客APT28利用特定Outlook漏洞攻擊事故</strong></a></p> </div></div></div>
2024/5/9 17:52作者周峻佑https://www.ithome.com.tw/news/162785
【資安月報】2024年4月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年4月的資安月報中，物聯網安全的發展態勢成一大焦點，國際間有兩則重要新聞，一是英國產品安全暨電信基礎設施法（PSTI Act）正式生效，一是FIDO聯盟揭露IoT身分識別FDO標準即將有首批認證產品出爐。</p> <p>特別的是，我們注意到，這兩個涉及IoT安全不同層面的新聞，其實在某種程度上有一重要共通點：要讓「預設密碼」安全問題真正消失！因此，2024年將會是一個重要的轉捩點。</p> <p>長期以來，大家應該已經注意到，絕大多數IoT裝置都存在預設密碼、通用密碼的情況，像是admin、1234、0000等，更糟糕的是，許多使用者都不會更改這些預設密碼。</p> <p>由於這些預設密碼，大多在產品說明書或網路上都查得到，甚至過往這類產品還有萬用工程密碼、帳密寫死的情形，這都給了網路犯罪者相當大的可乘之機。</p> <p>記得今年初，我們看到美國CISA新公布Secure by Design系列警報，當時有一則就是──敦促製造商拒用預設密碼，避免相關的濫用威脅。</p> <p>CISA明確指出，依據多年來的經驗，期待顧客在購買產品後去變更預設密碼，是不切實際的一件事，多數顧客並不會這麼作。因此，只有在產品設計製造階段，就要設法消除預設密碼存在這件事。</p> <p>然而，儘管多年來資安界提倡Secure by Design，這三四年來，IoT設備通過資安標準認證的態勢亦相當顯著，但大家更關注的是，全球各國IoT資安立法的進度，因為這會是更強的一股力道，來規範產品安全。</p> <h2><strong>英國PSTI法案生效，強制規範消費性IoT安全，違反最高罰1000萬英鎊或營業額4%</strong></h2> <p>為何我們前面說2024會是一大轉捩點？</p> <p>這是因為，在2020年提出的歐盟《網路韌性法》（Cyber Resilience Act），以及英國《產品安全暨電信基礎設施法》（PSTI Act），都將在2024年正式發布。</p> <p>尤其英國PSTI法案，已經率先在今年4月29日生效。這不僅標示著，在英國當地銷售的物聯網產品，都必需遵循這項法令。更重要的是，英國成為全球第一個強制消費性IoT裝置必需達到最低資安標準的國家，尤其是禁止使用通用預設密碼、弱密碼，別具意義。</p> <p>儘管在此之前，美國兩州已有相關立法，包括加州法案SB 327與奧勒岡州法案HB 2395，均在2020年生效，但以國家層級而言，英國顯然是更積極。</p> <p>而且，在英國帶頭之後，還有歐盟網路韌性法也即將正式通過，由於涉及了大半歐洲市場，因此同樣受矚目。目前最新消息是，歐盟網路韌性法已在立法程序最後階段，預計最近兩個月生效。</p> <p>大家可以想見的是，這些法案不只影響物聯網設備安全，更影響了各國物聯網資安立法，同時也影響著臺灣許多物聯網相關產業。</p> <p>以這次英國PSTI法案來看，有哪些重點值得關注？我們簡單列舉如下：</p> <p>首先，這項法案由英國產品安全與標準辦公室（OPSS）負責執行，其規範對象，針對了所有可連網的消費性智慧裝置，包括：智慧型手機／平板、連網攝影機、路由器，以及各式智慧家居產品（如智慧門鈴、嬰兒監視器、智慧家電），還有智慧穿戴設備等。</p> <p>其次，這項法案所設定最低的安全標準，主要聚焦3大重點，分別是：</p> <p>●每個產品的密碼必須是唯一的，或由產品使用者更改密碼設定。這意味著禁止通用密碼，並對密碼強度有相關要求，或是用戶在首次使用時，必須重新設置一組新的密碼。</p> <p>●產品製造商必須提供通報產品安全性問題的聯絡資訊</p> <p>●產品製造商必需以明確且透明的方式，將產品生命週期的資訊公布給消費者。</p> <p>更重要的是，若是違反PSTI法案，情節嚴重者最高可被罰款1000萬英鎊，或全球營業額4％作為罰款。</p> <h3><strong>解決預設密碼問題成定局，</strong>國<strong>際間還有更多IoT安全規範正在發展</strong></h3> <p>除了上述新聞事件，近一年來國際間其實還有諸多發展。</p> <p>例如，在美國方面，聯邦通訊委員會（FCC）去年下半宣布針對智慧裝置祭出<a href="https://www.ithome.com.tw/news/157860">US Cyber Trust Mark安全標章</a>；在亞洲方面，<a href="https://www.asiatoday.co.kr/view.php?key=20231214010008923">南韓今年初宣布與新加坡簽署物聯網安全認證體系MOU</a>。</p> <p>對於臺灣而言，雖然我國在2018年就由經濟部與NCC啟動了物聯網資安標章制度，並成為公部門優先採購的安全產品，但如何有進一步發展，是我們持續關注的焦點。</p> <p>至於即將正式發布的歐盟網路韌性法，4月4日也有新消息。最新發布的一份文件「<a href="https://www.enisa.europa.eu/publications/cyber-resilience-act-requirements-standards-mapping">Cyber Resilience Act Requirements Standards Mapping</a>」，聚焦將網路韌性法附件所列出的每一項基本要求，與現有的資安標準一一對應。這不僅可以評估現有標準的涵蓋範圍，還能評估哪些標準需要更新或修訂，以涵蓋CRA的所有要求，更重要的是，可以幫助製造商遵循網路韌性法，以及識別其產品需要符合哪些標準。</p> <h2><strong>無密碼身分識別持續受重視，</strong><strong>FDO認證產品今年出爐</strong></h2> <p>另一重要消息是，FIDO聯盟近年推動的IoT設備身分識別標準，如今即將有首波FDO（FIDO Device Onboard）認證產品問世。</p> <p>這項消息，FIDO聯盟於4月在臺舉辦FDO Taipei Workshop活動上首度宣布，我們在活動現場亦得知，不僅Intel、Red Hat、Dell、英飛凌（Infineon）等科技大廠看重FDO的發展，也有越南業者VinCSS積極打造相關應用，臺灣亦有工業電腦廠東擎科技積極參與，並有望成為首批通過FDO認證產品的業者。</p> <p>回顧過去幾年，FIDO聯盟在無密碼身分識別方式的推動上，先是提出了UAF、U2F與FIDO2標準，促進了線上服務登入可免記密碼，到了最近幾年，他們顯然是將焦點朝向IoT領域，推出FDO標準，期望透過建立一個新的IoT開放標準，讓物聯網裝置註冊可以更安全又有效率。</p> <p>這項FDO開放標準有何特性？簡單來說，可應用在物聯網設備啟用時的身分驗證，幫助降低人為導致的資安風險，例如在製造、零售、醫療等場域，可望擺脫傳統IoT布署過程存在人工作業、預設密碼的狀況。</p> <p>綜合來看，我們可以發現，解決IoT設備端的預設密碼安全問題，確實在2024年有重要進展。</p> <p>無論如何，大家可以想見的是，居家與產業環境中連接的物聯網設備是日益增長，讓攻擊者有可乘之機的狀況也會越多，因此，IoT安全性的變革至關重要。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/162149"><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月1日到4月3日</span></a></strong></h2> <p>在這一星期IT界與資安界最重大的新聞，就是有開發人員意外發現了XZ/liblzma被植入後門的事件，紅帽也公布了XZ相關漏洞CVE-2024–3094，本期有多篇新聞與此事件有關。</p> <p>所幸的是，這次能夠及早揪出了這個潛藏的後門，目前只有部分Liunx版本受影響，影響層面還不是太廣，然而，這起針對開源軟體的供應鏈攻擊事件，正持續受到調查與探討。</p> <p>不只是意外發現的過程，後門植入的手法，更讓各界吃驚的是，涉及此事件提交的GitHub帳號，竟是從2021、2022年就開設帳號並逐漸取得原始XZ維護者的信任，這樣的潛伏歷程備受矚目，也再次引發各界對於開源軟體安全議題的探討。</p> <p>還有兩個Linux漏洞的揭露值得關注，一是名為Flipping Pages、涉及netfilter元件的漏洞，一是名為WallEscape、涉及util-linux 套件的漏洞。這兩個漏洞的修補，分別在今年1月底與3月底釋出，近期研究人員各自揭露漏洞細節與並利用場景，同時呼籲尚未因應的用戶盡速更新。</p> <p>在其他漏洞利用消息方面，使用AI框架Ray的企業組織需特別留意，去年11月底Anyscale揭露5個漏洞，唯有CVE-2023-48022漏洞沒有修補，甚至認定這並非漏洞，但如今有資安業者揭露已濫用該漏洞的攻擊活動ShadowRay。</p> <p>Google Pixel手機用戶也要當心，在Android的4月安全更新公告中，有兩個Pixel的資訊洩漏漏洞已有跡象受到針對性利用，分別CVE-2024-29745、CVE-2024-29748，本期資安日報尚未提及，在此補上。</p> <p>在最近的資安事件中，還有2則新聞我們認為值得重視，分別發生在美國網路安全暨基礎設施安全局（CISA），以及非營利組織OWASP基金會。我們整理如下：<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>美國CISA亦受到年初Ivanti系統漏洞影響，駭客針對美國聯邦高風險化學關鍵設施，入侵CISA提供的化學品資安評估工具（CSAT），並成功部署了Web Shell，且另一關鍵基礎設施資安資訊工具CISA Gateway也受影響。<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>以公布十大網站資安風險而廣為知名的OWASP基金會，最近發布資料外洩通知，說明2006至2014年的成員簡歷檔案可能外洩，原因出在一臺舊的維基（Wiki）網頁伺服器，當中存在組態配置不當的問題。</p> <p>此外，國內發生一起7所高中校務系統遭駭的事件，根據教育部公布的初步調查，我們認為，當中有兩個議題值得留意與警惕。一是關於駭客勒索的對象，並非這些學校，而是打造校務行政系統的亞昕資訊，另一是通用帳號密碼的問題，調查中發現駭客先入侵1所學校的系統，獲得登入該校務系統的帳密，但駭客利用同一組帳號密碼，也能成功登入其他6所學校的系統。另亞昕有其他說法，說明此事件影響單機版校務行政系統，並指出駭客是針對受害客戶的主機入侵。有待後續調查釐清。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/162288"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月8日到4月12日</span></strong></a></h2> <p>在這一星期的漏洞消息方面，包含微軟、SAP、Adobe、西門子、施耐德電機等每月例行安全更新修補釋出，Rust開發團隊修補CVSS滿分10分的重大漏洞，以及LG修補智慧電視多個漏洞，而且，傳出5個漏洞已遭利用的消息。</p> <p>（一）微軟修補了兩個已經遭利用的零時差漏洞，分別是涉及SmartScreen繞過的漏洞CVE-2024-29988，以及關於Proxy Driver欺騙的漏洞CVE-2024-26234。<br /> （二）臺廠D-Link停止維護的多款NAS機型被發現多個新漏洞，其中2個已遭利用，除了本周資安日報提及的漏洞CVE-2024-3273，還有<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3272">CVE-2024-3272</a>也已經遭到利用。D-Link呼籲用戶應儘速淘汰這些設備。<br /> （三）另一個本周資安日報尚未提及的漏洞，是Palo Alto Networks週五揭露旗下防火牆產品的零時差漏洞<a href="https://www.ithome.com.tw/news/162282">CVE-2024-3400</a>，並計畫於14日釋出修補，然而，發現漏洞被利用於攻擊活動的情形最早在3月下旬。</p> <p>還有兩項漏洞的揭露也值得留意，一是影響多個專案的新型態HTTP/2漏洞遭揭露，已登記9個CVE編號，另一是有研究人員發現網頁伺服器元件Lighttpd漏洞曾在2018年被默默修補，不只影響AMI MegaRAC的BMC韌體，進而影響Intel、聯想伺服器廠商。</p> <p>在資安事件焦點方面，國內上市櫃接連遭遇資安事件的狀況備受矚目，等於短短一週內，就有5家公司發布資安重訊，涵蓋生技、旅遊、塑化、食品與光電等不同產業，我們整理如下：</p> <p>●4月7日，上櫃生技醫療業佰研說明旗下電商「無毒的家」會員資料外洩事件。<br /> ●4月8日，上櫃觀光餐旅業富野說明旗下分公司資訊系統遭受網路攻擊。<br /> ●4月9日，上市塑膠工業聯成說明發生網路資安事件。<br /> ●4月9日，上市食品工業聯華說明發生網路資安事件。<br /> ●4月11日，上市光電業聯合再生公告有部分系統遭受駭客攻擊，導致工廠停工。</p> <p>值得注意的是，聯華實業、聯成化科均屬於聯華神通集團（MiTAC-Synnex Group），而我們在今年2月也曾注意到該集團的通路大廠聯強有疑似遭駭的消息在流傳，是否有更多災情尚不得而知；富野是近兩個月第二度遭遇事件，該公司表示上次事件後已規畫資安強化作為，但需要更多時間建置，因此未能阻擋這次攻擊。關於聯合再生的後續狀況，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=105433&SPOKE_DATE=20240412&COMPANY_ID=3576">我們在此補充，該公司隔日已對此事件發布重訊</a>更新近況，表示在確認工廠產線設備未受影響後，已於11日當日下午復工生產。</p> <p>綜觀這些事件的公告，我們認為，由於主管機關證交所對於資安事故揭露要求越來越嚴格，因此不只是資料外洩開始出現在上市櫃公司的重訊，企業對於事件後續狀況的揭露，也比過往要積極，雖然短期內會讓大家產生資安問題似乎發生得比過去密集的印象，然而，隨著企業資安威脅態勢越來越透明，這些攤在陽光底下的亂象才是真正反映現況，有助於大家正視問題！</p> <p>在關注臺灣資安事件之餘，國際間也有一些重大事件，包括：日本光學設備製造商Hoya傳出遭勒索軟體駭客組織Hunters International攻擊，遭索討1,000萬美元贖金，越南石油公司PV Oil遭到勒索軟體攻擊，以及智利資料中心IxMetro Powerhost遭遇勒索軟體SEXi攻擊。</p> <p>此外，全球還有多個資安威脅的最新態勢，我們特別注意到在金融業、媒體政要領域，各有一項需要慎防的威脅。</p> <p>●對於金融業而言，國際信用卡組織Visa發布資安通報，說明最近一波的惡意軟體JsOutProx攻擊，並呼籲發卡銀行、處理機構及相關單位需嚴加防範；<br /> ●對於手持iPhone的記者、官員或政治人物而言，蘋果最近發現部分用戶遭到傭兵間諜軟體（Mercenary Spyware）鎖定，已通知可能遭鎖定的92國用戶，並建議依照步驟來提升裝置防護層級。</p> <p>在其他惡意活動的揭露方面，我們認為可留意下列消息，例如，語音網釣威脅又一例，LastPass示警，說明該公司員工收到一連串的電話、簡訊、語音郵件，並指出對方透過WhatsApp冒充公司執行長傳送Deepfake的語音訊息；過去曾攻擊Canon、全錄、LG的勒索軟體組織Maze，最近有資安業者揭露其成員可能東山再起，以名為Red CryptoApp的勒索軟體駭客組織重新出發，再度危害企業。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/162434"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月15日到4月19日</span></strong></a></h2> <p>在這一週的漏洞消息中，有Oracle發布今年第2季例行更新要注意，還有一個受到更多IT界關注的漏洞修補，是老牌終端機及傳檔工具Putty的開發團隊發布vuln-p521-bias漏洞通告，指出攻擊者可透過CVE-2024-31497漏洞，獲取NIST P521曲線演算法的ECDSA私鑰，因此，用戶除了更新軟體，也要立即撤銷並替換新的私鑰。所幸的是，這次漏洞僅有使用521位元的ECDSA私鑰的用戶受影響。</p> <p>在漏洞利用方面，有一則已知漏洞新傳出遭利用的消息，3月時中繼資料管理工具OpenMetadata維護團隊修補了5個漏洞，近期有研究人員發現，有攻擊者利用這些漏洞攻擊企業K8s環境，並部署挖礦軟體。</p> <p>另一值得留意的是，上期周報提及Palo Alto Networks修補已遭利用的零時差漏洞CVE-2024-3400，後續有研究人員指出，全球有8.2萬臺曝險，臺灣也有1,344臺這類設備，它們都是處於暴露於網際網路且尚未修補此漏洞的狀態。</p> <p>在資安威脅焦點方面，近期有3類型的攻擊活動，我們認為值得多加留意，包括鎖定VPN與SSH的攻擊，鎖定路由器的攻擊，以及網釣威脅與活動。<br /> ●多個廠牌的VPN系統或SSH服務正被攻擊者鎖定，發起大規模暴力破解攻擊，思科表示不只是自家產品，還有Check Point、Fortinet、SonicWall、Miktrotik、居易、Ubiquiti的設備遭鎖定，並發現針對遠端桌面的網頁存取服務攻擊的情況。<br /> ●過去幾週有不少殭屍網路鎖定路由器攻擊的狀況，最近又有新的活動被揭露，有資安研究人員發現Moobot、Miori、Condi、 AGoent、Gafgyt與Mirai變種這6種殭屍網路病毒，都在利用TP-Link去年修補的路由器漏洞發動入侵。<br /> ●近期一家美國電信服務商員工帳密遭網釣、內部系統遭存取的事件引發思科示警，因為該電信商負責Duo用戶的MFA簡訊通知及VoIP訊息，因此思科提醒用戶，留意遭竊資訊可能被攻擊者用於社交工程攻擊。<br /> ●去年一起鎖定美國大型汽車製造商的攻擊行動被資安業者揭露，當中指出攻擊者一開始發送的網釣郵件，是假冒免費IP位址掃描工具軟體Advanced IP Scanner為誘餌，顯然，IT人員持續成為駭客發動網釣的目標，必需抱持更大警覺。</p> <p>關於前幾個星期發生的兩起重大事件，最近有後續消息傳出<i>。</i>首先，對於日前XZ/liblzma後門事件，攻擊者竟潛伏為合法維護者的狀況，近日OpenJS基金會示警，表示收到一系列電子郵件，其內容是要求為熱門JavaScript專案指定新的維護者，因此他們與OpenSSF共同提醒開源維護者，需慎防這樣的社交工程攻擊手法；另一是上週蘋果罕見對全球92國iPhone用戶提出警告，如今有研究人員透露進一步細節，指出攻擊者使用的間諜軟體是LightSpy。</p> <p>在其他資安威脅態勢上，全球近來發生不少重大網路攻擊事件，都與政府或關鍵基礎設施有關，我們整理如下：<br /> ●臺灣外交部的機密資料傳出在暗網被兜售，外交部指出這些資料的來源可疑，涉及境外變造、偽造等不法行為，以及操弄認知作戰的意圖，將持續調查。<br /> ●在南海局勢升溫之際，有資安業者揭露近期中國駭客針對菲律賓的假訊息與駭客攻擊活動增加3倍。<br /> ●聯合國開發計畫署近期表示，哥本哈根聯合國城的IT基礎設施上月底遭網路攻擊，部分人力與採購資料遭竊。<br /> ●俄羅斯駭客組織Sandworm近期動作頻頻，不只鎖定烏克蘭關鍵基礎設施，也鎖定美國、波蘭的供水設施，以及法國的水力發電系統發動攻擊。<br /> ●針對俄羅斯持續發動網路攻擊，烏克蘭方面近期傳出反擊，該國駭客組織Blackjack宣稱，已入侵俄國工業感應器及監控基礎設施製造商Moscollector。</p> <p>還有3起勒索軟體攻擊事件也成新聞焦點。包括：總部位於荷蘭的晶片製造商Nexperia遭遇勒索軟體攻擊，旅館集團Omni傳出遭勒索軟體駭客組織Daixin攻擊，以及本期日報尚未提及的另一事件，那就是臺灣電子零組件大廠群光電子傳出遭Hunters international勒索軟體攻擊，在週末期間揭露，雖然影響似乎不大，因為群光回應媒體表示，事件未達重訊發布標準。</p> <p>但因消息曝光在週末，且涉及臺灣上市公司，加上駭客聲稱取得1.2TB、414萬個檔案，因此受到國人關切。在事件曝光後，群光電子也依據重大訊息發布規定，當媒體報導公司發生資安事件可能影響投資人之投資決策，需發布重大訊息，因此<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=115459&SPOKE_DATE=20240421&COMPANY_ID=2385">群光電子也在週日中午針對媒體報導發生網路資安事件一事發布重訊</a>，內容指出他們確時遭受網路攻擊，已啟動防禦與復原作業，並重申這次事件未達資安重訊發布標準，以及未有個資、機密文件檔案資料外洩。至於駭客組織聲稱竊取的檔案為何，有待更多後續消息揭露才能進一步得知。</p> <p style="margin: 0px;">此外，在前一星期的資安日報中，我們已經報導屬於聯華神通集團（MiTAC-Synnex Group）的兩家上市公司聯華實業、聯成化科，同時發布資安事件重訊說明發生網路資安事件，而且後續我們還注意到，傳出已有駭客組織宣稱竊取聯成480 GB的資料，不過我們尚未看到該公司有進一步說明。這起事件的影響性可能比群光的事件還大，不過其他國內媒體有報導此事的並不多，大多是將焦點集中在群光。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/162567"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年4月22日到4月26日</span></strong></a></h2> <p>這一星期3則漏洞利用消息，有兩起涉及零時差漏洞利用，當中最受關注的是，思科修補了旗下ASA及FTD防火牆的2個零時差漏洞CVE-2024-20353、CVE-2024-20359，原因在於，思科Talos同時公布了調查狀況，指出年初經客戶通報安全性問題，調查後發現當時已有攻擊活動，並是國家級駭客UAT4356（亦稱Storm-1849）所為。</p> <p>另一事件發生在檔案伺服器軟體CrushFTP，該團隊宣布修補已遭利用的零時差漏洞CVE-2024-4040，有研究人員指出駭客很可能是鎖定政治目標收集情報。</p> <p>還有一個已知漏洞利用情形，是微軟詳細揭露了俄羅斯駭客組織APT28近年的攻擊手法，當中利用了Windows Print Spooler服務漏洞CVE-2022-38028。因此，近日美國CISA將之列入已知利用漏洞清單。</p> <p>其他漏洞消息方面，有一則影響全球10億用戶的消息，是市面上常見的中國拼音輸入法被發現存在諸多漏洞。為了幫助這些用戶不受攻擊者監控輸入內容，加拿大公民實驗室已向8家輸入法供應商通報大批漏洞，多家廠商已針對最嚴重的漏洞進行修補，但Vivo、小米卻並未針對通報回覆。</p> <p>在資安威脅態勢方面，有4則新聞我們認為值得重視，這些攻擊趨勢研究的面向，涵蓋SAP用戶、網頁伺服器被鎖定、CDN快取遭濫用、以及AI的趨勢，我們整理如下：</p> <p>●SAP用戶注意，有兩家資安業者警告，鎖定SAP旗下應用系統的勒索軟體攻擊行動在2023年大增，不僅攻擊活動比兩年前暴增4倍，SAP的RCE漏洞在黑市的價格也水漲船高，顯示駭客正對此有高度興趣。<br /> ●鎖定網頁伺服器已知漏洞並部署Web Shell的攻擊行動被揭露，目的是植入勒索軟體Adhublika，而全球受害數量最多的國家除了美國與印度，臺灣居於第三。<br /> ●駭客組織CoralRaider攻擊行動被揭露，研究人員指出對方使用CDN快取伺服器存放惡意程式，這將導致網路防禦系統可能無法對其進行偵測而放行。<br /> ●最新一項大學研究報告指出，LLM Agents將能自動利用具CVE編號、已被揭露的One-day漏洞，實測10個LLM的結果顯示，GPT-4成功完成這項工作，再次顯現AI帶來的風險與挑戰。</p> <p>此外，本期周報也新補上一則AI監管的最新動向，是<a href="https://fpf.org/blog/setting-the-stage-connecticut-senate-bill-2-lays-the-groundwork-for-responsible-ai-in-the-states/">美國康乃狄克州議會在24日通過了SB 2</a>，若是之後順利發布，SB 2將成為美國第一部監管民營企業開發與部署人工智慧的法案，成為與歐盟AI法案相當的立法。</p> <p>還有2則值得警惕的攻擊態勢，是關於駭客正鎖定資安管理不善的國防產業，以及鎖定網路邊際裝置來入侵。</p> <p>●韓國國防承包商傳出遭北韓駭客組織攻擊，導致相關機密資料被竊取，韓國警方提出警告，並指出多個北韓駭客組織利用了這些公司資安管理不善的情況進行滲透。<br /> ●Google Cloud發布M-Trends報告，除了談及過去一年攻擊者如何利用AiTM入侵多重驗證保護措施，網路釣魚技術在現代化安全控管機制下的演變，並指出中國駭客逐漸以缺乏EDR系統防護的網路邊際裝置與平臺為目標。</p> <p>至於其他最新惡意活動的揭露，本星期的焦點還包括：安卓金融木馬SoumniBot、惡意軟體SSLoad、竊資軟體RedLine等，以及駭客組織BlackTech利用新的後門程式Deuterbear的揭露。</p> <p>在資安事件方面，本星期發生多種類型攻擊事件，涵蓋零時差漏洞攻擊、軟體供應鏈攻擊、關鍵CI攻擊與資料外洩。這4則新聞如下：<br /> ●年初Ivanti零時差漏洞有新的受害組織，資安研究機構MITRE近日公布他們用於研究、開發、原型設計的協作網路環境NERVE遭入侵。<br /> ●防毒軟體eScan的更新機制竟成派送惡意程式GuptiMiner幫兇，研究人員指出是北韓駭客Kimsuky發動的軟體供應鏈攻擊，透過複雜的中間人攻擊手法，針對大型企業網路環境來部署後門程式。<br /> ●美國德州小鎮2起供水系統遭攻擊的事件，導致供水系統出現溢流現象，已手動控制因應，研判俄羅斯駭客組織Sandworm（APT44）所為。<br /> ●長榮航空在25日夜間發布資安事件，說明察覺不明人士取得旅客帳號資料並透過惡意IP位址登入網站，發現300多名旅客資料被存取。此外，先前<a href="https://www.ithome.com.tw/news/162568">群光遭駭事件這周末又有後續消息，我們在此補上，該公司指出駭客組織新揭露的SpaceX資料非機密資料</a>。</p> <p>特別的是，還有一起案外案，是北韓雲端伺服器組態不當造成資料外洩，當中資料顯示，疑似美國多家影音平臺動畫製作外包給中國公司，中國公司又外包給北韓動畫公司，導致違反美國政府禁令的狀況曝光。</p> <p>在防禦態勢上，這一星期有2項新進展，首先，我國數位發展部正式公布國家資通安全研究院（資安院）接手TWCERT/CC，這項消息其實我們在1月初採訪TWCERT/CC得知並揭露，2月也有對此的專訪報導，最近4月24日，<a href="https://moda.gov.tw/press/background-information/12418">數位發展部部長唐鳳與資安院院長何全德不僅正式宣布此事，同時還揭露5大推動策略</a>。</p> <p>其次，推動IoT開放標準協定FDO的FIDO聯盟，近日在臺舉辦FDO WorkShop活動，該單位認證計畫主管透露，首批通過FDO標準認證的名單將於近1到2月內公布，有4家廠商進度最快，臺灣工業電腦廠東擎科技也包括在內。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3> </h3> <h2><strong>無密碼身分識別持續受重視，</strong><strong>FDO認證產品今年出爐</strong></h2> <div> </div> </div></div></div>
2024/5/7 11:27作者羅正漢https://www.ithome.com.tw/news/162730
芬蘭有銀行用戶遭安卓惡意軟體攻擊，寄送詐騙警示簡訊，後續假借金融業者名義要求用戶下載冒牌防毒軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月3日芬蘭運輸和通訊局（Transport and Communications Agency，Traficom）提出警告，<a href="https://www.kyberturvallisuuskeskus.fi/fi/ajankohtaista/kyberturvallisuuskeskuksen-viikkokatsaus-182024">指出近期出現鎖定安卓用戶的惡意軟體攻擊行動</a>，目的是竊取網路銀行帳戶當中的存款。</p> <p>他們得知有人以某些公司的名義發送簡訊，內容是關於帳號異常或是債務追討，並要求用戶撥打指定的電話號碼，進一步確認詳細情況。</p> <p>若是使用者照做，歹徒便回覆這是詐騙，使用者應採取進一步的防護措施因應。在通話過程當中，對方就會寄送另一則簡訊，聲稱提供McAfee防毒軟體安裝程式，若是用戶點選連結，下載APK檔案並執行安裝，手機就會被植入惡意程式，駭客可藉此存取手機應用程式及訊息，並從網路銀行洗劫受害者的帳戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pankki_haittis_infografiikka_web.jpg" style="width: 580px;" /></a></p> <p>而對於這起事故造成的損失，當地警方指出，在其中一起攻擊當中，<a href="https://poliisi.fi/-/poliisi-on-tunnistanut-jalleen-uudenlaisen-huijaustyypin-asianomistajalta-vietiin-95-000-euroa">受害者損失9.5萬歐元（約新臺幣33萬元）</a>。</p> <p>當地金融集團OP Financial Group也提出警告，<a href="https://www.op.fi/fi/-/juuri-nyt-yritysten-nimissa-lahetetaan-kalasteluviesteja-ala-soita-niissa-annettuihin-numeroihin?icmp=yl-atiili-2">並指出歹徒佯稱是銀行或是政府當局發送詐騙簡訊</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/260424_1.jpg" style="width: 449px;" /></p> <p>雖然上述的政府機關及金融機構並未透露惡意程式的細節，但根據歹徒向芬蘭民眾聲稱提供McAfee防毒軟體這項特徵，<a href="https://www.bleepingcomputer.com/news/security/finland-warns-of-android-malware-attacks-breaching-bank-accounts/">資安新聞網站Bleeping Computer認為</a>，很有可能是資安業者Fox-IT日前揭露的<a href="https://www.ithome.com.tw/news/162113#vultur">金融木馬Vultur</a>。</p> </div></div></div>
2024/5/6 15:23作者周峻佑https://www.ithome.com.tw/news/162705
【資安週報】2024年4月29日到5月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的漏洞消息中，GitLab在1月初修補的已知漏洞CVE-2023-7028最要留意，因為近期確定了攻擊者正開始鎖定利用的情況。</p> <p>還有WordPress Automatic Plugin在兩個月前修補CVSS風險評分9.9分的漏洞CVE-2024-27956，由於近期發現攻擊者正試圖積極利用這項漏洞接管網站，也引發研究人員示警。</p> <p>關於其他重要漏洞修補，包括：HPE Aruba Networking的4月資安公告中修補了4個重大漏洞，Brocade修補SAN管理軟體多個漏洞，以及程式語言R開發團隊修補高風險漏洞CVE-2024-27322。</p> <p>在資安事件方面，這一星期有多起資安事故成為焦點，不只Dropbox向美國證交所（SEC）通報重大資安事故受關注，還有加拿大、瑞典藥局與物流業者遭勒索攻擊，導致服務或供應中斷的事件。<br /> ●Dropbox揭露旗下Dropbox Sign數位簽章方案（原為HelloSign）遭駭，有部分用戶的金鑰及MFA驗證資訊遭存取，曾接收簽章文件的電子郵件信箱恐也外洩。<br /> ●加拿大連鎖藥局London Drugs遭遇網路攻擊，導致門市被迫暫停營業。當地<a href="https://www.youtube.com/watch?v=lrZ-6yBOMmc">80多家門市受影響</a>，並在<a href="https://www.cbc.ca/news/canada/british-columbia/drugstore-cyberattack-canada-1.7194503">關閉6天後正逐步開放重新營業</a>。<br /> ●瑞典物流業者Skanlog傳出遭遇勒索軟體攻擊，由於該物流與當地國營酒類專賣局Systembolaget合作，因此衝擊到當地酒品的供應，預估影響15%銷售額。<br /> ●福斯汽車傳出資料外洩，駭客疑似竊得逾1.9萬份涉及智慧財產權的機密資料。</p> <p>在威脅態勢上，我們認為有2項消息需要特別重視，當中涉及了關鍵CI的攻擊態勢，以及網釣威脅的現況。我們整理如下：</p> <p>（一）前幾個月美國各地不時傳出水力設施等關鍵CI遭攻擊的情況，最近美、加、英等7國網路安全機構聯手發布這方面的警告，當中說明駭客使用3種技術手法以遠端存取HMI，並對底層OT進行更改，例如：透過VNC通訊協定，濫用VNC的RFB遠端框架緩衝協定登入，以及利用5900埠的VNC。另也呼籲這些關鍵CI組織，應限制OT系統曝光於網際網路，並對所有存取OT網路的途徑實施MFA。</p> <p>（二）近期有資安業者揭露，近半年來假冒美國郵局的詐騙簡訊不斷，他們進而盤查仿冒美國郵件的網站，有68萬個網站帶有USPS字樣，顯然是為了混淆用戶而來，他們並從用戶的DNS查詢量發現，竟有49%都被導向釣魚網站，這突顯了網域名稱搶註、網釣攻擊仍泛濫的現象。</p> <p>另一值得注意的是，思科一個多月前指出，發現7個廠牌的設備或服務遭大規模暴力破解攻擊，如今Okta也表示，發現針對客戶的帳號填充（Credential Stuffing）攻擊在4月底呈現大幅增加的情況，並且都是濫用基於合法裝置而成的代理伺服器來發起攻擊。</p> <p>至於其他最新惡意活動的揭露，本星期的焦點還包括：殭屍網路Goldoon持續鎖定老舊無線路由器，惡意程式Cuttlefish鎖定小型路由器並具備零點擊攻擊能力，以及攻擊者濫用Docker Hub映像檔儲存庫出現新手法。</p> <p>在資安防護方面，國際間有一個重要新聞，英國產品安全暨電信基礎設施法PSTI Act於4月29日正式施行，當中明訂消費性IoT產品在出廠時，不得採用弱密碼或常見預設密碼，此舉也使英國成為全球首個強制在全國境內推動這項要求的國家。</p> <p>國內也有兩則消息，分別是：GiCS尋找資安女婕思的資安競賽活動今年第四度舉辦，以及金管會宣布對於設置資安長的要求將擴及電支機構，預計街口支付、一卡通、全支付、悠遊卡這4大業者將在首波範圍之內。</p> <p>至於技術層面，誘餌檔案的應用也越來越常見於資安防護，最近也有儲存系統廠商宣布，針對勒索軟體保護功能新增誘餌檔案（Decoy files）方式，以偵測攻擊者的非法存取行為。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162579"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</span></strong></a></h3> <p>去年互動式BI系統Qlik Sense修補多個已知漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365，事隔2個月傳出駭客組織鎖定尚未修補的伺服器下手，對其植入勒索軟體Cactus加密檔案。事隔5個月，這波攻擊的態勢並未趨緩，但仍有不少伺服器仍未套用更新軟體而曝險。</p> <p>資安業者Fox-IT指出，截至今年4月17日，曝露於網際網路上的Qlik Sense伺服器超過6成存在前述漏洞，且已有超過100臺伺服器遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/162601"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</span></strong></a></p> <p>鎖定手機的金融木馬攻擊不時傳出，最近研究人員揭露名為Brokewell的惡意程式，並指出該惡意程式能繞過Android 13的防護機制，進而透過側載的方式執行其他作案工具。</p> <p>值得留意的是，Brokewell並非首款能繞過上述防護機制的安卓惡意軟體，但研究人員認為，攻擊者未來應該會透過租賃服務提供其他網路犯罪份子利用，使得該惡意軟體危害範圍進一步擴大。</p> <h3><a href="https://www.ithome.com.tw/news/162649"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</span></strong></a></h3> <p>在針對Kubernetes環境的攻擊行動當中，駭客最常用來傳送惡意程式的方式，就是藉由映像檔儲存庫Docker Hub，透過拉取惡意Docker映像檔來進行，但如今有另一批人馬透過完全不同的角度來濫用此映像檔儲存庫。</p> <p>資安業者JFrog揭露最新一波攻擊行動，並指出其共通點，就是駭客建立的儲存庫都沒有Docker映像檔。</p> <p><a href="https://www.ithome.com.tw/news/162669"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月3日】殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊</span></strong></a></p> <p style="margin: 0px;">一般而言，殭屍網路攻擊行動，往往針對多種類型的設備而來，或是對於多個漏洞發動攻擊，但最近資安業者Fortinet揭露的攻擊行動，駭客竟只針對單一型號的路由器，以及完成修補的已知漏洞下手。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">這起攻擊行動的特殊之處，在於對方專門對於家用路由器DIR-645而來，且利用已知漏洞CVE-2015-2051發動攻擊，而這個漏洞早在9年前就被修補，由此可見，仍有不少該型號設備尚未套用新版韌體而曝險。</p> </div></div></div>
2024/5/6 09:32作者羅正漢https://www.ithome.com.tw/news/162696
Google將在明年6月關閉Google Fit、REST開發者API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2024/05/evolving-health-on-android-migrating-from-google-fit-apis-to-android-health.html" target="_blank">Google宣布</a>將於明年6月底關閉Google Fit開發者API，由Android Health取代，呼籲開發人員儘速啟動移轉。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-Google%20Fit%20Android%20API-Health%20Connect%20API.png" style="width: 426px;" /></p> <p>2022年起Google逐漸擴大對Android Health平臺的投資，作為其健康應用及硬體生態糸的單一統合基礎，目的在減少平臺零碎化，並簡化開發流程。Google預計將把Fit開發服務整合到Android Health平臺上，Google說這可為開發人員及使用者提供跨平臺無縫環境。為此Google Fit API包括REST API將在2025年6月30日關閉，讓開發人員有更多時間將開發工作轉移到Android Health。</p> <p>於此同時，從即日起，Google Fit API不再接受新註冊。該公司也建議開發人員及早行動，確保用戶使用的平順移轉。</p> <p>Google表示，Android Health API比起Fit API有多項優點。第一是在開發行走步數、距離和卡路里記錄功能，Android Health包含手機版紀錄（Recording）API，不需用戶Google帳號或存取API scope（範圍），也比原有的Android SensorManager（ASM）更省電。它可隨行走步數功能啟用，之後也將支援距離及卡路里計算。第二，手機版紀錄API讓開發人員最長可存取10天的資料。第三，開發出的App若整合Google Health Connect，即可存取Android生態體系的眾多App。此外，用戶資料是儲存在裝置上，用戶具有完整控制權。</p> <p>為讓開發人員移轉更平順，<a href="https://developer.android.com/health-and-fitness/guides/health-connect/migrate/migration-guide" target="_blank">Google也提供搬移指引</a>，協助其從Google Fit API搬移到Android Health產品，主要是Health Connect上。</p> <p>但對於也將在明年6月底關閉的Fit REST API，Google解釋，由於Android Health API將轉向裝置端模型，因此Fit REST API沒有取代方案。Google鼓勵開發人員轉移到Android Health API。</p> <p><a href="https://www.ithome.com.tw/news/154209" target="_blank">Health Connect為Google和三星共同開發</a>，旨在讓不同App的健康與健身資訊可以跨Android裝置互通。</p> <p>這家Android平臺大廠強調，Health Connect是其未來方向，除了Fitbit支援外，其他硬體夥伴如Withings、Signos、Oura、Peloton和Lifesum也都開發支援Android Health體系的產品。該公司鼓勵更多開發人員使用新的API家族，使Android平臺的連網健康及健身App更多元發展。雖然Google沒有強調，<a href="https://developer.samsung.com/health/blog/en/health/blog/accessing-samsung-health-data-through-health-connect" target="_blank">但三星穿戴裝置仍然經由Health Connect蒐集並匯整資料</a>。</p> <p><a href="https://9to5google.com/2024/05/04/google-fit-api-shutdown/" target="_blank">《9to5Google》</a>點出，Google並未說明Android、Wear OS及iOS平臺上開發的Fit App之後的命運。事實上，Google很早就沒有再更新Google Fit，最近一次要回溯到2022年，當時也只是將Fit App加入Health Connect支援。Fit沒有升級到最新的Material You設計語言，在Pixel Watch上，則是以Fitbit為主要App。由此可知，Google Fit雖然歷經Android Fit多次改名，仍然未逃過終止的命運，成為另一個走進歷史的產品。</p> </div></div></div>
2024/5/6 09:36作者林妍溱https://www.ithome.com.tw/news/162697
【資安日報】5月3日，殭屍網路Goldoon鎖定D-Link家用路由器DIR-645老舊漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般而言，殭屍網路攻擊行動，往往針對多種類型的設備而來，或是對於多個漏洞發動攻擊，但最近資安業者Fortinet揭露的攻擊行動，駭客竟只針對單一型號的路由器，以及完成修補的已知漏洞下手。</p> <p>這起攻擊行動的特殊之處，在於對方專門對於家用路由器DIR-645而來，且利用已知漏洞CVE-2015-2051發動攻擊，而這個漏洞早在9年前就被修補，由此可見，仍有不少該型號設備尚未套用新版韌體而曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162660"><strong style="font-size: 22px;">D-Link家用路由器DIR-645老舊漏洞遭殭屍網路Goldoon鎖定，遭綁架的設備被用來發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-goldoon-telemetry.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Fortinet於上個月發現殭屍網路Goldoon攻擊行動，對方鎖定存在已知漏洞CVE-2015-2051的無線路由器DIR-645，並指出這些設備一旦因為具有這些漏洞而遭到入侵，攻擊者可得到完整的控制權，並取得系統資訊，與C2伺服器建立通訊，然後發動DDoS攻擊。研究人員指出，根據他們的遙測資料，此殭屍網路的活動頻率於4月顯著增加，為之前的2倍。</p> <p>究竟攻擊者入侵路由器的過程與手法細節，研究人員並未特別說明，但指出一旦對方成功存取這些設備，就會從特定IP位址惡意程式下載工具（Dropper）指令碼，執行後會自動根據目標裝置的系統架構，下載對應的Goldoon程式，而該檔案執行後，就會下載名為i686-linux-gnu的檔案，並將自己刪除，以防留下證據。針對i686-linux-gnu的功能，就是下載殭屍網路病毒檔案。</p> <p><a href="https://www.ithome.com.tw/news/162654"><strong style="font-size: 22px;">雲端檔案共享服務Dropbox證實電子簽章服務遭駭，對方竊得身分驗證機密資料</strong></a></p> <p></p> <p>5月2日雲端硬碟業者Dropbox通報主管機關美國證券交易委員會（SEC），旗下數位簽章服務Dropbox Sign（原名HelloSign）遭駭，部分用戶的金鑰及雙因素驗證（MFA）資訊遭到駭客存取，接收過其簽章文件用戶的電子郵件信箱恐遭外洩。但他們並未透露受影響人數，以及事故發生的原因。</p> <p>該公司於4月24日得知Dropbox Sign的營運環境發生未經授權的存取活動，資安事件回應部門隨即著手處理，並終止相關存取。經調查該服務的相關資訊遭到對方存取，所有用戶都受到影響，包括電子郵件信箱、使用者名稱、帳號設定資訊等。</p> <p>值得留意的是，曾經收到並以Dropbox Sign簽收文件的使用者，即使他們沒有Dropbox帳號，電子郵件信箱及使用者名稱還是會曝光。根據該公司初步的調查結果，相關文件、合約、範本、付款資訊並未遭到存取，研判這起事故影響範圍局限於Dropbox Sign的基礎架構，不影響其他產品。</p> <p><a href="https://www.ithome.com.tw/news/162661"><strong style="font-size: 22px;">俄羅斯駭客正在尋找水力設施工控系統的遠端存取破口，美國、加拿大、英國發布警告</strong></a></p> <p>5月1日美國網路安全暨基礎設施安全局（CISA）聯合該國7個機關、加拿大網路安全中心（CCCS）、英國國家網路安全中心（NCSC-UK）提出警告，俄羅斯駭客為了破壞關鍵基礎設施的運作，正在尋找、入侵不安全的操作科技（OT）環境。</p> <p>對此，這些機構也對於駭客的攻擊手法進行歸納，指出對方利用VNC通訊協定，並藉由5900埠存取人機互動介面（HMI），從而對OT環境的底層進行竄改，而且，往往是利用預設帳密或弱密碼，且缺乏雙因素驗證（MFA）防護機制的情況下而能得逞。再者，對方也濫用VNC的遠端框架緩衝協定（Remote Frame Buffer Protocol），登入HMI來控制整個OT環境。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.qantasnewsroom.com.au/qantas-responds/statement-on-qantas-app-issue/"><strong style="font-size: 20px;">澳洲航空將旅客敏感資訊及登機證曝露給他人，起因是應用程式配置錯誤</strong></a></p> <p></p> <p>◆<a href="https://www.infosecurity-magazine.com/news/nato-sweden-surge-ddos-attacks/"><strong style="font-size: 20px;">北約新會員國瑞典遭遇大規模DDoS攻擊，在正式加入前達到高峰</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162653"><strong style="font-size: 22px;">HPE Aruba Networking修補網路設備作業系統重大漏洞，若不處理恐被用於RCE攻擊</strong></a></p> <p>4月30日HPE Aruba Networking發布4月份資安公告，指出其網路設備作業系統ArubaOS存在10個漏洞，影響Mobility Conductor（原Mobility Master）、Mobility Controller，以及由Aruba Central雲端控管的WLAN閘道、SD-WAN閘道等設備，且皆與透過PAPI通訊協定存取有關，攻擊者無須通過身分驗證就有機會觸發。</p> <p>其中，有4個漏洞：CVE-2024-26304、CVE-2024-26305、CVE-2024-33511、CVE-2024-33512被列為重大等級，皆為未經身分驗證的記憶體緩衝區溢位漏洞，CVSS風險評分都達到了9.8分。一旦遭到利用，攻擊者就有機會以特權使用者的身分，於作業系統底層執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/162600"><strong style="font-size: 22px;">Brocade旗下SAN管理軟體揭露與修補18個漏洞</strong></a></p> <p></p> <p>資安研究人員Pierre Barre在Brocade儲存區域網路（SAN）管理軟體SANnav發現多個漏洞，可能被用來攻擊光纖通道（Fibre Channel）交換器與SAN基礎設施。對此，該公司在今年4月發布2.3.1版修補相關弱點，當中共有18個漏洞，影響2.3.0版以前的所有SANnav版本，其中有15個漏洞已被指派CVE識別碼。</p> <p>值得留意的是，這些漏洞研究人員早在2022年9月透過Dell向Brocade通報，只因為研究人員對於2.1.1版SANnav進行調查，但當時該公司已推出2.2.2版而並未受理。直到去年5月研究人員確認新版也存在這些漏洞，Brocade才正式承認此事。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.microsoft.com/en-us/security/blog/2024/05/01/dirty-stream-attack-discovering-and-mitigating-a-common-vulnerability-pattern-in-android-apps/"><strong style="font-size: 20px;">研究人員揭露可針對小米檔案管理工具、WPS Office等安卓應用程式的攻擊手法Dirty Stream</strong></a></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.cisa.gov/sites/default/files/2024-05/Secure_by_Design_Alert_Eliminating_Directory_Traversal_Vulnerabilities_in_Software_508c (3).pdf"><strong style="font-size: 20px;">美國針對路徑穿越漏洞提出警告，呼籲軟體供應商出貨前應進行清查</strong></a></p> <p></p> <p>◆<a href="https://www.cna.com.tw/news/afe/202405020400.aspx"><strong style="font-size: 20px;">街口、全支付等4家電子支付業者用戶突破250萬，10月底前將設資安專責部門</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【5月2日】Docker Hub遭濫用，被用來散播惡意程式與架設釣魚網站的映像儲存庫比例高達2成</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162601"><strong>【4月30日】安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> </div></div></div>
2024/5/3 18:13作者周峻佑https://www.ithome.com.tw/news/162669
Google搶攻邊緣GAI的兩大關鍵策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們的目的是透過邊緣GAI開源模型Gemma向開發者社群提供Gemini中可用功能。」Google Cloud執行長Thomas Kurian在Next會前一場亞太媒體活動上這樣強調，Google 將現有的Gemini模型推出了一個在Android裝置上跑的輕量版本，同時推出一個相同技術的開源版本，也就是Gemma。Gemini要利用Gemma搶佔邊緣GAI應用市場，同時借助開源社群將Gemini影響力擴大到更多應用領域。這是Google在邊緣AI的一大重要策略。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>靠龐大而成熟的Android生態系，瞄準行動裝置端中的GAI模型</strong></span></span></p> <p>Google去年底推出了可以在手機上執行推論的輕量版Gemini Nano模型，讓原本只在雲端伺服器上執行的Gemini模型，現在能夠瘦身進到行動裝置中，可離線執行生成式AI應用。</p> <p>Google不只率先推出能在手機上執行的GAI模型，還利用其龐大而成熟的Android生態系，使得Google在下一波邊緣GAI浪潮中，比起其他競爭對手更具優勢。尤其，現今全球擁有超過30億臺Android裝置，包括行動裝置、邊緣設備及IoT裝置等，未來都可以使用Google的GAI模型。</p> <p>Google一開始先將Gemini Nano整合到自家旗艦手機Pixel 8 Pro系列中，隨後在三星Galaxy S24手機中開始提供Gemini Nano模型的支援。在Next大會上，Google擴大了其支援的裝置，新增了Oppo和OnePlus兩款手機品牌，而且不限於旗艦機型，未來甚至中階手機也能夠執行。例如聯發科二款新晶片組未來將支援Gemini Nano，包括中階的Mediatek Dimensity 8300等。</p> <p>Google迄今並未沒有透露具體的硬體限制，但需要執行Gemini Nano模型，從現有手機硬體規格來看，除了配備AI晶片Tensor G3，以滿足生成式AI模型推論的運算需求之外，同時得要配備至少8GB或以上的記憶體。</p> <p>為了在行動裝置中能更好地執行LLM語言模型，Google提出了新框架，在原本的Android作業系統中新增了AI Core層，這是一個新的Android系統層級服務，可用來提供Gemini Nano模型的存取，同時提供模型管理、runtime和安全性等功能，以此提供模型更新並確保模型輸出的安全性。</p> <p>透過AI Core，開發者可以很容易在Android裝置上建立和執行LLM，並可以透過SDK與AI Core進行溝通，讓在OS上執行的App使用Gemini的功能。</p> <p>AI Core提供了LoRA模型微調功能，可以執行利用LoRA進行微調的推理，同時也能夠調度底層的硬體，如TPU或VPU，來支援模型推論所需的運算需求。目前AI Core僅包含在Android 14版本中，因此要使用AI Core，需將作業系統升級至該板本。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>安卓手機上現有的3種GAI應用</strong></span></span></p> <p>Google初期在Android行動裝置中提供3類Gemini應用，包括錄音App摘要、Gboard中的智慧回覆和聊天傳訊改寫。舉例來說，在Pixel 8 Pro手機的轉錄工具App中，Gemini Nano模型可以提供會議音檔的重點摘要。而在Gboard工具上則會根據鍵盤上的上下文輸入提供下一段文字的建議。在聊天訊息中，則能夠根據對話內容提供內容改寫的建議，並可在離線情況下執行這些裝置上的GAI應用。</p> <p>不過，現階段這些應用仍處於私人Beta測試階段，僅提供特定的開發人員進行測試使用。</p> <p>除了可離線執行裝置上GAI應用，使用者也可以利用Gemini API在行動裝置中執行較複雜的多模態AI任務，例如經由網路使用雲端上的中型模型，如Gemini 1.0 Pro，就能夠在手機上使用功能更強的Gemini助手回應和處理各種Workspace內容。</p> <p>在一場Android裝置GAI技術發展演講中，Google Android開發者關係工程師Thomas Ezan提到將GAI模型部署到Android裝置上的好處在於，資料可以就近在手機裝置上處理不需要傳雲，對於企業隱私保護性也較高，而且模型回應速度更即時，甚至遇到斷網也不怕。此外，企業執行模型推論增加的雲端成本也能降低。</p> <p>Thomas Ezan指出，Google目標是要讓每支App，都能夠使用生成式AI功能，甚至還要將Gemini變成是下一代App的關鍵必備能力。他預告接下來，還有其他功能陸續推出，包括裝置上個人化GAI功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1180-%E5%B0%81%E9%9D%A22-600.png" style="width: 599px;" /></p> <p><span style="color:#696969;"><strong>Google初期在Android行動裝置中提供3類Gemini應用，包括錄音摘要、Gboard鍵盤智慧回覆和聊天傳訊改寫。舉例來說，Pixel 8 Pro手機使用者可以在轉錄工具App中使用Gemini Nano模型提供會議音檔的重點摘要。此外，Gemini也能夠根據鍵盤上的上下文輸入提供文字的建議，而且聊天訊息對話過程中，也能根據原始內容提供改寫的建議。</strong><span style="font-size: 14px;">（攝影／余至浩）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Gemini要利用相同技術的GAI開源模型Gemma進軍邊緣AI</strong></span></span></p> <p>Google在邊緣AI策略，除了推出可在裝置上跑的Gemini Nano模型，還將另一款採用相同技術研發的邊緣GAI模型Gemma開源，要借助開源社群的力量將Gemini影響力向外擴散到更多應用領域之中，這是Google在邊緣AI另一大重要策略。</p> <p>Gemma是Google在今年2月釋出的一款輕量級邊緣GAI開源模型，用來挑戰臉書Meta的LlaMa。Gemma正式採用Apache-2.0授權釋出，因此其更易於散播，並且可以在桌機、筆電，甚至行動裝置、IoT裝置上執行。</p> <p>Gemma採用與Gemini模型系列相同的架構、訓練資料和訓練方法，利用了6兆個Tokens的資料集（包含網路文檔、數學和程式碼）進行訓練，而且同樣基於安全與負責任的AI原則設計。不過，與Gemini不同的是，Gemma並非多模態模型，僅能支援單一資料型態，目前僅支援英語輸入。</p> <p>Gemma發布後，Google隨後將Gemma和其商用GAI模型Gemini API並列在Google AI for developer頁面的GAI工具列表中，提供給開發人員使用，表明對其未來發展的重視。</p> <p>在會前一場亞太媒體活動上，Thomas Kurian透露對於這款邊緣GAI模型未來發展的企圖，他強調：「Gemma建立在與Gemini相同的基礎技術和能力上，目的是吸引開發者生態系統的加入，並透過Gemma向開發者社群提供Gemini中可用功能。」</p> <p>不只能夠透過社群回饋持續提高和改進Gemma模型的能力，Google同時也能將這些改進應用在正式的商用Gemini產品中，使模型表現越來越好，甚至借助開源社群的力量將Gemini影響力向外擴散到更多應用領域。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>借助開源力量將Gemini影響力向外擴散到更多應用領域</strong></span></span></p> <p>開發人員現在已經可以在Android裝置中安裝和執行Gemma，透過MediaPipe 釋出的實驗性LLM推論API，可以支援包括Gemma 2B模型在內的推論任務。Gemma現階段提供了70 億和20 億參數兩種版本，前者用在GPU和TPU上的應用部署和開發，後者則是專用在CPU為主的裝置應用上。</p> <p>不過在GPU的裝置上執行20億和70億的Gemma模型，分別需要至少8GB以上和24GB以上的記憶體。</p> <p>Google雖然不是唯一一家將自家GAI模型開源的公雲業者，例如微軟最近釋出了SLM模型Phi-3-min，同樣可以在行動裝置上執行。但是Google在Next大會上進一步在雲端LLM開發平臺Vertex中開始提供Gemma系列模型，包括程式碼生成模型CodeGemma等，讓企業可以在自家LLM應用中開始採用。</p> <p>此外，Google在其GDC分散式雲端服務中開始提供Gemma模型的支援，進一步將Gemma應用到了靠近資料所在的企業邊緣環境，例如工廠等。</p> </div></div></div>
2024/5/3 06:00作者余至浩https://www.ithome.com.tw/news/162606
Android通用核心將移除RISC-V支援，但Google否認不再支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.androidauthority.com/android-drop-risc-v-kernel-3438330/" target="_blank">Android Authority</a>》報導，Google的Android共通核心（Android Common Kernel，ACK）近日更新，移除了對RISC-V指令的支援。但Google團隊仍表示會持續支援該架構。</p> <p>Google Android系統團隊本周發布AOSP（Android Open Source Project）一系列修補程式，將移除ACK對RISC-V64的支援。這些修補程式的描述文字表示，「將終止對RISC64 GKI核心的支援。」GKI（General Kernel Image）是ACK分支之一加上跨硬體執行的程式碼，目標是提供通用的、可移植的核心映像，減少裝置製造商的工作量，確保Android安全性及可攜性。</p> <p>對期待Android支援RISC-V的開發人員或產業人士而言，這是一大挫敗。RISC-V作為開源指令集架構，結合效能及功率效益，受到物聯網（IoT）、車用及穿戴裝置開發商愛用以支援新式應用。例如高通、Bosch、英飛凌（Infineon）、恩智浦（NXP）<a href="https://www.qualcomm.com/news/releases/2023/08/leading-semiconductor-industry-players-join-forces-to-accelerate" target="_blank">去年宣布成立合資公司</a>以開發RISC-V架構的處理器。</p> <p>在Google方面，這家軟體平臺大廠去年1月宣布ACK支援RISC-V架構，並<a href="https://github.com/riscv-android-src/riscv-android?tab=readme-ov-file" target="_blank">持續更新</a>加入其他工具。去年10月<a href="https://www.ithome.com.tw/news/159332" target="_blank">Google和高通宣布</a>合作開發穿戴裝置用的RISC-V晶片（品牌名為RISC-V Snapdragon Wear），<a href="https://www.ithome.com.tw/news/159576" target="_blank">Google並宣布</a>推進支援，將在今年公布模擬器，讓Android開發人員能編寫RISC-V平臺的原生程式碼。外界原本預期或許會有RISC-V晶片的WearOS智慧型手錶。</p> <p>在ACK移除對RISC-V核心、Build及模擬器的支援後，任何公司想組譯可執行在RISC-V平臺的Android，未來就必須自行維護具有ACK和相關程式碼的Linux核心。雖然媒體推測這也意謂著Android將完全不再支援RISC-V。但Google對媒體表示，Android還是會持續支援。Google解釋，GKI迭代速度很快，因此公司尚未準備好提供通用的單一映像檔。</p> <p>在Google有進一步支援（或不支援）的行動前，Android Authority指出，由於Google目前只有驗證包含特定ACK分支的GKI核心，這表示短期間內不會看到Android on RISC-V的硬體問世。</p> <p>這項行動和Google將資源全數集中投資巨大的AI是否有關不得而知。<a href="https://www.ithome.com.tw/news/162586" target="_blank">Google本周傳出</a>將裁減開發工具Python、Flutter、Dart等部門人力，將工作移轉到成本較低的海外地區。</p> </div></div></div>
2024/5/1 14:15作者林妍溱https://www.ithome.com.tw/news/162609
【資安日報】4月30日，安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定手機的金融木馬攻擊不時傳出，最近研究人員揭露名為Brokewell的惡意程式，並指出該惡意程式能繞過Android 13的防護機制，進而透過側載的方式執行其他作案工具。</p> <p>值得留意的是，Brokewell並非首款能繞過上述防護機制的安卓惡意軟體，但研究人員認為，攻擊者未來應該會透過租賃服務提供其他網路犯罪份子利用，使得該惡意軟體危害範圍進一步擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162593"><strong style="font-size: 22px;">金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，並指出該惡意程式具備廣泛的設備接管功能，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> <p><a href="https://www.ithome.com.tw/news/162589"><strong style="font-size: 22px;">福斯汽車傳出資料外洩，駭客疑似竊得逾1.9萬份機密資料</strong></a></p> <p></p> <p>德國媒體ZDFheute及明鏡（Spiegel）指出，他們取得汽車大廠福斯（Volkswagen）針對網路攻擊的調查文件，從而揭露一起未曾揭露的資安事故。</p> <p>根據這份文件，福斯從2010年至2015年遭駭客入侵，包含智慧財產相關的檔案遭到外洩。對方疑似從2010年調查該公司的IT基礎架構，尋找可用漏洞，並於次年成功存取，並在2014年多次將機密資料傳至外部伺服器，這些駭客犯案後亦清除作案跡證。</p> <p>後來資安專家調查發現，對方共發起3波攻擊，竊得汽油引擎、變速箱研發資料，而對於近年興趣的電動車，相關開發資料也慘遭毒手，估計總共超過1.9萬份文件外流。根據對方的IP位址，作案工具及時區，推測攻擊者來自中國，相關證據指向中國政府及解放軍。</p> <p><a href="https://www.ithome.com.tw/news/162598"><strong style="font-size: 22px;">身分驗證解決方案業者Okta提出警告，鎖定該公司用戶的帳號填充攻擊爆增</strong></a></p> <p>4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。但究竟有多少用戶受害？該公司並未說明。</p> <p>究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。</p> <p>值得留意的是，這些攻擊具有相同的特徵，那就是駭客仰賴隱身服務Tor來發出請求，而且，數以百萬的請求過程，也都透過濫用合法裝置的代理伺服器服務（Residential Proxies）進行。</p> <p><a href="https://www.ithome.com.tw/news/162576"><strong style="font-size: 22px;">冒牌美國郵局網釣網站流量超越正牌網站</strong></a></p> <p></p> <p>資安業者Akamai指出，他們員工收到許多佯稱是美國郵局（United States Postal Service，USPS）的詐騙簡訊，從而調查發現，從去年10月至今年2月，用戶DNS查詢僅有51%導向正牌的美國郵局網站，其餘都被導向釣魚網站，而且，每逢特定節日，釣魚網站的DNS查詢次數就會遠大於正牌網站。</p> <p>根據研究人員的調查，全球至少有超過68萬個含有USPS字串的釣魚網域名稱，其中約有27萬個採用.com、27萬個採用.top、5.8萬個採用.shop、3萬個採用.xyz、1.6萬個採用.org。</p> <p>雖然他們在調查期間，觀察到正牌網站的DNS查詢量略多於釣魚網站，但研究人員指出，這樣的結果是因過濾資料的方式造成，實際上惡意流量顯然超過了合法流量，這也突顯網域名稱搶註與網釣攻擊泛濫的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.deepinstinct.com/blog/uncorking-old-wine-zero-day-cobalt-strike-loader"><strong style="font-size: 20px;">烏克蘭遭遇Office已知漏洞攻擊，對方利用PowerPoint檔案散布Cobalt Strike</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162333/cyber-crime/swedens-liquor-supply-ransomware-attack.html"><strong style="font-size: 20px;">瑞典物流業者Skanlog傳出遭遇勒索軟體攻擊，導致當地酒品供應受到衝擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/london-drugs-pharmacy-chain-closes-stores-after-cyberattack/"><strong style="font-size: 20px;">加拿大連鎖藥局London Drugs遭遇網路攻擊，被迫暫停營業</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162479/security/icici-bank-technical-glitch.html"><strong style="font-size: 20px;">印度銀行ICICI行動應用程式配置錯誤，導致逾1.7萬張信用卡資料曝光</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162590"><strong style="font-size: 22px;">針對防火牆危急漏洞CVE-2024-3400，Palo Alto Networks證實攻擊者有可能藉此持續存取受害裝置</strong></a></p> <p>4月12日資安業者Palo Alto Networks發布資安公告，指出旗下防火牆存在危急漏洞CVE-2024-3400，CVSS風險評分達到10分，此漏洞存在於防火牆作業系統PAN-OS的GlobalProtect功能，未經授權的攻擊者有機會使用root權限，在防火牆上執行任意程式碼。</p> <p>當時通報此事的資安業者Volexity指出，他們察覺這項漏洞的原因，是發現客戶的防火牆出現可疑的攻擊流量。Palo Alto也在17日證實，漏洞利用出現增加的情況，且有第三方公布概念性驗證程式碼（PoC），如今情況又有新的進展。</p> <p>30日該公司再度更新資安公告，指出他們針對前述的PoC手法進行分析，確認一旦攻擊者加以利用，即使IT人員對防火牆進行升級或是重置，對方仍能持續在受害裝置上活動，並以root層級執行命令。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162596"><strong style="font-size: 22px;">第4屆尋找資安女婕思資安競賽優勝者出爐</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg" style="width: 300px; float: right;" /></a>為了培養多元的資安人才，近年來國家科學及技術委員會與教育部聯手，舉辦GiCS尋找資安女婕思資安競賽，今年已邁入第4屆。本次競賽自3月8日開放報名，上週末舉行決賽並發表成果。</p> <p>本次競賽於4月27日，在臺南沙崙資安暨智慧科技研發大樓舉辦決賽，比賽結果出爐，在資安闖天關的賽事當中，高中職組的冠軍是臺中高工及文華高中組成的WHC隊，拿下大專校院組冠軍的隊伍名稱相當特殊，叫做「逢甲大學是一所積極新創、學科齊全，在國際上具有重要影響力與競爭力的綜合性大學，歡迎大家報考逢甲大學」。</p> <p>而在另一場創意發想賽，高中職組由內湖高中「美少女戰四」隊得到冠軍，大專院校今年首度分為兩組，其中，資訊相關科系組的冠軍是元智大學「查某囝仔」隊，非相關科系組別的第一名，是中國文化及逢甲大學組成「蘑菇蘑菇讓我把你帶回家」隊。</p> <p><a href="https://www.ithome.com.tw/news/162396"><strong style="font-size: 22px;">儲存系統廠商CTERA強化勒索軟體防護能力</strong></a></p> <p>從雲端閘道器起家的CTERA，主力產品是基於GFS分散式檔案系統（Global File System）平臺的CTERA Edge Filer儲存裝置，以及雲端儲存服務，可建立跨多雲的分散式檔案儲存環境。為了對抗勒索軟體威脅，CTERA也在去年年中為其儲存平臺提供勒索軟體保護功能，其中包括基於機器學習的即時攻擊偵測、零時差漏洞濫用防護、事件管理儀表板，以及即時復原等功能。</p> <p>日前CTERA又為勒索軟體保護功能新增基於誘餌檔案（Decoy files）的資料外洩防護能力，可藉此偵測攻擊者的非授權存取行為，並即時展開對應，降低資料外洩的風險。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.gov.uk/government/news/new-laws-to-protect-consumers-from-cyber-criminals-come-into-force-in-the-uk"><strong style="font-size: 20px;">英國擬禁止特定物聯網裝置採用預設密碼</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> </div></div></div>
2024/4/30 18:08作者周峻佑https://www.ithome.com.tw/news/162601
金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，<a href="https://www.threatfabric.com/blogs/brokewell-do-not-go-broke-by-new-banking-malware">並指出該惡意程式具備廣泛的設備接管功能</a>，甚至能繞過Android 13新納入的防護機制。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 580px;" /></a></p> <p>一旦使用者依照指示下載「瀏覽器更新」，手機就有可能被植入Brokewell。此惡意程式的主要功能，主要涵蓋了資料竊取及遠端控制能力。</p> <p>其中，針對資料竊取的部分，該惡意程式可在銀行應用程式執行的過程進行覆蓋畫面，從而竊取帳密資料，而對於盜取相關資料的管道，攻擊者也可透過挖掘cookie內容而得。一旦使用者完成登入流程，Brokewell就會儲存連線階段的cookie，並傳送到C2伺服器。</p> <p>另一方面，Brokewell也搭載名為Accessibility Logging的功能，從而截取受害裝置的所有事件，例如：使用者點選、滑動、文字輸入、開啟應用程式等，並且將其傳送到C2伺服器。此外，該惡意程式也具備多種間諜軟體功能，能夠收集裝置資訊、通話記錄、地理位置，而且還能錄音。</p> <p>一旦竊得特定帳密資料，攻擊者就能透過遠端控制功能，對裝置進行接管。值得留意的是，對方能將螢幕亮度調到最暗，並將手機靜音，而使得暗中操作受害手機難以被察覺，甚至有可能被用來發動自動轉帳系統（Automated Transfer System，ATS）攻擊。</p> <p>再者，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> </div></div></div>
2024/4/30 15:44作者周峻佑https://www.ithome.com.tw/news/162593
【資安月報】2024年3月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以今年3月的資安新聞而言，隨著2023年的結束，如今正有多個重要的資安年度報告揭露，統整出2023全年的真實威脅態勢，包括零時差漏洞利用、BEC詐騙、投資詐騙、勒索軟體攻擊等面向。</p> <p>雖然我們先前已經報導部分重點，然而，當中其實還有一些關鍵態勢，我們認為相當值得企業關切。</p> <h2><span style="color:#ff0000;"><strong>2023零時差漏洞利用報告出爐，5大重點受關注</strong></span></h2> <p>首先，Google在3月27日公布一份2023零時差漏洞利用的年度報告，指出這方面的威脅又變嚴峻，因為2023年共有97個零時差漏洞利用的情形，比2022年的62個增加了5成。不過仍低於2021年創記錄的106個。</p> <p>為何零時差漏洞攻擊、零時差漏洞利用的威脅需要重視？大家先要能夠區別的是，以零時差漏洞（Zero-day）而言，其實包含了被成功利用與尚未被利用的狀態，而這份報告一直以來都是聚焦在－－零時差漏洞利用，也就是駭客先找出未知漏洞並在外部成功利用（Zero-day Exploited in-the-wild），已經造成災情，廠商只能在事後發現、修補並釋出更新。</p> <p>關於這份2023年度報告所呈現的重要態勢？基本上，我們可以簡單統整為5大重點，包括：</p> <p>●針對第三方元件如函式庫的零時差漏洞攻擊，有越來越多的趨勢。事實上，我們在去年10月就察覺到涉及底層、上游漏洞增加的情形。<br /> ●針對企業產品（含資安產品與裝置）的零時差漏洞攻擊，比往年增長近5成。<br /> ●商業間諜供應商（CSV）持續挖掘大量消費者平臺（如行動裝置、OS、瀏覽器等）的零時差漏洞。<br /> ●中國政府駭客組織發動的零時差漏洞攻擊大增，並且遠高於俄羅斯、北韓、伊朗等駭客組織<br /> ●經濟動機駭客組織發動的零時差漏洞攻擊，比往年減少。</p> <h3><span style="color:#0000CD;"><strong>駭客鎖定企業產品的零時差漏洞利用，比往年激增5成！每年都有更多IT供應商遭鎖定</strong></span></h3> <p>我們還可以如何解讀這些內容？最近4月，剛好Google在臺舉辦資安研討會，來自Google Cloud的專家對於這份報告，提供更深入說明。</p> <p>雖然，我們看到，2023年度的零時差漏洞利用數量，還不及2021年，但Google Cloud Security暨Mandiant亞太區及日本首席技術總監Steve Ledzian認為，有一項重要變化值得關切。他指的是上述5大重點中，所提的第2點。</p> <p>Steve Ledzian指出，在企業方面，現在已有更多的供應商與產品成為攻擊目標，例如，2023年這類型數量增加為36個，而2021年與2022年則是25個與22個。而且針對企業特定技術的攻擊，同樣有所增加。</p> <p>特別的是，Steve Ledzian還強調一個現況：近年被鎖定的IT供應商是越來越多。</p> <p>他解釋，多年來，IT技術一直由少數主要供應商主導，但隨著企業使用了更多不同廠商的產品與服務，成為攻擊目標的廠商數量，也成逐年持續增加的情況。</p> <p>Steve Ledzian並給出明確統計數據，例如，2019年只有4個供應商的產品，成為零時差漏洞利用的攻擊鎖定目標，2020年為7個，2021年13個，2022年17個，到了2023年則是增加至21個。</p> <p>這樣的結果，也呼應了Steve Ledzia在這場研討會上所介紹的一個觀點－－Securing Edge Devices，他指出，我們現在需要建立抵禦邊緣裝置攻擊的韌性。</p> <p>為何會有這項說法？他列出了5大類型，並且指出在這些不同層面，近期都發生了零時差漏洞被利用的情形。包括：郵件邊緣裝置（Email Edge Device）、檔案分享邊緣裝置（File Sharing Edge Device）、遠端存取邊緣裝置（Remote Access Edge Device）、行動存取邊緣裝置（Mobile Access Edge Device）、虛擬裝置（Virtualization Device）。</p> <p>換言之，我們其實也可以透過這樣的類型畫分，來了解Google是如何看待邊緣裝置被鎖定的威脅態勢。</p> <p>這當中又以遠端存取邊緣裝置，是最嚴重的類型。因為單是最近一年多的時間內，就可看到多個品牌產品的零時差漏洞被利用。例如，Ivanti Connect Secure（CVE-2023-46805、CVE-2024-21887、CVE-2024-22024），Citrix NetScaler（CVE-2023-4966），GoAnywhere（CVE-2024-0204），ScreenConnect（CVE-2024-1709、CVE-2023-1708）等。</p> <p>此外，對於這份報告的發布，Steve Ledzian還提到了一個新的變化，他表示：「這次發布的研究報告，是首次由Google威脅分析小組（TAG）與Mandiant全面整合分析結果而成。」</p> <p>換言之，這並不像過往我們所知的，Google與Madiant這兩家公司會各自發布相關統計數據。顯然，自2022年Google宣布併購Madiant後，雙方在此方面已有深入的整合。</p> <p>不過，由於過去兩家公司提出的數據不同，有各自整理的資料，因此我們特別詢問，這樣的統計數量是否還會有遺漏情形？Steve Ledzian表示，這些數量大部分是他們自己追蹤，以及從可以信賴的OSINT公開來源情報所得，的確可能還有其他零時差漏洞利用，但因為沒有放在公開來源情報，他們也無從知道與了解。</p> <h2><span style="color:#ff0000;"><strong>FBI發布2023網路犯罪調查報告，BEC詐騙、投資詐騙、勒索軟體的危害變更嚴峻</strong></span></h2> <p>另一份重要年度報告，是美國聯邦調查局（FBI）網路犯罪投訴中心（IC3）在3月7日發布的《2023 Internet Crime Report》，雖然這裡的數據統計以美國地區為主，但因為IC3在此方面所蒐集的資料，相對其他國家執法單位而言，其樣本數量夠大且類型豐富，因此IC3所統計的資料也常視為一重要指標。</p> <p>在這份最新年度報告中，FBI指出2023年受理的案件達88萬件，比前一年增長10%，損失金額也比前一年增加22%，持續呈現逐年增長的態勢。</p> <p>至於去年網路犯罪態勢有哪些重要變化？我們認為有3大焦點，分別是：BEC詐騙、投資詐騙、勒索軟體。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>BEC詐騙</strong></span></h3> <p>首先，商業電子郵件（BEC）詐騙的威脅已經被FBI警告多年，2023年帶來的損失金額已接近30億美元，共有21,489件被受理。平均起來，每日都有58家企業報案，相當驚人。</p> <p>特別的是，我們找出過去3年的IC3的統計數據可以發現，這類網路犯罪投訴數量均維持在1.9萬到2.2萬件之間。這也意味著，每年都有2萬家當地企業遭遇BEC詐騙，並沒有趨緩的情形。</p> <p>對於臺灣企業而言，雖然我國警政署往年也會公布這方面的統計數據，但現在少有這類新聞事件曝光，因此，我們認為有需要再度提醒普遍企業，這類威脅態勢在國際間其實並未減少，不應輕忽。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>投資詐騙</strong></span></h3> <p>其次，投資詐騙日益嚴峻，成為近兩年最猖獗的網路犯罪型態。自從2022年開始，帶來的相關損失躍居網路詐騙首位，到了2023年，損失金額再度攀高，已經達到2020年的3倍，且大多數與加密貨幣詐欺有關。</p> <p>在臺灣，近來有這類事件發生，例如今年我國檢警調偵辦「ACE王牌交易所」勾結虛擬貨幣詐騙集團吸金一案。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>勒索軟體</strong></span></h3> <p>第三，勒索軟體攻擊的網路犯罪再趨嚴重，IC3去年收到2,825多件關於勒索軟體攻擊的投訴案件，顯示在2022年下降後、2023年又呈現上升趨勢。</p> <p>值得注意的是，根據IC3指出，2023年有1,193個重大基礎設施遭到勒索軟體攻擊，比2022年的870個明顯更高，突顯攻擊重大基礎設施持續成鎖定目標，其中醫療保健部門佔這些投訴的2成，在當地16種關鍵基礎設施中最高。</p> <p>雖然臺灣沒有較全面的這類統計資訊，但以我們在3月報導的上市櫃資安封面故事而言，可看出民間企業遇駭事件確實增加，且2023年的勒索軟體攻擊事件，的確比2022年更多。</p> <p>無論如何，上述這些2023全年威脅態勢的公布，已經告訴我們，這些威脅引發的危害仍在加劇，並未有減緩跡象，因此，儘管臺灣企業組織現在越來越重視資安，但也要記住，我們在2024年所面對的威脅與挑戰，也是變得更為嚴峻。</p> <h2><strong><span style="color:#ff0000;">月底發生XZ後門事件，軟體供應鏈攻擊威脅也不容輕忽</span></strong></h2> <p>除了上述4大威脅面向，還有軟體供應鏈攻擊的態勢要注意，這是因為3月底發現了一起重大事件，XZ程式庫竟遭潛伏的維護者植入後門。</p> <p>關於這起事件，最令開發圈、資安圈在意的是，攻擊者竟然以長期臥底方式，將自己長期假扮為正常的開源貢獻者，一開始提交的內容都要幫助專案維護，行動很正常，等到取得原始專案開源維護者的信任，自己擁有更多權限之後，才露出真實目的，進而要以神不知鬼不覺的技術，將後門植入上游軟體供應鏈。</p> <p>由於開源貢獻者來自全球各地，要如何防範一開始沒有任何異常舉動的臥底內鬼？要如何揪出這個在GitHub使用代號Jia Tan（JiaT75）且暗中植入後門的攻擊者真實身分？如今都成為開源界積極探討的議題。</p> <p>雖然過去也有主打開源安全管理的資安業者，有發布軟體供應鏈攻擊的年度報告。只是，我們認為，這一威脅面的影響深遠，但又可能不像其他網路威脅那樣受關注，因此產業間是否會有更好的辦法來面對？或許值得各界都能更進一步去探討。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/161700"><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月4日到3月8日</span></a></strong></h2> <p>回顧這一星期的資安新聞前，先來聊聊最近臺灣上市櫃公司接連發布資安事件重大訊息的現況，最近我們發布的封面故事，就是特別以此為題的報導與探討，當中整理出<a href="https://www.ithome.com.tw/news/161666">2023年臺灣上市櫃公司有23起資安事件相關重大訊息</a>，並得知這些資安事故的背後，多半是勒索攻擊造成，另一方面，<a href="https://www.ithome.com.tw/news/161667">早已不斷受媒體關注的個資外洩消息，近一年也登上重訊版面</a>，在我們進一步追蹤下，更是發現先前諾貝兒、雄獅遭網路駭客攻擊事件的後續消息，就有因個資外洩受個資法的情形，且開罰金額已經提高至200萬，不同於過去的20萬。</p> <p>這些現象的出現，在在突顯企業經營層在看待營運風險時，需更重視勒索攻擊的危害，以及個資外洩的影響。特別的是，在我們與證交所聯繫過程中，還發現<a href="https://www.ithome.com.tw/news/161667#%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E6%80%A7%E6%A8%99%E6%BA%96">資安事件「重大性」的認定，已有明確標準可依循，上市公司的部分在1月已經完成相關修訂</a>，上櫃公司的部分也確定即將發布。</p> <p>在關注企業揭露資安事件之餘，我們還有不同資安領域的消息需要重視。</p> <p>在本星期的漏洞利用消息方面，有3個重點，企業需優先因應的是蘋果與JetBrains的漏洞。<br /> （一）蘋果修補多款產品的2個記憶體損壞漏洞CVE-2024-23225、CVE-2024-23296，都是已遭鎖定攻擊的零時差漏洞。<br /> （二）JetBrains修補旗下CI/CD軟體平臺TeamCity的兩個漏洞，特別的是，由於該公司沒有知會通報漏洞的Rapid7、私下修補且不公開漏洞，使得Rapid7同日公開漏洞細節。後續，外界發現漏洞CVE-2024-27198已遭鎖定利用。<br /> （三）兩個老舊漏洞近期發現遭鎖定利用，包括：2021年8月的Sunhillo SureLine OS命令列注入漏洞（CVE-2021-36380），以及去年6月的Android Pixel資訊揭露漏洞（CVE-2023-21237）。本期資安日報尚未提及，在此補上。<br /> 其他可留意的漏洞修補消息，包括VMware修補旗下多款產品的4個重大漏洞，以及臉書修補密碼重置漏洞。</p> <p>在資安事件焦點方面，一開始提及勒索軟體與個資外洩的威脅態勢，本週也有多起這方面的新聞報導，我們整理如下：<br /> ●勒索軟體駭客組織Dunghill在2月29日聲稱入侵上櫃公司安瑞科技，我們取得安瑞的回應，他們表示子公司Array US於3月1日，偵測到資訊系統遭受病毒攻擊。目前調查未有客戶敏感資料外洩，也不影響營運。<br /> ●美國CISA等多個機構針對近期勒索軟體Phobos的攻擊態勢提出警告，2月有新的變種出現，主要鎖定關鍵基礎設施、地方政府、急難、教育與醫療單位。<br /> ●去年底Line用戶個資外洩事件有後續消息，原因是LYC與關係企業Naver Cloud因部分系統共用，而雙方於韓國採用的外包廠商，其員工電腦遭到惡意程式感染，因此最近日本總務省要求兩家公司應切割IT基礎架構。<br /> ●美國運通向客戶通知發生資料外洩事件，原因是第三方信用卡交易處理服務提供商的系統遭駭客入侵，導致有未經授權存取的情況。</p> <p>還有一項針對我國而來的攻擊活動，需要大家關注。繼月前有資安業者Trellix發布報告，指出臺灣總統大選投票前一天所遭受的網路攻擊大幅增加，近日又有趨勢科技揭露這方面的態勢，指出中國駭客組織Earth Lusca在去年12月至今年1月的新一波攻擊活動中，會使用地緣政治議題為誘餌來發動網釣攻擊，並且其內容疑似盜用未發表的專家文章。由於研究報告中提到相關文章遭盜用、相關政治專家或所屬組織可能遭入侵，我們認為，上述人士需趕緊檢視自身裝置、帳號的防護，避免受害卻仍不自覺。</p> <p style="margin: 0px;">在資安防禦態勢上，我們注意有3個重點，主要針對開發安全與LLM的安全。</p> <p>首先，開發者要注意！最近GitHub將去年推出的推送保護（Push Protection）功能，改為預設啟用。特別的是，我們發現GitHub在宣布此消息之餘，同時提到他們最近在公開儲存庫掃描時的發現：今年已偵測到上百萬筆機密資料洩漏（API金鑰、令牌與各種機密），如此大量只發生在短短兩個月內。此一情形，很有可能就是現在將Push Protection改為預設啟用的原因。</p> <p>此外，前幾年美國白宮邀科技大廠解決開源安全問題時，改用記憶體安全程式語言，就是十大重點工作之一，最近美國白宮更是發布相關報告，親自呼籲科技界主動減少網路攻擊面，不要使用缺乏記憶體安全相關功能的C和C++。這樣的態勢值得臺灣政府及所有IT資訊產業關注，畢竟要打造可信賴的供應鏈生態體系，軟體開發安全亦是關鍵，尤其是各種可濫用的軟體漏洞中，記憶體安全漏洞佔了絕大多數，因此是所有程式開發相關都要設法克服的挑戰。</p> <p>最後是大型語言模型（LLM）當紅，如今面對提示詞注入、模型拒絕服務，以及敏感資訊洩漏這三種模型攻擊，如何設法應對成挑戰，最近開始有資安業者發表可應對這些威脅的網頁應用防火牆（WAF），Cloudflare指出，其作用可阻擋有問題的請求輸入模型，並具備敏感資料偵測能力，可用於阻止在回應中洩漏機密資料，另一方面，也可阻止使用者將資料傳送到公用LLM。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161807"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月11日到3月15日</span></strong></a></h2> <p>這一星期適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，以及西門子、施耐德電機等ICS工控業者，大家關切這些例行修補之餘，還有一些安全性弱點消息也要留意，例如：威聯通NAS，思科SSL VPN用戶端軟體，以及應用程式開發平臺OpenEdge的漏洞修補。</p> <p>特別的是，我們近期還注意到WordPress有多個外掛程式漏洞的陸續揭漏，當中以存在Bricks Builder外掛編輯器的重大RCE漏洞CVE-2024-25600，需要特別重視，因為多家業者發現已將其用於攻擊行動。此外，另一外掛程式Popup Builder去年修補的漏洞CVE-2023-6000，近期也發現被遭駭客積極鎖定利用的狀況。</p> <p>在資安事件方面，有一起關於臺灣企業的事件引發極大關注，是宏碁菲律賓分公司傳出資料外洩，宏碁已證實當地分公司有部分員工資料被存取，是菲律賓的外部供應商發生資料外洩事故造成。值得注意的是，日前我們報導上市櫃遭網路攻擊的現況時，資安專家指出，現在勒索攻擊的型態，並不全是用加密方式綁架資料而進行勒索，「偷資料的勒索」也逐漸成為常態，而上述事件中，目前傳出消息是只有資料被偷，對方並未使用勒索軟體或是加密檔案，至於後續是否有向宏碁勒索的行為，暫不得而知。</p> <p>此外，還有美法兩國的重大資料外洩消息，例如，美國移民主管機關的敏感資料流入駭客論壇，原因是IT承包商遭駭，以及法國失業救濟機構France Travail遭入侵，4,300萬人個資恐流出。</p> <p>國際有個重大資安事故的消息，全球也正在關注後續發展。法國總理辦公室最近公開表示，當地多個政府機構遭受了「前所未有的強度」的網路攻擊，據當地媒體指出，法國各部會網站是遭DDoS攻擊，而法國政府也採取措施，成立危機反制小組來應對，由於今年7月法國將舉辦2024奧運，還有6月舉行的歐洲議會選舉，該國國防顧問先前也示警，近期相關活動可能成為網路攻擊的重要目標。</p> <p>在威脅態勢上，美國聯邦調查局（FBI）發布2023年度網路犯罪報告，強調勒索軟體駭客攻擊關鍵基礎設施日益頻繁，我們在此列出重點，幫助大家快速了解。<br /> ●勒索軟體的影響再次上升，在FBI接獲的2,825件勒索軟體攻擊事故中，有1,193件是針對關鍵基礎設施（CI）有關的組織而來，相當於每5起事故就有2起是針對CI，這樣的比例比前一年度更高。<br /> ●從犯罪型態來看，商業電子郵件詐騙（BEC）危害程度居高不下，FBI表示，2023年此類犯罪損失高達29億美元。我們對比了前兩年的BEC損失，分別是23億美元、27億美元，可看出企業必須持續嚴防這類威脅。<br /> ●投資詐騙問題越來越大，2022年損失達33億美元，超越BEC而成為傷害最大的犯罪型態，2023年這類損失金額更是達到45億美元。</p> <p>在其他重要威脅態勢上，這星期還有不少勒索軟體最新動向的揭露，我們整理如下：</p> <p>●勒索軟體駭客組織BianLian最近的攻擊行動，是利用前一陣子TeamCity的漏洞來發起入侵。<br /> ●由勒索軟體駭客組織GhostSec、Stormous發起的雙重勒索攻擊，正利用名為GhostLocker 2.0的勒索軟體，鎖定中東、非洲、亞洲企業發動攻擊。<br /> ●去年4月出現的勒索軟體駭客組織RA World，攻擊目標原本是美國、韓國，後續擴展至德國、印度，以及臺灣，拉丁美洲現在也被鎖定。</p> <p>回到國內，關於上市櫃公司資安事件揭露的規範，最近有重要消息發布。我們先前報導臺灣證券交易所發布新版重訊問答集，裡面具體列出「上市公司」的資安事件重大性標準，而對於「上櫃公司」資安事件重大性標準的規範，則是在3月8日由證券櫃檯買賣中心發布。簡單來說，當中明訂核心系統遭駭，官網遭駭、DDoS、個資外洩、造成服務受影響中斷等，都屬重大性事件，而且，都需要發布重大訊息告知投資人。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161926"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月18日到3月22日</span></strong></a></h2> <p>這一星期的漏洞消息，在留意Atlassian修補CI/CD工具Bamboo重大漏洞，以及Ivanti修補同步應用系統Standalone Sentry的重大漏洞之餘，還一個大家可能容易忽略的消息是，1月HTTP非同步傳輸框架Aiohttp修補漏洞CVE-2024-23334，近期出現利用該漏洞的攻擊行動，研究人員認為，可能是勒索軟體駭客組織ShadowSyndicate所為。</p> <p>在重大資安新聞方面，我們認為，最需要優先關注國際貨幣基金組織與富士通的遭駭事件。</p> <p>國際貨幣基金組織（IMF）在15日公布遭遇網路攻擊事件，全球也正在關注後續發展。基本上，IMF是在二戰後為了穩定國際金融而成立，最近他們公布在一個月前發現遭遇網路攻擊，有11個電子郵件帳號被入侵。這不免令人聯想到1月微軟、HPE遭俄羅斯駭客Midnight Blizzard攻擊的事件，因為共通點這些機構都使用微軟雲端電子郵件服務。</p> <p>另一個IT界很關注的消息是富士通遭駭，該公司在15日發布資安公告，說明IT系統遭入侵，發現多臺電腦出現惡意軟體，目前該公司正調查被入侵的情況與確認資料是否外洩，暫不清楚是否有其他企業或其客戶資料受波及，有待後續調查結果公布。</p> <p>至於臺灣資安近況方面，趨勢科技近期發布2023年資安威脅態勢報告的新聞稿，當中特別強調臺灣須留意駭客組織Earth Estries動態，並指出對方專門針對政府機關與科技業而來，大家要密切關注後續狀況。</p> <p>其他重要資安新聞焦點，包括涉及Firebase曝險、竊資軟體與中國駭客組織動態的新聞，我們整理如下：<br /> ●企業需注意Firebase配置不當的曝險問題，研究人員進行這方面的大規模盤點，發現有900個網站曝險，暴露近2千萬筆明文帳密資料。<br /> ●駭客不只利用HTML Smuggling手法來迴避偵測，最近還出現新的作法，例如竊資軟體AZORult還用上反射式程式碼載入的手法來規避偵測並啟動。<br /> ●中國駭客組織Earth Krahang近兩年的攻擊活動被揭露，有45國、上百個組織被鎖定，已確認70個組織遭入侵，多是政府機關，另發現116個組織遭鎖定。</p> <p>關於新攻擊手法研究與漏洞的揭露，我們認為有3項消息，值得企業與資安研究人員重視，涵蓋DoS攻擊、LLM漏洞，以及利用處理器微架構特性的旁路攻擊手法：<br /> （一）發現新型阻斷服務攻擊手法Loop DoS，德國CISPA亥姆霍茲資安中心指出，利用UDP通訊協定上封包驗證不足的弱點CVE-2024-2169，可導致彼此訊息無限循環回應，不只老舊通訊協定有同樣狀況，目前普遍常用的DNS、NTP、TFTP也受影響。<br /> （二）有研究人員揭露3個新的Google Gemini聊天機器人潛在的威脅，分別是可繞過安全防護機制的漏洞，利用Gemini Pro虛構生成功能的提示越獄漏洞，以及模擬重新設定的漏洞。<br /> （三）多名大學研究人員共同揭露<a href="https://www.ithome.com.tw/news/161909">GoFetch微架構旁路攻擊</a>，資安日報近期尚未報導這方面消息，但已引發不小的關注，此手法是透過記憶體資料預先讀取機制DMP，從常數時間程式實作中竊取加密金鑰，且蘋果M系列處理器易受此攻擊影響。</p> <p>在防禦態勢上，這星期有2項新進展，成為資安圈與開發圈的焦點。例如，提升組織內軟體供應鏈可見性的軟體安全評估工具GUAC，如今成為OpenSSF孵化專案，以及程式碼儲存庫GitHub發布程式碼自動掃描修復功能（Code Scanning Autofix），可協助開發者快速解決程式碼中的漏洞，目前已經支援JavaScript、TypeScript、Java與Python。</p> <p>此外，國際間還有兩個安全指引的頒布，可以作為企業組織的借鏡與參考。一是英國發布雲端資料收集與監控系統（SCADA）安全指引，因為已有許多企業組織將SCADA遷移到雲端，而這樣的資訊過去也算比較少見；另一是因應中國駭客組織Volt Typhoon的威脅，最近英美等多國網路安全機構，提出防禦指引。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/162041"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月25日到3月29日</span></strong></a></h2> <p>在這一星期有多個已知漏洞出現首度遭利用的消息，其中1個是短短一週前才修補，就發現被利用於攻擊行動，因此特別受關注，那就是Fortinet端點管理伺服器FortiClient EMS的漏洞CVE-2023-48788。</p> <p>其他近期確認遭鎖定利用的已知漏洞，還包括：微軟SharePoint Server的漏洞（CVE-2023-24955），Ivanti EPM CSA的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44529">CVE-2021-44529</a>），以及門禁解決方案Nice Linear eMerge E3-Series OS的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-7256">CVE-2019-7256</a>）。後兩項本期資安日報尚未提及，一併補上。</p> <p>另補充<a href="http://www.ithome.com.tw/news/162040">周末一則最新消息是關於XZ Utils資料壓縮程式遭植入後門</a>，紅帽已指派漏洞CVE-2024-3094，由於此事件涉及SSHD（Secure Shell Daemon）供應鏈攻擊，正受廣泛關注。</p> <p>關於零時差漏洞攻擊的最新態勢，持續受大眾關注，隨著2023年過去，最近Google公布這方面的年度報告，我們認為，有3個現象值得大家關注：（一）針對第三方元件攻擊顯著增加；（二）針對企業裝置、資安產品攻擊，比往年增長近5成，（三）中國政府支持駭客組織發動的攻擊大增，去年利用了12個零時差漏洞發動攻擊。</p> <p>此外，關於上述提到中國駭客組織的危害，最近另一起資安新聞也提到這方面的狀況。最近美國方面有新的消息，該國司法部起訴7名參與APT31的中國公民，其財政部也宣布制裁武漢曉睿智科技（Wuhan XRZ），已確認這是一家幌子公司，背後是負責APT 31行動的中國湖北省國家安全局設立。在此同時，還有多國網路安全機構與執法單位，出面指控近年遭到中國政府支持駭客組織的攻擊，包括英國、芬蘭、紐西蘭與澳洲等。</p> <p>在最近的資安威脅態勢上，殭屍網路TheMoon的攻擊活動，是本星期的一大焦點事件。這是因為，雖然它的攻擊目標都是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，但最近短短72小時內，竟有超過6千臺華碩路由器被攻佔。</p> <p>在其他威脅態勢方面，有勒索軟體與網釣工具的揭露，值得企業與資安研究人員重視，還有一些攻擊技術與資安風險的揭露，雖然存在於不同領域，但可能的危害情境貼近於生活日常，引發許多人的好奇與重視，我們整理如下：</p> <p>●勒索軟體Agenda的攻擊在去年底顯著增加，如今更是發現，攻擊活動中會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼。</p> <p>●網路犯罪領域有新的攻擊工具出現，被不同資安業者揭露，例如，半年多前現身的Tycoon 2FA的AiTM網釣攻擊套件，最近有被廣泛使用的情形；還有網路釣魚套件工具包Darcula，是針對手機用戶而來。</p> <p>●飯店業者注意！全球數百萬間的飯店房門能被一張複製的偽造鑰匙卡破解，有資安研究人員發現，經常被應用在飯店與住宅大樓Saflok系統的RFID電子鎖產品有漏洞（Unsaflok），由於門鎖更新或更換耗時，五個月來進度僅完成36%。</p> <p>●Google搜尋引擎近期加入SGE功能，將生成式AI融入搜尋結果，但有人發現給出的結果中，會推薦垃圾網站及惡意網站，推測可能是SEO中毒攻擊造成。</p> <p>●資安部落格<a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/">KrebsonSecurity指出最近出現針對蘋果用戶的「MFA轟炸」攻擊</a>，這種釣魚攻擊，涉及一個看似蘋果密碼重置功能的漏洞。雖然近期資安日報尚未報導這方面消息，但已引發不小的討論與關注。</p> <p>另外，防禦態勢上，這星期有兩項新進展，成為資安圈與開發圈的焦點。例如，上星期Pwn2Own漏洞挖掘大賽舉行，參賽的資安研究人員在8個競賽類別總計找出29個零時差漏洞，除了研究人員共獲得113萬美元的獎勵，提供產品的廠商後續也將針對這些漏洞予以修補，目前Firefox、Google以針對各自不同的2個漏洞進行修補。</p> <p>另一是美國CISA發布第4則Secure by Design Alert，強調SQL注入漏洞不該一再發生，他們並以去年駭客利用MOVEit Transfer漏洞大舉入侵為例，呼籲開發人員、軟體製造商在出廠前務必審查程式碼是否含有SQL注入漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3> </h3> <p> </p> </div></div></div>
2024/4/29 16:29作者羅正漢https://www.ithome.com.tw/news/162577
Alphabet首季營收成長15%，宣告進入Gemini時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet周四（4/25）公布該公司今年第一季財報，顯示其整體營收達到805億美元，年增15%，淨收入為237億美元，年增57%。Alphabet執行長Sundar Pichai宣告該公司正進入Gemini世代，董事會則宣布每股將首度發放0.2美元的股息，並購回700億美元的股票，當天Alphabet的盤後股價上漲了11.48%，達176.08美元。</p> <p>在805億美元的營收中，有704億美元來自Google服務的貢獻，成長13.6%，Google Cloud的營收為95.7億美元，成長28%，新創事業（Other Bets）的營收接近5億美元，成長72%。整體而言，Google服務帶進279億美元的營業利潤，增加了28%，Google Cloud的營業利潤亦達9億美元，比去年同期的1.9億美元大幅增加了371%，至於新創事業則虧損了10.2億美元，略低於去年同期所虧損的12.3億美元。</p> <p>Pichai表示，第一季的結果反映出搜尋、YouTube及雲端服務的強勁表現，同時該公司正進入Gemini時代，在AI研究與基礎設施的領先地位，再加上該公司在全球的產品足跡，都讓Alphabet於下一波的AI創新浪潮中處於有利地位。</p> <p>隨著全球掀起了AI熱潮，Pichai在<a href="https://blog.google/inside-google/message-ceo/alphabet-earnings-q1-2024/#AI-search-innovation" target="_blank">財報電話會議</a>中也聚焦於Alphabet為此所奠定的基礎，包括在研究上建立了Gemini 1.5 Pro、Gemma及Imagen等模型，並宣稱Alphabet擁有AI時代最好的基礎設施，其客製化TPU已發展至第五代，並成為用來訓練及服務Gemini的專用積體電路。</p> <p>此外，Google正在將生成式AI整合至搜尋服務，允許人們以新的方式提出問題或詢問更複雜的問題，也計畫把生成式AI導入更多的產品中。</p> <p>Pichai說，目前Alphabet旗下有6款產品的每月用戶數超過20億，當中的Android裝置更超過30億，另有15款產品的用戶數達到5億，而且Alphabet的業務遍及全球上百個國家。</p> <p>總括來說，Pichai不僅認為Alphabet既有AI研究、基礎設施，還有龐大的產品網路，也提出了利用AI來變現的規畫，包括將Gemini 模型導入Performance Max中以協助廣告主取得更大的廣告效益，或是透過Google Cloud來提供AI服務，以及於Google One中推出收費的AI Premium服務。</p> </div></div></div>
2024/4/26 14:46作者陳曉莉https://www.ithome.com.tw/news/162555
安卓金融木馬SoumniBot利用作業系統應用程式安裝工具弱點迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基揭露名為SoumniBot的安卓金融木馬程式，<a href="https://securelist.com/soumnibot-android-banker-obfuscates-app-manifest/112334/">並指出攻擊者利用了較為罕見的手法埋藏意</a>圖。</p> <p>研究人員總共歸納3種方式，這些手法主要與安卓應用程式的檔案名冊AndroidManifest.xml有關。</p> <p>首先，攻擊者在解壓縮APK檔案的時候配置了無效的壓縮參數，使得安卓作業系統上的安裝程式解析器將其視為未壓縮，使得該APK檔案能繞過資安偵測並執行安裝流程。</p> <p>再者，則是對方將檔案名冊的資料大小設置為大於實際數值，使得安裝程式直接從APK檔案複製特定元件，並以垃圾資料填充差異的資料量。雖然這些用來填充的資料並不會直接造成破壞，但攻擊者有可能拿來混淆程式碼。</p> <p>最後一種手法是在檔案名冊的XML名稱空間（Namespaces）使用極長字串的名稱，使得自動分析工具難以進行分析。</p> <p>而對於該惡意程式的攻擊行動，研究人員指出是針對韓國用戶而來，但究竟攻擊者如何傳遞仍不得而知，而且，一旦安卓手機遭到感染，手機不會出現相關圖示而難以移除，此惡意程式將會在後臺運作，並將受害者資料回傳。</p> </div></div></div>
2024/4/23 18:03作者周峻佑https://www.ithome.com.tw/news/162475
Google設立Platforms & Devices部門來推動軟/硬體的AI整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了加速內部產品及服務與AI的整合，<a href="https://blog.google/inside-google/company-announcements/building-ai-future-april-2024/" target="_blank">Google周四（4/18）宣布</a>將合併DSPA（Devices and Services PA）團隊及P&E（Platform & Ecosystem）團隊，成立一個新的Platforms & Devices PA（Product Area），再加入來自Google Research中專門研究運算攝影及裝置智慧（on-device intelligence）的團隊，以替Google所有的平臺與裝置部署AI技術。</p> <p>這對Google內部而言是一項巨大的組織變革，DSPA原本負責開發Pixel、Nest與Fitbit等硬體裝置，至於P&E團隊主導的則是Chrome、Google Play及Android等軟體與生態體系，Google把軟、硬體團隊整合，再加入AI團隊，並指派曾擔任DSPA副總裁的Rick Osterloh來管理Platforms & Devices PA。</p> <p>Google執行長Sundar Pichai解釋，AI替Google帶來了一個可以重新想像未來運算平臺的機會，包括改造Android、Chrome、搜尋、照片或其它對人們有所助益的產品，為了真正地推動運算，Google必須整合硬體、軟體與AI，擁有跨平臺與裝置的統一團隊，將協助Google替用戶及合作夥伴提供更高品質的產品與體驗，強化Android與Chrome生態體系，替合作夥伴帶來最好的創新，對內也可加快決策速度。</p> <p>Osterloh也<a href="https://twitter.com/rosterloh/status/1780997765079937517" target="_blank">透過X表示</a>，很高興接下此一挑戰並加速整個Android生態體系的AI創新，未來也將強化與高通（Qualcomm）的策略合作，不管是在Android上，或是在運算、混合實境（XR）與汽車上。</p> </div></div></div>
2024/4/19 13:40作者陳曉莉https://www.ithome.com.tw/news/162412
【資安日報】4月18日，DevOps協作平臺Confluence已知漏洞被用於散布勒索軟體Cerber
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安日報當中，已知漏洞的攻擊行動占據大部分版面，其中又以DevOps協作平臺Atlassian Confluence的攻擊行動最值得留意，對方將其用來散布勒索軟體Cerber。</p> <p>值得留意的是，這個漏洞修補至今已近半年，但駭客仍能將其用於發動攻擊，這代表仍有不少Confluence伺服器尚未套用修補程式，而曝露相關風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162387"><strong style="font-size: 22px;">DevOps協作平臺Atlassian Confluence已知漏洞遭到利用，慘遭勒索軟體Cerber攻入</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cerber-Confluence-2-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cerber-Confluence-2-3.png" style="width: 300px; float: right;" /></a>資安業者Cado發現，3月19日出於經濟動機的駭客企圖利用DevOps協作平臺Atlassian Confluence已知漏洞CVE-2023-22518存取Confluence實體，從而濫用管理員帳號於受害主機部署Effluence Web shell外掛程式，從而藉由網頁介面執行任意命令，下載並執行Cerber的有效酬載。</p> <p>研究人員指出，由於在預設組態中，Confluence伺服器以低權限使用者（confluence）執行，因此該勒索軟體能加密的檔案有限，僅為該帳號能夠存取的資料。但若是攻擊者能夠取得較高權限，加密檔案的範圍將會擴大。</p> <p>值得留意的是，駭客利用這項漏洞散布Cerber已非首例。去年11月，資安業者Rapid7發現該勒索軟體的攻擊行動，對方其中一個利用的漏洞就是CVE-2023-22518。</p> <p><a href="https://www.ithome.com.tw/news/162385"><strong style="font-size: 22px;">TP-Link路由器漏洞遭濫用，6個殭屍網路病毒綁架大量網路設備，每日攻擊超過5萬次</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-ips-telemetry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-ips-telemetry.png" style="width: 300px; float: right;" /></a>去年3月TP-Link修補旗下無線路由器Archer AX21命令注入漏洞CVE-2023-1389（CVSS風險評分為8.8），隨後就傳出被用於散布殭屍網路病毒Mirai，如今有更多經營殭屍網路的駭客加入漏洞利用的行列。</p> <p>資安業者Fortinet指出，他們最近發現有6種殭屍網路病毒利用上述漏洞，包括Moobot、Miori、Condi，Go語言打造的AGoent，以及Gafgyt和Mirai變種病毒。自今年3月開始，試圖利用該漏洞的攻擊行動大多一天超過4萬次，到了3月底更出現接近5萬次的高峰。</p> <p><a href="https://www.ithome.com.tw/news/162389"><strong style="font-size: 22px;">濫用FortiClient集中控管系統的漏洞攻擊浮上檯面，駭客將遇害伺服器改為下載遠端管理工具與惡意指令碼的轉運站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FS-2024-VL-ConnectFun-Flowchart-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FS-2024-VL-ConnectFun-Flowchart-2.png" style="width: 300px; float: right;" /></a>3月12日Fortinet修補旗下端點集中控管系統FortiClient EMS危急漏洞CVE-2023-48788（CVSS風險評分為9.3），有研究人員發現，事隔1週後有人將其用於攻擊行動。資安業者Forescout揭露名為Connect:fun的攻擊行動，研究人員在21日有人公布上述漏洞的概念性驗證（PoC）程式碼後，隨即發現駭客嘗試用來發動攻擊，其中一家是多媒體公司。</p> <p>兩天後攻擊者進行偵察，確認FortiClient EMS是否仍舊存在漏洞，然後下達經過混淆處理的命令執行數次SQL注入攻擊，並透過惡意指令碼下載遠端管理工具ScreenConnect，以及滲透測試框架Metasploit的套件Powerfun。</p> <p><a href="https://www.ithome.com.tw/news/162391"><strong style="font-size: 22px;">以免費IP位址掃描工具軟體為誘餌意圖吸引IT團隊上當，駭客組織FIN7鎖定美國某家汽車製造商發動網路釣魚攻擊</strong></a></p> <p>資安業者BlackBerry揭露發生於去年底的攻擊行動，出於經濟動機的駭客組織FIN7鎖定一家美國大型汽車製造商，對其IT部門具有高權限的員工發送釣魚郵件，進行魚叉式釣魚攻擊。</p> <p>收信人一旦依照對方指示點選連結，就會被帶往冒牌的公用程式Advanced IP Scanner網站，若是想要下載應用程式點選連結，就會存取Dropbox頁面。若是下載、執行安裝程式WsTaskLoad.exe，電腦就會進行一連串的流程，先載入程式庫jutil.dll解密特定的WAV聲音檔，得到Shell Code並載入mspdf.dll元件執行，並再次解析前述WAV檔案，最終得到後門程式Anunak。過程中攻擊者使用經混淆處理的PowerShell指令碼PowerTrash，以便偵察主機系統及網路資訊。</p> <p><a href="https://www.ithome.com.tw/news/162384"><strong style="font-size: 22px;">俄羅斯駭客組織Sandworm鎖定西方國家水利設施發動攻擊</strong></a></p> <p>由俄羅斯軍方指使的駭客組織Sandworm近期動作頻頻，有研究人員發現，這些駭客打著其他組織的名號，企圖埋藏其攻擊行動。</p> <p>資安業者Mandiant發現，這些駭客經營至少3個Telegram頻道，並自稱是XakNet Team、Cyber Army of Russia Reborn（CARR）、Solntsepek來從事攻擊行動，其中CARR與Sandworm的關係似乎最為密切，而且他們的YouTube頻道是透過Sandworm的基礎設施設置。</p> <p>值得留意的是，雖然CARR在Telegram頻道宣稱大部分的目標是烏克蘭實體，但研究人員發現，這些駭客也承認對美國及波蘭的供水設施，以及法國水力發電系統發動攻擊，並公布影片與螢幕截圖，證明他們已控制受害環境的操作科技（OT）資產。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/t-mobile-verizon-workers-get-texts-offering-300-for-sim-swaps/"><strong style="font-size: 20px;">網路犯罪份子企圖利誘電信業者T-Mobile、Verizon員工成幫兇，要求參與SIM卡挾持攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.microsoft.com/en-us/security/blog/2024/04/17/attackers-exploiting-new-critical-openmetadata-vulnerabilities-on-kubernetes-clusters/"><strong style="font-size: 20px;">中繼資料管理工具OpenMetadata遭挾持，攻擊者藉此濫用K8s挖礦</strong></a></p> <p></p> <p>◆<a href="https://www.proofpoint.com/us/blog/threat-insight/social-engineering-dmarc-abuse-ta427s-art-information-gathering"><strong><span style="font-size: 20px;">北韓駭客組織Kimsuky濫用DMARC從事網路釣魚攻擊</span></strong></a></p> <p></p> <p>◆<a href="https://labs.withsecure.com/publications/kapeka"><strong><span style="font-size: 20px;">東歐國家遭俄羅斯駭客利用後門程式Kapeka鎖定</span></strong></a></p> <p></p> <p>◆<a href="https://securelist.com/soumnibot-android-banker-obfuscates-app-manifest/112334/"><strong><span style="font-size: 20px;">安卓金融木馬SoumniBot利用作業系統弱點迴避偵測</span></strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162374"><strong style="font-size: 22px;">Cohesity為資料保護儲存服務導入Intel機密運算功能</strong></a></p> <p>資料儲存平臺與服務商Cohesity，為其FortKnox網路防護儲存與復原服務（Cyber Vaulting and Recovery as a Service），引進基於Intel Software Guard Extensions（SGX）技術的機密運算防護功能（Confidential computing），降低主記憶體資料遭惡意存取的風險。</p> <p>FortKnox網路防護儲存與復原服務是Cohesity資料雲服務的一部分，透過引進Intel SGX技術，可以加密在記憶體中處理的資料，防止任何特權帳戶查看或下載記憶體中的資料，讓用戶在雲端環境進行安全的機密運算。而透過記憶體內容的加密，也補上了網路傳輸端的動態加密，與儲存裝置端靜態加密之間的安全性缺漏環節。</p> <p><a href="https://www.ithome.com.tw/news/162375"><strong style="font-size: 22px;">SaaS應用程式備份保護服務商BackupLABS擴展應用範圍</strong></a></p> <p>隨著各式各樣雲端SaaS應用程式的應用逐漸普及，SaaS應用程式的資料保護也成為重要的課題。英國新創廠商BackupLABS，便是以保護這些SaaS應用程式為訴求，可透過API為各式SaaS服務提供每日自動備份，一開始能支援Trello、GitHub與 GitLab，日前又新增對Notion、Jira、Asana等SaaS服務的支援。</p> <p>BackupLABS利用AWS平臺建立自身的備份應用基礎設施，可提供AES 256位元加密、基於S3 ObjectLock的防勒索軟體保護，以及精細還原等功能，並獲得ISO 27001、SOC2、HIPAA、GDPR、UK Cyber Essentials Plus等認證。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162373"><strong>【4月17日】多個廠牌的VPN系統、網路設備遭到鎖定，攻擊者對其發動暴力破解攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162333"><strong>【4月16日】部分蘋果用戶遭中國駭客組織鎖定，利用間諜軟體LightSpy進行監控</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162311"><strong>【4月15日】XZ Utils供應鏈攻擊傳出有新災情</strong></a></p> </div></div></div>
2024/4/18 17:03作者周峻佑https://www.ithome.com.tw/news/162392
CyberArk推聚焦身分安全的瀏覽器，提供單一登入與存取監控
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cyberark_csb-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個月舉行的Google Cloud Next 2024大會期間，發表主打更多資安功能的企業級瀏覽器Chrome Enterprise Premium，重新喚醒大家對於網頁瀏覽安全的重視，無獨有偶，以特權存取管理（PAM）產品著稱的CyberArk，也恰巧在前不久（3月底），正式推出首款主打身分安全的瀏覽器CyberArk Secure Browser，可針對Windows 10與Windows 11的個人電腦，提供強化資安與隱私防護特色，搭配CyberArk既有用戶熟悉、便利的操作介面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Platform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Platform.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Identity Platform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Identity%20Platform.jpg" style="width: 298px;" /></a></p> <p>關於Mac電腦的CyberArk Secure Browser（CSB）支援，預計2024年底提供，目前若要對此平臺的電腦實施網頁存取安全控管，可先用該公司另一套產品CyberArk Secure Web Sessions，在列管Mac電腦的瀏覽器加裝外掛程式即可。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB-SWS-protection.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-SWS-protection.jpg" style="width: 600px;" /></a></p> <p>該公司表示，他們新推出這套標榜身分安全防護的企業級瀏覽器，是專為雲端優先的世界而設計，能針對企業內部環境的IT資源，以及SaaS雲端服務應用系統，提供安全、統一的存取方式。對於企業資安團隊而言，它能提供以往所缺乏的能見度、控制能力，以及治理能力，協助預防登入與登入以外的身分、端點、憑證惡意濫用，所能防護的身分存取對象，包含人類、機器，當這些實體從任何地方使用各種裝置連至任何資源或環境時，均能以各種身分進行安全存取。</p> <p>CSB最初公開發表的時間與場合，其實是在去年5月底CyberArk年度用戶大會期間，目的是透過彈性、基於身分的防護與控管方法，守衛員工與第三方存取企業資源的安全，協助企業與組織對抗網路攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Launchpad to everything enterprise.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Launchpad%20to%20everything%20enterprise.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20features.jpg" style="width: 600px;" /></p> <p>當時，CyberArk預告CSB會是CyberArk Identity Security Platform的一部分，並且是基於Chromium瀏覽器平臺而成，能支援企業推動的零信任防護改良工程，期望能整合安全性、集中的政策管理、辦公生產力工具，並且提供熟悉的使用者體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-web.jpg" style="width: 600px;" /></a></p> <p>在產品定位上，CSB的出現，是為了消除多個層面的之間的資安防護鴻溝，例如：一般瀏覽器、SaaS應用程式、基於端點的控管，以及身分供應端（identity providers），可將CyberArk Identity Security Platform延伸至瀏覽器，協助IT團隊修整資安、隱私防護、辦公生產力的控制，範圍可涵蓋列管與未列管的裝置。</p> <p>就功能而言，CSB最外顯的特色，是不留Cookie的網頁瀏覽（Cookieless Browsing），當使用者存取網頁資源時，可強制將Cookie存放在電腦的記憶體或CyberArk伺服器端，可實現更安全、順暢的網頁瀏覽體驗，確保使用者的網頁連線階段、資料、帳號都能維持機密性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB Cookieless.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20Cookieless.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20Allowlist.jpg" style="width: 600px;" /></p> <p>相對而言，若瀏覽器的Cookie檔案存放在個人端裝置本機硬碟，往往導致許多資料可能暴露在攻擊者或第三方實體的面前，對方得以竊取、偽造、竄改這些資料，發動Cookie劫持行為，在身分驗證之前（pre-authentication）或之後（post-authentication），憑藉authentication cookie非法存取敏感資源。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cbs-Prevent%20Cookie%20The.jpg" style="width: 600px;" /></p> <p>值得注意的是，CSB預設也停用Chrome內建的開發人員工具（DevTools）主控臺，因為可從這裡存取瀏覽器在電腦本機存放的資料。CyberArk預告，未來CSB將會針對電腦本機儲存的資料進行加密，預防第三隻眼（prying eyes）類型的列舉攻擊，或是資料發行遭滲透的狀況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB-disabled devtools.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-disabled%20devtools.png" style="width: 500px;" /></a></p> <p>CSB的第二個特色是可防護資料外洩，企業可透過CyberArk專屬設計的精細政策，預防有人經由瀏覽器擅自外流資料，以免損害機密。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB Best Practice.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20Best%20Practice.jpg" style="width: 600px;" /></a></p> <p>第三個特色是替代密碼輸入，CSB提供只能使用一次的文數字組成的臨時登入憑證，且僅限這套瀏覽器、指定位置使用，而非讓人看見由純文字組成的高權限帳號密碼內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB PW REPLACE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20PW%20REPLACE.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB PW replace2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20PW%20replace2.jpg" style="width: 600px;" /></a></p> <p>關於第三方身分供應端與各種應用系統的整合上，這套安全瀏覽器也因為本身是CyberArk Identity Security Platform的一部分，而能提供廣泛支援。此部分功能首先得力於CyberArk兩大產品：Workforce Password Management（WPM）、Secure Web Sessions（SWS），企業可運用它們的功能，而基於每個使用者的角色，自定連線階段的防護、存取控制，以及身分管理方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20WPM.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB SWS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20SWS.jpg" style="width: 600px;" /></a></p> <p>以WPM而言，CSB預設停用Chrome瀏覽器內建的密碼管理員，改用WPM儲存與管理使用者的帳號密碼（要啟用此功能需具備WPM授權）。若要使用第三方業者提供的密碼管理員也行，因為CSB可允許用戶控制瀏覽器外掛程式的啟用與停用設定，不過，這麼一來，就無法使用CSB的密碼替代功能；</p> <p> </p> <p>至於SWS的整合，可協助企業側錄使用者的網頁連線階段，記錄所有存取活動，以便後續進行稽核。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SWS-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SWS-web.jpg" style="width: 600px;" /></a></p> <p>同時，CSB也能結合同品牌的端點特權管理系統Endpoint Privilege Manager（EPM）使用，可預防具有潛在風險的網頁存取活動，並保護已存在資安漏洞的端點設備。</p> <p>在簡易操作的部分，CyberArk在此提供使用者可快速使用的邊欄工具列，當中能透過單一登入整合（SSO）的身分驗證，只需進行點選，即可安全存取常用的應用系統、第三方工具，以及該公司的特權存取管理資源。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB%20Produc4vity%20Pane.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSB-App1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App1.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSB-App2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App2.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSB-App3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App3.png" style="width: 198px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App4.png" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/CSB-App5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSB-App5.png" style="width: 198px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>CyberArk Secure Browser</strong><br /> ●原廠：CyberArk<br /> ●建議售價：廠商未提供<br /> ●版本：24-03.4<br /> ●供應區域：us-east-1美國東部（維吉尼亞北部）、eu-central-1歐洲（法蘭克福）、ap-southeast-2亞太區域（雪梨）、ca-central-1加拿大（中部）、eu-west-2歐洲（倫敦）、ap-south-1亞太區域（孟買）、ap-southeast-1亞太區域（新加坡）<br /> ●瀏覽器平臺：Chromium，Google Chrome、Microsoft Edge，受防護電腦的作業系統為Windows 10或11<br /> ●服務存取需求：Authentication service、Web portal、Browser extension service、CyberArk Mobile app service、Secure Browser side panel、AWS iot endpoint<br /> ●行動裝置需求：iOS 13.x以上、Android 10.x以上</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/4/18 01:09作者李宗翰https://www.ithome.com.tw/review/162351
DuckDuckGo三合一訂閱服務Privacy Pro，包含隱私VPN與個資刪除服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DuckDuckGo推出三合一訂閱服務<a href="https://spreadprivacy.com/meetprivacypro/">Privacy Pro</a>，Privacy Pro包含自家營運的匿名VPN、個人資料刪除服務，以及身分竊盜恢復服務，目前Privacy Pro首先在美國推出，費用為每月9.99美元或是一年99.99美元，官方計畫之後還會推展Privacy Pro到其他的地區。</p> <p>Privacy Pro所提供的VPN服務，由DuckDuckGo自家營運，採用開源WireGuard協定，並使用VPN連線自動將DNS查詢路由到DuckDuckGo DNS解析器。該VPN服務會加密整個裝置的網路連接，向網站隱藏位置與IP地址，甚至連ISP也無法看到使用者的線上瀏覽流量， DuckDuckGo表示，他們有嚴格的禁止紀錄政策，不會紀錄或是保存能夠將用戶身分與線上活動連結起來的資料，也不會將這些資料與DuckDuckGo的其他服務相關聯。</p> <p>用戶將會透過DuckDuckGo瀏覽器安裝VPN功能，不需要安裝單獨的VPN應用程式，當VPN連線因故中斷，系統會嘗試自動重新連線避免任何資料外洩，官方表示，Privacy Pro VPN也是Android系統中，唯一與DuckDuckGo App Tracking Protection相容的VPN服務。目前DuckDuckGo在美國、歐洲和加拿大設有VPN伺服器，隨著時間發展，官方還會增加更多伺服器。</p> <p>Privacy Pro個人資料刪除服務則會協助用戶，刪除網路上未經同意暴露的個人資訊。諸如Spokeo和Verecor等人物搜尋網站會從公開紀錄、社交媒體和其他資料代理收集用戶個人資料並且銷售。DuckDuckGo的服務則會掃描這些網站，一旦發現用戶的個人資訊，就會自動發送請求將其移除，並處理後續確認郵件。</p> <p>特別的是，這項服務的所有資料都儲存在用戶裝置上，並且由裝置發起移除請求，用戶透過DuckDuckGo瀏覽器中的個人儀表板，可以查看移除進度和已移除的個人資訊。目前要使用這項服務，需要一臺主要的Mac和Windows電腦，儀表板也只能在該裝置上存取，官方未來計畫支援用戶在其他裝置查看儀表板。</p> <p>身分竊盜恢復服務則是DuckDuckGo與Iris公司合作，全天候以小於11秒的平均時間接聽用戶的電話。Iris會收集用戶相關情況的詳細資訊，並且協助在詐欺活動後恢復信用、提供旅遊援助、整頓詐欺性醫療索賠，並且支付部分自付費用。DuckDuckGo與Iris之間不共享任何個人資料，由Iris直接協助用戶處理相關問題。</p> </div></div></div>
2024/4/17 08:34作者李建興https://www.ithome.com.tw/news/162346
Google One的VPN服務今年將關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周宣布將在今年內關閉付費服務Google One中的VPN功能。</p> <p><a href="https://www.androidauthority.com/vpn-by-google-one-shut-down-3433530/" target="_blank">Android Authority</a>首先報導，Google周五以電子郵件通知Google One用戶今年內的服務變更。Google並向<a href="https://9to5google.com/2024/04/11/google-one-vpn-discontinued/" target="_blank">9to5Google</a>證實此事。</p> <p>Google VPN原本包含在寬頻服務Google Fi，2020年<a href="https://www.ithome.com.tw/news/140862" target="_blank">納入</a>付費服務Google One中。這項服務免費提供給選用2TB Google Drive以上的用戶，2022年Pixel 7推出時也內含免費的VPN。Google One的VPN服務原本月費9.99美元，去年Google將費用調降為1.99美元。</p> <p>Google對媒體表示，公司將重新聚焦，以支援「最有需求的Google One功能」。</p> <p>不過，Google VPN服務仍然會持續提供給Pixel 7以上的用戶。Pixel 8改為內建VPN，而且Google<a href="https://support.google.com/pixelphone/answer/2819573" target="_blank">說明</a>7、7 Pro、7a及Fold機種也將在6月更新，改為內建VPN，不再需要安裝Google One App。此外，寬頻服務Google Fi的VPN也仍然持續。</p> <p>Google VPN之前引發一些爭議。有用戶<a href="https://www.ithome.com.tw/news/162139" target="_blank">發現</a>，從去年底開始，Google VPN會將Windows及Mac電腦VPN的DNS設定，自動變更為Google DNS伺服器（8.8.8.8），不論用戶原有設定為何，而且即使關閉甚至刪掉Google VPN，都無法改掉Google設定。Google年初承諾改善，但似乎到上周問題仍未解決。</p> </div></div></div>
2024/4/15 11:00作者林妍溱https://www.ithome.com.tw/news/162291
零售IT雙周報第32期：無人結帳技術新方向？統一超與Amazon的新結帳科技做法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0331~0413)</strong></p> <p>零售業者運用結帳技術的環境仍在持續變化。上期我們介紹了零售業者減少對自助結帳機的依賴，這期則報導無人商店結帳技術的應用模式轉變，Amazon要主動退場紅極一時的拿了就走結帳技術Amazon Just Walk Out，統一超新的無人商店也不用去年X-Store推出的拿了就走技術，而是使用更低成本，但仍相當方便的手機掃描結帳。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人結帳技術</span></span><br /> 統一超推出迷你無人商店，用手機取代自助結帳機進一步節省門市坪數</strong></p> <p>統一超近日於內湖開設了一坪大的X-Store微型商店，販售常溫零食、飲料、用品等商品。這間「店」只是在開放空間的一個簡易貨架，沒有店員、沒有後場，甚至連擺設自助結帳機的空間都省下了。</p> <p>顧客結帳方法沒有採用最新X-Store 7號店的「拿了就走」無人店結帳技術，而是用6號店等過往X-Store曾用過的Web App，掃描登錄商品，再用統一超自家支付工具付款。與其他X-Store App一樣，這個Web App會要求存取裝置位置，以確認顧客位置確實在店內。</p> <p>這個開放式貨架型店面搭配了統一超既有的AI訂貨系統，根據銷量與庫存來預測訂貨需求，並由負責營運的母店店員到店補貨。此外，也搭載了統一超智能監控系統來防盜。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#拿了就走</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧購物車</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人結帳技術</span></span><br /> Amazon於停用自家超市Just Walk Out無人結帳技術</strong></p> <p>拿起商品，直接走人的無人結帳技術Just Walk Out，將於美國Amazon Fresh超市消失。雖然此技術有成功被其他零售商應用於高瞬間人流量的場景，例如球場、機場等，但Amazon表示，這個技術不適合自家超市的購物場景。</p> <p>Amazon聲明中寫道，他們發現自家超市顧客更希望購物時能輕易找到鄰近商品及優惠、隨時瀏覽購物明細，以及確認自己透過優惠活動省了多少錢。為了在不占用顧客手機螢幕的情況下提供這些功能，同時保留「直接走人」體驗，他們計畫於店內擴大運用自家智慧購物車Dash Cart。這個技術利用電腦視覺及重量感測器等技術辨認顧客購買商品，並於顧客推著整車商品出店時自動結帳。</p> <p>另外，Amazon併購的連鎖超市Whole Foods也宣布停用Just Walk Out結帳技術。不只如此，AWS近日還裁撤了數百名零售科技部門的員工，大部分都負責Just Walk Out相關技術。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧結帳技術</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生物辨識</span></span><br /> Amazon利用AI降低掌紋辨識結帳技術的登錄門檻，不須專門掃瞄儀器即可註冊</strong></p> <p>減少使用Just Walk Out無人結帳技術同時，Amazon也將注意力轉向旗下其他無人結帳技術。Amazon One是一個他們生物特徵辨認技術，用於無人結帳場景。顧客只要先設定數位支付方式，進出店時刷一下手掌，機器便會靠掌紋及底下血管結構等特徵來辨識消費者身分，並自動付款。</p> <p>過往，顧客要登錄使用這個服務，必須用專門的近紅外線機器精密掃描手掌，因此只能到支援此技術的實體店面現場登錄。<a href="https://www.aboutamazon.com/news/retail/amazon-one-app">近日，Amazon在iOS及Android雙平臺推出了登錄用App，顧客只要用手機鏡頭拍攝手掌就可以登錄</a>。</p> <p>降低手掌特徵紀錄門檻的技術關鍵是Amazon新開發的電腦視覺技術，光靠手機照片即能讀取出足夠多細節，並轉化為一串特徵值向量。當顧客造支援Amazon One的實體店時，機臺會再次詳細掃描顧客掌紋，並快速比對掌紋特徵值向量，完成身分辨認。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一手零售數據</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI推薦機制</span></span><br /> RMN先行者案例：Pinkoi經營RMN5年，一年創造3億交易額</strong></p> <p>早在2019年，設計類垂直電商Pinkoi就推出了零售媒體聯播網服務，作為站上賣家的一種行銷工具。儘管如今RMN業績亮眼，Pinkoi SaaS產品負責人李少昱直言，Pinkoi打造RMN服務初衷，並不是為了廣告收入。</p> <p>當年，Pinkoi完成數據架構翻新，完成設計領域專屬AI模型後，正好遇到賣家許願，希望有提升自己商品曝光機會的付費機制。於是，他們決定投入高達4成工程資源，開發出了廣告商品排序演算法、即時競價機制、廣告投放機制、廣告內容呈現機制等RMN系統所需基礎建設，並於2019年正式上線RMN服務。至今，RMN帶來的廣告費已經占電商總營收3成，且一年促成了3億元交易量。不過，他們經營RMN並非一路順風順水，必須克服技術面和業務面挑戰，才達到如今成效。（<a href="https://www.ithome.com.tw/news/162013">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#實體行銷成效追蹤</span></span><br /> Walmart揭露2024RMN戰略，要強化全通路行銷能力並新增更多廣告投放選項</strong></p> <p>零售龍頭Walmart<a href="https://corporate.walmart.com/news/2024/04/01/how-walmart-connect-is-putting-walmarts-purpose-in-motion">揭露自家2024年RMN戰略</a>，有擴大廣告投放選項、拓展廣告通路、增加精準度及追蹤能力，以及提供更多行銷活動和素材設計方案，共四大方向。</p> <p>擴大廣告投放選項方面，包括開放更多商家使用自助式程序化廣告投放功能、開放沒有在Walmart上架商品的廣告主也能投廣，以及推出本地化版自助式廣告投放平臺，以進攻國際廣告市場。</p> <p>他們還要拓展廣告通路到更多自家零售通路，乃至於外部通路。今年他們要推出更多店內樣品發送及商品展示體驗的行銷方案、自助式電視牆廣告投放功能，還與第三方CTV軟體商及短影音平臺合作投放廣告。</p> <p>隨著第三方Cookie退場，行銷訊息流失（Signal loss）風險增加，他們還要增加廣告投放精準度及成效追蹤能力。今年，他們要推出各式跨通路成效追蹤功能，包括數位搜尋廣告的店內轉換率、店內行銷成效轉換率及曝光率追蹤、更多品牌曝光追蹤分析及競爭者行銷情形分析。並且，提供更多進階精準行銷投放選項。</p> <p>最後，他們還計畫提供更多行銷活動及素材設計方案。這包括更多型態的線下行銷活動以及更多數位廣告格式。今年稍晚，還要推出自助式行銷活動設計輔助及成效追蹤工具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋引擎</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據工程</span></span><br /> 收錄6億商品的比價網打造跨電商搜尋引擎背後的數據基本功</strong></p> <p>第一網站旗下比價網飛比價格每月吸引1,300萬流量，背後核心功能是可以檢索上百家電商、6億筆商品數據的跨電商搜尋引擎。為了打造搜尋、比價及數位行銷功能，他們必須先從不同規模、類型及技術成熟度的電商蒐集商品數據，接著自行統一商品格式。</p> <p>為了運用超大量網站使用者數據來支援搜尋及推薦功能，他們打造了一個3層式數據處理架構，依照資料量大小及用途，決定儲存方式及保留期限。原始資料層級會快速整合、精簡化成資料量更小的層級，且只保留短短數周，整合過的資料才會為了隨機存取而做索引，且可以保留長達數年。這種分層方法可以降低機器處理資料時的運算成本，也能壓低資料處理時間。</p> <p>第一網站劉勉志表示，除了商品和使用者資料，要打造國際級搜尋引擎，還有一個要件──讓機器善用前面兩種數據的做法。（<a href="https://www.ithome.com.tw/people/162246">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#互動式購物體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化購物體驗</span></span><br /> eBay推出新型互動式服飾購物體驗，用生成式AI根據個人喜好生成穿搭圖片並推薦相似</strong>款</p> <p>C2C電商龍頭eBay推出新型互動式服飾購物體驗Shop the Look，根據顧客過往購物歷史，用生成式AI生成一系列穿搭範例圖。顧客可以點擊圖片上的不同元素，來尋找eBay站上相似商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebslp.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人廚房</span></span><br /> 加油站便利商店Re-up導入全自動廚房來販售現做熟食商品</strong></p> <p>美國連鎖加油站便利商店Re-up<a href="https://www.businesswire.com/news/home/20240402720622/en/AI-Powered-Convenience-Store-Chain-Re-Up-to-Deploy-Autonomous-Kitchens">導入全自動廚房技術</a>，來製作炸物料理。這個廚房由一系列智慧廚具及機械手臂構成，可以<a href="https://vimeo.com/750563660">包辦取料、下油鍋、瀝油、調味、包裝、自我清潔等流程</a>，不須真人店員介入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/reup.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://blog.google/products/shopping/google-personalized-shopping-tips/">Google測試更多個人化購物功能，包括利用生成式AI產出心目中商品照片再用以搜尋相似品等</a></p> <p>2. <a href="https://corporate.bestbuy.com/generative-ai-customer-support/">美國大型3C連鎖賣場Best Buy推出生成式AI客服</a></p> <p>3 .統一資訊推出在地商家貼文聯播網，將Google商家檔案轉變為廣告版位</p> <p>資料來源：iThome整理，2023年4月</p> <p>圖片來源：eBay、統一超、Nala Robotics</p> <p>責任編輯：郭又華</p> </div></div></div>
2024/4/12 17:46作者郭又華https://www.ithome.com.tw/news/162266
Android版Outlook將可用於微軟帳號登入驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/easily-sign-in-to-all-microsoft-accounts-using-the-outlook-app/ba-p/4109088" target="_blank">微軟本周宣布</a>最新Android版本Outlook將可整合部分Authenticator的功能，讓用戶在不同裝置上登入Microsoft 365等微軟服務。</p> <p>為了在多個裝置上登入雲端服務帳號，過去往往需要輸入帳密。但密碼管理相當麻煩，此外密碼甚至以簡訊為基礎的雙因素驗證都有被駭客取得或攔截到密碼的風險。為此，在微軟設計下，登入Microsoft 365、OneDrive、Teams和Windows都搭配微軟Authenticator。</p> <p>最新版本Android版Outlook將可整合這部分功能。當用戶在較不常用的裝置登入微軟帳號時，只要用Outlook App加上指紋或PIN碼就能完成登入驗證，而不用再搭配Authenticator App。</p> <p>這項功能只要用戶升級到最新版本Outlook即可自動啟動。當用戶從別臺裝置（如PC）欲登入微軟帳號，會顯示通知，要求用戶以Android手機的Outlook App進行驗證；通知會顯示一個數字，要求用戶在Outlook App中選定，再執行指紋或PIN碼驗證。</p> <p>如果用戶先前已經設定用微軟Authenticator App，仍然可持續原本的方式登入。</p> <p>微軟預告會開始向Android用戶部署最新功能，同時微軟也正計畫將這功能實作到iOS版Outlook上。</p> </div></div></div>
2024/4/11 12:49作者林妍溱https://www.ithome.com.tw/news/162238
WordPress.com母公司Automattic買下Beeper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress.com母公司<a href="https://automattic.com/2024/04/09/automattic-acquires-beeper/" target="_blank">Automattic周二（4/9）宣布</a>，已買下2021年創立、整合眾多傳訊服務的Beeper。雙方並未公布交易金額，但《彭博社》（Bloomberg）<a href="https://www.bloomberg.com/news/articles/2024-04-09/wordpress-com-owner-acquires-beeper-messaging-app-at-heart-of-apple-spat" target="_blank">引用消息來源報導</a>，此一交易價值1.25億美元。</p> <p>Beeper是由智慧手錶品牌Pebble的創辦人Eric Migicovsky所共同創立，創立的初衷是想以Beeper整合市場上的15款即時傳訊服務，包括極為封閉的蘋果iMessage在內。不過，目前的<a href="https://www.beeper.com/" target="_blank">Beeper</a>只整合了14款傳訊程式，包括WhatsApp、Facebook Messenger、Twitter、Android SMS、Google Messages（SMS/RCS）、Telegram、Signal、Matrix、Slack、Google Chat、Instagram、IRC（Libera.chat）、Discord與LinkedIn，並未包含iMessage。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-beeper-4.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Beeper</span></span></p> <p>原本Beeper對整合iMessage的規畫是，使用者可藉由Mac或iPhone作為iMessage的中繼站，再將iMessage的訊息傳至Windows、Android與Linux裝置上，但似乎沒有成功；之後亦曾打造Beeper Mini，以讓Android手機可以與iPhone上的iMessage以免費的藍色泡泡互動，幾天後就被蘋果關閉。</p> <p>自2021年創立以來，Beeper一直維持封閉測試的狀態，迄今僅有逾11.5萬人下載並使用Beeper，但後補人數超過46萬，現在Beeper則宣布開放所有人試用，它支援Android、iPhone/iPad、ChromeOS、macOS、Windows和Linux等平臺。</p> <p>其實Automattic去年10月便曾以5,000萬美元<a href="https://www.ithome.com.tw/news/159476" target="_blank">買下另一家企圖整合不同傳訊服務的Texts</a>，當時的Texts透過SDK來集結iMessage、WhatsApp、Telegram、Signal、Messenger、Twitter（現在的X）、Instagram、LinkedIn、IRC、Slack與Discord DM，並於單一介面上呈現。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-texts%20automattic(1).png" style="width: 600px;" /></p> <p>Automattic表示，目前的傳訊服務非常混亂，使用者手機安裝了數不清的聊天程式，每個聊天程式都有各自的聯絡人及通知設定，而讓朋友更容易忽略親友的訊息，該公司認為溝通屬於基本人權，它應該要儘可能地可存取、加密與開源，未來將藉由合併Texts及Beeper來實現此一核心理念，結合雙方的技術將使更多人重回開放網路的承諾。</p> <p>現階段Beeper與Texts將持續以兩個不同的程式運作，但未來將會合併，Migicovsky則已進入Automattic，擔任傳訊團隊的負責人。</p> </div></div></div>
2024/4/10 15:50作者陳曉莉https://www.ithome.com.tw/news/162220
【資安日報】4月9日，惡意軟體JsOutProx鎖定亞太地區、中東及北非而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定金融機構的惡意程式攻擊事故頻傳，一旦這些惡意軟體入侵受害者的裝置，便會試圖將他們的銀行帳戶洗劫一空，但如今，有一支名為JsOutProx的惡意程式引起國際信用卡組織注意，並對發卡銀行及相關單位提出警告。</p> <p>資安業者Resecurity也公布調查結果，並指出這起攻擊行動最大的特色之一，就是對方大肆濫用程式碼儲存庫GitLab。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162186"><strong style="font-size: 22px;">鎖定金融機構的惡意軟體JsOutProx攻擊行動升溫，目標是亞太地區、中東及北非</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/22b320a7c918774b522c2340bed5a131.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/22b320a7c918774b522c2340bed5a131.png" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer的報導，國際信用卡組織Visa旗下的支付詐欺阻斷部門（Payment Fraud Disruption，PFD）發布資安通報，指出最近一波的惡意軟體JsOutProx攻擊，針對南亞、東南亞、中東、非洲金融機構與客戶而來。</p> <p>對方自3月27日開始從事網路釣魚攻擊，呼籲發卡銀行、處理機構，以及相關單位嚴加防範。而對於攻擊者的最終目標，Visa表示仍有待確認，但指出該駭客組織曾從事金融詐欺行動。</p> <p>針對這起攻擊行動的細節，資安業者Resecurity也公布相關調查結果。對方假冒合法的機構，聲稱為目標人士提供財務通知寄送電子郵件，信件內容與SWIFT或MoneyGram付款有關，並挾帶ZIP壓縮檔附件，內容包含.js檔案，一旦收信人執行，電腦就會從程式碼儲存庫GitLab下載JsOutProx惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/162198"><strong style="font-size: 22px;">金融木馬Mispadu擴大攻擊範圍，鎖定歐洲而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Mispadu_Diagram_1-ezgif_com-opti.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mispadu_Diagram_1-ezgif_com-opti.jpg" style="width: 300px; float: right;" /></a></p> <p>原本鎖定拉丁美洲（LATAM）、慣用西班牙語用戶的金融木馬Mispadu（亦稱URSA），近期也將魔爪伸向歐洲國家。資安業者Morphisec發現，近期Mispadu的攻擊行動顯著增加，雖然墨西哥仍是主要目標，但他們開始在義大利、波蘭、瑞典看到有人受害。</p> <p>對方假借提供發票的名義寄送釣魚郵件，當中挾帶PDF附件檔案，一旦收信人開啟附件，並點選檢視完整發票的按鈕，電腦就會從Yandex電子郵件服務下載惡意酬載，最終都有可能觸發Visual Basic指令碼，以便下載、執行第2階段的指令碼，檢查目標電腦是否為沙箱環境，最終部署Mispadu，並藉由以AutoIT指令碼寫成的惡意程式在記憶體內執行有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/162199"><strong style="font-size: 22px;">營養保健品牌「無毒的家」通報網站會員資料外洩事件</strong></a></p> <p>4月7日生化科技業者佰研發布重大訊息，指出旗下的營養保健品牌「無毒的家」電商網站會員資料出現外洩的情況。</p> <p>而對於他們得知這起事故的緣由，是接獲臺灣電腦網路危機處理暨協調中心（TWCERT/CC）通知，有國外論壇洩露該商店的資料，內容包含會員個資，但強調並無信用卡卡號及交易記錄。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162189"><strong style="font-size: 22px;">D-Link停止維護的多款NAS機型被揭露多個漏洞，全球逾9.2萬臺設備恐被植入後門</strong></a></p> <p>研究人員Netsecfish揭露存在於D-Link網路儲存設備（NAS）的漏洞CVE-2024-3273，影響DNS-340L、DNS-320L、DNS-327L、DNS-325等機種，CVSS風險評分為7.3，估計全球有92,589臺NAS曝險。這些設備還是因為直接連上網際網路而被找到，若將未連上網路的設備也納入，受影響範圍應該還會更大。</p> <p>值得留意的是，由於這些NAS設備的生命週期已經結束（EOL），D-Link表明將不會提供相關修補，並呼籲用戶應儘速淘汰這些設備。</p> <p><a href="https://www.ithome.com.tw/news/162166"><strong style="font-size: 22px;">Ivanti再度修補VPN系統漏洞，全球恐有逾1.6萬臺設備曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GKZ6g35WYAAHQXV.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GKZ6g35WYAAHQXV.jpg" style="width: 300px; float: right;" /></a>4月2日資安業者Ivanti發布資安公告，指出旗下的VPN系統Connect Secure、網路存取控制系統Policy Secure存在4項漏洞，其中的CVE-2024-21894、CVE-2024-22052、CVE-2024-22053為高風險層級，問題出在IPsec元件；CVE-2024-22023則為中度風險漏洞，主要是在SAML元件有問題。</p> <p>而對於漏洞曝險的情況，有研究人員公布他們的觀察。5日Shadowserver基金會指出，全球約有16,500臺實體尚未修補CVE-2024-21894，比例以美國最高，有約4,600臺，其次是日本、英國、德國、法國，分別有2,000臺、1,000臺、900臺、900臺。</p> <p><a href="https://www.ithome.com.tw/news/162191"><strong style="font-size: 22px;">Google修補Pixel手機零時差漏洞，傳出遭鑑識公司利用</strong></a></p> <p>4月2日Google針對Pixel手機推出本月例行更新，並提及其中有2個高風險漏洞CVE-2024-29745、CVE-2024-29748，已被用於針對有限目標的攻擊行動。</p> <p>其中，CVE-2024-29745為資訊洩露漏洞，與開機載入工具有關；CVE-2024-29748為權限提升漏洞，涉及手機韌體，兩者皆為高風險層級的漏洞。而對於上述兩項零時差漏洞，通報此事的Android作業系統GrapheneOS開發團隊進一步提出說明，並表示有鑑識公司正在利用這些漏洞。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.hackread.com/intelbroker-us-national-security-data-contractor-acuity/"><span style="font-size: 20px;">資料掮客IntelBroker聲稱從承包商竊得美國國家安全資料</span></a></strong></p> <p></p> <p><a href="https://sansec.io/research/magento-xml-backdoor"><strong style="font-size: 20px;">電子商務平臺Magento漏洞遭到利用，駭客對其注入後門程式</strong></a></p> <p></p> <p><a href="https://www.bitdefender.com/blog/labs/ai-meets-next-gen-info-stealers-in-social-media-malvertising-campaigns/\"><strong style="font-size: 20px;">駭客透過臉書聲稱提供人工智慧服務MidJourney，目的是散布惡意程式</strong></a></p> <p></p> <p><a href="https://blog.talosintelligence.com/coralraider-targets-socialmedia-accounts/"><strong><span style="font-size: 20px;">越南駭客組織鎖定亞洲、東南亞用戶，利用惡意程式RotBot、XClient竊取資料</span></strong></a></p> <p></p> <p><a href="https://news.sophos.com/en-us/2024/03/26/the-impact-of-compromised-backups-on-ransomware-outcomes/"><strong><span style="font-size: 20px;">勒索軟體駭客鎖定受害組織備份資料進行破壞</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162157"><strong>【4月8日】勒索軟體駭客組織Red CryptoApp聲稱入侵超過10個企業組織引起研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162113"><strong>【4月3日】研究人員發現中國駭客組織APT41旗下團體使用更為隱密的方式迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162102"><strong>【4月2日】CISA傳出向美國政府報告Ivanti系統遭到入侵的事故</strong></a></p> </div></div></div>
2024/4/9 17:37作者周峻佑https://www.ithome.com.tw/news/162200
Google修補Pixel手機零時差漏洞，傳出遭鑑識公司利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月2日<a href="https://source.android.com/docs/security/bulletin/pixel/2024-04-01">Google針對Pixel手機推出本月例行更新</a>，並提及其中有2個高風險漏洞CVE-2024-29745、CVE-2024-29748，已被用於針對有限目標的攻擊行動。</p> <p>其中，CVE-2024-29745為資訊洩露漏洞，與開機載入工具有關；CVE-2024-29748為權限提升漏洞，涉及手機韌體，兩者皆為高風險層級的漏洞。</p> <p>而對於上述兩項零時差漏洞，通報此事的Android作業系統GrapheneOS開發團隊<a href="https://twitter.com/GrapheneOS/status/1775305179581018286">進一步提出說明</a>，並表示有鑑識公司正在利用這些漏洞。</p> <p>針對對方利用漏洞的方法，研究人員表示，CVE-2024-29745是存在於快速開機（fastboot）韌體，鑑識公司重新啟動裝置並進入After First Unlock狀態，從而在Pixel手機截取記憶體內容。</p> <p>至於另一個漏洞CVE-2024-29748，則是可被用於阻撓裝置管理員回復原廠設定，而使得執行復原動作不安全。</p> </div></div></div>
2024/4/9 16:13作者周峻佑https://www.ithome.com.tw/news/162191
Google在Android Studio整合Gemini Pro大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google將<a href="https://android-developers.googleblog.com/2024/04/android-studio-uses-gemini-pro.html">Gemini 1.0 Pro大型語言模型整合至Android Studio</a>，供開發人員詢問Android開發相關問題，與此同時，原本Android Studio中人工智慧開發助理Studio Bot，也被更名為Gemini in Android Studio，進一步反映Android Studio人工智慧助理的更新。</p> <p>Studio Bot是Android Studio的人工智慧開發助理，Google在2023年I/O大會上發表該項功能，最初是使用專為Android Studio微調的模型Codey，而Codey為PaLM 2的衍生模型。Studio Bot的功能可以協助開發者生成程式碼、回答問題，提供相關資源，官方提到，Studio Bot的優勢在於能夠掌握應用程式專案的開發脈絡，快速且精確地回答問題。</p> <p>更名後的Gemini in Android Studio，功能與Studio Bot大同小異，開發者同樣能夠藉由聊天視窗輸入提問，Gemini in Android Studio會記住與對話的上下文，使開發者可延續之前的問題，發展後續對話。</p> <p>新模型Gemini 1.0 Pro具有強大的人工智慧程式碼生成功能，開發者可以獲得多行程式碼完成建議、程式碼註解建議，也可替程式碼生成文件。Gemini也能夠協助開發人工智慧應用程式，開發者在創建專案時，只要選擇Gemini API樣板便可以簡單地添加人工智慧功能。此外，Gemini API使用多模態模型，因此可接受用戶輸入圖像和文字，用於聊天、摘要、翻譯和標題生成上。</p> <p>Gemini in Android Studio僅在用戶登入時才會啟用，開發者不需要發送程式碼，就可以使用多數的功能，在預設情況，Gemini in Android Studio的聊天回應只會根據歷史紀錄回應，開發者可以客製化上下文共用，除了以專案層級設定之外，也讓開發者從.aiexclude檔案選擇退出部分檔案和資料夾。</p> <p>Android Studio的開發助理功能已經在超過180個地區推出，官方提到，目前已經在使用Studio Bot的開發者，將可以感覺到Gemini in Android Studio所帶來的回應品質提升。</p> </div></div></div>
2024/4/9 16:11作者李建興https://www.ithome.com.tw/news/162188
Google在美、加部署Find My Device網路，Pixel 8關機也找得到
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-find-my-device/" target="_blank">Google昨（8）日宣布</a>Find My Device網路從美加開始部署，可幫助用戶找到Android手機，其中Pixel 8及8 Pro手機即使手機沒電或關機也找得到。未來搜尋裝置功能也將擴及智慧型耳機。</p> <p>Google新一代的Find My Device（FMD）是利用全球上億臺Android裝置形成的藍牙網路，來定位及尋找已開啟藍牙的裝置。Google於去年Google I/O大會上宣布，原本預計去年夏天啟動，但這網路新增偵測不明追蹤器的功能，需要Android及iOS裝置都實作才能發揮作用。去年7月Google基於蘋果iOS尚未實作偵測功能而<a href="https://www.ithome.com.tw/news/157984" target="_blank">宣布</a>延後網路部署。</p> <p>Google這項計畫將從美、加開始部署，最終推向全球，可讓用戶透過「Find My Device」（尋找我的裝置）應用程式找到裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0409-google%20android%20fing%20my%20device-2.png" style="width: 272px;" /></p> <p>FMD App及網路可用於尋找、定位Android手機或支援的藍牙追蹤器（Tag）。其中，Google最新手機Pixel 8、Pixel 8 Pro拜其「專用硬體」之賜，即使關機或電池沒電情況下還是能以這新功能尋獲。從5月開始，第三方支援這項功能的藍牙追蹤器也會正式上市，包括<a href="https://chipolo.net/en-us/products/category/chipolo-point" target="_blank">Chipolo</a>、<a href="https://pebblebee.com/pages/google-find-my-device" target="_blank">Pebblebee</a>。兩者也相容於Android和iOS的不明追蹤器警告功能。今年內還會有其他廠牌的藍牙追蹤器，包括eufy、Jio、Motorola等上市。</p> <p>使用應用程式時，FMD App會顯示用戶的所有Android裝置或藍牙追蹤器，按下當中的「Find nearby」按鍵，它會播放聲音提示，提示用戶是否接近物品。App並有Material You的空心花朵動畫，會隨著用戶愈接近物品愈填滿，直到最後出現物品圖示。此外，若用戶家中有Nest裝置，如智慧顯示器、智慧音箱，FMD App也能顯示在Nest裝置附近的遺失物。最後，用戶可將FMD顯示的定位訊息分享給他人，必要時大家分頭尋找。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0409-google%20android%20fing%20my%20device-Share_accessories_with_friend-600.png" style="width: 278px;" /></p> <p>Google指出，FMD內建多層防護，確保用戶資訊以及周邊Android用戶的隱私。首先，遺失物品位置及眾籌式（crowded）裝置定位通報資訊，都經過全程加密傳送給追蹤器持有者及他分享資訊的人，且也只有這些人能解密讀取定位訊息。Google強調，連Google都不得讀取訊息，或是辨識該遺失物附近的Android裝置用戶身份。不僅如此，當FMD網路傳送遺失物地點和時間戳記給失主時，他/她也無法得知附近Android裝置的其他資訊。最後，全程加密的位置資料保留時間極短，會頻繁被覆寫掉。而且，如果FMD網路判斷可以用使用者自己的Android裝置來定位藍牙追蹤器，FMD網路就會自動忽視眾籌產生的位置通報。</p> <p>其他隱私和安全防護包括，Google設計，Android裝置用於眾籌產生FMD定位時，不會使用Google帳號填入的住家地址。此外，FMD網路速限（rate limiting）及節流（throttling），藉由減少遺失物位置訊息更新，防止用戶呼叫時，被第三者追蹤到他/她的即時所在。</p> <p>最後，Google允許用戶控制其手機是否參與FMD網路，或公開多少資訊。一旦東西真的找不回來，他們也可以從遺失裝置上抹除資訊。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/4/9 11:53作者林妍溱https://www.ithome.com.tw/news/162167
華為自製行動平臺HarmonyOS已有4,000個原生程式，準備切割Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因遭到美國制裁而不得不自己開發行動作業系統的華為，<a href="https://www.huaweicentral.com/native-harmonyos-apps-exceed-4000-mark-reveals-huawei/" target="_blank">在周日（4/7）宣布</a>，其自製Linux行動作業系統HarmonyOS上，已經或正式開發的原生應用程式數量已突破4,000大關。</p> <p>華為是在2019年5月遭美國<a href="https://www.ithome.com.tw/news/130724" target="_blank">納入實體名單</a>（Entity List），禁止美國企業出口技術給華為，包括<a href="https://www.ithome.com.tw/news/130769" target="_blank">晶片技術</a>，以及<a href="https://www.ithome.com.tw/news/139433" target="_blank">Android平臺與Google服務</a>。</p> <p>不過，華為依舊在去年發表了採用中芯國際所生產的晶片，以及自行開發之HarmonyOS 4作業系統的高階手機Mate 60系列。</p> <p>HarmonyOS是華為自2015年便開始打造的行動作業系統，初期主要作為IoT平臺，但美國的制裁迫使華為快速發展HarmonyOS，於2020年推出了可支援智慧型手機的HarmonyOS 2.0，該平臺同時也能執行Android程式。</p> <p>華為本周表示，目前正在打造HarmonyOS NEXT，它是HarmonyOS的純淨版本，移除了所有Android程式碼，且現階段僅專注於HarmonyOS程式，正在開發或已開發的HarmonyOS原生應用程式已超過4,000個。華為已釋出HarmonyOS NEXT的開發者測試版，預計於今年下半年發表消費者版本。</p> <p>從華為的宣布來看，HarmonyOS NEXT將不再支援Android程式。</p> <p>根據市場研究機構<a href="https://www.counterpointresearch.com/insights/global-smartphone-os-market-share/" target="_blank">Counterpoint去年第四季的調查</a>，Android仍為全球主要的行動平臺，市占率高達74%，居次的是iOS的23%，而華為的HarmonyOS也占了4%，儘管相差甚遠，但HarmonyOS已是全球第三大行動平臺。若僅觀察中國市場，Android仍然以64%領先，而HarmonyOS已以16%逼近iOS的20%。</p> <p>華為坦承，強化行動應用程式生態體系是該公司所面臨的主要難題之一，但轉向原生行動系統將能協助它從內到外的成長，以於中國市場挑戰Android。</p> </div></div></div>
2024/4/8 15:25作者陳曉莉https://www.ithome.com.tw/news/162156
【資安週報】2024年4月1日到4月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期IT界與資安界最重大的新聞，就是有開發人員意外發現了XZ/liblzma被植入後門的事件，紅帽也公布了XZ相關漏洞CVE-2024–3094，本期有多篇新聞與此事件有關。</p> <p>所幸的是，這次能夠及早揪出了這個潛藏的後門，目前只有部分Liunx版本受影響，影響層面還不是太廣，然而，這起針對開源軟體的供應鏈攻擊事件，正持續受到調查與探討，</p> <p>不只是意外發現的過程，後門植入的手法，更讓各界吃驚的是，涉及此事件提交的GitHub帳號，竟是從2021、2022年就開設帳號，並逐漸取得原始XZ維護者的信任，這樣的潛伏歷程備受矚目，也再次引發各界對於開源軟體安全議題的探討。</p> <p>還有兩個Linux漏洞的揭露值得關注，一是名為Flipping Pages、涉及netfilter元件的漏洞，一是名為WallEscape、涉及util-linux 套件的漏洞。這兩個漏洞的修補，分別在今年1月底與3月底釋出，近期研究人員各自揭露漏洞細節與並利用場景，同時呼籲尚未因應的用戶盡速更新。</p> <p>在其他漏洞利用消息方面，使用AI框架Ray的企業組織需特別留意，去年11月底Anyscale揭露5個漏洞，唯有CVE-2023-48022漏洞沒有修補，甚至認定這並非漏洞，但如今有資安業者揭露名為ShadowRay的攻擊行動，並指出該漏洞已被用於攻擊行動。</p> <p>Google Pixel手機用戶也要當心，在Android的4月安全更新公告中，有兩個Pixel的資訊洩漏漏洞已有跡象受到針對性利用，分別CVE-2024-29745、CVE-2024-29748，本期資安日報尚未提及，在此補上。</p> <p>在最近的資安事件中，還有2則新聞我們認為值得重視，分別發生在美國網路安全暨基礎設施安全局（CISA），以及非營利組織OWASP基金會。我們整理如下：<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>美國CISA亦受到年初Ivanti系統漏洞影響，駭客針對美國聯邦高風險化學關鍵設施，入侵CISA提供的化學品資安評估工具（CSAT），並成功部署了Web Shell，且另一關鍵基礎設施資安資訊工具CISA Gateway也受影響。<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>以公布十大網站資安風險而廣為知名的OWASP基金會，最近發布資料外洩通知，說明2006至2014年的成員簡歷檔案可能外洩，原因出在一臺舊的維基（Wiki）網頁伺服器，當中存在組態配置不當的問題。</p> <p>此外，國內發生一起7所高中校務系統遭駭的事件，我們認為，當中有兩個議題值得留意與警惕。一是關於駭客勒索的對象，並非這些學校，而是打造校務行政系統的亞昕資訊，另一是通用帳號密碼的問題，調查中發現駭客先入侵1所學校的系統，獲得登入該校務系統的帳密，但駭客利用同一組帳號密碼，也能成功登入其他6所學校的系統。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</span></strong></a></h3> <p style="margin: 0px;">週末一起供應鏈攻擊事件的揭露，震撼了整個資安圈，也讓IT界忙於修補因應，有攻擊者針對XZ Utils資料壓縮程式庫植入後門，而這個後門將可讓攻擊者繞過SSHD的身分認證機制，且相當難以察覺。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">幸好有研究人員因為調查一個SSH登入失敗及登入變慢500豪秒的狀況而發現，但回顧這個提交惡意的GitHub帳號，竟是在2021年就註冊，並從2022年2月就開始試探性的對XZ程式庫提交Commit。</p> <p><a href="https://www.ithome.com.tw/news/162102"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月2日】CISA傳出向美國政府報告Ivanti系統遭到入侵的事故</span></strong></a></p> <p style="margin: 0px;">今年初Ivanti公布一連串Connect Secure、Policy Secure漏洞，再度震撼全球資安界，有研究人員不斷發現相關攻擊行動，但截至目前為止，鮮少企業組織證實遭到相關攻擊，不知該慶幸沒事或擔心有後遺症。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">直到3月上旬，傳出美國網路安全暨基礎設施安全局（CISA）所屬的Ivanti伺服器遭到入侵，導致其中2個系統被駭，等於證實上述漏洞的確產生衝擊，而在3月底，該機構也向數個政府機關報告此事細節。</p> <h3><a href="https://www.ithome.com.tw/news/162004"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月3日】研究人員發現中國駭客組織APT41旗下團體使用更為隱密的方式迴避偵測</span></strong></a></h3> <p style="margin: 0px;">最近幾年中國駭客組織APT41的攻擊行動不時傳出，但今年初鮮少有相關的事故揭露，直到最近，有研究人員發現該組織旗下團體的攻擊手法。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">資安業者趨勢科技發現該組織旗下團體Earth Freybug，特別針對端點防護系統（註：這裡研究人員應該指的是EDR相關系統）追蹤惡意行動的方法下手，企圖讓這類系統無法偵測他們的行蹤。</p> <p> </p> </div></div></div>
2024/4/8 12:41作者羅正漢https://www.ithome.com.tw/news/162149
關渡醫院邁向醫療燈塔的關鍵，大步擁抱AI物聯網和IT上雲
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不到1年，臺灣就要邁入超高齡社會，老年人口即將超過總人口數的20%，每5人就有1位是65歲以上的長者。如何提供快速增加的銀髮族群照護服務，不只是政府面臨的挑戰，也是各家醫院要因應的難題。</p> <p>對關渡醫院來說，他們早有準備，幾年前就著手布局高齡和社區照護，聯手產學界打造專屬平臺，來提供無縫的健康照護服務。</p> <p><span style="font-size:28px;"><strong>整合院內外醫療資訊奠定基礎，今年開始擴大應用規模</strong></span></p> <p>這款平臺就是iHARP，中文名為健康長壽創新平臺，是關渡醫院邁向「燈塔醫院」的重要方針之一。</p> <p>「3年前，陳亮恭院長上任時，就期許要成為一家燈塔醫院，來照亮、照護這個地區的民眾。」計畫核心成員之一、關渡醫院資訊組組長黃建諺指出，關渡醫院屬於地區醫院，目標是服務在地民眾，在「燈塔醫院」大方向下，院長爭取到國科會計畫，同時找來鄰近的資訊廠商華碩和陽明交大，一起打造iHARP平臺。</p> <p>就運作原理來說，這個平臺會整合民眾在院內和院外的健康數據，比如院內的生命徵象數值、就醫病歷資料、檢驗檢查等資料，以及民眾端合規的穿戴式裝置量測值等。對於院外產生的生理量測值，則會上傳至雲端，統整院內資料後，便能透過統計分析和AI模型來預測風險，並針對異常狀況，即時提醒民眾就診或給予衛教資訊。</p> <p>不只能照護患者，這個做法也能幫助醫院掌握病人狀況，比如即時查看病人在院外量測的血壓變化，來提供遠距照護或行動醫療等服務。</p> <p>目前，這項計畫已完成最重要的基礎建設工作，也就是整合院內醫療資訊系統（HIS）資料和院外生理量測值，還通過了跨平臺的資訊整合測試。</p> <p>黃建諺表示，未來若是參與這項健康平臺計畫的患者到關渡醫院看診，醫師可直接從醫院系統調閱患者在家量測的血壓、血糖和血氧等數值，來給予更精準的治療。</p> <p>有了第一階段的基礎，今年，關渡醫院要擴大範圍，鼓勵更多民眾參與、使用合規的穿戴式裝置，來擴增平臺使用量。之後，關渡醫院要與合作夥伴開發加值應用，如失智風險、死亡風險等預測疾病風險的AI模組，來強化民眾健康意識，及早治療。</p> <p><span style="font-size:28px;"><strong>既有IT優勢省下核心系統轉換成本，更聚焦發展智慧醫療應用</strong></span></p> <p>關渡醫院之所以能快速發展這類健康照護應用，還有賴於既有IT優勢和擁有核心開發權。</p> <p>黃建諺指出，關渡醫院在2000年開業，一開始採用主從式架構與Windows作業系統，沿用至今。因為所用的前端元件，後續Windows版本都支援，因此他們沒有因為作業系統升級而需大幅改版的問題，也不用像其他發展較早且採用大型主機的醫院，得花不少時間搬遷甚至重新開發HIS平臺。</p> <p>「我們不用花那麼多時間汰換系統。」他表示，關渡醫院IT只需配合升級，可以專注於各種醫療業務需求，發展臨床所需的系統應用。</p> <p>再來，關渡醫院IT掌握核心開發權，可快速因應業務需求，來調整或開發新系統，不必仰賴委外廠商。</p> <p>有別於常見的東拼西湊採購模式，醫院成立時一口氣就向同一家廠商採購了全套HIS系統，從臨床端的門診、掛號、住院系統，再到行政管理和財會系統等共有30多套。這麼做的好處是，關渡醫院接管這些系統後，容易自行維護。</p> <p>發展至今，他們也從原本的30套系統成長至108套系統，其中僅有5%委外建置，如洗腎系統等周邊系統。再加上，醫院IT有3名具備15年以上資歷的人力，對系統架構、系統功能和程式碼維護的熟悉度與維護能力都非常高，可即時應變系統開發，滿足各單位需求。</p> <p>關渡醫院IT後端採用關聯式資料庫，一開始就盡量採取正規化、結構化方式來儲存病歷資料，後續幾年大多只需要擴充或調整，容易進行後續的資料運用，比如資料介接、資料截取，甚至是更進一步的統計分析、延伸擴充等都非常有利。</p> <p>一開始就採取結構化設計，不僅在上傳法定醫療資料時，順利擷取資料，還能加速智慧醫療應用的發展，不必耗費過多成本在資料處理和清洗上。</p> <p>不光是靠自己，黃建諺強調，臺北榮總的IT團隊，也是關渡醫院IT的重要後援。由於關渡醫院自籌備以來就由臺北榮總經營，雖然彼此的核心系統不同，但臺北榮總IT會在關渡醫院遇到難題時，給予技術諮詢或幫助，如虛擬健保卡的設置應用、國際醫療資料交換標準FHIR的實務應用等。</p> <p>甚至，他們還會提供技術資源分享，比如北榮資訊室就提供一款平臺，來讓關渡醫院整合自家App，如此就不必另外培養iOS和Android工程師，替關渡醫院IT省下不少功夫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1176CIO-%E6%8A%BD%E8%A8%80.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>4階段發展IT，下一步瞄準雲端HIS</strong></span></p> <p>由於不需耗費心力轉換核心系統，關渡醫院的IT發展歷程，主要以因應政策和新技術應用為主軸，大致可分為4大階段。第一階段是2009年時，衛福部推動電子病歷，關渡醫院IT也展開病歷無紙化，設計電子單張來讓臨床人員使用，是關渡醫院IT系統的一次革新。</p> <p>再來，隨著電子支付興起，他們導入支援電子支付的自助繳費機，來改善就醫流程，不只涵蓋常見的門診看診費用、住院繳費，就連門診復健、中醫療程和連續處方箋等，都能透過自助繳費機處理。導入後，減少了三分之一的臨櫃人力。</p> <p>同時，關渡醫院看好當時興起的物聯網應用，開始導入支援IoT的醫療儀器，並與醫院HIS串接，來減輕醫護人員的工作負擔。比如，過往需要人工謄打的資訊，可透過IoT設備自動上傳至系統。這麼做，不只能即時提供正確資訊，還有助於後續的大數據分析和資料分享。他們導入的IoT設備，則有門診和住院的生理量測儀器、居家醫療語音記錄設備，還有可偵測病人狀態的智慧床墊、醫學影像輔助診斷應用等。</p> <p>第4階段，則是現在進行式的智慧醫療大革新。</p> <p>黃建諺表示，早在疫情前，關渡醫院就計畫擁抱雲端、打造「Cloud HIS，」要將醫院系統搬上雲，來加速發展智慧醫療。後來疫情來襲，他們不得不放下手邊工作、為防疫奔波，3年後的現在，他們重拾計畫進度，前半年先盤點系統和評估上雲影響，短程目標是將部分HIS服務和AI運算，改以雲端方式執行。不過黃建諺坦言，要將所有HIS上雲並非易事，還需要更謹慎的討論和分階段規畫。</p> <p><span style="font-size:28px;"><strong>燈塔醫院的輔助：AIoT醫療應用</strong></span></p> <p>關渡醫院能夠成為燈塔醫院，不只靠這些IT基礎，還有更多配套應用，特別是AIoT醫療應用。</p> <p>智慧床墊是其中一大亮點，在關渡醫院9樓的住院病床區，就導入了數十張智慧床墊，每張床墊佈滿感測器，能偵測病人臥床狀態，比如側臥、坐起和活動時間，還能細緻地將一張床劃分不同區域，以圖像即時顯示患者狀態和位置。</p> <p>特別的是，這套應用整合了醫院HIS與護理資訊系統，能將病患資訊對應到相應床位，還能標註護理師認為高風險的患者，一旦病患臥床數小時未變換姿勢，或是起身坐在床緣時，系統就能立即提醒護理師，來查看、協助病患，預防跌倒造成的骨折或其他意外。除了預警功能，護理師也能從管理介面中，即時查看患者狀態，還能調閱患者睡眠和活動記錄。</p> <p>除了智慧床墊，他們還在住院區導入不少智慧應用，比如燈光調節系統，能根據時間、天氣或患者狀態，來模擬日光，調節燈光色調和強弱，改善住院患者的睡眠品質。另外還有自助式的IoT量測設備，可供家屬或護理師測量病房患者體溫、血壓等。這些量測到數值，會透過藍芽自動上傳到醫院HIS，幾秒就能完成，免去護理師手動謄打的困擾，還能確保資訊正確。</p> <p>在AI應用上，關渡醫院早已導入了糖尿病視網膜病變偵測AI，光是2022年，全院就有一半的糖尿病眼底檢查由這套系統評估。他們今年還規畫導入更多醫療影像AI，來輔助醫師作業。不只是醫療影像，關渡醫院也要跟上醫療生成式AI，發展視訊診療的AI病歷生成輔助，來加速病歷資料記錄。</p> <p><span style="font-size:28px;"><strong>規畫3大虛擬健保卡應用情境，今年要先落實門診報到</strong></span></p> <p>另一個邁向燈塔醫院的配套措施，則是健保署近年力推的虛擬健保卡應用。</p> <p>虛擬健保卡由民眾在健保快易通App中申請，健保署審核後，民眾即可於就醫時，出示QR Code或授權同意，讓醫師讀取民眾過往就醫記錄和病歷資訊，完成看診。虛擬健保卡皆可用於實體就醫和遠距醫療。</p> <p>對關渡醫院來說，病患大宗為高齡長者，這些長者未必熟練3C操作，因此，他們規畫出3種方便長者操作的虛擬卡使用情境。</p> <p>首先是在自助繳費機中，新添虛擬卡的認證選項，並與實體卡插卡認證方式並行。第2個應用情境是居家照護，關渡醫院計畫在HIS中導入虛擬卡作業流程，讓醫師到民眾家中看診時，不必再攜帶讀卡機，而是透過醫師發送請求、民眾授權，來完成健保卡取卡號。這個方法，未來也將用於關渡醫院的視訊診察系統中。</p> <p>還有一個情境是門診就醫，「門診報到、進診間看診，民眾共得出示兩次健保卡，我們想改用虛擬卡，在報到時出示一次即可。」黃建諺解釋，民眾在門診報到機掃描QR Code後，就能認證報到並完成健保卡取號，進診間後不必再出示。關渡醫院希望透過這種簡化流程，來提高虛擬卡使用意願，預計今年開始優化報到機。</p> <p>黃建諺總是謙虛地說，關渡醫院沒有像醫學中心般，讓人驚艷的厲害應用。但從這些看似家常、各式大小IT、AI應用的結合，讓關渡醫院打造出了高度便利的醫療體驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>關渡醫院資訊組組長黃建諺</strong></p> <p>學歷：臺北城市科技大學資訊管理系畢業</p> <p>經歷：在進入關渡醫院前，先於醫療資服業者誠杏公司任職，擔任6年專案經理。後來，2003年，黃建諺進入關渡醫院擔任資訊組組長至今，負責關渡醫院的IT維運與開發，今年重點為持續推廣iHARP平臺應用、發展雲端HIS、導入虛擬健保卡應用，以及AIoT醫療輔助</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1176-CIO-%E9%BB%83%E5%BB%BA%E8%AB%BA-%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D-2(1).JPG" style="width: 281px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>關渡醫院</strong></p> <p>●成立時間：1999年，2000年開幕</p> <p>●主要業務：提供服務區域之各級完善醫療服務</p> <p>●地址：臺北市北投區知行路225巷12號</p> <p>●網址：<a href="http://www.gandau.gov.tw">www.gandau.gov.tw</a></p> <p>●員工數：450人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊組組長</p> <p>●資訊部門主管姓名：黃建諺</p> <p>●直屬主管：蔡文惠</p> <p>●資訊部門人數：12人</p> <p>●資訊部門分工：軟體工程師4人、硬體工程師3人、電話事務4人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2000年：資訊組成立</p> <p>●2021年：發起iHARP平臺建置計畫</p> <p>●2022年：建置門診APP繳費；導入門診、復健療程等自助繳費電子支付</p> <p>●2023年：導入人因工程智慧照明；獲2023年第三屆數位轉型鼎革獎「楷模獎暨ESG特別獎」；獲臺北榮總「CiC青創提案大賽」銀獎</p> <p>●2024年：計畫於門診報到機導入虛擬健保卡認證機制；持續推動iHARP平臺應用；發展雲端HIS</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1176-cio-huang_jian_yan_-960.jpg" width="960" height="420" alt="" title="關渡醫院資訊組組長黃建諺　（攝影／洪政偉）" /></div></div></div>
2024/4/4 06:00作者王若樸https://www.ithome.com.tw/people/162065
Yahoo買下AI新聞聚合平臺Artifact
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.yahooinc.com/press/yahoo-announces-the-acquisition-of-artifact-the-news-discovery-platform-created-by-instagram-cofounders-kevin-systrom-and-mike-krieger" target="_blank">Yahoo周二（4/2）宣布</a>，已於日前收購了去年才創立的AI新聞程式/平臺Artifact，雙方並未揭露交易金額，但已決定不再提供獨立的Artifact程式，而會將Artifact的個人化技術及其它功能整合到Yahoo與Yahoo News中。</p> <p>Artifact是由Instagram的兩名共同創辦人Kevin Systrom與Mike Krieger在2023年的1月所創立，主要開發基於AI的新聞聚合程式，同時支援Android與iOS平臺，它會根據使用者的喜好提供量身訂作的新聞資訊，同時具備評論及貼文功能，還被Google Play評為年度必備應用程式，不過，今年1月，Artifact便以市場機會不足，無法保證能以此種方式持續投資的理由，<a href="https://medium.com/artifact-news/shutting-down-artifact-1e70de46d419" target="_blank">宣布將漸次關閉該程式</a>。</p> <p>Yahoo則說，身為可靠的網路指南，Yahoo幫助人們實現網路上的目標，包括連結使用者在乎的高品質內容，這項投資將加速Yahoo實現提供個人化跨平臺新聞及資訊發現的願景。</p> <p>曾為全球首屈一指入口網站的Yahoo，先是<a href="https://www.ithome.com.tw/news/107349" target="_blank">在2016年</a>以44.8億美元將大多數的資產賣給了Verizon，Verizon再於2021年<a href="https://www.ithome.com.tw/news/144170" target="_blank">出售9</a>0%的Yahoo股權予資產管理顧問公司Apollo Global Management。</p> <p>即便已不再是世人熟悉的入口網站，但Yahoo財經與Yahoo新聞仍是人們發現新聞的主要去處，根據Yahoo的說法，其新聞網路是2023年美國排名第一的新聞與資訊資產。</p> <p>Yahoo解釋，基於AI的Artifact引擎得以呈現使用者最想看到的內容，還能隨著時間的推移變得更精準，並亦允許使用者輕鬆存取熱門新聞，存取分享功能，還具備可防止點選「標題黨」（Clickbait）的能力，將這些功能導入Yahoo的產品組合，將可協助用戶連結更豐富且更個人化的內容。</p> <p>根據<a href="https://www.theverge.com/2024/4/2/24118436/yahoo-news-artifact-acquisition" target="_blank">《The Verge》</a>的報導，Yahoo所收購的是Artifact的技術而非團隊，不管是Systrom、Krieger或個位數的Artifact團隊成員都不會加入Yahoo，Systrom及Krieger將以顧問的身分協助Yahoo。此外，Artifact不會再是個獨立程式，Yahoo則會在未來幾個月將Artifact技術整合至整個Yahoo，包括Yahoo News程式。</p> </div></div></div>
2024/4/3 15:39作者陳曉莉https://www.ithome.com.tw/news/162124
【資安日報】4月3日，研究人員發現中國駭客組織APT41旗下團體使用更為隱密的方式迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年中國駭客組織APT41的攻擊行動不時傳出，但今年初鮮少有相關的事故揭露，直到最近，有研究人員發現該組織旗下團體的攻擊手法。</p> <p>資安業者趨勢科技發現該組織旗下團體Earth Freybug，特別針對端點防護系統（註：這裡研究人員應該指的是EDR相關系統）追蹤惡意行動的方法下手，企圖讓這類系統無法偵測他們的行踀。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/d/earth-freybug.html"><strong style="font-size: 22px;">中國駭客組織APT41旗下團體利用名為Unapimon的工具迴避偵測</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1-Earth Freybug.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-Earth%20Freybug.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露最新一波有關中國駭客組織APT41的攻擊行動，他們發現該組織旗下的團體Earth Freybug，將惡意酬載注入VMware Tools（vmtoolsd.exe）的處理程序執行，從而接收遠端的排程任務並收集電腦的系統資訊，接著，對方執行另一個批次檔，透過遠端桌面連線組態設定（SessionEnv）有關的DLL檔案（TSMSISrv.dll），使用DLL側載手法將惡意程式Uanpimon載入到記憶體內執行。</p> <p>研究人員指出，由於許多端點防護工具透過API掛鉤追蹤惡意行為，對方反其道而行，將Unapimon設計成能取消子處理程序相關的API掛鉤，而能迴避此種偵測。</p> <p><a href="https://blog.fox-it.com/2024/03/28/android-malware-vultur-expands-its-wingspan/"><strong style="font-size: 22px;">假冒下載、安裝McAfee防毒軟體的名義，安卓金融木馬Vultur透過發出引誘SMS簡訊散播</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/542e4746fdf58bc882731fa490a99ed1867a4a95_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/542e4746fdf58bc882731fa490a99ed1867a4a95_1.png" style="width: 300px; float: right;" /></a>資安業者Fox-IT揭露最新一波的安卓金融木馬Vultur攻擊行動，對方先是發送簡訊，聲稱用戶出現未經授權的交易，需要撥打他們提供的電話號碼進行處理，一旦使用者照做，駭客就會寄送第2則簡訊，並引誘他們點選連接，前往冒牌的McAfee Security網站安裝「防毒軟體」。</p> <p>此遭到木馬化的防毒軟體被植入了名為Brunhilda的惡意程式載入工具，若是使用者執行安裝，Brunhilda就會執行與Vultur相關的元件，從而得到使用者對輔助功能的授權、初始化遠端控制系統，最終與C2建立連線。</p> <p>研究人員指出，新版Vultur能停用特定的應用程式，並顯示自訂通知來誤導使用者，甚至能繞過螢幕解鎖畫面，使得攻擊者可不受限制存取裝置。</p> <p><a href="https://owasp.org/blog/2024/03/29/OWASP-data-breach-notification.html"><strong style="font-size: 22px;">OWASP基金會證實資料外洩，起因是維基伺服器組態不當</strong></a></p> <p>4月1日非營利組織OWASP基金會表示，他們2月下旬收到支援請求，從而發現舊的維基（Wiki）網頁伺服器出現組態不當的情況，導導致從2006至2014年向他們提供個人簡歷的用戶資料外洩，這些資料包含姓名、電子郵件信箱、電話號碼，以及其他可識別個人的資訊（PII）。</p> <p>對此，該基金會停用資料夾瀏覽的功能，重新檢查所有的網頁伺服器及Media Wiki的組態，並移除維基伺服器上所有的用戶簡歷資料，清除Cloudflare的快取防止進一步的外流，再者，他們也要求從Web Archive網站移除相關內容。</p> <p><a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/Year_in_Review_of_ZeroDays.pdf"><strong style="font-size: 22px;">2023年用於攻擊行動的零時差漏洞增加50%</strong></a></p> <p></p> <p>Google威脅情報小組（TAG）與旗下資安業者Mandiant聯手，公布對於2023年零時差漏洞的態勢觀察，去年總共有97項零時差漏洞，較2022年62個增加50%。</p> <p>但值得留意的部分，是研究人員歸納的趨勢。首先，軟體開發商積極強化軟體的安全，但攻擊者開始偏好針對第三方元件挖掘零時差漏洞，再者，則是攻擊者鎖定企業級產品的攻擊比例顯著增加。</p> <p>此外，商業間諜軟體供應商（CSV）最擅於利用瀏覽器及行動裝置的漏洞，而在國家級駭客的部分，延續過往研究人員的觀察現象，中國資助的駭客依舊是去年利用零時差漏洞最多的國家級駭客。</p> <p><a href="https://www.ithome.com.tw/news/162081"><strong style="font-size: 22px;">Google同意銷毀Chrome無痕模式的瀏覽資料</strong></a></p> <p></p> <p>2020年Chrome用戶集體控告Google，原因是他們發現在採用無痕模式（Incognito Mode）的情況下，依然遭到Google追蹤，而並非依照該功能Google原先標榜的「不會留存瀏覽記錄及表單輸入內容」。</p> <p>4月1日Google向法院提出和解協議，內容包括刪除於無痕模式收集的數十億筆記綠，並將於隱私政策及在啟用無痕模式時揭露收集的用戶資料；再者，他們承諾至少在未來5年內都將允許使用者於無痕模式中的預設封鎖第三方Cookie，也會移除用來偵測使用者是否執行無痕模式的程式碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.binarly.io/blog/xz-utils-supply-chain-puzzle-binarly-ships-free-scanner-for-cve-2024-3094-backdoor"><strong style="font-size: 22px;">韌體資安業者Binarly提供XZ Utils供應鏈攻擊的檢測工具</strong></a></p> <p></p> <p>3月29日開源專案XZ Utils發生供應鏈攻擊，導致該資料壓縮程式庫被植入後門，曝露CVSS風險評分達滿分的漏洞CVE-2024-3094，Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed與MicroOS，以及部分Debian版本受到影響，導致許多Linux用戶人心惶惶，美國網路安全暨基礎設施安全局（CISA）呼籲用戶，應降級5.4.6版XZ Utils，並清查是否存在惡意活動，如今有研究人員提供相關檢測工具，讓用戶對特定執行檔進行徹底的掃描。</p> <p>專精韌體安全的資安業者Binarly架設名為xz.fail的網站，讓用戶上傳ELF檔案，從而檢測是否存在前述後門程式。研究人員表示，由於用戶往往藉由檔案雜湊值、YARA規則進行逐一比對，而有可能導致用戶警報疲勞，甚至會出現誤報的情況，再加上對方使用的精密手法，很有可能對其他專案發動攻擊的時候重複利用，因此，他們決定提供專門的後門檢測工具。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://blog.eclecticiq.com/darkgate-opening-gates-for-financially-motivated-threat-actors"><span style="font-size: 20px;">木馬程式Venom RAT透過大規模網釣攻擊拉丁美洲</span></a></strong></p> <p></p> <p><a href="https://www.wordfence.com/blog/2024/04/unauthenticated-stored-cross-site-scripting-vulnerability-patched-in-wp-members-membership-plugin-500-bounty-awarded/"><strong style="font-size: 20px;">WordPress會員系統外掛程式存在高風險XSS漏洞，恐被用於指令碼注入攻擊</strong></a></p> <p></p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/agent-teslas-new-ride-the-rise-of-a-novel-loader/"><strong style="font-size: 20px;">竊資軟體Agent Tesla假借銀行付款通知散布</strong></a></p> <p></p> <p><a href="https://www.pcmag.com/news/google-to-fight-cookie-hijacking-with-encryption-keys-for-chrome-browser"><strong><span style="font-size: 20px;">Chrome將加入可阻擋cookie劫持的新功能</span></strong></a></p> <p></p> <p><a href="https://www.cisa.gov/news-events/news/safecom-and-ncswic-develop-911-cybersecurity-resource-hub"><strong><span style="font-size: 20px;">CISA針對緊急救援機構設立911網路安全資源中心</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162102"><strong>【4月2日】CISA傳出向美國政府報告Ivanti系統遭到入侵的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162054"><strong>【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】殭研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> </div></div></div>
2024/4/3 12:16作者周峻佑https://www.ithome.com.tw/news/162113
Fintech周報第236期：麥肯錫調查顯示，歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/25~3/29金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麥肯錫</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI治理 </span></strong></span></p> <h3>麥肯錫研究：歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展</h3> <p>知名管理顧問公司麥肯錫（McKinsey & Company）最近發表了一份<a href="https://www.mckinsey.com/industries/financial-services/our-insights/scaling-gen-ai-in-banking-choosing-the-best-operating-model">報告</a>《在銀行業發展生成式AI：選擇最好的營運模式》（Scaling gen AI in banking: Choosing the best operating model），他們調查了歐洲和美國16家最大金融機構的生成式AI營運模式，超過一半的研究對象採用集中化管理。麥肯錫表示，集中化管理可能是暫時的營運方式，隨著技術越來越成熟，業務部門也會逐漸察覺這項技術帶來的好處，並根據自身需求發展生成式AI應用。</p> <p>麥肯錫根據調查結果，整理出四種組織管理方式的好處和挑戰。第一種，高度集中化，業者設立一支獨立於其他業務部門的生成式AI團隊，並由這支團隊負責設計和執行生成式AI策略。麥肯錫表示，這種組織方式可以讓生成式AI團隊快速建立技術力，不過，團隊與業務部門距離過遠，可能造成雙方的隔閡，進而影響決策。採用這種模式的業者中，七成業者已經開始生產生成式AI應用。</p> <p>第二種，同樣由單一組織領導，但交由業務部門執行。和第一種差別在於，生成式AI團隊會和業務部門中的技術團隊合作，交由業務部門執行計畫。相比第一種，這種方式有助減少雙方隔閡，但發展技術的速度可能因此減慢。第三種，由業務部門主導，統一由技術團隊支援。這種由下而上推動生成式AI策略的方式，有助於獲得業務部門對技術的支持。但是，不同業務部門對生成式AI的需求不同，開發方式可能也不同，單一技術團隊要同時支援多個業務部門十分困難。</p> <p>最後一種，高度去中心化，各個業務部門各自設立生成式AI團隊、設計和執行生成式AI策略。麥肯錫認為，這個方式最容易獲得業務部門對技術的支持，但業務部門缺乏相關知識，可能難以透過生成式AI實現重大突破。採用高度去中心化執行方式的金融機構中，僅有三成業者開始投入生成式AI應用生產。</p> <p>集中化管理方式雖然是發展生成式AI的最佳營運模式，但報告中也表示，採用這種管理方式仍會遇到幾個障礙，分別是策略路線圖的制定、獲取資金的機制，和人才資源。各個業務部門可能擔心失去關鍵資源，而對這三項政策持不同意見。因此，金融機構發展生成式AI需要具備高度的組織敏捷性，能夠快速設計流程並匯集資源。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>台新金控揭生成式AI進展，計畫打造「台新腦」輔助內部工作任務</h3> <p>台新金控揭露生成式AI進展，他們計畫打造「台新腦」，一個專屬台新金控的生成式AI工具，協助各項業務執行、法規和風險辨識等任務。他們近日在內部舉辦圖像生成挑戰賽，邀請子公司員工組隊參與，參賽者要使用台新金控調教的大型語言模型，透過輸入提示來生成圖像作品。台新金控表示，舉辦挑戰賽的重點，是要創造生成式AI的使用情境，讓同仁逐步習慣使用這項技術。</p> <p>早在去年十月，台新金控就已完成內部的AI發展關鍵因子和AI導入指引，還發展4項實驗專案，包括協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。去年底，他們對外展示了虛擬智能客服的實驗專案，共有兩個擬真客服人員，分別提供理財投資建議和信用卡建議。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本IBM</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>日本IBM瞄準金融機構需求，推出快速導入生成式AI的服務，可連接三種LLM模型</h3> <p>日本IBM在旗下的金融服務平臺Digital Services Platform for Financial Services（簡稱DSP）推出生成式AI擴充功能，能協助金融機構快速導入生成式AI，同時內建了多項生成式AI應用，包括生成貸款批准書、製作銷售對話腳本、撰寫日常業務報告，以及提供行員使用的文件摘要工具等。</p> <p>這個擴充功能可以透過閘道（gateway）連結三個生成式AI服務，分別是微軟Azure OpenAI服務、Amazon Bedrock和watsonx.ai，使用者可以根據需求選用GPT模型、Claude模型和Granite模型，也可以透過閘道集中監控、管理多種生成式AI服務。</p> <p>這項服務目前只能在Azure和AWS雲端環境中運作，未來還會開放在IBM Cloud運作。日本IBM預計在5月底向在地客戶推出這項功能。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 丹麥丹斯克銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>丹麥最大銀行宣布上公雲，計畫遷移超過萬個伺服器、千個應用程式</h3> <p>丹麥丹斯克銀行（Danske Bank）近日宣布，要將部分基礎設施、應用程式和資料遷移至公有雲，與客戶資料相關的系統也包含在內。這間丹麥最大銀行近年啟動技術轉型，將雲端技術、數據和AI作為重點發展技術。他們表示，這項轉型計畫包括要將行內約1.6萬個虛擬或實體的伺服器、近千個應用程式遷至公雲，進一步運用AI、ML和生成式AI服務，提高內部開發人員的工作效率，還要加強對顧客的對話介面功能、提供個人化推薦等。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲西太平洋銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI防詐 </span></strong></span></h3> <h3>澳洲西太平洋銀行在App設置防詐措施，以AI偵測可疑匯款行為</h3> <p>澳洲西太平洋銀行近日在自家的App設置防詐措施，當系統偵測到用戶可能在向詐騙方匯款，系統會詢問用戶幾個簡易問題，例如詢問匯款目的，若用戶的回答有疑慮，系統將會拒絕執行匯款。這項防詐機制是運用AI偵測，當用戶的匯款被標記為高詐騙風險時，App就會跳出詐騙警示和問題。為了快速因應新的詐騙方式，這些問題的內容會持續更動。澳洲西太平洋銀行表示，除了在App導入這項機制，未來幾個月內也會在網路銀行中導入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-01%20104029.png" style="width: 600px;" /></p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CBDC</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SWIFT </span></strong></span></h3> <h3>SWIFT公布央行數位貨幣第二階段沙盒結果，臺灣央行、華南銀行和上海商銀也參與沙盒試驗</h3> <p>環球銀行金融電信協會（SWIFT）近日表示公布央行數位貨幣（CBDC）第二階段沙盒結果。他們與38間金融機構合作進行為期四個月的實驗，納入各國的央行、銀行和金融市場基礎設施，臺灣央行、華南銀行和上海商銀也是試驗參與對象。實驗結果顯示，SWIFT開發的互鏈解決方案有助於進行各國CBDC交易，甚至也能進行其他形式的數位化代幣交易。</p> <p>這項實驗確保SWIFT開發的解決方案適用於多種CBDC交易。根據路透社報導，SWIFT透露，他們將在未來一到兩年內建立一個新的CBDC平臺，開放給全球正在開發CBDC的國家使用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 敏捷開發</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本保險業 </span></strong></span></h3> <h3>日本保險公司導入敏捷開發平臺，自動部署至測試環境，系統上線時間從三小時縮減至十分鐘</h3> <p>日本保險公司三井住友海上火災保險建立一套敏捷開發平臺，底層架構採用GitLab提供的DevSecOps平臺，能集中管理多個系統，將軟體開發、測試到部署的部分流程自動化，讓系統上線時間從以往約三小時，縮短至十分鐘內即可完成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-29%20123524.png" style="width: 600px;" /></p> <p>導入敏捷開發平臺前，系統開發流程皆是手動處理，完成開發後須要先部署在測試環境，進行測試後，再部署至生產環境。導入後，平臺協助自動部署至測試環境，再採用一半手動、一半自動完成測試和部署至正式環境。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掌紋付款 </span></strong></span></h3> <h3>Amazon推出Amazon One行動程式，使用者在手機建立掌紋簽章後即可用掌紋付款</h3> <p>Amazon在2020年推出掌紋辨識系統Amazon One，消費者在特定店家可使用Amazon One掃描和註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀。上周四（3/28），Amazon發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋，建立掌紋簽章，不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>儘管Amazon One上線已超過3年，但使用這項掌紋服務的累計次數僅有800多萬。不過，根據Amazon的統計，在實體商店使用掌紋服務付款的用戶中，超過8成都會重覆使用。因此，Amazon決定進一步推廣Amazon One，藉由推出行動程式來降低註冊門檻。</p> <p>其他重要Fintech新聞</p> <ul> <li>金管會將研議成立信用卡掛失單一窗口，降低盜刷風險</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／麥肯錫</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> <p></p> </div></div></div>
2024/4/1 10:41作者李昀璇https://www.ithome.com.tw/news/162043
Amazon推出Amazon One掌紋掃描程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於2020年<a href="https://www.ithome.com.tw/news/140274" target="_blank">推出掌紋辨識系統Amazon One</a>之後，Amazon終於在本周四（3/28）發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋以建立掌紋簽章，而不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>Amazon One掌紋身分辨識系統主要應用於美國市場，包括超過500家的Whole Foods Market商店，多家的Amazon直營實體店面，以及與Amazon合作的逾150家的第三方服務，如體育館、機場、健身中心或便利商店等。過去使用者必須在上述店面透過專有的Amazon One裝置來掃描與註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀，或是兌現忠誠度獎勵等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-Amazon%20One%20app-palm-4.png" style="width: 600px;" /></p> <p>儘管上線已超過3年，但使用Amazon One掌紋服務的累計次數僅有800多萬，不過，根據Amazon的統計，在Whole Foods Market及Amazon商店用過Amazon One來付款的用戶，有超過8成都會重覆使用。</p> <p>現在Amazon決定進一步推廣Amazon One，降低註冊Amazon One的門檻，使用者只要下載Amazon One程式，就能登入Amazon帳號，拍攝自己的掌紋，上傳到Amazon One專用的伺服器上，即可於支援Amazon One的商家或地點使用；此外，Amazon One程式還能建立自己的線上檔案及添加付款方式。不過，採用Amazon One程式的使用者要在首次將手掌懸停在Amazon One裝置上進行比對後，才算完成註冊。</p> <p>Amazon表示，此一行動程式將讓使用者更方便先行建立自己的掌紋簽章，而不必在結帳時花費額外的時間進行註冊，對零售商而言，也能確保更順暢的店內體驗。</p> <p>根據Amazon的說明，Amazon One會查看使用者的手掌與底層靜脈結構，以建立獨特的掌紋簽章，再利用AI來比對使用者所拍攝的掌紋及Amazon One裝置所掃描的掌紋，且掌紋資訊是存放在安全的AWS環境中，而不會留在使用者裝置上。</p> <p>Amazon並未公布迄今有多少使用者註冊了自己的掌紋簽章。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/3/29 11:58作者陳曉莉https://www.ithome.com.tw/news/162030
本土電商跨足數位行銷，一年創造3億交易額RMN先行者Pinkoi五年跨界轉型路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一兩年，臺灣零售業吹起了一陣跨界廣告業的風潮。Momo、全家，都在去年推出了零售媒體聯播網（RMN，Retail Media Network）服務，利用龐大第一手資料，以及零售通路優勢，驅動數位廣告業務。</p> <p>RMN是一種新型態廣告概念，零售業者將自家零售場域作為廣告版位，開放給廣告主，並利用零售第一手顧客資料和交易資料來支援精準行銷。處於零售場域的消費者，購買意願通常較高，廣告能更有效轉換為實際購買行為。這個過程中，零售業者不只能獲得廣告收入，廣告轉換成的購買行為，也會成為零售業者營收。</p> <p>RMN崛起，外部因素是第三方Cookie逐漸退場，許多數位廣告形式將失去精準投廣及追蹤成效的依據。使用零售業者第一手數據的RMN不受影響，形成相對優勢，吸引了大量廣告主。內部因素則是，許多零售業者觀察到國外RMN趨勢，且自家會員數據建設和會員經營做法趨於成熟，有能力進一步發展RMN。</p> <p>在這個多數RMN都在開發中或剛上線的環境中，臺灣有一家電商，已經靠RMN帶來一年3億元交易量，總營收3成來自廣告費的貢獻。它是設計類垂直電商Pinkoi，早在5年前，就已經開始用從頭自行打造廣告技術，來經營RMN服務。</p> <p>儘管RMN業績亮眼，Pinkoi SaaS產品負責人李少昱直言，Pinkoi打造RMN服務，一開始並不是為了廣告收入。</p> <p><strong>打造RMN服務初衷是為了強化賣家經營能力</strong></p> <p>Pinkoi的RMN服務源自2015年的一次架構翻新。當時，他們開始翻新數據技術架構，不只要強化利用數據驅動決策的管理模式，更要用自家設計領域數據來開發專屬AI推薦模型，來取代規則式推薦機制，進行個人化商品推薦。</p> <p>當數據技術架構及應用發展到一定程度，Pinkoi開始思考，除了用於個人化推薦，還能如何運用手上大量顧客、商品及交易數據。當時，他們接收到了許多賣家主動許願，希望有提升自己商品曝光機會的付費機制。</p> <p>李少昱解釋，賣家這個需求，來自當時商品推薦機制演算法的侷限。當時的商品推薦機制，全靠同一套演算法，商家必須要累積足夠優良交易紀錄，才容易獲得這套演算法的推薦。這意味著，新進商家大多難以直接和既有商家競爭曝光度，得經歷一段沒沒無聞的日子，慢慢讓演算法認識自己。</p> <p>為了打破這種情況，不少商家希望有一種機制，可以加快累積優良交易的速度，或在特定促銷檔期提升業績。回應這個需求，Pinkoi決定投入高達4成工程資源，開發出了廣告商品排序演算法、即時競價機制、廣告投放機制、廣告內容呈現機制等RMN系統所需基礎建設，並於2019年正式上線RMN服務。</p> <p>服務上線頭2年，願意投放廣告的賣家不多，Pinkoi花了大把時間和賣家溝通在RMN行銷的價值，以及摸索RMN技術細節。隨著技術成熟度和市場接受度持續發展，2021年，RMN廣告主的數量開始出現驚人的2位數成長率。</p> <p>緊接著，臺灣疫情進入高峰期，促使許多賣家開始積極投放數位廣告，為RMN注入又一波成長動能。Pinkoi把握住了這幾波成長。使用過RMN的賣家高達9成會持續使用。</p> <p>Pinkoi不斷增加行銷功能，陸續提供了促銷單件商品、促銷商品組合、品牌推廣等廣告類型，也先後增加在首頁、搜尋結果，以及穿插在商品頁面下面的推薦版面。去年還新增了分眾推播廣告，不須等待顧客造訪商城，而是系統根據顧客興趣數據，主動推播品牌廣告。這些廣告支援網頁版、iOS及Android商城。</p> <p>他們還持續強化RMN底層技術，不只用顧客數據來支援精準商品推薦，更開始用AI模型分析商家成長模式，判斷商家下一步成長策略，向商家推薦RMN廣告投放策略及參數設定。例如商家已有穩定客源，系統會建議下一步成長動能是獲取新客源，投放策略得重視陌生潛在買家的曝光。</p> <p><strong>經營RMN最大挑戰──平衡使用者體驗與行銷成效</strong></p> <p>賣家或品牌主投放廣告時，Pinkoi背後的AI會自動推薦行銷目標、廣告受眾、設定預算，以周為單位優化策略，還會分析成效及下次目標。</p> <p>Pinkoi的RMN採取廣告即時競價（RTB，Real-time Bidding）方式。廣告主設定投放參數和行銷預算後可以開始競價，贏得競價，在廣告曝光後會產生廣告費用。不過，Pinkoi的RTB機制並非價高者得，而是依據產品品質、廣告內容對顧客關聯性等多種維度綜合考量──出價僅是眾多排序因素之一。</p> <p>李少昱進一步說明，採取這個廣告投放模式，是希望商家不要過度投入時間心力鑽研投放策略的細節。「與其精算出價多少才能勝過競爭對手，我們希望商家聚焦在提升商品品質及風格的呈現，對整體顧客體驗也會更好。」</p> <p>注重顧客體驗的精神，不只體現在RTB非價高者得的特性，也體現在Pinkoi的廣告版面設計上。付費的廣告內容雖然可以提高排序，但幾乎不會採取任何形式強調的設計，而是會與其他非廣告的推薦商品並列。</p> <p>不過，李少昱說，這個堅持，帶來Pinkoi經營RMN服務的最大挑戰──如何在多方利害關係人需求間，找到顧客體驗與行銷成效之間的平衡點。</p> <p>他進一步解釋，從廣告主角度來看，廣告預算的投資報酬率越高越好。但從Pinkoi角度來看，將廣告內容設計得太醒目、過於干擾顧客瀏覽網站的操作，雖然短期有機會增加轉換率，長期來說卻會降低顧客造訪商城的意願，因而打擊到所有人。</p> <p>如何拿捏，Pinkoi需要協調內部不同部門和下廣告的商家，一方面溝通使用者體驗的重要，另一方面則要找出商家及Pinkoi都可以接受的行銷手段和廣告版位設計方法。李少昱自豪的說，雖然協調過程不易，但堅持顧客體驗優先，使他們幾乎沒有聽到顧客抱怨購物流程受干擾，反而有許多人主動表示，Pinkoi廣告使他們接觸到了過往不知道，卻十分喜歡的商品及品牌。</p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%95%86%E5%93%81%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.png" style="width: 600px;" /></span></strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%93%81%E7%89%8C%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.jpg" style="width: 600px;" /></span></strong></p> <blockquote><p>Pinkoi RMN廣告形式有商品廣告、品牌廣告、推播廣告等，會出現於網站和雙平臺手機App的首頁、搜尋頁面及商品頁面。廣告商品或品牌的曝光排序通常較靠前，不過仍需視商品品質及關聯性而定，並非價高者靠前。為了保證顧客體驗不受干擾，廣告視覺設計也相當低調。</p> </blockquote> <p><strong>經營RMN的技術面基本功──開發與維運數位行銷機制</strong></p> <p>從電商跨界數位行銷，不僅需要接觸新業務面向，更要面臨新技術面課題。</p> <p>雖然Pinkoi有從頭自行開發AI模型，是專門為個人化商品推薦設計。不過，推薦只是廣告機制一環，要打造成熟可用的RMN服務，還有RTB、廣告成效追蹤、服務可用性等更多技術挑戰得克服。</p> <p>開發期間，Pinkoi投入了4成開發資源和人力，研究Facebook（現Meta）和Google兩大廣告巨頭的開發方法及投廣機制，並將這些知識結合自家AI推薦技術，才打造出自己的廣告服務。</p> <p>廣告推薦演算法是這個服務的核心技術。RMN團隊寫了一系列投廣用推薦模組，以原本推薦演算法為基礎，根據不同廣告版面的行銷目的微調其他參數，例如調整推薦商品的關聯性高低，或加強時下熱門主題相關商品的權重。</p> <p>相較於原本的商品推薦演算法，廣告推薦演算法多了一個關鍵排序要素──賣家即時競價（RTB）數據。可是，RTB系統需要在顧客進入新頁面後，才能發送廣告版面性質、顧客輸入內容等資訊到競價系統。經過賣家競價、檢查賣家行銷預算餘額等程序後，廣告推薦演算法才能開始排序廣告內容。雖然廣告推薦演算法運算複雜度較一般推薦演算法高，但為了不影響顧客體驗，Pinkoi認為必須在0.5秒內完成額外計算程序。</p> <p>RMN的維運挑戰不只即時性，還有龐大的數據請求量。Pinkoi RMN每年有74億次請求，不考慮巔峰情況，平均每秒就需處理230次請求。一次廣告請求的完整流程需要進行廣告競價和廣告內容的投放，還要紀錄廣告曝光情形、顧客互動行為等數據，作為後續廣告成效追蹤及賣家投放建議的依據。</p> <p>為了因應龐大的流量，Pinkoi採取了雲端資源用量調整機制、預處理部分所需運算，以及辨識外來異常流量等措施。</p> <p>首先，Pinkoi所有IT基礎架構都上雲，為了即時因應流量波動，他們不只使用雲端業者提供的自動擴充（Auto-scaling）功能，還自行打造了用量調整機制，可以預測流量變動，來調整雲端資源的租用量。</p> <p>再來，為了盡可能降低推薦演算法的運算壓力，他們回頭找出推薦演算法中，不須即時運算的數據，預先進行批次處理。例如，商品品質分數的變動頻率不大，改為每天一次性統一計算，而不需要每次推薦都重算。</p> <p>他們還設計了雙重異常流量辨識機制，第一層辨識機制，當造訪者流量剛進來時，會依據流量來源等常見機器人行為模式來篩選。若機器人成功騙過第一層機制，Pinkoi還會記錄造訪者在網站內的行為模式，若出現明顯不是真人消費者的舉動，例如迅速開關大量頁面或行為模式過於機械性，也會事後追認為異常流量。</p> <p>事後追認異常流量，不僅有維運面考量，也有廣告業務面考量，要確保廣告成效統計只包含有機流量數據，不會參雜爬蟲機器人、點擊機器人甚至DDoS等異常流量來源。</p> <p><strong>從被動到主動，從站內到跨站的RMN功能升級藍圖</strong></p> <p>不只一開始投入4成開發能量，Pinkoi後續還得投入IT資源來優化和開發新功能。</p> <p>李少昱坦言，他們沒有計算過RMN成本如何回收。Pinkoi經營RMN的態度，一開始就不只當成一門生意，更是提升整體電商買賣體驗的一環。不過，持續投入大量IT資源維運及開發，李少昱說，有兩大商業考量支持。</p> <p>首先是影響範圍。付費提升曝光度的行銷功能，對電商賣家獲取顧客、擴大營運規模非常重要。一開始，RMN的出現，源自賣家的要求。但現在，RMN已經成為上萬個賣家持續使用的關鍵功能。</p> <p>第二則是影響力度。Pinkoi的RMN服務一年促成3億元交易，廣告費收入占了總營收高達3成，而且也提升整體平臺的交易量，不只是將原本有意消費的顧客導向廣告商品。</p> <p>接下來，Pinkoi還要持續強化RMN行銷功能，從被動轉到主動，站內走到站外。</p> <p>RMN上線前幾年，Pinkoi只有在顧客於網站中操作，表明當下興趣時，才能投放相應廣告，行銷方法相對被動。後來，借助AI模型，從顧客過往行為數據中，分析其購物習慣及整體偏好。於是，Pinkoi RMN開始有主動行銷功能，不必等待顧客進站，可以直接根據顧客特徵推播行銷訊息到會員通知中心。</p> <p>下一步，他們要更細緻分析顧客行為數據，更快速分析出顧客處於購物旅途的哪個階段，以便在顧客操作當下，即時調整廣告投放策略。例如，如果發現顧客已經選定商品，進入購買階段，就會只投放相似性高的商品，讓顧客比價，而非探索不同商品。</p> <p>不只如此，他們還要根據RMN廣告成效數據，來打造更進階的投廣參數自動設定功能。目標是，連商品描述、名稱跟標籤等最基礎的資訊，都可以根據市場現況數據及賣家廣告成效，來自動調整。</p> <p>優化站內行銷功能同時，Pinkoi也計畫開發跨站行銷功能。李少昱說，在Pinkoi營業的賣家，大多只會再於Instagram經營社群媒體電商，較少涉及更多平臺。因此他們計畫打造跨站投放Meta廣告的功能，來提供一站式數位行銷管理。文⊙郭又華</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E8%87%AA%E5%8B%95%E8%A8%AD%E5%AE%9A%E5%8E%9F%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.jpg" style="width: 600px;" /></p> <blockquote><p>Pinkoi的AI廣告代投功能會根據賣場數據，來推測品牌處於哪個發展階段，並以此作為廣告參數設定策略。圖片來源-Pinkoi</p> </blockquote> <p><span><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E4%BB%A3%E6%8A%95%E4%BB%8B%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.png" style="width: 600px;" /></span></span></p> <blockquote><p>賣家只需要輸入商品基本資訊及預算，並確認AI建議的投廣參數，便能快速完成設定。未來，Pinkoi連這幾個欄位都要用AI來填入建議參數。圖片來源-Pinkoi</p> </blockquote> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Pinkoi RMN發展大事記 </span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2015年 </span></span> </strong>內部改革數據基礎建設，整合跨通路第一方數據來源，開始打造專屬設計類AI模型，以開發個人化推薦、RMN等數據驅動的零售IT應用</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2018年 </span></span></strong> 正式開始打造RMN系統，投入了4成工程資源</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2019年 </span></span></strong> 自建AI模型開始能用上萬維度分析顧客，進行個人化推薦。RMN商品廣告服務正式上線</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2021年 </span></span> </strong>RMN品牌廣告服務正式上線。使用RMN服務的廣告主數年增長率2位數，緊接著新冠疫情最高峰，又帶來更多RMN廣告主</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2023年 </span></span> </strong>RMN分眾廣播服務正式上線，站上有近萬賣家成為廣告主，廣告收入占營收3成</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2024年3月</span></p> <p> </p> </div></div></div>
2024/3/29 10:25作者郭又華https://www.ithome.com.tw/news/162013
Google報告指去年第三方元件零時差漏洞攻擊增加，鎖定企業軟硬體創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/a-review-of-zero-day-in-the-wild-exploits-in-2023/" target="_blank">Google公布最新漏洞研究報告</a>，顯示第三方元件如函式庫的漏洞攻擊愈來愈多，而針對企業資安軟、硬體的零時差漏洞攻擊創下新高。</p> <p>這份報告是整合Google威脅研究事業群與旗下資安部門Mandiant 2023年零時差漏洞的研究而成，包含針對消費者平臺（如行動裝置、OS、瀏覽器等）和企業產品（如安全軟體和裝置等）爆發的零時差漏洞攻擊。綜觀2023年，Google一共觀測到97項零時差漏洞，比2022年（62項）高50%，但低於2021年的106項，該年也是零時差漏洞史上最多。</p> <p>以平臺而言，2023年Windows以17項被攻擊的零時差漏洞最多，其次是Safari的11項。iOS和Android各有9項，Chrome有8項。除了Chrome比2022年減少1項，macOS、Firefox去年全身而退外，其他都增加了4到8項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-google%20zeroday-1(1).png" style="width: 600px;" /></p> <p>這份報告歸納去年研究有5大趨勢。首先，平臺廠商強化安全防護，有助於抑制安全攻擊。包括Google 2022年<a href="https://security.googleblog.com/2022/09/use-after-freedom-miracleptr.html" target="_blank">推出MiraclePtr</a>來防範Chrome的使用已釋放記憶體（use-after-free）漏洞。<a href="https://www.ithome.com.tw/news/151816" target="_blank">蘋果也為iOS加入</a>鎖定（Lockdown）模式防範間諜軟體。</p> <p>其次，第三方軟體的零時差漏洞攻擊大增，第三方元件和函式庫成為主要攻擊表面，因為這些漏洞影響不只一種產品，例如Chrome漏洞CVE-2023-4863（名為the WebP 0day）和蘋果Apple ImageIO漏洞CVE-2023-41064其實是同一個，源自WebPimage函式庫，該漏洞也影響Android和Firefox。影響VP8/VP9 libvpx函式庫的CVE-2023-5217，則同時影響Chrome、Firefox、iOS和Android。</p> <p>第三，瞄準企業產品的攻擊持續增加，目標也更多樣化。雖然2023年零時差漏洞總數不是最高，但針對企業產品的卻是歷年新高，由2021年的25項增加為36項，整體占比由11.8%增長為37.1%。研究人員指出，去年零時差漏洞鎖定少數資安軟硬體，包括Barracuda郵件匣道、思科Adaptive Security Appliance、Ivanti端點管理員及趨勢科技Apex One，但另一方面，過去較少被攻擊的產品如Ivanti及North Grid去年也都出現了3項零時差漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-google%20zeroday-2.png" style="width: 600px;" /></p> <p>在58項零時差漏洞的攻擊來源方面，去年商業監控業者和國家駭客是最主要的零時差漏洞推手，各占4成（14項漏洞）。商業監控業者（commercial surveillance vendor，CSV）是專門販售間諜軟體的業者。去年Google及Android裝置中的17項零時差漏洞攻擊，13項攻擊（75%）和CSV出售的間諜軟體有關，論及所有瀏覽器和行動裝置，和CVS有關則的超過60%。來自中國政府支持的駭客零時差漏洞攻擊，去年有12項漏洞，仍居各國之冠。最後，以金錢為目的的零時差漏洞較前一年減少，僅占17.2%。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/3/28 15:53作者林妍溱https://www.ithome.com.tw/news/162014
Momo RMN精準行銷服務正式上線！還要推開店平臺及直播電商等更多類型的零售數位服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電商龍頭Momo今（3/26）揭露2024年推動電商成長的新做法，包括零售媒體聯播網（RMN）服務「Momo Ads」、開店平臺服務「Mo店+」、支援直播電商的數位工具，以及輔助物流最後一哩路的新物流據點類型「衛星站」。</p> <p><strong>RMN服務正式上線</strong><br /> 去年3月，Momo便透露進軍廣告業務的意圖，隨後於8月正式開始籌備，並在第4季上線RMN服務Momo Ads。Momo電商事業資深副總經理洪偉釗表示，這是個一站式自助投廣平臺，供應商要使用廣告服務，不需事先串接任何系統。</p> <p>Momo Ads廣告採取即時競價機制（RTB，Real-time Bidding），由Momo打造的推薦演算法和CTR/CVR預估模型，來進行精準行銷及行銷成效估算。廣告主還能從後臺看到即時廣告成效報表，分析廣告點擊、曝光、商品成交、成交內容等數據，並快速調整投廣策略。</p> <p>洪偉釗坦言，讓供應商願意買單這種新型態廣告並非易事。Momo策略是讓數字說話，希望廣告投資報酬率（ROAS，Return on Ad Spend）可以和Google、Meta等大型廣告平臺看齊。為此，Momo RMN團隊仍在持續嘗試改善推薦演算法精準度。</p> <p><strong>重新推出開店平臺服務</strong><br /> Momo今年開始試營運開店平臺服務Mo店+，提供客製化開店模組，以及Momo金流、物流、行銷工具等付費服務。</p> <p>早年，Momo有推出摩天商城開店平臺服務，後來終止服務。Momo總經理谷元宏不諱言，當初推出開店平臺服務時，不僅自己規模較小，且動機接近於跟風。穩坐電商龍頭地位後，他們希望利用自家平臺影響力及資源，再次挑戰開店平臺服務。</p> <p>谷元宏表示，這次推出開店平臺動機明確，是要透過外部商家品項，來補齊一般B2C電商不容易找到的商品。為了確保商家品質。Mo店+目前採取邀約制，初期希望招募商品品項少量多樣的店家，販售傳統B2C電商不容易找到的商品。</p> <p>開店平臺服務也有望為Momo RMN業務注入一波成長動能。谷元宏說明，開店平臺店家通常希望有更多行銷自主性和彈性，自助式投廣模式的RMN，正好符合這個需求。</p> <p><strong>用數位服務強化直播電商</strong><br /> Momo已經有電視電商及直播電商頻道，今年，為了讓站上品牌能進一步經營直播電商，他們還要推出品牌專屬直播製作服務及自助式直播工具。</p> <p>前者是為有大規模直播節目製作需求的品牌提供製作、行銷、設計、數據復盤等服務。後者則是推出<a href="https://play.google.com/store/apps/details?id=com.momoshop.android.streampusher&hl=zh_TW&gl=US">直播用App</a>，讓品牌能輕鬆建立好直播環境，展開直播電商業務。</p> <p><strong>設立配置更精簡的送貨據點來強化最後一哩路物流</strong><br /> 谷元宏坦言，目前Momo物流效率仍是北部強於南部。今年，Momo南區儲配運輸物流中心預計於第二季完工、第三季試營運，預計能改善此情況。不只如此，Momo還打算建置新種類智慧物流據點「衛星站」，來強化最後一哩路物流。</p> <p>衛星站比衛星倉更小型，占地約100坪，主要用途不是商品倉儲，而是當作物流節點。衛星站將搭配AI智能選品配置及路線規畫技術，有訂單需求時，才會從鄰近倉儲調貨到離消費者最近的衛星站，供車隊取貨、送貨。</p> <p><strong>用Mo幣進軍企業福利電商的業務持續成長中</strong><br /> Momo去年宣布，將利用旗下會員點數Mo幣打入B2B電商。今日洪偉釗進一步揭露，這類業務有兩種型態，第一是直接販售Mo幣給Acer等大型企業，作為福利點數發放給員工，第二則是上架Mo幣到其他企業福利網，成為該福利網其中一個企業福利選項。由於業務剛起步，企業福利電商所發行的Mo幣占總發行量（100億顆）比例仍非常小，但相比去年仍成長了50%。</p> <p>谷元宏補充，Momo營業費用相比去年幾乎不變，惟IT投資持續增加，以支援RMN、智慧倉儲等新IT建設。</p> <p> </p> </div></div></div>
2024/3/27 09:52作者郭又華https://www.ithome.com.tw/news/161959