iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 8篇
近 24 小時: 19篇
近 7 天: 131篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 130 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Windows 11工作列新檔案搜尋功能，可搜尋Microsoft 365、OneDrive檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Windows Latest引述<a href="https://www.windowslatest.com/2024/12/01/microsoft-wants-to-integrate-microsoft-365-recent-files-into-windows-11-taskbar/" target="_blank">報導</a>，微軟最近在Windows 11的工作列新增檔案搜尋（File Search）功能，讓用戶從OS工作列直接搜尋並開啟最近使用，或他人分享的Microsoft 365（M365）檔案。</p> <p dir="ltr">之前Windows放大鏡圖示的檔案探索（File Explorer）功能，僅可找到Windows電腦的檔案，當然也可搜尋網頁，但無法搜尋存在自己M365帳號的檔案。某些用戶上周<a href="https://x.com/EpicbP/status/1862539944893227425" target="_blank">發現</a>的新檔案搜尋功能，則可串接OneDrive和M365服務，允許Windows 11 PC用戶搜尋M365文件或最近存取的檔案，只要點選工作列上的圖示就會跳出簡潔介面，使用者可下條件如人名或關鍵字搜尋文件，或由其列出的檔案類型（Word、PowerPoint、Excel）尋找。用戶最近編輯的檔案也會列出。</p> <p dir="ltr">根據Windows Latest擷圖，用戶還可以設定通知偏好，要求有人在檔案中提及用戶、有人分享檔案時發送通知、或是在即將召開的會議中發檔案通知。此外，按右鍵還會出現選單，提供另存新檔、分享、擷圖與列印等也功能。</p> <p dir="ltr">這檔案搜尋功能和之前的桌機搜尋工具不同，它不是App而是一個Webviewer，是以Microsoft Edge WebView功能為基礎，基本上是長得很像App的Edge外掛功能。獨立網路論壇WindowsForum<a href="https://windowsforum.com/threads/explore-microsofts-new-file-search-feature-for-windows-11.346921/#google_vignette" target="_blank">分析</a>，這個設計承襲微軟在WebView2等技術上發展Windows 11功能的理念，所以不論用戶愛不愛用Edge，都會讓Windows 11和Edge更深切整合在一起。</p> </div></div></div>
2024/12/2 22:09作者林妍溱https://www.ithome.com.tw/news/166299
【資安日報】12月2日，網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊可說是相當泛濫，相關工具包也接連出現，資安業者Trustwave揭露最新一波的攻擊行動相當引人注意，駭客運用名為Rockstar 2FA的網釣工具包，而能在突破多種資安防護下發動攻擊。</p> <p>研究人員強調，駭客在攻擊流程搭配多種合法服務，而能成功迴避資安系統的偵測，其中一種是Cloudflare去年底正式開放、可免費使用的圖靈驗證服務Turnstile。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166295"><strong style="font-size: 22px;">網釣攻擊套件Rockstar 2FA鎖定M365帳號而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 6_ Email attack flow of Rockstar 2FA phishing campaigns.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%206_%20Email%20attack%20flow%20of%20Rockstar%202FA%20phishing%20campaigns.jpg" style="width: 300px; float: right;" /></a></p> <p>網釣工具包橫行，近期有不少研究人員公布駭客打造的新工具，但也有駭客更換名稱持續活動的情況。資安業者Trustwave揭露的Rockstar 2FA網釣工具包，就是典型的例子，這個工具包的前身，其實是去年5月出沒的DadSec，而到了去年底，駭客先後更名為Phoenix、Rockstar 2FA，然後持續從事攻擊行動。</p> <p>研究人員在今年8月看到使用此網釣工具包的大規模網釣攻擊，駭客組織Storm-1575發動對手中間人（AiTM）攻擊，從而攔截受害者的帳密資料，以及連線階段（Session）的cookie，而有機會繞過多因素驗證機制，進而挾持Microsoft 365帳號。</p> <p>根據他們的觀察，這次對方的主要目標，很可能是想要瀏覽與汽車有關網站的使用者，研究人員從5月開始，發現逾5千個與車輛相關的網域名稱。</p> <p><a href="https://www.ithome.com.tw/news/166285"><strong style="font-size: 22px;">一年前揭露的UEFI漏洞LogoFAIL遭到利用，駭客企圖在Linux電腦植入Bootkitty</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/674a29add97eead6c8b5da5b_674a1f83d060f4a92874983c_image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/674a29add97eead6c8b5da5b_674a1f83d060f4a92874983c_image3.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET揭露第一個針對Linux電腦的UEFI Bootkit「Bootkitty」，但不久後有人結合已知的UEFI韌體漏洞，打造具有實際破壞性的惡意程式。</p> <p>11月29日專精韌體安全的資安業者Binarly指出，他們近日發現名為logofail.bmp的圖檔，大小為16MB，一旦傳送給Linux電腦，就會在圖片解析過程注入Shell Code，並在UEFI韌體的MokList變數注入惡意帳密，從而套用新的GRUB組態檔案。此檔案能成功繞過安全開機（Secure Boot）防護機制，並將後門程式植入受害電腦。</p> <p>值得留意的是，這支惡意程式針對具有特定漏洞LogoFAIL（CVE-2023-40238）的韌體而來，若是IT人員並未套用新版韌體，就有可能曝險。</p> <p><a href="https://www.ithome.com.tw/news/166243"><strong style="font-size: 22px;">配置臭蟲釀禍，Cloudflare遺失逾半數客戶事件記錄檔案</strong></a></p> <p>提供內容傳遞網路及安全服務的Cloudflare坦承，在11月14日因為內部系統一連串的臭蟲，在短短5分鐘的錯誤配置中，遺失了55%客戶事件記錄。</p> <p>在11月14日，為了支援新的資料集以處理額外的事件記錄類型，Cloudflare更新Logpush的配置，系統需要將此配置傳送給Logfwdr，但配置系統傳送給Logfwdr的檔案卻是空白的，因而觸發了Logfwdr內部的「故障開放」（Fail Open）機制。</p> <p>儘管Cloudflare很快就發現此事，並在5分鐘內恢復了該變更，但Logfwdr已根據Fail Open發送事件記錄給大量客戶，而Buftee原本有防護機制，卻因配置問題而未被正確啟用，導致Buftee所管理的事件記錄緩衝區數量，很快就從一百多萬個快速增加到4,000萬個。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-11667-critical-vulnerability-in-zyxel-firewalls-actively-exploited/">德國針對兆勤防火牆漏洞提出警告，證實至少有5家企業受害</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/mut-8964-an-npm-and-pypi-malicious-campaign-targeting-windows-users/">駭客組織MUT-8694同時針對NPM、PyPI開發者下手，意圖向Windows用戶散布竊資軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/malicious-npm-packages-inject-ssh-backdoors-via-typosquatted-libraries">惡意NPM套件鎖定Linux開發人員，偽裝熱門套件散布後門程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://krebsonsecurity.com/2024/11/hacker-in-snowflake-extortions-may-be-a-u-s-soldier/">犯下Snowflake大規模勒索案的主嫌疑為美國軍人</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166291"><strong style="font-size: 22px;">研華工控無線基地臺存在重大漏洞，若不修補恐被用於繞過身分驗證、執行任意程式碼</strong></a></p> <p>資安業者Nozomi揭露研華科技（Advantech）旗下EKI工控無線基地臺20個漏洞，一旦遭到利用，有可能導致攻擊者在未經身分驗證的情況下，使用root權限遠端執行任意程式碼，從而影響網路設備的機密性、完整性、可用性。</p> <p>這些漏洞影響EKI-6333AC-2G、EKI-6333AC-2GD、EKI-6333AC-1GPO等3款機型，對此研華針對EKI-6333AC-2G、EKI-6333AC-2GD發布1.6.5版韌體，以及針對EKI-6333AC-1GPO發布1.2.2版韌體，修補相關漏洞。</p> <p>根據漏洞嚴重程度來看，有6個被評為重大層級，其餘多為高風險層級，僅有1個為中度風險等級。其中，CVE-2024-50370、CVE-2024-50371、CVE-2024-50372、CVE-2024-50373、CVE-2024-50374、CVE-2024-50375皆為CVSS評分達到9.8的危險漏洞，除了CVE-2024-50375與重要功能缺乏身分驗證有關，其他漏洞的成因，則是涉及作業系統命令當中，特定元素的處理不正確。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://thehackernews.com/2024/11/microsoft-fixes-ai-cloud-and-erp.html"><strong style="font-size: 20px;">微軟修補AI、雲端服務、ERP漏洞，已有部分出現攻擊行動</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> </div></div></div>
2024/12/2 17:56作者周峻佑https://www.ithome.com.tw/news/166298
網釣攻擊套件Rockstar 2FA鎖定M365帳號而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網釣工具包橫行，近期有不少研究人員公布駭客打造的新工具，但也有駭客更換名稱持續活動的情況。</p> <p>資安業者Trustwave揭露的<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rockstar-2fa-a-driving-force-in-phishing-as-a-service-paas/">Rockstar 2FA網釣工具包</a>，就是典型的例子，這個工具包的前身，其實是去年5月出沒的DadSec，而到了去年底，駭客先後更名為Phoenix、Rockstar 2FA，然後持續從事攻擊行動。</p> <p>研究人員在今年8月看到使用此網釣工具包的大規模網釣攻擊，駭客組織Storm-1575發動對手中間人（AiTM）攻擊，從而攔截受害者的帳密資料，以及連線階段（Session）的cookie，而有機會繞過多因素驗證機制，進而挾持Microsoft 365帳號。</p> <p>根據他們的觀察，這次對方的主要目標，很可能是想要買賣車輛的使用者，研究人員從5月開始，發現逾5千個與車輛相關的網域名稱。</p> <p>開發者透過即時通訊軟體ICQ、Telegram，以及電子郵件平臺Mail.ru進行宣傳，尋求買家租用。賣家標榜此套件能繞過雙因素驗證（2FA）、挖掘相關的cookie、防止機器人爬蟲、多種登入網頁主題，並且強調其搭配的URL具有防毒完全無法被視為有害（FUD）特性。</p> <p>分析該網釣套件之後，研究人員指出，駭客的手法先是濫用電子郵件行銷平臺，假借共享檔案、密碼重設、IT部門通知、工資單等名義做為誘餌，過程中使用QR Code、合法短網址服務、PDF附件等手法迴避偵測。</p> <p>接著，在收信人被引導到釣魚網頁之前，會進行過濾，然後要求進行Cloudflare Turnstile圖靈驗證，而這麼做的目的，便是要排除網路爬蟲機器人及研究人員。</p> </div></div></div>
2024/12/2 17:37作者周峻佑https://www.ithome.com.tw/news/166295
研華工控無線基地臺存在重大漏洞，若不修補恐被用於繞過身分驗證、執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Nozomi揭露研華科技（Advantech）旗下<a href="https://www.nozominetworks.com/blog/over-the-air-vulnerabilities-discovered-in-advantech-eki-access-points">EKI工控無線基地臺20個漏洞</a>，一旦遭到利用，有可能導致攻擊者在未經身分驗證的情況下，使用root權限遠端執行任意程式碼，從而影響網路設備的機密性、完整性、可用性。</p> <p>這些漏洞影響EKI-6333AC-2G、EKI-6333AC-2GD、EKI-6333AC-1GPO等3款機型，對此研華針對EKI-6333AC-2G、EKI-6333AC-2GD<a href="https://www.advantech.com/en/support/details/firmware?id=1-1Y1Q6G7">發布1.6.5版韌體</a>，以及針對EKI-6333AC-1GPO<a href="https://www.advantech.com/en/support/details/firmware?id=1-2NPZ6GU">發布1.2.2版韌體</a>，修補相關漏洞。</p> <p>可惜的是，雖然研華發布了新版韌體因應，但他們在公告當中，僅有提及修補部分臭蟲，並未列出Nozomi公布的20項漏洞。</p> <p>根據漏洞的嚴重程度來看，有6個為重大層級、其餘多為高風險層級，僅有1個為中度風險等級。其中，CVE-2024-50370、CVE-2024-50371、CVE-2024-50372、CVE-2024-50373、CVE-2024-50374、CVE-2024-50375皆為CVSS評分達到9.8的危險漏洞，除了CVE-2024-50375與重要功能缺乏身分驗證有關，其他則是涉及作業系統命令當中，特定元素的處理不正確所致。</p> <p>除了上述重大層級漏洞，跨網站指令碼（XSS）漏洞CVE-2024-50376也相當值得留意，因為研究人員特別提及，這項漏洞可以與CVE-2024-50359串連。攻擊者可在靠近無線基地臺的情況下，有機會利用基地臺廣播「Beacon框架」訊號，並擷取周邊裝置的狀態。攻擊者若是要確保基地臺能存取相關訊號，還可以將自己的裝置靠近基地臺，或是利用專屬的天線將訊號傳送到更遠的距離。</p> <p>研究人員認為，這些漏洞若是遭到利用相當危險，因為攻擊者有機會搭配其他手法形成攻擊鏈，透過空中下載（Over-the-Air，OTA）的管道進行攻擊。</p> <p>為了說明漏洞的危險性，研究人員提到較為詳細的漏洞利用流程，並指出必須搭配附帶的條件才能成功利用。攻擊者先是在靠近無線基地臺的地方試圖利用基地臺廣播「Beacon框架」訊號，並擷取周邊裝置的狀態，接著，他們透過網路釣魚或社交工程手法，從而以管理員的身分，存取無線基地臺管理工具當中，分析無線網路訊號的Wi-Fi Analyzer模組，而正當此時，網頁管理介面會自動嵌入前述Beacon框架接收的訊號，從而利用偽造的無線基地臺SSID插入JavaScript惡意酬載，從而觸發CVE-2024-50376。</p> <p>一旦攻擊者得逞，就能在受害者的瀏覽器注入JavaScript架設C2中繼站，並濫用瀏覽器利用框架（Browser Exploitation Framework，BeEF）執行各式工作。此時他們就能串連CVE-2024-50359進一步提升權限，而有機會得到root權限的Shell，從而遠端完全控制設備、執行命令並滲透網路環境、竊取資料，或是部署其他惡意指令碼。</p> </div></div></div>
2024/12/2 16:06作者周峻佑https://www.ithome.com.tw/news/166291
馬斯克請求法院阻止OpenAI轉型為營利機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">馬斯克上周向法院<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.433688/gov.uscourts.cand.433688.46.0.pdf" target="_blank">聲請</a>，請求法官阻止OpenAI轉為營利機構，及和微軟合作鞏固市場壟斷等行為。</p> <p dir="ltr">這是繼今年3月馬斯克<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告</a>曾經投資的OpenAI及執行長Sam Altman，宣稱他們違反了創立以非營利機構開發AI造福人類的初衷後，最新的法律行動。Techcrunch上周首先<a href="https://techcrunch.com/2024/11/30/elon-musk-files-for-injunction-to-halt-openais-transition-to-a-for-profit/" target="_blank">報導</a>此事。</p> <p dir="ltr">本周馬斯克透過律師向加州地方法院提出禁制令申請動議，要求法官阻止OpenAI多項造成他和自家xAI公司、以及產業、人類損害的行為。本次訴訟被告包括Altman、Greg Brockman、微軟高層Reid Hoffman及Dee Templeton。他要求法院以禁制令阻止OpenAI非法行為，包括阻止投資者支持馬斯克自有AI公司xAI等競爭對手、透過和Microsoft的合作從「非法獲得的競爭敏感資訊」中獲利。</p> <p dir="ltr">此外，馬斯克並要求禁止OpenAI將治理結構轉變為營利性結構、轉讓重大資產，包括OpenAI、子公司或附屬公司持有或控制的智慧財產權，並且禁止OpenAI與任何之有重大經濟利益的組織企業做生意。他說若禁制令未獲准，將造成難以彌補的傷害。</p> <p dir="ltr">這位科技大亨11月又控告OpenAI、Altman外加微軟等公司，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.433688/gov.uscourts.cand.433688.32.0_1.pdf" target="_blank">宣稱</a>兩公司合作壟斷市場，企圖消滅其競爭者，包括馬斯克的xAI。他並且說，OpenAI利用他對AI的疑懼心理，騙走他4,400萬美元投資。</p> <p dir="ltr">對曾經的盟友及投資人反控，OpenAI之前說，馬斯克可能只是懊悔退出和該公司的合作。Techcrunch上周引述OpenAI官方說法，<a href="https://techcrunch.com/2024/11/30/elon-musk-files-for-injunction-to-halt-openais-transition-to-a-for-profit/" target="_blank">表示</a>馬斯克第四度控告，只是再一次重述毫無根據的論點，一樣也完全無的放矢。微軟則皆未對此評論。</p> <p dir="ltr">這些請求都只是建議，最後仍需由加州法院法官做出定奪。</p> <p> </p> </div></div></div>
2024/12/2 16:10作者林妍溱https://www.ithome.com.tw/news/166292
熱門前端建置工具新版Vite 6.0，添加環境API並擴展生態系支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前端建置工具Vite團隊推出最新版本<a href="https://vite.dev/blog/announcing-vite6">Vite 6.0</a>，這次重大更新新增了實驗性環境API（Environment API），進一步擴展生態系的支援。Vite是一個快速高效的建置工具，其核心優勢在於開發伺服器啟動速度，有別於傳統建置工具，例如Webpack或Parcel需要耗費大量時間進行打包，才能啟動開發伺服器，Vite直接運用瀏覽器對ES模組的原生支援，以接近即時的啟動速度，大幅提升開發者的迭代速度和開發體驗。</p> <p>Vite 6.0最大的更新亮點是環境API，這是一個針對框架開發者設計的工具。該API目的是要讓開發者能夠更精確地管理和模擬不同環境的行為，無論是在瀏覽器端還是伺服器端，都能根據需求動態調整模組的載入方式。在傳統開發中，開發環境與生產環境的差異常導致問題發生，而Environment API試圖藉由改進環境管理機制，解決這個痛點。</p> <p>Environment API對於需要自定義開發流程的框架開發者特別有用，開發者能夠在自定義SSR（Server-Side Rendering）應用中精準模擬生產環境的行為，提升環境之間的一致性。該API的設計也與Vite執行環境API相互搭配，簡化模組載入過程。目前Environment API仍在實驗測試階段。</p> <p>此外，Vite 6.0針對Node.js支援進行調整，現在支援Node.js 18、20和22+版本，並終止Node.js 21的支援，以因應Node.js官方更新終止政策。另一個值得關注的改進是JSON處理邏輯的強化，Vite 6.0將json.stringify預設值更改為自動模式，能夠自動處理大型JSON檔案，減少多餘的序列化操作，對於需要傳統行為的開發者，則提供手動設定選項，以確保向下相容性。</p> <p>官方提到，從Vite 5.0更新以來，其採用率就持續攀升，NPM每周下載量從750萬成長到了1,700萬。而隨著使用者越來越多，除了原有持續發展的Nuxt、SvelteKit、Astro等主流框架，還有更多框架加入Vite生態，包括TanStack Start、One和Ember等。</p> </div></div></div>
2024/12/2 16:17作者李建興https://www.ithome.com.tw/news/166290
【資安週報】1125~1129，中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，該設備年初已終止支援，近6萬多…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月最後一周的資安新聞中，在漏洞消息方面，有2大漏洞利用消息與1項漏洞警訊需要優先關注，都與邊緣裝置安全有關，涵蓋Array Networks、Zyxel Networks與D-Link的網路產品。</p> <p>●大宇集團旗下Array Networks去年3月修補的SSL VPN系統漏洞CVE-2023-28461，如今發現有駭客開始利用此已知漏洞發動攻擊。<br /> ●兆勤科技（Zyxel Networks）今年9月修補防火牆漏洞CVE-2024-42057，隨著資安業者Sekoia示警，後續兆勤警告攻擊者開始鎖定這項已知漏洞。<br /> ●中華電信提供許多個人及政府機關的D-Link數據機DSL-6740C，本月被國內資安研究人員揭露存在8個漏洞。</p> <p>值得注意的是，這2項漏洞利用的幕後凶手已被資安業者查出，趨勢科技揭露中國駭客組織Earth Kasha最新攻擊行動，就是利用上述Array的漏洞與另一Fortinet已知漏洞作為入侵起始點，臺灣與日本的企業均有受害案例；資安業者Sekoia揭露勒索軟體Hellodown的攻擊行動，指出是利用上述兆勤漏洞入侵。</p> <p>而D-Link數據機的DSL-6740C漏洞揭露亦是一大警訊，因為該設備今年初已終止支援，加上臺灣現在還有多達57,945臺仍在運作，顯示出中華電信處理EOL設備的速度太慢，以及還有很多人不知道要請中華電信更換。</p> <p>在資安事件上，11月底感恩節前夕有一起勒索軟體攻擊事件受矚目。美國供應鏈管理業者Blue Yonder遭攻擊後導致服務中斷，影響北美1.1萬家星巴克門市與英國2家連鎖超市等系統，使其員工只能手動作業，且3天後系統仍未恢復。</p> <p>國內也發生一起事件值得我們警惕，就是北捷AI客服被測試發現可代寫程式碼。過去ChatGPT等生成式AI常因提示注入攻擊（Prompt Injection）被誘導，超出違反原本的安全或使用限制，因此後續各界不斷強調提高AI安全護欄能力。雖然此次未達惡意濫用程度，但已暴露國內可能輕忽系統AI安全護欄的問題。</p> <p>在資安威脅態勢上，有多個中國與俄羅斯駭客組織的攻擊活動被揭露，其攻擊目標相關廣泛，涵蓋瀏覽器、作業系統，也有鎖定電信業者，以及針對圖博（西藏）民眾等：<br /> ●近兩個月Firefox與微軟分別修補的零時差漏洞（CVE-2024-9680、2024-49039），如今資安業者ESET公布幕後攻擊者是名為俄羅斯駭客Tropical Scorpius（又名UNC2596）所串連利用，並會植入後門程式RomCom。<br /> ●電信業注意！關於中國駭客組織Salt Typhoon攻擊全球電信業又有後續消息，趨勢科技揭露攻擊者會植入名為Demodex的rootkit程式，而近期攻擊東南亞電信業者的事故中，還使用先前未曾揭露的GhostSpider等多款後門程式。<br /> ●中國駭客TAG-112新一波鎖定圖博新聞媒體、大學網站的攻擊被揭露，目的是針對瀏覽網站的使用者電腦植入Cobalt Strike，目前尚不知駭客利用那些漏洞。<br /> ●鄰居被駭也是自家被攻擊的前奏，最近資安業者Volexity公布俄羅斯駭客APT28在俄烏戰爭前夕藉由Wi-Fi管道的攻擊方式－－Nearest Neighbor Attack。<br /> ●駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法越來越多，最近一起是針對Avast的驅動程式元件而來，以停用受害電腦防護機制。</p> <p>在資安防禦新聞中，我們觀察到兩個關鍵議題備受關注，包括：促進民間資安情報的聯防合作以及打擊網路犯罪，分別是臺灣與全球關注資安風險的重點。</p> <p>首先是今年台灣資安通報應變年會，透露了TWCERT/CC的日後新方向，指出為了讓聯防更有效果，將以情資角度作為向企業溝通的方式，而不像過去從事件通報角度向企業溝通，目標是讓企業回報的內容，可以更聚焦在聯防需要的情資，意即：何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等關鍵資訊。</p> <p>另一個是全球在查緝網路犯罪方面取得新成果。國際刑警與非洲刑警聯手行動，在19個非洲國家逮捕了千餘名嫌犯。其中部分犯罪行動涉及高技術含量，例如在肯亞破獲的一起網路信用卡詐騙案中，駭客利用修改銀行系統安全協議的方式，執行惡意腳本竊取資金，並流向多國司法管轄區內的金融相關機構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166190"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</span></strong></a></h3> <p>最近幾年，有研究人員揭露利用Wi-Fi無線網路從事近距離、非接觸式的攻擊手法，但這樣的手段鮮少在實際的資安事故曝光，如今有研究人員公布此種類型攻擊行動。</p> <p>資安業者Volexity指出，2年前俄羅斯駭客組織APT28就是利用類似的策略，先攻擊目標組織鄰近的企業，再藉由這些跳板存取目標組織的Wi-Fi網路，從而進行相關的情報收集。</p> <h3><a href="https://www.ithome.com.tw/news/166203"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</span></strong></a></h3> <p>供應鏈攻擊事故頻傳，最近軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，傳出已對客戶的運作造成影響，目前已有連鎖咖啡店星巴克、英國兩大超市證實受到波及。</p> <p>值得留意的是，11月21日Blue Yonder證實因資安事故導致代管服務中斷，但目前尚未確認復原的時間，相關災情與影響範圍有待後續觀察。</p> <p><a href="https://www.ithome.com.tw/news/166236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</span></strong></a></p> <p>攻擊者利用瀏覽器零時差漏洞的情況不時傳出，但多半會針對較多人使用的Chrome而來，發生在今年10月上旬的Firefox零時差漏洞攻擊相當引人關注，如今通報漏洞的研究人員更多細節。</p> <p>他們提及這波攻擊行動由俄羅斯駭客RomCom發起，在過程裡還會運用Windows零時差漏洞CVE-2024-49039，使得攻擊者無須與使用者互動，就能將後門程式散布到受害電腦。</p> <h3><a href="https://www.ithome.com.tw/news/166259"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】第一款針對Linux主機的UEFI Bootkit現身</span></strong></a></h3> <p>埋藏在UEFI韌體的惡意啟動工具UEFI Bootkit相當神秘，攻擊者藉此隱匿行蹤，並能從開機階段就挾持整臺電腦，讓執行於作業系統之上的防護機制失效，這樣的情況最近有了新的變化。</p> <p>本週資安業者ESET揭露新的惡意啟動工具Bootkitty，並指出雖然這支程式很可能仍在開發階段，但是第一個專門針對Linux作業系統的UEFI Bootkit，後續發展相當值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/166281"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</span></strong></a></h3> <p>惡意軟體框架Winos 4.0的攻擊行動，最近半年已出現數起相關事故，但值得留意的是，過往駭客的主要攻擊目標，都是使用簡體中文的使用者，而在最近一起事故當中，慣用越南文的用戶也是目標。</p> <p>不只攻擊的範圍擴大，散布該惡意程式的駭客也搭配其他新工具來進行，其中一種引起研究人員關注的是惡意程式部署工具CleverSoar。</p> </div></div></div>
2024/12/2 09:37作者羅正漢https://www.ithome.com.tw/news/166286
一年前的UEFI漏洞LogoFAIL被用於植入Bootkitty
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周Bootkitty<a href="https://www.ithome.com.tw/news/166255" target="_blank">現身</a>後，研究人員又<a href="https://www.binarly.io/blog/logofail-exploited-to-deploy-bootkitty-the-first-uefi-bootkit-for-linux" target="_blank">發現</a>，去年發現的一組UEFI韌體漏洞，已有人發展出濫用手法來植入Bootkitty這第一隻可在Linux執行的UEFI Bootkit程式。</p> <p>去年12月，資安廠商Binarly研究人員發現到的漏洞為LogoFAIL，<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-40238" target="_blank">編號CVE-2023-40238</a>。它是位於舊版Insyde InsydeH2O UEFI BIOS中的圖片解析器BmpDecoderDxe的圖片解析漏洞，影響5.2（05.28.47以前）、5.3（05.37.47以前）、5.4（05.45.47以前）、5.5（05.53.47以前）和5.6（05.60.47以前）版本。攻擊者可傳送惡意BMP logo，在開機過程影像解析過程中將資料複製到特定位址，濫用LogoFAIL漏洞最終會使基本的UEFI端點安全措施失效，使攻擊者得以對受影響的系統深度控制。BIOS廠商系微（Insyde）已經在去年12月釋出更新版，可解決該漏洞。</p> <p>今年Binarly又發現，有人發展出濫用LogoFAIL漏洞植入惡意程式的行為。他們發現一個名為16MB大小的logofail.bmp圖檔，當傳送給受害Linux機器時，能在圖片解析過程中注入shellcode，而在裝置UEFI韌體程式的MokList變量中注入惡意憑證，藉此允許一個GRUB配置檔在機器上執行。該檔內含後門程式的Linux核心圖檔，成功繞過安全開機（Secure Boot）防護，以便將後門程式植入受害系統。結果就是讓Bootkitty通過驗證，植入Linux裝置。</p> <p>研究顯示，本攻擊手法是針對特定硬體配置，受影響BIOS模組的電腦品牌涵括聯想等數家廠商。研究人員說明，系微一年前已釋出更新版，沒有安裝更新版的裝置就可能曝露於風險。</p> <p>必須說明的是，ESET研究人員發現的Bootkitty雖然可能只是概念性驗證（PoC）程式，而非已用於攻擊的惡意程式，但已顯示，Linux裝置不再能自外於UEFI惡意開機程式濫用風險。</p> </div></div></div>
2024/12/2 08:53作者林妍溱https://www.ithome.com.tw/news/166285
樹莓派推出Compute Module 5，CPU、GPU升級還提供更大記憶體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樹莓派基金會推出最新硬體模組<a href="https://www.raspberrypi.com/news/compute-module-5-on-sale-now/">Compute Module 5</a>，該模組是以Raspberry Pi 5單板電腦為基礎所設計，進一步簡化成適用於工業與嵌入式應用的硬體形式。CM5起始售價為45美元，提供開發者一個靈活且低成本的開發模組選擇。</p> <p>Compute Module系列首次於2014年推出，目標是滿足對標準單板電腦設計有額外需求的開發者。Compute Module移除了許多功能，僅保留Raspberry Pi單板電腦的關鍵核心，諸如處理器、記憶體、儲存和電源管理，並採用更容易整合的SODIMM模組格式。</p> <p>最新的Compute Module 5採用與Raspberry Pi 5相同的硬體架構，具備2.4 GHz四核心64位元Arm Cortex-A76處理器，與VideoCore VII圖形處理單元，支援OpenGL ES 3.1和Vulkan 1.3。顯示輸出方面，模組支援雙4Kp60 HDMI輸出與4K HEVC硬體解碼功能，並配置PCIe 2.0介面以及高速外部裝置（Peripherals）。另外，Compute Module 5提供多種記憶體和儲存選項，包括2GB、4GB和8GB的LPDDR4X記憶體，以及最高64 GB的eMMC非揮發性儲存。</p> <p>Compute Module 5在設計上與前一代相容，訊號介面透過兩個高密度連接器，與用戶的載板連接，包括電源、資料、外部設備連接等所有訊號，都透過這兩個高密度連接器輸出，用戶只需要將這些連接器與自訂的載板對接，即可完成模組化整合，應用於不同用例。不過官方提到，Compute Module 5還是有部分有別於之前版本的變更，例如移除了雙路雙通道MIPI，並新增了USB 3.0。</p> <p>跟著Compute Module 5同步推出的還有一系列周邊配件，包括專用的IO板、散熱模組、外接天線套件和金屬外殼，開發者也可視需求直接選購包含IO板、模組和其他必要配件的開發套件包。</p> </div></div></div>
2024/11/30 21:39作者李建興https://www.ithome.com.tw/news/166282
強化身分安全，眾至郵件伺服器新型網頁信箱增設無密碼登入
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/sharetech_fido-2024-11-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任是臺灣資安界近來最受重視的防護概念，許多廠商紛紛打造相關的產品，以網路防火牆與郵件伺服器產品著稱的眾至資訊（ShareTech），積極開發與拓展零信任解決方案，今年陸續在多場活動與展覽，如臺灣資安大會、臺灣國際半導體展、台中資訊月論壇，向大家宣導零信任、介紹他們響應政府提倡的零信任網路架構三大核心機制，以及因應這些需求而供應的多種防護功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-09-05-SEMICON-%E7%9C%BE%E8%87%B3%E9%9B%B6%E4%BF%A1%E4%BB%BBP1440104.jpg" style="width: 218px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech-11-21-ZT.jpg" style="width: 298px;" /></p> <p>關於使用者身分辨識，<a href="https://www.sharetech.com.tw/zh-tw/epaper/241002">眾至資訊10月正式推出FIDO（Fast IDentity Online）無密碼登入解決方案</a>，針對郵件伺服器產品線的New Webmail網頁信箱功能，提供支援FIDO的身分驗證機制，若企業與組織使用該公司的郵件伺服器軟體版本，或是硬體機型，例如，MS-30X、MS-6400X、MS-6410X、MS-6420X、MS-6430X、MS-6440L，系統軟體或韌體可升級到3.1.5版，即可使用這項功能，無需加購。</p> <p>細部運作流程如何進行？首先，用戶需在自己的智慧型手機或平板電腦當中，安裝行動App軟體ShareTech Authenticator，接著以密碼登入眾至郵件伺服器的New Webmail，進到安全性設定完成綁定行動設備無密碼驗證的程序（再輸入一次密碼進行身分驗證、開啟ShareTech Authenticator掃描New Webmail網頁介面此時顯示的QR Code）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/眾至FIDO驗證設定步驟1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9C%BE%E8%87%B3FIDO%E9%A9%97%E8%AD%89%E8%A8%AD%E5%AE%9A%E6%AD%A5%E9%A9%9F1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/眾至FIDO驗證設定步驟2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9C%BE%E8%87%B3FIDO%E9%A9%97%E8%AD%89%E8%A8%AD%E5%AE%9A%E6%AD%A5%E9%A9%9F2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShareTech MS-無密碼驗證安全設定.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20MS-%E7%84%A1%E5%AF%86%E7%A2%BC%E9%A9%97%E8%AD%89%E5%AE%89%E5%85%A8%E8%A8%AD%E5%AE%9A.jpg" style="width: 600px;" /></a></p> <p>當用戶登入New Webmail網頁介面時，會顯示一組提問碼（Challenge code），</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA%E7%AB%AF%E7%9C%BE%E8%87%B3FIDO%E7%99%BB%E5%85%A5%E6%AD%A5%E9%A9%9F1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Webmail front11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Webmail%20front11.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Webmail front22.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Webmail%20front22.jpg" style="width: 298px;" /></a></p> <p>並對已預先完成綁定程序的智慧型手機或平板電腦，發出通知訊息，接著用戶的行動裝置會收到且顯示這個訊息，此時可立即點選或開啟ShareTech Authenticator，會看到驗證帳號的資訊清單，上面顯示被登入的帳號、提問碼、有效時間、登入者所在區域為內部網路或網際網路、登入New Webmail人員操作的裝置與瀏覽器類型，若綜合這些資訊而判斷這是你自己的登入動作，可點選「確認」，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA%E7%AB%AF%E7%9C%BE%E8%87%B3FIDO%E7%99%BB%E5%85%A5%E6%AD%A5%E9%A9%9F2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShareTech App-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20App-2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ShareTech App-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20App-1.jpg" style="width: 398px;" /></a></p> <p>隨後會進行指紋、臉部這類生物辨識解開鎖定，在背景處理程序當中，行動裝置將使用私鑰對提問碼進行簽名，並將簽名傳回伺服器，伺服器收到簽名之後，會使用公鑰驗證簽名，比對無誤後即可登入，ShareTech Authenticator當下也會跳出身分驗證記錄的通知資訊，上面載明帳號名稱、New Webmail登入者網路位置、登入New Webmail所用的裝置與瀏覽器類型，以及最近一次（本次）驗證身分登入的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA%E7%AB%AF%E7%9C%BE%E8%87%B3FIDO%E7%99%BB%E5%85%A5%E6%AD%A5%E9%A9%9F3.jpg" style="width: 600px;" /></p> <p>眾至表示，導入FIDO之後，他們提供的郵件伺服器New Webmail登入，能夠使用公私鑰加密技術進行身分驗證，公鑰儲存在伺服器中，私鑰儲存在用戶的設備內部，不會傳送到伺服器，如此一來，可避免過往密碼式身分驗證的缺點，像是伺服器端儲存使用者密碼，一旦遭入侵，或是使用者因為網路釣魚手法，而將帳號、密碼輸入假網站進行身分驗證，都有可能導致帳號與密碼外流，因而無法抵擋帳密填充攻擊（撞庫）。</p> <p>對於為何要採用提問碼的互動方式，眾至表示，這主要是為了簽章和防止重送攻擊，目的是抵禦中間人複製封包的攻擊手法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ShareTech FIDO Process2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20FIDO%20Process2.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，這項FIDO功能目前僅支援New Webmail信箱登入使用，行動裝置軟體ShareTech Mail App尚未支援。未來，這項功能也將擴大運用同廠牌其他產品，眾至預告，NU系列防火牆的管理介面、上網驗證，也將提供無密碼登入，目前尚在測試階段，<a href="https://www.sharetech.com.tw/zh-tw/epaper/241205">12月初將開始宣傳此項突破</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NU-passwordless-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NU-passwordless-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NU-passwordless-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NU-passwordless-2.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">眾至FIDO</span></strong><br /> ●原廠：眾至資訊<br /> ●建議售價：廠商未提供<br /> ●適用產品：硬體設備涵蓋的機型MS-30X、MS-6400X、MS-6410X、MS-6420X、MS-6430X、MS-6440L，系統韌體更新至3.1.5版；軟體系統：ShareTech Mail Server 3.1.5<br /> ●適用功能項目：New Webmail信箱登入<br /> ●身分驗證方式：使用者智慧型手機或平板電腦安裝行動App軟體ShareTech Authenticator</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/30 15:30作者李宗翰https://www.ithome.com.tw/review/166279
惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2年駭客利用合法元件癱瘓防毒軟體及EDR系統的情況，不斷有資安事故傳出，其中最常見的手法，便是使用過時的驅動程式，以作業系統核心層級來干擾這些資安防護機制的運作，但如今有人轉向其他工具來突破防線。</p> <p>資安業者Check Point指出，<a href="https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/">他們發現名為GodLoader的惡意軟體</a>，從今年6月底開始透過開源遊戲引擎Godot，並執行特製的GDScript指令碼，駭客藉此觸發惡意指令，並於受害電腦載入惡意軟體，迄今約有1.7萬臺電腦遭到感染，而且，許多防毒軟體可能無法偵測攻擊者使用的惡意指令碼，因為將這些程式送到惡意軟體分析平臺VirusTotal檢測，鮮少有防毒引擎將其視為有害。</p> <p>值得留意的是，該惡意軟體散布的管道，是濫用程式碼儲存庫GitHub組成的<a href="https://www.ithome.com.tw/news/164161">Stargazers Ghost網路</a>，從9月至10月，約有200個儲存庫用於散布GodLoader。</p> <p>另一方面，這樣的手法能夠針對多種類型的裝置進行跨平臺攻擊，範圍涵蓋Windows、Linux、macOS電腦，以及安卓和iOS裝置。雖然研究人員這次只找到針對Windows電腦的惡意軟體，但他們也發現藉此將有效酬載傳到Linux及macOS環境的作法。</p> <p>針對這波攻擊的危險性，研究人員認為，遊玩以Godot開發遊戲的玩家都有可能曝險，他們估計超過120萬人會成為駭客下手的標的。攻擊者可假借提供遊戲修改器或其他工具，利用Godot在使用者電腦執行惡意指令碼。</p> <p>而被駭客用來夾帶攻擊程式的管道Godot，其實是開源的遊戲開發平臺，提供高度彈性、對使用者友善的操作介面，以及豐富的功能，開發者可用來打造2D或3D遊戲，並將成品輸出為各種平臺的版本，除了電腦、行動裝置版本，開發者也能以網頁的形式（HTML5）提供玩家遊玩。其中，Godot核心引擎使用類似Python的指令碼語言GDScript，以便開發人員用於打造遊戲。</p> <p>但功能如此全面的GDScript，也成為攻擊者利用的對象，研究人員提及，此語言能讓攻擊者迴避沙箱和虛擬機器，也可以遠端執行有效酬載，在此同時，攻擊者因為使用了這項合法工具，而能夠迴避偵測。</p> <p>針對遊戲開發工具被濫用的情況，Godot遊戲引擎維護團隊及資安團隊成員Rémi Verschelde<a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/">找上資安新聞網站Bleeping Computer，並提出說明</a>，他們表示，已經得知Check Point公布的調查結果，並認為這種型態的弱點也同樣可能會出現在其他遊戲開發引擎，而會遭到濫用。</p> <p>這種攻擊手法必須搭配特定條件，Rémi Verschelde表示，攻擊者必須將Godot的部分執行元件（runtime）與PCK檔案一起傳送，而且，使用者必須將執行元件與PCK檔放置於相同資料夾，並啟動相關元件。除非攻擊者搭配作業系統層級漏洞，否則他們無法讓使用者執行檔案就中招，Rémi Verschelde認為，由於還要將Godot元件帶到受害電腦上，這類方法並非駭客偏好的觸發作業系統漏洞管道。</p> </div></div></div>
2024/11/29 17:09作者周峻佑https://www.ithome.com.tw/news/166280
【資安日報】11月29日，駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意軟體框架Winos 4.0的攻擊行動，最近半年已出現數起相關事故，但值得留意的是，過往駭客的主要攻擊目標，都是使用簡體中文的使用者，而在最近一起事故當中，慣用越南文的用戶也是目標。</p> <p>不只攻擊的範圍擴大，散布該惡意程式的駭客也搭配其他新工具來進行，其中一種引起研究人員關注的是惡意程式部署工具CleverSoar。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166273"><strong style="font-size: 22px;">中國及越南遭到CleverSoar惡意部署工具鎖定，攻擊者意圖散布Winos 4.0、Nidhogg</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-11-25-at-2_49_06-PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-11-25-at-2_49_06-PM.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客運用惡意軟體框架Winos 4.0從事攻擊行動的情況，今年已發生數起資安事故，例如：6月趨勢科技揭露駭客組織Void Arachne的攻擊行動，假借提供AI應用程式的名義，向簡體中文用戶散布這款惡意軟體；到了11月初，另一家資安業者Fortinet指出，有人利用這款惡意程式框架疑似鎖定教育機構下手，如今相關的攻擊行動再度傳出。</p> <p>資安業者Rapid7指出，他們在11月初發現了名為CleverSoar的惡意程式部署工具（Installer），攻擊者的主要目標，是慣用簡體中文與越南文的使用者。駭客意圖利用這款部署工具在受害電腦植入多種惡意程式，並保護這些軟體的運作不受到干擾。</p> <p>而這些對方使用的惡意程式，包含了Winos 4.0進階版本，以及名為Nidhogg的Rootkit程式。攻擊者能夠用來側錄鍵盤輸入內容、資料外洩、繞過安全防護措施，甚至能進一步控制受害電腦。究竟攻擊者的目的為何？研究人員推測，主要很有可能是為了進行更深入的監控，並且截取特定的資料。</p> <p><a href="https://www.ithome.com.tw/news/166278"><strong style="font-size: 22px;">日本遭APT-C-60網釣攻擊，濫用StatCounter、Bitbucket並意圖散布SpyGlace後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/APT-C-60-fig1-ec9cbc65.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT-C-60-fig1-ec9cbc65.png" style="width: 300px; float: right;" /></a></p> <p>日本電腦網路危機處理暨協調中心（JPCERT/CC）指出，他們得知駭客組織APT-C-60於今年8月攻擊日本企業組織，對方佯裝成求職者向人資窗口寄送釣魚信，意圖散布惡意程式。</p> <p>在這波攻擊行動裡，駭客寄送含有Google Drive連結的釣魚信，一旦收信人點選連結，電腦就會下載含有惡意程式的VHDX虛擬磁碟檔案，該檔案內含誘餌及Windows捷徑檔（LNK）。</p> <p>收信人若是點選附件，電腦就會掛載虛擬磁碟並顯示偽製成自我介紹的LNK檔案，一旦開啟，電腦就會啟動檔名為IPML.txt的Shell檔案，此Shell程式就會下載惡意程式下載工具SecureBootUEFI.dat，並以COM挾持（Component Object Model Hijacking）的方式執行，藉此讓攻擊者在受害電腦持續活動，最終於受害電腦植入後門程式SpyGlace。</p> <p><a href="https://www.ithome.com.tw/news/166280"><strong style="font-size: 22px;">惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GodLoader-6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GodLoader-6.png" style="width: 300px; float: right;" /></a></p> <p>最近2年駭客利用合法元件癱瘓防毒軟體及EDR系統的情況，不斷有資安事故傳出，其中最常見的手法，便是使用過時的驅動程式，以作業系統核心層級來干擾這些資安防護機制的運作，但如今有人轉向其他工具來突破防線。</p> <p>資安業者Check Point指出，他們發現名為GodLoader的惡意軟體，從今年6月底開始透過開源遊戲引擎Godot，並執行特製的GDScript指令碼，駭客藉此觸發惡意指令，並於受害電腦載入惡意軟體，迄今約有1.7萬臺電腦遭到感染，而且，許多防毒軟體可能無法偵測攻擊者使用的惡意指令碼，因為將這些程式送到惡意軟體分析平臺VirusTotal檢測，鮮少有防毒引擎將其視為有害。</p> <p>值得留意的是，該惡意軟體散布的管道，是濫用程式碼儲存庫GitHub組成的Stargazers Ghost網路，從9月至10月，約有200個儲存庫用於散布GodLoader。</p> <p><a href="https://www.ithome.com.tw/news/166221"><strong style="font-size: 22px;">因不滿成為OpenAI宣傳影片生成器Sora的工具，受邀測試的藝術家洩露存取權限</strong></a></p> <p>一群被OpenAI邀請來測試文字轉影片AI模型Sora的藝術家，因為認為自己被OpenAI免費用來行銷Sora，而在Hugging Face上釋出了Sora的存取權限。不過，OpenAI在3小時後就關閉了針對藝術家所提供的早期存取權限。</p> <p>而該藝術社群在11月26日發表公開信，指出約有300名藝術家獲得了Sora的存取權限成為早期測試者、紅隊成員，以及創意合作夥伴，然而，他們卻認為自己是被OpenAI引誘以替其展開藝術漂白，向全世界說明Sora對藝術家來說是個有用的工具。</p> <p>公開信中闡述，藝術家們使用Sora所生成的影片，在對外分享之前都必須獲得OpenAI團隊的批准，此一早期存取計畫似乎不太關心創意表達與批評，而更在意公關及廣告。對此，他們公開取得的存取權限，讓一般使用者也能探索、實驗Sora的能力。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/k/return-of-anel-in-the-recent-earth-kasha-spearphishing-campaign.html">中國駭客Earth Kasha從事網釣攻擊，意圖對日本企業散布後門程式Anel</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/tracing-the-path-of-vietcredcare-and-ducktail/">越南駭客透過企業臉書帳號散布竊資軟體VietCredCare、DuckTail</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/">針對遭遇中國駭客Salt Typhoon入侵的事故，T-Mobile公布最新調查結果</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2024/11/22/microsoft-shares-latest-intelligence-on-north-korean-and-chinese-threat-actors-at-cyberwarcon/">北韓駭客半年內竊取逾1千萬美元加密貨幣、針對衛星與軍事系統從事網釣攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/">網路流量監控系統Zabbix存在重大層級漏洞，恐被用於SQL注入、RCE攻擊</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166264"><strong style="font-size: 22px;">行政院推打詐策略行動綱領2.0，提高產業防詐監管力度、AI科技防詐是關鍵</strong></a></p> <p>為遏止詐騙盛行，行政院推動新世代打擊詐欺策略行動綱領2.0版（後簡稱打詐策略行動綱領2.0），除強化金融、電信產業的防詐策略，也擴大納入數位經濟產業，提高對產業監管力度以對抗各種詐騙手法，並且積極運用AI以強化科技防詐。</p> <p>打詐策略行動綱領2.0，打詐辦公室轉型為打詐指揮中心，分為識詐、堵詐、防詐、阻詐、懲詐5個面向，分別由內政部、NCC、數發部、金管會、法務部負責，各自針對警政宣傳、電信產業、數位經濟產業、金融產業、偵查提出打詐對策，並由打詐指揮中心跨部會協調合作，2.0也加強中央政府和地方政府合作，取得通報、共同打詐防詐。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166158"><strong style="font-size: 22px;">AWS與Rust基金會攜手，驗證Rust標準函式庫的安全性</strong></a></p> <p>AWS與Rust基金會11月20日共同舉辦新競賽，期望號召社群的力量，來驗證Rust標準函式庫的安全性。</p> <p>AWS表示，由core、alloc與std等套件組成的Rust標準函式庫，替開發者提供了許多常用的功能，這些功能在外部看起來是安全的，但它們在內部可能使用了unsafe區塊來實現一些低階的高效能操作或硬體互動，而且並未經過真正的安全驗證。</p> <p>因此，AWS與Rust基金會共同推出一系列的挑戰賽，專注於驗證記憶體安全，以及Rust標準函式庫中未定義行為的子集，參與者可以透過指定合約、驗證函式庫元件，或是開發新的驗證工具來作出貢獻，而且每項成功的挑戰都可獲得獎勵。本競賽的最終目標，是要讓驗證成為Rust語言持續整合過程中不可或缺的一部分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> </div></div></div>
2024/11/29 17:15作者周峻佑https://www.ithome.com.tw/news/166281
日本遭APT-C-60網釣攻擊，濫用StatCounter、Bitbucket並意圖散布SpyGlace後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本電腦網路危機處理暨協調中心（JPCERT/CC）指出，他們得知<a href="https://blogs.jpcert.or.jp/ja/2024/11/APT-C-60.html">駭客組織APT-C-60於今年8月攻擊日本企業組織</a>，對方佯裝成求職者向人資窗口寄送釣魚信，意圖散布惡意程式。</p> <p>在這波攻擊行動裡，駭客寄送含有Google Drive連結的釣魚信，一旦收信人點選連結，電腦就會下載含有惡意程式的VHDX虛擬磁碟檔案，該檔案內含誘餌及Windows捷徑檔（LNK）。</p> <p>收信人若是點選附件，電腦就會掛載虛擬磁碟並顯示偽製成自我介紹的LNK檔案，一旦開啟，電腦就會啟動檔名為IPML.txt的Shell檔案，此Shell程式就會下載惡意程式下載工具SecureBootUEFI.dat，並以COM挾持（Component Object Model Hijacking）的方式執行，藉此讓攻擊者在受害電腦持續活動。</p> <p>此DAT檔案接著存取網頁分析工具StatCounter，目的是確認受害電腦使用的HTTP參照區域內容，從而得知電腦名稱、使用者名稱等資訊，然後再從程式碼代管平臺Bitbucket下個階段的作案工具Service.dat，而這個檔案又會在受害電腦產生另外2個元件cn.dat、sp.dat，最終載入後門程式SpyGlace。</p> <p>研究人員指出，在今年8月至9月，有其他資安業者也察覺相關攻擊行動，其共通點就是濫用Bitbucket和StatCounter伺服器，而且，攻擊者會操弄COM物件以便持續活動。雖然他們發現的攻擊行動針對日本，但韓國、中國，以及其他東南亞國家，也可能會出現類似攻擊行動。</p> </div></div></div>
2024/11/29 15:12作者周峻佑https://www.ithome.com.tw/news/166278
澳洲開全球先例，禁止16歲以下的青少年使用社交媒體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲參議院今日（11/29）<a href="https://www.aph.gov.au/Parliamentary_Business/Bills_Legislation/Bills_Search_Results/Result?bId=r7284" target="_blank">通過</a>了有關社交媒體最低年齡（Social Media Minimum Age）的《線上安全修正法》（Online Safety Amendment Bill），要求社交平臺應該阻止16歲以下的兒童註冊帳號，這是全球第一個將社交平臺使用年齡列入國家法規的案例，預計於12個月後生效，未能遵守規定的平臺，將面臨高達4,950萬澳元的罰款。</p> <p>澳洲議員<a href="https://www.aph.gov.au/Parliamentary_Business/Committees/Senate/Environment_and_Communications/SocialMediaMinimumAge/Report/Chapter_1_-_Introduction" target="_blank">認為</a>，雖然社交媒體已是現代社會不可或缺的一部分，但它們也是有害內容的所在地，而年輕人的社交媒體使用則是一個複雜的問題，因為沒有兩個孩子在社交媒體上的經驗是相同的；它們的主要目的與特色差異很大，因而會對用戶帶來不同程度的風險；兒童對社交媒體的使用也存在差異，包括他們所造訪的平臺，所參與的內容，或所接觸的數位功能。</p> <p>專門保護澳洲公民於網路空間之安全的eSafety Commissioner進行了一項調查，發現有95%的照顧者認為，兒童的網路安全是他們所面臨的最艱鉅的育兒挑戰。</p> <p>另外，就在此一法案表決的前夕，YouGov進行了一項公開投票，<a href="https://au.yougov.com/politics/articles/51000-support-for-under-16-social-media-ban-soars-to-77-among-australians" target="_blank">發現</a>有高達77%的澳洲人贊成此案。</p> <p>其實美國也曾制定《兒童線上隱私保護法》（Children’s Online Privacy Protection Act，COPPA），禁止網站在未取得明確同意前，蒐集13歲及以下兒童的資訊，但包括COPPA在內的多國法令，都只要求社交平臺必須於服務條款中明文禁止兒童註冊，而未像此一澳洲法令提出了具體法律責任及罰款。</p> <p>《線上安全修正法》要求社交媒體平臺必須採取合理措施來驗證使用者年紀，但禁止強制使用者提交個人身分資料，預計於明年中開始測試，明年底全面生效。</p> <p>此一法令適用於TikTok、Facebook、Snapchat、Reddit、Instagram及X等社交平臺。由於它的目的是防止受限年紀的使用者，存取社交平臺上登入帳戶者可使用的內容與功能，因此並不危及不必登入就能觀看的YouTube。</p> <p>該法案也惹來一些批評，反對者認為此一立法過於倉促，可能存在隱私問題；也有心理專家擔心，這可能導致脆弱的青少年被孤立；亦有人說這代表兒童不必負責，家長不必負責，卻由平臺負責；而社交平臺則懷疑此一規定的可執行性。</p> </div></div></div>
2024/11/29 14:24作者陳曉莉https://www.ithome.com.tw/news/166276
加拿大要求Google出售兩款廣告技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大競爭局（Competition Bureau Canada）周四（11/28）<a href="https://www.canada.ca/en/competition-bureau/news/2024/11/competition-bureau-sues-google-for-anti-competitive-conduct-in-online-advertising-in-canada.html" target="_blank">指控</a>Google在加拿大的網路廣告技術服務，違反了當地的反競爭法令，要求Google出售其中的兩款廣告技術。</p> <p>競爭局解釋，許多出版商都仰賴數位廣告來支持它們的活動，數位廣告資源通常是透過平臺的拍賣來購買與銷售，所牽涉到的多種工具即被稱為廣告技術堆疊。在加拿大，Google即是網路廣告之技術堆疊最大的供應商，卻濫用其主導地位，限制市場參與者使用自己的廣告技術工具，阻止競爭對手利用其產品優勢進行競爭，還利用其它方式扭曲競爭過程。</p> <p>Google所擁有的技術堆疊包括，用來管理廣告庫存的賣方工具Google Ads及Display & Video 360，廣告商用來購買廣告空間的買方工具DoubleClick for Publishers，以及交易平臺Ad Exchange。</p> <p>具體而言，加拿大競爭局發現Google非法捆綁其各種廣告科技工具，以維持其市場主導地位，並讓自己的工具優先存取廣告資源，某些情況下還不惜虧本競爭，還列出允許客戶與競爭對手合作的條款，上述種種已足以阻礙競爭並抑制創新。</p> <p>於是該局要求Google出售買方工具DoubleClick for Publishers，與交易平臺Ad Exchange，支付Google反競爭行為得利的3倍或全球總收入的3%罰款，以及不准再從事反競爭行為。</p> <p>此一投訴將由加拿大獨立的競爭法庭（Competition Tribunal），根據當地的競爭法令定奪。</p> </div></div></div>
2024/11/29 14:52作者陳曉莉https://www.ithome.com.tw/news/166277
雲原生明日之星WebAssembly
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">這是今年雲原生生態圈最熱門的技術話題，更被視為K8s未來十年三大方向之一，Gartner直言影響力不輸GenAI。Google用來創造多款產品的流暢體驗，Adobe靠它才將Photoshop搬上雲端，更是Amazon影音服務通吃8千種裝置的秘訣，連高盛集團、德國Bosch、西門子、迪士尼、英國BBC都愛用。</p> </div></div></div>
2024/11/29 14:58作者王宏仁https://www.ithome.com.tw/article/166268
雲原生技術關鍵下一步
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2015年，剛好是JavaScript和PHP問世的20 周年，我們邀來這兩大語言的發明人，JavaScript之父Brendan Eich和PHP之父Rasmus Lerdorf，擔任Modern Web開發大會的主題講者。大家最好奇的問題是，這兩個語言下一個十年、二十年會怎麼發展？</p> <p>中午找來幾位開發社群成員，與兩大開發教父一起用餐，兩位大師除了大談爸爸經和開發圈秘辛之外，他倆不約而同地提到，效能，是網頁開發語言接下來最重要的課題。</p> <p>Rasmus Lerdorf演講中展示了當年最新發表的PHP 7（現在已經到8.4了），背後有哪些優化設計，可以讓大型網站服務的執行效能快一倍，也讓PHP更適合用來打造微服務架構的應用。</p> <p>Brendan Eich更絕，直接在演講中，在臺上玩起第一人稱射擊遊戲，全場觀眾大吃一驚，包括坐在前幾排的我。這款操作靈巧，畫面流暢的3D互動遊戲，竟然是跑在瀏覽器中的Web應用。秘訣就是這款應用用了支援Asm.js的遊戲引擎Unity與Unreal。透過編譯JavaScript子集合的作法，讓JavaScript執行效率幾乎跟Bytecode程式一樣。</p> <p>一個月後，JavaScript之父和四大瀏覽器平臺業者聯手，發起了W3C WebAssembly社群小組，想要重新發明JavaScript網頁應用，他以WebAssembly來命名這項新技術，顧名思義，就是Web的Assembly（組合語言）形式，要讓網頁應用也能擁有二進位Bytecode的執行格式。</p> <p>不過，WebAssembly的做法跟JavaScript子集合有本質上的不同，Brendan Eich指出，WebAssembly直接定義了一個新的網頁執行層，而非JavaScript子集合，讓瀏覽器能直接執行二進位檔案格式的WebAssembly檔案，來達桌面軟體般的速度。他更點出了一個趨勢，WebAssembly技術不限於JavaScript，而是任何語言都可以用的技術。</p> <p>兩年後，各大瀏覽器紛紛支援這項新的W3C標準，不少科技公司，都用WebAssembly來打造大型網頁應用，或是需要龐大運算的線上服務。Google就是其中一家。</p> <p>Google地球就是靠V8引擎的WebAssembly多執行緒支援，才在瀏覽器中實作出任意放大縮小的飛行視角操作。Google Sheets則是用Wasm封裝Java計算引擎，讓超大型試算表的計算速度提高了1.8倍。</p> <p>Adobe花了很多年，想要將設計圈最重要的軟體Photoshop搬上雲端，一直克服不了JavaScript的效能問題，後來找Google幫忙，改用Wasm技術，終於在2021年打造出Web版Photoshop測試版，去年正式推出。 </p> <p>2019年，Mozilla聯手雲端新創Fastly，將Wasm帶出瀏覽器以外的世界，發表了WASI（WebAssembly System Interface）專案，透過獨立執行的runtime程式和命令列工具，不需要瀏覽器，可以直接在桌機或伺服器端執行Wasm應用。</p> <p>這一步讓Wasm成了雲原生世界的要角。這個原本在瀏覽器中的安全沙盒技術，轉而可以在任何地方，提供一個輕量、快速、安全、跨平臺的應用程式執行環境。這兩年甚至開始具備跨語言能力，可以讓多個語言的Wasm檔案，只靠同一個runtime，在單一隻應用中互相互動，就像同款語言開發的元件一樣。</p> <p>生成式AI開發圈也看上Wasm的輕薄短小，高速冷啟動能力。現在若想用GPU來執行一隻AI推論程式，除了開發者自己的程式碼之外，還需要Nvidia的CUDA runtime、AI技術框架如PyTorch或TensorFlow函式庫，加起來的容器映像檔，最少也要4.8GB，若再加上所用的LLM模型檔案可能多達10GB，想要執行一隻容器化的AI推論應用，至少要15GB，冷啟動的時間往往得花上30秒，甚至好幾分鐘。常見做法是，提前啟動AI推論的服務來待命，這也限制了AI推論的部署和執行模式。</p> <p>但若改用Wasm技術來封裝AI推論應用，Wasm平臺新創Fermyon技術長Radu Matie指出，只需要數MB檔案大小，冷啟動可以大幅縮短到千分之幾秒，可以切割出短暫的GPU算力，來提供「剛好即時（Just in time）」的AI推論回應。</p> <p>甚至今年還出現了Wasm打包的AI推論框架LlamaEdge，包括了一套10億參數量的Llama 2模型，檔案大小只有30MB，可以提供GPU原生應用執行速度。Wasm可以成為GAI快速部署到不同環境、提供快速推論的關鍵基礎環境。</p> <p>也難怪，Gartner在2024年新興科技發展周期報告中，特別將WebAssembly和GenAI並列為唯二，跨出「期望過高的巔峰期」，即將進入技術成熟度曲線的「幻滅期」，意味著這兩項技術已經度過了炒作階段，接下來經過一段時間改善和優化，就會進入穩定發展的成熟期，最快2～5年，就會對全球帶來變革式的影響。</p> <p>11月剛在鹽湖城落幕的KubeCon北美大會，WebAssembly更成了這場容器與雲原生大會最熱門的技術話題，被視為K8s未來十年的三大發展方向之一，與eBPF、IT永續並列。</p> <p>國外也有企業開始採用這項技術，例如高盛集團有個每天數百萬次呼叫的開發者平臺，用不同種語言開發的API外掛，都全面改用Wasm來封裝，大幅簡化了部署和管理的工作。</p> <p>K8s、容器技術是許多臺灣企業數位轉型，推動IT現代化所用的主流、核心技術，但是，雲原生的下一波技術WebAssembly開始成熟，值得大家留意！</p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/webassembly">WebAssembly</a></div><div class="field-item odd"><a href="/tags/wasm">wasm</a></div><div class="field-item even"><a href="/tags/bytecode">Bytecode</a></div><div class="field-item odd"><a href="/tags/cncf">CNCF</a></div><div class="field-item even"><a href="/tags/%E5%AE%B9%E5%99%A8">容器</a></div><div class="field-item odd"><a href="/tags/%E8%99%9B%E6%93%AC%E5%8C%96-0">虛擬化</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/wasm%E5%A4%A7%E8%AA%BF%E6%9F%A5">Wasm大調查</a></div><div class="field-item even"><a href="/tags/wasm%E7%94%9F%E6%85%8B%E5%9C%B0%E5%9C%96">Wasm生態地圖</a></div><div class="field-item odd"><a href="/tags/wasm-landscape">Wasm Landscape</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E5%8E%9F%E7%94%9F%E7%94%9F%E6%85%8B%E5%9C%B0%E5%9C%96">雲原生生態地圖</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E5%8E%9F%E7%94%9F">雲原生</a></div></div></div>
2024/11/29 14:59作者王宏仁https://www.ithome.com.tw/voice/166269
中國及越南遭到CleverSoar惡意部署工具鎖定，攻擊者意圖散布Winos 4.0、Nidhogg
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客運用惡意軟體框架Winos 4.0從事攻擊行動的情況，今年已發生數起資安事故，例如：6月趨勢科技揭露<a href="https://www.ithome.com.tw/news/163597">駭客組織Void Arachne的攻擊行動</a>，假借提供AI應用程式的名義，向簡體中文用戶散布這款惡意軟體；到了11月初，另一家資安業者Fortinet指出，有人利用這款惡意程式框架，<a href="https://www.ithome.com.tw/news/165897">疑似鎖定教育機構下手</a>，如今相關的攻擊行動再度傳出。</p> <p>資安業者Rapid7指出，他們在11月初<a href="https://www.rapid7.com/blog/post/2024/11/27/new-cleversoar-installer-targets-chinese-and-vietnamese-users/">發現了名為CleverSoar的惡意程式部署工具（Installer）</a>，攻擊者的主要目標，是慣用簡體中文與越南文的使用者。駭客意圖利用這款部署工具在受害電腦植入多種惡意程式，並保護這些軟體的運作不受到干擾。</p> <p>而這些對方使用的惡意程式，包含了Winos 4.0進階版本，以及名為Nidhogg的Rootkit程式。攻擊者能夠用來側錄鍵盤輸入內容、資料外洩、繞過安全防護措施，甚至能進一步控制受害電腦。究竟攻擊者的目的為何？研究人員推測，主要很有可能是為了進行更深入的監控，並且截取特定的資料。</p> <p>究竟攻擊者的身分為何，目前仍不明朗，但研究人員提及，這些駭客很可能曾經散布木馬程式ValleyRAT，並利用Winos 4.0攻擊教育機構。</p> <p>駭客最早可能在今年7月下旬打造CleverSoar，攻擊者提供MSI安裝程式，一旦受害者執行，電腦就會啟動該惡意程式部署工具。</p> <p>該部署工具首先會檢查電腦的語言設定，確認是否為簡體中文或越南文，若非這兩種語言，此工具就會終止運作，這樣的配置，也突顯這是一起針對性的攻擊行動。根據駭客散布的MSI安裝程式檔名，研究人員推測，很有可能是假借遊戲相關應用程式散布。</p> <p>值得留意的是，駭客在植入各式惡意程式的過程裡，CleverSoar還會停用受害電腦的防毒軟體，此外，為了避免於研究人員的虛擬機器環境運作，攻擊者還呼叫特定參數，運用SMBIOS韌體表來確認是否在真實的電腦執行。</p> <p>再者，攻擊者也會利用特定的功能涵數，檢查Microsoft Defender的模擬器狀態，來確認執行的環境狀態。</p> <p>為了讓惡意程式能正常運作，CleverSoar也運用特定的群組原則，防止第三方的DLL元件注入，這麼做是針對防毒軟體和EDR系統的掛鉤行為而來，使得這類系統無法於正在執行的處理程序當中，注入資安防護元件相關的DLL檔案。</p> </div></div></div>
2024/11/29 12:14作者周峻佑https://www.ithome.com.tw/news/166273
為何Wasm檔案超小執行速度極快？虛擬機器、容器、Wasm三大雲原生技術大比較
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1998年誕生的虛擬化技術的VM、2013年出現Docker容器技術和K8s，以及2019年開始走出瀏覽器Wasm，都是可以用來部署和建置雲原生基礎架構的根本技術，也都提供了一個沙盒般的獨立軟體執行環境，可以用來執行應用系統或程式。不過，這三者有很大的不同，尤其是Wasm技術，從一開始的技術創立目的，就和前兩者截然不同。</p> <p>Wasm技術發明之初，就是為了解決JavaScript效能問題，希望讓瀏覽器中的Web應用能像桌面原生軟體一樣的高速執行。而VM技術是為了更善用硬體資源，讓不同應用系統各自有自己完整的虛擬「實體主機資源」可用，而Docker則是為了解決應用程式相依性越來越複雜的挑戰，想要讓AP可以到處執行。</p> <p>不過，從技術實作背後的核心概念，VM是將實體環境的複雜度封裝到單一環境中，容器則是將AP的相依性複雜度，封裝到單一環境中，這兩者比較相似，但Wasm則是在瀏覽器環境中，創造一個Bytecode二進位執行格式的沙盒環境，來提高執行速度，技術實作的方向有很大的不同。但因瀏覽器本來就是一個與作業系統層隔離的獨立執行環境，也格外講究與實體資源的安全，以及瀏覽器內不同網頁程式之間的隔離性，這就讓Wasm先天帶有類似容器的將可以封裝AP複雜性的特色和隔離實體環境複雜度的特性。</p> <h3><span style="color:#B22222;"><strong>Wasm檔案為何遠比虛擬機器、容器映像檔小這麼多？</strong></span></h3> <p>因為技術實作的不同，VM等於模擬了一整個實體主機環境，有虛擬CPU、虛擬記憶體、虛擬儲存，因此可以安裝多套或大型的應用系統，映像檔案大小也最大，光是安裝一套作業系統，就可能需要好幾GB。<br /> 而容器不需要作業系統，只需要執行程式碼相關的必要元件，可取得記憶體資源、也可以配置本地端儲存給容器專用。容器常用來執行一隻應用程式，一隻微服務，執行同樣程式碼的容器映像檔大小比VM映像檔小了不少，冷啟動速度也快上許多。</p> <p>Wasm同樣不需要作業系統，目前也無法配置本地端儲存，常用來執行一隻應用、一隻程式或是一支元件。因為封裝到Wasm的程式碼，會經過編譯處理成二進位格式檔，而不是採取映像檔的形式來載入，因此，同樣功能程式碼的Wasm檔案，遠比容器映像檔格式小非常多。這也讓Wasm的冷啟動執行速度超短。</p> <p>技術特性、映像檔和執行檔大小，也影響了這三類技術可以部署的環境。VM大多部署於公雲環境、實體伺服器或是邊緣主機，需要有一定硬體規格的設備上。而容器除了上述三類基礎架構環境之外，也可部署到硬體規格較低階的行動裝置、邊緣裝置上。Wasm檔案的硬體規格需求最低，虛擬機器和容器可部署的環境之外，甚至可以部署到小型邊緣設備，IoT設備，甚至是IoT感測器上。</p> <p>這三者技術目前也可以混用在同一個執行環境中，Docker公司早在2022年就宣布開始支援Wasm，可以讓Docker容器的Runtime也能同時執行wasm檔案，而微軟則在去年發表了Hypervisor對Wasm的支援技術，可以在Hyperbisor平臺上，同時支援虛擬機器、容器和Wasm，甚至可以混用這三者，不過，還只是技術預覽功能。</p> <h3><span style="color:#B22222;"><strong>Wasm冷啟動速度可以比容器快上百倍</strong></span></h3> <p>冷啟動速度來說，雖然這個速度會受到執行程式碼規模和複雜度的影響，但大概來比較，以執行同樣功能的一隻應用程式來說，Wasm是最快，甚至可以說超快。虛擬機器的冷啟動速度，常見是數十分鐘，可說是分鐘級的冷啟動速度，而容器則可以縮短到數十秒，甚至數秒內，可說是秒級的冷啟動。</p> <p>由於Wasm是經過編譯後的Bytecode檔案，幾乎是載入就可以執行，再加上Wasm檔案極小。因此可以做到毫秒等級的冷啟動速度，這是千分之幾秒的程度，就能開始一支Wasm應用。</p> <p>對於開發語言的支援上，不論是在虛擬機器或是容器中，都需要該語言的runtime來執行，例如用了GO語言和Rust，就需要這兩種與言的runtime才能執行。但是在wasm的做法不一樣，經過事先編譯，可以將不同語言編譯成同樣的Bytecode執行格式，因此，只需要一隻wasm的runtime，就可以執行不同語言編譯過的wasm檔案，等於是用一隻runtime通吃各種語言，甚至WASI提出的新元件模式，可以讓不同程式語言的Wasm元件，彼此有一個標準的輸入輸出溝通方式，彷彿就像是用同一種語言開發的兩隻元件一樣。不過，目前不是所有開發語言都能支援Wasm，不同語言的支援程度也不盡相同，以Go、JavaScirpt、C#、Rust語言的支援度相對完整且穩定。其餘也有四、五十種語言提供部分程度的支援，使用時得留意支援度不足的地方。</p> <p>若以用GPU來執行AI推論的功能來比較，除了AI推論的程式碼之外，還需要Nvidiak的CUDA runtime，以及一套AI框架，像是PyTorch，光是這三者，最小的容器映像檔大小就接近5GB，LLM基礎模型的檔案大小也動輒數GB，甚至數十GB，整個加起來，至少要有15GB，以前，容器問世時，常有人打趣說，VM太肥，所以需要容器來解決，但是，LLM推論需要的容器映像檔也動輒是數GB或數十GB，就像是當年過於肥大的VM一樣。</p> <p>同樣功能，若改用Wasm，自製推論程式碼、CUDA runtime加上PyTorch框架和10GB的LLM基礎模型，編譯後可以大幅縮小到數MB，可以說比同樣功能的容器或VM映像檔，足足少了1千倍，這也正是Wasm冷啟動速度可以超級快的原因。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%89%E5%A4%A7%E9%9B%B2%E5%8E%9F%E7%94%9F%E6%8A%80%E8%A1%93%E6%AF%94%E8%BC%83%E8%A1%A8.jpeg" /></p> <p> </p> <p><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);">後續報導請見：</span><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color: rgb(51, 102, 255);">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a><span style="color: rgb(51, 102, 255);"> </span></strong></span></p> <p> </p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 11:36作者王宏仁https://www.ithome.com.tw/news/166272
Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際顧問公司Gartner每年都會發表一張新興科技發展周期報告，盤點2千項技術和應用框架，以未來2年到10年的變革和影響性為比較標準，選出當年最重要的25項新興技術，繪製成當年的新興技術成熟度曲線圖。全球爆紅的生成式AI，正是2023年進入這份清單，但是，在同一年，還有另一項技術和GAI一起入選，就是WebAssembly，簡稱Wasm。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>WebAssembly的影響力媲美GenAI和Docker</strong></span></span></p> <p>到了2024年的新興科技發展周期報告，Gartner甚至將WebAssembly和GenAI並列為唯二，跨出「期望過高的巔峰期」，即將進入技術成熟度曲線的「幻滅期」，這也代表了，Gartner認為，這兩項技術已經度過了炒作階段，接下來經過一段時間改善和優化，就會進入穩定發展的成熟期，最快2～5年，就會對全球帶來變革式的影響。</p> <p>Gartner對WebAssembly影響力的期待，僅次於GenAI，遠遠超過其他新興技術。Gartner特別看好WebAssembly的理由是，這項技術賦予網頁應用超高效能，特別適合微服務和無伺服器環境的應用。目前的缺點是，會提高複雜度，大規模導入的學習門檻也很高。</p> <p>不只跨國顧問公司看好這項技術，今年是K8s問世十年，因這項技術擴大成型的雲原生生態圈，回顧過去之際，也開始思考K8s和雲原生技術的下一個十年發展方向。有不少技術意見領袖，紛紛將WebAssembly視為K8s下一個十年最重要的發展，與eBPF、IT永續並列為雲原生技術未來三大關鍵發展方向。尤其到了今年11月，在美國鹽湖城舉辦的Kubecon北美場大會中，WebAssembly成了這場K8s生態圈年度大會中最熱門的話題。今年也首度將WebAssembly技術年會與Kubecon大會共同舉辦，不少科技公司和企業出來分享自己使用Wasm的經驗，例如美國高盛金融集團、德國製造大廠博世Bosch集團、工廠自動化設備大廠西門子等。</p> <p>CNCF推廣大使太田航平早在今年10月來臺參加K8s高峰會時，在主題演講中就強調，K8s的下一波發展有三大重要機制，第一項就是WebAssembly。為何這項技術對雲原生的發展，非常重要？他解釋，WebAssembly可以提供一個獨立的執行環境，不限任何開發語言、作業系統和CPU的執行環境。換句話說，WebAssembly可以提供一個通吃任何開發語言、作業系統，甚至是CPU架構的執行環境。他更現場展示後端工程師慣用的GO語言、網站開發語言Ruby和行動應用常用的Swift如何編譯成Wasm格式的二進會檔來執行，Docker容器也可以放進Wasm來執行。</p> <p>太田航平特別強調，WebAssembly技術，可以將不同的開發語言編譯成二進位格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不只科技巨頭，跨國金融集團、製造大廠也開始嘗試</strong></span></span></p> <p>Google是參與WebAssembly標準的推動者，更是第一批採用這項技術的科技公司，許多知名的服務都靠WebAssembly來創造出流暢的使用體驗，像是用C++語言開發的Google地球，就是靠V8瀏覽器引擎的WebAssembly多執行緒支援，才在瀏覽器中實作出桌面版般的任意放大縮小、飛行視角般的瀏覽操作。線上版Google Sheets用Wasm封裝Java計算引擎，讓超大型試算表提高了1.8倍的計算速度。Google Photo團隊則靠Wasm，將用單一語言開發的照片編輯功能程式碼，部署到iOS、Android和Web等不同平臺上，開發一次，不用任何改寫就能到處部署。</p> <p>Google旗下開源機器學習框架TensorFlow的JS版本的核心，同樣用Wasm縮短了好幾倍的模型推論時間，甚至用Wasm結合多執行緒，比用GPU加速的JavaScrpit 2D/3D函式庫WebGL來執行相同推論，可以縮短好幾倍的時間，這個效能優化，讓沒有GPU的行動裝置，也能快速進行AI推論。</p> <p>Adobe是另一家大力擁抱Wasm的愛用者，像是Lightroom線上相片編輯和特效工具、Express（前身是Spark）線上相片設計工具，都採用了WebAssembly技術來優化操作體驗。甚至是他們旗下最知名的設計工具Photoshop，這是一套用C++語言開發的多執行緒軟體，Adobe花了很多年，想要將這款設計圈最重要的軟體搬上雲端，一直克服不了JavaScript的效能問題，後來找來Google幫忙，才在2021年，打造出Web版Photoshop測試版，去年正式推出，Adobe也用這項技術陸續將更多需要重度運算需求的軟體產品，也慢慢搬上雲端。 </p> <p>光是運用WebAssembly的SIMD（單指令流多資料流）處理能力，對大型圖檔中大量像素進行平行處理計算，平均就提高了3～4倍的處理速度，有些特效處理甚至可以加快80～160倍的速度。WebAssembly讓線上版Photoshop具有不輸桌面原生軟體版的流暢性和速度。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>高盛集團開發者平臺大幅改用Wasm封裝API</strong></span></span></p> <p>不只是科技巨頭愛用，也有大型企業開始嘗試Wasm，例如高盛銀行有一個每天數百萬次，甚至爆量到上億次呼叫請求的開發者API平臺，他們在2023年時，花了8、9個月驗證如何用Wasm來封裝不同語言，如Go、Java、Typescript開發的API外掛，統一這些外掛程式的部署和管理。高盛銀行第四季正式釋出了第一款用Wasm打包的API外掛，不出3個月，全部的API外掛程式在年底時都改用Wasm形式來提供。</p> <p>高盛集團早在好幾年前，就開始採用API優先戰略，也推出了一個開發者平臺，釋出各種類型的API給內部各部門和外部第三方合夥夥伴和合作開發者。</p> <p>他們也打造了一個完全用API架構的數位銀行交易平臺，同樣提供了大量API，可以將高盛金融服務嵌入到各種第三方應用中。這個開發者評平臺提供了包括三大類，資料類AP像是資料篩選、資料分析處理、資料管理等資料類API，也有用於風險分析和投資分析的工具服務，還有一大類是銀行金融交易類的API，像是銀行交易類API，如支付、財富管理API等，也包括了一套金融區塊鏈API，這些API會以外掛的彈性組合形式來對外提供。這個高盛集團的開發者平臺，每天的API呼叫次數加起來，高達數百萬次，甚至上億次。 </p> <p>這些外掛API部分來自開發者平臺團隊開發，更多是不同產品團隊各自開發。因為這些API是多年來陸續開發的成果，採用的開發語言涵蓋了Java、Go和TypeScript。不同團隊各有自己的開發實踐。<br /> 高盛平臺團隊想要找到一個技術，可以用來統一不同開發語言，使用單一獨立的runtime環境，來提高安全性，還要讓程式碼更容易重複使用。所以，他們先從一個重複帳號檢查功能開始進行PoC驗證，成效不錯。</p> <p>尤其，將Wasm編譯流程加入到原有的開發流程時，仍舊可以套用原本多數開發流程的工具和安全機制，像是程式碼掃描、套件管理、相依性管理工具，都不需要有太大變動，讓開發者可以繼續使用原本熟悉的工具。改用Wasm編譯後的API程式檔案，執行效能明顯提高，也更方便和其他部門共享不同程式語言開發的元件。</p> <p>高盛集團工程管理總監Rohan Deshpande指出，善用Wasm，可以提高API外掛生態圈品質和彈性的關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E9%AB%98%E7%9B%9Bapi%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B%E9%9B%86%E5%9C%98.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color:#696969;"><strong>高盛銀行有一個每天數百萬次呼叫請求的開發者API平臺，他們在2023年時開始驗證如何用Wasm，來封裝不同語言所開發的API外掛，統一這些外掛程式的部署和管理，最後讓全部的API外掛程式都改用Wasm形式來提供。</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／高盛集團</span></span></p> <p>德國製造大廠Bosch有個研究團隊，則在2023年底時，分享了在自駕車軟體和工廠系統運用Wasm的經驗。他們用Wasm搭配容器技術，來部署汽車駕駛系統的嵌入式軟體元件，大幅簡化了電動車內不同類型異質裝置的安裝管理。他們還看上Wasm的毫秒級冷啟動能力，在工業自動化設備的邊緣主機上，用Wasm來部署監控軟體，可以幾乎即時的速度，來分析工控PLC系統回傳的資料，來判斷是否出現問題要發出預警，就算邊緣主機當機（製造工廠環境常見的故障風險），也能快速（毫秒等級）在另一臺邊緣主機啟用新的Wasm監控軟體，做到幾乎即時的故障自動切換能力，不會中斷對工廠自動化產線的持續監控。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Amazon影音服務靠Wasm支援8千種各類裝置</strong></span></span></p> <p>Amazon的Prime Video服務則看上了Wasm通吃各種裝置、平臺的能力。Amazon這項影音服務數百萬名顧客所用的裝置高達8千種類型，除了電腦、手機，還有遊戲主機、各類數位電視、機上盒、USB串流棒等。每次要改版，幾乎很難針對每一種環境提供專門的升級版本。所以，Amazon從2020年8月開始測試Wasm，發現同樣的功能，用Rust語言開發，再編譯成Wasm檔案格式執行，可以比用JavaScript開發的執行速度快上10到25倍，便決定在2021年大幅改用WebAssembly混用JavaScript，來簡化軟體版本升級的流程。</p> <p>Amazon會在裝置上預載兩種執行環境，一個是WebAssembly VM，另一個是JavaScript VM。需要大量運算的功能，例如動畫模擬、渲染計算等，就改用Wasm技術編譯成二進位檔，放到WebAssembly VM中執行，而Prime Video App則保留原本的JavaScript程式碼，載入到另一個JavaScript VM環境中來執行。這個做法，不只更容易靠一兩種語言，支援到更多類型的裝置，高運算負載的程式碼從JavaScript改為Wasm後，省下了30MB的記憶體，只需要7.5MB就能順暢執行，也降低了不少硬體規格的門檻，提高在低階或行動裝置上的執行效能。</p> <p>WebAssembly並非是這幾年隔空出現的新技術，而是問世十年的老技術，一開始是為了解決 JavaScript直譯式語言速度太慢的問題，尤其Web應用的功能越來越複雜，程式檔也越來越大，動輒數萬、數十萬行的Web應用程式碼，如何提高大型Web應用在瀏覽器中的執行速度成了一大挑戰。早在2010年時，有位軟體工程師Alon Zakai打造了一款工具Emscripten，可以將C/C++程式碼編譯成JavaScript可執行的形式，2012年更是釋出了asm.js技術，這是JavaScript的一項子集合，可以在瀏覽器中執行C和C++程式碼來加速。這是WebAssembly標準出現前的JavaScript應用優化嘗試。</p> <p>2015年5月，JavaScript之父Brendan Eich特別來臺參加iThome舉辦的Modern Web大會，回顧這項技術的開發幕後秘辛以及20年來的發展。在演講中，他特別展示了在瀏覽器中執行的第一人稱3D射擊遊戲，來展示當JavaScript執行效率跟Bytecode程式一樣時，可以做到的能耐。這個現場展示，震驚所有參加者，包括臺下的我。</p> <p>一個月後，JavaScript之父就和四大瀏覽器平臺，發起了W3C WebAssembly社群小組，想要重新發明JavaScript網頁應用，以WebAssembly來命名新技術，顧名思義，就是Web的Assembly（組合語言）形式，要讓網頁應用也能擁有二進位Bytecode的執行格式。</p> <p>Brendan Eich指出，WebAssembly格式標準將成為一個網站程式碼的新中介層，可以提供一個二進位檔案格式標準來執行網頁。最大特色是，可以讓JavaScript程式的執行速度快20倍，讓網頁應用也能像桌面原生應用一樣的執行速度。因為，WebAssembly標準的作法是，直接定義了一個新的網頁執行層，而非如JavaScript子集合的作法，讓瀏覽器能直接執行二進位檔案格式的WebAssembly檔案，來達到像是執行Bytecode程式般的高效能。而且，當時JavaScript之父更指出一個未來的發展趨勢，這項技術不限於JavaScript這種語言，而是任何語言都可以用的技術。</p> <p>這項技術有多強？像是Adobe大砸200億美元收購的設計平臺Figma，正是靠WebAssembly技術才打造出操作流暢的線上工具，可以在瀏覽器上使用大量向量元件，組合成複雜、精美的網頁版面。正因為WebAssembly可以讓Web應用的執行速度，媲美桌面原生軟體般的執行速度，所以，不少人用「網頁組合語言技術」來形容。</p> <p>經過兩年努力，在2017年時，WebAssembly 發表了第一個版本，獲得Chrome、Safari、Edge、Firefox等主要瀏覽器的支持，也正式成了網頁標準之一。不過，這項技術，一開始只能在瀏覽器環境中執行，想要執行Wasm，還得先安裝一隻瀏覽器或瀏覽器引擎。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Wasm走出瀏覽器，連Docker之父都驚艷</strong></span></span></p> <p>直到2019年，這一年是 Wasm走出瀏覽器，邁向廣大雲原生世界的關鍵一年。Mozilla、雲端業者Fastly等聯手發表了WASI（WebAssembly System Interface）專案，提供了一個runtime程式和命令列工具，不需要瀏覽器，可以直接在桌機或伺服器端執行Wasm應用。同時，專案成員也發起了Bytecode聯盟，要將WebAssembly推廣到瀏覽器以外的世界。這也讓同一套Wasm封裝的程式碼，可以在瀏覽器或非瀏覽器的環境中執行，不需要維護兩套程式碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-WASI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Fastly%E5%82%91%E5%87%BA%E5%B7%A5%E7%A8%8B%E5%B8%ABLuke%20Wagner.png" style="width: 547px;" /></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(105, 105, 105);">2019年是 Wasm走出瀏覽器，邁向廣大雲原生世界的關鍵一年。Mozilla、雲端業者Fastly等聯手發表了WASI（WebAssembly System Interface）專案，透過獨立的runtime和命令列工具，不需要瀏覽器，也可以直接在桌機或伺服器端中執行Wasm應用。</span></strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fastly傑出工程師Luke Wagner</span></span></p> <p>「如果WASM和WASI在2008年就出現，我們就不需要發明Docker技術了。」Docker之父Solomon Hykes這一句話點出了WebAssembly技術對雲原生生態圈的影響力，可以媲美Docker技術創造了整個雲原生技術浪潮的重要性。這句話也成了後來大家談到WebAssembly發展時，最常被引述的一句話，這是一項連Docker之父都讚嘆的新技術。</p> <p>跨出瀏覽器之後，橫跨到雲原生技術圈的WASM生態圈，從2020年開始茁壯，而且相關工具和技術專案數量越來越多，貢獻者規模越來越大，更多工具，更多開發語言開始支援，也開始出現大規模開發Wasm用的技術框架。</p> <p>WASI專案在2021年提出了新的元件模式（Component Model）草案，可以讓不同語言寫的程式碼，編譯成Wasm元件，此彼此有一套標準的元件輸入輸出方式來互動，舉例來說，用Go語言寫的Wasm元件，和用Rust語言寫的Was元件，有共同的標準輸入輸出方式，就像用同一種語言開發的元件一樣，甚至可以把這兩個元件，放入一個更大的Wasm元件中混用。這個元件模型，讓Wasm具備了跨各種語言的能力，這也是後來WASI專案0.2版的重要特色。Brendan Eich多年前提到的WebAssembly跨開發語言的能力，不只在瀏覽器中落實，更在瀏覽器外的廣大雲原生世界中實現了。</p> <p>到了2022年，已有超過40種語言支援Wasm，包括Rust, C, C++, JavaScript和GO語言。而且不只伺服器環境，還可以在邊緣裝置，甚至是IoT設備上執行Wasm程式。2022年10月，Docker公司更宣布加入Bytecode聯盟，要讓Docker引擎開始支援Wasm，直接在容器執行環境中，也能直接執行Wasm的二進位元件檔。</p> <p>Docker這一步，吸引了更多雲原生採用企業對這項技術的關注，雲原生組織CNCF在年度調查中觀察到，超過37%的企業開始試水溫嘗試WebAssembly，尤其可用於Serverless架構中的兩款Runtime，包括WasmEdge和WAMR開始受到關注。CNCF這份調查報告最後的結論是「容器已經成為新標準，而WebAssembly是未來。」這個雲原生生態圈最重要的組織，開始認真將WebAssembly視為接下來的重要發展方向。</p> <p>不只是容器技術指標廠商開始擁抱，虛擬化技術也開始向Wasm靠攏。微軟Azure技術長Mark Russinovich在2023年Build開發者大會上發表了Hyperlight，可以在Hypervisor上直接執行Wasm應用。Hyperlight可以產生一個微型VM（Micro-VM），比執行一個容器所用的資源更小，啟動速度超快，具有Hypervisor層隔離強度的執行環境，來執行Wasm元件。1秒鐘可以啟動1千個這種執行Wasm的微型VM ，延遲時間甚至只有250微秒，也就是一秒的四千分之一。微軟讓虛擬機器、容器和Wasm可以在同一個Hypervisor環境中並存。</p> <p><span style="font-size:20px;"><span style="color:#3366ff;"><strong>後續報導請見：</strong></span></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166257" target="_blank"><span style="color:#3366ff;">WebAssembly如何成為雲原生生態圈關鍵技術</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color:#3366ff;">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a></strong></span></p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size:20px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:25作者王宏仁https://www.ithome.com.tw/news/166256
WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong><span style="color: rgb(51, 102, 255);">前篇報導請見：</span></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166256" target="_blank"><span style="color: rgb(51, 102, 255);">Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力 </span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166257" target="_blank"><span style="color: rgb(51, 102, 255);">WebAssembly如何成為雲原生生態圈關鍵技術</span></a></strong></span></p> <p>在2023年發表的Wasm生態地圖第一版，涵蓋了120個專案，包括了四類開發語言和11類相關專案，CNCF估計經濟產值達到594億美元。主要可以分為兩大類專案，包括了Dev（應用程式開發）和Ops（應用程式部署）。後續這份生態地圖則整合到CNCF官網上的雲原生生態地圖，成為了其中一類子技術地圖。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%9C%965-WASM%E7%94%9F%E6%85%8B%E5%9C%B0%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-cover-4-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_CNCF.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CNCF</span></span></p> <p>在應用程式開發類Wasm相關專案上，包括了四種不同Wasm支援型態的語言，分別是編譯語言、託管類語言、腳本語言、為Wasm優化的新語言，另外開發類專案則可分為Runtime、應用程式框架、邊緣和裸機、AI推論、嵌入式功能、工具鏈等6類專案。</p> <p>而在應用程式部署的Wasm相關專案上，則可分為調度與管理類專案、託管平臺、去中心化平臺、除錯和可觀察性專案、半成品儲存等5類Wasm相關專案。</p> <p>進一步來看可支援Wasm的語言，包括了提供一級支援的編譯語言，主要有C、C++、Rust和Zig，這類語言可以直接編譯成Wasm二進位檔，而託管類語言則Go、Dart、Kotlin、Java、C#和.Net等，則需要搭配具有管理能力（如記憶體垃圾蒐集能力）的runtime來執行wasm。可搭配的runtime專案像是WasmEdghe、Wasmtime或瀏覽器圈熟悉的V8引擎，或像Java與C#則需要把runtime和程式碼一起編譯才能執行，檔案大小會稍大，另外還有腳本語言如JavaScript、Ruby、PHP、Python可以在Wasm環境中執行，編譯成Wasm檔後，用Wasm的解釋器就可以執行。而Moonbit和Grain則是兩個正在發展，以Wasm優化為目標而誕生的開發語言。</p> <p>程式碼編譯成Wasm Bytecode之後，需要建立Wasm執行環境，這也是開發者最關心的Wasm類專案。可用來建立Wasm執行環境的專案，較受到關注的像是WasmEdge、Wasmtime、Wamr、WAVM、Wasmer、wasm3、Lunatic、wazero和V8。其中，WasmEdge適合用於雲端、邊緣應用和分散式應用，而Wasmtime則是一個獨立安裝，可支援WASI，只能執行wasm的runtime。</p> <p>對於想要打造大型雲原生應用的開發者，則需要功能更完整的Wasm應用框架上，來提供更多進階或複雜功能的元件，這類應用框架專案最受到關注的是WasmEdge專案。WasmEdge框架最大特色是提供了許多進階的POSIX API，也可以搭配支援許多知名Rust和JavaScript框架，像是可搭配node.js使用。另外還兩個值得關注的Wasm應用框架，包括了可用來打造Wasm微服務架構的Spin框架，以及可用於開發和管理分散式應用架構的WasmCloud專案。</p> <p>這兩年GenAI爆紅後，可以將Wasm建立AI推論環境的專案受到高度關注，較知名的則有Wasmtime、WasmEdge和WAMR。像是WasmEdge專案可支援不少知名AI技術框架，如OpenVINO、Pytorch、Tensorflow、MMGL/Llama2，也受到AI圈高度青睞。</p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:26作者王宏仁https://www.ithome.com.tw/news/166267
WebAssembly如何成為雲原生生態圈關鍵技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong><span style="color:#3366ff;">前篇報導請見：</span><a href="https://www.ithome.com.tw/news/166256" target="_blank"><span style="color:#3366ff;">Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力 </span></a></strong></span></p> <p>2023年是WebAssembly快速起飛的一年，CNCF和Wasm社群聯手，開始大力推廣這項技術，為了方便各界進行導入評估，他們盤點了相關專案和工具鏈，在第一屆WasmCon大會上正式發表了Wasm生態地圖（Wasm Landscape）第一版，後來也整合到原本的雲原生生態地圖中，成為其中一項子類別。</p> <p>CNCF在生態地圖中強調，WebAssembly的特性是一個安全的沙盒，可以提供一個輕量、快速、安全、跨語言、跨平臺的應用程式執行環境。這項技術快速成了雲原生技術的其中一項關鍵技術。</p> <p>Wasm的跨硬體環境、跨平臺和高效能計算能力，在這兩年爆紅的生成式AI浪潮中，也找到了新的應用場景，開始受到生成式AI開發社群和企業的重視。</p> <p>專門提供Wasm平臺服務的新創Fermyon技術長Radu Matie指出，許多AI開發者愛用容器技術來部署各式各樣的AI推論，就是希望能用更快的方式來回應模型推論的結果。但是，「容器化AI冷啟動最大的挑戰是，數GB的容器映像檔和LLM模型資料。」他強調。</p> <p>想要用GPU硬體來執行一隻AI推論程式，除了開發者自己的程式碼之外，還需要Nvidia的CUDA runtime，以及AI技術框架像是PyTorch、TensorFlow等函式庫，這樣的容器映像檔至少要4.8GB大小，再加上所用的LLM模型檔案大小可能高達10～50GB，想要建立一個容器化的AI推論應用，至少要15GB，也拖慢冷啟動的速度，往往需要30秒，甚至好幾分鐘，開發者多半得先啟動一隻AI推論服務來待命，這也限制了AI推論可部署和執行的模式。</p> <p>Radu Matie指出，若改用Wasm來封裝AI推論應用程式碼，只需要數MB檔案大小，而不需要數GB的容器映像檔，冷啟動速度可以大幅縮短到幾毫秒，也就千分之幾秒，可以切割出短暫的GPU算力，來提供「剛好即時（Just in time）」的AI推論回應。「不需要將GPU綁定到特定容器來待命，可以簡化和更善用GPU基礎架構的算力。」這正是吸引GAI開發者和相關技術專案開始嘗試Wasm的關鍵。</p> <p>甚至今年也出現了專門用Wasm打包的AI推論框架LlamaEdge，包括了一套10億參數量的Llama 2模型，檔案大小只有30ＭＢ，可以提供GPU原生應用執行速度，也能快速部署到Docker和K8s叢集中。 </p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>CNCF舉行首次Wasm大調查</strong></span></span></p> <p>CNCF在2023年底舉辦第一次的Wasm大調查，來了解開發者怎麼運用這項技術，調查了255位有Wasm實戰經驗的開發者。調查發現，Wasm應用範圍早已擴散到各類型的應用需求，不侷限於Web應用。6成開發用來打造Web應用，35%用於資料視覺化處理，也有3成2用於IoT環境，結合Wasm和AI應用的開發者也高達3成，這是最常見的四大類應用場景，也可以反映出Wasm技術目前最適合的四類場景。其他應用需求，像是遊戲、邊緣運算、加密、伺服器端服務也都有1～2成的採用比例。</p> <p>目前約有4成開發者高度願意繼續用於瀏覽器環境，而有2成6則願意用於非瀏覽器環境，不過，也有2成開發者擔心這項技術還在發展中，保持觀望態度，還沒決定未來是否要跟進採用。甚至有5~7％開發者更為謹慎，決定還沒有到可以採用的程度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-cover-3-600-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><strong><span style="color:#696969;">CNCF在2023年底公布首次Wasm大調查，顯示Wasm應用範圍已擴散到各類型的應用需求，6成開發者用來打造Web應用，35%用於資料視覺化處理，也有3成2用於IoT環境，結合Wasm和AI應用的開發者也高達3成。</span></strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CNCF</span></span></p> <p>Wasm技術最吸引開發者的特色，包括了超快啟動速度，可以用於探索新應用，以及可跨專案共享程式碼、可提高JavaScript效能、滿足高運算任務的需求、可到處執行的二進位檔等等。這些都是吸引開發者，讓他們願意，甚至很想用的原因。</p> <p>開發者打造Wasm應用所用的開發語言排名，JavaScript理所當然是第一名，高達45%，幾乎有一半的Wasm應用採用了JavaScript，其次則是C#（31%）、C++（30%）、Python（29%）和Java（29%）。特別的是，用COBOL這個老牌語言來打造Wasm的開發者竟然也高達15%。超過34%的開發者在開發專案中開始採用WASI，另有34%開發者預計未來一年會採用。</p> <p>對於可以提供元件模式的WASI專案，多數Wasm開發者都知道這項專案，目前有34%的開發者正在用，也有3成預計未來一年會開始採用。吸引開發者採用WASI的主要原因，高達四成看上了WASI能讓Wasm程式碼具有可移動性（Portability），也能大幅簡化Wasm的部署。另外減少複雜度、提高WebAssembly原生能力和Runtime獨立性，都是WASI受到青睞的原因。目前WASI專案也計畫比照Wasm，申請成為W3C標準，正在提案討論過程中。Wasm開發者最期待WASI未來可以增加HTTP、IO/streams、SQL這三項能力。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1210-cover-3-600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-cover-3-600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-CNCF.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:16px;"><strong>根據CNCF在2023年底公布的Wasm大調查，開發者頭號痛點是除錯困難，像是現有除錯工具的支援還不夠，第二項困難是不同Runtime的效能差異很大，導致開發者得自行挑選適合自己應用場景的runtime，增加開發專案管理的複雜度。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／CNCF</span></p> <p>不過，從這次調查中，也可以看到目前Wasm開發的挑戰和相關工具還不夠成熟，有待發展之初。Wasm開發者最頭痛的三大困難，高達2成開發者認為除錯非常困難，像是現有除錯工具的支援還不夠或是得自己尋找除錯作法，第二項困難是不同Runtime的效能差異很大，這就導致開發者得自行挑選適合自己應用場景的runtime，或是針對不同場景採用不同的runtime，這也增加了開發專案管理的複雜度。第三個挑戰也是runtime的問題，高達15%的Wasm開發者認為現有Wasm runtime的開發者體驗落差太多，彼此的操作習慣，命令語法差異很大，得學習不同套的作法，提高了不少學習門檻和開發複雜度。其他開發挑戰還有像是，缺乏了更完整的工具、學習資源不足、特定瀏覽器有相容問題、需要不少程式碼客制等挑戰。</p> <p>這些困難都是Wasm目前技術發展的挑戰，也是相關Wasm工具鏈未來的機會。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>WASI小組加速發展元件模式，要讓不同語言的Wasm元件直接互動</strong></span></span></p> <p>Cosmonic技術長Bailey Hayes也是WASI小組共同主席。這位將Wasm推廣到瀏覽器以外世界的關鍵推手，在今年初KubeCon歐洲大會的演講中，她介紹了WASI最新的元件模式，目前是預覽第二版，也就是0.2版，吸引了雲原生社群的高度關注。這個WASI元件模式，可以讓不同開發語言所編譯的Wasm程式，有一套標準的輸入輸出方式，互相溝通，甚至放到同一個更大的Wasm元件中互動。舉例來說，用Go語言寫的Wasm元件，和用Rust語言寫的Wasm元件，有共同的標準輸入輸出方式，就像用同一種語言開發的元件一樣，甚至可以把這兩個元件，放入一個更大的Wasm元件中混用。這個元件模型，讓Wasm具備了跨各種語言的能力。</p> <p>Bailey Hayes指出，元件模式將會限制不同元件只能用標準輸入、輸出管道來確保安全性，但也可以在元件內部建立全域式變數和記憶體，用同一個runtime的跨元件間呼叫速度，甚至可以短到奈秒等級的超高速回應。她預告，新版WASI 0.2版草案標準即將完成，就會納入這個全新的元件模式。</p> <p>不只如此，WASI在0.2版中，也將開始支援網路能力，換句話說，Wasm元件不只是可以在單一應用環境中彼此溝通，未來也看好能與外部環境，甚至網際網路上的第三方應用元件相互溝通，有了網路溝通能力，也可以讓Wasm元件更適合用來打造一支支微服務程式碼，甚至建立一個全用Wasm元件組成的微服務架構。</p> <p>下一步，Bailey Hayes預告，WASI預覽第三版的0.3版，要進一步開始讓WASI支援原生的非同步能力，讓瀏覽器外的wasm元件，可以用非同步的方式，來彼此呼叫和協作，這是2025年接下來的發展重點。</p> <h3> </h3> <p><span style="font-size:20px;"><strong><span style="color:#3366ff;">後續報導請見：</span><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color:#3366ff;">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a><span style="color:#3366ff;"> </span></strong></span></p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(51, 102, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:27作者王宏仁https://www.ithome.com.tw/news/166257
阿里巴巴釋出具備325億個參數的QwQ-32B-Preview模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里巴巴的Qwen Team本周釋出了<a href="https://qwenlm.github.io/zh/blog/qwq-32b-preview/" target="_blank">QwQ-32B-Preview</a>，這是一個具備325億個參數，脈絡長度為32,768個Token，強調推論能力的實驗性研究模型，在AIME及MATH-500等數學能力基準測試上的表現，勝過了OpenAI的o1-preview，在程式生成及解決程式設計問題的LiveCodeBench測試上亦有出色的表現。開發人員已可透過Hugging Face<a href="https://huggingface.co/Qwen/QwQ-32B-Preview" target="_blank">存取</a>該模型。</p> <p>Qwen團隊指出，藉由深入探索及無數試驗，發現當模型有足夠的時間思考、質疑及反射時，它對數學與程式碼的理解就會深化，這種細致的反思與自我質疑的過程，令模型能夠取得解決複雜問題的突破性進展，並在許多測試上取得卓越的成績，像是評測高階科學問題解決能力的GPQA，涵蓋算數、代數、幾何與概率等中學數學的AIME，包含500個測試樣本的MATH-500，以及實際生成程式碼的LiveCodeBench。</p> <p>QwQ-32B-Preview在AIME與MATH-500的測試成績分別達到50與90，超越OpenAI o1-preview的44.6及85.5，而它在GPQA及LiveCodeBench的成績則是65.2及50，低於o1-preview的72.3及53.6。</p> <p>不過，QwQ-32B-Preview模型目前仍有許多問題，包括它可能會在回答中使用不同的語言，影響表達的連異性；在處理複雜的邏輯問題時，偶爾會落入無盡的循環；可能產生不恰當或具偏見的回答；除了數學及程式碼之外，它在其它領域仍有進步空間。</p> <p>此外，根據TechCrunch的<a href="https://techcrunch.com/2024/11/27/alibaba-releases-an-open-challenger-to-openais-o1-reasoning-model/" target="_blank">報導</a>，由於這是中國製的模型，因此已自行內建各種符合該國政策的審核機制，例如它不會回應針對天安門事件的詢問，還說臺灣是中國不可分割的一部分。先前TechCrunch也曾<a href="https://techcrunch.com/2024/07/24/a-new-chinese-video-generating-model-appears-to-be-censoring-politically-sensitive-topics/" target="_blank">發現</a>，由中國快手所建置的影片生成模型Kling，也會拒絕生成有關中國國家主席習近平的影片。</p> </div></div></div>
2024/11/29 12:32作者陳曉莉https://www.ithome.com.tw/news/166274
Google Gemini App開放Workspace企業及教育用戶下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://workspaceupdates.googleblog.com/2024/11/now-available-gemini-mobile-app-for-workspace-users.html" target="_blank">宣布</a>，Gemini Android及iOS版獨立應用程式已提供Workspace用戶下載，在行動裝置上作業更方便。</p> <p>Gemini App讓用戶可存取Workspace中的核心Gemini服務（core service）。利用App，企業用戶可在行動期間查詢資訊、研究，或利用手機拍攝手寫筆記、再匯入到Google Docs或Gmail，或將白板上的圖表轉成數位圖表。在App上的資料處理和傳輸，也都能獲得Workspace的資料保護。</p> <p>Google同時宣布手機版App擴大部署到教育方案用戶，可以核心或附加服務存取Gemini。用戶必須以企業和教育版帳號登入使用。</p> <p>Gemini App目前已支援150多國家地區及語言。但是部分Web版Workspace服務目前還未部署到Gemini App上，包括Workspace外掛、檔案上傳和客製化個人助理Gemini。Google日前再為Gemini加入超過13種檔案類型的支援，包括TXT、DOC、DOCX、PDF、XLSX及Google Sheets與Docs，最多一次可上傳10個檔案，每個檔案最大100MB。</p> <p>iOS版Google App並不支援以Google Workspace帳號驗證，因此想用Workspace帳號驗證的iOS用戶必須下載Gemini App。而在Android版Gemini App方面，目前尚不支援Work Profile。</p> <p>這次變更對以附加服務存取Gemini App的Workspace用戶不會有影響，他們可以持續存取Gemini App。</p> </div></div></div>
2024/11/29 10:26作者林妍溱https://www.ithome.com.tw/news/166271
零售IT雙周報第46期：統一資訊在小七門市推出程序化數位戶外廣告服務，拓展RMN生意同時吸引過客入店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(1117~1130)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #RTB #pDOOH</span></strong></span></p> <p><strong>統一RMN通路再加一，小七門市開始提供程序化數位戶外廣告服務</strong><strong>，行銷對象從店內顧客轉為為店外過客</strong></p> <p>統一資訊和Martech廠商TenMax合作，在統一超商門市架設數位看板，提供pDOOH（程序化數位戶外廣告）聯播網服務。廣告主可根據特定時間、地點、天氣、人流等數據，來選擇廣告投放時間地點。此服務支援即時競價和即時數據優化。此系統與統一集團既有的Presco RMN系統定位不同。Presco是針對店內消費者行銷，pDDOH則是透過面對店外的數位廣告看板，鎖定門市外過路消費者，期望同時達到溝通行銷訊息，以及吸引過客進店購物兩個目的。</p> <p>此服務透過總部線上系統統一管理廣告競標及投放，無須從各個門市端設定。每個廣告上線前都會即時競價，並依照廣告主設定的CPM預算上限、當下有哪些品牌正在競價、選擇的門市及時段，來廣告價格。</p> <p>廣告系統還有整合統一資訊的商家檔案智慧管理系統，廣告主可以用來檢視門市細緻數據，來調整投放組合。</p> <p>pDOOH螢幕上設有鏡頭，會追蹤並整合人流數據到廣告系統。統一資訊強調，系統僅會進行人流分析、不會辨識人臉，也不會與 POS 串接。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#視覺辨識 #OMO零售 #LBS</span></strong></p> <p><strong>Google Lens開始支援線下商店的商品搜尋，還可以即時跟附近商家比價</strong></p> <p><a href="https://blog.google/products/shopping/google-maps-lens-holiday-shopping/">Google圖像搜尋服務Google Lens開始支援更多線下購物的搜尋情境</a>。現在上傳實體門市中的商品照片，就能查詢商品資訊、類似商品的存貨情況、附近商家同款商品的比價，以及其他消費者評論。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gles.png" style="height: 506px;" /></p> <p>這與他們日前在Google Maps上新增的功能類似，差別是進一步搭配了AI圖像辨識技術。背後數據包含彙集450億件商品的Shopping Graph數據集、不同零售業者的存貨數據，以及使用者精確定位數據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化倉儲 #ASRS #DWS #DAS</span></strong></span></p> <p><strong>Momo南區物流中心亮相，每日商品吞吐量達16萬件商品</strong></p> <p>Momo正式啟用位在臺南的南區儲配運輸物流中心，層級等同於桃園的北區物流中心，在主倉、衛星倉、衛星站之上。<a href="https://www.ithome.com.tw/news/166125">啟用當日，他們也揭露了智慧物流設備及流程。</a></p> <p>進貨階段，小尺寸商品會經過DWS（體積重測量系統）測量尺寸及重量，透過跨樓層的螺旋輸送機，送至倉儲存放。大尺寸商品則會堆疊在棧板上，透過快速棧板升降機，送進不同樓層的AS/RS（自動倉儲系統）儲存。</p> <p>揀貨階段，DAS（自動分貨系統）會從棧板式及穿梭式兩種AS/RS系統取出貨物，並用系統控制燈號來提示揀貨人員，將同一訂單商品快速放到同一物流箱給分裝人員。分裝完，空箱會由機械手臂堆疊，以利後續回收。商品則會透過輸送帶運回理貨、出貨區。由每小時能掃描7,500個紙箱上QR Code的感應門，依據訂單資訊，將商品導流到14條輸送帶上，由工作人員理貨、載貨上車。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #彈性包材尺寸 #環保包材</span></strong></span></p> <p><strong>Amazon如何改造物流中心，支援全紙質包材</strong></p> <p><a href="https://www.aboutamazon.com/news/sustainability/amazon-fulfillment-center-eliminates-plastic-packaging">Amazon宣布，已經成功將首間大型物流中心完全改造成支援0塑膠包材，全面利用紙質材料來包貨。</a>他們改造了既有設備，也打造了新型設備，來從塑膠和紙質包材混合的模式轉變為全紙質包材，同時降低紙質包材用量、強化易回收性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amaz.jpg" style="width: 600px;" /></p> <p>首先，他們改造了原本用塑膠袋來包裝小件商品貨的機器，增加了感應器，串聯到機器學習模型，來辨認衣物、廚具、運動用品等商品的尺寸及適合的紙質包材。接著，就會裁切出適當尺寸的可熱封紙，來打包商品。這種包裝方法所耗費的包材，最多會比固定尺寸的瓦楞紙箱輕上9成。這種可熱封紙，也是Amazon內部自行開發出的材料。</p> <p>他們還打造了新型包貨用機器，同樣能即時測量商品尺寸，並用輕型瓦楞紙來製作適當大小的紙箱。此機器在所有可以彈性調整包材大小的自動包貨機中，支援尺寸範圍最廣。另外，當易碎商品需要用緩衝時，他們改用紙質填充物來取代塑膠泡泡紙。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #短鏈物流 #訂單履行 #BOPIS</span></strong></span></p> <p><strong>Walmart訂單履行自動化幅度較去年增加1倍，降低40%物流成本</strong></p> <p><a href="https://seekingalpha.com/article/4738715-walmart-inc-wmt-q3-2025-earnings-call-transcript">近日法說會中，Walmart CFO John David Rainey表示</a>，自家訂單履行中心已有5成作業能自動化，幅度是去年同時的兩倍。這大幅降低了他們在美國的物流成本，平均訂單成本減少了4成。</p> <p>除了大力擁抱自動化物流，Walmart也積極布局以門市為履行中心的短鏈物流，利用AI物流平臺來優化訂單履行不同環節，並計算出每家分店的訂單履行能力，來最大化從門市出貨的服務範圍。他們還開始加大門市空間中，用來支援實體門市出貨及BOPIS（線上下單線下取貨）等電商功能的面積。截至11月底，Walmart由門市直接履行的電商訂單總數較去年多出了2成。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#百貨公司 #生成式AI #個人化推薦</span></strong></span></p> <p><strong>連鎖服飾百貨Nordstrom用生成式AI來強化搜尋及個人化時尚推薦功能</strong></p> <p><a href="https://www.prnewswire.com/news-releases/wonder-all-the-way-with-nordstrom-this-holiday-season-302302089.html">在美國有數百家分館的服飾百貨Nordstrom用生成式AI來強化會員App功能。</a>首先是搜尋功能，使用者可以用自然語言來描述商品，而不用根據商品名稱或關鍵字來搜尋。這對於商品取名規律較發散的服飾業來說，尤其重要。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/nordst.png" style="width: 600px;" /></p> <p>另外一個功能是個人化時尚商品推薦，由生成式AI結合Nordstrom造型師設計、時尚趨勢及個人消費紀錄等數據，來推薦使用者同時符合流行及自身喜好的商品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>1. <a href="https://walmartrealm.com/?trk=public_post-text#/viewer/mountain/chalet">Walmart自家沉浸式電商體驗Walmart Realm因應聖誕季增加了AR體驗、展示空間跟遊戲</a></p> <p>2. <a href="https://www.prnewswire.com/news-releases/kroger-celebrates-the-joy-of-connecting-with-food-this-holiday-season-302303572.html">大型連鎖超市Kroger在串流平臺的經典聖誕電影中加入QR Code，讓消費者可以購買劇中料理所需食材</a></p> <p>3. <a href="https://www.ithome.com.tw/news/166151">純線上旅遊電商如何應用Martech月賺千萬，還靠自建追蹤碼歸因行銷成效</a></p> <p>4. <a href="https://www.ithome.com.tw/news/166150">臺灣外送龍頭如何靠外送特色打造零售媒體聯播網服務</a></p> <p>資料來源：iThome整理，2024年11月</p> <p>責任編輯：郭又華</p> <p>圖片來源：統一資訊、Google、Amazon、Nordstrom</p> <p></p> </div></div></div>
2024/11/29 10:08作者郭又華https://www.ithome.com.tw/news/166270
Google推開發者計畫Premium會員，供開發者付費取得額外資源與服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對其開發者計畫（Google Developer Program）推出<a href="https://developers.googleblog.com/en/introducing-the-google-developer-program-premium/">Premium付費會員服務</a>，目的是提供更全面的資源和個人化支援，進一步協助開發者推進專案開發、學習與部署。該付費計畫是建立在原有免費的計畫基礎上，並新增額外的工具和服務，進一步鞏固自家開發者生態系。</p> <p>Google在今年I/O大會發布免費開發者計畫，開放全球開發者加入，提供基本技術支援服務，像是技術文件中的Gemini人工智慧助理、Cloud Learning點數和專案工具的使用。該計畫已經吸引了數百萬開發者參與。</p> <p>而Premium付費會員，則進一步擴展原計畫的服務範圍，新增多項專屬資源，例如每年提供500美元的Google雲端點數，支援開發者啟動新專案並試驗新技術，並在開發者每年取得第一個Google雲端認證之後，再額外提供500美元點數。</p> <p>另外，Premium會員還包括無限制存取Google Cloud Skills Boost平臺上700項互動實驗和課程，供開發者學習和掌握新技術，同時，該服務還提供一對一專家諮詢，讓會員能夠針對特定專案需求獲得個人化建議。會員可以透過新增的福利儀表板（Benefits Dashboard），集中管理新功能。</p> <p>Google表示，Premium付費會員是根據Cloud Innovators Plus計畫的成功經驗，進一步整合並改進Google開發者生態系，提供開發者更多支援與工具。</p> </div></div></div>
2024/11/29 08:23作者李建興https://www.ithome.com.tw/news/166265
傳統水泥廠也能轉型智慧工廠，亞東預拌用IT革新生產流程
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一聯想水泥廠，多數人仍停留在3K（危險、辛苦、骯髒）的刻板印象，殊不知，臺灣本土一家混擬土製造商早已開始透過數位化工具、AI技術，對傳統水泥生產流程進行全面革新，推動工廠朝向更加數位化、智慧化的目標邁進。</p> <p>這一場數位科技革新，約自4年前展開，「我們不再只是傳統製造業，而要變成科技數位化產業，將傳統工廠轉型成智慧工廠。」亞東預拌混凝土公司資訊處副理潘誼聰這樣說道。</p> <p>亞東預拌混凝土公司（以下稱亞東預拌）前身是亞洲水泥的水泥製品廠，隨著營運規模擴大，在1999年自公司分割成立，專門生產預拌混凝土及水泥製品。目前，亞東預拌工廠遍布臺灣和越南，共有20多間廠，每年出貨量更超過500多萬立方米。隨著工廠增加、營運規模壯大，亞東預拌對於IT重視日益提升，期望透過數位科技提升生產效率並確保品質穩定。</p> <p>潘誼聰表示，混凝土產線有項獨特的時限考驗，從原料車進廠、將桶裝原料攪拌至車上，再由成品車出工廠，過程不能超過30分鐘，每一個環節都得把關物料品質，如果未能落實即時管控，一旦發生問題，就可能造成損失，甚至面臨出貨違約的罰款。</p> <p>亞東預拌很早就展開數位化，自有一套IT作法，來協助整個混凝土出貨。內部許多作業流程也陸續改用e化方式處理，例如導入進銷存系統、公文簽核系統、郵件系統、車輛排班刷卡系統等，持續沿用了很多年。然而，隨著工廠數量增加及公司規模成長，舊有的系統漸漸無法滿足公司營運發展的需求，必須全面升級甚至翻新。</p> <p>潘誼聰回憶，剛加入亞東預拌時，他大膽提出數位改革計畫，一口氣提出比以往多十倍的IT預算，近2千萬元，當時他擔心預算過高可能遭刪減和質疑，可是，最後順利通過預算，一毛都沒有少。「正因為亞東預拌高度重視IT改革，願意放手讓我推動這場資訊大轉型」他說。</p> <p>潘誼聰推動改革第一步，導入伺服器虛擬化技術，集中整併IT資源。資訊團隊花了3個月多完成10多套系統的虛擬化，包含銷售系統、發貨系統、薪工系統、物料系統等核心系統，來大幅優化IT運作效率並降低管理複雜度。</p> <p>同一時間，潘誼聰更以私有雲為基礎來打造新的IT架構，以滿足未來營運發展所需。他提到，私有雲的優勢是，可以根據需求彈性調度資源，例如每月結帳高峰期可優先分配更多資源給銷售系統使用，平日時則回收資源供其他系統運用。此外，若有臺機器發生故障，也可以透過動態遷移機制，迅速將負載轉移到私有雲中的其他機器，確保系統穩定運作。</p> <p>潘誼聰以下水道工程來比喻，沒有穩固地基，就無法建造大樓，「IT改革的過程，如同挖地基、下水道工程，是支撐未來發展的關鍵基礎。」而私有雲、虛擬化的導入，正是用來建造亞東預拌IT下水道工程的重要基底。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>用eTag標籤偵測預拌車的進出，作為排班依據</strong></span></span></p> <p>不只翻新IT架構，潘誼聰也著手優化內部生產作業環節。他上任後優先導入新一代排班系統，改用eTag感應標籤偵測預拌車的進出，取代過去排班刷卡的做法，進一步優化排班作業流程。</p> <p>eTag這項技術來自遠東集團旗下另一子公司遠通電收，在國道全線電子收費系統所採用的感測裝置。車輛只要安裝了eTag卡，通過eTag感應門架時，就能夠自動記錄車輛資訊，供計算通行費使用。亞東預拌IT部門與遠通電收合作，將這套技術延伸至排班作業，作為車輛調度的重要參考依據。</p> <p>潘誼聰表示，eTag最大好處在於，解決了過去刷卡流程導致的進出車流堵塞問題。過去排貨人員需下車刷卡，車輛數量一多便容易造成排隊與與延誤。改用新機制後，預拌車只需經過感應區域，eTag便可自動記錄進場順序及車牌號碼，不僅減少塞車情況，也能有效落實先進先出（FIFO）原則，進一步提升進出場流程的順暢度，確保產能穩定。</p> <p>亞東預拌在2017年開始導入eTag排班系統，潘誼聰採取漸進式的導入策略，先以高雄仁武新廠作為示範場，待系統運作穩定後，再逐步推廣至其他廠區。這項技術後來更擴大到更多作業場景，像是車輛下料檢核、過磅檢核流程，透過自動感應提升作業效率與準確性，方便調度中心人員迅速判斷車輛載重和運送配方是否正確。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-CIO-%E6%8A%BD%E8%A8%80-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>積極推動數位轉型，更訂定5年轉型方針</strong></span></span></p> <p>在2020年，亞東預拌高層做了一個重要決定，決定展開數位轉型，訂定了5年數位轉型方針，要徹底改變混凝土產業的營運模式，並透過數位科技革新，強化資訊安全與員工安全，有效提升整體營運效率和產品品質。</p> <p>亞東預拌數位轉型第一步，先在工廠中部署了大量IoT感測器和智慧電表，持續蒐集能耗、溫濕度和空氣品質等數據，並整合到戰情室儀表板上進行即時監控。為了分析各項營運數據，資訊部門於2022年導入BI商業智慧系統進行資料分析與商業分析，並建置EIS營運管理系統，納入國內20個廠及越南2個廠的經營績效進行管控。透過此系統，管理階層能即時查看各廠的生產資訊，包括當前產量、實際出貨量及預計出貨量，也能結合歷史資料，呈現依據不同時間區間的營運成果分析，例如年度、季度或去年同期的比較等，作為高層決策的參考依據。</p> <p>在品質管理上，亞東預拌不僅設立實驗中心，負責檢驗每批原料的品質，還開發出了一款專用App，便於記錄和追蹤原料的品質，進而提升作業效率與準確性。</p> <p>潘誼聰表示，過去，品管資訊先用紙本記錄，再輸入電腦，常因紙張髒污導致資訊模糊不清。如今，品管人員用App可以快速完成品質記錄，有助於掌握各項原料的入料狀況與庫存品質，並能統整分析檢驗數據，若發現問題，還能迅速追溯並識別出有問題的原料。</p> <p>不只用App記錄原料品質，亞東預拌在生產過程中也部署大量IoT感測器，用於蒐集生產數據，包括生產狀況與環境參數等資訊，以提升品質穩定性，甚至在2023年開始結合AI技術進行品質監控，透過數據分析與即時反饋，進一步優化生產流程與成品品質。</p> <p>為了讓IT部門能更專注於數位化推展，亞東預拌在2018進行IT組織調整，將原隸屬於財務處的資訊科獨立出來，升格為資訊處，滿足更多工廠轉型、營運發展需求。</p> <p>亞東預拌的IT部門雖僅有5人，卻需支援全臺20多個工廠的生產穩定運作，如何升作業效率是關鍵。潘誼聰擔任資訊主管後，先對總公司與各廠之間的網路專線進行全面升級，不僅汰換老舊專線，還將傳輸速度從2Mbps提升至百Mbps，使各廠的資料能快速回傳總公司，為往後更多轉型計畫奠定基礎。</p> <p>IT團隊也利用這個專線快速連線至各廠，遠端協助排除問題，並定期將各廠資訊設備的運作狀況回傳至總公司，一有異常就會通知相關人員處理，確保生產順暢。亞東預拌在每一個廠都有一套發貨系統，沿用多年，他上任後也一併汰換，改新系統取代。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>讓各部門自行開發RPA解決各自流程痛點</strong></span></span></p> <p>數位轉型第3年，亞東預拌導入RPA機器人流程自動化服務，將流程中重複的人工作業場景進行自動化，迄今已累積完成50多支RPA，其中17支RPA已推行到各廠，涵蓋外部環境、競爭者分析、財務報表、營運管理、銷售訂單、應收帳款、區廠損益成本分析、職安、行銷、人力資源、品質管理等項目。</p> <p>與一般企業通常由資訊部門主導開發RPA不同，亞東預拌採取了不同的策略，由IT部門提供工具，讓各單位能自行開發RPA。為此，亞東預拌不僅開設課程教導各部門如何開發RPA，還每年舉辦內部競賽，鼓勵員工發揮創意，找出業務或流程中的痛點，再由內部專家小組進行評選，選出最具實用性的應用，優先推行至各工廠。例如，有部門利用RPA解決每日廢棄物申報的問題，或是即時發送各區天氣狀況的通知，幫助工廠預防雨天對生產品質的影響。</p> <p>自RPA導入以來，為亞東預拌帶來不少效益，不僅年省5.4萬小時的工時，也替公司節省了近三千萬元的人事費用。</p> <p>亞東預拌的永續目標是朝向2030年碳減半、2050年零碳排目標邁進。亞東預拌早早透過IoT技術、智慧電表持續蒐集能耗、各項動力成本和用水數據，加強內部碳排放數據的蒐集和管理，也利用品質管理App記錄每批混凝土供應所產生的碳排放數據，用於範疇三供應鏈碳追蹤和管理。此外，自2021起先後取得ISO 14064組織型溫室氣體盤查、ISO 14067碳足跡和ISO 14046水足跡查證，成為國內首家通過BS 8001循環經濟查核的預拌混凝土企業。</p> <p>亞東預拌接下來將推動數位和永續雙軸轉型，更擬訂未來三年九大數位轉型方案，目標是在2024年走向AI數位執行階段、2025年進入數位優化與推廣階段、2026年進入數位大師階段。</p> <p>亞東預拌去年開始導入生成式AI技術，並開發出財務專用客服機器人，讓高層管理者可以用自然語言方式詢問營運上的相關問題，例如這個廠現在產量多少，或過去這個月某一天哪個廠產能表現最好等，幫助管理者快速了解各廠的營收、產能狀況等。他表示，未來將持續優化AI生成式語言模型架構，增加數據分析能力，提高營運績效。</p> <p>亞東預拌還計畫透過增強式AI演算法，發展智慧化生產計畫排程及運輸排程，未來也將AI應用於職安領域，結合無人機和AI影像辨識技術，即時偵測設備的銹蝕、污染和危險行為，進一步提升安全管控。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>亞東預拌混凝土公司資訊處副理潘誼聰</strong></p> <p>學歷：逢甲大學資訊工程碩士</p> <p>經歷：在上市櫃公司擔任IT主管多年，曾擔任過花仙子資訊副理、泰詠電子資訊課長、山富國際旅行社資訊經理，也具備有在供應商、客戶端等多方歷練，2016年進到亞東預拌混凝土公司擔任資訊主管，負責協助公司推動數位轉型，邁向智慧工廠</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1210-CIO-300.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>亞東預拌混凝土公司</strong></p> <p>地址：新北市汐止區大同路一段139號</p> <p>網址：<a href="http://www.yatung.com.tw">www.yatung.com.tw</a></p> <p>成立時間：1999年</p> <p>主要業務：水泥及混凝土製品生產</p> <p>員工數：500人</p> <p>董事長：李坤炎</p> <p>總經理：金崇仁</p> <p>資本額： 20億元</p> <p>年營收：約140億元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：副理</p> <p>資訊部門主管姓名：潘誼聰</p> <p>資訊部門名稱：資訊處</p> <p>資訊部門人數：5人</p> <p>每年IT預算：2仟萬元</p> <p>資訊部門分工：系統維運、程式開發設計</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2016年：開始導入私有雲、資訊系統全面虛擬化</p> <p>●2017年：導入Exchange Server取代Lotus Notes Mail、導入郵件備份Mailbase</p> <p>●2018年：導入新人類公文簽核系統、導入電子發票系統</p> <p>●2020年：導入eTag排班系統，取代刷卡排班系統、建置IoT智慧能源管理系統、IoT溫溼度監控系統、空氣品質監測系統</p> <p>●2022年：導入商業智慧BI、導入品質管理App</p> <p>●2023年：ISO 27001 ISMS資訊安全管理系統上線、導入機器人流程自動化RPA、自行建置LLM高階管理專用財務客服機械人</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1210-cio-960.jpg" width="960" height="420" alt="" title="亞東預拌混凝土公司資訊處副理潘誼聰" /></div></div></div>
2024/11/29 06:00作者余至浩https://www.ithome.com.tw/people/166244
醫療科技新創AlleyPin專攻醫病整合系統，下一步考慮生成式AI優化回診追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（11/28）醫療科技新創AlleyPin揭產品布局，他們專攻雲端醫病管理服務，其下3支主力產品包括整合預約和回診追蹤的醫病關係管理系統（PRM）、供病患線上掛號和預約諮詢的醫病媒合平臺，以及幫助院所經營品牌的醫療品牌顧問服務。其中，全臺已有1,200多家診所採用其系統，涵蓋牙醫、西醫、中醫和醫美等科別，今年9月也進軍日本，目前已有20家診所採用。接下來，他們也考慮用Google雲端平臺既有的生成式AI資源，來優化其下產品。</p> <p><span style="font-size:22px;"><strong>2017年起家，瞄準診所數位化管理痛點推3款產品</strong></span></p> <p>AlleyPin共同創辦人暨執行長周翊軒指出，團隊在2017年成立，2019年推出首支產品，是針對牙醫診所的Line客戶管理管理（CRM）服務，隔年則推出協助院所經營的醫療品牌顧問服務。</p> <p>2021年則是一大分水嶺，產品從牙醫擴展到其他科別，如醫美、中醫、西醫等，並針對全科別診所推出PRM服務1.Talk醫點通，客戶數也成長至500多家院所。2022年則推出數位醫病媒合平臺PinMed，目前已有5,000多位醫師在該平臺上架，至今也共有1,200多家診所使用他們的服務，占全臺診所約5%。</p> <p>AlleyPin共同創辦人暨營運長羅偉誠進一步說明，他們的產品以病人旅程為基礎，鎖定了看診前、看診中和看診後等三大流程，要來解決診所數位化管理和經營痛點。比如，他們的醫病媒合平臺今年整合Google地圖預約功能，民眾在看診前、透過地圖搜尋診所時，就能直接預約合作診所，該資訊也會與診所HIS同步串聯。</p> <p>再來，他們的醫病媒合平臺也結合Line提供線上約診功能，就算診所休診也能預約、掛號。民眾看診前，平臺也會發送提醒，並將看診與否的資訊同步到HIS中。</p> <p>到了看診階段，系統還整合Google商家評論，方便民眾直接評價，也利於診所好評累積。</p> <p>看診後，PRM服務還提供貼標分群、分眾管理功能，來讓診所掌握客群輪廓。此外，該服務也能結合Line，可發送個人化衛教資訊和回診提醒，如洗牙、領慢箋、疫苗注射等都包括在內，可增加回診率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6424.JPG" /></p> <p>內湖一家家醫科診所新明診所院長謝天仁在現場指出，使用系統服務2年多來，大幅提高回診率，也節省護理師大量的人工作業成本。尤其，以往每個月底，護理師都得查看HIS、找出慢性病人回診的名單，再一一打電話提醒，人數大約是400人，非常耗時耗力，回診率也不算好。</p> <p>但透過系統自動比對、發送提醒，將回診率從6成提高至9成，省下用簡訊、電話提醒3、400位患者的成本。</p> <p>他也分享，診所營業數年，Google評價一直只有60多條，但透過新服務介接評價，至今累積了982條，大多為正面評價，提供診所醫師正向回饋。</p> <p><span style="font-size:22px;"><strong>今年擴展到日本要整合在地EMR系統、電子處方箋和旅日臺人病歷資料</strong></span></p> <p>周翊軒透露，今年，AlleyPin獲得的A輪資金挹注，運用於3大方向發展。首先是海外拓展，他們以日本為海外第一站，因為日本醫療模式與臺灣相似，尤其日本有全民健保，需顧及健保與自費患者，與臺灣相似；再加上文化、地緣共通性，都習慣使用Line、Google地圖，產品調整門檻低。</p> <p>今年9月，他們也在日本成立子公司，並在11月獲得20家日本診所採用，還有50家正在洽談和試用，科別涵蓋牙科、內科、美容醫學、皮膚科等。</p> <p>另一個要發展的方向是強化對日產品研發，比如要將系統整合至日本診所的電子病歷系統。周翊軒解釋，日本約有50多家醫事管理系統廠商，大都具備標準化API，其生態圈模式已相當成熟，預計AlleyPin明年第一季可支援導入日本2萬6千多家診所。再來，他們也將產品連動電子處方箋，來提高領藥便利性。因為日本看診後，主要由院外藥局負責配藥，而透過電子處方箋連動，診所可在患者看診後，自動通知指定藥局來配藥，加速作業。另外，AlleyPin還要整合旅日臺人病歷系統資料，只要病人授權，未來在日本就醫時，就能同步查看病歷資料，提供更好的就醫體驗。</p> <p>第3個AlleyPin要發展的方向，則是組建日本團隊，來協助產品開發和行銷，滿足在地診所需求。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6418.JPG" /></p> <p>由於產品本身以Google雲平臺開發，羅偉誠也補充，他們正觀察Google生成式AI和一般AI的應用場景，未來可能用來優化回診追蹤，透過生成式AI提供更暖心的內容。又或是用AI來處理複雜的預約排班行程，來簡化診所作業。</p> <p></p> </div></div></div>
2024/11/28 19:17作者王若樸https://www.ithome.com.tw/news/166266
檔案共享伺服器ProjectSend存在重大漏洞，已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安業者VulnCheck針對<a href="https://vulncheck.com/blog/projectsend-exploited-itw">檔案共享平臺ProjectSend重大漏洞CVE-2024-11680提出警告</a>，並指出該漏洞雖然前幾天才正式登記CVE編號，但其實是去年就被發現、修補，而且，已有駭客將其用於攻擊行動。</p> <p>ProjectSend是開源檔案共享應用程式，該專案在GitHub得到1,500顆星，根據Censys威脅情報平臺的分析資料，全球約有超過4千套ProjectSend系統。但資安業者VulnCheck發現，大部分的伺服器仍在執行存在漏洞的舊版ProjectSend。</p> <p>為何會如此？原因可能與這項漏洞遲遲沒有登記CVE編號，開發團隊也並未發布相關資訊有關。這項漏洞起因是身分驗證不當，攻擊者可在未經身分驗證的情況下，向options.php發送偽造的HTTP請求，從而遠端觸發漏洞，一旦成功，攻擊者就能竄改應用程式組態、建立帳號、上傳Web Shell，或是嵌入惡意JavaScript指令碼，CVSS風險評為9.8，開發團隊發布r1720版修補。</p> <p>該漏洞最早是資安業者Synactiv去年1月通報，<a href="https://github.com/projectsend/projectsend/commit/193367d937b1a59ed5b68dd4e60bd53317473744">開發團隊5月嘗試修補</a>，到了今年7月，<a href="https://www.synacktiv.com/sites/default/files/2024-07/synacktiv-projectsend-multiple-vulnerabilities.pdf">Synactiv公開對這項漏洞提出警告</a>，開發團隊8月才正式提供修補程式。</p> <p>值得留意的是，到11月26日VulnCheck登記CVE編號之前，已有ProjectDiscovery、Rapid7兩家資安業者，將這項弱點的規則加入弱點掃描工具<a href="https://github.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabilities/projectsend-auth-bypass.yaml">Nuclei</a>、滲透測試工具<a href="https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/projectsend_unauth_rce.rb">Metasploit</a>，而這樣的情況，使得攻擊者想要透過濫用這些工具鑽漏洞，變得更加容易。</p> <p>對於漏洞出現實際攻擊行動的情況，VulnCheck留意到從網際網路存取的ProjectSend伺服器約有208臺，自9月開始遭到竄改，入口網站的標題變成一長串的隨機字串，而這些字串的規則，正好與Nuclei與Metasploit加入的漏洞測試規則雷同，換言之，攻擊者很可能利用這些規則竄改伺服器。</p> <p>研究人員使用GreyNoise的威脅分析平臺進行搜尋，結果發現122個攻擊來源IP位址，大部分來自德國，但也有愛爾蘭、英國、澳洲、日本。這樣的情況，代表可能有多組人馬試圖利用漏洞。</p> <p>他們看到攻擊者一旦成功利用漏洞，就會接著啟動使用者註冊功能，從而取得特殊權限。此外，攻擊者很可能在網站根目錄（webroot）上傳Web Shell的情況。</p> <p>但在此同時，鮮少有ProjectSend伺服器完成更新。研究人員指出，僅有1%左右執行r1750版，採用2022年10月推出的r1605，佔了55%，而其餘（44%）執行去年4月發布的版本（未公布版號）。考慮到尚未修補的情況非常嚴重，研究人員推測，攻擊者很可能已經準備大肆對這種伺服器展開攻擊。</p> </div></div></div>
2024/11/28 17:15作者周峻佑https://www.ithome.com.tw/news/166258
【資安日報】11月28日，第一款針對Linux主機的UEFI Bootkit現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>埋藏在UEFI韌體的惡意啟動工具UEFI Bootkit相當神秘，攻擊者藉此隱匿行蹤，並能從開機階段就挾持整臺電腦，讓執行於作業系統之上的防護機制失效，這樣的情況最近有了新的變化。</p> <p>本週資安業者ESET揭露新的惡意啟動工具Bootkitty，並指出雖然這支程式很可能仍在開發階段，但是第一個專門針對Linux作業系統的UEFI Bootkit，後續發展相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166255"><strong style="font-size: 22px;">研究人員揭露名為Bootkitty的惡意UEFI Bootkit，專門鎖定Linux主機而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Bootkitty-figure-6-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bootkitty-figure-6-1.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年，駭客針對UEFI開機系統打造惡意啟動工具（UEFI Bootkit）的情況，約自2020年開始已有數起事故傳出，攻擊者利用這種工具竄改電腦的安全啟動機制，從而突破Windows作業系統的安全防護，甚至是停用防毒軟體與EDR系統。但如今，這類工具也出現專門針對Linux作業系統下手的情形。</p> <p>資安業者ESET指出，他們近期看到有人在VirusTotal上傳未知的UEFI應用程式，檔名是bootkit.efi，經過分析確認是惡意UEFI啟動工具，研究人員將其命名為Bootkitty，並指出與過往同類工具最大的不同，在於它是針對Ubuntu作業系統特定版本而開發。</p> <p>根據分析結果，研究人員認為Bootkitty很可能在早期開發階段，只是進行概念性驗證（PoC），而非積極活動的駭客用來作案的工具，僅管可能沒有實際的危害能力，但這代表執行Linux的電腦又多了一個可被侵入的管道，並顯示攻擊者正積極鎖定這類電腦開發相關工具。</p> <p><a href="https://www.ithome.com.tw/news/166258"><strong style="font-size: 22px;">檔案共享伺服器ProjectSend存在重大漏洞，已被用於實際攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-victims.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-victims.png" style="width: 300px; float: right;" /></a></p> <p>本週資安業者VulnCheck針對檔案共享平臺ProjectSend重大漏洞CVE-2024-11680提出警告，並指出該漏洞雖然前幾天才正式登記CVE編號，但其實是去年就被發現、修補，而且，已有駭客將其用於攻擊行動。</p> <p>ProjectSend是開源檔案共享應用程式，該專案在GitHub得到1,500顆星，根據Censys威脅情報平臺的分析資料，全球約有超過4千套ProjectSend系統。但資安業者VulnCheck發現，大部分的伺服器仍在執行存在漏洞的舊版ProjectSend。</p> <p>對於漏洞出現實際攻擊行動的情況，VulnCheck留意到從網際網路存取的ProjectSend伺服器約有208臺，自9月開始遭到竄改，入口網站的標題變成一長串的隨機字串，而這些字串的規則，正好與Nuclei與Metasploit加入的漏洞測試規則雷同，換言之，攻擊者很可能利用這些規則竄改伺服器。</p> <p><a href="https://www.ithome.com.tw/news/166225"><strong style="font-size: 22px;">美國證實Array Networks旗下SSL VPN系統重大漏洞已出現攻擊行動</strong></a></p> <p>1月25日美國網路安全暨基礎設施安全局（CISA）發布公告，他們將去年一項重大層級的已知漏洞CVE-2023-28461新列入已遭利用漏洞（KEV）清單，要求聯邦機構必須在12月16日完成修補。</p> <p>這項漏洞存在於安瑞科技（Array Networks）Array AG系列SSL VPN設備，以及虛擬化版本vxAG，原因是重要功能缺乏身分驗證機制造成，攻擊者有機會利用漏洞讀取SSL VPN閘道的本機檔案，或是執行任意程式碼，CVSS風險達到9.8，影響9.4.0.481以前版本的作業系統。安瑞於去年3月9日公布這項漏洞，並於同月17日提供修補程式。</p> <p>雖然CISA並未透露攻擊者如何利用這項漏洞，不過這項資安公告發布的前幾天，趨勢科技公布中國駭客組織Earth Kasha的最新一波攻擊行動裡，其中一項用來取得初始入侵管道的SSL VPN漏洞，就是CVE-2023-28461。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/apt-c-60-exploits-wps-office.html">駭客組織APT-C-60鎖定StatCounter、Bitbucket伺服器，意圖散布惡意軟體SpyGlace</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/">惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/infostealers-vietcredcare-and-ducktail-fuel-facebook-business-account-exploitation/">越南駭客透過企業臉書帳號散布竊資軟體VietCredCare、DuckTail</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/">針對傳出遭遇中國駭客入侵，T-Mobile公布最新調查結果</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/"></a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166245"><strong style="font-size: 22px;">已終止維護的D-Link數據機存在重大漏洞，近6萬臺設備曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/e9DooFv6gX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e9DooFv6gX.png" style="width: 300px; float: right;" /></a>11月11日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布公告，指出D-Link數據機DSL-6740C存在一系列漏洞，由於該設備今年初已達到終止支援（EoS）階段，D-Link將不會進行修補，呼籲使用者應汰換設備。由於使用這款設備的用戶絕大多數都位於臺灣，寬頻網路的使用者應特別提高警覺。</p> <p>對此，12日D-Link也發布公告證實此事，並指出這款設備在今年1月15日已經結束支援，強烈建議用戶停止使用。</p> <p>這些漏洞分別是特權API不正確使用漏洞CVE-2024-1108、路徑穿越漏洞CVE-2024-11067，以及作業系統命令注入漏洞CVE-2024-11062、CVE-2024-11063、CVE-2024-11064、CVE-2024-11065、CVE-2024-11066，CVSS風險評分介於7.2至9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/">Palo Alto Networks、SonicWall旗下SSL VPN系統存在新型態漏洞NachoVPN，攻擊者有機會為用戶端安裝惡意更新</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166249"><strong style="font-size: 22px;">重塑對企業資安聯防的溝通模式，TWCERT/CC將逐步從傳統事件通報提升到關鍵情資共享</strong></a></p> <p>為了提升臺灣民間企業的資安能力，不僅依賴個資法對全體企業的規範，以及金管會對上市櫃公司提出的各項要求，政府在協助企業提升資安能力方面，台灣電腦網路危機處理暨協調中心（TWCERT/CC）扮演著重要角色。</p> <p>隨著2024年元旦資通安全研究院（資安院）接手TWCERT/CC，各界都關心他們後續如何進一步協助民間企業。4月他們公布發展計畫，預告將持續推廣共同參與，拉攏更多企業加入TWCERT/CC免費會員，時隔超過半年的此刻，資安院在2024台灣資安通報應變年會，揭露目前最新相關進展。</p> <p>關於深化情資分享的具體做法，TWCERT/CC最近更是有了全新的策略，強調將以情資為主的溝通，扭轉大家對於通報的刻板印象。</p> <p><a href="https://www.ithome.com.tw/news/166187"><strong style="font-size: 22px;">「零信任博士」的實踐觀察，揭示零信任挑戰與應用未來</strong></a></p> <p>零信任架構（ZTA）在美國政府的推動下，已經成為全球政府與企業積極推動的網路安全架構，臺灣從政府到企業也非常認同零信任架構。在這個理論推動的過程中，除了有零信任架構的提出者、現任Illumio傳道士John Kindervag，各界稱之為「零信任之父」外，另外也有被譽為「零信任博士」（Dr. Zero Trust）的Dr. Chase Cunningham。</p> <p>Chase Cunningham日前來臺參加「零信任架構實踐高峰論壇」的媒體專訪時表示，零信任架構的核心原則是「永不信任，始終驗證」（Never Trust、Always Verify），這一原則徹底顛覆了傳統網路安全模型中對內部邊界的信任假設。他指出，隨著數位化轉型、雲端技術的普及以及第三方供應商的依賴，對傳統的「信任邊界」模式已經不再適用，企業需要重新定義網路安全的基石。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> </div></div></div>
2024/11/28 17:27作者周峻佑https://www.ithome.com.tw/news/166259
行政院推打詐策略行動綱領2.0，提高產業防詐監管力度、AI科技防詐是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為遏止詐騙盛行，行政院推動新世代打擊詐欺策略行動綱領2.0版（後簡稱打詐策略行動綱領2.0），除強化金融、電信產業的防詐策略，也擴大納入數位經濟產業，提高對產業監管力度以對抗各種詐騙手法，並且積極運用AI以強化科技防詐。</p> <p>打詐策略行動綱領2.0，打詐辦公室轉型為打詐指揮中心，分為識詐、堵詐、防詐、阻詐、懲詐5個面向，分別由內政部、NCC、數發部、金管會、法務部負責，各自針對警政宣傳、電信產業、數位經濟產業、金融產業、偵查提出打詐對策，並由打詐指揮中心跨部會協調合作，2.0也加強中央政府和地方政府合作，取得通報、共同打詐防詐。</p> <p>行動綱領2.0包含強化AI防制、深化跨境合作、監管防詐產業、強化被害人保護4大重點；其中針對產業方面，除了金融、電信產業，還擴大數位經濟面的防詐，包括網路廣告平臺、第三方支付服務、虛擬資產服務、網路連線遊戲、電商產業的防詐監管力度。</p> <p><span style="color:#B22222;"><strong>介接政府機關資料庫強化電信預付卡客戶KYC</strong></span></p> <p>以電信產業為例，鼓勵電信業者強化運用AI技術分析涉詐的異常行為，協助司法警察機關防詐。另外，考慮到許多詐騙手法使用人頭電信門號，為加強對人頭門號的清查，行動綱領2.0在電信業防詐工作重點是，介接相關機關資料庫，加強對電信客戶的KYC查核工作，以過濾高詐騙風險的用戶，限制或拒絕提供其電信服務。</p> <p>以客戶申請電信門號舉例，如為本國籍客戶申辦門號，電信業者除了查核該客戶的雙證件資料，並查詢內政部的國民身分證領補換資料庫，進一步驗證證件的真偽，最後再查詢165的防詐聯合風險管理系統資料庫，查詢該客戶是否為登錄在案的高風險客戶，進一步限制或拒絕提供服務，避免詐騙集團取得人頭門號。</p> <p>對於非本國籍人士申請電信門號，後端連線至移民署相關資料庫，驗證外籍人士在臺狀態，最後也要查詢165的防詐聯合風險管理系統資料庫，若發現為高風險客戶，即限制或拒絕提供服務。</p> <p>針對非本國籍人士申請預付卡後，出境後遺留的預付卡被詐騙集團利用，在打詐條例、查詢辦法實施前，NCC要求電信業者針對使用預付卡的外籍人士，查詢該外籍客戶的身分資料是否齊全，如果需要補齊身分資料，需在二周內到實體門市補齊資料、完成查核，如果沒有在兩周內核資，則予以停斷話該門號。</p> <p>在打詐條例、查詢辦法實施之後，未來非本國籍人士使用的預付卡門號，電信業者需要每月分批定期查詢移民署出入境資料庫，如查詢該預付卡客戶已出境，則要求在二周內到門市核資，如果沒有在期限內至門市核資，則限制或停止其服務，如果該名客戶仍在臺灣則仍可以正常使用門號。</p> <p>NCC表示，此舉目的在避免非本國籍人士出境外，將預付卡轉售給詐騙集團不法使用。根據清查，國內有約221萬非本國籍預付卡門號，目前仍有210萬預付卡門號尚待清查，NCC準備在12月要求電信業者加大力道，對非本國籍預付卡門號通知客戶核資處理。</p> <p><span style="color:#B22222;"><strong>更多數位經濟產業納入防詐策略</strong></span></p> <p>行動綱領2.0也擴大數位經濟面的防詐策略，由主管機關數位部要求數位經濟產業配合政府的防詐政策，包括網路廣告平臺、電商、第三方支付、虛擬資產服務、網路連線遊戲。</p> <p>數位部數位產業署代理署長林俊秀表示，新的打詐策略行動綱領2.0，在數位經濟面向，包括6大防詐策略，防止網路詐騙廣告、遏止詐騙網站、建立政府專用短碼簡訊發送機制、加強電商資安維護、防制第三方支付詐騙、避免遊戲點數淪為詐騙工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-%E6%95%B8%E4%BD%8D%E7%B6%93%E6%BF%9F6%E7%AD%96%E7%95%A5600.jpg" style="width: 600px; height: 339px;" /></p> <p>先前在行動綱領1.5，數位部已運用一些數位工具協助防詐，例如為避免物流業者洩漏電商客戶資料的物流隱碼技術，還有政府專用的111短碼簡訊平臺，以及遊戲點數商會員的OTP驗證等等。</p> <p><strong><span style="color:#B22222;">推動網路廣告平臺廣告刊登實名制，建立詐騙廣告通報機制</span></strong></p> <p>在新世代打詐策略行動綱領2.0裡，對詐騙廣告盛行的網路廣告平臺，數位部明確表示相關子法將在11月30日前發布，將要求網路廣告平臺強化廣告來源的實名認證，要求業者以安全性相當的技術或方式，來驗證委托刊登廣告或廣告出資者的身分，並在廣告中揭露。數位部日前已和幾個大型網路廣告平臺業者，如Google、Line、Meta等溝通網路廣告實名制，目前Google及Line已實施實名制，其他業者最晚將在12月初推動身分驗證機制。</p> <p>網路詐騙廣告遏止也見成效，網路廣告平臺依照詐騙態樣分析，掃描高風險詐騙案件，以高風險的金融投資詐騙廣告掃獲件數為例，從2024年最高單周約7.9萬件降到2024年10月的單周近7千件，相當於減少9成，而冒用名人身分的網路詐騙廣告也降低到單周約3,600多件，同樣減少約9成，從數據來看，金融投資詐騙廣告及冒用名人身分詐騙廣告發現的件數雙雙下跌。</p> <p>為方便民眾檢舉網路詐騙，數位部今年建置網路詐騙通報查詢網，不過，目前數位部計畫配合行動綱領2.0，改進網路詐騙通報查詢網，以降低民眾接觸到網路詐騙廣告，數位部預期這項防詐政策，每年通報可疑網路詐騙廣告約6萬件。</p> <p>針對假造的詐騙網站，數位部已和IASP、TANet管理者業者合作，包括數位部管理的GSN，在收到目的事業主管機關、司法機關通報詐騙網站，透過DNS RPZ屏蔽假造的詐騙網站。</p> <p>至於政府機關專用的111短碼簡訊平臺，供民眾辨別信任來自政府機關的通知簡訊，未來111短碼簡訊平臺將會擴大給公立學校、國公營事業也能使用。至於商用方面，也推5碼的商用簡碼簡訊機制，和其他部會合作鼓勵產業使用。數位部預期未來每年發送約2千萬則政府專屬短碼簡訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-%E7%9F%AD%E7%A2%BC%E7%B0%A1%E8%A8%8A600.jpg" style="width: 600px; height: 338px;" /></p> <p>數位部也和電商合作，例如與蘋果公司合作，針對Apple Store卡儲值，利用AI偵測儲值態樣，找出可疑的異常行為阻詐；而針對的第三方支付服務的能量登錄，目前已有64家業者完成登錄，未來繼續強化推動登錄制度，另外也對第三方支付的虛擬帳號建立查詢平臺，讓警調單位可以查詢並通知第三方支付業者，原本流程約需7到30天，但緩不濟急，因此希望透過新的查詢平臺，將時間縮短至1到3天。</p> <p><span style="color:#B22222;"><strong>金融業強化跨機構防詐、善用AI科技防詐</strong></span></p> <p>金管會也配合打詐策略行動綱領2.0，除了繼續推動金融業者的臨櫃防詐關懷，公減少民眾疑似被騙的提款、匯款異常行為，也強化金融機構跨機構防詐，並且鼓勵金融機構運用AI技術協助防詐。</p> <p>例如對人頭帳戶詐騙、洗錢詐騙、信用卡詐騙，建立電子化通報平臺，以及涉詐帳戶及交易的預警機制。</p> <p>金管會銀行局長莊琇媛指出，臨櫃關懷阻詐方面，從2023年到現在，累計阻詐件數約2.2萬件，阻詐金額達115億元，涉詐境外金融帳戶預警已攔阻275件，金額約2.26億元。</p> </div></div></div>
2024/11/28 18:15作者蘇文彬https://www.ithome.com.tw/news/166264
研究人員揭露名為Bootkitty的惡意UEFI Bootkit，專門鎖定Linux主機而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，駭客針對UEFI開機系統打造惡意啟動工具（UEFI Bootkit）的情況，約自2020年開始已有數起事故傳出，攻擊者利用這種工具竄改電腦的安全啟動機制，從而突破Windows作業系統的安全防護，甚至是停用防毒軟體與EDR系統。但如今，這類工具也出現專門針對Linux作業系統下手的情形。</p> <p>資安業者ESET指出，<a href="https://www.welivesecurity.com/en/eset-research/bootkitty-analyzing-first-uefi-bootkit-linux/">他們近期看到有人在VirusTotal上傳未知的UEFI應用程式</a>，檔名是bootkit.efi，經過分析確認是惡意UEFI啟動工具，研究人員將其命名為Bootkitty，並指出與過往同類工具最大的不同，在於它是針對Ubuntu作業系統特定版本而開發。</p> <p>為了讓啟動工具能夠通過UEFI開機流程，駭客使用自行簽署的憑證，替Bootkitty「漂白」，電腦啟動流程皆可進到執行Linux核心的階段，並在開機管理程式GRUB執行前，在記憶體內進行必要的完整性驗證功能，然而，這項工具的主要目的就是停用Linux的核心簽章驗證功能，並透過init處理程序預先載入2項來路不明的ELF執行檔。</p> <p>對於攻擊者的身分，雖然開發者自稱是BlackCat，但研究人員認為與勒索軟體BlackCat（Alphv）無關，原因是這些駭客雖然自稱BlackCat，Bootkitty是以C語言開發而成，但BlackCat其實是資安研究人員的稱呼，該組織自稱ALPHV，而且他們自始至終都用Rust語言開發惡意程式。對照之下，很有可能是兩組不同的攻擊者。</p> <p>另一方面，根據分析結果，研究人員認為Bootkitty很可能在早期開發階段，只是進行概念性驗證（PoC），而非積極活動的駭客用來作案的工具，僅管可能沒有實際的危害能力，但這代表執行Linux的電腦又多了一個可被侵入的管道，並顯示攻擊者正積極鎖定這類電腦開發相關工具。</p> </div></div></div>
2024/11/28 15:13作者周峻佑https://www.ithome.com.tw/news/166255
已終止維護的D-Link數據機存在重大漏洞，近6萬臺設備曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月11日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布公告，指出D-Link數據機DSL-6740C存在一系列漏洞，由於該設備今年初已達到終止支援（EoS）階段，D-Link將不會進行修補，呼籲使用者應汰換設備。由於使用這款設備的用戶絕大多數都位於臺灣，寬頻網路的使用者應特別提高警覺。</p> <p>對此，12日D-Link也<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10414">發布公告證實此事</a>，並指出這款設備在今年1月15日已經結束支援，強烈建議用戶停止使用。</p> <p>這些漏洞分別是特權API不正確使用漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8227-f3f3b-1.html">CVE-2024-1108</a>、路徑穿越漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8226-0b07b-1.html">CVE-2024-11067</a>，以及作業系統命令注入漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8221-601c3-1.html">CVE-2024-11062</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8222-eb5bb-1.html">CVE-2024-11063</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8223-f6da0-1.html">CVE-2024-11064</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8224-d939e-1.html">CVE-2024-11065</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8225-3d882-1.html">CVE-2024-11066</a>，CVSS風險評分介於7.2至9.8。</p> <p>根據CVSS風險評分，最嚴重的是重大層級的CVE-2024-1108，攻擊者可在未經身分驗證的情況下，利用特定的API隨意修改使用者的密碼，並以該使用者的帳號存取網頁、SSH、Telnet等服務，風險值達到9.8。</p> <p>路徑穿越漏洞CVE-2024-11067也相當值得留意，因為也同樣能在未經授權的情況下利用，一旦攻擊者成功觸發漏洞，就有機會讀取任意的系統檔案。值得留意的是，由於數據機的預設密碼與MAC位址有關，若是攻擊者利用這項漏洞得到MAC位址，便能試圖以預設密碼登入裝置，CVSS評分為7.5。</p> <p>其餘的作業系統命令注入漏洞，取得管理者權限的攻擊者能夠遠端利用，並透過SSH或Telnet的特定功能執行任意的系統命令，CVSS風險為7.2。</p> <p>針對這些漏洞曝險的情況，已有國外媒體報導此事，當時資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/d-link-wont-fix-critical-bug-in-60-000-exposed-eol-modems/">透過物聯網搜尋引擎FOFA搜尋</a>，有59,083臺具有資安風險的數據機，其中在臺灣的有59,077臺；事隔2週，數量僅略為減少，我們今天經由FOFA搜尋，結果發現仍有多達57,949臺仍在運作的數據機，其中57,945臺位於臺灣，顯然很多人並未意識到此事的嚴重性。</p> <p>對於此事，我們也向通報漏洞的趨勢科技紅隊資安研究員Steven Meow進一步確認，他表示這批漏洞的危險之處，在於中華電信提供許多個人用戶及政府機關這款數據機，上述漏洞的影響範圍相當廣泛，他估計有超過6萬臺裝置曝露於遠端執行任意程式碼（RCE）的危險，而且，這些裝置大部分仍在運作。</p> <p>對於前述提及管理員帳密可被猜測的情況，Steven Meow也提及10月底已被登記為CVE-2024-48271，<a href="https://gist.github.com/stevenyu113228/e264c145d6e6e6b59cf53fddc27409ad#1--predictable-administrator-credentials-in-d-link-dsl6740c-modem">這項漏洞存在於6.TR069.20211230版韌體</a>，涉及管理員的帳密能夠被猜測的情形，攻擊者有機會遠端未經授權存取數據機的主控臺，CVSS風險達到9.8分。</p> </div></div></div>
2024/11/28 12:10作者周峻佑https://www.ithome.com.tw/news/166245
教育部揭精準健康跨領域人才培育成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日（11/27）國科會第12次委員會議中，教育部揭露精準健康跨域人才培育計畫成果，包括已培育近4萬5千人次具生技和ICT技能的人才，其中就有運用AIoT技術的成大虛擬實境鏡像治療（VRMT）團隊，還在今年獲得美國FDA第二類虛擬實境復健軟體認證。同時，經濟部也在會後分享精準健康產業計畫進展，包括整合醫療院所資源，在全臺8家醫院建置臨床場域、推動56項數位及智慧醫材國產國用。</p> <p><span style="font-size:22px;"><strong>精準健康跨域人才培育重點1：共享教學資源</strong></span></p> <p>教育部資訊及科技教育司副司長邱仁杰指出，精準健康產業人才培育計畫，鎖定跨領域人才培養，目標是要透過中心與夥伴學校聯盟，建立跨校、跨域、跨產業共授共育的機制，來推動前瞻教研、產業實務和創新創業發展，打好精準健康跨領域人才基礎。尤其這類跨域人才，要具備生技和數位科技技能。</p> <p>就前瞻教研來說，目的是聚焦學校教學特色和產學師資專長，來提供共享的跨校授課資源。比如，由中心學校開授數位和智慧科技跨域課程，來讓夥伴學校透過遠距或實體收播，供跨校師生共同參與、共享資源。</p> <p>這類課程規畫分為3階段，包含打好基礎知識的基礎課程、導入數位科技實作的深化應用課程，以及整合式智慧應用實作。</p> <p><span style="font-size:22px;"><strong>精準健康跨域人才培育重點2：鼓勵組隊創新創業</strong></span></p> <p>在產業實務和創新創業發展部分，政府則整合跨部會資源，鼓勵學生組隊創新、創業。比如，學生組隊接受跨域課程培訓，這些課程有生技領域課程、創新創業跨域課程兩大類，其中後者面面俱到，有團隊組成管理、財務風險管理、創業精神、市場分析與行銷研究，還有生技技術、智財法規與管理、計畫實務演練等。</p> <p>課程培訓後，團隊可撰寫創業計畫書、由產學專家個案輔導，進入進階和高階培訓，再透過學校或外部育成機制，來進行創新創業。在這個階段，計畫中心會提供資源，來媒合創投和天使投資人、輔導參與國際競賽等。</p> <p>政府希望，創業成功的團隊能回饋經驗，成為種子業師，來輔導新一批學員。</p> <p>邱仁杰也分享創新創業實例，在這項計畫中，成大生醫工程系團隊學生先在2018年接受教育部創新創業課程培訓，課程內容涵蓋嵌入式系統、設計思維（Design Thinking）、商業化概念、生技醫材設計與開發等，完成後聯手成大醫院，組成虛擬實境鏡像治療（VRMT）團隊，來開發原型、展開學術研究臨床試驗。</p> <p>他們也在2023年修習AIoT數位精準健康的應用課程，以Nvidia Jetson Neno模組生成式AI進行上機實務培訓，優化模型產出。同年，他們也獲國科會科研創業計畫萌芽案補助，今年還成為臺灣首個取得美國FDA第二類虛擬實境復健軟體認證的大學院校。接下來，他們打算技轉，也考慮成立公司。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-11-28%20141011.png" /></p> <p>教育部盤點，自計畫推動以來，已培育具生技與數位科技跨域技能的人才，近4萬5千人次，也已輔導31個團隊創業成功。</p> <p><strong><span style="font-size:22px;">經濟部推精準健康產業跨域躍進計畫，瞄準4大痛點</span></strong></p> <p>另一方面，經濟部產發署也在六大核心戰略產業方案的大方向下，推動精準健康產業跨域躍進計畫，提出4大方針來解決4大痛點，包括加速產業投資，來滿足國內小規模生醫企業的資金需求；透過聯手醫院、建置驗證場域，來加速國產醫材研發和上市；媒合ICT廠商和醫院，來打造符合需求的智慧醫材產品，並輔導國外取證上市、加速商品化；以及帶領國內廠商參與國際商展，拓展國際市場佈局。</p> <p>在加速產業投資部分，經濟部統計，他們已經協助214家公司、541個品項取得生醫條例投資抵減資格，自2022年至今年，投資超過300億元。他們的「單一窗口」服務部分，自2022年至今年也協助172件廠商申請，帶動約960億元投資。</p> <p>至於建置驗證場域，則在全臺8家醫療院所打造了醫材驗證場域，推動56項數位和智慧化醫材國產國用，試用人次達14,160人。加速商品化部分，則已經為65案提供了符合醫療需求的產品技術開發和臨床測試輔導，另也為36案提供法規輔導和上市申請，其中已有9項產品於歐盟、美國、印尼和臺灣上市。</p> <p>在國際市場布局部分，經濟部統計，2022年至2024年共帶領了159家廠商參展，成功的國際商業合作文件簽署共有77件，協助爭取了602.2萬美元訂單。</p> <p></p> </div></div></div>
2024/11/28 13:33作者王若樸https://www.ithome.com.tw/news/166247
微軟強調沒有使用Microsoft 365用戶文件訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周澄清，說明並未使用Microsoft 365（M365）上廣大用戶的Word或Excel等文件，來訓練自家AI模型。</p> <p>一名使用者在Tumblr<a href="https://thethiefandtheairbender.tumblr.com/post/767470678692823040" target="_blank">指稱</a>，微軟近日在M365加入一項連結體驗（Connect Experience）功能，並且悄悄加入自願退出（opt-out）選項。文章指出，如同時下許多廠商，微軟將這項功能預設為開啟，一旦用戶未主動關閉，即意謂允許微軟擷取用戶在雲端上的Word、Excel文件作為資料集，用以訓練其AI模型。</p> <p>作者指稱，微軟的作法呼籲M365用戶透過以下路徑關閉這功能：檔案>選項>信賴中心>信賴中心設定>隱私選項>隱私設定>連結體驗，用戶應取消勾選「啟用隨選的連結體驗」這個選項。</p> <p>微軟透過<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-says-its-not-using-your-word-excel-data-for-ai-training/" target="_blank">媒體</a>駁斥這項指控。微軟說不會使用M365消費者和商用應用程式來訓練LLM。</p> <p>而且連結服務的設定也和微軟訓練LLM方法無關。這<a href="https://learn.microsoft.com/en-us/microsoft-365-apps/privacy/connected-experiences#connected-experiences-that-download-online-content" target="_top">設定</a>是用於控制共同撰寫、即時文法建議和Web資源。微軟說，該公司很多年前就在生產力應用加入AI，例如PowerPoint中的Designer可生成更美觀的簡報、Word中的Editor可提供文法和寫作建議。但這些功能並不是仰賴生成式AI或LLM提供，而是使用機器學習演算法。</p> <p>微軟還說，連結服務2019年4月就預設開啟了，也不是最近才變更。同時對商業用戶而言，即使用戶開啟，管理員還是可以透過政策設定功能強制關閉，來保護公司資料安全及用戶隱私。</p> <p>在隱私和資安被放大檢視的今天，微軟可能也不敢使用用戶M365文件來訓練AI。微軟上周透過Windows Insiders方案，將Beta版AI功能Recall<a href="https://blogs.windows.com/windows-insider/2024/11/22/previewing-recall-with-click-to-do-on-copilot-pcs-with-windows-insiders-in-the-dev-channel/" target="_blank">釋出</a>給Copilot+ PC用戶，特別強調為預設關閉，用戶具有控制權、且資料加密儲存在電腦的隔離區中，存取Recall紀錄都必須經過身分驗證。在新功能中，Recall還加入Click to Do功能，可分析Windows PC螢幕快照，運用AI提供用戶建議以加速操作、節省時間及提升生產力。它也是Opt-in的應用程式，不會主動蒐集用戶使用行為資料。</p> </div></div></div>
2024/11/28 13:55作者林妍溱https://www.ithome.com.tw/news/166248
重塑對企業的聯防溝通模式，TWCERT/CC將逐步從聯防所需關鍵情資的角度出發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升臺灣民間企業的資安能力，不僅依賴個資法對全體企業的規範，以及金管會對上市櫃公司提出的各項要求，政府在協助企業提升資安能力方面，台灣電腦網路危機處理暨協調中心（TWCERT/CC）扮演著重要角色。</p> <p>隨著2024年元旦資通安全研究院（資安院）接手TWCERT/CC，各界都關心他們後續如何進一步協助民間企業。<a href="https://www.ithome.com.tw/news/163174">4月他們公布發展計畫</a>，預告將持續推廣共同參與，拉攏更多企業加入TWCERT/CC免費會員，時隔超過半年的此刻，資安院在2024台灣資安通報應變年會，揭露目前最新相關進展。</p> <p>其中TWCERT/CC會員數的增長是焦點之一，目前已有1,699家民間企業加入，相較於今年年初的1,260家，數量增加449名會員，比例已成長35％。</p> <p>關於深化情資分享的具體做法，TWCERT/CC最近更是有了全新的策略，強調將以情資為主的溝通，扭轉大家對於通報的刻板印象。特別的是，他們還闡釋了4大情資類別，涵蓋活動預警、駭侵事件、漏洞情資與IoC，希望外界可以更能明白情資內容與應用，同時也公布了成功開發電郵陷阱機制，以及與Shadowserver基金會合作等進展。</p> <h3><strong>將逐步以情資為溝通基礎，而非以事件通報角度來溝通，以利情資驅動的資安聯防</strong></h3> <p>資安院院長何全德強調，資安問題已不再是單一國家、企業或組織可以獨自有效解決，在資安院接手TWCERT/CC後，希望將過去技服中心的經驗，也能有效用於服務廣大的臺灣民間企業。</p> <p>關於TWCERT/CC的發展現況，由資安院通報應變中心主任孫偉哲上場說明。由於該場議程的TLP情資分級為「綠燈」，僅限領域內部人員使用，因此我們會後徵詢孫偉哲同意，揭露當中可公開的重點。</p> <p>他首先強調，TWCERT/CC為促進資安情資分享，將以「情資」取代「通報」的概念，這是其未來服務方向的一項全新轉變。</p> <p>為何會有這樣的改變？主要原因是，在過去一年推廣情資分享的過程中，他們發現民間企業較不願以通報角度來分享資訊，認為通報是嚴謹且繁瑣的程序，這也導致降低了參與意願。此外，企業也常誤解分享情資時需提供過於詳盡的內容。</p> <p>因此，TWCERT/CC希望以「情資」為溝通基礎，幫助企業理解其在聯防合作中的重要性。</p> <p>雖然大家對於情資、通報的定義仍很抽象，但孫偉哲解釋，情資分享的重點並非提供事件的全貌，主要聚焦於：遇到何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等。</p> <p>換言之，情資分享並不是分享多少電腦伺服器受害，是否資料外洩等，這些內容對第一線聯防並無價值，無法幫助其他單位的聯防準備。</p> <p>因此孫偉哲指出，TWCERT/CC將逐步以情資角度來溝通，而非以事件通報為角度來進行溝通，這是後續推動上的調整重點。</p> <p>至於具體有哪些調整？對此，我們首先聯想到，這應該是指TWCERT/CC網站的服務頁面上，可以找到「一般資安通報」的線上服務。孫偉哲的回應是：未來TWCERT/CC的對外服務網站確實將進行全面改版，會以情資的角度，讓民眾與企業協助提供相應的資訊，以幫助提升聯防的成效。</p> <p>綜觀此一變化，我們認為，過去TWCERT/CC為了幫助企業遭遇資安事件的應處，提供事件通報的管道，隨著2023年他們發布企業資安事件應變處理指南，如今他們顯然更強調在聯防與情資交流。</p> <h3><strong>提供會員4大情資類別，中小企業受益最大</strong></h3> <p>在以情資驅動的聯防上，TWCERT/CC會員究竟可獲得哪些具體內容？孫偉哲表示，主要有4大情資類型，分別是：活動預警、駭侵事件、漏洞情資，以及入侵指標。</p> <p>而我們也好奇，這4大情資類型是否今年才開始畫分？他表示，過去TWCERT/CC就會將情資提供給會員，如今資安院接手維運的新作法就是，依照過往經驗將情資類別明確化，希望讓會員可以較能明白情資內容與應用，例如：</p> <p><strong><span style="color: rgb(0, 153, 255);">（一）活動預警情資</span></strong><br /> TWCERT/CC將研析外部提供的企業攻擊事件情資，從中發現共通性、淺在攻擊活動，提醒相關企業及早防範。他舉例，當發現一個針對特定領域的攻擊，雖然該企業可能不是正在被攻擊的對象，但接獲情資、知道風險可能上升時，就能預先做準備。當然，這也仰賴情資的價值程度，才能讓防範上更有針對性。</p> <p><span style="color: rgb(0, 153, 255);"><strong>（二）駭侵事件情資</strong></span><br /> 會根據外部或自主發現的攻擊事件情資，將相關資訊經分析後提供遭駭企業應處。例如TWCERT/CC在暗網、地下論壇發現有一家公司資料被販賣，一旦發現這樣的情資後，他們就會協助通知該公司。</p> <p>基本上，這應該是企業應該主動監控的範疇，但為了幫助更多缺乏資源的中小企業，因此TWCERT將協助通知，避免國內企業未能掌握此狀況。至於外洩資料是否為攻擊者設置的煙霧彈，或企業是否真正受害，仍需要收到情資的企業自行判斷與調查。</p> <p><span style="color: rgb(0, 153, 255);"><strong>（三）漏洞情資</strong></span><br /> 不論是已知漏洞未修補，或是零時差漏洞的問題，由於近年駭客經常利用漏洞作為攻擊起始點的態勢，因此企業必須有所掌握。當然，所有漏洞修補其實都有其重要性，不過，TWCERT/CC會更著重在高風險漏洞層面的分享，因為這些漏洞威脅更具急迫性。</p> <p>因此，他們每星期會參考美國CISA公布的已知漏洞利用清單，並彙整新遭利用的漏洞，同時也會統整出相對影響較高的漏洞，以及CVSS風險評分較高的漏洞，供廣泛的TWCERT/CC會員可以檢查，是否有受影響的設備，以及是否已經安排更新修補。</p> <p><span style="color: rgb(0, 153, 255);"><strong>（四）入侵指標情資</strong></span><br /> 基本上，IoC入侵指標的全名是Indicators of Compromise，主要是用於辨識惡意活動或安全事件的具體證據或跡象，包含IP地址、網域名稱（DN）、惡意檔案的HASH值，可以幫助資安團隊快速識別威脅。</p> <p>孫偉哲表示，如果不知道面對特定威脅該如何防護，也可以把這些情資部署於防護設備、設為黑名單。這對於普遍資源不充沛的中小企業而言，至少能有防護行動的開始。</p> <h3><strong>開發電郵陷阱機制，與Shadowserver合作，未來還將提升情資自研能量</strong></h3> <p>之所以有上述4大情資類別能夠交流分享、促進聯防，背後其實也仰賴多方威脅偵測的蒐集，才能產出這些預警情資。</p> <p>因此，TWCERT/CC日後也希望，有些情資可以是由自身研究來發現，進一步提升情蒐預警能力，而不像過去這方面的業務型態，全是仰賴從外部收到的情資，或是購買而來的情資。</p> <p>之所以有此改變，是因為過去計服中心在協助公務機關時，本身就會自己研究取得情資，因此資安院如今也希望將這樣的能量也用在民間企業，這會是未來一個重要發展方向。</p> <p>在促進情資交流上，現在TWCERT/CC也採取更積極的態度，像是針對發布資安重訊的上市櫃公司，他們會主動聯繫這些公司，詢問是否能協助提供IoC以利聯防。而且，目前也確實有企業願意分享這些入侵指標。</p> <p>在國內資安事件分析上，孫偉哲也揭露幾項統計數據，我們特別關注以下幾點，例如：在國內資安事件分析上，以今年2024年（至10月底為止）而言，勒索攻擊事件比例最高，佔所有事件的44.68%；在CVE漏洞審查方面，今年TWCERT/CC已公告130個CVE漏洞，當中多屬高風險漏洞；在惡意檔案檢測服務VirusCheck上，TWCERT/CC收到1,645筆可疑檔案需要檢測，以民間企業使用率最高，共發現44個惡意程式、12個IP位址與16個網域名稱。</p> <p>在國際情資分享上，今年TWCERT/CC已接獲1,660件國際資安情資，當中以惡意程式相關情報佔45.84%，比例最高。</p> <p>特別的是，他們也提到與國際組織Shadowserver基金會合作，共同研析國內產品資安漏洞，希望進一步提升台灣資安產品在國際市場的可信度。</p> <p>而在技術創新方面，TWCERT/CC也成功開發了一項自主電郵陷阱機制，專注於捕捉針對電子郵件的威脅行為，希望藉由發展更多威脅資訊來源，持續擴展自身的情蒐預警能力。</p> </div></div></div>
2024/11/28 14:03作者羅正漢https://www.ithome.com.tw/news/166249
美國針對微軟業務展開反托拉斯調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博社（<a href="https://www.bloomberg.com/news/articles/2024-11-27/us-antitrust-watchdog-launches-broad-microsoft-investigation" target="_blank">Bloomberg</a>）及金融時報（<a href="https://www.ft.com/content/62f361eb-ce52-47c1-9857-878cfe298d54" target="_blank">The Financial Times</a>）周三（11/27）相繼引述消息來源報導，美國聯邦交易委員會（FTC）已針對微軟展開反托拉斯調查，正式要求微軟提供雲端運算、人工智慧（AI）及網路安全的產品的相關資訊。</p> <p>消息來源向彭博社透露，在FTC與微軟競爭對手及業務合作夥伴，進行了一年多的非正式訪談之後，反托拉斯的執法人員已制定一份長達數百頁的資訊請求，在FTC 主席 Lina Khan簽署之後送交微軟，同時FTC也會持續與微軟競爭對手討論此事。</p> <p>而金融時報則說，FTC正在審查微軟濫用其生產力軟體的市場力量，透過施加懲罰條款，來阻止客戶將資料從Azure轉到競爭對手的雲端平臺，包括增加那些離開公司的訂閱費率，收取高額的退出費用，以及讓Office 365與競爭對手的雲端不相容等。</p> <p>先前<a href="https://www.ithome.com.tw/news/165227" target="_blank">Google</a>亦曾向歐盟執委會（European Commission，EC）投訴微軟，內容頗為相似。</p> <p>這可能是拜登政府針對微軟的最後一次調查，因為新任總統川普（Donald Trump）即將於明年1月上任，也將重新指派FTC主席，惟目前尚不確定川普是否會放鬆對大型科技的監管。</p> <p>除了FTC與微軟之外，美國司法部日前<a href="https://www.ithome.com.tw/news/166148" target="_blank">提議</a>要求Google出售Chrome業務，以解決Google於搜尋市場的壟斷，此案預計在2025年由法院作出最終判決。</p> </div></div></div>
2024/11/28 14:12作者陳曉莉https://www.ithome.com.tw/news/166250
中國自駕車業者Pony AI登上美國那斯達克股市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國自駕車業者小馬智行（Pony AI）周三（11/27）藉由發行美國存托股票（American Depositary Shares，ADS），以PONY為代號登上了美國那斯達克股市，它的發行價為13美元，上市首日以12美元作收，下跌了7.69%。</p> <p>ADS是外國企業於美國上市的管道之一，企業先將股票交由美國的存託銀行管理，該銀行再根據這些股票發行ADS，供美國投資者以美元交易。它可減少直接於美國IPO的複雜度及所需遵循的法規，可維持在企業母國的上市地位，還能向美國投資人籌募資金，包括台積電及阿里巴巴都是藉由發行ADS在美上市。</p> <p>根據小馬智行向美國證券交易委員會（SEC）提交的<a href="https://www.sec.gov/Archives/edgar/data/1969302/000110465924109475/tm2310344-12_f1.htm#tDOAD" target="_blank">上市申請書</a>，小馬智行主要開發自動駕駛技術，並推出Pony Robotaxi及Pony Robotruck等自動駕駛車隊，其中，無人駕駛的Pony Robotaxi已有250輛計程車在中國北京、上海、廣州及深圳服務，並有190輛無人駕駛的卡車已投入營運。</p> <p>此外，小馬智行已與豐田（Toyota）及GTMC成立合資公司，以於中國推動無人駕駛計程車的大規模量產及部署，亦與中國的SAIC、GAC及FAW等汽車OEM業者合作，共同開發及量產無人駕駛計程車。除了中國市場之外，小馬智行也已將業務拓展至歐洲、東亞、中東及其它地區。</p> <p>小馬智行在2022年的營收為6,839萬美元，虧損近1.5億美元，2023年營收為7,190萬美元，虧損1.25億美元，今年前6個月的營收為2,472萬美元，虧損近5,200萬美元。</p> </div></div></div>
2024/11/28 12:56作者陳曉莉https://www.ithome.com.tw/news/166246
重塑聯防溝通模式，TWCERT/CC將以情資取代通報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升臺灣民間企業的資安能力，不僅依賴個資法對全體企業的規範，以及金管會對上市櫃公司提出的各項要求，政府在協助企業提升資安能力方面，台灣電腦網路危機處理暨協調中心（TWCERT/CC）扮演著重要角色。</p> <p>隨著2024年元旦資通安全研究院（資安院）接手TWCERT/CC，各界都關心他們後續如何進一步協助民間企業。4月他們公布發展計畫，預告將持續推廣共同參與，拉攏更多企業加入TWCERT/CC免費會員，時隔超過半年的此刻，資安院在2024台灣資安通報應變年會，揭露目前最新相關進展。</p> <p>特別的是，關於深化情資分享的具體做法，TWCERT/CC有了全新的策略，強調將以情資為主的溝通，扭轉大家對於通報的刻板印象，他們同時公布，加入TWCERT/CC會員的民間企業已有1,699家。相較於今年年初的1,260家，增加449名會員，提升35.6%。</p> <h3><strong>將逐步以情資角度，而不是以事件通報角度來溝通，以利情資驅動的資安聯防</strong></h3> <p>資安院院長何全德強調，資安問題已不再是單一國家、企業或組織可以獨自有效解決，在資安院接手TWCERT/CC後，希望將過去技服中心的經驗，也能有效用於服務廣大的臺灣民間企業。</p> <p>關於TWCERT/CC的發展現況，由資安院通報應變中心主任孫偉哲上場說明。由於該場議程的TLP情資分級為「綠燈」，僅限領域內部人員使用，因此我們會後徵詢孫偉哲同意，揭露當中可公開的重點。</p> <p>他首先強調，TWCERT/CC為促進資安情資分享，將以「情資」取代「通報」的概念，這是其未來服務方向的一項全新轉變。</p> <p>為何會有這樣的改變？主要原因是，在過去一年推廣情資分享的過程中，他們發現民間企業較不願以通報角度來分享資訊，認為通報是嚴謹且繁瑣的程序，這也導致降低了參與意願。此外，企業也常誤解分享情資時需提供過於詳盡的內容。</p> <p>因此，TWCERT/CC希望以「情資」為溝通基礎，幫助企業理解其在聯防合作中的重要性。孫偉哲解釋，情資分享的重點並非提供事件的全貌，主要聚焦於：遇到何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等。</p> <p>換言之，情資分享並不是分享多少電腦伺服器受害，是否資料外洩等，這些內容對第一線聯防並無價值，無法幫助其他單位的聯防準備。</p> <p>因此孫偉哲指出，TWCERT/CC將逐步以情資為溝通基礎，而非以事件通報為角度來進行溝通，這是後續推動上的調整重點。</p> <p>至於具體有哪些調整？對此，我們首先聯想到，這應該是指TWCERT/CC網站的服務頁面上，可以找到「一般資安通報」的線上服務。孫偉哲的回應是：未來TWCERT/CC的對外服務網站確實將進行全面改版，會以情資的角度，讓民眾與企業協助提供相應的資訊，以幫助提升聯防的成效。</p> <p>綜觀此一變化，我們認為，過去TWCERT/CC為了幫助企業遭遇資安事件的應處，提供事件通報的管道，隨著2023年他們發布企業資安事件應變處理指南，如今他們顯然更強調在聯防與情資交流。</p> <h3><strong>提供會員4大情資類別，中小企業受益最大</strong></h3> <p>在情資聯防上，TWCERT/CC會員究竟可獲得哪些具體內容？孫偉哲表示，主要有4大情資類型，分別是：活動預警、駭侵事件、漏洞情資，以及入侵指標。</p> <p>而我們也好奇，這4大情資類型是否今年才開始畫分？他表示，過去TWCERT/CC就會將情資提供給會員，如今資安院接手維運的新作法就是，依照過往經驗將情資類別明確化，希望讓會員可以較能明白情資內容與應用，例如：</p> <p>（一）活動預警情資</p> <p>TWCERT/CC將研析外部提供的企業攻擊事件情資，從中發現共通性、淺在攻擊活動，提醒相關企業及早防範。他舉例，當發現一個針對特定領域的攻擊，雖然該企業可能不是正在被攻擊的對象，但接獲情資、知道風險可能上升時，就能預先做準備。當然，這也仰賴情資的價值程度，才能讓防範上更有針對性。</p> <p>（二）駭侵事件情資</p> <p>會根據外部或自主發現的攻擊事件情資，將相關資訊經分析後提供遭駭企業應處。例如TWCERT/CC在暗網、地下論壇發現有一家公司資料被販賣，一旦發現這樣的情資後，他們就會協助通知該公司。</p> <p>基本上，這應該是企業應該主動監控的範疇，但為了幫助更多缺乏資源的中小企業，因此TWCERT將協助通知，避免國內企業未能掌握此狀況。至於外洩資料是否為攻擊者設置的煙霧彈，或企業是否真正受害，仍需要收到情資的企業自行判斷與調查。</p> <p>（三）漏洞情資</p> <p>不論是已知漏洞未修補，或是零時差漏洞的問題，由於近年駭客經常利用漏洞作為攻擊起始點的態勢，因此企業必須有所掌握。當然，所有漏洞修補其實都有其重要性，不過，TWCERT/CC會更著重在高風險漏洞層面的分享，因為這些漏洞威脅更具急迫性。</p> <p>因此，他們每星期會參考美國CISA公布的已知漏洞利用清單，並彙整新遭利用的漏洞，同時也會統整出相對影響較高的漏洞，以及CVSS風險評分較高的漏洞，供廣泛的TWCERT/CC會員可以檢查，是否有受影響的設備，以及是否已經安排更新修補。</p> <p>（四）入侵指標情資</p> <p>基本上，IoC入侵指標的全名是Indicators of Compromise，主要是用於辨識惡意活動或安全事件的具體證據或跡象，包含IP地址、網域名稱（DN）、惡意檔案的HASH值，可以幫助資安團隊快速識別威脅。</p> <p>孫偉哲表示，如果不知道面對特定威脅該如何防護，也可以把這些情資部署於防護設備、設為黑名單。這對於普遍資源不充沛的中小企業而言，至少能有防護行動的開始。</p> <h3><strong>開發電郵陷阱機制，與Shadowserver合作，未來還將提升情資自研能量</strong></h3> <p>之所以有上述4大情資類別能夠分享，背後其實也仰賴多方威脅偵測的蒐集，才能產出預警情資。</p> <p>例如，TWCERT/CC也希望日後有些情資可以是由自身研究來發現，進一步提升情蒐預警能力，而不像過去這方面的業務型態，全是仰賴從外部收到的情資，或是購買而來的情資。</p> <p>之所以有此改變，是因為過去計服中心在協助公務機關時，本身就會自己研究取得情資，因此資安院如今也希望將這樣的能量也用在民間企業，這會是未來一個重要發展方向。</p> <p>在促進情資交流上，TWCERT/CC也採取更積極的態度，像是針對發布資安重訊的上市櫃公司，他們現在會主動聯繫這些公司，詢問是否能協助提供IoC以利聯防。而且，目前也確實有企業願意分享這些入侵指標。</p> <p>在國內資安事件分析上，孫偉哲也揭露幾項統計數據，在國內資安事件分析上，以今年2024年（至10月底為止）而言，勒索攻擊事件比例最高，佔所有事件的44.68%；在CVE漏洞審查方面，今年TWCERT/CC已公告130個CVE漏洞，當中多屬高風險漏洞；在惡意檔案檢測服務VirusCheck上，TWCERT/CC收到1,645筆可疑檔案需要檢測，以民間企業使用率最高，共發現44個惡意程式、12個IP位址與16個網域名稱。</p> <p>在國際情資分享上，今年TWCERT/CC已接獲1,660件國際資安情資，當中以惡意程式相關情報佔45.84%，比例最高。</p> <p>特別的是，他們也提到與國際組織Shadowserver基金會合作，共同研析國內產品資安漏洞，希望進一步提升台灣資安產品在國際市場的可信度。</p> <p>而在技術創新方面，TWCERT/CC也成功開發了一項自主電郵陷阱機制，專注於捕捉針對電子郵件的威脅行為，希望藉由發展更多來源，持續擴展自身的情蒐預警能力。</p> </div></div></div>
2024/11/28 10:16作者羅正漢https://www.ithome.com.tw/news/166241
思科新款中小企業NGFW來了！進階威脅防禦效能達6Gbps
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_firewall_1200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對小型／家用辦公室（SOHO）、分支辦公室、中小企業的網路環境防護，思科過去主要提供的防火牆產品是<a href="https://www.ithome.com.tw/review/132785">Cisco Firepower 1000系列，當中包含的機型有1010、1120、1140、1150，我們在2021年初曾有相關報導</a>，<a href="https://youtu.be/LZkfDVU6rsw?si=AUL-1LsPaXGPuVdE">2023年底思科開始推廣1010E</a>，到了今年6月的2024年度用戶大會Cisco Live，他們發表Cisco Secure Firewall 1200系列機型，強調相較於競爭產品可提供3倍效能，可支援SD-WAN的應用需求，針對企業在分支辦公室的網路環境，提供高效能與外型精簡的防火牆，而不需設置交換器、路由器、防火牆等多臺網路設備，並預告首批機型將於10月上市。</p> <p>思科最初先在自家網站揭露1200系列防火牆有3款桌上型設備：1210 CE、1210 CP、1220 CX，以及簡要的產品規格，例如，網路介面的配置上，它們皆內建8個GbE埠，1210 CP會有4個GbE埠支援思科主推的乙太網路供電（PoE）規格UPOE+，1220 CX則是額外提供2個SFP+接頭的10GbE埠；網路傳輸效能的部分，思科提到防火牆、IPS、IPsec VPN這三種資安防護應用的吞吐量。例如，就前兩種處理的效能而言，1210 CE與1210 CP皆為6 Gbps，1220 CX為9 Gbps；在IPsec VPN的部分，1210 CE與1210 CP皆為5 Gbps，1220 CX為10 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Firewall 1200 series summary.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Firewall%201200%20series%20summary.jpg" style="width: 600px;" /></a></p> <p>而在6月Cisco Live Las Vegas 2024大會的分場演講「Cisco Secure Firewall Platforms Deep Dive」當中，思科稱呼這批產品為1200C系列，透露更多技術規格，例如，運算平臺的部分，它們搭配8核心Arm架構的系統單晶片（SoC）處理器、16 GB記憶體，以及240 GB NVMe固態儲存空間。這裡採用的系統單晶片，也嵌入多個加速器，能夠提升加解密與網路流量的處理能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-4.jpg" style="width: 600px;" /></a></p> <p>關於網路介面的部分，思科此時也特別提到1210CP內建4個支援UPoE+的GbE埠，總共可供應120瓦電力，單埠最大可供應90瓦電力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-3.jpg" style="width: 600px;" /></a></p> <p>單就次世代防火牆的效能而言，思科認為1200C系列可達到1010的10倍，1100系列的3倍，並列出搭配兩種防火牆系統軟體平臺的效能，從中可明顯看出差異頗大——採用ASA（Adaptive Security Appliance）時，1210與1220的防護效能各為8 Gbps、18 Gbps，採用FTD（Firewall Threat Defense）時的防護效能，分別為2.5 Gbps、3 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-5.jpg" style="width: 600px;" /></a></p> <p>到了8月，思科在社群網站LinkedIn的Cisco Security帳號頁面，發布介紹1200系列硬體特色介紹的1分鐘影片，</p> <p> </p> <div class="media_embed" height="624px" width="504px"> <iframe allowfullscreen="" frameborder="0" height="624px" src="https://www.linkedin.com/embed/feed/update/urn:li:ugcPost:7229165994059993088" title="Embedded post" width="504px"></iframe></div> <p> </p> <p>10月初他們公開更多細部資訊。</p> <p>首先，<a href="https://youtu.be/KToIL-tyiWM?si=f9X7cPI4Fm_l5RGs">在影音網站YouTube的Cisco Secure Firewall頻道，思科發布4分鐘內容的影片</a>，介紹1200系列的市場定位、產品規格、效能，基本上，與思科4個月前預告的資訊大同小異。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Firewall-2024-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Firewall-2024-10.jpg" style="width: 600px;" /></a></p> <p>第二，思科正式發布Cisco Secure Firewall 1200系列的資料規格表，當中詳細列出3款機型的完整組態配置與效能資訊。相較於早先預告的規格，大部分都符合，我們看到有幾項差異：設備搭配的固態硬碟容量，從240 GB改為480 GB；每個PoE網路埠的電力供應改為30瓦，主要是為了相容於電力傳遞端點（PD endpoints）；搭配不同系統軟體的網路傳輸效能，也趨於一致——採用ASA（Adaptive Security Appliance）時，1210與1220的防護效能各為6.5 Gbps、15 Gbps，採用FTD（Firewall Threat Defense）時的防護效能，分別為6 Gbps、9 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 1200-FTD-ASA performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%201200-FTD-ASA%20performance.png" style="width: 600px;" /></a></p> <p>而在10月中與月底，思科也陸續發布ASA與FTD這兩個系統軟體平臺的改版（<a href="https://www.cisco.com/c/en/us/support/security/adaptive-security-appliance-asa-software/products-release-notes-list.html">9.22</a>、<a href="https://www.cisco.com/c/en/us/support/security/firepower-ngfw/products-release-notes-list.html">7.6</a>），正式將Secure Firewall 1200系列置入前述軟體適用的產品機型當中。</p> <p>1200系列後續還會有更多機型。11月中舉行的Cisco Live 2024 Melbourne大會，思科傑出工程師Andrew Ossipov在防火牆相關的分場演講預告，此系列將增設3款機架式設備：1230、1240、1250，就網路介面而言，這批機型的上行埠將提供更多10GbE埠——1230與1240會有4個SFP+接頭的10GbE埠，1250會有4個RJ45接頭的10GbE埠（後續會改為2個10GbE埠與2個25GbE埠），至於其他8個原本為GbE埠的網路介面可支援2.5GbE埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF1200-2024-11-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF1200-2024-11-2.jpg" style="width: 600px;" /></a></p> <p>而在運算配置上，1230、1240的處理器將內建12核心，1250搭配16核心（現有機型皆為8核心），1240與1250的系統記憶體容量將擴增為32 GB（現有機型與1230皆為16 GB）。介於處理器與網路埠之間的內部交換網路（Internal Switch Fabric）也將強化，從此處連至處理器的加速器，頻寬將大幅提升，從原本的1個10GbE連線提升至2個10GbE（1210、1220、1230、1240）或1個50GbE（1250），至於此處連至整個處理器的部分，1210、1220、1230、1240仍維持1個10GbE連線，1250升級為50GbE。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF1200-2024-11-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco SF-1200-2024-06-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF-1200-2024-06-4.jpg" style="width: 298px;" /></a></p> <p>可想而知，這樣的配置將提供更多效能的選擇，Andrew Ossipov也列出預估的5款機型效能表現差距，值得注意的是，單就1210、1220、1230三款的效能規格資訊來看，這應該是基於思科在6月所公布的資料，10月正式推出產品之後，已有相當大幅度的修正，等到1230、1240、1250真正上市時，應該還會再翻新這邊的數值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF1200-2024-11-3.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Cisco Secure Firewall 1200系列</span></strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型與尺寸：1210CE、1210CP、1220CX，皆為桌上型<br /> ●網路埠：1210CE為8個GbE埠，1210CP為8個GbE埠（其中4埠支援PoE，每埠提供30瓦電力），1220CX為8個GbE埠和2個10GbE埠（SFP+）<br /> ●防火牆吞吐量（啟用AVC與IPS）：1210CE為6.0 Gbps，1210CP為6.0 Gbps，1220CX為9.0 Gbps<br /> ●VPN吞吐量：1210CE為5.0 Gbps，1210CP為5.0 Gbps，1220CX為10.0 Gbps<br /> ●最大同時連線數：1210CE為20萬個，1210CP為20萬個，1220CX為30萬個</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/28 12:11作者李宗翰https://www.ithome.com.tw/review/166209
Hugging Face公布可在裝置上執行的小型多模態模型SmolVLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在7月<a href="https://www.ithome.com.tw/news/163988" target="_blank">公布</a>SmolLM輕量語言模型後，AI應用開發平臺Hugging Face本周<a href="https://HuggingFace.co/blog/smolvlm" target="_blank">公布</a>輕量多模態模型SmolVLM，主打輕量、高效能，為其小型語言模型再添成員。</p> <p>SmolVLM為參數量20億的小型多模態模型，號稱是同規模模型的State-of-the-Art（SOTA）。SmolVLM可接受以任意圖片和文字的組合作為輸入，但作為輕量模型，它只會生成文字輸出。SmolVLM能回答關於圖片的問題、描述圖片內容，根據多張圖片來說故事，也可以當成純語言模型使用。開發團隊表示，SmolVLM基於輕量架構，很適合在裝置上執行，且維持多模態任務的高效能。</p> <p>SmolVLM的架構是以Hugging Face之前推出的視覺模型IDEFICS 3為基礎，連Transformer實作也相同。但是Hugging Face較<a href="https://HuggingFace.co/blog/idefics" target="_blank">IDEFICS</a>有幾點不同。第一是將語言骨幹由Llama 3.1 8B換成了SmolLM2 1.7B。其次，SmolVLM採用更強大的圖片壓縮技術，使用了像素混合（pixel shuffle）策略，以及更大的patch來為視覺字詞編碼，這能提升它編碼效率、推論速度更快，但使用的記憶體更少。</p> <p>Hugging Face強調SmolVLM的高效及記憶體效率，並公布和市面參數量相當的模型的測試數據。在多模態理解、推理、數學以及文字理解能力方面，SmolVLM超越InternVL2、PaliGemma、MM1.5、moondream、MiniCPM-V-2等模型，而以GPU RAM使用效率而言，也超越大多數模型。其中和阿里巴巴的Qwen2-V2相較，SmolVLM的預填充吞吐量快3.3到4.5倍，而生成吞吐量則是7.5到16倍大。</p> <p>Hugging Face公布了SmolVLM家族三個模型，包括可供微調基礎模型SmolVLM-Base、以合成資料集微調成的SmolVLM-Synthetic、以及以指令微調的版本SmolVLM Instruct，後者能立即提供終端用戶互動使用。SmolVLM的所有模型檢查點、訓練資料集、訓練方法及工具，都以Apache 2.0<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-Instruct" target="_blank">授權開源</a>。</p> </div></div></div>
2024/11/28 10:46作者林妍溱https://www.ithome.com.tw/news/166242
配置臭蟲讓Cloudflare遺失55%的客戶日誌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容傳遞網路及安全服務的Cloudflare本周<a href="https://blog.cloudflare.com/cloudflare-incident-on-november-14-2024-resulting-in-lost-logs/" target="_blank">坦承</a>，該公司在11月14日，因為內部系統一連串的臭蟲，在短短5分鐘的錯誤配置中，便遺失了55%的客戶日誌。</p> <p>Cloudflare的網路是由分布在全球330個城市的系統組成，它們支援多項服務，且系統的每個部分都會產生事件日誌，並將它們傳送給客戶，供客戶執行合規性管理、系統觀察，或是會計。Cloudflare平均每天會處理50兆個客戶事件日誌，但僅有不到10%、約4.5兆個會傳送給客戶。</p> <p>Cloudflare的日誌處理架構，包括負責從全球伺服器接受並批量轉發日誌的Logfwdr，接收批量日誌並進一步將它們分配至緩衝區的Logreceiver，管理超過100萬個日誌緩衝區的Buftee，以及將日誌推送到客戶指定地點的Logpush。</p> <p>在11月14日那天，為了支援新的資料集以處理額外的日誌類型，Cloudflare更新了Logpush的配置，配置系統需要將此一配置傳送給Logfwdr，但配置系統傳送給Logfwdr的檔案卻是空白的，因而觸發了Logfwdr內部的「故障開放」（Fail Open）機制。</p> <p>該機制是一種系統設計策略，在發生故障時，系統預設選擇開放狀態，亦即寧可多做也不要停止服務，在Cloudflare的日誌系統上發生時，它便選擇替所有的客戶發送日誌。</p> <p>儘管Cloudflare很快就發現此一錯誤，並在5分鐘內恢復了該變更，但Logfwdr已根據Fail Open發送日誌予大量客戶，而Buftee原本有防護機制，卻因配置問題而未被正確啟用，導致Buftee所管理的日誌緩衝區數量，很快就從一百多萬個快速增加到4,000萬個。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1128-Cloudflare%20incident_Nov%2014_Cloudflare%20Logs-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cloudflare</span></p> <p>只有短短5分鐘的錯誤配置便造成了巨大的過載，導致底層系統過載而無法正常運作，需要全面的重置與重新啟動。這起意外從配置系統出錯、Fail Open的設計、Buftee的保護機制未被啟動，一直到復原，總計持續了3.5個小時，造成Cloudflare原本應該發送給客戶的日誌中，有55%並未發送而且完全遺失。</p> <p>Cloudflare表示，大規模系統中的故障是無可避免的，但子系統必須具備自我保護機制，以防止來自其它部分的故障引發連鎖反應，在此次的事故中，系統某部分的配置錯誤導致了另一部分的過載，而另一部分的系統亦存在著配置問題，如果正確的配置，即可避免日誌遺失。</p> </div></div></div>
2024/11/28 11:09作者陳曉莉https://www.ithome.com.tw/news/166243
Deno請願註銷JavaScript商標，挑戰甲骨文所有權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國專利商標局（USPTO）收到Deno提出的<a href="https://ttabvue.uspto.gov/ttabvue/v?pno=92086835&pty=CAN&eno=1">請願</a>，要求註銷甲骨文（Oracle）所持有的JavaScript商標。該行動的目的是要將JavaScript這個全球廣泛使用的程式語言名稱，排除於商標法的限制之外，使其成為開放的公共資產。</p> <p>一旦請願成功，技術社群將不再受商標限制，JavaScript Conference等名稱可以重新使用，而不需要選擇像是JSConf這類避免法律爭議的替代名稱。另外，ECMA-262規範也可從繁瑣的名稱ECMAScript，改為更直覺的JavaScript規範，更多開發者社群例如Rust for JavaScript Developers，也都能自由地使用該名稱。</p> <p>JavaScript最初由網景公司在1995年推出，由程式設計師Brendan Eich開發，一開始是為了在網頁增加互動功能。當時語言原本被稱為Mocha，後改名為LiveScript，但在網景和昇陽電腦合作後，為了搭上Java語言的熱潮，將最終名稱定為JavaScript。雖然名稱中包含Java，但是JavaScript與Java的語法結構及用途明顯不同。</p> <p>JavaScript被納入Ecma國際組織管理，由TC39技術委員會負責維護ECMA-262標準規範。在這個過程，JavaScript逐漸成為全球開發者普遍使用的開放技術，並超越了單一企業的控制範疇，不過，原本是昇陽電腦所擁有的JavaScript商標，在甲骨文收購昇陽電腦之後，甲骨文成為當前商標持有者。</p> <p>JavaScript的發展過程中，其商標歸屬一直備受關注。<a href="https://deno.com/blog/deno-v-oracle">Deno現在則基於三項法律主張</a>，從商標法角度質疑甲骨文的JavaScript商標所有權。Deno認為，JavaScript已經成為全球數百萬開發者使用的程式語言名稱，並由ECMA-262規範定義，該名稱早已超越企業品牌的範疇成為通用名稱。根據美國法律，通用名稱無法被註冊為商標，另外，甲骨文既不是JavaScript的創建者，又未曾參與標準制定，從未實現對其JavaScript名稱的控制。</p> <p>另外，Deno還指控甲骨文在2019年續展商標時，向美國專利商標局提供虛假證據，聲稱該商標進行商業活動，但是提交的證明卻是Node.js的截圖，而Node.js完全由Deno創辦人Ryan Dahl主導，與甲骨文無關。因此Deno認為，這樣的行為不僅與商標法規範相違，同時嚴重誤導美國專利商標局的審查決策。</p> <p>Deno也指出，甲骨文多年來未對外銷售或是提供任何使用JavaScript名稱的產品或是服務，雖然有少量如JavaScript Extension Toolkit或GraalVM相關工具，也不足以構成商標的商業使用，因此根據美國法律，三年未使用的商標將被視為棄用，因此應該撤銷。</p> <p>Deno的請願得到技術社群的廣泛支援，包括JavaScript創造者Brendan Eich在內超過1.4萬名開發者，皆已簽署公開信，要求甲骨文放棄該商標。甲骨文需要在2025年1月4日之前作出回應，否則案件進入默認判決，商標就可能會被直接撤銷，而如果甲骨文選擇抗辯，Deno也表示已準備充足證據，證明JavaScript商標通用化並且已被甲骨文棄用。</p> </div></div></div>
2024/11/28 08:17作者李建興https://www.ithome.com.tw/news/166238
【資安日報】11月27日，攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者利用瀏覽器零時差漏洞的情況不時傳出，但多半會針對較多人使用的Chrome而來，發生在今年10月上旬的Firefox零時差漏洞攻擊相當引人關注，如今通報漏洞的研究人員更多細節。</p> <p>他們提及這波攻擊行動由俄羅斯駭客RomCom發起，在過程裡還會運用Windows零時差漏洞CVE-2024-49039，使得攻擊者無須與使用者互動，就能將後門程式散布到受害電腦。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166215"><strong style="font-size: 22px;">俄羅斯駭客RomCom利用Firefox、Windows零時差漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RomCom-figure-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RomCom-figure-1.png" style="width: 300px; float: right;" /></a>今年10月Mozilla基金會修補Firefox零時差漏洞CVE-2024-9680（CVSS風險評分為9.8），並表明他們掌握實際利用的活動情資，通報此事的資安業者ESET本週公布這起事故的細節。</p> <p>研究人員表示，他們在10月8日看到廣泛利用CVE-2024-9680的跡象，駭客運用這項當時尚未公開的零時差漏洞，對Mozilla開發的應用程式下手。值得留意的是，攻擊者在活動當中，串連11月例行更新修補的Windows零時差漏洞CVE-2024-49039（CVSS風險評分為8.8），而有機會在使用者登入作業系統的狀態下，執行任意程式碼。</p> <p>對於發起這波攻擊行動的駭客身分，研究人員表示是代號為Storm-0978、Tropical Scorpius、UNC2596的俄羅斯駭客RomCom。一旦成功利用上述漏洞，這些駭客就會在受害電腦植入後門程式RomCom，以便進行後續的網路間諜活動。</p> <p><a href="https://www.ithome.com.tw/news/166218"><strong style="font-size: 22px;">Array Networks、Fortinet SSL VPN漏洞被用於散布後門程式，臺灣、日本有企業受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Spot the difference fig1-01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Spot%20the%20difference%20fig1-01.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客組織Earth Kasha近日以後門程式，攻擊包括Array Networks、Fortinet等品牌SSL VPN設備，已有臺灣、日本，以及印度等地的企業受害。</p> <p>趨勢科技指出，這些駭客原本主要在日本活動，但他們今年初發現，Earth Kasha發展出新的攻擊策略和技倆，從2023年起開始運用企業防火牆軟體漏洞植入後門程式Lodeinfo。研究人員發現，駭客利用SSL VPN漏洞取得初始入侵管道，包括存在於Array AG及vxAG的漏洞CVE-2023-28461、Fortinet防火牆作業系統FortiOS與上網安全閘道FortiProxy的漏洞CVE-2023-27997，此外，駭客也濫用檔案共用系統Proself漏洞CVE-2023-45727。</p> <p>在多起事故中，Earth Kasha成功駭入企業組織的網域管理員帳號，並植入Cobalt Strike、Lodeinfo及Noopdoor，藉此建立長期滲透管道，並從事資料蒐集。</p> <p><a href="https://www.ithome.com.tw/news/166220"><strong style="font-size: 22px;">兆勤證實防火牆漏洞遭到勒索軟體利用的情況</strong></a></p> <p>11月19日資安業者Sekoia針對勒索軟體Hellodown的攻擊行動提出警告，並提及這些駭客入侵受害組織的管道，就是利用兆勤科技（Zyxel Networks）防火牆的弱點而得逞。事隔數日，該公司坦承情況確實如研究人員揭露，呼籲IT人員要儘速採取行動，升級韌體並更換管理員密碼。</p> <p>21日兆勤發布資安公告表示，他們掌握近期有人試圖利用已知漏洞攻擊該廠牌防火牆，而這項漏洞就是Sekoia在部落格提及的CVE-2024-42057。經過確認，防火牆在套用9月3日發布的5.39版韌體後，將不受這項漏洞影響。</p> <p>對此，他們呼籲IT人員要更新防火牆的韌體，若是無法及時套用，最好先停用遠端存取的功能因應。此外，該公司也建議IT人員重新檢視防火牆組態，確認是否遵循最佳實務的建議進行配置。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/nodestealer-malware-targets-facebook-ad.html">竊資軟體NodeStealer透過臉書廣告散布，利用Windows公用程式竊取瀏覽器資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/iranian-hackers-deploy-wezrat-malware.html">以色列企業組織遭伊朗駭客鎖定，被散布惡意軟體WezRat</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/black-friday-spam-emails-scams/">逾四分之三黑色星期五垃圾信涉及詐騙</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166230"><strong style="font-size: 22px;">PHP修補重大層級的記憶體越界寫入漏洞</strong></a></p> <p>11月21日PHP開發團隊發布8.3.14、8.2.26、8.1.31版，主要修補一項重大層級的漏洞CVE-2024-8932，這項弱點可被用於越界寫入（OBW），CVSS風險評為9.8。</p> <p>開發團隊指出，這項弱點存在於32位元的系統，起因是在名為ldap_escape()的功能裡，若是輸入不受控制的長字串，就有可能導致整數溢位的情形。</p> <p>他們也提及這項弱點影響4.56.2及以前版本的HipHop Virtual Machine（HHVM）虛擬機器，此外，介於4.57.0與4.83.0之間多個版本HHVM，也會曝險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/critical-vulnerabilities-found-in-anti-spam-plugin-used-by-200000-wordpress-sites/">WordPress網站防護外掛存在重大漏洞，逾20萬網站曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9511-cvss-9-8-critical-flaw-in-fluentsmtp-plugin-exposes-over-300000-wordpress-sites-to-potential-takeover/">WordPress寄信外掛FluentSMTP存在重大漏洞，恐導致網站遭挾持</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166222"><strong style="font-size: 22px;">國際執法單位與非洲刑警組織聯手，逮捕上千名參與網路犯罪的嫌犯</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/c40a332460f6-23COM002986-CYBER_-Africa-Cyber-Surge-II-Operation_Infographic_2023-08_infographic_HR-1-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/c40a332460f6-23COM002986-CYBER_-Africa-Cyber-Surge-II-Operation_Infographic_2023-08_infographic_HR-1-1.jpg" style="width: 300px; float: right;" /></a>國際刑警組織Interpol及非洲刑警組織Afripol本周宣布，他們聯手於19個非洲國家逮捕1,006名涉及網路犯罪的嫌犯，摧毀了134,089個惡意基礎設施及網路。</p> <p>此執法行動稱為Operation Serengeti，是針對勒索軟體、商業電子郵件詐騙、數位勒索，以及網路詐騙背後的犯罪份子，受害者多達3.5萬名，造成近1.93億美元的經濟損失。</p> <p>Interpol秘書長Valdecy Urquiza表示，從多層次行銷詐騙到大規模的信用卡詐欺，網路犯罪的攻擊數量與複雜程度不斷增加，光是此一逮捕行動就能使無數的潛在受害者免受真正的損失，同時他們也知道這只是冰山一角，將繼續鎖定全球的犯罪集團。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166133"><strong style="font-size: 22px;">展望2025國際治理趨勢，BSI揭露董事會「義務」成新主軸</strong></a></p> <p>隨著生成式AI應用的高速發展，企業在面對數位與永續轉型浪潮，以及AI風險快速竄升之際，我們該如何解決與因應這些風險與挑戰？</p> <p>在11月舉行的英國標準協會（BSI）數位信任國際資安標準年會上，該公司東北亞區董事總經理蒲樹盛強調，今年一項備受關注的國際趨勢，就是對「董事會義務」的高度重視，這是國內企業在公司治理上需關切的重要發展，他共歸納4大重點。</p> <p>首先，當今的公司法正強化受託人義務，從治理層面全面提升應對能力。他解釋，所謂受託人指的就是公司董事、獨立董事、高階經理人，這些都是受託來管理公司組織的人，更重要的是，現今重點是放在「義務」，也就是應符合利害關係人的期待，包含客戶、員工、股東認為公司應該要做到的事。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> </div></div></div>
2024/11/27 17:27作者周峻佑https://www.ithome.com.tw/news/166236
Fintech周報第257期：日本三菱日聯金融集團要建立金融專業LLM，計畫2026年向其他金融業者推出模型服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#8B4513;">11/18~11/27金融科技精選新聞</span></h3> <h4><span style="color:#0000CD;"> #三菱日聯金融集團 #金融LLM </span></h4> <h3>日本三菱日聯金融集團要建立金融專業LLM，計畫2026年向其他金融業者推出模型服務</h3> <p>日本三菱日聯金融集團（MUFG）和日本大型電信業者KDDI近日宣布，透過策略性合作，共同發展生成式AI。例如，未來MUFG會運用KDDI開發出的LLM，發展成金融專業LLM。MUFG表示，計畫分成三個階段，第一階段會專注在發展金融專業LLM，讓LLM學習MUFJ員工擁有的經驗和專業知識，並且讓模型讀取大量MUFG內部文件。第一階段計畫預計在今年實現。</p> <p>計畫第二階段，則是讓這個金融專業LLM能擔任客戶的顧問，提供個人化的財務建議，預計在2025年實現。計畫的第三階段，預計在2026年，兩間集團會向其他金融行業推出金融專業LLM模型服務。</p> <h4><span style="color:#0000CD;"> #生成式AI #預測通膨 </span></h4> <h3>BIS和歐洲央行計畫運用GenAI處理大量消費數據，協助提升通膨預測能力</h3> <p>國際清算銀行（BIS）近日表示，他們正在和歐洲央行、德意志聯邦銀行合作，探索如何透過生成式AI，將大量可參考的非結構化數據化為可用資訊，用來提升通膨的預測能力。BIS提到，通膨預測人員需要採用大量數據，才能從數據中形成見解。但是，和消費者相關的數據大多是非結構化資料，且資料量過於龐大，導致通膨預測人員難以手動處裡，需要自動化工具來協助處理大量消費者數據。</p> <p>因此，BIS希望透過生成式AI，自動將數十億個商品描述和價格進行分類，將非結構化資料轉為結構化資料，再用來提升通膨預測能力。BIS表示，他們首先會運用歐洲每日價格資料集進行測試，將這些數據自動對應到聯合國的消費分類標準（COICOP）。BIS也表示，未來可以透過嵌入技術，讓研究結果可以適用於歐洲以外的地區。</p> <h4><span style="color:#0000CD;"> #生成式AI #聊天機器人 </span></h4> <h3>麥格理集團對全球員工推出GenAI聊天機器人，每週約有5,000名活躍用戶</h3> <p>麥格理集團數位長Matthew Ellis近日在社群媒體上透露，內部的AI團隊已對全球的員工推出GenAI聊天機器人Macquarie AI Chat，能協助提升員工生產力和創造力。截至目前，這個平臺每週約有5,000名活躍使用者。目前，麥格理集團在全球則擁有超過兩萬名員工。</p> <p>Matthew Ellis表示，內部正在投入大量資金培訓員工使用GenAI。近期，麥格理舉辦了全球性的AI黑客松活動，共有超過800位業務部門和行政部門員工參與。</p> <h4><span style="color:#0000CD;"> #打詐 #共享情報 </span></h4> <h3>澳洲多間領先銀行合作建立詐欺情報共享網路，在交易發生前即時偵測、攔阻可疑交易</h3> <p>澳洲澳盛銀行、國民銀行、聯邦銀行、西太平洋銀行和Suncorp銀行合作建立一個詐欺情報共享網路，能即時評估線上轉帳的交易風險，並在發現可疑收款帳戶時，即時通知匯款方的銀行，讓銀行能在交易發生前提前一步審核交易資訊。</p> <p>這個詐欺情報共享網路主要瞄準人頭戶的偵測，除了偵測收款帳戶是否已被其他參與銀行標記為高風險帳戶，也會偵測使用者在設備上的行為模式，例如，收款帳戶使用者在手機或電腦上的打字模式，來判斷是否為異常帳戶。</p> <h4><span style="color:#0000CD;"> #CFPB #數位支付 </span></h4> <h3>美國金融監理機構加強監管推出數位支付服務的科技公司</h3> <p>美國消費者金融保護局（CFPB）近日宣布一項新規定，加強監管推出數位錢包應用和數位轉帳服務的大型科技公司，每年處理超過5,000萬筆美元交易的非銀行公司，例如蘋果或Google，都得接受監管。雖然CFPB一直對這類公司擁有執法權，但這項新規定，賦予CFPB主動檢查的權力，包括能主動檢查科技公司收集消費者交易數據的方式，或是要求科技公司自行處理消費爭議，而不是將爭議推給銀行處理。這項規定將在30天後生效。</p> <p>代表美國數位支付業者的金融科技協會批評這項新規定存在缺陷，呼籲CFPB撤回這項提案。這個協會成員包括科技巨頭亞馬遜和PayPal。不過，在CFPB發布的新聞稿中，尚未提及哪些科技公司會受到監管。</p> <h4><span style="color:#0000CD;"> #VASP #金管會 </span></h4> <h3>金管會加強對虛擬資產業的監管力道，洗錢防制聲明制改採登記制，違者可處刑事罰</h3> <p>針對虛擬資產業，金管會表示，將從既有的洗錢防制法遵聲明改採登記制，預計在11月底正式上線。未來，若業者未完成登記，卻繼續經營虛擬資產業務，將承擔刑事責任。</p> <p>現行業者從事虛擬資產業務，須先向金管會完成洗錢防制法遵聲明，若未完成聲明，金管會可處業者行政罰。未來登記制上路後，業者若未完成洗錢防制登記，則會背上刑事責任。</p> <p>目前，已完成洗錢防制聲明的虛擬資產業者共有26家，但新制上路後，這26家業者仍要重新申請洗錢防制登記，最晚須於明年3月31日前向金管會辦理登記，並須於明年9月30日前正式完成登記。</p> <h4><span style="color:#0000CD;"> #集保 #數位簽章 </span></h4> <h3>集保eCounter平臺PC版預計明年5月中上線</h3> <p>金管會近日宣布，核准臺灣集中保管結算所（以下簡稱集保）經營eCounter平臺服務，當投資人通過身分驗證登入eCounter平臺，使用數位簽章遞交基本資料變更書件，平臺就會將書件資料送到各個股務單位審查、辦理變更。投資人不用臨櫃申辦相關業務，只要透過單一平臺就能完成資料變更。</p> <p>證期局副局長高晶萍表示，集保後續將開發手機版功能，並滾動檢討、盤點其他股務作業或項目放入eCounter平臺的可能性。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>英國財政部將在明年初公布加密貨幣及穩定幣的規範</li> <li>瑞典央行計畫對零售支付基礎設施進行現代化改造</li> <li>Revolut宣布推出新的AI助理和ATM</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／</span>日本三菱日聯金融集團</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年11月</p> <p> </p> <p></p> </div></div></div>
2024/11/27 15:57作者李昀璇https://www.ithome.com.tw/news/166227
Line推出RMN服務，結合第一方生態圈與統一OpenPoint等第三方消費數據來支援精準行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（11/27）Line宣布推出Line RMN Solution數位廣告服務，利用Line購物、Line Beacon等第一方數據，以及統一集團1,800萬名Open Point會員數據，來支援廣告精準投放。</p> <p>這是Line廣告平臺上的一個新服務，主打利用Line Beacon地理數據、Line Cross Buy線上銷售數據，以及第三方DMP聯盟數據，來支援精準廣告投放。支援投放通路包括Line生態圈App、廣告主電商官網、第三方電商平臺等。</p> <p>此服務使用的第一方數據來源中，Line Beacon是一種LBS服務，利用安裝在捷運、高鐵、便利商店等高人流地區的藍芽發訊機，根據地理位置推播行銷訊息和優惠券等內容，並記錄人流與地理相關數據。Cross Buy是一個交叉銷售服務，根據Line購物等零售消費數據來比對行銷對象，投放廣告並蒐集相關數據。</p> <p>Line還預計與外部零售商、發票載具、支付工具、電商平臺營運商等第三方夥伴結成DMP聯盟，來進一步補齊Line自身服務無法蒐集到的會員行為數據，深化對會員理解，以提升行銷精準度。目前DMP聯盟一個重要成員是統一數網，手握統一生態圈1,800萬名Open Point會員。與統一等聯盟夥伴交換數據時，會利用手機號碼等ID，作為比對依據，來找出雙方共同會員。Line會定期重新比對和更新這些會員數據，來確保數據時效性。</p> <p>Line還宣布了其他新功能，包括：用生成式AI技術支援的官方帳號多語言自動客服機器人、根據行銷素材圖生成行銷文案的文案生成機器人，以及官方帳號分析工具升級，將能依照年齡與性別來分析訊息成效。</p> <p></p> </div></div></div>
2024/11/27 16:38作者郭又華https://www.ithome.com.tw/news/166228
PHP修補重大層級的記憶體越界寫入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月21日PHP開發團隊發布8.3.14、8.2.26、8.1.31版，主要修補一項<a href="https://github.com/php/php-src/security/advisories/GHSA-g665-fm4p-vhff">重大層級的漏洞CVE-2024-8932</a>，這項弱點可被用於越界寫入（OBW），CVSS風險評為9.8。</p> <p>開發團隊指出，這項弱點存在於32位元的系統，起因是在名為ldap_escape()的功能裡，若是輸入不受控制的長字串，就有可能導致整數溢位的情形。</p> <p>他們也提及這項弱點影響4.56.2及以前版本的HipHop Virtual Machine（HHVM）虛擬機器，此外，介於4.57.0與4.83.0之間多個版本HHVM，也會曝險。</p> </div></div></div>
2024/11/27 16:42作者周峻佑https://www.ithome.com.tw/news/166230
兆勤證實防火牆漏洞遭到勒索軟體利用的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月19日資安業者Sekoia針對<a href="https://www.ithome.com.tw/news/166117">勒索軟體Hellodown的攻擊行動</a>提出警告，並提及這些駭客入侵受害組織的管道，就是利用兆勤科技（Zyxel Networks）防火牆的弱點而得逞。事隔數日，該公司坦承情況確實如研究人員揭露，呼籲IT人員要儘速採取行動，升級韌體並更換管理員密碼。</p> <p>21日兆勤<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-protecting-against-recent-firewall-threats-11-21-2024">發布資安公告</a>表示，他們掌握近期有人試圖利用已知漏洞攻擊該廠牌防火牆，而這項漏洞就是Sekoia在部落格提及的CVE-2024-42057。經過確認，防火牆在套用<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-09-03-2024">9月3日發布的5.39版韌體</a>後，將不受這項漏洞影響。</p> <p>對此，他們呼籲IT人員要更新防火牆的韌體，若是無法及時套用，最好先停用遠端存取的功能因應。此外，該公司也建議IT人員重新檢視防火牆組態，是否有遵循最佳實作進行配置。</p> <p>針對研究人員提及遭到利用的CVE-2024-42057，此弱點存在於IPSec VPN的功能，為命令注入漏洞，未經身分驗證的攻擊者可發送特定的使用者名稱觸發，CVSS風險為8.1分。兆勤指出，利用這項漏洞存在必要條件，那就是防火牆必須設置為特定的身分驗證模式，而且，其中有使用者的名稱長度超過28個字元。</p> </div></div></div>
2024/11/27 14:31作者周峻佑https://www.ithome.com.tw/news/166220
美國證實Array Networks旗下SSL VPN系統重大漏洞已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月25日美國網路安全暨基礎設施安全局（CISA）發布公告，<a href="https://www.cisa.gov/news-events/alerts/2024/11/25/cisa-adds-one-known-exploited-vulnerability-catalog">他們將重大層級的漏洞CVE-2023-28461列入已遭利用漏洞（KEV）清單</a>，要求聯邦機構必須在12月16日完成修補。</p> <p>這項漏洞存在於安瑞科技（Array Networks）Array AG系列SSL VPN設備，以及虛擬化版本vxAG，原因是重要功能缺乏身分驗證機制造成，攻擊者有機會利用漏洞讀取SSL VPN閘道的本機檔案，或是執行任意程式碼，CVSS風險達到9.8，影響9.4.0.481以前版本的作業系統。</p> <p>一旦攻擊者利用這項漏洞，就有機會遠端執行任意程式碼，他們可在未經身分驗證的情況下，藉由HTTP標頭特定標籤屬性，瀏覽閘道的檔案系統。安瑞於去年3月9日公布這項漏洞，並於同月17日提供修補程式。</p> <p>雖然CISA並未透露攻擊者如何利用這項漏洞，不過這項資安公告發布的前幾天，趨勢科技公布<a href="https://www.ithome.com.tw/news/166218">中國駭客組織Earth Kasha的最新一波攻擊行動</a>裡，其中一項用來取得初始入侵管道的SSL VPN漏洞，就是CVE-2023-28461。</p> </div></div></div>
2024/11/27 15:26作者周峻佑https://www.ithome.com.tw/news/166225
俄羅斯駭客RomCom利用Firefox、Windows零時差漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月<a href="https://www.ithome.com.tw/news/165442">Mozilla基金會修補Firefox零時差漏洞CVE-2024-9680</a>（CVSS風險評分為9.8），並表明他們掌握實際利用的活動情資，通報此事的資安業者ESET本週公布這起事故的細節。</p> <p>研究人員表示，<a href="https://www.welivesecurity.com/en/eset-research/romcom-exploits-firefox-and-windows-zero-days-in-the-wild/">他們在10月8日看到廣泛利用CVE-2024-9680的跡象</a>，駭客運用這項當時尚未公開的零時差漏洞，對Mozilla開發的應用程式下手。</p> <p>值得留意的是，攻擊者在活動當中，串連<a href="https://www.ithome.com.tw/news/165982">11月例行更新</a>修補的Windows零時差漏洞CVE-2024-49039（CVSS風險評分為8.8），而有機會在使用者登入作業系統的狀態下，執行任意程式碼。研究人員提及，受害者若是正在瀏覽能觸發漏洞的網頁，無須與使用者互動，攻擊者就能執行任意程式碼。</p> <p>對於發起這波攻擊行動的駭客身分，研究人員表示是代號為Storm-0978、Tropical Scorpius、UNC2596的俄羅斯駭客RomCom。一旦成功利用上述漏洞，這些駭客就會在受害電腦植入後門程式RomCom，以便進行後續的網路間諜活動。</p> <p>針對整個資安事故發生的流程，駭客先是利用假網站將受害者重新導向特定伺服器，並對使用者的瀏覽器進行漏洞利用攻擊，一旦得逞，電腦就會執行Shell Code，下載、執行後門程式RomCom。</p> <p>究竟駭客如何散布假網站？研究人員表示不清楚。但他們強調，一旦攻擊者的網頁接觸到含有漏洞的瀏覽器，有效酬載就會投放到受害電腦並執行，過程完全不需使用者互動。</p> <p>根據10月10日至11月4日的遙測資料顯示，大多受害者位於北美及歐洲，研究人員提及，其中部分國家的受害者數量多達250位。</p> <p>對於RomCom利用的這些零時差漏洞，Mozilla基金會、微軟先後於10月9日、11月12日完成修補。他們特別提及，Mozilla在獲報的25小時內就完成修補，如此迅速的因應讓他們印象相當深刻。</p> </div></div></div>
2024/11/27 12:20作者周峻佑https://www.ithome.com.tw/news/166215
OpenAI影片生成器Sora遭故意外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">一群被OpenAI邀請來測試文字轉影片AI模型Sora的藝術家，因為認為自己被OpenAI免費用來行銷Sora，而在Hugging Face上釋出了Sora的存取權限。不過，OpenAI在3小時後就關閉了針對藝術家所提供的早期存取權限。</p> <p dir="ltr">OpenAI是在今年2月發表短影片生成模型<a href="https://www.ithome.com.tw/news/161312" target="_blank">Sora</a>，該模型允許使用者輸入場景或內容的描述，生成最長1分鐘的高畫質影片，當時便已邀請紅隊演練測試人員，以及少部分視覺設計、攝影師、製片人員試用Sora，以取得專業反饋意見。</p> <p dir="ltr">而該藝術社群則在本周二（11/26）發表一封<a href="https://openletter.earth/dear-corporate-ai-overlords-90668a95" target="_blank">公開信</a>，指出約有300名藝術家獲得了Sora的存取權限，以成為早期測試者、紅隊成員及創意合作夥伴，然而，他們卻認為自己是被OpenAI引誘以替其展開藝術漂白，向全世界說明Sora對藝術家來說是個有用的工具。</p> <p dir="ltr">公開信中闡述，藝術家們使用Sora所生成的影片，在對外分享之前都必須獲得OpenAI團隊的批准，此一早期存取計畫似乎不太關心創意表達與批評，而更在意公關及廣告。他們藉由臭蟲測試、反饋與實驗來替一家價值1,500億美元的企業免費勞動，儘管貢獻人數多達數百人，但僅有少數人的作品可以被展示，相較於OpenAI因此獲得的公關與行銷價值，該報酬相形見絀。</p> <p dir="ltr">這群藝術家們憤怒地說，藝術家並不是OpenAI的免費研發人員，亦非免費的除錯工程師、行銷傀儡、訓練資料，或是驗證工具。因此，他們釋出了可無限制存取Sora工具的權限，讓一般使用者跟藝術家一樣，都可隨意探索及實驗Sora的潛力。</p> <p dir="ltr">不過，在該存取權限被公開的3小時後，OpenAI便暫時關閉了該權限。</p> <p dir="ltr">該公開信已獲得超過140名藝術家的連署，而且有96名已通過身分驗證，強調他們並不反對以AI作為藝術創作工具，反對的是此一藝術家計畫實施的方式，以及該工具在公開釋出前的發展方向，希望OpenAI能因此更加開放，對藝術家更為友善，以超越作秀的方式來支持藝術。</p> </div></div></div>
2024/11/27 14:51作者陳曉莉https://www.ithome.com.tw/news/166221
國際及非洲刑警組織聯手於非洲逮捕上千名參與網路犯罪的嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">國際刑警組織Interpol及非洲刑警組織Afripol本周<a href="https://www.interpol.int/en/News-and-Events/News/2024/Major-cybercrime-operation-nets-1-006-suspects" target="_blank">宣布</a>，它們已聯手於19個非洲國家逮捕了1,006名涉及網路犯罪的嫌犯，摧毀了134,089個惡意基礎設施及網路。</p> <p dir="ltr">此一被命名為Operation Serengeti的行動，是針對勒索軟體、商業電子郵件詐騙、數位勒索，以及網路詐騙背後的犯罪份子，受害者多達3.5萬名，造成近1.93億美元的經濟損失。</p> <p dir="ltr">Interpol秘書長Valdecy Urquiza表示，從多層次行銷詐騙到大規模的信用卡詐欺，網路犯罪的攻擊數量與複雜程度不斷增加，光是此一逮捕行動就能使無數的潛在受害者免受真正的損失，同時他們也知道這只是冰山一角，將繼續鎖定全球的犯罪集團。</p> <p dir="ltr">有些案例令人瞠目，例如肯亞破獲的一起涉及860萬美元的網路信用卡詐騙案中，駭客是藉由修改銀行系統的安全協議，執行惡意腳本程式以盜走資金，之後迅速透過SWIFT系統轉移到阿拉伯聯合大公國、奈及利亞與中國的公司，接著再移轉至散布於多國司法管轄區、提供交易與金融服務的數位資產機構。</p> <p dir="ltr">塞內加爾則破獲一起網路龐氏騙局，8名嫌犯布局欺騙了1,811名受害者，取得了600萬美元的不當款項；喀麥隆的詐騙則是與工作有關，宣稱繳交會員費就可提供就業或培訓機會，但受害者會直接被俘虜，必須找到下一個受害者才能獲得自由。</p> </div></div></div>
2024/11/27 15:04作者陳曉莉https://www.ithome.com.tw/news/166222
Android版Google Gemini可外掛連結Spotify
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google Gemini AI助理再添擴充功能的外掛。繼WhatsApp後，9to5Google<a href="https://9to5google.com/2024/11/26/spotify-gemini-extension/" target="_blank">發現</a>Android版Google Gemini將能以外掛再整合Spotify，提供更直覺而連貫的服務。</p> <p dir="ltr">報導是在今年稍早有用戶<a href="https://www.androidauthority.com/spotify-google-gemini-extension-coming-soon-apk-teardown-3448585/" target="_blank">發現</a>Google App執行Spotify的設定程式碼後，Google進一步拓展第三方服務外掛。這讓用戶可以口說或文字提示，要求Android版Gemini App使用這個線上串流音樂服務。</p> <p dir="ltr">根據Gemini App的<a href="https://support.google.com/gemini/answer/15300097" target="_blank">設定</a>，要用使用這功能，必須先建立Gemini和Spotify連結。用戶可按指示建立兩者的連結。完成後，就可叫Gemini搜尋Spotify歌曲、歌單並播放。用戶可以選擇前一次使用的音樂服務，或是連結一種以上的音樂服務但不指定特定一種（其他如Yahoo Music）。但只有Spotify Premium訂閱戶才能指定播放特定歌曲。</p> <p dir="ltr">目前僅Android版Gemini App有Spotify外掛，Web版、iOS版及Google Gemini in Messages都還沒有。Android版Gemini App上的Spotify外掛只在Gemini設定使用英文、以及啟用Gemini Apps Activity時才能使用。雖然外掛可使用口說提示，但用戶必須記得要先設定好Hey Google及Voice Match才能使用Hey Google提示。</p> <p dir="ltr">Gemini App第一個<a href="https://support.google.com/gemini/answer/15574928?hl=en" target="_blank">外掛</a>是WhatsApp。Android用戶可叫Gemini App在WhatsApp撥打電話和發送訊息，或叫它編寫和編輯訊息。Google正漸次將本功能部署到全球。</p> </div></div></div>
2024/11/27 14:02作者林妍溱https://www.ithome.com.tw/news/166219
Array Networks、Fortinet SSL VPN漏洞遭駭植入後門程式臺灣、日本企業受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">駭客組織Earth Kasha近日以後門程式，攻擊包括Array Networks、Fortinet等多家品牌SSL VPN設備，已有臺灣、日本及印度等地企業受害。</p> <p dir="ltr">這波攻擊背後的駭客組織是中國駭客組織Earth Kasha，之前曾以精準釣魚信件攻擊公立機構和學術單位，主要活動地區在日本。趨勢科技今年初<a href="https://www.trendmicro.com/en_us/research/24/k/lodeinfo-campaign-of-earth-kasha.html" target="_blank">發現</a>，Earth Kasha發展出新的攻擊策略和技倆，從2023年起開始運用企業防火牆軟體漏洞植入後門程式Lodeinfo。研究人員發現，遭到濫用的SSL VPN防火牆漏洞包括Array AG/vxAG（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-28461" target="_blank">CVE-2023-28461</a>）、Fortinet的FortiOS/FortiProxy（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-27997" target="_blank">CVE-2023-27997</a>），此外，駭客也濫用了FTP系統Proself漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-45727" target="_blank">CVE-2023-45727</a>。</p> <p dir="ltr">除了使用新手法，Earth Kasha的攻擊目標也更廣，從原本的日本擴大到臺灣和印度。趨勢科技兩地都有知名組織用戶，包括先進科技和政府單位受害。多數案例中，Earth Kasha成功駭入企業組織的網域管理員帳號，並在多臺網路機器內植入Cobalt Strike、Lodeinfo及<a href="https://www.ithome.com.tw/news/164009" target="_blank">Noopdoor</a>，藉此建立長期滲透管道，並從事資料蒐集，其中他們使用自製惡意程式MirrorStealer取得儲存在郵件用戶端、瀏覽器、群組政策偏好，以及SQL Server Managemen Studio中的憑證。</p> <p dir="ltr">Earth Kasha於2019年首先使用後門程式Lodeinfo作案，今年另一個中國駭客組織<a href="https://www.ithome.com.tw/news/157037" target="_blank">Volt Typhoon</a>又攻擊FortiOS/FortiGate的零時差漏洞CVE-2023-27997。但有於其他廠商，趨勢科技認為從手法、工具等線索來看，兩者並非同一群人。因此從兩者都濫用FortiOS漏洞資訊及使用Lodeinfo，顯示駭客之間也會共享零時差漏洞及攻擊資源。</p> <p dir="ltr">Fortinet已在今年6月<a href="https://www.fortiguard.com/psirt/FG-IR-23-097" target="_blank">修補</a>CVE-2023-27997，而Array Networks也在今年3月<a href="https://support.arraynetworks.net/prx/001/http/supportportal.arraynetworks.net/documentation/FieldNotice/Array_Networks_Security_Advisory_for_Remote_Code_Execution_Vulnerability_AG.pdf" target="_blank">發布</a>最新版ArrayOS AG 9.4.0.484解決漏洞。</p> </div></div></div>
2024/11/27 14:09作者林妍溱https://www.ithome.com.tw/news/166218
歷經多年醞釀PHP 8.4終於引入屬性掛勾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP社群正式發布最新版本<a href="https://thephp.foundation/blog/2024/11/21/php-core-roundup-20-php84/">PHP 8.4</a>，多項重要更新包括添加<a href="https://thephp.foundation/blog/2024/11/01/how-hooks-happened/">屬性掛勾（Property Hooks）與非對稱可見性（Asymmetric Visibility）</a>，這兩項功能可以帶來明顯的效能提升和開發靈活性。</p> <p>屬性掛勾是這個版本的代表性新功能，讓開發者可以為屬性定義特定的行為邏輯，像是存取或是設定屬性時，可以直接加入檢查或是轉換的過程，而不需要編寫額外的輔助方法。過去開發者需要藉由魔術方法，例如__get和 __set實現類似的功能，但這種特殊的方法不僅難以閱讀，還會對效能造成負面影響。</p> <p>而屬性掛勾的加入不僅解決這些問題，也能夠被用於更多創新場景中，像是開發者可以簡單定義虛擬屬性，讓程式邏輯更直覺且接近自然語言表達，進一步改進程式碼的可維護性和協作效率。</p> <p>另一個受到關注的新功能是非對稱可見性，提供屬性存取控制更大的靈活性，允許開發者區分屬性的讀取和寫入權限，例如在部分應用中，屬性可設為公開讀取但限制寫入，現在透過簡單語法即可實現，無需額外的輔助方法。非對稱可見性簡化了程式碼邏輯，並且提升資料完整性和安全性，可對API開發和用戶資料保護等場景提供更細緻的控制。</p> <p>官方指出，這些功能的實作歷經數年的技術與設計探索。屬性掛勾的構想甚至可溯及2009年，該功能經過多次提案都未獲足夠的支持，一直到PHP基金會的資助與協作才成功實現。在開發過程也經過多次修改和討論，並且從C#、Swift和Kotlin等現代語言的設計汲取靈感，使該功能更加符合PHP生態。而非對稱可見性的提案也是在2023年投票失敗後，於2024年重新來過，終於取得壓倒性票數，成為PHP語法重要的現代化功能。</p> <p>除了屬性掛勾與非對稱可見性，PHP 8.4在效能和相容性也大有進展，像是DOM擴展全面支援HTML5，提升解析準確性並加入CSS選擇器功能。BCMath擴充新增運算子多載支援，使得代數運算更加直覺。同時，PHP 8.4中OpenSSL等底層相依套件也進一步升級，強化了安全性和穩定性。</p> <p>PHP 8.4能夠順利實現多項重要更新，很大程度是因為PHP基金會的支援。PHP基金會是2021年成立的非營利組織，專注向PHP語言開發提供長期穩定的資金和技術支援，其透過資助Ilija Tovilo等核心開發者，解決過去因資源匱乏而導致功能開發中斷的問題。</p> </div></div></div>
2024/11/27 09:39作者李建興https://www.ithome.com.tw/news/166207
【資安日報】11月26日，軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供應鏈攻擊事故頻傳，最近軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，傳出已對客戶的運作造成影響，目前已有連鎖咖啡店星巴克、英國兩大超市證實受到波及。</p> <p>值得留意的是，11月21日Blue Yonder證實因資安事故導致代管服務中斷，但目前尚未確認復原的時間，相關災情與影響範圍有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166196"><strong style="font-size: 22px;">軟體供應鏈Blue Yonder遭勒索軟體攻擊，波及星巴克等業者</strong></a></p> <p>美國軟體供應鏈Blue Yonder在上周四（11月21日）遭到勒索軟體攻擊，並傳出已波及星巴克（Starbucks），以及英國連鎖超市Sainsbury、Morrisons等客戶。</p> <p>知名連鎖咖啡品牌星巴克（Starbucks）向華爾街日報（WSJ）透露，Blue Yonder的服務中斷，影響他們的員工管理，只能手動追蹤人員工時與計算工資，波及約1.1萬家北美門市。</p> <p>英國專門報導消費者商品的The Grocer則說，當地的兩大連鎖超市Sainsbury與Morrisons，也都因Blue Yonder被駭而遭到波及，其中，Morrisons主要利用Blue Yonder的需求預測及補貨解決方案，來處理新鮮的農產品及冷凍食品，事件發生後已改為手動處理。</p> <p><a href="https://www.ithome.com.tw/news/166197"><strong style="font-size: 22px;">趨勢科技揭露Salt Typhoon攻擊電信業者的惡意程式GhostSpider</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthEstries-Fig08.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthEstries-Fig08.png" style="width: 300px; float: right;" /></a></p> <p>華爾街日報自9月底開始，多次針對中國駭客組織Salt Typhoon（也被稱為Earth Estries、GhostEmperor、FamousSparrow）攻擊美國電信業者的情況進行報導，受害業者包含AT&T、Lumen、T-Mobile、Verizon，傳出美國政府已著手調查此事，而且，這些駭客的目標還包含其他國家的電信業者。但究竟這些駭客如何發動攻擊？最近有研究人員公布調查結果。</p> <p>資安業者趨勢科技指出，根據他們自2020年開始的追蹤，這些駭客持續針對政府機關及網際網路服務供應商（ISP）進行長期攻擊，並指出2022年也開始針對電信公司。研究人員認為，駭客從事攻擊行動的目的，是為了更有效收集相關情報。</p> <p>他們發現對方主要鎖定的標的，包含電信公司使用的資料庫、雲端伺服器等重要服務，以及服務供應商的網路環境，駭客會試圖植入名為Demodex的rootkit程式，目的是希望藉此增加存取受害電信業者的管道。在近期攻擊東南亞電信業者的事故裡，這些駭客使用多款後門程式，其中包含未被揭露的GhostSpider。</p> <p><a href="https://www.ithome.com.tw/news/166202"><strong style="font-size: 22px;">圖博新聞媒體、大學網站遭中國駭客TAG-112攻擊，用網站漏洞與紅隊測試工具進行滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ElonFCaiFb.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ElonFCaiFb.jpg" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露中國駭客組織TAG-112的攻擊行動，駭客先是入侵國際西藏郵報（Tibet Post）及Gyudmed Tantric University的網站，目的是在瀏覽網站的使用者電腦植入Cobalt Strike，從而進行情報收集，或是運用受害電腦進行其他間諜活動。</p> <p>駭客於網站上嵌入惡意JavaScript指令碼，藉此欺騙使用者TLS憑證錯誤，以要求下載新的憑證為由，引誘使用者上當。</p> <p>這起事故發生在今年5月下旬，攻擊者利用內容管理系統Joolma的漏洞，在上述2個網站植入惡意JavaScript指令碼。究竟駭客使用那些漏洞，研究人員沒有說明。值得留意的是，這起攻擊行動直到10月上旬，仍處於活動的狀態。</p> <p><a href="https://www.ithome.com.tw/news/166200"><strong style="font-size: 22px;">防毒軟體Avast的驅動程式元件遭到濫用，駭客企圖停用受害電腦防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/when-guardians-become-predators-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/when-guardians-become-predators-1.jpg" style="width: 300px; float: right;" /></a></p> <p>為了迴避端點防護的偵測，駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法，今年可說是越來越頻繁，如今甚至出現有人針對多家廠牌的端點防護系統進行破壞的情形。</p> <p>例如，資安業者Trellix近期揭露的攻擊行動，就是典型的例子。研究人員發現由檔名kill-floor.exe開始的惡意程式感染鏈，一旦該執行檔啟動，就會於受害電腦部署Avast的Anti-Rootkit驅動程式aswArPot.sys，接著，攻擊者再植入另一個合法的核心驅動程式，檔名為ntfs.bin。</p> <p>然後，kill-floor.exe就會比對受害電腦上的處理程序，若出現攻擊者認定的142種資安工具處理程序名稱，就會藉由Avast驅動程式，以核心層級來終止處理程序，導致受害電腦的防毒軟體或EDR停止運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/lazarus-group-exploits-xattr-with-rustyattr-to-evade-detection/">北韓駭客Lazarus鎖定macOS用戶，意圖散布木馬程式RustyAttr</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/russian-hackers-deploy-hatvibe-and.html">俄羅斯駭客鎖定歐洲、亞洲，散布惡意軟體HatVibe、CherrySpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/apt-k-47-uses-hajj-themed-lures-to.html">南亞駭客組織APT-K-47以伊斯蘭教朝聖活動為誘餌，散布惡意軟體Asyncshell</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/unraveling-raspberry-robin-s-layers-analyzing-obfuscation-techniques-and">對抗資安人員駭客出奇招，惡意軟體Raspberry Robin在測試環境會部署誘餌擾亂調查</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166195"><strong style="font-size: 22px;">威聯通修補路由器OS與NAS加值軟體重大漏洞</strong></a></p> <p>11月23日臺灣網路設備業者威聯通（QNAP）發布資安公告，針對旗下產品修補超過30項漏洞，其中，路由器作業系統QuRouter、NAS協作應用程式Notes Station 3存在重大層級漏洞，相當值得留意。</p> <p>根據CVSS風險評分，最嚴重的是CVE-2024-48860，此漏洞出現於QuRouter，為作業系統命令注入漏洞，一旦攻擊者成功利用，就有機會遠端執行命令，4.0版CVSS評分為9.5。</p> <p>另外2個重大漏洞CVE-2024-38643、CVE-2024-38645，出現在Notes Station 3，其中較嚴重的是CVE-2024-38645，此為伺服器請求偽造（SSRF）漏洞，若是攻擊者成功利用漏洞，有機會在通過身分驗證的情況下，遠端讀取應用程式資料，風險值為9.4。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/php-patches-multi-flaws-including-cve-2024-8932-cvss-9-8-urges-immediate-update/">PHP修補重大層級的記憶體越界存取、緩衝區過度讀取漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166161"><strong>【11月22日】駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> </div></div></div>
2024/11/26 16:25作者周峻佑https://www.ithome.com.tw/news/166203
IBM Granite AI模型在AWS上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM和AWS<a href="https://newsroom.ibm.com/blog-ibm-and-aws-accelerate-partnership-to-scale-responsible-generative-ai" target="_blank">宣布</a>強化AI合作，包括IBM大語言模型家族Granite將在Amazon雲端平臺推出，雙方也強化整合AWS及watsonx雲端平臺的功能，提升安全及效能管理。</p> <p>這項消息是為下周AWS re: Invent技術大會打頭陣。IBM繼上個月<a href="https://www.ithome.com.tw/news/165605" target="_blank">開源</a>Granite 3.0 2B、8B模型後，Granite程式模型將在Amazon Bedrock及機器學習平臺Amazon SageMaker JumpStart上架。IBM最新的Granite 3.0模型系列已經先一步在Sagemaker JumpStart<a href="https://aws.amazon.com/marketplace/pp/prodview-vweaesrobaglk" target="_blank">提供</a>。</p> <p>透過這項合作，Granite模型現在獲得AWS Neuron開發套件支援，可在AWS Inferentia及AWS Trainium晶片的雲端執行個體上執行。IBM並計畫其watsonx未來將支援AWS最新一代AI晶片Trainium2。</p> <p>雙方雲端平臺也將擴大整合或合作。首先，12月IBM AI模型生命周期管理watsonx.governance將進一步整合Amazon SageMaker，雙方開發一個全新介面，直接以watsonx.governance管理介面管理SageMaker。SageMaker Model Registry的模型資訊可分享給watsonx，使AI運作管理透明化。</p> <p>其次IBM管理機敏AI數據與AI模型安全風險的Guardium AI Security，現在在AWS Marketplace上架。這工具能發現「影子AI」（即員工私下建的AI模型），能和watsonx.governance整合，確保AI治理。</p> <p>最後，雲端應用管理工具Instana Generative AI Observability on AWS現在已預覽版推出，可透通管理Amazon Bedrock及Amazon SageMaker，確保AWS生成式AI應用的穩定性和運作正常。此外，IBM Instana也將支援Amazon Elastic Kubernetes Services和Elastic Cloud Services，提供雲端微服務的管理。</p> <p>其他新宣布方面，IBM預覽了IBM Concert新功能。IBM Concert利用生成式AI技術提供AWS平臺上應用程式的風險管理，預計將於2025年初上線。此外有IBM Autonomous Security for Cloud（ASC）這項新技術是IBM顧問服務開發的AI解決方案，可利用Amazon Bedrock生成AI技術，加強雲端安全自動化管理，預計12月全球推出。</p> </div></div></div>
2024/11/26 15:22作者林妍溱https://www.ithome.com.tw/news/166201
圖博新聞媒體、大學網站遭中國駭客TAG-112攻擊，用網站漏洞與紅隊測試工具進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定圖博發動攻擊的情況，每隔一段時間就有事故傳出，而最近一起事故揭露，再度引起外界關注。</p> <p>資安業者Recorded Future揭露<a href="https://www.recordedfuture.com/research/china-nexus-tag-112-compromises-tibetan-websites">中國駭客組織TAG-112的攻擊行動</a>，駭客先是入侵國際西藏郵報（Tibet Post）及Gyudmed Tantric University的網站，目的是在瀏覽網站的使用者電腦植入Cobalt Strike，從而進行情報收集，或是運用受害電腦進行其他間諜活動。</p> <p>駭客於網站上嵌入惡意JavaScript指令碼，藉此矇騙使用者、謊稱TLS的憑證出錯，以要求下載新的憑證為由，引誘使用者上當。</p> <p>這起事故發生在今年5月下旬，攻擊者利用內容管理系統Joolma的漏洞，在上述2個網站植入惡意JavaScript指令碼。究竟駭客使用那些漏洞，研究人員沒有說明。值得留意的是，這起攻擊行動直到10月上旬，仍處於活動的狀態。</p> <p>研究人員也提及駭客的基礎設施相當複雜，他們濫用Cloudflare服務遮掩伺服器的IP位址，使得追蹤攻擊的來源變得更加困難。</p> </div></div></div>
2024/11/26 15:41作者周峻佑https://www.ithome.com.tw/news/166202
防毒軟體Avast的驅動程式元件遭到濫用，駭客企圖停用受害電腦防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避端點防護的偵測，駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法，今年可說是越來越頻繁，如今甚至出現有人針對多家廠牌的端點防護系統進行破壞的情形。</p> <p>例如，<a href="https://www.trellix.com/blogs/research/when-guardians-become-predators-how-malware-corrupts-the-protectors/">資安業者Trellix近期揭露的攻擊行動</a>，就是典型的例子。研究人員發現由檔名kill-floor.exe開始的惡意程式感染鏈，一旦該執行檔啟動，就會於受害電腦部署Avast的Anti-Rootkit驅動程式aswArPot.sys，接著，攻擊者再植入另一個合法的核心驅動程式，檔名為ntfs.bin。</p> <p>在完成上述投放驅動程式的步驟，此惡意軟體就會濫用公用程式sc.exe，產生名為aswArPot.sys的服務，目的是向系統註冊ntfs.bin。</p> <p>然後，kill-floor.exe就會比對受害電腦上的處理程序，若出現攻擊者認定的142種資安工具處理程序名稱，就會加入Avast驅動程式的參照資料，並呼叫名為DeviceIoControl的API，傳送特定的IOCTL碼，藉由Avast驅動程式，以核心層級來終止處理程序，導致受害電腦的防毒軟體或EDR停止運作。</p> </div></div></div>
2024/11/26 14:47作者周峻佑https://www.ithome.com.tw/news/166200
Anthropic開源可用來連結AI助理與資料的Model Context Protocol
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造Claude大型語言模型的Anthropic周一（11/25）<a href="https://www.anthropic.com/news/model-context-protocol" target="_blank">開源</a>了模型脈絡協定（Model Context Protocol，MCP），這是一個可用來連結AI助理及資料系統的新標準，使AI助理可透過單一協定存取所有的資料來源，讓模型能產生更好與更相關的回應。</p> <p>Anthropic表示，隨著AI助理獲得主要的採用，業界於模型功能上投入了大量資金，於推論及品質上取得了快速進展，然而，就算是最複雜的模型也會受到與資料隔離的限制，每一個新的資料來源都需要專屬的客製化實現，而讓真正互連的系統難以擴展。</p> <p>而MCP則解決了上述挑戰，允許開發人員在資料來源及AI工具之間建立安全的雙向連接，這是個非常簡單的架構，開發人員可透過MCP伺服器來公開資料，或者是建立可連結這些MCP伺服器的AI應用程式。它有3個主要元件，一是模型脈絡協定的規範與各種SDK，二是Claude桌面程式對本機MCP伺服器的支援，三為MCP伺服器的開源儲存庫。</p> <p>此外，Claude 3.5 Sonnet擅長快速建置MCP伺服器，讓企業和個人可輕鬆連結重要的資料與各種AI工具，為了協助開發人員啟動探索，Anthropic將分享替Google Drive、Slack、GitHub、Git、Postgres及Puppeteer等熱門系統預先建置的MCP伺服器。</p> <p>另一方面，Block與Apollo等早期採用者也已將MCP整合到它們的系統中，Zed、Replit、Codeium及Sourcegraph等開發工具公司，亦打算利用MCP來強化其平臺，讓AI代理可更好地檢索資訊以理解程式碼任務的脈絡，並生成更實用的程式碼。</p> <p>總之，現在開發人員可以根據標準協定來建置連接器，而不必再替各別的資料來源打造各自的連接器，Anthropic相信隨著此一生態體系的成熟，AI系統就算是在不同的工具及資料集之間移動，都能維持脈絡，以更永續的架構來取代當前零散的整合方式。</p> </div></div></div>
2024/11/26 14:14作者陳曉莉https://www.ithome.com.tw/news/166199