iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】7月15日，美國電信業者AT&T針對今年4月的資安事故通報調查結果，客戶通話及簡訊記錄遭到外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國電信業者AT&T再傳資料外洩事故而受到外界關注，原因是他們在交給美國證券交易委員會（SEC）的8-K文件當中，提及對方透過第三方雲端平臺複製行動通話及簡訊互動記錄，而且，幾乎所有用戶都受到影響。</p> <p>值得留意的是，文件當中提及的第三方雲端平臺，外界直指就是Snowflake，5月發生的Ticketmaster資料外洩事故也與該業者有所關連。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163926"><strong style="font-size: 22px;">幾乎所有AT&T無線用戶的通話及簡訊記錄都遭到外洩</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3DuS9XKstw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/3DuS9XKstw.png" style="width: 300px; float: right;" /></a></p> <p>上周AT&T提交給美國證券交易委員會（SEC）的8-K文件，當中指出駭客在今年4月存取了第三方雲端平臺的AT&T工作區，並複製了內含AT&T客戶通話及簡訊互動的記錄，且幾乎所有的AT&T行動客戶都遭到波及。根據AT&T今年第一季的財報，該公司的，行動訂閱用戶數為1.145億名。</p> <p>根據AT&T於文件中的說明，他們是在4月19日發現有駭客宣稱已取得該公司的通話紀錄，於是立刻啟動事件回應流程，調查發現，駭客是在4月14日至4月25日間，非法存取位於第三方雲端平臺上的AT&T工作區，複製並轉移了包含AT&T客戶通話及簡訊互動紀錄的文件。</p> <p>值得留意的是，雖然該公司並未透露第三方雲端服務供應商的名稱，但根據外電報導，該服務供應商為Snowflake。Snowflake專門提供雲端儲存及分析服務，為美國紐約股市的上市公司，在Ticketmaster於5月傳出資料外洩之後，Snowflake股價已從160美元左右下滑至135美元。</p> <p><a href="https://www.ithome.com.tw/news/163911"><strong style="font-size: 22px;">蘋果警告傭兵間諜軟體鎖定98國iPhone用戶</strong></a></p> <p>根據科技新聞網站Techcrunch報導，蘋果對98國iPhone用戶發布威脅通知，警告部分用戶的Apple帳號遭到傭兵間諜軟體（mercenary spyware）攻擊。</p> <p>該公司偵測到用戶遭到傭兵間諜軟體鎖定，此軟體試圖遠端存取和Apple ID -XXXX關聯的iPhone。用戶可能基於其身分或從事的工作而被這些軟體鎖定。蘋果說，雖然無法100%確定，但該公司對其偵測結果具高度信心，並請用戶不要輕忽。而這並非該公司首度發出此類通報，去年10月、今年4月，該公司也針對這類威脅發出警告。</p> <p><a href="https://www.ithome.com.tw/news/163917"><strong style="font-size: 22px;">中國駭客APT41使用惡意程式DodgeBox於受害電腦載入MoonWalk後門，過程中採用罕見迴避偵測手法</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dodgebox_figure_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dodgebox_figure_1.png" style="width: 300px; float: right;" /></a>隨著全球對於資訊安全的重視，駭客也使用過往極為罕見的手法來迴避相關防禦機制，使得防守方應對相關威脅難度大幅提升。</p> <p>例如，資安業者Zscaler在今年4月發現過往未曾公開的惡意程式下載工具DodgeBox，就是這樣的情形。研究人員進一步分析發現，此惡意軟體與另一支中國駭客組織APT41使用的惡意程式StealthVector的變種有相似之處，DodgeBox的主要功能，是用來在受害電腦下載名為MoonWalk的後門程式。此後門程式透過Google Drive進行C2通訊。</p> <p>研究人員指出，DodgeBox採用多種迴避偵測的手法，包括：呼叫記憶體堆疊欺騙（Call Stack Spoofing）、DLL側載、DLL處理程序挖空，以及環境護軌（Environmental Guardrails）。MoonWalk具備進階功能，像是濫用Google Drvie作為C2通道，以及透過Windows Fibers迴避防毒軟體及EDR的偵測。</p> <p><a href="https://www.ithome.com.tw/news/163930"><strong style="font-size: 22px;">日本針對北韓駭客Kimsuky的攻擊行動提出警告</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kimsuky_flow_en-800wri.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kimsuky_flow_en-800wri.png" style="width: 300px; float: right;" /></a>北韓駭客組織Kimsuky近期的動作頻頻，不時傳出發動網路攻擊的情況，其中有不少是針對韓國而來，但鄰近的日本也是被鎖定的目標，他們國內企業組織最近傳出也遭到這些駭客攻擊的消息。</p> <p>7月8日日本電腦緊急應變團隊暨協調中心（JPCERT/CC）發布資安公告，表示在今年3月偵測到北韓駭客組織Kimsuky的攻擊行動，並公布對方的作案手法，供當地的企業組織作為防禦相關攻擊的參考。</p> <p>在當時發生的資安事故，他們看到這些駭客假冒資安機構或是外交組織，對目標企業或組織寄送電子郵件，內含ZIP壓縮檔附件，當中帶有可執行檔與Word文件（DOCX）檔案，值得留意的是，為了埋藏檔案實際的附檔名，對方在檔名加入大量空格。使用者若有不慎開啟執行檔，電腦就有可能遭到感染。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/dns-hijacks-target-crypto-platforms-registered-with-squarespace/"><strong style="font-size: 20px;">使用Squarespace服務的加密貨幣業者遭遇DNS挾持攻擊，駭客將使用者重新導向釣魚網站</strong></a></p> <p></p> <p>◆<a href="https://www.group-ib.com/blog/estate-ransomware/"><strong style="font-size: 20px;">勒索軟體Akira、Estate利用Veeam去年修補的備份軟體漏洞從事攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://hackread.com/disneys-internal-slack-breached-nullbulge-leak-data/"><strong style="font-size: 20px;">迪士尼驚傳資料外洩，駭客組織NullBulge聲稱竊得逾1 TB內部資料</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163925"><strong style="font-size: 22px;">郵件傳輸代理伺服器Exim存在重大漏洞，若不處理攻擊者可用來寄送惡意附件</strong></a></p> <p>郵件傳輸代理（mail transfer agent，MTA）平臺軟體供應商Exim近期發布軟體更新Exim 4.98版，修補可讓攻擊者發送帶有惡意附件的信件給用戶的重大漏洞CVE-2024-39929。</p> <p>本項漏洞CVSS 3.1的風險值達到9.1，影響Exim包含4.97.1在內及之前版本。通報此事的資安業者Censys估計，截自7月10日，有156萬臺對外連網的Exim伺服器執行4.97.1以前版本。而且他們也在網路上發現有人公布概念驗證（PoC）程式，不過尚未偵測遭到惡意濫用的情形。</p> <p><a href="https://www.ithome.com.tw/news/163918"><strong style="font-size: 22px;">GitLab發布社群版及企業版更新，修補能讓任意用戶執行自動化工作Pipeline的重大漏洞</strong></a></p> <p>7月10日GitLab發布社群版（CCE）及企業版（EE）更新17.1.2、17.0.4、16.11.6版，當中總共修補6項漏洞，最值得留意的是被列為重大層級風險的CVE-2024-6385。</p> <p>這項漏洞影響15.8至16.11.5版、17.0至17.0.3版，以及17.1至17.1.3版GitLab，一旦攻擊者利用這項漏洞，就有機會在特定情況下，冒用任意使用者身分執行Pipeline工作流程，CVSS風險評為9.6分。值得留意的是，兩周前GitLab也修補類似的漏洞CVE-2024-5655，同樣能導致攻擊者冒用他人身分，執行Pipeline工作流程，危險程度也同樣達到CVSS評分9.6。</p> <p><a href="https://www.ithome.com.tw/news/163919"><strong style="font-size: 22px;">Palo Alto Networks修補移轉工具Expedition缺乏身分驗證的重大漏洞</strong></a></p> <p>7月11日資安業者Palo Alto Networks針對旗下產品發布資安公告，總共修補5項漏洞，當中包含身分驗證繞過的重大漏洞而特別值得留意。</p> <p>這項被列為重大層級的漏洞是CVE-2024-5910，存在於組態移轉工具Expedition，這項漏洞發生的原因在於，部分重要功能缺乏身分驗證機制，攻擊者有可能透過網際網路存取這套系統，利用漏洞挾持Expedition管理員帳號，CVSS風險評分達到9.3，該公司發布1.2.92版Expedition予以修補。</p> <p>若是IT人員無法即時套用更新，Palo Alto Networks也提出這項漏洞的臨時緩解措施，那就是針對透過網路存取Expedition進行管制，開放僅有得到授權的使用者、電腦、網域環境能夠存取。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/netgear-warns-users-to-patch-authentication-bypass-xss-router-flaws/"><strong style="font-size: 20px;">Netgear修補路由器身分驗證繞過漏洞、XSS漏洞</strong></a></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/163933"><strong style="font-size: 20px;">組臺灣資安大聯盟，串連百餘家資安業者拼資安外交</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163909"><strong>【7月12日】研究人員揭露鎖定巴黎奧運購票民眾的詐欺駭客組織Ticket Heist，並警告接下來的歐洲盃足球賽也被鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163900"><strong>【7月11日】富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163875"><strong>【7月10日】微軟發布本月例行更新，修補超過140個漏洞，其中包含4個零時差漏洞引起關注</strong></a></p> </div></div></div>
2024/7/15 15:32作者周峻佑https://www.ithome.com.tw/news/163931
日本針對北韓駭客Kimsuky的攻擊行動提出警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客組織Kimsuky近期的動作頻頻，不時傳出發動網路攻擊的情況，其中有不少是針對韓國而來，但鄰近的日本也是被鎖定的目標，他們國內企業組織最近傳出也遭到這些駭客攻擊的消息。</p> <p>7月8日日本電腦緊急應變團隊暨協調中心（JPCERT/CC）發布資安公告，表示<a href="https://blogs.jpcert.or.jp/en/2024/07/attack-activities-by-kimsuky-targeting-japanese-organizations.html">在今年3月偵測到北韓駭客組織Kimsuky的攻擊行動</a>，並公布對方的作案手法，供當地的企業組織作為防禦相關攻擊的參考。</p> <p>在當時發生的資安事故，他們看到這些駭客假冒資安機構或是外交組織，對目標企業或組織寄送電子郵件，內含ZIP壓縮檔附件，當中帶有可執行檔與Word文件（DOCX）檔案，值得留意的是，為了埋藏檔案實際的附檔名，對方在檔名加入大量空格。</p> <p>一旦使用者啟動可執行檔，電腦就會下載VBS指令碼並透過wscript.exe執行，接著從外部下載PowerShell指令碼，使用指定參數呼叫名為PokDoc的功能，從而收集受害電腦的系統資訊、處理程序名單、網路資訊、使用者帳號資訊，以及特定使用者資料夾的檔案清單。JPCERT/CC認為，對方收集這些資料的目的，主要是避免惡意程式在研究人員的測試環境或沙箱運作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kimsuky_flow_en-800wri.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kimsuky_flow_en-800wri.png" style="width: 580px;" /></a></p> <p>在完成上述作業後，駭客便會建立新的VBS指令碼，下載另一個用來側錄鍵盤輸入的內容、收集剪貼簿資訊的PowerShell指令碼，當這個指令碼執行這兩種資料的收集後，便會傳送給攻擊者。</p> <p>而對於這些駭客的攻擊行動，JPCERT/CC也引用<a href="https://asec.ahnlab.com/en/65245/">5月初資安業者AhnLab揭露的資安事故</a>，認為對方也有可能會利用CHM格式的惡意程式來對日本的企業、組織發動攻擊。</p> </div></div></div>
2024/7/15 14:52作者周峻佑https://www.ithome.com.tw/news/163930
中國駭客APT41使用惡意程式DodgeBox於受害電腦載入MoonWalk後門，過程中採用罕見迴避偵測手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球對於資訊安全的重視，駭客也使用過往極為罕見的手法來迴避相關防禦機制，使得防守方應對相關威脅難度大幅提升。</p> <p>例如，資安業者Zscaler在今年4月發現過往未曾公開的<a href="https://www.zscaler.com/blogs/security-research/dodgebox-deep-dive-updated-arsenal-apt41-part-1">惡意程式下載工具DodgeBox</a>，就是這樣的情形。研究人員進一步分析發現，此惡意軟體與另一支中國駭客組織APT41使用的惡意程式StealthVector的變種有相似之處，DodgeBox的主要功能，是用來在受害電腦下載名為MoonWalk的後門程式。此後門程式透過Google Drive進行C2通訊。</p> <p>而對於駭客發起攻擊的過程，研究人員並未說明對方如何散布DodgeBox，但指出執行的方法是利用公用程式處理程序taskhost.exe側載惡意DLL檔案進行。接著，DodgeBox針對經過加密處理的DAT檔案進行解密，產生第二階段酬載MoonWalk。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dodgebox_figure_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dodgebox_figure_1.png" style="width: 580px;" /></a></p> <p>研究人員指出，DodgeBox採用多種迴避偵測的手法，包括：呼叫記憶體堆疊欺騙（Call Stack Spoofing）、DLL側載、DLL處理程序挖空，以及<a href="https://attack.mitre.org/techniques/T1480/001/">環境護軌（Environmental Guardrails）</a>。他們認為，駭客結合上述的手法，而能有效降低被資安防護系統偵測到的機會。</p> <p>他們看到有人從臺灣及泰國上傳DodgeBox到惡意程式檢測平臺VirusTotal，而APT41過往在針對東南亞地區的攻擊行動裡使用StealthVector，兩款惡意程式在攻擊的地理位置產生關聯。</p> <p>這個惡意程式下載工具以C語言打造而成，研究人員認為應獨立於StealthVector視為另一個惡意程式的主要原因在於，DodgeBox採用了獨特的演算法，以及新的技術。</p> <p>駭客執行這個惡意程式的方式，不意外地採用相當常見的DLL側載手法，但他們用來載入的可執行檔，都是來自資安業者開發的防護元件，他們看到其中一種是來自韓國資安業者AhnLab開發，另一個則是Sophos旗下的沙箱解決方案業者Sandboxie製作。</p> <p>一旦這個惡意軟體成功載入執行，電腦就會先使用AES-CFB演算法解密組態設定，然後進行環境檢查，確保使用正確的參數執行，並解析特定API進行環境設定，最終比對MAC位址、電腦名稱、使用者名稱，避免在資安研究人員的測試環境運作。</p> <p>在完成上述步驟後，DodgeBox才會解密有效酬載，並利用指定金鑰重新加密，最終透過DLL處理程序挖空手法載入有效酬載。研究人員指出，駭客加密目的，是讓有效酬載無法在受害電腦以外的地方執行。</p> <p>比較特別的是，這裡對方用來載入有效酬載的DLL檔案，是從System32隨機挑選、複製後再濫用。</p> <p>在前述的執行過程裡，駭客在DodgeBox運作過程當中，還運用了另一項攻擊手法呼叫記憶體堆疊欺騙，這麼做的目的是掩蓋API呼叫的來源，讓這些惡意程式的呼叫看起來像來自合法執行檔，使得防毒軟體及EDR系統偵測攻擊行動更加困難。</p> <p>而針對駭客使用的有效酬載MoonWalk，研究人員發現，駭客使用了許多與DodgeBox相同的迴避偵測手法，原因是他們使用了共通的開發套件打造兩者，但不同的是，<a href="https://www.zscaler.com/blogs/security-research/moonwalk-deep-dive-updated-arsenal-apt41-part-2">MoonWalk具備進階功能</a>，像是濫用Google Drvie作為C2通道，以及透過Windows Fibers迴避防毒軟體及EDR的偵測。</p> <p>此外，該後門程式採用模組化設計，使得攻擊者能輕易對於不同情境調整功能，或是加入新的能力。</p> <p>究竟這個後門的運作方式為何？一旦MoonWalk於受害電腦的記憶體內載入，就會解密C2、Utility兩項內嵌模組並啟動，然後建立C2連線。</p> <p>不過，研究人員指出MoonWalk有多項特別的運作方式，首先，在初始化的時候會卸除載入工具DodgeBox，並使用<a href="https://learn.microsoft.com/en-us/windows/win32/api/winternl/ns-winternl-peb">處理程式環境區塊（Process Environment Block，PEB）</a>解除兩者之間的連結，這麼做的目的主要是混淆來源，但也減少MoonWalk的足跡。</p> <p>接著，此後門程式會初始化用於管控Windows Fibers的全域架構。</p> <p>什麼是Windows Fibers？研究人員指出，<a href="https://learn.microsoft.com/zh-tw/windows/win32/procthread/fibers">這是輕量級的處理程序機制</a>，與一般處理程序最大的不同在於，Fiber處理程序由應用程式管理、調度，而非由作業系統管控，使得開發者能對於特定工作負載調整應用程式效能，但這種機制較為複雜，加上推出後電腦硬體效能也顯著成長，使得Fiber處理程序並未受到廣泛採用。</p> <p>隨著近年來全球資安威脅加劇，這種鮮為人知的功能成為駭客利用的對象，也有研究人員與紅隊演練關注這類機制。研究人員指出，APT41濫用這種作業系統功能，使得MoonWalk有機會逃過部分防毒軟體或EDR系統的偵測，甚至能夠破壞控制流程，導致研究人員分析難度提高。</p> <p>完成上述準備工作後，MoonWalk才會解密、載入配置及外掛模組，最終與C2連線。此後門程式的主要功能，除能執行駭客下達的命令，還包含了收集系統資訊、竊取憑證，甚至能產生登入Windows作業系統的憑證。</p> </div></div></div>
2024/7/15 14:53作者周峻佑https://www.ithome.com.tw/news/163917
GitLab發布社群版及企業版更新，修補能讓任意用戶執行自動化工作Pipeline的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月10日GitLab發布社群版（CCE）及企業版（EE）更新<a href="https://about.gitlab.com/releases/2024/07/10/patch-release-gitlab-17-1-2-released/">17.1.2、17.0.4、16.11.6版</a>，當中總共修補6項漏洞，最值得留意的是被列為重大層級風險的CVE-2024-6385。</p> <p>這項漏洞影響15.8至16.11.5版、17.0至17.0.3版，以及17.1至17.1.3版GitLab，一旦攻擊者利用這項漏洞，就有機會在特定情況下，冒用任意使用者身分執行Pipeline工作流程，CVSS風險評為9.6分。</p> <p>值得留意的是，<a href="https://www.ithome.com.tw/news/163728">兩周前GitLab也修補類似的漏洞CVE-2024-5655</a>，同樣能導致攻擊者冒用他人身分，執行Pipeline工作流程，危險程度也同樣達到CVSS評分9.6。當時，開發團隊也特別指出更新後可能會出現重大變更，要使用者部署前特別留意。</p> <p>另一個本次修補較為嚴重的漏洞是CVE-2024-5257，為中度風險層級，CVSS風險評為4.9分。當開發人員透過名為admin_compliance_framework的角色，有可能更動用於名稱空間（namespace）群組的URL。</p> </div></div></div>
2024/7/15 14:53作者周峻佑https://www.ithome.com.tw/news/163918
Palo Alto Networks修補移轉工具Expedition缺乏身分驗證的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月11日資安業者Palo Alto Networks針對旗下產品發布<a href="https://security.paloaltonetworks.com/">資安公告</a>，總共修補5項漏洞，當中包含身分驗證繞過的重大漏洞而特別值得留意。</p> <p>這項被列為重大層級的漏洞是CVE-2024-5910，<a href="https://security.paloaltonetworks.com/CVE-2024-5910">存在於組態移轉工具Expedition</a>，這項漏洞發生的原因在於，部分重要功能缺乏身分驗證機制，攻擊者有可能透過網際網路存取這套系統，利用漏洞挾持Expedition管理員帳號，CVSS風險評分達到9.3，該公司發布1.2.92版Expedition予以修補。</p> <p>若是IT人員無法即時套用更新，Palo Alto Networks也提出這項漏洞的臨時緩解措施，那就是針對透過網路存取Expedition進行管制，開放僅有得到授權的使用者、電腦、網域環境能夠存取。</p> <p>附帶一提，該資安業者本次也對於近期研究人員公布的<a href="https://www.ithome.com.tw/news/163887">RADIUS通訊協定漏洞BlastRADIUS（CVE-2024-3596）</a>，<a href="https://security.paloaltonetworks.com/CVE-2024-3596">公布影響範圍</a>。</p> <p>他們指出，執行9.1版至11.1版PAN-OS作業系統的防火牆、安全存取服務邊界（SASE）系統Prisma Access受到影響，執行PAN-OS 11.2版作業系統的防火牆，以及雲端版防火牆Cloud NGFW不受影響。</p> <p>對此，該公司發布9.1.19、10.1.14、10.2.10、11.0.4-h4、11.1.3版PAN-OS更新，並預計於7月底為Prisma Access提供修補。</p> </div></div></div>
2024/7/15 14:54作者周峻佑https://www.ithome.com.tw/news/163919
【資安週報】2024年7月8日到7月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在7月第2個星期，適逢多家廠商釋出每月例行安全更新，包含微軟、SAP、Adobe、西門子、施耐德電機，Citrix、VMware也在這段期間發布漏洞修補公告，需要大家關注與儘快修補，而漏洞已遭利用的消息更需密切關注。</p> <p>（一）微軟修補4個零時差漏洞，有2個已遭駭客利用，包括：MSHTML平臺漏洞CVE-2024-38112，以及Hyper-V漏洞CVE-2024-38080。另兩個漏洞則是已被公開。<br /> （二）Rejetto檔案伺服器系統HTTP File Server（HFS）在5月底修補的漏洞CVE-2024-23692，近期已有一些資安業者示警，發現有駭客鎖定並用於攻擊行動。<br /> （三）文件轉換程式庫Ghostscript在5月初修補的RCE漏洞CVE-2024-29510，該漏洞CVE編號於7月初公開，並有研究人員公布相關細節，同時警告該漏洞已被用於實際攻擊行動。</p> <p>還有一個名為Blast RADIUS（CVE-2024-3596）的漏洞揭露要留意，微軟、Cloudflare及加州大學聖地牙哥分校的研究人員認為，設備廠商與標準組織IETF都應汰除RADIUS over UDP，考慮使用更安全的傳輸技術，或翻新此協定的設計。</p> <p>在資安威脅焦點方面，有2則新聞我們認為值得優先關注，一是多國網路安全機構聯手針對中國駭客組織APT40的攻擊行動提出警告，同時揭露了鎖定澳洲發動攻擊的2起案例，供外界了解該組織的作案手法；一是資安業者揭露中國駭客組織SneakyChef的最新攻擊行動，指出該組織從2023年8月開始針對歐洲、中東、非洲、亞洲，散布名為SugarGh0st的惡意程式，並常利用政府機關掃描文件作誘餌。</p> <p>商業電子郵件（BEC）詐騙的威脅仍不容輕忽，本星期有兩則這方面的新聞，首先，臺灣近期有崴寶精密科技與其客戶遭BEC詐騙，其客戶依指示將3000萬元款項匯至另一個不屬於崴寶精密科技的帳戶，所幸及時發現，特別的是，這是國內上市櫃企業資安重訊發布，首次有企業主動揭露遭遇BEC詐騙；另一起事件是與惡意軟體沙箱服務業者有關，他們揭露自身遭遇網釣與BEC詐騙活動，並進一步指出郵件備份應用程式PerfectData有郵件外洩的問題。</p> <p>在資安事件方面，有3起與國內上市櫃公司有關，有2起是國際間資料外洩的消息，包括：</p> <p>●上市公司東元電機說明發生網路資安事件<br /> ●上市公司宅配通說明部份資訊系統遭受駭客網路攻擊<br /> ●上櫃公司聖暉系統工程代子公司公告，揭露聖暉系統集成集團發生資安事件。<br /> ●駭客論壇流傳一份近100億帳號密碼的「rockyou2024.txt」檔案，較2021曝光的版本多出15億組資料。<br /> ●網路犯罪論壇傳出有人公布Nokia的7千多名員工個資，以及微軟的2千多名員工個資，並宣稱這些資料來自兩家公司的第三方合作夥伴。</p> <p>值得注意的是，上述發布資安重訊的東元電機、宅配通，均屬於東元集團，他們在證交所發布資安公告之後，後續在網路論壇有人討論東元電機的空調及家電產品服務，似乎也受到資安事故的影響而停擺，例如，<a href="http://www.ptt.cc/bbs/E-appliance/M.1720594162.A.FC8.html">有網友在PTT上指出，東元冷氣報修的安欣科技服務網站在遭駭前就連不上，領料系統也有狀況</a>，在TECO東元家電的臉書粉絲專頁上，也有網友詢問服務連不上的狀況，小編則回應官網維修中。由於安欣科技也隸屬於東元集團，TECO東元家電也是其事業部之一，這樣的狀況也不禁令人聯想。</p> <p>此外，先前其他國家發生的重大資安事件，最近有更多後續消息。包括：今年3月富士通揭露IT系統遭入侵，如今調查結果出爐，說明發現一個進階偽裝技術的蠕蟲程式，從一臺公司電腦進而感染49臺電腦，並研判部分客戶姓名和公司資訊外洩，已通知受影響客戶；今年5月美國最大售票平臺Ticketmaster遭駭，近期傳出駭客為了提高勒索該公司的贖金，不僅公開17萬張Taylor Swift演唱會的行動門票條碼，還有Ticketfast服務的門票條碼檔案連結。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/163836"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月8日】勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi發動攻擊</span></strong></a></h3> <p>最近1年新興的勒索軟體駭客組織不斷出現，但大部分採用已被外洩的LockBit、Babuk開發工具或是程式碼，加以修改就用於攻擊行動，但現在資安業者Group-IB揭露的Eldorado相當不同，對方是自行從頭打造惡意程式，使得他們的惡意軟體不像其他的勒索軟體容易推測其運作特徵，而難以防範。</p> <h3><a href="https://www.ithome.com.tw/news/163843"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月9日】留意BEC詐騙攻擊，惡意軟體沙箱服務業者遭網釣攻擊後，查出郵件備份程式PerfectData恐洩漏電子郵件</span></strong></a></h3> <p>電子郵件是企業日常運作中不可或缺的溝通工具，然而電子郵件也持續是駭客和網路犯罪分子的主要攻擊目標之一，最近惡意軟體沙箱服務業者Any.Run不僅揭露自身遭網釣攻擊，有員工帳戶被洩露並遭遇BEC詐騙活動，同時他們另也強調，問題出在電子郵件備份應用程式PerfectData，已導致多起郵件外洩事故。</p> <p>特別的是，還有一起事件發生在國內，崴寶精密科技公司與其客戶遭遇BEC詐騙，同樣顯現電子郵件中的交易內容資訊被掌握，以及冒其名義寄送變更匯款通知信的危害。</p> <p><a href="https://www.ithome.com.tw/news/163875"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月10日】微軟發布本月例行更新，修補超過140個漏洞，其中包含4個零時差漏洞引起關注</span></strong></a></p> <p>昨（7月9日）有許多軟體業者發布每月例行更新及相關資安公告，其中微軟這次的公告內容相當值得留意，因為他們一口氣緩解143個漏洞，這樣的修補規模，已超過<a href="https://www.ithome.com.tw/news/162875">5月</a>、<a href="https://www.ithome.com.tw/news/163429">6月</a>兩個月的總和。</p> <p>值得留意的是，本次有4個零時差漏洞，其中有2個已被用於攻擊而受到關注。但資安業者Rapid7、漏洞懸賞專案Zero Day Initiative認為，遠端桌面連線授權服務、圖像編碼器、SharePoint的重大漏洞也必須優先處理。</p> <p><a href="https://www.ithome.com.tw/news/163900"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月11日】富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象</span></strong></a></p> <p>本日最受到關注的消息，應該就屬日本資通大廠富士通公布今年3月資安事故最新發現，他們指出對方使用的作案工具具備高深的偽裝技術，且具備蠕蟲特性進行橫向感染。</p> <p>這次的調查結果也證實當初懷疑資料外流的情況，他們發現駭客利用惡意程式進行複製，有部分客戶及公司資訊流出。但究竟有多少人受到影響，該公司並未說明。</p> <h3><a href="https://www.ithome.com.tw/news/163909"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月12日】研究人員揭露鎖定巴黎奧運購票民眾的詐欺駭客組織Ticket Heist，並警告接下來的歐洲盃足球賽也被鎖定</span></strong></a></h3> <p>針對即將到來的巴黎奧運，有研究人員發現，駭客鎖定想要親臨現場觀賞比賽的民眾下手，架設冒牌購票網站行騙。他們指出，這些冒牌網站佈置極為完整，使用者若非察覺網站有少量因翻譯造成的拼寫錯誤，很難察覺有異。</p> <p>比較特別的是，這些駭客為增加騙得的金錢，冒牌網站的票價竟是正牌的3倍起跳。但是否有其他誘因能說服買家下單？研究人員推測，對方這樣做的目的，很有可能是讓消費者誤以為支付較高金額能得到較佳的待遇，或是因正牌網站銷售一空票價被哄抬。</p> </div></div></div>
2024/7/15 11:28作者羅正漢https://www.ithome.com.tw/news/163921
幾乎所有AT&T無線用戶的通話及簡訊紀錄都外洩了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AT&T於上周提交給美國證券交易委員會（SEC）的<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0000732717/000073271724000046/t-20240506.htm" target="_blank">8-K文件中指出</a>，駭客在今年4月存取了第三方雲端平臺的AT&T工作區，並複製了內含AT&T客戶通話及簡訊互動的紀錄，且幾乎所有的AT&T無線客戶都遭到波及。根據AT&T<a href="https://investors.att.com/~/media/Files/A/ATT-IR-V2/financial-reports/quarterly-earnings/2024/1Q24/T_1Q_2024_8_K_%20Earnings_801.pdf" target="_blank">今年第一季的財報</a>，該公司的無線訂閱用戶數為1.145億名。</p> <p>根據AT&T於文件中的說明，他們是在4月19日發現有駭客宣稱已取得該公司的通話紀錄，於是立刻啟動事件回應流程，調查發現，駭客是在4月14日至4月25日之間，非法存取一個位於第三方雲端平臺上的AT&T工作區，複製並轉移了包含AT&T客戶通話及簡訊互動紀錄的文件。</p> <p>所外洩的資料並不包括通話或簡訊的內容，亦無社會安全碼、出生日期或其它個人身分資訊，而是包含自2022年5月至2022年10月，以及2023年1月2日的AT&T無線用戶，以及使用AT&T網路的虛擬行動網路（Mobile Virtual Network Operator，MVNO）用戶的通知及簡訊紀錄，紀錄中含有AT&T用戶與MVNO用戶在上述期間內互動的電話號碼、互動次數，以及每日或每月的通話時間，某些紀錄亦含有基地臺編號。</p> <p>AT&T指出，幾乎是所有AT&T無線用戶與使用AT&T網路的MVNO用戶都受到此一外洩事件的影響，儘管被駭資料並不包含用戶姓名，但公開的網路工具通常得以找到與特定電話配對的姓名。</p> <p>AT&T並未於文件中公布此一第三方雲端服務供應商的名稱，但根據外電報導，該服務供應商為Snowflake，且日前售票平臺<a href="https://www.ithome.com.tw/news/163848" target="_blank">Ticketmaster的資料外洩事件</a>同樣源自Snowflake。Snowflake專門提供雲端儲存及分析服務，為美國紐約股市的上市公司，在Ticketmaster於5月傳出資料外洩之後，Snowflake股價己從160美元左右下滑至135美元。</p> <p>此外，美國聯邦調查局（FBI）及美國司法部（DOJ）曾兩度建議AT&T延後揭露此一資料外洩意外，理由為相關資料可能危及美國國家安全，例如確定某些重要人士的工作地點，或是連結個人之間的通訊，使得AT&T一直到今年7月才公開對外揭露。</p> <p>AT&T亦於此一期間協助執法機關辦案，目前已逮捕一名涉及此一駭客事件的嫌犯。</p> </div></div></div>
2024/7/15 13:02作者陳曉莉https://www.ithome.com.tw/news/163926
新加坡銀行將在3個月內汰除一次性文字密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡主管機關要求零售銀行應在3個月內，汰除以一次性的文字密碼作為多因素驗證（MFA），改成更安全的應用程式驗證，但並不包含使用硬體金鑰。</p> <p>新加坡金融管理局（Monetary Authority of Singapore）及新加坡銀行公會（The Association of Banks in Singapore，ABS）上周宣布，新加坡主要零售銀行將會在未來3個月內積極汰除客戶登入網銀帳號時的一次性密碼（one-time password，OTP），這將有助於預防釣魚攻擊。</p> <p>已經在行動裝置啟用數位令牌（digital token）的客戶未來要登入網銀時，必須透過手機瀏覽器或行動銀行App使用數位令牌來登入。運用數位令牌不需再以簡訊接收OTP，可防止駭客發送釣魚信件竊取用戶或誘使用戶洩露其帳密。</p> <p>簡訊式OTP是在2000年被引入作為線上服務或App登入的多因素驗證（MFA）的一環。此類OTP為基礎的MFA簡單方便，但是很早就被發現可能被駭客攔截改造，將訊息內容中加入惡意連結，將用戶導向釣魚網站誘騙使用者帳號，以接管其銀行帳號。</p> <p>新式MFA是結合應用程式或硬體金鑰產出的數位令牌完成第二層驗證，可杜絕文字式OTP的問題。不過新加坡主管機關也鼓勵銀行汰除硬體金鑰。</p> <p>根據<a href="https://www.mas.gov.sg/news/parliamentary-replies/2023/written-reply-to-parliamentary-question-on-hardware-tokens" target="_blank">星國金融管理局的文件</a>，硬體令牌仍然可能遭到釣魚網站詐騙，只是不像文字簡訊那麼高。但當地一些主要銀行如星展、華僑銀行、匯豐銀行等仍然基於客戶要求而持續提供硬體金鑰。對此，星國政府的態度是持續和這些銀行溝通，鼓勵其導入更安全的驗證機制。</p> </div></div></div>
2024/7/15 11:18作者林妍溱https://www.ithome.com.tw/news/163923
軟銀收購英國AI晶片製造商Graphcore
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國AI晶片製造商<a href="https://www.graphcore.ai/posts/graphcore-joins-softbank-group-to-build-next-generation-of-ai-compute" target="_blank">Graphcore上周宣布</a>，已被日本軟體銀行集團（SoftBank Group Corp，軟銀）收購，成為軟銀旗下的子公司，雙方並未公布交易金額，不過，外傳該交易價值約在6億美元左右。</p> <p>根據<a href="https://www.graphcore.ai/about" target="_blank">Graphcore官網</a>上的介紹，Graphcore最早是在2013年啟動的一個隱身專案，當時便設立了一個專為機器學習打造處理器的團隊；但一直到2016年才成立公司，同年Dell與三星都參與了A輪增資；紅杉資本在2017年的C輪增資中投入了5,000萬美元；Graphcore一直到2018年才正式發表智慧處理單元（Intelligence Processing Unit，IPU），同年的D輪增資市值便已達到17億美元，也吸引微軟注資；其IPU產品在2019年正式上市；2020年發表第二代IPU，拓展經銷網路，並開始支援PyTorch，同年進行的E輪增資估值已達20.3億美元。此外，OpenAI共同創辦人Ilya Sutskever也是Graphcore的股東之一。</p> <p>Graphcore共同創辦人暨執行長Nigel Toon表示，此一收購案是對該團隊打造AI技術能力的認可，對AI運算的需求龐大且持續成長，要提高效率、彈性及運算能力來釋放AI的全部潛力還有許多工作尚待解決，但有了軟銀這個合作夥伴，將讓Graphcore重新定義AI技術的前景。</p> <p>外界將Graphcore視為Nvidia的競爭對手之一，所開發的IPU可用來滿足AI應用的特定需求。</p> <p>不管是Arm或是Graphcore的併購案都是由軟銀直接出資，而非來自軟銀旗下的願景基金（Vision Funds），之後Graphcore將繼續於英國獨立運作。</p> <p><a href="https://www.ft.com/content/e33bab13-2d64-47f7-b0e2-9ba446296234" target="_blank">Toon向英國金融時報</a>（Financial Times，FT）透露，Graphcore最大的問題就是缺乏規模與資本，未來軟銀將為Graphcore提供大量資源，以與Nvidia及AMD競爭，也會大幅擴張其英國總部的員工。</p> </div></div></div>
2024/7/15 11:34作者陳曉莉https://www.ithome.com.tw/news/163924
Exim修補可用以寄送惡意附件的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>郵件傳輸代理（mail transfer agent，MTA）平臺軟體供應商Exim上周發布<a href="https://lists.exim.org/lurker/message/20240710.155945.8823670d.pt.html)" target="_blank">軟體更新Exim 4.98版</a>，修補一個可讓攻擊者發送帶有惡意附件的信件給用戶的重大漏洞。</p> <p>MTA又稱訊息傳輸代理（Message Transfer Agent）或郵件中繼（Mail Relay），其角色是在郵件伺服器之間傳輸郵件和圖片、多媒體或文字附件，並提供過濾機制確保郵件接收端用戶的安全。Exim MTA在Unix平臺上廣泛使用。</p> <p>最新修補的漏洞為CVE-2024-39929，是由<a href="https://censys.com/cve-2024-39929/" target="_blank">資安業者Censys發現並通報</a>。業者描述，該漏洞出在RFC 2231標頭解析（header parsing）元件，可讓遠端攻擊者繞過Exim產品的檔案副檔名過濾防護機制，而寄送包含執行檔的附件給終端用戶。若用戶下載或執行了惡意檔案，可造成系統被駭。</p> <p>本項漏洞CVSS 3.1的風險值達到9.1，影響Exim包含4.97.1在內及之前版本。Censys估計，截自7月10日，有156萬臺對外連網的Exim伺服器執行4.97.1以前版本。而且資安業者也發現有概念驗證（PoC）程式，不過尚未偵測到惡意濫用情形。</p> <p>Exim發布的4.98版除了修補CVE-2024-39929，也包含之前發布4.97.1版的CVE-2023-51766漏洞修補程式。後者為一SMTP走私（SMTP smuggling）漏洞，影響部分pipelining/chunking配置，可讓攻擊者注入假冒郵件來源（Mail From）位址的郵件，繞過寄件者原則架構（SPF）防護機制。本漏洞風險值為5.3。</p> </div></div></div>
2024/7/15 12:11作者林妍溱https://www.ithome.com.tw/news/163925
Alphabet傳洽談將以230億美元歷來最大金額，收購雲端資安業者Wiz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/business/deals/google-near-23-billion-deal-for-cybersecurity-startup-wiz-622edf1a?st=teeyszqk8d6fqvf" target="_blank">華爾街日報上周報導</a>，Google母公司Alphabet即將以230億天價美元收購雲端平臺資安業者Wiz，成為該公司最大收購案。</p> <p>報導指出，收購談判還未底定，但可能即將完成。Alphabet希望藉此收購強化Google的雲端安全業務。</p> <p>Wiz是2020年成立於紐約的新創公司，由前微軟員工Assaf Rappaport、Yinon Costica、Roy Reznik和Ami Luttwak合作創立，其中Rappaport為執行長。同一批人之前也曾成立企業SaaS雲端安全業者Adallom。Wiz則是收集代管在Amazon Web Services（AWS）、微軟Azure、Google Cloud Platform（GCP）、甲骨文（Oracle Cloud Infrastructure，OCI）和Kubernetes的基礎架構以掃瞄平臺多項數據以找出可能引發資料外洩或惡意程式、駭客存取的軟體漏洞或設定失當等安全風險。根據<a href="https://en.wikipedia.org/wiki/Wiz_(company)" target="_blank">Wikipedia</a>，這家新創公司截自今年2月已擁有員工超過900人。</p> <p>這家資安新創公司二個月前才宣布在E輪募資中投10億美元資金，目前公司市值達120億美元。<a href="https://techcrunch.com/2024/07/14/google-reportedly-in-talks-to-acquire-cloud-security-company-wiz-for-23b/" target="_blank">Techcrunch</a>報導，Wiz自稱營收3.5億美元。以成長策略而言，Wiz原本計畫是透過小型收購成長，最終掛牌上市，但或許也可能改變策略同意收購。</p> <p>如果Google/Alphabet真是以230億美元收購，將是Google歷來最大收購案。之前最大的收購案是2012年以125億美元買下Motorola Mobility。上一個受矚目的<a href="https://www.ithome.com.tw/news/149768" target="_blank">資安收購</a>是2022年的Mandiant，收購金額為54億美元。</p> <p>Wiz收購完成，將如何整合進Google產品或是Alphabet組織體系尚不清楚。Google和Wiz都未對此評論。</p> </div></div></div>
2024/7/15 10:11作者林妍溱https://www.ithome.com.tw/news/163922
AI PC可能帶來的新改變
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於文字與圖形的輔助建立，原是當前生成式AI最令人驚豔的部分，一般使用者如果想要在日常工作與生活運用這方面的技術，先前只能大幅仰賴建置在雲端環境的各種生成式AI服務平臺，或是透過既有SaaS雲端服務整合大型語言模型技術，進而得到這方面的功能輔助，現在，部分生成式AI應用可直接在個人電腦本機上操作。</p> <p>例如，今年下半微軟即將推出的作業系統年度更新版本Windows 11 24H2，當中提供多種生成式AI應用App，而這些軟體與功能正是今年Computex的AI PC現場展示主要重點。我們看到微軟向眾多參觀者介紹他們開發的即時字幕生成與翻譯App軟體Live Captions，以及強化筆電視訊攝影機畫面與麥克風減噪App軟體Windows Studio Effects。</p> <p>資安的部分，今年Computex趨勢科技也首度揭露正在發展的個人電腦AI防護功能。</p> <p>首先是AI App Shield，可保護PC本機AI App相關檔案與資料夾，預防存放在個人電腦的AI模型、知識庫與組態，以及系統提示（System Prompt）遭到非法存取與竄改；其次是敏感資料偵測，若有人在AI應用程式誤用帶有個資的文件或圖片時，可運用AI PC內建的NPU進行正規表示式分析、OCR、電腦視覺辨識、機器學習等技術，進行內容擷取與比對，判定是否傳出護照號碼、身分證字號、電子郵件位址、電話號碼；第三種防護是深偽偵測（Deepfake Detector），可協助辨識AI生成的影片與音訊，預防歹徒透過這種方式進行視訊會議、網路電話的詐騙。</p> <p>至於手勢控制與眼球追蹤，則是筆電多年前就已經開始發展，但至今仍未獲得普及的功能。2024 Computex現場展示愛奇藝Windows App的手勢操作，這項功能其實在幾年前就已經推出。過去大家比較熟知的部分，是透過觸控板（touchpad）多點觸控機制感測到的手勢，微軟後來也推出Gestures Service，可針對個人端電腦的軟體應用程式，提供在本機電腦執行的手勢偵測功能，可搭配深度攝影機（depth cameras）產生的紅外線視訊串流進行過濾與選取。</p> <p>今年Computex展示的AI PC，我們也看到廠商示範另一個與生物特徵相關的人機操作互動方式：眼球追蹤，筆電廠商Dynabook的產品整合了AI強化攝影機（AI-Enhanced Camera），提供背景模糊與眼神接觸調整功能之餘，還能追蹤使用者眼睛注視螢幕的不同位置，隨之調整畫面對應區域物件大小。</p> <p>以最後兩種特色而言，並不是現在才出現的個人電腦技術，然而，受限於不同品牌廠商與產品定位的考量，這些並未全面在所有個人電腦產品供應，遙想近20年前任天堂體感遊戲主機Wii崛起，帶動體感操作旋風，Windows電腦後續追趕多點觸控、推動平板筆電，與英特爾一起打造Ultrabook，時至今日生成式AI浪潮再起，微軟這次推出Copilot+ PC，竟是先與高通共同宣布推出，英特爾與AMD後續才會出手，是否會帶來更多突破？令人期待，而在智慧型手機類型的產品方面，三星今年推出整合Google Gemini與Imagen 2這兩種AI模型的S24。</p> <p>然而，我們認為個人電腦與智慧型手機產業如果要重振市場雄風，光是在裝置強化本機執行AI模型的能力是不足的，或許更重要的關鍵在於，能否更普遍、順暢地提供超越既有的設備操作體驗，我個人最期待的部分在於，能否更徹底做到「袖手旁觀（HandsFree）」？藉由這波生成式AI技術的突破，產生更多應用激發。</p> <p>事實上，聲控、眼控、手勢、身體動態捕捉等操作方式，過去都曾在部分智慧手錶、智慧眼鏡、AR/VR穿戴式設備等產品提供，可惜並未普及、應用場景也相當受限，現在AI PC概念若能吸取這些經驗，重新創造終端裝置操作體驗，才能大幅減輕當前繁忙的工作負擔，整合趨於離散破碎的視聽娛樂體驗，真正翻轉人類的生活。</p> <p><a href="https://www.ithome.com.tw/news/163770" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span></span><strong><span style="font-size:20px;">從Computex 2024看AI筆電新樣貌，NPU應用成新關鍵</span></strong></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai-pc">AI PC</a></div><div class="field-item odd"><a href="/tags/computex-2024">Computex 2024</a></div></div></div>
2024/7/12 15:26作者李宗翰https://www.ithome.com.tw/voice/163914
Fireworks AI完成5,200萬美元的B輪增資，身價達5.52億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於2022年成立，專門提供模型微調與客製化服務的<a href="https://fireworks.ai/blog/fireworks-ai-series-b-compound-ai" target="_blank">Fireworks AI本周宣布</a>已完成5,200萬美元的B輪增資，此次增資所計算的公司市值已達5.52億美元。新的資金將用來將產業遷移至複合式AI系統，擴張團隊，以及強化平臺，以協助開發人員快速將AI應用從原型轉移到生產。</p> <p>Fireworks AI藉由最新的模型、進階的客製化能力，以及改善的生產就緒能力來強化其推論平臺，並與MongoDB、Meta、Nvidia、AMD等企業建立了合作關係，以於一個生產就緒的平臺上供應從各種模型至向量資料庫的基礎建設模組予開發者，並宣稱其推論平臺可提供最快也最具成本效益的各種模型API。</p> <p>迄今Fireworks AI供應了基於文字、圖像、音訊、嵌入及多模態格式的上百種模型，並針對延遲、傳輸量及Token成本進行了最佳化，相較於虛擬語言模型（vLLM），Fireworks AI平臺的推論時間減少了12倍，與GPT4相比，Fireworks AI的推論時間更縮短了40倍。現階段Fireworks AI平臺每天平均處理1,400億個Token，且API的正常運作時間達99.99%。</p> <p>Fireworks AI說明，有別於那些通用、非私有且難以客製化的專用大模型，該公司提供生產等級的小型模型，可供私密與安全部署，僅使用極少的人工策畫資料，即可透過超快速的LoRA微調技術以客製化模型，只要幾分鐘就能從準備資料集到查詢一個經過微調的模型，不僅能無縫部署，還能保持與基礎模型相同的性能與成本優勢。</p> <p>此次的B輪增資是由Sequoia Capital主導，參與的投資者還包括MongoDB Ventures、AMD與Nvidia，先前的投資者則包括前Meta營運長Sheryl Sandberg，Airtable執行長Howie Liu、Scale AI執行長Alexandr Wang，以及來自LinkedIn與Meta的其他高階主管。</p> </div></div></div>
2024/7/12 16:16作者陳曉莉https://www.ithome.com.tw/news/163915
Google將抓漏獎金提高為最多5倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://bughunters.google.com/blog/5400513950908416/increasing-google-alphabet-vrp-rewards-up-to-151-515" target="_blank">Google本周宣布</a>，自2010年建立抓漏獎勵計畫（Vulnerability Reward Program，VRP）以來，由於Google的作業系統與應用程式因此而變得愈來愈安全，也愈來愈不容易抓漏，因而決定提高抓漏獎金，最高增幅達到5倍，而獎金最多的則是重要產品的遠端程式攻擊（RCE）漏洞，最高可獲得151,515美元。</p> <p>除了提高原本的抓漏獎金之外，Google還將針對報告的品質祭出修正系數，倘若報告品質非常卓越（Exceptional Quality），那麼獎金額度將可乘以1.5，品質好（Good Quality）的是1倍，品質差（Low Quality）的是0.5倍。意謂著若提出安全漏洞的報告內容並未符合標準，獎金可能就會被砍半。</p> <p>Google將安全漏洞依產品重要性，分為從Tier0（T0）到Tier4（T4）的5種等級，其中，T0指的是XSS或繞過身分驗證等、得以外洩使用者帳戶或於使用者系統上執行任意程式的安全漏洞，T1則是可揭露非常敏感之用戶資料的安全漏洞，而原本獎金最高的即是屬於T0/T1領域的命令注射、反序列化錯誤及沙箱逃逸等可自遠端執行程式的安全漏洞，價值31,337美元。</p> <p>在新的規則中，此一T0/T1領域的遠端執行程式漏洞獎金提高至101,010美元，若所提交的報告達到卓越品質，獎金即上看151,515美元，接近原本的5倍。</p> <p>此外，可接管Gmail帳戶的邏輯漏洞原本價值13,337美元，現在則提高到5萬美元，卓越報告可增至7.5萬美元；<a href="http://idx.google.com" target="_blank">網路開發工作區IDX</a>上的XSS漏洞獎金，也自原本的3,133.7美元提高至1萬美元，卓越報告則是1.5萬美元；Nest服務（<a href="http://home.nest.com/" target="_blank">home.nest.com</a>）的身分揭露邏輯漏洞獎金，也從500美元提高至2,500美元，若屬於卓越報告則達3,570美元。</p> <p>Google說，其實過去他們內部就有根據漏洞報告的品質來衡量獎金，只是現在將它們公開，並公布了漏洞與獎金的計算例子，以供安全研究人員參考，進一步透明化此一抓漏獎勵計畫。另也針對收購6個月之後的新資產導入新的獎勵等級。</p> <p>近年來Google每年都頒發數百萬至上千萬的獎金予參與VRP的研究人員，2023年總計發出1,000萬美元的獎金予68個國家的逾600名研究人員，當中有340萬美元頒給了發現Android安全漏洞的研究人員，另有210萬美元是獎勵發現Chrome漏洞的研究人員。</p> </div></div></div>
2024/7/12 14:25作者陳曉莉https://www.ithome.com.tw/news/163912
OpenAI把AI程度分為5級，最高等級將可處理整個組織的事務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2024-07-11/openai-sets-levels-to-track-progress-toward-superintelligent-ai" target="_blank">彭博社</a>（Bloomberg）報導，OpenAI於本周舉行的內部會議中，將人工智慧（AI）的進展分為5個階段，從第1級可與人類對話的聊天機器人，直到最後可處理整個組織事務的第5級。</p> <p>這是OpenAI依照AI能力所訂定的級別，可與人類對話、諸如ChatGPT的聊天機器人（Chatbots）被列為第1級，可在解決問題上與人類並駕其驅的推論者（Reasoners）被視為第2級，第3級的代理人（Agents）描述的是可採取行動的AI系統，第4級則是創新者（Innovators），能夠幫助發明，而可完成組織任務的AI則稱為組織（Organizations），被視為第5級。</p> <p>目前並不確定OpenAI是否也擬定了達到這些級別的時間點，或者是否會有更高級別的出現，但依照彭博社的報導，OpenAI認為該公司目前仍處於第1級，但即將達到第2級。</p> <p><a href="https://arxiv.org/pdf/2311.02462" target="_blank">Google DeepMind</a>研究人員也曾試著替通用人工智慧（AGI）分級，從第0級到第5級，將未涉及AI的計算軟體視為第0級的No AI；第1級則是表現等同於或好過沒有受過專門訓練之人類的系統，屬於Emerging新興發展階段；表現已達專業人士中位數水平的，則是第2級的Competent；表現超過9成專業人士的屬於第3級的專家（Expert）；表現超過99%專業人士的便可稱之為菁英（Virtuoso），已達第4級；最後一級即稱為超人（Superhuman）代表該AI系統已超越所有的人類。</p> <p>此一報告是在今年6月發表，同樣認為目前的AGI只處於第1級，不管是OpenAI的ChatGPT，Google Bard，Meta與微軟合作的Llama 2，或者是Google Gemini都只在Emerging階段，尚未有任何產品或模型達到第2級。</p> </div></div></div>
2024/7/12 14:47作者陳曉莉https://www.ithome.com.tw/news/163913
蘋果警告傭兵間諜軟體鎖定98國iPhone用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2024/07/10/apple-alerts-iphone-users-in-98-countries-to-mercenary-spyware-attacks/" target="_blank">Techcrunch</a>報導，蘋果本周對98國iPhone用戶發布威脅通知，警告用戶的Apple帳號遭到傭兵間諜軟體（mercenary spyware）攻擊。</p> <p>傭兵間諜軟體指的是由軟體開發商開發以提供給客戶，作為蒐集資訊或監控特定對象的間諜軟體。這類軟體通常銷售給政府、警察單位，用以監控記者、異議人士、外國官員或國內政治人物等身分敏感人物。最有名的傭兵間諜軟體是以色列公司NSO Group開發的Pegasus。已經有眾多國家或政黨人物、媒體記者、社會運動等人士的iPhone被發現感染Pegasus。</p> <p>蘋果自2021年起針對偵測蘋果帳號受到此類間諜軟體鎖定的用戶，發出威脅通知，迄今已經通知過超過150個國家的蘋果用戶。Techcrunch報導，本周有印度等98國用戶接到這份郵件通知。去年10月及<a href="https://www.ithome.com.tw/news/162247" target="_blank">今年4月</a>蘋果也先後發布安全通知。</p> <p>在這份通知中蘋果告知，該公司偵測到用戶遭到傭兵間諜軟體鎖定，這軟體試圖遠端存取和Apple ID -XXXX關聯的iPhone。用戶可能基於其身分或從事的工作而被這些軟體鎖定。蘋果說，雖然無法100%確定，但該公司對其偵測結果具高度信心，並請用戶不要輕忽。</p> <p>Google針對身分敏感人士提供進階保護計畫（Advanced Protection Program）確保其帳號安全性。另外非營利機構AccessNow<a href="http://accessnow.org/help/" target="_blank">也提供</a>免費的防護建議。</p> </div></div></div>
2024/7/12 12:21作者林妍溱https://www.ithome.com.tw/news/163911
詐欺駭客組織Ticket Heist運用700個網域兜售假的奧運門票
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著巴黎奧運即將於7月26日舉行，鎖定想要線上購買門票的民眾而來的詐欺網站也跟著出現，繼<a href="https://www.ithome.com.tw/news/163471">資安業者Proofpoint針對這種情況提出警告</a>，有研究人員公布更為詳細的調查結果，並指出背後的駭客組織同時也鎖定其他大型體育賽事而來。</p> <p>威脅情報業者QuoIntelligence表示，<a href="https://quointelligence.eu/2024/07/ticket-heist-olympic-games-and-sporting-events-at-risk/">他們發現專門針對使用俄語的人士，以及部分東歐國家，或是打算觀賞特定體育賽事人士而來的攻擊行動Ticket Heist</a>，研究人員在發現數個假冒奧運售票網站的網域後啟動調查，結果找到由708個詐欺網域名稱組成的大型網路犯罪基礎設施，並指出這些網域從2022年就動作頻頻，相關活動在2023年升級，到了今年針對特定體育賽事發動攻擊。</p> <p>研究人員指出，他們先是在去年底察覺網路上對於巴黎奧運相關討論顯著增加的情況。</p> <p>由於奧運向來是許多國家用於地緣政治影響力的工具，再加上烏克蘭戰爭、以哈衝突仍在持續，使得今年的賽事顯得格外重要。再加上今年3月國際奧委會禁止俄羅斯、白俄羅斯運動員代表自己國家參賽，這樣的情況無疑導致國際政治局勢變得更加緊張，國家級駭客針對這類賽事發動攻擊的情況更為加劇。</p> <p>他們最早發現的惡意網域是Ticket-paris24[.]com、Tickets-paris24[.]com，駭客架設與正牌網站極為相似的購票網站，讓民眾可以在這場體育賽事期間購買特定比賽的門票、挑選座位，甚至能一併安排在巴黎的住宿旅館。研究人員指出，有可能是因為直接從俄文翻譯成英語，這些網站存在少量的拼寫及語法錯誤，但即便如此，使用者操作起來幾乎與正牌網站沒有差異。</p> <p><a href="https://s4.itho.me/sites/default/files/images/landing-page-domain-olympics-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/landing-page-domain-olympics-1.png" style="width: 580px;" /></a></p> <p>雖然駭客架設的網站因針對不同賽事內容有所差異，但研究人員仍舊察覺存在許多相似的地方，像是因複製貼上產生相同的錯誤、翻譯錯誤，而能推測資料的來源可能相同。</p> <p>他們舉出一些例子，像是大部分架設的網站裡，隱私權政策網頁發布日期皆為2019年7月2日，但相關網域卻是今年2月22日產生，而且在4月28日被網路爬蟲索引的內容是404網頁。類似的小錯誤還包括：事件（Event）網頁部分內容尚未翻譯，並顯示俄文單字Afisha。</p> <p>為了追蹤這些網站的行為，研究人員也假冒想要入場觀看比賽的民眾，從中輸入各式有效及無效的內容。他們提及這些詐騙網站使用Stripe支付系統，這突顯駭客的目標並非為了竊取信用卡資料，而是在受害者儲值足夠的資金時，才允許下單購票，並在成功扣款後就不再有任何回應。</p> <p>比較特別的是，冒牌網站票價遠高於正牌網站。正牌網站未指定座位的票價不到100歐元，冒牌網站的票價卻是從300歐元起跳，甚至部分達到1,000歐元，這也突顯對方主要目的就是經濟利益。</p> <p>值得留意的是，這些駭客不只針對巴黎奧運，並鎖定歐洲足球錦標賽（UEFA Euro 2024），此外，知名人士及團體的演唱會或演奏會，也是他們詐欺標的。</p> </div></div></div>
2024/7/12 10:49作者周峻佑https://www.ithome.com.tw/news/163906
中國駭客組織SneakyChef鎖定亞洲、歐洲、中東、非洲政府機關，散布惡意程式SugarGh0st
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用惡意程式Gh0st變種SugarGh0st發起的攻擊行動，近期有不少事故傳出，如今有駭客組織結合WinRAR自解壓縮檔（SFX）的功能，佈置新的攻擊流程。</p> <p>思科旗下威脅情報團隊Talos揭露<a href="https://blog.talosintelligence.com/sneakychef-sugarghost-rat/">中國駭客組織SneakyChef的攻擊行動</a>，這些駭客約從2023年8月開始，針對歐洲、中東、非洲地區（EMEA），以及亞洲國家而來，散布名為SugarGh0st的惡意程式。</p> <p>這些駭客通常會利用政府機關文件的掃描檔案來作為誘餌，大部分與外交部及大使館有關。在其中2起發生在11月的攻擊行動裡，研究人員看到對方利用RAR自解壓縮檔來散布惡意程式。而且，自解壓縮檔案說明使用的語言為簡體中文，因此可推斷攻擊者是使用中文的人員。</p> <p>針對這起資安事故的發現，研究人員先是看到這些駭客鎖定烏茲別克和韓國用戶，企圖散布RAT木馬程式SugarGh0st，隨著他們進一步調查，發現也有其他國家的企業組織受害。</p> <p>根據攻擊者使用的誘餌內容，Talos的研究人員認為，駭客的攻擊目標很可能包含安哥拉、土庫曼、哈薩克、拉脫維亞的外交部，以及沙烏地阿拉伯大使館，除上述機構，研究人員也看到疑似針對安哥拉漁業暨海洋資源部、農業暨林業部發動攻擊的情況。而這些誘餌文件的共通點，就是經由掃描建檔而成，網路上無法找到這些檔案。</p> <p>研究人員指出，他們在去年11月公開這些駭客的攻擊行動後，對方雖然仍然繼續使用原本的C2網域，但後來又設置新的網域，不過，這波攻擊行動仍使用到舊的C2網域。</p> <p>究竟駭客使用了那些手法？研究人員特別提及使用RAR自解壓縮檔的部分，一旦使用者執行，包含在自解壓縮檔裡面的指令碼便會投放誘餌文件、DLL載入工具、經過加密處理的SugarGh0st，以及惡意VB指令碼等作案工具，然後執行惡意VB指令碼來維持在受害電腦的活動，每當使用者登入受害電腦，就會利用regsvr32.exe啟動DLL載入工具，從而讀取SugarGh0st並解密、注入處理程序執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-0394f919-f5dc-42e9-afa1-bbd81646cbd2.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-0394f919-f5dc-42e9-afa1-bbd81646cbd2.jpeg" style="width: 580px;" /></a></p> </div></div></div>
2024/7/12 10:55作者周峻佑https://www.ithome.com.tw/news/163908
【資安日報】7月12日，研究人員揭露鎖定巴黎奧運購票民眾的詐欺駭客組織Ticket Heist，並警告接下來的歐洲盃足…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對即將到來的巴黎奧運，有研究人員發現，駭客鎖定想要親臨現場觀賞比賽的民眾下手，架設冒牌購票網站行騙。他們指出，這些冒牌網站佈置極為完整，使用者若非察覺網站有少量因翻譯造成的拼寫錯誤，很難察覺有異。</p> <p>比較特別的是，這些駭客為增加騙得的金錢，冒牌網站的票價竟是正牌的3倍起跳。但是否有其他誘因能說服買家下單？研究人員推測，對方這樣做的目的，很有可能是讓消費者誤以為支付較高金額能得到較佳的待遇，或是因正牌網站銷售一空票價被哄抬。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163906"><strong style="font-size: 22px;">詐欺駭客組織Ticket Heist運用700個網域兜售假的奧運門票</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/landing-page-domain-olympics-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/landing-page-domain-olympics-1.png" style="width: 300px; float: right;" /></a>隨著巴黎奧運即將於7月26日舉行，鎖定想要線上購買門票的民眾而來的詐欺網站也跟著出現，繼資安業者Proofpoint針對這種情況提出警告，有研究人員公布更為詳細的調查結果，並指出背後的駭客組織同時也鎖定其他大型體育賽事而來。</p> <p>威脅情報業者QuoIntelligence表示，他們發現專門針對使用俄語的人士，以及部分東歐國家，或是打算觀賞特定體育賽事人士而來的攻擊行動Ticket Heist，研究人員在發現數個假冒奧運售票網站的網域後啟動調查，結果找到由708個詐欺網域名稱組成的大型網路犯罪基礎設施，並指出這些網域從2022年就動作頻頻，相關活動在2023年升級，到了今年針對特定體育賽事發動攻擊。</p> <p>比較特別的是，冒牌網站票價遠高於正牌網站。正牌網站未指定座位的票價不到100歐元，但冒牌網站的票價卻是從300歐元起跳，甚至部分達到1,000歐元，這也突顯對方主要目的就是經濟利益。</p> <p><a href="https://www.ithome.com.tw/news/163894"><strong style="font-size: 22px;">文件轉換程式庫Ghostscript存在RCE漏洞，傳出已被用於攻擊行動</strong></a></p> <p>今年5月初文件轉換程式庫Ghostscript的開發團隊發布10.03.1版，當中修補一項遠端程式碼執行（RCE）漏洞CVE-2024-29510，如今研究人員發現已被用於實際攻擊行動。</p> <p>通報漏洞的資安業者Codean Labs上週公布相關細節，他們提及上述應用程式或是網頁應用程式，當中的文件轉換及預覽功能及服務很有可能會造成重大影響，因為這些應用程式或是服務往往在背景執行Ghostscript，對此，研究人員提供Postscript指令碼，讓使用者檢查相關系統是否曝險。</p> <p>在Codean Labs公布相關細節後，開發人員Bill Mill指出已發現實際攻擊行動，呼籲IT人員要儘速檢查、進行處理；資安新聞網站Bleeping Computer指出，攻擊者使用偽裝成JPG圖檔的EPS檔案發動攻擊，從而取得目標系統的Shell存取權限。</p> <p><a href="https://www.ithome.com.tw/news/163908"><strong style="font-size: 22px;">中國駭客組織SneakyChef鎖定亞洲、歐洲、中東、非洲政府機關，散布惡意程式SugarGh0st</strong></a></p> <p>利用惡意程式Gh0st變種SugarGh0st發起的攻擊行動，近期有不少事故傳出，如今有駭客組織結合WinRAR自解壓縮檔（SFX）的功能，佈置新的攻擊流程。</p> <p>思科旗下威脅情報團隊Talos揭露中國駭客組織SneakyChef的攻擊行動，這些駭客約從2023年8月開始，針對歐洲、中東、非洲地區（EMEA），以及亞洲國家而來，散布名為SugarGh0st的惡意程式。</p> <p>這些駭客通常會利用政府機關文件的掃描檔案來作為誘餌，大部分與外交部及大使館有關。在其中2起發生在11月的攻擊行動裡，研究人員看到對方利用RAR自解壓縮檔來散布惡意程式。根據自解壓縮檔案使用的語言，對方使用簡體中文進行溝通。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://techcrunch.com/2024/07/10/apple-alerts-iphone-users-in-98-countries-to-mercenary-spyware-attacks/"><strong style="font-size: 20px;">蘋果向近百個國家iPhone用戶發布警報，部分疑似遭到間諜軟體鎖定</strong></a></p> <p></p> <p>◆<a href="https://www.zscaler.com/blogs/security-research/dodgebox-deep-dive-updated-arsenal-apt41-part-1"><strong style="font-size: 20px;">中國駭客APT41使用惡意程式DodgeBox於受害電腦載入MoonWalk後門</strong></a></p> <p></p> <p>◆<a href="https://hackread.com/siegedsec-hacks-heritage-foundation-project-2025/"><strong style="font-size: 20px;">美國傳統基金會遭駭，駭客組織SiegedSec聲稱竊得Project 2025的機密文件</strong></a></p> <p></p> <p>◆<a href="https://www.akamai.com/blog/security-research/2024-php-exploit-cve-one-day-after-disclosure"><strong style="font-size: 20px;">已知的PHP重大漏洞被用於散布Gh0st RAT、Muhstik及挖礦程式</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163897"><strong style="font-size: 22px;">Apache基金會修補網頁伺服器HTTP Server的原始碼洩露弱點</strong></a></p> <p>上週Apache基金會發布2.4.61版網頁伺服器系統HTTP Server，主要是修補一項漏洞CVE-2024-39884，這項漏洞帶來的影響，是在handlers組態透過AddType設置時，有可能導致原始碼資訊洩漏的情況，在2.4.60版以前的HTTP Server都可能會曝險。</p> <p>這項漏洞發生的原因，在於此網頁伺服器系統核心有個遞迴（regression）處理流程中，會忽略採用的部分舊版內容類型（content-type）。在AddType或類似的組態環境裡，某些間接請求檔案的情況，就有可能導致本機原始碼洩露的情況。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://security.paloaltonetworks.com/CVE-2024-5910"><strong style="font-size: 20px;">Palo Alto Networks修補移轉工具Expedition缺乏身分驗證的重大漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163895"><strong style="font-size: 22px;">針對高風險使用者規畫的進階防護計畫，Google開放透過Passkey進行註冊、使狦</strong></a></p> <p>7月10日Google宣布，專替記者、官員、人權工作者、政治競選人員等高風險使用者所設計的進階保護計畫（Advanced Protection Program，APP）將開放使用者透過通行密鑰（Passkey）來註冊及使用，不再強制要求使用實體金鑰。</p> <p>該公司表示，此項改變是為了因應使用者不見得總是能夠取得或買到實體金鑰，例如身處戰區的記者，旅行中的競選工作人員，或者是緊急或突發的商務旅行，Passkey則可讓高風險的Google用戶得以選擇使用他們既有的個人設備來進行身分驗證，而不一定要使用實體金鑰。</p> <p>不過，若是以Passkey來註冊APP，Google還會要求使用者新增復原選項，諸如電話號碼、電子郵件、其它的APP或安全金鑰，以在被鎖住時重新取回帳戶。</p> <p><a href="https://www.ithome.com.tw/news/163842"><strong style="font-size: 22px;">樂天市場揭露產品資安檢測方法</strong></a></p> <p>數位產品上線前是否該進行資安測試，怎麼測試才不容易漏測，測完應該怎麼做？臺灣樂天市場資安稽核團隊經理紀文平分享樂天市場從事前評估檢測需求到事後規畫解決方案的做法中，如何透過溝通與制度化來強化檢測嚴謹度，以及這套做法和臺灣常見做法的不同之處。紀文平所屬團隊是樂天集團3個國家的產品測試團隊之一，負責集團在各國的產品資安測試跟滲透測試。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163900"><strong>【7月11日】富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163875"><strong>【7月10日】微軟發布本月例行更新，修補超過140個漏洞，其中包含4個零時差漏洞引起關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163843"><strong>【7月9日】留意BEC詐騙攻擊，惡意軟體沙箱服務業者遭網釣攻擊後，查出郵件備份程式PerfectData恐洩漏電子郵件</strong></a></p> </div></div></div>
2024/7/12 11:07作者周峻佑https://www.ithome.com.tw/news/163909
蘋果於歐盟地區開放第三方行動錢包使用iPhone的NFC功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）周四（7/11）<a href="https://ec.europa.eu/commission/presscorner/detail/en/speech_24_3746" target="_blank">宣布</a>，已接受蘋果對於開放第三方開發者存取iPhone上NFC功能的承諾，解決EC對蘋果限制NFC存取可能妨礙市場競爭的疑慮。蘋果必須在今年7月25日以前履行此一承諾，讓第三方於iPhone上提供行動錢包服務，同時具備過去只有Apple Pay獨有的方便體驗。</p> <p>EC是在2022年開始調查蘋果是否非法限制iPhone行動錢包的限制，且<a href="https://www.ithome.com.tw/news/150723" target="_blank">初步認為</a>蘋果濫用其主導地位，限制了利用iPhone進行支付的所需技術。</p> <p>蘋果在iPhone、Apple Watch、Mac及 iPad上內建了該公司所開發的Apple Pay行動錢包服務，它不僅可於實體及網路商店上支付，還整合了會員卡、門票、登機證或身分憑證等功能。Apple Pay是利用近場通訊（Near Field Communication，NFC）與商店的支付端點通訊。然而，過去蘋果一直以安全為由，禁止第三方行動錢包存取iPhone上的NFC功能。</p> <p>EC認為，NFC是個標準化的免費技術，並非由蘋果開發，它可利用二維條碼進行支付，也是現階段最安全且無縫的行動支付，亦為歐盟最普遍的解決方案。然而，在智慧行動裝置市場、NFC功能及行動錢包占有重要地位的蘋果，卻拒絕將iPhone上的NFC功能提供給行動錢包的競爭對手，而是將該技術保留給自家的Apple Pay，違反歐盟的競爭規定。</p> <p>蘋果在得到歐盟的通知後，於今年初提出一系列的承諾，接著便由EC針對相關承諾進行測試，最終在本周決定接受蘋果的提議。</p> <p>相關承諾包括蘋果將免費提供NFC功能予第三方行動錢包，有別於Apple Pay直接存取硬體的安全元件來執行支付，第三方行動錢包將可藉由與Android一致的主機卡模擬（Host Card Emulation，HCE）模式，利用軟體解決方案進行安全的NFC支付；此外，蘋果亦將允許第三方行動錢包使用Face ID、Touch ID及密碼來驗證用戶身分，也可透過iPhone側邊按鍵的按兩下功能來執行所偏好的支付程式；蘋果還將開放使用者選擇第三方行動錢包作為預設值；亦承諾要放行開發者於錢包中整合交通卡、存取控制、門票、數位身分憑證等。</p> <p>簡單地說，此一承諾將讓第三方行動錢包取得與Apple Pay幾乎一模一樣的功能，替使用者帶來無縫的支付體驗。</p> <p>蘋果必須在今年7月25日之前實現此一承諾，不過，現階段該承諾僅適用於歐洲經濟區（European Economic Area），並不確定蘋果是否或何時會將它延伸至其它市場。</p> </div></div></div>
2024/7/12 12:01作者陳曉莉https://www.ithome.com.tw/news/163910
三星具AI健康量測功能的智慧戒指Galaxy Ring正式推出，定價400美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年CES 2024大會上<a href="https://www.ithome.com.tw/news/161510" target="_blank">公開亮相</a>後，三星昨（11）日<a href="https://news.samsung.com/us/samsung-galaxy-ring-watch7-watch-ultra-wearables-provide-intelligent-health-wellness-data/" target="_blank">宣布</a>整合AI與健康量測功能的智慧戒指Galaxy Ring正式上市，售價399.99美元。</p> <p>Galaxy Ring將提供有9種尺寸，金、銀與黑三種顏色選擇。依大小而定，三星智慧戒指重量僅2.3公克到3.0公克，但是採用10ATM、IP68防水設計及Grade 59鈦金屬，10ATM意謂可沈入水中100米10分鐘或180公分約30分鐘，適用浮潛和游泳，強調適用情境廣泛。和競爭者Oura Ring相同，Galaxy Ring一次充飽電也可配戴最長7天。Oura的價格為299到549美元之間外加5.99月費，可提供體溫、心率、血氧量測。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-samsung%20galaxy%20ring-3.png" style="width: 400px;" /></p> <p>但Galaxy Ring最大特色是整合感測器和Galaxy AI功能。Galaxy Ring結合Samsung Health數位健康平臺，提供AI個人化健康管理，而且不需訂閱費就有。Galaxy Ring內建的感測器包括光電容積圖（PPG）、加速計、體表溫度計等感測器，並以AI分析產生數種健康指標。主打功能是結合睡眠AI演算法的睡眠監控，除了睡眠階段、打鼾分析，並加入睡眠中的動作、睡眠障礙、心率和呼吸率，這項功能可用於偵測睡眠呼吸中止症。此外，它可透過量測夜間體表溫度提供女性經期追蹤，並利用睡眠、動作、睡眠心率及睡眠心率變異（Heart Rate Variability）分析提供活力與心臟健康的監控。Galaxy Ring所有資料都整合於手機Samsung Health App，用戶可由此存取量測結果、長期紀錄以及三星的健康建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-galaxy-ring-energy-score-image-pc.jpg" style="width: 600px;" /></p> <p>健康量測之外，Galaxy Ring支援手勢感知，結合三星Galaxy手機，用戶以捏指動作二次控制手機相機拍照，或關閉鬧鐘。用戶也可利用三星手機Samsung Find功能中的Find My Ring來尋找不見下落的Galaxy Ring。要使用手勢感知功能，三星Galaxy手機需執行其使用者介面軟體One UI 6.1.1以上。</p> <p>Galaxy Ring現在可在Amazon、Best Buy和Samsung官網<a href="https://www.samsung.com/us/rings/galaxy-ring/" target="_blank">預購</a>，預計7月24日出貨。</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／三星</span></p> </div></div></div>
2024/7/12 10:53作者林妍溱https://www.ithome.com.tw/news/163907
【蘋果私有AI戰略關鍵1】靠LoRA架構裝置端GAI擁有專門能力，為超強AI代理打基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月，蘋果WWDC搶盡了所有人的目光，不只是因為蘋果終於發表了生成式AI戰略，更因為蘋果從應用面，展示了生成式AI如何流暢地整合到不同應用場景中，操作體驗的流暢性和直覺設計，讓人大開眼界。</p> <p>蘋果執行長Tim Cook在WWDC開場演講中強調，蘋果打造任何產品都必須符合五大原則，首先是必須強大，能夠完成用戶重要的工作。其次是直觀易用，深度整合到產品體驗，第四是最重要的一點，它必須了解使用者，最後一項是，產品從一開始就必須以隱私為基礎。他強調，結合這些因素所打造的人工智慧，就是「個人智慧」（Personal intelligence），這也是蘋果的下一步重大發展。」蘋果用蘋果智慧（Apple Intelligence）來命名這一套個人智慧的系統。</p> <p>不同於其他生成式AI，蘋果軟體工程資深副總裁Craig Federighi指出，這套蘋果智慧系統將強大的生成模型放到蘋果產品的核心，可以依據個人的脈絡資訊，來提供有幫助又有相關的智慧。「每一步都保護你的隱私，高度整合到蘋果的平臺中，遍布在溝通、工作和表達自我的應用中。」</p> <p>Craig更強調：「蘋果智慧最大特色是可以了解使用者的個人脈絡。」所以才能讓iPhone、iPad 和 Mac這些裝置可以理解和生成出文字與圖像，也可以代表個人來採取行動，簡化跨不同App之間的互動。</p> <p>換句話說，蘋果智慧這套個人智慧系統，不只是高度個人化，而且是蘋果希望做到，只有自己看得到，用得上，其他人，連提供平臺的蘋果自己都不能看，除非獲得使用者主動的授權才能存取，可以說，蘋果智慧就是一種個人可以高度掌控的私有化AI。</p> <p>為了實踐這個隱私優先的設計考量，蘋果在生成式AI運作架構上，採取了雲地混合的AI基礎架構設計，在裝置端提供了30億參數的LLM模型，當地端GAI的能力不足時，才交由雲端的LLM模型接手。蘋果打造了一套「私有雲端運算」（Private Cloud Compute，簡稱PCC）服務來執行這些雲端的LLM模型，確保雲端GAI服務能夠達到蘋果想要的隱私保護要求，這是蘋果實踐私有AI戰略的另一個關鍵，我<a href="https://www.ithome.com.tw/news/163904" target="_blank">會用另一篇文章來說明</a>。</p> <p>雖然雲端PCC有很好的隱私安全設計，但是蘋果希望最好能在本地端裝置上，就能滿足使用者日常工作上、家庭中使用的各種GAI應用需求，必須盡可能發揮30億參數的能力。靠裝置端LLM模型能夠滿足越多使用需求，就能避免將個人資料上傳到雲端，也越能確保使用者的隱私。蘋果克服這項挑戰最大的關鍵就LoRA架構。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LoRA架構是蘋果裝置端LLM的關鍵架構</strong></span></span></p> <p>蘋果用他們在2023年開源釋出的AXLearn框架來訓練裝置端的LLM模型，也只用蘋果網路爬蟲機器人蒐集到的公開可用資料和其他有授權的資料來進行模型的預訓練，也採用了人工標記資料和合成資料來提高訓練素材的品質。在後訓練中，也採取了人類回饋強化學習RLHF等作法來優化模型。</p> <p>蘋果還採取了大量模型優化作法，例如所用的LoRA轉接模型（Adapter）採用了2位元和4位元搭配出平均3.5位元的權重壓縮策略，來縮小模型大小。蘋果更在2021年秋天，啟用了一套互動式的ML模型效能分析工具，讓ML工程師可以自己分析模型的行為指標（如準確性、精確度）和硬體指標（模型大小、延遲、功耗）的成效，2年來，蘋果內部超過8百人使用，用來分析超過3,600套各式各樣的模型。</p> <p>透過許多模型優化機制，讓這個30億參數的LLM模型，在iPhone 15 Pro回應第一個提示詞元（Token）的延遲時間，只需要0.6毫秒，也就是不到千分之一秒，就能生成第一個字的反應速度。目前每秒可以生成30個詞元，蘋果希望能持續提高生成的速度。</p> <p>除了各種優化作法，為了讓裝置端LLM，可以針對使用者各種日常活動來微調，盡可能只靠裝置就能完成任務，蘋果採取了一個非常關鍵，甚至可能是裝置端架構最重要的設計，蘋果採用LoRA（Low-Rank Adaptation）架構來部署LLM模型。這是微軟在2021年發布的大型語言模型優化架構，可以大幅減少微調大型語言模型的參數量。</p> <p>這邊不會詳細解釋LoRA的運作原理，簡單來說，LoRA作法是，在對一個大型語言模型進行微調時，可以搭配一個參數量相對小很多的神經網絡模型，稱為轉接模型（Adapters）來計算，訓練資料只需要來微調這個轉接模型，就能達到媲美直接微調大型語言模型的推論效果。</p> <p>一般來說30億參數的LLM模型，採用各種模型壓縮技術，可能也需要1、2GB的記憶體，但是，以蘋果所用的30億參數裝置端模型，他們採用了16位元，Rank值16設定的轉接模型大小，只有數十MB大小。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%BD%89%E6%8E%A5%E6%A8%A1%E5%9E%8B%E5%A3%93%E7%B8%AE-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%98%8B%E6%9E%9C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>利用LoRA架構，蘋果智慧可以使用同一套裝置端LLM模型，來搭配各種不同用途的轉接模型，蘋果目前已經訓練出了語言生成模型的多種轉接模型，像是摘要模型，校對模型、郵件回覆模型、查詢處理模型、友善回應模型、緊急回應模型等，在圖片生成也有許多不同用途的專用模型。</strong><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>轉接模型只有數MB，用記憶體快取就能快速切換不同模型</strong></span></span></p> <p>因為裝置端像是手機、平板的記憶體有限，蘋果指出，這個大小的轉接模型，就可以動態使用記憶體來快取，切換不同的轉接模型。等於只需要載入一份LLM，可以針對不同任務需求，快速切換不用用途的轉接模型，就可以讓GAI具備不同用途的專門能力，就可以更有效的管理記憶體，也能確保在裝置上的回應速度夠快。</p> <p>採取LoRA有兩大好處，一是在模型預訓練階段，因為主要針對轉接模型進行微調，可以大幅減少需要訓練的參數量，很容易可以訓練出因應不同用途的轉接模型，例如用翻譯用轉接模型、內容摘要用轉接模型等。只需要使用不同用途的訓練資料，就能微調出適合不同任務的專用轉接模型，而不用每次都花時間和算力來微調大型語言模型。</p> <p>另一個好處是，一個大型大型語言模型，可以搭配使用不同的轉接模型，換了一個轉接模型，就能擁有這個轉接模型所微調後的效果，例如換上「內容摘要用轉接模型」，就能提高LLM摘要內容的能力和品質，甚至，可以串接多個轉接模型來疊加效果。</p> <p>若用專業相機的鏡頭來比喻LLM模型，不同鏡頭可以提供不同的功能，但是轉接模型就像是鏡頭的濾鏡，一個鏡頭可以搭配不同功能的濾鏡，不用每次都切換笨重的鏡頭，也能單靠快速更換濾鏡，就能拍出不同風格效果的照片，一個鏡頭還能搭配多個濾鏡，來呈現複合的效果。</p> <p>利用LoRA架構，蘋果智慧可以使用同一套裝置端LLM模型，來搭配各種不同用途的轉接模型，蘋果目前已經訓練出了語言生成模型的各種轉接模型，像是摘要模型，校對模型、郵件回覆模型、查詢處理模型、友善回應模型、緊急回應模型等，在圖片生成也有許多不同用途的專用模型。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>可以用不同專門模型，指揮第三方App來執行特定任務</strong></span></span></p> <p>蘋果將蘋果智慧的功能，高度整合到系統元件中，不同功能用途的元件可以使用對應功能的專用轉接模型，來提高執行特定任務的能力。</p> <p>蘋果新增的個人脈絡能力，像是語意索引、螢幕文字理解，將使用者當下的畫面，或與一項行動所需的相關個人化資訊，也可以用來分辨，裝置端LLM模型可以搭配使用哪些轉接模型來強化，符合個人化脈絡操作需要的能力，更可以搭配蘋果的App意圖框架，根據不同的App意圖，切換適合這項意圖的轉接模型。</p> <p>早在2年前的WWDC 2022，蘋果就發表了可讓Siri控制的App意圖，能讓使用者用語音指揮Siri來控制某些App的內部行為，更可以透過蘋果OS中的捷徑功能，組合不同App的行動，打造出一隻自動化RPA程式一樣，後來發展成了現在App意圖框架，到了今年WWDC，App意圖是整個系統可以用的基礎功能，任何第三方App，都可使用App意圖框架，將App內部的核心功能，定義成可以供Siri、Spotlight搜尋或是捷徑可以操作的App意圖。過去幾年已有不少第三方App，自定出了數百項App意圖，都成了Siri可以指揮的行動，讓蘋果智慧呼叫這些第三方App，來完成不同用途的功能。</p> <p>不只如此，過去幾年，蘋果不斷強化裝置端的隱私機制，盡可能讓用戶擁有更大的資料自主權，從2021年上路的ATT（App Tracking Transparency，ATT）政策，可拒絕廣告識別碼，來避免跨App追蹤，可隱藏真實Email的Hide My Email功能，可隱藏用戶IP的Private relay，更容易開關的精細權限控管、揭露度更高的App隱私報告。今年更新增了App層級的隱私控制，可以將一隻App所用的資料上鎖，沒有解鎖，就無法看到這隻App所用的任何資料。這就讓使用者對裝置端上的App，有更高的資料主控權，也能讓各種裝置端AI代理，更安全、在授權下，完成各項App意圖所驅動的行動。</p> <p>蘋果採用LoRA架構和種種模型優化技術，讓裝置端的LLM，可以快速切換搭配不同的專用轉接模型，來提供不同任務需要，更專門的GAI能力，還能用來判讀，使用者下達的指令背後的意圖，可以使用哪些第三方App能支援的行動來滿足使用者的需求，這就像是一個以使用者名義來採取各種行動的AI代理，而且蘋果智慧的AI代理，還可以只靠裝置端LLM，就能完成大部分日常活動需要的任務。</p> <p>蘋果在WWDC主題演講中，一點都沒有提過「AI代理」這個字，這個今年各大科技巨頭強打的GAI新主流，但是，採取LoRA架構來實現超強裝置端LLM的蘋果智慧，早已展開了各項AI代理基礎工程的布局。</p> <p><a href="https://www.ithome.com.tw/news/163904" target="_blank"><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 相關報導 </span></span> 【蘋果私有AI戰略關鍵2】用5大安全設計落實隱私3準則，打造高度私有的雲地混合架構</strong></span></a></p> </div></div></div>
2024/7/12 09:52作者王宏仁https://www.ithome.com.tw/news/163901
【蘋果私有AI戰略關鍵2】用5大安全設計落實隱私3準則，打造高度私有的雲地混合架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「了解個人脈絡資訊是AI真正有用的關鍵，但要用正確的方式來取得，用戶不應交出種種生活細節，就為了存到業者AI雲上來分析。」蘋果軟體工程資深副總裁Craig Federighi在WWDC產品發表，點出了現今雲端GAI應用最大的兩難。</p> <p>GAI模型需要個人化的資訊，才能提供更準確的建議或行動，但是越強大的LLM越需要算力來推論，只能上雲。這就導致，使用者得提供種種個人化的資訊，上傳到公雲上的GAI服務，可是，又無法確保，GAI業者會如承諾地，不將這些個人私密資料用來訓練模型，甚至有些業者乾脆調整使用條款，如Meta，宣布日後上傳到臉書的公開貼文，將成為模型訓練的素材。</p> <p>如何以「正確的方式」取得，讓用戶保有最大的隱私自主權，這是蘋果AI戰略實現「私有化」最關鍵的一步。蘋果不只承諾，從來不會使用用戶資料來訓練模型，更採取了雲地混合架構的AI運算，優先採用裝置端AI，當地端模型不敷使用時，改由一個「私有雲端運算」（Private Cloud Compute，簡稱PCC）上的模型來接手推論。</p> <p>蘋果甚至強調，PCC創造了一個全新的雲端AI隱私標準。這個隱私標準包括了三項準則，包括了「你的資料永不保留」、「只用於你請求的用途」以及「可驗證的隱私承諾」。蘋果強調，「私有雲端算力」服務，將會遵守這三項要求，會開放第三方來查驗。</p> <p>為了落實這三大隱私準則，來打造高度私有的雲端運算環境，蘋果採取了5個PCC安全設計原則。一是採取無態運算來處理個人資料，避免資料留存在PCC上遭追蹤。其次是用技術確保隱私承諾能做到最強，像是避免靠外部機制或元件來確保安全。第三個原則是禁止任何runtime執行階段的特權存取，像是移除特權存取功能，就能徹底杜絕管理者繞過隱私控制機制。第四要避免遭攻擊鎖定的能力，要想辦法特定節點遭入侵，導致特定使用者的資料被竊取。最後一項原則也是業界少有人做到的是可驗證的透明度，開放給第三方資安研究人員，來驗證自己的安全性保證。</p> <p>蘋果在PCC上，如何實踐上述五項安全設計，可以分三個層次，從硬體安全、軟體安全和安全驗證來說明。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從硬體安全、軟體安全和安全驗證來看PCC隱私實踐</strong></span></span></p> <p>先從底層硬體安全開始，PCC的運算節點採用的是蘋果晶片的伺服器，蘋果自製的系統單晶片，包括了手機、平板和筆電用的M系列或是伺服器用的M2/M3 Ultra系列等，除了內建CPU、GPU和AI運算用的NPU之外，最大特色是內建了一個安全隔離區（Secure Enclave），內有一個開機ROM、AES加密引擎以及產生密鑰需要的資料，可以用來處理作業系統上的任何加密、解密需求。</p> <p>當用戶的AI推論請求，從蘋果裝置傳送到雲端的PCC節點，在雲端進行推論計算，再將結果回傳到裝置上，都可以使用裝置或雲端PCC上的晶片硬體加密引擎來提供端到端的加密保護，這也正是蘋果採用自家晶片伺服器來打造PCC的原因之一，可以採用同一套硬體晶片加密技術來確保安全，也能用晶片製造時就內建的ROM來確保開機安全。這是蘋果PCC運算環境的信任基礎。</p> <p>在PCC軟體架構層的安全上，PCC的軟體架構包括了4層，最底層的私有雲軟體OS，維運需要的私有雲外掛程式，提供給SRE用工具就屬於這類外掛，第三層則是Swift語言打造的ML軟體架構層，最上一層則是蘋果各種伺服器端執行的大型模型。</p> <p>進一步來說，PCC節點伺服器底層所用的作業系統，是一個客製化版本。蘋果以iOS和macOS為基礎，改造出了一款特殊修改過的新版作業系統，保留了執行LLM推論需要的相關元件，來減少軟體的攻擊面，降低資安風險，也引進了iOS的安全機制，例如程式碼簽署和安全沙盒，只有經過授權和加密測量的程式碼才能在節點上執行。</p> <p>尤其，這款新OS更移除了傳統資料中心管理者慣用的通用管理工具，例如移除了SSH和遠端shell工具，改為只提供SRE人員需要的特定用途可觀察性工具。並且採用了Swift語言，打造了一套Swift on Server機器學習軟體架構，來執行雲端基礎模型的推論運算。</p> <p>使用者上傳的資料，只會在處理請求的PCC節點上進行推論計算，完成請求後就會刪除，不會用任何形式保留，例如像是不會保留在Log或除錯訊息中。因為每一次重新啟動時，就會隨機產生新的加密金鑰，也會用加密方式擦除資料也只有獲得授權的PCC節點內部的程式，才有權解開端到端全程加密的資料，就連蘋果任何員工，都無法解開、看到這些使用者的資料，已無法透過特權工具或機制，來存取得這些節點內的資料。</p> <p>PCC節點提供給SRE所用的可觀測性數據，也經過隱私考量設計，不提供通用性日誌記錄，而只提供預先設計、結構化和經過跨團隊層層審查的Log和指標資訊，才能離開PCC節點，來確保使用者資料在系統管理過程中不會外流到節點外。</p> <p>透過這一套專為AI推論量身打造的軟體技術架構，搭配蘋果自製硬體晶片，就可以滿足三大AI隱私標準的前兩項，至於第三項「可驗證的隱私承諾」，蘋果的作法更是獨樹一格。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E8%98%8B%E6%9E%9C%E6%99%BA%E6%85%A7%E9%9B%B2%E5%9C%B0%E6%B7%B7%E5%90%88%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%98%8B%E6%9E%9C(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>蘋果智慧採取了一套「私有」的雲地混合雲架構，使用者有最大的資料自主性，連蘋果都無法偷看。自製晶片上的安全隔離區（Secure Enclave）是最關鍵的信任基礎，更釋出雲端執行環境的映像檔和安全相關程式碼，來獲取全世界的擔保。</strong><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>蘋果獨創的隱私承諾驗證新作法</strong></span></span></p> <p>蘋果直接釋出了正式版本的雲端執行環境軟體映像檔，釋出給第三方驗證，來審視，蘋果自己實際在雲端節點所執行的環境，確實做到如他們所承諾的安全保證那樣。這個軟體映像檔包括了PCC私有雲軟體OS、私有雲端外掛程式，以及ML軟體架構層，等於是執行大型語言模型需要的所有軟體，都在這個映像檔中，只有上面的大型語言模型參數和ML程式碼沒有釋出。</p> <p>釋出自家軟體映像檔，提供給第三方查驗安全性，不是蘋果獨創的作法，有不少軟體業者也願意或公開自家軟體程式碼或映像檔，來證明和擔保自家軟體的安全性，但多數軟體業者釋出的版本，雖然也是正式版本，但不一定是實際真正執行的版本，實際在雲端主機上執行的，可能是更新更多功能的新版本，或是經過優化、微調後的版本。蘋果不只釋出實際使用的正式版本，還有一套方法向外界證明。</p> <p>蘋果在年底PCC對外啟用後，會發布一個採取了加密防篡設計的公開日誌，只能新增紀錄不能刪除，上面會釋出，PCC節點上所有程式碼執行的量測數據。另外，也會釋出相關軟體二進位映像檔，供研究人員與日誌上的Log紀錄比對。蘋果也會提供一套官方工具，讓資安研究人員分析PCC節點上的軟體，最後是透過蘋果資安漏洞獎勵計畫，來獎勵那些發現新漏洞的研究人員。</p> <p>每一個使用者的裝置要將資料上傳到PCC節點上進行AI推論時，會比對PCC節點上軟體的公開金鑰，是否符合公開日誌上正式版本的軟體，而節點上的所有程式碼，也同樣透過程式碼簽署技術，來確保屬於公開日誌上紀錄的版本。換句話說，蘋果智慧要將資料傳到PCC上進行推論時，只能傳送到使用了第三方驗證軟體的PCC節點。蘋果透過這個方式，由第三方來查驗和擔保，PCC雲端AI推論主機所用的軟體，都是符合蘋果對外隱私和安全保證的版本。</p> <p>蘋果還提供了一套PCC虛擬研究環境，可以在本地端Mac上模擬出一個PCC節點，來查驗上面軟體的功能。不只是釋出PCC節點的映像檔，甚至，蘋果承諾會定期釋出資安相關的PCC原始碼，提供資安人員檢查。</p> <p>為了證明，自家雲端AI是一個高度保護使用者隱私的環境，連蘋果自己都無法濫用、偷用的環境，蘋果大膽採取了開放完整映像檔和關鍵程式碼的作法，更是借力使力，讓全世界的資安人才都來幫自己強化安全的高招。</p> <p>不只如此，自製晶片上的安全隔離區，正是蘋果這套私有「雲地混合」架構最重要的信任基礎，也是最大的差異化特色。透過原廠晶片上的硬體建立信任基礎，來確保整個架構的安全，這是其他單靠自家軟體，搭配第三方硬體晶片，所難以實現的安全完整性。隨著科技巨頭爭相自行打造晶片，內建硬體安全也將成為新的晶片標準配備。</p> <p>「你的資料，就是你的資料」這是科技巨頭常標榜的顧客「資料自主性」承諾，相當於是蘋果「你的資料永不保留」和「只用於你請求的用途」這兩項AI隱私原則的要求，但蘋果以獨創的作法，實踐了「可供第三方驗證」原則，再一度創造了雲端AI隱私的新標準。</p> <p><a href="https://www.ithome.com.tw/news/163901" target="_blank"><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 相關報導 </span></span>【蘋果私有AI戰略關鍵1】靠LoRA架構裝置端GAI擁有專門能力，為超強AI代理打基礎</strong></span></a></p> </div></div></div>
2024/7/12 09:55作者王宏仁https://www.ithome.com.tw/news/163904
蘋果私有AI戰略大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1190-feng_mian_-p1_open-dou_zi_-960x420_kao_bei_0.jpg?itok=A_EvkwjZ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>向來主打隱私作為品牌競爭力的蘋果，瞄準AI最為人擔心的隱私風險，揭露了最新的AI產品「蘋果智慧」，這不只是一套個人智慧系統，更是一套高度私有化的私有AI系統，從軟硬體設計、隱私安全架構到AI代理運作設計，打造了一套高度保護隱私的雲地混合AI架構，不只建立新的隱私安全標準，更創造了蘋果獨有的AI生態圈</p> </div></div></div>
2024/7/12 09:55作者王宏仁https://www.ithome.com.tw/article/163905
當安全性左移還不夠時
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_wei_xie_jian_mo_960x420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>讓我們開門見山地說：威脅建模是一個持續循環的過程。它以明確的目標開始，然後是分析和採取相對應的處置行動，然後再重複這一個過程。威脅建模並不是萬靈藥──它並不能解決你的所有安全問題。威脅建模也不是一個指向網站或是程式碼儲存庫的雷達，一鍵生成可供勾選的項目清單列表。如果你讓團隊中適當的人員參加，則威脅建模是一個合乎邏輯推導且充滿智慧的過程。它會將設計考量和執行步驟進行充分討論，並使其更為清晰與完整。這些過程都需要團隊成員一同付出工作時間與專業知識來參與。</p> <p>威脅建模的第一條規則可能是古老的格言「垃圾進，垃圾出」（garbage in, garbage out）。如果你將威脅建模作為團隊工具箱的一部分，並讓每個人都以積極的方式參與其中，你將獲得很多好處；反之，如果你並沒有充分理解威脅建模的強處與弱項，或並沒有全心全意的投入其中，只把它當成一個「檢查項目表」，那這個過程就只是一個浪費時間的行為。</p> <p><em><span style="font-size:28px;"><strong>為什麼需要威脅建模</strong></span></em></p> <p>了解你的系統中可能出現的問題以及你可以透過做些什麼來增加你對所交付內容的信任，這才能讓你可以自由地專注於系統的其他方面。這就是威脅建模需求背後的真正原因。</p> <p>相同地，正確理解你不需要威脅建模的原因，也是很重要的事情。威脅建模並不能解決你所有的安全問題；它也不會立即將你的團隊轉變為安全專家。最重要的是，你不需要透過使用它來符合什麼安全規範。如果執行安全性實踐措施只是為了在符合規範的檢查表中打勾，那比什麼都沒做更令人沮喪。</p> <p>責怪開發人員不知道一些基本且重要的資安知識是不公平的。況且市場上的訓練機構，主要專注於交付商業導向的目標給開發人員，例如系統合規性，藉此滿足訓練機構的培訓目標及其他各種指標，在如何傳達有效、實用的安全內容給開發團隊並協助他們轉化成知識和實務操作方面，我們其實還有很大的進步空間。</p> <p>安全專家的任務之一是促進開發者社群的資訊安全教育發展。這包括如何開發出安全的系統，以及開發完成後如何評估程式碼和系統的安全性。為了達成這個目標，使用一些昂貴的資安工具往往可以補足公司或組織內尚未發展的資訊安全專業量能，但是使用工具的作法也會對使用者大幅地隱藏工具背後的專業知識。如果開發團隊成員能更了解工具背後的偵測方法，而不僅僅只是使用它，那麼團隊將獲益匪淺。以下是只會使用但卻沒有深入了解背後原理的例子：</p> <p>●簡單又有效的掃瞄器和靜態程式碼分析工具往往號稱採用人工智慧、機器學習、污染分析、攻擊樹以及某種神祕力量，但卻無法始終如一地產生相同的結果，或者給出的誤報比實際有用的答案還多。更甚者，分析工具往往希望等整個系統準備好了再執行掃描，此一做法與現代的持續整合/持續開發（CI/CD）軟體開發方法相悖。</p> <p>●顧問諮詢服務通常是被請求時才參與執行安全業務，往往都是忽然地出現，執行補救措施或教育訓練，然後便揚長而去。這在我們眼中就像海鷗一樣，牠們猛然地撲了過來，在你們身上拉了坨屎，再拍拍屁股走人，留下開發團隊自行處理後果。太過於依賴即時的安全顧問會帶來不利的長遠影響，因為資訊安全顧問並不是團隊成員，或許也並非公司的一員，顧問的利益與團隊目標無關，因此他們不會注重自己工作成果的長期影響。</p> <p>身為安全專家的我們也在組織內給開發人員製造了一種錯誤的期望值，例如以下的例子：</p> <p>●一個組織可以透過購買行為來獲得它的安全性態勢。如果組織在資訊安全工具上投入足夠的資金，那麼它將解決所有的安全問題。</p> <p>●每一季必修30分鐘資安訓練課程就足以讓開發團隊學習到公司對他們的期望目標，同時也能通過公司的稽核標準。且基於這些一流的訓練內容，開發團隊採用訓練內容中的工具也一定會保持警覺，並驗證團隊是否確實地遵循安全守則完成工作。</p> <p>最近（自2019年年中以來）資訊安全產業已經慢慢地接受安全性左移的概念。想像一下你要從左到右進行閱讀，而這個流程的起點在左端。當我們說左移的時候，意思是不論團隊使用什麼樣的開發方法，我們希望將安全實踐措施盡可能地移動到開發工作流程中的起點去執行。這樣做可讓潛在的資安事件發生並儘早得到處理。此外，與設計密切相關的資訊安全考量應該在系統的開發生命週期中儘早參與，例如威脅建模。如果你們團隊尚未採取這樣的措施，那麼現在應該即刻實踐。</p> <p>隨著軟體開發流程日益進步與變化，傳統上由左至右的開發週期的線性程度變得愈來愈低，使得安全性左移可能無法滿足系統中的所有安全需求。相反地，安全性左移在社群發展中日漸重要，在一個資訊系統開始考量其安全性之前，資訊安全社群需要被視為個體並進一步左移走進開發人員和設計師的日常工作。在這個出發點之上，我們將需要專注於培訓開發團隊做出安全的選擇，並帶來安全開發能力，從而在更基本的層面上避免威脅。</p> <p>依照資訊安全產業的整體培訓工作成果，我們預期看到資訊安全被落實在開發流程上的安全性左移，並在實作階段上以容易理解的語意和以邏輯化的程式碼所表達。但是如果前述的訓練失敗了呢？我們有哪些可能的糾正措施來糾正失敗的假設？</p> <p>讓我們從另一個角度來看，然後將各個部分連接成對這個情境的連貫回應。在討論安全策略時，有些人會以「在餐桌上的位置」來比喻安全資源的分配與優先處理事項。安全團隊和主管都希望「涉及的利益相關者」在「正在進行的討論」中為安全保留「一席之地」。好處是可以讓利益相關者釐清他們的需求，再從資源蛋糕中分得一杯羹。但是還有一個重要的資源沒有計算進來，那就是開發人員的時間和專注力。</p> <p>來看看網頁開發人員的例子，如果一個網頁開發工程師在早餐前學了LAMP技術棧，那這個技術知識可能在午餐過後就變得過時了，因為此時整個資訊產業已經遷移到MEAN技術棧。然後MEAN技術棧或許在下午茶時間又被另一個閃亮的新技術給取代，直到MEAN技術棧本身進化成另一個新玩意兒，並重新加入這個輪迴。也難怪網路上有許多迷因圖談論工程師永遠有學不完的東西，並且那些學到的專業知識通常都很快就過時。然而，不論這些技術存活時間多久，它們每一個的確都帶來新的安全挑戰以及與安全相關的習慣用法和機制。當然不免俗地，每一個技術棧也擁有自己的安全遵守規範，而開發者們必須理解和整合這些使用習慣，以便有效地保護他們正在開發的系統。</p> <p>如果網站不能關閉，而且網站的日常維運工作與開發人員學習新工具是在同一個時間進行，那又怎能期望網站安全性可以共享開發人員的時間與專注力，期待獲得比預期更多的收穫呢？</p> <p>這就是十字軍東征的開始──正如Richard Feynman告訴我們的那樣：「教授原則，而不是公式。」在本書中，我們將專注於原則，以幫助你理解和思考哪種威脅建模較適合你的用途、它如何在你的特定使用案例中提供幫助，以及你如何才能最好地將它應用到你的專案和團隊之中。<strong>（本文摘錄整理自《威脅建模》導論，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%A8%81%E8%84%85%E5%BB%BA%E6%A8%A1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_碁峰資訊</span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 威脅建模：開發團隊的實務指南（Threat Modeling）</strong></p> <p>Izar Tarandach, Matthew J. Coles／著</p> <p>簡誌宏／譯</p> <p>碁峰資訊出版</p> <p>定價：680元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%A8%81%E8%84%85%E5%BB%BA%E6%A8%A1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 200px;" /></p> <p><a href="https://www.amazon.com/stores/Izar-Tarandach/author/B08FJFQ7J6?language=zh_TW&ref=sr_ntt_srch_lnk_1&qid=1720447216&sr=1-1&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a></p> <p><strong>Izar Tarandach</strong></p> <p>Izar Tarandach曾是橋水公司(Bridgewater Associates)的資深資安架構師，在加入橋水公司之前，他亦曾在歐特克公司(Autodesk)負責產品安全架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%A8%81%E8%84%85%E5%BB%BA%E6%A8%A1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Horangi.png" style="width: 200px;" /></p> <p><a href="https://www.youtube.com/watch?v=rDTiARBLB2g" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Horangi</span></span></a></p> <p><strong>Matthew J. Coles</strong></p> <p>Matthew J. Coles在博士公司(Bose)負責產品資安專案以及擔任產品安全架構師，在加入博士公司之前，他在易安信公司(EMC)的類比產品團隊任職資安架構師。</p> </div></div></div>
2024/7/12 06:00未署名https://www.ithome.com.tw/article/163838
【從評估檢測必要性到事後風險評估的流程全解密】樂天市場揭露產品資安檢測方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位產品上線前是否該進行資安測試，怎麼測試才不容易漏測，測完應該怎麼做？臺灣樂天市場資安稽核團隊經理紀文平分享樂天市場從事前評估檢測需求到事後規畫解決方案的做法中，如何透過溝通與制度化來強化檢測嚴謹度，以及這套做法和臺灣常見做法的不同之處。紀文平所屬團隊是樂天集團3個國家的產品測試團隊之一，負責集團在各國的產品資安測試跟滲透測試。</p> <p>產品上線前資安檢測，指的是產品正式發布或改版前，由資安工程師扮演攻擊者，來試探系統漏洞，以在產品正式發布前修復或制定其他處理方針。樂天完整的檢測程序分為四個階段，包括了檢測必要性評估階段、提交需求的準備階段、正式檢測階段，以及事後風險評估階段。</p> <p><span style="font-size:28px;"><strong>產品上線前資安檢測要先評估必要性</strong></span></p> <p>紀文平指出：「像樂天這樣大型跨國企業有大量產品發布或改版，必須決定資安檢測的必要性及優先度。」例如，如果只是使用者介面排版更新、韌體小型更新、或靜態網頁更新，樂天未必會進行資安檢測。紀文平說，正式進入檢測階段前，企業需要有一套決策機制來評估資安檢測必要性，樂天也有一套自己的評估決策樹。他建議，企業可以從四個面向，來制定適合的必要性評估機制。</p> <p>第一個考慮面向是從攻擊表面來評估，也就是從產品部署環境，來評估攻擊者可以從哪些面向來對產品下手。可以考慮，部署環境有無外部保護機制？網路環境為何，有沒有WAF、VPN、Load Balancer、Proxy等機制？攻擊者能不能直接從外網接觸到此產品？都是需要考慮的事項。</p> <p>紀文平補充，當產品直接部署到客戶端環境，檢測時就要假設沒有任何額外防護，不能心存僥倖。如果是部署在自家可控環境，作為一個SaaS服務提供給客戶，測試時要連同內部執行環境的防護措施一併納入考量。</p> <p>第二個面向是產品是否涉及敏感資料。例如，產品是否會處理到個人資料、信用卡資料等高度隱私資料，或是企業內部高機密等級的資料？另外，也需要依照資料特性，測試處理方法有遵循相關資料處理法規或標準。</p> <p>第三個面向則是從產品改動情況評估，改動幅度和內容會不會影響資安相關設定。可以問的問題包括：產品是否涉及關鍵系統？是新產品推出還是舊產品改版？是大版本更新和還是小幅改動？改動內容是否有影響產品功能或底層邏輯？</p> <p>最後一個面向則要考慮網路環境的改變，包括網路組態有無改變、使用的API及其他服務有無改動等。</p> <p><span style="font-size:28px;"><strong>產品上線前資安檢測的做法，臺日模式大不同</strong></span></p> <p>一項產品評估後，確定進行上線前資安檢測，便進入了準備階段，由開發方提交檢測具體需求給資安檢測方。紀文平觀察，樂天等日本企業，與臺灣常見檢測準備方法有明顯差異。他以《112年共同供應契約資通安全服務品項採購規範》作為臺灣做法範本，來和樂天做法比較。</p> <p>首先，臺灣做法常會以URL或IP當作基本檢測單位，比方說，一項內網滲透測試，就是以一個IP為單位去計算服務所需人天。</p> <p>但樂天會以更細緻的請求為單位。光是一個登入頁面，內有登入、忘記密碼、提交Email、回到上一頁、進入更改密碼頁面、提交新密碼、進入訂單中心、進入購買歷史等功能按鈕，就有8個請求，也就是8個需要檢查的項目，都需要各自執行一輪檢測作業。</p> <p>不只如此，樂天資安團隊還會要求開發團隊提供檢查項目的詳細資訊，例如HTTP 請求方法（HTTP Method）、目標URL，以及各種其他細項參數。紀文平說，這種做法的溝通成本較高，但可以讓測試需求更加清楚、細緻。</p> <p>開發方提交完需求，資安團隊便會正式進入檢查階段，這個階段的臺日做法，也大不相同。紀文平說，臺灣定義檢測種類時通常用較高層級、較概括的語言來描述，且只會舉例幾項應測試內容，不會窮舉所有可測試項目。紀文平指出，這種做法很依賴資安工程師經驗或是技術，來決定還有哪些項目應該測試。他舉例，XSS漏洞測試做法有很多種，像前述共同契約規範只有簡單提到「XSS漏洞測試」，這樣一來，若企業只根據該規範來測試，便無法保證負責的工程師能測試到各種細項。</p> <p>樂天則會有一個檢查表，詳細列出每一項檢查項目。以Web產品來說，這個檢查表上會有超過100個項目，包含OWASP Top 10、SANS Top 25，以及其他常見資安漏洞項目，資安工程師需要根據測試表項目逐一測試並標註測試完畢。紀文平坦言，這種做法較繁瑣，但至少能確保資安工程師不會因為經驗或知識不足而有所疏漏。</p> <p><span style="font-size:28px;"><strong>根據風險程度擬定解決方案</strong></span></p> <p>檢測完畢，樂天資安團隊會根據CVSS分數列出不同漏洞，並設定解決漏洞的時限。若開發團隊評估漏洞無法於產品正式發布前修補，則會啟動風險承擔（Risk Acceptance）評估程序，由資安團隊及開發團隊長官共同執行。</p> <p>樂天的風險承擔評估做法是，漏洞CVSS分數越高，便需要兩邊團隊越高階的主管批准，才能允許不在產品發布前修補這個漏洞。同意承擔這個漏洞的風險後，還需要擬定短期風險規避和長期漏洞修復計畫。</p> <p>通常，越高風險的漏洞越不容易被放行。少數特例是，只於內網運作的服務，綜合考量內網其他防護機制後，兩邊團隊主管都判斷此服務不容易被攻擊，才會選擇承擔漏洞風險。</p> <p>紀文平總結，樂天產品上線前資安檢測流程非常注重細節與溝通。從準備階段開始，要求開發團隊給予更多資訊及測試準備，測試階段以請求而非URL為單位，且用檢查表細緻定義檢查項目，到最後風險承受評估要求開發及資安兩方團隊共重承擔資任，都可見一斑。</p> <p>「訂出細緻具體的檢測流程，就不會只依賴資深工程師的經驗。」紀文平說。不過他提醒，這種做法也有其挑戰，包括溝通成本較高、聚焦細項容易忽略複合型的弱點，以及共同評估風險承擔容易模糊責任歸屬等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>樂天產品上線前資安檢測特色</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_(%E6%96%B0)%E5%9C%961-%E8%AB%8B%E6%B1%82%E7%82%BA%E5%96%AE%E4%BD%8D-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色1 </span></span></strong> <span style="color:#696969;"><strong>樂天產品檢查以請求為單位，而非以URL或IP為單位。例如，這個簡單的登入頁面就有高達8個請求，需要各自做一輪資安檢查。</strong><span style="font-size:14px;">攝影／郭又華</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_(%E6%96%B0)%E5%9C%962-%E6%AA%A2%E6%9F%A5%E7%94%A2%E5%93%81%E8%B3%87%E8%A8%8A-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色2 </span></span></strong><span style="color:#696969;"> <strong>提交檢查需求時，開發團隊需要給資安團隊詳細的產品資訊，包括HTTP請求方法HTTP Method、目標URL，以及各種其他細項參數。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／郭又華</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_(%E6%96%B0)%E5%9C%963-%E6%AA%A2%E6%9F%A5%E6%B8%85%E5%96%AE-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF(1).jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色3 </span></span></strong><span style="color:#696969;"> <strong>進行資安檢測時，樂天資安工程師會拿到一份詳細的檢查表，以Web產品來說，會有超過100個項目。工程師測試完，還須在檢查表上逐一標註完成。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／郭又華</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_(%E6%96%B0)%E5%9C%964-%E9%A2%A8%E9%9A%AA%E8%A9%95%E4%BC%B0-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色4 </span></span></strong> <span style="color:#696969;"><strong>開發團隊評估漏洞無法在產品上線前修補時，便須由開發和資安團隊主管共同決定是否承擔此風險，並擬定長短期應對計畫。CVSS分數越高，所需簽核主管等級越高。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／郭又華</span></p> </div></div></div>
2024/7/12 06:00作者郭又華https://www.ithome.com.tw/news/163842
不讓輝達ConnectX-7專美於前，博通首款400GbE網路卡上市
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/broadcom_400gbe_nic_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應深度學習與生成式AI應用狂潮，AI加速伺服器在全球市場大賣，帶動資料中心GPU與各種AI加速運算器的普遍採用之餘，下一波伺服器周邊裝置硬體更新焦點，是建置具有更大傳輸頻寬的內部網路環境，例如，這幾年來陸續有多家廠商推出<a href="https://www.ithome.com.tw/tags/400gbe%E4%BA%A4%E6%8F%9B%E5%99%A8">400Gb/s等級的乙太網路交換器</a>，以及<a href="https://www.ithome.com.tw/review/146313">InfiniBand網路交換器</a>，而在伺服器搭配的網路介面卡方面，400Gb/s等級的產品先前只有<a href="https://www.ithome.com.tw/review/149714">Nvidia推出的ConnectX-7</a>，同時提供400GbE與400Gb InfiniBand的網路卡，而在資料處理器的產品線上，他們也推出支援400Gb/s網路的BlueField-3。</p> <p>其他廠商推展更高頻寬網路卡產品的態度並不積極，例如，<a href="https://www.ithome.com.tw/review/144482">英特爾Ethernet 800系列的E810</a>僅提供至100Gb/s、支援PCIe 4.0 x16介面，6月2024 Computex展覽期間預告今年稍晚<a href="https://download.intel.com/newsroom/2024/artificial-intelligence/Intel-Network-Connectivity-Fact-Sheet.pdf">將推出E830，屆時將推出200Gb/s乙太網路、支援PCIe 5.0x8介面的產品</a>，而在ASIC架構IPU產品方面，他們推出的<a href="https://www.ithome.com.tw/review/163144">IPU E2100支援200Gb/s乙太網路</a>；另一家網路晶片廠商Marvell，旗下45000系列Ethernet NIC的FastLinQ QL45611HLCU，能提供100Gb/s乙太網路、支援PCIe 3.0 x16介面，而在資料處理器的產品線上，Octeon 10 DPU系列雖然支援100GbE、200GbE、400GbE，但不同款式的網路埠組態設置當中，最高提供50Gb/s乙太網路、支援PCIe 5.0。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Broadcom NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Broadcom%20NIC.jpg" style="width: 600px;" /></a></p> <p>這兩年來情況有了重大改變。首先是2023年7月<a href="https://ultraethernet.org/leading-cloud-service-semiconductor-and-system-providers-unite-to-form-ultra-ethernet-consortium/">超級乙太網路聯盟（Ultra Ethernet Consortium，UEC）宣布成立</a>，參與廠商包括：AMD、Arista、博通（Broadcom）、思科、Eviden、HPE、英特爾、Meta，以及微軟，這個組織存在的宗旨是因應高效能網路、AI、高效能運算工作負載的快速演進，建構基於乙太網路而成的完整通訊架構，滿足功能、效能、互通性、總體持有成本的最佳化需求，並且兼顧開發者與終端使用者的便利性。</p> <p>接著是今年上半，身為UEC聯盟成員之一的Broadcom，在3月底舉行的<a href="https://www.broadcom.com/company/news/product-releases/61981">投資者會議Broadcom Enabling AI Infrastructure</a>，預告即將推出AI最佳化網路卡，代號為Thor2，提供加倍的網路頻寬容量，最高可達到400Gb/s，並搭配全方位的壅塞管理功能，協助矯正網路流量堵塞的問題；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Broadcom%20Thor2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Broadcom%20Thor2-2.jpg" style="width: 600px;" /></p> <p>5月底在Dell Technologies World 2024大會召開期間，<a href="https://www.broadcom.com/company/news/product-releases/62216">Broadcom宣布推出支援PCIe 5.0介面的400GbE網路卡產品線</a>，Dell也在此時宣布旗下的頂級GPU伺服器<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2024~05~20240520-dell-technologies-fast-tracks-ai-driven-innovation-with-the-dell-ai-factory.htm#/filter-on/Country:en-us">PowerEdge XE9680，將支援Broadcom的400GbE網路卡</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20400GbE%20NIC-2024-05-23-2-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20400GbE%20NIC-2024-05-23-3-web.jpg" style="width: 298px;" /></p> <p>Broadcom強調，他們提供的400GbE網路卡，具有高度擴充性、高效能，以及低耗電等特色，提供性能更強大、開放、基於標準而成的乙太網路卡與交換器解決方案，因應AI資料中心面臨的各種連線瓶頸問題，像是AI加速晶片這類XPU頻寬不足，以及叢集規模快速成長。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-2.jpg" style="width: 298px;" /></a></p> <p>之所以能達到上述要求，Broadcom表示，這批網路卡產品搭配的乙太網路控制器晶片BCM57608（先前稱為BCM957608）導入5奈米製程，採用的設計能提供最高的能源使用與散熱效率，而且能搭配長達5公尺的被動銅纜，或是超低功耗的線性可插拔光學收發器，以及Broadcom旗下支援高基數拓樸架構（high-radix）的交換器，因此，能在繼續使用既有氣冷散熱技術的狀態下，支援更高密度的伺服器機櫃內部設置（能在伺服器機箱安裝更多張網路卡，並且維持使用氣冷散熱）。</p> <p>而在網路傳輸方式的改良上，Broadcom的400GbE網路卡也配備第三代的RoCE流程管線運作，並且提供低延遲的網路壅塞控制技術，以及創新的遙測監督機制，適合用於AI基礎架構的高頻寬、高壓力網路環境當中。同時，它們也採用Broadcom新一代強固式網路介面架構，可擴展本身的AI產品組合，藉此建立該公司在乙太網路資料中心基礎架構的領先地位。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-6.jpg" style="width: 600px;" /></a></p> <p>在供應市場的管道上，這些產品標榜400GbE與PCIe 5.0支援乙太網路，將透過多個伺服器廠商與Broadcom供應。以目前來看，Broadcom推出兩款內建單個QSFP112-DD埠的400GbE網路卡，可提供1個400GbE埠，一款是外形為PCIe介面卡的P1400GD，產品編號為BCM957608-P1400GDF00，一款是外形遵循OCP 3.0規格的P1400GD，產品編號為BCM957608-N1400GDP00；他們也有兩款內建2個QSFP112-DD埠的400GbE網路卡，可提供2個200GbE埠或1個400GbE埠，一款是外形為PCIe介面卡的P2200G，產品編號為BCM957608-P2200GQF00，一款是外形遵循OCP 3.0規格的N2200G，產品編號為BCM957608-N2200GQP00。它們都能搭配線性可插拔光學模組，連接5公尺長的直接銅纜連接。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom 400GbE NIC Models2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20400GbE%20NIC%20Models2.jpg" style="width: 600px;" /></a></p> <p>而這些基於BCM57608而成的網路卡，由於本身能因應更高速度的資料傳輸需求，支援400Gbps頻寬與250Mpps封包轉發率，內建8個100/50G PAM4與10/25G NRZ這兩種編碼傳輸技術，可針對AI/ML、雲端規模的網路環境，以及儲存應用系統，提供高度延展性、具備豐富功能的網路解決方案。</p> <p>關於網路加速存取的功能支援上，它們都能以支援RoCEv2與硬體層級的壅塞控制，透過Broadcom發展的第四代技術，可提供最低延遲，並且顯著改善大規模部署RoCE的複雜度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-4.jpg" style="width: 298px;" /></a></p> <p>BCM57608也搭配第四代TruFlow引擎，整合硬體加速機制、配備強化可程式化機制的多功能引擎（剖析、查詢、匹配、動作），以便快速建置新的網路傳輸類型，同時，這個引擎也能增加虛擬機器的部署密度，減輕伺服器處理器用量，以及改善應用系統的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20TrueFlow.png" style="width: 500px;" /></p> <p>關於安全性確保的部分，Broadcom的400GbE網路卡也內建矽信任根（RoT），可支援SPDM 1.2版規格，該公司先前推出的網路卡若是搭配BCM5750X系列晶片，也支援SDPM 1.2，當中採用他們發展的矽信任根技術BroadSAFE，而能因應系統安全開機啟動與見證（attestation）的需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom Ethernet NIC Attestation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Ethernet%20NIC%20Attestation.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Silicon%20RoT%20and%20Secure%20Firmware%20Loading.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Broadcom 400Gb Ethernet NICs</strong><br /> ●原廠：Broadcom<br /> ●建議售價：廠商未提供<br /> ●機型與外形：P1400GD為半長矮版PCIe介面卡，N1400GD為OCP 3.0規格介面卡<br /> ●支援網路介面：25GbE/50GbE/100GbE/200GbE/400GbE<br /> ●提供網路埠：1個QSFP112-DD埠<br /> ●採用ASIC晶片：Broadcom BCM57608<br /> ●連接介面：PCIe 5.0 x16<br /> ●支援伺服器虛擬化規格：VMQ、SR-IOV<br /> ●支援網路虛擬化規格：VXLAN、NVGRE、GENEVE<br /> ●支援網路時間精確應用：IEEE 1588v2、SyncE<br /> ●進階功能：TruFlow、TruManage<br /> ●支援儲存網路協定：RoCEv2<br /> ●支援安全性功能：資料安全提供kTLS硬體加解密卸載、QUIC硬體加解密卸載，平臺安全提供RoT、SPDM 1.2</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/11 19:22作者李宗翰https://www.ithome.com.tw/review/163837
【資安日報】7月11日，富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日最受到關注的消息，應該就屬日本資通大廠富士通公布今年3月資安事故最新發現，他們指出對方使用的作案工具具備高深的偽裝技術，且具備蠕蟲特性進行橫向感染。</p> <p>這次的調查結果也證實當初懷疑資料外流的情況，他們發現駭客利用惡意程式進行複製，有部分客戶及公司資訊流出。但究竟有多少人受到影響，該公司並未說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163883"><strong style="font-size: 22px;">富士通證實駭客入侵致客戶資料外流，透露並非遭遇勒索軟體攻擊</strong></a></p> <p>今年3月15日富士通發出公告說明多臺電腦發現到惡意軟體，懷疑有客戶個資外流。4個月後富士通公布調查結果，顯示駭客的作案工具，很可能是具有進階偽裝技術的蠕蟲程式。</p> <p>富士通指出，在公司電腦發現的惡意程式並非勒索軟體，而是使用多種偽裝手法躲避偵測的進階攻擊工具。他們發現先是其中一臺電腦遭到感染，然後向其他電腦蔓延，最終共有49臺電腦遭感染。這批電腦已經在第一時間被隔離防止災害擴大，也封鎖被攻擊者當成入侵基地的外部伺服器。</p> <p>不過該公司事後分析事件記錄檔案發現，駭客這些電腦上已針對部分檔案下達複製指令，因此他們研判這些檔案已經被非法流出。外洩的資訊包括：部分客戶姓名和公司資訊。</p> <p><a href="https://www.ithome.com.tw/news/163896"><strong style="font-size: 22px;">駭客聲稱掌握數千名微軟、Nokia員工個資，將其流入網路犯罪論壇</strong></a></p> <p>資安媒體HackRead本周揭露，使用ID為888的駭客於網路犯罪論壇上公布了數千名Nokia與微軟員工的個資，並宣稱相關資料的來源，是這兩家公司的第三方合作夥伴。</p> <p>根據駭客公布與Nokia有關的CSV檔案，共包含了7,258名Nokia員工的資料，包括職稱、全名、公司名稱、國家及地區、公司電話號碼，以及電子郵件位址。資料時間點介於2022年6月至2023年2月之間。</p> <p>至於與微軟有關的外洩檔案則涵蓋了2,047名微軟員工，內含他們的職稱、姓名、國家及地區、LinkedIn個人檔案連結、公司電話號碼，以及電子郵件位址。</p> <p><a href="https://www.ithome.com.tw/news/163889"><strong style="font-size: 22px;">微軟修補MSHTML零時差漏洞消息剛發布，但去年1月就有駭客濫用漏洞，今年5月又被發現有人藉此散布竊資軟體Atlantida</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image4.png" style="width: 300px; float: right;" /></a>本週二微軟修補已發生攻擊行動的MSHTML零時差漏洞CVE-2024-38112，通報此事的資安業者Check Point公布駭客利用這項漏洞的手法，對方藉由讓使用者點選特製的URL檔案，啟動Internet Explorer（IE）來觸發攻擊鏈。</p> <p>研究人員指出，他們看到利用這種URL觸發漏洞的攻擊手法，最早可追溯到去年1月，換言之，駭客運用這項漏洞的時間已長達一年半。Check Point研究小組經理Eli Smadja透露，他們至少看到兩起攻擊行動，其中有人利用上述漏洞散布名為Atlantida的竊資軟體。</p> <p>他們在今年5月中旬，發現使用Atlantida的駭客利用這項漏洞，鎖定土耳其及越南的使用者。這些駭客入侵含有弱點的WordPress網站，然後透過HTA及PowerShell檔案從事攻擊。</p> <p><a href="https://www.ithome.com.tw/news/163840"><strong style="font-size: 22px;">駭客鎖定以色列政府機關及企業組織，意圖散布以開源工具打造的惡意程式GrassHopper</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/wp-operative-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/wp-operative-1.png" style="width: 300px; float: right;" /></a>資安業者HarfangLab在調查鎖定以色列政府、企業組織的攻擊行動過程裡，找到先前未曾揭露的可疑網域，攻擊者將其用於設置C2伺服器，但特別的是，這個網域存在的時間相當長，引起了研究人員的注意。</p> <p>他們循線調查駭客在攻擊過程使用的相關工具，發現對方使用可公開的惡意軟體，也有部分作案工具是自行開發，相關攻擊行動具有高度針對性，他們散布惡意酬載的管道，是利用專門為目標基礎設施量身打造的WordPress網站，研究人員指出，這些攻擊仰賴開源的惡意軟體，影響範圍甚至擴及了不同領域的垂直產業。</p> <p>針對上述的攻擊行動，研究人員懷疑是資安人員的滲透測試所致，但由於相關的攻擊基礎設施並未與市面上的滲透測試業者有關，因此他們認為應該向資安社群公布相關發現。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.lookout.com/threat-intelligence/guardzoo-houthi-android-surveillanceware"><strong style="font-size: 20px;">中東國家的軍事人員遭到惡意程式GuardZoo鎖定，逾450人安卓手機遭到監控</strong></a></p> <p></p> <p>◆<a href="https://cofense.com/blog/new-malware-campaign-targeting-spanish-language-victims/"><strong style="font-size: 20px;">拉丁美洲礦業、製造業遭到鎖定，駭客對其散布木馬程式Poco RAT</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/computer-maker-zotac-exposed-customers-rma-info-on-google-search/"><strong style="font-size: 20px;">電腦製造商Zotec不慎曝露申請退貨授權請求的相關文件，進一步導致客戶資料曝光</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/roblox-vendor-data-breach-exposes-dev-conference-attendee-info/"><strong style="font-size: 20px;">電玩遊戲Roblox傳出供應商資料外洩，開發者大會與會者資料流出</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163899"><strong style="font-size: 22px;">Citrix修補應用程式交付平臺NetScaler高風險漏洞，若不處理恐面臨資訊洩露、阻斷服務風險</strong></a></p> <p>7月9日Citrix針對旗下多項產品發布資安公告，總共修補9項漏洞，其中又以出現在應用程式交付平臺NetScaler主控臺元件、NetScaler SVM的漏洞最為危險，而值得留意。</p> <p>這些漏洞分別是：重大層級的敏感資訊洩露漏洞CVE-2024-6235，高風險層級的阻斷服務（DoS）漏洞CVE-2024-6236，CVSS風險評分為9.4、7.1。</p> <p>值得留意的是，雖然CVE-2024-6235較為危險，但CVE-2024-6236影響範圍較廣。CVE-2024-6235影響14.1版NetScaler Console（原名NetScaler ADM），而另一個漏洞不僅影響13.0、13.1、14.1版NetScaler Console，也影響NetScaler SDX、NetScaler Agent元件。</p> <p><a href="https://www.ithome.com.tw/news/163898"><strong style="font-size: 22px;">VMware揭露自動化處理平臺存在高風險漏洞，攻擊者可對其發動SQL注入攻擊</strong></a></p> <p>7月10日VMware修補旗下雲端自動化平臺Aria Automation高風險漏洞CVE-2024-22280，此為SQL注入漏洞，起因是並未套用正確的輸入驗證產生，CVSS風險評分為8.5，影響8.17.0版以下的Aria Automation，以及4.x版、5.x版Cloud Foundation。</p> <p>攻擊者若要利用這項漏洞，可在通過身分驗證的情況下，輸入偽造的SQL查詢指令，從而進行未經授權的資料庫讀取及寫入作業。</p> <p><a href="https://www.ithome.com.tw/news/163887"><strong style="font-size: 22px;">研究發現RADIUS協定存在漏洞Blast RADIUS，可讓駭客發動中間人攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/files/0711-Details of the Blast-RADIUS attack-by cloudflare.png"><img alt="" src="https://s4.itho.me/sites/default/files/files/0711-Details%20of%20the%20Blast-RADIUS%20attack-by%20cloudflare.png" style="width: 300px; float: right;" /></a>由微軟、Cloudflare等資安產學專家組成的研究團隊針對RADIUS通訊協定進行調查，發現安全漏洞Blast RADIUS（CVE-2024-3596），有可能被攻擊者用於發動中間人（MitM）攻擊，呼籲IETF等標準組織應翻新設計，設備廠商應考慮使用更安全的傳輸技術。</p> <p>這項通訊協定漏洞，可讓非授權者攻擊者通過驗證、以存取遠端裝置，或是取得任意網路權限，包括管理員對裝置權限，即可對網路上其他裝置發動中間人攻擊，而且過程中完全無需使用暴力破解、竊取密碼或共享金鑰。</p> <p>研究人員表示，這項研究目的在證明RADIUS安全防護不足，呼籲裝置廠商和標準組織IETF汰除RADIUS over UDP，並要求在更安全的通道傳輸RADIUS，如TLS。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-cisa-issue-advisories/"><strong style="font-size: 20px;">西門子、施耐德電機、CISA針對工業控制系統發布資安公告</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163875"><strong>【7月10日】微軟發布本月例行更新，修補超過140個漏洞，其中包含4個零時差漏洞引起關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163843"><strong>【7月9日】留意BEC詐騙攻擊，惡意軟體沙箱服務業者遭網釣攻擊後，查出郵件備份程式PerfectData恐洩漏電子郵件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163836"><strong>【7月8日】勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi發動攻擊</strong></a></p> </div></div></div>
2024/7/11 18:07作者周峻佑https://www.ithome.com.tw/news/163900
Citrix修補應用程式交付平臺NetScaler高風險漏洞，若不處理恐面臨資訊洩露、阻斷服務風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月9日Citrix針對旗下多項產品發布資安公告，<a href="https://www.cisa.gov/news-events/alerts/2024/07/09/citrix-releases-security-updates-multiple-products">總共修補9項漏洞</a>，其中又以出現在<a href="https://support.citrix.com/article/CTX677998/netscaler-console-agent-and-svm-security-bulletin-for-cve20246235-and-cve20246236">應用程式交付平臺NetScaler主控臺元件、NetScaler SVM的漏洞最為危險</a>，而值得留意。</p> <p>這些漏洞分別是：重大層級的敏感資訊洩露漏洞CVE-2024-6235，高風險層級的阻斷服務（DoS）漏洞CVE-2024-6236，CVSS風險評分為9.4、7.1。</p> <p>值得留意的是，雖然CVE-2024-6235較為危險，但CVE-2024-6236影響範圍較廣。CVE-2024-6235影響14.1版NetScaler Console（原名NetScaler ADM），而另一個漏洞不僅影響13.0、13.1、14.1版NetScaler Console，也影響NetScaler SDX、NetScaler Agent元件。</p> <p>對此，該公司呼籲用戶應儘速套用新版程式予以修補，不過，這些漏洞是否被用於實際攻擊行動，他們並未進一步透露。</p> </div></div></div>
2024/7/11 17:52作者周峻佑https://www.ithome.com.tw/news/163899
文件轉換程式庫Ghostscript存在RCE漏洞，傳出已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月初文件轉換程式庫Ghostscript的開發團隊<a href="https://ghostscript.readthedocs.io/en/gs10.03.1/News.html#Version10.03.1">發布10.03.1版</a>，當中修補一項遠端程式碼執行（RCE）漏洞CVE-2024-29510，如今研究人員發現已被用於實際攻擊行動。</p> <p>這項漏洞與格式字串有關，攻擊者透過格式字串注入手法，有可能導致記憶體中斷，或是繞過沙箱機制Safer，CVSS風險評為6.3分。值得留意的是，由於這項程式庫的應用範圍很廣，不僅有許多版本的Linux作業系統內建，也有多款知名的應用程式採用，例如：ImageMagick、LibreOffice、GIMP、Inkscape、Scribus，影響不容小覷。</p> <p>通報漏洞的<a href="https://codeanlabs.com/blog/research/cve-2024-29510-ghostscript-format-string-exploitation/">資安業者Codean Labs上週公布相關細節</a>，他們提及上述應用程式或是網頁應用程式，當中的文件轉換及預覽功能及服務很有可能會造成重大影響，因為這些應用程式或是服務往往在背景執行Ghostscript，對此，研究人員提供Postscript指令碼，讓使用者檢查相關系統是否曝險。</p> <p>研究人員提到，Safer沙箱的主要功能，是限縮I/O作業內容，一旦啟用，將會禁止%pipe%功能，從而達到阻止任意命令執行的目的，並藉由路徑白名單限制檔案的存取。</p> <p>然而，他們發現，當中的/tmp/資料夾卻能讓人完整存取、不受限制。也就是說，就算是Postscript指令碼處於沙箱環境，仍能完整列出、讀取、寫入任意資料到/tmp/，因而帶來資安風險。</p> <p>從攻擊者的角度來看，這種讀寫檔案的能力，再搭配竄改輸出裝置及組態的功能，就有機會用於攻擊。</p> <p>研究人員指出，他們可以使用特定命令，將輸入設備的型態設置為uniprint（通用印表機），再稍加對於特定加入設備參數，就有機會對不同廠牌及型號的設備下手。</p> <p>他們藉由setpagedevice竄改uniprint，並下達指定upXXXX指令參數，從而存取記憶體堆疊的位置並濫用漏洞，成功達到沙箱逃逸的目的，而能發動完整RCE攻擊。</p> <p>研究人員指出，駭客可以將特定的PostScript檔案（EPS）呼叫Ghostscript觸發漏洞，或是將其嵌入LibreOffice文件檔案，在開啟檔案的過程觸發命令執行。</p> <p>在Codean Labs公布相關細節後，<a href="https://hachyderm.io/@llimllib/112722578840238142">開發人員Bill Mill指出已發現實際攻擊行動</a>，呼籲IT人員要儘速檢查、進行處理；<a href="https://www.bleepingcomputer.com/news/security/rce-bug-in-widely-used-ghostscript-library-now-exploited-in-attacks/">資安新聞網站Bleeping Computer指出</a>，攻擊者使用偽裝成JPG圖檔的EPS檔案發動攻擊，從而取得目標系統的Shell存取權限。</p> </div></div></div>
2024/7/11 15:56作者周峻佑https://www.ithome.com.tw/news/163894
駭客聲稱掌握數千名微軟、Nokia員工個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安媒體<a href="https://hackread.com/hacker-leaks-microsoft-nokia-employee-details/" target="_blank">HackRead本周揭露</a>，一名代號為888的駭客於網路犯罪論壇上公布了數千名Nokia與微軟員工的個資，並宣稱相關資料都是源自這兩家公司的第三方合作夥伴。</p> <p>駭客所釋出的、與Nokia有關的CSV檔中包含了7,258名Nokia員工的資料，包括職稱、全名、公司名稱、國家/地區/州、專線及公司電話號碼，以及電子郵件位址。資料時間點介於2022年6月至2023年2月之間。相較於Nokia全球的86,900名員工，外洩規模約占Nokia總員工數的8.3%。</p> <p>至於與微軟有關的外洩檔案則涵蓋了2,047名微軟員工，內含他們的職稱、姓名、國家/州/城市、LinkedIn個人檔案連結、專線與公司電話號碼，以及電子郵件位址。微軟總員工數約為14.4萬名。</p> <p>儘管檔案中並未含有密碼或支付等機密資訊，惟相關資料有可能被用來執行身分竊盜、社會工程詐騙或網釣攻擊。</p> <p> </p> </div></div></div>
2024/7/11 16:22作者陳曉莉https://www.ithome.com.tw/news/163896
Apache基金會修補網頁伺服器HTTP Server的原始碼洩露弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週Apache基金會<a href="https://httpd.apache.org/security/vulnerabilities_24.html">發布2.4.61版網頁伺服器系統HTTP Server</a>，主要是修補一項漏洞CVE-2024-39884，這項漏洞帶來的影響，是在handlers組態透過AddType設置時，有可能導致原始碼資訊洩漏的情況，在2.4.60版以前的HTTP Server都可能會曝險。</p> <p>這項漏洞發生的原因，在於此網頁伺服器系統核心有個遞迴（regression）處理流程中，會忽略採用的部分舊版內容類型（content-type）。在AddType或類似的組態環境裡，某些間接請求檔案的情況，就有可能導致本機原始碼洩露的情況。</p> <p>關於這項漏洞的嚴重程度，Apache基金會先將其列為高風險（Important）層級，但目前尚未公布CVSS風險評分。</p> </div></div></div>
2024/7/11 16:32作者周峻佑https://www.ithome.com.tw/news/163897
5G趨勢月報第56期：中、低軌衛星通訊已涵蓋臺灣；漢翔導入5G專網加速智慧製造應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>06/12~07/10精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位韌性</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>數位部：非同步軌道衛星已涵蓋臺灣，今年將建置70個基地臺後傳鏈路站點</strong></span></p> </div> <div> <p>5G結合非地面通訊網路成為新的技術發展趨勢，使得全球衛星通訊發展受到關注。臺灣近期在非同步軌導衛星通訊引進有新的進展，數位發展部指出，非同步軌道衛星通訊包括SES中軌衛星、OneWeb低軌衛星通訊服務已涵蓋臺灣，並分別由代理商準備在國內推出商業化服務。</p> <p>政府積極推動以非同步軌道衛星通訊提升我國通訊網路韌性，當發生災害或緊急狀況導致地面通訊網路出現故障，通過非同步軌道衛星通訊維持政府基本指揮通訊需求。該計畫將在今年底於國內建置700個非同步軌道衛星通訊站點，並且建置70個基地臺後傳鏈路(Backhaul)站點，國外計畫建置3個站點，其中的基地臺後傳鏈路站點是當地面通訊網路發生異常或遭到破壞時，以非同步軌道衛星作為行動基地臺的後傳鏈路，至今年6月底為止，數位部已建置9個SES中軌衛星通訊站點，作為行動基地臺後傳鏈路，其中太平島、連江縣分別設置SES中軌衛星通訊站點。</p> <p>至於低軌衛星部分，目前OneWeb已涵蓋臺灣本島、金門、馬祖、澎湖、蘭嶼，但尚未涵蓋南沙島，數位部實測，OneWeb在臺灣本島北中南東，以及馬祖地區，實測下載速度介於70到107Mbps之間，上傳為7到20Mbps之間。</p> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧製造</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>漢翔導入5G專頻專網加速智慧製造應用發展</strong></span></p> </div> <div> <p>在數位發展部支持下，漢翔航空工業由電信業者協助導入5G專頻專網，在製造場域建立高頻寬、低延遲的5G專網，並發展智慧製造應用，例如AMR搬運刀具。</p> <p>數位發展部為推動產業展型，去年即與各產業公協會合作，積極建立5G專網的產業應用示範，漢翔航空工業即為其中一項案例，展現航太、機械產業導入5G專網加速製造轉型的成果。漢翔透過5G專頻專網，確保高可靠度、穩定、安全的產線自動化及運送，即時監測加工品質。</p> <p>在位於高雄岡山區的機匣三廠，展示了5G智慧製造應用，例如在大範圍廠區內，跨網段利用AMR運送刀具及刀具eSOP，以及對國產機臺機匣加工設備的健康監控與暖機服務，機匣螺牙插槽襯套AOI自動分類組裝應用等等，漢翔運用國產5G核網、小型基站，克服原本AMR跨網段運送的停頓及延遲問題，並透過自動化組裝降低人工組裝出錯，並透過蒐集機臺的健康即時監測資料進行分析，透過種種方式降低人力使用、不間斷生產，提高營運效率、強化營運管理、加工品質。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>航運</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>和碩展示5G低軌衛星貨輪應用</strong></span></p> </div> <div> <p>和碩近期在5G Open RAN活動中，揭露5G低軌衛星貨輪應用，結合國產5G Open RAN設備打造5G專網，以及低軌衛星通訊，應用於陽明海運的海運工作，改善貨輪的通訊及海事應用。</p> <p>和碩在2021年便推動5G O-RAN及企業衛星通訊，並曾展示移動式的5G O-RAN、衛星通訊設備。此次與陽明海運合作5G低軌衛星貨輪應用，當貨輪航行在公海，因遠離陸地，貨輪缺乏對外通訊能力，和碩利用5G O-RAN基站建立專網，結合低軌衛星通訊，為貨輪建立低延遲的連線環境，讓貨輪在航行時，以驗證船務聯網的可能性。</p> <p>主要驗證的應用有3項，第1是遠距醫療輔助，透過低軌衛星提供的頻寬，結合可移動的醫療行李箱，讓遠地的醫療團隊，可以根據儀器的數據，結合視訊問診，為貨輪上的人員提供醫療處置及指引。第2是即時排除故障，過去由於貨輪對外通訊有限，只能以語音或電子郵件和外部溝通，運用5G專網作即時視訊畫面分享，在陸地支援團隊協助下，找出可能的故障原因予以排除，並降低船員檢修的潛在工安風險。第3是利用分散式天線系統，改善船艙內的室內無線通訊，提升船員使用網路服務的船務工作環境。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>搜救</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>5G 無人機結合AI技術強化山難搜救</strong></span></p> </div> <div> <p>為改善山區救援工作，臺東大學和財團法人金屬中心合作，結合 AI影像辨識技術及5G無人機，當發生山難事件時，搜救人員可透過5G無人機來搜尋失蹤的民眾。</p> <p>合作團隊實際到臺東鹿霧砲臺山區演練，以三架無人機模擬大範圍搜索，當找到手機訊號後，縮小搜救範圍，再以四軸無人機作近距離偵測，確認待救者的生理狀況，將資訊回傳至後方，讓搜救人員提早準備救援物資，加快救援的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%B0%E6%9D%B1%E9%9C%A7%E9%B9%BF%E7%A0%B2%E5%8F%B0%E7%84%A1%E4%BA%BA%E6%A9%9F%E5%B1%B1%E9%9B%A3%E6%95%91%E5%8A%A9%E5%AF%A6%E9%9A%9B%E6%BC%94%E7%B7%B4%E7%85%A7%E7%89%87-300.jpg" style="width: 300px; height: 400px;" /></p> <p>由於空中搜尋待救民眾可能需要花費較長時間，無人機可透過AI自動判別訓練模組，依不同情境最佳化飛行路徑，執行遠距、長時間搜尋作業，同時利用AI快速定位受難民眾的位置及狀態，把握救援的黃金時間、提高搜救效率。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>能源</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>阿拉伯國有石油公司ADNOC將導入</strong></span><strong style="font-size: 22px;">5G專網，</strong><strong style="font-size: 22px;">涵蓋11,000平方公里</strong></p> </div> <div> <p>阿拉伯國有石油公司ADNOC近期宣布將導入能源產業最大的5G專網，該私有專用網路將涵蓋面積達11,000平方公里，透過專網提供的高頻寬，有助於陸地及海上作業。</p> <p>ADNOC將利用專網，蒐集來自12,000口井及通道的感測器數據，自動傳送至控制室，利用數據分析獲得提升效率的建議、延長資產壽命，確保現場作業安全。</p> <p>經由5G專網的大範圍覆蓋，讓即使較偏遠的鑽油設施，也能結合人工智慧，通過5G AIoT推動自動化，提高作業效率及人員安全，並降低營運成本。ADNOC預計5G專網將會在2025年建置完成，並將結合AI技術，進一步推動自動化降低營運成本，預期專網建置後，預期營運前5年將創造15億美元價值。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠端控制</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>瑞典電信商靠無人機搭載基地臺擴大5G覆蓋，遠端控制林業開墾</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/89-600.jpg" style="width: 600px; height: 337px;" /></p> <p>瑞典電信商Telia近期宣布，成功測試利用無人機搭載基地臺，使原本缺乏5G訊號的山區，也能建立臨時的5G網路覆蓋，並從遠端控制林業機械。</p> <p>這項測試是在瑞典中部位於城市郊外的一處森林進行，Telia與合作業者利用無人機搭載移動式基地臺，讓原本訊號有限、缺乏5G覆蓋的山區，建立5G網路覆蓋，讓林區作業的機械設備，例如大型的車輛能夠被遠端控制操作。有別於一般無人機在空中飛行，這項測試為長時間建立5G網路，無人機與地面連接，讓位於偏遠地區的林業或農業，得以建立5G網路，除了應用在林業及農業，也可應用於救災工作上。</p> <p>在測試中，與地面連接的無人機距離林業機械300公尺，但是在空中可建立3公里範圍的5G訊號，研究人員從距離林業伐木現場80公里遠的實驗室，從遠端控制伐木現場的裝運車輛，為了達到即時控制，通訊訊號傳送的延遲性、可靠性相當重要。</p> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶數</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AI</b></span></font></p> <div> <p><strong><span style="font-size:22px;">愛立信：全球5G用戶數達17億，裝置上AI應用可能帶動5G服務變革</span></strong></p> </div> <div> <p>愛立信最新行動趨勢報告顯示，隨著全球5G服務的增加，今年第一季5G用戶數增加1.6億，全球5G用戶數來到17億，預期到2029年，5G用戶將近達到56億，約占行動用戶的6成。</p> <p>目前行動用戶仍以4G為主，全球4G用戶數約有52億，在4G用戶持續遷移5G的趨勢下，預估2029年，4G用戶將降至30億。至於3G網路，因全球各地陸續終止3G網路，例如歐洲的電信服務商正在關閉3G網路，並且重新分配其頻譜，以投入4G及5G網路發展。</p> <p>截至今年第1季，行動網路數據流量比同期增加25%，全球行動網路流量已達到每月145EB，數據流量的增加，主要為影音內容的使用，至去年底，影音內容使用已占整體行動網路數據量的73%。至於智慧型手機市場，在將近3年的衰退後，今年第一季智慧型手機出貨成長6%，值得注意的是，具有AI能力的高階手機進入市場，並且可能帶動消費者汰換手機，具備執行生成式AI的晶片，以及不需連接伺服器的行動裝置AI應用，可能形塑新的消費行為，並且在未來改變App及應用服務如何被消費使用。</p> <p> </p> <p>圖片來源／數位部、Telia</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.南韓KT電信與新加坡電腦聯手研究6G</strong></p> <p><strong>2.TVBS展示新聞媒體業5G專網的異地共訪成果</strong></p> <p>資料來源：iThome整理，2024年6月</p> <p> </p> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/7/11 16:57作者蘇文彬https://www.ithome.com.tw/news/163862
VMware揭露自動化處理平臺存在高風險漏洞，攻擊者可對其發動SQL注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月10日VMware<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24598">修補旗下雲端自動化平臺Aria Automation高風險漏洞CVE-2024-22280</a>，此為SQL注入漏洞，起因是並未套用正確的輸入驗證產生，CVSS風險評分為8.5，影響8.17.0版以下的Aria Automation，以及4.x版、5.x版Cloud Foundation。</p> <p>攻擊者若要利用這項漏洞，可在通過身分驗證的情況下，輸入偽造的SQL查詢指令，從而進行未經授權的資料庫讀取及寫入作業。</p> <p>對此，<a href="https://knowledge.broadcom.com/external/article/325790">VMware針對8.13.0至8.16.2版發布修補程式</a>，並表示沒有其他替代的緩解措施，呼籲用戶應儘速套用。</p> </div></div></div>
2024/7/11 16:58作者周峻佑https://www.ithome.com.tw/news/163898
AWS推出整合GenAI的應用程式開發工具App Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon Web Services（AWS）本周公布生成式AI程式開發工具<a href="https://press.aboutamazon.com/2024/7/announcing-aws-app-studio-the-fastest-and-easiest-way-to-build-applications" target="_blank">App Studio</a>，允許開發人員輸入自然語言文字產生程式碼，希望追趕微軟、Google、或GitHub等早期加入的業者。</p> <p>利用AWS App Studio，沒有軟體開發技能的使用者，包括IT專案管理、資料工程師、企業架構師都可以從頭開發出自有企業應用程式。用戶輸入文字描述需求，指定其行為，以及像整合的資料源，號稱幾分鐘之內App Studio就能產生應用，包括用戶介面（UI）、資料模型和業務邏輯。內建的拖拉式視覺桌布（canvas）和AI小幫手能提供快速指引，協助客製化版面、功能、應用層級角色、設定業務流程，也提供存取控制機制設定資料和應用政策。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-AWS%20App%20Studio-1A.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-AWS%20App%20Studio-4-visually%20define%20the%20business%20logic%20for%20application-600.jpg" style="width: 600px;" /></p> <p>App Studio預建連接器（connector）可整合AWS資料源與服務，像是DynamoDB、Amazon Relational Database Service（Amazon RDS）、Amazon Redshift、Amazon S3（Simple Storage Service）等其他200項服務。它還有API和OpenAPI方便用戶整合數百項第三方服務，如Salesforce connector，也支援以單一用戶驗證來和第三方SaaS應用整合。開發完成的程式，可在App Studio的測試環境預覽測試，最後發布，還能分享給現有LDAP群組中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-AWS%20App%20Studio-3-connectors-data%20sources-B.jpg" style="width: 600px;" /></p> <p>在費用方面，AWS App Studio提供開發人員免費使用以開發、測試或管理App，但如果要發布，則會收取每用戶小時（user hour）0.25美元。目前這項服務在美國西區以<a href="https://aws.amazon.com/tw/about-aws/whats-new/2024/07/aws-app-studio-preview/" target="_blank">預覽版</a>上線。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> </div></div></div>
2024/7/11 15:21作者林妍溱https://www.ithome.com.tw/news/163893
Google進階保護計畫開放僅以通行密鑰進行設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/technology/safety-security/google-passkeys-advanced-protection-program/" target="_blank">宣布</a>，專替記者、官員、人權工作者、政治競選人員等高風險使用者所設計的進階保護計畫（Advanced Protection Program，APP）將開放使用者透過通行密鑰（Passkey）來註冊及使用，不再強制要求使用實體金鑰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-Google%20account-Advanced%20Protection%20Program%20(APP).png" style="width: 400px;" /></p> <p>APP是Google為了保護上述使用者的Google帳戶安全所實施的計畫，原本要求使用者必須擁有兩個實體安全金鑰才能註冊，使用密碼與其中一個實體金鑰來登入服務，另一個實體金鑰則當作備份。Google去年率先開放使用者利用Passkey來登入APP，現在則進一步允許使用者以APP來註冊APP。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務，由於它奠基在FIDO 2/WebAuthn標準上，因而得以跨平臺運作。</p> <p>Google表示，此一改變是為了因應使用者不見得總是能夠取得或買到實體金鑰，例如身處戰區的記者，旅行中的競選工作人員，或者是緊急或突發的商務旅行，Passkey則可讓高風險的Google用戶得以選擇使用他們既有的個人設備來進行身分驗證，而不一定要使用實體金鑰。</p> <p>不過，若是以Passkey來註冊APP，Google還會要求使用者新增復原選項，諸如電話號碼、電子郵件、其它的APP或安全金鑰，以在被鎖住時重新取回帳戶。</p> <p>迄今Google的合作夥伴已於全球分發了超過20萬個免費的實體安全金鑰，並在20個國家提供安全培訓，以保護這些高風險人士的Google帳戶安全。</p> </div></div></div>
2024/7/11 15:57作者陳曉莉https://www.ithome.com.tw/news/163895
微軟修補MSHTML零時差漏洞消息剛發布，但今年1月就有駭客濫用漏洞，5月又被發現有人藉此散布竊資軟體Atlantida
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月9日微軟發布<a href="https://www.ithome.com.tw/news/163856">本月份例行更新（Patch Tuesday）</a>，當中修補<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38112">MSHTML平臺欺騙漏洞CVE-2024-38112</a>，並指出該漏洞影響Windows 10、11，以及Windows Server 2008至2022所有版本，CVSS風險評為7.5分。但究竟駭客如何利用這項漏洞發動攻擊？通報此事的研究人員提出進一步的說明。</p> <p>這項漏洞的特別之處，在於微軟使用了「欺騙（Spoofing）」描述這項漏洞，並提及攻擊者在利用漏洞的過程中必須與使用者互動，才能達到目的。不過，駭客利用這項漏洞想獲取那些好處，引起其他研究人員的猜測。</p> <p><a href="https://www.zerodayinitiative.com/blog/2024/7/9/the-july-2024-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）指出</a>，微軟過往會在與NTLM中繼攻擊（NTLM relay attack）有關的漏洞使用欺騙，來形容CVE-2024-38112可能導致的行為；<a href="https://www.rapid7.com/blog/post/2024/07/09/patch-tuesday-july-2024/">資安業者Rapid7則是表示</a>，微軟僅提及弱點類型是CWE-668，而這個漏洞的問題在於將資源曝露在錯誤的領域，定義是向任何人提供不當的資源存取能力。</p> <p>答案揭曉：通報此事的資安業者Check Point指出，<a href="https://research.checkpoint.com/2024/resurrecting-internet-explorer-threat-actors-using-zero-day-tricks-in-internet-shortcut-file-to-lure-victims-cve-2024-38112/">駭客使用特製的網路捷徑檔案（.URL）觸發漏洞</a>，一旦使用者開啟，電腦就會啟動系統停用的Internet Explorer（IE）存取攻擊者控制的網站，而能讓對方達到目的。研究人員指出，他們看到利用這種URL觸發漏洞的攻擊手法，最早可追溯到去年1月，換言之，駭客運用這項漏洞的時間已長達一年半。</p> <p>研究人員針對攻擊者使用的URL檔案進行說明，對方在URL的欄位上，在網址前面加上了「mhtml:」，並於結尾加上了「!x-usc:」再寫入相同的網址，而類似的手法，過往也曾被用於觸發另一個MSHTML漏洞CVE-2021-40444。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image1.png" style="width: 580px;" /></a></p> <p>另一方面，駭客也指定這個URL檔案使用的圖示，是Edge執行檔裡的PDF檔案圖示資源，如此一來，使用者就很容易誤以為他們開啟的是PDF檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image3.png" style="width: 400px;" /></a></p> <p>一旦使用者執行這個URL檔案，IE就會顯示下載PDF檔案的警示視窗，但若是依照指示開啟，電腦卻會顯示詢問是否透過HTML應用程式主機（HTML Application Host）執行。使用者要是忽略上述的警示訊息點選允許執行，電腦將會下載惡意HTA檔案並執行，從而觸發漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image5.png" style="width: 400px;" /></a></p> <p>為何實際上是存取HTA檔案，但使用者卻看到是要求下載PDF檔案的訊息？原因在於攻擊者在.PDF之後加入許多無法輸出的字元，導致使用者很可能以為自己將要存取PDF檔案而直接忽略相關警告。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image7.png" style="width: 580px;" /></a></p> <p>而對於駭客實際的攻擊行動，上述的部落格文章並未提及。但<a href="https://www.darkreading.com/application-security/attackers-have-been-leveraging-microsoft-zero-day-for-18-months">Check Point研究小組經理Eli Smadja透露</a>，他們至少看到兩起攻擊行動，其中有人利用上述漏洞散布名為Atlantida的竊資軟體。</p> <p>他們在今年5月中旬，發現使用Atlantida的駭客利用這項漏洞。這些駭客入侵含有弱點的WordPress網站，然後透過HTA及PowerShell檔案從事攻擊，最終在受害電腦植入竊資軟體。這波攻擊行動的主要目標，是土耳其及越南的使用者。</p> </div></div></div>
2024/7/11 13:43作者周峻佑https://www.ithome.com.tw/news/163889
微軟與蘋果雙雙放棄OpenAI董事會觀察員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，有鑑於各國監管機關密切關注AI領域的發展，以杜絕壟斷行為，不管是已擔任OpenAI董事會觀察員的微軟，或是計畫擔任OpenAI董事會觀察員的蘋果，都已放棄此一席位。</p> <p>媒體<a href="https://www.axios.com/2024/07/10/microsoft-openai-board-seat-observer" target="_blank">Axios指出</a>，微軟是在本周二（7/9）去信OpenAI，表示將放棄OpenAI董事會觀察員席位，因為該董事會已在過去8個月取得重大進展，對OpenAI的發展方向充滿信心，不再認為該席位是必要的。</p> <p>金融時報（Financial Times）則引述消息來源報導，OpenAI與蘋果的合作協議中，原本就包含提供一個董事會觀察員席位予蘋果，但現在蘋果也已決定放棄該席位。</p> <p>金融時報亦說，未來OpenAI將會定期舉辦會議，並邀請微軟、蘋果及其它重要投資者參加，以揭露OpenAI的政策與方針。</p> <p>這一年半以來全球AI的快速發展，已讓歐盟、英國及美國針對OpenAI與微軟之間的合作關係展開反壟斷調查，法國亦打算控告Nvidia違反市場競爭，因此，儘管此一OpenAI董事會觀察員的角色只能參與董事會會議，並不具備投票權，但微軟與蘋果似乎都選擇了防患於未然，淡化與OpenAI的關係。</p> </div></div></div>
2024/7/11 14:43作者陳曉莉https://www.ithome.com.tw/news/163890
蘋果與Google擴大支援資料可攜，可將Google Photos照片直接傳送至iCloud Photos
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼蘋果於2021年<a href="https://www.ithome.com.tw/news/143083" target="_blank">宣布</a>，允許iCloud Photos用戶把所存放的照片及影片直接匯出到Google Photos之後，資料傳輸倡議（Data Transfer Initiative，DTI）周三（7/10）<a href="https://dtinit.org/blog/2024/07/10/DTI-members-new-photo-video-tool" target="_blank">宣布</a>，下周Google將開放Google Photos用戶把照片及影片匯出至iCloud Photos。</p> <p>Google在2018年發表了開源的資料傳輸專案（Data Transfer Project，DTP），之後包括臉書、微軟、Twitter與蘋果都加入了該專案，共同推動<a href="https://www.ithome.com.tw/news/124698" target="_blank">資料可攜標準</a>。至於DTI則是在2023年<a href="https://dtinit.org/blog/2023/03/28/launch" target="_blank">成立</a>，這是一個負責支援包括DTP在內等專案的非營利組織，任務是讓使用者能夠把某個服務的資料傳輸到另一個服務。</p> <p>DTI表示，DTP是藉由調整資料模型、身分驗證與其它必要元素來實現資料的可移植性，也是DTI的核心，將替人們帶來可靠的各種工具，提供一個可直接傳送使用者網路資料的簡單方法。</p> <p>不管是先前從iCloud Photos匯出至Google Photos，或是即將提供的從Google Photos匯出至iCloud Photos，都不會移除原處內容，但只能移轉照片及影片，無法移轉包括動態照片、原況照片或回憶，也有部分的RAW檔案無法移轉。此外，<a href="https://support.apple.com/zh-tw/HT213483" target="_blank">蘋果建議</a>使用者要移轉之前，最好先確認iCloud上有足夠的儲存空間。</p> <p><a href="https://support.google.com/accounts/answer/9666875" target="_blank">Google亦列出</a>了可移轉的檔案格式詳細清單，未在清單內的格式將不被支援。</p> <p>除了在不同的服務之間傳送照片及影片之外，DTI還希望未來可讓使用者快速匯出社交媒體的所有貼文；以自己在某個服務上的資料來測試新服務；或是將內容匯入新的短影片服務，同時在不同的服務上擁有同樣的內容。</p> </div></div></div>
2024/7/11 13:39作者陳曉莉https://www.ithome.com.tw/news/163888
研究發現RADIUS協定可讓駭客發動MitM攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由微軟、Cloudflare等資安產學專家組成的<a href="https://blog.cloudflare.com/radius-udp-vulnerable-md5-attack" target="_blank">研究團隊發現</a>，RADIUS通訊協定的一項安全漏洞，使其可能被攻擊者用以發動中間人（Man-in-the-Middle，MitM）攻擊，呼籲IETF等標準組織應翻新設計，設備廠商則應考慮使用更安全的傳輸技術。</p> <p>RADIUS全名為遠端使用者撥入驗證服務（Remote Authentication Dial in User Service）是一種網路裝置驗證、授權與記帳（AAA）的標準輕量協定。RADIUS是在網際網路初興的1991年問世，但現在仍廣泛使用，支援多種遠端存取應用，包括網路路由器、工控系統、VPN、企業Wi-Fi裝置、Linux可插拔身分驗證模組（Pluggable Authentication Module）、行動漫遊、Wi-Fi卸載（Wi-Fi offload）等。</p> <p>但經由RADIUS協定的流量常常只在UDP（User Datagram Protocol）連線上以傳輸，唯一的防護技術是已經很古早的密碼演算法MD5。2004年已有研究人員實驗證實MD5無法抵禦碰撞攻擊。</p> <p>由微軟、Cloudflare、BastionZero等資安業者及加州大學聖地牙哥分校（UC Diego）<a href="https://dd80b675424c132b90b3-e48385e382d2e5d17821a5e1d8e4c86b.ssl.cf1.rackcdn.com/external/radius-udp-considered-harmful.pdf" target="_blank">研究人員聯合進行的一項研究</a>，發現RAIDUS有項協定漏洞，可讓非授權者攻擊者通過驗證、以存取遠端裝置，或是取得任意網路權限，包括管理員對裝置權限，即可對網路上其他裝置發動中間人攻擊，而且完全無需使用暴力破解、竊取密碼或共享金鑰等過程。</p> <p>研究人員解釋，他們使用選擇前綴碰撞（chosen-prefix collision）對RADIUS/UDP傳輸架構發動攻擊。這攻擊主要是濫用早被公認無法抵禦碰撞攻擊的MD5雜湊演算法，使二道不同的輸入經MD5處理後，產生相同雜湊值，使研究人員得以在不知道任何RADIUS終端和伺服器間憑證情況下，將原本的驗證拒絕訊息轉化成接受，而完成驗證，整個過程不到5分鐘。</p> <p class="rtecenter"><a href="http://blog.cloudflare.com/radius-udp-vulnerable-md5-attack" target="_blank"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-Details%20of%20the%20Blast-RADIUS%20attack-by%20cloudflare.png" style="width: 600px;" /></span></span></a></p> <p><a href="http://blog.cloudflare.com/radius-udp-vulnerable-md5-attack" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Cloudflare</span></span></a></p> <p>這項漏洞被研究人員稱為<a href="https://www.blastradius.fail/" target="_blank">Blast RADIUS</a>，正式名稱為<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3596" target="_blank">CVE-2024-3596</a>。</p> <p>研究人員表示，這項研究目的在證明RADIUS安全防護不足，呼籲裝置廠商和標準組織IETF汰除RADIUS over UDP，並要求在更安全的通道傳輸RADIUS，如TLS。</p> <p>同時研究人員也指出，或許將MD5換成較安全的SHA-2、SHA-3的雜湊演算法，可以暫時抵擋碰撞攻擊。但是由於RADIUS協定彈性不足，因此變更雜湊演算法可能造成現有實作的不相容。他們認為，基於RADIUS其他安全和隱私問題，最好的方式是IETF翻新這個協定的設計。</p> </div></div></div>
2024/7/11 13:08作者林妍溱https://www.ithome.com.tw/news/163887
富士通證實駭客入侵致客戶資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本資通大廠<a href="https://pr.fujitsu.com/jp/news/2024/07/9.html" target="_blank">富士通本周證實</a>今年稍早的一樁駭客入侵事件中，造成人數不詳的客戶個人姓名及公司資料外流。</p> <p><a href="https://www.ithome.com.tw/news/161852" target="_blank">今年3月15日</a>，富士通發出公告說明多臺電腦發現到惡意軟體，懷疑有客戶個資外流。2個月後，富士通於本周公布調查結果，顯示可能是一種具有進階偽裝技術的蠕蟲程式。</p> <p>富士通指出，在公司電腦發現的惡意程式並非勒索軟體，而是一種使用多種偽裝手法躲避偵測的進階攻擊。分析證實，惡意程式是先植入一臺公司電腦向其他電腦蔓延，一共有富士通網路內的49臺電腦遭感染。這批電腦已經在第一時間被隔離防止災害擴大，也封鎖公司電腦連向攻擊者當成入侵基地的外部伺服器。</p> <p>由於這些電腦並非管理雲端服務的終端，跡證分析也未發現有存取客戶雲端服務的行為，因此富士通相信這波攻擊並未蔓延到公司以外的電腦或客戶環境。但是是否擴大到日本本國以外的公司網路環境則尚未確認。</p> <p>不過該公司事後的log分析發現，這些電腦上的惡意程式已針對部分檔案下達複製指令，因此他們研判這些檔案已經被非法取得。外洩的資訊包括部分客戶姓名和公司資訊。富士通已通知受影響的客戶，但表示目前沒有接獲資料被濫用的通報。不過富士通並未說明有多少客戶受到影響。</p> <p>除了事發當時的回應，富士通強調已利用惡意程式的攻擊手法發展偵測方法，並實作安全監控規則確保全公司電腦安全。</p> </div></div></div>
2024/7/11 12:01作者林妍溱https://www.ithome.com.tw/news/163883
【資安日報】7月10日，微軟發布本月例行更新，修補超過140個漏洞，其中包含4個零時差漏洞引起關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨（7月9日）有許多軟體業者發布每月例行更新及相關資安公告，其中微軟這次的公告內容相當值得留意，因為他們一口氣緩解143個漏洞，這樣的修補規模，已超過<a href="https://www.ithome.com.tw/news/162875">5月</a>、<a href="https://www.ithome.com.tw/news/163429">6月</a>兩個月的總和。</p> <p>值得留意的是，本次有4個零時差漏洞，其中有2個已被用於攻擊而受到關注。但資安業者Rapid7、漏洞懸賞專案Zero Day Initiative認為，遠端桌面連線授權服務、圖像編碼器、SharePoint的重大漏洞也必須優先處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163861"><strong style="font-size: 22px;">多國網路安全機構聯手針對中國駭客組織APT40的攻擊行動提出警告，揭露鎖定澳洲發動攻擊的案例</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/apt40-figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt40-figure-1.png" style="width: 300px; float: right;" /></a>澳洲網路安全中心（ACSC）與美國、英國、加拿大、紐西蘭、德國、韓國、日本的執法機構聯手，針對中國資助的駭客組織APT40（別稱Kryptonite Panda、Gingham Typhoon、Bronze Mohawk）的攻擊行動提出警告，指出這些駭客為中國國家安全部（MSS）效力，多次針對澳洲政府機關及企業組織下手，呼籲盟國要提高警覺。</p> <p>APT40具有快速解析研究人員公布的概念性驗證（PoC）程式碼的能力，從而將漏洞用於攻擊關鍵基礎設施的網路環境，也會定期對於偏好下手的目標進行偵察，尋找網路環境當中易受攻擊、不再維護，或是生命週期已經結束的設備，伺機滲透。</p> <p>至於這些駭客隱匿攻擊行動的媒介，ACSC提及APT40過往較常入侵澳洲網站並將其充當C2伺服器，如今濫用小型辦公室及家用的網路裝置架設基礎設施，因為這類設備有不少並未定期修補，或是生命週期已經結束而不再受到維護，一旦拿下之後，就有可能將它們用來發動攻擊，將相關流量混入合法流量，而能對防守方隱匿攻擊行蹤。ACSC也公布兩起事故的發生過程，供外界了解該組織的作案手法。</p> <p><a href="https://www.ithome.com.tw/news/163863"><strong style="font-size: 22px;">駭客公布近百億組密碼外洩資料集RockYou2024，疑為3年前流出資料持續維護、更新而成</strong></a></p> <p>根據資安新聞網站Cybernews的報導，他們的資安研究員於駭客論壇發現有人於7月4日公布一批帳密資料「RockYou2024」，這個檔案的名稱是rockyou2024.txt，內含多達9,948,575,739筆明文密碼，公布上述純文字檔案的人士，ID名稱是ObamaCare。</p> <p>值得留意的是，研究人員認為，這批資料並非突然出現，源自3年前他們發現的RockYou2021外洩資料庫延伸，當時約有84億明文密碼資料曝光。換言之，維護這批資料的駭客，3年後的現在，總共新增15億組資料，單是這些新內容，大約占RockYou2024的15%。</p> <p><a href="https://www.ithome.com.tw/news/163848"><strong style="font-size: 22px;">攻擊Ticketmaster的駭客繼外洩該平臺用戶資料、行動門票條碼後，又公布實體門票檔案</strong></a></p> <p>美國最大售票平臺Ticketmaster今年5月遭到駭客入侵，駭客Shiny Hunters先是在論壇上兜售該平臺5.6億名用戶的資料，索價50萬美元，繼之外洩約17萬張的Taylor Swift演唱會門票條碼，將價碼提高到200萬美元，在Ticketmaster宣稱該門票條碼是變動的，幾秒鐘就會替換之後，近日駭客再公布逾3.8萬張、由消費者在家自行列印的各種活動的門票條碼。</p> <p>根據資安新聞網站BleepingComputer的報導，Shiny Hunters宣稱Ticketmaster有一個Ticketfast實體門票服務，允許使用者於家中印出活動門票，這些門票上的條碼無法輪替，同時公布了一個內含38,745張Ticketfast門票條碼的檔案連結。</p> <p><a href="https://www.ithome.com.tw/news/163872"><strong style="font-size: 22px;">臺美聯手合作，查獲透過暗網市集Genesis Market購買臺灣民眾個資的嫌犯</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/179228cb679946feb37e1300bcb787dc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/179228cb679946feb37e1300bcb787dc.png" style="width: 300px; float: right;" /></a>7月8日法務部調查局宣布，他們破獲有人企圖透過創世紀市集（Genesis Market）取得國人個資的情況。調查局在去年6月接獲美國聯邦調查局（FBI）情資，有網路罪犯在該暗網市集販售臺灣民眾個資的情況，調查局資安工作站根據相關線索展開調查，掌握林姓、虞姓、陳姓3名男子涉及購買多種臺灣民眾個資，這些個資的範圍，涵蓋身分證字號、手機號碼、社群網站存取權限，以及電商網站蝦皮、露天的帳密資料。</p> <p>資安工作站掌握主嫌身分後，隨即報請臺灣臺北地方檢察署指揮，分別於今年4月18日及7月2日，會同新北市調查處、臺北市調查處、花蓮縣調查站執行搜索約談，查扣案關主機及電磁紀錄等證物，並約談3人到案。</p> <p>經送檢察官複訊後，認定林男所涉犯罪情節重大，有滅證及串證之虞，已向法院聲請羈押禁見獲准，另諭知陳男20萬元交保，虞男2萬元交保，全案朝向違反個人資料保護法及刑法妨害電腦使用等罪偵辦。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://codeanlabs.com/blog/research/cve-2024-29510-ghostscript-format-string-exploitation/"><strong style="font-size: 20px;">文件轉換程式庫Ghostscript存在RCE漏洞，傳出已被用於攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/g/turning-jenkins-into-a-cryptomining-machine-from-an-attackers-pe.html"><strong style="font-size: 20px;">CI/CD平臺Jenkins的指令碼主控臺遭到鎖定，駭客將其用於挖礦</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163856"><strong style="font-size: 22px;">微軟7月修補143個安全漏洞，包括4個零時差漏洞</strong></a></p> <p>7月9日微軟發布本月例行更新（Patch Tuesday），總共公布了139個新的CVE編號，並揭露4個與第三方元件有關的弱點，使得本次修補的漏洞數量達到143個，這樣的規模僅次於4月的149個。</p> <p>這些漏洞的類型，有26個是權限提升漏洞、24個安全功能繞過漏洞、59個遠端程式碼執行（RCE）漏洞、9個資訊洩露漏洞、17個阻斷服務（DoS）漏洞，以及7個可用於欺騙的漏洞。</p> <p>值得留意的是，上述漏洞當中，有4個零時差漏洞，已有2個被用於攻擊行動，另外2個則是在微軟修補之前就被公開。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/adobe-issues-critical-patches-for-multiple-products-warns-of-code-execution-risks/"><strong style="font-size: 20px;">Adobe針對Premiere、InDesign、Bridge修補重大層級漏洞</strong></a></p> <p></p> <p>◆<a href="https://onapsis.com/blog/sap-patch-day-july-2024/"><strong style="font-size: 20px;">SAP修補生命週期成本會計工具PDCE、Commerce高風險漏洞</strong></a></p> <p></p> <p>◆<a href="https://httpd.apache.org/security/vulnerabilities_24.html"><strong style="font-size: 20px;">Apache基金會修補HTTP伺服器的程式碼洩露弱點</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163860"><strong style="font-size: 22px;">Google宣布暗網監控功能將提供所有用戶使用</strong></a></p> <p>Google近日宣布，原本隸屬於Google One付費服務的暗網監控功能「Dark web report」，將在今年7月底開放所有用戶使用，它將被整合到允許使用者移除搜尋結果個資的Results about you中。</p> <p>Dark web report主要是用來協助使用者監控於暗網中流傳的個資，諸如姓名、地址、電話號碼與電子郵件帳戶，只要啟用了該功能，每當Google於暗網中發現使用者個資時，便會通知用戶。該功能原本只提供給付費的Google One訂閱用戶，但Google現在決定讓所有具備Google帳戶的使用者都能取用，現階段Dark web report支援包括臺灣在內的46個國家。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163843"><strong>【7月9日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163836"><strong>【7月8日】勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163808"><strong>【7月5日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</strong></a></p> </div></div></div>
2024/7/10 18:02作者周峻佑https://www.ithome.com.tw/news/163875
駭客公布近百億組密碼外洩資料集RockYou2024，疑為3年前流出資料持續維護、更新而成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往的資料外洩事故，往往是針對特定的受害組織搜括帳密資料並進行公布、兜售，但如今駭客彙整各種資料外洩事故的帳密資料，以便進一步利用的情況，可是越來越明顯，有研究人員發現一批資料，疑似3年前外流的資料進行更新而成。</p> <p>根據資安新聞網站Cybernews的報導，他們的資安研究員於駭客論壇發現<a href="https://cybernews.com/security/rockyou2024-largest-password-compilation-leak/">有人於7月4日公布一批帳密資料「RockYou2024」</a>，這個檔案的名稱是rockyou2024.txt，內含多達9,948,575,739筆明文密碼，公布上述純文字檔案的人士，ID名稱是ObamaCare。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rockyou2024-post.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rockyou2024-post.png" style="width: 580px;" /></a></p> <p>研究人員指出，雖然這個論壇使用者從今年5月下旬才開始出現，但已經洩露法律事務所Simmons & Simmons員工資料庫、網路賭博業者AskGamblers的內部資料，以及羅文大學（Rowan College）學生申請資料。</p> <p>Cybernews將這批資料與自己的外洩密碼檢查工具進行比對，確認當中含有先前與最新資料外洩事故所流出的密碼。值得留意的是，研究人員認為，這批資料並非突然出現，源自3年前他們發現的RockYou2021外洩資料庫延伸，當時約有84億明文密碼資料曝光。</p> <p>換言之，維護這批資料的駭客，3年後的現在，總共新增15億組資料，單是這些新內容，大約占RockYou2024的15%。而這是在研究人員1月揭露<a href="https://cybernews.com/security/billions-passwords-credentials-leaked-mother-of-all-breaches/">高達260億筆資料的大型外洩資料庫「資料外洩之母（Mother of all Breaches，MOAB）」</a>之後，另一起今年發現的大規模資料外洩事故。</p> </div></div></div>
2024/7/10 16:57作者周峻佑https://www.ithome.com.tw/news/163863
臺美聯手合作，查獲透過暗網市集Genesis Market購買臺灣民眾個資的嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年10月傳出使用OKE為ID的人士於駭客論壇BreachForums兜售我國的戶政資料引起軒然大波，後來檢察官起訴一名向駭客購買個資的電腦工程師，該名工程師聲稱因好奇買來比對，臺北地檢署最終判決緩起訴，要求他繳納50萬元給公庫。如今又傳出有人試圖購買臺灣民眾個資的情況。</p> <p>7月8日法務部調查局宣布，<a href="https://www.mjib.gov.tw/news/Details/1/1015">他們破獲有人企圖透過創世紀市集（Genesis Market）取得國人個資的情況</a>。調查局在去年6月接獲美國聯邦調查局（FBI）情資，有網路罪犯在該暗網市集販售臺灣民眾個資的情況，調查局資安工作站根據相關線索展開調查，掌握林姓、虞姓、陳姓3名男子涉及購買多種臺灣民眾個資，這些個資的範圍，涵蓋身分證字號、手機號碼、社群網站存取權限，以及電商網站蝦皮、露天的帳密資料，嚴重侵害我國民眾的個人權益及網路身分安全。</p> <p>資安工作站掌握主嫌身分後，隨即報請臺灣臺北地方檢察署指揮，分別於今年4月18日及7月2日，會同新北市調查處、臺北市調查處、花蓮縣調查站執行搜索約談，查扣案關主機及電磁紀錄等證物，並約談3人到案。</p> <p>經送檢察官複訊後，認定林男所涉犯罪情節重大，有滅證及串證之虞，已向法院聲請羈押禁見獲准，另諭知陳男20萬元交保，虞男2萬元交保，全案朝向違反個人資料保護法及刑法妨害電腦使用等罪偵辦。</p> <p>調查局也透露他們接獲相關通報的原因，在於歐美執法機構於去年4月查封相關網域名稱，並對於該暗網市集的總部實施司法制裁，隨後提供他們與臺灣有關的使用者資訊，以便調查不法情事。</p> </div></div></div>
2024/7/10 17:46作者周峻佑https://www.ithome.com.tw/news/163872
多國網路安全機構聯手針對中國駭客組織APT40的攻擊行動提出警告，揭露鎖定澳洲發動攻擊的案例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客暗中國政府從事網路間諜攻擊的情況，時常有資安事故傳出，這樣的現象隨著政治情勢緊張，也變得越來越嚴峻，使得多個國家的執法機關公布相關資訊並聯手提出警告。</p> <p>例如，澳洲網路安全中心（ACSC）與美國、英國、加拿大、紐西蘭、德國、韓國、日本的執法機構聯手，<a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/apt40-advisory-prc-mss-tradecraft-in-action">針對中國資助的駭客組織APT40（別稱Kryptonite Panda、Gingham Typhoon、Bronze Mohawk）的攻擊行動提出警告</a>，指出這些駭客為中國國家安全部（MSS）效力，多次針對澳洲政府機關及企業組織下手，呼籲盟國要提高警覺。</p> <p>APT40具有快速解析研究人員公布的概念性驗證（PoC）程式碼的能力，從而將漏洞用於攻擊關鍵基礎設施的網路環境，也會定期對於偏好下手的目標進行偵察，尋找網路環境當中易受攻擊、不再維護，或是生命週期已經結束的設備，伺機滲透。</p> <p>哪些類型的應用系統是APT40經常攻擊的對象？主要是曝露在網際網路的應用系統，像是事件記錄程式庫Log4j、DevOps協作平臺Atlassian Confluence、微軟郵件伺服器Exchange，利用Log4Shell（CVE-2021-44228）、CVE-2021-31207、CVE-2021-26084，以及ProxyShell（CVE-2021-31207、CVE2021-34523、CVE-2021-34473），上述系統若有漏洞資訊公開，他們會在幾小時至幾天後，就將其用於實際攻擊行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/apt40-figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt40-figure-1.png" style="width: 580px;" /></a></p> <p>至於這些駭客隱匿攻擊行動的媒介，ACSC提及APT40過往較常入侵澳洲網站並將其充當C2伺服器，如今濫用小型辦公室及家用的網路裝置架設基礎設施，因為這類設備有不少並未定期修補，或是生命週期已經結束而不再受到維護，一旦拿下之後，就有可能將它們用來發動攻擊，將相關流量混入合法流量，而能對防守方隱匿攻擊行蹤。</p> <p>ACSC也公布兩起APT40發動的資安事故，其中一起發生在2022年7月至9月，駭客先透過TLS連線成功存取部分網頁應用程式、著手偵察，隨後鎖定特定端點嘗試利用漏洞，最終疑似於網頁伺服器植入Web Shell或是其他工具，使攻擊者能成功向網頁伺服器發出POST請求。</p> <p>接著，駭客尋求權限提升的機會，並找出網路環境的其他主機，部署更多的Web Shell。另一方面，這些駭客也試圖使用外流的帳密資料存取網頁應用程式，過程中會部署開源工具Secure Socket Funneling（SSF），建立受害組織的網路環境與惡意基礎設施之間的連線，後來APT40找出網路環境及AD的組態，使用另一個外流的帳號在邊界網路（DMZ）的Windows電腦上，設置共享資料夾，從而成功外洩資料。</p> <p>另一起資安事故則是發生在2022年4月，APT40鎖定受害組織提供員工遠端登入系統，這套系統由3組負載平衡主機組成，事故發生後受害組織關閉其中2臺主機，結果駭客後續的攻擊行動都針對尚未關閉的主機而來。</p> <p>對方使用已知漏洞於受害主機植入Web Shell，並進行權限提升。雖然缺乏事件記錄資料，ACSC無法確認這起事故的完整範圍，但他們根據主機上找到的證據，指出對方竊得數百組帳密資料，甚至有可能藉由合法使用者的身分存取虛擬化桌面基礎設施（VDI）環境。</p> </div></div></div>
2024/7/10 16:00作者周峻佑https://www.ithome.com.tw/news/163861
Google即將開放暗網監控功能予所有用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日<a href="https://support.google.com/googleone/answer/14806901?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">宣布</a>，原本隸屬於Google One付費服務的Dark web report功能將在今年7月底開放所有用戶使用，它將被整合到允許使用者移除搜尋結果個資的Results about you中。</p> <p><a href="https://www.ithome.com.tw/news/156846" target="_blank">Dark web report</a>主要是用來協助使用者監控於暗網中流傳的個資，諸如姓名、地址、電話號碼與電子郵件帳戶，只要啟用了該功能，每當Google於暗網中發現使用者個資時，便會通知用戶。該功能原本只提供給付費的Google One訂閱用戶，但Google現在決定讓所有具備Google帳戶的使用者都能存取，現階段Dark web report支援包括臺灣在內的46個國家。</p> <p>Dark web report將整合至<a href="https://www.ithome.com.tw/news/158110" target="_blank">Results about you服務</a>中。有別於Dark web report鎖定暗網，而且只有通知功能，Results about you則是針對出現在Google搜尋結果中的個資，並允許使用者申請將之移除，可申請移除的資料包括電話號碼、地址及電子郵件帳戶。</p> <p>不過，雖然Dark web report支援臺灣市場，但Results about you並不支援臺灣市場，目前看起來Google僅於少數國家提供該服務，像是美國、澳洲與南非等，不確定屆時是否也只有這些國家的用戶可存取Dark web report。</p> </div></div></div>
2024/7/10 15:42作者陳曉莉https://www.ithome.com.tw/news/163860
Meta開發10億以下參數量的小型LLM模型MobileLLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大廠持續投入終端裝置上的AI模型開發。Llama模型家族獲得眾多開發人員使用後，<a href="https://arxiv.org/abs/2402.14905" target="_blank">Meta本周稍早又公布</a>可在行動裝置上執行，參數量不到10億的新AI模型家族。</p> <p>由於在雲端執行上百甚至上千億參數的大型語言模型（LLM）增加雲端運算成本及延遲性問題，推升了筆電或手機等行動裝置端上執行LLM的運行需求。Meta集結旗下Meta Reality Labs、PyTorch與Meta AI Research（FAIR）部門研發新訓練方法，建立參數量僅有1.25億、3.5億的新式模型MobileLLM。</p> <p>Meta研究小組<a href="https://arxiv.org/abs/2402.14905" target="_blank">公布的論文</a>說明該公司優化小型LLM的創新方法。他們認為，對小模型而言，模型的深度比廣度來得重要，他們採取「深而精簡」（deep- and-thin）的模型架構更能以極高效能萃取抽象概念。他們採用內嵌共享（embedding sharing）技術實作出群組查詢注意力（Grouped Query Attention，GQA）方法用於小型LLM，以便最大化權重利用率。此外，他們還發展權重共享的新方法，能提升減少記憶體區塊（block）運算次數，進一步降低AI模型運算延遲性。</p> <p>研究人員將其訓練出的MobileLLM 125M/350M和參數量相當的State of the Art（SOTA）模型如Cerebras、OPT、BLOOM等進行對話標竿測試。在零樣本（zero-shot）測試中MobileLLM 125M/350M比SOTA模型的平均準確率高出2.7%/4.3%。研究人員使用權重共享方法訓練出的MobileLLM 125M/350M版本，名為MobileLLM LS-125M/350M，還可以將準確率分別再向上提升0.7%及0.8%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-facebook%20research-MobileLLM-2.png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0710-facebook%20research-MobileLLM-600-.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-facebook%20research-MobileLLM-600-.png" style="width: 600px;" /></a></p> <p><a href="https://arxiv.org/abs/2402.14905" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_arXiv:2402.14905</span></span></a></p> <p>MobileLLM 125M/350M在聊天和API呼叫任務中，效能大幅超越參數量相當的小型LLM。其中，在API呼叫任務中，這個新模型得分還比Meta的LLaMA-v2 7B模型大幅領先。</p> <p>研究人員另外也訓練了其他參數規模的模型，包括MobileLLM-600M/1B/1.5B。</p> <p>Meta研究小組將MobileLLM的相關資源公開於<a href="https://github.com/facebookresearch/MobileLLM" target="_blank">GitH<wbr></wbr>ub</a>及<a href="https://huggingface.co/papers/2402.14905" target="_blank">Hu<wbr></wbr>gging Face</a>上。</p> <p>最新研究使Meta也躋身裝置端（on-device）AI模型的供應商之林。今年稍早<a href="https://www.ithome.com.tw/news/162544" target="_blank">蘋果公布</a>了OpenELM 270M/450M/1.1B/3B、Google則先後開源了Gemma 2B/7B、<a href="https://www.ithome.com.tw/news/163705" target="_blank">Gemm2-9B/27B</a>。</p> </div></div></div>
2024/7/10 13:19作者林妍溱https://www.ithome.com.tw/news/163858
微軟7月修補143個安全漏洞，包括4個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（7/9）的Patch Tuesday總計<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Jul" target="_blank">修補了143個安全漏洞</a>，包括4個零時差漏洞，其中的<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-37985" target="_blank">CVE-2024-37985</a>與<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-35264" target="_blank">CVE-2024-35264</a>漏洞已被公開，而<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-38080" target="_blank">CVE-2024-38080</a>與<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-38112" target="_blank">CVE-2024-38112</a>則是已遭駭客利用；另有5個被列為重大（Critical）等級的安全漏洞。</p> <p>7月所修補的、隸屬於微軟產品的安全漏洞其實只有139個，其它4個則是來自第三方的安全漏洞，包含兩個位於GitHub活動目錄權限管理服務（Active Directory Rights Management Services，AD RMS）的權限擴張漏洞，一個位於RADIUS協定的詐騙漏洞CVE-2024-3596，最後一個則是此次零時差漏洞之一的<a href="https://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-37985" target="_blank">CVE-2024-37985</a>，影響採用Arm處理器的Windows作業系統，成功的攻擊將允許駭客察看伺服器上以特權程序執行的堆積記憶體。</p> <p>另一個已被公開的漏洞為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-35264" target="_blank">CVE-2024-35264</a>，為.NET與Visual Studio的遠端執行漏洞，惟攻擊門檻較高。</p> <p>在兩個已遭到利用的漏洞中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38080" target="_blank">CVE-2024-38080</a>是Windows Hyper-V的權限擴張漏洞，可讓駭客取得系統（SYSTEM）權限。<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-38112" target="_blank">CVE-2024-38112</a>則是位於Windows MSHTML Platform的欺騙漏洞，儘管駭客必須額外準備攻擊環境，也必須誘導使用者執行惡意檔案，屬於相對複雜的漏洞，但該漏洞依然已遭到利用。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38080" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38080.png" style="width: 500px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-38112" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38112.png" style="width: 500px;" /></a></p> <p>至於5個重大漏洞中有3個都與Windows Remote Desktop Licensing Service（RD Licensing）有關，同時它們的CVSS風險評分等級也都高達9.8。此一服務負責管理及發放遠端桌面服務的許可證，其中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38074" target="_blank">CVE-2024-38074</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38076" target="_blank">CVE-2024-38076</a>的攻擊手法一致，駭客可藉由傳送一個特製封包至RD Licensing伺服器上便能觸發該漏洞，以自遠端執行程式。而<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077" target="_blank">CVE-2024-38077</a>則允許未經授權的駭客存取該服務，再傳送惡意訊息便能自遠端執行程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38074" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38074.png" style="width: 470px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38076" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38076.png" style="width: 470px;" /></a></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38077.png" style="width: 470px;" /></p> <p>緩解上述RD Licensing漏洞的方法之一，為關閉非必要的RD Licensing服務。</p> <p>另一個允許遠端程式執行的重大漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38060" target="_blank">CVE-2024-38060</a>位於Microsoft Windows Codecs Library，允許具備任何身分等級的駭客上傳惡意TIFF檔案來觸發該漏洞。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38060" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38060.png" style="width: 470px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38023" target="_blank">CVE-2024-38023則</a>是Microsoft SharePoint Server的遠端執行漏洞，允許具備Site Owner權限的駭客，於SharePoint Server上注入任意程式碼並執行它。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38023" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38023.png" style="width: 470px;" /></a></p> <p>趨勢科技資安團隊<a href="https://www.zerodayinitiative.com/blog/2024/7/9/the-july-2024-security-update-review" target="_blank">Zero Day Initiative（ZDI）提醒</a>，CVE-2024-38080或許允許於guest OS上具備授權的使用者取得SYSTEM權限，進而利用此一Windows Hyper-V的權限擴張漏洞來執行勒索軟體攻擊，儘管微軟並未公布其遭到利用的規模，但建議執行Hyper-V的用戶儘快測試並部署安全更新。</p> </div></div></div>
2024/7/10 12:10作者陳曉莉https://www.ithome.com.tw/news/163856
OpenAI與Thrive Global共同創立Thrive AI Health，推動個人化AI健康教練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI旗下的新創基金OpenAI Startup Fund，以及專門研究行為改變技術的Thrive Global在本周一（7/8）<a href="https://www.prnewswire.com/news-releases/openai-startup-fund--arianna-huffingtons-thrive-global-create-new-company-thrive-ai-health-to-launch-hyper-personalized-ai-health-coach-302190536.html" target="_blank">宣布共同創立Thrive AI Health</a>，企圖藉由人工智慧（AI）與行為改變來改善人們的健康，計畫推出「超」個人化的AI健康教練。</p> <p>其中，Thrive Global是由創立哈芬登郵報（The Huffington Post）的Arianna Huffington所成立，Huffington於哈芬登郵報在2011年賣給America Online（AOL）之後，仍持續擔任該報的總編輯，一直到2016年離職，同年即創辦Thrive Global，專注於開發行為改變技術。相關技術指的是藉由改變人們的生活習慣與態度來預防疾病，進而節省醫療照護成本。</p> <p>OpenAI共同創辦人暨執行長Sam Altman與Huffington在連袂撰寫的<a href="https://time.com/6994739/ai-behavior-change-health-care/" target="_blank">TIME專欄</a>中指出，有1.29億的美國人至少患有一種嚴重的慢性病，而在美國每年4.1兆的醫療照護支出中，就有90%是用來治療相關的疾病。然而，健康不僅取決於醫療照護或基因，也可透過行為改變來改善，它既能預防疾病，也能改善疾病的治療。</p> <p>他們認為，即使改變行為並不容易，但藉由AI輔助的超個人化設計將具備獨特優勢。</p> <p>Thrive Global所注重的五大行為包括睡眠、食物、運動、壓力管理與社會連結，打算建置一個超個人化的AI健康教練，可根據個別使用者的狀態及習慣，協助其累積各種可改善健康的行為。新公司的執行長為DeCarlos Love，他曾在蘋果與Athos擔任與產品有關的職務，之後在Google主導橫跨裝置與平臺的業務，包括各種感應器、AI/機器學習演算法，以及Fitbit by Google Fitness、Pixel Watch與Wear OS等。</p> <p>根據該公司的規畫，Thrive AI Health Coach將透過個人化的脈絡引擎來理解及生成有助其健康的建議，這些建議來自於多模式且專家級的指導，環繞在上述的五大行為，並由統一的健康資料平臺提供支援。之後亦將接受最新的同行評審科學、生物識別、實驗室與其它醫療資料的訓練。</p> </div></div></div>
2024/7/10 11:08作者陳曉莉https://www.ithome.com.tw/news/163855
東元電機與宅配通發生網路資安事件，東元集團兩公司同日發布重訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內傳出兩家上市公司遭遇資安事故的消息，先是老牌電機大廠東元電機發布資安事件重大訊息，同日該公司旗下物流公司台灣宅配通也發布資安重訊。</p> <p>首先，東元電機在7月8日下午3時18分發布<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=151847&SPOKE_DATE=20240708&COMPANY_ID=1504">重大訊息</a>，說明公司發生網路資安事件。</p> <p>根據東元電機公告指出，這次事件是該公司自行偵測到網路傳輸異常，察覺部份資訊系統遭受駭客攻擊，資安單位隨即啟動資安防禦與復原機制，並委請外部資安公司技術專家協助處理。關於這起事故帶來的影響，該公司僅表示，目前公司資訊系統正陸續恢復中，評估對公司營運尚無重大影響，後續若有重大影響再行公告。</p> <p>到了在7月8日傍晚5時55分，隸屬於東元集團旗下、國內知名物流配送公司台灣宅配通也發布<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=175553&SPOKE_DATE=20240708&COMPANY_ID=2642">重大訊息</a>，說明公司部份資訊系統遭受駭客網路攻擊。</p> <p>台灣宅配通指出，他們在偵測到部份資訊系統遭受駭客網路攻擊後，資安部門已全面啟動相關防禦機制與備援作業，同時協調外部資安公司技術專家共同合作處置，後續將彙整完整異常資料，並通報政府執法部門與資安單位。該公司另也表示，對公司營運無重大影響，目前資訊系統陸續回復運作中。</p> <p>附帶一提的是，當日國內還有另一起事故的揭露，是上櫃公司聖暉工程科技在晚間6時23分發布資安重訊，代子公司聖暉系統集成集團發布資通安全事件公告。</p> </div></div></div>
2024/7/9 20:57作者羅正漢https://www.ithome.com.tw/news/163851
攻擊Ticketmaster的駭客繼外洩該平臺用戶資料、行動門票條碼後，又公布實體門票檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最大售票平臺Ticketmaster今年5月<a href="https://www.ithome.com.tw/news/163194" target="_blank">遭到駭客入侵</a>，駭客Shiny Hunters先是在論壇上兜售該平臺5.6億名用戶的資料，索價50萬美元，繼之外洩約17萬張的Taylor Swift演唱會門票條碼，將價碼提高到200萬美元，在Ticketmaster宣稱該門票條碼是變動的，幾秒鐘就會替換之後，近日駭客再公布逾3.8萬張、由消費者在家自行列印的各種活動的門票條碼。</p> <p>Ticketmaster母公司Live Nation Entertainment已<a href="https://www.sec.gov/Archives/edgar/data/1335258/000133525824000081/lyv-20240520.htm" target="_blank">向美國證券交易委員會（SEC）證實</a>該平臺遭到攻擊。表示是在5月20日於一個含有Ticketmaster資料的第三方平臺上有未經授權的活動，旋即展開調查，駭客則是在5月27日於暗網上出售宣稱來自該公司的資料。</p> <p>當時Live Nation亦著手減輕對使用者及該公司的風險，同時通知執法機構與主管機關，並說此一事件應不會對該公司的業務、財報或營運產生重大影響。</p> <p>看起來Live Nation或Ticketmaster並未支付贖金，使得Shiny Hunters在7月5日免費<a href="https://x.com/H4ckManac/status/1809103001409270048" target="_blank">公開</a>了約17萬張Taylor Swift演唱會的門票條碼，還說手中握有其它涉及154場活動，總計3,000萬張的活動條碼，並將贖金提高到200萬美元。</p> <p>之後Ticketmaster駁斥了駭客的說法，指出為了反詐騙，其行動門票條碼每幾秒鐘就會自動更新，根本無法複製。</p> <p>不過，根據<a href="https://www.bleepingcomputer.com/news/security/hackers-leak-39-000-print-at-home-ticketmaster-tickets-for-154-events/" target="_blank">BleepingComputer的報導</a>，Shiny Hunters宣稱Ticketmaster有一個Ticketfast實體門票服務，允許使用者於家中印出活動門票，這些門票上的條碼無法輪替，同時公布了一個內含38,745張Ticketfast門票條碼的檔案連結。</p> </div></div></div>
2024/7/9 15:16作者陳曉莉https://www.ithome.com.tw/news/163848
【資安日報】7月9日，留意BEC詐騙攻擊，惡意軟體沙箱服務業者遭網釣攻擊後，查出郵件備份程式PerfectData恐洩…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子郵件是企業日常運作中不可或缺的溝通工具，然而電子郵件也持續是駭客和網路犯罪分子的主要攻擊目標之一，最近惡意軟體沙箱服務業者Any.Run不僅揭露自身遭網釣攻擊，有員工帳戶被洩露並遭遇BEC詐騙活動，同時他們另也強調，問題出在電子郵件備份應用程式PerfectData，已導致多起郵件外洩事故。</p> <p>特別的是，還有一起事件發生在國內，崴寶精密科技公司與其客戶遭遇BEC詐騙，同樣顯現電子郵件中的交易內容資訊被掌握，以及冒其名義寄送變更匯款通知信的危害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163809"><strong style="font-size: 22px;">電子郵件備份應用程式PerfectData存在高風險，過去一年來，網路論壇傳出多次信箱因此洩漏的事件</strong></a></p> <p>上個月發生的惡意軟體沙箱服務業者Any.Run遭到網釣攻擊事件，有員工帳戶被洩露並遭遇BEC詐騙活動，該公司特別揭露遭網釣攻擊的起因——攻擊者透過備份應用程式PerfectData Software竊取該公司員工電子信箱信件，數個資安研究廠商與研究人員的調查均顯示，在過去一年多來，這款應用程式已造成多起郵件資料外洩導致的攻擊，本身存在著高風險，警告用戶審慎使用這款應用程式。</p> <p>Any.Run在針對該公司遭到網釣攻擊事件的報告中，指出事件的起因之一，是攻擊者透過該公司員工安裝的備份應用程式PerfectData Software，竊取該員工整個信箱的郵件，進而利用其中的聯絡人信箱帳號，向該公司所有員工發送釣魚信件，顯示PerfectData Software這款應用程式可能遭到濫用。</p> <p>我們進一步追查後，發現其實早在1年前，網路安全公司Darktrace與安全分析師Damien，就已分別在2023年6月與7月通報PerfectData Software存在高風險，並已導致多起郵件外洩事故。</p> <p><a href="https://www.ithome.com.tw/news/163828"><strong style="font-size: 22px;">惡意軟體載入工具GootLoader透過多階段攻擊鏈散布，駭客佯稱提供法律文件範本引誘使用者上當</strong></a></p> <p>資安業者Cybereason揭露惡意程式載入工具GootLoader 3.0版的攻擊行動，並對其攻擊行動升溫提出警告。</p> <p>研究人員指出，雖然GootLoader原本是金融木馬GootKit惡意軟體家族其中一項元件，但攻擊者已經將其用於散布其他惡意程式，例如：Cobalt Strike、Gootkit、IcedID、Kronos、REvil、SystemBC。</p> <p>GootLoader如何用於攻擊行動？研究人員指出駭客通常會先入侵網站，並植入含有GootLoader的JavaScript惡意酬載，並使用搜尋引擎最佳化中毒的手法，鎖定想要尋找法律文件範本的企業使用者下手。</p> <p><a href="https://www.ithome.com.tw/news/163841"><strong style="font-size: 22px;">崴寶精密科技與其客戶遭遇BEC詐騙，駭客冒名發送電子郵件騙走3千萬，所幸及時凍結接收匯款的人頭帳戶</strong></a></p> <p>近期有臺灣企業揭露自身遭遇BEC詐騙事件，公開發行公司崴寶精密科技在6月28日仍透過證交所公開資訊觀測站發布重大訊息，說明遭遇冒名通知客戶更改收款帳戶的事件。根據公告內容來判斷，我們認為這起事故就是典型的BEC詐騙。</p> <p>之所以發現這起事件，根據崴寶精密科技的說明，他們是在6月22日執行定期清查逾期帳款時，發現有一家客戶的數筆帳款已逾期，在聯繫該客戶後，對方聲稱已付款，並提出由東莞子公司同仁於5月7日發送的電子郵件來表明已按該郵件指示付款至某香港公司帳戶，因此察覺這次事件。</p> <p>崴寶在隔日6月23日即展開行動，分別前往東莞及香港向警方報案，所幸的是，根據香港警方清查，該人頭帳戶所收到的1,050,324元美元（3千多萬元）款項，尚未被移轉，因而緊急凍結該帳戶，後續崴寶將在司法程序以取回該筆帳款。同時，崴寶也向所有客戶詢問是否收到變更匯款帳號的類似通知，目前確認沒有其他客戶受害。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=175553&SPOKE_DATE=20240708&COMPANY_ID=2642"><strong style="font-size: 22px;">電機大廠東元發生網路資安事件，目前資訊系統陸續恢復中</strong></a></p> <p>國內老牌電機大廠東元在7月8日下午3時18分發布資安事件重大訊息，說明公司發生網路資安事件。</p> <p>根據東元電機公告指出，這次事件是該公司自行偵測到網路傳輸異常，察覺部份資訊系統遭受駭客攻擊，資安單位隨即啟動資安防禦與復原機制，並委請外部資安公司技術專家協助處理。關於這起事故帶來的影響，該公司僅表示，目前公司資訊系統正陸續恢復中，評估對公司營運尚無重大影響，後續若有重大影響再行公告。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=175553&SPOKE_DATE=20240708&COMPANY_ID=2642"><strong style="font-size: 22px;">物流配送公司宅配通公告部份資訊系統遭受駭客網路攻擊</strong></a></p> <p>在7月8日國內傳出兩家上市公司遭遇資安事故的消息，除了東元電機，還有國內知名物流配送公司宅配通，該公司在7月8日傍晚5時55分發布資安事件重大訊息，說明公司部份資訊系統遭受駭客網路攻擊。</p> <p>宅配通指出，他們在偵測到部份資訊系統遭受駭客網路攻擊後，資安部門已全面啟動相關防禦機制與備援作業，同時協調外部資安公司技術專家共同合作處置，後續將彙整完整異常資料，並通報政府執法部門與資安單位。該公司另也表示，對公司營運無重大影響，目前資訊系統陸續回復運作中。</p> <p> </p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bloomberg.com/news/articles/2024-07-08/microsoft-orders-china-staff-to-switch-from-android-phones-to-iphones-for-work"><strong style="font-size: 20px;">微軟傳出要求中國員工9月起公務禁用Andorid手機，原因是中國市場無法使用Google Play下載必要身分驗證App，無法確保資安</strong></a></p> <p>◆<a href="https://cybernews.com/security/rockyou2024-largest-password-compilation-leak/"><strong style="font-size: 20px;">黑客論壇流傳一份近100億帳號密碼的「rockyou2024.txt」檔案，較2021曝光的版本多出15億組資料</strong></a></p> <p>◆<a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/apt40-advisory-prc-mss-tradecraft-in-action"><strong style="font-size: 20px;">多國網路安全機構在7月9日發布針對中國駭客組織APT10的資安通告，並揭露2起該組織對澳洲發動攻擊的案例</strong></a></p> <p>◆<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=4&SPOKE_TIME=182304&SPOKE_DATE=20240708&COMPANY_ID=5536"><strong style="font-size: 20px;">聖暉系統集成集團公司遭受駭客攻擊，上櫃母公司聖暉在7月8日代重要子公司發布資通安全事件公告</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163795"><strong style="font-size: 22px;">Windows 10明年終止支援，資安業者推漏洞修補服務，費用僅微軟ESU的1/4</strong></a></p> <p>微軟將在2025年10月終止支援Windows 10，現也呼籲用戶及早升級到Windows 11。但是Windows 11對電腦硬體規格有一定要求，如需搭載支援TPM 2.0的處理器，用戶必須買新電腦。Windows 11的介面和Windows 10也大不相同，必須重新適應。此外，對大型企業而言，升級作業系統對管理員來說費時費力，也可能有應用不相容的風險。</p> <p>斯洛維尼亞的資安業者0patch，過去經常在知名軟體爆出漏洞來不及發布更新時，先釋出暫時性修補程式，本月該公司推出的最新方案，則鎖定明年可能出現安全空窗的Windows 10 PC用戶。這項方案將對Windows 10 22H2提供最少5年的重大安全修補程式，並視市場反應考慮延長。0patch的Windows 10修補程式服務分為二個等級。0patch Pro是為個人或小企業設計，價格為每臺電腦每年24.95歐元，另一0patch Enterprise適合中大型組織，費用為每臺電腦每年34.95歐元。</p> <p><a href="https://www.ithome.com.tw/news/163795"><strong style="font-size: 22px;">Windows 11 21H2、22H2將在10月終止支援</strong></a></p> <p>微軟本周發布公告，Windows 11 21H2及22H2二個版本作業系統將在3個月後，即2024年10月8日終止支援，因此，對這些版本作業系統而言，10月8日發布的每月安全更新將是最後一次更新。屆時微軟將主動為部分商用裝置部署Windows 11 23H2版本。</p> <p>事實上，從今年2月開始，微軟已經強制為適用的Windows 11電腦發布23H2版本（又名Windows 11 2023 Update）。微軟表示，將依據其機器學習模型，在安全部署考量下，為已來到EoL的裝置部署這個更新版。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163836"><strong>【7月8日】勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163808"><strong>【7月5日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163785"><strong>【7月4日】歐洲最大雲端服務供應商揭露DDoS攻擊規模與日俱增的現象，並指出大多惡意流量來自MikroTik路由器</strong></a></p> <p> </p> </div></div></div>
2024/7/9 10:27作者羅正漢https://www.ithome.com.tw/news/163843
40歲的Windows記事本終於有拼字檢查、自動修正功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows記事本（Notepad）在推出41年後，終於悄悄在Windows 11版本加入現代化功能，像是拼字檢查和自動修正。</p> <p>微軟今年3月就先在Canary及Dev頻道<a href="https://blogs.windows.com/windows-insider/2024/03/21/spellcheck-in-notepad-begins-rolling-out-to-windows-insiders/" target="_blank">釋出</a>Notepad（11.2402.22.0），並在4月將之釋出給Beta與Release Preview頻道。微軟本周將Windows Notepad（11.2402.22.0版）釋出給一般用戶。</p> <p>這版Notepad最重要的新增功能之一是拼字檢查及自動修正。和Word版本一樣，記事本會在用戶拼錯字的地方以紅色底線標出。但是它無法像Word一樣滑鼠按右鍵顯示建議拼字讓用戶選擇。若要看到建議拼字，用戶必須點擊或輕觸錯字，或是以快捷鍵Shift+F10，才能看到建議選單，再從中選擇要的字。用戶也可以選擇將其拼字加入字典，這點也和Word一樣。</p> <p>這2個功能會在一般純文字檔中預設啟用，但在和寫程式相關的檔案，如log檔則預設關閉。用戶可以在記事本的設定中變更為一體適用，或適用於特定檔案，也可以透過環境選單（context menu）為現有檔案啟用該功能。微軟已將「設定」頁重新組織，以便容易找到並調整記事本設定。</p> <p>微軟是在1983年<a href="https://en.wikipedia.org/wiki/Windows_Notepad" target="_blank">推出</a>記事本（Notepad），名稱一開始叫Multi-Tool Notepad，作為基本版的Word。但此後一直維持它陽春的功能。直到微軟逐漸淘汰小作家（Wordpad），才開始為記事本強化功能。現今記事本也終於有了字數計算、深色模式、分頁、整合Copilot等現代化功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0709-Notepad%20app-Explain%20with%20Copilot%EF%BC%8D%EF%BC%92.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟去年9月<a href="https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features" target="_blank">宣布</a>將不再更新小作家，今年3月也公告將於今年稍晚Windows 11 24H2及Server 2025中移除小作家App。</p> </div></div></div>
2024/7/9 11:46作者林妍溱https://www.ithome.com.tw/news/163845
崴寶精密科技與其客戶遭遇BEC詐騙，駭客冒名發送電子郵件騙走3千萬，所幸及時凍結接收匯款的人頭帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於BEC商業電子郵件詐騙案，過去國內很少有企業揭露這方面的資安事故，通常只有警政署公布統計資訊，或以去識別化的案例來宣導，又或是等到主管機關揭露，像是之前臺灣銀行洛杉磯分行通報金管會遭遇BEC詐騙案。</p> <p>國內也曾傳出BEC詐騙，但很少浮出檯面讓外界得知，難得有公司主動公布發生這樣的事故，不過，現在隨著證交所對臺灣上市櫃公司資安重訊發布的要求條件擴大，企業BEC詐騙事件可望有更多公開揭露的機會。</p> <p>今年4月才剛在國內證券櫃檯買賣中心申請成為公開發行公司的崴寶精密科技，雖然他們尚未成為上市櫃公司，在6月28日仍透過證交所公開資訊觀測站發布重大訊息，說明遭遇冒名通知客戶更改收款帳戶的事件。根據公告內容來判斷，我們認為這起事故就是典型的BEC詐騙。</p> <p>在崴寶崴寶精密科技這次公告中，揭露了他們遭遇的商業電子郵件入侵詐騙案，有合作客戶被冒名崴寶發送的電子郵件所騙，將1百多萬美元（3千多萬元）款項，匯至不屬於崴寶精密科技的帳戶。</p> <p>之所以發現這起事件，根據崴寶精密科技的說明，他們是在6月22日執行定期清查逾期帳款時，發現有一家客戶的數筆帳款已逾期，因此聯繫該客戶。</p> <p>但對方聲稱已付款，並提出先前電子郵件往來的紀錄，指出崴寶東莞子公司的人員曾在5月7日發送電子郵件，通知變更匯款帳戶，於是他們也已經按該郵件指示，付款至某香港公司帳戶。因此，崴寶立即發覺遭他人冒名、發送虛假電子郵件通知客戶更改收款帳戶的情形。</p> <p>在察覺發生BEC詐騙的後續因應上，崴寶在隔日6月23日即展開行動，分別前往東莞及香港向警方報案，所幸的是，根據香港警方清查，該假帳戶所收到的1,050,324元美元款項，尚未被移轉，於是在當地執法單位與金融機構協助下緊急凍結該帳戶，後續崴寶將在司法程序以取回該筆帳款。同時，崴寶也向所有客戶詢問是否收到變更匯款帳號的類似通知，目前確認沒有其他客戶受害。</p> <p>特別的是，崴寶也清楚說明了他們後續將採取的諸多行動，</p> <p>例如，對於公司內部，該公司除了將配合司法調查，也釐清公司作業流程及內控是否存有漏洞而遭人利用。</p> <p>另外，他們表示會將這次事件列為員工教育訓練教案之一，對於清查逾期帳款一事，也將持續宣達要確實執行，並將檢討精進相關後續應變處理措施。</p> <p>對於與其合作的客戶，他們也發出通知，說明日後如有類似這次事件的匯款變更通知，崴寶將以電話親自通知，也請客戶務必再與公司相關管理層人員確認。</p> <p>整體而言，這次事件能及早攔阻，除了定期清查逾期帳款，最主要是匯款尚未被BEC詐騙駭客再次轉移，但我們也要提醒，通常BEC詐騙能成功，代表駭客已掌握雙方的款項交易行為，像是入侵電子郵件系統、閱讀公司信件內容，掌握關鍵業務窗口與交易資訊，才能伺機發送假冒的變更匯款帳戶通知信，因此電子郵件防護的面向也要多加留意。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%B4%B4%E5%AF%B6%E7%99%BC%E5%B8%83%E8%B3%87%E5%AE%89%E9%87%8D%E8%A8%8A%EF%BC%8C%E8%AA%AA%E6%98%8E%E6%9C%89%E9%A7%AD%E5%AE%A2%E5%86%92%E5%90%8D%E8%A9%B2%E5%85%AC%E5%8F%B8%E7%99%BC%E5%8B%95BEC%E8%A9%90%E9%A8%99.jpg" style="width: 600px;" /></p> </div></div></div>
2024/7/9 08:42作者羅正漢https://www.ithome.com.tw/news/163841
Windows 11 21H2、22H2將在10月終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3341" target="_blank">微軟本周發布公告</a>，Windows 11 21H2及22H2二個版本作業系統將在3個月後，即2024年10月8日終止支援。屆時微軟將主動為部分商用裝置部署Windows 11 23H2版本。</p> <p>根據微軟最新90天終止預告，Windows 11 21H2（Enterprise、Education與IoT Enterprise）及Windows 11 22H2（Home與Pro版）在2024年10月將來到技術支援周期終點。10月8日發布的每月安全更新對這些版本作業系統而言，將是最後一次更新。</p> <p>在此之後，執行這些OS版本的裝置將不會再接收到官方安全更新。在快到終止支援之前，微軟將開始自動為未受IT部門管理的商用機，自動部署功能更新Windows 11 23H2，微軟說，升級到最新版本可確保裝置安全。</p> <p>事實上，從2月開始，微軟已經強制為適用的Windows 11電腦<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-23h2" target="_blank">發布23H2版本</a>（又名Windows 11 2023 Update）。微軟表示，將依據其機器學習模型，在安全部署考量下，為已來到EoL的裝置部署這個更新版。不過根據微軟自己的公告，6月底釋出的23H2版本（OS Build 22621.3810）傳出安裝後導致使用VM或巢狀虛擬化（nested virtualization）的電腦反覆重開機，以及工作列不會載入等問題。</p> </div></div></div>
2024/7/9 10:38作者林妍溱https://www.ithome.com.tw/news/163844
駭客鎖定以色列政府機關及企業組織，意圖散布以開源工具打造的惡意程式GrassHopper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客從事網路攻擊的過程裡，濫用開源的滲透測試工具的情況越來越常見，並且使得防守者識別攻擊行為難度隨之提升，甚至可能會無法與合法的滲透測試行為進行區別。</p> <p>例如，資安業者HarfangLab在調查鎖定以色列政府、企業組織的攻擊行動過程裡，<a href="https://harfanglab.io/en/insidethelab/supposed-grasshopper-operators-impersonate-israeli-gov-private-companies-deploy-open-source-malware/">找到先前未曾揭露的可疑網域，攻擊者將其用於設置C2伺服器</a>，但特別的是，這個網域存在的時間相當長，引起了研究人員的注意。</p> <p>他們循線調查駭客在攻擊過程使用的相關工具，發現對方使用可公開的惡意軟體，也有部分作案工具是自行開發，相關攻擊行動具有高度針對性，他們散布惡意酬載的管道，是利用專門為目標基礎設施量身打造的WordPress網站，研究人員指出，這些攻擊仰賴開源的惡意軟體，影響範圍甚至擴及了不同領域的垂直產業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/wp-operative-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/wp-operative-1.png" style="width: 580px;" /></a></p> <p>針對上述的攻擊行動，研究人員懷疑是資安人員的滲透測試所致，但由於相關的攻擊基礎設施並未與市面上的滲透測試業者有關，因此他們認為應該向資安社群公布相關發現。</p> <p>究竟對方如何發起攻擊？研究人員在其中2起發生在2023年11月的攻擊行動裡，發現對方疑似透過特別製作的WordPress網站，散布VHD虛擬磁碟檔案格式作為初始的有效酬載，駭客使用偷渡式下載（Drive-by Download）的手法，將VHD檔植入受害電腦。</p> <p>一旦使用者將VHD檔案掛載，就會在磁區看到Windows捷徑檔案（LNK），該檔案含有看似圖片的圖示，開啟後就會執行設為隱藏屬性的HTML應用程式檔案（HTA），顯示誘餌圖片降低使用者的戒心，並啟動第一階段的惡意程式。</p> <p>這個圖片內容含有以色列經濟及工業局的圖標，並以希伯來文寫著：假期驚喜！抱歉，你沒有贏。</p> <p><a href="https://s4.itho.me/sites/default/files/images/result.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/result.jpg" style="width: 580px;" /></a></p> <p>駭客使用的第一個惡意程式是以程式語言Nim打造而成，主要的用途是下載第2階段的惡意軟體，此惡意軟體濫用GlobalSign的根憑證檔案啟動SSL連線，從遠端取得惡意檔案並在記憶體內執行。</p> <p>而第2階段的惡意酬載是GrassHopper，研究人員指出是結合兩種開源的工具而成，檔案大小約為15 MB。而這些遭濫用的開源工具元件，分別是Shell Code生成框架Donut，以及滲透測試框架Sliver。</p> <p>在GrassHopper初始化的階段，攻擊者會進行解碼處理及使用API雜湊值解析功能函數，然後竄改Windows安全防護機制反惡意軟體掃描介面（AMSI）及Windows鎖定政策（WLDP），阻礙受害電腦安裝的防毒軟體運作，最終對應（map）與執行嵌入的酬載。</p> <p>究竟這起資安事故是攻擊行動還是合法的滲透測試？研究人員推測，很有可能是企業組織的滲透測試行為。</p> <p>他們進一步指出，由於這場攻擊行動相當特別，不僅攻擊範圍相當有限，目標極為明確，而且，只有少量惡意程式檔案與之有關，這代表了對方僅進行極少量的入侵嘗試，這些現象皆與駭客的攻擊行為相當不同。</p> <p>再加上駭客使用的工具鏈主要由開源工具組成，僅有初始的HTA檔案及Nim下載器為自行開發，並自行架設WordPress網站做為交付有效酬載的管道，但研究人員認為上述攻擊內容小型團隊就能執行。</p> <p>不過，若是滲透測試行為，上述揭露的惡意酬載已實際被利用或是散布，卻沒有任何能直接佐證是資安業者執行滲透測試的證據，再加上佯裝成政府機關或是關鍵基礎設施的名義從事相關行為，可能會造成政治局勢緊張，並導致不必要的後果。因此，他們也無法完全排除是網路攻擊的行為。</p> <p>但無論實際上是那一種行為，這起資安事故的發生，突顯攻擊者有許多現成、公開的攻擊框架工具可用，使得未來的資安調查及威脅分析工作變得更加困難，成為資安人員將要面臨的挑戰。</p> </div></div></div>
2024/7/9 10:02作者周峻佑https://www.ithome.com.tw/news/163840
【資安日報】7月8日，勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近1年新興的勒索軟體駭客組織不斷出現，但大部分採用已被外洩的LockBit、Babuk開發工具或是程式碼，加以修改就用於攻擊行動，但現在資安業者Group-IB揭露的Eldorado相當不同，對方是自行從頭打造惡意程式，使得他們的惡意軟體不像其他的勒索軟體容易推測其運作特徵，而難以防範。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163819"><strong style="font-size: 22px;">今年3月竄出的勒索軟體Eldorado鎖定Windows、Linux與VMware ESXi平臺，已有16家企業遭受攻擊</strong></a></p> <p>資安業者Group-IB揭露新的勒索軟體即服務（RaaS）Eldorado，此勒索軟體以跨平臺的Go程式語言撰寫，可用來攻擊Windows、Linux與VMware ESXi平臺。從今年3月現身迄今，至少已有16家企業遭到Eldorado的攻擊。研究人員指出，有別於許多近期出現的勒索軟體採用外洩的LockBit或Babuk程式碼打造，經營Eldorado的駭客組織是自行撰寫程式碼，他們慣用俄文進行溝通。</p> <p>截至今年6月為止，全球有16家企業遭到Eldorado勒索軟體攻擊，有13家位於美國，2家位於義大利，另一家則是克羅埃西亞的組織，在行業別上，有3家為房地產業者，其他受害者分散在教育、專業服務、醫療照護、製造業、電信業、商業服務、行政服務、運輸服務、政府及軍方等領域。</p> <p><a href="https://www.ithome.com.tw/news/163815"><strong style="font-size: 22px;">OpenAI傳去年遭駭未通報主管機關，事後解聘向董事會呼籲重視的員工</strong></a></p> <p>根據紐約時報報導，OpenAI於2023年遭駭客存取內部網路環境，但該公司認為不嚴重而未公告亦未通報主管機關，並於事後因相關事件解僱員工。</p> <p>紐約時報引述知情人士的說法，OpenAI去年遭外部人士存取了內部的員工討論區，但並未存取開發和儲存ChatGPT或其他AI系統的環境。OpenAI認為，由於這起事故並未涉及敏感資訊，且存取者並非已知駭客組織，故該公司認為這並非重大安全事件，因而未公開此事，也未通報主管機關或美國聯邦調查局（FBI）。</p> <p>OpenAI前技術計畫經理Leopold Aschenbrenner表示在一起「重大資安事件」後，向公司董事會提出呼籲，但他今年4月與另一名員工以洩密為由遭到解雇。對此，OpenAI並未做出公開回應。</p> <p><a href="https://www.ithome.com.tw/news/163834"><strong style="font-size: 22px;">研究人員調查與確認polyfill供應鏈攻擊範圍，至少有超過163萬臺網站伺服器曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-06-28-at-11_05_01 AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-06-28-at-11_05_01%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Sansec於6月底警告polyfill[.]io供應鏈攻擊事故引起各界高度關注，使用此瀏覽器相容性程式庫的網站，會導致使用者被導向賭博網站或是惡意網站。事隔數日，經營者聲稱透過polyfill[.]com繼續提供服務，但究竟有多少網站受到影響？有研究人員提出新的調查結果。</p> <p>上週資安業者Censys表示，截至7月2日，他們總共偵測到384,773臺網頁伺服器，會在HTTP回應當中，含有<a href="https://cdn.polyfill[.]io">https://cdn.polyfill[.]io</a>或<a href="https://cdn.polyfill[.]com">https://cdn.polyfill[.]com</a>。這些伺服器大部分位於德國，約有23.7萬臺位於Hetzner主機代管業者的環境（AS24940）。</p> <p>根據Google向廣告業者警告駭客同時經營bootcdn[.]net、bootcss[.]com、staticfile[.]net、staticfile[.]org，若是包含這些惡意CDN服務在內，Censys表示受害範圍將擴及1,637,160臺主機，若與先前資安研究團隊MalwareHunterTeam估計的30萬至35萬臺相比，現在暴增至約為5倍以上的規模。</p> <p><a href="https://www.ithome.com.tw/news/163823"><strong style="font-size: 22px;">專攻Linux系統的殭屍網路病毒Zergeca浮上檯面！因資安公司攔截到加殼惡意程式，後續有人上傳VirusTotal測試是否能被偵測而曝光</strong></a></p> <p>中國資安業者奇安信揭露在5月下旬發現的DDoS殭屍網路Zergeca，研究人員指出對方以Go語言打造而成，具備6種DDoS攻擊方式，除此之外還能充當代理伺服器，或是用來進行網路掃描、檔案傳輸、收集設備敏感資料，也能作為反向Shell使用。值得留意的是，這個殭屍網路病毒還具備自我更新的功能，並能設法在受害電腦上持續運作。</p> <p>研究人員也特別提及此殭屍網路在網路通訊的層面有多項獨特的地方，其中，他們發現對方主要使用DNS over HTTPS（DOH）解析C2通訊內容，但這個殭屍網路病毒還具備其他數種解析DNS的能力；再者，攻擊者運用罕見的串流通訊程式庫Smux建立與C2伺服器的通訊，並透過XOR演算法加密通訊流量。</p> <p>他們也說明為何會特別關注這支殭屍網路病毒的動機，對方從不同國家上傳Zergeca至惡意軟體檢測平臺VirusTotal測試是否能被偵測，引起他們注意並著手進行調查。</p> <p><a href="https://www.ithome.com.tw/news/163821"><strong style="font-size: 22px;">WordPress、Magento、OpenCart網站遭到新型態信用卡側錄工具Caesar Cipher Skimmer鎖定</strong></a></p> <p>資安業者Sucuri揭露同時鎖定不同電子商務平臺發動攻擊的信用卡側錄程式Caesar Cipher Skimmer，這是名為gtag的側錄工具變種，並在近期偵測到大量攻擊的情況，他們在2週內得知近80起事故。</p> <p>他們指出攻擊者鎖定的目標，涵蓋多種內容管理平臺（CMS）及電子商務平臺，包括部署WooCommerce外掛程式的WordPress平臺，以及Magento和OpenCart。研究人員表示，雖然駭客使用相同惡意程式攻擊不同電商平臺相當常見，但大部分都是先後鎖定不同環境下手，像這次一口氣攻擊多種平臺的情況算是罕見。</p> <p>針對這起攻擊行動的手法，研究人員指出對方企圖將惡意程式碼偽裝成網站分析工具Google Analytics、網站關鍵字管理工具Google Tag Manager，並經過混淆處理。經過他們的分析，這些程式碼使用了「凱撒密碼（Caesar Cipher）」重新編碼惡意內容，目的是隱藏用來存放惡意酬載的網域。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.cloudflare.com/cloudflare-1111-incident-on-june-27-2024"><strong style="font-size: 20px;">Cloudflare的DNS解析器傳出遭遇邊界閘道協定挾持攻擊</strong></a></p> <p></p> <p>◆<a href="https://hackread.com/ticketmaster-breach-shinyhunters-leak-taylor-swift-eras-tour-tickets/"><strong style="font-size: 20px;">大型售票業者Ticketmaster資料外洩事故出現新的發展，對方公布44萬張泰勒絲巡迴演唱會門票條碼進行施壓</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://www.mjib.gov.tw/news/Details/1/1015"><strong style="font-size: 20px;">臺美聯手合作，查獲透過非法交易市集Genesis Market購買臺灣民眾個資的嫌犯</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://blog.google/threat-analysis-group/google-disrupted-dragonbridge-activity-q1-2024/"><strong style="font-size: 20px;">中國駭客組織Dragon Bridge針對臺灣總統大戰散布不實消息，Google下架6.5萬個YouTube頻道與Blogger部落格</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://www.helpnetsecurity.com/2024/07/05/infostealing-malware-generative-ai"><strong style="font-size: 20px;">駭客假借提供知名AI應用程式散布Rilide Stealer、Vidar Stealer</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163808"><strong>【7月5日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163785"><strong>【7月4日】歐洲最大雲端服務供應商揭露DDoS攻擊規模與日俱增的現象，並指出大多惡意流量來自MikroTik路由器</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163765"><strong>【7月3日】巴基斯坦駭客假借提供安卓應用程式發動攻擊，意圖散布惡意軟體CapraRAT，目的是為了監控特定使用者</strong></a></p> </div></div></div>
2024/7/8 18:57作者周峻佑https://www.ithome.com.tw/news/163836
研究人員調查與確認polyfill供應鏈攻擊範圍，至少有超過163萬臺網站伺服器曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sansec於6月底警告<a href="https://www.ithome.com.tw/news/163667">polyfill[.]io供應鏈攻擊事故</a>引起各界高度關注，使用此瀏覽器相容性程式庫的網站，會導致使用者被導向賭博網站或是惡意網站。事隔數日，<a href="https://www.ithome.com.tw/news/163707">經營者聲稱透過polyfill[.]com繼續提供服務</a>，但究竟有多少網站受到影響？有研究人員提出新的調查結果。</p> <p>上週<a href="https://censys.com/july-2-polyfill-io-supply-chain-attack-digging-into-the-web-of-compromised-domains/">資安業者Censys表示</a>，截至7月2日，他們總共偵測到384,773臺網頁伺服器，會在HTTP回應當中，含有<a href="https://cdn.polyfill[.]io">https://cdn.polyfill[.]io</a>或<a href="https://cdn.polyfill[.]com">https://cdn.polyfill[.]com</a>。這些伺服器大部分位於德國，約有23.7萬臺位於Hetzner主機代管業者的環境（AS24940）。</p> <p>他們對於受害主機進一步調查，華納兄弟、Hulu、賓士等大型企業也名列其中，值得留意的是，最常見的主機名稱是ns-static-assets.s3.amazonaws.com，這代表有不少受害網站是採用AWS S3靜態主機代管服務。</p> <p>此外，美國聯邦機構也有不少受害單位，研究人員總共看到182個.gov網域的主機受害。</p> <p>上述的情況，比起Sansec初步估計至少10萬個網站，規模超出3倍。值得留意的是，Censys也發現也有部分網站使用wildcard.polyfill.io.bsclink[.]cn、cdn.polyfill.io.bsclink[.]cn、5f52353c.u.fn03[.]vip取代polyfill[.]io，其中僅wildcard.polyfill.io.bsclink[.]cn仍在運作，經調查與名為Legend Dynasty的新加坡公司有關，該公司隸屬中國CDN業者北京藍汛通信（Edgenext），究竟是否與經營polyfill[.]io的方能（FunFull）有所關連？研究人員表示有待進一步調查。</p> <p>而對於有研究人員針對Google向廣告業者提出的警告，<a href="https://www.ithome.com.tw/news/163742">循線指出駭客也同時經營bootcdn[.]net、bootcss[.]com、staticfile[.]net、staticfile[.]org</a>，Censys根據中國網站開發人員去年6月在論壇討論的內容進行比對，證實對方在bootcdn[.]net實作的惡意指令碼，與polyfill[.]io一致。</p> <p>若是包含這些惡意CDN服務在內，受害範圍將擴及1,637,160臺主機，這樣的情形，相較於資安研究團隊MalwareHunterTeam估計的30萬至35萬臺，約為5倍以上的規模。</p> </div></div></div>
2024/7/8 18:41作者周峻佑https://www.ithome.com.tw/news/163834
國網中心啟用CPU架構超級電腦創進一號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家實驗院底下的國網中心宣布啟用新一代CPU架構超級電腦「創進一號」（Forerunner 1），效能達到3.5 Petaflops，將提供國內學研界高速計算資源，將7月開始提供服務。</p> <p>創進一號是在2023年開始建置，目的為取代現有的臺灣杉一號，國網中心新服役的超級電腦採用CPU架構，每個節點採用Intel Xeon Platinum 8480+，內建56個核心，共有558個x86-64計算節點，共計62,496個核心，總儲存達到9.2PB。國網中心以Forerunner 1為名，在今年5月全球500大超級電腦中排名第251名。</p> <p>除了x86架構，國網中心首次在主機設有40臺Arm架構計算節點，雖然數量不多，但主要用於異質架構計算測試使用，未來可作為國網中心建置新主機參考。</p> <p>國網中心表示，創進一號與臺灣杉三號採用相同的SLURM排程、Infiniband高速連結，具備高效能、高擴展性，使用者不需學習job script語法，多數程式碼只要微調重新編譯便可使用。</p> <p>採用CPU架構的創進一號適用於天氣預測、天體物理模擬、分子模型模擬、工程設計及其他模擬情境使用，接替2017年建置的臺灣杉一號（1.7 Petaflops），除了具有更高效能，還有更好的能源效率。</p> <p>根據國網中心的先期測試，創進一號在天文物理、流體力學、大氣科學、高能物理、材料計算等領域具有更好的效能，例如在臺灣大學的海氣耦合模式測試效率，要比台灣杉三號高出80%，而在中興大學與成功大學大幅提升流體力學計算模擬規模，將10億等級網格運算時間從數月縮短至40小時。</p> <p>國網中心主任張朝亮表示，因應高效能計算及AI快速發展需要，國網中心將在今年底完成效能達16 Petaflops的運算系統建置，以滿足大語言模型、數據驅動的AI運算需要。另外，跟進國際間高效能運算發展趨勢，已預計於2028年前完成200到300Petaflops算力，以提升臺灣在全球科研領域的競爭力。</p> </div></div></div>
2024/7/8 18:52作者蘇文彬https://www.ithome.com.tw/news/163835
Fintech周報第246期：CME集團和GCP合作打造私有雲端資料中心，不僅提供券商客戶主機共置服務，還要將集團旗下…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">6/24~7/5金融科技精選新聞</span></span></h3> <p dir="ltr" style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 私有雲</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CME集團 </span></strong></span></p> <h3>CME集團和GCP合作打造私有雲端資料中心，不僅提供券商客戶主機共置服務，還要將集團旗下市場上雲</h3> <p>近日，芝加哥商品交易所集團（CME Group）宣布，將與GCP合作在芝加哥建立一座私有雲資料中心，提供其券商客戶使用主機共置服務。CME集團表示，他們將在私有雲資料中心開發一個專用平臺，未來，他們預計要將集團旗下市場遷移至這個平臺上運作。</p> <p>該平臺將提供CME集團客戶使用，客戶可選擇在共置服務中選用自行管理的基礎設施，或使用GCP的IaaS服務，兩者和交易所提供的網路傳輸速度一致。並且，平臺也提供多種產品服務，包括AI模型平臺、資料庫服務，也支援開發和測試功能。CME集團表示，這個平臺正在開發中，私有雲資料中心預計在今年開始建造。目前，他們已經在GCP位於達拉斯的機房提供客戶使用關鍵功能，該區域預計會成為CME集團的災難恢復設施。</p> <p>早在2021年，CME集團就開啟上雲旅程，他們在15個月內建立雲端環境，並嘗試將旗下交易所少數應用搬上雲端。CME集團採用的是多雲混合雲架構，不僅建置了私有雲和採用Google公雲，還將新增微軟公雲，做為該集團第三朵雲。近期，他們也將關鍵的清算應用程式遷移上雲。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>台新金揭生成式AI布局，要透過預訓練現成基礎模型來自建LLM</h3> <p>台新金控資訊長孫一仕近期接受iThome採訪，他表示內部正在嘗試透過預訓練現成模型，來自建只懂台新的大型語言模型。今年三月，台新金內部舉辦了一場圖像生成挑戰賽，鼓勵子公司員工組隊參與，運用各種提示工程來生成圖像作品。這群員工當時所試用的模型，正是台新金自建的圖型生成模型。</p> <p>從去年11月起，台新就開始評估自建LLM模型的實作方法。目前，台新打算運用雲端資源來補足訓練模型所需的算力。在挑選基礎模型時，台新根據兩項條件來進行篩選。先根據想用的功能，來選定適合的模型參數量。再來是，測試模型支援繁體中文的能力。決定了基礎模型後，才挑選適合的雲端算力供應商，來評估適當的模型運算環境。（<a href="https://www.ithome.com.tw/news/163800">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新光人壽</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>新光人壽計畫導入生成式AI，打造能輔助新人業務員的AI虛擬講師</h3> <p>新光人壽近期表示，在推動由超級業務員一對一帶領新人的業務制度時，也將導入多項AI應用場景作為培訓課程輔佐，例如，運用地端自建的生成式AI模型，打造能進行智能對練的AI虛擬講師，提供商品訓練和銷售應對練習。</p> <p>新光人壽表示，這款應用不僅能隨機生成各式不同客戶樣貌，也具備隨機保險意識，來訓練業務員應對不同客戶的銷售技巧。當業務員使用這款應用時，AI講師會依照業務員的問答節奏，模擬客戶考慮與諮詢商品細節的情境，在對練結束後給予回饋與建議，精進業務員的問題處理及銷售技巧，協助業務員更快速熟悉商品專業知識及內容。</p> <p>另外，新光人壽也計畫導入能解析、摘要內容的文字助理機器人，讓業務員能隨時檢索公司業務規章。同時，也規劃在內部導入自動建模平臺，讓員工能訓練機器學習多模型應用，強化業務推動。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>永豐銀行推出導入生成式AI的互動式聊天機器人「分行虛擬大使」，首先在成大分行展出</h3> <p>近日，永豐銀行宣布，首先在成大分行展示結合生成式AI的互動式聊天機器人「分行虛擬大使」。這款應用模擬真人圖像，顧客進入分行後，可以口述方式與其互動。分行虛擬大使可針對一般臨櫃業務、無障礙服務及防詐、金融永續等議題回覆顧客，若諮詢的業務可能涉及詐騙，虛擬大使也會主動提醒顧客。</p> <p>除了推出分行虛擬大使，永豐銀行近期也在內部推出生成式AI助理，能協助員工提升工作效率，強化內部監管受監護宣告或輔助宣告的個人帳戶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0626%E5%88%86%E8%A1%8C%E8%99%9B%E6%93%AC%E5%A4%A7%E4%BD%BF.jpg" style="width: 600px;" /></p> <blockquote><p>永豐銀行結合生成式AI打造「分行虛擬大使」互動式聊天機器人，首先在校園銀行成大分行展出。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自動化投資顧問服務 </span></strong></span></h3> <h3>金管會將修法強化自動化投資顧問服務監理，包括強化內控措施、加強公會自律機制</h3> <p>隨著自動化投資顧問服務在臺規模漸增，金管會也計畫對業者強化監理。近日，金管會公布「證券投資顧問事業管理規則」部分條文修正草案，此次修法共有三個重點，一是提升自律規範中重要規定至法令位階，包括明定自動化投資顧問服務定義等；二是強化公司內部管理及問責機制，包括規範業者應設置專責單位，負責監督服務的設計和執行；三是加強外部審查及公會自律機制，包括業者提供申請自動化投資顧問服務或變更演算法時，需要經過投信投顧公會審查，並由公會擬定相關審查事項和應檢附的文件。</p> <p>截至今年5月底，已有18家業者開辦自動化投資顧問服務，累積資產規模超過89億，累積客戶數則超過19萬人。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TWQR</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子支付 </span></strong></span></h3> <h3>三大專營電支業者先後支援TWQR，街口支付宣布在7月開通App的TWQR掃碼功能</h3> <p>去年10月，電支跨機構共用平臺「購物」功能和QR Code共同支付規格TWQR正式推出，消費者能以一個電支App掃描TWQR進行支付，不論該商家原本屬於哪家電支業者或銀行的特約商家。由於條碼被掃付款模式需要修改商家的POS系統，才能正式導入，而大型、連鎖商家又較多使用被掃模式。因此，首波導入TWQR的業者以小型、非連鎖商家為主。</p> <p>近期，電支龍頭街口支付宣布，7月開始正式支援TWQR，至此街口、一卡通、全支付三大專營電支業者均支援TWQR，用戶可以喜好的電子支付App，掃描不同特約機構商家的TWQR立牌，完成跨店家掃碼支付。不過，目前TWQR以正掃模式為主，即消費者持手機，以App掃描商家的TWQR，被掃模式，則尚未開放。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子支付 </span></strong></span></h3> <h3>金管會將修法放寬電支可綁定外送、計程車等平臺，增訂電支委外使用雲端服務規範</h3> <p>近期，金管會預告「電子支付機構業務管理規則」修正草案，預計修改13條，新增1條文，包括放寬特約機構範圍，將外送、計程車、停車平臺等業者納入電子支付特約範圍，並且參考金融上雲規範，增訂電支委外使用雲端服務規範，讓一卡通、街口、全支付等專營電支業者使用雲端服務更有依循。</p> <p>目前，「電子支付機構業務管理規則」部分修正草案已在行政院公報及金管會網站上預告，開放外界陳述意見。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲國民銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料平臺 </span></strong></span></h3> <h3>澳洲國民銀行揭內部新一代資料平臺</h3> <p>澳洲國民銀行在去年年底淘汰運作長達26年的資料平臺，近期，他們公開揭露自家的新資料平臺。這個平臺在雲端環境上運作，其核心是資料分析平臺Databricks。該平臺導入一項新的資料連接器，能計算來源系統中新增或修改的資料，並即時匯入資料平臺中，使用者不需要批次匯入資料。另外，平臺也使用了一項工具，讓使用者不需以文件的形式輸入資料。</p> <p>澳洲國民銀行資料平臺主管Joanna Gurry公開表示，由於平臺僅會匯入須處理的資料，因此，平臺轉換後有效降低了運算和儲存成本。在平臺運作的第一年中，成本下降約一半。另外，這個平臺也能進一步協助內部發展生成式AI應用。目前，澳洲國民銀行內共有120個系統連接至新資料平臺，未來將逐步擴增至200個系統。</p> <p>其他重要Fintech新聞：</p> <ul> <li>LINE Pay正式將支付場景拓展至境外，臺灣用戶可直接在特約商店用LINE Pay完成支付</li> <li>日本理索納金控運用AI評分模型自動向警方通報異常交易</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年7月</p> <p></p> </div></div></div>
2024/7/8 16:23作者李昀璇https://www.ithome.com.tw/news/163822