iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

YouTube正在開發AI檢測工具，防止創作者的影像及聲音被複製
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube周四（9/5）<a href="https://blog.youtube/news-and-events/responsible-ai-tools/" target="_blank">宣布</a>，正在開發新的工具以保護藝術家與創作者，避免他們的影像與聲音遭到複製。</p> <p>其中一個工具為新的合成歌唱識別技術，將被整合到Content ID中，以讓合作夥伴得以在YouTube上自動偵測及管理來自於AI，且模擬其歌聲的內容。Content ID原本就是用來識別及管理YouTube版權內容的工具，未來將加入偵測生成式AI的能力。</p> <p>另一個工具則可讓不同領域的使用者，如創作者、音樂家、演員或運動家等，得以檢測及管理在YouTube上的AI生成內容，特別是這些內容使用了他們的臉孔。</p> <p>YouTube表示，Content ID目前每年已可處理數十億則的版權主張，替創作者帶進數十億美元的新營收，將努力把相同等級的保護與授權帶進AI時代。此外，為了滿足創作者與第三方的合作需求，YouTube也正在打造能讓創作者選擇如何在該平臺與AI業者合作的方式。</p> </div></div></div>
2024/9/6 13:24作者陳曉莉https://www.ithome.com.tw/news/164892
Palo Alto Networks宣布完成買下IBM QRadar SaaS業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Palo Alto Networks周三（9/4）<a href="https://www.paloaltonetworks.com/company/press/2024/palo-alto-networks--closes-acquisition-of-ibm-s-qradar-saas-assets" target="_blank">宣布</a>，已完成對IBM QRadar SaaS業務的收購，將把QRadar SaaS客戶遷移到Palo Alto Networks的Cortex XSIAM平臺。外傳此一交易價值50億美元。</p> <p>IBM QRadar為一模組化的安全套件，其產品包括端點偵測與回應（EDR）、端點多層偵測與回應（XDR），受控的端點偵測與回應（MDR）、QRadar SIEM安全分析工具，可自動化編排事件回應流程的QRadar SOAR，以及日誌洞察與管理產品QRadar Log Insights 等。</p> <p>至於由Precision AI驅動的Cortex XSIAM則是在單一平臺上整合SIEM、SOAR、ASM與XDR等能力，大幅簡化安全操作並預防威脅。</p> <p>在把IBM QRadar交給了Palo Alto Networks之後，IBM除了將協助QRadar客戶遷移到Cortex XSIAM之外，也正在部署Cortex XSIAM作為IBM的下一代安全操作，成為Cortex XSIAM的首選管理安全服務供應商，並正培訓逾1,000名IBM顧問來了解Palo Alto Networks的安全解決方案。</p> <p>打算保留在本地端的QRadar用戶則可繼續獲得IBM的功能與支援，包括安全性、可用性及修補重要臭蟲等。</p> </div></div></div>
2024/9/6 14:12作者陳曉莉https://www.ithome.com.tw/news/164893
北韓駭客Lazarus利用冒牌視訊會議軟體FreeConference，鎖定求職者下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客鎖定線上求職者發動攻擊的情況，最近2至3年不時有事故傳出，其中專門針對開發人員而來的攻擊行動Contagious Interview（也被稱做Dev#Popper），引起多組研究人員關切，最近有了新的發現。</p> <p>資安業者Group-IB指出，<a href="https://www.group-ib.com/blog/apt-lazarus-python-scripts/">他們在8月中旬發現冒充視訊會議軟體FreeConference的惡意程式</a>，經過分析確認是北韓駭客組織Lazarus使用的BeaverTail。這些駭客假借徵才的名義，誘騙求職者下載含有BeaverTail的Node.js檔案，一旦依照指示執行，此惡意軟體便會進一步於受害電腦載入Python後門程式InvisibleFerret，研究人員指出，這些駭客原本針對Windows電腦下手，但從今年7月開始，<a href="https://objective-see.org/blog/blog_0x7A.html">針對macOS開發的BeaverTail也出現相關攻擊行動</a>。</p> <p>而對於這些駭客從事的攻擊行動，究竟出現那些變化？首先，是原本他們主要透過職場社群網站LinkedIn尋找下手目標，但現在也經由其他求職網站進行，這些包括：WWR、Moonlight、Upwork。</p> <p>一旦他們成功取得聯繫，就會試圖改用Telegram進行後續交談，然後再進一步要求面試者下載特定的視訊會議應用程式，或是Node.js專案，以便進行後續的面試流程。</p> <p>研究人員提及，這些駭客原本主要關注與加密貨幣有關的儲存庫來引誘想要求職的專業人士，近期也使用類似的策略，將惡意JavaScript指令碼注入與遊戲有關的儲存庫，並以分析或調查為由，要求面試者下載惡意軟體，但這次駭客的手法出現變化，他們開始以視訊會議軟體為由引誘面試者上當。</p> <p>根據駭客散布冒牌FreeConference應用程式的網站hxxp://freeconference[.]io進行調查，研究人員發現該網站SSL憑證是在8月2日簽發，與另一個用來散布BeaverTail冒牌MiroTalk網站mirotalk[.]net，都是由相同的單位進行簽章。</p> <p>研究人員從7月下旬至8月中旬，總共看到3個打包成Windows安裝檔（FCCCall.msi）的BeaverTail，指出這些軟體以跨平臺開發框架Qt6打造而成，不久後他們也看到macOS版惡意程式。</p> <p>一旦使用者啟動視訊會議軟體，電腦就會要求輸入會議邀請碼，但在此同時，惡意程式也在後臺運作。</p> <p>此惡意程式專門從瀏覽器及其延伸套件當中，挖掘各式帳密資料，得逞後下載Python執行檔及下個階段的有效酬載InvisibleFerret。</p> <p>值得留意的是，駭客不只針對Windows、macOS開發BeaverTail，他們也打造威力更強大的Python版本，除具備前述竊取資料的功能，並能為攻擊者部署AnyDesk供遠端存取，駭客也為其開發外掛套件擴充其他功能。研究人員指出，他們看到尚未使用的新功能函數，研判駭客正積極開發該惡意程式。</p> </div></div></div>
2024/9/6 12:06作者周峻佑https://www.ithome.com.tw/news/164889
美國公民以機器人及AI詐騙音樂串流平臺，被告了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部近日<a href="https://www.justice.gov/usao-sdny/pr/north-carolina-musician-charged-music-streaming-fraud-aided-artificial-intelligence" target="_blank">起訴</a>了一名52歲的美國公民Michael Smith，因為Smith利用機器人帳號及包括AI在內的各種技術欺騙了Amazon Music、Apple Music、Spotify及YouTube Music，詐取了高達1,000萬美元的版稅。</p> <p>上述的音樂串流平臺都會在播放歌曲時，將特定比例的版稅發送給音樂家與詞曲作者，於是Smith便在這些平臺上建立了數千個機器人帳戶，再利用軟體要求這些機器人不停地串流屬於Smith的音樂，估計每天串流相關歌曲的次數達66.1萬次，每年可替Smith創造120萬美元的版權收入。</p> <p>由於如果某首音樂被串流超過10億次就會引起平臺的關注，使得Smith決定要生產更多的音樂，並於2018年與一家AI音樂業者合作，透過AI快速創作了數十萬首音樂，這些音樂不僅有不同的名稱，Smith還替它們建立了不同的作者，以用來詐騙串流平臺。</p> <p>總之，Smith利用數千個機器人帳戶，播放了數十億次、由AI創作，屬於Smith的音樂，並讓Smith獲得了超過1,000萬美元的版稅。</p> <p>Smith被指控的罪名包括電信詐欺、電信詐欺共謀，以及洗錢共謀等，每個罪名的最高刑期皆為20年。</p> </div></div></div>
2024/9/6 13:07作者陳曉莉https://www.ithome.com.tw/news/164890
馬來西亞政府及政治人物遭到鎖定，駭客對其散布木馬Babylon RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政治人物成為駭客下手的目標不時傳出，但過往大部分攻擊的目標集中在美國及歐洲地區，如今有駭客針對東南亞國家發動攻擊。</p> <p>資安業者Cyble發現<a href="https://cyble.com/blog/the-intricate-babylon-rat-campaign-targets-malaysian-politicians-government/">使用惡意ISO映像檔的攻擊行動</a>，主要目標是馬來西亞政治人物及政府官員，此映像檔內含偽裝成PDF文件的LNK檔案，以及惡意程式、PDF檔案誘餌、PowerShell指令碼，一旦使用者開啟LNK檔案，電腦就會被植入木馬程式Babylon RAT。但究竟駭客如何散布ISO檔，研究人員表示不清楚。</p> <p>此木馬程式專為監控及竊取資料打造，並具備側錄輸入的按鍵、監控剪貼簿、挖掘密碼，也能執行攻擊者遠端下達的命令。為了持續在受害電腦運作，駭客透過竄改機碼的方式，確保該惡意軟體在電腦重開機後能繼續執行。</p> <p>攻擊者可藉由Babylon RAT秘密監控受害者的活動，並竊取各式敏感資訊。此外，開發者亦提供集中控管理介面，使得駭客能夠同時對於多臺電腦下手。</p> <p>研究人員從7月底開始，一共看到3個惡意ISO檔案，其中駭客使用的誘餌，涉及馬來西亞的政治議題、人民議會（Majlis Amanah Rakyat，MARA），以及當地政府系統MyKHAS，突顯攻擊目標的不同，但這些ISO檔還是存在共同之處，那就是除偽裝成PDF文件的LNK檔案，駭客將其他檔案皆設為隱藏屬性，意圖引誘受害者點選LNK檔案。</p> <p>值得一提的是，攻擊者為了迴避防毒軟體掃描，他們將Babylon RAT的執行檔參雜大量資料，使其檔案大小達到300 MB。</p> </div></div></div>
2024/9/6 13:09作者周峻佑https://www.ithome.com.tw/news/164891
卡巴斯基美國用戶被轉給當地不太有人認識的防毒業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月防毒軟體業者卡巴斯基（Kaspersky）退出美國市場，將美國用戶轉給了當地一家不甚知名的資安軟體供應商UltraAV，並即將在本月啟動移轉服務。</p> <p>一名用戶在Reddit上貼出本周四（9/5）<a href="https://www.reddit.com/r/antivirus/comments/1f9ps3e/kaspersky_beginning_transition_of_us_users_to/" target="_blank">接到</a>來自卡巴斯基的通知。通知指出，美國卡巴斯基用戶未來可獲得其合作夥伴UltraAV的網路安全防護。用戶可在現有付費訂閱下獲取UltraAV防毒功能，還包括VPN、密碼管理、身份盜竊防護等。未來幾天內，用戶就會接到UltraAV通知，告知如何啟用新帳號。</p> <p>同時間<a href="https://www.axios.com/2024/09/05/kaspersky-pango-group-antivirus-deal" target="_blank">Axios</a>報導，資安廠商Pango已收購所有卡巴斯基美國用戶。隨同供應商移轉，美國用戶本月就不會再接獲卡巴斯基的防毒軟體更新。UltraAV即為Pango的防毒服務品牌。PC Magazine<a href="https://www.pcmag.com/news/use-kaspersky-antivirus-software-youll-be-migrated-to-pangos-ultraav" target="_blank">報導</a>，這項消息已獲得卡巴斯基證實。</p> <p>對於UltraAV或Pango，許多用戶和媒體都十分陌生。事實上，這公司才剛經由拆分成立。總部位於波士頓的線上安全軟體業者Aura本周稍早<a href="https://www.pangoholdingcompany.com/2024/09/03/aura-splits-into-two-world-class-online-safety-companies/" target="_blank">宣布</a>將公司拆分為二，一是個人與家庭線上安全方案供應商Aura，二為企業和消費者網路安全供應商Pango Group。Aura聲稱，拆分後的Aura經常性年收入（annual recurring revenue）營收年成長率達40%，Pango年營收達2億美元，且具備「強勁現金流和健康成長」。Pango產品著重入侵回應、高擴充性安全產品及整合能力，其中似乎以VPN較為知名。</p> <p>Axios引述Pango總裁暨營運長Neill Feather說法，Pango透過和卡巴斯基的協議，取得約100萬新用戶。但業者並未透露這宗協議金額，也未說明其防毒能力是否來自卡巴斯基。</p> <p>本消息是卡巴斯基在7月20日在美國商務部發出禁售令後的結果。這發展也可能令美國用戶錯愕，因為這家俄國籍防毒軟體業者在結束營業前夕，還<a href="https://www.ithome.com.tw/news/163968" target="_blank">公布</a>產品提供美國消費用戶免費使用6個月。</p> </div></div></div>
2024/9/6 11:46作者林妍溱https://www.ithome.com.tw/news/164886
美、英、歐盟簽署公約以確保AI使用符合人權與民主
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於維護人權、民主與法治的歐洲理事會（Council of Europe）本周四（9/5）<a href="https://www.coe.int/en/web/portal/-/council-of-europe-opens-first-ever-global-treaty-on-ai-for-signature" target="_blank">開放</a>各國簽署一個有關人工智慧（AI）的框架公約，目的是確保AI的使用符合人權、民主及法治，成為史上第一個具備法律約束力的AI國際條約，包括美國、歐盟、<a href="https://www.gov.uk/government/news/uk-signs-first-international-treaty-addressing-risks-of-artificial-intelligence" target="_blank">英國</a>、澳洲、冰島、挪威及以色列等國家都已簽署該公約。</p> <p>歐洲理事會是個獨立於歐盟的國際組織，現有46個成員國，為聯合國的官方觀察員，主要藉由制定國際公約發揮影響力。</p> <p>歐洲理事會是在今年5月通過了全名為《歐洲理事會人工智慧、人權、民主及法治框架公約》（Council of Europe Framework Convention on artificial intelligence and human rights, democracy, and the rule of law）的國際公約，它提供一個覆蓋AI系統整個生態體系的法律框架，除了推動AI的進步與創新之外，也負責管理可能對人權、民主及法治構成威脅的風險，同時保持技術中立以維持其長駐性。</p> <p>該理事會秘書長Marija Pejčinović Burić表示，大家必須確保AI的興起是捍衛而非破壞我們的標準，此一框架公約的用途便在於此。Burić說，該公約是個強大且平衡的文本，它在起草時採用開放與包容的策略，同時讓它受益於多方與專家的觀點，它是個具有潛在全球影響力的開放公約，希望很快就會被批准並生效。</p> <p>該公約將會在5個簽署國（至少有3個歐洲理事會成員國）批准該公約之日起的3個月後生效。</p> </div></div></div>
2024/9/6 12:11作者陳曉莉https://www.ithome.com.tw/news/164888
0719全球IT大當機
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1198-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=v0HwfAbX" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個資安產品更新的疏忽，不僅導致用戶的Windows電腦當機，也導致金融、零售、航空服務大亂，影響醫療、媒體、鐵路運輸與911緊急救護的運作，突顯全球IT脆弱的一面</p> </div></div></div>
2024/9/6 10:30未署名https://www.ithome.com.tw/article/164883
CrowdStrike引發作業系統大當機，對全球衝擊有多大？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>這次CrowdStrike更新事故造成的全球IT故障，情形相當嚴重，由於時區的差異，臺灣發生在7月19日中午過後，但從全球的角度來看，先從大洋洲與亞洲開始發生（當地時間為19日中午），接下來是歐洲（當地時間為19日上午6時），再來是美洲（當地時間為19日凌晨）。</strong></span></p> <p><span style="font-size:22px;"><strong>這起事件，不只影響CrowdStrike企業用戶的Windows電腦，更是衝擊許多關鍵民生服務的運作。例如，整體災情不僅造成全球航空大亂，對於金融、零售、醫療的影響程度也不小，還包括鐵路運輸、媒體、公部門及911服務等眾多產業。</strong></span></p> <p><span style="font-size:22px;"><strong>只是，這段期間所有媒體報導的事故焦點，主要是對航空業的衝擊，但還有許多產業和領域受到影響，且資訊太多而零碎，因此我們依據產業列舉重大事件，幫助大家更清楚這場當機事故帶來的影響。</strong></span></p> <p> </p> <p><span style="font-size:36px;"><span style="color:#FFFF00;"><strong><span style="background-color:#000000;"> 臺灣CrowdStrike電腦大當機災情 </span></strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 金融業 </span></strong></span></span></p> <p><strong>● 金管會23日公布此事件對國內金融業的影響，有2家期貨商、4家投信業、5家壽險業、2家產險業者受影響。以保險業而言，受影響的伺服器與個人電腦均達到一千多臺。</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 高科技製造業 </span></strong></span></span></p> <p><strong>● 有業者因這起事故導致資料庫發生Dirty shutdown（髒卸載）情況，為確保資料交易正確性，晚間決定捨棄生產線上製程，重新進單生產。</strong></p> <p><strong>● 有業者僅18臺電腦受影響，但都是關鍵應用主機。</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 企業 </span></strong></span></span></p> <p><strong>● 有業者因部分電腦與伺服器有啟用BitLocker保護，因此復原過程較麻煩，還需要找回金鑰才能進行復原作業。</strong></p> <p><strong>● 有資服業者全公司3千多臺電腦受影響，總計花費3天，逐步以手動完成電腦復原的作業。</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 航空業 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A1198-%E8%87%BA%E7%81%A3%E8%88%AA%E7%A9%BA-600.png" style="width: 600px;" /></p> <p><strong>● 台灣虎航19日下午2點25分宣布，因訂位系統服務供應商（Navitaire）通知系統異常，採人工報到作業，可能造成航班延誤。</strong></p> <p><strong>● 桃園機場航空公司19日下午5點36分宣布公告，說明事件影響的7家航空業者（酷航、香港快運、Airasia系列、虎航、濟州、捷星、易斯達），已陸續恢復報到畫位服務。而達美、聯合航空仍有航班延誤或取消等異動。</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 醫療業 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A1198-%E8%87%BA%E7%81%A3%E9%86%AB%E7%99%82-600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%BF%BB%E6%94%9D%E8%87%AA%E8%8F%AF%E8%A6%96YouTube.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／翻攝自華視YouTube</span></span></p> <p><strong>● 臺大醫院傳出院方門診、住院、急診一度因系統故障而暫停的消息。</strong></p> <p><strong>● 臺北榮總的急診、住院服務櫃臺、檢驗及配藥作業，部分受到影響。</strong></p> <p><span style="color:#696969;"><span style="font-size:14px;"><strong>資料來源：iThome整理，2024年9月</strong></span></span></p> <p> </p> <p><span style="font-size:36px;"><span style="color:#FFFF00;"><strong><span style="background-color:#000000;"> 全球CrowdStrike電腦大當機災情 </span></strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 媒體業 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A1198-%E5%85%A8%E7%90%83%E5%AA%92%E9%AB%94-600.png" style="width: 600px;" /></p> <p><strong>● 英國Sky News電視臺19日的早餐節目無法直播，以新聞片段取代。</strong></p> <p><strong>● 澳洲ABC電視臺宣布19日早上11點的直播節目將出現延遲。</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 鐵路運輸業 </span></strong></span></span></p> <p><strong>● 英國國家鐵路19日宣布，影響多家火車營運商的服務，恐導致列車臨時取消，包括旅客資訊平臺等其他關鍵系統也受到影響。</strong></p> <p><strong>● 美國華盛頓都會區交通局在當地19日指出，受電腦當機影響，網站與內部系統關閉，早上5點列車班次與巴士可能延遲，MetroAccess呼叫中心關閉。</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 消防救護 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A1198-%E5%85%A8%E7%90%83%E6%B6%88%E9%98%B2-600.png" style="width: 600px;" /></p> <p><strong>● 美國紐澤西州州長19日發布公告，指出這次事故導致航班停飛、銀行業務中斷，並影響了企業和包括911呼叫中心在內的關鍵服務的運作。因此在當地時間凌晨3點啟動州緊急應變中心。</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 醫療業 </span></strong></span></span></p> <p><strong>● 德國北部城市Luebeck與Kiel的兩間醫院因系統故障，宣布當日手術與門診取消。</strong></p> <p><strong>● 英國國民健康服務NHS在19日發布公告，指出當地預約及病患記錄系統EMIS故障，這導致英國基層醫療體系第一線醫生運作全受影響，以及部分醫院的行政系統也出現問題。</strong></p> <p><strong>● 美國有多地醫院遭受不同程度的影響，例如：Harris Health System暫停看診，Providence Health & Services無法使用病歷系統。</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 航空業 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A1198-%E5%85%A8%E7%90%83%E8%88%AA%E7%A9%BA-600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWCNC.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／WCNC</span></span></p> <p><strong>● 全球許多機場在19日受IT故障事件影響，電腦無法作業導致出境大廳擠滿人潮，還有部分機場許多電子看板出現當機藍畫面。</strong></p> <p><strong>● 美國聯邦航空局19日表示，多家航空公司向他們請求協助，要求暫停地面航班，直至問題解決。全球許多航班延誤或取消，尤其北美地區。</strong></p> <p><strong>● 達美航空執行長Ed Bastian在事件兩日後（21日）表示，該公司和Delta Connection航空已取消超過3,500個航班，以及發生數千起班機延遲。他並在7月31日接受CNBC採訪，指出當機事故5天內就造成5億美元損失，並提及有40,000臺Windows伺服器必須手動重啟，其機組人員排班也受影響。</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 金融與零售業 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A1198-%E5%85%A8%E7%90%83%E9%87%91%E8%9E%8D-600.jpg" style="width: 600px;" /></p> <p><strong>● 紐澳金融業者19日上午發布相關消息，Kiwibank的網路銀行與App無法存取，ATM也無法使用，ASB Bank的金融App與一些信用卡、金融卡支付受影響。</strong></p> <p><strong>● 日本環球影城在19日下午1點左右，園區內餐廳與商店的電腦出現當機畫面無法結帳而暫停營業。</strong></p> <p><strong>● 南非至少兩家主要銀行出現服務中斷，顧客抱怨無法在商家、加油站使用銀行卡付款，或使用ATM。</strong></p> <p><strong>● 倫敦證交所Workspace新聞及資訊服務受影響，在亞洲交易時段出現即時新聞與外匯和期貨價格無法顯示問題。</strong></p> <p><strong>● 歐洲多國連鎖業者受影響，例如：英國連鎖超市Waitrose只接受現金付款，德國連鎖tegut超市關閉部分門市、挪威連鎖藥局Apotek1暫停服務。</strong></p> <p><span style="color:#696969;"><span style="font-size:14px;"><strong>資料來源：iThome整理，2024年9月</strong></span></span></p> </div></div></div>
2024/9/6 10:38作者羅正漢https://www.ithome.com.tw/news/164881
CrowdStrike事故引發5大議題的討論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月，一場大規模的IT故障事故影響全球，起因竟是資安業者CrowdStrike的EDR產品更新，導致全球850萬臺Windows電腦死當。</p> <p>這起事件發生在臺灣時間在7月19日（周五）的中午過後，雖然CrowdStrike事後號稱他們在1小時後就修復問題，並在兩個多小時後發布緩解方法，但這場電腦與伺服器大當機的風暴，在短短幾個鐘頭之內，就已經蔓延全球。</p> <p>究竟這次大當機事故是如何造成？有哪些重要議題需要探討？例如，資安業者部署驗證測試發生的問題，管理方便可能導致的風險集中，以及過度依賴單一平臺與供應商的可能風險，還有數位韌性落差等，都成為大家關注的焦點。</p> <p>由於整起事件在這段期間發生的狀況太多，使得相關檢討的資訊與重要議題容易被忽略，不少新聞報導僅將焦點放在局部事件，為此我們歸納出5大議題，幫助大家快速檢視需檢討的重要面向。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>問題1：業者更新前為何未做好部署驗證測試？</strong></span></span></p> <p>所有人質疑的第一個問題在於，資安業者為何在更新前沒有做好部署驗證測試？釀成這次大規模事故。</p> <p>事隔6天之後（7月24日），對於更新出包致Windows電腦死當，CrowdStrike公布初步事後檢討（PIR）報告。</p> <p>他們表示，這次事件的發生時間，是在世界協調時間（UTC）7月19日上午4點09分，也就是臺灣時間同一天中午12點09分。</p> <p>關於問題的發生原因，簡單來說，主要出在派送「Rapid Response Content」的環節，加上這個缺陷在驗證檢查期間未被檢測到，使得Falcon感應器在載入這些內容後，導致越界記憶體讀取，進而引發Windows電腦當機。</p> <p>相隔1小時18分後，雖然CrowdStrike撤回有問題的更新，促使後續才連線的系統可以不受影響。但是，先前更新的系統已經受到影響，災情已經擴散。</p> <p>具體而言，為了收集新型威脅技術的telemetry資料，CrowdStrike經常針對Windows感測器發布內容配置的更新。主要更新方式有兩種，一種是隨感測器同時發布，一種是名為「快速回應內容」（Rapid Response Content）發布，而這次問題是發生在後者。</p> <p>CrowdStrike解釋，一般而言，感測器更新都會先進行內部測試，再釋放給早期使用者，最後才廣泛提供給客戶。</p> <p>而快速回應內容的更新，是為了快速應對威脅而設計，其更新內容為IPC範本實例，用來告訴感測器要偵測哪些行為或攻擊。它的更新內容派送流程，將會驗證、確認更新內容無誤，再透過Channel Files部署到端點，也就是會透過內容驗證器檢查IPC以確保其正確性。</p> <p>CrowdStrike接著說明詳細狀況：他們今年2月引入新感測器功能，以監控可能濫用Windows機制的攻擊技術。而這些IPC範本實例，後續已在測試環境中通過壓力測試，並在測試的Production環境中表現正常，經歷3次額外的Rapid Response Content更新部署。</p> <p>只是，7月19日當天部署兩個IPC範本實例後，有個IPC範本實例存在未被偵測到的錯誤，加上內容驗證器有Bug，使得有問題的更新內容卻通過驗證。</p> <p>綜觀上述事發說明，我們最好奇之處在於，為何Rapid Response Content的更新，只有進行壓力測試？卻不像Falcon感測器的更新，都會經過較嚴謹的部署更新測試？可惜，我們在CrowdStrike這份報告中，並未看到對應的解釋，無法得知這麼做的原因與考量。</p> <p>是否因為公司要在產品安全功能上求快，導致沒有在安全與快速之間拿捏好平衡，也成為大家質疑之處。或許，在駭客零時差漏洞利用入侵越來越氾濫的今日，迫使資安業者更想要早一步偵測入侵跡象，但這次事件顯示輕忽最根本的安全考量，成為警惕。</p> <p>因此，CrowdStrike於7月24日PIR報告中，提出4大改進面向，以防範事件再次發生。這應該就是他們對於這次事件所得到的教訓。具體而言，包括：</p> <p><strong>（一）加強軟體測試程序：</strong>當中提及將為內容驗證器增加額外的驗證檢查，以及將改善快速回應內容的測試流程。</p> <p><strong>（二）提升系統韌性與恢復能力：</strong>將強化Falcon感測器中的錯誤處理機制。</p> <p><strong>（三）優化部署策略：</strong>將採分批部署策略，先進行小範圍系統進行測試部署，再逐步擴大範圍；並針對分批部署期間，強化感測器和系統性能的監控，也將提供更新通知，以及更大控制權，包含允許選擇更新的部署時間與位置。</p> <p><strong>（四）實施第三方驗證：</strong>將採取多次獨立的第三方安全程式碼審查；對於從開發到部署流程進行獨立審查。</p> <p>另一方面，在0719事故後，我們還注意到，有其他資安業者公布自家軟體與內容更新的發布流程，以及整體發布策略。例如，7月23日有Fortinet，7月19日有Bitdefender。顯然這次事件的發生，不僅是CrowdStrike被迫詳細解釋其更新流程、事前測試，協助企業用戶可以了解狀況，也促使資安業界可藉此機會重新評估與改進，並促使一些業者對其用戶公開自家作法，希望獲取用戶信任。</p> <p>不過，若是換個角度思考，這些資安業者目前提出的作法夠周延了嗎？只有自家的監督與稽核，卻沒有外部驗證，是否足以避免問題再次發生？以及企業分散風險的必要性，仍值得繼續深思，這也將是我們接下來繼續探討的議題。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>問題2：微軟為何要開放作業系統核心模式驅動程式使用</strong></span></span></p> <p>這次Windows大當機是因為資安業者而起，加上有國外媒體報導微軟提到2009年的歐盟協議，指出微軟有義務將自家資安產品使用的API，開放給外部軟體開發商。</p> <p>這也讓有些人將此事件的焦點，放在微軟的開放生態體系，因為他們為何允許資安業者使用核心模式驅動程式（Kernel-Mode Driver）？以及微軟對第三方解決方案是否有相應的安全措施？</p> <p>對於這方面的問題，在7月27日，微軟企業與作業系統安全副總David Weston在官方網站發表文章，針對這方面與Windows安全最佳實踐提出說明。</p> <p>David Weston談到資安解決方案使用Windows核心模式驅動程式的好處，包括：可以獲得系統層級的監控能力，偵測Bootkits與Rootkits，也可加快資料收集與分析，並提供防篡改能力。</p> <p>以防篡改而言，資安產品的驅動程式為了能夠盡早載入，以便在最早的時間點可以觀察到系統事件，為此，Windows也提供ELAM驅動程式，這是個早期啟動防惡意程式的機制，而CrowdStrike也有簽署CSboot驅動程式來作為ELAM，能在系統啟動過程載入。</p> <p>接下來，David Weston也解釋了核心模式驅動程式架構（KMDF），並指出所有在核心層級執行的程式碼，都需要廣泛的驗證，因為不像一般用戶端應用程式，故障後重新啟動就能恢復。</p> <p>至於要如何避免這樣的問題？David Weston提到，資安產品可以在核心使用最小化情形下，減少可用性問題的風險，並維持充分的安全性與偵測能力，例如，盡量減少對於核心模式的依賴，像是微軟已經致力於將複雜的Windows核心服務，從核心模式移到使用者模式，好處是，如果有問題發生，系統也容易恢復。</p> <p>另外，他也指出多種Windows在使用者模式下，可防止竄改的方法。例如，微軟近期發表名為Virtualization-based security（VBS）的記憶體保護區，就可以不用透過核心模式驅動程式來防篡改；還有去年底微軟推出的Event Tracing for Windows（ETW）新功能，都是可以平衡系統的安全性與穩定性的方法。</p> <p>另外，David Weston還解釋微軟如何測試、簽署驅動程式，以及第三方廠商如何透過Windows Update等方式，將驅動程式發布給用戶。</p> <p>整體來看，微軟傳達的重點在於，他們已發展一些作法，可限縮這次更新出包的問題面，並持續發展中，也將與第三方廠商加強相關合作。不過，該公司沒有很確切說明哪些策略會強制執行。</p> <p>至於有人論及封閉生態系統、開放生態系統、開源生態系統，在當前環境的發展態勢，這是多年來都在持續討論的大議題。事實上，每一個生態都有對應之道，並且持續隨著整體環境而演變。</p> <p>儘管外界有一些人士認為，微軟可能轉向蘋果的封閉生態路線，但Windows多年來都是朝向開放的路線，因此這只能等待時間去印證這個預測。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>問題3：IT系統風險過於集中？</strong></span></span></p> <p>這次事件之所以帶來大規模影響，與CrowdStrike、Windows用戶數量有關。</p> <p>基本上，微軟Windows作業系統在全球個人電腦與伺服器的用戶數，是數以億計，而這次事故中的關鍵業者CrowdStrike，雖然僅有企業用戶安裝其EDR產品，但根據該公司最新財報顯示，全球有多達24,000家企業是他們的客戶，並且約有6成都是《財富》全球500強的企業。</p> <p>這也不難看出，由於許多大型企業都採用CrowdStrike，使得這次事件影響規模如此顯著。</p> <p>對於企業組織而言，採用單一廠商的解決方案帶來集中管理的好處，雖然不像採用多個廠商的解決方案，可能使攻擊表面增加，但仰賴單一廠商，往往也導致風險集中，是否要將雞蛋放在同個籃子的老問題，是此事件後的反思焦點；對於整體國家而言，也有人憂心一家業者市占太大而有風險集中問題，不過，有這方面考量的探討似乎並不多，或是相關議題需要更廣泛看待，也許之後還會有進一步討論，尤其是監管單位是否會介入，他們的態度動見觀瞻。</p> <p>以企業組織而言，在我們後續追蹤採訪中，就有一家醫療單位的主管就指出，這次事件只影響到院內部分主機，因為這些主機是使用CrowdStrike的EDR產品，其餘主機使用另一家廠商產品。但他們仍然學到一些經驗，就是在雙主機備援機制方面，也打算要採用不同廠商的防護服務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>問題4：企業應變能力低於預期，對於責任歸屬出現互踢皮球的狀況</strong></span></span></p> <p>在0719事故發生後的復原上，有些企業很快完成，但有些企業受影響裝置數量龐大，因此需要一定的時間。但更受全球關切的是，有些企業復原天數超乎預期，達美航空就是一例，這也成為企業引以為鑑的狀況。</p> <p>基本上，這次許多受影響的企業組織，大多數都在周五至周日恢復。以臺灣為例，有醫院受到的影響只有半小時至1小時，桃園機場在當日下午5點多宣布受影響的7家航空公司，之後陸續恢復報到畫位服務；也有一些影響狀況較嚴重，像是有資服業者花上3天時間復原。</p> <p>國際間的狀況也多是如此，例如，紐西蘭KiwiBank在當地周五早上11點多，宣布服務受影響，週六早上8點已讓網路銀行、App與ATM的恢復正常運作；另一家ASB銀行週六上午表示復原部分，週日上午全數服務恢復。</p> <p>不過，這些狀況的發生，也讓災難復原、營運持續計畫（BCP），以及數位韌性等議題，受到更多企業組織的關注。畢竟，不論軟硬體或服務，都存在系統故障停擺的可能性，平時是否有這方面的計畫，甚至是營運持續的演練，都是企業縮短事故影響的重要環節。</p> <p>而在眾多受到CrowdStrike影響IT運作的企業中，達美航空面臨的狀況最受外界關注，他們的處理過程遇到許多挑戰，也形同幫大家上了一課。因為該公司比其他公司更晚了幾天回復上線，導致其航班取消數量、影響客戶程度，也是最大。雖然達美航空執行長Ed Bastian在7月31日接受CNBC採訪時指出，該公司有4萬臺Windows伺服器需要手動重啟，數量相當龐大，但復原速度相對較慢也是不爭的事實。</p> <p>在災情與復原狀況之外，這場事故也帶來一些爭議，像是後續衍生不少提告與求償的消息。例如，災情發生隔幾天，就有馬來西亞數位部長向微軟、CrowdStrike索賠的消息傳出。</p> <p>達美航空更是以航班取消及公司形象受創為由，表示將提告並向CrowdStrike求償5億美元，之後CrowdStrike反指達美試圖推卸全部罪過，微軟也指出達美航空拒絕協助及基礎架構太過老舊，這些提告與求償的爭議，到現在（9月初）還沒有初步認定的共識，是要確認誰該為這起事件帶來的損失負責？還是就像天災發生那樣自行吸收損失？</p> <p>不過，美國運輸部也介入此事，調查達美航空處置是否得當。換言之，企業的應變與復原能力仍是此事件的關鍵。</p> <p>當然，CrowdStrike自身的應變能力也是焦點，像是CrowdStrike對外坦承事故的時間點太晚，在當時飽受各界批評。</p> <p>例如，CrowdStrike在19日下午1點43分對其用戶發出資安公告，但該公告須以用戶身分登入才能瀏覽，外界只能經由用戶轉貼，才能得知廠商坦承此事；還有我們在當日下午近3點詢問該公司臺灣總經理陳琤琤，她表示未被授權發言而無法說明。</p> <p>這些狀況，也使得一開始只有IT、資安圈相對了解狀況，他們比較清楚是CrowdStrike引發事故，但許多大眾媒體報導全球當機事件，都將矛頭指向微軟。</p> <p>不過，對於這起事件帶來的全球衝擊，後續CrowdStrike也持續試圖彌補，包括數小時後該公司執行長George Kurtz上電視道歉，持續發布事件最新因應、狀態與調查報告。</p> <p>這段期間CrowdStrike提供補償方案的10美元禮物卡，也被外界放大檢視；今年8月11日DEF CON的Pwnie Awards頒獎，也將今年將「史詩級失敗」獎項頒給了CrowdStrike事件。</p> <p>不過，CrowdStrike總裁Michael Sentonas親自出席領取的勇氣，獲得現場相當多研究人員的迴響。Michael Sentonas除了再次公開道歉，也表示接受此獎不值得驕傲，但他希望將這個獎項放在公司顯眼處來提醒員工們。「知恥近乎勇」這樣的態度值得肯定。</p> <p>到了8月28日，CrowdStrike召開季度會議，說明這幾週正贏得許多客戶的持續信任，且第二季表現仍超出分析師的預期。但是，這一季的成績不足以說明這次事件對該公司業績的影響，接下來兩季，才是考驗客戶是否依舊信任他們，有待後續經營表現才能有所證明。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>問題5：開發者寫出越界記憶體讀取的Bug再起爭議</strong></span></span></p> <p>在先前談及部署驗證測試問題之外，為何開發者寫出會造成越界（out-of-bounds）記憶體讀取的問題，也成為本次事件衍生議題。</p> <p>事實上，0719事故發生的隔日（週六），我們就看到有國外研究人員在社群平臺X聲稱，在他剖析CrowdStrike EDR系統的當機資料後，發現有段C++程式錯誤存取了「空指標」（Null Pointer），進而引發系統崩潰。</p> <p>而在前述CrowdStrike於7月24日的PIR報告，也提到發生越界記憶體讀取的問題，7月25日官方部落格的技術文章中，同樣指出其頻道檔案可能包含NULL bytes。因此，證實了這項傳言。</p> <p>對此，微軟在7月27日說明Windows安全最佳實踐的文章中，也提到其分析結果。微軟使用WinDBG偵錯工具與一些擴充程式來分析，他們從Windows崩潰報告發現，在讀取R8暫存器（Register）特定位址之前有一個檢查為NULL的情形，也就是調用一個位址時，但該位址為Null而造成了錯誤。這也印證CrowdStrike的分析結果。</p> <p>到了8月6日，事發大約半個月後，CrowdStrike發布了根因分析（RCA）報告，又再有了更具體的說明。</p> <p>CrowdStrike指出，在7月19日的更新，是基於今年2月首次引入的新感測器功能，這項功能預定義了一組欄位，用於快速回應內容功能的資料蒐集。</p> <p>然而，原本感測器預期是收到20個輸入欄位，但當天的更新實際提供了21個欄位，這個欄位不符的情形，導致了越界記憶體讀取，進而引發系統崩潰。</p> <p>由於越界記憶體讀取的Bug與漏洞問題，已經探討多年，因此在這次事件下，也衍生出這方面的討論。</p> <p>例如，前幾年微軟與Google就指出，有70%重大漏洞的根因都出自記憶體問題，到了2022年，包含開源社群、科技大廠與美政府商討提升開源軟體安全對策中，就有一項是針對記憶體安全方面，透過替換「不具記憶體安全（non-memory-safe）」的程式語言，來消除許多漏洞問題的根源。</p> <p>因此，雖然這次Falcon感測器錯誤的本質，的確涉及記憶體安全的Bug，值得探討。不過，可能造成同樣故障情形的錯誤還有很多種。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來可留意事故責任與監管機關態度的討論</strong></span></span></p> <p>整體而言，這次事件促使著多個重要議題受到討論，不僅是資安業者的檢討，企業對於事件的多種反思，都成為大家在看待這次事故時的主要焦點。</p> <p>例如，CrowdStrike更新前未做好部署驗證測試的問題，以及快速因應資安威脅與系統安全的平衡。在我們後續調查國內災情時，也有醫院單位表示將以此事件作為警惕，提醒自己日後在上架IT系統或更新版本時，更需按照標準程序進行，避免為自己帶來大麻煩。</p> <p>另一方面，企業面臨這次災情，對於分散風險這件事也更有感受，甚至考量到雙主機備援機制下，也要採不同廠商的防護服務。</p> <p>至於未來，其實還有一些動向可以留意，例如，這次錯誤問題是否會被攻擊者利用？CrowdStrike表示不會被攻擊者利用，而他們也與第三方審查確認。其他像是關於提告的後續消息，監管機關的要求等，可能也是這次事件下的討論焦點，都值得繼續追蹤。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFF00;"><span style="background-color:#000000;"> CrowdStrike當機事後的5個關鍵公告 </span></span></strong></span><br /> <span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 7月20日 </span></strong></span><br /> <span style="color:#0000CD;"><strong>官方部落格文章：</strong></span><span style="color:#B22222;"><strong>CrowdStrike</strong></span><span style="color:#696969;"><strong>發表關於Falcon感測器內容更新的技術細節文章</strong></span><br /> <span style="color:#0000CD;"><strong>內容：</strong></span><span style="color:#696969;"><strong>說明這次更新事故發生在19日的4時09分（世界協調時間），並指出受影響的頻道檔案為291。</strong></span><br /> <span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 7月20日 </span></strong></span><br /> <span style="color:#0000CD;"><strong>官方部落格文章：</strong></span><span style="color:#B22222;"><strong>微軟</strong></span><span style="color:#696969;"><strong>揭露影響電腦數量，並說明將幫助客戶度過這次事故</strong></span><br /> <span style="color:#0000CD;"><strong>內容：</strong></span><span style="color:#696969;"><strong>微軟指出預估有850萬臺Windows裝置受影響，並表示這雖然不是微軟的事件，但考慮到影響整個生態系統，將與相關公司共同協助修補。</strong></span><br /> <span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 7月24日 </span></strong></span><br /> <span style="color:#0000CD;"><strong>PDF報告：</strong></span><span style="color:#B22222;"><strong>CrowdStrike</strong></span><span style="color:#696969;"><strong>公布事件後初步檢討報告</strong></span><br /> <span style="color:#0000CD;"><strong>內容：</strong></span><span style="color:#696969;"><strong>說明發生越界記憶體讀取引發作業系統崩潰，有問題的更新涉及「Rapid Response Content」環節，同時負責驗證的內容驗證器有Bug導致未檢測出錯誤。</strong></span><br /> <span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 7月27日 </span></strong></span><br /> <span style="color:#0000CD;"><strong>官方部落格文章：</strong></span><span style="color:#B22222;"><strong>微軟</strong></span><span style="color:#696969;"><strong>發布闡述Windows安全最佳實踐的相關文章</strong></span><br /> <span style="color:#0000CD;"><strong>內容：</strong></span><span style="color:#696969;"><strong>解釋當今資安產品使用核心模式驅動程式的原因，並傳達出Windows已發展一些作法，可幫助限縮這些問題面，並在持續發展中，也將與第三方廠商加強相關合作。</strong></span><br /> <span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 8月6日 </span></strong></span><br /> <span style="color:#0000CD;"><strong>PDF報告：</strong></span><span style="color:#B22222;"><strong>CrowdStrike</strong></span><span style="color:#696969;"><strong>公布根因分析報告</strong></span><br /> <span style="color:#0000CD;"><strong>內容：</strong></span><span style="color:#696969;"><strong>針對越界記憶體讀取問題說明，指出原本感測器預期是收到20個輸入欄位，但當天的更新實際提供了21個欄位。同時指出事故10日後的7月29日，約有99%的Windows感測器已恢復上線。</strong></span></p> <p> <span style="color:#FFFF00;"><strong><span style="font-size:28px;"><span style="background-color:#000000;"> 0719大當機事故衍生3種亂象 </span></span></strong></span><br /> <span style="color:#696969;"><strong>關於CrowdStrike更新引發Windows死當事件，在我們統整出5大焦點議題之外，還有一些圍繞在事件周邊的消息，也成為整起事故下引發的插曲。</strong></span><br /> <span style="color:#000000;"><strong>● 出現訊息混淆的狀況。</strong></span><span style="color:#696969;"><strong>在CrowdStrike引發當機事故前幾個小時，由於微軟發生美國中部Azure資料中心中斷事件，加上CrowdStrike在事故發生1個半小時說明引發當機的公告，只有其用戶身分登入才能瀏覽，沒有對外公布，導致只有IT、資安圈知道情形，但大眾媒體一開始報導全球當機災情，均將矛頭指向微軟。</strong></span><br /> <span style="color:#000000;"><strong>● 錯假訊息的分享。</strong></span><span style="color:#696969;"><strong>例如在事件發生當下轉貼拉斯維加斯Sphere球體螢幕出現藍色當機畫面。</strong></span><br /> <strong>● 駭客利用事件名義來發動攻擊。</strong><span style="color:#696969;"><strong>CrowdStrike與多家資安業者持續警告，監控到有駭客假借這次IT大當機事故進行惡意活動。</strong></span></p> </div></div></div>
2024/9/6 10:54作者羅正漢https://www.ithome.com.tw/news/164882
Anthropic推出企業版AI方案Claude Enterprise
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創公司Anthropic本周稍早<a href="https://www.anthropic.com/news/claude-for-enterprise" target="_blank">公布</a>提供企業使用Claude AI助理的方案Claude Enterprise，強調提供更周全的安全控管功能，也不會使用企業資料訓練AI。</p> <p>最新方案讓企業安心以Claude使用公司內部資料執行專案、決策或協同，主打團隊作業需要的功能，包括更大的Claude AI脈絡長度（context windows）、控管、安全性及開發便利性。Anthropic並強調不會使用企業版方案用戶資料和對談內容訓練Claude。Anthropic對Techcrunch<a href="https://techcrunch.com/2024/09/04/anthropic-launches-claude-enterprise-plan-to-compete-with-openai/" target="_blank">解釋</a>，Anthropic去年5月<a href="https://www.ithome.com.tw/news/162632" target="_blank">推出</a>的是部門級或小型企業適用的方案Claude Team方案，最新的Claude Enterprise則鎖定500人以上的較大企業。</p> <p>Claude Enterprise方案提供Claude 500K脈絡長度，Anthropic表示，大約是數百個業務謄本、數十份上百頁的文件或中型codebase，足夠讓Claude提供更專業、更符合部門功能需求的回應和指引。</p> <p>其次，企業版方案提供較消費版進階的安全和控制功能，以確保公司管理及資料安全。Claude Enterprise提供單一簽入（single sign-on）與網域獲取（domain capture），可管理用戶存取並且將使用控制集中化。提供角色為基礎的存取控管，配合可細部微調的權限，讓企業為工作空間指定主要擁有者（owner）以提高安全和資訊管理。接下來幾周內還會再推出二項管理功能，包括能追蹤系統活動使用的稽核紀錄（audit log），以及跨網域身份管理系統（System for Cross-domain Identity Management，SCIM），允許自動化執行用戶功能調用（provisioning）和存取控管。</p> <p>上述二項功能外，企業版還加入和GitHub的原生整合功能，可允許工程團隊將Claude與GitHub儲存庫同步，配合codebase開發新功能、除錯或為新工程師提供入職訓練。和GitHub整合後，現在用戶在輸入提示時，除了直接輸入文字、從電腦上傳檔案外，也可以選擇GitHub加入專案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0906-Claude%20enterprise-%20GitHub%20integration(beta).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> <p>GitHub是Claude原生整合的第一個開發資料源，以便這個AI助理為企業開發團隊提供更多高相關且有用的協助。現在Claude Enterprise用戶已可使用這項功能，Anthropic說計畫今年內會再進一步擴大提供。</p> <p>最新方案讓Anthropic加入OpenAI、Google及微軟的行列，提供能帶進營收的AI方案。但Anthropic並未提供Claude Enterprise的價格及啟用方式，有興趣的企業須直接聯繫Anthropic業務代表。</p> </div></div></div>
2024/9/6 11:09作者林妍溱https://www.ithome.com.tw/news/164885
【資安日報】9月5日，美國針對俄羅斯干預總統大選採取執法行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統大選如火如荼進行，這段期間不時傳出伊朗駭客攻擊川普、賀錦麗陣營，並企圖散布假消息影響選情的情況。不過，俄羅斯想要採取類似手段干預該國選舉已有先例，但美國直到最近才採取執法行動引起關注。</p> <p>本週美國宣布扣押俄羅斯用來散布不實言論的網域，原因是這些網域都被用來架設冒充民主陣營的新聞網站，並指出俄羅斯不只打算操弄美國總統大選，也意圖干預其他國家選舉。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164863"><strong style="font-size: 22px;">美國扣押俄羅斯用來干預總統大選的32個網域名稱</strong></a></p> <p>9月4日美國政府大動作地摧毀俄羅斯進行的影響力活動，包括扣押32個網域名稱，制裁10名個人與2個實體，以及起訴兩名俄羅斯人。</p> <p>根據調查，俄羅斯註冊並利用32個網域名稱來散布各種該國政府的宣傳內容，目的包括減少國際社會對烏克蘭的支援，推動親俄的政策及利益，以及企圖影響美國及國外的選舉，包括今年的美國總統大選在內。</p> <p>這些網址之所以被扣押主要是因為它們特意假冒為民主陣營的新聞平臺，例如註冊了類似華盛頓郵報的washingtonpost.pm，卻發表俄羅斯政府的資訊，還透過廣告及社交媒體宣傳，建立合法新聞媒體網站的假象。除了美國人之外，這些網站企圖影響的對象還包括德國、墨西哥與以色列，企圖破壞這些國家與美國的關係。</p> <p><a href="https://www.ithome.com.tw/news/164869"><strong style="font-size: 22px;">惡意軟體WikiLoader透過SEO中毒散布，駭客聲稱提供特定資安業者VPN軟體作為誘餌</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-622646-136552-2.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-622646-136552-2.jpeg" style="width: 300px; float: right;" /></a>上週趨勢科技揭露鎖定中東的惡意程式攻擊，並指出駭客將其偽裝成資安業者Palo Alto Networks旗下SSL VPN服務GlobalProtect的安裝程式，此事相當值得關注，原因是這種手法相當具有針對性，很有可能是鎖定該系統的使用者而來，如今Palo Alto Networks也揭露相關攻擊行動，呼籲用戶提高警覺。</p> <p>本週Palo Alto Networks旗下的威脅情報團隊Unit 42揭露惡意程式載入工具WikiLoader變種攻擊行動，並指出駭客藉由搜尋引擎最佳化中毒（SEO Poisoning）手法，佯稱提供GlobalProtect應用程式的名義散布。</p> <p>研究人員在今年6月看到相關攻擊行動，並指出駭客的主要攻擊目標是美國高等教育機構及交通單位，但研究人員特別提到，由於這次攻擊者利用搜尋引擎最佳化中毒的手法，使得影響範圍較過往利用網路釣魚來得廣泛。</p> <p><a href="https://www.ithome.com.tw/news/164855"><strong style="font-size: 22px;">紅隊演練工具MacroPack遭到濫用，駭客藉此散布滲透測試工具Brute Ratel C4</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MacroPack-chain.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/MacroPack-chain.jpg" style="width: 300px; float: right;" /></a>駭客將防守方用來強化資安的工具，拿來用於攻擊行動，最常見的莫過於滲透測試工具Cobalt Strike，後來也出現利用Brute Ratel C4的事故，如今有人開始利用新的工具從事攻擊。</p> <p>思科旗下威脅情報團隊Talos指出，他們在今年5月至7月，在惡意軟體分析平臺VirusTotal看到數個Office檔案，其共通點就是使用名為MacroPack的紅隊演練框架產生，經過分析發現，這些Office檔案被用於散布多種惡意程式的有效酬載，例如：滲透測試工具Brute Ratel C4、Havoc、RAT木馬程式PhantomCore，他們認為有多個駭客組織可能已在實際攻擊行動當中，開始利用MacroPack。</p> <p>研究人員總共歸納出4起攻擊行動，其中一起範圍涵蓋臺灣、中國、巴基斯坦而相當受到注意，駭客藉此散布Havoc和Brute Ratel C4有效負載，而這些惡意程式會連往位於中國河南的C2伺服器。</p> <p><a href="https://www.ithome.com.tw/news/164865"><strong style="font-size: 22px;">惡意PyPI套件使用新的挾持手法，假冒正牌套件引誘受害者上當</strong></a></p> <p>駭客發動惡意NPM、PyPI套件攻擊，往往會透過域名搶先註冊的手法，利用與正牌套件極為相似名稱來混淆開發人員視聽，但如今研究人員發現新的手法，並發現已被駭客廣泛利用。</p> <p>資安業者JFrog揭露名為Revival Hijack攻擊手法，駭客尋找已經下架的合法PyPI套件，並重新註冊相同的名稱，上架惡意套件。這樣的做法無須依賴開發人員出錯才能趁虛而入，而且，若是原本套件的用戶有良好的習慣，會使用最新版的套件，甚至透過CI/CD環境自動套用更新，就有可能中招。</p> <p>根據研究人員的調查，這種挾持攻擊手法影響12萬個PyPI套件，他們進一步排除惡意套件和垃圾套件，並針對下載超過10萬次，或是經營超過半年的套件進行統計，他們認為至少有2.2萬個PyPI套件容易成為駭客下手的目標。研究人員指出，開發人員下架套件的情況相當常見，平均每個月就有超過300個，這樣的情況，也導致可被濫用的套件名稱不斷增加。</p> <p><a href="https://www.ithome.com.tw/news/164871"><strong style="font-size: 22px;">安卓木馬Rocinante鎖定巴西用戶而來，偽製成銀行應用程式對其下手</strong></a></p> <p>資安業者ThreatFabric揭露針對巴西銀行用戶的金融木馬Rocinante，駭客鎖定當地大部分的銀行機構而來，一旦手機遭到感染，此木馬程式就能在受害裝置側錄鍵盤內容，或是讓攻擊者能夠進行遠端存取。</p> <p>研究人員進一步指出，此木馬程式還能顯示假冒銀行網頁的釣魚視窗，竊取受害者的個人可識別資訊（PII），最終攻擊者便能藉由木馬程式收集到的資料，達到裝置挾持（Device takeover，DTO）的目的。</p> <p>駭客佯稱提供系統安全更新，或是快遞追蹤、會員獎勵、銀行相關的應用程式，引誘使用者存取釣魚網站，藉由惡意的APK檔案散布Rocinante。一旦使用者依照指示完成安裝並開啟，這些應用程式就會要求授予無障礙服務的權限，並顯示銀行表單畫面，要求使用者提供PII。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/microchip-technology-confirms-data-was-stolen-in-cyberattack/"><strong style="font-size: 20px;">半導體業者Microchip證實因攻擊事故導致資料外洩，勒索軟體Play宣稱是他們所為</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-inject-malicious-js-in-cisco-store-to-steal-credit-cards-credentials/">思科網路商店驚傳遭植入惡意JavaScript，信用卡資料、帳密恐外流</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/apt-lazarus-python-scripts/">北韓駭客利用冒牌視訊會議軟體FreeConference，鎖定求職者下手</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-backports-fix-for-pixel-eop-flaw-to-other-android-devices/">Google發布安卓9月例行更新，修補6月揭露的Pixel權限提升漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://ninjalab.io/wp-content/uploads/2024/09/20240903_eucleak.pdf">Yubico旗下FIDO裝置存在Eucleak弱點，攻擊者有機會取得ECDSA金鑰</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><strong style="font-size: 22px;">半導體大型會議SEMICON Taiwan於9月4日舉行，資安趨勢高峰論壇即將於明日登場</strong></p> <p>SEMICON Taiwan 2024國際半導體展於9月4日至6日舉行，SEMI全球總裁暨執行長Ajit Manocha表示，今年以「賦能AI無極限」作為大會主軸，不僅可以看到AI在不同領域的發展，也帶動產業發展，臺灣顯然在AI浪潮和全球半導體產業扮演重要角色。隨著半導體產業越來越重視資安，這幾年來SEMICON Taiwan也持續舉辦這項主題的論壇，<a href="https://www.semicontaiwan.org/zh/Cybersecurity_Global_Summit_2024">即將於大會的第三天（9月6日）召開</a>。</p> <p>在今年的半導體資安趨勢高峰論壇，擔任SEMI半導體資安委員會主席的台積電企業資訊安全處處長屠震將在開場致詞，並邀來零信任之父John Kindervag，以及奧義智慧、TXOne、思科、Akamai、IBM、大猩猩科技、應用材料等公司的高層，發表談話。探討在全球化和數位化的趨勢下，半導體產業的供應鏈面臨的網路安全挑戰。</p> <p>而在此次活動期間，數位發展部數位產業署也與臺灣資安業者於會場<a href="https://www.facebook.com/adi.gov.tw/posts/487257754122187">打造SecPASS資安館</a>，展示資安整合服務平臺，6日上午將發表後量子資安產業聯盟的階段成果。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164847"><strong>【9月4日】駭客組織Head Mare鎖定俄羅斯企業組織發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164832"><strong>【9月3日】駭客盯上資安廠商的SSL VPN系統當作誘餌，意圖散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164821"><strong>【9月2日】勒索軟體RansomHub受害企業組織半年已超過200家</strong></a></p> </div></div></div>
2024/9/5 17:48作者周峻佑https://www.ithome.com.tw/news/164875
惡意PyPI套件使用新的挾持手法，假冒正牌套件引誘受害者上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動惡意NPM、PyPI套件攻擊，往往會透過域名搶先註冊的手法，利用與正牌套件極為相似名稱來混淆開發人員視聽，但如今研究人員發現新的手法，並發現已被駭客廣泛利用。</p> <p>資安業者JFrog揭露名為<a href="https://jfrog.com/blog/revival-hijack-pypi-hijack-technique-exploited-22k-packages-at-risk/">Revival Hijack攻擊手法</a>，駭客尋找已經下架的合法PyPI套件，並重新註冊相同的名稱，上架惡意套件。這樣的做法無須依賴開發人員出錯才能趁虛而入，而且，若是原本套件的用戶有良好的習慣，會使用最新版的套件，甚至透過CI/CD環境自動套用更新，就有可能中招。</p> <p>根據研究人員的調查，這種挾持攻擊手法影響12萬個PyPI套件，他們進一步排除惡意套件和垃圾套件，並針對下載超過10萬次，或是經營超過半年的套件進行統計，他們認為至少有2.2萬個PyPI套件容易成為駭客下手的目標。研究人員指出，開發人員下架套件的情況相當常見，平均每個月就有超過300個，這樣的情況，也導致可被濫用的套件名稱不斷增加。</p> <p>為了防堵駭客利用這種攻擊手法，他們接管部分已下架的套件名稱，並上傳0.0.0.1版的空套件，來避免現有套件用戶的CI/CD環境自動拉取、更新。但即便他們採取這樣的措施，這些被研究人員接管的套件幾天內就出現數千次下載，在3個月後，總下載量已超過20萬次。這樣的情況，代表Revival Hijack造成的影響相當廣泛。</p> <p>研究人員指出，他們注意到這類威脅，起因是已有實際攻擊行動。</p> <p>今年4月，該公司的威脅掃描系統偵測到PyPI套件pingdomv3出現異常活動，他們尋線調查，發現此套件原本在2019年11月推出，到了今年3月27日開發者正式向用戶表明不再支援，應停止使用，並在30日將整個專案下架，但不久之後，另一名開發者就使用相同名稱發布新套件，並聲稱是接手進行後續維護，後來在4月12日，此開發者就上傳含有惡意酬載的新版套件，而被研究人員發現。</p> <p>他們也向PyPI團隊進行通報，並揭露這類弱點可被利用的情況，PyPI團隊其實已在2022年7月討論相關議題，但截至去年中旬尚未得到具體結果。</p> <p>研究人員指出，雖然PyPI團隊已採取部分手段減緩威脅，但他們強調，Revival Hijack至今仍是極為有效的攻擊手段，呼籲PyPI應採取嚴格的政策，全面禁止重複使用相同的套件名稱。</p> </div></div></div>
2024/9/5 14:36作者周峻佑https://www.ithome.com.tw/news/164865
惡意軟體WikiLoader透過SEO中毒散布，駭客聲稱提供特定資安業者VPN軟體作為誘餌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週趨勢科技揭露鎖定中東的惡意程式攻擊，並指出駭客將其<a href="https://www.ithome.com.tw/news/164826">偽裝成資安業者Palo Alto Networks旗下SSL VPN服務GlobalProtect的安裝程式</a>，此事相當值得關注，原因是這種手法相當具有針對性，很有可能是鎖定該系統的使用者而來，如今Palo Alto Networks也揭露相關攻擊行動，呼籲用戶提高警覺。</p> <p>本週Palo Alto Networks旗下的威脅情報團隊Unit 42揭露<a href="https://unit42.paloaltonetworks.com/global-protect-vpn-spoof-distributes-wikiloader/">惡意程式載入工具WikiLoader變種攻擊行動</a>，並指出駭客藉由搜尋引擎最佳化中毒（SEO Poisoning）手法，佯稱提供GlobalProtect應用程式的名義散布。</p> <p>研究人員在今年6月看到相關攻擊行動，並指出駭客的主要攻擊目標是美國高等教育機構及交通單位，但研究人員特別提到，由於這次攻擊者利用搜尋引擎最佳化中毒的手法，使得影響範圍較過往利用網路釣魚來得廣泛。</p> <p>一旦使用者搜尋GlobalProtect而上當，點選惡意廣告，就會被帶往架設於雲端Git儲存庫的冒牌網站，並從Bitbucket下載打包成ZIP檔的「安裝程式」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-622646-136552-2.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-622646-136552-2.jpeg" style="width: 580px;" /></a></p> <p>而這個檔案解壓縮後，使用者很可能只看到執行檔GlobalProtect64.exe，但研究人員指出，實際上ZIP檔裡含有超過400個檔案，大部分都設為隱藏。若是使用者執行上述執行檔，駭客就會使用DLL側載手法載入第1個WikiLoader元件。</p> <p>接著，該DLL元件載入其他模組，並解開Shell Code，注入Windows檔案總管的處理程序。</p> <p>而被注入的程式碼將C2伺服器進行通訊，駭客利用遭駭的WordPress網站充當C2，並使用物聯網裝置常見的通訊協定MQTT連線。</p> <p>之後，這些被注入的程式碼又被載入Sysinternals公用程式元件，然後從C2伺服下載WikiLoader後門程式，並透過側載的方式執行。但究竟後續駭客藉由WikiLoader在受害電腦植入那些惡意軟體，研究人員表示不清楚。</p> <p>研究人員提及，攻擊者運用使用者習以為常的錯誤訊息，防止察覺異狀。例如，前述安裝程式並不會真的部署GlobalProtect，而駭客在完成惡意程式載入後，會顯示特定程式庫遺失而無法完成安裝的錯誤訊息，藉此避免使用者起疑。</p> </div></div></div>
2024/9/5 15:56作者周峻佑https://www.ithome.com.tw/news/164869
OpenAI共同創辦人Ilya Sutskever成立的Safe Superintelligence市值已達50億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由OpenAI共同創辦人Ilya Sutskever於今年6月成立的超級智慧公司Safe Superintelligence Inc周三（9/4）<a href="https://x.com/ssi/status/1831325643226890379" target="_blank">宣布</a>，已集資10億美元，投資者包括NFDG、a16z、Sequoia、DST Global及SV Angel，而路透社（Reuters）則引述消息來源<a href="https://www.reuters.com/technology/artificial-intelligence/openai-co-founder-sutskevers-new-safety-focused-ai-startup-ssi-raises-1-billion-2024-09-04/" target="_blank">報導</a>，這個才3個月大的AI新創，已有高達50億美元的身價。</p> <p>Sutskever是當初OpenAI罷黜執行長Sam Altman的支持者之一，據說雙方是對AI的安全理念有所衝突，最終OpenAI請回了Altman，而Sutskever則在今年5月<a href="https://www.ithome.com.tw/news/162887" target="_blank">離職</a>。</p> <p>Safe Superintelligence（SSI）的任務如同公司名稱，是以建置安全的超級智慧為首要之務，該公司的共同創辦人還包括曾主導蘋果AI的Daniel Gross，以及曾任職OpenAI的Daniel Levy。目前由Gross擔任SSI的執行長，Sutskever為科學長，Levy則為首席科學家。</p> <p>Gross向路透社表示，被理解、尊重及支持SSI使命的投資者包圍是很重要的，其使命是直接朝向安全的超級智慧，特別是在上市前需要幾年的研發時間。Gross的說法代表SSI可能還要很久才會推出可創造營收的產品。</p> <p>或許是因為有了前車之鑑，SSI在招聘人才時非常重視能融入其企業文化的特質，特別是那些對工作本身有興趣，而不重視表面或炒作的人才。此外，SSI亦計畫與雲端供應商及晶片製造商合作，以資助所需的運算能力，但尚未決定合作對象。</p> </div></div></div>
2024/9/5 15:19作者陳曉莉https://www.ithome.com.tw/news/164867
紅隊演練工具MacroPack遭到濫用，攻擊者用於散布滲透測試工具Brute Ratel C4
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客將防守方用來強化資安的工具，拿來用於攻擊行動，最常見的莫過於滲透測試工具Cobalt Strike，後來也出現利用Brute Ratel C4的事故，如今有人開始利用新的工具從事攻擊。</p> <p>思科旗下威脅情報團隊Talos指出，他們在今年5月至7月，在惡意軟體分析平臺VirusTotal看到數個Office檔案，<a href="https://blog.talosintelligence.com/threat-actors-using-macropack/">其共通點就是使用名為MacroPack的紅隊演練框架產生</a>，經過分析發現，這些Office檔案被用於散布多種惡意程式的有效酬載，例如：滲透測試工具Brute Ratel C4、Havoc、RAT木馬程式PhantomCore，他們認為有多個駭客組織可能已在實際攻擊行動當中，開始利用MacroPack。</p> <p>什麼是MacroPack？這是由<a href="https://www.balliskit.com/">法國資安公司BallisKit</a>開發的紅隊演練框架，目的是讓紅隊演練自動化，能夠產生演練過程所需的相關檔案及工具，包含特製的LNK、URL檔，以及Office檔案，還有HTA、WSF、VBS、MSI等多種型態的指令碼，號稱能迴避防毒軟體及EDR的靜態分析、啟發式分析、行為分析機制。</p> <p>研究人員指出，他們在看到前述的VirusTotal檔案當中，VBA程式碼具備類似的特徵，例如：都具備4個未經過混淆處理、無害的VBA子程式，循線調查確認，這些檔案皆由MacroPack產生。值得留意的是，他們也提及該框架產生的檔案，會更動功能及參數名稱，並移除註解與多餘的空格，然後經過混淆處理，導致察覺這些檔案有害變得更為困難。</p> <p>而對於攻擊者的身分，研究人員起初認為僅有一組人馬濫用MacroPack，但他們發現VirusTotal的檔案來自多個國家，推測已有多組駭客利用這項框架。</p> <p>他們總共歸納出4起攻擊行動，其中一起範圍涵蓋臺灣、中國、巴基斯坦而相當受到注意，駭客藉此散布Havoc和Brute Ratel C4有效負載，而這些惡意程式會連往位於中國河南的C2伺服器。</p> <p>另一起針對巴基斯坦的攻擊行動，駭客也是散布Brute Ratel C4，但特別的是，他們濫用了DNS over HTTPS（DOH）及Amazon CloudFront。</p> <p>也有駭客用於攻擊俄羅斯、美國。針對俄羅斯的部分，攻擊者企圖散布Go語言打造的後門程式PhantomCore；對於發生在美國的攻擊事故，駭客執行多階段VBA程式碼，並在濫用mshta.exe下載有效酬載之前，確認是否存在於沙箱環境。</p> <p>值得留意的是，美國這波攻擊行動可追溯到2023年3月，這代表駭客濫用MacroPack的時間已超過一年半。</p> </div></div></div>
2024/9/5 11:34作者周峻佑https://www.ithome.com.tw/news/164855
思科授權管理軟體存在重大漏洞，攻擊者可用來取得管理者權限、竊取敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月4日思科發布資安公告，指出<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cslu-7gHMzWmw">用於授權管理的公用程式Smart Licensing Utility存在重大層級漏洞CVE-2024-20439、CVE-2024-20440</a>，攻擊者可在未經授權的情況下遠端利用，從而在此公用程式執行的過程中，收集敏感資訊，或是管理此公用程式的服務。</p> <p>不過，攻擊者若要利用這些漏洞，前提是使用者啟動Smart Licensing Utility，而且必須是正在運作的狀態才能觸發。上述漏洞影響2.0.0至2.2.0版Smart Licensing Utility，2.3.0版不受影響，此外，Smart Software Manager On-Prem及Smart Software Manager Satellite也不受影響。</p> <p>值得留意的是，這些漏洞的CVSS風險評分都達到9.8（滿分10分），思科指出這些漏洞沒有相依性，攻擊者不需利用其他漏洞就能觸發。此外，除了升級新版軟體之外，並無其他緩解措施能夠降低風險。</p> <p>其中，靜態帳密漏洞CVE-2024-20439與未記載於文件的管理帳號有關，攻擊者一旦成功利用，就有機會透過API取得管理員權限，並存取該公用程式。</p> <p>另一個漏洞CVE-2024-20440，則有可能造成資訊洩露，該漏洞發生的原因與除錯事件記錄留下過多資訊造成，攻擊者若是藉此取得相關事件記錄檔案，就有機會得到能存取API的帳密資料。</p> </div></div></div>
2024/9/5 12:11作者周峻佑https://www.ithome.com.tw/news/164861
美國扣押俄羅斯用來干預美國大選的32個網域名稱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國本周三（9/4）大動作地摧毀俄羅斯在美國所進行的影響力活動，包括<a href="https://www.justice.gov/opa/pr/justice-department-disrupts-covert-russian-government-sponsored-foreign-malign-influence" target="_blank">扣押</a>32個網域名稱，<a href="https://home.treasury.gov/news/press-releases/jy2559" target="_blank">制裁</a>10名個人與2個實體，以及起訴兩名俄羅斯人。</p> <p>根據調查，俄羅斯註冊並利用32個網域名稱來散布各種該國政府的宣傳內容，目的包括減少國際社會對烏克蘭的支援，推動親俄的政策及利益，以及企圖影響美國及國外的選舉，包括今年的美國總統大選在內。</p> <p>這些網址之所以被扣押主要是因為它們特意假冒為自由的新聞平臺，例如註冊了類似華盛頓郵報的washingtonpost.pm，卻發表俄羅斯政府的資訊，還透過廣告及社交媒體宣傳，建立合法新聞媒體網站的假象。除了美國人之外，這些網站企圖影響的對象還包括德國、墨西哥與以色列，企圖破壞這些國家與美國的關係。</p> <p>被美國起訴的則是兩名替俄羅斯媒體RT工作的Kostiantyn Kalashnikov與Elena Afanasyeva，美國指控她們違反《外國代理人登記法》（Foreign Agents Registration Act）與共謀洗錢。Kalashnikov與Afanasyeva參與了一項價值1,000萬美元的專案，以製作及散布潛藏俄羅斯政府資訊的內容予美國視聽人。</p> <p>RT為俄羅斯國家廣播公司，調查發現RT在美國扶植與資助一家內容創作公司來影響美國人，已於TikTok、Instagram、X 及YouTube發布近2,000個影片，評論美國事件及問題，包括移民、通膨及外交政策等，主要目的是擴大美國國內的分裂。而Kalashnikov與Afanasyeva即是該公司的員工。</p> <p>美國財政部亦制裁包括Kalashnikov與Afanasyeva在內的10名俄羅斯人，以及兩個實體ANO Dialog與Dialog Regions 。其中，ANO Dialog為俄羅斯政府成立的非營利組織，在網路上散布不實資訊來打擊選舉活動，並與上述在美國的活動有所關聯，而Dialog Regions則是ANO Dialog的子公司，其它被制裁的俄羅斯人則與這兩家公司有關。</p> </div></div></div>
2024/9/5 12:51作者陳曉莉https://www.ithome.com.tw/news/164863
Visual Studio 2022深度整合Copilot，可針對解決方案、儲存庫上下文提供建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/new-github-copilot-features-in-visual-studio-2022-17-11/">微軟Visual Studio 2022 17.11針對GitHub Copilot更新</a>，提升在開發流程中整合使用Copilot的方式，而這也是首次讓開發者能夠引用整個解決方案。除此之外，Copilot於Visual Studio 2022中也新增多項功能，像是強化語境理解，以及對除錯和命名上的理解，進一步提升開發者的生產力和開發效率。</p> <p>過去Copilot可應用的範圍較小，是因為其能引用的上下文較為限縮，而在Visual Studio 2022 17.11中，Copilot增加@workspace和@GitHub新指令功能，可將整個解決方案甚至是儲存庫納入參照上下文中。</p> <p>使用@workspace，Copilot能回應有關解決方案、檔案和其他互動的高層次問題，而藉由使用@GitHub，則能獲取來自整個儲存庫上下文資訊，以及經Bing搜尋結果強化的答案。這些新指令能提高開發者在程式碼編寫和除錯時的效率和靈活性。</p> <p>除了指令功能外，Copilot的程式開發輔助效能也獲得改善，添加命名建議和人工智慧生成的中斷點表示式功能。命名建議功能會根據開發者程式碼使用情境和風格，替C++識別符號生成命名建議，提高整體程式碼的一致性和可讀性。</p> <p>特別的是，Copilot支援生成C++中斷點表示式，包括條件斷點表示式（Conditional Breakpoints）和追蹤點表示式（Tracepoints）。條件斷點表示式和追蹤點表示式是除錯過程的工具，用來在特定條件下暫停程式執行或是紀錄資訊，這項Copilot功能的目的在於簡化除錯過程，協助開發者更快設定正確的中斷點條件，以增加開發效率。</p> <p>Copilot還提供開發者迭代程式碼建議的方法，在這個新版本開發者針對Copilot的建議，可以添加上下文或詢問問題，以持續改進程式碼完成，不需要像過去一樣先接受建議。這項更新供開發者修改和重試Copilot的建議，避免接受後還要再修改的麻煩。</p> <p>管理者現在也擁有更多管理工具，像是GitHub Copilot Content Exclusion讓管理員設定需要忽略的儲存庫或是組織中特定的檔案，以避免Copilot提供建議時，意外地洩漏企業敏感資料。</p> </div></div></div>
2024/9/5 11:49作者李建興https://www.ithome.com.tw/news/164850
xAI以10萬顆H100打造的超級電腦上線，幾個月內再擴大一倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克昨日<a href="https://x.com/elonmusk/status/1830650370336473253" target="_blank">宣布</a>旗下AI公司xAI以10萬顆Nvidia H100 GPU打造的超級電腦已在上周末上線，而未來幾個月內規格可能再成長一倍。</p> <p>xAI這個用以訓練AI模型的超級電腦叢集名為Colossus，已經在上周末上線。專案從開始到結束只花了122天。馬斯克宣稱，Colossus是世界最強大的AI訓練系統，其規格未來幾個月內，還會再翻倍來到20萬顆GPU，包含5萬顆最新的Nvidia H200。</p> <p>因應AI應用日愈普及，主要雲端業者之間掀起運算資源軍備競賽。根據一名X用戶<a href="https://twitter.com/AnthonyEveryWhr/status/1830680977103794177" target="_blank">張貼</a>的資料，以GPU數量計算，xAI的AI系統的確是最大的。第二為Google的9萬顆、OpenAI、Meta、微軟則以8萬顆、7萬及6萬居次。提供GPU的Nvidia自己則以5萬顆排名第6。</p> <p>軍備競賽預料至少還會持續到明年。報導<a href="https://ithome.com.tw/news/164286" target="_blank">指出</a>，Nvidia下一代GPU預計第4季才會推出，甚至可能因設計瑕疵延後上市，但已有客戶排隊下訂，Meta、xAI和微軟已經採購30萬顆B200。</p> <p>而為了支持龐大的AI建置與訓練開銷，這些業者也必須尋求雄厚資金奧援。xAI今年5月<a href="https://www.ithome.com.tw/news/163140" target="_blank">完成</a>60億美元的B輪增資。媒體<a href="https://www.ithome.com.tw/news/164742" target="_blank">報導</a>，OpenAI計畫再融資數十億美元。</p> </div></div></div>
2024/9/5 12:01作者林妍溱https://www.ithome.com.tw/news/164859
美國上訴法院裁決，Internet Archive的電子書借閱並不屬於合理使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球四大出版商在2020年<a href="https://www.ithome.com.tw/news/138017" target="_blank">指控</a>網際網路檔案館（Internet Archive，IA）出借掃描的電子書侵犯著作權，美國地方法院在2023年判決IA無權複製出版商於訴訟中所提到的127本書，IA對此提出了上訴，但上訴法院認同地方法院的判決，<a href="https://storage.courtlistener.com/recap/gov.uscourts.ca2.60988/gov.uscourts.ca2.60988.306.1.pdf" target="_blank">再次裁決</a>IA的電子書借閱並不屬於合理使用。</p> <p>1996年成立的IA為一非營利組織，自2005年就開始進行書籍的數位化，掃描來自28個國家的圖書，若是無版權的就允許使用者直接下載，若尚有版權則可透過2019年設立的開放圖書館（Open Library）專案借閱。開放圖書館的出借原則，是採行通用的「可控數位借閱」（Controlled Digital Lending，CDL）原則，亦即館內有幾本實體書，就能借出多少數位書籍，亦與其它實體圖書館合作，將它們的藏書算進CDL的額度中。</p> <p>然而，當COVID-19疫情使得全球大多數的圖書館都關門防疫時，IA在2020年3月推出國家緊急圖書館（National Emergency Library），完全打破CDL原則，每本電子書最多可同時被1萬名使用者借閱。</p> <p>這惹得美國出版商協會（Association of American Publishers，AAP）代替法國出版商Hachette Book Group、全球最大出版商HarperCollins Publishers、跨國出版商John Wiley & Sons，以及全球出版商的Penguin Random House在同年6月提出訴訟，而IA也在6月底便關閉了緊急圖書館。</p> <p>四大出版商指控，IA在未取得授權也未付款的狀態下，擅自掃描了具有版權的圖書，還把它們上傳到公開的伺服器上供所有人借閱。此外，開放圖書館專案繞過了傳統圖書館的授權限制，它的電子書是自紙本書掃描而來，而非向出版商購買其數位版，代表IA從未與出版商達成數位版的授權協議。</p> <p>IA以合理使用作為辯護的理由。然而，法官認為，IA所製作的數位副本並未對原作有任何的改編或增值，不具備變革性，意味著IA僅複製了作品，並未創造新的價值，不算是合理使用。而且IA所複製的作品都受到版權保護，提供免費的替代品的確侵蝕了出版商的電子書收益。</p> <p>對於此一結果，<a href="https://publishers.org/news/appeals-court-affirms-decision-against-internet-archive-for-copyright-infringement/" target="_blank">AAP指出</a>，法院證實了就算是以一比一的比例提供數位書籍的借閱（CDL），也不屬於合理使用，未經許可將整個作品轉成新格式並沒有什麼變革性。</p> <p><a href="https://blog.archive.org/2024/09/04/internet-archive-responds-to-appellate-opinion/" target="_blank">IA則說</a>對此一判決感到很失望，正在審查法院的意見，也會繼續捍衛圖書館擁有、借閱及保存書籍的權利，還<a href="https://www.change.org/p/let-readers-read-an-open-letter-to-the-publishers-in-hachette-v-internet-archive?utm_medium=custom_url&utm_source=share_petition&recruited_by_id=eb10e620-2915-11ef-99de-71750e499499" target="_blank">發動連署</a>以要求出版業者恢復從IA中移除的書籍存取權。</p> </div></div></div>
2024/9/5 12:15作者陳曉莉https://www.ithome.com.tw/news/164862
高通公布8核Snapdragon X Plus處理器，要讓Copilot+ PC價格壓低到1千美元以下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高通昨（4）日在德國柏林IFA大會上<a href="https://www.qualcomm.com/news/releases/2024/09/qualcomm-expands-performance-leadership-to-more-copilot--pc-user" target="_blank">發表</a>Snapdragon X Plus 8核處理器，可讓Windows Copilot+ PC筆電價格降到1,000美元以下。</p> <p>新宣布的Snapdragon X Plus 8核處理器，為Snapdragon X系列最新成員，同樣使用Oryon CPU最新8核處理器包含2款，分別為XIP-42-100及XIP-46-100，多核心最大渦輪頻率分別為3.2GHz及3.4GHz，皆提供30MB快取，NPU算力也都是45TOPS。</p> <p>高通表示，新Snapdragon X Plus平臺內的8核Oryon CPU具備極高效能及省電效率。根據該公司提供的數據，Oryon CPU效能比英特爾上一代Core Ultra 7快61%，而尖峰效能運作下，能源效率是對手的179%。其內建Adreno GPU支援最多三臺外接顯示器，而不影響畫質和視覺體驗。高通並聲稱搭載新處理器的筆電電池續航力極高，充飽一次電可運行「數日」，微軟及OEM的資料則說可用上一整天。</p> <p>相較6月份公布的Snapdragon X提供10及12核心版本CPU，最新產品則以較少的核心，以低階筆電市場拓展AI PC市場。高通執行長Cristiano Amon表示，新處理器可讓OEM業者推出700到900美元價格帶的Copilot+ PC筆電。</p> <p>品牌業者包括宏碁、華碩、Dell、HP、聯想與三星，都將推出搭載最新Snapdragon X Plus 8核處理器的筆電，並在今天開放預購。其中Asus Vivobook S 15與Dell Inspiron 14新品在Best Buy定價為900美元，宏碁Acer Swift Go 14 AI <a href="https://news.acer.com/hong-qi-fa-biao-xin-kuanswift-14-ai-heswift-go-14-ai-bi-dian-kuo-dacopilot-pc-zhen-rong" target="_blank">在美</a>定價999美元。三星15吋Galaxy Book4 Edge筆電預定10月推出。新品目前在臺灣尚未於網站上架，亦未提供預購。</p> <p>高通昨日同時宣布在稍早推出的X1P-64-100之外，新增10核心處理器X1P-66-100，新晶片單核加速頻率為4 GHz。</p> <p>英特爾則在昨天<a href="https://www.intel.com/content/www/us/en/newsroom/news/core-ultra-200v-series-mobile.html" target="_blank">公布</a>代號Lunar Lake的Core Ultra 200V處理器技術細節，宣稱新晶片設計使P-Core可較前代的Meteor Lake效能提升15%，處理器整體功耗降低50%，而執行遊戲效能也比競爭者快30%。</p> </div></div></div>
2024/9/5 10:05作者林妍溱https://www.ithome.com.tw/news/164849
【資安日報】9月4日，駭客組織Head Mare鎖定俄羅斯企業組織發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在烏克蘭戰爭開打之後，有許多專門攻擊敵對企業的駭客組織出現，其中名為Head Mare的駭客組織引起資安業者卡巴斯基的注意，並於近日公布這些駭客的作案手法。</p> <p>研究人員特別提及這些駭客作案的獨特之處，包含過程中利用特定的WinRAR漏洞，以及使用勒索軟體加密檔案，來向受害組織索討贖金的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164843"><strong style="font-size: 22px;">俄羅斯、白俄羅斯遭到WinRAR漏洞攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HeadMare-en-ru-es_06.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HeadMare-en-ru-es_06.png" style="width: 300px; float: right;" /></a></p> <p>烏克蘭戰爭開打已超過2年半，兩國不光是軍事行動你來我往，網路環境的攻擊行動也不時傳出，甚至有不少專門從事這類攻擊的駭客組織產生。</p> <p>其中，資安業者卡巴斯基揭露的駭客組織Head Mare，就是典型的例子。研究人員指出，這些駭客從2023年開始活動，利用WinRAR已知漏洞CVE-2023-38831對俄羅斯、白俄羅斯企業組織發動攻擊，在入侵受害組織得逞後，又使用公開的工具執行後續活動，其中包含LockBit、Babuk勒索軟體，來加密受害電腦的檔案。</p> <p>專門針對俄羅斯企業組織發動攻擊並進行破壞的駭客組織，使用的攻擊手法和工具往往相當類似，但Head Mare取得受害組織的初始入侵管道方法較不同，其中一種就是利用CVE-2023-38831，使得駭客能夠更有效地偽裝並傳遞有效酬載。基本上，這種對於敵對國家企業組織發動攻擊的駭客組織，主要目的是進行破壞，但Head Mare會索討贖金，使得受害組織能夠復原被加密的資料。</p> <p><a href="https://www.ithome.com.tw/news/164841"><strong style="font-size: 22px;">不當蒐集人臉資料，Clearview AI被荷蘭判罰3,050萬歐元</strong></a></p> <p>荷蘭資料保護局（Dutch Data Protection Authority，Dutch DPA）周二（9月2日）宣布，美國人臉辨識業者Clearview AI因不當使用荷蘭人照片，將對其處以3,050萬歐元的罰款，不過，Clearview AI法務長Jack Mulcaire向路透社（Reuters）等媒體發布聲明，表示這是個違法的判決，缺乏正當程序亦無法執行。</p> <p>Dutch DPA表示，Clearview AI在未經使用者的同意下打造含有300億張人臉照片的資料庫，並替人臉建立唯一的生物識別標記，其資料庫中也包含了荷蘭人，並允許客戶輸入人物照片以辨識其身分，違反了GDPR。</p> <p>不只是荷蘭，英國資料保護組織（ICO）也曾在2022年向Clearview AI開罰750萬英鎊，在Clearview AI提出上訴後，法院認為Clearview AI在英國並無客戶，因此ICO沒有管轄權。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.sec.gov/Archives/edgar/data/45012/000004501224000052/hal-20240830.htm"><strong style="font-size: 20px;">美國石油公司Halliburton針對網路攻擊事故揭露新發現，證實內部資料遭到外流</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/the-trojan-horse-that-wanted-to-fly-rocinante">安卓木馬Rocinante鎖定巴西用戶而來，偽製成銀行應用程式對其下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.phylum.io/north-korea-still-attacking-developers-via-npm/">北韓駭客散布惡意NPM套件，意圖透過JavaScript指令碼進行多階段惡意軟體下載</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/global-protect-vpn-spoof-distributes-wikiloader/">惡意軟體WikiLoader透過SEO中毒散布，駭客聲稱提供特定資安業者VPN軟體作為誘餌</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164838"><strong style="font-size: 22px;">兆勤揭露無線路由器重大漏洞，可被用於作業系統層級進行命令注入攻擊</strong></a></p> <p>9月3日兆勤科技（Zyxel Networks）發布資安公告，指出旗下部分Wi-Fi路由器設備存在重大層級漏洞CVE-2024-7261，這項漏洞發生的原因，在在於路由器CGI程式，host參數的特殊元素出現處理不當（improper neutralization）的現象，攻擊者有機會藉由發送特製的cookie，在未經身分驗證的情況下執行作業系統命令，CVSS風險評分為9.8。</p> <p>值得留意的是，受到這項漏洞影響的機種橫跨多種產品線，涵蓋NWA、WAC、WAX、WBE系列機種，以及主打資安的USG Lite 60AX共29款機種，該公司已發布新版韌體予以修補。</p> <p><a href="https://www.ithome.com.tw/news/164840"><strong style="font-size: 22px;">D-Link一款終止支援的無線路由器有重大漏洞，恐被用於RCE攻擊</strong></a></p> <p>8月27日資安研究人員yali-10012透露，D-Link旗下路由器設備DIR-846W存在4個嚴重的RCE漏洞，而且其中3個可在未經身分驗證的情況下利用，9月1日D-Link發布資安公告證實確有此事，但因為這款設備已於2020年終止支援（EOS），他們不會進行修補，呼籲用戶應停止使用。</p> <p>這些漏洞是：CVE-2024-41622、CVE-2024-44340、CVE-2024-44341，以及CVE-2024-44342，CVSS風險評分介於8.8至9.8，其中，僅有風險較低的CVE-2024-44340，攻擊者必須先通過身分驗證才能利用，其餘能夠在未經身分驗證就能觸發的漏洞，美國國家漏洞資料庫（NVD）皆將其風險評為9.8分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24939"><strong style="font-size: 20px;">VMware修補虛擬化平臺Fusion高風險漏洞</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164839"><strong style="font-size: 22px;">美國白宮發布強化網路路由安全性的藍圖，解決邊界閘道協定漏洞</strong></a></p> <p>美國白宮國家網路總監辦公室（Office of the National Cyber Director，ONCD）本周二發布強化網路路由安全（Enhancing Internet Routing Security）的藍圖，目的是解決與邊界閘道協定（Border Gateway Protocol，BGP）有關的安全漏洞。</p> <p>針對推出這份藍圖的動機，起因是1989年設計的BGP並未考量現代網路所面臨的安全威脅，使得相關的意外頻傳，像是路由劫持、路由洩露或缺乏認證等，例如2008年時，巴基斯坦政府命令ISP業者封鎖YouTube，巴基斯坦電信則企圖利用BGP路由來阻止YouTube，結果此一路由訊息被傳播到全球的BGP路由表中，造成全球大多數的YouTube流量都被錯誤地導至巴基斯坦而無法存取YouTube。2021年Meta旗下各服務的中斷，也被指向BGP。</p> <p>ONCD認為，現階段要解決BGP漏洞的最佳作法是資源公鑰基礎設施（Resource Public Key Infrastructure，RPKI）、註冊服務協議（Registration Service Agreements，RSA），路由來源驗證（Route Origin Validation ，ROV），以及路由來源授權（Route Origin Authorizations，ROA）。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164832"><strong>【9月3日】駭客盯上資安廠商的SSL VPN系統當作誘餌，意圖散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164821"><strong>【9月2日】勒索軟體RansomHub受害企業組織半年已超過200家</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164780"><strong>【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</strong></a></p> </div></div></div>
2024/9/4 18:18作者周峻佑https://www.ithome.com.tw/news/164847
俄羅斯、白俄羅斯遭到WinRAR漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭開打已超過2年半，兩國不光是軍事行動你來我往，網路環境的攻擊行動也不時傳出，甚至有不少專門從事這類攻擊的駭客組織產生。</p> <p>其中，資安業者卡巴斯基揭露的<a href="https://securelist.com/head-mare-hacktivists/113555/">駭客組織Head Mare</a>，就是典型的例子。研究人員指出，這些駭客從2023年開始活動，利用WinRAR已知漏洞CVE-2023-38831對俄羅斯、白俄羅斯企業組織發動攻擊，在入侵受害組織得逞後，又使用公開的工具執行後續活動，其中包含LockBit、Babuk勒索軟體，來加密受害電腦的檔案。</p> <p>專門針對俄羅斯企業組織發動攻擊並進行破壞的駭客組織，使用的攻擊手法和工具往往相當類似，但Head Mare取得受害組織的初始入侵管道方法較不同，其中一種就是利用CVE-2023-38831，使得駭客能夠更有效地偽裝並傳遞有效酬載。基本上，這種對於敵對國家企業組織發動攻擊的駭客組織，主要目的是進行破壞，但Head Mare會索討贖金，使得受害組織能夠復原被加密的資料。</p> <p>截至目前為止，這些駭客聲稱已攻陷9個企業組織，這些涵蓋政府機關、運輸、能源、製造，以及娛樂產業。</p> <p>究竟這些駭客如何入侵受害組織？研究人員指出通常是透過惡意程式PhantomDL、PhantomCore來進行，駭客透過網路釣魚散布檔案，一旦使用者試圖開啟誘餌檔案，就會觸發CVE-2023-38831，執行惡意程式。而這些惡意程式，便會與C2伺服器進行通訊，並解析受害主機所屬的網域環境。附帶一提，駭客使用Sliver架設C2通訊環境，。</p> <p>為了進行橫向移動，駭客使用名為Pivoting的手法，將已遭入侵的電腦充當節點，濫用ngrok及rsockstun等公用程式存取私人網段的環境。</p> <p>其中，他們運用rsockstun打造SOCKS5反向隧道，此通道具備代理伺服器功能，並使用SSL進行加密通訊。如此一來，攻擊者便能存取在NAT或防火牆之後的裝置。至於ngrok，攻擊者則是用來建立從網際網路到內部網頁伺服器的安全隧道。</p> <p>而這駭客最終會將受害組織的檔案進行加密，值得留意的是，對於不同平臺，他們採用加密工具也有所不同。其中，針對Windows電腦是使用LockBit，而針對VMware虛擬化平臺ESXi，駭客則是利用Linux版Babuk。</p> </div></div></div>
2024/9/4 16:20作者周峻佑https://www.ithome.com.tw/news/164843
D-Link一款終止支援的無線路由器有重大漏洞，恐被用於RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月27日資安研究人員yali-10012透露，<a href="https://github.com/yali-1002/some-poc">D-Link旗下路由器設備DIR-846W存在4個嚴重的RCE漏洞</a>，而且其中3個可在未經身分驗證的情況下利用，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10411">9月1日D-Link發布資安公告證實確有此事</a>，但因為這款設備已於2020年終止支援（EOS），他們不會進行修補，呼籲用戶應停止使用。</p> <p>這些漏洞是：CVE-2024-41622、CVE-2024-44340、CVE-2024-44341，以及CVE-2024-44342，CVSS風險評分介於8.8至9.8，其中，僅有風險較低的CVE-2024-44340，攻擊者必須先通過身分驗證才能利用，其餘能夠在未經身分驗證就能觸發的漏洞，美國國家漏洞資料庫（NVD）皆將其風險評為9.8分。</p> <p>值得留意的是，已停止支援的D-Link設備漏洞，今年出現數起攻擊行動，4月有研究人員發現<a href="https://www.ithome.com.tw/news/162302">NAS設備漏洞CVE-2024-3273</a>，隨後就有嘗試利用的跡象；5月傳出<a href="https://www.ithome.com.tw/news/162660">無線路由器DIR-645遭到大規模攻擊</a>，過程中駭客利用已知漏洞CVE-2015-2051。</p> </div></div></div>
2024/9/4 15:08作者周峻佑https://www.ithome.com.tw/news/164840
不當蒐集人臉資料，Clearview AI被荷蘭判罰3,050萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭資料保護局（Dutch Data Protection Authority，Dutch DPA）周二（9/2）<a href="https://www.autoriteitpersoonsgegevens.nl/en/current/dutch-dpa-imposes-a-fine-on-clearview-because-of-illegal-data-collection-for-facial-recognition" target="_blank">宣布</a>，美國人臉辨識業者Clearview AI因不當使用荷蘭人照片，將對其處以3,050萬歐元的罰款，不過，Clearview AI法務長Jack Mulcaire向路透社（Reuters）等媒體發布<a href="https://www.reuters.com/technology/artificial-intelligence/clearview-ai-fined-by-dutch-agency-facial-recognition-database-2024-09-03/" target="_blank">聲明</a>，表示這是個違法的判決，缺乏正當程序亦無法執行。</p> <p>Dutch DPA表示，Clearview AI在未經使用者的同意下打造了一個含有300億張人臉照片的資料庫，並替人臉建立唯一的生物識別標記，其資料庫中也包含了荷蘭人，並允許客戶輸入人物照片以辨識其身分，違反了《歐盟通用資料保護規則》（GDPR）。</p> <p>Dutch DPA還說，在當局展開調查後，Clearview AI並未停止其違規行為，因此要求Clearview AI遵守規定，否則便需支付最高510萬歐元的額外罰款。</p> <p>不過，Clearview AI法務長認為，該公司既沒有在荷蘭或歐盟設立辦公室，也沒有位於荷蘭或歐盟的客戶，不應受到GDPR的規範。</p> <p>不只是荷蘭，英國資料保護組織（ICO）也<a href="https://www.ithome.com.tw/news/151088" target="_blank">曾在2022年</a>向Clearview AI開罰750萬英鎊，在Clearview AI提出<a href="https://www.bbc.com/news/technology-67133157#" target="_blank">上訴</a>後，法院認為Clearview AI在英國並無客戶，因此ICO沒有管轄權。</p> <p>其實Dutch DPA也知道Clearview AI在歐盟地區並未設立辦公室，而且在遭到其它資料保護組織的指控後，亦無調整其行為，Dutch DPA主席Aleid Wolfsen表示，Clearview AI不應繼續侵害歐洲人的權利並逍遙法外，正在調查能否追究公司管理階層的個人責任，以阻止其違規行為。</p> </div></div></div>
2024/9/4 15:20作者陳曉莉https://www.ithome.com.tw/news/164841
白宮發布強化網路路由安全性的藍圖，解決邊界閘道協定漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國白宮國家網路總監辦公室（Office of the National Cyber Director，ONCD）周二（9/3）<a href="https://www.whitehouse.gov/oncd/briefing-room/2024/09/03/press-release-white-house-office-of-the-national-cyber-director-releases-roadmap-to-enhance-internet-routing-security/" target="_blank">發布了</a>一份強化網路路由安全（Enhancing Internet Routing Security）的<a href="https://www.whitehouse.gov/wp-content/uploads/2024/09/Roadmap-to-Enhancing-Internet-Routing-Security.pdf" target="_blank">藍圖</a>，目的是解決與邊界閘道協定（Border Gateway Protocol，BGP）有關的安全漏洞。</p> <p>全球網路大約是由7.4萬個自治系統（Autonomous System，AS）組成，每個AS通常由一個組織管理，並具備唯一的的AS號碼（ASN）；BGP則允許不同的AS相互通訊或交換路由訊息，AS亦使用BGP來宣告它們可以到達的IP位址，BGP協助AS決定如何幫封包路由至其它AS，AS使用BGP來選擇到達目標的最佳路徑。簡單地說，AS與BGP構築了網路骨幹。</p> <p>然而，1989年設計的BGP並未考量現代網路所面臨的安全威脅，使得相關的意外頻傳，像是路由劫持、路由洩露或缺乏認證等，例如2008年時，巴基斯坦政府命令ISP業者封鎖YouTube，巴基斯坦電信則企圖利用BGP路由來阻止YouTube，結果此一路由訊息被傳播到全球的BGP路由表中，<a href="https://web.mit.edu/6.02/www/s2012/handouts/youtube-pt.pdf" target="_blank">造成</a>全球大多數的YouTube流量都被錯誤地導至巴基斯坦而無法存取YouTube。2021年Meta旗下各服務的中斷，<a href="https://www.ithome.com.tw/news/147073" target="_blank">也被指向BGP</a>。</p> <p>ONCD認為，現階段要解決BGP漏洞的最佳作法是資源公鑰基礎設施（Resource Public Key Infrastructure，RPKI）、註冊服務協議（Registration Service Agreements，RSA），路由來源驗證（Route Origin Validation ，ROV），以及路由來源授權（Route Origin Authorizations，ROA）。</p> <p>其中，RSA為整個系統的法律基礎，它確定誰有權使用特定的網路資源並授權它們參與RPKI；RPKI則是個用來實現安全的技術框架；ROA即為RPKI的成果，決定哪個AS可以宣告哪些IP前綴；ROV則使用RPKI與ROA資料來驗證BGP路由公告的有效性。</p> <p>ONCD已制定了聯邦RSA範本附錄，鼓勵聯邦機構使用它來推動RPKI的採用，美國國家海洋及大氣管理局也制定了聯邦RPKI手冊，以支援RSA的執行，以及與聯邦網路上建立ROA的過程。期望今年底前，RSA將可覆蓋聯邦網路所公布的6成以上的IP空間，以替建立ROA舖路。</p> <p>白宮國家網路總監Harry Coker, Jr表示，網路安全太重要了，聯邦政府必須以身作則加速對BGP安全措施的採用，與公、私部門合作朝向共同的目標，包括制定藍圖以減輕長期存在的漏洞，造就更安全的網路，以確保美國國家安全與經濟繁榮。</p> </div></div></div>
2024/9/4 14:51作者陳曉莉https://www.ithome.com.tw/news/164839
兆勤揭露無線路由器重大漏洞，可被用於作業系統層級進行命令注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月3日兆勤科技（Zyxel Networks）發布資安公告，指出旗下<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-os-command-injection-vulnerability-in-aps-and-security-router-devices-09-03-2024">部分Wi-Fi路由器設備存在重大層級漏洞CVE-2024-7261</a>，這項漏洞發生的原因，在在於路由器CGI程式，host參數的特殊元素出現處理不當（improper neutralization）的現象，攻擊者有機會藉由發送特製的cookie，在未經身分驗證的情況下執行作業系統命令，CVSS風險評分為9.8。</p> <p>值得留意的是，受到這項漏洞影響的機種橫跨多種產品線，涵蓋NWA、WAC、WAX、WBE系列機種，以及主打資安的USG Lite 60AX共29款機種，該公司已發布新版韌體予以修補。</p> <p>附帶一提，兆勤同日也針對ATP、USG Flex系列防火牆設備<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-09-03-2024">發布新版韌體</a>，總共修補7個漏洞，其中最危險的是命令注入漏洞CVE-2024-42057 ，CVSS風險評為8.1分。</p> </div></div></div>
2024/9/4 12:24作者周峻佑https://www.ithome.com.tw/news/164838
Starlink終於配合巴西封鎖X的禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西最高法院法官Alexandre de Moraes上周五（8/30）<a href="https://www.ithome.com.tw/news/164808" target="_blank">要求</a>當地電信業者封鎖X，凍結了SpaceX旗下衛星服務Starlink在當地的資產，並宣布企圖利用虛擬私有網路（VPN）存取X就會面臨每日高達5萬里奧（BRL）（約8,900美元）的罰款。巴西最高法院的5名法官本周一（9/2）皆投票贊成關閉X的決定，而原本不願履行此一命令的Starlink也在周二（9/3）<a href="https://x.com/Starlink/status/1831053118265843722" target="_blank">宣布</a>將遵守該命令。</p> <p><a href="https://thehill.com/homenews/4860803-musks-starlink-will-block-x-in-brazil-to-comply-with-judges-orders/" target="_blank">THE HILL</a>詳細說明了巴西與馬斯克（Elon Musk）之間的恩怨情仇，在Moraes調查巴西前任總統Jair Bolsonaro拒絕承認落選並出走的事件中，馬斯克拒絕封鎖Bolsonaro支持者在X上的帳戶，雙方已對峙好幾個月，並在8月擴大衝突。</p> <p>Moraes在今年8月威脅要逮捕X於巴西的法定代理人且按日罰款，使得X直接<a href="https://x.com/GlobalAffairs/status/1824819053061669244" target="_blank">宣布</a>解散巴西辦公室，但將繼續於巴西提供服務，接著馬斯克又拒絕指定新的代理人，並說Moraes是個獨裁者，使得Moraes下令全面封鎖X。</p> <p>Moraes並因X拒絕支付罰款而凍結了同屬馬斯克麾下的Starlink在巴西的資產，而且Starlink一開始並不打算遵循禁令，依舊透過衛星網路提供巴西民眾存取X。</p> <p>在巴西最高法院的5名法官都同意封鎖X之後，Starlink也在周二宣布將遵守封鎖X的命令。</p> <p>根據 Statista今年4月的<a href="https://www.statista.com/statistics/242606/number-of-active-twitter-users-in-selected-countries/" target="_blank">調查</a>，X的前兩大市場為美國與日本，用戶數分別超過1億及6,000萬，而巴西也是X的主要市場之一，與印度、印尼或英國都擁有超過2,000萬名的X用戶。</p> <p>因此，專門觀察VPN服務的vpnMentor<a href="https://www.vpnmentor.com/news/vpn-surge-brazil/" target="_blank">發現</a>，自Moraes封鎖X以來，巴西的VPN使用率增加了1600%。</p> <p>同時，應用程式情報業者Appfigures的資料顯示，由Twitter創辦人Jack Dorsey重新打造的微型部落格<a href="https://appfigures.com/top-apps/ios-app-store/brazil/iphone/top-overall" target="_blank">BlueSky</a>，以及Meta的<a href="https://appfigures.com/top-apps/google-play/brazil/top-overall" target="_blank">Threads</a>，一躍成為巴西下載量前兩名的程式。BlueSky並<a href="https://bsky.app/profile/jaz.bsky.social/post/3l3a2i4bbv42k" target="_blank">宣布</a>，X被封鎖的4天以來，該平臺就新增了超過211萬用戶，原本同樣期間只會增加2,600名用戶。</p> </div></div></div>
2024/9/4 11:32作者陳曉莉https://www.ithome.com.tw/news/164837
Google將Gemini AI助理整合到Chrome網址列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日悄悄將Gemini AI助理整合到新版Chrome網址列，無需點擊側邊欄就能和Gemini對話。</p> <p>Google周二針對Windows、Mac與Linux平臺<a href="https://chromereleases.googleblog.com/2024/09/" target="_blank">釋出</a>Chrome 128最新更新版本128.0.6613.120。一名用戶<a href="https://x.com/mlhobbyist/status/1828941776998285820" target="_blank">發現</a>Google悄悄加入一項新功能，只要在網址列輸入@，即出現4個功能選項，選擇@gemini和Gemini聊天，用戶就可直接在網址列輸入想問的問題。之後用戶會被導向顯示Gemini回應的主要結果頁。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0904-chrome-chat%20with%20gemini_%EF%BC%A0.jpg" style="width: 599px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／iThome</span></span></p> <p>這個做法比微軟將Copilot整合Edge的方法有效一點。在Edge中，用戶必須點選瀏覽器右上角的Copilot Logo，叫出側邊欄才能輸入在提示列查詢或下指令。Brave中，用戶也可以在網址列輸入「ask」叫出「ask Leo」選項，但是用戶還是必須在側邊欄輸入提示。</p> <p>Google在8月30日更新了Gemini。Google<a href="https://gemini.google.com/updates" target="_blank">說明</a>，最新的Gemini以1.5 Flash為基礎，回應速度更快，所需時間是原本的50%。</p> <p>Chrome網址列@選單的其他三項功能包括分頁、書籤及歷史紀錄。</p> </div></div></div>
2024/9/4 09:02作者林妍溱https://www.ithome.com.tw/news/164835
微軟釋出C++動態多型函式庫Proxy 3，支援豐富多型實作、效能更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布動態多型<a href="https://devblogs.microsoft.com/cppblog/announcing-the-proxy-3-library-for-dynamic-polymorphism/">Proxy 3函式庫</a>，而Proxy函式庫主要為C++程式語言的現代化多型（Polymorphism）解決方案，從2022年開始被應用於Windows作業系統。最新的Proxy 3函式庫相較先前版本，明顯改善了語法和工具，藉由擴展多型表示式和新功能，使多型的使用更加直覺且靈活，在效能和易用性上都獲得提升。</p> <p>Proxy函式庫的目的是讓C++開發者，不使用繼承直接使用多型，這解決了過去C++中使用繼承實作多型，所帶來的程式碼耦合性過高以及靈活性不足的問題。Proxy提供了以表達式為基礎的多型，使得各種運算子和函式呼叫都得以多型化，增加了程式碼的靈活度。</p> <p>而且Proxy函式庫同時也支援高效的記憶體管理和效能最佳化功能，因此除了程式碼更加靈活之外，還可避免傳統多型實作可能遭遇到的效能問題。Proxy函式庫也提高了C++多型程式的可移植性，可被用於任何能夠支援C++20編譯器的平臺。</p> <p>在最新版本中，微軟於Proxy 3加入了更強大的多型表示式支援，允許開發者可將幾乎所有C++表示式多型化，包括非成員函式、運算子和型別轉換等。而新增的支援外觀組合（Facade Composition）功能，讓開發者可以靈活組合不同的多型行為。最新版本還改善語法，使其更加直覺，並且最佳化IDE的相容性提升開發體驗。更精確的診斷資訊，也使得Proxy 3除錯和錯誤追蹤上更為便捷。</p> <p>記憶體管理功能改進是Proxy 3的一大亮點，僅允許類似垃圾回收的記憶管理，而非引入實際的垃圾回收機制，其能夠根據物件大小自動決定是否需要堆（Heap）記憶體分配，避免不必要的記憶體管理負擔和效能浪費。由於這些新的記憶體最佳化功能，讓Proxy 3的效能比起過去的版本都還要好，特別是在記憶體受限或是需要高效執行的環境，對進階開發人員來說，便可以使用Proxy 3的效能調整和擴展選項，滿足不同的情境需求。</p> <p>Proxy 3讓開發者使用更強大且靈活的多型功能，程式碼也有更高的可讀性和可維護性，更好的IDE支援也提高開發流程的順暢度。記憶體管理和效能最佳化，讓應用程式執行速度和系統資源使用獲得改善。Proxy 3借鑑了現代化系統程式開發語言Rust設計概念，改善傳統C++多型實作，類似Rust記憶體管理和鬆耦合的優點。</p> </div></div></div>
2024/9/3 23:09作者李建興https://www.ithome.com.tw/news/164833
今年度FHIR聯測開跑，健保署預告FHIR癌藥事前審查機制年底上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年度FHIR聯測今（9月3日）展開，這次規模更大，國內參與機構來到47家，其中醫學中心就有14家，超過全臺醫學中心的半數；另還有來自東南亞6國的11組團隊，來臺進行國際病人資料交換聯測。今年的FHIR聯測賽道也比以往更多，包括新添的國家賽道，來測試參與機構能否按衛福部TW Core IG規格正確轉換，此外還有FHIR癌症藥物事前審查、長照資料交換、身體活動量測資料與國際病人摘要等新賽道。其中，FHIR癌症藥物事前審查機制將於今年底上路，是衛福部推動FHIR實作的重要一步。</p> <p>與此同時，為強化FHIR生態系，主辦聯測的臺灣醫療影像資訊標準協會（MISAT）還建置臺灣FHIR開放登錄平臺，也就是一套索引系統，可讓使用者查詢通過FHIR聯測的應用程式，以及實作指引內容。</p> <p><span style="font-size:22px;"><strong>衛福部預告年底上路FHIR癌藥事前審查機制，明年要訂定重大傷病FHIR格式</strong></span></p> <p>HL7 FHIR是一套國際醫療資料交換標準，有利於資料的互通性和互操作性，是國際上常見的主流資料交換標準。而FHIR聯測目的，是要測試醫院、廠商、政府機關等機構，能否以同一套FHIR規格來交換醫療相關資料，促進資料互通應用。</p> <p>在今年聯測會場中，力推FHIR的健保署副署長龐一鳴指出，聯測就好比靶場打靶，是醫療機構測試FHIR交換能力的手段之一，而為落實實戰操作，衛福部要在今年底正式採用FHIR規格，來進行數位化的癌症藥物事前審查，推動FHIR實務應用。</p> <p>採用FHIR數位化審查有2大好處，一是對比以往送審的PDF掃描檔，採用FHIR格式的資料更容易去識別化，且也更容易導入AI輔助工具來加速審查。目前已有多家醫院著手FHIR癌藥事前審查機制，如長庚、中榮、高醫等院。</p> <p>再來，衛福部也考慮將罹癌後的重大傷病紙本申請模式，改為FHIR數位化模式，其FHIR規格預計明年中公布。另一方面，龐一鳴點出，衛福部與花蓮慈濟醫院正進行FHIR電子處方箋試辦，再加上先前通過的電子簽章法，可讓電子處方箋具憑證等級效力；未來若正式推行，持電子慢性處方箋的民眾不必出示健保卡、也能領藥，衛福部甚至能將電子處方箋納入實名制App，實現更多便民應用。不過他也坦言，要做到這一步，還需要定義許多格式與欄位，衛福部內正針對該議題討論中。</p> <p><span style="font-size:22px;"><strong>今年參與家數來到47間，還納入專案聯測形式</strong></span></p> <p>就今年聯測來說，主辦方MISAT秘書長連中岳指出，相較於去年只有32家機構參與，今年參與規模更大，包括臺北榮總、三總、萬芳醫院、成大醫院等在內的17家醫院，還有4家學術單位、1家法人/機關、25家業者等共47間國內機構，另還有東南亞6國家共11組團隊加入聯測。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E6%95%B8.JPG" /></p> <p>為提高聯測品質，今年，主辦方還特別加入幾個機制，包括FHIR一站式驗證、FHIR臺灣公開測試伺服器、聯測篩選機制和專案聯測松。其中，聯測篩選機制要求參與者先繳交聯測前測試報告，來證明自己具備FHIR開發能力，才能進行聯測，而專案聯測松則是參照國際做法，來在聯測時新添專案形式的賽道，在短時間內驗證專案設計的FHIR IG（即實作指引）是否可行，今年就有幾個賽道以專案形式設置。</p> <p><span style="font-size:22px;"><strong>今年聯測賽道有8個新變革</strong></span></p> <p>連中岳指出，今年聯測賽道非常多，<a href="https://mitw.dicom.org.tw/Tracks/1">共15個</a>，當中不乏許多新變革。</p> <p>比如第一個賽道是臺灣核心實作指引，目的是要驗證開發者對衛福部制定的臺灣核心實作指引（TW Core IG）實作能力，驗證內容有20個關鍵醫療數據的Profile、常用臺灣值集、專門術語操作性以及必須支援能力，完全通過才算過關。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E5%AE%B6.JPG" /></p> <p>再來是政府賽道，去年是針對電子病歷交換中心（EEC）四大單張來進行FHIR驗證，今年則擴大納入電子處方箋和調劑單張規格與情境。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BF%E5%BA%9C.JPG" /></p> <p>另一個新做法則是在醫療保險理賠賽道，除了原有的醫院端到人壽端的醫療交換驗證情境，今年還多了個醫查情境，也就是保險公司向醫院查詢保戶病歷資料的資料交換情境，其交換需按照醫查FHIR實作指引來進行。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%90%86%E8%B3%A0(1).JPG" /></p> <p>另外，今年還新添了長照賽道，這個賽道是根據經濟部銀光科技智慧照顧驗證推動計畫而設計，整合了現行長照照護情境，並制定臺灣長照FHIR實作指引，來供參與機構遵循、驗證其交換能力。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E7%85%A7.JPG" /></p> <p>今年還有另一個國際病人摘要新賽道，目的是要透過FHIR來進行跨國、跨機構的病人健康資料交換，可適用於國際移工、留學和旅遊醫療等情境。而今年共有6個國家參與，包括菲律賓、斯里蘭卡、泰國、印尼、尼泊爾和馬來西亞。</p> <p>最後還有3個專案形式新添的聯測賽道，也就是身體活動量測、癌症用藥事前審查、共用腫瘤學資料元素。</p> <p>其中，身體活動量測賽道是根據數發部建置的運動數據公益平臺而設置，因該平臺收集了300多萬筆數據，欄位多達65項、設備更有92種類型，串接的業者還有50家。由於沒有統一的格式標準，導致平臺收載的資料無法整合運用，因此由主辦方工作小組制定FHIR規格，設計了FHIR運動處方箋、運動數據收集與分析等2大交換情境，來供參與者驗證，好進行後續數據運用。</p> <p>至於癌症用藥事前審查賽道，則是要協助醫院快速產出符合衛福部FHIR指引的審查申請文件。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%8C%E8%97%A5.JPG" /></p> <p>為何癌症用藥事前審查需要數位化？因為，癌症治療有很多策略，標靶藥物和特殊用藥就是一種有效方式。但這類用藥昂貴，需要醫療保險給付，因此醫療保險提供方需要對個案進一步事前審查。在事先審查中，申請單位要提供多種病歷文件和醫學影像，還要搭配影像報告、檢查報告、基因報告等資料。就目前流程來說，申請醫院需要將病歷印出，再掃描成電子檔，並由人工填寫其他申請資訊，造成申請流程漫長。而在保險給付端收到申請後，也得靠人工審查，造成審查效率低下，數位審查機制便因運而生。</p> <p>至於共用腫瘤學資料元素賽道，則是依臺北榮總提出的專案形式設置，以FHIR標準，來設計符合臺灣醫療需求的癌症照護FHIR Resource規範和系統互通操作流程，來供產業應用和參考。</p> <p>連中岳表示，MISAT希望透過每年例行的聯測松和接下來要推行的專屬聯測松，來形塑臺灣FHIR生態圈，更遠大的目標是要建立臺灣SMART on FHIR。</p> <p></p> </div></div></div>
2024/9/3 21:07作者王若樸https://www.ithome.com.tw/news/164834
【資安日報】9月3日，駭客盯上資安廠商的SSL VPN系統當作誘餌，意圖散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客意圖藉由提供應用程式發動攻擊，引誘使用者上當，從而散布惡意軟體，進而存取企業內部網路環境，過往駭客多半是宣稱提供常見的應用程式，或是IT人員會用到的系統工具，但如今，有人以特定廠牌SSL VPN軟體作為幌子發動攻擊。</p> <p>值得留意的是，這意味著駭客的攻擊目標相當有針對性，因為使用者很有可能是該廠牌SSL VPN系統的用戶，這樣的誘餌顯然能夠降低使用者的戒心，而有可能得逞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164826"><strong style="font-size: 22px;">以提供特定資安廠商SSL VPN軟體為誘餌，攻擊者鎖定中東組織散播冒牌程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GlobalProtect-fig1-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GlobalProtect-fig1-chain.png" style="width: 300px; float: right;" /></a></p> <p>遠距辦公已是最近幾年的新常態，許多員工會透過SSL VPN系統存取企業內部環境，而最近有人佯稱提供這類系統的應用程式，意圖散布惡意程式，從而入侵企業。</p> <p>資安業者趨勢科技揭露偽裝成Palo Alto Networks旗下SSL VPN服務GlobalProtect的惡意程式，駭客鎖定中東組織而來，意圖竊取內部資料，並遠端執行PowerShell命令，進而滲透受害組織的網路環境。</p> <p>究竟攻擊者如何散布惡意程式，研究人員表示並不清楚，但他們認為很有可能是透過網路釣魚進行，引誘使用者安裝GlobalProtect代理程式為由進行散布。</p> <p><a href="https://www.ithome.com.tw/news/164829"><strong style="font-size: 22px;">越南人權組織遭駭客OceanLotus鎖定攻擊，入侵超過4年</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/66ad049436f03b29e008a353_AD_4nXf0KoCeIae4-A1etNE5DcUXKpVgaeRDBwiOG6jpzDDftsjp34W_bbh6pvcMExQHXBWXc2e6lQBukuyLXmeOw9e-gCksdKhB1iiScHMRTlb2JY__QrE6CBoe-i5FFaHkhDyTI9TEtyRGduoviwg1wY8jiMg.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/66ad049436f03b29e008a353_AD_4nXf0KoCeIae4-A1etNE5DcUXKpVgaeRDBwiOG6jpzDDftsjp34W_bbh6pvcMExQHXBWXc2e6lQBukuyLXmeOw9e-gCksdKhB1iiScHMRTlb2JY__QrE6CBoe-i5FFaHkhDyTI9TEtyRGduoviwg1wY8jiMg.png" style="width: 300px; float: right;" /></a>駭客入侵非營利組織的情況不時傳出，最近有一起是因為研究人員進行例行調查意外發現的資安事故，而引起了他們的注意。</p> <p>資安業者Huntress指出，與越南政府有關的駭客組織OceanLotus（也稱做APT32、APT-C-00、Canvas Cyclone）入侵當地的人權組織，並研判為期超過4年。究竟駭客如何入侵受害組織，研究人員並未特別說明，但他們在4臺電腦上找到這些駭客的行蹤。</p> <p>在其中一臺電腦上，駭客為了能持續活動，植入5項工作排程，這些工作偽裝成Adobe Flash更新工具、Microsoft Defender更新任務，於受害電腦執行Windows Script、Java，意圖載入Metasploit和Cobalt Strike有效酬載、經過演算法處理的Shell Code、VBS指令碼、BAT批次檔，以及COM物件。</p> <p><a href="https://www.ithome.com.tw/news/164824"><strong style="font-size: 22px;">針對Roblox平臺的NPM供應鏈攻擊已持續超過一年</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RB1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RB1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Checkmarx警告，駭客持續鎖定遊戲平臺Roblox的開發人員展開攻擊，利用偽造且惡意的NPM套件，試圖竊取敏感資訊或是危害系統已超過1年。</p> <p>根據研究人員的調查，駭客主要是仿冒專為Roblox平臺開發者設計的JavaScript程式庫noblox.js，例如將惡意套件命名為noblox.js-async、noblox.js-thread 或noblox.js-api等，再藉由NPM軟體套件管理系統進行散布，相關的惡意NPM套件已超過數十款，且許多偽造的封包幾乎可以假亂真。</p> <p>這些惡意程式的主要功能包括竊取Discord憑證，存取系統資訊，並能讓駭客持續在受害電腦活動，以及部署其他惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/164822"><strong style="font-size: 22px;">英國倫敦交通局證實遭遇網路攻擊</strong></a></p> <p>本週一（9月2日）英國倫敦交通局（Transport of London，TfL）發布公告，他們著手因應仍在進行的資安事故，但強調相關運輸服務並未受到影響，所有旅客的資料尚未出現遭到外流的跡象。他們通報網路安全中心及國家犯罪管理署等主管機關，並聯手回應這起事件。</p> <p>針對這起事故，當地媒體透露更多訊息。Express指出，這起事故約發生在晚間6時左右，數百萬名旅客收到TfL訊息得知此事；BBC取得知情人士說法，其中一個單位的員工收到通知，要求儘可能在家工作，而對於這起事故的主要影響範圍，很有可能是交通局供應商的後臺系統。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/164825"><strong style="font-size: 20px;">遭駭的監控公司Verkada被判罰295萬美元</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/h/godzilla-fileless-backdoors.html">後門程式Godzilla鎖定Atlassian Confluence發動攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.phylum.io/north-korea-still-attacking-developers-via-npm/">北韓駭客散布惡意NPM套件，意圖透過JavaScript指令碼進行多階段惡意軟體下載</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/greencharlie-infrastructure-linked-us-political-campaign-targeting">伊朗駭客組織發起</a></strong><strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/greencharlie-infrastructure-linked-us-political-campaign-targeting">GreenCharlie攻擊行動，鎖定美國政治團體進行網路釣魚、散布惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/windows-downdate-tool-lets-you-unpatch-windows-systems/">研究人員公布Windows Downdate降級漏洞概念性驗證工具</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164831"><strong style="font-size: 22px;">衛福部舉辦年度資安攻防演練，防守方國泰醫院公開參與的過程與心得</strong></a></p> <p>近年來鎖定醫療院所發動的網路攻擊頻傳，對此，衛生福利部從2022年開始，每年舉辦醫療領域資安攻防演練，今年已邁入第3回。</p> <p>這次衛福部挑選國泰醫院作為攻防演練示範基地，並於8月9日進行實地演練，由國泰醫院擔任防禦方，衛福部委由專業機構負責攻擊，並經由資深資安專家擔任裁判，評定防禦成效，並於26日進行成果發表。本週國泰醫院發布新聞稿，分享本次演練的經驗。</p> <p>國泰醫院資安長林朝祥指出，這次演練與過往有所不同，今年透過擬真設計，模擬勒索病毒等駭客攻擊手法進行演練，醫院員工必須在有限的時間及人力之下，進行團隊資源分配，以進行適當的應變處置。透過這次攻防演練，林朝祥認為，能夠提升資安人員未來在面對各種情境的敏感度。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164821"><strong>【9月2日】勒索軟體RansomHub受害企業組織半年已超過200家</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164780"><strong>【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164763"><strong>【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</strong></a></p> </div></div></div>
2024/9/3 17:54作者周峻佑https://www.ithome.com.tw/news/164832
越南人權組織遭駭客OceanLotus鎖定攻擊，入侵超過4年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客入侵非營利組織的情況不時傳出，最近有一起是因為研究人員進行例行調查意外發現的資安事故，而引起了他們的注意。</p> <p>資安業者Huntress指出，與越南政府有關的駭客組織OceanLotus（也稱做APT32、APT-C-00、Canvas Cyclone）<a href="https://www.huntress.com/blog/advanced-persistent-threat-targeting-vietnamese-human-rights-defenders">入侵當地的人權組織</a>，並研判為期超過4年。</p> <p>究竟駭客如何入侵受害組織，研究人員並未特別說明，但他們在4臺電腦上找到這些駭客的行蹤。</p> <p>在其中一臺電腦上，駭客為了能持續活動，植入5項工作排程，這些工作偽裝成Adobe Flash更新工具、Microsoft Defender更新任務，於受害電腦執行Windows Script、Java，意圖載入Metasploit和Cobalt Strike有效酬載、經過演算法處理的Shell Code、VBS指令碼、BAT批次檔，以及COM物件。駭客設置這些工作排程數週後進行偵察，然後陸續執行新的命令，目的是確保該主機與特定遠端電腦持續進行連線，過程中駭客試圖透過設置於DllHost COM物件的後門程式，竊取Chrome的Cookie資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/66ad049436f03b29e008a353_AD_4nXf0KoCeIae4-A1etNE5DcUXKpVgaeRDBwiOG6jpzDDftsjp34W_bbh6pvcMExQHXBWXc2e6lQBukuyLXmeOw9e-gCksdKhB1iiScHMRTlb2JY__QrE6CBoe-i5FFaHkhDyTI9TEtyRGduoviwg1wY8jiMg.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/66ad049436f03b29e008a353_AD_4nXf0KoCeIae4-A1etNE5DcUXKpVgaeRDBwiOG6jpzDDftsjp34W_bbh6pvcMExQHXBWXc2e6lQBukuyLXmeOw9e-gCksdKhB1iiScHMRTlb2JY__QrE6CBoe-i5FFaHkhDyTI9TEtyRGduoviwg1wY8jiMg.png" style="width: 580px;" /></a></p> <p>另一臺電腦駭客則是前述攻擊的一個半月後開始活動，對方利用WMI遠端執行命令，並濫用電子書管理軟體Calibre主程式執行惡意DLL程式庫。而駭客在這臺電腦進行名稱管道冒充攻擊不久，又對第3臺電腦下手，透過Cobalt Strike建立工作排程，使用SYSTEM帳號從事攻擊行為。</p> <p>研究人員循線清查是否有其他電腦受害，結果找到另一臺駭客設置在開機啟動Calibre的電腦，駭客設置了3個偽裝成微軟及Adobe更新的工作排程，但實際用途是定期與遠端的IP位址及Cobalt Strike主機連線。數個月後，駭客進行偵察，從而部署Node.js執行檔，目的是執行惡意延伸套件。</p> </div></div></div>
2024/9/3 16:50作者周峻佑https://www.ithome.com.tw/news/164829
衛福部舉辦年度資安攻防演練，防守方國泰醫院公開參與的過程與心得
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來鎖定醫療院所發動的網路攻擊頻傳，對此，衛生福利部從2022年開始，每年舉辦醫療領域資安攻防演練，今年已邁入第3回。</p> <p>這次衛福部挑選國泰醫院作為攻防演練示範基地，並於8月9日進行實地演練，由國泰醫院擔任防禦方，衛福部委由專業機構負責攻擊，並經由資深資安專家擔任裁判，評定防禦成效，並於26日進行成果發表。<a href="https://www.cna.com.tw/news/ahel/202409020288.aspx">本週國泰醫院發布新聞稿，分享本次演練的經驗</a>。</p> <p>國泰醫院資安長林朝祥指出，這次演練與過往有所不同，今年透過擬真設計，模擬勒索病毒等駭客攻擊手法進行演練，醫院員工必須在有限的時間及人力之下，進行團隊資源分配，以進行適當的應變處置。</p> <p>透過這次攻防演練，林朝祥認為，能夠提升資安人員未來在面對各種情境的敏感度。</p> <p>衛生福利部資訊處處長李建璋表示，本次演練模擬多種可能出現的網路攻擊情境，藉此測試、提升醫院的防禦措施、應變計畫、跨部門合作的能力，並透過相關情境，協助醫院找出現有系統及流程當中較為脆弱的環節。</p> <p>值得一提的是，在這場成果發表會，國泰醫院也與攻擊團隊一起說明參與攻防演練的經驗，活動現場總共有50家醫療院所與八大關鍵基礎設施機關的代表出席，希望藉由演練過程的實際解說及影片進行經驗分享、交流，做為未來醫療機構精進資安防護工程的參考。</p> </div></div></div>
2024/9/3 17:32作者周峻佑https://www.ithome.com.tw/news/164831
以提供特定資安廠商SSL VPN軟體為誘餌，攻擊者鎖定中東組織散播冒牌程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠距辦公已是最近幾年的新常態，許多員工會透過SSL VPN系統存取企業內部環境，而最近有人佯稱提供這類系統的應用程式，意圖散布惡意程式，從而入侵企業。</p> <p>資安業者趨勢科技揭露<a href="https://www.trendmicro.com/en_us/research/24/h/threat-actors-target-middle-east-using-fake-tool.html">偽裝成Palo Alto Networks旗下SSL VPN服務GlobalProtect的惡意程式</a>，駭客鎖定中東組織而來，意圖竊取內部資料，並遠端執行PowerShell命令，進而滲透受害組織的網路環境。</p> <p>究竟攻擊者如何散布惡意程式，研究人員表示並不清楚，但他們認為很有可能是透過網路釣魚進行，引誘使用者安裝GlobalProtect代理程式為由進行散布。</p> <p>一旦使用者執行駭客提供的安裝程式setup.exe，將會部署惡意程式GlobalProtect.exe，以及組態設定元件RTime.conf、ApProcessId.conf。完成後惡意程式會啟動Beacon機制，向攻擊者回報。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GlobalProtect-fig1-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GlobalProtect-fig1-chain.png" style="width: 580px;" /></a></p> <p>此惡意程式執行的過程裡，會檢查受害電腦是否為沙箱環境，然後將系統資訊回傳C2。該惡意程式可接收攻擊者的PowerShell指令碼並執行，或是產生處理程序、上傳或下載檔案。為了迴避偵測，攻擊者在進行通訊的命令及資訊，皆透過AES演算法處理。</p> <p>值得留意的是，攻擊者為惡意程式加入Beacon的功能，源自於資安人員進行滲透測試時會利用的漏洞利用檢驗工具Interactsh，而有可能減少被視為異常的情況，而且，駭客使用含有阿拉伯聯合大公國大型城市沙迦的網域名稱sharjahconnect，使得目標用戶更容易上當。</p> </div></div></div>
2024/9/3 15:32作者周峻佑https://www.ithome.com.tw/news/164826
遭駭的監控公司Verkada被判罰295萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）上周<a href="https://www.ftc.gov/news-events/news/press-releases/2024/08/ftc-takes-action-against-security-camera-firm-verkada-over-charges-it-failed-secure-videos-other" target="_blank">要求</a>美國監控公司Verkada支付295萬美元的罰款，以及必須制定與實施全面的資訊安全計畫，有不少媒體以為Verkada之所以受罰是因為Verkada在2021年<a href="https://www.ithome.com.tw/news/143131" target="_blank">被駭</a>，曝露了15萬臺的監視器畫面，不過，FTC處罰Verkada的原因是該公司亂發垃圾郵件。</p> <p>Verkada為一雲端監控公司，駭客則是在2021年3月入侵Verkada平臺，存取了97家Verkada客戶位於全球的15萬臺監視器的畫面，包括特斯拉（Tesla）倉庫及工廠的222個監視器，以及阿拉巴馬州監獄的330個監視器。</p> <p>隨後Verkada<a href="https://www.verkada.com/security-update/report/" target="_blank">解釋</a>，曝露於網路上的客戶支援伺服器有一個配置錯誤，駭客藉由該錯誤進入伺服器後發現了客戶支援的管理憑證，再用它來登入客戶支援介面，即可利用內部支援功能來存取客戶的監視裝置。Verkada強調，該公司有6,000家客戶，受到危害的比例不到2%，此外，在得知監控畫面曝光的兩個小時內，Verkada就切斷了駭客的存取權限。</p> <p>FTC上周表示，將要求Verkada制定與實施全面的資訊安全計畫，以解決該公司未能採取適當資訊安全實踐的指控，此外，也將要求Verkada支付290萬美元的罰款。不過，受罰原因是Verkada以大量電子郵件淹沒潛在客戶，而且沒有提供取消訂閱或退出的選項，也未能於電子郵件中提供實際的郵寄地址，違反美國的CAN-SPAM Act垃圾郵件法案。</p> <p>Verkada也發表了<a href="https://www.verkada.com/blog/ftc-settlement-explained/" target="_blank">聲明</a>，指出該公司並不同意FTC的指控，但接受FTC所提出的和解條款。</p> <p>有趣的是，即使不管是FTC的新聞稿或Verkada的聲明，都說Verkada並非因安全意外而受罰，但不少媒體都以為Verkada的受罰是因為安全措施不足，例如<a href="https://www.bleepingcomputer.com/news/security/verkada-to-pay-295m-for-security-failures-leading-to-breaches/" target="_blank">BleepingComputer</a>或<a href="https://www.bankinfosecurity.com/ftcverkada-a-26179" target="_blank">BankInfoSecurity</a>。</p> <p>此外，295萬美元也是FTC迄今就CAN-SPAM Act違規行為所開發的最高罰單。</p> </div></div></div>
2024/9/3 12:22作者陳曉莉https://www.ithome.com.tw/news/164825
率先主推Nvidia H200，技嘉新款5U尺寸8-GPU伺服器上場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g593-sd1-aax3_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月舉行的超級電腦大會SC23，Nvidia發表採用Hopper架構的第二款資料中心GPU產品，名為H200，以及匯集4個H200與8個H200的伺服器主機板平臺，名為HGX H200，當時他們預告採用H200的伺服器系統，將在2024年第2季開始出貨。</p> <p>比較外形同樣為SXM的兩款Hopper架構GPU產品，<a href="https://www.ithome.com.tw/review/152926">H100</a>採用高頻寬記憶體HBM3，記憶體頻寬為3.35 TB/s，記憶體容量為80 GB，H200最大的特色是採用更新穎的高頻寬記憶體HBM3e，記憶體頻寬更大，提升至4.8 TB/s（增加43％），記憶體容量也更大，提供141 GB（增加76％）。</p> <p>一如先前的規畫，今年8月中，市面上，果然開始出現搭載Nvidia HGX H200平臺的伺服器產品消息。第一家正式推動相關宣傳的廠商是技嘉，<a href="https://www.gigabyte.com/Press/News/2207">他們發布新聞稿宣布推出兩款支援這個平臺的GPU伺服器機型</a>，分別是搭配英特爾第5代Xeon Scalable處理器的G593-SD1-AAX3，以及搭配AMD EPYC 9004處理器的G593-ZD1-AAX3。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-H200-1.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-H200-2.png" style="width: 600px;" /></p> <p>到了8月底，開放AI工程聯盟MLCommons發表最新推論效能測試結果MLPerf Inference v4.1，這是他們二度揭露搭配Nvidia H200的伺服器效能，上次（MLPerf Inference v4.0）都是由Nvidia提交的預覽數據，有4筆，這次提交的廠商有Nvidia（5筆）、Dell（1筆）、技嘉（1筆）、聯想（2筆），總共9筆、皆為正式數據。</p> <p> </p> <div class="media_embed"> <div class="tableauPlaceholder" height="" id="viz1725336276080" style="position: relative" width=""><noscript><a href="https://mlcommons.org/benchmarks/inference-datacenter/"><img alt="MLCommons - Inference " src="https://public.tableau.com/static/images/XX/XXHFT38XQ/1_rss.png" style="border: none" /></a></noscript> <object class="tableauViz" style="display:none;"><param name="host_url" value="https%3A%2F%2Fpublic.tableau.com%2F" /><param name="embed_code_version" value="3" /><param name="path" value="shared/XXHFT38XQ" /><param name="toolbar" value="yes" /><param name="static_image" value="https://public.tableau.com/static/images/XX/XXHFT38XQ/1.png" /><param name="animate_transition" value="yes" /><param name="display_static_image" value="yes" /><param name="display_spinner" value="yes" /><param name="display_overlay" value="yes" /><param name="display_count" value="yes" /><param name="tabs" value="yes" /><param name="language" value="en-US" /></object></div> <script height="" type="text/javascript" width=""> <![CDATA[// ><!]]> </script></div> <p> </p> <p>以機型配備的GPU類型而言，Dell提出的<a href="https://www.ithome.com.tw/review/156425">PowerEdge XE9680</a>，以及聯想提出的ThinkSystem SR685a V3，都是可選擇搭配兩個廠牌、3款資料中心GPU的伺服器產品，技嘉提出的G593-SD1，是唯一標榜搭配Nvidia H200的伺服器產品。而且，與其他同樣搭配Nvidia H200的伺服器效能測試數據相比，雖然技嘉G593-SD1只有兩個項目拿到第一，卻是Nvidia之外、唯一揭露全部項目效能測試結果的伺服器產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G593-SD1-MLCommons - Inference-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD1-MLCommons%20-%20Inference-2.png" style="width: 600px;" /></a></p> <p>值得注意的是，HPE旗下的Cray超級電腦產品線當中，先前的XD6500系列與技嘉5U尺寸的GPU伺服器G593系列，外觀與組態幾乎如出一轍，均可搭配Nvidia H100等多款資料中心GPU，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-HPE AI Compute portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-HPE%20AI%20Compute%20portfolio.jpg" style="width: 600px;" /></a></p> <p>隨著Nvidia H200伺服器正式進入市場，2023年3月登場的<a href="https://buy.hpe.com/us/en/compute/cray-systems/cray-supercomputer/cray-supercomputer/hpe-cray-xd670/p/1014737116">HPE Cray XD670</a>，標榜搭配8個SXM外形的Nvidia H100 GPU（亦即HGX H100 8-GPU），而在今年6月初第12次改版的硬體規格公告中，也提到此機型能搭配8個SXM外形的Nvidia H200 GPU（亦即HGX H200 8-GPU），而這樣的組態擴充支援，也呼應HPE在6月全球用戶大會Discover發表的AI運算產品組合，因為這當中不僅標榜最新推出的<a href="https://www.ithome.com.tw/review/163787">ProLiant Compute DL384 Gen12</a>，採用Nvidia GH200 NVL2，以及DL380a Gen12，採用8個Nvidia H200 NVL，同時提到HPE Cray XD670搭配8個Nvidia H200。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-19-hpe-discover-2024-11-XD670.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD670-H200.jpg" style="width: 600px;" /></p> <p>而從8月第14次改版的硬體規格開始，HPE Cray XD670也開始支援第五代Xeon Scalable處理器，以及DDR5-5600記憶體，也恰巧呼應技嘉此時開始推廣的H200伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD670-H200-2.jpg" style="width: 600px;" /></p> <p>產品資訊</p> <p>技嘉G593-SD1-AAX3<br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：5U<br /> ●處理器：2顆，第四代或第五代Xeon Scalable系列（最高搭配350瓦熱設計功耗款式）<br /> ●記憶體：32個DDR5-5600插槽<br /> ●儲存配置：8臺2.5吋SATA/SAS/NVMe固態硬碟<br /> ●搭配GPU：Nvidia HGX H200 8-GPU<br /> ●I/O擴充介面：12個PCIe 5.0 x16介面卡（8個短版、4個全高半長）<br /> ●電源供應器：6臺3000瓦（4+2備援）<br /> ●系統風扇：29臺（主機板2+4，PCIe4+2，GPU6+11）<br /> ●網路埠：2個10GbE埠（Intel X710-AT2）、2個GbE埠（前1後1）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/3 12:52作者李宗翰https://www.ithome.com.tw/review/164800
針對Roblox平臺的npm供應鏈攻擊已持續一年多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Checkmarx<a href="https://checkmarx.com/blog/year-long-campaign-of-malicious-npm-packages-targeting-roblox-users/" target="_blank">警告</a>，駭客持續鎖定Roblox開發人員展開攻擊，利用偽造且惡意的npm封包以試圖竊取敏感資訊或是危害系統，而且已超過1年。</p> <p>Roblox是個受到兒童與青少年歡迎的線上遊戲平臺與遊戲創作系統，它內建社交功能，使用自家的虛擬貨幣Robux，支援PC、手機與遊戲機，每月活躍用戶數超過2億，每日活躍用戶則超過7,000萬。</p> <p>根據研究人員的調查，駭客主要是仿冒專為Roblox平臺開發者設計的JavaScript函式庫noblox.js，例如將惡意函式庫命名為noblox.js-async、noblox.js-thread 或noblox.js-api等，再藉由npm軟體套件管理系統進行散布，相關的惡意npm封包已超過數十款，且許多偽造的封包幾乎可以假亂真。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0903-Malicious%20npm%20Packages%20Targeting%20Roblox%20User-by%20Checkmarx.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Checkmarx</span></span></p> <p>而這些惡意程式的主要功能包括竊取Discord權杖，存取系統資訊，建立於系統上的持久性，以及部署其它的惡意程式等。由於該惡意程式能夠擺布Windows登錄檔，而讓使用者每次開啟Windows設定程式時，就會執行它。</p> <p>Roblox之所以受到駭客的青睞有許多原因，像是它有龐大的用戶基礎，開發人員可能獲得可觀的收入；而且Roblox平臺上的開發人員可能相對年輕且缺乏經驗，更容易落入社交工程的陷阱；不管是Roblox或npm都屬於較容易利用的開放平臺。</p> <p>Checkmarx表示，雖然已多次刪除惡意的npm封包，但它們依然不斷地出現，現在甚至有些還活躍在npm註冊表中，此外，就算已完全移除惡意的npm封包，但駭客用來植入其它惡意程式的GitHub儲存庫還是處於活動狀態，是未來攻擊行動的潛在威脅。</p> </div></div></div>
2024/9/3 11:29作者陳曉莉https://www.ithome.com.tw/news/164824
倫敦交通局遭遇網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>倫敦交通局（Transport of London，TfL）周一（9/2）晚間遭遇長時間的網路攻擊，目前原因不明。</p> <p>TfL透過網站<a href="https://tfl.gov.uk/campaign/cyber-security-incident" target="_blank">公告，</a>已經採取立即行動切斷系統存取。當局表示，截至目前，沒有證據顯示客戶資料外洩，事件亦未影響倫敦大眾運輸服務。TfL已通報相關政府單位，包括網路安全中心及國家犯罪管理署回應事件。</p> <p>事情發生在當地時間晚間6:00許。英國媒體Express<a href="https://www.express.co.uk/news/uk/1943524/tfl-cyber-attack-commuters-update" target="_blank">報導</a>，數百萬通勤者接到TfL訊息通知。BBC則引述消息人士<a href="https://www.bbc.com/news/articles/cd9dpek1883o" target="_blank">報導</a>，某單位員工被通知儘可能在家工作。此外，交通局供應商總部的後臺系統是主要受影響的系統。</p> <p>目前事件原因為何有待該局公布資訊。去年5月，倫敦交通局曾因其使用的代管檔案傳輸服務MOVEit遭Cl0p勒索軟體攻擊，之後俄羅斯犯罪集團取得交通局近1.3萬客戶個資的聯絡資料。</p> </div></div></div>
2024/9/3 10:24作者林妍溱https://www.ithome.com.tw/news/164822
Meta Llama下載數一年成長逾10倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta昨（2）日<a href="https://ai.meta.com/blog/llama-usage-doubled-may-through-july-2024/" target="_blank">指出</a>，開源大語言模型（LLM）Llama去年夏天首度開放大眾下載以來，下載人數已成長超過10倍。</p> <p>Meta今年4月<a href="https://www.ithome.com.tw/news/162408" target="_blank">公布</a>最新LLM Llama 3，並在8月<a href="https://ai.meta.com/blog/meta-llama-3-1/" target="_blank">釋出</a>最新版本Llama 3.1。3.1版脈絡長度擴展到128K，支援8種語言，並且首度公開最先進的Llama 3.1 405B。Meta指出，距離去年2月公布Llama 65B第一個版本僅僅18個月，Llama已經從單一SoTA（state-of-the-art）基礎模型，成為適用開發人員的完整系統。Llama 3.1現在提供完整參考系統，可協助開發人員建立自有客製化代理人，以及全新的安全工具，協助開發負責任AI。</p> <p>Meta指出，Hugging Face的Llama家族模型下載次數已接近3.5億，是一年多以前的10倍以上。而單單上個月內，Llama模型在Hugging Face就被下載2,000多萬次，這還不計入由Meta合作夥伴提供下載的次數。</p> <p>談到合作夥伴，Meta除了和兩大公有雲平臺AWS和Azure外，也和Databricks、Dell、Google Cloud、Groq、Nvidia、IBM watsonx、Scale AI、Snowflake等平臺合作提供Llama下載。Meta說，從7月公布Llama 3.1以來，主要雲端合作夥伴平臺上的Llama用量，以token量計算已經成長為2倍。</p> <p>其他數據包括，今年1到7月主要雲端平臺上Llama用量成長10倍，其中8月，下載量最多的是最大參數量的405B版本，顯示最大基礎模型受到相當歡迎。</p> <p>針對Llama 3.1，Meta已增加了Llama早期試用方案的合作夥伴數量。Meta表示，因應有其他代管及服務業者要求加入，像是Wipro、Cerebras與Lambda，該公司也會持續推升提供Llama下載的合作夥伴陣容。</p> </div></div></div>
2024/9/3 10:34作者林妍溱https://www.ithome.com.tw/news/164823
.NET平臺也可用Pinecone向量資料庫，簡化AI應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>向量資料庫Pinecone公司釋出適用於.NET平臺的<a href="https://aka.ms/pinecone-dotnet-sdk">Pinecone .NET SDK</a>，讓.NET開發者能夠在其人工智慧應用程式中使用Pinecone向量資料庫。由於.NET本身就是一個受歡迎的開發環境，該SDK替開發者提供方便的工具整合Pinecone高效能向量搜尋和管理功能，降低.NET平臺人工智慧開發的阻礙。</p> <p>不少市面上資料庫提供向量資料的處理和相似性搜尋，是在現有的資料庫上添加額外的服務與工具，讓開發者處理向量資料和建構相關應用程式，以實現向量資料庫的類似功能，不過，這些解決方案通常不是專為向量資料設計，在效能和功能擴展性上不如專門的向量資料庫。</p> <p>由於處理向量嵌入有其複雜性，Pinecone這類專門針對向量嵌入這類資料型態最佳化的資料庫，能夠更好地處理並支援人工智慧應用。Pinecone是一個全託管無伺服器的專業向量資料庫，有能力處理大規模向量資料，特別適合用於需要高效相似性搜尋的人工智慧和機器學習應用。</p> <p>向量資料庫能夠索引和儲存嵌入向量，這些嵌入向量是文字、圖片和音訊資料等資料的數值標示，擷取了其語義和關聯性，以進行快速檢索和相似相搜尋，因此在人工智慧應用中十分重要。在Pinecone中，索引是向量資料庫的核心結構，用於儲存和管理向量資料，並支援各種查詢操作。</p> <p>微軟<a href="https://devblogs.microsoft.com/dotnet/introducing-pinecone-dotnet-sdk/">指出</a>，新推出的Pinecone .NET SDK在使用上簡便。只需要幾個步驟就能開始，對於剛接觸向量資料庫的開發者不會產生太高的障礙。</p> </div></div></div>
2024/9/2 22:11作者李建興https://www.ithome.com.tw/news/164813
【資安日報】9月2日，勒索軟體RansomHub受害企業組織半年已超過200家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期勒索軟體RansomHub不斷登上資安新聞的版面，最近一起是美國石油及天然氣業者Halliburton遭遇網路攻擊的事故，到了上週，這些駭客聲稱是他們所為。而在此之前，臺灣也有老牌筆電廠藍天電腦傳出受害的消息。</p> <p>有鑑於這些駭客的威脅加劇，美國政府近期發布相關防禦指引，揭露這些駭客的攻擊手法和底細，呼籲IT人員要嚴加防範。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164809"><strong style="font-size: 22px;">半年前現身的RansomHub勒索軟體，受害者已超過210家</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、衛生及公共服務部（HHS），以及各州資訊共享與分析中心（MS-ISAC）發布了聯合公告，釋出了勒索軟體RansomHub的策略、技巧、流程（TTP）與網路入侵指標（IOC），原因是今年2月才現身的RansomHub，迄今已成功攻擊了至少210家受害企業組織。</p> <p>根據調查，RansomHub是由勒索軟體Cyclops及Knight演變而來的勒索軟體即服務（RaaS），此外，已經被執法機關破獲及搗毀的BlackCat（ALPHV）與LockBit勒索軟體組織，也有不少成員投靠，而讓RansomHub快速壯大。</p> <p>迄今RansomHub已加密及外洩至少210家受害者的資料，受害領域涵蓋水及廢水、資訊技術、政府服務與設施、醫療保健及公共衛生、緊急服務、食品與農業、金融服務、製造、運輸及關鍵基礎設施等。</p> <p><a href="https://www.ithome.com.tw/news/164801"><strong style="font-size: 22px;">北韓駭客利用Chrome零時差漏洞，意圖植入rootkit程式Fudmodule</strong></a></p> <p>微軟威脅情報小組暨微軟安全回應中心在8月19日發現，別名為AppleJeus、Labyrinth Chollima、Hidden Cobra的北韓駭客Citrine Sleet，濫用當時尚未發現的Chrome漏洞CVE-2024-7971遠端執行程式碼（RCE），從而在受害電腦植入rootkit程式FudModule。</p> <p>CVE-2024-7971為存在於V8引擎的型態混淆漏洞，影響128.0.6613.84以前版本的Chrome，Google已經在8月21日釋出新版修補。這是繼CVE-2024-4947和CVE-2024-5274，Google今年處理的第3個V8型態混淆零時差漏洞。</p> <p>附帶一提的是，過程中攻擊者也濫用另一個零時差Windows權限擴張漏洞CVE-2024-38106。一旦成功，FudModule rootkit即被載入Windows核心，利用直接核心物件操弄（DKOM）手法，擾亂作業系統核心安全機制。微軟推測，Citrine Sleet這波攻擊意在竊取加密貨幣。</p> <p><a href="https://www.ithome.com.tw/news/164812"><strong style="font-size: 22px;">Atlassian Confluence重大漏洞遭到利用，攻擊者意圖挾持伺服器挖礦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig1.png" style="width: 300px; float: right;" /></a>今年1月Atlassian在例行更新修補DevOps協作平臺Confluence重大層級漏洞CVE-2023-22527（CVSS風險評分為10分），研究人員警告最近駭客積極利用這漏洞的跡象。</p> <p>這個發現源於資安業者趨勢科技，今年6月中旬至7月底，他們觀察到大量的漏洞利用嘗試跡象，這些駭客利用這項漏洞意圖將挖礦程式部署到Confluence伺服器，利用這些伺服器的運算資源，挖得加密貨幣牟利。</p> <p>主要有3組人馬利用這項漏洞，其中一組特別引起他們的注意，因為駭客們使用Shell指令碼進行SSH連線，而能在受害伺服器的環境挖礦。</p> <p><a href="https://www.ithome.com.tw/news/164818"><strong style="font-size: 22px;">惡意軟體Voldemort濫用Google Sheets，意圖竊取全球企業組織稅務機關資料</strong></a></p> <p>駭客濫用Google雲端服務掩蓋攻擊行動的手法不時傳出，其中最常見的是Google Drive，攻擊者可能藉此提供惡意程式C2伺服器的IP位址，但後續也有利用雲端文書處理服務Google Docs的情況，而最近一起攻擊行動裡，有人竟濫用同廠牌的試算表服務Google Sheets，而且，攻擊者不僅利用該服務下達命令，還要求惡意程式回傳執行的結果。</p> <p>資安業者Proofpoint揭露後門程式Voldemort的攻擊行動（此名取自奇幻小說哈利波特的大反派角色之一，中譯為佛地魔），駭客假冒美國、歐洲、亞洲稅務機關，約從8月5日開始，針對超過70個企業組織下手，發送至少2萬封惡意郵件，在最高峰的時期，一天可達到6千封。這起攻擊行動引起他們注意的原因，在於駭客罕見地濫用試算表服務Google Sheets。</p> <p>而對於駭客鎖定的範圍，研究人員表示，受害組織遍及保險、航空、航太、交通、教育領域等18個產業，其中，占比最高的是保險公司，將近四分之一。他們推測攻擊者應該是APT駭客，但缺乏足夠資料確認是那個駭客組織所為。</p> <p><a href="https://www.ithome.com.tw/news/164820"><strong style="font-size: 22px;">QR Code網釣濫用微軟Sway從事攻擊行動，意圖竊取M365帳號</strong></a></p> <p>為了迴避網址過濾系統的檢查，駭客利用QR Code從事網路釣魚（Quishing）的情況，最近兩至三年可說是越來越常見，但如今駭客結合微軟雲端簡報服務Sway來引誘使用者上當。</p> <p>資安業者Netskope指出，他們今年7月察覺濫用Sway的網路釣魚攻擊流量爆增2千倍，而且，駭客使用的網頁大多數都運用了QR Code而引起他們的注意。研究人員指出，駭客透過對手中間人（AiTM，或稱為Transparent Phishing）攻擊手法，利用捏造的登入網頁，取得多因素驗證所需資料，最終的目的是竊取受害者的Microsoft 365帳號。</p> <p>再者，攻擊者為了防止資安系統察覺有異攔截，他們濫用Cloudflare Turnstile圖靈驗證機制，確保攻擊目標是人類。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://ti.qianxin.com/blog/articles/operation-deviltiger-0day-vulnerability-techniques-and-tactics-used-by-apt-q-12-disclosed-en/"><strong style="font-size: 20px;">駭客組織APT-Q-12針對東北亞國家，利用零時差漏洞進行滲透</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/hundreds-of-llm-servers-expose-corporate-health-and-other-online-data">數百臺大型語言模型伺服器恐曝露公司內部、個人健康狀態資料庫</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-snake-keylogger-variant-slithers-into-phishing-campaigns/">鍵盤側錄器Snake Keylogger假借轉帳通知散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/halliburton-cyberattack-linked-to-ransomhub-ransomware-gang/">美國石油及天然氣業者Halliburton傳出遭到勒索軟體RansomHub攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/researchers-find-sql-injection-to-bypass-airport-tsa-security-checks/">美國機場航空運輸安全系統存在SQL注入漏洞，可被未經授權人士繞過安檢</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164780"><strong>【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164763"><strong>【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164736"><strong>【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</strong></a></p> </div></div></div>
2024/9/2 18:40作者周峻佑https://www.ithome.com.tw/news/164821
QR Code網釣濫用微軟Sway從事攻擊行動，意圖竊取M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避網址過濾系統的檢查，駭客利用QR Code從事網路釣魚（Quishing）的情況，最近兩至三年可說是越來越常見，但如今駭客結合微軟雲端簡報服務Sway來引誘使用者上當。</p> <p>資安業者Netskope指出，<a href="https://www.netskope.com/blog/phishing-in-style-microsoft-sway-abused-to-deliver-quishing-attacks">他們今年7月察覺濫用Sway的網路釣魚攻擊流量爆增2千倍</a>，而且，駭客使用的網頁大多數都運用了QR Code而引起他們的注意。研究人員指出，駭客透過對手中間人（AiTM，或稱為Transparent Phishing）攻擊手法，利用捏造的登入網頁，取得多因素驗證所需資料，最終的目的是竊取受害者的Microsoft 365帳號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Sway-Quishing-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sway-Quishing-1.png" style="width: 580px;" /></a></p> <p>再者，攻擊者為了防止資安系統察覺有異而攔截，他們濫用Cloudflare Turnstile圖靈驗證機制，確保攻擊目標是人類。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Sway-Quishing-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sway-Quishing-5.png" style="width: 580px;" /></a></p> <p>值得一提的是，駭客使用的QR Code，應該是透過Chrome和QR Code Generator Pro服務產生，但為何利用這些方式產生QR Code，研究人員並未說明。</p> </div></div></div>
2024/9/2 18:32作者周峻佑https://www.ithome.com.tw/news/164820
惡意軟體Voldemort濫用Google Sheets，意圖竊取全球企業組織稅務機關資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用Google雲端服務掩蓋攻擊行動的手法不時傳出，其中最常見的是Google Drive，攻擊者可能藉此提供惡意程式C2伺服器的IP位址，但後續也有利用雲端文書處理服務Google Docs的情況，而最近一起攻擊行動裡，有人竟濫用同廠牌的試算表服務Google Sheets，而且，攻擊者不僅利用該服務下達命令，還要求惡意程式回傳執行的結果。</p> <p>資安業者Proofpoint揭露<a href="https://www.proofpoint.com/us/blog/threat-insight/malware-must-not-be-named-suspected-espionage-campaign-delivers-voldemort">後門程式Voldemort的攻擊行動</a>（此名取自奇幻小說哈利波特的大反派角色之一，中譯為佛地魔），駭客假冒美國、歐洲、亞洲稅務機關，約從8月5日開始，針對超過70個企業組織下手，發送至少2萬封惡意郵件，在最高峰的時期，一天可達到6千封。這起攻擊行動引起他們注意的原因，在於駭客罕見地濫用試算表服務Google Sheets。</p> <p>而對於駭客鎖定的範圍，研究人員表示，受害組織遍及保險、航空、航太、交通、教育領域等18個產業，其中，占比最高的是保險公司，將近四分之一。他們推測攻擊者應該是APT駭客，但缺乏足夠資料確認是那個駭客組織所為。</p> <p>駭客先是鎖定目標組織寄送郵件，這些郵件以受害組織公開地址決定冒充的稅務機關，因此研究人員指出，有部分總部在歐洲的跨國企業，收到駭客佯稱是美國國稅局的惡意郵件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-08-29 at 10_47_11 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-08-29%20at%2010_47_11%E2%80%AFAM.png" style="width: 580px;" /></a></p> <p>這些信件的內容，都包含經過行動版網頁框架Google AMP處理的URL，一旦使用者點選，就會被重新導向到架設在免費網頁伺服器代管服務InfinityFree的網頁，這些網頁含有點選以檢視文件的連結，若是照作，網頁就會檢查使用者字串（User Agent），確認使用者透過Windows電腦存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-08-29 at 10_49_26 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-08-29%20at%2010_49_26%E2%80%AFAM.png" style="width: 580px;" /></a></p> <p>接著攻擊者將使用者導向Windows搜尋的URI，而這個URI會連往TryCloudflare隧道，要求使用者透過Windows檔案總管開啟；若非Windows用戶，駭客則將他們導向特定Google Drive網址，以便收集這些使用者的瀏覽器及網路組態資訊。</p> <p>一旦使用者依照對話框的指示操作，Windows檔案總管就會如駭客預期進行搜尋，使得用戶在檔案總管看到捷徑檔案（LNK），或是ZIP壓縮檔。值得留意的是，雖然LNK或ZIP檔案實際上存放在外部網路伺服器，但看起來很像在內部網路WebDAV共享資料夾，而讓使用者很容易上當。研究人員指出，攻擊者利用了Windows搜尋檔案格式SEARCH-MS，將搜尋內容設置為WebDAV共用資料夾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-08-29 at 10_50_56 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-08-29%20at%2010_50_56%E2%80%AFAM.png" style="width: 580px;" /></a></p> <p>使用者若是開啟檔案總管顯示的檔案，電腦就會呼叫PowerShell，從相同隧道的另一個WebDAV資料夾存取Python主程式，並利用特定的指令碼傳遞參數。</p> <p>然後，駭客從檔案共享服務OpenDrive下載、開啟特定語言的誘餌PDF檔案，讓使用者降低戒心。在此同時，指令碼也下載思科WebEx執行檔及惡意DLL，透過DLL側載手法執行後門程式Voldemort。</p> <p>此後門程式駭客以C語言打造而成，並利用Google Sheets充當C2伺服器，攻擊者利用Python程式碼，向後門程式下達相關命令，最終於受害電腦植入Cobalt Strike。研究人員指出，這起攻擊行動並不尋常，因此他們難以判斷駭客實際的目標是僅有少部分企業，但也不排除前述超過70家企業都是目標。</p> </div></div></div>
2024/9/2 17:17作者周峻佑https://www.ithome.com.tw/news/164818
Atlassian Confluence重大漏洞遭到利用，攻擊者意圖挾持伺服器挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月Atlassian在例行更新修補<a href="https://jira.atlassian.com/browse/CONFSERVER-93833">DevOps協作平臺Confluence重大層級漏洞CVE-2023-22527</a>（CVSS風險評分為10分），研究人員警告最近駭客積極利用這漏洞的跡象。</p> <p>這個發現源於資安業者趨勢科技，<a href="https://www.trendmicro.com/en_us/research/24/h/cve-2023-22527-cryptomining.html">今年6月中旬至7月底</a>，他們觀察到大量的漏洞利用嘗試跡象，這些駭客利用這項漏洞意圖將挖礦程式部署到Confluence伺服器，利用這些伺服器的運算資源，挖得加密貨幣牟利。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig1.png" style="width: 580px;" /></a></p> <p>主要有3組人馬利用這項漏洞，其中一組特別引起他們的注意，因為駭客們使用Shell指令碼進行SSH連線，而能在受害伺服器的環境挖礦。</p> <p>攻擊者下載Shell檔案，並從記憶體內透過bash開啟。研究人員對這個指令碼進行分析，指出一旦啟動，此指令碼會先清除已知的挖礦軟體處理程序，以及從特定資料夾執行的處理程序。</p> <p>接著，指令碼將刪除所有cron工作排程，並新增C2連線的工作排程，每5分鐘檢查一次。此外，該指令碼還會移除阿里雲的資安防護機制Alibaba Cloud Shield、騰訊雲的映像檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-fig6.png" style="width: 580px;" /></a></p> <p>然後，攻擊者進一步收集所需的系統資訊，並透過SSH連線從事挖礦行為，這些駭客也透過SSH進行橫向移動，利用其他伺服器擴大挖礦的規模。最終攻擊者清除系統及bash的事件記錄檔案，抹去作案痕跡。</p> </div></div></div>
2024/9/2 15:58作者周峻佑https://www.ithome.com.tw/news/164812
半年前才現身的RansomHub勒索軟體，受害者已超過210家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、衛生及公共服務部（HHS），以及各州資訊共享與分析中心（MS-ISAC）上周<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a" target="_blank">發布</a>了聯合公告，釋出了勒索軟體RansomHub的策略、技巧、流程（TTP）與網路入侵指標（IOC），因為今年2月才現身的RansomHub，迄今已成功攻擊了至少210家受害者。</p> <p>根據調查，RansomHub是由勒索軟體Cyclops及Knight演變而來的勒索軟體即服務（RaaS），此外，已經被執法機關破獲及搗毀的BlackCat/ALPHV與LockBit勒索軟體組織中，也有不少合作夥伴轉而投靠RansomHub，而讓RansomHub快速壯大。</p> <p>迄今RansomHub已加密及外洩至少210家受害者的資料，受害領域涵蓋水及廢水、資訊技術、政府服務與設施、醫療保健及公共衛生、緊急服務、食品與農業、金融服務、製造、運輸及關鍵基礎設施等。</p> <p>駭客最初的入侵途徑包括網釣攻擊、利用十多個已知漏洞，以及密碼噴灑等；成功入侵後再於系統上建立可持續存在的使用者帳戶，再透過安全測試工具Mimikatz來蒐集憑證，並將權限提升至管理權限；接著藉由各種方法以於網路中橫向移動，竊取資料，並部署勒索軟體。</p> <p>RansomHub還替受害者建立一個用戶端ID，透過特定的洋蔥網址（.onion）與其聯繫，要求受害者在90天內支付贖金，否則就要外洩所竊取的資料。</p> <p>此一公告並未公布RansomHub受害者的名字，不過，精品拍賣業者<a href="https://www.ithome.com.tw/news/163167" target="_blank">佳士得</a>，臺灣筆電代工業者<a href="https://www.ithome.com.tw/news/163347" target="_blank">藍天電腦</a>，以及美國醫療集團<a href="https://www.wired.com/story/change-healthcare-ransomhub-data-sale/" target="_blank">Change Healthcare</a>都曾傳出遭RansomHub入侵。</p> </div></div></div>
2024/9/2 13:57作者陳曉莉https://www.ithome.com.tw/news/164809
巴西全面封鎖X
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西最高法院法官Alexandre de Moraes，在上周五（8/30）要求當地的電信業者封鎖X，甚至規定只要有任何公司或個人企圖利用虛擬私有網路（VPN）存取X，將會面臨每日高達5萬里奧（BRL）（約8,900美元）的罰款，更凍結了SpaceX在巴西的資產，顯然是與X所有人及SpaceX創辦人馬斯克（Elon Musk）結下了樑子。</p> <p>其實Moraes與馬斯克自今年4月以來便數度過招，起因是Moraes正在調查巴西的前任總統Jair Bolsonaro。Bolsonaro屬於右派總統，在2022年尋求連任失敗後，除了不承認落選之外還出走至美國，但其支持者襲擊了巴西的法院、國會及普拉納托宮（巴西總統府），企圖推翻選舉結果。</p> <p>於是，負責調查此事的Moraes封鎖了超過100個社交媒體帳戶，其中大多數是支持Bolsonaro、質疑選舉結果的右派選民，當中有部分帳戶位於X。馬斯克則對此感到不滿，除了拒絕關閉這些帳戶之外，還數度發文指責Moraes壓制保守派的聲音，是名獨裁者。</p> <p>Moraes並在上周三（8/28）要求X於巴西任命一名法定代理人，結果X亦拒絕遵循，進而導致了上周五的全面封鎖行動。</p> <p>根據外電報導，Moraes可能是被Musk惹惱了，最初的命令不僅要求電信業者封鎖X，也要求蘋果及Google的應用程式市集將X及VPN程式下架，不過，Moraes之後也撤回對程式市集的要求。</p> <p>巴西身為X全球第四大市場，擁有超過2,000萬名的X用戶，在X遭到封鎖後，由Twitter創辦人Jack Dorsey重新打造的微型部落格BlueSky湧入了大量的新用戶，<a href="https://bsky.app/profile/bsky.app/post/3l3277gkjjc2y" target="_blank">表示</a>在短短的3天內便吸引超過100萬名新用戶。</p> </div></div></div>
2024/9/2 12:30作者陳曉莉https://www.ithome.com.tw/news/164808
北韓駭客駭入Chromium漏洞植入rootkit程式Fudmodule
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究人員<a href="https://www.microsoft.com/en-us/security/blog/2024/08/30/north-korean-threat-actor-citrine-sleet-exploiting-chromium-zero-day/" target="_blank">發現</a>，北韓駭客組織濫用Chromium漏洞，以便在Windows PC核心植入惡意程式Fudmodule以竊取加密貨幣。</p> <p>微軟威脅情報小組暨微軟安全回應中心在8月19日發現，北韓駭客濫用當時尚未發現的Chromium漏洞執執行遠端程式碼執行（remote code execution，RCE）。該漏洞後被命名為CVE-2024-7971。微軟分析，這次攻擊背後是名為Citrine Sleet的北韓駭客組織，他們在受害Windows PC核心植入rootkit程式FudModule。</p> <p>CVE-2024-7971為存在Chromium V8 JavaScript及WebAssembly引擎的型態混淆漏洞，成功濫用可讓攻擊者在沙箱環境中的Chromium。受影響的是128.0.6613.84以前版本，Google已經在2024年8月21日釋出新版修補。CVE-2024-7971也是繼CVE-2024-4947和CVE-2024-5274後今年第三個V8型態混淆漏洞。</p> <p>Citrine Sleet又被稱為AppleJeus、Labyrinth Chollima、UNC4736和Hidden Cobra。過去這個組織經常鎖定管理加密貨幣的金融機構或個人以獲取財務利益。而在這次行動中，研究人員相信Citrine Sleet是透過社交工程誘騙用戶點選釣魚網站，當受害者連到惡意網域時，濫用CVE-2024-7971對沙箱環境的Chromium執行RCE，之後並在Windows記憶體中下載包含Windows沙箱逃逸（sandbox escape）攻擊程式及FudModule rootkit的shellcode。</p> <p>這個Windows沙箱逃逸攻擊程式則另外濫用了另一個零時差Windows權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38106" target="_blank">CVE-2024-38106</a>。一旦成功，FudModule rootkit即被載入Windows核心，利用直接核心物件操弄（direct kernel object manipulation，DKOM）手法，擾亂核心安全機制、從user mode執行指令，以及透過核心讀寫原語（primitive）執行核心竄改活動。微軟推測，Citrine Sleet這波攻擊也是意在竊取加密貨幣。</p> <p>值得一提的是，CVE-2024-38106是由北韓駭客組織Diamond Sleet發現且首先濫用。但微軟之前研究發現Citrine Sleet和Diamond Sleet曾共用某些基礎架構和工具，因此微軟推測，Diamond Sleet和Citrine Sleet可能共用了關於CVE-2024-38106的知識。</p> <p>FudModule rootkit已多次在北韓駭客攻擊中使用。例如2022年9月ESET及AhnLAb研究人員觀察到駭客濫用CVE-2021-21551 Dell驅動程式漏洞植入FudModule變種，今年2月Avast研究人員也發現Windows AppLocker驅動程式漏洞（CVE-2024-21338）濫用。8月Gen Digital發現Winsock驅動程式漏洞CVE-2024-38193被Lazarus濫用後都被植入這個rootkit變種。</p> <p>CVE-2024-21338及CVE-2024-38106、CVE-2024-38193分別由微軟在2月及8月Patch Tuesday中修補。</p> </div></div></div>
2024/9/2 11:43作者林妍溱https://www.ithome.com.tw/news/164801
Docker-OSX映像檔儲存庫遭蘋果要求移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多開發人員在Docker上安裝macOS測試的Docker-OSX映像檔儲存庫，上周遭到蘋果以侵犯著作權的理由，要求移除。</p> <p>Docker-OSX是由代號Sick.Codes的開發人員建立的macOS VM容器，讓用戶可利用Docker在Windows或Linux平臺上執行macOS，用以測試應用，但不用購買macOS授權。但安全研究人員也可以用這方法來研究macOS的漏洞。Docker-OSX很受歡迎，在<a href="https://github.com/sickcodes/Docker-OSX" target="_blank">GitHub</a>上的Docker-OSX儲存庫有75萬人次下載，共獲得GitHub 4萬顆星。</p> <p>但是上周先是有用戶在<a href="https://github.com/sickcodes/Docker-OSX/issues/799" target="_blank">Reddit</a>反映找不到這個儲存庫。作者Sickcodes也在<a href="https://x.com/sickcodes/status/1828696525834457186" target="_blank">X證實</a>，在Docker Hub帳下的Docker-OSX儲存庫及所有映像檔、標籤等內容全遭到刪除，且沒有接到任何通知。隨後Docker方面<a href="https://x.com/Docker/status/1828850335328223434" target="_blank">回應</a>，這個儲存庫在蘋果以違反《數位千禧年版權法案》（Digital Millenium Copyright Act，DMCA）為由要求下移除。Docker同時也出示了代表蘋果的律師事務所的電子郵件，指出蘋果對macOS的安裝器和安裝擁有獨家權利，Docker-OSX的映像檔則是在未經授權下重製蘋果內容。此種未授權重製蘋果內容的行為，是侵害版權行為，並違反DMCA。因此蘋果要求Docker移除Docker-OSX目錄下的macOS安裝器及安裝映像檔。</p> <p>Sick.Codes對Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/docker-osx-image-used-for-security-research-hit-by-apple-dmca-takedown/" target="_blank">表示</a>，蘋果的作法違反了該公司善意安全研究專案（good-faith security research project）的精神。這個專案允許研究人員在蘋果抓蟲獎勵方案下測試其產品，Sick.Codes說他也曾經向微軟通報漏洞。但他表示，他協助蘋果安全研究的熱忱不會因此動搖，他還是會持續研究。</p> </div></div></div>
2024/9/2 12:04作者林妍溱https://www.ithome.com.tw/news/164805
Amazon傳10月發表新Alexa AI，要使用Claude AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>路透社<a href="https://www.reuters.com/technology/artificial-intelligence/amazon-turns-anthropics-claude-alexa-ai-revamp-2024-08-30/" target="_blank">報導</a>，由於自家研發效果不盡如人意，Amazon付費版AI助理Alexa預計10月中推出，將使用Anthropic的Claude AI模型。</p> <p>報導指出，使用自家模型的Remarkable Alexa在理解和處理用戶輸入文字和提示效能不佳，有時要6、7秒才能回應用戶，因而將使用Amazon投資的新創公司Anthropic開發的Claude為底層AI模型。</p> <p>消息人士透露，規劃中的Remarkable Alexa將收取5-10美元月費，預計提供新聞重點整理、AI輔助購物、以及兒童導向的聊天機器人等功能，但Amazon也將保留免費版的Alexa。報導指出，Remarkable Alexa預計10月推出，但之前會先在9月例行的裝置和服務發表大會上展示。</p> <p>Amazon去年<a href="https://www.ithome.com.tw/news/158265" target="_blank">改組</a>Alexa開發部門，要用生成式AI改造Alexa助理。類似Google Gemini，Amazon的計畫是推出付費訂閱的Remarkable Alexa服務，原本預訂6月推出，但引發內部雜音，因為部分員工<a href="https://www.ithome.com.tw/news/160943" target="_blank">認為</a>技術不夠成熟。</p> <p>此外有前員工<a href="https://x.com/mihail_eric/status/1800578001564057754" target="_blank">指出</a>，AIexa AI開發不如預期其來有自，像是過於繁瑣的行政流程，加上IT開發資源不足，阻礙Alexa的AI訓練資料取得及資源的取得，而組織零碎化難以開發協同實現也讓Alexa AI開發牛步。</p> <p>但Amazon否認是棄自家資產改用別人的技術，表示在機器學習上，Amazon會先使用自己的研發成果，如Titan，但同時也會使用多種合作夥伴的AI模型。</p> <p>為追趕競爭者，Amazon尋求引入外部資源。例如Amazon三月<a href="https://www.ithome.com.tw/news/162016" target="_blank">完成</a>對Anthropic 40億美元投資，也是該公司歷來最大金額投資。</p> <p>除了投資生成式AI公司，Amazon上周並<a href="https://www.aboutamazon.com/news/company-news/amazon-covariant-ai-robots" target="_blank">宣布</a>將聘請AI機器人新創公司Covariant共同創辦人以強化生產線AI機器人的能力。Covariant三名創辦人包括Pieter Abbel、Peter Chen和Rocky Duan，以及該公司1/4的員工將加入該公司的交付技術暨機器人團隊（Fulfillment Technologies & Robotics Team），並將授權其機器人基礎模型。</p> </div></div></div>
2024/9/2 12:15作者林妍溱https://www.ithome.com.tw/news/164806
【資安週報】2024年8月26日到8月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來僅告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反應了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面；還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164701"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</span></strong></a></h3> <p>加密即時通訊軟體Telegram近年來已成為許多駭客在從事網路犯罪的過程濫用的平臺，包括駭客之間用來討論如何犯案，或是用來代管、散布惡意軟體，甚至有人將Telegram頻道充當C2中繼站，這樣的情況也引發政府單位認為該平臺管理不力，逮捕其負責人的情況。</p> <p>值得一提的是，在為期超過2年的烏克蘭戰爭裡，不僅兩國駭客利用該平臺從事網路攻擊，就連政府高層也藉此向對方放話。</p> <h3><a href="https://www.ithome.com.tw/news/164717"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</span></strong></a></h3> <p>為了提升使用者瀏覽網站的體驗，許多WordPress網站可能會導入外掛程式LiteSpeed Cache，但最近開發商修補的重大層級漏洞CVE-2024-28000，已有實際攻擊行動出現。</p> <p>由於此外掛程式全球有超過500萬個網站採用，但事隔一週仍有近4成尚未修補而成為駭客下手的目標。值得留意的是，該外掛程式今年已二度遭遇大規模漏洞攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164736"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</span></strong></a></p> <p>本週SASE供應商Versa Networks發布了一則不太尋常的資安公告，提及SD-WAN管理主控臺Versa Director的高風險遭到APT駭客利用，他們將協助客戶儘速緩解漏洞。</p> <p>值得留意的是，該公司已於6月下旬發布修補程式，但為何事隔2個月特別發布資安公告？很有可能與近期電信業者Lumen公布相關攻擊事故有關，Lumen指出，這項漏洞在Versa修補之前就遭到利用。</p> <p><a href="https://www.ithome.com.tw/news/164763"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</span></strong></a></p> <p>為了避免端點防護系統干擾勒索軟體加密檔案，最近2至3年，駭客利用含有弱點的驅動程式來達到目的，其中一款名為PoorTry的惡意驅動程式，最近引起研究人員高度關注。</p> <p>研究人員特別提及，此惡意驅動程式也納入了資料破壞軟體（Wiper）的功能，而能刪除EDR系統的EXE、DLL元件，使其無法再度運作。</p> <p><a href="https://www.ithome.com.tw/news/164780"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</span></strong></a></p> <p>本月初美國網路安全暨基礎設施安全局（CISA）針對臺廠陞泰科技（Avtech）旗下的視訊監控攝影機漏洞提出警告，並指出廠商尚未提供修補程式，但已有攻擊行動出現。究竟該漏洞如何被用於攻擊，通報此事的資安業者最近透露更多資訊。</p> <p>他們提及駭客用來植入殭屍網路病毒Corona Mirai的情況，而這是約自2020年出現的Mirai變種病毒。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：3個</p> <p>CVE-2024-7262 ／ WPS Office漏洞（今年3月悄悄修補且未公開有攻擊行動，2024年8月28日ESET對外示警）<br /> CVE-2024-7971 ／ Chrome V8漏洞<br /> CVE-2024-7965 ／ Chrome V8漏洞</p> <p>本星期已知漏洞遭利用：2個</p> <p>CVE-2024-38856／ Apache OFBiz漏洞（8月5日公開，8月28日警告已遭利用）<br /> CVE-2024-28000／ WordPress外掛程式LiteSpeed Cache漏洞（8月21日公開，事隔一週兩家資安業者警告已遭利用）</p> </div></div></div>
2024/9/2 10:01作者羅正漢https://www.ithome.com.tw/news/164797
Elastic與AWS授權爭議落幕，Elasticsearch重新提供開源授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elasticsearch原廠Elastic與雲端供應商AWS在2019年，為了Elasticsearch的授權槓上，不只隔空發文相互指責甚至對簿公堂。不過，就在2022年的時候，雙方就商標侵權訴訟中達成和解，並進一步深化合作。最新的發展是<a href="https://www.elastic.co/blog/elasticsearch-is-open-source-again">Elasticsearch重新提供開源授權，供使用者選擇使用AGPL（Affero General Public License）</a>。</p> <p>這起事件始可以追溯到2018年，當時AWS指控Elastic雖然Elasticsearch採用Apache 2.0授權，但是卻在程式碼庫中混入部分專有程式碼，使得Elasticsearch雖然名義上是開源專案，實際上卻轉向私有化，導致許多使用者在不知情的情況可能違反授權規範。為此AWS聯合Expedia、Netflix等公司合作，分叉了一個新的Elasticsearch開源版本。</p> <p>Elastic與AWS的戰爭，發生在開源軟體開發商和雲端服務供應商間矛盾加劇之際。雲端公司被指利用開源軟體賺錢，透過所謂露天採礦（Strip-Mining），也就是從開源社群挖掘軟體資源，將其重新包裝或是稍作修改後，作為自家商業服務銷售，卻又不回饋社群。</p> <p>當時包括MongoDB、Redis和CockroachDB等開源專案，都不滿雲端廠商用其開源專案推出雲端服務，不開源修改後的程式碼且不付費，因此接連修改授權限制雲端廠商的使用。Elasticsearch也在2021年的時候，宣布將Elasticsearch和Kibana從原本的Apache 2.0轉換到SSPL（Server Side Public License）以及Elastic雙授權。</p> <p>由於諸如SSPL這類授權未被開放原始碼促進會（OSI）認可為開源授權，雖然允許一定程度的自由使用和修改，並且目的在於保護軟體創作者的權益，對一般使用者來說仍擁有頗大的靈活性，但是對於商業和雲端使用情境則有更多限制，因此在嚴格的開源社群標準下，並不被視為真正的開源授權。</p> <p>AWS後來將Elasticsearch分叉版本更名為OpenSearch，Elastic和AWS的僵局在2022年得到解決，雙方就侵權訴訟達成協議並同意繼續合作，Elastic正式成為AWS的合作夥伴，降低了AWS與Elastic雲端服務的整合障礙，使雙方用戶受益。</p> <p>Elastic認為當初調整Elasticsearch使用SSPL和自家授權的目的已經達成，成功解決AWS當初分叉Elasticsearch所引發的混亂，因此現在Elasticsearch和Kibana除了SSPL和ELv2雙授權，還進一步第三種AGPL授權供使用者選用。</p> <p>AGPL是一個OSI認可的開源授權，要求在網路服務中使用和修改軟體時必須公開原始碼。與傳統的GPL相比，AGPL更適合網路應用和雲端服務，確保所有修改都必須共享。Elastic選擇AGPL作為授權選項之一，表達了他們對開源社群的承諾，也期望消除當初修改Elasticsearch和Kibana授權所引發的爭議。</p> </div></div></div>
2024/9/2 08:22作者李建興https://www.ithome.com.tw/news/164799
數位部擬於12月提出公務機關AI應用指引，要教機關評估AI工具、專案管理及做好風險控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位部正規畫2026年到2030年政府轉型發展目標，然而在2026年之前，數位部將先祭出配套措施，引導政府機關嚐試導入AI，其中之一是目前正在研擬中，預計今年12月將釋出的政府機關AI應用指引，數位部數位政府司長王誠明將其比喻為電玩攻略，數位部自己則將扮演教練，輔導玩家（機關）依照應用指引以達成轉型目標。</p> <p>王誠明表示，大型政府機關因擁有的資源較多，很早便投入發展AI應用，例如數據分析型AI或辨識型AI，相較於這些優等生，有的機關可能因為資源有限，或曾經測試AI應用，但發現相關的資料整備不足，服務訓練等配套做法也需調整，最終可能回到既有的做法，數位部希望拉齊各機關的水平，除了規畫中的2026年到2030年大型發展計畫，數位部也提出相關配套措施，如AI人才培訓，以及供機關導入AI之前的試驗環境，評估適合機關自己的LLM模型，還有供政府機關參考的AI應用指引。</p> <p>相較於行政院及所屬機關（構）使用生成式AI參考指引，從規範面要求公務人員使用生成式AI不得使用機敏資料，不得以生成式AI產生內容直接取代承辦人員客觀及專業判斷，需經過人工審核等等，透過規範面避免公關機關錯誤運用AI。</p> <p>王誠明認為這些屬於管制面的規範，缺少教導機關如何發展AI應用，「如同沒有教你怎麼開車，因此透過AI應用指引教導你如何開車」，他說。</p> <p><span style="color:#B22222;"><strong>歐盟將AI應用風險分為4級</strong></span></p> <p>然而在導入AI之前，應該先建立AI風險管理，避免AI帶來負面影響。依照國科會提出我國的人工智慧基本法第十條規定，應由數位部參國際標準或規範，提出與國際介接的人工智慧風險分級框架，王誠明指出，數位部尚未提出我國風險分級框架，數位部未來會參考國際規範，例如歐盟的AI Act法案風險管理框架、美國NIST提出的風險管理框架AI RMF等。</p> <p>以歐盟為例，AI Act將AI風險畫分為4級，不可接受的風險（Unacceptable Risk）、高風險（High Risk）、有限風險（Limited Risk）、最低風險（Minimal Risk），各自有其對應的義務及限制。不可接受的風險，例如在公共場所進行即時遠距生物辨識，或是對人們進行評分，以決定其待遇，或是利用潛意識、人類脆弱性的AI系統；高風險，指需要受到嚴格監管及評估的AI系統，例如應用在電力或交通等基礎建設、執法、邊境管理、僱用及勞動管理的AI系統等等。</p> <p>有限風險，需要滿足一定程度的公開透明義務，例如AI生成的內容需要標示AI生成，高擬真的AI客服，需要告知人們正與AI互動；至於最低風險，不需要特別的監管措施，例如AI驅動遊戲、垃圾郵件過濾等。</p> <p>換言之，除了不可接受的風險、最低風險之外，歐盟認為其他程度風險因為帶來的影響性，需要伴隨一定的人為監管措施。</p> <p><span style="color:#B22222;"><strong>AI應用指引涵蓋AI知識、評估、導入、營運管理</strong></span></p> <p>那麼數位部今年底將釋出的AI應用指引，可以為公務機關帶來哪些幫助？</p> <p>對此，王誠明表示，未來AI應用指引內容並非固定不變，會根據AI發展動態調整指引，鑑於公務人員面臨的問題，例如調查發現公務人員仍有不低的比率對AI的基本知識不足，因此未數位部的AI應用指引將包括AI基本知識，讓團隊成員得以溝通，讓公務人員具備寫AI採購的RFP能力。另外，考慮到缺乏符合機關需求的AI專案說明、實作面說明，未來AI應用指引也會提供AI專案管理所需知道的流程、檢核表，讓公務人員對AI專案管理有一定的認知，檢視專案各個階段是否達到其需求。</p> <p>數位部正由專家協助研擬AI應用指引，未來AI應用指引的內容將涵蓋AI概念介紹、AI服務評估、AI服務導入、AI營運管理4大章節，共23個子章節。「如同教導學習開車的步驟，拉上安全帶，發動引擎，放掉手煞車」，他說。</p> <p>AI概念介紹，包括AI的定義、幫助及限制、類別、法規，並且收錄公部門的應用實例，應用指引將AI分為辨別式AI及生成式AI，並介紹兩種類型各自的優缺點，適合的應用。</p> <p>AI服務評估方面，主要協助機關評估AI是否為適合的解決方案，包含機關面臨的問題如何定義、資料狀態是否準備妥當、政府公開的AI實證；AI服務導入，包含導入模式、AI專案過程、AI專案驗收標準等等；AI營運管理，涵蓋風險管理、倫理議題、資安、AI治理等等。</p> <p>數位部透露應用指引將AI專案生命周期分為5個階段，涵蓋AI場景評估，確認需求評估合適的解決方法，建置AI專案確認團隊成員，到資料準備及模型開發、測試及迭代、風險控制及專案追蹤，每個階段有其對應的目標及任務，數位部建議機關可以將流程導入整體的規畫，在公務人員在專案流程中得到指引。</p> <p>王誠明指出，AI專案管理比較困難的是，如何驗收AI專案，AI應用儘管合乎邏輯，但是仍可能因為資料產生偏誤，換言之，正常的訓練可能產生錯誤的結果，專案驗收時需要特別考慮偏誤的問題。未來AI應用指引對於專案驗收提供4個面向的驗收指標，包括模型性能標準、系統穩定性、使用者體驗標準、公平性指標，由於AI仍在發展中，因此指標也隨著變動。</p> <p>生成式AI帶動新一波AI應用後，王誠明表示，目前公務機關的生成式AI應用場景，以智慧客服、生成摘要，他認為這些僅是目前初步的用法，未來生成式AI將有更大潛力，例如服務流程設計，如何讓服務可以更有效率、更符合民眾的需求，甚至未來可以期待，針對民眾的需求設計服務流程。</p> <p> </p> </div></div></div>
2024/8/30 18:26作者蘇文彬https://www.ithome.com.tw/news/164798
勞發署驚傳駐點工程師誤刪檔案，影響484臺電腦硬碟資料，勞發署表示已陸續恢復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="http://news.ltn.com.tw/news/life/breakingnews/4782686">自由時報8月28日的報導</a>，勞動部勞動力發展署（勞發署）高屏澎東分署在22日委託廠商進行資安檢查，傳出駐點工程師輸錯代碼，導致高屏澎東分署各科室484臺電腦硬碟D槽檔案全數刪除的離譜情況，事發後勞發署資訊室尋求微軟協助，但最後只能救回部分資料，大部分透過微軟加密工具處理的檔案無法救回。</p> <p>對此，高屏澎東分署同日發布新聞稿做出說明，<a href="https://www.wda.gov.tw/News_Content.aspx?n=30&s=16906">證實此為廠商維護個人電腦作業的過程中</a>，因人員作業疏失，造成部分電腦本機備份資料遭到刪除，隨後就對誤刪資料進行處置，這些電腦當天就陸續復原。</p> <p>他們強調這起事故並非駭客入侵，亦無資料外洩的情況，機關所有服務及系統皆正常運作，並未因此事而受到中斷。未來高屏澎東分署將強化資訊設備維護作業程序管控，重新檢視資安管理制度，要求廠商加強資安教育訓練。</p> <p>不過，這起事故發生的過程，上述的公告並未提出說明。</p> <p>詭異的是，當天稍早自由時報引述知情人士的說法當中曾提到，這起事故被定調為「1130822事件」，與近期的資安檢查有關，為了檢查，所有人員將電腦D槽檔案加密，這些包含了歷年檔案及正在進行中的專案資料，而且影響範圍不只分署科室，屏東、台東、澎湖等就業中心的外部網站硬碟資料，也無法倖免。</p> <p>然而，這篇報導提到的狀況，也有幾個令人無法理解的地方。</p> <p>第一，工程師輸錯代碼導致資料刪除的情況。究竟什麼「代碼」能導致這樣的錯誤？</p> <p>第二，為何單位資安檢查會需要刪除如此大量的電腦檔案？用加密方式保護檔案，與檔案刪除理論上是兩件事情，這中間的關係是什麼？</p> <p>第三，為何要復原被刪除的檔案是透過線上救援請微軟公司協助，而非資訊部門或委外廠商處理？</p> <p>第四，被刪除的檔案多為與公務無直接關聯的私人檔案，有復原的必要嗎？</p> <p>第五，復原作業的過程中透過微軟加密工具加密的檔案救不回來？</p> <p>除此之外，該單位竟然容許使用者會把私人檔案存放於公務電腦，而到資安檢查才把D槽檔案加密處理迴避，也讓人感到訝異。</p> <p>其中，關於誤刪大量檔案的狀況，網路社團流傳的一種說法，是這名工程師本來下達刪除D槽所有EXE執行檔<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">的指</span>令，但將指令中的*.exe誤鍵為* .exe（星號後面多一個空白），而變成刪除D槽所有檔案的情況。但是否真是如此，也不得而知。</p> </div></div></div>
2024/8/30 11:51作者周峻佑https://www.ithome.com.tw/news/164774
【資安日報】8月30日，殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初美國網路安全暨基礎設施安全局（CISA）針對臺廠陞泰科技（Avtech）旗下的視訊監控攝影機漏洞提出警告，並指出廠商尚未提供修補程式，但已有攻擊行動出現。究竟該漏洞如何被用於攻擊，通報此事的資安業者最近透露更多資訊。</p> <p>他們提及駭客用來植入殭屍網路病毒Corona Mirai的情況，而這是約自2020年出現的Mirai變種病毒。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164771"><strong style="font-size: 22px;">臺廠陞泰網路攝影機韌體漏洞被用於散布Mirai變種病毒</strong></a></p> <p>8月初美國網路安全暨基礎設施安全局（CISA）提出警告，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機存在命令注入漏洞CVE-2024-7029，已被用於攻擊行動但尚未修補，本週通報此事的資安業者Akamai公布相關細節。</p> <p>研究人員發現，攻擊者利用這項漏洞，從去年12月開始散布稱為Corona Mirai的Mirai變種。此殭屍網路病毒疑似2020年就開始活動，在這波攻擊中，這隻惡意程式以23、2323、37215埠，透過Telnet連線存取大量主機或受害裝置，還會在感染主機的控制臺列印出Corona字串。值得留意的是，此漏洞的概念性驗證程式碼（PoC），在5年前就被公開。</p> <p><a href="https://www.ithome.com.tw/news/164777"><strong style="font-size: 22px;">俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式</strong></a></p> <p>Google威脅分析小組（TAG）指出，他們在利用蒙古政府網站展開水坑攻擊的活動中，發現了俄羅斯駭客APT29所使用的攻擊工具，非常類似商業監控業者（Commercial Surveillance Vendors，CSV）Intellexa與NSO Group開發的攻擊程式，但究竟駭客如何取得，研究人員表示不清楚。</p> <p>研究人員指出，APT29所使用的攻擊程式都經過了微幅修改，但與Intellexa或NSO Group的攻擊程式最大的不同在於，最初這些攻擊程式都是利用零時差漏洞，而在APT29使用時，這些漏洞成為已公開的N日漏洞。</p> <p><a href="https://www.ithome.com.tw/news/164779"><strong style="font-size: 22px;">8月20日美國半導體製造商Microchip證實遭遇網路攻擊，部分工廠產能降低</strong></a></p> <p>SEMICON半導體展即將於下週登場，而半導體資安已是近年來的焦點，上週恰巧有半導體業者遭到網路攻擊，再度突顯這個領域的資安重要性。</p> <p>苦主是微控制器和類比元件製造商Microchip，他們前一陣子向美國證券交易委員會（SEC）呈報8-K表單，通報他們在8月17日偵測到資訊系統出現惡意行為，事隔2天，該公司確認這起事故為未經授權人士擾亂部分伺服器及業務的運作，立即採取相關措施因應，包括隔離、關閉受影響系統，並尋求外部資安顧問協助調查。</p> <p>而對於這起事故帶來的影響，Microchip坦承部分生產設施的營運狀況低於正常水準，將影響他們交付訂單的能力。</p> <p><a href="https://www.ithome.com.tw/news/164774"><strong style="font-size: 22px;">勞發署驚傳駐點工程師誤刪檔案，影響484臺電腦硬碟資料，勞發署表示已陸續恢復</strong></a></p> <p>根據自由時報8月28日的報導，勞動部勞動力發展署（勞發署）高屏澎東分署在22日委託廠商進行資安檢查，傳出駐點工程師輸錯代碼，導致高屏澎東分署各科室484臺電腦硬碟D槽檔案全數刪除的離譜情況，事發後勞發署資訊室尋求微軟協助，但最後只能救回部分資料，大部分透過微軟加密工具處理的檔案無法救回。</p> <p>對此，高屏澎東分署同日發布新聞稿做出說明，證實此為廠商維護個人電腦作業的過程中，因人員作業疏失，造成部分電腦本機備份資料遭到刪除，隨後就對誤刪資料進行處置，這些電腦當天就陸續復原。他們強調這起事故並非駭客入侵，亦無資料外洩的情況，機關所有服務及系統皆正常運作，並未因此事而受到中斷。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/h/threat-actors-target-middle-east-using-fake-tool.html"><strong style="font-size: 20px;">冒牌Palo Alto Networks的VPN工具鎖定企業而來</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/h/cve-2023-22527-cryptomining.html">Atlassian Confluence重大漏洞遭到利用，攻擊者意圖挾持伺服器挖礦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.huntress.com/blog/advanced-persistent-threat-targeting-vietnamese-human-rights-defenders">越南人權組織成駭客組織APT32的攻擊目標</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164716"><strong style="font-size: 22px;">macOS版微軟M365應用程式存在共通漏洞，攻擊者有機會藉此繞過系統權限</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dylib_injection.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dylib_injection.jpg" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos在macOS版的Microsoft 365辦公室套裝軟體，最近找到8個漏洞，並指出攻擊者若是將惡意程式庫注入應用程式，就有機會觸發這些漏洞，從而取得使用者授予應用程式的權限，例如：存取麥克風、視訊鏡頭、資料夾、螢幕錄製、使用者輸入等資源，一旦攻擊者掌握這些權限，就有可能洩露敏感資訊，甚至提升權限。</p> <p>研究人員表示，攻擊者可利用這些漏洞得到應用程式已取得的權限，從而繞過作業系統的安全防護框架Transparency, Consent, and Control（TCC），過程中完全不需向使用者取得額外的驗證，只要成功利用漏洞，就能直接取得使用者已授予M365應用程式的所有權限。</p> <p>這些漏洞若遭到利用，可能產生那些後果？研究人員指出，攻擊者可在使用者不知情的情況下利用他們的電子郵件帳號寄信、錄製聲音和影片、拍照，過程中完全無須使用者互動。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75417">思科發布NX-OS更新，修補DHCPv6高風險漏洞</a></strong></p> <p></p> <p>◆<a href="https://publisher.hitachienergy.com/preview?DocumentID=8DBD000160&LanguageCode=en&DocumentPartId=&Action=Launch"><strong style="font-size: 20px;">日立修補SCADA電力系統重大漏洞</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164763"><strong>【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164736"><strong>【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164717"><strong>【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</strong></a></p> </div></div></div>
2024/8/30 15:38作者周峻佑https://www.ithome.com.tw/news/164780
8月20日美國半導體製造商Microchip證實遭遇網路攻擊，部分工廠產能降低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SEMICON半導體展即將於下週登場，而半導體資安已是近年來的焦點，上週恰巧有半導體業者遭到網路攻擊，再度突顯這個領域的資安重要性。</p> <p>苦主是微控制器和類比元件製造商Microchip，他們前一陣子向美國證券交易委員會（SEC）<a href="https://www.sec.gov/Archives/edgar/data/827054/000082705424000153/mchp-20240820.htm">呈報8-K表單</a>，通報他們在8月17日偵測到資訊系統出現惡意行為，事隔2天，該公司確認這起事故為未經授權人士擾亂部分伺服器及業務的運作，立即採取相關措施因應，包括隔離、關閉受影響系統，並尋求外部資安顧問協助調查。</p> <p>而對於這起事故帶來的影響，Microchip坦承部分生產設施的營運狀況低於正常水準，將影響他們交付訂單的能力。根據8K表單所示，Microchip提到這起事故仍在調查，對於其影響範圍、攻擊性質，他們還無法確定，關於是否對財務造成重大影響，還需要進一步評估。</p> </div></div></div>
2024/8/30 15:11作者周峻佑https://www.ithome.com.tw/news/164779
可自動化生成程式碼的Codeium完成1.5億美元的C輪增資，估值12.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供程式碼生成的AI公司Codeium周四（8/29）<a href="https://codeium.com/blog/series-c-annoucement" target="_blank">宣布</a>，已完成1.5億美元的C輪增資，估值12.5億美元。此次的增資是由現有投資者General Catalyst 領投，也是由現有投資者Kleiner Perkins及Greenoaks 參與。</p> <p>Varun Mohan與Douglas Chen在2021年創立了Exafunction，這是一家GPU虛擬化公司，但他們在A輪增資後意識到生成式AI的潛力，決定利用自己的基礎設施來建立一個全棧AI程式碼撰寫平臺Codeium，也在2022年直接更名為Codeium。</p> <p>Codeium定位為基於尖端AI技術的程式碼加速工具套件，目前主要提供兩項功能，一是自動建議並完成程式碼的輸入，二是利用自然語言搜尋儲存庫。它支援逾70種程式語言，表明並非要取代軟體工程師，認為開發人員依然主導及負責所生成的程式碼，強調任何人都不應完成依賴任何東西，即便是超能力。</p> <p>Codeium最受開發人員推崇的是它宣布「永遠」不向個人開發人員收費，而僅向企業<a href="https://codeium.com/pricing" target="_blank">收取</a>管理功能及GPT-4的訂閱費用。這讓成立不到兩年的Codeium已吸引超過70萬名的個人用戶，且企業產品的經常性年收入也已達到8位數（數千萬美元）。目前Codeium約有80名員工。</p> <p>根據<a href="https://techcrunch.com/2024/08/29/github-copilot-competitor-codeium-raises-150m-at-a-1-25b-valuation/" target="_blank">TechCrunch</a>的報導，Codeium甫於今年1月完成6,500萬美元的B輪增資，當時估值為5億美元，不到一年的時間身價即漲了1倍以上。此外，Mohan還向該報表示，迄今根本尚未用到今年1月所募集的資金。</p> </div></div></div>
2024/8/30 14:23作者陳曉莉https://www.ithome.com.tw/news/164778
Google發布三款Gemini 1.5實驗模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://twitter.com/OfficialLoganK/status/1828480081574142227" target="_blank">本周宣布</a>透過Google AI Studio測試數款Gemini模型實驗更新版，宣稱比前代更小、更好、更強大。</p> <p>Gemini 1.5 Flash是介於Pro和最新的Nano之間的輕量級LLM。本周發布的三款實驗模型中，Gemini 1.5 Flash與Gemini 1.5 Pro各有一個品質改進版。根據Google<a href="https://ai.google.dev/gemini-api/docs/models/experimental-models" target="_blank">描述</a>，Gemini 1.5 Pro（gemini-1.5-pro-exp-0827）強化了程式撰寫及對複雜提示的理解能力。而gemini-1.5-flash-exp-0827則是「大幅改善Gemini 1.5-Flash模型」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0830-google%20gemini%20api-model(1).png" style="width: 600px;" /></p> <p>第三個模型是Google為輕量級的Gemini 1.5 Flash推出新的小型參數版本Gemini 1.5 Flash-8B（gemini 1.5 Flash-8B-exp-0827），強調模型能力不輸於參數量較多的Gemini 1.5 Flash。</p> <p>三款模型已透過AI平臺<a href="https://ai.google.dev/" target="_blank">Google AI Studio</a>供開發人員試用。</p> <p>這次宣布前，Google也在8月初<a href="https://developers.googleblog.com/en/gemini-15-flash-updates-google-ai-studio-gemini-api/" target="_blank">宣布</a>Gemini 1.5 Flash大降價、開放微調等新措施。</p> <p>在價格方面，Gemini 1.5 Flash輸入價格為每百萬字詞（token）$0.0751美元，輸出費用為每百萬字詞$0.3美元，各比原先降價78%和71%。</p> <p>Google並宣布Gemini 1.5 Flash開放所有開發人員，透過Gemini API和Google AI Studio以文字微調。AI Studio存取也擴及所有Google Workspace用戶。其他宣布包括Gemini API新增100多種語言查詢支援，以及改版文件UI和API參照。</p> <p>本月Google又<a href="https://www.ithome.com.tw/news/164458" target="_blank">宣布</a>以1.5 Flash為基礎的Gemini Live，能和人流暢對談，挑戰OpenAI進階語音模式。</p> </div></div></div>
2024/8/30 13:30作者林妍溱https://www.ithome.com.tw/news/164776
俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google威脅分析小組（Threat Analysis Group，TAG）近日<a href="https://blog.google/threat-analysis-group/state-backed-attackers-and-commercial-surveillance-vendors-repeatedly-use-the-same-exploits/" target="_blank">揭露</a>，他們在一個利用蒙古政府網站展開水坑攻擊的活動中，發現了俄羅斯駭客APT29所使用的攻擊工具非常類似商業監控業者（Commercial Surveillance Vendors，CSV）Intellexa與NSO Group所開發的攻擊程式，而且就算這些零日（Zero-Day）攻擊程式已變成N日（N-Day）攻擊程式，還是能有效攻擊那些尚未修補的受害者。</p> <p>TAG分別是在去年的11月、今年的2月，以及今年7月觀察到相關攻擊行動。駭客先是危害了蒙古國的官網及外交部網站，再於網站上植入了鎖定iPhone（CVE-2023-41993）及Android（CVE-2024-5274及CVE-2024-4671）漏洞的攻擊程式，藉由水坑攻擊以竊取受害者的憑證Cookie。</p> <p>由於此次的駭客與2021年利用CVE-2021-1879漏洞來攻擊西方政府官員的俄羅斯駭客APT29，都採用了同樣的Cookie竊取框架，使得TAG認為他們是同一批人。</p> <p>此外，TAG還發現駭客在去年11月及今年2月攻陷CVE-2023-41993漏洞的攻擊程式，與Intellexa所開發的攻擊程式非常相似，而在今年7月攻陷CVE-2024-5274的攻擊程式則與NSO Group所開發的很像，所打造的CVE-2024-4671攻擊程式也是從Intellexa的CVE-2021-37973攻擊程式而來。</p> <p>APT29所使用的攻擊程式都經過了微幅修改，但與Intellexa或NSO Group的攻擊程式最大的不同在於，最初這些攻擊程式都是利用零日漏洞，而在APT29使用時，這些漏洞都已被修補，已成為N日漏洞。</p> <p>TAG表示，他們並不確定APT29如何取得相關的攻擊程式，但企圖彰顯這些由商業監控業者所開發的攻擊程式終究會淪落到國家級駭客的手上，此外，水坑攻擊依然是利用N日漏洞的有效途徑，可大規模地針對那些可能沒有修補的使用者進行攻擊。</p> <p>NSO Group與Intellexa都專門開發商業間諜軟體，已分別在<a href="https://www.ithome.com.tw/news/147654" target="_blank">2021年</a>11月及<a href="https://www.state.gov/the-united-states-adds-foreign-companies-to-entity-list-for-malicious-cyber-activities-2/" target="_blank">去年</a>7月被列入美國《實體名單》（Entity List），美國政府認定它們參與惡意網路活動，禁止美國個人及業者與其交易。</p> </div></div></div>
2024/8/30 13:46作者陳曉莉https://www.ithome.com.tw/news/164777