iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

DeepL推出語音轉文字服務DeepL Voice
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國AI業者DeepL周三（11/13）發表了<a href="https://www.deepl.com/en/blog/deepl-voice" target="_blank">DeepL Voice</a>，它能聽懂13種語言，並將它們轉成30種語言的字幕，以協助不同語言的使用者對話，目前提供DeepL Voice for Meetings及DeepL Voice for Conversations兩種服務。</p> <p>DeepL成立於2017年，同年便推出DeepL Translator翻譯服務，去年發表了AI寫作助理<a href="https://www.ithome.com.tw/news/155200" target="_blank">DeepL Write</a>，最新的DeepL Voice雖然聽得懂不同的語言，但還是以文字輸出，而非語音，目前可辨識的<a href="https://support.deepl.com/hc/en-us/articles/16810100955676-About-DeepL-Voice-for-Meetings#h_01JC608XD0476YFWSJM3Z9T0WP" target="_blank">語音</a>包括英文、法文、西班牙文、德文及日文等13種，並未包括中文，但所支援的字幕則涵蓋了中文等30種語言。</p> <p>其中，<a href="https://support.deepl.com/hc/en-us/articles/16810100955676-About-DeepL-Voice-for-Meetings#h_01JC608XD0476YFWSJM3Z9T0WP" target="_blank">DeepL Voice for Meetings</a>允許與會者說著自己國家的語言，並同步翻譯成其它語言，讓開會也能打破語言的藩籬。至於<a href="https://support.deepl.com/hc/en-us/articles/16813214348316-About-DeepL-Voice-for-Conversations#h_01JC649BBRTXXDRB1N1Q6424TT" target="_blank">DeepL Voice for Conversations</a>則可在一臺行動裝置上運作，人們可透過該裝置對話並看到所選擇語言的翻譯，支援Android與iOS裝置。</p> </div></div></div>
2024/11/14 14:05作者陳曉莉https://www.ithome.com.tw/news/166017
俄羅斯駭客利用NTLM雜湊洩漏欺騙零時差漏洞，攻擊烏克蘭企業組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週微軟於<a href="https://www.ithome.com.tw/news/165982">11月例行更新（Patch Tuesday）</a>當中，修補4項零時差漏洞，其中一項已被提前公開，且出現攻擊行動的NTLM雜湊值洩露欺騙漏洞CVE-2024-43451引起外界關注，通報此事的研究人員指出，俄羅斯駭客將其用於攻擊烏克蘭。</p> <p>針對這項漏洞，微軟在資安公告中提及，這項漏洞涉及IE底層的MSHTML平臺、指令碼平臺，一旦攻擊者成功利用漏洞，就有機會洩露NTLMv2雜湊值，然後藉此以使用者的名義通過身分驗證，過程中需要與使用者互動，但他們強調，使用者只要與攻擊者提供的檔案進行極少的互動，就能觸發攻擊鏈。</p> <p>但究竟駭客如何利用這項漏洞？<a href="https://www.clearskysec.com/0d-vulnerability-exploited-in-the_wild/">通報此事的資安業者ClearSky表示</a>，他們在今年6月察覺俄羅斯駭客組織UAC-0194將其用於攻擊烏克蘭企業組織，駭客濫用已遭到入侵的烏克蘭政府機關郵件伺服器寄送釣魚信，聲稱收信人必須依照指示更新學歷證明資料，這些信挾帶惡意URL檔案。</p> <p>一旦收信人以右鍵點選、刪除、移動，或是與此URL檔案進行互動時，就會觸發CVE-2024-43451，電腦將與攻擊者的伺服器連線，下載木馬程式SparkRAT及其他作案工具。如此一來，攻擊者就能透過SparkRAT控制受害電腦，並設法在電腦重開機後讓該木馬程式持續運作。</p> <p>事實上，對於所有Windows電腦的用戶而言，只要右鍵點選攻擊者特製的惡意檔案，就能觸發這個漏洞；若是Windows 10及11的用戶，將這類檔案刪除，或是拖曳到另一個資料夾，也會同樣觸發攻擊鏈；採用特定組態的Windows 7、8、8.1作業系統，也可能無法倖免。</p> </div></div></div>
2024/11/14 11:37作者周峻佑https://www.ithome.com.tw/news/166013
D-Link已終止支援的NAS設備重大漏洞，傳出已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前研究人員Netsecfish揭露<a href="https://www.ithome.com.tw/news/165945">D-Link網路儲存設備（NAS）重大層級的命令注入漏洞CVE-2024-10914</a>，影響DNS-320、DNS-320LW、DNS-325，以及DNS-340L等4款機種，D-Link證實確有此事，並表明這些設備生命週期已經結束（EOL），他們不會提供修補程式。當時研究人員估計全球約有6.1萬臺裝置曝險，很快就會被駭客盯上，如今出現嘗試利用漏洞的情況，但有其他資安機構對於曝險的數量，提出不同的觀察。</p> <p>11月13日Shadowserver基金會提出警告，<a href="https://x.com/Shadowserver/status/1856635619839008810">他們從12日開始發現有人試圖利用這項漏洞的跡象</a>，呼籲用戶應儘速將這些設備從網路上移除。攻擊者嘗試對/cgi-bin/account_mgr.cgi進行命令注入，想要觸發CVE-2024-10914。</p> <p>但究竟攻擊規模如何，該基金會並未提及，僅表示他們確認有近1,100臺NAS設備曝險，其中又以英國、匈牙利、法國最多，分別有177臺、73臺、70臺。值得留意的是，臺灣也有27臺設備曝險。</p> </div></div></div>
2024/11/14 12:24作者周峻佑https://www.ithome.com.tw/news/166015
NCC防堵詐騙簡訊祭出新措施，要求電信業者建立商業簡訊白名單機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為避免民眾收到惡意簡訊，不慎點入簡訊內容中的短網址連結或電話號碼，導致個資或財產遭到詐騙，NCC針對商業簡訊祭出新措施，11/18起將要求商業簡訊如果含有URL、短網址或電話號碼，電信業者在協助發送之前需先檢驗發送者是否與企業登錄資料相符，如果發現不符，將不能發送商業簡訊。電信業者可對審核通過受信任的企業建立白名單機制，不需偵測簡訊內連結、電話號碼。</p> <p>行政院為打擊詐騙，今年5月通過打詐專法「詐欺犯罪危害防制條例」，並修改洗錢防制法、科技偵查及保障法、通訊保障及監察法，稱打詐新四法，新的打詐專法中，為防止各類詐騙，交由各主管機關對主管事業訂定防詐加強措施，其中一個重要措施是強化源頭管理，要求業者強化客戶身分驗證。</p> <p>例如數位經濟產業由數位部負責，數位部為強化防詐措施，要求網路廣告平臺業者應盡義務，包括對廣告刊登者加強身分驗證管理，國際網路廣告平臺需在臺設定法定代理人等等。</p> <p>主管電信事業的NCC負責訂定電信產業的防詐強化措施，作為電信業者應盡義務。NCC本周表示，儘管電信業者自主配合政府打詐，針對客戶強化身分驗證，但截至今年1月到10月為止，仍有約40萬餘則的惡意簡訊被發送，依據詐欺犯罪危害防制條例第14條第2項規定，將要求電信事業強化商業簡訊風險管控機制，簡訊內容如果含有連結或電話內容要進行檢查，並從11/18起實施。</p> <p>首先，新措施包含所有商業簡訊在發送之前，電信業者檢查簡訊內容如含有URL、短網址或電話號碼，如查驗與企業（企業或代發業者）登錄資料不符或未登錄者，則不予發送。</p> <p>其次，當企業要發送商業簡訊，內容如含有URL、短網址或電話號碼，需預先向電信業者申請，由電信業者審核通過，將URL、短網址、電話號碼登錄為企業專屬專用資料，未來發送商業簡訊之前，內容檢查如果包含URL、短網址或電話號碼，電信業者需檢查發送者是否和登錄資料相符，符合才能協助發送。企業登錄資料如需變更，需重新向電信業者申請。</p> <p>最後，電信業者可審核通過可信任的企業客戶，將其列入綠色通道，則不需執行網址、聯絡電話偵測。換言之，電信業者可審核受信任的企業客戶，建立商業簡訊的白名單機制，就不需偵測簡訊內容含有網址、電話號碼。</p> <p>NCC主任祕書黃文哲表示，新措施是針對大量發送的商業簡訊，一般個人發送的簡訊，兼顧政府打詐，以及尊重個人祕密通訊自由，個人簡訊可允許一天發送50則以內，如果個人簡訊內容也涉及詐騙行為，例如個人簡訊內容因為涉詐被165專線檢舉，將會封鎖該簡訊的電話號碼，並通報給其他電信業者，依打詐專法後續處理，終止或暫停其服務。</p> <p>NCC補充說明，個人發送簡訊如果超過一天50則，電信業者將會先攔截，由用戶和電信業者進行進一步的KYC驗證，通過驗證後才可以發送大量簡訊，但簡訊內容仍不能是涉詐內容。</p> <p>這項新措施為防堵惡意簡訊，屬於電信業者打詐自律的作為，未配合新措施的電信業者，NCC並沒有制定處罰辦法，電信業者建立企業客戶白名單也不需提報NCC，屬於業者自律行為。</p> <p>黃文哲表示，儘管企業加入電信業者的白名單，不需偵測簡訊內容的網址或電話號碼，但如果未來遭檢舉簡訊內容涉詐，仍需要重新檢驗其資格。新措施為行政指引，目的是希望在不干涉正常商業行為下，又同時兼顧打詐防詐的策略。</p> <p>NCC也呼籲，民眾收到簡訊如帶有URL、短網址或電話號碼，應小心求證，避免直接點擊簡訊內連結或提供個資。必要時可向165專線或反詐網站查詢。</p> </div></div></div>
2024/11/14 12:47作者蘇文彬https://www.ithome.com.tw/news/166016
鎧俠E1.S外形產品邁入第三代，第二款PCIe 5資料中心SSD登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/kioxia_xd8_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2023年8月推出<a href="https://www.ithome.com.tw/review/158091">PCIe 5.0資料中心固態硬碟CD8P系列</a>，鎧俠（Kioxia）在今年10月中旬舉行的OCP全球高峰會期間，發表效能更勝一籌的XD8系列，每日寫入量（DWPD）為1，鎖定讀取密集型應用，儲存容量提供7,680 GB、3,840 GB、1,920 GB等4種選擇，並且遵循PCIe 5.0與NVMe 2.0的標準，支援NVMe-MI 1.2c，以及OCP推動的Datacenter NVMe SSD v2.5規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia XD8-2024-11-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20XD8-2024-11-1.jpg" style="width: 600px;" /></a></p> <p>而且，XD8系列的產品外形，提供E1.S厚9.5公釐，以及E1.S厚15公釐等兩種選擇，屬於該公司的第三代E1.S固態硬碟——<a href="https://www.ithome.com.tw/review/155253">第一代是XD6系列</a>，第二代是<a href="https://apac.kioxia.com/en-apac/business/news/2022/20221019-1.html">XD7P系列</a>，皆採用PCIe 4.0介面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia EDSFF offered.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20EDSFF%20offered.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/KIOXIA EDSFF E1 Offerings.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/KIOXIA%20EDSFF%20E1%20Offerings.jpg" style="width: 600px;" /></a></p> <p>關於存取效能的部分，XD8系列在循序讀取與循序寫入的作業當中，分別可達到12,500 MB/s、5,800 MB/s，領先上一代產品（XD7P系列）的幅度，各為73％與20％；而在隨機讀取與隨機寫入的作業當中，分別可達到230萬IOPS、25萬IOPS，領先上一代產品的幅度，各為39％與25％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/KIOXIA XD7P Series vs_ KIOXIA XD8 Series.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/KIOXIA%20XD7P%20Series%20vs_%20KIOXIA%20XD8%20Series.jpg" style="width: 600px;" /></a></p> <p>若比起同廠牌的PCIe 5.0固態硬碟產品，XD8系列的效能固然優於CD8P系列，但被歸類於<a href="https://www.ithome.com.tw/review/159046">企業級固態硬碟的CM7系列</a>更高，循序讀取與循序寫入效能分別可達到14,000 MB/s、7,000 MB/s，隨機讀取與隨機寫入效能為270萬IOPS與60萬IOPS（但此系列產品的外形提供2.5吋與E3.S等兩種，並未提供E1.S）。</p> <p>對於同樣採用PCIe 5.0介面、E1.S外形、每日寫入量為1的產品規格而言，XD8系列目前的最大市場競爭對手，可能是<a href="https://www.ithome.com.tw/review/164160">美光今年7月底推出的Micron 9550 Pro</a>。</p> <p>因為這系列產品可同時提供E1.S外形厚15公釐的外形，而且提出的效能規格更高——循序讀取與循序寫入效能分別可達到14,000 MB/s、9,000 MB/s，隨機讀取與隨機寫入效能為330萬IOPS與40萬IOPS，均超越Kioxia XD8系列；在儲存容量上，Micron 9550 Pro提供3.84 TB、7.68 TB、15.36 TB、30.72 TB，顯然可因應更大空間的讀取作業需求；就耗電量而言，XD8系列介於17瓦到21瓦，9550 Pro讀寫各為18瓦和16瓦。安全性方面，兩款產品均可提供自我加密硬碟（SED）、TCG Opal選購機型，但Micron 9550 Pro額外支援DMTF的SPDM 1.2標準，能呼應HPE、Dell等伺服器廠商的硬體元件安全要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Security%20and%20Encryption%20Options%20Available%20for%20KIOXIA%20SSDs.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Kioxia XD8系列</strong><br /> ●原廠：Kioxia<br /> ●建議售價：廠商未提供<br /> ●儲存容量：1,920 GB、3,840 GB、7,680 GB<br /> ●外形：E1.S（厚9.5公釐）、E1.S（厚15公釐）<br /> ●儲存媒體：3D NAND，TLC，第五代BiCS FLASH<br /> ●最高讀寫速度：循序12,500 MB/s與5,800 MB/s，隨機230萬IOPS與25萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量為1<br /> ●可靠度：250萬小時MTTF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/14 13:02作者李宗翰https://www.ithome.com.tw/review/165934
彙整5百家媒體上千篇最新金融報導，永豐銀先推金融市場GAI摘要服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GAI技術爆紅後，不僅讓技術人員感到興奮，就連金融業中的業務單位，也對這項技術充滿期待。永豐銀行財富金融處處長蔡隆裕就認為，GAI能發展許多應用，「想像空間非常大。」永豐銀行鎖定的第一項關鍵應用，便是運用GAI來提供金融市場資訊摘要。</p> <p>為何先從這項應用起步？蔡隆裕解釋，過往銀行提供客戶各種金融市場研究資訊時，往往面臨兩大痛點。第一，產出研究報告的人力有限，無法快速針對多個市場發表看法。第二，研究人員和客戶關注的消息不完全一致，這就導致，研究人員產出的報告，未必都能貼合客戶需求。例如，當市場出現波動，銀行客戶可能想了解，特定人物的言論是否會影響市場趨勢，「但如果研究人員認為這些言論不影響他們既有看法，可能就不對特定事件進行分析。」蔡隆裕說。</p> <p>看上GAI的摘要能力，永豐銀行設定了兩個開發目標。第一，能用同一套方法論處理多個市場，快速提供多個市場資訊。第二，針對民眾在意的事件提供見解。</p> <p>今年八月，永豐銀行率先將生成式AI用在對外服務，推出一項名為「投資水晶球」的服務，透過彙整國內外超過500個媒體平臺數千篇最新報導，再依照臺灣、美國與中國三大市場，各別提供約1,000字的市場趨勢摘要，並在十月初新增了日本和印度市場報告。</p> <p>這項服務每兩日更新一次，每次更新，都會根據近5日新聞提供多個市場趨勢摘要。摘要內容包括列出影響市場變動的因素，和提供可密切關注的趨勢和議題，以及總結市場趨勢。</p> <p>這項應用功能看似單純，背後其實投入了大量資源，永豐銀行集合了資訊處、財富金融處、綜合企劃處等單位，組成跨部門專案團隊，並和永豐金控、永豐投顧合作，每月舉辦一次專案會議，跨部門人員共同針對模型回應和指令提供意見，來確保服務上線後不會產生疑慮。</p> <p><strong><span style="color:#A52A2A;"><span style="font-size:28px;">跨部門專案團隊每月開會討論模型回應和提示內容</span></span></strong></p> <p>永豐銀過往的AI專案多由金控技術單位負責，但這款GAI應用，改由該行綜合企劃處負責執行專案，採用了提示工程，主要由專案團隊人員撰寫提示指令。</p> <p>金控技術單位會提供初版提示，專案人員接著利用員工專用GAI小幫手，測試想調整的提示詞，完成一個版本後，交由開發人員在正式環境中執行提示，再由專案人員檢視執行結果。反覆執行這個過程，直到模型回應達到理想程度。永豐金控技術單位會從旁提供提示詞修改建議，如增加參數限制。</p> <p>永豐銀行綜合企劃處處長王筱嵐表示，專案團隊每月專案會議中，會針對模型指令和回應進行討論，並給予修改意見，「絕不是單一部門決定整套指令。」專案團隊還徵求法遵法務意見，確保對外GAI服務合規性。</p> <p>從產品發想到正式上線只花了半年。開發期間，永豐銀行同步進行調查，收集超過8千條客戶意見，來了解市場接受度，上線前更找來2千名客戶試用實測，確認滿意度後，才正式推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%80%E7%92%87-%E6%B0%B8%E8%B1%90GAI-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <blockquote><p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;"><span class="notion-enable-hover" data-token-index="0" style="font-style:italic">為了打造這項對外GAI服務，永豐銀行組成跨部門專案團隊，定期召開專案會議討論模型回應和指令。圖左為永豐銀行財富金融處處長蔡隆裕，圖中為永豐銀行資訊處處長沈志成，圖右為永豐銀行綜合企劃處處長王筱嵐。</span></p>  </blockquote> <p><strong><span style="color:#A52A2A;"><span style="font-size:28px;">先用新聞篩選模型找出重要新聞，再運用多階段提示詞完成開發</span></span></strong></p> <p>每一份市場摘要報告中，看上去，僅是一串摘要文字，實則處理了國內外超過500個媒體平臺的上千篇最新的新聞，背後涉及了大量資料處理工程。</p> <p>起初，專案團隊僅使用一段式指令打造這項應用，但效果並不理想。第一個挑戰，是模型難以根據即時性，來排序新聞資訊的重要性。「對GAI來說，五天的新聞資訊都是等值。」蔡隆裕解釋，在沒有設定任何參數的情況下，模型可能摘要五日前的新聞，也可能僅摘要近一日的資訊，「這就不是我們想呈現給客戶的資訊。」</p> <p>第二個挑戰，是模型回應對市場趨勢看法飄忽不定。蔡隆裕解釋，由於新聞報導容易受到市場波動影響，「如果大漲大跌，當天新聞就會寫得很熱烈，且新聞內容可能較多，但如果當天波動小，新聞內容可能就比較簡單、平淡。」這項問題，導致LLM模型輸出的摘要，難以形成一致性的見解。</p> <p>為了解決這些挑戰，專案團隊在處理新聞資料篩選下了許多功夫。首先，團隊把近五日的新聞資料向量化，並進行向量化匹配，從中篩選出最相關的新聞，進行第一階段的雜訊過濾，去除重要性較低的新聞。接著，團隊運用一個數學模型，對過濾出的新聞資料進行時間權重計算。這個模型主要負責新聞篩選，可以用來確保LLM模型在生成摘要時，會優先採用應關注的新聞。</p> <p>運用模型篩選出應採用的新聞資訊後，團隊才開始運用多段式提示詞，來完成這項應用開發。在提示詞中，團隊過指示模型分段撰寫，以及每一段應闡述的重點，來提高模型回覆的專業度和可讀性。並且，團隊也將永豐投顧的未來展望化為一套參數，在提示詞中要求參考這項參數，來確保模型回應不會僅依照新聞字面內容生成回應，而是針對特定事件提供專業性較高的見解。</p> <p>雖然服務已經正式上線，專案團隊仍持續持續提升模型篩選新聞的能力、修改提示詞，並測試新推出的LLM，若新版模型效果較強，則會改為採用更新的模型服務。</p> <p><span style="color:#A52A2A;"><strong><span style="font-size:28px;">從單一應用起步，永豐銀行要建立共用GAI平臺加速業務發展GAI應用</span></strong></span></p> <p>GAI摘要的資料，不只用於這項服務，永豐銀行計畫擴大發展成一個可再利用的共用知識庫。永豐銀行資訊處處長沈志成解釋，未來，其他單位不用從頭處理，直接篩選或重新撰寫提示詞，就能生成新的資訊。</p> <p>不只如此，以這項關鍵應用為基礎，永豐銀行正逐步發展出一套全行共用的GAI平臺，能彙整各種GenAI服務和共用知識庫，提供行內各業務單位快速打造GAI應用。而市場資訊摘要，正是建立在這個共用平臺上的第一支服務。</p> <p>沈志成解釋，這套共用平臺具備彈性擴充特性，採用模組化設計，能提供使用者快速選用功能模組來開發GAI應用，包括資料庫搜索、內容生成，和Copilot應用等模組。對業務單位而言，這套共用平臺就是一支API，能串接多種API服務，例如市場資訊摘要API、程式生成API，和內部知識顧問API。「（共用平臺）類似一套中臺服務，全行各個系統都可以透過API介接，來使用生成式AI功能。」沈志成說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%80%E7%92%87-%E6%B0%B8%E8%B1%90GAI-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <blockquote><p>永豐銀行資訊處處長沈志成表示，永豐銀行正逐步發展出一套全行共用的GAI平臺，能提供行內各業務單位快速打造GAI應用。</p> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;"> </p> </blockquote> <p>這套共用平臺也包含權限設置，除了針對模型輸入和輸出內容進行把關，也設計成本控管機制，能統計各單位token使用次數，和使用模型服務的開銷。</p> <p>為了打造這套共用平臺，永豐銀行資訊團隊正在克服諸多挑戰。由於開發生成式AI應用所需的資料來自多個管道，需要運用雲端服務或爬蟲技術來蒐集、彙整資料，如何有效收集並管理來自不同來源的資訊，便是其中一項挑戰。</p> <p>此外，資訊團隊批次處理資料的過程中，如何確保資料能順利流動是一大關鍵。甚至，當使用者在資料更新的過程中取用資料，如何設置適當的處理機制，也是資訊團隊需要處理的重要議題。文⊙李昀璇</p> <p></p> </div></div></div>
2024/11/14 09:58作者李昀璇https://www.ithome.com.tw/news/166007
微軟可能又有新AI品牌Windows Intelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟不論是在伺服器或PC，都是提供Copilot作為AI功能入口。但有研究人員發現，微軟可能又多了個品牌Windows Intelligence。</p> <p><a href="https://x.com/teroalhonen/status/1847290774272045118" target="_blank">一名研究人員</a>今年稍早在最新的Windows 11 24H2中、名為apprivacy.adml的群組規則檔中，發現有段關於允許App使用AI功能的程式碼及參照描述。其中寫道，「允許特定App存取Windows Intelligence」。</p> <p class="rtecenter"><a href="https://x.com/teroalhonen/status/1847290774272045118" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1114-Windows%20Intelligence-image%20by%20%40teroalhonen%20on%20X-2.png" style="width: 600px;" /></a></p> <p><a href="https://x.com/teroalhonen/status/1847290774272045118" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／@teroalhonen on X</span></span></a></p> <p>按照這段參照，Windows 11 24H2及未來版本，可能提供3種選項，包括允許使用者決定哪些App可存取AI、強制特定App永遠可存取AI，或是不論使用者行動，皆不允許特定App使用AI。</p> <p>本周另一名研究人員<a href="https://x.com/thebookisclosed/status/1855540841441337662/photo/1" target="_blank">發現</a>在Windows 11 24H2「設定」中的「隱私&安全」頁中，新增生成式AI專用頁面，當中包含控制誰可以存取AI功能、哪些App可使用AI，以及7日內活動紀錄。其中「生成式AI」可能會改成「Windows Intelligence」。</p> <p>不過Windows Latest<a href="https://www.windowslatest.com/2024/11/11/leak-confirms-windows-11-ai-windows-intelligence-brand-privacy-features/" target="_blank">猜測</a>，Windows Intelligence應該與Copilot是不同的東西，比較像是一個品牌及範圍較大的類別，而微軟也應會持續使用Copilot。</p> <p>微軟過去曾使用過Windows AI一詞，但是是用在群組規則（Group Policy）上，Windows Latest推斷微軟可能計畫將Windows Intelligence用於新的產品。這似乎也合理，因為蘋果macOS終端PC上的AI品牌，正是Apple Intelligence。</p> </div></div></div>
2024/11/14 11:28作者林妍溱https://www.ithome.com.tw/news/166012
AMD要裁撤4%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/164272" target="_blank">英特爾</a>之後，另一半導體業者AMD也在近日傳出將裁撤4%的全球員工。AMD去年底的員工人數為2.6萬名，估計約有1,000名員工受到影響。</p> <p>AMD並未對外公布此事，而是員工於社交平臺上透露，據稱發生在本周二（11/12）。消息曝光後，AMD發言人旋即向CNBC等媒體<a href="https://www.cnbc.com/2024/11/13/amd-layoffs-company-to-4percent-of-workforce-or-about-1000-employees-.html" target="_blank">證實</a>，為了將資源集中在最大的成長機會上，該公司將採取某些特定措施，包括減少4%的全球人力。</p> <p>AMD為半導體市場上的重要玩家，同時涉及中央處理器（CPU）與繪圖處理器（GPU）領域，它在CPU市場上最大的競爭對手是英特爾，根據Statista的<a href="https://www.statista.com/statistics/735904/worldwide-x86-intel-amd-market-share/" target="_blank">調查</a>，英特爾約占CPU市場的61%，AMD則占了35%；此外，儘管GPU是由Nvidia占據了75%的市場，但AMD亦以15%取得了第二名的位置。換句話說，AMD不管是在CPU或GPU市場都是明確的第二名。</p> <p>根據AMD今年第三季的<a href="https://www.amd.com/en/newsroom/press-releases/2024-10-29-amd-reports-third-quarter-2024-financial-results.html" target="_blank">財報</a>，該季AMD創下68.2億美元的營收，成長18%，淨收入（Net income）為7.7億美元，成長158%。執行長蘇姿丰表示，該季AMD創下營收新紀錄，得益於EPYC與Instinct資料中心產品銷量的增加，以及對Ryzen PC處理器的強勁需求，也看到了資料中心、客戶端與嵌入式業務未來的巨大成長機會。</p> </div></div></div>
2024/11/14 10:46作者陳曉莉https://www.ithome.com.tw/news/166009
新版GKE可管理最多6.5萬叢集節點，超越AWS、Azure 10倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud<a href="https://cloud.google.com/blog/products/containers-kubernetes/gke-65k-nodes-and-counting" target="_blank">公布</a>最新Google Kubernetes Engine版本，號稱可支援最高達65,000個節點的伺服器叢集，以執行超大型AI模型。</p> <p>生成式AI技術演進及應用普及，推升了大型語言模型（LLM）規模及參數量也愈來愈大，目前許多已突破千億參數，甚至有些來到2兆。而訓練這些大型模型的加速器，需要超過1萬個節點的運算基礎架構。</p> <p>Google Kubernetes Engine（GKE）向來可支援多節點叢集，以執行AI模型訓練任務。先前版本GKE可支援1.5萬個叢集節點，隨著新版推出，現在GKE可支援高達6.5萬個節點的叢集。Google認為最新GKE支援的節點規模，是Amazon和微軟的10倍以上。</p> <p>以Google Cloud而言，現在單一節點提供了多個加速器，像是搭載4顆晶片的Cloud TPU v5e節點，因此單一叢集使用最新版GKE後，最多可管理超過25萬顆加速器。</p> <p>Google說明新版GKE較前代的創新。首先，該公司將Key-Value資料庫由etcd換成了以Google Spanner為基礎的key-value資料庫，後者幾乎規模無上限，可改善叢集運作（如啟動和更新）延遲性，及無狀態叢集控制層（control plance）。Google並實作etcd API以提供回溯相容性，使核心Kubernetes無需變更。</p> <p>其次，Google改善了管理Kubernetes控制層的GKE基礎架構，使GKE現在擴充速度更快，改善的控制層有多重效益，包括能執行高一致性的大容量運算。控制層現在能自動因應運算調節，並使延遲性維持在可預測範圍。這點對執行大型動態應用如SaaS、災難復原和備援、批次部署以及測試環境來說尤其重要。</p> <p>有了新版GEK，Google Cloud強調更能支援AI模型任務。訓練AI模型時企業需要分配運算資源給多個工作負載，因此將任務集中在少量叢集可提供最大調度彈性，執行推論、研究和訓練的作業。Google說，由於支援6.5萬個節點，現在GKE允許單一叢集執行5種任務，每種任務的執行效能，都足以媲美2023年Google Cloud以5萬餘顆TPU v5e，<a href="https://cloud.google.com/blog/products/compute/the-worlds-largest-distributed-llm-training-job-on-tpu-v5e?e=48754805" target="_blank">締造</a>的10 exa-FLOPs的LLM訓練速度世界紀錄。</p> </div></div></div>
2024/11/14 11:01作者林妍溱https://www.ithome.com.tw/news/166010
全球電商龍頭Amazon推出Amazon Haul，以低價策略對抗Temu與Shein
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多年來遭受Temu與Shein兩大購物網站的低價競爭之後，全球電子商務龍頭Amazon終於在周三（11/13）<a href="https://www.aboutamazon.com/news/retail/affordable-products-amazon-20-dollars-and-under" target="_blank">推出</a>Amazon Haul，專門提供低價的商品銷售，所有商品的價格皆低於20美元，且大多數商品低於10美元，訂單超過25美元便可免費送貨，還提供免費退貨服務。</p> <p>不管是Shein或Temu都是來自中國，受益於便宜的中國供應鏈。Shein成立於2008年，主要銷售低價的快時尚商品，它在2017年進入美國市場，吸引了大量的年輕消費者，原本打算在美國上市，卻因監管、政治及供應鏈等問題而轉向英國，已申請於倫敦股市掛牌。Temu的母公司則是中國的低價電商拼多多，旗下的Temu於2022年9月才進軍美國，同樣以低價的銷售策略吸引大量的美國消費者。</p> <p>Amazon Haul無疑是要與Shein及Temu較勁。使用者可透過Amazon程式或行動網站存取Amazon Haul，它具備自己的購物體驗、搜尋、購物車及結帳功能，產品類別涵蓋時尚、家居、生活及電子產品等，所有商品的售價都低於20美元，大多數的商品低於10美元，訂單超過25美元便免運，而且只要超過50美元就有5%的折扣，超過75美元還有10%折扣，訂單只要超過3美元便提供15天內的免費退貨服務。</p> <p>Amazon Haul上的商品價格也向Shein及Temu看齊，例如剪頭髮的三件組工具只要2.99美元，各種色彩繽粉的桌布也只要2.99美元，iPhone 16的手機殼只要1.79美元，冬天用的觸控手套是3.21美元。訂單不到25美元的運費為3.99美元，Amazon Haul的送貨時程為一到兩周，與Shein及Temu相當。</p> <p>Amazon表示，該公司將負責篩選賣家於Amazon Haul中所提供的商品，且相關商品皆受到A-to-z Guarantee的<a href="https://www.aboutamazon.com/news/policy-news-views/amazon-guarantee-backs-all-products-purchased-in-store" target="_blank">保障</a>。A-to-z Guarantee是Amazon於20年前推出的服務，確保買家在購買第三方賣家所提供的商品時，能享有安全及可靠的購物經驗。</p> </div></div></div>
2024/11/14 11:15作者陳曉莉https://www.ithome.com.tw/news/166011
Red Hat OpenShift AI增強模型管理與資料漂移偵測，提升跨雲AI部署一致性與效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Red Hat發表了<a href="https://www.redhat.com/en/about/press-releases/red-hat-powers-ai-scale-and-adaptability-latest-release-red-hat-openshift-ai">Red Hat OpenShift AI 2.15</a>，這是一款企業級人工智慧與機器學習應用平臺，可協助企業加速人工智慧技術的採用，並提升一致性。該新版本增加了模型註冊表與資料漂移偵測功能，並進一步支援跨混合雲環境的大規模人工智慧模型管理和部署。</p> <p>Red Hat OpenShift AI 2.15的更新重點之一是添加模型註冊表預覽版。模型註冊表可供開發者集中管理已註冊的人工智慧模型，實現模型版本控制、共享、部署和追蹤。企業可透過該工具組織和管理生成式人工智慧模型的後設資料和模型資產，並可選擇建立多重模型註冊表，以應對不同業務需求。目前Red Hat已經將該專案捐贈給Kubeflow社群作為子專案，以進一步促進開源人工智慧社群的發展。</p> <p>資料漂移偵測功能也是OpenShift AI 2.15本次的更新重點。隨著人工智慧部署至生產環境，輸入的資料可能隨時間變化，而資料漂移偵測功能則可以持續監控輸入資料變動的情況，並在實際資料與訓練資料出現偏移時發出通知。該項設計可確保模型反應實際情況，避免因資料變化導致預測結果偏差，提升模型在生產環境的可靠性。</p> <p>Red Hat OpenShift AI 2.15中的LoRA技術讓微調大型語言模型變得更省資源。LoRA的原理是降低微調模型的運算複雜度，讓企業可以更高效地調整像是Llama 3這類人工智慧模型，LoRA技術充分利用雲端原生環境的彈性，最佳化模型訓練與微調過程，不僅提高了效能，也強化操作的靈活性。有了LoRA的加持，OpenShift AI 2.15能夠滿足不同規模的人工智慧工作負載需求，企業能以較低的成本和資源消耗進行模型微調。</p> <p>此外，新版本還支援Nvidia NIM和AMD GPU整合，增加硬體加速的選項。Nvidia NIM提供了一組微服務介面，讓生成式人工智慧應用的部署更加簡單快速，並支援多樣化人工智慧需求。開發者只要透過API，NIM就能靈活地支援本地和雲端環境的推論服務，實現高度可擴展性。</p> <p>Red Hat OpenShift AI 2.15提供企業AMD GPU的支援，使開發者能夠在模型開發、訓練和微調過程使用AMD的GPU。新的硬體支援讓企業擁有更多選擇，而且也能提升處理高運算需求工作負載的能力，使人工智慧應用的開發與部署，在不同硬體環境更具彈性。</p> </div></div></div>
2024/11/13 22:16作者李建興https://www.ithome.com.tw/news/166002
1Password加入微軟情報安全性聯盟，強化身分驗證與存取管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理工具1Password<a href="https://blog.1password.com/1password-joins-microsoft-intelligent-security-association/">宣布</a>加入微軟情報安全性聯盟（Microsoft Intelligent Security Association，MISA），並推出與微軟兩大安全解決方案的整合功能，提升企業對身分驗證與存取管理的控制能力。MISA是微軟針對安全生態系組建的聯盟，透過集結獨立軟體供應商（ISV）與管理安全服務供應商（MSSP），提供強健的網路威脅防護方案。</p> <p>1Password加入MISA，顯示其產品在微軟生態系中，能夠良好地整合和運作，對企業來說，這樣的整合代表在使用微軟相關平臺時，除了原本微軟的安全工具，也可以選擇1Password強化密碼管理和存取控制安全性。</p> <p>在這項合作之下，1Password針對Microsoft Sentinel與Entra ID推出整合功能。Microsoft Sentinel為雲端原生的安全資訊和事件管理（SIEM）平臺，能讓企業集中管理威脅偵測、調查與應對。透過1Password的Events API，用戶能將1Password企業密碼管理器的事件資料匯入至Sentinel，方便在單一平臺上監控與分析各種安全事件，進一步強化整體防護能力。</p> <p>此外，1Password也與Microsoft Entra ID完成整合。Entra ID提供單一登入（SSO）功能讓企業能夠藉由單一帳號管理多項應用的存取權限。1Password的Device Trust功能可與Entra ID協同運作，確保僅有符合健康與安全標準的裝置，才能存取敏感資料。該功能有助於企業實現零信任架構，減少安全漏洞並加強裝置控管，適用於員工個人裝置與公司設備並用的混合環境。</p> </div></div></div>
2024/11/13 22:22作者李建興https://www.ithome.com.tw/news/166006
駭客利用Office已知漏洞，透過網路釣魚散布Remcos RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用 RAT發動攻擊的情況，不時有事故傳出，而最近一波攻擊行動裡，攻擊者採用了新的手法來迴避偵測，因而引起研究人員的注意。</p> <p>資安業者Fortinet發現<a href="https://www.fortinet.com/blog/threat-research/new-campaign-uses-remcos-rat-to-exploit-victims">假借公司業務往來的網路釣魚攻擊</a>，駭客聲稱寄送採購單（PO）的名義，寄送帶有Excel檔案附件的釣魚信，一旦收信人開啟附件檔案，就會看到這份文件受到保護的訊息，若要檢視內容，就必須依照指示啟用編輯功能及啟用內容，然而若是照做，就會觸發遠端程式碼執行漏洞CVE-2017-0199，攻擊者藉此於後臺下載HTML應用程式檔案（HTA），並於受害電腦執行。</p> <p>值得留意的是，為了避免東窗事發，此HTA採用JavaScript、VBScript等多種指令碼，並搭配Base64演算法、PowerShell指令來進行多層包裝。一旦該HTA檔案啟動，就會將dllhost.exe下載到受害電腦並執行。</p> <p>此執行檔會利用處理程序挖空（Process Hollowing）手法，將惡意程式碼注入新的處理程序Vaccinerende.exe，從而在記憶體內執行Remcos RAT有效酬載，然後向C2伺服器進行註冊、接收命令，而這麼做的目的，就是避免於磁碟上留下痕跡。</p> <p>研究人員指出，攻擊者為了隱匿行蹤，他們採用多項反分析手法，包含向量異常處理、動態API呼叫、反除錯手法來達到目的。</p> </div></div></div>
2024/11/13 18:04作者周峻佑https://www.ithome.com.tw/news/166003
【資安日報】11月13日，微軟本月例行更新揭露4項零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天許多廠商發布11月份例行更新，微軟、Adobe、SAP、Citrix、西門子、施耐德電機等廠商，紛紛發布相關公告及更新軟體，IT人員應留意相關公告，規畫修補行程。</p> <p>其中，微軟發布的公告相當值得留意，因為這次有4個零時差漏洞，其中一個與MSHTML平臺有關的CVE-2024-43451，由於在公告前已遭公開，且有實際攻擊行動，後續影響有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166000"><strong style="font-size: 22px;">北韓駭客使用跨平臺應用程式框架Flutter打包惡意酬載，鎖定macOS用戶而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/jamf-threat-labs-apt-actors-embe.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/jamf-threat-labs-apt-actors-embe.png" style="width: 300px; float: right;" /></a></p> <p>專精蘋果裝置管理的資安業者Jamf指出，他們在10月下旬，在上傳到惡意程式分析平臺VirusTotal的檔案裡，發現北韓駭客企圖利用跨平臺應用程式框架Flutter做為散布macOS惡意軟體的管道，由於採用這款框架打造的應用程式會導致其程式碼變得更加複雜，而有可能讓攻擊者藉此逃過各式資安防護機制的偵測。</p> <p>研究人員發現這些惡意程式檔案存在攻擊意圖，但所有防毒引擎皆將其視為無害，而且，這些惡意軟體還帶有簽章，並通過蘋果的公證程序。對於駭客的意圖，他們表示目前仍不得而知，無法確定是否已被用於實際攻擊行動，或是攻擊者正在打造、測試新的惡意程式。</p> <p>雖然無從得知攻擊者是正在進行測試，還是已經準備投入攻擊活動，但研究人員指出，這是他們首度看到有人利用Flutter掩人耳目，並且企圖以此對macOS用戶發動攻擊的情形。</p> <p><a href="https://www.ithome.com.tw/news/165980"><strong style="font-size: 22px;">Amazon坦承員工資料在MOVEit相關資安事件中外洩</strong></a></p> <p>網路電商及平臺大廠Amazon坦承，他們受到去年5月的MOVEit漏洞事件波及，公司員工的資料已經外洩。該公司獲報，一家物產管理廠商的資安事件影響包括Amazon在內的客戶。外流資料主要是員工聯絡資訊，像是公司電子郵件、室內電話、大樓地址。這家電商龍頭強調，Amazon和AWS的系統都沒有被駭。此外，Amazon透露，這「第三方廠商」無法存取更為敏感的個資，像是社會安全號碼或財務資訊。</p> <p>該公司坦承資料外洩的原因，是使用Nam3L3ss為ID的人士於駭客論壇當中，聲稱握有包含Amazon等超過20家知名企業的資料，而Amazon遭到公布的280萬行資料，來自該公司使用的MOVEit Transfer檔案傳輸系統。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/iranian-dream-job-campaign-targets-aerospace-industry-with-snailresin-malware/">伊朗駭客發起Dream Job攻擊行動，鎖定航太產業散布惡意軟體SnailResin</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/new-phishing-tool-goissue-targets.html">惡意工具GoIssue聲稱可對GitHub用戶大規模從事網釣攻擊，開發者號召打手採用</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165982"><strong style="font-size: 22px;">微軟發布11月例行更新，修補4個零時差漏洞，其中2個已被用於實際攻擊</strong></a></p> <p>11月12日微軟發布本月份例行更新（Patch Tuesday），總共修補89個漏洞，其中有26個權限提升漏洞、2個安全功能繞過漏洞、52個遠端程式碼執行（RCE）漏洞、1個資訊洩露漏洞、4個阻斷服務（DoS）漏洞，以及3個能被用於欺騙的漏洞。值得留意的是，本次有4個是零時差漏洞，這裡面有2個已出現實際利用的狀況。</p> <p>4個零時差漏洞分別是：NTLM雜湊值洩露欺騙漏洞CVE-2024-43451、AD憑證服務（ADCS）權限提升漏洞CVE-2024-49019、Windows工作排程器權限提升漏洞CVE-2024-49039、Exchange伺服器欺騙漏洞CVE-2024-49040。其中，CVE-2024-43451、CVE-2024-49039已出現實際攻擊行動；在此同時，除了CVE-2024-49039是現在揭露，其餘3個漏洞資訊皆已遭到公開。</p> <p><a href="https://www.ithome.com.tw/news/165984"><strong style="font-size: 22px;">Adobe發布11月例行更新，修補旗下6款應用程式重大漏洞</strong></a></p> <p>11月12日Adobe發布資安公告，針對旗下Adobe Bridge、Adobe Commerce、After Effects、Audition、InDesign、Illustrator、Photoshop、Substance 3D Painter等多項產品發布安全性更新，總共修補48個漏洞，值得留意的是，這次超過半數為重大漏洞，再者，除了Audition、Bridge，其餘6項應用程式皆存在重大漏洞。</p> <p>單就重大漏洞數量來看，Adobe為Substance 3D Painter修補16個漏洞居冠，這些都有可能讓攻擊者執行任意程式碼，CVSS風險評分皆為7.8。而且，這些漏洞類型大部分屬於越界寫入（Out-of-bounds Write，OBW），總共有11個，其次有3個為記憶體緩衝區溢位漏洞，另有2個分別為記憶體重複釋放（Double Free）漏洞、不受信任的搜尋路徑漏洞。</p> <p><a href="https://www.ithome.com.tw/news/166001"><strong style="font-size: 22px;">SAP針對Web Dispatcher修補高風險XSS漏洞</strong></a></p> <p>11月SAP發布8個資安公告，並更新其中2個已公開的漏洞資訊，其中最受到注意的部分，是CVSS風險評分最高的CVE-2024-47590，影響的產品是應用程式負載平衡系統Web Dispatcher，屬於跨網站指令碼（XSS）弱點，危險程度為8.8分。</p> <p>針對這項漏洞帶來的危險，SAP指出未經身分驗證的攻擊者能製作能公開存取的惡意連結，一旦有通過身分驗證的使用者點選，網頁便會在使用者的瀏覽器以輸入資料產生內容，進行跨網站指令碼攻擊，或是將這些資料傳送到其他伺服器，進行伺服器請求偽造（SSRF）攻擊，導致攻擊者能夠執行任意程式碼，從而影響伺服器的機密性、完整性、可用性。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/citrix-netscaler-adc-and-gateway-vulnerabilities-put-organizations-at-risk/">Citrix修補NetScaler設備高風險的記憶體安全漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/schneider-electric-warns-of-multiple-vulnerabilities-in-modicon-controllers/">施耐德電機針對Modicon控制器漏洞提出警告</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-44102-cvss-10-found-in-siemens-telecontrol-server-basic-urgent-update-required/">西門子遠端監控系統TeleControl Server Basic存在風險滿分漏洞，未經身分驗證的攻擊者可執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165974"><strong style="font-size: 22px;">思科產品功能整合大進化，涵蓋網路、AI、資安，同時發表首款企業級Wi-Fi 7基地臺</strong></a></p> <p>【澳洲墨爾本現場報導】以網路設備起家的思科，近年來不斷拓展其技術版圖，不僅資安產品涵蓋的面向越來越廣，去年他們更是併購Splunk、推出了Cisco AI Assistant，持續引發業界關注，也讓外界對其發展感到更加期待。</p> <p>今年的思科亞太區年度用戶大會Cisco Live!，於11月12日在澳洲墨爾本市召開，該公司亞太、日本和大中華區總經理Dave West在第一天活動主題演講，談到思科的重要轉變，他說：「要成為一家成功的網路公司，必須具備頂尖的資安實力；而要成為領先的資安公司，則需要強大的AI能力，而為了成為AI公司，有賴於成為一流的資料公司。」</p> <p>於此同時，思科也在本次大會上，發表了全新世代的無線網路設備──首款Wi-Fi 7基地臺。雖然，這看起來只是無線網路規格的升級，但我們注意到思科在相關整合上的顯著進步，涵蓋無線網路解決方案本身，以及AI、資安，以及思科各種網路產品的相關整合。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165971"><strong>【11月12日】多組駭客透過SEO下毒手法，將使用者導向冒牌電子商務網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165955"><strong>【11月11日】6.1萬臺D-Link網路儲存設備存在重大層級命令注入漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165932"><strong>【11月8日】德國提出刑法修正草案，確立資安漏洞研究的合法地位</strong></a></p> </div></div></div>
2024/11/13 18:15作者周峻佑https://www.ithome.com.tw/news/166004
政府以海纜、微波、衛星多管齊下強化金門通訊韌性，數位部：年底如期完成773個衛星站點設置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>外島地區例如金門、馬祖，經常因颱風、地震等天災，或是人為事故導致對外海纜中斷或發生故障，影響當地民眾及政府機關的通訊需求，數位部以經費補助電信業者，利用微波、衛星等通訊技術，來強化外島地區通訊網路韌性，本周數位部在金門展示成果，除了海纜提供當地民眾高速寬頻網路服務，4G、5G網路人口涵蓋率達到99%，並以微波、衛星作為金門地區通訊備援網路。</p> <p>數位部目前正推動運用非同步軌道衛星強化緊急狀態下的通訊網路韌性，目前中低軌衛星通訊已涵蓋臺灣、金門、馬祖等，預期在今年底可完成共773個非同步軌道衛星站點，以因應災害或緊急狀態，提供政府指揮的基本通訊能力。</p> <p>金門地區過去就曾多次發生因災害或人為導致海纜中斷或故障，而影響金門地區對外通訊，為強化當地的通訊韌性，數位部通過電信普及基金、前瞻基礎建設計畫，以經費補貼電信業者強化金門地區的通訊韌性，建置高速海纜提供當地寬頻網路服務普及，提升4G及5G行動通訊服務涵蓋，運用高速寬頻網路、5G，展示遠距AI診間、5G遠距醫療，以強化醫療資源不足的外島地區就醫需求，還發展古蹟智慧導覽、智慧教育等應用，縮短金門和臺灣本島間的數位發展落差。</p> <p>因應海纜可能發生故障，目前以無線微波備援金門連接臺灣本島，微波容量已達到3.5Gbps；另外，數位部推動「應變或戰時應用新興科技強化通訊網路數位韌性驗證計畫」，數位部和金門縣政府合作，實際測試在緊急狀況下，以低軌道衛星通訊建立基本、安全的緊急通訊網路。</p> <p>另一個重要的離島地區馬祖，去年曾因與臺灣間的兩條海纜先後中斷，導致馬祖地區網路斷線、手機無法通訊，對當地民眾生活帶來相當大的不便，在國際海纜船安排搶修之前，在NCC要求下，電信業者緊急建立並擴充臺馬間的微波通訊，以恢復當地基本語音通話、國家安全、關鍵設施通訊服務，而數位部也要求電信業者建置備援再備援，強化馬祖地區通訊韌性，除了建置海纜外，補助離島微波擴容，以及建置非同步軌衛星終端設備站點。</p> <p>數位部是從2022年開始推動「應變或戰時應用新興科技強化通訊網路數位韌性驗證計畫」，以驗證運用非同步軌道衛星通訊來強化我國通訊網路韌性，預計今年底將建置國內700個非同步軌道衛星終端設備站點、70個基地臺衛星後傳鏈路站點，以及國外3個非同步軌道衛星終端設備站點，執行單位為電信技術中心TTC，目前該計畫確定採用SES中軌衛星通訊、OneWeb低軌衛星通訊。</p> <p>數位部表示，到今年10月底前，TTC已完成衛星驗證計畫中大部分站點設置，年底前將督導TTC如期完成773個站點設置，涵蓋政府指揮體系的關鍵節點、離島，以及缺乏異質通訊網路備援的地區，其中700個非同步軌道衛星Hot Spot站點，主要供政府指揮體系的關鍵部會使用，分配數量是由國科會協助確認。</p> <p>今年6月，SES中軌衛星通訊、OneWeb低軌衛星通訊已涵蓋臺灣、金門、馬祖、澎湖、蘭嶼地區，但是受限於國外的地面站尚未開通，僅有限時間可連接非同步軌道衛星，數位部預期在今年12月，OneWeb更多地面接收站正式營運後，可提供臺灣及離島地區全時接收衛星通訊。</p> <p>目前非同步軌道衛星通訊服務優先用於強化政府指揮體系的通訊數位韌性，至於SES中軌衛星、OneWeb低軌衛星服務何時會在國內提供商用服務？去年數位部已先後通過愛爾康申請SES中軌衛星、中華電信申請OneWeb低軌衛星通訊頻率使用，愛爾康、中華電信後續向NCC申請審驗網路，NCC審核通過後方能在臺引進非同步軌道衛星通訊服務。</p> <p>為了搶攻非同步軌道衛星商用服務，中華電信今年8月宣布代理SES中軌衛星來臺，目前已向數位部提出頻率使用申請，預期最快於明年第一季可提供商業服務，但因為產品的定位，以提供航運業、科技業、重要民生經濟產業等企業為主；至於中華代理的OneWeb低軌衛星服務，未來在通過網路、通訊監察功能審驗後，該公司表示很快將提供企業使用低軌衛星服務。</p> </div></div></div>
2024/11/13 16:35作者蘇文彬https://www.ithome.com.tw/news/165999
北韓駭客使用跨平臺應用程式框架Flutter打包惡意酬載，鎖定macOS用戶而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專精蘋果裝置管理的資安業者Jamf指出，他們在10月下旬，在上傳到惡意程式分析平臺VirusTotal的檔案裡，<a href="https://www.jamf.com/blog/jamf-threat-labs-apt-actors-embed-malware-within-macos-flutter-applications/">發現北韓駭客企圖利用跨平臺應用程式框架Flutter做為散布macOS惡意軟體的管道</a>，由於採用這款框架打造的應用程式會導致其程式碼變得更加複雜，而有可能讓攻擊者藉此逃過各式資安防護機制的偵測。</p> <p>研究人員在VirusTotal找到的惡意程式檔案當中，發現這些檔案存在攻擊意圖，但所有防毒引擎皆將其視為無害，而且，這些惡意軟體還帶有簽章，並通過蘋果的公證程序。對於駭客的意圖，他們表示目前仍不得而知，無法確定是否已被用於實際攻擊行動，或是攻擊者正在打造、測試新的惡意程式。</p> <p>他們找到的惡意程式大致可分成3種類型，分別是使用Go語言開發的檔案、透過Py2App建立的Python惡意程式，以及使用Flutter開發的應用程式。其中，又以使用Flutter開發的手法引起研究人員的興趣，並指出想要這種方法打造的應用程式進行逆向工程，過程相當複雜。</p> <p>什麼是Flutter？這是Google開發的應用程式框架，目的是簡化跨平臺應用程式的開發，開發人員能藉此讓多個平臺的應用程式維持一致。</p> <p>然而，研究人員指出，由於以該框架建立的應用程式會產生獨特的結構，導致程式碼變得難以解讀，這是因為其程式碼執行的邏輯，是透過使用程式庫Dylib當中包含的程式語言Dart進行處理，接著再使用Flutter引擎載入。</p> <p>在其中一款名為New Updates in Crypto Exchange (2024-08-28).app惡意程式當中，攻擊者在Flutter嵌入以Dart編寫的有效酬載，並將其偽裝成功能完整的踩地雷遊戲。根據他們的分析，遊戲的部分來自GitHub的開源專案，原本是專門為iOS作業系統開發，攻擊者稍加修改並重新編譯，使其能在macOS運作。</p> <p>一旦使用者啟動該惡意程式，電腦就會向遠端伺服器發送請求，然後從攻擊者的伺服器下載AppleScript程式碼，並在向後寫入之後，才會執行惡意程式。而根據駭客使用的遠端伺服器網域，研究人員推測很有可能是北韓駭客所為。</p> <p>針對這批惡意程式的發現，研究人員認為，這些駭客很有可能正在測試更為強大的武器，由於這組人馬擅長社交工程攻擊，設置的檔案名稱與應用程式顯示的內容卻不一致，他們認為，對方的目的很有可能只是為了確認，在檔案經過正常程序簽章，並將惡意程式碼埋入Dylib程式碼的情況下，能否通過Apple公證伺服器的審核，甚至是進一步避免資安業者察覺異狀。</p> <p>雖然無從得知攻擊者是正在進行測試，還是已經準備投入攻擊活動，但研究人員指出，這是他們首度看到有人利用Flutter針對macOS用戶的情形。</p> </div></div></div>
2024/11/13 16:44作者周峻佑https://www.ithome.com.tw/news/166000
SAP針對Web Dispatcher修補高風險XSS漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月SAP<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/november-2024.html">發布8則資安公告，並更新其中2則已經公開的漏洞資訊</a>，其中最受到注意的部分，是CVSS風險評分最高的CVE-2024-47590，該漏洞存在於應用程式負載平衡系統Web Dispatcher，為跨網站指令碼（XSS）弱點，危險程度為8.8分。</p> <p>針對這項漏洞帶來的危險，SAP指出未經身分驗證的攻擊者能製作能公開存取的惡意連結，一旦有通過身分驗證的使用者點選，網頁便會在使用者的瀏覽器以輸入資料產生內容，進行跨網站指令碼攻擊，或是將這些資料傳送到其他伺服器，進行伺服器請求偽造（SSRF）攻擊，導致攻擊者能夠執行任意程式碼，從而影響伺服器的機密性、完整性、可用性。</p> <p>針對這項漏洞，資安業者Onapsis提出進一步說明，<a href="https://onapsis.com/blog/sap-patch-day-november-2024/">指出該漏洞僅影響啟用管理介面的Web Dispatcher</a>。若是IT人員無法及時套用更新程式，SAP也提供臨時的緩解措施，包括透過刪除特定檔案或設定檔組態來停用管理介面，或是刪除所有使用者的管理權限來因應。</p> </div></div></div>
2024/11/13 17:12作者周峻佑https://www.ithome.com.tw/news/166001
微軟推出.NET 9，效能強化並支援雲端與AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了<a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-9/">.NET 9</a>，這個新版本著重於效能提升，並加強雲端和人工智慧應用的支援，微軟指出，.NET 9擁有大量改進，範疇涵蓋效能、功能和安全性等，目標是讓開發者可以在統一平臺上建構現代化應用程式，並且更易於整合人工智慧功能。</p> <p>這次.NET 9的一大亮點仍是效能最佳化，微軟進行千項效能改進，從執行期間、工作負載到語言支援各方面都進行調整，以實現更高的執行效率和更低的記憶體需求。微軟重新設計了伺服器垃圾收集機制（Server GC），現在能夠根據應用程式的記憶體需求進行調整，而不是僅依據環境資源配置，而這更適合雲端和高核心數的環境。</p> <p>微軟針對雲端原生應用需求，推出最新的.NET Aspire套件，以簡化開發和部署流程。此工具包含監控功能和生產環境就緒的應用程式開發工具，並新增了與OpenAI、Ollama與Milvus等人工智慧工具的整合，讓開發者能夠更簡單地在應用中嵌入人工智慧功能。微軟提到，他們內部例如Xbox和Copilot等團隊，已經在既有的服務中採用.NET Aspire，更快地應用分析以及雲端整合功能，並且加速開發流程。</p> <p>隨著人工智慧技術的普及，.NET 9強化了與人工智慧生態系的整合，包含新推出的Microsoft.Extensions.AI與Microsoft.Extensions.VectorData抽象層，支援多種語言模型和向量資料庫，降低開發者在應用中導入人工智慧功能的障礙。</p> <p>此外，微軟也強化了GitHub Copilot對.NET開發者的支援，強化在程式編寫、測試、除錯等階段的人工智慧協作體驗。Copilot現在會檢查.NET變數，使開發者更容易掌握變數狀態，最佳化除錯流程，並減少定位錯誤的時間。有Copilot加持的IEnumerable視覺化工具，可以讓開發者直接編輯LINQ表示式，並即時查看篩選或轉換資料的結果，加速資料操作的流程。</p> <p>在網頁開發方面，.NET 9中的ASP.NET Core加入了靜態資產管理最佳化，藉由在建置階段生成指紋化（Fingerprinted）資產，也就是替JavaScript、CSS等檔案生成基於內容的唯一名稱，確保每次部署新版本時，瀏覽器都能載入最新的資源，避免舊版快取干擾。這項改進提高了應用程式的部署效率，減少伺服器負載，讓使用者能更快取得新內容。</p> <p>Blazor框架的更新則讓開發者可以更靈活地控制元件渲染模式，並強化與伺服器的連線穩定性，提升了混合應用和互動式網頁的開發體驗。</p> <p>針對多平臺應用需求，.NET MAUI提供跨行動與桌面平臺開發支援，新版本不僅最佳化效能，還進一步整合由社群貢獻的控制元件和範本，滿足開發者建構複雜應用的需求。同時，在Windows應用開發方面，.NET 9支援WinUI 3的Native AOT，並替WPF添加Fluent UI主題更新，助開發者更簡單建構現代應用程式。</p> </div></div></div>
2024/11/13 15:59作者李建興https://www.ithome.com.tw/news/165986
微軟發布11月例行更新，修補4個零時差漏洞，其中2個已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月12日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Nov">本月份例行更新</a>（Patch Tuesday），總共修補89個漏洞，<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2024-patch-tuesday-fixes-4-zero-days-91-flaws/">其中</a>有26個權限提升漏洞、2個安全功能繞過漏洞、52個遠端程式碼執行（RCE）漏洞、1個資訊洩露漏洞、4個阻斷服務（DoS）漏洞，以及3個能被用於欺騙的漏洞。值得留意的是，本次有4個是零時差漏洞，其中2個已出現實際利用的狀況。</p> <p>這些漏洞分別是：NTLM雜湊值洩露欺騙漏洞CVE-2024-43451、AD憑證服務（ADCS）權限提升漏洞CVE-2024-49019、Windows工作排程器權限提升漏洞CVE-2024-49039、Exchange伺服器欺騙漏洞CVE-2024-49040。其中，CVE-2024-43451、CVE-2024-49039已出現實際攻擊行動；再者，除CVE-2024-49039，其餘3個漏洞資訊皆已遭到公開。</p> <p>上述零時差漏洞裡，同時被用於攻擊且細節已經公布的是CVE-2024-43451，特別的是，微軟不僅指出所有視窗作業系統都受到影響，他們也提及這次將透過IE累積安全更新，針對Windows Server 2008及2012（含R2）修補這項漏洞。為何會提及早已停用的IE？原因是底層的MSHTML及指令碼平臺仍受到支援，他們將針對這兩種平臺進行修補。</p> <p>針對這項弱點的型態，他們表示是檔案名稱或路徑的外部控制，CVSS風險評為6.5分，並指出根據評估，這項漏洞將有可能導致機密性完全喪失（C:H），但攻擊者利用的過程需要使用者互動（UI:R）。對於上述的評估內容，微軟進一步做出說明，表示一旦攻擊者成功利用漏洞，就有機會洩露NTLMv2雜湊值，並以受害者的名義進行身分驗證；而對於使用者互動的部分，他們則是提到使用者只要與攻擊者提供的惡意檔案進行極少的互動，像是執行點選或是進行檢查，無須開啟或是執行檔案就能觸發漏洞。</p> <p>不過，對於此弱點的其他細節，微軟並未進一步說明。對此，<a href="https://www.rapid7.com/blog/post/2024/11/12/patch-tuesday-november-2024/">資安業者Rapid7指出</a>，微軟的CVSS風險評估主要是針對機密性層面的影響，但若是考慮到攻擊者得逞後能以受害者的身分進行身分驗證所帶來的危險，CVSS風險有可能大幅拉高至8.8分。這項漏洞突顯IE仍存在於所有版本的Windows電腦，無論IT人員是否停用這款瀏覽器，只要尚未套用相關修補程式，就會面臨被駭客盯上的危險。</p> <p>另一個也被用於攻擊的漏洞，則是CVE-2024-49039，微軟指出涉及身分驗證不當，CVSS風險評為8.8，攻擊者若要利用，首先要通過身分驗證並執行特製應用程式，而能將權限提升至中等完整性層級，並以受限的特權帳號執行RPC功能。一旦攻擊者能掌握AppContainer的低權限，就有機會藉此提升權限，以較高的完整性層級執行程式碼，或是存取資源。</p> <p>雖然微軟並未說明其他細節，但<a href="https://www.zerodayinitiative.com/blog/2024/11/12/the-november-2024-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）指出</a>，這並非單純的權限提升漏洞，而是一種容器逃逸漏洞，而這種類型的弱點被用於實際攻擊的情況，並不常見。值得留意的是，他們得知有多名研究人員通報這項漏洞，代表已在多個地區出現相關的漏洞利用攻擊，因此這項弱點相當值得留意。</p> <p>至於已被公開的漏洞CVE-2024-49019、CVE-2024-49040，前者由資安業者TrustedSec上個月揭露，並<a href="http://trustedsec.com/blog/ekuwu-not-just-another-ad-cs-esc">將其命名為EKUwu</a>；後者則為研究人員Vsevolod Kokorin（Slonser）發現，並於今年5月<a href="https://blog.slonser.info/posts/email-attacks/">公布細節</a>。</p> <p>值得一提的是，Rapid7與ZDI不約而同提及，重大層級漏洞CVE-2024-43498、CVE-2024-43639，也需要特別留意。前者存在於.NET 9.0，為遠端程式碼執行漏洞，CVSS風險為9.8；另一個也是RCE漏洞，存在於Kerberos身分驗證機制，危險程度也同樣達到9.8分。Rapid7指出，利用CVE-2024-43498既不需要特殊權限也無須使用者互動；ZDI則認為很快就有攻擊者將這些漏洞用於實際攻擊行動。</p> </div></div></div>
2024/11/13 14:21作者周峻佑https://www.ithome.com.tw/news/165982
Nvidia釋出Nvidia程式以用來配置Windows上的GeForce及RTX顯示卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia周二（11/12）釋出<a href="https://www.nvidia.com/en-us/geforce/news/nvidia-app-download-and-features/" target="_blank">Nvidia App</a>正式版，它整合了GeForce Experience及RTX Experience兩大程式的功能，是個統一的GPU控制中心，可用來最佳化遊戲與應用程式，保持最新驅動程式，於遊戲中利用覆蓋介面提供強大的錄影工具，也是Nvidia最新工具及軟體的入口。</p> <p>相較於GeForce Experience，Nvidia App的安裝時間少了一半，回應速度卻提高了50%。重新設計的Nvidia Overlay功能，替遊戲玩家與創作者提供方便的錄影、截圖與性能監控等工具；它能秀出最新驅動程式所修補的內容或新增的功能，也能回滾到先前的驅動程式；可集中存取最佳可玩設定及相關的Nvidia控制面板選項；還能配置使用者的螢幕，啟用G-SYNC，藉由AI影片解決方案及高動態範圍等功能來改善本地及串流影片；也能於程式中兌換GeForce獎勵。</p> <p>迄今Nvidia App所提供的自動優化遊戲設定功能，已支援超過1,200款遊戲。</p> <p>使用者還可透過Nvidia App存取更多由Nvidia所開發的工具，例如遊戲串流服務GeForce NOW，直播程式Nvidia Broadcast，可將塗鴨變成寫實作品的Nvidia Canvas，可截圖及比較影片畫質的Nvidia ICAT，以及個人化聊天機器人Nvidia ChatRTX等。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/4gOCg_j-sLM?si=U1gdsb9LgJyZ-rvP" title="YouTube video player" width="560px"></iframe></div> <p> </p> </div></div></div>
2024/11/13 14:24作者陳曉莉https://www.ithome.com.tw/news/165981
Adobe發布11月例行更新，修補旗下6款應用程式重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月12日Adobe發布資安公告，針對旗下Adobe Bridge、Adobe Commerce、After Effects、Audition、InDesign、Illustrator、Photoshop、Substance 3D Painter等多項產品發布安全性更新，總共修補48個漏洞，值得留意的是，這次該公司公告的漏洞當中，有超過半數被列為重大層級，再者，除了Audition、Bridge，其餘6項應用程式皆存在重大漏洞。</p> <p>從重大漏洞的數量來看，Adobe<a href="https://helpx.adobe.com/security/products/substance3d_painter/apsb24-86.html">一共為Substance 3D Painter修補16個漏洞</a>最多，這些漏洞都有可能讓攻擊者執行任意程式碼，CVSS風險評分皆為7.8。而針對這些漏洞的類型，大部分為越界寫入（Out-of-bounds Write，OBW）漏洞，總共有11個，其次有3個為記憶體緩衝區溢位漏洞，另有2個分別為記憶體重複釋放（Double Free）漏洞、不受信任的搜尋路徑漏洞。</p> <p>其次，該公司為Illustrator<a href="https://helpx.adobe.com/security/products/illustrator/apsb24-87.html">修補了4項漏洞</a>，這些漏洞一旦遭到利用，攻擊者有機會藉此執行程式碼。從漏洞類型來看，3個為越界寫入弱點，另一個為記憶體緩衝區溢位漏洞，CVSS風險皆為7.8。</p> <p>這次他們也為After Effects、InDesign，分別修補<a href="https://helpx.adobe.com/security/products/after_effects/apsb24-85.html">3項越界寫入弱點</a>，以及<a href="https://helpx.adobe.com/security/products/indesign/apsb24-88.html">3項記憶體緩衝區溢位漏洞</a>，CVSS風險皆為7.8。</p> <p>在這些重大漏洞的種類而言，出現在Photoshop及Adobe Commerce較為特別，該公司這次為Photoshop<a href="https://helpx.adobe.com/security/products/photoshop/apsb24-89.html">修補了整數下溢漏洞</a>；而對於Adobe Commerce的部分，則是緩解了<a href="https://helpx.adobe.com/security/products/magento/apsb24-90.html">伺服器請求偽造（SSRF）漏洞</a>，CVSS風險分別為7.8、7.7。</p> </div></div></div>
2024/11/13 15:08作者周峻佑https://www.ithome.com.tw/news/165984
Qwant及Ecosia攜手發展歐洲搜尋引擎基礎設施，減輕對Google及Bing的依賴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>強調隱私的法國搜尋引擎業者Qwant，以及標榜環保的德國非營利搜尋引擎Ecosia上周<a href="https://betterweb.qwant.com/en/2024/11/08/ecosia-and-qwant-join-forces-to-develop-european-search-index/" target="_blank">宣布</a>，將共同成立全新的European Search Perspective（EUSP）公司，於歐洲開發及建置搜尋引擎基礎設施，以減輕對Google及Bing的依賴。</p> <p>EUSP總部設於巴黎，由Qwant與Ecosia各占一半的股權，準備利用Qwant於2023年重新設計的技術，來改善基於法文與德文的搜尋引擎結果。Qwant與Ecosia過去都仰賴微軟的Bing平臺，Ecosia則在去年改用Google與Bing搜尋結果的組合。</p> <p>EUSP將開發一個隱私優先的搜尋索引，供Qwant、Ecosia及其它獨立搜尋引擎與技術業者使用，此外，Qwant與Ecosia也會繼續各自現有的後端合作夥伴關係，確保對各自用戶提供最佳的結果與產品。</p> <p>新公司執行長由Qwant執行長Olivier Abecassis 擔任，計畫明年第一季就會替Qwant和Ecosia在法國的搜尋引擎流量提供服務，而EUSP的成立也意謂著歐洲業者期望在AI與生成搜尋上，擁有更大的自主權。</p> </div></div></div>
2024/11/13 15:11作者陳曉莉https://www.ithome.com.tw/news/165983
防止iPhone被存取，iOS 18.1加入4天未解鎖自動重開機功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果悄悄為iOS 18.1加入iPhone長時間，如4天未解鎖即自動重開機的安全功能，以防止iPhone被人以破解工具取得金鑰或密碼。</p> <p>媒體404media<a href="https://www.404media.co/police-freak-out-at-iphones-mysteriously-rebooting-themselves-locking-cops-out/" target="_blank">報導</a>，美國警方首先發現本項功能而向同儕單位發出示警。一名嫌犯在警局拘留期間，其iPhone竟然自行重開機，使現有警方破解工具失效，增添查案的難度。</p> <p>這項新功能下，當iPhone未解鎖4天，將自動重開機，使手機從AFU（After First Unlock）狀態變成BFU（Before First Unlock）狀態。在BFU狀態下，從iPhone擷取資料的選項會大幅少於AFU。</p> <p>一名<a href="https://chaos.social/@jiska/113447894119816217" target="_blank">研究人員</a>分析iOS 18.1新增名為「inactivity reboot」的功能，它是實作在keybagd和AppleSEPkeyStore核心擴充程式中，和手機電話和無線網路狀態無關。當iPhone長時間未解鎖後，即會自動重開機。</p> <p>由於密碼破解需要iPhone USB傳輸埠處於未鎖定狀態，意謂在BFU狀態下，連破解iPhone都不可能。同時，經過重開機後，iPhone記憶體內容全部刪除，包括加解密金鑰，警方或歹徒的破解工具也無法發揮作用。</p> <p>蘋果尚未對此回應。</p> </div></div></div>
2024/11/13 12:16作者林妍溱https://www.ithome.com.tw/news/165979
Amazon坦承員工資料在MOVEit相關資安事件中外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路電商及平臺大廠Amazon本周坦承，受使用的MOVEit服務漏洞事件波及，使公司員工資料外洩。</p> <p>Amazon是回應上周駭客論壇一名為Nam3L3ss的人士，宣稱取得該公司資料的消息。這名人士公布包含Amazon的20多家知名企業的資料作為樣本，意在出售更大批的資料。Amazon遭公布的280萬行資料是來自它使用的MOVEit，後者在2023年5月，遭大規模駭客入侵事件。</p> <p>Amazon本周稍早對媒體<a href="https://techcrunch.com/2024/11/11/amazon-confirms-employee-data-stolen-after-hacker-claims-moveit-breach/" target="_blank">證實</a>此事。該公司聲稱獲報，其一家物產管理廠商的「資安事件」影響其客戶，包括Amazon。唯一外洩的公司資訊是員工聯絡資訊，像是公司電子郵件、桌機電話和大樓地址。這家電商龍頭強調，Amazon和AWS的系統都沒有被駭，外流的資料是從外部廠商系統流出，此外，Amazon說這「第三方廠商」並不能存取更為敏感的個資，像是社會安全號碼或財務資訊。</p> <p>檔案傳輸平臺MOVEit的漏洞，在2023年5月遭Cl0p勒索軟體組織大規模濫用，是去年的資安大事。多個使用MOVEit的美國政府機關，及二個能源部下屬單位都成了受害者。</p> <p>連同Amazon被公布資料的組織，還包括聯想、HP、麥當勞、匯豐銀行和達美航空等知名企業。駭客宣稱取得了250TB的資料，不過其來源還包含其他資料庫如MySQL、SQL Server、Azure或Amazon bucket，而非MOVEit。</p> </div></div></div>
2024/11/13 12:56作者林妍溱https://www.ithome.com.tw/news/165980
Meta調降歐盟地區訂閱費用並推出廣告版的免費服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周二（11/12）<a href="https://about.fb.com/news/2024/11/facebook-and-instagram-to-offer-subscription-for-no-ads-in-europe/" target="_blank">宣布</a>，將調降Facebook及Instagram在歐盟的訂閱費用，網頁版從每月9.99歐元調降至5.99歐元，行動版從12.99歐元調降至7.99歐元，降幅達40%，並讓那些以個人化廣告交換免費服務的使用者，得以選擇沒那麼個人化的廣告。</p> <p>廣告是Meta最大的營收來源，Meta在今年第三季賺進405.89億美元，當中就有398.85億美元來自家族程式的廣告營收，占了Meta總營收的98%。Meta旗下的家族程式包括Facebook、Instagram、WhatsApp、Messenger及Treads等。</p> <p>這些家族程式原本都是免費提供，但歐盟去年11月正式<a href="https://www.ithome.com.tw/news/159603" target="_blank">禁止</a>Facebook及Instagram於歐洲經濟區執行基於個人資料的行為追蹤廣告，為了因應此一禁令，Meta於歐盟推出無廣告的訂閱服務，網路版為每月9.99歐元，行動版為每月12.99歐元，若要免費使用則會持續出現個人化廣告。</p> <p>不過，Meta的作法依然引起歐盟不滿。歐盟在今年7月<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_3582" target="_blank">指出</a>，此一「付費或同意」（Pay or Consent）模式違反《數位市場法》（Digital Markets Act，DMA），該二元選擇無疑是強迫使用者同意奉上個人資料，而且未能提供一個低個人化的版本。歐盟還警告，倘若確認Meta違反了DMA，那麼最高可要求Meta支付全球營收10%的罰款，若屢次違法，最高可達到20%。</p> <p>於是Meta在本周變更了原本的政策。一是將網頁版從每月9.99歐元調降至5.99歐元，行動版從12.99歐元調降至7.99歐元，每個額外Facebook或Instagram帳戶在網頁版收費為每月4歐元，在行動平臺上為5歐元。二則是推出低個人化的廣告。</p> <p>Meta說明，Facebook及Instagram在歐盟的免費用戶未來幾周將可選擇看到低個人化廣告（less personalized ads），相關的廣告使用較少的用戶資料，僅根據使用者在Facebook與Instagram特定對話中所看到的內容，以及諸如年紀、位置、性別，以及與廣告互動方式等最小化的資料來遞送廣告。</p> <p>Meta提醒，儘管這類的廣告允許使用者控制他們的個人資料及廣告體驗，但因使用較少的個人化資料，所遞送的廣告也可能與用戶的興趣不太相關。此外，Meta還將導入前幾秒無法跳過的廣告插播，以讓廣告商與更多的受眾建立聯繫。</p> <p>事實上，個人化的廣告不但可替使用者帶來更相關的廣告訊息，對廣告主而言也有更好的效益，代價卻是犧牲使用者的隱私，即使業者企圖兼顧兩者，但迄今尚未找到一個令雙方滿意的平衡點。</p> </div></div></div>
2024/11/13 12:06作者陳曉莉https://www.ithome.com.tw/news/165977
Azure OpenAI 生成式人工智慧技術開發日
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seminar/960x420_91.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-conf-slogan field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">高手雲集的原廠講師群深度技術解密與實務經驗傳承</div></div></div><div class="field field-name-field-conf-date field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">11/28 (四) 09:00-17:00</div></div></div><div class="field field-name-field-conf-site field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://msevents.microsoft.com/event?id=475213731" target="_blank">立即報名</a></div></div></div><div class="field field-name-field-conf-register field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://msevents.microsoft.com/event?id=475213731" target="_blank">線上報名</a></div></div></div><div class="field field-name-field-conf-type field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/ithome%E7%A0%94%E8%A8%8E%E6%9C%83">iThome研討會</a></div></div></div><div class="field field-name-field-conf-place field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">瓶蓋工廠台北製造所 M 棟</div></div></div><div class="field field-name-field-conf-summary field-type-text-long field-label-hidden"><div class="field-items"><div class="field-item even">不再只是點到為止或紙上談兵，生成式 AI 開發及應用的知行合一，只在最專業的 Azure OpenAI 生成式人工智慧技術開發日。生成式 AI 的進展一日千里，除了亦步亦趨緊跟最新動向，更需要專家先驅指路，才不會事倍功半。為期一天的超專業密集精彩分享，集結最完整的生成式 AI 應用開發新知與深度技術解密，由高手雲集的微軟原廠講師群與業界資深專家經驗傳承，最適合正在第一線開創新應用的 AI 工程師與開發者參加。精彩內容涵蓋工具與方法、平台與流程串接、經驗傳承與實務案例，實際幫助提升模型能力與精準度、應用效能及安全跟穩定度，立即報名與我們一同探索 AI 創新核心與技術精華，讓生成式 AI 應用開發實力有感大躍進！ </div></div></div><div class="field field-name-field-conf-host field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">Microsoft</div></div></div>
2024/11/13 12:09作者黃博修https://www.ithome.com.tw/seminar/azure-openai-生成式人工智慧技術開發日
博通全面開放VMware Workstation Pro、Fusion Pro桌機虛擬化軟體免費使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通本周<a href="https://blogs.vmware.com/cloud-foundation/2024/11/11/vmware-fusion-and-workstation-are-now-free-for-all-users/" target="_blank">宣布</a>將Windows/Linux及macOS版桌機虛擬化軟體VMware Workstation Pro及Fusion Pro開放給所有人，包括企業和個人免費使用。</p> <p>這是繼今年5月博通將這兩項產品<a href="https://www.ithome.com.tw/news/162908" target="_blank">開放</a>個人使用後，進一步擴大免費提供的對象。現在企業、教育單位及個人，都可以自由使用桌機版hypervisor產品。</p> <p>VMware Workstation為單機虛擬化產品，分成Windows和Linux版，而VMware Fusion則是為macOS電腦設計。這次開放意謂VMware Fusion和Workstation將不再使用付費訂閱模式。免費產品和原有付費產品功能相同。用戶可以在博通<a href="https://www.vmware.com/products/desktop-hypervisor/workstation-and-fusion" target="_blank">網頁</a>下載。</p> <p>若企業現有合約包含本項產品的技術支援，博通會持續在合約期間提供原有服務。包括透過入口網站或支援團隊取得技術支援。合約期滿，企業可持續使用產品，但博通不再提供2產品的支援工單或問題排除服務。</p> <p>轉為免費軟體後，未來支援改為社群形式。用戶可加入<a href="https://community.broadcom.com/communities/communityhomeblogs?CommunityKey=fb707ac3-9412-4fad-b7af-018f5da56d9f" target="_blank">Workstation</a>及<a href="https://community.broadcom.com/communities/communityhomeblogs?CommunityKey=0c3a2021-5113-4ad1-af9e-018f5da40bc0" target="_blank">Fusion</a>社群。此外，博通也提供二項產品的技術文件（<a href="https://docs.vmware.com/en/VMware-Fusion/index.html" target="_blank">VMware Fusion</a>、<a href="https://docs.vmware.com/en/VMware-Workstation-Pro/index.html" target="_blank">VMware Workstation</a>）。</p> <p>這也是博通客戶挽回的最新舉動。上周博通<a href="https://www.ithome.com.tw/news/165961" target="_blank">宣布</a>適合中小企業的二項軟體授權vSphere Standard及vSphere Essentials Plus Kit訂閱方案，允許用戶只買他們需要的產品。</p> </div></div></div>
2024/11/13 10:39作者林妍溱https://www.ithome.com.tw/news/165975
Elasticsearch引入BBQ新量化方法，大幅提升向量資料儲存與查詢效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic在最新版本Elasticsearch 8.16應用了一種稱為<a href="https://www.elastic.co/search-labs/blog/better-binary-quantization-lucene-elasticsearch">Better Binary Quantization（BBQ）的量化技術</a>，該技術能夠大幅最佳化向量資料的儲存和處理方式。具有BBQ功能的Elasticsearch，將有助於降低高維度資料的記憶體需求，並提升查詢和索引效率。</p> <p>越來越多企業應用嵌入模型，因此對向量資料的處理需求不斷增加，而模型產生的大量浮點數float32資料，對儲存空間和處理效能造成極大的挑戰，這是因為在數百甚至是數千個維度的情境下，浮點數運算會消耗非常大量的記憶體和運算資源。</p> <p>Elasticsearch之前已經引入int8量化技術來減輕這個問題，而這次新增的BBQ能夠突破傳統二進位量化技術的侷限。BBQ是以新加坡南洋理工大學所提出的RaBitQ技術作為基礎，經過Elastic進一步改良，使得浮點數資料可以縮減成二進位表示，進一步減少約95％的記憶體使用量，還同時保持高品質查詢準確度。</p> <p>相較於傳統的乘積量化（Product Quantization）BBQ在索引及查詢的效率更為快速。根據Elastic官方的測試，BBQ索引速度可以提升達20到30倍，查詢速度則增快為2至5倍，而且精確度沒有明顯的下降。</p> <p>之所以BBQ能夠如此高效能，是因為採用了非對稱量化方法，研究人員解釋，這種量化方式在文件向量，也就是由文件內容轉換而成的向量，與查詢向量採用不同精度處理。文件向量被量化至位元層級，以最大程度壓縮儲存空間，而查詢向量則保持較高的精度，例如int4。如此非對稱設計使得查詢向量在搜尋過程中能夠以更高的準確度比對文件向量，達到較佳的搜尋結果。</p> <p>這種設計不僅能夠減少儲存空間的需求，還能利用快速的位元運算提升查詢速度，實現低成本高效搜尋，適用於需要處理大量向量資料的應用場景。</p> <p>在效能測試上，Elastic使用了E5-small、CohereV3以及CohereV2資料集，驗證BBQ在記憶體需求和查詢效率上的優勢。在CohereV3測試中，BBQ僅需3倍過採樣（Oversampling）即可達到90％的召回率（Recall），顯示其在高維度資料處理上具有潛力。</p> <p>在更大規模的測試中，Elastic表示，BBQ可在單一64 GB記憶體的節點上，儲存並查詢高達1.38億個1024維度的浮點數向量，而記憶體僅需19 GB，這對於需要儲存大量向量資料的企業特別有用。</p> </div></div></div>
2024/11/13 08:51作者李建興https://www.ithome.com.tw/news/165967
新數學基準測試FrontierMath凸顯AI模型邏輯推理進步空間極大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究機構Epoch AI推出新的數學基準測試<a href="https://epochai.org/frontiermath/the-benchmark">FrontierMath</a>，該基準測試的目的在評估人工智慧模型的高階數學推理能力。不同於現有數學基準，像是GSM-8K和MATH，FrontierMath中的數學問題更加複雜且專業，涵蓋現代數學中的數論、代數與幾何等領域，這些題目的難度非常高，專家也需耗費數小時甚至數天才能解答，而這對人工智慧模型帶來全新考驗。</p> <p>人工智慧在解決高階數學題目上遭遇困難，主要問題在於人工智慧模型通常仰賴訓練資料中的模式來生成答案，而非真正理解和推理問題的邏輯結構，許多模型的解題過程是基於訓練資料中類似問題的模式比對，而不是建立在數學上嚴謹的邏輯推理，這種模式比對的限制，使得模型在遇到稍微變動的數學問題時就容易出錯。</p> <p>要提升當前人工智慧模型的數學能力，基準測試不只作為評估人工智慧模型數學能力的工具，同時也提供了模型在數學推理能力上具體的進步方向。現有基準測試GSM-8K和MATH，由於問題難度較低，已經被人工智慧模型完全解決，導致無法評估人工智慧數學推理的上限，而新推出的FrontierMath則補充了現有數學基準測試的不足。</p> <p>FrontierMath的題目皆為專家全新設計，涵蓋多個高階數學領域，難度遠超過其他基準測試。這些題目不僅要求人工智慧理解數學概念，還需要具備複雜情境的推理能力，避免人工智慧透過簡單的模式比對或模糊語言生成方式作答。由於FrontierMath題目的答案通常是大數，或是各種具體或抽象的複雜數學元素或結構，使其具有防猜測的特性，透過猜測獲得答案的正確機率低於1％。</p> <p>在FrontierMath初步測試中，目前市場上的人工智慧模型表現普遍不佳，即便能夠在GSM-8K和MATH達到近乎滿分，但是包括Claude 3.5和GPT-4o等知名模型，在FrontierMath的解題成功率均低於2％。研究團隊指出，這些挑戰不是透過增加模型規模就能解決，需要在演算法和推理架構層面深入改進。</p> <p>多所學術機構的數學專家都參與審查FrontierMath的題目，確保了基準測試的正確性和難度，且不包含任何模糊性。FrontierMath題庫還會持續擴充，官方未來會定期發布人工智慧模型的測試結果，並與人工智慧社群合作以促進學術交流。</p> <p>目前人工智慧模型在數學推理方面的侷限性，<a href="https://arxiv.org/pdf/2410.05229">Apple早前的研究</a>也指出同樣現況，人工智慧模型大多依賴訓練資料中的模式來模擬推理步驟，而非進行真正的邏輯推理。Apple研究人員使用改良過的基準測試GSM-Symbolic測試市面上的模型，研究人員發現，即便是小學程度的數學問題，人工智慧模型的表現也受到限制，當改變數學問題中的數字或增加一個額外的無關條件時，模型的解題準確度就會顯著下降，甚至達到65%的跌幅。</p> </div></div></div>
2024/11/13 08:55作者李建興https://www.ithome.com.tw/news/165972
DeepMind開源學術版AlphaFold 3模型，推動蛋白質結構預測與藥物研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind宣布<a href="https://github.com/google-deepmind/alphafold3?tab=readme-ov-file">開源AlphaFold 3模型程式碼</a>，讓學術界研究人員可以下載，並且進行蛋白質結構預測的相關研究。該人工智慧模型自發表以來，因為其預測蛋白質結構的突破性成果而備受關注，並使DeepMind共同創辦人暨執行長Demis Hassabis在2024年獲得諾貝爾獎。</p> <p>AlphaFold 3是一款由DeepMind開發的人工智慧工具，可預測蛋白質及諸如DNA、RNA、小分子的三維結構和交互作用。相比之前僅能預測單一蛋白質結構的AlphaFold 2，AlphaFold 3進一步提升對複雜分子交互作用的模擬能力，而這項技術讓研究人員可以更準確地了解分子如何在細胞內互動，進而促進藥物開發和疾病治療的研究。</p> <p>先前DeepMind限制了AlphaFold 3的使用方式，僅透過伺服器提供預測服務，並對預測的數量和種類加以限制。這個舉動在保護AlphaFold 3商業應用潛力的同時，也引發學術界的不滿，不少科學家認為這個方式降低了研究的可重現性。</p> <p>在學界的呼籲之下，DeepMind重新評估該項政策，最終決定開放模型程式碼，讓研究人員可以在自家環境執行推論模型，進一步擴展蛋白質結構研究的應用。</p> <p>儘管程式碼開源，但模型權重的取得仍受限於具備學術資格，且通過審核的研究人員，並僅能用於非商業用途。此政策在一定程度上保護了模型的商業應用潛力，同時也維持學術社群的研究自由，向學界提供既開源但有限制的中間方案，在一定程度滿足學術界對透明度和研究可重現性的需求，同時兼顧商業應用的未來可能性。</p> <p>AlphaFold 3的開源預計將對生物醫學領域帶來重要影響，尤其是藥物設計和基因研究方面，為分子生物學研究和藥物開發提供新的工具和機會。藉由這項技術，研究人員得以更迅速且精確地模擬分子間的互動，輔助傳統實驗室的研究方法，並有助於縮短研究和降低成本。</p> </div></div></div>
2024/11/13 09:01作者李建興https://www.ithome.com.tw/news/165973
思科產品功能整合大進化，涵蓋網路、AI、資安，同時發表首款企業級Wi-Fi 7路由器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【澳洲墨爾本現場報導】以網路設備起家的思科，近年來不斷拓展其技術版圖，不僅資安產品涵蓋的面向越來越廣，去年他們更是併購Splunk、推出了Cisco AI Assistant，持續引發業界關注，也讓外界對其發展感到更加期待。</p> <p>今年的思科亞太區年度用戶大會Cisco Live!，於今日（11月12日）在澳洲墨爾本市召開，該公司亞太、日本和大中華區總經理Dave West在第一天活動主題演講，談到思科的重要轉變，他說：「要成為一家成功的網路公司，必須具備頂尖的資安實力；而要成為領先的資安公司，則需要強大的AI能力，而為了成為AI公司，有賴於成為一流的資料公司。」</p> <p>這一席話，不僅強調思科專注於網路設備與資安的發展，同時也反映出推出AI助手與併購Splunk的重要性。</p> <p>於此同時，思科也在本次大會上，發表了全新世代的無線網路設備──首款Wi-Fi 7基地臺。雖然，這看起來只是無線網路規格的升級，但我們注意到思科在相關整合上的顯著進步，涵蓋無線網路解決方案本身，以及AI、資安，以及思科各種網路產品的相關整合。</p> <h3><strong>思科首款企業級Wi-Fi 7基地臺登場，與AI、資安的4大整合層面成焦點</strong></h3> <p>隨著Wi-Fi 7的推出，無線傳輸速度相較於Wi-Fi 6提升近5倍，不僅帶來顯著的效能進步，以及更低的延遲，也被視為能因應多人同步的AR/VR技術的一大關鍵。因此，這次思科首款企業級Wi-Fi 7基地臺的發布，也代表滿足未來商用領域網路需求的關鍵一步，為現代化工作場所的網路基礎環境做好準備。</p> <p>在今日上午的主題演說中，思科正式公布了兩款最新的Wi-Fi 7基地臺產品，分別是：Cisco Catalyst Wireless 9176系列（CW9178），以及Cisco Catalyst Wireless 9178系列（CW9178），預計本月中下旬開放訂購，下個月即可出貨。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖0s）思科產品功能整合大進化與Wi-Fi 7新品_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%960s%EF%BC%89%E6%80%9D%E7%A7%91%E7%94%A2%E5%93%81%E5%8A%9F%E8%83%BD%E6%95%B4%E5%90%88%E5%A4%A7%E9%80%B2%E5%8C%96%E8%88%87Wi-Fi%207%E6%96%B0%E5%93%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>從思科在本次大會展示的新品來看，近年該公司在無線網路設備的多方面整合，有了相當大幅度的進展，我們整理出4大重點：</p> <p>（一）單就無線網路設備而言，思科不斷持續加強Catalyst和Meraki系列產品的整合，如今思科更是推出全新訂閱模式，也就是統一訂閱授權方案，其優勢在於：不論是在本地管理、雲端管理，或是彈性的無縫切換，之後企業僅需一組授權即可涵蓋整體Wi-Fi 7解決方案。</p> <p>（二）去年底思科發表了Cisco AI Assistant，在這一年來，這樣的AI助手已經融入到越來越多的思科產品之內，無線網路設備也不例外。</p> <p>在本次大會現場展區中，思科工作人員就展示了，今年在Meraki的管理介面上，已經提供Cisco AI Assistant的應用，方便用戶使用自然語言提問，讓無線網路設備的設定操作變更容易；而在Catalyst Center管理介面上，同樣也有Cisco AI Assistant的身影，我們看到其介面顯示的AI助手，已經處於Beta版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961s%EF%BC%89%E6%80%9D%E7%A7%91%E7%94%A2%E5%93%81%E5%8A%9F%E8%83%BD%E6%95%B4%E5%90%88%E5%A4%A7%E9%80%B2%E5%8C%96%E8%88%87Wi-Fi%207%E6%96%B0%E5%93%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>（三）在安全性方面有兩大焦點，包括Castlyst Center與Splunk Observability的結合，以及Meraki Add-On for Splunk Security。事實上，在這一年多來，Splunk與思科產品的整合不僅於此，但也顯示其資安防護能力已擴及到無線網路設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3s）思科產品功能整合大進化與Wi-Fi 7新品_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963s%EF%BC%89%E6%80%9D%E7%A7%91%E7%94%A2%E5%93%81%E5%8A%9F%E8%83%BD%E6%95%B4%E5%90%88%E5%A4%A7%E9%80%B2%E5%8C%96%E8%88%87Wi-Fi%207%E6%96%B0%E5%93%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>（四）在網路管理功能方面，通用規則（Common Policy）是今年的一大亮點，可以簡化複雜網路環境的配置與管理。在大會現場展區中，思科工作人員也以Catalyst Center管理介面來展示其效果，說明在一個平臺設定好的網路安全管理政策，可以推送到其他不同的管理系統，像是在ACI Connector設定好的政策，可以自動套用到Catalyst Center。如此一來，可確保整個網路中不同地方的設備與用戶，其安全政策能夠一致。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2s）思科產品功能整合大進化與Wi-Fi 7新品_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89%E6%80%9D%E7%A7%91%E7%94%A2%E5%93%81%E5%8A%9F%E8%83%BD%E6%95%B4%E5%90%88%E5%A4%A7%E9%80%B2%E5%8C%96%E8%88%87Wi-Fi%207%E6%96%B0%E5%93%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><strong>以智慧、安全、保障為號召，新款無線網路設備強調3大特性</strong></h3> <p>還有哪些重點值得關注？針對這次Wi-Fi 7基地臺產品的發表，思科其實特別強調3大特性，包括：智慧、安全及保障。</p> <p>為了進一步釐清思科此次強調的AI、資安的整合，我們詢問了思科專門負責澳洲與紐西蘭網路業務的Davin Gibb，他提出更清楚的說明。</p> <p>以智慧功能方面，思科強調新款Wi-Fi 7基地臺，內建AI原生的優化技術，還有隨插即用的自動配置功能。</p> <p>Davin Gibb解釋，這裡的AI應用有兩個面向，不只上述提及用AI助理來簡化無線網路設備的管理，另一是用於改善無線網路的運作，也就是思科的AI無線電資源管理（AI Radio Resource Management，AI RRM），可以根據環境中的變化（如人流、設備數量），動態調整天線的功率輸出與頻道，以優化無線網路性能。</p> <p>雖然思科先前已有CleanAir Pro的技術，並且發展多年，但隨著Wi-Fi 7的推出，因此思科需要更新的AI技術，以處理更寬的無線頻譜訊號。</p> <p>而在還有隨插即用的自動配置功能方面，現在的無線基地臺可以透過內建的GPS模組，自動識別其所在國家，並根據當地法規進行配置，這對於跨國營運的企業帶來相當大的方便性。</p> <p>值得一提的是，關於室內定位分析平臺Cisco Spaces的訂閱服務，也是無線智慧應用的一環，因為這個平臺可透過思科無線網路設備與Webex會議硬體設備的感測，收集人員與設備位置的資訊，進而做到分析移動軌跡並產生視覺化圖表，以及空間內資產的追蹤與管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5s）思科產品功能整合大進化與Wi-Fi 7新品_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89%E6%80%9D%E7%A7%91%E7%94%A2%E5%93%81%E5%8A%9F%E8%83%BD%E6%95%B4%E5%90%88%E5%A4%A7%E9%80%B2%E5%8C%96%E8%88%87Wi-Fi%207%E6%96%B0%E5%93%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>早年我們在Meraki產品中已經見識到這樣的功能。Davin表示，現在的功能變得更加豐富，已經超越傳統的位置分析儀表版，提供了更深入的洞察力，而且對於創新應用非常重要。</p> <p>另外在保障（Assured）方面，則是結合思科ThousandEyes的技術，透過新的AI與自動化技術來識別與修復問題，確保網路連接的順暢。在今日主題演說中，思科也用一張投影片來展現ThousandEyes的整合，已經融入至思科10多項產品之中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6s）思科產品功能整合大進化與Wi-Fi 7新品_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966s%EF%BC%89%E6%80%9D%E7%A7%91%E7%94%A2%E5%93%81%E5%8A%9F%E8%83%BD%E6%95%B4%E5%90%88%E5%A4%A7%E9%80%B2%E5%8C%96%E8%88%87Wi-Fi%207%E6%96%B0%E5%93%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
2024/11/12 23:40作者羅正漢https://www.ithome.com.tw/news/165974
理賠醫起通2.0正式上線！減少更多理賠流程的人工作業，四家醫院率先採用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>壽險公會今日舉辦理賠醫起通2.0上線儀式，臺大、北榮、新光、國泰共4家醫院先行採用理賠醫起通2.0，保戶不須遞交任何紙本同意書，可用保險存摺作為所有保險公司的身分認證，醫院也能透過醫起通2.0上傳結構化資料，省去醫院人工上傳及保險公司人工登打資料的作業流程。</p> <p>去年七月，壽險公會宣布更多醫學中心簽約加入保險理賠醫起通，包括臺大、北榮、長庚、花蓮慈濟和三軍總醫院。目前，保險理賠醫起通簽約數量共有22家醫院、31個院區，其中，長庚醫院、亞東醫院、慈濟醫院等12家醫院尚在建置系統，還未正式採用醫起通服務。</p> <p>目前，壽險公會提供醫院使用兩種版本的理賠醫起通服務，分別為醫起通1.5和醫起通2.0。在醫起通1.5中，保戶線上提出理賠申請，醫院透過系統調閱病歷，確認診斷證明和收據後彙整為PDF檔案，再人工上傳至保險科技運用共享平臺，讓保險公司儲存診斷證明等資料。</p> <p>而理賠醫起通2.0則省去醫院人工上傳資料，和保險公司登打資料的流程。不過，要做到採用醫起通2.0，涉及多家醫院和保險公司的系統規格問題，需要先由醫院和保險公司討論出一致的結構化欄位，才能開始進行測試和開發。因此，壽險公會花了一年多時間三方討論，最終才定案。此外，醫院和保險公司也需調整為一致的系統借接規格，才能透過API串接，快速傳遞診斷證明和收據資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__77520901_0.jpg" style="width: 600px;" /></p> <blockquote><p>透過保險理賠醫起通服務，保戶不須遞交任何紙本同意書，可用保險存摺作為所有保險公司的身分認證，醫院也能透過醫起通上傳診斷證明和收據資料，省去不少作業流程。（攝影：李昀璇）</p> </blockquote> <p>壽險公會表示，未來期望能透過醫起通，實現出院即理賠的願景，意旨當民眾在就醫過程中，保險公司就能快速向醫院獲取資料，即時試算理賠保證金，讓民眾在出院繳費時，就能用理賠金折抵當次就醫費用。</p> <p>醫起通從2021年上線以來，截至今年10月，受理案件達到3,712件。光是今年初到10月底，就受理了2,382件理賠案件。</p> <p></p> </div></div></div>
2024/11/12 17:57作者李昀璇https://www.ithome.com.tw/news/165970
【資安日報】11月12日，多組駭客透過SEO下毒手法，將使用者導向冒牌電子商務網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客先對合法網站下手，再對瀏覽網站的使用者發動攻擊的情況，過往陸續傳出這類事故，但類似的攻擊出現新的手法：攻擊者先在合法網站植入惡意程式，從而影響搜尋引擎的結果，將上網搜尋的使用者導向駭客的惡意網站。資安業者趨勢科技指出，這樣的威脅有越來越嚴重的趨勢，截至目前為止，他們已看到6組人馬從事相關攻擊，甚至有共用部分基礎設施的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165966"><strong style="font-size: 22px;">冒牌電子商務網站透過SEO下毒散布，攻擊者先攻擊合法網站左右搜尋引擎結果，引誘受害者上門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SEOmalware-Fig02-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SEOmalware-Fig02-2.png" style="width: 300px; float: right;" /></a></p> <p>資安業者趨勢科技與日本警界、學界、資安學界聯手調查，他們要緝捕透過搜尋引擎最佳化（SEO）散布的惡意軟體家族，此次公私協防對象涵蓋香川大學、神奈川縣警察總部、千葉縣警察總部、日本網路犯罪控制中心（JC3）等多個組織，並指出駭客疑似彼此共用基礎設施，從而儘可能提高搜尋引擎最佳化下毒（SEO Poisoning）攻擊的成功機率。</p> <p>根據上述機構的觀察，最近幾年冒牌電子商務網站數量暴增，2023年JC3獲報的網站數量有47,278個，相較於2022年的28,818個，多出超過六成。攻擊者先對合法網站下手，植入SEO惡意軟體，而這些軟體會影響搜尋引擎的查詢結果，導致使用者搜尋會看到駭客廣告的內容，並被引導到冒牌電子商務網站。</p> <p>他們後續總共找出6個SEO惡意軟體家族進行調查，分析227,828個假電子商務網站、1,242個C2伺服器，結果發現，其中有3組人馬僅使用單一、專屬的惡意軟體犯案，但有1組人馬相當不同，因為他們同時運用多種惡意軟體家族，從事攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/165964"><strong style="font-size: 22px;">惡意軟體GootLoader鎖定澳洲，針對愛貓人士而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/seo-poison-gootloader1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/seo-poison-gootloader1.png" style="width: 300px; float: right;" /></a>在散布惡意軟體的手法當中，搜尋引擎最佳化下毒（SEO Poisoning）可說是相當常見，通常攻擊者會假借提供常見的應用程式及遊戲，或是破解軟體、盜版軟體的名義，引誘Google搜尋的使用者上當，但如今，有人專門針對喜好特定動物的人士而來。</p> <p>資安業者Sophos揭露最新一波惡意程式GootLoader的攻擊行動，本來攻擊者就會透過搜尋引擎最佳化中毒的手法，來取得受害電腦的初始入侵管道，這次也不例外，但這波攻擊有所不同，駭客鎖定的對象，竟是詢問在澳洲養孟加拉貓是否合法的使用者。這種專門針對特定地區愛貓人士的情況，其實並不常見。</p> <p>根據研究人員的調查，3月底他們在MDR用戶環境當中，察覺新的GootLoader變種開始積極活動的跡象，循線調查發現，攻擊者透過搜尋引擎最佳化中毒手法，藉由Google搜尋將使用者導向特定網路論壇，而使用者詢問的問題，是有關在澳洲養孟加拉貓是否需要執照（Do you need a license to own a Bengal cat in Australia），一旦他們執行搜尋，檢索結果列出的第一項網址，就是駭客放置的惡意廣告。</p> <p><a href="https://www.ithome.com.tw/news/165968"><strong style="font-size: 22px;">下載GitHub電腦版請小心！攻擊者透過多個管道散播假冒此工具的惡意軟體Fickle Stealer</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/new-stealer-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/new-stealer-5.jpg" style="width: 300px; float: right;" /></a></p> <p>近期新的竊資軟體（Infostealer）不斷出現，並採取多階段攻擊的手段，而能夠繞過視窗作業系統及端點防護軟體的偵測，並挖掘各式機敏資料，傳送給攻擊者。</p> <p>例如，今年5月資安業者Trellix發現的Fickle Stealer，就是典型的例子。這款惡意程式以Rust打造而成，攻擊者透過多種媒介進行散布，從而在瀏覽器及多種應用程式收集帳密資料、上網記錄、信用卡資料等個資，特別的是，該惡意軟體透過PowerShell指令碼繞過使用者帳戶控制（UAC），並具備能迴避防毒軟體偵測的機制，甚至能在東窗事發後顯示錯誤訊息掩飾，並自我刪除。</p> <p>值得一提的是，駭客將其偽裝成Windows版GitHub應用程式，並帶有無效簽章。他們使用GitHub, Inc的名義進行簽章，而第二簽章則是署名為Microsoft Public RSA Time Stamping Authority，攻擊者這麼做的目的，顯然是企圖讓此惡意程式的來源看起來合法。</p> <p><a href="https://www.ithome.com.tw/news/165954"><strong style="font-size: 22px;">攻擊者積極利用ZIP檔案串接手法，意圖隱藏惡意軟體</strong></a></p> <p>道高一尺，魔高一丈，攻擊者持續使用新的手段逃避資安防護，引起研究人員關注。資安公司Perception Point警示，近期興起的ZIP檔案串接手法（ZIP Concatenation）正在被攻擊者積極利用，用於規避安全檢測。資安研究人員揭露近期利用該技術的攻擊事件，釣魚郵件中附有名為SHIPPING_INV_PL_BL_pdf.rar的壓縮檔案，誘導受害者下載並開啟。</p> <p>這種攻擊手法將多個ZIP檔案串接成單一檔案，使惡意軟體得以隱藏在檔案結構中增加隱蔽性，由於不同解壓縮工具的顯示差異，使部分惡意內容不易被察覺，而對使用者構成更大的威脅。</p> <p>以上述的壓縮檔案為例，使用者若以7-Zip開啟會看到無害的PDF檔案，但如果使用WinRAR或是Windows檔案總管開啟，駭客刻意隱匿的惡意檔案就會現身。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/amazon-confirms-employee-data-breach-after-vendor-hack/">因第三方供應商遭受MOVEit事故波及，Amazon證實資料外洩</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/roblox-developers-targeted-in-supply-chain-attack-with-malicious-npm-packages/">惡意NPM套件鎖定Roblox開發者而來，意圖進行供應鏈攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-ymir-ransomware-partners-with-rustystealer-in-attacks/">勒索軟體Ymir夥同竊資軟體RustyStealer，攻擊受害組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/earth-estries-evolving-toolkit-a-deep-dive-into-their-advanced-techniques/">中國駭客Earth Estries濫用視窗作業系統內建防毒元件，持續於受害環境活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/spynote-malware-fake-antivirus-targets-android-users-in-sophisticated-new-campaign/">安卓惡意軟體SpyNote假冒防毒軟體，暗中在後臺取得多項權限</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165935"><strong style="font-size: 22px;">馬自達車載系統軟體漏洞，可允許駭客執行任意程式碼</strong></a></p> <p>趨勢科技漏洞懸賞專案ZDI的研究人員發現，日本車廠馬自達（Mazda）的車載系統Connect Connectivity Master Unit（CMU）有多項漏洞，可讓駭客執行程式碼，最嚴重者可影響車輛安全，受影響車款包括最受歡迎的Mazda 3，涵蓋2014至2021年式的車款。</p> <p>研究人員發現到的6項漏洞，多半源自處理輸入指令時「消毒」（sanitization）不夠充分，讓接近裝置的攻擊者可以連上USB裝置，像是將iPod或外接硬碟連接CMU展開攻擊。成功濫用這些漏洞可讓攻擊者以root的權限執行任意程式，造成阻斷服務攻擊，或讓系統無法作用，甚至影響行車安全。</p> <p>值得注意的是，ZDI指出，這些漏洞目前尚未修補，他們也沒有公布通報的過程，以及業者回應經過。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165955"><strong>【11月11日】6.1萬臺D-Link網路儲存設備存在重大層級命令注入漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165932"><strong>【11月8日】德國提出刑法修正草案，確立資安漏洞研究的合法地位</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165902"><strong>【11月7日】惡意程式框架Winos 4.0鎖定中國遊戲玩家而來</strong></a></p> </div></div></div>
2024/11/12 17:58作者周峻佑https://www.ithome.com.tw/news/165971
下載GitHub電腦版請小心！攻擊者透過多個管道散播假冒此工具的惡意軟體Fickle Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期新的竊資軟體（Infostealer）不斷出現，並採取多階段攻擊的手段，而能夠繞過視窗作業系統及端點防護軟體的偵測，並挖掘各式機敏資料，傳送給攻擊者。</p> <p>例如，今年5月<a href="https://www.trellix.com/blogs/research/new-stealer-uses-invalid-cert-to-compromise-systems/">資安業者Trellix發現的Fickle Stealer</a>，就是典型的例子。這款惡意程式以Rust打造而成，攻擊者透過多種媒介進行散布，從而在瀏覽器及多種應用程式收集帳密資料、上網記錄、信用卡資料等個資，特別的是，該惡意軟體透過PowerShell指令碼繞過使用者帳戶控制（UAC），並具備能迴避防毒軟體偵測的機制，甚至能在東窗事發後顯示錯誤訊息掩飾，並自我刪除。</p> <p>研究人員提及，攻擊者散布竊資軟體的管道，涵蓋釣魚郵件的惡意附件、偷渡式下載（Drive-by Download）、漏洞利用工具包、社交工程，而且，他們也看到對方利用多種檔案格式挾帶惡意酬載，包括Word文件、執行檔、Windows捷徑檔（LNK）。</p> <p>值得一提的是，駭客將其偽裝成Windows版GitHub應用程式，並帶有無效簽章。他們使用GitHub, Inc的名義進行簽章，而第二簽章則是署名為Microsoft Public RSA Time Stamping Authority，攻擊者這麼做的目的，顯然是企圖讓此惡意程式的來源看起來合法。</p> <p>而針對攻擊者執行Fickle Stealer的方式，研究人員提及是採用多階段攻擊鏈進行，過程中利用VBA打造的惡意程式載入工具（Dropper）與下載工具（Downloader），而這些工具運作的過程，都會利用作業系統的漏洞來達成目的。</p> <p>研究人員提及其中一項Fickle Stealer的關鍵機制，是運用自製的打包工具混淆惡意程式碼，使得靜態分析工具及傳統偵測方法誤以為其正常。再者，攻擊者也導入反沙箱機制，使得惡意酬載能逃出沙箱環境之外，或以除錯工具運作，並且藉由產生誤導的錯誤訊息，以及檢查分析指標（indicators of analysis），使得Fickle Stealer在受害者電腦收集資料的當下，還能成功迴避資安偵測。</p> </div></div></div>
2024/11/12 17:14作者周峻佑https://www.ithome.com.tw/news/165968
國健署聯手業者建置2千家血壓量測站，還導入Google生成式AI來管理數據與衛教
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（11/12），國健署聯手零售、超商、金融和藥局等業者，正式宣布啟動722安心血壓站計畫。目前，他們已在全臺建置近2,000個規格統一的血壓量測站點，並導入民間業者應用程式WaCare App，結合Google生成式AI模型Gemini 1.5，來提供血壓管理和個人化衛教服務。國健署希望，透過廣設規格統一的血壓量測站，來落實健康臺灣888政策，及早預防慢性病及其衍生疾病，提高平均健康餘命。</p> <p><span style="font-size:22px;"><strong>為何血壓量測很重要</strong></span></p> <p>國健署署長吳昭軍指出，國健署職責是預防疾病和健康促進，而總統賴清德提出三高防治的888計畫，目標是要將80%的三高病友加入照護網、照護網內8成患者要接受生活習慣諮詢，以及三高控制率要達80%。這意味著，要及早發現疾病徵兆、及早預防並防止病情惡化，避免衍生疾病如腦中風、心血管疾病、腎臟病和糖尿病等的發生，進而提高健康餘命。</p> <p>而血壓的監測，就是其中一項重要指標，國健署也因此在今年展開722安心血壓站計畫，要統一血壓站規格，收集更準確的數據，也讓民眾更容易使用血壓量測設備。</p> <p>高血壓學會理事長林彥宏本身就是臺大醫院心臟科醫師，他指出，高血壓是世界衛生組織定義中，影響人類健康的首要危險因子，而臺灣高血壓學會已在2022年，連同心臟學會和各專家學者，制定出臺灣高血壓量測指引，其中包括在家量血壓、722等原則。這些原則，都獲學術研究證實有效。</p> <p>因此，他們希望，用在家量血壓取代診間量血壓（因診間量測容易受諸多因素干擾），作為診斷和藥物調整的依據。而在社區據點和零售場所廣設規格統一的血壓量測站，讓民眾在舒適的環境下量測，有助於掌握正確的血壓數據，作為後續趨勢分析和診斷的重要根據。</p> <p>同時，臺灣心臟學會主任委員鄭浩民也指出，國內有自覺率、治療率、控制率等3項衡量高血壓防治成效的指標，自覺率目前約6成多、治療率大約5成、控制率約3成，仍有進步空間。而透過社區等血壓量測據點，可鼓勵民眾量測、提高自覺率，希望能進步到8成。</p> <p><span style="font-size:22px;"><strong>推722計畫將血壓量測站標準化，還聯手業者App用AI管理與衛教</strong></span></p> <p>就這次國健署722計畫來說，國健署科長胡怡君先解釋，722是國際認可的血壓量測方法，意指連續7天量測、每天起床和睡前各量測1次、每次量測量2次的方法，來有效掌握血壓數值。這種方法累積的數據較多，可了解病患血壓變化趨勢，對心血管事件的預測也就更準確，也能作為評估介入的有效根據。</p> <p>也因此，國健署發起722計畫，包含3個目標，也就是要<strong>建置標準的血壓量測環境、提供正確的血壓量測素材、介入異常數值的追蹤和管理</strong>。就建置標準環境來說，他們制定一張血壓站自評表，要求血壓站從硬體設備、環境空間、操作說明和衛教等面向，來符合要求，比如血壓計得獲醫材許可、有年度維護校正記錄、量測站周遭空間寬廣，或是要配備供民眾記錄血壓的工具等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%AA%E8%A9%95%E8%A1%A8.JPG" /></p> <p>國健署也要求血壓站環境標準化，比如血壓計要是合格可用的、合適的桌椅及空間（如桌子桌面理想高度為51-67公分）、放置正確文宣，並透過自評檢核來確保符合環境標準等。</p> <p>接著，國健署也與臺灣高血壓學會，研議出722計畫量測異常值的個案管理模式，可分為2種。首先，民眾量測值超過130/80 mmHg時，會要求掃描QR Code，填寫基本資料、菸酒史、運動和飲食習慣，接著請民眾量測722血壓值。</p> <p>此時，民眾這7天，只要上傳血壓量測值照片即可。7天後系統會判讀，並根據民眾先前填寫的資料，來提供個人化衛教。要是民眾判讀數據高於標準值一點，就會建議民眾按照衛教資訊，一個月後再進行一次722量測，若還是過高，就會建議民眾到診所就醫。</p> <p>另一種模式是，第一次量測值就超過160/100 mmHg，就會直接通知民眾，到附近診所就醫、治療。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%95%B0%E5%B8%B8%E7%AE%A1%E7%90%86.JPG" /></p> <p>另一方面，為更有效管理血壓健康，國健署這次也導入數位血壓追蹤管理試辦計畫，委由民間業者WaCare，藉其App，作為民眾在722安心血壓站量測後的數位追蹤管理工具。民眾可掃描QR Code登入、拍照上傳量測照片、填寫做前問卷，量測後可用來管理追蹤，尤其是發送個人化衛教資訊。</p> <p>目前有不少企業和機構加入國健署722計畫，包括了6大產業類別，如民生購物類的統一超商、全聯、家樂福，金融機構的群益證券、南山人壽、農漁會，以及其他民間組織、醫藥健康機構、交通場所（如高鐵和臺鐵）、社區活動和政府機關等處。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BC%81%E6%A5%AD.JPG" /></p> <p>國健署鼓勵更多單位投入，建置更多合規的血壓量測站，建立起血壓網路。</p> <p><span style="font-size:22px;"><strong>採用Google Gemini 1.5做衛教資訊</strong></span></p> <p>WaCare執行長潘人豪說明，722計畫除了要標準化血壓量測外，還有個重要目標是，一改過去紙本記錄血壓，力推數位工具來管理、追蹤血壓變化。</p> <p>而WaCare App可接收民眾在722站點量測上傳的照片，以AI辨識，自動將量測值填入欄位，供民眾確認。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8B%8D%E7%85%A7.JPG" /></p> <p>更重要的是，他們不只有真人線上衛教，今年還納入AI衛教功能。他們採用Google Gemini 1.5模型，以2017年美國心臟學會高血壓指引和臺灣2022年制定的高血壓量測指引來訓練模型，讓模型產出數百道問題，再由高血壓學會醫師驗證這些資料。驗證完成後，就成為衛教資訊。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E5%87%BA%E9%A1%8C.JPG" /></p> <p>為避免幻覺，WaCare將AI衛教設計為，不直接與民眾聊天，而是透過每天向使用者丟一個小問題、讓使用者回答，來提供衛教的答案。這個AI衛教，也會依民眾狀況循序漸進，比如從高血壓介紹開始，到生活飲食調整、健促活動和運動、管理對策、長期管理、藥物管理和融入日常等，來對使用者適時衛教。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B2%A0%E8%B2%AC%E4%BB%BB(1).JPG" /></p> <p></p> </div></div></div>
2024/11/12 17:39作者王若樸https://www.ithome.com.tw/news/165969
惡意軟體GootLoader鎖定澳洲，針對愛貓人士下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在散布惡意軟體的手法當中，搜尋引擎最佳化中毒（SEO Poisoning）可說是相當常見，通常攻擊者會假借提供常見的應用程式及遊戲，或是破解軟體、盜版軟體的名義，引誘Google搜尋的使用者上當，但如今，有人專門針對喜好特定動物的人士而來。</p> <p>資安業者Sophos揭露<a href="https://news.sophos.com/en-us/2024/11/06/bengal-cat-lovers-in-australia-get-psspsspssd-in-google-driven-gootloader-campaign/">最新一波惡意程式GootLoader的攻擊行動</a>，本來攻擊者就會透過搜尋引擎最佳化中毒的手法，來取得受害電腦的初始入侵管道，這次也不例外，但這波攻擊有所不同，駭客鎖定的對象，竟是詢問在澳洲養孟加拉貓是否合法的使用者。這種專門針對特定地區愛貓人士的情況，其實並不常見。</p> <p>根據研究人員的調查，3月底他們在MDR用戶環境當中，察覺新的GootLoader變種開始積極活動的跡象，循線調查發現，攻擊者透過搜尋引擎最佳化中毒手法，藉由Google搜尋將使用者導向特定網路論壇，而使用者詢問的問題，是有關在澳洲養孟加拉貓是否需要執照（Do you need a license to own a Bengal cat in Australia），一旦他們執行搜尋，檢索結果列出的第一項網址，就是駭客放置的惡意廣告。</p> <p>若是使用者點選連結，電腦就會自動下載壓縮檔Are_bengal_cats_legal_in_australia_33924.zip，並將使用者重新導向另一個看起來像是相關問題的問答網站。</p> <p>而上述ZIP檔案內容，包含GootLoader初始執行的JavaScript檔案，執行時會載入另一個大型的JavaScript檔，並建立名為Business Aviation的工作排程，當中透過公用程式wscript.exe，啟動第二階段有效酬載GootKit。</p> <p>接著攻擊者利用cscript.exe存取PowerShell，但研究人員並未取得對方下達的命令，而無從得知後續的攻擊行動。</p> <p>雖然這起攻擊行動並未成功，但研究人員近期看到搜尋引擎最佳化中毒的威脅態勢持續成長，而且，過去一年發生數次大規模利用的現象。</p> </div></div></div>
2024/11/12 12:58作者周峻佑https://www.ithome.com.tw/news/165964
蘋果將允許使用者與第三方分享Find My裝置或AirTag位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周一（11/11）釋出的<a href="https://www.apple.com/newsroom/2024/11/apples-find-my-enables-sharing-location-of-lost-items-with-third-parties/" target="_blank">iOS 18.2測試版</a>，開始允許使用者與第三方分享AirTag或Find My中遺失裝置的位置，已有超過15家航空公司同意於客戶服務中加入該服務，以協助旅客尋找處理不當或延誤的行李。此一功能將支援iPhone X及之後的版本。</p> <p>蘋果所開發的Find My服務主要用來追蹤蘋果裝置或個人物品，例如iPhone、iPad、Apple Watch、Mac、AirPods及AirTag，其中的AirTag本身就是一個追蹤裝置，只要將它掛在鑰匙上，放在背包或行李中，就能用它來追蹤個人物品。</p> <p>原本只有使用者可以追蹤自己的裝置或物品，iOS 18.2測試版則在Find My中新增「分享物品位置」（Share Item Location）功能，它能產生一個顯示物品位置的連結，並與諸如航空公司等第三方分享，第三方就能在互動式地圖上察看物品的位置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1112-Apple-Share-Item-Location-Find-My-AirTag-600.jpg" style="width: 317px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>為了保護使用者的隱私與安全，此一位置分享會在使用者取回其物品之後自動停用，或是在7天之後自動過期，使用者亦可隨時終止其位置分享。</p> <p>目前已有15家航空公司支援該服務，以協助旅客找回他們不慎遺失的行李，預計會在未來幾個月正式上線，包括新加坡航空（Singapore Airlines）、土耳其航空（Turkish Airlines）、聯合航空（United）、達美航空（Delta Air Lines）及加拿大航空（Air Canada）等。</p> <p>此外，蘋果也與多家航空公司合作，利用它們已在使用的數十萬臺蘋果裝置，部署可接受Share Item Location的服務，要求接受者必須經過身分驗證才能存取，同時控制存取權限數量。</p> <p>另一方面，航空領域的跨國資訊技術業者SITA，也將在旗下的行李追蹤服務WorldTracer中整合Share Item Location。全球已有逾500家航空公司於2,800個機場使用WorldTracer服務。</p> </div></div></div>
2024/11/12 11:40作者陳曉莉https://www.ithome.com.tw/news/165962
MicroStrategy再收購2.7萬個比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>商業智慧軟體開發商MicroStrategy周一（11/11）<a href="https://www.microstrategy.com/press/microstrategy-announces-btc-atm-activity-raised-2-billion-purchased-27200-btc-now-holds-279420-btc-with-btc-yield-of-26-ytd" target="_blank">宣布</a>，該公司在今年10月31日至11月10日間，以20.3億美元的現金收購了約27,200個比特幣（Bitcoin），每個比特幣的平均價格為74,463美元。事實上，由於川普（Donald Trump）再次當選美國總統，比特幣的價格曾一度達到8.9萬美元，創下歷史新高。</p> <p>在川普競選美國總統的政見中，他說自己是加密貨幣的擁護者，將大力支持加密貨幣產業，累積美國的比特幣儲備，讓美國成為地球的加密之都，自己則是加密貨幣總統。因此，在川普當選了美國第47任總統之後，比特幣的<a href="https://coinmarketcap.com/currencies/bitcoin/" target="_blank">價格</a>在一周內從7萬美元飆至8.9萬美元。</p> <p>在川普的承諾下，a16z旗下加密貨幣基金a16z Crypto周日（11/10）即<a href="https://a16zcrypto.com/posts/article/a-positive-path-forward/" target="_blank">指出</a>，該基金看好未來加密貨幣產業的發展，認為美國政府可望建立有利於加密貨幣技術的監管環境，而且新的加密技術將能帶來更多的商業模式與服務，包括數位身分、低成本跨境交易、去中心化的社交網路，以及由區塊鏈驅動的AI及遊戲等。</p> <p>至於MicroStrategy雖然名義上是家商業智慧軟體開發商，但實際上卻是家比特幣財務公司，在該公司今年第三季的<a href="https://www.microstrategy.com/press/microstrategy-announces-third-quarter-2024-financial-results-and-announces-42-billion-capital-plan_10-30-2024" target="_blank">財報</a>中，總裁暨執行長Phong Le強調的不是原有業務的發展，而是比特幣的收益率。</p> <p>截至今年9月30日，MicroStrategy總計擁有252,220個比特幣，每個比特幣的平均成本為39,266美元，但每個比特幣的市場價格為63,463美元。另一方面，MicroStrategy的軟體業務在該季創下1.16億美元的營收，下滑10.3%，營運虧損4.33億美元，每股虧損1.72美元。</p> <p>本周MicroStrategy再宣布以20.3億美元買下約27,200個比特幣，每個比特幣的平均價格為74,463美元。這讓MicroStrategy所擁有的比特幣增加到279,420個，平均購買價為42,692美元。</p> <p>MicroStrategy宣稱自己是全球最大的比特幣企業持有者，以及全球第一家比特幣財務公司，此一消息讓MicroStrategy周一股價大漲25.73%，以340美元作收，盤後再繼續上揚5.29%，達到357.98美元。</p> </div></div></div>
2024/11/12 12:05作者陳曉莉https://www.ithome.com.tw/news/165963
xAI測試免費Grok AI助理在紐西蘭等地提供
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克的X一直都只對付費版方案用戶提供AI助理Grok，不過一些用戶發現，Grok開發商xAI近日開始測試免費版Grok。</p> <p>多位用戶<a href="https://x.com/nima_owji/status/1855474813201940694" target="_blank">發現</a>，Grok 2 Beta版已開放給免費版X用戶，不再只限於付費版Premium方案訂閱用戶。特定地區免費版X用戶現已可使用Grok 2 beta版。Techcrunch則<a href="https://techcrunch.com/2024/11/10/x-is-testing-a-free-version-of-ai-chatbot-grok/" target="_blank">證實</a>，免費版本部署的地區最少包含紐西蘭。</p> <p>根據用戶<a href="https://x.com/swak_12/status/1855472223475417306" target="_blank">研究</a>，想搶先測試的X帳號必須註冊至少7天以上，並綁定一組電話號碼。Grok 2每2小時接受最多10個問題，Grok 2 mini則為每2小時接受20道問題，輸入圖片則每天最多可分析3幀圖片。</p> <p>但一些付費用戶則<a href="https://x.com/redwooddesigns/status/1855512593773068448" target="_blank">抱怨</a>，那他們花錢訂閱Premium所謂何來，Grok是其掏包付費的主因。X Premium方案要價每月8美元或每年84美元，以及每月16美元及每年168美元</p> <p>即使X真的提供免費版Grok，預料也只有基本功能。OpenAI也同樣提供付費及免費版用戶都能存取ChatGPT，但付費方案用戶可享有更多服務，包括可使用即時搜尋、頻寬較大及詢問問題沒有上限，也可享有資料隱私性，其和AI助理對談內容不會被用於底層模型的訓練。</p> </div></div></div>
2024/11/12 10:51作者林妍溱https://www.ithome.com.tw/news/165960
挽回出走的客戶，博通恢復部份VMware收費方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>可能是為了想挽回出走的客戶，尤其是中小企業，博通近日<a href="https://news.broadcom.com/cloud/bringing-more-value-and-options-to-the-vmware-cloud-foundation-portfolio" target="_blank">宣布</a>恢復VMware部份曾經取消的基本方案。</p> <p>最新的宣布包含二項，一是讓執行VM和容器的HCI解決方案更強大，將資料中心授權VMware vSphere Foundation中的儲存虛擬化方案vSAN的容量擴大為2.5倍，使每核心支援250GiB。第二則是針對中小企業。針對需求主要為運算虛擬化的客戶，現在有2個選擇，包括現有的vSphere Standard，以及之前取消的vSphere Enterprise Plus。現在VCF方案將透過直銷或經銷通路，開放給所有客戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1112-VMware_SMB%E8%A8%82%E9%96%B1%E6%96%B9%E6%A1%88_1031release.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／博通</span></span></p> <p>博通說，結合新增客戶選擇，配合CPU核心為基礎的訂閱方案提供彈性期間、價格和支付方式，突顯該公司「對客戶的承諾」，他們也會持續傾聽客戶和合作夥伴意見，提供更多選擇。</p> <p>或許博通的最新方案的確是因應客戶不滿而做出變更。去年10月博通完成以610億美元收購虛擬化業者VMware後一些變革引發用戶批評。博通<a href="https://blogs.vmware.com/cloud-foundation/2024/01/22/vmware-end-of-availability-of-perpetual-licensing-and-saas-services/" target="_blank">宣布</a>停售VMware永久授權、取消數十項方案，要求客戶購買授權訂閱，也終止下單金額較少的小型VMware通路夥伴，並要求客戶改和博通簽定直銷合約。</p> <p>今年一月博通終止的方案包括桌機虛擬化授權vSphere Desktop、入門方案如vSphere Essentials Kit、vSphere Basic/Advanced、免費版vSphere Hypervisor、較小型ESXi及VM環境的vCenter Foundation、甚至較大環境的VMware vSphere Advanced/Enterprise/ Enterprise Plus都無法倖免。其中vSphere Standard及vSphere Essentials Plus Kit則以訂閱制保留下來。</p> <p>博通取消軟體獨立採購，要求用戶必須以VMware Cloud Foundation（VCF）或VMware vSphere Foundation（VVF）二種套件授權方案出售，迫使用戶購買他們不要的產品。The Register<a href="https://www.theregister.com/2024/03/08/broadcom_q1_2024/" target="_blank">報導</a>，一些用戶抱怨，包裹式授權使其軟體授權支出爆增為5、6倍。這種強迫銷售方式促使用戶出走，改用微軟Hyper-V或KVM等其他替代方案。</p> <p>Ars Technica則引述分析機構<a href="https://arstechnica.com/information-technology/2024/11/new-smb-friendly-subscription-tier-may-be-too-late-to-stop-vmware-migrations/" target="_blank">指出</a>，博通已讓企業覺醒到依賴單一業者太深的風險，促使他們規劃分散投資。如今博通才來亡羊補牢，不知道能否來得及挽回客戶的心。</p> </div></div></div>
2024/11/12 11:05作者林妍溱https://www.ithome.com.tw/news/165961
攻擊者正積極利用ZIP檔案串接技術，隱藏惡意軟體規避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者持續尋找新手段逃避資安防護，而資安公司Perception Point<a href="https://perception-point.io/blog/evasive-concatenated-zip-trojan-targets-windows-users/">警示</a>，近期興起的ZIP檔案串接技術（ZIP Concatenation）正在被攻擊者積極濫用，用於規避安全檢測。資安研究人員揭露近期一起利用該技術的攻擊事件，釣魚郵件中附有名為SHIPPING_INV_PL_BL_pdf.rar的壓縮檔案，誘導受害者下載並開啟。</p> <p>這種攻擊手法利用多個ZIP檔案串接成一個檔案，使惡意軟體得以隱藏在檔案結構中增加隱蔽性，藉由不同解壓縮工具的顯示差異，使部分惡意內容不易被察覺，並對Windows使用者構成更大的威脅。</p> <p>ZIP檔案格式因為其結構靈活，因此成為被攻擊者濫用於攻擊的工具。ZIP檔的結構包含檔案條目（File Entry）、中央目錄（Central Directory）和中央目錄結尾標記（EOCD）等部分。中央目錄位於檔案末端，提供快速檔案檢索功能，使得壓縮工具可以快速定位檔案，增進ZIP檔案的操作效率。</p> <p>但是這樣的設計讓攻擊者有機可乘，藉由利用多重中央目錄的特性，將惡意內容隱藏在串接的檔案中，進一步規避安全檢測。資安研究人員指出，不同壓縮工具對於串接ZIP檔的處理方式不同。7zip工具在處理這類檔案時，僅顯示第一個壓縮檔的內容，並提醒使用者檔案末端有多餘資料的警告訊息。</p> <p>而WinRAR則會完整顯示所有串接ZIP壓縮檔的內容，包括隱藏的惡意檔案，這使得WinRAR成為能夠顯示出隱藏惡意載荷的工具，可能被用於攻擊特定系統，至於Windows File Explorer則在處理串接ZIP檔案的能力較弱，有時無法正確開啟檔案，或者僅能顯示部分內容，處理串接檔案的不一致性，可能導致不同結果並導致潛在安全風險。</p> <p>最近一個利用ZIP檔案串接手法的攻擊，是攻擊者透過釣魚郵件散布SHIPPING_INV_PL_BL_pdf.rar壓縮檔案，其偽裝成一般檔案誘導受害者下載和開啟。該檔案是經由ZIP檔案串接技術所構成的壓縮檔，但攻擊者刻意將副檔名改為.rar，使受害者誤以為是RAR檔案。</p> <p>當受害者使用7zip開啟檔案時，只能看到一個一般的PDF文件，但是如果是WinRAR和Windows File Explorer用戶則會看到隱藏的惡意執行檔，可能不小心開啟木馬程式。該木馬具有自動化下載和執行其他惡意程式的能力，會在受害者系統上執行進一步惡意操作。</p> </div></div></div>
2024/11/12 08:20作者李建興https://www.ithome.com.tw/news/165954
GitHub Copilot加入引導式對話功能，主動反問釐清開發需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布更新Copilot使其具有<a href="https://devblogs.microsoft.com/visualstudio/conversational-way-to-chat-with-github-copilot/">引導式對話能力</a>，進一步改變開發者與人工智慧互動的方式。目前該功能已在Visual Studio 2022 17.12第3預覽版上線，使用者可與人工智慧更自然高效地對談，進一步加速日常開發任務。</p> <p>GitHub Copilot官方團隊解釋，引導式對話功能的主要目標，是降低開發者編寫提示詞時的學習曲線。透過該項更新，Copilot能夠在需求明確時提供精確回應，而在需求不清晰的情況下，則會主動提問釐清上下文，協助開發者更快獲得所需結果。</p> <p>在過去的操作中，不少開發者需要花時間思考正確表達需求的方式，可能還需要篩選過多的生成內容，才能夠找到符合預期的結果，而新功能的加入，讓Copilot更像是助理，能隨著開發者需求調整回應，提供精簡的資訊。</p> <p>具體而言，引導式對話能夠協助開發者減少在編寫提示詞上的困難，使其更專注於主要的開發工作，其次是透過自動引導與精確回應的方式，開發者不再需要熟悉意圖系統。意圖系統是一套複雜的規則和流程，讓人工智慧可以理解使用者提示詞意圖，過去開發者必須要自己輸入清楚的提示詞，但是引導對話功能可以降低這個流程的複雜度。</p> <p>由於開發者和Copilot之間減少不必要的來回溝通，因此有助於改善整體開發效率。官方提到，這項功能在測試期間就已顯示出良好的效果，在正式推出後，還會根據使用者回饋，進一步最佳化，使得對話體驗更加順暢。</p> <p>此外，GitHub Copilot現已整合至資料處理工具<a href="https://devblogs.microsoft.com/python/announcing-github-copilot-in-data-wrangler/">Data Wrangler</a>，開發者能以自然語言高效進行資料清理與轉換，並透過資料的上下文生成程式碼，更精準地處理資料。開發者可以在Data Wrangler介面即時檢視程式碼執行效果，無論是格式化日期欄位、刪除缺失數值過多的欄位，或是修正資料錯誤，Copilot都助開發者快速完成各種資料操作。</p> </div></div></div>
2024/11/12 08:24作者李建興https://www.ithome.com.tw/news/165956
【資安日報】11月11日，6.1萬臺D-Link網路儲存設備存在重大層級命令注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月研究人員揭露D-Link網路儲存設備（NAS）高風險漏洞，而且，這些機型生命週期都已結束，D-Link不提供修補程式，當時有超過9萬臺設備曝險，不久之後就出現相關資安事故。存在於該廠牌生命週期終結設備的弱點，如今再度出現。</p> <p>值得留意的是，上週研究人員公布的弱點CVE-2024-10914為重大層級，接下來很有可能會被攻擊者盯上，並將其實際嘗試利用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165937"><strong style="font-size: 22px;">名稱只差正版一個字，惡意Python套件fabrice魚目混珠，專門竊取AWS金鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dgf4NR6a1V.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dgf4NR6a1V.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Socket警告，惡意的Python套件fabrice企圖偽裝成正版的SSH自動化程式庫fabric，它們有同樣的功能描述，只不過，盜版的名字多了一個字母，而且它會竊取用戶的AWS金鑰。</p> <p>fabric是由Jeff Forcier（bitprophet）負責開發及維護，問世十多年來已有超過2億次的下載。至於fabrice則是在2021年現身，下載次數亦已超過3.7萬，且同時支援Linux及Windows作業系統。</p> <p>研究顯示，駭客的最終目的是竊取帳密資料，特別是AWS金鑰，fabrice利用boto3函式庫來存取開發人員的AWS存取金鑰與密鑰，再將相關資訊傳送到位於巴黎的VPN伺服器。開發人員的憑證一旦遭竊，駭客即可取得受害者的雲端資源。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=185813&SPOKE_DATE=20241108&COMPANY_ID=2327"><strong style="font-size: 22px;">電子元件製造商國巨證實子公司遭遇網路攻擊，並透露損失情形</strong></a></p> <p>11月8日電子元件製造商國巨於股市公開觀測站發布重大訊息，表示有駭客對旗下子公司KEMET Electronics Corporation部分資訊系統發動網路攻擊，並指出發生事故的過程裡，部分員工的個資有可能遭到外洩。對此他們已立即啟動相關防禦機制，並著手復原。</p> <p>而罕見的是，這起公告也列出可能造成的損失和影響。國巨指出，在遭遇網路攻擊的當下，KEMET Electronics Corporation取消訂單金額約60萬美元，占2022年度銷貨收入約0.04%；閒置產能約造成310萬美元損失，占2022年度營業利益約0.75%。整體來說，影響比例不大，對公司營運無重大影響。</p> <p><a href="https://www.ithome.com.tw/news/165944"><strong style="font-size: 22px;">網攻進入鐘點戰時代，Palo Alto Networks預估2026年3大威脅1小時發動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Vishal Lanjekar-2024-Ignite-TW-Palo Alto Netowrks-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vishal%20Lanjekar-2024-Ignite-TW-Palo%20Alto%20Netowrks-web.jpg" style="width: 300px; float: right;" /></a>在資安領域，隨著各種IT科技的快速進步，網路犯罪分子的攻擊速度也正在不斷提升，但到底有多快？有資安廠商綜合本身的觀察與其他資安公司的研究報告，預估在1年多後，主要的網路威脅活動能夠在60分鐘內發動，情況越來越嚴峻，大大考驗企業與組織應變能力與速度。</p> <p>事實上，這兩年以來，網路攻擊者出手速度已經相當快，在Palo Alto Networks這幾天舉行的臺灣年度用戶大會，該公司日本與亞太區策略及網路安全顧問Vishal Lanjekar也提醒大家這個趨勢。</p> <p>根據他們的調查，攻擊者一旦滲透至受害者的網路環境，平均9天之後會將資料取出（外洩），隨著AI和其他技術的不斷興起，到了2023年，這段期間已縮短至兩天，預估今年將有45％的事故會在1天之內被拿走資料，而在更近期的調查當中，他們發現攻擊者侵入受害者網路環境後的4小時內，就能運出好幾TB的資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/icepeony-and-transparent-tribe-target.html">中國駭客IcePeony與巴基斯坦駭客Transparent Tribe同流合汙，使用雲端工具攻擊印度企業組織</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/icepeony-and-transparent-tribe-target.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/androxgh0st-botnet-integrate-mozi-iot-vulnerabilities/">竊資軟體Androxgh0st與殭屍網路Mozi狼狽為奸，加劇物聯網裝置威脅</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/critical-veeam-rce-bug-now-used-in-frag-ransomware-attacks/">Veeam備份軟體漏洞再傳遭到利用，勒索軟體Frag將其用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/bengal-cat-lovers-in-australia-targeted-by-gootloader-malware/">惡意軟體GootLoader鎖定澳洲，針對愛貓人士下手</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-rhadamanthys-stealer-rhadamanthys-07-mimics-copyright-notices-to-phish-global-targets/">竊資軟體Rhadamantys出現變種，駭客假借侵權名義散布</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165945"><strong style="font-size: 22px;">D-Link停止支援的老舊NAS設備存在重大漏洞，至少有6.1萬臺曝露在網際網路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d-link-nas-60k.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/d-link-nas-60k.png" style="width: 300px; float: right;" /></a>研究人員Netsecfish於D-Link旗下部分型號的網路儲存設備（NAS）發現重大層級的CVE-2024-10914，此為命令注入漏洞，存在於NAS設備名為account_mgr.cgi的URI，發生在CGI指令碼cgi_user_add處理name參數的過程，未經身分驗證的攻擊者有機會利用偽造的HTTP GET請求，藉由漏洞注入任意的Shell命令，估計全球約有6.1萬臺設備曝險。</p> <p>這項漏洞影響DNS-320、DNS-320LW、DNS-325，以及DNS-340L等4款機種，根據漏洞資料庫VulDB的評估，此漏洞的4.0版CVSS風險評分為9.2（滿分10分）。</p> <p>針對該漏洞曝險的情況，Netsecfish透過物聯網搜尋引擎FOFA進行調查，結果從41,097個IP位址當中，找到61,147臺設備，其中英國有10,381臺最多，義大利、德國、俄羅斯居次，分別有5,835臺、4,877臺、3,936臺。</p> <p><a href="https://www.ithome.com.tw/news/165950"><strong style="font-size: 22px;">Palo Alto Networks針對防火牆用戶提出警告，指出其管理介面存在漏洞</strong></a></p> <p>11月8日資安業者Palo Alto Networks發布公告，指出他們得知有人聲稱能觸發一項遠端程式碼執行（RCE）漏洞，此弱點出現在防火牆作業系統PAN-OS的管理介面。不過，該公司並未交代這項漏洞的詳細資訊，僅表明正在積極監控可能遭到利用的情況。</p> <p>有別於多數資安漏洞公告內容，Palo Alto Networks僅呼籲IT人員遵循他們的最佳實務指引，正確配置管理介面的存取管道，僅開放從受信任的內部IP位址存取防火牆管理介面，過往資安廠商很少出現這樣的狀況。</p> <p>針對產品漏洞的資訊，資安廠商的慣例是列出漏洞成因與受影響的產品，但該公司目前只提到Prisma Access、雲端版次世代防火牆（NGFW）不受影響，並強調目前尚未察覺疑似漏洞利用活動的跡象。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165932"><strong>【11月8日】德國提出刑法修正草案，確立資安漏洞研究的合法地位</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165902"><strong>【11月7日】惡意程式框架Winos 4.0鎖定中國遊戲玩家而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165889"><strong>【11月6日】國際警方破獲2.2萬個用於網釣及勒索軟體攻擊的惡意IP位址</strong></a></p> </div></div></div>
2024/11/11 17:57作者周峻佑https://www.ithome.com.tw/news/165955
Palo Alto Networks針對防火牆用戶提出警告，指出其管理介面存在漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月8日資安業者Palo Alto Networks發布公告，指出<a href="https://security.paloaltonetworks.com/PAN-SA-2024-0015">他們得知有人聲稱能觸發一項遠端程式碼執行（RCE）漏洞</a>，此弱點出現在防火牆作業系統PAN-OS的管理介面。不過，該公司並未交代這項漏洞的詳細資訊，僅表明正在積極監控可能遭到利用的情況。</p> <p>有別於多數資安漏洞公告內容，Palo Alto Networks僅呼籲IT人員遵循他們的最佳實務指引，正確配置管理介面的存取管道，僅開放從受信任的內部IP位址存取防火牆管理介面，過往資安廠商很少出現這樣的狀況。</p> <p>針對產品漏洞的資訊，資安廠商的慣例是列出漏洞成因與受影響的產品，但該公司目前只提到Prisma Access、雲端版次世代防火牆（NGFW）不受影響，並強調目前尚未察覺疑似漏洞利用活動的跡象。</p> <p>值得留意的是，這份令人摸不著頭緒的公告發布前一天（11月7日）美國網路安全暨基礎設施安全局（CISA）才提出警告，<a href="https://www.ithome.com.tw/news/163919">7月Palo Alto修補</a>的防火牆組態移轉工具Expedition重大漏洞CVE-2024-5910，<a href="https://www.cisa.gov/news-events/alerts/2024/11/07/cisa-adds-four-known-exploited-vulnerabilities-catalog">已被用於實際攻擊行動</a>，要求聯邦機構必須在11月28日前採取行動。</p> <p>由於CVE-2024-5910漏洞的CVSS風險評分達到9.3相當危險，再加上攻擊者還能與其他漏洞串連利用，從而挾持管理員帳號並接管防火牆。或許8日警示的PAN-OS管理介面RCE漏洞，可能與此有關。</p> </div></div></div>
2024/11/11 16:33作者周峻佑https://www.ithome.com.tw/news/165950
D-Link停止支援的老舊NAS設備存在重大漏洞，至少有6.1萬臺曝露在網際網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員Netsecfish於D-Link旗下部分型號的網路儲存設備（NAS）<a href="https://netsecfish.notion.site/Command-Injection-Vulnerability-in-name-parameter-for-D-Link-NAS-12d6b683e67c80c49ffcc9214c239a07">發現重大層級的CVE-2024-10914</a>，此為命令注入漏洞，存在於NAS設備名為account_mgr.cgi的URI，發生在CGI指令碼cgi_user_add處理name參數的過程，未經身分驗證的攻擊者有機會利用偽造的HTTP GET請求，藉由漏洞注入任意的Shell命令，估計全球約有6.1萬臺設備曝險。</p> <p>這項漏洞影響DNS-320、DNS-320LW、DNS-325，以及DNS-340L等4款機種，根據漏洞資料庫VulDB的評估，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-10914">此漏洞的4.0版CVSS風險評分為9.2</a>（滿分10分）。</p> <p>研究人員也進一步說明攻擊者如何利用這個漏洞，他們可對NAS發送特製的HTTP GET請求，並將惡意輸入的內容挾帶於name參數當中，這麼一來，就會觸發帶有name參數的cgi_user_add命令，並在設備注入Shell命令。</p> <p>針對該漏洞曝險的情況，Netsecfish透過物聯網搜尋引擎FOFA進行調查，結果從41,097個IP位址當中，找到61,147臺設備，其中英國有10,381臺最多，義大利、德國、俄羅斯居次，分別有5,835臺、4,877臺、3,936臺。</p> <p>對此，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10413">11月8日D-Link發布資安公告證實上述漏洞</a>，但也表明這些設備的產品支援狀態皆為生命週期結束（EOL）或是服務週期終止（EOS），該公司將不予處理，呼籲用戶儘速汰換設備。</p> <p>值得留意的是，近期產品週期結束但被揭露有資安漏洞的D-Link設備，並非首例，今年4月，<a href="https://www.ithome.com.tw/news/162189">Netsecfish揭露高風險漏洞CVE-2024-3273</a>，估計全球超過9萬臺D-Link設備曝險，事隔不到一週威脅情報業者GreyNoise、Shadowserver基金會證實，<a href="https://www.ithome.com.tw/news/162302">已有漏洞嘗試利用攻擊的跡象</a>。</p> </div></div></div>
2024/11/11 15:48作者周峻佑https://www.ithome.com.tw/news/165945
網攻進入鐘點戰時代，Palo Alto Networks預估2026年3大威脅1小時發動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周星馳電影《功夫》有句經典臺詞：「天下武功無堅不破，唯快不破」，提醒大家動作要比競爭對手快，而在資安領域，隨著各種IT科技的快速進步，網路犯罪分子的攻擊速度也正在不斷提升，但到底有多快？有資安廠商綜合本身的觀察與其他資安公司的研究報告，預估在1年多後，主要的網路威脅活動能夠在60分鐘內發動，情況越來越嚴峻，大大考驗企業與組織應變能力與速度。</p> <p>事實上，這兩年以來，網路攻擊者出手速度已經相當快，在Palo Alto Networks這幾天舉行的臺灣年度用戶大會，該公司日本與亞太區策略及網路安全顧問Vishal Lanjekar也提醒大家這個趨勢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Vishal%20Lanjekar-2024-Ignite-TW-Palo%20Alto%20Netowrks-web.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>滲透與外洩資料間隔越來越短，大幅壓縮防守方調查應變時間</strong></span></h3> <p>根據他們的調查，攻擊者一旦滲透至受害者的網路環境，平均9天之後會將資料取出（外洩），隨著AI和其他技術的不斷興起，到了2023年，這段期間已縮短至兩天，<a href="https://www.paloaltonetworks.com/resources/research/unit-42-incident-response-report#Speed">預估今年將有45％的事故會在1天之內被拿走資料，</a>而在更近期的調查當中，他們發現攻擊者侵入受害者網路環境後的4小時內，就能運出好幾TB的資料。</p> <p>如果資料在幾個小時內就會遭到外洩，Vishal Lanjekar也質疑是否仍要沿用傳統方法，看待這些狀態、繼續執行基本工作，「我們真的在處理問題嗎？這些狀況並不只是可能發生！（而是實際存在）」，除此之外，當攻擊者侵入之後到外洩資料的間隔縮短至幾個小時，是否還有足夠時間完成整個搜尋惡意活動的過程？</p> <p>為何網路犯罪份子的攻擊速度越來越快？其中一個原因在於，歹徒正在運用AI技術提升他們發展的各種資安威脅能力，並且鎖定攻擊企業與組織。</p> <p><a href="https://s4.itho.me/sites/default/files/images/exfiltrate data-PAN-2024-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/exfiltrate%20data-PAN-2024-02.jpg" style="width: 600px;" /></a></p> <p>針對這樣的現象，Vishal Lanjekar彙整多方資訊，呈現AI加速三大資安威脅的回顧與預測，消息來源涵蓋雲端服務業者Google Cloud、資訊安全教育訓練組織SANS的部落格文章，華爾街日報的新聞報導，以及Palo Alto Networks的XSIAM用戶訪談與遙測資料。</p> <p>首先是眾人聞之色變的勒索軟體，在兩三年前（2021至2022年），組建這類資安威脅大約需要12小時，現在縮短至3小時，2026年以後，預估15分鐘就能完成。</p> <p>第二是滲透與資料外洩的間隔時間（The time between initial compromise and data exfiltration），如前面所提到的，兩三年前的平均時間是9天，現在帶走資料的時間縮短至1天以內，到了2026年以後，只需要20分鐘。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Speed of cyberattacks-2024-11-07-ransomware-DL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Speed%20of%20cyberattacks-2024-11-07-ransomware-DL.jpg" style="width: 600px;" /></a></p> <p>從發起行動、竊取資料，到完成部署，攻擊者需要多少時間？</p> <p>Palo Alto Networks的威脅情報與資安顧問團隊Unit 42以勒索軟體Black Basta的某次攻擊為例說明，就整個過程而言，對方總共花了將近14小時，在最初1.5小時之內，陸續進行散播網路釣魚信、勘察、權限提升與啟動命令與控制伺服器（C2），接著的6.5小時開始搬運資料，之後花了80分鐘修改帳號、130分鐘啟動勒索軟體的準備工作，125分鐘開始部署勒索軟體，建立將近1萬臺節點。</p> <p>面對這樣快速的行動，Unit 42根據本身的事故調查資料指出，防守方目前無法趕上攻擊方的速度。</p> <p>攻擊者外洩資料的動機有很多種，為了勒索而發起的活動並非速度最快的資料外洩事故類型，Unit42發現在一些不涉及勒索的資料外洩事故當中，攻擊者能在幾個小時完成這些工作。為何會如此？不可諱言，有些案例的攻擊者主要目的就是資料外洩，因為越快完成任務，就能越快賺到更多錢，相對地，防守方能夠阻擋攻勢的時間也越來越少，處於這樣日益嚴峻的態勢之下，當許多企業與組織察覺遭到滲透、開始應變，以及法務部門組成應變團隊之前，資料外洩活動可能正在進行、甚至已經完成。</p> <p>資料外洩動作加快是否還有其他原因？Palo Alto Networks<a href="https://www.paloaltonetworks.ca/resources/research/unit-42-incident-response-report">今年2月發布的2024 Unit 42 Incident Response Report</a>指出，過去幾年的資料外洩事故有個明顯特色，那就是攻擊者採取「拿了就走（grab-and-go）」的策略，牽涉資安威脅外洩資料的事故，大部分都是「能找到多少就帶走多少」，而非「仔細尋找特定資訊，再帶走這些資訊」，隨著這類行動的增加與趨勢的持續，也印證取走資料的速度與規模，比起鎖定目標的資料竊取更重要，攻擊者會盡快搜刮、搬運所有能到手的資料，後續再分類，在某些事故當中，資料竊取會在濫用漏洞時，同步自動進行，此舉並不新奇、也符合以往作法，因為在更先前的網路攻擊流程中，同樣傾向在早期階段外洩資料。</p> <h3><span style="color:#0000FF;"><strong>軟體漏洞2023年躍升為頭號初期入侵管道</strong></span></h3> <p>第三是濫用資安漏洞，當安全性漏洞被發現與公開揭露之後，無論是攻擊方或防守方，都需要一些時間建立對應的發動與處理程序，然後在企業與組織的基礎設施或系統使用。</p> <p>對於網路犯罪份子而言，兩三年前這類活動的進行需要耗費9個星期，現在1個星期就能辦到，2026年以後，有了AI的幫忙，在漏洞發布後的1個小時內，就能夠爆發這樣的攻擊行動。這也意味著，單一漏洞發布與鎖定目標濫用漏洞的時間差，將會因此大幅縮短。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Speed%20of%20cyberattacks-2024-11-07-VE.jpg" style="width: 280px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/IAV-2024-02-word-image-847955-132556-H.jpg" style="width: 290px;" /></p> <p>值得注意的是，單就初期入侵管道（Initial Access Vectors）類型而言，暴露在網際網路環境的軟體系統漏洞（internet-facing vulnerabilities）在2023年升格至第一名，<a href="https://www.paloaltonetworks.com/blog/2024/09/unit-42-incident-response-retainers-enhance-organizational-resilience/">根據Unit 42的資安事故應變案件統計，這一年的軟體或API漏洞占比高達39％</a>，一舉超越社交工程（網路釣魚）——在2021、2022年均為33％，名列第二，2023年減至17％。至於外洩的帳號密碼，在初期入侵管道的運用比例節節高升，從4.1％、12.9％，2023年增長至5倍（20.5％），僅次於軟體或API漏洞。</p> <p>2023年軟體漏洞濫用之所以大幅增加，Palo Alto Networks今年2月發布的2024 Unit 42 Incident Response Report指出，可能與多起橫掃網際網路的大型自動化攻擊行動有關，網站應用程式與暴露在網際網路的軟體系統的漏洞濫用，正是這些惡意威脅的最大動能，Unit 42根據本身收集的2023年份資料集，整理出5個最常遭到濫用的漏洞，依序為：Citrix NetScaler ADC/Gateway的CVE-2023-3519、SugarCRM的CVE-2023-22952、Apache Log4j的CVE-2021-44228、MOVEit的CVE-2023-34362、Oracle WebLogic的CVE-2020-14882。</p> <p>而在<a href="https://unit42.paloaltonetworks.com/unit-42-ransomware-leak-site-data-analysis/">今年8月發布的勒索軟體2024年上半回顧報告</a>，Unit 42列出攻擊者認為最有利可圖的7個已知漏洞，分別是：Fortinet SSL VPN的CVE-2018-13379，ConnectWise ScreenConnect的CVE-2024-1709、CVE-2024-1708，TeamCity的CVE-2024-27198，PHP-CGI指令碼引擎的CVE-2024-4577，Netlogon Remote Protocol的CVE-2020-1472，Microsoft Windows Error Reporting Service的CVE-2024-26169。</p> <p>該如何緩解這樣的威脅？Unit 42建議，透過漏洞修補提高網路衛生、縮減暴露在外的攻擊面，這些工作的持續推動與落實仍然很重要，但對於大型企業與組織而言，也還是難題，而且，處理動作要快！</p> <h3><strong><span style="color:#0000FF;">AI可加快攻擊速度、建立攻擊管道，以及擴充攻擊規模</span></strong></h3> <p>關於網路犯罪分子運用AI加速攻擊的方式，Vishal Lanjekar表示，攻擊者也在AI領域不斷演進，組建他們專屬的AI模型與AI工具，簡介與展示暗網可買到的<a href="https://www.ithome.com.tw/news/157972">FraudGPT</a>、<a href="https://www.ithome.com.tw/news/157828">WormGPT</a>。</p> <p>以FraudGPT為例，提供服務訂閱計畫的選擇，費用最低89.99歐元起算，最高為2,000歐元。買家可用AI工具鎖定特定漏洞與目標、撰寫惡意程式碼、建立網路釣魚頁面、橫跨大型CVE弱點資料持續在網路掃描100天，甚至基於詐騙角度而來的各種技術，換言之，任何人都能藉此建立難以被偵測的惡意軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FraudGPT1.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/FraudGPT3.jpg" style="width: 298px;" /></p> <p>至於另一個WormGPT，號稱能幫忙濫用目標環境的漏洞，或滲透至社交網站的帳號，也能提供濫用物聯網設備漏洞、攻入物聯網設備的方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WormGPT.jpg" style="width: 600px;" /></p> <p><a href="https://live.paloaltonetworks.com/t5/community-blogs/genai-security-technical-blog-series-6-6-secure-ai-by-design-a/ba-p/595805">在此同時，還有其他可輔助發動攻擊的AI平臺</a>，這些都因為能提供AI助手而成，而且還在持續發展，操作介面也和其他生成式AI非常相似，用戶要做的就是提問，之後會得到很詳細的資訊。Vishal Lanjekar預期此類AI成長速度是非常快的，未來攻擊時間可能會縮短到幾分鐘。</p> <p>而在<a href="https://unit42.paloaltonetworks.com/dynamics-of-deepfake-scams/">深偽（Deepfake）詐騙活動</a>的部份，Vishal Lanjekar提到這種AI影像與聲音變造伎倆，可被用於建立銀行詐騙帳號、繞過金融機構實施的KYC（Know Your Customer）客戶身分認證程序，並在介紹形成訂閱服務型態的AI資安威脅Deepfake as Service，談到熱門的AI變臉工具Swapface遭到濫用。他也以駭客組織Muddled Libra為例，說明攻擊者利用社交媒體的影片訓練AI模型，而在調查該組織活動的過程中，他們發現裡面也運用AI學習受害者的聲音，以此欺騙其他人。</p> <p>根據Incident Response Report 2024報告所言，Unit42認為現階段對於攻擊者而言，用於製作惡意軟體時，與AI合作的實用性遠高於單靠AI生成，攻擊者可能用AI幫忙開發惡意軟體的特定功能，透過具有相關知識與經驗的人員操作，能以更快速度、更低成本的方式開發惡意軟體的各種變形。</p> <p>例如，透過AI對話機器人的幫忙，攻擊者可以編出更逼真的假履歷，以及錯字、溝通破綻更不明顯的工作電子郵件；透過AI生成的深偽圖片、影片、聲音，能用於製作假訊息或宣傳活動。</p> <p>此外，攻擊者可運用AI快速循環使用多種攻擊管道，以找出更有效益的侵入方法（更快、更便宜），而能同時發動鎖定多個弱點進行濫用的大量攻擊；到了漏洞濫用行動後期（post-exploitation activities），AI也能幫忙加速內部環境的橫向移動與勘察。</p> </div></div></div>
2024/11/11 16:40作者李宗翰https://www.ithome.com.tw/news/165944
【資安週報】1104~1008，用戶身分安全受矚目，焦點涵蓋Passkey無密碼登入、金融Fast-ID、強制啟用MFA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月第一週的資安消息中，在防護動向上，以身分安全為主要焦點，有3起消息都與此有關，其焦點涵蓋Passkey無密碼登入、金融Fast-ID，以及強制啟用MFA。</p> <p>例如：我們最近發布的封面故事，就是關於臺灣網路服務業者至少已有3家業者，包括：露天市集、可樂旅遊、智冠科技，均在大力宣傳「Passkey無密碼登入」，或是「FIDO生物識別登入」，這不僅代表開始跟上國際業者腳步，也讓用戶能有更安全簡便的登入方式；關於金融Fast-ID驗證轉接中心的進度，先前金管會已透露將於明年6月上線，11月初台北金融科技展上更是公布先導機構預計達20家，不只銀行、保險、證券期貨，也擴及投信投顧與政府機構；Google Cloud宣布明年強制啟用MFA的消息中，提到目前仍有3成帳號未啟用MFA，打破眾人對IT人員早就啟用MFA、重視帳號安全的想像，因此引發外界關注。</p> <p>還有兩則新聞突顯資安防護上的新技術焦點，我們認為同樣值得關注，一是聯合學習，一是AI抓漏。前者是在科技防詐的發展中，臺灣金融業正聚焦聯合學習技術的應用，目前已有3項實證計畫都在檢驗其有效性，並要促進應用落地；後者是涉及LLM模仿人類安全專家找出漏洞的發展，Google的Project Zero團隊與DeepMind共同研發的AI抓漏專案Big Sleep，已有首個公開實例出現。</p> <p>另外值得一提的是，臺灣駭客年會企業場在11月登場，副總統蕭美琴也到場支持並給予鼓勵，不只推動產官學研與社群力量的持續合作，更強調確保供應鏈的穩定，將能增強外商對臺灣的信心。</p> <p>在威脅態勢方面，有一起針對臺灣的攻擊最值得留意，思科Talos指出今年7月出現針對臺灣的臉書企業用戶及廣告帳號的攻擊，其手法是以侵犯版權為由，或假冒企業的法律部門，企圖散布竊資軟體LummaC2、Rhadamanthys。還有兩則駭客攻擊活動揭露，都與資安產品被鎖定有關。</p> <p>●臺灣企業臉書粉專管理員遭鎖定，駭客聲稱收信人的公司盜用他們的圖片及影片，揚言採法律行動，誘騙收信人開啟偽冒為PDF的可執行檔，以植入竊資軟體。<br /> ●英國國家網路安全中心（NCSC）揭露有攻擊者鎖定Sophos XG防火牆設備植入Pygmy Goat的後門程式，資安業者Mandiant分析攻擊者與與中國駭客有關。<br /> ●有攻擊者將舊版的Cortex XDR代理程式部署到企業，資安業者Palo Alto Networks指出這是藉由自帶驅動程式（BYOVD）手法。<br /> ●繼上月美國多家電信業者電信業者傳出遭中國駭客Salt Typhoon入侵，2家新加坡電信也傳出受駭，並且疑為同一駭客所為。</p> <p>至於資安事件方面，在國內，以生產汽機車聞名的上市公司三陽工業，發布資安重訊說明部份資訊系統遭受駭客網路攻擊；國際間，則有2起消息受關注，包括：施耐德電機傳出Jira伺服器資料外洩、駭客聲稱從Nokia合作廠商竊得原始碼。</p> <p>在漏洞消息方面，這一星期有4大漏洞利用狀況，其中CyberPanel伺服器管理平臺的漏洞最受關注，因為在研究人員揭露相關漏洞資訊後出現攻擊行動，這可能突顯安全研究人員與供應商之間溝通不良，造成用戶需要為此買單的狀況。</p> <p>●CyberPanel上月修補經研究人員通報的安全漏洞，後續發現攻擊者鎖定並布署勒索軟體Psaux，美國CISA將CVE-2024-51567列入已知漏洞利用清單。<br /> ●11月Android例行安全更新中，修補已遭利用的安卓框架元件零時差漏洞CVE-2024-43093，以及高通上月修補的零時差漏洞CVE-2024-43047。<br /> ●Palo Alto Networks在7月修補Expedition轉移工具的漏洞CVE-2024-5910，11月8日該業者接獲CISA通知，已有證據顯示該漏洞正被積極利用。<br /> ●開源Web伺服器Nostromo nhttpd在2019年修補的老舊漏洞CVE-2019-16278，如今仍有攻擊者鎖定未修補用戶發動攻擊。</p> <p>至於其他漏洞修補動向，還可以留意的包括：HPE Aruba Networking的Wi-Fi基地臺系統軟體、思科的工控無線URWB路由器、以及ABB的智慧建築能源管理系統的漏洞修補。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165840"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月4日】安卓語音網釣惡意軟體FakeCall出現新手法</span></strong></a></h3> <p>使用語音網釣（vishing）的攻擊手法，最近2年陸續有惡意軟體出現，但大多是針對視窗作業系統的用戶而來，假借提供遊戲、應用程式、破解軟體等名義散布，但如今，也有專門針對行動裝置的攻擊事故。</p> <p>近期資安業者Zimperium揭露的安卓惡意軟體FakeCall攻擊，就是典型的例子，不過值得留意的是，攻擊者整合了手機的電話功能，而能在使用者授權的情況下，挾持電話內容，以便騙取相關金融資料。</p> <h3><a href="https://www.ithome.com.tw/news/165859"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月5日】臉書粉專管理員、廣告管理員請提高警覺！竊資軟體鎖定臺灣用戶攻擊</span></strong></a></h3> <p>駭客針對臉書企業帳號的管理員，以及管理廣告的用戶而來的情況，每隔一兩個月就出現相關攻擊行動，但最近出現專門鎖定臺灣用戶而來的攻擊。</p> <p>究竟攻擊者身分為何？目前仍不得而知，但從駭客使用了中國用語的情況，容易讓人聯想是來自中國或是華人。</p> <p><a href="https://www.ithome.com.tw/news/165889"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月6日】國際警方破獲2.2萬個用於網釣及勒索軟體攻擊的惡意IP位址</span></strong></a></p> <p>各國執法機關共同合作，破壞特定的勒索軟體、竊資軟體運作，近期有所斬獲，繼上個月荷蘭國家警察在跨國執法行動Operation Magnus當中，<a href="https://www.ithome.com.tw/news/165776">成功破獲竊資軟體RedLine及Meta的網路基礎設施</a>，本週國際刑警組織（Interpol）宣布，他們與全球95個國家執法單位聯手，經過5個月的時間，總共查獲約3萬個疑似用於網路犯罪的IP位址，並成功封鎖超過2.2萬個。</p> <p>特別的是，他們提及香港、蒙古、澳門的執法單位參與這次行動的情況，並公布成果。</p> <h3><a href="https://www.ithome.com.tw/news/165902"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月7日】惡意程式框架Winos 4.0鎖定中國遊戲玩家而來</span></strong></a></h3> <p>惡意程式朝向模組化設計的現象，可說是越來越普遍，因為攻擊者藉此能夠彈性搭配不同的外掛模組，從事各式活動，本週資安業者Fortinet揭露的Winos 4.0，就是典型的例子。</p> <p>研究人員特別提到，Winos 4.0已從一般的後門程式發展成惡意程式框架，功能與滲透測試工具Cobalt Strike、Silver相當，攻擊者能藉此控制受害電腦並執行多種惡意行為。</p> <h3><a href="https://www.ithome.com.tw/news/165932"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月8日】德國提出刑法修正草案，確立資安漏洞研究的合法地位</span></strong></a></h3> <p>研究人員在調查資安漏洞的過程，很有可能面臨系統維護業者、軟體開發業者的關切，認為研究人員在從事駭客行為而採取法律行動，對此，近期有國家特別針對研究人員調整相關法律，而引起注目。</p> <p>德國聯邦司法部本週提出新的刑法修正草案，就是針對此事而來，而透過修法保護資安研究人員的做法已有先例，2022年，美國修訂《電腦詐欺及濫用法案（CFAA）》，豁免研究人員遭到起訴的風險。</p> <p> </p> </div></div></div>
2024/11/11 08:00作者羅正漢https://www.ithome.com.tw/news/165936
新AI聊天機器人Nous Chat問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才於美國成立的AI新創Nous Research，上周釋出了全新的AI聊天機器人<a href="https://hermes.nousresearch.com/" target="_blank">Nous Chat</a>，所使用的底層模型是利用Meta Llama 3.1微調而成的Hermes 3-70B。</p> <p>崇尚開源的Nous Research鎖定開發以人為本的語言模型及模擬器，聚焦在模型架構、資料合成、微調與推論，以讓AI系統能夠與現實世界的使用者保持一致。</p> <p>迄今Nous Research已推出基於Llama模型的Hermes模型，具備長脈絡、多輪對話、複雜角色扮演與內部獨白等功能；還有基於Mixtral 8x7B專家混合模型的Nous-Hermes-2-Mixtral-8x7B-DPO，輔以由GPT-4生成的大量資料及其它開源資料集進行訓練；以及同樣基於Mistral架構的Nous-Capybara-7B V1.9，再加上以2萬則對話進行訓練，可提供更自然及連貫的對話體驗。</p> <p>Nous Research<a href="https://x.com/NousResearch/status/1854577666403512736" target="_blank">表示</a>，自從去年發表Hermes模型以來，不少人都希望有一個地方能夠體驗它，Nous Chat即是一個可以用來體驗Hermes 3 70B及更高版本的新使用者介面，也已規畫未來將強化推論、提供更新的模型，以及推出各種實驗性功能。</p> <p>Nous Chat的介面類似ChatGPT與Claude，也支援英文、中文、日文、西班牙文、德文、法文、義大利文與韓文等多種語言。不過，Hermes 3 70B模型的知識截止日期為2023年4月，無法取得較新的資訊，也缺乏撰寫程式等高階功能，尚未能比美主流AI聊天機器人。</p> </div></div></div>
2024/11/11 10:38作者陳曉莉https://www.ithome.com.tw/news/165941
只差正版一個字，惡意Python套件fabrice專門竊取AWS金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">資安業者Socket<a href="https://socket.dev/blog/malicious-python-package-typosquats-fabric-ssh-library" target="_blank">上周警告</a>，有一個惡意的Python套件fabrice企圖偽裝成正版的SSH自動化函式庫fabric，它們有同樣的功能描述，只不過，盜版的名字多了一個字母，而且它會竊取用戶的AWS金鑰。</p> <p dir="ltr">fabric是由Jeff Forcier（bitprophet）負責開發及維護，問世十多年來已有超過2億次的下載。至於fabrice則是在2021年現身，下載次數亦已超過3.7萬，且同時支援Linux及Windows作業系統。</p> <p dir="ltr">Socket指出，駭客相中開發人員對fabric的信任，於fabrice中存放了可以用來竊取憑證，建立後門，以及執行特定平臺腳本程式的攻擊指令。</p> <p dir="ltr">研究顯示，駭客的最終目的是竊取憑證，特別是AWS憑證，fabrice利用boto3函式庫來存取開發人員的AWS存取金鑰與秘密金鑰，再將相關資訊傳送到一個位於巴黎的VPN伺服器。開發人員的憑證一旦遭竊，駭客即可取得受害者的雲端資源。</p> <p dir="ltr">Socket已通知Python官方套件管理平臺Python Package Index（PyPI），fabrice亦已被下架。</p> </div></div></div>
2024/11/10 22:17作者陳曉莉https://www.ithome.com.tw/news/165937
Windows免費的Mail、Calendar將在12月31日終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">微軟<a href="https://support.microsoft.com/en-us/office/outlook-for-windows-the-future-of-mail-calendar-and-people-on-windows-11-715fc27c-e0f4-4652-9174-47faa751b199" target="_blank">宣布</a>Windows原生應用程式郵件（Mail）、行事曆（Calendar）與聯絡人（People），將在今年12月31日終止支援，呼籲用戶改用要花錢的Outlook。</p> <p dir="ltr">Mail、Calendar和People都是Windows內建應用程式，僅具基本功能，像Mail只提供收、發信及草稿、匯整多個帳號。這些原生程式介面簡單、適用一般用戶，最大好處是免費。Outlook for Windows功能強大，可篩選、設定規則、自動回覆、加簽名、共享日曆、會議邀請等功能，缺點是Outlook包含在Office或Microsoft 365中，必須付費購買，但功能太多導致介面雜亂且效能低落，也令許多人反感。</p> <p dir="ltr">儘管眾多用戶要求，但微軟還是決定要賜死這些歷史悠久的免費程式。三項應用程式的支援將在2024年12月31日終止，微軟已著手推動現有用戶向Outlook for Windows轉移。今年12月31日之後，Windows Mail都無法再收發電子郵件。</p> <p dir="ltr">微軟鼓勵用戶從Mail和Calendar或舊版Outlook for Windows App右上角的「試用新Outlook」滑鈕，試用新Outlook for Windows預覽版App。除了整合行事曆、協同及設定功能外，新Outlook最大特色是加入AI功能，可協助草擬或撰寫郵件、拼字或文法檢查，還提供釣魚信、詐騙信件安全防護。</p> <p dir="ltr"><a href="https://support.microsoft.com/en-us/office/export-emails-and-contacts-from-windows-mail-or-people-and-import-to-new-outlook-7ced6135-3d1d-409b-b2da-4282a69c151b" target="_blank">微軟網頁</a>提供把儲存在這些應用程式的本機郵件、行事曆事件和聯絡人資料匯入Outlook的說明。微軟說，移轉後，用戶仍然可從Outlook App中的「設定」>「一般」>「關於Outlook」恢復到免費程式。</p> <p dir="ltr">不過一旦開始使用Outlook for Windows，用戶得擔心產品漲價問題。微軟日前才<a href="https://www.ithome.com.tw/news/165911" target="_blank">宣布</a>，包含臺灣等6個國家的Microsoft 365，因為加入Copilot及Designer，即日起已經調漲價格。</p> </div></div></div>
2024/11/10 22:55作者林妍溱https://www.ithome.com.tw/news/165938
馬自達車上娛樂系統軟體漏洞可允許駭客執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">趨勢科技ZDI部門研究人員<a href="https://www.zerodayinitiative.com/blog/2024/11/7/multiple-vulnerabilities-in-the-mazda-in-vehicle-infotainment-ivi-system" target="_blank">發現</a>，日本車廠馬自達（Mazda）有多項漏洞，可讓駭客執行程式碼，最嚴重者可影響車輛安全，受影響車款包括最受歡迎的Mazda 3。</p> <p dir="ltr">出問題的Mazda車上娛樂系統（Connect Connectivity Master Unit，CMU）系統用於馬自達多款車子，包括2014到2021年的Mazda 3。研究人員發現到的6項漏洞，多半源自處理輸入指令時「消毒」（sanitization）不足，讓接近裝置的攻擊者可以連上USB裝置，像是iPod或外接硬碟到CMU上展開攻擊。成功濫用這些漏洞可讓攻擊者以根權限執行任意程式，包括執行阻斷服務攻擊、勒索軟體、讓系統無法作用，甚至影響行車安全。</p> <p dir="ltr">值得注意的是，ZDI指出，這些漏洞都尚未修補。依據安全業界的慣例，資安業者應該都已通報汽車或軟、硬體業者。ZDI並未說明業者的態度或回應。</p> <p dir="ltr">這款CMU是由美國汽車零組件製造商偉世通（Visteon）生產，內部軟體原始開發商則是江森自控（Johnson Controls Inc, JCI）。漏洞出現在74.00.324A，但往前推到70.x版都可能受影響。 </p> <p dir="ltr">第一項漏洞為CVE-2024-8355，在裝置管理員（DeviceManager）軟體的iAP序列號SQL指令注入漏洞。當攻擊者插入蘋果裝置到CMU的SQL資料庫時，後者從裝置取出特定值，未經消毒就當成SQL聲明使用，並以root權限執行。這可導致資料庫被修改、洩露資訊，新增或執行任意檔。</p> <p dir="ltr">CVE-2024-8359、CVE-2024-8360和CVE-2024-8358，則是出現在軟體更新套件中的遠端程式碼執行（RCE）漏洞，允許攻擊者注入任意OS指令，而由裝置OS Shell執行而駭入系統。</p> <p dir="ltr">車載主機分成二個獨立系統，一是執行Linux的應用SoC，另一個是執行特定OS的VIP MCU。CVE-2024-8357出於執行Linux的SoC開機未對啟動程式碼（bootstrap code）執行驗證，且其後的OS開機也都沒任何驗證，導致可在Linux系統執行程式的攻擊者，還能修改根檔案系統、變更配置檔、修改啟動程式碼，結果包括建立長期滲透後門程式、安裝任意SSH金鑰，或是執行任意程式碼。</p> <p dir="ltr">CVE-2024-8356則是出在另一獨立部分：VIP MCU。執行某種OS的MCU有多種功能，包括連結車機和車輛其他部份的網路功能CAN/LIN（controller area network/local interconnected network）。這部份也是車子的安全邊界，使對應用SoC的攻擊不會擴及車子其他部份。CVE-2024-8356漏洞允許攻擊者修改字串，使得更新過程允許，即修改過的惡意映像檔（image）也能寫入到VIP MCU記憶體中。連帶也能讓攻擊者安裝惡意版韌體，從應用SoC得以擴及VIP MCU，進而直接存取車子的內部網路。</p> <p dir="ltr">研究人員指出，濫用這些指令注入漏洞很簡單。攻擊者只需在FAT32格式的USB大容量硬碟建立檔案，該檔案命名必須以.up結尾，之後就會被CMU軟體更新程式碼接受，並濫用3個指令漏洞。研究人員推測，若從映像檔安裝惡意VIP微控制器（microcontroller）軟體，即可存取車內網路，直接影響車子運作和行車安全。</p> </div></div></div>
2024/11/10 21:57作者林妍溱https://www.ithome.com.tw/news/165935
Mistral推出內容審核API，雙端點設計支援不同應用情境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mistral AI推出一款全新的<a href="https://mistral.ai/news/mistral-moderation/">內容審核API</a>，該工具能夠協助開發者自動檢測並分類不良文字內容。該API針對性、暴力、仇恨言論和自我傷害等9大類別進行分類，並可被用於多種語言情境中，像是即時通訊和對話系統。官方強調，內容審核API在提升內容安全性的同時，也能夠高度自定義，以應對不同應用的需求。</p> <p>內容審核API之所以日益重要，主要是因為大型語言模型正迅速普及，確保生成和傳輸內容符合安全標準成為重要課題。隨著社交媒體、聊天機器人和客服平臺等人工智慧應用不斷擴展，內容審核工具有助於確保法令遵循和用戶安全。</p> <p>新推出的Mistral內容審核API，其模型已經在Mistral聊天應用Le Chat服務中運作，並通過內部測試，在精確度和穩定性上表現良好。Mistral內容審核API特別之處在於根據不同應用情境，提供兩個端點，一個專門針對一般文字，另一個端點則是用於對話情境。</p> <p>針對對話的端點能夠考量對話的背景和上下文，並對最後一句話進行審核，由於部分話語可能會因上下文而變得更具攻擊性或是敏感性，因此這種設計讓Mistral內容審核API更適合用於多變化的對話場景，使結果能夠更符合實際應用情境的需求。</p> <p>Mistral內容審核API能夠自動分類輸入的文字，並且回傳每個類別的風險評分，供開發者快速做出回應。該API經過多語言訓練，能夠支援中文、英文、法文和德文等十多種語言。Mistral內容審核API經AUC PR（Area Under Precision-Recall Curve）指標評估，具高度準確性和穩定性。</p> <p>市面上有不少類似工具，包括OpenAI內容審核API也支援多語言並可針對不良類別分類，而Google Jigsaw的Perspective API也主要用於過濾有害或具攻擊性的言論，AWS的Amazon Comprehend服務也可標記出有害言論。</p> </div></div></div>
2024/11/10 10:26作者李建興https://www.ithome.com.tw/news/165933
德國打算修改刑法內容，針對發現資安弱點的研究人員提供司法保障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月4日德國聯邦司法部提出<a href="https://www.bmj.de/SharedDocs/Pressemitteilungen/DE/2024/1104_ComputerStrafR.html">新的刑法修正草案</a>，打算為願意協助供應商找到資安漏洞的研究人員提供法律層面的保障。聯邦司法部長Marco Buschmann表示，透過新的法律，消除資安研究人員承擔刑事責任的風險。</p> <p>新的草案主要是調整《刑法（StGB）》第202a條的內容，當資安研究人員、資安業者，或是白帽駭客在偵測及防堵漏洞的過程中，只要不被認定為「未經授權（unauthorized）」，就有機會免除法律責任。</p> <p>這些被視為資安研究的行為，必須滿足3項條件：</p> <p>1.執行的工作內容必須與識別IT系統的弱點，或是其他資安風險有關。<br /> 2.研究人員必須打算將找到的漏洞通報給能夠處理的單位，例如：系統營運業者、軟體製造商、德國聯邦資訊安全辦公室（BSI）。<br /> 3.存取相關系統的行為必須是為了識別漏洞所需。</p> <p>此外，相關的刑事法規調整，也排除刑法202b、303a條內容，即資料攔截與資料修改相關的犯罪，只要研究人員符合上述的資安研究行為，就不受這兩項條文的規範。</p> <p>附帶一提的是，他們也對於網路犯罪行為提出明確的刑責。針對嚴重的資料間諜及資料攔截行為，將會被處以3個月至5年的監禁。</p> <p>這項草案正尋求各州及相關機構的意見，並在12月13日前回覆，再由聯邦議會進行最終審議。</p> </div></div></div>
2024/11/8 18:11作者周峻佑https://www.ithome.com.tw/news/165931
【資安日報】11月8日，德國提出刑法修正草案，確立資安漏洞研究的合法地位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員在調查資安漏洞的過程，很有可能面臨系統維護業者、軟體開發業者的關切，認為研究人員在從事駭客行為而採取法律行動，對此，近期有國家特別針對研究人員調整相關法律，而引起注目。</p> <p>德國聯邦司法部本週提出新的刑法修正草案，就是針對此事而來，而透過修法保護資安研究人員的做法已有先例，2022年，美國修訂《電腦詐欺及濫用法案（CFAA）》，豁免研究人員遭到起訴的風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165905"><strong style="font-size: 22px;">區塊鏈技術進入軟體供應鏈攻擊，以太坊智慧合約成新媒介</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/jest-fet-mock-npm-packages.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/jest-fet-mock-npm-packages.png" style="width: 300px; float: right;" /></a></p> <p>軟體供應鏈攻擊已在近年成為不可忽視的威脅，Checkmarx資安研究團隊最近發現了一種新手法，過程中運用區塊鏈技術。該攻擊使用以太坊（Ethereum）區塊鏈智慧合約作為指揮與控制（C2）伺服器的中介，透過NPM套件傳播跨平臺惡意軟體。這種新手段，不僅提升了攻擊的隱蔽性，也使攻擊架構更難被阻斷，成為軟體供應鏈的新威脅。</p> <p>該攻擊行動透過NPM生態系中的仿冒套件jest-fet-mock啟動，該套件偽裝成為合法的JavaScript測試工具。攻擊者利用名稱誤植（Typosquatting）技術，在NPM中發布仿冒套件，而該套件在安裝過程會執行預安裝腳本以自動載入惡意程式碼，並進行下一步攻擊程序。</p> <p>值得留意的是，該攻擊不僅針對Windows平臺，同時也影響Linux與macOS開發環境。由於開發人員通常擁有更高的系統權限，開發套件也會整合至CI/CD工作管線，因此會對開發環境和建置系統帶來更高的安全性風險。</p> <p><a href="https://www.ithome.com.tw/news/165929"><strong style="font-size: 22px;">竊資軟體Strela Stealer鎖定歐洲而來，利用WebDAV隱匿行蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/strelastealer-23.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/strelastealer-23.png" style="width: 300px; float: right;" /></a>惡意軟體濫用WebDAV共用資料夾來隱匿行蹤的做法，今年已有數起，例如：4月出現的惡意軟體IcedID變種Latrodectus，攻擊者從網頁應用程式開發平臺Firebase下載JavaScript檔案，並於受害電腦執行，就會從WebDAV共享資料夾啟動MSI安裝檔，而能啟動該惡意軟體，如今類似的手法再度出現。</p> <p>資安業者Cyble發現最新一波竊資軟體Strela Stealer攻擊行動，駭客鎖定中歐及歐洲西南部地區，假借發票通知的名義寄送釣魚郵件。這些信件挾帶ZIP附件檔案，該壓縮檔內含經重度混淆處理的JavaScript檔案，駭客在其中埋藏了經Base64處理的PowerShell命令，一旦執行，就會從WebDAV伺服器啟動惡意酬載，從而竊取電子郵件配置的相關資訊，以及詳細的系統資訊，使得攻擊者能對受害電腦進行下個階段的惡意行為。</p> <p>為何攻擊者直接從WebDAV伺服器執行Strela Stealer？主要目的就是想避免在受害電腦留下惡意的DLL檔案，想要躲過資安系統的偵測。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/china-aligned-mirrorface-hackers-target.html">中國駭客MirrorFace以世界博覽會為誘餌，攻擊歐洲外交官</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-use-new-macos-malware-against-crypto-firms/">北韓駭客針對加密貨幣業者而來，散布macOS惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-critical-palo-alto-networks-bug-exploited-in-attacks/">Palo Alto Networks修補的遷移工具漏洞已出現攻擊行動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nokia-says-hackers-leaked-third-party-app-source-code/">Nokia坦承原始碼遭到外洩</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165916"><strong style="font-size: 22px;">HPE Aruba Networking修補Wi-Fi基地臺系統軟體漏洞，其中兩個嚴重程度達9分以上</strong></a></p> <p>11月5日HPE Aruba Networking發布資安公告，修補旗下無線基地臺一系列的漏洞，並指出其中的CVE-2024-42509、CVE-2024-47460為重大層級特別危險。</p> <p>這兩個漏洞皆涉及基地臺管理協定（PAPI）存取的命令列介面（CLI）服務，一旦成功利用，攻擊者可在未經身分驗證的情況下，發動命令注入攻擊，CVSS風險評為9.8、9.0，影響執行Instant AOS-8及AOS-10的無線基地臺，至於Mobility Conductor、Mobility Controllers、SD-WAN閘道設備則不受影響。</p> <p>從公告的內容來看，漏洞的發生原因、造成的影響，HPE都採用一模一樣的敘述，但兩者的評分卻有所落差。發生這種現象的原因，也許可以從漏洞的危險程度評估看出瑞倪，CVE-2024-42509遭濫用的複雜度較低（AC:L），導致此漏洞的風險評分高於CVE-2024-47460。</p> <p><a href="https://www.ithome.com.tw/news/165926"><strong style="font-size: 22px;">Windows版Veritas網路備份工具存在漏洞，攻擊者可用來提升權限</strong></a></p> <p>本週Veritas發布資安公告，指出Windows版網路備份系統NetBackup存在高風險權限提升漏洞（尚未取得CVE編號），影響用戶端、Primary Server、Media Server等元件，具有這個漏洞的產品版本涵蓋10.0至10.4.0.1版，該公司指出，不再受到支援的舊版也可能曝險。</p> <p>該公司指出，這項漏洞涉及不受控制的搜尋路徑元素，一旦攻擊者取得安裝NetBackup的磁碟根目錄寫入權限，就有機會藉由漏洞部署惡意DLL程式庫，一旦使用者執行NetBackup命令，就會載入此DLL，並執行攻擊者的程式碼，此漏洞的CVSS風險評為7.8分。至於如何在適當時機讓使用者執行NetBackup命令，以觸發攻擊？Veritas指出，可利用社交工程手法達到目的。</p> <p><a href="https://www.ithome.com.tw/news/165928"><strong style="font-size: 22px;">ABB智慧建築能源管理系統存在重大漏洞，恐讓攻擊者接管、遠端執行程式碼</strong></a></p> <p>10月底資安業者VulnCheck發布工控系統資安警告，主角是ABB智慧建築能源管理系統Cylon Aspect的漏洞CVE-2023-0636、CVE-2024-6209，根據他們的調查，全球有265套系統可透過網際網路存取，但有214個尚未修補，由於近期已有公開的概念性驗證程式碼（PoC），很有可能接下來就會有人將其用於實際攻擊。</p> <p>其中，命令注入漏洞CVE-2023-0636最令人擔心！攻擊者有機會在未經身分驗證的情況下，遠端利用漏洞執行程式碼，而且，ABB起初評為高風險層級，CVSS風險值為7.2，但後來美國國家漏洞資料庫（NVD）評為9.8分。為何前後評分出現如此懸殊的差距？原因在於當時ABB認為，攻擊者想要利用漏洞，前提是必須通過身分驗證，但相關研究後續指出並非如此，問題在於身分驗證流程並未完全強制執行，而讓攻擊者有機可乘。</p> <p>另一個漏洞CVE-2024-6209，問題也不小，因為這是未經授權的檔案洩露弱點，攻擊者能藉此取得使用者的明文帳密資料，並用於命令注入或是遠端執行程式碼，4.0版CVSS風險評為9.4。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165931"><strong style="font-size: 22px;">德國打算修改刑法內容，針對發現資安弱點的研究人員提供司法保障</strong></a></p> <p>11月4日德國聯邦司法部提出新的刑法修正草案，打算為願意協助供應商找到資安漏洞的研究人員提供法律層面的保障。聯邦司法部長Marco Buschmann表示，透過新的法律，消除資安研究人員承擔刑事責任的風險。</p> <p>新的草案主要是調整《刑法（StGB）》第202a條的內容，當資安研究人員、資安業者，或是白帽駭客在偵測及防堵漏洞的過程中，只要不被認定為「未經授權（unauthorized）」，就有機會免除法律責任。</p> <p>這項草案正尋求各州及相關機構的意見，並在12月13日前回覆，再由聯邦議會進行最終審議。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/11074/8304379">緯創小金雞全景軟體10月底由興櫃轉為上櫃</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165902"><strong>【11月7日】惡意程式框架Winos 4.0鎖定中國遊戲玩家而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165889"><strong>【11月6日】國際警方破獲2.2萬個用於網釣及勒索軟體攻擊的惡意IP位址</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165859"><strong>【11月5日】臉書粉專管理員、廣告管理員請提高警覺！竊資軟體鎖定臺灣用戶攻擊</strong></a></p> </div></div></div>
2024/11/8 18:18作者周峻佑https://www.ithome.com.tw/news/165932
老牌肉品加工業者導入5G專頻專網，台畜加速智慧化、自動化肉品加工生產過程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內成立超過半個世紀的老牌肉品加工業者台灣農畜產公司（簡稱台畜）為加速智慧化、自動化的肉品製造加工發展，開始導入5G專頻專網，結合5G專網發展異地即時AR導覽、AR巡檢、生產履歷，未來更計畫將專網應用到更上游的畜養、屠宰階段</p> <p>台畜在數位發展部5G專頻專網補助之下，去年在位於屏東的肉品加工廠農科廠，這座加工廠為2019年啟用，標榜為台畜現代化的肉品加工廠，現在則藉由遠傳電信、金屬中心的協助導入5G專頻專網發展相關應用，進一步推動智慧肉品製造加工，他們在農科廠建置10個小型基地臺，以4.8GHz到4.9GHz頻段建置5G專頻專網，克服傳統Wi-Fi無線網路可能因不銹鋼牆面造成訊號干擾，運用5G網路大頻寬、低延遲，發展相關應用，肉品加工產業分為畜養、屠宰、加工、銷售4個階段，目前台畜已在加工及銷售2個階段開發專網相關應用。</p> <p>例如銷售階段中發展的工廠異地即時AR導覽，傳統上，工廠如果有外賓或團體參訪，由導覽人員帶隊到製造現場進行解說，然而工廠作業區環境可能高溫、高溼，加之現場設備運作噪音，對訪客而言，導覽體驗可能並不是很好，大量外來人士也可能對現場工作人員的帶來干擾，加上肉品加工依照嚴格食品安全規定，降低陌生人士進入環境，也有助保持環境的清潔衛生，台畜運用專頻專網發展異地即時AR導覽。</p> <p>現場展示的AR眼鏡及應用情境：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20241108_114212-600.jpg" style="width: 600px; height: 450px;" /></p> <p>當有外賓訪問工廠，負責解說的導覽人員只要一個人配戴著AR眼鏡，在工廠內各個作業區導覽，AR眼鏡拍攝的現場畫面就會透過5G網路同步傳送，訪客在工廠外的會議室就能看到現場即時導覽畫面，導覽人員現場同步解說之餘，當來到特定地點「看到」AR圖卡，現場即時導覽畫面會跳出AR虛擬物件展示半成品或骨頭等等。</p> <p>可結合數位雙身智慧導覽：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DW.jpg" style="width: 600px; height: 367px;" /></p> <p>不只是應用在銷售階段的異地導覽，他們也將AR用於肉品的加工階段，傳統的人工巡邏檢視各個機臺設備的狀況，而位於屏東的這座加工廠內，現在巡檢人員戴上AR眼鏡，在工廠內各個設備檢視時，當AR眼鏡上的鏡頭拍攝到設備上的QR Code，就會自動讀取該設備的運作數據，讓巡檢人員可以快速檢視每個設備的運作情形，如果數值過低則顯示紅色示警，如果為正常數值則顯示綠色。</p> <p>另外，當肉品在製造加工過程時，過去多以紙本紀錄各個加工環節的相關數據，台畜利用5G專網用於生產履歷管理，傳送每個加工環節的製程數據，確保肉品加工品質，建立生產履歷管理系統，以查核、追蹤肉品製造加工過程。</p> <p>目前數位部補助業者導入5G專頻專網計畫已暫時告一段落，數位部表示，未來將爭取預算，持續投入補助計畫，在數位部先前的補助結束後，台畜導入5G專網只是開端，他們計畫未來一兩年發展更多元的應用。例如以5G克服Wi-Fi訊號容易被干擾的問題，運用AMR機器人來協助搬運移動半成品，將5G專網應用，深入肉品加工、銷售階段。</p> <p>在加工過程裡，加工廠會運用X光機或紅外線檢查肉類半成品，檢測是否含有金屬或骨頭等異物，或是檢查肉類的蛋白質及脂肪比例，過去仰賴人工檢視X光機或紅外線的檢查影像，未來則希望透過5G專網蒐集產線流水線大量即時檢查影像，在後端結合AI檢視異物。</p> <p>未來一兩年將專網擴大至畜養、屠宰階段，發展更多元的應用，例如在畜養階段，對飼養的牲畜進行AI辨識，在畜養場監測每個豬隻生長情形，像豬隻可能因為染病導致活動力下降，或是結合IoT監測飼養環境，當發現異常情形，向飼養管理人員發送警示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20241108_113109-600.jpg" style="width: 600px; height: 450px;" /></p> <p>在屠宰階段，針對刀具分切建模，對分切軌跡追蹤、建模之外，以及分切AI分析，對肉色影像分析、肌肉紋理分析等等，在屠宰後對屠體的組成進行超音波掃描、組成分析，未來可以發展出肉品分級估價。其中，屠體的組成分析結果可以進一步回饋給上游畜養階段，供飼養方法調整之參考，試驗不同飼養方式對肉品產生的影響。</p> <div> </div> </div></div></div>
2024/11/8 18:27作者蘇文彬https://www.ithome.com.tw/news/165930
Windows版Veritas網路備份工具存在漏洞，攻擊者可用來提升權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週Veritas發布資安公告，指出Windows版網路備份系統NetBackup<a href="https://www.veritas.com/support/en_US/security/VTS24-012">存在高風險權限提升漏洞</a>（尚未取得CVE編號），影響用戶端、Primary Server、Media Server等元件，具有這個漏洞的產品版本涵蓋10.0至10.4.0.1版，該公司指出，不再受到支援的舊版也可能曝險。</p> <p>該公司指出，這項漏洞涉及不受控制的搜尋路徑元素，一旦攻擊者取得安裝NetBackup的磁碟根目錄寫入權限，就有機會藉由漏洞部署惡意DLL程式庫，一旦使用者執行NetBackup命令，就會載入此DLL，並執行攻擊者的程式碼，此漏洞的CVSS風險評為7.8分。至於如何在適當時機讓使用者執行NetBackup命令，以觸發攻擊？Veritas指出，可利用社交工程手法達到目的。</p> <p>對此，他們建議用戶升級NetBackup到最新的10.5版，或是升級至10.4.0.1或10.3.0.1版，並套用對應的修補套件。</p> <p>若是IT人員無法安裝新版程式，該公司建議，在部署NetBackup的磁碟根目錄，設置名為bin的資料夾，並限制只能由具備管理員權限的用戶存取。</p> </div></div></div>
2024/11/8 15:27作者周峻佑https://www.ithome.com.tw/news/165926
ABB智慧建築能源管理系統存在重大漏洞，恐讓攻擊者接管、遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月底資安業者VulnCheck發布工控系統資安警告，主角是ABB智慧建築能源管理系統Cylon Aspect的漏洞<a href="https://vulncheck.com/blog/exploring-abb-ics-vulns">CVE-2023-0636、CVE-2024-6209</a>，根據他們的調查，全球有265套系統可透過網際網路存取，但有214個尚未修補，由於近期已有公開的概念性驗證程式碼（PoC），很有可能接下來就會有人將其用於實際攻擊。</p> <p>其中，命令注入漏洞CVE-2023-0636最令人擔心！攻擊者有機會在未經身分驗證的情況下，遠端利用漏洞執行程式碼，而且，ABB起初評為高風險層級，CVSS風險值為7.2，但後來<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-0636">美國國家漏洞資料庫（NVD）評為9.8分</a>。為何前後評分出現如此懸殊的差距？原因在於當時ABB認為，攻擊者想要利用漏洞，前提是必須通過身分驗證，但相關研究後續指出並非如此，問題在於身分驗證流程並未完全強制執行，而讓攻擊者有機可乘。</p> <p>研究人員提及，9月下旬專門研究工控系統的資安研究員Gjoko Krstic（又稱Liquid Worm）公布了該漏洞的<a href="https://packetstormsecurity.com/files/181827/ABB-Cylon-Aspect-3.07.00-Remote-Code-Execution.html">PoC程式碼</a>，他們檢視其內容，指出攻擊者若要利用這項漏洞，能夠使用多種方法進行命令注入，而且幾乎沒有難度。</p> <p>另一個漏洞<a href="https://nvd.nist.gov/vuln/detail/cve-2024-6209">CVE-2024-6209</a>，問題也不小，因為這是未經授權的檔案洩露弱點，攻擊者能藉此取得使用者的明文帳密資料，並用於命令注入或是遠端執行程式碼，4.0版CVSS風險評為9.4。</p> </div></div></div>
2024/11/8 16:25作者周峻佑https://www.ithome.com.tw/news/165928
竊資軟體Strela Stealer鎖定歐洲而來，利用WebDAV隱匿行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意軟體濫用WebDAV共用資料夾來隱匿行蹤的做法，今年已有數起，例如：<a href="https://www.ithome.com.tw/news/162154">4月出現的惡意軟體IcedID變種Latrodectus</a>，攻擊者從網頁應用程式開發平臺Firebase下載JavaScript檔案，並於受害電腦執行，就會從WebDAV共享資料夾啟動MSI安裝檔，而能啟動該惡意軟體，如今類似的手法再度出現。</p> <p>資安業者Cyble發現最新一波<a href="https://cyble.com/blog/strela-stealer-targets-europe-stealthily-via-webdav/">竊資軟體Strela Stealer攻擊行動</a>，駭客鎖定中歐及歐洲西南部地區，假借發票通知的名義寄送釣魚郵件。這些信件挾帶ZIP附件檔案，該壓縮檔內含經重度混淆處理的JavaScript檔案，駭客在其中埋藏了經Base64處理的PowerShell命令，一旦執行，就會從WebDAV伺服器啟動惡意酬載，從而竊取電子郵件配置的相關資訊，以及詳細的系統資訊，使得攻擊者能對受害電腦進行下個階段的惡意行為。</p> <p>為何攻擊者直接從WebDAV伺服器執行Strela Stealer？主要目的就是想避免在受害電腦留下惡意的DLL檔案，想要躲過資安系統的偵測。</p> <p>研究人員之所以察覺這起攻擊行動，起初是因為他們觀察到一些以德文書寫的釣魚郵件，內容看起來像是購買商品的發票，駭客假借要進一步驗證或是處理交易問題為由，引誘收信人開啟附件ZIP檔，當中包含經高度混淆處理的JavaScript檔案，若是收信人開啟，電腦會透過內建的wscript執行，並啟動內嵌的PowerShell命令，最終於受害電腦植入Strela Stealer。</p> <p>特別的是，該竊資軟體不光會竊取Outlook的資料，開源收信軟體Thunderbird也是目標，並試圖從電腦上尋找使用者設定檔的logins.json和key4.db檔案，而這些檔案內含使用者名稱、密碼、電子郵件配置的詳細資訊。</p> </div></div></div>
2024/11/8 17:22作者周峻佑https://www.ithome.com.tw/news/165929
不尋常，如常
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1207期的封面故事是談<a href="http://www.ithome.com.tw/article/165917" target="_blank"><span style="color:#3366ff;">奇美醫院的GenAI應用</span></a>，副總編輯王宏仁下的副標寫得很好：「GAI如何高度融入奇美醫院每一位醫護的日常」。科技創新固然很困難，需要很多條件配合，才能促成，但如何能普遍被大眾接納、認可，徹底成為工作與生活的一部分，而不需要大費周章學習與適應，更是困難，就如王安石被引用的兩句詩「看似尋常最奇崛，成如容易卻艱辛」。</p> <p>如同人手一臺、甚至多臺的智慧型手機，開啟了新的數位時代，生成式AI的崛起，也被寄予相同、甚至更高的期待，各行各業都在苦思如何妥善運用這項技術，希望能夠幫助他們節省更多人力和時間。</p> <p>這幾個月以來，iThome持續報導國內外電信業、零售業、金融業的生成式AI應用，現在我們終於看到照顧大家生命健康的醫療院所，也出現建置生成式AI的案例：奇美醫院，他們在短短一年多的時間之內，就已陸續推出數十種好用的醫療GenAI，涵蓋輔助醫療資訊系統操作的HIS Copilot，以及囊括多種醫療職類的A+巡房大聯盟，而且，這些服務都用於醫院不同職類的工作流程當中，帶來相當顯著的使用成效。</p> <p>開發生成式AI應用的技術門檻越來越低，但難的是用生成式AI做什麼，以及如何貼近使用者的需求。奇美醫院實證醫學暨醫療政策中心主任<a href="https://www.ithome.com.tw/news/165915" target="_blank"><span style="color:#3366ff;">廖家德談到</span></a>箇中關鍵：蹲點觀察，跟著不同人員工作，找出不同職類每天最麻煩的任務。</p> <p>這讓我想到網路上有YouTuber拍攝的一日職人系列影片，但了解工作過程的甘苦之餘，若能進一步打造出他們需要的科技服務，幫忙進行各種任務、解決耗時費力的問題，難怪有醫護人員因此表示，他們回不去了（沒有生成式AI應用的狀態）。</p> <p>為了讓大家更具體了解奇美醫院的生成式AI應用，我們的醫療IT主編王若樸整理<a href="https://www.ithome.com.tw/news/165914" target="_blank"><span style="color:#3366ff;">HIS Copilot，以及A+巡房大聯盟的特色</span></a>。以後者而言，目前總共有十多種應用實例，對應不同醫療職類，例如：A+醫師、A+護理師、A+藥師、A+營養師、A+物理治療師、A+衛教師、A+個管師、A+病安師、A+生活形態醫學師、A+疾病分類師。</p> <p>更特別的是，他們也有專為醫師國考設計的A+國考複習，這項作法相當具有啟發性，很多產業的從業人員可能都需要考取認證或證照，而且需要搭配實務經驗，企業與組織在規畫生成式AI時，其實可以考慮發展與提供這類服務，以便擴大與確保自身的人力資源，因為實務上AI與人工並非只有二選一的考量，共融互助才能發揮最大效益。</p> <p>而在導入成效上，奇美醫院也揭露許多量化資訊，這些應用節省大量人工作業時間，例如，有的可縮短1個多小時或將近4小時，有些幾十分鐘的作業可縮短至幾分鐘，差距可達5倍之多；以單月而言，使用人數已超過5萬，費用卻只有5萬元，令人驚豔！</p> <p>奇美醫院也談到他們避免生成式AI幻覺的訣竅，其中，提示工程是關鍵，搭配規則程式和GenAI服務參數設置。他們也預告，正在發展更多生成式AI應用、虛擬人像，以及AI視覺。</p> <p>關於全球企業導入生成式AI的案例，我們未來也將持續關注，作為立足臺灣的IT科技媒體，當然更關心臺灣企業與組織的發展與使用現況，透過每次的報導，期盼能夠挖掘更多使用經驗與訣竅，幫助大家以更周延、務實的觀點規畫相關的專案，並且順利推動各種工作任務的進行，提升每個使用者的生產力、跨越各種影響效率的障礙，獲取得心應手的體驗。</p> <p>希望未來能有機會了解這些轉型與突圍的過程，經由我們的報導呈現關鍵導入概念與具體成效，分享給公眾知道，進而促進整個臺灣產業與社會的進步，更徹底發揚IT科技的潛能。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 24px;"><span style="background-color: rgb(51, 153, 255);"> </span></span></strong></span><strong><span style="font-size: 24px;"><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/165917" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 24px;"><a href="https://www.ithome.com.tw/article/165917" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1207-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=LzGHdLPU" style="width: 550px;" /></a></span></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%A5%87%E7%BE%8E%E9%86%AB%E9%99%A2">奇美醫院</a></div><div class="field-item odd"><a href="/tags/gai">GAI</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/%E9%86%AB%E7%99%82it">醫療IT</a></div></div></div>
2024/11/8 16:58作者李宗翰https://www.ithome.com.tw/voice/165920
GAI如何改變奇美醫院的日常
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1207-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=LzGHdLPU" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年秋季，GAI開始走進奇美醫院診間，有短短幾秒就能更正病歷內容的A+醫師，也有快速搞定病人護理摘要的A+護理師。甚至，擔心復健撲空的物理治療師，還有位GAI助手來確認患者動態，每天至少省下1小時。像這樣的GAI助手，奇美醫院10多種醫療職類人人都有，就像一支虛擬照護團隊。</p> </div></div></div>
2024/11/8 16:58未署名https://www.ithome.com.tw/article/165917