iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【每日吞吐16萬件商品，儲存貨量超過340萬件的關鍵】Momo南臺最大智慧物流中心作業圖解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong>Momo新啟用的南區儲配運輸物流中心最新公開智慧物流內部作業流<span style="color:#000000;">程，包括了進貨（流程1~5）、揀貨（流程6~8）、理貨（流程11~12）、出貨（流程13）等4大類、13項作業。這是Momo用自動化物流設備和軟體，讓340萬件存貨的物流中心，創造出每天16萬件商品出貨能力的關鍵。</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1211-cover-2-600.jpg" style="width: 600px;" /></p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 流程1 </span><span style="background-color:#B22222;"> 進貨 </span></span> <span style="color:#B22222;">大材積商品驗貨</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B1.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>Momo大材積商品會直接堆疊到棧板上。貨物運到物流中心時，必須先登錄商品品項、數量及存放的棧板。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程2 </span><span style="background-color: rgb(178, 34, 34);"> 進貨 </span></span> </strong><span style="color:#B22222;"><span style="font-size:28px;"><strong>大材積商品入庫</strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>棧板入庫棧板式AS/RS前，會經過地板上感應器，掃描棧板上條碼。系統讀取棧板資訊後，發布倉儲派令、登錄儲存情況。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程3 </span><span style="background-color: rgb(178, 34, 34);"> 進貨 </span></span> </strong><span style="color:#B22222;"><span style="font-size:28px;"><strong>多樓層棧板式AS/RS</strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B3.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>貫穿多樓層的棧板式AS/RS負責儲存箱裝商品，南區物流中心的棧板位數較北區物流中心高，約15,000位。此系統存取主機的水平行走速度每分鐘180公尺，升降速度每分鐘55公尺，每小時支援110板進貨和120板出貨量。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程4 </span><span style="background-color: rgb(178, 34, 34);"> 進貨 </span></span> </strong><span style="color:#B22222;"><span style="font-size:28px;"><strong>小材積商品驗貨</strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B4.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>小材積商品進貨與大材積進貨流程不同。進貨時，人員從粉色物流箱拿出商品，刷條碼驗貨、登錄商品。不在資料庫的新商品，會用一旁DWS（體積重測量系統）測量尺寸及重量。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程5 </span><span style="background-color: rgb(178, 34, 34);"> 進貨 </span></span> </strong><span style="color:#B22222;"><span style="font-size:28px;"><strong>跨樓層螺旋式輸送機</strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B5(2).png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>小材積商品驗貨完畢，會透過一旁跨樓層的螺旋式輸送機，運到不同樓層，進行後續處理。這包括進入專門儲存小尺寸商品的穿梭式AS/RS，或是裝上棧板存入特定倉儲區。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程6 </span></span></strong><span style="font-size:28px;"><span style="color:#FFFFFF;"><span style="background-color:#008000;"> </span></span><strong><span style="color:#FFFFFF;"><span style="background-color:#008000;">揀貨 </span></span> <span style="color:#008000;">穿梭式AS/RS支援揀貨</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B6.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>穿梭式AS/RS存取主機的水平行走速度每分鐘210公尺，升降速度每分鐘60公尺，較棧板式快速，使其能更好支援揀貨。除了儲存小尺寸商品，穿梭式AS/RS還會儲存高周轉率商品。箱裝商品拆箱後，零散商品也會暫存於穿梭式AS/RS，供之後訂單須併件時取出。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程7 </span></span></strong><span style="font-size:28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 128, 0);"> </span></span><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 128, 0);">揀貨 </span></span> <span style="color:#008000;">初步揀貨</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B7.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>商品從穿梭式AS/RS取出，會運到緊鄰的揀貨站。工作人員依照系統指示揀出訂單所須商品，放進灰色物流箱。若該訂單還須匯集來自其他箱的商品，則物流箱會放到人員後方的合流輸送帶上，到下一站暫存，或到播種臺合併到同一箱。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程8 </span></span></strong><span style="font-size:28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 128, 0);"> </span></span><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 128, 0);">揀貨 </span></span> <span style="color:#008000;">播種臺匯集同訂單商品</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B8.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>來到播種臺，Momo採用一次能同時處理360張訂單的DAS（自動分貨系統）系統，來輔助訂單商品合併及分貨。揀貨人員會根據DAS系統燈號指示，從灰色物流箱揀取商品，將同一訂單商品放到對應的粉紅色物流箱。按下完成燈後，將物流箱交給緊鄰播種臺的分裝人員來完成包裝（播種台因作業區無法進入拍攝，Momo用影片展示，後兩張圖為影片截圖）</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程9 </span></span></strong><span style="font-size:28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#ff6600;"> </span><strong><span style="background-color:#ff6600;">包</span></strong></span><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#ff6600;">貨</span></strong><span style="background-color:#ff6600;"> </span></span> <span style="color:#ff6600;">分工分流包貨臺</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B9.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>包貨臺會依據不同包裹類型和送貨型態來分工。舉例來說，標籤格式不同的宅配單件和超商單件，就會有分到不同包貨臺作業。也有些包貨臺不緊鄰播種臺，所處理的商品由推車送至。包貨人員會將有訂單資訊的條碼貼到紙箱上，供理貨階段讀取。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程10</span></span></strong><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> </span></span></strong><span style="font-size:28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> </span><strong><span style="background-color:#3399ff;">回收 </span></strong></span><strong> <span style="color:#3399ff;">機械手臂堆疊物流空箱</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B10.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>商品分裝完後，空的物流箱由機械手臂快速整理、堆疊，以利後續再利用。此機械手臂每小時能堆疊360個物流箱，用途看似平凡無奇，但能有效省下一個班4至8個人，甚至雙11等巔峰時段20個人份的大量人力。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程11</span></span></strong><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> </span></span></strong><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#cc33ff;"> 理貨 </span></span> <span style="color:#cc33ff;">感應系統分流貨物</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B11.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>商品在樓上分裝完畢，會再透過輸送帶，從各樓層一路運回1樓理貨、出貨區。這裡設有一座搭載感應器的關卡，負責掃描紙箱上標籤的QR Code，帶入負責物流公司、送貨區域等訂單資訊，將裝箱好的商品分配到14條理貨區輸送帶上，再由理貨人員根據對應的不同物流公司及車次，將商品裝載到貨車上。此感應門掃描速度相當快，一道門就能負責整座南區物流中心全部出貨包裹的讀取、登記和分配。在一般時期，感應門每小時掃描約6,000箱包裹，以一定程度增加掃描精確度。到了雙11節等訂單暴增的大型檔期，則會火力全開，最快每小時能掃描7,500個紙箱上的QR Code，並搭配輸送帶區域的防錯機制來彌補掃描異常情況。</strong></span></p> <p> </p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 流程12</span></span></strong><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> </span></span></strong><span style="font-size:28px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color:#cc33ff;"> 理貨 </span></span> <span style="color:#cc33ff;">商品從輸送帶裝上籠車</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B12.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>商品經過感應關卡後，會根據訂單資訊，分別送到理貨區的14條輸送帶。其中，第14條輸送帶是防錯機制，未掃出訂單資訊等異常狀態的包裹會送至此區，由理貨人員人工檢查訂單資訊。此處區域輸送帶速度為每分鐘移動135公尺，末端有大量理貨人員，根據系統算好的送貨路線、貨車可裝載體積重量，將輸送帶上的商品裝載到籠車上，再推到待命於出貨區的各家、各式貨車，裝載貨品上車。上貨時，會依照送貨順序，來安排包裹在貨車車廂內的前後位置。出貨區位於南區物流中心東側，與理貨區相鄰，與位於南面的進貨區互不干擾。Momo也有利用碼頭管理系統，來確保進出車輛動線順暢。</strong></span></p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 流程13 </span><span style="background-color:#ff33ff;"> 出貨 </span></span> <span style="color:#ff33ff;">履行訂單或調貨到周圍倉儲</span></strong></span></p> <p><span style="font-size:20px;"><strong>裝載商品上車後，從這裡，貨物會送到雲嘉南和高屏地區的宅配收貨點、超商，以及其他主倉、衛星艙等次級倉儲。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1121_%E6%B5%81%E7%A8%8B13.jpg" style="width: 600px;" /></p> <hr /> <p><span style="font-size:26px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> Momo南區儲配運輸物流中心 </span><span style="background-color:#696969;"> 小檔案 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong>● Momo倉儲總數：</strong>物流中心2座，主倉21座，衛星倉儲36座，共59座，倉儲總面積580千平方米（統計到2024年11月）</span></p> <p><span style="font-size:20px;"><strong>● Momo年訂單數：</strong>53.8百萬件（2023年第3季到2024年第2季）</span></p> <p><span style="font-size:20px;"><strong>● 南區物流中心地址：</strong>臺南市新市區大營里大營1之8號</span></p> <p><span style="font-size:20px;"><strong>● 啟用時間：</strong>2024年11月20日</span></p> <p><span style="font-size:20px;"><strong>● 樓層數：</strong>地上6樓、地下1樓</span></p> <p><span style="font-size:20px;"><strong>● 總樓板面積：</strong>24,500坪</span></p> <p><span style="font-size:20px;"><strong>● 儲貨量：</strong>340萬件以上</span></p> <p><span style="font-size:20px;"><strong>● 每日商品吞吐量：</strong>16萬件</span></p> <p><span style="font-size:20px;"><strong>● 現場員工數：</strong>預計500人</span></p> <p><span style="font-size:20px;"><strong>● 預計綠能發電量：</strong>1,000kWp（100%用電自給）</span></p> <p><span style="font-size:20px;"><strong>● 樓層功能說明：</strong>1樓為進出貨區，3至5樓為儲存、揀貨、包裝區。棧板式AS/RS、穿梭式AS/RS、螺旋式輸送機、輸送帶等設備，則橫跨了多層樓，聯合調度貨物進出</span></p> <p><span style="color:#696969;"><span style="font-size:18px;">資料來源：iThome整理，2024年12月</span></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 102, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 102, 255);"><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1211-feng_mian_gu_shi_-p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=r1ovRZds" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/12/6 16:32作者郭又華https://www.ithome.com.tw/news/166388
如何強化南臺灣快物流能力，Momo新物流中心的三大價值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商龍頭Momo富邦媒11月底正式啟用坐落臺南的南區儲配運輸物流中心。這座物流中心斥資30億元、費時2年多建造，南臺灣目前最大規模的物流中心。這一步，更拉開了他們與酷澎、PChome等競爭對手在南臺灣的物流布局強度。</p> <p>Momo用一句話來形容這座新物流中心可以創造的戰略價值，「大型物流中心存放品的項更多、能支撐大規模自動化設備運作。他們將以南區物流中心為核心，搭配中南區主倉及衛星倉形成中南倉群，來均分訂單量，豐富多元化商品。」</p> <p>這樣不只能降低消費者訂單分箱出貨機率，也能增加南貨南送的情況，讓更多南部消費者能當日收到訂單所有商品。這些效益，於大型活動檔期時，如每年雙11購物節，尤其顯著。</p> <p>北部地狹人稠，電商界的物流建設，一直以來都重北輕南。舉凡PChome林口物流園區、酷澎桃園三座物流中心，乃至Momo 2017年就啟用的北區物流中心，都是在鄰近新北和桃園的市郊選址。不只大型物流中心先北再南，就連主倉、衛星倉、衛星站等次級倉儲，Momo的建設順序也是北部優先，密度更是遠超過中、南部。</p> <p>2018年起，Momo開始大力投資南部物流布局，2019年後半購入南區物流中心建地、2021年啟用永康物流中心作為南區物流中心前哨站，終於在2024年底，正式啟用了南區物流中心，作為Momo南臺灣智慧物流核心。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>專家剖析Momo南區物流中心的3大價值</strong></span></span></p> <p>Momo向來看重短鏈物流，尤其，廣布鄰近消費者的小型衛星倉儲，成為他們在疫情間能在訂單履行能力上贏過競爭對手的關鍵。不過，Momo在2024年只有新增一座衛星倉，以及這一座南區物流中心。</p> <p>將大部分的物流資源，集中投入到南臺灣設置一座大型物流中心，對Momo物流能力創造了哪些價值？</p> <p>高科大行銷與流通管理系教授吳師豪剖析，大型物流中心關鍵優勢，就是可以容納巨量商品，能創造3大重要價值。</p> <p>首先是訂單履行能力。衛星倉等小型倉儲容量有限，必須仰賴演算法和大量零售經驗，來決定存放商品種類與數量，且難以完全準確。當訂單需要從多座小倉儲調貨、出貨，甚至臨時向廠商進貨，都會大幅提高物流成本與費時。反之，大型物流中心備有足夠貨品，從單一倉儲出貨訂單的能力就會強於小型倉儲。</p> <p>不只自行履行訂單的能力強，存貨容量大帶來的第二個價值是提升進貨效率。Momo向廠商進貨時，若要直接配送到全臺近60座倉儲，加上數個轉運用衛星站點來調度，不只管理複雜，物流成本也很高。電商常見做法是，先將全臺各地廠商貨品進到大型物流中心，再由電商統一調貨到不同物流據點。</p> <p>過往，南部廠商出貨到Momo北部物流中心，再調度回南部次級倉儲出貨，光是交通時間，就得花上至少十幾小時，而且路徑計算、商品調度模式、回頭車管理，難度都非常高。有了南部物流中心，廠商能就近出貨，交通時間有望降到個位數小時，物流管理難度也大幅減少。甚至，就算回頭車正好沒貨可載，效率損耗也較原先模式小。</p> <p>作為主要進貨據點，南區物流中心可以發揮第三個價值，調貨到鄰近次級倉儲的能力。當次級倉儲缺貨，需要調度時，可以從就近從大型物流中心調貨，且能一站補完所需品項，降低從更遠、更多座物流中心調貨的需求。</p> <p>吳師豪比喻：「南區物流中心就像是南臺灣次級倉儲的航空母艦，」自身可以成為強大的訂單履行中心，還能連帶增加南臺灣其他次級倉儲的訂單履行能力，同時降低Momo整理物流成本、費時及管理難度。</p> <p>也就是說，大型物流中心不但能強化短鏈物流能力，還能帶來更多價值，是規模較小的倉儲無法提供。而這三大價值，最終都是為了一個字：快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E9%AB%98%E7%A7%91%E5%A4%A7%E8%A1%8C%E9%8A%B7%E7%B3%BB%E5%90%B3%E5%B8%AB%E8%B1%AA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%90%B3%E8%A9%A9%E8%B1%AA_WEB.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>高科大行銷系教授吳師豪表示，快物流服務範圍相當於商圈的概念，Momo靠南區物流中心強化南臺灣物流能力，是他們在南部拓展業務的重要一步。</strong><span style="font-size: 14px;">圖片來源／吳詩豪</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>快物流是電商核心競爭力</strong></span></span></p> <p>吳師豪直言：「快物流能力，就是電商拓展商業規模的核心競爭力。」他以近年全球零售龍頭Walmart舉例，從實體零售起家的他們，如今已經快速躍升美國電商老二，僅次於Amazon。他說，拓展物流服務範圍，就是Walmart快速發展電商事業的關鍵──近2年，他們也了啟用4座專門用於電商的超大型物流中心。</p> <p>即使在遠比美國地狹人稠的臺灣，訂單履行能力也同樣是電商關鍵競爭力，甚至，對「快」的要求會更加嚴格。吳師豪回憶，去年他在臺灣其他網路書店上架了一本教科書，卻被學生告知，他們已經都用Momo，「只因為他們對Momo的印象是到貨更快。」</p> <p>他進一步解釋，快物流的服務範圍之於電商，好比商圈之於實體零售。兩者共通處是，在這些範圍內，消費者能在可接受時間內取得商品。以電商來說，有效率的配送範圍約為50公里，隨著物流中心的訂單履行能力越強，快物流服務範圍越廣，也就能越有效拓展商業規模。</p> <p>至於多快算快？吳詩豪指出，快是比較性概念。如果是跨國電商，數天到貨也算快；如果電商對手24小時到貨，就要低於24小時才算快。甚至，如果要和實體零售競爭，就要比消費者從產生購物意願，到出門購物的來回時間，更加快速。「進一步說，Momo強化快物流能力，也是跟實體零售競爭的重要做法。」尤其，統一、全聯等實體零售巨頭，也都覬覦電商市場，且同樣大力投資物流，更顯快物流布局重要性。</p> <p>物流要快，不只物流中心要大、位子要好，還要內部運作效率高。這得高度仰賴IT，如何在軟硬體上，盡可能優化物流流程。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>廣招IT人才，來強化南部物流中心的物流科技力</strong></span></span></p> <p>Momo南區物流中心的自動化設備大多照搬北區物流中心。吳詩豪認為，這並不代表南區物流技術過時，反而是Momo追求效率的策略。「物流中心先追求效率化，再追求自動化。」與其導入更多新自動化設備，他們選擇複製已經證明有效率的做法，降低工作人員學習曲線。這也讓南區物流中心試營運期間，能支援今年雙11大檔期。</p> <p>既然硬體和流程大致相同，Momo需要在軟體及流程設計上不斷優化，來降低缺貨率、提升從訂單進來到實際出貨的迴轉率，並確保揀貨和送貨準確率。</p> <p>Momo對物流IT的重視，從南區物流中心招募的人才類別，可見一斑。除了倉儲管理員和機電工程師，c0他們還開出許多IT職缺，包括物流自動化應用企畫師及工程師、物流物聯網應用企畫師與工程師、物流大數據分析師等物流科技人才，以及AI、深度學習、自動化技術、雲端運算等各式IT人才，持續用發展和應用物流科技。</p> <p>近五年來，Momo發展的物流科技包括根據訂單預測來決定各地倉儲的商品儲存方法、導入物流電話代碼化轉接服務、在各倉儲基地中逐步加入自動化設施、開發商品裝箱建議系統、導入物流路徑規畫和即時路況建議等。目前Momo有揭露的南區物流中心IT應用，包括AI大數據存貨品項挑選、庫存水位追蹤、路線最佳化，以及接下來會介紹的各式自動化物流設備、系統和機制。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 102, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 102, 255);"><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1211-feng_mian_gu_shi_-p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=r1ovRZds" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/12/6 16:32作者郭又華https://www.ithome.com.tw/news/166364
直擊Momo南臺智慧物流核心
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1211-feng_mian_gu_shi_-p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=r1ovRZds" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這座南臺灣最大規模的物流中心，一天能吞吐16萬件商品，全面提升Momo南臺灣物流系統的進貨、出貨及調貨能力，讓更多南部顧客能當天就收到商品</p> </div></div></div>
2024/12/6 16:33作者郭又華https://www.ithome.com.tw/article/166392
效率是IT永遠的課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端龍頭AWS這周舉辦年度大會re:Invent，我們記者王若樸也飛到美國現場，不到24小時，<a href="https://tinyurl.com/2bukyt89" target="_blank"><span style="color:#3366ff;">就發出4篇直擊報導</span></a>。我也看了AWS公用運算部門資深副總裁Peter DeSantis周一的晚間秀直播，不少值得介紹的亮點。其中，最讓我覺得有意思的是，一項小小的光纖插頭的改良。</p> <p>在LLM大型語言模型的訓練中，需要將大量資料送到數萬，甚至十萬顆GPU上來進行計算，因此，需要一套具有龐大傳輸能力的網路架構，AWS發展了一套稱為10p10u的AI專用網路架構，可以在上千臺伺服器之間，提供數十PB網路傳輸能力，而且延遲時間不到10微秒，相當驚人。</p> <p>要達到這樣的頻寬和速度，當然得靠光纖，但就算如此，也需要超級複雜的光纖網路線的密集配線，單一個機櫃就要用到數百條光纖來串聯，要部署上千臺伺服器來訓練模型，密集光纖網路的配置更是曠日費時。AWS將16條獨立的光纖整合成一把預製的光纖組件（Fiber optical trunk cable），直接在工廠先組裝，不只減少了6成的連結器數量，也大幅減少接錯線的情況，可以縮短近一半的部署時間。</p> <p>不只如此，他們還重新設計了客製化的專用光纖插頭（Firefly Optic Plug），這個小小的橘色插頭，可以在工廠事先進行迴路測試，提前驗證網路連線情況，還有防塵密封設計，避免小灰塵跑進光纖接頭中，影響了傳輸品質。「即使是一顆小灰塵，也會影響網路效能。光是改良這樣簡單的裝置，就能提高整體網路的效能。」Peter DeSantis強調。</p> <p>連一顆小灰塵都不能放過（放進光纖），這種極度講究的態度，讓我敬佩，不惜自己重新改良看似簡單的光纖插頭。一點一滴的改良累加起來，才能創造出數十PB等級傳輸能力的AI專用網路架構。</p> <p><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color:#3366ff;">1211期封面故事「直擊Momo南臺智慧物流核心」</span></a>，同樣也談到了用IT創造效率的課題。</p> <p>我們另一位同事郭又華，11月下旬，南下參訪Momo剛啟用的南區智慧物流中心。這棟6層樓建築，單日可進出16萬件商品，一年吞吐量能達到5,800萬件貨品。他在現場，親自走一趟，從進貨、揀貨、包貨、理貨到出貨的作業流程，再以圖解方式，一一說明Momo南部短鏈物流關鍵基地的運作關鍵。</p> <p>Momo南區這座物流中心，直接複製了北區物流中心的自動化設備和作業流程，但是不一樣的是，他們這次特別要招募IT、AI、自動化技術、雲端運算的人才到這座中心的團隊，Momo透露招募這批人才的目的，就是為了不斷優化軟體和流程設計，來降低缺貨率，改善從訂單到出貨流程間的迴轉率，甚至希望能確保揀貨和送貨的準確率。換句話說，就是要用IT來優化智慧物流、倉儲的效率。</p> <p>對於效率的追求，是IT最基本，也是永遠的課題，雖然不見得每一家企業，都有足夠的規模和資源，可以如AWS這樣設計自己的網路架構、設備、甚至是網路線插頭，或能像Momo大砸30億元、籌組500人團隊，來打造智慧物流中心。但是，不論是AWS或是Momo，他們用IT追求更高效率的態度，值得尊敬，更值得仿效。</p> <p><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3366ff;"> </span></strong></span></span><span style="font-size:22px;"><strong><span style="background-color:#3366ff;"><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/166392" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1211-feng_mian_gu_shi_-p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=r1ovRZds" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/aws">AWS</a></div><div class="field-item odd"><a href="/tags/reinvent">re:Invent</a></div><div class="field-item even"><a href="/tags/momo">momo</a></div><div class="field-item odd"><a href="/tags/%E6%99%BA%E6%85%A7%E7%89%A9%E6%B5%81">智慧物流</a></div><div class="field-item even"><a href="/tags/%E5%8D%97%E5%8D%80%E6%99%BA%E6%85%A7%E7%89%A9%E6%B5%81%E4%B8%AD%E5%BF%83">南區智慧物流中心</a></div></div></div>
2024/12/6 16:33作者王宏仁https://www.ithome.com.tw/voice/166369
維吾爾族及圖博人士遭到鎖定，駭客組織利用MoonShine漏洞利用工具、後門程式DarkNimbus從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客針對圖博及維吾爾族的攻擊行動不時傳出，而最近研究人員公布的攻擊行動當中，駭客暗中從事間諜活動長達5年，直到如今才被揭露。</p> <p>趨勢科技揭露<a href="https://www.trendmicro.com/en_us/research/24/l/earth-minotaur.html">名為Earth Minotaur的駭客組織</a>，駭客使用名為MoonShine的漏洞利用工具，並針對安卓行動裝置與Windows電腦，部署名為DarkNimbus的後門程式，主要目標是圖博與維吾爾族人，意圖藉此進行長時間的監控。</p> <p>研究人員指出，他們從2019年就開始利用MoonShine相關攻擊行動，並在調查的過程發現操作安全不當的MoonShine伺服器，掌握該漏洞利用工具及相關事件記錄資料，進而得知攻擊者使用的技倆，以及駭客鎖定的標的。</p> <p>駭客主要利用此漏洞利用工具對安卓裝置的即時通訊軟體漏洞發動攻擊，主要目標是微信（WeChat），由於這類應用程式不少是採用Chromium框架開發而成，駭客得逞的管道，都是利用已知的漏洞來進行。對此，研究人員呼籲，使用者應定期更新應用程式，來防範這類攻擊手法。</p> <p>針對駭客發動攻擊的流程，研究人員指出，對方通常透過即時通訊軟體發送特製訊息，引誘使用者點選內嵌的惡意連結，一旦他們上當，就會被帶往MoonShine伺服器，而導致裝置被植入後門程式。</p> <p>這些駭客使用的誘誀，研究人員大致歸納為4種，分別是政府公告、與COVID-19有關的中國新聞、和圖博與維吾爾族或宗教有關的新聞，以及旅遊資訊。</p> <p>此外，他們也提及上述攻擊鏈受害者的IP位址，幾乎都是來自中國，但這些駭客還有另一種發動攻擊的管道，那就是將使用者重新導向圖博或維吾爾族音樂及舞蹈的網路影片，而這種受害者的範圍，遍及全球。</p> <p>但無論上述那一種管道，一旦使用者點選連結，駭客便會將他們重新導向漏洞利用工具伺服器對裝置下手，結束後又會將使用者導向看似合法的網頁。</p> <p>在攻擊過程裡，漏洞利用工具伺服器會檢查HTTP標頭的資訊，確認使用者裝置上的特定應用程式或瀏覽器存在某些漏洞，才會進行漏洞利用。</p> <p>值得留意的是，這些被利用的漏洞針對多個版本的Chrome，以及騰訊瀏覽器伺服器（Tencent Browser Server，TBS），而這個軟體也是採用Chromium瀏覽器引擎打造而成。</p> <p>附帶一提的是，攻擊者利用的漏洞多半都已公開一段時日，其中最新的是針對微信的CVE-2023-3420。除此之外，其他漏洞都是在2016年至2020年公布。</p> <p>究竟駭客鎖定那些應用程式？涵蓋Chrome、臉書，以及即時通訊軟體微信、QQ、Line、Messenger、Zalo，此外，駭客也鎖定電商網站應用程式Lazada、韓國搜尋引擎Naver下手。</p> <p>若是漏洞利用套件並未發現可利用的漏洞，還會佯稱使用者的應用程式太舊，要求依照指示升級。但假如照做，使用者將安裝含有特定漏洞的舊版程式，而讓駭客能夠進行攻擊。</p> <p>一旦駭客的伺服器成功觸發漏洞，就會經由惡意程式碼執行Shell Code，將後門DarkNimbus植入目標裝置。此後門程式透過XMPP通訊協定與C2通訊，並能收集受害裝置的各式資訊並進行回傳。再者，攻擊者也濫用輔助服務，而能在特定即時通訊軟體或協作平臺於前景執行時，藉由文字辨識功能竊取對話內容。</p> </div></div></div>
2024/12/6 16:37作者周峻佑https://www.ithome.com.tw/news/166396
英國電信業者O2祭出反詐騙新招，推出AI阿嬤和詐騙電話「過招」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>詐騙電話橫行，有電信業者想出奇招，利用AI科技牽制歹徒，讓他們無法對一般民眾行騙。</p> <p>上個月英國電信業者O2<a href="https://news.virginmediao2.co.uk/o2-unveils-daisy-the-ai-granny-wasting-scammers-time/">發表AI阿嬤（AI Granny）Daisy</a>，這個「阿嬤」結合各種AI模型，這些模型進行協同合作，而能夠即時接聽詐騙電話，並跟歹徒聊天。該公司號稱Daisy栩栩如生，不少歹徒一口氣就跟AI阿嬤通話40分鐘。</p> <p>這項詐欺誘餌（Scambaiter）的製作，是該公司「讓詐騙者轉彎（Swerve the Scammers）」活動的一部分。Daisy採用一系列最先進的AI技術打造而成，並由專門對抗詐騙的北愛爾蘭YouTuber吉姆·布朗寧（Jim Browning）進行訓練，可以在無人介入的情況下，全天候與歹徒進行閒聊。</p> <p>由於年長者往往是歹徒行騙的主要目標，Daisy的人設自然就是慈詳和藹的老婆婆。在11月17日至23日的國際詐欺意識週的前幾個星期，Daisy在通話裡告訴歹徒她蜿蜒曲折的家人故事，談論對於編織的熱情，然後提供虛假的個人資料，以及銀行帳戶資訊，來愚弄他們。</p> <p>該公司找來真人實境秀明星艾米·哈特（Amy Hart）合作，<a href="https://www.youtube.com/watch?v=RV_SdCfZ-0s">製作影片來展示Daisy如何對待這類行騙的歹徒</a>。由於艾米·哈特也曾是詐騙電話的受害者，因此她熱衷參與反詐騙的行列，並公開相關的做法避免他人上當。</p> <p><iframe width="560" height="315" src="https://www.youtube.com/embed/RV_SdCfZ-0s?si=qLrOnp8hpTA8fKRL" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen=""></iframe></p> <p>英國民眾假若接獲可疑電話，可以將來電號碼以簡訊傳送到7726，讓Daisy阿嬤消耗歹徒的精力。O2指出，由於歹徒的手法日益複雜，他們鼓勵民眾將詐騙留給AI專家來處理。該公司也設置<a href="https://news.virginmediao2.co.uk/fraud/">專屬的Swerve the Scammers網頁</a>，提供民眾因應詐騙電話的一系列指引。</p> </div></div></div>
2024/12/6 15:20作者周峻佑https://www.ithome.com.tw/news/166393
美國大型企業組織遭到中國駭客入侵，鎖定Exchange伺服器從事情報收集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客對美國企業及政府機關發動攻擊的情況不時傳出，最近有研究人員公布在8個月前出現的資安事故，並指出駭客的活動自今年4月至8月，持續了4個月，疑似進行情報收集。</p> <p>資安業者賽門鐵克揭露一起<a href="https://www.security.com/threat-intelligence/us-china-espionage">鎖定美國大型企業組織的網路間諜活動</a>，並指出受害企業在中國具有相當重要的影響力。駭客疑似為了進行情報收集，於受害組織的網路環境持續活動。根據這波攻擊行動使用的工具，研究人員推測，攻擊者應該來自中國。</p> <p>究竟駭客如何入侵？研究人員表示不清楚，但他們從4月11日看到這些駭客開始於受害企業的網路環境活動的跡象，不排除對方更早就開始進行活動的可能。因為，當時這些駭客透過WMI在其中一臺電腦下達可疑命令，並透過另一臺電腦的執行滲透測試工具Impacket。由此看來，當時駭客至少已成功占領兩臺電腦，因此研究人員推測，攻擊行動很有可能在此之前就已經開始。</p> <p>接著，攻擊者下達net use命令，掛載網路共用磁碟，然後利用reg.exe挖掘帳密資料。然後，他們執行PowerShell指令碼，查詢AD的服務主體名稱（Service Principal Names，SPN）帳號，以及Kerberos使用的Token，從而發動Kerberoasting攻擊。</p> <p>事隔近2個月，6月2日駭客在網頁伺服器從事另一波攻擊，他們濫用FTP軟體Filezilla外傳竊得的資料，到了6月27日，攻擊者再度下達命令，過程中利用ibnettle-6.dll、textinputhost.dat兩個惡意檔案，用途很有可能是為了側載惡意程式。研究人員提及，textinputhost.dat先前曾出現在<a href="https://www.ithome.com.tw/news/163333">中國駭客攻擊行動Operation Crimson Palace</a>。</p> <p>駭客在6月初入侵另外兩臺電腦，很有可能是為了進行監控，或是進行橫向移動使用。過程裡駭客針對特定Exchange伺服器感興趣，因此研究人員認為，這些駭客試圖從郵件伺服器當中，收集含有機敏資料的電子郵件。</p> <p>另一方面，這些駭客在6月13日利用特定資料夾啟動iTunesHelper.exe，藉此側載名為CoreFoundation.dll的惡意程式。</p> <p>根據掌握的證據，加上該企業也曾於去年遭到攻擊，研究人員認為，攻擊者很可能與中國駭客組織Daggerfly有所關連。</p> </div></div></div>
2024/12/6 12:11作者周峻佑https://www.ithome.com.tw/news/166390
英國電信龍頭BT Group傳出遭遇勒索軟體Black Basta攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站HackRead的報導，<a href="https://hackread.com/telecom-giant-bt-group-black-basta-ransomware-attack/">勒索軟體駭客Black Basta近日聲稱對大型英國電信業者BT Group下手</a>，攻擊其會議部門，導致該公司部分主機暫停運作，駭客握有500 GB內部資料。對此，BT Group證實遭到攻擊，但強調受害範圍僅限於會議平臺，核心服務不受影響。</p> <p>為了證明成功入侵BT Group，駭客公布部分竊得檔案，以及檔案資料夾列表的螢幕截圖，並指出這批檔案包含財務資料、內部資料、使用者資料及個人文件、保密協定（NDA）與機密資料，並揚言若是BT Group不願支付贖金，他們將公開所有竊得的資料。不過，究竟駭客索討多少贖金？他們並未提及。</p> <p>對此，BT Group透露他們正積極調查此事，並與有關當局合作。該公司強調受害範圍僅限會議平臺的特定物件，他們的核心服務正常運作。他們也將遭受攻擊的伺服器下線，並進行隔離。</p> <p>值得留意的是，近期鎖定英國關鍵基礎設施的事故頻傳，上個月底當地國民保健署（NHS）旗下醫院Alder Hey Children’s and Liverpool Heart、Chest NHS Foundation Trusts，<a href="https://hackread.com/nhs-ransomware-attack-russia-inc-ransom-steal-patient-data/">才遭到勒索軟體INC Ransom攻擊</a>，駭客從中得手病人資料。</p> </div></div></div>
2024/12/6 12:43作者周峻佑https://www.ithome.com.tw/news/166391
親俄駭客對臺DDoS手法大公開，安碁資訊解析HTTP洪水攻擊防禦之道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自今年9月以來，<a href="https://www.ithome.com.tw/news/165356">臺灣遭遇兩波親俄駭客組織NoName057的DDoS攻擊</a>，該組織不只是攻擊臺灣的政府單位與民間企業，另也輪流鎖定不同目標，包括捷克、法國、烏克蘭、奧地利、英國、羅馬尼亞等國，以及歐盟的多個關鍵CI網站服務，都是他們的攻擊對象。</p> <p>儘管先前的事件新聞報導後，已讓大家注意此次威脅，但實際DDoS攻擊手法的解析，國內鮮少有這方面的資訊，最近安碁資訊在其年末舉辦的資安講堂活動上，揭露了這次DDoS攻擊的不同之處。該公司指出，駭客發動的洪水攻擊與往常不同，一般DDoS防護與清洗機制無法防禦，因為這次洪水攻擊主要是用慢速耗盡資源且大量連線存取的方式。</p> <p>這樣的手法，就有如針對售票窗口發動大量奧客拖慢每回售票時間一般，也能達到發動上萬人在售票窗口排隊，以癱瘓整體服務的效果。</p> <h3><strong>此次DDoS針對第七層而來，主要採消耗資源的洪水攻擊方式</strong></h3> <p>安碁資訊數位鑑識資安維運處處長蔡東霖指出，2022年裴洛西訪臺，中國駭客當時對臺發動的DDoS攻擊，具體攻擊型態是採「洪水型攻擊」，主要針對的是應用層Layer 7，發動像是DNS Query洪水攻擊、DNS NXDomain洪水攻擊，利用大量查詢方式癱瘓DNS伺服器，進而造成網域無法連線。</p> <p>今年9月親俄駭客NoName057對臺發動的DDoS攻擊，同樣是針對應用層Layer 7的攻擊，但攻擊型態卻是採「資源型攻擊」，也就是慢速消耗資源的方式來大量連線存取。</p> <p>換言之，雖然同是針對第七層的攻擊，兩者攻擊型態其實完全不同。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）安碁解析親俄駭客DDoS攻擊(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%AE%89%E7%A2%81%E8%A7%A3%E6%9E%90%E8%A6%AA%E4%BF%84%E9%A7%AD%E5%AE%A2DDoS%E6%94%BB%E6%93%8A(1).jpg" style="width: 600px;" /></a></p> <p>為了幫助大家理解其差異，安碁資訊用一張圖表來分類DDoS攻擊，方便大家能夠快速了解不同的手法。</p> <p>基本上，駭客發動的DDoS攻擊，可分成兩大攻擊型態，一種是「洪水型攻擊」，也就是用流量塞爆頻寬，設法消耗頻寬，或稱為頻寬消耗型；一種是「資源型攻擊」，則是設法耗盡資源，像是讓CPU負載過高而當機，或稱為資源消耗型。</p> <p>在這兩種攻擊型態之下，還有針對網路層（Layer 3）、傳輸層（Layer 4）與應用層（Layer 7）的不同攻擊方式，也就是流量攻擊、針對通訊協定攻擊，以及針對應用層攻擊，當中並有多種不同攻擊手法：</p> <p><span style="color:#0099ff;"><strong>消耗頻寬的洪水型攻擊</strong></span></p> <p>針對網路層主要是ICMP/IGMP洪水攻擊，針對傳輸層攻擊的具體手法，則有TCP洪水攻擊、SYN洪水攻擊等7種，在我們過去資安新聞報導中，這類手法也經常可見。</p> <p>針對應用層的攻擊也不少，這方面手法包含DNS Query洪水攻擊、DNS NXDomain洪水攻擊、DNS放大／反射攻擊，其他還有針對SNMP與NTP的放大／反射攻擊。前述提到DNS放大攻擊，利用DNS的特性來放大流量，進而癱瘓目標伺服器或網路資源，就是屬於這類。</p> <p><span style="color:#0099ff;"><strong>消耗資源的資源型攻擊</strong></span></p> <p>針對傳輸層的攻擊方式，有Sockstress攻擊與THC SSL DOS這兩種手法。蔡東霖進一步解釋，前者這種慢速的資源耗盡手法，像是可以一次傳送1個Byte，用很慢的方式大量佔用網站服務的資源，進而讓新的連線無法建立；後者主要是利用建立連線時SSL需要加解密金鑰的交換，耗用這方面的運算資源，以大量連線讓整體處理變慢。</p> <p>在針對應用層的攻擊方式中，則有HTTP洪水攻擊（HTTP/HTTPS連線攻擊、POST/GET大量請求）、ReDoS等DDoS攻擊手法。最近親俄駭客的攻擊，最主要就是使用此類手法。</p> <h3><strong>同時發動3種DDoS攻擊手法，主要以HTTP洪水攻擊為主</strong></h3> <p>親俄駭客這波攻擊有何特殊之處？蔡東霖指出，這兩波攻擊目標範圍廣泛，涵蓋多個政府與地方機構，以及部分民間企業，不過影響程度算小，主要就是干擾網站服務的正常運作。</p> <p>更準確來說，對方只是要讓目標網站的服務短暫無法運作，即使僅幾秒鐘，攻擊者只要能夠取得服務中斷的畫面，作為其攻擊成功的證據，以宣揚其行動已達預期效果。</p> <p>他們從實際遭受攻擊的組織中觀察到，NoName057混用了3種DDoS手法，包括針對Layer 7的HTTP洪水攻擊、ReDoS（Regular expression Denial of Service），以及針對Layer 4的TCP、SYN洪水攻擊。而且攻擊者不是輪流使用這些手法，而是針對同一目標同時發動這些攻擊。</p> <p>值得注意的是，在這3種DDoS手法中，NoName057最主要是使用HTTP洪水攻擊，針對網站上需花運算資源去處理的網頁，發動大量HTTP請求，企圖網站伺服器資源耗盡，進而造成阻斷服務。</p> <p>他進一步解釋，這種攻擊並不會塞爆頻寬，但可以造成伺服器因無法及時處理所有請求，而使網站運作速度顯著變慢，甚至完全無法回應用戶請求。當伺服器超過負荷時，可能出現錯誤狀態碼500，表示伺服器遇到未預期的情況，無法完成請求，或是出現錯誤狀態碼503，表示伺服器可能因資源不足暫時無法處理請求。</p> <h3><strong>攻擊者鎖定4到10個特定網頁就可奏效！安碁解析五大原因</strong></h3> <p>這樣的HTTP洪水攻擊之所以奏效，安碁資訊有重要發現。在攻擊過程中，此親俄駭客利用VPS虛擬主機或VPN隱匿其IP位址，因此幾乎都是利用跳板從其他國家的IP位址發動攻擊，攻擊來源來自北美、歐洲、澳洲等國，只有1%是臺灣的IP位址，特別的是，攻擊者在鎖定目標企業組織網站後，只集中針對網站上的4到10個關鍵網頁，發動DDoS攻擊。</p> <p>原因在於，這些頁面能消耗大量伺服器資源，適合他們發動HTTP洪水攻擊。換言之，攻擊者在發動攻擊之前，其實是會先對目標網站進行探索，以找出合適的攻擊目標頁面。</p> <p>有哪些是HTTP洪水攻擊的可能目標頁面？安碁資訊進一步剖析5種手段：</p> <p><a href="https://s4.itho.me/sites/default/files/images/安碁解析親俄駭客DDoS攻擊_HTTP Flood攻擊.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%89%E7%A2%81%E8%A7%A3%E6%9E%90%E8%A6%AA%E4%BF%84%E9%A7%AD%E5%AE%A2DDoS%E6%94%BB%E6%93%8A_HTTP%20Flood%E6%94%BB%E6%93%8A.gif" style="width: 600px;" /></a></p> <p><span style="color: rgb(178, 34, 34);"><strong>（一）鎖定新聞資訊查詢機制</strong></span></p> <p>這類攻擊主要針對網站中提供新聞主題與日期查詢的功能，細分為以下三種方式：</p> <p>輸入亂碼查詢：當伺服器將請求送交資料庫檢查時，若缺乏查詢次數限制或效能不足，像是一次可查詢10年的資料，網站伺服器就要從後端資料庫拉出大量資料，便可能導致網站伺服器超過負荷。</p> <p>反向日期查詢：設定不合理的查詢起迄日期，例如起始日期晚於結束日期，使系統需要額外檢查。</p> <p>錯誤日期格式：輸入無效日期格式，增加伺服器檢查的運算負擔。</p> <p><strong><span style="color:#B22222;">（二）鎖定電子報訂閱頁面</span></strong></p> <p>攻擊者透過大量HTTP POST請求來訂閱電子報，讓伺服器處理大量訂閱請求，而每次請求都會導致伺服器進行資料庫登錄、運算及跳出視窗等操作，以消耗伺服器資源。</p> <p><span style="color:#B22222;"><strong>（三）鎖定新聞導覽頁面的顯示機制</strong></span></p> <p>這類攻擊針對多筆新聞顯示的頁面，駭客透過指定URL分頁參數方式，如指定顯示第幾頁、每頁顯示筆數，甚至設定不存在的頁面，迫使伺服器需要大量運算，導致效能下降。</p> <p><span style="color:#B22222;"><strong>（四）鎖定大型檔案下載</strong></span></p> <p>駭客藉由下載網站上存放的大型檔案（例如內嵌影片或高容量文件），以此讓網路流量暴增，此為較傳統的手法，但仍有效的攻擊方式。</p> <p><strong><span style="color:#B22222;">（五）鎖定Email格式驗證機制</span></strong></p> <p>這類攻擊主要針對網站的Email輸入驗證功能，利用網站開發者使用了設計不良的正規表示式，發送大量錯誤輸入請求。例如，提供超長或複雜的字元串，導致伺服器需進行繁瑣的字元檢查，以大量耗用網站伺服器的CPU使用率。</p> <h3><strong>面對不同DDoS攻擊要有對應之道，應對HTTP洪水攻擊重點在WAF與應用程式設定</strong></h3> <p>面對這種不同於消耗頻寬，而是消耗資源的攻擊手法，我們可以如何因應？</p> <p>蔡東霖說明，以廣泛的DDoS攻擊防範而言，有6種防護機制可以運用，包括DDoS流量清洗、DDoS防護設備，網頁應用程式防火牆（WAF）、應用程式設定，以及防火牆、CDN等，但各自都有需要注意的面向。</p> <p>值得注意的是，以這次NoName057發動的HTTP洪水攻擊而言，DDoS防護設備與DDoS流量清洗，其實是防不住的，重點反而是在WAF與應用程式設定。蔡東霖對此一一解析：</p> <p>以DDoS流量清洗而言，這通常針對Layer 4的消耗頻寬型洪水攻擊效果顯著。然而，要能對應此次HTTP洪水攻擊，還需結合其他手段，至於能擋多少可能要視各家廠商能提供什麼樣的檢測機制，例如可以擋第7層防護（如WAF，但會有SSL憑證問題），或有機器人檢測機制( 比如reCAPTCHA )，才能阻擋。</p> <p>至於DDoS防護設備，與DDoS流量清洗相似，只是一個設備在用戶端，一個在廠商端。這方面要注意的是，若是設備買來都沒有調整過，幾乎是擋不住的。</p> <p>也就是說，設備使用上需注意，要在單位連線數方面做針對性的參數調整，像是每秒連接數或每秒連線來源的CPS值。在這次遭受攻擊的組織中，就有已部署DDoS防護設備，網站仍然被打掛的情形，因為CPS值大於攻擊者發出的每秒連線來源。</p> <p>WAF是應對這次HTTP洪水攻擊的有效方法。這部分要注意的是，由於攻擊來源IP位址難以在第一時間找出並阻擋，因此重點是要找出攻擊者的特徵值，再加以阻擋。</p> <p>在應用程式設定上，也算是應對這次HTTP洪水攻擊的關鍵之一，因此在程式開發上，應設定合理的查詢的條件與次數，否則攻擊者能夠利用查詢功能，發起無限制的大量無效或隨機查詢，造成主機運作問題。</p> <p>關於防火牆的應對上，算是治標的方法，像是這次攻擊有9成8以上是國外IP位址，可以先藉由阻擋國外的連線來暫時因應。而在DDoS防護設備上，同樣也可設定連線IP位址的來源地區。</p> <p>關於CDN的應對上，以CDN的作用來說，主要是針對來源IP位址，將流量導向最近的點並提供快取，這的確是可以讓DDoS流量難以集中，可緩解DDoS攻擊，但是若攻擊者的目標頁面是沒有快取或無法快取的情況，最終還是會由本地端主機處理，因此CDN無法提供防護。</p> <h3><strong>解析兩起實際案例，駭客使用近千IP位址發動百萬次連線</strong></h3> <p>為了幫助大家進一步理解這次攻擊的特性，蔡東霖特別以9月遭受攻擊單位的兩個實際案例來說明。</p> <p>攻擊者首先找出目標網站中較慢的頁面，主要DDoS攻擊手法就是前述提到的HTTP洪水攻擊，透過大量存取4或6個特定網頁，以耗盡伺服器資源。</p> <p>當攻擊開始時，網站立即受到影響，可能與網站伺服器的性能與程式寫法有關，因此可以看到網頁回應時間，以及伺服器錯誤數會明顯上升。</p> <p>從攻擊來源IP位址來看，攻擊者分別使用了1,344個與5,000個IP位址。而且，這兩起事件的攻擊時間相差兩天，攻擊來源有高度重疊情形，像是攻擊A單位的IP位址屬於169個網段，其中128個網段之後也用於攻擊B單位。這些攻擊來源IP位址分散於全球，都是透過VPS虛擬主機或VPN來隱匿。</p> <p>進一步從整體攻擊次數來看，A單位是在6個半小時內，遭遇142萬次的HTTPS連線，攻擊帶來的最高連線數量來到每秒8,633次，平均每秒148次連線，雖然這樣的數據這不算特別高，但與日常未遭受攻擊時相比（平均每秒僅連線1次），明顯可看出連線次數瞬間被拉升。</p> <p>B單位是在1天半時間內，遭遇至少200萬次以上HTTPS連線，攻擊帶來平均每秒48次連線，之所以比A單位低，是因為B單位處理上已有利用WAF擋住一部分的攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）安碁解析親俄駭客DDoS攻擊_HTTP Flood攻擊960.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%AE%89%E7%A2%81%E8%A7%A3%E6%9E%90%E8%A6%AA%E4%BF%84%E9%A7%AD%E5%AE%A2DDoS%E6%94%BB%E6%93%8A_HTTP%20Flood%E6%94%BB%E6%93%8A960.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/12/6 11:09作者羅正漢https://www.ithome.com.tw/news/166386
數位部展示數位皮夾功能雛型，強調數位身分自主權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為趕上歐洲、加拿大、美國等國家開始推動數位皮夾、數位身分自主管理及應用趨勢，數位部正在推動我國的數位皮夾（Digital Wallet），以作為我國數位公共基礎建設的一部分，本周四數位部舉辦產業應用座談會為數位皮夾暖身，蒐集產業界意見，並展示正在測試中的數位皮夾功能雛型，讓外界一窺未來可能的應用情境。 </p> <p>數位部數位國際司多元宇宙科長李岳寅表示，數位皮夾預期將是未來的浪潮，因此數位部今年推動數位公共基礎建設中，數位皮夾為其中一項重要的數位公共基礎建設之一。 </p> <p>數位部指出，國際上加拿大、美國、歐盟、新加坡、印度等相繼發展數位身分、數位皮夾服務，以歐盟為例，今年已通過eIDAS 2.0法規，歐盟要求所有會員國需在2026年提供免費的數位皮夾，無論是國家或廠商開發數位皮夾，目標為歐盟公民都可以獲得這項免費的公共服務。 </p> <p><span style="color:#B22222;"><strong>發展以人為中心的數位自主權 </strong></span></p> <p>過去身分的核發以權威機關為主，機關核發身分給民眾，作為使用各項服務的基礎，目前國際上發展的數位皮夾標準，則是以人為本作為設計的目標，各種服務不再圍繞在權威機關作為中心，而是各種服務圍繞著以人為中心；身分核發管理從過去集中式，以權威機關為中心，向分散式以個人為中心的數位皮夾發展，權威機關識別個人的身分後，將個人的證件核發到個人使用的手機裡，個人使用手機裡的證件申請服務，政府不可能、也不應該知道民眾使用證件做什麼事，只有授權的對象知道民眾的用途。</p> <p>數位部強調數位時代以人為本的數位自主權，以個人為主，滿足安全、隱私的需求，數位部描繪數位皮夾的目標，未來民眾可在有需要時，打開手機就能使用各種證件證明其身分，獲得各種安全、便利服務。確保數位近用的權利，數位部的規畫是沒有強制民眾必需使用數位皮夾，民眾仍能使用傳統的身分證明方式。</p> <p>作為數位公共基礎建設，數位皮夾如同高速公路，不會只有政府機關使用，未來也會開放民間企業採用，數位今年8月開始推動數位皮夾計畫，目前開發數位皮夾的雛型進行測試外，也希望蒐集外界的意見，目標是在2027年以前完成一定的階段。未來不只是政府核發證件可放進數位皮夾，民間企業可將核發證件置入數位皮夾，民眾使用數位皮夾收到各種證件後，完成各種身分驗證滿足生活的需求，因此未來數位皮夾也會開放原始碼，成為公共程式之一。</p> <p>儘管民眾可能不信任政府，但政府仍決定帶頭建立開源的數位皮夾App，在確保安全及隱私之下，採用國際開放標準，採用全球資訊網協會的可驗證憑證（VC）及分散式識別符（DID），來建立以人為本的身分識別、自主授權，以數位皮夾為基礎，在基礎上發展各種應用。</p> <p>數位部表示，未來我國的數位皮夾開源之後，不只可將證件卡片放進數位皮夾，甚至可將數位皮夾的身分驗證機制嵌入企業既有的服務系統，例如電子支付或是與個人身分驗證關的服務。 </p> <p>數位皮夾採用可驗證憑證及分散式識別符，目的是建立信任三角，使用者、發行者、驗證者三者之間，讓使用者信任發行者，讓驗證者相信使用者，讓發行者與驗證者之間無法隨時連通追蹤使用足跡。因此推動數位皮夾的相關配套措施，需建立可信任的核發單位、驗證單位的信任清單，促成數位信任的產業發展，建立數位身分的多方治理。</p> <p>今年初數位部在草擬數位皮夾的設計規畫，參考國外推動數位皮夾的作法，提出國內推動數位皮夾的高層次設計原則，如何兼顧確保隱私、便利性。</p> <p><span style="color:#B22222;"><strong>展示數位皮夾功能雛型</strong></span></p> <p>數位部也展示未來數位皮夾的功能，以剛畢業的畢業生(使用者)為例，傳統上提供紙本的畢業證書或學位證明給畢業生，未來數位皮夾推出後，學校(發行者)可透過發行端介面製作數位皮夾的卡片，再以電子郵件通知畢業生收取卡片，只要點入通知郵件內的連結，就會開啟手機上的數位皮夾App，通過身分驗證後，將畢業或學位證明卡片加入數位皮夾。</p> <p>除了點進郵件內連結加入卡片，未來依情境的不同，也可以掃描方式加入新卡片，民眾就能在數位皮夾App檢視所有已加入卡片，其中畢業證明卡片可能包含學校名稱、系所、姓名及出生年月日，當民眾向企業(驗證者)求職，收到企業通知錄取郵件，郵件內可能包含QR Code，開啟數位皮夾App掃描該QR Code，就能看到該企業需要民眾提供哪些資料，例如學歷證明、語言能力證明等等，民眾可使用數位皮夾內新加入的學位證明卡片，只要提供卡片持有者的姓名給企業，證明確實獲得該學校學位，至於語言能力證明方面，通過數位皮夾內的語言能力證明卡片，民眾可以設定只提供語言能力證明卡片持有者姓名、測驗分數，提供給企業進一步驗證。</p> <p>不論是學位證明或語言能力證明，民眾通過數位皮夾可選擇使用哪張卡片，授權第三方(企業或政府機關)存取哪些卡片上的資料，也就是最小身分資料揭露原則，避免曝露過多其他個人隱私資料，如此一來，可避免傳統提供身分證件或學位證書影印複本，第三方取得過多不必要的資料，負資料管理責任，以及可能被駭竊取資料的風險。</p> </div></div></div>
2024/12/6 12:04作者蘇文彬https://www.ithome.com.tw/news/166389
打造Google NotebookLM的核心成員宣布出走自立門戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為Google開發出NotebookLM的三名關鍵成員，將自立門戶投入新創事業。</p> <p>NotebookLM是Google 2023年推出的<a href="https://www.ithome.com.tw/news/157776" target="_blank">實驗性AI工具</a>，推出後大受企業及個人用戶歡迎。只要將文件上傳，NotebookLM就可以整理出重點摘要、回答用戶詢問，或是根據內容整理成podcast。</p> <p>從頭到尾催生NotebookLM的成員部門主管Raiza Martin，本周透過<a href="https://www.linkedin.com/feed/update/urn:li:activity:7269411457195225089/" target="_blank">LinkedIn</a>宣布，自己將在5.5年的Google生涯後離開公司。她將連同另二名團隊成員，包括產品設計的Jason Spielman和程式設計師Stephen Hughes成立新創公司。</p> <p>Martin對Techcrunch<a href="https://techcrunch.com/2024/12/04/key-leaders-behind-googles-viral-notebooklm-are-leaving-to-create-their-own-startup/" target="_blank">透露</a>，其新創公司將運用最新AI模型，針對一般用戶提供有用服務。</p> <p>這是最新一批離開Google創業的員工。上個月Google開源出來的知名機器學習程式庫Keras創辦<a href="https://developers.googleblog.com/en/farewell-and-thank-you-for-the-continued-partnership-francois-chollet/" target="_blank">人Francois Chollet</a>宣布<a href="https://x.com/fchollet/status/1857012265024696494" target="_blank">離開</a>，和朋友成立新事業。</p> </div></div></div>
2024/12/6 09:32作者林妍溱https://www.ithome.com.tw/news/166380
OpenAI新增最高階ChatGPT Pro方案，每月200美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（5）日<a href="https://openai.com/index/introducing-chatgpt-pro/" target="_blank">公布</a>新增200美元月費的ChatGPT Pro方案，能享有其他方案沒有的最強版本o1模型。</p> <p>ChatGPT Pro月費高達200美元，遠高於Plus和Team（月費各為20及30美元）方案。方案內容包括無上限存取OpenAI模型及工具。除了OpenAI-o1、GPT-4o和進階語音（Advance Voice）外，這方案還可提供o1 pro模式，是使用最大運算量，能為最困難問題提供最佳答案。OpenAI未來還會再為本方案加入更強大、更大用量的功能。由於問題需要較長時間回應，ChatGPT也會加入進度顯示條及應用中的通知，方便用戶同時進行其他對話。</p> <p>OpenAI表示，ChatGPT Pro是為研究、工程等人員提供的強大資源，穩定提供精準而完整的回應，能加速生產力及獲得領先的AI成果，對資料科學、程式和判例法分析等領域尤其有助益。</p> <p>OpenAI昨日也宣布9月<a href="https://www.ithome.com.tw/news/165026" target="_blank">釋出</a>預覽版的OpenAI-o1模型，推出正式版。該公司說，正式版o1模型在數學及程式碼生成的速度、效能、準確性都優於預覽版，且具備更優異的圖片理解能力。ChatGPT Pro方案用戶可在模型選項中，選擇能力最強的o1-pro版模型直接使用。</p> <p>OpenAI還宣布了ChatGPT Pro Grant方案，龍頭醫療機構的研究人員可獲得ChatGPT Pro 10點grant點數，而特定學科的研究人員還可獲得額外點數。這方案先在美國推出，但會再推向其他區域和學術領域。</p> </div></div></div>
2024/12/6 10:10作者林妍溱https://www.ithome.com.tw/news/166381
Meta將投入開發核能發電機支援資料中心用電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周<a href="https://sustainability.atmeta.com/blog/2024/12/03/accelerating-the-next-wave-of-nuclear-to-power-ai-innovation/" target="_blank">發布</a>招標書（request for proposal，RFP）準備為資料中心引進核能，以支援AI應用，加入Google、微軟、Meta的行列。</p> <p>Meta說，推動AI等科技革新，需要電網持續擴張並擁抱穩定的新可再生能源，Meta相信核能可為電網提供穩定能源，以支援Meta資料中心及其周圍社區所需。核能也在未來電網向多元化潔淨能源過程中扮演要角。Meta將透過招標，協助該公司找到開發商設計新的核能發電機。</p> <p>根據最新的招標書，Meta目標是自2030年代前半起，在美國增加1至4GW的核能。該公司希望尋找開發商加速開發新式核能發電機，並且藉由多機組部署，提供未來Meta電力需求、有效降低成本，並且減少碳排。</p> <p>Meta十年前就找開發商合作投入開發再生能源技術。Meta藉由在合約設計早期介入，得以和開發商協同開發以達成各自目標。Meta相信核能專案的資金需求，比起Meta已投入的太陽和和風能更龐大、研發期間更長、面臨更多法規要求，但營運壽命也更長，這意謂更有必要在產品開發生命周期早期投入，和合作夥伴在設計合約時考量營運要求。而且擴大部署有助降低成本，在專案各階段及地區尋找夥伴，能確保Meta有效部署。</p> <p>隨著減碳成為主流，大廠們不但採購核能，也直接投入生產。Meta之前，<a href="https://www.ithome.com.tw/news/165538" target="_blank">Amazon</a>和<a href="https://www.ithome.com.tw/news/165494" target="_blank">Google</a>都投入小型模組化核子反應爐的廠商投資。<a href="https://www.reuters.com/markets/deals/constellation-inks-power-supply-deal-with-microsoft-2024-09-20/" target="_blank">微軟</a>則是和一家廠商Constellation Energy合作重啟三哩島核能電廠一座機組。</p> </div></div></div>
2024/12/6 08:41作者林妍溱https://www.ithome.com.tw/news/166379
AWS推出自動化推理檢查，強化生成式AI安全性與準確性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布在其生成式人工智慧安全解決方案Amazon Bedrock Guardrails中，新增<a href="https://aws.amazon.com/tw/blogs/aws/prevent-factual-errors-from-llm-hallucinations-with-mathematically-sound-automated-reasoning-checks-preview/">自動化推理檢查（Automated Reasoning checks）</a>功能，目前以預覽版形式推出，避免生成式人工智慧回應中的事實性錯誤，尤其是來自模型的幻覺問題。</p> <p>Amazon Bedrock Guardrails整合內容過濾、個資去除與上下文檢查等功能，目的是要提升生成技術的安全性與可信度，而新增的自動化推理檢查進一步強化了該工具的準確性防護能力。</p> <p>自動化推理檢查是一項基於數學與邏輯的技術，主要用於檢查系統行為是否符合預期，而這與機器學習仰賴資料進行預測的方式不同，自動化推理運用數學和邏輯方法進行驗證，確保系統回應符合已定義的規則。AWS提到，他們已經將自動化推理應用於儲存、網路、虛擬化和加密等領域，而現在進一步擴展至生成式人工智慧，提供準確性保證。</p> <p>該技術的核心在於透過政策規則的形式化（Formal）建置與驗證，檢查生成式人工智慧是否遵循特定的事實與邏輯，例如在企業內部的應用，自動化推理檢查可用於檢驗與人力資源政策、產品資訊和操作流程相關的回應，確保輸出的內容與組織內部規範一致。</p> <p>企業可以將操作手冊等文件上傳至Amazon Bedrock，系統會自動分析文件內容並生成相應的邏輯規則。這些規則會被轉換成精確且結構化的數學或邏輯表達方式，也就是形式邏輯，使系統能夠有效理解並加以運用，以驗證生成式人工智慧輸出的準確性。</p> <p>當系統發現回應內容違背政策規則，則系統會標示為無效，並提供詳細的邏輯解釋與改進建議。這套機制也可以與提示詞工程、檢索增強生成（RAG）和上下文檢查結合使用，執行多層次安全防護。</p> <p>AWS表示，這項技術使得生成式人工智慧應用案例，能夠具有更高的準確性與可解釋性，特別適用於需要高度事實性的業務應用，而且該技術不僅提供防護功能，還能協助用戶分析並改進回應，逐步提升整體系統可靠性。</p> <p>自動化推理檢查目前已經在美西奧勒岡地區Amazon Bedrock Guardrails提供預覽版服務，官方計畫在未來數周內，將會在Amazon Bedrock控制臺開放註冊表單，供更多使用者測試。</p> </div></div></div>
2024/12/6 09:04作者李建興https://www.ithome.com.tw/news/166378
【re:Invent 2024現場直擊】從模型訓練算力配置自動化、提示快取管理到RAG結構化資料支援，AWS揭一系列A…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年度re:Invent技術年會中，AWS資料與人工智慧資深副總裁Swami Sivasubramanian揭露AI服務重大更新，不論是機器學習平臺SageMaker還是生成式AI平臺Bedrock，都聚焦生成式AI（即GAI）帶來的更大算力和資料檢索需求，推出相應新功能。</p> <p><span style="font-size:22px;"><strong>SageMaker瞄準生程式AI更大的算力需求，新添算力支援和任務管理</strong></span></p> <p>比如，他們在專為GAI推出的快速擴展服務Amazon SageMaker Hyperpod中，正式新添了能自動化彈性支援模型訓練的計畫功能（Amazon SageMaker Hyperpod Flexible Training Plans），能自動設置模型訓練所需的基礎設施和運算叢集，而且還符合使用者預期的訓練時間和成本。Sivasubramanian說，這個新功能可提高訓練效率，省下好幾周的模型訓練時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A8%93%E7%B7%B4%E8%A8%88%E7%95%AB.JPG" /></p> <p>再來，「有效管理訓練資源，也是很複雜的任務，」Sivasubramanian表示，對Amazon自己來說也是如此。於是他們開發一套功能，提高超過90%的加速運算運用率。「當我們與不同產業的資訊長、執行長們分享這個成功經驗，他們都表示這是他們需要的。」</p> <p>於是，AWS今日正式推出Amazon SageMaker Hyperpod Task Governance任務治理功能，使用者能定義自己的優先任務，來最大化運用加速器運算資源，降低模型訓練、微調和推論的成本。甚至，使用者還能即時監控模型任務的執行洞察，來減少等待時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BB%BB%E5%8B%99%E6%B2%BB%E7%90%86.JPG" /></p> <p>另一方面，為顧及使用者希望操作第三方AI應用程式、管理模型的需求，Sivasubramanian也揭露另一款更新，只要是AWS合作夥伴的AI Apps，都能在SageMaker中使用了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%89%E6%96%B9ai.JPG" /></p> <p><strong><span style="font-size:22px;">Bedrcok也有模型市集了，還有提示管理新功能</span></strong></p> <p>不只如此，AWS還針對Amazon Bedrcok平臺，也就是優化GAI應用程式建置和擴展的服務，正式推出Amazon Bedrock Marketplacae市集，提供100多個模型，來讓使用者測試、使用。</p> <p>再來，為了更有效管理提示所衍生的成本，AWS分別推出2項預覽版功能，首先是Bedrcok提示快取（Prompt caching）支援功能，可以針對跨API呼叫的重複性提示進行快取，來避免不斷重複的提示產生的Token成本。「這是降低延遲和節省成本的關鍵，你可以降低85%延遲、節省90%成本。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8F%90%E7%A4%BAcaching.JPG" /></p> <p>另一項功能是智慧提示分配（Bedrock Intelligent Prompt Routing），也就是能根據提示內容，自動分配給最適合的模型來處理、回答問題。Sivasubramanian說，有了這個功能，開發者不必再花大把時間測試哪個模型最適合回答哪些問題，可節省3成開發成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8F%90%E7%A4%BArouting.JPG" /></p> <p><span style="font-size:22px;"><strong>針對RAG痛點，推出更好的資料來源配對功能和Bedrock結構化資料檢索功能</strong></span></p> <p>RAG是透過搜尋外接資料庫知識，來避免大型語言模型（LLM）幻覺的重要手段。AWS先前就推出Bedrock Knowledge Bases知識庫來簡化RAG工作流程的管理，同時，為了讓使用者更容易在企業或組織中找到正確資料，AWS之前也推出Amazon Kendra服務，能透過機器學習支援來快速找到最相關的資料。</p> <p>這次，AWS推出了Kendra GAI Index預覽版，使用者能連結40多個資料來源、對其索引，來讓企業更有效率打造數位助理和智慧搜尋體驗。這個功能，還能與Bedrock Knowlege Bases和其他工具整合，來開發RAG支援的AI助理，或是與Amazon Q Business整合使用，打造全託管的數位助理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/kendra%E6%8C%87%E5%BC%95.JPG" /></p> <p>接著，AWS也針對RAG所需的資料類型，正式推出了Bedrock Knowledge Bases結構化資料檢索功能，Sivasubramanian還揭露其他資料處理新功能，像是Amazon Bedrock Data Automation預覽版，能自動從非結構化的多模態資料中抽取內容，來轉換、生成結構化資料；以及Bedrock Knowledge Bases支援GraphRAG的預覽版功能，使用者可以打造使用知識圖譜的GAI應用程式了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/data%E8%87%AA%E5%8B%95%E8%A9%B1.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B5%90%E6%A7%8B%E5%8C%96%E8%B3%87%E6%96%99.JPG" /></p> <p></p> </div></div></div>
2024/12/5 18:52作者王若樸https://www.ithome.com.tw/news/166377
【資安日報】12月5日，勒索軟體Brain Cipher聲稱攻擊Deloitte英國分公司並竊得大批資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體攻擊行動與風險達到10分漏洞占據了今天的資安日報版面，其中，又以德勤（Deloitte）英國分公司傳出遭遇勒索軟體攻擊的事故，最令人震撼。</p> <p>雖然駭客聲稱從該公司竊得1 TB的內部資料，但並未透露他們掌握了那些資料，加上德勤並未發表公開說明，這起事故的真實性有待進一步確認。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166356"><strong style="font-size: 22px;">Deloitte英國分公司驚傳遭勒索軟體Brain Cipher攻擊，駭客聲稱竊得1 TB資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BRIAN CIPHER DELOITE HACK.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BRIAN%20CIPHER%20DELOITE%20HACK.jpeg" style="width: 300px; float: right;" /></a></p> <p>根據Cyber Security News、Cyber Security Hub、Red Hot Cyber等資安新聞網站報導，12月4日惡名昭彰的勒索軟體駭客組織Brain Cipher聲稱，他們成功入侵四大會計師事務所之一的德勤（Deloitte）英國分公司，並竊得超過1 TB敏感資料。不過，德勤並未對此公開說明。</p> <p>這些駭客揚言，假若德勤不予理會，他們將在10天後提供部分資料下載，以及透露如何成功入侵的細節。</p> <p>他們也嘲笑大公司資安防護不足，認為該公司忽略資訊安全的基本要點（elementary points），而讓他們能夠得逞。</p> <p><a href="https://www.ithome.com.tw/news/166363"><strong style="font-size: 22px;">伺服器管理介面CyberPanel存在風險值10分漏洞，美國政府證實已被用於攻擊行動</strong></a></p> <p>10月底資安新聞網站Bleeping Computer報導，資安研究員DreyAnd在伺服器網頁主控臺系統CyberPanel發現弱點CVE-2024-51567、CVE-2024-51568，隨後威脅情資搜尋引擎LeakIX指出，勒索軟體Psaux鎖定這些漏洞展開攻擊，如今這樣的情況得到美國政府證實。</p> <p>12月4日美國網路安全暨基礎設施安全局（CISA）表示，他們將CVE-2024-51568列入已遭利用漏洞列表（KEV），要求聯邦機構限期在12月25日前完成修補。</p> <p>值得留意的是，這項漏洞CVSS風險評為10分（滿分10分），相當危險。此為不正確預設權限弱點，一旦攻擊者利用在statusfile屬性當中的Shell元文字（metacharacter），就有機會繞過身分驗證流程，或是執行任意命令。</p> <p><a href="https://www.ithome.com.tw/news/166367"><strong style="font-size: 22px;">日本警告IO-Data無線基地臺零時差漏洞已出現攻擊行動</strong></a></p> <p>12月4日日本電腦網路危機處理暨協調中心（JPCERT/CC）針對IO-Data無線基地臺用戶提出警告，UD-LT1、UD-LT1/EX兩款LTE無線基地臺存在3項漏洞CVE-2024-45841、CVE-2024-47133、CVE-2024-52564，他們已掌握漏洞利用攻擊的情況。</p> <p>這些漏洞最初在11月13日揭露，設備廠商IO-Data表示，它們涉及重要資源不正確的權限分配、作業系統命令注入，以及非文件功能包含（Inclusion of Undocumented Features，CWE-1242），CVSS風險介於6.5至7.5分。</p> <p>值值得留意的是，目前IO-Data僅修補CVE-2024-52564，先發布2.1.9版韌體解決這個問題，至於其餘兩個漏洞的處理，預計12月18日推出2.2.0版韌體修補。在新版韌體尚未推出之前，IO-Data呼籲用戶應依照公告網頁上的指示，採取緩解措施，限縮存取管理介面的管道、修改管理者及訪客帳號的密碼因應。</p> <p><a href="https://www.ithome.com.tw/news/166359"><strong style="font-size: 22px;">MOVEit漏洞攻擊事故出現新的受害者，駭客公布76萬筆員工資料</strong></a></p> <p>去年5月，勒索軟體駭客組織Clop利用檔案傳輸系統MOVEit Transfer零時差漏洞CVE-2023-34362發動大規模攻擊「MOVEit Hack」，根據研究機構KonBriefing彙整的資料，截至去年底有超過2,611個企業組織受害，約有8,510萬至8,990萬人個資流出，駭客的攻擊範圍橫跨32個國家。事隔一年半，仍有相關外洩資料流出。</p> <p>根據資安新聞網站SecurityWeek的報導，12月2日ID為Nam3l3ss的人士於駭客論壇BreachForums公布一批新的資料，而此人過往曾聲稱握有MOVEit Hack相關資料，因此，這批資料有可能來自該起資安事故。</p> <p>SecurityWeek的報導當中，也提到這批資料橫跨多家知名大型企業，像是美國銀行、橋水基金（Bridgewater）、仲量聯行（JLL）、科氏工業（Koch）、摩根史坦利（Morgan Stanley）、Nokia、全錄（Xerox）。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/white-house-salt-typhoon-hacked-telcos-in-dozens-of-countries/">美國針對中國駭客Salt Typhoon攻擊電信業者行動透露新的發現，指出範圍涵蓋數十個國家</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2024/12/03/us_energy_contractor_englobal_ransomware/">美國能源業者ENGlobal坦承遭遇勒索軟體攻擊，IT系統部分資料遭到加密</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/fuji-electric-indonesia-suffers-ransomware-attack-business-partner-data-potentially-leaked/">富士電氣印尼子公司傳出遭遇勒索軟體攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166360"><strong style="font-size: 22px;">SailPoint IdentityIQ存在風險10分重大漏洞，恐洩漏敏感配置檔案、用戶資料</strong></a></p> <p>12月3日科技新聞網站The Register報導指出，資安業者SailPoint旗下的身分驗證管理（IAM）系統IdentityIQ當中，存在CVSS資安風險達到10分（滿分10分）的資料夾穿越漏洞CVE-2024-10905，並指出他們雖然看到美國國家漏洞資料庫（NVD）週一公布這項漏洞，卻沒有看到SailPoint發布相關公告，僅能得知該漏洞的類型為不當處理識別虛擬資源的檔案名稱（CWE-66）。對此，我們透過公關公司向SailPoint詢問此事。</p> <p>SailPoint資安長Rex Booth表示，他們已在12月2日發布資安公告，並將這項漏洞登記為CVE-2024-10905列管，並發布修補程式8.4p2、8.3p5、8.2p8版予以修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/mobsf-xss-vulnerability/">滲透測試框架MobSF存在跨網站指令碼漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-52338-critical-security-flaw-in-apache-arrow-r-package-allows-arbitrary-code-execution/">軟體框架Apache Arrow的R套件存在重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166346"><strong>【12月4日】伊朗駭客APT35鎖定航太及半導體產業發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166328"><strong>【12月3日】惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166298"><strong>【12月2日】網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號</strong></a></p> </div></div></div>
2024/12/5 17:04作者周峻佑https://www.ithome.com.tw/news/166370
日本警告IO-Data無線基地臺零時差漏洞已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月4日日本電腦網路危機處理暨協調中心（JPCERT/CC）針<a href="https://jvn.jp/en/jp/JVN46615026/index.html">對IO-Data無線基地臺用戶提出警告</a>，UD-LT1、UD-LT1/EX兩款LTE無線基地臺存在3項漏洞CVE-2024-45841、CVE-2024-47133、CVE-2024-52564，他們已掌握漏洞利用攻擊的情況。</p> <p>這些漏洞最初在<a href="https://www.iodata.jp/support/information/2024/11_ud-lt1/index.htm">11月13日揭露</a>，設備廠商IO-Data表示，它們涉及重要資源不正確的權限分配、作業系統命令注入，以及非文件功能包含（Inclusion of Undocumented Features，CWE-1242），CVSS風險介於6.5至7.5分。</p> <p>一旦攻擊者利用這些漏洞，就有機會利用訪客帳號存取含有帳密資料的檔案，或是利用已登入的管理者帳號執行任意作業系統命令，甚至能遠端停用防火牆的功能，並進一步執行任意作業系統命令，或是竄改裝置組態設定。</p> <p>值值得留意的是，目前IO-Data僅修補CVE-2024-52564，先發布2.1.9版韌體解決這個問題，至於其餘兩個漏洞的處理，預計12月18日推出2.2.0版韌體修補。在新版韌體尚未推出之前，IO-Data呼籲用戶應依照公告網頁上的指示，採取緩解措施，限縮存取管理介面的管道、修改管理者及訪客帳號的密碼因應。</p> </div></div></div>
2024/12/5 16:16作者周峻佑https://www.ithome.com.tw/news/166367
Deloitte英國分公司驚傳遭勒索軟體Brain Cipher攻擊，駭客聲稱竊得1 TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://cybersecuritynews.com/deloitte-hacked/">Cyber Security News</a>、<a href="https://www.linkedin.com/pulse/deloitte-allegedly-hacked-notorious-ransomware-smade/">Cyber Security Hub</a>、<a href="https://www.redhotcyber.com/en/post/brain-chiper-claims-computer-attack-on-deloitte-1-tera-byte-of-data/">Red Hot Cyber</a>等資安新聞網站報導，12月4日惡名昭彰的勒索軟體駭客組織Brain Cipher聲稱，他們成功入侵四大會計師事務所之一的德勤（Deloitte）英國分公司，並竊得超過1 TB敏感資料。不過，德勤並未對此公開說明。</p> <p>這些駭客揚言，假若德勤不予理會，他們將在10天後提供部分資料下載，以及透露如何成功入侵的細節。</p> <p>他們也嘲笑大公司資安防護不足，認為該公司忽略資訊安全的基本要點（elementary points），而讓他們能夠得逞。</p> <p>勒索軟體Brain Cipher從今年6月開始活動，這些駭客使用LockBit 3.0製作工具打造勒索軟體，並使用多重勒索手法向受害組織施壓，脅迫他們支付贖金。該組織攻擊範圍涵蓋醫療、教育、製造業等多種產業，其中一起最受到矚目的攻擊事故，是針對印尼國家資料中心的攻擊，導致該國公共服務運作遭到嚴重破壞。</p> </div></div></div>
2024/12/5 13:21作者周峻佑https://www.ithome.com.tw/news/166356
MOVEit漏洞攻擊事故出現新的受害者，駭客公布數家公司的76萬筆員工資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月，勒索軟體駭客組織Clop利用檔案傳輸系統MOVEit Transfer零時差漏洞CVE-2023-34362發動大規模攻擊「MOVEit Hack」，根據研究機構KonBriefing彙整的資料，<a href="https://konbriefing.com/en-topics/cyber-attacks-moveit-victim-list.html">截至去年底有超過2,611個企業組織受害</a>，約有8,510萬至8,990萬人個資流出，駭客的攻擊範圍橫跨32個國家。事隔一年半，仍有相關外洩資料流出。</p> <p>根據資安新聞網站SecurityWeek的報導，<a href="https://www.securityweek.com/760000-employee-records-from-several-major-firms-leaked-online/">12月2日ID為Nam3l3ss的人士於駭客論壇BreachForums公布一批新的資料</a>，而此人過往曾聲稱握有MOVEit Hack相關資料，因此這批資料也很可能來自這起資安事故。</p> <p>該新聞網站看到這批資料屬於美國銀行、橋水基金（Bridgewater）、仲量聯行（JLL）、科氏工業（Koch）、摩根史坦利（Morgan Stanley）、Nokia、全錄（Xerox）。</p> <p>他們尋求隱私保護業者Atlas Privacy協助，該公司表示，他們研判資料來自發動MOVEit Hack的Clop，Nam3l3ss很有可能從數TB資料進行挖掘，然後重新打包尋求更為廣泛的銷售。</p> <p>研究人員進一步分析，美國銀行員工資料有288,297筆、科氏工業員工237,487筆、Nokia有94,253筆、仲量聯行62,349筆、全錄42,735筆、摩根史坦利32,861筆，以及橋水基金2,141筆，總數為760,123筆。</p> <p>值得留意的是，這批並非近期Nam3l3ss公布的遭竊資料，3個星期前，<a href="https://www.ithome.com.tw/news/165980">此人也聲稱握有雲端服務業者Amazon共280萬筆資料</a>，該公司表示，是其中一家合作的物產管理業者遭駭所致。</p> </div></div></div>
2024/12/5 14:33作者周峻佑https://www.ithome.com.tw/news/166359
SailPoint IdentityIQ存在風險10分重大漏洞，恐洩漏敏感配置檔案、用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週一（12月2日）資安業者SailPoint針對旗下身分驗證管理（IAM）系統IdentityIQ發布資安公告，指出<a href="https://www.sailpoint.com/security-advisories/identityiq-improper-access-control-vulnerability-cve-2024-10905">此系統存在不當存取控制弱點CVE-2024-10905</a>，CVSS風險評分達到10分（滿分10分）相當危險，該公司發布8.4p2、8.3p5、8.2p8版修補程式修補。</p> <p>這項漏洞起因是IdentityIQ的存取控制不當，攻擊者有機會在未經授權的情況下，透過HTTP連線存取應用程式資料夾當中，原本應該受到保護的靜態內容。<a href="https://securityonline.info/cve-2024-10905-cvss-10-critical-vulnerability-in-sailpoint-identityiq-exposes-sensitive-data/">資安新聞網站Cybersecurity News指出</a>，這些靜態內容包含敏感的配置檔案、應用程式的程式碼，甚至還有使用者的資料。</p> <p>附帶一提的是，SailPoint提及這項漏洞也可能影響已終止支援的舊版，呼籲IT人員應儘速套用相關更新因應。</p> </div></div></div>
2024/12/5 15:08作者周峻佑https://www.ithome.com.tw/news/166360
伺服器管理介面CyberPanel存在風險值10分漏洞，美國政府證實已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月底<a href="https://www.ithome.com.tw/news/165767">資安新聞網站Bleeping Computer報導</a>，資安研究員DreyAnd在伺服器網頁主控臺系統CyberPanel發現弱點CVE-2024-51567、CVE-2024-51568，隨後威脅情資搜尋引擎LeakIX指出，勒索軟體Psaux鎖定這些漏洞展開攻擊，如今這樣的情況得到美國政府證實。</p> <p>12月4日美國網路安全暨基礎設施安全局（CISA）表示，<a href="https://www.cisa.gov/news-events/alerts/2024/12/04/cisa-adds-one-known-exploited-vulnerability-catalog">他們將CVE-2024-51568列入已遭利用漏洞列表（KEV）</a>，要求聯邦機構限期在12月25日前完成修補。</p> <p>值得留意的是，這項漏洞CVSS風險評為10分（滿分10分），相當危險。此為不正確預設權限弱點，一旦攻擊者利用在statusfile屬性當中的Shell元文字（metacharacter），就有機會繞過身分驗證流程，或是執行任意命令。</p> </div></div></div>
2024/12/5 15:44作者周峻佑https://www.ithome.com.tw/news/166363
備戰OpenAI影片生成模型Sora，Google新推影像生成模型Veo、Imagen 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應OpenAI影片生成模型Sora，Google搶先在昨（4）日<a href="https://cloud.google.com/blog/products/ai-machine-learning/introducing-veo-and-imagen-3-on-vertex-ai" target="_blank">測試</a>影片生成模型Veo，以及圖片生成模型Imagen 3在Google Cloud全球上線。</p> <p>Veo目前在Google Cloud Vertex AI平臺提供限量測試，而Imagen 3則是繼<a href="https://www.ithome.com.tw/news/164516" target="_blank">8月</a>在美國向企業和一般用戶開放後，下周在Vertex AI正式上線。</p> <p>Veo首於今年Google I/O上亮相，是由Google DeepMind研發，能接受圖片和文字輸入生成短影片。Veo可用來生成1080p且超過1分鐘的高解析度影片，並支援不同電影與視覺風格。在輸入圖片方面，它能接受真實圖片，或是AI生成的圖片為提示。而在文字上，Veo可準確理解用戶輸入文字的細微差別及語氣，還能理解各種電影效果的提示，例如延遲攝影或空拍。Google強調AI可解決影片產製過程中繁瑣或重覆性事務，是人類的夥伴。</p> <p>其次是圖片生成模型Imagen 3全球在Vertex AI上線。Imagen 3是Google最高品質的文字轉圖片生成模型，輸入長串文字它都能理解，並產出有如相片、栩栩如生的圖片，且圖片中的視覺噪點等元素也遠少於之前模型。下周起，所有Google Cloud訂閱用戶即可在Vertex AI上存取Imagen 3模型。</p> <p>Google也開放Imagen 3圖片編輯和客製化，但用戶需加入<a href="https://docs.google.com/forms/d/e/1FAIpQLScN9KOtbuwnEh6pV7xjxib5up5kG_uPqnBtJ8GcubZ6M3i5Cw/viewform" target="_blank">申請清單</a>等候開放。圖片編輯功能包括產品背景、圖片品質提升。客製化功能則允許圖片生成時加入想要的特徵，例如公司品牌、風格、Logo、主題或產品特色。圖片客製化有助於加速企業廣告和行銷素材的生成。</p> <p>為免於AI圖片引發的版權或Deepfake倫理問題，Google也為Veo和Imagen 3加入安全技術，包括DeepMind研發的SynthID浮水印、安全過濾器、Google保證不使用用戶資料來訓練模型，以及版權保護，為使用Veo和Imagen 3生成影片和圖片的客戶提供版權保護，不用擔心未來被告。</p> <p>目前Agoda已用Google模型包括Veo、Gemini和Imagen加速影片式廣告生成。其他透過Vertex AI使用Veo和Imagen的知名企業，包括生產Milka巧克力、Oreo的食品業巨人Mondelez International。</p> </div></div></div>
2024/12/5 14:14作者林妍溱https://www.ithome.com.tw/news/166357
Firstory不怕每月PB級流量，四年練成團隊FinOps思維
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣Podcast市場從2020年開始蓬勃，節目收聽量大幅增加，成立才1年的Podcast託管服務新創Firstory搭上熱潮，獲得不少資金挹注，初期重要合作對象《唐陽雞酒屋》節目，更衝上蘋果全臺播客節目排行榜第一，帶來了不少曝光度。</p> <p>隨著Podcast爆紅，聽眾變多，也為Firstory帶來意外之外的甜蜜負擔。「原本每月幾千元，一下漲到幾萬塊。」2020年10月底，第一次收到暴增數倍的雲端費用帳單，Firstory共同創辦人暨技術長翁子皓至今還印象深刻。隔年，臺灣Podcast浪潮持續發威，Firstory經手的節目在該年底11月左右的下載數，比年初多了三、四倍。聽眾高峰時，一周，就讓他們的荷包失血將近32萬元。</p> <p>至今，Firstory一個月要處理的Podcast音檔串流流量，甚至高達PB級的資料巨量，雲端費用也是Firstory營運最大宗的成本，占了6、7成。扣除人事與辦公室租金等開銷，其餘營運花費，幾乎9成用於雲端。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>收聽量大幅成長，雲端成本跟著隨之爆漲</strong></span></span></p> <p>「一開始，先衝高用戶數和使用量，不以營利為目標。」翁子皓回憶，草創時期，以擴大用戶規模為主，再尋找可營利的商業模式。用戶少時，費用問題不明顯，但在搭上播客熱潮後，收聽量大幅成長，雲端流量成本也在短時間內暴增。</p> <p>翁子皓回憶，當時尚未建立防護或監控機制，等到月底收到帳單時，才驚覺成本飆升。更糟的是，還遇到雲端供應商漲價，更讓不算寬裕的營運費用雪上加霜。</p> <p>雲端成本過高不僅影響營運，甚至拖慢了產品開發迭代速度。翁子皓坦言，草創時期團隊人數較少，整個月忙於處理費用問題，就會延宕了當月的新功能開發進度，迭代時間從1到2周，甚至拉長到1個月以上。</p> <p>為了尋找成本問題解決方案，Firstory向音樂串流平臺請教，將串流服務搬遷到費用更符合自己需求的雲端供應商，也開始用「提前承諾用量」作法，來獲得更多折扣。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>走過一段試錯，才建立輔助成本控管的監控機制</strong></span></span></p> <p>更關鍵的是，Firstory開始設立成本預估和監控機制，靠著每月、每季檢視帳單，嘗試分析功能和雲端服務使用量的關聯，慢慢摸索出一套預估雲端成本的方式。</p> <p>「像是剖析前後兩個月中，特定雲端服務費用的變化，來對照自身產品使用量的成長。」翁子皓舉例。</p> <p>一開始，Firstory團隊只靠IT維運常用的基本監控指標，例如CPU用量和機器使用量，「這些指標和使用者缺乏直接相關，無法看出功能和雲端服務用量的關聯性。」翁子皓表示，光是蒐集這些雲端服務使用數據還不夠，為了提升預估成本的能力，團隊接著開始蒐集產品功能和使用者行為之間的相關數據，再來分析雲端服務用量和使用者數據的關聯性。</p> <p>例如，當創作上傳音檔次數增加時，託管平臺需要啟用更多虛擬機器，而收聽量上升時，流量費用也會隨之增加。音檔上傳行為和收聽行為，是明顯會影響雲端成本的情況。</p> <p>翁子皓表示，為了找出更多影響成本的情況，團隊會討論不同情況的假設命題，來進行觀察，分析特定功能使用量是否與雲端用量存在關聯。「這是一個試錯過程。」翁子皓提到，觀察每個月的數據，若某項假設的關聯性不大，便會轉而分析其他數據。</p> <p>透過這樣反覆假設、觀察和驗證個過程，慢慢提升成本預估能力。</p> <p>從眾多數據中尋找關聯性，猶如大海撈針。翁子皓不諱言地說，分析過程中難免會出現錯誤假設。</p> <p>例如，他們曾經有一項假設是，若創作者集中在特定時段上傳節目，託管平臺需要加開機器來支應，可能導致成本上升。</p> <p>實際觀察一個月後，Firstory團隊發現，創作者不會集中在特定時段上傳，甚至，隨著創作者數量逐漸增加，上傳音檔的時機，反而更加平均分布在不同的時段。這也證明了這項假設的錯誤，可以排除在後續的觀察名單中。</p> <p>除了逐月觀察使用量與公雲服務用量的關聯性，Firstory團隊也設計了一項通訊軟體的預警通知機制。</p> <p>若有一項公雲服務的用量突然增加，預警機制會立即透過通訊軟體發送通知，提醒團隊檢查自身產品功能的使用情況。</p> <p>並且，Firstory團隊會格外注意新服務上線前後，像是發現租用的虛擬機器用量暴增時，先確認使用人數的變化，若聽眾沒有大增，就可能是新上線的功能出現故障所致。</p> <p>但若有多項自家產品功能，同時都用了單一公雲服務，如何判斷出具體影響這項服務用量的因素？翁子皓解釋，團隊會檢視多個平臺功能每日用量變化，逐一對照所用公雲服務的每日用量，如此一來，團隊就可以逐步找出影響費用的主要因素。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>將創作者分群，依據節目音檔使用率分級儲存來省錢</strong></span></span></p> <p>蒐集足夠的數據後，Firstory開始採取分級儲存的策略，依據節目音檔的使用情況，使用不同價格和功能的雲端儲存服務。</p> <p>主要策略是按照上傳時間來劃分，例如，一年前上傳的節目，可能會放置到讀取速度較慢、但成本較低的雲端儲存空間。</p> <p>另外一項策略是以收聽量為準來對創作者分群，收聽量較低者的節目檔案，實測讀取速度在可接受範圍內，也會改放到較便宜的冷儲存空間。</p> <p>不過，團隊會同步關注客服回饋，確認沒有收到讀取速度過慢的抱怨訊息。</p> <p>由於Firstory的託管平臺採用K8S架構，可以透過設定CPU指標，自動開啟或關閉機器。因此，團隊也善用這項機制，達到最佳資源利用率和成本效益。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新功能開發階段就納入雲端財務管理思維</strong></span></span></p> <p>走過Podcast市場爆發的2019年至2021年，Firstory的創作者用戶數和大眾收聽數，皆達到一定規模，經營團隊開始尋找可營利的商業模式。</p> <p>2022年，Firstory開始協助創作者進行內容變現，迎來關鍵的商模轉捩點：導入動態廣告插播，和提供訂閱會員制服務方案。</p> <p>新的商模不只帶來了新的技術挑戰，同時，也增加了另一筆可觀的雲端服務成本。</p> <p>行動裝置平臺對於這類串流音檔，原本就會提供本地端的暫存機制。聽眾在收聽節目時，會下載一份音檔暫存到聽眾所用的裝置上，若平臺線上的節目音檔版本沒有更新，當聽眾在一定時間對同一個節目多次按下播放鍵，會直接播放裝置上的本地音檔版本，來避免增加串流的流量費用。</p> <p>但是為了推出動態廣告插播服務，Firstory託管平臺不只需要額外加開虛擬機器，即時處理不同媒體格式的廣告素材，並將這些廣告素材即時嵌入至原本的節目音檔中。</p> <p>每一次只要有新的廣告素材，就會產生一份新的節目音檔，在聽眾裝置端就得重新下載帶有新廣告的一整份節目音檔，因此，「新商模讓收聽流量費用跟著變高了。」翁子皓說。</p> <p>不過，有了2年的成本管理經驗，Firstory團隊在開發動態廣告插播服務時，就將雲端財務管理納入考量，在開發階段，團隊就考慮到音檔合成服務對流量費用的影響，一併增加了更多觀察指標的設計。每次廣告自動配對系統改版後，Firstory團隊也會追蹤更新帶來的費用變化，作為後續優化雲端費用控管的參考。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入FinOps思維，高峰用量甚至可以節費破5成</strong></span></span></p> <p>從2020年，團隊收到了爆漲雲端帳單那一刻起，Firstory就開始將雲端財務管理思維納入營運，至今，也已經走了4個年頭。</p> <p>起初，FinOps這項概念尚未在臺灣引起討論，並沒有太多前例可參考，所以，Firstory團隊除了向音樂串流平臺和雲端供應商諮詢，大多靠著摸索自身的產業型態，慢慢建立一套自己的財務管理模式。</p> <p>幾年下來，Firstory也累積了一系列的節費措施，根據翁子皓估計，以最高峰的用量來看，採用節費措施後，公雲費用減少了5至6成。</p> <p>「雲端節費是持續性的課題，不是做完一次，就能一勞永逸。」翁子皓表示，每一次最佳化，都只能降低部分成本，甚至，有些問題會等到用量變大才會浮現。因此，隨著用戶量成長，團隊依舊得不斷尋找更好的最佳化方法，嘗試降低成本。</p> <p>「看過很多案例，是帳單在一夜間爆漲」，翁子皓認為，建立完善監控機制是最關鍵的一步。這類監控措施看似平凡，無法直接降低公雲成本，卻能在例外情況出現時，為Firstory產品團隊提供一顆定心丸，在關鍵時刻，間接找到節流的關鍵。</p> <p><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 為何Podcast託管服務的雲端成本這麼高？</span></strong></span></span></p> <p><span style="color:#696969;"><strong>對為Firstory提供的Podcast託管服務來說，首先，創作者上傳的每一集音檔資訊，都得儲存在雲端環境中，因此，光是儲存費用，就是一筆大開銷。另外，每當創作者上傳音檔至託管平臺，系統得進行轉檔，將檔案轉換成適合廣告合成和串流平臺讀取的格式。意味著，創作者每一次上傳節目，Firstory就得負擔一筆處理費用。若有眾多創作者同時上傳音檔，團隊還得多開機器支應瞬發流量。</strong></span></p> <p><span style="color:#696969;"><strong>當聽眾按下了播放鍵，播放平臺會從雲端下載音檔至裝置，每一次過程，都會計為一次流量費用。以Firstory經手的熱門節目為例，每檔節目日均下載次數高達數千甚至數萬次，若加總所有節目的流量，每月累計的收聽次數更突破2億次。甚至，Firstory光是每月處理的podcast音檔串流流量，就達到PB等級。如此龐大的流量也需要付出一筆相當可觀的費用。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>翁子皓</strong></p> <p><strong>Firstory共同創辦人暨技術長</strong></p> <p>學歷：清華大學資訊工程系</p> <p>經歷：大學時曾和系上同學前往美國參加超級計算機競賽奪冠，畢業後和同為清大畢業的于子軒、劉德政共同創業，起初經營聲音社群平臺，後來團隊改為瞄準Podcast託管服務。從公司創立開始，一路擔任技術長至今。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1211_Firstory_300_PNG.png" style="width: 350px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>吉爾科技（Firstory）</strong></p> <p>●地址：臺北市松山區民生東路四段133號6樓</p> <p>●成立時間：2019年</p> <p>●主要業務：Podcast託管服務、數據分析服務，DAI動態廣告</p> <p>●業務規模：每月收聽數超過2億次、節目總數超過1.4萬</p> <p>●員工數：10人</p> <p>●共同創辦人：于子軒、翁子皓、劉德政</p> <p>●執行長：于子軒</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●2019年8月：Firstory 成立公司，推出第一版面對Podcast創作者的工具，開始提供Podcast託管服務</p> <p>●2020年10月：完成種子輪投資，獲得包含臺灣最大音樂串流平臺KKBOX資金挹注</p> <p>●2020年11月：收聽量大增，團隊漸漸將串流服務轉移至其它雲端供應商、開始嘗試建立輔助成本控管的監控機制</p> <p>●2020年12月：提供單集多平臺連結</p> <p>●2021年7月：推出訂閱制贊助功能</p> <p>●2021年9月：宣布進軍全球市場、推出平臺付費加值訂閱方案，提供創作者更多加值服務</p> <p>●2022年5月：推出動態廣告插入工具、動態插播廣告系統上線</p> <p>●2022年8月：與 Spotify 合作，開始提供創作者能製作專屬會員的單集節目</p> <p>●2023年3月：推出新的流量計費方案，提供大量下載數需求的企業用戶或大型創作者額外專業功能</p> <p>●2024年6月：串接 Firstory 與 Apple Podcast Subscription，提供創作者上傳訂閱制單集節目至蘋果Podcast</p> <p>●2024年10月：與 Spotify的API完成獨家串接，創作者能更快取得Spotify 播客的收聽數據</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1211_firstory_960.jpg" width="960" height="420" alt="" title="Firstory共同創辦人暨技術長翁子皓" /></div></div></div>
2024/12/5 11:45作者李昀璇https://www.ithome.com.tw/people/166355
Kotlin 2.1.0添加Guard Conditions語言功能，並強化跨平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains發布<a href="https://blog.jetbrains.com/kotlin/2024/11/kotlin-2-1-0-released/">Kotlin 2.1.0</a>版本帶來多項重大升級，包括語言功能的進一步強化、新增功能預覽、編譯器最佳化及跨平臺開發等改進。這次更新不僅提升開發體驗，也替Kotlin多元應用場景提供更多的支援，再次擴展Kotlin作為現代開發工具的地位。</p> <p>在語言功能方面，Kotlin 2.1.0加入了守護條件（Guard Conditions）預覽功能，目的在於強化when表示式的靈活性和可讀性。該功能讓開發者在分支條件中，添加額外的布林值判斷，並以if關鍵字作為輔助，使程式碼結構更為簡潔。這項改動對於複雜控制流程來說，可以有效提升程式碼的清晰度和可維護性，大幅簡化傳統冗長的巢狀邏輯。</p> <p>K2編譯器在這個版本也有多方面升級，特別是加入更多編譯器檢查，以及全域警告抑制功能，開發者有更多手段改善程式碼品質。開發者可以啟用額外檢查項目，像是檢測多餘可空型別、未使用的變數或是多餘的模版字串等，雖然這些檢查並非必要，卻可以協助最佳化程式碼結構。此外，全域警告抑制功能，避免不必要的警告干擾，使警告不顯示提升專案管理的靈活性。</p> <p>跨平臺應用的改進是Kotlin 2.1.0的另一大亮點，在多平臺支援方面，Kotlin引入穩定版Gradle DSL，如此便簡化了跨平臺專案的編譯器選項配置，另外，Kotlin/Wasm首次加入增量編譯支援，大幅減少重新編譯的時間成本，特別是對大型專案來說，能夠進一步改善開發效率。</p> <p>Kotlin/Native則新增對Swift匯出的基礎支援，對於希望能深度整合iOS平臺的開發者來說是一項福音，藉由強化多平臺函式庫的發布流程與工具鏈，JetBrains擴展並推進Kotlin跨平臺版圖。Kotlin 2.1.0也提升Java生態系的整合，提升JSpecify標註的相容性，並強化了空值安全檢查，提升跨語言開發的穩定性與安全性。</p> </div></div></div>
2024/12/5 08:39作者李建興https://www.ithome.com.tw/news/166351
Amazon公布Amazon Q Developer新代理人功能、.NET、主機程式、VMware程式轉換功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Invent大會上公布開發工具Amazon Q Developer最新版本，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-q-developer-agent-capabilities-include-generating-documentation-code-reviews-and-unit-tests/" target="_blank">增加代理人能力</a>及轉換舊程式的功能。</p> <p>Amazon Q Developer首先是今年<a href="https://www.ithome.com.tw/news/162610" target="_blank">4月</a>正式推出，陸續加入AWS CLI、SageMaker Studio、CloudShell及內嵌聊天（<a href="https://www.ithome.com.tw/news/165816" target="_blank">inline chat</a>）等能力。Q Developer的代理人可即時提供程式碼建議、輸入提示生成程式碼（/dev）、轉換（/transform）舊Java程式等開發協助。AWS今天宣布為Q Developer代理人新增3項代理人（agent）功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Amazon%20Q%20Developer-agent.png" style="width: 528px;" /></p> <p>3項代理人功能分別是文件（/doc）、品質審查（/review）和測試（/review）。首先，開發人員可以Q Developer在屬意的IDE中生成文件，像是readme檔或資料流程圖。其次，他們可用Q Developer偵測及修正IDE或GitLab儲存庫中程式品質的問題，包括程式碼異味（code smells）、反模式（anti-patterns）、違反命名規則、臭蟲、邏輯錯誤、程式碼重覆、不良文件檔或安全漏洞。在檢視建議後開發人員可選擇接受或拒絕。</p> <p>最後，Q Developer還能自動生成單元測試，修正測試涵蓋範圍。它會生成簡單用例，例如邊界條件、空值、差1（off-by-1）情況以及檢查多個輸入類型。Amazon Q Developer生成的單元測試會加入相關的測試檔進行除錯。開發人員可以先預覽差別，再決定是接受或拒絕產出的單元測試。Amazon Q Developer 3種開發代理人功能，現在已於所有有Q Developer的AWS區域上線。</p> <p>Q Developer還新增<a href="https://aws.amazon.com/tw/blogs/aws/announcing-amazon-q-developer-transformation-capabilities-for-net-mainframe-and-vmware-workloads-preview/" target="_blank">轉換（transform）</a>舊應用程式的功能。最新支援的舊應用程式類型包括.NET、大型主機和VMware VM程式．方便企業將本地部署的.NET應用和VMware負載搬移到AWS雲端，或將大型主機程式現代化（modernization）。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1205-Amazon%20Q%20Developer-_NET%20modernization.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Amazon%20Q%20Developer-_NET%20modernization-600.png" style="width: 600px;" /></a></p> <p>它會自動化帶領用戶走完程式碼現代化的每個步驟，包括資產發現、codebase分析、波浪（wave）分析、程式重構、解決不相容及實作網路自動化。例如用戶要求Q Developer建立大型主機程式現代化過程，Q Developer在規劃時，建立了4個階段，包括啟動現代化、分析程式碼、拆解程式、規劃搬移波浪（migration wave）、反覆式規劃及重構（refactoring）。它還會主動要求開發人員從提示提供特殊資訊，像是輸入.NET版本，以及選擇想轉換的程式庫。Q Developer還提供儀表板，以便追蹤整體轉換的過程，包括網路部署和特定臺伺服器狀態。</p> <p>Q Developer 3個轉換功能現在已經以預覽版在AWS上線，但欲試用的用戶必須具備Amazon Q Developer Pro訂閱。<span style="color:#696969;"><span style="font-size:14px;">圖片來源／AWS</span></span></p> </div></div></div>
2024/12/5 09:02作者林妍溱https://www.ithome.com.tw/news/166353
【re:Invent 2024現場直擊】SageMaker轉型成資料與AI通用大平臺，Amazon Q助手則開始能輔助…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露Amazon Bedrock、Amazon SageMaker和生成式AI助手Amazon Q重大更新，Bedrock不只能開發和管理多代理的協作，還將SageMaker重新定位為，集結資料、分析和AI的通用平臺。</p> <p>另外，Amazon Q也有更多自動化和整合新功能，比如Amazon Q Developer開發助手多了3款AI自動化代理功能、整合GitLab等第三方平臺，更重要的是，Q Developer能協助.NET、VMware和大型主機（Mainframe）轉換等IT現代化工作了。</p> <p><span style="font-size:22px;"><strong>Bedrock可以開發多代理協作的應用</strong></span></p> <p>Matt Garman在今日主題演講中點出，AI推論，是AWS發展策略的4大重要基石之一。「生成式AI（GAI）將是所有應用程式的核心元件，」他直言。這是AWS推出Amazon Bedrock的原因，不僅支援自家和第三方模型，還兼具安全、易上手等優點，目前有數十萬家組織使用。</p> <p>在這個基礎上，Matt Garman宣布Amazon Bedrock新添模型蒸餾功能預覽版，能將大模型的知識快速轉移到小模型上，能以更實惠的成本加速模型開發。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%A1%E5%9E%8B%E8%92%B8%E9%A4%BE.JPG" /></p> <p>操作也很簡單，使用者只要將應用程式裡的提示範例，輸入給Bedrock，就能快速打造出客製化的蒸餾模型。</p> <p>再來，為避免AI產生幻覺，Amazon Bedrock還新添了自動推理（Automated Reasoning）檢查功能預覽版，來檢視模型產出的答案是否符合邏輯。（如下圖）Matt Garman還透露，AWS自己有許多服務，就用自動推理功能來檢查，像是S3、程式碼檢查工具Amazon Codeguru等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/automated%20reasoning.JPG" /></p> <p>不只如此，面對越來越多的生成式AI代理管理和調度問題，Amazon Bedrock也新添了多代理協作功能預覽版，來簡化AI代理調度任務、不必再寫複雜的程式嗎，還能平行化分配代理工作，加速任務的執行。</p> <p><span style="font-size:22px;"><strong>新一代Amazon SageMaker是一套集結資料、分析和AI的通用平臺</strong></span></p> <p>同樣是AI平臺，Amazon SageMaker專門提供模型訓練、微調、部署和機器學習維運等功能，而今年AWS賦予SageMaker新定位，成為集結資料、分析和AI的通用平臺。</p> <p>在這個大放下，SageMaker有幾個新特色，其一是Unified Studio預覽版，整合SQL分析（Amazon Redshift）、資料處理（Amazon EMR、AWS。Glue和Amazon Athena）、機器學習（Amazon SageMakerAI）、生成式AI管理（Amazon Bedrock）、串流（Amazon MSK、Amazon Kinesis）和商業智慧（Amazon QuickSight）等多種服務，使用者在單一平臺就能存取，打造所需AI分析應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/studio.JPG" /></p> <p>另一個新亮點是SageMaker Lakehouse資料湖倉，是一套存取資料的統一平臺，使用者可用來存取跨Amazon S3、Amazon Redshift、SaaS服務等平臺的資料，還與Iceberg開源資料表格式相容。</p> <p>這套資料湖倉還提供細緻的資料存取權限控管，方便落實資料治理。</p> <p>與治理相關，這次還推出一套治理工具SageMaker Catalog，管理者可用來設定細緻的資料、模型和存取權限。</p> <p>新一代SageMaker還有一個與SaaS應用程式整合的零ETL新亮點，使用者可在SageMaker Lakehouse或Redshift中，存取Zendesk、SAP等SaaS應用程式的資料，來進行分析和AI應用。如此一來，使用者不必再自己建立、管理資料管線了。</p> <p><span style="font-size:22px;"><strong>Amazon Q Developer程式碼助手能協助IT現代化了</strong></span></p> <p>去年年會，AWS揭露了生成式AI助手Amazon Q，可分為Developer和Business兩個版本。Q Developer專門用來處理程式碼相關工作，Business則接收自然語言指令，來處理組織業務。</p> <p>在今年年會中，Matt Garman揭露了Q Developer的幾個新進展，包括正式新添3款AI代理，分別能自動產生和套用單元測試、產出準確的程式碼文件，以及自動進行Code review。（如下圖）其中，產出程式碼文件的功能，針對新、舊程式碼都有用，可找出不足之處和漏洞。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3%E5%80%8B%E4%BB%A3%E7%90%86.JPG" /></p> <p>不只如此，為加強可用性，除了原本既有的Slack等第三方合作平臺，Q Developer現在也能在GitLab上使用了，接下來還會整合至更多第三方平臺。</p> <p>今年的Q Developer新亮點，還包括協助IT現代化，特別是針對.NET、VMware和大型主機的現代化工作。Matt Garman表示，之前，Amazon自己就用Q Developer來升級內部Java程式為Java 17，不只省下大把時間，也因為使用了現代化Java程式，進而省下年度2.6億美元的IT成本。於是他們思考，Q Developer是否也能用於其他IT現代化任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/java%E7%AF%80%E7%9C%81.JPG" /></p> <p>後來，他們與企業客戶詳談，鎖定出3個現代化領域，並打造出Q Developer協助IT現代化的新功能。首先是將Windows.NET轉換為Linux，轉換時間得到4倍加速，還能省下40%的許可費用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NET.JPG" /></p> <p>再來是將VMware工作流程轉換到雲原生架構，將地端網路配置轉換為AWS同等配置，幾個小時就能完成，而非純人工的幾個禮拜。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware.JPG" /></p> <p>第三個是加速大型主機現代化，Q Developer能加速原本人工吃重的大型主機現代化工作，如程式碼分析、文件建檔、重新建構應用程式等，甚至還能根據使用者系統狀況，來給出IT現代化策的略規畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mainframe%20cover.JPG" /></p> <p>這三個功能皆為預覽版。</p> <p></p> </div></div></div>
2024/12/5 01:32作者王若樸https://www.ithome.com.tw/news/166352
【re:Invent 2024現場直擊】AWS執行長揭2款資料庫服務新進展，兼顧高可用、低延遲、無需管理基礎設施等優勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露資料庫服務新進展，推出兩款預覽版功能，包括Amazon Aurora DSQL和Amazon DynamoDB Global Tables，號稱兼顧99.999%多區域可用性、高度一致、低延遲且無需管理任何基礎設施等優點。這樣的資料庫功能，可讓使用者的應用程式一直讀取最新數據，不必更改程式碼。</p> <p><span style="font-size:22px;"><strong>要兼顧高可用、多地區、低延遲和儲存一致性等優勢的資料庫服務</strong></span></p> <p>AWS的資料庫服務歷史，最早可追溯到雲端資料庫服務Amazon RDS，後來發展出Amazon DynamoDB和Amazon Aurora，尤其後者近來新添自動擴展、支援向量資料等功能，更好地協助使用者發展生成式AI（GAI）應用。</p> <p>「完美的資料庫服務應該長怎樣？」Matt Garman認為，應該要具備高可用性、多地區、低延遲、無需額外操作、儲存一致、懂SQL語意等優勢。</p> <p>也因此，AWS團隊針對低延遲，就開發一種新方法，來減少不同地區資料庫引擎同步所需的資料交易量，進而提高一致性。</p> <p>但如何讓這些資料交易，按照時序進行，又是另一個難題。於是，AWS自己開發了Amazon Time Sync時間同步服務，來在世界各地的每個EC2執行個體中，加入硬體參考時鐘，並且與衛星原子時鐘同步。這意味著，世界各地的執行個體時間同步精確度到微秒等級。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sync%20time(1).JPG" /></p> <p><span style="font-size:22px;"><strong>推出兩款資料庫預覽版新功能</strong></span></p> <p>在這些技術支援下，AWS打造出2款資料庫服務新功能，包括Amazon Aurora DSQL和Amazon DynamoDB Global Tables。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dsql.JPG" /></p> <p>他們號稱Amazon Aurora DSQL是最快的無伺服器分散式SQL資料庫，使用者可建立99.999%多區域可用、高度一致且PostgreSQL相容的應用程式，而且不必管理基礎設施。而且，與Google Spanner資料庫服務相比，Matt Garmana稱Aurora DSQL的讀寫速度快上4倍，適合用來打造全球性的分散式應用程式。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4x.JPG" /></p> <p>就Amazon DynamoDB來說，是AWS第一款全託管的無伺服器NoSQL資料庫，而今天發表的預覽版新功能也提供全球多區域高可用、低延遲、高度一致性，且不需管理任何基礎設施。</p> <p>AWS說明，這個DynamoDB Global Tables可用來建立和現代化企業的關鍵應用程式，還能確保客戶的多區域應用程式能一直讀取最新數據，不需要更改任何應用程式程式碼。</p> <p></p> </div></div></div>
2024/12/4 17:45作者王若樸https://www.ithome.com.tw/news/166349
【re:Invent 2024現場直擊】S3雲端儲存兩大新功能瞄準AI需求，Iceberg超大型資料表查詢能快3倍，還…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中，宣布幾項雲端儲存服務Amazon S3的重要新功能，包括原生支援資料湖資料格式Iceberg的Amazon S3 Tables，大型資料表查詢速度可以提高3倍，以及能自動產生物件Metadata的Amazon S3 Metadata預覽版，這兩大新功能都是為因應AI需求而設計。</p> <p><span style="font-size:22px;"><strong>要讓雲端儲存服務貼近AI需求</strong></span></p> <p>在今日主題演講中，Matt Garman點出，運算、儲存、資料庫和AI推論，是AWS新戰略的4大重要基石。</p> <p>就儲存來說，隨著新技術推陳出新，「儲存模式也改變了。」Matt Garman回顧，AWS最早推出Amazon S3雲端儲存服務，至今已有18年，擁有上百萬名使用者，處理了400兆個物件。Amazon S3服務在這18年間，也發展出幾代新服務，比如前幾年推出的S3 Intelligent-Tiering，能自動化協助處理PB級甚至是EB級的巨量資料，幫所有使用者省下了40億美元。</p> <p>然而，「S3團隊一直在思考，如何讓S3更好。」儲存產品線出身的Matt Garman指出，隨著AI越來越融入各行各業的業務，團隊後來聚焦，要讓S3更符合目前的AI需求。</p> <p>如何讓雲端儲存服務貼近AI需求？Matt Garman解釋，S3專門用來執行資料湖，而AI分析大都仰賴資料湖。其中，絕大多數的分析資料是表格形式，用來查詢非常有效率，而這些資料表大多採Apache Parquet資料格式，「這類Parquet資料，也是S3中成長速度最快的資料類型。」</p> <p>他進一步指出，有些S3客戶擁有數百萬、數十億的Parquet檔案，要有效率查詢這些資料，一種主流做法是使用Apache Iceberg資料表格式，來簡化資料湖中巨量資料集的資料處理。但，用Iceberg擴展管理巨量資料，還是很有挑戰性，甚至安全性、存取權限等管控也是難題。</p> <p><strong><span style="font-size:22px;">2大新功能加速Iceberg資料查詢和交易量，還能自動產生Metadata</span></strong></p> <p>在今年年會中，AWS正式推出Amazon S3 Tables新功能，能3倍加速Iceberg表格的查詢效能，每秒還能提高10倍交易量。而且，該功能還能自動管理表維護工作，就算使用者的資料湖不斷擴展，也是如此。再來，S3 Tables還提供表格級存取控制，使用者可自己定義權限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tables.JPG" /></p> <p>不過，「要找到所需資料，還是有挑戰性。」但要是有後設資料（Metadata）輔助，就能更好地找到所需資料，或是理解資料。</p> <p>於是，AWS推出另一個儲存服務的新功能：Amazon S3 Metadata預覽版，能近乎即時，自動產生可供查詢的物件Metadata，來幫助使用者更快找尋資料、用於AI分析等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/metadata.JPG" /></p> <p></p> </div></div></div>
2024/12/4 16:45作者王若樸https://www.ithome.com.tw/news/166347
【資安日報】12月4日，伊朗駭客APT35鎖定航太及半導體產業發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際政治局勢日益緊張，在國防產業占有重要地位的航太領域，這兩年也成為攻擊目標，而這些駭客多半是鎖定美國而來，但如今，有駭客廣泛針對多個國家攻擊航太產業。</p> <p>例如，近期伊朗駭客組織APT35的攻擊行動，就是典型的例子，這些駭客針對航太及半導體產業，架設冒牌徵才網站來引誘特定人士上當，從而於受害電腦植入惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166340"><strong style="font-size: 22px;">伊朗駭客APT35鎖定航太及半導體產業，利用假徵才網站發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/af666d8ddd6cf76c43edd2ce8f412b329a329545e48e781fc0d13ce6ab1dac08.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/af666d8ddd6cf76c43edd2ce8f412b329a329545e48e781fc0d13ce6ab1dac08.png" style="width: 300px; float: right;" /></a></p> <p>擁有Charming Kitten、Mint Sandstorm等匿稱的伊朗駭客組織APT35，自2014年出沒以來，主要的攻擊範圍在中東及美國，針對能源、政府機關、科技服務單位下手，但在最近一起攻擊行動裡，這些駭客因為擴大活動的範圍，而引起資安研究人員的注意。</p> <p>威脅情報業者ThreatBook指出，他們發現APT35最新一波攻擊，鎖定航太及半導體產業而來，攻擊範圍橫跨美國、泰國、阿拉伯聯合大公國（UAE）、以色列。駭客運用假造的徵才網站及公司網站，並要求使用者必須透過VPN存取為由，誘騙他們下載惡意程式並執行。過程中對方濫用合法雲端服務，例如：OneDrive、Google Cloud、GitHub，從而隱匿行蹤。</p> <p>針對這起資安事故的發現，研究人員表示是發現專門針對航太產業的冒牌徵才網站，該網站提供授權存取的應用程式，當中摻入了黑、白兩種惡意軟體元件（研究人員對於APT35使用的惡意軟體歸納為兩種型態，但並未說明相關定義），主要的攻擊目標，他們推測是泰國專精無人機設計的專家。經過一系列的分析，研究人員確認攻擊者的身分就是APT35。</p> <p><a href="https://www.ithome.com.tw/news/166343"><strong style="font-size: 22px;">思科證實10年前公布的ASA設備XSS漏洞被用於攻擊行動</strong></a></p> <p>11月12日美國網路安全暨基礎設施安全局（CISA）發布漏洞濫用的產品資安警示，其中一個是關於思科ASA防火牆設備，他們確認跨網站指令碼（XSS）漏洞CVE-2014-2120已被用於攻擊行動，並將其加入已遭利用漏洞列表（KEV），要求聯邦機構必須在12月3日完成修補，如今思科也證實這項漏洞遭到利用的現象。</p> <p>思科12月2日更新公告內容，表示他們的產品事件回應團隊（PSIRT）於11月得知情報，確認有人嘗試在實際攻擊利用這項漏洞，因此呼籲用戶應升級軟體，以緩解這項弱點。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=190626&SPOKE_DATE=20241203&COMPANY_ID=8940"><strong style="font-size: 22px;">餐飲集團新天地傳出遭遇DDoS攻擊</strong></a></p> <p></p> <p>12月3日上市餐飲集團新天地於股市公開觀測站發布重大訊息，公告他們遭受DDoS攻擊的情況。事發當下，該公司立即啟動相關防禦機制因應。</p> <p>對於這起事故可能會造成的影響，新天地指出，目前評估未有個資或內部文件資料外洩的情況，對於公司的營運，沒有重大影響。他們將持續提升網路及資訊基礎架構的安全管控，以確保資訊安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/l/gafgyt-malware-targeting-docker-remote-api-servers.html">配置錯誤的Docker API成目標，攻擊者企圖部署惡意軟體Gafgyt，並發動DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/revc2-and-venom-loader-exploit-maas-in-advanced-campaigns/">惡意程式RevC2、Venom Loader攻擊行動升溫</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflares-developer-domains-increasingly-abused-by-threat-actors/">Cloudflare Pages、Workers服務遭到駭客濫用的情況大幅增加</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166344"><strong style="font-size: 22px;">Veeam發布新版備份集中管理工具，修補遠端執行程式碼重大漏洞</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於12月3日發布Veeam Service Provider Console（VSPC）遠端管理控制臺的2個漏洞，這些漏洞會影響8.1.0.21377版以前，以及更早8.x與7.x版的VSPC，該公司釋出修補版本8.1.0.21999。</p> <p>首先，是嚴重性高達9.9分的重大漏洞CVE-2024-42448，當VSPC管理代理程式在Veeam管理伺服器上獲得執行的授權時，將能在伺服器遠端任意執行各種程式碼。</p> <p>其次，是嚴重性7.1分的低風險漏洞CVE-2024-42449，當VSPC管理代理程式在伺服主機上獲得授權時，有可能導致洩漏VSPC伺服器主機服務帳戶的NTLM雜湊，並刪除伺服器上的檔案。</p> <p><a href="https://www.ithome.com.tw/news/166345"><strong style="font-size: 22px;">Progress於9月修補的WhatsUp Gold重大層級漏洞，發現問題的資安研究人員公布細節</strong></a></p> <p>今年9月軟體業者Progress發布24.0.1版網管軟體WhatsUp Gold，修補6項漏洞，其中有2項CVE-2024-8785、CVE-2024-46909為重大層級，但當時該公司僅有列出CVE編號、通報者，以及漏洞的風險評分，並未對漏洞進一步說明，如今通報漏洞的研究人員透露CVE-2024-8785的細節。</p> <p>CVE-2024-8785是由資安業者Tenable通報，他們在12月2日公開這個嚴重程度為9.8分的漏洞，發生在名為NmAPI.exe的元件，為能夠竄改Windows機碼的遠端程式碼執行（RCE）漏洞，未經授權的攻擊者有機會利用這項弱點，於目標系統遠端執行任意程式碼。對於漏洞濫用的概念性驗證作法，研究人員也提出說明，幫助大家理解這項漏洞的嚴重性。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/trellix-enterprise-security-manager-patches-critical-flaws-including-cve-2024-11482-cvss-9-8/">Trellix公告資安管理平臺ESM重大漏洞，用戶若不處理攻擊者可執行RCE攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-11980-cvss-10-critical-flaw-in-billion-electric-routers/">盛達電業無線基地臺存在高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166342"><strong style="font-size: 22px;">韓國警方逮捕執行長及5名員工，起因是在生產的衛星接收器埋入DDoS攻擊功能</strong></a></p> <p>為他人打造網路攻擊工具，很有可能會吃上官司。11月28日韓國國家警察局宣布，他們逮捕1名執行長及5名員工，原因是這些人涉嫌製造含有DDoS攻擊能力的衛星接收器，而被買家用於攻擊競爭對手。</p> <p>這些人所屬的公司自2017年與買家往來，向他們銷售衛星接收器，到了2018年11月，買家要求設備必須含有DDoS攻擊能力，該製造商從2019年1月至2024年9月向他們賣出24萬臺衛星接收器，其中9.8萬臺預載DDoS攻擊模組，其餘則是透過韌體更新引入相關功能。</p> <p>上述6人被控違反《促進資訊和通訊網路利用暨資訊保護法》，法院批准沒收該公司資產，並沒收銷售這批設備的不法所得610億韓元（相當於約435萬美元）。韓國警方將尋求國際合作，追蹤並逮捕購買設備的廣播公司。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166328"><strong>【12月3日】惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166298"><strong>【12月2日】網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> </div></div></div>
2024/12/4 16:42作者周峻佑https://www.ithome.com.tw/news/166346
Progress於9月修補的WhatsUp Gold重大層級漏洞，發現問題的資安研究人員公布細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月軟體業者Progress<a href="https://www.ithome.com.tw/news/165247">發布24.0.1版網管軟體WhatsUp Gold</a>，修補6項漏洞，其中有2項CVE-2024-8785、CVE-2024-46909為重大層級，但當時該公司僅列出CVE編號、通報者，以及漏洞的風險評分，並未對漏洞進一步說明，如今通報漏洞的研究人員透露CVE-2024-8785的細節。</p> <p>CVE-2024-8785是由資安業者Tenable通報，<a href="http://www.tenable.com/security/research/tra-2024-48">他們在12月2日公開這個嚴重程度為9.8分的漏洞</a>，發生在名為NmAPI.exe的元件，為能夠竄改Windows機碼的遠端程式碼執行（RCE）漏洞，未經授權的攻擊者有機會利用這項弱點，於目標系統遠端執行任意程式碼。</p> <p>研究人員進一步提出概念性驗證，說明這項漏洞的嚴重性。他們指出，攻擊者可透過netTcpBinding呼叫UpdateFailoverRegistryValues工作，從而對HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\的機碼進行竄改數值，或是新增機碼。</p> <p>附帶一提的是，攻擊者也能竄改HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\Network Monitor\WhatsUp Gold\Setup\InstallDir機碼，將其指向攻擊者控制的主機。</p> <p>一旦Ipswitch Service Control Manager（ServiceControlManager.exe）服務重新啟動，WhatsUp Gold就會從攻擊者的伺服器讀取特定的manifest檔案，並經由ServiceControlManager.exe啟動。此時攻擊者便能在特定XML檔案加入惡意程式執行檔，從而在WhatsUp Gold載入、運作。</p> </div></div></div>
2024/12/4 16:25作者周峻佑https://www.ithome.com.tw/news/166345
伊朗駭客APT35鎖定航太及半導體產業，利用假求職網站發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有Charming Kitten、Mint Sandstorm等匿稱的伊朗駭客組織APT35，自2014年出沒以來，主要的攻擊範圍在中東及美國，針對能源、政府機關、科技服務單位下手，但在最近一起攻擊行動裡，這些駭客擴大了活動的範圍而引起研究人員的注意。</p> <p>威脅情報業者ThreatBook指出，<a href="https://threatbook.io/blog/id/1095">他們發現APT35最新一波攻擊</a>，鎖定航太及半導體產業而來，攻擊範圍橫跨美國、泰國、阿拉伯聯合大公國（UAE）、以色列。駭客運用假造的徵才網站及公司網站，並要求使用者必須透過VPN存取為由，誘騙他們下載惡意程式並執行。過程中對方濫用合法雲端服務，例如：OneDrive、Google Cloud、GitHub，從而隱匿行蹤。</p> <p>針對這起資安事故的發現，研究人員表示是發現專門針對航太產業的冒牌徵才網站，該網站提供授權存取的應用程式，當中摻入了黑白兩種惡意軟體元件，主要的攻擊目標，他們推測是泰國專精無人機設計的專家。經過一系列的分析，研究人員確認攻擊者的身分就是APT35。</p> <p>特別的是，這個徵才網站為了引誘目標人士上當，，駭客不僅標記航太相關職缺的薪水遠高於其他工作，還甚至製作授權存取應用程式的使用教學影片，企圖降低受害者的戒心。</p> <p>若是求職者依照指示下載駭客提供的檔案，其中包含合法的OneDrive元件SignedConnection.exe，以及第一階段、第二階段的惡意程式secur32.dll、Qt5Core.dll。</p> <p>其中的第一階段惡意工具是以C#打造而成，主要的功能包含提供SignedConnection.exe的圖形介面，並將前述提及的黑白惡意軟體元件複製到電腦，並竄改登錄檔，讓這些惡意軟體隨著電腦開機載入。</p> <p>至於另一個惡意程式Qt5Core.dll，則是由secur32.dll改名後，再透過FileCoAuth.exe載入，並透過GitHub、Google Drive，取得C2伺服器位址並建立通訊。</p> <p>研究人員後來看到另一個冒牌的半導體公司網站，駭客對於目標人士佯稱有存取限制，必須安裝VPN應用程式，然而一旦照做，電腦就會被植入前述的惡意酬載。</p> </div></div></div>
2024/12/4 14:52作者周峻佑https://www.ithome.com.tw/news/166340
【re:Invent 2024現場直擊】AWS執行長揭運算服務新亮點，專為GAI設計推P6、Trn2和Trn2 Ult…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露運算新亮點，包括由Nvidia Blackwell GPU驅動的P6系列EC2執行個體、Amazon EC2 Trn2執行個體、Trn2 UltraServer執行個體，都是為生成式AI（GAI）專門設計，可提供更快更有效率的算力。</p> <p>Matt Garman還透露，AWS正與AI新創Anthropic共同開發Project Rainier，也就是由數十萬顆Trainium2組成的UltraServer運算叢集。他也預告，明年將推出新一代Trainium3自研GAI加速晶片。</p> <p><span style="font-size:22px;"><strong>專為生成式AI設計的執行個體和下一代GAI加速晶片</strong></span></p> <p>在今日主題演講中，Matt Garman點出，運算、儲存、資料庫和AI推論，是AWS發展策略的4大重要基石。而就運算來說，AWS每年都有新進展，比如最早推出的EC2執行個體（編按：執行個體是指在雲端環境中執行的虛擬機器）、去年年會揭露的Nitro系統、後來問世的Graviton4處理器，但，「今日，運算面臨的最大問題是AI，特別是生成式AI。」</p> <p>Matt Garman說明，目前絕大多數的AI應用，都仰賴GPU算力，而AWS又是提供執行GPU工作負載的環境。「AWS與Nvidia已合作14年，開發不少算力強大的執行個體，」在這個基礎上，Matt Garman今日揭露與Nvidia聯手開發的P6系列EC2執行個體，採用Nvidia最新Blackwell GPU，將於2025年上市，預計提供比目前GPU執行個體快上2.5倍的運算能力。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-12-03%20at%2010_58_10%20PM.png" /></p> <p>不只P6，AWS今日也正式推出採用自研AI加速晶片Trainuim2的EC2執行個體：Amazon EC2 Trn2 Instances，專為生成式AI和深度學習設計。這個執行個體的效能，可比目前的GPU EC2執行個體好上3到4成。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trn2.JPG" /></p> <p>其中，單一個Trn2執行個體由16個Trainium2晶片組成，由NeuronLink高頻寬高速連接，可提供低延遲的20.8 pflops算力，適合用來訓練和部署數十億參數的模型。</p> <p>但如果AI模型更大，需要更多算力呢？</p> <p>Matt Garman說，今日揭露的Amazon EC2 Trn2 UltraServers執行個體預覽版，就能滿足大模型訓練和部署需求。這個Trn2 UltraServers由4個Trn2執行個體組成，一樣以NeuronLink高速連接，搭載64顆Trainium2晶片，可提供83.2 pflops和332.8 pflops的密集與稀疏運算效能。（如下圖）</p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/7199a2d/2147483647/strip/true/crop/2160x2160+0+0/resize/767x767!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Fc5%2F72%2F6de9d5184d3fa17530d6c9ebd064%2Famazon-ec2-trn2-ultraservers.png" /><br /> （圖片來源：AWS）</p> <p>這個Trn2 UltraServer執行個體，適合用來訓練兆級參數的大模型。</p> <p>Matt Garman也揭露，AWS聯手AI新創Anthropic，正共同打造名為Project Rainier的Trainium2 UltraServer運算叢集，預計使用數十萬顆Trainium2晶片，將提供5倍Anthropic目前用來訓練模型的算力。AWS預計，Project Rainier屆時將成為世界上最大的AI運算叢集。</p> <p>關於AWS運算基石的更新，還不只如此。</p> <p>Matt Garman預告，明年AWS將推出新一代自研AI加速晶片Trainium3，專門為GAI設計。「這將是AWS第一款採用3奈米製程節點，將提供比Trainuim2高出2倍的算力，效能還提高40%。」</p> <p></p> </div></div></div>
2024/12/4 15:06作者王若樸https://www.ithome.com.tw/news/166341
韓國警方逮捕執行長及5名員工，起因是在生產的衛星接收器埋入DDoS攻擊功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為他人打造網路攻擊工具，很有可能會吃上官司。11月28日韓國國家警察局宣布，<a href="https://www.police.go.kr/user/bbs/BD_selectBbs.do?q_bbsCode=1002&q_bbscttSn=20241128120629043">他們逮捕1名執行長及5名員工</a>，原因是這些人涉嫌製造含有DDoS攻擊能力的衛星接收器，而被買家用於攻擊競爭對手。</p> <p>這些人所屬的公司自2017年與買家往來，向他們銷售衛星接收器，到了2018年11月，買家要求設備必須含有DDoS攻擊能力，該製造商從2019年1月至2024年9月向他們賣出24萬臺衛星接收器，其中9.8萬臺預載DDoS攻擊模組，其餘則是透過韌體更新引入相關功能。</p> <p>這起事故的發現，主要是今年7月國際刑警組織（Interpol）接獲相關情資，一家外國非法廣播公司向韓國公司進口具有DDoS攻擊功能的衛星接收器，他們將情資提供給韓國警方，使得這起事故被公開。</p> <p>上述被捕6人被控違反《促進資訊和通訊網路利用暨資訊保護法》，法院批准沒收該公司資產，並沒收銷售這批設備的不法所得610億韓元（相當於約435萬美元）。韓國警方將尋求國際合作，追蹤並逮捕購買設備的廣播公司。</p> </div></div></div>
2024/12/4 15:23作者周峻佑https://www.ithome.com.tw/news/166342
思科證實10年前公布的ASA設備XSS漏洞被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月12日美國網路安全暨基礎設施安全局（CISA）指出，<a href="https://www.cisa.gov/news-events/alerts/2024/11/12/cisa-adds-five-known-exploited-vulnerabilities-catalog">他們掌握思科ASA防火牆設備跨網站指令碼（XSS）漏洞CVE-2014-2120被用於攻擊行動的情報</a>，並將其加入已遭利用漏洞列表（KEV），要求聯邦機構必須在12月3日完成修補，如今思科也證實這項漏洞遭到利用的現象。</p> <p>這項漏洞存在於ASA設備的WebVPN登入網頁，一旦攻擊者利用，就有機會在未經授權的情況下，對部分WebVPN用戶發動跨網站指令碼攻擊，CVSS風險為4.3分，為中度風險漏洞。</p> <p>思科12月2日更新<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-CVE-2014-2120">公告內容</a>，表示他們的產品事件回應團隊（PSIRT）於11月得知有人嘗試在實際攻擊利用這項漏洞的現象，呼籲用戶應升級軟體緩解這項弱點。</p> </div></div></div>
2024/12/4 15:42作者周峻佑https://www.ithome.com.tw/news/166343
Amazon公布多模態AI模型家族Nova
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在re:Invent大會上，Amazon Web Services（AWS）<a href="https://www.aboutamazon.com/news/aws/amazon-nova-artificial-intelligence-bedrock-aws" target="_blank">公布</a>自有多模態AI模型家族Amazon Nova。</p> <p>Amazon Nova家族是AWS首次推出涵括文字、圖片和影片的多模態AI模型，包含6款模型，於Amazon Bedrock平臺上提供給企業用戶。這些模型包括Amazon Nova Micro，為純文字模型，價格也最便宜。Amazon Nova Lite能處理文字、圖片和影片輸入。Amazon Nova Pro強調是整合高準確率、速度及成本效益的多模態模型。Amazon Nova Canvas及Amazon Nova Reel分別為state-of-the-art圖片及影像生成模型。Nova Reel只需在提示中輸入一幀圖片，即可生成一段短影片。</p> <p>其次還有具備處理複雜理解任務，可作為蒸餾自製模型的教師模型Amazon Nova Premier，是AWS最強大的多模態模型，預計2025年問世。</p> <p>目前Nova已在美國東岸的Amazon Bedrock平臺提供。而Micro、Lite、Pro則在另二個美國AWS區域（regions）上線。價格則視<a href="https://aws.amazon.com/bedrock/pricing/" target="_blank">Bedrock</a>而定。最便宜（Nova Micro）為每千字詞輸入/輸出$0.000035及$0.00014美元。</p> <p>AWS指出，Nova家族支援200種語言，其中Micro、Lite、Pro版比Amazon Bedrock的其他同等級模型價格便宜至少75%，也是該平臺上速度最快的模型。</p> <p>在Bedrock平臺上，AWS用戶可透過API存取這些以及早先提供的其他模型。Nova模型也支援微調及蒸餾。用戶可以自有資料提供範例，藉此訓練並提升模型準確度，或是當成教師模型，以蒸餾出專門用途的小模型。</p> <p>此外，Nova模型可和Bedrock知識庫（Knowledge Bases）整合，且具備優異的擷取增強生成（Retrieval Augmented Generation，RAG）能力，讓企業用戶以公司自有資料為grounding基礎，確保模型生成內容的準確性。另外，企業也能將Nova模型與代理人程式串聯，透過API存取公司內部系統和資料，完成工作流程自動化。</p> <p>AWS預計2025年再推出二款Nova成員模型，包括一款口語輸出／輸入（speech-to-speech）及原生的多模態輸出／輸入（multimodal-to-multimodal）模型。</p> </div></div></div>
2024/12/4 12:49作者林妍溱https://www.ithome.com.tw/news/166338
支援AI加速器品牌坐二望三，聯想推出8U、8加速模組的伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/lian_xiang_thinksystem_sr680a_v3_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月Nvidia舉行的年度GTC大會期間，聯想在旗下的伺服器產品線ThinkSystem系列，推出兩款8U尺寸8-GPU組態的2路伺服器系統：SR680a V3與SR685a V3，均可搭配多種資料中心GPU：Nvidia HGX H100 8-GPU、HGX H200 8-GPU，或<a href="https://www.amd.com/zh-tw/products/accelerators/instinct/mi300/platform.html">AMD Instinct MI300X Platform（8個OAM外形的Instinct MI300X）</a>；</p> <p><a href="https://www.intel.com/content/www/us/en/newsroom/resources/computex-2024.html">在6月台北國際電腦展期間</a>，英特爾展出多款採用<a href="https://www.ithome.com.tw/review/162428">Gaudi 3加速器</a>的伺服器，聯想SR680a V3正是其中一款機型；</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-Intel-Computex-Keynote-03-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-Intel-Computex-Keynote-03-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-06-Computex-Lenovo SE680a v3-P1420391-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-Computex-Lenovo%20SE680a%20v3-P1420391-web.jpg" style="width: 298px;" /></a></p> <p>到了9月舉行的2024 Lenovo TW Accelerate 通路展望大會，聯想再度展出SR680a V3，而在現場擺設的產品資訊規格的標示看板當中，他們增列尚未推出的Blackwell架構次世代GPU產品B100。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lenovo%20AI%20Server-2024-09-13-web.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/SR680a-2024-09-13-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SR680a-2024-09-13-2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lenovo%20AI%20servers-2024-09-13-1-680.jpg" style="width: 600px;" /></p> <p>聯想這兩款8U、8-GPU伺服器的主要差異，在於採用不同廠商推出的運算平臺。例如：SR680a V3搭配英特爾第五代Xeon Scalable系列處理器，可安裝32支DDR5-5600記憶體；SR685a V3搭配AMD第四代EPYC系列處理器，可安裝24支DDR5-4800記憶體。</p> <p>若以企業級軟體相容性而言，<a href="https://docs.nvidia.com/certification-programs/nvidia-certified-systems/index.html">這兩款機型均通過Nvidia-Certified Systems的驗證</a>，可支援Nvidia彙整的AI整合軟體套餐Nvidia AI Enterprise，能用於裸機、虛擬化，以及雲端環境的部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualified System Catalog-SR680a v3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualified%20System%20Catalog-SR680a%20v3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Qualified System Catalog-SR685a v3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualified%20System%20Catalog-SR685a%20v3.jpg" style="width: 298px;" /></a></p> <p>在今年公開的AI效能測試項目當中，聯想也提交這兩款8U尺寸8-GPU伺服器的紀錄。例如，在8月底揭露的MLPerf Inference 4.1，以及11月中揭露的MLPerf Training 4.1，SR680a V3與SR685a V3都各有一筆紀錄，搭配的GPU均為內建141 GB HBM3e記憶體的Nvidia H200。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Inference v4_1-Lenovo.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Inference%20v4_1-Lenovo.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Training%20v4_1-Lenovo.jpg" style="width: 298px;" /></p> <p>關於Nvidia H200的支援，SR685a V3在產品指南文件加入相關敘述是在7月，10月底宣告支援AMD第四代EPYC處理器96核心款式9654；而在AMD Instinct MI300X Platform的搭配上，AMD在2024第二季認證伺服器型錄，列入SR685a V3。至於Intel Gaudi 3的搭配選項，截至11月底為止，聯想仍未在SR680a V3與SR685a V3產品指南與技術規格，列入相關描述。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Instinct MI300X Platform-Accelerated Servers-2024-Q2(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Instinct%20MI300X%20Platform-Accelerated%20Servers-2024-Q2(1).jpg" style="width: 500px;" /></a></p> <p>以產品設計概念而言，聯想這批AI加速伺服器主打可支援多種AI加速器，令人想到市面上另一款更早推出的產品Dell PowerEdge XE9680，這款伺服器採用6U尺寸機箱，最初可搭配8個Nvidia A100或H100，後續擴增支援更多加速器選項，截至目前為止，XE9680可搭配Nvidia HGX H100 8-GPU、HGX H200 8-GPU，或AMD Instinct MI300X Platform，也能改用Intel Gaudi 3 HLB-325（8個OAM外形的Gaudi 3）。</p> <p>事實上，Dell XE9680這些AI加速器搭配是陸續提供的。首先，以Nvidia的產品而言，<a href="https://www.ithome.com.tw/review/156425">XE9680去年可支援Nvidia HGX H100 8-GPU與HGX A100 8-GPU</a>，<a href="https://www.dell.com/zh-tw/blog/dell-poweredge-xe9680-ai-acceleration-announcements-at-nvidia-gtc/">Dell今年3月宣布支援HGX H200</a>，10月宣布搭配HGX H200與HGX H100的HPL Benchmark效能測試數據；第二，是AMD的產品，<a href="https://infohub.delltechnologies.com/en-au/p/silicon-diversity-deploy-genai-on-the-poweredge-xe9680-with-amd-instinct-mi300x-accelerators/">Dell今年5月宣布可搭配AMD Instinct MI300X Platform</a>，以及Dell Validated Design for Generative AI with AMD，7月XE9680搭載AMD Instinct MI300X開始出貨，Dell Validated Design for Generative AI with AMD也正式供應，<a href="https://infohub.delltechnologies.com/fr-fr/p/amd-instinct-mi300x-accelerators-on-poweredge-xe9680-serving-cohere-s-command-r-model-using-vllm/">10月揭露用於大型語言模型Command R+的AI處理效能數據</a>；至於Intel的產品，<a href="https://www.dell.com/zh-tw/blog/experience-choice-in-ai-with-poweredge-and-gaudi3/">Dell在今年4月宣布XE9680將可搭載Intel Gaudi 3</a>，<a href="https://www.dell.com/zh-tw/blog/exciting-dell-intel-ai-updates-from-dell-technologies-world/">5月舉行的Dell年度用戶大會預告將在下半年推出</a>，<a href="https://infohub.delltechnologies.com/en-us/p/introducing-dell-poweredge-xe9680-with-intel-gaudi-3-ai-accelerator/">9月宣布這樣的搭配將在第三季量產</a>，到了9月底英特爾正式發表Xeon 6 P-core處理器的同時，<a href="https://www.intel.com/content/www/us/en/newsroom/news/next-generation-ai-solutions-xeon-6-gaudi-3.html#gs.idk9ou">也預告兩款10月供應Gaudi 3的伺服器產品</a>，其中之一正是Dell XE9680。</p> <p>反觀聯想，根據在他們網站公布的<a href="https://lenovopress.lenovo.com/lp1909-thinksystem-sr680a-v3-server">SR680a V3</a>與<a href="https://lenovopress.lenovo.com/lp1909-thinksystem-sr680a-v3-server">SR685a V3</a>產品指南文件，最近一次改版日期是11月18日，上面並未提到Intel Gaudi 3，僅在文末的商標使用聲明提到Intel Gaudi，或許未來會對這部分支援明確交代相關資訊。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>聯想ThinkSystem </strong><strong>SR680a V3與SR685a V3</strong></span><br /> ●原廠：聯想<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：8U<br /> ●處理器：SR680a V3搭配2顆Intel第五代Xeon Scalable系列（最高搭配350瓦TDP機型、64核心），SR685a V3搭配2顆AMD第四代EPYC系列（最高搭配400瓦TDP機型、96核心）<br /> ●記憶體：SR680a V3搭配32個DDR5-5600插槽，最大可擴充至4 TB，SR685a V3搭配24個DDR5-4800插槽，最大可擴充至3 TB<br /> ●儲存配置：16臺2.5吋NVMe固態硬碟+2臺M.2 NVMe固態硬碟<br /> ●搭配GPU：Nvidia HGX H100 8-GPU，8個SXM5形式GPU，或是Nvidia HGX H200 8-GPU，8個SXM5形式GPU，或是AMD Instinct MI300X 8-GPU，8個OAM形式GPU<br /> ●I/O擴充介面：10個PCIe 5.0 x16全高半長介面卡<br /> ●電源供應器：8臺2600瓦（N+N備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/4 11:33作者李宗翰https://www.ithome.com.tw/review/165032
AWS公布資料中心AI節能技術，新增支援液冷的多模態冷卻系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI以高耗能著稱，周二在re:Invent大會上，AWS<a href="https://www.aboutamazon.com/news/aws/aws-reinvent-2024-keynote-live-news-updates" target="_blank">公布</a>新的資料中心基礎架構元件，包括簡化電子電機設計和多模態冷卻系統，提高AWS執行AI的能源效率。</p> <p>有鑒於生成式AI應用日益普及，對能源及運算容量需求有增無減，AWS發展了新的節能技術，許多已部署在AWS全球新的資料中心，也逐步部署到現有資料中心。這些新元件<a href="https://press.aboutamazon.com/2024/12/aws-announces-new-data-center-components-to-support-ai-innovation-and-further-improve-energy-efficiency" target="_blank">整合</a>了能源、冷卻及硬體方面的技術。首先是更簡化的電子電機設計，可降低耗能，同時減低失靈風險，使基礎架構可用性達到99.9999%，使受電子問題影響的機架數量減少89%，而且使可能的失敗點（failure point）數量減少20%。AWS並將備援電源設置離機架近一點，減少風扇數，並使用自然壓力差來排放伺服器熱風，提升伺服器可用電力。</p> <p>其次，AWS也使用新的冷卻、機架設計及控制系統。其中，AWS新的AI伺服器將使用液冷技術來冷卻高密度運算晶片。他們發展了機械式冷卻方案，現有和新資料中心都已使用liquid-to-chip冷卻系統。但因應某些AWS系統如儲存不支援液冷，新的冷卻系統可同時為AI晶片組提供氣冷和液冷，像是AWS Trainium 2和機架式AI超級電腦方案如Nvidia GB200 NVL 72，以及AWS網路交換機、儲存伺服器等。</p> <p>最後，AWS新資料中心架構支援高密度AI方案。AWS運用資料和生成式AI優化資料中心機架架設的方式，藉此預測伺服器最有效率的設置方法，現在得以減少浪費的能源量。</p> <p>AWS說，新資料中心設計可支援AI執行需要的次世代硬體和高密度機架需求，又能彈性支援其他類硬體。現有AWS基礎架構提供750多種Amazon EC2執行個體可以選擇。除了多模態冷卻設計，AWS還有供電系統，可在未來20年支援機架密度成長6倍，之後還能支援3倍成長。</p> <p>在今年re:Invent大會上，AWS也公布有史以來第一次資料中心的能源使用效率（Power Use Efficiency，PUE）。PUE是資料中心用電效率量測值，1.0為完美，表示所有能源全數用於運算。2023年AWS全球PUE為1.15，最好的站點為1.04。</p> <p>AWS預期使用簡化電子電機設計，採用新的多模態冷卻系統，以及更有效率的機架設置方法後，AWS的資料中心PUE可望降到1.08。</p> </div></div></div>
2024/12/4 08:24作者林妍溱https://www.ithome.com.tw/news/166331
Rust 1.83擴充const上下文功能，強化其編譯時期靈活性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust團隊推出最新的<a href="https://blog.rust-lang.org/2024/11/28/Rust-1.83.0.html">Rust 1.83版</a>本，該版本更新主要聚焦在const上下文（const Contexts）功能進行強化。這項更新不僅能夠增加編譯時期程式的靈活性，也替開發者提供更多的工具，進一步增強程式效能和穩定性。</p> <p>const在Rust中扮演編譯常數的角色，其優勢在於允許開發者定義在編譯期間即可確定值的變數，大幅強化程式的執行效率。雖然在不少程式語言中，常數通常被認為是一個固定不變的值，但在Rust中，const不僅定義不可變的值，還要求其值必須在編譯期間完成計算。</p> <p>不過，以往const上下文存在許多限制，像是無法直接引用靜態變數或使用可變參照，而Rust 1.83打破了這些限制，替const上下文帶來了多項重要更新。const上下文指得是所有需要在編譯期間執行的程式碼環境。</p> <p>在Rust 1.83中，允許在const上下文中引用靜態變數（Static），這代表開發者可以更靈活地處理靜態資料，雖然還是需要遵守不可變的限制，以確保程式執行的一致性，例如雖然const可以指向靜態變數的記憶體位址，但如果該靜態變數具備可變性，就不能讀取其值。這樣的限制維持了Rust語言一貫的安全性設計，同時避免多執行緒環境中出現的競爭條件。</p> <p>其次，Rust 1.83支援在上下文中使用可變參照與原始指標，替開發者在編譯時運算中提供更大的靈活性。這項功能特別適合需要在編譯期間，進行更複雜邏輯處理的用例，像是動態運算陣列長度或進行狀態改變。</p> <p>這次Rust更新還帶來多項API穩定化，開發者可以在const上下文中使用更多標準函式庫的功能，進一步提升程式的靈活性與可用性。這些變更對語言核心帶來積極影響，官方希望透過這些變更，鼓勵第三方函式庫採用const功能進行最佳化。</p> </div></div></div>
2024/12/4 08:16作者李建興https://www.ithome.com.tw/news/166330
【re:Invent 2024現場直擊】AWS揭Bedrock AI推論加速功能，Anthropic共同創辦人現身說法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS re:Invent 2024技術年會於美西時間12月1日展開，其公用運算部門（Utility Computing）資深副總裁Peter DeSantis在晚間首場主題演講中，揭露全託管AI平臺Amazon Bedrock的AI推論加速新功能，主打降低延遲、提高效能，比如使用自家AI加速晶片Trainium 2驅動的Trn 2執行Llama 3.1 405B模型推論，只需3.9秒就能處理1萬個Token的輸入值、產出100個Token，號稱比Google的13.9秒、微軟的6.2秒還要快。</p> <p>不只Llama 3.1模型可加速，AI新創Anthropic共同創辦人暨運算長Tom Brown也現身說法，他們與AWS聯手設計Bedrock推論加速功能，能將Anthropic最新模型Claude 3.5 Haiku的推論時間加速60%，比其他任何平臺都還要快，即日起使用者即可透過API使用該功能。他也揭露，接下來將以數十萬顆Trainium 2訓練下一代Claude模型。</p> <p><span style="font-size:22px;"><strong>瞄準大語言模型需求，優化硬體打造預覽版Bedrock AI推論低延遲功能</strong></span></p> <p>進一步來說，AWS Bedrock是一款無伺服器的全託管AI平臺，使用者可透過API，存取Amazon自家和Meta、Anthropic或Stability AI等第三方基礎模型，來滿足業務需求。</p> <p>Bedrock加速AI推論的關鍵，離不開硬體優化。在去年re:Invent大會中，AWS揭露自研AI加速晶片Trainium 2和Arm架構的Graviton 4處理器，現在還進一步發展出Trainium 2 UltraServer主機，包括了2個機櫃、4臺伺服器和64個以NeronLink高速連接的Trainium 2加速器，來提供單一高效能執行個體。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A6%8F%E6%A0%BC.JPG" /></p> <p>DeSantis補充，這臺Trainium 2 UltraServer能分別提供高達83.2 pflops和332.8 pflops的密集與稀疏運算效能，且具6TB的高頻寬記憶體（HBM），並在現場展示。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ultra.JPG" /></p> <p>他還表示，這臺主機適合用來訓練兆級參數的大模型。</p> <p>除了訓練需要強大算力，大模型的推論也需要強大算力支援，尤其目前出現越來越多仰賴多AI代理的工作流程，需要更快產出結果。</p> <p>於是，在AWS的硬體優勢上，他們今年推出Bedrock AI推論低延遲功能（預覽版），能加速Llama 3.1 70B和405B等2種參數模型。他們測試，使用自家Trainium 2加速晶片執行405B參數的Llama 3.1模型推論，只需3.9秒就能對1萬個Token的輸入值，產出100個Token，號稱比Google的13.9秒、微軟的6.2秒還要快。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E9%80%9F.JPG" /></p> <p><span style="font-size:22px;"><strong>Claude 3.5 Haiku模型也加速推論，Anthropic還要用數十萬顆Trainium 2訓練新模型</strong></span></p> <p>不只是Llama模型，Anthropic也與AWS聯手開發推論加速功能，將Claude 3.5 Haiku小模型的推論時間加快了60%，「比其他任何平臺都還要快，」Tom Brown說。</p> <p>他說明，要加速模型推論，不只是硬體規格要夠好，關鍵是主機中的收縮陣列（Systolic Arrays）要時時發揮作用。也就是說，收縮陣列要能持續依序接收模型輸入值，而不是卡住、得等待輸入值從記憶體或其他地方送進來，「就好比玩俄羅斯方塊一樣，方塊結合得越緊密就越有效率、成本也越低，」他比喻。</p> <p>在與AWS解決這個問題的過程中，Anthropic發現，Trainium 2晶片的設計，非常適合執行低階程式語言，而且還能記錄系統中每條指令的執行時間。這意味著，開發者可以清楚知道，收縮陣列何時工作、何時卡住，以及為何卡住，讓核心（Kernel）程式的開發更快更簡單。</p> <p>也因為Trainium 2晶片的這個優點，Tom Brown更透露，他們新一代的Claude模型，將用包含數十萬個Trainium 2晶片的Project Rainer來訓練，「這個叢集規模是我們所使用過的5倍之大。」這意味著，Anthropic的開發速度將更快，而Claude模型使用者，則能以更便宜的價格使用更聰明的模型，甚至是AI代理，來執行更重要的專案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rainier.JPG" /></p> <p></p> </div></div></div>
2024/12/3 18:47作者王若樸https://www.ithome.com.tw/news/166329
國際刑警組織與40個國家聯手執行大規模掃蕩，逮捕逾5千人、查獲4億美元不法所得
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週國際刑警組織（Interpol）宣布，他們與40個國家及地區的執法單位聯手，<a href="https://www.interpol.int/en/News-and-Events/News/2024/INTERPOL-financial-crime-operation-makes-record-5-500-arrests-seizures-worth-over-USD-400-million">從今年7月至11月執行名為Operation Haechi-V的執法行動</a>，結果逮捕超過5,500名從事金融犯罪的嫌犯，並沒收超過4億美元的不法所得。</p> <p>這波執法行動他們針對7種透過網路從事的詐欺行為進行調查，這些包含：語音網路釣魚（vishing）、愛情騙局、色情勒索、投資詐騙、非法賭博、商業郵件詐騙（BEC），以及電子商城詐欺。</p> <p>他們提及韓國與中國聯手破獲大型語音網路釣魚集團，迄今已有超過1,900人受害，造成11億美元的損失。此犯罪組織的作案手法相當複雜，他們可能會假扮執法人員，或是使用偽造的身分來行騙。兩國執法單位逮捕至少27人，其中19人已遭到起訴。</p> <p>值得留意的是，國際刑警組織也發布紫色警戒，呼籲對於穩定幣相關的加密貨幣騙局提高警覺。他們提及名為泰達幣憑證核可詐欺（USDT Token Approval Scam）事故，這種手法最終會導致受害者的加密貨幣錢包落入歹徒手裡，對方先會透過愛情詐騙手法引誘使用者上當，然後指示他們透過合法管道購買泰達幣。</p> <p>一旦歹徒取得受害者的信任，就會藉由釣魚連結，聲稱受害者可建置新的投資帳號，但要是照做，受害者將會授予歹徒完整的存取權限，使得對方能在他們不知情的情況下移轉資產。</p> </div></div></div>
2024/12/3 16:38作者周峻佑https://www.ithome.com.tw/news/166326
【資安日報】12月3日，惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織在執法單位從事執法行動，破壞基礎設施之後，另起爐灶再度從事攻擊行動的情況不時傳出，而最近一波惡意軟體SmokeLoader再度出沒的攻擊行動相當值得留意，因為這是在遭執法單位查緝之後，該惡意程式的最新活動。</p> <p>值得留意的是，這波攻擊行動針對臺灣的企業而來，駭客的目標涵蓋製造業、醫療保健、資訊科技等多個產業。特別的是，攻擊者竟使用內容幾乎一模一樣的釣魚信，對不同公司下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166324"><strong style="font-size: 22px;">收到報價相關電子郵件請注意！可能是釣魚！惡意軟體SmokeLoader鎖定臺灣企業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-smokeloader-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-smokeloader-1.jpg" style="width: 300px; float: right;" /></a></p> <p>今年5月，歐洲刑警組織與十多個國家的執法單位聯手，針對包含SmokeLoader在內的多款惡意程式載入工具（Loader）、殭屍網路，摧毀相關基礎設施，並逮捕嫌犯、凍結不法所得，但事隔數個月，這些駭客又再度從事攻擊行動，而且，這次疑似針對臺灣而來。</p> <p>資安業者Fortinet指出，他們在今年9月看到新一波的SmokeLoader攻擊行動，駭客針對臺灣的製造業、醫療保健、資訊科技，以及其他領域的公司而來。值得留意的是，過往攻擊者將SmokeLoader作為散布其他惡意程式的管道，但在這波資安事故裡，駭客從C2伺服器下載其他的SmokeLoader外掛程式，以便進行後續的惡意活動。</p> <p>攻擊者先是透過釣魚信對目標下手，他們假借提供報價的名義，要求收信人依照指示進行確認、回覆，一旦收信人開啟附件的報價資料檔案，電腦就有可能執行VBS指令碼，啟動惡意程式載入工具AndeLoader，最終載入SmokeLoader的有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/166325"><strong style="font-size: 22px;">Word檔案修復功能遭到濫用！攻擊者藉此繞過電腦資安防護機制，假借公司人資與員工福利的名義從事網路釣魚</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/corrupted-word-doc-attachment.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/corrupted-word-doc-attachment.png" style="width: 300px; float: right;" /></a></p> <p>提供惡意軟體分析沙箱的資安業者Any.run指出，他們發現疑似利用零時差漏洞的攻擊行動，駭客在過程中不僅能迴避防毒軟體的偵測，還能繞過收信軟體Outlook的垃圾信過濾機制，並防有人上傳到沙箱進行檢查。</p> <p>針對攻擊者接觸受害者的管道，研究人員提及是透過釣魚信來進行，一旦收信人打開附件Word檔案，Word就會顯示警告視窗，表示偵測到檔案已經損壞，並指出內含無法讀取的內容，詢問使用者是否嘗試進行修復。資安新聞網站Bleeping Computer取得Any.run找到的惡意檔案，指出攻擊者假借人力資源部門，使用薪資、員工福利、獎金為誘餌，寄送挾帶ZIP檔或Word檔案附件的電子郵件，而且，這些檔案名稱皆包含以Base64編碼的字串。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/ransomware-roundup-interlock">勒索軟體Interlock疑從9月出現，對8個國家企業組織發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/spyloan-android-malware-on-google-play-installed-8-million-times/">安卓惡意軟體SpyLoan透過Google Play市集散布，已被下載800萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/smokedham-backdoor-unc2465s-stealth-weapon-for-extortion-and-ransomware-campaigns/">駭客組織UNC2465佯稱提供合法工具，散布後門程式Smokedham以從事勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/ai-powered-fake-news-campaign-targets.html">俄羅斯影響力活動Undercut鎖定烏克蘭及美國選舉而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166305"><strong style="font-size: 22px;">Windows Server 2012、2012 R2存在MotW零時差漏洞</strong></a></p> <p>11月28日專門提供微修補的資安業者0patch指出，他們在伺服器作業系統Windows Server 2012、2012 R2發現零時差漏洞，一旦遭到利用，電腦對於來自網際網路的特定類型檔案，執行Mark of Web（MotW）安全檢查的流程，就有可能被攻擊者繞過。</p> <p>根據該公司的調查，這項弱點很可能是在2年前引入Windows Server 2012，目前尚未登記CVE編號，他們已通報此事，但截至目前為止，微軟並未提供更新軟體。</p> <p>而對於這項漏洞影響範圍，研究人員表示，Windows Server 2012與2012 R2已於去年10月終止支援，但即便用戶已購買延伸安全性更新（ESU）並套用，還是會曝露在這項漏洞的危險。</p> <p><a href="https://www.ithome.com.tw/news/166327"><strong style="font-size: 22px;">針對資安業者公布的工業用無線基地臺漏洞，研華科技提出進一步說明</strong></a></p> <p>上週資安業者Nozomi揭露研華科技（Advantech）EKI工業用無線基地臺一系列漏洞，並指出攻擊者有機會透過空中下載（Over-the-Air，OTA）的管道用於攻擊。雖然研華已於11月20日發布新版韌體修補漏洞，但並未在公告裡列出Nozomi公布的20項漏洞。對此，我們進一步向研華進行確認。</p> <p>該公司表示，他們在8月5日接獲Nozomi的通報，隨即指派軟體團隊著手分析，並進行修復。經過多輪測試，他們完成新版韌體並經由Nozomi進行驗證，11月25日確認完全修復所有漏洞，並符合業界的資安標準。</p> <p>針對客戶修補的情況，研華表示他們的產品團隊已陸續通知所有使用EKI-6333系列的客戶，提供相關韌體更新資訊與指引，並建議根據實際使用需求，更新至最新版韌體。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166326"><strong style="font-size: 22px;">國際刑警組織與40個國家聯手執行大規模掃蕩，逮捕逾5千人、查獲4億美元不法所得</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/74cfea33bb9d-1-Timor-Leste.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/74cfea33bb9d-1-Timor-Leste.jpeg" style="width: 300px; float: right;" /></a>上週國際刑警組織（Interpol）宣布，他們與40個國家及地區的執法單位聯手，從今年7月至11月執行名為Operation Haechi-V的執法行動，結果逮捕超過5,500名從事金融犯罪的嫌犯，並沒收超過4億美元的不法所得。</p> <p>這波執法行動他們針對7種透過網路從事的詐欺行為進行調查，這些包含：語音網路釣魚（vishing）、愛情騙局、色情勒索、投資詐騙、非法賭博、商業郵件詐騙（BEC），以及電子商城詐欺。</p> <p>他們提及韓國與中國聯手破獲大型語音網路釣魚集團，迄今已有超過1,900人受害，造成11億美元的損失。此犯罪組織的作案手法相當複雜，他們可能會假扮執法人員，或是使用偽造的身分來行騙。兩國執法單位逮捕至少27人，其中19人已遭到起訴。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://finance.ettoday.net/news/2866164"><strong style="font-size: 20px;">台新銀行加入國際資安事件應變小組論壇FIRST，為臺灣第一家參與該組織的金融機構</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166298"><strong>【12月2日】網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> </div></div></div>
2024/12/3 17:33作者周峻佑https://www.ithome.com.tw/news/166328
Word檔案修復功能遭到濫用！攻擊者藉此繞過電腦資安防護機制，假借公司人資與員工福利的名義從事網路釣魚
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊事故頻傳，其中駭客在釣魚信挾帶惡意文件的手法相當常見，如今這類攻擊出現新的方法，引起研究人員注意。</p> <p>提供惡意軟體分析沙箱的資安業者Any.run指出，<a href="https://x.com/anyrun_app/status/1861024527779541304">他們發現疑似利用零時差漏洞的攻擊行動</a>，駭客在過程中不僅能迴避防毒軟體的偵測，還能繞過收信軟體Outlook的垃圾信過濾機制，並防有人上傳到沙箱進行檢查。</p> <p>研究人員提及，這些駭客刻意將惡意軟體包裝成會中斷執行的檔案類型，從而導致資安防護工具難以察覺有異。不過，他們透過沙箱與這些惡意軟體互動，利用對應的應用程式開啟遭到破壞的檔案，從而察覺攻擊者的惡意行為。</p> <p>值得留意的是，他們也提及大部分資安系統無法察覺有害的現象，原因是檔案類型並未正確對應到正確的應用程式造成。這些檔案已被研究人員上傳到VirusTotal，但截至目前為止，所有的防毒引擎的分析結果，都指出此檔案無害。</p> <p>針對攻擊者接觸受害者的管道，研究人員提及是透過釣魚信來進行，一旦收信人打開附件Word檔案，Word就會顯示警告視窗，表示偵測到檔案已經損壞，並指出內含無法讀取的內容，詢問使用者是否嘗試進行修復。資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/novel-phishing-campaign-uses-corrupted-word-documents-to-evade-security/">取得Any.run找到的惡意檔案</a>，指出攻擊者假借人力資源部門，使用薪資、員工福利、獎金為誘餌，寄送挾帶ZIP檔或Word檔案附件的電子郵件，而且，這些檔案名稱皆包含以Base64編碼的字串。</p> <p>若是使用者同意修復，Word就會顯示看似正常的文件，要求使用者掃描QR Code存取進一步的內容。假如他們照做，就會被帶往冒牌的微軟登入網頁，而有可能導致微軟帳號被挾持。</p> </div></div></div>
2024/12/3 15:50作者周峻佑https://www.ithome.com.tw/news/166325
針對資安業者公布的工業用無線基地臺漏洞，研華科技提出進一步說明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者Nozomi<a href="https://www.ithome.com.tw/news/166291">揭露研華科技（Advantech）EKI工業用無線基地臺一系列漏洞</a>，並指出攻擊者有機會透過空中下載（Over-the-Air，OTA）的管道用於攻擊。雖然研華已於11月20日發布新版韌體修補漏洞，但並未在公告裡列出Nozomi公布的20項漏洞。對此，我們進一步向研華進行確認。</p> <p>該公司表示，他們在8月5日接獲Nozomi的通報，隨即指派軟體團隊著手分析，並進行修復。經過多輪測試，他們完成新版韌體並經由Nozomi進行驗證，11月25日確認完全修復所有漏洞，並符合業界的資安標準。</p> <p>針對客戶修補的情況，研華表示他們的產品團隊已陸續通知所有使用EKI-6333系列的客戶，提供相關韌體更新資訊與指引，並建議根據實際使用需求，更新至最新版韌體。</p> <p>此外，為了讓客戶能更容易取得更新，研華也將新版韌體上傳到網站。他們表示客戶若有任何安裝與技術需求，技術支援團隊將提供協助。</p> <p>而對於漏洞相關揭露，研華表示，他們正著手規畫製作公告頁面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PPsxXhiswt.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PPsxXhiswt.jpg" style="width: 580px;" /></a></p> </div></div></div>
2024/12/3 17:07作者周峻佑https://www.ithome.com.tw/news/166327
Windows Server 2012、2012 R2存在MotW零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月28日專門提供微修補的資安業者0patch指出，他們在<a href="https://blog.0patch.com/2024/11/windows-server-2012-mark-of-web.html">伺服器作業系統Windows Server 2012、2012 R2發現零時差漏洞</a>，一旦遭到利用，電腦對於來自網際網路的特定類型檔案，執行Mark of Web（MotW）安全檢查的流程，就有可能被攻擊者繞過。</p> <p>根據該公司的調查，這項弱點很可能是在2年前引入Windows Server 2012，目前尚未登記CVE編號，他們已通報此事，但截至目前為止，微軟並未提供更新軟體。</p> <p>而對於這項漏洞影響範圍，研究人員表示，Windows Server 2012與2012 R2已於去年10月終止支援，但即便用戶已購買延伸安全性更新（ESU）並套用，還是會曝露在這項漏洞的危險。</p> <p>對此，他們在微軟正式發布修補程式之前，免費為所有使用者提供對應的0patch修補程式。不過，為了避免漏洞遭到惡意利用，研究人員暫時沒有公布進一步的細節。</p> </div></div></div>
2024/12/3 11:18作者周峻佑https://www.ithome.com.tw/news/166305
收到報價相關電子郵件請注意！可能是釣魚！惡意軟體SmokeLoader鎖定臺灣企業下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月，<a href="https://www.ithome.com.tw/news/163217">歐洲刑警組織與十多個國家的執法單位聯手</a>，針對包含SmokeLoader在內的多款惡意程式載入工具（Loader）、殭屍網路，摧毀相關基礎設施，並逮捕嫌犯、凍結不法所得，但事隔數個月，這些駭客又再度從事攻擊行動，而且，這次疑似針對臺灣而來。</p> <p>資安業者Fortinet指出，他們在<a href="https://www.fortinet.com/blog/threat-research/sophisticated-attack-targets-taiwan-with-smokeloader">今年9月看到新一波的SmokeLoader攻擊行動</a>，駭客針對臺灣的製造業、醫療保健、資訊科技，以及其他領域的公司而來。值得留意的是，過往攻擊者將SmokeLoader作為散布其他惡意程式的管道，但在這波資安事故裡，駭客從C2伺服器下載其他的SmokeLoader外掛程式，以便進行後續的惡意活動。</p> <p>攻擊者先是透過釣魚信對目標下手，他們假借提供報價的名義，要求收信人依照指示進行確認、回覆，一旦收信人開啟附件的報價資料檔案，電腦就有可能執行VBS指令碼，啟動惡意程式載入工具AndeLoader，最終載入SmokeLoader的有效酬載。</p> <p>值得留意的是，雖然駭客對多家公司發動攻擊，但他們似乎使用幾乎一模一樣的釣魚信，甚至連收信人都相同。研究人員提及，攻擊者在簽名檔的文字及電話號碼，與內文的字體及顏色有所不同，他們認為這些文字很有可能從其他地方剪貼而來。</p> <p>針對釣魚信挾帶的惡意附件Excel檔，攻擊者先是利用RCE漏洞CVE-2017-0199，觸發埋在試算表的惡意連結，自動下載另一個惡意檔案並開啟。</p> <p>攻擊者下載的檔案大致分成2種，其中一種是Word檔案，此時攻擊者會觸發Office方程式編輯器的RCE漏洞CVE 2017-11882執行Shell Code，然後藉由特定API下載VBS檔案，執行AndeLoader。</p> <p>而另一種則是HTML應用程式檔案（HTA），該檔案內含經過演算法處理的VBS程式碼，一旦執行，電腦就會解密VBS並執行PowerShell程式碼，下載與AndeLoader有關的VBS檔案。附帶一提的是，攻擊者為了擾亂研究人員分析，他們在VBS檔的符號及參數當中，加入大量空白。</p> <p>但無論是那一種攻擊鏈，最終都是透過AndeLoader載入SmokeLoader，並載入對應的外掛程式竊取電腦的各式帳密資料。研究人員總共發現有9款外掛程式，可供攻擊者從瀏覽器挖掘帳密資料、自動填寫的內容，也可從Outlook和Thunderbird找尋特定的信件資料，此外，這些外掛也可從FileZilla、WinSCP收集帳密資料。</p> </div></div></div>
2024/12/3 12:42作者周峻佑https://www.ithome.com.tw/news/166324
英特爾宣布執行長Pat Gelsinger退休，即日生效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾昨（1）日<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-ceo-news-dec-2024.html" target="_blank">宣布</a>執行長Pat Gelsinger加入公司40年後正式退休，自執行長位置及董事會席位下臺，人事命令從2024年12月1日起生效。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-Intel-Pat%20Gelsinger(2021).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Pat Gelsinger（圖片來源／英特爾）</span></span></p> <p>這意謂著Gelsinger執掌英特爾大位僅僅3年時間。Gelsinger在英特爾任職30年後，於2009年離開。成功領導VMware的經驗使他在<a href="https://www.ithome.com.tw/news/142228" target="_blank">2021年</a>被英特爾延攬為執行長，接任Bob Swan，希望他們挽救因技術落後流失蘋果等客戶的公司。</p> <p>但Gelsinger的領導卻沒能扳回頹勢，反而接連遭遇多項重大挑戰，包括13、14代處理器出包、晶圓代工業務虧損及歐洲晶圓廠計畫擱置，以及產品推出時程延後市占拱手讓人，錯失AI熱潮，以致於未能搭上微軟推出AI PC的列車。英特爾上季虧損16億美元後，宣布百億美元支出削減計畫，將晶圓代工業務<a href="https://www.ithome.com.tw/news/165051" target="_blank">分拆</a>為獨立子公司，以及最新一波裁員，預定今年底前<a href="https://www.ithome.com.tw/news/164272" target="_blank">裁減</a>1.5萬人。市場一度盛傳高通將收購英特爾，雖然目前本消息已經平息，不過英特爾股價今年以來下跌54%，上個月遭到道瓊工業指數<a href="https://edition.cnn.com/2024/11/01/business/intel-dow-nvidia/index.html" target="_blank">除名</a>，由Nvidia取代。</p> <p>Gelsinger退休後，將由執行副總裁暨財務長David Zinsner和Intel Products事業群執行長Michelle Johnston Holthaus共同擔任臨時執行長。Intel Products事業群主管英特爾終端運算事業群、資料中心和AI事業群、以及網路與邊緣事業群。而英特爾獨立董事會主席也會擔任臨時董事長。英特爾董事會已成立委員會以尋找接任執行長。</p> </div></div></div>
2024/12/3 08:58作者林妍溱https://www.ithome.com.tw/news/166300
Visual Studio新增Debug with Copilot功能，提升單元測試除錯效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://devblogs.microsoft.com/visualstudio/transform-your-debugging-experience-with-github-copilot/" target="_blank">Visual Studio 2022最新版本</a>中，加了一項新的除錯功能Debug with Copilot，藉助GitHub Copilot的支援，解決開發者在單元測試中的除錯難題，提升除錯效率並減少開發流程所耗費的時間。</p> <p>單元測試的重點在於驗證程式碼的正確性，但是當測試失敗時，尋找問題的根源卻是一個耗時且繁瑣的過程。開發者需要手動設定中斷點、檢查變數狀態，並逐步追蹤程式碼的執行情況，才能鎖定問題的確切位置。而微軟針對這些除錯挑戰，推出Debug with Copilot功能，希望透過智慧工具加速除錯效率。</p> <p>Debug with Copilot的主要功能入口在Visual Studio的Test Explorer，開發者只需點擊按鈕，GitHub Copilot便會根據測試失敗的狀況，提供一份詳細的除錯計畫。計畫內容包括自動設置中斷點、觀察重要變數，並啟動除錯流程。當除錯過程觸發中斷點時，Copilot會分析當前變數的數值，並根據分析結果向開發者提供接下來的操作建議，像是繼續偵錯抑或是修復程式碼。</p> <p>使用Debug with Copilot的除錯過程，開發者可以和Copilot持續進行對話，除了快速理解錯誤發生的原因，還能在修復問題的過程獲得建議與技巧。微軟提到，該功能不僅有效節省除錯時間，開發者也能在與Copilot實際互動操作的過程提升除錯能力。</p> </div></div></div>
2024/12/2 21:52作者李建興https://www.ithome.com.tw/news/166293
Windows 11工作列新檔案搜尋功能，可搜尋Microsoft 365、OneDrive檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Windows Latest引述<a href="https://www.windowslatest.com/2024/12/01/microsoft-wants-to-integrate-microsoft-365-recent-files-into-windows-11-taskbar/" target="_blank">報導</a>，微軟最近在Windows 11的工作列新增檔案搜尋（File Search）功能，讓用戶從OS工作列直接搜尋並開啟最近使用，或他人分享的Microsoft 365（M365）檔案。</p> <p dir="ltr">之前Windows放大鏡圖示的檔案探索（File Explorer）功能，僅可找到Windows電腦的檔案，當然也可搜尋網頁，但無法搜尋存在自己M365帳號的檔案。某些用戶上周<a href="https://x.com/EpicbP/status/1862539944893227425" target="_blank">發現</a>的新檔案搜尋功能，則可串接OneDrive和M365服務，允許Windows 11 PC用戶搜尋M365文件或最近存取的檔案，只要點選工作列上的圖示就會跳出簡潔介面，使用者可下條件如人名或關鍵字搜尋文件，或由其列出的檔案類型（Word、PowerPoint、Excel）尋找。用戶最近編輯的檔案也會列出。</p> <p dir="ltr">根據Windows Latest擷圖，用戶還可以設定通知偏好，要求有人在檔案中提及用戶、有人分享檔案時發送通知、或是在即將召開的會議中發檔案通知。此外，按右鍵還會出現選單，提供另存新檔、分享、擷圖與列印等也功能。</p> <p dir="ltr">這檔案搜尋功能和之前的桌機搜尋工具不同，它不是App而是一個Webviewer，是以Microsoft Edge WebView功能為基礎，基本上是長得很像App的Edge外掛功能。獨立網路論壇WindowsForum<a href="https://windowsforum.com/threads/explore-microsofts-new-file-search-feature-for-windows-11.346921/#google_vignette" target="_blank">分析</a>，這個設計承襲微軟在WebView2等技術上發展Windows 11功能的理念，所以不論用戶愛不愛用Edge，都會讓Windows 11和Edge更深切整合在一起。</p> </div></div></div>
2024/12/2 22:09作者林妍溱https://www.ithome.com.tw/news/166299
【資安日報】12月2日，網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊可說是相當泛濫，相關工具包也接連出現，資安業者Trustwave揭露最新一波的攻擊行動相當引人注意，駭客運用名為Rockstar 2FA的網釣工具包，而能在突破多種資安防護下發動攻擊。</p> <p>研究人員強調，駭客在攻擊流程搭配多種合法服務，而能成功迴避資安系統的偵測，其中一種是Cloudflare去年底正式開放、可免費使用的圖靈驗證服務Turnstile。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166295"><strong style="font-size: 22px;">網釣攻擊套件Rockstar 2FA鎖定M365帳號而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 6_ Email attack flow of Rockstar 2FA phishing campaigns.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%206_%20Email%20attack%20flow%20of%20Rockstar%202FA%20phishing%20campaigns.jpg" style="width: 300px; float: right;" /></a></p> <p>網釣工具包橫行，近期有不少研究人員公布駭客打造的新工具，但也有駭客更換名稱持續活動的情況。資安業者Trustwave揭露的Rockstar 2FA網釣工具包，就是典型的例子，這個工具包的前身，其實是去年5月出沒的DadSec，而到了去年底，駭客先後更名為Phoenix、Rockstar 2FA，然後持續從事攻擊行動。</p> <p>研究人員在今年8月看到使用此網釣工具包的大規模網釣攻擊，駭客組織Storm-1575發動對手中間人（AiTM）攻擊，從而攔截受害者的帳密資料，以及連線階段（Session）的cookie，而有機會繞過多因素驗證機制，進而挾持Microsoft 365帳號。</p> <p>根據他們的觀察，這次對方的主要目標，很可能是想要瀏覽與汽車有關網站的使用者，研究人員從5月開始，發現逾5千個與車輛相關的網域名稱。</p> <p><a href="https://www.ithome.com.tw/news/166285"><strong style="font-size: 22px;">一年前揭露的UEFI漏洞LogoFAIL遭到利用，駭客企圖在Linux電腦植入Bootkitty</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/674a29add97eead6c8b5da5b_674a1f83d060f4a92874983c_image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/674a29add97eead6c8b5da5b_674a1f83d060f4a92874983c_image3.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET揭露第一個針對Linux電腦的UEFI Bootkit「Bootkitty」，但不久後有人結合已知的UEFI韌體漏洞，打造具有實際破壞性的惡意程式。</p> <p>11月29日專精韌體安全的資安業者Binarly指出，他們近日發現名為logofail.bmp的圖檔，大小為16MB，一旦傳送給Linux電腦，就會在圖片解析過程注入Shell Code，並在UEFI韌體的MokList變數注入惡意帳密，從而套用新的GRUB組態檔案。此檔案能成功繞過安全開機（Secure Boot）防護機制，並將後門程式植入受害電腦。</p> <p>值得留意的是，這支惡意程式針對具有特定漏洞LogoFAIL（CVE-2023-40238）的韌體而來，若是IT人員並未套用新版韌體，就有可能曝險。</p> <p><a href="https://www.ithome.com.tw/news/166243"><strong style="font-size: 22px;">配置臭蟲釀禍，Cloudflare遺失逾半數客戶事件記錄檔案</strong></a></p> <p>提供內容傳遞網路及安全服務的Cloudflare坦承，在11月14日因為內部系統一連串的臭蟲，在短短5分鐘的錯誤配置中，遺失了55%客戶事件記錄。</p> <p>在11月14日，為了支援新的資料集以處理額外的事件記錄類型，Cloudflare更新Logpush的配置，系統需要將此配置傳送給Logfwdr，但配置系統傳送給Logfwdr的檔案卻是空白的，因而觸發了Logfwdr內部的「故障開放」（Fail Open）機制。</p> <p>儘管Cloudflare很快就發現此事，並在5分鐘內恢復了該變更，但Logfwdr已根據Fail Open發送事件記錄給大量客戶，而Buftee原本有防護機制，卻因配置問題而未被正確啟用，導致Buftee所管理的事件記錄緩衝區數量，很快就從一百多萬個快速增加到4,000萬個。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-11667-critical-vulnerability-in-zyxel-firewalls-actively-exploited/">德國針對兆勤防火牆漏洞提出警告，證實至少有5家企業受害</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/mut-8964-an-npm-and-pypi-malicious-campaign-targeting-windows-users/">駭客組織MUT-8694同時針對NPM、PyPI開發者下手，意圖向Windows用戶散布竊資軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/malicious-npm-packages-inject-ssh-backdoors-via-typosquatted-libraries">惡意NPM套件鎖定Linux開發人員，偽裝熱門套件散布後門程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://krebsonsecurity.com/2024/11/hacker-in-snowflake-extortions-may-be-a-u-s-soldier/">犯下Snowflake大規模勒索案的主嫌疑為美國軍人</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166291"><strong style="font-size: 22px;">研華工控無線基地臺存在重大漏洞，若不修補恐被用於繞過身分驗證、執行任意程式碼</strong></a></p> <p>資安業者Nozomi揭露研華科技（Advantech）旗下EKI工控無線基地臺20個漏洞，一旦遭到利用，有可能導致攻擊者在未經身分驗證的情況下，使用root權限遠端執行任意程式碼，從而影響網路設備的機密性、完整性、可用性。</p> <p>這些漏洞影響EKI-6333AC-2G、EKI-6333AC-2GD、EKI-6333AC-1GPO等3款機型，對此研華針對EKI-6333AC-2G、EKI-6333AC-2GD發布1.6.5版韌體，以及針對EKI-6333AC-1GPO發布1.2.2版韌體，修補相關漏洞。</p> <p>根據漏洞嚴重程度來看，有6個被評為重大層級，其餘多為高風險層級，僅有1個為中度風險等級。其中，CVE-2024-50370、CVE-2024-50371、CVE-2024-50372、CVE-2024-50373、CVE-2024-50374、CVE-2024-50375皆為CVSS評分達到9.8的危險漏洞，除了CVE-2024-50375與重要功能缺乏身分驗證有關，其他漏洞的成因，則是涉及作業系統命令當中，特定元素的處理不正確。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://thehackernews.com/2024/11/microsoft-fixes-ai-cloud-and-erp.html"><strong style="font-size: 20px;">微軟修補AI、雲端服務、ERP漏洞，已有部分出現攻擊行動</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> </div></div></div>
2024/12/2 17:56作者周峻佑https://www.ithome.com.tw/news/166298
網釣攻擊套件Rockstar 2FA鎖定M365帳號而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網釣工具包橫行，近期有不少研究人員公布駭客打造的新工具，但也有駭客更換名稱持續活動的情況。</p> <p>資安業者Trustwave揭露的<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rockstar-2fa-a-driving-force-in-phishing-as-a-service-paas/">Rockstar 2FA網釣工具包</a>，就是典型的例子，這個工具包的前身，其實是去年5月出沒的DadSec，而到了去年底，駭客先後更名為Phoenix、Rockstar 2FA，然後持續從事攻擊行動。</p> <p>研究人員在今年8月看到使用此網釣工具包的大規模網釣攻擊，駭客組織Storm-1575發動對手中間人（AiTM）攻擊，從而攔截受害者的帳密資料，以及連線階段（Session）的cookie，而有機會繞過多因素驗證機制，進而挾持Microsoft 365帳號。</p> <p>根據他們的觀察，這次對方的主要目標，很可能是想要買賣車輛的使用者，研究人員從5月開始，發現逾5千個與車輛相關的網域名稱。</p> <p>開發者透過即時通訊軟體ICQ、Telegram，以及電子郵件平臺Mail.ru進行宣傳，尋求買家租用。賣家標榜此套件能繞過雙因素驗證（2FA）、挖掘相關的cookie、防止機器人爬蟲、多種登入網頁主題，並且強調其搭配的URL具有防毒完全無法被視為有害（FUD）特性。</p> <p>分析該網釣套件之後，研究人員指出，駭客的手法先是濫用電子郵件行銷平臺，假借共享檔案、密碼重設、IT部門通知、工資單等名義做為誘餌，過程中使用QR Code、合法短網址服務、PDF附件等手法迴避偵測。</p> <p>接著，在收信人被引導到釣魚網頁之前，會進行過濾，然後要求進行Cloudflare Turnstile圖靈驗證，而這麼做的目的，便是要排除網路爬蟲機器人及研究人員。</p> </div></div></div>
2024/12/2 17:37作者周峻佑https://www.ithome.com.tw/news/166295
研華工控無線基地臺存在重大漏洞，若不修補恐被用於繞過身分驗證、執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Nozomi揭露研華科技（Advantech）旗下<a href="https://www.nozominetworks.com/blog/over-the-air-vulnerabilities-discovered-in-advantech-eki-access-points">EKI工控無線基地臺20個漏洞</a>，一旦遭到利用，有可能導致攻擊者在未經身分驗證的情況下，使用root權限遠端執行任意程式碼，從而影響網路設備的機密性、完整性、可用性。</p> <p>這些漏洞影響EKI-6333AC-2G、EKI-6333AC-2GD、EKI-6333AC-1GPO等3款機型，對此研華針對EKI-6333AC-2G、EKI-6333AC-2GD<a href="https://www.advantech.com/en/support/details/firmware?id=1-1Y1Q6G7">發布1.6.5版韌體</a>，以及針對EKI-6333AC-1GPO<a href="https://www.advantech.com/en/support/details/firmware?id=1-2NPZ6GU">發布1.2.2版韌體</a>，修補相關漏洞。</p> <p>可惜的是，雖然研華發布了新版韌體因應，但他們在公告當中，僅有提及修補部分臭蟲，並未列出Nozomi公布的20項漏洞。</p> <p>根據漏洞的嚴重程度來看，有6個為重大層級、其餘多為高風險層級，僅有1個為中度風險等級。其中，CVE-2024-50370、CVE-2024-50371、CVE-2024-50372、CVE-2024-50373、CVE-2024-50374、CVE-2024-50375皆為CVSS評分達到9.8的危險漏洞，除了CVE-2024-50375與重要功能缺乏身分驗證有關，其他則是涉及作業系統命令當中，特定元素的處理不正確所致。</p> <p>除了上述重大層級漏洞，跨網站指令碼（XSS）漏洞CVE-2024-50376也相當值得留意，因為研究人員特別提及，這項漏洞可以與CVE-2024-50359串連。攻擊者可在靠近無線基地臺的情況下，有機會利用基地臺廣播「Beacon框架」訊號，並擷取周邊裝置的狀態。攻擊者若是要確保基地臺能存取相關訊號，還可以將自己的裝置靠近基地臺，或是利用專屬的天線將訊號傳送到更遠的距離。</p> <p>研究人員認為，這些漏洞若是遭到利用相當危險，因為攻擊者有機會搭配其他手法形成攻擊鏈，透過空中下載（Over-the-Air，OTA）的管道進行攻擊。</p> <p>為了說明漏洞的危險性，研究人員提到較為詳細的漏洞利用流程，並指出必須搭配附帶的條件才能成功利用。攻擊者先是在靠近無線基地臺的地方試圖利用基地臺廣播「Beacon框架」訊號，並擷取周邊裝置的狀態，接著，他們透過網路釣魚或社交工程手法，從而以管理員的身分，存取無線基地臺管理工具當中，分析無線網路訊號的Wi-Fi Analyzer模組，而正當此時，網頁管理介面會自動嵌入前述Beacon框架接收的訊號，從而利用偽造的無線基地臺SSID插入JavaScript惡意酬載，從而觸發CVE-2024-50376。</p> <p>一旦攻擊者得逞，就能在受害者的瀏覽器注入JavaScript架設C2中繼站，並濫用瀏覽器利用框架（Browser Exploitation Framework，BeEF）執行各式工作。此時他們就能串連CVE-2024-50359進一步提升權限，而有機會得到root權限的Shell，從而遠端完全控制設備、執行命令並滲透網路環境、竊取資料，或是部署其他惡意指令碼。</p> </div></div></div>
2024/12/2 16:06作者周峻佑https://www.ithome.com.tw/news/166291
馬斯克請求法院阻止OpenAI轉型為營利機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">馬斯克上周向法院<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.433688/gov.uscourts.cand.433688.46.0.pdf" target="_blank">聲請</a>，請求法官阻止OpenAI轉為營利機構，及和微軟合作鞏固市場壟斷等行為。</p> <p dir="ltr">這是繼今年3月馬斯克<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告</a>曾經投資的OpenAI及執行長Sam Altman，宣稱他們違反了創立以非營利機構開發AI造福人類的初衷後，最新的法律行動。Techcrunch上周首先<a href="https://techcrunch.com/2024/11/30/elon-musk-files-for-injunction-to-halt-openais-transition-to-a-for-profit/" target="_blank">報導</a>此事。</p> <p dir="ltr">本周馬斯克透過律師向加州地方法院提出禁制令申請動議，要求法官阻止OpenAI多項造成他和自家xAI公司、以及產業、人類損害的行為。本次訴訟被告包括Altman、Greg Brockman、微軟高層Reid Hoffman及Dee Templeton。他要求法院以禁制令阻止OpenAI非法行為，包括阻止投資者支持馬斯克自有AI公司xAI等競爭對手、透過和Microsoft的合作從「非法獲得的競爭敏感資訊」中獲利。</p> <p dir="ltr">此外，馬斯克並要求禁止OpenAI將治理結構轉變為營利性結構、轉讓重大資產，包括OpenAI、子公司或附屬公司持有或控制的智慧財產權，並且禁止OpenAI與任何之有重大經濟利益的組織企業做生意。他說若禁制令未獲准，將造成難以彌補的傷害。</p> <p dir="ltr">這位科技大亨11月又控告OpenAI、Altman外加微軟等公司，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.433688/gov.uscourts.cand.433688.32.0_1.pdf" target="_blank">宣稱</a>兩公司合作壟斷市場，企圖消滅其競爭者，包括馬斯克的xAI。他並且說，OpenAI利用他對AI的疑懼心理，騙走他4,400萬美元投資。</p> <p dir="ltr">對曾經的盟友及投資人反控，OpenAI之前說，馬斯克可能只是懊悔退出和該公司的合作。Techcrunch上周引述OpenAI官方說法，<a href="https://techcrunch.com/2024/11/30/elon-musk-files-for-injunction-to-halt-openais-transition-to-a-for-profit/" target="_blank">表示</a>馬斯克第四度控告，只是再一次重述毫無根據的論點，一樣也完全無的放矢。微軟則皆未對此評論。</p> <p dir="ltr">這些請求都只是建議，最後仍需由加州法院法官做出定奪。</p> <p> </p> </div></div></div>
2024/12/2 16:10作者林妍溱https://www.ithome.com.tw/news/166292
熱門前端建置工具新版Vite 6.0，添加環境API並擴展生態系支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前端建置工具Vite團隊推出最新版本<a href="https://vite.dev/blog/announcing-vite6">Vite 6.0</a>，這次重大更新新增了實驗性環境API（Environment API），進一步擴展生態系的支援。Vite是一個快速高效的建置工具，其核心優勢在於開發伺服器啟動速度，有別於傳統建置工具，例如Webpack或Parcel需要耗費大量時間進行打包，才能啟動開發伺服器，Vite直接運用瀏覽器對ES模組的原生支援，以接近即時的啟動速度，大幅提升開發者的迭代速度和開發體驗。</p> <p>Vite 6.0最大的更新亮點是環境API，這是一個針對框架開發者設計的工具。該API目的是要讓開發者能夠更精確地管理和模擬不同環境的行為，無論是在瀏覽器端還是伺服器端，都能根據需求動態調整模組的載入方式。在傳統開發中，開發環境與生產環境的差異常導致問題發生，而Environment API試圖藉由改進環境管理機制，解決這個痛點。</p> <p>Environment API對於需要自定義開發流程的框架開發者特別有用，開發者能夠在自定義SSR（Server-Side Rendering）應用中精準模擬生產環境的行為，提升環境之間的一致性。該API的設計也與Vite執行環境API相互搭配，簡化模組載入過程。目前Environment API仍在實驗測試階段。</p> <p>此外，Vite 6.0針對Node.js支援進行調整，現在支援Node.js 18、20和22+版本，並終止Node.js 21的支援，以因應Node.js官方更新終止政策。另一個值得關注的改進是JSON處理邏輯的強化，Vite 6.0將json.stringify預設值更改為自動模式，能夠自動處理大型JSON檔案，減少多餘的序列化操作，對於需要傳統行為的開發者，則提供手動設定選項，以確保向下相容性。</p> <p>官方提到，從Vite 5.0更新以來，其採用率就持續攀升，NPM每周下載量從750萬成長到了1,700萬。而隨著使用者越來越多，除了原有持續發展的Nuxt、SvelteKit、Astro等主流框架，還有更多框架加入Vite生態，包括TanStack Start、One和Ember等。</p> </div></div></div>
2024/12/2 16:17作者李建興https://www.ithome.com.tw/news/166290
【資安週報】1125~1129，中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，該設備年初已終止支援，近6萬多…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月最後一周的資安新聞中，在漏洞消息方面，有2大漏洞利用消息與1項漏洞警訊需要優先關注，都與邊緣裝置安全有關，涵蓋Array Networks、Zyxel Networks與D-Link的網路產品。</p> <p>●大宇集團旗下Array Networks去年3月修補的SSL VPN系統漏洞CVE-2023-28461，如今發現有駭客開始利用此已知漏洞發動攻擊。<br /> ●兆勤科技（Zyxel Networks）今年9月修補防火牆漏洞CVE-2024-42057，隨著資安業者Sekoia示警，後續兆勤警告攻擊者開始鎖定這項已知漏洞。<br /> ●中華電信提供許多個人及政府機關的D-Link數據機DSL-6740C，本月被國內資安研究人員揭露存在8個漏洞。</p> <p>值得注意的是，這2項漏洞利用的幕後凶手已被資安業者查出，趨勢科技揭露中國駭客組織Earth Kasha最新攻擊行動，就是利用上述Array的漏洞與另一Fortinet已知漏洞作為入侵起始點，臺灣與日本的企業均有受害案例；資安業者Sekoia揭露勒索軟體Hellodown的攻擊行動，指出是利用上述兆勤漏洞入侵。</p> <p>而D-Link數據機的DSL-6740C漏洞揭露亦是一大警訊，因為該設備今年初已終止支援，加上臺灣現在還有多達57,945臺仍在運作，顯示出中華電信處理EOL設備的速度太慢，以及還有很多人不知道要請中華電信更換。</p> <p>在資安事件上，11月底感恩節前夕有一起勒索軟體攻擊事件受矚目。美國供應鏈管理業者Blue Yonder遭攻擊後導致服務中斷，影響北美1.1萬家星巴克門市與英國2家連鎖超市等系統，使其員工只能手動作業，且3天後系統仍未恢復。</p> <p>國內也發生一起事件值得我們警惕，就是北捷AI客服被測試發現可代寫程式碼。過去ChatGPT等生成式AI常因提示注入攻擊（Prompt Injection）被誘導，超出違反原本的安全或使用限制，因此後續各界不斷強調提高AI安全護欄能力。雖然此次未達惡意濫用程度，但已暴露國內可能輕忽系統AI安全護欄的問題。</p> <p>在資安威脅態勢上，有多個中國與俄羅斯駭客組織的攻擊活動被揭露，其攻擊目標相關廣泛，涵蓋瀏覽器、作業系統，也有鎖定電信業者，以及針對圖博（西藏）民眾等：<br /> ●近兩個月Firefox與微軟分別修補的零時差漏洞（CVE-2024-9680、2024-49039），如今資安業者ESET公布幕後攻擊者是名為俄羅斯駭客Tropical Scorpius（又名UNC2596）所串連利用，並會植入後門程式RomCom。<br /> ●電信業注意！關於中國駭客組織Salt Typhoon攻擊全球電信業又有後續消息，趨勢科技揭露攻擊者會植入名為Demodex的rootkit程式，而近期攻擊東南亞電信業者的事故中，還使用先前未曾揭露的GhostSpider等多款後門程式。<br /> ●中國駭客TAG-112新一波鎖定圖博新聞媒體、大學網站的攻擊被揭露，目的是針對瀏覽網站的使用者電腦植入Cobalt Strike，目前尚不知駭客利用那些漏洞。<br /> ●鄰居被駭也是自家被攻擊的前奏，最近資安業者Volexity公布俄羅斯駭客APT28在俄烏戰爭前夕藉由Wi-Fi管道的攻擊方式－－Nearest Neighbor Attack。<br /> ●駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法越來越多，最近一起是針對Avast的驅動程式元件而來，以停用受害電腦防護機制。</p> <p>在資安防禦新聞中，我們觀察到兩個關鍵議題備受關注，包括：促進民間資安情報的聯防合作以及打擊網路犯罪，分別是臺灣與全球關注資安風險的重點。</p> <p>首先是今年台灣資安通報應變年會，透露了TWCERT/CC的日後新方向，指出為了讓聯防更有效果，將以情資角度作為向企業溝通的方式，而不像過去從事件通報角度向企業溝通，目標是讓企業回報的內容，可以更聚焦在聯防需要的情資，意即：何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等關鍵資訊。</p> <p>另一個是全球在查緝網路犯罪方面取得新成果。國際刑警與非洲刑警聯手行動，在19個非洲國家逮捕了千餘名嫌犯。其中部分犯罪行動涉及高技術含量，例如在肯亞破獲的一起網路信用卡詐騙案中，駭客利用修改銀行系統安全協議的方式，執行惡意腳本竊取資金，並流向多國司法管轄區內的金融相關機構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166190"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</span></strong></a></h3> <p>最近幾年，有研究人員揭露利用Wi-Fi無線網路從事近距離、非接觸式的攻擊手法，但這樣的手段鮮少在實際的資安事故曝光，如今有研究人員公布此種類型攻擊行動。</p> <p>資安業者Volexity指出，2年前俄羅斯駭客組織APT28就是利用類似的策略，先攻擊目標組織鄰近的企業，再藉由這些跳板存取目標組織的Wi-Fi網路，從而進行相關的情報收集。</p> <h3><a href="https://www.ithome.com.tw/news/166203"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</span></strong></a></h3> <p>供應鏈攻擊事故頻傳，最近軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，傳出已對客戶的運作造成影響，目前已有連鎖咖啡店星巴克、英國兩大超市證實受到波及。</p> <p>值得留意的是，11月21日Blue Yonder證實因資安事故導致代管服務中斷，但目前尚未確認復原的時間，相關災情與影響範圍有待後續觀察。</p> <p><a href="https://www.ithome.com.tw/news/166236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</span></strong></a></p> <p>攻擊者利用瀏覽器零時差漏洞的情況不時傳出，但多半會針對較多人使用的Chrome而來，發生在今年10月上旬的Firefox零時差漏洞攻擊相當引人關注，如今通報漏洞的研究人員更多細節。</p> <p>他們提及這波攻擊行動由俄羅斯駭客RomCom發起，在過程裡還會運用Windows零時差漏洞CVE-2024-49039，使得攻擊者無須與使用者互動，就能將後門程式散布到受害電腦。</p> <h3><a href="https://www.ithome.com.tw/news/166259"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】第一款針對Linux主機的UEFI Bootkit現身</span></strong></a></h3> <p>埋藏在UEFI韌體的惡意啟動工具UEFI Bootkit相當神秘，攻擊者藉此隱匿行蹤，並能從開機階段就挾持整臺電腦，讓執行於作業系統之上的防護機制失效，這樣的情況最近有了新的變化。</p> <p>本週資安業者ESET揭露新的惡意啟動工具Bootkitty，並指出雖然這支程式很可能仍在開發階段，但是第一個專門針對Linux作業系統的UEFI Bootkit，後續發展相當值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/166281"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</span></strong></a></h3> <p>惡意軟體框架Winos 4.0的攻擊行動，最近半年已出現數起相關事故，但值得留意的是，過往駭客的主要攻擊目標，都是使用簡體中文的使用者，而在最近一起事故當中，慣用越南文的用戶也是目標。</p> <p>不只攻擊的範圍擴大，散布該惡意程式的駭客也搭配其他新工具來進行，其中一種引起研究人員關注的是惡意程式部署工具CleverSoar。</p> </div></div></div>
2024/12/2 09:37作者羅正漢https://www.ithome.com.tw/news/166286
一年前的UEFI漏洞LogoFAIL被用於植入Bootkitty
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周Bootkitty<a href="https://www.ithome.com.tw/news/166255" target="_blank">現身</a>後，研究人員又<a href="https://www.binarly.io/blog/logofail-exploited-to-deploy-bootkitty-the-first-uefi-bootkit-for-linux" target="_blank">發現</a>，去年發現的一組UEFI韌體漏洞，已有人發展出濫用手法來植入Bootkitty這第一隻可在Linux執行的UEFI Bootkit程式。</p> <p>去年12月，資安廠商Binarly研究人員發現到的漏洞為LogoFAIL，<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-40238" target="_blank">編號CVE-2023-40238</a>。它是位於舊版Insyde InsydeH2O UEFI BIOS中的圖片解析器BmpDecoderDxe的圖片解析漏洞，影響5.2（05.28.47以前）、5.3（05.37.47以前）、5.4（05.45.47以前）、5.5（05.53.47以前）和5.6（05.60.47以前）版本。攻擊者可傳送惡意BMP logo，在開機過程影像解析過程中將資料複製到特定位址，濫用LogoFAIL漏洞最終會使基本的UEFI端點安全措施失效，使攻擊者得以對受影響的系統深度控制。BIOS廠商系微（Insyde）已經在去年12月釋出更新版，可解決該漏洞。</p> <p>今年Binarly又發現，有人發展出濫用LogoFAIL漏洞植入惡意程式的行為。他們發現一個名為16MB大小的logofail.bmp圖檔，當傳送給受害Linux機器時，能在圖片解析過程中注入shellcode，而在裝置UEFI韌體程式的MokList變量中注入惡意憑證，藉此允許一個GRUB配置檔在機器上執行。該檔內含後門程式的Linux核心圖檔，成功繞過安全開機（Secure Boot）防護，以便將後門程式植入受害系統。結果就是讓Bootkitty通過驗證，植入Linux裝置。</p> <p>研究顯示，本攻擊手法是針對特定硬體配置，受影響BIOS模組的電腦品牌涵括聯想等數家廠商。研究人員說明，系微一年前已釋出更新版，沒有安裝更新版的裝置就可能曝露於風險。</p> <p>必須說明的是，ESET研究人員發現的Bootkitty雖然可能只是概念性驗證（PoC）程式，而非已用於攻擊的惡意程式，但已顯示，Linux裝置不再能自外於UEFI惡意開機程式濫用風險。</p> </div></div></div>
2024/12/2 08:53作者林妍溱https://www.ithome.com.tw/news/166285
樹莓派推出Compute Module 5，CPU、GPU升級還提供更大記憶體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樹莓派基金會推出最新硬體模組<a href="https://www.raspberrypi.com/news/compute-module-5-on-sale-now/">Compute Module 5</a>，該模組是以Raspberry Pi 5單板電腦為基礎所設計，進一步簡化成適用於工業與嵌入式應用的硬體形式。CM5起始售價為45美元，提供開發者一個靈活且低成本的開發模組選擇。</p> <p>Compute Module系列首次於2014年推出，目標是滿足對標準單板電腦設計有額外需求的開發者。Compute Module移除了許多功能，僅保留Raspberry Pi單板電腦的關鍵核心，諸如處理器、記憶體、儲存和電源管理，並採用更容易整合的SODIMM模組格式。</p> <p>最新的Compute Module 5採用與Raspberry Pi 5相同的硬體架構，具備2.4 GHz四核心64位元Arm Cortex-A76處理器，與VideoCore VII圖形處理單元，支援OpenGL ES 3.1和Vulkan 1.3。顯示輸出方面，模組支援雙4Kp60 HDMI輸出與4K HEVC硬體解碼功能，並配置PCIe 2.0介面以及高速外部裝置（Peripherals）。另外，Compute Module 5提供多種記憶體和儲存選項，包括2GB、4GB和8GB的LPDDR4X記憶體，以及最高64 GB的eMMC非揮發性儲存。</p> <p>Compute Module 5在設計上與前一代相容，訊號介面透過兩個高密度連接器，與用戶的載板連接，包括電源、資料、外部設備連接等所有訊號，都透過這兩個高密度連接器輸出，用戶只需要將這些連接器與自訂的載板對接，即可完成模組化整合，應用於不同用例。不過官方提到，Compute Module 5還是有部分有別於之前版本的變更，例如移除了雙路雙通道MIPI，並新增了USB 3.0。</p> <p>跟著Compute Module 5同步推出的還有一系列周邊配件，包括專用的IO板、散熱模組、外接天線套件和金屬外殼，開發者也可視需求直接選購包含IO板、模組和其他必要配件的開發套件包。</p> </div></div></div>
2024/11/30 21:39作者李建興https://www.ithome.com.tw/news/166282
強化身分安全，眾至郵件伺服器新型網頁信箱增設無密碼登入
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/sharetech_fido-2024-11-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任是臺灣資安界近來最受重視的防護概念，許多廠商紛紛打造相關的產品，以網路防火牆與郵件伺服器產品著稱的眾至資訊（ShareTech），積極開發與拓展零信任解決方案，今年陸續在多場活動與展覽，如臺灣資安大會、臺灣國際半導體展、台中資訊月論壇，向大家宣導零信任、介紹他們響應政府提倡的零信任網路架構三大核心機制，以及因應這些需求而供應的多種防護功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-09-05-SEMICON-%E7%9C%BE%E8%87%B3%E9%9B%B6%E4%BF%A1%E4%BB%BBP1440104.jpg" style="width: 218px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech-11-21-ZT.jpg" style="width: 298px;" /></p> <p>關於使用者身分辨識，<a href="https://www.sharetech.com.tw/zh-tw/epaper/241002">眾至資訊10月正式推出FIDO（Fast IDentity Online）無密碼登入解決方案</a>，針對郵件伺服器產品線的New Webmail網頁信箱功能，提供支援FIDO的身分驗證機制，若企業與組織使用該公司的郵件伺服器軟體版本，或是硬體機型，例如，MS-30X、MS-6400X、MS-6410X、MS-6420X、MS-6430X、MS-6440L，系統軟體或韌體可升級到3.1.5版，即可使用這項功能，無需加購。</p> <p>細部運作流程如何進行？首先，用戶需在自己的智慧型手機或平板電腦當中，安裝行動App軟體ShareTech Authenticator，接著以密碼登入眾至郵件伺服器的New Webmail，進到安全性設定完成綁定行動設備無密碼驗證的程序（再輸入一次密碼進行身分驗證、開啟ShareTech Authenticator掃描New Webmail網頁介面此時顯示的QR Code）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/眾至FIDO驗證設定步驟1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9C%BE%E8%87%B3FIDO%E9%A9%97%E8%AD%89%E8%A8%AD%E5%AE%9A%E6%AD%A5%E9%A9%9F1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/眾至FIDO驗證設定步驟2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9C%BE%E8%87%B3FIDO%E9%A9%97%E8%AD%89%E8%A8%AD%E5%AE%9A%E6%AD%A5%E9%A9%9F2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShareTech MS-無密碼驗證安全設定.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20MS-%E7%84%A1%E5%AF%86%E7%A2%BC%E9%A9%97%E8%AD%89%E5%AE%89%E5%85%A8%E8%A8%AD%E5%AE%9A.jpg" style="width: 600px;" /></a></p> <p>當用戶登入New Webmail網頁介面時，會顯示一組提問碼（Challenge code），</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA%E7%AB%AF%E7%9C%BE%E8%87%B3FIDO%E7%99%BB%E5%85%A5%E6%AD%A5%E9%A9%9F1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Webmail front11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Webmail%20front11.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Webmail front22.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Webmail%20front22.jpg" style="width: 298px;" /></a></p> <p>並對已預先完成綁定程序的智慧型手機或平板電腦，發出通知訊息，接著用戶的行動裝置會收到且顯示這個訊息，此時可立即點選或開啟ShareTech Authenticator，會看到驗證帳號的資訊清單，上面顯示被登入的帳號、提問碼、有效時間、登入者所在區域為內部網路或網際網路、登入New Webmail人員操作的裝置與瀏覽器類型，若綜合這些資訊而判斷這是你自己的登入動作，可點選「確認」，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA%E7%AB%AF%E7%9C%BE%E8%87%B3FIDO%E7%99%BB%E5%85%A5%E6%AD%A5%E9%A9%9F2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShareTech App-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20App-2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ShareTech App-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20App-1.jpg" style="width: 398px;" /></a></p> <p>隨後會進行指紋、臉部這類生物辨識解開鎖定，在背景處理程序當中，行動裝置將使用私鑰對提問碼進行簽名，並將簽名傳回伺服器，伺服器收到簽名之後，會使用公鑰驗證簽名，比對無誤後即可登入，ShareTech Authenticator當下也會跳出身分驗證記錄的通知資訊，上面載明帳號名稱、New Webmail登入者網路位置、登入New Webmail所用的裝置與瀏覽器類型，以及最近一次（本次）驗證身分登入的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%80%8B%E4%BA%BA%E7%AB%AF%E7%9C%BE%E8%87%B3FIDO%E7%99%BB%E5%85%A5%E6%AD%A5%E9%A9%9F3.jpg" style="width: 600px;" /></p> <p>眾至表示，導入FIDO之後，他們提供的郵件伺服器New Webmail登入，能夠使用公私鑰加密技術進行身分驗證，公鑰儲存在伺服器中，私鑰儲存在用戶的設備內部，不會傳送到伺服器，如此一來，可避免過往密碼式身分驗證的缺點，像是伺服器端儲存使用者密碼，一旦遭入侵，或是使用者因為網路釣魚手法，而將帳號、密碼輸入假網站進行身分驗證，都有可能導致帳號與密碼外流，因而無法抵擋帳密填充攻擊（撞庫）。</p> <p>對於為何要採用提問碼的互動方式，眾至表示，這主要是為了簽章和防止重送攻擊，目的是抵禦中間人複製封包的攻擊手法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ShareTech FIDO Process2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShareTech%20FIDO%20Process2.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，這項FIDO功能目前僅支援New Webmail信箱登入使用，行動裝置軟體ShareTech Mail App尚未支援。未來，這項功能也將擴大運用同廠牌其他產品，眾至預告，NU系列防火牆的管理介面、上網驗證，也將提供無密碼登入，目前尚在測試階段，<a href="https://www.sharetech.com.tw/zh-tw/epaper/241205">12月初將開始宣傳此項突破</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NU-passwordless-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NU-passwordless-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NU-passwordless-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NU-passwordless-2.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">眾至FIDO</span></strong><br /> ●原廠：眾至資訊<br /> ●建議售價：廠商未提供<br /> ●適用產品：硬體設備涵蓋的機型MS-30X、MS-6400X、MS-6410X、MS-6420X、MS-6430X、MS-6440L，系統韌體更新至3.1.5版；軟體系統：ShareTech Mail Server 3.1.5<br /> ●適用功能項目：New Webmail信箱登入<br /> ●身分驗證方式：使用者智慧型手機或平板電腦安裝行動App軟體ShareTech Authenticator</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/11/30 15:30作者李宗翰https://www.ithome.com.tw/review/166279
惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2年駭客利用合法元件癱瘓防毒軟體及EDR系統的情況，不斷有資安事故傳出，其中最常見的手法，便是使用過時的驅動程式，以作業系統核心層級來干擾這些資安防護機制的運作，但如今有人轉向其他工具來突破防線。</p> <p>資安業者Check Point指出，<a href="https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/">他們發現名為GodLoader的惡意軟體</a>，從今年6月底開始透過開源遊戲引擎Godot，並執行特製的GDScript指令碼，駭客藉此觸發惡意指令，並於受害電腦載入惡意軟體，迄今約有1.7萬臺電腦遭到感染，而且，許多防毒軟體可能無法偵測攻擊者使用的惡意指令碼，因為將這些程式送到惡意軟體分析平臺VirusTotal檢測，鮮少有防毒引擎將其視為有害。</p> <p>值得留意的是，該惡意軟體散布的管道，是濫用程式碼儲存庫GitHub組成的<a href="https://www.ithome.com.tw/news/164161">Stargazers Ghost網路</a>，從9月至10月，約有200個儲存庫用於散布GodLoader。</p> <p>另一方面，這樣的手法能夠針對多種類型的裝置進行跨平臺攻擊，範圍涵蓋Windows、Linux、macOS電腦，以及安卓和iOS裝置。雖然研究人員這次只找到針對Windows電腦的惡意軟體，但他們也發現藉此將有效酬載傳到Linux及macOS環境的作法。</p> <p>針對這波攻擊的危險性，研究人員認為，遊玩以Godot開發遊戲的玩家都有可能曝險，他們估計超過120萬人會成為駭客下手的標的。攻擊者可假借提供遊戲修改器或其他工具，利用Godot在使用者電腦執行惡意指令碼。</p> <p>而被駭客用來夾帶攻擊程式的管道Godot，其實是開源的遊戲開發平臺，提供高度彈性、對使用者友善的操作介面，以及豐富的功能，開發者可用來打造2D或3D遊戲，並將成品輸出為各種平臺的版本，除了電腦、行動裝置版本，開發者也能以網頁的形式（HTML5）提供玩家遊玩。其中，Godot核心引擎使用類似Python的指令碼語言GDScript，以便開發人員用於打造遊戲。</p> <p>但功能如此全面的GDScript，也成為攻擊者利用的對象，研究人員提及，此語言能讓攻擊者迴避沙箱和虛擬機器，也可以遠端執行有效酬載，在此同時，攻擊者因為使用了這項合法工具，而能夠迴避偵測。</p> <p>針對遊戲開發工具被濫用的情況，Godot遊戲引擎維護團隊及資安團隊成員Rémi Verschelde<a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/">找上資安新聞網站Bleeping Computer，並提出說明</a>，他們表示，已經得知Check Point公布的調查結果，並認為這種型態的弱點也同樣可能會出現在其他遊戲開發引擎，而會遭到濫用。</p> <p>這種攻擊手法必須搭配特定條件，Rémi Verschelde表示，攻擊者必須將Godot的部分執行元件（runtime）與PCK檔案一起傳送，而且，使用者必須將執行元件與PCK檔放置於相同資料夾，並啟動相關元件。除非攻擊者搭配作業系統層級漏洞，否則他們無法讓使用者執行檔案就中招，Rémi Verschelde認為，由於還要將Godot元件帶到受害電腦上，這類方法並非駭客偏好的觸發作業系統漏洞管道。</p> </div></div></div>
2024/11/29 17:09作者周峻佑https://www.ithome.com.tw/news/166280
【資安日報】11月29日，駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意軟體框架Winos 4.0的攻擊行動，最近半年已出現數起相關事故，但值得留意的是，過往駭客的主要攻擊目標，都是使用簡體中文的使用者，而在最近一起事故當中，慣用越南文的用戶也是目標。</p> <p>不只攻擊的範圍擴大，散布該惡意程式的駭客也搭配其他新工具來進行，其中一種引起研究人員關注的是惡意程式部署工具CleverSoar。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166273"><strong style="font-size: 22px;">中國及越南遭到CleverSoar惡意部署工具鎖定，攻擊者意圖散布Winos 4.0、Nidhogg</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-11-25-at-2_49_06-PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-11-25-at-2_49_06-PM.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客運用惡意軟體框架Winos 4.0從事攻擊行動的情況，今年已發生數起資安事故，例如：6月趨勢科技揭露駭客組織Void Arachne的攻擊行動，假借提供AI應用程式的名義，向簡體中文用戶散布這款惡意軟體；到了11月初，另一家資安業者Fortinet指出，有人利用這款惡意程式框架疑似鎖定教育機構下手，如今相關的攻擊行動再度傳出。</p> <p>資安業者Rapid7指出，他們在11月初發現了名為CleverSoar的惡意程式部署工具（Installer），攻擊者的主要目標，是慣用簡體中文與越南文的使用者。駭客意圖利用這款部署工具在受害電腦植入多種惡意程式，並保護這些軟體的運作不受到干擾。</p> <p>而這些對方使用的惡意程式，包含了Winos 4.0進階版本，以及名為Nidhogg的Rootkit程式。攻擊者能夠用來側錄鍵盤輸入內容、資料外洩、繞過安全防護措施，甚至能進一步控制受害電腦。究竟攻擊者的目的為何？研究人員推測，主要很有可能是為了進行更深入的監控，並且截取特定的資料。</p> <p><a href="https://www.ithome.com.tw/news/166278"><strong style="font-size: 22px;">日本遭APT-C-60網釣攻擊，濫用StatCounter、Bitbucket並意圖散布SpyGlace後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/APT-C-60-fig1-ec9cbc65.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT-C-60-fig1-ec9cbc65.png" style="width: 300px; float: right;" /></a></p> <p>日本電腦網路危機處理暨協調中心（JPCERT/CC）指出，他們得知駭客組織APT-C-60於今年8月攻擊日本企業組織，對方佯裝成求職者向人資窗口寄送釣魚信，意圖散布惡意程式。</p> <p>在這波攻擊行動裡，駭客寄送含有Google Drive連結的釣魚信，一旦收信人點選連結，電腦就會下載含有惡意程式的VHDX虛擬磁碟檔案，該檔案內含誘餌及Windows捷徑檔（LNK）。</p> <p>收信人若是點選附件，電腦就會掛載虛擬磁碟並顯示偽製成自我介紹的LNK檔案，一旦開啟，電腦就會啟動檔名為IPML.txt的Shell檔案，此Shell程式就會下載惡意程式下載工具SecureBootUEFI.dat，並以COM挾持（Component Object Model Hijacking）的方式執行，藉此讓攻擊者在受害電腦持續活動，最終於受害電腦植入後門程式SpyGlace。</p> <p><a href="https://www.ithome.com.tw/news/166280"><strong style="font-size: 22px;">惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GodLoader-6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GodLoader-6.png" style="width: 300px; float: right;" /></a></p> <p>最近2年駭客利用合法元件癱瘓防毒軟體及EDR系統的情況，不斷有資安事故傳出，其中最常見的手法，便是使用過時的驅動程式，以作業系統核心層級來干擾這些資安防護機制的運作，但如今有人轉向其他工具來突破防線。</p> <p>資安業者Check Point指出，他們發現名為GodLoader的惡意軟體，從今年6月底開始透過開源遊戲引擎Godot，並執行特製的GDScript指令碼，駭客藉此觸發惡意指令，並於受害電腦載入惡意軟體，迄今約有1.7萬臺電腦遭到感染，而且，許多防毒軟體可能無法偵測攻擊者使用的惡意指令碼，因為將這些程式送到惡意軟體分析平臺VirusTotal檢測，鮮少有防毒引擎將其視為有害。</p> <p>值得留意的是，該惡意軟體散布的管道，是濫用程式碼儲存庫GitHub組成的Stargazers Ghost網路，從9月至10月，約有200個儲存庫用於散布GodLoader。</p> <p><a href="https://www.ithome.com.tw/news/166221"><strong style="font-size: 22px;">因不滿成為OpenAI宣傳影片生成器Sora的工具，受邀測試的藝術家洩露存取權限</strong></a></p> <p>一群被OpenAI邀請來測試文字轉影片AI模型Sora的藝術家，因為認為自己被OpenAI免費用來行銷Sora，而在Hugging Face上釋出了Sora的存取權限。不過，OpenAI在3小時後就關閉了針對藝術家所提供的早期存取權限。</p> <p>而該藝術社群在11月26日發表公開信，指出約有300名藝術家獲得了Sora的存取權限成為早期測試者、紅隊成員，以及創意合作夥伴，然而，他們卻認為自己是被OpenAI引誘以替其展開藝術漂白，向全世界說明Sora對藝術家來說是個有用的工具。</p> <p>公開信中闡述，藝術家們使用Sora所生成的影片，在對外分享之前都必須獲得OpenAI團隊的批准，此一早期存取計畫似乎不太關心創意表達與批評，而更在意公關及廣告。對此，他們公開取得的存取權限，讓一般使用者也能探索、實驗Sora的能力。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/k/return-of-anel-in-the-recent-earth-kasha-spearphishing-campaign.html">中國駭客Earth Kasha從事網釣攻擊，意圖對日本企業散布後門程式Anel</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/tracing-the-path-of-vietcredcare-and-ducktail/">越南駭客透過企業臉書帳號散布竊資軟體VietCredCare、DuckTail</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/">針對遭遇中國駭客Salt Typhoon入侵的事故，T-Mobile公布最新調查結果</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2024/11/22/microsoft-shares-latest-intelligence-on-north-korean-and-chinese-threat-actors-at-cyberwarcon/">北韓駭客半年內竊取逾1千萬美元加密貨幣、針對衛星與軍事系統從事網釣攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/">網路流量監控系統Zabbix存在重大層級漏洞，恐被用於SQL注入、RCE攻擊</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166264"><strong style="font-size: 22px;">行政院推打詐策略行動綱領2.0，提高產業防詐監管力度、AI科技防詐是關鍵</strong></a></p> <p>為遏止詐騙盛行，行政院推動新世代打擊詐欺策略行動綱領2.0版（後簡稱打詐策略行動綱領2.0），除強化金融、電信產業的防詐策略，也擴大納入數位經濟產業，提高對產業監管力度以對抗各種詐騙手法，並且積極運用AI以強化科技防詐。</p> <p>打詐策略行動綱領2.0，打詐辦公室轉型為打詐指揮中心，分為識詐、堵詐、防詐、阻詐、懲詐5個面向，分別由內政部、NCC、數發部、金管會、法務部負責，各自針對警政宣傳、電信產業、數位經濟產業、金融產業、偵查提出打詐對策，並由打詐指揮中心跨部會協調合作，2.0也加強中央政府和地方政府合作，取得通報、共同打詐防詐。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166158"><strong style="font-size: 22px;">AWS與Rust基金會攜手，驗證Rust標準函式庫的安全性</strong></a></p> <p>AWS與Rust基金會11月20日共同舉辦新競賽，期望號召社群的力量，來驗證Rust標準函式庫的安全性。</p> <p>AWS表示，由core、alloc與std等套件組成的Rust標準函式庫，替開發者提供了許多常用的功能，這些功能在外部看起來是安全的，但它們在內部可能使用了unsafe區塊來實現一些低階的高效能操作或硬體互動，而且並未經過真正的安全驗證。</p> <p>因此，AWS與Rust基金會共同推出一系列的挑戰賽，專注於驗證記憶體安全，以及Rust標準函式庫中未定義行為的子集，參與者可以透過指定合約、驗證函式庫元件，或是開發新的驗證工具來作出貢獻，而且每項成功的挑戰都可獲得獎勵。本競賽的最終目標，是要讓驗證成為Rust語言持續整合過程中不可或缺的一部分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> </div></div></div>
2024/11/29 17:15作者周峻佑https://www.ithome.com.tw/news/166281
日本遭APT-C-60網釣攻擊，濫用StatCounter、Bitbucket並意圖散布SpyGlace後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本電腦網路危機處理暨協調中心（JPCERT/CC）指出，他們得知<a href="https://blogs.jpcert.or.jp/ja/2024/11/APT-C-60.html">駭客組織APT-C-60於今年8月攻擊日本企業組織</a>，對方佯裝成求職者向人資窗口寄送釣魚信，意圖散布惡意程式。</p> <p>在這波攻擊行動裡，駭客寄送含有Google Drive連結的釣魚信，一旦收信人點選連結，電腦就會下載含有惡意程式的VHDX虛擬磁碟檔案，該檔案內含誘餌及Windows捷徑檔（LNK）。</p> <p>收信人若是點選附件，電腦就會掛載虛擬磁碟並顯示偽製成自我介紹的LNK檔案，一旦開啟，電腦就會啟動檔名為IPML.txt的Shell檔案，此Shell程式就會下載惡意程式下載工具SecureBootUEFI.dat，並以COM挾持（Component Object Model Hijacking）的方式執行，藉此讓攻擊者在受害電腦持續活動。</p> <p>此DAT檔案接著存取網頁分析工具StatCounter，目的是確認受害電腦使用的HTTP參照區域內容，從而得知電腦名稱、使用者名稱等資訊，然後再從程式碼代管平臺Bitbucket下個階段的作案工具Service.dat，而這個檔案又會在受害電腦產生另外2個元件cn.dat、sp.dat，最終載入後門程式SpyGlace。</p> <p>研究人員指出，在今年8月至9月，有其他資安業者也察覺相關攻擊行動，其共通點就是濫用Bitbucket和StatCounter伺服器，而且，攻擊者會操弄COM物件以便持續活動。雖然他們發現的攻擊行動針對日本，但韓國、中國，以及其他東南亞國家，也可能會出現類似攻擊行動。</p> </div></div></div>
2024/11/29 15:12作者周峻佑https://www.ithome.com.tw/news/166278