iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 4篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

聯合集點龍頭20年數據力，下一步是深化生成式AI應用
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近一、兩年，走到哪，都能看到「加入會員」的招攬，多是為了蒐集你我的數位足跡，來強化行銷精準度。數據驅動行銷是這幾年襲捲各行各業的一大課題。不過，在全臺有超過80萬間特約通路的老牌聯合集點卡Happy Go，已經做這件事足足有20年。</p> <p>Happy Go是全臺最大聯合集點卡，如今有上萬間特約商店，一年經手1,100萬名會員，超過50億點數的交易數據。這龐大的數據，透過分析工具、AI模型、生成式AI工具等技術，可以用來提升行銷精準度和員工生產力。他們近年甚至將這些數據驅動行銷的技術商品化，自己也轉型為兼具行銷服務和販售Martech產品的廠商。</p> <p>鼎鼎聯合行銷數據管理部協理黃士峰說，這一切數據應用的基礎，早在Happy Go一個會員都沒有時，就已經開始建立。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>成立初期便導入數據倉儲，為發展數據應用奠定基礎</strong></span></span></p> <p>2005年Happy Go成立之初，企業高層確信行銷背後必須用成熟的數據基礎建設撐腰。當時，「總經理認為，不論未來怎麼用，至少數據一定要先蒐集。」黃士峰說，他們一開始即投下重本，導入時下價格相當高昂的Teradata數據倉儲，來累積會員行為等數據。</p> <p>時任副理的黃士峰回憶，當年以傳統數據分析和探勘為主，並陸續導入了BI和Data Mart等數據應用。累積了10年後，讓Happy Go打下了扎實的數據資產和應用經驗基礎。</p> <p>到了2015年，面臨業務型態拓展，他們必須做出更大幅度改變，以應對新的數據處理需求。Happy Go在這一年成立了市場調查品牌和數位廣告品牌，黃士峰表示，這兩大產品線，讓他們可以從更多不同的角度，蒐集會員及非會員數據，不過，這種更多維度、更大量非結構化數據的處理需求，也為Happy Go帶來了全新的挑戰。</p> <p>尤其，Happy Go當時用的傳統資料倉儲，難以應付新的資料處理需求，只能嘗試使用PostgreSQL RDBMS，搭配自製的Python數據處理工具，來分擔與日俱增的作業。</p> <p>2017年，隨著數據處理作業量和對企業決策的重要性提升，Happy Go正式成立數據部門，聘請了第一任數據長，也嘗試自行研發，開發AI顧客分群功能，不過，受限於投入成本、AI人才和算力硬體的不足，未能開發出準確度夠高的解決方案，只能暫時放棄發展AI領域應用。數據部門回頭聚焦與業務需求密切相關的種種數據技術發展。</p> <p>黃士峰說，這次失敗經驗讓數據部門深刻體會到，發展數據應用必須與業務需求緊密掛鉤。直到今日，他們仍秉持這個原則。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>大規模擁抱公有雲，導入現代化數據處理技術</strong></span></span></p> <p>2019年，Happy Go展開數位轉型，推出點數和支付合一的支付服務，會員App也大改版，這些轉型與再次業務拓展的新戰略，又帶來了新一波數據處理需求。</p> <p>此時，他們已經有1,000萬名會員，在不同接觸點產生了大量數據處理需求，包括App上的交易、行銷活動資格判斷、特殊累點活動等，超出了既有數據處理工具的負荷。</p> <p>「尤其是前端系統帶來的數據處理負擔更重，甚至出現過，一個活動12個小時都算不完的案例。」黃士峰說，前端採用的OTLP資料庫，主要用於線上交易處理，難以支援分析運算。</p> <p>為了將前端龐大分析需求，轉移到後端分攤，他們推動了數位轉型期間，第一個重大的數據科技改革──建立雲端數據中臺。</p> <p>黃士峰導入公雲巨頭的雲端資料倉儲服務Redshift，取代了PostgreSQL資料庫及Python自製工具。以雲端倉儲作為數據中臺，透過API串接前端系統及地端的Teradata數據倉儲、BI工具、CDP等後端系統。</p> <p>導入數據中臺後，對業務行銷活動帶來很大的彈性。「過去一天只能推出1、2檔的大型行銷活動，資料運算時間縮短後，現在一天要推出10檔都沒問題。」黃士峰說。</p> <p>隨著數據處理需求規模不斷提升，再加上業界AI應用實例開始出現，Happy Go有意再次挑戰發展AI，因而，決定也將地端的主要資料倉儲，轉移到雲端。不過，沒有繼續採用同一款雲端倉儲，而是改導入了與地端數據倉儲操作類似的Azure Synapse，再橫跨到AWS與Redshift串接。</p> <p>黃士峰補充，採取多雲架構，雖然會產生跨雲數據傳輸成本，但仍比原本採用地端數據倉儲的成本低。一大原因是，目前Happy Go服務型態下，需要即時行銷的情境較少，數據大多可以採取批次拋轉的模式。</p> <p>「相較於電商或導購網，強調即時吸引消費者下單，我們行銷服務目的以加深品牌印象為主。」黃士峰解釋，這意味著行銷客戶和廣告主對於即時行銷需求相對較小。</p> <p>再加上，雖然技術上做得到即時行銷，但數據團隊實測後發現，提供即時行銷服務的成本相較既有服務高出2至4倍。秉持著只支援業務核心需求的原則，他們決定，暫時不進一步發展即時行銷技術。</p> <p>在重大數據基礎建設上雲後，Happy Go數據團隊可以更好支援既有業務端行銷需求，更能利用公雲上的工具及硬體資源，發展一系列大數據以及AI應用來支援行銷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1201-CDO-600.JPG" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"> 攝影／洪政偉</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>再次挑戰發展AI，圍繞實際業務痛點來打造應用</strong></span></span></p> <p>因為多年前的失敗經驗，Happy Go二度挑戰發展AI應用時，堅持從解決業務重要痛點著手。</p> <p>他們第一個鎖定的痛點是，如何更細緻處理超大量數據。</p> <p>Happy Go坐擁千萬名會員消費行為，上萬家特約商店商品資訊，加上數位廣告、市場調查等數據，規模龐大，但格式不統一。如何精細的綜合分析這些數據，來驅動更精準的行銷，是業務部門重要需求。</p> <p>數據部門先利用NLP技術解析不同格式數據，再用分類型AI技術，每天將上億筆數據分為大中小三層，共1,200多種預先定義好的分類。黃士峰說，這個機制準確率約為95%，且會不斷自我優化，至今仍在服役。</p> <p>去年，Happy Go更發展了兩個重要AI應用。其一是「類似受眾分析」（Lookalike），以活躍會員的數據特徵，靠人工智慧找出其他可能具有類似喜好的受眾。</p> <p>黃士峰進一步解釋，雖然會員規模很大，但個別會員留下的數據豐富程度和面向不盡相同。以特定條件篩選受眾時，符合條件的人數可能低於預計的曝光數量。</p> <p>此時，類似受眾分析就能派上用場。甚至可以用來拓展新廣告客源，黃士峰說明，只要向廣告投放業主取得一點種子受眾資料，就可以用這套技術類推並圈選更多可投放受眾。</p> <p>第二個應用則是嘗試在App上提供個人化內容和廣告，光是導入公雲現成的AI個人化行銷服務，就提高了5成的廣告點擊率。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>擁抱生成式AI但不一頭熱，持續聚焦於解決業務實際痛點</strong></span></span></p> <p>生成式AI在2023年初爆紅時，Happy Go就開始投入研究和應用。他們先後使用兩家公雲的生成式AI服務，來強化商品數據分類機制。黃士峰指出，利用生成式AI，能達成更多原本無法做到數據蒐集和處理。</p> <p>他舉例：「過往用NLP技術，可以分析產品規格等數據。但是，不同品牌的風格、客群、消費者心目中形象為何？這些要靠生成式AI來整理。」黃士峰將生成式AI視為超強商品數據蒐集機制，可以大幅降低業務自行研究品牌資訊需求。甚至，可以超越Happy Go原本的商品分類框架，生成新分類。業務部門檢索商品分類或構思行銷角度時，便能有更多選項。</p> <p>Happy Go建置了一套MLOps平臺結合了自行開發的自動化數據處理機制，以及公有雲上的MLOps功能，用來加速ML開發周期流程，尤其是數據彙整、訓練資料標記及採樣等環節。生成式AI技術，就是在此與其他既有AI應用結合──例如將AI生成的數據，作為既有AI商品分類模型再訓練的數據。</p> <p>黃士峰說，有了MLOps平臺，模型再訓練效率便從以季為單位，縮短到最快每月一次。</p> <p>下一步生成式AI應用，Happy Go計畫逐步打造自助式生成式AI平臺，用來輔助員工日常業務。</p> <p>黃士峰觀察，已有員工用雲端生成式AI工具，蒐集網路資訊、整理顧客數據或是生成簡報提案素材等業務。不過，內部數據需經過審查機制，或請數據團隊處理才能上雲。由員工各自報銷訂閱費用，也造成行政資源消耗。</p> <p>「打造單一平臺，是希望整合常用生成式AI工具，以及使用這些工具所需的數據處理、帳號權限管理、訂閱費用付款等機制。」他解釋。</p> <p>去年3月，Happy Go數據團隊已經串接了雲端生成式AI工具的API，但黃士峰不急著做出這個平臺。反而是，先在各部門推動ChatGPT等工具，蒐集真正有價值、切合痛點的使用情境。</p> <p>他們依然記取著7年前AI專案失敗的經驗。發展新數據應用及AI專案時，他們只聚焦於能帶來確實、重大影響的使用情境。</p> <p>「我們希望開發出來的數據和AI應用，是為業務部門雪中送炭，而非錦上添花，甚至可有可無。」黃士峰如此表示。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CDO小檔案 </span></strong></span></p> <p><strong>鼎鼎聯合行銷數據管理部協理黃士峰</strong></p> <p>學歷：美國北阿拉巴馬大學企業管理碩士</p> <p>經歷：曾任職於中國信託商業銀行、美商天睿資訊、東捷資訊、亞太電信、藍新科技等企業，於數據領域深耕10餘年。現擔任Happy Go數據管理部協理，主導數據科技開發與應用</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1201-CDO-400.JPG" style="width: 401px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>鼎鼎聯合行銷</strong></p> <p>成立時間：2004年10月22日</p> <p>業務介紹：藉由聯合集點卡點數串連集團各產業，並以會員經營助攻集團事業版圖。後推出旗下市調顧問品牌Go Survey及iConnect智能媒體服務，同時藉由市場調查及廣告的數據來進一步強化行銷能力。前年結合AI科技運用和行銷知識及自家豐富數據，推出CRM+會員經營加值新服務</p> <p>董事長：徐旭東</p> <p>總經理：李明城</p> <p>網址：<a href="http://www.happygocard.com.tw">www.happygocard.com.tw</a></p> <p>地址：新北市板橋區新站路16號22樓</p> <p>員工人數：130位</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2005年：推出全國首家「跨產業、跨通路、跨品牌」的紅利點數平臺，第一年即成功招募250萬會員</p> <p>2007年：推出全臺首家公益捐點平臺，關心弱勢孩童，將快樂多一點的品牌精神傳遞到每個角落；與全家便利超商合作，提升累兌點便利性</p> <p>2009年：突破500萬名會員</p> <p>2011年：首創跨產業聯合集點卡成為電子發票載具，獲財政部電子發票優良協辦廠商肯定</p> <p>2013年：落實新個資法管理辦法，並獲2013年BSI資安年會「資安防護卓越管理」獎</p> <p>2015年：成立市調顧問品牌Go Survey及iConnect智能媒體服務，協助集團及品牌客戶；首度跨足日本，會員可在日本超過300家特約商店享集點服務</p> <p>2016年：策略結盟日本點數龍頭T Point，推出「Happy Go全日通」，攜手打造亞洲最大點數生活圈</p> <p>2019年：推出點金合一的行動支付服務Happy Go Pay；Happy Go App全新改版上線</p> <p>2020年：Happy Go榮獲DMA年度最佳數據洞察創新獎及對話影響力獎</p> <p>2021年：與美食平臺Ocard和RE紅包合作，擴大點數生活圈；響應政府推廣雲端發票，共推「雲端發票存起來載具歸戶Happy Go」；使用AWS Redshift作為數據中臺</p> <p>2022年：推出全新「CRM+會員經營加值新服務」；打造MLOps平臺；啟動企業永續倡議元年，發行以永續為題的NFT</p> <p>2023年：導入託管式AI服務來強化個人化行銷功能；宣布成為開店平臺Shopline策略合作夥伴，提供智能會員分析與行銷平臺服務；宣布結盟悠遊卡公司進行全方位策略合作</p> <p>2024年：利用生成式AI來強化商品分類與貼標</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1201-cdo-960.jpg" width="960" height="420" alt="" title="鼎鼎聯合行銷數據管理部協理黃士峰　（攝影／洪政偉）" /></div></div></div>
2024/9/27 09:17作者郭又華https://www.ithome.com.tw/people/165217
零售IT雙周報第42期：Amazon發表商家經營助手Project Amelia，能根據個別商家數據提供個人化建議及輔助
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0915~0928)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代理人 #AI商家經營助手 #生成式AI</span></span><br /> Amazon發表商家經營助手Project Amelia，能給個人化建議、分析賣場數據，還能主動幫忙追查異常情況</strong></p> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-project-amelia">Amazon推出生成式AI商家經營助手Project Amelia，號稱訓練資料包含Amazon自家零售營運知識，能理解個別賣家業務的特性，並「回答最複雜的問題」。</a></p> <p>Project Amelia有3大關鍵功能，知識性問答、數據提取與分析、主動代理解決問題。知識性問答包括一般常識問答，以及賣場經營建議。例如，詢問「下一個假期檔期我應該怎麼做？」，Project Amelia便會根據賣家商品特性，給予具體建議，如應該主打哪一種商品類別、應該先備貨到哪裡、採取哪種行銷策略等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pa1(1).jpg" style="width: 600px;" /></p> <p>數據提取與分析功能，則可以查詢賣家關鍵數據與指標，如人流量、營收、平均客單價等，還可以進行分析，例如比較客單價每周變化等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pa2.jpg" style="width: 600px;" /></p> <p>主動代理解決問題功能，則是可以根據賣家情況，提出問題解決建議，甚至主動提供查詢相關資訊或聯絡相關人員等協助。例如，如果詢問「我有300件衣服還沒送到，怎麼回事？」Project Amelia會自告奮勇，展開調查、製作報告並連絡相關人員。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pa3.jpg" style="width: 600px;" /></p> <p>Project Amelia和正式推出的消費者購物助手Rufus一樣，深度整合使用者數據，會提供高度個人化回答。從Rufus上線不久就開始出現RMN廣告的先例來看，Project Amelia在輔助賣家之餘，也可能被Amazon用來行銷各種賣家服務，如供應鏈管理服務或廣告服務等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #購物助手 #員工助手 #供應商助手 #知識管理 #AI開發平臺</span></span></strong><br /> <strong>Walmart如何應用和開發GenAI</strong></p> <p><a href="https://www.ithome.com.tw/news/165047">零售龍頭Walmart在法說會揭露自家一個生成式AI應用做法，引起高度討論──利用生成式AI來建立及完善8.5億筆商品目錄數據，提升了近100倍人力的生產力</a>。這只是他們生成式AI眾多做法之一，支援內部作業方面，他們還混用GAI和預測型AI分類商品，靠思維鏈優化提示工程找出高關聯商品組合；為總部和分店等不同職務建置GAI助手，協助從文案構思到庫存管理和報廢等作業等。</p> <p>他們也將生成式AI應用於不同購物場景，例如打造購物用聊天機器人，靠GAI比價、搜尋，甚至主動追問顧客需求；用GAI打造多語系語音客服及個人化語音購物功能等。未來，他們還要應用GAI到個人化AR購物，及針對B2B2C賣場第三方供應商的客服機器人等。</p> <p>為了大力擁抱生成式AI，並支援超大規模GAI開發與應用，他們打造了一個可以管理所有AI專案的開發平臺，甚至還建置了一個非技術人員用的生成式AI實驗沙盒，來讓企業上下都能協助發展生成式AI應用。（<a href="https://www.ithome.com.tw/article/165067">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #零售廣告 #購物趨勢分析</span></span></strong><br /> <strong>Google更新多項零售相關工具，包括生成式AI業績分析助手及廣告投放選項等</strong></p> <p><a href="https://blog.google/products/shopping/helping-retailers-prep-for-holiday/">Google宣布推出4項針對零售業者的新功能，包括購物趨勢洞察、生成式AI洞察總結功能、廣告同步店內庫存，以及新的廣告目標選項。</a></p> <p>購物趨勢洞察和生成式AI洞察總結是在商家管理中心Merchant Center上的新功能，前者是可以分析與零售業者相關的熱門購物趨勢，包括按主題和產品分類排列查詢熱門搜尋趨勢等，開放給全球商家使用。後者則是用生成式AI摘要產品表現等業績數據，並給出建議措施。生成式AI助手功能目前只開放美國商家使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gmc.png" style="width: 600px;" /></p> <p>另外兩類新功能則是廣告功能更新。自動同步店內庫存是可以自動在Google Ads中顯示商家即時庫存。新的廣告目標選項，則包括在Performance Max與搜尋廣告中更細緻調整獲取新客、提升購物轉換率等目標的行銷活動。商家還能針對不同廣告格式排除不同品牌，以更細緻控制特定品牌商品曝光時機。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商 #訂價工具 #區域訂價 #OMO零售 #開店平臺</span></span></strong><br /> <strong>Roblox宣布推出更多工具來支援平臺上的沉浸式零售</strong></p> <p>近月，已經有許多大型品牌和零售業者在元宇宙遊戲巨頭Roblox發展實際商業活動，而非只是行銷用展演體驗。例如Walmart、e.l.f. Cosmetics、Fandango 和 Warner Bros等。<a href="https://corp.roblox.com/newsroom/2024/09/rdc-2024-robloxs-next-frontier">為了支援平臺上更多零售活動，Roblox宣布推出更多工具與措施。</a></p> <p>其中一個是預計數月後推出的訂價工具，通過自動化價格測試，輔助商家識別最具吸引力的訂價策略。還會根據玩家所在地來訂價，以符合當地物價。</p> <p>另一方面，Roblox也宣布將與多家電商平臺策略結盟。目前，他們預計<a href="https://www.shopify.com/news/shopify-roblox">導入Shopify的結帳系統</a>到自家平臺中，玩家購買Shopify商品時，便可以在Roblox介面完成所有操作。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#供應鏈管理 #訂單履行</span></span></strong><br /> <strong>Amazon推出託管式供應鏈管理解決方案，根據商家數據來調整庫存調度及訂單履行做法</strong></p> <p><a href="https://www.aboutamazon.com/news/small-business/supply-chain-by-amazon-service-drives-higher-sales-conversion-for-independent-sellers">Amazon推出了託管式供應鏈解決方案Fully-Managed Supply Chain by Amazon。</a>這是個服務以原本Supply Chain by Amazon服務為基礎，但賣家只需提供商品資訊和承運商取貨地點，Amzon就能代為完成後續承運商取貨、庫存整合、補貨以及商品庫存位置調度等作業。這項服務還會基於商家需求、庫存情況和成本等數據，持續調整供應鏈管理方案。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #跨通路行銷 #實體門市廣告</span></span></strong><br /> <strong>五金行巨頭Lowels擴大經營RMN，進一步新增實體郵件、Google付費搜尋等行銷通路</strong></p> <p>RMN熱潮持續蔓延，不只Walmart等有賣FPCG商品、坐擁巨量數據的零售業者，連五金這類消費頻率較低的零售型態，業者也能把第一方數據用來發展多種型態的廣告業務。</p> <p><a href="https://corporate.lowes.com/newsroom/press-releases/lowes-enhances-retail-media-network-rebrand-and-expanded-portfolio-omnichannel-advertising-solutions-08-08-24">已經發展RMN 4年的北美第二大五金零售商Lowe’s將進一步新增行銷型態，包括Gmail信件廣告、實體門市音訊廣告、付費搜尋廣告以及個人化實體郵件。</a></p> <p>新增這些通路後，Lowe's RMN涵蓋行銷通路將橫跨線上線下，以及許多非自有通路。這些行銷通路包括：Lowe's官方網站及應用程式上的展示型廣告和贊助產品廣告、實體門市音訊廣告、透過Yahoo DSP投放於網頁、影片、CTV、DOOH、串流音訊平臺與Podcast等通路的程式化廣告，以及在Google、Meta 和 Pinterest平臺投放的電子郵件、付費搜尋和社群媒體廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #影像生成 #影片生成</span></span></strong><br /> <strong>Amazon推出影片生成及動圖生成功能，可用於商品描述及廣告</strong></p> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-generative-ai-video-generator-advertisers">Amazon宣布正在測試影片生成及動圖生成功能。</a>前者可以根據產品圖片、賣點及功能描述，來生成廣告影片。後者則是以原始產品圖片為基礎生成動圖，例如讓葉子呈現被風吹的樣子，或是讓杯子上冒出一陣陣熱煙。這些生成素材可以用於Amazon電商商品頁面，或是用於投放Amazon RMN廣告。目前只開放美國部分商家試用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">更多零售IT動態：</span></span></strong></p> <p>1. 創業家兄弟預計第四季推出對話式AI導購機器人</p> <p>2. <a href="https://www.ithome.com.tw/news/164713">量販店巨頭Target正式推出生成式AI店員助手，全美近2,000門市都在用</a></p> <p>3. <a href="https://blog.google/products/shopping/virtual-try-on-dresses/">Google推出虛擬試穿連身衣物的功能</a>，<a href="https://blog.google/products/shopping/virtual-try-on-dresses/">利用生成式AI和AR技術打造而成</a></p> <p>4. <a href="https://news.depop.com/company-news/depop-launches-ai-powered-listing-from-one-photo/">服飾電商平臺Depop推出能只憑一張照片就AI生成商品描述的功能</a></p> <p>5. <a href="https://www.prweb.com/releases/family-dollar-selects-dunnhumby-ai-platform-to-power-customer-driven-category-management-and-merchandising-nationwide-302241653.html">大型連鎖廉價雜貨店Family Dollar導入AI選品技術來決定每家店鋪的上架商品</a></p> <p>資料來源：iThome整理，2024年9月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Google</p> <p></p> </div></div></div>
2024/9/26 18:55作者郭又華https://www.ithome.com.tw/news/165209
AI助力鯨魚保育，Google新模型可精準辨識8種鯨魚叫聲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續投入資源，開發可用於辨識鯨魚聲音的人工智慧模型，<a href="https://research.google/blog/whistles-songs-boings-and-biotwangs-recognizing-whale-vocalizations-with-ai/">最新的多物種鯨魚聲音模型</a>能夠辨識8種鯨魚的叫聲，並進一步細分其中兩種鯨魚的不同發聲類型，共可產生12個分類。這項技術不僅提升鯨魚聲音分類的準確性，也揭露了布氏鯨等難以觀察鯨種的行為模式，對鯨魚保育和生態研究提供有力的工具。目前該模型已公開供學術人員下載使用。</p> <p>Google從2018年起，便與美國國家海洋和大氣管理局（NOAA）的太平洋群島漁業科學中心合作，展開鯨魚叫聲分類的研究工作。最初他們針對<a href="https://www.ithome.com.tw/news/126728">座頭鯨開發偵測模型</a>，成功辨識座頭鯨的鳴叫聲，也揭露了座頭鯨在特定時間地點的鳴叫規律和模式，甚至發現了座頭鯨的新棲息地。</p> <p>而在之後，Google又與加拿大漁業及海洋部（DFO）、Rainforest Connection合作，<a href="https://www.ithome.com.tw/news/135590">針對瀕臨絕種的南方定居型虎鯨開發偵測模型</a>，並將其應用在水下麥克風監測網路，即時回報虎鯨位置給DFO和相關單位。</p> <p>過去的這些研究成為Google開發多物種鯨魚聲音模型的基礎，該模型除了座頭鯨、虎鯨，現在可以辨識的鯨魚還包括藍鯨、長鬚鯨、小鬚鯨、布氏鯨、北大西洋露脊鯨和北太平洋露脊鯨。多物種鯨魚聲音模型的開發並不容易，因為鯨魚聲音的頻率範圍極廣，從藍鯨10 Hz的低頻到齒鯨超過 120 kHz的高頻，對模型的靈敏度要求極高。</p> <p>研究人員在開發多物種鯨魚聲音模型時，首先將原始音訊轉換為時頻譜（Spectrogram），作為模型辨識聲音的基礎，每個時窗包含5秒鐘的聲音片段。接著，模型會對這些時頻譜進行處理，運用一種稱為梅爾刻度的方法調整聲音的頻率，並透過壓縮和正規化突出聲音的特徵。最後模型會根據處理後的時頻譜，將其分類為12種鯨魚鳴叫類別。</p> <p>由於海中存在各種聲音，因此研究人員也加入大量的背景聲音訓練模型，以確保模型可以準確辨識鯨魚聲音並排除雜音。實驗結果顯示，多物種鯨魚聲音模型能夠良好地區分不同種類的鯨魚，特別是小鬚鯨和布氏鯨的聲音。</p> <p>值得一提的是，NOAA最初確認布氏鯨獨特的「Biotwang」鳴叫聲，隨後研究人員利用Google的多物種鯨魚聲音模型對Biotwang聲音特徵進行標記，並應用在大量的音訊資料中，發現布氏鯨多次出現在太平洋西北地區，並且進一步揭露布氏鯨的族群差異和季節性遷徙習性。</p> </div></div></div>
2024/9/26 23:06作者李建興https://www.ithome.com.tw/news/165208
金管會：電子簽章法修法為金融服務數位化發展提供重要基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電子簽章法修正可以觸發新產品或交易方式的改變，也是數位法的重要里程碑」，金管會副主委邱淑貞今天（9/26）在一場電子簽章法研討會中說。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>電子簽章法自20多年前推出，儘管國內數位經濟快速發展，但電子簽章法一直沒有修法，數位部成立後，蒐集各界意見積極推動修法，以滿足現今數位經濟發展的需要，今年立法院通過修法，並於在今年5月由總統公布施行，數位部也著手推動相關子法調整，包括電子簽章法實行細則修正草案、憑證實務作業基礎應載明事項草案、外國憑證機構許可辦法草案，相關子法修法已在8月23日預告，將於10月22日預告截止。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>新的電子簽章法施行後，近幾年推動金融科技創新發展的金管會也樂觀其成。邱淑貞表示，電子簽章法修法三個重點，首先是電子簽章和文本簽章有相同的功能效益，其次是提供相對使用人表達意見的機會，最後是數位簽章推定為本人親自簽章，因為法律定位更明確，提高對使用電子簽章的信賴度，這是所有交易的重要基礎。</p> <p>她回憶在20多年前仍在公務機關服務，當時電子簽章法上路，各部會擔心帶來的衝擊，公告排除適用的業務，以銀行業為例，當時公告排除9項，後來經過多次調整已降至0項，保險業當時公告排除18項，經過8次調整後降至0項，顯示銀行業、保險業對使用電子簽章已有一定的信心，至於證券業因為數位化上有較多方面的考量，當初公告排除有102項，後來經過17次調整，目前仍剩下11項排除適用，目前證交所、集保仍在研議，計畫再作調整。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>電子簽章法修法為何重要？邱淑貞直言，任何金融交易的第一步就是身分認證，如果身分確認是虛偽的，後續的交易都是虛偽的、不能被接受，只有確認身分是真實的，才是真正的交易。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>邱淑貞認為在整個金融服務數位化推動中，有幾件事最為重要，第一個就是身分確認，確認交易者的真實身分，第二個是個人資料保護，因為信賴服務業者，使用者才願意提供資料給業者，第三是資安是否符合標準，資料傳輸是不是夠安全，唯有建立起這些機制，才能擴大整個生態圈。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>在身分確認部分，電子簽章法修法已提供基本的身分信賴，其他如資安、資料保護、當事人意願，以及資料傳輸，甚至將資料提供其他單位使用等等，這些也需要建立信賴度。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p><strong><span style="color:#B22222;">金融服務數位化發展有成</span></strong></p> <p>近幾年國內推動金融服務數位化發展已有部分成果。在銀行業方面，2015年金管會推動打造數位金融環境3.0，當時的目標是讓存款、放款、信用卡、理財等服務可以在線上完成，其中數位帳戶開戶，到2023年底已達到1,968萬戶，顯示數位化服務已廣泛被接受，另外，也開放純網銀，提供數位化服務給年輕人選擇。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>至於保險業方面，放寬線上保險服務，今年1到6月網路投保的契約金額約為25.77億元，顯示許多的旅行平安保險、機車保險透過線上完成。理財方面，17家金融機構提供線上機器人理財服務，金額已達到95億元；證券業務方面，已有7成以上使用電子下單，期貨則有9成以上使用電子下單。</p> <p>儘管數位化服務現在已有成果，邱淑貞指出，金管會未來仍會持續推動數位化，包括數位化發展的金融交易便利性、方式及產品，金管會鼓勵新創業者透過試辦或實驗和金融機構合作。</p> <p>由於數位身分在金融服務照數位化發展相當重要，金管會也在數位身分認證放寬限制，2022年推動數位身分認證及授權，吸引17家金融機構申請，現在10家機構通過審核可以辦理；另外，雖然現在仍是以實體卡片作為身分認證為媒介，未來軟體憑證認證等相關技術持續發展創新，對數位身分建立更深厚的信賴基礎。</p> <p><span style="color:#B22222;"><strong>5大策略推動金融科技發展</strong></span></p> <p>在彭金隆擔任主委後，目前金管會正推動金融科技的5大發展策略，第1個策略是放寬實驗，不論試辦或金融科技實驗，放寬實驗對象、因應環境儘快調整法規；第2個是鼓勵團體合作，讓金融機構可以授權專利等方式，組成金融科技聯盟共同發展市場；第3個策略是協助金融機構創新，金管會提出幾個主題式的創新，例如如何讓實體資產數位化，讓交易更快速、劃分的細緻度更小等，未來虛擬資產保管也會適度開放。</p> <p>第4個策略是鼓勵網路金融發展，包括已開放的純網銀，還有數位保險，利用金融科技讓使用者更方便，有更多數位保險商品可選擇；第5是全方位領導金融科技發展，從金管會、業界到生態全方位發展，金管會正規劃成立新的處，專門推動金融科技，包括法規調適、周邊發展等，在資料共享方面，目前是以金融機構對金融機構資料共享，未來希望在資安、個資保護共識之下，讓金融機構和非金融機構合作。</p> <p>邱淑貞表示，金管會的目標是穩健、創新，在掌控風險的前提下，鼓勵業者合作、策略聯盟等方式，讓金融科技創新能夠落實。</p> <div> </div> </div></div></div>
2024/9/26 23:18作者蘇文彬https://www.ithome.com.tw/news/165211
國泰金控宣布AIaaS戰略目標！首度公開生成式AI技術發展框架GAIA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰金控今日在自家技術年會上，正式宣佈AIaaS的戰略目標，不僅要以AI作為集團核心，驅動轉型和推出創新服務，同時，「期待國泰能成為提供AI金融服務的科技公司。」國泰金控數數發副總經理梁明喬說。在活動中，國泰金控首度公開生成式AI技術發展框架GAIA，也揭露了內部AI評測機制。</p> <p>早在2018年，國泰金控就開始發展大數據，從打造大數據生態圈起步，逐步擴大金融生態系。到了今年，國泰金控宣布在數據發展上進入第三階段，將透過「AI Ready」、「AI Native」、「AI Empower」三大AI發展策略，實現AIaaS戰略目標。</p> <p>首先，AI Ready是要打造集團統一技術發展框架，同步子公司間的策略和技術。梁明喬公開展示國泰AI發展藍圖，藍圖共分為六層，從下而上，底層為數據架構層，接著是多元數據源層、數據和AI治理層、核心技術模組層、應用場景層，最上層則為組織層。其中，因應集團發展生成式AI，國泰在核心技術模組層加入生成式AI開發框架GAIA，在數據和AI治理層則加入AI評測機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-09-26%20%E4%B8%8A%E5%8D%889_53_49.png" style="width: 600px;" /></p> <p>AI Native策略則是要將AI嵌入不同業務運作。為了實現這項目標，國泰金控今年設立了AI卓越中心，負責排序集團AI資源，和決策AI開發場景。目前，國泰金控鎖定四大GenAI場景，分別是員工、客戶、生產力，和AI基礎架構。其中，在員工場景中，國泰金控內部已打造一款AI員工助手平臺，可協助回應員工提出的業務問題。</p> <p>最後一項策略，AI Empower，則是要提升集團全員工AI和雲端思維，除了要推動雲端轉型和成立AI專責組織，還要在集團擴大AI影響力。今年初，國泰金控和子公司成立AI專責單位，全集團共有近千名雲端、AI和數據專業人員，負責向全集團5萬名員工提供AI服務。</p> <h3>首度公開生成式AI技術發展框架GAIA</h3> <p>國泰金控開發的生成式AI開發框架GAIA包含三個主要模組，分別是知識庫、Model hub，和護欄。梁明喬指出，知識庫可協助降低AI幻覺問題，並且，「未來若要Finetune模型，或打造LLM模型的RAG架構，專屬知識庫就非常重要。」梁明喬說。</p> <p>國泰金控展示的知識庫類型可分為對內和對外，對內包含HR知識庫、授信知識庫、洗防知識庫和內稽知識庫等，對外則包含貸款產品知識、壽險產險產品知識、理財產品知識等。</p> <p>針對GAIA框架中的Model hub模組，梁明喬說：「Model Hub就是一個中央控制室。」這個模組不僅能提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供API接口，能介接各種服務。模組中也提供成本管理功能，能協助開發者管控模型使用開銷。</p> <p>GAIA框架中還包含國泰金控自行開發的護欄模組，包含複合式規格護欄和多層抽換模組護欄，前者是在知識庫連接模型時進行資訊過篩，後者則是自建額外防護措施，例如提供業務專屬的業務護欄。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-09-26%20%E4%B8%8A%E5%8D%889_56_09.png" style="width: 600px;" /></p> <h3>建立AI評測中心，確保AI從開發到上線都符合規範</h3> <p>除了公開成式AI技術發展框架，國泰金控今日也公開負責任AI策略。在治理面，國泰金控要建立AI評測中心，專責確保AI發展合規。技術上，國泰要將治理原則化為具體指標，並藉由評測工具確保AI從開發到上線都符合規範。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-09-26%20%E4%B8%8A%E5%8D%8810_03_35.png" style="width: 600px;" /></p> <p>梁明喬表示，國泰的AI評測機制會以AI運用原則、生命週期和模型類型三大構面發展。首先，他們根據金管會金融AI指引的六大原則和數發部AI評測中心的十大評測項目，訂定評測項目。在AI模型生命週期中，國泰會使用評測工具檢核AI模型，最後產出評測報告。不過，梁明喬坦言，將治理原則化為量化指標並不容易，需要設立多種適當的情境和提問，才能有效檢測模型回應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-09-26%20%E4%B8%8A%E5%8D%8810_09_00.png" style="width: 600px;" /></p> <blockquote><p>藉由國泰金控建立的AI評測機制，員工能在AI助手平臺檢視AI模型回應的公平性。（圖片來源：國泰金控）</p> </blockquote> <p></p> </div></div></div>
2024/9/26 19:06作者李昀璇https://www.ithome.com.tw/news/165210
【資安日報】9月26日，macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI的應用當紅，相關應用系統的資安漏洞也隨之引起研究人員關注，本週有研究人員公布存在於ChatGPT的漏洞SpAIware，並指出攻擊者可對使用macOS版應用程式的使用者下手，從而側錄其對話內容。</p> <p>值得留意的是，利用這項弱點的概念性驗證攻擊當中，其實串連了多個環節，其中之一就是ChatGPT的新功能「記憶（Memory）」機制，攻擊者藉此讓所有ChatGPT回覆的資訊都帶有惡意內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165206"><strong style="font-size: 22px;">勒索軟體RansomHub利用EDRKillShifter載入作案工具，癱瘓防毒及EDR產品的防護</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EDRKillShifter-Fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EDRKillShifter-Fig1.png" style="width: 300px; float: right;" /></a></p> <p>為了加密受害電腦檔案，勒索軟體駭客RansomHub會運用名為EDRKillShifter的工具，將防毒軟體或端點防護工具EDR停用，該勒索軟體運作已超過半年，迄今超過210個企業組織受害，而受到資安圈高度關注。但駭客如何運用EDRKillShifter達到目的？有研究人員公布更多細節。</p> <p>資安業者趨勢科技指出，駭客已將EDRKillShifter整合到他們的攻擊鏈，而這個惡意程式之所以能攻入受害者電腦，主要是利用存在弱點的驅動程式，但除此之外，駭客也企圖讓這支程式持續於受害電腦運作，目的是讓整個攻擊流程都能不受干擾。</p> <p>值得留意的是，攻擊者不只將EDRKillShifter用於阻礙防毒軟體及EDR的運作，還將其當作惡意程式載入工具，來執行各階段的作案工具。</p> <p><a href="https://www.ithome.com.tw/news/165203"><strong style="font-size: 22px;">安卓金融木馬Octo2鎖定歐洲國家，接管受害裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide4-Sep-20-2024-10-23-20-9512-AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide4-Sep-20-2024-10-23-20-9512-AM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ThreatFabric針對安卓金融木馬Octo2的攻擊行動提出警告，根據他們的研究，該惡意程式以名為Octo（也叫做ExobotCompact）的木馬程式為基礎進行開發，而且，為了提高裝置接管（Device Takeover，DTO）攻擊的可用性，攻擊者改良遠端控制功能的穩定性，也納入複雜的混淆技術，從而迴避相關偵測機制。值得留意的是，在部分歐洲國家已出現實際攻擊行動。</p> <p>根據研究人員收集的威脅情報指出，首度出現的Octo2，在義大利、波蘭、摩爾多瓦、匈牙利都有活動跡象，駭客假借提供Chrome、NordVPN，以及名為Enterprise Europe Network的應用程式為誘餌，引誘使用者上當。</p> <p>一旦使用者執行駭客提供的檔案，手機就會被植入惡意程式Zombinder，接著攻擊者會聲稱為了符合Google的使用者資料隱私政策，要求使用者同意安裝必要的外掛程式，而這個外掛就是Octo2。之所以這麼做，目的就是要繞過Google從Android 13導入的新防護機制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/analysis-pentest-tool-splinter/">駭客利用Rust打造的紅隊演練工具Splinter從事攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-actor-uses-compromised-accounts-customized-social-engineering">北美交通物流業者遭到鎖定，駭客散布惡意軟體Lumma Stealer、NetSupport</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/09/transportation-companies-hit-by.html">汽車經銷商AutoCanada傳出遭Hunter International洩露員工資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.bushidotoken.net/2024/09/examining-mobile-threats-from-russia.html">俄羅斯駭客偏好針對安卓、iOS行動裝置下手，從事網路間諜活動、竊取機密及軍事情報</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/technology/mozilla-accused-of-tracking-users-in-firefox-without-consent/">Mozilla基金會傳出透過Firefox隱私功能，未經同意追蹤使用者上網行為</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165198"><strong style="font-size: 22px;">macOS版ChatGPT軟體存在漏洞，攻擊者恐藉此將間諜軟體植入AI工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chatgpt-macos-persisten3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/chatgpt-macos-persisten3.png" style="width: 300px; float: right;" /></a></p> <p>今年2月OpenAI宣布將為ChatGPT提供名為記憶（Memory）的功能，並於9月初正式開放所有用戶使用，但有研究人員發現，電腦版應用程式弱點，有機會讓攻擊者將間諜軟體植入AI系統。</p> <p>資安研究員Johann Rehberger揭露名為SpAIware的弱點，攻擊者可藉由第三方網站進行提示注入（Prompt Injection）攻擊手法，將含有能竊取使用者資訊的間諜軟體注入ChatGPT的記憶區，因此，在macOS版應用程式當中，使用者與AI機器人對話的內容，將會持續傳送到攻擊者的伺服器。OpenAI獲報後，已發布新版應用程式予以修補。</p> <p>究竟要如何發動SpAIware攻擊？具體而言，攻擊者要引誘使用者分析不受信任的檔案，或是將他們導向不受信任的網站，而這個網站含有控制ChatGPT及插入惡意資料而能滲透ChatGPT記憶功能的命令。一旦得逞，應用程式就會將使用者後續的聊天內容傳送給攻擊者。</p> <p><a href="https://www.ithome.com.tw/news/165202"><strong style="font-size: 22px;">資料庫管理工具pgAdmin存在重大漏洞，攻擊者可繞過OAuth身分驗證流程挾持用戶資料</strong></a></p> <p>9月23日PostgreSQL資料庫管理工具pgAdmin 4發布8.12版，當中修補重大層級漏洞CVE-2024-9014，這項漏洞存在8.11版之前的所有版本，若不處理，很有可能對使用者資料造成危害。</p> <p>細部而言，此項資安弱點的問題出在OAuth2身分驗證機制，攻擊者有機會藉此取得用戶端ID及帳密機敏資料（Secret），進而在未經授權的情況下存取使用者的資料，CVSS風險評分為9.9（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/165142"><strong style="font-size: 22px;">Acronis修補備份軟體Plug-in程式的重大資安漏洞</strong></a></p> <p>資料保護軟體與服務廠商Acronis，於9月16日發布旗下Acronis Backup備份軟體Plug-in程式的更新通報，提醒用戶盡速更新軟體，以修補其中含有的重大資安漏洞CVE-2024-8767。</p> <p>CVE-2024-8767是Acronis評為嚴重性9.9分（滿分10分）的重大漏洞，問題出在Plug-in程式的權限設定不當，可能會讓受影響的伺服器發生敏感資訊外洩的狀況，並讓攻擊者執行未授權的操作。</p> <p>受這個漏洞影響的Acronis Backup備份Plug-in程式，包括搭配cPanel & WHM、Plesk與DirectAdmin等3款Linux平臺主機與網站管理工具的Plug-in程式，這些Plug-in程式的用途是將前述管理工具的資料，備份到Acronis Backup環境中。Acronis建議將搭配cPanel & WHM與Plesk的Plug-in程式，分別更新到1.8.0版，而搭配DirectAdmin的Plug-in則更新到1.2.0版。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165183"><strong>【9月25日】UNC1860為攻擊中東企業組織的駭客開路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165170"><strong>【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> </div></div></div>
2024/9/26 17:09作者周峻佑https://www.ithome.com.tw/news/165207
macOS版ChatGPT存在漏洞，攻擊者恐藉此將間諜軟體植入AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月OpenAI宣布將為ChatGPT提供名為<a href="https://openai.com/index/memory-and-new-controls-for-chatgpt/">記憶（Memory）</a>的功能，並於9月初正式開放所有用戶使用，但有研究人員發現，電腦版應用程式弱點，有機會讓攻擊者將間諜軟體植入AI系統。</p> <p>資安研究員Johann Rehberger揭露<a href="https://embracethered.com/blog/posts/2024/chatgpt-macos-app-persistent-data-exfiltration/">名為SpAIware的弱點</a>，攻擊者可藉由第三方網站進行提示注入（Prompt Injection）攻擊手法，將含有能竊取使用者資訊的間諜軟體注入ChatGPT的記憶區，從而能夠持續將macOS版應用程式當中，使用者與AI機器人對話的內容，傳送到攻擊者的伺服器上。對此，OpenAI獲報後，已發布新版應用程式予以修補。</p> <p>什麼是記憶功能？這項功能的主要用途，在於使用者與ChatGPT的過程，可以要求AI機器人記住特定內容，而能在後續的對話內容可以加以運用，提供更符合使用者需求的答案。此外，使用者也可以對於ChatGPT記下的內容進行管理，或是要求忘掉部分資訊。</p> <p>究竟要如何發動SpAIware攻擊？具體而言，攻擊者要引誘使用者分析不受信任的檔案，或是將他們導向不受信任的網站，而這個網站含有控制ChatGPT及插入惡意資料滲透過記憶的命令。一旦得逞，應用程式就會將使用者後續的聊天內容傳送給攻擊者。研究人員也公布概念性驗證影片，並指出這項攻擊的過程裡，使用者不易察覺有異。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/zb0q5AW5ns8?si=3r2Ivq26qFTLd-O0" title="YouTube video player" width="560"></iframe></p> </div></div></div>
2024/9/26 14:36作者周峻佑https://www.ithome.com.tw/news/165198
資料庫管理工具pgAdmin存在重大漏洞，攻擊者可繞過OAuth身分驗證流程挾持用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月23日PostgreSQL資料庫管理工具pgAdmin 4發布<a href="https://www.pgadmin.org/docs/pgadmin4/8.12/release_notes_8_12.html">8.12版</a>，當中修補重大層級漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-9014">CVE-2024-9014</a>，這項漏洞存在於8.11版之前的所有版本，若不處理，很有可能對使用者資料造成危害。</p> <p>這項漏洞存在於OAuth2身分驗證機制，攻擊者有機會藉此取得用戶端ID及帳密機敏資料（Secret），進而在未經授權的情況下存取使用者的資料，CVSS風險評分為9.9（滿分10分）。</p> <p>附帶一提的是，新版pgAdmin 4不光修補上述漏洞，也帶來13項新功能及臭蟲修復。</p> </div></div></div>
2024/9/26 15:24作者周峻佑https://www.ithome.com.tw/news/165202
安卓金融木馬Octo2鎖定歐洲國家，接管受害裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ThreatFabric針對<a href="https://www.threatfabric.com/blogs/octo2-european-banks-already-under-attack-by-new-malware-variant">安卓金融木馬Octo2的攻擊行動</a>提出警告，並指出該惡意程式以名為Octo（也叫做ExobotCompact）的木馬程式為基礎進行開發，駭客為提高裝置接管（Device Takeover，DTO）攻擊的可用性，他們改良遠端控制功能的穩定性，同時也納入複雜的混淆技術，從而迴避相關偵測機制。值得留意的是，在部分歐洲國家已出現實際攻擊行動。研究人員指出，駭客的目標，其實是將這支金融木馬用於攻擊全球的銀行用戶。</p> <p>研究人員指出，根據他們收集的威脅情報，首度出現的Octo2在義大利、波蘭、摩爾多瓦、匈牙利出現，駭客假借提供Chrome、NordVPN，以及名為Enterprise Europe Network的應用程式為誘餌，引誘使用者上當。</p> <p>一旦使用者執行駭客提供的檔案，手機就會被植入惡意程式Zombinder，接著攻擊者會聲稱為了符合Google的使用者資料隱私政策，要求使用者同意安裝必要的外掛程式，而這個外掛就是Octo2。研究人員指出，駭客這麼做的目的，就是為了繞過Google從Android 13導入的新防護機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/octo_zombinder.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/octo_zombinder.png" style="width: 400px;" /></a></p> <p>研究人員表示，開發該惡意程式的犯罪集團正積極推廣駭客運用，起因是今年發布第一代Octo的原始碼外流，導致有其他駭客開發衍生版本瓜分原本使用Octo的駭客。因此，原開發團隊積極發布新的Octo2，並對該惡意程式持續進行改良，目的就是希望吸引用戶回頭。</p> <p>Octo2主要改進的層面當中，大多集中於遠端控制連線及裝置接管攻擊的程式穩定性，其中一種是能夠藉由減少網路傳輸到C2的資料量，，並降低惡意程式傳送到C2的螢幕截圖品質，而能提高連線的穩定性。</p> <p>但除了上述的運作穩定性，駭客導入更刁鑽的手法來迴避偵測也相當值得留意，新版惡意程式駭客實作更為複雜的混淆機制，其啟動過程必須解密、動態載入額外的本機程式庫，然後密碼有效酬載、產生加密金鑰，以及C2網域名稱，而其中的C2網域名稱，駭客以日期為基礎，打造一種網域名稱生成演算法（DGA），來產生C2伺服器的名稱。</p> </div></div></div>
2024/9/26 16:17作者周峻佑https://www.ithome.com.tw/news/165203
美國FTC針對不實炒作AI能力的公司採取行動，包括DoNotPay在內
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（FTC）周三（9/25）<a href="https://www.ftc.gov/news-events/news/press-releases/2024/09/ftc-announces-crackdown-deceptive-ai-claims-schemes" target="_blank">揭露「AI守法行動」</a>（Operation AI Comply），已採取5項法律行動來對抗那些不實炒作AI技術，或是出售不良AI技術的業者，其中之一是由史丹佛大學學生Joshua Browder在2016年<a href="https://www.ithome.com.tw/news/106767" target="_blank">發表的</a>DoNotPay聊天機器人。</p> <p>FTC表示，市場上有愈來愈多與AI有關的各種宣傳，例如經常承諾可藉由自動化及解決問題來改善人們的生活，然而，使用AI工具來欺騙、誤導或詐欺使用者是違法的。</p> <p>第一波被FTC提告的5家業者包括DoNotPay、Ascend Ecom、Ecommerce Empire Builders、Rytr與FBA Machine。其中，DoNotPay提供的是機器人律師服務，宣稱可代替人類律師，每季的訂閱費用為36美元，但FTC卻發現DoNotPay無法證明機器人的律師等同於人類律師，而且DoNotPay還提供了一個可笑的服務，表示只要提供電子郵件，就能偵測商業網站是否違反數百項的聯邦法令。</p> <p>Rytr提供的則是AI助手服務，其中一項功能可用來生成推薦與評論。然而，FTC指出，Rytr所生成的許多評論與使用者的輸入無關，意謂著該服務生成了大量的不實資訊，並污染了市場。</p> <p>至於Ascend Ecom、Ecommerce Empire Builders或FBA Machine都涉及電子商務服務，皆不實宣稱利用其AI工具就可替使用者建立線上商店，創造每月數千至上萬美元的被動收入，非但沒能實現，還拒絕退款。</p> </div></div></div>
2024/9/26 16:35作者陳曉莉https://www.ithome.com.tw/news/165204
Meta取得Threads.com網址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>眼尖的媒體發現，Meta旗下的<a href="https://www.whois.com/whois/threads.com" target="_blank">Instagram已經取得</a>了Threads.com的網域名稱。目前Threads服務的網址為Threads.net。</p> <p>Threads是Meta為了與X相抗衡而推出的微型部落格服務，於<a href="https://www.ithome.com.tw/news/157630" target="_blank">去年7月</a>正式上線，網址為Threads.net。當時的Threads.com網域名稱的所有人為一家名為Threads的新創，主要開發類似Slack的協作通訊平臺。</p> <p>不過，Threads共同創辦人暨執行長Rousseau Kazi<a href="https://x.com/rousseaukazi/status/1798724339841319186" target="_blank">今年6月宣布</a>，該團隊已賣給了Shopify。</p> <p>根據Kazi的描述，從Instagram Threads上線以來，該公司便出現了出售網域名稱的機會，而且幾乎在同一段時間，有不同的公司找上門來，企圖收購該團隊，過去他們通常會拒絕收購，但現在情況已然不同，一來不想再花時間重塑品牌，二來科技的快速發展，令他們對於可加入一個執行大規模創新與實驗的地方感到興奮。</p> <p>現階段並不確定Meta是從Threads還是Shopify手上買下Threads.com。</p> </div></div></div>
2024/9/26 16:48作者陳曉莉https://www.ithome.com.tw/news/165205
勒索軟體RansomHub利用EDRKillShifter載入作案工具，並癱瘓防毒及EDR防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了攻擊流程能如期加密受害電腦檔案，勒索軟體駭客RansomHub在從事攻擊行動當中，會運用<a href="https://www.ithome.com.tw/news/164521">名為EDRKillShifter的工具</a>，將防毒軟體或端點防護工具EDR停用，該勒索軟體運作已超過半年，<a href="https://www.ithome.com.tw/news/164809">迄今超過210個企業組織受害</a>，而受到資安圈高度關注。但駭客如何運用EDRKillShifter來達到目的？有研究人員公布更多細節。</p> <p>資安業者趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/24/i/how-ransomhub-ransomware-uses-edrkillshifter-to-disable-edr-and-.html">這些駭客已將EDRKillShifter整合到他們的攻擊鏈當中</a>，這個惡意程式主要是利用存在弱點的驅動程式，從而破壞EDR端點防護機制，但除此之外，駭客也企圖讓這支程式持續於受害電腦運作，目的是讓整個攻擊流程都能不受干擾。</p> <p>針對駭客的攻擊流程，研究人員指出通常是透過釣魚郵件、已知漏洞、密碼潑灑攻擊等手法，針對曝露於網際網路的應用系統及端點電腦，來取得初始入侵的管道。其中一個駭客利用的漏洞，是4年前揭露的Zerologon（CVE-2020-1472）。</p> <p>在成功進入目標組織的網路環境後，攻擊者會使用232.bat、tdskiller.bat、killdeff.bat、LogDel.bat等一系列的批次檔，竄改系統組態、終止特定處理程序、停用防毒軟體Microsoft Defender，並竄改事件記錄，目的是掩蓋攻擊者的行蹤。</p> <p>接著，這些駭客藉由本機安全認證子系統服務（LSASS）轉存帳密資料來提升權限，並濫用NetScan、AnyDesk對網路環境進行偵察，以便橫向移動、竊取資料，以及部署勒索軟體。</p> <p>而在上述攻擊的過程裡，攻擊者不只將EDRKillShifter用於阻礙防毒軟體及EDR的運作，還將其當作惡意程式載入工具，來執行各階段的作案工具。駭客必須下達含有密碼的命令才能啟動EDRKillShifter，該執行檔執行時會解密其嵌入的資源，並在記憶體內執行，同時濫用存在弱點的驅動程式，取得運作所需的資料。</p> </div></div></div>
2024/9/26 17:01作者周峻佑https://www.ithome.com.tw/news/165206
Cloud周報第211期：美華納兄弟探索公司導入雲端GenAI優化影片字幕，讓字幕製作時間縮短80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（09/19～09/25）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> WBD </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">美華納兄弟探索公司導入雲端GenAI提升作業效率，並先用於優化影片字幕的製作</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap43(1).png" style="width: 600px; height: 296px;" /></p> <p>旗下擁有Warner Bros、Discovery、HBO、CNN、Max等知名頻道的美國華納兄弟探索公司（Warner Bros. Discover,WBD）近日宣布開始在內部導入GenAI技術提高作業效率，並先運用在優化自家影片字幕的製作，來提升字幕的精確性，進而提高用戶的觀看體驗。</p> <p>傳統的字幕製作是一項勞動密集且耗時的過程。為了提高效率，WBD最近決定採用了Google生成式AI平臺Vertex AI開發出自家的字幕GenAI模型，並先運用在無腳本節目的字幕製作上，大幅優化字幕處理流程。</p> <p>WBD首席技術長 Avi Saxena表示，導入GenAI技術，不僅有助於加快字幕處理流程，而且還提高了效率，同時降低了成本。</p> <p>與手動添加字幕相比，WBD表示，使用GenAI能將字幕生成時間縮短多達80%，字幕製作成本減少約50%，同時還能有效降低錯誤率，提供觀眾更一致、精確的字幕品質。不過，即使借助AI製作，最後也都會由人工確認字幕品質。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Snap </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Sna的聊天機器人My AI開始整合Google Gemini模型，強化其多模態處理能力</span></strong></p> <p>開發出知名圖片分享軟體Snapchat的Snap最近宣布將擴大與Google Cloud戰略合作，將整合Google Cloud的生成式AI模型Gemini到自家的聊天機器人 My AI中，強化其多模態處理能力。</p> <p>Snap去年推出My AI，最初採用<em>OpenAI</em> 的GPT模型，為Snapchat用戶提供更加互動的體驗。此次整合Google Cloud的多模態模型Gemini，可以使My AI，同時支援文字、音訊、圖像、視訊和程式碼等多種類型資訊。</p> <p>透過Vertex AI平臺，Snap將Gemini整合到Snapchat應用程式中，提供創新的功能，例如用戶可以在旅途中要求My AI翻譯路牌，或或拍攝零食時詢問哪一款更健康。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端叢集系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OCI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">基於Blackwell平臺架構設計，Oracle推出第一套可達ZB級運算規模的雲端運叢集系統</span></strong></p> <p>在近日舉行的Oracle CloudWorld 2024大會上，Oracle宣布推出採用Nvidia Blackwell平臺設計，運算量可達到ZB等級（10的21次方）的雲端運叢集系統OCI Supercluster，Oracle宣稱這是全球最大的雲端AI超級電腦，可協助企業加速建立、訓練和部署下一代 AI 模型。</p> <p>Oracle指出，該超級電腦配備多達131,072個Nvidia GPU，其GPU數量是橡樹嶺國家實驗室Frontier超級電腦的三倍多，更是其他超大規模資料中心的六倍多，若搭配ConnectX-7 NIC或 Quantum-2 InfiniBand高速網路，可在雲端環境提供高達2.4 zettaflops（每秒浮點運算次數）的AI運算能力。</p> <p>企業能在OCI Supercluster上選擇最新的Nvidia GPU，並部署於本地、公有雲和主權雲。這套基於Blackwell架構的系統預計將於明年上半年推出。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">資料落地 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GitHub企業版雲端服務在歐盟推出資料落地功能，強化企業資料主權和法規要求</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap40.png" style="width: 600px; height: 268px;" /></span></strong></p> <p>程式碼代管平臺業者GitHub最近在企業版GitHub雲端服務中推出資料落地（Data Residency）新功能，讓開發人員在開發程式時可以選擇將雲端程式碼和儲存庫儲存在境內，確保這些資料不出境，強化企業資料主權和滿足法規監管要求。</p> <p>GitHub的資料落地功能建立在微軟Azure技術基礎上，供企業能夠將資料存放在指定區域，也提供Azure的安全防護及災難復原功能，另外，該功能也提供專屬命名空間，與開源的github.com環境完全隔離，避免企業內部與開源社群資料出現混淆風險。</p> <p>GitHub將在10月底起在歐盟開始提供資料落地服務，未來進一步將該功能擴展至澳洲、亞洲和拉丁美洲等其他地區。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">甲古骨文</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FFCM </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">甲骨文推出新的管理監控雲端服務，專用於金融犯罪與合規管理</span></strong></p> <p>甲骨文近日推出新的管理監控雲端服務，專用於金融犯罪與合規 (FCCM) 管理，包括提供金融犯罪和合規管理監控與互動視覺化功能，助銀行有效掌控風險並符合合規與報告需求。</p> <p>在這項雲端管理監控服務中， Oracle提供一套業務分析報告系統，搭配視覺化儀表板，讓反洗錢人員及其團隊可以更容易數據中掌握目前狀況，並提供合規團隊關鍵績效指標 (KPI)及其存取權限。</p> <p>透過這套系統，銀行能可更有效評估各業務部門的金融犯罪風險，並積極作出決策，提升FCCM問題的應對能力。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">C8g</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS正式推出採用Graviton 4處理器的C8g執行個體，CPU數量比前一代多三倍</span></strong></p> <p>AWS近日推出最新的C8g執行個體，並採用自家設計的Graviton 4處理器，專用於ML推理、HPC等運算密集型工作負載。</p> <p>跟前一代相比，C8g執行個體使用AWS最新的Graviton4處理器，不僅CPU數量上增加了三倍，記憶體也提升三倍，達到384GB，記憶體頻寬增加了 75%，L2快取容量更是翻倍，這些提升讓 C8g 執行個體能夠處理更大規模工作負載，加速資料處理並降低TCO。該實例還提供高達50 Gbps的網路頻寬和高達40 Gbps的Amazon EBS頻寬。</p> <p>C8g實例提供兩種裸機大小，分別是metal-24xl 和 metal-48xl。現已在美國東、西部和歐洲部分區域推出。</p> <p>除了C8g之外，AWS 也推出了 M8g 執行個體，搭載同樣的 Graviton 4 處理器，適用於通用型工作負載。</p> <p> </p> <p>圖片來源／GitHub、Google Cloud</p> <p> </p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Google向歐盟控訴微軟壟斷，限制歐洲客戶轉移至其他雲端系統</strong></p> <p><strong>2.Google的Vertex AI上架最新Llama 3.2模型，專用於邊緣設備視覺和輕量級模型文本應用 </strong></p> <p><strong>3.Red Hat更新OpenShift平臺，修補2項重大層級漏洞</strong></p> <p><strong>4.Salesforce收購非結構化資料處理工具商Zoomin，強化數據雲的資料整合能力 </strong></p> <p><strong>資料來源：iThome整理，2024年9月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/9/26 08:58作者余至浩https://www.ithome.com.tw/news/165191
Meta揭露重量只有100公克的AR眼鏡Orion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta於本周三（9/25）舉行的Connect大會上<a href="https://www.meta.com/zh-tw/blog/quest/orion-ar-glasses-augmented-reality/" target="_blank">發表了新一代的AR眼鏡Orion</a>，Meta創辦人暨執行長<a href="https://www.facebook.com/photo?fbid=10115852256687321&set=pcb.10115852256976741" target="_blank">祖克柏（Mark Zuckerberg）將它稱為</a>迄今最先進的AR眼鏡，它不再是個笨重的頭戴式裝置，而是個一支重量只有100公克的粗框眼鏡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-Meta-AI%E7%9C%BC%E9%8F%A1-Orion-5.png" style="width: 600px;" /></p> <p>Orion眼鏡的視角為70度，儘管小於人眼的180度視角，或者是HTC Vive Pro 2的130度視角，以及Meta Quest 3的120度視角，但Orion卻是迄今擁有最大視角的最小AR眼鏡；並允許使用者透過語音、眼球移動、手勢及肌電圖（Electromyography，EMG）腕帶進行輸入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-Meta-AR%E7%9C%BC%E9%8F%A1Orion-EMG%E8%85%95%E5%B8%B6.png" style="width: 600px;" /></p> <p>Meta認為，AR眼鏡將是推動以人為中心的運算革命的關鍵。因為它實現了不受智慧型手機螢幕限制的數位體驗，藉由大型的全息顯示，使用者可將實體世界當作螢幕，把2D及3D內容放在任何想要的位置上；它還能整合各種AI來感應及理解使用者周圍的世界，以預測及主動滿足使用者的需求；而輕巧的外型設計則同時適合戶內或戶外使用，也讓人們能夠看見彼此的眼睛及表情。</p> <p>Orion眼鏡的硬體除了眼鏡本身之外，還包括EMG腕帶及無線運算圓盤。眼鏡用來執行所有的手部追蹤、眼球追蹤、同時定位與地圖構建（SLAM），以及將AR圖像精確鎖定於現實世界中的圖像演算法；無線運算圓盤主要用來減輕眼鏡的負擔，用來處理其它應用程式的邏輯，以維持眼鏡的小巧，延長電池壽命及減少延遲。</p> <p>至於EMG腕帶是用來偵測肌肉運算所產生的電子訊號，並轉成命令，例如彎曲食指可能是點選，旋轉手腕是滾動，或是利用手指組合來當作命令的捷徑。</p> <p>Orion的內部代號為Project Nazare，目前仍處於原型階段。Meta強調，即使它不會被送到消費者手上，但它已不僅是個研究原型，而是個非常精緻的產品原型，只是該公司決定先專心進行內部開發，繼續突破技術的界限，不急著讓它上市。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/2CJsnyS8u3c?si=aUySI8IeycKLSEv9&start=204" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> </div></div></div>
2024/9/26 14:49作者陳曉莉https://www.ithome.com.tw/news/165199
迪士尼打擊Disney+帳號共享，擴大至北美及亞太市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迪士尼公司（The Walt Disney Company，Disney）周三（9/25）<a href="https://thewaltdisneycompany.com/paid-sharing-disney-explainer/" target="_blank">宣布擴大其付費共享計畫</a>，讓訂閱用戶額外付費以與居住在不同地方的親友分享Disney+服務，目的是為了打擊帳號共享行為，<a href="https://www.ithome.com.tw/news/156466" target="_blank">向Netflix看齊</a>。</p> <p>許多影片串流服務都有高階的家庭訂閱選項，允許一次登入多臺裝置，這也讓不少使用者在訂閱了支援多個裝置的高階選項後，與親友分享自己的帳號。然而，不管是Netflix或迪士尼都規定，此一家庭訂閱僅適用於同住在一起的家人，它們會根據用戶的訂閱活動、使用裝置及網路等因素，來自動偵測及確定所謂的家庭範圍。</p> <p>一旦有位於不同住宅的使用者登入並企圖更新位置，Disney+系統即會送出一次性的驗證碼至訂閱用戶的電子郵件信箱中，以要求確認。</p> <p>其實迪士尼今年夏天就先於特定市場測試付費共享計畫，如今將擴大至美國、加拿大、哥斯大黎加、瓜地馬拉、歐洲，以及亞太地區。</p> <p>此外，現在如果要在自己的Disney+帳號中增加住家以外的成員，Disney+ Basic用戶必須額外支付6.99美元，若是Disney+ Premium則必須額外支付9.99美元，而且不管是哪種方案，都只有一個額外成員的名額。</p> </div></div></div>
2024/9/26 15:06作者陳曉莉https://www.ithome.com.tw/news/165200
OpenAI技術長、研究長與研究副總都將離職，外傳準備新設營利公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI技術長Mira Murati周三（9/25）透過自己的X帳號<a href="https://x.com/miramurati/status/1839025700009030027?s=46" target="_blank">對外宣布</a>即將離職，OpenAI執行長Sam Altman很快便<a href="https://x.com/sama/status/1839093415226524114" target="_blank">作出回應</a>，並說研究長Bob McGrew與研究副總裁Barret Zoph也已經決定要離開OpenAI，同一天市場就傳出OpenAI正計畫從非營利組織轉型成營利公司。OpenAI的變化之快總是令人目不暇給。</p> <p>現年35歲的Murati是在2018年才加入OpenAI，任職超過6年，她說離開是件很難抉擇的事，但她想要有更多的時間及空間來從事自己的探索，而現在最重要的事便是好好地交接。</p> <p>Altman則是在當天早上才收到Murati的辭呈，同時對外分享McGrew與Zoph也要離開的消息，解釋他們是個別且友好的作出離職決定，並說感謝他們對OpenAI的貢獻。</p> <p>Altman亦公布了新的人事部署，包括原本的研究副總裁Mark Chen被拔擢為資深研究副總裁，負責帶領OpenAI的研究單位並與科學長Jakub Pachocki合作；原本負責安全的Matt Knight也被升職為OpenAI的資安長；研究科學家Josh Achiam則將擔任任務對齊的負責人。</p> <p>在高階主管相繼宣布離職之後，Altman企圖安撫人心，表示領導階層的變動是公司的自然發展，特別是那些要求嚴格且發展迅速的公司，他不會假裝這麼突然的事件是自然的，但OpenAI亦不是一家正常的公司，他接受Murati的解釋。</p> <p>而在高層大風吹的同一天，市場又傳出OpenAI打算將核心業務重組成一家營利性的公司，此一新公司將不再受到非營利的OpenAI董事會控制。</p> <p>在OpenAI<a href="https://openai.com/our-structure/" target="_blank">既有的架構</a>中，握有最大權力的是OpenAI董事會，它掌控著非營利的OpenAl Nonprofit，OpenAl Nonprofit則擁有一家由OpenAl Nonprofit、員工及股東組成的控股公司，由控股公司持有有限獲利公司OpenAI Global，而微軟與OpenAI的合作即是建立在OpenAI Global上。</p> <p>根據<a href="https://www.wsj.com/tech/ai/openai-chief-technology-officer-resigns-7a8b4639" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）與<a href="https://www.reuters.com/technology/artificial-intelligence/openai-remove-non-profit-control-give-sam-altman-equity-sources-say-2024-09-25/" target="_blank">路透社</a>（Reuters）的報導，這家新公司將是所謂的B型企業（Benefit Corporation），混合了非營利與營利組織的特色，會同時考量股東、員工及社會利益，而且不會再受到OpenAI董事會的控制。</p> <p>媒體分析指出，此一新的OpenAI公司將對投資人更具吸引力，不像OpenAI Global有著獲利限制，此外，原本沒有任何OpenAI股權的Altman也將獲得這家新公司的股權。</p> <p>現階段OpenAI正在展開新一輪的增資，身價可能高達1,500億美元，且據傳包括微軟、Nvidia與蘋果都有意願參與。</p> </div></div></div>
2024/9/26 11:08作者陳曉莉https://www.ithome.com.tw/news/165197
研究人員打造出可100%破解reCAPTCHAv2的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞士蘇黎世聯邦理工學院（ETH Zurich）的3名研究人員，在今年7月於日本舉行的COMPSAC 2024研討會上發表了一份研究報告《Breaking reCAPTCHAv2》，指出他們利用最新的You Only Look Once（YOLO）模型破解了用來驗證來者是人類或機器人的Google reCAPTCHAv2，在解決人機驗證（Captcha）上的表現與人類相當，某些情況甚至超越人類，能夠100%繞過reCAPTCHAv2，並已於本月<a href="https://arxiv.org/abs/2409.08831" target="_blank">分享至開放的學術論文平臺arXiv</a>。</p> <p>reCAPTCHAv2為Google所開發的工具，主要用來區分人類及機器人（自動化程序），以防止網站遭到惡意攻擊，不管是垃圾留言，暴力破解或是抓取資料等。它有兩種執行模式，一是只要打勾就能驗證，二是圖像驗證，要求人類選擇所指定的圖像，此一研究主要針對圖像驗證。至於現身於2016年的YOLO則是個基於深度學習技術的即時物體檢測模型，可快速識別並定位圖像中的物體，最新的版本是去年問世的YOLOv8 。</p> <p>ETH Zurich的Andreas Plesner、Tobias Vontobel與Roger Wattenhofer使用預訓練的YOLOv8模型進行圖像分割，並透過1.4萬張已標記的圖像來微調YOLOv8，以執行圖像分類任務，不過，除了模型之外，研究人員還加入了許多元素，包括模擬人類移動滑鼠的行為，使用VPN，添加真實用戶的瀏覽歷史紀錄與Cookie等，以繞過reCAPTCHAv2的諸多防禦機制。</p> <p>過去其實有許多研究人員都試圖破解reCAPTCHAv2的圖像驗證，但成功率只介於68%~71%之間，上述的改善讓ETH Zurich研究人員100%得以利用自動化程序繞過此一驗證機制，同時發現reCAPTCHAv2有很大一部分仰賴Cookie及瀏覽器歷史紀錄，來評估使用者是否為人類。</p> <p>研究人員指出，有鑑於Captcha是用來區分人類與機器人，因此，一個好的Captcha應該恰巧位於人類能力的下限，以及機器能力的上限，然而，隨著AI的進步，機器人能力持續提升，該界限不斷地上移，也讓維持一個有效的Captcha愈來愈具挑戰性，而當機器人能夠100%繞過reCAPTCHAv2時，也代表人們正式進入了一個超越Captcha的時代，應該尋找或設計新的技術來因應此一變遷。</p> </div></div></div>
2024/9/25 21:30作者陳曉莉https://www.ithome.com.tw/news/165189
GitHub在歐盟推資料落地服務，強化企業用戶的資料控制能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布將於2024年10月29日，在歐盟推出<a href="https://github.blog/engineering/engineering-principles/github-enterprise-cloud-with-data-residency/">GitHub Enterprise Cloud資料落地（Data Residency）</a>功能，供企業將程式碼和儲存庫存放在特定地區。這項新功能滿足企業對資料控制的需求，其利用微軟Azure基礎設施，提供資料安全性、業務連續性和災難恢復能力。GitHub團隊指出，內部已經利用該功能進行測試和部署，確認其穩定性和可靠性，並計畫將該功能擴展至更多地區。</p> <p>由於各國和區域法規的要求，企業可能需要遵守嚴格的資料政策。資料落地可確保資料被安全存放於特定地理區域，而這對跨國企業尤為重要，因各國對資料隱私和安全有著不同規範，藉由資料落地確保敏感資料不會被跨境傳輸，而且隨著GitHub Copilot等人工智慧開發工具興起，也能保證訓練資料和模型的儲存位置符合各國法規要求。</p> <p>GitHub表示，多年來他們收到來自全球企業用戶的強烈要求，希望能夠提供資料落地功能，使其對程式碼和儲存庫資料存放位置有更多控制能力，以確保資料主權與資料保護。</p> <p>GitHub的資料落地功能建立在微軟Azure技術基礎上，供企業能夠將資料存放在指定區域，獲得進階資料安全保護，另外，該功能也提供專屬命名空間，與開源的github.com環境完全隔離，避免企業內部與開源社群資料出現混淆風險。</p> <p>為了驗證資料落地功能的穩定性和可靠性，在功能開發過程中，GitHub也積極在內部使用，並建立獨立的資料落地環境。GitHub指出，他們已經進行超過8,000次部署，全面測試功能的穩定性。每個月GitHub持續執行超過1,000次的GitHub Actions作業，在驗證功能成熟度的過程，也依實際運作資料對系統效能進行最佳化。</p> <p>GitHub在10月29日於歐盟推出的資料落地功能，只是全球擴展計畫的第一步，GitHub還計畫在之後進一步將該功能擴展至澳洲、亞洲和拉丁美洲等其他地區，使其客戶擁有更好的資料控制能力。除了地理區域的擴展，GitHub還會繼續改進資料落地功能，確保安全性和效能品質，以適應不同需求和法遵標準。</p> </div></div></div>
2024/9/25 21:58作者李建興https://www.ithome.com.tw/news/165190
【資安日報】9月25日，UNC1860為攻擊中東企業組織的駭客開路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客從事網路攻擊活動，朝向分工的方式進行可說是越來越普遍，其中一種是專門取得目標企業組織初始入侵管道的歹徒（Initial Access Broker，IAB），他們向其他網路罪犯兜售這種管道，如今國家級駭客也出現的類似的分工，有專門的組織從事類似IAB的行為。</p> <p>資安業者Mandiant發現，伊朗駭客UNC1860在成功入侵目標組織後，會藉由惡意軟體控制工具，為接手從事攻擊行動的駭客，提供以遠端桌面連線存取目標網路環境的能力。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165181"><strong style="font-size: 22px;">UNC1860挖掘滲透中東企業組織的初始管道，替攻擊這些目標的駭客開路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/unc1860-temple-of-oats-fig1_max-1700x1700.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc1860-temple-of-oats-fig1_max-1700x1700.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露伊朗駭客組織UNC1860，並指出這些駭客疑似隸屬伊朗情報與國家安全部（MOIS），根據他們看到駭客專屬的作案工具，推測這群歹徒可能專為其他網路犯罪組織提供受害組織初始入侵管道（Initial Access Broker，IAB）。</p> <p>這些駭客起初鎖定曝露於網際網路的伺服器植入名為StayShante的Web Shell，企圖取得受害組織的網路環境初始存取權限，一旦得逞，他們就會部署其他惡意程式，例如：TofuDrv、TofuLoad，來取得進一步的控制權，這些被植入的作案工具比一般的後門程式更為隱密，因為駭客會試圖消除惡意程式對C2基礎設施的依賴，使防守方難以偵測行蹤。</p> <p>而在UNC1860成功掌握受害組織網路環境的存取管道後，他們便會透過具備圖形操作介面的惡意軟體控制工具TemplePlay、ViroGreen，為接手從事進一步攻擊行動的駭客，提供以遠端桌面連線（RDP）存取受害組織網路環境的能力。</p> <p><a href="https://www.ithome.com.tw/news/165122"><strong style="font-size: 22px;">全球電子郵件系統安全亮紅燈！網擎解析郵件伺服器軟體資安危機</strong></a></p> <p>電子郵件是眾多資安廠商公認最主要的網路攻擊起點，從2023年下半到現在，就有多起相關的資安事故與漏洞濫用事件躍上媒體版面，知名的郵件伺服器與郵件安全閘道陸續傳出災情，像是：Microsoft 365雲端服務的Outlook Web Access in Exchange Online（OWA），以及Outlook.com（HPE、歐美政府），開放原始碼電子郵件系統Zimbra，Barracuda郵件安全閘道設備，以及Cisco郵件安全閘道。</p> <p>對於專營郵件伺服器與郵件安全系統的網擎資訊而言，也深刻體認到資安局勢日趨嚴峻，執行長廖長健在9月11日舉行的Hello World開發者大會首日下午的演講指出，作為防禦方，採取相關措施有三個基本的前提：首先，攻擊者已有產品完整實驗環境；第二，攻擊者可以輕易找到目標伺服器；第三，攻擊者已有目標環境的使用者帳號。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/kansas-water-facility-switches-to-manual-operations-following-cyberattack/">美國堪薩斯州供水設施遭遇網路攻擊，被迫切換手動操作</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/octo2-harder-better-faster-stronger-new-banking-malware-variant-spotted-attacking-europe">安卓木馬Octo2鎖定歐洲國家，接管受害裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/snipbot-romcom-malware-variant/">烏克蘭軍方遭到鎖定，駭客藉由惡意程式SnipBot發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://veriti.ai/blog/diddy-do-it-or-did-cybercriminals-how-hackers-are-turning-scandals-into-cyber-attacks/">惡意軟體PDiddySploit假借名人醜聞文章散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/infostealer-malware-bypasses-chromes-new-cookie-theft-defenses/">竊資軟體傳出已繞過Chrome保護Cookie及機敏資料的機制</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165151"><strong style="font-size: 22px;">FreeBSD修補Hypervisor元件重大層級漏洞</strong></a></p> <p>9月19日FreeBSD開發團隊發布資安公告，他們發布14.1-STABLE、14.1-RELEASE-p5、14.0-RELEASE-p11、13.4-STABLE、13.4-RELEASE-p1，以及13.3-RELEASE-p7更新，目的是修補重大層級的漏洞CVE-2024-41721，這項漏洞存在於名為bhyve(8)的Hypervisor元件，屬於記憶體越界讀取（OBR）弱點，CVSS風險評為9.8分。</p> <p>此漏洞發生的原因，在於bhyve透過虛擬USB控制器（XHCI）模擬裝置的過程中，缺乏充分的程式碼驗證，可能導致記憶體越界讀取，從而允許任意寫入檔案或是遠端執行程式碼的情況。</p> <p>這項漏洞無緩解措施，因此FreeBSD維護團隊呼籲儘速更新。但他們也提及，若是未使用XHCI模擬機制的用戶，不會受到這項漏洞影響。</p> <p><a href="https://www.ithome.com.tw/news/165179"><strong style="font-size: 22px;">Cellopoint修補郵件安全閘道重大漏洞，用戶應儘速更新防止管理員權限被奪走</strong></a></p> <p>臺灣電腦網路危機處理暨協調中心（TWCERT/CC）9月20日針對基點資訊（Cellopoint）郵件安全閘道系統Secure Email Gateway（SEG）提出警告，指出該系統4.2.1至4.5.0版存在漏洞CVE-2024-9043，此為重大層級的記憶體緩衝區溢位漏洞，CVSS風險達到9.8分。對此，該公司已於8月發布資安公告，並指出他們在Build 20240712之後的版本修正相關弱點。</p> <p>針對這項漏洞發生的原因，基點資訊指出，起因是該系統處理稽核請求的身分驗證處理程序feedbackd存在弱點，一旦攻擊者向前端網頁發送特製的稽核請求，網頁向feedbackd轉送的過程就會觸發漏洞，導致該處理程序當機。由於前端網頁未能正確處理當機情形，使得前述的稽核請求能夠通過身分驗證，最終攻擊者成功取得系統管理員身分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165170"><strong>【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> </div></div></div>
2024/9/25 17:16作者周峻佑https://www.ithome.com.tw/news/165183
傳輸速度達27 Gbps，Netgear首款Wi-Fi 7 Mesh系統登臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_orbi_970_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4年前，我們曾介紹Netgear推出的家用路由器網狀系統<a href="https://www.ithome.com.tw/review/136399">Orbi 850系列</a>，是針對Wi-Fi 6無線網路建置需求而來的產品，2020年6月發表<a href="https://investor.netgear.com/releases/press-release-details/2020/NETGEAR-Extends-WiFi-6-Leadership-With-2nd-Orbi-Mesh-System-Delivering-Gigabit-WiFi-Everywhere-in-the-Home/default.aspx">Orbi 750系列</a>，2021年10月發表<a href="https://investor.netgear.com/releases/press-release-details/2021/NETGEAR-Adds-the-Worlds-First-Quad-Band-WiFi-6E-Mesh-System-to-the-Orbi-Family/default.aspx">Orbi 960系列</a>，開始主打Wi-Fi 6E支援，2022年10月推出支援Wi-Fi 6與提供10GbE埠的<a href="https://investor.netgear.com/releases/press-release-details/2022/NETGEAR-Paves-the-Way-for-the-Fastest-Home-Broadband-Speeds-Available-With-New-10-Gig-Orbi-Tri-Band-Wifi-6-Mesh-System/default.aspx">Orbi 860系列</a>，到了2023年9月，終於發表主打Wi-Fi 7支援的Orbi 970系列，相隔一年後的此刻，代理商瀚錸科技宣布將這批產品引進臺灣市場，目前已通過電信管制射頻器材型式認證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RBE970-certified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RBE970-certified.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear RBE971-certified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RBE971-certified.jpg" style="width: 298px;" /></a></p> <p>Orbi 970系列最大賣點，在於總共能提供27 Gbps傳輸效能（BE27000），相較於Wi-Fi 6產品（AX11000），速度增長幅度達到2.4倍，可支援200臺裝置的上網需求，設備內建12支天線、實現360度的訊號範圍覆蓋。若是用戶採購三件式包裝的RBE973S（1主機2衛星）可涵蓋1萬平方呎（281坪），比起Orbi 960系列，增加10％；若是兩件式包裝的RBE972S（1主機1衛星）可涵蓋6,600平方呎（185坪）；若是單件式包裝的路由器RBE971S（1主機），或是單臺衛星延伸器RBE970，可涵蓋3,300平方呎（92坪）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Orbi 970-throughput.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20970-throughput.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/970-Antenna-61K%2B9luC7xL__AC_SL1200-_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/970-Antenna-61K%2B9luC7xL__AC_SL1200-_.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RBE971_WEBUI-small.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RBE971_WEBUI-small.jpg" style="width: 398px;" /></a></p> <p>就硬體架構而言，Orbi 970系列採用的無線通訊晶片是<a href="https://www.qualcomm.com/products/internet-of-things/networking/wi-fi-networks/networking-pro-series/qualcomm-networking-pro-1620-platform">高通Networking Pro 1620 Platform</a>，支援4個頻段、16個串流，匯聚的無線網路容量最高可達33 Gbps，可負擔2千臺裝置的同時連線需求。相較之下，先前推出的Wi-Fi 7基地臺與路由器，若採用高通的晶片，大部分是<a href="https://www.qualcomm.com/products/internet-of-things/networking/wi-fi-networks/networking-pro-series/qualcomm-networking-pro-1220-platform">Networking Pro 1220 Platform</a>，支援3個頻段、12個串流，匯聚的無線網路容量最高可達21 Gbps，可負擔2千臺裝置的同時連線需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualcomm Netgear Wi-Fi7 Mesh-2024-09-B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcomm%20Netgear%20Wi-Fi7%20Mesh-2024-09-B.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Qualcom Wi-Fi 7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Wi-Fi%207.jpg" style="width: 298px;" /></a></p> <p>如同市面上標榜Wi-Fi 7規格的基地臺與路由器，Orbi 970系列可運用2.4 GHz、5 GHz、6 GHz這三種頻段，支援高容量的頻道320 MHz，以及正交振幅調變4096-QAM，而且，這批機型也沿襲Netgear Orbi系列特有的專屬回程傳輸（Dedicated Backhaul），額外設置獨立的5GHz頻段，連接Orbi路由器主機與Orbi衛星延伸器，因此，總共提供4個頻段，同時，它們還能活用Wi-Fi 7新增的多重連結操作（MLO），將這個專用的5 GHz頻段與6 GHz頻段結合起來，Orbi路由器與Orbi衛星延伸器的連線速度可增加1倍，進而達到10 Gbps等級的無線回程傳輸能力，提供更低的存取延遲與更順暢的連線速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Wi-Fi%207%20Orbi%20backhaul.jpg" style="width: 600px;" /></p> <p>而在有線網路的連接能力上，無論是Orbi路由器RBE971或Orbi衛星延伸器RBE970，至少都內建1個10GbE網路埠與2個2.5GbE埠。以Orbi路由器而言，Netgear在此提供2個10GbE埠（WAN埠與LAN埠各1個），以及4個2.5GbE埠（均為LAN埠）；至於Orbi衛星延伸器，提供1個10GbE埠，以及2個2.5GbE埠（3個皆為LAN埠）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20router%20hardware.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20satellite%20hardware.png" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20970-10GbE.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Netgear Orbi 970系列</strong><br /> ●代理商：瀚錸科技<br /> ●建議售價：RBE971S（單主機）37,800元，RBE972S（1主機1衛星）67,900元，RBE973S（1主機2衛星）97,000元<br /> ●無線網路規格：802.11 a/b/g/n/ac/ax/be、12支內部天線<br /> ●頻段與連線速度：總共為27 Gbps，1個6GHz、4096 QAM模式為11,530 Mbps，2個5GHz、4096 QAM模式，各為8,647Mbps、5,765Mbps，1個2.4 GHz、1024QAM模式為1,147 Mbps，均為4x4天線架構<br /> ●配件：1臺Orbi路由器RBE971、1或多臺Orbi衛星延伸器RBE970、2公尺網路線、2個19V/3.16A電源變壓器<br /> ●可支援無線網路設備數量：200臺<br /> ●網路埠：Orbi路由器有6個（4個2.5 GbE埠、2個10 GbE埠），Orbi衛星延伸器有3個（2個2.5 GbE埠、1個10GbE埠）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/25 17:43作者李宗翰https://www.ithome.com.tw/review/165105
UNC1860挖掘滲透中東企業組織的初始管道，替攻擊這些目標的駭客開路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Mandiant揭露<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc1860-iran-middle-eastern-networks/">伊朗駭客組織UNC1860</a>，並指出這些駭客疑似隸屬伊朗情報與國家安全部（MOIS），根據他們看到駭客專屬的作案工具，推測這群歹徒可能專為其他網路犯罪組織提供受害組織初始入侵管道（Initial Access Broker，IAB）。</p> <p>研究人員指出，就攻擊手法與目標而言，UNC1860同於其他伊朗駭客，如Scarred Manticore、Storm-0861、Shrouded Snooper等，主要都是針對中東地區的電信業者及政府機關發動攻擊。但在去年10月資料破壞軟體BabyWiper攻擊行動裡，UNC1860就傳出負責供應受害組織的存取管道，如今研究人員掌握進一步證據，佐證上述的分工情形。</p> <p>這些駭客起初鎖定曝露於網際網路的伺服器植入名為StayShante的Web Shell，企圖取得受害組織的網路環境初始存取權限，一旦得逞，他們就會部署其他惡意程式，例如：TofuDrv、TofuLoad，來取得進一步的控制權，這些被植入的作案工具比一般的後門程式更為隱密，因為駭客會試圖消除惡意程式對C2基礎設施的依賴，使防守方難以偵測行蹤。</p> <p>研究人員提及，駭客植入的作案工具採用被動連線的手法，不會直接發出存取C2的流量，另一方面，駭客對惡意程式下達命令的流量，則是透過各種動態的來源，像是VPN節點、其他受害電腦，甚至是受害組織網路環境的另一個網段，導致防禦方監控網路流量變得更加困難。</p> <p>其中，TofuDrv、TofuLoad都利用了過往未曾發現的輸入及輸出控制命令進行通訊，從而降低被端點資安軟體EDR察覺的機會；另一個被動運作的後門程式TempleDrop，會濫用伊朗防毒軟體Sheed AV的驅動程式元件，避免駭客的作案工具遭到竄改；除此之外，這場攻擊也出現TempleLock、RotPipe等工具的蹤跡，以TempleLock為例，能用來停用Windows事件記錄並抹除作案痕跡。</p> <p>再者，無論Web Shell還是惡意程式，都使用HTTPS加密連線通訊，研究人員無法從網路流量得知攻擊者下達的命令，或是取得有效酬載。</p> <p>而在UNC1860成功掌握受害組織網路環境的存取管道後，他們便會透過具備圖形操作介面的惡意軟體控制工具TemplePlay、ViroGreen，為接手從事進一步攻擊行動的駭客，提供以遠端桌面連線（RDP）存取受害組織網路環境的能力。</p> <p>根據上述的作案工具發現，研究人員指出，突顯這些駭客具備對Windows核心元件的逆向工程技能，以及迴避偵測的能力，因此他們造成的威脅不容小覷。</p> </div></div></div>
2024/9/25 16:32作者周峻佑https://www.ithome.com.tw/news/165181
Cellopoint修補郵件安全閘道重大漏洞，用戶應儘速更新防止管理員權限被奪走
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電腦網路危機處理暨協調中心（TWCERT/CC）9月20日<a href="https://www.twcert.org.tw/tw/cp-132-8102-b94a9-1.html">針對基點資訊（Cellopoint）郵件安全閘道系統Secure Email Gateway（SEG）提出警告</a>，指出該系統4.2.1至4.5.0版存在漏洞CVE-2024-9043，此為重大層級的記憶體緩衝區溢位漏洞，CVSS風險達到9.8分。對此，該公司<a href="https://www.cellopoint.com/post/seg-feedback-2024?lang=zh">已於8月發布資安公告</a>，並指出他們在Build 20240712之後的版本修正相關弱點。</p> <p>針對這項漏洞發生的原因，基點資訊指出，起因是該系統處理稽核請求的身分驗證處理程序feedbackd存在弱點，一旦攻擊者向前端網頁發送特製的稽核請求，網頁向feedbackd轉送的過程就會觸發漏洞，導致該處理程序當機。由於前端網頁未能正確處理當機情形，使得前述的稽核請求能夠通過身分驗證，最終攻擊者成功取得系統管理員身分。</p> <p>針對這項弱點的處理，基點資訊表示，他們接獲通報後，在7月12日修正前端網頁的弱點，排除偵測feedbackd當機異常的情況，到了8月14日，已清除殘留系統的連線階段（Session）快取資料。</p> <p>若是IT人員無法即時套用相關更新，基點資訊指出，管理者可藉由SEG的登入IP位址控管功能，僅批准特定IP位址的電腦才能存取此系統，限縮駭客利用此漏洞的管道。</p> </div></div></div>
2024/9/25 14:36作者周峻佑https://www.ithome.com.tw/news/165179
英特爾推出搭載P-core效能核心的Xeon 6處理器，更新AI加速器Gaudi 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾在今年Computex電腦展發表Xeon 6處理器，由搭載效率核心(E-core)版本的Xeon 6處理器先打頭陣，本周英特爾再補齊Xeon 6處理器產品線，推出搭載效能核心(P-core)版本，提高核心數及記憶體頻寬，最高至128個核心。</p> <p>Xeon 6為伺服器專用處理器，是英特爾首款採用Intel 3節點設計的產品，其中分為搭載E-core效率核心版本（代號Sierra Forest），以及搭載P-core效能核心版本（代號Granite Rapids）。今年6月，英特爾先推出E-core版Xeon 6處理器，鎖定超多核心需求，最高擁有144個E-Core核心，主要鎖定高密度、高能源效率資料中心使用需求，適用於雲原生、CDN、微服務架構等應用。</p> <p>至於新推出的P-core版本Xeon 6處理器，鎖定密集型工作負載需求，AI及高效能運算市場，不僅增加核心數，並且將AI加速功能嵌入到每個核心，記憶體頻寬也加倍。英特爾稱該處理器適用於邊緣、資料中心到雲端的AI運算需求，強調能在不需獨立加速器之下，執行數十億參數的AI模型。</p> <p>根據官網的訊息，Xeon 6900P系列搭載的P-core為超執行緒核心，針對AI、HPC、資料等工作負載需求，採用矩陣引擎，最高擁有128個核心，最多504MB的快取記憶體；而E-core版本的Xeon 6700E系列，使用單執行緒提高核心密度，並且省略矩陣引擎，單處理器最高擁有144個核心，英特爾計畫今年底再推出更高核心數，將單插槽核心數推升至288個核心。</p> <p>除了P-core版Xeon 6的推出，英特爾也更新旗下的AI加速器Gaudi 3，強調為大規模生成式AI需求設計的Gaudi 3，擁有64個張量處理器核心、8個矩陣乘法引擎，內建128GB HBM2e記憶體，支援24個200Gb的網路埠，使新的Gaudi 3 提升20%的吞吐量，英特爾強調和Nvidia的H100相比，在Llama 2 70B推論時，同樣成本下提供2倍的效能。</p> <p>英特爾指出，Gaudi 3支援PyTorch框架、Hugging Face Transformer、Diffuser模型。目前英特爾已和合作夥伴聯手，針對生成式AI最佳化的方案，例如戴爾合作規畫設計RAG方案。</p> <p> </p> </div></div></div>
2024/9/25 14:55作者蘇文彬https://www.ithome.com.tw/news/165180
卡巴斯基公布網路追蹤報告，顯示Google主導了全球的使用者追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基（Kaspersky）本周公布了這一年來的<a href="https://securelist.com/web-trackers-report-2023-2024/113778/" target="_blank">網路追蹤報告</a>，指出Google是使用者網路活動的最大監控者，因為Google的追蹤系統幾乎在Kaspersky有進行研究的地區中都占了前幾名的位置。</p> <p>卡巴斯基是在所有安全解決方案中都嵌入了一個名為Do Not Track（DNT）的元件，它的預設值是關閉的，需要使用者手動啟用，但啟用後即能阻止載入那些企圖追蹤使用者網路行為的元素，包括Cookie、Web信標、社交媒體追蹤器，以及使用者或裝置指紋等。儘管卡巴斯基僅在逾30個國家設有辦公室，但產品銷售擴及全球200個國家。</p> <p>調查顯示，自2023年7月至2024年6月間，DNT總計被觸發超過380億次（38,725,551,855），卡巴斯基在每個地區列出最常偵測到的25種追蹤服務，發現有8個追蹤服務幾乎在每個地區都上榜，當中有一半來自Google，分別是用來管理廣告活動的Google Display & Video 360，分析用戶行為及網站流量的Google Analytics，監控廣告活動的Google AdSense，以及專門蒐集影片觀看行為的YouTube Analytics。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Web%20tracking%20report-kaspersky.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／卡巴斯基</span></span></p> <p>卡巴斯基指出，Google除了在俄羅斯或獨立國協等少數國家沒有取得領先之外，在其它地區或國家通常是最大的追蹤者，展現出極強的主導地位，例如Google Display & Video 360在許多地區的追蹤市占率都超過20%，包括南亞（25.47%）、中東（22.92%）、拉丁美洲（20.13%）及東亞（24.45%）。值得注意的是，包括俄羅斯在內的這些獨立國協，多由當地的追蹤服務品牌領先。</p> <p>Google Analytics在南亞、中東、拉丁美洲及東亞的市占率，也分別達到13.97%、14.12%、14.89%及13.83%；Google AdSense在上述地區的市占率分別是6.85%、6.91%、6.01%與6.61%；YouTube Analytics則為12.71%、12.30%、8.89%與11.66%。</p> <p>至於除了Google之外，最熱門的另外4個追蹤服務則是美國專門追蹤網路應用效能的New Relic，蒐集查詢、位置及顯示廣告的Bing搜尋引擎，蒐集自家網路服務與其它網站互動狀況的微軟追蹤系統，以及Amazon的追蹤系統。</p> </div></div></div>
2024/9/25 12:33作者陳曉莉https://www.ithome.com.tw/news/165178
Google更新Gemini 1.5 Flash/Pro，調降Gemini 1.5 Pro價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/zh-hans/updated-production-ready-gemini-models-reduced-15-pro-pricing-increased-rate-limits-and-more/" target="_blank">Google周二（9/24）更新</a>Gemini 1.5 Flash與Gemini 1.5 Pro，釋出Gemini-1.5-Pro-002與Gemini-1.5-Flash-002，主要提高了這兩款模型的輸出速度，調高其速率限制，以及調降Gemini 1.5 Pro的價格。</p> <p>Gemini 1.5是個多模態模型，支援200萬個Token的脈絡長度，它能處理長達1,000頁的PDF檔案，從超過1萬行程式碼的儲存庫中回答問題，也可自1小時的影片中擷取重要資訊。相較於今年5月的Gemini 1.5 Flash/Pro版本，新版不管是在 MMLU-Pro、MATH或HiddenMath等基準測試上都有明顯的長進，在視覺理解或生成Python程式碼也表現得更好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-gemini%201_5_update-benchmarks_(1).png" style="width: 600px;" /></p> <p>此外，Gemini 1.5 Flash/Pro擁有一個更簡潔的表達方式，不管是在回答問題、進行摘要或汲取內容上，新模型的預設輸出長度都比前一版短了5~20%，以方便使用並降低成本。</p> <p>本周Google亦宣布調降Gemini 1.5 Pro價格，前提是提示少於12.8萬個Token，那麼其輸入Token價格調降了64%，輸出Token則調降52%，新增快取Token價格亦降低了64%，且自今年的10月1日起生效，屆時每100萬個輸入Token的價格為1.25美元，每100萬個Token的輸出價格為2.5美元，可望降低使用Gemini 1.5 Pro的成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-gemini%201_5%20pro%20price.png" style="width: 600px;" /></p> <p>而所謂的速率限制指的是開發人員每分鐘可發送請求的次數（Requests Per Minute，RPM），其中，Gemini 1.5 Flash的速率限制從1000 RPM提高到2000 RPM，Gemini 1.5 Pro則從360 RPM提高到1000 RPM，且Google預計未來幾周將持續提高Gemini API的速率限制。</p> <p>Gemini 1.5 Flash在速度上的改善則較為明顯，它的輸出速度是最初版本的2倍，延遲則只有原來的1/3。</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/9/25 10:45作者陳曉莉https://www.ithome.com.tw/news/165174
Deno 2.0大改全域變數向Node.js靠攏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/v2.0-release-candidate#changes-to-global-variables">Deno 2.0的開發已接近完成，進入候選版本的階段</a>。在Deno 2.0版本中，將有兩大重要變更，第一是全域變數的改變，第二則是相依性管理的更新。當初Deno的出現，以改進Node.js的不足為主打，但是從這次全域變數的政策調整來看，Deno似乎從過去試圖走出獨特路線，轉向更務實的妥協，逐漸回歸與Node.js更相近的設計。</p> <p>在Deno 2.0中，全域變數有兩項重大變更，第一是移除window全域變數，第二則是引入Node.js的process全域變數。Deno從1.0版本就引入window全域變數，目的是希望Deno能夠盡可能和瀏覽器相容，但是沒想到window卻成為許多開發者的問題來源。window是瀏覽器環境中的全域物件，代表瀏覽器的全域範圍，因此當前端JavaScript程式碼在瀏覽器中執行時，window可以正常運作，但是於伺服器端環境卻不適用。</p> <p>Deno是一個伺服器端的JavaScript執行環境，因此Deno中的window全域變數，常讓開發者誤以為在操作瀏覽器環境，window包含大量在瀏覽器中才具意義的API，因此當開發者不小心在Deno中使用，則會引發錯誤。有鑑於此，Deno 1.40開始便建議開發者不要使用window，改用globalThis或是self，而在Deno 2.0則會移除window全域變數。globalThis是ECMAScript標準中的統一全域物件，因此可在瀏覽器、Node.js和Deno中使用。</p> <p>Deno 2.0的另一項全域變數改變，是引入Node.js重要全域物件process。process提供存取系統資訊、環境變數、命令列參數等功能。原本在Deno中的設計，要求開發者使用process必須顯式匯入node:process，但對於仰賴process作為全域變數的Node.js程式和框架來說，這項要求帶來額外的負擔。</p> <p>現在Deno為了相容性需求，讓更多應用程式可以輕鬆無縫移植到Deno，因此在Deno 2.0中引入process全域變數。不過官方仍建議開發者盡量使用顯式匯入方法，因此也添加一條新的lint規則，在編輯器中提示並且協助開發者快速進行修正。</p> <p>Deno 2.0相依項目管理方面，新增了jsr:和npm:前綴以區分不同來源的套件，避免名稱衝突。另外，Deno支援子路徑規範，解決過去無法解析包含/子路徑的問題。deno add與deno remove子命令的加入，簡化了相依項目的添加和移除過程。而且當專案包含package.json，Deno則會優先將NPM相依項目新增到該檔案，支援開發和生產相依項目分離管理。</p> </div></div></div>
2024/9/24 22:18作者李建興https://www.ithome.com.tw/news/165172
【資安日報】9月24日，北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客針對開發人員從事攻擊行動的情況，不時傳出有關事故，其中一種攻擊類型，就是上架惡意NPM、PyPI套件，引誘開發人員上當而下載、安裝，於受害電腦植入惡意軟體。過往這種攻擊的目的，主要是為了洗劫開發人員的加密貨幣資產，如今駭客的目的出現變化。</p> <p>本週資安業者Palo Alto Networks揭露的資安事故，就是這種例子，駭客真正的目的，是為了發動供應鏈攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165168"><strong style="font-size: 22px;">北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT</strong></a></p> <p>北韓駭客近年來鎖定軟體開發人員的攻擊行動變得更加頻繁，這包含了針對正在求職的開發人員散布惡意軟體，以及藉由惡意軟體套件發動攻擊的情況，而最近，有研究人員揭露針對Linux、macOS使用者的攻擊行動。</p> <p>資安業者Palo Alto Networks指出，他們看到別名為AppleJeus、Gleaming Pisces的北韓駭客Citrine Sleet，於PyPI上傳惡意Python套件real-ids、coloredtxt、beautifultext、minisound，一旦開發人員上當，在開發環境部署，電腦就有可能被植入惡意軟體PondRAT。</p> <p>而對於駭客的目的，研究人員評估，很有可能是為了要藉由開發人員的端點電腦從事供應鏈攻擊，將受害電腦作為存取軟體業者的主要媒介，接著進一步挖掘入侵軟體公司客戶的管道。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-mallox-ransomware-linux-variant-based-on-leaked-kryptina-code/">勒索軟體Mallox擴大攻擊版圖，使用Kryptina程式碼打造Linux版加密工具</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/necro-trojan-is-back-on-google-play/113881/">安卓木馬Necro上架Google Play市集，感染逾1千萬臺裝置</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-RECORDSTEALER-with-Google-Security/ba-p/803490">駭客假借提供應用程式及破解軟體，散布竊資軟體RecordStealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/atandt-pays-13-million-fcc-settlement-over-2023-data-breach/">針對2023年資料外洩事故，AT&T向FCC支付1,300萬美元尋求和解</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/kaspersky-deletes-itself-installs-ultraav-antivirus-without-warning/">美國卡巴斯基用戶電腦的防毒軟體遭到無預警刪除，並被植入「UltraAV」</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165153"><strong style="font-size: 22px;">Grafana修補軟體開發套件資訊洩露漏洞</strong></a></p> <p>上週圖像化資料分析系統Grafana開發團隊發布資安公告，指出他們提供的外掛程式軟體開發套件（SDK）grafana-plugin-sdk-go，存在重大層級的資訊洩露漏洞CVE-2024-8986，0.249.0版及之前版本都受到影響，4.0版CVSS風險評分達到9.1，開發團隊目前已發布0.250.0版進行修補。</p> <p>關於這項漏洞發生的原因，Grafana指出，問題出在此開發套件在編譯二進位檔案的過程當中，會同時加入相關中繼資料，其中包含外掛程式的程式庫URI資訊，若是URI含有帳密資料，就有可能導致此類資料隨著編譯完成的檔案流出，發生資料外洩危機。</p> <p><a href="https://www.ithome.com.tw/news/165166"><strong style="font-size: 22px;">Microchip進階軟體框架存在重大RCE漏洞</strong></a></p> <p>卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）指出，Microchip進階軟體框架（Advanced Software Framework，ASF）存在可被用於遠端執行任意程式碼（RCE）的重大層級漏洞CVE-2024-7490，影響3.52.0.2574版以下所有的ASF，4.0版CVSS風險評分為9.5。值得留意的是，因Microchip已不再提供ASF相關支援，將不會對該漏洞進行修補。</p> <p>這項漏洞存在於tinydhcp伺服器元件，發生的原因在於，ASF的DHCP通訊協定實作無法進行輸入驗證，導致攻擊者有機會藉此導致記憶體緩衝區溢位，進而能夠遠端執行程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165154"><strong style="font-size: 22px;">Telegram調整隱私政策，同意交出用戶IP位址及電話予執法機構</strong></a></p> <p>上個月Telegram創辦人暨執行長Pavel Durov在法國被捕，並以500萬歐元交保，外傳原因是Telegram拒絕交出嫌犯資料，Durov被控共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM），此事近期出現新的發展。</p> <p>本周一（9月23日）<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Durov</span>透過自己的頻道宣布，為了進一步扼止不法份子濫用Telegram Search，他們更新服務條款及隱私政策，倘若違反該平臺的政策，將會把用戶的IP位址及電話號碼，提供給提出執法要求的執法機構。Durov強調，該公司將在全球市場採用一致的服務條款與隱私政策。</p> <p><a href="https://www.ithome.com.tw/news/165157"><strong style="font-size: 22px;">美國商務部提議禁止中國與俄羅斯連網汽車的軟硬體</strong></a></p> <p>美國商務部（Department of Commerce，DoC）9月23日提出了「法規命令訂定通知」（Notice of proposed rulemaking，NPRM），為了保護美國不受特定國家連網汽車技術的危害，將禁止來自中國與俄羅斯的連網汽車硬體及軟體，特別是當今在中國汽車製造商企圖主導全球連網汽車市場，假若該法規通過，軟體禁令將於2027年生效，硬體禁令則會在2029年生效。</p> <p>商務部認為，有鑑於連網汽車上的某些軟體及硬體能夠捕獲有關地理位置或關鍵基礎設施的資訊，替攻擊者提供破壞車輛或基礎設施的機會，特別是來自中國及俄羅斯的連網汽車中所使用的某些技術構成了極為嚴重的威脅，因而提議禁止進口或銷售源自中國或俄羅斯的實體設計、開發、製造或供應的某些連網汽車系統。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> </div></div></div>
2024/9/24 17:08作者周峻佑https://www.ithome.com.tw/news/165170
Grafana修補軟體開發套件資訊洩露漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週圖像化資料分析系統Grafana開發團隊<a href="https://grafana.com/security/security-advisories/cve-2024-8986/">發布資安公告</a>，指出他們提供的外掛程式軟體開發套件（SDK）grafana-plugin-sdk-go，存在重大層級的資訊洩露漏洞CVE-2024-8986，0.249.0版及之前版本都受到影響，4.0版CVSS風險評分達到9.1，開發團隊目前已發布0.250.0版進行修補。</p> <p>關於這項漏洞發生的原因，Grafana指出，問題出在此開發套件在編譯二進位檔案的過程當中，會同時加入相關中繼資料，其中包含外掛程式的程式庫URI資訊，若是URI含有帳密資料，就有可能導致此類資料隨著編譯完成的檔案流出，發生資料外洩危機。</p> </div></div></div>
2024/9/24 12:23作者周峻佑https://www.ithome.com.tw/news/165153
Microchip進階軟體框架存在重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）指出，Microchip進階軟體框架（Advanced Software Framework，ASF）存在<a href="https://kb.cert.org/vuls/id/138043">可被用於遠端執行任意程式碼（RCE）的重大層級漏洞CVE-2024-7490</a>，影響3.52.0.2574版以下所有的ASF，4.0版CVSS風險評分為9.5。值得留意的是，因Microchip已不再提供ASF相關支援，將不會對該漏洞進行修補。</p> <p>這項漏洞存在於tinydhcp伺服器元件，發生的原因在於，ASF的DHCP通訊協定實作無法進行輸入驗證，導致攻擊者有機會藉此導致記憶體緩衝區溢位，進而能夠遠端執行程式碼。</p> <p>細部而言，該漏洞出現於所有公開的ASF程式碼基礎（codebase）範例當中，攻擊者可發送特製的DHCP請求造成記憶體緩衝區溢位，並且觸發這項漏洞。</p> <p>他們也提及這項弱點出現在物聯網相關應用的程式碼，因此可能會廣泛存在許多地方；再者，tinydhcp的分叉（fork）版本也可能容易受到該漏洞的影響。</p> <p>該如何緩解這個漏洞？CERT/CC認為，將tinydhcp更換成另一個不受影響的元件，有可能達到緩解的效果，但目前尚未發現其他可行做法。</p> </div></div></div>
2024/9/24 15:36作者周峻佑https://www.ithome.com.tw/news/165166
北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客近年來鎖定軟體開發人員的攻擊行動變得更加頻繁，這包含了針對正在求職的開發人員散布惡意軟體，以及藉由惡意軟體套件發動攻擊的情況，而最近，有研究人員揭露針對Linux、macOS使用者的攻擊行動。</p> <p>資安業者Palo Alto Networks指出，他們看到別名為AppleJeus、Gleaming Pisces的北韓駭客Citrine Sleet，<a href="https://unit42.paloaltonetworks.com/gleaming-pisces-applejeus-poolrat-and-pondrat/?web_view=true">於PyPI上傳惡意Python套件real-ids、coloredtxt、beautifultext、minisound</a>，一旦開發人員上當，在開發環境部署，電腦就有可能被植入惡意軟體PondRAT。</p> <p>根據程式碼的相似特徵，以及過往發現駭客的攻擊手法特質，研究人員從而認為攻擊者的身分很有可能就是Citrine Sleet。</p> <p>而對於駭客的目的，研究人員評估，很有可能是為了要藉由開發人員的端點電腦從事供應鏈攻擊，將受害電腦作為存取軟體業者的主要媒介，接著進一步挖掘入侵軟體公司客戶的管道。</p> <p>另一方面，他們也找到惡意程式PoolRAT的Linux版變種，該惡意程式駭客曾在3年前用於攻擊3CX網路電話環境，他們將PoolRAT與PondRAT進行比對，認為PondRAT是RoolRAT的簡化版本。</p> </div></div></div>
2024/9/24 16:36作者周峻佑https://www.ithome.com.tw/news/165168
【資安月報】2024年8月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2024年8月資安新聞，本月適逢Black Hat USA 2024與Def Con大會於美國拉斯維加斯登場，最新漏洞與研究成果揭露的消息不斷，持續引發資安研究人員的重視，還有其他重要資安防護與威脅方面的消息也不能忽視，我們整理6大焦點，幫助大家快速回顧重要資安態勢。</p> <p><strong><span style="color:#FF0000;">焦點1：</span></strong>在一年一度的Black Hat USA大會上，每年都有許多全球頂尖資安研究人員揭露最新的研究成果，今年也不例外，包括臺灣的戴夫寇爾首席資安研究員蔡政達（Orange Tsai），他不僅探索了Apache HTTP Server中存在的架構問題，揭開名為Confusion Attacks的全新攻擊面向。</p> <p>而在關注這些漏洞研究之餘，今年還有一個很特別的重點，由於2024年底適逢美國總統大選，因此本屆Black Hat大會開場主題座談，就是聚焦民主與選舉安全的探討，場中不僅有美國CISA局長Jen Easterly出席，還有歐盟ENISA網路安全與營運長Hans de Vries，以及英國NCSC執行長Felicity Oswald，強調鞏固投票安全機制之餘，新挑戰是面對選舉過程的錯誤訊息的傳播，指出對手更專注在破壞選舉過程的印象，而不是直接入侵選舉過程。換句話說，他們的目的是讓選民感到他們的選票沒有保障。</p> <p><span style="color:#FF0000;"><strong>焦點2：</strong></span>因應日後量子破密威脅所設計的後量子密碼學（PQC）標準，在8月13日有3款標準率先正式出爐。</p> <p>美國NIST指出，在通用加密方面，以FIPS 203（ML-KEM）為主要標準，在數位簽章方面，以FIPS 204為主要標準（ML-DSA），FIPS 205（SLH-DSA）可作為備用方法使用。</p> <p>雖然PQC標準還在持續發展，像是FIPS 206預計在年底發布，並且還在繼續評估其他演算法，但由於全面轉換需要時間，如今這3個PQC標準已經發布，需要更多企業組織意識到：公鑰密碼系統的全面升級與轉換，現在就應該著手準備與進行。</p> <p><span style="color:#FF0000;"><strong>焦點3：</strong></span>趨勢科技在黑帽大會展示深度偽造（Deepfake）偵測技術解決方案受矚目，因為這方面的威脅討論多年，過去我們常看到一些科技大廠發起這方面的偵測競賽，希望大家發展防護技術，如今該公司不僅先釋出提供給一般使用者的工具，也透露這樣的功能將納入其商用解決方案之中。</p> <p>此外，到了8月底，另一家以影音工具聞名的訊連科技在他們的用戶大會上，公開說明已開發出DeepFake深偽偵測工具。這些商用產品的新功能發表，均顯示這方面技術的突破。</p> <p><span style="color:#FF0000;"><strong>焦點4：</strong></span>關於駭客鎖定企業產品的零時差漏洞利用上，這個月有一起重大事件發生，那就是──SASE供應商Versa Networks的產品遭鎖定，導致造成5家ISP網路服務供應商及MSP代管服務供應商受害。</p> <p>這起事件是電信業者Lumen旗下的資安實驗室Black Lotus Labs揭露，指出是中國駭客組織Volt Typhoon發起Versa Director零時差利用攻擊（CVE-2024-39717），並說明其攻擊手法，包括駭客先透過曝露於公開網路的Versa管理埠存取系統，再利用零時差漏洞並部暑一個名為VersaMem的Web Shell，藉此攔截與蒐集憑證，使攻擊者能以經過驗證的用戶身分，存取下游的客戶網路。</p> <p>值得我們注意的是，駭客鎖定企業產品的零時差漏洞利用的狀況日益嚴峻，並有越來越多IT供應商成為目標，Versa Networks這次事件就是最新一例，中國駭客鎖定其產品的零時差漏洞來入侵ISP與MSP業者。</p> <p><span style="color:#FF0000;"><strong>焦點5：</strong></span>在勒索軟體威脅方面，這個月有兩大值得關注的焦點，首先我們看到，Zscaler一份最新報告指出，有勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），也就是不只勒索金額獅子大開口，而且還勒索成功，區塊鏈分析業者Chainalysis也證實此狀況。這樣的態勢，引起這些業者憂心有其他駭客集團仿效。</p> <p>另一是今年上半才現身的RansomHub勒索軟體，美國多個安全機構發布在8月發布聯合公告，指出全球至少210個企業組織受害，因此提供該組織的入侵手法（TTP）與入侵指標（IOC），呼籲外界對於該組織所帶來的危害更要有所警覺。</p> <p><span style="color:#FF0000;"><strong>焦點6：</strong></span>在AI資安方面，近期有不少重要新聞，像是微軟、Nvidia、英特爾及Google等宣布成立安全AI聯盟CoSAI，目標是建立一個協作生態體系，以解決開發者與採用者在確保AI技術安全時，面臨遵循指南與標準不一或各自獨立的狀況。</p> <p>這個月還有一些重要新聞同樣值得關注，例如，今年美國政府正強調AI長的重要性，以負責主導及監督AI技術的使用，並考慮安全及可靠性；在AI安全及可靠性評估的工具方面，美國CISA釋出相關軟體測試平臺Dioptra 1.0版；在產業端有趨勢科技強調用AI做資安風險管理要有新作法，特別的是，他們還預告要用AI幫助計算風險損失金額，並能預測攻擊路徑。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/164279"><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月29日到8月2日</span></a></strong></h2> <p>這一星期的資安新聞中，在資安威脅態勢上，我們認為有3項消息需要特別重視，涵蓋勒索軟體、網釣攻擊、GitHub遭濫用。</p> <p>（一）駭客開出的勒索金額出現獅子大開口的情形，在Zscaler的一份最新報告指出，勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），區塊鏈分析業者Chainalysis也證實此情形，並擔心引起其他駭客集團仿效。</p> <p>（二）有資安業者揭露一起大規模網路釣魚攻擊行動，攻擊者竟然可以發送具有通過SPF和DKIM簽章驗證的大量郵件，調查後發現，駭客疑似利用Proofpoint的郵件防護服務漏洞EchoSpoofing。Proofpoint也提出說明，表示這起事件呈現的弱點並非他們的系統獨有。</p> <p>（三）關於程式碼儲存庫GitHub遭駭客濫用的情形，最近又有新的發現，有資安業者示警，發現駭客組織Stargazers Ghost專門經營大量帳號並提供儲存庫讓駭客與犯罪集團使用，進而形成龐大的網路犯罪生態圈。</p> <p>在APT威脅與資安事件方面，主要有2個重點，分別是關於APT45、APT10的攻擊活動揭露，還有國內外的2起重大資安事件。我們整理如下：<br /> ●近日北韓駭客組織APT45的攻擊行動被大量揭露，包括Google旗下Madiant、微軟，還有美國司法部起訴APT45中一名北韓駭客成員Rim Jong Hyok，當中更是透露受害者不只美空軍基地、NASA，還有臺灣與美、韓的國防承包商。<br /> ●在上個月，日本JPCERT/CC揭露當地製造業、研究機構發動攻擊遭受攻擊，被植入後門程式NoopDoor，如今有資安業者公布該惡意程式細節並指出是中國駭客組織APT10所慣用的惡意程式。<br /> ●華經資訊發布資安重訊，說明已啟動相關防禦機制與復原作業。<br /> ●日本夏普的網路商店Cocoro Store遭入侵，逾10萬人個資恐外流。</p> <p>在漏洞消息方面，本星期共有7個漏洞利用狀況，其中Broadcom在6月底修補VMware ESXi的漏洞CVE-2024-37085最要注意。因為通報的微軟最近揭露相關細節，並指出這個漏洞在修補前就已遭多個攻擊者鎖定利用。換言之，該漏洞在當時就已是零時差漏洞被積極利用，但修補釋出當時公告並未提及此一狀況。</p> <p>其他已知漏洞遭利用的情形，有2個是7月初才修補，包括： ServiceNow的漏洞（CVE-2024-4879、CVE-2024-5217），以及Twilio的Authy漏洞（CVE-2024-3989），還有1個是去年底Acronis修補的漏洞（CVE-2023-45249）。特別的是，2012年微軟修補的IE漏洞（CVE-2012-4792），最近也被美國CISA列入已知漏洞利用清單。</p> <p>還有一個Secure Boot繞過漏洞「PKfail」的揭露，有資安業者發現共發現22個獨特但不可信的平臺金鑰，影響將近900款產品，包括技嘉、Supermicro、Dell等9大業者，並指出這是韌體供應鏈在加密金鑰管理實務上的嚴重問題。</p> <p>關於0719的CrowdStrike引發大當機事件，持續有後續消息，例如，有駭客趁機利用這起事故鎖定CrowdStrike用戶發動攻擊，佯稱提供當機報告程式，但其目的是散步惡意軟體；iThome持續追蹤當時的發生狀況原因，以及對於整個資安產業的影響，我們找到幾位臺灣資安專家，分享對此事故的觀察，他們指出CrowdStrike的病毒特徵碼設計不良之餘，也提及類似CrowdStrike更新出包的意外，是所有端點防護公司都可能發生的，因此，要避免類似意外發生，一定需要重複經過各種驗證程序。</p> <p>至於資安防禦態勢上，有3個重要消息不容錯過，涵蓋AI評估測試、同態加密技術相關工具的釋出，以及cookie theft的防範。例如，美國CISA釋出可用於評估AI安全及可靠性的軟體測試平臺的Dioptra 1.0版，以及Apple將自家發展用於保護隱私的同態加密技術，以開源Swift開源套件釋出。此外，Google為了應對現在許多竊資軟體具有cookie theft手段，宣布將針對Windows版Chrome瀏覽器，提供應用程式導向的加密（App-Bound Encryption）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164408"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月5日到8月9日</span></strong></a></h2> <p>這一星期Black Hat USA 2024於美國拉斯維加斯登場，今年是第27屆，照往年慣例，有很多資安新聞都在此時發布，特別的是，今年新納入的AI Summit研討會於當地時間6日舉行，趨勢科技也在一場演說中展示偵測深偽（Deepfake）商用解決方案，同時闡釋AI世代的企業資安風險管理差異，幫助大家因應未來的局勢。</p> <p>黑帽大會主活動於7日與8日展開，當中有許多全球頂尖資安研究人員揭露最新的研究成果，我們在這一星期資安日報的新聞，也陸續報導相關消息。</p> <p>●賽門鐵克揭露6起攻擊者濫用合法雲端服務的攻擊行動，不僅指出這些手法日趨複雜，特別的是，研究人員提及中國駭客組織UNC5330散布Grager後門程式，攻擊目標是臺灣、香港、越南的企業組織。<br /> ●德國CISPA亥姆霍茲資訊安全中心揭露GhostWrite漏洞，問題發生在阿里巴巴旗下平頭哥半導體（T-Head）所生產的RISC-V處理器玄鐵C910，並指出其影響範圍可能很廣泛且難以修補。<br /> ●Zenity研究人員公布了如何將Copilot變成駭客武器的最新研究，並釋出新的LOLCopilot紅隊工具模組，當中主要探討駭客如何在滲透後利用Microsoft Copilot來搜尋、解析並竊取敏感資料，而且不會產生日誌。<br /> ●資安業者Bitdefender揭露Solarman太陽能發電監控系統、寧波德業（Deye）逆變器的漏洞，兩家業者在接獲通報後皆著手修補。（研究人員是在美國黑帽大會附近另一場於8日到11日舉行的DEF CON 32資安會議展示這項成果。）</p> <p>臺灣資安研究人員也在本次黑帽大會揭露重要發現，並且於臺灣時間周末登場，因此我們在本期資安週報先行整理。例如，<a href="http://blog.orange.tw/2024/08/confusion-attacks-ch.html?fbclid=IwY2xjawEmX_pleHRuA2FlbQIxMQABHZvi4Nuzpa9EUZIMW14BlGl9n70C1V-oVwHKYdXvEBoPHkhPvZqv292TJA_aem_yW8w1R3MJFLqgj44eEnFOg">戴夫寇爾首席資安研究員蔡政達（Orange Tsai）</a>，今年他揭開名為Confusion Attacks的全新攻擊面向，當中探索了Apache HTTP Server中存在的架構問題，並在攻擊研究中找到9個漏洞，而Orange先前也已將這些漏洞通報給Apache軟體基金會，在7月已有修補釋出（還有1個漏洞的CVE編號待公布）；<a href="https://www.blackhat.com/us-24/briefings/schedule/#attention-is-all-you-need-for-semantics-detection-a-novel-transformer-on-neural-symbolic-approach-39527">睿控網安的研究人員鄭仲倫、馬聖豪、林怡安‍</a>則公開資安防護上對於惡意程式分析的新方法，主要針對攻擊者將惡意程式碼混淆以規避偵測與分析的問題，提出一種新穎且基於神經網路的符號執行大型語言模型－－CuIDA，以模擬人類專家分析策略來進行，並可在不對加殼器進行解壓或解密的情況下，直接檢測被保護的可執行文件。</p> <p>在漏洞消息方面，本星期共有3個漏洞利用狀況值得我們重視，其中一項已知漏洞的防範，需要國內特別重視，因為資安業者指出有中國駭客利用該漏洞入侵臺灣研究機構。</p> <p>（一）思科旗下Talos揭露APT41針對臺灣政府所屬研究機構的攻擊行動，當中具體列出該組織的手法，以及使用已知漏洞<span style="color: rgb(0, 0, 255);">CVE-2018-0824</span>，將惡意程式ShadowPad、Cobalt Strike等攻擊工具植入這個研究機構。<br /> （二）開源ERP系統Apache OFBiz在今年5月修補的漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-32113</span>，大家要當心！因為最近出現攻擊者鎖定利用這個管道的狀況。SANS網路風暴中心指出，最近利用此漏洞的攻擊行動，其目的是將殭屍網路病毒Mirai植入OFBiz。<br /> （三）在Android的8月例行更新中，包含1個已遭利用的零時差漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-36971</span>修補。該漏洞今年6月公布時存在Linux作業系統核心，但該漏洞也影響到Android系統，後續Google TAG小組發現有此漏洞的針對性攻擊跡象。</p> <p>還有2個與臺灣有關的漏洞消息，首先是美國CISA針對臺灣視訊監控設備廠商陞泰科技（Avtech）發布警告，指出其產品存在漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-7029</span>並被用於攻擊行動，但陞泰尚未公布緩解措施，因此CISA特別提供可降低此漏洞遭利用的作法；另一是上月底PKfail漏洞揭露後，<a href="https://www.gigabyte.com/tw/Support/Security/2205">技嘉於8月1日</a>回應此問題的解法，他們表示，將在8月、9月釋出不同平臺的新版BIOS，予以修補。</p> <p>在資安事件方面，有2起消息與國內上市櫃公司有關，還有MDM業者遭駭引發上萬平板筆電無法使用，以及DigiCert撤銷8萬憑證的情形。我們整理如下：<br /> ●上市電腦及週邊設備業「偉聯科技」在8月5日發布資安重訊，說明部份資訊系統遭受駭客網路攻擊事件。<br /> ●上櫃資訊服務業「智聯服務」在8月5日發布資安重訊，說明部份僅供內部人員使用的資訊系統遭受駭客攻擊。<br /> ●在法國奧運賽事期間，當地博物館法國巴黎大皇宮說明遭遇網路攻擊事件，但也指出僅影響博物館內的書店與精品店。<br /> ●行動裝置管理（MDM）方案業者Mobile Guardian遭駭，導致列管的大量iOS及ChromeOS裝置遭未經授權存取，而這起事故也造成許多災情，例如新加坡就有1.3萬學生上課用的平板筆電無法使用。<br /> ●SSL數位憑證機構DigiCert宣布撤銷8萬多個憑證，影響6千多用戶，原因是他們自身未做好網域控制驗證。</p> <p>在資安防禦動向上，有兩個重要消息，一是中華資安國際預計於8月20日登錄興櫃，為臺灣證券市場新增一個資安生力軍；另一是美國CISA首任AI長在8月初出爐，這是因為美國OMB在今年3月的規範，強調在AI時代需有人來主導及監督如何使用AI技術，並考慮安全及可靠性，以此幫助眾人真正獲得AI帶來的好處。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164538"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月12日到8月16日</span></strong></a></h2> <p>在本星期資安周報中，在資安防禦上有一個重要消息，後量子密碼學（PQC）標準正式出爐，首先發布的有3個標準，分別是FIPS 203、FIPS 204與FIPS 205，這意味著PQC邁入新的里程碑，如今企業組織在因應未來量子破密威脅上，已經可以開始行動，因為將公鑰密碼系統轉換需要一定的時間。</p> <p>國內還有3項發展值得關注，包括數位部公布確保機關之間資料安全傳輸的T-Road最新進展，以及鷹眼識詐聯盟揭露AI偵測技術用於金融防詐的成效，以及專注詐騙防治與數位安全議題的「臺灣數位信任協會」成立；而在資安產品動向上，趨勢科技這禮拜揭露資安防護產品的AI應用發展，他們表示，正在發展計算網路安全風險可能損失金額，以及預測攻擊路徑等功能。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，企業在因應各項修補之餘，也要留意一個狀況，攻擊者正持續挖掘大量未知漏洞，也針對已知漏洞快速利用於攻擊行動。</p> <p>以微軟而言，這次修補了多達10個零時差漏洞，數量之多，放眼過去幾年也相當罕見，而且其中有6個已是零時差漏洞利用的狀況，包括：CVE-2024-38189、CVE-2024-38178、CVE-2024-38213、CVE-2024-38193、CVE-2024-38106、CVE-2024-38107，都是修補釋出前、攻擊者已先挖出漏洞並用於攻擊行動。此外，還有SolarWinds Web Help Desk有一個漏洞CVE-2024-28986，13日才宣布先釋出一個熱修補程式（Hotfix），16日美國CISA警告已有攻擊者正在利用。</p> <p>近期還有個涉及Windows CLFS的漏洞被公開也成大家關注的焦點，因為研究人員指出該漏洞可導致系統出現藍色當機（BSoD）的狀況。</p> <p>此外，由於8月上旬的美國黑帽大會與DEF CON剛剛結束，前一星期就有不少研究人員公開最新漏洞研究成果的新聞，這星期持續有相關報導。例如：</p> <p>●微軟研究人員揭露OVPNX，指出OpenVPN存在4個零時差漏洞。<br /> ●資安業者SafeBreach揭露QuickShell，指出Google檔案鄰近分享工具Quick Share存在一系列漏洞。<br /> ●資安業者SySS揭露工控系統遠端存取解決方案Ewon Cosy+存在6項漏洞<br /> ●英國資安業者NCC Group揭露Sonos智慧喇叭漏洞讓駭客得以監聽使用者<br /> ●資安業者Semperis揭露微軟Entra ID的弱點UnOAuthorized</p> <p>值得一提的是，在本屆DEF CON CTF搶旗競賽中，臺灣派出資安戰隊「If this works we'll get fewer for next year」，在全球1,742隊參賽的激烈戰況中，以第10名進入總決賽，之後在12支隊伍比拼下獲得第7名，再次取得不錯的成績。</p> <p>在資安事件焦點方面，有兩個關於資料外洩的新聞，一是有人在Breach Forums駭客論壇公布14億筆騰訊用戶資料，另一是南韓國防工業外包商傳出遭北韓駭客攻擊，導致空中偵察機的技術資料與規格與手冊外洩。</p> <p>還有一條新聞也引發了許多人討論，是因為傳出微軟將從Windows 11 24H2開始，以微軟帳號登入的新用戶，將預設啟用BitLocker加密功能，雖然此舉對於電腦內硬碟帶來更高保護，但引發一些反彈聲浪，包括影響系統效能，以及BitLocker的加密金鑰怕遺失等。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/164683"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月19日到8月23日</span></strong></a></h2> <p>這一星期的資安威脅態勢，有多起新聞是聚焦在偽冒、配置錯誤這兩大議題，成為不可忽視的風險熱點，突顯企業、個人在網路安全上的潛在薄弱環節。</p> <p>以偽冒事件而言，有3則消息，其中一起偽冒情境相當獨特，是讓用戶誤以為電腦更新進行中，但實際是利用遠端存取竊取資料。</p> <p>●駭客偽造WinRAR網站，建立與正牌官網（win-rar.com）一字之差的偽冒網站（win-rar.co），雖然此做法並不新奇，但涉及熱門軟體而受關注。<br /> ●惡意廣告運用動態關鍵字插入技術，鎖定特定公司或產品線並假冒其名義，例如假冒Google的行動中，還會利用Google Looker Studio製作圖片來假冒搜尋頁面，並透過圖片內嵌惡意連結引導至假冒的技術支援頁面。<br /> ●駭客組織先利用社交工程手法，並透過遠端連線請求傳送假的Windows Update的執行檔，特別的是，該程式的作用僅是偽冒出Windows更新的畫面，背後則是利用遠端存取竊取受害者的網路共享資料夾，再留下勒索訊息。</p> <p>以配置錯誤而言，本星期有3則新聞值得關注，下列第一則已有攻擊行動需特別注意，研究人員指出，有11萬個網域成為攻擊者可鎖定的對象，第二則有數千個公開的SuiteCommerce受影響，並且研究人員已經揭露這樣的問題，用戶需在攻擊者關注此攻擊面下，儘速對相關組態進行檢查。</p> <p>●出現一波向企業勒索的攻擊行動，是攻擊者鎖定在AWS公開曝險的bucket，並利用企業的雲端應用環境設定不當，進而得以竊取包含像是驗證憑證的環境變項檔（.env）檔竊取重要資料，並向受害組織勒索。<br /> ●針對Oracle旗下的雲端ERP平臺NetSuite，研究人員指出存在用戶配置錯誤情況相當廣泛，原因在於名為SuiteCommerce電商網站元件中一項CRT的存取控制錯誤組態造成，提醒相關用戶應加強這方面的管理，以避免資料外洩。<br /> ●航班追蹤平臺FlightAware發布資安事件公告，指出在7月底發現因配置錯誤問題，發生外洩該平臺用戶個資的事故。</p> <p>在資安事件方面，有5則重要新聞，當中以臺灣大學院校遭遇後門程式Msupedge攻擊的揭露最受關注，而且，值得警惕的是，入侵原因是未修補今年6月PHP程式語言修補重大漏洞；臺灣最大電子佈告欄（BBS）PTT傳出資料外洩的消息也引發關注，對此消息，<a href="https://www.facebook.com/PttTW/posts/913357430830764">批踢踢實業坊（Ptt.cc）已在隔日發布聲明</a>，傳聞中所稱取得的資料，應係自公開看板上所抓取的文章，並未發現有任何機密資訊受到危害。</p> <p>●國內有大學院校遭遇後門程式Msupedge的攻擊行動<br /> ●中國對臺認知作戰升級，在今年5月盜取飛官社群網站帳號抵毀國軍。<br /> ●PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料。<br /> ●美國半導體製造商Microchip傳出遭遇網路攻擊，造成工廠產能降低的影響。<br /> ●豐田美國分公司遭公布24GB公司資料，駭客表示是從其備份伺服器竊取。</p> <p>至於這一星期的漏洞利用消息，有1個零時差漏洞利用情形，Versa Networks旗下可簡化SASE服務的Versa Director平臺的漏洞CVE-2024-39717，美國CISA警告已獲知有主動利用的證據。</p> <p>還有5個漏洞利用要留意，包括：今年1月修補的 Jenkins CLI漏洞（CVE-2024-23897），以及前幾年多個已知漏洞，微軟Exchange Server漏洞（CVE-2021-31196），Linux Kernel漏洞（CVE-2022-0185 ），大華IP攝影機漏洞（CVE-2021-33044、CVE-2021-33045）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164797"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月26日到8月30日</span></strong></a></h2> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來警告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反映了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面，還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164223">2024年7月資安月報</a></h3> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <p> </p> <h3> </h3> <p> </p> </div></div></div>
2024/9/24 16:51作者羅正漢https://www.ithome.com.tw/news/165169
FreeBSD修補虛擬機元件重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月19日FreeBSD開發團隊<a href="https://www.freebsd.org/security/advisories/FreeBSD-SA-24:15.bhyve.asc">發布資安公告</a>，他們發布14.1-STABLE、14.1-RELEASE-p5、14.0-RELEASE-p11、13.4-STABLE、13.4-RELEASE-p1，以及13.3-RELEASE-p7更新，目的是修補重大層級的漏洞CVE-2024-41721，這項漏洞存在於名為bhyve(8)的Hypervisor元件，屬於記憶體越界讀取（OBR）弱點，CVSS風險評為9.8分。</p> <p>此漏洞發生的原因，在於bhyve透過虛擬USB控制器（XHCI）模擬裝置的過程中，缺乏充分的程式碼驗證，可能導致記憶體越界讀取，從而允許任意寫入檔案或是遠端執行程式碼的情況。</p> <p>攻擊者若要利用這項弱點，可利用惡意軟體取得指定權限，並透過虛擬機器（VM）觸發漏洞，引發bhyve當機，可能於主機bhyve使用者空間層級的處理程序中，得以執行程式碼，由於該Hypervisor程式通常都會以root執行，換言之，攻擊者等於可藉此任意執行程式碼。</p> <p>這項漏洞無緩解措施，因此FreeBSD維護團隊呼籲儘速更新。但他們也提及，若是未使用XHCI模擬機制的用戶，不會受到這項漏洞影響。</p> </div></div></div>
2024/9/24 11:38作者周峻佑https://www.ithome.com.tw/news/165151
Cloudflare釋出免費工具來制止AI爬蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI模型的出現改變了網路爬蟲的生態，為了讓網站能夠管理AI網路爬蟲的資料搜刮，Cloudflare本周<a href="https://blog.cloudflare.com/cloudflare-ai-audit-control-ai-content-crawlers/" target="_blank">發表</a>了一系列工具，包括可用來察看AI爬蟲具體活動的AI Audit，可一鍵封鎖所有AI爬蟲的Block AI Scrapers and Crawlers，亦準備推出新元件，以讓網站管理者可以設定特定內容的價格，並向模型供應商收費。</p> <p>Cloudflare解釋，過去網路爬蟲只有好跟壞兩種，好爬蟲以搜尋引擎爬蟲為代表，讓使用者可發現網站並替網站帶來流量，壞爬蟲則可能會攻擊網站、利用自動化功能奪取優先權，或是存取用以競爭的資料。然而，AI時代帶來了第三種AI爬蟲，這些爬蟲試圖掃描網站的公開內容，並用來訓練模型，儘管它們並不會破壞或攻擊網站，但它們也不會替網站帶來流量，而是利用網站的內容來創造自己的價值。</p> <p>過去Cloudflare建置了Cloudflare Bot Management平臺，以讓網站管理員可區分不同的爬蟲，並決定允許或阻止它們，現在Cloudflare則開發AI Audit，可用來察看AI爬蟲的各種行為，包括爬蟲的類型、造訪的頻率，或是所掃描的內容，以準確了解AI爬蟲的行為，決定是否控制它們。</p> <p>若還不確定該如何處理這些AI爬蟲，網站管理員可以藉由新的Block AI Scrapers and Crawlers功能，一鍵封鎖所有的AI爬蟲。</p> <p>在這兩個新的免費功能之外，網站管理員也可透過既有的Web Application Firewall（WAF）功能，更精細地控制所要允許或封鎖的爬蟲。</p> <p>Cloudflare指出，除了上述的選擇之外，他們認為網站應該也要能夠得到合理的補償，因此正在規畫一個新的元件，允許網站擁有者可替該站或特定內容設定價格，要求以AI爬蟲掃描該站的模型供應商付費。</p> </div></div></div>
2024/9/24 16:16作者陳曉莉https://www.ithome.com.tw/news/165167
Fintech周報第253期：凱基證券推出AI助理，能提供上市櫃近兩千檔個股長短線投資建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">9/9~9/23金融科技精選新聞</span></span></h3> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 凱基證券 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></h3> <h3>凱基證券推出AI助理，能提供上市櫃近兩千檔個股長短線投資建議</h3> <p>凱基證券近日在下單App推出AI助理服務，能針對上市櫃近兩千檔個股提供短線AI預測和長線研究報告。凱基證券表示，這款AI助理運用機器學習來預測個股未來一周的漲跌，並依據凱基投顧資深分析師撰寫的研究報告，來提供個股長線預測。除了文字內容，這款AI助理也提供語音功能，能解說每一檔個股投資資訊。</p> <p>另外，凱基證券也推出客製化通知服務，可以依據客戶的庫存、自選股和交易行為偏好傳送通知。例如，投資人若偏好參與股票抽籤，一旦有市價、承銷價價差超過10%的新股抽籤，下單App即會主動傳送通知。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融資安 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DDoS </span></strong></span></h3> <h3>兆豐、彰銀接連發布重訊揭露遭DDoS攻擊，證交所也遭殃</h3> <p>近日，親俄駭客組織宣稱已對臺灣政府發起DDoS攻擊，瞄準包括證交所、兆豐金、彰化銀等金融機構網站。9月12日，兆豐金控和彰化銀行接連發布重訊說明官網遭遇DDoS攻擊。兆豐金控表示，受影響範圍包括兆豐集團的金控、證券、票券及投信公司網站，彰化銀行則表示，他們的銀行官網遭受網路DDoS攻擊。所幸兩家金融業者都於第一時間啟動相關防禦復原機制，網站皆迅速恢復正常運作。</p> <p>另外，證交所12日下午也傳出大當機，當日晚間證交所也證實，下午發現大量來自國外IP對證交所官網發送無效查詢，影響官網服務，所幸異常查詢量並未達到公司網路服務頻寬上限，其它網站服務並未受到影響。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></h3> <h3>摩根大通營運長：短期內AI和LLM影響最大的場景是提升營運效率</h3> <p>摩根大通營運長Daniel Pinto近日在巴克萊全球金融服務會議上表示，未來三到五年內，AI和大型語言模型的結合，將會帶來顯著改變。他認為，短期至中期內，AI和LLM最有潛力的場景是提升營運效率，「不是在同樣的預算內處理更多工作，就是減少支出。」</p> <p>Pinto提到，內部正在進行兩件事，第一，審視每個大型營運場景的工作流程，並運用AI和LLM優化流程。第二，Pinto證實內部已推出<span style="color:#FF0000;">一款</span>名為LLM Suite的GenAI平臺，提供給14萬名員工使用，幫助員工提升日常工作效率。今年七月，有外媒揭露摩根大通內部備忘錄，指出員工可以將LLM Suite視為分析師，提供特定主題的資訊、解決方式和建議。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據上雲 </span></strong></span></h3> <h3>國泰金控啟動數據上雲，計畫搭建雲端湖倉平臺集中數據分析和視覺化圖表產製需求</h3> <p>國泰金控近日宣布啟動數據上雲，計畫搭建國泰金控雲端湖倉平臺（Data Lakehouse）<span style="color:#FF0000;">，</span>將既有的資料儲存分析架構，結合雲端技術，集中雲端數據單位提供的數據分析和視覺化資訊圖表產製需求，同時加強雲端服務應用管控。</p> <p>另外，國泰金控也說明，國泰金控雲端湖倉平臺將參考集中式地端湖倉平臺應用模式，讓前端應用透過雲端數據中臺介接雲端湖倉平臺。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>日本主要地方銀行開始進行核心系統上雲，預計2027年正式啟用</h3> <p>日本靜岡銀行在去年12月宣布「雲端優先」計畫，打算集團擁有的200套系統逐步遷移至公雲，核心系統也包括在內。近日，日本靜岡銀行宣布，已完成核心系統上公雲的技術驗證，將正式啟動核心系統上雲工程，預計在2027年正式運作。</p> <p>其實。靜岡銀行剛在2021年啟用開放式架構的核心系統，不到三年，又快速投入核心系統上公雲的大型IT計畫。這間銀行願意大膽投資核心轉型，源自更大的戰略目標。去年中，為了因應不斷變化的社會和產業環境，靜岡銀行宣布啟動中期經營計畫，而數位轉型也被列入五大戰略目標。走向公雲正是靜岡銀行數位轉型的重要策略方向。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險AI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span></h3> <h3>澳洲保險巨頭Suncorp運用生成式AI開發框架服務打造GAI應用</h3> <p>澳洲保險公司Suncorp近日在一場活動中表示，內部打造了一款生成式AI助手SunGPT，協助超過一千多名保險業務員快速查詢理賠和保單等資訊。並且，Suncorp正在開發20個生成式AI應用，目標是在今年將應用整合至保險業務流程中。</p> <p>Suncorp表示，他們運用了軟體公司提供的生成式AI開發框架服務，能快速運用和管理多個雲端大廠的LLM服務。不過，在開發生成式AI應用的過程中，Suncorp花費許多時間在準確性、擴展性、效能和成本四者間找尋適當平衡。Suncorp技術長Kranthi Nekkalapu提到，嘗試降低GAI服務成本時，準確性可能會因此降低，然而，追求高度準確，恐無法讓GAI應用更即時回覆。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位貨幣 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span></h3> <h3>香港金管局啟動數位港元計畫第二階段，聯合11間跨產業公司在正式環境中實驗數位貨幣</h3> <p>香港金管局近日啟動數位港元先行計畫第二階段，將由11間跨產業公司合作實驗數位港元和代幣化存款應用，瞭解個人和企業使用數位貨幣時的商模和技術可用性。金管局表示，在第二階段中，11間參與企業將在三大場景實驗數位港元和代幣化存款，分別是代幣化資產結算、可程式化和離線支付，同時驗證商模和技術可行性。預計在明年底前公布計畫成果。</p> <p>香港金管局在2022年11月推動數位港元先行計畫第一階段。當時，金管局開發數位港元沙盒，供計畫參與企業快速進行概念驗證、開發和測試應用。不過，第一階段僅開放小規模測試，到了第二階段才開始在正式場景中進行較大規模的測試。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掌紋支付 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微信支付 </span></strong></span></h3> <h3>中國微信支付將掌紋支付擴大至澳門，但僅限中國用戶使用</h3> <p>中國微信支付近日宣布在澳門推出掌紋支付，用戶只須在設備上刷掌，就能完成付款。為了鎖定中國遊客，微信支付首先在賭場、度假村，和表演場地等60間店家推出掌紋支付。騰訊表示，未來計畫將這項技術擴大至澳門更多場景。不過，澳門的掌紋支付功能，必須用中國境內註冊的錢包帳戶，來啟動才能使用。</p> <p>微信支付在去年五月開始在中國境內推出掌紋支付，目前，掌紋支付已應用在中國的零售、餐飲、交通、充電器租借等場景。例如，在廣東，就有超過1,500家便利商店支援掌紋支付。</p> <h3>其它重要Fintech新聞</h3> <ul> <li>隨著監理機構不斷加強監管銀行在金融科技上的合作，美國多間銀行接連宣布退出BaaS業務</li> <li>Google錢包宣布將支援一卡通 iPASS</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年9月</p> <p></p> </div></div></div>
2024/9/24 11:54作者李昀璇https://www.ithome.com.tw/news/165152
Sam Altman宣稱智慧時代的特徵為無比繁榮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI的創辦人暨執行長Sam Altman周一（9/23）張貼一篇以「智慧時代」（<a href="https://ia.samaltman.com/" target="_blank">The Intelligence Age</a>）為名的文章，指出人們正站在由運算、能源及意志舖設的智慧時代的路口，AI將能協助人們創造任何想像得到的東西，孩子會擁有不同學科的多個虛擬教師，智慧時代的明確特徵就是無比繁榮。</p> <p>Altman這篇文章無疑是在描繪AI的樂觀及遠大的前景，適逢OpenAI正展開新一輪的<a href="https://www.ithome.com.tw/news/164742" target="_blank">募資</a>，且根據紐約時報（The New York Times）的<a href="https://www.nytimes.com/2024/09/12/business/dealbook/openai-valuation-artificial-intelligence.html" target="_blank">報導</a>，OpenAI此次的增資目標是讓該公司的市值達到1,500億美元。根據Companies Market Cap的<a href="https://companiesmarketcap.com/" target="_blank">資訊</a>，1,500億美元的市場已名列全球前一百大企業。</p> <p>此外，該市值讓OpenAI接近迪士尼（Walt Disney）的1,686億美元，Morgan Stanley的1,657億美元，匯豐銀行（HSBC）的1,647億美元，以及AT&T的1,540億美元，並超過拼多多的1,420億美元，Honywell的1,323億美元與安聯（Allianz）的1,279億美元。</p> <p>Altman認為，人類從石器時代一路進步到農業時代及工業時代，現在正要踩進智慧時代。在這個新時代，每個人都可擁有一個由不同領域之虛擬專家組成的AI團隊，創造可想到的任何東西；小孩將擁有不同學科的虛擬教師，提供個人化的教學；AI還能用來改善醫療保健，建置任何類型的軟體。</p> <p>Altman說，未來的光明連現在的筆墨都難以形容，但智慧時代的明確特徵便是無比繁榮。然而，若想將AI交到更多人的手中，需要降低運算成本，而且讓它唾手可及，但這需要大量的能源與晶片，倘若無法建立足夠的基礎設施，AI將成為非常有限的資源，並成為富人的工具。</p> <p>對於AI今日的成就，Altman認為是深度學習技術發揮了作用，並說人們有機會在數千天內擁有超級智慧（Superintelligence，指的是AI能力遠遠超越人類），就算需要更長的時間，他也有達到Superintelligence的信心。</p> </div></div></div>
2024/9/24 14:34作者陳曉莉https://www.ithome.com.tw/news/165155
美國商務部提議禁止中國與俄羅斯的連網汽車硬體及軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（Department of Commerce，DoC）周一（9/23）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/09/23/fact-sheet-protecting-america-from-connected-vehicle-technology-from-countries-of-concern/" target="_blank">提出了「法規命令訂定通知」</a>（Notice of proposed rulemaking，NPRM），為了保護美國不受特定國家連網汽車技術的危害，將禁止來自中國與俄羅斯的連網汽車硬體及軟體，特別是在中國汽車製造商企圖主導全球連網汽車市場的今日，若通過，軟體禁令將於2027年生效，硬體禁令則會在2029年生效。</p> <p>DoC說，連網汽車有許多好處，從提高行車安全到協助司機導航，但它們也帶來了日益增加的新威脅，像是控制車輛的移動，蒐集敏感的司機與乘客資料，蒐集自駕車配備的攝影機及感應器資料，並記錄詳細的美國基礎設施資訊。</p> <p>商務部認為，有鑑於連網汽車上的某些軟體及硬體能夠捕獲有關地理位置或關鍵基礎設施的資訊，替惡意行為者提供破壞車輛或基礎設施的機會，特別是來自中國及俄羅斯的連網汽車中所使用的某些技術構成了特別嚴重的威脅，因而提議禁止進口或銷售源自中國或俄羅斯的實體設計、開發、製造或供應的某些連網汽車系統。</p> <p>具體而言，此一規定涵蓋的是用來連結汽車及實體世界的汽車連網系統（Vehicle Connectivity Systems，VCS），涉及利用藍牙、行動網路、衛星或Wi-Fi模組連網的系統及零件，以及不需要人類司機的自動駕駛系統（Automated Driving Systems，ADS）。</p> <p>因此，採用VCS與ADS軟體的連網汽車將會被限制進口或銷售，進口VCS硬體設備同樣也會受限。</p> <p>目前此一NPRM必須先經過大眾討論及意見審查，才能成為正式規則。倘若通過，那麼對軟體的禁令將在2027年生效，硬體禁令則會在2029年生效。</p> </div></div></div>
2024/9/24 14:54作者陳曉莉https://www.ithome.com.tw/news/165157
Telegram變更隱私政策，同意交出用戶IP及電話予執法機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人暨執行長Pavel Durov周一（9/23）透過自己的頻道宣布，為了進一步扼止不法份子濫用Telegram Search，已更新其服務條款及隱私政策，倘若違反該平臺的政策，將會把用戶的IP位址及電話號碼提交給擁有有效法律要求的執法機構。</p> <p>Durov上個月在法國被<a href="https://www.ithome.com.tw/news/164687" target="_blank">逮捕</a>，並以500萬歐元<a href="https://www.ithome.com.tw/news/164740" target="_blank">交保</a>。外傳他是因為拒絕交出嫌犯資料，才被指控共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM）。</p> <p>本周Durov指出，Telegram上的搜尋（Search）是個很強大的功能，它允許使用者尋找公開的頻道及機器人，然而，卻有人濫用該功能來販售非法商品，違反該平臺的服務條款。該平臺的管理員在過去幾周已利用AI來強化Search的安全，於搜尋結果中移除了所有有問題的內容，此外，為了進一步扼止這些濫用Telegram Search的不法份子，Telegram亦更新其服務條款及隱私政策，闡明只要執法機構取得了法院命令，同時確定用戶違反該平臺的規定，那麼就會交出用戶的IP位址及電話號碼。</p> <p>Durov還強調，將在全球市場採用一致的服務條款與隱私政策。</p> <p>Telegram是在隱私條款的8.3.條中提到執法機構，<a href="https://telegram.org/privacy?setln=fa" target="_blank">新版</a>清楚地寫著，倘若Telegram收到有效的命令，確認用戶涉及犯罪行動且違反Telegram服務條款，那麼Telegram將會分析其命令，並可能揭露用戶位址及電話號碼予執法機構。</p> <p>而在<a href="https://web.archive.org/web/20240915161210/https://telegram.org/privacy?setln=fa" target="_blank">舊版</a>中的8.3條，儘管也說倘若收到確認用戶為恐怖份子嫌犯的法院命令，Telegram可能會交出用戶IP位址與電話號碼，但後面補了一句「迄今此事從未發生過」（So far, this has never happened. ）</p> <p>看起來Durov已經同意把CSAM嫌犯資料交予法國政策，而且新政策也將適用於其它市場。</p> </div></div></div>
2024/9/24 12:53作者陳曉莉https://www.ithome.com.tw/news/165154
DirectX 12支援開源SPIR-V著色器，進入跨平臺繪圖API新時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/directx-adopting-spir-v/" target="_blank">微軟宣布</a>從著色器程式開發標準Shader Model 7開始，逐步以SPIR-V取代DXIL，而這代表著DirectX 12後將走向開放標準的道路。微軟和Khronos、Google等組織合作，計畫透過這項改變推動GPU程式設計創新，同時加速新硬體功能的普及，進一步提升開發者的生產力。該政策將分數年逐步實現，確保開發生態系的平穩過渡。</p> <p>過去Direct3D使用的是以LLVM為基礎的DXIL格式，支援各種著色器功能，諸如光線追蹤和工作圖（Work Graph）等，而現在微軟決定新增採用SPIR-V開放標準。SPIR-V是一個由Khronos所開發的二進位中介表示格式，用來編譯和執行GPU上著色器和計算程式，其支援諸如Vulkan和OpenCL等多種繪圖API。</p> <p>SPIR-V具備良好的可擴展性，同時也支援新的硬體和技術，已是現代GPU程式廣泛使用的標準。微軟透過讓Direct3D支援該開放標準，統一著色器的中介格式，這將讓開發者可以更輕鬆地利用現有工具和技術，進行跨平臺GPU程式開發。</p> <p>微軟計畫推出專屬SPIR-V環境，來支援Direct3D現有與未來的著色器程式開發。新功能會透過SPIR-V擴充實現，確保開發者在技術過渡階段，仍然可以使用Direct3D原本所提供的靈活性和功能。同時，微軟也將提供工具，讓SPIR-V和DXIL兩種格式能夠雙向轉換，藉由漸進式過渡政策，確保開發者能夠平穩適應新格式，並且逐步更新工具和驅動程式。</p> <p>對於使用AgilitySDK開發Direct3D應用程式的開發者，這項轉換不會帶來太多工作流程改變，不過官方指出，開發用來編輯和操作編譯後著色器的工具開發者，就可能會因為技術轉換，而需要對工具進行變更和調整。</p> <p>由於SPIR-V核心設計具有良好的可擴展性，因此可以更好地支援GPU API新功能，透過統一標準中介格式，開發者無論是在Direct3D還是其他繪圖API，都能夠更快地採用新功能。而對硬體供應商和微軟本身來說，也可以將資源投入在差異化功能開發，而不需要重新建構受廣泛支援的基礎功能。</p> <p>這項政策的實施將持續數年，微軟希望及早公開相關資訊，使開發者和其合作夥伴有時間準備，以順利應對接下來的技術轉換工作。</p> </div></div></div>
2024/9/24 08:17作者李建興https://www.ithome.com.tw/news/165143
【資安日報】9月23日，中國聲稱遭我國成立的駭客組織攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近半個月來中國駭客鎖定臺灣的資安事故頻傳，然而今天中國卻聲稱，他們遭到我國成立的駭客組織「Anonymous64」攻擊的情況，並公布其中3名成員的姓名及照片。</p> <p>然而從中國提出的指控，他們並未提出為何該組織與資通電軍有關？國防部發布的公開聲明當中，也僅有駁斥相關指控不實，後續的情況有待進一步觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165129"><strong style="font-size: 22px;">中國聲稱遭我國成立的駭客組織攻擊，資通電軍表示並非事實</strong></a></p> <p>今天（9月23日）中國國家安全部在中國中央電視臺網站發布文章指控，名為Anonymous64的駭客組織，針對中國及港澳地區頻繁發動網路攻擊，企圖取得企業組織的入口網站、電子看板、網路電視的控制，上傳抨擊中國政府政治制度及執政方針的內容，他們調查後認為，這些駭客的身分，是隸屬我國國防部資通電軍旗下的「網路戰聯隊網路環境研析中心」，他們公布3名資通電軍人員姓名和照片，揚言已進行立案調查。</p> <p>對此，隸屬於我國國防部的軍聞社發布報導駁斥這項指控，資通電軍表示，他們的主要任務是負責國防資訊及網路安全維護，這些指控並非事實。中國持續透過軍機、軍艦，以及網路攻擊等手段侵擾臺灣，才是破壞區域和平的始作俑者。</p> <p><a href="https://www.ithome.com.tw/news/165123"><strong style="font-size: 22px;">駭客組織TeamTNT鎖定CentOS主機植入Rootkit</strong></a></p> <p>約在4到5年前出現，專門鎖定雲端環境下手從事挖礦的駭客組織TeamTNT，傳出近期再度出沒的跡象，這次目標是執行CentOS作業系統的虛擬專屬伺服器（VPS）。資安業者Group-IB指出，於2022年消聲匿跡的TeamTNT，去年疑似再度從事活動的情況，駭客先是透過SSH連線存取目標主機，透過暴力破解來得到初始存取的管道，得逞後上傳了惡意指令碼。</p> <p>值得留意的是，這波攻擊駭客試圖阻止伺服器管理員進行復原。駭客先是使用chattr命令來鎖定、控制檔案屬性，接著，他們透過另一項工具tntrecht停用chattr，阻止管理員復原這些已竄改的檔案屬性。接著，這些駭客也鎖定該系統，並阻止管理員重開機、關機，或是恢復存取權限。最終他們使用後門帳號及授權金鑰，而能夠透過SSH來存取受害主機。</p> <p><a href="https://www.ithome.com.tw/news/165120"><strong style="font-size: 22px;">駭客謊稱GitHub的專案有資安漏洞，想趁機散布竊資軟體Lumma Stealer</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，有人鎖定經常使用GitHub、維護或追蹤特定開源專案的開發人員，寄送釣魚郵件來散布竊資軟體Lumma Stealer。攻擊者使用惡意GitHub帳號，在目標儲存庫通報新問題（issue），聲稱該專案存在安全漏洞，誘騙想要協助處理的用戶存取冒牌的GitHub Scanner網域，一旦使用者照做，電腦就有可能被植入惡意軟體。</p> <p>這起事故被揭露的原因，是該新聞網站接獲許多GitHub用戶反映，他們表示，一直收到自己參與的專案電子郵件通報，要求他們去處理儲存庫的資安漏洞，並存取github-scanner[.]com進一步了解相關資訊。</p> <p>一旦使用者依照信件的說明存取該網站，網頁就會要他們進行圖靈驗證，要依照指示證明他們是人類。假如使用者照做，電腦就會執行駭客透過網站後臺貼上的惡意程式碼，下載執行檔l6E.exe，Bleeping Computer經過分析，確認該執行檔就是竊資軟體Lumma Stealer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/email-min.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/email-min.jpg" style="width: 580px;" /></a></p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=63920&SPOKE_DATE=20240923&COMPANY_ID=6104"><strong style="font-size: 22px;">上櫃IC設計業者創惟部分資訊系統遭遇駭客攻擊</strong></a></p> <p>今天上櫃IC設計業者創惟於股市公開資訊觀測站發布重大訊息，表示他們有部分系統遭到網路攻擊，他們隨即啟動防禦復原機制，並邀集外部資安公司及技術專家協同處理，資訊系統陸續恢復正常，他們評估，這起資安事故對公司營運無重大影響。</p> <p>這起事故的發現，起因是他們偵測到網路傳輸異常，後續追查發現部分伺服器遭受駭客攻擊，但該公司是否遭遇勒索軟體攻擊？他們並未進一步說明。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=233037&SPOKE_DATE=20240922&COMPANY_ID=6803"><strong style="font-size: 22px;">上櫃綠能環保業者崑鼎部分資訊系統遭遇網路攻擊</strong></a></p> <p>9月21日上櫃綠能環保業者崑鼎發布重大訊息，表示他們有部分資訊系統遭到網路攻擊，但根據初步評估，本次事故對公司營運並未造成重大影響。</p> <p>他們察覺遭到網路攻擊的原因，是因為網路傳輸出現異常，在資安單位啟動防禦復原機制，並尋求外部資安業者及技術專家協同處理，資訊系統已陸續恢復。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dell-investigates-data-breach-claims-after-hacker-leaks-employee-info/">Dell驚傳1萬名員工資料流入駭客論壇</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="http://go.recordedfuture.com/hubfs/reports/cta-2024-0917.pdf">駭客組織Marko Polo藉由社交網站平臺散布竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/a-new-trickmo-saga-from-banking-trojan-to-victims-data-leak">安卓木馬TrickMo假冒Google Play更新名義植入受害手機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/abusing-entra-id-administrative-units/">身分驗證系統Entra ID管理功能可被濫用，攻擊者有機會能持續於受害組織活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://therecord.media/us-hits-intellexa-sanctions-treasury">美國再度制裁商業間諜軟體業者Intellexa</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165119"><strong style="font-size: 22px;">微軟準備棄用Windows Server Update Services</strong></a></p> <p>微軟產品經理Nir Froimovici表示，有鑑於他們已透過雲端來簡化Windows的管理，因此他們決定棄用Windows Server Update Services（WSUS），將不再開發新的WSUS功能，建議IT人員遷移到雲端工具，例如：Windows Autopatch、Microsoft Intune、Azure Update Manager。不過，該公司強調，即將上市的Windows Server 2025，仍會提供WSUS。</p> <p>此舉引來了不少IT人員的不滿，有人說透過雲端管理可能不適用於某些環境，例如那些為了安全而採用隔離網路的系統；也有人說WSUS非常簡單，但Azure相當複雜，會加重IT人員的管理負擔；還有人批評微軟只是希望企業組織付費訂閱雲端服務。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165063"><strong>【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</strong></a></p> </div></div></div>
2024/9/23 18:06作者周峻佑https://www.ithome.com.tw/news/165136
全球電子郵件系統安全亮紅燈！網擎解析郵件伺服器軟體資安危機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子郵件是眾多資安廠商公認最主要的網路攻擊起點，從2023年下半到現在，就有多起相關的資安事故與漏洞濫用事件躍上媒體版面，知名的郵件伺服器與郵件安全閘道陸續傳出災情，像是：Microsoft 365雲端服務的Outlook Web Access in Exchange Online（OWA），以及Outlook.com（<a href="https://www.ithome.com.tw/news/161017">HPE</a>、<a href="https://www.ithome.com.tw/news/157763">歐美政府</a>），開放原始碼電子郵件系統<a href="https://www.ithome.com.tw/news/162073">Zimbra</a>，<a href="https://www.ithome.com.tw/news/162079">Barracuda郵件安全閘道設備</a>，以及<a href="https://www.ithome.com.tw/news/164097">Cisco郵件安全閘道</a>。</p> <p>對於專營郵件伺服器與郵件安全系統的網擎資訊而言，也深刻體認到資安局勢日趨嚴峻，執行長廖長健在9月11日舉行的Hello World開發者大會首日下午的演講，一開場就有感而發。</p> <p>他表示，網擎目前服務許多重要客戶，雖然實際沒看到大量砲彈槍藥的來襲與血腥衝突，但每一天的資安都處於激烈攻防的戰爭狀態。就算強大如Google、微軟，任何軟體、雲端服務的業者並非百毒不侵，時時刻刻都面臨駭客的威脅。</p> <h3><span style="color:#0000FF;"><strong>電子郵件資安面臨不對稱的作戰態勢</strong></span></h3> <p>「你的敵人看不見、你的敵人不睡覺，總是想方設法、一直要攻破你」，事實上，我們如今已身處在不對稱的作戰局勢，所需因應的資安威脅當中，有許多來自國家級駭客，而這些被稱為「網軍」的攻擊者，現在的組織運作也走向「民營化」，他們不僅輪班進行滲透、發動攻擊，一旦成功侵入還會得到獎金，因此受到的激勵程度是非常強烈的，而且是持續進行的。</p> <p>事實上，國家級駭客攻擊的目標相當多元，包含銀行、關鍵基礎設施、政府機關、廠商，以及企業在內，都面臨這樣的資安威脅。以臺灣的軟體公司而言，大多是中小企業的經營規模，只有幾十個人抵禦，攻擊方卻是幾千人，此時若要做好資安，需要借助一些方法論和概念進行調整，而箇中關鍵不只是資安意識的提升，我們應該鼓勵通報文化、主動共享情資，導入聯防機制，建立正確的資安意識與開發流程。</p> <p>廖長健期勉大家一旦發現自己被駭，一定要勇於解決問題，而非掩蓋，因為如果不及早處理，我們無法知道後續的影響有多深遠，例如，有可能會一直遇到資料外洩的狀況。</p> <p>他認為，任何有能力的廠商，都會主動發現自己的弱點，並且鼓勵他們的客戶趕快更新，所以他呼籲在座的IT主管，「千萬不要覺得一家公司的CVE（通用漏洞揭露）很多，就認為他們不安全」，相反地，正因為他們有能力找到自己的弱點、勇於及時公布，並且分享情資讓大家趕快更新，也突顯他們負起應有責任的態度。</p> <p>事實上，有些廠商不僅本身沒有能力發布CVE，甚至連自己的弱點被發現、被攻進來都渾然不知，而在這樣的狀況下，多數人應該都無法認同這樣的廠商重視資安、做好資安。因此，如果我們常常接收到廠商願意發出CVE，應該要先肯定他們勇於面對問題與及時更新的舉動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVEDetail-openfind.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVEDetail-openfind.jpg" style="width: 600px;" /></a></p> <p>針對先前發生一連串的郵件雲端服務與郵件安全閘道資安事故，廖長健說明電子郵件為何成為駭客想要攻入的目標。</p> <p>理由是電子郵件是最容易經手處理各種資訊的重要管道，所傳遞的內容未必很機密，但是，攻擊者可以透過郵件了解很多組織的脈絡，以及最近關切的事情，有了這些資訊，能夠進行很多的社交工程，設計出能夠欺騙使用者的東西，所以，攻擊郵件閘道、郵件系統是全世界駭客最喜歡做的事情，而過去這幾個月以來，許多廠商都中招，也包含網擎資訊。</p> <p>他們之所以被盯上，廖長健認為，可能因為攻擊者的最終目標是大型金控公司、一級政府單位、重要的醫院，或是關鍵區域設施，但因為這些企業與機構不斷強化資安，所以駭客不容易攻進單位內部，於是攻擊者把腦筋動到供應商，開始從合作的系統整合廠商、IT維運廠商、軟體供應商著手，希望從中找到破口。除此之外，企業與廠商使用的IT產品與服務，如果本身整合第三方提供的軟硬體元件，像是PHP、Java，以及一些工具，或是攻擊者得知目標單位所用的Linux作業系統版本，有個資安漏洞，而這些歹徒可能就會直接攻擊這些第三方元件，就能夠滲透到供應商內部，最後，並且透過遭駭廠商，而得以侵入企業IT環境。</p> <p>基於上述理由，企業與組織不只是自己要防得好，利害關係人也要守好，因為攻擊是非常多面向的。廖長健表示，對於網擎資訊而言，在供應鏈攻擊的對象當中，他們成為駭客目標的可能原因，一方面在於本身扮演供應商、解決方案公司的角色，另一方面是本身採用第三方軟體元件，駭客從這個層面尋找漏洞、乘虛而入，後續這些存在漏洞濫用風險，甚至已被滲透或竄改的元件，若不慎被包入網擎的軟體產品或雲端服務，就可能成為破口。因此，他們必須要做到許多防護，而且持續提升資安。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind%20Supply%20Chain%20Security.jpg" style="width: 600px;" /></p> <p>而在實際資安事故的因應能力上，廖長健表示，今年截至目前為止，<a href="https://www.openfind.com.tw/taiwan/resource.html">網擎總共發出9次資安通報</a>，其中有60％是低風險漏洞，多為跨站指令碼（XSS）類型的弱點，40％為高風險漏洞，而在這些弱點中，專屬於網擎產品本身的漏洞占了一半，其餘是他牌郵件伺服器或郵件安全閘道共通的弱點：第三方元件的問題。</p> <p>廖長健提到此事，顯然是為了藉機駁斥市場傳言，他強調，網擎產品本身的高風險漏洞只占20％，而且，很多都是他們主動發現、主動更新的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Openfind 2024-CVE-analysis-2024-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind%202024-CVE-analysis-2024-09.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>難阻止駭客取得產品，從中可研究本體與第三方元件弱點</strong></span></h3> <p>面對外界質疑攻擊者為何熟悉網擎的系統，廖長健無奈地解釋軟體開發商目前面臨的產品資安挑戰局面，相當嚴峻。</p> <p>他說，現在想要拿到軟體產品的原始碼不難，無須透過內部人員或離職員工洩漏。首先，對於商用軟體廠商而言，可經由許多管道申請測試版與操作文件，例如，發出電子郵件或透過經銷商索取，網擎過去都有盡力把關，但仍無法完全杜絕；攻擊者一旦取得套裝軟體，即可設置測試環境，查看當中使用的第三方元件與版本，此處若具有已知漏洞，他們能就設計出可濫用此漏洞的檔案進行滲透。</p> <p>第二個取得原始碼的方式，是經由逆向工程反組譯而成。網擎的經驗是接到資安廠商的通報，他們在長期監測國家級駭客攻擊活動的過程中，發現網路釣魚信件涉及的惡意程式，命名與網擎資訊的英文名稱Openfind有關，因此他們經由某種管道取得網擎的程式進行逆向工程，而在該公司的通報是以他們剖析出來的原始碼，指出網擎某款軟體存在的資安漏洞，所以有可能被駭客利用。廖長健表示，雖然資安廠商以此種方式取得的原始碼，變數名稱與網擎這個產品所用的不同，但程式邏輯是接近的，就能根據這些資訊推斷弱點所在。因此，對於軟體開發廠商而言，在用戶端環境執行的已編譯的雙位元檔，如果本身沒有加上嚴密防護，具有足以抵抗逆向工程的能力，程式原始碼是能夠被反組譯出來。而且，既然資安廠商能夠這麼做，其實，也代表駭客可以藉此找到可乘之機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-Comericial%20Software%20Cybersecurity%20Disadvantages1.jpg" style="width: 600px;" /></p> <p>第三種探測產品使用間隙的方式，也是在測試環境安裝套裝軟體之後能進行的，那就是從作業系統層級的處理程序追蹤，以Linux環境而言，可經由strace的指令查看目前各個應用程式使用的系統呼叫，進行逐步分析，了解每支處理程序開啟的檔案與檔案所在位置，或是連接的網址，有了這些資訊，攻擊者能夠考量惡意軟體酬載適合置入的方式與途徑，找到能夠偷偷夾帶或呼叫的管道，然後再將這些內容放到指定位置、伺機而動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-strace-2024-09.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>國家級駭客手法更專精、能組合多個弱點，又能自動打擊，令人防不勝防</strong></span></h3> <p>關於臺灣軟體供應商之所以無法擋住國家級駭客攻擊，除了人力規模懸殊與具有強烈動機的落差，廖長健認為有三個因素必須克服。首先，國家級駭客滲透手法更為高超，而且是持續、專精投入研究攻擊目標的弱點；第二是不只是利用單一、嚴重度高的弱點，攻擊者也懂得將多個低風險漏洞組合起來運用，形成具有高度危險的漏洞濫用手法；第三是打造工具，降低操作技術門檻之餘，駭客也能發動自動化攻擊，一口氣侵襲多個目標，營造「遍地開花」的現象，而非一步步滲透、投放惡意軟體、再進行後續的調度指揮，對於軟體供應商而言，如果產品資安沒有顧好，採用客戶越多，一旦遭遇這類攻擊，同時要處理的資安事件可能也會很多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-Comericial%20Software%20Cybersecurity%20Disadvantages2.jpg" style="width: 600px;" /></p> <p>想要打造具有強大防護力的軟體產品，對於開發人員而言，有個先天的劣勢，那就是必須考量到運作效能而不能毫無限制地持續進行安全性處理。廖長健舉出的例子是JavaScript的過濾，為了避免遭到跨站指令碼的攻擊，軟體產品會過濾所有輸入的JavaScript，為了確保效能，會進行32次清洗，然而，對於攻擊者而言，當他們取得廠商的產品、建置使用環境之後，可以不厭其煩地循環測試，觀察究竟要過濾到多少次才停手，一旦他們找到這個處理上限，就可以設計出33層的惡意酬載，應付完32次指令碼過濾，下一次就能引發跨站指令碼攻擊，設法溜進軟體產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind%20script%20santization.jpg" style="width: 600px;" /></p> <p>至於組合多個漏洞的做法，廖長健提到的一種模式，是設法讓輸入夾帶的惡意酬載躲過第一道檢查，而順利進到內部儲存的設定檔，而且攻擊者知道檔案存放位置，當另一支程式載入這個設定檔時，開發人員可能以為這是內部資料而疏於檢查，執行之後觸發惡意酬載要做的事情、拿到系統權限，甚至形成命令注入攻擊（command injection）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-vulnerabilities%20combination%20threat.jpg" style="width: 600px;" /></p> <p>基於上述提及的軟體產品資安態勢，廖長健認為，作為防禦方，要有三個基本的前提。首先，攻擊者已有產品完整實驗環境，也就是前面提到，可透過合法管道、冒名欺瞞等方式，下載測試版。第二，攻擊者可以輕易找到目標伺服器，如果有鎖定的對象，對方要掌握這些IT基礎架構的所在位置，並不困難。</p> <p>第三，攻擊者已有目標環境的使用者帳號。由於在不同線上服務與系統使用重複密碼的情形相當普遍，再加上網站資料外洩事件頻傳，以及在公共場所上網卻沒用VPN防護等情況，導致帳密被側錄，駭客都有能力取得這些帳密，廖長健表示，我們要假設當攻擊者手上有使用者帳密的時候，產品資安還能防得住。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-Comericial%20Software%20Cybersecurity%20defense%20bottomline.jpg" style="width: 600px;" /></p> </div></div></div>
2024/9/23 15:45作者李宗翰https://www.ithome.com.tw/news/165122
中國聲稱遭我國成立的駭客組織攻擊，資通電軍表示並非事實
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天（9月23日）<a href="https://news.cctv.com/2024/09/23/ARTIvJFrhmdCf4SdWR1yVfVH240923.shtml">中國國家安全部在中國中央電視臺網站發布文章</a>指控，名為Anonymous64的駭客組織，針對中國及港澳地區頻繁發動網路攻擊，企圖取得企業組織的入口網站、電子看板、網路電視的控制，上傳抨擊中國政府政治制度及執政方針的內容，他們調查後認為，這些駭客的身分，是隸屬我國國防部資通電軍旗下的「網路戰聯隊網路環境研析中心」，他們公布3名資通電軍人員姓名和照片，揚言已進行立案調查。</p> <p>對此，隸屬於我國國防部的軍聞社發布報導駁斥這項指控，<a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=b22b5cbd-ed1b-4280-93d6-d8782b9b69cb">資通電軍表示</a>，他們的主要任務是負責國防資訊及網路安全維護，這些指控並非事實。中國持續透過軍機、軍艦，以及網路攻擊等手段侵擾臺灣，才是破壞區域和平的始作俑者。</p> <p>根據<a href="https://twitter.com/64anonymou79920">Anonymous64的X社群網站內容</a>，該組織從去年6月設置X帳號，約有2,700個用戶訂閱此帳號發布的動態消息，目前約有70篇貼文，初期內容有不少與六四天安門事件相關，近期推文涉及中國政治時事。其中，有部分貼文內容，是關於該組織聲稱攻擊特定組織、學校表達訴求得逞的訊息。但究竟如何認定Anonymous64是聽令臺灣資通電軍的駭客組織？中國國家安全部並未進一步說明。</p> </div></div></div>
2024/9/23 17:25作者周峻佑https://www.ithome.com.tw/news/165129
Container快報第159期：K8s終於完成150萬程式碼大瘦身，Docker十一月大漲價，IBM買Kubecos…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/8/1～9/20 精選容器新聞：</strong></p> <p><strong>#漲價 #11月生效<br /> <span style="color:#0000FF;">Docker統一各產品線訂閱方案同時大漲價，最多漲80%，11月中生效</span></strong></p> <p>最近Docker公司宣布旗下產品訂閱方案有重大調整，多項產品整合到單一訂閱方案中，也因此調整價格，部分功能還將引入按用量計價的定價模式，企業得更精打細算。包括Docker Desktop、Docker Hub、Docker Build Cloud、Docker Scout及Testcontainers Cloud等工具都將整合到單一訂閱方案中。另外，也新增了多項功能，包括強化軟體供應鏈安全的Docker Scout持續漏洞分析，結合原生ARM和AMD雲端建置工具的Docker Build Cloud，最多加快建置速度達39倍，另外，Testcontainers Cloud也新增自動化測試功能。</p> <p>Docker Pro年度方案的每月價格從5美元提高到9美元，漲幅80%，Docker Team年度方案則從每位使用者每月9美元，漲價至15美元，漲幅達66.67％，而Docker Business價格維持不變。目前仍有免費Docker個人版，但取消了免費的Team版本。上次漲價是2022年10月，當時Docker Team方案上漲約28.57％，Business方案上漲約14.29％，不到兩年，Docker公司再次大漲價。隨著新價格方案公布，Docker Hub儀表板也新增下載量圖表，讓企業可以了解下載了多少資料量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker%E7%94%A8%E9%87%8F%E5%84%80%E8%A1%A8%E6%9D%BF-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Docker.jpeg" /></p> <p><span style="color:#0000FF;"><strong>#程式碼大瘦身 #DRA #GPU<br /> K8s釋出1.31版，終於完成150萬行程式碼瘦身大工程，新增DRA 動態資源分配能彈性調度GPU支援AI訓練</strong></span></p> <p>K8s問世十年，早期許多關鍵程式碼的儲存路徑，分散在五大雲端供應源，包括Google雲、AWS、Azure、OpenStack和vScphere，也內建到許多內建元件中，因此，早在K8s第七版時，K8s專案成員就開始積極的想要將這些涉及特定廠商的路徑從K8s核心程式碼中移除，轉移到外部，來提高核心程式碼對廠商的相依性。</p> <p>但這是一個涉及150萬行程式碼的超大工程，經過了24個版本（以每年四版來推算，至少花了6年），終於在1.31版（代號，轉移了最後一部分的程式碼，也為此延伸出了四大子系統，雲端控制器管理員、API伺服器網路代理、kubelet憑證供應商外掛、儲存外掛搬遷到CSI。K8s核心程式碼移除了150萬行程式碼之後，二進位檔因此大幅瘦身了40%。從1.31版開始，K8s核心終於成為一個完全廠商中立的平臺，也更容易與各種不同的雲端供應商整合。除了上述四大子系統之外，K8s雲端供應商工作小組實現這個里程碑之後，下一個目標是優化K8s對混合環境的支援，包括跨私雲和公雲的叢集運作，讓異質環境整合更簡化，另外要建立一個可以涵蓋更多雲端供應商的測試框架。</p> <p>除了大瘦身之外，1.31版有一項重要的新特色是新增了Dynamic Resource Allocaiton（動態資源分配，簡稱DRA）的API，1.31版是第一個支援這項功能的版本。可以透過API來請求和共享跨不同Pod叢集中的容器，而且是一個通用資源的調度工具，可以調度各種常見硬體資源，包括了GPU或是各種網路加速硬體。可以使用DRA來調度GPU資源，甚至快速因應不同工作負載需求來分配所用的硬體GPU支援，有助於因應AI模型訓練，如大型LLM訓練運算需要的算力調度，提供更多也更彈性的工作負載調度安排。</p> <p><span style="color:#0000FF;"><strong>#GenAI開發 #Tanzu<br /> 雲原生開發平臺Tanzu推出10新版，內建Spring AI開發框架要搶GenAI開發需求</strong></span></p> <p>最近，博通發表了雲原生開發框架Vmware Tanzu的第10版，最大特色是新增了一套AI解決方案，包括GenAI應用開發框架Spring AI的支援，提供Java API來存取多種LLM模型。也推出了一款Java打造的AI中介軟體，可串接上百款開源或商用LLM，也能控管對這些模型的存取。AI中介軟體其中一項特色是提供了虛擬金鑰功能，可以建立一套通用的角色權限控管，按角色、團隊來限定他們所能使用的LLM模型。這套AI解決方案也提供了一項模型與App評估功能，可用來量測和觀察GenAI應用和模型的行為，來評估成效和準確度。</p> <p><strong><span style="color:#0000FF;">#容器管理VM #OpenStack<br /> 紅帽正式推出OpenShift上的OpenStack服務，可直接管理原生OpenStack服務的Pod叢集</span></strong></p> <p>以VM工作負載管理為主的OpenStack，這幾年持續往容器管理架構靠攏，除了內建容器管理能之外，紅帽容器管理平臺OpenShift 去年發表了OpenStack服務的叢集管理功能預覽版，在今年8月底正式推出。這項功能可以在容器管理環境中，提供OpenStack工作負載，可供企業以實體機器部署的OpenStack服務，轉移到容器環境中，不用改變原有OpenStak運算節點。轉移到OpenShift後，可以用來提高OpenStack節點的擴充性，也能將OpenShift的可觀察性機制，整合到OpenStack節點中，來強化混合容器和虛擬機器混合架構的透明度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenStack%20on%20OpenShift%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" /></p> <p><span style="color:#0000FF;"><strong>#容器安全 #服務網格<br /> 服務網格專案Linkerd釋2.16新版，新增IPv6支援和零信任稽核模式，可紀錄但不阻擋低風險的存取行為</strong></span></p> <p>距離前一版發布才半年，服務網格專案Linkerd很快又釋出2.16新版，這個版本也有不少新功能。包括新增了IPv6的支援，可以支援單用IPv6或混用IPv4/IPv6的K8s叢集。另外，Linkerd的零信任授權政策機制，也新增了稽核模式（Audit mode），來強化對於服務網格間網路流量的控管。Linkerd的SideCar設計，原本就可以採取預設拒絕的微分區控管政策，來建立零信任模式的控管邊界，來強化K8s叢集間的網路安全。新增加的稽核模式，可以對違反零信任政策的行為，採取留下Log紀錄但不禁止的做法，可以讓零信任架構多了一種「低風險行為追蹤」的控管選擇。2.16版也增加了更多路由矩陣監測能力，例如可以紀錄每一趟路由的成功率，嚴懲。 </p> <p><span style="color:#0000FF;"><strong>#OSX映像檔 #Docker<br /> 蘋果以違反著作權，要求75萬人用的Docker-OSX映像檔下架</strong></span></p> <p>8月底，蘋果以侵犯著作權為由，要求Docker公司下架了Docker Hub賬號下的Docker-OSX儲存庫。這個儲存庫是由代號Sick.Codes的開發人員建立的macOS VM容器，可以讓開發者利用Docker在Windows或Linux平臺上執行macOS，用以測試應用，但不用購買macOS授權，也有安全研究人員用這方法來研究macOS的漏洞。這個儲存庫在GitHub上的專案，超過75萬人下載，獲得4萬多顆星。不過，在8月底，蘋果以違反《數位千禧年版權法案》（Digital Millenium Copyright Act，DMCA）為由要求下移除。Docker出示了代表蘋果的律師事務所的電子郵件，指出蘋果對macOS的安裝器和安裝擁有獨家權利，Docker-OSX的映像檔則是在未經授權下重製蘋果內容，因此而下載。</p> <p><span style="color:#0000FF;"><strong>#容器成本追蹤 #FinOPs<br /> IBM宣布併購K8s成本控管平臺Kubecost，強化FinOps套裝的容器成本管理能力</strong></span></p> <p>瞄準企業K8s維運成本控管需求，IBM最近宣布併購了K8s成本即時監控平臺商kubecost，整合到IBM的FinOps套裝產品中，來搭配跨雲成本控管功能，也能用AI自動優化雲端效能。隨著企業越來越依賴K8s，相關維運成本的控管也成了新的挑戰，Kubecost可以提供容器層級的成本管理，可以從叢集外部，及時瞭解K8s叢集的CPU、記憶體、儲存用量、網路用量的運作成本。也可以針對AP或團隊設定預算、使用模式和告警條件，在預算用完前通知開發和維運團隊。併購後，Kubecost可以將IBM的FinOps成本管理延伸到K8s環境中，提供單一Pod叢集，命名空間或是單一工作負載的成本透明度，作為後續優化調整之用。創立於2019年的Kubecost，目前有超過1萬2千家企業與組織採用。核心所用的K8s成本監控機制則以OpenCost專案開源釋出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/kubecost%E5%84%80%E8%A1%A8%E6%9D%BF-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-kubecost.png" /></p> <p><strong>圖片來源：Docker,Kubecost,紅帽</strong></p> <p><b>更多新聞：</b></p> <ul> <li>AWS打造的新一代K8s自動擴充工具Karpenter發布了1.0版，主打超快啟動，可擴充支援多規格</li> <li>Red Hat修補OpenShift兩項重大層級的漏洞CVE-2024-45496、CVE-2024-7387，這是可供執行任意命令或提高權限的漏洞。</li> <li>Docker Desktop在9月中修補兩項高風險層級的漏洞CVE-2024-8695、CVE-2024-8696，這是可能遭駭客遠端執行任意程式碼的漏洞。</li> </ul> <p>責任編輯：王宏仁</p> </div></div></div>
2024/9/23 17:38作者王宏仁https://www.ithome.com.tw/news/165134
駭客組織TeamTNT鎖定CentOS主機植入Rootkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>約在4到5年前出現，專門鎖定雲端環境下手從事挖礦的駭客組織TeamTNT，傳出近期再度出沒的跡象，這次目標是執行CentOS作業系統的虛擬專屬伺服器（VPS）。</p> <p>資安業者Group-IB指出，於2022年消聲匿跡的TeamTNT，<a href="https://www.group-ib.com/blog/teamtnt/">去年疑似再度從事活動的情況</a>，駭客先是透過SSH連線存取目標主機，透過暴力破解來得到初始存取的管道，得逞後上傳了惡意指令碼。</p> <p>該指令碼先是針對受害主機進行檢查，是否有其他挖礦軟體進駐的情況，然後就會進行一系列的安全配置竄改，這些包含停用防火牆、NMI Watchdog，刪除系統事件記錄，以及更動特定系統資料夾的屬性。</p> <p>另一方面，該指令碼也會確認受害系統是否部署阿里巴巴的資安防護機制aliyun.service，若是偵測到相關的處理程序，駭客就會從阿里雲下載bash指令碼來進行移除。</p> <p>此指令碼還會停用作業系統的防護機制SELINUX、AppArmor，接著再度檢查是否有其他的挖礦軟體處理程序，最終部署名為Diamorphine的rootkit程式，並將受害主機用於挖礦。</p> <p>值得留意的是，這波攻擊駭客試圖阻止伺服器管理員進行復原。駭客先是使用chattr命令來鎖定、控制檔案屬性，接著，他們透過另一項工具tntrecht停用chattr，阻止管理員復原這些已竄改的檔案屬性。</p> <p>接著，這些駭客也鎖定該系統，並阻止管理員重開機、關機，或是恢復存取權限。最終他們使用後門帳號及授權金鑰，而能夠透過SSH來存取受害主機。</p> </div></div></div>
2024/9/23 16:20作者周峻佑https://www.ithome.com.tw/news/165123
GovTech月報第33期：2026到2030政府數位發展方向，以AI提升公務機關效能、改善便民服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0806~0920)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧政府</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><strong><span style="font-size:22px;">數位部揭露下階段數位政府發展方向，用AI提升公務效能及民眾服務</span></strong></p> <p>數位部部長黃彥男近期在數位政府高峰論壇中預告，正規畫下一階段數位政府發展方向，2026年至2030年將大力推動AI導入公務機關，一方面提升公務辦公效率，另一方面提升對民服務。</p> <p>該計畫名稱為智能革新數位領航計畫，分為便捷服務、效能兩方面，便捷服務是打造智慧客服、智慧祕書、智慧助手；智慧客服提供24/7的服務，提高服務的可及性、滿意度；而智慧祕書提供民眾個性化的精準服務，以減少民眾等待及查詢時間；而智慧櫃臺則協助民眾完成業務申辦流程．提高成功率及便利性。</p> <p>效能方面，發展公務人員的AI助手，以提升公務人員處理業務與申辦審查效率，降低人為錯誤、提升決策品質，這5年期間，數位部協助各機關發展各種AI助手，例如資訊業務助手、行政業務助手、特定業務助手，由AI輔助處理公務。</p> <p>在2026年之前，數位部今年底之前規畫政府機關人工智慧應用參考指引，由數位部扮演教練，引導政府機關學習瞭解AI、評估AI工具、專案管理、風險控管、AI治理等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">空氣污染</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>工業區空氣飄臭味擾民，臺南市靠無人機、AI偵測異常排煙加強監控工業區空污</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/61d776f5-f2c3-46d7-8b72-86ac3a9f7265-600.jpg" style="width: 600px; height: 450px;" /></p> <p>臺南市柳營科技工業園區近期因為空氣污染、異味等問題，影響附近里民生活，臺南市環保局加強管制工業區空污問題，運用AI偵測工廠異常排煙情形，運用科技執法加強取締污染。</p> <p>柳科附近里民近期向臺南市政府反映，在入夜後經常出現異味，造成民眾困擾，顯示不肖業者可能利用夜間排放廢氣，而影響附近居民生活。為了改善當地空氣品質，臺南市政府除了派員現場稽查，並在柳科部署39個微型感測器, 分析偵測數據之外，還出動無人機搭配空污感測器，從高空偵測異常排放廢氣情形。</p> <p>市府也在6月架設智慧判煙系統，在制高點架設攝影機，結合AI辨識，來偵測管道異常排煙的情形，當偵測發現異常，派員至現場採樣稽查。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">政府</span></font></strong></p> <p><span style="font-size:22px;"><strong>美國路易斯安那州開始接受比特幣付款</strong></span></p> <p>美國路易斯安那州政府近期宣布，州政府服務開始接受民眾使用加密貨幣等數位貨幣付款，讓民眾可以個人的加密貨幣錢包，來支付州政府服務費用。</p> <p>路易斯安那州政府明確訂定可接受的數位貨幣，包括比特幣、比特幣的閃電網路，還有USD Coin，該州的第一筆加密貨幣支付已經完成。州政府是與Bead Pay合作，透過一項服務可以將民眾支付的加密貨幣轉為以美元存入州政府擁有的帳戶，並以此鼓勵更多的州政府基礎設施採用加密貨幣。</p> <p>路易斯安那州表示，接受加密貨幣支付，讓州政府能在數位時代下，提供民眾更有彈性的付款方式，州政府與Bead Pay的合作，州政府服務接受加密貨幣，優點包括降低詐欺交易，州政府本身不處理加密貨幣，避免加密貨幣價格波動，以及州政府以美元收款。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">垃圾清運</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技</span></font></strong></p> <p><span style="font-size:22px;"><strong>提高垃圾清運效率及安全，臺中市用科技偵測垃圾車容量</strong></span></p> <p>垃圾車每天行駛於街道清運垃圾，仰賴人工方式判斷載運剩餘容量空間，決定車輛行駛趟次，影響垃圾車出勤效率，如果垃圾車誤點，會讓民眾苦等。臺中市環保局近期導入物聯網，偵測垃圾車容量，降低車輛誤點，並偵測車輛意外、危險駕駛等問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%BB%8A%E8%BC%9B%E7%8B%80%E6%85%8B%E5%8F%8A%E5%81%B5%E6%B8%AC%E8%A8%AD%E5%82%99_1-600.jpg" style="width: 600px; height: 353px;" /></p> <p>臺中市環保局指出，過去垃圾車清運主要依靠駕駛的經驗，難以有效管理，如果垃垃圾滿載，可能發生事故，或導致車斗損壞，需要付出高額維修費用，臺中市環保局在數位部協助下導入清運車輛智慧安全管理平臺，在垃圾車斗部署容量偵測器，透過車聯網，即時顯示收運車輛的承載率，通過數據分析預期可能滿載的清運點，作為評估換班或調整收運路線之參考，避免因為滿載影響行車安全、讓民眾苦等。</p> <p>目前共有50輛垃圾車加入，主要為臺中市北屯、大甲、太平區的清運車輛。環保局表示，以北屯的垃圾清運車為例，透過管理平臺蒐集的數據，經過分析，特定的清運點載運量達8成以上，調整清運時間，安排車輛先至焚化廠卸運，再接續路線收運垃圾。此外，垃圾車也配備攝影機，讓安全管理平臺從遠端監看清運作業。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">通訊網路</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位韌性</span></font></strong></p> <p><span style="font-size:22px;"><strong>強化災害或緊急狀態下通訊韌性，數位部聯合電信業者演練緊急應變通訊機制</strong></span></p> <p>為確保災害發生或緊急狀態之下，政府執行防災救災或緊急應變指揮確保通訊系統維持基本運作，數位部近期與內政部消防署合作，演練多重通訊系統，包括非同步軌道衛星，以及「公共安全與救難應變」（Public Protection and Disaster Relief, PPDR）。</p> <p>參考美國、韓國的緊急通訊機制，數位部也協助消防署驗證PPDR應變網路機制，PPDR的概念是政府建置核心網路，並介接電信業者的既有基地臺，當發生重大災難或緊急狀態時，可以調度部分的行動基地臺資源，優先提供救災相關單位使用，確保雙向、穩定的影音通訊。</p> <p>PPDR今年底先在嘉義縣、臺南市、高雄市介接三大電信業者12座基地臺，2025年再增加至6個縣市24座基地臺，以驗證緊急狀況發生時，確保救災通訊優先使用。</p> <p>另外，根據數位部的規畫，非同步軌道衛星方面，今年底將會完成773個非同步衛星終端設備設置，以作為未來發生緊急災難時，指揮系統的緊急應變通訊網路使用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位皮夾</span></font></strong></p> <p><span style="font-size:22px;"><strong>加州政府開放民眾將身分證、駕照存放於Apple Wallet，並用於機場身分檢驗</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-Wallet-drivers-licenses-California-300.jpg" style="width: 300px; height: 420px;" /></p> <p>加州政府積極推動數位身分機制，近期開放該州民眾將身分證、駕照存放於iPhone、Apple Watch裡的Apple Wallet，在特定的民間企業服務，以及TSA運輸安全管理局的檢查站，例如舊金山國際機場、洛杉磯國際機場使用。</p> <p>這項新的措施是加州政府行動駕照（mDl）先導測試計畫的一部分，這項計畫限制150萬名參加者，在宣布開放身分證、駕照存於Apple Wallet之前，上個月，加州政府先開放行動駕照存放在Google Wallet。加州民眾將身分證或駕照存放於手機的數位皮夾，強調簡單、安全、隱私出示身分證件。</p> <p>為確保身分證件與Apple Wallet使用者為同一人，當添加身分證或駕照至Apple Wallet，會要求使用者先拍攝自拍照，並掃描證件的正面及反面，交由加州的車輛監管部門DMV來進行身分驗證。使用時，可以將iPhone或Apple Watch靠近讀取設備，就能出示駕照、加州身分證，在分享身分訊息之前，用戶可以先查看要求授權的身分資訊，整個過程用戶不需解鎖螢幕、出示或交出設備就能完成。身分資料以加密方式存於裝置內，除非用戶授權才能讀取訊息，此外，加州政府也強調蘋果和DMV不會知道使用者何時、向誰出示身分訊息。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">運輸</span></font></strong></p> <p><span style="font-size:22px;"><strong>蘇格蘭當地機場測試用無人機運送醫療用品給偏遠地區</strong></span></p> <p>無人機不受地形限制，無遠弗屆空中拍攝影像之外，英國政府近期在蘇格蘭地區測試利用無人機載運醫療用品，提供偏遠地區的醫療用品需求，以縮短運送醫療用品的時間。</p> <p>蘇格蘭的阿伯丁國際機場近期舉行機場成立90周年慶祝活動，並對外展示以無人機載運醫療用品，測試無人機從愛丁堡經由空中運送到梅爾羅斯，如果以地面運輸約需要花費5小時才能送達，而利用無人機從空中運送只要35分鐘，大大節省運送時間，並且儘快讓偏遠地區獲得所需醫療用品。</p> <p>該測試屬於CAELUS計畫的一部分，該計畫由英國政府補助700萬英磅，以發展航空、無人機產業相關技術及應用。英國政府運輸部門將這項測試形容為技術創新，這項利用無人機空中運輸醫療補給品給偏遠地區的測試，展現下一代航空運輸的新面貌。</p> <p> </p> <p>圖片來源／臺南市政府、蘋果、臺中市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.阿爾巴尼亞政府規畫新的數位身分系統</strong></p> <p><strong>2.加州議會提AI法案，要求開發AI應設計可關閉模型功能</strong></p> <p>資料來源：iThome整理，2024年9月</p> </div></div></div>
2024/9/23 17:12作者蘇文彬https://www.ithome.com.tw/news/165099
駭客謊稱GitHub的專案有資安漏洞，想趁機散布竊資軟體Lumma Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站Bleeping Computer的報導，有人鎖定經常使用GitHub、維護或追蹤特定開源專案的開發人員，<a href="https://www.bleepingcomputer.com/news/security/clever-github-scanner-campaign-abusing-repos-to-push-malware/">寄送釣魚郵件來散布竊資軟體Lumma Stealer</a>。攻擊者使用惡意GitHub帳號，在目標儲存庫通報新問題（issue），聲稱該專案存在安全漏洞，誘騙想要協助處理的用戶存取冒牌的GitHub Scanner網域，一旦使用者照做，電腦就有可能被植入惡意軟體。</p> <p>這起事故被揭露的原因，是該新聞網站接獲許多GitHub用戶反映，他們表示，一直收到自己參與的專案電子郵件通報，要求他們去處理儲存庫的資安漏洞，並存取github-scanner[.]com進一步了解相關資訊。</p> <p>然而，一旦使用者依照信件的說明存取該網站，網頁就會要他們進行圖靈驗證，要依照指示證明他們是人類。</p> <p>若是使用者點選「我不是機器人」的按鈕，網站後臺的JavaScript指令碼就會將惡意程式碼複製到電腦的剪貼簿。</p> <p>接著，網站就會要求使用者按下鍵盤組合鍵來進行「驗證」：先是按下Windows鍵和R開啟執行視窗，然後按Ctrl及V貼上剪貼簿的內容，再按下Enter。</p> <p>假如使用者照做，電腦就會執行駭客透過網站後臺貼上的惡意程式碼，下載執行檔l6E.exe，Bleeping Computer經過分析，確認該執行檔就是竊資軟體Lumma Stealer。</p> <p>值得留意的是，類似的攻擊行動並非首例，一個月前，資安業者Palo Alto Networks旗下威脅情報團隊Unit 42發現<a href="https://x.com/Unit42_Intel/status/1829178013423992948">類似的圖靈驗證網站</a>，同樣要求使用者依序按下特定快速鍵執行惡意程式碼，意圖於受害電腦散布Lumma Stealer；接著Bleeping Computer報導有人假借通報漏洞為由，<a href="https://www.bleepingcomputer.com/news/security/github-comments-abused-to-push-password-stealing-malware-masked-as-fixes/">向GitHub用戶散布該竊資軟體的情況</a>。</p> </div></div></div>
2024/9/23 15:11作者周峻佑https://www.ithome.com.tw/news/165120
微軟準備棄用Windows Server Update Services
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟產品經理Nir Froimovici上周<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-server-update-services-wsus-deprecation/ba-p/4250436" target="_blank">提醒</a>，有鑑於微軟已透過雲端來簡化Windows的管理，已宣布要棄用Windows Server Update Services（WSUS），將不再開發新的WSUS功能。</p> <p>WSUS為免費的企業級Windows更新管理工具，最早可追溯至2005年，它允許IT管理員集中控制要將哪些微軟的更新部署到組織內部的電腦上。根據微軟的<a href="https://learn.microsoft.com/en-us/windows-server/get-started/removed-deprecated-features-windows-server-2025" target="_blank">規畫</a>，自Windows Server 2025開始就不會再積極開發WSUS。Windows Server 2025目前處於預覽階段，正式版預計今年就會出爐。</p> <p>Froimovici解釋，產品生命周期中的棄用（Deprecation）階段，代表一個功能或服務將不再積極開發，不會再接受WSUS的新功能請求，但微軟將會保留現有的功能，也會繼續透過WSUS管道遞送更新，亦將支援任何藉由WSUS發布的任何內容。</p> <p>但Froimovici也強調，在Windows Server 2025中依然可使用WSUS，但微軟建議使用者遷移到雲端工具，包括Windows Autopatch、Microsoft Intune或Azure Update Manager。</p> <p>此舉引來了不少IT人的留言，有人說透過雲端管理可能不適用於某些環境，例如那些為了安全而自網路隔離的系統；也有人說WSUS非常簡單，但Azure並不然；還有人批評微軟只是希望組織付費訂閱微軟的雲端服務。</p> </div></div></div>
2024/9/23 14:46作者陳曉莉https://www.ithome.com.tw/news/165119
【資安週報】2024年9月16日到9月20日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中秋假期間的資安威脅不容小覷，近期有多個攻擊行動被揭露，其中兩起消息值得留意，一是資安業者揭露中國駭客Earth Baxia今年7月曾針對臺灣某個政府機關發動攻擊，值得注意的是，該攻擊利用GeoServer已知漏洞發動攻擊，並植入後門程式EagleDoor；一是發現中國駭客鎖定代管企業網站的IIS伺服器入侵的情形，主要利用特定的網頁應用程式服務來部署Web Shell，而其針對的目標是歐亞地區的企業網站。</p> <p>●臺灣政府機關遭中國駭客Earth Baxia攻擊，資安業者指出是其手法是藉由GeoServer已知漏洞發動攻擊。<br /> ●中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，還會利用惡意程式PlugX、BadIIS來操縱搜尋引擎的排名。<br /> ●惡意程式Amadey竊取帳密資料有新招，利用瀏覽器的Kiosk模式來提升憑證竊取的攻擊成功率。<br /> ●防毒業者Dr.Web驚傳遭入侵，暫時切斷所有伺服器的連線。<br /> ●臺美國防工業會議相關人士遭到鎖定，資安業者Cyble揭露發現相關誘餌檔案，是偽裝PDF檔案的Windows捷徑檔。</p> <p>在漏洞消息方面，本周有多個漏洞利用狀況，我們注意到前不久修補的IE漏洞CVE-2024-43461，出現新的變化——當時微軟指出該漏洞並未被大規模利用，一星期後確認該漏洞在修補之前就被利用。<br /> ●微軟本月修補的Windows MSHTML平臺漏洞CVE-2024-43461，後續發現在修補前已遭Void Banshee駭客組織利用。<br /> ●Progress在8月底修補WhatsUp Gold的漏洞CVE-2024-6670，資安業者警告已出現實際攻擊行動。<br /> ●Ivanti修補Cloud Services Appliance已遭利用的2個零時差漏洞：CVE-2024-8963 、CVE-2024-8190。<br /> ●Apache HugeGraph-Server在4月修補的漏洞CVE-2024-27348，最近發現遭積極利用。<br /> ●多個舊漏洞被美CISA列入已知漏洞利用清單，包括：微軟SQL Server報告服務的漏洞（CVE-2020-0618）、Oracle ADF Faces的漏洞（CVE-2022-21445）、Oracle WebLogic Server的漏洞（CVE-2020-14644），以及Adobe Flash Player的漏洞（CVE-2013-0643、CVE-2013-0648、CVE-2014-0497、CVE-2014-0502）。</p> <p>還有多個漏洞修補消息需盡速因應，包括：GitLab修補CVSS滿分漏洞，以及OpenShift、VMware vCenter伺服器、新興AI系統AutoGPT、D-Link Wi-Fi路由器等的漏洞修補。</p> <p>此外，本星期還有一類型資安新聞也成重要焦點，因為駭客攻擊家用連網設備的消息不斷，涵蓋家用路由器與Android電視機上盒。</p> <p>例如，殭屍網路Quad7最新一波攻擊行動的揭露，繼先前TP-Link路由器發現被鎖定，如今攻擊範圍擴大，兆勤（Zyxel）、華碩、Ruckus等廠牌的路由器產品都成鎖定目標；還有美司法部宣布破獲中國駭客組織Flax Typhoon委由中國業者Integrity Technology Group建立的Raptor Train殭屍網路。</p> <p>還有130萬臺Android電視機上盒的韌體遭植入後門程式的揭露，研究人員指出這是在今年8月發現，受害裝置多為知名度較低的品牌，但尚不清楚感染途徑。</p> <p>由於近年來駭客組織入侵家用路由器來建立自身的物聯網殭屍網路，其態勢是日益嚴峻，像是去年美國即拿下中國駭客Volt Typhoon使用的KV-botnet殭屍網路，因此如何持續緩解這方面的威脅，相當關鍵。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165045"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月16日】數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍</span></strong></a></h3> <p>上週四（12日）中租控股、兆豐金控、彰化銀行發布重大訊息，證實公司部分網站遭遇DDoS攻擊而面臨服務中斷的情況，臺灣證券交易所同日也傳出受害；親俄駭客組織NoName057、RipperSec聲稱是他們所為，但究竟有多少企業組織受害？數位發展部週末召開記者會提出說明。</p> <p>他們指出這波攻擊行動在10日出現，總共至少有45起攻擊，大部分受害的企業組織皆能快速應變，短時間就能恢復網站運作。</p> <h3><a href="https://www.ithome.com.tw/news/165063"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</span></strong></a></h3> <p>AI應用當紅，這類應用系統的漏洞也隨之引起關注。最近有研究人員針對新興AI系統AutoGPT揭露漏洞CVE-2024-6091，這項漏洞源自於過濾可用的Shell命令機制，一旦被利用，攻擊者就有機會執行任意命令。</p> <p>值得留意的是，AutoGPT受到許多開發者關注，迄今已有超過44萬個分叉AutoGPT的軟體程式碼專案，這些專案很有可能也曝露於相關的資安風險。</p> <p><a href="https://www.ithome.com.tw/news/165081"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</span></strong></a></p> <p>針對中小企業、SOHO辦公室、家用網路設備而來的殭屍網路，近期有越來越多的情況，繼我們昨天報導<a href="https://www.ithome.com.tw/news/165059">殭屍網路Quad7最新一波的攻擊行動</a>之後，這幾天美國政府採取取締這類行為的行動，接管由中國駭客組織Flax Typhoon經營的殭屍網路Raptor Train。</p> <p>值得留意的是，這個殭屍網路由超過20個廠牌的網路設備組成，類型涵蓋相當廣泛，包括：數據機、路由器、IP攝影機、網路儲存設備等，遭到操控的連網設備數量也相當可觀。</p> <p><a href="https://www.ithome.com.tw/news/165098"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</span></strong></a></p> <p>針對地理位置資訊伺服器GeoServer的重大層級漏洞CVE-2024-36401，自6月得到修補後，隔月便出現相關攻擊行動，並引起美國政府注意，將其列為已被利用的漏洞。</p> <p>半個月前資安業者Fortinet揭露相關漏洞利用攻擊的情況，推測駭客很有可能來自中國，本週另一家業者趨勢科技也公布調查結果印證這項推測，值得留意的是，他們看到的攻擊行動，發生在臺灣公部門。</p> <p> </p> </div></div></div>
2024/9/23 09:51作者羅正漢https://www.ithome.com.tw/news/165106
Nvidia與G42合作開發解析度達每平方公里的天氣預報模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿布達比專門開發AI應用的G42上周<a href="https://www.g42.ai/resources/news/g42-collaborates-nvidia-deliver-next-generation-climate-solutions-using-earth-2" target="_blank">宣布</a>，將與Nvidia共同合作，專注於開發能夠提高全球天氣預報準確性的AI解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-G42_NVIDIA_Earth-2-960.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／G42</span></span></p> <p>背景雄厚的G42成立於2018年，主要開發各個產業的AI應用，從政府、醫療、金融、石油、航空到飯店等，投資者包括阿布達比政府旗下的Mubadala投資公司，知名的私募股權投資公司SilverLake，Dalio Family Office，以及微軟。</p> <p>此次雙方的合作是奠基於Nvidia的Earth-2。Nvidia在2021年發表的Earth-2企圖建立整個地球的數位孿生模型，以用來預測與模擬氣候的變化或極端天氣事件等全球現象，它原本就是個開放平臺，而初期雙方將共同開發一個解析度達到每平方公里的天氣預報模型，可望替特定區域提供更精確的天氣訊息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-nvidia-earth-2(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-nvidia-earth-2-(2).png" style="text-align: center; width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>其具體實踐包括雙方將於阿布達比建立新的營運基地，以及氣候實驗室Climate Tech Lab，此地將成為雙方的研發中心，計畫利用超過100PB的地球物理資料來建置各種客製化的氣候與天氣解決方案。</p> <p>G42執行長Peng Xiao表示，他們將以創新的方式來應用AI，並解決關鍵性的全球挑戰，於阿布達比建立Earth-2氣候技術實驗室，可利用其獨特能力替世界創造可持續性的未來。除了推動氣候技術的創新之外，雙方亦準備打造一個強大的框架，以整合資料分析、天氣預測與視覺化技術。</p> <p>Nvidia執行長黃仁勳則說，雙方將以前所未有的準確度來理解及預測氣候現象，此一Earth-2氣候技術實驗室將使用最先進的加速運算與AI技術來推動環境解決方案，以造福全球人類。</p> </div></div></div>
2024/9/23 12:00作者陳曉莉https://www.ithome.com.tw/news/165108
打造AI繪圖線上服務臺廠不缺席，訊連展示精準控制AI生圖的新能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年AI繪圖網站隨生成式AI技術而興起，像是Midjourney、DALL·E3、Stable Diffusion持續帶動熱潮，只是多為國外廠商提供服務，但其實也有臺廠應用相關技術來提供服務，訊連科技推出的AI繪圖網站「MyEdit」就是一例，特別的是，最近該公司舉行一場產品技術發表會，提到AI生圖的最新發展，並指出精準控制AI產生圖片的功能將陸續釋出。</p> <p>事實上，這幾年都在關注以圖生圖技術的發展，這是因為，過去AI圖片生成最大挑戰在於，用戶如何利用所謂的AI咒語，也就是更清楚的文字提示（Prompt），讓AI更了解用戶所需。</p> <p>關於以圖生圖的進展，先前我們已經看過一些應用方式，例如讓A照片能套用B照片的光線與色調，對此，訊連科技總經理林昭宏表示，現在訊連科技已經在MyEdit網站上，新加入這方面的能力，使用者將可透過輸入「文字」加上選取或上傳「圖片」的方式，生成式AI能夠更了解用戶所需，不僅僅是色調，還有很多使用者不容易說明的場景，像是風格、姿勢、構圖，以及人臉套用等。</p> <p>換言之，透過以「圖」生圖、以「文字+圖片」生圖，將提供用戶更多元與AI溝通的模式，而其目標就是提升使用者體驗和AI創作的精準度</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3A）訊連科技精準AI生圖應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963A%EF%BC%89%E8%A8%8A%E9%80%A3%E7%A7%91%E6%8A%80%E7%B2%BE%E6%BA%96AI%E7%94%9F%E5%9C%96%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3B）訊連科技精準AI生圖應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963B%EF%BC%89%E8%A8%8A%E9%80%A3%E7%A7%91%E6%8A%80%E7%B2%BE%E6%BA%96AI%E7%94%9F%E5%9C%96%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>特別的是，還有一些重要新功能預計在今年10月之後陸續加入，例如以「圖+圖」生圖、以「文字+多張圖片」生圖，更讓人驚艷的是，林昭宏還透露未來的AI繪圖生成器將帶有局部控制能力，有如融合物件特性一般，生成圖片將可透過物件形式調整位置、數量、大小、顏色同時再生成，這將讓AI生圖更具實用性。</p> <p>綜觀上述這些進階的精準AI生成能力，目前訊連科技確定將提供於MyEdit網站服務，也就是需要藉助雲端運算資源來完成，用戶若要使用這些新功能，將需要獲得免費點數或購買點數後，才能使用。</p> <p>不過，由於訊連科技這次喊出全產品邁入Gen AI 2.0的全新世代，因此，這些更進階的生成式AI應用，是否下放到訊連電腦版軟體之中，或是提供讓AI PC本身資源就能運算執行的選項，值得後續關注。</p> <p> </p> </div></div></div>
2024/9/22 18:28作者羅正漢https://www.ithome.com.tw/news/165101
OpenAI o1預覽版推向企業、教育用戶，一周上限50則訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://help.openai.com/en/articles/9855712-openai-o1-models-faq-chatgpt-enterprise-and-edu" target="_blank">宣布</a>最新能複雜思考的AI模型OpenAI o1、o1-mini，將推向企業與教育用戶，OpenAI o1預覽版供用戶一周最多輸入50則訊息。</p> <p>上周<a href="https://www.ithome.com.tw/news/165026" target="_blank">公布</a>預覽版的OpenAI o1家族是一組有進階理解力的模型，比之前模型能理解更複雜的任務，解決更困難的問題，特別是科學、程式和數學領域方面的難題。它在回答用戶問題之前會先思考，產生內部思維鏈才給出答案。除了o1外，OpenAI同時也<a href="https://x.com/OpenAI/status/1834278222558888201" target="_blank">公布</a>了擅長理工科學（STEM）領域，尤其是程式和數學的模型OpenAI o1-mini。。</p> <p>o1和o1-mini上周推出時都是先以預覽版部署到ChatGPT Plus和Team方案用戶，也以API部署給tier 5的開發人員。本周稍早，OpenAI將這二個先進模型進一步提供給Enterprise及Edu版用戶。</p> <p>OpenAI說明，雖然GPT-4o目前仍是大多數提示的最佳模型選擇，但o1系列對處理困難、問題解決導向的任務，像是研究、策略、寫程式、數學和科學很有幫助。</p> <p>不過OpenAI o1比其他模型耗運算資源，初期只能限量供應。一開始，每個ChatGPT Enterprise或GPT用戶可使用o1-preview一周上限50次，而o1-mini則是一天上限50次。經由API的話，o1-preview版為每分鐘500次呼叫，o1-mini則為每分鐘1,000次呼叫。</p> <p>用戶使用抵達上限時會接到用罄使用上限的通知，並顯示重設使用的日期。期間用戶無法使用o1-preview、o1-mini模型。使用上限是在個別用戶層級實施，因此OpenAI未提供儀表板或監控工具顯示已使用次數。不過Enterprise和Edu版用戶即使超過上限也不會受罰，只是暫時無法使用，直到屆滿一星期當日重設。</p> </div></div></div>
2024/9/21 23:40作者林妍溱https://www.ithome.com.tw/news/165103
高通洽談收購英特爾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CNBC<a href="https://www.cnbc.com/2024/09/20/qualcomm-reportedly-approached-intel-about-takeover.html" target="_blank">報導</a>，高通已找上晶片大廠英特爾洽談收購事宜。</p> <p>華爾街日報（WSJ）上周首先<a href="https://www.wsj.com/business/deals/qualcomm-approached-intel-about-a-takeover-in-recent-days-fa114f9d?st=i5zay9xbq899g24&amp;reflink=article_copyURL_share" target="_blank">報導</a>這項消息。CNBC則獲得消息人士證實此事。</p> <p>不過英特爾方面是否接受洽談，以及高通提出的收購條件為何皆不得而知。。如果雙方真的展開交易，將是科技史上最大合併案。目前英特爾市值超過900億美元，這樁收購也會引來主管機關的關切。WSJ指出，高通可能只收購一部份英特爾業務，以取得主管機關許可。</p> <p>英特爾及高通皆未評論此事。</p> <p>英特爾曾是世界上最大晶片供應商，在PC和伺服器晶片都擁有絕大市占。然而英特爾近年遭遇晶片生產製程落後，以及未能抓住AI與雲端、行動運算需求，以致市占流失給包括AMD、Arm架構業者以及GPU出身的Nvidia。和2021年疫情高峰相較，英特爾的股價從68美元跌到約19美元。</p> <p>高通積極發展Snapdragon PC處理器，但市占率不高，若取得英特爾業務，將可擴大高通的研發實力和通路關係，擴展終端市場。該公司<a href="https://www.digitimes.com/news/a20240605PD205/qualcomm-ai-pc-arm-computex-2024.html" target="_blank">相信</a>Arm處理器未來五年可拿下50% Windows PC市場。</p> <p>因應虧損及銷售下滑，英特爾<a href="https://www.ithome.com.tw/news/164272" target="_blank">宣布</a>裁員15%，並且<a href="https://www.ithome.com.tw/news/165051" target="_blank">計畫</a>獨立晶圓代工部門，此外，也可能再出售已分拆的自駕車晶片部門<a href="https://www.ithome.com.tw/news/164907" target="_blank">Mobileye</a>持股。</p> </div></div></div>
2024/9/22 00:03作者林妍溱https://www.ithome.com.tw/news/165104
Swift 6強化並行處理資料競爭安全性，新增嵌入式支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.swift.org/blog/announcing-swift-6/">Swift 6</a>正式發布帶來許多重要更新，強化並行處理中的資料競爭安全檢查，並擴展了與C++的互通性，包括加入唯動型別（Move-Only Types）、虛擬方法，並且對更多標準函式庫提供支援。此外，Swift 6引入嵌入式Swift，讓Swift也能用於微控制器等資源受限環境，而加入128位元整數型別，更進一步提升低階程式設計能力。</p> <p>Swift 6在並行處理方面有許多改進，加強了資料競爭的安全性。新的可選語言模式能夠偵測並行程式碼中的潛在資料競爭，並將這些問題直接視為編譯錯誤，讓開發者可以在開發過程中提早發現並解決這些問題。</p> <p>該更新不只強化了程式的可靠性，還大幅降低資料競爭的不穩定行為，這對於編寫多執行緒程式碼的開發者來說尤其重要。同時，Swift 6也添加了新的同步函式庫，支援低階並行API，像是最小操作（Atomic Operation）和互斥鎖（Mutex），進一步提升並行程式碼的效能和安全性。</p> <p>Apple持續強化Swift與C++的互通性，讓開發者可以更簡單地在Swift中使用C++型別和函式。這次更新加入了對C++唯動型別（Move-Only Types）、虛擬方法和預設參數的支援，並增加對std::map和std::optional等C++標準函式庫的相容性。Swift 6也允許沒有複製建構子的C++型別作為不可複製型別（~Copyable），以進一步最佳化效能。</p> <p>這些改進擴展了Swift與C++間的整合，尤其是對需要同時使用兩種語言的開發專案，更好的互通性將帶來更高的開發效率和靈活性。</p> <p>Swift 6的型別化錯誤拋出（Typed throws），讓開發者可以在函式中明確指定會拋出的錯誤類型，而這個功能讓錯誤處理變得更具預測性和安全性。當開發者編寫泛型程式碼時，由於可掌握錯誤類型的精確性，因此能夠簡化錯誤處理邏輯，使得錯誤處理過程不易出錯，並讓程式效能更好，有助於Swift程式在嵌入式系統中運作。</p> <p>嵌入式Swift是Swift 6的一大亮點，而這是Apple專為嵌入式系統設計的語言子集，適合微控制器等資源受限環境。嵌入式Swift支援Arm和RISC-V裸機目標，仰賴泛型特化技術生成輕量且獨立的二進位檔案。這些輕量二進位檔案不仰賴執行期或是型別後設資料，除了能在記憶體資源嚴重受限的嵌入式平臺上運作，還能在執行期相依項目有限的低階環境中執行。目前，這項功能仍處於實驗階段。</p> </div></div></div>
2024/9/21 22:45作者李建興https://www.ithome.com.tw/news/165100
Oculus創始人和微軟合作改造美軍用VR頭盔，但HoloLens品牌消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VR頭戴裝置製造公司Oculus創始人Palmer Lockey上周<a href="https://www.anduril.com/article/anduril-microsoft-army-ivas/" target="_blank">宣布</a>和微軟合作，改良美國陸軍配戴的VR頭戴式裝置。有趣的是，已經不見HoloLens品牌。</p> <p>這項合作將結合Lockey現任公司Anduril的VR裝置作業系統Lattice和其系統整合能力，以及以微軟HoloLens為主體的美軍整合式視覺擴增系統（Integrated Visual Augmentation System，IVAS）。</p> <p>Lockey 2012年創立的Oculus以推出VR裝置名聲大噪，該公司2014年被祖克柏（Mark Zuckerberg）收購。但Lockey 2016年因政治爭議被迫離開。Aundril為Lockey 2017年和其他人共同創立的國防設備供應商，今年5月獲得美軍無人戰鬥機的合約。8月再募得資金，公司市值達140億美元。</p> <p>Anduril表示已經成功將Lattice軟體整合到微軟的IVAS軟硬體平臺，讓美國阿兵哥即時察覺威脅。結合Lattice軟體、IVAS平臺及其他第三方技術如感測器，可讓配戴IVAS的美國士兵在有敵軍飛機逼近時迅速獲得警告，提升在嚴峻戰場上的存活機率。</p> <p>這樁合作是微軟2021年拿下美軍219億美元的合約一部份。這合約下，微軟將在10年內提供美軍12萬個AR頭戴裝置。值得注意的是，微軟在公開聲明中，已經不再使用HoloLens這個品牌。微軟混合實境部門高層指出，這項合作整合了現有和新的軟體與感測器，IVAS可為每個士兵提供戰場上完整視野，確保軍事行動的安全和有效性。</p> <p>這項消息可能再激起HoloLens品牌存續的猜測。HoloLens為基礎的IVAS因為造成士兵頭暈噁心、影像延遲、耗電問題，已迫使微軟<a href="https://www.ithome.com.tw/news/155175" target="_blank">多次修改</a>設計以維持和美國軍方的合約。去年負責VR頭戴裝置HoloLens的部門<a href="https://www.ithome.com.tw/news/163306" target="_blank">傳出改組</a>，令外界猜測微軟可能不會再推出HoloLens 3。</p> </div></div></div>
2024/9/21 23:09作者林妍溱https://www.ithome.com.tw/news/165102
採用AMD第四代EPYC處理器，思科UCS伺服器邁入M8世代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_ucs_c245_m8_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>縱觀思科UCS伺服器產品線，絕大多數款式的處理器採用英特爾提供的平臺，在專攻機架型伺服器的C系列，會額外提供AMD提供的平臺，以近期而言，在M5世代、M6世代都有這類機型的選擇，可惜在M7世代並未提供。</p> <p>到了今年，思科終於在M8世代再度推出搭配AMD平臺的伺服器產品。首先，在2月舉行的Cisco Live 2024 Amsterdam大會，他們發表2U、2路伺服器UCS C245 M8，採用AMD第四代EPYC處理器，最多提供256顆運算核心，安裝24支DDR5-4800記憶體、最多可設置6 TB，並且能容納28臺2.5吋傳統硬碟或固態硬碟（機箱前緣24臺，機箱背部4臺），而在I/O介面的部分，它可安裝4張PCIe 5.0的介面卡或8張PCIe 4.0的介面卡，最多可安裝8張GPU加速卡，也提供模組化mLOM與OCP 3.0兩用規格的網路介面插槽——可分別安裝Cisco UCS Virtual Interface Card（VIC），以及10GbE網路卡Intel X710。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco UCS M8-2024-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20UCS%20M8-2024-02.jpg" style="width: 600px;" /></a></p> <p>企業可透過這款伺服器大規模執行任何類型的工作負載，並且可支援廣泛的儲存與I/O密集型應用，像是大數據分析、資料庫、協同運作、虛擬化，以及AI/ML。</p> <p>思科也預告年中將推出兩款機型，一是機架式伺服器UCS C225 M8，另一款是模組化伺服器UCS X215c M8節點。到了6月初舉行的Cisco Live全球用戶大會，他們宣布這些產品推出，並揭露具體規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco UCS AMD M8 Launch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20UCS%20AMD%20M8%20Launch.jpg" style="width: 600px;" /></a></p> <p>以UCS C225 M8為例，是1U尺寸的1路伺服器，能搭配單顆AMD第四代EPYC處理器，安裝12支DDR5-4800記憶體、最多可設置3 TB，能容納10臺2.5吋傳統硬碟或固態硬碟，它可安裝2張PCIe 5.0的介面卡或3張PCIe 4.0的介面卡，最多可安裝3張GPU加速卡，同樣提供模組化mLOM與OCP 3.0兩用規格的網路介面插槽。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Announcing the Cisco UCS C225 M8 Rack Server-2024-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Announcing%20the%20Cisco%20UCS%20C225%20M8%20Rack%20Server-2024-06.jpg" style="width: 600px;" /></a>\</p> <p>UCS X215c M8是雙路伺服器節點，能搭配兩顆AMD第四代EPYC處理器，安裝24支DDR5-5600記憶體、最多可設置6 TB，能容納6臺2.5吋傳統硬碟或固態硬碟，它可安裝2張GPU加速卡，提供模組化mLOM規格的網路介面插槽。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UCS X215c M8 X-series overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UCS%20X215c%20M8%20X-series%20overview.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UCS X215c M8 2S Compute Node.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/UCS%20X215c%20M8%202S%20Compute%20Node.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，思科今年積極與GPU大廠Nvidia合作，頻頻釋出相關消息，最新推出的UCS C245 M8，會是企業開發與營運生成式AI應用的關鍵產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Announcing the Cisco UCS C245 M8 Rack Server-2024-06-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Announcing%20the%20Cisco%20UCS%20C245%20M8%20Rack%20Server-2024-06-.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD M8 Schedule.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20M8%20Schedule.png" style="width: 600px;" /></a></p> <p>例如，2月思科預告將推廣易於部署與管理的資料中心AI基礎架構，當時提到會在UCS M7世代的機架式伺服器與刀鋒伺服器，搭配最新推出的Nvidia資料中心GPU；6月思科宣布與Nvidia合作發展人工智慧叢集解決方案，名為Cisco Nexus HyperFabric，思科的UCS伺服器將扮演重要角色，因為當中將搭配Nvidia資料中心GPU，並且藉由通過Nvidia認證的伺服器系統（Nvidia-Certified Systems），支撐企業生成式AI工作負載；8月Nvidia推出開發NIM AI代理應用的藍圖（NIM Agent Blueprints），思科提供的Nvidia-Certified Systems伺服器，正是用於建置和部署NIM Agent Blueprints的IT基礎架構之一。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco GPU Acceleration Options-2024-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20GPU%20Acceleration%20Options-2024-06.jpg" style="width: 600px;" /></a></p> <p>而根據Nvidia公布的認證系統型錄來看，UCS C245 M8可搭配多款Nvidia資料中心GPU產品，涵蓋H100 PCI、L40、L40S、L4、A16。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Qualified System Catalog-Cisco C245 M8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Qualified%20System%20Catalog-Cisco%20C245%20M8.jpg" style="width: 600px;" /></a></p> <p>近期還有另一個與這款伺服器有關的資訊，那就是MLCommons在8月底公布的AI推論測試效能MLPerf Inference v4.1，裡面有兩筆記錄就是Cisco UCS C245 M8，搭配的資料中心GPU產品分別是H100 PCIe、L40S。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference v4_1-Cisco.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference%20v4_1-Cisco.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Cisco UCS C245 M8</strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：1或2顆AMD EPYC 9004系列<br /> ●記憶體：24個DDR5-4800插槽，最大可安裝至6 TB<br /> ●硬碟容量：前側可容納24臺2.5吋SAS/SATA/NVMe硬碟（最多可直連8臺NVMe固態硬碟），後側可選購安裝4臺2.5吋硬碟，機箱內部可安裝2臺M.2外形的SATA或NVMe固態硬碟<br /> ●擴充介面：8個PCIe 4.0或4個PCIe 5.0，可安裝mLOM或OCP 3.0外形網路卡、24-Gbps RAID控制器（支援SAS4與NVMe）<br /> ●電源供應器：1050/1200瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/21 01:43作者李宗翰https://www.ithome.com.tw/review/164902
活用雲地混合AI PC架構，訊連科技推出行銷內容製作軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著AI PC的時代來臨，多家筆電製造商也期望更多應用程式能善用新的技術，讓生成式AI應用不僅能透過雲端來完成，也可單靠個人電腦的運算資源來實現，在這波浪朝之下，近日臺灣有幾家軟體廠商響應這股風潮，先前我們曾介紹的資安防護大廠趨勢科技，就是一例，他們在今年Computex向全球展示AI PC的資安應用，8月底我們看到另一家多媒體影音軟體大廠訊連科技（CyberLink），也有這方面的突破，他們的最新力作是－－讓自家行銷廣告素材軟體Promeo的AI生成，可在電腦上以離線模式來無限次數執行，讓行銷人員也不用擔心未上市產品照有上傳外部雲端的風險。</p> <p><strong>切入AI PC應用新潮流，訊連行銷素材製作軟體可讓用戶以本機GPU、NPU來無限的自動AI生圖</strong></p> <p>自去年Intel喊出AI PC口號，訊連科技不只為了在國際市場力求突破，也看到許多品牌筆電業者在推動AI PC時，需要更多應用軟體加持的現況，如今訊連科技也不落人後，該公司總經理林昭宏表示：「雲地混合AI應用的時代已經到來」，他們已將自家AI商用行銷素材設計軟體Promeo進化為雲端、本機的雙棲AI應用。</p> <p>此舉不僅顯示出，臺廠在AI PC商用軟體的早期發展上，亦佔有一席之地，而我們也關注到，該公司另提出精準AI生圖的全新態勢，尤其是讓AI生圖能融入物件特性，因增加AI生圖實用性而受關注。</p> <p>在9月19日的訊連科技產品技術發表會中，提到兩個當前重要的AI技術潮流，值得企業關注與了解，同時訊連科技本身也已經在這麼做。</p> <p>首先，雲地混合AI應用已是現在進行式，訊連科技打造的商用行銷素材製作軟體Promeo產品，就是呼應這個技術潮流的重要成果之一，</p> <p>簡單來說，用戶只要匯入產品圖片，就可以快速去背並產生背景素材，而最新增加的AI Magic Designer功能，可以在匯入產品圖片、描述產品與關鍵字資訊後，就能生成大量廣告宣傳模版供挑選，並能自動對應不同社群平臺產生各比例的圖片；同時還有AI Cowriter功能，可幫助用戶改寫、總結或擴寫場景中現有的文案或文字。在這些AI工具的幫助之下，將能縮短行銷素材設計與文案發想的時間。</p> <p>相較於當前許多的生成式AI應用，需要仰賴雲端運算能力才能完成，現在訊連科技已針對AI PC提供使用彈性，可選用自身電腦本身的GPU或NPU來完成生成式AI的運算。</p> <p>例如，我們可以看出，在Promeo軟體介面的AI Magic Designer的運算來源選擇上，已經提供多種選擇彈性，若是用戶電腦採用的是Intle去年底推出的Meteor Lake系列處理器，將包括「雲端」、「AI PC」兩項選擇，若是用戶採用Intel在今年9月推出的新世代Core Ultra 200V系列處理器（代號Lunar Lake），選項將更為豐富，包括：雲端、AI PC（GPU）、AI PC（NPU）這3項選擇。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）訊連科技 Promeo雲地混合AI應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%A8%8A%E9%80%A3%E7%A7%91%E6%8A%80%20Promeo%E9%9B%B2%E5%9C%B0%E6%B7%B7%E5%90%88AI%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>在AI生圖所需時間上，現場展示以本機GPU模式運算時，約在10秒內即可完成，自動給出10多種設計模版。而根據訊連科技的測試數據顯示，在每張圖片生成執行時間上，使用200V處理器系列是1.7秒，比上一代（7.6秒）要快4.5倍，而在文字生成執行時間上，使用200V處理器系列是7.5秒，比上一代（9.8秒）快1.3倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%A8%8A%E9%80%A3%E7%A7%91%E6%8A%80Promeo%E9%9B%B2%E5%9C%B0%E6%B7%B7%E5%90%88AI%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>事實上，關於AI雲地混合應用的態勢，我們先前就注意到這樣的跡象，因為訊連科技在8月Intel商用vPro發表會上展示AI人臉模糊功能（自動人臉識別並套用模糊），當時就說明威力導演365這套軟體將會依據電腦是否為AI PC，而使用不同的運算資源。例如，若使用者電腦是AI PC或具有NPU，該功能背後將借助電腦本身的NPU來完成運算，反之則借助雲端運算資源來完成。</p> <p>對於不同AI、雲端與地端的AI應用發展，訊連科技總經理林昭宏進一步解釋，現在行銷創意軟體Promeo的AI Magic Designer能力，讓AI PC能在本機執行生成式AI，而先前的威力導演的AI人臉辨識與模糊，仍是基於傳統AI的應用。兩者的好處都是機敏圖像可以不用上傳到外部雲端，後者還將享受到生成式AI可無限在地端執行的好處。</p> <p> </p> </div></div></div>
2024/9/20 17:03作者羅正漢https://www.ithome.com.tw/news/165097
【資安日報】9月20日，中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對地理位置資訊伺服器GeoServer的重大層級漏洞CVE-2024-36401，自6月得到修補後，隔月便出現相關攻擊行動，並引起美國政府注意，將其列為已被利用的漏洞。</p> <p>半個月前資安業者Fortinet揭露相關漏洞利用攻擊的情況，推測駭客很有可能來自中國，本週另一家業者趨勢科技也公布調查結果印證這項推測，值得留意的是，他們看到的攻擊行動，發生在臺灣公部門。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165092"><strong style="font-size: 22px;">中國駭客Earth Baxia針對臺灣政府機關下手，藉由GeoServer已知漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig02-Earth-Baxia-Spear-Phishing-Exploits.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig02-Earth-Baxia-Spear-Phishing-Exploits.png" style="width: 300px; float: right;" /></a></p> <p>今年6月下旬地理位置資訊伺服器GeoServer修補重大層級漏洞CVE-2024-36401（CVSS風險評分為9.8），時隔不到一個月，美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動。先前通報漏洞的資安業者Fortinet，透露相關資安事故，並指出從事活動的攻擊者，同時運用中國駭客慣用的惡意程式SideWalk，本週有其他資安公司公布新的攻擊行動。</p> <p>根據趨勢科技昨天揭露的調查報告指出，名為Earth Baxia的駭客組織今年7月針對臺灣某個政府機關發動攻擊，駭客利用釣魚郵件及CVE-2024-36401取得初始入侵管道，而能在受害主機植入Cobalt Strike相關元件，當中使用後門程式EagleDoor。研究人員根據駭客使用的伺服器進行調查，發現大部分架設在阿里雲，或是位於香港，而且，駭客使用的部分惡意程式樣本先前曾從中國上傳至VirusTotal，再加上Cobalt Strike伺服器多數位於中國，因此他們推測這些APT駭客來自中國。</p> <p>究竟這些駭客的攻擊目標為何？研究人員根據他們取得的釣魚郵件、誘餌檔案等資料，認為主要目標似乎是臺灣、菲律賓、韓國、越南、泰國的政府機關、電信業者、能源產業。但後來他們發現，中國也是這些駭客下手的範圍，不過，研究人員無法確認當地有那些產業受害。</p> <p><a href="https://www.ithome.com.tw/news/165095"><strong style="font-size: 22px;">勒索軟體劫持資料無處放，竟把歪腦筋動到Azure儲存桶與資料複製工具</strong></a></p> <p>為了脅迫受害組織支付贖金，勒索軟體駭客往往會先竊取內部資料再進行檔案加密，但現在駭客更換外流資料的管道，引起研究人員的注意。</p> <p>一般來說，勒索軟體駭客原本用來外流受害組織資料的管道，最常見的是利用雲端檔案共享服務Mega提供的公用程式MEGASync，或是能公開取得的Rclone，但資安業者ModePUSH發現，變臉（BianLian）、Rhysida等多個勒索軟體駭客組織，越來越頻繁地利用Azure Storage Explorer、AzCopy，將竊得的資料送到Azure Blob儲存桶。</p> <p>為何這些駭客選擇濫用Azure Blob儲存桶？研究人員指出，主要原因在於Azure是許多企業採用的服務，因此相關流量不太可能會遭到防火牆或是資安系統攔截；再者，駭客在短時間內外流竊得資料的過程，藉由Azure的延展性，他們可以因應這些非結構化的大量資料。</p> <p><a href="https://www.ithome.com.tw/news/165096"><strong style="font-size: 22px;">駭客組織Vice Society鎖定美醫療產業，散布勒索軟體INC Ransom</strong></a></p> <p>從今年初開始勒索軟體INC Ransom攻擊事故接連傳出，先是今年1月全錄企業解決方案（XBS）美國分公司受害，接著3月底駭客聲稱從蘇格蘭國家健康服務（NHS）竊得3 TB資料，8月初有一起資安事故針對美國密西根州醫療照護體系McLaren而來，到了這個月，有研究人員提出警告，表明這群駭客的主要目標就是美國的醫療體系。</p> <p>本週微軟威脅情報團隊指出，利用此勒索軟體犯案的駭客組織，是被稱為Vanilla Tempest、DEV-0832的駭客組織Vice Society，他們看到美國醫療產業成為他們的攻擊目標。一旦Vice Society成功入侵受害組織的網路環境，就會部署後門程式Supper、遠端監控及管理工具AnyDesk，以及雲端檔案共享服務的Mega資料同步工具。接著，駭客就會透過遠端桌面連線（RDP）進行橫向移動，並運用WMI部署勒索軟體的有效酬載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/teamtnt/">駭客組織TeamTNT鎖定CentOS主機植入Rootkit</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/sambaspy-rat-targets-italian-users/113851/">義大利使用者遭巴西駭客鎖定，藉由釣魚郵件散布惡意程式SambaSpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/ransomhub-ransomware-group-kawasaki-europe-data-leak/">重機製造商Kawasaki歐洲分公司傳出遭駭，勒索軟體RansomHub聲稱竊得487 GB資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.huntress.com/blog/cracks-in-the-foundation-intrusions-of-foundation-accounting-software">營造業者採用的會計軟體遭到鎖定，駭客利用SQL Server漏洞取得管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165090"><strong style="font-size: 22px;">GitLab揭露CVSS滿分漏洞，若不盡快修補，恐被繞過SAML身分驗證</strong></a></p> <p>9月17日GitLab發布社群版（CE）及企業版（EE）的17.3.3、17.2.7、17.1.8、17.0.8、16.11.10版更新，當中修補CVSS風險程度達到滿分（10分）的漏洞CVE-2024-45409，這項漏洞能用於繞過SAML身分驗證機制，存在於Ruby SAML程式庫元件Ruby-SAML，攻擊者可在未經身分驗證的情況下，利用漏洞存取已由身分驗證提供者（IdP）簽署的SAML檔案，進而偽造SAML的回應。</p> <p>這項漏洞發生的原因，在於Ruby-SAML無法正確驗證SAML回應的簽章，影響1.13.0至1.16.0版，以及12.2版以下的Ruby-SAML。對此，GitLab在公告中指出，IT人員應套用上述新版，或是手動將相依元件進行更新：omniauth-saml升級為2.2.1版、ruby-saml升級為1.17.0版，就能緩解漏洞帶來的危險。</p> <p>究竟這項漏洞是否遭到利用？GitLab並未說明，但他們特別提及如何檢測漏洞遭到利用，以及GitLab系統是否遭到入侵的方法，這意味著可能有駭客著手嘗試利用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://confluence.atlassian.com/security/security-bulletin-september-17-2024-1431249025.html">Atlassian發布9月例行更新，修補會引發阻斷服務攻擊的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165093"><strong style="font-size: 22px;">Google強化瀏覽器密碼管理功能，讓使用者能跨平臺運用Passkey</strong></a></p> <p>Google周四（9月19日）宣布，即日起使用者將可透過安卓作業系統與Chrome中的Google Password Manager存放通行密鑰（Passkey），並同步到不同的平臺上使用，同時也新增了PIN碼保護通行密鑰。</p> <p>在此之前，使用者僅能將Passkey存放於安卓裝置內建的Google Password Manager，若要在其他裝置使用Passkey，必須透過安卓裝置掃描條碼取得相關授權。這次則是開放將Passkey存放於瀏覽器，目前相關功能已支援電腦版Chrome，ChromeOS則是在測試版階段。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165063"><strong>【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165045"><strong>【9月16日】數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍</strong></a></p> </div></div></div>
2024/9/20 17:08作者周峻佑https://www.ithome.com.tw/news/165098
駭客組織Vice Society鎖定美醫療產業，散布勒索軟體INC Ransom
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年初開始勒索軟體INC Ransom攻擊事故接連傳出，先是今年1月<a href="https://www.bleepingcomputer.com/news/security/xerox-says-subsidiary-xbs-us-breached-after-ransomware-gang-leaks-data/">全錄企業解決方案（XBS）美國分公司受害</a>，接著3月底<a href="https://www.bleepingcomputer.com/news/security/inc-ransom-threatens-to-leak-3tb-of-nhs-scotland-stolen-data/">駭客聲稱從蘇格蘭國家健康服務（NHS）竊得3 TB資料</a>，8月初有一起資安事故<a href="https://www.bleepingcomputer.com/news/security/mclaren-hospitals-disruption-linked-to-inc-ransomware-attack/">針對美國密西根州醫療照護體系McLaren而來</a>，到了這個月，有研究人員提出警告，表明這群駭客的主要目標就是美國的醫療體系。</p> <p>本週微軟威脅情報團隊指出，利用此勒索軟體犯案的駭客組織，<a href="https://x.com/MsftSecIntel/status/1836456406276342215">是被稱為Vanilla Tempest、DEV-0832的駭客組織Vice Society</a>，他們看到美國醫療產業成為他們的攻擊目標。關於受害組織的初期存取權限，Vice Society最初透過另一組人馬Storm-0494取得，而Storm-0494之所以能取得相關權限的方法，主要是因為使用惡意軟體Gootloader而得逞。</p> <p>一旦Vice Society成功入侵受害組織的網路環境，就會部署後門程式Supper、遠端監控及管理工具AnyDesk，以及雲端檔案共享服務的Mega資料同步工具。接著，駭客就會透過遠端桌面連線（RDP）進行橫向移動，並運用WMI部署勒索軟體的有效酬載。</p> </div></div></div>
2024/9/20 17:01作者周峻佑https://www.ithome.com.tw/news/165096
勒索軟體劫持大量資料無處放，竟把歪腦筋動到Azure雲端儲存桶與資料複製工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了脅迫受害組織支付贖金，勒索軟體駭客往往會先竊取內部資料再進行檔案加密，但現在駭客更換外流資料的管道，引起研究人員的注意。</p> <p>一般來說，勒索軟體駭客原本用來外流受害組織資料的管道，最常見的是利用雲端檔案共享服務Mega提供的公用程式MEGASync，或是能公開取得的Rclone，但資安業者ModePUSH發現，<a href="https://www.modepush.com/blog/highway-blobbery-data-theft-using-azure-storage-explorer">變臉（BianLian）、Rhysida等多個勒索軟體駭客組織</a>，越來越頻繁地利用Azure Storage Explorer、AzCopy，將竊得的資料送到Azure Blob儲存桶。</p> <p>研究人員指出，他們看到利用Azure Storage Explorer的資安事故，大部分是變臉所為，但也有Rhysida利用這項工具的情況。值得留意的是，雖然駭客主要是利用Windows版本的Azure Storage Explorer，但微軟也提供macOS、Linux版，意味著這種竊取資料手法也有機會用於其他平臺的電腦。</p> <p>值得一提的是，在實際的攻擊行動裡，駭客並非直接使用可執行檔，而是透過安裝的方式植入受害電腦，再者，為了讓安裝Azure Storage Explorer的過程順利，駭客還會事先裝好.NET 8相關元件，而這樣的行為，也成為防守方能夠識別相關勒索軟體攻擊行動的其中一種徵兆。</p> <p>為何這些駭客選擇濫用Azure Blob儲存桶？研究人員指出，主要原因在於Azure是許多企業採用的服務，因此相關流量不太可能會遭到防火牆或是資安系統攔截；再者，駭客在短時間內外流竊得資料的過程，藉由Azure的延展性，他們可以因應這些非結構化的大量資料。</p> <p>由於這些駭客在運用Azure Storage Explorer及AzCopy的過程裡，會留下相關作案痕跡，研究人員提供相關特徵，讓企業的資安人員能夠檢查是否遭到攻擊。</p> </div></div></div>
2024/9/20 15:40作者周峻佑https://www.ithome.com.tw/news/165095
中國駭客Earth Baxia針對臺灣政府機關下手，藉由GeoServer已知漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月下旬地理位置資訊伺服器GeoServer修補重大層級漏洞CVE-2024-36401（CVSS風險評分為9.8），時隔不到一個月，美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動。先前通報漏洞的資安業者Fortinet，<a href="https://www.ithome.com.tw/news/164930">透露相關資安事故</a>，並指出從事活動的攻擊者，同時運用中國駭客慣用的惡意程式SideWalk，本週有其他資安公司公布新的攻擊行動。</p> <p>根據趨勢科技昨天揭露的調查報告指出，<a href="https://www.trendmicro.com/en_us/research/24/i/earth-baxia-spear-phishing-and-geoserver-exploit.html">名為Earth Baxia的駭客組織今年7月針對臺灣某個政府機關發動攻擊</a>，駭客利用釣魚郵件及CVE-2024-36401取得初始入侵管道，而能在受害主機植入Cobalt Strike相關元件，當中使用後門程式EagleDoor。研究人員根據駭客使用的伺服器進行調查，發現大部分架設在阿里雲，或是位於香港，而且，駭客使用的部分惡意程式樣本先前曾從中國上傳至VirusTotal，再加上Cobalt Strike伺服器多數位於中國，因此他們推測這些APT駭客來自中國。</p> <p>究竟這些駭客的攻擊目標為何？研究人員根據他們取得的釣魚郵件、誘餌檔案等資料，認為主要目標似乎是臺灣、菲律賓、韓國、越南、泰國的政府機關、電信業者、能源產業。但後來他們發現，中國也是這些駭客下手的範圍，不過，研究人員無法確認當地有那些產業受害。</p> <p>研究人員特別提及駭客利用GeoServer漏洞的情況，駭客先是下達curl和scp於受害主機下載、部署Cobalt Strike相關元件，然後藉由CVE-2024-36401執行。他們將Cobalt Strike偽裝成Edge，並透過DLL側載手法解密、載入Shell Code，最終於記憶體內執行EagleDoor。</p> <p>特別的是，這個後門程式能運用4種管道向C2伺服器進行通訊，這些包含DNS、HTTP、TCP通訊協定，最後一種則是透過加密通訊軟體Telegram進行，而這些方法當中，前3種利用指定通訊協定的方式，目的是傳送受害電腦的系統狀態資訊，至於主要的後門功能，像是檔案的下載、更新、送出，以及傳訊，實際上是利用Telegram的機器人API來進行，從受害電腦收集、竊取機密資料，再利用curl外流。</p> <p>值得留意的是，這些駭客於8月初調整攻擊手法，開始使用釣魚郵件做為接觸受害組織的手段，這些郵件會挾帶名為Ripcoy的誘餌檔案，此為微軟管理主控臺的單元控制檔案類型（.MSC），一旦使用者開啟檔案，內嵌的VBScript便會利用GrimResource手法從公有雲下載誘餌PDF文件、.NET應用程式及組態檔案，從而載入Cobalt Strike元件進行後續攻擊。</p> </div></div></div>
2024/9/20 12:55作者周峻佑https://www.ithome.com.tw/news/165092
Amazon針對EC服務發表影片生成工具以及AI銷售助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周四（9/19）針對旗下電子商務平臺的賣家發表了多項AI工具，包括可用來生成廣告的<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-generative-ai-video-generator-advertisers" target="_blank">Video Generator</a>，以及可協助銷售的<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-project-amelia" target="_blank">Project Amelia</a>。</p> <p>Amazon一直試圖藉由人工智慧來提高用戶的生產力，去年發表的Image Generator只要利用產品圖片、產品描述與用戶評論，就能生成廣告圖片。而本周展開測試的Video Generator同樣只要利用產品圖片、賣點及功能描述，就能生成廣告影片；另外還有一個基於Image Generator的Live Image 功能，可用來生成動畫形式的短影片，不過，這兩項新功能目前都只支援美國市場。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Amazon%20Ads_Video%20generator-2.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p>根據動畫製作公司Wyzowl的調查，89%的消費者想要看到更多品牌影片，但企業卻說它們缺乏時間與成本來製作與執行影片行銷，Amazon期望Video Generator與Live Image 能夠降低企業製作動態廣告的門檻。</p> <p>Project Amelia則是針對Amazon站上的獨立賣家所設計的AI助理。主要功能包括可以回答賣家所提出的、有關Amazon Seller Central的各種問題；還能夠統整賣家的商品銷售資訊及流量，並與前一年的成績進行比較；亦支援開放式的問題，例如「還有300件商品在路上，但報告中沒看見，可以幫我查一下嗎？」接著Project Amelia就能提供個人化的指示，或是主動調查問題，聯繫供應商等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Amazon_selling%20assistant_Project%20Amelia.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon指出，對於獨立賣家來說，要管理一個成功的全球銷售業務可能需要應對許多複雜且具備挑戰性的領域，包括打造滿足買家需求的商品，遵守不同的法規與政策，推廣商品及品牌，預測銷售趨勢，以及監督供應鏈並確保適當的庫存水準等，Project Amelia將可讓賣家更輕鬆地管理與發展業務。</p> <p>其它Amazon針對電子商務賣家推出的AI工具還包括，只要輸入簡短描述及官網網址，或者是產品圖片，就能自動生成產品清單的AI工具；自動生成產品及品牌故事的A+ Content；以及可根據買家喜好所訂製的個人化產品介紹的AI工具。</p> </div></div></div>
2024/9/20 14:31作者陳曉莉https://www.ithome.com.tw/news/165094