iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

Credential Manager成預設，Google將於2025年底前移除舊的Android身分驗證API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2024/09/streamlining-android-authentication-credential-manager-replaces-legacy-apis.html">計畫</a>在2025年底前，移除包括Smart Lock for Passwords等多個身分驗證API，取而代之的是，Google在2023年推出的Android Credential Manager，其整合了Passkeys、Google帳號登入，以及密碼登入功能，提供統一身分驗證體驗，簡化用戶的登入流程。官方敦促開發者應儘速遷移使用Credential Manager，以符合未來身分驗證標準。</p> <p>相關的API包括Smart Lock for Passwords API、Credential Saving API、Google帳號登入按鈕API、One Tap Sign-in API與Google Sign-In for Android (GSI) API。這些API目前都已經進入棄用階段，並將於2025年底前移除完畢。</p> <p>具體來說，Smart Lock for Passwords已經於2024年移除，並計畫在2025年第一季完全關閉。Credential Saving API和Google帳號登入按鈕API則預計在2025年上半年移除，而One Tap Sign-in API與Google Sign-In for Android (GSI) API則會在2025年下半年移除。</p> <p>棄用、移除和完全關閉為Android SDK淘汰API的狀態。棄用表示API仍在使用，但即將被移除，而移除階段則代表API雖然還在運作，但已經從SDK中移除，完全關閉則是指API所有功能停止。</p> <p>Credential Manager是Google在2023年推出的Android身分驗證管理工具，支援Passkeys，提供更安全的驗證方式，讓使用者不需要輸入帳密即可快速完成登入。此外，Credential Manager統一整合了Google帳號登入和密碼登入功能，提供使用者簡單且安全的登入體驗，進一步最佳化登入流程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-Credential%20Manager%20for%20Android(1).png" style="width: 270px;" /></p> <p>除此之外，Credential Manager也支援第三方密碼管理器，提升憑證安全性和方便性。對開發者而言，Credential Manager簡化了登入邏輯，並以單一現代化API整合，降低開發維護成本，還支援未來的各種新功能擴充。</p> </div></div></div>
2024/9/12 16:28作者李建興https://www.ithome.com.tw/news/164987
【資安日報】9月5日，美國針對俄羅斯干預總統大選採取執法行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統大選如火如荼進行，這段期間不時傳出伊朗駭客攻擊川普、賀錦麗陣營，並企圖散布假消息影響選情的情況。不過，俄羅斯想要採取類似手段干預該國選舉已有先例，但美國直到最近才採取執法行動引起關注。</p> <p>本週美國宣布扣押俄羅斯用來散布不實言論的網域，原因是這些網域都被用來架設冒充民主陣營的新聞網站，並指出俄羅斯不只打算操弄美國總統大選，也意圖干預其他國家選舉。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164863"><strong style="font-size: 22px;">美國扣押俄羅斯用來干預總統大選的32個網域名稱</strong></a></p> <p>9月4日美國政府大動作地摧毀俄羅斯進行的影響力活動，包括扣押32個網域名稱，制裁10名個人與2個實體，以及起訴兩名俄羅斯人。</p> <p>根據調查，俄羅斯註冊並利用32個網域名稱來散布各種該國政府的宣傳內容，目的包括減少國際社會對烏克蘭的支援，推動親俄的政策及利益，以及企圖影響美國及國外的選舉，包括今年的美國總統大選在內。</p> <p>這些網址之所以被扣押主要是因為它們特意假冒為民主陣營的新聞平臺，例如註冊了類似華盛頓郵報的washingtonpost.pm，卻發表俄羅斯政府的資訊，還透過廣告及社交媒體宣傳，建立合法新聞媒體網站的假象。除了美國人之外，這些網站企圖影響的對象還包括德國、墨西哥與以色列，企圖破壞這些國家與美國的關係。</p> <p><a href="https://www.ithome.com.tw/news/164869"><strong style="font-size: 22px;">惡意軟體WikiLoader透過SEO中毒散布，駭客聲稱提供特定資安業者VPN軟體作為誘餌</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-622646-136552-2.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-622646-136552-2.jpeg" style="width: 300px; float: right;" /></a>上週趨勢科技揭露鎖定中東的惡意程式攻擊，並指出駭客將其偽裝成資安業者Palo Alto Networks旗下SSL VPN服務GlobalProtect的安裝程式，此事相當值得關注，原因是這種手法相當具有針對性，很有可能是鎖定該系統的使用者而來，如今Palo Alto Networks也揭露相關攻擊行動，呼籲用戶提高警覺。</p> <p>本週Palo Alto Networks旗下的威脅情報團隊Unit 42揭露惡意程式載入工具WikiLoader變種攻擊行動，並指出駭客藉由搜尋引擎最佳化中毒（SEO Poisoning）手法，佯稱提供GlobalProtect應用程式的名義散布。</p> <p>研究人員在今年6月看到相關攻擊行動，並指出駭客的主要攻擊目標是美國高等教育機構及交通單位，但研究人員特別提到，由於這次攻擊者利用搜尋引擎最佳化中毒的手法，使得影響範圍較過往利用網路釣魚來得廣泛。</p> <p><a href="https://www.ithome.com.tw/news/164855"><strong style="font-size: 22px;">紅隊演練工具MacroPack遭到濫用，駭客藉此散布滲透測試工具Brute Ratel C4</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MacroPack-chain.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/MacroPack-chain.jpg" style="width: 300px; float: right;" /></a>駭客將防守方用來強化資安的工具，拿來用於攻擊行動，最常見的莫過於滲透測試工具Cobalt Strike，後來也出現利用Brute Ratel C4的事故，如今有人開始利用新的工具從事攻擊。</p> <p>思科旗下威脅情報團隊Talos指出，他們在今年5月至7月，在惡意軟體分析平臺VirusTotal看到數個Office檔案，其共通點就是使用名為MacroPack的紅隊演練框架產生，經過分析發現，這些Office檔案被用於散布多種惡意程式的有效酬載，例如：滲透測試工具Brute Ratel C4、Havoc、RAT木馬程式PhantomCore，他們認為有多個駭客組織可能已在實際攻擊行動當中，開始利用MacroPack。</p> <p>研究人員總共歸納出4起攻擊行動，其中一起範圍涵蓋臺灣、中國、巴基斯坦而相當受到注意，駭客藉此散布Havoc和Brute Ratel C4有效負載，而這些惡意程式會連往位於中國河南的C2伺服器。</p> <p><a href="https://www.ithome.com.tw/news/164865"><strong style="font-size: 22px;">惡意PyPI套件使用新的挾持手法，假冒正牌套件引誘受害者上當</strong></a></p> <p>駭客發動惡意NPM、PyPI套件攻擊，往往會透過域名搶先註冊的手法，利用與正牌套件極為相似名稱來混淆開發人員視聽，但如今研究人員發現新的手法，並發現已被駭客廣泛利用。</p> <p>資安業者JFrog揭露名為Revival Hijack攻擊手法，駭客尋找已經下架的合法PyPI套件，並重新註冊相同的名稱，上架惡意套件。這樣的做法無須依賴開發人員出錯才能趁虛而入，而且，若是原本套件的用戶有良好的習慣，會使用最新版的套件，甚至透過CI/CD環境自動套用更新，就有可能中招。</p> <p>根據研究人員的調查，這種挾持攻擊手法影響12萬個PyPI套件，他們進一步排除惡意套件和垃圾套件，並針對下載超過10萬次，或是經營超過半年的套件進行統計，他們認為至少有2.2萬個PyPI套件容易成為駭客下手的目標。研究人員指出，開發人員下架套件的情況相當常見，平均每個月就有超過300個，這樣的情況，也導致可被濫用的套件名稱不斷增加。</p> <p><a href="https://www.ithome.com.tw/news/164871"><strong style="font-size: 22px;">安卓木馬Rocinante鎖定巴西用戶而來，偽製成銀行應用程式對其下手</strong></a></p> <p>資安業者ThreatFabric揭露針對巴西銀行用戶的金融木馬Rocinante，駭客鎖定當地大部分的銀行機構而來，一旦手機遭到感染，此木馬程式就能在受害裝置側錄鍵盤內容，或是讓攻擊者能夠進行遠端存取。</p> <p>研究人員進一步指出，此木馬程式還能顯示假冒銀行網頁的釣魚視窗，竊取受害者的個人可識別資訊（PII），最終攻擊者便能藉由木馬程式收集到的資料，達到裝置挾持（Device takeover，DTO）的目的。</p> <p>駭客佯稱提供系統安全更新，或是快遞追蹤、會員獎勵、銀行相關的應用程式，引誘使用者存取釣魚網站，藉由惡意的APK檔案散布Rocinante。一旦使用者依照指示完成安裝並開啟，這些應用程式就會要求授予無障礙服務的權限，並顯示銀行表單畫面，要求使用者提供PII。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/microchip-technology-confirms-data-was-stolen-in-cyberattack/"><strong style="font-size: 20px;">半導體業者Microchip證實因攻擊事故導致資料外洩，勒索軟體Play宣稱是他們所為</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-inject-malicious-js-in-cisco-store-to-steal-credit-cards-credentials/">思科網路商店驚傳遭植入惡意JavaScript，信用卡資料、帳密恐外流</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/apt-lazarus-python-scripts/">北韓駭客利用冒牌視訊會議軟體FreeConference，鎖定求職者下手</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-backports-fix-for-pixel-eop-flaw-to-other-android-devices/">Google發布安卓9月例行更新，修補6月揭露的Pixel權限提升漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://ninjalab.io/wp-content/uploads/2024/09/20240903_eucleak.pdf">Yubico旗下FIDO裝置存在Eucleak弱點，攻擊者有機會取得ECDSA金鑰</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><strong style="font-size: 22px;">半導體大型會議SEMICON Taiwan於9月4日舉行，資安趨勢高峰論壇即將於明日登場</strong></p> <p>SEMICON Taiwan 2024國際半導體展於9月4日至6日舉行，SEMI全球總裁暨執行長Ajit Manocha表示，今年以「賦能AI無極限」作為大會主軸，不僅可以看到AI在不同領域的發展，也帶動產業發展，臺灣顯然在AI浪潮和全球半導體產業扮演重要角色。隨著半導體產業越來越重視資安，這幾年來SEMICON Taiwan也持續舉辦這項主題的論壇，<a href="https://www.semicontaiwan.org/zh/Cybersecurity_Global_Summit_2024">即將於大會的第三天（9月6日）召開</a>。</p> <p>在今年的半導體資安趨勢高峰論壇，擔任SEMI半導體資安委員會主席的台積電企業資訊安全處處長屠震將在開場致詞，並邀來零信任之父John Kindervag，以及奧義智慧、TXOne、思科、Akamai、IBM、大猩猩科技、應用材料等公司的高層，發表談話。探討在全球化和數位化的趨勢下，半導體產業的供應鏈面臨的網路安全挑戰。</p> <p>而在此次活動期間，數位發展部數位產業署也與臺灣資安業者於會場<a href="https://www.facebook.com/adi.gov.tw/posts/487257754122187">打造SecPASS資安館</a>，展示資安整合服務平臺，6日上午將發表後量子資安產業聯盟的階段成果。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164847"><strong>【9月4日】駭客組織Head Mare鎖定俄羅斯企業組織發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164832"><strong>【9月3日】駭客盯上資安廠商的SSL VPN系統當作誘餌，意圖散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164821"><strong>【9月2日】勒索軟體RansomHub受害企業組織半年已超過200家</strong></a></p> </div></div></div>
2024/9/5 17:48作者周峻佑https://www.ithome.com.tw/news/164875
【資安週報】2024年8月26日到8月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來僅告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反應了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面；還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164701"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</span></strong></a></h3> <p>加密即時通訊軟體Telegram近年來已成為許多駭客在從事網路犯罪的過程濫用的平臺，包括駭客之間用來討論如何犯案，或是用來代管、散布惡意軟體，甚至有人將Telegram頻道充當C2中繼站，這樣的情況也引發政府單位認為該平臺管理不力，逮捕其負責人的情況。</p> <p>值得一提的是，在為期超過2年的烏克蘭戰爭裡，不僅兩國駭客利用該平臺從事網路攻擊，就連政府高層也藉此向對方放話。</p> <h3><a href="https://www.ithome.com.tw/news/164717"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</span></strong></a></h3> <p>為了提升使用者瀏覽網站的體驗，許多WordPress網站可能會導入外掛程式LiteSpeed Cache，但最近開發商修補的重大層級漏洞CVE-2024-28000，已有實際攻擊行動出現。</p> <p>由於此外掛程式全球有超過500萬個網站採用，但事隔一週仍有近4成尚未修補而成為駭客下手的目標。值得留意的是，該外掛程式今年已二度遭遇大規模漏洞攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164736"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</span></strong></a></p> <p>本週SASE供應商Versa Networks發布了一則不太尋常的資安公告，提及SD-WAN管理主控臺Versa Director的高風險遭到APT駭客利用，他們將協助客戶儘速緩解漏洞。</p> <p>值得留意的是，該公司已於6月下旬發布修補程式，但為何事隔2個月特別發布資安公告？很有可能與近期電信業者Lumen公布相關攻擊事故有關，Lumen指出，這項漏洞在Versa修補之前就遭到利用。</p> <p><a href="https://www.ithome.com.tw/news/164763"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</span></strong></a></p> <p>為了避免端點防護系統干擾勒索軟體加密檔案，最近2至3年，駭客利用含有弱點的驅動程式來達到目的，其中一款名為PoorTry的惡意驅動程式，最近引起研究人員高度關注。</p> <p>研究人員特別提及，此惡意驅動程式也納入了資料破壞軟體（Wiper）的功能，而能刪除EDR系統的EXE、DLL元件，使其無法再度運作。</p> <p><a href="https://www.ithome.com.tw/news/164780"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</span></strong></a></p> <p>本月初美國網路安全暨基礎設施安全局（CISA）針對臺廠陞泰科技（Avtech）旗下的視訊監控攝影機漏洞提出警告，並指出廠商尚未提供修補程式，但已有攻擊行動出現。究竟該漏洞如何被用於攻擊，通報此事的資安業者最近透露更多資訊。</p> <p>他們提及駭客用來植入殭屍網路病毒Corona Mirai的情況，而這是約自2020年出現的Mirai變種病毒。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：3個</p> <p>CVE-2024-7262 ／ WPS Office漏洞（今年3月悄悄修補且未公開有攻擊行動，2024年8月28日ESET對外示警）<br /> CVE-2024-7971 ／ Chrome V8漏洞<br /> CVE-2024-7965 ／ Chrome V8漏洞</p> <p>本星期已知漏洞遭利用：2個</p> <p>CVE-2024-38856／ Apache OFBiz漏洞（8月5日公開，8月28日警告已遭利用）<br /> CVE-2024-28000／ WordPress外掛程式LiteSpeed Cache漏洞（8月21日公開，事隔一週兩家資安業者警告已遭利用）</p> </div></div></div>
2024/9/2 10:01作者羅正漢https://www.ithome.com.tw/news/164797
俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google威脅分析小組（Threat Analysis Group，TAG）近日<a href="https://blog.google/threat-analysis-group/state-backed-attackers-and-commercial-surveillance-vendors-repeatedly-use-the-same-exploits/" target="_blank">揭露</a>，他們在一個利用蒙古政府網站展開水坑攻擊的活動中，發現了俄羅斯駭客APT29所使用的攻擊工具非常類似商業監控業者（Commercial Surveillance Vendors，CSV）Intellexa與NSO Group所開發的攻擊程式，而且就算這些零日（Zero-Day）攻擊程式已變成N日（N-Day）攻擊程式，還是能有效攻擊那些尚未修補的受害者。</p> <p>TAG分別是在去年的11月、今年的2月，以及今年7月觀察到相關攻擊行動。駭客先是危害了蒙古國的官網及外交部網站，再於網站上植入了鎖定iPhone（CVE-2023-41993）及Android（CVE-2024-5274及CVE-2024-4671）漏洞的攻擊程式，藉由水坑攻擊以竊取受害者的憑證Cookie。</p> <p>由於此次的駭客與2021年利用CVE-2021-1879漏洞來攻擊西方政府官員的俄羅斯駭客APT29，都採用了同樣的Cookie竊取框架，使得TAG認為他們是同一批人。</p> <p>此外，TAG還發現駭客在去年11月及今年2月攻陷CVE-2023-41993漏洞的攻擊程式，與Intellexa所開發的攻擊程式非常相似，而在今年7月攻陷CVE-2024-5274的攻擊程式則與NSO Group所開發的很像，所打造的CVE-2024-4671攻擊程式也是從Intellexa的CVE-2021-37973攻擊程式而來。</p> <p>APT29所使用的攻擊程式都經過了微幅修改，但與Intellexa或NSO Group的攻擊程式最大的不同在於，最初這些攻擊程式都是利用零日漏洞，而在APT29使用時，這些漏洞都已被修補，已成為N日漏洞。</p> <p>TAG表示，他們並不確定APT29如何取得相關的攻擊程式，但企圖彰顯這些由商業監控業者所開發的攻擊程式終究會淪落到國家級駭客的手上，此外，水坑攻擊依然是利用N日漏洞的有效途徑，可大規模地針對那些可能沒有修補的使用者進行攻擊。</p> <p>NSO Group與Intellexa都專門開發商業間諜軟體，已分別在<a href="https://www.ithome.com.tw/news/147654" target="_blank">2021年</a>11月及<a href="https://www.state.gov/the-united-states-adds-foreign-companies-to-entity-list-for-malicious-cyber-activities-2/" target="_blank">去年</a>7月被列入美國《實體名單》（Entity List），美國政府認定它們參與惡意網路活動，禁止美國個人及業者與其交易。</p> </div></div></div>
2024/8/30 13:46作者陳曉莉https://www.ithome.com.tw/news/164777
Android支援16 KB分頁大小，可提升系統效能約5-10％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google預計在之後Android版本支援<a href="https://android-developers.googleblog.com/2024/08/adding-16-kb-page-size-to-android.html">16 KB分頁大小（Page Size）</a>，相較於過去僅支援標準的4 KB分頁大小，這是一項重大更新，官方指出，支援16 KB分頁大小雖會增加約9％記憶體使用量，但也將帶來5-10％系統效能提升。</p> <p>目前由於還沒有量產16 KB分頁大小的Android裝置，因此Google會先在Android 15提供開發者選項和x86_64模擬器支援，鼓勵開發者先做好準備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0826-android-16KB.png" style="width: 263px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>為了提升作業系統整體效能，Google在Android 15增加支援16 KB分頁大小，這也會是第一個支援16 KB分頁大小的Android版本。由於ARM架構處理器在設計時考慮多種分頁大小，因此Android要支援16 KB分頁大小，主要是為了適應ARM的功能。分頁是作業系統管理記憶體的基本單位，大多數現代CPU都是支援4 KB分頁大小，因此過去Android作業系統和應用程式也都是針對4 KB分頁大小最佳化。</p> <p>大多數CPU中處理器具有一個稱為記憶體管理單元（Memory Management Unit，MMU）的硬體元件，負責管理虛擬記憶體和實體記憶體間的地址轉換，而這種轉換與分頁大小密切相關，當應用程式需要更多記憶體的時候，作業系統就需要介入，並填寫分頁表格條目，將記憶體分配給程序。</p> <p>所以當Android支援的分頁大小從4 KB增至16 KB，分頁大小增至4倍，記憶體分配的管理工作量也就相對應降低，這讓系統可以把更多時間用於運算影片、遊戲和作業系統等工作。Google特別說明，分頁大小與處理器32位元/64位元模式的應用程式二進位介面（Application Binary Interface，ABI）概念不同。</p> <p>ABI涉及處理器位寬，直接影響應用程式存取和操作資料的方式，而分頁大小是作業系統管理記憶體的策略，所以當應用程式調整為不依賴特定分頁大小，同一個應用程式的二進位檔案，就可以在支援4 KB和16 KB分頁大小的裝置上運作。Google重新設計了Android 15的底層，因此開始能夠支援不同頁面大小運作，以實現分頁大小無關性。</p> <p>分頁大小的變動牽涉範圍廣泛，涵蓋作業系統、檔案系統、記憶體管理和Linux核心等層面，而對Android開發者來說，應用程式的程式碼和相依項目都需要重新編譯和調整，才能在相容於16 KB分頁大小的裝置上正確運作，而且因為大多數應用程式和SDK原生程式碼是針對4 KB分頁建置，需要重新對齊，確保相容4 KB和16 KB裝置。</p> <p>從Android 15 QPR1 Beta版本開始，Pixel 8和Pixel 8 Pro將提供開發人員選項，可切換16 KB和4 KB分頁大小。針對16 KB頁面建置的應用程式，只需使用不同Linux核心，相同二進位檔案就能適用於4 KB和16 KB。因此Google加入一種包含額外Linux核心的方法，運用增量壓縮方法，每個分頁大小的核心版本約占12-16 MB。另外，即便開發者沒有ARM裝置，現在也可以在x86_64模擬器，以4 KB模式模擬16 KB分頁大小支援。</p> </div></div></div>
2024/8/26 15:55作者李建興https://www.ithome.com.tw/news/164690
Android惡意程式重導引NFC流量新手法竊取支付卡資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商ESET<a href="https://www.welivesecurity.com/en/eset-research/ngate-android-malware-relays-nfc-traffic-to-steal-cash/" target="_blank">發現</a>一樁竊取錢財惡意程式新手法，可透過重導引NFC通訊流量，將受害者Android手機上的支付卡資訊傳送給駭客。</p> <p>ESET研究人員發現，3家捷克銀行客戶遭到這前所未見新手法的攻擊。攻擊者使用一個名為NGate的惡意程式，將受害者的實體支付卡資料（如金融卡），由安裝NGate的Android智慧型手機利用NFC通訊，傳送給攻擊者控制的手機。攻擊者取得卡片資料後即可執行ATM交易。若這方法失敗，攻擊者還有備援計畫，可以從受害者帳戶傳到其他人的帳號。由於攻擊手法使用了NFCGate的NFC流量分析開源工具，研究人員因而將惡意程式命名為NGate。</p> <p>ESET團隊首先在2023年11月底前觀察到知名捷克銀行客戶遭到NGate的釣魚攻擊。駭客透過設立冒充銀行帳號的網站或假冒官方行動銀行App散布，傳送退稅的釣魚簡訊給知名銀行用戶，誘使用戶下載號稱能退稅的App，實則為NGate。接著，駭客又冒充知名銀行行員打電話給用戶通知帳號被駭，要求用戶前往其提供的連結重設銀行密碼。NGate趁機在用戶重設帳密過程中，竊走受害者銀行支付卡資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0826-NGate%20Android%20malware-ESET-2.png" style="width: 331px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／ESET</span></span></p> <p>NGate對Android用戶的攻擊在2024年3月因主謀被捕而終止。期間有三家捷克銀行客戶受害，研究人員共發現6隻不同的NGate App變種，但受害人數不明。所幸NGate從未在Google Play Store市集上架，減少了可能的受害者規模</p> <p>研究人員指出，NGate使用了創新Web技術PWA和WebAPK來冒充銀行網站。PWA從釣魚網站開啟時會模倣合法應用程式，只是加了個小的瀏覽器圖示。NGate開啟時，即冒充銀行網站要求用戶輸入登入帳密。WebAPK則是PWA的進階版；它是由Chrome瀏覽器自動產生，但比PWA更像原生Android App，且沒有瀏覽器圖示，更容易瞞騙用戶。</p> <p>NGate除了冒充銀行App外，還具有NFCGate的工具。後者來自德國達特茅斯理工大學學生，原始用途是蒐集、分析和變更NFC流量的程式，它會將Android裝置的NFC訊號，透過伺服器傳送到另一臺模擬Android裝置的機器。在安裝NGate程式的機器上，可以蒐集、傳送／重導引或在另一臺機器上模倣、重播截取到的資料，其中重導引功能可以在未被root（刷機）的Android裝置上執行。NGate程式濫用其中的重導引NFC流量功能，且誘使用戶輸入銀行帳號、出生日期和支付卡密碼，並要求他們啟用手機NFC傳輸功能，還要受害者將支付卡放在Android手機背面直到NGate App完成「認證」。</p> <p>而這些動作讓攻擊者取得了所有必要的資訊，而得以在其持有的Android手機上複製受害者支付（金融或信用）卡，並從ATM提出金錢或執行交易。</p> <p>因此這次攻擊讓駭客有二種方法竊取受害者錢財。如果NFC資料傳送未成功，攻擊者可以用取得釣魚網站的資訊存取受害者網銀帳戶，調高匯款上限或轉帳到其他帳戶。但一旦NFC資料傳送成功，駭客即不需連回受害者帳戶，也不會留下攻擊跡證。</p> <p>研究人員補充，NGate惡意程式還能讓惡意人士從事其他攻擊，特別是他能接近受害者裝置時，像是複製NFC標籤或支付卡，但是先決條件是目標裝置只能在刷機過，或是客製Android裝置。</p> </div></div></div>
2024/8/26 11:51作者林妍溱https://www.ithome.com.tw/news/164685
Google推出Google Essentials，將把自有App整合進Windows PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-play/google-essentials-windows-pcs/" target="_blank">Google公布</a>新推出的Essentials App，整合Photos、Messages等自有服務存取入口於單一App，並可同步手機和PC，透過內建到HP等合作夥伴PC，將自己的App推向Windows PC。</p> <p>Google 2022年首先<a href="https://support.google.com/googleplaygamesonpc/answer/11358888?hl=zh-Hant" target="_blank">宣布</a>將Google Play遊戲App內建到Windows PC中，最新的Essentials則是此策略的最新進展。Google說，Essentials讓用戶在設定新PC時，更容易找到並安裝Google自有服務。</p> <p>Essentials會首先內建在HP Windows消費者及遊戲機種，包括Spectre、Envy、Pavilion、OMEN、Victus和HP品牌，不久後又會推向所有OmniBook品牌。這些PC用戶可以從開始選單啟用Essentials，輕易在手機和筆電之間切換。</p> <p>利用Google Essentials，用戶可存取Google服務，像是存取Photos中的相簿，或是Google Messages的文字訊息。Google沒有說明完整的清單，不過Google示意圖顯示，包含Photos、Sheets、Drives、Nearby Share、與Google One（包含新用戶二個月免費服務）。</p> <p>另外，Essentials也允許跨平臺同步應用程式內容。例如在遊戲PC上，從Google Essentials或HP OMEN Gaming Hub App，用戶可直接存取Play Games上的數千款PC和手機遊戲。只要登入Google Play Games帳號，即在Android及Windows PC裝置上同步數款遊戲進度或積分。</p> <p>透過Essentials，Google顯然希望能把過去只能在桌機瀏覽器執行的服務搬到桌機上。不過Google表示用戶也可以自由移除Essentials。Google說，未來幾個月內會積極將Essentials推向更多筆電和桌機系列。</p> </div></div></div>
2024/8/26 10:11作者林妍溱https://www.ithome.com.tw/news/164682
【資安日報】8月23日，協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與人工智慧互動、協作已是許多民眾日常不可或缺的部分，許多企業的應用系統也開始納入相關功能，然而一旦這類機制若是存在弱點，同樣可能成為駭客大肆利用的對象。</p> <p>最近研究人員公布協作平臺Slack的AI機器人漏洞，就是這樣的例子，攻擊者可在無須取得相關權限的情況下，得到私人頻道的內容，從而達到竊取機密的目的。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164654"><strong style="font-size: 22px;">中國駭客Velvet Ant濫用思科交換器零時差漏洞，目的是隱匿攻擊蹤跡</strong></a></p> <p>上個月思科公布網路設備作業系統NX-OS的零時差漏洞CVE-2024-20399，此為命令注入漏洞，攻擊者可在通過身分驗證的情況下，在本機以root的權限，於目標裝置的底層作業系統執行任意命令，早在4月，就接到其他廠商通報出現漏洞濫用攻擊，最近這家資安公司的研究人員公布利用漏洞的攻擊行動細節，並指出駭客得逞後，會在交換器部署後門程式VelvetShell。</p> <p>Sygnia是在今年初看到這些駭客利用漏洞破壞、控制思科交換器設備，而能在受害企業以近乎隱形的方式從事活動。由於這項漏洞能讓可存取主控臺的管理者逃脫NX-OS的命令列介面（CLI），並在底層的Linux作業系統執行命令，這些駭客一旦成功利用漏洞，就會部署名為VelvetShell的惡意軟體，駭客以公開的後門程式Tiny Shell及代理伺服器程式3Proxy打造而成，具備執行命令的功能，並讓駭客能上傳或下載檔案，還能透過代理伺服器機制建立網路隧道，進而隱匿攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/164651"><strong style="font-size: 22px;">資安研究人員示警FakeBat惡意軟體活躍度升高，探測受害電腦環境散布竊資軟體</strong></a></p> <p>資安研究人員近期發現，透過惡意廣告傳播的惡意軟體FakeBat（NUMOZYLOD），在全球活躍度不斷上升，導致感染案例增加，企業資安人員應該提高警覺。FakeBat在2023年被Mandiant發現，是一種具有威脅的新興惡意軟體。</p> <p>隨著網路攻擊手法不斷演進，FakeBat已成為無法忽視的惡意軟體。FakeBat具有多樣化攻擊方式和高隱蔽性的特性，使其能繞過傳統的安全防護措施，對企業資料產生安全風險。FakeBat入侵的第一步，通常是從被植入木馬的MSIX安裝程式開始，代號UNC4536的惡意攻擊團體，會將MSIX檔案偽裝成受害者常用的軟體，諸如Brave、KeePass、Zoom和Notion等，並將其託管於偽裝合法的惡意網站上。</p> <p>惡意安裝程式會利用MSIX的PSF（Package Support Framework）來執行惡意腳本，這些腳本在應用程式啟動前後執行，進而將FakeBat下載到被害者的電腦。這種方式讓FakeBat能夠隱藏在看似無害的軟體安裝過程，並在使用者不知情的情況進行惡意活動。</p> <p><a href="https://www.ithome.com.tw/news/164657"><strong style="font-size: 22px;">中國對臺認知作戰升級，盜取飛官、航空公司員工的社群網站帳號抵毀國軍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dc8f86fd975e4c63a33f9120050644f2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dc8f86fd975e4c63a33f9120050644f2.png" style="width: 300px; float: right;" /></a></p> <p>今年5月總統賴清德走馬上任不久，23日有名自稱已服役14年的飛官表明決定退伍，不想再賭5年，要將時間留個家人，隔日有另一名飛行員向總統陳情，並指出隊上10個人就有9個想要離開，由於這兩篇Dcard文章都是匿名發文，時間又發生在總統就職之後，引發外界猜測文章的真實性，6月初台灣事實查核中心指出這些貼文的諸多疑點，例如根據發文者帳號的學校資訊，空軍查無此人，也沒有飛官選擇在服役13年賠錢提前退伍。但在這段期間，除了空軍出面澄清這些文章都是不實訊息，政府並未出面進一步說明。</p> <p>事隔3個月，本週調查局發布公告，證實這是境外勢力對臺灣認知作戰，並警告這次手法出現重大變化，駭客先是入侵臺灣網路設備，從而竊得社群網站帳號，然後用來散布不實訊息詆毀國軍，再由駭客控制的中國臉書粉絲專頁、人頭帳號轉載，企圖重創國軍士氣，並嚴重危害國家安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://udn.com/news/story/7240/8179051"><strong style="font-size: 20px;">PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-ngate-android-malware-uses-nfc-chip-to-steal-credit-card-data/">安卓惡意軟體NGate濫用NFC晶片竊取信用卡資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2024/08/22/qilin-ransomware-caught-stealing-credentials-stored-in-google-chrome/">勒索軟體Qilin改變攻擊標的，竊取Chrome帳密資料</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164648"><strong style="font-size: 22px;">協作平臺Slack遭揭露AI功能有漏洞，可能導致私人頻道機密資料外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a9415aef-9515-42c6-836a-546644026830_1600x630.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a9415aef-9515-42c6-836a-546644026830_1600x630.jpg" style="width: 300px; float: right;" /></a></p> <p>過往已有數起資料外洩事故駭客鎖定企業組織的協作平臺Slack下手而得逞，攻擊者往往藉由社交工程手段，成功存取機密內容，但如今有研究人員發現，該系統後來加入的人工智慧系統存在漏洞，恐加劇相關威脅，因為攻擊者在不需得到相關權限的情況下，可藉此竊取機密資料。</p> <p>資安業者PromptArmor指出，提供使用者透過自然語言查詢Slack訊息的AI功能存在缺陷，使得攻擊者有機會透過操縱用來生成內容的語言模型，竊取使用者輸入私人頻道的任意內容。</p> <p>針對這項問題的核心，該資安業者表示此為間接提示注入（Indirect Prompt Injection）弱點，原因是對於開發人員產生的系統提示，以及查詢的內容，大型語言模型（LLM）無法正確區分，一旦Slack的AI機器人透過查詢的訊息取得惡意指令，很有可能會認為惡意指令才是必須處理的內容，但不一定會處理使用者的查詢。</p> <p><a href="https://www.ithome.com.tw/news/164652"><strong style="font-size: 22px;">SolarWinds發布服務臺系統WHD更新，修補寫死密碼漏洞</strong></a></p> <p>本週SolarWinds針對服務臺系統Web Help Desk（WHD）發布資安公告，指出該系統存在寫死帳密漏洞CVE-2024-28987，未經身分驗證的攻擊者有機會遠端存取內部功能或是竄改資料，CVSS風險評分為9.1，該公司發布12.8.3 HF2版予以修補。</p> <p>值得留意的是，IT人員若要套用修補程式，必須將服務臺系統更新至12.8.3.1813或12.8.3 HF1版，才能部署。</p> <p>而這已是本月SolarWinds二度對WHD發布資安公告，一週前他們修補另一項遠端程式碼執行漏洞CVE-2024-28986，CVSS風險評分為9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.armosec.io/blog/cve-2024-7646-ingress-nginx-annotation-validation-bypass/">K8s外部存取控制器Ingress-nginx存在身分驗證繞過漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://spring.io/security/cve-2024-38810">應用程式存取控制框架Spring Security存在漏洞，恐導致未經授權存取</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://hitcon.org/2024/CMT/agenda/"><strong style="font-size: 22px;">HITCON Community 2024在今明兩天舉行</strong></a></p> <p>台灣駭客年會社群場HITCON Community 2024這兩天於中央研究院人文社會科學館舉辦，今年將以20 Years Of HITCON：Mind Meld Hacker Spirit From Human To AI為主題，探討技術本質與駭客攻擊手法及思維，並安排超過50個首度公開的零時差漏洞研究議程，其中逾半數為國外講者，突顯這項會議已走向國際化。</p> <p>值得一提的是，本次適逢台灣駭客年會成立20週年，與會者可見證這個世界級資安研究重要會議的發展，以及智慧型裝置、雲端運算、網路戰爭的出現，大會也強調駭客精神的本質及初衷始終不變，將會引領社群持續前進。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164632"><strong>【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164608"><strong>【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164586"><strong>【8月20日】駭客散播可呈現仿造OS更新畫面的執行檔，背後卻是在電腦偷資料</strong></a></p> </div></div></div>
2024/8/23 15:33作者周峻佑https://www.ithome.com.tw/news/164662
義大醫院啟動體系IT大轉型，力擁容器微服務和雲端技術
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「屏東義大醫院預計2025年7月開始營運！」義大醫院資訊部資深協理莊博昭開門見山地說，他們正如火如荼籌備義大醫院新院區的醫療系統，同時也肩負一項重要任務，執行義大醫療體系次世代醫院資訊系統開發的大規模IT轉型專案。</p> <p><span style="font-size:28px;"><strong>30年IT工具太老舊，資料取得也要更即時</strong></span></p> <p>這個轉型大工程，涵蓋了90幾套的醫院臨床系統和行政系統，主打上雲、容器、微服務、中臺等技術亮點。義大醫院去年啟動這項專案，不單為了新院區營運，還因為長期以來的IT痛點。</p> <p>莊博昭指出，義大醫院原有IT系統採主從式架構，用來打造醫療應用的主要開發工具，是1994年版的PowerBuilder，距今有30年了。也因此，該工具開發出來的應用，無法支援支iOS、Android等行動平臺，連醫療場景常見的條碼讀取都難以支援，「對醫療IT發展有很大的局限。」</p> <p>再加上，當初的醫療系統是為財務和記帳設計，不利於近年興起的細緻化醫療資訊記錄和AI大數據分析應用。這導致，醫院要進行分析時，得先耗費原本有限的IT人力和大量時間來清洗資料，才能進行後續研究，大幅影響資料取得的即時性。</p> <p>「於是我們思考，為什麼不在源頭就把資料處理好？」他說。</p> <p><span style="font-size:28px;"><strong>轉型重點1：打好資料處理基礎</strong></span></p> <p>為解決這個痛點，他們規畫新系統時，聚焦資料處理基本功，先將所有資料分為3階層，包括健保申報類的日常交易資料、BI應用類的分析用資料，以及供AI研究用的資料，再設置相應的處理機制。</p> <p>以AI研究用資料為例，為加速資料的取得，他們要做3件事，一是將這類資料歸戶，二是在源頭確保資料一定程度的乾淨可用，如統一資料標準和格式，三是建置隨選隨用（On-demand）自動化工具來清洗資料，不必仰賴IT手動處理。甚至，這類自動化工具還要能彈性調度算力，來滿足使用者運算需求。</p> <p>有了資料處理基礎，下一步就能將AI研究的所有流程串起來，從研究計畫、IRB人體研究倫理委員會審核申請，再到資料清洗、模型訓練、測試、調校等流程都整合到單一平臺上，使整體流程更順暢。</p> <p>這是義大醫院要藉重建資料處理機制，優化後續應用的其中一例。莊博昭點出，這個重建範圍不限於臨床系統，還包括行政系統，要在這次轉型一口氣改善資料處理架構。</p> <p><span style="font-size:28px;"><strong>轉型重點2：建置中臺來實現資料歸戶</strong></span></p> <p>另一大轉型重點，則是資料歸戶，也就是將醫院產生的各種病患資料，一一歸戶到每一位病人的帳戶中，而不是分散儲存於門診、急診、住院等系統，又或是不同院區的系統中。</p> <p>義大醫院推動資料歸戶有幾個原因，首先是醫院服務範圍廣泛，涵蓋生老病養，因此將資料歸戶，才能以病人為中心，更好地照護患者。再者，以病人為中心的IT設計，也更符合衛福部推動的政策方向。</p> <p>此外，義大醫院各分院的距離不遠，病人常到不同院區看診。這時，在不同院區看診的醫生，就能因資料歸戶來查看病人的完整就醫歷程。但這也意味著，「資料歸戶必須要即時。」莊博昭舉例，假設病人在義大醫院總院看完診，接著到義大醫院大昌分院看另一診，這兩間醫院車程只需20分鐘，就代表資料歸戶至少要在20分鐘內完成，才能讓分院醫生即時了解病人就醫記錄。這個資料歸戶即時性，也是打造新系統的一大重點。</p> <p>他們實現資料歸戶的方式，則是靠「ESB資料中臺架構。」採取企業服務匯流排（ESB）的軟體架構，建立一套標準化的協定和資料交換標準，來簡化內部應用的整合。義大也計畫用這個架構，來建立資料中臺或服務中臺，將四散各處的資料或服務串聯起來。就算是第三方系統，也不必另外改寫，透過統一的資料標準API，就能介接、交換資料，在資料的運用上更靈活，也能達到資料歸戶的目的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-CIO-600-2.jpg" style="width: 500px;" /></p> <p><strong style="color: rgb(51, 153, 255); font-size: 24px;">談及是否押寶開發生成式AI應用，義大醫院資訊部資深協理莊博昭點出，站在巨人肩膀上才能走得更遠，待領先者出現成熟穩定的應用模式後，再當使用者即可。</strong></p> <p><span style="font-size:28px;"><strong>轉型重點3：用雲</strong></span></p> <p>義大醫院次世代醫療資訊系統的另一大亮點，還有「上雲」。</p> <p>這是因為，上雲可帶來集中式管理的好處。義大醫院對這個議題並不陌生，早在2016年9月大昌分院正式營運時，就以義大醫院做為集中式架構，來設計機房，分院只需導入一些必要系統，啟用網路後，就能透過遠端連線來共用義大醫院IT資源，取得各項醫療系統服務，如資料庫的資料交換、醫學影像存取等。</p> <p>延續這個集中管理策略，現在，義大醫院打算將各院區共通性的系統上雲，來更精簡各分院所需管理的IT設備和維護人力，同時避免各分院發展出更多個別做法，衍生出後續管理問題。</p> <p>再來，上雲還有雲地備援的好處。莊博昭表示，傳統備援的做法，是由每家分院各自有一套備援系統，「這是高度重複的投資。」將分院共通性系統上雲，就能解決這個問題。</p> <p>對義大醫院來說，上雲還有資安的考量。這幾年，資安一直是義大醫院IT競競業業對待的議題，「我們發現，將服務搬遷上雲，反而能成為另一種形式的防火牆。」莊博昭解釋，資安攻擊通常從醫院外部服務下手，若將這些服務上雲，將內部核心作業留在地端，外部再怎麼攻擊，也只限於雲端，不會影響地端日常維運的核心業務。</p> <p>他們第一波上雲的系統，包括了醫院行政系統、醫院對外服務，以及即時性不高的共通性服務，如申報與保險業務等。另考量南部網路基礎建設，臨床業務相關的系統和服務則會先留在地端，避免網路斷線時，核心業務因此中斷的問題。</p> <p>除了這些系統和服務，莊博昭還希望將醫療影像儲傳系統（PACS）上雲。因為，PACS儲存大量的醫學影像，調閱頻率卻不高，通常是影像拍攝後的門診追蹤或手術前才會調閱查看，「這些影像可能一季之後，就成為冰凍資料了。」後續再被調閱的目的，也多是為了分析研究，因此考量儲存空間，莊博昭認為，上雲是較好的策略。</p> <p>他想將PACS上雲的另一個原因，是要預防勒索病毒。由於醫院的PACS廠商大多提供CIFS網路檔案系統，而義大醫院最常面臨的勒索病毒威脅，就屬CIFS類型。若將PACS上雲，改用S3檔案格式，「基本上可以不必擔心勒索病毒。」但莊博昭也表示，PACS能否上雲，還需要多方面的配合和討論。</p> <p><span style="font-size:28px;"><strong>轉型重點4：擁抱標準</strong></span></p> <p>除了上雲，義大醫院這次轉型，還要導入國際醫療資料標準，包括國際醫療資料交換標準FHIR、臨床醫學術語系統SNOMED CT，以及檢驗醫學及臨床觀測指標編碼LOINC。</p> <p>就FHIR來說，義大醫院原本想將所有病歷資料，都改以FHIR標準儲存。但幾經討論，決定改為2種做法，即醫院內部病歷資料的產製仍採既有標準，對於院外的資料交換情境，如跨院區資料交換、與政府單位交換資料，再轉為FHIR格式進行。</p> <p>至於醫院有許多醫療儀器，這些儀器產生的數據，也有各自的標準。莊博昭點出，義大醫院使用的醫療設備，大多支援FHIR標準，因此在標準轉換上，並不吃力。</p> <p>另一方面，義大醫院的臨床數據中心和醫療研究部也正研究SNOWMED CT和LOINC導入可行性，將作為未來病歷登載的標準。莊博昭指出，這種在源頭將資料標準化的就源管理，有利於資料清洗，減少人工額外處理。而且，統一標準介接資料還能擴展研究樣本資料量，日後要進行統計分析或發展機器學習、深度學習應用，也就更有意義。</p> <p><span style="font-size:28px;"><strong>融入敏捷開發精神，組織架構也要轉型</strong></span></p> <p>「這個專案有很大的時程壓力，」莊博昭坦言，效率和務實也因此成為核心原則。在效率部分，義大醫院找來外部廠商協助開發，採敏捷開發模式，透過IT分組，每天與業務小組討論、動態修正，快速定版，並在近期進入程式開發階段。</p> <p>而務實部分，則是指不做太多的流程再造。莊博昭認為，義大醫院營運至今20年，大多數流程已發展穩定。因此，團隊只需針對公認不佳的流程，重新修正，用最短的時間達到目標即可。</p> <p>他也透露，這次轉型不只是IT系統和部分流程，組織架構也要一併轉型。比如IT部門自己就要調整為水平式開發組織，而所謂水平式開發，是指跨功能或模組進行開發，有別於垂直式開發，更聚焦整體系統的橫向擴展和功能發展，IT部門將依此分組調整。</p> <p><span style="font-size:28px;"><strong>觀點：當個醫療GenAI使用者</strong></span></p> <p>談及這個轉型工程，莊博昭花了許多力氣說明資料處理的基本功，卻鮮少說起醫療AI發展規畫，又或是國內外各大醫院爭相擁抱的生成式AI應用。</p> <p>因為，在他看來，任何AI研究和應用，都得從最基本的資料處理開始。唯有打通資料處理通道，才能發展出高品質的AI應用，這正是他與團隊聚焦的重點領域。</p> <p>至於生成式AI在醫療的應用，莊博昭表示，義大醫院曾在GenAI興起初期嘗試不同的場景應用，但考量所需投入的資源和作業成本，便決定先觀望，待其他領先者醫院嘗試出成熟的應用模式後，再來當使用者即可。「不一定每件事都要自己從零開始建，站在巨人肩膀上才能走得更遠，」他說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>義大醫院資訊部資深協理莊博昭</strong></p> <p>學歷：高雄科技大學資管碩士畢業</p> <p>經歷：自1997年加入義大集團旗下燁聯鋼鐵公司資訊部，並於2002年參與義大醫院籌備，先後擔任了課長、副處長、經理與協理等IT職務。過去主導義大醫院IT規畫與建置，近年來負責打造連鎖醫院IT新架構，並自2023年開始執行義大醫療體系次世代醫院資訊系統開發專案</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-CIO-300.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>義大醫療財團法人義大醫院</strong></p> <p>●地址：高雄市燕巢區角宿里義大路1號</p> <p>●網址：<a href="http://www.edah.org.tw">www.edah.org.tw</a></p> <p>●成立時間：2004年</p> <p>●主要業務：醫療服務、長照服務、產後護理</p> <p>●員工數：約4,000人</p> <p>●創辦人暨董事長：林義守</p> <p>●義大醫院院長：杜元坤</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●直屬主管：行政中心行政長洪誌隆</p> <p>●資訊部門主管姓名：莊博昭</p> <p>●資訊部門人數：53人</p> <p>●資訊部門分工：臨床資訊系統開發、行政資訊系統開發、基礎建設維運</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2011年：導入VMware虛擬化技術、採用第2代心導管影像系統（CATH）</p> <p>●2012年：建置義大營養照護資訊平臺</p> <p>●2013年：採用園區架構建置第2座資訊機房，導入APC機房解決方案，護囑系統上線</p> <p>●2014年：病人輸血管理系統ICD-10上線、PowerBI導入</p> <p>●2015年：核心資料庫由Unix移轉至x86 Linux，加入記憶體式運算技術，導入快閃儲存系統，儲存系統改採iSCSI架構，多機構MIS、HIS系統上線，完成建置Infinitt PACS系統</p> <p>●2016年：建置體系私有雲，體系三家醫院互為備援，資料備份進中華電信Hi-cloud S3雲端儲存</p> <p>●2017年：建置第四套APC機房</p> <p>●2018年：行動行政系統、行動巡房系統上線，加入HI-SAC</p> <p>●2019年：行動資產管理系統獲SNQ標章</p> <p>●2023年：建置Azure混合雲，義大醫療次世代醫院資訊系統開發專案啟動</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-cio-960-v2.jpg" width="960" height="420" alt="" title="義大醫院資訊部資深協理莊博昭" /></div></div></div>
2024/8/23 06:00作者王若樸https://www.ithome.com.tw/people/164614
【資安日報】8月21日，PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩個月前臺灣資安業者戴夫寇爾揭露的PHP漏洞CVE-2024-4577，當時提到使用正體中文、簡體中文、日文語系的視窗作業系統用戶會受到影響，如今傳出實際資安事故，本週有資安公司指出臺灣有大學因為這個漏洞未修補而遭到攻擊，被駭客植入後門程式。</p> <p>值得注意的是，他們發現有多組人馬嘗試找尋下手目標的情況，這代表相關攻擊行動將會接連出現。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164597"><strong style="font-size: 22px;">臺灣有大學遭到PHP漏洞攻擊，駭客在受害主機植入後門程式</strong></a></p> <p>今年6月臺灣資安業者戴夫寇爾（Devcore）揭露PHP程式語言重大層級漏洞CVE-2024-4577，這項漏洞存在於CGI參數而有可能被用於注入攻擊，CVSS風險評分達到了9.8（滿分10分），如今傳出實際的攻擊行動。</p> <p>資安業者賽門鐵克昨天（8月20日）揭露針對臺灣一所大學院校的後門程式Msupedge攻擊行動，而這支後門程式的感染途徑，很有可能就是利用前述漏洞而得逞。值得留意的是，研究人員發現有多組人馬正在尋找存在相關弱點的系統，而對於攻擊者的身分及動機，他們表示並不清楚。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://cyberint.com/blog/research/meet-uuloader-an-emerging-and-evasive-malicious-installer/"><strong style="font-size: 20px;">惡意程式UULoader被用來散布Gh0st RAT、Mimikatz</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.kandji.io/blog/todoswift-disguises-malware-download-behind-bitcoin-pdf">惡意程式TodoSwift鎖定macOS用戶，駭客宣稱提供比特幣與PDF應用程式散布</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164601"><strong style="font-size: 22px;">供用戶贊助經營者的WordPress外掛程式GiveWP存在重大漏洞，10萬網站逾半數曝險</strong></a></p> <p>專注於WordPress網站安全的資安業者Wordfence指出，他們在今年5月下旬接獲通報，得知提供用戶向網站所有者進行捐款的外掛程式GiveWP存在重大層級漏洞CVE- 2024-5932，未經身分驗證的攻擊者有機會藉由注入PHP物件觸發漏洞，利用屬性導向程式（Property Oriented Programming，POP）攻擊鏈遠端執行任意程式碼（RCE），或是刪除任意檔案，此弱點的CVSS風險評分達到10分（滿分為10分），影響3.14.1版以前的GiveWP，軟體開發商已於8月7日發布3.14.2版予以修補。由於該外掛程式有超過10萬個網站採用，Wordfence呼籲管理者應儘速套用新版軟體。</p> <p><a href="https://www.ithome.com.tw/news/164604"><strong style="font-size: 22px;">數千個Oracle雲端ERP系統NetSuite組態配置不當，曝露客戶敏感資料</strong></a></p> <p>資安業者AppOmni指出，Oracle旗下的雲端ERP平臺NetSuite廣泛存在用戶配置錯誤的情況，有可能導致敏感的客戶資料在數千個網站上曝露。這項問題存在於名為SuiteCommerce電商網站元件，起因是自訂記錄類型（Custom Record Types，CRT）的存取控制錯誤組態造成。對此，研究人員呼籲，系統管理員應加強CRT項目的存取控制，避免敏感資料的欄位可被公開存取，並考慮將受影響的網站下線，以防止資料外洩的危機。Oracle也針對研究人員的發現引入額外措施，防止資料不慎洩露給未經身分驗證的用戶，他們也提供最佳實作供IT人員參考。</p> <p>根據調查，有數千個公開的SuiteCommerce受到影響。研究人員指出，採用這套ERP系統但無意建置購物網站的企業，很有可能不會注意到系統根據採購情形已設置了預設的庫存網站，而且這個網站還是能夠公開存取。而根據他們的觀察，這些網站最常曝露的敏感資料，就是能夠識別已註冊客戶的個人資料（PII），這當中通常包含完整的地址與行動電話號碼。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cloud.google.com/blog/topics/threat-intelligence/escalating-privileges-azure-kubernetes-services/">研究人員揭露TLS引導攻擊手法，可針對Azure Kubernetes叢集下手</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.talosintelligence.com/how-multiple-vulnerabilities-in-microsoft-apps-for-macos-pave-the-way-to-stealing-permissions/">M365應用程式macOS版存在共通漏洞，攻擊者有機會藉此繞過系統權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/f5-patches-high-severity-vulnerabilities-in-big-ip-nginx-plus/">F5修補BIG-IP、Nginx Plus高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164595"><strong style="font-size: 22px;">安卓版</strong></a><a href="https://www.ithome.com.tw/news/164595"><strong style="font-size: 22px;">Chrome將在共享螢幕時隱藏敏感資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GVLrTUOWsAAg9uZ.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GVLrTUOWsAAg9uZ.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，有研究人員在Canary頻道安卓版Chrome測試版的Flag發現，該瀏覽器會在螢幕共享、螢幕錄製時，以黑色塗蓋敏感內容。根據功能描述，這項功能啟用時，如果Chrome偵測到敏感表格欄位，如信用卡或密碼，在螢幕共享、螢幕錄製或類似動作進行時，整個內容區域會被蓋掉。這功能只支援Android 15（Android V）以上版本的裝置。</p> <p>此功能可提高一般大眾的資訊安全防護。目前只有無痕模式（incognito）才有隱藏敏感資訊的功能。由於現在還在Canary測試版，預計要再等幾周才會部署到Chrome正式版。</p> <p><a href="https://www.ithome.com.tw/news/164491"><strong style="font-size: 22px;">Windows 11 24H2預設啟用BitLocker裝置加密</strong></a></p> <p>從24H2更新開始，全新安裝及重灌Windows 11的個人電腦，若是使用者在安裝過程登入微軟帳號，將會自動啟用BitLocker磁碟加密機制保護資料安全。但企業用戶、透過自動更新機制升級24H2的用戶，以及使用本機帳號登入的用戶，將不會自動啟用BitLocker。</p> <p>微軟打算對個人用戶預設啟用BitLocker的傳聞，大約今年5月出現，並得到微軟證實。但此舉引起用戶反彈，其中最重要的原因，在於用戶若是遺失加密金鑰，將無法存取裝置內的檔案；再者，科技新聞網站Tom's Hardware指出，啟用該機制將明顯降低電腦效能，固態硬碟讀寫速度最多有可能減少45%。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164586"><strong>【8月20日】駭客散播可呈現仿造OS更新畫面的執行檔，背後卻是在電腦偷資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164553"><strong>【8月19日】Google Pixel驚傳內建具有高度權限的第三方元件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164525"><strong>【8月16日】美國總統大選兩大陣營遭伊朗駭客APT42鎖定，駭客進行目標式攻擊</strong></a></p> </div></div></div>
2024/8/21 18:27作者周峻佑https://www.ithome.com.tw/news/164608
Android版Chrome將在共享螢幕時隱藏敏感資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新版Chrome for Android可能讓使用者共享或錄製螢幕時，將密碼等敏感資訊自動塗黑，避免資訊外洩。</p> <p>一名用戶研究在Canary頻道Android版Chrome瀏覽器測試版的Flag<a href="https://x.com/Leopeva64/status/1824779518474612825" target="_blank">發現到</a>，Chrome會在螢幕共享、螢幕錄製時，以黑色塗蓋敏感內容。根據功能描述，這項功能啟用時，如果Chrome偵測到敏感表格欄位，如信用卡或密碼，在螢幕共享、螢幕錄製或類似動作進行時，整個內容區域會被塗蓋掉。這功能只支援Android 5以上版本的裝置。</p> <p>最新功能可提高一般大眾的資訊安全防護。目前只有Chrome的無痕模式（incognito）才有隱藏敏感資訊的功能。由於現在還在Canary測試版，預計要再等幾周才會部署到Chrome正式版。</p> <p>最新功能或許可彌補Chrome用戶資訊的防護不足。今年初Google在無痕模式中<a href="https://www.ithome.com.tw/news/160865" target="_blank">加註</a>警語，告知用戶無痕模式下，Chrome雖然無法儲存用戶上網紀錄、網站cookies和輸入表格資料，但仍然會儲存下載、書籤及讀取的物件清單，且Google、造訪的網站及ISP還是能看到用戶上網行蹤。</p> </div></div></div>
2024/8/21 11:44作者林妍溱https://www.ithome.com.tw/news/164595
Android App漏洞減少，Google 8月底終止Google Play抓漏獎勵計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Android Authority<a href="https://www.androidauthority.com/google-play-security-reward-program-winding-down-3472376/" target="_blank">報導</a>，Google將在8月31日終止Google Play抓漏獎勵方案，理由是重大漏洞已經大幅減少。</p> <p>報導指出，多名開發人員接到Google通知此事。Google指出，隨著Android OS安全態勢愈來愈提升，以及功能強化的努力，由研究社群通報可執行的漏洞逐漸減少。也因此，Google將於8月31日終止GPSRP方案。</p> <p>Google是在2017年和HackerOne及數家應用程式開發商合作啟動Google Play安全回饋獎勵方案（Google Play Security Reward Program，GPSRP），鼓勵安全研究人員追蹤並負責任通報Google Play Store上Android App的漏洞。而經由這方案蒐集到的知識也用於強化Google Play自動化檢測系統，以檢查所有Android App。在此方案下，高風險漏洞如任意程式碼執行（arbitrary code execution）可獲頒1,000到2萬美元的獎勵。而造成資料外洩的漏洞報告，則可獲得500到5,000美元的獎勵。2019年Google將抓漏對象<a href="https://www.ithome.com.tw/news/132737" target="_blank">擴大</a>到Play Store上下載次數超過1億的App。</p> <p>在終止GPSRP之前，研究人員提交的漏洞報告會在9月15日前檢測，而在方案正式結束後，Google將於9月30日前決定最後的獎勵對象，但最後支付需幾個禮拜處理。Google向研究人員保證所有通報的漏洞都會獲得檢視和解決。</p> <p>不過Google其他平臺的抓漏獎勵方案仍會持續，像是Android及Google裝置安全回饋獎勵方案。Google也鼓勵研究人員持續參與。</p> </div></div></div>
2024/8/20 10:52作者林妍溱https://www.ithome.com.tw/news/164559
Google Pixel驚傳內建第三方元件，其弱點恐讓攻擊者控制手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>強調使用原生安卓作業系統的Google Pixel手機，竟被研究人員發現預載第三方應用程式的情況，而且，該程式還具備極高的系統權限，並採用不安全的連線機制，可能成為攻擊者濫用目標，該廠牌這7年製造的手機大部分都可能曝險。這樣的情況，也引起外界高度關注。</p> <p>一般而言，過往有手機預載不安全、甚至是有惡意行為的應用程式，多半出現在中國品牌的手機上，而在國內，4年前電信業者台灣大哥大引進的白牌中國手機Amazing A32被發現在製造過程植入惡意程式，<a href="https://www.ithome.com.tw/news/142100">導致許多用戶的門號被歹徒當作人頭帳號濫用</a>。但如今類似的軟體供應鏈威脅，竟是發生在Google的「親兒子」Pixel手機，引發外界高度關注。</p> <p><a href="https://iverify.io/blog/iverify-discovers-android-vulnerability-impacting-millions-of-pixel-devices-around-the-world">行動裝置資安業者iVerify指出</a>，他們的EDR系統今年初將大數據分析公司Palantir的部分安卓裝置註記為不安全，於是兩家公司與資安顧問業者Trail of Bits聯手調查，結果發現，問題存在於手機韌體預載的應用程式安裝檔Showcase.apk，此檔案存在於從2017年9月之後出廠的Pixel手機（即Pixel 2之後的機種），具備相當多系統權限，一旦啟動，攻擊者有機會用來遠端執行程式碼，或是進行軟體安裝。iVerify指出，國家級駭客很有可能利用這項弱點，充當該廠牌手機的後門。</p> <p>對此，iVerify表示，他們已於5月初通報Google此事，但Google目前未公開揭露，也未發布更新處理。基於Google對於此事的處理情況不透明，Palantir已決定淘汰Pixel手機，並進一步考慮擴大到所有安卓設備。</p> <p>直到iVerify公開此事引起新聞網站<a href="https://www.wired.com/story/google-android-pixel-showcase-vulnerability/">Wired</a>、<a href="https://www.washingtonpost.com/technology/2024/08/15/google-sold-android-phones-with-hidden-insecure-feature-companies-find/">華盛頓郵報</a>報導，Google發言人Ed Fernandez才提出說明，表明Verizon不再使用Showcase，他們將在數個星期裡透過軟體更新將其移除，並強調最近發表的Pixel 9不含該應用程式，目前尚未出現被利用的跡象。</p> <p>針對APK檔案的來歷，iVerify表示，此應用程式由軟體業者Smith Micro開發，該公司提供行動裝置遠端存取、家長控制、資料清除的工具。但強調搭載原生安卓作業系統的Pixel手機為何會預載第三方應用程式？Google並未做出說明。</p> <p>研究人員推測Showcase的主要用途，是用於電信業者Verizon手機行銷，將其變成展示機。然而，這個APK檔案並非只存在該業者銷售的機種，大部分Pixel手機的韌體映像檔都內建，再者，此APK檔案不光是預載在設備的韌體，就連Google提供OTA更新的映像檔，也同樣內含該檔案。因此研究人員推測，全球可能有數百臺Pixel手機曝露於相關風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Pixel-OTA-List_ylBkLubSQ2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Pixel-OTA-List_ylBkLubSQ2.png" style="width: 580px;" /></a></p> <blockquote><p>資安業者iVerify在<a href="https://iverify.io/resources/showcase">完整的調查報告</a>裡，列出已確認存在Showcase.apk的OTA韌體映像檔，其中包含針對AT&T、T-Mobile、軟銀等電信業者，以及適用於歐洲，中東及非洲（EMEA）、亞太地區、日本電信業者的韌體。由此看來，顯然這個危險的APK檔案並非只影響Verizon的Pixel用戶。</p> </blockquote> <p>究竟這個應用程式會帶來那些資安風險？研究人員提及，Showcase從根本改變作業系統的運作方式，並在獲得高權限的狀態下運作，而且，該應用程式在搜尋組態檔案的過程裡，無法對指定網域進行驗證，從而難以確保配置檔案與參數的新舊。</p> <p>再者，則是此應用程式使用未加密的HTTP連線來取得遠端檔案和組態檔，研究人員指出，該程式使用的URL結構可以預測，而有可能變成可被利用的弱點。</p> <p>此外，由於公鑰、簽章、證書並未捆綁在應用程式的資源當中，攻擊者可能會排除這些非強制性的檔案，而在檔案下載時，得以繞過相關的驗證。</p> <p>值得留意的是，這個應用程式預設並未啟用，但研究人員已經找到能夠開啟的方法，攻擊者可在實際接觸手機的情況下達到目的，但研究人員認為，可能還有其他方法啟動應用程式，因此Pixel仍無法擺脫資安風險。</p> </div></div></div>
2024/8/19 16:45作者周峻佑https://www.ithome.com.tw/news/164552
防不勝防！win-rar.co與win-rar.com哪個是正牌的？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國資安業者SonicWall上周<a href="https://blog.sonicwall.com/en-us/2024/08/beware-of-fake-winrar-websites-malware-hosted-on-github/" target="_blank">警告</a>，駭客建置了一個仿冒為WinRAR官網的網站，也打造了一個偽造的WinRAR程式，不察的使用者在安裝後即會自GitHub下載一系列的惡意程式。這個以假亂真的網站網址為win-rar.co，與正牌官網win-rar.com只有一個字母之差。</p> <p>WinRAR是由win.rar GmbH工程師Eugene Roshal所開發的檔案壓縮工具，主要支援Windows，號稱是全球最熱門的壓縮工具，擁有超過5億用戶。win.rar GmbH也開發了跨平臺的命令列版本RAR，支援Android的RAR for Android，以及專門解壓縮的UnRAR。</p> <p>上述工具被統稱為RARLAB產品，官網為rarlab.com，而win-rar.com則是win.rar GmbH的官網，兩個網站都可取得合法的WinRAR版本。</p> <p>總之駭客取得了win-rar.co網址，也將介面設計得跟官網win-rar.com一模一樣，並提供使用者下載最新的WinRAR 7.01，但事實上卻將使用者導至由駭客控制的GitHub專案以下載各種惡意程式，包括可將自己自Windows Defender中排除的工具、可自遠端存取系統的HVNC、勒索軟體Locker、挖礦程式、資訊竊取程式Kematian Stealer及蠕蟲等。</p> <p>目前假冒的win-rar.co網址已無法存取，而SonicWall亦尚未於單一攻擊行動中看到該GitHub專案中的所有惡意元件。</p> </div></div></div>
2024/8/16 14:35作者陳曉莉https://www.ithome.com.tw/news/164527
加州駕照與身分證將開始支援蘋果與Google的行動錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加州周四（8/15）<a href="https://www.gov.ca.gov/2024/08/15/california-ids-coming-soon-in-apple-wallet-and-google-wallet/" target="_blank">宣布</a>，該州的行動駕照及身分證即將登上Apple Wallet與Google Wallet，蘋果<a href="https://www.apple.com/newsroom/2024/08/drivers-licenses-and-state-ids-in-apple-wallet-are-coming-soon-to-california/" target="_blank">則說</a>，加州已是Apple Wallet所支援的第五個州ID。</p> <p>加州是在去年試行California DMV Wallet行動駕照，使用者只要下載同名的Android或iOS程式，即可於手機上存放數位駕照，以便於需要時出示。迄今已有超過50萬名加州人使用California DMV Wallet。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-CA-DMV-Wallet-Screens_600.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／加州州政府</span></span></p> <p>現在加州則是進一步擴大行動駕照及行動身分證服務，讓加州民眾直接將駕照與身分證直接存放在Apple Wallet與Google Wallet中，以於特定場合或活動中驗證加州民眾的身分。不過，這些數位憑證尚無法取代實體證件，加州表示，目前仍然要求當地民眾必須攜帶實體證件。</p> <p>至於蘋果則表示，加州已是Apple Wallet所支援的第五州的數位ID，包括亞歷桑那州、馬里蘭州、科羅拉多州、喬治亞洲，以及俄亥俄州的數位ID皆已進駐Apple Wallet。</p> <p>使用者要在iPhone上的Apple Wallet出示身分證明時，必須先透過Face ID或Touch ID來驗證身分，蘋果也強調，這些身分資訊都是加密且只儲存在使用者裝置上，除非使用者同意，否則不管是蘋果或其他人都無法存取它們。</p> </div></div></div>
2024/8/16 12:49作者陳曉莉https://www.ithome.com.tw/news/164522
Primate Labs發表Geekbench AI 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對CPU或GPU等處理器開發基準測試服務的Primate Labs，在本周四（8/15）發表了<a href="https://www.geekbench.com/blog/2024/08/geekbench-ai/" target="_blank">Geekbench AI 1.0</a>，此一新的基準測試是為了迎合人工智慧（AI）時代的需求，能夠評測CPU、GPU及NPU處理AI任務的性能，它在測試階段的名稱為Geekbench ML，一直到本周的正式版出爐才正名為Geekbench AI 1.0。</p> <p>Primate Labs解釋，Geekbench AI為一基準測試套件，是針對機器學習、深度學習與各種AI任務的測試平臺，軟體開發人員可利用它來確保程式可在不同平臺上具備一致的體驗，硬體工程師可能以它來衡量架構的改善，使用者則能透過它來了解裝置在執行AI時的效能。</p> <p>具體而言，Geekbench AI在裝置上執行10種不同的AI任務，每種任務都有3種不同的數據表現法，以呈現AI性能的多維視圖，透過這些模擬真實AI使用案例的大型資料集，讓消費者與開發者在幾分鐘內就能衡量裝置的AI能力。當中的3種數據表現方法主要是權衡模型精度與計算資源，它們分別是單精度浮點數（Single Precision）、半精度浮點數（Half Precision）及轉換成整數之量化（Quantized）。</p> <p>Geekbench AI支援許多AI框架，除了TensorFlow、TensorFlow Lite、Core ML及ONNX之外，也支援Linux及Windows平臺上的OpenVINO，以及針對不同硬體最佳化的TensorFlow Lite版本，包括Samsung ENN、ArmNN與Qualcomm QNN，使其可更準確地評估在不同硬體與框架上執行AI任務的性能。</p> <p>Geekbench AI也是個跨平臺的評測工具，具備Windows、Linux、macOS、Android及iOS版本可供下載。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-Geekbench%20AI-windows-screenshot_Primate%20Labs_600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Primate Labs</span></span></p> </div></div></div>
2024/8/16 11:52作者陳曉莉https://www.ithome.com.tw/news/164518
Google鄰近檔案傳輸工具Quick Share存在漏洞，影響Windows、安卓裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果想要透過藍牙、Wi-Fi、WebRTC、NFC等通訊協定進行無線檔案傳輸，最多人知道的做法應該是運用蘋果的AirDrop，但近年來Google也與三星合作推出Quick Share，並打算與電腦製造商結盟、預載相關應用程式，以便安卓裝置與Windows電腦用戶互相傳送檔案，但有研究人員發現，Quick Share存在一系列漏洞，駭客有機會串連發動攻擊。</p> <p>上週資安業者SafeBreach針對這套工具揭露10個漏洞，<a href="http://www.safebreach.com/blog/rce-attack-chain-on-quick-share">通稱為QuickShell</a>，其中有9個影響Windows裝置，1個影響安卓裝置，研究人員指出，這批漏洞可形成非典型的遠端執行程式碼（RCE）攻擊鏈，從而讓攻擊者在Windows電腦執行程式碼。</p> <p>對此，Google在今年1月接獲研究人員通報後，發布1.0.1724.0版Quick Share予以修補，並將這批漏洞登記為CVE-2024-38271、CVE-2024-38272列管，CVSS風險評分為5.9、7.1。研究人員也在<a href="https://defcon.org/html/defcon-32/dc-32-speakers.html#54485">資安會議DEF CON 32展示相關研究成果</a>。</p> <p>Quick Share是能夠在安卓、Chromebook、Windows電腦之間進行點對點傳輸應用程式，裝置之間，會透過藍牙、Wi-Fi、WebRTC、NFC等通訊協定傳輸檔案。</p> <p>Google原本將這項應用程式命名為Nearby Share，並在去年7月推出Windows版應用程式。到了今年1月的CES 2024電腦展，<a href="https://blog.google/products/android/ces-2024-android-updates/#:~:text=A%20new%20way,devices%20next%20month">Google宣布與三星合作</a>，將兩家廠商的解決方案整併為Quick Share，並打算與電腦製造商合作，在Windows電腦預載這項檔案傳輸工具。</p> <p>對此，研究人員指出，由於Quick Share支援多種通訊協定，在設備之間傳送檔案的過程可能會相當複雜，而且這是Google首度嘗試開發原生的Windows版應用程式，再加上未來很有可能有許多新電腦會預載這項工具，若是存在弱點，將會成為吸引駭客的攻擊標的。</p> <p>結果，他們一共找到10個漏洞，其中在Windows版Quick Share裡，有6個阻斷服務（DoS）弱點，1個路徑穿越漏洞、1個強制Wi-Fi連線的漏洞，其餘兩個是Windows、安卓版應用程式的檔案寫入錯誤弱點。</p> <p>攻擊者可在未經授權的情況下，藉由QuickShell將檔案遠端寫入裝置，導致Windows版應用程式當機，並將流量重新導向攻擊者控制的Wi-Fi熱點，然後存取特定使用者資料夾的內容。</p> <p>研究人員也在GitHub提供漏洞驗證工具，以便其他人能夠進一步研究這類檔案傳輸機制的弱點。</p> </div></div></div>
2024/8/15 13:20作者周峻佑https://www.ithome.com.tw/news/164493
Google發表挑戰OpenAI進階語音模式的Gemini Live
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今日在Pixel 9手機系列產品發表大會上，同時<a href="https://blog.google/products/gemini/made-by-google-gemini-ai-updates/" target="_blank">宣布多項相關的AI功能</a>，包括能流暢對話的Gemini Live，挑戰OpenAI ChatGPT進階語音模式（Advanced Voice Mode），以及將Gemini進一步整合到Android，以及YouTube等Google程式中。</p> <p>Gemini Live是提供行動對話體驗的聊天助理，讓手機用戶可和Gemini流暢對話。用戶除了可以口說和Gemini來回對話外，甚至能在Gemini Live回應過程中打斷、或中途喊停一會再接續。Gemini Live也能於Gemini App背景執行或手機鎖定時和用戶對話，一如用戶講電話一般。為了讓Gemini對話更豐富，Google也加入10種聲音選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-gemini%20live.png" style="width: 534px;" /></p> <p>Gemini Live顯然是想挑戰日前才正式上線的ChatGPT進階語音模式（Advanced Voice Mode）。OpenAI 5月公布ChatGPT進階語音模式雖然表現令人驚豔，卻被爆其中一個聲音未經授權模仿了美國女星Scarlett Johansson，雖然OpenAI否認此事，卻也移除該聲音，並延後進階語音模式上線到<a href="https://www.ithome.com.tw/news/164251" target="_blank">8月初</a>，該模式才正式提供5種聲音，但僅向一小部分用戶開放使用，而且設定種種限制，像是ChatGPT無法模仿他人聲音，也不允許其他聲音輸入。</p> <p>Gemini Live即日已部署給訂閱Gemini Advanced方案的Android手機用戶，目前只支援英文，Google表示，幾個星期內會擴及iOS，並支援更多種語言。</p> <p>除了Gemini Live外，Google也宣布未來幾個星期內多款程式如Keep、YouTube Music、Task和Utilities或是行事曆（Calendar）都會整合Gemini外掛，用戶不必切換應用即可讓Gemini執行任務，像是讓它從Gmail找出友人寄來的食譜，並將其中一項食材加入Keep採購清單，或是讓Gemini從Google相簿抓出音樂會傳單，查詢當天是否有空、並設定購票提醒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Google%20apps-gemini.png" style="width: 424px;" /></p> <p>Google也讓Android進一步整合Gemini。只要長按電源鍵，或說聲「Hey Google」，就能召喚出Gemini助理。用戶可點選「Ask about this screen」詢問問題，或在使用YouTube時點選「Ask about this video」，例如列出旅遊影片的餐廳清單，再叫出Gemini在Google Maps上標註。Gemini也不只能讀取螢幕內容，還能和既有應用互動，像是將Gemini生成的圖片直接丟進Gmail和Google Messages。</p> <p>有別於Pixel 9系列上的AI功能以Gemini Nano為基礎，今日Gemini Live等新功能則是採用Google新模型如Gemini 1.5 Flash為底層技術，以提供較好的效能和回應品質。但Google不忘表示，新上線的功能仍可能會有回應時間需時較久，或是回應不準確或出現令人意外答案等問題。</p> <p>Google表示，未來幾個月內該公司會致力於提升Gemini效能和品質，並預告，Gemini還會整合到Google Home、電話（Phone）和訊息等其他應用中。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/14 11:12作者林妍溱https://www.ithome.com.tw/news/164458
Pixel 9系列亮相，深度整合Google Gemini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/pixel/google-pixel-9-pro-xl/" target="_blank">Google周二（8/13）發布</a>了新一代的Android手機Pixel 9，包括Google Pixel 9、Google Pixel 9 Pro、Google Pixel 9 Pro XL，以及Google Pixel 9 Pro Fold，它們全都搭載Android 14作業系統，並深度整合Google Gemini人工智慧技術，而且擁有長達7年的Android更新服務，售價自799美元到1,700美元不等。Pixel 9系列即日起開放預購，並計畫於8月22日或9月4日出貨。</p> <p>Pixel 9系列的手機中，除了1,099美元的Google Pixel 9 Pro XL採用6.8吋螢幕之外，其它都採用6.3吋螢幕；只有入門款、售價為799美元的Google Pixel 9內建12GB記憶體之外，其它機種皆具備16GB記憶體；最貴的則是摺疊機Google Pixel 9 Pro Fold（下圖）的1,700美元；外觀及重量與Google Pixel 9幾乎一模一樣的Google Pixel 9 Pro，擁有更大的記憶體及更好的LTPO OLED螢幕，售價為999美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Pixel%209%20Pro%20Fold-600.png" style="width: 500px;" /></p> <p>現代的智慧型手機，最受矚目的無疑是人工智慧（AI），例如三星已在今年初於Galaxy手機中<a href="https://www.ithome.com.tw/news/160904" target="_blank">整合</a>Google Gemini，蘋果也<a href="https://www.ithome.com.tw/news/163387" target="_blank">發表了</a>將進駐macOS Sequoia、iOS 18與iPadOS 18等蘋果作業系統的AI服務Apple Intelligence，並宣布將導入OpenAI的ChatGPT。</p> <p>Google也在Pixel 9中整合了Google Gemini，只要按下手機上的電源按鍵，便能啟用多模態的Gemini，它能夠以覆蓋層的形式出現在螢幕上，使用者可透過文字、語音或圖像與之交流，亦可直接將由Gemini生成的圖像貼在傳訊程式中。Pixel 9還提供了Add Me功能，使用擴增實境技術與AI將使用者嵌入照片中，成為團體照的一員。</p> <p>Pixel 9還有一款新的Pixel Studio應用，這是個圖像生成工具，整合雲端上的Imagen 3文字生成圖像模型，以及執行於Tensor G4上的裝置擴散模型。另一款Pixel Screenshots應用能夠協助使用者儲存、組織，以及調用曾經拍下的螢幕截圖，例如在抵達民宿時請它找出曾儲存的門鎖密碼。Call Notes則能記錄使用者的通話內容，還能協助摘要，只是在啟用時會通知各方。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Pixel%20Studio-pixel%209-ai.png" style="width: 438px;" /></p> <p>不僅是Pixel手機，Google Gemini亦已支援來自數十家裝置製造商的數百款Android手機。</p> <p>Pixel 9系列已確定會在包括臺灣在內的逾20個國家<a href="https://support.google.com/store/answer/2462844?hl=en" target="_blank">上市</a>，亦已於臺灣市場開放<a href="https://store.google.com/tw/magazine/compare_pixel?hl=zh-TW" target="_blank">預購</a>。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/14 12:08作者陳曉莉https://www.ithome.com.tw/news/164459
微軟揭露OpenVPN的4個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟資深安全研究人員Vladimir Tokarev 在上周四（8/8）舉行的黑帽大會上，揭露了<a href="https://blackhat.com/us-24/briefings/schedule/#ovpnx--zero-days-leading-to-rce-lpe-and-kce-via-byovd-affecting-millions-of-openvpn-endpoints-across-the-globe-38900" target="_blank">OpenVPN上的4個零時差漏洞</a>，此一系列被Tokarev命名為OVPNX的漏洞可被串連以實現權限擴張或遠端程式攻擊，同一天微軟亦於官方部落格<a href="https://www.microsoft.com/en-us/security/blog/2024/08/08/chained-for-attack-openvpn-vulnerabilities-discovered-leading-to-rce-and-lpe/" target="_blank">公布</a>更多細節。</p> <p>OpenVPN為一虛擬私人網路（VPN）的開源專案，建立於2001年，它在路由或橋接的配置上，透過技術來建立安全的端對端連結，被廣泛應用於各式作業系統上，從Windows、macOS、Android、iOS到BSD等，根據Enlyft的<a href="https://enlyft.com/tech/products/openvpn" target="_blank">統計</a>，全球約有6,000家企業使用OpenVPN，意謂著有數百或數千萬臺裝置安裝了OpenVPN。</p> <p>OVPNX漏洞包括了存在於Windows TAP驅動程式的CVE-2024-1305，可形成服務阻斷攻擊，而CVE-2024-24974、CVE-2024-27459與CVE-2024-27903，則皆存在於負責管理OpenVPN服務進程的openvpnserv元件中，依序可造成未經授權的存取、服務阻斷/權限擴張，以及遠端程式攻擊。</p> <p>微軟的威脅情報團隊說明，他們一開始是要檢查如何以開源的OpenVPN專案來強化企業的安全標準，當時也順便檢查了其它兩個熱門的VPN解決方案，卻在這兩個VPN上都發現了CVE-2024-1305漏洞，這使得他們開始把目標對準其它具備同樣問題的驅動程式，並在發現OpenVPN也擁有同樣漏洞之後，決定調查Windows系統上的OpenVPN架構與安全性，才進而找到其它3個漏洞。</p> <p>駭客要利用OVPNX漏洞的首要之務是必須先取得OpenVPN憑證，不管是偷、盜或購買，在取得憑證後，駭客即可串連 CVE-2024-24974與CVE-2024-27903 來實現遠端程式執行；或是結合CVE-2024-27459與CVE-2024-27903來擴張本地權限。Tokarev說，這類的攻擊鏈可能令駭客得以完全掌控目標端點，進而造成資料外洩，系統遭到危害，或是未經授權的機密資訊存取等後果。</p> <p>OpenVPN在今年3月收到微軟的通知之後，當月即釋出OpenVPN 2.5.10及2.6.10來修補相關的安全漏洞，現在的OpenVPN版本已進展到OpenVPN 2.5.11與OpenVPN 2.6.12 。</p> </div></div></div>
2024/8/13 11:15作者陳曉莉https://www.ithome.com.tw/news/164429
Android裝置串流測試服務啟動，三星、小米和Oppo加入早期存取計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google將開放<a href="https://android-developers.googleblog.com/2024/08/android-device-streaming-announcing-early-access.html">Android裝置串流（Android Device Streaming）測試</a>功能，給申請的開發者優先試用，開發者將可以使用資料中心內的Android裝置，實際測試他們的應用程式。位於資料中心的裝置操作畫面，會直接遠端串流到Android Studio上，供開發者在開發環境中實際進行操作和測試。目前Android裝置串流功能開放申請，3家OEM廠商包括三星、小米和Oppo裝置參與測試。</p> <p>Google透過將合作的OEM廠商裝置實驗室，連接到Android裝置串流服務中，供開發者使用更多類型的實體裝置，測試他們的應用程式。</p> <p>官方進一步解釋，Android裝置串流服務，是以OmniLab裝置平臺建構而成，可以確保測試過程中的安全和效能。其透過加密的ADB（Android Debug Bridge）連接，開發者在Android Studio中就可直接遠端操作裝置。ADB是一個命令列工具，可以用於和Android裝置進行通訊和除錯，原本就是Android開發中重要部分，支援的操作包括安裝和卸載應用程式、查看裝置日誌、傳輸檔案，或是在裝置執行命令等。</p> <p>Google即將在今年稍晚啟動早期存取計畫，讓參與計畫的開發者，可以使用Android裝置串流連接到Google OEM合作夥伴三星、小米和Oppo的裝置，這些廠商的實驗室散布世界各地，開發者透過使用Android Studio中的Android裝置串流功能，並且結合使用Firebase專案就可進行存取，而Firebase專案管理員擁有可以啟用或是停用各個OEM實驗室的權限。</p> </div></div></div>
2024/8/12 22:37作者李建興https://www.ithome.com.tw/news/164422
【資安週報】2024年8月5日到8月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期Black Hat USA 2024於美國拉斯維加斯登場，今年是第27屆，照往年慣例，有很多資安新聞都在此時發布，特別的是，今年新納入的AI Summit研討會於當地時間6日舉行，趨勢科技也在一場演說中展示偵測深偽（Deepfake）商用解決方案，同時闡釋AI世代的企業資安風險管理差異，幫助大家因應未來的局勢。</p> <p>黑帽大會主活動於7日與8日展開，當中有許多全球頂尖資安研究人員揭露最新的研究成果，我們在這一星期資安日報的新聞，也陸續報導相關消息。</p> <p>●賽門鐵克揭露6起攻擊者濫用合法雲端服務的攻擊行動，不僅指出這些手法日趨複雜，特別的是，研究人員提及中國駭客組織UNC5330散布Grager後門程式，攻擊目標是臺灣、香港、越南的企業組織。<br /> ●德國CISPA亥姆霍茲資訊安全中心揭露GhostWrite漏洞，問題發生在阿里巴巴旗下平頭哥半導體（T-Head）所生產的RISC-V處理器玄鐵C910，並指出其影響範圍可能很廣泛且難以修補。<br /> ●Zenity研究人員公布了如何將Copilot變成駭客武器的最新研究，並釋出新的LOLCopilot紅隊工具模組，當中主要探討駭客如何在滲透後利用Microsoft Copilot來搜尋、解析並竊取敏感資料，而且不會產生日誌。<br /> ●資安業者Bitdefender揭露Solarman太陽能發電監控系統、寧波德業（Deye）逆變器的漏洞，兩家業者在接獲通報後皆著手修補。（研究人員是在美國黑帽大會附近另一場於8日到11日舉行的DEF CON 32資安會議展示這項成果。）</p> <p>臺灣資安研究人員也在本次黑帽大會揭露重要發現。例如，<a href="https://blog.orange.tw/2024/08/confusion-attacks-ch.html?fbclid=IwY2xjawEmX_pleHRuA2FlbQIxMQABHZvi4Nuzpa9EUZIMW14BlGl9n70C1V-oVwHKYdXvEBoPHkhPvZqv292TJA_aem_yW8w1R3MJFLqgj44eEnFOg">戴夫寇爾首席資安研究員Orange Tsai（蔡政達）</a>，今年他揭開名為Confusion Attacks的全新攻擊面向，當中探索了Apache HTTP Server中存在的架構問題，並在攻擊研究中找到9個漏洞，而Orange先前也已將這些漏洞通報給Apache軟體基金會，在7月已有修補釋出（還有1個漏洞的CVE編號待公布）；<a href="https://www.blackhat.com/us-24/briefings/schedule/#attention-is-all-you-need-for-semantics-detection-a-novel-transformer-on-neural-symbolic-approach-39527">睿控網安的研究人員鄭仲倫（Mars Cheng）、馬聖豪、林怡安‍</a>則公開資安防護上對於惡意程式分析的新方法，主要針對攻擊者將惡意程式碼混淆以規避偵測與分析的問題，提出一種新穎且基於神經網路的符號執行大型語言模型（LLM）－－CuIDA，以模擬人類專家分析策略來進行，並可在不對加殼器進行解壓或解密的情況下，直接檢測被保護的可執行文件。</p> <p>在漏洞消息與方面，本星期共有3個漏洞利用狀況值得我們重視，其中一項已知漏洞的防範，需要國內特別重視，因為資安業者指出有中國駭客利用該漏洞入侵臺灣研究機構。</p> <p>（一）思科旗下Talos揭露APT41針對臺灣政府所屬研究機構的攻擊行動，當中具體列出該組織的手法，以及使用已知漏洞<span style="color:#0000FF;">CVE-2018-0824</span>，將惡意程式ShadowPad、Cobalt Strike等攻擊工具植入這個研究機構。<br /> （二）開源ERP系統Apache OFBiz在今年5月修補的漏洞<span style="color:#0000FF;">CVE-2024-32113</span>，大家要當心！因為最近出現攻擊者鎖定利用這個管道的狀況。SANS網路風暴中心指出，最近利用此漏洞的攻擊行動，其目的是將殭屍網路病毒Mirai植入OFBiz。<br /> （三）在Android的8月例行更新中，包含1個已遭利用的零時差漏洞<span style="color:#0000FF;">CVE-2024-36971</span>修補。該漏洞今年6月公布時存在Linux作業系統核心，但該漏洞也影響到Android系統，後續Google TAG小組發現有此漏洞的針對性攻擊跡象。</p> <p>還有2個與臺灣有關的漏洞消息，首先是美國CISA針對臺灣視訊監控設備廠商陞泰科技（Avtech）發布警告，指出其產品存在漏洞<span style="color:#0000FF;">CVE-2024-7029</span>並被用於攻擊行動，但陞泰尚未公布緩解措施，因此CISA特別提供可降低此漏洞遭利用的作法；另一是上月底PKfail漏洞揭露後，<a href="https://www.gigabyte.com/tw/Support/Security/2205">技嘉於8月1日</a>回應此問題的解法，他們表示，將在8月、9月釋出不同平臺的新版BIOS，予以修補。</p> <p>在資安事件方面，有2起消息與國內上市櫃公司有關，還有MDM業者遭駭引發上萬平板筆電無法使用，以及DigiCert撤銷8萬憑證的情形。我們整理如下：<br /> ●上市電腦及週邊設備業偉聯科技在8月5日發布資安重訊，說明部份資訊系統遭受駭客網路攻擊事件。<br /> ●上櫃資訊服務業智聯服務在8月5日發布資安重訊，說明部份僅供內部人員使用的資訊系統遭受駭客攻擊。<br /> ●在法國奧運賽事期間，當地博物館法國巴黎大皇宮說明遭遇網路攻擊事件，但也指出僅影響博物館內的書店與精品店。<br /> ●行動裝置管理（MDM）方案業者Mobile Guardian遭駭，導致列管的大量iOS及ChromeOS裝置遭未經授權存取，而這起事故也造成許多災情，例如新加坡就有1.3萬學生上課用的平板筆電無法使用。<br /> ●SSL數位憑證機構DigiCert宣布撤銷8萬多個憑證，影響6千多用戶，原因是他們自身未做好網域控制驗證。</p> <p>在資安防禦動向上，有兩個重要消息，一是中華資安國際預計於8月20日登錄興櫃，為臺灣證券市場新增一個資安生力軍；另一是美國CISA首任AI長在8月初出爐，這是因為美國OMB在今年3月的規範，強調在AI時代需有人來主導及監督如何使用AI技術，並考慮安全及可靠性，以此幫助眾人真正獲得AI帶來的好處。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164301"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</span></strong></a></h3> <p>隨著政治情勢日益緊張，中國駭客針對臺灣企業組織發動攻擊的情況不斷傳出，而在上週四又有這類事故的調查出爐，有資安廠商去年發現一個附屬於臺灣政府機關的研究機構遭駭。</p> <p>值得留意的是，在這起攻擊行動裡，駭客運用過往較為少見的手法，其中一種是利用舊版微軟Office軟體搭配的輸入法編輯器（IME），該元件推出已長達13年，且不再受到支援。</p> <h3><a href="https://www.ithome.com.tw/news/164335"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月6日】達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂</span></strong></a></h3> <p>7月19日臺灣時間下午發生的CrowdStrike更新出錯事故，導致全球各地都出現災情，其中最早傳出受害的是航空業者及醫療機構，如今有航空公司指控，他們因故招致業務停擺及名譽受損，求償5億美元。</p> <p>但CrowdStrike不以為然，認為該公司較晚復原與IT運作疏失有關，控告目的其實是在推卸責任。</p> <p><a href="https://www.ithome.com.tw/news/164356"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月7日】法國博物館驚傳遭遇勒索軟體攻擊</span></strong></a></p> <p>奧運賽事正如火如荼進行，臺灣也有不少選手獲得佳績，但在此同時，提供擊劍和跆拳道比賽場地的法國巴黎大皇宮（Grand Palais Rmn），傳出遭遇網路攻擊，當地媒體取得知情人士的說法，這起事故是勒索軟體攻擊，駭客疑似打算向博物館索討贖金。</p> <p>不過，由於所有的博物館及奧運賽事皆正常運作，這樣的說法隨即就遭到否認，其中一個被點名的博物館羅浮宮出面反駁，他們並未遭遇勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164383"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月8日】黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術</span></strong></a></p> <p>在全球目光集中在奧運的同時，上週末（8月3日）重量級資安會議黑帽大會Black Hat USA 2024正式在美國拉斯維加斯展開，前4天是資安訓練活動，最後兩天則有超過100場精選議程。</p> <p>其中最吸引眾人注意的安排，是大會前一天舉辦AI Summit研討會，趨勢科技也在上午議程展示偵測深偽（Deepfake）的商用解決方案。</p> <p><a href="https://www.ithome.com.tw/news/164400"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害</span></strong></a></p> <p>我們昨天報導有研究人員在國際資安大型會議Black Hat USA 2024公布藉由視窗作業系統更新機制「降級」的攻擊手法，這次也有研究人員公布對於特定威脅態勢的觀察，指出這種攻擊手法現在不僅變得非常頻繁，而且，還變得更加刁鑽。</p> <p>這項威脅態勢，就是駭客濫用雲端服務來掩蓋非法行動的情況。在針對臺灣、香港、越南組織的攻擊行動裡，後門程式Grager存取充當C2的OneDrive帳號手法相當特別。</p> </div></div></div>
2024/8/12 13:08作者羅正漢https://www.ithome.com.tw/news/164408
Flutter 3.24大更新強化GPU渲染與多平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/flutter/whats-new-in-flutter-3-24-6c040f87d1e4">Flutter 3.24</a>迎來許多新功能和改進，除了框架和介面操作本身有許多更新之外，多項渲染相關的功能都獲得強化，像是渲染引擎Impeller效能強化，官方還推出Flutter GPU低階繪圖API，支援更複雜的圖形應用。</p> <p>渲染引擎Impeller獲得一系列文字渲染效能改進，像是文字的粗細、間距和字距調整的顯示品質都已經與傳統渲染器相當，另外表情符號的滾動效能也有提升，解決了頁面滾動時大量表情符號造成卡頓的現象。</p> <p>不過，Impeller要上到Android作業系統則還需要再等等，因為Android 14上的臭蟲，影響了Platform Views API的使用，導致Impeller在Android上的預覽期延長。雖然目前這個臭蟲已經被修復，但是由於許多已部署的裝置，仍會持續執行未修復的Android版本一陣子。官方為了要確保Flutter能在廣泛的裝置上順利運作，預告在今年稍晚的穩定版本，才會將Impeller設為預設渲染器。</p> <p>Flutter 3.24加入稱為Flutter GPU的低階繪圖API，允許開發者使用Dart程式碼，以及GLSL著色器創建自定義渲染器，而且不需要用到任何原生平臺的程式碼。Flutter GPU擴展了可以直接在Flutter中渲染的內容，支援創建複雜的進階圖形和3D場景，這對於像是遊戲或是視覺化工具，需要高效能繪圖渲染的應用非常有用。</p> <p>Flutter GPU的渲染功能依賴Impeller渲染引擎，其提供的繪圖API讓開發者可以完全控制渲染過程的各個階段，其提供的靈活性，對於創建複雜的解決方案非常重要。目前Flutter GPU支援iOS、macOS和Android，官方計畫在未來推展到所有Flutter支援的平臺。</p> <p>Flutter也強化了對網頁平臺的支援，新增Web多視圖嵌入功能，這讓開發者可以將內容同時渲染到不同的HTML元素中，實作靈活的網頁應用。Web多視圖嵌入功能可動態添加和移除視圖，並支援每個視圖自定義初始資料，適合像是儀表板、資料視覺化、互動式多媒體內容等複雜的網頁應用。</p> <p>還有一項對iOS與macOS開發者的好消息，Flutter 3.24開始初步支援Swift Package Manager，這介接了Flutter擴充與Swift套件生態系，且由於Swift Package Manager與Xcode綑綁在一起，開發者使用Flutter開發Apple平臺應用，便不再需要安裝Ruby和CocoaPods。</p> </div></div></div>
2024/8/7 21:41作者李建興https://www.ithome.com.tw/news/164361
Google發布8月份安卓例行更新，修補零時差漏洞CVE-2024-36971
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日Google針對安卓作業系統<a href="https://source.android.com/docs/security/bulletin/2024-08-01#Android-and-Google-service-mitigations">發布本月例行更新</a>，總共公布、修補45個漏洞，其中包含一項零時差漏洞CVE-2024-36971。</p> <p>CVE-2024-36971最初在今年6月公布，存在Linux作業系統核心，問題是網路路由管理元件的記憶體釋放後，又能再存取使用（UAF），CVSS風險評為7.8分，Linux基金會已於同月著手修補。一旦攻擊者取得系統層級的權限，就有機會利用漏洞來竄改網路連線的組態。</p> <p>而對於這項漏洞也影響安卓作業系統的情況，Google指出是他們旗下的威脅情報團隊（TAG）察覺此事。</p> <p>值得留意的是，Google在資安公告中提及，這項漏洞已出現針對性攻擊的跡象。換言之，有心人士能在具有這個漏洞的裝置上執行任意程式碼，而且，過程中無需使用者互動。</p> </div></div></div>
2024/8/7 12:23作者周峻佑https://www.ithome.com.tw/news/164342
Google延攬Character.AI高層，創辦人回鍋前公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周與AI新創公司Character.AI簽定技術授權合作，並延攬曾是前Google AI部門員工的創辦人。</p> <p>創立於2022年的Character.AI主要業務是開發個人化AI通訊加值服務，像是建立可和用戶對談的迪士尼動畫主角（如米奇）AI虛擬化身的<a href="https://blog.character.ai/introducing-character-calls/" target="_blank">Character Calls</a>，以及上傳用戶說話樣本自建AI角色聲音的Character Voice。在和Google的非獨家技術授權協議中，Character.AI將授權Google使用其LLM技術。此外，本項合作可能包含Google一筆金額不詳的投資。Character.AI表示，這項合作可增加Character.AI的資金，支持其持續成長並專注在個人化AI產品上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-character%20ai-android-600(1).png" style="width: 600px;" /></p> <p>但雙方合作更重要的一部份是Character.AI的核心員工，包括創辦人Noam Shazeer及Daniel De Freitas及數名研發人員，也將加入Google。其中執行長Shazeer也是Google前員工，他在Google任職期間擔任Google對話式AI模型LaMDA（Language Model for Dialogue Applications）專案的主導人，他在2021年離職創辦Character.AI，並獲得私募基金公司16z支持，加入Google意謂著又將回鍋前東家。Shazeer和De Freitas會加入Google DeepMind部門，但詳細角色和職責還不明。</p> <p>而在兩名高層離開後，Character.AI將由法務長Dominic Perella擔任臨時CEO。Perella曾是社群App開發商Snap高層，去年年中才加入Character.AI。<a href="https://blog.character.ai/our-next-phase-of-growth/" target="_blank">該公司表示</a>未來會持續投資模型後訓練能力，搭配自有或開源LLM開發新服務。</p> <p>Google與Character.AI的合作，和微軟投資新創業者Inflection.AI的手法十分相似。微軟3月延攬Inflection AI二名共同創辦人Mustafa Suleyman及Karén Simonyan加入新成立的Microsoft AI部門，其中曾任DeepMind的Suleyman將任該部門執行長，Simonyan則任該部門首席科學家，二公司也簽定了非獨家技術授權協議。兩家大廠雖然未收購AI新創業者，但由於延攬了其核心員工，特別容易招來反壟斷主管機關的關切。英國主管機關競爭與市場委員會（Competition and Markets Committee，CMA）已經<a href="https://www.ithome.com.tw/news/163972" target="_blank">宣布著手調查</a>微軟和Inflection的合作案。</p> </div></div></div>
2024/8/5 10:31作者林妍溱https://www.ithome.com.tw/news/164285
【資安日報】8月2日，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客發動惡意NPM、PyPI套件攻擊，通常會針對知名套件的使用者而來，藉由網域名稱模仿的手法讓開發人員上當。但如今，駭客改變了做法，他們利用網路問答平臺，假裝認真解答問題，藉此散布惡意套件。</p> <p>最近資安業者Checkmarx揭露的資安事故，就是這種例子。駭客在Stack Exchange針對特定問題進行回答，「順便」提供惡意套件的下載連結，使得用戶降低警覺而有可能因此上當。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164267"><strong style="font-size: 22px;">Raydium區塊鏈用戶遭到鎖定，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg" style="width: 300px; float: right;" /></a>惡意套件攻擊結合社交工程手法的情況，最近不斷出現，例如，有人為了引誘特定目標下載惡意PyPI套件，疑似藉由假LinkedIn帳號誤導AI搜尋引擎，類似的混合攻擊手法又有新的案例出現。</p> <p>資安業者Checkmarx揭露從6月底出現的惡意PyPI套件攻擊行動，駭客在6月25日上傳無害的軟體套件到PyPI儲存庫，但到了7月3日顯露意圖，發布多個惡意版本套件。研究人員指出，攻擊者主要目標是區塊鏈平臺Raydium、Solana的用戶，意圖將他們的加密貨幣資產耗盡，超過2千人下載相關套件而可能受害。</p> <p>比較特別的是，駭客為了引誘使用者上當、下載惡意套件，他們透過名為Stack Exchange的網路問答網站來進行宣傳，藉由在熱門討論串提供看似有用的答案來進行。</p> <p><a href="https://www.ithome.com.tw/news/164274"><strong style="font-size: 22px;">中國駭客組織APT10鎖定日本關鍵基礎設施、學術機構，利用後門程式LodeInfo、NoopDoor從事網路間諜攻擊</strong></a></p> <p>上個月日本電腦緊急應變團隊暨協調中心（JPCERT/CC）揭露攻擊行動MirrorFace的最新態勢，當中提及駭客鎖定當地製造業、研究機構發動攻擊，企圖在這些企業組織植入後門程式NoopDoor，如今有資安業者公布與這支惡意程式有關的細節。</p> <p>根據資安業者Cybereason的調查，中國駭客組織APT10使用LodeInfo與NoopDoor兩款惡意程式，鎖定日本企業組織發起名為Cuckoo Spear的攻擊行動，而能在受害組織的網路環境活動長達2至3年。他們提及這項攻擊行動與駭客組織Earth Kasha，以及另一起攻擊行動MirrorFace有所關連，因為這三個行動所用的武器有個共通點，那就是APT10慣用的惡意程式LodeInfo。</p> <p>研究人員提到，駭客在使用NoopDoor的攻擊行動，同時運用後門程式LodeInfo，然後使用新的後門程式竊取受害組織資料。他們看到駭客的攻擊目標是日本的關鍵基礎設施及學術機構，推測駭客的目的是從事網路間諜活動。</p> <p><a href="https://www.ithome.com.tw/news/164260"><strong style="font-size: 22px;">可惡安卓惡意軟體BingoMod，盜完銀行帳戶還順手抹除裝置</strong></a></p> <p>資安公司Cleafy研究發現了新種類的Android惡意軟體，並命名為 BingoMod。BingoMod會試圖接管裝置上銀行帳戶並且轉移金錢，在成功完成盜取任務後，攻擊者便會抹除受感染的裝置，消除BingoMod的活動痕跡，增加資安人員調查的難度。</p> <p>BingoMod屬於遠端存取木馬（RAT），攻擊者可以利用它遠端控制受感染的裝置，並且利用裝置上詐騙（On Device Fraud）技術接管銀行帳戶。BingoMod主要透過簡訊釣魚的方式散布，其通常會偽裝成合法的防毒軟體，一旦BingoMod安裝至受害者裝置上，便會要求用戶啟用無障礙服務，當用戶授予請求權限，BingoMod APK便會開始自我解壓縮，並且執行惡意酬載。</p> <p>此惡意軟體雖然擁有類似於Brata惡意軟體的裝置抹除能力，但因為BingoMod相對簡單，所以研究人員猜測其裝置抹除功能，比較像是一種簡單的退出策略。</p> <p><a href="https://www.ithome.com.tw/news/164276"><strong style="font-size: 22px;">研究人員揭露專門竊取安卓手機簡訊的大規模攻擊行動，範圍橫跨113個國家</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture9.jpg" style="width: 300px; float: right;" /></a></p> <p>用手機產生動態密碼（OTP）的多因素驗證機制相當普遍，廣受許多企業的採用，但駭客也試圖入侵手機竊取這類資訊，從而闖入受害者所屬的企業組織網路環境。</p> <p>資安業者Zimperium指出，他們自2022年2月開始，追蹤專門針對安卓裝置的竊取簡訊攻擊行動，這段期間他們找到超過10.7萬個相關惡意應用程式，駭客鎖定、監控至少600種知名廠牌的動態密碼資訊，其中部分廠牌的用戶多達數億，範圍橫跨全球113個國家，主要目標是印度及俄羅斯使用者。</p> <p>值得留意的是，攻擊者能夠迴避許多防毒軟體的偵測，因此，行動裝置可能需要透過多種管道來強化安全。</p> <p><a href="https://www.ithome.com.tw/news/164259"><strong style="font-size: 22px;">解析0719全球電腦大當機原因，資安專家推測CrowdStrike病毒特徵碼設計不良，造成藍色當機畫面</strong></a></p> <p>從早期的防毒軟體到現在的EDR軟體，這些防護端點設備的資安軟體，早成為個人電腦使用者與駭客對峙的第一線戰場。日前資安軟體CrowdStrike因為EDR軟體更新出包，引發全球約850萬臺微軟電腦，出現藍色當機畫面（BSOD）的資安事件。</p> <p>雖然真正的原因，還是必須等CrowdStrike完整調查並公布後，才可能有進一步的了解，不過，根據對微軟作業系統安全有研究的匿名資安專家的推測，CrowdStrike之所以更新出錯，原因在於掛載設計不良的特徵碼包，導致作業系統核心的驅動邏輯出現問題（Parser解析邏輯不良），所以會誤用不存在記憶體的指標null-pointer讀取內容，造成BSOD藍色當機畫面。</p> <p>這次事故發生之後，也引發其他的討論，例如，作業系統是否應該允許資安產品拿到高權限？有臺灣資安業者對此持肯定態度，他們認為，若要偵測到惡意程式的運作，這類端點防護產品就必須對作業系統擁有更高的權限，才可以更早攔截到惡意程式的運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://securityaffairs.com/166432/hacking/vmware-esxi-cve-2024-37085-vulnerable-instances.html"><strong style="font-size: 20px;">逾2萬臺VMware ESXi伺服器曝露在已被利用的CVE-2024-37085危險當中</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/eriakos-scam-campaign-detected">研究人員揭露臉書詐騙攻擊行動Eriakos，利用數百個網站竊取用戶財務資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/threat-actor-abuses-cloudflare-tunnels-deliver-rats">Cloudflare試用服務遭濫用，駭客藉此散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://medium.com/@knownsec404team/the-patchwork-group-has-updated-its-arsenal-launching-attacks-for-the-first-time-using-brute-ratel-175741987d87">駭客組織Patchwork濫用滲透測試工具Brute Ratel C4攻擊不丹</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://about.fb.com/news/2024/07/combating-financial-sextortion-scams-from-nigeria/">奈及利亞駭客濫用逾6萬個Instagram帳號，鎖定美國進行性勒索</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164169"><strong style="font-size: 22px;">美國釋出用來評估AI安全的Dioptra平臺</strong></a></p> <p>美國國家標準暨技術研究院（NIST）釋出Dioptra 1.0，這是用來評估AI安全及可靠性的軟體測試平臺，支援AI風險管理框架（AI RMF）的測量功能，可評估、分析及追蹤AI風險。</p> <p>Dioptra最早現身於2022年，當時NIST形容是可用來評估適合用來保護機器學習系統之安全技術與解決方案的方法，並讓研究人員比較用來對抗不同攻擊、資料集或各種狀況的方法。</p> <p>而今釋出的Dioptra 1.0版預計提供幾項功能，一為模型測試，如第一方於開發生命周期中評估AI模型，或是第二方在收購前或於實驗室環境中以Dioptra來評估AI模型，以及身為第三方的審計員或合規官員用來評估模型的法規與道德標準。</p> <p><a href="https://www.ithome.com.tw/news/164165"><strong style="font-size: 22px;">Google著手處理Chrome密碼管理工具的臭蟲</strong></a></p> <p>日前有多名Chrome用戶在Reddit上反映，儲存在Chrome瀏覽器的密碼全部消失，而且將密碼備份匯入後也會立即不見。用戶發現在升級到127.0.6533.73版本後，才出現儲存密碼全部消失、無法按原本設定自動填入的情況。</p> <p>Google接獲通報後進行調查，並在將近18小時後緊急修補完成，並發布狀態頁解釋。根據Google初步分析，原因是Google產品開發部門對Chrome的產品行為做了變更，但未做好功能保護，導致密碼管理器無法儲存或找到密碼。實際上，密碼並未消失或被重設；用戶仍然能儲存密碼，但卻無法檢視。</p> <p>本問題影響Chrome M127版本，約有25%用戶已經部署了這次變更，其中近2%出現密碼神祕消失的情形。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164256"><strong>【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164242"><strong>【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164205"><strong>【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</strong></a></p> </div></div></div>
2024/8/2 16:53作者周峻佑https://www.ithome.com.tw/news/164277
可惡Android惡意軟體BingoMod，盜完銀行帳戶還順手抹除裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cleafy研究<a href="https://www.cleafy.com/cleafy-labs/bingomod-the-new-android-rat-that-steals-money-and-wipes-data" target="_blank">發現了新種類的Android惡意軟體</a>，並命名為 BingoMod。BingoMod會試圖接管裝置上銀行帳戶並且轉移金錢，在成功完成盜取任務後，攻擊者便會抹除受感染的裝置，消除BingoMod的活動痕跡，增加BingoMod被調查的困難度。</p> <p>BingoMod屬於遠端存取木馬（RAT），攻擊者可以利用它遠端控制受感染的裝置，並且利用裝置上詐騙（On Device Fraud）技術接管銀行帳戶。BingoMod主要透過簡訊釣魚的方式散布，其通常會偽裝成合法的防毒軟體，一旦BingoMod安裝至受害者裝置上，便會要求用戶啟用無障礙服務，當用戶授予請求權限，BingoMod APK便會開始自我解壓縮，並且執行惡意酬載（Payload）。</p> <p>BingoMod利用無障礙服務監控鍵盤紀錄，竊取用戶輸入的敏感資訊，並攔截金融機構透過簡訊發送的交易驗證碼，進一步竊取受害者身分並進行金融詐騙。另外，BingoMod還會透過遠端控制功能，讓攻擊者可以完全操縱受感染裝置，從遠端執行諸如點擊、填寫表單和打開應用程式等操作。</p> <p>同時，BingoMod還會使用Media Projection API獲取即時螢幕內容，把這些資料傳送給攻擊者，使其能夠監控裝置運作。此惡意軟體的釣魚手段包括覆蓋攻擊和虛假通知，誘使用戶輸入敏感資訊並且進一步傳播惡意軟體。</p> <p>不僅如此，BingoMod通常在成功竊取受害者銀行財務後，還會遠端抹除裝置。雖然研究人員指出，此功能僅限於清除裝置的外部儲存，但是攻擊者也可能透過BingoMod遠端存取能力，從系統設定中執行完整清除。</p> <p>BingoMod特性使其成為一個具高度威脅性的惡意軟體，對受感染裝置的控制能力極高，可以執行廣泛的惡意活動。研究人員認為BingoMod的開發者可能缺乏進階的惡意軟體技術或經驗，僅用了基本的混淆技術和簡單功能，相較於複雜性，開發者可能更重視功能快速實作。</p> <p>BingoMod雖然擁有類似於Brata惡意軟體的裝置抹除能力，但因為BingoMod相對簡單，所以研究人員猜測BingoMod裝置抹除功能，比較像是一種簡單的退出策略。</p> <p>防止BingoMod的措施除了避免點擊不明訊息中的連結，也要小心應用程式的權限請求，確保安裝可靠的防毒軟體和安全應用程式，同時也要為所有敏感帳戶啟用雙因素驗證，並且經常檢查金融交易紀錄，及早發現任何可疑和未經授權的活動。</p> </div></div></div>
2024/8/2 08:36作者李建興https://www.ithome.com.tw/news/164260
【資安日報】8月1日，Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週再度傳出微軟多項雲端服務運作異常的現象，許多使用者面臨不穩定，甚至是無法存取，由於一週前才<a href="https://www.ithome.com.tw/news/164028">發生了類似的情況</a>，因此，這起事故發生的原因，引起許多用戶的高度關注。</p> <p>7月31日微軟對此提出說明，起因是Azure的基礎設施遭到DDoS攻擊時，他們實作的防護措施竟然放大了流量而釀禍，導致重要元件運作效能大幅降低，嚴重影響各項雲端服務的運作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164247"><strong style="font-size: 22px;">微軟證實Azure服務不穩的原因，是DDoS防護功能異常造成</strong></a></p> <p>7月30日眾多Microsoft 365及Azure服務發生連線問題，多項服務出現無法存取，或是連線速度大降的問題。當時Azure狀態頁顯示，受影響服務涵括Microsoft 365管理員中心、Intune、Entra、Power Platform。微軟當時也要求管理員留意M365管理員中心編號MO842351的更新訊息。最後微軟團隊緊急變更網路配置，啟動備援計畫轉換到其他網路路徑排除問題。</p> <p>隔日微軟公布這起事故發生的原因，最初是Azure基礎架構遭遇DDoS攻擊，相關的防護機制隨之啟動，但後來他們調查發現，這些防護措施不僅沒有減緩攻擊流量，反而將其放大，導致Azure Front Door（AFD）及Azure Delivery Network（CDN）元件效能受到衝擊，進而引發用戶端間歇性錯誤、連線逾時、延遲大幅增加的情況。</p> <p><a href="https://www.ithome.com.tw/news/164246"><strong style="font-size: 22px;">Proofpoint郵件安全服務出現漏洞，攻擊者藉此發送數百萬封釣魚郵件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_olxDjak5YFCRW7-Ji0VMXg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_olxDjak5YFCRW7-Ji0VMXg.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露一起大規模網路釣魚攻擊行動，駭客疑似利用Proofpoint郵件防護服務的漏洞EchoSpoofing，從而讓發出的釣魚郵件具有通過驗證的SPF和DKIM簽章，並能回應Proofpoint的電子郵件轉發服務，而能夠突破主要的資安防護系統偵測。而這些駭客大量散布的釣魚郵件，用途是竊取收信人的資產或信用卡資料。對此，Proofpoint迅速採取行動來緩解弱點。</p> <p>採用這項Proofpoint郵件防護服務的企業大多相當知名，例如，財星100大企業有87家採用，包括迪士尼、IBM、Nike、可口可樂，因此上述漏洞的影響範圍，很可能相當廣泛。</p> <p>對於這起事故的受害期間與規模，根據Guardio的觀察，相關行動今年1月出現，平均每天寄出300萬封惡意郵件，單日最高可達到1,400萬封。</p> <p><a href="https://www.ithome.com.tw/news/164253"><strong style="font-size: 22px;">北韓駭客發動Dev#Popper攻擊行動，鎖定Windows、macOS、Linux開發人員而來</strong></a></p> <p>4月底資安業者Securonix揭露北韓駭客發起的Dev#Popper攻擊行動，攻擊者假借徵才的名義，尋找開發人員下手，事隔3個月，他們發現這些駭客的手法變得更加刁鑽，攻擊的範圍橫跨多種作業系統。</p> <p>而對於這些駭客啟動攻擊鏈的方式，研究人員指出，一旦面試者取得對方提供的ZIP壓縮檔，下達npm install及npm start的命令部署NPM套件，埋藏其中的JavaScript程式碼就會執行，啟動感染鏈。雖然攻擊流程大致相同，但這次不光針對Windows電腦，也鎖定Linux及macOS作業系統，顯然影響範圍擴大。</p> <p>駭客並未挑選特定的目標進行攻擊，但Securonix看到韓國、北美、歐洲、中東地區都有人受害，顯示這波行動影響的國家區域不少。</p> <p><a href="https://www.ithome.com.tw/news/164255"><strong style="font-size: 22px;">網路釣魚攻擊鎖定OneDrive用戶，引誘執行惡意PowerShell指令碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/onedrive-pastejacking-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/onedrive-pastejacking-3.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix揭露針對雲端檔案共享服務OneDrive用戶而來的攻擊行動，駭客先是寄送釣魚郵件，其中內含HTML附件檔，一旦收信人開啟，電腦就會顯示共享PDF檔案Reports.pdf的OneDrive網頁，並彈出Error 0x8004de86錯誤訊息，聲稱無法與OneDrive服務連線，使用者必須手動更新DNS快取來因應。</p> <p>假如使用者點選How to fix按鈕，就會看到「指示」，要求按下特定快速鍵（視窗鍵+X）並執行PowerShell或是終端機，然後在視窗裡先後按下Ctrl+V及Enter。一旦使用者依照指示操作，電腦就會執行以Base64編碼處理過的PowerShell命令。 </p> <p>究竟駭客何時擅自將惡意指令複製到剪貼簿？答案就是使用者按下How to fix之後，會同時觸發HTML檔案內嵌的JavaScript指令碼特定功能函數呼叫。</p> <p><a href="https://www.ithome.com.tw/news/164254"><strong style="font-size: 22px;">駭客冒用Google名義上架身分認證App廣告，企圖散布竊資軟體DeerStealer</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image_fa7354.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_fa7354.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露藉由提供Google Authenticator散布惡意程式的攻擊行動，駭客透過Google廣告進行宣傳，但特別的是，這則廣告的贊助商，竟然是google.com，使用者很可能以為是Google自己的廣告而上當。</p> <p>他們也追蹤使用者點選廣告之後的連線，在存取這個冒牌Google Authenticator網站（chromeweb-authenticators[.]com）的過程裡，駭客透過自己控制的網域進行重新導向。假如使用者點選駭客提供下載連結，電腦就會從GitHub下載竊資軟體DeerStealer。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc4393-goes-gently-into-silentnight/"><strong style="font-size: 20px;">勒索軟體駭客組織Black Basta打造自製惡意程式迴避偵測</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cybereason.com/blog/cuckoo-spear">中國駭客組織Cuckoo Spear鎖定日本企業組織，散布惡意程式LodeInfo、NoopDoor長達2至3年</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/bingomod-the-new-android-rat-that-steals-money-and-wipes-data">安卓惡意軟體BingoMod洗劫受害者的銀行帳戶，得逞後還會抹除裝置檔案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/gxc-team-unmasked/">研究人員揭露以人工智慧開發的網路犯罪服務，將網釣工具包結合惡意安卓應用程式</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164217"><strong style="font-size: 22px;">W3C對Google決定續留第三方Cookie感到意外，呼籲重新考慮</strong></a></p> <p>Google在日前突然宣布放棄在Chrome中封鎖第三方Cookie的計畫，這不只使得第三方Cookie固有特性帶來的隱私議題再度浮上檯面，同時也可能影響跨瀏覽器所提出的第三方Cookie替代方案的推展，W3C希望Google重新考慮保留Cookie的決定。</p> <p>W3C已經與Chrome隱私沙箱團隊、社群合作多年，共同尋求第三方Cookie替代解決方案，W3C表示，對於Google突然宣布不再計畫淘汰第三方Cookie感到意外，也認為會對改善網路隱私工作產生不利的影響，希望Google能重新考慮並扭轉他們的決定，重回移除第三方Cookie的路線。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.doe.gov.taipei/News_Content.aspx?n=B3DDF0458F0FFC11&sms=72544237BBE4C5F6&s=02C41D2E94033F0D"><strong style="font-size: 20px;">復興高中AI資安學程正式啟動，並與東吳大學進行策略聯盟，實現學程無縫銜接</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164242"><strong>【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164205"><strong>【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164175"><strong>【7月29日】北韓駭客APT45遭美國司法部通緝，揭露受害者涵蓋美國、臺灣、韓國的國防承包商</strong></a></p> </div></div></div>
2024/8/1 17:08作者周峻佑https://www.ithome.com.tw/news/164256
Google推出針對Android開發者的應用程式安全知識庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出了<a href="https://android-developers.googleblog.com/2024/07/making-security-easy-vuln-remediation.html">Android應用程式安全知識庫（Android Application Security Knowledge Base，AAKB）</a>目的是要提升應用程式的安全性，提供針對Android開發者設計的指南和資料庫，協助開發者建置更具安全性的應用程式。</p> <p>Google提供明確且經過驗證的安全開發指南和程式碼範例。官方指出，這些指南遵循OWASP MASVS標準，並與其技術合作夥伴微軟共同審查，確保內容不偏袒且反應最新的標準。AAKB同時也是開發者教育平臺，透過提供業界標準的指導，協助開發者主動修補應用程式中的安全風險，並且從中學習專家知識。</p> <p>AAKB頁面展示各類安全指南文章，其對應相關的OWASP MASVS類別，讀者可以查看並直接對文章內容提供回饋。除此之外，開發者也可以透過Android Studio，查看AAKB的安全指南，Android Studio IDE內建的程式碼檢查功能（Lint Checks），能夠在開發者建置應用程式時，提供相關AAKB文章，協助開發者即時修復問題，減少程式碼的問題。</p> <p>另外，開源的Android程式碼安全檢查函式庫，也會提供AAKB的安全指南。在Android Studio Giraffe以上版本，IDE介面提供問題描述，而現在這些描述已整合AAKB，更新之後將包含指向AAKB文章的連結，提供更多背景知識，協助開發者了解特定程式碼片段可能存在的潛在風險。</p> <p>AAKB是一個持續更新的知識庫，根據最新的安全威脅和技術變化新增內容。透過Android Studio內建功能和開源的安全檢查函式庫，開發者可以獲得最新的安全指南和修復建議，更簡單地在開發過程及早發現並修復漏洞，提升整體產品安全性和品質。</p> </div></div></div>
2024/7/31 08:25作者李建興https://www.ithome.com.tw/news/164206
【資安日報】7月29日，北韓駭客APT45遭美國司法部通緝，揭露受害者涵蓋美國、臺灣、韓國的國防承包商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日北韓駭客組織APT45的攻擊行動被大量揭露，但值得注意的是，美國司法部也公告緝拿該組織一位北韓駭客成員，當中意外揭露了有臺灣國防承包商也是APT45的受害者。</p> <p>由於許多媒體報導可能忽略了這一消息，但這樣的狀況是需要我們國防單位去進一步了解。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164170"><strong style="font-size: 22px;">APT45成員遭美國司法部通緝，意外揭露臺灣也有國防承包商遭北韓駭客攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164158">Google</a>、微軟在7月24日相繼針對北韓駭客組織APT 45（微軟稱其為Onyx Sleet）發布研究報告，揭露其最新攻擊行動，同一日，<a href="https://www.ithome.com.tw/news/164149">美國司法部起訴APT45中一名北韓駭客Rim Jong Hyok</a>，指控他參與多起針對美國醫院及醫療保健服務供應商的勒索軟體攻擊行動，並祭出懸賞和逮捕令。</p> <p>值得我們關注的是，<a href="https://www.justice.gov/opa/pr/north-korean-government-hacker-charged-involvement-ransomware-attacks-targeting-us-hospitals">在美國司法部公布的資訊中</a>，透露臺灣也有國防合約承包商也受到APT45的攻擊。</p> <p>根據美國司法部的說明，該名駭客與及共犯所入侵的目標，包括美國國防承包商、兩個美國空軍基地、NASA監察長辦公室，以及韓國、臺灣的國防承包商，以及1家中國能源公司，都成為APT45攻擊下的受害者，敏感資料被竊取。</p> <p>這樣的狀況，也需要我國的國防單位去進一步了解，以進一步掌握該國防承包商被APT45入侵的情況。</p> <p><a href="https://www.ithome.com.tw/news/164155"><strong style="font-size: 22px;">燦坤與燦星網同日發布資安重訊，說明資訊系統遭受網路攻擊，目前線上購物網站持續停擺</strong></a></p> <p>上市公司遭遇資安事故的消息不斷，在7月23日「燦坤實業」與「燦星網通」同時發布資安事件重大訊息，說明公司資訊系統遭受網路攻擊，值得關注的是，這又是一起同集團均受影響的狀況。</p> <p>而且上市電子通路業燦坤與上市電器電纜業燦星網發布重訊的時間，是在23日晚間10點，也就是上星期三凱米颱風來臨前夕。兩家公司發布的內容完全相同，主要說明公司資安人員在查知遭受網路攻擊時，已於第一時間啟動相關防禦機制，評估對公司日常營運尚無重大影響。</p> <p>雖然重訊內容相當簡短，並未透露事件的具體影響範圍，但我們在26日查詢燦坤線上購物網站，以及燦星網通的公司網站，這些網站均無法連上。而在燦坤3C的臉書粉絲專頁上，我們發現該公司在23日早上9點38分就公告說明燦坤線上購物因系統維護，暫停服務中。截至7月29日（週一）中午，我們仍未看到復原的公告。</p> <p><a href="https://www.ithome.com.tw/news/164161"><strong style="font-size: 22px;">逾3千個GitHub帳號遭駭客組織Stargazer Goblin濫用，作為散布惡意軟體的管道</strong></a></p> <p>駭客濫用程式碼儲存庫GitHub來散布惡意程式的情況，近年不斷有相關消息，但如今有人大規模經營這類帳號提供他人運用，形成龐大的網路犯罪生態圈。</p> <p>資安業者Check Point揭露專門經營GitHub帳號網路的駭客組織Stargazers Ghost，對方經營由超過3千個GitHub「幽靈」帳號組成的網路，並將其用於散布惡意軟體及惡意連結。</p> <p>駭客為了讓這些儲存庫看起來是正當使用，他們還會為儲存庫加上星號、建立版本分支，並且訂閱其他惡意儲存庫。而且，該組織還會利用儲存庫提供惡意連結，而不是存放惡意軟體，而這些連結有許多的GitHub「用戶」背書，獲得大量的「星星」或是「驗證」，使其看起來更為真實、合法。</p> <p><a href="https://www.ithome.com.tw/news/164179"><strong style="font-size: 22px;">CrowdStrike大當機的省思，臺灣大型醫院學到這2件事</strong></a></p> <p>經歷7月19日大當機事件，臺灣一家大型醫院除了自我警惕、更版流程要更嚴謹外，也開始評估雙備援機制的原主機和備援主機，是否應採用不同廠商的防護服務，以免廠商出事、備援主機仍無法作業。例如，針對雙主機備援架構（HA），「2臺主機要採用不同資安廠商產品，才能降低廠商發生問題、備援主機無法執行的風險，」一位大型醫院知情人士說。</p> <p>回顧整起事件，醫院IT盤點，由於他們將CrowdStrike資安防護軟體安裝於部分主機，其餘則使用另一家廠商防護軟體，也因此，醫院最繁忙的門診系統並未受到影響，對醫院的整體衝擊並不大。</p> <p><a href="https://www.ithome.com.tw/news/164171"><strong style="font-size: 22px;">英國國民健康服務NHS遭遇勒索軟體攻擊7週後，已造成當地近1萬個病患手術被迫延後</strong></a></p> <p>近期<a href="https://www.ithome.com.tw/news/164062">CrowdStrike大當機事件導致全球不少醫院</a>受影響，不過上個月初還有一起發生在醫療院所的重大資安事故，那就是上個月初英國病理學暨診斷服務供應商<a href="https://www.ithome.com.tw/news/163329">Synnovis遭網路攻擊</a>，至今即將兩個月，這起事件仍為當地醫療服務帶來極大的影響，。這起網路攻擊事件發生在6月3日，當時造成英國倫敦多家國家保健署（NHS）醫院的部分服務被迫中斷，英國網路安全中心（NCSC）指出是俄羅斯勒索軟體駭客組織Qilin所為。值得注意的是，到了6月下旬，駭客組織又在暗網上聲稱公布3億筆病患資料，甚至要脅Synnovis支付4000萬英鎊（約16億元）贖金。如此大規模的病患資料外流消息，使得當地民眾人心惶惶。</p> <p>最近，<a href="https://www.england.nhs.uk/london/synnovis-ransomware-cyber-attack/latest-media-statement-on-synnovis-cyber-attack/">英國NHS仍每週公布最新進展，說明這起事件的復原狀況，</a>像是7月25日，NHS表示在7月中旬，仍有兩家醫院的1,122個急診預約與46個非緊急手術不得不取消，因此總計下來，已造成8,349個急診預約與1,608個非緊急手術被迫延後。換言之，儘管手術延後的數量有減少，但這起攻擊事件的影響仍在持續。所幸也有好的消息，在事件發生七週之後，NHS表示，Synnovis如今已經重建大部分的系統。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/164066"><strong style="font-size: 20px;">Android版Telegram漏洞讓駭客將惡意程式偽裝成影音檔</strong></a></p> <p>◆<a href="https://www.seoul.co.kr/news/politics/diplomacy/2024/07/29/20240729004002"><strong style="font-size: 20px;">南韓軍情人員資料外洩，恐有數千名現職人員個資流向北韓</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164168"><strong style="font-size: 22px;">PKfail安全啟動繞過漏洞恐衝擊數百萬設備，影響技嘉、Supermicro、Dell等9大業者</strong></a></p> <p>韌體安全公司<a href="https://www.binarly.io/blog/pkfail-untrusted-platform-keys-undermine-secure-boot-on-uefi-ecosystem">Binarly在7月25日揭露名為「PKFail」的漏洞</a>，指出他們在今年稍早曾發現，BIOS大廠AMI的Secure Boot相關主金鑰（在UEFI領域稱平臺金鑰Platform Key，PK），在一次ODM廠商的資料外洩事故當中，遭到公開而曝光。</p> <p>更嚴重的問題在於，他們發現業界存在PKFail這樣的韌體供應鏈問題，Binarly研究小組指出，這個平臺金鑰應由裝置廠商自己產生與管理，並使用最高加密技術保護，並且遵循最佳實踐，但他們研究後發現，實際情形卻是：BIOS廠商在他們提供的參考程式碼，嵌入一把金鑰，並期望OEM或設備廠商會換掉它，但很多廠商沒有這樣做。也就是說，不同電腦與伺服器廠商都共用同一把金鑰，導致該平臺金鑰完全不能被信任，以致於PKFail是一個影響數百萬設備的韌體供應鏈問題。</p> <p><a href="https://22222483.fs1.hubspotusercontent-na1.net/hubfs/22222483/Reports/PKfail%20-%20Binarly%20Research%20Report%20July%2025%202024.pdf">根據Binarly說明，他們總共發現有22個獨特但不可信的平臺金鑰</a>，至於受影響業者的產品數量，以技嘉有產品最多，其次為Supermicro、Dell、HP、聯想、Intel、宏碁、Fujitsu、Aopen、Formelife。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/164047"><strong style="font-size: 20px;">Atlassian修補Bamboo、Confluence、Jira高風險漏洞</strong></a></p> <p>◆<a href="https://www.ithome.com.tw/news/164034"><strong style="font-size: 20px;">SolarWinds修補存取權限稽核系統ARM中RCE、路徑走訪等多項重大漏洞</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164032"><strong style="font-size: 22px;">微軟、Nvidia、英特爾及Google共創安全AI聯盟CoSAI</strong></a></p> <p>專門推動全球結構化資訊標準的非營利組織OASIS Open發表了安全AI聯盟（Coalition for Secure AI，CoSAI），這是一個開源倡議，計畫建立一個協作生態體系，以分享與AI安全設計有關的方法、標準化框架及工具。</p> <p>目前該聯盟已有3大工作任務，包括：AI系統的軟體供應鏈安全、促進防禦者為不斷變化的網路安全局勢做好準備、AI安全治理。這項計畫的主要贊助者有Google、IBM、Intel、微軟、Nvidia與PayPal，其他贊助者還包括Amazon、Anthropic、思科、Chainguard、Cohere、GenLab、OpenAI及Wiz。</p> <p><a href="https://www.iii.org.tw/Press/NewsDtl.aspx?nsp_sqno=2505&fm_sqno=14"><strong style="font-size: 22px;">資策會成立「FAITH未來移動安全信賴評測中心」，成為臺灣首個車輛軟體評測單位</strong></a></p> <p>資訊工業策進會（資策會）在7月22日宣布成立全臺首家「未來移動安全信賴評測中心（Formosa Automobility Intelligence Trustworthy Hub, FAITH）」，目的是樹立車輛軟體評測中心的標竿，填補產業標準規範、資安服務需求及技術諮詢不足的現況，希望透過第三方機構，建立AI感知、韌性通訊、資訊安全所需的評測機制與情境，以協助評估與確認移動產品的可靠度及安全，而其適用對象涵蓋晶片、模組、系統到Tier 1供應商及車廠等，可包含廣泛的產業鏈。</p>  <p> </p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/164109"><strong style="font-size: 20px;">資安專家揭露企業導入SBOM軟體物料清單有六大常見迷思</strong></a></p> <p>◆<a href="https://www.ithome.com.tw/news/164169"><strong style="font-size: 20px;">美國釋出用來評估AI安全的Dioptra平臺</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164152"><strong>【7月26日】資安業者KnowBe4驚傳僱用北韓駭客，對方利用深偽技術應徵工作得逞，直到從事可疑行為才東窗事發</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164083"><strong>【7月23日】臺灣企業因CrowdStrike產品更新造成電腦當機的情況，金融、資服、傳統製造、高科技製造業都傳出災情</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164058"><strong>【7月22日】資安業者CrowdStrike更新事故衝擊規模初步統計出爐，至少影響850萬臺電腦、67萬企業用戶</strong></a></p> </div></div></div>
2024/7/29 17:47作者羅正漢https://www.ithome.com.tw/news/164175
Android版Telegram漏洞讓駭客將惡意程式偽裝成影音檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.welivesecurity.com/en/eset-research/cursed-tapes-exploiting-evilvideo-vulnerability-telegram-android/" target="_blank">ESET本周揭露</a>了Android版Telegram的一個安全漏洞，允許駭客於Telegram頻道、群組或聊天室中分享惡意的APK檔案，並將它偽裝成影音檔，以吸引使用者播放，進而安裝其它惡意程式。</p> <p>Telegram的預設會自動下載多媒體檔案，儘管駭客分享的不是多媒體檔案，而是一個二進位的APK檔，卻被Telegram視為影片檔而自動下載，但它的副檔名卻是.apk。</p> <p>在Android版Telegram用戶收到此一看起來像是影片的檔案後，由於它並非影片，因此無法播放，Telegram會建議用戶使用其它的播放程式來播放，當使用者選擇使用其它程式時，所安裝的就是駭客所提供的惡意程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0723-telegram-ESET-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／ESET</span></span></p> <p>研究人員認為，駭客所製作的酬載應該是利用Telegram API打造的，猜測漏洞存在於Telegram允許駭客將二進位應用程式顯示為影片，以欺騙使用者。</p> <p>ESET是在6月26日發現駭客正於地下論壇兜售該漏洞，它影響Android for Telegram 10.14.4及更早之前的版本，並通知Telegram，Telegram則在7月11日釋出10.14.5版進行修補。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0723-telegram-underground%20forum-ESET.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／ESET</span></p> <p>此外，此一漏洞僅波及Android版Telegram，不管是透過Web版或Windows版的Telegram接收該偽裝成影片的APK檔時，該檔案的副檔名皆會被Telegram轉為.mp4，企圖播放時即會出現錯誤，因而逃過一劫。</p> </div></div></div>
2024/7/23 13:15作者陳曉莉https://www.ithome.com.tw/news/164066
以色列駭客工具40分鐘破解川普刺客的Android手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2024-07-18/fbi-used-new-cellebrite-software-to-access-trump-shooter-s-phone" target="_blank">彭博報導</a>，聯邦調查局（FBI）在一家以色列業者提供的工具協助下，40分鐘就破解而得以存取本月攻擊美國總統候選人川普的刺客所持有的新款Android手機。</p> <p>本月13日川普在賓州一座農場公開造勢發表演說時，遭到賓州男子Thomas Matthew Crooks企圖行刺。川普僅右耳受傷，而刺客隨後遭到狙擊手擊斃。美國聯邦調查局（FBI）取得Crooks的手機以調查行刺原因及是否有共犯，事件隔日還無法存取手機，但第二天FBI就宣布成功存取其中內容，但對於如何破解手機鎖定及刺客使用的手機品牌，FBI皆未說明。</p> <p>彭博上周引述消息人士報導，FBI是在以色列業者Cellebrite協助下，以一款「開發中、尚未公布」的產品破解「較新款」的三星手機，而且僅花了40分鐘。</p> <p>以色列公司Cellebrite提供的破解工具，主要銷售給各國政府或警方作為辦案蒐證之用。2016年FBI為了偵辦一宗槍擊案要求蘋果協助解鎖已死嫌犯的iPhone手機，遭到蘋果拒絕，雙方並曾對簿公堂。最後<a href="https://www.ithome.com.tw/news/111649" target="_blank">FBI尋求</a>第三方業者協助破解iOS的加密防護。這家公司據傳即為Cellebrite。</p> <p>這類工具和安全軟體之間存在技術競賽。Cellebrite 2018年還曾打廣告<a href="https://www.ithome.com.tw/news/121536" target="_blank">宣稱</a>可破解iOS 11。但根據<a href="https://www.404media.co/leaked-docs-show-what-phones-cellebrite-can-and-cant-unlock/" target="_blank">404Media</a>取得Cellebrite今年4月份的技術文件報導，該公司目前尚無法破解iOS 17.4以後版本，以及執行iOS 17.1到17.3.1的iPhone，但iPhone XR及11則已經可以破解，也即將可以破解iPhone 12。</p> <p>報導指出，該份技術文件列出了多款可以被破解的Android版本及手機，除了某些Google Pixel手機之外。</p> </div></div></div>
2024/7/23 10:05作者林妍溱https://www.ithome.com.tw/news/164064
簡化與強化密碼管理資安防護，群暉提供國產解決方案
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/synology_c2_password-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著各種雲端服務、社群網路應用大爆發，再加上多個網站、大型業者陸續傳出巨量資料外洩事件，使用者帳號密碼安全性不足、採用相同密碼的問題，衍生的資安事故層出不窮，因此，近年來IT領域持續推動無密碼（Passwordless）的相關應用，像是FIDO聯盟發展的多種身分認證機制，但仍有不少系統與服務必須仰賴密碼驗證身分，所以目前很難徹底擺脫這類身分管理機制。</p> <p>雖然市面上有多種瀏覽器後續普遍提供密碼管理功能，例如，帳號與密碼的儲存、自動填入，以及建議安全密碼內容等功能，不過，道高一尺、魔高一丈，駭客與惡意軟體也發展可側錄相關內容、直接竊取瀏覽器密碼儲存庫的手法，使得這類兼顧簡化與強化密碼安全的功能，也蒙上一層難以徹底信任的陰影。</p> <p>若使用第三方廠商推出的密碼管理器，像是LastPass、1Password，去年也出現受到直接或間接事件而導致外洩的消息，使得採用這些服務的用戶也難以放心，該如何妥善儲存與管理這類身分憑證，再度成為大家最頭痛的日常資安問題之一。</p> <p>在今年台北國際電腦展期間，群暉科技舉行的Synology Solution Exhibition 2024活動，他們長期發展的Synology C2雲端安全防護系列服務，當中就有一款解決方案專司這類應用需求，稱為Synology C2 Password，於2021年6月發表，7月底正式推出，12月付費版本C2 Password Plus上線，2022年至2023年初，C2 Password陸續提供iOS、Android平臺的行動App軟體，Firefox、Safari這兩款瀏覽器平臺的擴充套件，以及商用版本C2 Password Business。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20Solution%20Exhibition%202024-06-1.jpg" style="width: 600px;" /></p> <p>關於服務存取與資料安全的確保上，包含C2 Password在內的多個Synology C2服務，均須輸入1組密碼，以此建立專屬加密金鑰C2 Encryption Key，之後存放在Synology C2雲端服務與C2伺服器的資料，以及在裝置與C2伺服器傳輸的資料，都會搭配這組金鑰，並且使用AES-256與RSA加密演算法進行保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Synology%20C2.png" style="width: 400px;" /></p> <p>若使用者是透過Windows、Mac、Linux電腦來存取C2系列服務，還可改用相容於FIDO2/WebAuthn標準的硬體金鑰，或是指紋、臉部這兩種生物辨識（Linux系統不支援）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Authenticator.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/Synology Account Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20Account%20Security.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password App-setting.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password%20App-setting.jpg" style="width: 99px;" /></a></p> <p>在日常使用上，用戶可在C2管理主控臺逐一新增常用的帳號密碼，也支援7種密碼管理器的帳密匯入，涵蓋3大瀏覽器：Chrome、Firefox、Safari，以及4大密碼管理服務：1Password、Bitwarden、Dashlane、LastPass。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password-import.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password-import.jpg" style="width: 600px;" /></a></p> <p>用戶還可以在C2管理主控臺與行動App當中，執行密碼產生器的功能，以便快速取得符合指定長度，且具有大寫字母、小寫字母、數字、特殊字元的密碼內容組成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password%20generator.jpg" style="width: 460px;" /> <a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password App-gnerator.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password%20App-gnerator.jpg" style="width: 99px;" /></a></p> <p>若要了解已儲存密碼的安全性是否足夠，C2 Password也內建登入安全性（login security）的監督分析功能，可協助檢查是否為弱密碼、重複使用的密碼（reused），以及因已知資料外洩而被公開揭露的密碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password-Login Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password-Login%20Security.jpg" style="width: 460px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Synology C2 Password App-login Sec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology%20C2%20Password%20App-login%20Sec.jpg" style="width: 99px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Synology C2 Password</strong><br /> ●原廠：群暉科技<br /> ●建議售價：免費版0元，Plus版每年6個使用者149元，Business版每年10個使用者5,990元<br /> ●加密保護技術：256位元AES、RSA<br /> ●支援平臺：瀏覽器（Chrome、Firefox、Edge、Safari）、行動裝置（iOS、Android）<br /> ●資料中心：美國地區西雅圖、德國地區法蘭克福、亞太地區臺灣●管理的安全項目上限：1萬個●防護功能：儲存密碼、自動填入密碼、密碼健診、密碼產生器、保管庫管理（Business版）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/22 16:57作者李宗翰https://www.ithome.com.tw/review/164039
微軟將在11月終止支援.NET 6，用戶應升級到.NET 8
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/dotnet-6-end-of-support/" target="_blank">微軟再度發出溫馨提醒</a>，.NET 6將在2024年11月12日來到生命周期終點（end of lifecycle，EoL）。</p> <p>在11月12日後，.NET 6將不再獲得安全更新及技術支援。微軟呼籲用戶必須在此日期前升級到.NET 8。</p> <p>.NET 6是在2021年2月釋出6.0.0第一個預覽版，並在同年11月8日推出正式版。<a href="https://github.com/dotnet/core/blob/main/release-notes/6.0/README.md" target="_blank">根據微軟的說明頁</a>，.NET 6屬於長期支援（Long Term Support，LTS）版本，從正式推出日獲得3年支援，於2024年11月12日終止。</p> <p>.NET 6支援的作業系統廣泛，包括Android 14, 13, 12.1, 12、iOS、iPadOS、tvOS 15-17及macOS 12-14、多個Linux版本（如Red Hat Enterprise Linux、SUSE、Debian、Ubuntu），以及Windows：Windows 10 1607- Windows 11、Server 2012-23H2、Windows Server Core 2012-23H2及Nano Server 2019、2022。最後一個版本是6.0.32版。</p> <p>.NET 6後的.NET 7則已經提早終止支援。<a href="https://devblogs.microsoft.com/dotnet/dotnet-7-end-of-support/" target="_blank">根據微軟網頁</a>，.NET 7屬於標準期支援（Standard Term Support，STS），只提供18個月的安全更新。因此2022年11月才推出的.NET 7，已在今年5月28日EoL。</p> <p>最新的<a href="https://github.com/dotnet/core/blob/main/release-notes/8.0/README.md" target="_blank">.NET 8</a>為2023年11月推出，也是屬於長期支援，支援期間將到2026年11月。</p> </div></div></div>
2024/7/19 12:45作者林妍溱https://www.ithome.com.tw/news/164022
微軟釋出生成式AI設計工具Microsoft Designer的行動版程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2024/07/17/new-ways-to-get-creative-with-microsoft-designer-powered-by-ai/" target="_blank">微軟近日釋出</a>了生成式AI設計工具Microsoft Designer的行動版程式，它們分別支援<a href="https://play.google.com/store/apps/details?id=com.microsoft.designer&hl=zh_TW&pli=1" target="_blank">Android</a>與<a href="https://apps.apple.com/tw/app/microsoft-designer/id6448308247" target="_blank">iOS</a>平臺，允許使用者輸入文字敘述來建立影像、貼圖、桌布、賀卡，或者是移除及模糊背景，每日有15次的免費使用次數，但不管是<a href="https://designer.microsoft.com/" target="_blank">網頁版</a>、行動版或結合其它微軟產品的Microsoft Designer，都必須登入微軟帳戶才能使用。</p> <p>Microsoft Designer奠基在OpenAI所建立的文字轉圖像模型DALL-E，使用者除了可直接輸入描述圖像細節的文字之外，上述的每個功能都有範本可以參考，因此也能藉由變更範本中的文字描述來產生圖像。</p> <p>微軟似乎打算利用Microsoft Designer全面攻占文字生成圖像領域，它不僅有網頁版，行動程式版，也可透過Microsoft Edge瀏覽器的側邊欄存取，已被整合至Microsoft Copilot，亦於本周整合了<a href="https://blogs.windows.com/windows-insider/2024/07/17/microsoft-photos-introduces-even-more-ai-editing-capabilities-with-microsoft-designer/" target="_blank">Microsoft Photos</a>，雖然必須登入微軟帳戶才能使用，但每日有生成15次的免費額度，若為Copilot Pro訂閱用戶，每日使用額度則為100次。</p> <p>不過，在手機上使用Microsoft Designer與手機資源有關，有些圖像生成任務必須耗費較長的時間。</p> </div></div></div>
2024/7/18 12:01作者陳曉莉https://www.ithome.com.tw/news/163989
愛立信：2029年全球5G用戶數預估將達近56億
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛立信（Ericsson）最新行動趨勢報告顯示，目前全球約有300家電信商提供5G服務，今年第一季5G用戶數將突破17億，而到了2029年將增加至接近56億用戶（下圖，圖片來源：愛立信）。愛立信預期全球5G服務從NSA非獨立組網向5G SA獨立組網發展，因獨立組網架構提供更靈活及擴展性，帶動差異化的5G服務。</p> <p>以地區來看，北美地區發展較早，其5G滲透率已接近6成，其次是東北亞地區，5G滲透率為41%。臺灣方面，根據NCC最新統計，國內5G用戶數已突破900萬。愛立信也預估到了2029年，5G將成為全球主流的行動技術，臺灣在內的東北亞用戶數可望達到18億。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5Gusers.jpg" style="width: 600px; height: 336px;" /></p> <p>該報告指出，全球約300家電信商中，約50家電信商提供5G SA，日本、韓國、新加坡、中國已有5G SA獨立組網。現有主流的5G NSA提供盡其所能Best-effort服務，5G SA獨立組網能夠針對不同應用的需要客製化網路切片，提供具有差異化的服務，例如針對特別需要極低延遲的應用提供專門的切片網路。</p> <p>愛立信指出，5G從NSA向SA獨立組網發展，可實現更多的技術，不只是網路端，終端裝置也從NSA轉向支援SA，包括Android 13及iOS 17開始，開發人員可在App裡支援電信業者的網路切片技術，還有輕量化的RedCap連網技術，支援攝影機、路由器或穿戴裝置，此外，整合多個頻段的載波聚合技術，以進一步再提高5G網速。</p> <p>隨著行動上網已融入人們的生活，行動數據使用量也快速增加，由於用戶上網行為向資料密集型內容(例如影片)轉移，根據統計，全球行動數據量在2023年3月到2024年3月期間成長25%，今年第一季，全球每月行動數據量達到145EB，愛立信預期到2029年，行動數據量年複合成長率達約20%，2023年底約四分之一行動數據為5G，2029年將增加至75%。</p> <p>5G的應用情境中，報告指出，FWA固定無線接取已成為僅次於增強型行動寬頻應用的第二大應用，全球310家電信商，約241家提供FWA服務，其中超過半數提供5G FWA服務，較同期成長12%。由於5G FWA在下載、上傳表現已可和光纖比美，4成電信商的5G FWA服務按網速收費。</p> <p>針對用戶5G行動上網體驗，愛立信實驗室以Time-to-content內容反應時間來看，也就是從用戶點擊到影片開始播放或網頁完成載入的時間，如果要達到比較好的用戶體驗，愛立信認為下載網速應至少達到20Mbps，內容反應時間少於1.5秒為最佳，反應時間愈長，代表用戶需等待較長的時間，上網體驗也愈差。</p> <p>愛立信以北美一家電信商的資料，發現5G服務在中頻有97%的用戶，其內容反應時間少於1.5秒，而使用低頻的5G服務，比例降至67%，如果為4G所有頻段則是38%，顯示5G中頻服務提供較佳的用戶體驗。目前全球25%基地臺採用5G中頻頻段。</p> <p>臺灣愛立信表示，5G中頻服務在涵蓋及網路容量之間取得平衡，相較於其他國家規畫無線頻段的技術性，臺灣主管機關對頻譜資源規畫為技術中立，由電信商依需求決定採用哪種行動網路技術，例如2G、3G關閉後，原先使用頻段轉移至4G、5G服務使用，有助於提升用戶的體驗。</p> <p>在手機方面，經歷3年的下滑後，今年第一季全球智慧型手機出貨成長6%，市場成長動力潛力包括具備生成式AI的高階手機晶片，以及裝置端AI，可能帶動消費者汰換手機。愛立信認為這些終端裝置可能改變消費者的行為，並改變消費者使用應用及服務的方式。</p> </div></div></div>
2024/7/17 17:18作者蘇文彬https://www.ithome.com.tw/news/163978
涵蓋內部系統、外部網站、AI服務，趨勢打造單一遠端安全存取
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/trend_micro_vision_one_ztsa-console1-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經歷長達3年COVID-19疫情，企業與組織為了維持日常正常運作，大舉開放在家辦公（WfH）與任何地方辦公（WfA），帶動全球的<a href="https://www.ithome.com.tw/tags/sase">安全存取服務邊緣（SASE）</a>需求，而在SASE這類型應用當中，特別著重在資安防護方面的解決方案，稱為安全服務邊緣（SSE），目前市面上已有多個廠牌可提供這樣的產品，例如，先前我們曾陸續介紹的<a href="https://www.ithome.com.tw/review/116219">Zscaler Private Access</a>與Zscaler Internet Access、<a href="https://www.ithome.com.tw/review/143078">Citrix Secure Internet Access</a>，以及<a href="https://www.ithome.com.tw/review/160782">Cisco Secure Access</a>。</p> <p>而在今年5月中舉行的2024臺灣資安大會期間，我們看到趨勢科技也正式向大家展示他們的SSE，名為Trend Vision One Zero Trust Secure Access（ZTSA），這項解決方案最初是在2022年7月推出，本身是由ZTSA Internet Access和ZTSA Private Access組成，能夠針對企業與組織內部的應用系統，以及位於雲端服務的應用系統，提供安全存取的方式，可涵蓋任何使用者、裝置、地點，以及時間。</p> <p>換言之，導入這套解決方案，可確保只有通過身分驗證的使用者、遵循資安政策的設備，才能在指定的地理位置與時間，存取事先經過授權的應用系統與網路連線資源，而為了避免因為身處同一個網路環境與地理位置，而產生過度信任的問題，趨勢科技提供多種功能與技術，像是具備裝置感知，以及基於身分而成、有資安政策支撐的存取控制。</p> <p>基本上，當企業與組織面對位於公開網路及組織內部環境的應用系統存取活動時，ZTSA能協助建立具有適應力、可自動決策判斷的機制，以便透過緩解、偵測、應變等作法，減少上述兩種環境的網路存取風險，</p> <p>就產品本身的定位而言，ZTSA是趨勢資安威脅與風險管理平臺<a href="https://www.ithome.com.tw/review/158555">Trend Vision One</a>的一環，這當中也整合攻擊面風險管理系統（ASRM），以及延伸式威脅偵測與應變系統（XDR）。</p> <p>關於資安防護技術的運用，ZTSA不僅具備如同產品名稱強調的零信任網路存取，同時結合趨勢科技長期發展的網頁安全閘道（SWG）、雲端存取安全代理（CASB），並且能夠根據Vision One平臺Attack Surface Risk Management（ASRM）解決方案的Risk Insights，提供基於風險的動態存取控管能力，也整合Vision One平臺XDR提供進階威脅偵測能力，以及Vision One平臺的單一代理程式，拓展多元的資安防護應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Visiob%20ZTSA-1.jpg" style="width: 600px;" /></p> <p>整體而言，Trend Vision One ZTSA透過單一平臺，同時防護終端使用者與連網裝置的各種應用程式存取，可廣泛涵蓋網路、網站、雲端服務，以及企業與組織內部系統。</p> <h3><span style="color:#0000FF;"><strong>可在PC與行動裝置加裝代理程式，或透過瀏覽器安全存取</strong></span></h3> <p>從終端使用者存取應用系統的方式而言，ZTSA提供兩種管道，一是基於代理程式而成（Agent-based），連網裝置須安裝Secure Access Module，可用於Windows、macOS、Android、iOS等四大作業系統，並且支援多種通訊協定，包含網頁與檔案傳輸協定，如HTTP、HTTPS、FTP、FTPS、SFTP，遠端登入相關的協定，如RDP、SSH、TELNET、VNC，以及TCP、UDP，趨勢稱為Client access。值得注意的是，關於ZTSA行動裝置作業系統的代理程式部署，主要是透過整合的行動裝置管理雲端服務來進行，目前可支援Microsoft Intune、Google Workspace。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Agent-based Access1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Agent-based%20Access1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Agent-based Access2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Agent-based%20Access2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Agent-based Access3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Agent-based%20Access3.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Agent-based Access4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Agent-based%20Access4.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Agent-based Access5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Agent-based%20Access5.jpg" style="width: 198px;" /></a></p> <p>另一是不需代理程式（Agentless）、透過瀏覽器存取趨勢提供的專屬網站入口，趨勢稱為Browser access。兩者都能經由Trend Vision One平臺進行轉接（Cloud Relay），之後連入建置在企業內部網路環境的內部連接伺服器（趨勢稱為網際網路存取閘道Internet Access On-Premises Gateway），接著存取設置在此環境的內部應用系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Micro Visiob ZTSA-9-Browser Access1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Visiob%20ZTSA-9-Browser%20Access1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Trend Micro Visiob ZTSA-9-Browser Access2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Visiob%20ZTSA-9-Browser%20Access2.jpg" style="width: 298px;" /></a> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Visiob%20ZTSA-2-Arch.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>遠端存取防護範圍涵蓋企業管理的內部網路，以及公開的網際網路</strong></span></h3> <p>就員工所要存取應用系統的所在IT環境而言，ZTSA也同時提供兩種解決方案，一是上述針對設置在企業內部網路的應用系統，趨勢稱為Private Access，對於終端使用者而言，可經由安裝Secure Access Module的連網裝置，或是趨勢提供的專屬網站入口，企業最多可設置2千條存取控管政策，每一條規則能涵蓋90個使用者群組、40個地點、40個內部應用系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Private Access-Client Access.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Private%20Access-Client%20Access.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Browser-based Access-Private Access.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Browser-based%20Access-Private%20Access.jpg" style="width: 298px;" /></a></p> <p>另一是針對設置在企業外部的網站與AI服務存取，趨勢稱為Internet Access與AI Service Access，企業最多可設置1百條存取控管政策，終端使用者同樣可經由安裝Secure Access Module的連網裝置，對於透過瀏覽器存取的方式，需搭配代理伺服器的網路流量轉送機制——在Trend Vision One管理主控臺的ZTSA的Internet Access and AI Service Access組態，建立代理伺服器自動設定組態（PAC）檔案，然後手動部署至個人端電腦的瀏覽器，或是鏈結多臺代理伺服器（Proxy chaining）等方式，以便將原本端點電腦的網頁存取流量轉送至Internet Access閘道，從而能強制實施網際網路存取控管政策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Micro Visiob ZTSA-4-Cloud Console Access block-Internet Access.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Visiob%20ZTSA-4-Cloud%20Console%20Access%20block-Internet%20Access.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Visiob%20ZTSA-5-Git%20Block-Internet%20Access.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Internet%20Access-Exe.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Internet Access-PowerShell.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Internet%20Access-PowerShell.jpg" style="width: 298px;" /></a></p> <p>值得注意的是，無論使用Private Access，或是Internet Access與AI Service Access，趨勢Vision One ZTSA針對使用者帳戶或連網設備均可實施存取控管，禁止高風險或惡意上網行為。舉例來說，就Private Access與Internet Access的控管規則設置而言，企業可定義來源（使用者、設備、所在位置）、目標（內部應用系統）／流量（URL網頁或雲端服務應用程式）、執行期間、動作（允許、阻擋、監視／允許、阻擋、監視、警示、租戶限制、威脅防護、資料外洩預防）等項目。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Private Access Rule1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Private%20Access%20Rule1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Private Access Rule2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Private%20Access%20Rule2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Internet Access-Rule1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Internet%20Access-Rule1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Vision One ZTSA Internet Access-Rule2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vision%20One%20ZTSA%20Internet%20Access-Rule2.jpg" style="width: 298px;" /></a></p> <p>而且，這套解決方案也整合多種常見的身分存取與管理系統，例如Active Directory、OpenLDAP、Microsoft Entra ID、Google Cloud Identity、Okta，能夠找出可能危害企業資安防護完整性、暴露在網路威脅之下的使用者與設備，協助企業及早採取手動或自動緩解機制，例如，若得知用戶帳密資訊被公布在暗網，即可進行帳號停用，或是針對已知漏洞進行盤點而發現具有資安弱點的資訊設備，能對其進行上網隔離。</p> <h3><span style="color:#0000FF;"><strong>企業能定義連網設備組態安全性條件，作為是否批准存取的依據</strong></span></h3> <p>企業遠端存取所要防護的對象，其實是涵蓋雙重面向，不僅需注意存取的目標端應用系統與線上服務，作為來源端的連網設備，本身的組態設定也必須達到足夠的安全性要求，Vision One ZTSA透過Device Posture Profile來進行控制（最多可設置1千組），而且能適用於Private Access、Internet Access。</p> <p>以Windows與macOS這兩種作業系統的電腦資安態勢剖析而言，企業可在這個項目下面，逐一勾選多種需要檢查的組態，包含：作業系統版本，憑證儲存（電腦存放公司申請的CA憑證、個人端電腦通過公司CA憑證的簽署、硬碟特定資料夾存放指定檔案），弱點評估（僅限Windows）、防毒軟體、EDR軟體、桌面鎖定、硬碟加密的啟用，加入網域，以及連接的網路需啟用防火牆。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Visiob%20ZTSA-3-Device%20Posture%20Profiles.jpg" style="width: 600px;" /></p> <p>在受到Vision One ZTSA的保護下，若使用者透過無法滿足企業安全性要求的連網設備，進行重要系統與服務的存取，像是登入AWS公有雲服務的管理主控臺、經由Git應用程式進行程式碼專案複製與掛載網頁空間，就會出現阻擋的警示，顯示此帳號使用者具有高度資安風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Micro Visiob ZTSA-8-Blocked warning.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Visiob%20ZTSA-8-Blocked%20warning.jpg" style="width: 600px;" /></a></p> <p>而對於使用者所要存取的檔案類型與名稱、URL網址，以及搭配的網站信譽、資料外洩預防等防護規則，企業也可以進行細部設定。</p> <h3><strong><span style="color:#0000FF;">新增AI服務存取控制，可預防敏感資料外洩、提示注入等AI濫用風險</span></strong></h3> <p>在5月初召開的全球資安盛會RSA Conference 2024，趨勢科技宣布ZTSA將推出新功能，希望能夠針對存取公共或組織內部生成式AI服務的人員，提供保護，預計達成4個目標，包含：對於員工存取與使用AI應用系統的活動，提供集中管理功能；針對員工輸入的AI提問內容進行檢測，預防資料外洩與惡意注入內容的攻擊行為；提供上網內容過濾機制，以符合法規遵循的要求；對抗濫用大型語言模型而產生的網路攻擊活動，具備抵禦這類威脅的能力。</p> <p>6月初台北國際電腦展期間，趨勢科技首度在臺公開介紹與說明上述新功能，6月中他們揭露Vision One ZTSA新增AI Service Access，可針對企業使用者操作多種AI服務的功能時，預防資料外洩、提示注入（prompt injection），提供集中控管整個組織安全存取公有AI服務的方式，以及在此領域的進階內容過濾，確保使用者遵循相關政策的要求，並且預防惡意回應影響企業環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-04-Securing AI Workforce_VisionOne ZTSA-C.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-04-Securing%20AI%20Workforce_VisionOne%20ZTSA-C.jpg" style="width: 600px;" /></a></p> <p>以AI Service Access的控管規則而言，企業可制定目標（使用者、設備、所在位置）、流量（AI服務）、執行期間、動作（允許、阻擋）。在AI服務流量的控管上，Vision One ZTSA可選定所有或特定AI服務，但若要進行進階的生成式AI內容過濾，目前趨勢這套資安解決方案可針對4種AI服務進行內容檢測（content inspection），包含：ChatGPT、Google Gemini、Microsoft Copilot、Microsoft Copilot for Microsoft 365。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-04-Securing%20AI%20Workforce_VisionOne%20ZTSA-A_pg.jpg" style="width: 600px;" /></p> <p>若企業決定允許員工使用這些服務，在Vision One ZTSA當中，可針對個別AI服務設定提示與回應的參數。以提示輸入的管制而言，可監控或阻擋3種行為，包含：檔案上傳、敏感資料外洩（使用者對AI輸入提示時，提及敏感資料），以及提示注入（對AI輸入惡意指令，使其散播惡意軟體、竊取敏感資料或非法操控整個系統）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-04-Securing%20AI%20Workforce_VisionOne%20ZTSA-B_pg.jpg" style="width: 600px;" /></p> <p>對於回應的管制，Vision One ZTSA可監控或阻擋不當內容（依據AI內容檢測規則而認定的不適合企業存取資料），以及帶有惡意網址的AI回答。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-04-Securing%20AI%20Workforce_VisionOne%20ZTSA.jpg.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Trend Vision One Zero Trust Secure Access</strong><br /> ●原廠：趨勢科技<br /> ●建議售價：廠商未提供<br /> ●存取控管服務類型：Private Access、Internet Access與AI Service Access<br /> ●終端使用者存取方式：電腦或行動裝置加裝Secure Access Module（Client access）、瀏覽器（Browser access）<br /> ●Private Access部署需求：在雲端與內部基礎架構安裝Private Access Connector，在終端使用者連網裝置安裝Secure Access Module或設定使用者網站入口<br /> ●Internet Access與AI Service Access部署需求：在終端使用者連網裝置安裝Secure Access Module或設定代理自動組態（PAC）檔案，將終端使用者連網裝置導引至Internet Access On-Premises Gateway<br /> ●Secure Access Module支援作業系統：Windows（8至11、Server 2016至2022）、macOS（10.15以後版本）、Android（7.0以後版本）、iOS（11以後版本）<br /> ●Private Access Connector支援環境：VMware ESXi（6.0至7.0）、微軟Hyper-V、Azure、AWS、GCP，部署虛擬應用設備（2顆虛擬處理器、4GB記憶體、50GB硬碟空間）<br /> ●Internet Access On-Premises Gateway支援環境：VMware ESXi<br /> ●支援身分與存取管理系統：雲端服務支援Entra ID、Okta、Google Cloud Identity，內部建置系統支援Active Directory、OpenLDAP</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/15 17:30作者李宗翰https://www.ithome.com.tw/review/163188
Google將抓漏獎金提高為最多5倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://bughunters.google.com/blog/5400513950908416/increasing-google-alphabet-vrp-rewards-up-to-151-515" target="_blank">Google本周宣布</a>，自2010年建立抓漏獎勵計畫（Vulnerability Reward Program，VRP）以來，由於Google的作業系統與應用程式因此而變得愈來愈安全，也愈來愈不容易抓漏，因而決定提高抓漏獎金，最高增幅達到5倍，而獎金最多的則是重要產品的遠端程式攻擊（RCE）漏洞，最高可獲得151,515美元。</p> <p>除了提高原本的抓漏獎金之外，Google還將針對報告的品質祭出修正系數，倘若報告品質非常卓越（Exceptional Quality），那麼獎金額度將可乘以1.5，品質好（Good Quality）的是1倍，品質差（Low Quality）的是0.5倍。意謂著若提出安全漏洞的報告內容並未符合標準，獎金可能就會被砍半。</p> <p>Google將安全漏洞依產品重要性，分為從Tier0（T0）到Tier4（T4）的5種等級，其中，T0指的是XSS或繞過身分驗證等、得以外洩使用者帳戶或於使用者系統上執行任意程式的安全漏洞，T1則是可揭露非常敏感之用戶資料的安全漏洞，而原本獎金最高的即是屬於T0/T1領域的命令注射、反序列化錯誤及沙箱逃逸等可自遠端執行程式的安全漏洞，價值31,337美元。</p> <p>在新的規則中，此一T0/T1領域的遠端執行程式漏洞獎金提高至101,010美元，若所提交的報告達到卓越品質，獎金即上看151,515美元，接近原本的5倍。</p> <p>此外，可接管Gmail帳戶的邏輯漏洞原本價值13,337美元，現在則提高到5萬美元，卓越報告可增至7.5萬美元；<a href="http://idx.google.com" target="_blank">網路開發工作區IDX</a>上的XSS漏洞獎金，也自原本的3,133.7美元提高至1萬美元，卓越報告則是1.5萬美元；Nest服務（<a href="http://home.nest.com/" target="_blank">home.nest.com</a>）的身分揭露邏輯漏洞獎金，也從500美元提高至2,500美元，若屬於卓越報告則達3,570美元。</p> <p>Google說，其實過去他們內部就有根據漏洞報告的品質來衡量獎金，只是現在將它們公開，並公布了漏洞與獎金的計算例子，以供安全研究人員參考，進一步透明化此一抓漏獎勵計畫。另也針對收購6個月之後的新資產導入新的獎勵等級。</p> <p>近年來Google每年都頒發數百萬至上千萬的獎金予參與VRP的研究人員，2023年總計發出1,000萬美元的獎金予68個國家的逾600名研究人員，當中有340萬美元頒給了發現Android安全漏洞的研究人員，另有210萬美元是獎勵發現Chrome漏洞的研究人員。</p> </div></div></div>
2024/7/12 14:25作者陳曉莉https://www.ithome.com.tw/news/163912
蘋果於歐盟地區開放第三方行動錢包使用iPhone的NFC功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）周四（7/11）<a href="https://ec.europa.eu/commission/presscorner/detail/en/speech_24_3746" target="_blank">宣布</a>，已接受蘋果對於開放第三方開發者存取iPhone上NFC功能的承諾，解決EC對蘋果限制NFC存取可能妨礙市場競爭的疑慮。蘋果必須在今年7月25日以前履行此一承諾，讓第三方於iPhone上提供行動錢包服務，同時具備過去只有Apple Pay獨有的方便體驗。</p> <p>EC是在2022年開始調查蘋果是否非法限制iPhone行動錢包的限制，且<a href="https://www.ithome.com.tw/news/150723" target="_blank">初步認為</a>蘋果濫用其主導地位，限制了利用iPhone進行支付的所需技術。</p> <p>蘋果在iPhone、Apple Watch、Mac及 iPad上內建了該公司所開發的Apple Pay行動錢包服務，它不僅可於實體及網路商店上支付，還整合了會員卡、門票、登機證或身分憑證等功能。Apple Pay是利用近場通訊（Near Field Communication，NFC）與商店的支付端點通訊。然而，過去蘋果一直以安全為由，禁止第三方行動錢包存取iPhone上的NFC功能。</p> <p>EC認為，NFC是個標準化的免費技術，並非由蘋果開發，它可利用二維條碼進行支付，也是現階段最安全且無縫的行動支付，亦為歐盟最普遍的解決方案。然而，在智慧行動裝置市場、NFC功能及行動錢包占有重要地位的蘋果，卻拒絕將iPhone上的NFC功能提供給行動錢包的競爭對手，而是將該技術保留給自家的Apple Pay，違反歐盟的競爭規定。</p> <p>蘋果在得到歐盟的通知後，於今年初提出一系列的承諾，接著便由EC針對相關承諾進行測試，最終在本周決定接受蘋果的提議。</p> <p>相關承諾包括蘋果將免費提供NFC功能予第三方行動錢包，有別於Apple Pay直接存取硬體的安全元件來執行支付，第三方行動錢包將可藉由與Android一致的主機卡模擬（Host Card Emulation，HCE）模式，利用軟體解決方案進行安全的NFC支付；此外，蘋果亦將允許第三方行動錢包使用Face ID、Touch ID及密碼來驗證用戶身分，也可透過iPhone側邊按鍵的按兩下功能來執行所偏好的支付程式；蘋果還將開放使用者選擇第三方行動錢包作為預設值；亦承諾要放行開發者於錢包中整合交通卡、存取控制、門票、數位身分憑證等。</p> <p>簡單地說，此一承諾將讓第三方行動錢包取得與Apple Pay幾乎一模一樣的功能，替使用者帶來無縫的支付體驗。</p> <p>蘋果必須在今年7月25日之前實現此一承諾，不過，現階段該承諾僅適用於歐洲經濟區（European Economic Area），並不確定蘋果是否或何時會將它延伸至其它市場。</p> </div></div></div>
2024/7/12 12:01作者陳曉莉https://www.ithome.com.tw/news/163910
【資安日報】7月11日，富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日最受到關注的消息，應該就屬日本資通大廠富士通公布今年3月資安事故最新發現，他們指出對方使用的作案工具具備高深的偽裝技術，且具備蠕蟲特性進行橫向感染。</p> <p>這次的調查結果也證實當初懷疑資料外流的情況，他們發現駭客利用惡意程式進行複製，有部分客戶及公司資訊流出。但究竟有多少人受到影響，該公司並未說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163883"><strong style="font-size: 22px;">富士通證實駭客入侵致客戶資料外流，透露並非遭遇勒索軟體攻擊</strong></a></p> <p>今年3月15日富士通發出公告說明多臺電腦發現到惡意軟體，懷疑有客戶個資外流。4個月後富士通公布調查結果，顯示駭客的作案工具，很可能是具有進階偽裝技術的蠕蟲程式。</p> <p>富士通指出，在公司電腦發現的惡意程式並非勒索軟體，而是使用多種偽裝手法躲避偵測的進階攻擊工具。他們發現先是其中一臺電腦遭到感染，然後向其他電腦蔓延，最終共有49臺電腦遭感染。這批電腦已經在第一時間被隔離防止災害擴大，也封鎖被攻擊者當成入侵基地的外部伺服器。</p> <p>不過該公司事後分析事件記錄檔案發現，駭客這些電腦上已針對部分檔案下達複製指令，因此他們研判這些檔案已經被非法流出。外洩的資訊包括：部分客戶姓名和公司資訊。</p> <p><a href="https://www.ithome.com.tw/news/163896"><strong style="font-size: 22px;">駭客聲稱掌握數千名微軟、Nokia員工個資，將其流入網路犯罪論壇</strong></a></p> <p>資安媒體HackRead本周揭露，使用ID為888的駭客於網路犯罪論壇上公布了數千名Nokia與微軟員工的個資，並宣稱相關資料的來源，是這兩家公司的第三方合作夥伴。</p> <p>根據駭客公布與Nokia有關的CSV檔案，共包含了7,258名Nokia員工的資料，包括職稱、全名、公司名稱、國家及地區、公司電話號碼，以及電子郵件位址。資料時間點介於2022年6月至2023年2月之間。</p> <p>至於與微軟有關的外洩檔案則涵蓋了2,047名微軟員工，內含他們的職稱、姓名、國家及地區、LinkedIn個人檔案連結、公司電話號碼，以及電子郵件位址。</p> <p><a href="https://www.ithome.com.tw/news/163889"><strong style="font-size: 22px;">微軟修補MSHTML零時差漏洞消息剛發布，但去年1月就有駭客濫用漏洞，今年5月又被發現有人藉此散布竊資軟體Atlantida</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image4.png" style="width: 300px; float: right;" /></a>本週二微軟修補已發生攻擊行動的MSHTML零時差漏洞CVE-2024-38112，通報此事的資安業者Check Point公布駭客利用這項漏洞的手法，對方藉由讓使用者點選特製的URL檔案，啟動Internet Explorer（IE）來觸發攻擊鏈。</p> <p>研究人員指出，他們看到利用這種URL觸發漏洞的攻擊手法，最早可追溯到去年1月，換言之，駭客運用這項漏洞的時間已長達一年半。Check Point研究小組經理Eli Smadja透露，他們至少看到兩起攻擊行動，其中有人利用上述漏洞散布名為Atlantida的竊資軟體。</p> <p>他們在今年5月中旬，發現使用Atlantida的駭客利用這項漏洞，鎖定土耳其及越南的使用者。這些駭客入侵含有弱點的WordPress網站，然後透過HTA及PowerShell檔案從事攻擊。</p> <p><a href="https://www.ithome.com.tw/news/163840"><strong style="font-size: 22px;">駭客鎖定以色列政府機關及企業組織，意圖散布以開源工具打造的惡意程式GrassHopper</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/wp-operative-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/wp-operative-1.png" style="width: 300px; float: right;" /></a>資安業者HarfangLab在調查鎖定以色列政府、企業組織的攻擊行動過程裡，找到先前未曾揭露的可疑網域，攻擊者將其用於設置C2伺服器，但特別的是，這個網域存在的時間相當長，引起了研究人員的注意。</p> <p>他們循線調查駭客在攻擊過程使用的相關工具，發現對方使用可公開的惡意軟體，也有部分作案工具是自行開發，相關攻擊行動具有高度針對性，他們散布惡意酬載的管道，是利用專門為目標基礎設施量身打造的WordPress網站，研究人員指出，這些攻擊仰賴開源的惡意軟體，影響範圍甚至擴及了不同領域的垂直產業。</p> <p>針對上述的攻擊行動，研究人員懷疑是資安人員的滲透測試所致，但由於相關的攻擊基礎設施並未與市面上的滲透測試業者有關，因此他們認為應該向資安社群公布相關發現。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.lookout.com/threat-intelligence/guardzoo-houthi-android-surveillanceware"><strong style="font-size: 20px;">中東國家的軍事人員遭到惡意程式GuardZoo鎖定，逾450人安卓手機遭到監控</strong></a></p> <p></p> <p>◆<a href="https://cofense.com/blog/new-malware-campaign-targeting-spanish-language-victims/"><strong style="font-size: 20px;">拉丁美洲礦業、製造業遭到鎖定，駭客對其散布木馬程式Poco RAT</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/computer-maker-zotac-exposed-customers-rma-info-on-google-search/"><strong style="font-size: 20px;">電腦製造商Zotec不慎曝露申請退貨授權請求的相關文件，進一步導致客戶資料曝光</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/roblox-vendor-data-breach-exposes-dev-conference-attendee-info/"><strong style="font-size: 20px;">電玩遊戲Roblox傳出供應商資料外洩，開發者大會與會者資料流出</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163899"><strong style="font-size: 22px;">Citrix修補應用程式交付平臺NetScaler高風險漏洞，若不處理恐面臨資訊洩露、阻斷服務風險</strong></a></p> <p>7月9日Citrix針對旗下多項產品發布資安公告，總共修補9項漏洞，其中又以出現在應用程式交付平臺NetScaler主控臺元件、NetScaler SVM的漏洞最為危險，而值得留意。</p> <p>這些漏洞分別是：重大層級的敏感資訊洩露漏洞CVE-2024-6235，高風險層級的阻斷服務（DoS）漏洞CVE-2024-6236，CVSS風險評分為9.4、7.1。</p> <p>值得留意的是，雖然CVE-2024-6235較為危險，但CVE-2024-6236影響範圍較廣。CVE-2024-6235影響14.1版NetScaler Console（原名NetScaler ADM），而另一個漏洞不僅影響13.0、13.1、14.1版NetScaler Console，也影響NetScaler SDX、NetScaler Agent元件。</p> <p><a href="https://www.ithome.com.tw/news/163898"><strong style="font-size: 22px;">VMware揭露自動化處理平臺存在高風險漏洞，攻擊者可對其發動SQL注入攻擊</strong></a></p> <p>7月10日VMware修補旗下雲端自動化平臺Aria Automation高風險漏洞CVE-2024-22280，此為SQL注入漏洞，起因是並未套用正確的輸入驗證產生，CVSS風險評分為8.5，影響8.17.0版以下的Aria Automation，以及4.x版、5.x版Cloud Foundation。</p> <p>攻擊者若要利用這項漏洞，可在通過身分驗證的情況下，輸入偽造的SQL查詢指令，從而進行未經授權的資料庫讀取及寫入作業。</p> <p><a href="https://www.ithome.com.tw/news/163887"><strong style="font-size: 22px;">研究發現RADIUS協定存在漏洞Blast RADIUS，可讓駭客發動中間人攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/files/0711-Details of the Blast-RADIUS attack-by cloudflare.png"><img alt="" src="https://s4.itho.me/sites/default/files/files/0711-Details%20of%20the%20Blast-RADIUS%20attack-by%20cloudflare.png" style="width: 300px; float: right;" /></a>由微軟、Cloudflare等資安產學專家組成的研究團隊針對RADIUS通訊協定進行調查，發現安全漏洞Blast RADIUS（CVE-2024-3596），有可能被攻擊者用於發動中間人（MitM）攻擊，呼籲IETF等標準組織應翻新設計，設備廠商應考慮使用更安全的傳輸技術。</p> <p>這項通訊協定漏洞，可讓非授權者攻擊者通過驗證、以存取遠端裝置，或是取得任意網路權限，包括管理員對裝置權限，即可對網路上其他裝置發動中間人攻擊，而且過程中完全無需使用暴力破解、竊取密碼或共享金鑰。</p> <p>研究人員表示，這項研究目的在證明RADIUS安全防護不足，呼籲裝置廠商和標準組織IETF汰除RADIUS over UDP，並要求在更安全的通道傳輸RADIUS，如TLS。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-cisa-issue-advisories/"><strong style="font-size: 20px;">西門子、施耐德電機、CISA針對工業控制系統發布資安公告</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163875"><strong>【7月10日】微軟發布本月例行更新，修補超過140個漏洞，其中包含4個零時差漏洞引起關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163843"><strong>【7月9日】留意BEC詐騙攻擊，惡意軟體沙箱服務業者遭網釣攻擊後，查出郵件備份程式PerfectData恐洩漏電子郵件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163836"><strong>【7月8日】勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi發動攻擊</strong></a></p> </div></div></div>
2024/7/11 18:07作者周峻佑https://www.ithome.com.tw/news/163900
Google即將開放暗網監控功能予所有用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日<a href="https://support.google.com/googleone/answer/14806901?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">宣布</a>，原本隸屬於Google One付費服務的Dark web report功能將在今年7月底開放所有用戶使用，它將被整合到允許使用者移除搜尋結果個資的Results about you中。</p> <p><a href="https://www.ithome.com.tw/news/156846" target="_blank">Dark web report</a>主要是用來協助使用者監控於暗網中流傳的個資，諸如姓名、地址、電話號碼與電子郵件帳戶，只要啟用了該功能，每當Google於暗網中發現使用者個資時，便會通知用戶。該功能原本只提供給付費的Google One訂閱用戶，但Google現在決定讓所有具備Google帳戶的使用者都能存取，現階段Dark web report支援包括臺灣在內的46個國家。</p> <p>Dark web report將整合至<a href="https://www.ithome.com.tw/news/158110" target="_blank">Results about you服務</a>中。有別於Dark web report鎖定暗網，而且只有通知功能，Results about you則是針對出現在Google搜尋結果中的個資，並允許使用者申請將之移除，可申請移除的資料包括電話號碼、地址及電子郵件帳戶。</p> <p>不過，雖然Dark web report支援臺灣市場，但Results about you並不支援臺灣市場，目前看起來Google僅於少數國家提供該服務，像是美國、澳洲與南非等，不確定屆時是否也只有這些國家的用戶可存取Dark web report。</p> </div></div></div>
2024/7/10 15:42作者陳曉莉https://www.ithome.com.tw/news/163860
【資安日報】7月9日，留意BEC詐騙攻擊，惡意軟體沙箱服務業者遭網釣攻擊後，查出郵件備份程式PerfectData恐洩…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子郵件是企業日常運作中不可或缺的溝通工具，然而電子郵件也持續是駭客和網路犯罪分子的主要攻擊目標之一，最近惡意軟體沙箱服務業者Any.Run不僅揭露自身遭網釣攻擊，有員工帳戶被洩露並遭遇BEC詐騙活動，同時他們另也強調，問題出在電子郵件備份應用程式PerfectData，已導致多起郵件外洩事故。</p> <p>特別的是，還有一起事件發生在國內，崴寶精密科技公司與其客戶遭遇BEC詐騙，同樣顯現電子郵件中的交易內容資訊被掌握，以及冒其名義寄送變更匯款通知信的危害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163809"><strong style="font-size: 22px;">電子郵件備份應用程式PerfectData存在高風險，過去一年來，網路論壇傳出多次信箱因此洩漏的事件</strong></a></p> <p>上個月發生的惡意軟體沙箱服務業者Any.Run遭到網釣攻擊事件，有員工帳戶被洩露並遭遇BEC詐騙活動，該公司特別揭露遭網釣攻擊的起因——攻擊者透過備份應用程式PerfectData Software竊取該公司員工電子信箱信件，數個資安研究廠商與研究人員的調查均顯示，在過去一年多來，這款應用程式已造成多起郵件資料外洩導致的攻擊，本身存在著高風險，警告用戶審慎使用這款應用程式。</p> <p>Any.Run在針對該公司遭到網釣攻擊事件的報告中，指出事件的起因之一，是攻擊者透過該公司員工安裝的備份應用程式PerfectData Software，竊取該員工整個信箱的郵件，進而利用其中的聯絡人信箱帳號，向該公司所有員工發送釣魚信件，顯示PerfectData Software這款應用程式可能遭到濫用。</p> <p>我們進一步追查後，發現其實早在1年前，網路安全公司Darktrace與安全分析師Damien，就已分別在2023年6月與7月通報PerfectData Software存在高風險，並已導致多起郵件外洩事故。</p> <p><a href="https://www.ithome.com.tw/news/163828"><strong style="font-size: 22px;">惡意軟體載入工具GootLoader透過多階段攻擊鏈散布，駭客佯稱提供法律文件範本引誘使用者上當</strong></a></p> <p>資安業者Cybereason揭露惡意程式載入工具GootLoader 3.0版的攻擊行動，並對其攻擊行動升溫提出警告。</p> <p>研究人員指出，雖然GootLoader原本是金融木馬GootKit惡意軟體家族其中一項元件，但攻擊者已經將其用於散布其他惡意程式，例如：Cobalt Strike、Gootkit、IcedID、Kronos、REvil、SystemBC。</p> <p>GootLoader如何用於攻擊行動？研究人員指出駭客通常會先入侵網站，並植入含有GootLoader的JavaScript惡意酬載，並使用搜尋引擎最佳化中毒的手法，鎖定想要尋找法律文件範本的企業使用者下手。</p> <p><a href="https://www.ithome.com.tw/news/163841"><strong style="font-size: 22px;">崴寶精密科技與其客戶遭遇BEC詐騙，駭客冒名發送電子郵件騙走3千萬，所幸及時凍結接收匯款的人頭帳戶</strong></a></p> <p>近期有臺灣企業揭露自身遭遇BEC詐騙事件，公開發行公司崴寶精密科技在6月28日仍透過證交所公開資訊觀測站發布重大訊息，說明遭遇冒名通知客戶更改收款帳戶的事件。根據公告內容來判斷，我們認為這起事故就是典型的BEC詐騙。</p> <p>之所以發現這起事件，根據崴寶精密科技的說明，他們是在6月22日執行定期清查逾期帳款時，發現有一家客戶的數筆帳款已逾期，在聯繫該客戶後，對方聲稱已付款，並提出由東莞子公司同仁於5月7日發送的電子郵件來表明已按該郵件指示付款至某香港公司帳戶，因此察覺這次事件。</p> <p>崴寶在隔日6月23日即展開行動，分別前往東莞及香港向警方報案，所幸的是，根據香港警方清查，該人頭帳戶所收到的1,050,324元美元（3千多萬元）款項，尚未被移轉，因而緊急凍結該帳戶，後續崴寶將在司法程序以取回該筆帳款。同時，崴寶也向所有客戶詢問是否收到變更匯款帳號的類似通知，目前確認沒有其他客戶受害。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=175553&SPOKE_DATE=20240708&COMPANY_ID=2642"><strong style="font-size: 22px;">電機大廠東元發生網路資安事件，目前資訊系統陸續恢復中</strong></a></p> <p>國內老牌電機大廠東元在7月8日下午3時18分發布資安事件重大訊息，說明公司發生網路資安事件。</p> <p>根據東元電機公告指出，這次事件是該公司自行偵測到網路傳輸異常，察覺部份資訊系統遭受駭客攻擊，資安單位隨即啟動資安防禦與復原機制，並委請外部資安公司技術專家協助處理。關於這起事故帶來的影響，該公司僅表示，目前公司資訊系統正陸續恢復中，評估對公司營運尚無重大影響，後續若有重大影響再行公告。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=175553&SPOKE_DATE=20240708&COMPANY_ID=2642"><strong style="font-size: 22px;">物流配送公司宅配通公告部份資訊系統遭受駭客網路攻擊</strong></a></p> <p>在7月8日國內傳出兩家上市公司遭遇資安事故的消息，除了東元電機，還有國內知名物流配送公司宅配通，該公司在7月8日傍晚5時55分發布資安事件重大訊息，說明公司部份資訊系統遭受駭客網路攻擊。</p> <p>宅配通指出，他們在偵測到部份資訊系統遭受駭客網路攻擊後，資安部門已全面啟動相關防禦機制與備援作業，同時協調外部資安公司技術專家共同合作處置，後續將彙整完整異常資料，並通報政府執法部門與資安單位。該公司另也表示，對公司營運無重大影響，目前資訊系統陸續回復運作中。</p> <p> </p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bloomberg.com/news/articles/2024-07-08/microsoft-orders-china-staff-to-switch-from-android-phones-to-iphones-for-work"><strong style="font-size: 20px;">微軟傳出要求中國員工9月起公務禁用Andorid手機，原因是中國市場無法使用Google Play下載必要身分驗證App，無法確保資安</strong></a></p> <p>◆<a href="https://cybernews.com/security/rockyou2024-largest-password-compilation-leak/"><strong style="font-size: 20px;">黑客論壇流傳一份近100億帳號密碼的「rockyou2024.txt」檔案，較2021曝光的版本多出15億組資料</strong></a></p> <p>◆<a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/apt40-advisory-prc-mss-tradecraft-in-action"><strong style="font-size: 20px;">多國網路安全機構在7月9日發布針對中國駭客組織APT10的資安通告，並揭露2起該組織對澳洲發動攻擊的案例</strong></a></p> <p>◆<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=4&SPOKE_TIME=182304&SPOKE_DATE=20240708&COMPANY_ID=5536"><strong style="font-size: 20px;">聖暉系統集成集團公司遭受駭客攻擊，上櫃母公司聖暉在7月8日代重要子公司發布資通安全事件公告</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163795"><strong style="font-size: 22px;">Windows 10明年終止支援，資安業者推漏洞修補服務，費用僅微軟ESU的1/4</strong></a></p> <p>微軟將在2025年10月終止支援Windows 10，現也呼籲用戶及早升級到Windows 11。但是Windows 11對電腦硬體規格有一定要求，如需搭載支援TPM 2.0的處理器，用戶必須買新電腦。Windows 11的介面和Windows 10也大不相同，必須重新適應。此外，對大型企業而言，升級作業系統對管理員來說費時費力，也可能有應用不相容的風險。</p> <p>斯洛維尼亞的資安業者0patch，過去經常在知名軟體爆出漏洞來不及發布更新時，先釋出暫時性修補程式，本月該公司推出的最新方案，則鎖定明年可能出現安全空窗的Windows 10 PC用戶。這項方案將對Windows 10 22H2提供最少5年的重大安全修補程式，並視市場反應考慮延長。0patch的Windows 10修補程式服務分為二個等級。0patch Pro是為個人或小企業設計，價格為每臺電腦每年24.95歐元，另一0patch Enterprise適合中大型組織，費用為每臺電腦每年34.95歐元。</p> <p><a href="https://www.ithome.com.tw/news/163795"><strong style="font-size: 22px;">Windows 11 21H2、22H2將在10月終止支援</strong></a></p> <p>微軟本周發布公告，Windows 11 21H2及22H2二個版本作業系統將在3個月後，即2024年10月8日終止支援，因此，對這些版本作業系統而言，10月8日發布的每月安全更新將是最後一次更新。屆時微軟將主動為部分商用裝置部署Windows 11 23H2版本。</p> <p>事實上，從今年2月開始，微軟已經強制為適用的Windows 11電腦發布23H2版本（又名Windows 11 2023 Update）。微軟表示，將依據其機器學習模型，在安全部署考量下，為已來到EoL的裝置部署這個更新版。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163836"><strong>【7月8日】勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163808"><strong>【7月5日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163785"><strong>【7月4日】歐洲最大雲端服務供應商揭露DDoS攻擊規模與日俱增的現象，並指出大多惡意流量來自MikroTik路由器</strong></a></p> <p> </p> </div></div></div>
2024/7/9 10:27作者羅正漢https://www.ithome.com.tw/news/163843
【資安日報】7月4日，歐洲最大雲端服務供應商揭露DDoS攻擊規模與日俱增的現象，並指出大多惡意流量來自MikroTik…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大規模DDoS攻擊行動這兩年變得越來越頻繁，繼去年10月3家雲端服務業者AWS、Cloudflare、Google聯手揭露<a href="https://www.ithome.com.tw/news/159221">針對HTTP/2漏洞CVE-2023-44487的大規模攻擊行動</a>，本週歐洲最大主機代管業者OVHcloud也公布他們攔阻的DDoS攻擊事故。</p> <p>值得留意的是，OVHcloud發現攻擊流量的來源，竟多半來自MikroTik大型路由器設備，對方用於發動攻擊的設備數量，多達近10萬臺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163775"><strong style="font-size: 22px;">歐洲最大雲端服務供應商揭露自身面臨的大規模DDoS攻擊，這些惡意流量竟源自近十萬臺MikroTik路由器</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OVHcloud-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OVHcloud-10.png" style="width: 300px; float: right;" /></a></p> <p>駭客發動大規模DDoS攻擊的情況，每隔一段時間就有雲端服務業者公布他們遭遇到的攻擊規模，透露這種攻擊規模與日俱增的現象，然而如今有業者指出，駭客很有可能偏好濫用特定廠牌的網路設備來產生攻擊流量。</p> <p>雲端服務業者OVHcloud揭露他們最近一年多的觀察，指出他們從去年初留意到DDoS攻擊的頻率和強度都呈現急劇增加的現象，並指出在過去的一年半裡，超過1 Tbps的DDoS攻擊原本相當罕見，如今平均每天就有1次。這段期間當中，他們觀察到最大的攻擊規模發生在今年5月25日，流量接近2.5 Tbps。</p> <p>研究人員速一步調查發現，大部分流量來自MikroTik雲端核心路由器（CCR），該公司總共看到99,382臺，當中又以CCR1036-8G-2S+最多，有30,976臺，涵括近三分之一的臺數。</p> <p><a href="https://www.ithome.com.tw/news/163784"><strong style="font-size: 22px;">韓國ERP系統的更新伺服器遭到供應鏈攻擊，北韓駭客Andariel藉此散布惡意程式</strong></a></p> <p>資安業者AhnLab揭露針對特定韓國ERP系統更新伺服器的攻擊行動，這起事故發生在今年5月，他們目前尚未釐清攻擊者如何入侵，但找到可疑的DLL程式庫，經分析後確認是能夠竊取系統資訊及執行攻擊者命令的後門程式Xctdoor，此惡意程式以Go語言打造而成，攻擊者透過Regsvr32.exe的處理程序載入執行。</p> <p>而對於攻擊者的身分，他們發現這起攻擊事故並非首度韓國ERP系統遭駭的情況，2017年北韓駭客組織Andariel針對ERP的更新程式ClientUpdater.exe下手，將惡意程式HotCroissant注入其處理程序，目的是在受害組織的網路環境當中，藉由ERP更新伺服器，對該組織的電腦散布此惡意程式。</p> <p>由於這次的資安事故當中，攻擊者部署惡意程式的手法相當類似2017年的軟體更新遭駭事故，研究人員推測，攻擊者的身分很可能就是Andariel。</p> <p><a href="https://www.ithome.com.tw/news/163781"><strong style="font-size: 22px;">一級方程式賽車的主管機關FIA驚傳資料外洩，駭客藉由網釣攻擊取得電子郵件帳號的存取權限</strong></a></p> <p>7月3日管理國際賽車競賽的國際汽車聯盟（Fédération internationale de l'automobile，FIA）證實，他們近期發生一起網路釣魚事故，導致有2個電子郵件信箱帳號的個人資料遭到未經授權的存取。</p> <p>FIA已採取相關行動來因應這起資安事故，在相當短的時間內切斷非法存取，並向法國、瑞士的資料保護主管機關進行通報。不過，究竟駭客如何得逞，FIA何時察覺異狀進行處理，以及有多少人受到影響，他們並未說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=174218&SPOKE_DATE=20240703&COMPANY_ID=6237"><strong style="font-size: 20px;">音效晶片供應商驊訊傳出部分資訊系統遭到網路攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.halcyon.ai/blog/halcyon-identifies-new-ransomware-operator-volcano-demon-serving-up-lukalocker"><strong style="font-size: 20px;">勒索軟體駭客組織Volcano Demon使用惡意程式LukaLocker加密檔案，並藉由撥打電話向受害組織勒索</strong></a></p> <p></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://blog.sekoia.io/exposing-fakebat-loader-distribution-methods-and-adversary-infrastructure/"><strong style="font-size: 20px;">惡意程式FakeBat藉由偷渡式下載植入受害電腦</strong></a></p> <p></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://harfanglab.io/en/insidethelab/supposed-grasshopper-operators-impersonate-israeli-gov-private-companies-deploy-open-source-malware/"><strong style="font-size: 20px;">駭客冒充以色列政府機關及企業組織，意圖散布惡意程式GrassHopper</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163782"><strong style="font-size: 22px;">6月下旬推出的macOS版ChatGPT應用程式傳出以明文存放對話內容，恐曝露用戶隱私</strong></a></p> <p>OpenAI才在6月下旬開放使用者下載支援macOS的桌面版ChatGPT程式，本周就有開發人員發現，該程式以明文存放使用者與ChatGPT之間的對話，不過，沒多久之後，OpenAI便更新了該程式，並加密了對話內容。</p> <p>揭露此事的是Swift開發人員Pedro José Pereira Vieito，他發現macOS上的ChatGPT將使用者與它的對話以明文存放在未受保護的位置，意味著系統上的任何應用程式，能在無需使用者許可的情況下，都能讀取用戶所有的ChatGPT對話紀錄。</p> <p>科技新聞網站The Verge指出，OpenAI接受他們採訪的過程裡，已修補上述的弱點。</p> <p><a href="https://www.ithome.com.tw/news/163769"><strong style="font-size: 22px;">Twilio修補外洩Authy帳戶資料的安全漏洞</strong></a></p> <p>雲端通訊平臺Twilio發布資安公告，坦承駭客可經由未經身分驗證的端點，辨識與Authy帳戶有關的資料，其中包括電話號碼。該公司已經採取措施來保護該端點，不再允許未經身分驗證的請求。</p> <p>針對受害情形，該公司強調目前尚未發現駭客取得Twilio系統或存取其他機密資料的權限，但為了預防起見，他們還是要求所有Authy使用者套用最新版本的Android與iOS應用程式。此外，對方很有可能濫用得到的電話號碼發動網釣攻擊，使用者應提高警覺。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://thecyberexpress.com/microsoft-rce-dos-exploits-found-in-rockwell/"><strong style="font-size: 20px;">Rockwell Automation旗下人機介面系統PanelView Plus存在重大漏洞，攻擊者能藉由上傳惡意DLL發動RCE攻擊</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163768"><strong style="font-size: 22px;">歐美執法單位拿下近600臺用於網路犯罪的Cobalt Strike伺服器</strong></a></p> <p>7月3日歐洲刑警組織（Europol）宣布，由英國國家犯罪局（NCA）主導的跨國執法行動Operation Morpheus，在6月24日至28日於27個國家當中，找到約690臺舊版、未擁有合法授權的Cobalt Strike伺服器，截至上週末，共有593臺的IP位址遭到撤除。歐洲刑警組織表示，本次的破壞行動，是此項執法行動當中的重大突破。</p> <p>這項跨國執法行動由英國、澳洲、加拿大、德國、荷蘭、波蘭、美國的執法單位共同參與，並透過歐洲刑警組織居中協調。</p> <p>除了執法單位，也有多家資安業者及組織參與，這些包括：BAE Systems Digital Intelligence、Trellix、Spamhaus、abuse.ch，以及Shadowserver基金會，他們透過部署強化的掃描、遙測、分析機制，從而協助執法單位識別惡意活動，以及網路罪犯濫用Cobalt Strike的情形。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163765"><strong>【7月3日】巴基斯坦駭客假借提供安卓應用程式發動攻擊，意圖散布惡意軟體CapraRAT，目的是為了監控特定使用者</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163743"><strong>【7月2日】研究人員揭露polyfill供應鏈攻擊事故最新發現，駭客同時運用多個網域犯案，保守估計超過30萬個網站受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163731"><strong>【7月1日】遠端桌面連線解決方案業者TeamViewer傳出遭俄羅斯駭客APT29入侵，該公司強調旗下產品未受影響</strong></a></p> </div></div></div>
2024/7/4 17:37作者周峻佑https://www.ithome.com.tw/news/163785
Meta宣布Threads每月用戶數達1.75億人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta創辦人暨執行長祖克柏（Mark Zuckerberg）周三（7/3）透過Threads<a href="https://www.threads.net/@zuck/post/C89oeSORn81" target="_blank">宣布</a>，甫於一年前發表的Threads迄今已有超過1.75億的每月用戶。Instagram針對Threads的使用分析則<a href="https://about.instagram.com/blog/announcements/survey-on-threads-usage" target="_blank">顯示</a>，該平臺上有超過63%的貼文只使用文字，看來該平臺的用戶更喜歡用文字來表達。</p> <p>Meta於去年的7月5日正式推出Threads，它是一個類似X（Twitter）的社交平臺，使用者必須以Instagram的帳戶登入，並可張貼文字、圖片及影片，可透過iOS、Android程式，以及瀏覽器存取。</p> <p>外界將Threads視為X的最大競爭對手，因為在馬斯克（Elon Musk）收購Twitter並將它改名為X之後，X的用戶數量即開始衰退，反觀Threads的用戶數則不斷增加。不過，根據馬斯克今年5月所<a href="https://x.com/elonmusk/status/1793779530282443086" target="_blank">公布</a>的數字，當時X的每月用戶數仍有6億，每日用戶數則在3億左右。</p> <p>2006年推出的X有6億的每月用戶數，2023年才推出的Threads已有1.75億的每月用戶。</p> <p>在Threads屆滿周年之際，Instagram調查了Threads平臺上不同世代的使用習慣，從已經60歲的嬰兒潮世代、40歲以上的X世代、30歲左右的千禧世代，一直到Z時代，發現文字還是大家最愛用的表達方式，有63%的貼文都只有文字，約有1/4的貼文會含有照片，而且，愈年輕的使用者愈不注重文法或標點符號。</p> <p>負責Instagram，也支援Threads的Adam Mosseri本周接受Platformer的<a href="https://www.platformer.news/threads-175-million-users-adam-mosseri-interview/" target="_blank">專訪</a>，指出Threads經歷了瘋狂的一年，剛上線不到一周就有超過1億名使用者註冊，每日用戶卻在幾周後明顯下滑，但隨後Threads再次經歷了真正的成長，帶來了更多的註冊量，如今，他們所關心的所有指標都在成長，不管是貼文的曝光數、使用時間、每日或每月用戶數，或是用戶之間的交流等。</p> <p>Mosseri也指出，他們想要讓Threads成為一個與Instagram有所區隔的平臺，在Threads上更注重即時性，同時Threads的團隊也非常有活力，有非常多的創意與快速的執行力，同樣有別於Instagram或其它大公司的運作方式。</p> <p>根據Mosseri對Threads的規畫，未來的Threads將會更獨立，也正在研究如何切割Threads及Instagram的帳戶與內容，並令它變得更與眾不同。</p> </div></div></div>
2024/7/4 16:03作者陳曉莉https://www.ithome.com.tw/news/163780
Twilio修補外洩Authy帳戶資料的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端通訊平臺Twilio本周發布安全警告，並更新了Android版與iOS版的<a href="https://www.twilio.com/en-us/changelog/Security_Alert_Authy_App_Android_iOS" target="_blank">Twilio Authy程式</a>。根據<a href="https://techcrunch.com/2024/07/03/twilio-says-hackers-identified-cell-phone-numbers-of-two-factor-app-authy-users/" target="_blank">TechCrunch</a>的報導，知名駭客集團ShinyHunters宣稱已成功駭入Twilio，並取得3,300萬名Authy用戶的電話號碼。</p> <p>成立於2008年的Twilio為美國上市公司，為一雲端通訊平臺供應商，讓開發人員能夠將各種通訊功能整合到應用程式中，除了多元的通訊API之外，Twilio亦提供客服平臺Twilio Flex、Twilio IoT與Super SIM物聯網解決方案，以及Authy等多因素身分驗證解決方案。此次出問題的即是Authy。</p> <p>安裝了Authy之後，使用者可於裝置上生成雙因素身分驗證的權杖，Authy也提供雲端備份服務，支援裝置同步功能，並可離線生成權杖，相容於臉書、Dropbox、Amazon及Gmail等支援多因素身分驗證的數千種應用。</p> <p>本周Twilio坦承，他們發現駭客可經由一個未經身分驗證的端點，辨識與Authy帳戶有關的資料，包括電話號碼在內。已經採取措施來保護該端點，不再允許未經身分驗證的請求。</p> <p>此外，Twilio也強調，並未有任何證據表明駭客取得了存取Twilio系統或其它機密資料的權限，但為了預防萬一，要求所有Authy用戶更新至最新的Android與iOS程式。Twilio說，雖然Authy帳戶並未受到危害，但駭客可能會利用所取得的電話號碼，針對Authy用戶展開網釣攻擊，提醒使用者提高警覺。</p> </div></div></div>
2024/7/4 12:15作者陳曉莉https://www.ithome.com.tw/news/163769
研究人員針對間諜軟體攻擊行動提出警告，對方假借提供安卓應用程式散布惡意軟體CapraRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月資安業者SentinelOne揭露巴基斯坦駭客組織Transparent Tribe的間諜軟體攻擊行動CapraTube，當時他們發現對方利用偽裝成YouTube安裝程式的木馬CapraRAT，針對安卓用戶而來。如今研究人員發現，這些駭客的手法出現顯著的變化。</p> <p>他們近期發現<a href="https://www.sentinelone.com/labs/capratube-remix-transparent-tribes-android-spyware-targeting-gamers-weapons-enthusiasts/">新一批的木馬程式CapraRAT的APK檔案</a>，駭客聲稱提供名為Crazy Games的遊戲、冒牌的短影片軟體TikTok，以及武器資訊（Weapons）、色情影片（Sexy Videos）。</p> <p>這些木馬程式都透過WebView元件呈現特定網頁內容。其中，冒牌的Crazy Games會將使用者導向YouTube或同名手機遊戲網站，而冒牌TikTok則是在YouTube搜尋Tik Toks相關影片，Weapons會將用戶導向擁有270萬人訂閱的YouTbue頻道Forgotten Weapons。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CapraMix_3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CapraMix_3.jpg" style="width: 580px;" /></a></p> <p>至於Sexy Videos，研究人員指出可能是用來進行愛情騙局的社交工程攻擊。</p> <p>值得留意的是，使用者安裝這些App並執行，對方會要求開放多種權限，像是存取GPS定位、管理網路狀態、讀取及發送簡訊、存取聯絡人、錄製聲音和螢幕截圖、使用相機、撥打電話及檢視通話記錄等。</p> <p>但研究人員指出，上述的權限要求，較去年出現的CapraRAT要來得少，不再要求帳號資訊或是安裝套件有關權限，他們推測，駭客這麼做的目的，是聚焦在如何監控使用者，不再向過往希望打造成全方位的後門程式。</p> <p>比較特別的是，相較許多惡意程式使用者必須同意開放各式權限才會提供宣稱的功能，這次的CapraRAT即使用戶拒絕提供權限，仍能照樣執行。</p> <p>此外，他們發現對方針對新版的Android 13、14作業系統進行調整，新版的CapraRAT能在這些作業系統上能正常運作，相較之下，去年的版本則會不斷出現相容性警告的對話框，很有可能讓使用者起疑而察覺有異。</p> </div></div></div>
2024/7/3 18:19作者周峻佑https://www.ithome.com.tw/news/163764
【資安日報】7月3日，巴基斯坦駭客假借提供安卓應用程式發動攻擊，意圖散布惡意軟體CapraRAT，目的是為了監控特定使…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定手機使用者的間諜軟體攻擊行動，最近2至3年有越來越頻繁的跡象，本週揭露巴基斯坦駭客組織發動的CapraTube，就是其中一個例子。</p> <p>值得留意的是，研究人員提及，他們去年9月首度揭露這起攻擊，時至今日駭客攻擊手法並未出現重大變化，但後續已針對新版安卓作業系統做出調整，使得木馬程式的行蹤更加隱密。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163764"><strong style="font-size: 22px;">研究人員針對間諜軟體攻擊行動提出警告，對方假借提供安卓應用程式散布惡意軟體CapraRAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CapraMix_3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CapraMix_3.jpg" style="width: 300px; float: right;" /></a>去年9月資安業者SentinelOne揭露巴基斯坦駭客組織Transparent Tribe的間諜軟體攻擊行動CapraTube，當時他們發現對方利用偽裝成YouTube安裝程式的木馬CapraRAT，針對安卓用戶而來。如今研究人員發現，這些駭客的手法出現顯著的變化。</p> <p>他們近期發現新一批的木馬程式CapraRAT的APK檔案，駭客聲稱提供名為Crazy Games的遊戲、冒牌的短影片軟體TikTok，以及武器資訊（Weapons）、色情影片（Sexy Videos）。這些木馬程式都透過WebView元件呈現特定網頁內容。</p> <p>研究人員發現對方針對新版的Android 13、14作業系統進行調整，新版的CapraRAT能在這些作業系統正常運作，相較之下，去年的版本則會不斷出現相容性警告的對話框，很有可能讓使用者起疑而察覺有異。</p> <p><a href="https://www.ithome.com.tw/news/163760"><strong style="font-size: 22px;">印度軟體開發業者遭遇供應鏈攻擊，旗下產品安裝檔被植入竊資軟體</strong></a></p> <p>資安業者Rapid7揭露針對印度軟體開發業者Conceptworld的攻擊行動，對方竄改該公司推出的便箋應用程式Notezilla、剪貼簿管理程式RecentX、檔案複製工具Copywhiz安裝程式，一旦使用者下載、執行安裝，電腦就有可能下載並執行額外的惡意酬載，他們24日向Conceptworld通報此事，該公司於12小時內完成處理，重新上架正常的安裝程式。但究竟駭客如何竄改該公司網站上的檔案，目前仍不得而知。</p> <p>研究人員比對合法及被竄改的檔案指出，這些被加料的安裝檔案，內含的惡意軟體能夠竊取瀏覽器帳密資料、加密貨幣錢包資訊，並側錄剪貼簿內容、使用者鍵盤輸入的內容，而且，還能下載並執行其他的惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/163762"><strong style="font-size: 22px;">木馬程式Orcinius透過假造的VBA程式碼進行散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Orcinius-Figure2-6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Orcinius-Figure2-6.png" style="width: 301px; float: right;" /></a>駭客藉由帶有巨集的Office檔案散布惡意程式的情況很常見，但最近一起攻擊行動當中，對方利用了罕見的手法「VBA stomping」來迴避偵測，而引起研究人員的關注。</p> <p>資安業者SonicWall揭露名為Orcinius的RAT木馬程式，駭客透過多階段感染的手法，濫用雲端檔案共用服務Dropbox、雲端文件服務Google Docs來下載第2階段的有效酬載，並保持程式的最新狀態。值得留意的是，該惡意程式的攻擊過程裡，對方運用了經過混淆處理的VBA巨集，而能與Windows作業系統進行掛鉤（Hook），監控正在執行的視窗、使用者鍵盤輸入的內容，並竄改機碼以便在受害電腦持續活動。</p> <p><a href="https://www.ithome.com.tw/news/163754"><strong style="font-size: 22px;">駭客組織8220鎖定Oracle WebLogic伺服器已知漏洞而來，透過PowerShell指令碼散布挖礦軟體</strong></a></p> <p>最近幾年中國駭客組織8220（Water Sigbin）鎖定企業應用系統漏洞，藉此入侵部署作案工具，占用系統硬體資源挖礦的情況不時傳出，現在有研究人員發現，這些駭客作案的手法變得更隱密。</p> <p>資安業者趨勢科技揭露8220最新一波的攻擊行動，這些駭客針對Oracle WebLogic伺服器已知漏洞CVE-2017-3506、CVE-2023-21839而來，透過PowerShell指令碼，最終在受害伺服器植入挖礦程式XMRig。</p> <p><a href="https://www.ithome.com.tw/news/163757"><strong style="font-size: 22px;">CISA針對地理位置資訊伺服器GeoServer、Linux核心、郵件伺服器Roundcube遭到利用的漏洞提出警告</strong></a></p> <p>上週美國網路安全暨基礎設施安全局（CISA）將3項已知漏洞列入已被用於攻擊行動的漏洞列表（KEV），並要求聯邦機構要在7月17日前完成修補。</p> <p>這些漏洞分別是：地理位置資訊伺服器GeoServer重大層級程式碼注入漏洞CVE-2022-24816、Linux核心的記憶體釋放後又再存取使用（Use After Free，UAF）漏洞CVE-2022-2586，以及郵件伺服器Roundcube跨網站指令碼（XSS）漏洞CVE-2020-13965，CVSS風險評分為9.8、7.8、6.1。</p> <p>根據CVSS評分，最嚴重的漏洞是CVE-2022-24816，這項漏洞發生的原因在於，GeoServer採用的開源元件JAI-EXT當中，一旦此應用系統使用jt-jiffle，並允許透過網際網路取得Jiffle指令碼，就有機會導致攻擊者能遠端執行程式碼。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://asec.ahnlab.com/en/67558/"><strong style="font-size: 20px;">韓國ERP業者更新伺服器遭到供應鏈攻擊，北韓駭客Andariel藉此散布惡意程式</strong></a></p> <p></p> <p>◆<a href="https://www.microsoft.com/en-us/security/blog/2024/06/26/mitigating-skeleton-key-a-new-type-of-generative-ai-jailbreak-technique/"><strong style="font-size: 20px;">研究人員揭露生成式AI越獄手法Skeleton Key</strong></a></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163758"><strong style="font-size: 22px;">熱門相依管理工具CocoaPods存在漏洞，恐波及數百萬個macOS與iOS程式</strong></a></p> <p>以色列資安業者E.V.A Information Security本周披露，用於蘋果平臺的程式相依管理工具CocoaPods存在三大漏洞CVE-2024-38366、CVE-2024-38367與CVE-2024-38368，它們都與驗證伺服器Trunk有關，允許未經授權的用戶認領孤兒Pod套件，破壞受害者的會話，甚至可取得Trunk伺服器與基礎設施的最高存取權限。不過，上述漏洞皆已於去年完成修補。</p> <p>CocoaPods是個開源的應用程式相依性管理工具，目前有超過300萬個行動程式用它來管理10萬個函式庫，廣泛應用在蘋果的Swift與Objective-C專案中。換句話說，只要是針對macOS、iOS、iPadOS或其它蘋果平臺所開發的程式採用CocoaPods，都可能受到波及。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://thehackernews.com/2024/07/new-intel-cpu-vulnerability-indirector.html"><strong style="font-size: 20px;">新型態Intel處理器漏洞Indirector恐曝露敏感資料</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/splunk-patches-high-severity-vulnerabilities-in-enterprise-product/"><strong style="font-size: 20px;">Splunk修補旗下產品的高風險漏洞</strong></a></p> <p></p> <p>◆<a href="https://source.android.com/docs/security/bulletin/2024-07-01"><strong style="font-size: 20px;">Google發布7月份安卓例行更新，修補25個安全弱點</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163743"><strong>【7月2日】研究人員揭露polyfill供應鏈攻擊事故最新發現，駭客同時運用多個網域犯案，保守估計超過30萬個網站受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163731"><strong>【7月1日】遠端桌面連線解決方案業者TeamViewer傳出遭俄羅斯駭客APT29入侵，該公司強調旗下產品未受影響</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163709"><strong>【6月28日】前幾天Polyfill.io供應鏈攻擊事件曝光震撼整個IT界，後續傳出中國CDN業者另起爐灶，再度對10萬網站下手</strong></a></p> </div></div></div>
2024/7/3 18:49作者周峻佑https://www.ithome.com.tw/news/163765
強化SASE資安防護力，思科跨入SSE安全存取應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_access-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衝擊全球持續三年的COVID-19疫情，促使企業與組織提供員工在任何地點連網辦公的需求暴增，連帶推動安全存取服務邊緣（SASE）類型的解決方案在IT市場崛起，以網路與資安大廠思科（Cisco）為例，持續提供與拓展相關產品與服務，並予以統合。</p> <p>他們先在2020年中主推2017併購Viptela而來的SD-WAN，整合多功能資安防護雲端服務服務<a href="https://www.ithome.com.tw/review/113766">Cisco Umbrella</a>，提供囊括雲端管理SD-WAN與雲端供應資安等兩大面向的SASE架構。</p> <p>2021年3月底於線上舉行的年度用戶大會期間，思科預告旗下多款資安產品統合在<a href="https://www.ithome.com.tw/review/138483">SecureX品牌</a>，並宣布所有SASE產品將以單一解決方案的形式供應。而在涵蓋連網（SD-WAN）、控制（雲端資安）之餘，Cisco SASE擴充更多功能，例如前者增加支援基於Meraki雲端網路管理平臺而成的SD-WAN，後者能使用基於Cisco Umbrella而供應的多種防禦技術，像是：<a href="https://www.ithome.com.tw/tags/casb">雲端存取安全代理（CASB）</a>、<a href="https://www.ithome.com.tw/tags/DLP">資料外洩預防（DLP）</a>、<a href="https://www.ithome.com.tw/tags/RBI">遠端瀏覽器隔離（RBI）</a>，以及雲端惡意軟體偵測（移除雲端檔案儲存環境存在的惡意軟體）等。</p> <p>這套SASE解決方案還結合思科2018年8月買下的Duo，得以使用<a href="https://duo.com/blog/duos-passwordless-authentication-is-coming?_gl=1*iletjy*_ga*MjA5Mzc1NTAxNi4xNjMzNTA3Mjgz*_ga_KP8QEFW4ML*MTcwNDg2ODU1OS43MC4xLjE3MDQ4NjkyOTEuMzguMC4w#eyJoYXNoIjoiIiwic2VhcmNoIjoiP19nbD0xKmlsZXRqeSpfZ2EqTWpBNU16YzFOVEF4Tmk0eE5qTXpOVEEzTWpneipfZ2FfS1A4UUVGVzRNTCpNVGN3TkRnMk9EVTFPUzQzTUM0eExqRTNNRFE0TmpreU9URXVNemd1TUM0dyJ9">非密碼型態的身分認證（Passwordless authentication</a>），並且在連網與控制這兩個層面當中，強化遠端安全存取及零信任網路存取（ZTNA），同時Cisco SASE也納入可觀測性（Observability）類型產品，而其技術源頭是思科2020年8月買下的ThousandEyes。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SSE-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SSE-2023-12.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於思科而言，他們發展的SASE解決方案包含兩大部分，其中的SSE負責守護企業連線安全，並且在這個模式下，提供多種網路與內容安全，以及零信任網路存取（ZTNA）的功能。<br /> 初期他們提供基於DNS防護的雲端資安解決方案Umbrella來對應SSE，後續Umbrella擴充「網際網路安全閘道（SIG）」層面的功能，當中涵蓋網頁安全閘道（SWG）、雲端防火牆（FWaaS）、雲端存取安全代理（CASB）、資料外洩預防（DLP），到了現在，增添基於App Connector的零信任網路存取、零信任存取中繼（ZTA Relay），從而進化成最新推出的Cisco Secure Acess來統籌所有的功能。</p> </blockquote> <p>到了2023年6月舉行的年度用戶大會，思科立足於原本的SASE解決方案，發表新的安全服務邊緣（SSE）解決方案，名為Cisco Secure Access，提供單一平臺、可橫跨任何地點、裝置、應用程式的安全存取，7月開始限量供應，預計10月正式上線，</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-3.jpg" style="width: 600px;" /></a></p> <p>而在2024年1月，思科舉行Cisco Secure Access活動臺北場，也等於宣告這套解決方案進入臺灣市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-01-2.jpg" style="width: 600px;" /></p> <p>思科強調，這套SSE系統具有三大特色。首先，提供通用的存取體驗，使用者可透過統一、簡單的作法，即可存取所有應用程式與資源，而且能在不需人為介入協助的狀態下，以聰明、安全的方式引導連至企業內部環境或公開網路的流量。</p> <p>第二，提供單一、位於雲端服務的管理主控臺，思科SSE將多種功能合而為一，成為容易使用、而且能保護所有網路流量的解決方案，藉此簡化資安維運的工作。系統管理者、資安分析人員只需要從一個網站入口就能看到所有流量、設定全部政策，以及分析各種資安風險，而不需管理一大堆工具，能使IT環境的作業效率提升、成本降低，而且不失使用彈性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-12-Cisco Secure Access-SSE-SASE-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-Cisco%20Secure%20Access-SSE-SASE-web.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於思科而言，他們發展的SASE解決方案包含兩大部分，其中的SSE負責守護企業連線安全，並且在這個模式下，提供多種網路與內容安全，以及零信任網路存取（ZTNA）的功能。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-features-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-features-2023-12.jpg" style="width: 600px;" /></a></p> <blockquote><p>思科安全服務邊緣解決方案包含4大功能：網頁安全閘道、雲端存取安全代理、零信任網路存取，以及防火牆即服務，再加上多種延伸的內容與網路保護功<br /> 能，像是資料外洩預防、DNS安全、沙箱檢測、遠端瀏覽器隔離，以及網路威脅情報服務，也能搭配思科SD-WAN、XDR、數位體驗監控系統、多因素驗<br /> 證身分管理系統。</p> </blockquote> <p>第三，加快偵測與應變速度，此套解決方案提供分析功能，可提升調查事故的能力，而且幕後有思科Talos網路威脅情報服務幫忙，能夠偵測與阻擋更多惡意行為與駭客攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Arch.jpg" style="width: 600px;" /></a></p> <blockquote><p>圖中是Cisco Secure Access的完整架構，從中可看到列管端點、非列管端點，以及企業內部環境的使用者與設備連至網際網路、公有雲或私有雲，以及資料中心或分支辦公室的流量，如何經過這套解決方案提供加密通道連線存取，以及網路、內容資安防護功能進行處理，下圖是細部政策處理流程，可看出針對不同類型的遠端存取流量，這套解決方案提供對應的步驟與流量。</p> </blockquote> <p>值得注意的是，思科為了這個解決方案，也和行動裝置廠商共同發展兼具安全性與使用體驗的遠端工作存取方式。例如，他們目前已經與蘋果公司合作，將Cisco Secure Access提供的零信任存取功能併入iOS與macOS作業系統，提供原生操作體驗，促使安全存取應用程式能夠普及，而且能簡化IT人員的相關管理工作，也能提升每個使用者的保護力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Mobile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Mobile.jpg" style="width: 600px;" /></a></p> <p>除了多種功能的整合、強化，以及端點裝置的原生支援，就服務層面而言，Cisco Secure Access本身也是<a href="https://www.ithome.com.tw/tech/162652">Cisco Security Cloud資安雲平臺</a>的一環，可延伸運用思科其他資安與網路產品，同時能整合第三方廠商的解決方案。</p> <p>這套SSE系統底層的IT基礎架構也相當特別，思科表示，當中採用了混合型態的網路服務供應點（POP），由思科本身設置的多個資料中心與公有雲業者的環境來擔綱，可快速延伸至<a href="https://docs.sse.cisco.com/sse-user-guide/docs/secure-access-regions">全球各個地區</a>，以便就近服務用戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions-Global.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions-Global.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions-Global%20in%20Regions.jpg" style="width: 600px;" /></p> <h3><strong><span style="color:#0000FF;">提供多種資安防護功能</span></strong></h3> <p>對比市場上既有的SASE/SSE解決方案，Cisco Secure Access最大的差異在於，思科強調，可提供最有彈性的ZTNA存取方式，當中結合VPN即服務（VPNaaS），以及基於個人端程式（client-based）與無個人端程式（clientless）的ZTNA管道，並且能夠支援任何應用系統、網路連接埠，以及通訊協定，涵蓋基於網際網路、SaaS雲端服務，以及組織內部等環境的應用系統，希望使用者能以最有效率、安全的方法登入IT系統，進而快速開始工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ciscco Secure Access-2023-06-Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ciscco%20Secure%20Access-2023-06-Arch.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo2.jpg" style="width: 298px;" /></a></p> <p>以提供安全的遠端存取而言，首先，在運作架構的設計上，傳統SASE解決方案，往往採用反向代理（reverse proxy），Cisco Secure Access採用更先進的零信任存取中繼（relay），可對企業與組織的資料處理與檢測點，提供更多控制方式，進而減少可遭受攻擊的面向，提升企業隱私防護，對於用戶而言，思科認為他們的解決方案可以更容易建立政策，無論特定流量透過路由交給雲端安全服務處理，或直送至網路邊緣端的安全設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Traffic Flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Traffic%20Flow.jpg" style="width: 600px;" /></a></p> <blockquote><p>此圖是Cisco Secure Access細部的政策處理流程，可看出不同類型的遠端存取流量，這套解決方案會提供對應的步驟與流量。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Security Inspection.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Security%20Inspection.jpg" style="width: 600px;" /></a></p> <p>根據思科去年8月發布的產品技術規格簡介文件，Cisco Secure Access在ZTNA呈現的特色，主要是透過應用程式代理（Application proxy），在不需將應用程式暴露在網際網路的架構下，可提供透明、安全的遠端存取管道，也能隱藏個人端存取內部應用程式的網路傳輸細節，因此，可預防駭客透過IP網路的勘察、甚至侵入個人端裝置，而得知任何資訊。</p> <p>Cisco Secure Access的另一個大賣點，是同時提供多元的資安防護功能，以及統一的系統管理儀表板，兼顧簡化的操作方式、高度工作效率，以及理想的使用成效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Unified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Unified.jpg" style="width: 600px;" /></a></p> <p> <a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo3.jpg" style="width: 299px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo4.jpg" style="width: 298px;" /></a> </p> <p>目前，Cisco Secure Access提供的資安防護功能如下：</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Security Stack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Security%20Stack.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-01-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>零信任網路存取</strong></span></p> <p>針對企業與組織IT環境或雲端服務環境的內部應用系統，可藉由ZTNA提供細緻、個別程式專屬的存取方式，用戶可透過預先定義的存取政策，落實最小權限的原則，並獲得具有前後脈絡的存取行為洞察分析，更加精細地限制不當的存取，而且能在使用者存取應用程式取得明確許可，無論位在何處，均可居中代理。思科此處提供的ZTNA有兩種存取方式：採用個人端程式（Cisco Secure Client），以及無個人端程式（亦即經由瀏覽器來提供存取），可進行基於SAML的身分認證，也能運用內建的身分識別提供者（IdP），以及實施基於應用程式的存取政策控管。</p> <p><span style="color:#FF0000;"><strong>VPN即服務（VPNaaS）</strong></span></p> <p>將VPN提升至雲端服務的層次，因應ZTNA難以涵蓋全部的企業與組織內部應用程式，思科提供基於雲端型態的VPN即服務，可囊括遠端安全存取，以及針對非網頁類型的網際網路存取流量，可支援多種應用情境，像是分割加密通道與完整通道、點對點通訊、自帶憑證（BYO certificate）、分割DNS、動態分割DNS；而在身分認證的處理上，用戶可運用SAML、憑證、RADIUS、LDAP方式進行；關於便利一般使用者操作的方式上，思科在此提供持續經由VPN傳輸（always on VPN），以及登入前就啟動VPN；而在簡化IT維運管理方面，可運用本地IP資源共用池（Local IP Pool）、多重VPN設定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-VPNaaS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-VPNaaS.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>網頁安全閘道器（SWG）</strong></span></p> <p>透過代理伺服器架構進行網頁流量的深層與細緻控管，涵蓋網址與內容過濾，以及進階的應用系統控制，針對選定的加密流量進行解密處理、政策強制實施。對於所有流經80埠與443埠的網頁流量，這項功能可以進行記錄與檢測，並運用IPsec加密通道、Proxy自動設定組態（PAC）檔案，以及代理伺服器鏈接（proxy chaining）等作法，將所有流量轉送至此進行處理，進而完整透視當中進行的連線行為，實施URL網址與應用程式層級的控管，以及進階的網路威脅防護，目前可運用的防護包括：網址的過濾、下載檔案的惡意軟體掃描、特定類型檔案的阻擋存取、針對部分連網應用程式的禁用、全部或選定的網路加密流量解密、通報完整的URL網址與網路身分識別，以及後面將會提到的沙箱檢測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG3.jpg" style="width: 298px;" /></a></p> <p><strong><span style="color:#FF0000;">雲端存取安全代理（CASB）</span></strong></p> <p>提供雲端應用程式的探查、風險分數的評估、非法行為的阻擋、雲端惡意軟體的偵測，以及租戶的控制，藉此提供雲端應用程式偵測與通報能力，揭發員工的影子IT活動，以便更妥善管理雲端服務的採用、降低資安風險，以及限制或阻擋各種應用程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CASB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CASB.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>資料外洩預防（DLP）</strong></span></p> <p>思科在此提供超過190種的內容分析器，涵蓋GDPR、 PCI-DSS、HIPAA、PII、PHI等法規遵循的要求，用戶可定義違反資料外洩預防要求的政策，預防敏感資訊經由資安服務支援的各種應用系統不當傳遞，而造成洩漏。實作上，思科此處整合的DLP解決方案，透過網頁安全閘道Proxy即時線上分析，察覺是否有人正在外洩敏感資料，並搭配Restful API、提供頻外（out-of-band）監控能力，分析儲存在雲端服務的靜態資料，掌握與控管正在離開企業與組織的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-DLP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-DLP.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>防火牆即服務（FWaaS）</strong></span></p> <p>提供網路第3層、第4層、第7層的防火牆監控機制，並且結合入侵防禦系統Snort 3的技術，而獲得特徵碼比對的網路威脅偵測能力，可透過網路流量的深層透視與控管，涵蓋多個通訊埠與協定的動向，防護範圍包含行動App、點對點檔案共享軟體、視訊線上會議軟體，以及任何非網頁或非DNS的網路流量，提升網路安全成效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW-IPS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW-IPS.jpg" style="width: 298px;" /></a></p> <p><span style="color:#FF0000;"><strong>DNS層級的防護（DNS-layer security）</strong></span></p> <p>基於網域名稱服務（DNS）的解析與查詢，在連線建立之前，也就是尚未經由任何通訊埠或協定傳遞至企業內部網路環境或端點之前，即可阻擋使用者連至惡意或非必要的網址，對於連至惡意網站或不符合上網政策的存取活動，能予以攔截、限制，達到預防網路威脅的目的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Umbrella.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Umbrella.png" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>內用網路安全存取（Secure Private Access）</strong></span></p> <p>能保護所有企業與組織內部應用程式的存取，涵蓋使用其他通訊埠與協定的非標準化系統，以及透過多個通道、點對點連線傳輸的軟體程式，提供零信任網路存取與VPN即服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private Access1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20Access1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private AccessA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20AccessA.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private AccessB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20AccessB.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private AccessC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20AccessC.jpg" style="width: 198px;" /></a></p> <p><strong><span style="color:#FF0000;">網際網路應用程式的安全存取（Secure Internet Access）</span></strong></p> <p>針對橫跨多種網路環境、分支辦公室，以及四處移動的使用者，在存取公開SaaS應用程式或其他類型雲端服務時，可藉此防護與管理相關的網際網路存取活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Internet Access.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Internet%20Access.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access1.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access3.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access4.jpg" style="width: 148px;" /></a></p> <p><span style="color:#FF0000;"><strong>遠端瀏覽器隔離（Remote Browser Isolation，RBI）</strong></span></p> <p>將上網設備與存取網站的流量區隔開來，使用者無法直接觸及透過網頁瀏覽器散播的惡意威脅，能以更安全的方式存取具有風險的網站，進而保護企業與組織的資安。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>惡意軟體安全分析與沙箱檢測</strong></span></p> <p>結合進階的沙箱檢測機制（sandboxing）與網路威脅情報服務，保護企業與組織免於惡意軟體的侵襲，用戶可完整存取Cisco Secure Malware Analytics（前身為2014年併購的ThreatGRID），而能在雜物箱（glovebox）開啟惡意檔案，追蹤檔案執行的動作，捕捉檔案產生的網路活動。</p> <h3><strong><span style="color:#0000FF;">下一步擴大支援更多行動裝置的應用 </span></strong></h3> <p>在零信任網路存取的架構中，Cisco Secure Access採用的中繼架構，是基於兩種先進、高效率的通訊協定：QUIC（HTTP/3），以及架構在QUIC之上的MASQUE（Multiplexed Application Substrate over QUIC Encryption），而能支援所有的應用程式、通訊埠，以及協定，並在減少資源暴露在外的狀態下，仍能作到超細緻的零信任控制、雙向混淆（bi-directional obfuscation）、效能改善，全面防護內部應用程式的存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ciscco Secure Access-2023-06-Apple1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ciscco%20Secure%20Access-2023-06-Apple1.jpg" style="width: 600px;" /></a></p> <p>而在行動裝置的原生支援上，Cisco Secure Access先預告與展示蘋果iOS平臺的零信任存取，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-iOS.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Apple2.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Apple4.jpg" style="width: 298px;" /></p> <p>去年12月提到三星Galaxy系列手機與平板也將提供這樣的安全機制，使用設備的人員就能經由Cisco Secure Access存取工作資源，而且套用零信任存取政策控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Android.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Android.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung1.jpg" style="width: 70px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung2.jpg" style="width: 70px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung3.jpg" style="width: 70px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung5.jpg" style="width: 70px;" /></a></p> <p>思科表示，上述行動裝置的零信任存取架構，運用MASQUE代理伺服器與QUIC協定，因此，能在保護企業IT資源的同時，也提供快速存取的便利性——使用內部應用程式需橫跨網際網路時，預防以未加密的狀態暴露在外，而且還能針對個別應用程式提供受到政策控管的存取方式，減少惡意威脅在內部網路橫向移動的風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-QUIC Masque-2024-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-QUIC%20Masque-2024-02.png" style="width: 600px;" /></a></p> <p>除此之外，Cisco Secure Access也結合了VPN即服務，可透過單一安全個人端程式（Cisco Secure Client）的搭配使用，提供另一種安全連線方式，也能對所有應用程式進行身分與裝置安全狀態的檢查，無論使用者要存取網際網路、SaaS雲端服務，或是企業與組織的應用系統，均能以簡易、輕鬆的方式進行，只需登入就能開始工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo5.jpg" style="width: 600px;" /></a></p> <p>強調便利性、安全性之餘，可用性的水準也是企業與組織評估是否長期採用的關鍵，對此思科也公開向大家承諾，Cisco Secure Access將提供99.999％（5個9）的服務等級協議（SLA）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Cisco Secure Access</strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●版本：Secure Access Essentials、Secure Access Advantage<br /> ●核心功能：零信任網路存取（ZTNA）、網站安全閘道（SWG）、雲端存取安全代理（CASB）、防火牆即服務（FWaaS）與入侵防禦系統（IPS）<br /> ●延伸功能：多重模式資料外洩防護（multimode DLP）、DNS安全防護、沙箱檢測、遠端瀏覽器隔離（RBI）、網路威脅情報服務、數位體驗監控分析（DEM insights）<br /> ●零信任存取類型：網際網路安全存取（Secure Internet Access）、私有網路安全存取（Secure Private Access）<br /> ●選購解決方案：SD-WAN、XDR、Duo MFA/SSO、CSPM</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/30 17:14作者李宗翰https://www.ithome.com.tw/review/160782
Google翻譯利用AI新增對粵語等110種新語言的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/products/translate/google-translate-new-languages-2024/" target="_blank">宣布</a>，Google翻譯已利用<a href="https://ai.google/discover/palm2/" target="_blank">PaLM 2大型語言模型</a>新增對110種<a href="https://support.google.com/translate/answer/15139004?visit_id=638551412056656998-2006381606&p=TranslateNewLanguages2024&rd=1" target="_blank">新語言的支援</a>，包括香港地區所使用的粵語、巴基斯坦最常用的Punjabi，以及已失去最後一位母語人士的Manx等，讓現在的Google翻譯所支援的語言達到243種。</p> <p>此次Google所支援的新語言代表全球超過6.14億的使用者，約占全球人口的8%，有些是使用人數超過1億的主要語言，但大多數是土著的小社群在使用，也有少數幾乎沒有母語人士。整體而言，約有1/4的新語言來自非洲。</p> <p>其中，粵語長期以來一直是Google翻譯最需要的語言之一，但因為粵語在寫作上經常跟普通話重疊，因此很難找到資料並訓練模型。Manx則是英國曼島（Isle of Man）的傳統語言，為凱爾特（Celtic）語族的語言，其最後一位母語者已在1974年去世，現在僅有數千人使用Manx。另一個有趣的語言則是NKo，它是西非曼丁（Manding）語系的一種標準化形式，將所有方言統一為一種通用語言，還擁有一個專門替它開發資源與技術的活躍社群，NKo的字母是在1949年才發明。</p> <p>Google說明，在增添翻譯服務的新語言時，Google考慮了各種變種與拼法，因為不同的地區及方言，都有不同的拼寫標準，且有很多語言缺乏標準形式，很難出現所謂的正確變種，因此Google優先考慮每種語言最常用的變種，並利用PaLM 2模型來學習相近的各種語言，隨著技術的進步再加上與專業語言學家及母語人士的合作，未來的Google翻譯可望支援更多的語言變體及拼法慣例。</p> <p>對新語言的支援將直接出現在網頁、Android及iOS的Google翻譯服務上。</p> </div></div></div>
2024/6/28 20:30作者陳曉莉https://www.ithome.com.tw/news/163700
零售IT雙周報第37期：Amazon如何用AI在物流中心攔截問題商品，提升顧客滿意度並降低物流和耗損成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0617~0629)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺 #品質管理 #智慧物流 #生成式AI</span></span></strong><br /> <strong>Amazon如何用AI在物流中心挑出受損品及錯規格的商品</strong></p> <p>Amazon揭露<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ai-sustainability-carbon-footprint-product-defects">自家如何在物流中心利用AI來挑出受損品及不符訂單規格的商品</a>。他們將此技術稱為Project P.I.。出貨前，商品會經過一個掃描器，Project P.I.會用電腦視覺技術抓出商品受損或不符合訂單規格的情況，如書本封面折到、衣服錯尺寸等，並標註出問題商品，供作業人員調查。</p> <p>不只如此，Project P.I.還搭載了多模態LLM技術，用來理解過往發生類似商品受損或規格錯誤的狀況，以強化判斷問題商品能力，甚至辨識出同類型商品出問題的常見模式。接著，Amazon可以就這些出問題的常見模式，跟供應商共同探討未來改善方法。</p> <p>Amazon表示，用Project P.I.提早辨識出有問題的商品，不僅能提升整體顧客滿意度，同時還能達到節省成本及環保效果。這些辨識出有問題的商品不一定要丟棄，還能放到Amazon自家二手市集販賣，或捐出，或將這些商品用於他處。反之，若沒有及時發現問題商品就出貨，顧客退貨時會消耗包裝及物流資源。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電子標籤 #OMO零售</span></span></strong><br /> <strong>Walmart將於2,300間門市大規模導入電子貨架標籤，能快速更新資訊還可支援補貨及揀貨等作業</strong></p> <p><a href="https://corporate.walmart.com/news/2024/06/06/new-tech-better-outcomes-digital-shelf-labels-are-a-win-for-customers-and-associates">Walmart宣布將於2026年前在2,300家門市內導入電子貨架標籤。</a>一間Walmart門市約有120,000類商品，也就是說至少會啟用2.7億個電子貨架標籤。Walmart表示，導入電子標籤不只能用於快速更新價格和優惠資訊，還將用於協助門市人員作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walmarttag.jpg" style="width: 600px;" /></p> <p>補貨時，門市人員可以遠端操控該貨架電子標籤示意燈，以利他們找到對應貨架。同理，在支援線上下單線下取貨（BOPIS）或從門市內貨架挑揀外送用商品時，也可以遙控對應貨架示意燈，來加速揀貨作業。這意味著，隨著OMO零售成熟，電子貨架標籤的效益不僅限於支援實體門市管理，還能進一步拓展到強化數位零售效率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售 #會員經營 #跨商家導流</span></span><br /> 全家會員App整合日本代購電商比比昂購物功能，還會根據全家自家會</strong><strong>員喜好來分眾推播商品</strong></p> <p>全家便利商店與日本代購電商比比昂合作，將後者電商功能整合到前者會員App中。消費者可以利用全家會員身分一鍵註冊比比昂會員，也能直接在全家App中瀏覽比比昂的商品。經實測，此功能操作介面與流暢度媲美原生功能，不會像開啟App內建瀏覽器連接到外部網站一樣卡頓。此電商功能還會依照全家會員個人喜好數據，對會員進行分眾行銷，呈現不同商品於主頁。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fmmbba.jpg" style="height: 450px;" /></p> <p>以線下零售為主的全家將外部電商整合到自家會員App，不僅能增加一個消費者打開App等數位通路的誘因，還能進一步蒐集會緣於外部通路的消費喜好數據。對合作電商來說，則是新增了一個獲客管道，還能利用全家會員數據來對潛在客戶進行分眾行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AMR #自動化物流</span></span></strong><br /> <strong>網家A7物流中心開始導入上百臺AMR，提升3倍揀貨效率</strong></p> <p>網家於林口A7物流中心的3層樓中導入了上百臺智慧物流機器人（AMR），用來揀貨到工作站，節省作業人員親自揀貨的勞務。PChome表示，導入這些機器人後，揀貨模式從以人就物，改為以物就人，作業員步行距離縮短了一半，揀貨效率也提升了3倍。</p> <p>此機器人另一個好處是不需要環境照明即可揀貨，因此能節省貨架區照明成本。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #圖片背景生成</span></span></strong><br /> <strong>eBay推出用生成式AI製作商品圖片背景的功能</strong></p> <p>C2C電商巨頭eBay持續發展對圖像類AI相關應用，<a href="https://innovation.ebayinc.com/tech/features/background-swap-tool-turns-any-photo-into-a-studio-quality-product-image/">近期推出可以輕鬆替換商品圖片背景的功能</a>。過往，eBay已經有圖片去背功能，現在則能進一步生成出多種背景圖樣，來替換原本背景。若商家對AI生成的背景圖不滿意，還能簡單的編輯圖片，或是重新生成更多不同樣式。此功能目前只在iOS商家App上線，未來數月會上線到Android版App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebaygai.jpg" style="width: 700px;" /></p> <p>雖然這類生成式AI技術已經不算新穎，不過eBay自己推出此功能，有望降低更多中小型商家利用生成式AI來提升賣場圖片素材品質的門檻。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #聊天機器人 #線上訂位</span></span><br /> 台灣大哥大與Line、inline聯手，瞄準餐飲業者推出AI語音訂位服務</strong></p> <p>台灣大哥大與Line、碩網資訊、inline合作，共同推出AI語音預約訂位服務。消費者可透過播打電話或Line電話來訂位，以及查詢、修改及取消訂位。此服務背後技術是台灣大哥大的行動市話服務、碩網資訊的語意辨識及語音合成技術、Line的Clova聊天機器人，以及inline的線上訂位服務。</p> <p>除此之外，消費者若在訂位時，附帶提問用餐相關問題，例如店家周邊停車資訊、用餐時間限制、兒童用餐、座位等用餐環境相關問題，會由ChatGPT 3.5判斷應答。（<a href="https://www.ithome.com.tw/news/163200">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.prnewswire.com/news-releases/toysrus-studios-and-native-foreign-use-openais-sora-to-narrate-the-origin-story-of-beloved-toyrus-brand-302180332.html">玩具反斗城成為第一個用文字轉影音的生成式AI Sora打造行銷用影片的零售商</a></p> <p>2. Costco也要開始做RMN，將1.3億會員數據用於數位行銷</p> <p>3. 韓國公正交易委員會以操控演算法來增加自有品牌出現頻率為由，對酷澎祭出等同新臺幣33億元罰款</p> <p>4. <a href="https://www.prnewswire.com/news-releases/albertsons-media-collective-partners-with-rokt-to-extend-its-retail-media-ecosystem-adds-non-endemic-ads-across-its-portfolio-of-brands-302167123.html">北美第二大連鎖超市Albertsons開放非供應商在旗下RMN投廣</a></p> <p>資料來源：iThome整理，2023年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Walmart、eBay</p> <p></p> </div></div></div>
2024/6/28 13:20作者郭又華https://www.ithome.com.tw/news/163699
Google已在付費版Workspace App部署Gemini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（25）日宣布已將Gemini AI助理功能提供給付費版生產力應用，包括Google Docs、Google Drive等<a href="https://workspaceupdates.googleblog.com/2024/06/gemini-in-side-panel-of-google-docs-sheets-slides-drive.html" target="_blank">Workspace生產力雲端軟體</a>以及<a href="https://workspaceupdates.googleblog.com/2024/06/gemini-in-side-panel-of-gmail.html" target="_blank">Gmail</a>，讓AI助理協助用戶寫信或製作文件、簡報等商務作業。</p> <p>Gemini AI助理是以Google最新大型LLM Gemini 1.5 Pro為基礎，具備更長的context window及更進階的理解能力。今日起，Gemini AI助理已提供給付費版Workspace用戶，後者包括具有Gemini Business及Enterprise外掛、Gemini Education與Education Premium外掛，以及Google One AI Premium授權的Workspace。</p> <p>在Workspace App部分，Gemini已經透過Google Docs、Sheets、Slides與Drive的側邊欄提供給用戶。Gemini可協助用戶摘錄文件重點、加以分析，根據蒐集自郵件、文件內容的洞見產生文件、簡報圖片，建立Sheets報表表格、或將用戶製作的內容加以潤飾。透過整合在側邊欄，所有過程用戶都不必跳離Workspace App或分頁。Google指出，更新後的Gemini介面能自動摘錄用戶手上還在作業的文件重點，並建議用戶與上下文相關的提示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Google%20Workspace-Gemini%20in%20Sheets.png" style="width: 600px;" /></p> <p>在付費版Gmail中，Gemini同樣也出現在側邊欄。即日起，用戶可請Gemini AI助理摘錄一整個訊息串的郵件內容、建議回應內容、草擬郵件、詢問Gemini關於Gmail郵件或Google Drive中檔案內容的問題，或請它找出特定資訊。用戶和Gemini互動時，可以依據它提供的提示，但也可以自由提問，例如請Gemini搜尋Gmail信件，詢問代理商的採購單號、上次行銷活動的花費總和、或下次團隊會議訂在幾點等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Google%20Workspace-Gemini%20in%20gmail.png" style="width: 600px;" /></p> <p>要讓用戶啟用Gemini，管理員必須開放用戶權限，允許他們啟用智慧功能及個人化設定。Web介面上，用戶可以從App右上角的「Ask Gemini」來啟動側邊欄中的Gemini。</p> <p>Gmail的Gemini，除了部署給Web版，Google也部署了Gemini的信件摘要（Summarize）功能給iOS或Android版Gmail App，用戶可以點入信件上方的「summarize this email」啟用。Google並預告，很快會再加入可配合上下文的情境化智慧回覆與Gmail Q&A二項新功能。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/6/26 10:05作者林妍溱https://www.ithome.com.tw/news/163652
【資安日報】6月25日，中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定今年臺灣總統大選的網路攻擊，已有數家資安業者公布他們觀察到的攻擊行動，但最近研究人員揭露的最新發現，攻擊者從事相關活動的期間，從去年11月到今年4月，也就是自總統選舉的2個月前，到新任總統即將上任前夕，時間接近半年。</p> <p>值得留意的是，這些駭客不僅針對外交經濟和社會運動團體而來，也鎖定高科技產業，企圖偷取相關機密。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163641"><strong style="font-size: 22px;">中國駭客組織RedJuliett近半年鎖定臺灣75個組織發動攻擊，目標主要是高科技產業，但外交經濟、社會運動團體也遭鎖定</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露為期近半年的網路間諜攻擊行動，代號為Flax Typhoon、Ethereal Panda中國駭客組織RedJuliett，自去年11月自今年4月，針對臺灣教育機構、政府機關、科技產業、外交機構而來，這些駭客利用防火牆、VPN、負載平衡設備等網路邊界裝置的已知漏洞，取得初始存取的管道，目的很有可能是為中國政府收集臺灣經濟、外交關係，以及關鍵技術研發的情報。</p> <p>由於上述攻擊發生的時間點，正好是今年臺灣總統大選前至新政府上臺的前夕，這起攻擊行動的揭露，引起國內外媒體高度關注。</p> <p>針對受害規模的部分，這些駭客入侵全球24個組織，其中包含了臺灣、竂國、肯亞、盧安達的政府機構。而對於臺灣的部分，該組織試圖針對75個企業組織下手，當中有8所大學、11個政府機關，攻擊範圍相當廣泛，涵蓋高科技產業、外交經濟，以及社會運動，但他們認為，駭客最主要的目標還是高科技產業相關組織。</p> <p><a href="https://www.ithome.com.tw/news/163647"><strong style="font-size: 22px;">中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料</strong></a></p> <p>資安業者賽門鐵克揭露中國駭客組織鎖定特定亞洲國家電信業者的網路間諜活動，這些駭客在受害公司的網路環境植入後門程式，並試圖竊取各式帳密資料。</p> <p>研究人員指出，對方的攻擊行動至少可追溯至2021年，不過，他們掌握2020年已有部分活動的證據。而對於攻擊目標的部分，雖然駭客主要是鎖定電信業者，但是也有提供電信業者服務的公司，以及另一個國家的大學受害。</p> <p>究竟對方的目的為何，研究人員表示並不清楚，但很有可能是為了收集特定國家的電信行業情報，甚至進行監聽，也不排除對當地關鍵基礎設施進行破壞；而對於攻擊者的身分，他們也推測有幾種可能，有可能是多組人馬進行合作，或是不約而同發動攻擊；也有可能是未被發現的駭客組織出手，並使用其他團隊提供的作案工具犯案。</p> <p><a href="https://www.ithome.com.tw/news/163645"><strong style="font-size: 22px;">惡意軟體載入工具SquidLoader鎖定中國企業組織而來，企圖透過偽裝成Word檔案的附件引誘員工上鉤</strong></a></p> <p>今年4月下旬，電信業者AT&T旗下的資安威脅實驗室LevelBlue發現具備高度迴避偵測能力的惡意程式載入工具SquidLoader，使用此項工具的攻擊者鎖定使用簡體中文的用戶，受害者電腦會因此而載入Cobalt Strike。研究人員進一步調查指出，這些駭客在過去2年就曾發起了零星攻擊，而且似乎專門針對國家而來。由於這樣的攻擊技術及手法有可能被複製，未來很有可能被其他惡意軟體開發者如法炮製。</p> <p>研究人員認為，攻擊者的主要目標是員工，企圖藉由具有明確描述的名程引誘他們上當。值得留意的是，這些釣魚郵件的附件檔案雖然都帶有Word文件圖示，但實際上都是可執行檔，一旦收信人開啟附件，電腦就可能從遠端下載SquidLoader。</p> <p><a href="https://www.ithome.com.tw/news/163635"><strong style="font-size: 22px;">YouTube直播平臺出現馬斯克Deepfake影片，對方企圖詐騙加密貨幣</strong></a></p> <p>入侵知名企業或名人的網路服務帳號，對其支持者進行金融詐騙的手法頻傳，6月24日YouTube Live直播平臺便出現馬斯克的Deepfake影片，對方將特斯拉公司發布的公開影片透過Deepfake改造，企圖誘騙支持者造訪指定網站並轉出數位貨幣，影片被檢舉下架前5個小時，曾吸引至少3萬人同時觀看。</p> <p>根據科技新聞網站Engadget報導，這則詐騙影片看似馬斯克在特斯拉公司活動中發表演說，馬斯克指示用戶點選造訪某個網站網址，並將手上的比特幣、以太幣與狗狗幣儲存在該網站的電子錢包中。AI版「馬斯克」聲稱，只要用戶完成儲存，就可獲得存入金額2倍等值的加密貨幣作為回饋。</p> <p>值得留意的是，該影片是由貌似特斯拉的公司帳號發布，並有YouTube藝術家官方頻道（Official Artist Channel）的驗證徽章，媒體推測，這很可能是特斯拉遭駭的帳號。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/"><strong style="font-size: 20px;">駭客組織APT-C-35鎖定安卓裝置發動超過120起攻擊行動，散布惡意程式Rafel RAT</strong></a></p> <p>◆<a href="https://blog.xlab.qianxin.com/a-deep-dive-into-the-zergeca-botnet/"><strong style="font-size: 20px;">研究人員揭露難以被防毒軟體察覺的殭屍網路病毒Zergeca</strong></a></p> <p>◆<a href="http://www.elastic.co/security-labs/grimresource"><strong style="font-size: 20px;">研究人員揭露新型態攻擊手法GrimResource，利用MMC管理主控臺存取受害電腦並迴避偵測</strong></a></p> <p></p> <p>◆<a href="https://hackread.com/qilin-ransomware-attack-nhs-patient-data-leak-telegram/"><strong style="font-size: 20px;">勒索軟體駭客組織</strong></a><a href="https://hackread.com/qilin-ransomware-attack-nhs-patient-data-leak-telegram/"><strong style="font-size: 20px;">Qilin傳出在Telegram頻道外流400 GB英國國民保健署及病人資料</strong></a></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163644"><strong style="font-size: 22px;">電子商務平臺PrestaShop的臉書外掛程式存在漏洞，已有攻擊者用於竊取信用卡付款詳細資訊</strong></a></p> <p>電商平臺技術社群Friends Of Presta指出，名為pkfacebook的付費外掛程式存在重大漏洞CVE-2024-36680，使得瀏覽電商網站的訪客有機會發動SQL注入攻擊，CVSS風險評為9.8分，影響1.0.1以前的版本。值得留意的是，這項漏洞已被積極利用，攻擊者藉此在電商平臺植入側錄工具，以便大規模竊取信用卡資料。</p> <p>這項由Promokit.eu打造的電商平臺PrestaShop外掛程式，主要是供用戶直接使用臉書帳號與站方互動，留下評論，或是透過Messenger與客服進行溝通。然而，由於這項外掛程式是由該公司自行銷售，他們並未透露有多少網站採用，究竟有多少電商網站曝險，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/163636"><strong style="font-size: 22px;">微軟將透過Windows每月例行更新一併修補Visual Studio</strong></a></p> <p>為更為充分利用Windows的更新機制Microsoft Update，微軟宣布自8月開始，將會藉此機制，於每個月的例行更新（Patch Tuesday）提供用戶IDE工具Visual Studio的相關更新。</p> <p>一旦使用者在Microsoft Update啟用接收其他微軟產品更新的功能，他們將對使用Visual Studio 2022、Visual Studio 2019、Visual Studio 2017的用戶派送更新，這項服務不支援預覽版Visual Studio。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.wiz.io/blog/probllama-ollama-vulnerability-cve-2024-37032"><strong style="font-size: 20px;">開源人工智慧基礎設施平臺Ollama存在漏洞Probllama，若不修補恐被用於RCE攻擊</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163574"><strong>【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</strong></a></p> </div></div></div>
2024/6/25 17:39作者周峻佑https://www.ithome.com.tw/news/163648
Martech雙周報第56期：Google強化CTV廣告業務，開始將2億臺Google TV作為一個廣告通路經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0609~0622)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告 #電視作業系統</span></span></strong><br /> <strong>Google終於正式進軍CTV行銷，開始將2億臺Google TV作為一個廣告通路經營</strong></p> <p>聯網電視（CTV）廣告通常收費較一般網路影片平臺高，因為CTV內容通常製作規格較高，觀眾注意力也較集中。一直以來，Google都於Youtube及其他合作影片聯播網來投放廣告，並且聲稱旗下影音串流平臺Youtube是一種CTV──因為許多家庭會在電視上看Youtube。</p> <p>不過，隨著越來越多電視作業系統商開始經營CTV廣告，他們也開始將搭載自家電視OS Chromes OS的電視作為一種正式廣告通路分類，來販售CTV廣告。近日，<a href="https://blog.google/products/ads-commerce/meet-the-google-tv-network/">他們開始營運Google TV聯播網廣告</a>，於Google TV內建頻道及其他合作影音串流App中投放影音廣告。目前廣告格式有15秒不可跳過的廣告及6秒影片開場前廣告。</p> <p>Google表示，Google TV廣告可以觸及的受眾包括20億個月活躍Google TV及其他Android TV裝置。這類型廣告目前可以在Google Ads和Google Display & Video 360兩個平臺投放，目前只支援美國市場。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告聯播網 #機上廣告 #旅行數據</span></span></strong><br /> <strong>美國聯合航空以旅遊數據為基礎推出廣告聯播網服務</strong></p> <p>百業皆推出聯播網的時代下，航空業也加入戰局。根據美聯航數據，他們App每個月有近1億次工作階段（Session），且乘客平均飛行時間為3.5小時。<a href="https://www.prnewswire.com/news-releases/united-launches-airline-industrys-first-media-network-302167035.html">為了嘗試變現這些注意力，他們推出廣告聯播網服務</a>，利用顧客旅遊數據來支援數位行銷，在自家App及飛機上娛樂螢幕投放個人化廣告。</p> <p>與零售媒體聯播網數據做法類似，美聯航會將自家顧客數據轉化為去識別化的分眾，讓廣告主選擇投放對象。美聯航也提供了管道，供顧客申請停止接收個人化廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客授權管理 #資料刪除請求</span></span></strong><br /> <strong>IAB推出網路使用者資料刪除請求框架，制定個資紀錄刪除請求的接收、驗證及回應建議做法</strong></p> <p><a href="https://iabtechlab.com/iab-tech-lab-launches-second-public-comment-period-for-data-deletion-request-framework/">美國互動廣告協會（IAB）推出資料刪除請求框架</a>（Data Deletion Request Framework），制定網路使用者請求刪除個資時，資料持有者從接收、驗證到回應結果的方法。此框架採取JSON Web Token作為通訊標準，來確定請求者身分真實性、確保請求內容未經竄改、產生請求處理結果。</p> <p>目前，業界沒有統一處理個資刪除請求的做法。由IAB制定一個符合GDPR及美國多州隱私法規的個資資料刪除請求框架，有望降低歐美及許多跨國企業在個資使用方面的法遵門檻。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #社群媒體行銷</span></span></strong><br /> <strong>Anymind Group推出GenAI網紅搜尋功能，可用自然語言條件或品牌圖片來尋找相近風格創作者來洽談行銷合作</strong></p> <p>行銷及零售科技廠商Anymind Group推出生成式AI網紅搜尋功能，在原本以機器學習技術來搜尋相似網紅推薦功能的基礎上，加入生成式AI技術。廣告主尋找潛在合作網紅時，可以利用自然語言及圖片輸入兩種方法來輸入需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/anytag.jpg" style="width: 600px;" /></p> <p>接收自然語言輸入時，此功能可以接受網紅特徵描述，同時考慮廣告主自身情況來推薦合作對象。例如，廣告主可以輸入「請推薦我公司還沒合作過的臺灣美妝類網紅」。AI也會根據情況進一步追問更多條件。第二則是圖片輸入，廣告主可以上傳商品或品牌圖片，來搜尋照片有類似風格、色調、拍照角度和主題的網紅。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech應用案例 #AI行銷應用案例</span></span></strong><br /> <strong>Verizon如何利用業務流程管理科技及內容管理科技來強化數位行銷</strong></p> <p>近期一場活動中，美國大型電信商Verizon的Martech策略副主任Tommi Marsans揭露了他們如何利用Pega業務流程管理解決方案及Adobe的內容管理產品線，用類似於B2C零售業的模式進行B2B行銷。</p> <p>首先，在B2B行銷領域中，Verizon一大挑戰是決策考量點過於複雜。Tommi Marsans說明，Verizon企業客戶非常多樣化，從中小型企業到巨型跨國企業都有。Verizon自己還有近3,000種服務方案及上百種裝置和周邊商品。「雖然有無數種方案和商品組合，但業務腦中通常只會有6至7種方案組合，導致不同類型的企業客戶都拿到類似提案。」Tommi Marsans坦言。</p> <p>於是，Verizon導入了Pega的客戶關係管理及業務流程管理解決方案，來綜合分析客戶特性及自家商品特性，並由系統推薦出適合客戶的方案組合。他們後來還延伸此技術應用場景，用於客戶教育與溝通等環節。</p> <p>不只如此，他們還並用Pega與Adobe的內容管理產品線，由前者提供決策，再由後者來呈現網站的行銷內容。例如，根據進站企業客戶類型來調整呈現的圖片、文案，以及根據企業客戶方案和裝置，來調整推薦商品內容。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權法規 #第三方Cookie退場 #隱私意識 #圍牆花園</span></span></strong><br /> <strong>不敵數據隱私環境變動，甲骨文撤出Adtech市場</strong></p> <p><a href="https://www.fool.com/earnings/call-transcripts/2024/06/11/oracle-orcl-q4-2024-earnings-call-transcript/">近期法說會中</a>，甲骨文執行長Safra Catz宣布，將終止營運廣告科技相關業務。</p> <p>甲骨文廣告科技事業去年營收衰退3億美元，且歷年來不斷因隱私環境變化而受到衝擊。舉例來說，GDPR上線使他們先後在歐盟及全球終止支援AddThis跨網站行銷功能、第三方Cookie退場使BlueKai等DMP類產品變得無用、Google和Meta等圍牆花園逐漸限制自家數據給第三方廠商使用的彈性，以及消費者隱私意識提升使他們更常拒絕企業蒐集自身個資等。這也反映出近年數據及隱私相關法規和做法的變動，對廣告科技業界帶來的衝擊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路廣告追蹤 #廣告ID框架</span></span></strong><br /> <strong>IAB推出廣告創意ID框架來支援跨通路行銷素材辨認，強化廣告主管理整體行銷活動能力</strong> </p> <p>美國互動廣告協會（IAB）<a href="https://iabtechlab.com/announcing-the-ad-creative-id-framework-to-improve-connected-tv-advertising-experience/">公告廣告創意ID框架（ACIF，Ad Creative ID Framework）</a>，主旨是利用科技來辨認出投放於不同通路的廣告素材，以強化廣告曝光頻率控制、品牌安全風險管理、跨平臺行銷成效追蹤與規畫等。</p> <p>為了支援ACIF，IAB提出了一套格式來統一不同廣告ID資料來源的元數據，並提供API讓廠商存取、利用相關數據。IAB也會維護一個ACIF支援度目錄，給業界查詢哪些廠商的Martech和廣告版位支援ACIF。</p> <p>兩個業界大型廠商，廣告商Extreme Reach跟跨平臺廣告追蹤技術商AD-ID，已經開始合作，<a href="https://www.businesswire.com/news/home/20240611224716/en/XR-and-AD-ID-Enable-Ad-Creative-ID-Framework-to-Achieve-Cross-Platform-Advertising-Nirvana-for-the-Entire-TV-ecosystem">由後者遵循ACIF框架來追蹤前者在不同通路中投放的廣告。</a></p> <p><strong>更多Martech動態：</strong></p> <p>1.<a href="https://www.reddit.com/r/Instagram/comments/1d5r0lq/new_garbage_feature_is_being_tested"> Instagram開始測試新廣告型態「廣告休息時間」，強制用戶觀看廣告</a></p> <p>2. <a href="https://www.twilio.com/en-us/press/releases/linked-audiences">傳統CDP從可組式CDP取經，Twilio CDP新增與數據倉儲數據直接連結且查找訊息不須寫SQL的功能</a></p> <p>3.<a href="https://www.ana.net/content/show/id/pr-2024-06-cmm"> 美國國家廣告商聯合會（ANA）設立專職營利單位來負責打造及經營跨通路廣告成效測量科技</a></p> <p>資料來源：iThome整理，2024年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Anymind Group, Google</p> <p></p> </div></div></div>
2024/6/24 10:21作者郭又華https://www.ithome.com.tw/news/163601
華為公布HarmonyOS Next開發者預覽版、程式語言倉頡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華為上周舉行<a href="https://developer.huawei.com/home/hdc/hdc2024.html?promotion_cid=1002" target="_blank">開發者大會HDC 2024</a>，公布自有作業系統鴻蒙下一代作業系統（HarmonyOS Next）開發人員預覽版（Developer Preview），以及開發語言倉頡，與其他開發商資源。</p> <p><a href="https://developer.huawei.com/consumer/cn/develop/" target="_blank">HarmonyOS NEXT</a>號稱是全場景智慧型作業系統，可實現單一作業系統、應用程式可執行在桌機、行動或邊緣端等設備，支援多種使用場景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-huawei-HarmonyOS%20NEXT-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／華為</span></span></p> <p>在2019年美國對華為發出多道封殺令後，華為全力<a href="https://www.ithome.com.tw/news/144628" target="_blank">開發自有作業系統</a>鴻蒙HarmonyOS及建立自有應用生態體系，並開發自有晶片麒麟，以擺脫美國的技術箝制。</p> <p>華為上周正式發布HarmonyOS Next開發人員預覽版及HarmonyOS SDK，以招募開發商。華為號稱HarmonyOS Next可實現整機效能提升30%，功耗下降20%、連網速度也提升3倍。HarmonyOS SDK則包含應用框架、開發服務、AI及圖形介面。華為同時宣布自有開發語言倉頡，支援全場景程式開發，還提供代理程式（agent）支援自然語言開發App，也提供了技術文件。</p> <p>下一代鴻蒙預計第4季發布正式版。</p> <p>該公司並稱HarmonyOS Next為「純血鴻蒙」，意味著完全不含外國的程式碼。中國媒體引述華為終端部門董事長余承東說法，<a href="https://www.ithome.com/0/776/768.htm" target="_blank">稱鴻蒙</a>可確保技術自主可控。</p> <p>至於如何和Android徹底切割，多家<a href="https://unwire.hk/2024/06/18/harmonyosnext-removed-all-source-code-from-us/fun-tech/" target="_blank">媒體</a>引述一名技術人員<a href="https://twitter.com/olalatech1/status/1802322635453546864" target="_blank">指出</a>，華為計畫從鴻蒙刪除包括Linux及Android所有美國軟體程式碼。</p> <p>華為表示全力衝刺鴻蒙的原生應用，目前規畫的5,000個App中已有1,500多個上架。華為同時於上周發表旗艦手機Huawei Mate 60及平板。</p> </div></div></div>
2024/6/24 10:54作者林妍溱https://www.ithome.com.tw/news/163607
提供9.3G效能與3個2.5GbE埠，Netgear Wi-Fi 7路由器登臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_nighthawk_rs300_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年來，出現越來越多支援Wi-Fi 7的網路設備，以今年6月而言，Netgear發表兩款產品，其中一款為無線路由器Nighthawk RS300，正式由代理商瀚錸科技引進臺灣市場，19日開放預購。</p> <p>事實上，Netgear去年3月已發表該公司第一款Wi-Fi 7無線路由器，機型名稱為Nighthawk RS700S，採用的無線通訊晶片是Broadcom的BCM67263或BCM6726，搭配4核心2.6GHz時脈的處理器、2GB記憶體，以及512MB快閃記憶體，整臺設備總共可提供19 Gbps的無線網路傳輸能力——6GHz效能為11.5 Gbps，5GHz為5.8 Gbps，2.4GHz為1.4 Gbps，三個頻段採用4x4天線架構（設置8支內部天線）。</p> <p>在網路介面的部分，RS700S提供1個10GbE規格的WAN埠，LAN埠為1個10GbE埠與4個GbE埠，能夠負擔200個連網裝置同時存取，Wi-Fi訊號覆蓋範圍為3,500平方英尺。</p> <p>今年最新推出的Nighthawk RS300，搭配4核心2GHz時脈的處理器、2GB記憶體，以及512MB快閃記憶體，Netgear並未透露搭配的無線通訊晶片款式，整臺設備總共可提供9.3 Gbps的無線網路傳輸能力——6GHz效能為5.8 Gbps，5GHz為2.9 Gbps，2.4GHz為0. 7Gbps，三個頻段採用2x2天線架構（設置8支內部天線）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Nighthawk%20WiFi%207%20models.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Wi-Fi 7 routers-2024-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Wi-Fi%207%20routers-2024-06.jpg" style="width: 298px;" /></a> </p> <p>值得注意的是，RS300在6月已取得電信管制射頻器材型式認證證明，可看出這款機型支援Wi-Fi網路通訊的配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300 certificated1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300%20certificated1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300%20certificated2.png" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300 certificated3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300%20certificated3.png" style="width: 600px;" /></a></p> <p>而在有線網路連接能力方面，它配置1個WAN埠為2.5GbE規格，LAN埠包含2個2.5 GbE埠與2個GbE埠，能夠負擔100個連網裝置的同時存取，Wi-Fi訊號覆蓋範圍為2,500平方英尺。</p> <p>若用戶的網際網路線路速度超過1 Gbps，但業者提供的寬頻網路數據機提供的網路埠速度不足，或未內建支援多種Gbps速度的網路埠，且這些埠也不支援鏈路聚合（link aggregation），搭配Netgear RS700S和RS300使用時，可在設備網頁管理介面的網際網路頁面，到WAN偏好設定當中，勾選Multi-Gig Internet的項目啟用，即可將第4個LAN埠設為第2個WAN埠，並與預設的WAN埠進行鏈路聚合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300-NIC.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300-WAN_LAG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300-WAN_LAG.jpg" style="width: 368px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear RS300-LAN_LAG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300-LAN_LAG.jpg" style="width: 218px;" /></a></p> <p>在網路安全相關應用而言，這兩款機型均提供狀態封包檢測（SPI）防火牆，以及VPN遠端安全連線（個人端裝置需安裝OpenVPN軟體），若需要更多威脅防護功能，它們均可選用資安訂閱服務Netgear Armor，背後技術來自資安廠商Bitdefender，用戶能提升個人電腦、網路監控攝影機等連網設備的安全性，當中提供惡意軟體與網址偵測與阻擋、裝置弱點掃描、失竊防護（追蹤位置、遠端抹除Android與Windows裝置的資料、網頁瀏覽防護），並且提升VPN存取的隱私防護（Bitdefender VPN每天免費使用200 MB加密流量）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Armor-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Armor-WEB.jpg" style="width: 498px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear Armor-App.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Armor-App.jpg" style="width: 98px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Netgear Nighthawk RS300</strong><br /> ●代理商：瀚錸科技<br /> ●建議售價：15,900元（含稅）<br /> ●支援無線網路標準：802.11a/b/g/n/ac/ax/be<br /> ●天線架構：6GHz、5GHz、2.4GHz均為2x2，MU-MIMO<br /> ●傳輸速度：總共為9.3 Gbps，6GHz為5.8 Gbps，5GHz為2.9 Gbps，2.4GHz為0.7 Gbps<br /> ●連接埠：3個2.5 GbE埠（其中1個為WAN埠）、2個GbE埠（LAN埠）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/20 17:58作者李宗翰https://www.ithome.com.tw/review/163527
Pokémon GO遊戲開發公司Niantic釋出可簡單開發AR應用的免費網頁工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發包括Pokémon GO、Pikmin Bloom在內多款知名擴增實境遊戲的遊戲公司Niantic，推出了一款名為<a href="https://nianticlabs.com/news/aweusa24?hl=en">Niantic Studio</a>的免費視覺化編輯器，供開發者使用網頁介面開發擴增實境應用，再加上Niantic同時也更新了可用於掃描現實世界物體和位置的Scaniverse應用以及地圖核心的視覺定位系統（VPS），讓擴增實境應用開發者，能夠以更加無縫的方式，融合虛擬和現實世界。</p> <p>Niantic Studio是一款網頁介面的混合實境開發工具，Niantic指出，Niantic Studio供開發者以高度視覺化的動態介面，建立手機或是頭戴裝置的沉浸式3D與混合實境體驗。使用者透過滑鼠點按即可操作Niantic Studio的每項功能，並且在3D工作區建立工作流程，Niantic Studio整合複雜功能和繪圖特效，諸如物理模擬技術、攝影機、照明、動畫、粒子、音訊和遊戲觸發器等，開發者可以直接在3D空間中調整遊戲資源即時操作場景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0619-Niantic%20Studio%20(Beta).png" style="width: 600px;" /></p> <p>擁有強大的網頁遊戲引擎是Niantic Studio的一大特色，讓開發者透過如實體、元件和系統等一般常見遊戲模式來建置互動擴增實境體驗、3D網頁遊戲或是任何應用原型。由於Niantic Studio具有即時編輯播放模式，因此開發者也可一邊編輯場景一邊進行即時預覽，系統會自動儲存進度以方便快速迭代。Niantic Studio的跨裝置支援使得開發者只要進行一次建置，即可部署至電腦、行動裝置和頭戴裝置等各種裝置上。</p> <p>Niantic同時也釋出了3D掃描工具Scaniverse的更新，透過加入高斯點雲（Gaussian Splatting）技術，Scaniverse可進行高速裝置體積渲染處理，使得3D掃描更為快速便捷，用戶在物體掃描完成後即可從手機分享，目前該功能已經在iOS和Android平臺推出。Niantic也改進其地圖核心的視覺定位系統（VPS），現在可達公分級精準度，能夠根據玩家用戶行為，持久性地改變數位內容，預計在2024年成長到100萬個地點。</p> </div></div></div>
2024/6/19 15:59作者李建興https://www.ithome.com.tw/news/163544
【資安日報】6月18日，未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業部署但最終並未正式採用、而遺留在網路環境的IT系統，很有可能會遭到攻擊者濫用。</p> <p>最近資安業者Sygnia揭露的一起事故，就是這樣的例子，駭客維持於受害企業活動的管道，就是該公司曾打算建置的災難復原系統當中，所使用的F5 BIG-IP設備。而這些設備不僅直接曝露在網際網路上，還執行存在弱點的作業系統，而讓對方有利用的機會。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163512"><strong style="font-size: 22px;">未補漏洞且暴露在外網的舊款F5 BIG-IP設備遭中國駭客Velvet Ant攻破，潛入受害組織內部長達3年，暗中竊取敏感客戶資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VelvetAnt-12.jpg" style="width: 300px; float: right;" /></a>資安業者Sygnia指出，他們去年底針對一起鎖定大型組織的網路攻擊行動進行調查，結果發現，中國駭客組織Velvet Ant已於該企業從事間諜活動長達3年，值得留意的是，其中一種維持存取內部網路環境的管道，竟是藉由曝露在網際網路上、已棄用的老舊F5 BIG-IP設備，並將其當作C2伺服器濫用。</p> <p>在鑑識人員介入後，他們發現駭客再度散布惡意軟體時，這些PlugX雖然會觸發資安系統的警報，但駭客並未像之前的攻擊行動，透過外部的C2來從事相關攻擊，這樣的作法極不尋常。</p> <p>在受害組織全面採取補救措施的情況下，究竟駭客如何遠端對執行老舊作業系統的Windows檔案伺服器進行控制？鑑識人員進一步監控網路流量發現，PlugX於受害主機建立新的防火牆規則，並監聽特定的網路連接埠，他們看到其中一臺伺服器開放13742埠，並與F5 BIG-IP負載平衡設備進行連線。這些負載平衡設備曾是該企業災難復原計畫的規畫內容，但該專案最後並未採用，這些設備後續就一直留在主要使用的網路環境上，使得駭客有機可乘，將其當作存取內部網路的管道。</p> <p><a href="https://www.ithome.com.tw/news/163528"><strong style="font-size: 22px;">中國駭客組織SecShow在全球進行大規模DNS探測行動</strong></a></p> <p>資安業者Infoblox揭露中國駭客SecShow的攻擊行動，這些駭客自去年6月開始，利用中國政府營運的教育和科研電腦網路（CERNET）的網域名稱伺服器（DNS server），在全球進行大規模DNS探測行為，藉此識別公開的DNS解析器，並試圖收集這些解析器回應的內容。究竟這些駭客的目的為何？研究人員表示尚無法確認，但對方收集到的資料，可用於網路犯罪，並讓攻擊者謀取利益。</p> <p>研究人員指出，這些駭客向世界各地的IPv4、IPv6的IP位址發送DNS查詢，他們在去年7月首度察覺該組織的活動，同年秋季相關的查詢量急速增加。</p> <p><a href="https://www.ithome.com.tw/news/163513"><strong style="font-size: 22px;">駭客製造假應用程式錯誤訊息引誘用戶上當，執行PowerShell指令碼植入惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chrome-fix-powershell-a11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chrome-fix-powershell-a11.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露新型態的社交工程攻擊手法，駭客組織ClearFake、TA571聲稱Chrome、Word、OneDrive等應用程式出錯為由，引誘使用者依照指示，複製、貼上並執行PowerShell指令碼，從而導致電腦感染惡意軟體。</p> <p>研究人員從今年3月、4月，以及6月初，看到上述兩組人馬運用相關手法從事攻擊行動，但無法確認這些駭客是否有所關連。</p> <p><a href="https://www.ithome.com.tw/news/163503"><strong style="font-size: 22px;">永信藥品工業遭駭客攻擊，首見公開發行公司發布資安重訊</strong></a></p> <p>業務範圍擴及全球多國的臺灣製藥公司永信藥品工業，昨日傳出遭遇資安事故，上市生技醫療業永信投控在6月17日下午4時32分率先揭露此事，於證交所公開資訊觀測站發布資安重訊，代重要子公司永信藥品工業公告部分資訊系統遭受駭客攻擊，同日傍晚6時，身為公開發行公司的永信藥品工業也發布重訊，公開這起資安事故。</p> <p>他們並表示，目前正對所有網域、網頁及相關檔案做全面徹底的掃描檢測，待確保資訊安全後，會陸續恢復資訊系統運作。而我們在17日早上11時實際連至永信藥品與永信國際投資控股的官方網站，仍是無法存取的情況，可能他們還在進行相關調查，所以網站未開放。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://checkmarx.com/a-new-north-korean-group-emerges-disrupting-the-open-source-ecosystem/"><strong style="font-size: 20px;">北韓駭客Moonstone Sleet散布惡意NPM套件，鎖定開發人員下手</strong></a></p> <p></p> <p>◆<a href="https://asec.ahnlab.com/en/66790/"><strong style="font-size: 20px;">駭客假借提供破解軟體，意圖對韓國用戶散布惡意程式NiceRAT</strong></a></p> <p></p> <p>◆<a href="https://www.welivesecurity.com/en/eset-research/arid-viper-poisons-android-apps-with-aridspy/"><strong style="font-size: 20px;">駭客組織Arid Viper鎖定行動裝置從事網路間諜活動，散布惡意程式AridSpy</strong></a></p> <p>◆<a href="https://www.redpacketsecurity.com/cactus-ransomware-victim-https-www-ctsystem-com/"><strong style="font-size: 20px;">勒索軟體駭客組織Cactus聲稱攻擊光纖網路設備供應商康聯訊</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163509"><strong style="font-size: 22px;">華碩公布路由器重大身分驗證繞過漏洞，7款機型受到影響</strong></a></p> <p></p> <p>華碩7款家用及消費性路由器產品傳出重大驗證繞過漏洞，可讓未經授權的攻擊者遠端登入裝置。華碩及資安專家呼籲，用戶應儘早安裝新版軟體。這項驗證繞過漏洞為CVE-2024-3080，發生在華碩家用及消費性路由器產品的韌體，影響ZenWiFi XT8、ZenWiFi XT8 V2、RT-AX88U、RT-AX58U、RT-AX57、RT-AC86U及RT-AC68U。</p> <p>根據臺灣電腦網路危機處理暨協調中心（TWCERT/CC）的資安公告，此為身分驗證繞過漏洞，而有可能允許未經驗證的攻擊者存取，CVSS風險評分達9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-144-01"><strong style="font-size: 20px;">CISA針對AutomationDirect旗下的可程式化邏輯控制器漏洞提出警告</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163373"><strong style="font-size: 22px;">國內加密貨幣交易所XREX打造威脅引擎，快一步揪出詐騙、洗錢帳戶</strong></a></p> <p>在加密貨幣交易所中，用戶隨時都能進行交易，這樣的特性雖然帶來便利，卻也被詐騙組織用來快速轉移非法資金。除了設置基礎安全機制增加防禦，交易所主要透過KYC和鏈上分析工具，來確認用戶真實性和分析資金流向，抵禦詐欺洗錢犯罪。但是，隨著詐騙和洗錢手法不斷升級，既有工具的功能有限，難以因應趨勢變化，成為交易所偵測詐騙和洗錢行為的一大挑戰。</p> <p>在2024臺灣資安大會上，國內加密貨幣交易所XREX分享自家的風控機制。他們開發了一套威脅引擎，整合了用戶交易前、交易中、和交易後的資訊，並提供風險評估，協助內部團隊更快速針對犯罪行為做出應變。這款威脅引擎包含多個模組，能分析KYC、交易行為等資訊，並進行交易監控與性質分析等。引擎在每個階段蒐集的資訊都會分為多個屬性，並針對各別屬性進行風險評估。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://taiwan.googleblog.com/2024/06/gcc-launch-in-taiwan.html"><strong style="font-size: 20px;">Google宣布啟動臺灣資安人才培育計畫，目標在明年底培育2千名人才</strong></a></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163108"><strong style="font-size: 22px;">臺灣推動「資安即國安」領先世界各國，將資安拉高到國安層級</strong></a></p> <p>近年來資安成為全球關注焦點，對於臺灣，資安更是不可或缺。過去十年臺灣歷經不同政黨的執政，中研院院士、也曾擔任蔡英文總統第一任總統任期內的國安會諮詢委員李德財表示，「資安即國安」政策在這段時期，得到前瞻性的進步及實質性推動。</p> <p>李德財深信：「資安等於國家安全是大家的共識，不應該有藍綠黨派的差異，這是一件跨黨派要做的事情。」</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163501"><strong>【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163458"><strong>【6月14日】勒索軟體駭客組織Black Basta在微軟提供漏洞修補3個月前，利用掌握到的資安弱點打造攻擊工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163444"><strong>【6月13日】荷蘭針對中國駭客攻擊Fortinet防火牆設備的網路間諜行動進行深度調查，駭客挾持全球逾2萬臺設備</strong></a></p> </div></div></div>
2024/6/18 17:44作者周峻佑https://www.ithome.com.tw/news/163529
Pixel 8、Pixel 8a終於也有Gemini Nano
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周針對Pixel裝置系列<a href="https://blog.google/products/pixel/pixel-feature-drop-june-2024/" target="_blank">釋出本月更新功能</a>（Feature Drop），包括將Gemini Nano AI模型支援擴展到基本款的Pixel 8及Pixel 8a。</p> <p>Google去年宣布Gemini AI模型系列，其中的Gemini Nano是可以在手機上執行的小語言模型。Google首先於12月將Gemini Nano部署到最高階的Pixel 8 Pro以及三星Galaxy S24系列。今年3月在用戶要求下，Google承諾原本「有硬體限制」而無法執行裝置端AI模型的Pixel 8，將在下次Feature Drop中<a href="https://www.ithome.com.tw/news/162026" target="_blank">獲得</a>使用Gemini Nano的權利。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-gemini%20nano.png" style="width: 600px;" /></p> <p><a href="https://www.androidauthority.com/pixel-feature-drop-june-2024-3450107/" target="_blank">Android Authority</a>報導，昨日開始釋出6月份Feature Drop，不但允許Pixel 8，也讓Pixel 8a使用AI服務。</p> <p>透過使用Gemini Nano，Pixel 8手機系列的Recorder會更強大，像是提供每位說話者名字、說話內容謄寫及重點整理，並可匯出到Google Docs。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-Pixel-%20June%2024%20Feature%20Drop-600.png" style="width: 444px;" /></p> <p>不過報導指出，用戶必須手動啟動開發者選項（Developer Options）以及Gemini Nano。有鑒於不是大家都會操作，報導也提供啟動方法：先在「設定」>「關於手機」，在軟體版本中點擊多次直到出現「你是開發人員」。然後再從「設定」>「系統」>「開發者」選項，在清單中找到「AICore」設定，並啟動所有AICore功能。</p> <p>6月份Feature Drop其他功能還包括支援Display Port影音傳輸介面，Pixel 8系列全都支援；可從通話紀錄反向查詢電話號碼，以及支援HDR+拍攝，Pixel 6以上的裝置都支援，包括Pixel Tablet；支援關機狀態的Find My Device，目前僅提供Pixel手機。Google說關機狀態下的Find Device未來會推向非Pixel手機，但Android Authority報導，由於這需要特別硬體，因此支援的第三方品牌可能也不會很多。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/6/18 12:00作者林妍溱https://www.ithome.com.tw/news/163507
微軟9月起淘汰個人電子郵件帳戶的基礎驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/outlook-blog/keeping-our-outlook-personal-email-users-safe-reinforcing-our/ba-p/4164184" target="_blank">微軟上周宣布</a>，將自今年9月16日起棄用Outlook個人電子郵件帳戶的基礎驗證（Basic Authentication），屆時用戶將無法再以簡單的名稱及密碼登入；亦將於8月19日棄用精簡版的Outlook Web App；並提醒會在年底結束對郵件（Mail）與行事曆（Calendar）程式的支援。</p> <p>根據微軟的說法，該公司的個人電子郵件帳戶用戶，包括Outlook.com、Hotmail.com與Live.com用戶，都必須在9月16日以前轉移到新式身分驗證（Modern Authentication）方式，此一規則適用於所有的Outlook用戶。到時Outlook將會要求擁有微軟電子郵件帳戶的使用者，採用那些支援新式身分驗證的郵件程式、行事曆程式，以及Outlook.com網站。</p> <p>所謂的基礎驗證就是僅利用名稱及密碼來登入服務，而微軟所宣稱的新式驗證則是涵蓋了多因素驗證、基於客戶端憑證的身分驗證，或者是OAuth等，是微軟額外利用後端程序或權杖，來強化帳戶安全的驗證方式。</p> <p>微軟表示，使用者或許不會注意到這些額外的程序，但若不遷移到新式驗證，未來將無法再透過相關的應用程式存取Outlook.com、Hotmail.com或Live.com等服務的電子郵件。至於遷移至新式驗證最容易的方法就是升級程式，包括下載Android及iOS平臺上的免費Outlook程式，以及安裝Outlook for Mac或Outlook for Windows程式，也能在Microsoft 365中購買Outlook授權。至於Outlook 2021並未受到此一宣布的影響。</p> <p>其實微軟早在2022年10月就關閉企業所使用的<a href="https://www.ithome.com.tw/news/146914" target="_blank">Exchange的基礎驗證功能</a>，此次的發表是針對個人電子郵件用戶。</p> <p>另一個要退役的是精簡版的Outlook Web App，這是微軟專為不支援完整版Outlook Web App的舊版瀏覽器所設計的版本，它使用更簡單的介面，可支援更慢的網路連結，功能也較陽春。</p> <p>微軟表示，為了要更快且更好地保護用戶安全，將在今年8月19日停用精簡版的Outlook Web App，這也意味著之後用戶必須使用較新的瀏覽器以執行完整版Outlook Web App，其最低瀏覽器版本需求為Microsoft Edge 79、Chrome 79、Firefox 78、Safari及Opera 76。</p> <p>至於Windows中的郵件與行事曆程式的消失，則是因為微軟去年已經把它們<a href="https://www.ithome.com.tw/news/157913" target="_blank">整合成Outlook for Windows</a>，只是還允許用戶下載及使用。但微軟提醒，自今年的12月31日之後，Microsoft Store就不會再提供使用者下載郵件與行事曆程式，微軟也不會再支援這兩個程式。</p> </div></div></div>
2024/6/17 17:08作者陳曉莉https://www.ithome.com.tw/news/163493
微軟跨平臺應用開發框架.NET MAUI擴充套件登陸VS Code
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET MAUI（.NET Multi-platform App UI）是近年微軟重點發展的跨平臺開發框架，而現在使用程式碼編輯器VS Code的開發者，也可以透過<a href="https://devblogs.microsoft.com/dotnet/the-dotnet-maui-extension-for-visual-studio-code-is-now-generally-available/">.NET MAUI擴充套件</a>，使用到XAML IntelliSense和熱重載（Hot Reload）等好用的功能。</p> <p>.NET MAUI讓開發者可以使用單一程式碼庫，建立iOS、Android、macOS和Windows多平臺的應用程式，是開放原始碼UI架構的Xamarin.Forms的後繼者，提供更統一且現代化的開發功能與元件。微軟現在也在VS Code提供.NET MAUI支援，透過擴充套件讓使用VS Code的開發者也能夠用到開發.NET MAUI應用程式所需要的工具。</p> <p>.NET MAUI擴充套件建構在C#開發工具包和C#擴充套件之上，並增加了解決方案資源管理器、C#熱重載和C# IntelliSense功能。.NET MAUI擴充套件預覽版附帶了基本的XAML語法突出顯示和程式碼完成功能，而隨著微軟在Visual Studio中對XAML語言服務的改進，這些更新也在.NET MAUI擴充套件的正式版本被帶入到VS Code中，且能夠與Copilot搭配使用，提供自動完成工具提示等智慧開發功能。</p> <p>此外，開發者也能熱重載對C#和XAML檔案進行編輯，目前XAML熱重載已經預設啟用，開發者在應用程式執行時編輯XAML程式碼，能立即觀察到UI的更新，而C#熱重載功能則還在實驗階段，需要開發者手動啟用，才能在除錯階段使用。熱重載減少了因為重新啟動應用程式所產生的開發工作流程中斷，也減少編輯和測試之間的等待時間，明顯提高開發的效率，能夠進一步增加開發者的生產力。</p> </div></div></div>
2024/6/17 12:37作者李建興https://www.ithome.com.tw/news/163489