iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

華為發表切割Android的HarmonyOS NEXT正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華為於本周三（10/23）<a href="https://www.huawei.com/cn/news/2024/10/harmonyos5" target="_blank">發表了</a>HarmonyOS NEXT正式版，同時宣布已開放HUAWEI Pura 70系列、HUAWEI Pocket 2系列，以及11吋的HUAWEI MatePad Pro平板電腦測試HarmonyOS NEXT。</p> <p>HarmonyOS NEXT是華為自製的原生作業系統，跟HarmonyOS最大的差異是它不再兼容Android，將完全與Android切割。</p> <p>華為表示，HarmonyOS NEXT採用全新的分散式軟總線，裝置之間只要靠近即可感知並連接；亦整合了AI，提供Harmony Intelligence服務；新版作業系統禁止9種不合理的權限，包括讀取應用程式列表及簡訊等，也針對包括相機、圖庫或通訊錄等7種使用場景推出安全存取機制；由於採用了自家的方舟引擎（MapleEngine），深度整合軟、硬體讓HarmonyOS NEXT的流暢度提升了30%，續航力增加56分鐘，執行時節省1.5GB的記憶體。</p> <p>Huawei Central<a href="https://www.huaweicentral.com/harmonyos-next-is-a-closed-operating-system-just-like-ios-developer/" target="_blank">指出</a>，如同蘋果的iOS，HarmonyOS NEXT是個封閉的作業系統，只適用於華為的裝置，無法支援其它品牌，此外，HarmonyOS NEXT已經不含任何來自美國的元件，不管是Linux、其它作業系統核心或程式語言。</p> <p>在HarmonyOS NEXT之前，華為裝置都是搭載仍相容於Android的HarmonyOS，華為常務董事余承東表示，目前的HarmonyOS含有1.1億行的程式碼，已有超過1.5萬款的HarmonyOS原生應用程式上架，採用HarmonyOS的裝置亦已突破10億個。</p> </div></div></div>
2024/10/24 14:38作者陳曉莉https://www.ithome.com.tw/news/165664
勒索軟體Cicada3301鎖定VMware虛擬化平臺、NAS設備而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般而言，勒索軟體的攻擊目標多半是Windows電腦，到了前幾年，陸續有駭客組織針對VMware虛擬化平臺ESXi開發Linux版勒索軟體，然而最近出現的新勒索軟體，更進一步做到可橫跨多個平臺運作，而引起研究人員的注意。</p> <p>資安業者Group-IB揭露從今年6月開始出沒的<a href="https://www.group-ib.com/blog/cicada3301/">新興勒索軟體Cicada3301</a>，3個月內已有30家企業組織遭受攻擊。特別的是，駭客以Rust打造勒索軟體，不只能在Windows、Linux電腦，以及VMware ESXi運作，罕見的是，網路儲存設備（NAS）、PowerPC架構的電腦，也無法倖免於難。</p> <p>這款勒索軟體採用ChaCha20及RSA演算法加密檔案，並具備其他同類作案工具的特質，包含同時使用多個處理器執行緒以加密檔案、能透過網路而在遠端運作，並能指定加密部分檔案、終止處理程序，以及在加密前清除磁碟區陰影複製服務備份、系統還原點、資源回收筒檔案。</p> <p>此外，該勒索軟體還能終止虛擬化平臺的運作，不僅能用於前述的VMware ESXi，還能對微軟Hyper-V出手，將虛擬機器（VM）關機。</p> <p>研究人員成功入侵該勒索軟體部分附屬組織並著手調查，指出經營者採取相當複雜的制度，駭客在RAMP駭客論壇尋找滲透測試員與初始管道掮客，必須通過小型面試才能成為附屬成員，而且，一旦成功收到贖金，成員將能獲得20%獎勵。附帶一提的是，他們嚴格禁止成員攻擊獨立國家國協（CIS）的企業組織。</p> <p>此批駭客攻擊的目標，大多集中在美國和英國，但義大利、丹麥、瑞士、阿拉伯聯合大公國（UAE），日本也出現事故；從企業組織的產業類型來看，攻擊者似乎較為偏好房仲業者、金融服務、製造業、專家服務。</p> </div></div></div>
2024/10/22 15:36作者周峻佑https://www.ithome.com.tw/news/165625
Nvidia開源Blackwell平臺、伺服器元件設計給OCP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上周2024 OCP全球高峰會（Global Summit）Nvidia<a href="https://developer.nvidia.com/blog/nvidia-contributes-nvidia-gb200-nvl72-designs-to-open-compute-project/" target="_blank">宣布</a>將AI機櫃系統GB200 NVL72機櫃，以及液冷式運算與交換器匣設計，開源給開源運算專案（Open Compute Project，OCP）。</p> <p>Nvidia很早就加入開源社群．如Linux基金會、Python軟體基金會及PyTorch基金會，也是OCP SAI（Switch Abstraction Interface，SAI）專案創始與治理董事會成員，同時也是SONIC（Software for Open Networking in the Cloud）的第二大貢獻者。Nvidia <a href="https://www.ithome.com.tw/news/145923" target="_blank">2021年</a>首度開源Triton推論伺服器，今年10月Nvidia則分別開源HGX H100基板及ConnectX-7乙太網路介面卡（NIC）頁獻給OCP，前者是雲端AI伺服器的業界標準，後者則是OCP網路介面卡（NIC）3.0的基礎設計。透過這次開源，將能讓社群開發人員開發以其GB200為基礎的OCP伺服器及應用。</p> <p>GB200 NVL72是Nvidia AI整櫃伺服器系統，支援最多36個Grace CPU和72個Blackwell GPU，每GPU連線速度為1.8TB/s。Nvidia指出，在GB200 NVL72之前，在HGX H200基板上單一NVLink domain最多只能連結8顆GPU，每GPU網速為900GB/s。GB200 NVL72的出現，讓兆級參數模型如GPT-MoE-1.8T的訓練和推論速度分別大幅提升了4倍和30倍</p> <p>Nvidia同時開源其設計的1RU小型運算及交換機匣（compute and switch tray），名為DC SCM（Data Center Secure Control Module），尺寸比現有業界標準小10%，還內建新式更小的匯流排連接器。運算匣部份則提供模組化外殼可適應不同I/O需求。改良的盲接液冷裝置及連接器</p> <p>因應開源計畫，Nvidia提供了和電源與液冷設備業者Vertiv共同開發的GB200 NV72參考設計，提供給雲端業者及資料中心開發人員。Nvidia宣稱該參考設計能節省最多50%的實作時間，還減少電源模組所占空間，提升冷卻效率。為了解決120KW的冷卻電耗，這參考設計包含了Nvidia分流閥（manifold fittings）、浮動盲插（floating blind mates）等液冷技術。</p> <p>除了Vertiv目前已有40多家資料中心基礎架構（data center infrastructure，DCI）已提供Blackwell為基礎的設計，包括鴻海、台達電、光寶、雲達、Schneider Electronic等，而OEM業者如HPE、Dell、美超微及臺灣廠商如雲達、華碩、技嘉、和碩、英業達、緯穎也都提供了Blackwell-based伺服器。</p> <p>Nvidia透過開源其設計，有助於擴大Blackwell伺服器採用客戶群，推升晶片銷量。不過，媒體<a href="https://www.ithome.com.tw/news/164286" target="_blank">報導</a>受產品瑕疵影響，原訂本季推出的Blackwell可能要延遲一季才能出貨，使供不應求問題雪上加霜。</p> </div></div></div>
2024/10/19 22:44作者林妍溱https://www.ithome.com.tw/news/165577
Blackwell GPU伺服器即將登場，輝達新型DGX系統打頭陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_dgx_b200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月GTC大會期間，<a href="https://www.ithome.com.tw/news/161831">Nvidia發表新一代GPU架構Blackwell</a>，也預告將推出B200 GPU與GB200 Grace Blackwell Superchip，搭載這些加速運算晶片的伺服器平臺HGX B200、<a href="https://www.ithome.com.tw/news/163407">GB200 NVL72</a>、AI整合應用設備系統DGX B200、DGX GB200，以及基於DGX B200或DGX GB200而成的整櫃型系統DGX SuperPOD。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia DGX timeline-20525.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20DGX%20timeline-20525.jpg" style="width: 600px;" /></a></p> <p>在這些產品當中，Nvidia率先在當時公布細部組態規格的是DGX B200，而在時隔7個月的此刻，執行長黃仁勳幾週前接受<a href="https://twitter.com/CNBC/status/1841590397983686916">美國CNBC電視臺專訪時表示，Blackwell已全面投入生產</a>，幾天後Nvidia將首批出爐的工程版DGX B200，送至近幾年引領全球生成式AI應用風潮的OpenAI公司辦公室，</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en"><a href="https://twitter.com/hashtag/NVIDIABlackwell?src=hash&ref_src=twsrc%5Etfw">#NVIDIABlackwell</a> has arrived. <a href="https://twitter.com/OpenAI?ref_src=twsrc%5Etfw">@OpenAI</a> , we’re excited to see what you can do with one of the first engineering builds of the <a href="https://twitter.com/hashtag/NVIDIADGX?src=hash&ref_src=twsrc%5Etfw">#NVIDIADGX</a> B200 system.</p> <p>Learn more about DGX B200 here: <a href="https://t.co/6oGaZuPkSV">https://t.co/6oGaZuPkSV</a> <a href="https://t.co/SGQstED295">https://t.co/SGQstED295</a> <a href="https://t.co/4kjHWukKb5">pic.twitter.com/4kjHWukKb5</a></p> <p>— NVIDIA (@nvidia) <a href="https://twitter.com/nvidia/status/1843709817430651197?ref_src=twsrc%5Etfw">October 8, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p>而在10月12日，根據科技媒體WccfTech的報導，他們發現伺服器與儲存設備供應商<a href="https://www.broadberry.com/xeon-scalable-processor-gen4-rackmount-servers/nvidia-dgx-b200">Broadberry Data Systems在網站列出DGX B200</a>，並公布起價為515,410.43美元（換算新台幣為1,660萬元）。從這些跡象來看，意味著DGX B200越來越接近正式上市的時刻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadberry Data Systems-DGX recent models.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadberry%20Data%20Systems-DGX%20recent%20models.jpg" style="width: 600px;" /></a></p> <p>回顧3月Nvidia發布的新聞稿與產品規格，當中初步揭露DGX B200的主要特色，例如，可針對AI模型的訓練、微調、推論，提供統一的AI超級運算平臺；搭配8個Nvidia Blackwell架構的GPU，以及2個英特爾第五代Xeon Scalable處理器；機箱採用第六代氣冷、傳統機架式外形設計，能廣泛運用在全球各種產業；用戶能以此組建DGX SuperPOD，並且成立卓越AI中心，可支撐大型開發團隊的工作需求，執行各式各樣的職務。</p> <p>6月初在2024台北國際電腦展的前夕，黃仁勳介紹Nvidia目前與未來多種軟硬體技術之餘，也向全世界展示DGX B200，以及預載8個GPU的基板HGX B200、HGX B100。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Blackwell HGX offering-2024-06-02-1-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Blackwell%20HGX%20offering-2024-06-02-1-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Blackwell HGX offering-2024-06-02-2-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Blackwell%20HGX%20offering-2024-06-02-2-web.jpg" style="width: 600px;" /></a></p> <p>而關於DGX B200的運算能力突破，綜合Nvidia在5月更新的這款產品技術規格，若用於FP4精度的AI推論處理，可提供144 Petaflops的效能，以大模型GPT-MoE-1.8T執行即時推論，吞吐量可達到前代產品DGX H100的15倍；若用於FP8精度的AI訓練，可提供72 Petaflops的效能，以大模型GPT-MoE-1.8T執行AI訓練，速度為DGX H100的3倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DGX H200-realtime throghput.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20H200-realtime%20throghput.png" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/DGX H200-training time.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20H200-training%20time.png" style="width: 298px;" /></a> </p> <p>就整臺系統的GPU記憶體總容量而言，DGX B200提供1.4 TB（1,440GB）的HBM3e，GPU記憶體總頻寬為64 TB/s。相較之下，現行的DGX H100，總共提供640 GB的HBM3，GPU記憶體總頻寬為26.8 TB/s，後續推出的DGX H200，提供1,128 GB的HBM3，GPU記憶體總頻寬為38.4 TB/s。</p> <p>關於I/O介面，DGX B200連接GPU之間的NVLink，屬於Nvidia發展的第五代技術，NVLink總頻寬為14.4 TB/s，同時，DGX B200也配備兩個第四代NVSwitch晶片；至於DGX H100與DGX H200連接GPU之間的NVLink，屬於第四代技術，NVLink總頻寬為7.2 TB/s，而且，這兩臺伺服器都配置4個第三代NVSwitch晶片。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia HGX B200-spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20HGX%20B200-spec.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia HGX H100-spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20HGX%20H100-spec.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia HGX H200-spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20HGX%20H200-spec.jpg" style="width: 298px;" /></a></p> <p>在對外連接的網路介面，DGX B200內建ConnectX-7網路卡與BlueField-3資料處理器，可支援400Gb/s乙太網路或InfiniBand網路技術的使用，並分別搭配該公司的<a href="https://www.ithome.com.tw/tags/nvidia-spectrum-x">Spectrum-X</a>，或Quantum-2、<a href="https://www.ithome.com.tw/review/163475">Quantum-X800</a>網路平臺。</p> <p>值得注意的是，導入Blackwell架構GPU，雖然帶來強勁的運算效能，但熱設計功耗（TDP）也隨之增加，根據Nvidia公布的Blackwell架構白皮書，與DGX B200同樣採用8顆GPU配置的HGX B200，TDP為1,000瓦，而從整臺伺服器系統的角度來看，DGX B200的最大耗電量為14.3千瓦，既有的DGX H100與DGX H200均為10.2千瓦。或許是因為需要具備更大散熱能力的關係，DGX B200的機箱外形為10U高度，目前的DGX H100與DGX H200採用8U機箱。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HGX B200-B100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HGX%20B200-B100.jpg" style="width: 400px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Nvidia DGX B200</strong></span><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：10U<br /> ●處理器：2顆56核心Intel Xeon Platinum 8570（第五代Xeon Scalable）<br /> ●記憶體：2 TB，可設置4 TB<br /> ●儲存：8臺2.5吋U.2 3.84 TB NVMe SSD（RAID 0），搭配2臺M.2 1.92 TB NVMe SSD<br /> ●GPU加速模組：8個Nvidia B200（HBM3e記憶體總容量1440 GB）<br /> ●網路介面：400Gb/s InfiniBand或Ethernet；4個OSFP埠，可連接2張ConnectX-7網卡；2張雙埠QSFP112規格BlueField-3 DPU；1個雙埠100GbE網卡<br /> ●軟體：Nvidia AI Enterprise軟體套件、Nvidia Base Command雲端管理平臺、Linux作業系統（DGX OS 或Ubuntu）<br /> ●最大耗電量：14,300瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/19 01:36作者李宗翰https://www.ithome.com.tw/review/165533
AWS容器工具Finch開始支援Linux作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布容器工具<a href="https://aws.amazon.com/tw/blogs/opensource/announcing-finch-on-linux-for-container-development/">Finch開始支援Linux</a>。Finch是一個開源命令列工具，讓開發者可以在多個作業系統中建構並執行Linux容器。Finch提供一致的跨平臺體驗，讓開發者無論在macOS、Windows還是Linux上，都能使用相同的工具和工作流程，另外，Finch這次還加入對Docker API的支援，方便開發者延續現有Docker容器工作流程。</p> <p>Finch是一個開源工具，<a href="https://www.ithome.com.tw/news/154450">在2022年的時候公開</a>，僅提供macOS客戶端安裝程式，供開發者在macOS本地端創建、執行容器，以及發布OCI容器映像檔。而在最新的版本Finch加入支援Linux，現在已經可以在包括macOS和Windows三大作業系統上無縫執行容器。</p> <p>Finch本身的優點在於簡化容器開發流程並統一工具鏈，藉由支援開發者常用的Linux作業系統，開發團隊便可以在不同的作業系統間，使用相同的工具和命令，進一步提升生產力，有助於改善團隊協作，減少花費在工具設定和測試的時間，更專注於核心工作上。</p> <p>這次AWS更新的最大重點，便是讓Finch可以直接在Linux上建置和執行容器映像檔，而不再需要虛擬化技術，這與Finch在macOS和Windows上的運作方式不同。由於macOS和Windows不基於Linux核心，無法直接提供容器運作所需要的核心功能。</p> <p>因此Finch在macOS和Windows需要使用中繼元件Lima提供虛擬化技術，透過macOS的QEMU或Virtualization Framework模擬Linux所需要的核心功能，而Windows則使用WSL2（Windows Subsystem for Linux 2）來提供類似的虛擬化支援，讓Windows用戶也可以執行Linux容器。</p> <p>在Linux上Finch提供原生支援，容器技術包括Docker和containerd可直接使用Linux核心功能。像是透過Namespaces隔離不同的系統資源，使每個容器獨立運作，以及使用Cgroups控制和限制容器的CPU、記憶體等資源。新版Finch與Finch Daemon整合，還提供了Docker API的部分功能，讓習慣Docker工作流程的開發者，能夠使用熟悉的命令和工具來管理容器。</p> <p>隨著Finch支援Linux，開發團隊在不同作業系統之間可以使用統一的流程和工具，這將提高跨平臺協作效率。AWS也表示，Finch Daemon的整合目前僅涵蓋Docker API的核心部分，他們會繼續與社群合作，擴展更多功能。</p> <p>Finch的Linux支援已透過RPM套件的形式提供，適用於Amazon Linux 2和Amazon Linux 2023，用戶只需從YUM軟體庫下載並安裝就可以開始使用。其他Linux發行版的用戶也可以從Finch官網，或是GitHub儲存庫取得安裝指引並開始試用。</p> </div></div></div>
2024/10/18 08:25作者李建興https://www.ithome.com.tw/news/165556
英特爾與AMD攜手推動x86架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）與AMD周二（10/15）<a href="https://www.amd.com/en/newsroom/press-releases/2024-10-15-intel-and-amd-form-x86-ecosystem-advisory-group-to-accelerate.html" target="_blank">攜手成立</a>x86生態系統諮詢小組（x86 ecosystem advisory group），兩大處理器競爭對手將共同維持x86架構產業的穩定，推動架構的互通性，簡化軟體開發，以因應未來的處理器需求。</p> <p>x86架構是英特爾於1978年推出的處理器指令集架構，而英特爾與AMD所開發的處理器都使用該架構，目前x86不論是在個人電腦、伺服器或高效能運算領域都屬於主流架構，只是日益面臨各種挑戰，像是動態的AI任務，客製化晶片，3D封裝與系統架構的進步，以及Arm架構的入侵。</p> <p>除了英特爾與AMD之外，該小組的成員還包括Linux之父Linus Torvalds，Epic Games創辦人暨執行長Tim Sweeney，以及博通（Broadcom）、Dell、Google、HPE、HP、聯想、Meta、微軟、甲骨文及紅帽。</p> <p>英特爾執行長 Pat Gelsinger指出，人們正處於x86架構與其生態系統數十年來最大的轉折點，需要更高階的客製化、相容性及可擴充性，以滿足現在與未來的客戶需求。AMD執行長蘇姿丰則說，此一小組將確保x86繼續發展成為開發人員及客戶首選的運算平臺。</p> <p>博通執行長Hock Tan也認為人們正處於運算歷史的十字路口，如今的x86架構決策將會影響未來數十年的程式設計模型、框架與及系統。</p> <p>因此，此一x86生態系統諮詢小組將聯合產業的領導者，透過一套更統一的指令與架構介面來形塑x86的未來，並推動開發人員的創新。計畫強化x86產品之間的相容性、可預測性與一致性，因此，將向x86硬體與軟體社群徵詢基本功能與特色的技術意見，共同打造一致的x86架構功能與程式設計模型，並將它們擴展到所有領域，涵蓋資料中心、雲端、客戶端、邊緣及嵌入式裝置等。</p> <p>目標是強化軟體及硬體之間的相容性，並加速客戶自新功能中受益的能力；簡化架構指南以提升軟體的一致性，並標準化英特爾與AMD之x86產品的介面；讓新功能得以更廣泛也更有效率地整合到作業系統、框架及應用程式中。</p> </div></div></div>
2024/10/16 14:00作者陳曉莉https://www.ithome.com.tw/news/165517
【資安日報】10月15日，北韓駭客針對支付處理系統散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國曾在2018、2020年警告北韓駭客利用名為FASTCash的惡意軟體，針對金融機構支付相關系統下手的情況，事隔4年，這些駭客擴大攻擊範圍，對於更多型態的支付系統開發專屬的FASTCash。</p> <p>值得留意的是，這次他們鎖定的目標，是執行特定版本Ubuntu的支付處理系統，相當具有針對性。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165497"><strong style="font-size: 22px;">北韓駭客散布惡意軟體FASTCash，意圖洗劫提款機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FASTCash-26.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/FASTCash-26.png" style="width: 300px; float: right;" /></a></p> <p>專門針對金融機構支付相關系統的惡意程式FASTCash，北韓駭客將其用於攻擊行動的情況陸續引起美國政府關注，如今有研究人員發現駭客擴大了攻擊範圍，開發新的惡意程式變種。</p> <p>資安研究員HaxRob揭露最新一波的攻擊行動，駭客使用的惡意程式在去年6月上傳到惡意程式分析平臺VirusTotal，為專門針對Ubuntu 22.04 LTS版打造的Linux惡意軟體，研究人員特別提及，該變種程式與過往出現的Windows版及AIX版本存在高度相似之處。</p> <p>攻擊如何進行？駭客主要是針對持卡人帳號餘額不足被拒絕交易的情況而來，竄改其結果為「核可」，一旦攻擊者成功操縱相關訊息，並傳回銀行的中央系統，持有提款卡的車手就有機會從ATM領到錢。</p> <p><a href="https://www.ithome.com.tw/news/165503"><strong style="font-size: 22px;">寶可夢電玩遊戲開發商證實遭遇資料外洩事故</strong></a></p> <p>上週有人在社群網站X、Reddit、Discord，以及資料外洩網站宣稱，他們竊得正在開發的新寶可夢遊戲的原始碼及相關檔案，後來遊戲開發公司證實，確實出現資料外洩的情況。</p> <p>專門為任天堂開發寶可夢電玩遊戲的業者Game Freak於10月10日公告，坦承公司現任員工、離職員工、承包商的個人資料遭竊。他們在今年8月察覺伺服器遭到未經授權的第三方存取的現象，洩漏的資料包含姓名及公司電子郵件信箱，筆數為2,606筆。該公司將進一步聯絡所有受到影響的人士，並在網站上公告此事。</p> <p>不過，針對正在開發的遊戲資料是否外洩，Game Freak並未進一步說明。資安新聞網站Bleeping Computer指出，根據這份公告，玩家的資料不在這起事故影響的範圍之內。</p> <p><a href="https://www.ithome.com.tw/news/165506"><strong style="font-size: 22px;">國家級駭客利用Ivanti CSA漏洞進行網路滲透</strong></a></p> <p>一週前資安業者Ivanti發布資安公告，指出旗下雲端服務應用平臺Cloud Services Appliance（CSA）存在3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已有部分用戶系統遭遇漏洞濫用活動，如今有研究人員指出，有國家級駭客正在利用這些漏洞從事攻擊行動。</p> <p>資安業者Fortinet指出，9月9日他們在客戶的環境偵測到漏洞利用攻擊行動，進一步調查發現，攻擊者利用了已知的命令注入漏洞CVE-2024-8190，以及當時尚未公開的路徑穿越漏洞CVE-2024-8963、命令注入漏洞CVE-2024-9380。值得留意的是，隔日Ivanti對於CVE-2024-8190發布資安公告，駭客竟是對其進行修補，這麼做的目的，就是為了避免受到其他人馬及資安人員的干擾。</p> <p><a href="https://www.ithome.com.tw/news/165487"><strong style="font-size: 22px;">兆勤警告防火牆設備遭到鎖定，攻擊者利用已知漏洞建立SSL VPN通道</strong></a></p> <p>上週兆勤（Zyxel Networks）針對旗下USG Flex、ATP系列防火牆用戶提出警告，指出他們在歐洲、中東、非洲地區（EMEA）的團隊發現鎖定該廠牌資安設備的攻擊行動，駭客針對特定的漏洞而來，呼籲用戶要採取相關行動因應。</p> <p>根據他們的調查，攻擊者藉由漏洞竊得有效的帳密資料，並能為臨時使用者建立SSL VPN通道，而且，還會竄改防火牆的資安政策，並藉此控制防火牆、存取網路環境。該公司提及，攻擊者使用的臨時使用者名稱包含了SUPPOR87、SUPPOR817，以及VPN。</p> <p>不過，對於駭客利用的漏洞，兆勤並未進一步說明細節。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/gmail-scam-alert-hackers-spoof-google-to-steal-credentials/">駭客冒充Google企圖竊取Gmail用戶帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/banking-trojan-trickmo-compromised-13000-devices-now-steals-device-unlock-patterns-and-pins/">金融木馬TrickMo入侵1.3萬臺裝置，企圖竊取螢幕解鎖資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/thousands-of-fortinet-devices-remain-exposed-to-rce-cve-2024-23113-vulnerability/">逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/github-enterprise-server-patches-critical-security-flaw-cve-2024-9487-cvss-9-5/">GitHub修補重大層級的SAML身分驗證繞過漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/github-enterprise-server-patches-critical-security-flaw-cve-2024-9487-cvss-9-5/">Splunk修補重大層級的RCE漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165496"><strong style="font-size: 22px;">FIDO聯盟發表新規範，推動憑證可攜</strong></a></p> <p>專門推動各種身分驗證標準、以減輕對密碼依賴的開放聯盟FIDO Alliance，周一（10月14日）發表新規範，包括憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF），以推動憑證的可攜，包括通行密鑰（Passkey）與其他憑證。</p> <p>此一草案是由1Password、蘋果、Bitwarden、Dashlane、Enpass、Google、微軟、NordPass、Okta、三星及SK Telecom等FIDO聯盟成員所組成的憑證供應商特別興趣小組（Credential Provider Special Interest Group）共同制定，意謂著它們都將加入憑證可攜的行列。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165452"><strong>【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165409"><strong>【10月9日】零信任之父第一手導讀零信任架構</strong></a></p> </div></div></div>
2024/10/15 19:47作者周峻佑https://www.ithome.com.tw/news/165511
國家級駭客利用Ivanti CSA漏洞進行網路滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前<a href="https://www.ithome.com.tw/news/165408">資安業者Ivanti發布資安公告</a>，指出旗下雲端服務應用平臺Cloud Services Appliance（CSA）存在3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已有部分用戶系統遭遇漏洞濫用活動，如今有研究人員指出，有國家級駭客正在利用這些漏洞從事攻擊行動。</p> <p>資安業者Fortinet指出，<a href="https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa">9月9日他們在客戶的環境偵測到漏洞利用攻擊行動</a>，進一步調查發現，攻擊者利用了已知的命令注入漏洞CVE-2024-8190，以及當時尚未公開的路徑穿越漏洞CVE-2024-8963、命令注入漏洞CVE-2024-9380。值得留意的是，隔日Ivanti對於CVE-2024-8190發布資安公告，駭客竟是對其進行修補，這麼做的目的，就是為了避免受到其他人馬及資安人員的干擾。</p> <p>等到駭客成功破壞CSA，也利用Ivanti後端微軟SQL資料庫的注入漏洞CVE-2024-29824，從而對受害組織部署的Ivanti Endpoint Manager（EPM）啟用xp_cmdshell處理程序，而能在SQL伺服器遠端執行程式碼。</p> <p>接著，這些駭客在SQL伺服器建立名為mssqlsvc的帳號，並關閉主機的防火牆功能，然後對受害組織網路環境進行偵察，並透過DNS隧道外流竊得的資料。</p> <p>研究人員發現，駭客也在CSA以Linux系統核心元件sysinitd.ko的名義，植入了rootkit程式，目的就是能持續於受害設備活動，就算IT人員將CSA恢復原廠設定，rootkit還是有機會留存下來。</p> </div></div></div>
2024/10/15 16:51作者周峻佑https://www.ithome.com.tw/news/165506
北韓駭客散布惡意軟體FASTCash，意圖洗劫提款機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對金融機構支付相關系統的惡意程式FASTCash，北韓駭客將其用於攻擊行動的情況陸續引起美國政府關注，如今有研究人員發現，駭客擴大了攻擊範圍，開發新的惡意程式變種。</p> <p>資安研究員HaxRob揭露<a href="https://doubleagent.net/fastcash-for-linux/">最新一波的攻擊行動</a>，駭客使用的惡意程式在去年6月上傳到惡意程式分析平臺VirusTotal，為專門針對Ubuntu 22.04 LTS版打造的Linux惡意軟體，研究人員特別提及，該變種程式與過往出現的Windows版及AIX版本存在高度相似之處。</p> <p>針對該惡意程式的來歷，最早是美國網路安全暨基礎設施安全局（CISA）於2018年12月提出警告，指出使用該惡意程式的駭客為Hidden Cobra；後來，美國網路司令部於2020年也提出警告，當時犯案的駭客組織是Lazarus（APT38）。</p> <p>此Linux版惡意程式是以共用程式庫的形式實作而成，可注入既有系統以ptrace進行系統呼叫的處理程序，後續攔截與竄改交易訊息。</p> <p>支付交易伺服器主要的用途，是處理自動櫃員機（ATM）、收銀機（PoS）終端與銀行中央系統之間的通訊，若這類系統被植入FASTCash，會攔截、操縱支付卡及信用卡交易訊息。</p> <p>攻擊如何進行？駭客主要是針對持卡人帳號餘額不足被拒絕交易的情況而來，竄改其結果為「核可」，一旦攻擊者成功操縱相關訊息，並傳回銀行的中央系統，持有提款卡的車手就有機會從ATM領到錢。</p> <p>值得留意的是，研究人員發現的時候，尚未有防毒引擎將該Linux惡意程式視為有害，這意味著駭客犯案很可能不受資安防護系統牽制。同時，VirusTotal在今年9月也出現新的Windows版FASTCash，這代表駭客正在積極開發相關作案工具。</p> </div></div></div>
2024/10/15 15:32作者周峻佑https://www.ithome.com.tw/news/165497
Ubuntu屆滿20歲，發布Ubuntu 24.10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical在10月10日發布了<a href="https://ubuntu.com/blog/canonical-releases-ubuntu-24-10-oracular-oriole" target="_blank">Ubuntu 24.10</a>，宣告Ubuntu正式邁入20歲。Canonical是利用年份及月份來命名Ubuntu，第一個版本是在2004年10月發表的Ubuntu 4.10，因此Ubuntu 24.10就是它的20歲版本。</p> <p>Ubuntu是個基於Debian的開源Linux作業系統，自2004年首次發表以來，很快便成為全球最受歡迎的Linux發行版。它每半年會有一個臨時版（Interim release），提供9個月的支援，每兩年會有一個長期支援版，提供5年的支援，其長期支援版的編號如20.04、22.04或24.04，Ubuntu 24.10則屬於臨時版。</p> <p>Ubuntu 24.10支援最新的Linux 6.11核心，搭載最新的GNOME 47桌面環境，整合了Valkey，強化安全性，同時加入了20周年的紀念元素。</p> <p>過去Canonical通常會使用相對穩定的Linux核心，但從Ubuntu 24.10開始，Canonical決定採用最新的Linux核心，這是一個重大的政策轉變，同時也意味著Ubuntu將可取得最新的Linux功能，也能支援更多的新硬體。GNOME 47除了改善使用者體驗之外，亦強化了效能及穩定性。</p> <p>此外，Ubuntu 24.10是首個預設包含OpenVEX及OSV格式漏洞報告的臨時版本，藉由採用開放標準來降低管理漏洞的複雜度。開源漏洞專案（Open Source Vulnerabilities，OSV）成員暨Google資深軟體工程師Oliver Chang表示，管理開源依賴項的已知漏洞非常困難，Canonical採用了OSV標準將替眾多開源專案簡化此一流程。</p> <p>Ubuntu 24.10也整合了高效能的鍵值資料儲存系統Valkey，可支援快取、訊息佇列及排行榜等任務，可作為獨立伺服器，也能於叢集中運作，已向後移植至Ubuntu 24.04 LTS，也會包含在未來的Ubuntu版本中。</p> <p>而為了慶祝20歲生日，Ubuntu 24.10還提供特殊的斑棕色，周年紀念桌布，以及最原始的啟動聲音。</p> <p>根據市場調查機構Statcounter Global Stats的<a href="https://gs.statcounter.com/os-market-share/desktop/worldwide" target="_blank">調查</a>，桌面作業系統前兩名依序是Windows的73.31%與macOS的15.45%，而Linux則以4.5%排名第三，超越Google Chrome OS的2.25%。而Stack Overflow也<a href="https://survey.stackoverflow.co/2024/technology#1-operating-system" target="_blank">調查</a>了最受開發人員青睞的作業系統，前兩名一樣由Windows及macOS占據，但Ubuntu以27.7%排名第三，是最受市場歡迎的Linux發行版，Debian則以9.8%排名第七。</p> </div></div></div>
2024/10/14 11:32作者陳曉莉https://www.ithome.com.tw/news/165469
微軟逐步擴大公測Windows 11 24H2，加入Sudo for Windows，更新開始選單、移除WordPad…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周<a href="https://blogs.windows.com/windows-insider/2024/10/11/announcing-windows-11-insider-preview-build-26120-2122-dev-channel/" target="_blank">宣布</a>Windows 11下半年主要更新測試版24H2已透過Dev Channel頻道釋出給Insiders方案用戶，加入Sudo for Windows，更新了開始選單，並終於移除WordPad及Mixed Reality。</p> <p>透過Dev Channel的變更、功能更新或修補程式將分成二種方式釋出，一是部署給啟動Windows Update主動接收更新的Insiders測試用戶，二是釋出給Dev Channel的所有用戶。測試版釋出預告正式版即將釋出給一般PC用戶。</p> <p>剛釋出的更新版為Preview Build 26120.2122（KB5044374），包含新加入功能、功能更新，以及取消的功能。其中開始選單（Start menu）加入「建議」，即Microsoft Store推薦的應用程式，但這更偏向廣告式的推薦，用戶可以從設定中關閉。新的通知（Notification）功能允許用戶停止某些應用的通知關閉建議。點擊通知右上角的省略號（…）選單，或在「設定 > 系統 > 通知」中即可選擇關閉選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Windows%2011%20Insider%20Preview-%20recommended%20app%20on%20the%20Start%20menu.png" style="width: 600px;" /></p> <p>Sudo for Windows功能正式加入，讓用戶直接從Windows上未提升權限的主控臺工作階段以管理員身分執行提升權限命令的新方法，一如Linux和Mac的Sudo。但這功能預設關閉，用戶必須到「設定>開發人員」開啟。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Sudo%20for%20Windows.png" style="width: 600px;" /></p> <p>Wi-Fi連線對初次安裝Windows的用戶來說是很困擾的事，如果Windows未內建用戶Wi-Fi路由器的驅動程式。Windows 11 24H2允許用戶以USB隨身碟安裝Wi-Fi路由器的驅動程式來解決問題。但是用戶還是需要登入微軟帳號。</p> <p>更新版Windows 11加入的受保護的列印模式（protected print mode）中，Windows將預設支援通用驅動程式，逐步淘汰對第三方列印驅動程式的支援。微軟短期內不會終止對第三方列印驅動程式的支援，但是外部廠商遲早應支援Internet Printing Protocol（IPP）標準。</p> <p>Checkpoint cumulative updates是一項加快每次更新的新功能，它是為了解決全新更新（clean install）用戶或久久更新一次的PC每次冗長的更新困擾而設計。微軟將特定版號的Windows更新列為檢查點（checkpoint），用戶下次更新時，Windows會檢查這次更新和上個檢查點版本之間有變更的地方，沒變更的地方即無需下載。</p> <p>其他重要新增功能包括預覽Windows Sandbox用戶端App，Sandbox是一個輕量級虛擬化環境，讓用戶在VM中運行不受信任的應用程式。功能包含執行時剪貼簿重定向、聲音和影片輸入控制，以及執行時與主機共享資料夾的功能，還支援命令行。這些功能可以透過省略號（…）設定。虛擬硬碟（VHD/VHDx）功能新增卸載虛擬硬碟的按鈕。在VHD或VHDx的屬性（Properties）中即可找到本功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Windows%2011%20Insider%20Preview-Windows%20Sandbox.png" style="width: 600px;" /></p> <p>也有些東西要從24H2消失。首先，繼本月初<a href="https://www.theverge.com/2024/10/1/24259369/microsoft-hololens-2-discontinuation-support" target="_blank">宣布</a>終止支援HoloLens 2後，Windows 11 24H2也不再內建Mixed Reality。另外去年<a href="https://www.ithome.com.tw/news/158561" target="_blank">預告</a>淘汰的小作家（WordPad），微軟正式在24H2中移除。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/10/12 21:08作者林妍溱https://www.ithome.com.tw/news/165464
【資安日報】10月8日，美國水力關鍵基礎設施再傳遭遇網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年針對美國水力設施發動攻擊的情況不時傳出，例如：去年底<a href="https://www.ithome.com.tw/news/160133">伊朗駭客Cyber Av3ngers攻擊賓州阿里奎帕市水務局</a>，理由是該機構採用以色列自動化控制業者Unitronics的系統而成為目標；今年4月，<a href="https://www.ithome.com.tw/news/162507">德州小鎮供水系統傳出因遭到攻擊而失控</a>，資安業者Mandiant指出，很有可能是俄羅斯駭客Sandworm所為。這些事故多半針對地方供水系統而來，如今有橫跨14個州的業者American Water遭到網路攻擊而引起關注。</p> <p>值得留意的是，雖然該公司強調營運並未受到影響，但其網站至截稿為止並未恢復正常，實際影響有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165388"><strong style="font-size: 22px;">美國公用事業American Water傳出遭駭客入侵</strong></a></p> <p>專門供水及廢水處理服務的美國公用事業American Water Works（American Water）在10月3日發現遭到駭客入侵，宣稱其供水或廢水設施，或是營運都沒有收到影響，但迄今該公司網站與MyWater服務都尚未恢復正常。</p> <p>American Water在美國14個州提供服務，涉及1,700個社區與1,400萬名人口，擁有340萬個客戶，從住宅、商業、消防、工業、政府設施到廢水公用事業等，於美國紐約股市掛牌。American Water周一（7日）才於官網公布被駭消息，接著官網就關閉了，當天股價下滑3.91%，以136.99美元作收。</p> <p>根據American Water提交給美國證券交易委員會的文件，以及網際網路檔案館（Internet Archive）的存檔，該公司是在10月3日於電腦網路及系統中發現未經授權的活動，並確定是資安事故。</p> <p><a href="https://www.ithome.com.tw/news/165394"><strong style="font-size: 22px;">樂高網站遭入侵，駭客竄改內容從事加密貨幣詐騙</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/hacked-by-crypto-scammers-v0-ligqawktiusd1-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacked-by-crypto-scammers-v0-ligqawktiusd1-1.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，上週五（4日）有人入侵樂高網站，並置換其內容，聲稱樂高正式推出加密貨幣，若是及時下單還會有額外回饋。然而，這一切都是騙局，若是使用者依照指示下單，就會被帶往加密貨幣平臺Uniswap進行交易，使用以太坊購買「樂高貨幣」，然而樂高並未發行加密貨幣，因此這樣的情況很有可能導致用戶血本無歸。</p> <p>這起事故最早是社群網站Reddit樂高版版主mescad察覺並提出警告，他指出這起事故大約發生在10月4日美國東部時間（EDT）晚間9時，他們向該公司通報此事，網站直到10時15分網站才復原。mescad強調，樂高並未發行加密貨幣，這顯然是詐騙。</p> <p>對此，樂高也證實確有此事，有未經授權的橫幅廣告短暫出現在他們的網站，後來不久就遭到刪除。該公司強調，沒有使用者的帳號被盜用的跡象，他們也查明事故發生的原因，並採取相關措施防止再度發生。不過，究竟網站如何被置入詐騙廣告，樂高並未提出說明。</p> <p><a href="https://www.ithome.com.tw/news/165360"><strong style="font-size: 22px;">駭客偽裝成求職者散布後門程式More_eggs</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/MDR_More_eggs_Backdoor-Fig4.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露假借求職名義向企業散布JavaScript後門程式More_eggs的攻擊行動，在其中一起攻擊行動裡，駭客組織FIN6鎖定正在徵求銷售工程師的企業下手，但研究人員也發現有旅館業者受害的情況。</p> <p>駭客在8月下旬以John Cboins的名義，透過Gmail向目標企業高階主管寄送釣魚郵件，值得留意的是，這封信件並未包含附件或是URL，很有可能是為了得到主管的信任，隨後，進行徵才的主管，會因為目前尚無法查出的理由，利用Chrome瀏覽器連到一個網址下載履歷檔案John Cboins.zip。</p> <p>研究人員指出，在他們調查的過程裡，這個URL連向的網站看起來就像一般求職者架設，內容包含姓名、電子郵件信箱，以及履歷檔案的下載連結，特別的是，「履歷」必須通過圖靈驗證才能下載。</p> <p><a href="https://www.ithome.com.tw/news/165370"><strong style="font-size: 22px;">SQL Server遭鎖定，駭客得逞後運用遠端管理工具GotoHTTP進行控制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/9HtGwMLc4hspUuuSQK8jwc2zSMi1jFT1QdNfWPxc.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/9HtGwMLc4hspUuuSQK8jwc2zSMi1jFT1QdNfWPxc.png" style="width: 300px; float: right;" /></a></p> <p>鎖定微軟SQL Server伺服器下手的攻擊行動，不時有事故傳出，但過往多半會聚焦在攻擊者如何入侵這種關聯式資料庫，如今有研究人員發現，駭客對於後續如何持續存取受害主機的方法，也出現了變化。</p> <p>由於這種應用系統通常會架設在Windows伺服器，駭客在攻擊行動裡往往會濫用遠端管理工具進行後續活動，其中最常見的是AnyDesk、TeamViewer，但在近期資安業者AhnLab揭露的攻擊行動裡，駭客罕見地使用了GotoHTTP。</p> <p><a href="https://www.ithome.com.tw/news/165391"><strong style="font-size: 22px;">Unix列印套件CUPS漏洞可被用於發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/october-cups-ddos-threat-one.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/october-cups-ddos-threat-one.jpg" style="width: 300px; float: right;" /></a></p> <p>9月底資安研究員Simone Margaritelli揭露Unix通用列印系統（Common UNIX Printing System，CUPS）一系列漏洞CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177，並指出攻擊者有機會藉此遠端存取含有弱點的Unix及Linux系統，執行任意程式碼，如今有其他研究人員指出，這些漏洞還能被用於發動DDoS攻擊。</p> <p>資安業者Akamai指出，他們確認這些漏洞有新的利用方法，那就是只要發送單一的特製封包，攻擊者就有機會將存在漏洞、曝露在網際網路的CUPS系統用來發動DDoS攻擊。</p> <p>根據他們的調查，網際網路上有超過19.8萬臺裝置存在相關漏洞，其中有超過5.8萬臺能被用於DDoS攻擊，換言之，平均每三臺存在漏洞的裝置，就有一臺能被駭客拿來發動DDoS攻擊。這些有漏洞的CUPS系統，有不少仍在執行相當舊的版本，因此，資安威脅風險不容小覷。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://nsfocusglobal.com/over-300000-gorillabot-the-new-king-of-ddos-attacks/">殭屍網路Gorilla發動超過30萬次DDoS攻擊，範圍橫跨100個國家</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/stonefly-north-korea-extortion">北韓駭客Andariel針對美國企業組織發動勒索軟體攻擊</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv34x-privesc-rce-qE33TCms">已終止維護的思科小型企業路由器存在高風險漏洞，可被用於提升權限或遠端執行程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/critical-apache-avro-sdk-flaw-allows.html">Apache Avro軟體開發套件存在高風險漏洞，攻擊者有機會遠端於Java應用程式執行任意程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-scriptcase">Scriptcase低階程式碼開發平臺存在10分重大漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165358"><strong style="font-size: 22px;">幫使用者過濾釣魚網站，Google搜尋測試藍勾勾功能</strong></a></p> <p></p> <p>科技新聞網站The Verge發現，Google正在實驗可用來驗明正身的藍勾勾，在搜尋引擎結果中，包括微軟、蘋果、Meta、Epic Games、Amazon及HP的官網連結旁邊，都出現藍勾勾，可用來確認這些網站的身分，並協助使用者過濾網釣網站。</p> <p>Google在藍勾勾上說明，此一標記只是為了證實該企業是它所宣稱的企業，並不代為保證該企業或其產生的可靠性。而Google則向The Verge解釋，該公司是利用網站驗證、Merchant Center資料及人工審核等因素來辨別網站的真偽。</p> <p>值得留意的是，目前該服務僅為小規模部署的實驗，並不確定能否成為正式功能。</p> <p><a href="https://www.ithome.com.tw/news/165274"><strong style="font-size: 22px;">M365端點防護可偵測不安全的Wi-Fi網路，並提供VPN保護連線內容</strong></a></p> <p>微軟近日宣布，個人版Microsoft 365提供的資安防護服務Microsoft Defender for Individuals，現在已可偵測不安全或可疑的Wi-Fi網路，並提醒使用者，使用者則可在接到通知後，啟用VPN功能來保護連線。</p> <p>此功能可自動偵測不安全的W-Fi網路，像是那些安全機制較薄弱的公共Wi-Fi熱點，或能利用啟發式分析，來檢查可疑的Wi-Fi網路，如訊號強度、加密類型或是連線過程中有否不尋常行為，在偵測到奇怪網路時就會通知使用者，並建議他們啟用VPN。但值得留意的是，該公司提供的VPN服務Privacy Protection僅能在美國、英國、加拿大、德國、印度、法國使用，尚未對亞洲地區開放。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165334"><strong>【10月4日】假借提供AI脫衣程式為誘餌，駭客企圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> </div></div></div>
2024/10/8 17:26作者周峻佑https://www.ithome.com.tw/news/165396
Unix列印套件CUPS漏洞可被用於發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月底資安研究員Simone Margaritelli揭露<a href="https://www.ithome.com.tw/news/165257">Unix通用列印系統（Common UNIX Printing System，CUPS）一系列漏洞</a>CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177，並指出攻擊者有機會藉此遠端存取含有弱點的Unix及Linux系統，執行任意程式碼，如今有其他研究人員指出，這些漏洞還能被用於發動DDoS攻擊。</p> <p>資安業者Akamai指出，<a href="https://www.akamai.com/blog/security-research/october-cups-ddos-threat">他們確認這些漏洞有新的利用方法</a>，那就是只要發送單一的特製封包，攻擊者就有機會將存在漏洞、曝露在網際網路的CUPS系統用來發動DDoS攻擊。</p> <p>根據他們的調查，網際網路上有超過19.8萬臺裝置存在相關漏洞，其中有超過5.8萬臺能被用於DDoS攻擊，換言之，平均每三臺存在漏洞的裝置，就有一臺能被駭客拿來發動DDoS攻擊。這些有漏洞的CUPS系統，有不少仍在執行相當舊的版本，因此，資安威脅風險不容小覷。</p> <p>研究人員指出，雖然遠端執行程式碼造成的危害較為嚴重，但DDoS放大攻擊因為很容易操作，而有可能成為駭客廣泛利用的手法。</p> <p>究竟攻擊者如何利用這些CUPS漏洞發動DDoS攻擊？他們可向CUPS發送惡意的UDP封包，其中的惡意酬載指揮CUPS，能夠向指定目標傳送IPP或HTTP請求，當cups-browsed嘗試擷取URI下載IPP組態檔案的過程中，就會觸發漏洞。</p> <p>由於上述的組態檔案（PPD檔）攻擊者可隨意修改，研究人員發現他們可將有效酬載填充到989個位元組，攻擊者在HTTP標頭及導向受害系統的POST資料當中，執行2次填充作業。而在這種填充作業進行的過程中，攻擊者就有機會消耗受害網路環境頻寬，從而放大DDoS攻擊造成的影響。</p> <p>經過實際測試，其中部分CUPS伺服器收到請求後會重覆發送Beacon；也有一些會不斷回傳HTTP 404錯誤訊息。研究人員認為，這代表此漏洞利用的DDoS攻擊手法放大效應相當顯著。</p> <p>他們評估上述5.8萬臺裝置若發動DDoS，將可造成1至6 Gbps的攻擊流量，雖然這樣的規模並不算大，但仍會導致受害系統應接不暇的狀況，因為它們瞬間需處理約260萬個TCP連線及HTTP請求。</p> </div></div></div>
2024/10/8 15:49作者周峻佑https://www.ithome.com.tw/news/165391
【資安日報】10月7日，親俄駭客傳出再度發動DDoS攻擊，多家上市櫃公司網站受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>親俄駭客NoName057因總統賴清德接受媒體採訪的回答裡，提及中國政府一再主張的維護領土完整性，認為他們應該要奪回清朝簽訂璦琿條約而割讓俄羅斯的土地，而引起駭客不滿，已於9月發起一波DDoS攻擊行動，上週又有企業組織傳出受害，並於股市公開觀測站發布重大訊息。</p> <p>值得留意的是，這些駭客不光針對企業而來，他們這次的目標也涵蓋臺灣多個政府機關。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165356"><strong style="font-size: 22px;">台塑化、緯創、聯電與多個公家單位遭DDoS攻擊，親俄駭客對臺灣的政府與企業網站發動第二波攻勢</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7-fin7-update-click-free-download.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-07_124854.jpg" style="float: right; width: 300px;" /></a></p> <p>自9月上旬臺灣有多個政府機關與上市公司遭遇DDoS攻擊，10月第一個週末又發生新一波遭受攻擊的狀況，而且其中有知名高科技業與塑化大廠的網站遇襲。</p> <p>在10月5日到6日，台塑化、緯創、聯電這3家上市公司相繼發布重大訊息，說明遭遇DDoS攻擊的網路資安事件，並表示網站服務已經恢復正常運作。此外，10月4日週五下午，上櫃電腦及週邊設備業「青雲」也公布遭遇同類型的阻斷服務式（DoS）攻擊，並表示正在恢復系統中。</p> <p>由於上個月才有類似情況發生，這次攻擊可能仍是同一攻擊者所為，因為先前宣稱對臺發動DDoS攻擊的親俄駭客組織NoName057，這次仍十分囂張地在社群平臺X公布其攻擊活動，並宣稱夥同多個駭客組織一起行動。</p> <p><a href="https://www.ithome.com.tw/news/165347"><strong style="font-size: 22px;">網傳PChome疑似資料庫外洩，網路家庭澄清並無此事，研判用戶帳號盜用可能遭撞庫攻擊</strong></a></p> <p>10月5日下午有網友聲稱知名電商平臺PChome疑似備份的資料庫外洩，高儲值帳號遭鎖定被盜，這項消息引發眾多用戶的關注，並在多個社群平臺轉發此則訊息，想要了解是否真有如此狀況。網路家庭表示，此為不實謠言，並無資料庫外洩的情事，至於用戶帳號遭不明登入的情形，研判有不肖人士利用其他網站外流的用戶帳號密碼，嘗試登入PChome24購物網站。</p> <p>網路家庭表示，PChome 24h購物系統內並無儲存用戶的密碼，關於網路貼文提及用戶帳號遭不明登入的情形，經查後他們研判應為不肖人士在其他網站取得用戶email及密碼後，再利用這些密碼於PChome 24h購物網站來嘗試登入。</p> <p>對於有用戶帳號遭盜用的狀況，網路家庭表示，已在第一時間全面清查，針對疑似受影響的帳號進行強制登出，並通知用戶修改密碼，同時也建議用戶，應盡可能在不同的網站間、使用不同的密碼。</p> <p><a href="https://www.ithome.com.tw/news/165354"><strong style="font-size: 22px;">中國駭客Salt Typhoon入侵美國ISP業者，可能已滲透竊聽系統</strong></a></p> <p></p> <p>9月下旬華爾街日報（WSJ）取得知情人士的說法，中國駭客組織Salt Typhoon已入侵美國ISP業者，上周再揭露，美國電信業者AT&T、Verizon與Lumen皆已受駭，且駭客鎖定的可能是美國政府用來合法要求資料的竊聽系統。</p> <p>知情人士透露，Salt Typhoon企圖於美國ISP的基礎設施中建立據點，以進一步滲透系統，或是發動破壞性的網路攻擊，目前認為駭客的主要目標應是為了收集情報。</p> <p>根據報導，相關攻擊在最近幾周才被發現，美國政府及私人機構都在協助調查，亦正在研究思科系統是否遭駭。大量滲透到美國ISP業者基礎設施的駭客，可能已經存取美國政府在取得法院授權後，可向ISP業者請求資料的系統，而且時間可能長達數月或更久。</p> <p><a href="https://www.ithome.com.tw/news/165359"><strong style="font-size: 22px;">惡意程式Perfctl鎖定數百萬臺Linux伺服器而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Perfctl-Figure_1-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Perfctl-Figure_1-3.jpg" style="width: 300px; float: right;" /></a>雲端資安業者Aqua Security上周揭露專門鎖定Linux伺服器的惡意程式Perfctl，它會偵測伺服器上的逾2萬種錯誤配置，或者是利用應用程式RocketMQ的安全漏洞CVE-2023-33246來入侵，再利用CVE-2021-4043等漏洞來提高權限，企圖長駐於系統上，藉由這些受駭設備挖礦，或是執行代理伺服器劫持（Proxyjacking）軟體。</p> <p>Perfctl主要被用來執行如XMRIG等加密貨幣挖礦程式，某些情況也會執行代理劫持程式；它在內部以Unix Socket通訊，外部則採用TOR，以避免遭到偵測；並以Rootkit來隱藏自己的存在，或是將自己命名為常見的系統文件名稱。</p> <p><a href="https://www.ithome.com.tw/news/165365"><strong style="font-size: 22px;">駭客鎖定Adobe Commerce、Magento購物網站漏洞CosmicSting下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nationalgeographic_com_1727394454.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/nationalgeographic_com_1727394454.png" style="width: 300px; float: right;" /></a>今年6月Adobe修補電商網站平臺重大漏洞CVE-2024-34102（也被稱為CosmicSting），這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，一個月後美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動，最近有資安業者揭露受害規模。</p> <p>資安業者Sansec提出警告，他們自Adobe公布漏洞之後進行追蹤，迄今已發現至少有7個駭客組織將其用於攻擊行動，並入侵4,275個購物網站，相於有5%採用這種電子商務平臺的網站受害。</p> <p>為什麼這項漏洞的影響如此廣泛？研究人員指出，因為在7月8日駭客就已經發動自動化攻擊，並偷走數千個加密金鑰，但大多購物網站的管理者並未依循Adobe的最佳實務而更換金鑰，因此，即使購物平臺系統更新完成，這些遭竊的金鑰仍然有效，駭客還是可以在未經授權的情況下，利用這些金鑰竄改受害的購物網站。</p> <p><a href="https://www.ithome.com.tw/news/165362"><strong style="font-size: 22px;">資安業者Cloudflare揭露流量達到3.8 Tbps的DDoS攻擊事故</strong></a></p> <p></p> <p>提供網路安全及內容交付網路服務的Cloudflare指出，該公司在今年9月平息了每秒尖峰攻擊流量高達3.8 Tbps的分散式服務阻斷（DDoS）攻擊，締造了新紀錄。</p> <p>Cloudflare表示，這起針對該公司客戶的DDoS攻擊始於9月初，駭客鎖定第3層（網路層）及第4層（傳輸層）展開DDoS攻擊，Cloudflare的防禦系統在駭客持續展開攻擊的一個月內緩解了超過100次的超容量攻擊，許多攻擊規模每秒超過20億個封包，或者是每秒攻擊流量超過3 TB，尖峰攻擊流量甚至達到每秒3.8 TB，其攻擊頻率與規模前所未見。</p> <p>此活動鎖定的是金融服務、網路及電信業，企圖耗盡這些業者的資源與頻寬，駭客主要利用固定埠上的UDP協定，攻擊流量源自全球市場，大部分來自越南、俄羅斯、巴西、西班牙和美國。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/active-exploits-target-zimbra-collaboration-over-19k-systems-vulnerable-to-cve-2024-45519/">近2萬臺Zimbra郵件伺服器曝露於CVE-2024-45519的資安風險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.talosintelligence.com/threat-actor-believed-to-be-spreading-new-medusalocker-variant-since-2022/">勒索軟體MedusaLocker出現變種BabyLockerKZ，歐盟、南美國家皆出現受害組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/from-collaboration-to-deception-the-zoom-phishing-threat">Zoom文件共用功能遭到濫用，駭客企圖竊取用戶的微軟帳號</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165367"><strong style="font-size: 22px;">蘋果發布iPhone、iPad更新，修補VoiceOver可能洩露密碼的漏洞</strong></a></p> <p>10月3日蘋果發布iOS 18.0.1、iPadOS 18.0.1，總共修補2個資安漏洞，其中由研究人員Bistrit Daha通報的CVE-2024-44204特別引起注意，因為存在漏洞的裝置有可能藉由VoiceOver機制，大聲朗讀使用者的密碼。</p> <p>針對這項漏洞發生的原因，蘋果指出是因為密碼（Passwords）元件的驗證機制存在邏輯錯誤，影響iPhone XS、13吋iPad Pro、第3代12.9吋iPad Pro、11吋iPad Pro、第3代iPad Air、第7代iPad，以及第5代iPad mini與其後繼機種。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-47191-critical-flaw-in-oath-toolkit-pam-module-could-lead-to-root-exploits/">OATH Toolkit特權管理模組存在重大漏洞，恐導致攻擊者有機會藉由root進行存取</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/165317">2024資安法修法條文面面觀</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165334"><strong>【10月4日】假借提供AI脫衣程式為誘餌，駭客企圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> </div></div></div>
2024/10/7 17:14作者周峻佑https://www.ithome.com.tw/news/165372
駭客鎖定Adobe Commerce、Magento購物網站漏洞CosmicSting下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/163422">今年6月</a>Adobe修補電商網站平臺重大漏洞<a href="https://www.ithome.com.tw/tags/cve-2024-34102">CVE-2024-34102</a>（也被稱為CosmicSting），這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，一個月後<a href="https://www.ithome.com.tw/news/163422">美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動</a>，最近有資安業者揭露受害規模。</p> <p>資安業者Sansec提出警告，他們自Adobe公布漏洞之後<a href="https://www.ithome.com.tw/news/163623">進行追蹤</a>，<a href="https://sansec.io/research/cosmicsting-fallout">迄今已發現至少有7個駭客組織將其用於攻擊行動</a>，並入侵4,275個購物網站，相於有5%採用這種電子商務平臺的網站受害。</p> <p>為什麼這項漏洞的影響如此廣泛？研究人員指出，因為在7月8日駭客就已經發動自動化攻擊，並偷走數千個加密金鑰，但大多購物網站的管理者並未依循Adobe的最佳實務而更換金鑰，因此，即使購物平臺系統更新完成，這些遭竊的金鑰仍然有效，駭客還是可以在未經授權的情況下，利用這些金鑰竄改受害的購物網站。</p> <p>這些駭客發動大規模攻擊的手法相當雷同，他們都利用CosmicSting發動攻擊竊得加密金鑰，得手後用來產生API授權Token，從而存取客戶資料，並藉由CMS區塊（CMS blocks）在結帳流程植入付款資料側錄工具。</p> <p>這些從事攻擊行動的駭客組織，研究人員稱為：Group Bobry、Group Polyovki、Group Surki、Group Burunduki、Group Ondatry、Group Khomyaki、Group Belki。</p> <p>值得留意的是，Group Belki同時還會利用另一個漏洞CNEXT，而能進一步發動遠端執行程式碼（RCE）攻擊。此漏洞被登記為CVE-2024-2961列管，出現在Linux作業系統GNU C程式庫（glibc）的iconv功能當中。</p> <p>目前有哪些企業受害？根據Sansec的分析，包含許多知名企業，例如：雷朋眼鏡、國家地理頻道、思科、惠而浦，以及電動滑板車業者賽格威（Segway）。</p> </div></div></div>
2024/10/7 15:55作者周峻佑https://www.ithome.com.tw/news/165365
研究人員揭露鎖定數百萬臺Linux伺服器的惡意程式Perfctl
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資安業者Aqua Security上周<a href="https://www.aquasec.com/blog/perfctl-a-stealthy-malware-targeting-millions-of-linux-servers/" target="_blank">揭露</a>了一款專門鎖定Linux伺服器的惡意程式Perfctl，它會偵測公開伺服器上的逾2萬種錯誤配置，或者是利用應用程式RocketMQ的安全漏洞CVE-2023-33246來入侵Linux伺服器，再利用CVE-2021-4043等漏洞來提高權限，企圖長駐於系統上，藉由這些受駭設備來挖礦或是執行代理劫持軟體。</p> <p>分析顯示，當駭客成功入侵Linux伺服器之後，即可自遠端伺服器下載有效酬載，並於受駭系統上執行；接著在系統上刪除原始進程，修改用戶的環境配置文件，以在每次伺服器重新啟動後，惡意程式也能保持活躍；或是再利用其它應用程式的安全漏洞來提升權限。</p> <p>Perfctl主要被用來執行如XMRIG等加密貨幣挖礦程式，某些情況也會執行代理劫持程式；它在內部以Unix Socket通訊，外部則採用TOR，以避免遭到偵測；並以Rootkit來隱藏自己的存在，或是將自己命名為常見的系統文件名稱。</p> <p>研究人員指出，駭客至少從3年前就開始展開Perfctl惡意程式攻擊，而且鎖定的是全球的公開Linux伺服器，使用者應該監控可疑的系統行為，分析網路流量，監控檔案與進程的完整性，並應定期修補安全漏洞，限制檔案執行，關閉未使用的服務，部署嚴格的權限管理，隔離重要伺服器，以及部署運作時保護機制等。</p> </div></div></div>
2024/10/7 12:11作者陳曉莉https://www.ithome.com.tw/news/165359
【資安週報】0930~1004，《資安法》修正條文送交立法院已一讀通過，新修訂強化分層監督與管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月初這一週的新聞，以強颱來襲前即影響全臺最受關注，但資安新聞中也有不少重要消息需要我們重視。</p> <p>臺灣資安政策發展就是主要焦點之一。隨著7月行政院將《資安法》修正草案送交立法院，現階段已通過一讀，由於這是實施超過五年來的大修法，iThome本月封面故事特別進行最新現況報導，幫助大家掌握修法重點，例如，《資安法》修訂中最受關注的議題之一，莫過於「禁用危害國家資通安全產品」的條文，其他還包括擴大稽核範圍、資安人員的適任性查核等。另一方面，對於這次修法有法律專家提出建言，指出應要打破官民分治的架構，才能更好提升整體國家的資通安全管理能力。</p> <p>在資安威脅與事件方面，有兩起事件值得大家重視，一是Rackspace遭遇資安事故並說明發生原因，是因為內部使用的第三方平臺監控系統ScienceLogic EM7存在零時差漏洞所導致，由於ScienceLogic是臺灣的飛立德科技，其後續應對與回應值得追蹤與關注；另一事有駭客利用提供AI裸照生成器DeepNude的服務，當作吸引受害者上當的手段之一。</p> <p>●雲端運算平臺Rackspace內部系統遭駭，已通知其用戶可能資訊外洩，並指出問題出在他們使用的第三方應用程式ScienceLogic。<br /> ●資安業者有資安業者發現屬於俄羅斯駭客組織FIN7的大量網域，當中所屬7個網域是利用DeepNude來吸引與誘騙受害者。<br /> ●駭客組織Storm-0501最新一波攻擊行動鎖定美國多個政府部門與製造業，微軟公開其手法聚焦破壞混合雲環境的Entra ID。<br /> ●第一商業銀行公告第e個網遭受網路DDoS攻擊事件<br /> ●樂天信用卡遭駭客攻擊未緊急應變，金管會列6大缺失、罰250萬。</p> <p>在漏洞利用方面，本星期有6個漏洞利用狀況，一是企業級協同辦公套件Zimbra Collaboration Suite（ZCS）在9月初修補的重大漏洞CVE-2024-45519，資安業者Proofpoint在10月1日示警，指出自9月28日觀察到有駭客鎖定未修補用戶的攻擊活動，另一是Ivanti5月修補Ivanti Endpoint Manager的漏洞CVE-2024-29824 ，該公司近期更新公告，確認遭利用且有限數量的客戶已成為目標。</p> <p>另外4個近期確認有攻擊行動鎖定的老舊漏洞，則包括：D-Link DIR-820路由器的漏洞（CVE-2023-25280 ）、DrayTek多款Vigor Routers的漏洞（CVE-2020-15415）、Motion Spell的GPAC軟體的漏洞（CVE-2021-4043 ），以及SAP Commerce Cloud的漏洞（CVE-2019-0344）</p> <p>在資安漏洞修補與揭露方面，本星期這方面的報導相當多，最優先要注意的是Unix通用列印系統（CUPS）一系列漏洞的修補，因為這廣泛影響Linux及Unix作業系統。此外，還有多家業者的產品安全公告發布，包括：居易、HPE Aruba、WatchGuard、Progress的WhatsUp Gold等，特別的是，在TWCERT/CC的台灣漏洞揭露平台（TVN）上，新公開了普萊德科技旗下交換器大量漏洞，而普萊德也已針對市售機種發布新版韌體修補。</p> <p>在車用資安方面的消息，更是引發不少人憂心，因為汽車大廠Kia網站被發現有漏洞可讓攻擊者駭入並控制車子，2013年以後車款都受影響，所幸知名白帽駭客Sam Curry先發現這樣的問題，Kia也已在接獲通報後於8月修補。</p> <p>其他還有雲端、BMC基版的漏洞消息，需要不同產業的關切。例如，Nvidia Container Toolkit的漏洞（CVE-2024-0132）修補，由於全球有3成雲端環境都安裝有該函式庫，研究人員呼籲儘速因應；另一是7月Supermicro修補了由Nvidia通報的BMC重大漏洞（CVE-2024-36435），9月底資安業者Binarly揭露更多研究發現，強調這是今年最嚴重的BMC漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165259"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</span></strong></a></h3> <p>最近幾天有許多漏洞相關的消息揭露，其中有一起引起資安圈的高度關注，原因是透露此事的研究人員指出，漏洞的CVSS風險評分達到了9.9，而且，這樣的漏洞存在於Unix與Linux普遍內建的列印系統CUPS當中，可能有數十萬臺設備曝險。</p> <p>這樣的情況，一度有人認為可能會造成類似Log4Shell的危機，而使得資安圈不敢掉以輕心。</p> <h3><a href="https://www.ithome.com.tw/news/165282"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</span></strong></a></h3> <p>為了讓攻擊行動帶來更大的危害，不少駭客將範圍從受害組織的內部網路環境，延伸到雲端環境。最近微軟揭露駭客組織Storm-0501的攻擊行動，就是典型的例子。</p> <p>研究人員特別提及這些駭客作案手法與過往最大的不同之處，在於他們對雲端身分管理服務Entra ID、Entra Connect等元件進行滲透，得逞後於雲端環境植入後門程式，以便存取受害組織的內部網路環境。</p> <p><a href="https://www.ithome.com.tw/news/164966"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月4日】駭客假借提供AI脫衣程式為誘餌，企圖散布惡意軟體</span></strong></a></p> <p>生成式AI應用越來越廣泛，其中部分存在道德及法律爭議，而最常見的一種便是所謂的脫衣程式。</p> <p>如今有駭客假借提供這種非法工具的名義，引誘使用者上當，他們架設釣魚網站展示效果，並誘惑使用者下載「應用程式」，一旦依照指示下載、安裝，電腦就會被植入惡意軟體。</p> </div></div></div>
2024/10/7 09:50作者羅正漢https://www.ithome.com.tw/news/165355
【資安日報】10月4日，駭客假借提供AI脫衣程式為誘餌，企圖散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI應用越來越廣泛，其中部分存在道德及法律爭議，而最常見的一種便是所謂的脫衣程式。</p> <p>如今有駭客假借提供這種非法工具的名義，引誘使用者上當，他們架設釣魚網站展示效果，並誘惑使用者下載「應用程式」，一旦依照指示下載、安裝，電腦就會被植入惡意軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165307"><strong style="font-size: 22px;">俄羅斯駭客FIN7以DeepNude生成器為誘餌，目的是散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7-fin7-update-click-free-download.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7-fin7-update-click-free-download.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Silent Push本周警告，該公司在今年7月發現了屬於駭客組織FIN7的逾4,000個網域名稱與IP位址，並發現其中有7個網站是利用AI脫衣工具DeepNude為誘餌來吸引受害者，進而於受害者系統上植入惡意程式。</p> <p>研究人員發現，FIN7建立了7個色情網站，並提供DeepNude生成功能，以免費下載或免費試用等方式，誘導使用者下載惡意程式，以竊取使用者的憑證與Cookie，或是允許駭客自遠端存取，進而下載其他惡意程式或植入勒索軟體。</p> <p>駭客部署了許多複雜的技術來躲避偵測，像是使用多個打包器，把惡意程式嵌入Pascal程式碼中，或是利用Java啟動器來隱藏或執行惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/165329"><strong style="font-size: 22px;">Zimbra上個月修補的CVE-2024-45519遭大規模利用</strong></a></p> <p>電子郵件與協作平臺Zimbra在上個月修補安全漏洞CVE-2024-45519，且於近日傳出已遭大規模利用，資安專家爭相呼籲使用者儘速更新。</p> <p>資安業者Proofpoint在9月28日發現有人企圖利用這項漏洞，HarfangLab的首席網路威脅研究人員Ivan Kwiatkowski則在10月1日指出，駭客已開始大規模利用，自單一IP位址寄出大量惡意郵件。</p> <p>資安專家認為，無需通過身分驗證讓CVE-2024-45519漏洞特別危險，代表任何能夠存取執行PostJournal服務之網路的使用者，都得以利用該漏洞，呼籲Zimbra用戶最好儘快修補，若是無法及時修補，應暫時關閉PostJournal服務因應。</p> <p><a href="https://www.ithome.com.tw/news/165330"><strong style="font-size: 22px;">Ivanti裝置管理系統重大SQL注入漏洞已被用於攻擊行動</strong></a></p> <p>今年5月資安業者Ivanti修補裝置管理平臺Endpoint Manager（EPM）重大層級的SQL注入漏洞CVE-2024-29824，隔月資安業者Horizon3.ai公布相關細節與概念性驗證程式碼（PoC），指出攻擊者有機會藉此於EPM隨意執行命令，呼籲IT人員應確認該系統是否遭到入侵的跡象，檢查SQL Server的事件記錄檔案，了解是否有人透過xp_cmdshell執行命令的情形。如今這款產品的供應商證實，該漏洞已被用於實際攻擊行動。</p> <p>10月1日Ivanti更新公告內容，說明他們得知該漏洞已被駭客利用，有部分客戶遭遇攻擊行動。美國網路安全暨基礎設施安全局（CISA）於隔日列入已被利用的漏洞列表（KEV），要求聯邦機構於10月23日以前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/165265"><strong style="font-size: 22px;">明碼儲存用戶密碼，Meta被愛爾蘭政府罰款9,100萬歐元</strong></a></p> <p>社群平臺Meta數年前被發現未加密儲存用戶密碼，上周遭愛爾蘭資料保護主管機關處以9,100萬歐元罰金。</p> <p>2019年3月Meta被發現以明碼儲存用戶密碼，其愛爾蘭分公司向愛爾蘭資料保護委員會（Data Protection Commission，DPC）坦承不慎以明文形式將「某部分」用戶密碼儲存在內部系統，DPC於4月啟動調查，6月DPC做出裁決草案，這份草案獲得歐盟會員國主管機關無異議通過。DPC也在9月26日通知Meta最終裁決，包含9,100萬歐元罰款。</p> <p>根據安全專家Brian Krebs報導2019年Meta的資安事故，估計共有2億到6億臉書用戶密碼以明文儲存，而可被2萬名Meta員工搜尋，這起外洩事件最早可追溯到2012年。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.welivesecurity.com/en/eset-research/separating-bee-panda-ceranakeeper-making-beeline-thailand/">中國駭客CeranaKeeper鎖定東南亞竊取機敏資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/i/mdr-in-action--preventing-the-moreeggs-backdoor-from-hatching--.html">駭客偽裝成求職者散布後門程式More_eggs</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/rhadamanthys-stealer-adds-innovative-ai-feature-version">竊資軟體Rhadamanthys透過AI進行文字辨識，挖掘加密貨幣錢包通關密語</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.imperva.com/blog/trouble-in-da-hood-malicious-actors-use-infected-pypi-packages-to-target-roblox-cheaters/">惡意軟體Skuld Stealer、Blank Grabber鎖定Roblox作弊玩家而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/north-korea-hackers-linked-to-breach-of-german-missile-manufacturer/">北韓駭客傳出滲透德國國防業者Diehl Defence</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165326"><strong style="font-size: 22px;">Supermicro基板管理控制器韌體存在能被輕易利用的漏洞</strong></a></p> <p>Supermicro基板管理控制器（BMC）出現重大層級漏洞CVE-2024-36435，這項漏洞起初由Nvidia資安團隊通報，該公司於7月發布公告及新版韌體因應。針對此事，9月底資安業者Binarly揭露相關細節。</p> <p>此漏洞引起研究人員高度關注的原因，在於攻擊者可在未經身分驗證的情況下，輕易地藉由發出請求觸發弱點，引起記憶體堆疊溢位，最終有機會執行任意程式碼。Binarly認為，這是今年度最嚴重的BMC漏洞。</p> <p>Binarly針對這項漏洞進一步分析，他們提到該漏洞存在於BMC的網路元件，假如攻擊者能夠存取BMC網頁介面，就能利用漏洞，而且，過程中無須通過身分驗證，也不需要使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/165332"><strong style="font-size: 22px;">DrayTek修補危險程度達到10分的重大漏洞，70萬臺路由器恐受影響</strong></a></p> <p>資安業者Forescout指出，他們在居易科技（DrayTek）路由器找到14個漏洞，有2個為重大層級，其中1個CVSS風險評分達到滿分（10分），值得留意的是，這些漏洞存在於24款機種，但其中有11款生命週期已經結束（EOL）。他們在全球168個國家當中，看到有70.4萬臺路由器曝險，其中有超過半數位於歐洲（42.5萬臺）最多，亞洲有超過19萬臺居次。</p> <p>對此，居易在本日發布資安公告，表示他們於6月20日得知此事，這些漏洞被登記為CVE-2024-41583至CVE-2024-41596，他們已為受影響的設備提供新版韌體，呼籲用戶應儘速升級。此外，他們也建議採用最佳實務措施，包括停用遠端存取的管道、使用存取控制名單（ACL）、啟用雙因素驗證（2FA）等措施。</p> <p>若是IT人員無法及時套用新版韌體，應一併停用管理員遠端存取，以及SSL VPN功能。我們也洽詢居易，想確認此項弱點目前處理狀態，該公司表示他們在8月釋出修補，臺灣現行銷售的機種皆完成修補。</p> <p><a href="https://www.ithome.com.tw/news/165321"><strong style="font-size: 22px;">臺廠普萊德交換器存在重大漏洞</strong></a></p> <p>9月30日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出臺廠普萊德（Planet）旗下的交換器存在12項中、高風險漏洞，CVSS風險評分界於4.8至9.8，有可能導致遠端程式碼執行、未經授權存取、阻斷服務（DoS）。對此，普萊德已針對部分機種發布新版韌體修補。</p> <p>這些漏洞影響的範圍涵蓋3款機種，包含搭配2.0版硬體的GS-4210-24PL4C、搭配3.0版硬體的GS-4210-24P2S，以及搭配1.0版硬體的IGS-5225-4UP1T2S。值得留意的是，前兩款機型都有修補漏洞，至於IGS-5225-4UP1T2S，由於其產品生命週期已經結束，該公司不再支援，因此，他們本次並未提供修補，而是呼籲用戶應更換設備。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165245"><strong style="font-size: 22px;">新版作業系統上市在即，微軟為AI功能Recall加強安全措施</strong></a></p> <p>在Recall功能因隱私疑慮延遲將近3個月後，於Windows 11 24H2推出前夕，微軟於9月27日宣布新增安全功能，包含加密儲存、整合生物驗證功能Windows Hello，以及虛擬隔離區技術，為其重新推出鋪路。</p> <p>首先，快照（snapshot）和任何相關資訊都會保持加密儲存在向量資料庫中，加密金鑰經由晶片的信賴平臺模組（TPM）和用戶的Windows Hello進階簽入安全身分綁在一起，只能在虛擬化安全隔離區（VBS Enclave）中使用。這表示其他人都無法存取這些金鑰，因而無法解密資訊。</p> <p>再者，使用、管理Recall必須通過Windows Hello進階身分驗證，為了避免被惡意程式「搭便車」，用戶完成驗證後只能短暫解密Recall內容查詢。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165236"><strong>【9月27日】駭客利用Docker引擎API進行挖礦</strong></a></p> </div></div></div>
2024/10/4 18:19作者周峻佑https://www.ithome.com.tw/news/165334
【資安月報】2024年9月，數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月國內最盛大的活動是國際半導體展，當中的半導體資安最新概況，成為本月主要資安焦點之一，其他重要資安消息中，臺灣政府機關及企業本月遭遇多起網路攻擊，有的是企業組織自己宣布，有的是資安業者公布駭客攻擊手法提到臺灣有企業遭鎖定，我們整理7大焦點，幫助大家快速回顧本月重要新聞。</p> <p><span style="color:#FF0000;"><strong>展示PQC晶片與應用的公版平臺</strong></span></p> <p>資安已成2024國際半導體展重要一環，不論半導體設備合規、工控資安防護，已是這幾年常見的展出重點，特別的是，今年還有後量子資安產業聯盟的最新概況的揭露，例如，工研院秀出可供產業界開發PQC晶片與應用的公版平臺，以及多家業者投入PQC應用發展，由於從晶片設計到硬體設備、韌體、網路通訊等都需要PQC密碼標準的導入，因此協助產業串接驗證數位邏輯設計的發展亦受關注。</p> <p><strong><span style="color: rgb(255, 0, 0);">大規模DDoS攻擊再現</span></strong></p> <p>臺灣至少45個單位與企業遭受DDoS攻擊。過去臺灣遭受大規DDoS攻擊，大家可能都會聯想到是中國駭客組織雖為，像是兩年前美國眾議院議長裴洛西訪臺前後的攻擊事件，這次情況頗令人訝異，因為這次攻擊是親俄駭客NoName057發動，他們並宣稱是不滿我國總統賴清德引用中俄領土爭議來反駁中國收復臺灣的主張。但該組織對於中俄領土的說詞，其實反而吸引更多國際關注，並意識到俄羅斯領地不歸中國、臺灣也是如此的狀況，而其攻擊行動也呈現親俄分子跟隨中國對臺灣政府發動攻擊。</p> <p>另外值得留意的是，該組織相當猖狂，其實不只對臺灣多個政府和企業網站進行DDoS攻擊，在前半個月也以不同藉口持續對多國發動攻擊，包括烏克蘭、捷克、法國等地的政府機關網站。</p> <p><b style="color: rgb(255, 0, 0);">臺灣重大資安事件</b></p> <p>資安業者揭露多起駭客攻擊，其中幾起事件顯示臺灣政府與企業被鎖定，因此引發關注，另有4家上櫃公司揭露遭遇資安事故，涵蓋鋼鐵、半導體、環保與電子零組件業。<br /> <strong>●臺灣無人機製造商遭駭客鎖定。</strong>關於本土軍工產業遭鎖定的消息，近來持續受到關注，特別的是本月又有兩家資安業者揭露臺灣無人機製造商遭鎖定的狀況，一是趨勢科技揭露臺灣衛星及軍事工業今年持續遭鎖定，並指出攻擊者是中國駭客組織TIDrone，另一是Acronis研究人員揭露臺灣無人機業者遭鎖定，並指出攻擊手法包括濫用臺灣企業數位憑證，且可能涉及供應鏈攻擊。<br /> <strong>●臺灣政府機關在7月遭中國駭客Earth Baxia攻擊。</strong>趨勢科技指出其手法是藉由6月下旬GeoServer修補的漏洞取得初始入侵管道，並使用後門程式EagleDoor。<br /> <strong>●多家上櫃公司遭遇網路資安事件。</strong>有公司說明部份伺服器遭受駭客攻擊，例如，知名IC設計業者「創惟科技」，還有3家公司說明部分資訊系統遭受駭客網路攻擊，包括專注於複合螺絲及螺栓製造的「世鎧精密」、專注磁性元件與印刷電路板業務的「松上電子」，以及「崑鼎綠能環保」。</p> <p><font color="#ff0000"><b>殭屍網路威脅生生不息</b></font></p> <p>殭屍網路的威脅態勢不可輕忽，這個月不只是有殭屍網路Quad7最新一波攻擊行動的揭露，還有駭客組織入侵家用路由器來建立自身的物聯網殭屍網路的威脅態勢，要特別注意。繼去年打擊中國駭客Volt Typhoon使用的KV-botnet殭屍網路後，美國司法部今年9月宣布破獲由20萬網路設備組成的殭屍網路Raptor Train，並指出這是由中國駭客組織Flax Typhoon建立，目的是針對臺灣及美國的軍事、政府、高等教育、電信及國防工業等領域展開攻擊。</p> <p><span style="color:#FF0000;"><strong>當心勒索軟體RansomHub</strong></span></p> <p>在勒索軟體威脅方面，有一項消息值得關切，今年上半才現身的RansomHub勒索軟體，美國多個安全機構發布在8月底發布聯合公告，指出全球至少210個企業組織受害，因此提供該組織的入侵手法（TTP）與入侵指標（IOC），呼籲外界對於該組織所帶來的危害更要有所警覺。還可以留意的是，趨勢科技9月底揭露最新研究報告，指出該組織還會利用存在弱點的驅動程式來發動攻擊，並運用名為EDRKillShifter的工具，將防毒軟體或端點防護工具EDR停用。</p> <p><font color="#ff0000"><b>國家級駭客鎖定東南亞各國</b></font></p> <p>多年來中國駭客組織在網路上頻頻發動攻擊，持續引發資安界的重視，這個月又有許多攻擊行動被揭露，其中突顯亞洲、東南亞政府遭鎖定的情形。例如：<br /> ●思科威脅情報團隊Talos揭露中國駭客DragonRank的最新攻擊行動，主要針對亞洲、歐洲國家而來，並鎖定代管企業網站的IIS伺服器。<br /> ●資安業者Palo Alto Networks揭露中國駭客組織Stately Taurus的最新行動，是鎖定東南亞政府機關從事網路間諜活動。<br /> ●資安業者Sophos揭露中國政府主導的大規模網路間諜攻擊行動Operation Crimson Palace，東南亞政府持續遭鎖定。</p> <p><strong><font color="#ff0000">資安業者更新竟釀災</font></strong></p> <p>關於7月19日CrowdStrike更新引發的全球IT大當機事件，由於後續消息的不斷揭露，我們在9月初的封面故事進行完整回顧，幫助大家了解事件在臺灣與全球的影響，同時也統整出5大層面議題，包括：資安業者部署驗證測試發生的問題，微軟為何開放作業系統核心模式驅動程式使用，IT系統風險過於集中，企業應變能力的狀況，還有開發者寫出越界記憶體讀取的情形，也成為本次事件衍生議題。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/164880"><span style="color: rgb(178, 34, 34);">【資安週報】2024年9月2日到9月6日</span></a></strong></h2> <p>在9月第一星期的資安新聞，防護態勢上有兩個重點消息，第一個新聞突顯網際網路BGP路由安全的重要性，先前已有一些國家推動這項議題，像是去年荷蘭政府宣布全面導入RPKI標準，現在美國拿出具體規畫要求聯邦政府實施。至於臺灣，過去幾年TWNIC曾推動RPKI、路由來源驗證等，但後續發展狀況還需要大家關注。</p> <p>第二個新聞是呈現後量子密碼學（PQC）在產業的最新發展態勢，工研院在2024國際半導體展秀出後量子安全晶片公版的設計，而且有多家業者投入PQC應用發展，包括全濠、宇鼎、威宏、智能資安、竣盟科技、池安量子資安等。</p> <p>●美國白宮針對邊界閘道協定（BGP）安全問題，發布強化網路路由安全的藍圖，強調聯邦政府須以身作則，加速對BGP安全措施的採用。<br /> ●2024國際半導體展登場，數發部數產署與臺灣資安業者在「SECPAAS資安館」呈現半導體產業資安最新方案，其中又以PQC公版應用案例的發展最吸睛。</p> <p>關於威脅態勢方面，我們列出下列4大消息，其中法國資安業者開發的紅隊演練工具MacroPack遭濫用值得關注，因為其中有一起攻擊行動範圍涵蓋臺灣，另有兩個新聞與濫用合法雲端服務有關。</p> <p>●紅隊演練工具MacroPack遭多組攻擊者濫用，已發現4起攻擊行動。<br /> ●後門程式Voldemort的攻擊行動被揭露，濫用Google Sheets並假冒美、歐、亞洲稅務機關名義以竊取企業稅務資料。<br /> ●有鎖定M365用戶的攻擊活動在7月暴增，當中濫用微軟雲端簡報服務Sway來引誘受害者上當，並結合QR Code網釣手法。<br /> ●美國司法部宣布扣押俄羅斯用來散布不實言論的網域，以打擊俄羅斯持續操弄美國總統大選的行徑。</p> <p>在資安警訊與事件方面，有4則重要新聞，當中以RansomHub勒索軟體的相關消息最要重視，不僅多個美國政府機關發布聯合公告，揭露其手法與入侵指標，同時傳出美國石油公司Halliburton向美國SEC通報的網路安全事件，也是遭其所駭。</p> <p>●美政府警告半年前現身的RansomHub勒索軟體，受害者已超過210家。<br /> ●美國石油及天然氣業者Halliburton證實內部資料遭到外流<br /> ●英國倫敦交通局證實遭遇網路攻擊，傳出問題出在外部供應商系統。<br /> ●提供思科品牌服裝與配件的思科網路商店遭植入惡意JavaScript，信用卡資料、帳密恐外流。</p> <p>至於漏洞利用消息方面，居易的VigorConnect有兩個2021年修補的已知漏洞：CVE-2021-20123和CVE-2021-20124，用戶要注意是否已進行緩解或更新修補，因為它們近期被美國CISA列入已知漏洞利用清單，此外，上週Chrome零時差漏洞修補有後續消息揭露，指出北韓駭客Citrine Sleet是幕後挖掘漏洞並利用的組織，攻擊行動還利用了另一微軟零時差漏洞，而能在受害電腦作業系統核心植入rootkit程式FudModule。</p> <p>還有一個漏洞修補情形引起硬體安全界的重視，因為Yubico旗下FIDO裝置存在Eucleak弱點，Yubico指出這是英飛凌加密庫中關於ECDSA實作的旁路攻擊漏洞，將導致攻擊者有機會取得ECDSA金鑰。</p> <h2><a href="https://www.ithome.com.tw/news/165029"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年9月9日到9月13日</span></strong></a></h2> <p>回顧9月第二星期的資安新聞，有3起與臺灣息息相關的事件需要我們密切關注，包括臺灣多達45個單位與企業遭遇DDoS攻擊，以及臺灣無人機製造商被中國駭客鎖定攻擊，且疑似是涉及ERP相關的供應鏈攻擊。</p> <p>（一）中租、兆豐、彰銀以及臺灣證券交易所接連公告遭DDoS攻擊，親俄駭客NoName057宣稱是他們所為，還有多個臺灣政府機關也是這波攻擊目標。<br /> （二）中國駭客組織TIDrone今年不斷攻擊臺灣衛星及軍事工業，資安業者警告這些駭客似乎特別偏好攻擊無人機製造商。<br /> （三）臺灣無人機製造商遭攻擊行動Operation WordDrone鎖定被揭露，研究人員指出駭客使用舊版Word主程式，並關注為何是臺灣無人機產業遇害。</p> <p>關於第一則消息，親俄駭客NoName057近期先針對捷克、法國、烏克蘭的政府機關發動DDoS攻擊，自9月9日開始再針對我國網站攻擊，不僅持續鎖定臺灣政府機關，後續幾波又延伸到財稅單位、官股金融機構及部分企業。關於後續消息，<a href="https://www.facebook.com/moda.gov.tw/posts/523245727188197">數位發展部在周日9月14日召開記者會說明</a>，目前統計45件DDoS攻擊，各機關皆可於短時間內恢復，另指出我國遭受攻擊目標還包括地方稅務機構、區域民航站、主計總處、財金相關機關及部分電信業者等。</p> <p>這起事件不僅考驗國內應對DDoS的防護能力，特別的是，由於該組織宣稱攻擊原因是，不滿我國總統賴清德引用中俄領土爭議來反駁中國收復臺灣的主張，但該組織的說詞反而促使國際社會可以討論俄羅斯領地不歸中國、臺灣也是如此的狀況，並吸引到更多關注。</p> <p>第二與第三則消息有密切關聯，一是趨勢科技研究人員揭露，一是Acronis研究人員揭露，其共通點在於均指出臺灣無人機製造商遭駭客鎖定的狀況，並說明攻擊手法涉及利用Word與ERP軟體，可能涉及供應鏈攻擊情形。特別的是，Acronis還點出受害企業使用的鼎新電腦ERP軟體的程式可能遭竄改，鼎新電腦在Acronis揭露3日後做出回應，指出研究人員所提的「Digiwin」資料夾，實為協助企業服務的連線工具－－鼎新雲管家「DigiwinSCP」，目前已預防性關閉此連線並改用其他工具服務客戶。</p> <p>還有一起國內公司遭駭事件，發生在專注於複合螺絲及螺栓製造的臺灣上櫃公司世鎧精密，他們發布重訊說明公司部分資訊系統遭駭客發動加密攻擊。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商的每月例行安全更新修補發布，包括微軟、SAP、Adobe等，在盡速更新修補之餘，有7個漏洞利用情形需要特別重視。<br /> ●微軟修補4個已被用於攻擊行動的零時差漏洞，分別是涉及Windows MOTW的CVE-2024-38217，Windows Installer的CVE-2024-38014，Windows Update的CVE-2024-43491，以及Publisher保護機制的CVE-2024-38226。<br /> ●SonicWall在8月下旬修補的SonicOS重大漏洞CVE-2024-40766，9月初有多家資安業者示警指出已發現針對該漏洞的攻擊行動。<br /> ●有兩個早年的漏洞被美國CISA列入已知利用清單（KEV），分別是2017年Linux Kernel PIE的CVE-2017-1000253，以及開源圖像處理軟體ImageMagick的CVE-2016-3714。</p> <p>在資安事件與威脅態勢方面，國際間有多個重要消息，當中以Fortinet遭駭事故受矚目，該公司在24小時內發出公告證實此事，承認是存放於第三方雲端共享硬碟內的有限檔案遭未經授權存取，並表示該公司的產品及服務未受影響，後續Fortinet臺灣也說明此次事件對臺灣的客戶並未造成任何影響。</p> <p>●有人在Breach Forum論壇發文聲稱入侵Fortinet的Azure SharePoint帳戶並竊取440 GB資料，Fortinet證實第三方雲端共享硬碟出現未經授權存取。<br /> ●法國IT顧問公司Capgemini疑似發生資安事故，有人在駭客論壇公布20GB的資料，涉及該公司檔案、程式碼與客戶資料。<br /> ●卡巴斯基提供移除惡意程式rootkit的工具TDSSKiller，竟遭勒索軟體RansomHub駭客利用此工具來關閉EDR。<br /> ●微軟免費開發工具遭中國駭客Stately Taurus濫用，企圖滲透東南亞政府機關竊取機密。<br /> ●中國政府主導的網路間諜行動Operation Crimson Palace被揭露，有3波鎖定東南亞的攻擊行動至少4個駭客組織參與，且其入侵手法會利用公開工具隱匿行蹤。</p> <p>在資安防禦動向上，以國際支付巨擘在資安領域的投入最受關注。由於早年我們經常看到VISA舉辦資安高峰會，公布支付安全的進展，揭露針對交易安全的紅隊攻擊演練，以及併購資安業者等，最近Mastercard也展示他們對資安的重視與投資，不僅在上個月舉行的Black Hat USA 2024大會參展，如今他們更是宣布以26.5億美元併購威脅情報供應商Recorded Future。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/165106"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年9月16日到9月20日</span></strong></a></h2> <p>中秋假期間的資安威脅不容小覷，近期有多個攻擊行動被揭露，其中兩起消息值得留意，一是資安業者揭露中國駭客Earth Baxia今年7月曾針對臺灣某個政府機關發動攻擊，值得注意的是，該攻擊利用GeoServer已知漏洞發動攻擊，並植入後門程式EagleDoor；一是發現中國駭客鎖定代管企業網站的IIS伺服器入侵的情形，主要利用特定的網頁應用程式服務來部署Web Shell，而其針對的目標是歐亞地區的企業網站。</p> <p>●臺灣政府機關遭中國駭客Earth Baxia攻擊，資安業者指出是其手法是藉由GeoServer已知漏洞發動攻擊。<br /> ●中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，還會利用惡意程式PlugX、BadIIS來操縱搜尋引擎的排名。<br /> ●惡意程式Amadey竊取帳密資料有新招，利用瀏覽器的Kiosk模式來提升憑證竊取的攻擊成功率。<br /> ●防毒業者Dr.Web驚傳遭入侵，暫時切斷所有伺服器的連線。<br /> ●臺美國防工業會議相關人士遭到鎖定，資安業者Cyble揭露發現相關誘餌檔案，是偽裝PDF檔案的Windows捷徑檔。</p> <p>在漏洞消息方面，本周有多個漏洞利用狀況，我們注意到前不久修補的IE漏洞CVE-2024-43461，出現新的變化——當時微軟指出該漏洞並未被大規模利用，一星期後確認該漏洞在修補之前就被利用。<br /> ●微軟本月修補的Windows MSHTML平臺漏洞CVE-2024-43461，後續發現在修補前已遭Void Banshee駭客組織利用。<br /> ●Progress在8月底修補WhatsUp Gold的漏洞CVE-2024-6670，資安業者警告已出現實際攻擊行動。<br /> ●Ivanti修補Cloud Services Appliance已遭利用的2個零時差漏洞：CVE-2024-8963 、CVE-2024-8190。<br /> ●Apache HugeGraph-Server在4月修補的漏洞CVE-2024-27348，最近發現遭積極利用。<br /> ●多個舊漏洞被美CISA列入已知漏洞利用清單，包括微軟的漏洞（CVE-2020-0618）、Oracle的漏洞（CVE-2022-21445、CVE-2020-14644），以及Adobe的漏洞（CVE-2013-0643、CVE-2013-0648、CVE-2014-0497、CVE-2014-0502）。</p> <p>還有多個漏洞修補消息需盡速因應，包括：GitLab修補CVSS滿分漏洞，以及OpenShift、VMware vCenter伺服器、新興AI系統AutoGPT、Docker、D-Link Wi-Fi路由器等的漏洞修補。</p> <p>特別的是，本星期還有一類型資安新聞也成重要焦點，因為駭客攻擊家用連網設備的消息不斷，涵蓋家用路由器與Android電視機上盒。</p> <p>例如，殭屍網路Quad7最新一波攻擊行動的揭露，繼先前TP-Link路由器發現被鎖定，如今攻擊範圍擴大，兆勤（Zyxel）、華碩、Ruckus等廠牌的路由器產品都成鎖定目標；還有美司法部宣布破獲中國駭客組織Flax Typhoon委由中國業者Integrity Technology Group建立的Raptor Train殭屍網路。</p> <p>上百萬Android電視機上盒的韌體遭植入後門程式的狀況，亦受不少人關注，是本周資安新聞排行的焦點。研究人員指出這是在今年8月發現，受害裝置多為知名度較低的品牌，但尚不清楚感染途徑。</p> <p>由於近年來駭客組織入侵家用路由器來建立自身的物聯網殭屍網路，其態勢是日益嚴峻，像是去年美國即拿下中國駭客Volt Typhoon使用的KV-botnet殭屍網路，因此如何持續緩解這方面的威脅，相當關鍵。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/165238"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0923~0927，有駭客假冒GitHub站方並以漏洞處理名義發送社交工程詐騙信</span></strong></a></h2> <p>在9月最後一星期的資安新聞中，在威脅態勢上，有兩則鎖定開發人員的網路威脅消息值得關切。</p> <p>一是近期許多GitHub用戶反映收到電子郵件通知，聲稱用戶參與的專案有處理儲存庫的資安漏洞要處理，但該郵件內的連結是指向github-scanner[.]com，這根本不是GitHub的網域，目的就是欺騙不謹慎檢查網域的用戶，另一起是北韓駭客Citrine Sleet於PyPI上傳惡意Python套件，吸引開發人員上當的攻擊活動，研究人員指出很可能是為了發動供應鏈攻擊；還有鎖定雲端挖礦的威脅值得持續留意，有兩起鎖定不同系統的揭露。</p> <p>●駭客網釣佯稱GitHub用戶自己的儲存庫有資安漏洞需要處理，目的是散布竊資軟體Lumma Stealer。<br /> ●北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT。<br /> ●Docker引擎API遭鎖定，有駭客發動大規模挖礦攻擊行動。<br /> ●資安業者針對駭客組織TeamTNT疑似重出江湖提出警告，並揭露近期鎖定CentOS的虛擬專屬伺服器。<br /> ●揭露新的安卓金融木馬Octo2，已發現歐洲國家出現受害裝置</p> <p>在資安事件方面，在國內有3起新聞，都是上櫃公司發布資安事件重大訊息，包含知名IC設計的創惟，以及專注磁性元件與印刷電路板業務的松上，特別的是，松上在資訊揭露上相當主動，於官方網站也有同步發布消息；在國際間則有一起關於水利關鍵基礎遭遇網路攻擊的消息，所幸不影響其服務與用水。</p> <p>●上櫃綠能環保「崑鼎」揭露部分資訊系統遭受駭客攻擊<br /> ●上櫃半導體業「創惟」說明部份伺服器遭受駭客攻擊<br /> ●上櫃電子零組件業「松上」揭露部分資訊系統遭受駭客攻擊<br /> ●美國堪薩斯州供水設施宣布遭遇網路安全事件，被迫切換手動操作因應。</p> <p>在漏洞消息方面，本星期有一個漏洞利用需要優先注意，那就是8月初修補Ivanti的Virtual Traffic Manager漏洞CVE-2024-7593，如今發現已有攻擊者鎖定該漏洞利用。</p> <p>特別的是，本週的重大漏洞修補新聞相當多，有3項涉及開源需儘速檢查因應，包括：圖像化資料分析系統Grafana開發團隊修補軟體開發套件，FreeBSD開發團隊針對Hypervisor元件的修補，資料庫管理工具pgAdmin開發團隊的修補；在產品面也有多個重大漏洞修補發布，需要用戶儘速處理，包括：臺廠Cellopoint針對郵件安全閘道的修補，Pure Storage針對旗下儲存系統FlashArray和FlashBlade的修補，Acronis備份軟體Plug-in程式的修補，以及晶片製造廠商Microchip針對ASF進階軟體框架的修補。</p> <p>另外值得一提，8月初美國CISA警告臺廠陞泰科技（Avtech）旗下視訊監控攝影機AVM1203的重大漏洞被攻擊者散布Mirai變種，時隔近一個月陞泰科技終於回應，指出該產品停產近7年，但他們決定破例提供新版韌體予以修補。</p> <p>在網路威脅防禦的面向，這一星期有兩大焦點，首先，是臺廠網擎資訊在Hello World Dev Conference的一場演說上，解析本土電子郵件系統防禦的演進與挑戰，當中並呼籲國內IT主管需改變思維：「千萬不要覺得一家公司的CVE（通用漏洞揭露）很多，就認為他們不安全」，這是廠商負責任的態度，勇於及時公布，並且分享情資讓大家趕快更新。</p> <p>另一是Gogolook呼籲企業需負起責任應對網路詐騙，目前全球已有主要國家率先立法因應，包括臺灣、英國、歐盟、美國、新加坡等，也有少數企業已經強烈意識到企業要更主動保護消費者，不僅推動詐騙偵測阻擋及識詐教育，同時將「防詐政策與作為」納入永續報告書。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165169">2024年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">2024年7月資安月報</a></h3> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <p> </p> </div></div></div>
2024/10/1 17:37作者羅正漢https://www.ithome.com.tw/news/165258
【資安日報】10月1日，駭客組織Storm-0501將攻擊範圍延伸到雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊行動帶來更大的危害，不少駭客將範圍從受害組織的內部網路環境，延伸到雲端環境。最近微軟揭露駭客組織Storm-0501的攻擊行動，就是典型的例子。</p> <p>研究人員特別提及這些駭客作案手法與過往最大的不同之處，在於他們對雲端身分管理服務Entra ID、Entra Connect等元件進行滲透，得逞後於雲端環境植入後門程式，以便存取受害組織的內部網路環境。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165275"><strong style="font-size: 22px;">駭客組織Storm-0501偷走憑證攻入Entra ID，橫向移動範圍從內部跨至雲端</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-storm-0501-attack-chain-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-storm-0501-attack-chain-1.png" style="width: 300px; float: right;" /></a></p> <p>微軟揭露駭客組織Storm-0501最新一波的攻擊行動，這些駭客鎖定美國政府機關、製造業、交通運輸、執法部門發動多階段攻擊，破壞混合雲環境的安全，並從本地橫向移動到雲端，從而外洩受害組織資料、竊取帳密資料、部署後門程式及勒索軟體。</p> <p>研究人員特別提及，這些駭客利用薄弱的憑證及權限過高的帳號，而能從受害組織的內部環境轉移到雲端環境。駭客先是竊得憑證用來控制內部網路環境，最終在雲端環境設置能持續運作的後門程式，並將勒索軟體植入組織內部。</p> <p>值得留意的是，駭客在近期的活動裡，透過Entra ID（原Azure AD）橫向移動到雲端環境，並藉由後門持續存取，其中他們濫用Entra Connect（原Azure AD Connect）的同步元件，而能同時挖掘本機與雲端同步帳號的帳密資料，在部分攻擊行動裡，攻擊者會停用多因素驗證（MFA）的網域管理員，挾持雲端連線階段（Session）以達到目的。</p> <p><a href="https://www.ithome.com.tw/news/165278"><strong style="font-size: 22px;">駭客鎖定俄語使用者用HTML偷渡手法散布DCRat木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DCRat-7.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/DCRat-7.jpeg" style="width: 300px; float: right;" /></a></p> <p>自2018年出現的RAT木馬程式Dark Crystal RAT（簡稱DCRat），具備竊取機密資訊、執行Shell命令、側錄鍵盤輸入的內容等功能，開發者以租用型式（Malware as a Service，MaaS）提供駭客運用，如今在最新一波攻擊行動裡，駭客結合了HTML偷渡（HTML Smuggling）手法來進行散布。</p> <p>資安業者Netskope揭露鎖定俄語使用者的DCRat攻擊行動，駭客設置冒牌的HTML網頁，假借提供TrueConf和VK Messenger等應用程式的名義，引誘使用者上當。但究竟駭客如何讓受害者接觸這些冒牌網頁？研究人員表示不清楚。</p> <p>值得留意的是，一旦使用者存取這些網頁，瀏覽器就會逕自下載受到密碼保護的ZIP壓縮檔。駭客也在網頁列出密碼，若是使用者依照指示解開壓縮檔，電腦有可能會因此感染DCRat。</p> <p><a href="https://www.ithome.com.tw/news/165263"><strong style="font-size: 22px;">Rackspace內部系統遭入侵，問題出在第三方應用程式</strong></a></p> <p>根據The Register報導，雲端運算平臺Rackspace內部使用的IT監控軟體存在零時差漏洞，讓駭客藉以駭入公司系統，並存取了該公司管理憑證及企業客戶資料。</p> <p>Rackspace說明，9月24日該公司發現，第三方IT管理應用程式存在遠端程式碼執行（RCE）零時差漏洞。駭客藉此漏洞，存取了該公司3臺內部監控用的網頁伺服器，以及「部分監控資訊」。</p> <p>這第三方應用程式來自臺灣的飛立德（ScienceLogic），該公司提供AIOps及IT基礎架構監控平臺，為Rackspace用以監控內部系統營運。Rackspace說接獲飛立德通知漏洞消息，該公司也立即採取行動，隔離受影響的機器，並且通知客戶。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=65123&SPOKE_DATE=20241001&COMPANY_ID=2892"><strong style="font-size: 22px;">第一銀行網銀遭到DDoS攻擊</strong></a></p> <p></p> <p>9月30日第一金融控股（第一金）於股市公開觀測站發布重大訊息，指出旗下子公司第一銀行的網路銀行網站「第e個網」遭遇網路DDoS攻擊，他們在察覺此事後立即啟動相關防禦機制，網站服務未受影響。</p> <p>而對於此事可能造成的損失或是影響，該公司表示，目前評估對銀行日常營運尚無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyble.com/blog/nexe-backdoor-unleashed-patchwork-apt-groups-sophisticated-evasion-of-defenses/">駭客組織Patchwork鎖定中國企業組織，散布後門程式Nexe</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cyfirma.com/research/osint-investigation-hunting-malicious-infrastructure-linked-to-transparent-tribe/">巴基斯坦駭客Transparent Tribe鎖定印度Linux電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sekoia.io/hadooken-and-k4spreader-the-8220-gangs-latest-arsenal/">駭客組織8220散布惡意軟體Hadooken及K4Spreader挾持雲端環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.afp.com/en/agency/press-releases-newsletter/afp-detects-attack-its-it-systems">法新社傳出遭遇網路攻擊，波及合作夥伴IT系統及內容交付</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cna.com.tw/news/afe/202409300422.aspx">樂天信用卡遭駭客攻擊未緊急應變，金管會列6大缺失、罰250萬</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165280"><strong style="font-size: 22px;">WatchGuard身分驗證系統存在重大漏洞</strong></a></p> <p>資安業者WatchGuard發布資安公告，指出身分驗證系統Authentication Gateway的單一簽入（SSO）元件，存在弱點CVE-2024-6592、CVE-2024-6593、CVE-2024-6594，CVSS風險評分介於7.5至9.1。對此，他們已發布12.10.2版Authentication Gateway（又稱為Single Sign-On Agent），以及Windows、macOS用戶端程式Single Sign-On Client新版12.7、12.5.4予以修補。</p> <p>根據CVSS風險評分高低，較值得留意的是被列為重大層級的CVE-2024-6592、CVE-2024-6593，兩者之所以被認定為漏洞，是因為Authentication Gateway與Single Sign-On Client之間，出現不正確授權的情況，其中CVE-2024-6592影響Windows及macOS用戶端，另一個漏洞僅有Windows用戶端受到波及。</p> <p><a href="https://www.ithome.com.tw/news/165277"><strong style="font-size: 22px;">購物網站外掛TI WooCommerce Wishlist存在重大漏洞，恐影響10萬網站</strong></a></p> <p>資安業者Patchstack指出，WordPress外掛程式TI WooCommerce Wishlist存在重大層級的漏洞CVE-2024-43917，此漏洞允許任意使用者在WordPress網站資料庫執行不受限制的SQL查詢，而且，攻擊者可在無須取得特殊權限的狀況下，利用這項弱點，CVSS風險評為9.3分（後來NVD認為有9.8分）。值得留意的是，目前這項漏洞尚未得到修補，因此研究人員呼籲，網站管理員最好儘速停用並刪除此外掛程式</p> <p>此重大層級漏洞發生的原因，在於SQL命令使用的特殊元素的不當處理所致，導致攻擊者能在未經身分驗證的情況下觸發漏洞，研究人員也公布2種漏洞利用的概念性驗證程式碼。</p> <p><a href="https://www.ithome.com.tw/news/165243"><strong style="font-size: 22px;">Kia網站漏洞可讓攻擊者駭入並控制車子，2013年以後車款受影響</strong></a></p> <p>資安研究人員Sam Curry所組成的研究團隊於今年6月發現韓國汽車大廠起亞（Kia）網站的數項漏洞，其中包含客戶網站owners.kia.com的漏洞，能讓攻擊者建立特製的App，而能在大約30秒內駭入車輛並遠端控制主要功能。攻擊者還能暗中取得車主個資，包括：姓名、電話、電子郵件與地址，甚至有機會利用這些資訊在車主不知情下，取得車輛控制權。值得留意的是，該公司從2013年到2025年生產的數十款車型都受到影響，幾乎所有車輛都能遠端定位、開車門、發動引擎、開啟方向燈，部分甚至能遠端啟動攝影機。</p> <p>研究人員在Kia經銷商網站冒充登錄新經銷商，驗證新帳號，取得有效存取令牌後，以此新令牌呼叫後臺API，從回傳的HTTP回應取得必要參數，存取Kia經銷商上的所有經銷商端點。研究人員還可利用電郵和取得的必要參數，降級受害車主等級，加入自己的電子郵件信箱，綁定並設為車子的主要用戶。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165236"><strong>【9月27日】駭客利用Docker引擎API進行挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165207"><strong>【9月26日】macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware</strong></a></p> <p> </p> </div></div></div>
2024/10/1 17:32作者周峻佑https://www.ithome.com.tw/news/165282
Rails 8.0預配置Kamal 2供開發者簡單部署Docker容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以程式語言Ruby編寫的網頁應用框架<a href="https://rubyonrails.org/2024/9/27/rails-8-beta1-no-paas-required">Rails 8</a>即將發布，官方先在Rails World大會公開多項新版本亮點。Rails 8的新功能包括簡化部署流程、減少外部服務依賴，以及強化SQLite在生產環境中的使用。Rails 8的更新重點在於透過Kamal 2、Solid Adapters以及內建工具的改進，降低應用部署門檻，使開發者能夠更快速地將應用程式推向生產環境。</p> <p>Rails 8透過整合Kamal 2和Thruster，提供開發者更加簡單且高效的部署解決方案。傳統應用程式部署過程通常牽涉多個外部服務和複雜配置，而藉由使用Kamal 2，開發者只需要執行單一指令，就可以將全新的Linux主機快速配置成應用伺服器，官方指出，整體部署時間可縮短至兩分鐘以內。</p> <p>Rails 8內建的Docker支援和經過改進的Dockerfile，讓開發者可以簡單地將應用程式打包成容器，以符合生產環境的需求。新的Dockerfile採用Thruster代理，可直接在Puma前端提供加速和資源管理，用戶不再需要在網頁伺服器前架設Nginx等代理伺服器，預設的Rails 8容器已準備立即接受來自網路的流量。</p> <p>Kamal 2專屬代理服務Kamal Proxy則實現了多應用支援、零停機部署和Let’s Encrypt自動化SSL憑證配置，減少開發者在應用部署過程中的繁瑣工作。Kamal 2也調整了機密資訊管理策略，內建整合1Password、Bitwarden和LastPass。而這些新功能讓Rails 8能夠提供完整解決方案，處理應用程式在生產環境中的部署和營運。</p> <p>Rails 8還加入了Solid Cable、Solid Cache和Solid Queue三個全新Solid Adapters，取代外部服務相依性。Solid Cable取代Redis作為WebSocket訊息中繼伺服器，主要負責WebSocket的資訊傳遞，透過輪詢方式將應用訊息傳遞給不同的客戶端。</p> <p>而Solid Cache則是取代Redis或Memcached快取HTML片段，藉由使用磁碟而非記憶體進行儲存，提供更大且成本更低的快取空間。Solid Queue不僅取代了Redis，也取代Resque、Delayed Job或Sidekiq等開發者常用任務執行框架，支援高效能任務調度，不只是PostgreSQL、MySQL，現在也可執行於SQLite之上，降低部署的複雜性。</p> <p>Rails 8的三個Solid Adapters可減少應用對外部服務的相依性，讓部署變得更簡單。藉由使用SQLite作為後端儲存，開發者便不再需要使用Redis、Memcached等服務，這讓小型應用或是剛起步的專案，可以快速部署到生產環境，而不用考慮複雜的伺服器架構。</p> <p>雖然Rails 8.0仍在Beta 1的階段，但是已經在Shopify、GitHub等大型應用中經過廣泛測試，此外，新的部署工具、Solid Cache和Solid Queue也已在37signals的Basecamp和HEY等應用中執行超過18個月，足以證明其穩定性。</p> </div></div></div>
2024/9/30 22:29作者李建興https://www.ithome.com.tw/news/165256
【資安日報】9月30日，Unix與Linux普遍內建的列印系統CUPS存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾天有許多漏洞相關的消息揭露，其中有一起引起資安圈的高度關注，原因是透露此事的研究人員指出，漏洞的CVSS風險評分達到了9.9，而且，這樣的漏洞存在於Unix與Linux普遍內建的列印系統CUPS當中，可能有數十萬臺設備曝險。</p> <p>這樣的情況，一度有人認為可能會造成類似Log4Shell的危機，而使得資安圈不敢掉以輕心。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165257"><strong style="font-size: 22px;">Unix與Linux普遍內建的列印系統CUPS存在9.9分重大漏洞，攻擊者有機會遠端執行任意程式碼</strong></a></p> <p>資安研究人員Simone Margaritelli指出，Unix通用列印系統（Common UNIX Printing System，CUPS）存在一系列的漏洞，攻擊者有機會從遠端連入具有此弱點的Unix或Linux系統，執行任意程式碼，並透露問題出在CUPS有CVSS風險評分達到9.9的漏洞，相當危險。由於CUPS廣泛運用於Linux及Unix作業系統，這批漏洞有可能帶來相當大的危害。</p> <p>研究人員發現，如果電腦或伺服器啟用了cups-browsed處理程序，攻擊者就能監聽UDP連接埠631埠，並且到這些系統當中，建立PostScript印表機描述檔案（PPD）的惡意印表機，手動連接啟用該服務的電腦。</p> <p>如此一來，攻擊者就能從遠端進行惡意印表機的部署，若使用者利用這臺印表機進行列印，攻擊者的惡意指令就會在Unix或Linux本機系統執行。</p> <p><a href="https://www.ithome.com.tw/news/165247"><strong style="font-size: 22px;">Progress修補WhatsUp Gold 高風險漏洞</strong></a></p> <p>軟體業者Progress發布9月份安全更新，推出24.0.1版網路管理軟體WhatsUp Gold，修補多項高風險漏洞。</p> <p>值得留意的是，本次公告內容只提及漏洞名稱、CVSS風險評分、通報人員身分。這6項漏洞中，CVE-2024-8785及CVE-2024-46909為CVSS評分達到9.8的重大層級漏洞，分別源自Tenable和趨勢科技研究人員通報。其餘4項漏洞CVE-2024-46905、CVE-2024-46906、CVE-2024-46907及CVE-2024-46908皆為CVSS評分8.8的高風險漏洞，由趨勢科技ZDI研究人員通報。</p> <p><a href="https://www.ithome.com.tw/news/165252"><strong style="font-size: 22px;">HPE Aruba修補無線基地臺重大層級的命令注入漏洞</strong></a></p> <p>9月24日HPE Aruba Networking發布資安公告，該公司旗下的Wi-Fi基地臺存在重大漏洞CVE-2024-42505、CVE-2024-42506、CVE-2024-42507，影響執行Instant AOS-8與AOS 10作業系統的網路設備，這些漏洞出現在Aruba的基地臺管理通訊協定（Aruba's<br /> Access Point management protocol，PAPI），為命令注入漏洞，攻擊者可用來遠端執行任意命令，CVSS風險評分達到9.8。</p> <p>這些命令注入漏洞存在於命令列介面（CLI）服務，攻擊者可在未通過身分驗證的情況下，傳送特製封包到採用PAPI協定的UDP埠（8211埠），從而觸發上述弱點，一旦成功，攻擊者就能以特殊權限的使用者身分，於作業系統底層執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/165250"><strong style="font-size: 22px;">Nvidia容器工具包存在重大漏洞，逾三分之一雲端環境恐曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/spzTBsjncV.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/spzTBsjncV.png" style="width: 300px; float: right;" /></a>資安業者Wiz揭露位於Nvidia Container Toolkit的安全漏洞CVE-2024-0132，它允許駭客突破容器的隔離限制而存取主機，CVSS風險評為9.0分，Nvidia亦發布1.16.2版修補。</p> <p>CVE-2024-0132為時間檢查與時間使用（TOCTOU）漏洞，發生在檢查資源狀態與使用該資源間的時間差中，在預設的配置下執行特定的容器映像檔就會觸發該漏洞，允許駭客存取主機的檔案系統，成功的利用可導致程式執行、服務阻斷攻擊、權限擴張、資訊揭露或是竄改資料等行為。</p> <p>有鑑於Nvidia為全球最大的顯示晶片供應商，Wiz估計，全球有33%的雲端環境都安裝了Nvidia Container Toolkit而可能曝險。</p> <p><a href="https://www.ithome.com.tw/news/165252"><strong style="font-size: 22px;">HashiCorp修補帳密管理工具Vault高風險漏洞</strong></a></p> <p>9月26日雲端服務基礎設施自動化業者HashiCorp發布資安公告，指出旗下的機敏資訊（secrets）管理工具Vault存在高風險漏洞CVE-2024-7594，同時影響社群版（Community Edition）與企業版（Enterprise），對此，他們發布社群版1.17.6，以及企業版1.17.6、1.16.10、1.15.15予以修補。</p> <p>這項漏洞發生的原因，在於SSH機敏資訊引擎的valid_principals列表預設不須具備任何參數，一旦valid_principals及default_user欄位尚未設定，任何得到授權的使用者請求的SSH憑證，將能對任何本機使用者進行身分驗證，CVSS風險評分為7.7。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/168953/ics-scada/openplc-critical-flaw.html">OpenPLC存在重大漏洞，攻擊者可發送特製請求觸發</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/proxmox-virtual-environment-and-mail-gateway-exposed-to-critical-api-vulnerability/">Proxmox虛擬化平臺、郵件安全閘道的API存在高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyberdanube.com/en/en-multiple-vulnerabilities-in-riello-netman-204/index.html">Riello不斷電系統存在漏洞，恐導致設備遭到接管</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.pentestpartners.com/security-blog/proroute-h685-4g-router-vulnerabilities/">Proroute旗下4G路由器存在高風險命令注入漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.videolan.org/security/sb-vlc3021.html">影音播放器VLC Media Player修補高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165219"><strong style="font-size: 22px;">Firefox被控侵犯用戶隱私</strong></a></p> <p>非營利的歐洲數位人權中心None of Your Business（NOYB）向奧地利資料保護機構（DSB）投訴，指控Mozilla基金會在Firefox瀏覽器中內建的隱私保護歸因（Privacy Preserving Attribution，PPA）在未取得使用者同意之前便預設啟用，違反GDPR。</p> <p>NOYB認為，Mozilla企圖在不於各個網站蒐集個人資料的情況下衡量廣告效果，但事實上，有部分的追蹤能力直接轉移到Firefox上，雖然相較於在美國常見的無限追蹤，PPA的侵入性較小，但根據GDPR，它依然侵犯了使用者的權利，因為它並沒有取得使用者的明確同意。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165236"><strong>【9月27日】駭客利用Docker引擎API進行挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165207"><strong>【9月26日】macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165183"><strong>【9月25日】UNC1860為攻擊中東企業組織的駭客開路</strong></a></p> </div></div></div>
2024/9/30 18:15作者周峻佑https://www.ithome.com.tw/news/165259
Unix與Linux普遍內建的列印系統CUPS存在9.9分重大漏洞，攻擊者有機會遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Simone Margaritelli指出，<a href="https://www.evilsocket.net/2024/09/26/Attacking-UNIX-systems-via-CUPS-Part-I/">Unix通用列印系統（Common UNIX Printing System，CUPS）存在一系列的漏洞</a>，攻擊者有機會從遠端連入具有此弱點的Unix或Linux系統，執行任意程式碼，並透露<a href="https://x.com/howardl3/status/1839103445296394554">問題出在CUPS有CVSS風險評分達到9.9的漏洞</a>，相當危險。由於CUPS廣泛運用於Linux及Unix作業系統，這批漏洞有可能帶來相當大的危害。</p> <p>這批漏洞包括：CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177，存在libcupsfilters、libppd、cups-browsed、cups-filters等元件。</p> <p>研究人員發現，如果電腦或伺服器啟用了cups-browsed處理程序，攻擊者就能監聽UDP連接埠631埠，並且到這些系統當中，建立PostScript印表機描述檔案（PPD）的惡意印表機，手動連接啟用該服務的電腦。</p> <p>如此一來，攻擊者就能從遠端進行惡意印表機的部署，若使用者利用這臺印表機進行列印，攻擊者的惡意指令就會在Unix或Linux本機系統執行。</p> <p>值得留意的是，由於大多數的Linux作業系統、部分BSD作業系統、ChromeOS、Solaris都內建CUPS，且有部分預設啟用，研單就網際網路環境而言，研究人員目前發現啟用cups-browsed的系統多達數十萬臺，因此他呼籲使用者最好停用、刪除cups-browsed服務，並更新CUPS套件，若是無法採取以上措施，應封鎖所有UDP連接埠631埠的流量。</p> <p>不過，<a href="https://www.bleepingcomputer.com/news/security/cups-flaws-enable-linux-remote-code-execution-but-theres-a-catch/">有些研究人員認為</a>，這些漏洞的實際影響可能相當有限，因為上述的漏洞攻擊手法存在兩項限制，首先電腦或伺服器必須啟用cups-browsed服務，再者，攻擊者必須誘騙使用者利用新印表機執行列印。</p> </div></div></div>
2024/9/30 17:33作者周峻佑https://www.ithome.com.tw/news/165257
Docker引擎API遭鎖定，駭客企圖從事挖礦攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>濫用Docker、Kubernetes等環境從事挖礦攻擊的情況一直都存在，本週有研究人員揭露新一波大規模行動。</p> <p>雲端監控服務業者Datadog旗下的資安實驗室發現，<a href="https://securitylabs.datadoghq.com/articles/threat-actors-leveraging-docker-swarm-kubernetes-mine-cryptocurrency/">有人針對Docker引擎的API從事挖礦攻擊</a>，並橫向移動到Docker Swarm、Kubernetes，以及其他能透過SSH存取的伺服器。駭客將受害主機加入他們控制的Docker Swarm叢集，並濫用Docker Swarm的編排（orchestration）功能進行C2通訊。</p> <p>除此之外，這些駭客也濫用Docker Hub，並上傳大量惡意映像檔。根據有效酬載當中寫死的檔案系統路徑，研究人員推測，對方還運用雲端IDE環境GitHub Codespaces的運算基礎架構。</p> <p>攻擊者起初鎖定曝露在網際網路上的Docker API端點，在未經身分驗證的情況下執行惡意命令，過程中，也透過已經受害的節點執行masscan、zgrab等網路掃描工具來尋找目標，隨後濫用Docker的API植入Alpine容器，執行後續的攻擊流程。</p> <p>惡意軟體會先檢查目前環境是否具備特定的資料傳輸工具，以及執行的權限是否為root，完成後就會從GitHub取得挖礦軟體XMRig安裝指令碼，並搭配特定使用者字串進行部署。</p> <p>值得留意的是，攻擊者為了隱匿相關處理程序，從C2下載Linux物件共享檔案的處理程序隱藏工具，並藉由動態連結器挾持手法，將其設置為符合特定條件才動作的模式，例如，只要有執行檔啟動，就會觸發這項工具運作。</p> <p>上述攻擊行動完成後，駭客還會進一步橫向移動。他們運用kube.lateral.sh、spread_docker_local.sh、spread_ssh.sh等三種指令碼來進行，這些分別針對Kubernetes、Docker端點，以及SSH伺服器而來。</p> </div></div></div>
2024/9/27 14:27作者周峻佑https://www.ithome.com.tw/news/165225
【資安日報】9月26日，macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI的應用當紅，相關應用系統的資安漏洞也隨之引起研究人員關注，本週有研究人員公布存在於ChatGPT的漏洞SpAIware，並指出攻擊者可對使用macOS版應用程式的使用者下手，從而側錄其對話內容。</p> <p>值得留意的是，利用這項弱點的概念性驗證攻擊當中，其實串連了多個環節，其中之一就是ChatGPT的新功能「記憶（Memory）」機制，攻擊者藉此讓所有ChatGPT回覆的資訊都帶有惡意內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165206"><strong style="font-size: 22px;">勒索軟體RansomHub利用EDRKillShifter載入作案工具，癱瘓防毒及EDR產品的防護</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EDRKillShifter-Fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EDRKillShifter-Fig1.png" style="width: 300px; float: right;" /></a></p> <p>為了加密受害電腦檔案，勒索軟體駭客RansomHub會運用名為EDRKillShifter的工具，將防毒軟體或端點防護工具EDR停用，該勒索軟體運作已超過半年，迄今超過210個企業組織受害，而受到資安圈高度關注。但駭客如何運用EDRKillShifter達到目的？有研究人員公布更多細節。</p> <p>資安業者趨勢科技指出，駭客已將EDRKillShifter整合到他們的攻擊鏈，而這個惡意程式之所以能攻入受害者電腦，主要是利用存在弱點的驅動程式，但除此之外，駭客也企圖讓這支程式持續於受害電腦運作，目的是讓整個攻擊流程都能不受干擾。</p> <p>值得留意的是，攻擊者不只將EDRKillShifter用於阻礙防毒軟體及EDR的運作，還將其當作惡意程式載入工具，來執行各階段的作案工具。</p> <p><a href="https://www.ithome.com.tw/news/165203"><strong style="font-size: 22px;">安卓金融木馬Octo2鎖定歐洲國家，接管受害裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide4-Sep-20-2024-10-23-20-9512-AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide4-Sep-20-2024-10-23-20-9512-AM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ThreatFabric針對安卓金融木馬Octo2的攻擊行動提出警告，根據他們的研究，該惡意程式以名為Octo（也叫做ExobotCompact）的木馬程式為基礎進行開發，而且，為了提高裝置接管（Device Takeover，DTO）攻擊的可用性，攻擊者改良遠端控制功能的穩定性，也納入複雜的混淆技術，從而迴避相關偵測機制。值得留意的是，在部分歐洲國家已出現實際攻擊行動。</p> <p>根據研究人員收集的威脅情報指出，首度出現的Octo2，在義大利、波蘭、摩爾多瓦、匈牙利都有活動跡象，駭客假借提供Chrome、NordVPN，以及名為Enterprise Europe Network的應用程式為誘餌，引誘使用者上當。</p> <p>一旦使用者執行駭客提供的檔案，手機就會被植入惡意程式Zombinder，接著攻擊者會聲稱為了符合Google的使用者資料隱私政策，要求使用者同意安裝必要的外掛程式，而這個外掛就是Octo2。之所以這麼做，目的就是要繞過Google從Android 13導入的新防護機制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/analysis-pentest-tool-splinter/">駭客利用Rust打造的紅隊演練工具Splinter從事攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-actor-uses-compromised-accounts-customized-social-engineering">北美交通物流業者遭到鎖定，駭客散布惡意軟體Lumma Stealer、NetSupport</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/09/transportation-companies-hit-by.html">汽車經銷商AutoCanada傳出遭Hunter International洩露員工資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.bushidotoken.net/2024/09/examining-mobile-threats-from-russia.html">俄羅斯駭客偏好針對安卓、iOS行動裝置下手，從事網路間諜活動、竊取機密及軍事情報</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/technology/mozilla-accused-of-tracking-users-in-firefox-without-consent/">Mozilla基金會傳出透過Firefox隱私功能，未經同意追蹤使用者上網行為</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165198"><strong style="font-size: 22px;">macOS版ChatGPT軟體存在漏洞，攻擊者恐藉此將間諜軟體植入AI工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chatgpt-macos-persisten3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/chatgpt-macos-persisten3.png" style="width: 300px; float: right;" /></a></p> <p>今年2月OpenAI宣布將為ChatGPT提供名為記憶（Memory）的功能，並於9月初正式開放所有用戶使用，但有研究人員發現，電腦版應用程式弱點，有機會讓攻擊者將間諜軟體植入AI系統。</p> <p>資安研究員Johann Rehberger揭露名為SpAIware的弱點，攻擊者可藉由第三方網站進行提示注入（Prompt Injection）攻擊手法，將含有能竊取使用者資訊的間諜軟體注入ChatGPT的記憶區，因此，在macOS版應用程式當中，使用者與AI機器人對話的內容，將會持續傳送到攻擊者的伺服器。OpenAI獲報後，已發布新版應用程式予以修補。</p> <p>究竟要如何發動SpAIware攻擊？具體而言，攻擊者要引誘使用者分析不受信任的檔案，或是將他們導向不受信任的網站，而這個網站含有控制ChatGPT及插入惡意資料而能滲透ChatGPT記憶功能的命令。一旦得逞，應用程式就會將使用者後續的聊天內容傳送給攻擊者。</p> <p><a href="https://www.ithome.com.tw/news/165202"><strong style="font-size: 22px;">資料庫管理工具pgAdmin存在重大漏洞，攻擊者可繞過OAuth身分驗證流程挾持用戶資料</strong></a></p> <p>9月23日PostgreSQL資料庫管理工具pgAdmin 4發布8.12版，當中修補重大層級漏洞CVE-2024-9014，這項漏洞存在8.11版之前的所有版本，若不處理，很有可能對使用者資料造成危害。</p> <p>細部而言，此項資安弱點的問題出在OAuth2身分驗證機制，攻擊者有機會藉此取得用戶端ID及帳密機敏資料（Secret），進而在未經授權的情況下存取使用者的資料，CVSS風險評分為9.9（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/165142"><strong style="font-size: 22px;">Acronis修補備份軟體Plug-in程式的重大資安漏洞</strong></a></p> <p>資料保護軟體與服務廠商Acronis，於9月16日發布旗下Acronis Backup備份軟體Plug-in程式的更新通報，提醒用戶盡速更新軟體，以修補其中含有的重大資安漏洞CVE-2024-8767。</p> <p>CVE-2024-8767是Acronis評為嚴重性9.9分（滿分10分）的重大漏洞，問題出在Plug-in程式的權限設定不當，可能會讓受影響的伺服器發生敏感資訊外洩的狀況，並讓攻擊者執行未授權的操作。</p> <p>受這個漏洞影響的Acronis Backup備份Plug-in程式，包括搭配cPanel & WHM、Plesk與DirectAdmin等3款Linux平臺主機與網站管理工具的Plug-in程式，這些Plug-in程式的用途是將前述管理工具的資料，備份到Acronis Backup環境中。Acronis建議將搭配cPanel & WHM與Plesk的Plug-in程式，分別更新到1.8.0版，而搭配DirectAdmin的Plug-in則更新到1.2.0版。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165183"><strong>【9月25日】UNC1860為攻擊中東企業組織的駭客開路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165170"><strong>【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> </div></div></div>
2024/9/26 17:09作者周峻佑https://www.ithome.com.tw/news/165207
【資安日報】9月24日，北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客針對開發人員從事攻擊行動的情況，不時傳出有關事故，其中一種攻擊類型，就是上架惡意NPM、PyPI套件，引誘開發人員上當而下載、安裝，於受害電腦植入惡意軟體。過往這種攻擊的目的，主要是為了洗劫開發人員的加密貨幣資產，如今駭客的目的出現變化。</p> <p>本週資安業者Palo Alto Networks揭露的資安事故，就是這種例子，駭客真正的目的，是為了發動供應鏈攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165168"><strong style="font-size: 22px;">北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT</strong></a></p> <p>北韓駭客近年來鎖定軟體開發人員的攻擊行動變得更加頻繁，這包含了針對正在求職的開發人員散布惡意軟體，以及藉由惡意軟體套件發動攻擊的情況，而最近，有研究人員揭露針對Linux、macOS使用者的攻擊行動。</p> <p>資安業者Palo Alto Networks指出，他們看到別名為AppleJeus、Gleaming Pisces的北韓駭客Citrine Sleet，於PyPI上傳惡意Python套件real-ids、coloredtxt、beautifultext、minisound，一旦開發人員上當，在開發環境部署，電腦就有可能被植入惡意軟體PondRAT。</p> <p>而對於駭客的目的，研究人員評估，很有可能是為了要藉由開發人員的端點電腦從事供應鏈攻擊，將受害電腦作為存取軟體業者的主要媒介，接著進一步挖掘入侵軟體公司客戶的管道。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-mallox-ransomware-linux-variant-based-on-leaked-kryptina-code/">勒索軟體Mallox擴大攻擊版圖，使用Kryptina程式碼打造Linux版加密工具</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/necro-trojan-is-back-on-google-play/113881/">安卓木馬Necro上架Google Play市集，感染逾1千萬臺裝置</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-RECORDSTEALER-with-Google-Security/ba-p/803490">駭客假借提供應用程式及破解軟體，散布竊資軟體RecordStealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/atandt-pays-13-million-fcc-settlement-over-2023-data-breach/">針對2023年資料外洩事故，AT&T向FCC支付1,300萬美元尋求和解</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/kaspersky-deletes-itself-installs-ultraav-antivirus-without-warning/">美國卡巴斯基用戶電腦的防毒軟體遭到無預警刪除，並被植入「UltraAV」</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165153"><strong style="font-size: 22px;">Grafana修補軟體開發套件資訊洩露漏洞</strong></a></p> <p>上週圖像化資料分析系統Grafana開發團隊發布資安公告，指出他們提供的外掛程式軟體開發套件（SDK）grafana-plugin-sdk-go，存在重大層級的資訊洩露漏洞CVE-2024-8986，0.249.0版及之前版本都受到影響，4.0版CVSS風險評分達到9.1，開發團隊目前已發布0.250.0版進行修補。</p> <p>關於這項漏洞發生的原因，Grafana指出，問題出在此開發套件在編譯二進位檔案的過程當中，會同時加入相關中繼資料，其中包含外掛程式的程式庫URI資訊，若是URI含有帳密資料，就有可能導致此類資料隨著編譯完成的檔案流出，發生資料外洩危機。</p> <p><a href="https://www.ithome.com.tw/news/165166"><strong style="font-size: 22px;">Microchip進階軟體框架存在重大RCE漏洞</strong></a></p> <p>卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）指出，Microchip進階軟體框架（Advanced Software Framework，ASF）存在可被用於遠端執行任意程式碼（RCE）的重大層級漏洞CVE-2024-7490，影響3.52.0.2574版以下所有的ASF，4.0版CVSS風險評分為9.5。值得留意的是，因Microchip已不再提供ASF相關支援，將不會對該漏洞進行修補。</p> <p>這項漏洞存在於tinydhcp伺服器元件，發生的原因在於，ASF的DHCP通訊協定實作無法進行輸入驗證，導致攻擊者有機會藉此導致記憶體緩衝區溢位，進而能夠遠端執行程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165154"><strong style="font-size: 22px;">Telegram調整隱私政策，同意交出用戶IP位址及電話予執法機構</strong></a></p> <p>上個月Telegram創辦人暨執行長Pavel Durov在法國被捕，並以500萬歐元交保，外傳原因是Telegram拒絕交出嫌犯資料，Durov被控共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM），此事近期出現新的發展。</p> <p>本周一（9月23日）<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Durov</span>透過自己的頻道宣布，為了進一步扼止不法份子濫用Telegram Search，他們更新服務條款及隱私政策，倘若違反該平臺的政策，將會把用戶的IP位址及電話號碼，提供給提出執法要求的執法機構。Durov強調，該公司將在全球市場採用一致的服務條款與隱私政策。</p> <p><a href="https://www.ithome.com.tw/news/165157"><strong style="font-size: 22px;">美國商務部提議禁止中國與俄羅斯連網汽車的軟硬體</strong></a></p> <p>美國商務部（Department of Commerce，DoC）9月23日提出了「法規命令訂定通知」（Notice of proposed rulemaking，NPRM），為了保護美國不受特定國家連網汽車技術的危害，將禁止來自中國與俄羅斯的連網汽車硬體及軟體，特別是當今在中國汽車製造商企圖主導全球連網汽車市場，假若該法規通過，軟體禁令將於2027年生效，硬體禁令則會在2029年生效。</p> <p>商務部認為，有鑑於連網汽車上的某些軟體及硬體能夠捕獲有關地理位置或關鍵基礎設施的資訊，替攻擊者提供破壞車輛或基礎設施的機會，特別是來自中國及俄羅斯的連網汽車中所使用的某些技術構成了極為嚴重的威脅，因而提議禁止進口或銷售源自中國或俄羅斯的實體設計、開發、製造或供應的某些連網汽車系統。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> </div></div></div>
2024/9/24 17:08作者周峻佑https://www.ithome.com.tw/news/165170
北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客近年來鎖定軟體開發人員的攻擊行動變得更加頻繁，這包含了針對正在求職的開發人員散布惡意軟體，以及藉由惡意軟體套件發動攻擊的情況，而最近，有研究人員揭露針對Linux、macOS使用者的攻擊行動。</p> <p>資安業者Palo Alto Networks指出，他們看到別名為AppleJeus、Gleaming Pisces的北韓駭客Citrine Sleet，<a href="https://unit42.paloaltonetworks.com/gleaming-pisces-applejeus-poolrat-and-pondrat/?web_view=true">於PyPI上傳惡意Python套件real-ids、coloredtxt、beautifultext、minisound</a>，一旦開發人員上當，在開發環境部署，電腦就有可能被植入惡意軟體PondRAT。</p> <p>根據程式碼的相似特徵，以及過往發現駭客的攻擊手法特質，研究人員從而認為攻擊者的身分很有可能就是Citrine Sleet。</p> <p>而對於駭客的目的，研究人員評估，很有可能是為了要藉由開發人員的端點電腦從事供應鏈攻擊，將受害電腦作為存取軟體業者的主要媒介，接著進一步挖掘入侵軟體公司客戶的管道。</p> <p>另一方面，他們也找到惡意程式PoolRAT的Linux版變種，該惡意程式駭客曾在3年前用於攻擊3CX網路電話環境，他們將PoolRAT與PondRAT進行比對，認為PondRAT是RoolRAT的簡化版本。</p> </div></div></div>
2024/9/24 16:36作者周峻佑https://www.ithome.com.tw/news/165168
【資安月報】2024年8月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2024年8月資安新聞，本月適逢Black Hat USA 2024與Def Con大會於美國拉斯維加斯登場，最新漏洞與研究成果揭露的消息不斷，持續引發資安研究人員的重視，還有其他重要資安防護與威脅方面的消息也不能忽視，我們整理6大焦點，幫助大家快速回顧重要資安態勢。</p> <p><strong><span style="color:#FF0000;">焦點1：</span></strong>在一年一度的Black Hat USA大會上，每年都有許多全球頂尖資安研究人員揭露最新的研究成果，今年也不例外，包括臺灣的戴夫寇爾首席資安研究員蔡政達（Orange Tsai），他不僅探索了Apache HTTP Server中存在的架構問題，揭開名為Confusion Attacks的全新攻擊面向。</p> <p>而在關注這些漏洞研究之餘，今年還有一個很特別的重點，由於2024年底適逢美國總統大選，因此本屆Black Hat大會開場主題座談，就是聚焦民主與選舉安全的探討，場中不僅有美國CISA局長Jen Easterly出席，還有歐盟ENISA網路安全與營運長Hans de Vries，以及英國NCSC執行長Felicity Oswald，強調鞏固投票安全機制之餘，新挑戰是面對選舉過程的錯誤訊息的傳播，指出對手更專注在破壞選舉過程的印象，而不是直接入侵選舉過程。換句話說，他們的目的是讓選民感到他們的選票沒有保障。</p> <p><span style="color:#FF0000;"><strong>焦點2：</strong></span>因應日後量子破密威脅所設計的後量子密碼學（PQC）標準，在8月13日有3款標準率先正式出爐。</p> <p>美國NIST指出，在通用加密方面，以FIPS 203（ML-KEM）為主要標準，在數位簽章方面，以FIPS 204為主要標準（ML-DSA），FIPS 205（SLH-DSA）可作為備用方法使用。</p> <p>雖然PQC標準還在持續發展，像是FIPS 206預計在年底發布，並且還在繼續評估其他演算法，但由於全面轉換需要時間，如今這3個PQC標準已經發布，需要更多企業組織意識到：公鑰密碼系統的全面升級與轉換，現在就應該著手準備與進行。</p> <p><span style="color:#FF0000;"><strong>焦點3：</strong></span>趨勢科技在黑帽大會展示深度偽造（Deepfake）偵測技術解決方案受矚目，因為這方面的威脅討論多年，過去我們常看到一些科技大廠發起這方面的偵測競賽，希望大家發展防護技術，如今該公司不僅先釋出提供給一般使用者的工具，也透露這樣的功能將納入其商用解決方案之中。</p> <p>此外，到了8月底，另一家以影音工具聞名的訊連科技在他們的用戶大會上，公開說明已開發出DeepFake深偽偵測工具。這些商用產品的新功能發表，均顯示這方面技術的突破。</p> <p><span style="color:#FF0000;"><strong>焦點4：</strong></span>關於駭客鎖定企業產品的零時差漏洞利用上，這個月有一起重大事件發生，那就是──SASE供應商Versa Networks的產品遭鎖定，導致造成5家ISP網路服務供應商及MSP代管服務供應商受害。</p> <p>這起事件是電信業者Lumen旗下的資安實驗室Black Lotus Labs揭露，指出是中國駭客組織Volt Typhoon發起Versa Director零時差利用攻擊（CVE-2024-39717），並說明其攻擊手法，包括駭客先透過曝露於公開網路的Versa管理埠存取系統，再利用零時差漏洞並部暑一個名為VersaMem的Web Shell，藉此攔截與蒐集憑證，使攻擊者能以經過驗證的用戶身分，存取下游的客戶網路。</p> <p>值得我們注意的是，駭客鎖定企業產品的零時差漏洞利用的狀況日益嚴峻，並有越來越多IT供應商成為目標，Versa Networks這次事件就是最新一例，中國駭客鎖定其產品的零時差漏洞來入侵ISP與MSP業者。</p> <p><span style="color:#FF0000;"><strong>焦點5：</strong></span>在勒索軟體威脅方面，這個月有兩大值得關注的焦點，首先我們看到，Zscaler一份最新報告指出，有勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），也就是不只勒索金額獅子大開口，而且還勒索成功，區塊鏈分析業者Chainalysis也證實此狀況。這樣的態勢，引起這些業者憂心有其他駭客集團仿效。</p> <p>另一是今年上半才現身的RansomHub勒索軟體，美國多個安全機構發布在8月發布聯合公告，指出全球至少210個企業組織受害，因此提供該組織的入侵手法（TTP）與入侵指標（IOC），呼籲外界對於該組織所帶來的危害更要有所警覺。</p> <p><span style="color:#FF0000;"><strong>焦點6：</strong></span>在AI資安方面，近期有不少重要新聞，像是微軟、Nvidia、英特爾及Google等宣布成立安全AI聯盟CoSAI，目標是建立一個協作生態體系，以解決開發者與採用者在確保AI技術安全時，面臨遵循指南與標準不一或各自獨立的狀況。</p> <p>這個月還有一些重要新聞同樣值得關注，例如，今年美國政府正強調AI長的重要性，以負責主導及監督AI技術的使用，並考慮安全及可靠性；在AI安全及可靠性評估的工具方面，美國CISA釋出相關軟體測試平臺Dioptra 1.0版；在產業端有趨勢科技強調用AI做資安風險管理要有新作法，特別的是，他們還預告要用AI幫助計算風險損失金額，並能預測攻擊路徑。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/164279"><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月29日到8月2日</span></a></strong></h2> <p>這一星期的資安新聞中，在資安威脅態勢上，我們認為有3項消息需要特別重視，涵蓋勒索軟體、網釣攻擊、GitHub遭濫用。</p> <p>（一）駭客開出的勒索金額出現獅子大開口的情形，在Zscaler的一份最新報告指出，勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），區塊鏈分析業者Chainalysis也證實此情形，並擔心引起其他駭客集團仿效。</p> <p>（二）有資安業者揭露一起大規模網路釣魚攻擊行動，攻擊者竟然可以發送具有通過SPF和DKIM簽章驗證的大量郵件，調查後發現，駭客疑似利用Proofpoint的郵件防護服務漏洞EchoSpoofing。Proofpoint也提出說明，表示這起事件呈現的弱點並非他們的系統獨有。</p> <p>（三）關於程式碼儲存庫GitHub遭駭客濫用的情形，最近又有新的發現，有資安業者示警，發現駭客組織Stargazers Ghost專門經營大量帳號並提供儲存庫讓駭客與犯罪集團使用，進而形成龐大的網路犯罪生態圈。</p> <p>在APT威脅與資安事件方面，主要有2個重點，分別是關於APT45、APT10的攻擊活動揭露，還有國內外的2起重大資安事件。我們整理如下：<br /> ●近日北韓駭客組織APT45的攻擊行動被大量揭露，包括Google旗下Madiant、微軟，還有美國司法部起訴APT45中一名北韓駭客成員Rim Jong Hyok，當中更是透露受害者不只美空軍基地、NASA，還有臺灣與美、韓的國防承包商。<br /> ●在上個月，日本JPCERT/CC揭露當地製造業、研究機構發動攻擊遭受攻擊，被植入後門程式NoopDoor，如今有資安業者公布該惡意程式細節並指出是中國駭客組織APT10所慣用的惡意程式。<br /> ●華經資訊發布資安重訊，說明已啟動相關防禦機制與復原作業。<br /> ●日本夏普的網路商店Cocoro Store遭入侵，逾10萬人個資恐外流。</p> <p>在漏洞消息方面，本星期共有7個漏洞利用狀況，其中Broadcom在6月底修補VMware ESXi的漏洞CVE-2024-37085最要注意。因為通報的微軟最近揭露相關細節，並指出這個漏洞在修補前就已遭多個攻擊者鎖定利用。換言之，該漏洞在當時就已是零時差漏洞被積極利用，但修補釋出當時公告並未提及此一狀況。</p> <p>其他已知漏洞遭利用的情形，有2個是7月初才修補，包括： ServiceNow的漏洞（CVE-2024-4879、CVE-2024-5217），以及Twilio的Authy漏洞（CVE-2024-3989），還有1個是去年底Acronis修補的漏洞（CVE-2023-45249）。特別的是，2012年微軟修補的IE漏洞（CVE-2012-4792），最近也被美國CISA列入已知漏洞利用清單。</p> <p>還有一個Secure Boot繞過漏洞「PKfail」的揭露，有資安業者發現共發現22個獨特但不可信的平臺金鑰，影響將近900款產品，包括技嘉、Supermicro、Dell等9大業者，並指出這是韌體供應鏈在加密金鑰管理實務上的嚴重問題。</p> <p>關於0719的CrowdStrike引發大當機事件，持續有後續消息，例如，有駭客趁機利用這起事故鎖定CrowdStrike用戶發動攻擊，佯稱提供當機報告程式，但其目的是散步惡意軟體；iThome持續追蹤當時的發生狀況原因，以及對於整個資安產業的影響，我們找到幾位臺灣資安專家，分享對此事故的觀察，他們指出CrowdStrike的病毒特徵碼設計不良之餘，也提及類似CrowdStrike更新出包的意外，是所有端點防護公司都可能發生的，因此，要避免類似意外發生，一定需要重複經過各種驗證程序。</p> <p>至於資安防禦態勢上，有3個重要消息不容錯過，涵蓋AI評估測試、同態加密技術相關工具的釋出，以及cookie theft的防範。例如，美國CISA釋出可用於評估AI安全及可靠性的軟體測試平臺的Dioptra 1.0版，以及Apple將自家發展用於保護隱私的同態加密技術，以開源Swift開源套件釋出。此外，Google為了應對現在許多竊資軟體具有cookie theft手段，宣布將針對Windows版Chrome瀏覽器，提供應用程式導向的加密（App-Bound Encryption）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164408"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月5日到8月9日</span></strong></a></h2> <p>這一星期Black Hat USA 2024於美國拉斯維加斯登場，今年是第27屆，照往年慣例，有很多資安新聞都在此時發布，特別的是，今年新納入的AI Summit研討會於當地時間6日舉行，趨勢科技也在一場演說中展示偵測深偽（Deepfake）商用解決方案，同時闡釋AI世代的企業資安風險管理差異，幫助大家因應未來的局勢。</p> <p>黑帽大會主活動於7日與8日展開，當中有許多全球頂尖資安研究人員揭露最新的研究成果，我們在這一星期資安日報的新聞，也陸續報導相關消息。</p> <p>●賽門鐵克揭露6起攻擊者濫用合法雲端服務的攻擊行動，不僅指出這些手法日趨複雜，特別的是，研究人員提及中國駭客組織UNC5330散布Grager後門程式，攻擊目標是臺灣、香港、越南的企業組織。<br /> ●德國CISPA亥姆霍茲資訊安全中心揭露GhostWrite漏洞，問題發生在阿里巴巴旗下平頭哥半導體（T-Head）所生產的RISC-V處理器玄鐵C910，並指出其影響範圍可能很廣泛且難以修補。<br /> ●Zenity研究人員公布了如何將Copilot變成駭客武器的最新研究，並釋出新的LOLCopilot紅隊工具模組，當中主要探討駭客如何在滲透後利用Microsoft Copilot來搜尋、解析並竊取敏感資料，而且不會產生日誌。<br /> ●資安業者Bitdefender揭露Solarman太陽能發電監控系統、寧波德業（Deye）逆變器的漏洞，兩家業者在接獲通報後皆著手修補。（研究人員是在美國黑帽大會附近另一場於8日到11日舉行的DEF CON 32資安會議展示這項成果。）</p> <p>臺灣資安研究人員也在本次黑帽大會揭露重要發現，並且於臺灣時間周末登場，因此我們在本期資安週報先行整理。例如，<a href="http://blog.orange.tw/2024/08/confusion-attacks-ch.html?fbclid=IwY2xjawEmX_pleHRuA2FlbQIxMQABHZvi4Nuzpa9EUZIMW14BlGl9n70C1V-oVwHKYdXvEBoPHkhPvZqv292TJA_aem_yW8w1R3MJFLqgj44eEnFOg">戴夫寇爾首席資安研究員蔡政達（Orange Tsai）</a>，今年他揭開名為Confusion Attacks的全新攻擊面向，當中探索了Apache HTTP Server中存在的架構問題，並在攻擊研究中找到9個漏洞，而Orange先前也已將這些漏洞通報給Apache軟體基金會，在7月已有修補釋出（還有1個漏洞的CVE編號待公布）；<a href="https://www.blackhat.com/us-24/briefings/schedule/#attention-is-all-you-need-for-semantics-detection-a-novel-transformer-on-neural-symbolic-approach-39527">睿控網安的研究人員鄭仲倫、馬聖豪、林怡安‍</a>則公開資安防護上對於惡意程式分析的新方法，主要針對攻擊者將惡意程式碼混淆以規避偵測與分析的問題，提出一種新穎且基於神經網路的符號執行大型語言模型－－CuIDA，以模擬人類專家分析策略來進行，並可在不對加殼器進行解壓或解密的情況下，直接檢測被保護的可執行文件。</p> <p>在漏洞消息方面，本星期共有3個漏洞利用狀況值得我們重視，其中一項已知漏洞的防範，需要國內特別重視，因為資安業者指出有中國駭客利用該漏洞入侵臺灣研究機構。</p> <p>（一）思科旗下Talos揭露APT41針對臺灣政府所屬研究機構的攻擊行動，當中具體列出該組織的手法，以及使用已知漏洞<span style="color: rgb(0, 0, 255);">CVE-2018-0824</span>，將惡意程式ShadowPad、Cobalt Strike等攻擊工具植入這個研究機構。<br /> （二）開源ERP系統Apache OFBiz在今年5月修補的漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-32113</span>，大家要當心！因為最近出現攻擊者鎖定利用這個管道的狀況。SANS網路風暴中心指出，最近利用此漏洞的攻擊行動，其目的是將殭屍網路病毒Mirai植入OFBiz。<br /> （三）在Android的8月例行更新中，包含1個已遭利用的零時差漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-36971</span>修補。該漏洞今年6月公布時存在Linux作業系統核心，但該漏洞也影響到Android系統，後續Google TAG小組發現有此漏洞的針對性攻擊跡象。</p> <p>還有2個與臺灣有關的漏洞消息，首先是美國CISA針對臺灣視訊監控設備廠商陞泰科技（Avtech）發布警告，指出其產品存在漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-7029</span>並被用於攻擊行動，但陞泰尚未公布緩解措施，因此CISA特別提供可降低此漏洞遭利用的作法；另一是上月底PKfail漏洞揭露後，<a href="https://www.gigabyte.com/tw/Support/Security/2205">技嘉於8月1日</a>回應此問題的解法，他們表示，將在8月、9月釋出不同平臺的新版BIOS，予以修補。</p> <p>在資安事件方面，有2起消息與國內上市櫃公司有關，還有MDM業者遭駭引發上萬平板筆電無法使用，以及DigiCert撤銷8萬憑證的情形。我們整理如下：<br /> ●上市電腦及週邊設備業「偉聯科技」在8月5日發布資安重訊，說明部份資訊系統遭受駭客網路攻擊事件。<br /> ●上櫃資訊服務業「智聯服務」在8月5日發布資安重訊，說明部份僅供內部人員使用的資訊系統遭受駭客攻擊。<br /> ●在法國奧運賽事期間，當地博物館法國巴黎大皇宮說明遭遇網路攻擊事件，但也指出僅影響博物館內的書店與精品店。<br /> ●行動裝置管理（MDM）方案業者Mobile Guardian遭駭，導致列管的大量iOS及ChromeOS裝置遭未經授權存取，而這起事故也造成許多災情，例如新加坡就有1.3萬學生上課用的平板筆電無法使用。<br /> ●SSL數位憑證機構DigiCert宣布撤銷8萬多個憑證，影響6千多用戶，原因是他們自身未做好網域控制驗證。</p> <p>在資安防禦動向上，有兩個重要消息，一是中華資安國際預計於8月20日登錄興櫃，為臺灣證券市場新增一個資安生力軍；另一是美國CISA首任AI長在8月初出爐，這是因為美國OMB在今年3月的規範，強調在AI時代需有人來主導及監督如何使用AI技術，並考慮安全及可靠性，以此幫助眾人真正獲得AI帶來的好處。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164538"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月12日到8月16日</span></strong></a></h2> <p>在本星期資安周報中，在資安防禦上有一個重要消息，後量子密碼學（PQC）標準正式出爐，首先發布的有3個標準，分別是FIPS 203、FIPS 204與FIPS 205，這意味著PQC邁入新的里程碑，如今企業組織在因應未來量子破密威脅上，已經可以開始行動，因為將公鑰密碼系統轉換需要一定的時間。</p> <p>國內還有3項發展值得關注，包括數位部公布確保機關之間資料安全傳輸的T-Road最新進展，以及鷹眼識詐聯盟揭露AI偵測技術用於金融防詐的成效，以及專注詐騙防治與數位安全議題的「臺灣數位信任協會」成立；而在資安產品動向上，趨勢科技這禮拜揭露資安防護產品的AI應用發展，他們表示，正在發展計算網路安全風險可能損失金額，以及預測攻擊路徑等功能。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，企業在因應各項修補之餘，也要留意一個狀況，攻擊者正持續挖掘大量未知漏洞，也針對已知漏洞快速利用於攻擊行動。</p> <p>以微軟而言，這次修補了多達10個零時差漏洞，數量之多，放眼過去幾年也相當罕見，而且其中有6個已是零時差漏洞利用的狀況，包括：CVE-2024-38189、CVE-2024-38178、CVE-2024-38213、CVE-2024-38193、CVE-2024-38106、CVE-2024-38107，都是修補釋出前、攻擊者已先挖出漏洞並用於攻擊行動。此外，還有SolarWinds Web Help Desk有一個漏洞CVE-2024-28986，13日才宣布先釋出一個熱修補程式（Hotfix），16日美國CISA警告已有攻擊者正在利用。</p> <p>近期還有個涉及Windows CLFS的漏洞被公開也成大家關注的焦點，因為研究人員指出該漏洞可導致系統出現藍色當機（BSoD）的狀況。</p> <p>此外，由於8月上旬的美國黑帽大會與DEF CON剛剛結束，前一星期就有不少研究人員公開最新漏洞研究成果的新聞，這星期持續有相關報導。例如：</p> <p>●微軟研究人員揭露OVPNX，指出OpenVPN存在4個零時差漏洞。<br /> ●資安業者SafeBreach揭露QuickShell，指出Google檔案鄰近分享工具Quick Share存在一系列漏洞。<br /> ●資安業者SySS揭露工控系統遠端存取解決方案Ewon Cosy+存在6項漏洞<br /> ●英國資安業者NCC Group揭露Sonos智慧喇叭漏洞讓駭客得以監聽使用者<br /> ●資安業者Semperis揭露微軟Entra ID的弱點UnOAuthorized</p> <p>值得一提的是，在本屆DEF CON CTF搶旗競賽中，臺灣派出資安戰隊「If this works we'll get fewer for next year」，在全球1,742隊參賽的激烈戰況中，以第10名進入總決賽，之後在12支隊伍比拼下獲得第7名，再次取得不錯的成績。</p> <p>在資安事件焦點方面，有兩個關於資料外洩的新聞，一是有人在Breach Forums駭客論壇公布14億筆騰訊用戶資料，另一是南韓國防工業外包商傳出遭北韓駭客攻擊，導致空中偵察機的技術資料與規格與手冊外洩。</p> <p>還有一條新聞也引發了許多人討論，是因為傳出微軟將從Windows 11 24H2開始，以微軟帳號登入的新用戶，將預設啟用BitLocker加密功能，雖然此舉對於電腦內硬碟帶來更高保護，但引發一些反彈聲浪，包括影響系統效能，以及BitLocker的加密金鑰怕遺失等。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/164683"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月19日到8月23日</span></strong></a></h2> <p>這一星期的資安威脅態勢，有多起新聞是聚焦在偽冒、配置錯誤這兩大議題，成為不可忽視的風險熱點，突顯企業、個人在網路安全上的潛在薄弱環節。</p> <p>以偽冒事件而言，有3則消息，其中一起偽冒情境相當獨特，是讓用戶誤以為電腦更新進行中，但實際是利用遠端存取竊取資料。</p> <p>●駭客偽造WinRAR網站，建立與正牌官網（win-rar.com）一字之差的偽冒網站（win-rar.co），雖然此做法並不新奇，但涉及熱門軟體而受關注。<br /> ●惡意廣告運用動態關鍵字插入技術，鎖定特定公司或產品線並假冒其名義，例如假冒Google的行動中，還會利用Google Looker Studio製作圖片來假冒搜尋頁面，並透過圖片內嵌惡意連結引導至假冒的技術支援頁面。<br /> ●駭客組織先利用社交工程手法，並透過遠端連線請求傳送假的Windows Update的執行檔，特別的是，該程式的作用僅是偽冒出Windows更新的畫面，背後則是利用遠端存取竊取受害者的網路共享資料夾，再留下勒索訊息。</p> <p>以配置錯誤而言，本星期有3則新聞值得關注，下列第一則已有攻擊行動需特別注意，研究人員指出，有11萬個網域成為攻擊者可鎖定的對象，第二則有數千個公開的SuiteCommerce受影響，並且研究人員已經揭露這樣的問題，用戶需在攻擊者關注此攻擊面下，儘速對相關組態進行檢查。</p> <p>●出現一波向企業勒索的攻擊行動，是攻擊者鎖定在AWS公開曝險的bucket，並利用企業的雲端應用環境設定不當，進而得以竊取包含像是驗證憑證的環境變項檔（.env）檔竊取重要資料，並向受害組織勒索。<br /> ●針對Oracle旗下的雲端ERP平臺NetSuite，研究人員指出存在用戶配置錯誤情況相當廣泛，原因在於名為SuiteCommerce電商網站元件中一項CRT的存取控制錯誤組態造成，提醒相關用戶應加強這方面的管理，以避免資料外洩。<br /> ●航班追蹤平臺FlightAware發布資安事件公告，指出在7月底發現因配置錯誤問題，發生外洩該平臺用戶個資的事故。</p> <p>在資安事件方面，有5則重要新聞，當中以臺灣大學院校遭遇後門程式Msupedge攻擊的揭露最受關注，而且，值得警惕的是，入侵原因是未修補今年6月PHP程式語言修補重大漏洞；臺灣最大電子佈告欄（BBS）PTT傳出資料外洩的消息也引發關注，對此消息，<a href="https://www.facebook.com/PttTW/posts/913357430830764">批踢踢實業坊（Ptt.cc）已在隔日發布聲明</a>，傳聞中所稱取得的資料，應係自公開看板上所抓取的文章，並未發現有任何機密資訊受到危害。</p> <p>●國內有大學院校遭遇後門程式Msupedge的攻擊行動<br /> ●中國對臺認知作戰升級，在今年5月盜取飛官社群網站帳號抵毀國軍。<br /> ●PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料。<br /> ●美國半導體製造商Microchip傳出遭遇網路攻擊，造成工廠產能降低的影響。<br /> ●豐田美國分公司遭公布24GB公司資料，駭客表示是從其備份伺服器竊取。</p> <p>至於這一星期的漏洞利用消息，有1個零時差漏洞利用情形，Versa Networks旗下可簡化SASE服務的Versa Director平臺的漏洞CVE-2024-39717，美國CISA警告已獲知有主動利用的證據。</p> <p>還有5個漏洞利用要留意，包括：今年1月修補的 Jenkins CLI漏洞（CVE-2024-23897），以及前幾年多個已知漏洞，微軟Exchange Server漏洞（CVE-2021-31196），Linux Kernel漏洞（CVE-2022-0185 ），大華IP攝影機漏洞（CVE-2021-33044、CVE-2021-33045）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164797"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月26日到8月30日</span></strong></a></h2> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來警告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反映了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面，還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164223">2024年7月資安月報</a></h3> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <p> </p> <h3> </h3> <p> </p> </div></div></div>
2024/9/24 16:51作者羅正漢https://www.ithome.com.tw/news/165169
全球電子郵件系統安全亮紅燈！網擎解析郵件伺服器軟體資安危機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子郵件是眾多資安廠商公認最主要的網路攻擊起點，從2023年下半到現在，就有多起相關的資安事故與漏洞濫用事件躍上媒體版面，知名的郵件伺服器與郵件安全閘道陸續傳出災情，像是：Microsoft 365雲端服務的Outlook Web Access in Exchange Online（OWA），以及Outlook.com（<a href="https://www.ithome.com.tw/news/161017">HPE</a>、<a href="https://www.ithome.com.tw/news/157763">歐美政府</a>），開放原始碼電子郵件系統<a href="https://www.ithome.com.tw/news/162073">Zimbra</a>，<a href="https://www.ithome.com.tw/news/162079">Barracuda郵件安全閘道設備</a>，以及<a href="https://www.ithome.com.tw/news/164097">Cisco郵件安全閘道</a>。</p> <p>對於專營郵件伺服器與郵件安全系統的網擎資訊而言，也深刻體認到資安局勢日趨嚴峻，執行長廖長健在9月11日舉行的Hello World開發者大會首日下午的演講，一開場就有感而發。</p> <p>他表示，網擎目前服務許多重要客戶，雖然實際沒看到大量砲彈槍藥的來襲與血腥衝突，但每一天的資安都處於激烈攻防的戰爭狀態。就算強大如Google、微軟，任何軟體、雲端服務的業者並非百毒不侵，時時刻刻都面臨駭客的威脅。</p> <h3><span style="color:#0000FF;"><strong>電子郵件資安面臨不對稱的作戰態勢</strong></span></h3> <p>「你的敵人看不見、你的敵人不睡覺，總是想方設法、一直要攻破你」，事實上，我們如今已身處在不對稱的作戰局勢，所需因應的資安威脅當中，有許多來自國家級駭客，而這些被稱為「網軍」的攻擊者，現在的組織運作也走向「民營化」，他們不僅輪班進行滲透、發動攻擊，一旦成功侵入還會得到獎金，因此受到的激勵程度是非常強烈的，而且是持續進行的。</p> <p>事實上，國家級駭客攻擊的目標相當多元，包含銀行、關鍵基礎設施、政府機關、廠商，以及企業在內，都面臨這樣的資安威脅。以臺灣的軟體公司而言，大多是中小企業的經營規模，只有幾十個人抵禦，攻擊方卻是幾千人，此時若要做好資安，需要借助一些方法論和概念進行調整，而箇中關鍵不只是資安意識的提升，我們應該鼓勵通報文化、主動共享情資，導入聯防機制，建立正確的資安意識與開發流程。</p> <p>廖長健期勉大家一旦發現自己被駭，一定要勇於解決問題，而非掩蓋，因為如果不及早處理，我們無法知道後續的影響有多深遠，例如，有可能會一直遇到資料外洩的狀況。</p> <p>他認為，任何有能力的廠商，都會主動發現自己的弱點，並且鼓勵他們的客戶趕快更新，所以他呼籲在座的IT主管，「千萬不要覺得一家公司的CVE（通用漏洞揭露）很多，就認為他們不安全」，相反地，正因為他們有能力找到自己的弱點、勇於及時公布，並且分享情資讓大家趕快更新，也突顯他們負起應有責任的態度。</p> <p>事實上，有些廠商不僅本身沒有能力發布CVE，甚至連自己的弱點被發現、被攻進來都渾然不知，而在這樣的狀況下，多數人應該都無法認同這樣的廠商重視資安、做好資安。因此，如果我們常常接收到廠商願意發出CVE，應該要先肯定他們勇於面對問題與及時更新的舉動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVEDetail-openfind.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVEDetail-openfind.jpg" style="width: 600px;" /></a></p> <p>針對先前發生一連串的郵件雲端服務與郵件安全閘道資安事故，廖長健說明電子郵件為何成為駭客想要攻入的目標。</p> <p>理由是電子郵件是最容易經手處理各種資訊的重要管道，所傳遞的內容未必很機密，但是，攻擊者可以透過郵件了解很多組織的脈絡，以及最近關切的事情，有了這些資訊，能夠進行很多的社交工程，設計出能夠欺騙使用者的東西，所以，攻擊郵件閘道、郵件系統是全世界駭客最喜歡做的事情，而過去這幾個月以來，許多廠商都中招，也包含網擎資訊。</p> <p>他們之所以被盯上，廖長健認為，可能因為攻擊者的最終目標是大型金控公司、一級政府單位、重要的醫院，或是關鍵區域設施，但因為這些企業與機構不斷強化資安，所以駭客不容易攻進單位內部，於是攻擊者把腦筋動到供應商，開始從合作的系統整合廠商、IT維運廠商、軟體供應商著手，希望從中找到破口。除此之外，企業與廠商使用的IT產品與服務，如果本身整合第三方提供的軟硬體元件，像是PHP、Java，以及一些工具，或是攻擊者得知目標單位所用的Linux作業系統版本，有個資安漏洞，而這些歹徒可能就會直接攻擊這些第三方元件，就能夠滲透到供應商內部，最後，並且透過遭駭廠商，而得以侵入企業IT環境。</p> <p>基於上述理由，企業與組織不只是自己要防得好，利害關係人也要守好，因為攻擊是非常多面向的。廖長健表示，對於網擎資訊而言，在供應鏈攻擊的對象當中，他們成為駭客目標的可能原因，一方面在於本身扮演供應商、解決方案公司的角色，另一方面是本身採用第三方軟體元件，駭客從這個層面尋找漏洞、乘虛而入，後續這些存在漏洞濫用風險，甚至已被滲透或竄改的元件，若不慎被包入網擎的軟體產品或雲端服務，就可能成為破口。因此，他們必須要做到許多防護，而且持續提升資安。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind%20Supply%20Chain%20Security.jpg" style="width: 600px;" /></p> <p>而在實際資安事故的因應能力上，廖長健表示，今年截至目前為止，<a href="https://www.openfind.com.tw/taiwan/resource.html">網擎總共發出9次資安通報</a>，其中有60％是低風險漏洞，多為跨站指令碼（XSS）類型的弱點，40％為高風險漏洞，而在這些弱點中，專屬於網擎產品本身的漏洞占了一半，其餘是他牌郵件伺服器或郵件安全閘道共通的弱點：第三方元件的問題。</p> <p>廖長健提到此事，顯然是為了藉機駁斥市場傳言，他強調，網擎產品本身的高風險漏洞只占20％，而且，很多都是他們主動發現、主動更新的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Openfind 2024-CVE-analysis-2024-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind%202024-CVE-analysis-2024-09.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>難阻止駭客取得產品，從中可研究本體與第三方元件弱點</strong></span></h3> <p>面對外界質疑攻擊者為何熟悉網擎的系統，廖長健無奈地解釋軟體開發商目前面臨的產品資安挑戰局面，相當嚴峻。</p> <p>他說，現在想要拿到軟體產品的原始碼不難，無須透過內部人員或離職員工洩漏。首先，對於商用軟體廠商而言，可經由許多管道申請測試版與操作文件，例如，發出電子郵件或透過經銷商索取，網擎過去都有盡力把關，但仍無法完全杜絕；攻擊者一旦取得套裝軟體，即可設置測試環境，查看當中使用的第三方元件與版本，此處若具有已知漏洞，他們能就設計出可濫用此漏洞的檔案進行滲透。</p> <p>第二個取得原始碼的方式，是經由逆向工程反組譯而成。網擎的經驗是接到資安廠商的通報，他們在長期監測國家級駭客攻擊活動的過程中，發現網路釣魚信件涉及的惡意程式，命名與網擎資訊的英文名稱Openfind有關，因此他們經由某種管道取得網擎的程式進行逆向工程，而在該公司的通報是以他們剖析出來的原始碼，指出網擎某款軟體存在的資安漏洞，所以有可能被駭客利用。廖長健表示，雖然資安廠商以此種方式取得的原始碼，變數名稱與網擎這個產品所用的不同，但程式邏輯是接近的，就能根據這些資訊推斷弱點所在。因此，對於軟體開發廠商而言，在用戶端環境執行的已編譯的雙位元檔，如果本身沒有加上嚴密防護，具有足以抵抗逆向工程的能力，程式原始碼是能夠被反組譯出來。而且，既然資安廠商能夠這麼做，其實，也代表駭客可以藉此找到可乘之機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-Comericial%20Software%20Cybersecurity%20Disadvantages1.jpg" style="width: 600px;" /></p> <p>第三種探測產品使用間隙的方式，也是在測試環境安裝套裝軟體之後能進行的，那就是從作業系統層級的處理程序追蹤，以Linux環境而言，可經由strace的指令查看目前各個應用程式使用的系統呼叫，進行逐步分析，了解每支處理程序開啟的檔案與檔案所在位置，或是連接的網址，有了這些資訊，攻擊者能夠考量惡意軟體酬載適合置入的方式與途徑，找到能夠偷偷夾帶或呼叫的管道，然後再將這些內容放到指定位置、伺機而動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-strace-2024-09.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>國家級駭客手法更專精、能組合多個弱點，又能自動打擊，令人防不勝防</strong></span></h3> <p>關於臺灣軟體供應商之所以無法擋住國家級駭客攻擊，除了人力規模懸殊與具有強烈動機的落差，廖長健認為有三個因素必須克服。首先，國家級駭客滲透手法更為高超，而且是持續、專精投入研究攻擊目標的弱點；第二是不只是利用單一、嚴重度高的弱點，攻擊者也懂得將多個低風險漏洞組合起來運用，形成具有高度危險的漏洞濫用手法；第三是打造工具，降低操作技術門檻之餘，駭客也能發動自動化攻擊，一口氣侵襲多個目標，營造「遍地開花」的現象，而非一步步滲透、投放惡意軟體、再進行後續的調度指揮，對於軟體供應商而言，如果產品資安沒有顧好，採用客戶越多，一旦遭遇這類攻擊，同時要處理的資安事件可能也會很多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-Comericial%20Software%20Cybersecurity%20Disadvantages2.jpg" style="width: 600px;" /></p> <p>想要打造具有強大防護力的軟體產品，對於開發人員而言，有個先天的劣勢，那就是必須考量到運作效能而不能毫無限制地持續進行安全性處理。廖長健舉出的例子是JavaScript的過濾，為了避免遭到跨站指令碼的攻擊，軟體產品會過濾所有輸入的JavaScript，為了確保效能，會進行32次清洗，然而，對於攻擊者而言，當他們取得廠商的產品、建置使用環境之後，可以不厭其煩地循環測試，觀察究竟要過濾到多少次才停手，一旦他們找到這個處理上限，就可以設計出33層的惡意酬載，應付完32次指令碼過濾，下一次就能引發跨站指令碼攻擊，設法溜進軟體產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind%20script%20santization.jpg" style="width: 600px;" /></p> <p>至於組合多個漏洞的做法，廖長健提到的一種模式，是設法讓輸入夾帶的惡意酬載躲過第一道檢查，而順利進到內部儲存的設定檔，而且攻擊者知道檔案存放位置，當另一支程式載入這個設定檔時，開發人員可能以為這是內部資料而疏於檢查，執行之後觸發惡意酬載要做的事情、拿到系統權限，甚至形成命令注入攻擊（command injection）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-vulnerabilities%20combination%20threat.jpg" style="width: 600px;" /></p> <p>基於上述提及的軟體產品資安態勢，廖長健認為，作為防禦方，要有三個基本的前提。首先，攻擊者已有產品完整實驗環境，也就是前面提到，可透過合法管道、冒名欺瞞等方式，下載測試版。第二，攻擊者可以輕易找到目標伺服器，如果有鎖定的對象，對方要掌握這些IT基礎架構的所在位置，並不困難。</p> <p>第三，攻擊者已有目標環境的使用者帳號。由於在不同線上服務與系統使用重複密碼的情形相當普遍，再加上網站資料外洩事件頻傳，以及在公共場所上網卻沒用VPN防護等情況，導致帳密被側錄，駭客都有能力取得這些帳密，廖長健表示，我們要假設當攻擊者手上有使用者帳密的時候，產品資安還能防得住。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Openfind-Comericial%20Software%20Cybersecurity%20defense%20bottomline.jpg" style="width: 600px;" /></p> </div></div></div>
2024/9/23 15:45作者李宗翰https://www.ithome.com.tw/news/165122
Container快報第159期：K8s終於完成150萬程式碼大瘦身，Docker十一月大漲價，IBM買Kubecos…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/8/1～9/20 精選容器新聞：</strong></p> <p><strong>#漲價 #11月生效<br /> <span style="color:#0000FF;">Docker統一各產品線訂閱方案同時大漲價，最多漲80%，11月中生效</span></strong></p> <p>最近Docker公司宣布旗下產品訂閱方案有重大調整，多項產品整合到單一訂閱方案中，也因此調整價格，部分功能還將引入按用量計價的定價模式，企業得更精打細算。包括Docker Desktop、Docker Hub、Docker Build Cloud、Docker Scout及Testcontainers Cloud等工具都將整合到單一訂閱方案中。另外，也新增了多項功能，包括強化軟體供應鏈安全的Docker Scout持續漏洞分析，結合原生ARM和AMD雲端建置工具的Docker Build Cloud，最多加快建置速度達39倍，另外，Testcontainers Cloud也新增自動化測試功能。</p> <p>Docker Pro年度方案的每月價格從5美元提高到9美元，漲幅80%，Docker Team年度方案則從每位使用者每月9美元，漲價至15美元，漲幅達66.67％，而Docker Business價格維持不變。目前仍有免費Docker個人版，但取消了免費的Team版本。上次漲價是2022年10月，當時Docker Team方案上漲約28.57％，Business方案上漲約14.29％，不到兩年，Docker公司再次大漲價。隨著新價格方案公布，Docker Hub儀表板也新增下載量圖表，讓企業可以了解下載了多少資料量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker%E7%94%A8%E9%87%8F%E5%84%80%E8%A1%A8%E6%9D%BF-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Docker.jpeg" /></p> <p><span style="color:#0000FF;"><strong>#程式碼大瘦身 #DRA #GPU<br /> K8s釋出1.31版，終於完成150萬行程式碼瘦身大工程，新增DRA 動態資源分配能彈性調度GPU支援AI訓練</strong></span></p> <p>K8s問世十年，早期許多關鍵程式碼的儲存路徑，分散在五大雲端供應源，包括Google雲、AWS、Azure、OpenStack和vScphere，也內建到許多內建元件中，因此，早在K8s第七版時，K8s專案成員就開始積極的想要將這些涉及特定廠商的路徑從K8s核心程式碼中移除，轉移到外部，來提高核心程式碼對廠商的相依性。</p> <p>但這是一個涉及150萬行程式碼的超大工程，經過了24個版本（以每年四版來推算，至少花了6年），終於在1.31版（代號，轉移了最後一部分的程式碼，也為此延伸出了四大子系統，雲端控制器管理員、API伺服器網路代理、kubelet憑證供應商外掛、儲存外掛搬遷到CSI。K8s核心程式碼移除了150萬行程式碼之後，二進位檔因此大幅瘦身了40%。從1.31版開始，K8s核心終於成為一個完全廠商中立的平臺，也更容易與各種不同的雲端供應商整合。除了上述四大子系統之外，K8s雲端供應商工作小組實現這個里程碑之後，下一個目標是優化K8s對混合環境的支援，包括跨私雲和公雲的叢集運作，讓異質環境整合更簡化，另外要建立一個可以涵蓋更多雲端供應商的測試框架。</p> <p>除了大瘦身之外，1.31版有一項重要的新特色是新增了Dynamic Resource Allocaiton（動態資源分配，簡稱DRA）的API，1.31版是第一個支援這項功能的版本。可以透過API來請求和共享跨不同Pod叢集中的容器，而且是一個通用資源的調度工具，可以調度各種常見硬體資源，包括了GPU或是各種網路加速硬體。可以使用DRA來調度GPU資源，甚至快速因應不同工作負載需求來分配所用的硬體GPU支援，有助於因應AI模型訓練，如大型LLM訓練運算需要的算力調度，提供更多也更彈性的工作負載調度安排。</p> <p><span style="color:#0000FF;"><strong>#GenAI開發 #Tanzu<br /> 雲原生開發平臺Tanzu推出10新版，內建Spring AI開發框架要搶GenAI開發需求</strong></span></p> <p>最近，博通發表了雲原生開發框架Vmware Tanzu的第10版，最大特色是新增了一套AI解決方案，包括GenAI應用開發框架Spring AI的支援，提供Java API來存取多種LLM模型。也推出了一款Java打造的AI中介軟體，可串接上百款開源或商用LLM，也能控管對這些模型的存取。AI中介軟體其中一項特色是提供了虛擬金鑰功能，可以建立一套通用的角色權限控管，按角色、團隊來限定他們所能使用的LLM模型。這套AI解決方案也提供了一項模型與App評估功能，可用來量測和觀察GenAI應用和模型的行為，來評估成效和準確度。</p> <p><strong><span style="color:#0000FF;">#容器管理VM #OpenStack<br /> 紅帽正式推出OpenShift上的OpenStack服務，可直接管理原生OpenStack服務的Pod叢集</span></strong></p> <p>以VM工作負載管理為主的OpenStack，這幾年持續往容器管理架構靠攏，除了內建容器管理能之外，紅帽容器管理平臺OpenShift 去年發表了OpenStack服務的叢集管理功能預覽版，在今年8月底正式推出。這項功能可以在容器管理環境中，提供OpenStack工作負載，可供企業以實體機器部署的OpenStack服務，轉移到容器環境中，不用改變原有OpenStak運算節點。轉移到OpenShift後，可以用來提高OpenStack節點的擴充性，也能將OpenShift的可觀察性機制，整合到OpenStack節點中，來強化混合容器和虛擬機器混合架構的透明度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenStack%20on%20OpenShift%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" /></p> <p><span style="color:#0000FF;"><strong>#容器安全 #服務網格<br /> 服務網格專案Linkerd釋2.16新版，新增IPv6支援和零信任稽核模式，可紀錄但不阻擋低風險的存取行為</strong></span></p> <p>距離前一版發布才半年，服務網格專案Linkerd很快又釋出2.16新版，這個版本也有不少新功能。包括新增了IPv6的支援，可以支援單用IPv6或混用IPv4/IPv6的K8s叢集。另外，Linkerd的零信任授權政策機制，也新增了稽核模式（Audit mode），來強化對於服務網格間網路流量的控管。Linkerd的SideCar設計，原本就可以採取預設拒絕的微分區控管政策，來建立零信任模式的控管邊界，來強化K8s叢集間的網路安全。新增加的稽核模式，可以對違反零信任政策的行為，採取留下Log紀錄但不禁止的做法，可以讓零信任架構多了一種「低風險行為追蹤」的控管選擇。2.16版也增加了更多路由矩陣監測能力，例如可以紀錄每一趟路由的成功率，嚴懲。 </p> <p><span style="color:#0000FF;"><strong>#OSX映像檔 #Docker<br /> 蘋果以違反著作權，要求75萬人用的Docker-OSX映像檔下架</strong></span></p> <p>8月底，蘋果以侵犯著作權為由，要求Docker公司下架了Docker Hub賬號下的Docker-OSX儲存庫。這個儲存庫是由代號Sick.Codes的開發人員建立的macOS VM容器，可以讓開發者利用Docker在Windows或Linux平臺上執行macOS，用以測試應用，但不用購買macOS授權，也有安全研究人員用這方法來研究macOS的漏洞。這個儲存庫在GitHub上的專案，超過75萬人下載，獲得4萬多顆星。不過，在8月底，蘋果以違反《數位千禧年版權法案》（Digital Millenium Copyright Act，DMCA）為由要求下移除。Docker出示了代表蘋果的律師事務所的電子郵件，指出蘋果對macOS的安裝器和安裝擁有獨家權利，Docker-OSX的映像檔則是在未經授權下重製蘋果內容，因此而下載。</p> <p><span style="color:#0000FF;"><strong>#容器成本追蹤 #FinOPs<br /> IBM宣布併購K8s成本控管平臺Kubecost，強化FinOps套裝的容器成本管理能力</strong></span></p> <p>瞄準企業K8s維運成本控管需求，IBM最近宣布併購了K8s成本即時監控平臺商kubecost，整合到IBM的FinOps套裝產品中，來搭配跨雲成本控管功能，也能用AI自動優化雲端效能。隨著企業越來越依賴K8s，相關維運成本的控管也成了新的挑戰，Kubecost可以提供容器層級的成本管理，可以從叢集外部，及時瞭解K8s叢集的CPU、記憶體、儲存用量、網路用量的運作成本。也可以針對AP或團隊設定預算、使用模式和告警條件，在預算用完前通知開發和維運團隊。併購後，Kubecost可以將IBM的FinOps成本管理延伸到K8s環境中，提供單一Pod叢集，命名空間或是單一工作負載的成本透明度，作為後續優化調整之用。創立於2019年的Kubecost，目前有超過1萬2千家企業與組織採用。核心所用的K8s成本監控機制則以OpenCost專案開源釋出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/kubecost%E5%84%80%E8%A1%A8%E6%9D%BF-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-kubecost.png" /></p> <p><strong>圖片來源：Docker,Kubecost,紅帽</strong></p> <p><b>更多新聞：</b></p> <ul> <li>AWS打造的新一代K8s自動擴充工具Karpenter發布了1.0版，主打超快啟動，可擴充支援多規格</li> <li>Red Hat修補OpenShift兩項重大層級的漏洞CVE-2024-45496、CVE-2024-7387，這是可供執行任意命令或提高權限的漏洞。</li> <li>Docker Desktop在9月中修補兩項高風險層級的漏洞CVE-2024-8695、CVE-2024-8696，這是可能遭駭客遠端執行任意程式碼的漏洞。</li> </ul> <p>責任編輯：王宏仁</p> </div></div></div>
2024/9/23 17:38作者王宏仁https://www.ithome.com.tw/news/165134
駭客組織TeamTNT鎖定CentOS主機植入Rootkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>約在4到5年前出現，專門鎖定雲端環境下手從事挖礦的駭客組織TeamTNT，傳出近期再度出沒的跡象，這次目標是執行CentOS作業系統的虛擬專屬伺服器（VPS）。</p> <p>資安業者Group-IB指出，於2022年消聲匿跡的TeamTNT，<a href="https://www.group-ib.com/blog/teamtnt/">去年疑似再度從事活動的情況</a>，駭客先是透過SSH連線存取目標主機，透過暴力破解來得到初始存取的管道，得逞後上傳了惡意指令碼。</p> <p>該指令碼先是針對受害主機進行檢查，是否有其他挖礦軟體進駐的情況，然後就會進行一系列的安全配置竄改，這些包含停用防火牆、NMI Watchdog，刪除系統事件記錄，以及更動特定系統資料夾的屬性。</p> <p>另一方面，該指令碼也會確認受害系統是否部署阿里巴巴的資安防護機制aliyun.service，若是偵測到相關的處理程序，駭客就會從阿里雲下載bash指令碼來進行移除。</p> <p>此指令碼還會停用作業系統的防護機制SELINUX、AppArmor，接著再度檢查是否有其他的挖礦軟體處理程序，最終部署名為Diamorphine的rootkit程式，並將受害主機用於挖礦。</p> <p>值得留意的是，這波攻擊駭客試圖阻止伺服器管理員進行復原。駭客先是使用chattr命令來鎖定、控制檔案屬性，接著，他們透過另一項工具tntrecht停用chattr，阻止管理員復原這些已竄改的檔案屬性。</p> <p>接著，這些駭客也鎖定該系統，並阻止管理員重開機、關機，或是恢復存取權限。最終他們使用後門帳號及授權金鑰，而能夠透過SSH來存取受害主機。</p> </div></div></div>
2024/9/23 16:20作者周峻佑https://www.ithome.com.tw/news/165123
勒索軟體劫持大量資料無處放，竟把歪腦筋動到Azure雲端儲存桶與資料複製工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了脅迫受害組織支付贖金，勒索軟體駭客往往會先竊取內部資料再進行檔案加密，但現在駭客更換外流資料的管道，引起研究人員的注意。</p> <p>一般來說，勒索軟體駭客原本用來外流受害組織資料的管道，最常見的是利用雲端檔案共享服務Mega提供的公用程式MEGASync，或是能公開取得的Rclone，但資安業者ModePUSH發現，<a href="https://www.modepush.com/blog/highway-blobbery-data-theft-using-azure-storage-explorer">變臉（BianLian）、Rhysida等多個勒索軟體駭客組織</a>，越來越頻繁地利用Azure Storage Explorer、AzCopy，將竊得的資料送到Azure Blob儲存桶。</p> <p>研究人員指出，他們看到利用Azure Storage Explorer的資安事故，大部分是變臉所為，但也有Rhysida利用這項工具的情況。值得留意的是，雖然駭客主要是利用Windows版本的Azure Storage Explorer，但微軟也提供macOS、Linux版，意味著這種竊取資料手法也有機會用於其他平臺的電腦。</p> <p>值得一提的是，在實際的攻擊行動裡，駭客並非直接使用可執行檔，而是透過安裝的方式植入受害電腦，再者，為了讓安裝Azure Storage Explorer的過程順利，駭客還會事先裝好.NET 8相關元件，而這樣的行為，也成為防守方能夠識別相關勒索軟體攻擊行動的其中一種徵兆。</p> <p>為何這些駭客選擇濫用Azure Blob儲存桶？研究人員指出，主要原因在於Azure是許多企業採用的服務，因此相關流量不太可能會遭到防火牆或是資安系統攔截；再者，駭客在短時間內外流竊得資料的過程，藉由Azure的延展性，他們可以因應這些非結構化的大量資料。</p> <p>由於這些駭客在運用Azure Storage Explorer及AzCopy的過程裡，會留下相關作案痕跡，研究人員提供相關特徵，讓企業的資安人員能夠檢查是否遭到攻擊。</p> </div></div></div>
2024/9/20 15:40作者周峻佑https://www.ithome.com.tw/news/165095
Google透過Google Password Manager跨平臺同步Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（9/19）<a href="https://blog.google/technology/safety-security/google-password-manager-passkeys-update-september-2024/" target="_blank">宣布</a>，即日起使用者將可透過Android與Chrome瀏覽器中的Google Password Manager存放通行密鑰（Passkey），並將Passkey同步到不同的平臺上使用，同時也新增了Google Password Manager PIN來保護通行密鑰。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。</p> <p>過去Google只允許使用者將Passkey存放到Android上的Google Password Manager，雖然使用者可以在其它裝置上使用Passkey，但也必須透過Android裝置掃描二維條碼來授權。</p> <p>現在Google則擴大支援，開放使用者把Passkey存放到Chrome瀏覽器中的Google Password Manager，並同步至不同的平臺，包括Windows、macOS與Linux等，ChromeOS也正在測試中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-save%20passkeys%20to%20Google%20Password%20Manager%20on%20desktop-2.png" style="width: 600px;" /></p> <p>此外，為了保護這些Passkey，Google推出新的Google Password Manager PIN，在企圖於新裝置使用這些Passkey時，必須先輸入PIN碼，或是解鎖Android裝置螢幕。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Google%20Password%20Manager-recovery%20pin.png" style="width: 600px;" /></p> <p>有鑑於Google Password Manager同時內建在Android及Chrome瀏覽器上，因此使用者現在就可替常用的應用程式建立Passkey，包括Google、Amazon或PayPal等，並以Passkey進行無密碼登入，而不必再下載額外的程式。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/9/20 13:49作者陳曉莉https://www.ithome.com.tw/news/165093
Elasticsearch重新開源後，AWS也將OpenSearch移交Linux基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/164799">在最近Elastic宣布Elasticsearch專案提供開源授權之後</a>，由AWS領頭創建的Elasticsearch分叉專案OpenSearch，現在<a href="https://opensearch.org/blog/building-the-future-of-OpenSearch-together/">隸屬於Linux基金會旗下的OpenSearch軟體基金會</a>，實現由社群主導的開放式治理模型。轉移後的OpenSearch專案依然於GitHub進行維護，並且將繼續採用Apache 2.0授權。</p> <p>OpenSearch的出現源自於Elastic和AWS之間的爭議，由於Elastic調整Elasticsearch的授權，轉向使用更為嚴格的商業授權，使得AWS無法繼續使用原本的開源版本，因此聯合Expedia、Netflix等公司推出Elasticsearch分叉版本。而Elastic修改Elasticsearch授權的原因，是認為雲端供應商大量使用開源社群資源，卻未提供合理回饋。</p> <p>雙方在商業與法律上的對立，在AWS將Elasticsearch分叉版本更名為OpenSearch之後逐漸獲得緩解，Elastic也在近期宣布Elasticsearch再次提供開源授權，供使用者選擇使用AGPL（Affero General Public License）。</p> <p>現在AWS也決定將OpenSearch專案交給Linux基金會，而這是AWS將該專案從內部管理，轉移到由社群主導的開放式治理架構的重要一步。雖然OpenSearch從2021年創立以來，就訴求開放透明，除了保持和Elasticsearch相容之外，也與社群合作共同推進技術發展。OpenSearch轉移至中立非營利基金會，代表著將會有更多來自不同組織的貢獻者，能夠參與專案開發。</p> <p>OpenSearch轉移的重點在於強化社群參與，降低專案受單一供應商的影響，確保專案能夠繼續推進。在OpenSearch專案完成轉移之後，技術指導委員會（TSC）將負責專案的技術決策，而管理委員會則負責分配資源與專案發展。這些變化使得OpenSearch的治理模式更加透明，也擴大來自AWS以外的貢獻者參與。</p> </div></div></div>
2024/9/18 21:48作者李建興https://www.ithome.com.tw/news/165064
具爭議的加州AI法案能否通過將在9月底見真章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國加州參議員及議會分別在今年5月與8月底通過了AI法案SB 1047，已交予加州州長Gavin Newsom，Newsom必須在今年9月30日以前接受或否決該法案，就在<a href="https://www.documentcloud.org/documents/25056617-ca-sb-1047-openai-opposition-letter" target="_blank">OpenAI公開反對</a>該法案之際，由上百個來自OpenAI、Google DeepMind、Anthropic、Meta與xAI等AI公司的員工，卻連袂<a href="https://calltolead.org/" target="_blank">贊成該法案</a>。</p> <p>SB 1047的全名為《前沿人工智慧模型的安全可靠創新法案》（<a href="https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202320240SB1047" target="_blank">Safe and Secure Innovation for Frontier Artificial Intelligence Models Act</a>），該法案是為了確保AI模型的安全及可控性，防止AI可能帶來的潛在危害，以及強化開發AI的透明度與問責。</p> <p>具體而言，該法案要求開發者在訓練模型前，必須遵守該法案的要求，其中之一是必須設計一個能夠完全關閉模型的能力；制定書面的安全協議；保留安全協議副本至少5年；禁止將模型用於可能造成重大傷害的應用；禁止公開或商業使用具不合理風險的模型；從2026年起必須經由第三方審核。</p> <p>目前身為全球AI龍頭的OpenAI早就反對該法案。反對理由包括認為AI革命才剛開始，加州應該趁此時推動其經濟活力，但SB 1047卻威脅了它的成長，減緩創新步伐，還可能讓世界級工程師與企業家離開加州。</p> <p>此外，OpenAI也認為，若AI可能威脅國家安全，那麼應該是從聯邦的角色來制定政策，而非由各州拼湊的不同政策，統一的政策將可替AI實驗室與開發人員帶來確定性，同時維護大眾安全。</p> <p>由英特爾、AMD、Linux基金會、Meta及IBM共同成立的AI聯盟（AI Alliance）同樣也<a href="https://thealliance.ai/core-projects/sb1047" target="_blank">反對SB 1047</a>。AI聯盟的立場與OpenAI不同，因為此一聯盟主要推動的是開源模型，指出開源一直是一種更安全也更透明的技術開發方式，但SB 1047要求開發者必須能夠完全控制模型的關閉幾乎是不可行的，因為當開源模型被第三方下載之後，開發者就無法再控制該模型。</p> <p>不過，有上百個來自主流AI公司的開發人員、科學家或研究人員，卻連署呼籲加州州長Newsom應該簽署該法案。他們在聲明書上表示，相信最強大的AI模型可能很快就會帶來嚴重風險，諸如擴大生物武器的使用範圍，或是針對關鍵基礎設施的網路攻擊，要求AI公司測試AI模型，並針對此類風險實施合理的保障措施是可行且適當的。</p> <p>公開署名的有Anthropic運算主管James Bradbury，曾於Google Brain任職的圖靈獎得主Geoffrey Hinton，xAI的法務長Rob Keele 等，還有部分員工可能怕被秋後算帳而選擇匿名。</p> </div></div></div>
2024/9/16 11:46作者陳曉莉https://www.ithome.com.tw/news/165036
【資安週報】2024年9月9日到9月13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧9月第二星期的資安新聞，有3起與臺灣息息相關的事件需要我們密切關注，包括臺灣多達45個單位與企業遭遇DDoS攻擊，以及臺灣無人機製造商被中國駭客鎖定攻擊，且疑似是涉及ERP相關的供應鏈攻擊。</p> <p>（一）中租、兆豐、彰銀以及臺灣證券交易所接連公告遭DDoS攻擊，親俄駭客NoName057宣稱是他們所為，還有多個臺灣政府機關也是這波攻擊目標。<br /> （二）中國駭客組織TIDrone今年不斷攻擊臺灣衛星及軍事工業，資安業者警告這些駭客似乎特別偏好攻擊無人機製造商。<br /> （三）臺灣無人機製造商遭攻擊行動Operation WordDrone鎖定被揭露，研究人員指出駭客使用舊版Word主程式，並關注為何是臺灣無人機產業遇害。</p> <p>關於第一則消息，親俄駭客NoName057近期先針對捷克、法國、烏克蘭的政府機關發動DDoS攻擊，自9月9日開始再針對我國網站攻擊，不僅持續鎖定臺灣政府機關，後續幾波又延伸到財稅單位、官股金融機構及部分企業。關於後續消息，<a href="https://www.facebook.com/moda.gov.tw/posts/523245727188197">數位發展部在周日9月14日召開記者會說明</a>，目前統計45件DDoS攻擊，各機關皆可於短時間內恢復，另指出我國遭受攻擊目標還包括地方稅務機構、區域民航站、主計總處、財金相關機關及部分電信業者等。</p> <p>這起事件不僅考驗國內應對DDoS的防護能力，特別的是，由於該組織宣稱攻擊原因是，不滿我國總統賴清德引用中俄領土爭議來反駁中國收復臺灣的主張，但該組織的說詞反而使國際社會可以體認俄羅斯領地不歸中國、臺灣也是如此的狀況，並吸引到更多關注與討論。</p> <p>第二與第三則消息有密切關聯，一是趨勢科技研究人員揭露，一是Acronis研究人員揭露，其共通點在於均指出臺灣無人機製造商遭駭客鎖定的狀況，並說明攻擊手法涉及利用Word與ERP軟體，可能涉及供應鏈攻擊情形。特別的是，Acronis還點出受害企業使用的鼎新電腦ERP軟體的程式可能遭竄改，鼎新電腦在Acronis揭露3日後做出回應，指出研究人員所提的「Digiwin」資料夾，實為協助企業服務的連線工具－－鼎新雲管家「DigiwinSCP」，目前已預防性關閉此連線並改用其他工具服務客戶。</p> <p>還有一起國內公司遭駭事件，發生在專注於複合螺絲及螺栓製造的臺灣上櫃公司世鎧科技，他們發布重訊說明公司部分資訊系統遭駭客發動加密攻擊。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商的每月例行安全更新修補發布，包括微軟、SAP、Adobe等，在盡速更新修補之餘，有7個漏洞利用情形需要特別重視。<br /> ●微軟修補4個已被用於攻擊行動的零時差漏洞，分別是涉及Windows MOTW的CVE-2024-38217，Windows Installer的CVE-2024-38014，Windows Update的CVE-2024-43491，以及Publisher保護機制的CVE-2024-38226。<br /> ●SonicWall在8月下旬修補的SonicOS重大漏洞CVE-2024-40766，9月初有多家資安業者示警指出已發現針對該漏洞的攻擊行動。<br /> ●有兩個早年的漏洞被美國CISA列入已知利用清單（KEV），分別是2017年Linux Kernel PIE的CVE-2017-1000253，以及開源圖像處理軟體ImageMagick的CVE-2016-3714。</p> <p>在資安事件與威脅態勢方面，國際間有多個重要消息，當中以Fortinet遭駭事故受矚目，該公司在24小時內發出公告證實此事，承認是存放於第三方雲端共享硬碟內的有限檔案遭未經授權存取，並表示該公司的產品及服務未受影響，後續Fortinet臺灣也說明此次事件對臺灣的客戶並未造成任何影響。</p> <p>●有人在Breach Forum論壇發文聲稱入侵Fortinet的Azure SharePoint帳戶並竊取440 GB資料，Fortinet證實第三方雲端共享硬碟出現未經授權存取。<br /> ●法國IT顧問公司Capgemini疑似發生資安事故，有人在駭客論壇公布20GB的資料，涉及該公司檔案、程式碼與客戶資料。<br /> ●卡巴斯基提供移除惡意程式rootkit的工具TDSSKiller，竟遭勒索軟體RansomHub駭客利用此工具來關閉EDR。<br /> ●微軟免費開發工具遭中國駭客Stately Taurus濫用，企圖滲透東南亞政府機關竊取機密。<br /> ●中國政府主導的網路間諜行動Operation Crimson Palace被揭露，有3波鎖定東南亞的攻擊行動至少4個駭客組織參與，且其入侵手法會利用公開工具隱匿行蹤。</p> <p>在資安防禦動向上，以國際支付巨擘在資安領域的投入最受關注。由於早年我們經常看到VISA舉辦資安高峰會，公布支付安全的進展，揭露針對交易安全的紅隊攻擊演練，以及併購資安業者等，最近Mastercard也展示他們對資安的重視與投資，不僅在上個月舉行的Black Hat USA 2024大會參展，如今他們更是宣布以26.5億美元併購威脅情報供應商Recorded Future。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164937"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月9日】鎖定臺灣衛星及軍事工業的中國駭客組織TIDrone引起研究人員關注</span></strong></a></h3> <p>臺海局勢日益緊張，中國駭客對臺發動攻擊也更加頻繁，過往這些駭客的目標，往往鎖定政府機關、高科技產業、教育機構，但如今出現專門攻擊臺灣新興國防科技產業的駭客組織。</p> <p>上週趨勢科技揭露的中國駭客TIDrone，就是典型的例子，駭客不斷針對臺灣衛星、軍事工業下手，特別的是，他們偏好攻擊無人機製造商，但為何如此？研究人員並未說明。</p> <h3><a href="https://www.ithome.com.tw/news/164953"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月10日】勒索軟體駭客將SonicWall防火牆重大漏洞用於實際攻擊</span></strong></a></h3> <p>資安業者SonicWall指出，他們在8月修補的重大漏洞CVE-2024-40766，疑似被用於攻擊行動，如今陸續有資安業者公布調查結果，印證真有此事。</p> <p>其中，最早透露的是資安業者Arctic Wolf，他們指出是使用勒索軟體Akira的駭客所為，昨日另一家資安業者Rapid7也公布他們的發現，值得一提的是，這樣的情況也得到美國網路安全暨基礎設施安全局（CISA）證實，因為他們將這項漏洞加入已遭利用的漏洞名冊（KEV）。</p> <p><a href="https://www.ithome.com.tw/news/164966"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月11日】微軟發布9月例行更新，揭露與修補4個已被用於攻擊行動的零時差漏洞</span></strong></a></p> <p>微軟近期發布了9月份的例行更新（Patch Tuesday），漏洞數量較上個月明顯變少，但IT人員仍然不能掉以輕心，因為本次公布的4個零時差漏洞，皆已遭到駭客利用。</p> <p>值得留意的是，CVSS風險評分最高的CVE-2024-43491，這項漏洞影響特定版本的Windows 10，會將部分元件還原成尚未修補的舊版，引起研究人員高度關注。</p> <p><a href="https://www.ithome.com.tw/news/164991"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月12日】CosmicBeetle駭客針對中小企業發動勒索軟體攻擊</span></strong></a></p> <p>有些駭客為了增加成功犯案的機率，他們採取與眾不同的做法，像是資安業者ESET近期透露對於駭客組織CosmicBeetle活動的觀察，就是典型的例子。</p> <p>這些駭客雖然擁有自行開發的勒索軟體，但他們也成為勒索軟體駭客RansomHub附屬組織而能借助其工具；另一方面，這些駭客也聲稱是LockBit，向受害組織進行恐嚇。</p> <p><a href="https://www.ithome.com.tw/news/165015"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月13日】中租、兆豐、彰銀接連遭遇DDoS攻擊發布重訊，俄羅斯駭客聲稱是他們所為</span></strong></a></p> <p>最近與臺灣最為相關的資安事故，莫過於資安業者趨勢科技、Acronis先後揭露鎖定無人機製造商的攻擊行動，但昨天有3家上市公司發布重大訊息，表明他們網站遭到DDoS攻擊的情況，尤其是過往鮮少有企業因DDoS攻擊發布重訊，這樣的資安事故相當值得關注。</p> <p>值得留意的是，宣稱犯案的駭客組織，是最近2年專門針對協助烏克蘭的歐美國家下手的俄羅斯駭客NoName057，以近半個月而言，該組織在針對捷克、法國、烏克蘭政府機關發動攻擊之外，也鎖定臺灣發動攻擊。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：3個</p> <p>CVE-2024-7262 ／ WPS Office漏洞（今年3月悄悄修補且未公開有攻擊行動，2024年8月28日ESET對外示警）<br /> CVE-2024-7971 ／ Chrome V8漏洞<br /> CVE-2024-7965 ／ Chrome V8漏洞</p> <p>本星期已知漏洞遭利用：2個</p> <p>CVE-2024-38856／ Apache OFBiz漏洞（8月5日公開，8月28日警告已遭利用）<br /> CVE-2024-28000／ WordPress外掛程式LiteSpeed Cache漏洞（8月21日公開，事隔一週兩家資安業者警告已遭利用）</p> </div></div></div>
2024/9/16 10:09作者羅正漢https://www.ithome.com.tw/news/165029
【資安日報】9月12日，CosmicBeetle駭客針對中小企業發動勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有些駭客為了增加成功犯案的機率，他們採取與眾不同的做法，像是資安業者ESET近期透露對於駭客組織CosmicBeetle活動的觀察，就是典型的例子。</p> <p>這些駭客雖然擁有自行開發的勒索軟體，但他們也成為勒索軟體駭客RansomHub附屬組織而能借助其工具；另一方面，這些駭客也聲稱是LockBit，向受害組織進行恐嚇。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164990"><strong style="font-size: 22px;">駭客組織CosmicBeetle發動勒索軟體攻擊，鎖定中小型企業而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nomane-figure-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nomane-figure-2.png" style="width: 300px; float: right;" /></a></p> <p>從事勒索軟體攻擊的駭客組織如雨後春筍接連出現，但有駭客組織採用罕見的做法，不光加入其他犯罪團隊，甚至還會冒用別的集團的名號犯案。</p> <p>資安業者ESET針對駭客組織CosmicBeetle近期的攻擊行動提出警告，這些駭客試圖向全球的中小企業散布勒索軟體ScRansom，並疑似成為勒索軟體RansomHub旗下的附屬組織，此外，這些駭客還會模仿LockBit，並打著該駭客組織的名號犯案。</p> <p>CosmicBeetle的攻擊範圍相當廣泛，主要涵蓋歐洲及亞洲的製造、醫藥、法律、教育、衛生保健、科技、休閒旅遊、金融服務業，以及地方政府。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.talosintelligence.com/dragon-rank-seo-poisoning/">中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，意圖操蹤搜尋引擎排名</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.reversinglabs.com/blog/fake-recruiter-coding-tests-target-devs-with-malicious-python-packages">假借密碼管理系統專案測試程式碼開發能力，北韓駭客Lazarus攻擊Python開發人員</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164985"><strong style="font-size: 22px;">Ivanti修補裝置管理平臺EPM重大層級漏洞</strong></a></p> <p>資安業者Ivanti本週發布9月份安全性更新公告，他們針對裝置管理系統Endpoint Manager（EPM）、安全通訊設備Cloud Service Appliance（CSA），以及使用者桌面環境管理工具Workspace Control（IWC）發布更新，其中，包含重大層級漏洞的EPM公告最值得留意。</p> <p>該公司指出，EPM 2024、EPM 2022 SU5及之前版本當中，總共發現了16個漏洞，其中有10個是重大層級。根據CVSS風險評分的高低，最嚴重的是達到滿分（10分）的CVE-2024-29847，此問題出現在代理程式的入口網站，為未受信任資料的「解序列化（deserialization）」弱點，一旦攻擊者利用，就有機會在未通過身分驗證的情況下，遠端執行任意程式碼。</p> <p>其餘9個重大層級的弱點，皆為SQL注入漏洞，通過身分驗證且具備管理權限的攻擊者，有機會遠端執行程式碼，CVSS風險評分都是9.1分。</p> <p><a href="https://www.ithome.com.tw/news/164982"><strong style="font-size: 22px;">兆勤為已終止支援的NAS設備修補重大層級漏洞</strong></a></p> <p>9月10日兆勤（Zyxel Networks）發布資安公告，指出旗下的NAS設備NAS326、NAS542存在重大層級的漏洞CVE-2024-6342，此為命令注入漏洞，CVSS風險評分達到9.8（滿分10分）。</p> <p>這項漏洞發生在NAS設備的export-cgi程式，攻擊者可在未經身分驗證的情況下，藉由發送特製的HTTP POST請求，就有機會執行部分作業系統層級的命令，影響執行5.21(AAZF.18)C0版及之前版本韌體的NAS326，以及執行5.21(ABAG.15)C0與之前版韌體的NAS542。</p> <p>值得留意的是，上述兩款設備兆勤去年底已終止相關漏洞的支援，但有鑑於漏洞相當嚴重，他們還是破例發布修補程式。</p> <p><a href="https://www.ithome.com.tw/news/164977"><strong style="font-size: 22px;">Adobe修補Acrobat可造成任意程式碼執行的重大漏洞</strong></a></p> <p>本周Adobe發布安全更新，修補PDF軟體Acrobat、Acrobat Reader可允許執行任意程式碼的2項重大層級漏洞。</p> <p>這些漏洞當中，CVE-2024-41869為記憶體釋放後再進行濫用（Use After Free）漏洞，CVE-2024-45112為型態混淆（Type Confusion）漏洞，即以不相容型態的訊息存取資源。Adobe並未詳細說明漏洞影響，但資安業者Tenable表示，兩者都可能引發任意程式碼執行。</p> <p>值得留意的是，雖然Adobe的安全公告將CVSS風險值列為7.8和8.6，但Tenable公告顯示二者評分皆高達9.8，而且，其中的CVE-2024-41869已出現嘗試利用的跡象。</p> <p><a href="https://www.ithome.com.tw/news/164972"><strong style="font-size: 22px;">Veeam修補旗下產品18個漏洞，部分可用遠端執行程式碼攻擊</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於9月4日發布Veeam Backup & Replication備份軟體、Veeam Agent for Linux備份代理程式、Veeam ONE監控工具，Veeam Service Provider Console遠端管理控制臺，還有Veeam Backup for Nutanix AHV Plug-In程式，以及Veeam Backup for Oracle Linux Virtualization Manager and Red Hat Virtualization Plug-In等6套產品或工具，一共18個漏洞，並分別釋出修補版本。</p> <p>無論就漏洞數量、涉及的產品範圍，以及漏洞的嚴重程度來看，Veeam這次發佈的安全公告，都是該公司過去罕見的重大安全更新。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-advisories-published-by-siemens-schneider-abb-cisa/">西門子、施耐德電機、ABB、美國CISA針對工控系統漏洞發布資安公告</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/september-2024.html https://onapsis.com/blog/sap-patch-day-september-2024/">SAP發布9月更新，公告BusinessObjects重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01071.html">Intel發布9月例行更新，公告逾20個漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164966"><strong>【9月11日】微軟發布9月例行更新，揭露與修補4個已被用於攻擊行動的零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164953"><strong>【9月10日】勒索軟體駭客將SonicWall防火牆重大漏洞用於實際攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164937"><strong>【9月9日】鎖定臺灣衛星及軍事工業的中國駭客組織TIDrone引起研究人員關注</strong></a></p> </div></div></div>
2024/9/12 17:58作者周峻佑https://www.ithome.com.tw/news/164991
甲骨文和Google Cloud、AWS分推雲端Oracle Database服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文本周宣布與<a href="https://www.oracle.com/au/news/announcement/ocw24-oracle-and-google-cloud-announce-the-general-availability-of-oracle-database-at-google-cloud-2024-09-09/" target="_blank">Google Cloud</a>及<a href="https://press.aboutamazon.com/aws/2024/9/oracle-and-amazon-web-services-announce-strategic-partnership" target="_blank">AWS</a>合作，推出雲端Oracle資料庫服務。</p> <p>這二項宣布是甲骨文在企業運算雲端化趨勢下，調整過往策略，改和公有雲競爭者合作的結果。首先，和Google Cloud的合作，是兩大公司攜手雲端資料庫的第二階段。甲骨文今年6月就和Google Cloud<a href="https://www.ithome.com.tw/news/163438" target="_blank">宣布</a>甲骨文雲端基礎架構（Oracle Cloud Infrastructure，OCI）硬體，透過Google Cloud Cross-Cloud Interconnect連線方案和Google Cloud彼此整合。本周，Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud全球上線。</p> <p>Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud今天在美國、歐洲雲端區域上線。未來幾個月內會推向北美、歐洲、中東、亞太、非洲和拉丁美洲。</p> <p>雙方強調，這個雲端資料庫讓用戶可直接存取在Google Cloud資料中心內的OCI上執行的Oracle Database。企業用戶可以使用Oracle資料庫和Exadata技術來開發應用。Oracle on Google Cloud現在也支援Oracle Linux，企業用戶可利用Google Cloud虛擬桌機映像檔匯入工具匯入Oracle Linux映像檔，以便在Oracle Linux執行應用。</p> <p>未來12個月，Google Compute Engine將會內建映像檔，簡化Oracle Linux映像檔調用（provisioning）。此外，Oracle <a href="mailto:Database@Google">Database@Google</a> Cloud還將整合Google Cloud的生成式AI功能，例如Vertex AI、Gemini基礎模型、Oracle Database 23ai等，以便查詢甲骨文資料庫資訊並執行分析。甲骨文強調新方案可讓兩朵雲營運如單一雲，且提供和OCI相同的功能和價格。</p> <p>甲骨文另外也<a href="https://press.aboutamazon.com/aws/2024/9/oracle-and-amazon-web-services-announce-strategic-partnership" target="_blank">宣布</a>Amazon Web Services（AWS）推出Oracle <a href="mailto:Database@AWS">Database@AWS</a>的合作方案。這新方案和Google Cloud/OCI的合作類似，讓客戶可在AWS中的專用Oracle專用基礎架構（即專用硬體）上，存取Oracle Autonomous Database，以及在AWS上的Oracle Exadata Database Service。新服務讓企業能無縫連結他們在Oracle Database的資料，以及在Amazon EC2雲端平臺、AWS Analytics或AWS進階AI服務上的應用程式。</p> <p>甲骨文表示，Oracle <a href="mailto:Database@AWS">Database@AWS</a>可讓用戶直接存取AWS上的Oracle Exadata Database Service，包括專用機器上的Autonomous Database及RAC（Real Application Clusters）上的應用，透過AWS和Oracle Database服務的整合，企業使用AWS管理控制臺或指令行、或AWS建模、布建和管理服務AWS CloudFormation，來啟動Oracle <a href="mailto:Database@AWS">Database@AWS</a>。</p> <p>其他好處像是Oracle資料庫服務可無縫整合AWS Analytics分析服務、AWS用戶若有Oracle授權，在AWS Marketplace上就能採購Oracle Database服務。另外Oracle Database也可以無縫整合Amazon S3儲存平臺，執行備份、復原及災難回復。</p> <p>兩家公司也會共同行銷Oracle <a href="mailto:Database@AWS">Database@AWS</a>，鎖定金融、健康照護、製造、零售、電信和公用事業。Oracle <a href="mailto:Database@AWS">Database@AWS</a>會在今年內提供預覽版，2025年逐步擴大全球上線的進度。</p> </div></div></div>
2024/9/11 08:56作者林妍溱https://www.ithome.com.tw/news/164957
【資安日報】9月10日，勒索軟體駭客將SonicWall防火牆重大漏洞用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者SonicWall指出，他們在8月修補的重大漏洞CVE-2024-40766，疑似被用於攻擊行動，如今陸續有資安業者公布調查結果，印證真有此事。</p> <p>其中，最早透露的是資安業者Arctic Wolf，他們指出是使用勒索軟體Akira的駭客所為，昨日另一家資安業者Rapid7也公布他們的發現，值得一提的是，這樣的情況也得到美國網路安全暨基礎設施安全局（CISA）證實，因為他們將這項漏洞加入已遭利用的漏洞名冊（KEV）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164950"><strong style="font-size: 22px;">SonicWall防火牆重大漏洞危機升溫，傳出已被用於散布勒索軟體</strong></a></p> <p>本月6日SonicWall針對防火牆作業系統SonicOS重大層級漏洞CVE-2024-40766提出警告，昨天我們報導他們表示已得知這項漏洞疑似被用於攻擊行動，然而，9月6日當天其實又有資安業者透露相關消息。</p> <p>資安業者Arctic Wolf指出，他們看到使用勒索軟體Akira的駭客已開始利用這項漏洞取得初始入侵的管道，駭客竊取SonicWall防火牆存放的SSL VPN帳號資料，這些帳號都是本機帳號，而非AD帳號，而且，所有帳號的多因素驗證（MFA）機制皆被停用。</p> <p>到了9月9日，另一家資安業者Rapid7也察覺相關攻擊行動，他們表示已掌握數起SonicWall防火牆的SSL VPN帳號遭到攻擊或是被破壞的事故，並指出攻擊者的身分涵蓋勒索軟體駭客組織。</p> <p><a href="https://www.ithome.com.tw/news/164947"><strong style="font-size: 22px;">駭客組織APT-C-36冒充稅務機關，鎖定哥倫比亞保險業者發動網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BlindEagle-fig2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlindEagle-fig2.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Zscaler揭露匿稱為AguilaCiega、BlindEagle、APT-Q-98的駭客組織APT-C-36攻擊行動，駭客約從今年6月開始，鎖定哥倫比亞保險業的員工從事網路釣魚攻擊，過程裡駭客冒充當地稅務機關，意圖散布RAT木馬程式BlotchyQuasar。</p> <p>這些釣魚郵件通常會挾帶PDF附件，駭客在郵件內文及PDF附檔裡面都寫入指向ZIP檔案的URL，一旦收信人點選，就會從Google Drive下載ZIP檔，該壓縮檔的內容就是BlotchyQuasar。值得留意的是，掌管這個Google帳號的用戶是哥倫比亞的地方政府機關，駭客很可能取得外流帳密資料而得，這樣的情況使得收信人很容易降低警覺，以為資料來自政府單位而照做。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=165214&SPOKE_DATE=20240909&COMPANY_ID=2063"><strong style="font-size: 22px;">臺灣複合螺絲及螺栓製造商世鎧遭遇網路攻擊，部分系統被加密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bL89L4Lw83.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bL89L4Lw83.png" style="width: 300px; float: right;" /></a>9月9日臺灣複合螺絲及螺栓製造商世鎧發布重大訊息，證實他們有部分資訊系統於當天早上遭受加密攻擊，該公司循線找到加密源頭，並阻斷駭客繼續加密的行為，目前正在著手復原系統。</p> <p>而對於這起事故的影響範圍，該公司並未透露，但表示他們初步評估對營運無重大影響。</p> <p>該公司表示，他們已尋求外部資安顧問公司合作，共同因應這起資安事故，並全面強化相關防禦及復原機制。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sekoia.io/a-glimpse-into-the-quad7-operators-next-moves-and-associated-botnets/">殭屍網路Quad7鎖定兆勤VPN設備、Ruckus無線路由器而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/i/earth-preta-new-malware-and-strategies.html">中國駭客Earth Preta透過蠕蟲程式Hiupan散布惡意軟體PubLoad</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/payment-gateway-data-breach-affects-17-million-credit-card-owners/">付款閘道服務供應商Slim CD資料外洩，170萬人信用卡及個資曝光</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/ai-firm-misconfigured-server-exposed-mental-health-data/">人工智慧醫療保健業者Confidant Health伺服器配置錯誤，曝露5.3 TB健康記錄</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164943"><strong style="font-size: 22px;">Apache基金會修補ERP系統OFBiz重大風險漏洞</strong></a></p> <p>9月4日Apache基金會發布ERP系統OFBiz新版18.12.16，當中修補重大層級漏洞CVE-2024-45195（CVSS風險評分為9.8），通報此事的研究人員近日公布相關細節。</p> <p>資安業者Rapid7指出，透過這項漏洞，未經授權的攻擊者能夠從遠端連至Windows或Linux電腦執行任意程式碼，原因是網頁應用程式缺乏檢視授權查核機制造成。</p> <p>研究人員特別提及，這項漏洞與Apache基金會先前修補的CVE-2024-32113、CVE-2024-36104、CVE-2024-38856（CVSS風險評分為9.1至9.8），發生的根本原因相同，都是控制器與檢視圖解失去同步能力造成，而能讓攻擊者有機會在未通過身分驗證的情況下，執行SQL查詢或是特定程式碼，從而達到遠端執行程式碼攻擊的目的。</p> <p><a href="https://www.ithome.com.tw/news/164951"><strong style="font-size: 22px;">資料圖像化系統Kibana存在重大漏洞，可被用於執行任意程式碼</strong></a></p> <p>資料搜尋和分析解決方案業者Elastic推出資料圖像化系統Kibana安全性更新8.15.1版，修補2項重大層級的漏洞CVE-2024-37288、CVE-2024-37285。</p> <p>根據CVSS風險評分，較為危險的是CVE-2024-37288，這項漏洞發生的原因，在於Kibana的Amazon Bedrock Connector元件當中，存在「解序列化（deserialization）」的弱點，當Kibana嘗試處理含有惡意酬載的YAML檔案，就有可能觸發，使得攻擊者能夠執行任意程式碼，CVSS風險評為9.9分（滿分為10分），影響8.15.0版Kibana。</p> <p>另一個漏洞CVE-2024-37285也與解序列化有關，攻擊者同樣可藉由特製的YAML檔案觸發，並執行任意程式碼，但利用這項漏洞，攻擊者必須事先得到具備指定權限的惡意使用者帳號，並結合特定的Elasticsearch、Kibana權限，此漏洞的CVSS風險評分為9.1，影響8.10.0至8.15.0版Kibana。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://support.kemptechnologies.com/hc/en-us/articles/29196371689613-LoadMaster-Security-Vulnerability-CVE-2024-7591">Progress針對應用程式交付系統LoadMaster重大漏洞發布緊急修補程式</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164937"><strong>【9月9日】鎖定臺灣衛星及軍事工業的中國駭客組織TIDrone引起研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164897"><strong>【9月6日】北韓駭客使用冒牌視訊會議軟體感染求職者電腦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164875"><strong>【9月5日】美國針對俄羅斯干預總統大選採取執法行動</strong></a></p> </div></div></div>
2024/9/10 17:02作者周峻佑https://www.ithome.com.tw/news/164953
Apache基金會修補ERP系統OFBiz重大風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月4日Apache基金會發布ERP系統OFBiz新版18.12.16，當中修補<a href="https://issues.apache.org/jira/browse/OFBIZ-13130">重大層級漏洞CVE-2024-45195（CVSS風險評分為9.8）</a>，通報此事的研究人員近日公布相關細節。</p> <p>資安業者Rapid7指出，<a href="https://www.rapid7.com/blog/post/2024/09/05/cve-2024-45195-apache-ofbiz-unauthenticated-remote-code-execution-fixed/">透過這項漏洞，未經授權的攻擊者能夠從遠端連至Windows或Linux電腦執行任意程式碼</a>，原因是網頁應用程式缺乏檢視授權查核機制造成。</p> <p>研究人員特別提及，這項漏洞與Apache基金會先前修補的CVE-2024-32113、CVE-2024-36104、CVE-2024-38856（CVSS風險評分為9.1至9.8），發生的根本原因相同，都是控制器與檢視圖解失去同步能力造成，而能讓攻擊者有機會在未通過身分驗證的情況下，執行SQL查詢或是特定程式碼，從而達到遠端執行程式碼攻擊的目的。</p> <p>值得留意的是，上述漏洞已有部分出現實際攻擊行動。其中在今年5月公布的CVE-2024-32113，<a href="https://www.cisa.gov/news-events/alerts/2024/08/07/cisa-adds-two-known-exploited-vulnerabilities-catalog">8月美國網路安全暨基礎設施安全局（CISA）加入已被利用的漏洞名冊（KEV）</a>，SANS網路風暴中心研究人員指出，<a href="https://www.ithome.com.tw/news/164333">攻擊者將其用來散布殭屍網路病毒OFBiz</a>，因此，很有可能接下來也會有駭客嘗試利用CVE-2024-45195。</p> <p>由於CVE-2024-45195能夠繞過Apache基金會針對CVE-2024-32113、CVE-2024-36104、CVE-2024-38856修補的程式碼，IT人員若不處理，潛藏的危險有可能會超過這些漏洞。</p> </div></div></div>
2024/9/10 12:41作者周峻佑https://www.ithome.com.tw/news/164943
【資安日報】9月6日，北韓駭客使用冒牌視訊會議軟體感染求職者電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來北韓駭客假借徵才名義，透過LinkedIn等管道，鎖定想要面試的開發人員下手，如今又出現新一波的攻擊行動。</p> <p>揭露此事的研究人員指出，這起攻擊行動與過往最大的不同之處在於，駭客不光會假借測試求職者的能力為由散布惡意程式，現在也會要求使用特定視訊會議軟體進行面試的名義，讓求職者降低警覺，不慎讓電腦中毒。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164889"><strong style="font-size: 22px;">北韓駭客Lazarus假借線上徵才名義與冒牌視訊會議軟體，鎖定求職者詐騙</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chain-of-events-leading-to-compromise-v2-min.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/chain-of-events-leading-to-compromise-v2-min.png" style="width: 300px; float: right;" /></a>北韓駭客鎖定線上求職者發動攻擊的情況，最近2至3年不時有事故傳出，其中專門針對開發人員而來的攻擊行動Contagious Interview（也被稱做Dev#Popper），引起多組研究人員關切，最近有了新的發現。</p> <p>在8月中旬，資安業者Group-IB發現冒充視訊會議軟體FreeConference的惡意程式，經過分析確認是北韓駭客組織Lazarus使用的BeaverTail。這些駭客假借徵才的名義，誘騙求職者下載含有BeaverTail的Node.js檔案，一旦依照指示執行，此惡意軟體便會進一步於受害電腦載入Python後門程式InvisibleFerret，研究人員指出，這些駭客原本針對Windows電腦下手，但從今年7月開始，針對macOS開發的BeaverTail也出現相關攻擊行動。</p> <p>研究人員提及，這些駭客原本主要關注與加密貨幣有關的儲存庫來引誘想要求職的專業人士，近期也使用類似的策略，將惡意JavaScript指令碼注入與遊戲有關的儲存庫，並以分析或調查為由，要求面試者下載惡意軟體，但這次駭客的手法出現變化，他們開始以視訊會議軟體為由引誘面試者上當。</p> <p><a href="https://www.ithome.com.tw/news/164891"><strong style="font-size: 22px;">馬來西亞政府及政治人物遭到鎖定，駭客對其散布木馬Babylon RAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BabylonRAT-Figure-1-infection-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BabylonRAT-Figure-1-infection-chain.png" style="width: 300px; float: right;" /></a></p> <p>政治人物成為駭客下手的目標不時傳出，但過往大部分攻擊的目標集中在美國及歐洲地區，如今有駭客針對東南亞國家發動攻擊。</p> <p>資安業者Cyble發現使用惡意ISO映像檔的攻擊行動，主要目標是馬來西亞政治人物及政府官員，此映像檔內含偽裝成PDF文件的LNK檔案，以及惡意程式、PDF檔案誘餌、PowerShell指令碼，一旦使用者開啟LNK檔案，電腦就會被植入木馬程式Babylon RAT。但究竟駭客如何散布ISO檔，研究人員表示不清楚。</p> <p>此木馬程式專為監控及竊取資料打造，並具備側錄輸入的按鍵、監控剪貼簿、挖掘密碼，也能執行攻擊者遠端下達的命令。為了持續在受害電腦運作，駭客透過竄改機碼的方式，確保該惡意軟體在電腦重開機後能繼續執行。</p> <p><a href="https://www.ithome.com.tw/news/164895"><strong style="font-size: 22px;">中國駭客Earth Lusca打造跨平臺後門KTLVdoor，攻擊當地貿易公司</strong></a></p> <p>資安業者趨勢科技在追蹤中國駭客組織Earth Lusca的過程中，發現以Go語言打造而成的跨平臺後門程式KTLVdoor，他們指出此惡意程式駭客經過高度混淆處理，比該組織過往使用的作案工具更為複雜，而且，駭客將其偽裝成各式公用程式，例如：sshd、java、sqlite、bash、edr-agent，對Windows及Linux用戶進行散布，一旦使用者上當，電腦就有可能被駭客遠端控制。</p> <p>另一個引起研究人員關注的地方，在於攻擊行動的規模，因為他們找到超過50臺C2伺服器，這些伺服器全數架設於阿里巴巴的雲端環境，用於與惡意程式進行通訊。不過，他們認為，Earth Lusca很有可能與其他使用簡體中文的駭客組織共用這些伺服器，但不排除只有該組織使用這個基礎設施的情況。</p> <p>針對這起攻擊行動，研究人員僅確認一家中國貿易公司遭到鎖定，是否有其他組織受害仍不得而知。對於這樣的情況，他們研判駭客很有可能正在開始測試新武器，而且仍在初期階段。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-249a"><strong style="font-size: 20px;">俄羅斯軍事單位從事全球網路攻擊，對烏克蘭資料破壞軟體WhisperGate</strong></a></p> <p></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164861"><strong style="font-size: 22px;">思科授權管理軟體存在重大漏洞，攻擊者可用來取得管理者權限、竊取敏感資料</strong></a></p> <p>9月4日思科發布資安公告，指出用於授權管理的公用程式Smart Licensing Utility存在重大層級漏洞CVE-2024-20439、CVE-2024-20440，攻擊者可在未經授權的情況下遠端利用，從而在此公用程式執行的過程中，收集敏感資訊，或是管理此公用程式的服務。</p> <p>不過，攻擊者若要利用這些漏洞，前提是使用者啟動Smart Licensing Utility，而且必須是正在運作的狀態才能觸發。上述漏洞影響2.0.0至2.2.0版Smart Licensing Utility，2.3.0版不受影響，此外，Smart Software Manager On-Prem及Smart Software Manager Satellite也不受影響。</p> <p>值得留意的是，這些漏洞的CVSS風險評分都達到9.8（滿分10分），思科指出這些漏洞沒有相依性，攻擊者不需利用其他漏洞就能觸發。此外，除了升級新版軟體之外，並無其他緩解措施能夠降低風險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-injection-6kn9tSxm">思科修補已被公開的身分驗證系統ISE權限提升漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.veeam.com/kb4649">Veeam發布9月更新，修補備份軟體重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/2024/09/05/cve-2024-45195-apache-ofbiz-unauthenticated-remote-code-execution-fixed/">Apache基金會修補ERP系統OFBiz高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://patchstack.com/articles/critical-account-takeover-vulnerability-patched-in-litespeed-cache-plugin/">WordPress網站加速外掛LiteSpeed Cache再傳漏洞，6百萬網站曝露於遭到挾持的風險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164893"><strong style="font-size: 22px;">Palo Alto Networks宣布完成買下IBM QRadar SaaS業務</strong></a></p> <p>今年5月資安業者Palo Alto Networks與IBM<a href="https://www.ithome.com.tw/news/162914">宣布策略聯盟</a>，協議內容包括Palo Alto Networks將買下IBM的QRadar SaaS業務，近期他們透露最新發展。</p> <p>9月4日Palo Alto Networks宣布已完成QRadar SaaS業務的併購，並將把原有的QRadar SaaS客戶遷移到他們的Cortex XSIAM平臺。該公司並未公布交易金額，外傳價值為50億美元。</p> <p>至於將QRadar SaaS業務移交後，IBM也將協助客戶遷移到Cortex XSIAM，同時該公司自己也正部署該資安整合平臺，並成為該系統的主要代管服務供應商。IBM也派出1千名顧問，著手了解Palo Alto Networks的解決方案。</p> <p><a href="https://www.ithome.com.tw/news/164886"><strong style="font-size: 22px;">卡巴斯基美國用戶被轉給當地防毒廠商接手</strong></a></p> <p>今年7月防毒軟體業者卡巴斯基退出美國市場，將美國用戶轉給了當地不甚知名的資安軟體供應商UltraAV，即將在本月啟動移轉。</p> <p>這項消息的曝光，源於其中1名用戶在Reddit張貼9月5日收到的通知。其內容提及，美國卡巴斯基用戶未來可獲得其合作夥伴UltraAV的網路安全防護。用戶可在現有付費訂閱下獲取UltraAV防毒服務，包含VPN、密碼管理、身份盜竊防護等服務。未來幾天內，用戶就會接到UltraAV通知，告知如何啟用。</p> <p>隨後當地科技媒體也報導此事，根據Axios的報導，資安廠商Pango接手所有卡巴斯基美國用戶，並提供他們UltraAV。PC Magazine報導指出，這項傳聞已獲得卡巴斯基證實。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164875"><strong>【9月5日】美國針對俄羅斯干預總統大選採取執法行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164847"><strong>【9月4日】駭客組織Head Mare鎖定俄羅斯企業組織發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164832"><strong>【9月3日】駭客盯上資安廠商的SSL VPN系統當作誘餌，意圖散布惡意程式</strong></a></p> </div></div></div>
2024/9/6 14:41作者周峻佑https://www.ithome.com.tw/news/164897
中國駭客Earth Lusca打造跨平臺後門KTLVdoor，攻擊當地貿易公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客跨平臺開發惡意軟體的情況，最近2年可說是越來越明顯，最近研究人員揭露中國駭客的攻擊行動，也反映了這樣的趨勢。</p> <p>資安業者趨勢科技在追蹤中國駭客組織Earth Lusca的過程中，發現<a href="https://www.trendmicro.com/en_us/research/24/i/earth-lusca-ktlvdoor.html">以Go語言打造而成的跨平臺後門程式KTLVdoor</a>，他們指出此惡意程式駭客經過高度混淆處理，比該組織過往使用的作案工具更為複雜，而且，駭客將其偽裝成各式公用程式，例如：sshd、java、sqlite、bash、edr-agent，對Windows及Linux用戶進行散布，一旦使用者上當，電腦就有可能被駭客遠端控制。</p> <p>另一個引起研究人員關注的地方，在於攻擊行動的規模，因為他們找到超過50臺C2伺服器，這些伺服器全數架設於阿里巴巴的雲端環境，用於與惡意程式進行通訊。不過，他們認為，Earth Lusca很有可能與其他使用簡體中文的駭客組織共用這些伺服器，但不排除只有該組織使用這個基礎設施的情況。</p> <p>針對這起攻擊行動，研究人員僅確認一家中國貿易公司遭到鎖定，是否有其他組織受害仍不得而知。對於這樣的情況，他們研判駭客很有可能正在開始測試新武器，而且仍在初期階段。</p> </div></div></div>
2024/9/6 14:25作者周峻佑https://www.ithome.com.tw/news/164895
俄羅斯、白俄羅斯遭到WinRAR漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭開打已超過2年半，兩國不光是軍事行動你來我往，網路環境的攻擊行動也不時傳出，甚至有不少專門從事這類攻擊的駭客組織產生。</p> <p>其中，資安業者卡巴斯基揭露的<a href="https://securelist.com/head-mare-hacktivists/113555/">駭客組織Head Mare</a>，就是典型的例子。研究人員指出，這些駭客從2023年開始活動，利用WinRAR已知漏洞CVE-2023-38831對俄羅斯、白俄羅斯企業組織發動攻擊，在入侵受害組織得逞後，又使用公開的工具執行後續活動，其中包含LockBit、Babuk勒索軟體，來加密受害電腦的檔案。</p> <p>專門針對俄羅斯企業組織發動攻擊並進行破壞的駭客組織，使用的攻擊手法和工具往往相當類似，但Head Mare取得受害組織的初始入侵管道方法較不同，其中一種就是利用CVE-2023-38831，使得駭客能夠更有效地偽裝並傳遞有效酬載。基本上，這種對於敵對國家企業組織發動攻擊的駭客組織，主要目的是進行破壞，但Head Mare會索討贖金，使得受害組織能夠復原被加密的資料。</p> <p>截至目前為止，這些駭客聲稱已攻陷9個企業組織，這些涵蓋政府機關、運輸、能源、製造，以及娛樂產業。</p> <p>究竟這些駭客如何入侵受害組織？研究人員指出通常是透過惡意程式PhantomDL、PhantomCore來進行，駭客透過網路釣魚散布檔案，一旦使用者試圖開啟誘餌檔案，就會觸發CVE-2023-38831，執行惡意程式。而這些惡意程式，便會與C2伺服器進行通訊，並解析受害主機所屬的網域環境。附帶一提，駭客使用Sliver架設C2通訊環境，。</p> <p>為了進行橫向移動，駭客使用名為Pivoting的手法，將已遭入侵的電腦充當節點，濫用ngrok及rsockstun等公用程式存取私人網段的環境。</p> <p>其中，他們運用rsockstun打造SOCKS5反向隧道，此通道具備代理伺服器功能，並使用SSL進行加密通訊。如此一來，攻擊者便能存取在NAT或防火牆之後的裝置。至於ngrok，攻擊者則是用來建立從網際網路到內部網頁伺服器的安全隧道。</p> <p>而這駭客最終會將受害組織的檔案進行加密，值得留意的是，對於不同平臺，他們採用加密工具也有所不同。其中，針對Windows電腦是使用LockBit，而針對VMware虛擬化平臺ESXi，駭客則是利用Linux版Babuk。</p> </div></div></div>
2024/9/4 16:20作者周峻佑https://www.ithome.com.tw/news/164843
Google將Gemini AI助理整合到Chrome網址列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日悄悄將Gemini AI助理整合到新版Chrome網址列，無需點擊側邊欄就能和Gemini對話。</p> <p>Google周二針對Windows、Mac與Linux平臺<a href="https://chromereleases.googleblog.com/2024/09/" target="_blank">釋出</a>Chrome 128最新更新版本128.0.6613.120。一名用戶<a href="https://x.com/mlhobbyist/status/1828941776998285820" target="_blank">發現</a>Google悄悄加入一項新功能，只要在網址列輸入@，即出現4個功能選項，選擇@gemini和Gemini聊天，用戶就可直接在網址列輸入想問的問題。之後用戶會被導向顯示Gemini回應的主要結果頁。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0904-chrome-chat%20with%20gemini_%EF%BC%A0.jpg" style="width: 599px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／iThome</span></span></p> <p>這個做法比微軟將Copilot整合Edge的方法有效一點。在Edge中，用戶必須點選瀏覽器右上角的Copilot Logo，叫出側邊欄才能輸入在提示列查詢或下指令。Brave中，用戶也可以在網址列輸入「ask」叫出「ask Leo」選項，但是用戶還是必須在側邊欄輸入提示。</p> <p>Google在8月30日更新了Gemini。Google<a href="https://gemini.google.com/updates" target="_blank">說明</a>，最新的Gemini以1.5 Flash為基礎，回應速度更快，所需時間是原本的50%。</p> <p>Chrome網址列@選單的其他三項功能包括分頁、書籤及歷史紀錄。</p> </div></div></div>
2024/9/4 09:02作者林妍溱https://www.ithome.com.tw/news/164835
Docker-OSX映像檔儲存庫遭蘋果要求移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多開發人員在Docker上安裝macOS測試的Docker-OSX映像檔儲存庫，上周遭到蘋果以侵犯著作權的理由，要求移除。</p> <p>Docker-OSX是由代號Sick.Codes的開發人員建立的macOS VM容器，讓用戶可利用Docker在Windows或Linux平臺上執行macOS，用以測試應用，但不用購買macOS授權。但安全研究人員也可以用這方法來研究macOS的漏洞。Docker-OSX很受歡迎，在<a href="https://github.com/sickcodes/Docker-OSX" target="_blank">GitHub</a>上的Docker-OSX儲存庫有75萬人次下載，共獲得GitHub 4萬顆星。</p> <p>但是上周先是有用戶在<a href="https://github.com/sickcodes/Docker-OSX/issues/799" target="_blank">Reddit</a>反映找不到這個儲存庫。作者Sickcodes也在<a href="https://x.com/sickcodes/status/1828696525834457186" target="_blank">X證實</a>，在Docker Hub帳下的Docker-OSX儲存庫及所有映像檔、標籤等內容全遭到刪除，且沒有接到任何通知。隨後Docker方面<a href="https://x.com/Docker/status/1828850335328223434" target="_blank">回應</a>，這個儲存庫在蘋果以違反《數位千禧年版權法案》（Digital Millenium Copyright Act，DMCA）為由要求下移除。Docker同時也出示了代表蘋果的律師事務所的電子郵件，指出蘋果對macOS的安裝器和安裝擁有獨家權利，Docker-OSX的映像檔則是在未經授權下重製蘋果內容。此種未授權重製蘋果內容的行為，是侵害版權行為，並違反DMCA。因此蘋果要求Docker移除Docker-OSX目錄下的macOS安裝器及安裝映像檔。</p> <p>Sick.Codes對Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/docker-osx-image-used-for-security-research-hit-by-apple-dmca-takedown/" target="_blank">表示</a>，蘋果的作法違反了該公司善意安全研究專案（good-faith security research project）的精神。這個專案允許研究人員在蘋果抓蟲獎勵方案下測試其產品，Sick.Codes說他也曾經向微軟通報漏洞。但他表示，他協助蘋果安全研究的熱忱不會因此動搖，他還是會持續研究。</p> </div></div></div>
2024/9/2 12:04作者林妍溱https://www.ithome.com.tw/news/164805
【資安週報】2024年8月26日到8月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來僅告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反應了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面；還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164701"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</span></strong></a></h3> <p>加密即時通訊軟體Telegram近年來已成為許多駭客在從事網路犯罪的過程濫用的平臺，包括駭客之間用來討論如何犯案，或是用來代管、散布惡意軟體，甚至有人將Telegram頻道充當C2中繼站，這樣的情況也引發政府單位認為該平臺管理不力，逮捕其負責人的情況。</p> <p>值得一提的是，在為期超過2年的烏克蘭戰爭裡，不僅兩國駭客利用該平臺從事網路攻擊，就連政府高層也藉此向對方放話。</p> <h3><a href="https://www.ithome.com.tw/news/164717"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</span></strong></a></h3> <p>為了提升使用者瀏覽網站的體驗，許多WordPress網站可能會導入外掛程式LiteSpeed Cache，但最近開發商修補的重大層級漏洞CVE-2024-28000，已有實際攻擊行動出現。</p> <p>由於此外掛程式全球有超過500萬個網站採用，但事隔一週仍有近4成尚未修補而成為駭客下手的目標。值得留意的是，該外掛程式今年已二度遭遇大規模漏洞攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164736"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</span></strong></a></p> <p>本週SASE供應商Versa Networks發布了一則不太尋常的資安公告，提及SD-WAN管理主控臺Versa Director的高風險遭到APT駭客利用，他們將協助客戶儘速緩解漏洞。</p> <p>值得留意的是，該公司已於6月下旬發布修補程式，但為何事隔2個月特別發布資安公告？很有可能與近期電信業者Lumen公布相關攻擊事故有關，Lumen指出，這項漏洞在Versa修補之前就遭到利用。</p> <p><a href="https://www.ithome.com.tw/news/164763"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</span></strong></a></p> <p>為了避免端點防護系統干擾勒索軟體加密檔案，最近2至3年，駭客利用含有弱點的驅動程式來達到目的，其中一款名為PoorTry的惡意驅動程式，最近引起研究人員高度關注。</p> <p>研究人員特別提及，此惡意驅動程式也納入了資料破壞軟體（Wiper）的功能，而能刪除EDR系統的EXE、DLL元件，使其無法再度運作。</p> <p><a href="https://www.ithome.com.tw/news/164780"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</span></strong></a></p> <p>本月初美國網路安全暨基礎設施安全局（CISA）針對臺廠陞泰科技（Avtech）旗下的視訊監控攝影機漏洞提出警告，並指出廠商尚未提供修補程式，但已有攻擊行動出現。究竟該漏洞如何被用於攻擊，通報此事的資安業者最近透露更多資訊。</p> <p>他們提及駭客用來植入殭屍網路病毒Corona Mirai的情況，而這是約自2020年出現的Mirai變種病毒。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：3個</p> <p>CVE-2024-7262 ／ WPS Office漏洞（今年3月悄悄修補且未公開有攻擊行動，2024年8月28日ESET對外示警）<br /> CVE-2024-7971 ／ Chrome V8漏洞<br /> CVE-2024-7965 ／ Chrome V8漏洞</p> <p>本星期已知漏洞遭利用：2個</p> <p>CVE-2024-38856／ Apache OFBiz漏洞（8月5日公開，8月28日警告已遭利用）<br /> CVE-2024-28000／ WordPress外掛程式LiteSpeed Cache漏洞（8月21日公開，事隔一週兩家資安業者警告已遭利用）</p> </div></div></div>
2024/9/2 10:01作者羅正漢https://www.ithome.com.tw/news/164797
微軟將跨平臺開源.NET框架Mono專案移交WineHQ管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mono-project.com/">Mono專案將由WineHQ組織接手管理</a>，而微軟目前已經將原本Mono Runtime轉移到dotnet/runtime程式碼庫中，並敦促現有Mono使用者和基於Mono應用程式框架的維護者，都遷移使用新的.NET平臺。 <br /> <br /> WineHQ是負責維護和開發Wine的開源專案組織，而Wine是一個知名工具，提供相容層可以讓Windows應用程式在Linux、macOS和Unix-like作業系統上執行，透過將Windows API呼叫轉換成POSIX呼叫，可讓Windows應用程式不需要修改即可在非Windows環境下執行。</p> <p>微軟在2001年推出Mono，該專案的目的是提供跨平臺的.NET實作，使開發者可以在不同的作業系統上執行.NET應用程式。之後微軟開發了.NET Core和其後續的.NET版本，提供與Mono類似的跨平臺功能，跨平臺開發重心移往.NET，而Mono的更新便放緩，Mono最後一次重大更新是在2019年7月，之後都僅進行小規模修補，最近一次修補更新是在2024年2月。</p> <p>隨著微軟逐步轉移重心，現在WineHQ將接手成為Mono專案管理者，負責該專案的未來發展和維護。現有mono/mono及其他相關程式碼庫將繼續可用，雖然部分程式碼庫可能會封存，但是原始碼依然可以被存取和使用。另外，微軟現有的Mono二進位檔案也將會在未來至少四年繼續提供下載。這個作法確保Mono專案的延續，同時讓用戶有時間過渡到新的架構。</p> <p>微軟在dotnet/runtime程式碼庫中維護一個Mono Runtime分支。微軟已經逐步將使用原本的Mono工作負載，搬遷到新的分支上。目前這項搬遷工作已經完成，微軟也建議現有的Mono開發者以及相關的應用程式框架開發者，同樣轉移到.NET平臺以使用更新功能。</p> </div></div></div>
2024/8/30 08:23作者李建興https://www.ithome.com.tw/news/164761
【資安日報】8月28日，Versa Director零時差漏洞成中國駭客用來入侵ISP的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週SASE供應商Versa Networks發布了一則不太尋常的資安公告，提及SD-WAN管理主控臺Versa Director的高風險遭到APT駭客利用，他們將協助客戶儘速緩解漏洞。</p> <p>值得留意的是，該公司已於6月下旬發布修補程式，但為何事隔2個月特別發布資安公告？很有可能與近期電信業者Lumen公布相關攻擊事故有關，Lumen指出，這項漏洞在Versa修補之前就遭到利用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164722"><strong style="font-size: 22px;">美國ISP遭到中國駭客Volt Typhoon入侵，利用Versa Director零時差漏洞而得逞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Versa1_1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Versa1_1.jpg" style="width: 300px; float: right;" /></a>8月26日SASE供應商Versa Networks揭露高風險漏洞CVE-2024-39717，並指出這項漏洞存在於SD-WAN管理主控臺Versa Director的圖形介面客製化功能，攻擊者可藉由這項漏洞上傳假冒為PNG圖檔的惡意程式，值得留意的是，該公司特別提及這項已於6月下旬修補的漏洞，有APT駭客用於實際攻擊行動，呼籲用戶要儘速套用修補程式，並採取最佳安全實務的相關措施，隔日，美國網路安全暨基礎設施安全局（CISA）也將這項漏洞列入已被利用的漏洞名冊（KEV）。</p> <p>但究竟Versa提及的APT駭客是誰？電信業者Lumen旗下的資安實驗室Black Lotus指出，這波攻擊行動是中國駭客Volt Typhoon所為，有5家網路服務供應商（ISP）及代管服務供應商（MSP）受害，其中有4家為美國公司。一旦駭客成功利用漏洞，就會於網路環境部署名為VersaMem的Web Shell，藉此收集帳密資料，而能進入下游客戶的網路環境。</p> <p><a href="https://www.ithome.com.tw/news/164725"><strong style="font-size: 22px;">即時通訊軟體Pidgin外掛程式市集被用於散布惡意程式DarkGate</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GV7ESmUXMAAteSt.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GV7ESmUXMAAteSt.jpeg" style="width: 300px; float: right;" /></a>8月22日即時通訊軟體Pidgin發布公告，指出於7月6日上架的惡意外掛程式ss-otr（ScreenShareOTR）含有鍵盤側錄程式，而且還可能進行螢幕截圖將使用者操作畫面外流，他們在8月16日接獲通報，隨即將此外掛程式下架，並著手調查，呼籲已經安裝此外掛程式的用戶立即移除。</p> <p>針對這起惡意外掛程式的資安事故，資安業者ESET也著手調查此事，指出該外掛程式Windows版檔案名稱為ss-otr-1-1-0_installer_win32.exe，具有來自波蘭公司Interrex的有效簽章，雖然使用者依照指示安裝確實會在Pidgin加入駭客宣稱的功能，但內含的惡意程式碼會從C2伺服器下載PowerShell指令碼並執行，然後於受害電腦植入惡意程式DarkGate。</p> <p>研究人員進一步指出，駭客不光針對Windows用戶，Linux用戶也無法倖免。駭客也實作具有類似功能的Linux外掛程式pidgin-screenshare.so，同樣能夠下載並執行惡意指令碼。</p> <p><a href="https://www.ithome.com.tw/news/164731"><strong style="font-size: 22px;">勒索軟體Razr濫用雲端服務PythonAnywhere從事攻擊行動</strong></a></p> <p>雲端沙箱服務供應商Any.Run揭露名為Razr的勒索軟體，並指出駭客在作案過程當中，濫用名為PythonAnywhere的雲端程式碼執行服務，存放勒索軟體的有效酬載，以及受害電腦資訊。</p> <p>經過研究人員進一步分析，他們發現此勒索軟體的運作過程中，會產生唯一的受害電腦識別碼（ID）、加密金鑰，以及初始攻擊向量（Initialization Vector），並將這些資料以未加密處理的JSON檔案傳送至外部伺服器，然後於密碼區塊鏈（Cipher Block Chaining，CBC）模式下，透過AES-256演算法執行檔案加密。</p> <p><a href="https://www.ithome.com.tw/news/164698"><strong style="font-size: 22px;">PowerShell惡意軟體下載工具PeakLight埋藏在記憶體內運作，散布多種惡意程式</strong></a></p> <p>資安業者Mandiant最近揭露惡意程式下載工具PeakLight攻擊行動，駭客假借提供盜版電影為由，散布帶有捷徑檔案（LNK）的ZIP壓縮檔，一旦使用者開啟LNK檔，電腦就與特定的內容交付網路（CDN）連線，下載名為PeakLight的惡意程式下載工具，然後於受害電腦植入LummaC2（Lumma Stealer）、ShadowLadder（Hijack Loader）、CryptBot等惡意酬載。</p> <p>根據LNK檔的命令，大致可分成兩種，其中一種是濫用公用程式forfiles.exe尋找win.ini檔案，並啟動PowerShell，然後透過公用程式mshta.exe從特定網域搜尋下載、執行第二階段酬載；另一種則是直接執行PowerShell，啟動mshta.exe下載有效酬載，但特別的是，攻擊者下達命令時，會用到萬用符號，但為何要這麼做，研究人員沒有解釋。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.xlab.qianxin.com/more_ddos_details_on_steam_cn/"><strong style="font-size: 20px;">中國3A大作黑悟空當紅，電玩平臺Steam遭遇大規模DDoS攻擊</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/hz-rat-attacks-wechat-and-dingtalk/113513/">使用中國即時通訊軟體的macOS用戶遭到鎖定，駭客企圖散布後門程式HZ RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://asia.nikkei.com/Spotlight/Cybersecurity/China-seen-using-white-hat-hackers-to-boost-cyberattack-capability">中國政府要求白帽駭客參與網路攻擊</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://thehackernews.com/2024/08/over-1-million-domains-at-risk-of.html"><strong style="font-size: 20px;">百萬網域曝露Sitting Ducks網域挾持弱點</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://embracethered.com/blog/posts/2024/m365-copilot-prompt-injection-tool-invocation-and-data-exfil-using-ascii-smuggling/">M365 Copilot存在ASCII走私漏洞，攻擊者恐藉此竊取資料</a></strong></p> <p> </p> <p> </p> <h3><strong>【資安防護措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164718"><strong style="font-size: 22px;">數位部開始測試打詐通報查詢網，透過自動化加快詐騙訊息處理流程</strong></a></p> <p>數位部長黃彥男上任滿百天，對外展示上任後的小成績單，其中在政府力推的打詐方面，他表示，在立法院三讀通過的打詐專法，相關子法也將於年底前完成。另外，由數位部建置的打詐通報查詢網也已開始封測，未來內部測試順利，行政院通過後，將會開放民眾使用。</p> <p>數位部政務次長林宜敬指出，當民眾在臉書看到疑似詐騙廣告內容，可將廣告連結複製貼上打詐通報查詢網，除了民眾通報之外，打詐通報查詢網結合資安院開發的AI偵測技術，可以自動偵測巡檢詐騙廣告，每月可偵測超過50萬筆廣告，宣稱偵測準確度達93%。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164717"><strong>【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164701"><strong>【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164662"><strong>【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</strong></a></p> </div></div></div>
2024/8/28 18:13作者周峻佑https://www.ithome.com.tw/news/164736
即時通訊軟體Pidgin外掛程式市集被用於散布惡意程式DarkGate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月22日<a href="https://pidgin.im/posts/2024-08-malicious-plugin/">即時通訊軟體Pidgin發布公告</a>，指出於7月6日上架的惡意外掛程式ss-otr（ScreenShareOTR）含有鍵盤側錄程式，而且還可能進行螢幕截圖將使用者操作畫面外流，他們在8月16日接獲通報，隨即將此外掛程式下架，並著手調查，呼籲已經安裝此外掛程式的用戶立即移除。</p> <p>Pidgin維護團隊提及，這個外掛程式最可疑之處在於，開發者只提供安裝程式，並未提供原始碼，他們未來將要求所有的外掛程式都必須具備OSI核可的開源授權，並儘可能驗證是否安全才核可上架。</p> <p>針對這起惡意外掛程式的資安事故，<a href="https://x.com/ESETresearch/status/1828114327976415445">資安業者ESET也著手調查此事</a>，指出該外掛程式Windows版檔案名稱為ss-otr-1-1-0_installer_win32.exe，具有來自波蘭公司Interrex的有效簽章，雖然使用者依照指示安裝確實會在Pidgin加入駭客宣稱的功能，但內含的惡意程式碼會從C2伺服器下載PowerShell指令碼並執行，然後於受害電腦植入惡意程式DarkGate。</p> <p>研究人員進一步指出，駭客不光針對Windows用戶，Linux用戶也無法倖免。駭客也實作具有類似功能的Linux外掛程式pidgin-screenshare.so，同樣能夠下載並執行惡意指令碼。</p> <p>針對駭客存放上述惡意外掛程式的伺服器，研究人員表示，此伺服器也代管名為Omemo、Pidgin Paranoia、Master Password、Window Merge、HTTP File Upload的惡意外掛程式，這代表上述的ss-otr僅是攻擊行動的一部分，目前他們已公布入侵指標（IoC）讓資安人員參考。</p> </div></div></div>
2024/8/28 15:53作者周峻佑https://www.ithome.com.tw/news/164725
【資安日報】8月24日，Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密即時通訊軟體Telegram近年來已成為許多駭客在從事網路犯罪的過程濫用的平臺，包括駭客之間用來討論如何犯案，或是用來代管、散布惡意軟體，甚至有人將Telegram頻道充當C2中繼站，這樣的情況也引發政府單位認為該平臺管理不力，逮捕其負責人的情況。</p> <p>值得一提的是，在為期超過2年的烏克蘭戰爭裡，不僅兩國駭客利用該平臺從事網路攻擊，就連政府高層也藉此向對方放話。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164700"><strong style="font-size: 22px;">伊朗駭客組織APT42利用WhatsApp鎖定政治人物從事網釣攻擊</strong></a></p> <p>美國總統大選正在如火如荼進行，繼微軟、Google、OpenAI等科技龍頭提出警告，伊朗駭客企圖透過網路攻擊、假消息意圖左右這場選舉的結果，如今又有科技業者加入行列，指出他們旗下的應用系統也遭到濫用。</p> <p>上週Meta指出，他們接獲使用者通報，有人假冒科技公司AOL、Google、微軟、雅虎的客服人員，濫用WhatsApp帳號從事社交工程攻擊，目標是以色列、巴勒斯坦、伊朗、美國、英國，針對政府官員及外交官而來，Meta指出，這當中包含美國總統拜登及前總統川普相關人士。</p> <p>該公司經過調查，認為攻擊者的身分是別名為Mint Sandstorm、UNC788的伊朗駭客組織APT42，此組織擅長透過網釣攻擊竊取使用者的帳密資料，並長期針對以色列、巴勒斯坦、伊朗、美國等國家的政治人物、人權鬥士、學者、記者下手。</p> <p><a href="https://www.ithome.com.tw/news/164696"><strong style="font-size: 22px;">惡意軟體Sedexp潛入Linux裝置管理器，意圖透過遭潛入的網頁伺服器竊取信用卡資料</strong></a></p> <p>保險業者怡安（Aon）旗下的風險管理業者Stroz Friedberg揭露名為sedexp的Linux惡意軟體，駭客將其用來在網頁伺服器竊取信用卡資料，其中使用罕見的手法維持在受害主機運作引起研究人員關注，此惡意程式從2022年開始出沒，研究人員在許多沙箱環境發現其蹤跡，然而，目前沒有防毒引擎將其視為有害。</p> <p>究竟研究人員提及的罕見手法是什麼？答案是濫用Linux核心的裝置管理系統udev的規則。研究人員看到他們針對/dev/random的特殊裝置檔案設定配置，Linux作業系統的許多系統處理程序及應用程式，都會將其用來產生隨機亂數，然後進行加密作業或是安全通訊。而攻擊者指定當上述的裝置檔案載入時，就會一併執行sedexp。研究人員特別提及，這樣的手法，目前尚未被彙整到攻擊框架MITRE ATT&CK當中。</p> <p><a href="https://www.ithome.com.tw/news/164685"><strong style="font-size: 22px;">安卓惡意程式NGate重導引NFC流量，意圖竊取用戶付款資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NGate-figure1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NGate-figure1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET發現，3家捷克銀行客戶遭到這前所未見新手法的攻擊。攻擊者使用名為NGate的惡意程式，將受害者的實體信用卡、支付卡等卡片資料，由被植入NGate的智慧型手機利用NFC通訊，傳送給攻擊者的手機。</p> <p>攻擊者取得卡片資料後即可執行ATM交易。若這方法失敗，攻擊者還有備援計畫，可以從受害者帳戶傳到其他人的帳號。由於攻擊手法使用了NFCGate的NFC流量分析開源工具，研究人員因而將惡意程式命名為NGate。</p> <p>這起資安事故在今年3月因主謀被捕而終止，期間有3家捷克銀行客戶受害，研究人員共發現6隻不同的NGate變種，但受害人數不明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/hackers-are-exploiting-critical-bug-in-litespeed-cache-plugin/"><strong style="font-size: 20px;">WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，已出現實際攻擊行動</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://jp.security.ntt/tech_blog/appdomainmanager-injection">駭客透過AppDomain注入手法散布Cobalt Strike</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.radware.com/blog/uncategorized/2024/08/megamedusa-rippersec-public-web-ddos-attack-tool/">俄羅斯駭客利用惡意程式MegaMedusa發動DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/164698">PowerShell惡意軟體下載工具PeakLight埋藏在記憶體內運作，散布多種惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/164689">竊資軟體Cthulhu Stealer鎖定macOS用戶電子錢包、帳號密碼而來</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164681"><strong style="font-size: 22px;">臺灣駭客年會邁入20年，不只點燃駭客精神，半導體封裝測試大廠日月光也加入資安社群行列</strong></a></p> <p>今年臺灣駭客年會（HITCON）社群場於8月23、24日連續兩日舉行，現場重頭戲不僅包括多場技術資安議程，還帶來一系列資安相關活動與挑戰，吸引近千名對資安有興趣的研究人員與學生參與。特別的是，今年已是HITCON第20周年，象徵著該活動在臺灣資安社群中的深厚歷史與影響力。</p> <p>其中，AI無疑是這幾年的重要焦點，大會上不僅有4場是與AI、資安相關的演說，現場也有一些攤位活動聚焦於此。例如：一款名為「新手Prompt之助」的遊戲，是由中華資安國際開發，讓會眾掃描QRCode後可以開啟一個網頁與聊天機器人對話，目標是套出其所保護的神秘金鑰；還有一款UCCU AI Challenge的遊戲，是由資安社群UCCU Hacker開發，這遊戲不僅有探索安全防護機制的提示注入（Prompt Injection）挑戰。</p> <p>值得一提的是，本次半導體封測領域相當知名的「日月光半導體」（ASE Global），他們資安團隊設計了一個SOC事件調查的情境解題遊戲，讓會眾可在現場檢視SSLVPN、Server、防火牆這3個儀表版，並給出5個問題讓玩家回答。這次日月光半導體的參與，也引起了現場眾多與會者的關注。可以想見的是，此舉展現了企業方對資安人才的需求，而且還是相當知名的半導體業者，突顯出資安技術專業對企業的重要性，不亞於普遍資安業者。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164687"><strong style="font-size: 22px;">Telegram執行長Pavel Durov在法國被逮捕</strong></a></p> <p>根據法國媒體TF1的報導，Telegram創辦人暨執行長Pavel Durov上周六（8月24日）搭乘私人飛機降落在法國巴黎附近的Bourget機場時遭到逮捕，主要原因是Telegram平臺上缺乏內容管理機制，使它成為犯罪的溫床，而讓法國法官簽署了Durov的逮捕令。</p> <p>根據報導，法國之所以發布Durov的逮捕令是因Telegram缺乏管理機制，而讓各種犯罪活動於該平臺上暢行無阻，這令Durov可能面臨支持恐怖主義、販毒、大規模詐欺、洗錢、戀童、閃避制裁或共謀犯罪等洋洋灑灑的指控。事實上，有調查員認為，Telegram根本已經成為有組織犯罪的最大平臺。</p> <p>路透社則指出，Telegram是烏克蘭戰爭中未經證實之消息的主要散布管道，甚至有人稱為烏克蘭戰爭的虛擬戰場，不管是俄羅斯或烏克蘭高層都透過該平臺放話。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164662"><strong>【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164632"><strong>【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164608"><strong>【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</strong></a></p> </div></div></div>
2024/8/26 18:05作者周峻佑https://www.ithome.com.tw/news/164701
惡意軟體Sedexp潛入Linux裝置管理器，意圖透過遭潛入的網頁伺服器竊取信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Linux伺服器的攻擊行動越來越常見，但駭客植入惡意程式的攻擊手法，最近出現了相當不尋常的新招。</p> <p>保險業者怡安（Aon）旗下的風險管理業者Stroz Friedberg揭露<a href="https://www.aon.com/en/insights/cyber-labs/unveiling-sedexp">名為sedexp的Linux惡意軟體</a>，駭客將其用來在網頁伺服器竊取信用卡資料，其中使用罕見的手法維持在受害主機運作引起研究人員關注，此惡意程式從2022年開始出沒，研究人員在許多沙箱環境發現其蹤跡，然而，目前沒有防毒引擎將其視為有害。</p> <p>除了前述的信用卡資料側錄行為，研究人員指出此惡意程式還具備反向Shell的功能，以及竄改記憶體內容，目的是用來隱藏含有ls或find指令的部分命令，攻擊者通常會用來偷渡Web Shell、竄改的Apache組態檔案，以及udev規則。</p> <p>究竟研究人員提及的罕見手法是什麼？答案是濫用Linux核心的裝置管理系統udev的規則。</p> <p>udev的主要功能是負責管理/dev資料夾裡的裝置節點，動態建立或是移除裝置，處理熱插拔事件、設定新的設備，並載入所需的驅動程式，而udev規則組態檔案的用途，是指示此裝置管理系統偵測到特定裝置的時候，執行特定的動作，例如新增或是移除裝置。</p> <p>而駭客加入的udev規則檔案內容為何？研究人員看到他們針對/dev/random的特殊裝置檔案設定配置，Linux作業系統的許多系統處理程序及應用程式，都會將其用來產生隨機亂數，然後進行加密作業或是安全通訊。而攻擊者指定當上述的裝置檔案載入時，就會一併執行sedexp。研究人員特別提及，這樣的手法，目前尚未被彙整到攻擊框架MITRE ATT&CK當中。</p> <p>針對這種極為特殊的新興手法，研究人員指出，這代表出於經濟動機犯案的駭客，手法也變得更加複雜，突顯企業需要持續調整、更新偵測威脅的能力，並在察覺伺服器疑似遭駭的情況下，應考慮進行完整的鑑識調查。</p> </div></div></div>
2024/8/26 15:55作者周峻佑https://www.ithome.com.tw/news/164696
Android支援16 KB分頁大小，可提升系統效能約5-10％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google預計在之後Android版本支援<a href="https://android-developers.googleblog.com/2024/08/adding-16-kb-page-size-to-android.html">16 KB分頁大小（Page Size）</a>，相較於過去僅支援標準的4 KB分頁大小，這是一項重大更新，官方指出，支援16 KB分頁大小雖會增加約9％記憶體使用量，但也將帶來5-10％系統效能提升。</p> <p>目前由於還沒有量產16 KB分頁大小的Android裝置，因此Google會先在Android 15提供開發者選項和x86_64模擬器支援，鼓勵開發者先做好準備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0826-android-16KB.png" style="width: 263px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>為了提升作業系統整體效能，Google在Android 15增加支援16 KB分頁大小，這也會是第一個支援16 KB分頁大小的Android版本。由於ARM架構處理器在設計時考慮多種分頁大小，因此Android要支援16 KB分頁大小，主要是為了適應ARM的功能。分頁是作業系統管理記憶體的基本單位，大多數現代CPU都是支援4 KB分頁大小，因此過去Android作業系統和應用程式也都是針對4 KB分頁大小最佳化。</p> <p>大多數CPU中處理器具有一個稱為記憶體管理單元（Memory Management Unit，MMU）的硬體元件，負責管理虛擬記憶體和實體記憶體間的地址轉換，而這種轉換與分頁大小密切相關，當應用程式需要更多記憶體的時候，作業系統就需要介入，並填寫分頁表格條目，將記憶體分配給程序。</p> <p>所以當Android支援的分頁大小從4 KB增至16 KB，分頁大小增至4倍，記憶體分配的管理工作量也就相對應降低，這讓系統可以把更多時間用於運算影片、遊戲和作業系統等工作。Google特別說明，分頁大小與處理器32位元/64位元模式的應用程式二進位介面（Application Binary Interface，ABI）概念不同。</p> <p>ABI涉及處理器位寬，直接影響應用程式存取和操作資料的方式，而分頁大小是作業系統管理記憶體的策略，所以當應用程式調整為不依賴特定分頁大小，同一個應用程式的二進位檔案，就可以在支援4 KB和16 KB分頁大小的裝置上運作。Google重新設計了Android 15的底層，因此開始能夠支援不同頁面大小運作，以實現分頁大小無關性。</p> <p>分頁大小的變動牽涉範圍廣泛，涵蓋作業系統、檔案系統、記憶體管理和Linux核心等層面，而對Android開發者來說，應用程式的程式碼和相依項目都需要重新編譯和調整，才能在相容於16 KB分頁大小的裝置上正確運作，而且因為大多數應用程式和SDK原生程式碼是針對4 KB分頁建置，需要重新對齊，確保相容4 KB和16 KB裝置。</p> <p>從Android 15 QPR1 Beta版本開始，Pixel 8和Pixel 8 Pro將提供開發人員選項，可切換16 KB和4 KB分頁大小。針對16 KB頁面建置的應用程式，只需使用不同Linux核心，相同二進位檔案就能適用於4 KB和16 KB。因此Google加入一種包含額外Linux核心的方法，運用增量壓縮方法，每個分頁大小的核心版本約占12-16 MB。另外，即便開發者沒有ARM裝置，現在也可以在x86_64模擬器，以4 KB模式模擬16 KB分頁大小支援。</p> </div></div></div>
2024/8/26 15:55作者李建興https://www.ithome.com.tw/news/164690
【資安週報】2024年8月19日到8月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的資安威脅態勢，有多起新聞是聚焦在偽冒、配置錯誤這兩大議題，成為不可忽視的風險熱點，突顯企業、個人在網路安全上的潛在薄弱環節。</p> <p>以偽冒事件而言，有3則消息，其中一起偽冒情境相當獨特，是讓用戶誤以為電腦更新進行中，但實際是利用遠端存取竊取資料。</p> <p>●駭客偽造WinRAR網站，建立與正牌官網（win-rar.com）一字之差的偽冒網站（win-rar.co），雖然此做法並不新奇，但涉及熱門軟體而受關注。<br /> ●惡意廣告運用動態關鍵字插入技術，鎖定特定公司或產品線並假冒其名義，例如假冒Google的行動中，還會利用Google Looker Studio製作圖片來假冒搜尋頁面，並透過圖片內嵌惡意連結引導至假冒的技術支援頁面。<br /> ●駭客組織先利用社交工程手法，並透過遠端連線請求傳送假的Windows Update的執行檔，特別的是，該程式的作用僅是偽冒出Windows更新的畫面，背後則是利用遠端存取竊取受害者的網路共享資料夾，再留下勒索訊息。</p> <p>以配置錯誤而言，本星期有3則新聞值得關注，下列第一則已有攻擊行動需特別注意，研究人員指出，有11萬個網域成為攻擊者可鎖定的對象，第二則有數千個公開的SuiteCommerce受影響，並且研究人員已經揭露這樣的問題，用戶需在攻擊者關注此攻擊面下，儘速對相關組態進行檢查。</p> <p>●近出現一波向企業勒索的攻擊行動，是攻擊者鎖定在AWS公開曝險的bucket，並利用企業的雲端應用環境設定不當，進而得以竊取包含像是驗證憑證的環境變項檔（.env）檔竊取重要資料，並向受害組織勒索。<br /> ●針對Oracle旗下的雲端ERP平臺NetSuite，研究人員指出存在用戶配置錯誤情況相當廣泛，原因在於名為SuiteCommerce電商網站元件中一項CRT的存取控制錯誤組態造成，提醒相關用戶應加強這方面的管理，以避免資料外洩。<br /> ●航班追蹤平臺FlightAware發布資安事件公告，指出在7月底發現因配置錯誤問題，發生外洩該平臺用戶個資的事故。</p> <p>在資安事件方面，有5則重要新聞，當中以臺灣大學院校遭遇後門程式Msupedge攻擊的揭露最受關注，而且，值得警惕的是，入侵原因是未修補今年6月PHP程式語言修補重大漏洞；臺灣最大臺灣電子佈告欄（BBS）PTT傳出資料外洩的消息也引發關注，對此消息，<a href="https://www.facebook.com/PttTW/posts/913357430830764">批踢踢實業坊（Ptt.cc）已在隔日發布聲明</a>，傳聞中所稱取得的資料，應係自公開看板上所抓取的文章，並未發現有任何機密資訊受到危害。</p> <p>●國內有大學院校遭遇後門程式Msupedge的攻擊行動<br /> ●中國對臺認知作戰升級，在今年5月盜取飛官社群網站帳號抵毀國軍。<br /> ●PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料。<br /> ●美國半導體製造商Microchip傳出遭遇網路攻擊，造成工廠產能降低的影響。<br /> ●豐田美國分公司遭公布24GB公司資料，駭客表示是從其備份伺服器竊取。</p> <p>至於這一星期的漏洞利用消息，有1個零時差漏洞利用情形，Versa Networks旗下可簡化SASE服務的Versa Director平臺的漏洞CVE-2024-39717，美國CISA警告已獲知有主動利用的證據。</p> <p>還有5個漏洞利用要留意，包括：今年1月修補的 Jenkins CLI漏洞（CVE-2024-23897），以及前幾年多個已知漏洞，微軟Exchange Server漏洞（CVE-2021-31196），Linux Kernel漏洞（CVE-2022-0185 ），大華IP攝影機漏洞（CVE-2021-33044、CVE-2021-33045）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164553"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月19日】Google Pixel驚傳內建具有高度權限的第三方元件</span></strong></a></h3> <p>過往我們探討手機軟體供應鏈安全的事故，主要是出現在中國品牌的手機上，有人在製造過程中埋入惡意程式，導致用戶受害。但如今，類似的問題竟然出現在Google的「親兒子」Pixel系列手機。</p> <p>有資安業者透過EDR系統在客戶列管的手機當中，發現不尋常的弱點，經過調查，這些手機都被預載不安全的應用程式Showcase，攻擊者有機會藉此取得高權限，從而遠端執行程式碼、安裝惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/164586"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月20日】駭客散播可呈現仿造OS更新畫面的執行檔，背後卻是在電腦偷資料</span></strong></a></h3> <p>對於Windows使用者而言，每個月都會遇到的作業系統更新，已是相當熟悉，尤其是過程中往往必須重開機而無法使用，有駭客看上這點，製造電腦正在進行系統更新的假象，從容地從事攻擊行動，待完成後才留下勒索訊息，要脅若不依照指示付錢，將會面臨GDPR罰款。</p> <p>這項攻擊行動的特別之處在於，駭客利用1支無攻擊特徵的程式製造這種假象，導致大多數的防毒軟體都不會將其視為有害。</p> <p><a href="https://www.ithome.com.tw/news/164608"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</span></strong></a></p> <p>兩個月前臺灣資安業者戴夫寇爾揭露的PHP漏洞CVE-2024-4577，當時提到使用正體中文、簡體中文、日文語系的視窗作業系統用戶會受到影響，如今傳出實際資安事故，本週有資安公司指出臺灣有大學因為這個漏洞未修補而遭到攻擊，被駭客植入後門程式。</p> <p>值得注意的是，他們發現有多組人馬嘗試找尋下手目標的情況，這代表相關攻擊行動將會接連出現。</p> <p><a href="https://www.ithome.com.tw/news/164632"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</span></strong></a></p> <p>隨著人工智慧應用系統越來越普及，相關漏洞影響可能極為深遠，相當值得關注。本週資安業者Tenable公布Copilot Studio伺服器請求偽造（SSRF）漏洞CVE-2024-38206細節，並指出這項漏洞能影響該系統的基礎設施，攻擊者一旦利用，就有可能同時影響多個用戶。</p> <p>這項漏洞在他們通報後，微軟已進行修補，並將其列為重大風險漏洞列管。</p> <p><a href="https://www.ithome.com.tw/news/164662"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</span></strong></a></p> <p>與人工智慧互動、協作已是許多民眾日常不可或缺的部分，許多企業的應用系統也開始納入相關功能，然而一旦這類機制若是存在弱點，同樣可能成為駭客大肆利用的對象。</p> <p>最近研究人員公布協作平臺Slack的AI機器人漏洞，就是這樣的例子，攻擊者可在無須取得相關權限的情況下，得到私人頻道的內容，從而達到竊取機密的目的。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：1個</p> <p>CVE-2024-39717 ／ Versa Director漏洞</p> <p>本星期已知漏洞遭利用：5個</p> <p>CVE-2024-23897 ／ Jenkins CLI漏洞（1月24日公開，8月20日警告已遭利用）<br /> CVE-2021-31196 ／微軟Exchange Server漏洞（2021年7月14日公開，2024年8月22日警告已遭利用）<br /> CVE-2022-0185 ／ Linux Kernel漏洞（2022年2月11日公開，2024年8月23日警告已遭利用）<br /> CVE-2021-33045 ／ Dahua IP Cameral漏洞（2021年9月15日公開，2024年8月21日警告已遭利用）<br /> CVE-2022-33044 ／ Dahua IP Camera漏洞（2021年9月15日公開，2024年8月21日警告已遭利用）<br /> </p> </div></div></div>
2024/8/26 09:56作者羅正漢https://www.ithome.com.tw/news/164683
提升CPU與GPU的LLM效能，英特爾OpenVINO推年度第三版
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/openvino_2024.3-web-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>談到在英特爾運算平臺開發AI推論加速應用程式，<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/opening-doors-to-computer-vision-deep-learning-for-developers.html">2018年登場的OpenVINO toolkit</a>，經過長期的發展，這套全名為Open Visual Inference & Neural Network Optimization的軟體套件，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2018-05-openvino-toolkit-779358.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2018-05-openvino-toolkit-779358.jpg" style="width: 500px;" /></a></p> <p>如今已然成為最能廣泛涵蓋該公司AI加速運算環境的開發工具，支援CPU、GPU、GPU，因應深度學習應用的多種領域，像是電腦視覺、大型語言模型、生成式AI，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-openvino-overview-diagram-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-openvino-overview-diagram-web.jpg" style="width: 600px;" /></a> </p> <p>7月底英特爾釋出最新版2024.3，而在8月底對臺灣媒體舉行的英特爾商用AI PC平台與應用說明會，他們也特別對此進行介紹。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO-2024-08-TW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO-2024-08-TW.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20toolkit%202024_3-TW1.png" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20Running%20Inference%20with%20OpenVINO.png" style="width: 600px;" /></p> <p>這一版OpenVINO改良大型語言模型的處理效能，並擴展AI模型涵蓋的範圍，也針對網路邊緣、雲端服務、本機的部署，強化可移植至這些環境執行的能力與處理效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO Model Optimization.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20Model%20Optimization.png" style="width: 600px;" /></a></p> <p>以AI模型而言，OpenVINO提供的預先調校模型，已經在全球最大的AI開發資源共享社群平臺<a href="https://huggingface.co/OpenVINO">Hugging Face上架</a>，開發者能夠更容易著手使用，目前可在此存取與執行多達114種模型，像是<a href="https://www.ithome.com.tw/tags/phi-3">Phi-3</a>、<a href="https://www.ithome.com.tw/tags/mistral-ai">Mistral</a>、 Mixtral、LCM Dreamshaper、StarCoder2。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO Hugging Face1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20Hugging%20Face1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO Hugging Face2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20Hugging%20Face2.png" style="width: 600px;" /></a></p> <p>關於處理最佳化，OpenVINO目前已針對Intel獨立GPU加速卡或加速晶片，顯著改善大型語言模型與其他模型的執行效能，因為當中增加多重注意力（Multi-Head Attention，MHA）的機制。在此同時，英特爾也加強Intel oneAPI Deep Neural Network Library的運作性能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO MHA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20MHA.jpg" style="width: 600px;" /></a></p> <p>根據英特爾的內部測試結果指出，若在同樣搭配Intel Arc獨立GPU的系統，以OpenVINO今年釋出的第一個版本2024.1為基準，新出爐的2024.3版搭配多種生成式AI模型使用時，第1個詞元處理延遲改善幅度介於1.9至6.8倍之間，<a href="https://edc.intel.com/content/www/us/en/products/performance/benchmarks/mobile_1/">第2個詞元的吞吐量效能可增長2至2.9倍</a>，而這些改良主要源於MHA與OneDNN的強化。</p> <p>至於搭配其他AI模型，如Stable Diffusion、Whisper，OpenVINO 2024.3效能也提升至1.1至1.6倍，可縮短影片生成所需的時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenVINO toolkit 2024_3-TW2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenVINO%20toolkit%202024_3-TW2.jpg" style="width: 600px;" /></a></p> <p><a href="https://edc.intel.com/content/www/us/en/products/performance/benchmarks/mobile_1/"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20GPU%20Performance%20Index-OpenVINO%202024_3.jpg" style="width: 600px;" /></a></p> <p>第三個英特爾強調的特點與部署層面有關，OpenVINO 2024.3針對以CPU處理大型語言模型的作業，由於OpenVINO Model Server（OVMS）內建開放原始碼的AI推論程式庫vLLM，可簡化模型推理的過程，以及提供模型的連續批次處理，而能提升CPU進行這類工作的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-OpenVINO-ovms_diagram.jpg" style="width: 398px;" /> <a href="https://s4.itho.me/sites/default/files/images/2024-OpenVINO ovms_high_level.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-OpenVINO%20ovms_high_level.jpg" style="width: 198px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>OpenVINO toolkit 2024.3</strong><br /> ●原廠：英特爾<br /> ●建議售價：免費<br /> ●支援作業系統：Windows 10與11、Linux（RHEL8，Ubuntu 20.04、22.04、24.04）、macOS 12.6<br /> ●套件安裝方式：壓縮檔、PyPI、APT、YUM、ZYPPER、Conda Forge、vcpkg、Homebrew、Conan、Docker、NPM<br /> ●軟體開發元件需求：Python 3.8至3.11、CMake 3.13、GCC 7.5，Visual Studio 2019（Windows環境）、Xcode 10.3（macOS環境）<br /> ●支援硬體：<br /> CPU：x86伺服器（1到5代Xeon Scalable、Xeon 6）、x86嵌入式系統（Atom X、Atom支援SSE 4.2），x86個人電腦（6到14代Core、Core Ultra、Pentium N4200/N3350/N3450），Arm（v7-A、Arm64-v8a、Apple silicon）<br /> GPU：Intel Graphics（HD、UHD、Iris Pro、Iris Xe、Iris Xe Max）、Intel Arc GPU、Intel Data Center GPU Flex系列、Intel Data Center GPU Max系列<br /> NPU：Intel NPU（Core Ultra內建）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/23 18:31作者李宗翰https://www.ithome.com.tw/review/164649
【資安日報】8月23日，協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與人工智慧互動、協作已是許多民眾日常不可或缺的部分，許多企業的應用系統也開始納入相關功能，然而一旦這類機制若是存在弱點，同樣可能成為駭客大肆利用的對象。</p> <p>最近研究人員公布協作平臺Slack的AI機器人漏洞，就是這樣的例子，攻擊者可在無須取得相關權限的情況下，得到私人頻道的內容，從而達到竊取機密的目的。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164654"><strong style="font-size: 22px;">中國駭客Velvet Ant濫用思科交換器零時差漏洞，目的是隱匿攻擊蹤跡</strong></a></p> <p>上個月思科公布網路設備作業系統NX-OS的零時差漏洞CVE-2024-20399，此為命令注入漏洞，攻擊者可在通過身分驗證的情況下，在本機以root的權限，於目標裝置的底層作業系統執行任意命令，早在4月，就接到其他廠商通報出現漏洞濫用攻擊，最近這家資安公司的研究人員公布利用漏洞的攻擊行動細節，並指出駭客得逞後，會在交換器部署後門程式VelvetShell。</p> <p>Sygnia是在今年初看到這些駭客利用漏洞破壞、控制思科交換器設備，而能在受害企業以近乎隱形的方式從事活動。由於這項漏洞能讓可存取主控臺的管理者逃脫NX-OS的命令列介面（CLI），並在底層的Linux作業系統執行命令，這些駭客一旦成功利用漏洞，就會部署名為VelvetShell的惡意軟體，駭客以公開的後門程式Tiny Shell及代理伺服器程式3Proxy打造而成，具備執行命令的功能，並讓駭客能上傳或下載檔案，還能透過代理伺服器機制建立網路隧道，進而隱匿攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/164651"><strong style="font-size: 22px;">資安研究人員示警FakeBat惡意軟體活躍度升高，探測受害電腦環境散布竊資軟體</strong></a></p> <p>資安研究人員近期發現，透過惡意廣告傳播的惡意軟體FakeBat（NUMOZYLOD），在全球活躍度不斷上升，導致感染案例增加，企業資安人員應該提高警覺。FakeBat在2023年被Mandiant發現，是一種具有威脅的新興惡意軟體。</p> <p>隨著網路攻擊手法不斷演進，FakeBat已成為無法忽視的惡意軟體。FakeBat具有多樣化攻擊方式和高隱蔽性的特性，使其能繞過傳統的安全防護措施，對企業資料產生安全風險。FakeBat入侵的第一步，通常是從被植入木馬的MSIX安裝程式開始，代號UNC4536的惡意攻擊團體，會將MSIX檔案偽裝成受害者常用的軟體，諸如Brave、KeePass、Zoom和Notion等，並將其託管於偽裝合法的惡意網站上。</p> <p>惡意安裝程式會利用MSIX的PSF（Package Support Framework）來執行惡意腳本，這些腳本在應用程式啟動前後執行，進而將FakeBat下載到被害者的電腦。這種方式讓FakeBat能夠隱藏在看似無害的軟體安裝過程，並在使用者不知情的情況進行惡意活動。</p> <p><a href="https://www.ithome.com.tw/news/164657"><strong style="font-size: 22px;">中國對臺認知作戰升級，盜取飛官、航空公司員工的社群網站帳號抵毀國軍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dc8f86fd975e4c63a33f9120050644f2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dc8f86fd975e4c63a33f9120050644f2.png" style="width: 300px; float: right;" /></a></p> <p>今年5月總統賴清德走馬上任不久，23日有名自稱已服役14年的飛官表明決定退伍，不想再賭5年，要將時間留個家人，隔日有另一名飛行員向總統陳情，並指出隊上10個人就有9個想要離開，由於這兩篇Dcard文章都是匿名發文，時間又發生在總統就職之後，引發外界猜測文章的真實性，6月初台灣事實查核中心指出這些貼文的諸多疑點，例如根據發文者帳號的學校資訊，空軍查無此人，也沒有飛官選擇在服役13年賠錢提前退伍。但在這段期間，除了空軍出面澄清這些文章都是不實訊息，政府並未出面進一步說明。</p> <p>事隔3個月，本週調查局發布公告，證實這是境外勢力對臺灣認知作戰，並警告這次手法出現重大變化，駭客先是入侵臺灣網路設備，從而竊得社群網站帳號，然後用來散布不實訊息詆毀國軍，再由駭客控制的中國臉書粉絲專頁、人頭帳號轉載，企圖重創國軍士氣，並嚴重危害國家安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://udn.com/news/story/7240/8179051"><strong style="font-size: 20px;">PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-ngate-android-malware-uses-nfc-chip-to-steal-credit-card-data/">安卓惡意軟體NGate濫用NFC晶片竊取信用卡資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2024/08/22/qilin-ransomware-caught-stealing-credentials-stored-in-google-chrome/">勒索軟體Qilin改變攻擊標的，竊取Chrome帳密資料</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164648"><strong style="font-size: 22px;">協作平臺Slack遭揭露AI功能有漏洞，可能導致私人頻道機密資料外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a9415aef-9515-42c6-836a-546644026830_1600x630.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a9415aef-9515-42c6-836a-546644026830_1600x630.jpg" style="width: 300px; float: right;" /></a></p> <p>過往已有數起資料外洩事故駭客鎖定企業組織的協作平臺Slack下手而得逞，攻擊者往往藉由社交工程手段，成功存取機密內容，但如今有研究人員發現，該系統後來加入的人工智慧系統存在漏洞，恐加劇相關威脅，因為攻擊者在不需得到相關權限的情況下，可藉此竊取機密資料。</p> <p>資安業者PromptArmor指出，提供使用者透過自然語言查詢Slack訊息的AI功能存在缺陷，使得攻擊者有機會透過操縱用來生成內容的語言模型，竊取使用者輸入私人頻道的任意內容。</p> <p>針對這項問題的核心，該資安業者表示此為間接提示注入（Indirect Prompt Injection）弱點，原因是對於開發人員產生的系統提示，以及查詢的內容，大型語言模型（LLM）無法正確區分，一旦Slack的AI機器人透過查詢的訊息取得惡意指令，很有可能會認為惡意指令才是必須處理的內容，但不一定會處理使用者的查詢。</p> <p><a href="https://www.ithome.com.tw/news/164652"><strong style="font-size: 22px;">SolarWinds發布服務臺系統WHD更新，修補寫死密碼漏洞</strong></a></p> <p>本週SolarWinds針對服務臺系統Web Help Desk（WHD）發布資安公告，指出該系統存在寫死帳密漏洞CVE-2024-28987，未經身分驗證的攻擊者有機會遠端存取內部功能或是竄改資料，CVSS風險評分為9.1，該公司發布12.8.3 HF2版予以修補。</p> <p>值得留意的是，IT人員若要套用修補程式，必須將服務臺系統更新至12.8.3.1813或12.8.3 HF1版，才能部署。</p> <p>而這已是本月SolarWinds二度對WHD發布資安公告，一週前他們修補另一項遠端程式碼執行漏洞CVE-2024-28986，CVSS風險評分為9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.armosec.io/blog/cve-2024-7646-ingress-nginx-annotation-validation-bypass/">K8s外部存取控制器Ingress-nginx存在身分驗證繞過漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://spring.io/security/cve-2024-38810">應用程式存取控制框架Spring Security存在漏洞，恐導致未經授權存取</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://hitcon.org/2024/CMT/agenda/"><strong style="font-size: 22px;">HITCON Community 2024在今明兩天舉行</strong></a></p> <p>台灣駭客年會社群場HITCON Community 2024這兩天於中央研究院人文社會科學館舉辦，今年將以20 Years Of HITCON：Mind Meld Hacker Spirit From Human To AI為主題，探討技術本質與駭客攻擊手法及思維，並安排超過50個首度公開的零時差漏洞研究議程，其中逾半數為國外講者，突顯這項會議已走向國際化。</p> <p>值得一提的是，本次適逢台灣駭客年會成立20週年，與會者可見證這個世界級資安研究重要會議的發展，以及智慧型裝置、雲端運算、網路戰爭的出現，大會也強調駭客精神的本質及初衷始終不變，將會引領社群持續前進。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164632"><strong>【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164608"><strong>【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164586"><strong>【8月20日】駭客散播可呈現仿造OS更新畫面的執行檔，背後卻是在電腦偷資料</strong></a></p> </div></div></div>
2024/8/23 15:33作者周峻佑https://www.ithome.com.tw/news/164662
中國駭客Velvet Ant濫用思科交換器零時差漏洞，目的是隱匿攻擊蹤跡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月<a href="https://www.ithome.com.tw/news/163736">思科公布網路設備作業系統NX-OS的零時差漏洞CVE-2024-20399</a>，此為命令列介面（CLI）的命令注入漏洞，攻擊者可在通過身分驗證的情況下，在本機以root的權限，於目標裝置的底層作業系統執行任意命令，早在4月，就接到其他廠商通報出現漏洞濫用攻擊，最近這家資安公司的研究人員公布利用漏洞的攻擊行動細節，並指出駭客得逞後，會在交換器部署後門程式VelvetShell。</p> <p>Sygnia是在<a href="https://www.sygnia.co/blog/china-threat-group-velvet-ant-cisco-zero-day/">今年初看到這些駭客利用漏洞破壞、控制思科交換器設備</a>，而能在受害企業以近乎隱形的方式從事活動。由於這項漏洞能讓可存取主控臺的管理者逃脫NX-OS的命令列介面（CLI），並在底層的Linux作業系統執行命令，這些駭客一旦成功利用漏洞，就會部署名為VelvetShell的惡意軟體，駭客以公開的後門程式Tiny Shell及代理伺服器程式3Proxy打造而成，具備執行命令的功能，並讓駭客能上傳或下載檔案，還能透過代理伺服器機制建立網路隧道，進而隱匿攻擊行動。</p> <p>在執行惡意程式之前，駭客先複製curl執行檔並重新命名為ufdm，然後透過LD_PRELOAD環境變數用於載入ufdm.so，並將相關程式碼注入特定處理程序，這麼做的目的，其實是要將惡意程式的執行，偽裝成思科交換器的處理程序。</p> <p>接著，這些駭客下達ps及netstat命令，檢查正在運作的處理程序及網路連線，藉此控制惡意軟體執行的流程。最後駭客在作案完成後，刪除了ufdm及ufdm.so，企圖抹除作案痕跡。</p> <p>對於這項零時差漏洞攻擊的發現，研究人員指出，他們長期觀察Velvet Ant的活動，這些駭客先是針對一般Windows工作站電腦及伺服器下手，後來鎖定執行舊版作業系統的設備，使得受害組織難以察覺他們的蹤跡。接著，這些駭客進一步利用F5負載平衡設備維持活動，如今則是將思科交換器設備當作活動據點。這一連串的變化，突顯駭客組織的手法出現轉變，偏好從網路設備尋求未知漏洞，從而占據設備做為進出受害組織的主要管道。</p> </div></div></div>
2024/8/23 13:33作者周峻佑https://www.ithome.com.tw/news/164654
義大醫院啟動體系IT大轉型，力擁容器微服務和雲端技術
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「屏東義大醫院預計2025年7月開始營運！」義大醫院資訊部資深協理莊博昭開門見山地說，他們正如火如荼籌備義大醫院新院區的醫療系統，同時也肩負一項重要任務，執行義大醫療體系次世代醫院資訊系統開發的大規模IT轉型專案。</p> <p><span style="font-size:28px;"><strong>30年IT工具太老舊，資料取得也要更即時</strong></span></p> <p>這個轉型大工程，涵蓋了90幾套的醫院臨床系統和行政系統，主打上雲、容器、微服務、中臺等技術亮點。義大醫院去年啟動這項專案，不單為了新院區營運，還因為長期以來的IT痛點。</p> <p>莊博昭指出，義大醫院原有IT系統採主從式架構，用來打造醫療應用的主要開發工具，是1994年版的PowerBuilder，距今有30年了。也因此，該工具開發出來的應用，無法支援支iOS、Android等行動平臺，連醫療場景常見的條碼讀取都難以支援，「對醫療IT發展有很大的局限。」</p> <p>再加上，當初的醫療系統是為財務和記帳設計，不利於近年興起的細緻化醫療資訊記錄和AI大數據分析應用。這導致，醫院要進行分析時，得先耗費原本有限的IT人力和大量時間來清洗資料，才能進行後續研究，大幅影響資料取得的即時性。</p> <p>「於是我們思考，為什麼不在源頭就把資料處理好？」他說。</p> <p><span style="font-size:28px;"><strong>轉型重點1：打好資料處理基礎</strong></span></p> <p>為解決這個痛點，他們規畫新系統時，聚焦資料處理基本功，先將所有資料分為3階層，包括健保申報類的日常交易資料、BI應用類的分析用資料，以及供AI研究用的資料，再設置相應的處理機制。</p> <p>以AI研究用資料為例，為加速資料的取得，他們要做3件事，一是將這類資料歸戶，二是在源頭確保資料一定程度的乾淨可用，如統一資料標準和格式，三是建置隨選隨用（On-demand）自動化工具來清洗資料，不必仰賴IT手動處理。甚至，這類自動化工具還要能彈性調度算力，來滿足使用者運算需求。</p> <p>有了資料處理基礎，下一步就能將AI研究的所有流程串起來，從研究計畫、IRB人體研究倫理委員會審核申請，再到資料清洗、模型訓練、測試、調校等流程都整合到單一平臺上，使整體流程更順暢。</p> <p>這是義大醫院要藉重建資料處理機制，優化後續應用的其中一例。莊博昭點出，這個重建範圍不限於臨床系統，還包括行政系統，要在這次轉型一口氣改善資料處理架構。</p> <p><span style="font-size:28px;"><strong>轉型重點2：建置中臺來實現資料歸戶</strong></span></p> <p>另一大轉型重點，則是資料歸戶，也就是將醫院產生的各種病患資料，一一歸戶到每一位病人的帳戶中，而不是分散儲存於門診、急診、住院等系統，又或是不同院區的系統中。</p> <p>義大醫院推動資料歸戶有幾個原因，首先是醫院服務範圍廣泛，涵蓋生老病養，因此將資料歸戶，才能以病人為中心，更好地照護患者。再者，以病人為中心的IT設計，也更符合衛福部推動的政策方向。</p> <p>此外，義大醫院各分院的距離不遠，病人常到不同院區看診。這時，在不同院區看診的醫生，就能因資料歸戶來查看病人的完整就醫歷程。但這也意味著，「資料歸戶必須要即時。」莊博昭舉例，假設病人在義大醫院總院看完診，接著到義大醫院大昌分院看另一診，這兩間醫院車程只需20分鐘，就代表資料歸戶至少要在20分鐘內完成，才能讓分院醫生即時了解病人就醫記錄。這個資料歸戶即時性，也是打造新系統的一大重點。</p> <p>他們實現資料歸戶的方式，則是靠「ESB資料中臺架構。」採取企業服務匯流排（ESB）的軟體架構，建立一套標準化的協定和資料交換標準，來簡化內部應用的整合。義大也計畫用這個架構，來建立資料中臺或服務中臺，將四散各處的資料或服務串聯起來。就算是第三方系統，也不必另外改寫，透過統一的資料標準API，就能介接、交換資料，在資料的運用上更靈活，也能達到資料歸戶的目的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-CIO-600-2.jpg" style="width: 500px;" /></p> <p><strong style="color: rgb(51, 153, 255); font-size: 24px;">談及是否押寶開發生成式AI應用，義大醫院資訊部資深協理莊博昭點出，站在巨人肩膀上才能走得更遠，待領先者出現成熟穩定的應用模式後，再當使用者即可。</strong></p> <p><span style="font-size:28px;"><strong>轉型重點3：用雲</strong></span></p> <p>義大醫院次世代醫療資訊系統的另一大亮點，還有「上雲」。</p> <p>這是因為，上雲可帶來集中式管理的好處。義大醫院對這個議題並不陌生，早在2016年9月大昌分院正式營運時，就以義大醫院做為集中式架構，來設計機房，分院只需導入一些必要系統，啟用網路後，就能透過遠端連線來共用義大醫院IT資源，取得各項醫療系統服務，如資料庫的資料交換、醫學影像存取等。</p> <p>延續這個集中管理策略，現在，義大醫院打算將各院區共通性的系統上雲，來更精簡各分院所需管理的IT設備和維護人力，同時避免各分院發展出更多個別做法，衍生出後續管理問題。</p> <p>再來，上雲還有雲地備援的好處。莊博昭表示，傳統備援的做法，是由每家分院各自有一套備援系統，「這是高度重複的投資。」將分院共通性系統上雲，就能解決這個問題。</p> <p>對義大醫院來說，上雲還有資安的考量。這幾年，資安一直是義大醫院IT競競業業對待的議題，「我們發現，將服務搬遷上雲，反而能成為另一種形式的防火牆。」莊博昭解釋，資安攻擊通常從醫院外部服務下手，若將這些服務上雲，將內部核心作業留在地端，外部再怎麼攻擊，也只限於雲端，不會影響地端日常維運的核心業務。</p> <p>他們第一波上雲的系統，包括了醫院行政系統、醫院對外服務，以及即時性不高的共通性服務，如申報與保險業務等。另考量南部網路基礎建設，臨床業務相關的系統和服務則會先留在地端，避免網路斷線時，核心業務因此中斷的問題。</p> <p>除了這些系統和服務，莊博昭還希望將醫療影像儲傳系統（PACS）上雲。因為，PACS儲存大量的醫學影像，調閱頻率卻不高，通常是影像拍攝後的門診追蹤或手術前才會調閱查看，「這些影像可能一季之後，就成為冰凍資料了。」後續再被調閱的目的，也多是為了分析研究，因此考量儲存空間，莊博昭認為，上雲是較好的策略。</p> <p>他想將PACS上雲的另一個原因，是要預防勒索病毒。由於醫院的PACS廠商大多提供CIFS網路檔案系統，而義大醫院最常面臨的勒索病毒威脅，就屬CIFS類型。若將PACS上雲，改用S3檔案格式，「基本上可以不必擔心勒索病毒。」但莊博昭也表示，PACS能否上雲，還需要多方面的配合和討論。</p> <p><span style="font-size:28px;"><strong>轉型重點4：擁抱標準</strong></span></p> <p>除了上雲，義大醫院這次轉型，還要導入國際醫療資料標準，包括國際醫療資料交換標準FHIR、臨床醫學術語系統SNOMED CT，以及檢驗醫學及臨床觀測指標編碼LOINC。</p> <p>就FHIR來說，義大醫院原本想將所有病歷資料，都改以FHIR標準儲存。但幾經討論，決定改為2種做法，即醫院內部病歷資料的產製仍採既有標準，對於院外的資料交換情境，如跨院區資料交換、與政府單位交換資料，再轉為FHIR格式進行。</p> <p>至於醫院有許多醫療儀器，這些儀器產生的數據，也有各自的標準。莊博昭點出，義大醫院使用的醫療設備，大多支援FHIR標準，因此在標準轉換上，並不吃力。</p> <p>另一方面，義大醫院的臨床數據中心和醫療研究部也正研究SNOWMED CT和LOINC導入可行性，將作為未來病歷登載的標準。莊博昭指出，這種在源頭將資料標準化的就源管理，有利於資料清洗，減少人工額外處理。而且，統一標準介接資料還能擴展研究樣本資料量，日後要進行統計分析或發展機器學習、深度學習應用，也就更有意義。</p> <p><span style="font-size:28px;"><strong>融入敏捷開發精神，組織架構也要轉型</strong></span></p> <p>「這個專案有很大的時程壓力，」莊博昭坦言，效率和務實也因此成為核心原則。在效率部分，義大醫院找來外部廠商協助開發，採敏捷開發模式，透過IT分組，每天與業務小組討論、動態修正，快速定版，並在近期進入程式開發階段。</p> <p>而務實部分，則是指不做太多的流程再造。莊博昭認為，義大醫院營運至今20年，大多數流程已發展穩定。因此，團隊只需針對公認不佳的流程，重新修正，用最短的時間達到目標即可。</p> <p>他也透露，這次轉型不只是IT系統和部分流程，組織架構也要一併轉型。比如IT部門自己就要調整為水平式開發組織，而所謂水平式開發，是指跨功能或模組進行開發，有別於垂直式開發，更聚焦整體系統的橫向擴展和功能發展，IT部門將依此分組調整。</p> <p><span style="font-size:28px;"><strong>觀點：當個醫療GenAI使用者</strong></span></p> <p>談及這個轉型工程，莊博昭花了許多力氣說明資料處理的基本功，卻鮮少說起醫療AI發展規畫，又或是國內外各大醫院爭相擁抱的生成式AI應用。</p> <p>因為，在他看來，任何AI研究和應用，都得從最基本的資料處理開始。唯有打通資料處理通道，才能發展出高品質的AI應用，這正是他與團隊聚焦的重點領域。</p> <p>至於生成式AI在醫療的應用，莊博昭表示，義大醫院曾在GenAI興起初期嘗試不同的場景應用，但考量所需投入的資源和作業成本，便決定先觀望，待其他領先者醫院嘗試出成熟的應用模式後，再來當使用者即可。「不一定每件事都要自己從零開始建，站在巨人肩膀上才能走得更遠，」他說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>義大醫院資訊部資深協理莊博昭</strong></p> <p>學歷：高雄科技大學資管碩士畢業</p> <p>經歷：自1997年加入義大集團旗下燁聯鋼鐵公司資訊部，並於2002年參與義大醫院籌備，先後擔任了課長、副處長、經理與協理等IT職務。過去主導義大醫院IT規畫與建置，近年來負責打造連鎖醫院IT新架構，並自2023年開始執行義大醫療體系次世代醫院資訊系統開發專案</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-CIO-300.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>義大醫療財團法人義大醫院</strong></p> <p>●地址：高雄市燕巢區角宿里義大路1號</p> <p>●網址：<a href="http://www.edah.org.tw">www.edah.org.tw</a></p> <p>●成立時間：2004年</p> <p>●主要業務：醫療服務、長照服務、產後護理</p> <p>●員工數：約4,000人</p> <p>●創辦人暨董事長：林義守</p> <p>●義大醫院院長：杜元坤</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●直屬主管：行政中心行政長洪誌隆</p> <p>●資訊部門主管姓名：莊博昭</p> <p>●資訊部門人數：53人</p> <p>●資訊部門分工：臨床資訊系統開發、行政資訊系統開發、基礎建設維運</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2011年：導入VMware虛擬化技術、採用第2代心導管影像系統（CATH）</p> <p>●2012年：建置義大營養照護資訊平臺</p> <p>●2013年：採用園區架構建置第2座資訊機房，導入APC機房解決方案，護囑系統上線</p> <p>●2014年：病人輸血管理系統ICD-10上線、PowerBI導入</p> <p>●2015年：核心資料庫由Unix移轉至x86 Linux，加入記憶體式運算技術，導入快閃儲存系統，儲存系統改採iSCSI架構，多機構MIS、HIS系統上線，完成建置Infinitt PACS系統</p> <p>●2016年：建置體系私有雲，體系三家醫院互為備援，資料備份進中華電信Hi-cloud S3雲端儲存</p> <p>●2017年：建置第四套APC機房</p> <p>●2018年：行動行政系統、行動巡房系統上線，加入HI-SAC</p> <p>●2019年：行動資產管理系統獲SNQ標章</p> <p>●2023年：建置Azure混合雲，義大醫療次世代醫院資訊系統開發專案啟動</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-cio-960-v2.jpg" width="960" height="420" alt="" title="義大醫院資訊部資深協理莊博昭" /></div></div></div>
2024/8/23 06:00作者王若樸https://www.ithome.com.tw/people/164614
Azure Kubernetes Services有漏洞，攻擊者可藉由TLS引導攻擊提權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Mandiant揭露Azure Kubernetes Services有漏洞，並<a href="https://cloud.google.com/blog/topics/threat-intelligence/escalating-privileges-azure-kubernetes-services/">命名為WireServing</a>，影響在網路組態使用「Azure CNI」、網路政策採用「Azure」配置的Kubernetes（K8s）叢集，攻擊者若在這類叢集正在運作的節點執行命令，就有機會下載叢集節點的組態配置，從而取得TLS引導憑證（Token），並執行TLS引導攻擊（TLS Bootstrap Attack），進一步讀取叢集裡所有的機敏資料。微軟接獲研究人員的通報，已從問題根源進行處置。</p> <p>而對於這項漏洞帶來的影響，攻擊者一旦得到能夠存取的Azure Kubernetes服務叢集權限，就有機會藉此進行權限提升，並存取叢集服務使用的帳密資料。攻擊者不僅能取得敏感資料，還有可能造成資料外洩、財務損失、受害組織的信譽受損等影響。</p> <p>研究人員揭露的漏洞利用攻擊手法，是利用Azure並未記載於文件的內部元件WireServer，雖然微軟<a href="https://learn.microsoft.com/zh-tw/troubleshoot/azure/virtual-machines/linux/linux-azure-guest-agent">在WALinuxAgent的說明文件</a>提及這項元件，但僅指出用途是處理Linux虛擬機器與Azure Fabric的互動。</p> <p>他們對這項元件發出請求，取得用來保護組態的金鑰wireserver.key，並透過另一項名為HostGAPlugin的元件取得JSON檔案，並以該金鑰解開特定的指令碼，從而取得一系列的機敏資料，其中包含環境變數，有了這些資料，攻擊者就能進行權限提升。</p> <p>這些環境變數可讓攻擊者取得節點的通用TLS金鑰及憑證、K8s的CA憑證，以及TLS引導憑證。研究人員指出，雖然這種管道取得的帳號在AKS僅具備最小的K8s權限，但這種帳號能列出叢集裡的所有節點。</p> <p>另一方面，上述提及的TLS引導憑證不僅能用於TLS引導攻擊，還能得到工作酬載使用的機密存取權限。</p> </div></div></div>
2024/8/22 15:12作者周峻佑https://www.ithome.com.tw/news/164619
微軟8月更新讓Linux於雙重啟動系統中失效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux社群最近發現，在安裝了微軟於8月所釋出的安全更新之後，在Windows及Linux雙啟動系統中，無法再啟動Linux。不過，微軟說明，這可能是因為這些Linux版本過於老舊所造成，只要更新Linux便能解決。</p> <p>此一事件的主角為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-2601" target="_blank">CVE-2022-2601</a>，該漏洞存在於負責支援安全啟動的Linux GRUB2啟動加載器上，它含有一個緩衝區溢位漏洞，可能形成越界寫入，進而繞過安全啟動。它是個Linux漏洞，該漏洞編號亦是由紅帽（Red Hat）所指派，但因它可能影響Windows的安全性而被列入微軟的安全更新。</p> <p>然而，科技媒體Ars Technica<a href="https://arstechnica.com/security/2024/08/a-patch-microsoft-spent-2-years-preparing-is-making-a-mess-for-some-linux-users/" target="_blank">指出</a>，不管是Debian、<a href="https://askubuntu.com/questions/1523353/windows-aug-13-update-broke-my-ubuntu-system" target="_blank">Ubuntu</a>或<a href="https://forums.linuxmint.com/viewtopic.php?t=427297&sid=dab5f35699069b1d030e710a1eb3c793" target="_blank">Linux Mint</a>等Linux社群都在部署更新後傳出了災情，無法再於Windows及Linux雙啟動系統中啟動Linux。</p> <p>之後微軟也對此提出了說明，表示為了解決此一安全問題，Windows部署了一個安全啟動進階定位（Secure Boot Advanced Targeting，SBAT）來封鎖可能會影響Windows安全的Linux啟動加載器漏洞，此一更新並不適用於Windows及Linux的雙啟動系統，也不應影響這些系統。使用者或許會發現較舊的Linux版本無法啟動，那麼應與Linux供應商聯繫以更新版本。</p> <p>但根據報導，許多安裝最新Linux版本的系統依然受到影響。現階段Linux社群提出了兩種暫時性的補救措施，一是關閉安全啟動功能，二是移除微軟的安全更新。</p> </div></div></div>
2024/8/22 12:35作者陳曉莉https://www.ithome.com.tw/news/164612
樹莓派推出2GB的Raspberry Pi 5，售價50美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樹莓派（Raspberry Pi）基金會周一（8/19）<a href="https://www.raspberrypi.com/news/2gb-raspberry-pi-5-on-sale-now-at-50/" target="_blank">發表了Raspberry Pi 5的新版本</a>，它剝離了不必要的應用處理器功能，僅搭載2GB的記憶體，售價為50美元，是最便宜的Raspberry Pi 5版本。</p> <p>去年9月發表的Raspberry Pi 5<a href="https://www.ithome.com.tw/news/159043" target="_blank">提供</a>4GB與8GB兩種版本，價格分別是60與80美元。樹莓派基金會表示，Raspberry Pi 5已然實現了Raspberry Pi最初「打造一臺經濟實惠通用桌上型電腦」的夢想，對於大多數使用者而言，它與傳統電腦並無區別，亦綑綁了從初學者到工程師所需的所有工具。</p> <p>事實上，相較於2012年的首款Raspberry Pi，Raspberry Pi 5的性能是它的150倍，這有賴於先進的工程設計、每年生產數百萬臺電腦的經濟規模，再加上摩爾定律，然而，對性能的持續追求讓某些元件變得更為昂貴，最低成本的Raspberry Pi 5還要60美元。<a href="https://www.ithome.com.tw/news/92230" target="_blank">早期</a>Raspberry Pi的最低階產品只要20美元。</p> <p>為此，樹莓派基金會藉由優化BCM2712應用處理器的成本，推出2GB版本、售價50美元的Raspberry Pi 5。</p> <p>Raspberry Pi 5內含兩個關鍵元件，一個是由樹莓派開發、作為平臺介面的RP1 I/O控制器，另一個則是由博通（Broadcom）所生產的16奈米應用處理器BCM2712C1。當中的BCM2712C1是個複雜且功能強化的裝置，除了配備2.4GHz的4核心Arm Cortex-A76應用處理器，以及最新版的VideoCore多媒體平臺之外，還含有許多服務其它市場但樹莓派並不需要的功能，雖然Raspberry Pi所使用的晶片永久禁用了相關功能，但這些功能依然會占用晶片空間並帶來成本。</p> <p>於是樹莓派採用新的D0修訂版本（stepping），剝離晶片上所有不需要的元素，從Raspberry Pi 5用戶的角度來看，它在功能上與先前的版本相同，有同樣的4核心處理器，同樣的多媒體功能，同樣的PCI Express匯流排，但製造成本變低了，再加上將記憶體容量減半，而能提供更便宜的產品。</p> <p>為了讓Raspberry Pi運作得更順暢，樹莓派也自行建置了Raspberry Pi OS，宣稱它在現代硬體上運作時，所耗費的資源比大多數的Linux版少了很多，因此，除了那些想要驅動兩個4Kp60顯示器，或是要打開100個瀏覽器分頁，還是需要從原始碼編譯複雜軟體的使用者，需要採用高記憶體的Raspberry Pi 5版本之外，該基金會認為，很多人應該會發現2GB的Raspberry Pi 5可能更適用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-Raspberry%20Pi%20OS.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／樹莓派基金會</span></span></p> <p>科技媒體Tom's Hardware<a href="https://www.tomshardware.com/raspberry-pi/raspberry-pi-5s-new-2gb-model-benchmarked-do-you-need-2-4-or-8gb-we-test-against-the-4-and-8gb-versions" target="_blank">測試了</a>2GB、4GB及8GB的Raspberry Pi 5，顯示它們在開機速度或開啟瀏覽器的速度上並無太大的差異，2GB也能流暢地開啟5個Chrome瀏覽器分頁，到10個分頁便呈現掙扎狀態，40個分頁便接近當機，2GB在壓縮與高階模擬上的表現亦明顯低於其它兩個版本。</p> <p>Tom's Hardware建議，如果是要將Raspberry Pi 5當作桌上型電腦使用，或者是執行機器學習或AI專案，那麼應優先選擇8GB，若是不確定是否需要記憶體，那麼就選擇4GB版本，倘若只是玩家想執行各種電子專案或模擬舊的遊戲機，那麼2GB就是一個省錢的好方法。</p> <p>此外，開發者社群認為，2GB或許不是Raspberry Pi 5最低階的版本，樹莓派基金會很可能會推出1GB的Raspberry Pi 5。</p> </div></div></div>
2024/8/20 13:47作者陳曉莉https://www.ithome.com.tw/news/164564