iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

關鍵字暫時無法取得，文章仍可正常瀏覽。

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

即時通訊軟體Pidgin外掛程式市集被用於散布惡意程式DarkGate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月22日<a href="https://pidgin.im/posts/2024-08-malicious-plugin/">即時通訊軟體Pidgin發布公告</a>，指出於7月6日上架的惡意外掛程式ss-otr（ScreenShareOTR）含有鍵盤側錄程式，而且還可能進行螢幕截圖將使用者操作畫面外流，他們在8月16日接獲通報，隨即將此外掛程式下架，並著手調查，呼籲已經安裝此外掛程式的用戶立即移除。</p> <p>Pidgin維護團隊提及，這個外掛程式最可疑之處在於，開發者只提供安裝程式，並未提供原始碼，他們未來將要求所有的外掛程式都必須具備OSI核可的開源授權，並儘可能驗證是否安全才核可上架。</p> <p>針對這起惡意外掛程式的資安事故，<a href="https://x.com/ESETresearch/status/1828114327976415445">資安業者ESET也著手調查此事</a>，指出該外掛程式Windows版檔案名稱為ss-otr-1-1-0_installer_win32.exe，具有來自波蘭公司Interrex的有效簽章，雖然使用者依照指示安裝確實會在Pidgin加入駭客宣稱的功能，但內含的惡意程式碼會從C2伺服器下載PowerShell指令碼並執行，然後於受害電腦植入惡意程式DarkGate。</p> <p>研究人員進一步指出，駭客不光針對Windows用戶，Linux用戶也無法倖免。駭客也實作具有類似功能的Linux外掛程式pidgin-screenshare.so，同樣能夠下載並執行惡意指令碼。</p> <p>針對駭客存放上述惡意外掛程式的伺服器，研究人員表示，此伺服器也代管名為Omemo、Pidgin Paranoia、Master Password、Window Merge、HTTP File Upload的惡意外掛程式，這代表上述的ss-otr僅是攻擊行動的一部分，目前他們已公布入侵指標（IoC）讓資安人員參考。</p> </div></div></div>
2024/8/28 15:53作者周峻佑https://www.ithome.com.tw/news/164725
勒索軟體Razr濫用雲端服務PythonAnywhere從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端沙箱服務供應商Any.Run<a href="https://x.com/anyrun_app/status/1826595314486116479">揭露名為Razr的勒索軟體</a>，並指出駭客在作案過程當中，濫用名為PythonAnywhere的雲端程式碼執行服務，存放勒索軟體的有效酬載，以及受害電腦資訊。</p> <p>PythonAnywhere是以Python為基礎打造而成的平臺，提供整合開發環境（IDE），以及網頁伺服器的功能，使用者只要透過瀏覽器就能存取這個Python開發環境。這家公司於2022年被資料分析業者Anaconda買下，並以獨立品牌運作至今。</p> <p>經過研究人員進一步分析，他們發現此勒索軟體的運作過程中，會產生唯一的受害電腦識別碼（ID）、加密金鑰，以及初始攻擊向量（Initialization Vector），並將這些資料以未加密處理的JSON檔案傳送至外部伺服器，然後於密碼區塊鏈（Cipher Block Chaining，CBC）模式下，透過AES-256演算法執行檔案加密。</p> <p>他們也發現在這波攻擊行動裡，有多個Webhook被重新導向Discord的情況，而這些Webhook與特定的雜湊值有關，但究竟這些Webhook有何用途，研究人員並未說明。</p> </div></div></div>
2024/8/28 17:09作者周峻佑https://www.ithome.com.tw/news/164731
數位部長黃彥男揭露AI為下階段政府轉型發展關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部長黃彥男今天(8/28)在2024數位政府高峰會中揭露，下一階段政府數位發展規畫方向，呼應總統打造臺灣成為AI島的願景，政府將運用AI以提升公務行政效率，並提供24/7即時回應的便捷服務。</p> <p>該規畫稱為智能革新數位領航計畫，執行期間為2026年到2030年(民國115年到119年)，目前正由數位部規畫研擬中，可能在年底到明年才會公開詳細的計畫內容。</p> <p>黃彥男揭示該計畫的概述內容，智能革新數位領航計畫分為便捷、效能兩大方面，首先在便捷服務部分，著重於發展智慧客服、智慧祕書、智慧助手，其中智慧客服提供民眾24/7即時回應，以提高公共服務的可及性和滿意度；智慧祕書則提供個性化的精準服務，減少民眾等待及查詢時間；智慧櫃臺則協助民眾完成業務申辦流程．提高成功率及便利性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(81).jpg" style="width: 960px; height: 420px;" /></p> <p>效能方面，著重發展各種智慧助手，以提升公務人員處理業務與申辦審查效率，降低人為錯誤、提升決策品質，並發展其他創新智慧應用，各部會需利用這5年期間，整備資料發展資訊業務助手、行政業務助手、特定業務助手，並且訓練智能模型，創新應用試驗及導入。</p> <p><span style="color:#B22222;"><strong>以配套措施輔助公務機關導入AI</strong></span></p> <p>負責輔導公務機關導入AI的數位部提出幾項配套措施，包括提出政府AI應用發展指引與技術、管理指南，推動政府AI人才培育，以及建立政府大型語言模型的應用試驗場域。</p> <p>黃彥男指出，數位部未來要成為推動政府革新的教練，一方面參考國內AI基本法、行政院及所屬機關(構)使用生成式AI參考指引，以及國外相關法案，如歐盟新近推行的AI Act法案，NIST AI RMF風險管理框架等，提出國內發展AI應用的管理參考；另一方面是扮演教練，協助機關依照AI應用指引、AI技術，提高公務機行政效能、發展創新應用。</p> <p>數位部正在規畫的政府機關人工智慧應用參考指引(草案)，目前參考指引已先由數位部研擬草案、內部討論，今年10月將會先確認草案內容，11月蒐集內外部意見及調整草案內容，12月完成試行版本，參考指引從輔導公務機關的角度，介紹AI基本概念、協助機關公務人員評估AI是否為解決方案、協助AI服務導入，以及協助機關AI專案管理、風險控管、AI治理。</p> <p>在政府AI人培計畫，由數位部持續性、系統性培訓及技術支持，讓公務人員具備運用AI的技能，以改善公共服務，目標是讓公務人員可應用的領域、相關法規規範，具備AI基礎認識，可運用AI工具提升效率，並且可開發自動化RPA程式，利用簡易工具開發AI軟體。</p> <p>人培計畫涵蓋各職務公務人員，包括高階公務人員的共識營，例如日前已舉辦的副首長共識營，並透過AI推動實務種子人員課程，舉辦AI實務課程、工作坊，以及公部門的AI應用成果競賽，讓AI深入公務機關各層級人員。</p> <p>在建立政府大型語言模型的應用試驗場域上，由於各機關業務性質差異，為提供試驗找出最適合自己業務場景需求的LLM應用，數位部將建置大型語言模型的應用試驗場域，供中央機關在導入AI應用前先進行POC測試。</p> <p>數位部計畫提供包括TAIDE等10個以上開源或封閉式語言模型，供各機關測試驗證，並進行客製化的訓練或調整，這些模型可由數位部建置AI Bots市集，類似於App市集的概念和其他單位分享，數位部希望提供至少20種共通性AI Bots，包括數據分析、資料清理、資料視覺化、翻譯等AI Bots，供有需要的其他機關應用，以節省開發成本、擴大效益。</p> <p>下一階段的政府轉型發展，除了推動機關導入AI，革新公務行政效率、便捷公共服務之外，數位部也列舉其他持續發展的項目，例如在政府資料交換方面，推動更多的政府機關運用T-Road進行安全的資料交換，並且以零信任架構確保資訊安全；另外，還有推動民生關鍵系統韌性，讓關鍵民生系統的核心利用跨境公雲，當國內發生緊急狀態，仍能透過境外公雲維持基本運作，並且利用公雲備份資料，在事後重建系統及服務。</p> <p>未來幾年，數位部輔導公務機關導入AI，包括生成式AI，黃彥男表示，應當要善用生成式AI帶來數位轉型突破，傳統的痛點例如重覆性高且冗長的作業、人工方式難以發現複雜資料關聯性、人為查找資料有限、人工作業疏失等等，運用生成式AI帶動轉型，能夠自動化提高生產力、避免人為疏失、控制複雜程式、洞察分析資料關聯性、處理大量資料文件。</p> <p>他也列舉10大生成式AI可能的運用場景，包括知識管理、專案管理、資料治理、資料分析、文件審核、文件處理、寫程式碼等等。其中寫程式碼特別讓他有感，工程師出身的黃彥男曾是工程師，撰寫程式碼，他認為生成式AI應用在寫程式碼，減輕工程師的開發工作負擔，未來工程師的工作必需要會下指令，由生成式AI產生程式碼，工程師再進一步檢視優化。</p> <p>未來生成式AI在公務機關的應用潛力，例如結合語言模型建立生成式AI回應機制，提高對民眾問題的理解度，找出關聯性的資訊精準回答，或以自然語言對話式回應，像是我的E政府，未來民眾可以自然語言提出問題，由AI精準回應；在法務應用上，利用生成式AI協助檢察官產生書類草稿，減輕檢察書類製作時間。</p> <p>黃彥男也提醒公務機關運用生成式AI，應小心的4種偏誤，包括資料偏差、關聯偏差、自動化偏誤、確認偏誤，目前數位部已成立AI評測中心，針對LLM以安全性、公平性、準確性、彈性、可解釋性等共10項AI評測項目，預防上述AI偏誤可能造成的風險。</p> </div></div></div>
2024/8/28 17:36作者蘇文彬https://www.ithome.com.tw/news/164732
Cerebras發表Cerebras Inference，號稱全球最快AI推論解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發AI運算系統的Cerebras Systems周二（8/27）<a href="https://cerebras.ai/press-release/cerebras-launches-the-worlds-fastest-ai-inference" target="_blank">發表了</a>AI推論解決方案Cerebras Inference，它在Llama 3.1 8B模型上每秒可生成1,800個Token，在Llama 3.1 70B模型上每秒可生成450個Token，號稱是全球最快的AI推論解決方案，比基於Nvidia GPU的大型雲端解決方案快上20倍，但價格只需1/5，性價比高達100倍。</p> <p>Cerebras Inference奠基在第三代AI加速系統Cerebras CS-3，該系統的核心為第三代AI晶圓級處理器Wafer Scale Engine 3（WSE-3）。</p> <p>Cerebras曾經<a href="https://cerebras.ai/product-chip/" target="_blank">比較過</a>WSE-3與Nvidia H100，指出WSE-3的晶片尺寸是H100的57倍，核心數量是H100的52倍，晶片記憶體是H100的800倍，記憶體頻寬更是H100的7,000倍；也<a href="https://cerebras.ai/blog/cerebras-cs-3-vs-nvidia-b200-2024-ai-accelerators-compared" target="_blank">曾比較</a>Cerebras CS-3與Nvidia B200，顯示CS-3的表現同樣大幅勝過B200。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-Cerebras-AI%20processor-WSE-3.png" style="width: 400px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-Training%20Performance-Cerebras%20CS-3-Nvidia%20B200.png" style="width: 450px;" /></p> <p>目前Cerebras已被視為少數能與Nvidia匹敵的競爭對手，並已計畫於今年下半年首次公開發行股票。</p> <p>剛上線的<a href="https://cerebras.ai/" target="_blank">Cerebras Inference</a>有免費版、開發者版及企業版，目前其免費版很慷慨地提供了每日10萬次的免費推論；開發者版在Llama 3.1 8B與Llama 3.1 70B模型上每生成100萬個Token的價格分別是0.1美元與0.6美元；而提供微調、客製化服務及專門支援的企業版則可直接聯繫Cerebras以議價。</p> <p>Cerebras還<a href="https://cerebras.ai/blog/introducing-cerebras-inference-ai-at-instant-speed" target="_blank">比較</a>了Cerebras Inference以及各大主要AI雲端服務在基於Llama 3.1 8B模型的性能表現，發現它以每秒生成1,800個Token的速度，遠遠領先Groq的750個、Fireworks AI的257個、together.ai的225個、perplexity的165個、OctoAI的164個、AWS的93個，以及Azure的79個。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-Cerebras%20Inference-2.png" style="width: 600px;" /></p> <p>提供獨立AI基準測試的Artificial Analysis執行長Micah Hill-Smith指出，Cerebras在AI推論基準測試上領先群倫，它與GPU解決方案根本是不同等級，此外，Cerebras Inference上的Llama 3.1 8B/70B達到與Meta官方一樣的16bit精度成果，對於有即時及高容量要求的AI應用開發者而言特別有吸引力。</p> <p>此外，推論是AI運算中成長最快的領域，約占整體AI硬體市場的70%。Cerebras形容，每秒可生成上千Token的高速推論，堪比寬頻網路的問世，預告了AI應用的新時代，讓開發人員能夠建置需要複雜、多步驟並即時執行任務的新一代AI應用。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cerebras Systems</span></p> </div></div></div>
2024/8/28 15:36作者陳曉莉https://www.ithome.com.tw/news/164723
Google Meet測試可自動作筆記的AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（8/27）<a href="https://workspaceupdates.googleblog.com/2024/08/take-notes-for-me-google-meet-gemini.html" target="_blank">宣布</a>，已開始於Google Meet中測試可自動作筆記的「take notes for me」功能，此一基於Google Gemini技術的功能相當於可協助使用者撰寫會議紀綠，將率先部署至特定的Google Workspace客戶，且目前也僅支援英文口語會議。</p> <p>一旦有人啟用了作筆記的功能，所有的與會者都會收到通知，也可隨時察看迄今的會議紀錄；在會議結束後，會議召集人與啟用該功能的使用者都會收到電子郵件，內附會議紀錄文件的連結，該文件也會被附加到Google Calendar的活動中，以讓內部會議的參與者得以存取。</p> <p>此一功能明顯是要讓與會者更專心地參與討論，而無需分心記筆記或撰寫會議紀錄。</p> <p>不過，現階段該功能僅適用於購買或訂閱Gemini Enterprise、Gemini Education Premium或AI Meetings & Messaging AI等服務的Google Workspace客戶使用，預計於9月上旬即可部署完成。</p> </div></div></div>
2024/8/28 15:59作者陳曉莉https://www.ithome.com.tw/news/164726
Fintech周報第251期：永豐金證券運用生成式AI彙整市場資訊，提供個股新聞摘要和市場輿情分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">8/19~8/27金融科技精選新聞</span></span></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐金證券 </span></strong></span></h3> <h3>永豐金證券運用生成式AI彙整市場資訊，提供個股新聞摘要和市場輿情分析</h3> <p>永豐金證券近日在下單App上推出兩項生成式AI應用，分別是「AI市場輿情」與「今日新聞快訊」2項功能，前者透過生成式AI彙整市場消息，透過輿情橫條圖顏色占比，提供客戶在投資時參考，後者則是透過生成式AI摘要前一日新聞摘要。永豐金證券表示，目前每日會針對168檔熱門臺股標的，提供AI市場輿情資訊。</p> <p>耗時一年完成這兩項應用開發，永豐金證券提到，開發中最大挑戰是讓GAI聽懂人類指令，並且要正確生成資訊。在開發過程中，團隊不斷訓練AI學習機制，才讓應用順利上線。永豐金證券表示，目前該應用設有客戶回饋機制，未來蒐集到的客戶評價都會成為優化生成式AI技術的一部份。他們也透露，下一階段預計針對客戶庫存標的，提供客制化的每日新聞內容。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客服 </span></strong></span></h3> <h3>日本住信SBI網絡銀行開始運用生成式AI接聽客服來電</h3> <p>日本住信SBI網路銀行近日宣佈，內部已經開始運用GPT-4o模型來接聽客服電話。他們透過一套AI平臺打造虛擬助理，當客戶撥打至客服時，會先由虛擬助理以對話形式進行回覆。住信SBI網路銀行表示，該AI平臺結合自然語言處理（NLP）、自然語言理解（NLU）和對話管理技術，能識別客戶的需求並進一步指導客戶。若AI判斷須由真人客服處理，則會自動將客戶轉接至真人客服。</p> <p>不過，目前住信SBI網路銀行僅將生成式AI應用於客服服務中部分查詢服務，未來才會逐步擴大應對範圍。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險上雲 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>保險局發布保險委外規定修正，明定雲端冷儲存等更多保險上雲項目免申請</h3> <p>既去年八月金管會鬆綁上雲規定，近日，金管會再度修正發布「保險業作業委託他人處理應注意事項」，相較去年八月，此次修正明定更多免申報委外項目，讓保險業者執行上雲時，更能確保合規性。</p> <p>例如，保險局此次在委外問答集中明列16項免申報事項，其中包括訂購視訊會議軟體或服務、購買洗錢防制資料庫、購買雲端辦公室自動化服務系統等，皆不需向金管會申請核准。另外，保險業將客戶資料或其程式、資料庫與作業系統之備份檔案於境外公有雲進行冷儲存，同樣無須向金管會申請核准。（<a href="https://www.ithome.com.tw/news/164587">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融創新試辦 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路保險服務 </span></strong></span></h3> <h3>鬆綁金融試辦申請後第二案！保險業者針對旅平險集體投保案例，試辦線上同意投保</h3> <p>金管會在七月中宣布大幅放寬銀保證業務試辦範圍後，已有銀行業者在八月初遞出首例試辦申請，近日，保險業者也跟上，申請試辦旅平險集體彙繳件時，能透過專屬網頁完成身分驗證，取代傳統親簽程序。</p> <p>過往金管會僅開放政府機關、村里辦公室和學校舉辦的國內旅遊活動，在集體投保旅平險時，可透過網路形式同意投保。然而，此次試辦申請則擴大至一般家庭旅遊和旅行社，並涵蓋國外旅遊。保險局副局長蔡火炎表示，此案預計試辦6個月，預定目標總量1,000件，試辦關鍵成敗在於，不能出現非本人投保情況，若發生則代表身分驗證系統不完善。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐金證券 </span></strong></span></h3> <h3>金管會鬆綁數位帳戶開戶對象，3人以上公司、組織或團體也能線上開戶</h3> <p>金管會近日擴大所有非個人客戶都能納入線上開戶受理對象，包括公司、組織或團體等，可採用線上申請、線下對保的方式開立數位帳戶。金管會表示，公司負責人可透過上傳公司相關證明文件，並以憑證簽章及視訊或臨櫃進行驗證，完成線上申請數位帳戶。</p> <p>金管會去年八月公布金融科技路徑圖2.0，而開放3人以上法人線上開戶，被列為今年的重要推動亮點。此外，根據金融科技路徑圖2.0規劃，今年金管會還預計會發布跨市場資料共享之資料治理指引。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局 </span></strong></span></h3> <h3>香港金管局宣布銀行可透過官方數據平臺快速取得企業客戶資訊，加速企業線上開戶、KYC流程</h3> <p>香港金管局近日宣布，開放境內銀行可透過名為「商業數據通」的數據平臺，快速取得香港公司註冊處的資料，包括公司名稱、註冊辦事處地址和股本結構等企業客戶資料。如此一來，將有助加速中小企業線上開戶、金融機構偵測詐騙活動和KYC等業務流程。</p> <p>香港金管局在2022年推出數據平臺「商業數據通」，主要使用者為中小企業和金融機構。當中小企業授權資料給第三方企業或機構，第三方企業或機構可透過「商業數據通」將資料授權提供給金融機構，讓金融機構可運用中小企業數據，提升自家金融服務品質。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Home_intro_after_tch-1(1).gif" style="width: 600px;" /></p> <p>起初，金管局規劃這項平臺，是為了加速中小企業貿易融資流程。根據香港金管局提供的資訊，該平臺上線至今年6月底，已促成超過27,000件貸款申請和審查。如今，這個數據平臺則開始能串接政府機關提供的企業註冊資訊。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ATM當機 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中信銀行 </span></strong></span></h3> <h3>中信ATM當機、網路銀行和App無法登入，耗時12分鐘恢復正常運作</h3> <p>8月23日晚間，有民眾反應中國信託銀行ATM當機，網路銀行和APP無法登入。銀行局副局長童政彰近日在例行記者會上表示，中信資訊人員在8月23日晚間8點半發現資料庫運作有異常，晚間9點8分完成資料庫重啟，於9點20分全面恢復正常運作。童政彰表示，銀行局已馬上要求中信銀行協助客戶處理衍生問題，並且，此案已比照重大偶發事件通報，後續中信銀行將提供完整報告供銀行局檢視。</p> <p>其他重要Fintech新聞</p> <ul> <li>媒體報導金管會擬規畫特定簡訊發送代碼，讓民眾快速識別訊息發送者是否為銀行</li> <li>日本NEC與10間日本地方銀行組成生成式AI研究小組，共同開發、驗證生成式AI應用</li> <li>瑞士央行啟用即時支付系統，約有60家金融機構參與使用</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／永豐金證券</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年8月</p> <p></p> </div></div></div>
2024/8/28 11:54作者李昀璇https://www.ithome.com.tw/news/164721
中國駭客藉由Versa Director漏洞入侵美國ISPs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國電信業者Lumen Technologies旗下資安團隊Black Lotus Labs，本周二（8/27）<a href="https://blog.lumen.com/taking-the-crossroads-the-versa-director-zero-day-exploitation/" target="_blank">公布了</a>發現Versa Networks旗下Versa Director零時差漏洞CVE-2024-39717的過程，該團隊相信利用該漏洞的是中國國家級駭客Volt Typhoon，已知入侵5家業者，涵蓋網路服務供應商（ISP）、託管服務供應商（MSP），以及資訊技術領域的業者，當中有4家業者位於美國。</p> <p>Versa Networks定位為安全存取服務邊緣（Secure Access Service Edge，SASE）供應商，這是零信任架構的一環，用以保護傳統網路邊界內部與外部的網路元素，涉及軟體定義廣域網路（SD-WAN）、虛擬私人網路（VPN）、安全網站閘道（SWG）、雲端存取安全代理（CASB）、防火牆，以及零信任網路存取等。至於Versa Director則是Versa Networks服務的管理平臺，用以建立、管理及監控各種Versa服務，簡化SD-WAN與各種網路服務的支付及管理。</p> <p><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-39717" target="_blank">CVE-2024-39717</a>漏洞則存在於Versa Director中。Versa Director的圖像使用者介面有一個可以客製化介面的功能，只有在以Provider-Data-Center-Admin或Provider-Data-Center-System-Admin身分登入時才得以存取，不過，CVE-2024-39717卻讓該功能可被用來上傳偽裝成圖像檔、採用.png副檔名的惡意檔案。</p> <p>Black Lotus Labs團隊發現，早在今年6月就有駭客利用CVE-2024-39717展開攻擊，駭客先透過曝露於公開網路的Versa管理埠存取系統，再部署針對該漏洞所設計的、名為VersaMem的Web Shell。VersaMem的主要功能是攔截與蒐集憑證，以讓駭客能夠光明正大地進入下游的客戶網路，VersaMem亦是模組化的，允許駭客載入其它的Java程式碼以於記憶體中執行。</p> <p>至於Versa Networks則<a href="https://versa-networks.com/blog/versa-security-bulletin-update-on-cve-2024-39717-versa-director-dangerous-file-type-upload-vulnerability/" target="_blank">解釋</a>，該公司先後於2015年及2017年公布了防火牆要求（Firewall Requirements）與系統強化要求（System Hardening），若用戶沒有遵循上述要求，便會於公開網路上曝露一個管理埠，而讓駭客取得了最初的存取權限；駭客接著即可透過CVE-2024-39717漏洞上傳惡意檔案。</p> <p>此一漏洞波及所有沒有部署上述要求，並使用Versa Director的Versa SD-WAN用戶，受影響的版本包括Versa Director 21.2.2/21.2.3/22.1.1/22.1.2/22.1.3。根據Versa Networks的說法，CVE-2024-39717雖然是一個高風險漏洞，但並不容易遭到利用。</p> <p>其實Versa Networks早在今年6月就修補了各個版本的CVE-2024-39717漏洞，但不管是美國網路安全暨基礎設施安全局<a href="https://www.cisa.gov/news-events/alerts/2024/08/27/versa-networks-releases-advisory-vulnerability-versa-director-cve-2024-39717" target="_blank">（CISA）</a>、Versa Networks或Black Lotus Labs卻又在本周大張旗鼓地披露此一漏洞，或許是因為Black Lotus Labs發現，直至今年8月初駭客仍在利用此一漏洞，因而出面呼籲Versa用戶應該詳閱安全公告，實施Versa所提供的防火牆與系統強化要求，修補安全漏洞，並搜尋系統上是否含有各式入侵指標（IOC）。</p> </div></div></div>
2024/8/28 12:07作者陳曉莉https://www.ithome.com.tw/news/164722
Windows控制臺可能暫時不會消失了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周傳出微軟可能要從Windows淘汰經典的控制臺（Control Panel）功能，改由設定（Setting）App完全取代，令許多人感到惋惜。不過微軟最新公告顯示，控制臺可能又會再多留一段時間。</p> <p>根據微軟Windows系統配置工具網頁之前對控制臺的描述，眾多媒體<a href="https://www.ithome.com.tw/news/164640" target="_blank">判斷</a>微軟真的要棄用使用了39年的控制臺功能。當時微軟<a href="https://x.com/tomwarren/status/1828005075941245122/photo/2" target="_blank">提及</a>，微軟正著手淘汰控制臺，以轉向設定App，後者提供更現代與更簡潔的使用體驗。</p> <p>不過上周末<a href="https://arstechnica.com/gadgets/2024/08/microsoft-formally-deprecates-the-39-year-old-windows-control-panel/" target="_blank">Ars Technica</a>以及<a href="https://x.com/tomwarren/status/1828005075941245122" target="_blank">The Verge</a>發現，這段文字已經經過修改。微軟最新用語是「許多控制臺的設定正逐漸轉移到設定App，後者提供更現代而簡潔的使用體驗。」</p> <p>文字的變更是出於回應大批使用者的要求，還是只是微軟為了釐清誤會而修改不得而知。但媒體推測，控制臺應該暫時還會留在Windows上，至少<a href="https://arstechnica.com/gadgets/2024/06/windows-11-24h2-is-released-to-the-public-but-only-on-copilot-pcs-for-now/" target="_blank">Windows 24H2</a>還保留了這功能。</p> <p>2012年微軟推出Windows 8時首度推出「設定」App，之後許多功能逐漸由控制臺轉到設定App，引發用戶懷疑微軟是不是打算以之取代控制臺。但微軟多年來也都不願說明。</p> <p>不過針對二度的文字說明代表的意義，微軟也都沒有回應媒體。</p> <p>控制臺早在1985年Windows 1.0推出時就已存在。39年來不論Windows品牌改了多少，控制臺一直都在，只是也保留了許多舊時代元素。例如控制臺設計語言或許有些演進，例如現在採用圓角、具光澤的介面，但是有許多部份，例如鍵盤、滑鼠及時間／日期設定的UI都和Windows NT時代相去不遠。</p> <p>事實上，要取代控制臺並不容易。作為一個經典功能，控制臺控管Windows大量物件和功能，雖然look and feel較為陳舊，但有許多用戶認為透過控制臺還是比設定App容易管理Windows。這也說明了何以控制臺停用的消息引發業界震撼。</p> <p>但長期而言，停用控制臺只是時間問題。微軟指出，設定App是客製和管理Windows設定的主要應用程式，以簡潔、好用、易用為設定宗旨，提供比控制臺更直覺和使用者友善的使用經驗，而且也持續更新以支援最新Windows功能。</p> </div></div></div>
2024/8/28 10:47作者林妍溱https://www.ithome.com.tw/news/164719
Meta將使用地熱發電支持資料中心營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta昨（27）日<a href="https://about.fb.com/news/2024/08/new-geothermal-energy-project-to-support-our-data-centers/" target="_blank">宣布</a>將採用地熱電能作為其資料中心的運作能源。</p> <p>Meta在美國能源部舉行的地熱能工作坊宣布，將與Sage Geosystems簽定最新合作，將使用Sage全新的地壓地熱型系統（Geopressured Geothermal System，GSS）提供的無碳電以支持Meta資料中心運作。雙方表示，這是美國第一樁使用這類新型地熱發電用於資料中心的合作案，也擴大美國地熱能的實際使用。</p> <p>在美國，GGS發電目前主要使用地區為內華達、猶他州及加州。Sage新式地熱電能方案來自乾熱岩層（Hot Dry Rock）為主要資源，比傳統的熱液型（hydrothermal）地熱發電資源更為豐沛，這使GGS成為擴充性更高的方案，有望在美國及全球其他地區快速擴展。</p> <p>Meta和Sage的合作計畫2027年上線營運。雙方計畫到2027年能產生150百萬千瓦的地熱電，以支援Meta愈來愈多的資料中心。</p> <p>這是Meta使用潔淨能源的最新進展。Meta迄今已經採購了12,000百萬千瓦可再生能源。該公司相信自己是全球最大的可再生能源法人買家。</p> <p>此外，Meta也承諾加速朝向淨零目標。Meta<a href="https://sustainability.atmeta.com/energy/" target="_blank">目標是</a>2025年以前，Meta支持的86項風電和太陽能發電專案將回饋9.8 GW（980萬千瓦）給美國電力網格，造福美國24州及74郡。臉書並宣示2030年要實現水資源正效益（Water positive），即復育的水資源，超過使用的水量。</p> </div></div></div>
2024/8/28 11:06作者林妍溱https://www.ithome.com.tw/news/164720
【資安日報】8月27日，WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升使用者瀏覽網站的體驗，許多WordPress網站可能會導入外掛程式LiteSpeed Cache，但最近開發商修補的重大層級漏洞CVE-2024-28000，已有實際攻擊行動出現。</p> <p>由於此外掛程式全球有超過500萬個網站採用，但事隔一週仍有近4成尚未修補而成為駭客下手的目標。值得留意的是，該外掛程式今年已二度遭遇大規模漏洞攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164712"><strong style="font-size: 22px;">WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，500萬網站伺服器曝險</strong></a></p> <p>上週資安業者Patchstack率先揭露WordPress外掛程式LiteSpeed Cache重大層級的權限提升漏洞CVE-2024-28000（CVSS風險評分9.8），另一家專攻這網站平臺資安防護應用的廠商Wordfence兩天後也發文警告，提醒大家注意此漏洞可能造成大規模網站曝險。這個外掛程式的主要功能是加快網站的回應時間，由於全球有超過500萬個網站部署，這樣的漏洞很有可能被盯上，引發大規模攻擊，果不其然，已有嘗試利用漏洞的攻擊行動。</p> <p>值得留意的是，事隔一週，兩家資安業者都發現該漏洞已被用於攻擊行動，但目前約有6成網站升級6.4、6.4.1版，換言之，仍有近4成網站曝險。根據Wordfence的調查，在最近24小時裡，他們發現並封鎖了51,858起鎖定漏洞的攻擊行動，這樣的情況反映已有駭客專門鎖定這項漏洞進行利用。</p> <p>駭客鎖定LiteSpeed Cache已非首例，今年5月，有人針對跨網站指令碼漏洞CVE-2023-40000（CVSS風險評為8.3分），試圖在WordPress網站建立管理員帳號，從而接管網站，駭客從單一來源IP位址進行至少120萬次漏洞利用嘗試。</p> <p><a href="https://www.ithome.com.tw/news/164689"><strong style="font-size: 22px;">竊資軟體Cthulhu Stealer鎖定macOS用戶電子錢包、帳號密碼而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1_Replacement.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201_Replacement.png" style="width: 300px; float: right;" /></a>資安業者Cado Security揭露自2023年底現身的惡意程式Cthulhu Stealer，專門鎖定macOS電腦用戶竊取密碼、cookies或其他敏感資訊。</p> <p>此竊資軟體本身是蘋果磁碟映像檔（.DMG），開發者以Go語言打造，並以租用型式提供駭客運用，可附加於x86、Arm執行檔偷渡到受害電腦。攻擊者曾經聲稱提供磁碟清理工具CleanMyMac、遊戲軟體俠盜獵車手IV（Grand Theft Auto IV）、破解工具Adobe GenP的名義，散布這款竊資軟體。</p> <p>一旦用戶下載對方提供的DMG檔案並執行，此映像檔會要求用戶開啟檔案，並啟動macOS命令列工具osascript，要求用戶輸入特定敏感資訊，包括cookies、帳號或電子錢包密碼。研究人員歸納Cthulhu的竊取目標，包含Chrome與Firefox瀏覽器的cookies、Telegram密碼、Apple Keychain、SafeStorage、Minecraft帳號，以及十多種電子錢包應用如Chrome Extension Wallet、MetaMask、XDeFI、Coinbase或Blockchain Wallet等。</p> <p><a href="https://www.ithome.com.tw/news/164703"><strong style="font-size: 22px;">西雅圖機場Seattle Tacoma傳出遭遇網路攻擊，IT服務中斷超過48小時</strong></a></p> <p>太平洋時間8月24日上午，西雅圖大型國際機場Seattle Tacoma（SEA-TAC）部分系統斷線導致多項服務中斷，疑似發生網路攻擊。機場飛航主任Lance Lyttle於記者會說明，這起事件造成數個系統網路中斷，包括網站及電子郵件系統，旅客航站及機場安全系統未受影響，因此所有進出關檢查措施皆正常運行。為了及早恢復系統營運，機場人員正持續趕工。</p> <p>由於系統斷線，也導致25、26日多起班機延誤與取消。根據飛機追蹤網站FlightAware的記錄，周日西雅圖機場有375班次延遲、6班次取消，周一則有218班次延遲、10班次取消，但無法確定原因是否與網路攻擊有關。根據美聯社報導，以西雅圖機場為營運樞紐的阿拉斯加航空與泛美航空，並未回報服務問題，但是機場的行李分類系統無法運作，機場與部分航空公司都提醒旅客盡可能不要託運行李。此外機場的失物查詢系統也無法作業。由於服務中斷超過2天，外界推測很有可能遭遇勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164706"><strong style="font-size: 22px;">Uber把司機資料送至美國，遭荷蘭判罰2.9億歐元</strong></a></p> <p>荷蘭資料保護主管機構（Data Protection Authority，DPA）周一（8月26日）向Uber處以2.9億歐元罰款，原因是Uber將歐盟的計程車司機資料在未妥善保護的情況下傳送至美國。</p> <p>此事件源自法國人權組織Ligue des droits de l’Homme（LDH）收到逾170名當地司機投拆，LDH隨後將此案上交至法國的DPA，由於Uber的歐洲總部位於荷蘭，因此法國DPA向荷蘭DPA告狀。荷蘭DPA發現，Uber蒐集了歐洲司機的敏感資訊，並將它們保留在美國伺服器，包括這些司機的帳戶細節與計程車執照，以及位置資料、照片、支付細節、身分文件，甚至是司機的犯罪與醫療資料。此外，Uber是在未經法律及技術框架的保護下將資料傳送至美國，且時間長達2年，嚴重違反GDPR。</p> <p>對此，荷蘭DPA祭出2.9罰款，這是Uber第3次受罰，金額創下GDPR最高的紀錄。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.sucuri.net/2024/08/wordpress-websites-used-to-distribute-clearfake-trojan-malware.html"><strong style="font-size: 20px;">WordPress網站遭到感染，駭客對用戶佯稱必須執行PowerShell指令「修復」才能正常瀏覽網站</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-exchange-online-mistakenly-tags-emails-as-malware/">Exchange Online傳出誤報，部分電子郵件被標記含有惡意軟體遭到隔離</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164704"><strong style="font-size: 22px;">SonicWall修補防火牆作業系統不當存取控制漏洞</strong></a></p> <p>SonicWall本周發布安全公告，修補防火牆作業系統SonicOS可能導致駭客存取資源，甚至引發防火牆當機的高風險漏洞CVE-2024-40766，此漏洞位於SonicOS管理介面，原因是對存取呼叫控管不當。攻擊者可傳送特製呼叫濫用本漏洞，未經授權下即可存取資源，在特定情況下，甚至能引發防火牆當機。本漏洞CVSS風險值為9.3，屬重大層級漏洞。</p> <p>本漏洞影響SonicWall防火牆第5代（SOHO系列），以及部分第6代、第7代防火牆設備，該公司發布新版作業系統予以修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/chinese-apt-volt-typhoon-caught-exploiting-versa-networks-sd-wan-zero-day/"><strong style="font-size: 20px;">SASE供應商Versa修補零時差漏洞，傳出已遭到中國駭客Volt Typhoon利用</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.horizon3.ai/attack-research/disclosures/traccar-5-remote-code-execution-vulnerabilities/">開源GPS追蹤系統Traccar存在路徑穿越漏洞，未經身分驗證的攻擊者可遠端執行程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://chromereleases.googleblog.com/2024/08/stable-channel-update-for-desktop_21.html">Google修補Chrome今年第10個零時差漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164701"><strong>【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164662"><strong>【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164632"><strong>【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</strong></a></p> </div></div></div>
2024/8/27 17:42作者周峻佑https://www.ithome.com.tw/news/164717
數位部開始測試打詐通報查詢網，從通報、確認到下架用自動化加快詐騙訊息處理流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位部長黃彥男上任滿百天，對外展示上任後的小成績單，其中在政府力推的打詐方面，他表示，在立法院三讀通過的打詐專法，相關子法也將於年底前完成。另外，由數位部建置的打詐通報查詢網也已開始封測，未來內部測試順利，行政院通過後，將會開放民眾使用。</p> <p>黃彥男在今年520上任後，其任務之一是加速國內數位經濟的發展，協助政府及產業數位轉型，數位部與其他部會合作，以確保數位高速公路的資料交換順暢，促進數位經濟發展，並且改善數位高速公路的數位韌性，同時也要避免數位高速公路的不好影響，也就是網路詐騙廣告盛行。</p> <p>黃彥男表示，數位部身為網路廣告平臺、電商、第三方支付、線上遊戲的主管機關，這4項數位產業容易遭到詐騙集團的利用，成為詐騙的工具，因此打詐專法從源頭從源頭管理，達到一定規模的網路平臺依法需驗證廣告主身分，降低假冒他人名義的詐騙廣告風險。另外，境外數位平臺業者也需書面提報境內的法律代表，以配合打詐相關的法遵要求，以及保留資料供檢調追查等等。</p> <p><span style="color:#B22222;"><strong>建置打詐通報查詢網提高處理的自動化流程</strong></span></p> <p>由於詐騙集團假冒知名人士身分，以不實的廣告誘騙民眾投資，民眾在難以驗證真偽的情形下，可能因此不慎遭到詐騙，造成財產損失，因此數位部也展示科技防詐手段，打詐通報查詢網，目前先推出第1版，正進行封閉測試。</p> <p>數位部政務次長林宜敬指出，當民眾在臉書看到疑似詐騙廣告內容，可將廣告連結複製貼上打詐通報查詢網，查詢結果顯示該廣告已被其他人通報為可疑訊息，可以檢視可疑訊息的網址、內容摘要，以及該訊息目前的處理進度，例如該訊息最先由資安院AI掃描後通報，並向金管會請求確認，後續收到金管會確認為詐騙訊息，後續再通知臉書移除該訊息，在臉書移除該訊息之前，民眾可將該訊息連結回貼至該訊息下方的留言，先提醒其他網友該訊息為詐騙內容。</p> <p>除了民眾通報之外，打詐通報查詢網結合資安院開發的AI偵測技術，鑑於詐騙集團利用假帳號刊登詐騙內容層出不窮，資安院今年6月展示的這項AI偵測技術，可以自動偵測巡檢詐騙廣告，每月可偵測超過50萬筆廣告，宣稱偵測準確度達93%。</p> <p>打詐通報查詢網的首頁還會顯示詐騙訊息排行榜，顯示過去24小時最多人點閱的詐騙訊息，右下角顯示紅色警示文字，確認該可疑訊息為詐騙內容，右下角顯示黃色則代表正在確認中，綠色則代表排除為詐騙內容。另外，打詐通報查詢網也匯整民眾通報及資安院AI偵測的詐騙訊息樣態分布情形，如國內常見的投資詐騙訊息、網路交友詐騙等等。</p> <p><span style="color:#B22222;"><strong>對可疑訊息建立報案、分案、確認、通知下架4流程</strong></span></p> <p>打詐通報查詢網針對可疑訊息背後包括4個流程，報案、分案、確認、通知下架，提高對可疑資訊的自動化處理流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4step.jpg" style="width: 600px; height: 572px;" /></p> <p>林宜敬指出，首先是報案，除了一般民眾自行通報網路上的可疑訊息，還有資安院利用AI偵測技術，每20分鐘掃描一次，一天可查獲5千到1萬筆可疑訊息，並直接介接到打詐通報查詢網，遭冒用身分的知名人士也可利用查詢網報案。報案後回到數位部，利用AI技術分案，經由人工確認後，直接發信向知名人士查證可疑訊息真偽，當知名人士按下信件內的確認鈕，證實其身分遭到冒用，系統就會自動通知臉書、Google、IG、Line等平臺立即下架。</p> <p>如果是政府機關遭冒用，分案後就會向相關的政府機關作確認，例如金融類可疑訊息向金管會確認，醫療相關可疑訊息向衛福部，經政府機關確認為詐騙訊息無誤之後，再通知網路廣告平臺下架可疑訊息。</p> <p>林宜敬表示，查詢網的目的是讓民眾能夠簡單、快速查詢某則可疑訊息是否為詐騙訊息，另外，過去在各機關間的公文往來可能耗費許多天，現在打詐通訊查詢網運用科技加快分案處理時間，包含後半部流程通知網路平臺下架也利用科技加快下架，「我們希望詐騙訊息存在網路的時間愈短愈好」。</p> <p>例如資安院AI於8月27日上午8:22分掃描查獲一則與金管會有關的可疑訊息，上午9:20分向金管會確認，金管會於9:27分確認為詐騙訊息，後續再向臉書通知下架移除該訊息。</p> <p>至於知名公眾人物遭到冒用，打詐通報查詢網之前，他們利用公眾人物的反詐通報專用郵箱，作為公眾人物的專門通報管道，目前數位部已和謝金河、486等44位知名人士合作，並公布公眾人物反詐通報專用郵箱使用情形，從7月8日最高收到216筆通報，後續可能因為打詐通報下架處理產生效果，使得詐騙集團避免再冒用這些名人散播詐騙訊息，數位部收到這些知名人士的通報數量顯著減少，8月12日收到53筆。</p> <p>「相較於初期人工、半人工方式處理，打詐通報查詢網藉由提高自動化處理，我們希望將平均處理時間降到很低的程度」，林宜敬說。目前打詐通報查詢網開始封閉測試，還不夠完美，未來需要持續改善精進，打詐與詐騙是不斷攻防，詐騙集團不斷利用假帳號、多樣態的詐騙訊息，打詐也需要發展新科技，以科技對抗科技詐騙，以AI對抗AI詐騙。</p> </div></div></div>
2024/8/27 18:20作者蘇文彬https://www.ithome.com.tw/news/164718
量販店巨頭Target正式上線生成式AI店員助手，全美近2,000門市都在用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日法說會中，美國大型連鎖量販店Target揭露，已正式上線店員生成式AI助手到全美近2,000間門市的手持裝置上，且8月初起上線3周就累積了超過50,000次使用次數。</p> <p>這個生成式AI助手名為Store Companion，是一個知識管理用問答機器人，可以根據自然語言對話來快速提取Target內部文件，來回覆約40萬名店員的門市營運相關問題，例如會員卡申辦流程、停電時如何重啟POS機等。Target COO Michael Fiddelke表示，此功能上線3周就已經有超過50,000次使用次數，且店員與助手平均對話時間低於1分鐘，顯示店員問題能快速被解決。</p> <p>生成式AI已經成為美國大型零售業者用來提升門市員工生產力的重要工具。另一實體零售巨頭Walmart，也將生成式AI導入門市店員的App中，利用Walmart內部文件及細緻到個別門市等級的高時效性數據，來提供日常門市營運問答、貨架狀態及商品位置查詢、庫存管理及查詢、員工訓練輔助，甚至廢棄物減量及處理建議等功能。</p> <p>不只將生成式AI用於提升員工效率，Target還應用此技術於電商體驗，包括搜尋和產品頁面的關聯性商品推薦、評論總結、商品標題完善等。未來數月預計全面開放對話式搜尋功能，可以根據消費者自然語言輸入來引導他們尋找適當商品，甚至提醒消費者可能忘記購買的項目。Target還表示，內部正在測試數十種生成式AI應用，不過未揭露更多細節。</p> <p>另外，儘管全球自助結帳機市場仍持續成長，不過Target近月反而加開更多人工結帳動線，將自助結帳機定位為分流工具，只接受10件或以下商品的訂單。這是根據半年A/B測試結果而制定的做法──限定自助結帳機商品數，反而能消化2倍顧客數量。這個做法使顧客對等待時間及結帳體驗的滿意分數達到6年來新高。</p> <p> </p> <p></p> </div></div></div>
2024/8/27 18:34作者郭又華https://www.ithome.com.tw/news/164713
macOS版微軟M365應用程式存在共通漏洞，攻擊者有機會藉此繞過系統權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科旗下威脅情報團隊Talos在macOS版的Microsoft 365辦公室套裝軟體，<a href="https://blog.talosintelligence.com/how-multiple-vulnerabilities-in-microsoft-apps-for-macos-pave-the-way-to-stealing-permissions/">最近找到8個漏洞</a>，並指出攻擊者若是將惡意程式庫注入應用程式，就有機會觸發這些漏洞，從而取得使用者授予應用程式的權限，例如：存取麥克風、視訊鏡頭、資料夾、螢幕錄製、使用者輸入等資源，一旦攻擊者掌握這些權限，就有可能洩露敏感資訊，甚至提升權限。</p> <p>此次漏洞揭露涵蓋的Office應用程式，包含Word（CVE-2024-41165）、Excel（CVE-2024-43106）、PowerPoint（CVE-2024-39804）、Outlook（CVE-2024-42220）、OneNote（CVE-2024-41159），以及Teams（CVE-2024-41138、CVE-2024-41145、CVE-2024-42004）。</p> <p>上述漏洞的CVSS風險評分皆為7.1，研究人員表示，攻擊者可利用這些漏洞得到應用程式已取得的權限，從而繞過作業系統的安全防護框架Transparency, Consent, and Control（TCC），過程中完全不需向使用者取得額外的驗證，只要成功利用漏洞，就能直接取得使用者已授予M365應用程式的所有權限。</p> <p>這些漏洞若遭到利用，可能產生那些後果？研究人員指出，攻擊者可在使用者不知情的情況下利用他們的電子郵件帳號寄信、錄製聲音和影片、拍照，過程中完全無須使用者互動。</p> <p>研究人員將上述發現進行通報，但微軟認為這些漏洞的風險並不高，而且有部分應用程式的運作過程裡，必須載入未經簽署的程式庫才能支援外掛程式，因此僅對OneNote、Teams進行處理。換言之，其餘4個M365應用程式仍曝露相關風險。</p> </div></div></div>
2024/8/27 17:27作者周峻佑https://www.ithome.com.tw/news/164716
WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，已出現實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者<a href="https://patchstack.com/database/vulnerability/litespeed-cache/wordpress-litespeed-cache-plugin-6-3-0-1-unauthenticated-privilege-escalation-vulnerability">Patchstack</a>率先揭露WordPress外掛程式LiteSpeed Cache重大層級的權限提升漏洞CVE-2024-28000（CVSS風險評分9.8），另一家專攻這網站平臺資安防護應用的廠商<a href="https://www.wordfence.com/blog/2024/08/over-5000000-site-owners-affected-by-critical-privilege-escalation-vulnerability-patched-in-litespeed-cache-plugin/">Wordfence</a>兩天後也發文警告，提醒大家注意此漏洞可能造成大規模網站曝險。這個外掛程式的主要功能是加快網站的回應時間，由於全球有超過500萬個網站部署，這樣的漏洞很有可能被盯上，引發大規模攻擊，果不其然，已有嘗試利用漏洞的攻擊行動。</p> <p>這項漏洞發生的原因，在於該外掛程式並未正確限制角色模擬功能，導致攻擊者一旦能夠存取用於除錯的事件記錄資料，挖掘所需的雜湊值，或是透過暴力破解的方法，就有機會將使用者ID設置為管理員ID。攻擊者可在未經授權的情況下，將使用者ID置換為管理員ID，然後利用特定的REST API端點建立具備管理員身分的新帳號。</p> <p>此漏洞影響6.3.0.1以下版本的LiteSpeed Cache，對此，開發商已推出6.4版予以修補。資安業者Patchstack也對通報的研究人員<a href="https://patchstack.com/articles/critical-privilege-escalation-in-litespeed-cache-plugin-affecting-5-million-sites">發出14,400美元予以獎勵</a>，該公司聲稱是WordPress漏洞懸賞最高金額，可見資安業者對於該漏洞算是相當重視。</p> <p>值得留意的是，事隔一週，兩家資安業者都發現該漏洞已被用於攻擊行動，但目前約有6成網站升級6.4、6.4.1版，換言之，仍有近4成網站曝險。<a href="https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/litespeed-cache/litespeed-cache-6301-unauthenticated-privilege-escalation">根據Wordfence的調查</a>，在最近24小時裡，他們發現並封鎖了51,858起鎖定漏洞的攻擊行動，這樣的情況反映已有駭客專門鎖定這項漏洞進行利用。</p> <p>駭客鎖定LiteSpeed Cache已非首例，今年5月，<a href="https://www.ithome.com.tw/news/162780">有人針對跨網站指令碼漏洞CVE-2023-40000（CVSS風險評為8.3分）</a>，試圖在WordPress網站建立管理員帳號，從而接管網站，駭客從單一來源IP位址進行至少120萬次漏洞利用嘗試。</p> </div></div></div>
2024/8/27 15:29作者周峻佑https://www.ithome.com.tw/news/164712
IBM結束中國研發工作，波及上千名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/business/ibm-shuts-china-r-d-operations-in-latest-retreat-by-u-s-companies-b37cd9a0?st=7d9jarhfpzsugmm&reflink=desktopwebshare_permalink" target="_blank">華爾街日報</a>（WSJ）與<a href="https://www.ft.com/content/b39ed853-dcf0-4a66-9b32-f993cebcd094" target="_blank">金融時報</a>（FT）等媒體引述消息來源報導，負責全球大型企業的IBM副總裁Jack Hergenrother本周一（8/26）透過一場虛擬會議宣布，將結束中國的研發工作，關閉當地研發部門，估計將波及逾1,000名員工。</p> <p>根據報導，此一組織重整計畫將影響IBM在中國各個城市所設立的研發中心，包括中國發展實驗室與中國系統實驗室，這些實驗室主要負責企業軟體等產品的開發與測試。</p> <p>Hergenrother於會議中表示，IBM在中國面臨日益激烈的競爭，過去幾年來其基礎設施業務持續下滑，不過，IBM計畫把研發工作集中在中國以外的幾個地區，也正在這些地區招募更多的工程師與研究人員，例如印度。根據FT的報導，2023年IBM在中國的營收比前一年下滑了近20%。</p> <p>IBM並未公開對外說明此事，僅在向媒體發布的聲明中強調，此一變化並不會影響IBM對中國客戶提供支援的能力。</p> </div></div></div>
2024/8/27 13:55作者陳曉莉https://www.ithome.com.tw/news/164707
Uber把司機資料送至美國，遭荷蘭判罰2.8億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭資料保護主管機構（Data Protection Authority，DPA）周一（8/26）向Uber<a href="https://www.autoriteitpersoonsgegevens.nl/en/current/dutch-dpa-imposes-a-fine-of-290-million-euro-on-uber-because-of-transfers-of-drivers-data-to-the-us" target="_blank">處以2.9億歐元的罰款</a>，原因是Uber將歐盟的計程車司機資料在未妥善保護的情況下傳送至美國。</p> <p>此一事件源自法國的人權組織Ligue des droits de l’Homme（LDH）收到逾170名法國司機的投拆，LDH隨後將此案上交至法國的DPA，由於Uber的歐洲總部位於荷蘭，而令法國DPA向荷蘭DPA告狀。</p> <p>荷蘭DPA發現，Uber蒐集了歐洲司機的敏感資訊，並將它們保留在位於美國的伺服器上，包括這些司機的帳戶細節與計程車執照，以及位置資料、照片、支付細節、身分文件，甚至是司機的犯罪與醫療資料。此外，Uber是在未經法律及技術框架的保護下將資料傳送至美國，且時間長達2年，嚴重違反歐盟的《通用資料保護規則》（GDPR）。</p> <p>歐盟與美國之間原本簽有《隱私盾》（Privacy Shield）資料傳輸保護協議，簡化美國企業將歐洲民眾資料傳送到美國的流程，但之後歐盟認為美國的隱私保護不如歐盟，而在2020年7月<a href="https://www.ithome.com.tw/news/138915" target="_blank">廢除</a>了該協議，接著雙方在2023年7月<a href="https://www.ithome.com.tw/news/157722" target="_blank">簽署</a>了新的資料隱私協議，但中間有3年的空窗期。</p> <p>其實就算政治實體之間缺乏資料傳輸協議，企業也能藉由遵循歐盟的標準合約條款（Standard Contractual Clauses，SCC），在保證提供同等級資料保護機制的情況下，合法將資料從歐盟傳送至美國。</p> <p>然而，荷蘭的DPA表示，在缺乏《隱私盾》協議的期間，Uber自2021年8月便不再使用SCC，而讓來自歐盟的資料未能得到充分的保護。</p> <p>總之，荷蘭DPA認為Uber違反GDPR，要求它支付2.9億美元的罰款。這是Uber第三次被荷蘭DPA罰款，第一次是2018年的60萬歐元，第二次是去年的1,000萬歐元，這次則是GDPR史上最高的罰款之一。</p> <p>去年底就採用歐盟與美國之間新資料隱私框架的Uber，並不認為自己違反規定，已決定提出上訴。</p> </div></div></div>
2024/8/27 12:19作者陳曉莉https://www.ithome.com.tw/news/164706
SonicWall修補引發防火牆當機的OS重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SonicWall本周<a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2024-0015" target="_blank">發布安全公告</a>，修補作業系統SonicOS一個可能導致駭客存取資源，甚至引發防火牆當機的高風險漏洞。</p> <p>編號CVE-2024-40766的漏洞位於SonicOS管理存取介面，出於對存取呼叫控管不當。攻擊者可傳送特製呼叫濫用本漏洞，未經授權下即可存取資源，在特定情況下，甚至能引發防火牆崩潰。本漏洞風險值9.3，屬重大漏洞。</p> <p>本漏洞影響SonicWall防火牆第5代（SOHO系列）、第6代裝置，以及第7代防火牆（執行SonicOS 7.0.1-5035及以前版本的機種）。</p> <p>SonicWall於上周釋出最新作業系統，分別為第5代裝置的OS版本5.9.2.14-13o、第6代裝置的6.5.2.8-2n（SM9800、NSsp 12400和NSsp 12800）及6.5.4.15.116n（其他機種）。本漏洞無法在7.0.1-5035以後的韌體上複製，但SonicWall還是建議安裝本韌體。</p> <p>對於未能安裝更新版的用戶，SonicWall建議應限制防火牆存取限於受信任來源，或是關閉防火牆來自外部網路的WAN管理存取介面。</p> </div></div></div>
2024/8/27 10:24作者林妍溱https://www.ithome.com.tw/news/164704
Anthropic公布旗下模型的系統提示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創Anthropic本周破天荒地<a href="https://docs.anthropic.com/en/release-notes/system-prompts#july-12th-2024" target="_blank">公布</a>了旗下3個AI模型的系統提示（System Prompts），包括Claude 3 Haiku、Claude 3 Opus與Claude 3.5 Sonnet。</p> <p>AI模型的系統提示是模型在與使用者互動之前所收到的指令或設定，主要是用來定義模型的行為、語氣、個性或邊界等內容，它讓模型更能理解及處理使用者的輸入，以及所生成的輸出。AI業者向來將模型的系統提示視為商業機密，以避免有人企圖繞過其限制，取得敏感或隱私資訊，或是要求模型處理與生成有害內容。</p> <p>Anthropic此次公布的是Claude.ai網頁介面與行動程式所使用的系統提示，並計畫隨著模型的進展而持續更新，但並不適用於Anthropic API。</p> <p>不同模型有不同的系統提示，例如低階版模型Claude 3 Haiku最新的知識止於2023年8月，以Markdown標記語言來撰寫程式碼。</p> <p>高階版模型Claude 3 Opus的最新知識亦止於2023年8月，它不會提供刻板印象的表達或討論，包括對多數族群的負面刻板印象；對有爭議的話題也會盡量提供仔細且客觀的資訊。</p> <p>Claude 3.5 Sonnet雖然是中階模型，但其最新資訊止於2024年4月，也是Anthropic目前最強大的模型，其系統提示類似Opus，它無法開啟URLs、連結或影片，並會要求使用者直接張貼完整內容；假設使用者要求它協助完成一個涉及大量人類的眾多觀點的任務時，它並不會納入自己的觀點；倘若Claude不能或不願意執行任務，它會明說而不會道歉。</p> </div></div></div>
2024/8/27 10:35作者陳曉莉https://www.ithome.com.tw/news/164705
西雅圖機場疑遭網攻，IT斷線數天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國西雅圖主要的Seattle Tacoma國際機場上周六疑似遭到網路攻擊，包括網站、郵件系統連線中斷，影響通訊及旅客服務，截至周一仍未恢復。</p> <p>Seattle Tacoma（SEA-TAC）國際機場是西雅圖最大國際機場，也是美國西北太平洋航線最繁忙的機場，2013年服務旅客超過5,100萬人次。</p> <p>上周六（8/24）太平洋時間周六一早，西雅圖機場發生疑似網路攻擊，引發部份系統斷線。機場飛航主任Lance Lyttle上周記者會<a href="https://www.youtube.com/watch?v=kvzIYY7eVPE" target="_blank">說明</a>，這起事件造成數個系統網路中斷，包括網站及電子郵件系統。但旅客航站及機場安全系統未受影響，因此所有進出關檢查措施皆正常運行。他表示，機場人員正持續趕工，以及早恢復系統營運。</p> <p>西雅圖機場也<a href="https://x.com/flySEA/status/1827375913924784298" target="_blank">提醒</a>欲搭機的民眾上網查詢班機起降資訊。</p> <p>不過截至臺北時間周二早上，西雅圖機場<a href="https://www.portseattle.org/" target="_blank">網站</a>仍未恢復，意謂著停機時間已至少超過48小時。</p> <p>系統斷線所致，周六以來可能已導致多起班機延誤與取消。根據飛機追蹤網站FlightAware的<a href="https://www.flightaware.com/live/cancelled/today/KSEA" target="_blank">紀錄</a>，周日西雅圖機場有375班次延遲，6班次取消，周一則有218班次延遲，及10班次取消。不確定原因是否為這起事件。但美聯社<a href="https://apnews.com/article/seatac-cyberattack-travel-delays-baggage-airport-outage-627805ee04648592658150dfdfa18ca9" target="_blank">報導</a>，以西雅圖機場為營運樞紐的阿拉斯加航空與泛美航空沒有回報服務問題。但是機場的行李分類系統無法運作，機場方面與部份航空公司都提醒旅客盡可能不要託運行李。此外機場的失物查詢系統也無法作業。</p> <p>雖然一般為期那麼久的IT停機事件，元兇可能是勒索軟體，但是至今沒有勒索軟體或其他駭客組織出面宣稱是其所為。FBI已經介入調查，但未公布細節。</p> <p>此事不到二個月前，許多機場才因為Crowdstrike軟體更新引發作業大亂。CrowdStrike的軟體臭蟲觸發Windows電腦當機，迫使機場人員改以手工開票或查驗證照，其中泛美航空更因IT停擺將近一個星期，計畫向軟體公司<a href="https://www.ithome.com.tw/news/164312" target="_blank">求償</a>。</p> </div></div></div>
2024/8/27 10:16作者林妍溱https://www.ithome.com.tw/news/164703
【資安日報】8月24日，Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密即時通訊軟體Telegram近年來已成為許多駭客在從事網路犯罪的過程濫用的平臺，包括駭客之間用來討論如何犯案，或是用來代管、散布惡意軟體，甚至有人將Telegram頻道充當C2中繼站，這樣的情況也引發政府單位認為該平臺管理不力，逮捕其負責人的情況。</p> <p>值得一提的是，在為期超過2年的烏克蘭戰爭裡，不僅兩國駭客利用該平臺從事網路攻擊，就連政府高層也藉此向對方放話。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164700"><strong style="font-size: 22px;">伊朗駭客組織APT42利用WhatsApp鎖定政治人物從事網釣攻擊</strong></a></p> <p>美國總統大選正在如火如荼進行，繼微軟、Google、OpenAI等科技龍頭提出警告，伊朗駭客企圖透過網路攻擊、假消息意圖左右這場選舉的結果，如今又有科技業者加入行列，指出他們旗下的應用系統也遭到濫用。</p> <p>上週Meta指出，他們接獲使用者通報，有人假冒科技公司AOL、Google、微軟、雅虎的客服人員，濫用WhatsApp帳號從事社交工程攻擊，目標是以色列、巴勒斯坦、伊朗、美國、英國，針對政府官員及外交官而來，Meta指出，這當中包含美國總統拜登及前總統川普相關人士。</p> <p>該公司經過調查，認為攻擊者的身分是別名為Mint Sandstorm、UNC788的伊朗駭客組織APT42，此組織擅長透過網釣攻擊竊取使用者的帳密資料，並長期針對以色列、巴勒斯坦、伊朗、美國等國家的政治人物、人權鬥士、學者、記者下手。</p> <p><a href="https://www.ithome.com.tw/news/164696"><strong style="font-size: 22px;">惡意軟體Sedexp潛入Linux裝置管理器，意圖透過遭潛入的網頁伺服器竊取信用卡資料</strong></a></p> <p>保險業者怡安（Aon）旗下的風險管理業者Stroz Friedberg揭露名為sedexp的Linux惡意軟體，駭客將其用來在網頁伺服器竊取信用卡資料，其中使用罕見的手法維持在受害主機運作引起研究人員關注，此惡意程式從2022年開始出沒，研究人員在許多沙箱環境發現其蹤跡，然而，目前沒有防毒引擎將其視為有害。</p> <p>究竟研究人員提及的罕見手法是什麼？答案是濫用Linux核心的裝置管理系統udev的規則。研究人員看到他們針對/dev/random的特殊裝置檔案設定配置，Linux作業系統的許多系統處理程序及應用程式，都會將其用來產生隨機亂數，然後進行加密作業或是安全通訊。而攻擊者指定當上述的裝置檔案載入時，就會一併執行sedexp。研究人員特別提及，這樣的手法，目前尚未被彙整到攻擊框架MITRE ATT&CK當中。</p> <p><a href="https://www.ithome.com.tw/news/164685"><strong style="font-size: 22px;">安卓惡意程式NGate重導引NFC流量，意圖竊取用戶付款資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NGate-figure1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NGate-figure1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET發現，3家捷克銀行客戶遭到這前所未見新手法的攻擊。攻擊者使用名為NGate的惡意程式，將受害者的實體信用卡、支付卡等卡片資料，由被植入NGate的智慧型手機利用NFC通訊，傳送給攻擊者的手機。</p> <p>攻擊者取得卡片資料後即可執行ATM交易。若這方法失敗，攻擊者還有備援計畫，可以從受害者帳戶傳到其他人的帳號。由於攻擊手法使用了NFCGate的NFC流量分析開源工具，研究人員因而將惡意程式命名為NGate。</p> <p>這起資安事故在今年3月因主謀被捕而終止，期間有3家捷克銀行客戶受害，研究人員共發現6隻不同的NGate變種，但受害人數不明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/hackers-are-exploiting-critical-bug-in-litespeed-cache-plugin/"><strong style="font-size: 20px;">WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，已出現實際攻擊行動</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://jp.security.ntt/tech_blog/appdomainmanager-injection">駭客透過AppDomain注入手法散布Cobalt Strike</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.radware.com/blog/uncategorized/2024/08/megamedusa-rippersec-public-web-ddos-attack-tool/">俄羅斯駭客利用惡意程式MegaMedusa發動DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/164698">PowerShell惡意軟體下載工具PeakLight埋藏在記憶體內運作，散布多種惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/164689">竊資軟體Cthulhu Stealer鎖定macOS用戶電子錢包、帳號密碼而來</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164681"><strong style="font-size: 22px;">臺灣駭客年會邁入20年，不只點燃駭客精神，半導體封裝測試大廠日月光也加入資安社群行列</strong></a></p> <p>今年臺灣駭客年會（HITCON）社群場於8月23、24日連續兩日舉行，現場重頭戲不僅包括多場技術資安議程，還帶來一系列資安相關活動與挑戰，吸引近千名對資安有興趣的研究人員與學生參與。特別的是，今年已是HITCON第20周年，象徵著該活動在臺灣資安社群中的深厚歷史與影響力。</p> <p>其中，AI無疑是這幾年的重要焦點，大會上不僅有4場是與AI、資安相關的演說，現場也有一些攤位活動聚焦於此。例如：一款名為「新手Prompt之助」的遊戲，是由中華資安國際開發，讓會眾掃描QRCode後可以開啟一個網頁與聊天機器人對話，目標是套出其所保護的神秘金鑰；還有一款UCCU AI Challenge的遊戲，是由資安社群UCCU Hacker開發，這遊戲不僅有探索安全防護機制的提示注入（Prompt Injection）挑戰。</p> <p>值得一提的是，本次半導體封測領域相當知名的「日月光半導體」（ASE Global），他們資安團隊設計了一個SOC事件調查的情境解題遊戲，讓會眾可在現場檢視SSLVPN、Server、防火牆這3個儀表版，並給出5個問題讓玩家回答。這次日月光半導體的參與，也引起了現場眾多與會者的關注。可以想見的是，此舉展現了企業方對資安人才的需求，而且還是相當知名的半導體業者，突顯出資安技術專業對企業的重要性，不亞於普遍資安業者。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164687"><strong style="font-size: 22px;">Telegram執行長Pavel Durov在法國被逮捕</strong></a></p> <p>根據法國媒體TF1的報導，Telegram創辦人暨執行長Pavel Durov上周六（8月24日）搭乘私人飛機降落在法國巴黎附近的Bourget機場時遭到逮捕，主要原因是Telegram平臺上缺乏內容管理機制，使它成為犯罪的溫床，而讓法國法官簽署了Durov的逮捕令。</p> <p>根據報導，法國之所以發布Durov的逮捕令是因Telegram缺乏管理機制，而讓各種犯罪活動於該平臺上暢行無阻，這令Durov可能面臨支持恐怖主義、販毒、大規模詐欺、洗錢、戀童、閃避制裁或共謀犯罪等洋洋灑灑的指控。事實上，有調查員認為，Telegram根本已經成為有組織犯罪的最大平臺。</p> <p>路透社則指出，Telegram是烏克蘭戰爭中未經證實之消息的主要散布管道，甚至有人稱為烏克蘭戰爭的虛擬戰場，不管是俄羅斯或烏克蘭高層都透過該平臺放話。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164662"><strong>【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164632"><strong>【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164608"><strong>【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</strong></a></p> </div></div></div>
2024/8/26 18:05作者周峻佑https://www.ithome.com.tw/news/164701
WeMo共享機車擴大服務至臺中，下個月進軍臺南
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內較早投入共享機車市場的WeMo Scooter，今宣布獲得台灣大哥大等投資，計畫擴大線上共享機車服務範圍，並且開放臺中市自由租還服務，9月將再進入臺南地區。</p> <p>WeMo Scooter是利用車聯網技術，提供線上自由租還車，使用者透過App尋找附近停放的可租用電動機車，24小時隨時線上租車或還車，且線上租車或還車不受固定地點限制。在此之前，WeMo共享機車服務範圍主要以雙北地區、高雄為主。</p> <p>WeMo Scooter以車聯網技術為基礎，提供線上自由租還機車的共享機車服務，後續也吸引GoShare、iRent等業者相繼投入共享租車，帶動國共享機車市場發展。其中GoShare近幾年積極擴大服務範圍，目前線上租還機車範圍，包括台北市、新北市、桃園市、新竹市、臺南、雲林、高雄等。</p> <p>相較於競爭對手，WeMo近幾年在擴大營運範圍上進展緩慢，今天終於宣布旗下共享機車服務擴大到臺中市，初期投車數量約400輛，下個月進軍臺南，初期投車數量約150輛，投入臺中、臺南地區的共享機車與高雄地區一樣，採用可自行換電、續航較長的第二代的WeMo Fly車款。</p> <p>WeMo表示，臺中及臺南地區投車地點，是以過去在雙北地區的數據，以及當地的交通通勤熱區為主。加入臺中、臺南之前，加上雙北、高雄市，其共享機車服務範圍已涵蓋五都，該公司表示，未來不排除擴大更多地區。</p> <p>除了24小時可以線上自由租還車模式，他們也在基隆火車站、新竹火車站、新竹高鐵站、桃園火車站、桃園高鐵站、苗栗火車站、苗栗高鐵站、羅東火車站、員林火車站、花蓮火車站、臺南火車站、屏東火車站等17個臺鐵及高鐵站，和當地停車場合作固定站點租還車，相較於一般的自由租還車，地點較不受限制，使用者必需在固定站點租還車，而在騎車的期間電力不足，可以到光陽Ionex更換電池。</p> </div></div></div>
2024/8/26 17:48作者蘇文彬https://www.ithome.com.tw/news/164699
惡意軟體Sedexp潛入Linux裝置管理器，意圖透過遭潛入的網頁伺服器竊取信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Linux伺服器的攻擊行動越來越常見，但駭客植入惡意程式的攻擊手法，最近出現了相當不尋常的新招。</p> <p>保險業者怡安（Aon）旗下的風險管理業者Stroz Friedberg揭露<a href="https://www.aon.com/en/insights/cyber-labs/unveiling-sedexp">名為sedexp的Linux惡意軟體</a>，駭客將其用來在網頁伺服器竊取信用卡資料，其中使用罕見的手法維持在受害主機運作引起研究人員關注，此惡意程式從2022年開始出沒，研究人員在許多沙箱環境發現其蹤跡，然而，目前沒有防毒引擎將其視為有害。</p> <p>除了前述的信用卡資料側錄行為，研究人員指出此惡意程式還具備反向Shell的功能，以及竄改記憶體內容，目的是用來隱藏含有ls或find指令的部分命令，攻擊者通常會用來偷渡Web Shell、竄改的Apache組態檔案，以及udev規則。</p> <p>究竟研究人員提及的罕見手法是什麼？答案是濫用Linux核心的裝置管理系統udev的規則。</p> <p>udev的主要功能是負責管理/dev資料夾裡的裝置節點，動態建立或是移除裝置，處理熱插拔事件、設定新的設備，並載入所需的驅動程式，而udev規則組態檔案的用途，是指示此裝置管理系統偵測到特定裝置的時候，執行特定的動作，例如新增或是移除裝置。</p> <p>而駭客加入的udev規則檔案內容為何？研究人員看到他們針對/dev/random的特殊裝置檔案設定配置，Linux作業系統的許多系統處理程序及應用程式，都會將其用來產生隨機亂數，然後進行加密作業或是安全通訊。而攻擊者指定當上述的裝置檔案載入時，就會一併執行sedexp。研究人員特別提及，這樣的手法，目前尚未被彙整到攻擊框架MITRE ATT&CK當中。</p> <p>針對這種極為特殊的新興手法，研究人員指出，這代表出於經濟動機犯案的駭客，手法也變得更加複雜，突顯企業需要持續調整、更新偵測威脅的能力，並在察覺伺服器疑似遭駭的情況下，應考慮進行完整的鑑識調查。</p> </div></div></div>
2024/8/26 15:55作者周峻佑https://www.ithome.com.tw/news/164696
PowerShell惡意軟體下載工具PeakLight埋藏在記憶體內運作，散布多種惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了隱匿惡意程式的行蹤，駭客利用惡意程式下載工具（Downloader）來投放有效酬載的情況越來越普遍，但如今駭客也試圖在記憶體內執行這類作案工具，防止資安偵測工具在電腦或伺服器磁碟發現其運作的痕跡。</p> <p>例如，資安業者Mandiant最近揭露的<a href="https://cloud.google.com/blog/topics/threat-intelligence/peaklight-decoding-stealthy-memory-only-malware/">惡意程式下載工具PeakLight</a>，就是這樣的情形。駭客假借提供盜版電影為由，散布帶有捷徑檔案（LNK）的ZIP壓縮檔，一旦使用者開啟LNK檔，電腦就與特定的內容交付網路（CDN）連線，下載名為PeakLight的惡意程式下載工具，然後於受害電腦植入LummaC2（Lumma Stealer）、ShadowLadder（Hijack Loader）、CryptBot等惡意酬載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/peaklight-fig1_max-2100x2100.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/peaklight-fig1_max-2100x2100.jpg" style="width: 580px;" /></a></p> <p>根據LNK檔的命令，大致可分成兩種，其中一種是濫用公用程式forfiles.exe尋找win.ini檔案，並啟動PowerShell，然後透過公用程式mshta.exe從特定網域搜尋下載、執行第二階段酬載；另一種則是直接執行PowerShell，啟動mshta.exe下載有效酬載，但特別的是，攻擊者下達命令時，會用到萬用符號，但為何要這麼做，研究人員沒有解釋。</p> <p>但無論透過何種方式進行後續的攻擊流程，電腦都會從CDN取得JavaScript惡意程式載入工具（Dropper），研究人員看到對方使用兩種混淆手法，其中一種是使用十六進位字元進行處理，另一種則是採用Base64編碼。</p> <p>而這些載入工具最終於受害電腦植入PeakLight，此為PowerShell打造的作案工具，同樣駭客也經過混淆處理。其中，有部分的版本會在電腦載入MP4影片做為誘餌，降低受害者的戒心。</p> </div></div></div>
2024/8/26 16:47作者周峻佑https://www.ithome.com.tw/news/164698
協助消費者辨識與警示AI深偽詐騙視訊，趨勢提供免費工具
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/trend_micro_deepfake_inpector-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧當道，帶來工作與生活的便利之餘，駭客與網路犯罪份子也利用這樣的技術發動攻擊與詐騙行動，甚至出現許多容易取得的AI犯罪工具，在技術使用門檻降低的態勢之下，發動大規模網路攻擊更簡便，可透過深偽（Deepfake）這類AI假造圖片、影片、聲音等內容的手法，矇騙更多受害者進行勒索、身分冒用、詐騙，或是散播假消息。</p> <p>關於這樣的資安威脅，在深度學習技術崛起、生成式AI走紅之後，引發眾人擔憂，<a href="https://www.ic3.gov/Media/Y2022/PSA220216">美國FBI曾在2022年發布警示</a>，分別提醒大家注意線上會議平臺可能發生商業郵件詐騙（BEC），以及用深偽影像與個人識別資訊來應徵遠端工作，並且已陸續出現一些實際的攻擊事件，像是：<a href="https://www.ithome.com.tw/news/161212">年初香港有跨國公司遭到深偽詐騙</a>，對方透過視訊會議假造總部財務長影像，要求分公司財務部門職員匯款至指定銀行，結果損失8億元；7月底<a href="https://www.ithome.com.tw/news/164108">資安意識訓練解決方案廠商KnowBe4</a>，坦承駭客成功利用深偽技術與多種欺騙伎倆線上應徵AI軟體工程師，而被聘入他們公司任職。</p> <p>雖然深偽資安威脅已然成形，遺憾的是，整個資安界呼籲大家重視之餘，卻遲遲沒有廠商嘗試提出可行的解決方案。截至目前為止，我們看到趨勢科技揭露正在著手發展相關的技術。</p> <p>例如，在5月舉行的RSA資安大會，趨勢科技宣布旗下企業級資安平臺Vision One當中的Zero Trust Secure Access（ZTSA），將針對公有或私有生成式AI服務的使用，新增保護功能；6月登場的台北國際電腦展期間，他們展示協助AI個人電腦對抗新興威脅的第一套消費型資安解決方案，提供AI應用程式防護與NPU驅動的電子郵件防護等功能，預計在今年稍晚推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Deep%20Fake%20Detector-2024-06.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Deep%20Fake%20Detector-2024-06-2.jpg" style="width: 600px;" /></p> <p>到了本月召開的黑帽大會前夕，趨勢科技發布新聞稿，預告將在Vision One平臺提供深偽偵測技術，協助企業強化AI防護力，而且，這項功能也會供應個人用戶，目前他們先提供名為Trend Micro Deepfake Inspector的工具，能在個人端設備即時分析，協助確認目前進行的視訊對話是否有人正在使用深偽技術，若出現此類狀況，會警示當下呈現的對方影像畫面，可能並不是他們所宣稱的人，確保使用者資料與隱私都能持續獲得保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Deepfake%20detect%20Portfolio.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Deepfake detect1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Deepfake%20detect1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Trend Deepfake detect2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Deepfake%20detect2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Deepfake%20detect3.jpg" style="width: 298px;" /></p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/tdiE8Bpga00?si=DlCYhGXUe5qdFJPj" title="YouTube video player" width="560px"></iframe></div> <p>在趨勢科技網站的免費工具及試用頁面，可下載Trend Micro Deepfake Inspector，能用於Windows電腦——支援x86與Arm版本的Windows 11，但我們實際在Windows 10電腦也可以安裝、執行，最多可偵測20次，每次為期3分鐘（超過時間會自動停止）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DF0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DF0.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DF1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DF1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DF2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DF2.jpg" style="width: 198px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DF5.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/df3-2024-08-9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/df3-2024-08-9.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/df4-2024-08-9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/df4-2024-08-9.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Trend Micro Deepfake Inspector</strong><br /> ●原廠：趨勢科技<br /> ●建議售價：免費<br /> ●作業系統需求：Windows 11（x86、Arm）●最新版本：1.1.0●安裝檔案大小：168 MB<br /> ●使用限制：最多能偵測20次，3分鐘後自動停止偵測<br /> ●資料收集方式：一旦偵測到人員偽造影像，所收集的資料會保留3個月<br /> ●整合第三方服務：Google Analytics<br /> ●可偵測的深偽詐騙類型：愛情詐騙、投資詐騙、親友緊急狀況詐騙、隱私與假訊息、社交媒體假訊息</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/26 15:25作者李宗翰https://www.ithome.com.tw/review/164532
竊資軟體Cthulhu Stealer鎖定macOS用戶電子錢包、帳號密碼而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MacOS平臺向來被認為比較少惡意軟體，但現今已漸漸吸引駭客注意力。資安業者Cado Security<a href="https://www.cadosecurity.com/blog/from-the-depths-analyzing-the-cthulhu-stealer-malware-for-macos" target="_blank">發現</a>一款惡意程式Cthulhu Stealer，專門鎖定macOS電腦用戶竊取密碼、cookies或其他敏感資訊。</p> <p>Cthulhu Stealer（或簡稱Cthulhu）為一惡意程式即服務（malware-as-a-service，MaaS），是由一個代號Cthulhu或Balaclavv的用戶在Telegram頻道及二個暗網交易市集兜售，以每月500美元提供服務，由其開發人員和同夥向macOS用戶發動攻擊。Cthulhu是2023年底現身，並在今年頭幾個月內開始活動。</p> <p>Cthulhu本身是一種Apple磁碟映像檔（DMG檔），視架構而定，可附加於2種二進位檔。它以GoLang寫成，可偽裝成合法軟體。研究人員發現它曾經冒充過合法軟體如硬碟清理工具CleanMyMac、遊戲軟體Grand Theft Auto IV以及Adobe GenP，誘使用戶下載。</p> <p>一旦用戶下載安裝.dmg檔，它會要求用戶開啟檔案，並啟動macOS的指令行工具osascript就會接連要求用戶輸入它想竊取的敏感資訊，包括cookies、帳號或電子錢包密碼。研究人員歸納Cthulhu的竊取目標包含Chrome與Firefox瀏覽器cookies、Telegram密碼、Apple Keychain、SafeStorage、Minecraft帳號以及十多種電子錢包應用如Chrome Extension Wallet、MetaMask、XDeFI、Coinbase或Blockchain Wallet等等。</p> <p>研究人員並公布了Cthulhu的Yara偵測規則，以及該惡意程式安裝時會在用戶電腦/Users/Shared/NW路徑下建立資料夾。</p> <p>Cthulhu是資安專家發現最新一隻攻擊Mac電腦用戶的竊密程式。從早期的<a href="https://www.ithome.com.tw/news/104390" target="_blank">KeRanger</a>和<a href="https://www.ithome.com.tw/news/142840" target="_blank">Silver Sparrow</a>開始逐漸增多。今年資安業者SentinelOne<a href="https://www.ithome.com.tw/news/160906" target="_blank">發現</a>竊資軟體KeySteal、Atomic Stealer、CherryPie，都能繞過macOS作業系統的防護機制XProtect竊取用戶敏感資料。</p> </div></div></div>
2024/8/26 15:50作者林妍溱https://www.ithome.com.tw/news/164689
Android支援16 KB分頁大小，可提升系統效能約5-10％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google預計在之後Android版本支援<a href="https://android-developers.googleblog.com/2024/08/adding-16-kb-page-size-to-android.html">16 KB分頁大小（Page Size）</a>，相較於過去僅支援標準的4 KB分頁大小，這是一項重大更新，官方指出，支援16 KB分頁大小雖會增加約9％記憶體使用量，但也將帶來5-10％系統效能提升。</p> <p>目前由於還沒有量產16 KB分頁大小的Android裝置，因此Google會先在Android 15提供開發者選項和x86_64模擬器支援，鼓勵開發者先做好準備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0826-android-16KB.png" style="width: 263px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>為了提升作業系統整體效能，Google在Android 15增加支援16 KB分頁大小，這也會是第一個支援16 KB分頁大小的Android版本。由於ARM架構處理器在設計時考慮多種分頁大小，因此Android要支援16 KB分頁大小，主要是為了適應ARM的功能。分頁是作業系統管理記憶體的基本單位，大多數現代CPU都是支援4 KB分頁大小，因此過去Android作業系統和應用程式也都是針對4 KB分頁大小最佳化。</p> <p>大多數CPU中處理器具有一個稱為記憶體管理單元（Memory Management Unit，MMU）的硬體元件，負責管理虛擬記憶體和實體記憶體間的地址轉換，而這種轉換與分頁大小密切相關，當應用程式需要更多記憶體的時候，作業系統就需要介入，並填寫分頁表格條目，將記憶體分配給程序。</p> <p>所以當Android支援的分頁大小從4 KB增至16 KB，分頁大小增至4倍，記憶體分配的管理工作量也就相對應降低，這讓系統可以把更多時間用於運算影片、遊戲和作業系統等工作。Google特別說明，分頁大小與處理器32位元/64位元模式的應用程式二進位介面（Application Binary Interface，ABI）概念不同。</p> <p>ABI涉及處理器位寬，直接影響應用程式存取和操作資料的方式，而分頁大小是作業系統管理記憶體的策略，所以當應用程式調整為不依賴特定分頁大小，同一個應用程式的二進位檔案，就可以在支援4 KB和16 KB分頁大小的裝置上運作。Google重新設計了Android 15的底層，因此開始能夠支援不同頁面大小運作，以實現分頁大小無關性。</p> <p>分頁大小的變動牽涉範圍廣泛，涵蓋作業系統、檔案系統、記憶體管理和Linux核心等層面，而對Android開發者來說，應用程式的程式碼和相依項目都需要重新編譯和調整，才能在相容於16 KB分頁大小的裝置上正確運作，而且因為大多數應用程式和SDK原生程式碼是針對4 KB分頁建置，需要重新對齊，確保相容4 KB和16 KB裝置。</p> <p>從Android 15 QPR1 Beta版本開始，Pixel 8和Pixel 8 Pro將提供開發人員選項，可切換16 KB和4 KB分頁大小。針對16 KB頁面建置的應用程式，只需使用不同Linux核心，相同二進位檔案就能適用於4 KB和16 KB。因此Google加入一種包含額外Linux核心的方法，運用增量壓縮方法，每個分頁大小的核心版本約占12-16 MB。另外，即便開發者沒有ARM裝置，現在也可以在x86_64模擬器，以4 KB模式模擬16 KB分頁大小支援。</p> </div></div></div>
2024/8/26 15:55作者李建興https://www.ithome.com.tw/news/164690
【iThome 2024 CIO大調查系列6｜新興技術採用趨勢】GAI應用需求帶動企業新技術布局，AI優化維運成IT新…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-feng_mian_p2-gai-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI依舊是2024年最夯的新興技術，企業不只擴大採用更多ChatGPT類應用，也加碼投入GAI相關技術。生成式AI的採用率從去年的11.8%，今年翻倍成長到23.5%，幾乎每五家企業就有一家，今年正在導入GAI技術。</p> <p>不論哪一個產業，採用現成ChatGPT類應用的比例，都遠高於GAI技術，甚至是原有非生成式AI的採用，企業今年比去年更積極擁抱現成的生成式AI服務，來加快落地的速度。各產業中，醫療業是最積極採用ChatGPT類應用的產業，今年高達53.6％的醫院採用，來輔助醫事作業流程，分擔原本繁重的庶務作業，讓醫護人員有更多時間來關注病患。服務業和政府學校今年也很積極採用各種現成的ChatGPT類應用，要整合到原有工作流程中，來提高員工的生產力。</p> <p>在底層的GAI技術採用率上，整體產業來看，今年的GAI採用率，已經接近但還沒超過非GAI的AI/ML技術，只有高科技製造、服務業的生成式AI採用率，今年開始超過了非生成式AI。這兩個產業原有AI類技術的採用率也比去年更高，只是今年他們更想善用生成式AI來尋找新的創新應用，對於生成式AI的採用力道更強。政府機關則是兩者的採用率相當，也反映出政府機關積極想要尋找生成式AI應用場景的企圖，只是還沒有超越既有的AI採用率。</p> <p>醫療、金融和一般製造業則仍持續重視非生成式AI的AI/ML技術，仍有高達3成1的金融業持續投入原有AI/ML技術，醫療業的非生成式AI採用率也仍舊高於生成式AI。不過，金融和一般製造業對於非生成式AI的採用率，與去年相當，而醫療業的非生成式AI採用率則比去年減少了4%，這反映出，企業AI技術的重心，開始轉移，生成式AI逐漸成了新的企業AI技術布局重心。</p> <p>雖然企業積極想要搭上生成式AI的浪潮，但不到2成企業有足夠的準備，甚至在人才、技術架構、治理與風險上，做好準備的企業甚至不到1成。企業對於GAI人才的匱乏感最強，9成5的企業都自認GAI人才嚴重不足。就算是IT預算最豐沛的金融業，只有GAI的資料面準備度較高，9成金融業同樣在戰略、技術、治理和人才上還沒做好準備。</p> <p>相關準備還沒到位，如何擁抱GAI，這也讓企業更積極直接採用現成的ChatGPT類服務，來整合到內部流程或自家應用中，尤其科技巨頭今年相繼推出了維運類的生成式AI助手服務，成了企業切入生成式AI的新焦點，尤其是越來越複雜的雲端環境，企業更願意嘗試用雲端維運AI助手，也帶動了今年AIOps的採用率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-4-PNG.png" style="width: 600px;" /></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/8/26 15:14作者王宏仁https://www.ithome.com.tw/article/164620
【iThome 2024 CIO大調查系列6｜新興技術採用分布】2024年整體產業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-zheng_ti_-960-jpg-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>技術力是企業創新的關鍵，為了因應AI數位轉型、資安轉型或是永續轉型的挑戰，不論是哪一個產業，臺灣企業2024年的技術布局有很大的變化。</p> <p>尤其生成式AI技術不只是快速演進，科技巨頭去年更相繼推出了各種GAI對應工具和服務後，更讓企業對於新興科技的採用戰略，和過去有很大的不同。</p> <p>在今年iThome CIO大調查中，我們調查了422家企業，針對四大類共38項新興科技的採用動向，包括了10項「IT基礎架構」技術、9項「AP架構與開發」技術、14項「Data與AI」技術，以及5項其他新興科技。</p> <p>在今年針對資料與AI類別的調查選項中，我們將AI/ML技術區分出生成式AI與非生成式AI/ML兩類，以便了解企業對於新舊AI技術的採用轉變，並且特別增加了多項與生成式AI相關的新興技術，包括了檢索增強生成（RAG）、提示工程、向量資料庫等，來了解臺灣企業對於全球最新技術浪潮的採用情況。</p> <p>因為生成式AI的技術演進速度飛快，主流的大型語言模型，幾乎每一年就會有很大的改版，相關工具和服務也會跟著升級，甚至進化。所以，在今年的技術雷達圖製作方法上，我們改變了先前以「過去3年」排名變化來排序的策略，轉而聚焦「今年與去年」的採用率排名變化，將今年技術採用率排名，比去年上升超過5名的技術，列為「爆紅」類技術，也就是雷達圖中心紅圈的項目。相反地，今年排名比去年下滑超過5名的技術，則列入「退燒」類技術，也就是雷達圖最外緣的綠色圈項目。中間白色圈，再以整體採用率平均值（今年是13.7%）作為分界，按照採用率多寡，來繪製出不同新興技術的落點，採用率越高者越接近圓心。希望透過這樣的調整，更能反映企業今年最新的技術決策態勢，作為CIO規畫2025年技術布局的決策參考。</p> <p>從整體產業來看，今年有三大爆紅技術，包括了IT基礎架構類的AIOps（用AI優化IT維運），資料與AI類的檢索增強生成，以及AP架構與開發類的DevSecOps。前兩項技術在今年竄紅，正是與生成式AI浪潮有關，企業今年開始不只是更積極採用ChatGPT類應用，也開始嘗試用RAG打造內部的GAI應用，更願意開始導入科技大廠相繼推出的各種AI維運助手，如雲端AI助手、資安AI助手，來分擔越來越複雜的IT維運考驗。各產業今年爆紅的技術也有很大的不同，智慧物聯網需求讓一般製造業與高科技開始積極採用FIDO網路身分識別，智慧展演需求加速了服務業的5G專網採用，GAI浪潮讓金融業打造更多行動AI應用。對近兩年大力推動IT現代化的醫療業，中臺架構是新的IT主流。政府學校則比其他產業更重視負責任AI的落實。這些都是今年技術雷達圖的新亮點。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E6%95%B4%E9%AB%94-600-1-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E6%95%B4%E9%AB%94-600-1-(%E5%B0%8F)PNG.png" style="width: 600px;" /></a></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/26 15:15作者王宏仁https://www.ithome.com.tw/article/164625
【資安週報】2024年8月19日到8月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的資安威脅態勢，有多起新聞是聚焦在偽冒、配置錯誤這兩大議題，成為不可忽視的風險熱點，突顯企業、個人在網路安全上的潛在薄弱環節。</p> <p>以偽冒事件而言，有3則消息，其中一起偽冒情境相當獨特，是讓用戶誤以為電腦更新進行中，但實際是利用遠端存取竊取資料。</p> <p>●駭客偽造WinRAR網站，建立與正牌官網（win-rar.com）一字之差的偽冒網站（win-rar.co），雖然此做法並不新奇，但涉及熱門軟體而受關注。<br /> ●惡意廣告運用動態關鍵字插入技術，鎖定特定公司或產品線並假冒其名義，例如假冒Google的行動中，還會利用Google Looker Studio製作圖片來假冒搜尋頁面，並透過圖片內嵌惡意連結引導至假冒的技術支援頁面。<br /> ●駭客組織先利用社交工程手法，並透過遠端連線請求傳送假的Windows Update的執行檔，特別的是，該程式的作用僅是偽冒出Windows更新的畫面，背後則是利用遠端存取竊取受害者的網路共享資料夾，再留下勒索訊息。</p> <p>以配置錯誤而言，本星期有3則新聞值得關注，下列第一則已有攻擊行動需特別注意，研究人員指出，有11萬個網域成為攻擊者可鎖定的對象，第二則有數千個公開的SuiteCommerce受影響，並且研究人員已經揭露這樣的問題，用戶需在攻擊者關注此攻擊面下，儘速對相關組態進行檢查。</p> <p>●近出現一波向企業勒索的攻擊行動，是攻擊者鎖定在AWS公開曝險的bucket，並利用企業的雲端應用環境設定不當，進而得以竊取包含像是驗證憑證的環境變項檔（.env）檔竊取重要資料，並向受害組織勒索。<br /> ●針對Oracle旗下的雲端ERP平臺NetSuite，研究人員指出存在用戶配置錯誤情況相當廣泛，原因在於名為SuiteCommerce電商網站元件中一項CRT的存取控制錯誤組態造成，提醒相關用戶應加強這方面的管理，以避免資料外洩。<br /> ●航班追蹤平臺FlightAware發布資安事件公告，指出在7月底發現因配置錯誤問題，發生外洩該平臺用戶個資的事故。</p> <p>在資安事件方面，有5則重要新聞，當中以臺灣大學院校遭遇後門程式Msupedge攻擊的揭露最受關注，而且，值得警惕的是，入侵原因是未修補今年6月PHP程式語言修補重大漏洞；臺灣最大臺灣電子佈告欄（BBS）PTT傳出資料外洩的消息也引發關注，對此消息，<a href="https://www.facebook.com/PttTW/posts/913357430830764">批踢踢實業坊（Ptt.cc）已在隔日發布聲明</a>，傳聞中所稱取得的資料，應係自公開看板上所抓取的文章，並未發現有任何機密資訊受到危害。</p> <p>●國內有大學院校遭遇後門程式Msupedge的攻擊行動<br /> ●中國對臺認知作戰升級，在今年5月盜取飛官社群網站帳號抵毀國軍。<br /> ●PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料。<br /> ●美國半導體製造商Microchip傳出遭遇網路攻擊，造成工廠產能降低的影響。<br /> ●豐田美國分公司遭公布24GB公司資料，駭客表示是從其備份伺服器竊取。</p> <p>至於這一星期的漏洞利用消息，有1個零時差漏洞利用情形，Versa Networks旗下可簡化SASE服務的Versa Director平臺的漏洞CVE-2024-39717，美國CISA警告已獲知有主動利用的證據。</p> <p>還有5個漏洞利用要留意，包括：今年1月修補的 Jenkins CLI漏洞（CVE-2024-23897），以及前幾年多個已知漏洞，微軟Exchange Server漏洞（CVE-2021-31196），Linux Kernel漏洞（CVE-2022-0185 ），大華IP攝影機漏洞（CVE-2021-33044、CVE-2021-33045）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164553"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月19日】Google Pixel驚傳內建具有高度權限的第三方元件</span></strong></a></h3> <p>過往我們探討手機軟體供應鏈安全的事故，主要是出現在中國品牌的手機上，有人在製造過程中埋入惡意程式，導致用戶受害。但如今，類似的問題竟然出現在Google的「親兒子」Pixel系列手機。</p> <p>有資安業者透過EDR系統在客戶列管的手機當中，發現不尋常的弱點，經過調查，這些手機都被預載不安全的應用程式Showcase，攻擊者有機會藉此取得高權限，從而遠端執行程式碼、安裝惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/164586"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月20日】駭客散播可呈現仿造OS更新畫面的執行檔，背後卻是在電腦偷資料</span></strong></a></h3> <p>對於Windows使用者而言，每個月都會遇到的作業系統更新，已是相當熟悉，尤其是過程中往往必須重開機而無法使用，有駭客看上這點，製造電腦正在進行系統更新的假象，從容地從事攻擊行動，待完成後才留下勒索訊息，要脅若不依照指示付錢，將會面臨GDPR罰款。</p> <p>這項攻擊行動的特別之處在於，駭客利用1支無攻擊特徵的程式製造這種假象，導致大多數的防毒軟體都不會將其視為有害。</p> <p><a href="https://www.ithome.com.tw/news/164608"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</span></strong></a></p> <p>兩個月前臺灣資安業者戴夫寇爾揭露的PHP漏洞CVE-2024-4577，當時提到使用正體中文、簡體中文、日文語系的視窗作業系統用戶會受到影響，如今傳出實際資安事故，本週有資安公司指出臺灣有大學因為這個漏洞未修補而遭到攻擊，被駭客植入後門程式。</p> <p>值得注意的是，他們發現有多組人馬嘗試找尋下手目標的情況，這代表相關攻擊行動將會接連出現。</p> <p><a href="https://www.ithome.com.tw/news/164632"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</span></strong></a></p> <p>隨著人工智慧應用系統越來越普及，相關漏洞影響可能極為深遠，相當值得關注。本週資安業者Tenable公布Copilot Studio伺服器請求偽造（SSRF）漏洞CVE-2024-38206細節，並指出這項漏洞能影響該系統的基礎設施，攻擊者一旦利用，就有可能同時影響多個用戶。</p> <p>這項漏洞在他們通報後，微軟已進行修補，並將其列為重大風險漏洞列管。</p> <p><a href="https://www.ithome.com.tw/news/164662"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</span></strong></a></p> <p>與人工智慧互動、協作已是許多民眾日常不可或缺的部分，許多企業的應用系統也開始納入相關功能，然而一旦這類機制若是存在弱點，同樣可能成為駭客大肆利用的對象。</p> <p>最近研究人員公布協作平臺Slack的AI機器人漏洞，就是這樣的例子，攻擊者可在無須取得相關權限的情況下，得到私人頻道的內容，從而達到竊取機密的目的。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：1個</p> <p>CVE-2024-39717 ／ Versa Director漏洞</p> <p>本星期已知漏洞遭利用：5個</p> <p>CVE-2024-23897 ／ Jenkins CLI漏洞（1月24日公開，8月20日警告已遭利用）<br /> CVE-2021-31196 ／微軟Exchange Server漏洞（2021年7月14日公開，2024年8月22日警告已遭利用）<br /> CVE-2022-0185 ／ Linux Kernel漏洞（2022年2月11日公開，2024年8月23日警告已遭利用）<br /> CVE-2021-33045 ／ Dahua IP Cameral漏洞（2021年9月15日公開，2024年8月21日警告已遭利用）<br /> CVE-2022-33044 ／ Dahua IP Camera漏洞（2021年9月15日公開，2024年8月21日警告已遭利用）<br /> </p> </div></div></div>
2024/8/26 09:56作者羅正漢https://www.ithome.com.tw/news/164683
開放運算計畫正在推動綠色混凝土
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放運算計畫（Open Compute Project，OCP）基金會上周<a href="https://www.opencompute.org/blog/leading-data-center-companies-partner-with-open-compute-project-foundation-and-wje-to-trial-green-concrete" target="_blank">宣布</a>了一項新專案，目的是測試低碳排放混凝土的開發及部署，在生產及使用所謂的綠色混凝土（Green Concrete）的過程中，減少二氧化碳的排放量。</p> <p>專注於推動減少全球數位基礎設施碳排放以實現巴黎氣候協定的iMasons Climate Accord（iCA）去年曾發表一<a href="https://climateaccord.org/news/greener-concrete-for-data-centers-an-open-letter/" target="_blank">公開信</a>，呼籲業者應於資料中心使用更環保的混凝土，因為根據估計，光是混凝土就占了全球碳排放量的11%，且高達8成以上的碳足跡來自於現代建築中最常用、充當粘合劑，以及使混凝土硬化的波特蘭水泥（Portland Cement）。</p> <p>於是OCP便與美國的建築材料公司Wiss, Janney, Elstner Associates, Inc（WJE）合作，於資料中心地板上測試低碳混凝土，採用了4種不同的混凝土配方，來測試它們的碳排放及混凝土性能。WJE負責人Thomas Van Dam指出，隨著建築行業也愈來愈關注可持續性與低碳材料的使用，混凝土材料與用途正在發生變化，未來將根據不斷發展的建築材料與實踐的情況來協助企業決策。</p> <p>在此次測試的4種混凝土配方中，有3種的碳排放都低於國家基準的40%，更有一種比基準低了61%。OCP準備將這些不同配方的特性製成白皮書，包括碳排放、抗壓強度、養護方式或磨損情況等，以讓資料中心的建置者可以作為部署低碳混凝土的參考。</p> <p>開放運算計畫最初是由Facebook於2011年所設立，主要推動資料中心設計與最佳實踐的共享，迄今已吸引逾50家科技業者加入，包括微軟、Google、Amazon、IBM、Nvidia、Cisco、聯想、阿里巴巴與Arm等。</p> <p>其中，AWS可持續發展總監Chris Walker表示，混凝土中所使用的傳統水泥是碳排放的主要來源，但這類的專案顯示，某些水泥替代品可用來降低碳排放，而不會影響混凝土的結構與耐久性。光是在2023年，AWS就以低碳混凝土建造了36個資料中心，並將在整個供應鏈中努力推動低碳混凝土的採用。</p> </div></div></div>
2024/8/26 12:29作者陳曉莉https://www.ithome.com.tw/news/164688
Android惡意程式重導引NFC流量新手法竊取支付卡資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商ESET<a href="https://www.welivesecurity.com/en/eset-research/ngate-android-malware-relays-nfc-traffic-to-steal-cash/" target="_blank">發現</a>一樁竊取錢財惡意程式新手法，可透過重導引NFC通訊流量，將受害者Android手機上的支付卡資訊傳送給駭客。</p> <p>ESET研究人員發現，3家捷克銀行客戶遭到這前所未見新手法的攻擊。攻擊者使用一個名為NGate的惡意程式，將受害者的實體支付卡資料（如金融卡），由安裝NGate的Android智慧型手機利用NFC通訊，傳送給攻擊者控制的手機。攻擊者取得卡片資料後即可執行ATM交易。若這方法失敗，攻擊者還有備援計畫，可以從受害者帳戶傳到其他人的帳號。由於攻擊手法使用了NFCGate的NFC流量分析開源工具，研究人員因而將惡意程式命名為NGate。</p> <p>ESET團隊首先在2023年11月底前觀察到知名捷克銀行客戶遭到NGate的釣魚攻擊。駭客透過設立冒充銀行帳號的網站或假冒官方行動銀行App散布，傳送退稅的釣魚簡訊給知名銀行用戶，誘使用戶下載號稱能退稅的App，實則為NGate。接著，駭客又冒充知名銀行行員打電話給用戶通知帳號被駭，要求用戶前往其提供的連結重設銀行密碼。NGate趁機在用戶重設帳密過程中，竊走受害者銀行支付卡資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0826-NGate%20Android%20malware-ESET-2.png" style="width: 331px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／ESET</span></span></p> <p>NGate對Android用戶的攻擊在2024年3月因主謀被捕而終止。期間有三家捷克銀行客戶受害，研究人員共發現6隻不同的NGate App變種，但受害人數不明。所幸NGate從未在Google Play Store市集上架，減少了可能的受害者規模</p> <p>研究人員指出，NGate使用了創新Web技術PWA和WebAPK來冒充銀行網站。PWA從釣魚網站開啟時會模倣合法應用程式，只是加了個小的瀏覽器圖示。NGate開啟時，即冒充銀行網站要求用戶輸入登入帳密。WebAPK則是PWA的進階版；它是由Chrome瀏覽器自動產生，但比PWA更像原生Android App，且沒有瀏覽器圖示，更容易瞞騙用戶。</p> <p>NGate除了冒充銀行App外，還具有NFCGate的工具。後者來自德國達特茅斯理工大學學生，原始用途是蒐集、分析和變更NFC流量的程式，它會將Android裝置的NFC訊號，透過伺服器傳送到另一臺模擬Android裝置的機器。在安裝NGate程式的機器上，可以蒐集、傳送／重導引或在另一臺機器上模倣、重播截取到的資料，其中重導引功能可以在未被root（刷機）的Android裝置上執行。NGate程式濫用其中的重導引NFC流量功能，且誘使用戶輸入銀行帳號、出生日期和支付卡密碼，並要求他們啟用手機NFC傳輸功能，還要受害者將支付卡放在Android手機背面直到NGate App完成「認證」。</p> <p>而這些動作讓攻擊者取得了所有必要的資訊，而得以在其持有的Android手機上複製受害者支付（金融或信用）卡，並從ATM提出金錢或執行交易。</p> <p>因此這次攻擊讓駭客有二種方法竊取受害者錢財。如果NFC資料傳送未成功，攻擊者可以用取得釣魚網站的資訊存取受害者網銀帳戶，調高匯款上限或轉帳到其他帳戶。但一旦NFC資料傳送成功，駭客即不需連回受害者帳戶，也不會留下攻擊跡證。</p> <p>研究人員補充，NGate惡意程式還能讓惡意人士從事其他攻擊，特別是他能接近受害者裝置時，像是複製NFC標籤或支付卡，但是先決條件是目標裝置只能在刷機過，或是客製Android裝置。</p> </div></div></div>
2024/8/26 11:51作者林妍溱https://www.ithome.com.tw/news/164685
Telegram創辦人暨執行長Pavel Durov在法國被逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據法國媒體TF1的<a href="https://www.tf1info.fr/justice-faits-divers/info-tf1-lci-le-fondateur-et-pdg-de-la-messagerie-cryptee-telegram-interpelle-en-france-2316072.html" target="_blank">報導</a>，Telegram創辦人暨執行長Pavel Durov上周六（8/24）搭乘私人飛機降落在法國巴黎附近的Bourget機場時遭到逮捕，主要原因是Telegram平臺上缺乏內容管理機制，使它成為犯罪的溫床，而讓法國法官簽署了Durov的逮捕令。</p> <p>出生於俄羅斯的Durov在2006年共同創辦了社交平臺VK，再於2013年共同創辦加密傳訊服務Telegram，他因為拒絕交出用戶資料予俄羅斯政府，而在2014年被迫卸下VK執行長一職，也因拒絕與俄羅斯的安全部門合作，使得Telegram在2018年遭俄羅斯封鎖。後來的Durov同時擁有俄羅斯、阿拉伯聯合大公國及法國公民身分，並定居於杜拜，在《富比士》2024年全球富人<a href="https://www.forbes.com/billionaires/" target="_blank">排行榜</a>上，年僅39歲的Durov名列第122名，身價達155億美元。</p> <p>根據報導，法國之所以發布Durov的逮捕令是因Telegram缺乏管理機制，而讓各種犯罪活動於該平臺上暢行無阻，這令Durov可能面臨支持恐怖主義、販毒、大規模詐欺、洗錢、戀童、閃避制裁或共謀犯罪等洋洋灑灑的指控。</p> <p>事實上，有調查員認為，Telegram根本已經成為有組織犯罪的最大平臺。</p> <p>路透社<a href="https://www.reuters.com/world/europe/telegram-messaging-app-ceo-pavel-durov-arrested-france-tf1-tv-says-2024-08-24/" target="_blank">則說</a>，Telegram也是俄烏戰爭一役，未經證實之消息的主要散布管道，甚至有人將它稱為俄烏戰爭的虛擬戰場，不管是俄羅斯或烏克蘭高層都透過該平臺放話。</p> <p>同樣鼓吹言論自由的馬斯克（Elon Musk）支持外界正在蘊釀的「#FreePavel」（釋放Durov）活動，還轉推了許多同樣立場的推文，像是加拿大影片分享網站Rumble創辦人<a href="https://x.com/chrispavlovski/status/1827658235618144257" target="_blank">Chris Pavlovski說</a>，法國曾經威脅過Rumble，但現在逮捕Durov的行為則是越過了紅線，只因Durov沒有審查言論，希望Durov能夠馬上被釋放。</p> <p>此外，馬斯克也認同「Moderation is a propaganda word for censorship.」這句話，覺得任何政府或平臺所謂的管理（Moderation），都只是言論審核的另一種說法罷了。</p> <p>隨後Telegram透過X發表了<a href="https://x.com/telegram/status/1827787345367834772" target="_blank">官方聲明</a>，表示該平臺遵守歐盟的法令，包括《數位服務法》（Digital Services Act，DSA）在內，對內容的管理符合產業標準也持續改善，至於執行長Durov則無隱藏之事，並經常在歐洲出差，宣稱Telegram或其所有人應對該平臺遭到濫用而負責是荒謬的，因為全球有接近10億用戶以Telegram作為重要的資訊來源及通訊方式。</p> </div></div></div>
2024/8/26 12:04作者陳曉莉https://www.ithome.com.tw/news/164687
Google推出Google Essentials，將把自有App整合進Windows PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-play/google-essentials-windows-pcs/" target="_blank">Google公布</a>新推出的Essentials App，整合Photos、Messages等自有服務存取入口於單一App，並可同步手機和PC，透過內建到HP等合作夥伴PC，將自己的App推向Windows PC。</p> <p>Google 2022年首先<a href="https://support.google.com/googleplaygamesonpc/answer/11358888?hl=zh-Hant" target="_blank">宣布</a>將Google Play遊戲App內建到Windows PC中，最新的Essentials則是此策略的最新進展。Google說，Essentials讓用戶在設定新PC時，更容易找到並安裝Google自有服務。</p> <p>Essentials會首先內建在HP Windows消費者及遊戲機種，包括Spectre、Envy、Pavilion、OMEN、Victus和HP品牌，不久後又會推向所有OmniBook品牌。這些PC用戶可以從開始選單啟用Essentials，輕易在手機和筆電之間切換。</p> <p>利用Google Essentials，用戶可存取Google服務，像是存取Photos中的相簿，或是Google Messages的文字訊息。Google沒有說明完整的清單，不過Google示意圖顯示，包含Photos、Sheets、Drives、Nearby Share、與Google One（包含新用戶二個月免費服務）。</p> <p>另外，Essentials也允許跨平臺同步應用程式內容。例如在遊戲PC上，從Google Essentials或HP OMEN Gaming Hub App，用戶可直接存取Play Games上的數千款PC和手機遊戲。只要登入Google Play Games帳號，即在Android及Windows PC裝置上同步數款遊戲進度或積分。</p> <p>透過Essentials，Google顯然希望能把過去只能在桌機瀏覽器執行的服務搬到桌機上。不過Google表示用戶也可以自由移除Essentials。Google說，未來幾個月內會積極將Essentials推向更多筆電和桌機系列。</p> </div></div></div>
2024/8/26 10:11作者林妍溱https://www.ithome.com.tw/news/164682
臺灣駭客年會邁入20年，不只點燃駭客精神，半導體封裝測試大廠日月光也加入資安社群行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣駭客年會（HITCON）社群場於8月23、24日連續兩日舉行，現場重頭戲不僅包括多場技術資安議程，還帶來一系列資安相關活動與挑戰，吸引近千名對資安有興趣的研究人員與學生參與。特別的是，今年已是HITCON第20周年，象徵著該活動在臺灣資安社群中的深厚歷史與影響力。</p> <p>綜觀這20年的發展，台灣駭客協會理事長翁浩正於今年活動開場時指出，現在的資安環境與早期相比，有著顯著不同。</p> <p>例如，現在這幾年HITCON已經達到千人規模，而當時HITCON就像是一個30、40人的技術同好會。</p> <p>不止是國內HITCON社群人數的變化，回顧20年前，資安的重要性鮮少受到關注，如今無人質疑其關鍵性，現在更值得討論的是，我們該如何進一步提升並做得更好。</p> <p>畢竟，全世界在這20年間不斷在改變，不只是技術在改變，資安事件、駭客組織、APT組織也都全部在演變，像是雲端、生成式AI，還有網路戰爭等，這或許是20年前我們完全想像不到的未來，因此，我們需要不斷探索科技的變化，找出資安議題與駭客議題。</p> <p>翁浩正強調，HITCON不再是少數技術同好交流的一個場合，而是產官學研與國際夥伴們一起討論與參與，不僅活絡臺灣資安社群發展，也讓臺灣的資安能夠變得更好。</p> <p>事實上，現在HITCON系列活動是越來越多元，例如，這兩日舉辦的活動就是針對駭客技術的社群場，聚焦研究人員與學生在技術上的交流與成長。之後10月，還有針對企業防禦實務技術及資安管理的企業場，以及CTF競賽、Cyber Range 2024企業藍隊競賽，還有CISO Summit資安長高峰會等。</p> <h2><strong>豐富大會活動激勵駭客挑戰精神</strong>，<strong>電路板識別證與遊戲程序錯誤吸睛</strong></h2> <p>今年HITCON社群場中，在多項最新技術分享的議程之外，各種豐富的大會活動也是一直以來的重點，是促進國內資安社群、新血交流與學習的重要平臺。</p> <p>例如，一系列針對資安入門到初階課程的Hacking 101，以及激發大家對韌體挑戰熱情的電路板識別證（PCB Badge），還有社群、Village與業者設計的各式小活動等，促進彼此間的學習與交流。</p> <p>本屆HITCON 2024社群場總召游毓堂（阿特）表示，今年Hacking 101課程相當熱門，參與會眾相當踴躍，因為課程中可以手把手帶大家認識攻擊與防範，這次規畫了3種主題，涵蓋面向包括去中心化方面的DeFi Expolit、AD CS安全，以及藍隊綜合培訓惡意程式偵測技術。</p> <p>在激發駭客精神方面，有兩大亮點受到我們關注，一是20周年紀念版的PCB Badge（電路板識別證）的主要挑戰活動，另一是有關薩爾達傳說（The Legend of Zelda）遊戲程序錯誤的演說議程。</p> <p>以今年的PCB識別證而言，這款Badge不僅具備獨特的設計，內含LED跑馬燈顯示、紅外線、PIN腳、跨版溝通等多種功能，不僅讓會眾可以自行編輯名字，並內建多種小遊戲，包括貪食蛇、小恐龍、俄羅斯方塊，可以在大會活動兩天內累積分數並獲得大會獎勵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3As）HITCON 2024 CMT社群場_Badge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963As%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Badge.jpg" style="width: 600px;" /></a></p> <p>特別的是，可以累積Badge分數的方式有很多種。大會總召游毓堂表示，這款Badge設計了紅外線（IR）的收發器，一旦靠近熱點就會加分，尤其在靠近一些攤位或講師時，分數就會增長比較快；而在Badge上提供的小遊戲，更是需要大家找出計分規則，像是可以與電腦相連接以分析PCB版韌體，找出計分規則，甚至玩出沒有想過的方法，激發更多想像力。</p> <p>而且，今年的Badge還有一個全新設計，能夠兩兩對接方式進行對戰，甚至直接傳送分數給對方。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3Bs）HITCON 2024 CMT社群場_Badge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963Bs%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Badge.jpg" style="width: 600px;" /></a></p> <p>以遊戲程序錯誤挖掘而言，雖然這不是典型的資安議題，但卻與駭客精神一致。</p> <p>這是由一位知名遊戲程序錯誤（Glitch）的兼職型YT創作者YUDA所分享，他在演說中介紹了遊戲世界中除了正規玩法、Speed Run，還有挖掘Glitch、Bug的領域。</p> <p>他分享了在任天堂Switch遊戲《薩爾達傳說：曠野之息》與《薩爾達傳說：王國之淚》中挖掘程序錯誤的經驗，同時介紹這方面的研究社群，是如何一步步探索出新的成果，並闡釋從意外發現、刻意發現、邏輯確認的「逆向思考」反推方法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6s）HITCON 2024 CMT社群場_程序錯誤.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966s%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_%E7%A8%8B%E5%BA%8F%E9%8C%AF%E8%AA%A4.jpg" style="width: 600px;" /></a></p> <h3><strong>不只是AI，半導體資安人才需求、Car Hacking成現場新焦點</strong></h3> <p>本場活動還有哪些全新焦點？在社群、Village與廠商攤位上，我們有3大發現，涵蓋AI資安、半導體資安人才需求、Car Hacking。</p> <p>首先，AI無疑是這幾年的重要焦點，大會上不僅有4場是與AI、資安相關的演說，現場也有一些攤位活動聚焦於此。例如：一款名為「新手Prompt之助」的遊戲」，是由中華資安國際開發，讓會眾掃描QRCode後可以開啟一個網頁與聊天機器人對話，目標是套出其所保護的神秘金鑰，遊戲共分為6個等級。</p> <p>還有一款UCCU AI Challeng的遊戲，是由資安社群UCCU Hacker開發，這遊戲不僅有探索安全防護機制的Prompt Injection挑戰，還有考驗要設計可防禦Prompt Injection的挑戰，並會有難度等級讓參與會眾可以循序挑戰。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5s）HITCON 2024 CMT社群場_AI.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_AI.jpg" style="width: 600px;" /></a></p> <p>半導體之所以是一大焦點，這是因為我們難得在HITCON社群現場，看到有半導體業者設攤並提供現場遊戲活動。</p> <p>這家業者就是在半導體封測領域相當知名的「日月光半導體」（ASE Global），他們資安團隊設計了一個SOC事件調查的情境解題遊戲，讓會眾可在現場檢視SSLVPN、Server、防火牆這3個儀表版，並給出5個問題讓玩家一一回答，包括攻擊者從那個IP位址登入指定一臺主機等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962As%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_ASE.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2Bs）HITCON 2024 CMT社群場__ASE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962Bs%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4__ASE.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖2Cs）HITCON 2024 CMT社群場_ASE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962Cs%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_ASE.jpg" style="width: 295px;" /></a></p> <p>根據該公司資安團隊現場人員的說明，在資安人才培訓上，除了採用市場上的方案，他們本身也打算自行設計一套平臺，協助內部人員的資安培訓。因此剛好藉由HITCON社群活動，正式啟動這項計畫，而這次設計的小遊戲只能算是雛形，並將內容更為簡化，像是Log數量控制在1,000筆之內等，以適合現場的解題。</p> <p>事實上，這次日月光半導體的參與，也引起了現場眾多與會者的關注。可以想見的是，此舉展現了企業方對資安人才的需求，而且還是相當知名的半導體業者，突顯出資安專業對企業的重要性，不亞於普遍資安業者。</p> <p>另一個Car Haking活動也相當特別，因為這個領域的Village活動在國外已發展一陣子，近年此風潮才吹向臺灣。如今HITCON也增加這方面的元素，邀請海外的Car Hacking Village，現場展示了車用資訊娛樂裝置，以及針對車用系統的小工具，透過一些獨特的實作讓大家了解Car Haking的不同之處。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1As）HITCON 2024 CMT社群場_Car Hacking.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961As%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Car%20Hacking.jpg" style="width: 290px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖1Bs）HITCON 2024 CMT社群場_Car Hacking.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961Bs%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Car%20Hacking.jpg" style="width: 297px;" /></a></p> <h3><strong>在多項最新技術議程中，Confusion Attacks攻擊面揭露成焦點</strong></h3> <p>至於每年ITCON社群場的分場演講，一直是許多資安技術熟手獲取新知的重要管道，當中最受矚目的就是戴夫寇爾首席資安研究人員蔡政達（Orange Tsai）的演說，這是因為，每年他都有重大研究成果揭露，並受到國際資安研究人員的重視。</p> <p>這次他分享了最近8月黑帽大會期間首度公開的成果，並且是首次現場中文演說，剖析他發現新攻擊面的經過與思維，讓大家去思考這樣全新的利用方法。</p> <p>簡單來說，他闡釋了關於Apache HTTP Server方面的研究，公開了Confusion Attacks的新攻擊面，統整出3種手法，包括：Filename Confusion、DocumentRoot Confusion，以及Handler Confusion，並且發現與通報了9個漏洞。</p> <p>他指出，Apache HTTP Server的發展近30年之久，其實比現場7成與會者都還要年老，因此累積了非常多的技術債，而且整個網頁伺服器是由數百個小模組結合而成，因此當中存在不同的設定語法，若是不了解每個設定的意圖，很容易因為設定失誤而造成安全風險。以Filename Confusion手法為例，如果有兩個模組對同一個欄位有著理解上的不一致，就會造成安全上的風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4s）HITCON 2024 CMT社群場_Orange.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89HITCON%202024%20CMT%E7%A4%BE%E7%BE%A4%E5%A0%B4_Orange.jpg" style="width: 600px;" /></a></p> <p>不只是上述這項演說內容，今年HITCON社群場議程所涵蓋的資安議題，也是相當豐富，涵蓋了事件應變、雲端安全、零信任、企業紅隊演練、區塊鏈、隱私與資安治理等多元面向，還有多個零時差漏洞的解析，並有多場是來自日本與美國的專家演說。特別的是，今年大會同時提供中文、日文與英文的現場翻譯，展現國際化的特性。</p> <p>最後，隨著HITCON第20周年的發展，回顧與傳承也成為今年的一大特點。在回顧方面，現場議程不僅有國際級的資深研究人員，闡述這30年、25年的資安態勢演變，大會游毓堂（阿特）表示，活動上也有HITCON 20年紀念的博物館，以及回顧並復刻往年HITCON CTF的經典題目；在傳承方面，台灣駭客協會理事長翁浩正特別提到，20年前他是這裡的參與者，20年後他依然在資安產業裡面，如今他也感謝這幾年的社群夥伴們，可以承接HITCON的火炬，繼續往下傳承。</p> </div></div></div>
2024/8/24 22:47作者羅正漢https://www.ithome.com.tw/news/164681
提升CPU與GPU的LLM效能，英特爾OpenVINO推年度第三版
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/openvino_2024.3-web-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>談到在英特爾運算平臺開發AI推論加速應用程式，<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/opening-doors-to-computer-vision-deep-learning-for-developers.html">2018年登場的OpenVINO toolkit</a>，經過長期的發展，這套全名為Open Visual Inference & Neural Network Optimization的軟體套件，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2018-05-openvino-toolkit-779358.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2018-05-openvino-toolkit-779358.jpg" style="width: 500px;" /></a></p> <p>如今已然成為最能廣泛涵蓋該公司AI加速運算環境的開發工具，支援CPU、GPU、GPU，因應深度學習應用的多種領域，像是電腦視覺、大型語言模型、生成式AI，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-openvino-overview-diagram-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-openvino-overview-diagram-web.jpg" style="width: 600px;" /></a> </p> <p>7月底英特爾釋出最新版2024.3，而在8月底對臺灣媒體舉行的英特爾商用AI PC平台與應用說明會，他們也特別對此進行介紹。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO-2024-08-TW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO-2024-08-TW.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20toolkit%202024_3-TW1.png" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20Running%20Inference%20with%20OpenVINO.png" style="width: 600px;" /></p> <p>這一版OpenVINO改良大型語言模型的處理效能，並擴展AI模型涵蓋的範圍，也針對網路邊緣、雲端服務、本機的部署，強化可移植至這些環境執行的能力與處理效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO Model Optimization.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20Model%20Optimization.png" style="width: 600px;" /></a></p> <p>以AI模型而言，OpenVINO提供的預先調校模型，已經在全球最大的AI開發資源共享社群平臺<a href="https://huggingface.co/OpenVINO">Hugging Face上架</a>，開發者能夠更容易著手使用，目前可在此存取與執行多達114種模型，像是<a href="https://www.ithome.com.tw/tags/phi-3">Phi-3</a>、<a href="https://www.ithome.com.tw/tags/mistral-ai">Mistral</a>、 Mixtral、LCM Dreamshaper、StarCoder2。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO Hugging Face1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20Hugging%20Face1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO Hugging Face2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20Hugging%20Face2.png" style="width: 600px;" /></a></p> <p>關於處理最佳化，OpenVINO目前已針對Intel獨立GPU加速卡或加速晶片，顯著改善大型語言模型與其他模型的執行效能，因為當中增加多重注意力（Multi-Head Attention，MHA）的機制。在此同時，英特爾也加強Intel oneAPI Deep Neural Network Library的運作性能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO MHA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20MHA.jpg" style="width: 600px;" /></a></p> <p>根據英特爾的內部測試結果指出，若在同樣搭配Intel Arc獨立GPU的系統，以OpenVINO今年釋出的第一個版本2024.1為基準，新出爐的2024.3版搭配多種生成式AI模型使用時，第1個詞元處理延遲改善幅度介於1.9至6.8倍之間，<a href="https://edc.intel.com/content/www/us/en/products/performance/benchmarks/mobile_1/">第2個詞元的吞吐量效能可增長2至2.9倍</a>，而這些改良主要源於MHA與OneDNN的強化。</p> <p>至於搭配其他AI模型，如Stable Diffusion、Whisper，OpenVINO 2024.3效能也提升至1.1至1.6倍，可縮短影片生成所需的時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO toolkit 2024_3-TW2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20toolkit%202024_3-TW2.jpg" style="width: 600px;" /></a></p> <p><a href="https://edc.intel.com/content/www/us/en/products/performance/benchmarks/mobile_1/"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20GPU%20Performance%20Index-OpenVINO%202024_3.jpg" style="width: 600px;" /></a></p> <p>第三個英特爾強調的特點與部署層面有關，OpenVINO 2024.3針對以CPU處理大型語言模型的作業，由於OpenVINO Model Server（OVMS）內建開放原始碼的AI推論程式庫vLLM，可簡化模型推理的過程，以及提供模型的連續批次處理，而能提升CPU進行這類工作的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-OpenVINO-ovms_diagram.jpg" style="width: 398px;" /> <a href="https://s4.itho.me/sites/default/files/images/2024-OpenVINO ovms_high_level.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-OpenVINO%20ovms_high_level.jpg" style="width: 198px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>OpenVINO toolkit 2024.3</strong><br /> ●原廠：英特爾<br /> ●建議售價：免費<br /> ●支援作業系統：Windows 10與11、Linux（RHEL8，Ubuntu 20.04、22.04、24.04）、macOS 12.6<br /> ●套件安裝方式：壓縮檔、PyPI、APT、YUM、ZYPPER、Conda Forge、vcpkg、Homebrew、Conan、Docker、NPM<br /> ●軟體開發元件需求：Python 3.8至3.11、CMake 3.13、GCC 7.5，Visual Studio 2019（Windows環境）、Xcode 10.3（macOS環境）<br /> ●支援硬體：<br /> CPU：x86伺服器（1到5代Xeon Scalable、Xeon 6）、x86嵌入式系統（Atom X、Atom支援SSE 4.2），x86個人電腦（6到14代Core、Core Ultra、Pentium N4200/N3350/N3450），Arm（v7-A、Arm64-v8a、Apple silicon）<br /> GPU：Intel Graphics（HD、UHD、Iris Pro、Iris Xe、Iris Xe Max）、Intel Arc GPU、Intel Data Center GPU Flex系列、Intel Data Center GPU Max系列<br /> NPU：Intel NPU（Core Ultra內建）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/23 18:31作者李宗翰https://www.ithome.com.tw/review/164649
Google揭露3大醫療AI專案進展，聯手長庚醫院打造的超音波乳癌偵測AI也在內
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前（8/20），Google在全球AI Now智慧醫療媒體會中分享3大醫療AI專案進展，包括與臺灣長庚醫院聯手打造的乳癌超音波偵測AI、聽咳嗽和呼吸聲判斷肺結核風險的HeAR，以及與澳洲電子耳公司Cochlear一起開發的助聽裝置增強AI等。</p> <p><span style="font-size:22px;"><strong>與長庚醫院聯手開發乳癌超音波偵測AI</strong></span></p> <p>Google健康技術專案總經理Preeti Singh指出，乳癌是世界上最常見的癌症之一，早期篩檢至關重要。其中，乳房攝影是早期檢測方法的黃金標準，但在許多國家，這種檢查成本高昂，且對乳房組織密度較高、年輕的女性來說，效果未必好，而這樣的人群在亞洲尤為普遍。因此，普及性更高的乳房超音波，成為另一種替代方案。</p> <p>於是2023年，<a href="https://blog.google/technology/health/how-ai-is-helping-advance-womens-health-around-the-world/">Google與臺灣長庚醫院展開研究</a>，以去識別化的乳房超音波影像（包括高成本超音波設備和低成本手持式超音波設備產生的影像）以及生物標記等資料，來訓練早期乳癌偵測AI模型。Preeti Singh表示，初期研究成果還不錯，Google未來計畫將AI偵測分析納入檢查流程中，還要擴大應用情境至資源不足地區，尤其是需要手持式超音波設備、高風險族群的地區。</p> <p>她也透露，因臺灣具有乳房組織密度高的代表性人群，是這項計畫的目標族群，因此Google將以臺灣為出發點，先實行這套AI，之後再擴展至全球其他地方。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-23%20152717.png" /></p> <p><span style="font-size:22px;"><strong>自建基礎模型HeAR，可聽咳嗽和呼吸聲辨別肺結核風險</strong></span></p> <p>另一項醫療AI專案名為<a href="https://blog.google/technology/health/ai-model-cough-disease-detection/">HeAR</a>（Health Acoustic Representations ）。Google健康總監暨工程部主任Shravya Shetty表示， HeAR是一款經過3億個音訊檔案訓練而成的AI基礎模型，在今年初發表，可根據人體聲音特徵來判斷疾病風險。官方部落格還指出，與其他同類型AI模型相比，HeAR可以用更少的資料量，達到同等或更好的表現，有助於在醫療界的應用發展。</p> <p>Google也用了1億個咳嗽聲音檔案來訓練HeAR，可用來辨識早期肺結核風險。Shravya Shetty指出，使用者對著手機咳嗽，HeAR也能準確判斷。該模型已開放API來供研究人員使用，Google也與一家印度呼吸道醫療照護公司Swaasa合作，要改善他們的生物聲學AI模型。</p> <p>Shravya Shetty也說，Google也正與其他機構合作，要來提高HeAR準確率，並發展出更多疾病的辨識能力。</p> <p><span style="font-size:22px;"><strong>以AI強化聽力輔助工具，要提供更清晰自然的聆聽體驗</strong></span></p> <p>另一個Google醫療AI專案則是「<a href="https://blog.google/intl/en-au/company-news/technology/ai-hearing-initiative/">澳洲未來聽力倡議</a> 」，該倡議去年展開，由Google與澳洲人工電子耳公司Cochlear、澳洲國家聲學實驗室等機構聯手，要透過AI分辨、分離各種聲源，在嘈雜環境中降低雜音，來打造更貼近使用者需求的助聽裝置。</p> <p>Cochlear總監Zachary Smith表示，一般聽力輔助器可分為兩種，一是助聽器，可用來放大、增強進入耳朵的聲音，另一種是人工電子耳，針對聽力損失嚴重的患者，透過繞過耳朵受損之處、直接將聲音訊號傳送至聽力神經。這些助聽裝置，延伸出2種AI研究專案，一是利用深度學習來讓傳入耳中的聲音貼近自然，二是用AI簡化雞尾酒派對效應問題（即在吵雜聚會中，集中聽某一人的聲音而忽略背景對話和噪音）。</p> <p>在第一個專案，團隊先建置2種模型（如下圖），一是聽力受損的AI模型，另一是聽力正常的模型，並讓2種模型接收測試音訊，接著比對它們對測試音訊產生的聽力訊號，再利用訊號差異來訓練機器學習助聽器。這個機器學習助聽器會搭配聽力受損的AI模型，若其產出的聽力訊號與正常聽力AI模型一樣，就代表訓練完成了。團隊希望透過這種方式，來讓助聽器和人工電子兒使用者聽到的聲音更自然，Zachary Smith表示，目前模型已經完成訓練，接下來將展開人體實驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-23%20165823.png" /></p> <p>至於第二個專案，他們研究發現，透過麥克風方向設定，已能完全強化主要音、去除背景雜音，接下來是要做到，麥克風在任何方向依然能保留主要音、降低其他噪音。</p> <p></p> </div></div></div>
2024/8/23 17:33作者王若樸https://www.ithome.com.tw/news/164673
MyData平臺累積資料下載次數達183萬次，數位部正與地方政府聯手改善服務體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MyData個人資料自主平臺從2021年上線至今，營運已超過3年，根據官方統計，透過該平臺累積資料下載次數達183萬次。為了加速帶動數位政府服務發展，數位部正與地方政府合作，讓第一線的對民服務能透過MyData平臺，來改善地方政府服務體驗。</p> <p>MyData平臺的概念為推動個人資料的自主運用，民眾可通過多元身分識別驗證個人身分後，可自行下載政府機關的個人資料，例如戶役政、財稅、護照、入出境資料、勞保等，或是將這些資料授權予其他政府機關、國營事業、金融業者，申請政府服務、民生服務、金融服務。</p> <p>根據數位部統計，目前MyData平臺已介接83個機關，136項個人資料，累積已有43萬次服務使用次數，183萬次的資料下載，近期MyData平臺也更新官網的UI、UX設計，依照使用情境畫分為，找個人文件、找服務，其中找文件可讓使用者自政府機關下載個人資料，找服務可線上或臨櫃授權政府機關或金融機構取得個人資料。</p> <p>在服務型智慧政府2.0推動之下，數位部與地方政府合作，推動以資料為核心的數位政府服務，其中就利用MyData個人資料自主平臺，來優化地方政府對民服務體驗。他們從民眾申請服務角度，規畫9大服務主題，涵蓋生活補助、長青福利、教育學習、弱勢關懷、家庭等等，和地方政府合作，協助民眾向地方政府申請服務，如何運用MyData簡化申請資料的過程，以優化服務流程。</p> <p>數位部表示，地方政府為對民眾提供服務的第一線，MyData如同打通地方政府服務民眾資料取得的任督二脈，改善地方政府的臨櫃服務體驗，或讓地方政府服務加速向線上化發展。透過9大類服務主題，不同地方政府可以相互激勵、交流，提升地方服務的使用體驗。</p> <p>目前結合MyData改善地方服務已有一些成果，例如身心障礙者向嘉義縣政府申請專用停車識別證，負責代辦的親人可在多人授權下，經由MyData一次取得多人所需資料；另外，民眾申請良民證，現在能夠利用MyData線上申請、繳費，不再需要臨櫃辦理。</p> <p>另外，南投縣、彰化縣、屏東縣也提供一站式的線上服務，民眾可利用MyData平臺自主授權文件資料，線上申請社會住宅、學生獎助獎金、長者津貼、幼兒園登記報到等等。</p> <p>負責MyData平臺管理及推動數位政府轉型，數位部正以MyData 的民眾個人資料自主運用，聯合地方政府推動政府數位服務改造。</p> </div></div></div>
2024/8/23 17:38作者蘇文彬https://www.ithome.com.tw/news/164667
【資安日報】8月23日，協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與人工智慧互動、協作已是許多民眾日常不可或缺的部分，許多企業的應用系統也開始納入相關功能，然而一旦這類機制若是存在弱點，同樣可能成為駭客大肆利用的對象。</p> <p>最近研究人員公布協作平臺Slack的AI機器人漏洞，就是這樣的例子，攻擊者可在無須取得相關權限的情況下，得到私人頻道的內容，從而達到竊取機密的目的。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164654"><strong style="font-size: 22px;">中國駭客Velvet Ant濫用思科交換器零時差漏洞，目的是隱匿攻擊蹤跡</strong></a></p> <p>上個月思科公布網路設備作業系統NX-OS的零時差漏洞CVE-2024-20399，此為命令注入漏洞，攻擊者可在通過身分驗證的情況下，在本機以root的權限，於目標裝置的底層作業系統執行任意命令，早在4月，就接到其他廠商通報出現漏洞濫用攻擊，最近這家資安公司的研究人員公布利用漏洞的攻擊行動細節，並指出駭客得逞後，會在交換器部署後門程式VelvetShell。</p> <p>Sygnia是在今年初看到這些駭客利用漏洞破壞、控制思科交換器設備，而能在受害企業以近乎隱形的方式從事活動。由於這項漏洞能讓可存取主控臺的管理者逃脫NX-OS的命令列介面（CLI），並在底層的Linux作業系統執行命令，這些駭客一旦成功利用漏洞，就會部署名為VelvetShell的惡意軟體，駭客以公開的後門程式Tiny Shell及代理伺服器程式3Proxy打造而成，具備執行命令的功能，並讓駭客能上傳或下載檔案，還能透過代理伺服器機制建立網路隧道，進而隱匿攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/164651"><strong style="font-size: 22px;">資安研究人員示警FakeBat惡意軟體活躍度升高，探測受害電腦環境散布竊資軟體</strong></a></p> <p>資安研究人員近期發現，透過惡意廣告傳播的惡意軟體FakeBat（NUMOZYLOD），在全球活躍度不斷上升，導致感染案例增加，企業資安人員應該提高警覺。FakeBat在2023年被Mandiant發現，是一種具有威脅的新興惡意軟體。</p> <p>隨著網路攻擊手法不斷演進，FakeBat已成為無法忽視的惡意軟體。FakeBat具有多樣化攻擊方式和高隱蔽性的特性，使其能繞過傳統的安全防護措施，對企業資料產生安全風險。FakeBat入侵的第一步，通常是從被植入木馬的MSIX安裝程式開始，代號UNC4536的惡意攻擊團體，會將MSIX檔案偽裝成受害者常用的軟體，諸如Brave、KeePass、Zoom和Notion等，並將其託管於偽裝合法的惡意網站上。</p> <p>惡意安裝程式會利用MSIX的PSF（Package Support Framework）來執行惡意腳本，這些腳本在應用程式啟動前後執行，進而將FakeBat下載到被害者的電腦。這種方式讓FakeBat能夠隱藏在看似無害的軟體安裝過程，並在使用者不知情的情況進行惡意活動。</p> <p><a href="https://www.ithome.com.tw/news/164657"><strong style="font-size: 22px;">中國對臺認知作戰升級，盜取飛官、航空公司員工的社群網站帳號抵毀國軍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dc8f86fd975e4c63a33f9120050644f2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dc8f86fd975e4c63a33f9120050644f2.png" style="width: 300px; float: right;" /></a></p> <p>今年5月總統賴清德走馬上任不久，23日有名自稱已服役14年的飛官表明決定退伍，不想再賭5年，要將時間留個家人，隔日有另一名飛行員向總統陳情，並指出隊上10個人就有9個想要離開，由於這兩篇Dcard文章都是匿名發文，時間又發生在總統就職之後，引發外界猜測文章的真實性，6月初台灣事實查核中心指出這些貼文的諸多疑點，例如根據發文者帳號的學校資訊，空軍查無此人，也沒有飛官選擇在服役13年賠錢提前退伍。但在這段期間，除了空軍出面澄清這些文章都是不實訊息，政府並未出面進一步說明。</p> <p>事隔3個月，本週調查局發布公告，證實這是境外勢力對臺灣認知作戰，並警告這次手法出現重大變化，駭客先是入侵臺灣網路設備，從而竊得社群網站帳號，然後用來散布不實訊息詆毀國軍，再由駭客控制的中國臉書粉絲專頁、人頭帳號轉載，企圖重創國軍士氣，並嚴重危害國家安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://udn.com/news/story/7240/8179051"><strong style="font-size: 20px;">PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-ngate-android-malware-uses-nfc-chip-to-steal-credit-card-data/">安卓惡意軟體NGate濫用NFC晶片竊取信用卡資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2024/08/22/qilin-ransomware-caught-stealing-credentials-stored-in-google-chrome/">勒索軟體Qilin改變攻擊標的，竊取Chrome帳密資料</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164648"><strong style="font-size: 22px;">協作平臺Slack遭揭露AI功能有漏洞，可能導致私人頻道機密資料外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a9415aef-9515-42c6-836a-546644026830_1600x630.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a9415aef-9515-42c6-836a-546644026830_1600x630.jpg" style="width: 300px; float: right;" /></a></p> <p>過往已有數起資料外洩事故駭客鎖定企業組織的協作平臺Slack下手而得逞，攻擊者往往藉由社交工程手段，成功存取機密內容，但如今有研究人員發現，該系統後來加入的人工智慧系統存在漏洞，恐加劇相關威脅，因為攻擊者在不需得到相關權限的情況下，可藉此竊取機密資料。</p> <p>資安業者PromptArmor指出，提供使用者透過自然語言查詢Slack訊息的AI功能存在缺陷，使得攻擊者有機會透過操縱用來生成內容的語言模型，竊取使用者輸入私人頻道的任意內容。</p> <p>針對這項問題的核心，該資安業者表示此為間接提示注入（Indirect Prompt Injection）弱點，原因是對於開發人員產生的系統提示，以及查詢的內容，大型語言模型（LLM）無法正確區分，一旦Slack的AI機器人透過查詢的訊息取得惡意指令，很有可能會認為惡意指令才是必須處理的內容，但不一定會處理使用者的查詢。</p> <p><a href="https://www.ithome.com.tw/news/164652"><strong style="font-size: 22px;">SolarWinds發布服務臺系統WHD更新，修補寫死密碼漏洞</strong></a></p> <p>本週SolarWinds針對服務臺系統Web Help Desk（WHD）發布資安公告，指出該系統存在寫死帳密漏洞CVE-2024-28987，未經身分驗證的攻擊者有機會遠端存取內部功能或是竄改資料，CVSS風險評分為9.1，該公司發布12.8.3 HF2版予以修補。</p> <p>值得留意的是，IT人員若要套用修補程式，必須將服務臺系統更新至12.8.3.1813或12.8.3 HF1版，才能部署。</p> <p>而這已是本月SolarWinds二度對WHD發布資安公告，一週前他們修補另一項遠端程式碼執行漏洞CVE-2024-28986，CVSS風險評分為9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.armosec.io/blog/cve-2024-7646-ingress-nginx-annotation-validation-bypass/">K8s外部存取控制器Ingress-nginx存在身分驗證繞過漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://spring.io/security/cve-2024-38810">應用程式存取控制框架Spring Security存在漏洞，恐導致未經授權存取</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://hitcon.org/2024/CMT/agenda/"><strong style="font-size: 22px;">HITCON Community 2024在今明兩天舉行</strong></a></p> <p>台灣駭客年會社群場HITCON Community 2024這兩天於中央研究院人文社會科學館舉辦，今年將以20 Years Of HITCON：Mind Meld Hacker Spirit From Human To AI為主題，探討技術本質與駭客攻擊手法及思維，並安排超過50個首度公開的零時差漏洞研究議程，其中逾半數為國外講者，突顯這項會議已走向國際化。</p> <p>值得一提的是，本次適逢台灣駭客年會成立20週年，與會者可見證這個世界級資安研究重要會議的發展，以及智慧型裝置、雲端運算、網路戰爭的出現，大會也強調駭客精神的本質及初衷始終不變，將會引領社群持續前進。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164632"><strong>【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164608"><strong>【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164586"><strong>【8月20日】駭客散播可呈現仿造OS更新畫面的執行檔，背後卻是在電腦偷資料</strong></a></p> </div></div></div>
2024/8/23 15:33作者周峻佑https://www.ithome.com.tw/news/164662
中國駭客Velvet Ant濫用思科交換器零時差漏洞，目的是隱匿攻擊蹤跡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月<a href="https://www.ithome.com.tw/news/163736">思科公布網路設備作業系統NX-OS的零時差漏洞CVE-2024-20399</a>，此為命令列介面（CLI）的命令注入漏洞，攻擊者可在通過身分驗證的情況下，在本機以root的權限，於目標裝置的底層作業系統執行任意命令，早在4月，就接到其他廠商通報出現漏洞濫用攻擊，最近這家資安公司的研究人員公布利用漏洞的攻擊行動細節，並指出駭客得逞後，會在交換器部署後門程式VelvetShell。</p> <p>Sygnia是在<a href="https://www.sygnia.co/blog/china-threat-group-velvet-ant-cisco-zero-day/">今年初看到這些駭客利用漏洞破壞、控制思科交換器設備</a>，而能在受害企業以近乎隱形的方式從事活動。由於這項漏洞能讓可存取主控臺的管理者逃脫NX-OS的命令列介面（CLI），並在底層的Linux作業系統執行命令，這些駭客一旦成功利用漏洞，就會部署名為VelvetShell的惡意軟體，駭客以公開的後門程式Tiny Shell及代理伺服器程式3Proxy打造而成，具備執行命令的功能，並讓駭客能上傳或下載檔案，還能透過代理伺服器機制建立網路隧道，進而隱匿攻擊行動。</p> <p>在執行惡意程式之前，駭客先複製curl執行檔並重新命名為ufdm，然後透過LD_PRELOAD環境變數用於載入ufdm.so，並將相關程式碼注入特定處理程序，這麼做的目的，其實是要將惡意程式的執行，偽裝成思科交換器的處理程序。</p> <p>接著，這些駭客下達ps及netstat命令，檢查正在運作的處理程序及網路連線，藉此控制惡意軟體執行的流程。最後駭客在作案完成後，刪除了ufdm及ufdm.so，企圖抹除作案痕跡。</p> <p>對於這項零時差漏洞攻擊的發現，研究人員指出，他們長期觀察Velvet Ant的活動，這些駭客先是針對一般Windows工作站電腦及伺服器下手，後來鎖定執行舊版作業系統的設備，使得受害組織難以察覺他們的蹤跡。接著，這些駭客進一步利用F5負載平衡設備維持活動，如今則是將思科交換器設備當作活動據點。這一連串的變化，突顯駭客組織的手法出現轉變，偏好從網路設備尋求未知漏洞，從而占據設備做為進出受害組織的主要管道。</p> </div></div></div>
2024/8/23 13:33作者周峻佑https://www.ithome.com.tw/news/164654
中國對臺認知作戰升級，盜取飛官、航空公司員工的社群網站帳號抵毀國軍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月總統賴清德走馬上任不久，<a href="https://www.dcard.tw/f/mood/p/255637559">23日有名自稱已服役14年的飛官表明決定退伍</a>，不想再賭5年，要將時間留個家人，隔日有<a href="https://www.dcard.tw/f/talk/p/255644734">另一名飛行員向總統陳情</a>，並指出隊上10個人就有9個想要離開，由於這兩篇Dcard文章都是匿名發文，時間又發生在總統就職之後，引發外界猜測文章的真實性，6月初台灣事實查核中心<a href="https://tfc-taiwan.org.tw/articles/10694">指出這些貼文的諸多疑點</a>，例如根據發文者帳號的學校資訊，空軍查無此人，也沒有飛官選擇在服役13年賠錢提前退伍。但在這段期間，除了<a href="http://www.mnd.gov.tw/Publish.aspx?p=83014&title=%e5%9c%8b%e9%98%b2%e6%b6%88%e6%81%af&SelectStyle=%e6%96%b0%e8%81%9e%e7%a8%bf">空軍出面澄清這些文章都是不實訊息</a>，政府並未出面進一步說明。</p> <p>事隔3個月，<a href="http://www.mjib.gov.tw/news/Details/1/1026">本週調查局證實</a>這是境外勢力對臺灣認知作戰，並警告這次手法出現重大變化，駭客先是入侵臺灣網路設備，從而竊得社群網站帳號，然後用來散布不實訊息詆毀國軍，再由駭客控制的中國臉書粉絲專頁、人頭帳號轉載，企圖重創國軍士氣，並嚴重危害國家安全。</p> <p>針對這波攻擊行動，調查局先是發現有人使用假冒臺灣飛官的Dcard帳號，以匿名的方式聲稱要為了多陪伴家人，打算不再從軍，選擇要加入民營航空公司，或是張貼表態不打算和國軍續約，而且有年輕飛官決定認賠300萬元，也要離開空軍的不實內容，然後再透過PTT帳號ss900287散布有關大量飛行員從軍方退伍，並應徵中華航空飛行員的訊息，企圖製造我國空軍軍心渙散的謠言。</p> <p>調查局指出，即使空軍司令部5月下旬對於上述傳聞進行澄清，每年簽約及離退人數均呈常態分布，這些文章並非事實，不排除是敵人的認知作戰，但他們後續還是發現有多個異常行為的臉書粉絲專頁企圖詆毀國軍，這些粉絲專頁包含：「今日海峽」、「提督之評論」、「你下架我狂」。</p> <p>值得留意的是，這波散布假訊息的手法，與過往的認知作戰有所不同。先前駭客主要透過境外人士管理的粉絲專頁，對於臺灣政治輿論進行多層次散布。但根據資安工作站的調查，這次駭客先是針對資安防護層級較為薄弱的物聯網設備，像是視訊監控系統、臉部辨識系統，利用漏洞入侵設備作為跳板，從而竊取Dcard、PTT帳號資料，從而假冒飛官、航空公司員工的身分散布不實訊息，再利用駭客控制的粉絲頁進行第二層散布，導致臺灣民眾信以為真轉傳、分享，達到擴大認知作戰的效果。</p> <p>對此，調查局強調將會持續追查遭到濫用的社群帳號並要求業者移除，並呼籲民眾應加強網路設備的資安防護，並在轉發訊息之前確認真實性。</p> </div></div></div>
2024/8/23 14:26作者周峻佑https://www.ithome.com.tw/news/164657
微軟10月開始公測Copilot+ PC的Recall功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在遲了5個月後，微軟預計在10月要公測爭議性高的Copilot+ PC的Recall AI功能。</p> <p>微軟本周稍早更新Copilot+ PC的<a href="https://blogs.windows.com/windowsexperience/2024/06/07/update-on-the-recall-preview-feature-for-copilot-pcs/" target="_blank">Recall產品訊息頁</a>，說明Recall預覽版將從10月推向Windows Insiders測試方案用戶。微軟指出，安全是微軟第一要務，當10月份要將Recall部署給Insiders方案用戶時，微軟會再以官方部落格公布更多細節。</p> <p>Recall是微軟偕高通與宏碁、華碩等OEM 5月公布的Copilot+ PC專屬的功能。它能定期快照記錄使用者在PC上的上網或PC活動，可讓用戶檢視並回復之前應用程式執行狀態。但這項功能仰賴PC持續蒐集資料，且預設啟用的設定引發資安專家隱私疑慮。微軟6月出貨Copilot+ PC前一周<a href="https://www.ithome.com.tw/news/163484" target="_blank">宣布</a>由於聽到業界應提供啟動Recall自主選擇的呼籲，因而變更Recall的設定，允許自願（opt-in）啟動，即預設關閉。</p> <p>但這一變更也讓Recall自此從出貨的Copilot+ PC缺席，直到現在。Recall公測日期從最初預定的5月20日，已經延宕將近5個月。</p> <p>上周Windows Latest追問下，微軟<a href="https://www.windowslatest.com/2024/08/18/microsoft-maintains-radio-silence-on-windows-11-recall-ai-has-nothing-to-share/" target="_blank">還說</a>「無可奉告」（nothing to share）。或許微軟保持低調是因為官方已經介入；英國隱私主管機關<a href="https://www.ithome.com.tw/news/163045" target="_blank">宣布</a>啟動調查，檢視微軟是否提供隱私保護措施。</p> <p>若延續之前規畫，微軟可能會在10月發布Copilot+ PC需要的Windows 11 24H2測試版，以便部署Recall。Windows 24H2另一引人注目的是，將對全新安裝或重灌的Windows 11 24H2用戶<a href="https://www.ithome.com.tw/news/164491" target="_blank">預設啟動</a>硬碟加密功能BitLocker，除非用戶登入本機帳號。</p> </div></div></div>
2024/8/23 13:28作者林妍溱https://www.ithome.com.tw/news/164653
資安研究人員示警FakeBat惡意軟體活躍度升高，會探測受害電腦環境散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員近期<a href="https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-NUMOZYLOD-with-Google-Security/ba-p/789551">發現</a>，透過惡意廣告傳播的惡意軟體FakeBat（NUMOZYLOD），在全球活躍度不斷上升，導致感染案例增加，提醒企業資安人員應該提高警覺。FakeBat在2023年被Mandiant發現，是一種具威脅性的新興惡意軟體。</p> <p>隨著網路攻擊手法不斷演進，FakeBat已成為目前值得關注的惡意軟體之一。FakeBat具有多樣化攻擊方式和高隱蔽性的特性，使其能繞過傳統的安全防護措施，對企業資料產生安全風險。FakeBat入侵的第一步，通常是從被植入木馬的MSIX安裝程式開始，代號UNC4536的惡意攻擊團體，會將MSIX檔案偽裝成受害者常用的軟體，諸如Brave、KeePass、Zoom和Notion等，並將其託管於偽裝合法的惡意網站上。</p> <p>惡意安裝程式會利用MSIX的PSF（Package Support Framework）來執行惡意腳本，這些腳本在應用程式啟動前後執行，進而將FakeBat下載到被害者的電腦。這種方式讓FakeBat能夠隱藏在看似無害的軟體安裝過程，並在使用者不知情的情況進行惡意活動。</p> <p>資安人員發現FakeBat主要有兩種變體，第一種變體是散布針對金融機構的後門程式CARBANAK。UNC4536會利用SEO投毒策略，將受害者引導至偽裝成KeePass開源密碼管理器的惡意網站，在受害者下載並安裝被植入木馬的安裝程式後，FakeBat會收集主機資訊並透過DLL搜尋順序挾持（DLL Search Order Hijacking）技術下載並執行CARBANAK。CARBANAK也會利用WMI收集系統上的防毒軟體資訊，並將這些資料發送至C2伺服器，以進一步實現攻擊目標。</p> <p>第二種FakeBat變體則是被用來傳輸LUMMASTEALER，這是一種專門竊取個人資料的惡意軟體。由於第二種FakeBat變體採用了經高度混淆的PowerShell腳本，因此使分析變得更加困難。該變體會先下載停用Windows AMSI（Antimalware Scan Interface）的腳本，避免惡意行為被防毒軟體偵測，接著，惡意軟體會從特定網站搜尋特定.dat檔案，並從下載的內容中擷取有害的程式碼直接在記憶體中執行，繞過傳統安全掃描機制達到感染的目的。</p> <p>由於FakeBat的靈活性，能夠繞過傳統的安全防護措施，可對企業造成資料洩漏與財務損失，因此資安研究人員提醒企業應該強化使用者教育，提高對惡意廣告的警覺，企業也應該使用威脅偵測工具，監控系統中的可疑檔案活動和腳本執行，以控制遭受FakeBat攻擊的風險。</p> </div></div></div>
2024/8/23 13:37作者李建興https://www.ithome.com.tw/news/164651
年底前蘋果將開放歐盟用戶刪除App Store及Safari等預設程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周四（8/22）<a href="https://developer.apple.com/news/?id=zglax7gc" target="_blank">宣布</a>，為了遵循歐盟的《數位市場法》（Digital Markets Act，DMA），準備在年底前針對歐盟使用者變更iOS與iPadOS的瀏覽器選擇螢幕、預設程式，以及程式刪除功能，意味著當地的iPhone與iPad用戶很快就能移除裝置上的App Store、Messages、Photos、Camera與Safari 等蘋果程式。</p> <p>原本不管是在iPhone或iPad上的預設瀏覽器都是Safari，但蘋果將透過iOS與iPadOS的<a href="https://developer.apple.com/support/browser-choice-screen/" target="_blank">更新</a>，在使用者第一次啟用Safari時，秀出預設瀏覽器選擇螢幕，列出各種瀏覽器供使用者選擇預設品牌，也會提供這些瀏覽器的相關資訊與App Store產品頁面。</p> <p>要出現在該選擇螢幕的瀏覽器必須符合某些基本條件，而且在不同的歐盟國家會有不同的品牌，蘋果最多會陳列11款不同的瀏覽器供使用者選擇。</p> <p>此外，蘋果將在iOS 18與iPadOS 18的設定中新增一個預設程式（Default Apps）功能，可用來管理裝置上的預設程式，包括瀏覽器、郵件、應用程式市集及非接觸式應用等，還能設定通話、傳訊、密碼管理、鍵盤及過濾垃圾電話的預設程式。</p> <p>不僅可以變更裝置上的預設程式，歐盟使用者在今年底前還可以刪除以前被蘋果視為必要的預設程式，包括App Store、Messages、Photos、Camera與Safari等，只有設定（Settings）與電話（Phone）無法被刪除。</p> <p>上述改變都將於今年底前實現，而明年春天，蘋果會再開放歐盟用戶設定導航與翻譯的預設程式。</p> </div></div></div>
2024/8/23 13:44作者陳曉莉https://www.ithome.com.tw/news/164655
協作平臺Slack遭揭露AI功能有漏洞，可能導致私人頻道機密資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往已有數起資料外洩事故駭客鎖定企業組織的協作平臺Slack下手而得逞，攻擊者往往藉由社交工程手段，成功存取機密內容，但如今有研究人員發現，該系統後來加入的人工智慧系統存在漏洞，恐加劇相關威脅，因為攻擊者在不需得到相關權限的情況下，可藉此竊取機密資料。</p> <p>資安業者PromptArmor指出，<a href="https://promptarmor.substack.com/p/slack-ai-data-exfiltration-from-private">提供使用者透過自然語言查詢Slack訊息的AI功能存在缺陷</a>，使得攻擊者有機會透過操縱用來生成內容的語言模型，竊取使用者輸入私人頻道的任意內容。</p> <p>針對這項問題的核心，該資安業者表示此為間接提示注入（Indirect Prompt Injection）弱點，原因是對於開發人員產生的系統提示，以及查詢的內容，大型語言模型（LLM）無法正確區分，一旦Slack的AI機器人透過查詢的訊息取得惡意指令，很有可能會認為惡意指令才是必須處理的內容，但不一定會處理使用者的查詢。</p> <p>雪上加霜的是，上述的AI功能在8月14日後，開放能查詢使用者上傳的檔案，而有可能增加漏洞帶來的危險。對此，Slack在接獲研究人員通報後，<a href="https://slack.com/intl/en-gb/blog/news/slack-security-update-082124">已在20日部署修補程式來處理相關弱點</a>，並指出在極為有限、特定的情況下，在Slack工作區擁有帳號的攻擊者有機會透過網路釣魚觸發漏洞，取得部分資料。該公司強調，目前尚未發現該弱點遭到利用的跡象。</p> <p>究竟駭客如何利用這項漏洞，PromptArmor指出，攻擊者可在不具存取權限的情況下，透過這個弱點竊取開發人員置入私人頻道的API金鑰，或是其他機密資料。研究人員表示，攻擊者無須得知私人頻道的內容，就有機會竊取相關資料。</p> <p>研究人員是怎麼發現這個問題的？他們先設定一個情境，讓使用者存放API金鑰於自己所有的私人頻道，而攻擊者建立新的公開頻道，並下達特定的惡意命令，指示LLM在有人詢問API金鑰時，就會將API金鑰作為HTTP參數加入惡意URL，並在Markdown呈現，同時顯示點選此處重新驗證的訊息。接著，一旦有人透過Slack的AI功能詢問API金鑰，就會將前述攻擊者輸入的內容串連在一起。</p> <p>而在此時，AI機器人便會根據攻擊者的指令，並呈現駭客引誘使用者點選的連結，由於這個連結包含API金鑰作為HTTP參數，並將使用者的API金鑰放入私人頻道，一旦使用者點選連結，就能讓攻擊者觸發漏洞，檢視私人頻道事件記錄內容挖掘機密資料。</p> <p>但由於AI機器人並未引用攻擊者的訊息作為輸出來源，而且因為攻擊者的訊息不會直接出現在搜尋結果的第一頁，使得這類攻擊不僅難以察覺，甚至後續追蹤也相當困難。</p> <p>研究人員指出，上述的漏洞利用攻擊，經過稍加調整，也能透過網路釣魚來進行。而在Slack於AI引入新功能後，他們發現攻擊者無須透過直接在Slack輸入訊息來下達指令，就能觸發漏洞。</p> </div></div></div>
2024/8/23 12:02作者周峻佑https://www.ithome.com.tw/news/164648
SolarWinds發布服務臺系統WHD更新，修補寫死密碼漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週SolarWinds針對服務臺系統Web Help Desk（WHD）發布資安公告，指出該系統存在<a href="https://www.solarwinds.com/trust-center/security-advisories/cve-2024-28987">寫死帳密漏洞CVE-2024-28987</a>，未經身分驗證的攻擊者有機會遠端存取內部功能或是竄改資料，CVSS風險評分為9.1，該公司發布12.8.3 HF2版予以修補。</p> <p>值得留意的是，IT人員若要套用修補程式，<a href="https://support.solarwinds.com/SuccessCenter/s/article/SolarWinds-Web-Help-Desk-12-8-3-Hotfix-2">必須將服務臺系統更新至12.8.3.1813或12.8.3 HF1版</a>，才能部署。</p> <p>而這已是本月SolarWinds二度對WHD發布資安公告，一週前他們修補<a href="https://www.ithome.com.tw/news/164495">另一項遠端程式碼執行漏洞CVE-2024-28986</a>，CVSS風險評分為9.8。</p> </div></div></div>
2024/8/23 12:30作者周峻佑https://www.ithome.com.tw/news/164652
Midjourney不需Discord帳號的Web版上線供免費試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現行圖片生成式AI平臺Midjourney必須註冊Discord帳號才能使用。不過本周Midjourney<a href="https://twitter.com/midjourney/status/1826305298560418171" target="_blank">宣布</a>不需Discord帳號就能使用的Web版，並提供用戶免費試用一段時間。</p> <p>Midjourney雖然生成圖片能力強大，但許多用戶礙於不喜歡Discord或其他理由未能註冊。在去年以封閉測試形式提供少部份人士試用Web版本後，現在開放給所有用戶。造訪<a href="http://midjourney.com" target="_blank">midjourney.com</a>，可以選擇以Google帳號註冊。該公司執行長David Holz<a href="https://discord.com/channels/662267976984297473/952771221915840552/1275863945051377734" target="_blank">說明</a>，用戶可免費生成25幅圖片。Midjourney說正在測試小幅開放給部份用戶試用一小段時間，同時也說，計畫這個網站（Web版）會持續提供。</p> <p>有興趣的用戶可以從平板或手機直接點選網址試用，但Midjourney提醒，二個版本都還是早期版本，可能有不穩和功能不足之處。</p> <p>Midjourney降低試用門檻，想必是因應競爭服務增多。Meta AI、OpenAI的DALL-E之外，還有<a href="https://www.ithome.com.tw/news/156032" target="_blank">Adobe Firefly</a>、新推出的<a href="https://about.ideogram.ai/2.0" target="_blank">Ideogram 2</a>、xAI的<a href="https://www.ithome.com.tw/news/164492" target="_blank">Grok 2</a>剛加入圖片生成行列、Google也從美國市場開始提供最新的圖片生成服務<a href="https://www.ithome.com.tw/news/164516" target="_blank">Imagen 3</a>。</p> </div></div></div>
2024/8/23 10:33作者林妍溱https://www.ithome.com.tw/news/164639
微軟證實要淘汰Windows控制臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在近日更新的<a href="https://support.microsoft.com/en-us/windows/system-configuration-tools-in-windows-f8a49657-b038-43b8-82d3-28bea0c5666b" target="_blank">支援頁面</a>上透露，該公司正在淘汰Windows中的控制臺（Control Panel），並將以設定（Settings）程式取而代之，惟並未列出時程表。</p> <p>自微軟於1985年發表Windows 1.0以來，就有控制臺。它是Windows中的系統配置工具，由一系列的小程式組成，可用來移除或新增硬體，移除或新增程式，設定自動更新機制，管理網路，變更日期與時間，設定桌面背景、螢幕保護程式或字體，還能變更鍵盤與滑鼠設定，可說是Windows用戶最熟悉的功能之一。</p> <p>至於設定程式則始於2012年的Windows Server與Windows 8，允許使用者透過該程式來調整個人偏好、作業系統的配置，以及所連結的裝置，當時微軟即計畫要以該程式來取代控制臺，只是直至今日都尚未實現，並讓設定與控制臺同時存在。</p> <p>不過，最近微軟在說明Windows中的各種配置工具時，表示正在棄用控制臺，並轉向設定程式，且後者提供了更現代化與更流暢的體驗。此外，微軟也強調，控制臺之所以還存在是因為某些相容性的原因，再加上要用來存取某些尚未遷移的設定，建議使用者最好還是採用設定程式。</p> <p>另一方面，微軟將設定程式定義為用來管理Windows設定的主要程式，標榜它既簡單又方便存取，比控制臺更直覺也更人性化，還說會不斷地更新設定程式，以支援最新的Windows功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0823-windows%2011-settings%20app.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>Windows中的系統配置工具除了控制臺與設定程式之外，還包括用來察看應用程式及系統負載的工作管理員（Task Manager），用來管理磁碟、裝置、服務、共享資料夾及使用者的電腦管理控制臺（Computer Management Console），以及查看系統、安全及應用程式事件的事件檢視器（Event Viewer），再加上系統配置，系統資訊，註冊表編輯器，本地群組政策編輯器，以及進階系統設定等。</p> </div></div></div>
2024/8/23 10:43作者陳曉莉https://www.ithome.com.tw/news/164640
義大醫院啟動體系IT大轉型，力擁容器微服務和雲端技術
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「屏東義大醫院預計2025年7月開始營運！」義大醫院資訊部資深協理莊博昭開門見山地說，他們正如火如荼籌備義大醫院新院區的醫療系統，同時也肩負一項重要任務，執行義大醫療體系次世代醫院資訊系統開發的大規模IT轉型專案。</p> <p><span style="font-size:28px;"><strong>30年IT工具太老舊，資料取得也要更即時</strong></span></p> <p>這個轉型大工程，涵蓋了90幾套的醫院臨床系統和行政系統，主打上雲、容器、微服務、中臺等技術亮點。義大醫院去年啟動這項專案，不單為了新院區營運，還因為長期以來的IT痛點。</p> <p>莊博昭指出，義大醫院原有IT系統採主從式架構，用來打造醫療應用的主要開發工具，是1994年版的PowerBuilder，距今有30年了。也因此，該工具開發出來的應用，無法支援支iOS、Android等行動平臺，連醫療場景常見的條碼讀取都難以支援，「對醫療IT發展有很大的局限。」</p> <p>再加上，當初的醫療系統是為財務和記帳設計，不利於近年興起的細緻化醫療資訊記錄和AI大數據分析應用。這導致，醫院要進行分析時，得先耗費原本有限的IT人力和大量時間來清洗資料，才能進行後續研究，大幅影響資料取得的即時性。</p> <p>「於是我們思考，為什麼不在源頭就把資料處理好？」他說。</p> <p><span style="font-size:28px;"><strong>轉型重點1：打好資料處理基礎</strong></span></p> <p>為解決這個痛點，他們規畫新系統時，聚焦資料處理基本功，先將所有資料分為3階層，包括健保申報類的日常交易資料、BI應用類的分析用資料，以及供AI研究用的資料，再設置相應的處理機制。</p> <p>以AI研究用資料為例，為加速資料的取得，他們要做3件事，一是將這類資料歸戶，二是在源頭確保資料一定程度的乾淨可用，如統一資料標準和格式，三是建置隨選隨用（On-demand）自動化工具來清洗資料，不必仰賴IT手動處理。甚至，這類自動化工具還要能彈性調度算力，來滿足使用者運算需求。</p> <p>有了資料處理基礎，下一步就能將AI研究的所有流程串起來，從研究計畫、IRB人體研究倫理委員會審核申請，再到資料清洗、模型訓練、測試、調校等流程都整合到單一平臺上，使整體流程更順暢。</p> <p>這是義大醫院要藉重建資料處理機制，優化後續應用的其中一例。莊博昭點出，這個重建範圍不限於臨床系統，還包括行政系統，要在這次轉型一口氣改善資料處理架構。</p> <p><span style="font-size:28px;"><strong>轉型重點2：建置中臺來實現資料歸戶</strong></span></p> <p>另一大轉型重點，則是資料歸戶，也就是將醫院產生的各種病患資料，一一歸戶到每一位病人的帳戶中，而不是分散儲存於門診、急診、住院等系統，又或是不同院區的系統中。</p> <p>義大醫院推動資料歸戶有幾個原因，首先是醫院服務範圍廣泛，涵蓋生老病養，因此將資料歸戶，才能以病人為中心，更好地照護患者。再者，以病人為中心的IT設計，也更符合衛福部推動的政策方向。</p> <p>此外，義大醫院各分院的距離不遠，病人常到不同院區看診。這時，在不同院區看診的醫生，就能因資料歸戶來查看病人的完整就醫歷程。但這也意味著，「資料歸戶必須要即時。」莊博昭舉例，假設病人在義大醫院總院看完診，接著到義大醫院大昌分院看另一診，這兩間醫院車程只需20分鐘，就代表資料歸戶至少要在20分鐘內完成，才能讓分院醫生即時了解病人就醫記錄。這個資料歸戶即時性，也是打造新系統的一大重點。</p> <p>他們實現資料歸戶的方式，則是靠「ESB資料中臺架構。」採取企業服務匯流排（ESB）的軟體架構，建立一套標準化的協定和資料交換標準，來簡化內部應用的整合。義大也計畫用這個架構，來建立資料中臺或服務中臺，將四散各處的資料或服務串聯起來。就算是第三方系統，也不必另外改寫，透過統一的資料標準API，就能介接、交換資料，在資料的運用上更靈活，也能達到資料歸戶的目的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-CIO-600-2.jpg" style="width: 500px;" /></p> <p><strong style="color: rgb(51, 153, 255); font-size: 24px;">談及是否押寶開發生成式AI應用，義大醫院資訊部資深協理莊博昭點出，站在巨人肩膀上才能走得更遠，待領先者出現成熟穩定的應用模式後，再當使用者即可。</strong></p> <p><span style="font-size:28px;"><strong>轉型重點3：用雲</strong></span></p> <p>義大醫院次世代醫療資訊系統的另一大亮點，還有「上雲」。</p> <p>這是因為，上雲可帶來集中式管理的好處。義大醫院對這個議題並不陌生，早在2016年9月大昌分院正式營運時，就以義大醫院做為集中式架構，來設計機房，分院只需導入一些必要系統，啟用網路後，就能透過遠端連線來共用義大醫院IT資源，取得各項醫療系統服務，如資料庫的資料交換、醫學影像存取等。</p> <p>延續這個集中管理策略，現在，義大醫院打算將各院區共通性的系統上雲，來更精簡各分院所需管理的IT設備和維護人力，同時避免各分院發展出更多個別做法，衍生出後續管理問題。</p> <p>再來，上雲還有雲地備援的好處。莊博昭表示，傳統備援的做法，是由每家分院各自有一套備援系統，「這是高度重複的投資。」將分院共通性系統上雲，就能解決這個問題。</p> <p>對義大醫院來說，上雲還有資安的考量。這幾年，資安一直是義大醫院IT競競業業對待的議題，「我們發現，將服務搬遷上雲，反而能成為另一種形式的防火牆。」莊博昭解釋，資安攻擊通常從醫院外部服務下手，若將這些服務上雲，將內部核心作業留在地端，外部再怎麼攻擊，也只限於雲端，不會影響地端日常維運的核心業務。</p> <p>他們第一波上雲的系統，包括了醫院行政系統、醫院對外服務，以及即時性不高的共通性服務，如申報與保險業務等。另考量南部網路基礎建設，臨床業務相關的系統和服務則會先留在地端，避免網路斷線時，核心業務因此中斷的問題。</p> <p>除了這些系統和服務，莊博昭還希望將醫療影像儲傳系統（PACS）上雲。因為，PACS儲存大量的醫學影像，調閱頻率卻不高，通常是影像拍攝後的門診追蹤或手術前才會調閱查看，「這些影像可能一季之後，就成為冰凍資料了。」後續再被調閱的目的，也多是為了分析研究，因此考量儲存空間，莊博昭認為，上雲是較好的策略。</p> <p>他想將PACS上雲的另一個原因，是要預防勒索病毒。由於醫院的PACS廠商大多提供CIFS網路檔案系統，而義大醫院最常面臨的勒索病毒威脅，就屬CIFS類型。若將PACS上雲，改用S3檔案格式，「基本上可以不必擔心勒索病毒。」但莊博昭也表示，PACS能否上雲，還需要多方面的配合和討論。</p> <p><span style="font-size:28px;"><strong>轉型重點4：擁抱標準</strong></span></p> <p>除了上雲，義大醫院這次轉型，還要導入國際醫療資料標準，包括國際醫療資料交換標準FHIR、臨床醫學術語系統SNOMED CT，以及檢驗醫學及臨床觀測指標編碼LOINC。</p> <p>就FHIR來說，義大醫院原本想將所有病歷資料，都改以FHIR標準儲存。但幾經討論，決定改為2種做法，即醫院內部病歷資料的產製仍採既有標準，對於院外的資料交換情境，如跨院區資料交換、與政府單位交換資料，再轉為FHIR格式進行。</p> <p>至於醫院有許多醫療儀器，這些儀器產生的數據，也有各自的標準。莊博昭點出，義大醫院使用的醫療設備，大多支援FHIR標準，因此在標準轉換上，並不吃力。</p> <p>另一方面，義大醫院的臨床數據中心和醫療研究部也正研究SNOWMED CT和LOINC導入可行性，將作為未來病歷登載的標準。莊博昭指出，這種在源頭將資料標準化的就源管理，有利於資料清洗，減少人工額外處理。而且，統一標準介接資料還能擴展研究樣本資料量，日後要進行統計分析或發展機器學習、深度學習應用，也就更有意義。</p> <p><span style="font-size:28px;"><strong>融入敏捷開發精神，組織架構也要轉型</strong></span></p> <p>「這個專案有很大的時程壓力，」莊博昭坦言，效率和務實也因此成為核心原則。在效率部分，義大醫院找來外部廠商協助開發，採敏捷開發模式，透過IT分組，每天與業務小組討論、動態修正，快速定版，並在近期進入程式開發階段。</p> <p>而務實部分，則是指不做太多的流程再造。莊博昭認為，義大醫院營運至今20年，大多數流程已發展穩定。因此，團隊只需針對公認不佳的流程，重新修正，用最短的時間達到目標即可。</p> <p>他也透露，這次轉型不只是IT系統和部分流程，組織架構也要一併轉型。比如IT部門自己就要調整為水平式開發組織，而所謂水平式開發，是指跨功能或模組進行開發，有別於垂直式開發，更聚焦整體系統的橫向擴展和功能發展，IT部門將依此分組調整。</p> <p><span style="font-size:28px;"><strong>觀點：當個醫療GenAI使用者</strong></span></p> <p>談及這個轉型工程，莊博昭花了許多力氣說明資料處理的基本功，卻鮮少說起醫療AI發展規畫，又或是國內外各大醫院爭相擁抱的生成式AI應用。</p> <p>因為，在他看來，任何AI研究和應用，都得從最基本的資料處理開始。唯有打通資料處理通道，才能發展出高品質的AI應用，這正是他與團隊聚焦的重點領域。</p> <p>至於生成式AI在醫療的應用，莊博昭表示，義大醫院曾在GenAI興起初期嘗試不同的場景應用，但考量所需投入的資源和作業成本，便決定先觀望，待其他領先者醫院嘗試出成熟的應用模式後，再來當使用者即可。「不一定每件事都要自己從零開始建，站在巨人肩膀上才能走得更遠，」他說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>義大醫院資訊部資深協理莊博昭</strong></p> <p>學歷：高雄科技大學資管碩士畢業</p> <p>經歷：自1997年加入義大集團旗下燁聯鋼鐵公司資訊部，並於2002年參與義大醫院籌備，先後擔任了課長、副處長、經理與協理等IT職務。過去主導義大醫院IT規畫與建置，近年來負責打造連鎖醫院IT新架構，並自2023年開始執行義大醫療體系次世代醫院資訊系統開發專案</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-CIO-300.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>義大醫療財團法人義大醫院</strong></p> <p>●地址：高雄市燕巢區角宿里義大路1號</p> <p>●網址：<a href="http://www.edah.org.tw">www.edah.org.tw</a></p> <p>●成立時間：2004年</p> <p>●主要業務：醫療服務、長照服務、產後護理</p> <p>●員工數：約4,000人</p> <p>●創辦人暨董事長：林義守</p> <p>●義大醫院院長：杜元坤</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●直屬主管：行政中心行政長洪誌隆</p> <p>●資訊部門主管姓名：莊博昭</p> <p>●資訊部門人數：53人</p> <p>●資訊部門分工：臨床資訊系統開發、行政資訊系統開發、基礎建設維運</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2011年：導入VMware虛擬化技術、採用第2代心導管影像系統（CATH）</p> <p>●2012年：建置義大營養照護資訊平臺</p> <p>●2013年：採用園區架構建置第2座資訊機房，導入APC機房解決方案，護囑系統上線</p> <p>●2014年：病人輸血管理系統ICD-10上線、PowerBI導入</p> <p>●2015年：核心資料庫由Unix移轉至x86 Linux，加入記憶體式運算技術，導入快閃儲存系統，儲存系統改採iSCSI架構，多機構MIS、HIS系統上線，完成建置Infinitt PACS系統</p> <p>●2016年：建置體系私有雲，體系三家醫院互為備援，資料備份進中華電信Hi-cloud S3雲端儲存</p> <p>●2017年：建置第四套APC機房</p> <p>●2018年：行動行政系統、行動巡房系統上線，加入HI-SAC</p> <p>●2019年：行動資產管理系統獲SNQ標章</p> <p>●2023年：建置Azure混合雲，義大醫療次世代醫院資訊系統開發專案啟動</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-cio-960-v2.jpg" width="960" height="420" alt="" title="義大醫院資訊部資深協理莊博昭" /></div></div></div>
2024/8/23 06:00作者王若樸https://www.ithome.com.tw/people/164614
【資安日報】8月22日，企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著人工智慧應用系統越來越普及，相關漏洞影響可能極為深遠，相當值得關注。本週資安業者Tenable公布Copilot Studio伺服器請求偽造（SSRF）漏洞CVE-2024-38206細節，並指出這項漏洞能影響該系統的基礎設施，攻擊者一旦利用，就有可能同時影響多個用戶。</p> <p>這項漏洞在他們通報後，微軟已進行修補，並將其列為重大風險漏洞列管。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164607"><strong style="font-size: 22px;">攻擊者利用Google產品假冒網站詐騙Windows和Mac用戶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0822-The actual image for the so-called Google home page-MalwareBytes.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0822-The%20actual%20image%20for%20the%20so-called%20Google%20home%20page-MalwareBytes.png" style="width: 300px; float: right;" /></a>資安公司Malwarebytes發現攻擊者推送假冒的Google產品廣告，將受害者引導至偽造的Google頁面。這些攻擊者甚至濫用Google的Looker Studio，製作針對Windows和Mac用戶的假網站，讓受害者難以分辨真偽而導致財務損失。</p> <p>這些惡意廣告運用了動態關鍵字插入技術，鎖定特定公司或是產品線。在這個案例中，攻擊者針對Google的多項產品，在搜尋結果頁面中展示與Google相關的惡意廣告。這些惡意廣告以假亂真，顯示的網址甚至與真正的Google產品頁面極為相似，使得使用者更容易上當受騙。一旦點擊這些惡意廣告，受害者便會被導向至假冒的網站。</p> <p>研究人員還發現一個更為複雜的釣魚手法，攻擊者利用Google Looker Studio製作假冒的Google搜尋頁面，透過動態生成的圖像來模仿Google頁面，但是實際上僅是一張圖片。攻擊者利用該圖片作為誘餌，誘使受害者在互動後觸發內嵌的惡意連結，這些連結會將受害者引導至假冒的技術支援頁面，進一步誘導他們撥打電話或是進行其他操作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/microchip-technology-discloses-cyberattack-impacting-operations/"><strong style="font-size: 20px;">美國半導體製造商Microchip傳出遭遇網路攻擊，工廠產能降低</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.talosintelligence.com/moonpeak-malware-infrastructure-north-korea/">北韓駭客在網路攻擊使用木馬程式MoonPeak</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cert.gov.ua/article/6280422">駭客組織UAC-0020以被帶到俄羅斯的戰俘為誘餌，散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.aquasec.com/blog/pg_mem-a-malware-hidden-in-the-postgres-processes/">惡意程式PG_Mem鎖定PostgreSQL資料庫而來，意圖將其用於挖礦</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164626"><strong style="font-size: 22px;">微軟Copilot Studio存在SSRF漏洞，攻擊者有機會存取內部敏感資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Copilot Studio HttpRequestActions.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20Studio%20HttpRequestActions.png" style="width: 300px; float: right;" /></a>人工智慧相關的應用系統當紅，這類系統衍生的漏洞也相當受到關注，繼上週資安業者Tenable公布Azure Health聊天機器人服務漏洞，本週他們針對微軟提供企業自訂AI副手功能的工具Copilot Studio，公布當中存在的資安漏洞。</p> <p>研究人員針對Copilot Studio伺服器請求偽造（SSRF）漏洞CVE-2024-38206進行說明，指出攻擊者可透過這項漏洞存取服務內部潛在的敏感資訊，該漏洞被列為重大層級，CVSS風險評分為8.5，微軟於8月6日已完成修補並發布公告。</p> <p>由於這項AI服務有多個租戶採用，研究人員測試後指出雖然他們無法直接存取其他租戶的資訊，但由於Copilot Studio的基礎設施在租戶之間共用，一旦其基礎設施受到影響，有可能同時影響多個用戶，其資安風險也隨之放大。</p> <p><a href="https://www.ithome.com.tw/news/164619"><strong style="font-size: 22px;">Azure Kubernetes Services有漏洞，攻擊者可藉由TLS引導攻擊提權</strong></a></p> <p>資安業者Mandiant揭露Azure Kubernetes Services有漏洞，並命名為WireServing，影響在網路組態使用「Azure CNI」、網路政策採用「Azure」配置的Kubernetes（K8s）叢集，攻擊者若在這類叢集正在運作的節點執行命令，就有機會下載叢集節點的組態配置，從而取得TLS引導憑證（Token），並執行TLS引導攻擊（TLS Bootstrap Attack），進一步讀取叢集裡所有的機敏資料。微軟接獲研究人員的通報，已從問題根源進行處置。</p> <p>而對於這項漏洞帶來的影響，攻擊者一旦得到能夠存取的Azure Kubernetes服務叢集權限，就有機會藉此進行權限提升，並存取叢集服務使用的帳密資料。攻擊者不僅能取得敏感資料，還有可能造成資料外洩、財務損失、受害組織的信譽受損等影響。</p> <p><a href="https://www.ithome.com.tw/news/164613"><strong style="font-size: 22px;">用AWS應用程式負載平衡系統驗證身分，恐面臨ALBeast攻擊</strong></a></p> <p>應用程式資安業者Miggo揭露名為ALBeast的重大層級漏洞，此漏洞與組態設定有關，影響利用AWS應用程式負載平衡系統Application Load Balancer（ALB）進行身分驗證的應用程式，針對在曝露於網際網路的應用程式，攻擊者有機會藉此繞過身分驗證及授權要求。</p> <p>ALBeast衝擊的範圍有多大？研究人員指出，這項漏洞不僅影響AWS代管的應用程式，其他公有雲代管或內部建置的應用系統也可能遭殃。根據調查，他們在37.1萬個應用程式裡，找到有1.5萬個採用ALB驗證功能而可能曝險的系統，研究人員已試圖聯繫受到影響的企業組織。</p> <p><a href="https://www.ithome.com.tw/news/164616"><strong style="font-size: 22px;">Google釋出Chrome 128，修補已遭攻擊的V8零時差漏洞</strong></a></p> <p>本週三（8月21日）Google釋出Chrome 128，修補38個安全漏洞，包括已遭駭客利用的CVE-2024-7971漏洞，而這也是Chrome今年發現的第9個零時差漏洞。</p> <p>CVE-2024-7971漏洞位於Chrome所使用的JavaScript引擎V8，它是個類型混淆（Type Confusion）漏洞，是由微軟威脅情報中心（MSTIC）及微軟安全回應中心（MSRC）通報。Google表示，已發現鎖定CVE-2024-7971漏洞的攻擊程式。</p> <p>在Google此次修補的Chrome漏洞中，有6個被列為高風險層級，當中的CVE-2024-7969與CVE-2024-7965也都位於V8引擎。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://patchstack.com/articles/critical-privilege-escalation-in-litespeed-cache-plugin-affecting-5-million-sites">WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，恐導致數百萬網站曝險</a></strong></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164608"><strong>【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164586"><strong>【8月20日】駭客散播可呈現仿造OS更新畫面的執行檔，背後卻是在電腦偷資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164553"><strong>【8月19日】Google Pixel驚傳內建具有高度權限的第三方元件</strong></a></p> </div></div></div>
2024/8/22 18:03作者周峻佑https://www.ithome.com.tw/news/164632
零售IT雙周報第41期：樂天集團正在開發能支援集團不同業務的生成式AI聊天機器人，還要推出商務生成式AI助手商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0818~0831)</strong></span></p> <p>Q2財報月，許多大型零售業者和平臺業者紛紛揭露自家生成式AI應用、成效及未來計畫，前者包括樂天、Walmart、Etsy，後者包括Google和Meta等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI #集團綜效 #企業用AI助手</span></strong></span><br /> <strong>樂天正在開發能跨集團業務的生成式AI聊天機器人，還要推出商務生成式AI助手商品</strong></p> <p><a href="https://rakuten.today/blog/expanding-customer-base-fuels-record-high-revenue-for-rakutens-q2-fy2024-results.html">日本零售巨頭樂天集團宣布，正在開發名為Universal Concierge的生成式AI聊天機器人</a>，不只能回答一般性問題，還能根據對話情境，推薦集團下不同業務商品和服務。</p> <p>舉例來說，當使用者詢問甜點製作方法，此機器人可以提供食譜，還能進一步在樂天市場中搜尋相關材料商品。此機器人還能與樂天旗下結合其他服務來提供問答及商品推薦，例如結合Gurunavi推薦餐廳，以及結合Rakuten Travel來規畫旅行等。未來，還要根據使用者在樂天集團的數位足跡，來提供更加個人化的對話。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unvc.jpg" style="width: 600px;" /></p> <p>樂天還宣布正在開發專屬LLM，Rakuten AI 7B來支援未來更多生成式AI應用。樂天集團執行長三木谷浩史強調：「雖然此模型參數只有70億，但會有世界級水準的日語問答表現。」他並表示，樂天集團有超過70種服務，在日本就有1億會員，全球更有18億筆會員資料，數據深度與廣度是發展AI及生成式AI技術的一大優勢。</p> <p>不只推出面向消費者的Universal Concierge，樂天還宣布，未來要針對企業客戶推出Rakuten AI for Business，是一個以Open AI GPT-4o模型為基礎的生成式AI助手。不過，他們目前未揭露具體功能和推出時間，只有表示其功能類似於ChatGPT，並不會將互動內容作為再訓練資料。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI #數據處理 #電商搜尋</span></strong></span><br /> <strong>發掘更多消費者需求還省下近百倍人力，Walmart如何用生成式AI開源節流</strong></p> <p>全球零售龍頭Walmart近日財報法說會上，揭露了更多生成式AI帶來的效益。Walmart資深副總裁Stephanie Wissink表示，他們生成式AI一大用途是，建立及完善商品目錄數據，目前已處理了8.5億筆資料。這些作業若不用生成式AI，需要近100倍人力才能在相同時間內完成。這個做法也為倉儲管理、訂單履行、搜尋功能、商品推薦、店員服務優化等其他場景帶來正面效益。</p> <p>這些效益如何反映在實際商業場景？Walmart執行長Doug McMillon舉例，完善商品數據，有助於他們後續理解顧客的偏好和購買周期等行為模式。再搭配生成式AI電商商品搜尋功能，更強化了跨分類搜尋能力。這有助於消費者搜尋商品時，呈現出更多可能讓他們原本無意購買，但其實有需求的商品，進而直接提升獲利能力，帶來更多營收。（<a href="https://www.ithome.com.tw/news/164592">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體電商 #生成式AI</span></strong></span><br /> <strong>Meta計畫推出聊天室購物及客服用的生成式AI聊天機器人</strong></p> <p><a href="https://investor.fb.com/investor-events/event-details/2024/Q2-2024-Earnings-Call/default.aspx">Q2法說會中，Meta執行長Mark Zuckerberg</a>揭露了一個新聊天室機器人開發計畫。「目標是讓每個Meta平臺上的商家都能把它們的發布內容及商品目錄都匯入一個AI代理人，來提升營收並節省成本。」他說，當此服務規模化後，將有助提升商務訊息方面的營收。</p> <p>過往Meta做過類似服務，包括早在2016年就推出，自動進行規則式回覆商務訊息的Messenger bots，甚至近1年也鎖定互動式行銷市場，推出利用生成式AI功能來模擬品牌或創作者與其來進行回覆。不過，兩者市場反應都不佳。</p> <p>如今購物用聊天機器人在市場越發普及，且生成式AI技術進步，Meta再次鎖定對話式商務市場，則想推出具有更進階對話能力，且能提供個人化購物體驗及客服的聊天機器人。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#瀏覽器 #跨站購物 #比較功能</span></strong></span><br /> <strong>Google Chrome將推出跨分頁商品比較功能</strong></p> <p>網路購物時，消費者常開啟不同電商的不同商品頁面來回比較，不過不同電商和廠商，介面和商品規格寫法都不同，甚至有可能在切換途中找不到商品或誤關分頁，相當麻煩。針對此痛點，Google宣布，將推出跨分頁商品比較功能，擷取橫跨不同分頁的商品資訊，再利用生成式AI製作統一格式的比較表。</p> <p>以藍芽音響為例，此功能會開起一個新比較頁面，自動擷取商品圖片、價格、評價、商品描述、電源輸出、電池續航力、重量等資訊，用簡單的表格列出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/comparechr.jpg" style="width: 600px;" /></p> <p>另外，Chrome還有一個新功能是利用自然語言來翻找瀏覽紀錄。例如，可以問Chrome，「我上周找的冰淇淋店是什麼？」這是一個一般性功能，但對於零售場景也有幫助──消費者誤關或忘記存商品頁面時，賣家如何在商品頁面中留下容易用自然語言問出的特徵，將成為更重要的課題。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#生成式AI #商品探索</span></strong></span><br /> <strong>Etsy揭露生成式AI策略及應用</strong></p> <p>美國大型電商平臺Etsy在Q2法說會中揭露了自家發展生成式AI及進階機器學習應用的原則，以及各種實際應用和正在開發中的應用場景。</p> <p>Etsy發展AI應用有3大原則，降低實驗門檻、鼓勵自由實驗以保留有用的成果，以及與技術廠商合作或直接購買解決方案，以提升投入實際應用的速度及廣度。目前，他們已經實際投入或正在開發中的生成式AI應用場景有6大類，包括改善用戶體驗、搜尋系統底層優化、欺詐檢測、庫存管理、客戶服務等，總共20多個場景。</p> <p>他們進一步說明了自己如何用生成式AI打造逐步幫消費者找到心目中商品的搜尋體驗。首先，他們會根據輸入關鍵字語意，建議更具體的關鍵字。接著，再逐步提示消費者，可以用哪些不同維度的屬性進一步縮小搜尋範圍，這包括商品種類常見分類維度，如珠寶類商品的常用顏色和材質形容詞，以及一般購物類資訊，例如預計到貨時間和價位等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/etsy2.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體電商 #直播電商 #會員生態圈</span></strong></span><br /> <strong>Tiktok與Amazon合作推出直播內無跳轉購物功能</strong></p> <p>短影音平臺巨頭Tiktok與美國電商龍頭Amazon合作，<a href="https://www.tiktok.com/business/en/blog/amazon-ads-native-checkout?ab_version=control">推出可以在Tiktok原生環境中使用後者Amazon購物的功能。</a>未來，點擊影音推薦頁面廣告等各種商品廣告時，使用者都能直接在Amazon下單，並看到即時定價、Amazon Prime會員優惠資格、預計送達時間等資訊。</p> <p>社群媒體電商，尤其是直播電商，在西方世界接受程度遠低於東方，甚至連Meta都關閉了不少直播電商功能及開發計畫。光是在中國市場就透過直播電商帶來巨大營收的Tiktok在美國市場的做法是，從在購物功能中整合電商龍頭會員生態圈，並打造無跳出購物體驗來嘗試降低斷點。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #會員App</span></strong></span><br /> <strong>日本全家對供應商推出在會員App中投放廣告及執行各式行銷活動的服務</strong></p> <p>日本全家也開始搭上RMN風潮，對供應商推出在會員App投放廣告及執行各式行銷活動的服務。運作模式是，全家在會員App上投放推播通知、一般商品資訊廣告、迷你遊戲，以及透過會員App上的迷你App投放優惠券。全家會整合自家會員及供應商會員資訊，來決定行銷內容投放對象。</p> <p> </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#路徑規畫 #物流追蹤</span></span></strong><br /> <strong>Best Buy推出分鐘等級的到貨追蹤服務</strong></p> <p><a href="https://corporate.bestbuy.com/best-buy-launches-to-the-minute-home-delivery-tracking-for-large-product-orders/">美國大型3C連鎖賣場Best Buy推出大型商品的到貨及安裝時間追蹤服務。</a>運作模式是，商品出貨後，消費者能在網頁上看到貨車即時位置，以及分鐘等級的預測抵達時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/bbdt.jpg" style="width: 600px;" /></p> <p>Best Buy一出車，就會一次運送及安裝多個家庭的大型家電，因此預測抵達和安裝時間比乍看之下困難。不只需要貨車到消費者家的交通時間預測，還需要結合需求預測、交通模式分析、送貨路徑分析等技術。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://innovation.ebayinc.com/tech/features/ebay-introduces-intuitive-search-redesign-to-elevate-shopper-experience/">經過18個月的研究及調整，eBay上線了新的版搜尋介面</a>並將持續利用機器學習來輔助介面設計調整</p> <p>2. <a href="https://www.instacart.com/company/pressreleases/instacart-and-ibotta-join-forces/">生鮮雜貨外送商Instacart和CPG數位行銷商Ibotta的優惠券平臺整合，提供零售業者及供應商更多追蹤及行銷選項</a></p> <p>3. 梅西百貨拓展RMN服務範圍到非零售商品廣告，現在還能用第一方數據來投放信用卡申辦和加入會員忠誠度計畫的廣告</p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：樂天、Google、Best Buy、Walmart、Etsy</p> <p></p> </div></div></div>
2024/8/22 18:33作者郭又華https://www.ithome.com.tw/news/164633
CrowdStrike更新事件造成7月北美航班取消增加一倍，達美航空取消6,500架次最嚴重
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於<a href="https://www.ithome.com.tw/news/164030">CrowdStrike更新事</a>故引發Windows大當機的事件，對於全球航班造成了極大衝擊，期間不斷有媒體報導這起IT故障對飛航旅客的影響，包括導致數千個航班被取消或延誤，數萬名旅客滯留各地機場、取消或推遲行程，後續又傳出達美航空（Delta Air）災情嚴重等消息，但這些資訊過於零碎。</p> <p>如今這起事故發生一個月後，我們發現航空數據分析公司Cirium在8月<a href="https://assets.fta.cirium.com/wp-content/uploads/2024/08/12153952/OTP-Monthly-Report-July-airlines-2024-prmc.pdf">發布了航班準時表現（On-Time Performance，OTP）的月度報告</a>中，揭露了更整體的概況，指出北美7月的航班取消數量暴增98%，歐洲的數量增加34%，在航空公司方面，以達美航空與其合作夥伴的航班取消最多，有近6,500個航班取消，佔全球總數的三分之二。</p> <p>根據Cirium的報告指出，這起大規模IT故障造成航空業陷入混亂，光是7月19日至21日期間，全球就有超過 5,000個航班被取消，以及數千個航班延誤。</p> <p>從全球各區域影響來看，Cirium指出，北美、歐洲與亞太地區的航空公司與機場因高度依賴微軟的系統，影響較為嚴重，至於拉丁美洲、中東與非洲地區，影響是相對較小。</p> <h3><strong>7月北美航班取消數量破2萬，明顯比上一個月倍增</strong></h3> <p>這一個月來，由於各界均將焦點放在達美航空，因為該公司執行長Ed Bastian在事故2天後就曾<a href="https://news.delta.com/update-delta-customers-ceo-ed-bastian">透過官方部落格說明災情</a>，指出40,000多臺Windows伺服器必須手動重啟，而且該公司與Delta Connection航空因此事件造成超過3,500個航班取消。後續，亦有不少新聞報導是圍繞在達美航空的災情。</p> <p>在Cirium的報告中，對於北美地區與達美航空的概況，有更明確的統計數據。</p> <p>基本上，這起IT故障造成的影響，很明顯地反映在整體7月的航班取消數量上。以北美而言，在7月有23,393個航班取消，數量創下新高紀錄，比起6月的11,806個航班取消，取消數量增加了98%，將近1倍，是受衝擊最大的地區。</p> <p>Cirium也特別指出，達美航空是受此事故影響最嚴重的航空公司，其機組人員排班也受影響，並且這段期間內有近6,500個航班取消。若進一步以達美及其地區合作夥伴的航班來看，在這次IT故障期間的取消航班數量，其佔比更是達全球總數的三分之二。</p> <p>至於航空準時率方面，以達美航空主要樞紐機場亞特蘭大國際機場而言，其準時率也從6月的78.58%，大幅下降至7月的63.94%。不過，達美航空7月的整體航空準時表現率，仍有72.36%的水準，名列北美航空公司第三名。</p> <h3><strong>歐洲航班也受明顯地影響，亞太狀況相對較好</strong></h3> <p>在歐洲地區的航班，也明顯受到這起IT故障事件的波及，主要影響了該地區主要航空公司與機場的預訂與登機服務，因此7月的航班取消數量達到10,976個，比起6月的8,145個，取消數量增加了34%，而準時表現分數也大幅下降。</p> <p>至於亞太地區，Cirium指出，這次IT故障也導致多個機場的的線上處理系統出現嚴重延誤與中斷，包括：澳洲、中國、印度、日本、紐西蘭、新加坡與泰國等，但航班取消狀況相對少很多。</p> <p>雖然這份報告並未提及臺灣的狀況，不過，<a href="https://www.facebook.com/TIAfans/posts/928870105706965">桃園機場公司在當日7月19日傍晚5時36分</a>就有公布受影響狀況，指出當天事故影響了7家航空業者的作業，包括：虎航、酷航、香港快運、Airasia系列、濟州、捷星、易斯達，當時已陸續恢復報到畫位服務。但達美、聯合航空仍有航班延誤或取消等異動。</p> <p> </p><p> </p><p> </p> </div></div></div>
2024/8/22 10:44作者羅正漢https://www.ithome.com.tw/news/164609
國科會揭5年360億智慧科技大南方方案，要提高國家算力至480 PFLOPS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會今日（8/22）揭露為期5年的智慧科技大南方生態系推動方案，要透過擴算力、鏈場域、引人才、展應用等4大策略，亦即將公部門算力提高25倍至480 PFLOPS，並以沙崙科學城為中心，垂直延伸到嘉義、屏東等地形成半導體S廊帶，還要整合南部15所技職學校、吸引國際人才，來打造適合各種產業情境的AI應用，擴大產業AI化、AI產業化範圍。</p> <p><span style="font-size:22px;"><strong>瞄準3大目標，首先要將算力提高25倍</strong></span></p> <p>國科會主委吳誠文指出，這個智慧科技大南方產業生態系推動方案，是要呼應總體賴清德的均衡臺灣國政願景，因此從臺灣南部出發，要以既有的科技實力帶動全臺AI發展。</p> <p>國科會常務副主委蘇振綱說明，大南方生態系推動方案有3個目標，首先是讓臺灣具備AI研發能力，不只是硬體，還要延伸到軟體；再來是臺灣也要具備系統整合能力，從產業需求面與應用面出發，結合硬體製造設計、規格製定，進而達到符合需求和應用層面的系統整合。最後是要百工百業都能運用AI，包括醫療健康、製造、民生服務等。</p> <p>他解釋，該方案自2025年啟動，第一年為預備年，2026年則正式展開至2029年止。在經費方面，政府將投入至少360億元，並執行4大策略來實現3項目標。</p> <p>第一個策略是提高算力。截至2023年，公部門所擁有的算力為19 PFLOPS，來源包括臺灣杉二號、臺灣杉三號、創進一號（原臺灣杉四號）和TAIDE計畫主機。自2024年至2028年，政府計畫透過大南方生態系推動方案，新添200 PFLOPS算力，再加上已經啟動的臺灣晶創方案，又會添加280 PFLOPS算力，可將公部門整體算力提升至480PFLOPs，達到目前算力的25倍。</p> <p><span style="font-size:22px;"><strong>以沙崙為中心垂直延伸半導體場域，還要發展AI人才</strong></span></p> <p>再來，第二個策略是鏈結場域，要以沙崙既有的資安暨智慧科技研發大樓、綠能科技示範場域和中央研究院南分院3地為AI產業發展中心，向北向南垂直擴展為半導體S廊帶，包括南科管理局負責的嘉義、橋頭、屏東等園區智慧複合樓群，來形成南方AI產業發展基地，要促進產業系統整合。</p> <p>在這個策略中，政府將興建不少大樓基地，來推動AI發展，包括2027年5月要完工的嘉義園區，2024年12月要落成的沙崙AI產業基地C區B棟大樓，以及同樣是沙崙AI產業基地，2028年12月要完工的C區AI中心和F區健康產業大樓。此外還有預計2026年完工的橋頭園區和2027年的屏東園區。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-22%20170931.png" /></p> <p>其中，國科會將在沙崙AI產業專區建置國家級AI超級電腦，來提供AI發展所需的算力，並整合沙崙既有的資安暨智慧科技研發大樓，來發展智慧健康、智慧交通和智慧生活主題的AI產業應用。</p> <p>下一個策略是人才培育，國科會不只鎖定南部15所技職校院共5,400位教師，來建立特色團隊、協助在地產業進行AI轉型，也要透過化合物半導體科技人才訓練基地，來培育專業晶片設計人才，並結合既有的沙崙資安基地、建立晶片暨系統整合服務平臺，來引入AI相關人才進駐，滿足當地人才需求、加速產業轉型。</p> <p><span style="font-size:22px;"><strong>推動更多產業運用AI，還要發展自主AI系統設計能力</strong></span></p> <p>至於最後一個策略，是要擴大AI應用，讓更多產業都能使用AI解決業務問題。進一步來說，國科會將整合資訊、人才和能源，也就是國家級算力與資料庫、業師制度人才培育，以及綠能科技和智慧電網場域，來讓7大產業更容易使用AI，包括資通訊／資安、建康產業、車用零組件製造、智慧農業、淨零綠能、金屬加工業和智慧餐飲等。</p> <p>吳誠文也強調，政府希望透過這個方案，培養出臺灣自主AI系統設計能力，盼培育出臺灣自主的雲端服務廠商。</p> <p></p> </div></div></div>
2024/8/22 17:20作者王若樸https://www.ithome.com.tw/news/164630
微軟Copilot Studio存在SSRF漏洞，攻擊者有機會存取內部敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧相關的應用系統當紅，這類系統衍生的漏洞也相當受到關注，繼上週資安業者Tenable公布<a href="https://www.ithome.com.tw/news/164489">Azure Health聊天機器人服務漏洞</a>，本週他們針對微軟提供企業自訂AI副手功能的工具Copilot Studio，公布當中存在資安漏洞。</p> <p>研究人員針對<a href="https://www.tenable.com/blog/ssrfing-the-web-with-the-help-of-copilot-studio">Copilot Studio伺服器請求偽造（SSRF）漏洞CVE-2024-38206進行說明</a>，指出攻擊者可透過這項漏洞存取服務內部潛在的敏感資訊，該漏洞被列為重大層級，CVSS風險評分為8.5，微軟於8月6日已完成修補並發布公告。</p> <p>對於這項漏洞發現的過程，研究人員指出，他們是在調查Azure AI Studio及Azure ML Studio與API有關的SSRF漏洞過程中，發現也存在於Copilot Studio，於是他們進行確認並向微軟進行通報。</p> <p>研究人員指出，透過漏洞可利用Copilot發出外部網路請求的功能，一旦攻擊者結合繞過SSRF防護措施的手法，就有機會存取Copilot Studio的內部基礎設施，包含執行個體中繼資料服務（Instance Metadata Service，IMDS），以及內部的Cosmos資料庫系統，從而取得Copilot Studio的內部資料。</p> <p>由於這項AI服務有多個租戶採用，研究人員測試後指出雖然他們無法直接存取其他租戶的資訊，但由於Copilot Studio的基礎設施在租戶之間共用，一旦其基礎設施受到影響，有可能同時影響多個用戶，其資安風險也隨之放大。研究人員特別提出警告，藉由此漏洞，攻擊者對於目標系統所屬內部網路環境的其他主機，可不受限制地存取。</p> </div></div></div>
2024/8/22 16:32作者周峻佑https://www.ithome.com.tw/news/164626
Azure Kubernetes Services有漏洞，攻擊者可藉由TLS引導攻擊提權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Mandiant揭露Azure Kubernetes Services有漏洞，並<a href="https://cloud.google.com/blog/topics/threat-intelligence/escalating-privileges-azure-kubernetes-services/">命名為WireServing</a>，影響在網路組態使用「Azure CNI」、網路政策採用「Azure」配置的Kubernetes（K8s）叢集，攻擊者若在這類叢集正在運作的節點執行命令，就有機會下載叢集節點的組態配置，從而取得TLS引導憑證（Token），並執行TLS引導攻擊（TLS Bootstrap Attack），進一步讀取叢集裡所有的機敏資料。微軟接獲研究人員的通報，已從問題根源進行處置。</p> <p>而對於這項漏洞帶來的影響，攻擊者一旦得到能夠存取的Azure Kubernetes服務叢集權限，就有機會藉此進行權限提升，並存取叢集服務使用的帳密資料。攻擊者不僅能取得敏感資料，還有可能造成資料外洩、財務損失、受害組織的信譽受損等影響。</p> <p>研究人員揭露的漏洞利用攻擊手法，是利用Azure並未記載於文件的內部元件WireServer，雖然微軟<a href="https://learn.microsoft.com/zh-tw/troubleshoot/azure/virtual-machines/linux/linux-azure-guest-agent">在WALinuxAgent的說明文件</a>提及這項元件，但僅指出用途是處理Linux虛擬機器與Azure Fabric的互動。</p> <p>他們對這項元件發出請求，取得用來保護組態的金鑰wireserver.key，並透過另一項名為HostGAPlugin的元件取得JSON檔案，並以該金鑰解開特定的指令碼，從而取得一系列的機敏資料，其中包含環境變數，有了這些資料，攻擊者就能進行權限提升。</p> <p>這些環境變數可讓攻擊者取得節點的通用TLS金鑰及憑證、K8s的CA憑證，以及TLS引導憑證。研究人員指出，雖然這種管道取得的帳號在AKS僅具備最小的K8s權限，但這種帳號能列出叢集裡的所有節點。</p> <p>另一方面，上述提及的TLS引導憑證不僅能用於TLS引導攻擊，還能得到工作酬載使用的機密存取權限。</p> </div></div></div>
2024/8/22 15:12作者周峻佑https://www.ithome.com.tw/news/164619
GitHub認為生成式AI正改變軟體開發，但企業政策與開發者實際使用存在落差
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub針對人工智慧在軟體開發中的使用狀況進行<a href="https://github.blog/news-insights/research/survey-ai-wave-grows/#the-reported-benefits-of-ai-coding-tools">調查</a>，發現人工智慧正在改變軟體開發產業，幾乎所有開發者都已經使用人工智慧工具輔助程式開發，並且享受人工智慧工具帶來的優點，包括改善程式碼品質，更快速編寫測試程式碼，以及更容易理解程式碼庫和開始使用新語言。</p> <p>在GitHub調查的2,000位受訪者中，已有超過97％的受訪者在軟體開發使用過人工智慧程式碼開發工具，無論是在工作內外。而這也代表著他們的使用，並不一定經過公司允許。</p> <p>雖然調查顯示，企業正逐漸擁抱人工智慧，但是仍有許多成長空間，而且不同市場差異極大，較保守的德國僅有59％的企業鼓勵或是允許員工使用人工智慧工具，而在美國則有88％。97％的受訪者已經將人工智慧工具用於工作內外的軟體開發，對比企業的態度存在一定的差距，顯示企業應該完善策略與政策面，以消弭之間的差異。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image5_dd1e4f.jpg" style="width: 580px;" /></p> <p>越來越多開發者開始使用人工智慧工具輔助程式開發，同時也發現更多這些工具能夠帶來的優勢。根據GitHub的調查，開發者認為的好處包括提高程式碼品質、生成更好的測試案例，以及加快採用新語言的速度等。這些優點能夠節省開發者的時間，使他們專注在更具戰略性的任務。</p> <p>美國有高達90％受訪者和印度有81％的受訪者，同意人工智慧工具能夠提高程式碼品質，巴西與德國的比例較低，但也有61％與60％的受訪者認同，GitHub提到，這與他們2023年與Accenture一起進行的研究結果相符合。</p> <p>儘管市面上有不少調查顯示，人工智慧開發輔助工具所生成的程式碼安全性值得擔憂，但不可否認的是生成式人工智慧確實正在改變軟體開發，並對程式開發帶來不少好處，然而，在面對人工智慧浪潮上，企業可能需要更積極地建立制度與準則，才能確保人工智慧工具的使用規範和安全性。</p> </div></div></div>
2024/8/22 15:33作者李建興https://www.ithome.com.tw/news/164618
Google釋出Chrome 128，修補已遭攻擊的V8漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三（8/21）<a href="https://chromereleases.googleblog.com/2024/08/stable-channel-update-for-desktop_21.html" target="_blank">釋出</a>Chrome 128，修補了38個安全漏洞，包括一個已遭駭客利用的CVE-2024-7971漏洞，而這也是Chrome今年發現的第9個零時差漏洞。</p> <p>CVE-2024-7971漏洞位於Chrome所使用的JavaScript引擎V8，它是個類型混淆（Type Confusion）漏洞，是由微軟威脅情報中心（MSTIC）及微軟安全回應中心（MSRC）所提交。Google表示，已發現鎖定CVE-2024-7971漏洞的攻擊程式。</p> <p>在Google此次修補的Chrome漏洞中，有6個被列為高度（High）風險漏洞，當中除了CVE-2024-7971之外，CVE-2024-7969與CVE-2024-7965也都位於V8引擎。</p> <p>除了修補安全漏洞之外，Chrome團隊也透過YouTube<a href="https://www.youtube.com/watch?v=gpwdLX86wD8" target="_blank">官方頻道</a>揭露Chrome 128新增的各種開發功能。</p> </div></div></div>
2024/8/22 13:57作者陳曉莉https://www.ithome.com.tw/news/164616
蘋果拆分App Store團隊，負責人Matt Fischer離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博社（Bloomberg）本周引用消息來源<a href="https://www.bloomberg.com/news/articles/2024-08-21/apple-s-app-store-head-to-leave-in-reorganization-amid-global-scrutiny" target="_blank">報導</a>，為了因應歐盟《數位市場法》（Digital Markets Act，DMA），蘋果將著手重整App Store，將其拆分成兩個團隊，原本的負責人Matt Fischer則準備離職。</p> <p>根據報導，App Store將被分為兩個團隊，一個負責蘋果自家的App Store，主管為Carson Oliver，另一個負責替代式的程式分發，亦即第三方的程式遞送管道，主管為Ann Thai；至於在2010年接管App Store，已於蘋果任職21年的Fischer，則將於10月離開蘋果。</p> <p>歐盟於今年3月正式強制施行的《數位市場法》要求蘋果必須開放第三方程式市集、第三方瀏覽器引擎與第三方支付機制，蘋果也依照該規定<a href="https://developer.apple.com/support/dma-and-apps-in-the-eu#ios-app-eu" target="_blank">更新其相關政策</a>，包括允許歐盟使用者自其它應用程式市集安裝程式，並直接自開發者的網站上下載與安裝市集。</p> <p>不過，開發者必須取得蘋果的授權，才能存取蘋果專為新市集所打造的框架與各種API，而這可能就是蘋果App Store的新團隊所要負責的事務。</p> </div></div></div>
2024/8/22 12:18作者陳曉莉https://www.ithome.com.tw/news/164611
微軟8月更新讓Linux於雙重啟動系統中失效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux社群最近發現，在安裝了微軟於8月所釋出的安全更新之後，在Windows及Linux雙啟動系統中，無法再啟動Linux。不過，微軟說明，這可能是因為這些Linux版本過於老舊所造成，只要更新Linux便能解決。</p> <p>此一事件的主角為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-2601" target="_blank">CVE-2022-2601</a>，該漏洞存在於負責支援安全啟動的Linux GRUB2啟動加載器上，它含有一個緩衝區溢位漏洞，可能形成越界寫入，進而繞過安全啟動。它是個Linux漏洞，該漏洞編號亦是由紅帽（Red Hat）所指派，但因它可能影響Windows的安全性而被列入微軟的安全更新。</p> <p>然而，科技媒體Ars Technica<a href="https://arstechnica.com/security/2024/08/a-patch-microsoft-spent-2-years-preparing-is-making-a-mess-for-some-linux-users/" target="_blank">指出</a>，不管是Debian、<a href="https://askubuntu.com/questions/1523353/windows-aug-13-update-broke-my-ubuntu-system" target="_blank">Ubuntu</a>或<a href="https://forums.linuxmint.com/viewtopic.php?t=427297&sid=dab5f35699069b1d030e710a1eb3c793" target="_blank">Linux Mint</a>等Linux社群都在部署更新後傳出了災情，無法再於Windows及Linux雙啟動系統中啟動Linux。</p> <p>之後微軟也對此提出了說明，表示為了解決此一安全問題，Windows部署了一個安全啟動進階定位（Secure Boot Advanced Targeting，SBAT）來封鎖可能會影響Windows安全的Linux啟動加載器漏洞，此一更新並不適用於Windows及Linux的雙啟動系統，也不應影響這些系統。使用者或許會發現較舊的Linux版本無法啟動，那麼應與Linux供應商聯繫以更新版本。</p> <p>但根據報導，許多安裝最新Linux版本的系統依然受到影響。現階段Linux社群提出了兩種暫時性的補救措施，一是關閉安全啟動功能，二是移除微軟的安全更新。</p> </div></div></div>
2024/8/22 12:35作者陳曉莉https://www.ithome.com.tw/news/164612
用AWS應用程式負載平衡系統驗證身分，恐面臨ALBeast攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>應用程式資安業者Miggo揭露<a href="https://www.miggo.io/resources/albeast-security-advisory-alb-vulnerability">名為ALBeast的重大層級漏洞</a>，此漏洞與組態設定有關，影響利用AWS應用程式負載平衡系統Application Load Balancer（ALB）進行身分驗證的應用程式，針對在曝露於網際網路的應用程式，攻擊者有機會藉此繞過身分驗證及授權要求。研究人員4月發現該漏洞，截至目前為止，至少有1.5萬個利用ALB身分驗證機制的應用程式曝險。</p> <p>研究人員指出，<a href="https://www.miggo.io/resources/uncovering-auth-vulnerability-in-aws-alb-albeast">ALBeast大致會造成3種影響</a>，可區分為配置錯誤、不當實作，以及發行者偽造的層面。</p> <p>首先是配置錯誤的部分，由於部分應用程式配置為ALB目標群組，而能繞過ALB管制並直接存取，攻擊者可濫用指定區域、能存取所有AWS帳號的公鑰伺服器，設定任意的Key ID（kid），從而在應用程式驗證偽造的ALB JWT憑證（Token）。</p> <p>第二，關於不當實作，原因在於AWS的文件未提及有關憑證簽署者的指引，使得缺乏這種實作的應用程式容易受到ALBeast攻擊。</p> <p>至於發行者偽造的情況，則是指攻擊者利用自己控制的ALB，就有機會偽造具備任意身分驗證提供者（IdP）簽署的ALB憑證。換言之，這代表不當配置的應用程式若是由這種IdP進行驗證，就會曝露ALBeast弱點。</p> <p>究竟駭客如何利用上述漏洞？研究人員指出，攻擊者事先建置自己的ALB，然後將其用來簽署能完全掌控的憑證，接著調整ALB組態，並對目標設置簽署者。</p> <p>這麼一來，AWS就會以前述設置的簽署者為駭客偽造的憑證進行簽章，使得攻擊者最終能利用該憑證繞過身分驗證及授權流程，存取受害組織的應用程式。</p> <p>研究人員將上述發現在4月6日通報AWS，並在揭露與修復過程緊密合作。</p> <p>ALBeast衝擊的範圍有多大？研究人員指出，這項漏洞不僅影響AWS代管的應用程式，其他公有雲代管或內部建置的應用系統也可能遭殃。根據調查，他們在37.1萬個應用程式裡，找到有1.5萬個採用ALB驗證功能而可能曝險的系統，研究人員已試圖聯繫受到影響的企業組織。</p> </div></div></div>
2024/8/22 12:35作者周峻佑https://www.ithome.com.tw/news/164613
中華電信將引進SES中軌衛星服務來臺，最快明年第一季推出商用服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信宣布已與盧森堡衛星服務業者SES合作，將獨家代理SES中軌衛星服務來臺，未來將向數位部申請頻率，取得NCC網路營運相關審核後，最快可望於明年第一季提供中軌衛星商用服務。</p> <p>中華電信與SES簽署國內獨家代理契約，計畫引進其第二代中軌衛星系統MEO O3b mPOWER服務。由於中華電信與電信技術中心合作，共同參與數位部以衛星通訊強化我國通訊網路韌性驗證計畫，在緊急狀態下，行網、固網發生異常無法提供服務下，利用衛星通訊維持政府機關通訊需求，因此中華電信表示，SES中軌衛星服務將在9月優先提供政府單位使用。</p> <p>至於商用服務部分，在與SES簽約後，中華電信將向數位部提出使用頻率申請，未來待取得頻率核配及商用許可，該公司預期最快明年第一季提供SES中軌衛星商用服務，適用於航運業、科技業，以及與重要民生經濟產業相關的業者申請使用。考量到中軌衛星服務的定位，暫不開放一般民眾申請。</p> <p>中華電信指出，MEO O3b mPOWER為SES第二代中軌衛星系統，提供高速、低延遲的衛星通訊服務，透過與SES合作，中華電信擴大在衛星通訊服務布局，在緊急狀態下，通過衛星通訊備援，對企業競爭力、民生經濟穩定、業務持續性相當重要。臺灣雖然寬頻網路普及，但經常受到颱風、地震等災害，造成地面或海底通訊網路故障，通過衛星可以緊急建立連線，滿足迫切的通訊需求。</p> <p>中華電信目前已有ST2高軌道衛星服務，該公司先前預告將擴大高、中、低軌衛星布局，透過建立多軌衛星通訊服務，以提升國內網路服務的韌性，包括對政府機關、企業提升通訊韌性。</p> <p>除了中軌衛星服務，去年11月，中華電信也與國際衛星服務Eutelsat達成合作協議，將引進Eutelsat底下的低軌衛星服務OneWeb，今年2月已先取得數位部頻率核配，正提出衛星網路設置及商用服務許可，目前正由NCC審核，該公司表示，待通過網路及通訊監察審驗後，很快提供企業申請商用服務。</p> <p>換言之，非同步軌道衛星通訊服務，不論中軌的SES或是低軌衛星OneWeb可望在明年在臺灣開始提供商業服務，在地面通訊服務不及之處，利用非同步軌道衛星提供企業建立備援或緊急通訊網路。</p> <p><span style="color:#B22222;"><strong>目前非同步軌道衛星已涵蓋全臺</strong></span></p> <p>由於國際關係緊張，兩岸近期對立，數位部在2022年開始推動「應變或戰時應用新興科技強化通訊網路數位韌性」前瞻計畫，其中就運用衛星通訊來強化我國的通訊網路韌性，當發生緊急事件，地面通訊如海纜、行動及固定網路受到破壞，技術上驗證透過非同步軌道衛星通訊作為緊急備援通訊，預計今底完成布建國內700個非同步衛星終端設護備站點，70個基地臺後傳鏈路站點，在國外建置3個非同步軌道衛星站點。</p> <p>數位部在今年7月初展現這項計畫初步成果，強調非同步軌道衛星通訊服務，包括SES中軌衛星、OneWeb低軌衛星服務已涵蓋臺灣本島，以及澎湖、金馬等外島，並且實際連線測試，SES中軌衛星可提供100Mbps下載與50Mbps上傳網路，今年6月為止，國內已建立9個中軌衛星站點，作為行動基地臺的衛星後傳鏈路。</p> <p>至於OneWeb低軌衛星服務已涵蓋臺灣、金門、馬祖、澎湖、蘭嶼，實際測試下載速度約90到100Mbps，上傳速度約為7到20Mbps之間，數位部預期今年底之前，OneWeb計畫開通在泰國、南日本的地面站，除了實現24小時連接非同步軌道衛星通訊，並且再擴大衛星通訊頻寬容量。</p> </div></div></div>
2024/8/22 12:16作者蘇文彬https://www.ithome.com.tw/news/164610