iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【iThome 2024 CIO大調查系列2｜服務業IT趨勢2】服務業最積極擁抱GAI應用，聚焦可量化商業面成果
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-fu_wu_ye_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2023年，生成式AI應用遍地開花，服務業是最積極摘下這些花朵的產業。</p> <p>面對生成式AI浪潮，服務業比其他產業都更鼓勵員工使用GAI（如ChatGPT），從個人層級擁抱這些應用。從組織層級，他們也更積極使用GAI來提高人員生產力。一年來，高達15%服務業者已經走到正式上線生成式AI應用階段，甚至是進一步深化應用範圍。這個比例較整體產業高出一倍，凸顯出服務業採用此新興技術的步伐快速。</p> <p>雖然服務業最積極採用GAI工具，但資安方面更著重強化員工GAI（如ChatGPT）資安意識，較少服務業者特別強化機敏資料保護機制。一個原因是，服務業許多生成式AI應用場景，不需要使用到機敏資料，例如行銷素材生成。</p> <p>另一個原因來自於服務業者導入GAI應用的模式。許多服務業偏好採用低導入門檻、開箱即用的生成式AI工具，或者是直接使用ChatGPT，共通點是，都不需要跟其他系統高度整合，因此資安疑慮較少。正是這種先採用簡單的工具、「先用再說」的態度，使服務業GAI導入進程領跑其他產業。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GAI是靠IT節省成本的重要解決方案</strong></span></span></p> <p>服務業者採用GAI時，非常注重商業面成果。相比於「累積AI經驗與實力」這種難量化成果的目標，服務業者導入GAI時更注重直接的商業面成果。舉例來說，降低成本、改良既有產品或服務、設計新產品或服務、擴大營收、獲取更多新顧客、開拓新事業等，都是服務業資訊主管導入GAI應用時，較其他產業更重視的目標。</p> <p>服務業如此聚焦於商業面成果，一大原因是因為總體經濟環境和大缺工窘境，迫使他們利用科技來降低成本及人力需求。生成式AI應用，就是IT部門用來省錢的一種重要做法。</p> <p>許多生成式AI工具導入技術門檻低、使用成本低、操作容易，且容易立即看到成效。這些特質，使服務業IT願意積極嘗試用生成式AI工具，來取代部分高重複性、低難度勞務，進而省錢、省人力。要達成這些目的，IT部門也面臨新課題，必須理解不同部門業務流程，拆解出真正可用GAI取代的環節。同時，還需確保生成式AI工具產出內容的精確度。</p> <p>進入實戰的服務業者們，將GAI用在哪些場景？IT技術性工作方面，服務業與其他產業聚焦的用途大致相同，不外乎撰寫文件、學習新技能、撰寫與優化程式碼，以及解答技術問題。IT部門以外，常見用途則包括專門領域的知識管理、打造文書類RPA流程、產出行銷素材、智慧客服、接待、點餐、創意提案等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-4-PNG.png" style="text-align: center; width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-1-PNG(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-2-P%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-3-PNG(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:22作者郭又華https://www.ithome.com.tw/article/163683
【iThome 2024 CIO大調查系列2｜政府學校IT趨勢1】兼顧資安轉型與數位韌性，AI成為創新應用及分析決策利器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-zheng_fu_xue_xiao_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ithome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年政府及學校的IT預算為2.11億元，較去年成長5.8%，雖然不及去年疫情後的IT預算成長幅度新高的8.9%，但顯示政府及學校IT預算逐漸恢復穩步成長。</p> <p dir="ltr">近幾年在資安即國安的政策下，強化資安一直是最多CIO的目標，今年雖然仍是最多CIO的目標，但是比例從2023年87.8%下滑到2024年的78%。這不代表資安不再受到重視，相反地，因應遠距上班、上雲等彈性的工作型態、外部資源彈性運用，資安風險隨之增加，加上兩岸情勢更為緊張，CIO投注更多心力在其他方面，例如推動資安轉型、數位韌性。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>7成CIO將資安轉型、強化數位韌性列為年度目標</strong></span></span></p> <p dir="ltr">其中推動資安轉型，面對資訊安全的風險增加，政府學校從過去被動建置防火牆、找漏洞、更新，化被動為主動，部署主動防禦，或是強調永不信任、都要驗證的零信任機制，零信任機制也是目前政府積極推動的資安防禦政策。去年的調查中，資安轉型排名為第8名，約4成的政府及學校CIO列為目標，今年調查則一舉提高到70.7%。</p> <p dir="ltr">而隨著全球極端氣候，以及兩岸情勢緊張，天災人禍可能無預警發生，措手不及之下可能導致網路通訊中斷、政府服務受阻，因此近幾年政府力推數位韌性，去年5成8的CIO將強化數位韌性列為目標，今年提高到70.7%。</p> <p dir="ltr">值得注意的是，隨著AI成為提升內部營運效率、對外服務的新技術，AI創新應用與服務已逐漸成為各產業轉型發展的趨勢，政府及學校也不例外，去年只有約26.8%的CIO將AI創新應用與服務列為目標，並未進入前十大目標，但是今年調查發現該比例增加至56.1%，為政府學校CIO年度十大目標的第4名。</p> <p dir="ltr">政府學校也積極推動以數據分析為基礎的決策，由於面臨的龐大數據，因此運用AI進行數據分析輔助決策也成為政府學校的目標，去年約2成的CIO將AI強化分析與決策列為目標，今年比例提高到近4成。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型與資安仍是投資兩大重點，雲端投資增加</strong></span></span></p> <p dir="ltr">在8大領域IT投資方面，數位轉型、資訊安全仍是政府及學校的投資第一、二名，投資占IT預算的比重，分別為13.4%、11.8%。這兩年雲端投資顯著成長，雲端投資從去年1,544萬元成長到今年的2,070萬元，占IT預算比重將近1成，預算僅次於數位轉型、資安，雲端的投資金額，可能與政府近幾年放寬限制，推動政府對民服務上雲，以及因應天災人禍導致國內大規模災害發生，健保、交通、戶政、財稅等18項民生關鍵系統上雲有關，需投入更多的預算在相關上雲準備工作上。</p> <p dir="ltr">從調查來看政府學校IT的雲化發展，對雲的投資也反映在政府學校應用上公雲的比例，從2023年底的19.54%，預期到2024年上升到23.33%。不過，雲原生應用比例則從32.96%，略微下降至29.37%。</p> <p dir="ltr">至於其他重點IT投資占比皆不到5%，雖然占比並不高，但是投資金額成長幅度卻有明顯變化，例如今年對邊緣運算IoT的投資金額成長138.9%達到442萬元，對AI機器學習投資金額成長64.7%至359萬元。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-4-PNG.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:25作者蘇文彬https://www.ithome.com.tw/article/163632
【iThome 2024 CIO大調查系列2｜政府學校IT趨勢2】超過4成政府學校CIO今年將採用ChatGPT類應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188zheng_fu_xue_xiao_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">ChatGPT在全球帶動生成式AI、LLM快速發展，並逐漸受到政府及企業的重視，AI成為新一波數位轉型發展的焦點。行政院去年通過所屬機關使用生成式AI參考指引，為公務機關使用GAI揭示參考性的原則，今年新政府開始執政，宣示推動公務機關運用AI創新應用服務、提高行政效率，AI成為政府轉型的下一步。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>逾4成3今年將採用ChatGPT類應用</strong></span></span></p> <p dir="ltr">根據調查，在眾多技術中，RPA流程自動化頗受青睞，特別在金融業，高達6成採用RPA，在一般製造、高科技製造、服務業也是有一定的比例採用，但是ChatGPT類應用從去年開始逐漸受到重視，各產業整體採用的比例為27.7%。</p> <p dir="ltr">今年ChatGPT類應用各產業整體採用比例上升到41.2%，如果單看政府學校，ChatGPT類應用採用比例為43.9%，位居第1名，為最多政府學校CIO採用的技術，其次是微服務架構，GAI技術、多雲混合雲、AI/ML應用以相同比例居第3、4、5名，顯示政府學校採用最多前5名技術，與AI相關就有占了3項。</p> <p dir="ltr">至於第6到10名技術以現代化IT技術為主，讓政府學校IT體質彈性運用資源，並且標準化、更安全、加快開發步調，例如Kubernetes、Open API、FIDO無密碼身分識別、敏捷開發等等。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>先確保資料安全、員工意識再評估如何運用GAI</strong></span></span></p> <p dir="ltr">相較於其他產業，政府公務機關受外界監督，因此對GAI的採用多抱持謹慎的態度，從政府學校因應GAI採用的前十大對策中，可看到6成CIO加強員工的資安意識，4成3加強機敏資料保護，顯示先強化員工素養、資料保護的前提下，再評估如何運用GAI，如透過種子團隊先以小規模嘗試GAI，或是內部系統嘗試串接GAI，外部服務嘗試串接GAI等。</p> <p dir="ltr">值得注意的是，在政府學校對GAI的對策中，在內網限制禁用ChatGPT的比例為7.3%，該比例較去年的調查些微提升；另外，相較於公共服務模式的ChatGPT，政府學校基於機敏資料保護，發展企業用GPTs應用的比例為7.3%，而使用開源LLM自行訓練的也有9.8%。</p> <p dir="ltr">身為機關、組織整體資訊政策規畫者，12.3%調整現有AI發展策略，在我們與部分的CIO的採訪中，雖然行政院已提出生成式AI參考指引，但有機關規畫內部的AI管理規範，依照不同的業務情境，來進一步控管各部門運用GAI。</p> <p dir="ltr">今年CIO大調查顯示，鼓勵創新、提高員工生產力是政府學校採用GAI的主要考量，在缺乏人力的情況下，讓人力得以投入更有價值的工作上，並且導入GAI以符合政府學校的數位轉型需求。</p> <p dir="ltr">調查顯示，目前政府學校運用GAI，約3成4用於撰寫文件，將近3成用於學習新技能，2成4則是用於程式碼撰寫，也有一部分運用在大量數據的分析應用，例如資料分析、資安分析，大量程式碼分析優化，以及知識管理的技術解答等等。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-4-PNG.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:27作者蘇文彬https://www.ithome.com.tw/article/163633
【iThome 2024 CIO大調查系列2｜CIO觀點】旭榮集團靠IT強化減碳來獲取更多訂單，看重GAI潛力先鼓吹員…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要延續企業的發展，一定要做好數位轉型與永續轉型，才有機會接到訂單」旭榮集團總管理處IT系統專案部資深經理林宗霖明白表示。</p> <p>身為50年老牌本土紡織廠，旭榮集團雖是私有企業，並未公開上市，但卻很早就開始推動ESG永續轉型，從2022年起先後完成了中國常州與越南染廠範疇一、範疇二碳排總量盤查，並在今年2月正式通過了SBTi科學淨零碳排目標審核，成為紡織業中少數幾家確定未來減碳目標的本土企業之一，展現了其減碳的決心。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>導入新數位管理系統，優化工廠能耗管理</strong></span></span></p> <p>旭榮的淨零排放策略主要聚焦在減少碳排和抵減兩大主軸，在減少碳排方面，旭榮大大仰賴IT來加速推動工廠整體減碳作業，例如在能源間接排放管理上，旭榮近年來導入了一套名為 IDCC（Intelligent Data Control Center）的數位管理系統。這套系統能夠將整個生產管理流程納入其中，優化工廠能耗管理，並對齊可持續發展目標（SDGs）。他表示，這套數位化管理系統能夠分析供料、織造、染整和倉儲的即時 KPI 數據，並以視覺化的方式呈現結果，同時提供異常管理分析，減少異常的發生。此外，旭榮還建置了自動倉儲系統，進一步提高了能源效率。</p> <p>旭榮在工廠中部署了大量感測器和智慧電表，持續蒐集能耗、各項動力成本和用水數據，並將其整合到IDCC系統中統一管理，加強碳排放數據的蒐集和管理。在用水改善方面，旭榮在染廠導入中水回用系統進行水循環再利用，截至目前，已節省超過4,300座國際標準游泳池的水量。另外所有染廠均已完成太陽能板的部署，可供應廠內10～15％用電。</p> <p>林宗霖強調，旭榮投入數位轉型與永續發展的原因，簡單來說，就是為了求生存並延續企業的發展。他觀察到，越來越多的品牌商客戶開始重視其供應商的永續發展，並將優先選擇那些在永續和減碳方面表現較好的業者。</p> <p>例如有家知名運動品牌商提出了Life Cycle Assessment （LCA）專案，要蒐集產品生命周期的碳排放數據，來符合其減碳路徑的要求，逐步落實減碳目標，也要求供應商的配合來蒐集完整的數據。在挑選供應商的過程中，他們會派人定期走訪旭榮工廠，了解生產狀況、數位化發展和減碳作為，來作為供應商挑選的參考依據之一。</p> <p>他表示，旭榮原本就已導入一套 IDCC 數位管理系統，能整合工廠中機臺的能耗、動力成本和用水數據，並將這些數據回傳到後端進行分析和儲存。後來，他們改進這套系統，可以兼顧 LCA 數據收集和分析的需求。因此讓他們可以被該品牌商選中，成為三家供應商之一。</p> <p>不只是完成碳盤查，他表示，目前旭榮已經可以因應國際品牌的要求，提供包含碳足跡在內的生產追溯。</p> <p>甚至在範疇三的供應鏈碳管理方面，旭榮近期也計畫打造自己的紡織數位雲平臺，未來可透過雲端平臺的API串接，自動取得上下游供應鏈源頭的碳排數據。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來將評估在內部KM系統上引進GenAI</strong></span></span></p> <p>除了ESG永續發展，在數位轉型方面，旭榮過去10多年來一路從數位化、自動化、智慧化BI，發展到智慧化AI，自3年前展開多方AI的探索，例如利用AI進行紡織成品的品檢，也嘗試在製造過程中應用AI。林宗霖表示，接下來他們將持續評估數據建模，利用AI最佳化染劑配比，提高生產一次成功率。此外，還在業務端評估如匯率預測等風險較低的應用。</p> <p>生成式AI技術在去年快速爆紅，今年進到企業應用階段，越來越多生成式AI產品、工具甚至開源模型推出，降低企業進入的門檻。林宗霖非常重視生成式AI的議題，不只鼓勵各單位可以多方嘗試，甚至還舉辦多場AI教育訓練，增強員工對新興科技的認識和應用，包含如何利用這個工具，有哪一些平臺可供選擇，或是辦理徵稿活動，促進員工使用AI。例如利用生成式AI規畫業務行程和客戶互動。同時也會提醒使用這類AI時的注意事項。</p> <p>他透露，目前IT部門也有開始採用GPT-4o模型的ChatGPT，應用在資料庫中處理SQL語法的優化。</p> <p>他表示，未來將會評估在公司內部的知識管理系統上應用生成式AI，但在製造現場或製程方面，則會傾向於採用傳統或較成熟的預測建模方法，甚至使用更具可解釋性的決策樹。</p> </div></div></div>
2024/6/28 09:29作者余至浩https://www.ithome.com.tw/news/163649
【iThome 2024 CIO大調查系列2｜CIO觀點】禾伸堂靠IT推動雙軸轉型，落實ESG永續也要加速工廠轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為40年老牌本土被動元件製造商，禾伸堂企業也面臨政府課徵碳費帶來的衝擊。</p> <p>ESG永續發展已成為了企業必須重視的重要議題，尤其為落實永續淨零政策，臺灣今年將開始徵收碳費，針對用電大戶的碳排放量課稅，許多企業將根據每年使用碳排放量繳交費用，不只是進行碳排放數據搜集、監控，也得積極展開減碳的工作，落實 ESG，逐步邁向永續發展。</p> <p>碳費成為企業的新成本來源，碳排放量越多，企業所需支付的成本就越高，這迫使企業必須開始重視減碳的作為，甚至要採取更低碳的生產流程，並串接各種碳排放數據，建立更明確的碳成本，加速永續轉型。</p> <p>為了因應2024年碳費徵收制度，禾伸堂早早開始了節能減碳計畫，不僅在工廠部署太陽能板，以供應工廠所需的電力，去年展開了ISO14064- 1:2018 溫室氣體盤查，並成立推動小組進行溫室氣體排放盤查減量計畫。</p> <p>這家製造商還制定了短中長期的減碳目標，計畫在2024年將百萬顆產品的年排放強度較2019年減少10%，並在2050年達到相當於2005年排放量的50%的減量。禾伸堂IT也成為了加速公司實現永續目標和推動減碳的重要關鍵。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型需求和ESG永續並重</strong></span></span></p> <p>禾伸堂目前正積極推動雙軸轉型策略，一方面加速工廠的數位轉型，另一方面也要因應ESG落實永續發展的要求。禾伸堂企業資訊中心協理郭建中坦言，目前他們遇到的最大考驗是，如何兼顧數位轉型需求和ESG永續發展，成了禾伸堂IT面臨的重要挑戰。</p> <p>幾年前，禾伸堂積極在工廠的數位轉型導入了IoT技術，希望能夠打造工業4.0的智慧工廠。目前在工廠擁有多達1千臺機臺設備，其中已有300臺機臺部署了IoT感測器，持續蒐集機臺參數數據，並將這些數據回傳到後端的資料庫進行監控與分析。他表示，這些感測器的建設和數據蒐集及儲存，都需要消耗電力，也增加了工廠和機房用電量，因而增加了碳排放量。</p> <p>為了降低轉型對環境的衝擊，符合ESG的減碳要求，禾伸堂從幾個面向著手，一方面持續收集和監控碳排放數據，作為改善碳排的參考，同時也提高種電的比例，減少非綠色能源使用。此外，在IT採購方面，開始考慮環境因素的IT友善程度，例如，在選擇CPU時傾向於選擇低耗能的CPU，如Arm架構的CPU相比於x86架構的CPU更加節能。禾伸堂不僅逐步增加Arm架構伺服器的採用比例，工廠部署的大量IoT裝置也都使用Arm處理器。</p> <p>更進一步，禾伸堂將朝向雲原生架構發展。郭建中規畫將來的IT架構完全轉向Cloud Native，先從IoT環境開始進行轉換，改用Kubernetes平臺處理和儲存IoT數據，然後逐步擴展到其他IT系統。</p> <p>他指出，這樣做的好處，在於能夠增加資源運用的彈性與擴充性。此外，考慮到安全因素，禾伸堂並沒有將這個雲原生環境放上公雲，而是選擇在地端進行部署，以確保對於數據和系統的安全和管控。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來將聚焦邊緣端的 GenAI應用</strong></span></span></p> <p>近幾年，禾伸堂在AI發展上也有不少投入，例如導入AI技術進行瑕疵檢測，搭配結合攝影機來辨識和找出來產品上的瑕疵，以提高生產效率與產品的良率。不僅如此，他們還計畫未來在MES系統中加入AI機制，使MES具備自主判斷能力，能夠由AI協助處理條件判斷式的問題。</p> <p>不光如此，企業GenAI應用在今年受到高度矚目，許多企業今年不是計畫導入，就是已經開始利用這項技術，來提高員工生產力、優化內部流程和加速數位轉型。</p> <p>郭建中指出，目前他們正在研究和評估生成式AI的企業方案，但比起立刻採用，郭建中採取的策略是從底層資料的準備開始著手，他強調，建立完整且充足的資料是首要任務，因為如果資料量不足，生成式AI助手很難提供其所需的答案。</p> <p>在GenAI應用上，郭建中表示，未來將聚焦在邊緣端的GenAI應用。例如利用GenAI進行工廠IoT數據進階分析與判斷，或是結合影像辨識的GenAI應用等。</p> </div></div></div>
2024/6/28 09:29作者余至浩https://www.ithome.com.tw/news/163650
【iThome 2024 CIO大調查系列2｜CIO觀點】高雄市府3作法加速推動資安轉型，更以AI強化城市治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來發展快速的高雄市，因應愈來愈高的威脅，在中央的補助之下，高雄市增加對資安的投資，高雄市政府資訊中心主任劉俊傑表示，目前高雄市政府在強化資安正推動3項做法，第一項做法是建立主動防禦，過去的資安策略較為被動防禦，例如採購防火牆、防毒軟體等，現在轉向採用比較主動式的防禦，例如蒐集Log資料，包括端點資料，以主動分析發現異常事件。他以紅軍演練為例，傳統委託業者扮演紅隊，利用駭客入侵找出哪裡有弱點，但市府進一步希望掌握入侵可能留下哪些Log資料，透過工具設定檢視規則，主動掃描新的Log，當發現可疑的異常情形，再由專業人員進一步分析。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立主動偵測防禦、強化資安管理制度、產官學合作培養稽核能力</strong></span></span></p> <p>去年資訊中心開始導入這套做法，先用於偵測資訊中心底下的系統，今年計畫擴大到高雄市政府B級機關，明年再納入C級機關，其他機關由於沒有自己的資訊系統，因此明年可望納入整個市府的資訊系統。不只是市府內的資訊系統，甚至要將這套偵測機制在2026年擴大到OT系統，例如交通號誌系統、水閘門控制系統等等。</p> <p>除了導入主動偵測防禦機制，劉俊傑指出，過去資安以技術為主，現在逐漸回歸到資安風險管理，類似網路世界的風險管理，如同實體世界購買保險的風險分散、風險管理，市府規畫先強化完備資安管理制度，根據這些管理制度需求，規畫應該採購哪些資安設備。「軟硬體技術面的解決方案應該輔助制度能夠做得更快、更好，更省時省力，達到更好的效果」，劉俊傑說。</p> <p>因此，第二個做法是推動專案強化市府的資安管理制度，包括國家資通安全管理法及子法，政府推動的資安治理成熟度，以及國際上的ISO 27001、ISO27701、ISO27008等等，以往這些管理制度、標準各自推動，可能導致重覆執行，市府計畫將這些制度及標準整併，以更有效率的方式推動落實管理制度，強化資安風險管理。高雄市政府也希望利用自動化工具，讓推動管理制度更便利。</p> <p>鑑於管理制度需要定期稽核，因此第三個做法是推動產官學合作，由於市府底下有200多個機關，以現有的人力難以逐一稽核各個機關，傳統的稽核方式是高中低所有風險等級一次稽核，劉俊傑認為，這麼做不符合風險管理的角度，因此調整做法，先稽核每個機關的高風險項目，再稽核較低的風險項目。另外，依照法規要求，不同資安責任等級機關需要的資安專責人員，這些人雖需具備相關證照，但缺乏稽核的經驗，由於不能稽核自己所在的機關，市府鼓勵專責人員稽核其他機關，並委託外部業者扮演教練的角度，針對稽核主題提供檢核表，並且先教育訓練市府的資安稽核人員，至於人力不足的問題，市府與學校合作，透過資安研究領域的老師尋找適合的學生，協助市府的資安稽核工作，由業者帶領市府的資安專責人員、學生進行稽核，為了鼓勵學生參加，市府聯合產官學頒發獎狀或證書予學生，對其未來就業加分。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>運用AI改善城市治理</strong></span></span></p> <p>目前高雄市政府也積極運用AI改善市政、民眾服務，主要分為兩個方向，一個是透過智慧城市專案，媒合各個局處面臨問題，和外部民間企業的資源，來測試運用新科技解決問題，AI即是其中一例，例如運用AI協助輕軌偵測軌道上的異物、是否淹水，加強軌道運輸的安全管理，或是在KTV等場所，利用附近監視器及麥克風，透過AI辨識影像、聲音判斷是否發生高風險的行為，聯絡快打部隊前往處理。</p> <p>另一方向是市府的聊天機器人，過去運用NLP技術的聊天機器人，但會有回答錯誤的情形，市府與資訊服務業者合作，計畫運用生成式AI技術，利用RAG技術克服公部門資料外洩的風險，並且降低生成式AI的幻覺問題。</p> <p>劉俊傑表示，先蒐集各機關網站QA資料，作為檢索的資料，再運用生成式AI（微軟Open AI企業版，具有專屬資料庫）以比較自然的方式回答民眾的問題，將幻覺限制在可控的資料範圍內，初步評估成效不錯。另外，目前民眾陳情撥打1999專線話務量龐大，並且民眾經常會詢問客服某個特定單位窗口的分機號碼，他認為未來1999可運用生成式AI技術的聊天機器人，來降低真人客服的工作負擔。</p> <p>今年高雄市府也測試微軟Copilot，目前先由資訊中心測試產生會議紀錄、摘要，未來如果效果不錯再擴大至其他單位，然而，劉俊傑也表示，確實在某些方面能夠節省時間，由於訂閱的費用並不低，並非每位同仁都需要使用，並不會採購大量Copilot授權讓每位同仁都能使用。</p> <p>至於產生公文部分，因公文牽涉市府對外的公權力，政府機關在外界高度關切下，較不被允許出錯，需要更慎重的評估考量是否用於產生公文。「先從基本公務上，讓大家使用比較熟悉，且對使用者規範有概念後，再一步步導入比較嚴謹的公文系統」，劉俊傑說。</p> <p>儘管目前高雄市政府測試Copilot企業版服務，仍是雲端部署的服務，但劉俊傑表示，今年Computex電腦展中，邊緣端的AI運算成為趨勢，全才型的生成式AI固然很好，但各局處僅需要專精特定業務領域資料的AI知識助理，隨著小參數模型發展，未來幾年他相信地端AI應用方案將會愈來愈成熟。</p> <p>除了投資資安與AI，高雄市政府近幾年也積極整併各局處的小機房，資訊向上集中至資訊中心管理，高度虛擬化的大機房，以私有雲方式服務其他局處，利用資訊向上集中，讓IT預算高低不一的各局處可以統一作資料備分。</p> <p>由於資訊向上集中，也讓IT的系統備援更為重要，因此高雄市政府也強化數位韌性，今年將過去位於鳳山的縣府機房改建為第一備援機房，用以備援市府大部分的VM。另外，市府也與AWS公有雲合作，租用2臺伺服器，可使用80個VM虛擬機器，定時將各局處單位共同且重要的VM備分到AWS，例如市府官網、公文系統、API平臺等，讓位於境外的公有雲作為第二備援中心。經過測試，如果高雄市政府四維的資料中心系統出現異常，約5到10分鐘內可以由AWS境外的VM支援。</p> </div></div></div>
2024/6/28 09:30作者蘇文彬https://www.ithome.com.tw/news/163651
【iThome 2024 CIO大調查系列2｜各產業IT趨勢總論】GAI浪潮開始衝擊臺灣大型企業，三產業破4成企業積極…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-aichuang_xin_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是生成式AI創新大爆發的一年。生成式AI開始影響，甚至是改變臺灣的大型企業，<strong><span style="color:#B22222;">高達17.6%的企業CIO評估，自家企業或所屬產業，2024年會因生成式AI而大受衝擊</span></strong>，其中有些現在就開始感受到衝擊。又以人力密集需求高的醫療和政府學校，感受到的生成式AI衝擊感最強烈，超過兩、三成的CIO如此認為。對這些企業而言，生成式AI不是未來的課題，而是今年需要面對的挑戰。</p> <p>不少企業早在去年，就開始嘗試生成式AI，除了鼓勵員工嘗試之外，去年已有2企業開始評估生成式AI技術的可行性，更有一成多的企業設立了種子團隊來嘗試生成式AI。</p> <p>到了今年，隨著企業級GAI相關技術和開發工具，在今年陸續出現，更加速了這股GAI浪潮，開始影響到臺灣各個產業。在今年3月，已有8.8%企業認為，生成式AI技術已經大幅改變了所屬產業和自家企業。不只是服務業，就連高科技製造業、一般製造業也開始有少數企業CIO感受到衝擊。</p> <p><span style="color:#B22222;"><strong>整體產業平均高達近9成企業認為，自家企業有需要採用生成式AI</strong></span>，有些企業就算所屬產業還沒有受到衝擊，也打算跟進嚐鮮。不過，今年真正開展開計畫和行動的企業大約是七成。其中，金融業和政府學校的需求最高，高達96.2%金融業者自評有需要採用，政府學校也高達95%。需求最低的產業是一般製造業，不過也有近8成企業自評有採用需求。</p> <p>為了因應這波GAI浪潮的衝擊，不少企業紛紛積極嘗試，尋找可行的GAI應用方式和場景。去年那一群積極嘗試的企業，模索到了部分可行的應用場景，因此，7%領頭羊企業已開始在正式環境中採用GAI，尤以服務業和醫療業較多。</p> <p>近3成企業今年開始導入，展開各種PoC驗證實驗，另外還有3成企業正在計畫，準備跟進。金融業、醫療和政府學校都過超過半數企業，在今年積極擁抱GAI，開始嘗試，誰能更快以合理資源和成本，找出更有價值的生成式AI應用場景和做法，就能在逐漸成形的創新競爭浪潮中搶先一步。</p> <p>ChatGPT讓企業高層或一般員工感受到生成式AI的威力，不過，對企業來說，不見得所有工作或業務，都能夠或適合引進生成式AI技術。許多企業仍舊處於導入和驗證階段，還有另外一個AI監理與法遵風險的考量，讓企業不敢冒進，就算在正式環境中採用，也會搭配真人把關，或者避開可能有法遵風險潛在法遵風險的應用場景。</p> <p>不過，<span style="color:#B22222;"><strong>金管會在去年發布了《人工智慧法案金融業運用AI指引》草案</strong></span>，這是國內第一份產業AI指引。在去年發布了草案之後，從四大AI系統生命周期，包括了系統規畫設計、資料搜集和輸入、模型建立及驗證，到系統部署與監控，來規範各階段的採用建議。這份指引，迅速成為各產業引進生成式AI時的參考採用原則，企業為了避免日後所屬主管機關跟進發布同樣的產業AI指引，相當重視這份產業AI指引。這份指引在今年6月正式發布，也修正了諸多實務執行上的細節，例如針對不同部署方式而有不同的考量，更明定了高風險AI系統可視需要引進第三方審查評測，也放寬AI可解釋性的要求，不用解釋無法取得的AI模型運作細節，而是由採用企業自行說明在自家AI系統中的運作情況即可。</p> <p>臺灣第一份產業AI指引出爐，有助於加快企業在正式環境中採用生成式AI的腳步，不用面對未來可能的法遵風險自行摸索，而能依據不同AI法遵的規範方向，預作準備，更放心的嘗試生成式AI的應用場景。這一步，將成為企業從實驗驗證階段，跨入正式採用的關鍵助力，可以預期，從2024年下半年開始，會有更多企業開始將生成式AI整合到正式環境，與內部系統或對外產品與服務中採用，這也會帶來臺灣另一波生成式AI應用的爆發。文⊙王宏仁 </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-1-P%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-2-%E5%8E%9F%E5%9C%96-PNG(2).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-2-PNG.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 08:52作者王宏仁https://www.ithome.com.tw/article/163677
【iThome 2024 CIO大調查系列2｜高科技製造業IT趨勢2】超過兩成高科技製造業者已導入GAI應用，少數更開…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-gao_ke_ji_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高科技製造業CIO今年的目標不僅是發展ESG和資安，還比以往更加重視AI，特別是ChatGPT類應用和生成式AI（GAI）技術，使得生成式AI成為高科技製造業今年最火紅的新興科技。</p> <p>高科技製造業今年CIO年度目標中，<span style="color:#B22222;"><strong>ESG企業永續排名提升一名，成為第二大年度目標</strong></span>。超過4成高科技製造業今年把永續發展列為年度優先目標，僅次於強化資安，顯示配合公司永續目標依然是CIO今年很重要的任務，至於資安在今年依舊十分重要，有超過7成的高科技製造企業列為年度優先目標。</p> <p>不過，值得一提的是，在這些年度目標中，AI受到CIO更多的重視，<span style="color:#B22222;"><strong>今年在用AI創新應用與服務，以及用AI強化分析與決策這兩項目標的排名有很大進步</strong></span>，從原本的第十名之外，大幅提升至第五和第六名，甚至超越了數位轉型的目標。</p> <p>近4成的高科技製造業CIO將AI創新應用與服務以及AI強化分析與決策列為年度目標。這些CIO對於AI更加重視，也反應在AI投資上比去年增長2成。另外從高科技製造業採用十大熱門新興技術中，也能看出這個趨勢，高科技製造企業今年計畫導入的新興技術中，前十名中有四項與AI 相關，且採用比例都有所增長。例如近2成高科技製造業今年要導入行動AI應用，去年僅不到一成。</p> <p>尤其是去年ChatGPT應用的出現，掀起了新AI應用風潮，許多企業今年開始在內部嘗試導入這類應用，使得ChatGPT類應用在今年一舉成為企業最受歡迎的新興科技。近四成的高科技製造業將其列為今年優先導入的重點。</p> <p>ChatGPT背後關鍵技術是GAI技術，包含LLM、圖片生成、影片生成等，帶動了企業對於GAI技術的採用，甚至今年計畫導入GAI技術的高科技製造業比去年增長3倍。超過2成高科技製造業CIO要導入GAI技術，希望藉此來提高員工生產力和優化內部流程，甚至利用AI加速內部轉型。</p> <p>從高科技製造業GAI成熟分布來看，也能反映出，高科技製造業目前所身處的GAI應用階段。整體來看，超過兩成高科技製造業者已導入GAI應用，少數更開始擴大採用。另外有超過5成高科技製造業不是今年開始計畫採用，就是已經進到導入和驗證的階段。不過，仍有快4成的高科技製造業尚未採用。</p> <p><span style="color:#B22222;"><strong>高科技製造企業IT 部門是公司內部最早採用GAI的內部單位之一</strong></span>，在許多技術性工作中已經開始採用GAI。近3成高科技製造業IT部門開始用GAI培訓人員學習新技能，讓IT人員能夠更快掌握新技能，提升工作效率。此外，也有超過兩成的高科技製造業IT是將GAI用於文件撰寫文件和程式碼優化。另有超過一成高科技製造業IT則是將GAI應用在程式碼撰寫、資料分析和團隊協作上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#FF8C00;"> 問卷說明 </span></strong></span><span style="color:#696969;"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:12作者余至浩https://www.ithome.com.tw/article/163675
【iThome 2024 CIO大調查系列2｜一般製造業IT趨勢】ESG和數位轉型並重，7成一般製造業者已經是轉型領先者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-yi_ban_zhi_zao_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般製造業今年的IT預算平均達到3,373萬元，儘管與高科技業的預算金額相比仍有不小差距，但預算增長達到10.4%，不僅高於去年的7.4%，也超過了高科技業的6.2%成長率。這反映出在疫情解除後，一般製造業並沒有縮減IT預算，反而在ESG浪潮和數位轉型的驅動下，進一步加碼投資。</p> <p>儘管今年的IT預算高於去年，但一般製造業CIO在八大重點IT投資項目中，相比去年整體投資上較為保守，僅有DevOps和資安預算有超過1成的增長，尤其是DevOps預算更有近3成增長。<strong><span style="color:#B22222;">今年一般製造業技術轉型的投資重點主要在IT現代化，也帶動了DevOps的投資</span></strong>，進一步強化IT開發戰力。至於大數據的投資比重則持續減少，成為所有IT投資項目中負成長最多的項目。</p> <p>數位轉型依然是一般製造業所有IT投資項目中占比最高的項目，達到520萬元，幾乎占了整體IT預算的一成五。不過相比去年，一般製造業在數位轉型投資力道稍微減弱，反映出一般製造業不再像疫情期間那樣加速推動內部轉型，而是回歸原有的轉型步調來推動。</p> <p>從一般製造業數位轉型成熟度分布來看，也能反應這樣的趨勢。過去3年疫情，促使一般製造業者將轉型計畫提前實施，帶動一波數位轉型的加速。到了今年，超過7成的一般製造業者已經是轉型領先者，而轉型落後者的比例則下降到了約10%。</p> <p>另從一般製造業CIO年度目標來看，<span style="color:#B22222;"><strong>數位轉型和ESG企業永續在今年都相當重要</strong></span>，分占年度目標的3、4名。今年超過4成一般製造業CIO將這兩項列為年度優先目標，僅次於強化資安與確保IT穩定與一致的目標。</p> <p>臺灣今年碳費將上路，一般製造業中有不少是用電大戶，未來每年不僅需要定期進行碳盤查，還得依據自身碳排放量繳交碳費，因此，如何用系統化方式定期進行碳盤查及產品碳足跡追蹤變得更為重要。這已成為一般製造業CIO今年首要任務。</p> <p>從一般製造業因應ESG的六大IT對策來看，<span style="color:#B22222;"><strong>超過半數的一般製造業CIO今年優先完成碳盤查及碳足跡監測的系統化工作；其次是ERP支援ESG資訊搜集</strong></span>，也有超過三成計畫導入了這項功能，以建立明確的碳成本。這反映出，隨著今年碳價的公布，一般製造業CIO必須將碳成本與內部財務系統整合，以便掌握生產過程中的碳成本，並納入企業營運決策。此外，今年也有約兩成一般製造業要建置碳足跡儀表板，讓公司管理或營運高層能夠根據這些資訊制定減碳策略。</p> <p>但是，一般製造業在ESG和數位轉型並重的情況下，帶來了新的挑戰。如何兼顧IT轉型和環境永續發展，將成為CIO們今年的新課題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:16作者余至浩https://www.ithome.com.tw/article/163676
【re:Inforce 2024】Amazon S3首度整合惡意程式偵測，一年限量免費使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Inforce 2024雲端安全會議發表多項資安服務，其中最受矚目的當屬物件儲存服務Amazon S3首度整合GuardDuty惡意程式掃描過濾功能，並且自發表後一年內提供限量免費使用。</p> <p>AWS的惡意程式防護服務GuardDuty保護的範圍，繼Amazon EC2、EKS、ECS、AWS Lambda、Fargate之後，也擴及物件儲存服務Amazon S3。過去S3儲存物件的防毒掃描，必須整合第三方資安公司的防護服務，而新推出的GuardDuty Malware Protection for S3服務，則會在用戶上傳物件檔案至S3時自動啟動掃描，檢測潛在的惡意程式、病毒或可疑內容，再放行至對應的儲存貯體；如果掃描後發現潛在威脅，可疑的上傳物件就會被移至隔離區。</p> <p>GuardDuty Malware Protection for S3可視為S3預設防毒防駭功能，因為過往AWS的服務要使用GuardDuty防護服務的話，都必須先啟用GuardDuty服務，不過GuardDuty Malware Protection for S3卻首度提供不需啟用GuardDuty服務，而可直接使用掃毒與惡意程式過濾功能。</p> <p>上述兩種模式的差異在於，有啟用GuardDuty服務的話，啟用的帳號會被賦予一個偵測識別碼，物件掃描結果會以該識別碼記錄下來，因此可以關連到所屬GuardDuty帳號，而如果同一帳號之下的其他服務也有使用GuardDuty，就可以在GuardDuty主控臺集中管理，檢視所有服務的掃描結果、可疑事件與防護狀態等。</p> <p>而單獨使用GuardDuty Malware Protection for S3的模式，雖因不需先啟用GuardDuty而能以簡單快速的方式啟動防護，不過也由於未啟用GuardDuty而無偵測識別碼，因此適合只有S3服務需要使用惡意程式防護功能，而無需使用GuardDuty完整功能的用戶。</p> <p>GuardDuty Malware Protection for S3掃描對象的設定，可以掃描所有新增至儲存貯體的檔案物件，或是只掃描符合特定前綴條件的物件，最多可設定5項條件。而掃描記錄亦可依結果標注相對應狀態的標籤，並傳送到EventBridge，用戶可據此安排後續的工作流程，用戶亦可自訂標籤，以利後續處理。</p> <p>GuardDuty Malware Protection for S3依目前提供截至2025年6月11日每月掃描限量1GB、1千次存取的免費使用額度。</p> </div></div></div>
2024/6/27 23:55作者吳其勳https://www.ithome.com.tw/news/163694
金管會修法擴大電支特約機構涵蓋外送、計程車等平臺，開放專營電支業者上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今天(6/27)預告「電子支付機構業務管理規則」修正草案，該草案修改13條，新增1條文，包括放寬特約機構範圍，將外送、計程車、停車平臺及業者納入電子支付範圍，並且，開放一卡通、街口、全支付等專營電支業者使用雲端服務。</p> <p>金管會表示，過去在疫情期間，帶動零接觸經濟需求，電子支付帳戶使用人數逐年增加，為滿足國人民生支付需求，同時因應電支機構業務發展需要，修正法規擴大支付範圍，此次修法有3大重點。</p> <p><span style="color:#B22222;"><strong>第1點，授權電支業者評估特約商家自動扣款交易</strong></span></p> <p>在電子支付的代理收付實質交易的自動扣款上，原本法規採正面表列方式，例如水電、政府規費等可以電子支付代理收付實質交易的自動扣款，然而考量到市場變化快速，若有不特定金額自動扣款的交易樣態，透過修法或解釋可能緩不濟急，並限制電支業者的業務發展。</p> <p>修正草案基於風險導向的規管精神，捨棄正面表列，授權電支業者依照銀行公會全國聯合會制定的資安、業務自律規範，評估特約機構的交易安全機制、交易爭議處理流程符合規範後，提供電支代理收付實質交易的自動扣款。</p> <p>換言之，原本金管會正面表列，僅開放水電、政府規費等可使用電支自動扣款交易，在修法之後，授權電支業者自行評估特約商家，只要符合一定的資安、業務自律規範，也能使用電支的自動扣款功能。</p> <p><span style="color:#B22222;"><strong>第2個重點，外送、計程車、停車平臺業者納入支付範圍</strong></span></p> <p>依原本管理規則第15條規定，特約機構應為最終收款方，但是金融業者、便利超商因為其代收的角色，可排除限制。</p> <p>金管會表示，疫情帶動零接觸經濟之下，國人已習慣透過平臺業者使用服務，例如外送平臺業者、計程車平臺業者、停車服務平臺，因這些平臺服務的交易特性屬於小額、非接觸消費，因此修法，只要建置相關的風險控管，外送、計程車、停車平臺可被列入電支支付的特約機構，進一步擴大電支的支付範圍。</p> <p><span style="color:#B22222;"><strong>第3點，開放專營電支業者上雲</strong></span></p> <p>因應開放金融業上雲，兼營電支機構多為金融機構，已可依照「金融機構作業委託他人處理內部作業制度及程序辦法」，金管會為監管一致性，草案新增45條之1，讓專營電支業者委外作業得以使用雲端服務，該條款要求專營電支業者，應對使用雲端服務訂定政策及原則，以及擬定風險管控措施，注意委託雲端服務業者的適度分散，並且電支業者對委託雲端業者負有最終監督義務，可自行或委託第三人查核雲端服務業者。</p> <p>電支業者傳輸或儲存客戶資料至雲端，必需經過資料加密或代碼化，並建立加密金鑰管理機制；此外，必需確保擁有資料完整所有權，需確保雲端服務業者沒有取得資料的權限。資料儲存以境內為原則，如儲存於境外，電支業者需具有指定資料處理及儲存地的權利，且境外資料保護法規不能低於我國，另外，除了經金管會核准，客戶重要資料應在我國留存備分。</p> <p>目前「金融機構作業委託他人處理內部作業制度及程序辦法」修正草案已在行政院公報及金管會網站上預告，以蒐集外界意見。</p> </div></div></div>
2024/6/27 18:51作者蘇文彬https://www.ithome.com.tw/news/163690
專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年7月被發現的殭屍網路P2PInfect，主要的攻擊目標是分散式資料庫Redis伺服器，並運用其運算資源挖礦，但最近研究人員發現，有駭客在這款殭屍網路病毒納入勒索軟體功能，而有可能對目標伺服器進行檔案挾持。</p> <p>資安業者Cado發現<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer">新的P2PInfect攻擊行動</a>，他們看到受害Redis伺服器在感染殭屍網路病毒後，會從特定的URL下載勒索軟體rsagen並執行，並對於資料庫檔案SQLITE3、SQL、DB，文件檔案DOC、XLS，以及影音檔案MKV、WAV、MP3等，執行檔案加密作業，並留下勒索訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P2PInfect-rsagen-note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2PInfect-rsagen-note.png" style="width: 580px;" /></a></p> <p>照理而言，Redis通常不會將資料存放於磁碟，即使勒索軟體取得高權限執行，很可能只能加密Redis組態配置檔案，雖然IT人員可指定將資料儲存到名為RDB的檔案裡，但這類檔案並不在勒索軟體的加密範圍，究竟駭客要如何綁架Redis伺服器，研究人員表示仍不清楚。</p> <p>除了上述的勒索軟體模組，研究人員指出與過往的版本相比，這個殭屍網路病毒也在其他層面出現大幅度的變化。首先，他們發現對方重新利用Rust非同步框架Tokio打造，並透過UPX加殼處理，而且，主要執行檔被剝離，且有部分程式碼經過混淆處理，這樣的做法使得靜態分析難以識別這款惡意程式。</p> <p>另一方面，此殭屍網路病毒具備新的使用者模式Rootkit元件，使得該病毒能夠藉由挾持合法的處理程序，埋藏惡意處理程序及相關檔案。</p> <p>再者，則是攻擊者可能採用障眼法，因為他們起初看到對方在P2Pinfect嵌入名為miner的執行檔，但這項元件實際上未曾被使用。後來研究人員在P2Pinfect主程式運作約5分鐘後，才看到挖礦程式啟動。</p> <p>究竟對方賺了多少錢？研究人員看到駭客賺得71個門羅幣（XMR），相當於9,660英鎊（約新臺幣39.7萬元），對方的礦池卻顯示僅有1臺機器執行挖礦，每個月約能產生15英鎊，對比P2Pinfect殭屍網路的規模，這種現象極為不合理，他們推測，駭客另有實際在挖礦的礦池。</p> </div></div></div>
2024/6/27 16:24作者周峻佑https://www.ithome.com.tw/news/163685
【資安日報】6月27日，舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定網站而來的供應鏈攻擊頻傳，在昨天我們報導有人對<a href="https://www.ithome.com.tw/news/163662">上架到WordPress.org市集的外掛程式植入惡意程式碼</a>後，有另一款熱門的網站程式庫Polyfill.io，也傳出更換經營團隊後，被植入惡意內容。</p> <p>值得留意的是，這個程式庫在輾轉交給中國一家內容傳遞網路（CDN）業者經營後，該業者就開始隨意竄改回傳用戶端的檔案，使得研究人員呼籲網站管理者應儘速移除，並尋求替代方案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163667"><strong style="font-size: 22px;">易主後的polyfill.io被用來執行供應鏈攻擊</strong></a></p> <p>專門偵測電子商務惡意軟體與安全漏洞的資安業者Sansec周二（6月25日）警告，知名的Polyfill程式庫polyfill.io自今年2月賣給一家中國業者之後，開始嵌入惡意程式，將造訪使用其服務的網站使用者重新引導至體育賭博或其他惡意網站，呼籲網站管理人員應該關閉Polyfill，或是改用其他較為可靠的服務，例如：Fastly、Cloudflare提供的解決方案。</p> <p>此程式庫的主要功能，是在舊版瀏覽器中補充或模擬現代瀏覽器所支援的功能，當舊版瀏覽器用戶存取的網站採用現代化瀏覽器所支援的新功能時，網站即可導入該函式庫來實現相同的功能，讓網頁於舊版瀏覽器上能夠正常運作，目前全球有超過10萬個網站嵌入該函式庫而曝險。</p> <p><a href="https://www.ithome.com.tw/news/163671"><strong style="font-size: 22px;">勒索軟體LockBit聲稱入侵美國聯準會，竊得33 TB敏感資料，但傳出遭駭的實際上是一家銀行</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffair、Cybernews報導，6月24日惡名昭彰的勒索軟體駭客組織LockBit聲稱，他們駭入美國聯邦儲備系統（聯準會）的系統，竊得33 TB敏感資料，當中包含了「美國的銀行秘密」，要脅若不在期眼內付錢，將於25日公布這批資料。然而，這些駭客並未公布部分內容供買家查證，引起多名資安專家質疑，認為LockBit這麼做其實只是在虛張聲勢。</p> <p>隔天，該組織公布了21個下載連結，但值得留意的是，有部分疑似來自美國金融機構Evolve Bank and Trust，而且，這些駭客還附上聯準會6月14日針對這家金融機構進行執法行動的新聞稿，當時聯準會表示這家銀行在洗錢防治、風險管理、消費者法規遵循的執行上出現瑕疵。</p> <p>但這些資料究竟來自聯準會還是Evolve Bank and Trust？網路威脅監控公司HackManac透露，根據駭客公布的資料，對方顯然入侵了Evolve Bank and Trust，但目前並未發現機密文件的情況，該公司仍著手持續調查當中。</p> <p><a href="https://www.ithome.com.tw/news/163672"><strong style="font-size: 22px;">微軟旗下語音技術廠商管理不當，離職員工竊取美國賓州醫院百萬病患個資</strong></a></p> <p>美國賓州醫療院所Geisinger Health去年因微軟IT管理不當，讓一名員工離職後仍可存取其系統並竊取超過100萬名病人個資。</p> <p>根據Geisinger的說明，去年11月29日Geisinger發現隷屬於微軟的Nuance員工存取其病患資訊系統，而且是在他被公司解職後2天所為。在獲得客戶通知後，Nuance已永久終止這名前員工的系統存取權。目前這名員工已遭到逮捕，將面臨起訴。</p> <p>微軟在2021年併購語音技術供應商Nuance，並將其技術整合AI模型提供語音聽寫方案DAX，後者可用於醫療情境，像是產生臨床筆記、醫囑、電子病歷等。這並非Nuance首度因IT管理不當的釀禍，2018年舊金山公共健康部也遭Nuance離職員工存取了當地醫療網絡的IT系統。</p> <p><a href="https://www.ithome.com.tw/news/163685"><strong style="font-size: 22px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p>自去年7月被發現的殭屍網路P2PInfect，主要的攻擊目標是分散式資料庫Redis伺服器，並運用其運算資源挖礦，但最近研究人員發現，有駭客在這款殭屍網路病毒納入勒索軟體功能，而有可能對目標伺服器進行檔案挾持。</p> <p>資安業者Cado發現新的P2PInfect攻擊行動，他們看到受害Redis伺服器在感染殭屍網路病毒後，會從特定的URL下載勒索軟體rsagen並執行，並對於資料庫檔案SQLITE3、SQL、DB，文件檔案DOC、XLS，以及影音檔案MKV、WAV、MP3等，執行檔案加密作業，並留下勒索訊息。</p> <p>除了上述的勒索軟體模組，研究人員指出與過往的版本相比，這個殭屍網路病毒也在其他層面出現大幅度的變化。首先，他們發現對方重新利用Rust非同步框架Tokio打造，並透過UPX加殼處理，而且，主要執行檔被剝離，且有部分程式碼經過混淆處理，這樣的做法使得靜態分析難以識別這款惡意程式。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer"><strong style="font-size: 20px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p>◆<a href="https://https://thehackernews.com/2024/06/new-"><strong style="font-size: 20px;">駭客組織Boolka鎖定網站發動SQL注入攻擊，意圖植入木馬程式Bmanger</strong></a></p> <p>◆<a href="https://www.cleafy.com/cleafy-labs/medusa-reborn-a-new-compact-variant-discovered"><strong style="font-size: 20px;">金融木馬Medusa鎖定安卓用戶下手，攻擊範圍遍及歐美7個國家</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/polyfillio-javascript-supply-chain-attack-impacts-over-100k-sites/"><strong style="font-size: 20px;">舊版瀏覽器網站相容套件Polyfill被中國公司買下並植入惡意程式碼，恐影響10萬網站</strong></a></p> <p>◆<a href="https://snailload.com/"><strong style="font-size: 20px;">研究人員揭露新的攻擊手法SnailLoad，藉由網路延遲的變化推測用戶的活動內容</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163674"><strong style="font-size: 22px;">蘋果發布AirPods韌體更新，修補藍牙耳機配對漏洞</strong></a></p> <p>6月25日蘋果針對旗下藍牙耳機AirPods發布韌體更新6A326、6F8，修補身分驗證漏洞CVE-2024-27867，這項漏洞影響第2代以上的AirPods、所有型號的AirPods Pro、AirPods Max，以及Beats旗下的Powerbeats Pro、Beats Fit Pro。</p> <p>而對於這項漏洞帶來的影響，蘋果指出，當使用者的耳機在搜尋已成功配對的裝置時，攻擊者若是在藍牙訊號的範圍內，就有機會冒充已配對的裝置，從而取得存取耳機的權限。換言之，攻擊者可能藉此竊聽用戶的聲音。</p> <p><a href="https://www.ithome.com.tw/news/163681"><strong style="font-size: 22px;">研究人員針對西門子修補的SICAM設備漏洞提出警告，若不修補有可能被用於針對能源產業攻擊</strong></a></p> <p>今年5月、6月西門子針對旗下工業控制系統SICAM產品線發布例行更新，針對CVE-2024-31484、CVE-2024-31485、CVE-2024-31486進行公告，這些漏洞影響終端機單元A8000、AK3、TM、BC系列，以及強化電網感應器（Enhanced Grid Sensor，EGS）、SICAM 8電力自動化平臺，而這些系統主要是針對變電站自動化打造的電網解決方案，一旦遭到利用，影響層面可能將會相當廣泛。</p> <p>本週通報上述漏洞的資安業者SEC Consult說明相關細節，公布這些漏洞發生的原因，並展示概念性驗證（PoC）程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163451"><strong style="font-size: 22px;">4成企業今年要招募資安好手，資安事件應變人才最搶手</strong></a></p> <p>這幾年，兩大法遵推力下，包括影響公部門資安人力的政府資安管理法，以及主管機關對上市櫃公司的資安要求，大幅帶動了企業對於資安人力的建置，根據2024 iThome CIO大調查的統計結果來看，企業平均專責資安人力達到了4.8人，尤以金融業的平均11.6人最多，其次是政府學校（4.4人）、高科技製造業（4.1人），醫療則是資安人力最少的產業，只有2.4人，比一般製造業的平均人數（2.9人）還要低。</p> <p>不過，企業現有資安人力，遠低於資安長心中理想的團隊規模，要足以對抗企業當前資安威脅，資安長期望平均要達到5.9人，換句話說，現有4.8人的規模，還少了近四分之一的人手。各產業都有資安人手達不到資安長期望的情況，又以醫療業和政府學校的落差最大。</p> <p>今年有4成企業要招募資安職缺，平均招募人數是2.7人，又以政府學校的招募人數需求最多，達到6.1人，主要來自少數一級政府機關、大型國營企業、大型學校為了資安轉型而展開的人力需求擴編，才拉高了整體平均值。其次，金融業平均要招募4.2人，也遠高於其他產業的平均資安人力需求量。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163663"><strong>【6月26日】惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163648"><strong>【6月25日】中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> </div></div></div>
2024/6/27 17:44作者周峻佑https://www.ithome.com.tw/news/163687
研究人員針對西門子修補的SICAM設備漏洞提出警告，若不修補有可能被用於針對能源產業攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年<a href="https://cert-portal.siemens.com/productcert/html/ssa-871704.html">5月</a>、<a href="https://cert-portal.siemens.com/productcert/html/ssa-620338.html">6月</a>西門子針對旗下工業控制系統SICAM產品線發布例行更新，針對CVE-2024-31484、CVE-2024-31485、CVE-2024-31486進行公告，這些漏洞影響終端機單元A8000、AK3、TM、BC系列，以及強化電網感應器（Enhanced Grid Sensor，EGS）、SICAM 8電力自動化平臺，而這些系統主要是針對變電站自動化打造的電網解決方案，一旦遭到利用，影響層面可能將會相當廣泛。</p> <p>本週通報上述漏洞的資安業者SEC Consult<a href="https://sec-consult.com/vulnerability-lab/advisory/multiple-vulnerabilities-in-siemens-power-automation-products-cp-8000-cp-8021-cp8-022-cp-8031-cp-8050-sicore/">說明相關細節</a>，他們指出，這些漏洞最早通報的是去年4月找到的CVE-2024-31484，但在一年後找到CVE-2024-31486，西門子才在今年進行處理，但為何會間隔1年才處理CVE-2024-31484，雙方並未對此做出說明。</p> <p>研究人員也公布這些漏洞發生的原因，並展示概念性驗證（PoC）程式碼。</p> <p>針對記憶體緩衝區過度讀取（buffer-overread）漏洞CVE-2024-31484，若是攻擊者加以利用，將能透過未經授權的記憶體緩衝區過度讀取，導致資訊洩露的情況。這項漏洞發生的原因，在於HTTP標頭Session-ID數值，被strncpy呼叫及使用時，出現不正常終止的現象，使得攻擊者有機會從記憶體讀取敏感資料。</p> <p>對於權限提升漏洞CVE-2024-31485的部分，攻擊者可在通過身分驗證的情況下，藉由這項缺乏輸入清理的弱點，實現權限升級，而該漏洞發生的原因，主要是具備viewer層級的角色就有機會截取其他使用者網頁介面的未加密流量，因此，攻擊者可截取權限較高的使用者帳號及密碼資料，從而存取這種帳號來提升權限。</p> <p>最後一個漏洞CVE-2024-31486，發生的原因在於部分SICAM設備存放MQTT密碼的做法並不安全，使得攻擊者有機會發動硬體攻擊，或是透過Shell存取的方式，取得儲存的密碼資訊。這項弱點發生在部署OPUPI0 MQTT應用程式的可程式化邏輯控制器（PLC），因為在連線的MQTT伺服器上，密碼以明文儲存，攻擊者有可能藉由程式碼執行弱點，或是檔案洩露漏洞，甚至是實際存取裝置，從而讀取密碼。</p> </div></div></div>
2024/6/27 15:02作者周峻佑https://www.ithome.com.tw/news/163681
駭客組織Boolka對於全球網站發動SQL注入攻擊，意圖對使用者電腦植入木馬程式Bmanger
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Group-IB揭露<a href="https://www.group-ib.com/blog/boolka/">名為Boolka的駭客組織</a>，該組織從2022年開始，對於全球各地的網站隨機發動SQL注入攻擊，目的是對瀏覽網站的使用者散布名為Bmanager的模組化木馬程式。</p> <p>研究人員指出，過去3年這些駭客鎖定存在弱點的網站，藉由惡意的JavaScript指令碼進行感染，從而能在受害網站上截取使用者輸入的任何資料。</p> <p>一旦使用者存取遭到感染的網站，攻擊者的指令碼就會被下載及執行，向攻擊者伺服器發送請求，然後透過植入網站上的表單，截取使用者輸入的內容。此指令碼積極監控使用者與表單之間的互動，只要用表單上的元素有所變動，或是被使用者點選，對方就會對輸入內容進行截取，並將其經過Base64演算法處理，再傳輸至攻擊者的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-1.png" style="width: 580px;" /></a></p> <p>但除了竊取使用者輸入的個人資料，他們也看到駭客使用名為BeEF的惡意軟體傳送框架，對存取受害網站的使用者散布Bmanager。駭客將使用者重新導向假的網頁，聲稱必須安裝指定的瀏覽器延伸套件才能正常檢視內容，然而一旦照做，電腦就有可能被植入木馬程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/unnamed-5-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed-5-1.png" style="width: 580px;" /></a></p> <p>此惡意程式可根據攻擊者的需求，安裝4種攻擊模組，這些分別是：收集受害電腦檔案工具Bmbackup、記錄正在運作的應用程式的Bmhook、側錄鍵盤輸入內容的Bmlog，以及外流檔案的Bmreader。</p> </div></div></div>
2024/6/27 17:10作者周峻佑https://www.ithome.com.tw/news/163686
AI裝置Rabbit r1遭爆外洩眾多API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創業者Rabbit與消費者裝置製造商Teenage Engineering合作開發的AI裝置Rabbit r1，本周遭爆外洩許多API金鑰，將允許任何人讀取Rabbit r1所生成的內容，或是讓所有的Rabbit r1變磚，還能竄改Rabbit r1的回應或是置換Rabbit r1的聲音，更令人訝異的是，研究人員指出Rabbit r1早就知道其裝置的API金鑰外洩，卻一直未採取行動。</p> <p>甫於去年才成立的Rabbit主要開發支援自然語言介面的作業系統與硬體，所打造的rabbit OS是基於大型語言模型（LLM）及大型動作模型（Large Action Model ，LAM），意味著其指令不僅可生成解答，還可用來執行動作。Rabbit在今年1月<a href="https://www.rabbit.tech/newsroom/introducing-r1" target="_blank">發表了</a>委由Teenage Engineering製造的AI裝置Rabbit r1，售價199美元，<a href="https://www.rabbit.tech/newsroom/r1-lam-updates" target="_blank">已於今年3月出貨</a>。</p> <p>Rabbit r1是個小型裝置，具備SIM卡插槽，能與LLM對話，可透過Perplexity進行搜尋，支援AI視覺，能夠進行雙向翻譯，也可利用AI來摘要文字，其LAM功能則包括播放Spotify等音樂程式、叫車或叫外賣。不過，SIM卡只是用來使用網路，Rabbit r1並非手機，既不支援撥打電話，亦無簡訊功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-rabbit%20r1.png" style="width: 500px;" /></p> <p>發現相關漏洞的是專門針對Rabbit r1專案進行反向工程的<a href="https://rabbitu.de/articles/security-disclosure-1" target="_blank">Rabbitude社群</a>，研究人員表示，他們在今年5月存取了Rabbit r1的程式碼庫，並發現其中含有許多寫死的API金鑰，包括將文字轉譯成語音的ElevenLabs、語音轉文字的Azure系統、評論服務Yelp，以及Google Maps。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-rabbitude(1).png" style="width: 500px;" /></p> <p>其中的ElevenLabs金鑰甚至具備了完整權限，允許任何人取得該服務的完整歷史紀錄，變更及刪除所使用的聲音，添加客製化的文字置換能力，更有令Rabbit r1裝置變磚的能力。</p> <p>研究人員還指出，其實Rabbit團隊也知道其API金鑰已經外洩，卻未採取任何行動，任由它們存在於程式碼中，之所以未公布所有細節是為了尊重Rabbit r1用戶，而非Rabbit。</p> <p>在Rabbit r1上市後，也有許多媒體測試了該裝置，對它的評價還低於Humane的<a href="https://www.ithome.com.tw/news/162250" target="_blank">Ai Pin</a>，例如<a href="https://www.engadget.com/rabbit-r1-review-a-199-ai-toy-that-fails-at-almost-everything-161043050.html" target="_blank">Engadget</a>稱這個AI玩具在各方面都是失敗的，<a href="https://www.pcmag.com/reviews/rabbit-r1" target="_blank">PCMag</a>還說它的優點只有便宜跟造型可愛，其它不管是性能、功能、操作介面或電池壽命都不怎樣；<a href="https://www.tomsguide.com/ai/rabbit-r1-review" target="_blank">Tom's Guide</a>更直接勸告消費者不要買Rabbit r1。Rabbit未曾公布Rabbit r1的銷售量。</p> <p>同樣身為AI裝置，曾經備受期待，卻在產品現身後評價不佳的Ai Pin，其製造商Humane已傳出<a href="https://www.ithome.com.tw/news/163054" target="_blank">有意求售</a>的消息。</p> </div></div></div>
2024/6/27 15:28作者陳曉莉https://www.ithome.com.tw/news/163682
7家AI資料集供應商成立聯盟，推動符合著作權法的AI模型開發標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7家涉及音樂、聲音、影像、文字與技術的AI資料集供應商，在周三（6/26）<a href="https://www.thedpa.ai/post/leading-dataset-licensors-unite-to-launch-the-dataset-providers-alliance-dpa" target="_blank">共同宣布成立資料集供應商聯盟</a>（Dataset Providers Alliance ，DPA），將致力於推動AI與機器學習（ML）資料集之智慧財產權的負責任與合乎道德的授權活動，以於快速發展的AI及ML領域中宣導內容創作者的權利。</p> <p>相較於<a href="https://www.ithome.com.tw/news/162587" target="_blank">金融時報</a>、華爾街日報、<a href="https://www.ithome.com.tw/news/163046" target="_blank">紐約時報</a>、美國唱片業協會（RIAA）或Reddit等知名組織直接與AI業者簽署協議，DPA的創始成員多半為新創，採用聯盟型態或許可取得更好的談判籌碼。</p> <p>這7家業者包括全球音樂授權機構Rightsify，去年才成立且專門提供AI音樂資料集的GCX，專注於視覺AI解決方案的vAIsual，專門提供資料標註服務的Pixta AI，廣納音樂、圖像、視覺與創意藝術家的社群平臺ado，專門供應高品質影片及書籍文字以訓練AI模型的Calliope Networks，以及資料商店Datarade等。</p> <p>DPA的任務包括推動AI與ML資料集知識產權內容授權的透明度與標準化，教育市場使用合法資料的重要性，推動資料供應商，推動AI/ML研究人員及業界合作夥伴之間的溝通與合作，宣導內容創作者與權利人的權益，以及在鼓勵與開發尖端AI/ML技術的同時確保智慧財產權的保護。</p> <p>簡言之，DPA是要建立訓練AI模型所使用資料的合法授權的透明度及標準化，並準備在今年7月發表一份有關資料集授權標準的白皮書，讓DPA成為資料集供應商的代言人，並讓開發者得以存取大量高品質的AI訓練內容。</p> </div></div></div>
2024/6/27 14:21作者陳曉莉https://www.ithome.com.tw/news/163679
勒索軟體LockBit聲稱入侵美國聯準會，竊得33 TB敏感資料，但傳出遭駭的實際上是一家銀行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站SecurityAffair、Cybernews報導，6月24日惡名昭彰的勒索軟體駭客組織LockBit聲稱，<a href="https://securityaffairs.com/164873/cyber-crime/lockbit-claims-hacked-us-federal-reserve.html">他們駭入美國聯邦儲備系統（聯準會）的系統</a>，竊得33 TB敏感資料，當中包含了「美國的銀行秘密」，要脅若不在期眼內付錢，將於25日公布這批資料。然而，這些駭客並未公布部分內容供買家查證，引起多名資安專家質疑，LockBit這麼做其實只是在虛張聲勢。</p> <p>隔天，<a href="https://cybernews.com/news/lockbit-ransomware-us-federal-reserve-published/">該組織公布了21個下載連結</a>，但值得留意的是，有部分疑似來自美國金融機構Evolve Bank and Trust，而且，這些駭客還附上聯準會6月14日<a href="https://www.federalreserve.gov/newsevents/pressreleases/enforcement20240614a.htm">針對這家金融機構進行執法行動的新聞稿</a>，當時聯準會表示這家銀行在洗錢防治、風險管理、消費者法規遵循的執行上出現瑕疵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg" style="width: 580px;" /></a></p> <p>但這些資料究竟來自聯準會還是Evolve Bank and Trust？<a href="https://www.bleepingcomputer.com/news/security/lockbit-lied-stolen-data-is-from-a-bank-not-us-federal-reserve/">網路威脅監控公司HackManac透露</a>，根據駭客公布的資料，對方顯然入侵了Evolve Bank and Trust，但目前並未發現機密文件的情況，該公司仍著手持續調查當中。</p> <p>資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/lockbit-lied-stolen-data-is-from-a-bank-not-us-federal-reserve/">向這家金融機構進行確認</a>，他們表示得知有駭客組織在暗網發布非法取得的資料，正在著手調查此事，而對於受到影響的客戶，他們將會提供信用監控及身分盜用保護服務。</p> </div></div></div>
2024/6/27 10:55作者周峻佑https://www.ithome.com.tw/news/163671
蘋果發布AirPods韌體更新，修補藍牙耳機配對漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日蘋果針對旗下藍牙耳機AirPods<a href="https://support.apple.com/zh-tw/HT214111">發布韌體更新6A326、6F8</a>，修補身分驗證漏洞CVE-2024-27867，這項漏洞影響第2代以上的AirPods、所有型號的AirPods Pro、AirPods Max，以及Beats旗下的Powerbeats Pro、Beats Fit Pro。</p> <p>而對於這項漏洞帶來的影響，蘋果指出，當使用者的耳機在搜尋已成功配對的裝置時，攻擊者若是在藍牙訊號的範圍內，就有機會冒充已配對的裝置，從而取得存取耳機的權限。換言之，攻擊者可能藉此竊聽用戶的聲音。</p> <p>他們也對於韌體派送的部分提出說明，指出使用者若是透過iPhone、iPad、Mac電腦與耳機連線，就會自動派送相關的韌體更新。</p> <p>若成功取得上述更新，第2及第3代AirPods、第1代AirPods Pro、AirPods Max將會執行6A326版韌體；第2代AirPods Pro及Powerbeats Pro、Beats Fit Pro則會搭載6F8版韌體。</p> </div></div></div>
2024/6/27 11:29作者周峻佑https://www.ithome.com.tw/news/163674
微軟管理不當，致離職員工竊取美醫院百萬病患個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國賓州一家醫療院所Geisinger Health去年因微軟IT管理不當，讓一名員工離職後仍可存取其系統並竊取超過100萬病患個資。</p> <p>Geisinger Health是美國知名醫療院所，擁有10個院區、2.6萬名員工包括1,600多位醫師，其醫療計畫下的企業及政府方案有60萬會員，年營收100億美元。</p> <p><a href="https://www.geisinger.org/about-geisinger/news-and-media/news-releases/2024/06/24/18/17/geisinger-provides-notice-of-nuances-data-security-incident" target="_blank">Geisinger說明</a>，去年11月29日Geisinger發現隷屬於微軟的Nuance員工存取其病患資訊系統，而且是在他被公司解職後2天所為。在獲得客戶通知後，Nuance已永久終止這名前員工的系統存取權。目前這名員工已遭到逮捕，將面臨起訴。</p> <p>微軟是在2021年<a href="https://www.ithome.com.tw/news/143790" target="_blank">收購</a>語音技術供應商Nuance，並將其技術整合AI模型提供語音聽寫方案<a href="https://www.ithome.com.tw/news/156015" target="_blank">DAX</a>，後者可用於醫療情境，像是產生臨床筆記、醫囑、電子病歷等。</p> <p>經過調查，這起事件導致Geisinger超過100萬病患資訊被這名前微軟員工存取。遭到存取的資訊包括病患姓名、生日、住家地址、入／出院及轉診號碼、病歷號、種族、性別、電話及醫療設施名稱縮寫。但保險理賠、保險資訊、信用卡、銀行帳戶及其他財務資訊、與社會安全號碼都未受影響。</p> <p>媒體The Register報導，這不是Nuance第一次IT管理不當。2018年舊金山公共健康部也<a href="https://www.nbcbayarea.com/news/local/sf-public-health-officials-inform-895-patients-about-data-breach/178406/" target="_blank">遭Nuance離職員工存取</a>了當地醫療網絡的IT系統，包括2家醫院近900名病患的醫療謄寫紀錄。</p> </div></div></div>
2024/6/27 10:57作者林妍溱https://www.ithome.com.tw/news/163672
歐盟初步認定微軟Microsoft 365搭售Teams違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會本周就Microsoft 365（M365）與Office 365搭售通訊協同軟體Teams<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_3446" target="_blank">公布初步調查意見</a>，認定微軟此一搭售行為已經違反歐盟反托拉斯規定。</p> <p>本案是歐盟啟動調查將近一年的初步認定結果，已將此以聲明異議書（statement of objections）提供微軟。Salesforce旗下子公司Slack分別於2020與2021年<a href="https://www.ithome.com.tw/news/138979" target="_blank">向歐盟提告</a>微軟搭售Teams及其優勢商務生產力軟體Office/Microsoft 365（以下合稱M365）企圖強迫企業客戶安裝Teams，並隱藏真正成本以打壓競爭者產品，歐盟於去年7月<a href="https://www.ithome.com.tw/news/158010" target="_blank">啟動調查</a>。</p> <p>根據歐盟初步調查發現，微軟最少從2019年4月就將Teams和其SaaS生產力應用軟體（即M365）綑綁，藉此打壓通訊協同產品競爭者，並確保生產力軟體市場地位及套件導向的產品模式，防止單一產品供應商的挑戰。</p> <p>其中微軟不給M365訂閱用戶不購買Teams的選項，並且限制Teams競爭產品和M365產品的相容性，令歐盟執委會擔憂，這行為可能減低Teams對手廠商的競爭力及創新能力，進而損害歐盟經濟區（European Economic Area，EEC）用戶的權益。</p> <p>在歐盟啟動調查後，微軟已經著手調整產品銷售策略。微軟先是<a href="https://www.ithome.com.tw/news/158559" target="_blank">於去年9月解除</a>歐盟及瑞士地區M365及Teams的綑綁，允許企業用戶購買不包含Teams的M365，以及單獨出售Teams授權。今年4月微軟進一步將之<a href="https://www.ithome.com.tw/news/162070" target="_blank">推向全球</a>。微軟也說會強化M365和Teams對手如Slack等軟體相容性，像是提供API等，並且提供新的Office Web版App以方便在其他協同平臺上編輯。</p> <p>不過對此歐盟執委會表示，微軟目前所為尚並不足平息其疑慮，微軟需要做更多變革。</p> <p>微軟法務長Brad Smith透過媒體發出聲明指出，在微軟做出鬆綁Teams及相容性措施之後，該公司對歐盟提供進一步說明表達感謝，也將持續和歐盟合作以解決其疑慮。</p> <p>一旦微軟最終被歐盟判決違反反托拉斯法，可能被處以高達全球年營收的10%的罰款。</p> <p>微軟已經多次因搭售行為遭歐盟當局控告，包括在Windows搭售Media Player以及Internet Explorer（IE）瀏覽器，分別導致2012年<a href="https://www.ithome.com.tw/news/74643" target="_blank">判罰</a>8.6億歐元及2013年<a href="https://www.theverge.com/2013/3/6/4069126/eu-fines-microsoft-for-windows-7-sp1-browser-ballot" target="_blank">裁罰</a>5.6億歐元。</p> <p>這也是歐盟繼本周稍早對美國科技大廠發出的第二份判決。周一<a href="https://www.ithome.com.tw/news/163637" target="_blank">歐盟初步判決蘋果</a>App Store禁止App開發商將用戶引導到其他付費平臺的「限制引導條款」（anti-steering provision），已違反了《數位市場法》（Digital Markets Act）。</p> </div></div></div>
2024/6/27 10:20作者林妍溱https://www.ithome.com.tw/news/163670
【資安日報】6月26日，惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為資安業者卻遭到駭客入侵的情況，最近傳出新的資安事故。例如，有許多研究人員使用的雲端惡意軟體沙箱Any.Run，其服務供應商傳出遭到網路攻擊，公司所有的員工都收到來自內部人士寄送的釣魚郵件。</p> <p>這起事故可追溯到一個月前有員工上當，雖然他嘗試利用沙箱環境檢查惡意連結，但並未做好相關設定，且依照對方指示提供自己的帳號密碼，導致帳號遭到對方挾持。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163659"><strong style="font-size: 22px;">惡意軟體沙箱服務業者Any.Run的員工遭到鎖定，駭客對其發動網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg" style="width: 300px; float: right;" /></a></p> <p>提供雲端沙箱測試環境的網站Any.Run指出，他們全體員工在上週收到藉由內部員工發出的釣魚郵件，經調查發現，原因是其中一名員工的帳號已經外洩所致，駭客企圖利用他的帳號進行商業郵件詐騙（BEC）攻擊。</p> <p>事件最初發生於5月23日，一名銷售團隊的員工藉由第三方服務收取釣魚郵件，對方聲稱是之前曾經聯繫過的客戶，這封信件內含可疑連結。為求保險起見，這名員工在27日將這封信傳送至沙箱進行檢查，確認上述連結是否有害，但他並未啟用中間人代理伺服器模式（MitM Proxy），使得入侵偵測系統Suricata IDS並未發揮作用，因此沒有解開HTTPS流量並偵測是否含有惡意內容。但這名員工卻在沙箱環境裡，依照駭客指示輸入帳密資料，而被對方得逞。</p> <p>到了6月18日，駭客利用這名員工的電子郵件信箱，對所有聯絡人名單裡的員工發送釣魚信。而這些信件的內容，與已經受害的員工收到的信件雷同。使得該公司察覺異常，並採取行動。</p> <p><a href="https://www.ithome.com.tw/news/163662"><strong style="font-size: 22px;">5個上架到WordPress.org市集的外掛程式遭到供應鏈攻擊，被植入惡意指令碼</strong></a></p> <p>專注於WordPress網站安全的資安業者Wordfence指出，他們本週留意到名為Social Warfare的外掛程式，近期被WordPress.org外掛程式市集的審查團隊發現，遭人植入惡意程式碼，Wordfence透過內部的威脅情報平臺進行比對，結果找到其他4個也被植入類似程式碼的外掛程式，他們向審查團隊通報此事，遭感染的外掛程式自24日暫停提供下載，但究竟駭客如何上傳這些有問題的外掛程式，研究人員表示並不清楚。</p> <p>而對於攻擊者的動機，研究人員指出，一旦對方成功在網站植入惡意外掛程式，就會試圖建立新的管理員帳號，並將結果回傳駭客控制的伺服器。此外，駭客疑似藉由注入惡意JavaScript程式碼，透過網站增加搜尋引擎最佳化（SEO）的垃圾索引。</p> <p><a href="https://www.ithome.com.tw/news/163627"><strong style="font-size: 22px;">勒索軟體駭客組織RansomHub鎖定多種平臺發動攻擊，VMware虛擬化平臺是他們的新興標的</strong></a></p> <p>新興的勒索軟體駭客組織RansomHub今年初竄起，並聲稱接連針對美國醫療保健科技業者Change Healthcare、英國精品拍賣業者佳士得（Christie's）、臺灣電腦製造商藍天（Clevo）出手，引起不少研究人員高度關注。繼之前資安業者賽門鐵克公布相關調查結果，指出這些駭客疑似購買勒索軟體Knight的原始碼打造自己的工具，並透過ZeroLogon（CVE-2020-1472）取得初始入侵的管道，有研究人員公布新的發現。</p> <p>資安業者Recorded Future近期公布他們的調查結果，指出這些駭客也與許多勒索軟體組織相同，不只針對Windows、Linux電腦下手，他們也使用勒索軟體攻擊VMware ESXi虛擬化環境，而這是首度有研究人員提及該組織針對虛擬化平臺打造勒索軟體的情況。</p> <p><a href="https://www.ithome.com.tw/news/163661"><strong style="font-size: 22px;">兆勤已終止支援的NAS設備再度遭到鎖定，殭屍網路嘗試利用甫公布的漏洞進行滲透</strong></a></p> <p>6月初兆勤（Zyxel Networks）針對半年前已經終止支援的NAS設備NAS326、NAS542發布緊急更新，破例修補重大漏洞CVE-2024-29972、CVE-2024-29973，以及CVE-2024-29974，如今傳出已有漏洞被用於攻擊行動的情況。</p> <p>上週末Shadowserver基金會提出警告，他們偵測到類似Mirai的殭屍網路嘗試利用CVE-2024-29973的跡象，呼籲用戶應儘速套用緩解措施。</p> <p><a href="https://www.ithome.com.tw/news/163656"><strong style="font-size: 22px;">華碩在股市公開觀測站發布重大訊息，證實部分資訊系統參數設定不當導致產品資料曝光</strong></a></p> <p>6月25日晚間電腦製造商華碩在股市公開觀測站發布重大訊息，指出他們發生部分產品資料不慎曝光的情況，原因是資訊系統的參數設定出現問題造成。</p> <p>該公司表示，他們找出組態錯誤的主機，隨即檢視資料存取相關的事件記錄，清查可能外流的資料內容。但究竟資料曝光的範圍及時間，華碩並未進一步說明。而針對這起事故可能帶來的影響，他們初步評估，不會對公司營運及財務造成重大影響。但華碩也提及後續改善措施，表明將持續落實供應鏈管理及組態管理的審查，重新檢視現有資訊系統架構並持續精進。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer"><strong style="font-size: 20px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p></p> <p>◆<a href="https://https://thehackernews.com/2024/06/new-"><strong style="font-size: 20px;">駭客組織Boolka鎖定網站發動SQL注入攻擊，意圖植入木馬程式Bmanger</strong></a></p> <p></p> <p>◆<a href="https://www.cleafy.com/cleafy-labs/medusa-reborn-a-new-compact-variant-discovered"><strong style="font-size: 20px;">金融木馬Medusa鎖定安卓用戶下手，攻擊範圍遍及歐美7個國家</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/polyfillio-javascript-supply-chain-attack-impacts-over-100k-sites/"><strong style="font-size: 20px;">舊版瀏覽器網站相容套件Polyfill被中國公司買下並植入惡意程式碼，恐影響10萬網站</strong></a></p> <p></p> <p>◆<a href="https://snailload.com/"><strong style="font-size: 20px;">研究人員揭露新的攻擊手法SnailLoad，藉由網路延遲的變化推測用戶的活動內容</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163658"><strong style="font-size: 22px;">Progress在6月底揭露與修補MOVEit兩個重大漏洞</strong></a></p> <p>本週Progress在他們在自家網站的知識庫公告MOVEit產品線有兩個重大漏洞，分別是：位於檔案傳輸代理伺服器MOVEit Gateway的CVE-2024-5805，以及建置在內網環境的檔案傳輸系統MOVEit Transfer的CVE-2024-5806，都是因為當中搭配的SFTP模組，居然允許略過身分認證的程序，所以產生資安漏洞，而這兩個資安弱點的嚴重程度都被評為「重大」，CVSS分數高達9.1分。</p> <p>值得留意的是，以監測漏洞暴露在網際網路的全球威脅態勢著稱的非營利組織Shadowserver基金會，在6月25日Progress發布相關消息的當天，就觀察到有心人士蠢蠢欲動。</p> <p>關於CVE-2024-5806漏洞，設立於新加坡的新創資安廠商watchTowr其實在Progress公開之前，就已經收到知情人士的通報，因而提前得知這個當時尚未被揭露的弱點，也率先發布部落格文章解析CVE-2024-5806的問題、概念驗證攻擊手法，以及修正與緩解方式。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163654"><strong style="font-size: 22px;">第二輪MITRE ATT&CK託管服務評估計畫結果出爐，考驗突然遭遇APT10與BlackCat攻擊的反應力</strong></a></p> <p>自2022年MITRE Engenuity舉辦首次ATT&CK託管服務評估計畫之後，相隔兩年，2024年終於展開第二輪的評測，目的是考驗資安託管服務供應商（MSSP）服務的能力。畢竟，雖然大型企業會重視資安偵測與回應產品的評估，但還有很多企業主要依賴MSSP來協助其保護資安，因此，這方面的技術能力評估同樣重要。</p> <p>MITRE在6月18日正式公布第二輪託管服務評估計畫的評測結果，今年這次針對MSSP的評估計畫共有11家廠商參與，包括：Bitdefender、BlackBerry、CrowdStrike、微軟、Palo Alto Networks、Secureworks、SentinelOne、Sophos、趨勢科技，還有SecurityHQ、Field Effect等。而他們實際遭遇的攻擊模擬對手有兩個，分別是menuPass與ALPHV/BlackCat。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163648"><strong>【6月25日】中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> </div></div></div>
2024/6/26 15:49作者周峻佑https://www.ithome.com.tw/news/163663
易主後的polyfill.io被用來執行供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門偵測電子商務惡意軟體與安全漏洞的資安業者<a href="https://sansec.io/research/polyfill-supply-chain-attack" target="_blank">Sansec周二（6/25）警告</a>，知名的Polyfill函式庫polyfill.io自今年2月賣給了一家中國業者之後，開始嵌入惡意程式，以將造訪使用其服務的網站使用者重新引導至體育賭博或其它惡意網站，呼籲網站管理人員應該關閉Polyfill，或是改用其它較為可靠的服務。</p> <p>Polyfill函式庫的功能是在舊版瀏覽器中補充或模擬現代瀏覽器所支援的功能，因此，當舊版瀏覽器用戶所造訪的網站具備現代化瀏覽器所支援的新功能時，網站即可導入該函式庫來實現相同的功能，讓網頁於舊版瀏覽器上能夠正常運作。polyfill.io即為熱門的Polyfill函式庫之一，目前全球有超過10萬個網站嵌入該函式庫。</p> <p>根據照片部落格Notos共同創辦人暨執行長Renaud Chaput<a href="https://github.com/formatjs/formatjs/issues/4363" target="_blank">今年2月的說明</a>，polyfill.io原本隸屬於金融時報（Financial Times）的網頁團隊，該團隊之後將它移交給社群管理，但最後的一名管理人員在今年2月將它賣給了中國一家奇怪的內容交付網路（CDN）公司，新公司將polyfill.io自Fastly平臺搬離，並開始修改及胡弄返回用戶端的檔案。當時Chaput即建議各界不應該再推薦polyfill.io。</p> <p class="rtecenter"><a href="http://github.com/formatjs/formatjs/issues/4363" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-polyfill-600-1.jpg" style="width: 600px;" /></a></p> <p>同樣是在今年2月polyfill.io易主之後，Polyfill專案的作者<a href="https://x.com/triblondon/status/1761852117579427975" target="_blank">Andrew Betts也警告</a>各網站應立刻移除polyfill.io。Betts還澄清，雖然他建立了Polyfill服務，但從未擁有該網域名稱，也從未參與它的銷售。</p> <p class="rtecenter"><a href="http://x.com/triblondon/status/1761852117579427975" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-polyfill-600-2.jpg" style="width: 600px;" /></a></p> <p>Sansec則說，這家中國公司同時購買了polyfill.io及<a href="https://github.com/polyfillpolyfill/polyfill-service" target="_blank">其GitHub帳戶</a>，且不時有用戶至其GitHub帳戶提出控訴，只是都被刪除。</p> <p>Sansec建議，不再需要Polyfill函式庫的網站應該立刻移除polyfill.io，或是改用由Fastly或Cloudflare所提供的Polyfill方案。</p> </div></div></div>
2024/6/26 16:28作者陳曉莉https://www.ithome.com.tw/news/163667
兆勤已終止支援的NAS設備再度遭到鎖定，殭屍網路嘗試利用甫公布的漏洞進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月初兆勤（Zyxel Networks）針對半年前已經終止支援的NAS設備NAS326、NAS542<a href="https://www.ithome.com.tw/news/163308">發布緊急更新</a>，破例修補重大漏洞CVE-2024-29972、CVE-2024-29973，以及CVE-2024-29974，如今傳出已有漏洞被用於攻擊行動的情況。</p> <p>上週末Shadowserver基金會<a href="https://infosec.exchange/@shadowserver/112654674785669239">提出警告</a>，他們偵測到類似Mirai的殭屍網路嘗試利用CVE-2024-29973的跡象，呼籲用戶應儘速套用緩解措施。</p> <p>雖然該資安組織並未進一步說明有多少設備受害，也沒透露是否有其他漏洞遭到利用，但這次的揭露，是首度有人發現這些老舊NAS設備被鎖定的情況。</p> </div></div></div>
2024/6/26 14:54作者周峻佑https://www.ithome.com.tw/news/163661
5個上架到WordPress.org市集的外掛程式遭到供應鏈攻擊，被植入惡意指令碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於WordPress網站安全的資安業者Wordfence指出，他們本週留意到名為Social Warfare的外掛程式，近期被WordPress.org外掛程式市集的審查團隊發現，遭人植入惡意程式碼，Wordfence透過內部的威脅情報平臺進行比對，<a href="https://www.wordfence.com/blog/2024/06/supply-chain-attack-on-wordpress-org-plugins-leads-to-5-maliciously-compromised-wordpress-plugins/">結果找到其他4個也被植入類似程式碼的外掛程式</a>，他們向審查團隊通報此事，遭感染的外掛程式自24日暫停提供下載，但究竟駭客如何上傳這些有問題的外掛程式，研究人員表示並不清楚。</p> <p>對此，他們也公布被植入惡意程式碼的外掛程式名稱及版本，這些外掛程式是：</p> <p>●4.4.6.4至4.4.7.1版Social Warfare<br /> ●2.2.5至2.5.2版Blaze Widget<br /> ●1.0.2至1.0.3版Wrapper Link Element<br /> ●1.0.4至1.0.5版Contact Form 7 Multi-Step Addon<br /> ●1.2.1版Simply Show Hooks</p> <p>值得留意的是，除了Social Warfare推出4.4.7.3版移除相關程式碼，Wrapper Link Element提供不含有關內容的1.0.0版，其餘開發者並未推出更新予以修補。</p> <p>而對於攻擊者的動機，研究人員指出，一旦對方成功在網站植入惡意外掛程式，就會試圖建立新的管理員帳號，並將結果回傳駭客控制的伺服器。此外，駭客疑似藉由注入惡意JavaScript程式碼，透過網站增加搜尋引擎最佳化（SEO）的垃圾索引。</p> </div></div></div>
2024/6/26 15:30作者周峻佑https://www.ithome.com.tw/news/163662
Anthropic推出Claude協作功能Projects
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic周三（6/26）針對Claude.ai Pro與Claude.ai Team等訂閱用戶推出了<a href="https://www.anthropic.com/news/projects" target="_blank">協作功能Projects</a>，除了可彙整團隊成員的聊天內容之外，也可提供組織內部知識，讓Claude生成基於內部知識的結果。Projects支援最新的<a href="https://www.ithome.com.tw/news/163590" target="_blank">Claude 3.5 Sonnet</a>，每個專案可使用200K的脈絡長度，相當於一本500頁的書籍。</p> <p>Anthropic表示，該公司對Claude的願景一直是建立能夠與人類共事的AI系統，並強化人類的工作流程，而Projects即可集中人們與AI系統的對話及知識集，並供團隊成員檢視，以實現更好的創意及決策。</p> <p>在每個專案所支援的200K脈絡長度中，使用者可添加各種文件、程式碼或見解，以強化Claude的效率，並讓Claude的輸出建立在組織的內部知識上，例如風格、程式碼庫、採訪紀錄或先前的工作成果。這使得Claude有能力提供不同任務的專家意見，或是以企業原有的行銷風格撰寫電子郵件，也能像資料分析般地編寫SQL查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Anthropic-Claude-Projects-900.png" style="width: 600px;" /></p> <p>使用者還可藉由定義專案以客製化Claude的回答，例如指示Claude使用更正式的語氣或特定角色來回答問題。Projects也支援Claude.ai正在預覽的Artifacts功能，這是一個工作區，可集中呈現Claude所生成的程式碼、文件、圖像或網站設計等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Anthropic-Claude-Projects%2BArtifacts%3DCreate%20side-by-side%20with%20Claude-900.png" style="width: 600px;" /></p> <p>Claude.ai服務<a href="https://www.anthropic.com/pricing" target="_top">目前提供</a>免費、Pro及Team方案，不管是哪一個方案都已支援最新的Claude 3.5 Sonnet，具備優先存取權限及可存取新功能的Pro方案每月需要支付20美元，至於能夠分享及探索聊天內容，以及具備管理功能的Team方案則是每月25美元。Anthropic強調，在未取得用戶的明確同意之前，並不會使用專案內的任何資料或聊天內容來訓練模型。</p> </div></div></div>
2024/6/26 16:04作者陳曉莉https://www.ithome.com.tw/news/163666
惡意軟體沙箱服務業者Any.Run的員工遭到鎖定，駭客對其發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供雲端沙箱測試環境的網站Any.run指出，<a href="https://any.run/cybersecurity-blog/phishing-incident-report/">他們全體員工在上週收到藉由內部員工發出的釣魚郵件</a>，經調查發現，原因是其中一名員工的帳號已經外洩所致，駭客企圖利用他的帳號進行商業郵件詐騙（BEC）攻擊。</p> <p>事件最初發生於5月23日，一名銷售團隊的員工藉由第三方服務收取釣魚郵件，對方聲稱是之前曾經聯繫過的客戶，這封信件內含可疑連結。</p> <p>為求保險起見，這名員工在27日將這封信傳送至沙箱進行檢查，確認上述連結是否有害，但他並未啟用中間人代理伺服器模式（MitM Proxy），使得入侵偵測系統Suricata IDS並未發揮作用，因此沒有解開HTTPS流量並偵測是否含有惡意內容。</p> <p>這名員工卻在沙箱環境當中，點選連結被帶往已被駭客植入冒牌登入表單的合法網站，接著，他填寫自己的帳密資料，並通過多因素驗證（MFA），結果看到網站無法存取他發送的內容的錯誤訊息。然而在此同時，攻擊者已掌握了該名員工的帳號，並加入自己的行動裝置，以便將其用於MFA驗證流程。</p> <p>6月5日，對方使用整合Azure雲端服務環境的資料備份應用程式PerfectData，竊取該名員工信箱裡所有的電子郵件。</p> <p>到了18日，駭客利用這名員工的電子郵件信箱，對所有聯絡人名單裡的員工發送釣魚信。而這些信件的內容，與已經受害的員工收到的信件雷同。使得該公司察覺異常，並採取行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg" style="width: 580px;" /></a></p> <p>他們也坦承，相關惡意連結一週前已出現在自家威脅情資的資料庫，但這些源於免費版沙箱用戶的情資，卻因為相關環境並未執行最新版本作業系統，以及MitM Proxy工具，而無法及早識別這些網域有害。</p> </div></div></div>
2024/6/26 14:33作者周峻佑https://www.ithome.com.tw/news/163659
Google將關閉搜尋連續滾動功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google向Search Engine Land<a href="https://searchengineland.com/google-dropping-continuous-scroll-in-search-results-443529" target="_blank">證實</a>，即日起將關閉桌面搜尋結果的連續滾動功能，並於未來幾個月關閉行動搜尋結果的連續滾動功能。</p> <p>Google<a href="https://www.ithome.com.tw/news/147292" target="_blank">是在2021年</a>10月率先針對行動版搜尋功能提供「連續滾動」（Continuous scrolling）機制，並在2022年12月延伸至桌面搜尋。使用者輸入關鍵字進行搜尋之後，不必再點選「查看更多」（See more），而能持續滾動以檢視更多的搜尋結果。當時Google的想法時，雖然人們通常會在前幾個結果就找到所需的內容，但有時會想繼續看看更多的相關資訊，利用連續滾動就能無縫瀏覽更多內容。</p> <p>不過，此一功能似乎僅出現在英文版的Google搜尋中，並未部署至其它語言。</p> <p>Google向Search Engine Land表示，此一變更可加快Google供應搜尋結果的時間，而不必再額外載入那些不確定使用者是否需要的結果，況且，提供連續滾動功能之後，Google Search用戶的滿意度並沒有重大的提升。</p> </div></div></div>
2024/6/26 14:50作者陳曉莉https://www.ithome.com.tw/news/163660
搭配AMD資料中心APU，技嘉推出3U尺寸4路融合GPU伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g383-r80-aap1_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年以來，資料中心GPU形態出現新的變化，幾家加速運算晶片廠商開始推出融合CPU與GPU的產品，其中，最出鋒頭的，莫過於Nvidia在2022年發表、2023年量產的GH200 Grace Hopper Superchip，以及今年發表的GB200 Grace Blackwell Superchip，另一家同時擁有CPU與GPU技術的大廠AMD，也在2023年6月發表這類型產品，名為Instinct MI300A，強調它是全球首款針對HPC與AI工作負載處理而開發的。</p> <p>經過半年之後，這款資料中心等級的APU加速器（Accelerated Processing Unit）正式推出，當時有幾家伺服器廠商響應AMD的號召，宣布推出搭載Instinct MI300A的伺服器機型，像是技嘉、HPE、Supermicro。</p> <p>以技嘉為例，他們主推的產品是G383-R80，在11月的SC23大會首度公開亮相，後續在今年1月的CES，以及6月初舉行的Computex，都有現場展示。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-2.jpg" style="width: 398px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G383-R80-06-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-A.jpg" style="width: 600px;" /></a></p> <p>相較於現行採用Nvidia Grace Hopper平臺的伺服器，都為1U或2U尺寸，搭配1或2個融合式晶片，縱觀市面上採用AMD Instinct MI300A平臺的伺服器，有超過一半是3U或4U尺寸，絕大多數搭配4個融合式晶片，</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Instinct MI300A APU-Powered Servers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Instinct%20MI300A%20APU-Powered%20Servers.jpg" style="width: 600px;" /></a></p> <p>技嘉G383-R80就是典型的例子，它的機箱是3U尺寸，主機板MR83-AC0內建4個APU SH5插槽，可安裝4個AMD Instinct MI300A，但上面並未提供DRAM記憶體擴充插槽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-B.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G383%20BIOS.jpg" style="width: 524px;" /></p> <p>基本上，單就這款APU而言，每一顆晶片整合許多運算元件，包含：24顆Zen4架構CPU核心、228顆CDNA架構GPU運算單元、912顆Matrix核心、14,592顆Stream處理器，以及128 GB容量的HBM3高頻寬記憶體（CPU與GPU共享）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300A overview1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20overview1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD MI300A overview2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20overview2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300A Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20Arch.jpg" style="width: 500px;" /></a></p> <p>而在整臺伺服器的介面擴充能力上，技嘉G383-R80在機箱背部提供12個PCIe 5.0介面的插槽，而在實際配置上，可搭配4個雙槽全高全長尺寸的GPU加速運算卡，以及4個單寬全高全長尺寸的PCIe介面卡。</p> <p>在儲存與網路的組態上，技嘉G383-R80在機箱前方面板當中，可安裝2.5吋外形的NVMe固態硬碟，並且內建2個10GbE規格的網路埠，以及1個GbE規格的遠端管理埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation4.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation5.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation6.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G383-R80-06-C.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-C.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>技嘉G383-R80-AAP1</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：3U<br /> ●處理器：4顆，AMD Instinct MI300A（熱設計功耗最高為760瓦）<br /> ●記憶體：每顆處理器內建128 GB HBM3<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟<br /> ●I/O擴充介面：8個PCIe 5.0 x16全高全長（雙槽4個、單槽4個）、1個PCIe 5.0 x4（M.2）<br /> ●網路埠：2個10GbE埠（Broadcom BCM57416）<br /> ●電源供應器：4臺3000瓦（3+1）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/26 15:12作者李宗翰https://www.ithome.com.tw/review/163593
第二輪MITRE ATT&CK託管服務評估計畫結果出爐，考驗突然遭遇APT10與BlackCat攻擊的反應力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2022年MITRE Engenuity舉辦首次ATT&CK託管服務評估計畫之後，相隔兩年，2024年終於展開第二輪的評測，目的是考驗資安託管服務供應商（MSSP）服務的能力。畢竟，雖然大型企業會重視資安偵測與回應產品的評估，但還有很多企業主要依賴MSSP來協助其保護資安，因此，這方面的技術能力評估同樣重要。</p> <p>與一般ATT&CK Enterprise評估計畫相比，最大不同之處在於，在ATT&CK託管服務評測前並不會對外公布假想攻擊對象，目的是更能反映真實世界的場景，讓防禦者在不了解對手身分情況下來識別與回應威脅。</p> <p><a href="https://www.mitre.org/news-insights/news-release/mitre-attack-evaluations-managed-security-service-providers">MITRE在6月18日正式公布第二輪託管服務評估計畫的評測結果</a>，今年這次針對MSSP的評估計畫共有11家廠商參與，包括：Bitdefender、BlackBerry、CrowdStrike、微軟、Palo Alto Networks、Secureworks、SentinelOne、Sophos、趨勢科技，還有SecurityHQ、Field Effect等。而他們實際遭遇的攻擊模擬對手有兩個，分別是menuPass與ALPHV/BlackCat。</p> <p>具體而言，menuPass（又名APT10）這個APT駭客組織自2006年以來一直相當活躍，在許多研究報告中，都顯示該組織受到中國國家安全部的支持，其主要威脅是在全球從事間諜活動，包括竊取智慧產權與商業情報等敏感資料，主要攻擊對象涵蓋航太、建築、政府與電信等產業。</p> <p>ALPHV/BlackCat出現於2021年，是一個採勒索軟體及服務（RaaS）運作模式的威脅群體，也就是RaaS運作集團會招募聯盟夥伴（Affiliate）來執行勒索病毒攻擊，而ALPHV/BlackCat是一個攻擊產量相當大的俄語RaaS組織，不僅與BlackMatter、DarkSide、REvil與其他RaaS團體有聯繫，並利用Rust語言開發的勒索軟體，能對Windows、Linux 和 VMware系統進行跨平臺攻擊，目標更是涵蓋各種產業行業。</p> <p class="first-token" data-sourcepos="1:1-1:72">之所以選擇這兩個組織為假想攻擊對象，負責ATT&CK評估計畫的網路威脅情報工程負責人Amy Robertson表示，menuPass（APT10）展現了現代攻擊者謹慎、周密與靈活的手段，該組織相當擅於濫用受害電腦內建工具執行攻擊的寄生攻擊（living-off-the-land）手法，同時透過無檔案執行、程式碼混淆等技術來隱匿行蹤，規避安全防護偵測並阻礙分析。而且，他們還會滲透可信任的網路關係，以擴大攻擊範圍。</p> <p class="first-token" data-sourcepos="1:1-1:72">對於ALPHV/BlackCat，Amy Robertson表示，該組展現了攻擊者可帶來多面向的威脅，並會利用技術創新來擴大其衝擊。特別的是，該組織的RaaS模式使其招募的聯盟夥伴可使用防禦逃脫（Defense Evasion）技術，像是混淆與終止程序來關閉防護系統，並使用核心資料加密功能來癱瘓企業的業務運作。</p> <p class="first-token" data-sourcepos="1:1-1:72">隨著這次評測結果的公布，外界可以前往<a href="https://attackevals.mitre-engenuity.org/results/managed-services?evaluation=menupass-blackcat&scenario=1">MITRE Engenuity評估計畫結果的網站，了解這11家MSSP服務商的細部偵測結果</a>。</p> <p class="first-token" data-sourcepos="1:1-1:72"><a href="https://s4.itho.me/sites/default/files/images/2024-06-26_123652.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-26_123652.jpg" style="width: 320px; float: right;" /></a></p> <p class="first-token" data-sourcepos="1:1-1:72">例如，這次模擬評測共有15大步驟，包括從第一步驟開始，先模擬menuPass的建立潛伏，接著是初期探查、橫向移動到子公司的網域控制器、憑證存取與發現、準備橫向移動至子公司B網路、實際橫向移動至子公司B網路，發現與額外的權限提升、資料蒐集與滲出；再來是從第10步驟開始，模擬ALPHV/BlackCat的初始入侵與發現，憑證存取、利用憑證存取進行權限提升、收集與滲出、部署惡意Payload，到最後是加密以產生影響/抑制系統發現。</p> <p class="first-token" data-sourcepos="1:1-1:72">因此，外界可以針對這15個步驟，一一檢視11家廠商在每個步驟的偵測結果表現。此外，由於去年MITRE Engenuity以大幅調整評估計畫結果的呈現方式，因此我們若要檢視每個步驟偵測結果的螢幕截圖，可在單一頁面直接瀏覽，並可一次選擇3家廠商來做橫向對比。<br /> </p> </div></div></div>
2024/6/26 10:41作者羅正漢https://www.ithome.com.tw/news/163654
華碩在股市公開觀測站發布重大訊息，證實部分資訊系統參數設定不當導致產品資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日晚間電腦製造商華碩在股市公開觀測站<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=9&SPOKE_TIME=194810&SPOKE_DATE=20240625&COMPANY_ID=2357">發布重大訊息</a>，指出他們發生部分產品資料不慎曝光的情況，原因是資訊系統的參數設定出現問題造成。</p> <p>該公司表示，他們找出組態錯誤的主機，隨即檢視資料存取相關的事件記錄，清查可能外流的資料內容。但究竟資料曝光的範圍及時間，華碩並未進一步說明。</p> <p>而針對這起事故可能帶來的影響，他們初步評估，不會對公司營運及財務造成重大影響。但華碩也提及後續改善措施，表明將持續落實供應鏈管理及組態管理的審查，重新檢視現有資訊系統架構並持續精進。上述這段說明雖然表達他們的解決之道，但從另一個角度而言，大家也可能認為這家公司所謂的參數設定出現問題的資訊系統，並非由他們自己維護，而是交由外部廠商。</p> <p><a href="https://s4.itho.me/sites/default/files/images/7rlucsS6rh.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/7rlucsS6rh.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/26 11:02作者周峻佑https://www.ithome.com.tw/news/163656
Progress在6月底揭露與修補MOVEit兩個重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年上半，Progress公司因旗下檔案傳輸管理系統MOVEit的漏洞<a href="https://www.ithome.com.tw/tags/cve-2023-34362">CVE-2023-34362</a>，遭到駭客濫用，後續藉此攻擊全球32國、兩千多個組織，而鬧得沸沸揚揚，<a href="https://www.ithome.com.tw/news/158113">我們也將此弱點列為2023年頭號資安漏洞</a>，本週他們在自家網站的知識庫公告MOVEit產品線有兩個重大漏洞，分別是：位於檔案傳輸代理伺服器MOVEit Gateway的<a href="https://community.progress.com/s/article/MOVEit-Gateway-Critical-Security-Alert-Bulletin-June-2024-CVE-2024-5805">CVE-2024-5805</a>，以及建置在內網環境的檔案傳輸系統MOVEit Transfer的<a href="https://community.progress.com/s/article/MOVEit-Transfer-Product-Security-Alert-Bulletin-June-2024-CVE-2024-5806">CVE-2024-5806</a>，都是因為當中搭配的SFTP模組，居然允許略過身分認證的程序，所以產生資安漏洞，而這兩個資安弱點的嚴重程度都被評為「重大」，CVSS分數高達9.1分。</p> <p>為了要解決這樣的問題，Progress現在發布這兩個產品的更新版本。若企業與組織目前採用MOVEit Gateway的2024.0.0版，需為此升級到2024.0.1版，即可修補CVE-2024-5805；若採用MOVEit Transfer的2023.0.0、 2023.1.0、2024.0.0這三個版本，需各自升級到2023.0.11、2023.1.6、2024.0.2。</p> <p>以監測漏洞暴露在網際網路的全球威脅態勢著稱的非營利組織Shadowserver基金會，在6月25日Progress發布相關消息的當天，就觀察到有心人士蠢蠢欲動。因為他們發現，當這些資訊公開後沒多久，就出現試圖利用CVE-2024-5806的行為，有人想要趁機在系統的根目錄上傳guestaccess.aspx，進行滲透，而且，根據他們的統計，目前暴露在網際網路的Progress系統，至少有1,800臺，雖然這些環境並非全都具有上述漏洞，但可想而知，若攻擊者想要行動，它們勢必會是最先被鎖定的對象。</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Very shortly after vulnerability details were published today we started observing Progress MOVEit Transfer CVE-2024-5806 POST /guestaccess.aspx exploit attempts. If you run MOVEit & have not patched yet - please do so now: <a href="https://t.co/AenLgqg1wM">https://t.co/AenLgqg1wM</a></p> <p>NVD: <a href="https://t.co/OHQRNFNE9p">https://t.co/OHQRNFNE9p</a></p> <p>— The Shadowserver Foundation (@Shadowserver) <a href="https://twitter.com/Shadowserver/status/1805676078620401831?ref_src=twsrc%5Etfw">June 25, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p>關於CVE-2024-5806漏洞，設立於新加坡的新創資安廠商<a href="https://labs.watchtowr.com/auth-bypass-in-un-limited-scenarios-progress-moveit-transfer-cve-2024-5806/">watchTowr</a>其實在Progress公開之前，就已經收到知情人士的通報，因而提前得知這個當時尚未被揭露的弱點，也率先發布部落格文章解析CVE-2024-5806的問題、概念驗證攻擊手法，以及修正與緩解方式。</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Progress just un-embargoed a very closely guarded auth bypass in MOVEit Transfer's SFTP mechanism - CVE-2024-5806.</p> <p>We were lucky enough to receive a tip-off :-) Enjoy our analysis, we had a lot of fun.<a href="https://t.co/GLoCIAki9w">https://t.co/GLoCIAki9w</a></p> <p>— watchTowr (@watchtowrcyber) <a href="https://twitter.com/watchtowrcyber/status/1805619864201314335?ref_src=twsrc%5Etfw">June 25, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> </div></div></div>
2024/6/26 12:29作者李宗翰https://www.ithome.com.tw/news/163658
研究人員聲稱找到可冒充微軟客服向使用者行騙的漏洞，但並未進一步透露相關細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Vsevolod Kokorin（Slonser）聲稱，<a href="https://x.com/slonser_/status/1801521692314927433">他發現可假冒微軟資安團隊的欺騙漏洞</a>，攻擊者可藉此從任意的來源，向用戶發送訊息。</p> <p>然而，這名研究人員指出，微軟收到他的通報資料後表示，他們無法重現漏洞，即使是研究人員補充提供完整的概念性驗證（PoC）攻擊影片，該公司仍舊回覆無法完成相關驗證。對此，Vsevolod Kokorin表示決定停止繼續溝通，並公開此事，但並未透露細節，以防有人試圖利用。</p> <p>根據研究人員的推文內容，我們難以判斷漏洞的影響範圍，究竟存在漏洞可被利用的是收信軟體Outlook，還是雲端電子郵件信箱服務Outlook.com，抑或是其他的環節？目前仍不得而知。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">I want to share my recent case:<br /> > I found a vulnerability that allows sending a message from any <a href="mailto:user@domain">user@domain</a><br /> > We cannot reproduce it<br /> > I send a video with the exploitation, a full PoC<br /> > We cannot reproduce it<br /> At this point, I decided to stop the communication with Microsoft. <a href="https://t.co/mJDoHTn9Xv">pic.twitter.com/mJDoHTn9Xv</a></p> <p>— slonser (@slonser_) <a href="https://twitter.com/slonser_/status/1801521692314927433?ref_src=twsrc%5Etfw">June 14, 2024</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>這名研究人員也向<a href="https://techcrunch.com/2024/06/18/security-bug-allows-anyone-to-spoof-microsoft-employee-emails/">科技新聞網站TechCrunch展示這項漏洞</a>，該媒體也確實收到看起來像是從微軟帳號資安團隊寄來的電子郵件。研究人員向該媒體透露，這項弱點只會在攻擊者寄信給Outlook的使用者帳號才會出現。</p> <p>針對通報漏洞的過程，研究人員向TechCrunch透露，當時微軟回覆表示，在沒有提供細節的情況下，該公司無法重現漏洞。但當他透過X公開此事的數個小時後，微軟似乎留意到他的推文，並重新檢視數個月前通報的內容。是否有其他人發現這項漏洞，並將其用於攻擊行動？目前仍不得而知，也不清楚微軟是否對漏洞進行了修補。微軟也並未針對此事進行公開說明。</p> <p>值得留意的是，TechCrunch提及了去年傳出<a href="https://www.ithome.com.tw/news/157763">中國駭客組織Storm-0558濫用外流的MSA簽章金鑰</a>，存取25個歐美政府組織的Outlook Web Access in Exchange Online（OWA）、Outlook.com電子郵件信箱的事故，根據這項說法，研究人員發現的漏洞，很有可能出現於Outlook.com。</p> </div></div></div>
2024/6/26 12:30作者周峻佑https://www.ithome.com.tw/news/163588
勒索軟體駭客組織RansomHub鎖定多種平臺發動攻擊，VMware虛擬化平臺是他們的新興標的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的勒索軟體駭客組織RansomHub今年初竄起，並聲稱接連針對美國醫療保健科技業者Change Healthcare、<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得（Christie's）</a>、<a href="https://www.ithome.com.tw/news/163347">臺灣電腦製造商藍天（Clevo）</a>出手，引起不少研究人員高度關注。繼之前資安業者賽門鐵克<a href="https://www.ithome.com.tw/news/163376">公布相關調查結果</a>，指出這些駭客疑似購買勒索軟體Knight的原始碼打造自己的工具，並透過ZeroLogon（CVE-2020-1472）取得初始入侵的管道，有研究人員公布新的發現。</p> <p>資安業者Recorded Future近期<a href="https://www.recordedfuture.com/ransomhub-draws-in-affiliates-with-multi-os-capability-and-high-commission-rates">公布他們的調查結果</a>，指出這些駭客也與許多勒索軟體組織相同，不只針對Windows、Linux電腦下手，他們也使用勒索軟體攻擊VMware ESXi虛擬化環境，而這是首度有研究人員提及該組織針對虛擬化平臺打造勒索軟體的情況。</p> <p>但究竟駭客如何入侵、控制虛擬化平臺，從而部署勒索軟體？研究人員並未進一步說明。</p> <h3><span style="color:#0000FF;"><strong>針對VMware虛擬化環境的RansomHub勒索軟體具備過往罕見的攻擊能力</strong></span></h3> <p>研究人員針對這些勒索軟體的程式碼進行分析，除了證實賽門鐵克提及與Knight有高度關連的情況，Recorded Future進一步指出，經過他們的比對，RansomHub與BlackCat（Alphv）的程式碼也有所關連，並推測這些駭客組織可能彼此互相共用資源。</p> <p>他們發現，該駭客組織約自4月開始將ESXi版本的勒索軟體納入武器庫，而有別於針對Windows及Linux電腦的RansomHub採Go語言打造而成，針對ESXi的勒索軟體則是以C++開發，但具備Windows、Linux版共通的核心功能。</p> <p>與其他勒索軟體駭客的做法相同的是，ESXi版RansomHub具備專門針對VMware虛擬化環境的功能，像是刪除快照、強制虛擬機器關機、列出要加密的檔案名單。此外，這個勒索軟體也能停用所有虛擬機器的處理程序。</p> <p>但特別的是，這個勒索軟體還具備抹除作案蹤跡的能力，像是停用ESXi的系統事件記錄服務、加密檔案完成後自我刪除，甚至能夠指定加密部分的虛擬機器，這些功能在同類型的勒索軟體當中，算是較為罕見。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RansomHub_EdWaXjljOo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RansomHub_EdWaXjljOo.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員針對駭客可能會使用的指令進行說明，這裡可以看到攻擊者能停用ESXi的系統事件記錄服務，或是刪除所有虛擬機器的快照、停用相關處理程序，甚至能排除指定名稱的虛擬機器，並輸出未受害的虛擬機器名單，以便後續運用。</p> </blockquote> <p>附帶一提的是，研究人員意外發現ESXi版RansomHub的設計缺陷，這個勒索軟體使用特定檔案檢查程式是否已經執行，若是設置特定參數，就有可能導致勒索軟體進入無限循環，從而自我刪除。對此，他們也提出能暫時抵擋這款勒索軟體的做法，供企業組織參考。</p> <h3><span style="color:#0000FF;"><strong>提供高額報酬抽成，引誘打手上門</strong></span></h3> <p>除了針對勒索軟體的功能進行分析，研究人員也公布該組織造成的災情。此勒索軟體自今年2月出現，並以租用服務型式供打手運用，一旦攻擊成功，且受害組織向他們支付贖金，打手將能得到9成報酬。研究人員指出，在同樣提供勒索軟體租用服務的網路犯罪圈（Ransomware-as-a-Service）當中，打手能夠得到的報酬，通常是贖金的八至九成，因此RansomHub祭出這樣的策略，吸引了許多經驗豐富的打手上門。</p> <p>在短短4個月的時間，這些駭客聲稱有45個企業組織受害，大部分是IT產業領域的組織，而這些受害組織分布於18個國家，其中約有3成位於美國最多。該勒索軟體如此短時間內造成大量危害，引起許多研究人員的高度關注。</p> <p>而對於這些駭客的攻擊流程，研究人員並未詳細說明，但提及他們看到部分事故當中，對方鎖定雲端的備份資料，或是配置不當的AWS S3儲存桶下手，來向受害組織進行勒索。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qn3AeHkVP8_RansomHub.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qn3AeHkVP8_RansomHub.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/26 12:30作者周峻佑https://www.ithome.com.tw/news/163627
macOS版ChatGPT全面開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI 5月公布多模AI模型GPT-4o的同時，也公布了<a href="https://www.ithome.com.tw/news/162866" target="_blank">macOS版本ChatGPT App</a>。周二<a href="https://twitter.com/OpenAI/status/1805679342439284831" target="_blank">OpenAI宣布</a>ChatGPT for Mac App全面開放下載。</p> <p>上個月僅付費版ChatGPT用戶能下載macOS版本使用服務，現在免費版用戶也可<a href="https://openai.com/chatgpt/mac/" target="_blank">由此下載</a>，在其Mac電腦存取ChatGPT服務，而無需另外開啟ChatGPT網頁。ChatGPT for Mac可經由鍵盤捷徑鍵（Option+空白鍵）叫出，協助用戶草擬、讀取並簡述郵件內容、螢幕擷圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-ChatGPT%20desktop%20for%20Mac-take%20screen%20shot.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>ChatGPT for Mac僅支援搭載Apple Silicon（M1晶片及以後）的macOS 14以上版本。</p> <p>OpenAI承諾桌機版ChatGPT未來將以GPT-4o為基礎，支援圖像、聲音和文字及程式，目前該公司正在加緊部署。這讓用戶可使用文字或語音模式（Voice mode）與之互動。按下ChatGPT for Mac的耳機圖示即可啟動語音輸入。</p> <p>值得一提的是，免費版ChatGPT用戶雖然未來也能享用到GPT-4o，獲得GPT-4等級的回應，但依用量及需求而定，免費版能傳送的訊息數量有上限，等超過限額，就會自動轉成GPT-3.5。</p> <p>Windows用戶也不用太著急。OpenAI預告今年稍晚就會推出Windows版本ChatGPT。</p> <p>除了macOS版ChatGPT App，<a href="https://www.reddit.com/r/OpenAI/comments/1dohn5u/openai_announcement_on_discord_were_sharing_an/" target="_blank">OpenAI另外公告</a>ChatGPT進階語音模式無法如期提供。原本預計對小部份Plus版用戶6月測試的進階語音模式（Advanced Voice Mode），將延到7月。該公司的理由是正在改善模型「偵測和拒絕用戶輸入特定內容」的能力，以及正在改善用戶體驗和擴充支援大量即時回應所需的基礎架構容量。OpenAI說將開始和少部分用戶啟動Alpha測試，並依測試回饋規畫擴大部署策略，但正式推向Plus用戶則要等到9月。</p> </div></div></div>
2024/6/26 12:18作者林妍溱https://www.ithome.com.tw/news/163657
Google已在付費版Workspace App部署Gemini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（25）日宣布已將Gemini AI助理功能提供給付費版生產力應用，包括Google Docs、Google Drive等<a href="https://workspaceupdates.googleblog.com/2024/06/gemini-in-side-panel-of-google-docs-sheets-slides-drive.html" target="_blank">Workspace生產力雲端軟體</a>以及<a href="https://workspaceupdates.googleblog.com/2024/06/gemini-in-side-panel-of-gmail.html" target="_blank">Gmail</a>，讓AI助理協助用戶寫信或製作文件、簡報等商務作業。</p> <p>Gemini AI助理是以Google最新大型LLM Gemini 1.5 Pro為基礎，具備更長的context window及更進階的理解能力。今日起，Gemini AI助理已提供給付費版Workspace用戶，後者包括具有Gemini Business及Enterprise外掛、Gemini Education與Education Premium外掛，以及Google One AI Premium授權的Workspace。</p> <p>在Workspace App部分，Gemini已經透過Google Docs、Sheets、Slides與Drive的側邊欄提供給用戶。Gemini可協助用戶摘錄文件重點、加以分析，根據蒐集自郵件、文件內容的洞見產生文件、簡報圖片，建立Sheets報表表格、或將用戶製作的內容加以潤飾。透過整合在側邊欄，所有過程用戶都不必跳離Workspace App或分頁。Google指出，更新後的Gemini介面能自動摘錄用戶手上還在作業的文件重點，並建議用戶與上下文相關的提示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Google%20Workspace-Gemini%20in%20Sheets.png" style="width: 600px;" /></p> <p>在付費版Gmail中，Gemini同樣也出現在側邊欄。即日起，用戶可請Gemini AI助理摘錄一整個訊息串的郵件內容、建議回應內容、草擬郵件、詢問Gemini關於Gmail郵件或Google Drive中檔案內容的問題，或請它找出特定資訊。用戶和Gemini互動時，可以依據它提供的提示，但也可以自由提問，例如請Gemini搜尋Gmail信件，詢問代理商的採購單號、上次行銷活動的花費總和、或下次團隊會議訂在幾點等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Google%20Workspace-Gemini%20in%20gmail.png" style="width: 600px;" /></p> <p>要讓用戶啟用Gemini，管理員必須開放用戶權限，允許他們啟用智慧功能及個人化設定。Web介面上，用戶可以從App右上角的「Ask Gemini」來啟動側邊欄中的Gemini。</p> <p>Gmail的Gemini，除了部署給Web版，Google也部署了Gemini的信件摘要（Summarize）功能給iOS或Android版Gmail App，用戶可以點入信件上方的「summarize this email」啟用。Google並預告，很快會再加入可配合上下文的情境化智慧回覆與Gmail Q&A二項新功能。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/6/26 10:05作者林妍溱https://www.ithome.com.tw/news/163652
蘋果傳早已拒絕Meta AI整合到iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周華爾街日報才<a href="https://www.ithome.com.tw/news/163605" target="_blank">報導</a>蘋果正和Meta洽談把AI功能整合進自有裝置，<a href="https://www.bloomberg.com/news/articles/2024-06-24/apple-spurned-idea-of-iphone-ai-partnership-with-meta-months-ago" target="_blank">彭博</a>本周報導，蘋果其實基於隱私疑慮已經拒絕Meta了。</p> <p>彭博記者Mark Gurman報導，蘋果的確針對是否將AI模型能力整合進iOS和Meta討論過，但幾個月前就擱置了這項提議，原因是蘋果認為Meta的隱私保護不夠嚴謹，因此蘋果現在已經沒有計畫整合Llama。</p> <p>在本月之前，蘋果在AI競賽上一直落後Google、微軟。WWDC開發者大會上，蘋果宣布和OpenAI合作，讓最新的iOS 18及macOS Sequoia中的Apple Intelligence應用程式，包括Siri整合ChatGPT，並以更好的隱私設計差異化，讓蘋果在聲勢上一舉超越對手。</p> <p>但蘋果並不只滿足於整合一家AI業者技術。根據華爾街日報的報導，除了Meta外，蘋果有興趣的AI技術供應商還包括Google、Anthropic、Perplexity等。</p> <p>無獨有偶，今年3月<a href="https://www.bloomberg.com/news/articles/2024-03-18/apple-in-talks-to-license-google-gemini-for-iphone-ios-18-generative-ai-tools" target="_blank">彭博</a>報導也引述消息人士指出，蘋果也有意在iPhone整合Google Gemini。本周的報導顯示，蘋果和Google的洽談持續進行中。</p> <p>事實上，Google Gemini相當可能會用在iPhone上。WWDC中，蘋果軟體工程部門主管Craig Federighi曾<a href="https://9to5mac.com/2024/06/10/craig-federighi-says-apple-hopes-to-add-google-gemini-and-other-ai-models-to-ios-18/" target="_blank">透露</a>公司也希望計畫整合Google Gemini及其他AI模型，只是他未提供進一步細節。</p> </div></div></div>
2024/6/26 10:18作者林妍溱https://www.ithome.com.tw/news/163653
支援SPDM、效能提升兩倍，三星新一代PCIe 5.0 SSD來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/san_xing_pm9d3a_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及支援PCIe 5.0介面的企業與資料中心固態硬碟產品，三星最早推出的產品是<a href="https://www.ithome.com.tw/review/163573">PM1743</a>，如今我們在市面上看到他們對<a href="https://www.dell.com/support/manuals/en-us/openmanage-software-v11.0.1.0/om_11.0.1.0_support_matrix_pub/supported-firmware-storage-management-service-and-server-administrator-versions-for-nvme-drives?guid=guid-284b2169-9918-4bce-9e39-52d49fc503c0&lang=en-us">Dell</a>、<a href="https://lenovopress.lenovo.com/lp1916-thinksystem-pm1745-mixed-use-nvme-pcie-50-ssd?orgRef=https%253A%252F%252Fwww.google.com%252F">聯想</a>等伺服器廠商提供PM1745，若回顧該公司過去的相關新聞發布，還可以看到有另一款支援此規格的產品PM9D3a。</p> <p>例如，在去年8月舉行的全球快閃記憶體高峰會期間，2022年同個活動亮相的PM1743，以及PM9D3a都是活動現場展示的產品，他們也趁機揭露部分規格。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FMS%202023-08-1691587981721-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/FMS%202023-08-1691587988197-Web1.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FMS%202023-08-1691587988197-Web2.jpg" style="width: 400px;" /></p> <p>首先，它採用8通道的控制器，<a href="https://www.opencompute.org/products/441/samsung-pm9d3a-pcie-gen5-nvme-ssd">相較於上一代產品</a><a href="https://www.ithome.com.tw/review/147008">PM9A3</a>，循序讀取效能提升至2.3倍，隨機寫入效能增長為2倍——<a href="https://semiconductor.samsung.com/news-events/tech-blog/samsung-announces-innovations-to-enhance-memory-customer-experience-in-data-centric-era-at-fms-2023/">以8TB容量的款式而言，可達到40萬IOPS</a>，<a href="https://www.linkedin.com/posts/samsungsemiconductor_samsungmemory-samsungsemiconductor-samsungssd-activity-7099933554804969472-fDNL/">每TB保證供應5萬IOPS效能</a>，能源使用效率改善幅度為60％；同時，三星也有效強化它的遙測（Telemetry）與除錯（Debug）功能，因應資料中心維護作業的需求；穩定度方面，這款產品的平均故障間隔時間（MTBF）提升至250萬小時，比上一代產品增加25％。</p> <p>對於儲存容量的供應，三星表示，2.5吋外形將提供7.68 TB與15.36 TB，他們已完成開發，計畫隔年將提供多種外形與產品線，屆時將有3.84 TB以下，以及最大容量可達30.72 TB的款式。</p> <p>而在同一週舉行的OCP China Day 2023，三星電子副總裁暨半導體事業軟體發展團隊負責人張實完，也特別提到並介紹PM9D3a的特色。他表示，這款產品隨機寫入效能提升至1.8倍，能源使用效率增加至1.6倍，而且針對機密性與完整性的認證要求，PM1743與PM9D3a均支援<a href="https://www.dmtf.org/standards/spdm">DMTF的SPDM（Security Protocol and Data Model）規格</a>，而在三星當天活動現場的產品展示，他們也列出PM9D3a幾項規格，像是循序讀寫效能分別為12,000 MB/s、6,800 MB/s，隨機讀寫效能為170萬IOPS與40萬IOPS，儲存容量最大為32 TB，外形將有4種：E1.S（厚度為25公釐、15公釐、9.5公釐）、E1.L（厚度為9.5公釐）、2.5吋U.2/U.3（厚度為15公釐）、M.2。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OCP China Day-2023-08-Samsung1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OCP%20China%20Day-2023-08-Samsung1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-10-ocp%20chinaday3%20pm93a-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-10-ocp%20chinaday3%20pm93a.jpg" style="width: 298px;" /></p> <p>到了今年5月底，三星再次揭露PM9D3a規格資訊，例如，快閃記憶體為TLC、採用三星第8代V-NAND技術，循序讀寫效能分別為12,000 MB/s、6,200 MB/s，隨機讀寫效能為200萬IOPS與35萬IOPS，寫入效能均下修，隨機讀取效能再略微提高，可達到上一代產品的2.4倍。</p> <p>而在能源使用效率方面，三星表示，若使用2.5吋厚度15公釐外形的款式，領先上一代產品的幅度是45％，如果是E1外形的款式，都將搭配散熱片與嵌入式熱介面材料（Thermal Interface Material），以降低管理成本、緩解環境保護層面的風險。</p> <p>安全性方面，Samsung通過TCG Storage Opal Family Test Cases的驗證，正在進行FIPS 140-3驗證，正在評估安全評估共通準則（Common Criteria），以及歐盟網路與資訊安全局暨網路安全認證規則Regulation 2019/881等認證。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>三星PM9D3a</strong><br /> ●原廠：三星<br /> ●建議售價：廠商未提供<br /> ●儲存容量：3.84 TB、7.68 TB、15.36 TB、30.72 TB<br /> ●外形：2.5吋、E1.S、E1.L、M.2、E3.S<br /> ●儲存媒體：3D NAND，TLC<br /> ●最高讀寫速度：循序12,000 MB/s與6,200 MB/s，隨機200萬IOPS與35萬IOPS<br /> ●使用介面：PCIe 5.0<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/25 19:50作者李宗翰https://www.ithome.com.tw/review/163628
Fintech周報第245期：日本PayPay銀行導入HCI架構的虛擬化平臺，計畫將周邊系統轉換為私有雲架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">6/17~6/23金融科技精選新聞</span></span></h3> <p dir="ltr" style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 私有雲</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HCI </span></strong></span></p> <h3>日本PayPay銀行導入HCI架構的虛擬化平臺，計畫將周邊系統轉換為私有雲架構</h3> <p>PayPay在日本的註冊使用者有6400萬人，是日本的電子支付龍頭品牌。近日，日本PayPay銀行宣布將在地端機房打造新一代基礎設施，計畫將周邊系統遷移至超融合基礎架構（HCI）的虛擬化平臺，汰換既有的實體伺服器。目前，PayPay的周邊系統大多運作在實體伺服器上，難以因應業務規模增加，靈活擴充IT資源。雖然他們每五年會汰換一次硬體設備，但在進行系統升級時，需要較長的停機時間，難以實現停機不超過半小時的業務目標。</p> <p>PayPay的計畫，是藉由HCI架構降低使用實體伺服器的維運成本，同時減少系統升級所需的停機時間。他們不是沒有考慮過傳統三層式架構的虛擬化平臺，最終選擇HCI架構，是看上它能在不停機的情況下擴充IT資源，同時防止營運過於依賴個人。這兩點是他們最終決策的主要考量。</p> <p>目前，PayPay已經篩選出硬體設備廠商，預計一個月就能完成硬體設備建構。除了計畫將周邊系統遷移至HCI架構的虛擬化平臺上，PayPay也計畫升級儲存設備，轉換為混和雲多雲架構。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 富邦產險</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創新保險服務 </span></strong></span></h3> <h3>富邦產險與台灣大哥大合作推出創新保險服務，一站式投保旅平險和不便險</h3> <p>富邦產險近日正式推出網路投保創新服務，他們與台灣大哥大合作推出一站式投保服務，當民眾出國前至臺灣大哥大客服App申辦漫遊時，可同時加購旅平險與不便險，可省去輸入個人資料時間，也可連同電信帳單一同支付保費。</p> <p>這項服務自今年3月底開始試辦，並在6月中獲金管會核准開辦，是全臺首例獲核准的創新保險服務。金管會在去年10月通過保險業異業合作辦理創新型保險服務。今年，金管會也提出，要在年底前完成10件以上的創新型保險服務試辦案審查，並且在第三季檢討修正「保險業辦理電子商務應注意事項」，擴大業務範圍，增加可辦理的網路投保和網路保險服務。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嵌入式保險</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創新保險服務 </span></strong></span></h3> <h3>日本三井住友保險和雲端會計軟體業者合作，計畫推出保險平臺發展一站式投保服務</h3> <p>日本三井住友保險在4月宣布與日本一間雲端會計軟體業者Freee合作，計畫打造一個綜合保險平臺，可以提供企業客戶連接ERP系統，管理財務、人力資源和銷售管理等日常營運任務。同時，平臺能根據客戶的業別來推薦保險產品，提供一站式投保服務，也支援企業客戶自動完成保費支付和領取理賠金等任務。</p> <p>在日本，許多新創公司會採用雲端財務和人力資源軟體，並透過連接ERP系統，自動處理保險費支付和索取理賠收據。Freee在日本則擁有近40萬中小型客戶數量。三井住友保險向媒體表示，這次合作是為了透過Freee接觸新創企業、中小型企業客戶，主要提供商業一般責任保險。未來也會考慮提供旅遊險、高爾夫球險，和一日汽車險等保險商品。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融AI指引</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h3> <h3>金融業運用AI指引正式出爐</h3> <p>金管會在近日發布「金融業運用AI指引」，除了提供AI系統和生成式AI定義，也將AI系統生命周期分為4個階段，提供業者在各個階段中落實六大核心原則的處理機制。綜合規劃處處長胡則華表示，目前，已有使用生成式AI的金融機構共有29家，銀行業占比最多。使用場景最多是在內部作業，第二是智能客服，第三則是行銷廣告。</p> <p>相較草案內容，正式指引提供更多第三方業者的監督管理方式，針對自建、委外和外購等不同部署方式增訂相關內容，也修改風險評估因素的敘述方式，強調指引中的舉例僅供參考，增加指引適用的彈性。（<a href="https://www.ithome.com.tw/news/163575">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技政策</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h3> <h3>金管會主委彭金隆發表未來金融科技發展方向，七月將提出更具體的發展計畫</h3> <p>「金融業未來需要很多工具，來推動數位和永續轉型，未來希望能夠讓金融業有更大的空間來應用這些工具。」金管會主委彭金隆近日接受媒體聯訪時，用這句話來說明他對金融科技發展的態度。彭金隆進一步指出，未來可能先調整金管會能全權調整的規定，讓暫時不允許的項目，成為可以試辦的範圍，以此放寬金融業的創新業務發展空間。</p> <p>金管會綜合規劃處處長胡則華則補充，接下來會放寬法規命令和法律規範，包含行政規則，或是周邊單位的自律規範，讓業者能提出更多創新試辦項目。彭金隆也表示，將在七月中或下旬提出金融科技具體規劃和未來發展方向。（<a href="https://www.ithome.com.tw/news/163596">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動支付 </span></strong></span></h3> <h3>日本Line Pay將在明年四月終止在日本提供的服務</h3> <p>近期，日本Line Pay宣布，將在今年9月開始，陸續停止在日本提供的服務，並在明年4月正式退出日本。日本Line Pay表示，未來將開放用戶把餘額轉至PayPay繼續使用，流程將於明年2月公布。此外，這次服務更動並不會影響泰國和臺灣的用戶。</p> <p>Line Pay母公司LY Corporation表示，終止在日本提供服務，是為了讓集團更有效地分配經營資源。他們表示，未來不會將LINE Pay的業務轉讓給PayPay，而是由公司繼續繼承這項業務。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BNPL </span></strong></span></h3> <h3>蘋果終止Apple Pay Later服務，改以Apple Pay串聯第三方業者來提供BNPL服務</h3> <p>蘋果近日才在發布會上宣布，Apple Pay將支援分期服務、商品兌換獎勵和先買後付功能，發布會結束兩天後，蘋果接著宣布終止Apple Pay Later服務，一款僅提供美國用戶的BNPL服務。蘋果向媒體透露，由於Apple Pay將在全球支援分期貸款產品，他們決定不再向美國用戶提供Apple Pay Later，而是透過Apple Pay與第三方業者合作，來提供多種支付服務給全球用戶。目前，Apple已經宣布與特定BNPL業者合作，將開放美國用戶在Apple Pay使用先買後付服務。</p> <p></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">其他重要Fintech新聞：</p> <ul style="padding-right: 0px; padding-left: 0px; margin: 0px 0px 10px 25px; font-family: 微軟正黑體, sans-serif; font-size: 14px; background-color: rgb(247, 247, 247);"> <li style="line-height: 1.8em; font-size: 14pt;">金管會推動灰名單平臺，上線一個月136戶被列可疑帳戶</li> <li style="line-height: 1.8em; font-size: 14pt;">桑坦德銀行警告美國員工，因第三方服務供應商遭駭，其員工資料已外洩</li> <li style="line-height: 1.8em; font-size: 14pt;">花旗發布研究報告，表示銀行業被AI取代的工作將比其他行業多</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/25 17:30作者李昀璇https://www.ithome.com.tw/news/163646
【資安日報】6月25日，中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定今年臺灣總統大選的網路攻擊，已有數家資安業者公布他們觀察到的攻擊行動，但最近研究人員揭露的最新發現，攻擊者從事相關活動的期間，從去年11月到今年4月，也就是自總統選舉的2個月前，到新任總統即將上任前夕，時間接近半年。</p> <p>值得留意的是，這些駭客不僅針對外交經濟和社會運動團體而來，也鎖定高科技產業，企圖偷取相關機密。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163641"><strong style="font-size: 22px;">中國駭客組織RedJuliett近半年鎖定臺灣75個組織發動攻擊，目標主要是高科技產業，但外交經濟、社會運動團體也遭鎖定</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露為期近半年的網路間諜攻擊行動，代號為Flax Typhoon、Ethereal Panda中國駭客組織RedJuliett，自去年11月自今年4月，針對臺灣教育機構、政府機關、科技產業、外交機構而來，這些駭客利用防火牆、VPN、負載平衡設備等網路邊界裝置的已知漏洞，取得初始存取的管道，目的很有可能是為中國政府收集臺灣經濟、外交關係，以及關鍵技術研發的情報。</p> <p>由於上述攻擊發生的時間點，正好是今年臺灣總統大選前至新政府上臺的前夕，這起攻擊行動的揭露，引起國內外媒體高度關注。</p> <p>針對受害規模的部分，這些駭客入侵全球24個組織，其中包含了臺灣、竂國、肯亞、盧安達的政府機構。而對於臺灣的部分，該組織試圖針對75個企業組織下手，當中有8所大學、11個政府機關，攻擊範圍相當廣泛，涵蓋高科技產業、外交經濟，以及社會運動，但他們認為，駭客最主要的目標還是高科技產業相關組織。</p> <p><a href="https://www.ithome.com.tw/news/163647"><strong style="font-size: 22px;">中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料</strong></a></p> <p>資安業者賽門鐵克揭露中國駭客組織鎖定特定亞洲國家電信業者的網路間諜活動，這些駭客在受害公司的網路環境植入後門程式，並試圖竊取各式帳密資料。</p> <p>研究人員指出，對方的攻擊行動至少可追溯至2021年，不過，他們掌握2020年已有部分活動的證據。而對於攻擊目標的部分，雖然駭客主要是鎖定電信業者，但是也有提供電信業者服務的公司，以及另一個國家的大學受害。</p> <p>究竟對方的目的為何，研究人員表示並不清楚，但很有可能是為了收集特定國家的電信行業情報，甚至進行監聽，也不排除對當地關鍵基礎設施進行破壞；而對於攻擊者的身分，他們也推測有幾種可能，有可能是多組人馬進行合作，或是不約而同發動攻擊；也有可能是未被發現的駭客組織出手，並使用其他團隊提供的作案工具犯案。</p> <p><a href="https://www.ithome.com.tw/news/163645"><strong style="font-size: 22px;">惡意軟體載入工具SquidLoader鎖定中國企業組織而來，企圖透過偽裝成Word檔案的附件引誘員工上鉤</strong></a></p> <p>今年4月下旬，電信業者AT&T旗下的資安威脅實驗室LevelBlue發現具備高度迴避偵測能力的惡意程式載入工具SquidLoader，使用此項工具的攻擊者鎖定使用簡體中文的用戶，受害者電腦會因此而載入Cobalt Strike。研究人員進一步調查指出，這些駭客在過去2年就曾發起了零星攻擊，而且似乎專門針對國家而來。由於這樣的攻擊技術及手法有可能被複製，未來很有可能被其他惡意軟體開發者如法炮製。</p> <p>研究人員認為，攻擊者的主要目標是員工，企圖藉由具有明確描述的名程引誘他們上當。值得留意的是，這些釣魚郵件的附件檔案雖然都帶有Word文件圖示，但實際上都是可執行檔，一旦收信人開啟附件，電腦就可能從遠端下載SquidLoader。</p> <p><a href="https://www.ithome.com.tw/news/163635"><strong style="font-size: 22px;">YouTube直播平臺出現馬斯克Deepfake影片，對方企圖詐騙加密貨幣</strong></a></p> <p>入侵知名企業或名人的網路服務帳號，對其支持者進行金融詐騙的手法頻傳，6月24日YouTube Live直播平臺便出現馬斯克的Deepfake影片，對方將特斯拉公司發布的公開影片透過Deepfake改造，企圖誘騙支持者造訪指定網站並轉出數位貨幣，影片被檢舉下架前5個小時，曾吸引至少3萬人同時觀看。</p> <p>根據科技新聞網站Engadget報導，這則詐騙影片看似馬斯克在特斯拉公司活動中發表演說，馬斯克指示用戶點選造訪某個網站網址，並將手上的比特幣、以太幣與狗狗幣儲存在該網站的電子錢包中。AI版「馬斯克」聲稱，只要用戶完成儲存，就可獲得存入金額2倍等值的加密貨幣作為回饋。</p> <p>值得留意的是，該影片是由貌似特斯拉的公司帳號發布，並有YouTube藝術家官方頻道（Official Artist Channel）的驗證徽章，媒體推測，這很可能是特斯拉遭駭的帳號。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/"><strong style="font-size: 20px;">駭客組織APT-C-35鎖定安卓裝置發動超過120起攻擊行動，散布惡意程式Rafel RAT</strong></a></p> <p>◆<a href="https://blog.xlab.qianxin.com/a-deep-dive-into-the-zergeca-botnet/"><strong style="font-size: 20px;">研究人員揭露難以被防毒軟體察覺的殭屍網路病毒Zergeca</strong></a></p> <p>◆<a href="http://www.elastic.co/security-labs/grimresource"><strong style="font-size: 20px;">研究人員揭露新型態攻擊手法GrimResource，利用MMC管理主控臺存取受害電腦並迴避偵測</strong></a></p> <p></p> <p>◆<a href="https://hackread.com/qilin-ransomware-attack-nhs-patient-data-leak-telegram/"><strong style="font-size: 20px;">勒索軟體駭客組織</strong></a><a href="https://hackread.com/qilin-ransomware-attack-nhs-patient-data-leak-telegram/"><strong style="font-size: 20px;">Qilin傳出在Telegram頻道外流400 GB英國國民保健署及病人資料</strong></a></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163644"><strong style="font-size: 22px;">電子商務平臺PrestaShop的臉書外掛程式存在漏洞，已有攻擊者用於竊取信用卡付款詳細資訊</strong></a></p> <p>電商平臺技術社群Friends Of Presta指出，名為pkfacebook的付費外掛程式存在重大漏洞CVE-2024-36680，使得瀏覽電商網站的訪客有機會發動SQL注入攻擊，CVSS風險評為9.8分，影響1.0.1以前的版本。值得留意的是，這項漏洞已被積極利用，攻擊者藉此在電商平臺植入側錄工具，以便大規模竊取信用卡資料。</p> <p>這項由Promokit.eu打造的電商平臺PrestaShop外掛程式，主要是供用戶直接使用臉書帳號與站方互動，留下評論，或是透過Messenger與客服進行溝通。然而，由於這項外掛程式是由該公司自行銷售，他們並未透露有多少網站採用，究竟有多少電商網站曝險，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/163636"><strong style="font-size: 22px;">微軟將透過Windows每月例行更新一併修補Visual Studio</strong></a></p> <p>為更為充分利用Windows的更新機制Microsoft Update，微軟宣布自8月開始，將會藉此機制，於每個月的例行更新（Patch Tuesday）提供用戶IDE工具Visual Studio的相關更新。</p> <p>一旦使用者在Microsoft Update啟用接收其他微軟產品更新的功能，他們將對使用Visual Studio 2022、Visual Studio 2019、Visual Studio 2017的用戶派送更新，這項服務不支援預覽版Visual Studio。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.wiz.io/blog/probllama-ollama-vulnerability-cve-2024-37032"><strong style="font-size: 20px;">開源人工智慧基礎設施平臺Ollama存在漏洞Probllama，若不修補恐被用於RCE攻擊</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163574"><strong>【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</strong></a></p> </div></div></div>
2024/6/25 17:39作者周峻佑https://www.ithome.com.tw/news/163648
中國駭客組織RedJuliett近半年鎖定臺灣75個組織發動攻擊，目標主要是高科技產業，但外交經濟、社會運動團體也遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Recorded Future揭露為期近半年的網路間諜攻擊行動，代號為Flax Typhoon、Ethereal Panda中國駭客組織RedJuliett，<a href="https://www.recordedfuture.com/redjuliett-intensifies-taiwanese-cyber-espionage-via-network-perimeter">自去年11月自今年4月，針對臺灣教育機構、政府機關、科技產業、外交機構而來</a>，這些駭客利用防火牆、VPN、負載平衡設備等網路邊界裝置的已知漏洞，取得初始存取的管道，目的很有可能是為中國政府收集臺灣經濟、外交關係，以及關鍵技術研發的情報。</p> <p>由於上述攻擊發生的時間點，正好是今年臺灣總統大選前至新政府上臺的前夕，這起攻擊行動的揭露，引起國內外媒體高度關注。</p> <p>雖然這些駭客的主要目標是臺灣，但研究人員提到，對方近期也擴大攻擊範圍，開始針對香港、馬來西亞、竂國、韓國、美國、肯亞、盧安達、吉布地等國家的組織發動攻擊。</p> <p>針對受害規模的部分，這些駭客入侵全球24個組織，其中包含了臺灣、竂國、肯亞、盧安達的政府機構。而對於臺灣的部分，該組織試圖針對75個企業組織下手，當中有8所大學、11個政府機關，攻擊範圍相當廣泛，涵蓋高科技產業、外交經濟，以及社會運動，但他們認為，駭客最主要的目標還是高科技產業相關組織。</p> <p>單就被鎖定的高科技產業而言，駭客企圖滲透的對象很廣泛，包含半導體公司、與軍方有合作關系的航太業者、電子製造業、專注科技教育的大學、工業嵌入式系統製造商、科學研發機構，以及電腦工業協會等。</p> <p>而在外交經濟的領域，他們鎖定了南亞、東南亞的外交機構、專注經濟政策的政府部門、經濟政策智庫、貿易促進組織、跨國物流業者，以及航空公司。</p> <p>在社會運動方面，遭這群駭客鎖定的臺灣目標有哪些？Recorded Future認為，他們已對媒體、慈善機構、人權非政府組織（NGO）發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg" style="width: 580px;" /></a></p> <blockquote><p>中國駭客組織RedJuliett過往的主要攻擊目標是臺灣的企業組織，但研究人員也發現，最近半年其他國家也有組織遭到鎖定的現象。值得留意的是，雖然他們在調查報告裡提到對方在去年11月至今年4月，企圖對75個臺灣企業組織下手，但這張圖表卻指出有85個被鎖定，為何會有這樣的差異，研究人員並未提出說明。</p> </blockquote> <p>而對於這些駭客的攻擊手段，他們試圖對網頁應用程式、SQL資料庫進行目錄穿越攻擊，或是SQL注入攻擊。在部分情況裡，駭客利用名為devilzShell、AntSword的開源Web Shell從事後期行動，並透過Linux作業系統的已知漏洞DirtyCOW（CVE-2016-5195）提升權限。</p> <p>此外，駭客們也在網際網路持續探測，想要找到可從此處存取的F5 BIG-IP設備，以及Fortinet的FortiGate防火牆，而且，駭客們也在擴展可攻擊的網路設備，例如，研究人員發現在2023年下旬，曾出現攻擊者與兆勤（Zyxel）防火牆進行通訊的跡象。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_01_1_03c33ce6d8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_01_1_03c33ce6d8.jpg" style="width: 580px;" /></a></p> <p>為了隱匿行蹤，該駭客組織使用VPN軟體SoftEther VPN存取攻擊基礎設施。而根據研究人員的調查，這些駭客的總部很可能位於中國的福建省福州市，由於地理位置臨近臺灣，研判他們可能替當地的軍情部門收集情報。</p> </div></div></div>
2024/6/25 15:42作者周峻佑https://www.ithome.com.tw/news/163641
電子商務平臺PrestaShop的臉書外掛程式存在漏洞，已有攻擊者用於竊取信用卡付款詳細資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商平臺技術社群Friends Of Presta指出，<a href="https://security.friendsofpresta.org/modules/2024/06/18/pkfacebook.html">名為pkfacebook的付費外掛程式存在重大漏洞CVE-2024-36680</a>，使得瀏覽電商網站的訪客有機會發動SQL注入攻擊，CVSS風險評為9.8分，影響1.0.1以前的版本。值得留意的是，這項漏洞已被積極利用，攻擊者藉此在電商平臺植入側錄工具，以便大規模竊取信用卡資料。</p> <p>這項由Promokit.eu打造的電商平臺PrestaShop外掛程式，主要是供用戶直接使用臉書帳號與站方互動，留下評論，或是透過Messenger與客服進行溝通。然而，由於這項外掛程式是由該公司自行銷售，他們並未透露採用該外掛程式的網站數量，究竟有多少電商網站曝險，目前仍不得而知。</p> <p>而對於這項漏洞發生的原因，Friends Of Presta社群指出，起因是此外掛程式當中的Ajax指令碼facebookConnect.php含有敏感的SQL呼叫功能，攻擊者可執行簡單的HTTP呼叫，利用漏洞來偽造SQL注入攻擊。</p> <p>值得留意的是，攻擊者想要利用這項漏洞的難度不高，不需事先取得權限，且過程中無須使用者互動。攻擊者很有可能藉此得到管理員權限、清除與電商平臺PrestaShop有關的資料、覆寫SMTP組態來挾持電子郵件，甚至還能從敏感的資料表複製資料至前端，藉此曝露憑證並解開管理員的Ajax指令碼。</p> <p>這項漏洞由雲端資安業者TouchWeb在3月底通報，但當研究人員聯絡開發廠商Promokit.eu，對方僅表示這是很久以前的事情，並不清楚那些版本的pkfacebook曝險，也不願提供研究人員最新版本，以便確認是否完成修補。</p> <p>對此，Friends Of Presta呼籲網站管理者要儘速採取行動因應，這些措施包括：使用最新版本的pkfacebook，以及在網頁應用程式防火牆（WAF）啟動特定規則。</p> </div></div></div>
2024/6/25 17:00作者周峻佑https://www.ithome.com.tw/news/163644
惡意軟體載入工具SquidLoader鎖定中國企業組織而來，企圖透過偽裝成Word檔案的附件引誘員工上鉤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者AT&T旗下的資安威脅實驗室指出LevelBlue指出，他們約從今年4月下旬，發現<a href="https://cybersecurity.att.com/blogs/labs-research/highly-evasive-squidloader-targets-chinese-organizations">具備高度迴避偵測能力的惡意程式載入工具SquidLoader</a>，攻擊者鎖定使用簡體中文的用戶，藉由此惡意軟體於受害電腦載入Cobalt Strike。</p> <p>研究人員進一步調查指出，這些駭客在過去2年就曾發起了零星攻擊，而且似乎專門針對國家而來。由於這樣的攻擊技術及手法有可能被複製，未來很有可能被其他惡意軟體開發者如法炮製。</p> <p>針對這起攻擊行動發生的過程，研究人員在釣魚郵件發現數個可被執行的附件檔案，其中一個具有簡體中文名稱的檔案，宣稱是華為工業級路由器的產品介紹及客戶成功案例。其他的惡意檔案名稱，也與中國的企業組織有關，例如：中國陝西行動網路服務公司、黃河水利職業技術學院（YRCTI）。</p> <p>對方這樣命名附件檔案的目的，研究人員認為，攻擊者的主要目標是員工，企圖藉由具有明確描述的檔案名稱引誘他們上當。值得留意的是，這些檔案雖然都帶有Word文件的圖示，但實際上都是可執行檔。</p> <p>一旦收信人開啟這些附件，電腦就會對遠端伺服器上含有flag.jpg的URI發出Get HTTPS的請求，然後下載惡意程式載入工具SquidLoader並執行Shell Code。</p> <p>值得留意的是，這些惡意程式載入工具具備高度迴避偵測的能力，也擁有誘餌的功能，使得這樣的作案工具不易被察覺。此外，被載入的Shell Code也會利用特定的處理程序執行，避免惡意酬載被寫入磁碟留下作案痕跡。</p> <p>為了讓惡意程式載入工具看起來像正常應用程式，對方利用已經過期的合法憑證進行簽章，此外，他們也在C2伺服器部署自行簽署的憑證。</p> <p>研究人員發現，為了防礙資安人員調查，這些駭客竟然在惡意附件大量混入微信、mingw-gcc等應用程式的程式碼，但實際上無法正常執行，而是在流程的特定階段就指向有效酬載。此外，部分程式碼執行後，甚至會出現檔案格式錯誤無法開啟的彈出式視窗訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/wechat_code.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/wechat_code.gif" style="width: 580px;" /></a></p> <blockquote><p>研究人員公布駭客引用微信（WeChat）的程式碼片段，並指出這些被塞入惡意程式用來影響資安研究人員調查的程式碼，實際上並不會執行。</p> </blockquote> <p>他們也提及對這個惡意程式載入工具引起特別關注的原因，那就是對方運用許多迴避偵測的手法並進行混淆處理，而使得相關攻擊行動極少被識別出來。</p> <p>研究人員指出，攻擊者在部分函數功能使用了無意義及灰色地帶指令，例如：pause、mfence、lfence，很有可能是用來破壞防毒軟體模擬觸發的工作。</p> <p>其中，也有部分功能函數含有call或jmp指令，指向另一個功能函數，使得研究人員的反編譯工具產生解析錯誤的情況。</p> <p>而在透過演算法混淆程式碼的手法上，對方也加入了無意義的誘餌指令碼來欺騙研究人員，並透過堆疊的方式，使用多個位元組的XOR金鑰來加密特定字串。</p> <p>此外，這些駭客也針對Shell Code相關的功能函數，進行控制流程圖形（Control Flow Graph，CFG）的混淆處理，導致CFG被扁平化為帶有大量switch字串的無限迴圈。</p> <p>為了避免研究人員使用除錯工具進行調查，這些駭客也透過處理程序、檔案名稱過濾，並使用自行開發的API進行系統呼叫。</p> </div></div></div>
2024/6/25 17:17作者周峻佑https://www.ithome.com.tw/news/163645
中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克揭露中國駭客組織<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/telecoms-espionage-asia">鎖定特定亞洲國家電信業者的網路間諜活動</a>，這些駭客在受害公司的網路環境植入後門程式，並試圖竊取各式帳密資料。</p> <p>研究人員指出，對方的攻擊行動至少可追溯至2021年，不過，他們掌握2020年已有部分活動的證據。而對於攻擊目標的部分，雖然駭客主要是鎖定電信業者，但是也有提供電信業者服務的公司，以及另一個國家的大學受害。</p> <p>究竟對方的目的為何，研究人員表示並不清楚，但很有可能是為了收集特定國家的電信行業情報，甚至進行監聽，也不排除對當地關鍵基礎設施進行破壞；而對於攻擊者的身分，他們也推測有幾種可能，有可能是多組人馬進行合作，或是不約而同發動攻擊；也有可能是未被發現的駭客組織出手，並使用其他團隊提供的作案工具犯案。</p> <p>針對駭客使用的作案工具，研究人員提及3個後門程式Coolclient、Quickheal、Rainyday，其共通點是和中國駭客組織有所關連，但究竟這些駭客如何運用這些後門程式，研究人員並未進一步說明。</p> <p>其中，Coolclient與中國駭客組織Mustang Panda（也稱做Earth Preta）有關，駭客將影音播放程式VLC Media Player的主程式，偽裝成Google應用程式的更新工具（googleupdate.exe），然後使用側載的方式執行惡意程式載入工具，從而解密Coolclient，並注入winver.exe的處理程序執行。</p> <p>另一個名為Quickheal的後門程式，則與名為Neeedleminer（或叫做RedFoxtrot、Nomad Panda）的中國駭客組織有關。對方使用的版本，是名為RasTls.dll的32位元檔案，大致與資安業者Recorded Future在2021年公布後門程式的相同，主要差異是編譯組態不同，並使用VMProtect進行程式碼混淆處理。</p> <p>第3個後門程式Rainyday，過往曾有名為Firefly（Naikon）中國駭客組織使用。在這起攻擊行動當中，駭客多半濫用防毒軟體F-Secure的主要元件fsstm.exe，以側載的方式啟動惡意程式載入工具，而該工具企圖挾持可執行檔使用的記憶體位置，藉由該執行檔載入特定檔案，用來解開惡意酬載並以Shell Code的模式執行。</p> <p>特別的是，雖然駭客濫用F-Secure防毒軟體的元件，但部分版本的惡意酬載，卻是用卡巴斯基實驗室的無效憑證簽署。此外，研究人員也看到濫用其他應用程式執行檔來進行寄生攻擊（LOLBin）的情況。</p> </div></div></div>
2024/6/25 17:31作者周峻佑https://www.ithome.com.tw/news/163647
RIAA控告Suno與Udio的生成式AI音樂服務侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國唱片業協會（RIAA）周一（6/24）<a href="https://www.riaa.com/record-companies-bring-landmark-cases-for-responsible-ai-againstsuno-and-udio-in-boston-and-new-york-federal-courts-respectively/" target="_blank">宣布</a>，已分別在麻薩諸塞州及紐約州控告兩家未取得授權、擅自利用受版權保護的錄音，來訓練生成式AI模型的AI音樂服務業者Suno AI 和 Udio AI。</p> <p>Suno與Udio皆為提供文字生成音樂服務的AI新創，其中，Udio今年4月才發表測試版，可根據文字提示生成人聲或樂器，至於Suno則是在去年即推出文字生成音樂的Web應用程式，並與微軟合作，成為Microsoft Copilot的外掛程式。Suno甫於今年5月完成1.25億美元的增資，其估值已達50億美元。</p> <p>RIAA是由市場上主流的音樂集團組成，包括環球音樂（Universal Music Group）、華納音樂（Warner Music）及索尼音樂娛樂（Sony Music Entertainment）等，這幾年來不斷面臨數位化的市場挑戰，持續與未取得音樂授權的音樂下載業者或串流服務業者對簿公堂，現在則是生成式AI業者。事實上，在RIAA替這些音樂集團發聲之前，索尼音樂上個月便<a href="https://www.ithome.com.tw/news/162949" target="_blank">公開聲明</a>退出AI訓練，要求業者不得在未取得授權的情況下，以其內容訓練AI模型。</p> <p>有別於當初對音樂下載及串流服務的初期抵抗，RIAA主席Mitch Glazier表示，音樂界已經接受了人工智慧，並與負責任的開發商合作，建置以人類創造力為中心的AI工具，並讓藝術家與作曲家能夠掌控創作過程，但只有當開發者願意合作時才能成長。</p> <p>RIAA法務長Ken Doroshow則說，Suno AI和Udio AI都是直接侵犯版權，涉及大規模未經授權的聲音複製，它們還企圖隱瞞所侵權的全部範圍，而非將其服務建立在健全與合法的基礎上。</p> <p>這兩項訴訟除了聲明相關服務侵犯版權之外，也企圖尋求繼續侵權的禁令，以及對已發生的侵權行為求償。</p> </div></div></div>
2024/6/25 14:32作者陳曉莉https://www.ithome.com.tw/news/163638
AI趨勢周報第256期：哈士奇來了！Meta團隊聯手開源多任務AI代理Husky-v1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0619～0625)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Husky-v1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源一款AI代理「哈士奇」</strong></span></p> <p>最近，來自Meta、艾倫AI研究院和華盛頓大學的研究團隊開源一款語言模型代理哈士奇（HUSKY），可處理複雜的多步驟推理任務。進一步來說，AI代理（Agent）是指由AI模型驅動的智慧系統，可從環境中學習、適應並自動完成特定任務，比如Siri。而哈士奇這個代理在統一空間中執行運算，意味著單一個哈士奇就能處理多類型任務，像是數值、表格和知識推理，而非只專注特定任務，如程式碼撰寫代理。</p> <p>團隊發表的第一代哈士奇代理為Husky-v1，透過2個階段不斷迭代：首先是根據給定任務，來生成下一步的解決動作，再來是用專家模型執行這個動作，同時不斷更新解決方案。其中，第一代哈士奇的專家模型包含程式碼生成器、詢問生成器和數學推理器等3款，它們皆用合成資料訓練而成。團隊也用14個不同任務來評測Husky-v1，發現它的表現優於其他代理，如CoT、ReAct、Lumos等，甚至在混合工具推理任務中，勝過GPT-4-Turbo。<a href="https://agent-husky.github.io/">（詳全文）</a></p> <p><img alt="" src="https://agent-husky.github.io/static/img/husky_overview.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLX </span></strong></span></p> <p><span style="font-size: 22px;"><strong>開發者可用MLX函式庫，聯合多臺蘋果裝置跑大模型了</strong></span></p> <p>最近，蘋果才結束今年度發表大會WWDC，主打Apple Intelligence、聚焦個人化AI功能和隱私保護，但還留了一手。也就是，開發者可用蘋果的開源機器學習函式庫MLX，來聯合蘋果裝置（如Mac筆電、iPhone手機和iPad等）算力、形成一個AI叢集，來執行大型AI模型。</p> <p>日前就有位開發者Mohamed Baioumy分享經驗，他使用了2臺MacBook、2支iPhone 15 Pro和1臺iPad，來執行80億參數的Llama 3 instruct 4 bit模型，可以非常快的速度回答文字問題。另有位開發者Mohamed Baioumy表示，就算不是蘋果裝置也可以，也就是說，只要所有裝置都使用同一個網路，開發者就可堆疊多個裝置來跑大模型。這代表，開發者可透過多個裝置來執行先進的AI模型了。<a href="https://twitter.com/ac_crypto/status/1801323681370804509?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1801323681370804509%7Ctwgr%5Ee446779269aef5df127a5e37d3a5143c7d5b9dd2%7Ctwcon%5Es1_c10&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fapple-now-lets-you-stack-multiple-devices-to-run-large-ai-models%2F">（詳全文）</a></p> <p><img alt="" src="https://twitter.com/i/status/1801322369434173860" /><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-06-25%20at%2011_38_15%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI指引 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>金管會發布金融業運用AI指引</strong></span></p> <p>最近，金管會終於發布「金融業運用AI指引」，與去年12月底提出的草案大方向一致，除提供AI系統和生成式AI定義，也說明4個AI系統生命周期階段，並提供業者在各階段中落實6大核心原則的處理機制。</p> <p>進一步來說，這份AI指引就像是一份AI操作建議書，分別引導業者在導入AI或使用生成式AI時，如何在4個階段中，包括系統規畫及設計、資料蒐集及輸入、模型建立及驗證、系統部署及監控等階段，落實6大核心原則，也就是建立治理及問責機制、重視公平性及以人為本的價值觀、保護隱私及客戶權益、確保系統穩健性與安全性、落實透明性與可解釋性，和促進永續發展。</p> <p>比起草案，這份正式版多出了實務作法，也提及更多第三方業者的監督管理方式，對自建、委外和外購等不同部署方式增訂相關內容，也修改風險評估因素的敘述方式、增加指引適用的彈性。綜合規畫處處長胡則華指出，目前採用生成式AI的金融機構有29家，銀行業占最多，使用場景大多為內部作業，第二是智能客服，第三則是行銷廣告。<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0&mcustomize=news_view.jsp&dataserno=202406200001&dtable=News">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語言模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式撰寫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta揭露4款語言模型，涵蓋程式撰寫、音樂生成和音訊浮水印</strong></span></p> <p>日前，Meta AI研究院最近發表4款語言模型，包括Meta Chameleon，含70億參數（7B）和340億參數（34B）版本，支援多模態輸入值，但只以文字輸出。另一款模型是Meta Multi-Token Prediction，是一款預訓練語言模型，專門用來處理程式碼撰寫任務。這是因為該模型採用多Token預測方法，可即時預測好幾個字，而非只預測一個，也因此提高了作業效率和回應速度。</p> <p>第三款模型是Meta JASCO，是一款生成式文字轉音樂模型，預計晚些時候釋出預訓練模型。最後一個模型是Meta AudioSeal，是一款音訊浮水印模型，能在裝置端偵測AI生成的語音，並配上浮水印；該模型開放商用授權。除了模型，Meta也發表負責任AI研究成果，包括了研究本身、資料和程式碼，可用來衡量和改善AI系統中的地理表徵、文化偏好和多元性。<a href="https://ai.meta.com/blog/meta-fair-research-new-releases/?utm_source=linkedin&utm_medium=organic_social&utm_content=video&utm_campaign=fair">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Luma AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dream Machine </span></strong></span></p> <p><span style="font-size:22px;"><strong>美AI新創開源高品質影片生成模型</strong></span></p> <p>舊金山一家AI新創Luma AI最近發表AI系統Dream Machine，可根據簡單的文字描述，來生成高品質影片，且號稱幾分鐘就能完成。有別於OpenAI的影片生成模型Sora和快手的Kling、只對特定群眾開放，Luma AI<a href="https://lumalabs.ai/dream-machine">開放各界免費在自家網站嘗試這款系統</a>。</p> <p>Luma AI表示，Dream Machine目前雖只能生成5秒長的影片，但在品質上相對寫實逼真，可應用的領域更廣。<a href="https://twitter.com/LumaLabsAI/status/1800921380034379951">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-06-25%20at%201_42_02%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Claude 3.5 Sonnet </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Claude 3.5 Sonnet問世了，評測表現勝過GPT-4o</strong></span></p> <p>Anthropic日前發表了新款大型語言模型Claude 3.5 Sonnet，是Claude系列的中階模型，但表現和效率都超越Claude 3.0的高階模型Opus，在大多數的評測上也勝過OpenAI今年5月推出的GPT-4o。進一步來說，Claude 3.5 Sonnet的執行速度是Claude 3 Opus的兩倍，Anthropic自己也以自然語言指令，要求不同模型修補開源程式碼臭蟲或新增功能，發現Claude 3.5 Sonnet解決了64%的問題，超越Claude 3 Opus的38%。</p> <p>在提供指示與相關工具後，Claude 3.5 Sonnet得以獨立撰寫、編輯與執行程式碼，可執行複雜的推論及故障排除能力，輕鬆處理程式碼的轉換，能更有效率更新老舊應用程式並遷移程式碼庫。Claude 3.5 Sonnet不僅在所有基準評測上勝過Claude 3 Opus，它在GPQA、HumanEval、MGSM、DROP、BIG-Bench-Hard或是與視覺有關的MathVista、AI2D、Relaxed accuracy及ANLS score等評測上也超越了GPT-4o，只有在MMLU、MATH及MMMU上略遜GPT-4o。<a href="https://www.anthropic.com/news/claude-3-5-sonnet">（詳全文）</a></p> <p><img alt="" src="https://www.anthropic.com/_next/image?url=https%3A%2F%2Fwww-cdn.anthropic.com%2Fimages%2F4zrzovbb%2Fwebsite%2Fcf2c754458e9102b7334731fb18a965bfeb7ad08-2200x1894.png&w=3840&q=75" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> EVI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hume AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 情緒辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hume AI推出懂53種情緒的iOS App：EVI</strong></span></p> <p>最近，Hume AI上架一款號稱讀懂人類情緒的<a href="https://apps.apple.com/us/app/hume-your-personal-ai/id6502917807?ign-itscg=30200&ign-itsct=apps_box_link">iOS應用程式EVI</a>，由Anthropic最新的語言模型Claude 3.5 Sonnet驅動。特別的是，EVI背後的同理心大語言模型可解讀語調、強調字眼和非口語的暗示，來優化互動體驗。EVI可理解53種人類情緒，如開心、生氣、困惑、欺騙等。至於EVI採用的聲音模型Kora，則能以API方式提供給開發者，目前也支援Anthropic、OpenAI和開源語言模型，預計之後很快就會納入Google模型。開發者可以建立他們的應用程式，並加入EVI的Discord來獲得更新資訊。</p> <p>EVI的情緒理解能力，是來自Hume AI對非話語的情緒性語音研究成果，這類語音是指透露情緒的語助詞，或單純是透露情緒的發聲詞。為訓練EVI的情緒理解模型，Hume AI收集了來自1萬6千多人共數千個語音片段檔案，橫跨美國、中國、印度、南非和委內瑞拉。Hume AI表示，未來，他們打算擴展EVI能力，增添全球通用的臉部表情辨識能力。<a href="https://twitter.com/hume_ai/status/1803854136389308495?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1803854136389308495%7Ctwgr%5Ea2eac1e0e6c3b81eb70a5e7334075fc47ef4dd04%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fhume-ai-launches-evi-an-emotionally-intelligent-voice-ai-as-ios-app-powered-by-claude-3-5-sonnet%2F">（詳全文）</a></p> <p><img alt="" src="https://is1-ssl.mzstatic.com/image/thumb/PurpleSource221/v4/bf/7a/11/bf7a11c9-2aac-7f8b-67a9-1bb2b48c4453/cb20bc31-b049-4d47-9282-f23d5ec454c1_iPhone_6.7_-_1290_x_2796_-_01.jpg/460x0w.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Databricks </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI治理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Unity Catalog </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks揭露一款資料與AI治理工具，採開放API和通用介面</strong></span></p> <p>Databricks最近宣布，將於今年第3季發表一款統一、可跨雲和資料平臺的資料與AI治理解決方案Unity Catalog OSS預覽版。Databricks希望藉該工具，來建立AI治理可互通的開放標準。</p> <p>這款Unity Catalog OSS提供通用介面，可支援多種資料各式和運算引擎，還能統一治理表格類資料、非結構化資料、機器學習模型等AI資產。在AI治理部分，這款工具可自動監控模型、診斷錯誤並維護資料和模型品質。該工具也會主動發出警報、自動偵測個人識別資訊（PII）資料、追蹤模型是否漂移，並能解決資料和AI工作流程中的問題。透過開放API和Apache 2.0授權，使用者可免於被廠商綁死，不過，AWS、Google Cloud、微軟、Salesforce、Confluent、dbt Labs、Immuta等多家業者都表示支援Unity Catalog OSS，認為此舉為使用者帶來更大的彈性，還與開源生態系原則相符。<a href="https://code.visualstudio.com/updates/v1_59#_terminal">（詳全文）</a></p> <p><img alt="" src="https://www.databricks.com/en-website-assets/static/32739bd7ae2933506839e61ca82fd214/22724.png" /></p> <p>圖片來源／Meta、Mohamed Baioumy、Luma AI、Anthropic、Hume AI、Databricks</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/163576">資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成</a></strong></p> <p><strong>2. 前OpenAI首席科學家Ilya Sutskever成立新公司，瞄準AI安全性</strong></p> <p><strong>3. Pixel 8、Pixel 8a終於也有Gemini Nano了</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/25 14:37作者王若樸https://www.ithome.com.tw/news/163639
傳聞Amazon也在打造消費者版的聊天機器人Metis
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/amazon-chatgpt-rival-codenamed-metis-2024-6" target="_blank">Business Insider</a>引述消息來源報導，Amazon正在打造適用於一般消費者的聊天機器人，內部代號為Metis，以與OpenAI的ChatGPT競爭。</p> <p>根據報導，Metis所使用的底層模型為比<a href="https://www.ithome.com.tw/news/156411" target="_blank">Titan</a>還強大的Olympus，採用檢索增強生成（Retrieval-Augmented Generation，RAG）技術，而且可同時提供文字及圖像解答，使用者則可透過瀏覽器存取Metis。</p> <p>此外，Amazon期望Metis可扮演AI代理人的角色，藉由其理解、學習及分析大量資料的能力，自動替使用者執行複雜任務，例如金融分析等。</p> <p>據稱Amazon也在整合Metis及數位語音助理Alexa的能力。可以想見的是，當不管是蘋果Siri或是Amazon Alexa都具備強大模型支援時，人們與AI聊天機器人的關係將會更趨緊密。</p> <p>Amazon已於日前推出專供企業使用的聊天機器人<a href="https://www.ithome.com.tw/news/162610" target="_blank">Amazon Q</a>，它有Amazon Q Business及Amazon Q Developer兩種版本，前者可組織企業所使用的各種資料庫以提供精確解答，後者則額外具備開發者能力，每月訂閱費用分別是20美元及25美元。</p> </div></div></div>
2024/6/25 15:06作者陳曉莉https://www.ithome.com.tw/news/163640
微軟Windows安全更新將加入Visual Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從8月起，微軟要讓每月一次的Windows更新強化更多產品，而不再只修補Windows的安全和功能問題。</p> <p>Windows Update是微軟定期發布的軟體更新管道，旨在解決Windows的安全漏洞或功能瑕疵。<a href="https://aka.ms/vs/muupdates" target="_blank">微軟宣布</a>二個月後，由Windows Update發布的Patch Tuesday將加入Visual Studio的軟體更新。</p> <p><a href="https://www.windowslatest.com/2024/06/23/windows-update-will-include-more-microsoft-products-including-visual-studio/" target="_blank">Windows Latest</a>報導，事實上，Windows Update發布的軟體更新也包含微軟其他產品如Office，但名稱改為Microsoft Update。用戶必須自行加入（opt-in）手動設定。方法是到Windows Update，找到「進階選項」>「接收其他微軟產品更新」。開啟這滑桿後，就可以自動接收其他微軟軟體更新。8月起，Microsoft Update（MU）就會加入Visual Studio安全更新。</p> <p>微軟表示，MU設計目的是自動於背景執行，不打擾用戶作業。微軟鼓勵用戶加入這項功能，以確保軟體的安全以及更新。MU會部署給微軟長期服務通道（Long-Term Servicing Channel，LTSC）的支援Visual Studio版本，包括Visual Studio 2022、Visual Studio 2019、和Visual Studio 2017，但不包含Visual Studio預覽版。</p> <p>不過這設定能力只提供給用戶有MU手動控制權的電腦，像是開發人員家中的電腦。如果看到「接收其他微軟產品更新」一區是灰色的，表示公司IT部門關掉了這個選項。</p> <p>若是用戶開啟了MU，但又不想更新Visual Studio，則可以輸入微軟提供的機碼（如下）排除之。</p> <pre> [HKLM\Software\Policies\Microsoft\VisualStudio\Setup] “VSthroughMUUpdatesOptOut” (REG_DWORD) = 1</pre><p>微軟解釋，雖然理解許多用戶希望Windows Update能自動更新所有微軟產品，但是他們相信一部份Visual Studio用戶希望擁有應用層的更新控制權，因而提供了選擇退出（opt-out）的選項。</p> <p>微軟將在6月及7月透過MU發布Visual Studio 2024更新套件的預覽版，已手動加入MU的用戶現在就可以先試用。不過用戶試用還是得再手動輸入機碼（如下），但8月正式釋出後就會自動更新，不需再動作了。更新紀錄也會顯示於MU中。若用戶的版本已是最新版本，MU也不會再部署Visual Studio了。</p> <pre> [HKLM\Software\Policies\Microsoft\VisualStudio\Setup] “PreviewAutomaticUpdates” (REG_DWORD) = 1</pre> </div></div></div>
2024/6/25 11:58作者林妍溱https://www.ithome.com.tw/news/163636
歐盟初步認定蘋果的開發者規定違反DMA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_3433" target="_blank">周一（6/24）指出</a>，它們初步認定蘋果App Store的開發者規定違反了《數位市場法》（Digital Markets Act，DMA），同一天也宣布將針對蘋果的核心技術費（Core Technology Fee）展開新的調查。</p> <p>《數位市場法》現階段指定Alphabet、Amazon、蘋果、字節跳動（ByteDance）、Meta、微軟（Microsoft）與Booking為數位市場的守門人，要求它們旗下的24個核心平臺服務必須符合規範，以免妨礙市場競爭，除了在今年5月新增的Booking之外，所有服務都必須在今年3月7日起遵循DMA的規範。</p> <p>EC在今年3月即針對蘋果、Alphabet/Google和Meta<a href="https://www.ithome.com.tw/news/161946" target="_blank">展開調查</a>，本周初步認定蘋果違反DMA。根據DMA的規定，透過蘋果App Store銷售行動程式的開發者，應該能夠自由告知客戶有其它更便宜的購買選項，同時引導用戶取得這些選項並進行購買。</p> <p>然而，調查卻發現，App Store沒有任何商業條款允許開發者自由地引導消費者，例如不能在應用程式內提供價格資訊，也沒有其它能與用戶溝通以推廣其它優惠購買管道的途徑；App Store中多數可用的商業條款只允許開發者提供連結，卻又對連結施加多項限制；儘管蘋果向藉由App Store獲得新客戶的開發者收費是合理的，但EC認為蘋果所收取的費用超過合理範圍。</p> <p>EC已將初步調查結果交予蘋果，允許蘋果替自己辯護，而最終確認違規的部分則必須在明年的3月25日以前遵循，否則最高可能會被處以年營收10%的罰款，累犯的罰款規模更可達20%。</p> <p>至於EC針對蘋果所啟動的新調查則涉及核心技術費、於iPhone上下載第三方行動程式市集的程序，以及得以於iPhone上提供第三方程式市集的開發者資格認定等。</p> <p>EC指出，蘋果要求第三方應用程式商店與開發者必須替使用者所安裝的每個程式支付0.5歐元的核心技術費，它們將調查此一費用結構是否符合DMA的規範；而蘋果在使用者於iPhone上下載及安裝第三方程式市集時，建立了許多步驟，將調查這些步驟是否過於繁瑣；以及蘋果對可提供第三方程式市集的開發者資格認定，是否過於嚴苛或違反DMA的規範。</p> </div></div></div>
2024/6/25 12:11作者陳曉莉https://www.ithome.com.tw/news/163637
YouTube平臺出現馬斯克Deepfake影片企圖詐騙加密貨幣，吸引3萬人同時收看
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube Live周一出現一則以Deepfake手法製作的馬斯克（Elon Musk）推銷加密貨幣的詐騙影片，一度吸引3萬人同時觀看。</p> <p>科技新聞網站<a href="https://www.engadget.com/deepfakes-of-elon-musk-are-pushing-crypto-giveaway-scams-on-youtube-live-200700886.html" target="_blank">Engadget報導</a>，這則詐騙影片看似馬斯克在特斯拉公司活動中發表演說，馬斯克指示用戶點選造訪某個網站網址，並將手上的比特幣、以太幣與狗狗幣儲存在該網站的電子錢包中。AI版「馬斯克」聲稱，只要用戶完成儲存，就可獲得存入金額2倍等值的加密貨幣作為回饋。</p> <p>報導指出，該影片是由貌似特斯拉的公司帳號發布，並有YouTube藝術家官方頻道（Official Artist Channel）的驗證徽章，媒體相信可能是特斯拉帳號被駭後用以發布Deepfake影片。</p> <p class="rtecenter"><a href="https://www.engadget.com/deepfakes-of-elon-musk-are-pushing-crypto-giveaway-scams-on-youtube-live-200700886.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0625-tesla%20deepfake%20photo%20by%20Engadget.png" style="width: 600px;" /></a></p> <p><a href="http://www.engadget.com/deepfakes-of-elon-musk-are-pushing-crypto-giveaway-scams-on-youtube-live-200700886.html" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Engadget</span></span></a></p> <p>隨著影片AI生成技術愈來愈成熟且易取得，現在的deepfake影片品質已可做到普通人真假難辨，也使詐騙、侵權或政治操弄的防範更加困難。</p> <p>有多少人因這則Deepfake影片而將加密貨幣存入假馬斯克推薦的網頁不得而知，但報導指出，這則影片在遭到檢舉被YouTube下架前，掛在YouTube Live頻道上長達約5個小時，最高有3萬人同時收看。</p> <p>馬斯克的高人氣使其肖像經常被用來製作詐騙訊息，尤其馬斯克也是加密貨幣的倡導者，狗狗幣（Dogecoin）即是在他支持下爆紅。2020年當時還叫推特（Twitter）的平臺遭駭，使比爾蓋茲、馬斯克、華倫巴菲特等多位名人的推特帳號也<a href="https://www.ithome.com.tw/news/138849" target="_blank">曾被用來宣傳</a>比特幣投資詐騙訊息。</p> <p>上周美國知名饒舌歌手50 Cent的X帳號也被駭客劫持，用以<a href="https://www.forbes.com/sites/paultassi/2024/06/17/banana-nears-850000-concurrent-players-approaches-counter-strike-why/" target="_blank">散布</a>兜售假數位貨幣的詐騙訊息。<a href="https://www.yahoo.com/entertainment/50-cent-claims-hackers-made-161335151.html" target="_blank">他本人說</a>，歹徒在30分鐘內賺得3億美元。</p> </div></div></div>
2024/6/25 09:20作者林妍溱https://www.ithome.com.tw/news/163635
傳蘋果計畫開發低價版的Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，蘋果取消第二版混合實境頭戴裝置Vision Pro，而改開發較低價的版本以擴大消費族群，計畫最快2025年底推出。</p> <p>科技網站<a href="https://www.theinformation.com/articles/apple-suspends-work-on-next-high-end-headset-focused-on-releasing-cheaper-model-in-late-2025" target="_blank">The Information報導</a>，由於Vision Pro售價高達3,500美元，超出許多果粉的負擔範圍，蘋果計畫開發一款定價1500美元的平價版頭戴裝置，和Meta Quest競爭，以便有更多觀望不前的果粉得以入手。</p> <p>報導指出，平民版Vision Pro會比第一代更輕，同時蘋果正在苦思如何在不大幅降低使用體驗下，降低成本與售價。消息人士說，蘋果預計2025年底前推出低價版Vision Pro。</p> <p>Vision Pro雖然評價好過微軟HoloLens，但仍面臨相同的銷售挑戰。微軟本月<a href="https://www.ithome.com.tw/news/163306" target="_blank">裁員</a>逾1,000人，影響包括HoloLens在內的硬體部門，可能意謂廢止了HoloLens 3開發計畫。</p> <p>為了增加Vision Pro的銷售，蘋果將把上市地區再擴增到加、澳及歐洲數國。軟體功能也更強化；本月WWDC公布的下一代visionOS 2，則加入了機器學習技術為基礎的空間相片和聲音效果，可將2D照片轉換為具立體視覺效果的相片。visionOS 2並提升Mac虛擬顯示（Virtual Display）功能允許使用者透過Wi-Fi連線將Mac影像顯示在Vision Pro上，提供更高解析度和更大尺寸畫面。此外，旅行模式還增加了火車模式。</p> </div></div></div>
2024/6/25 08:55作者林妍溱https://www.ithome.com.tw/news/163634
【資安日報】6月24日，北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週北美汽車經銷商軟體服務業者CDK Global因網路攻擊而導致相關服務停擺的情況，多家汽車經銷商隨之業務受到影響，客戶被迫向其他經銷商購車而造成營業損失，如今出現新的進展。</p> <p>根據多家媒體報導，攻擊者的身分疑為勒索軟體駭客組織BlackSuit，而且，這些駭客還假冒CDK Global客服打給汽車經銷商，使得情況更加嚴重。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163608"><strong style="font-size: 22px;">癱瘓CDK Global系統的兇手傳出為勒索軟體BlackSuit，駭客索討數千萬美元贖金</strong></a></p> <p>提供軟體即服務（SaaS）給北美逾1,500家汽車經銷商的CDK Global上周遭到網路攻擊，對於這起事故的後續發展，根據Bleeping Computer的報導，造成CDK Global系統停擺的兇手為BlackSuit勒索軟體；彭博社引述消息來源指出，駭客向CDK Global提出數千萬美元的贖金要求，該公司打算支付款項，正與駭客議價。</p> <p>根據外電報導，CDK Global其實是在6月18日晚間得知遭到攻擊，當時僅關閉部分系統，卻在隔天再遭到第二波攻擊，只得關閉全部系統因應。</p> <p>雪上加霜的是，這些駭客還開始偽裝成CDK Global的客服，打電話給汽車經銷商客戶，企圖獲取這些客戶的憑證或更多的機密資訊，讓正在企圖恢復系統及與駭客協商的CDK Global更加焦頭爛額。</p> <p><a href="https://www.ithome.com.tw/news/163629"><strong style="font-size: 22px;">Rust竊資軟體Fickle利用PowerShell繞過使用者帳號控制防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fickle-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fickle-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Fortinet上個月察覺名為Fickle的竊資軟體，駭客以Rust為基礎開發，不僅採用相當複雜的程式碼撰寫，並透過相當靈活的手段來挑選目標下手。</p> <p>研究人員將攻擊行動大致區分成3個階段：傳送作案工具至目標電腦、部署前的準備工作，以及植入經過加殼處理的惡意酬載。</p> <p>究竟駭客如何引誘受害者上鉤，而能夠傳送作案工具，研究人員並未多做說明，但他們提及，對方利用4種管道傳送Fickle，其中有兩種是VBA巨集程式，一種是惡意軟體投放工具（Dropper），另一種則是惡意程式下載工具（Downloader），其餘兩種管道，分別是偽裝成URL捷徑或執行檔的下載器。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.talosintelligence.com/sneakychef-sugarghost-rat/"><strong style="font-size: 20px;">中國駭客組織SneakyChef鎖定亞洲、歐洲、中東、非洲政府機關，散布惡意程式SugarGh0st</strong></a></p> <p></p> <p>◆<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/excobalt-gored-the-hidden-tunnel-technique/"><strong style="font-size: 20px;">俄羅斯駭客組織ExCobalt利用後門程式GoRed攻擊當地政府機關、關鍵基礎設施</strong></a></p> <p></p> <p>◆<a href="https://www.rapid7.com/blog/post/2024/06/17/malvertising-campaign-leads-to-execution-of-oyster-backdoor/"><strong style="font-size: 20px;">後門程式Oyster透過惡意廣告散布，駭客聲稱提供Chrome、Teams等網路應用程式，誘騙使用者上當</strong></a></p> <p></p> <p>◆<a href="https://www.esentire.com/blog/adsexhaust-a-newly-discovered-adware-masquerading-oculus-installer"><strong style="font-size: 20px;">廣告軟體AdsExhaust偽裝成Meta虛擬實境裝置的應用程式散布</strong></a></p> <p></p> <p>◆<a href="https://decoded.avast.io/davidalvarez/new-diamorphine-rootkit-variant-seen-undetected-in-the-wild/"><strong style="font-size: 20px;">Rootkit程式Diamorphine變種鎖定Linux主機而來，可藉由特定套件執行任意作業系統命令</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163626"><strong style="font-size: 22px;">Phoenix UEFI韌體存在高風險漏洞，數百款採用Intel處理器的個人電腦、筆電、伺服器恐受影響</strong></a></p> <p>專精韌體安全的資安業者Eclypsium指出，他們在聯想第7代ThinkPad X1 Carbon、第4代ThinkPad X1 Yoga的UEFI韌體當中，發現名為UEFICanHazBufferOverflow的漏洞（CVE-2024-0762），起因是信賴平臺模組（TPM）組態存在不安全的環境變數，而有可能導致記憶體緩衝區溢位，攻擊者得以執行惡意程式碼，CVSS風險評為7.5分。研究人員指出，這項漏洞出現在處理TPM組態的UEFI程式碼裡，而有可能導致TPM安全晶片的防護效果形同失效。</p> <p>值得留意的是，上述的兩款筆電，都採用了Phoenix SecureCore UEFI韌體，他們向聯想、Phoenix通報此事，經過Phoenix確認後指出，同樣的漏洞也出現在其他使用該廠牌韌體的Intel個人電腦、筆電、伺服器，搭配Core i第7代至14代處理器的電腦都可能曝險，Phoenix在今年4月提供緩解措施，並在5月14日發布資安公告，呼籲用戶向設備製造商進行確認。至於上述兩款筆電的製造商聯想，也在5月針對旗下超過150款設備，提供BIOS更新。</p> <p>由於影響的個人電腦平臺眾多，研究人員指出，恐有數百款桌上型電腦、筆電、伺服器存在相關漏洞。</p> <p><a href="https://www.ithome.com.tw/news/163623"><strong style="font-size: 22px;">75%的Magento電商平臺恐存在重大資安漏洞CosmicSting，若不設法修補，攻擊者有可能取得完整控制權</strong></a></p> <p>資安業者Sansec針對Adobe本月發布的例行更新當中公布的重大漏洞CosmicSting（CVE-2024-34102）提出警告，這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，繼2年前Adobe修補CVE-2022-24086、CVE-2022-24087，Sansec認為，這是該平臺出現最為嚴重的漏洞。</p> <p>就漏洞本身帶來的危害而言，CosmicSting可被攻擊者用來讀取含有密碼等機密資料的檔案，但研究人員指出，若是再結合Linux作業系統的GNU C程式庫（glibc）的iconv功能漏洞CVE-2024-2961，攻擊者就能發動遠端程式碼執行（RCE）攻擊，從而取得電商平臺的完整控制權。值得留意的是，通報此事的研究人員Sergey Temnikov補充說明，在已修補iconv弱點的電商平臺環境下，攻擊者還是有機會藉此存取管理者API。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162972"><strong style="font-size: 22px;">加速落實金融資安行動方案2.0，金管會提供金融上手零信任架構的三步驟</strong></a></p> <p>「資安的改變從被動變主動，從單點控制變價值驅動。」金管會副主委邱淑貞5月16日在2024 CYBERSEC臺灣資安大會金融安全論壇開場時表示，資安過去僅針對個別事件進行處理和回復，隨著金融業大力運用數位化發展業務，資安現在和業務風控結合，成為驅動業務發展的關鍵，也是金融機構前進的重要動力。</p> <p>為了推動金融機構發展資安，金管會在2020年發布金融資安行動方案1.0，兩年後接著發布2.0版，延續1.0版四大策略，增加了14項精進措施，從鼓勵金融機構擁抱零信任架構，強化核心資料保全、舉辦資安長聯繫會議強化，推動重大資安事件的支援演訓等。如今，2.0版發布已過一年半，金管會資訊服務處處長林裕泰在論壇中強調，零信任架構和資安聯防是金管會力推的兩大面向。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163112"><strong style="font-size: 22px;">企業重視資安的文化，不能只靠資安事件來驅動</strong></a></p> <p>幾乎每年在政府機關、上市櫃公司或關鍵基礎設施等領域，都會發生重大資安事件，帶來財務損失、商譽損失、喪失客戶信任度、損害民眾隱私甚至危害國安等負面影響。第一金控副總經理兼資安長劉培文表示，相關的受駭單位都需要花費大量資源，去修復因為發生資安事件所帶來的後果，媒體廣泛報導而引發社會大眾的關注，也迫使企業必須正視資安的議題和風險。</p> <p>「企業的流程與資源決定了企業能做什麼，文化與價值觀則決定了企業不做什麼。」劉培文指出，只有從上到下、真正重視資安的企業，因為已有正確的文化與價值觀，才能夠看到輕微的事件與徵兆出現，或看到外部發生的資安事件後，便能夠在既有的流程與資源下，檢討事件背後的根因，甚至願意投資額外的資源、新的流程等，適度及早因應減降資安風險，形成良性循環以避免未來爆發重大事件。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163574"><strong>【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163551"><strong>【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</strong></a></p> </div></div></div>
2024/6/24 18:14作者周峻佑https://www.ithome.com.tw/news/163630
Rust竊資軟體Fickle利用PowerShell繞過使用者帳號控制防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet上個月察覺<a href="https://www.fortinet.com/blog/threat-research/fickle-stealer-distributed-via-multiple-attack-chain">名為Fickle的竊資軟體</a>，駭客以Rust為基礎開發，不僅採用相當複雜的程式碼撰寫，並透過相當靈活的手段來挑選目標下手。</p> <p>研究人員將攻擊行動大致區分成3個階段：傳送作案工具至目標電腦、部署前的準備工作，以及植入經過加殼處理的惡意酬載。</p> <p>究竟駭客如何引誘受害者上鉤，而能夠傳送作案工具，研究人員並未多做說明，但他們提及，對方利用4種管道傳送Fickle，其中有兩種是VBA巨集程式，一種是惡意軟體投放工具（Dropper），另一種則是惡意程式下載工具（Downloader），其餘兩種管道，分別是偽裝成URL捷徑或執行檔的下載器。</p> <p>攻擊者通常會運用上述管道，傳送PowerShell指令碼到受害電腦，檔名通常是u.ps1或bypass.ps1，這些指令碼定期向攻擊者經營的Telegram機器人，傳送受害電腦資訊。此外，對方也利用PowerShell指令碼繞過使用者帳號控制（UAC）的防護機制。</p> <p>針對透過VBA巨集發動的攻擊，研究人員指出攻擊鏈都是從Word檔案開始。在使用惡意軟體投放工具的攻擊行動裡，電腦會藉由巨集載入XML檔案，而這個檔案埋藏在巨集的UserForm物件標題，一旦觸發，此XML檔案就會下載竊資軟體並執行。</p> <p>而透過VBA惡意程式下載工具的做法，研究人員看到3種型態的下載器，其中一種會直接下載PowerShell指令碼，另一種則是濫用公用程式forfiles.exe，攻擊者這麼做的目的，是要突破目標電腦的cmd使用限制。</p> <p>最後一種則是在使用者啟用巨集的過程中，存取MSHTML檔案，透過特定的URL載入攻擊命令。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fickle-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fickle-1.png" style="width: 580px;" /></a></p> <p>而在竊資軟體的啟動過程裡，惡意酬載會執行一連串的檢查，避免在沙箱或是虛擬機器運作，然後從加密貨幣錢包、Chrome、Firefox等瀏覽器，以及AnyDesk、Discord、FileZilla、Signal、Skype、Steam、Telegram等網路應用程式收集用戶資訊，再者，該竊資軟體也會從特定資料夾收集敏感資料，並使用JSON字串外流資料。</p> <p>特別的是，攻擊者也能透過遠端伺服器指定收集的資料標的，使得竊取資料的範圍變得更加彈性。</p> </div></div></div>
2024/6/24 17:41作者周峻佑https://www.ithome.com.tw/news/163629
Phoenix UEFI韌體存在高風險漏洞，數百款採用Intel處理器的個人電腦、筆電、伺服器恐受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專精韌體安全的資安業者Eclypsium指出，他們在聯想第7代ThinkPad X1 Carbon、第4代ThinkPad X1 Yoga的UEFI韌體當中，發現<a href="https://eclypsium.com/blog/ueficanhazbufferoverflow-widespread-impact-from-vulnerability-in-popular-pc-and-server-firmware/">名為UEFICanHazBufferOverflow的漏洞（CVE-2024-0762）</a>，起因是信賴平臺模組（TPM）組態存在不安全的環境變數，而有可能導致記憶體緩衝區溢位，攻擊者得以執行惡意程式碼，CVSS風險評為7.5分。研究人員指出，這項漏洞出現在處理TPM組態的UEFI程式碼裡，而有可能導致TPM安全晶片的防護效果形同失效。</p> <p>值得留意的是，上述的兩款筆電，都採用了Phoenix SecureCore UEFI韌體，他們向聯想、Phoenix通報此事，經過Phoenix確認後指出，同樣的漏洞也出現在其他使用該廠牌韌體的Intel個人電腦、筆電、伺服器，搭配Core i第7代至14代處理器的電腦都可能曝險，Phoenix在今年4月提供緩解措施，<a href="https://www.phoenix.com/security-notifications/cve-2024-0762/">並在5月14日發布資安公告</a>，呼籲用戶向設備製造商進行確認。至於上述兩款筆電的製造商聯想，也在5月<a href="https://support.lenovo.com/tw/zh/product_security/LEN-158632">針對旗下超過150款設備，提供BIOS更新</a>。</p> <p>由於影響的個人電腦平臺眾多，研究人員指出，恐有數百款桌上型電腦、筆電、伺服器存在相關漏洞。</p> <p>而對於這項漏洞帶來的危害，研究人員指出，攻擊者能在直接接觸到電腦的情況下，透過UEFI韌體得到執行程式碼的權限。事實上，利用這種弱點的後門程式攻擊越來越常見，因為這種手法往往能迴避作業系統及軟體層面相關的防護措施，難以察覺攻擊者的行蹤，所以，能被用於相關攻擊的漏洞，也必定會引起研究人員的注意。</p> <p>為何會有上述可乘之機？研究人員表示，該弱點存在名為系統管理模式（System Management Mode，SMM）的子系統，一旦觸發就會造成記憶體的緩衝區溢位，使得攻擊者有機會覆寫鄰近的記憶體。</p> <p>若是記憶體被寫入正確的資料，攻擊者就有可能提升權限，並能夠執行程式碼，最終在韌體部署Bootkit惡意軟體。</p> </div></div></div>
2024/6/24 16:21作者周峻佑https://www.ithome.com.tw/news/163626
提供支援SAS-4的伺服器連接介面，WD增設高密度硬碟櫃機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_ultrastar_data102_3000xi_lie_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年初發布的<a href="https://www.ithome.com.tw/tech/160679">iThome儲存月報第86期</a>當中，我們介紹儲存介面SAS的最新進展，當中提及2020年問世的<a href="https://www.ithome.com.tw/tags/sas-4">24G SAS（SAS-4）</a>，支援此規格的產品仍相當有限，但今年似乎有了重大轉折，因為市面上開始陸續出現越來越多支援SAS-4的解決方案。</p> <p>舉例來說，WD在4月舉行的美國廣播電視展（NAB Show），首度公開展出第三代硬碟櫃<a href="https://www.westerndigital.com/products/data-center-platforms/ultrastar-data102-3000?sku=Data102-3000">Ultrastar Data102 3000系列</a>，在伺服器連接介面的部分支援SAS-4。至於其餘規格，則與現行Ultrastar Data102所差無幾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data102 3000 progress.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data102%203000%20progress.jpg" style="width: 600px;" /></a></p> <p>在機箱方面，Ultrastar Data102 3000系列採用具有雙備援與熱抽換的電源供應器、I/O模組（IOM）、風扇（4臺），在每一臺機箱背部的底側，WD也此設置兩臺主機擴充模組（Host Expander Modules，HEM），連接位於機箱外部的伺服器（主機），每臺HEM內建6個Mini-SAS HD埠（Ultrastar Data102的這些連接埠設置在I/O模組），整臺機箱最多能以SAS-4介面連接12臺伺服器（2臺HEM總共提供12個SAS-4埠）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data 102 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20102%20overview.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data 102 Rear.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20102%20Rear.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data HEM-SAS Port.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20HEM-SAS%20Port.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data HEM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20HEM.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%203000%20overview.jpg" style="width: 600px;" /></p> <p>關於支援SAS-4與設置內建6個SAS埠的主機擴充模組，除了4月登場的Ultrastar Data102 3000系列，WD另一款<a href="https://www.westerndigital.com/en-il/products/data-center-platforms/ultrastar-data60-3000?sku=data60-3000-one-pt-five-six-pb">Ultrastar Data60 3000系列</a>也將提供這樣的配備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%203000%20features.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data60%203000%20progress.jpg" style="width: 600px;" /></p> <p>根據WD公布的產品相容性文件來看，Ultrastar Data102 3000系列針對24G SAS的部分，可搭配的主機匯流排介面卡（HBA），包括：Broadcom的9600-16e、9600W-16e，以及Microchip的Adaptec HBA 1200-16e、Adaptec SmartRAID Ultra 3254-16e。</p> <p>基本上，這兩款資料中心儲存平臺，均可在4U尺寸機箱置入102臺3.5吋WD資料中心硬碟，可搭配12 Gb SAS或6Gb SATA介面的WD硬碟。若在此安裝CMR類型的硬碟，皆可搭配單臺最大容量24 TB的款式（Ultrastar DC HC580），若安裝SMR類型的硬碟，都能搭配最大容量26 TB的款式（Ultrastar DC HC670）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20Zoning-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar HEM_IOM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20HEM_IOM.jpg" style="width: 600px;" /></a></p> <p>而就單臺機箱而言，兩款JBOD的原始儲存容量最大可達2.65 PB，可透過菊鏈串接4臺機箱，總共提供10.6 PB的空間。</p> <p>關於機箱散熱與抗震機制的部分，它們均採用熱區分隔冷卻技術ArcticFlow，以及基板硬碟插槽懸浮技術IsoVibe，對於硬碟因機箱內部高溫與震動而導致送修的比例，能夠因此減少62％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20Chassis-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20Chassis-2.jpg" style="width: 600px;" /></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/B1MGsgsr9GE?si=a_QMBNMy1uaq-kv5" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>WD Ultrastar Data102 3000系列</strong><br /> ●原廠：WD<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U（深104.8公分）<br /> ●硬碟最大容量：單臺機箱102臺3.5吋硬碟，可用菊鏈串接4臺機箱<br /> ●儲存容量：單臺機箱最大2.65 PB，4臺機箱最大為10.6 PB<br /> ●儲存I/O介面：以24G SAS（SAS-4）連接12臺伺服器，每臺機箱配備主機擴充模組（HEM），每個HEM內建6個Mini-SAS HD埠<br /> ●電源供應器：2臺1600瓦<br /> ●保固：整個平臺提供5年有限保固</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/24 16:32作者李宗翰https://www.ithome.com.tw/review/163604
【資安週報】2024年6月17日到6月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期資安新聞中，在防禦動向上，臺灣有兩篇探討網路防詐作法的消息，一是富邦金公布他們成立偽冒案件應變小組，一是資安院首度發表AI打詐技術的應用。</p> <p>畢竟，社群平臺的網路廣告機制與帳號時常成被詐騙或駭客組織濫用，儘管社群平臺表示有自動化過濾方式攔阻，但仍有相當多詐騙廣告成功刊登，導致民眾只能憑藉自己的見識與經驗來判斷，只是以前就有詐騙，但現在詐騙更猖狂，臺灣企業與政府也不得不積極處理，要透過業者的通報機制進行事後下架。最近有兩則新聞，就是關於企業與政府的最新因應方式。</p> <p>●假冒企業的網路詐騙不斷，是多數企業都面臨的問題，除了提醒用戶小心冒名詐騙，企業還能如何積極因應？富邦金在2024資安大會上提出他們的因應方式，目標是讓集團可以更系統化的機制，去下架偽冒網站和詐騙群組。他們特別制定處理準則，畫分3大步驟，包括定義案件樣態、成立應變小組、建立處理機制。而這半年來，他們已發現近300件偽冒案件，並也點出目前企業面對的防詐困境。</p> <p>●最近資安院公布今年1月開始採用AI技術偵測詐騙廣告的成果與經驗，當中顯示AI偵測出詐騙的準確率可達93%，並發現有97％詐騙廣告只刊登兩天就結束，以及現在詐騙經常用「不是詐騙」或「追回詐騙」來再次誤導民眾。同時數位部認為，要能有效防詐須建立詐騙防治生態系，不論是在聯防、情資交換格式、應變流程、通報平臺上都要有，他們並表示已在規畫政府提供的「打詐通報查詢網」。</p> <p>在資安威脅態勢上，有2則新聞我們認為值得關注，一是網釣簡訊攻擊持續轉向全球不同國家的態勢，一是部分零時差漏洞利用攻擊已悄悄進行多年、最近才被發現的現況，並且都與中國駭客組織有關。</p> <p>（一）國際大規模網釣簡訊攻擊行動的揭露，同樣值得我們注意。這是資安業者Resecurity的警告，他們指出，去年中國駭客組織發動Smishing Triad攻擊行動，已經針對美國、歐洲、阿拉伯聯合大公國下手，最近發現攻擊轉向巴基斯坦，以假冒巴基斯坦郵政局的名義，藉由iMessage或是簡訊，向電信業者的用戶發送惡意訊息，目的是竊取民眾的個資與財務資料。</p> <p>（二）資安業者Mandiant揭露這一兩年有多個已知漏洞被利用，其實是中國駭客組織UNC3886早在2021年就利用的零時差漏洞，但先前並沒有被發現，這些漏洞包括，VMware vCenter的漏洞（CVE-2023-34048，CVE-2022-22948）、FortiOS的漏洞（CVE-2022-41328）、Mware Tools的漏洞（CVE-2023-20867）。這代表對方恐早已滲透並潛伏，因此，Mandiant提供了入侵指標（IOC）供企業識別惡意活動。</p> <p>其他重要威脅態勢包括：有研究人員揭露針對機器學習模型而來的攻擊手法Sleepy Pickle，以及有駭客組織鎖定簡體中文用戶並假借提供VPN等翻牆工具，目的是在使用者電腦植入後門程式Winos 4.0。</p> <p style="margin: 0px;">在資安事件焦點方面，國內外均發生多起網路攻擊事件，涵蓋網釣攻擊、勒索軟體、資料外洩等，我們整理如下：</p> <p>●駭客鎖定曾介紹群暉產品的臉書粉絲專頁，並假冒群暉公司名義針對這些粉專管理者，發出侵害智財權的釣魚信，誘使粉專管理者開啟附件內的惡意軟體。<br /> ●國內老牌製藥公司永信藥品工業遭駭客攻擊，雖然該公司仍只是公開發行公司，但也發布重訊揭露這起資安事件。<br /> ●日本影音共享平臺Niconico、角川書店資料中心遭勒索軟體攻擊，導致服務中斷近一週。<br /> ●晶片大廠AMD傳出機密資料疑似外洩，有駭客在論壇兜售該公司的產品研發資料、客戶資料及員工資訊，並提供部分檔案的螢幕擷圖作為佐證。<br /> ●提供汽車經銷管理SaaS服務的CDK Global傳遭勒索軟體攻擊，該公司先暫時關閉全部系統，已引起經銷商抱怨買車客戶轉向其他汽車經銷商。</p> <p>在漏洞消息方面，近期沒有新的漏洞利用被揭露，主要是針對已知被利用的情況示警，像是有資安業者公布一起資安事故調查案例，發現攻擊者是運用企業棄用的負載平衡設備入侵，由於該設備未補漏洞且暴露在外網，突顯企業設備與漏洞管理上的疏失。</p> <p>至於最新漏洞修補動向上，要注意的包括：華碩公布路由器重大身分驗證繞過漏洞，7款機型受到影響，以及VMware修補vCenter Server的遠端執行漏洞。</p> <p>還有研究人員特別警告，上星期微軟修補Windows內建Wi-Fi驅動程式的高風險漏洞（CVE-2024-30078），特別危險，可能與無線封包處理不當有關，只要攻擊者連上目標設備所在的Wi-Fi網路，就可針對同網路下的設備發動攻擊，且所有Windows版本都受影響。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/163501"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</span></strong></a></p> <p>本月上旬日本知名的影片共享平臺Niconico證實出現服務異常的情況，引起外界關注，然而隨著這起事故的發展，母公司角川集團表示，不光是Niconico，旗下也有其他網站停止運作。</p> <p>但值得留意的是，事隔一週，他們終於承認這是一起勒索軟體攻擊，不過，究竟是那個勒索軟體駭客組織所為，該集團表示，由於這起事故尚在調查，不便公布相關細節。</p> <h3><a href="https://www.ithome.com.tw/news/163529"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</span></strong></a></h3> <p>企業部署但最終並未正式採用、而遺留在網路環境的IT系統，很有可能會遭到攻擊者濫用。</p> <p>最近資安業者Sygnia揭露的一起事故，就是這樣的例子，駭客維持於受害企業活動的管道，就是該公司曾打算建置的災難復原系統當中，所使用的F5 BIG-IP設備。而這些設備不僅直接曝露在網際網路上，還執行存在弱點的作業系統，而讓對方有利用的機會。</p> <p><a href="https://www.ithome.com.tw/news/163551"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</span></strong></a></p> <p>晶片大廠遭駭的情況，最近幾年已有數起，例如：2020年Intel傳出遭駭，20 GB的晶片、韌體、開發工具及程式碼等機密資訊外流；2022年Nvidia遭到駭客組織Lapsus$入侵，偷走1 TB內部資料。如今，有駭客組織聲稱取得AMD內部檔案引起關注。</p> <p>值得留意的是，聲稱握有這批資料的駭客組織，是惡名昭彰的初始入侵管道掮客IntelBroker，在一個月前，這些駭客宣稱手上握有多個組織與公司的的內部資料，例如，歐洲刑警組織（Europol）、五角大厦、英國家具裝修零售業者Home Depot。</p> <p><a href="https://www.ithome.com.tw/news/163574"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</span></strong></a></p> <p>利用尚未公布的零時差漏洞發動攻擊的情況，近期有數則消息揭露，例如：中國駭客利用CVE-2022-42475入侵FortiGate防火牆，並部署難以清除的惡意程式；勒索軟體駭客組織Cardinal於微軟修補CVE-2024-26169的3個月前，就將其用於攻擊行動，但如今中國駭客組織UNC3886，他們一口氣運用4個防火牆、虛擬化平臺的漏洞，以便長時間於受害組織活動。</p> <p><a href="https://www.ithome.com.tw/news/163599"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</span></strong></a></p> <p>利用惡意廣告宣稱提供實用的應用程式，藉此來散布惡意軟體的情況，不時有事故傳出，但最近一起惡意軟體攻擊行動相當特別，因為這些駭客也同時利用Telegram頻道來進行。</p> <p>比較特別的是，由於透過即時通訊軟體的頻道來從事攻擊行動，這些駭客不只散布常見的應用程式，還散布能用於犯罪的Deepfake脫衣軟體，以及變臉、變聲工具。</p> </div></div></div>
2024/6/24 09:47作者羅正漢https://www.ithome.com.tw/news/163603
75%的Magento電商平臺恐存在重大資安漏洞CosmicSting，若不設法修補，攻擊者有可能取得完整控制權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sansec針對<a href="https://www.ithome.com.tw/news/163422">Adobe本月發布的例行更新</a>當中公布的重大漏洞CosmicSting（CVE-2024-34102）<a href="https://sansec.io/research/cosmicsting">提出警告</a>，這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，繼2年前Adobe修補CVE-2022-24086、CVE-2022-24087，Sansec認為，這是該平臺出現最為嚴重的漏洞。</p> <p>就漏洞本身帶來的危害而言，CosmicSting可被攻擊者用來讀取含有密碼等機密資料的檔案，但研究人員指出，若是再結合Linux作業系統的GNU C程式庫（glibc）的iconv功能漏洞CVE-2024-2961，攻擊者就能發動遠端程式碼執行（RCE）攻擊，從而取得電商平臺的完整控制權。</p> <p>值得留意的是，由於利用這樣漏洞的過程無需使用者互動，攻擊者可將相關流程自動化，很有可能演變為全球大規模攻擊。</p> <p>然而，在Adobe發布更新程式以來，僅有約25%電商網站套用，換言之，採用這種電商平臺的環境恐有75%的比例，曝露於CosmicSting帶來的資安風險。針對上述更新緩慢的原因，研究人員認為網站管理員不願及時安裝更新，主要在於Adobe自推出2.4.7版之後，因應支付卡產業資料安全標準（PCI DSS）的要求，導入了內容安全政策（Content Security Policy，CSP）及子資源完整性（Subresource Integrity，SRI）強制落實的要求，並移植到舊版分支，而使得新版軟體有可能導致結帳流程採用的外部JavaScript指令碼無法正常運作。</p> <p>資安業者Sansec強調，攻擊者可將CosmicSting與CVE-2024-2961搭配，造成強大的破壞力，但通報此事的<a href="https://github.com/spacewasp/public_docs/blob/main/CVE-2024-34102.md">研究人員Sergey Temnikov補充說明</a>，在已修補iconv弱點的電商平臺環境下，攻擊者還是有機會藉此存取管理者API。</p> </div></div></div>
2024/6/24 12:42作者周峻佑https://www.ithome.com.tw/news/163623
癱瘓CDK Global系統的兇手為BlackSuit勒索軟體，提出高達數千萬美元的贖金要求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供軟體即服務（SaaS）予北美逾1,500家汽車經銷商的CDK Global上周<a href="https://www.ithome.com.tw/news/163563" target="_blank">遭到網路攻擊</a>，根據<a href="https://www.bleepingcomputer.com/news/security/cdk-global-outage-caused-by-blacksuit-ransomware-attack/" target="_blank">Bleeping Computer</a>的報導，造成CDK Global系統停擺的兇手為BlackSuit勒索軟體，而<a href="https://www.bloomberg.com/news/articles/2024-06-21/cdk-hackers-want-millions-in-ransom-to-end-car-dealership-outage" target="_blank">彭博社</a>（Bloomberg）則引述消息來源指出，駭客向CDK Global提出數千萬美元的贖金要求，CDK Global打算要支付款項，正與駭客議價中。</p> <p>CDK Global的核心產品為汽車經銷商的管理系統，主宰著經銷商每天的例行性業務，從銷售、服務、零件、庫存、合約到貸款都存放在CDK Global所提供的SaaS服務中。</p> <p>根據外電報導，CDK Global其實是在上周二（6/18）晚上便得知遭到攻擊，當時僅關閉部分系統以便因應，卻在隔天再遭到第二波攻擊，只得關閉全部系統。</p> <p>Bleeping Computer與彭博社都是透過消息來源得知CDK Global的現況，包括始作俑者為BlackSuit勒索軟體集團、要求數千萬美元的贖金，以及CDK Global傾向於支付贖金等。</p> <p>根據<a href="https://www.sentinelone.com/anthology/blacksuit/" target="_blank">SentinelOne</a>的分析，BlackSuit很可能是源自不管是技術或有效酬載都很類似的Royal勒索軟體，它現身於2023年4月，並未延攬攻擊的合作夥伴或提供勒索軟體即服務（RaaS），而是獨立運作，主要攻擊企業組織，鎖定Windows及Linux平臺，鎖定的目標涵蓋醫療保健、教育、IT、政府、零售及製造等領域。</p> <p>BlackSuit採取雙管齊下的攻擊手法，在加密並竊取被害組織的資料之餘，還設立一個用來公布被駭組織機密資料的網站，以用來勒索被害者。</p> <p>此外，駭客還開始打電話予CDK Global的汽車經銷商客戶，偽裝成CDK Global的客服，企圖獲取這些客戶的憑證或更多的機密資訊，讓正在企圖恢復系統及與駭客協商的CDK Global更加焦頭爛額，警告客戶不要相信陌生的客服人員。</p> <p>身為CDK Global客戶的汽車集團<a href="https://www.sec.gov/Archives/edgar/data/1019849/000101984924000089/pag-20240619.htm" target="_blank">Penske Automotive Group</a>及<a href="https://ir.sonicautomotive.com/sec-filings/all-sec-filings##document-3509-0001043509-24-000059" target="_blank">Sonic Automotive</a>都已向美國證券交易委員會（SEC）證實受到波及，只是影響範圍不一。</p> </div></div></div>
2024/6/24 11:19作者陳曉莉https://www.ithome.com.tw/news/163608
OpenAI買下即時分析資料庫業者Rockset
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://rockset.com/blog/openai-acquires-rockset/" target="_blank">OpenAI上周宣布</a>，已買下即時分析資料庫業者Rockset，並將把Rockset技術直接整合到OpenAI的產品中，雙方並未揭露交易金額。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-rockset-openai-image%20by%20rockset-500.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Rockset</span></span></p> <p>Rockset是由兩位前臉書工程師Venkat Venkataramani、Tudor Bosman，再加上資料架構師Dhruba Borthakur於2016年所創立，定位為即時索引資料庫，允許開發者直接於半結構化的資料上利用SQL查詢來建置API，以快速從資料中檢索資訊，提供給應用程式使用，讓企業得以打造雲端規模的資料應用程式。Rockset迄今對外募集的資金已超過1億美元。</p> <p>OpenAI指出，Rockset令使用者、開發人員及企業在使用AI產品或建置應用程式時，能夠利用自己的資料並存取即時資訊，在Rockset團隊加入OpenAI之後，OpenAI將利用Rockset的技術來支援各種產品的檢索基礎設施，將資料轉換成可操作的情報。</p> <p>Rockset共同創辦人暨執行長<a href="https://rockset.com/blog/openai-acquires-rockset/" target="_blank">Venkataramani表示</a>，該公司的願景就是從根本上改變建置資料驅動應用程式的方法，他們充分利用雲端的優勢開發了搜尋與分析資料庫，而消弭了這些應用程式所需之資料基礎設施的複雜性。</p> <p>未來Rockset將成為OpenAI的一部分，主要協助OpenAI解決困難的資料庫問題。</p> <p>值得注意的是，之後Rockset將不再對外提供服務，即日起不再接受試用或長約客戶，未訂定長期合約的每月用戶必須在9月30日以前遷出，Rockset亦將協助長約客戶遷出該平臺，只是時間較為彈性。</p> </div></div></div>
2024/6/24 12:00作者陳曉莉https://www.ithome.com.tw/news/163610
Martech雙周報第56期：Google強化CTV廣告業務，開始將2億臺Google TV作為一個廣告通路經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0609~0622)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告 #電視作業系統</span></span></strong><br /> <strong>Google終於正式進軍CTV行銷，開始將2億臺Google TV作為一個廣告通路經營</strong></p> <p>聯網電視（CTV）廣告通常收費較一般網路影片平臺高，因為CTV內容通常製作規格較高，觀眾注意力也較集中。一直以來，Google都於Youtube及其他合作影片聯播網來投放廣告，並且聲稱旗下影音串流平臺Youtube是一種CTV──因為許多家庭會在電視上看Youtube。</p> <p>不過，隨著越來越多電視作業系統商開始經營CTV廣告，他們也開始將搭載自家電視OS Chromes OS的電視作為一種正式廣告通路分類，來販售CTV廣告。近日，<a href="https://blog.google/products/ads-commerce/meet-the-google-tv-network/">他們開始營運Google TV聯播網廣告</a>，於Google TV內建頻道及其他合作影音串流App中投放影音廣告。目前廣告格式有15秒不可跳過的廣告及6秒影片開場前廣告。</p> <p>Google表示，Google TV廣告可以觸及的受眾包括20億個月活躍Google TV及其他Android TV裝置。這類型廣告目前可以在Google Ads和Google Display & Video 360兩個平臺投放，目前只支援美國市場。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告聯播網 #機上廣告 #旅行數據</span></span></strong><br /> <strong>美國聯合航空以旅遊數據為基礎推出廣告聯播網服務</strong></p> <p>百業皆推出聯播網的時代下，航空業也加入戰局。根據美聯航數據，他們App每個月有近1億次工作階段（Session），且乘客平均飛行時間為3.5小時。<a href="https://www.prnewswire.com/news-releases/united-launches-airline-industrys-first-media-network-302167035.html">為了嘗試變現這些注意力，他們推出廣告聯播網服務</a>，利用顧客旅遊數據來支援數位行銷，在自家App及飛機上娛樂螢幕投放個人化廣告。</p> <p>與零售媒體聯播網數據做法類似，美聯航會將自家顧客數據轉化為去識別化的分眾，讓廣告主選擇投放對象。美聯航也提供了管道，供顧客申請停止接收個人化廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客授權管理 #資料刪除請求</span></span></strong><br /> <strong>IAB推出網路使用者資料刪除請求框架，制定個資紀錄刪除請求的接收、驗證及回應建議做法</strong></p> <p><a href="https://iabtechlab.com/iab-tech-lab-launches-second-public-comment-period-for-data-deletion-request-framework/">美國互動廣告協會（IAB）推出資料刪除請求框架</a>（Data Deletion Request Framework），制定網路使用者請求刪除個資時，資料持有者從接收、驗證到回應結果的方法。此框架採取JSON Web Token作為通訊標準，來確定請求者身分真實性、確保請求內容未經竄改、產生請求處理結果。</p> <p>目前，業界沒有統一處理個資刪除請求的做法。由IAB制定一個符合GDPR及美國多州隱私法規的個資資料刪除請求框架，有望降低歐美及許多跨國企業在個資使用方面的法遵門檻。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #社群媒體行銷</span></span></strong><br /> <strong>Anymind Group推出GenAI網紅搜尋功能，可用自然語言條件或品牌圖片來尋找相近風格創作者來洽談行銷合作</strong></p> <p>行銷及零售科技廠商Anymind Group推出生成式AI網紅搜尋功能，在原本以機器學習技術來搜尋相似網紅推薦功能的基礎上，加入生成式AI技術。廣告主尋找潛在合作網紅時，可以利用自然語言及圖片輸入兩種方法來輸入需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/anytag.jpg" style="width: 600px;" /></p> <p>接收自然語言輸入時，此功能可以接受網紅特徵描述，同時考慮廣告主自身情況來推薦合作對象。例如，廣告主可以輸入「請推薦我公司還沒合作過的臺灣美妝類網紅」。AI也會根據情況進一步追問更多條件。第二則是圖片輸入，廣告主可以上傳商品或品牌圖片，來搜尋照片有類似風格、色調、拍照角度和主題的網紅。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech應用案例 #AI行銷應用案例</span></span></strong><br /> <strong>Verizon如何利用業務流程管理科技及內容管理科技來強化數位行銷</strong></p> <p>近期一場活動中，美國大型電信商Verizon的Martech策略副主任Tommi Marsans揭露了他們如何利用Pega業務流程管理解決方案及Adobe的內容管理產品線，用類似於B2C零售業的模式進行B2B行銷。</p> <p>首先，在B2B行銷領域中，Verizon一大挑戰是決策考量點過於複雜。Tommi Marsans說明，Verizon企業客戶非常多樣化，從中小型企業到巨型跨國企業都有。Verizon自己還有近3,000種服務方案及上百種裝置和周邊商品。「雖然有無數種方案和商品組合，但業務腦中通常只會有6至7種方案組合，導致不同類型的企業客戶都拿到類似提案。」Tommi Marsans坦言。</p> <p>於是，Verizon導入了Pega的客戶關係管理及業務流程管理解決方案，來綜合分析客戶特性及自家商品特性，並由系統推薦出適合客戶的方案組合。他們後來還延伸此技術應用場景，用於客戶教育與溝通等環節。</p> <p>不只如此，他們還並用Pega與Adobe的內容管理產品線，由前者提供決策，再由後者來呈現網站的行銷內容。例如，根據進站企業客戶類型來調整呈現的圖片、文案，以及根據企業客戶方案和裝置，來調整推薦商品內容。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權法規 #第三方Cookie退場 #隱私意識 #圍牆花園</span></span></strong><br /> <strong>不敵數據隱私環境變動，甲骨文撤出Adtech市場</strong></p> <p><a href="https://www.fool.com/earnings/call-transcripts/2024/06/11/oracle-orcl-q4-2024-earnings-call-transcript/">近期法說會中</a>，甲骨文執行長Safra Catz宣布，將終止營運廣告科技相關業務。</p> <p>甲骨文廣告科技事業去年營收衰退3億美元，且歷年來不斷因隱私環境變化而受到衝擊。舉例來說，GDPR上線使他們先後在歐盟及全球終止支援AddThis跨網站行銷功能、第三方Cookie退場使BlueKai等DMP類產品變得無用、Google和Meta等圍牆花園逐漸限制自家數據給第三方廠商使用的彈性，以及消費者隱私意識提升使他們更常拒絕企業蒐集自身個資等。這也反映出近年數據及隱私相關法規和做法的變動，對廣告科技業界帶來的衝擊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路廣告追蹤 #廣告ID框架</span></span></strong><br /> <strong>IAB推出廣告創意ID框架來支援跨通路行銷素材辨認，強化廣告主管理整體行銷活動能力</strong> </p> <p>美國互動廣告協會（IAB）<a href="https://iabtechlab.com/announcing-the-ad-creative-id-framework-to-improve-connected-tv-advertising-experience/">公告廣告創意ID框架（ACIF，Ad Creative ID Framework）</a>，主旨是利用科技來辨認出投放於不同通路的廣告素材，以強化廣告曝光頻率控制、品牌安全風險管理、跨平臺行銷成效追蹤與規畫等。</p> <p>為了支援ACIF，IAB提出了一套格式來統一不同廣告ID資料來源的元數據，並提供API讓廠商存取、利用相關數據。IAB也會維護一個ACIF支援度目錄，給業界查詢哪些廠商的Martech和廣告版位支援ACIF。</p> <p>兩個業界大型廠商，廣告商Extreme Reach跟跨平臺廣告追蹤技術商AD-ID，已經開始合作，<a href="https://www.businesswire.com/news/home/20240611224716/en/XR-and-AD-ID-Enable-Ad-Creative-ID-Framework-to-Achieve-Cross-Platform-Advertising-Nirvana-for-the-Entire-TV-ecosystem">由後者遵循ACIF框架來追蹤前者在不同通路中投放的廣告。</a></p> <p><strong>更多Martech動態：</strong></p> <p>1.<a href="https://www.reddit.com/r/Instagram/comments/1d5r0lq/new_garbage_feature_is_being_tested"> Instagram開始測試新廣告型態「廣告休息時間」，強制用戶觀看廣告</a></p> <p>2. <a href="https://www.twilio.com/en-us/press/releases/linked-audiences">傳統CDP從可組式CDP取經，Twilio CDP新增與數據倉儲數據直接連結且查找訊息不須寫SQL的功能</a></p> <p>3.<a href="https://www.ana.net/content/show/id/pr-2024-06-cmm"> 美國國家廣告商聯合會（ANA）設立專職營利單位來負責打造及經營跨通路廣告成效測量科技</a></p> <p>資料來源：iThome整理，2024年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Anymind Group, Google</p> <p></p> </div></div></div>
2024/6/24 10:21作者郭又華https://www.ithome.com.tw/news/163601