iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 28篇
近 7 天: 127篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 07:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 127 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

勒索軟體RansomHub利用EDRKillShifter載入作案工具，並癱瘓防毒及EDR防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了攻擊流程能如期加密受害電腦檔案，勒索軟體駭客RansomHub在從事攻擊行動當中，會運用<a href="https://www.ithome.com.tw/news/164521">名為EDRKillShifter的工具</a>，將防毒軟體或端點防護工具EDR停用，該勒索軟體運作已超過半年，<a href="https://www.ithome.com.tw/news/164809">迄今超過210個企業組織受害</a>，而受到資安圈高度關注。但駭客如何運用EDRKillShifter來達到目的？有研究人員公布更多細節。</p> <p>資安業者趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/24/i/how-ransomhub-ransomware-uses-edrkillshifter-to-disable-edr-and-.html">這些駭客已將EDRKillShifter整合到他們的攻擊鏈當中</a>，這個惡意程式主要是利用存在弱點的驅動程式，從而破壞EDR端點防護機制，但除此之外，駭客也企圖讓這支程式持續於受害電腦運作，目的是讓整個攻擊流程都能不受干擾。</p> <p>針對駭客的攻擊流程，研究人員指出通常是透過釣魚郵件、已知漏洞、密碼潑灑攻擊等手法，針對曝露於網際網路的應用系統及端點電腦，來取得初始入侵的管道。其中一個駭客利用的漏洞，是4年前揭露的Zerologon（CVE-2020-1472）。</p> <p>在成功進入目標組織的網路環境後，攻擊者會使用232.bat、tdskiller.bat、killdeff.bat、LogDel.bat等一系列的批次檔，竄改系統組態、終止特定處理程序、停用防毒軟體Microsoft Defender，並竄改事件記錄，目的是掩蓋攻擊者的行蹤。</p> <p>接著，這些駭客藉由本機安全認證子系統服務（LSASS）轉存帳密資料來提升權限，並濫用NetScan、AnyDesk對網路環境進行偵察，以便橫向移動、竊取資料，以及部署勒索軟體。</p> <p>而在上述攻擊的過程裡，攻擊者不只將EDRKillShifter用於阻礙防毒軟體及EDR的運作，還將其當作惡意程式載入工具，來執行各階段的作案工具。駭客必須下達含有密碼的命令才能啟動EDRKillShifter，該執行檔執行時會解密其嵌入的資源，並在記憶體內執行，同時濫用存在弱點的驅動程式，取得運作所需的資料。</p> </div></div></div>
2024/9/26 17:01作者周峻佑https://www.ithome.com.tw/news/165206
Cloud周報第211期：美華納兄弟探索公司導入雲端GenAI優化影片字幕，讓字幕製作時間縮短80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（09/19～09/25）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> WBD </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">美華納兄弟探索公司導入雲端GenAI提升作業效率，並先用於優化影片字幕的製作</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap43(1).png" style="width: 600px; height: 296px;" /></p> <p>旗下擁有Warner Bros、Discovery、HBO、CNN、Max等知名頻道的美國華納兄弟探索公司（Warner Bros. Discover,WBD）近日宣布開始在內部導入GenAI技術提高作業效率，並先運用在優化自家影片字幕的製作，來提升字幕的精確性，進而提高用戶的觀看體驗。</p> <p>傳統的字幕製作是一項勞動密集且耗時的過程。為了提高效率，WBD最近決定採用了Google生成式AI平臺Vertex AI開發出自家的字幕GenAI模型，並先運用在無腳本節目的字幕製作上，大幅優化字幕處理流程。</p> <p>WBD首席技術長 Avi Saxena表示，導入GenAI技術，不僅有助於加快字幕處理流程，而且還提高了效率，同時降低了成本。</p> <p>與手動添加字幕相比，WBD表示，使用GenAI能將字幕生成時間縮短多達80%，字幕製作成本減少約50%，同時還能有效降低錯誤率，提供觀眾更一致、精確的字幕品質。不過，即使借助AI製作，最後也都會由人工確認字幕品質。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Snap </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Sna的聊天機器人My AI開始整合Google Gemini模型，強化其多模態處理能力</span></strong></p> <p>開發出知名圖片分享軟體Snapchat的Snap最近宣布將擴大與Google Cloud戰略合作，將整合Google Cloud的生成式AI模型Gemini到自家的聊天機器人 My AI中，強化其多模態處理能力。</p> <p>Snap去年推出My AI，最初採用<em>OpenAI</em> 的GPT模型，為Snapchat用戶提供更加互動的體驗。此次整合Google Cloud的多模態模型Gemini，可以使My AI，同時支援文字、音訊、圖像、視訊和程式碼等多種類型資訊。</p> <p>透過Vertex AI平臺，Snap將Gemini整合到Snapchat應用程式中，提供創新的功能，例如用戶可以在旅途中要求My AI翻譯路牌，或或拍攝零食時詢問哪一款更健康。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端叢集系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OCI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">基於Blackwell平臺架構設計，Oracle推出第一套可達ZB級運算規模的雲端運叢集系統</span></strong></p> <p>在近日舉行的Oracle CloudWorld 2024大會上，Oracle宣布推出採用Nvidia Blackwell平臺設計，運算量可達到ZB等級（10的21次方）的雲端運叢集系統OCI Supercluster，Oracle宣稱這是全球最大的雲端AI超級電腦，可協助企業加速建立、訓練和部署下一代 AI 模型。</p> <p>Oracle指出，該超級電腦配備多達131,072個Nvidia GPU，其GPU數量是橡樹嶺國家實驗室Frontier超級電腦的三倍多，更是其他超大規模資料中心的六倍多，若搭配ConnectX-7 NIC或 Quantum-2 InfiniBand高速網路，可在雲端環境提供高達2.4 zettaflops（每秒浮點運算次數）的AI運算能力。</p> <p>企業能在OCI Supercluster上選擇最新的Nvidia GPU，並部署於本地、公有雲和主權雲。這套基於Blackwell架構的系統預計將於明年上半年推出。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">資料落地 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GitHub企業版雲端服務在歐盟推出資料落地功能，強化企業資料主權和法規要求</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap40.png" style="width: 600px; height: 268px;" /></span></strong></p> <p>程式碼代管平臺業者GitHub最近在企業版GitHub雲端服務中推出資料落地（Data Residency）新功能，讓開發人員在開發程式時可以選擇將雲端程式碼和儲存庫儲存在境內，確保這些資料不出境，強化企業資料主權和滿足法規監管要求。</p> <p>GitHub的資料落地功能建立在微軟Azure技術基礎上，供企業能夠將資料存放在指定區域，也提供Azure的安全防護及災難復原功能，另外，該功能也提供專屬命名空間，與開源的github.com環境完全隔離，避免企業內部與開源社群資料出現混淆風險。</p> <p>GitHub將在10月底起在歐盟開始提供資料落地服務，未來進一步將該功能擴展至澳洲、亞洲和拉丁美洲等其他地區。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">甲古骨文</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FFCM </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">甲骨文推出新的管理監控雲端服務，專用於金融犯罪與合規管理</span></strong></p> <p>甲骨文近日推出新的管理監控雲端服務，專用於金融犯罪與合規 (FCCM) 管理，包括提供金融犯罪和合規管理監控與互動視覺化功能，助銀行有效掌控風險並符合合規與報告需求。</p> <p>在這項雲端管理監控服務中， Oracle提供一套業務分析報告系統，搭配視覺化儀表板，讓反洗錢人員及其團隊可以更容易數據中掌握目前狀況，並提供合規團隊關鍵績效指標 (KPI)及其存取權限。</p> <p>透過這套系統，銀行能可更有效評估各業務部門的金融犯罪風險，並積極作出決策，提升FCCM問題的應對能力。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">C8g</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS正式推出採用Graviton 4處理器的C8g執行個體，CPU數量比前一代多三倍</span></strong></p> <p>AWS近日推出最新的C8g執行個體，並採用自家設計的Graviton 4處理器，專用於ML推理、HPC等運算密集型工作負載。</p> <p>跟前一代相比，C8g執行個體使用AWS最新的Graviton4處理器，不僅CPU數量上增加了三倍，記憶體也提升三倍，達到384GB，記憶體頻寬增加了 75%，L2快取容量更是翻倍，這些提升讓 C8g 執行個體能夠處理更大規模工作負載，加速資料處理並降低TCO。該實例還提供高達50 Gbps的網路頻寬和高達40 Gbps的Amazon EBS頻寬。</p> <p>C8g實例提供兩種裸機大小，分別是metal-24xl 和 metal-48xl。現已在美國東、西部和歐洲部分區域推出。</p> <p>除了C8g之外，AWS 也推出了 M8g 執行個體，搭載同樣的 Graviton 4 處理器，適用於通用型工作負載。</p> <p> </p> <p>圖片來源／GitHub、Google Cloud</p> <p> </p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Google向歐盟控訴微軟壟斷，限制歐洲客戶轉移至其他雲端系統</strong></p> <p><strong>2.Google的Vertex AI上架最新Llama 3.2模型，專用於邊緣設備視覺和輕量級模型文本應用 </strong></p> <p><strong>3.Red Hat更新OpenShift平臺，修補2項重大層級漏洞</strong></p> <p><strong>4.Salesforce收購非結構化資料處理工具商Zoomin，強化數據雲的資料整合能力 </strong></p> <p><strong>資料來源：iThome整理，2024年9月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/9/26 08:58作者余至浩https://www.ithome.com.tw/news/165191
Meta揭露重量只有100公克的AR眼鏡Orion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta於本周三（9/25）舉行的Connect大會上<a href="https://www.meta.com/zh-tw/blog/quest/orion-ar-glasses-augmented-reality/" target="_blank">發表了新一代的AR眼鏡Orion</a>，Meta創辦人暨執行長<a href="https://www.facebook.com/photo?fbid=10115852256687321&set=pcb.10115852256976741" target="_blank">祖克柏（Mark Zuckerberg）將它稱為</a>迄今最先進的AR眼鏡，它不再是個笨重的頭戴式裝置，而是個一支重量只有100公克的粗框眼鏡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-Meta-AI%E7%9C%BC%E9%8F%A1-Orion-5.png" style="width: 600px;" /></p> <p>Orion眼鏡的視角為70度，儘管小於人眼的180度視角，或者是HTC Vive Pro 2的130度視角，以及Meta Quest 3的120度視角，但Orion卻是迄今擁有最大視角的最小AR眼鏡；並允許使用者透過語音、眼球移動、手勢及肌電圖（Electromyography，EMG）腕帶進行輸入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-Meta-AR%E7%9C%BC%E9%8F%A1Orion-EMG%E8%85%95%E5%B8%B6.png" style="width: 600px;" /></p> <p>Meta認為，AR眼鏡將是推動以人為中心的運算革命的關鍵。因為它實現了不受智慧型手機螢幕限制的數位體驗，藉由大型的全息顯示，使用者可將實體世界當作螢幕，把2D及3D內容放在任何想要的位置上；它還能整合各種AI來感應及理解使用者周圍的世界，以預測及主動滿足使用者的需求；而輕巧的外型設計則同時適合戶內或戶外使用，也讓人們能夠看見彼此的眼睛及表情。</p> <p>Orion眼鏡的硬體除了眼鏡本身之外，還包括EMG腕帶及無線運算圓盤。眼鏡用來執行所有的手部追蹤、眼球追蹤、同時定位與地圖構建（SLAM），以及將AR圖像精確鎖定於現實世界中的圖像演算法；無線運算圓盤主要用來減輕眼鏡的負擔，用來處理其它應用程式的邏輯，以維持眼鏡的小巧，延長電池壽命及減少延遲。</p> <p>至於EMG腕帶是用來偵測肌肉運算所產生的電子訊號，並轉成命令，例如彎曲食指可能是點選，旋轉手腕是滾動，或是利用手指組合來當作命令的捷徑。</p> <p>Orion的內部代號為Project Nazare，目前仍處於原型階段。Meta強調，即使它不會被送到消費者手上，但它已不僅是個研究原型，而是個非常精緻的產品原型，只是該公司決定先專心進行內部開發，繼續突破技術的界限，不急著讓它上市。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/2CJsnyS8u3c?si=aUySI8IeycKLSEv9&start=204" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> </div></div></div>
2024/9/26 14:49作者陳曉莉https://www.ithome.com.tw/news/165199
迪士尼打擊Disney+帳號共享，擴大至北美及亞太市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迪士尼公司（The Walt Disney Company，Disney）周三（9/25）<a href="https://thewaltdisneycompany.com/paid-sharing-disney-explainer/" target="_blank">宣布擴大其付費共享計畫</a>，讓訂閱用戶額外付費以與居住在不同地方的親友分享Disney+服務，目的是為了打擊帳號共享行為，<a href="https://www.ithome.com.tw/news/156466" target="_blank">向Netflix看齊</a>。</p> <p>許多影片串流服務都有高階的家庭訂閱選項，允許一次登入多臺裝置，這也讓不少使用者在訂閱了支援多個裝置的高階選項後，與親友分享自己的帳號。然而，不管是Netflix或迪士尼都規定，此一家庭訂閱僅適用於同住在一起的家人，它們會根據用戶的訂閱活動、使用裝置及網路等因素，來自動偵測及確定所謂的家庭範圍。</p> <p>一旦有位於不同住宅的使用者登入並企圖更新位置，Disney+系統即會送出一次性的驗證碼至訂閱用戶的電子郵件信箱中，以要求確認。</p> <p>其實迪士尼今年夏天就先於特定市場測試付費共享計畫，如今將擴大至美國、加拿大、哥斯大黎加、瓜地馬拉、歐洲，以及亞太地區。</p> <p>此外，現在如果要在自己的Disney+帳號中增加住家以外的成員，Disney+ Basic用戶必須額外支付6.99美元，若是Disney+ Premium則必須額外支付9.99美元，而且不管是哪種方案，都只有一個額外成員的名額。</p> </div></div></div>
2024/9/26 15:06作者陳曉莉https://www.ithome.com.tw/news/165200
OpenAI技術長、研究長與研究副總都將離職，外傳準備新設營利公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI技術長Mira Murati周三（9/25）透過自己的X帳號<a href="https://x.com/miramurati/status/1839025700009030027?s=46" target="_blank">對外宣布</a>即將離職，OpenAI執行長Sam Altman很快便<a href="https://x.com/sama/status/1839093415226524114" target="_blank">作出回應</a>，並說研究長Bob McGrew與研究副總裁Barret Zoph也已經決定要離開OpenAI，同一天市場就傳出OpenAI正計畫從非營利組織轉型成營利公司。OpenAI的變化之快總是令人目不暇給。</p> <p>現年35歲的Murati是在2018年才加入OpenAI，任職超過6年，她說離開是件很難抉擇的事，但她想要有更多的時間及空間來從事自己的探索，而現在最重要的事便是好好地交接。</p> <p>Altman則是在當天早上才收到Murati的辭呈，同時對外分享McGrew與Zoph也要離開的消息，解釋他們是個別且友好的作出離職決定，並說感謝他們對OpenAI的貢獻。</p> <p>Altman亦公布了新的人事部署，包括原本的研究副總裁Mark Chen被拔擢為資深研究副總裁，負責帶領OpenAI的研究單位並與科學長Jakub Pachocki合作；原本負責安全的Matt Knight也被升職為OpenAI的資安長；研究科學家Josh Achiam則將擔任任務對齊的負責人。</p> <p>在高階主管相繼宣布離職之後，Altman企圖安撫人心，表示領導階層的變動是公司的自然發展，特別是那些要求嚴格且發展迅速的公司，他不會假裝這麼突然的事件是自然的，但OpenAI亦不是一家正常的公司，他接受Murati的解釋。</p> <p>而在高層大風吹的同一天，市場又傳出OpenAI打算將核心業務重組成一家營利性的公司，此一新公司將不再受到非營利的OpenAI董事會控制。</p> <p>在OpenAI<a href="https://openai.com/our-structure/" target="_blank">既有的架構</a>中，握有最大權力的是OpenAI董事會，它掌控著非營利的OpenAl Nonprofit，OpenAl Nonprofit則擁有一家由OpenAl Nonprofit、員工及股東組成的控股公司，由控股公司持有有限獲利公司OpenAI Global，而微軟與OpenAI的合作即是建立在OpenAI Global上。</p> <p>根據<a href="https://www.wsj.com/tech/ai/openai-chief-technology-officer-resigns-7a8b4639" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）與<a href="https://www.reuters.com/technology/artificial-intelligence/openai-remove-non-profit-control-give-sam-altman-equity-sources-say-2024-09-25/" target="_blank">路透社</a>（Reuters）的報導，這家新公司將是所謂的B型企業（Benefit Corporation），混合了非營利與營利組織的特色，會同時考量股東、員工及社會利益，而且不會再受到OpenAI董事會的控制。</p> <p>媒體分析指出，此一新的OpenAI公司將對投資人更具吸引力，不像OpenAI Global有著獲利限制，此外，原本沒有任何OpenAI股權的Altman也將獲得這家新公司的股權。</p> <p>現階段OpenAI正在展開新一輪的增資，身價可能高達1,500億美元，且據傳包括微軟、Nvidia與蘋果都有意願參與。</p> </div></div></div>
2024/9/26 11:08作者陳曉莉https://www.ithome.com.tw/news/165197
研究人員打造出可100%破解reCAPTCHAv2的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞士蘇黎世聯邦理工學院（ETH Zurich）的3名研究人員，在今年7月於日本舉行的COMPSAC 2024研討會上發表了一份研究報告《Breaking reCAPTCHAv2》，指出他們利用最新的You Only Look Once（YOLO）模型破解了用來驗證來者是人類或機器人的Google reCAPTCHAv2，在解決人機驗證（Captcha）上的表現與人類相當，某些情況甚至超越人類，能夠100%繞過reCAPTCHAv2，並已於本月<a href="https://arxiv.org/abs/2409.08831" target="_blank">分享至開放的學術論文平臺arXiv</a>。</p> <p>reCAPTCHAv2為Google所開發的工具，主要用來區分人類及機器人（自動化程序），以防止網站遭到惡意攻擊，不管是垃圾留言，暴力破解或是抓取資料等。它有兩種執行模式，一是只要打勾就能驗證，二是圖像驗證，要求人類選擇所指定的圖像，此一研究主要針對圖像驗證。至於現身於2016年的YOLO則是個基於深度學習技術的即時物體檢測模型，可快速識別並定位圖像中的物體，最新的版本是去年問世的YOLOv8 。</p> <p>ETH Zurich的Andreas Plesner、Tobias Vontobel與Roger Wattenhofer使用預訓練的YOLOv8模型進行圖像分割，並透過1.4萬張已標記的圖像來微調YOLOv8，以執行圖像分類任務，不過，除了模型之外，研究人員還加入了許多元素，包括模擬人類移動滑鼠的行為，使用VPN，添加真實用戶的瀏覽歷史紀錄與Cookie等，以繞過reCAPTCHAv2的諸多防禦機制。</p> <p>過去其實有許多研究人員都試圖破解reCAPTCHAv2的圖像驗證，但成功率只介於68%~71%之間，上述的改善讓ETH Zurich研究人員100%得以利用自動化程序繞過此一驗證機制，同時發現reCAPTCHAv2有很大一部分仰賴Cookie及瀏覽器歷史紀錄，來評估使用者是否為人類。</p> <p>研究人員指出，有鑑於Captcha是用來區分人類與機器人，因此，一個好的Captcha應該恰巧位於人類能力的下限，以及機器能力的上限，然而，隨著AI的進步，機器人能力持續提升，該界限不斷地上移，也讓維持一個有效的Captcha愈來愈具挑戰性，而當機器人能夠100%繞過reCAPTCHAv2時，也代表人們正式進入了一個超越Captcha的時代，應該尋找或設計新的技術來因應此一變遷。</p> </div></div></div>
2024/9/25 21:30作者陳曉莉https://www.ithome.com.tw/news/165189
GitHub在歐盟推資料落地服務，強化企業用戶的資料控制能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布將於2024年10月29日，在歐盟推出<a href="https://github.blog/engineering/engineering-principles/github-enterprise-cloud-with-data-residency/">GitHub Enterprise Cloud資料落地（Data Residency）</a>功能，供企業將程式碼和儲存庫存放在特定地區。這項新功能滿足企業對資料控制的需求，其利用微軟Azure基礎設施，提供資料安全性、業務連續性和災難恢復能力。GitHub團隊指出，內部已經利用該功能進行測試和部署，確認其穩定性和可靠性，並計畫將該功能擴展至更多地區。</p> <p>由於各國和區域法規的要求，企業可能需要遵守嚴格的資料政策。資料落地可確保資料被安全存放於特定地理區域，而這對跨國企業尤為重要，因各國對資料隱私和安全有著不同規範，藉由資料落地確保敏感資料不會被跨境傳輸，而且隨著GitHub Copilot等人工智慧開發工具興起，也能保證訓練資料和模型的儲存位置符合各國法規要求。</p> <p>GitHub表示，多年來他們收到來自全球企業用戶的強烈要求，希望能夠提供資料落地功能，使其對程式碼和儲存庫資料存放位置有更多控制能力，以確保資料主權與資料保護。</p> <p>GitHub的資料落地功能建立在微軟Azure技術基礎上，供企業能夠將資料存放在指定區域，獲得進階資料安全保護，另外，該功能也提供專屬命名空間，與開源的github.com環境完全隔離，避免企業內部與開源社群資料出現混淆風險。</p> <p>為了驗證資料落地功能的穩定性和可靠性，在功能開發過程中，GitHub也積極在內部使用，並建立獨立的資料落地環境。GitHub指出，他們已經進行超過8,000次部署，全面測試功能的穩定性。每個月GitHub持續執行超過1,000次的GitHub Actions作業，在驗證功能成熟度的過程，也依實際運作資料對系統效能進行最佳化。</p> <p>GitHub在10月29日於歐盟推出的資料落地功能，只是全球擴展計畫的第一步，GitHub還計畫在之後進一步將該功能擴展至澳洲、亞洲和拉丁美洲等其他地區，使其客戶擁有更好的資料控制能力。除了地理區域的擴展，GitHub還會繼續改進資料落地功能，確保安全性和效能品質，以適應不同需求和法遵標準。</p> </div></div></div>
2024/9/25 21:58作者李建興https://www.ithome.com.tw/news/165190
【資安日報】9月25日，UNC1860為攻擊中東企業組織的駭客開路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客從事網路攻擊活動，朝向分工的方式進行可說是越來越普遍，其中一種是專門取得目標企業組織初始入侵管道的歹徒（Initial Access Broker，IAB），他們向其他網路罪犯兜售這種管道，如今國家級駭客也出現的類似的分工，有專門的組織從事類似IAB的行為。</p> <p>資安業者Mandiant發現，伊朗駭客UNC1860在成功入侵目標組織後，會藉由惡意軟體控制工具，為接手從事攻擊行動的駭客，提供以遠端桌面連線存取目標網路環境的能力。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165181"><strong style="font-size: 22px;">UNC1860挖掘滲透中東企業組織的初始管道，替攻擊這些目標的駭客開路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/unc1860-temple-of-oats-fig1_max-1700x1700.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc1860-temple-of-oats-fig1_max-1700x1700.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露伊朗駭客組織UNC1860，並指出這些駭客疑似隸屬伊朗情報與國家安全部（MOIS），根據他們看到駭客專屬的作案工具，推測這群歹徒可能專為其他網路犯罪組織提供受害組織初始入侵管道（Initial Access Broker，IAB）。</p> <p>這些駭客起初鎖定曝露於網際網路的伺服器植入名為StayShante的Web Shell，企圖取得受害組織的網路環境初始存取權限，一旦得逞，他們就會部署其他惡意程式，例如：TofuDrv、TofuLoad，來取得進一步的控制權，這些被植入的作案工具比一般的後門程式更為隱密，因為駭客會試圖消除惡意程式對C2基礎設施的依賴，使防守方難以偵測行蹤。</p> <p>而在UNC1860成功掌握受害組織網路環境的存取管道後，他們便會透過具備圖形操作介面的惡意軟體控制工具TemplePlay、ViroGreen，為接手從事進一步攻擊行動的駭客，提供以遠端桌面連線（RDP）存取受害組織網路環境的能力。</p> <p><a href="https://www.ithome.com.tw/news/165122"><strong style="font-size: 22px;">全球電子郵件系統安全亮紅燈！網擎解析郵件伺服器軟體資安危機</strong></a></p> <p>電子郵件是眾多資安廠商公認最主要的網路攻擊起點，從2023年下半到現在，就有多起相關的資安事故與漏洞濫用事件躍上媒體版面，知名的郵件伺服器與郵件安全閘道陸續傳出災情，像是：Microsoft 365雲端服務的Outlook Web Access in Exchange Online（OWA），以及Outlook.com（HPE、歐美政府），開放原始碼電子郵件系統Zimbra，Barracuda郵件安全閘道設備，以及Cisco郵件安全閘道。</p> <p>對於專營郵件伺服器與郵件安全系統的網擎資訊而言，也深刻體認到資安局勢日趨嚴峻，執行長廖長健在9月11日舉行的Hello World開發者大會首日下午的演講指出，作為防禦方，採取相關措施有三個基本的前提：首先，攻擊者已有產品完整實驗環境；第二，攻擊者可以輕易找到目標伺服器；第三，攻擊者已有目標環境的使用者帳號。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/kansas-water-facility-switches-to-manual-operations-following-cyberattack/">美國堪薩斯州供水設施遭遇網路攻擊，被迫切換手動操作</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/octo2-harder-better-faster-stronger-new-banking-malware-variant-spotted-attacking-europe">安卓木馬Octo2鎖定歐洲國家，接管受害裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/snipbot-romcom-malware-variant/">烏克蘭軍方遭到鎖定，駭客藉由惡意程式SnipBot發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://veriti.ai/blog/diddy-do-it-or-did-cybercriminals-how-hackers-are-turning-scandals-into-cyber-attacks/">惡意軟體PDiddySploit假借名人醜聞文章散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/infostealer-malware-bypasses-chromes-new-cookie-theft-defenses/">竊資軟體傳出已繞過Chrome保護Cookie及機敏資料的機制</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165151"><strong style="font-size: 22px;">FreeBSD修補Hypervisor元件重大層級漏洞</strong></a></p> <p>9月19日FreeBSD開發團隊發布資安公告，他們發布14.1-STABLE、14.1-RELEASE-p5、14.0-RELEASE-p11、13.4-STABLE、13.4-RELEASE-p1，以及13.3-RELEASE-p7更新，目的是修補重大層級的漏洞CVE-2024-41721，這項漏洞存在於名為bhyve(8)的Hypervisor元件，屬於記憶體越界讀取（OBR）弱點，CVSS風險評為9.8分。</p> <p>此漏洞發生的原因，在於bhyve透過虛擬USB控制器（XHCI）模擬裝置的過程中，缺乏充分的程式碼驗證，可能導致記憶體越界讀取，從而允許任意寫入檔案或是遠端執行程式碼的情況。</p> <p>這項漏洞無緩解措施，因此FreeBSD維護團隊呼籲儘速更新。但他們也提及，若是未使用XHCI模擬機制的用戶，不會受到這項漏洞影響。</p> <p><a href="https://www.ithome.com.tw/news/165179"><strong style="font-size: 22px;">Cellopoint修補郵件安全閘道重大漏洞，用戶應儘速更新防止管理員權限被奪走</strong></a></p> <p>臺灣電腦網路危機處理暨協調中心（TWCERT/CC）9月20日針對基點資訊（Cellopoint）郵件安全閘道系統Secure Email Gateway（SEG）提出警告，指出該系統4.2.1至4.5.0版存在漏洞CVE-2024-9043，此為重大層級的記憶體緩衝區溢位漏洞，CVSS風險達到9.8分。對此，該公司已於8月發布資安公告，並指出他們在Build 20240712之後的版本修正相關弱點。</p> <p>針對這項漏洞發生的原因，基點資訊指出，起因是該系統處理稽核請求的身分驗證處理程序feedbackd存在弱點，一旦攻擊者向前端網頁發送特製的稽核請求，網頁向feedbackd轉送的過程就會觸發漏洞，導致該處理程序當機。由於前端網頁未能正確處理當機情形，使得前述的稽核請求能夠通過身分驗證，最終攻擊者成功取得系統管理員身分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165170"><strong>【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> </div></div></div>
2024/9/25 17:16作者周峻佑https://www.ithome.com.tw/news/165183
傳輸速度達27 Gbps，Netgear首款Wi-Fi 7 Mesh系統登臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_orbi_970_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4年前，我們曾介紹Netgear推出的家用路由器網狀系統<a href="https://www.ithome.com.tw/review/136399">Orbi 850系列</a>，是針對Wi-Fi 6無線網路建置需求而來的產品，2020年6月發表<a href="https://investor.netgear.com/releases/press-release-details/2020/NETGEAR-Extends-WiFi-6-Leadership-With-2nd-Orbi-Mesh-System-Delivering-Gigabit-WiFi-Everywhere-in-the-Home/default.aspx">Orbi 750系列</a>，2021年10月發表<a href="https://investor.netgear.com/releases/press-release-details/2021/NETGEAR-Adds-the-Worlds-First-Quad-Band-WiFi-6E-Mesh-System-to-the-Orbi-Family/default.aspx">Orbi 960系列</a>，開始主打Wi-Fi 6E支援，2022年10月推出支援Wi-Fi 6與提供10GbE埠的<a href="https://investor.netgear.com/releases/press-release-details/2022/NETGEAR-Paves-the-Way-for-the-Fastest-Home-Broadband-Speeds-Available-With-New-10-Gig-Orbi-Tri-Band-Wifi-6-Mesh-System/default.aspx">Orbi 860系列</a>，到了2023年9月，終於發表主打Wi-Fi 7支援的Orbi 970系列，相隔一年後的此刻，代理商瀚錸科技宣布將這批產品引進臺灣市場，目前已通過電信管制射頻器材型式認證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RBE970-certified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RBE970-certified.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear RBE971-certified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RBE971-certified.jpg" style="width: 298px;" /></a></p> <p>Orbi 970系列最大賣點，在於總共能提供27 Gbps傳輸效能（BE27000），相較於Wi-Fi 6產品（AX11000），速度增長幅度達到2.4倍，可支援200臺裝置的上網需求，設備內建12支天線、實現360度的訊號範圍覆蓋。若是用戶採購三件式包裝的RBE973S（1主機2衛星）可涵蓋1萬平方呎（281坪），比起Orbi 960系列，增加10％；若是兩件式包裝的RBE972S（1主機1衛星）可涵蓋6,600平方呎（185坪）；若是單件式包裝的路由器RBE971S（1主機），或是單臺衛星延伸器RBE970，可涵蓋3,300平方呎（92坪）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Orbi 970-throughput.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20970-throughput.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/970-Antenna-61K%2B9luC7xL__AC_SL1200-_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/970-Antenna-61K%2B9luC7xL__AC_SL1200-_.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RBE971_WEBUI-small.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RBE971_WEBUI-small.jpg" style="width: 398px;" /></a></p> <p>就硬體架構而言，Orbi 970系列採用的無線通訊晶片是<a href="https://www.qualcomm.com/products/internet-of-things/networking/wi-fi-networks/networking-pro-series/qualcomm-networking-pro-1620-platform">高通Networking Pro 1620 Platform</a>，支援4個頻段、16個串流，匯聚的無線網路容量最高可達33 Gbps，可負擔2千臺裝置的同時連線需求。相較之下，先前推出的Wi-Fi 7基地臺與路由器，若採用高通的晶片，大部分是<a href="https://www.qualcomm.com/products/internet-of-things/networking/wi-fi-networks/networking-pro-series/qualcomm-networking-pro-1220-platform">Networking Pro 1220 Platform</a>，支援3個頻段、12個串流，匯聚的無線網路容量最高可達21 Gbps，可負擔2千臺裝置的同時連線需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualcomm Netgear Wi-Fi7 Mesh-2024-09-B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcomm%20Netgear%20Wi-Fi7%20Mesh-2024-09-B.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Qualcom Wi-Fi 7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Wi-Fi%207.jpg" style="width: 298px;" /></a></p> <p>如同市面上標榜Wi-Fi 7規格的基地臺與路由器，Orbi 970系列可運用2.4 GHz、5 GHz、6 GHz這三種頻段，支援高容量的頻道320 MHz，以及正交振幅調變4096-QAM，而且，這批機型也沿襲Netgear Orbi系列特有的專屬回程傳輸（Dedicated Backhaul），額外設置獨立的5GHz頻段，連接Orbi路由器主機與Orbi衛星延伸器，因此，總共提供4個頻段，同時，它們還能活用Wi-Fi 7新增的多重連結操作（MLO），將這個專用的5 GHz頻段與6 GHz頻段結合起來，Orbi路由器與Orbi衛星延伸器的連線速度可增加1倍，進而達到10 Gbps等級的無線回程傳輸能力，提供更低的存取延遲與更順暢的連線速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Wi-Fi%207%20Orbi%20backhaul.jpg" style="width: 600px;" /></p> <p>而在有線網路的連接能力上，無論是Orbi路由器RBE971或Orbi衛星延伸器RBE970，至少都內建1個10GbE網路埠與2個2.5GbE埠。以Orbi路由器而言，Netgear在此提供2個10GbE埠（WAN埠與LAN埠各1個），以及4個2.5GbE埠（均為LAN埠）；至於Orbi衛星延伸器，提供1個10GbE埠，以及2個2.5GbE埠（3個皆為LAN埠）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20router%20hardware.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20satellite%20hardware.png" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20970-10GbE.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Netgear Orbi 970系列</strong><br /> ●代理商：瀚錸科技<br /> ●建議售價：RBE971S（單主機）37,800元，RBE972S（1主機1衛星）67,900元，RBE973S（1主機2衛星）97,000元<br /> ●無線網路規格：802.11 a/b/g/n/ac/ax/be、12支內部天線<br /> ●頻段與連線速度：總共為27 Gbps，1個6GHz、4096 QAM模式為11,530 Mbps，2個5GHz、4096 QAM模式，各為8,647Mbps、5,765Mbps，1個2.4 GHz、1024QAM模式為1,147 Mbps，均為4x4天線架構<br /> ●配件：1臺Orbi路由器RBE971、1或多臺Orbi衛星延伸器RBE970、2公尺網路線、2個19V/3.16A電源變壓器<br /> ●可支援無線網路設備數量：200臺<br /> ●網路埠：Orbi路由器有6個（4個2.5 GbE埠、2個10 GbE埠），Orbi衛星延伸器有3個（2個2.5 GbE埠、1個10GbE埠）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/25 17:43作者李宗翰https://www.ithome.com.tw/review/165105
UNC1860挖掘滲透中東企業組織的初始管道，替攻擊這些目標的駭客開路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Mandiant揭露<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc1860-iran-middle-eastern-networks/">伊朗駭客組織UNC1860</a>，並指出這些駭客疑似隸屬伊朗情報與國家安全部（MOIS），根據他們看到駭客專屬的作案工具，推測這群歹徒可能專為其他網路犯罪組織提供受害組織初始入侵管道（Initial Access Broker，IAB）。</p> <p>研究人員指出，就攻擊手法與目標而言，UNC1860同於其他伊朗駭客，如Scarred Manticore、Storm-0861、Shrouded Snooper等，主要都是針對中東地區的電信業者及政府機關發動攻擊。但在去年10月資料破壞軟體BabyWiper攻擊行動裡，UNC1860就傳出負責供應受害組織的存取管道，如今研究人員掌握進一步證據，佐證上述的分工情形。</p> <p>這些駭客起初鎖定曝露於網際網路的伺服器植入名為StayShante的Web Shell，企圖取得受害組織的網路環境初始存取權限，一旦得逞，他們就會部署其他惡意程式，例如：TofuDrv、TofuLoad，來取得進一步的控制權，這些被植入的作案工具比一般的後門程式更為隱密，因為駭客會試圖消除惡意程式對C2基礎設施的依賴，使防守方難以偵測行蹤。</p> <p>研究人員提及，駭客植入的作案工具採用被動連線的手法，不會直接發出存取C2的流量，另一方面，駭客對惡意程式下達命令的流量，則是透過各種動態的來源，像是VPN節點、其他受害電腦，甚至是受害組織網路環境的另一個網段，導致防禦方監控網路流量變得更加困難。</p> <p>其中，TofuDrv、TofuLoad都利用了過往未曾發現的輸入及輸出控制命令進行通訊，從而降低被端點資安軟體EDR察覺的機會；另一個被動運作的後門程式TempleDrop，會濫用伊朗防毒軟體Sheed AV的驅動程式元件，避免駭客的作案工具遭到竄改；除此之外，這場攻擊也出現TempleLock、RotPipe等工具的蹤跡，以TempleLock為例，能用來停用Windows事件記錄並抹除作案痕跡。</p> <p>再者，無論Web Shell還是惡意程式，都使用HTTPS加密連線通訊，研究人員無法從網路流量得知攻擊者下達的命令，或是取得有效酬載。</p> <p>而在UNC1860成功掌握受害組織網路環境的存取管道後，他們便會透過具備圖形操作介面的惡意軟體控制工具TemplePlay、ViroGreen，為接手從事進一步攻擊行動的駭客，提供以遠端桌面連線（RDP）存取受害組織網路環境的能力。</p> <p>根據上述的作案工具發現，研究人員指出，突顯這些駭客具備對Windows核心元件的逆向工程技能，以及迴避偵測的能力，因此他們造成的威脅不容小覷。</p> </div></div></div>
2024/9/25 16:32作者周峻佑https://www.ithome.com.tw/news/165181
Cellopoint修補郵件安全閘道重大漏洞，用戶應儘速更新防止管理員權限被奪走
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電腦網路危機處理暨協調中心（TWCERT/CC）9月20日<a href="https://www.twcert.org.tw/tw/cp-132-8102-b94a9-1.html">針對基點資訊（Cellopoint）郵件安全閘道系統Secure Email Gateway（SEG）提出警告</a>，指出該系統4.2.1至4.5.0版存在漏洞CVE-2024-9043，此為重大層級的記憶體緩衝區溢位漏洞，CVSS風險達到9.8分。對此，該公司<a href="https://www.cellopoint.com/post/seg-feedback-2024?lang=zh">已於8月發布資安公告</a>，並指出他們在Build 20240712之後的版本修正相關弱點。</p> <p>針對這項漏洞發生的原因，基點資訊指出，起因是該系統處理稽核請求的身分驗證處理程序feedbackd存在弱點，一旦攻擊者向前端網頁發送特製的稽核請求，網頁向feedbackd轉送的過程就會觸發漏洞，導致該處理程序當機。由於前端網頁未能正確處理當機情形，使得前述的稽核請求能夠通過身分驗證，最終攻擊者成功取得系統管理員身分。</p> <p>針對這項弱點的處理，基點資訊表示，他們接獲通報後，在7月12日修正前端網頁的弱點，排除偵測feedbackd當機異常的情況，到了8月14日，已清除殘留系統的連線階段（Session）快取資料。</p> <p>若是IT人員無法即時套用相關更新，基點資訊指出，管理者可藉由SEG的登入IP位址控管功能，僅批准特定IP位址的電腦才能存取此系統，限縮駭客利用此漏洞的管道。</p> </div></div></div>
2024/9/25 14:36作者周峻佑https://www.ithome.com.tw/news/165179
英特爾推出搭載P-core效能核心的Xeon 6處理器，更新AI加速器Gaudi 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾在今年Computex電腦展發表Xeon 6處理器，由搭載效率核心(E-core)版本的Xeon 6處理器先打頭陣，本周英特爾再補齊Xeon 6處理器產品線，推出搭載效能核心(P-core)版本，提高核心數及記憶體頻寬，最高至128個核心。</p> <p>Xeon 6為伺服器專用處理器，是英特爾首款採用Intel 3節點設計的產品，其中分為搭載E-core效率核心版本（代號Sierra Forest），以及搭載P-core效能核心版本（代號Granite Rapids）。今年6月，英特爾先推出E-core版Xeon 6處理器，鎖定超多核心需求，最高擁有144個E-Core核心，主要鎖定高密度、高能源效率資料中心使用需求，適用於雲原生、CDN、微服務架構等應用。</p> <p>至於新推出的P-core版本Xeon 6處理器，鎖定密集型工作負載需求，AI及高效能運算市場，不僅增加核心數，並且將AI加速功能嵌入到每個核心，記憶體頻寬也加倍。英特爾稱該處理器適用於邊緣、資料中心到雲端的AI運算需求，強調能在不需獨立加速器之下，執行數十億參數的AI模型。</p> <p>根據官網的訊息，Xeon 6900P系列搭載的P-core為超執行緒核心，針對AI、HPC、資料等工作負載需求，採用矩陣引擎，最高擁有128個核心，最多504MB的快取記憶體；而E-core版本的Xeon 6700E系列，使用單執行緒提高核心密度，並且省略矩陣引擎，單處理器最高擁有144個核心，英特爾計畫今年底再推出更高核心數，將單插槽核心數推升至288個核心。</p> <p>除了P-core版Xeon 6的推出，英特爾也更新旗下的AI加速器Gaudi 3，強調為大規模生成式AI需求設計的Gaudi 3，擁有64個張量處理器核心、8個矩陣乘法引擎，內建128GB HBM2e記憶體，支援24個200Gb的網路埠，使新的Gaudi 3 提升20%的吞吐量，英特爾強調和Nvidia的H100相比，在Llama 2 70B推論時，同樣成本下提供2倍的效能。</p> <p>英特爾指出，Gaudi 3支援PyTorch框架、Hugging Face Transformer、Diffuser模型。目前英特爾已和合作夥伴聯手，針對生成式AI最佳化的方案，例如戴爾合作規畫設計RAG方案。</p> <p> </p> </div></div></div>
2024/9/25 14:55作者蘇文彬https://www.ithome.com.tw/news/165180
卡巴斯基公布網路追蹤報告，顯示Google主導了全球的使用者追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基（Kaspersky）本周公布了這一年來的<a href="https://securelist.com/web-trackers-report-2023-2024/113778/" target="_blank">網路追蹤報告</a>，指出Google是使用者網路活動的最大監控者，因為Google的追蹤系統幾乎在Kaspersky有進行研究的地區中都占了前幾名的位置。</p> <p>卡巴斯基是在所有安全解決方案中都嵌入了一個名為Do Not Track（DNT）的元件，它的預設值是關閉的，需要使用者手動啟用，但啟用後即能阻止載入那些企圖追蹤使用者網路行為的元素，包括Cookie、Web信標、社交媒體追蹤器，以及使用者或裝置指紋等。儘管卡巴斯基僅在逾30個國家設有辦公室，但產品銷售擴及全球200個國家。</p> <p>調查顯示，自2023年7月至2024年6月間，DNT總計被觸發超過380億次（38,725,551,855），卡巴斯基在每個地區列出最常偵測到的25種追蹤服務，發現有8個追蹤服務幾乎在每個地區都上榜，當中有一半來自Google，分別是用來管理廣告活動的Google Display & Video 360，分析用戶行為及網站流量的Google Analytics，監控廣告活動的Google AdSense，以及專門蒐集影片觀看行為的YouTube Analytics。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Web%20tracking%20report-kaspersky.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／卡巴斯基</span></span></p> <p>卡巴斯基指出，Google除了在俄羅斯或獨立國協等少數國家沒有取得領先之外，在其它地區或國家通常是最大的追蹤者，展現出極強的主導地位，例如Google Display & Video 360在許多地區的追蹤市占率都超過20%，包括南亞（25.47%）、中東（22.92%）、拉丁美洲（20.13%）及東亞（24.45%）。值得注意的是，包括俄羅斯在內的這些獨立國協，多由當地的追蹤服務品牌領先。</p> <p>Google Analytics在南亞、中東、拉丁美洲及東亞的市占率，也分別達到13.97%、14.12%、14.89%及13.83%；Google AdSense在上述地區的市占率分別是6.85%、6.91%、6.01%與6.61%；YouTube Analytics則為12.71%、12.30%、8.89%與11.66%。</p> <p>至於除了Google之外，最熱門的另外4個追蹤服務則是美國專門追蹤網路應用效能的New Relic，蒐集查詢、位置及顯示廣告的Bing搜尋引擎，蒐集自家網路服務與其它網站互動狀況的微軟追蹤系統，以及Amazon的追蹤系統。</p> </div></div></div>
2024/9/25 12:33作者陳曉莉https://www.ithome.com.tw/news/165178
Google更新Gemini 1.5 Flash/Pro，調降Gemini 1.5 Pro價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/zh-hans/updated-production-ready-gemini-models-reduced-15-pro-pricing-increased-rate-limits-and-more/" target="_blank">Google周二（9/24）更新</a>Gemini 1.5 Flash與Gemini 1.5 Pro，釋出Gemini-1.5-Pro-002與Gemini-1.5-Flash-002，主要提高了這兩款模型的輸出速度，調高其速率限制，以及調降Gemini 1.5 Pro的價格。</p> <p>Gemini 1.5是個多模態模型，支援200萬個Token的脈絡長度，它能處理長達1,000頁的PDF檔案，從超過1萬行程式碼的儲存庫中回答問題，也可自1小時的影片中擷取重要資訊。相較於今年5月的Gemini 1.5 Flash/Pro版本，新版不管是在 MMLU-Pro、MATH或HiddenMath等基準測試上都有明顯的長進，在視覺理解或生成Python程式碼也表現得更好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-gemini%201_5_update-benchmarks_(1).png" style="width: 600px;" /></p> <p>此外，Gemini 1.5 Flash/Pro擁有一個更簡潔的表達方式，不管是在回答問題、進行摘要或汲取內容上，新模型的預設輸出長度都比前一版短了5~20%，以方便使用並降低成本。</p> <p>本周Google亦宣布調降Gemini 1.5 Pro價格，前提是提示少於12.8萬個Token，那麼其輸入Token價格調降了64%，輸出Token則調降52%，新增快取Token價格亦降低了64%，且自今年的10月1日起生效，屆時每100萬個輸入Token的價格為1.25美元，每100萬個Token的輸出價格為2.5美元，可望降低使用Gemini 1.5 Pro的成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-gemini%201_5%20pro%20price.png" style="width: 600px;" /></p> <p>而所謂的速率限制指的是開發人員每分鐘可發送請求的次數（Requests Per Minute，RPM），其中，Gemini 1.5 Flash的速率限制從1000 RPM提高到2000 RPM，Gemini 1.5 Pro則從360 RPM提高到1000 RPM，且Google預計未來幾周將持續提高Gemini API的速率限制。</p> <p>Gemini 1.5 Flash在速度上的改善則較為明顯，它的輸出速度是最初版本的2倍，延遲則只有原來的1/3。</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/9/25 10:45作者陳曉莉https://www.ithome.com.tw/news/165174
Deno 2.0大改全域變數向Node.js靠攏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/v2.0-release-candidate#changes-to-global-variables">Deno 2.0的開發已接近完成，進入候選版本的階段</a>。在Deno 2.0版本中，將有兩大重要變更，第一是全域變數的改變，第二則是相依性管理的更新。當初Deno的出現，以改進Node.js的不足為主打，但是從這次全域變數的政策調整來看，Deno似乎從過去試圖走出獨特路線，轉向更務實的妥協，逐漸回歸與Node.js更相近的設計。</p> <p>在Deno 2.0中，全域變數有兩項重大變更，第一是移除window全域變數，第二則是引入Node.js的process全域變數。Deno從1.0版本就引入window全域變數，目的是希望Deno能夠盡可能和瀏覽器相容，但是沒想到window卻成為許多開發者的問題來源。window是瀏覽器環境中的全域物件，代表瀏覽器的全域範圍，因此當前端JavaScript程式碼在瀏覽器中執行時，window可以正常運作，但是於伺服器端環境卻不適用。</p> <p>Deno是一個伺服器端的JavaScript執行環境，因此Deno中的window全域變數，常讓開發者誤以為在操作瀏覽器環境，window包含大量在瀏覽器中才具意義的API，因此當開發者不小心在Deno中使用，則會引發錯誤。有鑑於此，Deno 1.40開始便建議開發者不要使用window，改用globalThis或是self，而在Deno 2.0則會移除window全域變數。globalThis是ECMAScript標準中的統一全域物件，因此可在瀏覽器、Node.js和Deno中使用。</p> <p>Deno 2.0的另一項全域變數改變，是引入Node.js重要全域物件process。process提供存取系統資訊、環境變數、命令列參數等功能。原本在Deno中的設計，要求開發者使用process必須顯式匯入node:process，但對於仰賴process作為全域變數的Node.js程式和框架來說，這項要求帶來額外的負擔。</p> <p>現在Deno為了相容性需求，讓更多應用程式可以輕鬆無縫移植到Deno，因此在Deno 2.0中引入process全域變數。不過官方仍建議開發者盡量使用顯式匯入方法，因此也添加一條新的lint規則，在編輯器中提示並且協助開發者快速進行修正。</p> <p>Deno 2.0相依項目管理方面，新增了jsr:和npm:前綴以區分不同來源的套件，避免名稱衝突。另外，Deno支援子路徑規範，解決過去無法解析包含/子路徑的問題。deno add與deno remove子命令的加入，簡化了相依項目的添加和移除過程。而且當專案包含package.json，Deno則會優先將NPM相依項目新增到該檔案，支援開發和生產相依項目分離管理。</p> </div></div></div>
2024/9/24 22:18作者李建興https://www.ithome.com.tw/news/165172
【資安日報】9月24日，北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客針對開發人員從事攻擊行動的情況，不時傳出有關事故，其中一種攻擊類型，就是上架惡意NPM、PyPI套件，引誘開發人員上當而下載、安裝，於受害電腦植入惡意軟體。過往這種攻擊的目的，主要是為了洗劫開發人員的加密貨幣資產，如今駭客的目的出現變化。</p> <p>本週資安業者Palo Alto Networks揭露的資安事故，就是這種例子，駭客真正的目的，是為了發動供應鏈攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165168"><strong style="font-size: 22px;">北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT</strong></a></p> <p>北韓駭客近年來鎖定軟體開發人員的攻擊行動變得更加頻繁，這包含了針對正在求職的開發人員散布惡意軟體，以及藉由惡意軟體套件發動攻擊的情況，而最近，有研究人員揭露針對Linux、macOS使用者的攻擊行動。</p> <p>資安業者Palo Alto Networks指出，他們看到別名為AppleJeus、Gleaming Pisces的北韓駭客Citrine Sleet，於PyPI上傳惡意Python套件real-ids、coloredtxt、beautifultext、minisound，一旦開發人員上當，在開發環境部署，電腦就有可能被植入惡意軟體PondRAT。</p> <p>而對於駭客的目的，研究人員評估，很有可能是為了要藉由開發人員的端點電腦從事供應鏈攻擊，將受害電腦作為存取軟體業者的主要媒介，接著進一步挖掘入侵軟體公司客戶的管道。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-mallox-ransomware-linux-variant-based-on-leaked-kryptina-code/">勒索軟體Mallox擴大攻擊版圖，使用Kryptina程式碼打造Linux版加密工具</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/necro-trojan-is-back-on-google-play/113881/">安卓木馬Necro上架Google Play市集，感染逾1千萬臺裝置</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-RECORDSTEALER-with-Google-Security/ba-p/803490">駭客假借提供應用程式及破解軟體，散布竊資軟體RecordStealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/atandt-pays-13-million-fcc-settlement-over-2023-data-breach/">針對2023年資料外洩事故，AT&T向FCC支付1,300萬美元尋求和解</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/kaspersky-deletes-itself-installs-ultraav-antivirus-without-warning/">美國卡巴斯基用戶電腦的防毒軟體遭到無預警刪除，並被植入「UltraAV」</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165153"><strong style="font-size: 22px;">Grafana修補軟體開發套件資訊洩露漏洞</strong></a></p> <p>上週圖像化資料分析系統Grafana開發團隊發布資安公告，指出他們提供的外掛程式軟體開發套件（SDK）grafana-plugin-sdk-go，存在重大層級的資訊洩露漏洞CVE-2024-8986，0.249.0版及之前版本都受到影響，4.0版CVSS風險評分達到9.1，開發團隊目前已發布0.250.0版進行修補。</p> <p>關於這項漏洞發生的原因，Grafana指出，問題出在此開發套件在編譯二進位檔案的過程當中，會同時加入相關中繼資料，其中包含外掛程式的程式庫URI資訊，若是URI含有帳密資料，就有可能導致此類資料隨著編譯完成的檔案流出，發生資料外洩危機。</p> <p><a href="https://www.ithome.com.tw/news/165166"><strong style="font-size: 22px;">Microchip進階軟體框架存在重大RCE漏洞</strong></a></p> <p>卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）指出，Microchip進階軟體框架（Advanced Software Framework，ASF）存在可被用於遠端執行任意程式碼（RCE）的重大層級漏洞CVE-2024-7490，影響3.52.0.2574版以下所有的ASF，4.0版CVSS風險評分為9.5。值得留意的是，因Microchip已不再提供ASF相關支援，將不會對該漏洞進行修補。</p> <p>這項漏洞存在於tinydhcp伺服器元件，發生的原因在於，ASF的DHCP通訊協定實作無法進行輸入驗證，導致攻擊者有機會藉此導致記憶體緩衝區溢位，進而能夠遠端執行程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165154"><strong style="font-size: 22px;">Telegram調整隱私政策，同意交出用戶IP位址及電話予執法機構</strong></a></p> <p>上個月Telegram創辦人暨執行長Pavel Durov在法國被捕，並以500萬歐元交保，外傳原因是Telegram拒絕交出嫌犯資料，Durov被控共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM），此事近期出現新的發展。</p> <p>本周一（9月23日）<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Durov</span>透過自己的頻道宣布，為了進一步扼止不法份子濫用Telegram Search，他們更新服務條款及隱私政策，倘若違反該平臺的政策，將會把用戶的IP位址及電話號碼，提供給提出執法要求的執法機構。Durov強調，該公司將在全球市場採用一致的服務條款與隱私政策。</p> <p><a href="https://www.ithome.com.tw/news/165157"><strong style="font-size: 22px;">美國商務部提議禁止中國與俄羅斯連網汽車的軟硬體</strong></a></p> <p>美國商務部（Department of Commerce，DoC）9月23日提出了「法規命令訂定通知」（Notice of proposed rulemaking，NPRM），為了保護美國不受特定國家連網汽車技術的危害，將禁止來自中國與俄羅斯的連網汽車硬體及軟體，特別是當今在中國汽車製造商企圖主導全球連網汽車市場，假若該法規通過，軟體禁令將於2027年生效，硬體禁令則會在2029年生效。</p> <p>商務部認為，有鑑於連網汽車上的某些軟體及硬體能夠捕獲有關地理位置或關鍵基礎設施的資訊，替攻擊者提供破壞車輛或基礎設施的機會，特別是來自中國及俄羅斯的連網汽車中所使用的某些技術構成了極為嚴重的威脅，因而提議禁止進口或銷售源自中國或俄羅斯的實體設計、開發、製造或供應的某些連網汽車系統。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> </div></div></div>
2024/9/24 17:08作者周峻佑https://www.ithome.com.tw/news/165170
Grafana修補軟體開發套件資訊洩露漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週圖像化資料分析系統Grafana開發團隊<a href="https://grafana.com/security/security-advisories/cve-2024-8986/">發布資安公告</a>，指出他們提供的外掛程式軟體開發套件（SDK）grafana-plugin-sdk-go，存在重大層級的資訊洩露漏洞CVE-2024-8986，0.249.0版及之前版本都受到影響，4.0版CVSS風險評分達到9.1，開發團隊目前已發布0.250.0版進行修補。</p> <p>關於這項漏洞發生的原因，Grafana指出，問題出在此開發套件在編譯二進位檔案的過程當中，會同時加入相關中繼資料，其中包含外掛程式的程式庫URI資訊，若是URI含有帳密資料，就有可能導致此類資料隨著編譯完成的檔案流出，發生資料外洩危機。</p> </div></div></div>
2024/9/24 12:23作者周峻佑https://www.ithome.com.tw/news/165153
Microchip進階軟體框架存在重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）指出，Microchip進階軟體框架（Advanced Software Framework，ASF）存在<a href="https://kb.cert.org/vuls/id/138043">可被用於遠端執行任意程式碼（RCE）的重大層級漏洞CVE-2024-7490</a>，影響3.52.0.2574版以下所有的ASF，4.0版CVSS風險評分為9.5。值得留意的是，因Microchip已不再提供ASF相關支援，將不會對該漏洞進行修補。</p> <p>這項漏洞存在於tinydhcp伺服器元件，發生的原因在於，ASF的DHCP通訊協定實作無法進行輸入驗證，導致攻擊者有機會藉此導致記憶體緩衝區溢位，進而能夠遠端執行程式碼。</p> <p>細部而言，該漏洞出現於所有公開的ASF程式碼基礎（codebase）範例當中，攻擊者可發送特製的DHCP請求造成記憶體緩衝區溢位，並且觸發這項漏洞。</p> <p>他們也提及這項弱點出現在物聯網相關應用的程式碼，因此可能會廣泛存在許多地方；再者，tinydhcp的分叉（fork）版本也可能容易受到該漏洞的影響。</p> <p>該如何緩解這個漏洞？CERT/CC認為，將tinydhcp更換成另一個不受影響的元件，有可能達到緩解的效果，但目前尚未發現其他可行做法。</p> </div></div></div>
2024/9/24 15:36作者周峻佑https://www.ithome.com.tw/news/165166
北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客近年來鎖定軟體開發人員的攻擊行動變得更加頻繁，這包含了針對正在求職的開發人員散布惡意軟體，以及藉由惡意軟體套件發動攻擊的情況，而最近，有研究人員揭露針對Linux、macOS使用者的攻擊行動。</p> <p>資安業者Palo Alto Networks指出，他們看到別名為AppleJeus、Gleaming Pisces的北韓駭客Citrine Sleet，<a href="https://unit42.paloaltonetworks.com/gleaming-pisces-applejeus-poolrat-and-pondrat/?web_view=true">於PyPI上傳惡意Python套件real-ids、coloredtxt、beautifultext、minisound</a>，一旦開發人員上當，在開發環境部署，電腦就有可能被植入惡意軟體PondRAT。</p> <p>根據程式碼的相似特徵，以及過往發現駭客的攻擊手法特質，研究人員從而認為攻擊者的身分很有可能就是Citrine Sleet。</p> <p>而對於駭客的目的，研究人員評估，很有可能是為了要藉由開發人員的端點電腦從事供應鏈攻擊，將受害電腦作為存取軟體業者的主要媒介，接著進一步挖掘入侵軟體公司客戶的管道。</p> <p>另一方面，他們也找到惡意程式PoolRAT的Linux版變種，該惡意程式駭客曾在3年前用於攻擊3CX網路電話環境，他們將PoolRAT與PondRAT進行比對，認為PondRAT是RoolRAT的簡化版本。</p> </div></div></div>
2024/9/24 16:36作者周峻佑https://www.ithome.com.tw/news/165168
【資安月報】2024年8月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2024年8月資安新聞，本月適逢Black Hat USA 2024與Def Con大會於美國拉斯維加斯登場，最新漏洞與研究成果揭露的消息不斷，持續引發資安研究人員的重視，還有其他重要資安防護與威脅方面的消息也不能忽視，我們整理6大焦點，幫助大家快速回顧重要資安態勢。</p> <p><strong><span style="color:#FF0000;">焦點1：</span></strong>在一年一度的Black Hat USA大會上，每年都有許多全球頂尖資安研究人員揭露最新的研究成果，今年也不例外，包括臺灣的戴夫寇爾首席資安研究員蔡政達（Orange Tsai），他不僅探索了Apache HTTP Server中存在的架構問題，揭開名為Confusion Attacks的全新攻擊面向。</p> <p>而在關注這些漏洞研究之餘，今年還有一個很特別的重點，由於2024年底適逢美國總統大選，因此本屆Black Hat大會開場主題座談，就是聚焦民主與選舉安全的探討，場中不僅有美國CISA局長Jen Easterly出席，還有歐盟ENISA網路安全與營運長Hans de Vries，以及英國NCSC執行長Felicity Oswald，強調鞏固投票安全機制之餘，新挑戰是面對選舉過程的錯誤訊息的傳播，指出對手更專注在破壞選舉過程的印象，而不是直接入侵選舉過程。換句話說，他們的目的是讓選民感到他們的選票沒有保障。</p> <p><span style="color:#FF0000;"><strong>焦點2：</strong></span>因應日後量子破密威脅所設計的後量子密碼學（PQC）標準，在8月13日有3款標準率先正式出爐。</p> <p>美國NIST指出，在通用加密方面，以FIPS 203（ML-KEM）為主要標準，在數位簽章方面，以FIPS 204為主要標準（ML-DSA），FIPS 205（SLH-DSA）可作為備用方法使用。</p> <p>雖然PQC標準還在持續發展，像是FIPS 206預計在年底發布，並且還在繼續評估其他演算法，但由於全面轉換需要時間，如今這3個PQC標準已經發布，需要更多企業組織意識到：公鑰密碼系統的全面升級與轉換，現在就應該著手準備與進行。</p> <p><span style="color:#FF0000;"><strong>焦點3：</strong></span>趨勢科技在黑帽大會展示深度偽造（Deepfake）偵測技術解決方案受矚目，因為這方面的威脅討論多年，過去我們常看到一些科技大廠發起這方面的偵測競賽，希望大家發展防護技術，如今該公司不僅先釋出提供給一般使用者的工具，也透露這樣的功能將納入其商用解決方案之中。</p> <p>此外，到了8月底，另一家以影音工具聞名的訊連科技在他們的用戶大會上，公開說明已開發出DeepFake深偽偵測工具。這些商用產品的新功能發表，均顯示這方面技術的突破。</p> <p><span style="color:#FF0000;"><strong>焦點4：</strong></span>關於駭客鎖定企業產品的零時差漏洞利用上，這個月有一起重大事件發生，那就是──SASE供應商Versa Networks的產品遭鎖定，導致造成5家ISP網路服務供應商及MSP代管服務供應商受害。</p> <p>這起事件是電信業者Lumen旗下的資安實驗室Black Lotus Labs揭露，指出是中國駭客組織Volt Typhoon發起Versa Director零時差利用攻擊（CVE-2024-39717），並說明其攻擊手法，包括駭客先透過曝露於公開網路的Versa管理埠存取系統，再利用零時差漏洞並部暑一個名為VersaMem的Web Shell，藉此攔截與蒐集憑證，使攻擊者能以經過驗證的用戶身分，存取下游的客戶網路。</p> <p>值得我們注意的是，駭客鎖定企業產品的零時差漏洞利用的狀況日益嚴峻，並有越來越多IT供應商成為目標，Versa Networks這次事件就是最新一例，中國駭客鎖定其產品的零時差漏洞來入侵ISP與MSP業者。</p> <p><span style="color:#FF0000;"><strong>焦點5：</strong></span>在勒索軟體威脅方面，這個月有兩大值得關注的焦點，首先我們看到，Zscaler一份最新報告指出，有勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），也就是不只勒索金額獅子大開口，而且還勒索成功，區塊鏈分析業者Chainalysis也證實此狀況。這樣的態勢，引起這些業者憂心有其他駭客集團仿效。</p> <p>另一是今年上半才現身的RansomHub勒索軟體，美國多個安全機構發布在8月發布聯合公告，指出全球至少210個企業組織受害，因此提供該組織的入侵手法（TTP）與入侵指標（IOC），呼籲外界對於該組織所帶來的危害更要有所警覺。</p> <p><span style="color:#FF0000;"><strong>焦點6：</strong></span>在AI資安方面，近期有不少重要新聞，像是微軟、Nvidia、英特爾及Google等宣布成立安全AI聯盟CoSAI，目標是建立一個協作生態體系，以解決開發者與採用者在確保AI技術安全時，面臨遵循指南與標準不一或各自獨立的狀況。</p> <p>這個月還有一些重要新聞同樣值得關注，例如，今年美國政府正強調AI長的重要性，以負責主導及監督AI技術的使用，並考慮安全及可靠性；在AI安全及可靠性評估的工具方面，美國CISA釋出相關軟體測試平臺Dioptra 1.0版；在產業端有趨勢科技強調用AI做資安風險管理要有新作法，特別的是，他們還預告要用AI幫助計算風險損失金額，並能預測攻擊路徑。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/164279"><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月29日到8月2日</span></a></strong></h2> <p>這一星期的資安新聞中，在資安威脅態勢上，我們認為有3項消息需要特別重視，涵蓋勒索軟體、網釣攻擊、GitHub遭濫用。</p> <p>（一）駭客開出的勒索金額出現獅子大開口的情形，在Zscaler的一份最新報告指出，勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），區塊鏈分析業者Chainalysis也證實此情形，並擔心引起其他駭客集團仿效。</p> <p>（二）有資安業者揭露一起大規模網路釣魚攻擊行動，攻擊者竟然可以發送具有通過SPF和DKIM簽章驗證的大量郵件，調查後發現，駭客疑似利用Proofpoint的郵件防護服務漏洞EchoSpoofing。Proofpoint也提出說明，表示這起事件呈現的弱點並非他們的系統獨有。</p> <p>（三）關於程式碼儲存庫GitHub遭駭客濫用的情形，最近又有新的發現，有資安業者示警，發現駭客組織Stargazers Ghost專門經營大量帳號並提供儲存庫讓駭客與犯罪集團使用，進而形成龐大的網路犯罪生態圈。</p> <p>在APT威脅與資安事件方面，主要有2個重點，分別是關於APT45、APT10的攻擊活動揭露，還有國內外的2起重大資安事件。我們整理如下：<br /> ●近日北韓駭客組織APT45的攻擊行動被大量揭露，包括Google旗下Madiant、微軟，還有美國司法部起訴APT45中一名北韓駭客成員Rim Jong Hyok，當中更是透露受害者不只美空軍基地、NASA，還有臺灣與美、韓的國防承包商。<br /> ●在上個月，日本JPCERT/CC揭露當地製造業、研究機構發動攻擊遭受攻擊，被植入後門程式NoopDoor，如今有資安業者公布該惡意程式細節並指出是中國駭客組織APT10所慣用的惡意程式。<br /> ●華經資訊發布資安重訊，說明已啟動相關防禦機制與復原作業。<br /> ●日本夏普的網路商店Cocoro Store遭入侵，逾10萬人個資恐外流。</p> <p>在漏洞消息方面，本星期共有7個漏洞利用狀況，其中Broadcom在6月底修補VMware ESXi的漏洞CVE-2024-37085最要注意。因為通報的微軟最近揭露相關細節，並指出這個漏洞在修補前就已遭多個攻擊者鎖定利用。換言之，該漏洞在當時就已是零時差漏洞被積極利用，但修補釋出當時公告並未提及此一狀況。</p> <p>其他已知漏洞遭利用的情形，有2個是7月初才修補，包括： ServiceNow的漏洞（CVE-2024-4879、CVE-2024-5217），以及Twilio的Authy漏洞（CVE-2024-3989），還有1個是去年底Acronis修補的漏洞（CVE-2023-45249）。特別的是，2012年微軟修補的IE漏洞（CVE-2012-4792），最近也被美國CISA列入已知漏洞利用清單。</p> <p>還有一個Secure Boot繞過漏洞「PKfail」的揭露，有資安業者發現共發現22個獨特但不可信的平臺金鑰，影響將近900款產品，包括技嘉、Supermicro、Dell等9大業者，並指出這是韌體供應鏈在加密金鑰管理實務上的嚴重問題。</p> <p>關於0719的CrowdStrike引發大當機事件，持續有後續消息，例如，有駭客趁機利用這起事故鎖定CrowdStrike用戶發動攻擊，佯稱提供當機報告程式，但其目的是散步惡意軟體；iThome持續追蹤當時的發生狀況原因，以及對於整個資安產業的影響，我們找到幾位臺灣資安專家，分享對此事故的觀察，他們指出CrowdStrike的病毒特徵碼設計不良之餘，也提及類似CrowdStrike更新出包的意外，是所有端點防護公司都可能發生的，因此，要避免類似意外發生，一定需要重複經過各種驗證程序。</p> <p>至於資安防禦態勢上，有3個重要消息不容錯過，涵蓋AI評估測試、同態加密技術相關工具的釋出，以及cookie theft的防範。例如，美國CISA釋出可用於評估AI安全及可靠性的軟體測試平臺的Dioptra 1.0版，以及Apple將自家發展用於保護隱私的同態加密技術，以開源Swift開源套件釋出。此外，Google為了應對現在許多竊資軟體具有cookie theft手段，宣布將針對Windows版Chrome瀏覽器，提供應用程式導向的加密（App-Bound Encryption）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164408"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月5日到8月9日</span></strong></a></h2> <p>這一星期Black Hat USA 2024於美國拉斯維加斯登場，今年是第27屆，照往年慣例，有很多資安新聞都在此時發布，特別的是，今年新納入的AI Summit研討會於當地時間6日舉行，趨勢科技也在一場演說中展示偵測深偽（Deepfake）商用解決方案，同時闡釋AI世代的企業資安風險管理差異，幫助大家因應未來的局勢。</p> <p>黑帽大會主活動於7日與8日展開，當中有許多全球頂尖資安研究人員揭露最新的研究成果，我們在這一星期資安日報的新聞，也陸續報導相關消息。</p> <p>●賽門鐵克揭露6起攻擊者濫用合法雲端服務的攻擊行動，不僅指出這些手法日趨複雜，特別的是，研究人員提及中國駭客組織UNC5330散布Grager後門程式，攻擊目標是臺灣、香港、越南的企業組織。<br /> ●德國CISPA亥姆霍茲資訊安全中心揭露GhostWrite漏洞，問題發生在阿里巴巴旗下平頭哥半導體（T-Head）所生產的RISC-V處理器玄鐵C910，並指出其影響範圍可能很廣泛且難以修補。<br /> ●Zenity研究人員公布了如何將Copilot變成駭客武器的最新研究，並釋出新的LOLCopilot紅隊工具模組，當中主要探討駭客如何在滲透後利用Microsoft Copilot來搜尋、解析並竊取敏感資料，而且不會產生日誌。<br /> ●資安業者Bitdefender揭露Solarman太陽能發電監控系統、寧波德業（Deye）逆變器的漏洞，兩家業者在接獲通報後皆著手修補。（研究人員是在美國黑帽大會附近另一場於8日到11日舉行的DEF CON 32資安會議展示這項成果。）</p> <p>臺灣資安研究人員也在本次黑帽大會揭露重要發現，並且於臺灣時間周末登場，因此我們在本期資安週報先行整理。例如，<a href="http://blog.orange.tw/2024/08/confusion-attacks-ch.html?fbclid=IwY2xjawEmX_pleHRuA2FlbQIxMQABHZvi4Nuzpa9EUZIMW14BlGl9n70C1V-oVwHKYdXvEBoPHkhPvZqv292TJA_aem_yW8w1R3MJFLqgj44eEnFOg">戴夫寇爾首席資安研究員蔡政達（Orange Tsai）</a>，今年他揭開名為Confusion Attacks的全新攻擊面向，當中探索了Apache HTTP Server中存在的架構問題，並在攻擊研究中找到9個漏洞，而Orange先前也已將這些漏洞通報給Apache軟體基金會，在7月已有修補釋出（還有1個漏洞的CVE編號待公布）；<a href="https://www.blackhat.com/us-24/briefings/schedule/#attention-is-all-you-need-for-semantics-detection-a-novel-transformer-on-neural-symbolic-approach-39527">睿控網安的研究人員鄭仲倫、馬聖豪、林怡安‍</a>則公開資安防護上對於惡意程式分析的新方法，主要針對攻擊者將惡意程式碼混淆以規避偵測與分析的問題，提出一種新穎且基於神經網路的符號執行大型語言模型－－CuIDA，以模擬人類專家分析策略來進行，並可在不對加殼器進行解壓或解密的情況下，直接檢測被保護的可執行文件。</p> <p>在漏洞消息方面，本星期共有3個漏洞利用狀況值得我們重視，其中一項已知漏洞的防範，需要國內特別重視，因為資安業者指出有中國駭客利用該漏洞入侵臺灣研究機構。</p> <p>（一）思科旗下Talos揭露APT41針對臺灣政府所屬研究機構的攻擊行動，當中具體列出該組織的手法，以及使用已知漏洞<span style="color: rgb(0, 0, 255);">CVE-2018-0824</span>，將惡意程式ShadowPad、Cobalt Strike等攻擊工具植入這個研究機構。<br /> （二）開源ERP系統Apache OFBiz在今年5月修補的漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-32113</span>，大家要當心！因為最近出現攻擊者鎖定利用這個管道的狀況。SANS網路風暴中心指出，最近利用此漏洞的攻擊行動，其目的是將殭屍網路病毒Mirai植入OFBiz。<br /> （三）在Android的8月例行更新中，包含1個已遭利用的零時差漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-36971</span>修補。該漏洞今年6月公布時存在Linux作業系統核心，但該漏洞也影響到Android系統，後續Google TAG小組發現有此漏洞的針對性攻擊跡象。</p> <p>還有2個與臺灣有關的漏洞消息，首先是美國CISA針對臺灣視訊監控設備廠商陞泰科技（Avtech）發布警告，指出其產品存在漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-7029</span>並被用於攻擊行動，但陞泰尚未公布緩解措施，因此CISA特別提供可降低此漏洞遭利用的作法；另一是上月底PKfail漏洞揭露後，<a href="https://www.gigabyte.com/tw/Support/Security/2205">技嘉於8月1日</a>回應此問題的解法，他們表示，將在8月、9月釋出不同平臺的新版BIOS，予以修補。</p> <p>在資安事件方面，有2起消息與國內上市櫃公司有關，還有MDM業者遭駭引發上萬平板筆電無法使用，以及DigiCert撤銷8萬憑證的情形。我們整理如下：<br /> ●上市電腦及週邊設備業「偉聯科技」在8月5日發布資安重訊，說明部份資訊系統遭受駭客網路攻擊事件。<br /> ●上櫃資訊服務業「智聯服務」在8月5日發布資安重訊，說明部份僅供內部人員使用的資訊系統遭受駭客攻擊。<br /> ●在法國奧運賽事期間，當地博物館法國巴黎大皇宮說明遭遇網路攻擊事件，但也指出僅影響博物館內的書店與精品店。<br /> ●行動裝置管理（MDM）方案業者Mobile Guardian遭駭，導致列管的大量iOS及ChromeOS裝置遭未經授權存取，而這起事故也造成許多災情，例如新加坡就有1.3萬學生上課用的平板筆電無法使用。<br /> ●SSL數位憑證機構DigiCert宣布撤銷8萬多個憑證，影響6千多用戶，原因是他們自身未做好網域控制驗證。</p> <p>在資安防禦動向上，有兩個重要消息，一是中華資安國際預計於8月20日登錄興櫃，為臺灣證券市場新增一個資安生力軍；另一是美國CISA首任AI長在8月初出爐，這是因為美國OMB在今年3月的規範，強調在AI時代需有人來主導及監督如何使用AI技術，並考慮安全及可靠性，以此幫助眾人真正獲得AI帶來的好處。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164538"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月12日到8月16日</span></strong></a></h2> <p>在本星期資安周報中，在資安防禦上有一個重要消息，後量子密碼學（PQC）標準正式出爐，首先發布的有3個標準，分別是FIPS 203、FIPS 204與FIPS 205，這意味著PQC邁入新的里程碑，如今企業組織在因應未來量子破密威脅上，已經可以開始行動，因為將公鑰密碼系統轉換需要一定的時間。</p> <p>國內還有3項發展值得關注，包括數位部公布確保機關之間資料安全傳輸的T-Road最新進展，以及鷹眼識詐聯盟揭露AI偵測技術用於金融防詐的成效，以及專注詐騙防治與數位安全議題的「臺灣數位信任協會」成立；而在資安產品動向上，趨勢科技這禮拜揭露資安防護產品的AI應用發展，他們表示，正在發展計算網路安全風險可能損失金額，以及預測攻擊路徑等功能。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，企業在因應各項修補之餘，也要留意一個狀況，攻擊者正持續挖掘大量未知漏洞，也針對已知漏洞快速利用於攻擊行動。</p> <p>以微軟而言，這次修補了多達10個零時差漏洞，數量之多，放眼過去幾年也相當罕見，而且其中有6個已是零時差漏洞利用的狀況，包括：CVE-2024-38189、CVE-2024-38178、CVE-2024-38213、CVE-2024-38193、CVE-2024-38106、CVE-2024-38107，都是修補釋出前、攻擊者已先挖出漏洞並用於攻擊行動。此外，還有SolarWinds Web Help Desk有一個漏洞CVE-2024-28986，13日才宣布先釋出一個熱修補程式（Hotfix），16日美國CISA警告已有攻擊者正在利用。</p> <p>近期還有個涉及Windows CLFS的漏洞被公開也成大家關注的焦點，因為研究人員指出該漏洞可導致系統出現藍色當機（BSoD）的狀況。</p> <p>此外，由於8月上旬的美國黑帽大會與DEF CON剛剛結束，前一星期就有不少研究人員公開最新漏洞研究成果的新聞，這星期持續有相關報導。例如：</p> <p>●微軟研究人員揭露OVPNX，指出OpenVPN存在4個零時差漏洞。<br /> ●資安業者SafeBreach揭露QuickShell，指出Google檔案鄰近分享工具Quick Share存在一系列漏洞。<br /> ●資安業者SySS揭露工控系統遠端存取解決方案Ewon Cosy+存在6項漏洞<br /> ●英國資安業者NCC Group揭露Sonos智慧喇叭漏洞讓駭客得以監聽使用者<br /> ●資安業者Semperis揭露微軟Entra ID的弱點UnOAuthorized</p> <p>值得一提的是，在本屆DEF CON CTF搶旗競賽中，臺灣派出資安戰隊「If this works we'll get fewer for next year」，在全球1,742隊參賽的激烈戰況中，以第10名進入總決賽，之後在12支隊伍比拼下獲得第7名，再次取得不錯的成績。</p> <p>在資安事件焦點方面，有兩個關於資料外洩的新聞，一是有人在Breach Forums駭客論壇公布14億筆騰訊用戶資料，另一是南韓國防工業外包商傳出遭北韓駭客攻擊，導致空中偵察機的技術資料與規格與手冊外洩。</p> <p>還有一條新聞也引發了許多人討論，是因為傳出微軟將從Windows 11 24H2開始，以微軟帳號登入的新用戶，將預設啟用BitLocker加密功能，雖然此舉對於電腦內硬碟帶來更高保護，但引發一些反彈聲浪，包括影響系統效能，以及BitLocker的加密金鑰怕遺失等。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/164683"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月19日到8月23日</span></strong></a></h2> <p>這一星期的資安威脅態勢，有多起新聞是聚焦在偽冒、配置錯誤這兩大議題，成為不可忽視的風險熱點，突顯企業、個人在網路安全上的潛在薄弱環節。</p> <p>以偽冒事件而言，有3則消息，其中一起偽冒情境相當獨特，是讓用戶誤以為電腦更新進行中，但實際是利用遠端存取竊取資料。</p> <p>●駭客偽造WinRAR網站，建立與正牌官網（win-rar.com）一字之差的偽冒網站（win-rar.co），雖然此做法並不新奇，但涉及熱門軟體而受關注。<br /> ●惡意廣告運用動態關鍵字插入技術，鎖定特定公司或產品線並假冒其名義，例如假冒Google的行動中，還會利用Google Looker Studio製作圖片來假冒搜尋頁面，並透過圖片內嵌惡意連結引導至假冒的技術支援頁面。<br /> ●駭客組織先利用社交工程手法，並透過遠端連線請求傳送假的Windows Update的執行檔，特別的是，該程式的作用僅是偽冒出Windows更新的畫面，背後則是利用遠端存取竊取受害者的網路共享資料夾，再留下勒索訊息。</p> <p>以配置錯誤而言，本星期有3則新聞值得關注，下列第一則已有攻擊行動需特別注意，研究人員指出，有11萬個網域成為攻擊者可鎖定的對象，第二則有數千個公開的SuiteCommerce受影響，並且研究人員已經揭露這樣的問題，用戶需在攻擊者關注此攻擊面下，儘速對相關組態進行檢查。</p> <p>●出現一波向企業勒索的攻擊行動，是攻擊者鎖定在AWS公開曝險的bucket，並利用企業的雲端應用環境設定不當，進而得以竊取包含像是驗證憑證的環境變項檔（.env）檔竊取重要資料，並向受害組織勒索。<br /> ●針對Oracle旗下的雲端ERP平臺NetSuite，研究人員指出存在用戶配置錯誤情況相當廣泛，原因在於名為SuiteCommerce電商網站元件中一項CRT的存取控制錯誤組態造成，提醒相關用戶應加強這方面的管理，以避免資料外洩。<br /> ●航班追蹤平臺FlightAware發布資安事件公告，指出在7月底發現因配置錯誤問題，發生外洩該平臺用戶個資的事故。</p> <p>在資安事件方面，有5則重要新聞，當中以臺灣大學院校遭遇後門程式Msupedge攻擊的揭露最受關注，而且，值得警惕的是，入侵原因是未修補今年6月PHP程式語言修補重大漏洞；臺灣最大電子佈告欄（BBS）PTT傳出資料外洩的消息也引發關注，對此消息，<a href="https://www.facebook.com/PttTW/posts/913357430830764">批踢踢實業坊（Ptt.cc）已在隔日發布聲明</a>，傳聞中所稱取得的資料，應係自公開看板上所抓取的文章，並未發現有任何機密資訊受到危害。</p> <p>●國內有大學院校遭遇後門程式Msupedge的攻擊行動<br /> ●中國對臺認知作戰升級，在今年5月盜取飛官社群網站帳號抵毀國軍。<br /> ●PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料。<br /> ●美國半導體製造商Microchip傳出遭遇網路攻擊，造成工廠產能降低的影響。<br /> ●豐田美國分公司遭公布24GB公司資料，駭客表示是從其備份伺服器竊取。</p> <p>至於這一星期的漏洞利用消息，有1個零時差漏洞利用情形，Versa Networks旗下可簡化SASE服務的Versa Director平臺的漏洞CVE-2024-39717，美國CISA警告已獲知有主動利用的證據。</p> <p>還有5個漏洞利用要留意，包括：今年1月修補的 Jenkins CLI漏洞（CVE-2024-23897），以及前幾年多個已知漏洞，微軟Exchange Server漏洞（CVE-2021-31196），Linux Kernel漏洞（CVE-2022-0185 ），大華IP攝影機漏洞（CVE-2021-33044、CVE-2021-33045）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164797"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月26日到8月30日</span></strong></a></h2> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來警告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反映了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面，還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164223">2024年7月資安月報</a></h3> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <p> </p> <h3> </h3> <p> </p> </div></div></div>
2024/9/24 16:51作者羅正漢https://www.ithome.com.tw/news/165169
FreeBSD修補虛擬機元件重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月19日FreeBSD開發團隊<a href="https://www.freebsd.org/security/advisories/FreeBSD-SA-24:15.bhyve.asc">發布資安公告</a>，他們發布14.1-STABLE、14.1-RELEASE-p5、14.0-RELEASE-p11、13.4-STABLE、13.4-RELEASE-p1，以及13.3-RELEASE-p7更新，目的是修補重大層級的漏洞CVE-2024-41721，這項漏洞存在於名為bhyve(8)的Hypervisor元件，屬於記憶體越界讀取（OBR）弱點，CVSS風險評為9.8分。</p> <p>此漏洞發生的原因，在於bhyve透過虛擬USB控制器（XHCI）模擬裝置的過程中，缺乏充分的程式碼驗證，可能導致記憶體越界讀取，從而允許任意寫入檔案或是遠端執行程式碼的情況。</p> <p>攻擊者若要利用這項弱點，可利用惡意軟體取得指定權限，並透過虛擬機器（VM）觸發漏洞，引發bhyve當機，可能於主機bhyve使用者空間層級的處理程序中，得以執行程式碼，由於該Hypervisor程式通常都會以root執行，換言之，攻擊者等於可藉此任意執行程式碼。</p> <p>這項漏洞無緩解措施，因此FreeBSD維護團隊呼籲儘速更新。但他們也提及，若是未使用XHCI模擬機制的用戶，不會受到這項漏洞影響。</p> </div></div></div>
2024/9/24 11:38作者周峻佑https://www.ithome.com.tw/news/165151
Cloudflare釋出免費工具來制止AI爬蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI模型的出現改變了網路爬蟲的生態，為了讓網站能夠管理AI網路爬蟲的資料搜刮，Cloudflare本周<a href="https://blog.cloudflare.com/cloudflare-ai-audit-control-ai-content-crawlers/" target="_blank">發表</a>了一系列工具，包括可用來察看AI爬蟲具體活動的AI Audit，可一鍵封鎖所有AI爬蟲的Block AI Scrapers and Crawlers，亦準備推出新元件，以讓網站管理者可以設定特定內容的價格，並向模型供應商收費。</p> <p>Cloudflare解釋，過去網路爬蟲只有好跟壞兩種，好爬蟲以搜尋引擎爬蟲為代表，讓使用者可發現網站並替網站帶來流量，壞爬蟲則可能會攻擊網站、利用自動化功能奪取優先權，或是存取用以競爭的資料。然而，AI時代帶來了第三種AI爬蟲，這些爬蟲試圖掃描網站的公開內容，並用來訓練模型，儘管它們並不會破壞或攻擊網站，但它們也不會替網站帶來流量，而是利用網站的內容來創造自己的價值。</p> <p>過去Cloudflare建置了Cloudflare Bot Management平臺，以讓網站管理員可區分不同的爬蟲，並決定允許或阻止它們，現在Cloudflare則開發AI Audit，可用來察看AI爬蟲的各種行為，包括爬蟲的類型、造訪的頻率，或是所掃描的內容，以準確了解AI爬蟲的行為，決定是否控制它們。</p> <p>若還不確定該如何處理這些AI爬蟲，網站管理員可以藉由新的Block AI Scrapers and Crawlers功能，一鍵封鎖所有的AI爬蟲。</p> <p>在這兩個新的免費功能之外，網站管理員也可透過既有的Web Application Firewall（WAF）功能，更精細地控制所要允許或封鎖的爬蟲。</p> <p>Cloudflare指出，除了上述的選擇之外，他們認為網站應該也要能夠得到合理的補償，因此正在規畫一個新的元件，允許網站擁有者可替該站或特定內容設定價格，要求以AI爬蟲掃描該站的模型供應商付費。</p> </div></div></div>
2024/9/24 16:16作者陳曉莉https://www.ithome.com.tw/news/165167
Fintech周報第253期：凱基證券推出AI助理，能提供上市櫃近兩千檔個股長短線投資建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">9/9~9/23金融科技精選新聞</span></span></h3> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 凱基證券 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></h3> <h3>凱基證券推出AI助理，能提供上市櫃近兩千檔個股長短線投資建議</h3> <p>凱基證券近日在下單App推出AI助理服務，能針對上市櫃近兩千檔個股提供短線AI預測和長線研究報告。凱基證券表示，這款AI助理運用機器學習來預測個股未來一周的漲跌，並依據凱基投顧資深分析師撰寫的研究報告，來提供個股長線預測。除了文字內容，這款AI助理也提供語音功能，能解說每一檔個股投資資訊。</p> <p>另外，凱基證券也推出客製化通知服務，可以依據客戶的庫存、自選股和交易行為偏好傳送通知。例如，投資人若偏好參與股票抽籤，一旦有市價、承銷價價差超過10%的新股抽籤，下單App即會主動傳送通知。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融資安 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DDoS </span></strong></span></h3> <h3>兆豐、彰銀接連發布重訊揭露遭DDoS攻擊，證交所也遭殃</h3> <p>近日，親俄駭客組織宣稱已對臺灣政府發起DDoS攻擊，瞄準包括證交所、兆豐金、彰化銀等金融機構網站。9月12日，兆豐金控和彰化銀行接連發布重訊說明官網遭遇DDoS攻擊。兆豐金控表示，受影響範圍包括兆豐集團的金控、證券、票券及投信公司網站，彰化銀行則表示，他們的銀行官網遭受網路DDoS攻擊。所幸兩家金融業者都於第一時間啟動相關防禦復原機制，網站皆迅速恢復正常運作。</p> <p>另外，證交所12日下午也傳出大當機，當日晚間證交所也證實，下午發現大量來自國外IP對證交所官網發送無效查詢，影響官網服務，所幸異常查詢量並未達到公司網路服務頻寬上限，其它網站服務並未受到影響。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></h3> <h3>摩根大通營運長：短期內AI和LLM影響最大的場景是提升營運效率</h3> <p>摩根大通營運長Daniel Pinto近日在巴克萊全球金融服務會議上表示，未來三到五年內，AI和大型語言模型的結合，將會帶來顯著改變。他認為，短期至中期內，AI和LLM最有潛力的場景是提升營運效率，「不是在同樣的預算內處理更多工作，就是減少支出。」</p> <p>Pinto提到，內部正在進行兩件事，第一，審視每個大型營運場景的工作流程，並運用AI和LLM優化流程。第二，Pinto證實內部已推出<span style="color:#FF0000;">一款</span>名為LLM Suite的GenAI平臺，提供給14萬名員工使用，幫助員工提升日常工作效率。今年七月，有外媒揭露摩根大通內部備忘錄，指出員工可以將LLM Suite視為分析師，提供特定主題的資訊、解決方式和建議。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據上雲 </span></strong></span></h3> <h3>國泰金控啟動數據上雲，計畫搭建雲端湖倉平臺集中數據分析和視覺化圖表產製需求</h3> <p>國泰金控近日宣布啟動數據上雲，計畫搭建國泰金控雲端湖倉平臺（Data Lakehouse）<span style="color:#FF0000;">，</span>將既有的資料儲存分析架構，結合雲端技術，集中雲端數據單位提供的數據分析和視覺化資訊圖表產製需求，同時加強雲端服務應用管控。</p> <p>另外，國泰金控也說明，國泰金控雲端湖倉平臺將參考集中式地端湖倉平臺應用模式，讓前端應用透過雲端數據中臺介接雲端湖倉平臺。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>日本主要地方銀行開始進行核心系統上雲，預計2027年正式啟用</h3> <p>日本靜岡銀行在去年12月宣布「雲端優先」計畫，打算集團擁有的200套系統逐步遷移至公雲，核心系統也包括在內。近日，日本靜岡銀行宣布，已完成核心系統上公雲的技術驗證，將正式啟動核心系統上雲工程，預計在2027年正式運作。</p> <p>其實。靜岡銀行剛在2021年啟用開放式架構的核心系統，不到三年，又快速投入核心系統上公雲的大型IT計畫。這間銀行願意大膽投資核心轉型，源自更大的戰略目標。去年中，為了因應不斷變化的社會和產業環境，靜岡銀行宣布啟動中期經營計畫，而數位轉型也被列入五大戰略目標。走向公雲正是靜岡銀行數位轉型的重要策略方向。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險AI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span></h3> <h3>澳洲保險巨頭Suncorp運用生成式AI開發框架服務打造GAI應用</h3> <p>澳洲保險公司Suncorp近日在一場活動中表示，內部打造了一款生成式AI助手SunGPT，協助超過一千多名保險業務員快速查詢理賠和保單等資訊。並且，Suncorp正在開發20個生成式AI應用，目標是在今年將應用整合至保險業務流程中。</p> <p>Suncorp表示，他們運用了軟體公司提供的生成式AI開發框架服務，能快速運用和管理多個雲端大廠的LLM服務。不過，在開發生成式AI應用的過程中，Suncorp花費許多時間在準確性、擴展性、效能和成本四者間找尋適當平衡。Suncorp技術長Kranthi Nekkalapu提到，嘗試降低GAI服務成本時，準確性可能會因此降低，然而，追求高度準確，恐無法讓GAI應用更即時回覆。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位貨幣 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span></h3> <h3>香港金管局啟動數位港元計畫第二階段，聯合11間跨產業公司在正式環境中實驗數位貨幣</h3> <p>香港金管局近日啟動數位港元先行計畫第二階段，將由11間跨產業公司合作實驗數位港元和代幣化存款應用，瞭解個人和企業使用數位貨幣時的商模和技術可用性。金管局表示，在第二階段中，11間參與企業將在三大場景實驗數位港元和代幣化存款，分別是代幣化資產結算、可程式化和離線支付，同時驗證商模和技術可行性。預計在明年底前公布計畫成果。</p> <p>香港金管局在2022年11月推動數位港元先行計畫第一階段。當時，金管局開發數位港元沙盒，供計畫參與企業快速進行概念驗證、開發和測試應用。不過，第一階段僅開放小規模測試，到了第二階段才開始在正式場景中進行較大規模的測試。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掌紋支付 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微信支付 </span></strong></span></h3> <h3>中國微信支付將掌紋支付擴大至澳門，但僅限中國用戶使用</h3> <p>中國微信支付近日宣布在澳門推出掌紋支付，用戶只須在設備上刷掌，就能完成付款。為了鎖定中國遊客，微信支付首先在賭場、度假村，和表演場地等60間店家推出掌紋支付。騰訊表示，未來計畫將這項技術擴大至澳門更多場景。不過，澳門的掌紋支付功能，必須用中國境內註冊的錢包帳戶，來啟動才能使用。</p> <p>微信支付在去年五月開始在中國境內推出掌紋支付，目前，掌紋支付已應用在中國的零售、餐飲、交通、充電器租借等場景。例如，在廣東，就有超過1,500家便利商店支援掌紋支付。</p> <h3>其它重要Fintech新聞</h3> <ul> <li>隨著監理機構不斷加強監管銀行在金融科技上的合作，美國多間銀行接連宣布退出BaaS業務</li> <li>Google錢包宣布將支援一卡通 iPASS</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年9月</p> <p></p> </div></div></div>
2024/9/24 11:54作者李昀璇https://www.ithome.com.tw/news/165152
Sam Altman宣稱智慧時代的特徵為無比繁榮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI的創辦人暨執行長Sam Altman周一（9/23）張貼一篇以「智慧時代」（<a href="https://ia.samaltman.com/" target="_blank">The Intelligence Age</a>）為名的文章，指出人們正站在由運算、能源及意志舖設的智慧時代的路口，AI將能協助人們創造任何想像得到的東西，孩子會擁有不同學科的多個虛擬教師，智慧時代的明確特徵就是無比繁榮。</p> <p>Altman這篇文章無疑是在描繪AI的樂觀及遠大的前景，適逢OpenAI正展開新一輪的<a href="https://www.ithome.com.tw/news/164742" target="_blank">募資</a>，且根據紐約時報（The New York Times）的<a href="https://www.nytimes.com/2024/09/12/business/dealbook/openai-valuation-artificial-intelligence.html" target="_blank">報導</a>，OpenAI此次的增資目標是讓該公司的市值達到1,500億美元。根據Companies Market Cap的<a href="https://companiesmarketcap.com/" target="_blank">資訊</a>，1,500億美元的市場已名列全球前一百大企業。</p> <p>此外，該市值讓OpenAI接近迪士尼（Walt Disney）的1,686億美元，Morgan Stanley的1,657億美元，匯豐銀行（HSBC）的1,647億美元，以及AT&T的1,540億美元，並超過拼多多的1,420億美元，Honywell的1,323億美元與安聯（Allianz）的1,279億美元。</p> <p>Altman認為，人類從石器時代一路進步到農業時代及工業時代，現在正要踩進智慧時代。在這個新時代，每個人都可擁有一個由不同領域之虛擬專家組成的AI團隊，創造可想到的任何東西；小孩將擁有不同學科的虛擬教師，提供個人化的教學；AI還能用來改善醫療保健，建置任何類型的軟體。</p> <p>Altman說，未來的光明連現在的筆墨都難以形容，但智慧時代的明確特徵便是無比繁榮。然而，若想將AI交到更多人的手中，需要降低運算成本，而且讓它唾手可及，但這需要大量的能源與晶片，倘若無法建立足夠的基礎設施，AI將成為非常有限的資源，並成為富人的工具。</p> <p>對於AI今日的成就，Altman認為是深度學習技術發揮了作用，並說人們有機會在數千天內擁有超級智慧（Superintelligence，指的是AI能力遠遠超越人類），就算需要更長的時間，他也有達到Superintelligence的信心。</p> </div></div></div>
2024/9/24 14:34作者陳曉莉https://www.ithome.com.tw/news/165155
美國商務部提議禁止中國與俄羅斯的連網汽車硬體及軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（Department of Commerce，DoC）周一（9/23）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/09/23/fact-sheet-protecting-america-from-connected-vehicle-technology-from-countries-of-concern/" target="_blank">提出了「法規命令訂定通知」</a>（Notice of proposed rulemaking，NPRM），為了保護美國不受特定國家連網汽車技術的危害，將禁止來自中國與俄羅斯的連網汽車硬體及軟體，特別是在中國汽車製造商企圖主導全球連網汽車市場的今日，若通過，軟體禁令將於2027年生效，硬體禁令則會在2029年生效。</p> <p>DoC說，連網汽車有許多好處，從提高行車安全到協助司機導航，但它們也帶來了日益增加的新威脅，像是控制車輛的移動，蒐集敏感的司機與乘客資料，蒐集自駕車配備的攝影機及感應器資料，並記錄詳細的美國基礎設施資訊。</p> <p>商務部認為，有鑑於連網汽車上的某些軟體及硬體能夠捕獲有關地理位置或關鍵基礎設施的資訊，替惡意行為者提供破壞車輛或基礎設施的機會，特別是來自中國及俄羅斯的連網汽車中所使用的某些技術構成了特別嚴重的威脅，因而提議禁止進口或銷售源自中國或俄羅斯的實體設計、開發、製造或供應的某些連網汽車系統。</p> <p>具體而言，此一規定涵蓋的是用來連結汽車及實體世界的汽車連網系統（Vehicle Connectivity Systems，VCS），涉及利用藍牙、行動網路、衛星或Wi-Fi模組連網的系統及零件，以及不需要人類司機的自動駕駛系統（Automated Driving Systems，ADS）。</p> <p>因此，採用VCS與ADS軟體的連網汽車將會被限制進口或銷售，進口VCS硬體設備同樣也會受限。</p> <p>目前此一NPRM必須先經過大眾討論及意見審查，才能成為正式規則。倘若通過，那麼對軟體的禁令將在2027年生效，硬體禁令則會在2029年生效。</p> </div></div></div>
2024/9/24 14:54作者陳曉莉https://www.ithome.com.tw/news/165157
Telegram變更隱私政策，同意交出用戶IP及電話予執法機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人暨執行長Pavel Durov周一（9/23）透過自己的頻道宣布，為了進一步扼止不法份子濫用Telegram Search，已更新其服務條款及隱私政策，倘若違反該平臺的政策，將會把用戶的IP位址及電話號碼提交給擁有有效法律要求的執法機構。</p> <p>Durov上個月在法國被<a href="https://www.ithome.com.tw/news/164687" target="_blank">逮捕</a>，並以500萬歐元<a href="https://www.ithome.com.tw/news/164740" target="_blank">交保</a>。外傳他是因為拒絕交出嫌犯資料，才被指控共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM）。</p> <p>本周Durov指出，Telegram上的搜尋（Search）是個很強大的功能，它允許使用者尋找公開的頻道及機器人，然而，卻有人濫用該功能來販售非法商品，違反該平臺的服務條款。該平臺的管理員在過去幾周已利用AI來強化Search的安全，於搜尋結果中移除了所有有問題的內容，此外，為了進一步扼止這些濫用Telegram Search的不法份子，Telegram亦更新其服務條款及隱私政策，闡明只要執法機構取得了法院命令，同時確定用戶違反該平臺的規定，那麼就會交出用戶的IP位址及電話號碼。</p> <p>Durov還強調，將在全球市場採用一致的服務條款與隱私政策。</p> <p>Telegram是在隱私條款的8.3.條中提到執法機構，<a href="https://telegram.org/privacy?setln=fa" target="_blank">新版</a>清楚地寫著，倘若Telegram收到有效的命令，確認用戶涉及犯罪行動且違反Telegram服務條款，那麼Telegram將會分析其命令，並可能揭露用戶位址及電話號碼予執法機構。</p> <p>而在<a href="https://web.archive.org/web/20240915161210/https://telegram.org/privacy?setln=fa" target="_blank">舊版</a>中的8.3條，儘管也說倘若收到確認用戶為恐怖份子嫌犯的法院命令，Telegram可能會交出用戶IP位址與電話號碼，但後面補了一句「迄今此事從未發生過」（So far, this has never happened. ）</p> <p>看起來Durov已經同意把CSAM嫌犯資料交予法國政策，而且新政策也將適用於其它市場。</p> </div></div></div>
2024/9/24 12:53作者陳曉莉https://www.ithome.com.tw/news/165154
DirectX 12支援開源SPIR-V著色器，進入跨平臺繪圖API新時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/directx-adopting-spir-v/" target="_blank">微軟宣布</a>從著色器程式開發標準Shader Model 7開始，逐步以SPIR-V取代DXIL，而這代表著DirectX 12後將走向開放標準的道路。微軟和Khronos、Google等組織合作，計畫透過這項改變推動GPU程式設計創新，同時加速新硬體功能的普及，進一步提升開發者的生產力。該政策將分數年逐步實現，確保開發生態系的平穩過渡。</p> <p>過去Direct3D使用的是以LLVM為基礎的DXIL格式，支援各種著色器功能，諸如光線追蹤和工作圖（Work Graph）等，而現在微軟決定新增採用SPIR-V開放標準。SPIR-V是一個由Khronos所開發的二進位中介表示格式，用來編譯和執行GPU上著色器和計算程式，其支援諸如Vulkan和OpenCL等多種繪圖API。</p> <p>SPIR-V具備良好的可擴展性，同時也支援新的硬體和技術，已是現代GPU程式廣泛使用的標準。微軟透過讓Direct3D支援該開放標準，統一著色器的中介格式，這將讓開發者可以更輕鬆地利用現有工具和技術，進行跨平臺GPU程式開發。</p> <p>微軟計畫推出專屬SPIR-V環境，來支援Direct3D現有與未來的著色器程式開發。新功能會透過SPIR-V擴充實現，確保開發者在技術過渡階段，仍然可以使用Direct3D原本所提供的靈活性和功能。同時，微軟也將提供工具，讓SPIR-V和DXIL兩種格式能夠雙向轉換，藉由漸進式過渡政策，確保開發者能夠平穩適應新格式，並且逐步更新工具和驅動程式。</p> <p>對於使用AgilitySDK開發Direct3D應用程式的開發者，這項轉換不會帶來太多工作流程改變，不過官方指出，開發用來編輯和操作編譯後著色器的工具開發者，就可能會因為技術轉換，而需要對工具進行變更和調整。</p> <p>由於SPIR-V核心設計具有良好的可擴展性，因此可以更好地支援GPU API新功能，透過統一標準中介格式，開發者無論是在Direct3D還是其他繪圖API，都能夠更快地採用新功能。而對硬體供應商和微軟本身來說，也可以將資源投入在差異化功能開發，而不需要重新建構受廣泛支援的基礎功能。</p> <p>這項政策的實施將持續數年，微軟希望及早公開相關資訊，使開發者和其合作夥伴有時間準備，以順利應對接下來的技術轉換工作。</p> </div></div></div>
2024/9/24 08:17作者李建興https://www.ithome.com.tw/news/165143
【資安日報】9月23日，中國聲稱遭我國成立的駭客組織攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近半個月來中國駭客鎖定臺灣的資安事故頻傳，然而今天中國卻聲稱，他們遭到我國成立的駭客組織「Anonymous64」攻擊的情況，並公布其中3名成員的姓名及照片。</p> <p>然而從中國提出的指控，他們並未提出為何該組織與資通電軍有關？國防部發布的公開聲明當中，也僅有駁斥相關指控不實，後續的情況有待進一步觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165129"><strong style="font-size: 22px;">中國聲稱遭我國成立的駭客組織攻擊，資通電軍表示並非事實</strong></a></p> <p>今天（9月23日）中國國家安全部在中國中央電視臺網站發布文章指控，名為Anonymous64的駭客組織，針對中國及港澳地區頻繁發動網路攻擊，企圖取得企業組織的入口網站、電子看板、網路電視的控制，上傳抨擊中國政府政治制度及執政方針的內容，他們調查後認為，這些駭客的身分，是隸屬我國國防部資通電軍旗下的「網路戰聯隊網路環境研析中心」，他們公布3名資通電軍人員姓名和照片，揚言已進行立案調查。</p> <p>對此，隸屬於我國國防部的軍聞社發布報導駁斥這項指控，資通電軍表示，他們的主要任務是負責國防資訊及網路安全維護，這些指控並非事實。中國持續透過軍機、軍艦，以及網路攻擊等手段侵擾臺灣，才是破壞區域和平的始作俑者。</p> <p><a href="https://www.ithome.com.tw/news/165123"><strong style="font-size: 22px;">駭客組織TeamTNT鎖定CentOS主機植入Rootkit</strong></a></p> <p>約在4到5年前出現，專門鎖定雲端環境下手從事挖礦的駭客組織TeamTNT，傳出近期再度出沒的跡象，這次目標是執行CentOS作業系統的虛擬專屬伺服器（VPS）。資安業者Group-IB指出，於2022年消聲匿跡的TeamTNT，去年疑似再度從事活動的情況，駭客先是透過SSH連線存取目標主機，透過暴力破解來得到初始存取的管道，得逞後上傳了惡意指令碼。</p> <p>值得留意的是，這波攻擊駭客試圖阻止伺服器管理員進行復原。駭客先是使用chattr命令來鎖定、控制檔案屬性，接著，他們透過另一項工具tntrecht停用chattr，阻止管理員復原這些已竄改的檔案屬性。接著，這些駭客也鎖定該系統，並阻止管理員重開機、關機，或是恢復存取權限。最終他們使用後門帳號及授權金鑰，而能夠透過SSH來存取受害主機。</p> <p><a href="https://www.ithome.com.tw/news/165120"><strong style="font-size: 22px;">駭客謊稱GitHub的專案有資安漏洞，想趁機散布竊資軟體Lumma Stealer</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，有人鎖定經常使用GitHub、維護或追蹤特定開源專案的開發人員，寄送釣魚郵件來散布竊資軟體Lumma Stealer。攻擊者使用惡意GitHub帳號，在目標儲存庫通報新問題（issue），聲稱該專案存在安全漏洞，誘騙想要協助處理的用戶存取冒牌的GitHub Scanner網域，一旦使用者照做，電腦就有可能被植入惡意軟體。</p> <p>這起事故被揭露的原因，是該新聞網站接獲許多GitHub用戶反映，他們表示，一直收到自己參與的專案電子郵件通報，要求他們去處理儲存庫的資安漏洞，並存取github-scanner[.]com進一步了解相關資訊。</p> <p>一旦使用者依照信件的說明存取該網站，網頁就會要他們進行圖靈驗證，要依照指示證明他們是人類。假如使用者照做，電腦就會執行駭客透過網站後臺貼上的惡意程式碼，下載執行檔l6E.exe，Bleeping Computer經過分析，確認該執行檔就是竊資軟體Lumma Stealer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/email-min.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/email-min.jpg" style="width: 580px;" /></a></p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=63920&SPOKE_DATE=20240923&COMPANY_ID=6104"><strong style="font-size: 22px;">上櫃IC設計業者創惟部分資訊系統遭遇駭客攻擊</strong></a></p> <p>今天上櫃IC設計業者創惟於股市公開資訊觀測站發布重大訊息，表示他們有部分系統遭到網路攻擊，他們隨即啟動防禦復原機制，並邀集外部資安公司及技術專家協同處理，資訊系統陸續恢復正常，他們評估，這起資安事故對公司營運無重大影響。</p> <p>這起事故的發現，起因是他們偵測到網路傳輸異常，後續追查發現部分伺服器遭受駭客攻擊，但該公司是否遭遇勒索軟體攻擊？他們並未進一步說明。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=233037&SPOKE_DATE=20240922&COMPANY_ID=6803"><strong style="font-size: 22px;">上櫃綠能環保業者崑鼎部分資訊系統遭遇網路攻擊</strong></a></p> <p>9月21日上櫃綠能環保業者崑鼎發布重大訊息，表示他們有部分資訊系統遭到網路攻擊，但根據初步評估，本次事故對公司營運並未造成重大影響。</p> <p>他們察覺遭到網路攻擊的原因，是因為網路傳輸出現異常，在資安單位啟動防禦復原機制，並尋求外部資安業者及技術專家協同處理，資訊系統已陸續恢復。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dell-investigates-data-breach-claims-after-hacker-leaks-employee-info/">Dell驚傳1萬名員工資料流入駭客論壇</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="http://go.recordedfuture.com/hubfs/reports/cta-2024-0917.pdf">駭客組織Marko Polo藉由社交網站平臺散布竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/a-new-trickmo-saga-from-banking-trojan-to-victims-data-leak">安卓木馬TrickMo假冒Google Play更新名義植入受害手機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/abusing-entra-id-administrative-units/">身分驗證系統Entra ID管理功能可被濫用，攻擊者有機會能持續於受害組織活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://therecord.media/us-hits-intellexa-sanctions-treasury">美國再度制裁商業間諜軟體業者Intellexa</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165119"><strong style="font-size: 22px;">微軟準備棄用Windows Server Update Services</strong></a></p> <p>微軟產品經理Nir Froimovici表示，有鑑於他們已透過雲端來簡化Windows的管理，因此他們決定棄用Windows Server Update Services（WSUS），將不再開發新的WSUS功能，建議IT人員遷移到雲端工具，例如：Windows Autopatch、Microsoft Intune、Azure Update Manager。不過，該公司強調，即將上市的Windows Server 2025，仍會提供WSUS。</p> <p>此舉引來了不少IT人員的不滿，有人說透過雲端管理可能不適用於某些環境，例如那些為了安全而採用隔離網路的系統；也有人說WSUS非常簡單，但Azure相當複雜，會加重IT人員的管理負擔；還有人批評微軟只是希望企業組織付費訂閱雲端服務。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165063"><strong>【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</strong></a></p> </div></div></div>
2024/9/23 18:06作者周峻佑https://www.ithome.com.tw/news/165136
全球電子郵件系統安全亮紅燈！網擎解析郵件伺服器軟體資安危機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子郵件是眾多資安廠商公認最主要的網路攻擊起點，從2023年下半到現在，就有多起相關的資安事故與漏洞濫用事件躍上媒體版面，知名的郵件伺服器與郵件安全閘道陸續傳出災情，像是：Microsoft 365雲端服務的Outlook Web Access in Exchange Online（OWA），以及Outlook.com（<a href="https://www.ithome.com.tw/news/161017">HPE</a>、<a href="https://www.ithome.com.tw/news/157763">歐美政府</a>），開放原始碼電子郵件系統<a href="https://www.ithome.com.tw/news/162073">Zimbra</a>，<a href="https://www.ithome.com.tw/news/162079">Barracuda郵件安全閘道設備</a>，以及<a href="https://www.ithome.com.tw/news/164097">Cisco郵件安全閘道</a>。</p> <p>對於專營郵件伺服器與郵件安全系統的網擎資訊而言，也深刻體認到資安局勢日趨嚴峻，執行長廖長健在9月11日舉行的Hello World開發者大會首日下午的演講，一開場就有感而發。</p> <p>他表示，網擎目前服務許多重要客戶，雖然實際沒看到大量砲彈槍藥的來襲與血腥衝突，但每一天的資安都處於激烈攻防的戰爭狀態。就算強大如Google、微軟，任何軟體、雲端服務的業者並非百毒不侵，時時刻刻都面臨駭客的威脅。</p> <h3><span style="color:#0000FF;"><strong>電子郵件資安面臨不對稱的作戰態勢</strong></span></h3> <p>「你的敵人看不見、你的敵人不睡覺，總是想方設法、一直要攻破你」，事實上，我們如今已身處在不對稱的作戰局勢，所需因應的資安威脅當中，有許多來自國家級駭客，而這些被稱為「網軍」的攻擊者，現在的組織運作也走向「民營化」，他們不僅輪班進行滲透、發動攻擊，一旦成功侵入還會得到獎金，因此受到的激勵程度是非常強烈的，而且是持續進行的。</p> <p>事實上，國家級駭客攻擊的目標相當多元，包含銀行、關鍵基礎設施、政府機關、廠商，以及企業在內，都面臨這樣的資安威脅。以臺灣的軟體公司而言，大多是中小企業的經營規模，只有幾十個人抵禦，攻擊方卻是幾千人，此時若要做好資安，需要借助一些方法論和概念進行調整，而箇中關鍵不只是資安意識的提升，我們應該鼓勵通報文化、主動共享情資，導入聯防機制，建立正確的資安意識與開發流程。</p> <p>廖長健期勉大家一旦發現自己被駭，一定要勇於解決問題，而非掩蓋，因為如果不及早處理，我們無法知道後續的影響有多深遠，例如，有可能會一直遇到資料外洩的狀況。</p> <p>他認為，任何有能力的廠商，都會主動發現自己的弱點，並且鼓勵他們的客戶趕快更新，所以他呼籲在座的IT主管，「千萬不要覺得一家公司的CVE（通用漏洞揭露）很多，就認為他們不安全」，相反地，正因為他們有能力找到自己的弱點、勇於及時公布，並且分享情資讓大家趕快更新，也突顯他們負起應有責任的態度。</p> <p>事實上，有些廠商不僅本身沒有能力發布CVE，甚至連自己的弱點被發現、被攻進來都渾然不知，而在這樣的狀況下，多數人應該都無法認同這樣的廠商重視資安、做好資安。因此，如果我們常常接收到廠商願意發出CVE，應該要先肯定他們勇於面對問題與及時更新的舉動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVEDetail-openfind.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVEDetail-openfind.jpg" style="width: 600px;" /></a></p> <p>針對先前發生一連串的郵件雲端服務與郵件安全閘道資安事故，廖長健說明電子郵件為何成為駭客想要攻入的目標。</p> <p>理由是電子郵件是最容易經手處理各種資訊的重要管道，所傳遞的內容未必很機密，但是，攻擊者可以透過郵件了解很多組織的脈絡，以及最近關切的事情，有了這些資訊，能夠進行很多的社交工程，設計出能夠欺騙使用者的東西，所以，攻擊郵件閘道、郵件系統是全世界駭客最喜歡做的事情，而過去這幾個月以來，許多廠商都中招，也包含網擎資訊。</p> <p>他們之所以被盯上，廖長健認為，可能因為攻擊者的最終目標是大型金控公司、一級政府單位、重要的醫院，或是關鍵區域設施，但因為這些企業與機構不斷強化資安，所以駭客不容易攻進單位內部，於是攻擊者把腦筋動到供應商，開始從合作的系統整合廠商、IT維運廠商、軟體供應商著手，希望從中找到破口。除此之外，企業與廠商使用的IT產品與服務，如果本身整合第三方提供的軟硬體元件，像是PHP、Java，以及一些工具，或是攻擊者得知目標單位所用的Linux作業系統版本，有個資安漏洞，而這些歹徒可能就會直接攻擊這些第三方元件，就能夠滲透到供應商內部，最後，並且透過遭駭廠商，而得以侵入企業IT環境。</p> <p>基於上述理由，企業與組織不只是自己要防得好，利害關係人也要守好，因為攻擊是非常多面向的。廖長健表示，對於網擎資訊而言，在供應鏈攻擊的對象當中，他們成為駭客目標的可能原因，一方面在於本身扮演供應商、解決方案公司的角色，另一方面是本身採用第三方軟體元件，駭客從這個層面尋找漏洞、乘虛而入，後續這些存在漏洞濫用風險，甚至已被滲透或竄改的元件，若不慎被包入網擎的軟體產品或雲端服務，就可能成為破口。因此，他們必須要做到許多防護，而且持續提升資安。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind%20Supply%20Chain%20Security.jpg" style="width: 600px;" /></p> <p>而在實際資安事故的因應能力上，廖長健表示，今年截至目前為止，<a href="https://www.openfind.com.tw/taiwan/resource.html">網擎總共發出9次資安通報</a>，其中有60％是低風險漏洞，多為跨站指令碼（XSS）類型的弱點，40％為高風險漏洞，而在這些弱點中，專屬於網擎產品本身的漏洞占了一半，其餘是他牌郵件伺服器或郵件安全閘道共通的弱點：第三方元件的問題。</p> <p>廖長健提到此事，顯然是為了藉機駁斥市場傳言，他強調，網擎產品本身的高風險漏洞只占20％，而且，很多都是他們主動發現、主動更新的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Openfind 2024-CVE-analysis-2024-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind%202024-CVE-analysis-2024-09.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>難阻止駭客取得產品，從中可研究本體與第三方元件弱點</strong></span></h3> <p>面對外界質疑攻擊者為何熟悉網擎的系統，廖長健無奈地解釋軟體開發商目前面臨的產品資安挑戰局面，相當嚴峻。</p> <p>他說，現在想要拿到軟體產品的原始碼不難，無須透過內部人員或離職員工洩漏。首先，對於商用軟體廠商而言，可經由許多管道申請測試版與操作文件，例如，發出電子郵件或透過經銷商索取，網擎過去都有盡力把關，但仍無法完全杜絕；攻擊者一旦取得套裝軟體，即可設置測試環境，查看當中使用的第三方元件與版本，此處若具有已知漏洞，他們能就設計出可濫用此漏洞的檔案進行滲透。</p> <p>第二個取得原始碼的方式，是經由逆向工程反組譯而成。網擎的經驗是接到資安廠商的通報，他們在長期監測國家級駭客攻擊活動的過程中，發現網路釣魚信件涉及的惡意程式，命名與網擎資訊的英文名稱Openfind有關，因此他們經由某種管道取得網擎的程式進行逆向工程，而在該公司的通報是以他們剖析出來的原始碼，指出網擎某款軟體存在的資安漏洞，所以有可能被駭客利用。廖長健表示，雖然資安廠商以此種方式取得的原始碼，變數名稱與網擎這個產品所用的不同，但程式邏輯是接近的，就能根據這些資訊推斷弱點所在。因此，對於軟體開發廠商而言，在用戶端環境執行的已編譯的雙位元檔，如果本身沒有加上嚴密防護，具有足以抵抗逆向工程的能力，程式原始碼是能夠被反組譯出來。而且，既然資安廠商能夠這麼做，其實，也代表駭客可以藉此找到可乘之機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-Comericial%20Software%20Cybersecurity%20Disadvantages1.jpg" style="width: 600px;" /></p> <p>第三種探測產品使用間隙的方式，也是在測試環境安裝套裝軟體之後能進行的，那就是從作業系統層級的處理程序追蹤，以Linux環境而言，可經由strace的指令查看目前各個應用程式使用的系統呼叫，進行逐步分析，了解每支處理程序開啟的檔案與檔案所在位置，或是連接的網址，有了這些資訊，攻擊者能夠考量惡意軟體酬載適合置入的方式與途徑，找到能夠偷偷夾帶或呼叫的管道，然後再將這些內容放到指定位置、伺機而動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-strace-2024-09.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>國家級駭客手法更專精、能組合多個弱點，又能自動打擊，令人防不勝防</strong></span></h3> <p>關於臺灣軟體供應商之所以無法擋住國家級駭客攻擊，除了人力規模懸殊與具有強烈動機的落差，廖長健認為有三個因素必須克服。首先，國家級駭客滲透手法更為高超，而且是持續、專精投入研究攻擊目標的弱點；第二是不只是利用單一、嚴重度高的弱點，攻擊者也懂得將多個低風險漏洞組合起來運用，形成具有高度危險的漏洞濫用手法；第三是打造工具，降低操作技術門檻之餘，駭客也能發動自動化攻擊，一口氣侵襲多個目標，營造「遍地開花」的現象，而非一步步滲透、投放惡意軟體、再進行後續的調度指揮，對於軟體供應商而言，如果產品資安沒有顧好，採用客戶越多，一旦遭遇這類攻擊，同時要處理的資安事件可能也會很多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-Comericial%20Software%20Cybersecurity%20Disadvantages2.jpg" style="width: 600px;" /></p> <p>想要打造具有強大防護力的軟體產品，對於開發人員而言，有個先天的劣勢，那就是必須考量到運作效能而不能毫無限制地持續進行安全性處理。廖長健舉出的例子是JavaScript的過濾，為了避免遭到跨站指令碼的攻擊，軟體產品會過濾所有輸入的JavaScript，為了確保效能，會進行32次清洗，然而，對於攻擊者而言，當他們取得廠商的產品、建置使用環境之後，可以不厭其煩地循環測試，觀察究竟要過濾到多少次才停手，一旦他們找到這個處理上限，就可以設計出33層的惡意酬載，應付完32次指令碼過濾，下一次就能引發跨站指令碼攻擊，設法溜進軟體產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind%20script%20santization.jpg" style="width: 600px;" /></p> <p>至於組合多個漏洞的做法，廖長健提到的一種模式，是設法讓輸入夾帶的惡意酬載躲過第一道檢查，而順利進到內部儲存的設定檔，而且攻擊者知道檔案存放位置，當另一支程式載入這個設定檔時，開發人員可能以為這是內部資料而疏於檢查，執行之後觸發惡意酬載要做的事情、拿到系統權限，甚至形成命令注入攻擊（command injection）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-vulnerabilities%20combination%20threat.jpg" style="width: 600px;" /></p> <p>基於上述提及的軟體產品資安態勢，廖長健認為，作為防禦方，要有三個基本的前提。首先，攻擊者已有產品完整實驗環境，也就是前面提到，可透過合法管道、冒名欺瞞等方式，下載測試版。第二，攻擊者可以輕易找到目標伺服器，如果有鎖定的對象，對方要掌握這些IT基礎架構的所在位置，並不困難。</p> <p>第三，攻擊者已有目標環境的使用者帳號。由於在不同線上服務與系統使用重複密碼的情形相當普遍，再加上網站資料外洩事件頻傳，以及在公共場所上網卻沒用VPN防護等情況，導致帳密被側錄，駭客都有能力取得這些帳密，廖長健表示，我們要假設當攻擊者手上有使用者帳密的時候，產品資安還能防得住。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-Comericial%20Software%20Cybersecurity%20defense%20bottomline.jpg" style="width: 600px;" /></p> </div></div></div>
2024/9/23 15:45作者李宗翰https://www.ithome.com.tw/news/165122
中國聲稱遭我國成立的駭客組織攻擊，資通電軍表示並非事實
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天（9月23日）<a href="https://news.cctv.com/2024/09/23/ARTIvJFrhmdCf4SdWR1yVfVH240923.shtml">中國國家安全部在中國中央電視臺網站發布文章</a>指控，名為Anonymous64的駭客組織，針對中國及港澳地區頻繁發動網路攻擊，企圖取得企業組織的入口網站、電子看板、網路電視的控制，上傳抨擊中國政府政治制度及執政方針的內容，他們調查後認為，這些駭客的身分，是隸屬我國國防部資通電軍旗下的「網路戰聯隊網路環境研析中心」，他們公布3名資通電軍人員姓名和照片，揚言已進行立案調查。</p> <p>對此，隸屬於我國國防部的軍聞社發布報導駁斥這項指控，<a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=b22b5cbd-ed1b-4280-93d6-d8782b9b69cb">資通電軍表示</a>，他們的主要任務是負責國防資訊及網路安全維護，這些指控並非事實。中國持續透過軍機、軍艦，以及網路攻擊等手段侵擾臺灣，才是破壞區域和平的始作俑者。</p> <p>根據<a href="https://twitter.com/64anonymou79920">Anonymous64的X社群網站內容</a>，該組織從去年6月設置X帳號，約有2,700個用戶訂閱此帳號發布的動態消息，目前約有70篇貼文，初期內容有不少與六四天安門事件相關，近期推文涉及中國政治時事。其中，有部分貼文內容，是關於該組織聲稱攻擊特定組織、學校表達訴求得逞的訊息。但究竟如何認定Anonymous64是聽令臺灣資通電軍的駭客組織？中國國家安全部並未進一步說明。</p> </div></div></div>
2024/9/23 17:25作者周峻佑https://www.ithome.com.tw/news/165129
Container快報第159期：K8s終於完成150萬程式碼大瘦身，Docker十一月大漲價，IBM買Kubecos…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/8/1～9/20 精選容器新聞：</strong></p> <p><strong>#漲價 #11月生效<br /> <span style="color:#0000FF;">Docker統一各產品線訂閱方案同時大漲價，最多漲80%，11月中生效</span></strong></p> <p>最近Docker公司宣布旗下產品訂閱方案有重大調整，多項產品整合到單一訂閱方案中，也因此調整價格，部分功能還將引入按用量計價的定價模式，企業得更精打細算。包括Docker Desktop、Docker Hub、Docker Build Cloud、Docker Scout及Testcontainers Cloud等工具都將整合到單一訂閱方案中。另外，也新增了多項功能，包括強化軟體供應鏈安全的Docker Scout持續漏洞分析，結合原生ARM和AMD雲端建置工具的Docker Build Cloud，最多加快建置速度達39倍，另外，Testcontainers Cloud也新增自動化測試功能。</p> <p>Docker Pro年度方案的每月價格從5美元提高到9美元，漲幅80%，Docker Team年度方案則從每位使用者每月9美元，漲價至15美元，漲幅達66.67％，而Docker Business價格維持不變。目前仍有免費Docker個人版，但取消了免費的Team版本。上次漲價是2022年10月，當時Docker Team方案上漲約28.57％，Business方案上漲約14.29％，不到兩年，Docker公司再次大漲價。隨著新價格方案公布，Docker Hub儀表板也新增下載量圖表，讓企業可以了解下載了多少資料量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker%E7%94%A8%E9%87%8F%E5%84%80%E8%A1%A8%E6%9D%BF-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Docker.jpeg" /></p> <p><span style="color:#0000FF;"><strong>#程式碼大瘦身 #DRA #GPU<br /> K8s釋出1.31版，終於完成150萬行程式碼瘦身大工程，新增DRA 動態資源分配能彈性調度GPU支援AI訓練</strong></span></p> <p>K8s問世十年，早期許多關鍵程式碼的儲存路徑，分散在五大雲端供應源，包括Google雲、AWS、Azure、OpenStack和vScphere，也內建到許多內建元件中，因此，早在K8s第七版時，K8s專案成員就開始積極的想要將這些涉及特定廠商的路徑從K8s核心程式碼中移除，轉移到外部，來提高核心程式碼對廠商的相依性。</p> <p>但這是一個涉及150萬行程式碼的超大工程，經過了24個版本（以每年四版來推算，至少花了6年），終於在1.31版（代號，轉移了最後一部分的程式碼，也為此延伸出了四大子系統，雲端控制器管理員、API伺服器網路代理、kubelet憑證供應商外掛、儲存外掛搬遷到CSI。K8s核心程式碼移除了150萬行程式碼之後，二進位檔因此大幅瘦身了40%。從1.31版開始，K8s核心終於成為一個完全廠商中立的平臺，也更容易與各種不同的雲端供應商整合。除了上述四大子系統之外，K8s雲端供應商工作小組實現這個里程碑之後，下一個目標是優化K8s對混合環境的支援，包括跨私雲和公雲的叢集運作，讓異質環境整合更簡化，另外要建立一個可以涵蓋更多雲端供應商的測試框架。</p> <p>除了大瘦身之外，1.31版有一項重要的新特色是新增了Dynamic Resource Allocaiton（動態資源分配，簡稱DRA）的API，1.31版是第一個支援這項功能的版本。可以透過API來請求和共享跨不同Pod叢集中的容器，而且是一個通用資源的調度工具，可以調度各種常見硬體資源，包括了GPU或是各種網路加速硬體。可以使用DRA來調度GPU資源，甚至快速因應不同工作負載需求來分配所用的硬體GPU支援，有助於因應AI模型訓練，如大型LLM訓練運算需要的算力調度，提供更多也更彈性的工作負載調度安排。</p> <p><span style="color:#0000FF;"><strong>#GenAI開發 #Tanzu<br /> 雲原生開發平臺Tanzu推出10新版，內建Spring AI開發框架要搶GenAI開發需求</strong></span></p> <p>最近，博通發表了雲原生開發框架Vmware Tanzu的第10版，最大特色是新增了一套AI解決方案，包括GenAI應用開發框架Spring AI的支援，提供Java API來存取多種LLM模型。也推出了一款Java打造的AI中介軟體，可串接上百款開源或商用LLM，也能控管對這些模型的存取。AI中介軟體其中一項特色是提供了虛擬金鑰功能，可以建立一套通用的角色權限控管，按角色、團隊來限定他們所能使用的LLM模型。這套AI解決方案也提供了一項模型與App評估功能，可用來量測和觀察GenAI應用和模型的行為，來評估成效和準確度。</p> <p><strong><span style="color:#0000FF;">#容器管理VM #OpenStack<br /> 紅帽正式推出OpenShift上的OpenStack服務，可直接管理原生OpenStack服務的Pod叢集</span></strong></p> <p>以VM工作負載管理為主的OpenStack，這幾年持續往容器管理架構靠攏，除了內建容器管理能之外，紅帽容器管理平臺OpenShift 去年發表了OpenStack服務的叢集管理功能預覽版，在今年8月底正式推出。這項功能可以在容器管理環境中，提供OpenStack工作負載，可供企業以實體機器部署的OpenStack服務，轉移到容器環境中，不用改變原有OpenStak運算節點。轉移到OpenShift後，可以用來提高OpenStack節點的擴充性，也能將OpenShift的可觀察性機制，整合到OpenStack節點中，來強化混合容器和虛擬機器混合架構的透明度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenStack%20on%20OpenShift%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" /></p> <p><span style="color:#0000FF;"><strong>#容器安全 #服務網格<br /> 服務網格專案Linkerd釋2.16新版，新增IPv6支援和零信任稽核模式，可紀錄但不阻擋低風險的存取行為</strong></span></p> <p>距離前一版發布才半年，服務網格專案Linkerd很快又釋出2.16新版，這個版本也有不少新功能。包括新增了IPv6的支援，可以支援單用IPv6或混用IPv4/IPv6的K8s叢集。另外，Linkerd的零信任授權政策機制，也新增了稽核模式（Audit mode），來強化對於服務網格間網路流量的控管。Linkerd的SideCar設計，原本就可以採取預設拒絕的微分區控管政策，來建立零信任模式的控管邊界，來強化K8s叢集間的網路安全。新增加的稽核模式，可以對違反零信任政策的行為，採取留下Log紀錄但不禁止的做法，可以讓零信任架構多了一種「低風險行為追蹤」的控管選擇。2.16版也增加了更多路由矩陣監測能力，例如可以紀錄每一趟路由的成功率，嚴懲。 </p> <p><span style="color:#0000FF;"><strong>#OSX映像檔 #Docker<br /> 蘋果以違反著作權，要求75萬人用的Docker-OSX映像檔下架</strong></span></p> <p>8月底，蘋果以侵犯著作權為由，要求Docker公司下架了Docker Hub賬號下的Docker-OSX儲存庫。這個儲存庫是由代號Sick.Codes的開發人員建立的macOS VM容器，可以讓開發者利用Docker在Windows或Linux平臺上執行macOS，用以測試應用，但不用購買macOS授權，也有安全研究人員用這方法來研究macOS的漏洞。這個儲存庫在GitHub上的專案，超過75萬人下載，獲得4萬多顆星。不過，在8月底，蘋果以違反《數位千禧年版權法案》（Digital Millenium Copyright Act，DMCA）為由要求下移除。Docker出示了代表蘋果的律師事務所的電子郵件，指出蘋果對macOS的安裝器和安裝擁有獨家權利，Docker-OSX的映像檔則是在未經授權下重製蘋果內容，因此而下載。</p> <p><span style="color:#0000FF;"><strong>#容器成本追蹤 #FinOPs<br /> IBM宣布併購K8s成本控管平臺Kubecost，強化FinOps套裝的容器成本管理能力</strong></span></p> <p>瞄準企業K8s維運成本控管需求，IBM最近宣布併購了K8s成本即時監控平臺商kubecost，整合到IBM的FinOps套裝產品中，來搭配跨雲成本控管功能，也能用AI自動優化雲端效能。隨著企業越來越依賴K8s，相關維運成本的控管也成了新的挑戰，Kubecost可以提供容器層級的成本管理，可以從叢集外部，及時瞭解K8s叢集的CPU、記憶體、儲存用量、網路用量的運作成本。也可以針對AP或團隊設定預算、使用模式和告警條件，在預算用完前通知開發和維運團隊。併購後，Kubecost可以將IBM的FinOps成本管理延伸到K8s環境中，提供單一Pod叢集，命名空間或是單一工作負載的成本透明度，作為後續優化調整之用。創立於2019年的Kubecost，目前有超過1萬2千家企業與組織採用。核心所用的K8s成本監控機制則以OpenCost專案開源釋出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/kubecost%E5%84%80%E8%A1%A8%E6%9D%BF-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-kubecost.png" /></p> <p><strong>圖片來源：Docker,Kubecost,紅帽</strong></p> <p><b>更多新聞：</b></p> <ul> <li>AWS打造的新一代K8s自動擴充工具Karpenter發布了1.0版，主打超快啟動，可擴充支援多規格</li> <li>Red Hat修補OpenShift兩項重大層級的漏洞CVE-2024-45496、CVE-2024-7387，這是可供執行任意命令或提高權限的漏洞。</li> <li>Docker Desktop在9月中修補兩項高風險層級的漏洞CVE-2024-8695、CVE-2024-8696，這是可能遭駭客遠端執行任意程式碼的漏洞。</li> </ul> <p>責任編輯：王宏仁</p> </div></div></div>
2024/9/23 17:38作者王宏仁https://www.ithome.com.tw/news/165134
駭客組織TeamTNT鎖定CentOS主機植入Rootkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>約在4到5年前出現，專門鎖定雲端環境下手從事挖礦的駭客組織TeamTNT，傳出近期再度出沒的跡象，這次目標是執行CentOS作業系統的虛擬專屬伺服器（VPS）。</p> <p>資安業者Group-IB指出，於2022年消聲匿跡的TeamTNT，<a href="https://www.group-ib.com/blog/teamtnt/">去年疑似再度從事活動的情況</a>，駭客先是透過SSH連線存取目標主機，透過暴力破解來得到初始存取的管道，得逞後上傳了惡意指令碼。</p> <p>該指令碼先是針對受害主機進行檢查，是否有其他挖礦軟體進駐的情況，然後就會進行一系列的安全配置竄改，這些包含停用防火牆、NMI Watchdog，刪除系統事件記錄，以及更動特定系統資料夾的屬性。</p> <p>另一方面，該指令碼也會確認受害系統是否部署阿里巴巴的資安防護機制aliyun.service，若是偵測到相關的處理程序，駭客就會從阿里雲下載bash指令碼來進行移除。</p> <p>此指令碼還會停用作業系統的防護機制SELINUX、AppArmor，接著再度檢查是否有其他的挖礦軟體處理程序，最終部署名為Diamorphine的rootkit程式，並將受害主機用於挖礦。</p> <p>值得留意的是，這波攻擊駭客試圖阻止伺服器管理員進行復原。駭客先是使用chattr命令來鎖定、控制檔案屬性，接著，他們透過另一項工具tntrecht停用chattr，阻止管理員復原這些已竄改的檔案屬性。</p> <p>接著，這些駭客也鎖定該系統，並阻止管理員重開機、關機，或是恢復存取權限。最終他們使用後門帳號及授權金鑰，而能夠透過SSH來存取受害主機。</p> </div></div></div>
2024/9/23 16:20作者周峻佑https://www.ithome.com.tw/news/165123
GovTech月報第33期：2026到2030政府數位發展方向，以AI提升公務機關效能、改善便民服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0806~0920)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧政府</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><strong><span style="font-size:22px;">數位部揭露下階段數位政府發展方向，用AI提升公務效能及民眾服務</span></strong></p> <p>數位部部長黃彥男近期在數位政府高峰論壇中預告，正規畫下一階段數位政府發展方向，2026年至2030年將大力推動AI導入公務機關，一方面提升公務辦公效率，另一方面提升對民服務。</p> <p>該計畫名稱為智能革新數位領航計畫，分為便捷服務、效能兩方面，便捷服務是打造智慧客服、智慧祕書、智慧助手；智慧客服提供24/7的服務，提高服務的可及性、滿意度；而智慧祕書提供民眾個性化的精準服務，以減少民眾等待及查詢時間；而智慧櫃臺則協助民眾完成業務申辦流程．提高成功率及便利性。</p> <p>效能方面，發展公務人員的AI助手，以提升公務人員處理業務與申辦審查效率，降低人為錯誤、提升決策品質，這5年期間，數位部協助各機關發展各種AI助手，例如資訊業務助手、行政業務助手、特定業務助手，由AI輔助處理公務。</p> <p>在2026年之前，數位部今年底之前規畫政府機關人工智慧應用參考指引，由數位部扮演教練，引導政府機關學習瞭解AI、評估AI工具、專案管理、風險控管、AI治理等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">空氣污染</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>工業區空氣飄臭味擾民，臺南市靠無人機、AI偵測異常排煙加強監控工業區空污</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/61d776f5-f2c3-46d7-8b72-86ac3a9f7265-600.jpg" style="width: 600px; height: 450px;" /></p> <p>臺南市柳營科技工業園區近期因為空氣污染、異味等問題，影響附近里民生活，臺南市環保局加強管制工業區空污問題，運用AI偵測工廠異常排煙情形，運用科技執法加強取締污染。</p> <p>柳科附近里民近期向臺南市政府反映，在入夜後經常出現異味，造成民眾困擾，顯示不肖業者可能利用夜間排放廢氣，而影響附近居民生活。為了改善當地空氣品質，臺南市政府除了派員現場稽查，並在柳科部署39個微型感測器, 分析偵測數據之外，還出動無人機搭配空污感測器，從高空偵測異常排放廢氣情形。</p> <p>市府也在6月架設智慧判煙系統，在制高點架設攝影機，結合AI辨識，來偵測管道異常排煙的情形，當偵測發現異常，派員至現場採樣稽查。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">政府</span></font></strong></p> <p><span style="font-size:22px;"><strong>美國路易斯安那州開始接受比特幣付款</strong></span></p> <p>美國路易斯安那州政府近期宣布，州政府服務開始接受民眾使用加密貨幣等數位貨幣付款，讓民眾可以個人的加密貨幣錢包，來支付州政府服務費用。</p> <p>路易斯安那州政府明確訂定可接受的數位貨幣，包括比特幣、比特幣的閃電網路，還有USD Coin，該州的第一筆加密貨幣支付已經完成。州政府是與Bead Pay合作，透過一項服務可以將民眾支付的加密貨幣轉為以美元存入州政府擁有的帳戶，並以此鼓勵更多的州政府基礎設施採用加密貨幣。</p> <p>路易斯安那州表示，接受加密貨幣支付，讓州政府能在數位時代下，提供民眾更有彈性的付款方式，州政府與Bead Pay的合作，州政府服務接受加密貨幣，優點包括降低詐欺交易，州政府本身不處理加密貨幣，避免加密貨幣價格波動，以及州政府以美元收款。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">垃圾清運</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技</span></font></strong></p> <p><span style="font-size:22px;"><strong>提高垃圾清運效率及安全，臺中市用科技偵測垃圾車容量</strong></span></p> <p>垃圾車每天行駛於街道清運垃圾，仰賴人工方式判斷載運剩餘容量空間，決定車輛行駛趟次，影響垃圾車出勤效率，如果垃圾車誤點，會讓民眾苦等。臺中市環保局近期導入物聯網，偵測垃圾車容量，降低車輛誤點，並偵測車輛意外、危險駕駛等問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%BB%8A%E8%BC%9B%E7%8B%80%E6%85%8B%E5%8F%8A%E5%81%B5%E6%B8%AC%E8%A8%AD%E5%82%99_1-600.jpg" style="width: 600px; height: 353px;" /></p> <p>臺中市環保局指出，過去垃圾車清運主要依靠駕駛的經驗，難以有效管理，如果垃垃圾滿載，可能發生事故，或導致車斗損壞，需要付出高額維修費用，臺中市環保局在數位部協助下導入清運車輛智慧安全管理平臺，在垃圾車斗部署容量偵測器，透過車聯網，即時顯示收運車輛的承載率，通過數據分析預期可能滿載的清運點，作為評估換班或調整收運路線之參考，避免因為滿載影響行車安全、讓民眾苦等。</p> <p>目前共有50輛垃圾車加入，主要為臺中市北屯、大甲、太平區的清運車輛。環保局表示，以北屯的垃圾清運車為例，透過管理平臺蒐集的數據，經過分析，特定的清運點載運量達8成以上，調整清運時間，安排車輛先至焚化廠卸運，再接續路線收運垃圾。此外，垃圾車也配備攝影機，讓安全管理平臺從遠端監看清運作業。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">通訊網路</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位韌性</span></font></strong></p> <p><span style="font-size:22px;"><strong>強化災害或緊急狀態下通訊韌性，數位部聯合電信業者演練緊急應變通訊機制</strong></span></p> <p>為確保災害發生或緊急狀態之下，政府執行防災救災或緊急應變指揮確保通訊系統維持基本運作，數位部近期與內政部消防署合作，演練多重通訊系統，包括非同步軌道衛星，以及「公共安全與救難應變」（Public Protection and Disaster Relief, PPDR）。</p> <p>參考美國、韓國的緊急通訊機制，數位部也協助消防署驗證PPDR應變網路機制，PPDR的概念是政府建置核心網路，並介接電信業者的既有基地臺，當發生重大災難或緊急狀態時，可以調度部分的行動基地臺資源，優先提供救災相關單位使用，確保雙向、穩定的影音通訊。</p> <p>PPDR今年底先在嘉義縣、臺南市、高雄市介接三大電信業者12座基地臺，2025年再增加至6個縣市24座基地臺，以驗證緊急狀況發生時，確保救災通訊優先使用。</p> <p>另外，根據數位部的規畫，非同步軌道衛星方面，今年底將會完成773個非同步衛星終端設備設置，以作為未來發生緊急災難時，指揮系統的緊急應變通訊網路使用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位皮夾</span></font></strong></p> <p><span style="font-size:22px;"><strong>加州政府開放民眾將身分證、駕照存放於Apple Wallet，並用於機場身分檢驗</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-Wallet-drivers-licenses-California-300.jpg" style="width: 300px; height: 420px;" /></p> <p>加州政府積極推動數位身分機制，近期開放該州民眾將身分證、駕照存放於iPhone、Apple Watch裡的Apple Wallet，在特定的民間企業服務，以及TSA運輸安全管理局的檢查站，例如舊金山國際機場、洛杉磯國際機場使用。</p> <p>這項新的措施是加州政府行動駕照（mDl）先導測試計畫的一部分，這項計畫限制150萬名參加者，在宣布開放身分證、駕照存於Apple Wallet之前，上個月，加州政府先開放行動駕照存放在Google Wallet。加州民眾將身分證或駕照存放於手機的數位皮夾，強調簡單、安全、隱私出示身分證件。</p> <p>為確保身分證件與Apple Wallet使用者為同一人，當添加身分證或駕照至Apple Wallet，會要求使用者先拍攝自拍照，並掃描證件的正面及反面，交由加州的車輛監管部門DMV來進行身分驗證。使用時，可以將iPhone或Apple Watch靠近讀取設備，就能出示駕照、加州身分證，在分享身分訊息之前，用戶可以先查看要求授權的身分資訊，整個過程用戶不需解鎖螢幕、出示或交出設備就能完成。身分資料以加密方式存於裝置內，除非用戶授權才能讀取訊息，此外，加州政府也強調蘋果和DMV不會知道使用者何時、向誰出示身分訊息。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">運輸</span></font></strong></p> <p><span style="font-size:22px;"><strong>蘇格蘭當地機場測試用無人機運送醫療用品給偏遠地區</strong></span></p> <p>無人機不受地形限制，無遠弗屆空中拍攝影像之外，英國政府近期在蘇格蘭地區測試利用無人機載運醫療用品，提供偏遠地區的醫療用品需求，以縮短運送醫療用品的時間。</p> <p>蘇格蘭的阿伯丁國際機場近期舉行機場成立90周年慶祝活動，並對外展示以無人機載運醫療用品，測試無人機從愛丁堡經由空中運送到梅爾羅斯，如果以地面運輸約需要花費5小時才能送達，而利用無人機從空中運送只要35分鐘，大大節省運送時間，並且儘快讓偏遠地區獲得所需醫療用品。</p> <p>該測試屬於CAELUS計畫的一部分，該計畫由英國政府補助700萬英磅，以發展航空、無人機產業相關技術及應用。英國政府運輸部門將這項測試形容為技術創新，這項利用無人機空中運輸醫療補給品給偏遠地區的測試，展現下一代航空運輸的新面貌。</p> <p> </p> <p>圖片來源／臺南市政府、蘋果、臺中市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.阿爾巴尼亞政府規畫新的數位身分系統</strong></p> <p><strong>2.加州議會提AI法案，要求開發AI應設計可關閉模型功能</strong></p> <p>資料來源：iThome整理，2024年9月</p> </div></div></div>
2024/9/23 17:12作者蘇文彬https://www.ithome.com.tw/news/165099
駭客謊稱GitHub的專案有資安漏洞，想趁機散布竊資軟體Lumma Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站Bleeping Computer的報導，有人鎖定經常使用GitHub、維護或追蹤特定開源專案的開發人員，<a href="https://www.bleepingcomputer.com/news/security/clever-github-scanner-campaign-abusing-repos-to-push-malware/">寄送釣魚郵件來散布竊資軟體Lumma Stealer</a>。攻擊者使用惡意GitHub帳號，在目標儲存庫通報新問題（issue），聲稱該專案存在安全漏洞，誘騙想要協助處理的用戶存取冒牌的GitHub Scanner網域，一旦使用者照做，電腦就有可能被植入惡意軟體。</p> <p>這起事故被揭露的原因，是該新聞網站接獲許多GitHub用戶反映，他們表示，一直收到自己參與的專案電子郵件通報，要求他們去處理儲存庫的資安漏洞，並存取github-scanner[.]com進一步了解相關資訊。</p> <p>然而，一旦使用者依照信件的說明存取該網站，網頁就會要他們進行圖靈驗證，要依照指示證明他們是人類。</p> <p>若是使用者點選「我不是機器人」的按鈕，網站後臺的JavaScript指令碼就會將惡意程式碼複製到電腦的剪貼簿。</p> <p>接著，網站就會要求使用者按下鍵盤組合鍵來進行「驗證」：先是按下Windows鍵和R開啟執行視窗，然後按Ctrl及V貼上剪貼簿的內容，再按下Enter。</p> <p>假如使用者照做，電腦就會執行駭客透過網站後臺貼上的惡意程式碼，下載執行檔l6E.exe，Bleeping Computer經過分析，確認該執行檔就是竊資軟體Lumma Stealer。</p> <p>值得留意的是，類似的攻擊行動並非首例，一個月前，資安業者Palo Alto Networks旗下威脅情報團隊Unit 42發現<a href="https://x.com/Unit42_Intel/status/1829178013423992948">類似的圖靈驗證網站</a>，同樣要求使用者依序按下特定快速鍵執行惡意程式碼，意圖於受害電腦散布Lumma Stealer；接著Bleeping Computer報導有人假借通報漏洞為由，<a href="https://www.bleepingcomputer.com/news/security/github-comments-abused-to-push-password-stealing-malware-masked-as-fixes/">向GitHub用戶散布該竊資軟體的情況</a>。</p> </div></div></div>
2024/9/23 15:11作者周峻佑https://www.ithome.com.tw/news/165120
微軟準備棄用Windows Server Update Services
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟產品經理Nir Froimovici上周<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-server-update-services-wsus-deprecation/ba-p/4250436" target="_blank">提醒</a>，有鑑於微軟已透過雲端來簡化Windows的管理，已宣布要棄用Windows Server Update Services（WSUS），將不再開發新的WSUS功能。</p> <p>WSUS為免費的企業級Windows更新管理工具，最早可追溯至2005年，它允許IT管理員集中控制要將哪些微軟的更新部署到組織內部的電腦上。根據微軟的<a href="https://learn.microsoft.com/en-us/windows-server/get-started/removed-deprecated-features-windows-server-2025" target="_blank">規畫</a>，自Windows Server 2025開始就不會再積極開發WSUS。Windows Server 2025目前處於預覽階段，正式版預計今年就會出爐。</p> <p>Froimovici解釋，產品生命周期中的棄用（Deprecation）階段，代表一個功能或服務將不再積極開發，不會再接受WSUS的新功能請求，但微軟將會保留現有的功能，也會繼續透過WSUS管道遞送更新，亦將支援任何藉由WSUS發布的任何內容。</p> <p>但Froimovici也強調，在Windows Server 2025中依然可使用WSUS，但微軟建議使用者遷移到雲端工具，包括Windows Autopatch、Microsoft Intune或Azure Update Manager。</p> <p>此舉引來了不少IT人的留言，有人說透過雲端管理可能不適用於某些環境，例如那些為了安全而自網路隔離的系統；也有人說WSUS非常簡單，但Azure並不然；還有人批評微軟只是希望組織付費訂閱微軟的雲端服務。</p> </div></div></div>
2024/9/23 14:46作者陳曉莉https://www.ithome.com.tw/news/165119
【資安週報】2024年9月16日到9月20日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中秋假期間的資安威脅不容小覷，近期有多個攻擊行動被揭露，其中兩起消息值得留意，一是資安業者揭露中國駭客Earth Baxia今年7月曾針對臺灣某個政府機關發動攻擊，值得注意的是，該攻擊利用GeoServer已知漏洞發動攻擊，並植入後門程式EagleDoor；一是發現中國駭客鎖定代管企業網站的IIS伺服器入侵的情形，主要利用特定的網頁應用程式服務來部署Web Shell，而其針對的目標是歐亞地區的企業網站。</p> <p>●臺灣政府機關遭中國駭客Earth Baxia攻擊，資安業者指出是其手法是藉由GeoServer已知漏洞發動攻擊。<br /> ●中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，還會利用惡意程式PlugX、BadIIS來操縱搜尋引擎的排名。<br /> ●惡意程式Amadey竊取帳密資料有新招，利用瀏覽器的Kiosk模式來提升憑證竊取的攻擊成功率。<br /> ●防毒業者Dr.Web驚傳遭入侵，暫時切斷所有伺服器的連線。<br /> ●臺美國防工業會議相關人士遭到鎖定，資安業者Cyble揭露發現相關誘餌檔案，是偽裝PDF檔案的Windows捷徑檔。</p> <p>在漏洞消息方面，本周有多個漏洞利用狀況，我們注意到前不久修補的IE漏洞CVE-2024-43461，出現新的變化——當時微軟指出該漏洞並未被大規模利用，一星期後確認該漏洞在修補之前就被利用。<br /> ●微軟本月修補的Windows MSHTML平臺漏洞CVE-2024-43461，後續發現在修補前已遭Void Banshee駭客組織利用。<br /> ●Progress在8月底修補WhatsUp Gold的漏洞CVE-2024-6670，資安業者警告已出現實際攻擊行動。<br /> ●Ivanti修補Cloud Services Appliance已遭利用的2個零時差漏洞：CVE-2024-8963 、CVE-2024-8190。<br /> ●Apache HugeGraph-Server在4月修補的漏洞CVE-2024-27348，最近發現遭積極利用。<br /> ●多個舊漏洞被美CISA列入已知漏洞利用清單，包括：微軟SQL Server報告服務的漏洞（CVE-2020-0618）、Oracle ADF Faces的漏洞（CVE-2022-21445）、Oracle WebLogic Server的漏洞（CVE-2020-14644），以及Adobe Flash Player的漏洞（CVE-2013-0643、CVE-2013-0648、CVE-2014-0497、CVE-2014-0502）。</p> <p>還有多個漏洞修補消息需盡速因應，包括：GitLab修補CVSS滿分漏洞，以及OpenShift、VMware vCenter伺服器、新興AI系統AutoGPT、D-Link Wi-Fi路由器等的漏洞修補。</p> <p>此外，本星期還有一類型資安新聞也成重要焦點，因為駭客攻擊家用連網設備的消息不斷，涵蓋家用路由器與Android電視機上盒。</p> <p>例如，殭屍網路Quad7最新一波攻擊行動的揭露，繼先前TP-Link路由器發現被鎖定，如今攻擊範圍擴大，兆勤（Zyxel）、華碩、Ruckus等廠牌的路由器產品都成鎖定目標；還有美司法部宣布破獲中國駭客組織Flax Typhoon委由中國業者Integrity Technology Group建立的Raptor Train殭屍網路。</p> <p>還有130萬臺Android電視機上盒的韌體遭植入後門程式的揭露，研究人員指出這是在今年8月發現，受害裝置多為知名度較低的品牌，但尚不清楚感染途徑。</p> <p>由於近年來駭客組織入侵家用路由器來建立自身的物聯網殭屍網路，其態勢是日益嚴峻，像是去年美國即拿下中國駭客Volt Typhoon使用的KV-botnet殭屍網路，因此如何持續緩解這方面的威脅，相當關鍵。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165045"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月16日】數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍</span></strong></a></h3> <p>上週四（12日）中租控股、兆豐金控、彰化銀行發布重大訊息，證實公司部分網站遭遇DDoS攻擊而面臨服務中斷的情況，臺灣證券交易所同日也傳出受害；親俄駭客組織NoName057、RipperSec聲稱是他們所為，但究竟有多少企業組織受害？數位發展部週末召開記者會提出說明。</p> <p>他們指出這波攻擊行動在10日出現，總共至少有45起攻擊，大部分受害的企業組織皆能快速應變，短時間就能恢復網站運作。</p> <h3><a href="https://www.ithome.com.tw/news/165063"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</span></strong></a></h3> <p>AI應用當紅，這類應用系統的漏洞也隨之引起關注。最近有研究人員針對新興AI系統AutoGPT揭露漏洞CVE-2024-6091，這項漏洞源自於過濾可用的Shell命令機制，一旦被利用，攻擊者就有機會執行任意命令。</p> <p>值得留意的是，AutoGPT受到許多開發者關注，迄今已有超過44萬個分叉AutoGPT的軟體程式碼專案，這些專案很有可能也曝露於相關的資安風險。</p> <p><a href="https://www.ithome.com.tw/news/165081"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</span></strong></a></p> <p>針對中小企業、SOHO辦公室、家用網路設備而來的殭屍網路，近期有越來越多的情況，繼我們昨天報導<a href="https://www.ithome.com.tw/news/165059">殭屍網路Quad7最新一波的攻擊行動</a>之後，這幾天美國政府採取取締這類行為的行動，接管由中國駭客組織Flax Typhoon經營的殭屍網路Raptor Train。</p> <p>值得留意的是，這個殭屍網路由超過20個廠牌的網路設備組成，類型涵蓋相當廣泛，包括：數據機、路由器、IP攝影機、網路儲存設備等，遭到操控的連網設備數量也相當可觀。</p> <p><a href="https://www.ithome.com.tw/news/165098"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</span></strong></a></p> <p>針對地理位置資訊伺服器GeoServer的重大層級漏洞CVE-2024-36401，自6月得到修補後，隔月便出現相關攻擊行動，並引起美國政府注意，將其列為已被利用的漏洞。</p> <p>半個月前資安業者Fortinet揭露相關漏洞利用攻擊的情況，推測駭客很有可能來自中國，本週另一家業者趨勢科技也公布調查結果印證這項推測，值得留意的是，他們看到的攻擊行動，發生在臺灣公部門。</p> <p> </p> </div></div></div>
2024/9/23 09:51作者羅正漢https://www.ithome.com.tw/news/165106
Nvidia與G42合作開發解析度達每平方公里的天氣預報模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿布達比專門開發AI應用的G42上周<a href="https://www.g42.ai/resources/news/g42-collaborates-nvidia-deliver-next-generation-climate-solutions-using-earth-2" target="_blank">宣布</a>，將與Nvidia共同合作，專注於開發能夠提高全球天氣預報準確性的AI解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-G42_NVIDIA_Earth-2-960.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／G42</span></span></p> <p>背景雄厚的G42成立於2018年，主要開發各個產業的AI應用，從政府、醫療、金融、石油、航空到飯店等，投資者包括阿布達比政府旗下的Mubadala投資公司，知名的私募股權投資公司SilverLake，Dalio Family Office，以及微軟。</p> <p>此次雙方的合作是奠基於Nvidia的Earth-2。Nvidia在2021年發表的Earth-2企圖建立整個地球的數位孿生模型，以用來預測與模擬氣候的變化或極端天氣事件等全球現象，它原本就是個開放平臺，而初期雙方將共同開發一個解析度達到每平方公里的天氣預報模型，可望替特定區域提供更精確的天氣訊息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-nvidia-earth-2(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-nvidia-earth-2-(2).png" style="text-align: center; width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>其具體實踐包括雙方將於阿布達比建立新的營運基地，以及氣候實驗室Climate Tech Lab，此地將成為雙方的研發中心，計畫利用超過100PB的地球物理資料來建置各種客製化的氣候與天氣解決方案。</p> <p>G42執行長Peng Xiao表示，他們將以創新的方式來應用AI，並解決關鍵性的全球挑戰，於阿布達比建立Earth-2氣候技術實驗室，可利用其獨特能力替世界創造可持續性的未來。除了推動氣候技術的創新之外，雙方亦準備打造一個強大的框架，以整合資料分析、天氣預測與視覺化技術。</p> <p>Nvidia執行長黃仁勳則說，雙方將以前所未有的準確度來理解及預測氣候現象，此一Earth-2氣候技術實驗室將使用最先進的加速運算與AI技術來推動環境解決方案，以造福全球人類。</p> </div></div></div>
2024/9/23 12:00作者陳曉莉https://www.ithome.com.tw/news/165108
打造AI繪圖線上服務臺廠不缺席，訊連展示精準控制AI生圖的新能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年AI繪圖網站隨生成式AI技術而興起，像是Midjourney、DALL·E3、Stable Diffusion持續帶動熱潮，只是多為國外廠商提供服務，但其實也有臺廠應用相關技術來提供服務，訊連科技推出的AI繪圖網站「MyEdit」就是一例，特別的是，最近該公司舉行一場產品技術發表會，提到AI生圖的最新發展，並指出精準控制AI產生圖片的功能將陸續釋出。</p> <p>事實上，這幾年都在關注以圖生圖技術的發展，這是因為，過去AI圖片生成最大挑戰在於，用戶如何利用所謂的AI咒語，也就是更清楚的文字提示（Prompt），讓AI更了解用戶所需。</p> <p>關於以圖生圖的進展，先前我們已經看過一些應用方式，例如讓A照片能套用B照片的光線與色調，對此，訊連科技總經理林昭宏表示，現在訊連科技已經在MyEdit網站上，新加入這方面的能力，使用者將可透過輸入「文字」加上選取或上傳「圖片」的方式，生成式AI能夠更了解用戶所需，不僅僅是色調，還有很多使用者不容易說明的場景，像是風格、姿勢、構圖，以及人臉套用等。</p> <p>換言之，透過以「圖」生圖、以「文字+圖片」生圖，將提供用戶更多元與AI溝通的模式，而其目標就是提升使用者體驗和AI創作的精準度</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3A）訊連科技精準AI生圖應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963A%EF%BC%89%E8%A8%8A%E9%80%A3%E7%A7%91%E6%8A%80%E7%B2%BE%E6%BA%96AI%E7%94%9F%E5%9C%96%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3B）訊連科技精準AI生圖應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963B%EF%BC%89%E8%A8%8A%E9%80%A3%E7%A7%91%E6%8A%80%E7%B2%BE%E6%BA%96AI%E7%94%9F%E5%9C%96%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>特別的是，還有一些重要新功能預計在今年10月之後陸續加入，例如以「圖+圖」生圖、以「文字+多張圖片」生圖，更讓人驚艷的是，林昭宏還透露未來的AI繪圖生成器將帶有局部控制能力，有如融合物件特性一般，生成圖片將可透過物件形式調整位置、數量、大小、顏色同時再生成，這將讓AI生圖更具實用性。</p> <p>綜觀上述這些進階的精準AI生成能力，目前訊連科技確定將提供於MyEdit網站服務，也就是需要藉助雲端運算資源來完成，用戶若要使用這些新功能，將需要獲得免費點數或購買點數後，才能使用。</p> <p>不過，由於訊連科技這次喊出全產品邁入Gen AI 2.0的全新世代，因此，這些更進階的生成式AI應用，是否下放到訊連電腦版軟體之中，或是提供讓AI PC本身資源就能運算執行的選項，值得後續關注。</p> <p> </p> </div></div></div>
2024/9/22 18:28作者羅正漢https://www.ithome.com.tw/news/165101
OpenAI o1預覽版推向企業、教育用戶，一周上限50則訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://help.openai.com/en/articles/9855712-openai-o1-models-faq-chatgpt-enterprise-and-edu" target="_blank">宣布</a>最新能複雜思考的AI模型OpenAI o1、o1-mini，將推向企業與教育用戶，OpenAI o1預覽版供用戶一周最多輸入50則訊息。</p> <p>上周<a href="https://www.ithome.com.tw/news/165026" target="_blank">公布</a>預覽版的OpenAI o1家族是一組有進階理解力的模型，比之前模型能理解更複雜的任務，解決更困難的問題，特別是科學、程式和數學領域方面的難題。它在回答用戶問題之前會先思考，產生內部思維鏈才給出答案。除了o1外，OpenAI同時也<a href="https://x.com/OpenAI/status/1834278222558888201" target="_blank">公布</a>了擅長理工科學（STEM）領域，尤其是程式和數學的模型OpenAI o1-mini。。</p> <p>o1和o1-mini上周推出時都是先以預覽版部署到ChatGPT Plus和Team方案用戶，也以API部署給tier 5的開發人員。本周稍早，OpenAI將這二個先進模型進一步提供給Enterprise及Edu版用戶。</p> <p>OpenAI說明，雖然GPT-4o目前仍是大多數提示的最佳模型選擇，但o1系列對處理困難、問題解決導向的任務，像是研究、策略、寫程式、數學和科學很有幫助。</p> <p>不過OpenAI o1比其他模型耗運算資源，初期只能限量供應。一開始，每個ChatGPT Enterprise或GPT用戶可使用o1-preview一周上限50次，而o1-mini則是一天上限50次。經由API的話，o1-preview版為每分鐘500次呼叫，o1-mini則為每分鐘1,000次呼叫。</p> <p>用戶使用抵達上限時會接到用罄使用上限的通知，並顯示重設使用的日期。期間用戶無法使用o1-preview、o1-mini模型。使用上限是在個別用戶層級實施，因此OpenAI未提供儀表板或監控工具顯示已使用次數。不過Enterprise和Edu版用戶即使超過上限也不會受罰，只是暫時無法使用，直到屆滿一星期當日重設。</p> </div></div></div>
2024/9/21 23:40作者林妍溱https://www.ithome.com.tw/news/165103
高通洽談收購英特爾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CNBC<a href="https://www.cnbc.com/2024/09/20/qualcomm-reportedly-approached-intel-about-takeover.html" target="_blank">報導</a>，高通已找上晶片大廠英特爾洽談收購事宜。</p> <p>華爾街日報（WSJ）上周首先<a href="https://www.wsj.com/business/deals/qualcomm-approached-intel-about-a-takeover-in-recent-days-fa114f9d?st=i5zay9xbq899g24&amp;reflink=article_copyURL_share" target="_blank">報導</a>這項消息。CNBC則獲得消息人士證實此事。</p> <p>不過英特爾方面是否接受洽談，以及高通提出的收購條件為何皆不得而知。。如果雙方真的展開交易，將是科技史上最大合併案。目前英特爾市值超過900億美元，這樁收購也會引來主管機關的關切。WSJ指出，高通可能只收購一部份英特爾業務，以取得主管機關許可。</p> <p>英特爾及高通皆未評論此事。</p> <p>英特爾曾是世界上最大晶片供應商，在PC和伺服器晶片都擁有絕大市占。然而英特爾近年遭遇晶片生產製程落後，以及未能抓住AI與雲端、行動運算需求，以致市占流失給包括AMD、Arm架構業者以及GPU出身的Nvidia。和2021年疫情高峰相較，英特爾的股價從68美元跌到約19美元。</p> <p>高通積極發展Snapdragon PC處理器，但市占率不高，若取得英特爾業務，將可擴大高通的研發實力和通路關係，擴展終端市場。該公司<a href="https://www.digitimes.com/news/a20240605PD205/qualcomm-ai-pc-arm-computex-2024.html" target="_blank">相信</a>Arm處理器未來五年可拿下50% Windows PC市場。</p> <p>因應虧損及銷售下滑，英特爾<a href="https://www.ithome.com.tw/news/164272" target="_blank">宣布</a>裁員15%，並且<a href="https://www.ithome.com.tw/news/165051" target="_blank">計畫</a>獨立晶圓代工部門，此外，也可能再出售已分拆的自駕車晶片部門<a href="https://www.ithome.com.tw/news/164907" target="_blank">Mobileye</a>持股。</p> </div></div></div>
2024/9/22 00:03作者林妍溱https://www.ithome.com.tw/news/165104
Swift 6強化並行處理資料競爭安全性，新增嵌入式支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.swift.org/blog/announcing-swift-6/">Swift 6</a>正式發布帶來許多重要更新，強化並行處理中的資料競爭安全檢查，並擴展了與C++的互通性，包括加入唯動型別（Move-Only Types）、虛擬方法，並且對更多標準函式庫提供支援。此外，Swift 6引入嵌入式Swift，讓Swift也能用於微控制器等資源受限環境，而加入128位元整數型別，更進一步提升低階程式設計能力。</p> <p>Swift 6在並行處理方面有許多改進，加強了資料競爭的安全性。新的可選語言模式能夠偵測並行程式碼中的潛在資料競爭，並將這些問題直接視為編譯錯誤，讓開發者可以在開發過程中提早發現並解決這些問題。</p> <p>該更新不只強化了程式的可靠性，還大幅降低資料競爭的不穩定行為，這對於編寫多執行緒程式碼的開發者來說尤其重要。同時，Swift 6也添加了新的同步函式庫，支援低階並行API，像是最小操作（Atomic Operation）和互斥鎖（Mutex），進一步提升並行程式碼的效能和安全性。</p> <p>Apple持續強化Swift與C++的互通性，讓開發者可以更簡單地在Swift中使用C++型別和函式。這次更新加入了對C++唯動型別（Move-Only Types）、虛擬方法和預設參數的支援，並增加對std::map和std::optional等C++標準函式庫的相容性。Swift 6也允許沒有複製建構子的C++型別作為不可複製型別（~Copyable），以進一步最佳化效能。</p> <p>這些改進擴展了Swift與C++間的整合，尤其是對需要同時使用兩種語言的開發專案，更好的互通性將帶來更高的開發效率和靈活性。</p> <p>Swift 6的型別化錯誤拋出（Typed throws），讓開發者可以在函式中明確指定會拋出的錯誤類型，而這個功能讓錯誤處理變得更具預測性和安全性。當開發者編寫泛型程式碼時，由於可掌握錯誤類型的精確性，因此能夠簡化錯誤處理邏輯，使得錯誤處理過程不易出錯，並讓程式效能更好，有助於Swift程式在嵌入式系統中運作。</p> <p>嵌入式Swift是Swift 6的一大亮點，而這是Apple專為嵌入式系統設計的語言子集，適合微控制器等資源受限環境。嵌入式Swift支援Arm和RISC-V裸機目標，仰賴泛型特化技術生成輕量且獨立的二進位檔案。這些輕量二進位檔案不仰賴執行期或是型別後設資料，除了能在記憶體資源嚴重受限的嵌入式平臺上運作，還能在執行期相依項目有限的低階環境中執行。目前，這項功能仍處於實驗階段。</p> </div></div></div>
2024/9/21 22:45作者李建興https://www.ithome.com.tw/news/165100
Oculus創始人和微軟合作改造美軍用VR頭盔，但HoloLens品牌消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VR頭戴裝置製造公司Oculus創始人Palmer Lockey上周<a href="https://www.anduril.com/article/anduril-microsoft-army-ivas/" target="_blank">宣布</a>和微軟合作，改良美國陸軍配戴的VR頭戴式裝置。有趣的是，已經不見HoloLens品牌。</p> <p>這項合作將結合Lockey現任公司Anduril的VR裝置作業系統Lattice和其系統整合能力，以及以微軟HoloLens為主體的美軍整合式視覺擴增系統（Integrated Visual Augmentation System，IVAS）。</p> <p>Lockey 2012年創立的Oculus以推出VR裝置名聲大噪，該公司2014年被祖克柏（Mark Zuckerberg）收購。但Lockey 2016年因政治爭議被迫離開。Aundril為Lockey 2017年和其他人共同創立的國防設備供應商，今年5月獲得美軍無人戰鬥機的合約。8月再募得資金，公司市值達140億美元。</p> <p>Anduril表示已經成功將Lattice軟體整合到微軟的IVAS軟硬體平臺，讓美國阿兵哥即時察覺威脅。結合Lattice軟體、IVAS平臺及其他第三方技術如感測器，可讓配戴IVAS的美國士兵在有敵軍飛機逼近時迅速獲得警告，提升在嚴峻戰場上的存活機率。</p> <p>這樁合作是微軟2021年拿下美軍219億美元的合約一部份。這合約下，微軟將在10年內提供美軍12萬個AR頭戴裝置。值得注意的是，微軟在公開聲明中，已經不再使用HoloLens這個品牌。微軟混合實境部門高層指出，這項合作整合了現有和新的軟體與感測器，IVAS可為每個士兵提供戰場上完整視野，確保軍事行動的安全和有效性。</p> <p>這項消息可能再激起HoloLens品牌存續的猜測。HoloLens為基礎的IVAS因為造成士兵頭暈噁心、影像延遲、耗電問題，已迫使微軟<a href="https://www.ithome.com.tw/news/155175" target="_blank">多次修改</a>設計以維持和美國軍方的合約。去年負責VR頭戴裝置HoloLens的部門<a href="https://www.ithome.com.tw/news/163306" target="_blank">傳出改組</a>，令外界猜測微軟可能不會再推出HoloLens 3。</p> </div></div></div>
2024/9/21 23:09作者林妍溱https://www.ithome.com.tw/news/165102
採用AMD第四代EPYC處理器，思科UCS伺服器邁入M8世代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_ucs_c245_m8_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>縱觀思科UCS伺服器產品線，絕大多數款式的處理器採用英特爾提供的平臺，在專攻機架型伺服器的C系列，會額外提供AMD提供的平臺，以近期而言，在M5世代、M6世代都有這類機型的選擇，可惜在M7世代並未提供。</p> <p>到了今年，思科終於在M8世代再度推出搭配AMD平臺的伺服器產品。首先，在2月舉行的Cisco Live 2024 Amsterdam大會，他們發表2U、2路伺服器UCS C245 M8，採用AMD第四代EPYC處理器，最多提供256顆運算核心，安裝24支DDR5-4800記憶體、最多可設置6 TB，並且能容納28臺2.5吋傳統硬碟或固態硬碟（機箱前緣24臺，機箱背部4臺），而在I/O介面的部分，它可安裝4張PCIe 5.0的介面卡或8張PCIe 4.0的介面卡，最多可安裝8張GPU加速卡，也提供模組化mLOM與OCP 3.0兩用規格的網路介面插槽——可分別安裝Cisco UCS Virtual Interface Card（VIC），以及10GbE網路卡Intel X710。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco UCS M8-2024-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20UCS%20M8-2024-02.jpg" style="width: 600px;" /></a></p> <p>企業可透過這款伺服器大規模執行任何類型的工作負載，並且可支援廣泛的儲存與I/O密集型應用，像是大數據分析、資料庫、協同運作、虛擬化，以及AI/ML。</p> <p>思科也預告年中將推出兩款機型，一是機架式伺服器UCS C225 M8，另一款是模組化伺服器UCS X215c M8節點。到了6月初舉行的Cisco Live全球用戶大會，他們宣布這些產品推出，並揭露具體規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco UCS AMD M8 Launch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20UCS%20AMD%20M8%20Launch.jpg" style="width: 600px;" /></a></p> <p>以UCS C225 M8為例，是1U尺寸的1路伺服器，能搭配單顆AMD第四代EPYC處理器，安裝12支DDR5-4800記憶體、最多可設置3 TB，能容納10臺2.5吋傳統硬碟或固態硬碟，它可安裝2張PCIe 5.0的介面卡或3張PCIe 4.0的介面卡，最多可安裝3張GPU加速卡，同樣提供模組化mLOM與OCP 3.0兩用規格的網路介面插槽。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Announcing the Cisco UCS C225 M8 Rack Server-2024-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Announcing%20the%20Cisco%20UCS%20C225%20M8%20Rack%20Server-2024-06.jpg" style="width: 600px;" /></a>\</p> <p>UCS X215c M8是雙路伺服器節點，能搭配兩顆AMD第四代EPYC處理器，安裝24支DDR5-5600記憶體、最多可設置6 TB，能容納6臺2.5吋傳統硬碟或固態硬碟，它可安裝2張GPU加速卡，提供模組化mLOM規格的網路介面插槽。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UCS X215c M8 X-series overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UCS%20X215c%20M8%20X-series%20overview.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UCS X215c M8 2S Compute Node.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UCS%20X215c%20M8%202S%20Compute%20Node.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，思科今年積極與GPU大廠Nvidia合作，頻頻釋出相關消息，最新推出的UCS C245 M8，會是企業開發與營運生成式AI應用的關鍵產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Announcing the Cisco UCS C245 M8 Rack Server-2024-06-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Announcing%20the%20Cisco%20UCS%20C245%20M8%20Rack%20Server-2024-06-.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD M8 Schedule.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20M8%20Schedule.png" style="width: 600px;" /></a></p> <p>例如，2月思科預告將推廣易於部署與管理的資料中心AI基礎架構，當時提到會在UCS M7世代的機架式伺服器與刀鋒伺服器，搭配最新推出的Nvidia資料中心GPU；6月思科宣布與Nvidia合作發展人工智慧叢集解決方案，名為Cisco Nexus HyperFabric，思科的UCS伺服器將扮演重要角色，因為當中將搭配Nvidia資料中心GPU，並且藉由通過Nvidia認證的伺服器系統（Nvidia-Certified Systems），支撐企業生成式AI工作負載；8月Nvidia推出開發NIM AI代理應用的藍圖（NIM Agent Blueprints），思科提供的Nvidia-Certified Systems伺服器，正是用於建置和部署NIM Agent Blueprints的IT基礎架構之一。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco GPU Acceleration Options-2024-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20GPU%20Acceleration%20Options-2024-06.jpg" style="width: 600px;" /></a></p> <p>而根據Nvidia公布的認證系統型錄來看，UCS C245 M8可搭配多款Nvidia資料中心GPU產品，涵蓋H100 PCI、L40、L40S、L4、A16。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Qualified System Catalog-Cisco C245 M8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Qualified%20System%20Catalog-Cisco%20C245%20M8.jpg" style="width: 600px;" /></a></p> <p>近期還有另一個與這款伺服器有關的資訊，那就是MLCommons在8月底公布的AI推論測試效能MLPerf Inference v4.1，裡面有兩筆記錄就是Cisco UCS C245 M8，搭配的資料中心GPU產品分別是H100 PCIe、L40S。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference v4_1-Cisco.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference%20v4_1-Cisco.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Cisco UCS C245 M8</strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：1或2顆AMD EPYC 9004系列<br /> ●記憶體：24個DDR5-4800插槽，最大可安裝至6 TB<br /> ●硬碟容量：前側可容納24臺2.5吋SAS/SATA/NVMe硬碟（最多可直連8臺NVMe固態硬碟），後側可選購安裝4臺2.5吋硬碟，機箱內部可安裝2臺M.2外形的SATA或NVMe固態硬碟<br /> ●擴充介面：8個PCIe 4.0或4個PCIe 5.0，可安裝mLOM或OCP 3.0外形網路卡、24-Gbps RAID控制器（支援SAS4與NVMe）<br /> ●電源供應器：1050/1200瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/21 01:43作者李宗翰https://www.ithome.com.tw/review/164902
活用雲地混合AI PC架構，訊連科技推出行銷內容製作軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著AI PC的時代來臨，多家筆電製造商也期望更多應用程式能善用新的技術，讓生成式AI應用不僅能透過雲端來完成，也可單靠個人電腦的運算資源來實現，在這波浪朝之下，近日臺灣有幾家軟體廠商響應這股風潮，先前我們曾介紹的資安防護大廠趨勢科技，就是一例，他們在今年Computex向全球展示AI PC的資安應用，8月底我們看到另一家多媒體影音軟體大廠訊連科技（CyberLink），也有這方面的突破，他們的最新力作是－－讓自家行銷廣告素材軟體Promeo的AI生成，可在電腦上以離線模式來無限次數執行，讓行銷人員也不用擔心未上市產品照有上傳外部雲端的風險。</p> <p><strong>切入AI PC應用新潮流，訊連行銷素材製作軟體可讓用戶以本機GPU、NPU來無限的自動AI生圖</strong></p> <p>自去年Intel喊出AI PC口號，訊連科技不只為了在國際市場力求突破，也看到許多品牌筆電業者在推動AI PC時，需要更多應用軟體加持的現況，如今訊連科技也不落人後，該公司總經理林昭宏表示：「雲地混合AI應用的時代已經到來」，他們已將自家AI商用行銷素材設計軟體Promeo進化為雲端、本機的雙棲AI應用。</p> <p>此舉不僅顯示出，臺廠在AI PC商用軟體的早期發展上，亦佔有一席之地，而我們也關注到，該公司另提出精準AI生圖的全新態勢，尤其是讓AI生圖能融入物件特性，因增加AI生圖實用性而受關注。</p> <p>在9月19日的訊連科技產品技術發表會中，提到兩個當前重要的AI技術潮流，值得企業關注與了解，同時訊連科技本身也已經在這麼做。</p> <p>首先，雲地混合AI應用已是現在進行式，訊連科技打造的商用行銷素材製作軟體Promeo產品，就是呼應這個技術潮流的重要成果之一，</p> <p>簡單來說，用戶只要匯入產品圖片，就可以快速去背並產生背景素材，而最新增加的AI Magic Designer功能，可以在匯入產品圖片、描述產品與關鍵字資訊後，就能生成大量廣告宣傳模版供挑選，並能自動對應不同社群平臺產生各比例的圖片；同時還有AI Cowriter功能，可幫助用戶改寫、總結或擴寫場景中現有的文案或文字。在這些AI工具的幫助之下，將能縮短行銷素材設計與文案發想的時間。</p> <p>相較於當前許多的生成式AI應用，需要仰賴雲端運算能力才能完成，現在訊連科技已針對AI PC提供使用彈性，可選用自身電腦本身的GPU或NPU來完成生成式AI的運算。</p> <p>例如，我們可以看出，在Promeo軟體介面的AI Magic Designer的運算來源選擇上，已經提供多種選擇彈性，若是用戶電腦採用的是Intle去年底推出的Meteor Lake系列處理器，將包括「雲端」、「AI PC」兩項選擇，若是用戶採用Intel在今年9月推出的新世代Core Ultra 200V系列處理器（代號Lunar Lake），選項將更為豐富，包括：雲端、AI PC（GPU）、AI PC（NPU）這3項選擇。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）訊連科技 Promeo雲地混合AI應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%A8%8A%E9%80%A3%E7%A7%91%E6%8A%80%20Promeo%E9%9B%B2%E5%9C%B0%E6%B7%B7%E5%90%88AI%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>在AI生圖所需時間上，現場展示以本機GPU模式運算時，約在10秒內即可完成，自動給出10多種設計模版。而根據訊連科技的測試數據顯示，在每張圖片生成執行時間上，使用200V處理器系列是1.7秒，比上一代（7.6秒）要快4.5倍，而在文字生成執行時間上，使用200V處理器系列是7.5秒，比上一代（9.8秒）快1.3倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%A8%8A%E9%80%A3%E7%A7%91%E6%8A%80Promeo%E9%9B%B2%E5%9C%B0%E6%B7%B7%E5%90%88AI%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>事實上，關於AI雲地混合應用的態勢，我們先前就注意到這樣的跡象，因為訊連科技在8月Intel商用vPro發表會上展示AI人臉模糊功能（自動人臉識別並套用模糊），當時就說明威力導演365這套軟體將會依據電腦是否為AI PC，而使用不同的運算資源。例如，若使用者電腦是AI PC或具有NPU，該功能背後將借助電腦本身的NPU來完成運算，反之則借助雲端運算資源來完成。</p> <p>對於不同AI、雲端與地端的AI應用發展，訊連科技總經理林昭宏進一步解釋，現在行銷創意軟體Promeo的AI Magic Designer能力，讓AI PC能在本機執行生成式AI，而先前的威力導演的AI人臉辨識與模糊，仍是基於傳統AI的應用。兩者的好處都是機敏圖像可以不用上傳到外部雲端，後者還將享受到生成式AI可無限在地端執行的好處。</p> <p> </p> </div></div></div>
2024/9/20 17:03作者羅正漢https://www.ithome.com.tw/news/165097
【資安日報】9月20日，中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對地理位置資訊伺服器GeoServer的重大層級漏洞CVE-2024-36401，自6月得到修補後，隔月便出現相關攻擊行動，並引起美國政府注意，將其列為已被利用的漏洞。</p> <p>半個月前資安業者Fortinet揭露相關漏洞利用攻擊的情況，推測駭客很有可能來自中國，本週另一家業者趨勢科技也公布調查結果印證這項推測，值得留意的是，他們看到的攻擊行動，發生在臺灣公部門。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165092"><strong style="font-size: 22px;">中國駭客Earth Baxia針對臺灣政府機關下手，藉由GeoServer已知漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig02-Earth-Baxia-Spear-Phishing-Exploits.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig02-Earth-Baxia-Spear-Phishing-Exploits.png" style="width: 300px; float: right;" /></a></p> <p>今年6月下旬地理位置資訊伺服器GeoServer修補重大層級漏洞CVE-2024-36401（CVSS風險評分為9.8），時隔不到一個月，美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動。先前通報漏洞的資安業者Fortinet，透露相關資安事故，並指出從事活動的攻擊者，同時運用中國駭客慣用的惡意程式SideWalk，本週有其他資安公司公布新的攻擊行動。</p> <p>根據趨勢科技昨天揭露的調查報告指出，名為Earth Baxia的駭客組織今年7月針對臺灣某個政府機關發動攻擊，駭客利用釣魚郵件及CVE-2024-36401取得初始入侵管道，而能在受害主機植入Cobalt Strike相關元件，當中使用後門程式EagleDoor。研究人員根據駭客使用的伺服器進行調查，發現大部分架設在阿里雲，或是位於香港，而且，駭客使用的部分惡意程式樣本先前曾從中國上傳至VirusTotal，再加上Cobalt Strike伺服器多數位於中國，因此他們推測這些APT駭客來自中國。</p> <p>究竟這些駭客的攻擊目標為何？研究人員根據他們取得的釣魚郵件、誘餌檔案等資料，認為主要目標似乎是臺灣、菲律賓、韓國、越南、泰國的政府機關、電信業者、能源產業。但後來他們發現，中國也是這些駭客下手的範圍，不過，研究人員無法確認當地有那些產業受害。</p> <p><a href="https://www.ithome.com.tw/news/165095"><strong style="font-size: 22px;">勒索軟體劫持資料無處放，竟把歪腦筋動到Azure儲存桶與資料複製工具</strong></a></p> <p>為了脅迫受害組織支付贖金，勒索軟體駭客往往會先竊取內部資料再進行檔案加密，但現在駭客更換外流資料的管道，引起研究人員的注意。</p> <p>一般來說，勒索軟體駭客原本用來外流受害組織資料的管道，最常見的是利用雲端檔案共享服務Mega提供的公用程式MEGASync，或是能公開取得的Rclone，但資安業者ModePUSH發現，變臉（BianLian）、Rhysida等多個勒索軟體駭客組織，越來越頻繁地利用Azure Storage Explorer、AzCopy，將竊得的資料送到Azure Blob儲存桶。</p> <p>為何這些駭客選擇濫用Azure Blob儲存桶？研究人員指出，主要原因在於Azure是許多企業採用的服務，因此相關流量不太可能會遭到防火牆或是資安系統攔截；再者，駭客在短時間內外流竊得資料的過程，藉由Azure的延展性，他們可以因應這些非結構化的大量資料。</p> <p><a href="https://www.ithome.com.tw/news/165096"><strong style="font-size: 22px;">駭客組織Vice Society鎖定美醫療產業，散布勒索軟體INC Ransom</strong></a></p> <p>從今年初開始勒索軟體INC Ransom攻擊事故接連傳出，先是今年1月全錄企業解決方案（XBS）美國分公司受害，接著3月底駭客聲稱從蘇格蘭國家健康服務（NHS）竊得3 TB資料，8月初有一起資安事故針對美國密西根州醫療照護體系McLaren而來，到了這個月，有研究人員提出警告，表明這群駭客的主要目標就是美國的醫療體系。</p> <p>本週微軟威脅情報團隊指出，利用此勒索軟體犯案的駭客組織，是被稱為Vanilla Tempest、DEV-0832的駭客組織Vice Society，他們看到美國醫療產業成為他們的攻擊目標。一旦Vice Society成功入侵受害組織的網路環境，就會部署後門程式Supper、遠端監控及管理工具AnyDesk，以及雲端檔案共享服務的Mega資料同步工具。接著，駭客就會透過遠端桌面連線（RDP）進行橫向移動，並運用WMI部署勒索軟體的有效酬載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/teamtnt/">駭客組織TeamTNT鎖定CentOS主機植入Rootkit</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/sambaspy-rat-targets-italian-users/113851/">義大利使用者遭巴西駭客鎖定，藉由釣魚郵件散布惡意程式SambaSpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/ransomhub-ransomware-group-kawasaki-europe-data-leak/">重機製造商Kawasaki歐洲分公司傳出遭駭，勒索軟體RansomHub聲稱竊得487 GB資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.huntress.com/blog/cracks-in-the-foundation-intrusions-of-foundation-accounting-software">營造業者採用的會計軟體遭到鎖定，駭客利用SQL Server漏洞取得管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165090"><strong style="font-size: 22px;">GitLab揭露CVSS滿分漏洞，若不盡快修補，恐被繞過SAML身分驗證</strong></a></p> <p>9月17日GitLab發布社群版（CE）及企業版（EE）的17.3.3、17.2.7、17.1.8、17.0.8、16.11.10版更新，當中修補CVSS風險程度達到滿分（10分）的漏洞CVE-2024-45409，這項漏洞能用於繞過SAML身分驗證機制，存在於Ruby SAML程式庫元件Ruby-SAML，攻擊者可在未經身分驗證的情況下，利用漏洞存取已由身分驗證提供者（IdP）簽署的SAML檔案，進而偽造SAML的回應。</p> <p>這項漏洞發生的原因，在於Ruby-SAML無法正確驗證SAML回應的簽章，影響1.13.0至1.16.0版，以及12.2版以下的Ruby-SAML。對此，GitLab在公告中指出，IT人員應套用上述新版，或是手動將相依元件進行更新：omniauth-saml升級為2.2.1版、ruby-saml升級為1.17.0版，就能緩解漏洞帶來的危險。</p> <p>究竟這項漏洞是否遭到利用？GitLab並未說明，但他們特別提及如何檢測漏洞遭到利用，以及GitLab系統是否遭到入侵的方法，這意味著可能有駭客著手嘗試利用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://confluence.atlassian.com/security/security-bulletin-september-17-2024-1431249025.html">Atlassian發布9月例行更新，修補會引發阻斷服務攻擊的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165093"><strong style="font-size: 22px;">Google強化瀏覽器密碼管理功能，讓使用者能跨平臺運用Passkey</strong></a></p> <p>Google周四（9月19日）宣布，即日起使用者將可透過安卓作業系統與Chrome中的Google Password Manager存放通行密鑰（Passkey），並同步到不同的平臺上使用，同時也新增了PIN碼保護通行密鑰。</p> <p>在此之前，使用者僅能將Passkey存放於安卓裝置內建的Google Password Manager，若要在其他裝置使用Passkey，必須透過安卓裝置掃描條碼取得相關授權。這次則是開放將Passkey存放於瀏覽器，目前相關功能已支援電腦版Chrome，ChromeOS則是在測試版階段。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165063"><strong>【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165045"><strong>【9月16日】數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍</strong></a></p> </div></div></div>
2024/9/20 17:08作者周峻佑https://www.ithome.com.tw/news/165098
駭客組織Vice Society鎖定美醫療產業，散布勒索軟體INC Ransom
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年初開始勒索軟體INC Ransom攻擊事故接連傳出，先是今年1月<a href="https://www.bleepingcomputer.com/news/security/xerox-says-subsidiary-xbs-us-breached-after-ransomware-gang-leaks-data/">全錄企業解決方案（XBS）美國分公司受害</a>，接著3月底<a href="https://www.bleepingcomputer.com/news/security/inc-ransom-threatens-to-leak-3tb-of-nhs-scotland-stolen-data/">駭客聲稱從蘇格蘭國家健康服務（NHS）竊得3 TB資料</a>，8月初有一起資安事故<a href="https://www.bleepingcomputer.com/news/security/mclaren-hospitals-disruption-linked-to-inc-ransomware-attack/">針對美國密西根州醫療照護體系McLaren而來</a>，到了這個月，有研究人員提出警告，表明這群駭客的主要目標就是美國的醫療體系。</p> <p>本週微軟威脅情報團隊指出，利用此勒索軟體犯案的駭客組織，<a href="https://x.com/MsftSecIntel/status/1836456406276342215">是被稱為Vanilla Tempest、DEV-0832的駭客組織Vice Society</a>，他們看到美國醫療產業成為他們的攻擊目標。關於受害組織的初期存取權限，Vice Society最初透過另一組人馬Storm-0494取得，而Storm-0494之所以能取得相關權限的方法，主要是因為使用惡意軟體Gootloader而得逞。</p> <p>一旦Vice Society成功入侵受害組織的網路環境，就會部署後門程式Supper、遠端監控及管理工具AnyDesk，以及雲端檔案共享服務的Mega資料同步工具。接著，駭客就會透過遠端桌面連線（RDP）進行橫向移動，並運用WMI部署勒索軟體的有效酬載。</p> </div></div></div>
2024/9/20 17:01作者周峻佑https://www.ithome.com.tw/news/165096
勒索軟體劫持大量資料無處放，竟把歪腦筋動到Azure雲端儲存桶與資料複製工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了脅迫受害組織支付贖金，勒索軟體駭客往往會先竊取內部資料再進行檔案加密，但現在駭客更換外流資料的管道，引起研究人員的注意。</p> <p>一般來說，勒索軟體駭客原本用來外流受害組織資料的管道，最常見的是利用雲端檔案共享服務Mega提供的公用程式MEGASync，或是能公開取得的Rclone，但資安業者ModePUSH發現，<a href="https://www.modepush.com/blog/highway-blobbery-data-theft-using-azure-storage-explorer">變臉（BianLian）、Rhysida等多個勒索軟體駭客組織</a>，越來越頻繁地利用Azure Storage Explorer、AzCopy，將竊得的資料送到Azure Blob儲存桶。</p> <p>研究人員指出，他們看到利用Azure Storage Explorer的資安事故，大部分是變臉所為，但也有Rhysida利用這項工具的情況。值得留意的是，雖然駭客主要是利用Windows版本的Azure Storage Explorer，但微軟也提供macOS、Linux版，意味著這種竊取資料手法也有機會用於其他平臺的電腦。</p> <p>值得一提的是，在實際的攻擊行動裡，駭客並非直接使用可執行檔，而是透過安裝的方式植入受害電腦，再者，為了讓安裝Azure Storage Explorer的過程順利，駭客還會事先裝好.NET 8相關元件，而這樣的行為，也成為防守方能夠識別相關勒索軟體攻擊行動的其中一種徵兆。</p> <p>為何這些駭客選擇濫用Azure Blob儲存桶？研究人員指出，主要原因在於Azure是許多企業採用的服務，因此相關流量不太可能會遭到防火牆或是資安系統攔截；再者，駭客在短時間內外流竊得資料的過程，藉由Azure的延展性，他們可以因應這些非結構化的大量資料。</p> <p>由於這些駭客在運用Azure Storage Explorer及AzCopy的過程裡，會留下相關作案痕跡，研究人員提供相關特徵，讓企業的資安人員能夠檢查是否遭到攻擊。</p> </div></div></div>
2024/9/20 15:40作者周峻佑https://www.ithome.com.tw/news/165095
中國駭客Earth Baxia針對臺灣政府機關下手，藉由GeoServer已知漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月下旬地理位置資訊伺服器GeoServer修補重大層級漏洞CVE-2024-36401（CVSS風險評分為9.8），時隔不到一個月，美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動。先前通報漏洞的資安業者Fortinet，<a href="https://www.ithome.com.tw/news/164930">透露相關資安事故</a>，並指出從事活動的攻擊者，同時運用中國駭客慣用的惡意程式SideWalk，本週有其他資安公司公布新的攻擊行動。</p> <p>根據趨勢科技昨天揭露的調查報告指出，<a href="https://www.trendmicro.com/en_us/research/24/i/earth-baxia-spear-phishing-and-geoserver-exploit.html">名為Earth Baxia的駭客組織今年7月針對臺灣某個政府機關發動攻擊</a>，駭客利用釣魚郵件及CVE-2024-36401取得初始入侵管道，而能在受害主機植入Cobalt Strike相關元件，當中使用後門程式EagleDoor。研究人員根據駭客使用的伺服器進行調查，發現大部分架設在阿里雲，或是位於香港，而且，駭客使用的部分惡意程式樣本先前曾從中國上傳至VirusTotal，再加上Cobalt Strike伺服器多數位於中國，因此他們推測這些APT駭客來自中國。</p> <p>究竟這些駭客的攻擊目標為何？研究人員根據他們取得的釣魚郵件、誘餌檔案等資料，認為主要目標似乎是臺灣、菲律賓、韓國、越南、泰國的政府機關、電信業者、能源產業。但後來他們發現，中國也是這些駭客下手的範圍，不過，研究人員無法確認當地有那些產業受害。</p> <p>研究人員特別提及駭客利用GeoServer漏洞的情況，駭客先是下達curl和scp於受害主機下載、部署Cobalt Strike相關元件，然後藉由CVE-2024-36401執行。他們將Cobalt Strike偽裝成Edge，並透過DLL側載手法解密、載入Shell Code，最終於記憶體內執行EagleDoor。</p> <p>特別的是，這個後門程式能運用4種管道向C2伺服器進行通訊，這些包含DNS、HTTP、TCP通訊協定，最後一種則是透過加密通訊軟體Telegram進行，而這些方法當中，前3種利用指定通訊協定的方式，目的是傳送受害電腦的系統狀態資訊，至於主要的後門功能，像是檔案的下載、更新、送出，以及傳訊，實際上是利用Telegram的機器人API來進行，從受害電腦收集、竊取機密資料，再利用curl外流。</p> <p>值得留意的是，這些駭客於8月初調整攻擊手法，開始使用釣魚郵件做為接觸受害組織的手段，這些郵件會挾帶名為Ripcoy的誘餌檔案，此為微軟管理主控臺的單元控制檔案類型（.MSC），一旦使用者開啟檔案，內嵌的VBScript便會利用GrimResource手法從公有雲下載誘餌PDF文件、.NET應用程式及組態檔案，從而載入Cobalt Strike元件進行後續攻擊。</p> </div></div></div>
2024/9/20 12:55作者周峻佑https://www.ithome.com.tw/news/165092
Amazon針對EC服務發表影片生成工具以及AI銷售助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周四（9/19）針對旗下電子商務平臺的賣家發表了多項AI工具，包括可用來生成廣告的<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-generative-ai-video-generator-advertisers" target="_blank">Video Generator</a>，以及可協助銷售的<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-project-amelia" target="_blank">Project Amelia</a>。</p> <p>Amazon一直試圖藉由人工智慧來提高用戶的生產力，去年發表的Image Generator只要利用產品圖片、產品描述與用戶評論，就能生成廣告圖片。而本周展開測試的Video Generator同樣只要利用產品圖片、賣點及功能描述，就能生成廣告影片；另外還有一個基於Image Generator的Live Image 功能，可用來生成動畫形式的短影片，不過，這兩項新功能目前都只支援美國市場。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Amazon%20Ads_Video%20generator-2.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p>根據動畫製作公司Wyzowl的調查，89%的消費者想要看到更多品牌影片，但企業卻說它們缺乏時間與成本來製作與執行影片行銷，Amazon期望Video Generator與Live Image 能夠降低企業製作動態廣告的門檻。</p> <p>Project Amelia則是針對Amazon站上的獨立賣家所設計的AI助理。主要功能包括可以回答賣家所提出的、有關Amazon Seller Central的各種問題；還能夠統整賣家的商品銷售資訊及流量，並與前一年的成績進行比較；亦支援開放式的問題，例如「還有300件商品在路上，但報告中沒看見，可以幫我查一下嗎？」接著Project Amelia就能提供個人化的指示，或是主動調查問題，聯繫供應商等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Amazon_selling%20assistant_Project%20Amelia.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon指出，對於獨立賣家來說，要管理一個成功的全球銷售業務可能需要應對許多複雜且具備挑戰性的領域，包括打造滿足買家需求的商品，遵守不同的法規與政策，推廣商品及品牌，預測銷售趨勢，以及監督供應鏈並確保適當的庫存水準等，Project Amelia將可讓賣家更輕鬆地管理與發展業務。</p> <p>其它Amazon針對電子商務賣家推出的AI工具還包括，只要輸入簡短描述及官網網址，或者是產品圖片，就能自動生成產品清單的AI工具；自動生成產品及品牌故事的A+ Content；以及可根據買家喜好所訂製的個人化產品介紹的AI工具。</p> </div></div></div>
2024/9/20 14:31作者陳曉莉https://www.ithome.com.tw/news/165094
Google透過Google Password Manager跨平臺同步Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（9/19）<a href="https://blog.google/technology/safety-security/google-password-manager-passkeys-update-september-2024/" target="_blank">宣布</a>，即日起使用者將可透過Android與Chrome瀏覽器中的Google Password Manager存放通行密鑰（Passkey），並將Passkey同步到不同的平臺上使用，同時也新增了Google Password Manager PIN來保護通行密鑰。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。</p> <p>過去Google只允許使用者將Passkey存放到Android上的Google Password Manager，雖然使用者可以在其它裝置上使用Passkey，但也必須透過Android裝置掃描二維條碼來授權。</p> <p>現在Google則擴大支援，開放使用者把Passkey存放到Chrome瀏覽器中的Google Password Manager，並同步至不同的平臺，包括Windows、macOS與Linux等，ChromeOS也正在測試中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-save%20passkeys%20to%20Google%20Password%20Manager%20on%20desktop-2.png" style="width: 600px;" /></p> <p>此外，為了保護這些Passkey，Google推出新的Google Password Manager PIN，在企圖於新裝置使用這些Passkey時，必須先輸入PIN碼，或是解鎖Android裝置螢幕。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Google%20Password%20Manager-recovery%20pin.png" style="width: 600px;" /></p> <p>有鑑於Google Password Manager同時內建在Android及Chrome瀏覽器上，因此使用者現在就可替常用的應用程式建立Passkey，包括Google、Amazon或PayPal等，並以Passkey進行無密碼登入，而不必再下載額外的程式。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/9/20 13:49作者陳曉莉https://www.ithome.com.tw/news/165093
歐盟將在半年內讓蘋果iOS及iPadOS與第三方應用互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）周四（9/19）<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_24_4761" target="_blank">啟動兩項規範程序</a>，以協助蘋果履行《數位市場法》（Digital Markets Act，DMA）的規定，允許第三方服務與由iOS及 iPadOS所控制的軟體及硬體功能互動，並準備在6個月內完成這兩項程序。</p> <p>DMA主要規範那些擁有龐大影響力，被視為守門人（Gatekeeper）的品牌與數位服務，以確保公平及開放的數位市場，蘋果的iOS在去年9月就被納入DMA的管轄範圍，iPadOS則是<a href="https://www.ithome.com.tw/news/162594" target="_blank">在今年4月</a>跟上iOS的腳步。</p> <p>儘管蘋果已於今年3月<a href="https://www.ithome.com.tw/news/161632" target="_blank">釋出</a>遵循DMA規範的iOS 17.4，且iPadOS必須符合DMA的截止日期為今年的10月30日，但EC在今年6月<a href="https://www.ithome.com.tw/news/163637" target="_blank">初步認定</a>蘋果App Store的開發者規定違反DMA，並要求限期改善，進而制定本周出爐的兩項規範程序。</p> <p>EC的第一項規範程序鎖定的是iOS的連結特性與功能，相關功能是用來連結裝置或供連結裝置使用的，例如智慧手錶、耳機或虛擬實境裝置，由於開發相關產品的公司必須仰賴與手機及其作業系統的有效互動能力，因此，EC計畫具體要求蘋果如何提供包括通知、裝置配對或連結等功能的有效互動能力。</p> <p>第二項規範程序關心的，則是蘋果處理第三方開發者所提出的與 iOS及iPadOS互動的請求，EC打算替蘋果建立一個流程，讓此一請求流程更加地透明、及時與公平。</p> <p>EC預計在半年內結束這兩項程序，但在過程中會與蘋果溝通，向其解釋守門人應採取的措施，並要求蘋果遵守DMA的互動義務。</p> </div></div></div>
2024/9/20 12:22作者陳曉莉https://www.ithome.com.tw/news/165091
GitLab揭露CVSS滿分漏洞，若不盡快修補，恐被繞過SAML身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月17日GitLab發布<a href="https://about.gitlab.com/releases/2024/09/17/patch-release-gitlab-17-3-3-released/">社群版（CE）及企業版（EE）的17.3.3、17.2.7、17.1.8、17.0.8、16.11.10版更新</a>，當中修補CVSS風險程度達到滿分（10分）的漏洞CVE-2024-45409，這項漏洞能用於繞過SAML身分驗證機制，存在於Ruby SAML程式庫元件Ruby-SAML，攻擊者可在未經身分驗證的情況下，利用漏洞存取已由身分驗證提供者（IdP）簽署的SAML檔案，進而偽造SAML的回應。</p> <p>這項漏洞發生的原因，在於Ruby-SAML無法正確驗證SAML回應的簽章，影響1.13.0至1.16.0版，以及12.2版以下的Ruby-SAML。對此，GitLab在公告中指出，IT人員應套用上述新版，或是手動將相依元件進行更新：omniauth-saml升級為2.2.1版、ruby-saml升級為1.17.0版，就能緩解漏洞帶來的危險。</p> <p>若IT人員無法更新上述元件，該如何減輕漏洞的影響？其中一項措施是為所有使用者啟用GitLab內建的雙因素驗證（2FA）機制，但該公司強調，若是套用身分驗證提供者提供的相關機制，並無法緩解漏洞。</p> <p>另一項緩解措施，則是停用該系統的SAML雙因素繞過功能。</p> <p>究竟這項漏洞是否遭到利用？GitLab並未說明，但他們特別提及如何檢測漏洞遭到利用，以及GitLab系統是否遭到入侵的方法，這意味著可能有駭客著手嘗試利用。</p> </div></div></div>
2024/9/20 10:45作者周峻佑https://www.ithome.com.tw/news/165090
Walmart生成式AI應用實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 1 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>混用GAI和預測型AI分類商品，靠思維鏈優化提示工程找出高關聯商品組合</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-1.png" style="width: 600px;" /></p> <p><strong>同一件商品，在不同情境下有不同用途。在不同顧客尋找同一件商品時，辨別他們心目中的用途，並呈現出用途相關的商品，是Walmart打造個人化電商體驗的重要一環。不只如此，完善了商品分類數據，也有助於搜尋、推薦、顧客意圖理解，以及發展其他各種會用到商品數據的應用。<br /> 為了做到這件事，Walmart打造了一套多對多商品分類法，利用自家開發的AI工具Ghotok，來配對商品目錄上能看到的主分類（Category），以及商品用途分類（Product Type），並評估兩種分類之間的關聯性，進而決定推薦或搜尋等頁面呈現出的相關商品。<br /> Ghotok同時應用了預測型AI與生成式AI。首先，會用領域專門的預測型AI模型，來評估商品的主分類和哪些用途分類有高關聯性，並記錄高關聯性的「主分類、用途分類」組合。接著，再利用思維鏈（Chain-of-thought）提示工程，讓生成式AI模型進一步從這些組合中找出最具關聯性的少數商品，呈現給顧客。<br /> Walmart有4億商品SKU、上千種主要商品分類和商品用途分類，產生的商品分類組合有上百萬種，數據規模非常龐大。設計商品分類方法時，必須兼具硬體運算成本管控，以及對語意理解的高精確度。這正是為什麼，Ghotok分類分為2個階段，採取先後使用預測型AI和生成式AI。</strong></p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 2 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造購物用聊天機器人，靠GAI比價、搜尋，甚至主動追問顧客需求</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-3.png" style="width: 487px;" /></p> <p><strong>除了利用生成式AI來強化搜尋系統分類能力，Walmart還將生成式AI應用於消費者語意理解上。消費者不只可以使用關鍵字來搜尋商品，更可以利用自然語言來形容商品或商品使用情境。例如：輸入「我想要為周日足球觀賽派對準備」，Walmart搜尋功能就可以根據這個情境，橫跨不同分類，呈現出相關商品。<br /> 不只用生成式AI強化傳統搜尋體驗，他們還開發商品探索用的聊天機器人，有問答、搜尋和商品比較功能，還會摘要商品的描述及其他顧客的評價，供顧客進一步參考。未來，Walmart還計畫強化此機器人語意理解能力，主動根據個人情況追問問題，來提供超級個人化的購物建議，例如詢問消費者看電視情境及家裡客廳採光情況，來推薦電視規格。<br /> 應用生成式AI於搜尋，不只能強化跨分類搜尋能力，以呈現出更符合顧客需求的商品，同時也能從顧客對話中，更精確地理解、蒐集顧客需求。甚至，Walmart發現，當他們能呈現出與關鍵字語意上關聯性較低，但符合消費者潛在購買意願的其他商品，可以促成了更多衝動消費，提升了電商獲利能力。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 3 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>為不同職務建置GAI助手，門市店員幫手甚至能管理庫存和協助報廢</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-4-V2.png" style="width: 600px;" /></p> <p><strong>在2023年，Walmart推出了總部員工用的超級App，<a href="mailto:Me@Campus">Me@Campus</a>。用生成式AI介面整合了自主學習、保險與福利資格查詢、薪資查詢、職涯發展、員工訓練、甚至是公司內導航等各種功能。<br /> 去年，他們在此App新增了生成式AI助手功能My Assistant，來進一步輔助知識管理及涉及圖文生成的業務。例如，回答員工福利問題或自主學習相關問題，或是用來摘要文件、生成文件草稿等行政作業輔助。<br /> 他們也將生成式AI導入門市店員的App中，利用Walmart內部文件及個別門市等級的數據，來提供日常門市營運問答、員工訓練輔助、庫存管理及查詢等知識管理功能。甚至，還能對廢棄物減量及處理提供建議。<br /> 廢棄物減量及處理功能是一個利用個別門市數據及Walmart內部最佳實踐數據打造的功能。當商品接近有效期限，甚至只是有缺陷，廢棄物減量系統便會根據情況，自動通知門市員工，並給予員工建議，包括降價商品、移動商品、將商品退給供應商，或是捐出此商品等。系統還會分析哪些商品在個別門市造成最多廢棄物，包括常態性或季節性報廢情況，並給出具體的處理指示，未來甚至還會呈現出其他門市的廢棄物處理方法，來促進門市間交流。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 4 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>用GAI打造多語系語音客服及個人化語音購物功能</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E5%85%AD-%E8%AA%9E%E9%9F%B3%E8%B3%BC%E7%89%A91.jpg" style="width: 600px;" /></p> <p><strong>語音對話服務是另一個Walmart導入生成式AI的領域。他們打造了一個對話式AI平臺「Converse」，用來開發語音購物、語音客服、內部員工用語音助手等流程和應用。其中，語音購物功能是與Android和iOS兩大行動作業系統合作開發。這個平臺背後是一個多語言、多模態模型，一方面能支援海外語音對話應用，另一方面，當購物情境發展到更適合其他媒介的情況，系統也可以將整趟購物流程轉移到電商App等其他介面。多語言模型通常相當龐大，Walmart為了確保語音購物等體驗足夠即時，利用知識蒸餾法（Knowledge Distillation）來為模型瘦身，以達到毫秒級反應速度。<br /> 現有Walmart語音對話購物功能，可以搭配過往顧客購物紀錄來給出一定程度的個人化服務。例如，只需要講「請把洗髮精加入購物清單」，系統就可以自動把顧客過往愛買品牌的洗髮精加入購物車。後來，Walmart還開發出能在顧客詢問商品缺貨時，由語音購物機器人主動推薦替代品的功能。<br /> 未來，Walmart還計畫開發直接能跟語音機器人進行一般性對話，並讓顧客聲控機器人代操整個Walmart 電商及會員App的功能。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 生成式AI未來應用 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來應用GAI到個人化AR購物及第三方供應商客服</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-2.png" style="width: 600px;" /></p> <p><strong>不只將生成式AI應用於傳統零售場景，Walmart還計畫將生成式AI應用於更多非傳統購物場景，例如AR購物場景。目前，Walmart App可以透過鏡頭掃描實際房間或人物，再於螢幕上模擬擺設家具、試穿衣物飾品。這些場景目前主要以傳統AI實現，Walmart打算用生成式AI來進一步強化。<br /> 一個做法是，打造生成式AI購物助手，在AR試用的介面中，即時根據消費者預算、偏好主題等需求，來協助消費者決策。<br /> 另一個計畫用生成式AI強化的購物場景是B2B2C商務。他們正在測試一個針對第三方電商市集賣家的客服機器人，讓他們可以針對商品上架、金流物流及其他賣家相關業務提問，提升賣家問題獲得解答的即時性，也降低Walmart客服負擔。架、金流物流及其他賣家相關業務提問，一方面提升賣家問題獲得解答的即時性，另一方面也降低Walmart客服負擔。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3366ff;"> 業界觀點：全國電子資訊管理處協理黃漢傑 </span></strong></span></span><br /> <span style="color:#3366ff;"><span style="font-size:28px;"><strong>零售業GAI應用，如何真正落地帶來效益才是關鍵</strong></span></span><br /> <strong>我看到Walmart生成式AI做法很驚訝，怎麼好像在看自己，原來零售業想的事情都一樣！」看完Walmart生成式AI應用，全國電子資訊管理處協理黃漢傑說，自家生成式AI應用規畫，許多領域也類似Walmart的方向。<br /> 他坦言，全國電子數據規模與開發量能，遠比Walmart來得小，他們選擇尋求市面上較成熟的解決方案，而非從頭開發。不過，全國想發展的生成式AI應用領域，不少和Walmart一樣，例如用於商品分類數據整理、內部知識管理助手、外部客服，甚至是結合生成式AI與AR購物場景等。<br /> 全國電子已經開始利用生成式AI，生成個人化購物體驗所需素材。他們還利用生成式AI整理了大量跨部門的數據，包括IT技術文件、家電規格與操作文件、行銷活動文件、業務最佳實踐方法文件等，現在正在以這些文件為基礎，打造內部知識管理系統。未來，將打造內部用KM機器人來進一步簡化內部文件存取難易度，更要建置外部客服機器人，提供電器需求規劃、產品諮詢等客戶服務。<br /> 看到了先行者的種種生成式AI用法，黃漢傑最在意的是，哪一種可以帶來實際效益，他不諱言：「IT部門想追求最新最厲害的技術，但有時候，做法會與企業的實際利益脫鉤。」黃漢傑更想知道的是，生成式AI該如何達成以下這些業務目的，例如創造業績、提升了特定工作流程效率、吸引更多消費者目光等。這才是他眼中，應用生成式AI的核心價值。<br /> 他進一步說明，許多新技術應用難以直接歸因出實際營收，至少要有量化指標可循。例如優化搜尋系統後，顧客尋找商品時間縮短多少？商品數據貼標時間節省了多少？都是可以為生成式AI應用價值背書的指標。<br /> 黃漢傑也提到，對全國電子有一大挑戰是如何將技術包裝成產品，實際落地。導入生成式AI技術後，如何結合現有技術、系統或介面？如何與行銷等其他非技術的業務策略並用？他希望學習先行者如何面臨這些課題。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3366ff;"> 學界觀點：高科大行銷與流通管理系副教授歐宗殷 </span></strong></span></span><br /> <span style="color:#3366ff;"><span style="font-size:28px;"><strong>Walmart GAI應用兼具深度廣度，能創造四大價值</strong></span></span><br /> <strong>高雄科技大學行銷與流通管理系副教授歐宗殷觀察，Walmart生成式AI應用已經發展到相當後期的階段，且兼具深度與廣度。<br /> 歐宗殷曾借調到統一資訊擔任總經理，之後仍持續擔任顧問，協助統一集團發展數據、AI及生成式AI的應用。他從經驗歸納，零售業應用生成式AI有5個階段，依序是加速開發、分析消費紀錄及產品資訊等數據、建置企業綜合知識庫及知識管理工具、設計和影音等內容創作，最後走到顧客服務、行銷與推薦。這些做法背後有4個面向的價值，包括生成內容精準度、帶來實質效益、業務模式創新，和體驗優化。越後期的階段，這4種價值含量越高。Walmart生成式AI應用，就遍及了多個階段。<br /> 在這些階段的應用中，歐宗殷還看到Walmart展現出深度的技術與豐富的領域知識。尤其，Walmart第二階段的應用，也就是利用生成式AI處理上億商品數據分類時，利用思維鏈提示工程來有效描述出消費者使用意圖、行為模式、思考路徑。「這件事非常困難，背後就是他們雄厚Know-how。」另外，結合生成式AI與AR購物，也是高度創新的應用方法。<br /> 他並指出，Walmart第五階段生成式AI做法，進一步幫助了他們其他階段的做法。Walmart透過生成式AI強化顧客購物體驗同時，能更好蒐集消費者注重的價值與購物意圖，這些都是極具價值的資訊，可以再投入回第二、第三階段的生成式應用，也就是數據蒐集、分析與管理做法。<br /> 回頭看臺灣零售業，他說，目前業界較少大規模應用生成式AI於第五階段做法。不過，有一個第五階段應用，是業界聚焦的重要機會──用生成式AI來生成大量RMN行銷素材，並真正準確地用來提供個人化購物與行銷體驗。不過他也坦言：「目前臺灣業界距此還有一段路要走。」</strong></p> <p><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/165067" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/20 06:00作者郭又華https://www.ithome.com.tw/news/165048
Google在搜尋與廣告產品中應用C2PA標準，強化數位內容透明度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google進一步採取措施提高數位內容的透明度和安全性，藉由在自家產品<a href="https://blog.google/technology/ai/google-gen-ai-content-transparency-c2pa/">採用C2PA標準</a>，使用戶能夠更清楚了解圖片和影音等媒體，是否經過生成式人工智慧或其他工具編輯。這項措施也反映了Google與業界合作，以共同提升網路透明度的承諾。</p> <p>內容出處暨真實性聯盟（Coalition for Content Provenance and Authenticity，C2PA）是一個跨產業的的聯盟，目的在於替數位內容的真實性和來源，建立一套標準化的技術框架。該聯盟由Adobe、ARM、微軟與英特爾等企業發起，制定全球通用標準，供使用者可以確認網路上的圖片、影片和音訊等數位內容來源和修改歷史，藉此消除虛假資訊和內容竄改問題。</p> <p>Google指出，他們不只積極參與C2PA 2.1標準的開發，同時也正著手在其搜尋、廣告和YouTube等產品中採用C2PA 2.1標準。Google計畫將C2PA標準應用於搜尋產品中，當圖片包含C2PA後設資料，使用者可以透過關於此圖片（About this image）功能，查看圖片是否經生成式人工智慧或其他工具編輯過。同時，關於此圖片功能，也會應用於Google圖片搜尋、Lens和Circle to Search等服務，協助用戶取得圖片背景資訊。</p> <p>Google的廣告系統也開始整合C2PA後設資料，並逐步增加該技術應用的範圍。未來，C2PA後設資料將成為Google執行廣告政策的一項關鍵依據，有助於辨識廣告內容的來源和修改歷史。此外，YouTube也是Google應用C2PA技術的目標服務之一，讓由攝影機拍攝的影片，以C2PA後設資料顯示來源資訊，進一步提升內容的透明度和可信度。</p> <p>C2PA 2.1標準相較於之前的版本，重點在於其附加在數位內容中的內容憑證（Content Credentials），這些憑證能夠追蹤和紀錄內容的創建方式，諸如以攝影機拍攝，還是經過生成式人工智慧修改等。2.1版本在安全性有更進一步的強化，透過更為嚴格的驗證要求，能夠抵抗內容竄改攻擊，確保附加的資料不易被偽造或是改動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-C2PA-content%20credential-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／C2PA</span></span></p> <p>簡單來說，C2PA 2.1標準中的內容憑證防竄改機制，主要仰賴加密雜湊和數位簽章來保護內容的完整性。每個憑證都會生成加密雜湊並且使用私鑰簽名，確保即便數位內容被更改，竄改也能夠被偵測出來。此外，數位浮水印技術也能用來確保即使內容憑證被移除，依然可以透過浮水印恢復相關憑證資料。C2PA 2.1中的標準Web API，則允許各種平臺恢復被移除或是替換的憑證資訊。這些方法的結合建立起強大的防竄改機制，有助於在生成式人工智慧時代保護內容創作者和消費者。</p> </div></div></div>
2024/9/20 08:40作者李建興https://www.ithome.com.tw/news/165082
關鍵作業生產力提升百倍，Walmart要大規模擁抱GAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>改用GAI輔助上億筆數據處理，媲美100倍人力的生產力！商品SKU 4億筆，年營收20兆元的全球零售龍頭Walmart，在倉儲管理、訂單履行、搜尋功能、商品推薦、店員服務優化，以及打造各式各樣營運和購物體驗時，都以這傲人規模的商品資料集作為基礎。不過，梳理幾億筆商品資料的艱鉅工程，誰來做？</p> <p>若是以前問這個問題，舉起手的是無數個數據團隊成員，必須日以繼夜的更新和完善商品資料，這些資料才能成為後續進階應用的養分。不過，現在Walmart有了一個新法寶，讓舉起手的人變少了。這個法寶正是近年爆紅的生成式AI技術。</p> <p>Walmart資深副總裁Stephanie Wissink在今年8月法說會揭露了不少生成式AI的成果，也透露未來要開始將GAI運用到供應商管理，像是第三方供應商的客服，意見彙整等。尤其有一項關鍵作業的成效驚人，引起各界高度關注，這是目前少數對外公開，跨國企業導入生成式AI的成效實例。</p> <p>他們用生成式AI來建立及完善商品目錄數據，支援至少8.5億筆資料的處理作業。「沒有生成式AI，在相同時間內完成同樣作業，需要近100倍人力。」Stephanie Wissink說，「提升了商品目錄數據品質，幾乎對於我們所有業務都有正面影響。」這是一項影響遍及Walmart所有業務和營運的關鍵作業，生成式AI創造了媲美100倍人手的生產力。</p> <p>參與過統一集團數據與AI發展的高雄科技大學行銷與流通管理系副教授歐宗殷觀察，Walmart生成式AI應用已經發展到相當後期的階段，且兼具深度與廣度。</p> <p>歐宗殷指出，零售業生成式AI發展有5個階段，從加速開發、分析消費紀錄及產品資訊等數據、建置企業綜合知識庫及知識管理工具、設計和影音等內容創作，最後一個階段是顧客服務、行銷與推薦。Walmart生成式AI應用已經擴及這5個階段，可以帶來四大類的價值，提高生成內容精準度、帶來實質效益、業務模式創新，和體驗優化。</p> <p>除了一開始提到的各式數據應用，Walmart優化商品資料品質還有助於門市販售商品選擇、利用電腦視覺等技術標註和新增更多商品資料、分群門市特性用於經營決策參考、商品訂價，甚至是更加了解顧客行為模式，並直接帶來營收。</p> <p>Walmart執行長Doug McMillon舉例，完善後的商品數據，會用於電商生成式AI搜尋功能，強化跨商品分類搜尋的能力。這有助於他們更細緻理解顧客的偏好和購買周期等行為模式。進而帶來更多營收，直接強化獲利能力。</p> <p>這是因為，搭配生成式AI技術的搜尋引擎，能透過語意分析、跨分類商品檢索等能力，呈現出與消費者輸入關鍵字本身未必直接相關，但符合消費者潛在購買意願的其他商品。這樣一來，既能提升客單價，也能進一步透過消費者購買與否，來了解更多消費者習性。</p> <p>Doug McMillon將這個現象類比做實體購物時的衝動消費。「人們走進實體店面時，常會購買不在購物清單上的東西。」這於實體零售已經自成一門學問：如何根據消費者習性，陳列看似不相關但有高機率被同時購買的東西──經典的尿布與啤酒故事。現在，電商的虛擬貨架也能呈現出這些促成衝動消費的商品。甚至，可以做到實體門市更加細緻，記錄每一筆這類消費行為，並以個人等級顆粒度，呈現出該顧客最有可能連帶購買的商品。</p> <p>利用生成式AI來大幅提升數據梳理效率，不只能節省人力成本，還連帶加速後續應用開發速度，有助於Walmart面對大型企業應用生成式AI一大挑戰，也就是如何持續高速創新。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1200-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-600.png" style="width: 600px;" /></p> <p><span style="font-size: 16px;"><strong><span style="color: rgb(105, 105, 105);">Walmart大舉應用生成式AI到企業內外部場景。圖為他們結合AR技術與生成式AI打造而成的室內設計購物助手實驗原型，根據自然語言輸入來為顧客房間模擬擺設適合的商品。這些技術背後使用的商品數據，也會靠生成式AI清洗和梳理。</span></strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Walmart應用生成式AI的4大挑戰</strong></span></span></p> <p>Walmart應用AI及生成式AI時，有4大挑戰：持續高速創新、數據及開發規模龐大、成本控制不易，以及需要執行複雜嚴謹的生成式AI治理政策。其中，持續高速創新是Walmart主任資料科學家Michael Pfaffenberger最為重視的。</p> <p>Michael Pfaffenberger說明，零售科技競爭非常激烈，就算Walmart在這戰場中算是領先者，仍時刻不能慢下創新腳步。同時，Walmart還有一些限制，使他們接觸新科技時更需要快馬加鞭開發進度。</p> <p>其中一個限制是，正式採用新技術的時機點較慢。就Walmart來說，財會部門需要控管和紀錄GenAI使用支出，且使用的服務需要具備更高服務水準，因此得等一般可用（Generally available）的商業級產品釋出才會啟用。新創或中小型企業，則沒有這麼重的包袱。</p> <p>他舉例，Azure開放使用GPT4-Turbo的時間比OpenAI開放試用版的日期晚了9天，且企業還需要等待廠商協助設定和導入，進入Walmart自家正式開發環境。這就會讓Walmart於競爭激烈的環境中晚了數周才起步。「這聽起來不久，但上市時間在生成式AI軍備競賽中非常重要。」他強調。</p> <p>第二個挑戰是數據及開發規模龐大。Walmart有近3億名會員、4億筆商品SKU、2百萬名員工、上萬家門市、月流量4億人次電商和無數家第一方及第三方供應商，產生驚人規模的數據。不只資料量日益增加，Walmart還不斷將生成式AI應用於更多、更大、更複雜的問題。這些因素，使Walmart必須在多雲端平臺及多地理區域增加開發資源，並確保系統有高可用性。</p> <p>規模龐大便會帶來第三個挑戰，開發成本控制不易。尤其是，以不犧牲功能性和效能為前提來控制成本。如何提高IT資源利用率，成為極其複雜但不得不面對的議題。例如，如何減少資源閒置時間、自動調整機器用量、有效的IT硬體及開發資源共享、採購高效能運算硬體或採用適當IT基礎架構等。</p> <p>第四是更強的AI治理需求，也就是如何避免生成式AI產出內容在倫理或法律上產生威脅，同時兼具應用的可用性和效能。這對Walmart來說不只是IT和數據部門的責任，更涉及了橫跨法務、公關、會計等部門。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造生成式AI「遊樂場」，標準化開發環境更鼓勵企業上下探索應用</strong></span></span></p> <p>Walmart原本就有一套MLOps平臺Elements，可以同時管理和運作百萬個模型，來支援2萬5千名IT團隊和資料科學團隊的各種AI應用。現今，此平臺也加入了生成式AI應用所需的開發資源，加入更多工具、相關模型等，系統性因應生成式AI發展的四大挑戰。</p> <p>不只大幅強化技術人員的AI軍火庫，Walmart更針對非IT人員開發了一個名為GenAI Playground的生成式AI沙盒工具。這個「遊樂場」提供各式開發工具及測試環境，也包含No-code開發工具，讓非IT或數據背景的員工，也能根據自己崗位需求和靈感，自行打造和試用生成式AI功能。</p> <p>除了打造全公司人人都可用的生成式AI應用開發工具之外，Walmart還有各種蒐集員工關於生成式AI應用發展及使用回饋的機制。例如，他們會定期開研討會，將業務人員和工程師齊聚一堂，由第一線業務人員提出需求和想法，並由工程師說明技術細節，藉此尋找新應用可能。他們也會蒐集員工使用生成式AI工具的數據來分析使用情況，並於這些工具中提供使用者回饋功能，鼓勵員工主動回報使用心得。</p> <p>藉由這些工具，Walmart已經開發出許多大規模生成式AI應用，囊擴對內和對外業務。這包括基礎資料梳理、生成式AI搜尋功能、電商購物助手機器人、總部員工生產力工具、門市營運輔助、員工學習及福利管理工具、語音客服與購物等。未來，還將進一步應用生成式AI於AR家具及服飾購物功能，以及第三方供應商的客服功能。</p> <p><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/165067" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/20 06:00作者郭又華https://www.ithome.com.tw/news/165047
【大規模快速打造生成式AI應用的關鍵】從開發、維運到治理，Walmart全靠一站式AI開發平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何快速、大規模的開發生成式AI應用，並在上百萬AI模型平行執行的情況下顧及治理政策和系統效能？對Walmart來說，他們早在生成式AI時代來臨之前，就做好了準備。</p> <p>Walmart開發生成式AI的4大挑戰是：持續高速創新、數據及開發規模龐大、成本控制不易，以及需要嚴謹的治理政策。零售市場的激烈競爭和世界級的企業規模，這是每一次Walmart擁抱任何科技，都會面臨的挑戰。</p> <p>不論是一般AP的開發，到過去幾年的AI/ML應用，Walmart不斷思考因應這些挑戰的方法。其中一項關鍵策略是，統一25,000名IT人員所需的開發環境和資源調度，透過一站式平臺管理超大規模開發的種種面向，包括IT資源、成本、治理政策等，來增加開發效率。</p> <p>從2015到2019年，Walmart花了四年，從頭打造一套雲原生開發者平臺（Walmart Cloud Native Platform，簡稱WNCP），採取「三胞胎」雲端模型（Triplet model），以容器調度技術為基礎，橫跨Azure、AWS及Walmart私有雲，作為跨雲環境及跨開發生態系的抽象層。開發者可以一站式存取3大雲端平臺的數據處理工具、數十種數據來源、和其他開發工具及資源。此平臺也能自動轉化程式碼，以利自動化部署服務到這3朵雲及Walmart自家邊緣裝置。</p> <p>這個一站式的開發平臺，更為後來Walmart擴大AI/ML應用時，打下良好基礎。2021年，他們以WNCP的平臺工程及DevOps做法為基礎，打造了一套AI/ML開發平臺Elements，增加MLOps機制與工具，並與WNCP其他系統和技術原生整合。</p> <p>這種做法大幅降低了不同專案團隊評估開發工具的時間、準備開發環境的時間，以及整體開發和部署時間。Elements上線後，將模型實際落地到商業應用的時間，從2周減少到短短1小時內。</p> <p>當生成式AI浪潮來臨，Walmart便能用行之有年的MLOps原則、機制和工具，以及平臺工程經驗，來因應前述的4大挑戰。他們於Elements新增更多生成式AI開發和治理工具，以及多個LLM和其他不同模態的模型到Elements，以快速發展生成式AI實驗及應用。至今，Walmart隨時有上百萬個ML、AI、生成式AI模型執行，全都靠Elements開發、部署、管理。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用一站式界面和No-code工具降低開發門檻</strong></span></span></p> <p>Elements前端介面是一個以React.js做成的Web啟動臺，透過微服務及容器架構存取所有Elements甚至WNCP的後端資源。開發人員能於此一站式存取3朵雲上的開發工具及運算資源。</p> <p>這些工具包括可以視覺化建立和管理工作流的DAG設計器、AI專案管理、Python或R的互動式筆記本、批次數據處理任務管理，以及數據集和模型資產管理等。完整ML生命周期的作業，包括數據彙整、數據準備、特徵工程、模型訓練、模型實驗、模型評估、模型部署、模型監控、模型回饋及再訓練等，都能利用這些工具完成。</p> <p>此平臺上的開發環境不只服務資料工程師和AI工程師，更針對沒有AI背景的開發人員、資料科學家和分析師，提供了一系列No-code AI開發工具，增加他們數據探勘及實驗AI應用的能力。</p> <p>Elements還內建了全平臺通用的管理與維運功能，例如成本計算與控管、數據權限管理、程式碼版本控制、系統紀錄留存、系統異常報警、災難復原。</p> <p>Walmart從前端到後端全面整合AI開發相關功能，是希望確保使用者能自由選擇最適合的AI開發工具，同時能大規模自動化不同流程、重複使用IT資源、建立統一開發及治理標準，並一站式控管所有相關成本。不只如此，整合所有AI開發的IT資源使用需求，還有機會向雲端服務商協商更低的使用費。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造超大型AI開發平臺的9大關鍵考量</strong></span></span></p> <p>為了一站式支援超大規模的AI模型開發、執行、維運、管理與治理，Walmart打造Walmart平臺時，著眼在9大關鍵考量。3項開發面考量、5項維運需求以及1項治理目標。</p> <p>在開發面考量上，首先，此平臺須涵蓋AI開發完整生命周期，包括從數據彙整到模型部署的各個階段。部署後，還需定期監控模型的公平性和偏差，進行再訓練，以避免模型衰退。</p> <p>第2個考量點是開發工具完整性。Elements支援Python、PySpark、Scala、R和SQL 等程式語言，Jupyter、Theia、PyCharm和RStudio等開發環境，TensorFlow、Keras和 PyTorch等AI/ML 演算法和函式庫，以及Grafana和RShiny等報告工具。</p> <p>有了工具，還需要作為AI開發原料的數據。第3個考量點正是數據可用性，平臺必須讓使用者能快速存取數十種數據來源，以支援模型訓練和推論工作。</p> <p>第4到第8項維運類需求，則與大規模維運和可用性有關。第4個考量點是規模，平臺需能支援數百萬個模型平行執行時，這些模型依然維持高效能。第5到第8點分別是成本管理、運算硬體支援、可用性措施及地理位置。</p> <p>隨著數據量和演算法複雜度的增加，平臺必須能夠保持成本低廉。為了滿足大規模運算需求，平臺還必須支援多種運算資源，包括CPU、GPU及TPU。</p> <p>可用性方面，Walmart尤其重視災難復原能力，確保平臺能在多個地理區域和多個服務提供者之間的備援基礎設施上運行，以維持高可用性。</p> <p>地理位置上，Walmart有橫跨不同國家的數萬間分店和多個IT研發中心，必須同時考量雲端基礎設施以及邊緣設施的設置地點，確保不同區域都有高系統可用性、IT資源使用彈性和災難復原做法。尤其，需要部署模型在偏遠門市時，須追求低功耗、高可用性和低維護需求。</p> <p>最後一個關鍵考量點是治理，Walmart希望盡可能用簡單且標準化的流程和工具，來管理超大規模AI專案的開發模式、資訊安全和合規性。他們專門制定了一整套AI治理框架，並透過Elements平臺來實現此框架的指引。</p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>Walmart AI開發平臺的治理框架</strong></span></span></p> <p>AI治理不只是打造Elements平臺9大考量的重要一項，更涉及了法遵、道德、企業形象等面向，是Walmart企業治理政策中的重要一環，受到不同部門重視。制定AI與生成式AI治理框架時，Walmart用不同部門的主管及資深人員，組成數據科學治理委員會（Data Science Governance Council），來制定數據及AI相關的道德及負責任指引。</p> <p>IT及數據團隊則以這些指引為基礎，在Elements上設計AI治理做法與機制，以強化模型的安全性、透明性及公平性。安全性方面，存取控制機制確保只有經過認證和授權的使用者才能存取數據集、模型或筆記本；加密機制會全面加密靜態和動態數據，確保資料的完整性與保密性。責任歸屬機制則記錄了所有素材的擁有者，以在事件發生時快速辨認相關負責人員。</p> <p>為了進一步提升AI模型的可稽核性，平臺提供了全生命周期的稽核功能，確保所有利益相關者能觀察模型各個開發階段的情況。具體做法包括模型性能與健康狀的監控儀表板，還有數據飄移及偏差監控機制等，幫助用戶即時了解模型的狀況，並快速識別出需要再訓練的模型。</p> <p>針對敏感模型，平臺設有公平性與偏見監控機制和自動化評估機制，搭配模型可解釋性機制，使業務面的相關部門能夠更好理解模型的運作原理，增強對AI決策的信任。另外，Walmart還會於開發環境中提供多種模型，讓開發者根據模型生成模式，選擇任務適合的模型。</p> <p>隨著生成式AI崛起，AI治理的重要性和難度雙雙提升。正是因為有Elements作為所有AI/ML和生成式AI開發及管理的平臺，能一站式進行AI治理，Walmart才有信心，能應用生成式AI到直接面對超大規模消費者的產品，並為AI生成內容負起責任。</p> <p><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/165067" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/20 06:00作者郭又華https://www.ithome.com.tw/news/165049
零售龍頭如何擁抱GenAI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全面擁抱生成式AI的Walmart，從電商到門市，從總部到分店，從工程師到店員，都有專屬GenAI應用。這些應用不只大幅提升生產力，更帶來實質營收。甚至，不用等待內部AI團隊建置，非技術人員都能使用生成式AI開發沙盒，根據自己業務需求來探索和打造更多GAI使用情境</p> </div></div></div>
2024/9/20 06:00作者郭又華https://www.ithome.com.tw/article/165067
鼓勵機關用科技思維改善市政，桃市靠新科技加速智慧城市發展
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現在資訊科技的策略高度已經變得更高，一個科技的改變，很可能就會影響到各行各業」，桃園市政府智慧城鄉發展委員會主任委員吳肇銘說。</p> <p>桃園市長張善政上任後，發揮過去的科技背景，積極推動科技政策，並提出智慧桃園的願景，去年9月桃園市政府更將原本獨立的資訊科技局和研考會兩個機關合併為智慧城鄉發展委員會（簡稱智發會），扮演桃園市智慧化發展的新發動機，由桃園市研考會主委吳肇銘擔任智發會主委，他過去協助新北市的科技化發展，肩負桃園全市府各機關建立科技思維的重責大任。</p> <p>吳肇銘表示，在資科局與研考會合併前，市府資訊政策上採取分工，優點是各個機關責任清楚明確，但長久發展下來，容易導致各機關各自為政，缺乏統合性的科技思維或策略方向，當出現新興科技，因為不屬於各機關負責的業務，缺乏統合推動的動力。</p> <p>「現在資訊科技已經不是輔助政策，而是策略工具，市府各機關都應該具有科技思維，從科技的角度去思考，科技能帶來什麼優勢」，吳肇銘說。</p> <p><span style="font-size:28px;"><strong>引導市府各機關建立科技思維</strong></span></p> <p>談到科技思維的重要性，他以小吃店為例，一般多認為小吃店和科技沒有直接關係，然而當外送服務平臺興起後，衝擊了餐飲業的商業模式，仰賴附近消費者的傳統麵店，如果缺乏科技思維，沒有與外送服務平臺合作，當其他小吃店採用外送服務，雖然距離遙遠，仍能威脅本地的麵店生意。</p> <p>吳肇銘認為，科技思維對公務機關也相當重要，「公務機關的業務思維有一個令人覺得擔憂之處，公務人員因循前人教導的方式辦公」，公務人員如果沒有與時俱進，執行公務的方法可能來自他的老師，也就是該職位的前任公務員，不斷延續下來，公務員的做法可能和5年前，甚至是10年前相同，公務人員可能沿用十年前的方式來服務民眾。例如機關發出的公告，即使現今網路普及、雲端硬碟相當便利，仍要求民眾使用傳真機，或是要求附上文件及光碟。</p> <p>因此，智發會希望扮演跨局處溝通協調，同時扮演發動機的角色，推動桃園市政府整體科技思維。</p> <p>吳肇銘強調，市長期待智發會成立後，為市府建立一致性的資訊科技策略方向，帶動各機關往前走，避免各個機關各自發展、重覆投資，沒有統整行動方向而虛耗資源。</p> <p>以往各機關編列資訊預算,資科局僅協助依經費合理性進行審核,為統整資源,現在市府的資訊預算由智發會統籌策略方向並進行實質審查。此外,各機關若要發展新興、創新的資訊應用計畫,除了編列於機關的預算外,也可依智發會整體策略方向進行規畫,由智發會審核、優化,並提供預算補助。</p> <p><span style="font-size:28px;"><strong>推動跨機關資源運用</strong></span></p> <p>吳肇銘表示，智發會審核、優化各機關資訊應用時，主要有兩個方向，第一個是就機關資訊應用的目的，建議機關怎麼做會更好，或是採用哪種技術工具，第二個則是協助跨機關的資源運用。</p> <p>舉例來說，桃園市警察局有一套AI巡防系統，利用巡邏警車上的鏡頭，拍攝巡邏時的路邊影像，再由AI協助辨識影像中的車輛車牌號碼，警局日前也向智發會提出第二代AI巡防系統規畫，將利用靈活性更高的巡邏警用機車來蒐集影像。</p> <p>另一個單位也有類似的AI影像辨識應用，環保局取締排氣管非法改裝時，稽核人員在路邊定點設置腳架攝影機設備，拍攝來往車輛排氣管及車牌號碼，利用AI辨別車輛是否改裝排氣管，但是，這個做法得時時更換拍攝地點。</p> <p>智發會為推動跨機關的資源共享，協助說服警察局，將警用機車巡邏影像提供給環保局，利用AI辨識改裝的排氣管和車牌來取締。這是智發會發揮跨機關協調整合功能，資料面跨機關共享的例子。</p> <p><span style="font-size:28px;"><strong>優化數位化服務的流程</strong></span></p> <p>除了推動跨機關的資源共用，吳肇銘還觀察到另一個需要克服的問題，服務流程整合。儘管過去桃園市政府努力推動E化，例如民眾到市府官網線上申辦某項服務，下載表單填寫完後，再以電子郵件或掃描傳真給負責的申辦單位。但有位身障者市民透過1999專線反映，填寫完電子表單後，還必需要到郵局劃撥，對他相當不便。</p> <p>這位民眾的陳情內容一針見血，點出桃園市許多服務雖然數位化，但侷限於表單電子化，背後的流程仍然依循既有做法，換言之，電子化服務只做了半套，相較之下，民間企業採用線上支付提供客戶一條龍的服務。</p> <p>「下一個階段，計畫盤點現有線上申辦服務，從半套做到全套」，吳肇銘說，希望不只是文件電子化，而是整個流程真正的E化。例如民眾線上填寫電子表單，填妥後即轉發給相關單位，民眾不需再以其他方式回傳，至於金流的部分，未來可整合第三方支付或電子支付，讓民眾使用線上支付工具付款。</p> <p>吳肇銘認為，如果機關沒有意識到可以運用線上支付，民眾就難以真正享受到服務數位化帶來的便利性。過去研考會掌管的1999陳情系統，接到民眾陳情後，只能轉到相關負責單位處理。現在研考會與資科局合併為智發會後，智發會可以化被動為主動，召開機關協調會，先盤點所有電子化服務流程，以及所需資料的串接，以改進市府現有的數位服務。</p> <p>在民眾線上服務中，有一類只需填寫電子表單，不需要附上其他機關的證明文件，智發會將優先推動這類服務的流程整合。對於需要附上其他政府機關證明文件的服務，智發會考慮協助市府各機關介接中央的MyData平臺，未來在民眾同意授權之下，該機關就能通過MyData平臺，從其他政府機關取得民眾的證明文件。</p> <p>以婦女懷孕為例，當婦女到桃園的醫院確認懷孕後，醫院將相關資料傳給婦幼局，婦幼局就能著手準備，主動向準媽媽推播訊息，建議她申請媽媽專用的市民卡，可以跨局處整合婦幼局、衛生局、社會局的資料，讓準媽媽不需附上任何證明文件也能申辦，盡快讓她拿到市民卡，免費搭乘專車到醫院或診所產檢。這是吳肇銘描繪未來市政服務整合的樣貌。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E6%A1%83%E5%9C%92-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>規畫推出市民卡2.0</strong></span></p> <p>身為六都之一，桃園市居住人口超過200萬，為服務市民，桃園市其實相當早便推出市民卡，由於提供豐富的民眾服務及福利，市民卡發卡量超過百萬張，但是由於種種原因，過去一年市民卡發展幾乎停滯不前。</p> <p>智發會目前正規畫推出市民卡2.0，最大特色是，改變了實體卡片的形式，考量到方便性，2.0版可以選擇用一組QR Code代替實體卡片，讓手機化身行動市民卡，例如進出圖書館、公共場所，可以憑手機上的QR Code進出場館。桃園正在部署各場館的掃碼設備，等到完成相關的準備工作，市民卡2.0預計年底才會推出。</p> <p>吳肇銘表示，新的市民卡將運用會員經濟的概念，以積點來鼓勵民眾嚮應市府的政策或活動，例如節能減碳的政策或活動，利用會員經濟的積點來吸引民眾。至於沒有居住在桃園的民眾，也會提供數位市民碼，等於數位市民，方便其他縣市民眾也能參與在桃園市舉辦的活動。</p> <p><span style="font-size:28px;"><strong>用AI輔助治理城事</strong></span></p> <p>為了實現智慧桃園的願景，桃園市政府鼓勵各機關要建立的科技思維，其中很重要的便是運用AI，近幾年市府各機關，例如環保局、警察局、水務局、工務局已發展相關的AI應用，並且已小有成果。</p> <p>例如環保局為維護環境品質，過去需要投入大量人力，監控、取締各種環境污染，耗費人力、時間、成本，他們積極運用AI，以工業排煙為例，在特定的地點架設攝影機，專門蒐集工廠排煙的影像畫面，由AI全天候偵測工廠排煙，一旦發現排煙顏色異於平常，系統就會向監控部門發出通知，由人員回看監控影像判斷是否為空氣污染。針對工業排放廢水污染河川，他們也運用AI來偵測工業區河水顏色是否出現異常。另外，為了避免營建工地造成的揚塵，影響附近居民的生活，環保局也利用攝影機，由AI來辨識工地揚塵程度，判斷揚塵達到標準，自動啟動灑水降低揚起沙塵。</p> <p>另外，對於開車或騎車通勤的民眾而言，除了交通路況，最關心的事可能便是道路品質，由於長期使用道路造成的損耗，路面可能出現大小不一的坑洞，傳統上工務局需要投入大量人力在道路巡查、工程修補，工務局建置新一代的道路養護資訊管理平臺，在傳統的道路巡查時，現在則導入AI來偵測路面破損，包括偵測時間、破損類別、位置，並判斷嚴重程度，將這些資料上傳至管理系統，方便管理人員根據資料，評估需要修補的道路優先順序，並調度工程人員前往修補。</p> <p>未來AI在各方面的城市治理仍有相當大的潛力。吳肇銘舉例，幼兒園虐童案件引發市議員及民眾關切，桃園市已要求公托幼兒園建置攝影機，讓父母即使白天上班工作，仍能隨時線上觀看孩子在幼兒園的情形，但是家長因為上班無法一直監看，未來可以導入AI偵測可疑動作，當偵測到疑似虐童畫面，即時向婦幼局發出通知，再由管理人員回看畫面判斷，儘早發現虐童案件發生。</p> <p>另外，先前提到桃園市警察局的AI巡查應用，利用高解析度的巡邏車拍攝畫面，取代人工方式，自動辨識車牌找出可疑車輛，智發會協調市警局分享拍攝畫面，讓水務局利用AI模型，辨識當下雨時，特定路段的路面積水達到輪胎的高度，以此判斷淹水程度。</p> <p>智發會自己也在1999市民專線導入生成式AI，桃園市1999每天約有2萬通電話，面對民眾各式各樣的陳情內容，讓話務人員難以招架，過去話務人員需要查詢相關資訊，才能回應民眾提出的問題。智發局運用生成式AI，從話務人員與民眾的對話，經過語意分析後理解民眾的需求，協助話務人員找到相關資訊應答，來提高1999專線話務人員應答效率。</p> <p>由於不同機關的E化程度不一，有些機關因為起步較晚，搜集到的資料相對較少，AI應用的發展也相對較慢，為提升市府機關運用AI，智發局也提出訓練課程，培訓這些機關的人員，還有開設工作坊，由機關人員提案，智發會媒合資訊服務單位來協助他們發展AI應用。</p> <p>吳肇銘認為，運用AI協助治理城市，除了提升公務效率，AI也在城市永續發展扮演重要角色，例如環境污染、防災的應用，市府在這些方面已有不錯的成績。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>吳肇銘桃園市政府智慧城鄉發展委員會主任委員</strong></p> <p>學歷：中央大學資訊管理所博士</p> <p>經歷：原於中原大學資管系任教，2010年借調擔任新北市政府研考會主委，2016年回到中原大學，從事行政管理職務，2022年借調擔任桃園市政府研考會主委，隔年代理資科局長，2024年研考會與資科局合併為智慧城鄉發展委員會，成為智發會首任主委</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E6%A1%83%E5%9C%92-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 400px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>桃園市政府</strong></p> <p>●地址：桃園市桃園區縣府路1號</p> <p>●成立時間：2014年12月</p> <p>●主要業務：桃園市政建設與市民服務</p> <p>●機關首長：張善政</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：智慧城鄉發展委員會主任委員</p> <p>●資訊部門主管姓名：吳肇銘</p> <p>●資訊部門人數：97人</p> <p>●IT預算：約7億元</p> <p>●資訊部門分工：綜合規劃組、管制考核組、基礎建設及資安組、智慧行政組、便民服務組、創新應用組、秘書室、會計室、人事室</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2015年：桃園市市民卡便民及管理系統上線；Open Data共通性介面暨匯流平臺上線，完成桃園市政府公務雲建置</p> <p>●2017年：建置整合式陳情列管系統、桃園市政府福利智慧雲系統，導入網頁版公文製作系統，以及AI智慧機器人市民諮詢服務</p> <p>●2018年：建置桃園網路e指通暨創新e化便利超商整合服務系統、虛擬實境共通平臺、智慧運籌暨大數據分析平臺</p> <p>●2020年：啟動智慧城市應用服務平臺上線</p> <p>●2024年：資訊科技局與研考會合併，成立智慧城鄉發展委員會，推動市府跨局處協調，智慧科技應用；導入超融合架構建置虛擬化平臺及異地備份機制；建置空間資訊圖台2.0版、陳情案件智能分析系統；推動市民卡2.0、行動里長2.0專案。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wen_bin_-tao_yuan_-tu_1-she_ying_-hong_zheng_wei_-960.jpg" width="960" height="420" alt="" title="桃園市政府智慧城鄉發展委員會主任委員吳肇銘　（攝影／洪政偉）" /></div></div></div>
2024/9/20 06:00作者蘇文彬https://www.ithome.com.tw/people/165069
跟Walmart學怎麼用GAI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月中，全球零售龍頭Walmart資深副總裁Stephanie Wissink在法說會時，公開了自家運用生成式AI的成效。他們用這項技術來建立及完善上億款商品的目錄數據，處理了8.5億筆資料作業，用同樣時間完成同樣的作業，「需要近100倍的人力。」這位高層強調。</p> <p>更重要的一點是，商品目錄資料品質的改善，幾乎影響了Walmart所有的業務，從門市銷售、電商營運、倉儲管理到供應鏈管理等，都帶來了正面影響，這是一項影響遍及Walmart所有業務和營運的關鍵作業，生成式AI創造了媲美100倍人手的生產力。</p> <p>Walmart的經驗引起了大家高度的討論，這是目前極少數公開成效的跨國企業生成式AI實例，甚至有資訊長告訴我，終於看到了一個真正有成效的GAI實例。知道這件事後，我就對Walmart怎麼導入和運用生成式AI非常好奇，我們負責零售科技的記者郭又華，盤點了他們所有公開的資料，也特別向業界、學校專家請教，寫出了<a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color:#3366ff;">1200期的封面故事「零售龍頭如何擁抱 GenAI」</span></a>。</p> <p>我才知道，全球零售龍頭已經大規模地將生成式AI，導入到不同領域的業務和營運。他們打造了不同專門用途的Chatbot，從服務顧客的購物助手，到員工的超級個人化助理，供應商專門客服、還有支援數千家門市的店員助手。</p> <p>當一家門市有批商品即將到期時，店員助手可以提醒這家門市的店員，你們這家門市，哪些商品最可能因過期而報廢，得特別小心，甚至建議店員如何減少報廢品，提供降價促銷、調整貨架位置、退貨或捐做公益的具體執行作法。Walmart的GAI門市店員助手，不只是一個FAQ快速查詢窗口，而開始像是一位門市管理顧問的角色了。</p> <p>同事特別向高雄科技大學行銷與流通管理系副教授歐宗殷請教，他對Walmart生成式AI的觀察。歐老師曾借調到統一資訊擔任總經理，現在還是統一集團的顧問，協助統一集團發展各種數據、AI，甚至是最新的生成式AI應用。</p> <p>歐老師從過往的經驗歸納，零售業應用生成式AI時，可以分成5個階段，從加速開發、分析銷售與產品數據、建置企業KM工具、影音內容創作，到最後一個階段是用於顧客服務、行銷與推薦。每一個階段，都可以產生四種價值，從持續改善生成內容的精準度、創造實質效益、優化各種體驗，甚至是業務模式創新。越後期的階段，這四種價值的含量越高，對企業也越有價值。</p> <p>他認為，Walmart的生成式AI運用已經擴散到多個階段，尤其，Walmart在第五階段的GAI應用，例如用GAI強化購物體驗同時，又能搜集顧客看重的價值和購物意圖，這些資訊回過頭又能強化其他階段的做法，來強化對於銷售和產品數據的分析能力，甚至是自家企業管理的KM。</p> <p>GAI爆紅不過才2年，Walmart也不是憑空就發展到又廣又深的應用程度。這家零售龍頭過去花了好幾年，自行打造出了能善用多公雲資源的雲原生開發平臺，以及涵蓋MLOps一條龍的AI開發平臺，讓他們得以快速導入生成式AI，展開大規模的應用。</p> <p>Walmart的生成式AI規模化發展經驗，不只值得臺灣零售業借鏡，連金融業、服務業，這類顧客導向型產業，也能夠向零售龍頭好好學習。</p> <p><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/165067" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/walmart">walmart</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/gai">GAI</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div></div></div>
2024/9/20 06:00作者王宏仁https://www.ithome.com.tw/voice/165076
【資安日報】9月19日，FBI接管中國駭客架設的大型殭屍網路Raptor Train
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對中小企業、SOHO辦公室、家用網路設備而來的殭屍網路，近期有越來越多的情況，繼我們昨天報導<a href="https://www.ithome.com.tw/news/165059">殭屍網路Quad7最新一波的攻擊行動</a>之後，這幾天美國政府採取取締這類行為的行動，接管由中國駭客組織Flax Typhoon經營的殭屍網路Raptor Train。</p> <p>值得留意的是，這個殭屍網路由超過20個廠牌的網路設備組成，類型涵蓋相當廣泛，包括：數據機、路由器、IP攝影機、網路儲存設備等，遭到操控的連網設備數量也相當可觀。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://ithome.com.tw/news/165079"><strong style="font-size: 22px;">大型中國殭屍網路Raptor Train感染逾20萬臺SOHO路由器、IP攝影機</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/0919-Raptor Train botnet-Lumen.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0919-Raptor%20Train%20botnet-Lumen.png" style="width: 300px; float: right;" /></a></p> <p>美國司法部周三（9月18日）宣布，在法院的授權下，已破獲由超過20萬個裝置組成、名為Raptor Train的殭屍網路，同時相信此殭屍網路是由中國駭客組織Flax Typhoon委由中國業者Integrity Technology Group所建立。</p> <p>美國電信業者Lumen旗下資安團隊Black Lotus實驗室分析，駭客是利用眾多的安全漏洞，滲透超過20種不同品牌的不同裝置，包括數據機、路由器、IP攝影機、監視器及網路儲存伺服器等，並於眾多裝置中植入Nosedive惡意程式，還建立了多層次的管理架構。這些駭客利用Raptor Train對於臺灣及美國的軍事、政府、高等教育、電信及國防工業等領域，從事偵察、監控、竊取機密資料。</p> <p>美國聯邦調查局（FBI）在取得法院同意後，接管了Raptor Train的基礎設施。</p> <p><a href="https://ithome.com.tw/news/165078"><strong style="font-size: 22px;">臺美國防工業會議相關人士遭到鎖定，駭客發動網釣攻擊企圖竊取機密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-infection-chain-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-infection-chain-2.png" style="width: 300px; float: right;" /></a>美國與臺灣之間的國防工業會議United States Taiwan Defense Industry Conference已邁入第23屆，這項會議主要討論美國與臺灣國防之間的合作、國防採購流程，以及臺灣的國防需求，今年即將於9月22日至24日於美國賓州舉行，但在此之前傳出駭客鎖定相關人士發動網路攻擊的情形。</p> <p>資安業者Cyble指出，他們看到駭客用來發動攻擊的誘餌檔案，內容是即將舉行的美臺國防工業會議的報名表單，研判攻擊目標很有可能這場會議的與會者，例如：國防官員、政府代表、業界人士，以及與這場會議相關的人士。</p> <p>究竟駭客如何發動攻擊，研究人員表示並不清楚，但他們根據駭客散布的壓縮檔registration_form.pdf.zip進行分析，一旦使用者開啟當中偽裝成PDF檔案的Windows捷徑檔（LNK），駭客就會在後臺進行一系列的惡意行為。</p> <p><a href="https://ithome.com.tw/news/165080"><strong style="font-size: 22px;">中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，意圖操縱搜尋引擎排名</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-4ec480e6-392d-4116-bb0a-ab050b698905.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-4ec480e6-392d-4116-bb0a-ab050b698905.jpeg" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos發現名為DragonRank的駭客組織，主要針對亞洲、歐洲國家而來，企圖利用惡意程式PlugX、BadIIS來操縱搜尋引擎最佳化（SEO）排名。駭客利用特定的網頁應用程式服務來部署Web Shell，然後進一步收集系統資訊並植入惡意軟體，並搜括各式帳密資料，至少有35臺IIS伺服器受害。</p> <p>根據駭客使用的工具，以及策略、技術、流程（TTP），研究人員認為攻擊者的身分是使用簡體中文溝通的駭客組織，主要標的是代管企業網站的IIS伺服器，駭客對其植入BadIIS，用來操縱搜尋引擎爬蟲，並左右受害網站的SEO排名。此外，駭客還能藉由這些IIS伺服器，向使用者散布詐騙網站。</p> <p>研究人員表示，這些駭客積極從事黑帽SEO活動，透過不道德的手段提高客戶的網路知名度，但與其他投入黑帽SEO的網路犯罪組織有所不同，DragonRank強調橫向移動及權限提升，目標是滲透到受害組織網路環境的其他伺服器，並進行控制，而非儘可能破壞大量網站伺服器來操縱搜尋引擎流量。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cloud.google.com/blog/topics/threat-intelligence/unc2970-backdoor-trojanized-pdf-reader">北韓駭客鎖定能源及航太產業，散布惡意軟體Mistpen</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://news.drweb.com/show/?i=14904&lng=en&c=5">防毒業者Dr.Web驚傳遭到入侵，暫時切斷所有伺服器的連線</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://appomni.com/ao-labs/servicenow-knowledge-bases-data-exposures-uncovered/">逾1千臺SerivceNow伺服器配置不當，恐曝露企業機敏資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=142142&SPOKE_DATE=20240917&COMPANY_ID=2886">兆豐證實旗下證券投資信託子公司遭遇DDoS攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/165071"><strong style="font-size: 22px;">Red Hat修補OpenShift重大層級漏洞</strong></a></p> <p>Red Hat今天針對容器應用平臺OpenShift發布4.13.50版更新，修補2項重大層級漏洞CVE-2024-45496、CVE-2024-7387，這些漏洞有可能讓攻擊者執行任意命令，或是提升權限，CVSS風險評分為9.9、9.1。</p> <p>回顧OpenShift今年的漏洞揭露與修補，上次嚴重性較高的漏洞是被評為8.0分的CVE-2024-6508，最新揭露的CVE-2024-45496，竟高達9.9分，令人訝異，此弱點的問題出在OpenShift的組建流程，在平臺組建初始化的步驟裡，名為git-clone的容器會以特殊權限啟動，而能夠無限制地存取節點。攻擊者可在取得開發者層級的權限下，在複製流程帶入特製的.gitconfig檔案，從而在運作的節點上執行任意命令。除此之外，攻擊者若是在具有特殊權限的容器當中的節點觸發漏洞，還能藉此得到容器具備的權限。</p> <p><a href="https://ithome.com.tw/news/165072"><strong style="font-size: 22px;">VMware vCenter伺服器存在重大漏洞，有可能讓攻擊者遠端執行任意程式碼</strong></a></p> <p>9月17日博通修補VMware vCenter Server的兩個漏洞：CVE-2024-38812、CVE-2024-38813，影響7.0及8.0版vCenter Server，以及4.x及5.x版Cloud Foundation，並指出這些漏洞相當嚴重，而且沒有其他的緩解措施，呼籲IT人員應儘速套用相關更新。</p> <p>上述漏洞之所以發現，是來自今年6月底中國舉行的漏洞挖掘競賽矩陣杯（Matrix Cup），當時有一支參賽隊伍TZL找到這些弱點，但究竟是否已被用於攻擊行動？博通的回答有點曖昧，他們表示，尚未察覺這些漏洞遭到「廣泛（in the wild）」利用的情形。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://chromereleases.googleblog.com/2024/09/stable-channel-update-for-desktop_17.html">Google發布Chrome大改版129，修補V8引擎高風險漏洞</a></strong></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165063"><strong>【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165045"><strong>【9月16日】數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165015"><strong>【9月13日】中租、兆豐、彰銀接連遭遇DDoS攻擊發布重訊，俄羅斯駭客聲稱是他們所為</strong></a></p> </div></div></div>
2024/9/19 18:23作者周峻佑https://www.ithome.com.tw/news/165081